前言
之前我们介绍过两方的「隐私集合求交算法」，可以应用到计算广告的实际效果，寻找联系人，联邦学习的特征对齐等场景，例如：在新的APP上找到共同的微信好友、开会时找到所有参会者共同的空闲时间等，但是这协议是针对两方设计的，没办法安全的扩展到多方。
举个例子：现在有一个会议的发起者，他想要知道自己和其他所有参会者共同的空闲时间来确定会议的时间，一种简单的方案就是会议发起者依次和每一个参会者执行两方的隐私集合求交算法获取到每个参会者和自己的共同空闲时间，再从这些共同时间中筛选出所有参会者都空闲的时间。
但是这种方案有一个很明显的数据安全问题，会议发起者和某一个参会者有两个共同的空闲时间，本周一上午和本周二上午，但是其他所有参会者本周一上午是空闲时间但是本周二上午不是空闲的，这就导致了参会者额外的信息被会议发起者知道了，会议发起者本应该只得到本周一上午这一共同的空闲时间的信息。
本文主要介绍一种简洁高效的「多方隐私集合求交协议」，该协议是针对多方隐私集合求交场景设计的，解决了上述基于两方协议简单扩展到多方时产生的数据安全问题。该协议在CCS'21的-Simple,FastMaliciousMultipartyPrivateSetIntersection中提出，适用于半诚实无参与方勾结的场景。
相关技术
该协议主要使用不经意键值存储技术和两方隐私集合求交算法进行构建：
▲不经意键值存储
美国说唱歌手Megan Thee Stallion与Cash App合作发布比特币科普视频:美国说唱歌手Megan Thee Stallion与由Square开发的移动支付服务Cash App合作发布了一段名为“Bitcoin for Hotties”的视频。该视频从她的角度解释了什么是比特币，为什么比特币有价值等内容。Megan Thee Stallion在Instagram上拥有超过2410万粉丝，在 Twitter上拥有640万粉丝。（Bitcoin News）[2021/8/8 1:41:10]
不经意键值存储是指能够在隐藏key和value内容的前提下保留key-vakue映射关系的一种数据结构。有一组键值对{(x1,y_1),(x2,y2),(x3,y3。，那么存在一个OKVS函数f，使得f(x1)=y1,f(x2)=y2,f(x3)=y3,并且对于其他的键f(x_other)为随机数。
▲两方隐私集合求交
两方隐私集合求交是指在不暴露双方集合交集之外数据的前提下获取交集部分的数据，常用的协议有基于ECDH的，基于OT的和基于同态的，本文介绍的多方隐私集合求交协议对于采用的两方协议不做限制。在前文《悄悄地找到共同点-隐私交集》中已介绍过一种实现方案，故本文中就不再详细讲解。
简单示例
现有A、B、C、D、E五方分别拥有数据集{1,2}、{1,2}、{1,3}、{1,3}、{1,4}，他们想要安全的获取他们所有人的共同交集{1}。
火币推出《一分钟读懂DeFi》系列科普视频:据官方消息，8月24日，火币推出《一分钟读懂DeFi》系列科普视频，并与微博财经合作冠名播出，布道DeFi认知，助力行业发展《一分钟读懂DeFi》是由火币成长学院打造的业内首个系统全面讲解DeFi的系列科普动画，继推出《区块链100问》后的再续佳作。《一分钟读懂DeFi》系列动画对DeFi的发展进行系统梳理，适合想要由浅入深、全面系统了解区块链DeFi的人们轻松了解DeFi。目前视频已由火币网官方微博发布。[2020/8/24]
所有方在进行求交之前已经协商好了共有的伪随机函数g(k,x)，简单实现就是hash函数，k是加的盐用于和x拼接后再hash。
A方随机生成两个伪随机函数的key：k_B和k_C，分别发送给B、C两方；A方计算自己的键值对：{(1,g(k_B,1)⊕g(k_C,1)),(2,g(k_B,2)⊕g(k_C,2)。，并基于此键值对生成OKVS函数fA，并将fA发送给E方；B方计算自己的键值对：{(1,g(k_B,1)),(2,g(k_B,2)。，并基于此键值对生成OKVS函数fB，并将fB发送给D方；C方计算自己的键值对：{(1,g(k_C,1)),(3,g(k_C,3)。，并基于此键值对生成OKVS函数fC，并将fC发送给D方；D方收到B方和C方的OKVS函数后，使用本方的数据集通过收到两个OKVS函数计算出新的集合{fB(1)⊕fC(1),fB(3)⊕fC(3。，将构成OKVS的键值对带入进去后，就等价于{g(k_B,1)⊕g(k_C,1),random_number1⊕g(k_C,3。；E方收到A方的OKVS函数后，使用本方的数据集通过收到OKVS函数计算出新的集合{fA(1),fA(4。，将构成OKVS的键值对带入进去后，就等价于{g(k_B,1)⊕g(k_C,1),random_number2}；D方和E方再使用两方隐私集合求交算法求出新集合{g(k_B,1)⊕g(k_C,1),random_number1⊕g(k_C,3。和{g(k_B,1)⊕g(k_C,1),random_number2}的交集{g(k_B,1)⊕g(k_C,1。，对应位置原来的数据集{1}就是所有方集合的交集。上述流程的一个核心思路就是：前三方通过OKVS函数将自己的数据集隐藏起来，分别发送给后两方，由后两方的数据集通过OKVS函数计算出映射后的数据集之后再执行隐私求交，通过OKVS函数的性质可以保证后两方的数据如果分别是前三方的集合的交集，那么映射出的数据是一致的，如果不是就变成随机数了，对映射后的数据集再求次交集就能获得所有方的交集。
现场 | 火币中国推出数字经济及区块链产业科普新书:金色财经现场报道，12月6日，由海南省工业和信息化厅主办，南南合作金融中心协办，海南生态软件园、火币中国承办的“海南自贸港数字经济和区块链国际合作论坛”在海口举行，这是全球首次区块链部长级论坛。
在本次论坛上，火币中国举行了“数字经济及区块链产业科普系列新书发布”仪式，希望通过教材、专业教育、培训等多种方式，帮助从业者、高校、研究机构深入了解区块链，从而建立起区块链全局性知识模型，真正推动区块链应用落地。火币中国CEO袁煜明介绍，将联合机械工业出版社面向普通高等教育推出《区块链导论》、《区块链系统设计与应用》和《区块链新商业模式分析》系列教材，这是国内最早推动的区块链教材之一；火币中国还积极参与数字经济的研究，由中信出版社出版的新书《读懂Libra》已经上市；由火币中国负责编写的区块链技术科普读物《区块链技术进阶指南》将于12月面世；首本行业内最全的区块链应用案例集《区块链产业应用100例》在本次论坛进行了首次刊印。[2019/12/6]
具体流程
协议的设计思路是将多方求交最终转化为两方求交，其他方通过OKVS的Encode方法和所拥有的伪随机函数的key来保护自己的数据集。
OKVS的Encode方法用于将一组键值对生成上述的OKVS函数f，Decode方法即是对一个键key计算出映射的f(key)
声音 | CNBC主持人：加密货币最大的缺点之一就是难以向外行快速科普:CNBC主持人Ran NeuNer近期发推称，加密货币最大的缺点之一就是很难向外行快速解释。当人们要求我向他们解释比特币时，我知道他们至少需要一个小时才能真正理解。[2019/9/10]
存在p1,...,pnn个参与方，分别拥有数据集a1,...,an，都拥有一个共同的OKVS方案和伪随机函数F(k,x)。
「具体流程」
1.p1随机生成n-2个随机数k2,...,k(n-2)，然后将ki发送给pi。
2.p1将自己的数据集元素a1j作为key，计算F(k2,a1j)⊕F(k3,a1j)⊕...⊕F(k(n-2),a1j)作为对应的value使用OKVS进行编码生成Sn发送给pn。
3.对于所有的pi(2<=i<=n-2)分别将自己的数据集元素aij作为key，计算F(ki,aij)作为对应的value使用OKVS进行编码生成Si发送给p(n-1)。
4.p(n-1)依次将自己的数据集a(n-1)的每个元素分别作为key在收到的Si(2<=i<=n-2)上进行解码，并将所有解码出的数据进行异或作为集合A(n-1)中的一个元素。
5.pn依次将自己的数据集an的每个元素分别作为key在收到的Sn上进行解码后的数据作为集合An中的一个元素。
6.p(n-1)和pn对集合A(n-1)和An执行两方隐私集合求交，获取出的交集元素对应序号的原数据集生成时使用的a(n-1)或an中的元素即是所有方集合交集中的一个元素。
财政部副部长朱光耀：数字经济还处在发展的过程中，要以科普、推动的态度来推进数字经济发展:今日，在中国发展高层论坛2018年会上，财政部副部长朱光耀表示：“数字经济还处在发展的过程中，要以科普、推动的态度来推进数字经济发展。也要关注数字经济的其他影响，包括税收征管、反监管措施等要跟上。”[2018/3/25]
正确性分析
该协议将n个参与方分成了两组，参与方1和参与方n是一组，参与方2到参与方n-2和参与方n-1是一组。
先看第一组的逻辑，p1将自己的数据集通过OKVS编码后发送给pn，pn将自己的数据集通过p1的OKVS结构解码一遍生成新的数据集An，按照OKVS的性质：如果pn的集合元素是p1集合中元素，即是这一组的集合交集元素，则对应到An中的元素就是F(k2,a1j)⊕F(k3,a1j)⊕...⊕F(k(n-2),a1j)；如果pn的集合元素不是这一组的集合交集元素，则解码后的数据就是随机数。
再看第二组的逻辑，参与方2到参与方n-2也同样使用OKVS编码自己的数据集再发送给p(n-1)，p(n-1)将自己的数据集按照上面流程4的方式通过解码所有收到的OKVS结构再异或产生A(n-1)，按照OKVS的性质：如果p(n-1)的集合元素是p2到p(n-2)集合中元素，即是这一组的集合交集元素，则对应到A(-1)中的元素就是Decode(Encode(a2j,F(k2,a2j)),a2j)⊕...⊕Decode(Encode(a2j,F(k(n2),a2j)),a2j)=F(k2,a2j)⊕F(k3,a2j)⊕...⊕F(k(n-2),a2j)；如果p(n-1)的集合元素不是这一组的集合交集元素，则解码后的数据就是随机数。
An和A(n-1)中对于解码正确的数据的计算后对应的表达式都是一样的，易看出对An和A(n-1)进行隐私求交，求出的交集就表示了即是第一组内部集合交集的数据，也是第二组内部集合交集的数据，即所有方集合的交集数据。
安全性分析
对于p1来说：他将自己的数据使用k2到k(n-2)计算伪随机数据异或进行OKVS编码后再发送给pn，由于pn没有这些key，就算解码后的数据是他们的交集，pn也无法进行确定。对于p2,...,p(n-2)来说：他们将自己的数据使用自己拥有的ki计算伪随机后进行OKVS编码后再发送给p(n-1)，由于p(n-1)没有这些key，就算解码后的数据是他们这一组的交集，p(n-1)也无法进行确定。对于p(n-1)和pn来说：他们只是使用了自己的数据集在收到的OKVS结构上进行解码，解码后再计算的数据集再和对方进行两方隐私求交来保证新的数据集的安全性。总结
该协议的流程也简单易理解比较实用，使用的OKVS只有一次交互且计算效率很高，只有最后的一次两方隐私求交，使得整个协议和其他协议相比效率更高的同时数据传输量也极低。附录
▲不经意键值存储详细定义
不经意键值存储是指能够在隐藏key的前提下保留键值映射关系的一种数据结构，包含了通过key-value构造OKVS的Encode方法和通过key查询value的Decode方法。
Encode((x1,y1),...(xn,yn))：将键值对列表编码成OKVS的数据结构，其中x是不定长bit串，y是长度为l的bit串，具体编码方式如下图：
其中v(x)是是预设好的将不定长的x映射到长度为m的bit串的函数。D=(d1,d2,...,dm)T，其中元素d_i是和y_i长度一致的bit串，D向量就是编码后的OKVS数据结构，其编码目标就是找到这个D向量，使得上述矩阵‘乘法’成立。
即将v(xi)产生的bit串中为1对应序号的D向量中的元素求异或的结果是等于yi的。
Decode(D,x)：给定一个OKVS的数据结构(D向量)和一个key，获取这个key对应的value。
OKVS和普通的哈希表的区别主要是key和value都是隐藏的，只保留了key到value的一个映射关系，因此拥有key可以解出构建时对应的value，没有key则无法解出对应的value也无法推测有哪些key。
具体构造OKVS的方案本协议使用的是PSIfromPaXoS:Fast,MaliciousPrivateSetIntersection中提出的garbledcuckootable方案，构造出的OKVS结构体大小较小，且encode，decode效率也很高，具体实现可直接阅读该论文的第五部分。
Simple,FastMaliciousMultipartyPrivateSetIntersection.
?PSIfromPaXoS:Fast,MaliciousPrivateSetIntersection.
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。