安全多方计算

隐私目标是把协议泄漏限定为理想功能允许的信息。例如持有 $x_1$ 的一方得到总和后，必然知道 $x_2+x_3=s-x_1$。若它事先还知道 $x_2$，就能推出 $x_3$；这是自身输入、允许输出与先验共同蕴含的信息。

秘密共享理路秘密共享Secret sharing把秘密分成份额，使授权集合可恢复而非授权集合不获信息。给求和提供随机掩码，但“每份份额均匀”尚未解决问题：公开重构消息后，这些份额之间可能出现新的相关性。证明必须把腐化方的输入、随机币、收发消息与输出作为一个联合分布理路联合分布Joint distribution · 联合概率分布多个随机元素组成的向量所推出的概率测度，完整记录边缘与依赖结构。比较。模拟器只拿到腐化输入及允许输出，仍能按相同概率生成整个记录，才回答了这一问题。

协议与模17计算 ​

每方 $P_i$ 独立抽取 $r_{i1},r_{i2}\leftarrow {\mathbb{F}}_q$，令 $r_{i3}=x_i-r_{i1}-r_{i2}$，保留自己的份额并私发 $r_{ij}$ 给 $P_j$。第二轮每方按固定次序把列和 $c_j=\sum _i{r}_{ij}$ 发送给所有方，作为公开记录；在本页的被动模型下，每个接收者都得到同一列和值。最后各方输出 $\sum _j{c}_j$。正确性逐次执行成立：

在 ${\mathbb{F}}_{17}$ 中，输入 $(4,7,2)$ 的一次执行为：

行和模 $17$ 为 $(4,7,2)$，列和为 $(1,14,15)$，总和为 $30mod17=13$。整表仅供读者核算，真实执行不会公开它。模和只有在另有输入范围保证总和不跨模数时，才能直接解释为普通整数总和。

完整视图与统一的模拟器 ​

固定腐化位置 $k\in \{1,2,3\}$，将其他两名参与者按编号记为 $u,v$，其他两列按编号记为 $j,\ell$。视图采用如下完整编码：

其中 $(r_{k1},r_{k2})$ 就是本地随机带；整行 $(r_{k1},r_{k2},r_{k3})$ 包含向其他方发出的消息及自存份额，$(a,b)$ 是带发送者身份的接收消息。发送行与接收消息共同保留了腐化方掌握的信息，各字段连同固定时序能重建全部本地状态。

模拟器 $S_k(x_k,s)$ 采用同一套索引规则：

1. 独立均匀抽取 $r_{k1},r_{k2}$，计算 $r_{k3}=x_k-r_{k1}-r_{k2}$。
2. 再独立均匀抽取 $a,b$，计算 $c_k=r_{kk}+a+b$。
3. 独立均匀抽取 $c_j$，令 $c_{\ell }=s-c_k-c_j$。
4. 按真实视图的字段、身份和次序输出上述记录。

它仅凭 $(x_k,s)$ 共抽取五个独立均匀域元素。虽然协议把第三份写成相减，整行实际是在平面 $r_{i1}+r_{i2}+r_{i3}=x_i$ 的 $q^2$ 个点上均匀分布；固定任意一列后，另外两列中的任一项仍可自由均匀取值。因此同一构造在相同假设下处理全部三个腐化位置 $k=1,2,3$。

完整联合分布的逐点计数证明 ​

固定任意输入 $\mathbf{x}$。真实抽样有 $q^6$ 种等可能的随机带。称一个候选视图合法，是指它的腐化行和为 $x_k$、$c_k=r_{kk}+a+b$ 且 $c_1+c_2+c_3=s$。每个合法视图由五个自由字段 $(r_{k1},r_{k2},a,b,c_j)$ 唯一指定。

对一个固定合法视图，任选隐藏份额 $r_{uj}=t\in {\mathbb{F}}_q$，其余三个隐藏项必须为

这些值满足两条诚实行和，剩余列和也成立，因为全表总和与公开总和同为 $s$。反过来，任何完成表都由其中的 $t$ 唯一确定，故恰有 $q$ 个完成表。每个完成表又对应唯一的原始六个随机币，即各行前两项。因此每个合法视图的真实概率是 $q/q^6=q^{-5}$；不合法视图的概率为零。模拟器独立抽取五个自由字段，给同一合法视图的概率也恰为 $q^{-5}$，其支持集完全相同。

正确性已经逐次成立，于是对每个 $q,k,\mathbf{x},z$ 都有

这里 $(s,s,s)$ 是全部参与方输出，$z$ 是同一份辅助信息。等式逐个固定输入及辅助信息成立，所以对任意输入先验及与输入相关的 $z$ 混合后仍成立；协议随机币按模型独立生成。对手在视图上进行任意后处理 $A(\mathsf{View},z)$，也保留同分布，甚至无界终点观察者的区分优势都是零；若后处理使用随机币，两侧使用相同的额外随机币分布。公开列和是模拟器从 $(x_k,s)$ 合成的协议记录，因此理想功能仍只输出规定的总和。

若 $C=\varnothing$，观察者只有公开列和及输出。真实 $(c_1,c_2,c_3)$ 在和为 $s$ 的平面上均匀：前两列和分别是相互独立均匀随机币之和，第三项由总和决定。模拟器从 $s$ 出发抽 $c_1,c_2$ 并置 $c_3=s-c_1-c_2$ 即可。这补齐了 $|C|\le 1$ 中的空腐化情况。

复算完整记录与辨认泄漏 ​

上表中 $P_1$ 的随机带为 $(3,5)$，发送行为 $(3,5,13)$，接收份额为 $(6,9)$，公开列和为 $(1,14,15)$，输出为 $13$。给定 $(x_1,s)=(4,13)$，$S_1$ 可抽到 $(r_{11},r_{12},a,b,c_2)=(3,5,6,9,14)$，算出 $c_1=1,c_3=15$，得到相同完整记录；该记录在两侧的概率均为 ${17}^{-5}$。

把输入改为 $(4,8,1)$，并把隐藏表改为

行和已变为 $(4,8,1)$，但 $P_1$ 的输入、随机带、发送行、接收列、公开列和及输出全部不变。单独这个例子展示一次记录如何兼容不同输入；前面的 $q^{-5}$ 证明进一步保证所有这些记录的概率都相同。

本单元的检验终点是：能从 $(4,13)$ 写出上述五次抽样，补出一个合法隐藏表，解释为什么有 $17$ 个完成表，并指出允许泄漏为 $x_2+x_3=9(\mathrm{mod}17)$。若辅助信息给出 $x_2=7$，则 $x_3=2$ 正是允许信息的推论。两方腐化时也能从总和推出剩余输入，但这一观察只解释输出泄漏；该模型的完整安全性仍需自己的模拟证明。恶意修改消息、自适应暴露状态及并发组合分别需要匹配相应观察接口的证明。

MPC 用于隐私统计、联合数据分析、拍卖和门限密码。秘密共享支持在份额上做线性运算；一般函数还可能使用混淆电路、同态加密理路同态加密与紧致求值Homomorphic encryption在公钥加密上加入公开求值接口，分开求值正确性、紧致性、深度参数与输入保密，并用非紧致反例解释真正外包了什么。或不经意传输，零知识证明理路零知识证明Zero-knowledge proof证明者使验证者相信陈述为真而不泄露额外知识的交互证明。可在合适构造中证明参与者遵守约束。不同构件不改变同一审查问题：真实执行中出现的每项信息或权限，能否由理想接口解释？

Beaver单门乘法理路Beaver三元组乘法Beaver triple multiplication · Multiplication triples借助一次性随机乘法三元组，只打开两个掩码差值并用局部线性修正输出积共享，给出含预处理份额及全部广播的单次完美模拟。给出共享上的非线性执行：输入两份Shamir共享与一次性随机三元组，打开完整差值向量后输出同次数积共享。其单次被动模拟同时重建腐化方预处理份额、所有广播及输出相关性；复用掩码会泄漏秘密差值，错误c=ab关系会直接偏移乘积，均不能由三方求和的证明覆盖。

一个较窄的任务是计算型私有检索理路单服务器计算私有信息检索Computational private information retrieval · Single-server computational PIR用加密索引与公开查表电路构造单服务器计算PIR，证明查询隐私并分别核算通信、服务器工作和数据库隐私边界。：客户端加密索引，服务器求值查表，首先保护的是索引不被服务器识别。若还要向持私钥的客户端隐藏服务器电路或答案以外的数据，就须检查电路隐私理路同态求值的电路隐私Circuit privacy在客户端知道私钥与输入随机币的观察模型中定义电路隐私，用一位标签反例和精确平移分布距离解释为何CPA与噪声刷新都不够。及查询合法性；仅有输入加密并不等于整个双方功能已具模拟安全。

一般 MPC 可按计算安全理路计算安全Computational security仅要求任何资源受限攻击者的成功优势足够小的安全概念。或信息论安全衡量，并分别规定隐私、正确性与输出公平性。加密等实现构件的作用最终由模拟证明落实。使用组合定理时，还须核对环境、信道、设置、会话和腐化条件；UC 安全要求模拟器在这些条件下持续回应在线环境，而本页完成的是单次执行的终点比较。

OT与两门混淆电路理路不经意传输与两门混淆电路Oblivious transfer and garbled circuits · 1-out-of-2 OT · 两门混淆电路在理想OT下逐位计算AND后接XOR，并用独立表项掩码证明双方静态半诚实视图的完美模拟。转向双方的非线性功能：先AND再XOR，逐位构造标签、门表和双方模拟器。独立表项掩码给出理想OT下的完美模拟；固定会话组合理路固定会话下的安全组合Fixed-session secure composition · Two-subroutine composition在明确隔离的两个在线子程序会话中构造统一模拟器，逐次替换并累加区分优势与资源预算。另行规定在线替换所需的封装与环境条件。