安全多方计算

隐私目标是把协议泄漏限定为理想功能允许的信息。例如持有 $x_1$ 的一方得到总和后，必然知道 $x_2+x_3=s-x_1$。若它事先还知道 $x_2$，就能推出 $x_3$；这是自身输入、允许输出与先验共同蕴含的信息。

秘密共享公理库秘密共享Secret sharing把秘密分成份额，使授权集合可恢复而非授权集合不获信息。给求和提供随机掩码，但“每份份额均匀”尚未解决问题：公开重构消息后，这些份额之间可能出现新的相关性。证明必须把腐化方的输入、随机币、收发消息与输出作为一个联合分布公理库联合分布Joint distribution · 联合概率分布多个随机元素组成的向量所推出的概率测度，完整记录边缘与依赖结构。比较。模拟器只拿到腐化输入及允许输出，仍能按相同概率生成整个记录，才回答了这一问题。

协议与模17计算 ​

每方 $P_i$ 独立抽取 $r_{i1},r_{i2}\leftarrow {\mathbb{F}}_q$，令 $r_{i3}=x_i-r_{i1}-r_{i2}$，保留自己的份额并私发 $r_{ij}$ 给 $P_j$。第二轮每方按固定次序把列和 $c_j=\sum _i{r}_{ij}$ 发送给所有方，作为公开记录；在本页的被动模型下，每个接收者都得到同一列和值。最后各方输出 $\sum _j{c}_j$。正确性逐次执行成立：

在 ${\mathbb{F}}_{17}$ 中，输入 $(4,7,2)$ 的一次执行为：

行和模 $17$ 为 $(4,7,2)$，列和为 $(1,14,15)$，总和为 $30mod17=13$。整表仅供读者核算，真实执行不会公开它。模和只有在另有输入范围保证总和不跨模数时，才能直接解释为普通整数总和。

完整视图与统一的模拟器 ​

固定腐化位置 $k\in \{1,2,3\}$，将其他两名参与者按编号记为 $u,v$，其他两列按编号记为 $j,\ell$。视图采用如下完整编码：

其中 $(r_{k1},r_{k2})$ 就是本地随机带；整行 $(r_{k1},r_{k2},r_{k3})$ 包含向其他方发出的消息及自存份额，$(a,b)$ 是带发送者身份的接收消息。发送行与接收消息共同保留了腐化方掌握的信息，各字段连同固定时序能重建全部本地状态。

模拟器 $S_k(x_k,s)$ 采用同一套索引规则：

1. 独立均匀抽取 $r_{k1},r_{k2}$，计算 $r_{k3}=x_k-r_{k1}-r_{k2}$。
2. 再独立均匀抽取 $a,b$，计算 $c_k=r_{kk}+a+b$。
3. 独立均匀抽取 $c_j$，令 $c_{\ell }=s-c_k-c_j$。
4. 按真实视图的字段、身份和次序输出上述记录。

它仅凭 $(x_k,s)$ 共抽取五个独立均匀域元素。虽然协议把第三份写成相减，整行实际是在平面 $r_{i1}+r_{i2}+r_{i3}=x_i$ 的 $q^2$ 个点上均匀分布；固定任意一列后，另外两列中的任一项仍可自由均匀取值。因此同一构造在相同假设下处理全部三个腐化位置 $k=1,2,3$。

完整联合分布的逐点计数证明 ​

固定任意输入 $\mathbf{x}$。真实抽样有 $q^6$ 种等可能的随机带。称一个候选视图合法，是指它的腐化行和为 $x_k$、$c_k=r_{kk}+a+b$ 且 $c_1+c_2+c_3=s$。每个合法视图由五个自由字段 $(r_{k1},r_{k2},a,b,c_j)$ 唯一指定。

对一个固定合法视图，任选隐藏份额 $r_{uj}=t\in {\mathbb{F}}_q$，其余三个隐藏项必须为

这些值满足两条诚实行和，剩余列和也成立，因为全表总和与公开总和同为 $s$。反过来，任何完成表都由其中的 $t$ 唯一确定，故恰有 $q$ 个完成表。每个完成表又对应唯一的原始六个随机币，即各行前两项。因此每个合法视图的真实概率是 $q/q^6=q^{-5}$；不合法视图的概率为零。模拟器独立抽取五个自由字段，给同一合法视图的概率也恰为 $q^{-5}$，其支持集完全相同。

正确性已经逐次成立，于是对每个 $q,k,\mathbf{x},z$ 都有

这里 $(s,s,s)$ 是全部参与方输出，$z$ 是同一份辅助信息。等式逐个固定输入及辅助信息成立，所以对任意输入先验及与输入相关的 $z$ 混合后仍成立；协议随机币按模型独立生成。对手在视图上进行任意后处理 $A(\mathsf{View},z)$，也保留同分布，甚至无界终点观察者的区分优势都是零；若后处理使用随机币，两侧使用相同的额外随机币分布。公开列和是模拟器从 $(x_k,s)$ 合成的协议记录，因此理想功能仍只输出规定的总和。

若 $C=\varnothing$，观察者只有公开列和及输出。真实 $(c_1,c_2,c_3)$ 在和为 $s$ 的平面上均匀：前两列和分别是相互独立均匀随机币之和，第三项由总和决定。模拟器从 $s$ 出发抽 $c_1,c_2$ 并置 $c_3=s-c_1-c_2$ 即可。这补齐了 $|C|\le 1$ 中的空腐化情况。

复算完整记录与辨认泄漏 ​

上表中 $P_1$ 的随机带为 $(3,5)$，发送行为 $(3,5,13)$，接收份额为 $(6,9)$，公开列和为 $(1,14,15)$，输出为 $13$。给定 $(x_1,s)=(4,13)$，$S_1$ 可抽到 $(r_{11},r_{12},a,b,c_2)=(3,5,6,9,14)$，算出 $c_1=1,c_3=15$，得到相同完整记录；该记录在两侧的概率均为 ${17}^{-5}$。

把输入改为 $(4,8,1)$，并把隐藏表改为

行和已变为 $(4,8,1)$，但 $P_1$ 的输入、随机带、发送行、接收列、公开列和及输出全部不变。单独这个例子展示一次记录如何兼容不同输入；前面的 $q^{-5}$ 证明进一步保证所有这些记录的概率都相同。

本单元的检验终点是：能从 $(4,13)$ 写出上述五次抽样，补出一个合法隐藏表，解释为什么有 $17$ 个完成表，并指出允许泄漏为 $x_2+x_3=9(\mathrm{mod}17)$。若辅助信息给出 $x_2=7$，则 $x_3=2$ 正是允许信息的推论。两方腐化时也能从总和推出剩余输入，但这一观察只解释输出泄漏；该模型的完整安全性仍需自己的模拟证明。恶意修改消息、自适应暴露状态及并发组合分别需要匹配相应观察接口的证明。

MPC 用于隐私统计、联合数据分析、拍卖和门限密码。秘密共享支持在份额上做线性运算；一般函数还可能使用混淆电路、同态加密公理库同态加密与紧致求值Homomorphic encryption在公钥加密上加入公开求值接口，分开求值正确性、紧致性、深度参数与输入保密，并用非紧致反例解释真正外包了什么。或不经意传输，零知识证明公理库零知识证明Zero-knowledge proof证明者使验证者相信陈述为真而不泄露额外知识的交互证明。可在合适构造中证明参与者遵守约束。不同构件不改变同一审查问题：真实执行中出现的每项信息或权限，能否由理想接口解释？

一个较窄的任务是计算型私有检索公理库单服务器计算私有信息检索Computational private information retrieval · Single-server computational PIR用加密索引与公开查表电路构造单服务器计算PIR，证明查询隐私并分别核算通信、服务器工作和数据库隐私边界。：客户端加密索引，服务器求值查表，首先保护的是索引不被服务器识别。若还要向持私钥的客户端隐藏服务器电路或答案以外的数据，就须检查电路隐私公理库同态求值的电路隐私Circuit privacy在客户端知道私钥与输入随机币的观察模型中定义电路隐私，用一位标签反例和精确平移分布距离解释为何CPA与噪声刷新都不够。及查询合法性；仅有输入加密并不等于整个双方功能已具模拟安全。

一般 MPC 可按计算安全公理库计算安全Computational security仅要求任何资源受限攻击者的成功优势足够小的安全概念。或信息论安全衡量，并分别规定隐私、正确性与输出公平性。加密等实现构件的作用最终由模拟证明落实。使用组合定理时，还须核对环境、信道、设置、会话和腐化条件；UC 安全要求模拟器在这些条件下持续回应在线环境，而本页完成的是单次执行的终点比较。

OT与两门混淆电路公理库不经意传输与两门混淆电路Oblivious transfer and garbled circuits · 1-out-of-2 OT · 两门混淆电路在理想OT下逐位计算AND后接XOR，并用独立表项掩码证明双方静态半诚实视图的完美模拟。转向双方的非线性功能：先AND再XOR，逐位构造标签、门表和双方模拟器。独立表项掩码给出理想OT下的完美模拟；固定会话组合公理库固定会话下的安全组合Fixed-session secure composition · Two-subroutine composition在明确隔离的两个在线子程序会话中构造统一模拟器，逐次替换并累加区分优势与资源预算。另行规定在线替换所需的封装与环境条件。