多密钥TFHE学习笔记1-MKTFHE的整体流程

MK-TFHE 的整体流程图

MK-TFHE的整体流程从用户与服务器的角度看大致如下所示：

1. 首先生成公共参数 CRS，将参数发送给每个参与方以及服务器（如果CRS生成不在服务器）
   
2. 每个参与方独立地生成自己的密钥并加密消息，发送至服务器
   
3. 服务器进行同台评估过程，将结果返回给参与方
   
4. （在联合解密中）所有参与计算的参与方共同解密密文，得到结果
   

TFHE 的多密钥变体的关键步骤

首先做一些约定：

• 除非特殊说明，否则算法以 2 为底数。
• 向量使用加粗的字体表示，矩阵使用加粗大写的字体表示。
• 内积使用 $<\cdot ,\cdot >$ 表示。
• 对于实数 $r$ ，使用 $\lfloor r\rceil$ 表示取整（取距离 $r$ 最近的整数，相等时向上舍入）。
• 使用 $x\leftarrow D$ 表示从分布 $D$ 中取样 (sample) $x$ 。
• 对于有限集合 $S$ ，使用 $U(S)$ 表示集合 $S$ 上的均匀分布。
• 使用 $D_{\alpha }$ 表示方差为 ${\alpha }^2$ 的高斯分布。
• 使用 $\lambda$ 表示安全参数。
• 所有已知的对该密码方案的攻击需要 $\Omega (2^{\lambda })$ 比特的操作。
• 对于正整数 $k$ ，使用 $[k]$ 表示其索引集合 $\{1,2,...,k\}$ 。

以下为多密钥 TFHE (MKTFHE) 的重要步骤：

1. 设置 - MKHE.Setup( $1^{\lambda }$ )

1. 调用 LWE.Setup ( $1^{\lambda }$ ) 来生成 LWE 的参数 $p{p}^{LWE}=(n,\chi ,\alpha ,B^{\prime },d^{\prime })$ 。其中 $n$ 为 LWE 的维度， $\chi$ 为 LWE 密钥的分布， $\alpha$ 为错误率，$B^{\prime }$ 为分解基， $d^{\prime }$ 为密钥转换 gadget 向量的维度。密钥转换 gadget 向量： $g^{\prime }=(B^{\prime -1},...,B^{\prime -d^{\prime }})$ 。
2. 调用 RLWE.Setup ( $1^{\lambda }$ ) 来生成 RLWE 的参数 $p{p}^{RLWE}=(N,\psi ,\beta ,B,d,a\text{a}a)$ 。其中 $N$ 为 RLWE 的维度（2的幂）， $\psi$ 为 RLWE 密钥在 $R$ 上的分布，并且错误率为 $\alpha$ ，$B\ge 2$ 是整数基，分解维度为 $d$ ， gadget 向量为 $g=(B^{-1},...,B^{-d})$ 。 $a\text{a}a$ 为分布 $T^d$ 上的均匀分布的采样。
3. 返回生成的公共参数 $p{p}^{MKHE}=(p{p}^{LWE},p{p}^{RLWE})$ 。

*假设 MKHE 的算法都默认将 $p{p}^{MKHE}$ 作为输入。公共参数为 CRS ，可以理解为是所有人都知道的信息。

2. 密钥生成 - MKHE.KeyGen()

1. 生成 LWE 密钥 $s_i\leftarrow LWE.KeyGen()$ 。这一步仅为从分布 $\chi$ 中采样密钥。
2. 运行 $(z_i,{b\text{b}b}_i)\leftarrow RLWE.KeyGen()$ 并且设置公钥为 $P{K}_i={b\text{b}b}_i$ 。从分布 $\psi$ 中采样 $z$ ，设 $z\text{z}z=(1,z)$ 。从 $D_{\alpha }^d$ 中取一个误差向量 $e\text{e}e$ ，计算公钥 $b\text{b}b=-z\cdot a\text{a}a+e\text{e}e$ (mod 1) 。对于 $z_i=z_{1,0}+z_{i,1}X+...+z_{i,N-1}{X}^{N-1}$ ，记 ${z\text{z}z}_i^{\ast }=(z_{i,0},-z_{i,N-1},...,-z_{i,1})\in {\mathbb{Z}}^N$ 。
3. 对于 $j\in [n]$ ，生成 $({d\text{d}d}_{i,j},{F\text{F}F}_{i,j})\leftarrow RLWE.UniEnc(s_{i,j},z_i)$ ，即使用 RLWE 密钥加密 LWE 密钥。同时，设置自举密钥为 $B{K}_i=\{({d\text{d}d}_{i,j},{F\text{F}F}_{i,j}){\}}_{j\in [n]}$ 。从 $\psi$ 中取一个随机值 $r$ ，可将 $d\text{d}d$ 看作是随机值 $r$ 加密下的 LWE 密钥 $s$ ，将 $F\text{F}F$ 看成是 RLWE 密钥 $z$ 加密下的随机值 $r$ 。
4. 生成密钥转换密钥 $KS\leftarrow LWE.KSGen({z\text{z}z}_i^{\ast },{s\text{s}s}_i)$ ，能够将一个与 $t\text{t}t\in {\mathbb{Z}}^N$ 对应的 LWE 密文转换为同一消息在 $s\text{s}s\in {\mathbb{Z}}^n$ 加密下的另一个 LWE 密文。
5. 返回密钥 ${s\text{s}s}_i$ ，公开密钥的三元组 $(P{K}_i,B{K}_i,K{S}_i)$ ，分别为公钥、自举密钥、密钥转换密钥。

*每个参与方都独立进行该步骤，下标 $i$ 表示第 $i$ 个参与方。

*注意对于任意 $a=a_0+a_{1}X+...+a_{N-1}{X}^{N-1}\in T$ 和它的系数构成的向量 $(a_0,...,a_{N-1})\in {\mathbb{T}}^N$ ， $a\cdot z\in T$ 的常数项等价于 $<a\text{a}a,{z\text{z}z}^{\star }>$ 模 1 ，其中 $T=\mathbb{T}[X]/(X^N+1)$ 。

3. 加密 - MKHE.Enc( $m$ )

对于输入比特 $m\in \{0,1\}$ ，运行 $LWE.Enc(m)$ 并返回一个 LWE 密文，其中 scaling factor = $\frac{1}{4}$ （与 FHEW/TFHE 方案中意义相同）。这是一个标准的 LWE 加密，从 ${\mathbb{T}}^n$ 中均匀采样得到 $a\text{a}a$ 作为 mask ，从 $D_{\alpha }$ 中采样得到 $e$ 作为误差。输出密文 $ct=(b,a\text{a}a)\in {\mathbb{T}}^{n+1}$ 满足 $b+<a\text{a}a,s\text{s}s>\approx \frac{1}{4}m(mod1)$ 。

*同态计算后密文的维度增加，应存储参与方的索引以便解密和进行同态操作。

4. 解密 - MKHE.Dec( $\overline{ct},\{{s\text{s}s}_i{\}}_{i\in [k]}$ )

对于密文 $\overline{ct}=(b,{a\text{a}a}_1,...,{a\text{a}a}_k)\in {\mathbb{T}}^{kn+1}$ 和一组密钥 $({s\text{s}s}_1,...,{s\text{s}s}_k)$ ，返回比特 $m\in \{0,1\}$ 使得 $|b+{\sum }_{i=1}^k<{a\text{a}a}_i,{s\text{s}s}_i>-\frac{1}{4}m|$ 最小。

5. 与非门运算 - MKHE.NAND( $\overline{c{t}_1},\overline{c{t}_2},\{(P{K}_i,B{K}_i,K{S}_i){\}}_{i\in [k]}$ )

给定两个 LWE 密文 $\overline{c{t}_1}\in {\mathbb{T}}^{k_{1}n+1}$ 和 $\overline{c{t}_2}\in {\mathbb{T}}^{k_{2}n+1}$ ，令 $k$ 为参与者的数量，与 $\overline{c{t}_1}$ 或 $\overline{c{t}_2}$ 相关。对于 $i\in [k]$ ， $P{K}_i={b\text{b}b}_i,B{K}_i=\{({d\text{d}d}_{i,j},{F\text{F}F}_{i,j}){\}}_{i\in [k]},K{S}_i$ 分别为第 $j$ 个参与方的 公钥、自举密钥、密钥转换密钥。

1. 拓展输入的 LWE 密文并且在密文比特上同态评估与非门 $m=m_1⊼m_2$ 。
   1. 将密文 $\overline{c{t}_1}$ 和 $\overline{c{t}_2}$ 拓展至 ${\overline{c{t}_1}}^{\prime }，{\overline{c{t}_2}}^{\prime }\in {\mathbb{T}}^{kn+1}$ ：联合密钥 $\overline{s\text{s}s}=({s\text{s}s}_1,...,{s\text{s}s}_k)\in {\mathbb{Z}}^{kn}$ 加密下的相同消息。只需要重新排列并在空槽 (slots) 中放入 0 即可。
   2. 计算 ${\overline{ct}}^{\prime }=(\frac{5}{8},0\text{0}0,...,0\text{0}0)-{\overline{c{t}_1}}^{\prime }-{\overline{c{t}_2}}^{\prime }$ (mod 1) 。这个是与非门的标志步骤。
2. 同态累加 (homomorphic accumulator) ：使用 RSGW 方案的外积来评估拓展 LWE 密文的解密电路，来实现自举。
   1. 初始化累加器 $\overline{c\text{c}c}$ ：令 ${\overline{ct}}^{\prime }=(b^{\prime },{a\text{a}a}_1^{\prime },...,{a\text{a}a}_k^{\prime })\in {\mathbb{T}}^{kn+1}$ ，计算 $b=\lfloor 2N\cdot b^{\prime }\rceil$ 和 ${a\text{a}a}_i=\lfloor 2N\cdot {a\text{a}a}_i^{\prime }\rceil$ 。初始化 RLWE 密文为 $\overline{c\text{c}c}=(-\frac{1}{8}h(X)\cdot X^{\tilde{b}},0\text{0}0)\in T^{k+1}$ 其中 $h={\sum }_{-\frac{N}{2}<j<\frac{N}{2}}{X}^j=1+X+...+X^{\frac{N}{2}-1}-X^{\frac{N}{2}+1}-...-X^{N-1}$ 。这是 $-\frac{1}{8}h(X)\cdot X^{\tilde{b}}$ 的平凡的 (trivial) RLWE 密文。
   2. 使用 Mux 门来实现主要的计算：对于 $i\in [k]$ ，令 ${\widetilde{a\text{a}a}}_i=({\tilde{a}}_{i,j}{)}_{j\in [n]}$ 。对于 $i\in [k]$ 和 $j\in [n]$ ，递归地计算 $\overline{c\text{c}c}\leftarrow RLWE.CMux(\overline{c\text{c}c},X^{{\tilde{a}}_{i,j}}\cdot \overline{c\text{c}c},({d\text{d}d}_{i,j},{F\text{F}F}_{i,j}),\{{b\text{b}b}_l{\}}_{l\in \lceil k\rceil })$ 。
   3. 返回 $\overline{c\text{c}c}\leftarrow (\frac{1}{8},0\text{0}0)+\overline{c\text{c}c}$ (mod 1) 。
3. 将 $\overline{c\text{c}c}$ 转换为 LWE 密文并运行多密钥的密钥转换算法。
   1. 对于 $\overline{c\text{c}c}=(c_0,c_1,...,c_k)\in T^{k+1}$ ，令 $b^{\ast }$ 为 $c_0$ 的常数项，对于 $i\in [k]$ ，令 ${a\text{a}a}_i^{\ast }$ 为 $c_i$ 的系数向量。计算 LWE 密文 ${\overline{ct}}^{\ast }=(b^{\ast },{a\text{a}a}_1^{\ast },...,{a\text{a}a}_k^{\ast })\in {\mathbb{T}}^{kN+1}$ 。
   2. 令 $\overline{KS}=\{K{S}_i{\}}_{i\in [k]}$ ，执行多密钥的密钥转换算法 (multi-key-switching) 并返回密文 ${\overline{ct}}^{\prime \prime }\leftarrow LWE.MKSwitch({\overline{ct}}^{\ast },\overline{KS})$ 。这个密钥转换算法输入拓展密文和一系列密钥转换密钥，返回相同消息在联合密钥加密下的密文。

实现以上五个步骤可实现 MKHE。

主要参考论文：

• Chen H, Chillotti I, Song Y. Multi-key homomorphic encryption from TFHE[C]//International Conference on the Theory and Application of Cryptology and Information Security. Springer, Cham, 2019: 446-472.

网址：https://link.springer.com/chapter/10.1007/978-3-030-34621-8_16

算法库：https://github.com/ilachill/MK-TFHE