CN104156671A - 一种保护隐私的无中心点积计算方法 - Google Patents

Abstract

本发明提供一种保护隐私的无中心点积计算方法，包括以下步骤：S1、第一、二参与方分别与可信第三方连接，以获取其对应隐私向量的证书，所述证书包含所述隐私向量的密文；S2、所述第一参与方将其证书发送至所述第二参与方；S3、基于所述第一参与方证书中隐私向量的密文，所述第二参与方进行密文的同态点积计算，并将点积密文及所述第二参与方的证书发送至所述第一参与方；S4、所述第一参与方对所述点积密文进行解密，得到所述第一、二参与方隐私向量的点积；本发明实现了在没有中心服务器参与的情况下的安全多方点积运算，保证了用户输入输出的可验证性，满足用户在不可信环境下对个人数据的隐私保护和对点积运算结果可靠性的需求。

Description

一种保护隐私的无中心点积计算方法

技术领域

本发明涉及安全多方计算领域，特别涉及一种保护隐私的无中心点积计算方法。

背景技术

保护隐私的安全多方计算被广泛应用在现实生活中的各个领域。安全多方计算是在不暴露计算参与方的数据隐私的情况下，用多方数据进行计算，仅将计算结果暴露给计算参与者。例如社交网络中的用户相似度计算，隐私保护的投票和拍卖，传感网络中的安全数据采集和排序和数据外包计算等。解决该问题的最简单的方法便是采用可信的中心服务器，计算参与方将各自隐私的数据交给可信中心，由可信中心进行计算，再将计算结果返回给参与方。但是在很多情况下并不是所有用户都能访问到中心服务器，例如在没有互联网接入或者在服务器失效的情况下中心计算便无法展开；而且频繁的与计算中心交互还会带来高额的费用和安全隐患；此外，由于中心服务器并非绝对可信，若所述中心服务器被攻击则可能导致大量用户隐私暴露，因此很多用户并不愿意将其隐私的数据暴露给中心服务器，这也阻碍了云计算本身的发展。面对中心计算的方式存在的种种局限，急需设计分布式无中心的保护隐私的安全多方计算协议。

现有的无中心安全多方计算协议支持多方隐私数据输入的函数计算，每个参与方只能得到协议规定的计算结果，无法得到他人的隐私数据。但是现有的方法计算开销都非常大，使得它们很难实际应用，尤其是在计算资源受限的移动设备上几乎无法进行。虽然后续也有一些工作从计算开销上对无中心的安全多方计算协议进行了改进，但是这些协议都将重点放在了隐私保护上，而忽略了用户输入输出的可验证性。这些协议计算结果的正确性都建立在计算参与方都将诚实地执行协议的基础上，并且计算结果通常都由其中一方先得到然后再告诉其他参与者。实际上，恶意用户可以通过简单的伪造其输入数据就能产生出错误的计算结果，或者先得到计算结果的参与方可以向其他参与者撒谎，使其相信错误的计算结果。这样一来计算的正确性就无法得到保证，严重的可能导致用户隐私的泄漏。例如，在社交网络中常常进行隐私保护的相似度计算来帮助用户与匹配的用户建立朋友关系，一个缺乏验证机制的计算协议就可能让恶意用户输入虚假的个人属性，或者对计算结果撒谎，以此骗取他人信任成为朋友。以此，我们急需提供一种在不可信环境中的可验证的保护隐私的无中心多方计算方法，并且这个方法需要降低计算和通信开销以支持大量的普通计算设备。

点积运算是一种非常基础的运算，在很多应用中都发挥着重要的作用。如在数据搜索，社交网络等大量应用中都需要使用到相似度度量来量化两个向量的距离和相似度，如计算编辑距离、计算集合的公共元素数量、计算余弦相似度等都可以映射为两个向量的点积运算。目前这些应用普遍利用了可信中心服务器，少数采用无中心方式进行计算的工作也忽略了对用户输入输出的验证，导致这些方法存在很大的隐私漏洞。

基于此，现有技术确实有待于改善。

发明内容

针对现有技术的不足，本发明提供一种保护隐私的无中心点积计算方法，以实现在没有中心服务器参与的情况下的安全多方点积运算，并保证用户输入输出的可验证性，满足用户在不可信环境下对个人数据的隐私保护和对点积运算结果正确性、可靠性的需求。

为实现以上目的，本发明通过以下技术方案予以实现：

本发明提供一种保护隐私的无中心点积计算方法，包括以下步骤：

S1、第一、二参与方分别与可信第三方连接，以获取其对应隐私向量的证书，所述证书包含所述隐私向量的密文；

S2、所述第一参与方将其证书发送至所述第二参与方；

S3、基于所述第一参与方证书中隐私向量的密文，所述第二参与方进行密文的同态点积计算，并将点积密文及所述第二参与方的证书发送至所述第一参与方；

S4、所述第一参与方对所述点积密文进行解密，得到所述第一、二参与方隐私向量的点积。

优选的，所述可信第三方P_T拥有一对数字签名算法对应的公钥Pk_T和私钥Sk_T。

优选的，所述步骤S1进一步包括：

S11、预定义快速加密算法，并将所述第一参与方P₁及第二参与方P₂分别与可信第三方P_T连接;

S12、基于所述快速加密算法，所述可信第三方P_T为所述第一、二参与方分别分配对应的公钥Pk_i、私钥Sk_i以及唯一标示ID_i，并对所述第一、二参与方的隐私向量V_i进行验证；

S13、所述第一、二参与方利用其对应的公钥Pk_i对其隐私向量V_i分别进行加密，得到E_i(V_i,R_i)，其中，所述R_i为所述快速加密算法的随机数；

S14、所述可信第三方P_T对所述E_i(V_i,R_i)进行哈希，并利用其私钥Sk_T对该哈希值进行数字签名，得到Sig(E_i(V_i,R_i))；

S15、根据所述Sig(E_i(V_i,R_i))，所述可信第三方P_T将生成的所述隐私向量V_i的证书颁发给所述第一、二参与方；所述证书包含所述隐私向量的密文；

其中，i={1,2}。

优选的，所述快速加密算法为快速Paillier加密算法。

优选的，所述第一、二参与方隐私向量V_i的证书C(P_i,V_i)为：

C(P_i,V_i)=<Sig(ID_i),E_i(V_i,R_i),Sig(E_i(V_i,R_i)),Pk_i,Pk_T>。

优选的，所述步骤S3中：

基于所述第一参与方证书中隐私向量的密文，所述第二参与方P₂根据所述快速Paillier加密算法的同态计算方法，计算点积密文：

e₁=E₁(V₁·V₂,R₁·V₂)，e₂=E₁(R₂·V₁,R₁·R₂)。

优选的，所述方法进一步包括：

S5、基于所述可信第三方，对所述第二参与方隐私向量的证书进行验证，并验证所述第一、二参与方隐私向量的点积是否正确。

优选的，所述步骤S5进一步包括：

S51、所述第一参与方P₁利用所述可信第三方P_T的公钥Pk_T，对所述第二参与方P₂隐私向量的证书进行验证，若验证通过，则所述第二参与方P₂的输入正确，否则所述第二参与方P₂的输入错误；

S52、基于所述第二参与方P₂隐私向量的证书以及所述快速Paillier解密算法的同态计算方法，验证所述第一、二参与方隐私向量的点积是否正确。

优选的，所述步骤S52进一步包括：

S521、根据步骤S4，所述第一参与方对所述点积密文e₁进行解密，得到d₁=D₁(e₁)，同理所述第一参与方对所述点积密文e₂进行解密，得到d₂=D₂(e₂)和R₂·V₁的值；

S522、利用所述快速Paillier解密算法的同态计算方法，判断E₂(V₁·V₂,R₂·V₁)=E₂(d₁,d₂)是否成立，若成立，则所述第一、二参与方隐私向量的点积正确，否则第一、二参与方隐私向量的点积无效。

本发明通过提供一种保护隐私的无中心点积计算方法，在点积运算之前，各参与方分别只与可信第三方进行一次连接，在整个点积计算过程中完全采用无中心的方式进行，无须服务器的参与；采用Paillier加密，利用各参与方的公钥对参与计算的隐私向量进行加密，点积计算在密文上利用同态计算进行，各参与计算方在无需暴露自己向量值的情况下便能得到计算结果；该方法设计了严密的验证机制，保证计算参与方的输入的合法性和输出的可验证性，使计算参与方无法对计算的输入和计算结果作假；该方法采用快速Paillier加密，计算复杂度小，适用于各种计算平台。

附图说明

图1为本发明一实施例的流程图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

如图1所示，本发明提供一种保护隐私的无中心点积计算方法，包括以下步骤：

S1、第一、二参与方分别与可信第三方连接，以获取其对应隐私向量的证书，所述证书包含所述隐私向量的密文；每个参与方只需要在计算开始前连接一次可信第三方，获得其所需的隐私向量证书即可，在之后的计算中将不再需要连接所述可信第三方；且每个隐私向量对应一个证书，若所述第一、二参与方均有多个隐私向量需要参与计算，则需一次性获取多个证书。

S2、所述第一参与方将其证书发送至所述第二参与方；

S3、基于所述第一参与方证书中隐私向量的密文，所述第二参与方进行密文的同态点积计算，并将点积密文及所述第二参与方的证书发送至所述第一参与方；

S4、所述第一参与方对所述点积密文进行解密，得到所述第一、二参与方隐私向量的点积。

优选的，所述可信第三方P_T拥有一对数字签名算法对应的公钥Pk_T和私钥Sk_T，该数字签名方法为任意的，如常用的RSA算法。

优选的，所述步骤S1进一步包括：

S11、预定义快速加密算法，并将所述第一参与方P₁及第二参与方P₂分别与可信第三方P_T连接;

S12、基于所述快速加密算法，所述可信第三方P_T为所述第一、二参与方分别分配对应的公钥Pk_i、私钥Sk_i以及唯一标示ID_i，并对所述第一、二参与方的隐私向量V_i进行验证；

S13、所述第一、二参与方利用其对应的公钥Pk_i对其隐私向量V_i分别进行加密，得到E_i(V_i,R_i)，其中，所述R_i为所述快速加密算法的随机数；

S14、所述可信第三方P_T对所述E_i(V_i,R_i)进行哈希，并利用其私钥Sk_T对该哈希值进行数字签名，得到Sig(E_i(V_i,R_i))；

S15、根据所述Sig(E_i(V_i,R_i))，所述可信第三方P_T将生成的所述隐私向量V_i的证书颁发给所述第一、二参与方；所述证书包含所述隐私向量的密文；

其中，i={1,2}。

优选的，所述快速加密算法为快速Paillier加密算法，如下表所示：

优选的，所述第一、二参与方隐私向量V_i的证书C(P_i,V_i)为：

C(P_i,V_i)=<Sig(ID_i),E_i(V_i,R_i),Sig(E_i(V_i,R_i)),Pk_i,Pk_T>。

优选的，所述步骤S3中：基于所述第一参与方证书中隐私向量的密文，所述第二参与方P₂根据所述快速Paillier加密算法的同态计算方法，计算点积密文：

e₁=E₁(V₁·V₂,R₁·V₂)，e₂=E₁(R₂·V₁,R₁·R₂)。

优选的，所述方法进一步包括：

S5、基于所述可信第三方，对所述第二参与方隐私向量的证书进行验证，并验证所述第一、二参与方隐私向量的点积是否正确。

优选的，所述步骤S5进一步包括：

S51、所述第一参与方P₁利用所述可信第三方P_T的公钥Pk_T，对所述第二参与方P₂隐私向量的证书进行验证，若验证通过，则所述第二参与方P₂的输入正确，否则所述第二参与方P₂的输入错误；

S52、基于所述第二参与方P₂隐私向量的证书以及所述快速Paillier解密算法的同态计算方法，验证所述第一、二参与方隐私向量的点积是否正确。

优选的，所述步骤S52进一步包括：

S521、根据步骤S4，所述第一参与方对所述点积密文e₁进行解密，得到d₁=D₁(e₁)，同理所述第一参与方对所述点积密文e₂进行解密，得到d₂=D₂(e₂)和R₂·V₁的值；

S522、利用所述快速Paillier解密算法的同态计算方法，判断E₂(V₁·V₂,R₂·V₁)=E₂(d₁,d₂)是否成立，若成立，则所述第一、二参与方隐私向量的点积正确，否则第一、二参与方隐私向量的点积无效。

本发明通过提供一种保护隐私的无中心点积计算方法，在点积运算之前，各参与方分别只与可信第三方进行一次连接，在整个点积计算过程中完全采用无中心的方式进行，无须服务器的参与；采用Paillier加密，利用各参与方的公钥对参与计算的隐私向量进行加密，点积计算在密文上利用同态计算进行，各参与计算方在无需暴露自己向量值的情况下便能得到计算结果；该方法设计了严密的验证机制，保证计算参与方的输入的合法性和输出的可验证性，使计算参与方无法对计算的输入和计算结果作假；该方法采用快速Paillier加密，计算复杂度小，适用于各种计算平台。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (9)

1.一种保护隐私的无中心点积计算方法，其特征在于，包括以下步骤：

S1、第一、二参与方分别与可信第三方连接，以获取其对应隐私向量的证书，所述证书包含所述隐私向量的密文；

S2、所述第一参与方将其证书发送至所述第二参与方；

S3、基于所述第一参与方证书中隐私向量的密文，所述第二参与方进行密文的同态点积计算，并将点积密文及所述第二参与方的证书发送至所述第一参与方；

S4、所述第一参与方对所述点积密文进行解密，得到所述第一、二参与方隐私向量的点积。

2.如权利要求1所述的方法，其特征在于，所述可信第三方P_T拥有一对数字签名算法对应的公钥Pk_T和私钥Sk_T。

3.如权利要求2所述的方法，其特征在于，所述步骤S1进一步包括：

S11、预定义快速加密算法，并将所述第一参与方P₁及第二参与方P₂分别与可信第三方P_T连接;

S12、基于所述快速加密算法，所述可信第三方P_T为所述第一、二参与方分别分配对应的公钥Pk_i、私钥Sk_i以及唯一标示ID_i，并对所述第一、二参与方的隐私向量V_i进行验证；

S13、所述第一、二参与方利用其对应的公钥Pk_i对其隐私向量V_i分别进行加密，得到E_i(V_i,R_i)，其中，所述R_i为所述快速加密算法的随机数；

S14、所述可信第三方P_T对所述E_i(V_i,R_i)进行哈希，并利用其私钥Sk_T对该哈希值进行数字签名，得到Sig(E_i(V_i,R_i))；

S15、根据所述Sig(E_i(V_i,R_i))，所述可信第三方P_T将生成的所述隐私向量V_i的证书颁发给所述第一、二参与方；所述证书包含所述隐私向量的密文；

其中，i={1,2}。

4.如权利要求3所述的方法，其特征在于，所述快速加密算法为快速Paillier加密算法。

5.如权利要求4所述的方法，其特征在于，所述第一、二参与方隐私向量V_i的证书C(P_i,V_i)为：

C(P_i,V_i)=<Sig(ID_i),E_i(V_i,R_i),Sig(E_i(V_i,R_i)),Pk_i,Pk_T>。

6.如权利要求5所述的方法，其特征在于，所述步骤S3中：

基于所述第一参与方证书中隐私向量的密文，所述第二参与方P₂根据所述快速Paillier加密算法的同态计算方法，计算点积密文：

e₁=E₁(V₁·V₂,R₁·V₂)，e₂=E₁(R₂·V₁,R₁·R₂)。

7.如权利要求1-6任一项所述的方法，其特征在于，所述方法进一步包括：

S5、基于所述可信第三方，对所述第二参与方隐私向量的证书进行验证，并验证所述第一、二参与方隐私向量的点积是否正确。

8.如权利要求7所述的方法，其特征在于，所述步骤S5进一步包括：

S51、所述第一参与方P₁利用所述可信第三方P_T的公钥Pk_T，对所述第二参与方P₂隐私向量的证书进行验证，若验证通过，则所述第二参与方P₂的输入正确，否则所述第二参与方P₂的输入错误；

S52、基于所述第二参与方P₂隐私向量的证书以及所述快速Paillier解密算法的同态计算方法，验证所述第一、二参与方隐私向量的点积是否正确。

9.如权利要求8所述的方法，其特征在于，所述步骤S52进一步包括：

S521、根据步骤S4，所述第一参与方对所述点积密文e₁进行解密，得到d₁=D₁(e₁)，同理所述第一参与方对所述点积密文e₂进行解密，得到d₂=D₂(e₂)和R₂·V₁的值；

S522、利用所述快速Paillier解密算法的同态计算方法，判断E₂(V₁·V₂,R₂·V₁)=E₂(d₁,d₂)是否成立，若成立，则所述第一、二参与方隐私向量的点积正确，否则第一、二参与方隐私向量的点积无效。