隐语小课｜两方安全计算ABY2.0 高效的2PC协议

“隐语”是开源的可信隐私计算框架，内置 MPC、TEE、同态等多种密态计算虚拟设备供灵活选择，提供丰富的联邦学习算法和差分隐私机制。

开源项目：
https://github.com/secretflow
https://gitee.com/secretflow

一、介绍

ABY2.0定义了新的sharing，扩展两输入乘法门到多输入乘法门，且其online阶段通信量与输入个数无关。在此基础上，构造了各种高效的原语，如内积、矩阵乘、比较、最大/小池化、相等判断等。
ABY2.0与ABY均是在半诚实模型下的两方安全计算框架，分为setup和online阶段，ABY2.0相比ABY提高了online阶段的效率。

二、更高效的2PC

ABY2.0与ABY的区别在于Arithmetic Share和Boolean Share，而Yao Share并无区别。
Boolean Share的技术与Arithmetic Share一致，只是环和的区别，本文只介绍Arithmetic Share。

1、Sharing Semantics
：对于，有，持有：对于，有，
可结合下图理解：

ABY用的是[ ]-sharing，ABY2.0用的是< >-sharing。
并且，< >可以本地转换为[ ]，比如使

[ ]转换为< >需要通信，是通过之后讲述的Sharing Protocol来实现的。
论文中某些计算就是通过把< >转换为[ ]后，采用之前的方法计算，而后直接或者变相把[ ]转换为< >。

2、Sharing Protocol
Setup阶段：生成随机数
共同生成随机数，因此，知道值。
Online阶段：

3、Reconstruction Protocol
Online阶段：

4、Additional ProtocolOnline阶段：

5、Multiplication Protocol

setupMULT协议用来生成乘法三元组，即根据生成，并且满足，有基于OT和HE两种方式，细节见论文。

6、High level overview of Multiplication Gate

上面左图中是ABY中的MULT，对输入[a]、[b]使用随机数mask后，调用Reconstruction协议恢复出然后求结果[c]。
上面右图中是ABY2.0中的MULT，变为已知，本地计算即可求出[c]，调用Reconstruction协议恢复出，从而求出。
新MULT明显的优点是通信量减半，缺点是乘法三元组需要根据具体的电路结构提前生成好，而不能再随便取一个乘法三元组来计算了。

7、Multi-Input Multiplication Protocol

公式的推导如下图：

Setup阶段：需要生成四个[ ]-sharing，其中的setupMULT3与setupMULT类似。与MULT相比较，生成的sharing个数从1变为了4。
Online阶段：优点是Constant Communication。

Setup阶段：需要生成11个[ ]-sharing，已经有点夸张了。
Online阶段：优点依然是Constant Communication。
由MULT3和MULT4可看出，对于多输入乘法，Online阶段的通信量始终是Constant，只是Setup阶段的预计算量会呈指数增长。

三、更高效的ABY Share转换

在大多数转换协议中，ABY需要在online阶段调用OT操作，而ABY2.0只需在setup阶段调用OT操作，因此提高了效率。转换协议细节见论文，此处略去。

更高效的基本操作
在前述协议的基础上，文中构建了多个高效的基本操作。高效的原因有两点：

新形的sharing允许合并一些计算与通信
使用Multi-input MULT/AND Gate可以减少电路层数

简要介绍如下：

1、Scalar Product

与单个MULT类似，内积其实是执行了多个MULT，并且合并使得只需一次通信即可。

2、Matrix Multiplication

Setup：使用setupMULT生成矩阵相乘时两两元素的乘法三元组，在此基础上构造出结果矩阵的[]-shares。
Online：对于pq矩阵与qr矩阵的乘法，结果矩阵的维度是p*r，通信量是O(pr)，相比之前协议的O(pqr)有了很大的提升。

3、Depth-Optimized Circuits

通过使用多输入门可以减少电路层数。
上图中的8-bit PPA加法器，通过使用MULT3/MULT4，从3层电路变为了2层电路。64-bit电路、求最高位电路与此类似。

4、Comparison

为求，先计算，转换，再把通过Share Protocol转换为，然后就可以使用Depth-optimized Circuits中的求最高位电路。

5、Truncation

< >-sharing转换为[ ]-sharing，使用论文SecureML中的本地截断方法，然后再转回< >-sharing。

6、MAX2/MIN2

使用了Comparison。

7、MAX3/MIN3

使用了Comparison。

8、Non-linear Activation Functions

ReLU使用了上述的MAX: ReLU(v) = max(0, v)Sigmoid用了分段函数：

9、Maxpool and Minpool

使用了MAX3/MIN3构造三叉树，来减少树的层数。

10、Equality Testing

对两操作数先求异或，再对所有位执行与操作。
使用了AND4 gate（AND4即为下的MULT4）来减少树的层数。

四、性能

文中测试了LR与NN的性能，与SecureML做了对比，性能有大幅提高，如下图：

五、与Cheetah对比

ABY2.0	Cheetah
Semi-honest secure
Two-party computation
Mixed-Protocol (A、B、Y）	Hybrid system (HE-based Linear Layers and Secret Sharing-based Non-linear Layers) or (A、B、H)
Use IKNP-style OT	Use Silent-OT
Function-dependent Preprocessing	No Preprocessing
General Protocol for MPC (e.g. ABY、Turbospdz 、 ABY2.0)	Special Protocol for DNN Inference （e.g. Delphi、CryptFlow2、Cheetah）