CN114826552A - 一种同态加密隐私集合求交下的密文还原方法 - Google Patents

Abstract

本发明公开了一种同态加密隐私集合求交下的密文还原方法，对应已知现有邮票问题的对偶版本为：已知h＝2^L，M(h，A_k)＝m+1的前提下求解尽可能小的k以及对应的集合A_k。本发明实现了由较小数值的

问题实例的解转化为较大数值的M(h，A_k)问题实例的解的方法，解决了较大数值下解空缺的问题，并且，所需储存的加和表达式总数仅为

其与最优解情况下所需总数m相比，该方法可以大幅度节约储存成本。

Description

一种同态加密隐私集合求交下的密文还原方法

技术领域

本发明涉及计算机软件领域，尤其涉及的是一种同态加密隐私集合求交下的密文还原方法。

背景技术

隐私集合求交是一种基于现代密码学的隐私计算技术，它允许各自持有相应数据集合的执行双方能够计算数据集的交集而同时保证各自数据集中交集以外的任何内容不会暴露给对方。能够实现隐私集合求交的密码学技术有多种，采用全同态加密为热门方法之一，特别是在执行双方的数据集大小较为不平衡的情况下,例如一方数据条目为千级，另一方为亿级。论文1(Resende AC D,Aranha D F.Faster unbalanced private setintersection[C]//International Conference on Financial Cryptography and DataSecurity.Springer,Berlin,Heidelberg,2018:203-22)1。

全同态加密的作用在于允许数据在加密状态下进行加、减、乘等操作，这使得私有数据外包计算成为可能。对于基于全同态加密的隐私集合求交应用场景而言，持有小集合数据方一般称为用户端，持有大集合数据方一般称为服务器端，具体操作流程简述如下：

1)用户端与服务器端共同协商全同态加密方案Scheme-FHE，并确定方案的相关公共参数pparams；

2)用户端根据协商所确定的Scheme-FHE和pparams，随机生成用于加密用户端数据的私钥sk，和用于密文同态计算的转化钥evk；

3)用户端将转化钥evk发送给服务器端，并安全储存私钥sk，确保sk不会泄露；

4)用户端通过私钥sk对用户端数据明文Y进行加密生成数据密文cY，并将cY发送给服务器端；

5)服务器端通过转化钥evk，服务器端数据明文X以及接收到的用户端数据密文cY，计算出求交结果密文cInsec，并将cInsec发送给用户端；

6)用户端通过私钥sk对密文cInsec进行解密，得到求交结果明文Insec，进而得出集合求交结果。

在以上隐私集合求交流程中，服务器端的数据X没有对外发出，保证用户端不会获得X中交集之外的内容；用户端的数据Y则是以加密后的密文cY的形式发送给服务器端，保证服务器端也不会得知Y中交集之外的任何信息；具体可以参考图1；在1)-6)执行完毕之后，用户端得到了X与Y的交集信息，用户端可直接通过一些安全传输手段(如对称加密)将交集信息发送给服务器端，但这就要求用户端必须完全诚实。然而，目前的一些隐私集合求交应用场景中(诸如数据对齐、隐私检索)，不需要数据集求交结果是双向的，即服务器端不需要获知求交结果。

在基于同态的隐私集合求交中，相交集合的确定是通过遍历每一个用户数据y，并判定其是否在服务器端的数据X＝{x₁，x₂，x₃，...，x_m}中存在相同数据来计算的。

更具体而言，计算表达式(y-x₁)(y-x₂)(y-x₃)...(y-x_m)的值，如果值为0，则证明该y位于交集中，否则不然。然而，在全同态加密的前提下，表达式中的y均为密文状态。

值得注意地是，全同态加密方案本质上是一种引入噪声的加密方案，而密文状态的计算会增大密文的噪声，尤其是密文的乘法计算。一旦噪声达到一定水平，密文就会无法解密出正确结果，增大密文可允许加乘次数所带来的代价就是同态加密方案参数的增大，也意味着更大的计算量、储存量、通讯传输量。对于用户数据密文cy而言，直接计算(y-x₁)(y-x₂)(y-x₃)...(y-x_m)便意味着m-1次的密文乘法操作。

论文2(Chen H，Laine K，Rindal P.Fast private set intersection fromhomomorphic encryption[C]//Proceedings of the 2017ACM SIGSAC Conference onComputer and Communications Security.2017：1243-1255)中的工作指出，若是将该表达式中的y视为多项式自变量，按照多项式运算法则对其进行展开为y^m+a_m-1y^m-1+a_m-2y^m-2+...+a₁y+a₀，则可以通过由用户端同时发送数据y的多个特定幂次的对应密文cyⁱ，在减少密文乘法所需次数的前提下还原出所有的cy，cy²，cy³，...，cy^m，进而完成上述表达式的密文计算。如图2和图3所示，举例说明，对于表达式y¹⁵+a₁₄y¹⁴+a_1sy¹³+...+a₁y+a₀，在用户端仅提供数据密文cy的前提下，还原所有幂次下的密文需要进行4层密文乘法；若用户端同时提供数据密文cy，cy²，cy⁴，cy⁸，则只需要2层密文乘法。

现有技术中，记密文乘法操作允许最大层数为L，用户端针对同一个数据y所提供的不同幂次下密文总个数为s，服务器端需要利用用户端给定的初始密文通过密文乘法所还原出的最大密文幂次为m。经过以上叙述分析可知，全同态加密方案参数固定时，L的值也随之确定；s值的大小则对应这用户端发送至服务器端的数据量大小；m值的大小则对应着单个结果密文对应的相等判定最大数量；综上所述，一个需解决的问题是如何确定用户端所发送的种子密文对应的幂次值，使得s的值尽可能小，m的值尽可能大。

论文3(Cong K，Moreno R C，da Gama M B，et al.Labeled PSI fromHomomorphic Encryption with Reduced Computation and Communication[C]//Proceedings of the2021ACM SIGSΛC Conference on Computer and CommunicationsSecurity.2021：1135-1150)中的研究工作指出，以上问题可以被抽象为组合数学上的一个经典问题：邮票问题。该问题定义如下：设h，k为正整数，A_k＝{a₁，a₂，a₃，...，a_k}为一含有k个元素的正整数集，其中a₁＝1＜a₂＜a₃＜...＜a_k，

而M(h，A_k)表示不能够由A_k中不超过h个元素(可重复)的加和所表示的最小数。

下面举一实例具体说明：h＝3，k＝4，A₄＝{1，4，7，8}，那么此时M(3，A₄)＝25(因为1＝1，2＝1+1，3＝1+1+1，4＝4，5＝4+1，6＝4+1+1，7＝7，8＝7+1，9＝8+1，10＝8+1+1，11＝7+4，12＝8+4，13＝8+4+1，14＝7+7，15＝7+8，16＝8+8，17＝8+8+1，18＝7+7+4，19＝8+7+4，20＝8+8+4，21＝7+7+7，22＝7+7+8，23＝7+8+8，24＝8+8+8，而25则无法表示成取自{1，4，7，8}的三个以内的和。)邮票问题求解目标即为在已知h，k的前提下，求解M(h，A_k)的最大值以及对应的正整数集合A_k＝{a₁，a₂，a₃，...，a_k}，邮票问题是一个NP困难问题。同时，邮票问题还有一些相应的对偶版本，即已知h，M(h，A_k)的前提下求解k的最小值，或已知k，M(h，A_k)的前提下求解h的最小值。

在基于全同态加密的隐私集合求交流程中：用户端针对同一个数据y的不同幂次下密文总个数s值即对应邮票问题中的k值，具体为k＝s；密文乘法操作允许最大层数为L对应邮票问题中的h值，具体为h＝2^L，这是因为采用了完全二叉树的乘法结构；A_kk＝{a₁，a₂，a₃，...，a_k}中的每个a_i对应于数据y的密文幂次值(即

)；M(h，A_k)值的定义对应于密文乘法所还原出的最大密文的幂次m值，具体为m＝M(h，A_kk)-1；而对于任一小于M(h，A_k)的正整数z，加和的表示形式就对应着密文cy^Z的还原路线，具体而言，若

则通过

的乘法路线还原密文cy²。

论文3中的隐私集合求交方案设计中也实际利用了邮票问题求解的优化技巧，但是由于邮票问题的求解为NP困难问题，在任何参数组设定下均获取精确最优的A_kk＝{a₁，a₂，a₃，...，a_k}以辅助隐私集合求交的实现是几乎不显示的。而论文3中对于此问题则是仅考虑小参数情况，具体而言，是通过直接使用论文4(Challis M F，Robinson J P.Someextremal postage stamp bases[J].Journal ofInteger Sequences，2010，13(2)：3)中针对部分h，k较小情况下(h＝2，3，4，5，6，k＝2，3，4，5，6，7，8)的现成解来实现的。

对于基于全同态加密的隐私集合求交，邮票问题求解这一优化技巧的使用所带来的直接收益就是可以减少用户端与服务器端之间发送密文的数量，从而节约通讯的开销成本。然而论文3中仅通过论文4给出的h＝2，3，4，5，6，k＝2，3，4，5，6，7，8情况下的现成解来规划从种子幂次密文到全体幂次密文的还原路线。这种方法主要存在以下两个缺点：

首先，该方法缺乏足够的通用性。目前在全同态加密的具体使用其所允许的密文乘法层数L最深一般可达5-6层，对应的h值最高可至64，显然论文4中已给出的现成解列表不足以涵盖所有的情况。

其次，邮票问题的解本身只保证了每个幂次下密文的还原路线存在性，并不能直接体现出还原路线的具体内容。对于某一问题实例的最优解，隐私集合求交在使用时往往还需额外在服务器端储存所有的加和表达式，由于每个加和表达之间没有任何共性和关联，无法通过循环表达等方法进行压缩，因此需要储存的加和表达式共m个，这就意味着额外的储存开销和控制难度。

因此，现有技术存在缺陷，需要改进。

发明内容

本发明所要解决的技术问题是：提供一种由较小数值的

问题实例的解转化为较大数值的M(h，A_k)问题实例的解的方法，解决了较大数值下解空缺的问题，并且，所需储存的加和表达式总数仅为

其与最优解情况下所需总数m相比，该方法可以大幅度节约储存成本的同态加密隐私集合求交下的密文还原方法。

本发明的技术方案如下：一种同态加密隐私集合求交下的密文还原方法，对应已知现有邮票问题的对偶版本为：已知h＝2^L，M(h，A_k)＝m+1的前提下求解尽可能小的k以及对应的集合A_k，包括如下步骤：1)选取D＝2；

2)设定h_D＝h/D，

其中

表示向上取整；3)查询已知现有邮票问题的对偶版本的解列表，寻找是否有在对偶版本中h＝h_D，

对应问题实例下的解k_D和

若有，进入步骤4)，否则进入步骤5)；4)记录当前的D，

对应的所有加和表达式，以及：k＝D·k_D，

5)将2D作为新的D值，判定是否有关系

或h＝D成立，若有则进入步骤6)，若无则，返回步骤2)继续执行；6)按照需求选取出4)中记录的所有解中最优的一个用于隐私集合求交的密文还原路线规划。

应用于上述技术方案，所述的同态加密隐私集合求交下的密文还原方法中，步骤6)中，采用完全二叉树的乘法结构；将A_k＝{a₁，a₂，a₃，...，a_k}中的每个a_i对应于数据y的密文幂次值为

M(h，A_k)值的定义对应于密文乘法所还原出的最大密文的幂次m值，具体为m＝M(h，A_k)-1；对于任一小于M(h，A_k)的正整数z，加和的表示形式就对应着密文cy^Z的还原路线，具体为，若

则通过

的乘法路线还原密文cy^Z。

应用于上述各个技术方案，所述的同态加密隐私集合求交下的密文还原方法中，步骤6)中，按照需求选取出4)中记录的所有解中k值更小的一个用于隐私集合求交的密文还原路线规划。

应用于上述各个技术方案，所述的同态加密隐私集合求交下的密文还原方法中，当同态加密方案所允许的密文乘法层数为L＝5层，所需恢复的密文最大幂次m＝1000000；步骤6)中，选取所有解中k值最小的一个为：k＝8，A_k＝{1，11，78，216，1001，11011，78078，216216}，长度为1001的加和表达式列表。

应用于上述各个技术方案，所述的同态加密隐私集合求交下的密文还原方法中，步骤6)中，按照需求选取出4)中记录的所有解中加和表达式列表长度更短的一个用于隐私集合求交的密文还原路线规划。

应用于上述各个技术方案，所述的同态加密隐私集合求交下的密文还原方法中，当同态加密方案所允许的密文乘法层数为L＝5层，所需恢复的密文最大幂次m＝1000000；步骤6)中，选取所有解中加和表达式列表长度更短的一个为：k＝12，

A_k＝{1，6，7，32，192，224，1024，6144，7168，32768，196608，229376}，长度为32的加和表达式列表。

本发明的有益效果为：

本发明利用邮票问题求解设计同态加密下隐私集合求交中密文还原方法存在已知现有解空缺、需要额外信息储存的问题。提供了由较小数值的

问题实例的解转化为较大数值的M(h，A_k)问题实例的解的方法，其中，基本一定可在已知现有解列表中找到，解决了较大数值下解空缺的问题；与此同时，虽然在k值大小方面没有达到理论最小值(即最优值)，但该方法下所需储存的加和表达式总数仅为

因此与最优解情况下所需总数m相比，该方法可以大幅度节约储存成本。

附图说明

图1为现有技术隐私集合求交概念示意图；

图2为现有技术同态加密下密文还原过程示意图一；

图3为现有技术同态加密下密文还原过程示意图二。

具体实施方式

以下结合附图和具体实施例，对本发明进行详细说明。

本实施例提供了一种同态加密隐私集合求交下的密文还原方法，本发明的核心解决思想是将邮票问题的小参数解进行多尺度下的复用。其中，本实施例对应密文还原方法的，考虑乘法操作允许层数L，最大密文幂次为m固定，尽可能减小用户端提供密文总个数s值大小的情况，已知现有邮票问题的对偶版本为：已知h＝2^L，M(h，A_k)＝m+1的前提下求解尽可能小的k以及对应的集合A_k，包括如下步骤：1)选取D＝2；2)设定h_D＝h/D，

其中

表示向上取整；例如

3)查询已知现有邮票问题的对偶版本的解列表，寻找是否有在对偶版本中h＝h_D，

对应问题实例下的解k_D和

其中，h＝h_D指的是对偶版本中的h取值为h_D，若有，进入步骤4)，否则进入步骤5)；4)记录当前的D，

对应的所有加和表达式，以及记录：k＝D·k_D，

5)将2D作为新的D值，判定是否有关系

或h＝D成立，若有则进入步骤6)，若无则，返回步骤2)继续执行；6)按照需求选取出4)中记录的所有解中最优的一个用于隐私集合求交的密文还原路线规划。

其中，所述的同态加密隐私集合求交下的密文还原方法中，步骤6)中，采用完全二叉树的乘法结构；将A_k＝{a₁，a₂，a₃，...，a_k}中的每个a_i对应于数据y的密文幂次值为

M(g，A_k)值的定义对应于密文乘法所还原出的最大密文的幂次m值，具体为m＝M(h，A_k)-1；对于任一小于M(h，A_k)的正整数z，加和的表示形式就对应着密文cy^Z的还原路线，具体为，若

则通过

的乘法路线还原密文cy^Z，同态加密下密文还原过程如图2和图3所示，图2为用户端只发送密文cy的情况，图3为用户端同时发送密文cy，cy²，cy⁴，cy⁸的情况。

下面给出一个本实施例中所介绍的同态加密隐私集合求交下的密文还原方法的具体应用实例。

假定用户端和服务器端共同协商确定的同态加密方案所允许的密文乘法层数为L＝5层，所需恢复的密文最大幂次m＝1000000(一百万)。根据对偶版本为：已知h＝2^L，M(h，A_k)＝m+1，此需求设定下对应的邮票问题实例为h＝32，M(h，A_k)＝1000001。该问题实例在目前已知的邮票问题解集中不存在，即便存在，直接加以使用也意味着要将一百万条加和表达式全部储存在服务器端用作一百万个幂次密文的还原计算；数据量非常大。

下面我们本发明中所述的方法进行求解(为了使叙述更加简洁，我们直接以单次循环为条目单位)：

I)D＝2时，计算得出h_D＝16，m_D＝1001；查询已知现有解列表，寻找h＝16，

对应问题实例下的解，找到一个解k_D＝4，

记录D＝2，

所有加和表达式(1＝1，2＝1+1，...，16＝11+1+1+1+1+1，17＝11+1+1+1+1+1+1，...，1001＝216+216+216+216+78+11+11+11+11+11+1+1+1+1，共1001条)以及原始问题实例对偶版本的一个解k＝8，A_k＝{1，11，78，216，1001，11011，78078，216216}；此时对于小于M＝1000001的任何一个数N，均可以用h＝32以内个A_k中的数进行相加表示，举例说明：设N＝234567＜M，首先将其表示成N＝234×1001+333，从记录的1001条加和表达式中抽取出234和333的表达式(每个表达式的右端加数个数在16以内)，得到234＝216+11+1+1+1+1+1+1+1和333＝216+78+11+11+11+1+1+1+1+1+1，由此推导出N＝234567在A_k＝{1，11，78，216，1001，11011，78078，216216}中的加和表达式，即234567＝234×1001+333＝(216+11+1+1+1+1+1+1+1)×1001+(216+78+11+11+11+1+1+1+1+1+1)＝216216+11011+1001+1001+1001+1001+1001+1001+1001+216+78+11+11+11+1+1+1+1+1+1；

II)D＝4时，计算得出h_D＝8，m_D＝32；查询已知现有解列表，寻找h＝8，

对应问题实例下的解，找到一个解k_D＝3，

记录D＝4，

所有加和表达式(1＝1，2＝1+1，...，31＝7+6+6+6+6，32＝7+7+6+6+6共32条)以及原始问题实例对偶版本的一个解k＝12，A_k＝{1，6，7，32×1，32×6，32×7，322×1，32²×6，32²×7，32³×1，32³×6，32³×7}＝{1，6，7，32，192,224，1024，6144，7168，32768，196608，229376}；此时对于小于M＝1000001的任何一个数N，均可以用h＝32以内个A_k中的数进行相加表示，举例说明：设N＝666666＜M，首先将其表示成N＝20×32³+11×32²+1×32¹+10＝20×32768+11×1024+1×32+10，从记录的32条加和表达式中抽取出20,11，1和10的表达式(每个表达式的右端加数个数在8以内)，得到20＝7+7+6，11＝7+1+1+1+1，1＝1，10＝7+1+1+1，由此推导出N＝666666在A_k＝{1，6，7，32，192,224，1024,6144,7168，32768,196608，229376}中的表达式，即666666＝20×32³+11×32²+1×32¹+10＝(7+7+6)×32768+(7+1+1+1+1)×1024+1×32+(7+1+1+1)＝229376+229376+196608+7168+1024+1024+1024+1024+32+7+1+1+1

III)D＝8时，计算得出h_D＝4，m_D＝7＜10；循环终止，最终得到D＝2和D＝4下的两组解：

解一：k＝8，A_k＝{1，11，78，216，1001，11011，78078，216216}，长度为1001的加和表达式列表；

解二：k＝12，A_k＝{1，6，7，32，192，224，1024，6144，7168，32768，196608，229376}，长度为32的加和表达式列表；

可以看出以上两解各自具有一定优势，解一的种子密文幂次个数(即k值)更少，相应的用户端与服务器端的信息交互量更小，而解二的加和表达式列表总长度更短，会更加节约服务器端的储存成本，与此同时，可以观察到无论是32条表达式还是1001条表达式，其长度相对于h＝32，M＝1000001下的最优解对应的1000000条表达式而言储存成本均大幅度减小。至于如何在该两个解中作出进一步选择，具体可结合实际的方案性能需求指标来判断，但无论如何两个解的存在性都足以说明本发明中的密文还原方法可以一定程度解决现有技术中存在所述的问题。

因此，本发明利用邮票问题求解设计同态加密下隐私集合求交中密文还原方法存在已知现有解空缺、需要额外信息储存的问题。提供了由较小数值的

问题实例的解(基本一定可在已知现有解列表中找到)转化为较大数值的M(h，A_k)问题实例的解的方法，解决了较大数值下解空缺的问题；与此同时，本发明所述方法虽然在k值大小方面没有达到理论最小值(即最优值)，但该方法下所需储存的加和表达式总数仅为

因此与最优解情况下所需总数m相比，该方法可以大幅度节约储存成本。

以上仅为本发明的较佳实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种同态加密隐私集合求交下的密文还原方法，对应已知现有邮票问题的对偶版本为：已知h＝2^L，M(h，A_k)＝m+1的前提下求解尽可能小的k以及对应的集合A_k，其特征在于，包括如下步骤：

1)选取D＝2；

2)设定h_D＝h/D，

其中

表示向上取整；

3)查询已知现有邮票问题的对偶版本的解列表，寻找是否有在对偶版本中

对应问题实例下的解k_D和

若有，进入步骤4)，否则进入步骤5)；

4)记录当前的D，

对应的所有加和表达式，以及记录：k＝D·k_D，

5)将2D作为新的D值，判定是否有关系

或h＝D成立，若有则进入步骤6)，若无则，返回步骤2)继续执行；

6)按照需求选取出4)中记录的所有解中最优的一个用于隐私集合求交的密文还原路线规划。

2.根据权利要求1所述的同态加密隐私集合求交下的密文还原方法，其特征在于：步骤6)中，采用完全二叉树的乘法结构；将A_k＝{a₁，a₂，a₃，...，a_k}中的每个a_i对应于数据y的密文幂次值为

值的定义对应于密文乘法所还原出的最大密文的幂次m值，具体为m＝M(h，A_k)-1；对于任一小于M(h，A_k)的正整数z，加和的表示形式就对应着密文cy^z的还原路线，具体为，若

则通过

的乘法路线还原密文cy^z。

3.根据权利要求2所述的同态加密隐私集合求交下的密文还原方法，其特征在于：步骤6)中，按照需求选取出4)中记录的所有解中k值更小的一个用于隐私集合求交的密文还原路线规划。

4.根据权利要求3所述的同态加密隐私集合求交下的密文还原方法，其特征在于：当同态加密方案所允许的密文乘法层数为L＝5层，所需恢复的密文最大幂次m＝1000000；步骤6)中，选取所有解中k值更小的一个为：k＝8，A_k＝{1，11，78，216，1001，11011，78078，216216}，长度为1001的加和表达式列表。

5.根据权利要求2所述的同态加密隐私集合求交下的密文还原方法，其特征在于：步骤6)中，按照需求选取出4)中记录的所有解中加和表达式列表长度更短的一个用于隐私集合求交的密文还原路线规划。

6.根据权利要求5所述的同态加密隐私集合求交下的密文还原方法，其特征在于：当同态加密方案所允许的密文乘法层数为L＝5层，所需恢复的密文最大幂次m＝1000000；步骤6)中，选取所有解中加和表达式列表长度更短的一个为：k＝12，A_k＝{1，6，7，32，192，224，1024，6144，7168，32768，196608，229376}，长度为32的加和表达式列表。

Images