前言
之前我们介绍过两方的「隐私集合求交算法」，可以应用到计算广告的实际效果，寻找联系人，联邦学习的特征对齐等场景，例如：在新的APP上找到共同的微信好友、开会时找到所有参会者共同的空闲时间等，但是这协议是针对两方设计的，没办法安全的扩展到多方。
举个例子：现在有一个会议的发起者，他想要知道自己和其他所有参会者共同的空闲时间来确定会议的时间，一种简单的方案就是会议发起者依次和每一个参会者执行两方的隐私集合求交算法获取到每个参会者和自己的共同空闲时间，再从这些共同时间中筛选出所有参会者都空闲的时间。
但是这种方案有一个很明显的数据安全问题，会议发起者和某一个参会者有两个共同的空闲时间，本周一上午和本周二上午，但是其他所有参会者本周一上午是空闲时间但是本周二上午不是空闲的，这就导致了参会者额外的信息被会议发起者知道了，会议发起者本应该只得到本周一上午这一共同的空闲时间的信息。
本文主要介绍一种简洁高效的「多方隐私集合求交协议」，该协议是针对多方隐私集合求交场景设计的，解决了上述基于两方协议简单扩展到多方时产生的数据安全问题。该协议在CCS'21的-Simple,FastMaliciousMultipartyPrivateSetIntersection中提出，适用于半诚实无参与方勾结的场景。
相关技术
该协议主要使用不经意键值存储技术和两方隐私集合求交算法进行构建：
▲不经意键值存储
不经意键值存储是指能够在隐藏key和value内容的前提下保留key-vakue映射关系的一种数据结构。有一组键值对{(x1,y_1),(x2,y2),(x3,y3。，那么存在一个OKVS函数f，使得f(x1)=y1,f(x2)=y2,f(x3)=y3,并且对于其他的键f(x_other)为随机数。
TRON数字钱包科普资料《波场钱包的现在过去与未来》已上线:据最新消息显示，由TokenPocket联合波场TRON官方，以及 TokenPocket 社区志愿者共同撰写的《波场钱包的现在过去与未来》已正式上线。《波场钱包的现在过去与未来》又称为波场钱包小白书，详细介绍了当前TRON钱包与TRON生态密切结合的实例，是目前市面上最为详细的TRON数字钱包科普资料。波场钱包作为波场公链生态中极为重要的入口，是波场生态的重要构成要素。波场钱包从一开始只提供权限管理、转账收款、节点投票等基础功能，到如今不仅可以为用户提供法币交易、闪兑和去中心化交易所等方便快捷的交易服务，还能让用户直接在钱包上体验波场上DApp，挖矿、DeFi、Staking等资产增值服务。详情见原文链接。[2020/8/20]
▲两方隐私集合求交
两方隐私集合求交是指在不暴露双方集合交集之外数据的前提下获取交集部分的数据，常用的协议有基于ECDH的，基于OT的和基于同态的，本文介绍的多方隐私集合求交协议对于采用的两方协议不做限制。在前文《悄悄地找到共同点-隐私交集》中已介绍过一种实现方案，故本文中就不再详细讲解。
简单示例
现有A、B、C、D、E五方分别拥有数据集{1,2}、{1,2}、{1,3}、{1,3}、{1,4}，他们想要安全的获取他们所有人的共同交集{1}。
所有方在进行求交之前已经协商好了共有的伪随机函数g(k,x)，简单实现就是hash函数，k是加的盐用于和x拼接后再hash。
A方随机生成两个伪随机函数的key：k_B和k_C，分别发送给B、C两方；A方计算自己的键值对：{(1,g(k_B,1)⊕g(k_C,1)),(2,g(k_B,2)⊕g(k_C,2)。，并基于此键值对生成OKVS函数fA，并将fA发送给E方；B方计算自己的键值对：{(1,g(k_B,1)),(2,g(k_B,2)。，并基于此键值对生成OKVS函数fB，并将fB发送给D方；C方计算自己的键值对：{(1,g(k_C,1)),(3,g(k_C,3)。，并基于此键值对生成OKVS函数fC，并将fC发送给D方；D方收到B方和C方的OKVS函数后，使用本方的数据集通过收到两个OKVS函数计算出新的集合{fB(1)⊕fC(1),fB(3)⊕fC(3。，将构成OKVS的键值对带入进去后，就等价于{g(k_B,1)⊕g(k_C,1),random_number1⊕g(k_C,3。；E方收到A方的OKVS函数后，使用本方的数据集通过收到OKVS函数计算出新的集合{fA(1),fA(4。，将构成OKVS的键值对带入进去后，就等价于{g(k_B,1)⊕g(k_C,1),random_number2}；D方和E方再使用两方隐私集合求交算法求出新集合{g(k_B,1)⊕g(k_C,1),random_number1⊕g(k_C,3。和{g(k_B,1)⊕g(k_C,1),random_number2}的交集{g(k_B,1)⊕g(k_C,1。，对应位置原来的数据集{1}就是所有方集合的交集。上述流程的一个核心思路就是：前三方通过OKVS函数将自己的数据集隐藏起来，分别发送给后两方，由后两方的数据集通过OKVS函数计算出映射后的数据集之后再执行隐私求交，通过OKVS函数的性质可以保证后两方的数据如果分别是前三方的集合的交集，那么映射出的数据是一致的，如果不是就变成随机数了，对映射后的数据集再求次交集就能获得所有方的交集。
动态 | 人民日报官方微博科普区块链 强调区块链不等于比特币:人民日报官方微博今早发表9图科普区块链。其中涉及区块链的特点有：1、安全；2、不可篡改；3、可访问；4、无第三方。区块链对未来的影响：1、不需繁琐个人证明；2、看病避免反复检查；3、旅行消费更加便捷；4、交易无需第三方。同时强调，区块链不等于比特币。比特币只是区块链技术的一种应用，区块链还有医疗卫生、食品安全、版权保护等诸多应用领域。[2019/10/28]
具体流程
协议的设计思路是将多方求交最终转化为两方求交，其他方通过OKVS的Encode方法和所拥有的伪随机函数的key来保护自己的数据集。
OKVS的Encode方法用于将一组键值对生成上述的OKVS函数f，Decode方法即是对一个键key计算出映射的f(key)
存在p1,...,pnn个参与方，分别拥有数据集a1,...,an，都拥有一个共同的OKVS方案和伪随机函数F(k,x)。
「具体流程」
1.p1随机生成n-2个随机数k2,...,k(n-2)，然后将ki发送给pi。
2.p1将自己的数据集元素a1j作为key，计算F(k2,a1j)⊕F(k3,a1j)⊕...⊕F(k(n-2),a1j)作为对应的value使用OKVS进行编码生成Sn发送给pn。
动态 | 央行官微旧文重发“再科普”：范一飞详解数字货币:据中国经济网消息，今日，央行官微公众号头条重新发布央行副行长范一飞在2018年1月25日题为《关于央行数字货币的几点考虑》的文章，对央行数字货币再次进行科普。同时，微信公众号第二条发布支付司副司长穆长春8月10日在第三届中国金融四十人伊春论坛上的演讲。近年来，各主要国家和地区央行及货币当局均在对发行央行数字货币开展研究，新加坡央行和瑞典央行等已经开始进行相关试验，人民银行也在组织进行积极探索和研究。[2019/8/21]
3.对于所有的pi(2<=i<=n-2)分别将自己的数据集元素aij作为key，计算F(ki,aij)作为对应的value使用OKVS进行编码生成Si发送给p(n-1)。
4.p(n-1)依次将自己的数据集a(n-1)的每个元素分别作为key在收到的Si(2<=i<=n-2)上进行解码，并将所有解码出的数据进行异或作为集合A(n-1)中的一个元素。
5.pn依次将自己的数据集an的每个元素分别作为key在收到的Sn上进行解码后的数据作为集合An中的一个元素。
6.p(n-1)和pn对集合A(n-1)和An执行两方隐私集合求交，获取出的交集元素对应序号的原数据集生成时使用的a(n-1)或an中的元素即是所有方集合交集中的一个元素。
正确性分析
该协议将n个参与方分成了两组，参与方1和参与方n是一组，参与方2到参与方n-2和参与方n-1是一组。
先看第一组的逻辑，p1将自己的数据集通过OKVS编码后发送给pn，pn将自己的数据集通过p1的OKVS结构解码一遍生成新的数据集An，按照OKVS的性质：如果pn的集合元素是p1集合中元素，即是这一组的集合交集元素，则对应到An中的元素就是F(k2,a1j)⊕F(k3,a1j)⊕...⊕F(k(n-2),a1j)；如果pn的集合元素不是这一组的集合交集元素，则解码后的数据就是随机数。
科普时报：区块链与云计算长期发展目标不谋而合:据《科普时报》今日报道，区块链与云计算两项技术的结合，从宏观上来说，一方面，利用云计算已有的基础服务设施或根据实际需求做相应改变，实现开发应用流程加速，满足未来区块链生态系统中初创企业、学术机构、开源机构、联盟和金融等机构对区块链应用的需求。另一方面，对于云计算来说，“可信、可靠、可控制”被认为是云计算发展必须要翻越的“三座山”，而区块链技术以去中心化、匿名性，以及数据不可篡改为主要特征，与云计算长期发展目标不谋而合。[2018/5/4]
再看第二组的逻辑，参与方2到参与方n-2也同样使用OKVS编码自己的数据集再发送给p(n-1)，p(n-1)将自己的数据集按照上面流程4的方式通过解码所有收到的OKVS结构再异或产生A(n-1)，按照OKVS的性质：如果p(n-1)的集合元素是p2到p(n-2)集合中元素，即是这一组的集合交集元素，则对应到A(-1)中的元素就是Decode(Encode(a2j,F(k2,a2j)),a2j)⊕...⊕Decode(Encode(a2j,F(k(n2),a2j)),a2j)=F(k2,a2j)⊕F(k3,a2j)⊕...⊕F(k(n-2),a2j)；如果p(n-1)的集合元素不是这一组的集合交集元素，则解码后的数据就是随机数。
An和A(n-1)中对于解码正确的数据的计算后对应的表达式都是一样的，易看出对An和A(n-1)进行隐私求交，求出的交集就表示了即是第一组内部集合交集的数据，也是第二组内部集合交集的数据，即所有方集合的交集数据。
安全性分析
对于p1来说：他将自己的数据使用k2到k(n-2)计算伪随机数据异或进行OKVS编码后再发送给pn，由于pn没有这些key，就算解码后的数据是他们的交集，pn也无法进行确定。对于p2,...,p(n-2)来说：他们将自己的数据使用自己拥有的ki计算伪随机后进行OKVS编码后再发送给p(n-1)，由于p(n-1)没有这些key，就算解码后的数据是他们这一组的交集，p(n-1)也无法进行确定。对于p(n-1)和pn来说：他们只是使用了自己的数据集在收到的OKVS结构上进行解码，解码后再计算的数据集再和对方进行两方隐私求交来保证新的数据集的安全性。总结
财政部副部长朱光耀：数字经济还处在发展的过程中，要以科普、推动的态度来推进数字经济发展:今日，在中国发展高层论坛2018年会上，财政部副部长朱光耀表示：“数字经济还处在发展的过程中，要以科普、推动的态度来推进数字经济发展。也要关注数字经济的其他影响，包括税收征管、反监管措施等要跟上。”[2018/3/25]
该协议的流程也简单易理解比较实用，使用的OKVS只有一次交互且计算效率很高，只有最后的一次两方隐私求交，使得整个协议和其他协议相比效率更高的同时数据传输量也极低。附录
▲不经意键值存储详细定义
不经意键值存储是指能够在隐藏key的前提下保留键值映射关系的一种数据结构，包含了通过key-value构造OKVS的Encode方法和通过key查询value的Decode方法。
Encode((x1,y1),...(xn,yn))：将键值对列表编码成OKVS的数据结构，其中x是不定长bit串，y是长度为l的bit串，具体编码方式如下图：
其中v(x)是是预设好的将不定长的x映射到长度为m的bit串的函数。D=(d1,d2,...,dm)T，其中元素d_i是和y_i长度一致的bit串，D向量就是编码后的OKVS数据结构，其编码目标就是找到这个D向量，使得上述矩阵‘乘法’成立。
即将v(xi)产生的bit串中为1对应序号的D向量中的元素求异或的结果是等于yi的。
Decode(D,x)：给定一个OKVS的数据结构(D向量)和一个key，获取这个key对应的value。
OKVS和普通的哈希表的区别主要是key和value都是隐藏的，只保留了key到value的一个映射关系，因此拥有key可以解出构建时对应的value，没有key则无法解出对应的value也无法推测有哪些key。
具体构造OKVS的方案本协议使用的是PSIfromPaXoS:Fast,MaliciousPrivateSetIntersection中提出的garbledcuckootable方案，构造出的OKVS结构体大小较小，且encode，decode效率也很高，具体实现可直接阅读该论文的第五部分。
Simple,FastMaliciousMultipartyPrivateSetIntersection.
?PSIfromPaXoS:Fast,MaliciousPrivateSetIntersection.
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。