58、FleXOR: 超越 Free - XOR 的灵活异或门加密方法

FleXOR: 超越 Free - XOR 的灵活异或门加密方法

1 引言

两方安全函数评估（SFE）允许两方在各自输入 x 和 y 上评估任何函数，同时保护双方输入的隐私。目前，一些有用函数的 SFE 处于实际应用的边缘，其广泛应用的主要障碍是成本。大多数当前感兴趣的函数的 SFE 要么完全不切实际，要么成本过高，导致潜在采用者选择更强的信任模型、用激励措施诱使用户放弃隐私或使用类似的加密变通方法。

1.1 研究成果与动机

我们对常用的 SFE 工具——混淆电路（GC）的所需假设和效率进行了改进，不过并非同时改进这两个方面。
- 实际方面 ：与使用 Kolesnikov 和 Schneider 的免费异或（free - XOR）技术的最先进 GC 变体相比，我们的构造使 GC 大小节省了超过 30%。FleXOR 方法比我们展示的具体实例更通用，预计后续会有更好的优化方案。同时，计算最优实例（即最小化 GC 大小的实例）是 NP 完全问题。
- 理论方面 ：我们旨在去除 free - XOR 技术的随机预言机（RO）要求，同时不牺牲效率。将 RO 假设弱化到相关性鲁棒性（CR），同时保留 free - XOR 带来的大部分性能改进（分析电路时仅损失 10 - 20%）。这样做的原因有：
- 如今高效的 GC 协议几乎肯定会使用 Ishai 等人的不经意传输（OT）扩展，该扩展需要 CR 哈希函数，我们的选择可避免引入额外假设。
- 密码分析人员对现实世界分组密码/原语的相关密钥攻击进行了深入研究，但对密钥循环攻击的研究较少。

1.2 评估