不经意传输与两门混淆电路

Bob 沿电路只得到每条线的一个活动标签。标签中的选择位告诉他读哪一格，两个对应掩码让他解开这一格；另一语义标签里的掩码没有交给他。最后才通过 ${\rho }_y$ 把输出标签转成语义输出。

“其他格至少缺一个掩码”只是证明的起点。隐藏的中间标签还会作为第一门的加密内容、第二门的解密材料，必须处理它们之间的关联。下面按门的先后顺序证明未选表项可以整体换成独立均匀串，从而得到真正的联合分布模拟。

协议的全部通信 ​

1. Alice 生成上述随机带、所有标签和两张表，向 Bob 发送 $T_1,T_2,{\rho }_y,L_a^a,L_c^c$。
2. Alice 向理想 OT 输入 $(L_b^0,L_b^1)$，Bob 输入 $b$，仅 Bob 收到 $L_b^b$。
3. Bob 用 $L_a^a,L_b^b$ 解第一门，得到 $L_d^d$；再用它与 $L_c^c$ 解第二门，得到 $L_y^y$。计算 $y=L_y^y\oplus {\rho }_y$。
4. Bob 将 $y$ 发给 Alice，双方输出 $y$。

由式 (1) 两次消去掩码，正确性对每一份随机带成立，没有解密失败概率。Alice 的第一条消息长 $4\cdot 3+4\cdot 1+1+7+3=27$ 位，OT 选出一个七位标签，最后回传一位。OT 的实际实现成本尚未计算；理想调用不是免费构造了真实 OT。

一份可以逐位复算的门表 ​

取

并按行列索引 $0,1$ 给出全部掩码：

于是标签为：

这些双标签和全部随机位只供读者核算，协议不会把整张标签表交给 Bob。按式 (1) 得到

取 $(a,c;b)=(1,0;1)$。Alice 发送活动标签 $0001010$ 和 $111$，OT 返回 $1101000$。第一门读 $(p,q)=(0,1)$：

第二门读 $(0,1)$：

再异或 ${\rho }_y=0$ 得 $y=1$，与 $(1\wedge 1)\oplus 0$ 一致。解码只使用一个表项，不需要尝试四次解密或识别“有意义的明文”。

八种输入与允许泄漏 ​

Alice 若知道 $a=1$，就能从 $c,y$ 推出 $b=y\oplus c$；这是功能输出允许的信息。若 $a=0$，输出总为 $c$，协议不能额外暴露 $b$。Bob 知道 $b=0$ 时输出就是 $c$，但应仍不能从执行记录额外学习 $a$。安全性需要逐个输入证明，而非仅观察表中某一对输入。

Alice 腐化时的完整模拟器 ​

模拟器 $S_A(a,c,y)$ 按真实算法抽取全部 37 个随机位，生成两张表、所有标签、发送消息和 OT 发送者输入对。理想 OT 不向 Alice 返回选择位或标签，因此这部分没有依赖 $b$ 的接收消息。最后把收到的 Bob 消息记为 $y$，并输出全部内部随机带与记录。

真实 Bob 按半诚实规则必定发送正确 $y$，所以这个模拟器与 Alice 的真实视图完全同分布。它知道的只是 Alice 的输入与允许输出，不需要先猜出 $b$。

Bob 腐化时：先消去第一门的隐藏表项 ​

固定任意 $(a,c;b)$，令活动选择位为 $s_a,s_b,s_c,s_d$。第一门除 $(s_a,s_b)$ 外有三格。对每格 $(p,q)$ 选一个掩码：

• 若 $p\ne s_a$，选 $R_1[p,q]$；
• 否则必有 $q\ne s_b$，选 $C_1[p,q]$。

三个选中的三位掩码彼此不同，独立均匀，只出现在相应表项和未发送的输入标签中。固定所有其他变量，包括两份中间标签与整张第二门表，这三个表项仍分别是一个固定串异或一个独立均匀掩码。因此它们联合均匀，且独立于其他可见字段；可把三格同时换成新鲜均匀三位串而不改变 Bob 视图的分布。

这是一次一密完美保密公理库完美保密Perfect secrecy · Information-theoretic security对每种消息先验，观察密文都不改变消息分布的无条件安全定义。的联合版本：每个隐藏表项有自己单独的随机性，不能把同一个未知掩码重复用于多个格子。

再消去第二门，写出 Bob 的模拟器 ​

第一门的三个非活动表项已经变成独立噪声。未活动 $d$ 标签中的掩码现在不再通过第一门密文与其他可见字段关联。对第二门的三个非活动格子使用同样的选择规则：非活动行取其行掩码，否则取非活动列掩码。三个独立均匀位仍只在各自格子中可见，所以这些格子也可同时换成独立均匀位。

两张表只剩两个活动格子保留精确关系。活动标签 $L_a^a,L_b^b,L_c^c,L_d^d$ 的选择位由各自独立 $\rho$ 掩蔽，携带的掩码来自不同随机字段，因此它们本身是相互独立的均匀 $7,7,3,3$ 位串。Bob 的模拟器 $S_B(b,y)$ 可以直接：

1. 独立均匀抽四个活动标签 $A,B,C,D$，长度分别为 $7,7,3,3$；再抽一位 ${\rho }_y$。
2. 用 $A,B$ 的选择位定位第一门活动格，填入 $D$ 异或两份对应掩码。
3. 用 $D,C$ 的选择位定位第二门活动格，填入 $(y\oplus {\rho }_y)$ 异或两份对应掩码。
4. 第一门其他三格各填均匀三位串，第二门其他三格各填均匀位。
5. 记录 Alice 消息 $T_1,T_2,{\rho }_y,A,C$、Bob 的 OT 选择 $b$ 与收到的 $B$、两次求值的内部状态，以及发送／输出的 $y$。

它不需要 $a,c,d$。按上面两个保持同分布的步骤，真实视图恰好化为这个生成过程。模拟器使用 $7+7+3+3+1+9+3=33$ 个独立均匀位；这些字段由完整视图可恢复，因此每个合法 Bob 视图的概率是 $2^{-33}$。

联合输出、辅助信息与结论边界 ​

对每个固定输入和辅助信息 $z$，正确性与两个模拟证明给出

逐个固定输入成立的等式，对任意相关输入与辅助信息先验混合后仍成立。对手在视图上作任意后处理也保持等式；无腐化时只输出 $(y,y)$，直接由功能模拟。结论是理想 OT 混合模型中、该固定两门公式的完美单次半诚实安全。

本页没有实现 OT，没有处理恶意门表、错误输入标签、自适应暴露随机币或并发安全。若将独立掩码改为短密钥或某个哈希值，必须另行给出计算假设与归约。此编码的标签长度向输入方向递增，一般深电路可能发生快速膨胀；它没有证明高效通用 garbling。Lindell–Pinkas 的一般构造及其 Theorem 7 使用自己的加密条件和计算模拟，[1] 不能由此处的完美等式替代。