【隐私计算】算术秘密分享的加法和乘法运算（Beaver Triple预处理）

在安全多方计算中（MPC）中，算术秘密分享是最基础的机制。一直有在接触，但是一直没有整理清楚最基础的加法和乘法计算流程。

算术秘密分享

概念： 一个位宽为$l$-bit的数$x$，被拆分为两个在${\mathbb{Z}}_{2^l}$环上的数之和。
形式化描述： 对于一个位宽为$l$-bit的数$x$，其算术秘密分享是$⟨x{⟩}^A$，则满足$x\equiv ⟨x{⟩}_0^A+⟨x{⟩}_1^A\mathrm{mod}{2}^l$，其中，$⟨x{⟩}_0^A,⟨x{⟩}_1^A\in {\mathbb{Z}}_{2^l}$。
Share（分享）算法
$P_i$生成随机数$r{\in }_R{\mathbb{Z}}_{2^l}$，令$⟨x{⟩}_i^A=x-r$作为自己的share，并将随机数$r$发给另一方$P_{1-i}$，即$⟨x{⟩}_{1-i}^A=r$。
Reconstruct（重构）算法
$P_{1-i}$将自己的share发给$P_i$，然后$P_i$计算$x=⟨x{⟩}_0^A+⟨x{⟩}_1^A$重构真实的$x$值。

算术秘密分享的加法

加法非常简单，两方在本地直接计算share的加法，即满足真实值的加法。
当计算$z=x+y$时，$P_i$在本地计算$⟨z{⟩}_i^A=⟨x{⟩}_i^A+⟨y{⟩}_i^A$。
本地可加性很好证明，$P_0$计算$⟨z{⟩}_0^A=⟨x{⟩}_0^A+⟨y{⟩}_0^A$，同时$P_1$计算$⟨z{⟩}_1^A=⟨x{⟩}_1^A+⟨y{⟩}_1^A$，于是，$z=⟨z{⟩}_0^A+⟨z{⟩}_1^A=⟨x{⟩}_0^A+⟨y{⟩}_0^A+⟨x{⟩}_1^A+⟨y{⟩}_1^A=x+y$，因此成立。
因此，在MPC中，秘密分享的加法只需简单的本地加法，不会引入任何通信开销。

算术秘密分享的乘法

相比于加法，乘法则复杂很多，需要依靠双方的通信来实现。
当计算$z=x\cdot y$时，需要依赖预处理阶段生成的乘法三元组（Beaver Triple）：$c=a\cdot b$，注意$a,b,c$均与真实的输入$x,y$无关。
下面是基于Beaver Triple计算秘密分享乘法的流程：

1. $P_i$本地计算$⟨e{⟩}_i^A=⟨x{⟩}_i^A-⟨a{⟩}_i^A$和$⟨f{⟩}_i^A=⟨y{⟩}_i^A-⟨b{⟩}_i^A$；
2. 双方共同计算（重构）出$e=⟨e{⟩}_0^A+⟨e{⟩}_1^A=x-a$和$f=⟨f{⟩}_0^A+⟨f{⟩}_1^A=y-b$；
3. $P_i$本地计算$⟨z{⟩}_i^A=i\cdot e\cdot f+f\cdot ⟨a{⟩}_i^A+e\cdot ⟨b{⟩}_i^A+⟨c{⟩}_i^A$；
4. 最后，重构输出$z=⟨z{⟩}_0^A+⟨z{⟩}_1^A$。

证明：
$⟨z{⟩}_0^A=f\cdot ⟨a{⟩}_0^A+e\cdot ⟨b{⟩}_0^A+⟨c{⟩}_0^A$
$⟨z{⟩}_1^A=e\cdot f+f\cdot ⟨a{⟩}_1^A+e\cdot ⟨b{⟩}_1^A+⟨c{⟩}_1^A$
$$\begin{gathered} z=⟨z{⟩}_0^A+⟨z{⟩}_1^A \\ =e\cdot f+a\cdot f+e\cdot b+c \\ =(x-a)(y-b)+a(y-b)+(x-a)b+c \\ =xy-bx-ay+ab+ay-ab+bx-ab+ab \\ =xy \end{gathered}$$，
故成立。

Beaver Triple的生成

上面已经介绍了基于Beaver Triple计算乘法的流程，但是需要注意，$c=ab$也是秘密分享的形式：
$$\begin{gathered} c=ab \\ =(⟨a{⟩}_0^A+⟨a{⟩}_1^A)(⟨b{⟩}_0^A+⟨b{⟩}_1^A) \\ =⟨a{⟩}_0^A⟨b{⟩}_0^A+⟨a{⟩}_1^A⟨b{⟩}_1^A+⟨a{⟩}_0^A⟨b{⟩}_1^A+⟨a{⟩}_1^A⟨b{⟩}_0^A \end{gathered}$$
可以看到，第一项$⟨a{⟩}_0^A⟨b{⟩}_0^A$和第二项$⟨a{⟩}_1^A⟨b{⟩}_1^A$均可以在$P_0,P_1$本地计算，因此无需通信。而重点就在于后两项$⟨a{⟩}_0^A⟨b{⟩}_1^A,⟨a{⟩}_1^A⟨b{⟩}_0^A$，两个share分别在两方，因此必然引入通信，通常我们将这两项称作“交叉项”或CrossTerm。
那么，Beaver Triple的生成，本质上也就是解决交叉项计算的问题。下面介绍两种常用的计算方式：

基于同态加密（HE）的Beaver Triple生成
流程如下：

1. $P_0$将$Enc(⟨a{⟩}_0^A)$和$Enc(⟨b{⟩}_0^A)$发给$P_1$；
2. $P_1$生成一个随机数$r$，计算$d=Enc(⟨a{⟩}_0^A{)}^{⟨b{⟩}_1^A}\times Enc(⟨b{⟩}_0^A{)}^{⟨a{⟩}_1^A}\times Enc(r)$，然后将$d$发给$P_0$；
3. $P_0$计算$⟨c{⟩}_0^A=⟨a{⟩}_0^A+⟨b{⟩}_0^A+Dec(d)=⟨a{⟩}_0^A⟨b{⟩}_0^A+⟨a{⟩}_0^A⟨b{⟩}_1^A+⟨a{⟩}_1^A⟨b{⟩}_0^A+r$；
4. $P_1$计算$⟨c{⟩}_1^A=⟨a{⟩}_1^A⟨b{⟩}_1^A-r$。

证明：
$$\begin{gathered} c=⟨c{⟩}_0^A+⟨c{⟩}_1^A \\ =⟨a{⟩}_0^A⟨b{⟩}_0^A+⟨a{⟩}_1^A⟨b{⟩}_1^A+⟨a{⟩}_0^A⟨b{⟩}_1^A+⟨a{⟩}_1^A⟨b{⟩}_0^A \\ =ab \end{gathered}$$，
故成立。

如上采用的加密算法Enc是Pailler同态加密算法，其同态性如下：

• 明文加法 <=> 密文乘法；
• 明文乘法 <=> 密文指数幂

因此在上面流程的第3步中Dec(d)时才会将乘法转成加法，指数幂转成乘法。关于背后的原理参考我的另一篇博客：【密码学基础】半/全同态加密算法基础学习笔记

基于不经意传输（OT）的Beaver Triple生成
另一种常用的方式是基于COT（相关性不经意传输）的方式。
下面是计算交叉项$⟨a{⟩}_0^A⟨b{⟩}_1^A$的流程：

1. 在$P_0,P_1$之间建立COT协议通信，其中$P_0$作为发送方，$P_1$作为接收方；
2. 在第$i$轮的COT通信中：
   • $P_1$输入$⟨b{⟩}_1^A[i]$作为自己的选择比特，$P_0$输入相关性函数$f_{{\Delta }_i}(x)=(⟨a{⟩}_0^A\cdot 2^i-x)\mathrm{mod}{2}^l$
   • $P_0$获得消息对$(s_{i,0},s_{i,1})$，其中，$s_{i,0}{\in }_R{\mathbb{Z}}_{2^l}$，$s_{i,1}=f_{{\Delta }_i}(s_{i,0})=(⟨a{⟩}_0^A\cdot 2^i-s_{i,0})\mathrm{mod}{2}^l$；$P_1$获得$s_{i,⟨b{⟩}_1^A[i]}=(⟨b{⟩}_1^A[i]\cdot ⟨a{⟩}_0^A\cdot 2^i-s_{i,0})\mathrm{mod}{2}^l$；
   • $⟨u{⟩}_0^A=({\sum }_{i=0}^{l-1}{s}_{i,0})\mathrm{mod}{2}^l$, $⟨u{⟩}_1^A=({\sum }_{i=0}^{l-1}{s}_{i,⟨b{⟩}_1^A[i]})\mathrm{mod}{2}^l$

证明：
$$\begin{gathered} ⟨a{⟩}_0^A⟨b{⟩}_1^A=⟨u{⟩}_0^A+⟨u{⟩}_1^A \\ ={\sum }_{i=0}^{l-1}{s}_{i,0}+{\sum }_{i=0}^{l-1}{s}_{i,⟨b{⟩}_1^A[i]} \\ ={\sum }_{i=0}^{l-1}(s_{i,0}+⟨b{⟩}_1^A[i]\cdot ⟨a{⟩}_0^A\cdot 2^i-s_{i,0}) \\ ={\sum }_{i=0}^{l-1}(⟨b{⟩}_1^A[i]\cdot ⟨a{⟩}_0^A\cdot 2^i) \end{gathered}$$
注：到这一步已经非常直观了，其实就是在二进制中做乘法，一个数的每一位去乘另一个数，然后移位（乘上对应位的2的幂次）累加（对每一位的乘法结果求和）。

举例：
假设$⟨a{⟩}_0^A=3,⟨b{⟩}_1^A=5=(101{)}_2$，于是：

$$\begin{gathered} ⟨a{⟩}_0^A⟨b{⟩}_1^A=⟨u{⟩}_0^A+⟨u{⟩}_1^A \\ ={\sum }_{i=1}^{l-1}(s_{i,0}+s_{i,⟨b{⟩}_1^A[i]}) \\ ={\sum }_{i=1}^{l-1}(s_{i,0}+⟨b{⟩}_1^A[i]\cdot ⟨a{⟩}_0^A\cdot 2^i-s_{i,0}) \\ ={\sum }_{i=1}^{l-1}(⟨b{⟩}_1^A[i]\cdot ⟨a{⟩}_0^A\cdot 2^i) \\ =1\cdot 3\cdot 2^0+0\cdot 3\cdot 2^1+1\cdot 3\cdot 2^2 \\ =3+0+12 \\ =15 \end{gathered}$$，
故计算正确。