安全多方计算概论

版权信息

书名：安全多方计算概论

ISBN：978-7-115-68311-3

本书由人民邮电出版社发行数字版。版权所有，侵权必究。

您购买的人民邮电出版社电子书仅供您个人使用，未经授权，不得以任何方式复制和传播本书内容。

我们愿意相信读者具有这样的良知和觉悟，与我们共同保护知识产权。

如果购买者有侵权行为，我们可能对该用户实施包括但不限于关闭该帐号等维权措施，并可能追究法律责任。

版　　权

著    李雪莹 陈世武 王 炜

责任编辑 郭 家

人民邮电出版社出版发行　　北京市丰台区成寿寺路11号

邮编　100164 　电子邮件　315@ptpress.com.cn

网址　http://www.ptpress.com.cn

读者服务热线：(010)81055410

反盗版热线：(010)81055315

内容提要

本书全面、系统地介绍安全多方计算的基础知识和进阶知识，注重理论与实践的紧密结合，简要分析安全多方计算技术的典型应用场景，阐述安全多方计算面临的挑战及未来发展趋势，旨在帮助读者构建完整的安全多方计算知识体系。

本书既可作为安全多方计算技术相关行业从业者的参考书，也可供高等学校计算机科学、密码学、信息安全等相关专业师生参考。

前  言

在数字化浪潮席卷全球的今天，信息技术的飞速发展不仅极大地丰富了人们的生活，也深刻改变了社会经济的运行模式。然而，随着数据成为新的生产要素和核心资源，如何在保障安全性与隐私性的前提下实现数据价值高效共享与协同计算，已经成为数据使用过程中面临的一个重大挑战。安全多方计算（Secure Multi-Party Computation，MPC）正是应对该挑战的有效技术途径之一。

自姚期智教授于1982年提出MPC的概念以来，MPC技术已历经40余年的发展。近十几年来，随着计算设备算力的不断提升，MPC技术已发展成一门涵盖多个技术领域的创新性技术，并逐渐迈向成熟阶段，在诸多关键领域展现出巨大的应用价值。比如，在分布式计算领域，可使用MPC技术，并通过创新机制有效保护参与方的数据隐私，确保信息在流转中不被窥探，显著增强了数据的安全性和隐私性；在医疗、金融、政务服务等高度依赖敏感数据共享与合作的领域，MPC更是发挥了不可或缺的桥梁作用，使得各机构能够在严守数据机密的同时，实现安全的跨机构协作，以充分发挥各方数据的价值，加速业务创新与增长。作为密码学研究的重要分支，MPC不仅推动了诸多领域的持续进步与创新，还展现出强大的跨学科融合能力，与人工智能、区块链等前沿技术共同拓宽了技术应用的边界，为技术融合创新注入了新的活力与可能。

鉴于MPC技术在过去十几年间的迅猛发展与理论迭代，对其基础知识、核心技术、高效算法及创新协议进行系统的梳理与整合显得尤为迫切。这不仅是为了满足科研人员与工程技术人员深入探索的实际需求，更是为了促进该技术在实际应用中的推广与有效实施。当前，尽管市面上已有一些探讨MPC的图书，但这些图书或聚焦于MPC技术，或致力于普及基础概念与经典计算协议，鲜有系统地覆盖MPC领域要点知识的专著。虽然网络上存在关于MPC的基础知识、核心算法及关键协议的文章和其他材料，但依靠这些资源往往难以形成完整的知识体系。因此，当前亟需一本既介绍理论基础又涵盖最新进展，且广泛联系实践的综合性图书。

针对此需求，本书旨在相对全面而系统地介绍MPC的基本概念、核心原理、关键算法及其在多个领域中的应用。在内容编排上，本书力求语言通俗易懂、由浅入深，先详尽阐述MPC的基础理论，包括安全要求、安全模型等核心概念，再逐步深入基础协议和技术、典型应用协议、典型应用场景，以及针对不同安全性设置和应用需求的实用MPC协议。同时，本书也注重理论与实践的紧密结合，通过列举并分析MPC在金融、医疗、大数据分析、物联网等多个领域的应用，帮助读者构建相对完整的MPC知识体系。

经过40多年的发展，MPC领域积淀的知识很庞杂，比如MP-SPDZ项目就包含了30多种MPC协议及协议变体。因此，很难将MPC领域的方方面面放在一本书中详细介绍，而且完全没有必要。本书定位于“领域概论”，力图相对系统地给出MPC领域的一个知识体系框架，介绍典型的计算协议和应用场景。读者可以本书为基础，进一步深入研究自己感兴趣的具体技术方向。我们相信，通过本书的导引，读者能够全面掌握MPC领域的核心知识，激发创新思维，为推动数据安全与隐私保护技术的发展贡献自己的力量。

如何阅读本书

■ 第1章主要介绍MPC的概念、发展历程和应用等基础知识，对MPC已经有一定了解的读者可以跳过这部分内容。

■ 第2章介绍安全模型，包括敌手行为模型、腐化策略模型、基于不诚实门限的安全模型等内容；第3章介绍MPC基础协议，包括同态加密（Homomorphic Encryption，HE）方案、秘密分享（Secret Sharing，SS）方案、不经意传输（Oblivious Transfer，OT）协议、零知识证明（Zero-Knowledge Proof，ZKP）协议、混淆电路（Garbled Circuit，GC）协议、密码学承诺（Cryptographic Commitment，CC）方案。对于MPC初学者，建议仔细阅读这两章的内容。

■ 第4章［隐私集合求交（Private Set Intersection，PSI）协议］、第5章［隐私信息检索（Private Information Retrieval，PIR）技术］、第6章（实用MPC协议）、第7章（开源框架与标准）和第8章（挑战与展望）相对独立，读者可以根据个人兴趣选择其中的某些内容优先阅读。

致谢

我们要感谢所有在MPC领域做出贡献的先驱者和同行，是他们的智慧和努力，为我们铺就了这条通往数据安全与隐私保护的康庄大道。

联系我们

尽管我们已竭尽所能确保内容的准确性与全面性，但由于能力有限，书中难免存在不足之处。在此，诚挚地恳请读者朋友不吝赐教。若您在阅读本书的过程中发现任何不妥之处，请与我们（nuclear2010@126.com）联系，您的反馈将是我们修正完善、追求卓越的重要动力。

愿本书能成为读者探索MPC世界的钥匙，陪伴读者开启一段充满挑战与机遇的旅程。

李雪莹　陈世武　王炜

2025年5月

符号定义

符号定义

第1章　概述

当前，物联网、移动计算、大数据处理和云计算等技术处于快速发展和应用阶段，不断改变着人们的生产生活方式。这些技术为数据的采集、存储、传播和处理带来了新的模式，不仅为社会生产生活提供了极大便利，更推动网络泛在互联成为现实。为了共享这些技术提供的资源和便利，不同组织之间开展协作计算的需求变得越来越迫切。拥有不同数据类型的参与方通过协作计算，可以在不泄露私有数据的前提下，融合应用多源数据，充分挖掘数据资源的价值，并由此得到更多有价值的信息。例如，在物联网中，可以将从不同探测设备收集的数据聚集起来，产生更有价值的结果；在云计算服务中，云端和客户可以通过相互协作，满足客户的特定服务需求；等等。

但是，在泛在互联的网络环境下，信息广泛传播，且信息量呈爆炸式增长，无疑增大了隐私信息在不同信息系统中有意或无意留存的可能性，隐私保护方面的短板效应、隐私侵权追踪溯源难等导致的安全问题与日俱增。另外，随着泛在互联网络环境的普及，近年来，数据安全事件频发，数据安全威胁日益严峻。因此，如何兼顾数据应用合规性、业务发展和数据隐私安全，平衡效率与风险，在保障数据隐私安全的前提下充分发挥数据价值，成为目前面临的重要课题，这也对数字经济的健康发展有着非常重要的意义。

当前，以MPC、联邦学习（Federated Learning，FL）、可信执行环境（Trusted Execution Environment，TEE）为代表的隐私保护技术受到国内外极大关注。其中，MPC为“原始数据不出域、数据可用不可见、用量可控可计量”提供了有效的解决方案，有助于发挥数据自身价值，以及数据融合后的综合价值，破解数据保护与利用之间的矛盾。当前，MPC相关技术已开始在金融、医疗、政务服务等领域推广并应用。

1.1　MPC的概念

MPC是传统多方计算技术的替代方案。传统的多方计算技术依赖可信第三方（Trusted Third Party，TTP），但是在现实环境中，往往并不存在真正可信的第三方。因此，中心化的计算模式很难真正保证安全性，或者说安全性很难被证明或验证。MPC技术使用计算协议取代用于计算的第三方，从而在各参与方不共享各自隐私数据且没有TTP的情况下，仍可以安全地进行协同计算，最终产生有价值的计算结果，如图1-1所示。图中，鉴于MPC任务的多样性，和仅用于示意性地表示输入和输出。

图1-1　MPC替代传统多方计算

MPC的概念相对宽泛，这里给出一种描述性定义：MPC是在无TTP的情况下，多个参与方之间在保护数据隐私的基础上，进行安全协同计算的技术体系，具有输入独立性、计算正确性等技术特征。安全性要求是，在MPC过程中，除了计算结果，各参与方不能得到其他参与方输入的任何信息。

作为数据安全领域的核心技术之一，密码学在确保数据安全性中扮演着中心角色，为保护数据隐私、保证数据完整性和可认证性提供了理论基础和技术支撑。在密码学领域，MPC已然成为一种为多方计算提供隐私保护能力的通用密码学原语。密码学原语通常指密码学算法，可被视为密码学中最小的一种算法构造块，它通常与其他密码学原语一起用于构造新协议。当然，对MPC的研究也将推动密码学中其他基础原语的发展。

从技术实现的角度来看，MPC是一系列隐私保护技术和协议的统称。它不仅涉及本书第3章中将要介绍的HE、SS、OT、ZKP、GC、CC等基础技术或协议，还包括第4章中将要介绍的PSI协议，以及第6章中将要介绍的一系列基于基础技术和安全模型构造的实用MPC协议。

MPC要解决的问题是在分布式计算场景中，多个拥有隐私数据的参与方之间如何以安全的方式执行协作计算。比如，两个及以上拥有隐私输入的参与方想要使用它们的隐私输入共同计算某个函数^[1]。在这个过程中，安全性要求是，每个参与方只能得到自己的目标输出，不能得到更多的信息。

[1]　这里的函数是一个通用的概念，可以指几乎所有的密码学任务。

MPC面向的计算场景是多样的。通常来说，在这些计算场景中，会涉及数据拥有方（即隐匿数据或密态数据提供方）、分布式计算方、计算结果使用方、计算过程监督方等多方角色。在MPC过程中，数据拥有方可以只提供隐匿数据或密态数据，而不参与计算；也可以既提供数据，又参与计算。当然，数据拥有方也可以是计算结果使用方，甚至是计算过程监督方。这里的“隐匿数据”是原始数据经混淆等非加密手段处理后得到的数据，“密态数据”是对原始数据加密后得到的数据密文。

MPC的概念比较宽泛，对应的场景也很多。广义上说，只要是关于数据隐私保护的多方计算都可以被归为MPC，只要是涉及多个参与方的密码学任务都可以被看作MPC任务。MPC既在交互式协议中为可证明安全性建立了理论基础，又极大地推动了现代密码学的发展，是目前隐私计算领域的研究热点之一。

1.2　MPC的发展历程

从20世纪80年代姚期智教授提出MPC的概念至今，MPC已历经40多年的发展。作为密码学的一个重要分支，MPC的发展历程是以现代密码学为发展主线，与信息论、统计学、数论、近世代数（也称抽象代数）、计算机体系结构等学科融合发展的过程。为了更清晰地说明MPC的发展脉络，这里将MPC的发展过程分为理论研究期、应用探索期、规模化应用期3个发展阶段。

事实上，在MPC概念被提出之前，一些密码学理论和原语的提出已经为MPC的后续发展与应用奠定了理论基础。因此，可以认为在MPC的理论研究期之前，还有一个基础储备期。这一时期的关键突破性成果包括：Shannon在20世纪40年代发表《保密系统的通信理论》，奠定了密码学学科的理论基础，这被视为现代密码学的开端；1976年，Diffie和Hellman开创性地提出公钥加密体制，推动密码学进入新阶段；1977年，Rivest、Shamir和Adleman提出RSA算法，有效解决了对称加密的密钥分发难题；1978年，Rivest等人进一步提出HE的概念并实现初期算法，虽未完全解决安全问题，但引领加密技术从静态应用转向动态应用，为MPC奠定了重要基石；1979年，Shamir和Blakley提出的SS方案，以及1981年Rabin提出的OT协议，与这一时期的其他研究成果共同构建了支撑现代密码学发展的核心理论与技术框架。

1.2.1　理论研究期（1982—1999年）

1982年，姚期智教授提出著名的“百万富翁问题”。自此，开始有少量MPC相关论文被发表。这些论文主要聚焦MPC理论研究，验证在不同安全模型下进行多方计算的可行性。这些算法的效率通常较低，与实际应用有较大的差距。

注解1.1　“百万富翁问题”可表述如下：有两个富翁在街头相遇，彼此在虚荣心的驱使下，想比比谁更富有，但又不想让对方知道自己的财富金额。那么，在不借助TTP的情况下，如何让他们知道到底谁更富有呢？

在密码学领域，这一问题可被描述如下：在保护隐私信息且没有TTP的前提下，一组互不信任的参与方之间如何进行安全协同计算？

理论研究期的标志性工作如下。

■ 1982年，为解决“百万富翁问题”，姚期智教授开创性地在论文中提出了MPC的概念。自此，学术界开始了研究MPC的征程。

■ 1985年，Goldwasser、Micali和Rackoff首次提出ZKP的概念。

■ 1986年，姚期智教授提出GC技术，实现了第一个安全两方计算（Secure Two-Party Computation，2PC）方案，即姚氏混淆电路，也被称为姚协议。

■ 1987年，Goldreich等人提出基于电路的SS方案——GMW协议，并将其应用于MPC任务中。

■ 1991年，Pedersen等人提出Pedersen承诺方案。

■ 1999年，Paillier在欧密会（Eurocrypt）上首次提出支持加法同态的公钥密码系统，即Paillier算法。

1.2.2　应用探索期（2000—2019年）

在应用探索期，随着技术的不断改进和计算成本的不断降低，开始出现理论研究与实际问题相结合的探索性工作，PSI、全同态加密（Fully Homomorphic Encryption，FHE）等方案被提出，并开始出现MPC平台。具体来说，应用探索期的标志性工作如下。

■ 2004年，Freedman等人提出PSI协议。同年，Malkhi等人推出一个名为Fairplay的MPC平台。

■ 2009年，Gentry提出首个FHE方案，该方案同时支持密文下的加法和乘法运算，这标志着FHE时代的开始。此后，逐渐发展出多种不同的FHE方案。

■ 2009年，Bogetoft等人将MPC协议应用到丹麦甜菜拍卖这一场景中^[1]，使用MPC技术计算市场均衡时甜菜的价格，并保证菜农和购买方无法得到关于对方心理价位的信息，这是MPC在现实世界中的一次大规模应用。

■ 2010年，Burkhart等人研究了基于MPC技术的隐私保护网络安全监控方法^[2]。

■ 2011年开始，微软研究院大规模推进对MPC的研究。

■ 2016年，Doerner等人研究了隐私保护稳定匹配问题^[3]。

■ 2017年，Paillier与Gentry等人牵头成立全同态加密标准化开放联盟，这标志着HE方案在全球范围内进入高速发展和应用阶段。同年，Bestavros以波士顿工资平等问题为例^[4]，研究了以用户为中心的分布式隐私保护分析解决方案。

■ 2019年，Google开源了名为“Private Join and Compute（PJC）”的新型MPC算法库。该算法库结合了PSI和HE技术，可以帮助各组织使用隐私数据集进行协同工作，还可以使用随机密钥进行高强度加密，以提高隐私保护等级。

1.2.3　规模化应用期（2020年以后）

从2020年开始，MPC进入规模化应用期，2020年也因此被称为“隐私计算元年”。该阶段的重要标志是MPC技术加速落地，尤其是其中的PSI和PIR技术在数据协作中实现了典型应用。MPC正式从理论研究走向实践应用，其中尤以MPC在金融及医疗行业中的应用为典型代表。同时，在建设数据要素市场、发挥数据价值的时代背景下，数据安全产业需求快速增长，MPC广泛与数据安全行业中的具体应用场景相结合，以实现数据价值的安全、合规流转。各类MPC厂商也如雨后春笋般涌现，这极大推动了MPC技术可用性的快速提升。

2021年，Gartner将隐私计算列为最具潜力的九大技术之一，并发布了隐私计算技术成熟度曲线。2024年，Gartner发布了《2024年中国安全技术成熟度曲线》报告。该报告表明，在我国，MPC技术已经走出泡沫期，进入泡沫破裂期。当前，MPC正逐步迈入“MPC+”时代。未来，MPC将和移动互联网、区块链等技术一样，成为数字化时代的底层基础设施。

1.3　MPC的应用

MPC在政务服务、金融、医疗等领域具有广阔的应用前景，可用于实现协同计算、分析和决策。文献[5]中阐述了MPC在数字签名、电子拍卖、秘密信息共享、门限签名等场景中的实际作用。下面从应用领域和应用场景两个方面简单介绍MPC的应用。

MPC的应用领域非常广泛，主要如下。

■ 政务服务领域：政务数据作为公共资源，具有公开、共享等特性。然而，传统的数据交换共享方式存在“数据出域不受控”等隐患，因而阻碍了政务数据的实际推广应用。MPC技术作为底层核心技术之一，可以保障数据在共享过程中的安全性和隐私性。

■ 金融领域：金融领域是数据密集型领域，MPC技术正在重构金融营销、风控和反欺诈等核心业务。比如，银行可借助MPC技术，分析来自其他机构的征信信息、客户公共评价信息、商务经营信息、收支消费信息等，对某个企业或组织机构进行全方位的信贷能力评估，并保证这些外部信息的安全性。

■ 医疗领域：医疗数据天然具有隐私性，且消费边界清晰。结合医疗大数据和互联网数据，可以基于MPC技术构建医疗人工智能（Artificial Intelligence，AI）系统，实现精准流调排查、自主医疗诊断和精准药物研制等目标。

MPC的主要应用场景如下。

■ 个人隐私保护：对于一些面向个人的应用，比如定位导航类应用，使用MPC技术可以在不暴露个人位置信息和目的地信息的情况下为个人提供定位、导航服务。例如，Meta（原Facebook）在投放广告时，利用MPC、FL、差分隐私等技术进行相关业务的全链路保障，实现“使用加密数据运算替换明文数据运算，达到同样计算效果”的密保目标，以解决个人隐私保护问题。

■ 数据联合分析：在多个组织机构需要共同分析数据，但又不想泄露各自数据的场景中，各方可以在不暴露原始数据的前提下，通过协同计算得到所需的分析结果。例如，企业贷款时需验证该企业在其他银行的资金流水数据的真实性，但不同银行间数据共享时，存在敏感信息泄露隐患。为此，我国多家银行联合运用MPC技术搭建跨机构平台，在确保各方原始数据不出域的前提下，验证企业提供的其他银行资金流水数据的真实性，并将该数据与企业在本银行内的历史数据进行关联和分析，从而提升了银行的智能化风控水平。

■ 数据检索：在数据检索过程中，如何确保检索结果的安全性和隐私性是一个重要问题。MPC可用于构建安全的数据检索协议，使得检索方在获取所需信息的同时，不会泄露检索条件和检索结果的相关信息。

■ 数据可信交换：在数据交换过程中，如何确保数据的真实性和完整性是一个关键问题。MPC可用于构建数据可信交换协议，通过安全地执行多方计算和验证来确保交换的数据是真实可靠的。

■ 隐私保护机器学习（Privacy Preserving Machine Learning，PPML）：PPML旨在保护数据隐私，同时从大量数据中提取有用的信息。PPML主要利用密码学和数据扰动等技术来实现隐私保护。具体做法是，在进行机器学习之前，对原始数据进行数据加密、数据扰动、差分隐私等处理，以确保原始数据在机器学习过程中不被泄露。目前，PPML主要采用密码学方法，当一些特定机器学习场景需要使用多方输入时，可以基于MPC基础协议完成密文数据的模型训练。

参考文献

[1] BOGETOFT P，CHRISTENSEN D L，DAMGÅRD I，et al. Secure multiparty computation goes live[C]//Proceedings of the International Conference on Financial Cryptography and Data Security. Berlin, Heidelberg: Springer Berlin Heidelberg，2009: 325-343.

[2] BURKHART M，STRASSER M，MANY D，et al. SEPIA: privacy-preserving aggregation of multi-domain network events and statistics[C]//Proceedings of the 19th USENIX Security Symposium. Washington, DC, USA: USENIX Association, 2010: 223-240.

[3] DOERNER J，EVANS D，SHELAT A. Secure stable matching at scale[C]//Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security. Vienna, Austria: ACM, 2016: 1602-1613.

[4] BESTAVROS A，LAPETS A，VARIA M. User-centric distributed solutions for privacy-preserving analytics[J]. Communications of the ACM, 2017, 60(2): 37-39.

[5] LINDELL Y. Secure multiparty computation[J]. Communications of the ACM, 2020, 64(1): 86-96.