ASH:HashKey：說透安全多方計算 MPC 技術方案、挑戰與未來

安全多方計算對網絡信息安全與數據市場的發展具有重要價值。

撰文：錢柏均，就職于HashKeyCapitalResearch審校：鄒傳偉，萬向區塊鏈、PlatON首席經濟學家

本文對安全多方計算做出技術及應用分析。結論是，安全多方計算能夠解決互不信任的參與方之間保護隱私的協同計算問題。安全多方計算拓展了傳統分布式計算的邊界以及信息安全范疇，對解決網絡環境下的信息安全具有重要價值。安全多方計算能夠結合多行業領域進行數據融合，對數據市場的發展十分重要。

數據是一個復雜概念，有多種類型和豐富特征。隨著時代從互聯網轉變至區塊鏈，數據即將成為可產生經濟價值的資產。但是，大多數企業考慮到數據安全和個人隱私等問題，對數據共享都非常謹慎。對個人數據而言，控制權和隱私保護的重要性超過所有權。因此，企業在面臨數據輸入的隱私及輸出的結果上常常遇到平衡上的困難。

舉例來說:醫院需要與保險公司分享病患數據，但是又不能泄露病患的個人隱私。安全多方計算提供了一種技術上的解決方案，能夠在無可信第三方的情況下安全地進行多方協同的計算。

本文分為三個部分:第一部分探討安全多方計算的架構。第二部分研究安全多方計算的技術實現方式。第三部分分析安全多方計算應用及未來發展。

安全多方計算定義與架構

定義

安全多方計算可以定義為在一個分布式網絡且不存在可信第三方的情況下，多個參與實體各自持有秘密輸入，并希望共同完成對某函數的計算并得到結果，前提是要求每個參與實體均不能得知除自身外其他參與實體任何輸入信息。

加密期權平臺SignalPlus宣布完成A輪融資，HashKey領投:8月10日消息，SignalPlus Ltd.宣布完成A輪融資，HashKey領投。此外，SignalPlus表示，其早期投資者和其他投資者包括GBV Capital、Incuba Alpha、Chiron Partners、Paradigm Co.、SNZ Holding、Baboon.vc和Stratified Capital（并擔任顧問），總共籌集了超過1200萬美元。

據悉，SignalPlus Ltd.專注于構建全套加密期權平臺。[2022/8/10 12:16:10]

以下為安全多方計算的數學表述：

安全多方計算架構

安全多方計算主要分為兩個參與方:參與節點及樞紐節點。各個參與節點地位相同，可以發起協同計算任務，也可以選擇參與其他方發起的計算任務。樞紐節點不參與實際協同計算，主要用于控制傳輸網絡、路由尋址及計算邏輯傳輸。此外，在去中心化的網絡拓撲里，樞紐節點是可以刪減的，參與節點可以與其他參與節點進行點到點連接，直接完成協同計算。

安全多方計算過程中，每個數據持有方可發起協同計算任務，并通過樞紐節點進行路由尋址，選擇相似數據類型的其余數據持有方進行安全的協同計算。參與協同計算的多個數據持有方的參與節點會根據計算邏輯，從本地數據庫中查詢所需數據，共同就安全多方計算任務在密態數據流間進行協同計算。整個過程各方的明文數據全部在本地存儲，并不會提供給其他節點。在保證數據隱私的情況下，樞紐節點將計算結果輸出至整個計算任務系統，從而各方得到正確的數據結果。

HashKey宣布已向跨鏈協議Harmony注入價值1000萬美元的流動性:官方消息，HashKey宣布已向以太坊可擴展性和跨鏈協議Harmony注入了價值1000萬美元的流動性。 來自HashKey的流動性將用于擴大Harmony生態系統，預計未來將發布更多產品。 （BTC Manager）[2021/6/30 0:16:27]

安全多方計算主要有三個特性:

隱私性。安全多方計算首要的目的是各參與方在協作計算時如何對隱私數據進行保護，即在計算過程中必須保證各方私密輸入獨立，計算時不泄露任何本地數據。正確性。多方計算參與各方通過約定安全多方計算協議發起計算任務并進行協同計算，運算數據結果具備正確性。去中心化。安全多方計算中，各參與方地位平等，不存在任何有特權的參與方或第三方，提供一種去中心化的計算模式。圖1:安全多方計算技術框架圖，來源：中國信息通信研究院云計算與大數據研究所

安全多方計算信任環境

安全多方計算的信任環境或者說整體安全定義通常由真實-理想模型(Real-IdealParadigm)來表達。在真實-理想模型中，存在一個虛擬的「理想」環境，與真實環境進行比較。在理想環境里，所有參與方都會將各自的秘密數據發送給一個可信第三方，由可信第三方完成計算。而在真實環境下，不存在這樣的可信第三方，所有參與方通過互相交換信息，完成協同計算，并且會存在敵手進行控制其中部分參與方的情況。

HashQuark首期搭建1000個以太坊2.0驗證節點:北京時間2020年11月24日上午10時許，以太坊2.0存款合約地址已達到了創世區塊啟動的最低要求524.288枚ETH，這意味著以太坊2.0將于12月1日如期啟動。作為最大的PoS服務商之一，HashQuark已接受用戶委托的逾3萬枚ETH，首批搭建1000個以太坊2.0驗證節點。通過HashQuark推出的企業級Staking服務 EtherPocket Pro，企業用戶可實現“一鍵化”節點搭建和節點可視化管理。HashQuark也推出了理賠方案，增加了用戶資產的安全保障。

HashQuark作為專業的Staking生態服務商，提供安全、便捷、穩定的企業級基礎設施服務。[2020/11/24 21:58:35]

一個安全多方計算系統滿足在真實-理想模型下的安全性，是指真實環境下的敵手無法產生比理想環境下的攻擊者更多的危害；換言之，如果存在敵手可以對真實環境造成危害，那么也存在敵手可以對理想環境造成同等效果的危害。由逆否命題可知，事實上，不存在敵手能對理想環境造成危害，從而可以得出結論：不存在真實環境下的成功的敵手。

一般而言，在安全多方計算中，根據攻擊者的能力差異可以定義兩種不同的攻擊者相關的安全模型。

半誠實模型(Semi-HonestAdversaries’Security)。在半誠實行為模型中，假設敵手會誠實地參與安全多方計算的具體協議，遵照協議的每一步進行，但是會試圖通過從協議執行過程中獲取的內容來推測他方的隱私。惡意行為模型(MaliciousAdversaries’Security)。在惡意行為模型中，惡意節點可能會不遵循協議，采取任意的行為獲取他方的隱私。目前有許多安全多方計算的改進方案，可以達到惡意行為模型下的安全性，但是都需要付出很大的性能代價，大規模的安全多方計算產品，基本上通常只考慮半誠實模型，惡意行為模型的解決方案會嚴重影響效率和實用性。

加密交易基礎設施提供商Zero Hash完成C輪融資:金色財經報道，加密交易基礎設施提供商Zero Hash周三宣布，已經完成了由tastytrade所有者sweetwork領導的475萬美元C輪融資，其他參與者包括另一家基于應用程序的經紀交易商Dough以及針對散戶的期貨市場Small Exchange。據悉，Zero Hash為平臺（例如基于應用程序的經紀商）提供結算基礎架構，使平臺能夠為用戶提供加密貨幣交易。[2020/9/3]

安全多方計算的實現形式

秘密共享

秘密共享是在一個常被應用在多方安全簽名的技術，它主要用于保護重要信息被丟失、或篡改。通過秘密共享機制，秘密信息會被拆分，每個參與者僅持有該秘密的一部分，個人持有部分碎片無法用于恢復秘密，需要湊齊預定數量(或門限)的碎片。

不經意傳輸(ObliviousTransfer)

不經意傳輸是一種密碼學協議，被廣泛應用于安全多方計算領域，它解決了以下問題:

舉例來說，Alice手上有兩組密封的密碼組合，Bob只能獲得一組密碼且Bob希望Alice不知道他選擇哪一組密碼。這時候就能利用不經意傳輸來完成交易。

圖2:不經意傳輸示意圖，來源:鏈聞

不經意傳輸存在雙方角色，發送者與接收者。一個可行的具體實現過程，分為四個步驟：

混淆電路(GarbledCircuit)

動態 | Hashcash Consultants通過區塊鏈改善開普敦用水狀況:據wateronline消息，區塊鏈公司Hashcash Consultants計劃通過區塊鏈技術改善開普敦用水狀況，將與監管機構合作，將開普敦的降雨量記錄在去中心化、不可更改的分類賬中，允許所有人訪問分類賬進行驗證和參考等。除此之外，該公司還將利用區塊鏈技術記錄當地居民的用水量。目前，開普敦有400萬人口，審計他們的日常用水量是一個巨大的挑戰，需要一個無限存儲的計算基礎以防止系統崩潰和數據延遲處理，而區塊鏈技術也滿足了這一要求。[2018/10/26]

混淆電路是姚期智教授在80年代提出的安全多方計算概念。混淆電路是一種密碼學協議，遵照這個協議，兩個參與方能在互相不知曉對方數據的情況下計算某一函數。

舉姚氏百萬富翁問題為例，兩個百萬富翁Alice和Bob想在不知道對方精準財富值的情況下比較誰的財富值更高。比如Alice的財富值是20，Bob的財富值是15。藉由混淆電路，Alice和Bob都可以知道誰更富有，但是Alice和Bob都不知道對方的財富值。混淆電路的核心邏輯是先將計算問題轉換為由與門、或門、非門所組成的布爾邏輯電路，再通過公鑰加密、不經意傳輸等技術來擾亂這些電路值以掩蓋信息，在整個過程雙方傳輸的都是密碼或隨機數，不會有任何有效信息泄露。因此雙方在得到計算結果的同時，達到了對隱私數據數據保護的目的。

假設存在雙方Alice及Bob進行混淆電路協議。混淆電路實現過程分為四個步驟:

Alice生成混淆電路。由圖4可知，Alice生成的混淆電路中間會連接許多邏輯門，每個邏輯門都有輸入線及輸出線，且都有一組真值表(Truthtable)。Alice與Bob通信。Alice將邏輯門的真值表對稱加密并將真值表的行列打亂成混淆表(Garbledtable)傳送至Bob。Bob在接收到加密真值表后，對加密真值表的每一行進行解密，最終只有一行能解密成功，并提取相關的加密信息。其中，Bob通過不經意傳輸協議從Alice獲得對應的解密字符串。不經意傳輸能夠保證Bob獲得對應的解密字符串，且Alce無法得知Bob獲得哪一個。最后，Bob將計算結果返回給Alice，雙方共享計算結果。由于雙方需對電路中每個邏輯門進行幾個對稱密鑰操作，因此使用混淆電路的方案的計算復雜度相對也較高，并且當擴展到參與方較多的計算場景時會更加復雜。圖3:一般電路、門及真值表，來源:安全計算與密碼學

零知識證明

零知識證明指的是示證者能夠在不向驗證者提供任何有用的信息的情況下，使驗證者相信某個論斷是正確的。零知識證明存在雙方或多方角色：示證者(prover)與驗證者(verifier)。示證者宣稱某一命題為真，而驗證者確認該命題是否為真。

經典的零知識證明通常包含三個步驟:

示證者先根據命題內容向驗證者發送命題論述，這個論述必須經過處理轉換成密態論述，且命題內容無法在后續的某一時刻進行篡改和抵賴。驗證者隨機生成一個挑戰并發給示證者。示證者根據挑戰和命題論述生成證明信息發給驗證者。驗證者利用證明信息判斷示證者是否通過了該次挑戰。重復多次這三個步驟，可以降低示證者是因為運氣的成份通過挑戰的概率。示證者提供的密態命題論述有兩個作用，一來可以防止示證方對命題內容臨時造假，二來可以讓驗證者無法得知全部信息，保持隱私性。

零知識證明具備三個屬性:

完備性。如果論述命題確實為真，那么誠實的驗證者一定會被誠實的示證者說服。可靠性，如果論述命題為假，那么示證者只能以很小的機率欺騙誠實的驗證者。零知識。驗證者只能知道論述命題是否為真這一結果，而無法從整個交互式證明過程里獲得其它任何有用的訊息。安全多方計算通常會利用零知識證明作為輔助手段，舉例來說，驗證惡意節點發送虛假數據或是做節點身份證明等等。安全多方計算應用與困難

目前來說，安全多方計算主要是通過混淆電路及秘密共享兩個方式實現。基于混淆電路的協議更適用于兩方邏輯運算，通訊負擔較低，但拓展性較差。而基于秘密分享的安全多方計算其拓展性較強，支持無限多方參與計算，計算效率高，但通訊負載較大。

目前安全多方計算的應用可以分為兩個部分:數據融合及數據資產化。

數據融合

讓雙方或多方數據融合并合作是目前安全多方計算能夠發揮最大價值之處。舉例來說，聯合征信。銀行擁有用戶金融行為相關數據，而互聯網公司一般擁有用戶網絡的使用數據，如何讓兩方的數據合作，共同建立一個信用模型，是數據協作的一個關鍵的問題。利用安全多方計算，可以在雙方保留隱私的情況下找到共用的數據集，并且在多方數據基礎上訓練出的信用模型將更加準確，從而對未知情形提供更加合理的預測，減少數據融合的外部性。

除此之外，數據安全存儲也是一大應用。企業可使用秘密共享技術將數據以秘密的方式存儲，有效防止內部人員非法盜用數據的情況發生。同時，存儲的數據無需解密即可進行其他計算，既保證了安全性，又提升了計算效率。

數據資產化

安全多方計算有機會能夠促進未來數據資產化及數據市場的發展。由于安全多方計算能夠在數據傳輸的過程中從技術層面保證數據確權的問題，使數據的所有權與使用權劃清界線，因此企業或個人將可以通過安全多方計算將有價值的數據視為資產，并在市場上流動或進行交易。數據提供方可以規定數據的用途、用量、有效期等使用屬性，數據的使用者在拿到數據后只能在授權范圍內合理地使用數據，并能將剩余數據的使用權量化或做進一步流通。

安全多方計算可以將數據市場的本質由數據所有權轉向數據使用權，保障原始數據所有者的權益，有效遏制原始數據泄漏，降低數據泄漏引起的數據流通風險，促進數據的大規模應用。

未來挑戰

隨著區塊鏈和大數據等技術的逐漸發展，我們對數據及計算的要求相對更高。比如：區塊鏈要求匿名性，數據計算需要隱私保護等等。因此類似安全多方計算等密碼學技術在實際使用過程中，就會出現解釋成本非常高，且效率低的問題。

安全多方計算會涉及龐大的計算量及通信量，尤其是涉及公鑰運算。目前安全多方計算單個運算可以達到毫秒級，也就是說每秒鐘最多能做幾百次計算。但是在大數據的場景下，一個數據應用或模型訓練往往涉及數十萬單位的數據樣本及特征量，運算效率會是一個問題。除此之外，對于某些在線或需要實時計算并且計算任務較復雜的應用場景，安全多方計算目前可能難以負擔。

Tags：ASHHASHALILICiDealCashindaHashBaby BaliRELIC

ETH