公平的安全多方计算协议

（） 中每一个参与者 构造 ｍ个计 算函数 ／的混淆 电 １
路 Ｇ ，＝１ ， ｍ。混淆 电路 Ｇ 构造如下 ： ｑ ｔ ， …， ２ ， １在 门 ｇ 处 ， Ｐ中每一个参与者 尸 的输入路径 。 ） ， 对 『 生 成 ２ 个 ｋ比 特 的随 机 比特 串 ｗ． ，，１ ｛， ，。ｗ ， ０ ） 及承诺 ， ． 】 １ ∈
ＸＵ ｎ Ｐ Ｂｉ ， ＥＮＧ ａ ｇ ｇ ｎ ＧＵ ｏ ｇ ｘ Ｃｈ ｎ — ｅ ， Ｃｈ ｎ — ｕ
、
（ ｏｌ ｅｏ ｃｅｃ， ｉ ｏ ｎｖ ｒｉ ， ｕｙ ｎ ５ ０ ５ Ｃ ｉａ Ｃ ｌ ｇ ｆ ｉｎ ｅＧｕｚ ｕＵ ｉｅｓｙ Ｇ ｉａｇ５ ０ ２ ， ｈｎ ） ｅ Ｓ ｈ ｔ
则认 为构造 的这个安全多方计算协议是安全 的。 定义 ２安全多方计算的理 想模型 ：在安全多方计算中 ，
献 ［］ 出不存在 大 多数诚实参与 者的情况 下任何 安全多方 ５提 计算协议都不能实现完全公 平性 ，极 大限制 了安全多方计算 中公平性问题的研究。文献［］ ６论证了计算一些特殊 函数 的两
他参与者不能获得 自己的输 出，使协议变得不公平 。因此，
２ 安全多方计算 ． １ 安全 多方 计算是指参与者 ， …， 利 用 自己的秘密输 ，
入 ， …， 联合计 算函数 ｆ（ｔ ， Ｘ） Ｙ，２…， ） ， ｘ， …， ＝（１ ， ，最 ｎ Ｙ
后参与者 得到 ，并且 除了（ ， ） ＸＹ 及其推出的信息外， ｉ
诺 方案及 分割选择 技术【 】 构造一 个基于混 淆 电路 的安全多
方计算协议 。
２ 准备知识
定义 １设 为一个可数集 ， ｛ ｝ 和 ｛ 是 ２个 ｝
随机变量序列 。 ｛ ｝ 和 ｛ 是计算不可 区分 的，如果 ｝
作者 倚介 ： 徐
滨（ ８ －） １ ６ ，男， 士 ， ９ 硕 主研方 向： 密码学 ， 息安 信
Ｅ ｍ ｉ ｃ ｃｐ ｎ ＠ｇｕ ｄ ． — ａ ：ｓｉｇ ｅ ｇ ｚ ． ｕ ｎ ｌ ． ｅ ｃ
全 ；彭长根 （ 通讯作者） 教 授、博士 ；顾崇旭 ， 士 ， 硕 收稿 日 ： ０ ２０ — 期 ２ １— １１ ２
第３ 卷 ８
第７ 期
徐
滨 ，彭长根 ，顾崇旭 ：公平 的安全多方计算协议
［ ｓｒ ｃ］Ｉ ｅｕｅｍｕｔ ａｔ ｏ ｕａｉｎ ｆｉ ｅｓｓａ ｏｔｎ ｒｐｒ ， ｈｃ ｕｒｎｅｓ ｌｐｒ ｅ ｃｉｅｔｅ ｕｐ ｔ Ｈｏ ｖｒ ｉｉ Ａｂｔａｔ ｎｓｃｒ ｌｐ ｒ ｃ ｍｐ ｔｔ ，ａｒ ｓ ｉ ｌｉ ｒ ｔ ｏ ｅｔ ｗ ｉ ｇ ａａｔｅ ｌ ａｔ ｓ ｅｅｖ ｉｏ ｔｕｓ ｗｅｅ，ｔ ｓ ｉ ｙ ｏ ｎ ｌｍｐ ａ ｐ ｙ ｈ ａ ｉ ｒ ｈｒ ．
得不到任何额外信息。
安全多方计算要求满足 以下安全性质 ： （） １隐私性 ：要求不泄露参与者的秘密输入信息。 （） ２正确性 ：参与者得到正确的输出 。 传统密码协议 的安全性是通过验证协议是否能抵抗 已知 的各种攻 击。对于安全多方计算而言 ，通过构造一个理想的
协议模型 ，该协议满足本文要求 的安全性质 ，然后将构造 的
添加一个完全诚实可信 的第三方 ， 通过安全信道与任何
方计算协议能实现完全公平。文献【 将该结论推广到多方的 ７ ］
情形 。文 献［］ ８提出一个特殊 的公平安全两方计算协议一一保 密 比较协议 。然而 ，通用函数的安全 多方计算协议仍然只能
实现部分公平 。。 。 本文考虑存在恶意参与者的安全 多方计算协议 ，采用承
ｃ ｍｐ ｔ ｉｎ ｐ ｏｏ ｏ ｆｒｇ ｎ ｒ ｌ ｕ ｃ ｏ ａｉ ｓｐ ｏ ｏ ｅ ａｅ ｎ ｇ ｒ ｌｄ ｃ ｃ ｉ ｎ ｙ ｕ ｉｇ ｃ ｍｍｉ ｎ ｎ ｕ ｎ ｈ ｏ ｅ ｔｃ ｎ ｌｇ ． ｏ ｕａ ｏ ｒ ｔｃ ｌ ｏ ｅ ｅａ ｆｎ ｔ ｎ ｌ ｉ ｒ ｐ ｓ ｄｂ ｓ ｄ ｏ ａｂｅ ｉ ｕｔ ａ ｄ ｂ ｓ ｏ ｔ ｉ ｙ ｔ ｒ ｓ ｎ ｔ ｔ ｄ ｃ ｔａ ｄ ｃ ｏ ｓ ｅ ｈ ｏ ｏ ｙ ｍｅ ａ Ａ ａ ｓ ｅｕｔ ｉｄｃ ｔ ｅａ ｒ ｅ ｎ ｕ ｒｎ ｅ ｓ ｅ ｕ ｉ ｎ ｉ ｓ ｅ ｏ ｅｔ ａｔ ≥４ ｎ ｌ ｉ ｒｓ ｌ ｉａｅ ｇ ｅ ｍｅ ｔ ａａ ｔｅ ｃ ｒ ａ ｄｆ ｍｅ ｓ ｙ ｓ ｓｎ ｈ ｔ ｇ ｓ ｙ ｔ ａ ｗｈ ｎｈ ｎ ｓ ｐ ｒ ｉ ｙｓ ．
ｆ ≥４ 个参与者是诚实 的。 ） 函数 ＿ 厂的混淆电路描述如下 ：
如果 和 得到的信息是不可 区分 的。即 ：
｛ Ｅ Ｌ（ Ｙ ） ． ． ｛Ｅ （ Ｙ ） ， ， １ Ａ￣ ，， ｝ ， ｝ Ｄ ｒⅣ ， ｙ Ⅳ
则称协议是安全的。 公平性 ：在协议最后阶段 ，所有参与者都能得到 自己的 输 出。
ＤＯＩ １ ９ ９ ．ｓ．０ ０３ ２ ． １．７０ ８ ： ０３ ６ ／ｉ ｎ１０ —４ ８ ０ ２０ ． ｊｓ ２ ３
１ 概述
安全 多方计算是分布式密码学的关键技术 ，也是众 多密
对于任意 的概率 多项式时 间算法 ，则 ｌ［（ ） １ Ｐ ＝ 卜 ｒ Ｐ［（ ＝ 】 ｒ ） １是一个可忽略函数。 ； 表示 和 ｙ Ｔ １ 用 ｙ 是计算
参与者进行秘密通信 。理想模型 中的攻击者与实际协议 中的 攻击者具备 同样 的攻击能力 ，但无法攻击 ｒ，也不能获得 与诚实参与者 之间的通信信 息。在协议执行中 ，所有参与者
基金 项 目：国家 自然科 学基金资助项 目 “ 分布式密码系统 中的基础
协议与公平性研究”（ ９ ３ ２ ） 贵州大学博士基金资助项 目 “ 布 ６ ６０３； ０ 分 式密码系统 的基础 ０ 资 助项 目 “ 分布式密码协议 的公平性研究”（ 校研理工 ２ １０ ６ ０ １０ ）
Ｇｃ， 。
和 ， 另一位作为检验者 Ｃ。 记 ＝ ｌｅ，２ ） ｛ ｉ １ Ｐ｛ａ ， ＝ ｌ＝， ＥＣ
２… ， ， 一３ ｝。
令 、 为参 与者 的输入、输出路径 。不妨假设所有
参与者的 输入、 输出长度都相等， 』 ＝ ｐ ｌＩ 即ｌ１ｌ， ＝ ＯＩ ＝
（） １ 对于 电路 ｃ 中的每一条路径 ，
第３ ８卷 第 ７期
Ｖ０ －８ ｌ３
・
计
算
机
工
程
２１ ０ ２年 ４月
Ａｐｒｌ ０１ ｉ ２ ２
Ｎ Ｏ． ７
Ｃｏ ｍｐｕ ｅ ｇｉ ｅ ｒｎｇ ｔ ｒＥｎ ｎ ｅ ｉ
安全 技术 ・
文章编号： ０ｏ－４８ｏ２ ７ ０１ ３ 文献标识码： １０＿３２（ ｌ０— １ —０ ２ ） ６ Ａ
中圈分类号：Ｔ３９ Ｐ０． ２
公 平 的安 全 多方计 算协 议
徐 滨 ，彭长根 ，顾崇旭
（ 贵州大学理 学院，贵 阳 ５ ０ ２ ） ５０５ 摘 要： 公平性是 安全 多方计算 中的一个重要性质 ，它保证 所有参 与者都能获得 自己的输 出，然而在大多数参与者不诚实的情况下，不可
能实现完全公平性。为此 ， 恶意模 型下，采 用承诺 方案及分割选择技术 ，提出一个基于混淆 电 的安全多方计算协议 。分析 结果表 明 ， 在 路
对安全多方计算的公平性研究是必不可少 的。安全多方计算 协议 的公平性是指 ：在 协议 结束 阶段 ，所有参与者都能获得
自己的输 出。 文献【］ 公平性 引入到安全多方计算中。随后 ，许多学 ４将 者开 始对 安全多 方计算 的公平 性进行 深入研 究 。然而 ，文
安全多方计算协议与理想模型进 行对 比， 如果比较不 出差别 ，
，
生成 ２个 ｋ比特
１ｌ ｌｌｌｌ 。 为 个 全 数 ｃ ） 承 一一』＝ ＝ 令ｋ 一 安 参 ， （为 诺 ，
函数。 安全 多方计算协议 ｎ， 描述如下 ：
的随机 比特 串 ｌ 。 ｛， ， ， ｏ ∈ ０｝ 。 ， １ 对应比特 ０ ， ， 对应比
（） 计 算 ２ ＝ （ ）， ｋ＝（ ｌ ｌ ｌ ｌ
１７ １
ｌ …， ２ ＿ ，
将 自己 的秘 密 输 入通 过 安 全信 道 传 送 给 ， 计 算 函 数
ｆ ｘ， …， ＝（ Ｙ， ） 然 后将 Ｙ通过安全信道秘密地 （ｌ ， ） ，：…， ， ｉ 发送给 。 下面给出安全 多方计算安全性的另一种 定义 。
［ ｙｗｏｄ ］ｍａｉ ｏ ｓ ｄ ｌｓｃ ｅ ｌｐｒ ｏ ｕａｉｎ ｇ ｒｌ ｉ ｕｔｆｉ ｅｓｓｃｒｔ；ｕ ｄｃｏ ｓ ｃｎ ｌｇ Ｋｅ ｒ ｓ ｌｉｕ ｅ；ｅｕ ｔ ａｔ ｃ ｍｐ ｔｔ ；ａｂｅ ｃｒ ｉ ａｒ ｓ；ｅｕｉ ｃ ｔｎ ｈ ｏｅｔ ｈ ｏｏ ｙ ｃ ｍｏ ｒ ｍｕ ｉ ｙ ｏ ｄ ｃ ； ｎ ｙ ａ ｅ
Ｇ ＝（Ｅ ｔｌ ， （＝ｗ ） ∈ ｐ Ｃ （ — ｂ）ｏ ｗ ’，， Ｏ Ｐ ａｅ ＝ ｌ ＝） ｏ
从 Ｐ中随机 选择 ３ 位参与者 ，其中 ，２位作为计算者
２ 混淆 电路 ． ２
２ ． 函数 ＿的混淆 电路 Ｇ ．１ ２ 厂 ｃ， 在安全多方计算中 ，参与者通过混淆 电路计算 函数 ，。 令 ｋ为一个安全参数 ，参与者 通过 ２个阶段 生成混淆 电路
），得 到 门 ｇ 的 混淆 输 出
。 利用 检 验对 ｏ ｉ Ｐ＝
（ ， ） 。 找出实际的输 出 ｂ 。
定义 ３ 安全性 ：在安全多方计算中，如果对于实 际协议
的攻击者 Ａ，存在 理想模型 的攻击者 Ｓ，通过执行 完协议 ，
３ 公平的安全多方计算协议
在 恶意模型 下 ，互不信任 的参与者集合 为 Ｐ＝｛ ｉ ， ｌ＝１ ２…，｝ ｎ ， ， ≥４，Ｐ中的参 与者希望联合计算函数 － 厂，其 中，
特 １ 。
（） ｇ 表示 电路 ｃ 的第 ｉ 门 ，门 ｇ 的输 出表示 为 ２令 ， 个
＝ｇ（ ，２ ） ｌ ２ ， ０１，ｂ是 门 ｇ 的输入路 ｉｌ ， ｂ ６ …， ，ｂ ６， ， …， ∈｛， ｝ ｊ 径 的输入值 。门 ｇ 的逻辑表是一个 ２ 元组 （ ，， ０ ， ｇ（ ０…，） Ｏ
不 可 区分 的 。
码 学问题 的抽象 。安全 多方计算蕴涵了密码 学问题 的实现 方 案。 自文 献［．］ 出基于两方和多方的安全多方计算，已有 １２提 很多相关研究。安全 多方计算协议不仅要保证输 出结 果的正 确性 ，还不能泄露 自己的秘密输入信息 。文 献【］ 双线性 ３基于 对提出一个知识承诺方案和可验证秘密共享方案 。在安全多 方计算中 ，同样采 用承诺验证信息的正确性 。 由于协议不存在 第三方，某些参与者会试图获取 其他 参 与者的输入信息 ，或者在协议 的某个阶段 中止协议 ，造成其
该 协议在 诚实参与者人数 ｆ 的情形下满 足多方计算的安全性 ，并且实现公平性 。 ≥４
关健词 ：恶意模型 ；安全多方计算 ；混淆电路 ；公平性 ；安全性 ；分割选择技术
Ｓ ｃ ｒ ｕｌｉ ｒ ｙ Ｃｏ ｐｕｔ ｔｏ ｏ ｏ ｏ ｔ ｉ ｎ ｓ ｅ ｕ ｅＭ ｔｐａ ｔ ｍ ａ ｉ ｎ Ｐｒ ｔ ｃ ｌｗｉｈ Ｆａ ｒ ｅ ｓ
ｉ ｏ ｓ ｌｔ ｃ ｉｖ ｏ ｌｔ ｆｉ ｅｓｗｉ ｏ ｔ ｎｈｎ ｓ ｍａｏｉ ． ｏｏ ｅｃｍｅｈｓｍｐ ｓｉｉｔ，ｎｍａｉｉｕ ｄ ｌａｆｉａ ｄｓｃ ｒ ｌｐｒ ｍｐ ｓｉ ｅ ｏａｈｅ ｅ ｍｐｅｅ ａ ｓ ｔ ｕ ｏ ｅｔ ｊｒ ｙ Ｔ ｖｒｏ ｉ ｉ ｏｓｂｌｙ ｉ ｂ ｃ ｒ ｎ ｈ ａ ｔ ｔ ｉ ｌ ｏｓ ｃ ｍｏ ｅ， ｒ ｎ ｅｕｅｍｕｔ ａｔ ａ ｉ ｙ