CN114386089A - 一种基于多方条件检索的隐私集合求交方法 - Google Patents

Abstract

本发明属于数据安全技术领域，具体涉及一种基于多方条件检索的隐私集合求交方法，该方法包括：获取系统参数，根据获取的系统参数计算策略参数；对计算出的策略参数进行加密；根据加密的策略参数各服务端执行PSI协议；根据协议结果对各个服务器的隐私集求交集，得到交集结果，并将交集结果发送给客户端；本发明不仅能使客户端根据服务端的数据特征灵活的选择检索条件，并且可以保护客户端的检索条件以及检索的具体特征，是一种多方多特征检索的PSI方法。

Description

一种基于多方条件检索的隐私集合求交方法

技术领域

本发明属于数据安全技术领域，具体涉及一种基于多方条件检索的隐私集合求交方法。

背景技术

隐私保护集合求交(Private Set Intersection，PSI)计算属于安全多方计算领域的特定应用问题，不仅具有重要的理论意义也具有很强的应用价值。随着用户数据的隐私保护越来越受到重视，该领域研究旨在满足数据便利性的同时最大的程度的不泄露隐私。随着安全多方计算领域的不断发展，基于各种组件以及安全协议的PSI协议层出不穷，如基于DH(Diffie-Hellman)密钥交换的PSI、基于布隆过滤器的PSI、基于OT协议的PSI、基于全同态加密的PSI等。在上述PSI协议中，单向(One-Way)的PSI协议尤其受到重视，即仅有一方知道交集的计算结果。

传统的PSI协议具有很强的现实意义，但仍有一定的局限性，仅能解决一些最简单的现实问题，例如计算广告的实际效果、查找联系人等。由于PSI协议一般仅是数据摘要或ID之间的交集，故无法针对于特征数据本身进行运算。例如，银行A没有充足的数据支撑哪些用户能够作为它日后贷款的对象，希望征信机构B能够提供帮助。此时，A希望知道哪些用户是B与C的共同用户且满足年薪大于二十万。且A不希望B知晓具体的检索条件以及交集，B也不希望A拿到不属于它的额外信息。在此场景下，传统的PSI是无法满足这一需求的，同时目前没有已知的能解决此问题的途径。

发明内容

为解决以上现有技术存在的问题，本发明提出了一种基于多方条件检索的隐私集合求交方法，该方法包括：获取系统参数，根据获取的系统参数计算策略参数；对计算出的策略参数进行加密；根据加密的策略参数各服务端执行PSI协议；根据协议结果对各个服务器的隐私集求交集，得到交集结果，并将交集结果发送给客户端。

优选的，获取的系统参数包括客户端参数和服务端参数；客户端参数包括：y_i ^c、x_ij ^c；服务端参数包括：y_i ^s、x_ij ^s；其中，y_i ^c表示第i个特征比较阈值的客户端秘密份额，x_ij ^c表示服务端第j个样本中第i个特征值的客户端秘密份额，y_i ^s表示第i个特征比较阈值的服务端秘密份额，x_ij ^s表示服务端第j个样本中第i个特征值的服务端秘密份额。

优选的，根据获取的系统参数计算策略参数的过程包括：服务端S_i与客户端C采用加法秘密共享策略进行参数共享，得到参数y_i＝y_i ^c+y_i ^s和x_ij＝x_ij ^c+x_ij ^s；客户端和服务端共同采用安全比较协议SecCom(.)对参数y_i和x_ij进行计算，得到参数u_ij1,u_ij2；将参数u_ij1保存在客户端，将参数u_ij2保存在服务端S_i；其中，y_i表示客户端提出的第i个特征的阈值，x_ij表示服务端第j个特征的第i个特征值，u_ij1表示安全比较协议输出的针对服务端第j个样本中第i个特征的客户端输出份额，u_ij2表示安全比较协议输出的针对服务端第j个样本中第i个特征的服务端输出份额。

进一步的，采用安全比较协议SecCom(.)对参数y_i和x_ij进行计算的过程包括：客户端C根据客户端参数计算客户端的中间参数g₁＝y_i ^c-x_ij ^c；服务端S_i,i∈{1,2}根据服务端参数计算服务端的中间参数g_i2＝y_i ^s-x_ij ^s；根据客户端的中间参数和服务端的中间参数客户端和服务端共同执行SecAddRes(g₁,g_i2)协议，得到参数u_ij1,u_ij2；SecAddRes(.)表示秘密共享转换协议，g₁表示第i个特征比较阈值的客户端秘密份额与服务端第j个样本中第i个特征值的客户端秘密份额的差值，g_i2表示第i个特征比较阈值的服务端秘密份额与服务端第j个样本中第i个特征值的服务端秘密份额的差值。

进一步的，用户端和服务端生成Beaver三元组向量γ＝α*β，且|α|＝|β|＝|γ|＝d_i；将γ通过加法秘密共享得γ＝γ₁+γ₂；将参数α和参数γ₁保存到客户端中，将参数β和γ₂保存到服务端S_i中；客户端根据保存的参数计算χ＝(g₁-γ₁)/α；服务端S_i使用公钥pk_i对β加密得到

并将

发送给客户端；客户端使用公钥pk_i对χ加密得到

客户端根据得到的

和

计算

将

的向量顺序混淆后发送给服务端S_i；服务端S_i对客户端发送的数据进行解密，得到

服务端S_i根据得到的u_ij2进一步计算δ＝(g_i2-γ₂)/u_ij2，将计算得到的δ发送给客户端；客户端收到服务端发送的参数后计算u_ij1＝α+δ，得到参数u_ij1；其中，γ表示Beaver三元组中的乘积值，α表示Beaver三元组中的第一个值，β表示Beaver三元组中的第二个值，d_i表示服务端的特征数目，γ₁表示γ的客户端秘密份额，γ₂表示γ的服务端秘密份额，χ与δ均表示计算过程中的中间过程值。

优选的，对计算出的策略参数进行加密的过程包括：

步骤1：客户端采用公钥pk对u_ij1,i∈{1,2},j∈[1,|D_i|]进行加密，得到密文[u_ij1]_pk；服务端S_i采用公钥pk对u_ij2,i∈{1,2},j∈[1,|D_i|]进行加密，得到密文[u_ij2]_pk；其中，|D_i|表示第i个服务端的数据集中的数据数量，D_i表示第i个服务端的数据集，i表示特征的索引，j表示样本的索引；

步骤2：客户端C将[u_ij1]_pk发送给服务端S_i,i∈{1,2}；服务端将[u_ij1]_pk与[u_ij2]_pk相加得到[u_ij1+u_ij2]_pk＝((r_i+r_i′)·G,(u_ij1+u_ij2)·G+(r_i+r_i′)·pk),j∈[1,|D_i|]。

优选的，各服务端执行PSI协议的过程包括：

步骤1：服务端S₁生成随机数a∈[1,N-1]，根据生成的随机数计算a·ID₁，将计算结果发送给客户端C；其中，ID₁表示服务端S₁的数据集，N表示椭圆曲线基点的阶；

步骤2：客户端C生成随机数b∈[1,N-1]，根据生成的随机数和服务端的发送数据计算ab·ID₁和b·ID_c；客户端C将b·ID_c与自身数据ID_c组成并集M₂:b·ID_c∪ID_c；并将ab·ID₁发送给服务端S₁；其中，ID_c表示客户端的数据集；

步骤3：服务端S₁根据接收客户端发送的数据计算ID₁掩码M₁，其中M₁:b^-1·ab·ID₁＝b·ID₁；

步骤4：服务端S₁将掩码M₁:b·ID₁发送给服务端S₂，客户端C将服务端S₁对应的密文参数[u_1j1+u_1j2]_pk发送给服务端S₂；

步骤5：服务端S₂将自己的数据ID₂与M₁组成新的并集掩码M₃:b·ID₁∪ID₂；

步骤6：服务端S₂生成随机数e∈[1,N-1]，并利用掩码M₃计算be·ID₁∪e·ID₂，将计算结果发送给客户端C；其中，ID₂表示服务端S₂的数据集；

步骤7：客户端C接收服务端S₂发送的数据后生成随机数h∈[1,N-1]，根据生成的随机数计算beh·ID₁∪eh·ID₂，并将计算结果发送给服务端S₂；

步骤8：服务端S₂利用beh·ID₁∪eh·ID₂和逆元e^-1计算出掩码M₄:bh·ID₁∪h·ID₂；并将M₄与对应的密文

混淆后发送给服务端S₁。

进一步的，对应的密文

包括：密文[u_ij1+u_ij2]_pk的第一部分为(r_i+r_i′)·G，根据第一部分(r_i+r_i′)·G计算同态加运算，同态加运算的公式为：

(r_i+r_i′)pk₂＝(r_i+r_i′)·sk₂·G

将密文[u_ij1+u_ij2]_pk第二部分减同态加运算公式，得到对应的密文

其公式为：

其中r_i与r_i′表示加密使用的随机数，pk₂表示服务端S₂的公钥，sk₂表示服务端S₂的私钥，G表示椭圆曲线基点。

优选的，根据协议结果对各个服务器的隐私集求交集的过程包括：

步骤1：客户端C通过掩码M₂与h计算掩码M₅:bh·ID_c∪h·ID_c；客户端C将掩码M₅和该掩码对应的index发送给服务端S₁；其中，index表示索引；

步骤2：服务端S₁对掩码M₂和掩码M₅求交集；若交集中的index出现了两次，则服务端S₁对加密的密文

解密，得到解密后的明文u_ij1+u_ij2；若v＝u_ij1+u_ij2且i∈{1,2}，则该index对应的数据为三方的交集且满足检索条件p，返回index；v表示满足检索条件p的解密明文；

步骤3：客户端C根据返回的index，找到满足条件的ID_cindex,index∈[1,|D_c|]；其中，ID_cindex表示客户端的第index个数据。

本发明的有益效果：

本发明不仅能使客户端根据服务端的数据特征灵活的选择检索条件，并且可以保护客户端的检索条件以及检索的具体特征，是一种多方多特征检索的PSI方法。

附图说明

图1为本发明的计算检索参数流程图；

图2为本发明的各方加密策略参数流程图；

图3为本发明的各方进行PSI协议流程图；

图4为本发明的客户端得到交集结果流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

一种基于多方条件检索的隐私集合求交方法，该方法包括：获取系统参数，根据获取的系统参数计算策略参数；对计算出的策略参数进行加密；根据加密的策略参数各服务端执行PSI协议；根据协议结果对各个服务器的隐私集求交集，得到交集结果，并将交集结果发送给客户端。

获取的系统参数包括客户端参数和服务端参数；客户端参数包括：y_i ^c和x_ij ^c；服务端参数包括：y_i ^s和x_ij ^s；其中，y_i ^c表示第i个特征比较阈值的客户端秘密份额，x_ij ^c表示服务端第j个样本中第i个特征值的客户端秘密份额，y_i ^s表示第i个特征比较阈值的服务端秘密份额，x_ij ^s表示服务端第j个样本中第i个特征值的服务端秘密份额。

根据获取的系统参数计算策略参数的过程包括：服务端S_i与客户端C采用加法秘密共享策略进行参数共享，得到参数y_i＝y_i ^c+y_i ^s和x_ij＝x_ij ^c+x_ij ^s；客户端和服务端共同采用安全比较协议SecCom(.)对参数y_i和x_ij进行计算，得到参数u_ij1,u_ij2；将参数u_ij1保存在客户端，将参数u_ij2保存在服务端S_i；其中，y_i表示客户端提出的第i个特征的阈值，x_ij表示服务端第j个特征的第i个特征值，u_ij1表示安全比较协议输出的针对服务端第j个样本中第i个特征的客户端输出份额，u_ij2表示安全比较协议输出的针对服务端第j个样本中第i个特征的服务端输出份额。

采用安全比较协议SecCom(.)对参数y_i和x_ij进行计算的过程包括：客户端C根据客户端参数计算客户端的中间参数g₁＝y_i ^c-x_ij ^c；服务端S_i,i∈{1,2}根据服务端参数计算服务端的中间参数g_i2＝y_i ^s-x_ij ^s；根据客户端的中间参数和服务端的中间参数客户端和服务端共同执行SecAddRes(g₁,g_i2)协议，得到参数u_ij1,u_ij2；SecAddRes(.)表示秘密共享转换协议，g₁表示第i个特征比较阈值的客户端秘密份额与服务端第j个样本中第i个特征值的客户端秘密份额的差值，g_i2表示第i个特征比较阈值的服务端秘密份额与服务端第j个样本中第i个特征值的服务端秘密份额的差值。

执行SecAddRes(g₁,g_i2)协议的过程包括：用户端和服务端生成Beaver三元组向量γ＝α*β，且|α|＝|β|＝|γ|＝d_i；将γ通过加法秘密共享得γ＝γ₁+γ₂；将参数α和参数γ₁保存到客户端中，将参数β和γ₂保存到服务端S_i中；客户端根据保存的参数计算χ＝(g₁-γ₁)/α；服务端S_i使用公钥pk_i对β加密得到

并将

发送给客户端；客户端使用公钥pk_i对χ加密得到

客户端根据得到的

和

计算

将

的向量顺序混淆后发送给服务端S_i；服务端S_i对客户端发送的数据进行解密，得到

服务端S_i根据得到的u_ij2进一步计算δ＝(g_i2-γ₂)/u_ij2，将计算得到的δ发送给客户端；客户端收到服务端发送的参数后计算u_ij1＝α+δ，得到参数u_ij1；其中，γ表示Beaver三元组中的乘积值，α表示Beaver三元组中的第一个值，β表示Beaver三元组中的第二个值，d_i表示服务端的特征数目，γ₁表示γ的客户端秘密份额，γ₂表示γ的服务端秘密份额，χ与δ均表示计算过程中的中间过程值。

此实例为三方隐私集合求交，客户端为C，服务端为S_i,i∈{1,2}，G为椭圆曲线上的N阶基点，

为椭圆曲线点群。服务端S_i的公私钥对为(sk_i,pk_i)，其中

服务端总公钥pk＝pk₁+pk₂。设各方的数据id∈{0,1}^*，可等价计算为椭圆曲线点ID∈G。S_i的数据特征F_i的特征数为d_i，则服务端数据可表示为

由于检索策略针对于服务端数据，故在此PSI协议中，客户端的数据仅涉及数据id的交集运算，故客户端数据可简单表示为D_c＝ID_ck,k∈[1,|D_c|]即可。客户端C分别针对S_i的特征F_i制定检索策略p(p是对S_i保密的)，并利用分别计算服务端数据D_i的每一条数据(ID_ij,x_ij)的策略参数(u_ij1,u_ij2),i∈{1,2},j∈[1,|D_i|]。其中，

由客户端保存，

由服务端S_i保存。由安全比较大小协议，客户端给定校验参数

若v＝u_ij1+u_ij2代表ID_ij对应的特征数据x_ij满足检索策略p，否则不满足检索策略p。

对于服务端S_i,i∈{1,2}，客户端C根据p给出特征向量y_i,|y_i|＝d_i。对于S_i的每一条数据对应的x_ij,j∈[1,|D_i|]，(u_ij1,u_ij2)的计算过程如下，如图1。首先，服务端S_i与客户端C利用加法秘密共享使得y_i＝y_i ^c+y_i ^s、x_ij＝x_ij ^c+x_ij ^s。y_i ^c,x_ij ^c由客户端保存，y_i ^s,x_ij ^s由服务端保存。进而客户端C与服务端S_i共同执行安全比较协议SecCom(y_i,x_ij)，SecCom(y_i,x_ij)的具体执行流程如下。客户端C计算g₁＝y_i ^c-x_ij ^c，服务端S_i,i∈{1,2}计算g_i2＝y_i ^s-x_ij ^s。进而客户端C与服务端S_i共同执行SecAddRes(g₁,g_i2)协议，并从协议中计算出u_ij1,u_ij2。其中u_ij1由客户端C保存，u_ij2由服务端S_i保存。SecAddRes(g₁,g_i2)的具体流程如下：提前生成Beaver三元组向量γ＝α*β,|α|＝|β|＝|γ|＝d_i，并将γ通过加法秘密共享得γ＝γ₁+γ₂。其中，α,γ₁由客户端保存，β,γ₂由服务端S_i保存。客户端C计算χ＝(g₁-γ₁)/α。服务端S_i使用公钥pk_i对β加密得到

发送给客户端C。C使用公钥pk_i对χ加密得到

并进一步计算

将

的向量顺序混淆发送给服务端S_i。服务端S_i解密得到

S_i进一步计算δ＝(g_i2-γ₂)/u_ij2，将δ发送给客户端C。C计算u_ij1＝α+δ。

客户端C使用pk对u_ij1,i∈{1,2},j∈[1,|D_i|]进行加密得到密文[u_ij1]_pk。加密流程如图2。随机选择

[u_ij1]_pk＝(r_i·G,u_ij1·G+r_i·pk)。服务端S_i分别使用pk对u_ij2,i∈{1,2},j∈[1,|D_i|]进行加密得到密文[u_ij2]_pk。加密流程为随机选择

[u_ij2]_pk＝(r_i′·G,u_ij2·G+r_i′·pk)。

客户端C将[u_ij1]_pk发送给服务端S_i,i∈{1,2}。S_i将[u_ij1]_pk与[u_ij2]_pk相加得到[u_ij1+u_ij2]_pk＝((r_i+r_i′)·G,(u_ij1+u_ij2)·G+(r_i+r_i′)·pk),j∈[1,|D_i|]。

具体PSI协议如图3，服务端S₁生成随机数a∈[1,N-1]，计算a·ID₁，将其发送给客户端C。C生成随机数b∈[1,N-1]，计算ab·ID₁，b·ID_c。C将ab·ID₁发送给服务端S₁。服务端S₁计算D₁掩码M₁，其中M₁:b^-1·ab·ID₁＝b·ID₁。客户端C将b·ID_c与自身数据ID_c组成并集M₂:b·ID_c∪ID_c。服务端S₁将掩码M₁:b·ID₁发送给服务端S₂，客户端C也将对应的[u_1j1+u_1j2]_pk发送给服务端S₂。

服务端S₂将ID₂与M₁组成新的并集掩码M₃:b·ID₁∪ID₂。密文[u_ij1+u_ij2]_pk的第一部分为(r_i+r_i′)·G，可计算得(r_i+r_i′)pk₂＝(r_i+r_i′)·sk₂·G，将密文第二部分减去上式，可得

服务端S₂生成随机数e∈[1,N-1]，并利用掩码M₃计算be·ID₁∪e·ID₂，将其发送给客户端C。客户端生成随机数h∈[1,N-1]，计算beh·ID₁∪eh·ID₂，并将其发送给服务端S₂。服务端S₂利用beh·ID₁∪eh·ID₂与逆元e^-1计算出掩码M₄:bh·ID₁∪h·ID₂。并将M₄与对应的密文

混淆后发送给服务端S₁。

客户端C通过掩码M₂与h计算掩码M₅:bh·ID_c∪h·ID_c。客户端C将以及对应的index发送给服务端S₁。服务端S₁将M₂与M₅求交集，如图4。若交集中某个index出现了两次，则服务端S₁解密对应的

得到u_ij1+u_ij2。若v＝u_ij1+u_ij2，i∈{1,2}(是两个等式均满足还是其中一次等式满足即可取决于应用场景)，则说明该index对应的数据为三方的交集且满足检索条件p，返回index。

客户端C根据返回的index，找到满足条件的ID_cindex,index∈[1,|D_c|]；其中，ID_cindex表示客户端的第index个数据。

以上所举实施例，对本发明的目的、技术方案和优点进行了进一步的详细说明，所应理解的是，以上所举实施例仅为本发明的优选实施方式而已，并不用以限制本发明，凡在本发明的精神和原则之内对本发明所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种基于多方条件检索的隐私集合求交方法，其特征在于，包括：获取系统参数，根据获取的系统参数计算策略参数；对计算出的策略参数进行加密；根据加密的策略参数各服务端执行PSI协议；根据协议结果对各个服务器的隐私集求交集，得到交集结果，并将交集结果发送给客户端。

2.根据权利要求1所述的一种基于多方条件检索的隐私集合求交方法，其特征在于，获取的系统参数包括客户端参数和服务端参数；客户端参数包括：y_i ^c和x_ij ^c；服务端参数包括：y_i ^s和x_ij ^s；其中，y_i ^c表示第i个特征比较阈值的客户端秘密份额，x_ij ^c表示服务端第j个样本中第i个特征值的客户端秘密份额，y_i ^s表示第i个特征比较阈值的服务端秘密份额，x_ij ^s表示服务端第j个样本中第i个特征值的服务端秘密份额。

3.根据权利要求1所述的一种基于多方条件检索的隐私集合求交方法，其特征在于，根据获取的系统参数计算策略参数的过程包括：服务端S_i与客户端C采用加法秘密共享策略进行参数共享，得到参数y_i＝y_i ^c+y_i ^s和x_ij＝x_ij ^c+x_ij ^s；客户端和服务端共同采用安全比较协议SecCom(.)对参数y_i和x_ij进行计算，得到参数u_ij1,u_ij2；将参数u_ij1保存在客户端，将参数u_ij2保存在服务端S_i；其中，y_i表示客户端提出的第i个特征的阈值，x_ij表示服务端第j个特征的第i个特征值，u_ij1表示安全比较协议输出的针对服务端第j个样本中第i个特征的客户端输出份额，u_ij2表示安全比较协议输出的针对服务端第j个样本中第i个特征的服务端输出份额。

4.根据权利要求3所述的一种基于多方条件检索的隐私集合求交方法，其特征在于，采用安全比较协议SecCom(.)对参数y_i和x_ij进行计算的过程包括：客户端C根据客户端参数计算客户端的中间参数g₁＝y_i ^c-x_ij ^c；服务端S_i,i∈{1,2}根据服务端参数计算服务端的中间参数g_i2＝y_i ^s-x_ij ^s；根据客户端的中间参数和服务端的中间参数客户端和服务端共同执行SecAddRes(g₁,g_i2)协议，得到参数u_ij1,u_ij2；SecAddRes(.)表示秘密共享转换协议，g₁表示第i个特征比较阈值的客户端秘密份额与服务端第j个样本中第i个特征值的客户端秘密份额的差值，g_i2表示第i个特征比较阈值的服务端秘密份额与服务端第j个样本中第i个特征值的服务端秘密份额的差值。

5.根据权利要求4所述的一种基于多方条件检索的隐私集合求交方法，其特征在于，执行SecAddRes(g₁,g_i2)协议的过程包括：用户端和服务端生成Beaver三元组向量γ＝α*β，且|α|＝|β|＝|γ|＝d_i；将γ通过加法秘密共享得γ＝γ₁+γ₂；将参数α和参数γ₁保存到客户端中，将参数β和γ₂保存到服务端S_i中；客户端根据保存的参数计算χ＝(g₁-γ₁)/α；服务端S_i使用公钥pk_i对β加密得到

并将

发送给客户端；客户端使用公钥pk_i对χ加密得到

客户端根据得到的

和

计算

将

的向量顺序混淆后发送给服务端S_i；服务端S_i对客户端发送的数据进行解密，得到

服务端S_i根据得到的u_ij2进一步计算δ＝(g_i2-γ₂)/u_ij2，将计算得到的δ发送给客户端；客户端收到服务端发送的参数后计算u_ij1＝α+δ，得到参数u_ij1；其中，γ表示Beaver三元组中的乘积值，α表示Beaver三元组中的第一个值，β表示Beaver三元组中的第二个值，d_i表示服务端的特征数目，γ₁表示γ的客户端秘密份额，γ₂表示γ的服务端秘密份额，χ与δ表示均表示计算过程中的中间过程值。

6.根据权利要求1所述的一种基于多方条件检索的隐私集合求交方法，其特征在于，对计算出的策略参数进行加密的过程包括：

步骤1：客户端采用公钥pk对u_ij1,i∈{1,2},j∈[1,|D_i|]进行加密，得到密文[u_ij1]_pk；服务端S_i采用公钥pk对u_ij2,i∈{1,2},j∈[1,|D_i|]进行加密，得到密文[u_ij2]_pk；其中，|D_i|表示第i个服务端的数据集中的数据数量，D_i表示第i个服务端的数据集，i表示特征的索引，j表示样本的索引；

步骤2：客户端C将密文[u_ij1]_pk发送给服务端S_i,i∈{1,2}；服务端将密文[u_ij1]_pk与密文[u_ij2]_pk相加得到加密后的密文参数[u_ij1+u_ij2]_pk。

7.根据权利要求1所述的一种基于多方条件检索的隐私集合求交方法，其特征在于，各服务端执行PSI协议的过程包括：

步骤1：服务端S₁生成随机数a∈[1,N-1]，根据生成的随机数计算a·ID₁，将计算结果发送给客户端C；其中，ID₁表示服务端S₁的数据集，N表示椭圆曲线基点的阶；

步骤2：客户端C生成随机数b∈[1,N-1]，根据生成的随机数和服务端的发送数据计算ab·ID₁和b·ID_c；客户端C将b·ID_c与自身数据ID_c组成并集M₂:b·ID_c∪ID_c；并将ab·ID₁发送给服务端S₁；其中，ID_c表示客户端的数据集；

步骤3：服务端S₁根据接收客户端发送的数据计算ID₁掩码M₁，其中M₁:b^-1·ab·ID₁＝b·ID₁；

步骤4：服务端S₁将掩码M₁:b·ID₁发送给服务端S₂，客户端C将服务端S₁对应的密文参数[u_1j1+u_1j2]_pk发送给服务端S₂；

步骤5：服务端S₂将自己的数据ID₂与M₁组成新的并集掩码M₃:b·ID₁∪ID₂；

步骤6：服务端S₂生成随机数e∈[1,N-1]，并利用掩码M₃计算be·ID₁∪e·ID₂，将计算结果发送给客户端C；其中，ID₂表示服务端S₂的数据集；

步骤7：客户端C接收服务端S₂发送的数据后生成随机数h∈[1,N-1]，对生成的随机数进行并集操作，即beh·ID₁∪eh·ID₂；将并集操作后的结果发送给服务端S₂；

步骤8：服务端S₂利用集操作后的结果beh·ID₁∪eh·ID₂和逆元e^-1计算出掩码M₄:bh·ID₁∪h·ID₂；并将M₄与对应的密文

混淆后发送给服务端S₁。

8.根据权利要求7所述的一种基于多方条件检索的隐私集合求交方法，其特征在于，对应的密文

包括：密文[u_ij1+u_ij2]_pk的第一部分为(r_i+r′_i)·G，根据第一部分(r_i+r′_i)·G计算同态加运算，同态加运算的公式为：

(r_i+r′_i)pk₂＝(r_i+r′_i)·sk₂·G

将密文[u_ij1+u_ij2]_pk第二部分减同态加运算公式，得到对应的密文

其公式为：

其中r_i与r′_i表示加密使用的随机数，pk₂表示服务端S₂的公钥，sk₂表示服务端S₂的私钥，G表示椭圆曲线基点。

9.根据权利要求1所述的一种基于多方条件检索的隐私集合求交方法，其特征在于，根据协议结果对各个服务器的隐私集求交集的过程包括：

步骤1：客户端C通过掩码M₂与h计算掩码M₅:bh·ID_c∪h·ID_c；客户端C将掩码M₅和该掩码对应的index发送给服务端S₁；其中，index表示索引；

步骤2：服务端S₁对掩码M₂和掩码M₅求交集；若交集中的index出现了两次，则服务端S₁对加密的密文

解密，得到解密后的明文u_ij1+u_ij2；若v＝u_ij1+u_ij2且i∈{1,2}，则该index对应的数据为三方的交集且满足检索条件p，返回index；v表示满足检索条件p的解密明文；

步骤3：客户端C根据返回的index，找到满足条件的ID_cindex,index∈[1,|D_c|]；其中，ID_cindex表示客户端的第index个数据。

Images