参考文献：

[ABY] Demmler D, Schneider T, Zohner M. ABY-A framework for efficient mixed-protocol secure two-party computation[C]//NDSS. 2015.
[ABY3] Mohassel P, Rindal P. ABY3: A mixed protocol framework for machine learning[C]//Proceedings of the 2018 ACM SIGSAC conference on computer and communications security. 2018: 35-52.
[ABY2.0] Patra A, Schneider T, Suresh A, et al. {ABY2. 0}: Improved {Mixed-Protocol} Secure {Two-Party} Computation[C]//30th USENIX Security Symposium (USENIX Security 21). 2021: 2165-2182.
[Beaver91] D. Beaver. Effificient multiparty protocols using circuit randomization. In CRYPTO, 1991.
[ALSM13] Asharov G, Lindell Y, Schneider T, et al. More efficient oblivious transfer and extensions for faster secure computation[C]//Proceedings of the 2013 ACM SIGSAC conference on Computer & communications security. 2013: 535-548.
[RSS19] Rathee D, Schneider T, Shukla K K. Improved multiplication triple generation over rings via RLWE-based AHE[C]//International Conference on Cryptology and Network Security. Cham: Springer International Publishing, 2019: 347-359.

文章目录

混合 MPC
乘法协议
ABY 转换

混合 MPC

首先汇总下以 Arithmetic - Boolean - Yao 为名的三种混合协议：

著名的 ABY 是第一个混合多种 MPC 协议的安全多方计算协议。不过由于 Yao’s GC 的限制，它仅仅是个半诚实安全的 2PC 协议。
之后的 ABY3 是一种恶意安全的 3PC 协议。它使用了 Yao’s GC 的三方扩展，两个 Garbler，一个 Evaluator。由于三方协议计算 AND 门不需要 Beaver Triple，因此计算速度比 ABY 快很多。
而 ABY2.0 则是对 ABY 的通信性能做了改进，它也是半诚实安全的 2PC 协议。

它们的基本流程都是：

利用 Sharing protocol，将输入值分享给各方
利用 SS 的 Linear Homomorphic 性质，以及 Multiplication protocol，计算给定的函数（期间做 A-B-Y 之间的 shares 转换）
使用 Reconstruction protocol，从 shares 恢复出输出值

乘法协议

使用 Beaver Triple 计算乘法门，给定元组 $(\delta_a,\delta_b,\delta_{ab}=\delta_a\delta_b)$ ，满足关系
$\begin{aligned} ab &= (a+\delta_a-\delta_a)(b+\delta_b-\delta_b)\\ &= (a+\delta_a)(b+\delta_b) - (a+\delta_a)\delta_b - (b+\delta_b)\delta_a + \delta_{ab} \end{aligned}$

简记 $\Delta_a=a+\delta_a, \Delta_b=b+\delta_b$ 。参与方 $P_i,i\in \{0,1\}$ 持有 $([a]_i, [\delta_a]_i),([b]_i, [\delta_b]_i), [\delta_{ab}]_i$ 这些 shares，为了计算 $c = ab$ 的 shares，使用 Beaver 乘法协议：

$P_i$ 计算 $[\Delta_a]_i = [a]_i+[\delta_a]_i$ 以及 $[\Delta_b]_i = [b]_i+[\delta_b]_i$
$P_i$ 互相发送 $[\Delta_a]_i$ 和 $[\Delta_b]_i$ 给对方（四个元素）
$P_i$ 重构出 $\Delta_a=[\Delta_a]_0+[\Delta_a]_1$ 和 $\Delta_a=[\Delta_a]_0+[\Delta_a]_1$
$P_i$ 计算 $[c]_i = i \cdot \Delta_a\Delta_b - \Delta_a[\delta_b]_i - \Delta_b[\delta_a]_i + [\delta_{ab}]_i$
$P_i$ 持有了 $c]_i$ ，容易验证 $c]_0+[c]_1=ab=c$

ABY2.0 观察到 $\Delta_a,\Delta_b$ 最终是明文信息，因此修改 shares 的格式，从原本的 $([a]_i, [\delta_a]_i)$ 变为了 $(\Delta_a,[\delta_a]_i)$ 。容易验证：
$\Delta_a - [\delta_a]_0 - [\delta_a]_1\\ c_1 \cdot (\Delta_a,[\delta_a]_i) + c_2 \cdot (\Delta_b,[\delta_b]_i) = (\Delta_{c_1a+c_2b}, [\delta_{c_1a+c_2b}]_i)$

因此定义 $\langle a\rangle_i := (\Delta_a,[\delta_a]_i)$ 是新的 shares 格式，它依然是线性同态的。它对应的 Sharing Protocol 为， $P_i$ 随机采样 $[\delta_a]_0,[\delta_a]_1$ ，计算 $\Delta_a=a+[\delta_a]_0+[\delta_a]_1$ ，自己持有 $\langle a\rangle_i = (\Delta_a,[\delta_a]_i)$ ，将 $\langle a\rangle_{1-i} = (\Delta_a,[\delta_a]_{1-i})$ 发送给对方。

参与方 $P_i,i\in \{0,1\}$ 持有 $(\Delta_a, [\delta_a]_i),(\Delta_b, [\delta_b]_i), [\delta_{ab}]_i$ 这些 shares，为了计算 $c = ab$ 的 shares，使用 ABY2.0 乘法协议：

$P_i$ 独立生成随机数 $[\delta_c]_i$ （作为 Sharing 协议的一部分）
$P_i$ 计算 $[\Delta_c]_i = i \cdot \Delta_a\Delta_b - \Delta_a[\delta_b]_i - \Delta_b[\delta_a]_i + [\delta_{ab}]_i + [\delta_c]_i$
$P_i$ 互相发送 $[\Delta_c]_i$ 给对方（两个元素）
$P_i$ 重构出 $\Delta_c = [\Delta_c]_0 + [\Delta_c]_1$
$P_i$ 持有了 $\langle c \rangle_i = (\Delta_c, [\delta_c]_i)$ ，容易验证 $\Delta_c-[\delta_c]_0-[\delta_c]_1=ab=c$

Beaver 和 ABY2.0 对比如下：

在这里插入图片描述

上述的乘法协议在算术电路和布尔电路中都奏效，假设消息空间是 $\mathbb Z_{2^l}$ ，那么在 Online 阶段，ABY2.0 乘法门的通信开销仅为 $2 l$ 比特，对比 Beaver 的开销为 $4 l$ 比特。

对于 Setup 阶段，ABY2.0 的开销没变，因为它依然要生成 Beaver Triple。这可以通过 C-OT 或者 AHE 实现。

由于 $\delta_{ab} = ([\delta_a]_0+[\delta_a]_1)([\delta_b]_0+[\delta_b]_1)$ 可以拆分出四项加和，其中两项 $[\delta_a]_i[\delta_b]_i$ 可以本地计算，因此我们只需实现交叉项 $[\delta_a]_i[\delta_b]_{1-i}$ 的 shares 计算。
C-OT based [ALSM13]，
1. $P_i$ 作为发送方，定义相关函数 $f_j(x)=x+2^j[\delta_a]_i$ ，输入 $m_{j,0}=r_j, m_{j,1}=f(r_j))$ ，
2. $P_{1-i}$ 作为接收方，根据 $[\delta_b]_{1-i}$ 的第 $j$ 比特 $b_j$ 做出选择，获得 $m_{j,b_j}$
3. $P_i$ 持有 $[d]_i = -\sum_jr_j$ ， $P_{1-i}$ 持有 $[d]_{1-i} = \sum_j m_{j,b_j}$ ，容易验证 $[d]_i+[d]_{1-i} = [\delta_a]_i[\delta_b]_{1-i}$
AHE based [RSS19]，
1. $P_0$ 生成公钥 $p k$ ，将 $[\delta_a]_0, [\delta_b]_0$ 加密后发送给 $P_1$
2. $P_1$ 生成随机数 $r$ ，同态计算线性函数 $[\delta_a]_0[\delta_b]_1 + [\delta_a]_1[\delta_b]_0 - r$
3. $P_1$ 发送密文 $E (v)$ ， $P_0$ 解密得到 $v$
4. $P_0$ 持有 $d]_0=v$ ， $P_1$ 持有 $d]_1=r$ ，容易验证 $[d]_0+[d]_1=[\delta_a]_0[\delta_b]_1 + [\delta_a]_1[\delta_b]_0$