CN114024674A

CN114024674A - 两方安全比较的方法及系统

Info

Publication number: CN114024674A
Application number: CN202111397983.3A
Authority: CN
Inventors: 赵原; 李漓春; 殷山
Original assignee: Alipay Hangzhou Information Technology Co Ltd
Current assignee: Sasi Digital Technology Beijing Co ltd
Priority date: 2021-11-23
Filing date: 2021-11-23
Publication date: 2022-02-08
Anticipated expiration: 2041-11-23
Also published as: CN114024674B

Abstract

本说明书实施例提供一种两方安全比较的方法系统，在两方安全比较的方法中，第一方向第二方发送比较请求，其中包括n个标识和L个基值，该n个标识包括目标标识和n‑1个混淆标识。第二方获取n个标识对应的n个第二数据。生成布尔电路，用于对第一数据与n个第二数据进行比较。基于L个基值生成布尔电路的混淆表，并将其提供给第一方。第一方利用与L个基值关联生成的L个本地选择标签，解密混淆表，并至少根据解密结果，确定目标标识对应的第二数据与第一数据的目标比较结果。

Description

两方安全比较的方法及系统

技术领域

本说明书一个或多个实施例涉及安全技术领域，尤其涉及一种两方安全比较的方法及系统。

背景技术

安全多方计算(Secure Multi-Party Computation，MPC)，允许多个数据所有者在互不信任的情况下进行协同计算，输出计算结果，并保证任何一方均无法得到除应得的计算结果之外的其它任何信息。换句话说，MPC可以获取数据使用价值，却不泄露原始数据内容。

MPC可基于混淆电路(Garbled Circuit,GC)而实现。GC是一种两方安全多方计算协议，对实现一个计算函数的布尔电路用密码函数生成混淆表，对两方输入计算出结果，并且在计算过程中一方输入不会泄漏给另一方。在传统的GC方案中，安全多方计算的各参与方需要进行复杂的交互，这导致GC方案的网络代价过高，严重影响MPC的应用广度。

发明内容

本说明书一个或多个实施例描述了一种两方安全比较的方法及系统，用以在保证安全多方计算的安全性的情况下，降低网络通信代价。

第一方面，提供了一种两方安全比较的方法，包括：

第一方向第二方发送比较请求；其中包括n个标识和L个基值；所述n个标识包括目标标识和n-1个混淆标识；所述L个基值至少基于所述目标标识对应的第一数据的L位二进制数而确定；

所述第二方获取所述n个标识对应的n个第二数据；

所述第二方生成布尔电路，用于对所述第一数据与所述n个第二数据进行比较；

所述第二方基于所述L个基值生成所述布尔电路的混淆表，并将其提供给所述第一方；

所述第一方利用与所述L个基值关联生成的L个本地选择标签，解密所述混淆表，并至少根据解密结果，确定所述目标标识对应的第二数据与所述第一数据的目标比较结果。

第二方面，提供了一种两方安全比较的系统，包括：

第一方，用于向第二方发送比较请求；其中包括n个标识和L个基值；所述n个标识包括目标标识和n-1个混淆标识；所述L个基值至少基于所述目标标识对应的第一数据的L位二进制数而确定；

所述第二方，用于获取所述n个标识对应的n个第二数据；

所述第二方，还用生成布尔电路，用于对所述第一数据与所述n个第二数据进行比较；

所述第二方，还用于基于所述L个基值生成所述布尔电路的混淆表，并将其提供给所述第一方；

所述第一方，还用于利用与所述L个基值关联生成的L个本地选择标签，解密所述混淆表，并至少根据解密结果，确定所述目标标识对应的第二数据与所述第一数据的目标比较结果。

第三方面，提供了一种计算机存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行第一方面的方法。

第四方面，提供了一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现第一方面的方法。

本说明书一个或多个实施例提供的两方安全比较的方法及系统，第一方同时向第二方发送n个标识，可以实现数据的匿名比较，也即第二方不仅无法获知第一方的数据，还无法获知第一方想要与第二方的哪个数据进行比较，这进一步确保了数据的安全性。此外，第二方基于由第一方发送的L个基值，来生成布尔电路的混淆表，以及第一方利用其本地与L个基值关联生成的L个选择标签解密混淆表，可以降低第一方与第二方之间的通信量和计算量。

附图说明

为了更清楚地说明本说明书实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1a示出1-out-of-2类型OT协议示意图；

图1b示出1-out-of-N类型OT协议示意图；

图2示出ROT协议示意图；

图3为本说明书一个实施例提供的实施场景示意图；

图4示出根据一个实施例的两方安全比较的方法交互图；

图5示出根据一个实施例的本地选择标签更新方法示意图；

图6示出根据一个实施例的布尔电路示意图；

图7示出根据一个实施例的两方安全比较的系统示意图。

具体实施方式

下面结合附图，对本说明书提供的方案进行描述。

在描述本说明书实施例提供的方案之前，先对本方案的发明构思作以下说明。

首先，为进一步加强第一方(也称数据请求方)的隐私保护，本申请的发明人提出，第一方同时向第二方发送n个标识，该n个标识包括目标标识和n-1个混淆标识，由此可以使得第二方(也称数据持有方)，无法获知第一方所请求比较的数据。此外，在比较结束之后，第一方只能获得与目标标识对应的数据的比较结果，而不能获取到与其它标识对应的数据的比较结果。

此外，为解决传统的GC方案中网络代价过高的问题，本申请的发明人提出，基于满足随机(Oblivious transfer，OT)协议的OT标签，来生成和解密混淆表。这里的随机OT协议(简称ROT)为OT协议的一种，其之所以称为随机OT协议是因为在OT协议中引入了随机数。以下先对OT协议进行说明。

OT协议，又称不经意传输协议，是安全多方计算的基础技术，是一个两方协议。其具体为接收方(Receiver)与发送方(Sender)之间的交互协议。由于OT协议可以保证双方数据的安全性，从而其被广泛应用到各个领域中。

OT协议，按照功能，可以将其分为如下两种类型：二选一(1-out-of-2)类型和N选一(1-out-of-N)类型。图1a示出1-out-of-2类型OT协议示意图，图1b示出1-out-of-N类型OT协议示意图。

图1a中，Receiver的输入为选择比特c∈{0,1}，Sender的输入为一对消息(M0,M1)，其中M0、M1为待发送的明文消息(比如为128比特的比特串)。通过OT协议，Receiver最终可以获得Mc。

显然，通过OT协议，可以满足如下两方面的安全性：(1)Receiver选择比特c的保密性，即通过OT协议，Sender不能获知Receiver选择的是哪一个消息。(2)Sender未被选择消息的保密性，即通过OT协议，Receiver只能获得(M0,M1)中的一个消息Mc，不能获知另一个消息的信息。

在图1b中，通过1-out-of-N类型OT协议，Receiver可以根据自己的选择c∈{1,2,…,N}获得Sender的消息元组(M1,M2,…,MN)中的一个消息Mc，但不能获知其余N-1个消息的信息。Sender不能获知Receiver选择的是哪一个消息，即不能获知Receiver选择c的信息。

以下再对ROT协议进行说明。

图2示出ROT协议示意图。图2中，Sender首先拥有a和A，其中，A＝aG。这里的G也称基点，其是从椭圆曲线中选取得到的，且由双方约定。a为随机数，且a∈Zp。之后，Sender可以将A发给Receiver。在Receiver缓存A之后，双方通过交互就可以生成各自的OT标签。

具体地，Receiver首先选取随机数b，b∈Zp，计算B＝bG+cA，并计算目标标签keyc＝H(bA)。这里的H()为双方约定的哈希函数。之后，Receiver向Sender发送B。最后，Sender根据B进行n次迭代计算之后，可以得到n个标签{key0，key1，…，keyn-1}。其中任意的第m个标签为：keym＝H(aB-maA)。

通过简单推导可知，上述目标标签keyc始终与{key0，key1，…keyn-1}中下标为c的标签值保持一致。比如，当c＝0时，keyc＝key0，当c＝1时，keyc＝key1。此外，Sender不能获知Receiver选择c的信息，Receiver只能获得sender的一组标签中的一个标签keyc，也即满足OT协议，因此，Receiver计算得到的目标标签也可以称为目标OT标签，Sender计算得到的n个标签也可以称为n个OT标签，该两者共同构成一组ROT标签。

需要说明，可以在Sender和Receiver之间重复多次地执行ROT协议，且每次执行过程中，A不变，但随机数b的取值可不同，从而Receiver可以生成若干不同的目标标签，Sender可以得到若干组OT标签，其中每组包括n个OT标签。

上述基于OT标签，来生成和解密混淆表具体可以包括：由GC的Garbler(即第二方)作为OT协议的Sender生成若干对OT标签，并基于该若干对OT标签，对GC的Evaluator(即第一方)的各输入线进行标注，进而生成混淆表。之后由第一方将其作为OT协议的Receiver所生成的若干目标OT标签，确定为其拥有的各输入线的真值的标注字符串，来解密混淆表。由于在该方法中，第二方不需要发送第一方拥有的输入线的真值的标注字符串，从而可以大大节约通信量。

以上就是本说明书实施例提供的方案的发明构思，以下对该方案进行详细说明。

图3为本说明书一个实施例提供的实施场景示意图。图3中，第一方和第二方可以实现为任何具有计算、处理能力的设备、平台、服务器或设备集群。

具体地，第一方可以向第二方发送比较请求，其中包括n个标识：ID1、ID2、…、IDn和L个基值。该n个标识包括目标标识IDx和n-1个混淆标识，其中，x∈{1，2，…,n}。上述L个基值基于目标标识IDx对应的第一数据recx的L位二进制数(p₁、p₂、…、p_L)而确定。第二方在接收到比较请求之后，可以获取n个标识对应的n个第二数据：inf1、inf2、…、infn。生成布尔电路(boolean circuit)，用于对第一数据recx与n个第二数据：inf1、inf2、…、infn进行比较。以及基于L个基值，生成布尔电路的混淆表，并将其提供给第一方。此外，还可以向第一方提供n个第二数据各自对应的L位真值的标注字符串，表示为{K_Bi}_n*L。

第一方利用与L个基值关联生成的L个本地选择标签和{K_Bi}_n*L，解密混淆表。之后可以根据解密结果，确定目标标识对应的第二数据infx与第一数据recx的目标比较结果。

本说明书所述的布尔电路是一组用连接线连接的逻辑门的集合，能对一组输入完成函数计算并输出结果。逻辑门包括与门(AND)、异或门(XOR)、非门(NOT)等实现布尔函数的门，一般一个函数可以编译成一组与门、异或门和非门完成计算。在一个示例中，该布尔电路可以采用混淆电路的执行方式。

关于布尔电路中的异或门，在一种优化的实现方式中，其可以实现为free-xor门。需要说明，当该异或门实现为free-xor门时，GC的Garbler无需针对其生成对应的混淆表，由此可以降低双方之间的通信代价。但free-xor门的每根线(包括输入线和输出线)需满足如下要求：每根线的真值1对应的标注字符串等于其真值0对应的标注字符串异或偏移值。在一个示例中，该偏移值的预定位是1。以预定位为最低位为例来说，该偏移值可以为1001、0001或0101。

从图3可以看出，在本说明书实施例提供的比较方案中，第二方既无法获知第一方的第一数据recx，还无法获知第一方想要进行比较的第二数据infx，由此可以进一步提升数据的安全性。此外，第一方只能获取到上述目标比较结果而不能获知其它比较结果。可见，本方案可以加强数据的隐私保护。最后，在该方案中，第一方和第二方只需要进行一轮通信(即第一方->第二方，第二方->第一方)，即可实现两方数据的安全比较，需要任何预计算和缓存，由此可以大大降低通信代价。

图4示出根据一个实施例的两方安全比较的方法交互图。如图4所示，该方法至少可以包括如下步骤。

步骤402，第一方向第二方发送比较请求。

这里的第一方对应于OT协议中的Receiver，以及对应于GC中的Evaluator。上述第二方对应于OT协议中的Sender，以及对应于GC中的Garbler。

上述比较请求中可以包括n个标识：ID1、ID2、…、IDn和L个基值：S₁、S₂、…、S_L。这里的n个标识包括目标标识IDx和n-1个混淆标识。其中，x∈{1，2，…n}。

上述L个基值是由第一方至少基于目标标识对应的第一数据的L位二进制数而确定。在一个示例中，这里的L位二进制数可以是由第一方按比较最小精度获取的。比如，假设比较精度为10，那么可以先计算recx/2¹⁰，然后对计算结果进行上取整，再按小端取L个比特，即可以得到L位二进制数，分别表示为：p₁、p₂、…、p_L。

在一个示例中，第i个基值S_i可以是基于第一数据的第i位二进制数和约定随机数而确定。比如，可以是根据图2中B的计算公式来获取，即S_i＝s_iG+p_iA，其中的s_i为计算第i个基值时选取的随机数，s_i∈Zp，G为第一方和第二方预先约定的基点，p_i为第一数据的第i位二级制数，A为双方的约定随机数，且A＝aG。该随机数可以是由第一方从

步骤404，第二方获取n个标识对应的n个第二数据。

在上述示例性场景中，这里的n个第二数据例如可以为n个用户的存款额度：inf1、inf2、…、infn，这里的n个用户包括目标用户。

应理解，针对每个存款额度，可以按比较最小精度对其做上取整和截断，可以得到各存款额度各自对应的L位二进制数。

步骤406，第二方生成布尔电路，用于对第一数据与n个第二数据进行比较。

在一个示例中，上述布尔电路包括n个比较单元，其中的第j个比较单元用于对第一数据recx与第j个第二数据infj进行比较。关于每个比较单元的具体结构后续说明。

步骤408，第二方基于L个基值生成布尔电路的混淆表，并将其提供给第一方。

应理解，这里可以是针对布尔电路中全部或部分门生成对应的混淆表。在一个示例中，可以先对布尔电路中的每根线(包括输入线和输出线)进行标注，然后针对每个需要生成混淆表的门，先生成对应的真值表，然后用每根线的标注字符串替换真值表中的真实值，并通过两次对称加密和乱序混淆之后得到对应的混淆表。

为节约通信代价，本说明书实施例中，针对布尔电路中对应于第一方的第一数据的输入线，利用满足ROT协议的OT标签对其进行标注。具体地，第二方利用与第一方约定的标签生成器，基于L个基值，生成L对OT标签。根据L对OT标签，确定对应于第一数据的L根输入线的标注字符串。

需要说明，上述标签生成器可以对应于约定的哈希函数。L对OT标签的生成过程具体可以为：基于第i个基值并利用约定的哈希函数，确定第一标签。基于第i个基值与约定随机数之差，并利用约定的哈希函数，确定第二标签。上述第一标签和第二标签构成第i对OT标签。类似地，可以生成其它对OT标签。

在一个示例中，第一标签的生成公式可以为：L0_i＝H(aS_i)，第二标签的生成公式可以为：L1_i＝H(aS_i-aA)。其中，a为第二方预先选取的随机数，其满足如下条件：A＝aG。这里的A(双方的约定随机数)、G(双方约定的基点，选取自椭圆曲线)和S_i(第i个基值)的定义可以同上文所述。

应理解，这里的L0_i和L1_i的计算公式实际上就是图2中keym的计算公式，即L0_i为m＝0的情况，L1_i为m＝1的情况。

需要说明，在第二方生成L对OT标签的过程中或者之前，第一方可以利用上述标签生成器，与L个基值关联地生成L个本地选择标签，其中第i个本地选择标签，是第i对OT标签所含标签之一。

在一个示例中，第i个本地选择标签的生成公式可以为：Li＝H(s_iA),其中，s_i为第一方计算第i个基值时选取的随机数，A为双方的约定随机数。应理解，这里的Li的计算公式实际上就是图2中keyc的计算公式。

应理解，在基于图2中keym的计算公式计算L0_i和L1_i，以及基于keyc的计算公式计算Li时，可以确保在p_i＝0时，Li＝L0_i，以及p_i＝1时，Li＝L1_i。

在获取到L对OT标签之后，可以通过如下两种方式，来确定对应于第一数据的L根输入线的标注字符串。

在一种实现方式中，可以将第i对OT标签中的第一标签(即L0_i)，作为第i根输入线的真值0对应的标注字符串。将第i对OT标签中的第二标签(即L1_i)，作为第i根输入线的真值1对应的标注字符串。类似地，可以确定出其它每根输入线的两个标注字符串。

应理解，在通过该种方式确定对应于第一数据的L根输入线的标注字符串时，第二方需要针对异或门也生成对应的混淆表，但不需要针对该L根输入线发送对应的标注字符串。原因如下：

首先，上文给出p_i＝0时，Li＝L0_i，p_i＝0说明第一方拥有第i根输入线的真值0，L0_i为第二方针对第i根输入线的真值0所标注的标注字符串，而又因为Li＝L0_i，从而第一方拥有的第i个本地选择标签，即为第二方针对第i根输入线的真值0所标注的标注字符串，从而第二方不需要向第一方发送L0_i。

其次，上文给出p_i＝1时，Li＝L1_i，p_i＝1说明第一方拥有第i根输入线的真值1，L1_i为第二方针对第i根输入线的真值1所标注的标注字符串，而又因为Li＝L1_i，从而第一方拥有的第i个本地选择标签，即为第二方针对第i根输入线的真值1所标注的标注字符串，从而第二方不需要向第一方发送L1_i。

总之，在该方式下，第i个本地选择标签始终为第一方拥有的第i根输入线的真值所对应的标注字符串。

在另一种实现方式中，可以先将第i对OT标签中的第一标签与偏移值进行异或运算，得到第三标签。然后将第i对OT标签中的第一标签，作为第i根输入线的真值0对应的标注字符串。将计算得到的第三标签，作为第i根输入线的真值1对应的标注字符串。

应理解，在通过该种方式确定对应于第一数据的L根输入线的标注字符串时，第二方不需要针对异或门生成对应的混淆表。原因是：第i根输入线的真值1对应的标注字符串等于其真值0对应的标注字符串异或偏移值。也即满足free-xor门对输入线的要求。

但是在该种方式下，需要对第一方的L个本地选择标签进行更新。比如，在第i个本地选择标签为第i对OT标签中的第二标签时，需要将第i个本地选择标签更新为第三标签，以确保第i个本地选择标签始终为第一方拥有的第i根输入线的真值所对应的标注字符串。具体更新方法后续说明。

至此，第二方就完成了针对第一方的第一数据的输入线的标注。此外，第二方还可以针对每个第二数据的输入线，以及每根输出线进行标注，其标注方法可以采用已知的任一种方法。应理解，当布尔电路中的异或门实现为free-xor门时，要求每根线的真值1对应的标注字符串等于其真值0对应的标注字符串异或偏移值。

在完成布尔电路中每根线的标注之后，就可以针对布尔电路中全部或部分门生成对应的混淆表，并将其提供给第一方。此外，还可以将n个第二数据各自对应的L位真值的标注字符串提供给第一方，以供第一方基于接收的标注字符串和本地选择标签解密混淆表。

需要说明，在上述第二种实现方式中，第二方在向第一方发送混淆表的同时，还可以发送对应于第一数据的L根输入线的L个加密字符串，以便于第一方根据L个加密字符串，更新L个本地选择标签。其中，任意的第i根输入线的加密字符串通过对第i对OT标签中的第一标签、第二标签以及偏移值进行异或运算得到。

其中，第一方更新L个本地选择标签的过程具体可以如下：

对于第i个本地选择标签，若与其相关联的第i个基值基于二进制数0而确定，也即第一方拥有的第i根输入线的真值为0，则第一方将第i个本地选择标签作为更新的第i个本地选择标签。否则，若第一方拥有的第i根输入线的真值为1，则第一方对第i个本地选择标签与第i个加密字符串进行异或运算，并将异或结果作为更新的第i个本地选择标签。

以下通过图5来对上述更新方法的正确性进行说明。

图5示出根据一个实施例的本地选择标签更新方法示意图。图5中，假设Garbler(即第二方)已生成一对OT标签：L0和L1，Evaluator(即第一方)已生成本地选择标签Lc，选择(choice)为c，且当c＝0时，Lc＝L0；c＝1时，Lc＝L1。此外，还假设Garbler将Evaluator的输入线的k0设为L0，将k1设为L0^R，其中，R为偏移值。其中，将k0设为L0，表示将Evaluator的输入线的真值0对应的标注字符串设为L0，将k1设为L0^R，表示将Evaluator的输入线的真值1对应的标注字符串设为L0^R。那么，Garbler可以向Evaluator发送密文y＝L0^L1^R。之后，若Evaluator针对上述输入线拥有真值0，也即input＝＝0，则将Lc作为其针对该输入线获取的标注字符串，即k＝Lc。而若Evaluator针对上述输入线拥有真值1，也即input＝＝1，则将Lc^y作为其针对该输入线获取的标注字符串，即k＝Lc^y。

当然，上述更新本地选择标签的方法有个前提条件是：Evaluator针对上述输入线拥有的真值与选择c相同，也即input＝c。在满足该条件的情况下，那么在input＝＝0时，c＝0，从而k＝L0。在input＝＝1时，c＝1，从而k＝L1^y＝L1^L0^L1^R＝L0^R。也即基于密文y，可以使得Evaluator始终能获取到Garbler针对Evaluator拥有的输入值所标注的字符串。

回到图4中，步骤404生成的布尔电路可以具有n根输出线，其中的第i根输出线用于输出第一数据与第i个第二数据的第i个比较结果。第二方可以获取该n根输出线各自的真值0对应的第一字符串的最低比特，并将得到的n个比特(记为pb1、pb2、…、pbn)，作为第一数据与n个第二数据的n个比较结果对应的n个第一结果分片。之后，第一方通过与第二方执行OT协议，可以从中选取出第一目标分片。这里的第一目标分片是指第一数据与目标标识对应的第二数据的目标比较结果的第一结果分片。最后，第一方根据混淆表的解密结果和第一目标分片，确定目标标识对应的第二数据与第一数据的目标比较结果。

上述第一方通过与第二方执行OT协议，从中选取出第一目标分片具体可以包括：第二方利用标签生成器，基于其它基值，生成n个OT标签。第二方利用n个OT标签，加密n个第一结果分片。第一方利用与其它基值关联生成的目标OT标签，对加密结果进行解密，得到第一目标分片。这里的目标OT标签是n个OT标签中之一。

首先，上述其它基值S_out可以是由第一方连通上述L个基值一起发送给第二方的。该其它基值S_out可以是由第一方基于目标标识的位置序号和约定随机数而确定。比如，其可以是根据图2中B的计算公式来获取，即S_out＝s_outG+p_outA，其中的s_out为选取的随机数，s_out∈Zp，G为第一方和第二方预先约定的基点，p_out为目标标识在n个标识中的位置序号，即p_out∈{0，1，…,n-1}，A为双方的约定随机数，且A＝aG。该随机数可以是由第一方从本地文件中读取得到，也可以是预先设定的。

此外，上述基于其它基值，生成n个OT标签具体可以包括：迭代地执行n轮标签生成，其中第j轮标签生成包括，对其它基值与当前轮次和约定随机数的乘积求差，并基于差值，利用哈希函数，确定本轮生成的OT标签。在一个示例中，上述标签生成公式可以表示为：Lj＝H(aS_out-jaA)，其中，j为当前轮次，j∈{0，1，…,n-1}。a为第二方预先选取的随机数，其满足如下条件：A＝aG。这里的A(双方的约定随机数)、G(双方约定的基点，选取自椭圆曲线)和S_out(其它基值)的定义可以同上文所述。

在上述n轮迭代结束之后，就可以得到n个OT标签。

应理解，这里的Lj的计算公式实际上就是图2中keym的计算公式。

接着，上述第二方利用n个OT标签，加密n个第一结果分片具体可以包括：分别获取n个OT标签各自的最低比特。对该n个第二OT标签各自的最低比特与n个第一结果分片进行异或运算，得到加密结果，即得到加密的n个第一结果分片。

最后，上述第一方利用与其它基值关联生成的目标OT标签，对加密结果进行解密，可以包括：依次对该目标OT标签与加密的n个第一结果分片进行异或运算。其中，只有当该目标OT标签与加密的第一目标分片进行异或运算时，可以获取到明文的第一目标分片sbx。原因如下：

上述目标OT标签的生成公式可以为：Lout＝H(s_outA),其中，s_out为第一方计算上述其它基值时选取的随机数，A为双方的约定随机数。应理解，这里的Lout的计算公式实际上就是图2中keyc的计算公式。

应理解，在基于图2中keym的计算公式计算Lj，以及基于keyc的计算公式计算Lout时，可以确保在p_out＝0时，Lout＝L0，以及p_out＝1时，Lout＝L1，依次类推。从而第一方利用Lout可以解密出利用n个OT标签中与其相同的标签所加密的第一结果分片(即第一目标分片)。原理是：某个数与同一个数异或两次之后，其结果仍然为该数本身。

步骤410，第一方利用与L个基值关联生成的L个本地选择标签，解密混淆表，并至少根据解密结果，确定目标标识对应的第二数据与第一数据的目标比较结果。

当然，如果第一方对L个本地选择标签进行了更新，那么可以利用更新的L个本地选择标签，解密混淆表。

需要说明，由于初始的或更新的第i个本地选择标签，始终为第一方拥有的、对应于第一数据的第i根输入线的真值的标注字符串。从而第一方可以基于L个本地选择标签，解密混淆表。当然，在实际应用中，第一方还可以结合第二方发送的n个第二数据各自对应的L位真值的标注字符串，来解密混淆表，得到解密结果。

在一个示例中，上述解密结果可以包括第一方算出的n根输出线各自的目标字符串。上述确定目标标识对应的第二数据与第一数据的目标比较结果可以包括：获取n根输出线各自的目标字符串的最低比特，并将得到的n个比特作为n个比较结果对应的n个第二结果分片(记为：sb1、sb2、…、sbn)。对第一目标分片pbx与第二目标分片sbx进行异或运算，得到目标比较结果res。这里的第二目标分片sbx是根据目标标识的位置序号，从n个第二结果分片中选取得到的。

至此两方安全比较的方法描述完成，以下对上述布尔电路的具体结构进行说明。

图6示出根据一个实施例的布尔电路示意图。图6中，该布尔电路包括n个比较单元，其中的第i个比较单元用于对第一数据recx与第i个第二数据infi进行比较，以得到比较结果r[i]。

以任意的第i比较单元为例来说，其可以包括：

最低位比较子单元，利用单个与门，确定第i个第二数据的最低位是否小于第一数据的最低位的中间比较结果。

非最低位比较子单元，对于第i个第二数据和第一数据的L-1个非最低位，基于中间比较结果，按照从低位到高位的顺序分别执行L-1轮比较处理。

结果确定单元，用于根据针对最高位进行比较处理之后的中间比较结果，确定对应的第i比较结果。

上述最低位比较子单元进一步包括：

第一非门，接收第i个第二数据的最低位d[i][0]，输出第一中间结果t0；

第一与门，接收第一中间结果t0和第一数据的最低位p[0]，输出第二中间结果t1；

第二非门，接收第二中间结果t1，输出最低位对应的中间比较结果part_res。

可以理解的是，最低位比较子单元用于执行如下处理：

t0＝INV(d[i][0])，该处理由第一非门执行；

t1＝AND(t0,p[0])，该处理由第一与门执行；

part_res＝INV(t1)，该处理由第二非门执行；

从而使得只有d[i][0]＝＝0且p[0]＝＝1时，part_res＝0，否则part_res＝1。

此外，上述非最低位比较子单元进一步包括：

第一异或门，接收上一位对应的中间比较结果part_res和第i个第二数据的当前位d[i][j]，输出第三中间结果t0；

第二异或门，接收上一位对应的中间比较结果part_res和第一数据的当前位p[j]，输出第四中间结果t1；

第三非门，接收第四中间结果t1，输出第五中间结果t2；

第二与门，接收第三中间结果t0和第五中间结果t2，输出第六中间结果t3；

第三异或门，接收上一位对应的中间比较结果part_res和第六中间结果t3，输出当前位对应的中间比较结果part_res。

可以理解的是，非最低位比较子单元用于执行如下处理：

for j in range(1,L-1):

t0＝XOR(part_res,d[i][j])

t1＝XOR(part_res,p[j])

t2＝INV(t1)

t3＝AND(t0,t2)

part_res＝XOR(part_res,t3)

上述处理依次对应于前述第一异或门、第二异或门、第三非门、第二与门、第三异或门的处理，从而使得对于第j位，只有d[i][j...0]<p[j...0]时，part_res＝0，否则part_res＝1。

应理解，当非最低位比较子单元执行全部处理之后，也即针对第L-1位比较处理完成之后，结果确定单元可以将最终得到的part_res作为最终的第i比较结果。即r[i]＝part_res。类似地，可以得到其它第二数据与第一数据的比较结果。

以下再对本方案的计算量和通信量进行说明。

关于计算量：

第一方需要计算L个基值和L个本地选择标签，其中，L个基值的计算过程包含了L个定点点乘，L个本地选择标签的计算过程包含了L个非定点点乘和L个哈希运算。此外，第一方还需要计算1个其它基值和1个目标OT标签。其中，1个其它基值的计算过程包含了1个定点点乘，1个目标OT标签的计算过程包含了1个非定点点乘和1个哈希运算。综上，第一方的计算量为：L+1个定点点乘、L+1个非定点点乘以及L+1个哈希运算。

第二方需要计算L对OT标签，其中的每对OT标签的计算过程包含L个非定点点乘和2L个哈希运算。此外，第二方还需要计算n个OT标签，该计算过程包含1个非定点点乘和n个哈希。综上，第二方的计算量为：L+1个非定点点乘以及2L+n个哈希运算。

对第一方和第二方的计算量进行汇总之后，得到总计算量：2L+2个非定点点乘、L+1个定点点乘以及3L+n个哈希运算。

关于通信量(用比特表示)：

首先，第一方需要向第二方发送n个ID、L个基值和1个其它基值，对应的通信量分别表示为：n*len(ID)、L*2k、2k，其中，k表示安全参数。从而该次发送的通信量为：n*len(ID)+2(L+1)k。

其次，第二方需要向第一发送L个加密字符串、第二方的输入的标注字符串、混淆表(n*L个与门)以及加密的n个第一结果分片，对应的通信量分别表示为：L*k、n*L*k、n*L*2k以及n。从而该次发送的通信量为：(3n*L+L)*k+n。

关于上述混淆表的通信量，之所以基于n*L个与门确定，是因为目前混淆电路最优的实现方案，对异或门(比如，free-xor们)和非门不需要通信，只需要本地计算，与门需要调用密码计算并进行通信，并且在一般应用场景中通信量是吞吐量上限的瓶颈。混淆电路的通信量与布尔电路的与门数正相关。

综合以上，本说明书实施例提供的两方安全比较的方法，第一方同时向第二方发送n个标识，可以实现数据的匿名比较，也即第二方不仅无法获知第一方的数据，还无法获知第一方想要与第二方的哪个数据进行比较，这进一步确保了数据的安全性。此外，第二方基于由第一方发送的L个基值，来生成布尔电路的混淆表，以及第一方利用其本地与L个基值关联生成的L个选择标签解密混淆表，可以使得第二方无需针对第一方的输入发送对应的标注字符串，或者可以只发对应输入的一个加密字符串，由此可以解决传统技术中，GC的Garbler需要针对Evaluator的输入发送两个标注字符串而耗费通信资源的问题。最后，本方案中，第一方与第二方只需要进行一轮通信，且布尔电路中与门数量达到最少(只需n*L个)，由此可以降低通信代价(包括通信量和通信轮数)。

与上述两方安全比较的方法对应地，本说明书一个实施例还提供的一种两方安全比较的系统，如图7所示，该系统可以包括：

第一方702，用于向第二方704发送比较请求，其中包括n个标识和L个基值，n个标识包括目标标识和n-1个混淆标识，L个基值至少基于目标标识对应的第一数据的L位二进制数而确定。

第二方704，用于获取n个标识对应的n个第二数据。

第二方704，还用于生成布尔电路，用于对第一数据与n个第二数据进行比较定。

第二方704，还用于基于L个基值生成布尔电路的混淆表，并将其提供给第一方702。

第二方704具体用于：

利用与第一方702约定的标签生成器，基于L个基值，生成L对OT标签。根据L对OT标签，确定对应于第一数据的L根输入线的标注字符串。

第一方702还用于利用标签生成器，与L个基值关联地生成L个本地选择标签，其中，第i个本地选择标签，是第i对OT标签所含标签之一。

第一方702，还用于利用与L个基值关联生成的L个本地选择标签，解密混淆表，并至少根据解密结果，确定目标标识对应的第二数据与第一数据的目标比较结果。

可选地，L个基值中的第i个基值，基于第一数据的第i位二进制数和约定随机数而确定，上述标签生成器对应于约定的哈希函数；

第二方704还具体用于：

基于第i个基值并利用哈希函数，确定第一标签；

基于第i个基值与约定随机数之差，并利用哈希函数，确定第二标签，第一标签和第二标签构成第i对OT标签。

可选地，任意的第i对OT标签包括第一标签和第二标签；

第二方704还具体用于：

将第一标签，作为第i根输入线的真值0对应的标注字符串；

将第二标签，作为第i根输入线的真值1对应的标注字符串。

可选地，任意的第i对OT标签包括第一标签和第二标签；

第二方704，还用于将第一标签与偏移值进行异或运算，得到第三标签；

第二方704还具体用于：

将第一标签，作为第i根输入线的真值0对应的标注字符串；

将第三标签，作为第i根输入线的真值1对应的标注字符串。

可选地，第二方704，还用于对第一标签、第二标签以及偏移值进行异或运算，得到第i根输入线的加密字符串；

将L根输入线的L个加密字符串提供给第一方702。

第一方702，还用于根据L个加密字符串，更新L个本地选择标签；

第一方702具体用于：

利用更新的L个本地选择标签，解密混淆表。

第一方702还具体用于：

对于第i个本地选择标签，若与其相关联的第i个基值基于二进制数0而确定，则将第i个本地选择标签作为更新的第i个本地选择标签；否则，对第i个本地选择标签与第i个加密字符串进行异或运算，并将异或结果作为更新的第i个本地选择标签。

可选地，上述布尔电路具有n根输出线；

第二方704，还用于获取n根输出线各自的真值0对应的第一字符串的最低比特，并将得到的n个比特，作为第一数据与n个第二数据的n个比较结果对应的n个第一结果分片；

第一方702，还用于通过与第二方704执行OT协议，从n个第一结果分片中选取第一目标分片；

第一方702还具体用于：

根据解密结果以及第一目标分片，确定目标比较结果。

可选地，上述比较请求还包括1个其它基值；

第二方704，还用于利用标签生成器，基于其它基值，生成n个OT标签；

第二方704，还用于利用n个OT标签，加密n个第一结果分片，得到加密结果；

第一方702，还用于利用与其它基值关联生成的目标OT标签，对加密结果进行解密，得到第一目标分片，该目标OT标签是n个OT标签中之一。

可选地，上述其它基值，基于目标标识的位置序号和约定随机数而确定；

第二方704还具体用于：

迭代地执行n轮标签生成，其中第j轮标签生成包括，对其它基值与当前轮次和约定随机数的乘积求差，并基于差值，利用哈希函数，确定本轮生成的OT标签。

第二方704还具体用于：

分别获取n个OT标签各自的最低比特；

对n个OT标签各自的最低比特与n个第一结果分片进行异或运算，得到加密结果。

可选地，上述解密结果包括第一方702算出的n根输出线各自的目标字符串；

第一方702还具体用于：

获取n根输出线各自的目标字符串的最低比特，并将得到的n个比特作为n个比较结果对应的n个第二结果分片；

对第一目标分片与第二目标分片进行异或运算，得到目标比较结果；第二目标分片是根据目标标识的位置序号，从n个第二结果分片中选取得到的。

可选地，上述布尔电路包括n个比较单元，其中的每个比较单元用于对第一数据与n个第二数据中的1个第二数据进行比较。

上述n个第二数据均为L位二进制数，任意的第i比较单元包括：

最低位比较子单元，用于利用单个与门，确定第i个第二数据的最低位是否小于所述第一数据的最低位的中间比较结果；

非最低位比较子单元，用于对于第i个第二数据和第一数据的L-1个非最低位，基于中间比较结果，按照从低位到高位的顺序分别执行L-1轮比较处理；

本说明书上述实施例装置的各功能模块的功能，可以通过上述方法实施例的各步骤来实现，因此，本说明书一个实施例提供的装置的具体工作过程，在此不复赘述。

本说明书一个实施例提供的两方安全比较的系统，用以在保证安全多方计算的安全性的情况下，降低网络通信代价。

根据另一方面的实施例，还提供一种计算机可读存储介质，其上存储有计算机程序，当所述计算机程序在计算机中执行时，令计算机执行结合图4所描述的方法。

根据再一方面的实施例，还提供一种计算设备，包括存储器和处理器，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现结合图4所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

结合本说明书公开内容所描述的方法或者算法的步骤可以硬件的方式来实现，也可以是由处理器执行软件指令的方式来实现。软件指令可以由相应的软件模块组成，软件模块可以被存放于RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、移动硬盘、CD-ROM或者本领域熟知的任何其它形式的存储介质中。一种示例性的存储介质耦合至处理器，从而使处理器能够从该存储介质读取信息，且可向该存储介质写入信息。当然，存储介质也可以是处理器的组成部分。处理器和存储介质可以位于ASIC中。另外，该ASIC可以位于服务器中。当然，处理器和存储介质也可以作为分立组件存在于服务器中。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本发明所描述的功能可以用硬件、软件、固件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是通用或专用计算机能够存取的任何可用介质。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

以上所述的具体实施方式，对本说明书的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本说明书的具体实施方式而已，并不用于限定本说明书的保护范围，凡在本说明书的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本说明书的保护范围之内。

Claims

1.一种两方安全比较的方法，包括：

所述第二方获取所述n个标识对应的n个第二数据；

2.根据权利要求1所述的方法，其中，所述第二方基于所述L个基值生成所述布尔电路的混淆表，包括：

利用与所述第一方约定的标签生成器，基于所述L个基值，生成L对OT标签；根据所述L对OT标签，确定对应于所述第一数据的L根输入线的标注字符串；

所述方法还包括：

所述第一方利用所述标签生成器，与所述L个基值关联地生成所述L个本地选择标签，其中，第i个本地选择标签，是第i对OT标签所含标签之一。

3.根据权利要求2所述的方法，其中，所述L个基值中的第i个基值，基于所述第一数据的第i位二进制数和约定随机数而确定；所述标签生成器对应于约定的哈希函数；

所述利用与所述第一方约定的标签生成器，基于所述L个基值，生成L对OT标签，包括：

基于所述第i个基值并利用所述哈希函数，确定第一标签；

基于所述第i个基值与所述约定随机数之差，并利用所述哈希函数，确定第二标签；所述第一标签和所述第二标签构成第i对OT标签。

4.根据权利要求2所述的方法，其中，任意的第i对OT标签包括第一标签和第二标签；

所述根据所述L对OT标签，确定对应于所述第一数据的L根输入线的标注字符串，包括：

将所述第一标签，作为第i根输入线的真值0对应的标注字符串；

将所述第二标签，作为第i根输入线的真值1对应的标注字符串。

5.根据权利要求2所述的方法，其中，任意的第i对OT标签包括第一标签和第二标签，所述方法还包括：

将所述第一标签与偏移值进行异或运算，得到第三标签；

将所述第三标签，作为第i根输入线的真值1对应的标注字符串。

6.根据权利要求5所述的方法，还包括：

对所述第一标签、所述第二标签以及所述偏移值进行异或运算，得到第i根输入线的加密字符串；

将所述L根输入线的L个加密字符串提供给所述第一方；

所述第一方根据所述L个加密字符串，更新所述L个本地选择标签；

所述解密所述混淆表，包括：

利用更新的L个本地选择标签，解密所述混淆表。

7.根据权利要求6所述的方法，其中，所述第一方根据所述L个加密字符串，更新所述L个本地选择标签，包括：

对于第i个本地选择标签，若与其相关联的第i个基值基于二进制数0而确定，则将所述第i个本地选择标签作为更新的第i个本地选择标签；否则，对所述第i个本地选择标签与第i个加密字符串进行异或运算，并将异或结果作为更新的第i个本地选择标签。

8.根据权利要求1所述的方法，其中，所述布尔电路具有n根输出线，所述方法还包括：

所述第二方获取所述n根输出线各自的真值0对应的第一字符串的最低比特，并将得到的n个比特，作为所述第一数据与所述n个第二数据的n个比较结果对应的n个第一结果分片；

所述第一方通过与所述第二方执行OT协议，从所述n个第一结果分片中选取第一目标分片；

所述确定所述目标标识对应的第二数据与所述第一数据的目标比较结果，包括：

根据所述解密结果以及所述第一目标分片，确定所述目标比较结果。

9.根据权利要求8所述的方法，其中，所述比较请求还包括1个其它基值；

所述从n个第一结果分片中选取第一目标分片，包括：

所述第二方利用所述标签生成器，基于所述其它基值，生成n个OT标签；

所述第二方利用所述n个OT标签，加密所述n个第一结果分片，得到加密结果；

所述第一方利用与所述其它基值关联生成的目标OT标签，对所述加密结果进行解密，得到所述第一目标分片；所述目标OT标签是所述n个OT标签中之一。

10.根据权利要求9所述的方法，其中，所述其它基值，基于所述目标标识的位置序号和约定随机数而确定；

所述第二方利用所述标签生成器，基于所述其它基值，生成n个OT标签，包括：

迭代地执行n轮标签生成，其中第j轮标签生成包括，对所述其它基值与当前轮次和所述约定随机数的乘积求差，并基于差值，利用所述哈希函数，确定本轮生成的OT标签。

11.根据权利要求9所述的方法，其中，所述第二方利用所述n个OT标签，加密所述n个第一结果分片，包括：

分别获取所述n个OT标签各自的最低比特；

对所述n个OT标签各自的最低比特与所述n个第一结果分片进行异或运算，得到所述加密结果。

12.根据权利要求8所述的方法，其中，所述解密结果包括所述第一方算出的所述n根输出线各自的目标字符串；

所述根据所述解密结果以及所述第一目标分片，确定所述目标比较结果，包括：

获取所述n根输出线各自的目标字符串的最低比特，并将得到的n个比特作为所述n个比较结果对应的n个第二结果分片；

对所述第一目标分片与第二目标分片进行异或运算，得到所述目标比较结果；所述第二目标分片是根据所述目标标识的位置序号，从所述n个第二结果分片中选取得到的。

13.根据权利要求1所述的方法，其中，所述布尔电路包括n个比较单元，其中的每个比较单元用于对所述第一数据与所述n个第二数据中的1个第二数据进行比较。

14.根据权利要求13所述的方法，其中，所述n个第二数据均为L位二进制数；任意的第i比较单元包括：

非最低位比较子单元，用于对于所述第i个第二数据和所述第一数据的L-1个非最低位，基于所述中间比较结果，按照从低位到高位的顺序分别执行L-1轮比较处理；

结果确定单元，用于根据针对最高位进行所述比较处理之后的中间比较结果，确定对应的第i比较结果。

15.一种两方安全比较的系统，包括：

所述第二方，用于获取所述n个标识对应的n个第二数据；

16.根据权利要求15所述的系统，其中，所述第二方具体用于：

所述第一方，还用于利用所述标签生成器，与所述L个基值关联地生成所述L个本地选择标签，其中，第i个本地选择标签，是第i对OT标签所含标签之一。

17.根据权利要求16所述的系统，其中，所述L个基值中的第i个基值，基于所述第一数据的第i位二进制数和约定随机数而确定；所述标签生成器对应于约定的哈希函数；

所述第二方还具体用于：

基于所述第i个基值并利用所述哈希函数，确定第一标签；

18.根据权利要求16所述的系统，其中，任意的第i对OT标签包括第一标签和第二标签；

所述第二方具体用于：

19.根据权利要求16所述的系统，其中，任意的第i对OT标签包括第一标签和第二标签；

所述第二方，还用于将所述第一标签与偏移值进行异或运算，得到第三标签；

所述第二方还具体用于：

20.根据权利要求19所述的系统，

所述第二方，还用于对所述第一标签、所述第二标签以及所述偏移值进行异或运算，得到第i根输入线的加密字符串；

所述第二方，还用于将所述L根输入线的L个加密字符串提供给所述第一方；

所述第一方，还用于根据所述L个加密字符串，更新所述L个本地选择标签；

所述第一方具体用于：利用更新的L个本地选择标签，解密所述混淆表。

21.根据权利要求15所述的系统，其中，所述布尔电路具有n根输出线；

所述第二方，还用于获取所述n根输出线各自的真值0对应的第一字符串的最低比特，并将得到的n个比特，作为所述第一数据与所述n个第二数据的n个比较结果对应的n个第一结果分片；

所述第一方，还用于通过与所述第二方执行OT协议，从所述n个第一结果分片中选取第一目标分片；

所述第一方具体用于：

22.根据权利要求21所述的系统，其中，所述比较请求还包括1个其它基值；

所述第二方，还用于利用所述标签生成器，基于所述其它基值，生成n个OT标签；

所述第二方，还用于利用所述n个OT标签，加密所述n个第一结果分片，得到加密结果；

所述第一方，还用于利用与所述其它基值关联生成的目标OT标签，对所述加密结果进行解密，得到所述第一目标分片；所述目标OT标签是所述n个OT标签中之一。

23.根据权利要求21所述的系统，其中，所述解密结果包括所述第一方算出的所述n根输出线各自的目标字符串；

所述第一方，还用于获取所述n根输出线各自的目标字符串的最低比特，并将得到的n个比特作为所述n个比较结果对应的n个第二结果分片；

所述第一方，还用于对所述第一目标分片与第二目标分片进行异或运算，得到所述目标比较结果；所述第二目标分片是根据所述目标标识的位置序号，从所述n个第二结果分片中选取得到的。

24.一种计算机可读存储介质，其上存储有计算机程序，其中，当所述计算机程序在计算机中执行时，令计算机执行权利要求1-14中任一项所述的方法。

25.一种计算设备，包括存储器和处理器，其中，所述存储器中存储有可执行代码，所述处理器执行所述可执行代码时，实现权利要求1-14中任一项所述的方法。