26、基于独立于输入预处理的抗泄漏计算

基于独立于输入预处理的抗泄漏计算

1. 引言

安全多方计算（MPC）是现代密码学的核心内容。MPC 协议允许 m 个相互不信任的参与方安全地计算他们私有输入 $\bar{x} = (x_1, …, x_m)$ 的任意函数 $f(\bar{x})$。该协议的安全性通过模拟范式（也称为真实 - 理想范式）来保证，即在“真实世界”中执行协议 $\pi$ 时，敌手的影响和视图可以在“理想世界”中被模拟，在理想世界里，参与方运行理想化协议 $I_f$，输入直接交给一个可信方（通常称为理想功能）进行计算。

传统 MPC 模型的协议依赖于一个关键假设，即诚实参与方的内部计算状态对攻击者完全保密，攻击者只能通过通信接口影响诚实参与方并获取其秘密状态的信息。然而，在现实中，攻击者可以通过各种侧信道（如定时、辐射等）设计自己的接口，获取诚实参与方秘密状态的信息，即泄漏。这种日益增长的威胁促使了大量关于抗泄漏密码学的研究。

在泄漏存在的情况下，[GJS11, BCH12] 开始研究安全交互协议。在这种情况下，敌手除了控制被破坏的参与方外，还可以获取诚实参与方秘密状态的泄漏信息，这些信息被建模为敌手在协议执行期间自适应选择的任意泄漏函数的输出。

一个基本问题是在这个模型中可以实现的安全级别。抗泄漏密码学的共同目标是实现与传统无泄漏攻击模型相同的安全属性。在协议的背景下，这意味着诚实参与方状态的泄漏不会导致安全性下降，即真实世界协议保留了理想世界协议在无泄漏环境中的相同安全保证。然而，如果真实世界的敌手可以直接获取参与方输入的泄漏信息，这样的强保证是不可能实现的。

2. 泄漏容忍模型

考虑到参与方输入的直接泄漏往往不可避免，[GJS11, B