来自STOC2012的论文。算是第一篇关于多密钥全同态加密的文章。

摘要

我们提出了一个由计算能力强但不被信任的 "云 "服务器辅助的安全多方计算的新概念。在这个概念中，我们称之为实时多方计算(on-the-flyMPC)，云可以非交互式地对属于实时选择的任意用户组的数据进行任意的、动态选择的计算。所有用户的输入数据和中间结果都受到保护，不会被云和其他用户窥视。这就扩展了全同态加密（FHE）的标准概念，用户能寻求云的帮助来评估他们自己的加密数据。

我们的贡献有两个方面。

我们展示了如何使用一种新型的加密方案实现即时的MPC，我们称之为多密钥FHE，它能够对在多个不相关的密钥下加密的输入进行操作。一个由多钥匙评估产生的密码文本可以使用参与计算的所有用户的密钥联合解密。
我们在NTRU的基础上构建了一个多密钥FHE方案。

引言

我们正在快速接近一个新的数字时代，在这个时代，我们在强大的服务器上远程存储我们的数据并进行昂贵的计算，用流行的话说就是 “云”。虽然云在成本和功能上有很多优势，但它也带来了严重的保密性问题，因为存储在云中的数据可能容易被云提供商甚至其他云客户窥探[RTSS09]。由于这些数据通常包含敏感信息（如个人谈话、医疗信息和组织秘密），因此用户在将数据存储在云中之前，会对其进行加密。完全同态加密（FHE）的最新进展[Gen09b, vDGHV10, BV11b, BV11a, GH11a, BGV12]使得在加密数据上进行任意计算成为可能，从而使个人电脑和移动设备作为可信但弱的接口进入强大但不可信的云，而大部分计算是在云上进行的。

FHE只适用于计算涉及单一用户的情况，因为它要求输入在同一密钥下加密。然而，在很多情况下，用户将他们的大型数据存储以加密的形式上传到云端，然后再决定对这些数据进行何种运算。例如，他们可能希望云计算他们的数据库的联合统计信息，在他们的集合中找到共同的文件，在这些文件上进行运算来得到某个结果（除了最终的结果，不泄露任何东西），或者一般来说，多个（相互不信任的）用户汇集他们的数据以计算一个共同的目标函数。

多方的情况要复杂得多，而且有一系列自然但严格的要求。首先，参与计算的参与者和要计算的函数可能是动态选择的，在数据被加密并上传到云端后，就会动态选择。其次，一旦选择了函数，我们不应该期望用户一直在线，因此，云必须能够非交互式地执行大部分的计算（在属于参与者的加密数据上），而根本不需要咨询参与者。最后，所有的计算负担确实应该由云来承担：用户的计算和通信复杂性应该只取决于单个输入和输出的大小，并且应该与计算的函数的复杂性和系统中的用户总数无关，这两者都可能非常大。

实时多方计算：考虑到一个有大量计算能力弱的用户和一个强大的云的环境。一个实时多方计算协议是这样进行的。

众多用户各自加密他们的数据并上传到云端，不知道系统中其他用户的身份甚至数量。数据根据用户的公钥进行加密，直接发送至云端（例如，作为加密的电子邮件到达基于云的邮箱）。
云决定对即时选择的用户数据的任意动态子集的数据评估一个任意的动态选择的函数。（该选择可能是由一些用户的要求，或作为一项服务，在满足某些标准的各方数据上计算该函数，或由云提供商自主预期的需求，等等）云可以非交互式地执行该计算，而无需用户的任何进一步帮助。其结果仍然是加密的。
云和其数据被用于计算的用户子集在解密阶段互动。随后用户追溯性地对函数的选择和对用户数据的选择进行批准，并合作解密得到输出。

NTRU加密

方案

参数：多项式环 $\stackrel{\text { def }}{=} \mathbb{Z}[x] /\left\langle x^{n}+1\right\rangle$ , 其中 $n$ 是 $2$ 的幂次, 奇素数 $q$ , 在 $R$ 上的 $B$ -bounded分布 $\chi$ , 其中 $\ll q .$

" $B$ -bounded"的意思是，从 $\chi$ 中取样的多项式的系数大小小于 $B$ 。 $R_{q} \stackrel{\text { def }}{=} R / q R$ , $[\ \cdot\ ]_{q}$ 表示用将多项式系数模 $q$ 映射入 $\left\{-\left\lfloor\frac{q}{2}\right\rfloor, \ldots,\left\lfloor\frac{q}{2}\right\rfloor\right\}$ 中。

Keygen $\left(1^{k}\right)$ : 取两个小多项式 $f^{\prime}, g \leftarrow \chi$ ，令 $\stackrel{\text { def }}{=} 2 f^{\prime}+1$ ，那么 $f\pmod 2=1$ ，计算 $f$ 在 $R_q$ 下的逆元 $f^{-1}$ ，令

$\mathrm{sk}=f \quad \text { and } \quad \mathrm{pk}=\left[2 g f^{-1}\right]_{q}$

Enc $(p k, m)$ : $\in\{0,1\}$ , 选取小多项式 $\leftarrow \chi$ , 令 $c=[h s+2 e+m]_{q}$
Dec $(s k, c)$ : 计算 $\mu=[f c]_{q}$ 并返回 $\mu \pmod 2$ .

正确性

$fc]_q = [2gs+2fe+fm]_q$ ,注意到 $g, s, f, e$ 都是B-bounded, $\ll q$ ,所以 $2 g s + 2 f e + f m < q / 2$ 。又因为 $\equiv 1 \pmod 2$ ，所以 $\mu \pmod 2$ .

多密钥同态性

$c_1 = [h_1s_1+e_1+m_1]_q$ , $c_2 =[h_2s_2 + e_2 +m_2]_q$ ,其中 $h_1 = [2g_1f_1^{-1}]_q,h_2=[2g_2f_2^{-1}]_q$ .令 $c_{add} \stackrel{def}{=}[c_1+c_2]_q$ , $c_{mul}\stackrel{def}{=}[c_1c_2]_q$ .解密的密钥为 $f_1f_2$ ：
$\begin{aligned} f_{1} f_{2}\left(c_{1}+c_{2}\right) &=2\left(f_{1} f_{2} e_{1}+f_{1} f_{2} e_{2}+f_{2} g_{1} s_{1}+f_{1} g_{2} s_{2}\right)+f_{1} f_{2}\left(m 1+m_{2}\right) \\ &=2 e_{\mathrm{add}}+f_{1} f_{2}\left(m 1+m_{2}\right) \end{aligned}$

$\begin{array}{r} f_{1} f_{2}\left(c_{1} c_{2}\right)=2\left(2 g_{1} g_{2} s_{1} s_{2}+g_{1} s_{1} f_{2}\left(2 e_{2}+m_{2}\right)+g_{2} s_{2} f_{1}\left(2 e_{1}+m_{1}\right)+\right. \\ \left.f_{1} f_{2}\left(e_{1} m_{2}+e_{2} m_{1}+2 e_{1} e_{2}\right)\right)+f_{1} f_{2}\left(m_{1} m_{2}\right) \\ =2 e_{\mathrm{mult}}+f_{1} f_{2}\left(m 1 m_{2}\right) \end{array}$

分别引入了两个不大的噪声 $e_{add},e_{mult}$ ，只要噪声控制得当，就可以正确解密。

注意，这样的同态性存在一个问题：即对于某个外包函数，其第 $i$ 个参数的次数为 $d_i$ ，那么解密时需要的密钥为 $\prod_{i=1}^{N}{f_i^{d_i}}$ 。而这样做无疑会暴露外包函数给接收方。

所以在使用过程中，加入了Brakerski11提出的重线性化技术，使得解密需要的密钥次数从 $d_i$ 降低为 $1$ ，即 $\prod_{i=1}^{N}{f_i}$ 。

初步噪声分析

$g, s, e$ 都是 $B$ 以内的， $f$ 是 $2 B + 1$ 。那么 $fc]_q$ 在 $2nB^2(2nB+1)(2B+1)$ 内。这是根据引理2.5算出来的。
Lemma 2.4. Let $\in \mathbb{N}$ , let $\phi(x)=x^{n}+1$ and let $R=\mathbb{Z}[x] /\langle\phi(x)\rangle .$ For any $\in R$ ,
$\|s \cdot t\| \leq \sqrt{n} \cdot\|s\| \cdot\|t\| \quad \text { and } \quad\|s \cdot t\|_{\infty} \leq n \cdot\|s\|_{\infty} \cdot\|t\|_{\infty}$

Corollary 2.5. Let $\in \mathbb{N}$ , let $\phi(x)=x^{n}+1$ and $R=\mathbb{Z}[x] /\langle\phi(x)\rangle .$ Let $\chi$ be a B-bounded distribution over the ring $R$ and let $s_{1}, \ldots, s_{k} \leftarrow \chi .$ Then $\stackrel{\text { def }}{=} \prod_{i=1}^{k} s_{i}$ is $\left(n^{k-1} B^{k}\right)$ -bounded.

这里我觉得原文写错了，和李同学讨论后，感觉噪声最后是 $2nB^2 + (2nB+1)(2B+1)$ 大小的。

安全性

(修改后的)NTRU加密方案的安全性可以基于两个假设-RLWE假设，(决策性)小多项式比率(DSPR)假设。

Definition 2.13. (THE RLWE ASSUMPTION) For all $\kappa \in \mathbb{N}$ , let $\phi(x)=\phi_{\kappa}(x) \in \mathbb{Z}[x]$ be a polynomial of degree $n=n(\kappa)$ , let $q=q(\kappa) \in \mathbb{Z}$ be an odd prime integer, let the $\operatorname{ring} R \stackrel{\text { def }}{=} \mathbb{Z}[x] /\langle\phi(x)\rangle$ and $R_{q} \stackrel{\text { def }}{=} R / q R$ , and let $\chi$ denote a distribution over the ring $R .$
The Decisional Ring LWE assumption RLWE $_{\phi, q, \chi}$ states that for any $\ell=\operatorname{poly}(\kappa)$ it holds that
$\left\{\left(a_{i}, a_{i} \cdot s+e_{i}\right)\right\}_{i \in[\ell]} \stackrel{c}{\approx}\left\{\left(a_{i}, u_{i}\right)\right\}_{i \in[\ell]}$
where $s$ is sampled from the noise distribution $\chi, a_{i}$ are uniform in $R_{q}$ , the “error polynomials” $e_{i}$ are sampled from the error distribution $\chi$ , and finally, the ring elements $u_{i}$ are uniformly random over $R_{q}$ .

Definition 2.14. (DECISIONAL SMALL POLYNOMIAL RATIO ASSUMPTION) Let $\phi(x) \in \mathbb{Z}[x]$ be a polynomial of degree $n$ , let $\in \mathbb{Z}$ be a prime integer, and let $\chi$ denote a distribution over the ring $\stackrel{\text { def }}{=} \mathbb{Z}[x] /\langle\phi(x)\rangle .$ The (decisional) small polynomial ratio assumption DSPR $_{\phi, q, \chi}$ says that it is hard to distinguish the following two distributions:

$a$ polynomial $\stackrel{\text { def }}{=}\left[2 g f^{-1}\right]_{q}$ , where $f^{\prime}$ and $g$ are sampled from the distribution $\chi$ (conditioned on $\stackrel{\text { def }}{=} 2 f+1$ being invertible over $R_{q}$ ) and $f^{-1}$ is the inverse of $f$ in $R_{q}$ .
a polynomial u sampled uniformly at random over $R_{q}$ .

DSPR假设在[SS11b]的文章中有证明为困难问题，RLWE在[LPR10]中。
根据两个假设，可以使用hybrid model进行证明：

基于DSPR假设，公钥 $h=[2gf^{-1}]_q$ 与随机选取的 $h$ 不可区分。
基于RLWE假设，密文 $c^*=[hs+2e+m]_q$ 与 $c^*=[u+m]_q$ 不可区分，其中 $u$ 由 $R_q$ 中均匀选取。

多密钥同态加密

定义

Definition 3.1 (Multikey $\mathcal{C}$ -Homomorphic Encryption). Let $\mathcal{C}$ be a class of circuits. A family $\left\{\mathcal{E}^{(N)}=(\text { Keygen, Enc, Dec, Eval })\right\}_{N>0}$ of algorithms is multikey $\mathcal{C}$ -homomorphic if for all integers $\mathcal{E}^{(N)}$ has the following properties:

$(\mathrm{pk}, \mathrm{sk}, \mathrm{ek}) \leftarrow$ Keygen $\left(1^{\kappa}\right):$ For a security parameter $\kappa$ , outputs a public key pk, a secret key sk and a (public) evaluation key ek.
$\leftarrow$ Enc $(\mathrm{pk}, m):$ Given a public key pk and message $m$ , outputs a ciphertext $c .$
$m:=\operatorname{Dec}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}, c\right):$ Given $N$ secret keys $\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}$ and a ciphertext $c$ , outputs a message $m$ .
$c:=\operatorname{Eval}\left(C,\left(c_{1}, p k_{1}, e k_{1}\right), \ldots,\left(c_{\ell}, p k_{\ell}, e k_{\ell}\right)\right):$ Given a (description of) a boolean circuit $C$ along with $\ell$ tuples $\left(c_{i}, \mathrm{pk}_{i}, \mathrm{ek}_{i}\right)$ , each comprising of a ciphertext $c_{i}$ , a public key $\mathrm{pk}_{i}$ , and an evaluation key ek $_{i}$ , outputs a ciphertext $c .$

Correctness: Let c $:=\operatorname{Eval}\left(C,\left(c_{1}, \mathrm{pk}_{1}, \mathrm{ek}_{1}\right), \ldots,\left(c_{\ell}, \mathrm{pk}_{\ell}, \mathrm{ek}_{\ell}\right)\right) .$ Then
$\operatorname{Dec}\left(\mathrm{sk}_{1}^{\prime}, \ldots, \mathrm{sk}_{N}^{\prime}, c\right)=C\left(m_{1}, \ldots, m_{\ell}\right)$
Compactness: Let $c:=\operatorname{Eval}\left(C,\left(c_{1}, \mathrm{pk}_{1}, \mathrm{ek}_{1}\right), \ldots,\left(c_{\ell}, \mathrm{pk}_{\ell}, \mathrm{ek}_{\ell}\right)\right) .$ There exists a polynomial $P$
such that $\leq P(\kappa, N) .$ In other words, the size of $c$ is independent of $\ell$ and $∣ C ∣ .$ Note, however, that we allow the evaluated ciphertext to depend on the number of keys $N$ .
紧凑性保证了密文的大小与电路深度以及运算次数无关，但在本文的多公钥方案中，密文的大小与参与方数量有关。

从FHE到MKHE的通用构造方法

本文认为对于常数个参与方来说，所有的FHE方案都可以直接变为MKHE方案。理由如下：
定义 $\widetilde{\mathrm{Enc}}$ 为对于 $x$ 的逐比特加密：
$\widetilde{\operatorname{Enc}}(\mathrm{pk}, x) \stackrel{\text { def }}{=}(\operatorname{Enc}(\mathrm{pk}, x[1]), \ldots, \operatorname{Enc}(\mathrm{pk}, x[|x|]))$
对于 $k\in \mathbb{N}$ ，定义洋葱加密、解密，这里用 $\mathrm{Enc}$ 来代替 $\widetilde{\mathrm{Enc}}$ ：
$\begin{aligned} \operatorname{Enc}^{*}(\mathrm{pk}, x) & \stackrel{\text { def }}{=} \operatorname{Enc}(\mathrm{pk}, x) \\ \text { Enc* }\left(\mathrm{pk}_{1}, \ldots, \mathrm{pk}_{k}, x\right) & \stackrel{\text { def }}{=} \operatorname{Enc}^{*}\left(\mathrm{pk}_{1}, \ldots, \mathrm{pk}_{k-1}, \operatorname{Enc}\left(\mathrm{pk}_{k}, x\right)\right) \\ &\ = \operatorname{Enc}\left(\mathrm{pk}_{1}, \text { Enc }\left(\mathrm{pk}_{2}, \ldots, \operatorname{Enc}\left(\left(\mathrm{pk}_{k}, x\right)\right)\right)\right.\\ \operatorname{Dec}^{*}(\mathrm{~s} \mathrm{k}, x)&\ \stackrel{\text{def}}{=} \operatorname{Dec}(\mathrm{sk}, x) \\ \operatorname{Dec}^{*}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{k}, x\right) & \stackrel{\text { def }}{=} \operatorname{Dec}^{*}\left(\mathrm{sk}_{2}, \ldots, \mathrm{pk}_{k}, \operatorname{Dec}\left(\mathrm{sk}_{1}, x\right)\right) \\ &\ =\operatorname{Dec}\left(\mathrm{sk}_{k}, \operatorname{Dec}\left(\mathrm{sk}_{k-1}, \ldots, \operatorname{Dec}\left(\mathrm{sk}_{1}, x\right)\right)\right) \end{aligned}$
洋葱加密具有两个性质：

正确性： $\operatorname{Dec}^{*}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{k}\right.$ , Enc* $\left.\left(\mathrm{pk}_{1}, \ldots, \mathrm{pk}_{k}, m\right)\right)=m$
密文扩张：如果加密算法 $\mathrm{Enc}$ 的密文长度为 $\lambda$ ，那么洋葱加密 $\mathrm{Enc}^*\left(\mathrm{pk}_{1}, \ldots, \mathrm{pk}_{k}, m\right)$ 的密文长度为 $\lambda^k$

构造方法概览

给定一个密文 $c_i\gets \mathrm{Enc}(pk_i,m_i)$ ，先通过 $c_i$ 构造一个 $m_i$ 的洋葱加密 $z_i$ ，使得 $z_i \approx \mathrm{Enc}^*(pk_1,...,pk_N,m_i)$ 。
具体方法为：

在 $c_i$ 上同态地执行函数 $\mathrm{Enc}^* \left(\mathrm{pk}_{i+1}, \ldots, \mathrm{pk}_{N},\ \cdot\ \right)$ 来得到 $\tilde{z_i}\approx\mathrm{Enc}^*(pk_i,...,pk_N,m_i)$ 。
对于 $\tilde{z_i}$ 继续执行加密得到 $z_i=\mathrm{Enc}^*\left(pk_1,...,pk_{i-1},\tilde{z_i}\right)$

对每个密文 $c_i$ 运行上述的构造方法来得到 $z_1,...,z_N$ ，在 $z_1,...z_N$ 上进行运算来得到
$c\approx \mathrm{Enc}^*(pk_1,..,pk_N,C(m_1,...,m_N))$
最后解密得到
$\mathrm{Dec}^*(sk_1,...,sk_N,c)=C(m_1,...,m_N)$
这种构造方法的缺点显而易见，密文大小为 $\lambda^N$ ，且同态地运行加密算法需要很大的开销。因此他只能支持 $N = O (1)$ 的情况。

形式化定义：

GMK: generic multikey construction

GMK.Keygen $\left(1^{\kappa}\right):$ Run Keygen $\left(1^{\kappa}\right)$
GMK.Enc(pk, $m) :$ Run Enc(pk,m).
GMK.Dec $\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}, c\right):$ Output Dec* $\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}, c\right)$
GMK.Eval $\left(C,\left(c_{1}, \mathrm{pk}_{1}, \mathrm{ek}_{1}\right), \ldots,\left(c_{N}, \mathrm{pk}_{N}, \mathrm{ek}_{N}\right)\right):$ For $\in[N]$ , define

$G_{i}(x) \stackrel{\text { def }}{=} \operatorname{Enc}^{*}\left(\mathrm{pk}_{i+1}, \ldots, \mathrm{pk}_{N}, x ; r\right)$

for some fixed and valid randomness $r$ and recursively define
$C^{(k)}\left(x_{1}, \ldots, x_{N}\right) \stackrel{\text { def }}{=}\left\{\begin{array}{ll} C\left(x_{1}, \ldots, x_{N}\right) & \text { for } k=N \\ \text { Eval }\left(\mathrm{ek}_{k+1}, C^{(k+1)}, x_{1}, \ldots, x_{N}\right) & \text { for } k<N \end{array}\right.$
For $\in[N]$ , compute
$\widetilde{z}_{i} \stackrel{\text { def }}{=} \text { Eval }\left(\mathrm{ek}_{i}, G_{i}, c_{i}\right) \quad, \quad z_{i} \stackrel{\text { def }}{=} \mathrm{Enc}^{*}\left(\mathrm{pk}_{1}, \ldots, \mathrm{pk}_{i-1}, \widetilde{z}_{i}\right)$
and output the ciphertext $\stackrel{\text { def }}{=}$ Eval $\left(\mathrm{ek}_{1}, C^{(1)}, z_{1}, \ldots, z_{N}\right)$ .

BV11文章的MKHE构造方法

在Brakerski11类型的文章中，解密是由两个向量内积得到的 $\langle \mathbf{c},\mathbf{s}\rangle \pmod 2$ 。

加法：给定相同长度的 $\mathbf{c}_1,\mathbf{c}_2$ ，定义 $\mathbf{c}_{add}\stackrel{\text{def}}{=}\mathbf{c}_1+\mathbf{c}_2$ 。 $\mathbf{c}_{add}$ 可由密钥 $\mathbf{s}$ 解密：

$\langle \mathbf{c}_1+\mathbf{c}_2,\mathbf{s}\rangle = \langle \mathbf{c}_1,\mathbf{s} \rangle + \langle \mathbf{c}_2,\mathbf{s} \rangle$

乘法：给定任意长度的 $\mathbf{c}_1,\mathbf{c}_2$ ，定义 $\mathbf{c}_{mul}\stackrel{\text{def}}{=} \mathbf{c}_1 \otimes \mathbf{c}_2$ ，密文 $\mathbf{c}_{mul}$ 可以由密钥 $\mathbf{s}\otimes\mathbf{s}$ 解密：

$\left\langle\mathbf{c}_{1} \otimes \mathbf{c}_{2}, \mathbf{s} \otimes \mathbf{s}\right\rangle=\left\langle\mathbf{c}_{1}, \mathbf{s}\right\rangle \cdot\left\langle\mathbf{c}_{2}, \mathbf{s}\right\rangle$

这样BV11类型的方案来构造MKHE非常简单，给定 $\mathbf{c}_1,\mathbf{c}_2$ 分别是由 $\mathbf{s}_1,\mathbf{s}_2$ 加密的密文。

加法： $\left\langle\left(\mathbf{c}_{1}, \mathbf{c}_{2}\right),\left(\mathbf{s}_{1}, \mathbf{s}_{2}\right)\right\rangle=\left\langle\mathbf{c}_{1}, \mathbf{s}_{1}\right\rangle+\left\langle\mathbf{c}_{2}, \mathbf{s}_{2}\right\rangle$
乘法： $\left\langle\mathbf{c}_{1} \otimes \mathbf{c}_{2}, \mathbf{s}_{1} \otimes \mathbf{s}_{2}\right\rangle=\left\langle\mathbf{c}_{1}, \mathbf{s}_{1}\right\rangle \cdot\left\langle\mathbf{c}_{2}, \mathbf{s}_{2}\right\rangle$

但这篇文章没有提出怎么对多公钥的密文进行重现性化，也就是说，每次的evaluation计算会将密文的长度扩张两倍。这篇文章将如何多多公钥的RLWE类型方案进行重线性化作为一个未解的问题，后面Chen Hao19的年的文章里面有解决这个问题。

NTRU多密钥全同态方案

如之前所说，NTRU的方案天然满足多密钥同态性质：
$\begin{array}{ll} {\left[f_{1} f_{2}\left(c_{1}+c_{2}\right)\right]_{q}=\left[2 f_{1} f_{2} e_{1}+2 f_{1} f_{2} e_{2}+2 f_{2} g_{1} s_{1}+2 f_{1} g_{2} s_{2}+f_{1} f_{2}\left(m_{1}+m_{2}\right)\right]_{q}} \\ =m_1+m_2 \pmod 2\\ {\left[f_{1} f_{2}\left(c_{1} \cdot c_{2}\right)\right]_{q} =\left[4 g_{1} g_{2} s_{1} s_{2}+2 g_{1} s_{1} f_{2}\left(2 e_{2}+m_{2}\right)+2 g_{2} s_{2} f_{1}\left(2 e_{1}+m_{1}\right)+\right.} \\ \left.\quad 2 f_{1} f_{2}\left(e_{1} m_{2}+e_{2} m_{1}+2 e_{1} e_{2}\right)+f_{1} f_{2}\left(m_{1} m_{2}\right)\right]_{q} \\ =m_{1} \cdot m_{2}\pmod 2 \end{array}$

但是他也存在着一些问题：比如两个密文 $c=c_1c_2$ , $c'=c_2c_3$
考虑两个密文的加法：
$\left[f_{1} f_{2} f_{3} \cdot\left(c+c^{\prime}\right)\right]_{q}=\left[f_{3}\left(f_{1} f_{2} \cdot c\right)+f_{1}\left(f_{2} f_{3} \cdot c^{\prime}\right)\right]_{q}=2\left(f_{3} e+f_{1} e^{\prime}\right)+f_{1} f_{2} f_{3}\left(m+m^{\prime}\right)$
可以由密钥 $f_1f_2f_3$ 进行解密，但是乘法：
$\left[f_{1} f_{2}^{2} f_{3} \cdot\left(c \cdot c^{\prime}\right)\right]_{q}=\left[\left(f_{1} f_{2} \cdot c\right) \cdot\left(f_{2} f_{3} \cdot c^{\prime}\right)\right]_{q}=2 E_{\mathrm{mult}}+f_{1} f_{2}^{2} f_{3}\left(m \cdot m^{\prime}\right)$
需要用密钥 $f_1f_2^2f_3$ 来进行解密。也就是说他的解密密钥的大小会与要执行的乘法次数成线性关系。因此需要使用一个重线性化技术，将所有需要 $f_i^2$ 解密的密文变为只需要 $f_i$ 解密的密文。

形式化定义

SH.Keygen $\left(1^{\kappa}\right):$ Sample $f^{\prime}, g \leftarrow \chi$ and set $f^{\prime}+1$ so that $\equiv 1(\bmod 2)$ . If $f$ is not invertible in $R_{q}$ , resample $f^{\prime}$ ; otherwise let $f^{-1}$ be the inverse of $f$ in $R_{q}$ . Set

$\mathrm{pk} \stackrel{\text { def }}{=} h:=\left[2 g f^{-1}\right]_{q} \in R_{q} \quad, \quad \mathrm{sk} \stackrel{\text { def }}{=} f \in R$

Sample $\widetilde{\mathbf{s}}, \widetilde{\mathbf{e}} \leftarrow \chi^{\lceil\log q\rceil}$ and compute ek $\stackrel{\text { def }}{=}[h \widetilde{\mathbf{s}}+2 \widetilde{\mathbf{e}}+\text { Pow }(f)]_{q} \in R_{q}^{[\log q]}$ . Output the key
tuple (pk,sk, ek).

SH.Enc $(\mathrm{pk}, m):$ Sample $\leftarrow \chi .$ Output the ciphertext $\in R_{q}$ .
SH.Dec(sk $\left._{1}, \ldots, \mathrm{sk}_{N}, c\right):$ Parse $\mathrm{sk}_{i}=f_{i}$ for $\in[N] .$ Compute $\mu=\left[f_{1} \cdots f_{N} \cdot c\right]_{q} \in R_{q}$ and
output $m:=\mu(\bmod 2)$ .
SH.Eval $\left(C,\left(c_{1}, p k_{1}, e k_{1}\right), \ldots,\left(c_{\ell}, p k_{\ell}, e k_{\ell}\right)\right):$ 在 $\ell$ 个输入上执行深度为 $D$ 的布尔电路 $C:\{0,1\}^{\ell} \rightarrow\{0,1\}$ 。下面的方案展示了如何对 ${0,1\}$ 上的两个输入做同台的加和乘。
- 给定两个密文 $c^{\prime}$ ，假定他们相应的公钥分别为集合 $K^{\prime}$ 。加法为

$c_{\mathrm{add}}=\left[c+c^{\prime}\right]_{q} \in R_{q}$

输出密文的公钥集合为 $K_{\text {add }}=K \cup K^{\prime}$ 。
- 给定两个密文 $c^{\prime}$ ，假定他们相应的公钥分别为集合 $K^{\prime}$ 。乘法为：
先计算 $c_{0}=\left[c \cdot c^{\prime}\right]_{q} \in R_{q}$
- If $\cap K^{\prime}=\emptyset$ , let $c_{\text {mult }}=c_{0}$
- Otherwise, let $\cap K^{\prime}=\left\{\mathrm{pk}_{i_{1}}, \ldots, \mathrm{pk}_{i_{t}}\right\} .$ For $\in[t]$ , compute $c_{j}=$
$\left[\left\langle\operatorname{Bit}\left(c_{j-1}\right), \mathrm{ek}_{i_{j}}\right\rangle\right]_{q}$ , and let $c_{\text {mult }}=c_{t}$ at the end of the iteration.

记公钥表示方法： $\subseteq[N]$ , $f_{S} \stackrel{\text { def }}{=} \prod_{i \in S} f_{i} .$ 。注意到 $c_0$ 是一个对应公钥为 $f_{K} f_{K^{\prime}}$ 的密文，我们的目的是把他变为对应公钥为 $f_{K \cup K^{\prime}}$ 的密文，其中
$f_{K} f_{K^{\prime}}\left(\prod_{j \in K \cap K^{\prime}} f_{j}\right)^{-1}=f_{K \cup K^{\prime}}$
相当于是将密钥中的 $f_{i_{1}}^{2} \ldots f_{i_{t}}^{2}$ 替换为 $f_{i_{1}} \ldots f_{i_{t}}$ 。

噪声分析&正确性

主要考虑的是乘法的情况。令 $\cap K^{\prime}=\left\{i_{1}, \ldots, i_{t}\right\}$ ,定义 $F_{0} \stackrel{\text { def }}{=} f_{K} f_{K^{\prime}}$ , 对于 $\in[t]$ , 定义 $F_{j}=F_{j-1} \cdot f_{i_{j}}^{-1}$ ，那么 $F_{t}=f_{K \cup K^{\prime}}$ 。

首先看到对于 $c_0$ ，有：
$\left[F_{0} \cdot c_{0}\right]_{q}=\left[\left(f_{K} \cdot c\right)\left(f_{K^{\prime}} \cdot c_{K}\right)\right]_{q}=(2 e+m)\left(2 e^{\prime}+m^{\prime}\right)$

对于 $c_{j}=[\langle\operatorname{Bit}\left(c_{j-1}\right),\mathrm{ek}_{i_{j}}\rangle]_{q}$ 来说
$\begin{aligned}\left[F_{j} \cdot c_{j}\right]_{q} &=\left[F_{j} \cdot\left\langle\operatorname{Bit}\left(c_{j-1}\right), h_{i_{j}} \widetilde{\mathbf{s}}+2 \widetilde{\mathbf{e}}+\operatorname{Pow}\left(f_{i_{j}}\right)\right\rangle\right]_{q} \\ &=\left[F_{j} \cdot\left\langle\operatorname{Bit}\left(c_{j-1}\right), h_{i_{j}} \widetilde{\mathbf{s}}\right\rangle+F_{j} \cdot\left\langle\operatorname{Bit}\left(c_{j-1}\right), 2 \widetilde{\mathbf{e}}\right\rangle+F_{j} c_{j-1} f_{i_{j}}\right]_{q} \\ &=F_{j} f_{i_{j}}^{-1} \cdot\left\langle\operatorname{Bit}\left(c_{j-1}\right), 2 g_{i_{j}} \widetilde{\mathbf{s}}\right\rangle+F_{j} \cdot\left\langle\operatorname{Bit}\left(c_{j-1}\right), 2 \widetilde{\mathbf{e}}\right\rangle+F_{j-1} c_{j-1} \end{aligned}$
得出结论：
$[F_j\cdot c_j]_q = [F_0\cdot c_0]_q + e_{mult}$

此处 $e_{mult}\le (nB)^{2N}E^2$ ，这个噪声是怎么得到的就省略了，直接看结论。

其中 $E$ 是初始噪声，在之前我们也提到过， $\leq 3(n B)^{2}$ ，因此对于 $D$ 深度的电路来说，NTRU方案的噪声为：
$\left((n B)^{2 N} E\right)^{2^{D}} \leq\left((3 n B)^{2^{D} \cdot(2 N+2)}\right)$
所以NTRU的电路深度为 $D<\log \log q-\log \log n-\log N-O(1)$ ，当我们取 $B=\operatorname{poly}(n)$ ， $N=O\left(n^{\delta}\right)$ ， $q=2^{n^{\varepsilon}}$ 时，深度为： $D<(\varepsilon-\delta) \log n-\log \log n-O(1)$ 。

从SomeWhat转换为全同态

总的来说，要将SomeWhat HE方案转换为FHE方案还是需要使用Gentry09提出的Bootstrapping方案。思路就是同态地执行解密电路：

在原本的FHE定义[BV11]中，Bootstraping的定义为：
DEFINITION $3.7$ (bootstrappable encryption scheme). Let $\mathrm{HE}$ be $\mathcal{C}$ -homomorphic, and let $f_{\text {add }}$ and $f_{\text {mult }}$ be the the augmented decryption functions of the scheme defined $a s$
$f_{\text {add }}^{c_{1}, c_{2}}(s)=\mathrm{HE} \cdot \mathrm{Dec}_{s}\left(c_{1}\right) XOR\ \mathrm{HE} . \operatorname{Dec}_{s}\left(c_{2}\right)$
and
$f_{\text {mult }}^{c_{1}, c_{2}}(s)=\mathrm{HE.Dec}_{s}\left(c_{1}\right) A N D \ \mathrm{HE.Dec}_{s}\left(c_{2}\right),$
where $c_{1}, c_{2}$ are either properly encrypted ciphertexts of the scheme, or outputs of the homomorphic evaluation function, applied to such. Then $\mathcal{E}$ is bootstrappable if
$\left\{f_{\text {add }}^{c_{1}, c_{2}}, f_{\text {mult }}^{c_{1}, c_{2}}\right\}_{c_{1}, c_{2}} \subseteq \mathcal{C}$

而本文对其进行了到MKHE下的扩展，定义如下：
Definition 3.3 (Multikey Bootstrappable Schemes). Let $\mathcal{E}=$ $\left\{\mathcal{E}^{(N)}=(\text { Keygen, Enc, Dec, Eval })\right\}_{N>0}$ be a family of multikey C-homomorphic encryption schemes, and let $f_{\text {add }}$ and $f_{\text {mult }}$ be the the augmented decryption functions of the scheme defined as
$\begin{array}{l} f_{\text {add }}^{c_{1}, c_{2}}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}\right)=\operatorname{Dec}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}, c_{1}\right) \quad X O R \quad \operatorname{Dec}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}, c_{2}\right) \\ f_{\text {mult }}^{c_{1}, c_{2}}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}\right)=\operatorname{Dec}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}, c_{1}\right) \quad A N D \quad \operatorname{Dec}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}, c_{2}\right) \end{array}$
Then $\mathcal{E}$ is bootstrappable if $\left\{f_{\text {add }}^{c_{1}, c_{2}}, f_{\text {mult }}^{c_{1}, c_{2}}\right\}_{c_{1}, c_{2}} \subseteq \mathcal{C} .$ Namely, the scheme can homomorphically evaluate $f_{\text {add }}$ and $f_{\text {mult }}$ .
但本文的MKHE的NTRU方案不能直接应用Bootstrapping算法，以为多密钥解密电路的复杂度为 $c \log{N}\log{n}$ ，其中 $c > 1$ ，而根据之前的噪声分析，本文的MKHE的电路深度仅为 $\varepsilon \log n$ ，其中 $\varepsilon<1$ 。所以需要一种增加电路深度的方法，这里采用了[BGV12]的模数缩减方法。

模数缩减

$p < q$ ,将一个 $R_q$ 中的密文 $c$ 变为 $R_p$ 中的 $c^{'}$ 。他们满足
$c]_{p}=\left[f c^{\prime}\right]_{q}(\bmod 2)$
具体方法是取 $c^{'}$ 为 $R_p$ 中最接近 $(p/q)\cdot c$ 的元素，使得 $c'\equiv c \pmod 2$ 。使得原本密文中的噪声变为 $B\cdot (p/q)$ 。

使用这样的一个模数缩减机制，对于一个深度为 $D$ 的电路，我们可以取一个递减的模数 $q_0,...,q_D$ ，在每次乘法之后进行一次模数递减。只要令 $D>D_{dec}$ ，就可以进行bootstrapping操作了。

通过模数缩减和重线性化来得到一个层级的多密钥全同态方案：

方案额外增加了一个参数 $D$ ，代表这个需要进行同态运算的电路的深度，根据深度生成 $D$ 个递减的模数 $q_0,...,q_D$ 。
在原本的方案中，我们公钥为 $h=2gf^{-1}$ ，私钥为 $f$ ，那么扩展到一个 $D$ 层的全同态加密方案后，需要生成 $D$ 个不同的公私钥对 $\left( h^{(d)},f^{(d)}\right), d\in \{0,...,D\}$ ，密文由公钥 $pk\stackrel{def}{=}h^{(0)}$ 加密，第 $d$ 层的密文由私钥 $sk^{(d)}\stackrel{def}{=}f^{(d)}$ 解密。
重线性化现在不仅要将 $f^2$ 项变为 $f$ ，同时还要进行模数缩减，也就是说，将解密密钥从 $f^{(d-1)})^2$ 变为 $f^{(d)}$ 。

方案构造：

LH.Keygen $\left(1^{\kappa}\right):$ For every $\in\{0, \ldots, D\}$ , sample $g^{(i)}, u^{(i)} \leftarrow \chi$ and set $f^{(i)}:=2 u^{(i)}+1$ so that $f^{(i)} \equiv 1(\bmod 2) .$ If $f^{(i)}$ is not invertible in $R_{q_{i}}$ , resample $u^{(i)}$ ; otherwise, let $\left(f^{(i)}\right)^{-1}$
be the inverse of $f^{(i)}$ in $R_{q} .$ Let $h^{(i)} \stackrel{\text { def }}{=}\left[2 g^{(i)}\left(f^{(i)}\right)^{-1}\right]_{q_{i}} \in R_{q_{i}}$ , and set

$\mathrm{pk} \stackrel{\text { def }}{=} h^{(0)} \in R_{q_{0}} \quad, \quad \mathrm{sk} \stackrel{\text { def }}{=} f^{(D)} \in R_{q_{D}}$

For all $\in[D]$ , sample $\widetilde{\mathbf{s}}_{\gamma}^{(i)}, \widetilde{\mathbf{e}}_{\gamma}^{(i)}, \widetilde{\mathbf{s}}_{\zeta}^{(i)}, \widetilde{\mathbf{e}}_{\zeta}^{(i)} \leftarrow \chi^{\lceil\log q\rceil}$ and compute
$\begin{array}{l} \gamma^{(i)}:=\left[h^{(i)} \widetilde{\mathbf{s}}_{\gamma}^{(i)}+2 \widetilde{\mathbf{e}}_{\gamma}^{(i)}+\operatorname{Pow}\left(f^{(i-1)}\right)\right]_{q_{i}} \in R_{q_{i}}^{\left[\log q_{i}\right\rceil} \\ \zeta^{(i)}:=\left[h^{(i)} \widetilde{\mathbf{s}}_{\zeta}^{(i)}+2 \widetilde{\mathbf{e}}_{\zeta}^{(i)}+\operatorname{Pow}\left(\left(f^{(i-1)}\right)^{2}\right)\right]_{q_{i}} \in R_{q_{i}}^{\left[\log q_{i}\right]} \end{array}$
Set ek $\stackrel{\text { def }}{=}\left\{\gamma^{(i)}, \zeta^{(i)}\right\}_{i \in[D]}$ , and output the key tuple $(p k, s k, e k)$ .

LH.Enc $(\mathrm{pk}, m):$ Sample $\leftarrow \chi .$ Output the ciphertext $e+m]_{q_{0}} \in R_{q_{0}}$ .
LH.Dec $\left(s k_{1}, \ldots, s k_{N}, c\right):$ Assume w.loo.g. that $\in R_{q_{D}}$ . Parse sk $_{i}=f_{i}$ for $\in[N]$ . Let $\mu:=\left[f_{1} \cdots f_{N} \cdot c\right]_{q_{D}} \in R_{q_{D}} .$ Output $m^{\prime}:=\mu(\bmod 2)$
LH.Eval $\left(C,\left(c_{1}, p k_{1}, e k_{1}\right), \ldots,\left(c_{\ell}, p k_{\ell}, e k_{\ell}\right)\right)$ :
- Given two ciphertexts $\in R_{q_{d}}$ with corresponding public-key sets $K^{\prime}$ , compute $c_{0}=\left[c+c^{\prime}\right]_{q_{d}} \in R_{q_{d}}$ and let $\cup K^{\prime}=\left\{\mathrm{pk}_{i_{1}}, \ldots, \mathrm{pk}_{i_{t}}\right\} .$ For $\ldots, r$ , parse ek $_{i_{j}}=$ $\left\{\gamma_{i_{j}}^{(\delta)}, \boldsymbol{\zeta}_{i_{j}}^{(\delta)}\right\}_{\delta \in[D]}$ and compute
$c_{j}=\left[\left\langle\operatorname{Bit}\left(c_{j-1}\right), \gamma_{i_{j}}^{(d)}\right\rangle\right]_{q} \in R_{q_{d}}$

Finally, reduce the modulus: let $c_{\text {add }}$ be the integer vector closest to $\left(q_{d+1} / q_{d}\right) \cdot c_{t}$ such that $c_{\mathrm{add}} \equiv c_{t}(\bmod 2) .$ Output $c_{\mathrm{add}} \in R_{q_{d+1}}$ as an encryption of the sum of the underlying messages. Output the set $K_{\text {add }} \stackrel{\text { def }}{=} K \cup K^{\prime}$ as its corresponding public-key set.
- Given two ciphertexts $\in R_{q_{d}}$ with corresponding public-key sets $K^{\prime}$ , compute $c_{0}=\left[c+c^{\prime}\right]_{q_{d}} \in R_{q_{d}}$ and let $\cup K^{\prime}=\left\{\mathrm{pk}_{i_{1}}, \ldots, \mathrm{pk}_{i_{t}}\right\} .$ For $\ldots, r$ , parse ek $_{i_{j}}=$
  $\left\{\gamma_{i_{j}}^{(\delta)}, \boldsymbol{\zeta}_{i_{j}}^{(\delta)}\right\}_{\delta \in[D]}$ and compute $c_{j}$ as follows:
  $*$ If $\mathrm{pk}_{i_{j}} \in K \cap K^{\prime}$ , let
$c_{j}=\left[\left\langle\operatorname{Bit}\left(c_{j-1}\right), \gamma_{i_{j}}^{(d)}\right\rangle\right]_{q} \in R_{q_{d}}$

Otherwise, let
$c_{j}=\left[\left\langle\operatorname{Bit}\left(c_{j-1}\right), \boldsymbol{\zeta}_{i_{j}}^{(d)}\right\rangle\right]_{q} \in R_{q_{d}}$
Finally, reduce the modulus: let $c_{\text {mult }}$ be the integer vector closest to $\left(q_{d+1} / q_{d}\right) \cdot c_{t}$ such that $c_{\text {mult }} \equiv c_{t}(\bmod 2)$ . Output $c_{\text {mult }} \in R_{q_{d+1}}$ as an encryption of the product of the underlying messages. Output the set $K_{\text {mult }} \stackrel{\text { def }}{=} K \cup K^{\prime}$ as its corresponding public-key set.

这样的方案满足如下性质：

Lemma 3.6. Let $\chi$ is a $B$ -bounded distribution for $B=\operatorname{poly}(n)$ , let $q_{0}=2^{n^{\varepsilon}}$ for $\varepsilon \in(0,1)$ and for $\in[D]$ , let $q_{d-1} / q_{d}=8 n(n B)^{2 N+2} .$ Then the encryption scheme $\mathcal{E}_{\mathrm{LH}}=($ LH.Keygen, LH.Enc, LH.Dec, LH.Eval) described above is multikey homomorphic for $N$ keys and circuits of depth $D$ as long as $D=O\left(n^{\varepsilon} / \log n\right)$

证明过程省略，引理3.6也就表示，可以通过改变n的大小来对增加深度 $D$ 。

通过MKHE构造一个on-the-fly多方安全计算

基本方案

Let $\left\{\mathcal{E}^{(N)}=(\text { Keygen, Enc, Dec, Eval })\right\}_{N>0}$ be a multikey fully-homomorphic family of encryption schemes. The following construction is an on-the-fly MPC protocol secure against semi-malicious adversaries. The protocol is defined as follows:

Step 1: For $\in[U]$ , party $P_{i}$ samples a key tuple $\left(\mathrm{pk}_{i}, \mathrm{sk}_{i}, \mathrm{ek}_{i}\right) \leftarrow$ Keygen $\left(1^{\kappa}\right)$ and encrypts its input $x_{i}$ under $\mathrm{pk}_{i}: c_{i} \leftarrow \operatorname{Enc}\left(\mathrm{pk}_{i}, x_{i}\right) .$ It sends $\left(\mathrm{pk}_{i}, \mathrm{ek}_{i}, c_{i}\right)$ to the server $S$ .
At this point a function $F$ , represented as a circuit $C$ , has been selected on inputs $\left\{x_{i}\right\}_{i \in V}$ for some $\subseteq U$ . Let $N = ∣ V ∣ .$ For ease of notation, assume w.l.o.g. that $V = [N] .$ The parties proceed as follows.
Step 2: The server $S$ computes $c:=\operatorname{Eval}\left(C,\left(c_{1}, \mathrm{pk}_{1}, \mathrm{ek}_{1}\right), \ldots,\left(c_{N}, \mathrm{pk}_{N}, \mathrm{ek}_{N}\right)\right)$ and broadcasts $c$ to
parties $P_{1}, \ldots, P_{N}$
Step 3: The parties $P_{1}, \ldots, P_{N}$ run a secure MPC protocol ${\Pi_{\mathrm{DEC}} }^\mathrm{SM}$ to compute the function $g_{c}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}\right) \stackrel{\text { def }}{=} \operatorname{Dec}\left(\mathrm{sk}_{1}, \ldots, \mathrm{sk}_{N}, c\right)$

安全性

如上述方法构造的MPC方案在半诚实敌手模型下安全。使用混合模型证明安全性

Hybrid 0: 真实世界

Hybrid 1: 将step3中的 $\Pi_{\mathrm{DEC}}^{SM}$ 改为模拟器 $\mathcal{S}_{\Pi_{\mathrm{DEC}}}^{\mathrm{SM}}$ ，和 $\mathcal{A}^{\mathrm{SM}}$ 交互。

Hybrid 2: 将 $\mathcal{S}_{\Pi_{\mathrm{DEC}}}^{\mathrm{SM}}$ 返回的 $\operatorname{Dec}\left(\widetilde{\mathrm{s}} \mathrm{k}_{1}, \ldots, \widetilde{\mathrm{sk}}_{N}, c\right)$ 改为返回 $f\left(\widetilde{x}_{1}, \ldots, \widetilde{x}_{N}\right)$

Hybrid 3.k: 将前k个密文改为 $E n c (0)$ 。返回 $f\left(\widetilde{x}_{1}, \ldots, \widetilde{x}_{N}\right)$

首先根据MPC方案的安全性，0和1不可区分，1和2的不可区分在于没改变任何输入输出。2就相当于3.0，3.k-1和3.k的不可区分性来自于加密方案的语义安全。

On-the-fly multiparty computation on the cloud via multikey fully homomorphic encryption

文章目录

摘要

引言