中國隱私保護(hù)計算技術(shù)研究報告

1、目錄 HYPERLINK l _bookmark3 一、隱私保護(hù)計算 6 HYPERLINK l _bookmark4 （一）隱私保護(hù)計算概念 6 HYPERLINK l _bookmark5 （二）隱私保護(hù)計算架構(gòu) 6 HYPERLINK l _bookmark8 （三）隱私保護(hù)計算目標(biāo) 7 HYPERLINK l _bookmark11 （四）隱私保護(hù)計算價值 8 HYPERLINK l _bookmark13 二、隱私保護(hù)計算關(guān)鍵技術(shù) 10 HYPERLINK l _bookmark14 （一）聯(lián)邦學(xué)習(xí) 10 HYPERLINK l _bookmark28 （二）安全多方計算 17 HY

2、PERLINK l _bookmark42 （三）機(jī)密計算 29 HYPERLINK l _bookmark52 （四）差分隱私 35 HYPERLINK l _bookmark59 （五）同態(tài)加密 38 HYPERLINK l _bookmark64 三、隱私保護(hù)計算關(guān)鍵技術(shù)綜合評價 40 HYPERLINK l _bookmark66 四、隱私保護(hù)計算應(yīng)用案例 44 HYPERLINK l _bookmark67 （一）金融領(lǐng)域 44 HYPERLINK l _bookmark69 （二）政務(wù)領(lǐng)域 45 HYPERLINK l _bookmark71 （三）醫(yī)療領(lǐng)域 46 HYPERLIN

3、K l _bookmark74 五、 隱私保護(hù)計算發(fā)展展望 48圖 目 錄 HYPERLINK l _bookmark7 圖 1隱私保護(hù)計算參考架構(gòu) 7 HYPERLINK l _bookmark10 圖 2面向數(shù)據(jù)生命周期的隱私計算技術(shù) 8 HYPERLINK l _bookmark17 圖 3基于聯(lián)邦學(xué)習(xí)的語言預(yù)測模型更新 11 HYPERLINK l _bookmark19 圖 4橫向聯(lián)邦學(xué)習(xí) 13 HYPERLINK l _bookmark20 圖 5縱向聯(lián)邦學(xué)習(xí) 13 HYPERLINK l _bookmark21 圖 6聯(lián)邦遷移學(xué)習(xí) 14 HYPERLINK l _bookmark

4、22 圖 7聯(lián)邦學(xué)習(xí)參考架構(gòu) 14 HYPERLINK l _bookmark31 圖 8安全多方計算示意圖 18 HYPERLINK l _bookmark35 圖 92 取 1 不經(jīng)意傳輸協(xié)議 22 HYPERLINK l _bookmark37 圖 10AND 門混淆電路示意圖 23 HYPERLINK l _bookmark38 圖 11安全多方計算參考架構(gòu) 24 HYPERLINK l _bookmark46 圖 12Intel SGX 基本原理 31 HYPERLINK l _bookmark49 圖 13Rust SGX 架構(gòu)示意圖 30 33 HYPERLINK l _book

5、mark51 圖 14消息傳遞接口示意圖 34 HYPERLINK l _bookmark68 圖 15反欺詐聯(lián)邦學(xué)習(xí)示意圖 45 HYPERLINK l _bookmark70 圖 16疑犯信息查詢示意圖 46 HYPERLINK l _bookmark73 圖 17新冠人工智能聯(lián)合診斷示意圖 48表 目 錄 HYPERLINK l _bookmark40 表 1通用安全多方計算實施方案對比 27 HYPERLINK l _bookmark65 表 2關(guān)鍵技術(shù)綜合評價表 43隱私保護(hù)計算技術(shù)研究報告2019 年 10 月，黨的十九屆四中全會決議通過的中共中央關(guān)于堅持和完善中國特色社會主義制度

6、 推進(jìn)國家治理體系和治理能力現(xiàn)代化若干重大問題的決定（以下簡稱決定），首次增列“數(shù)據(jù)”為生產(chǎn)要素，要求健全勞動、資本、土地、知識、技術(shù)、管理、數(shù)據(jù)等生產(chǎn)要素由市場評價貢獻(xiàn)、按貢獻(xiàn)決定報酬的機(jī)制。縱觀社會經(jīng)濟(jì)發(fā)展，從以土地、勞動力為生產(chǎn)要素的農(nóng)業(yè)經(jīng)濟(jì)時代，到以資本、技術(shù)為生產(chǎn)要素的工業(yè)經(jīng)濟(jì)時代，演進(jìn)至今以數(shù)據(jù)生產(chǎn)要素為核心推動力的數(shù)字經(jīng)濟(jì)時代，生產(chǎn)要素形態(tài)的演進(jìn)具有鮮明的社會經(jīng)濟(jì)發(fā)展時代特征。隨著經(jīng)濟(jì)的發(fā)展和進(jìn)步，由于自然資源的不可再生性、人口紅利逐漸弱化、技術(shù)貢獻(xiàn)逐漸乏力等因素導(dǎo)致傳統(tǒng)生產(chǎn)要素對經(jīng)濟(jì)增長的拉動作用逐漸減弱，全要素生產(chǎn)率增長乏力。而數(shù)據(jù)要素打破了原有自然資源的有限性，實現(xiàn)可復(fù)制、

7、可共享，為經(jīng)濟(jì)持續(xù)增長釋放了無限的潛能。將數(shù)據(jù)增列為生產(chǎn)要素，是對數(shù)據(jù)生產(chǎn)價值、市場貢獻(xiàn)以及歷史地位的高度肯定。為落實黨的十九屆四中全會關(guān)于決定的重大決策部署，2020年 4 月，中共中央、國務(wù)院出臺關(guān)于構(gòu)建更加完善的要素市場化配置體制機(jī)制的意見（以下簡稱意見）。作為我國首份要素市場化配置的文件，意見圍繞數(shù)據(jù)生產(chǎn)要素，強(qiáng)調(diào)從推進(jìn)政府?dāng)?shù)據(jù)開放共享、提升社會數(shù)據(jù)資源價值、加強(qiáng)數(shù)據(jù)資源整合和安全保護(hù)三方面加快培育數(shù)據(jù)要素市場。意見對數(shù)據(jù)生產(chǎn)要素市場培育的理論創(chuàng)新和方法論指導(dǎo)，對于全面釋放數(shù)字紅利、助推國家搶抓數(shù)字經(jīng)濟(jì)全球競爭制高點(diǎn)具有重大戰(zhàn)略意義。由希捷公司資助，IDC 發(fā)布的數(shù)據(jù)時代 2025白皮

8、書顯示（2020年 5 月數(shù)據(jù)更新），相較于歐洲、中東、非洲、美國、亞太（含日本，不含中國）以及全球其他區(qū)域，在未來 5 年我國的數(shù)據(jù)量年平均增長率將達(dá)到 26%，預(yù)計到 2022 年將擁有全球最大的數(shù)據(jù)圈（datasphere） HYPERLINK l _bookmark0 5。如何加快培育數(shù)據(jù)要素市場成型，激發(fā)數(shù)據(jù)要素市場活力，充分發(fā)揮數(shù)據(jù)生產(chǎn)要素對其他要素的倍增作用，亟待多方協(xié)同努力開拓。數(shù)據(jù)要素的流通共享和核心價值挖掘是數(shù)據(jù)要素市場培育的核心內(nèi)容，必須在保證隱私安全的前提下實現(xiàn)有效信息共享，在兼顧其它生產(chǎn)要素實現(xiàn)資源統(tǒng)籌優(yōu)化、提高資源配置效率的同時，反哺農(nóng)業(yè)經(jīng)濟(jì)和工業(yè)經(jīng)濟(jì)，實現(xiàn)資源配置

9、最優(yōu)組合服務(wù)社會，孕育更大的數(shù)據(jù)價值，為數(shù)字經(jīng)濟(jì)繁榮創(chuàng)造條件。從當(dāng)下數(shù)據(jù)流通的實踐來看，傳統(tǒng)基于所有權(quán)轉(zhuǎn)讓的交易模式仍然受困于交易形態(tài)、數(shù)據(jù)確權(quán)、數(shù)據(jù)定價等問題而無法規(guī)模化落地，依托于隱私保護(hù)計算的數(shù)據(jù)協(xié)同應(yīng)用平臺的服務(wù)模式更為可行。當(dāng)前，仍然有三大因素制約數(shù)據(jù)流通與協(xié)作。一是 “數(shù)據(jù)孤島”現(xiàn)象普遍存在；二是全球數(shù)據(jù)合規(guī)監(jiān)管日趨嚴(yán)格;三是隱私泄露事件頻發(fā)導(dǎo)致信任鴻溝?！皵?shù)據(jù)孤島”現(xiàn)象普遍存在。隨著信息化、智能化進(jìn)程的不斷推進(jìn)，“數(shù)據(jù)孤島”作為一個全球性問題已成為制約數(shù)據(jù)核心價值挖掘的瓶頸之一。“數(shù)據(jù)孤島”的產(chǎn)生與企業(yè)的集團(tuán)化發(fā)展模式和信息化的“需求優(yōu)先”建設(shè)思路有著必然的聯(lián)系，各子公司、各部門

10、的數(shù)據(jù)5 IDC: Data Age 2025The Digitization of the World From Edge to Core.形成彼此相互“獨(dú)立”無法互通關(guān)聯(lián)的一座座“孤島”?！皵?shù)據(jù)孤島”的獨(dú)立性不僅僅體現(xiàn)在物理數(shù)據(jù)存儲和維護(hù)方面，更體現(xiàn)在企業(yè)間、部門間由于業(yè)務(wù)背景不同造成對數(shù)據(jù)的定義和使用差異化的邏輯性 方面。“數(shù)據(jù)孤島”的出現(xiàn)使得數(shù)據(jù)共享和流通協(xié)作受阻，無法保證 數(shù)據(jù)的一致性和準(zhǔn)確性，對于數(shù)據(jù)的核心價值挖掘造成了一定的阻礙。此外，由于數(shù)據(jù)要素的低成本可復(fù)制性，使其具有明顯的規(guī)模經(jīng)濟(jì)效 應(yīng)，導(dǎo)致數(shù)據(jù)要素在資產(chǎn)化過程中極易發(fā)生壟斷。如何打破產(chǎn)業(yè)鏈上 下游既有的數(shù)據(jù)壁壘，有效解決

11、數(shù)字市場的競爭與壟斷問題，充分激 發(fā)數(shù)據(jù)要素價值、共享數(shù)字紅利，實現(xiàn)數(shù)字經(jīng)濟(jì)時代的“耕者有其田”，已然成為社會各界關(guān)注的焦點(diǎn)。全球合規(guī)監(jiān)管日趨嚴(yán)格。2018 年 5 月 25 日，歐盟通用數(shù)據(jù)保護(hù)條例（General Data Protection Regulation,GDPR）正式生效。為充分實現(xiàn)個人數(shù)據(jù)安全，GDPR 圍繞個人數(shù)據(jù)處理行為組織者的義務(wù)主體和個人數(shù)據(jù)權(quán)利主體兩方面搭建個人數(shù)據(jù)保護(hù)框架。此外， GDPR 也憑借其極高的域外適用效力，被稱為史上“最嚴(yán)格”的數(shù)據(jù)保護(hù)管理條例備受全球關(guān)注。GDPR 的實施不僅向世界宣示了歐盟肩負(fù)重建數(shù)字經(jīng)濟(jì)時代隱私保護(hù)新秩序的雄心和決心，對世界各國

12、關(guān)于隱私保護(hù)監(jiān)管框架的構(gòu)建與升級產(chǎn)生了深遠(yuǎn)的影響，也預(yù)示著隱私問題已切實成為懸在頭上的“達(dá)摩克利斯之劍”。在 GDPR 正式生效一個月后，美國加利福尼亞州頒布了2018 加利福尼亞州消費(fèi)者隱私法（California Consumer Privacy Act of 2018，CCPA），并于 2020年 1 月 1 日正式實施。相較于GDPR，CCPA 在倡導(dǎo)對個人數(shù)據(jù)隱私被動防御和主動實施方面有著極大的相似性。但在個人信息概念界定、個人信息主體權(quán)利的豐富程度、個體意愿表達(dá)、出于利益平衡的數(shù)據(jù) 合理應(yīng)用等方面都體現(xiàn)出了較大的差異性。如 CCPA 對個人信息的收 集使用采取“默示同意”（opt-

13、out）模式，而非 GDPR 的“明示同意”（opt-in）模式。2020 年 6 月 28 日，第十三屆全國人大常委會第二十次會議初次審議了中華人民共和國數(shù)據(jù)安全法（草案）（以下簡稱數(shù)據(jù)安全法（草案）。數(shù)據(jù)安全法（草案）貫徹落實總體國家安全觀，確立了數(shù)據(jù)安全保護(hù)的各項基本制度，堅持安全與發(fā)展并重，鼓勵與促進(jìn)數(shù)據(jù)依法合規(guī)的有效利用，促進(jìn)以數(shù)據(jù)為關(guān)鍵生產(chǎn)要素的數(shù)字經(jīng)濟(jì)發(fā)展。2020 年 10 月 21 日，中華人民共和國個人信息保護(hù)法（草案）（以下簡稱個人信息保護(hù)法（草案）公布并公開征求社會公眾意見。個人信息保護(hù)法（草案）圍繞總則、個人信息處理規(guī)則、個人信息跨境提供的規(guī)則、個人在個人信息處理活動

14、中的權(quán)利、個人信息處理者的義務(wù)、履行個人信息保護(hù)職責(zé)的部門、法律責(zé)任和附則等多個層面設(shè)計和建構(gòu)個人信息保護(hù)的立法框架。日趨嚴(yán)格的隱私保護(hù)監(jiān)管一方面促進(jìn)了數(shù)據(jù)權(quán)利主體和數(shù)據(jù)處理行為組織者的隱私保護(hù)意識的覺醒，但同時也加重了企業(yè)對數(shù)據(jù)流通與協(xié)作合法合規(guī)的擔(dān)憂。隱私泄露事件頻發(fā)導(dǎo)致信任鴻溝。2017 年，英國期刊經(jīng)濟(jì)學(xué) 人（The Economist）發(fā)表封面文章稱數(shù)據(jù)已經(jīng)取代“石油” HYPERLINK l _bookmark1 6成 為當(dāng)今世界最有價值的資源，將數(shù)據(jù)的重要性提到了無與倫比的高度。6 The Economist: Regulating the Internet Giants-The

15、 Worlds Most Valuable Resource Is No Longer Oil, But Data.基于對數(shù)據(jù)經(jīng)濟(jì)價值的高度認(rèn)可，以及快速實現(xiàn)商業(yè)變現(xiàn)的盲目追逐，缺乏隱私保護(hù)的數(shù)據(jù)“野蠻掘金”活動日益猖獗，對于個人隱私的侵 犯無處不在。2018 年 3 月，數(shù)據(jù)分析公司劍橋分析（Cambridge Analytica）被爆違規(guī)竊取 Facebook 用戶數(shù)據(jù)并將之不當(dāng)應(yīng)用于政治 廣告投放和大選營銷，實現(xiàn)了以經(jīng)濟(jì)利益為根本的政治目的?！皠?分析”事件后，美國聯(lián)邦貿(mào)易委員會（Federal Trade Commission，F(xiàn)TC）重啟了對Facebook 是否違反“2012 和

16、解令”的調(diào)查，而 Facebook 也 因未采取充分的隱私保護(hù)機(jī)制，與美國聯(lián)邦貿(mào)易委員會達(dá)成彼時罰金 最高的 50 億美元和解協(xié)議 HYPERLINK l _bookmark2 7。隨著萬物互聯(lián)愿景的逐步實現(xiàn)，數(shù)據(jù)作 為人類與設(shè)備間的橋梁作用逐步顯現(xiàn)，數(shù)據(jù)間的關(guān)聯(lián)程度日漸增強(qiáng)，單點(diǎn)數(shù)據(jù)泄露事件的發(fā)生，極易被級聯(lián)放大，足以引起一場“多米諾 骨牌”效應(yīng)的連鎖危機(jī)。在隱私意識逐步覺醒和合規(guī)監(jiān)管日趨嚴(yán)格的 大背景下，頻發(fā)的隱私泄露事件進(jìn)一步打擊了社會各界對數(shù)據(jù)流通與 協(xié)作的隱私保護(hù)信心。數(shù)據(jù)價值挖掘和隱私保護(hù)并非一場零和博弈，它們有著促進(jìn)數(shù)字經(jīng)濟(jì)發(fā)展的共同理想和合作共贏的利益訴求。片面的共享集中及不切

17、實際的隱私期待極易使得數(shù)據(jù)價值挖掘陷入“囚徒困境”。如何打破 “數(shù)據(jù)孤島”壁壘，建立數(shù)據(jù)流通與協(xié)作的隱私保護(hù)信心，以更加彈性柔軟的方式促進(jìn)法律監(jiān)管“硬制度”的“軟著陸”，實現(xiàn)數(shù)據(jù)價值挖掘和隱私保護(hù)的正和博弈，隱私保護(hù)計算為此提供了行之有效的解決之道。7 FTC Imposes $5 Billion Penalty and Sweeping New Privacy Restrictions on Facebook. https HYPERLINK /news-events/press-releases/2019/07/ftc-imposes-5-billion-penalty-sweeping-

18、new-privacy-restr :/news-events/press-releases/2019/07/ftc-imposes-5-billion-penalty-sweeping-new-privacy-restr ictions一、隱私保護(hù)計算（一）隱私保護(hù)計算概念隱私保護(hù)計算（Privacy-Preserving Computation）近年來被提出，是指在提供隱私保護(hù)的前提下，實現(xiàn)數(shù)據(jù)價值挖掘的技術(shù)體系 HYPERLINK l _bookmark6 8。面對數(shù)據(jù)計算的參與方或其他意圖竊取信息的攻擊者，隱私保護(hù)計算技術(shù)能夠?qū)崿F(xiàn)數(shù)據(jù)處于加密狀態(tài)或非透明（Opaque）狀態(tài)下的計算，以

19、達(dá)到各參與方隱私保護(hù)的目的 8。隱私保護(hù)計算并不是一種單一的技術(shù)，它是一套包含人工智能、密碼學(xué)、數(shù)據(jù)科學(xué)等眾多領(lǐng)域交叉融合的跨學(xué)科技術(shù)體系。隱私保護(hù)計算能夠保證滿足數(shù)據(jù)隱私安全的基礎(chǔ)上，實現(xiàn)數(shù)據(jù)“價值”和“知識”的流動與共享，真正做到“數(shù)據(jù)可用不可見”。（二）隱私保護(hù)計算架構(gòu)隱私保護(hù)計算架構(gòu)可抽象為圖 1。在隱私保護(hù)計算參考架構(gòu)中，主要有數(shù)據(jù)方、計算方和結(jié)果方三類角色。數(shù)據(jù)方是指為執(zhí)行隱私保護(hù)計算過程提供數(shù)據(jù)的組織或個人；計算方是指為執(zhí)行隱私保護(hù)計算過程提供算力的組織或個人；結(jié)果方是指接收隱私保護(hù)計算結(jié)果的組織或個人。為實現(xiàn)數(shù)據(jù)資源的豐富、升維以及模型的智能化應(yīng)用，在實際部署中參與實體至少為

20、2 個，每個參與實體可以承擔(dān)數(shù)據(jù)方、計算方和結(jié)果方中的一個或多個角色。例如在P2P 的對等網(wǎng)絡(luò)架構(gòu)中，數(shù)據(jù)方同時承擔(dān)了計算方和結(jié)果方的角色。8 UN Handbook on Privacy-Preserving Computation Techniques.原始數(shù)據(jù)2交互1數(shù)據(jù)634計算 75結(jié)果數(shù)據(jù)方計算方結(jié)果方圖 1隱私保護(hù)計算參考架構(gòu)（三）隱私保護(hù)計算目標(biāo)根據(jù)圖 1，隱私保護(hù)計算過程中主要存在 7 個隱私風(fēng)險點(diǎn) 8：數(shù)據(jù)在數(shù)據(jù)方的靜態(tài)存儲風(fēng)險；數(shù)據(jù)從數(shù)據(jù)方傳輸至計算方的傳輸風(fēng)險；數(shù)據(jù)在計算方計算時的隱私風(fēng)險；數(shù)據(jù)在計算方計算后的隱私風(fēng)險；計算結(jié)果在計算方的靜態(tài)存儲風(fēng)險；計算結(jié)果從計算方傳

21、輸至結(jié)果方的傳輸風(fēng)險；計算結(jié)果在結(jié)果方的靜態(tài)存儲風(fēng)險。數(shù)據(jù)隱私計算技術(shù)廣義上來說是面向隱私信息全生命周期的隱私保護(hù)計算理論和方法 HYPERLINK l _bookmark9 9。但在數(shù)據(jù)傳輸和數(shù)據(jù)存儲環(huán)節(jié)的隱私保護(hù)技術(shù)已相對成熟，如 SM2、SM3、SM4、RSA、SHA2、AES 以及SSL/TLS等（如圖 2 所示）。故本報告提出的隱私保護(hù)計算則重點(diǎn)關(guān)注數(shù)據(jù)計算過程和數(shù)據(jù)計算結(jié)果的隱私安全問題。9 李鳳華, 李暉, 賈焰,等. 隱私計算研究范疇及發(fā)展趨勢J. 通信學(xué)報, 2016, 37(04):1-11.生命周期相關(guān)技術(shù)數(shù)據(jù)存儲SM2、SM3、 SM4、RSA、 SHA2、AES、數(shù)據(jù)

22、傳輸SM2、SM3、 SM4、RSA、 AES、SHA2、SSL/TLS、數(shù)據(jù)計算過程MPC(GC、SS)、FL OT、FHE、TEE、Paillier、ElGarmal、數(shù)據(jù)計算結(jié)果DP、圖 2面向數(shù)據(jù)生命周期的隱私計算技術(shù)隱私保護(hù)計算的目標(biāo)是在完成計算任務(wù)的基礎(chǔ)上，實現(xiàn)數(shù)據(jù)計算過程和數(shù)據(jù)計算結(jié)果的隱私保護(hù)。數(shù)據(jù)計算過程的隱私保護(hù)指參與方在整個計算的過程中難以得到除計算結(jié)果之外的額外信息。數(shù)據(jù)計算結(jié)果的隱私保護(hù)指參與方難以基于計算結(jié)果逆推原始輸入數(shù)據(jù)和隱私信息。（四）隱私保護(hù)計算價值在消除“數(shù)據(jù)孤島”方面?！皵?shù)據(jù)孤島”的出現(xiàn)是企業(yè)集團(tuán)化發(fā)展和信息化進(jìn)程的“必然產(chǎn)物”，但是越來越多的企業(yè)和組織

23、需要與產(chǎn)業(yè)上下游的業(yè)務(wù)伙伴通過數(shù)據(jù)流通實現(xiàn)深度合作，以此來提升決策能力，獲取競爭優(yōu)勢。物理和邏輯上的孤立性疊加日漸趨嚴(yán)的合規(guī)監(jiān)管和隱私保護(hù)意識的覺醒，使得數(shù)據(jù)價值釋放舉步維艱。而以聯(lián)邦學(xué)習(xí)、安全多方計算、機(jī)密計算、差分隱私、同態(tài)加密等為代表的隱私保護(hù)計算從技術(shù)角度實現(xiàn)了原始數(shù)據(jù)不出庫、數(shù)據(jù)“價值”和“知識”出庫的目標(biāo)，有效實現(xiàn)跨領(lǐng)域多維度數(shù)據(jù)的融合，完成了數(shù)據(jù)流通向 “價值”流通的升級，打破既有數(shù)據(jù)壁壘，有效實現(xiàn)了數(shù)據(jù)隱私保護(hù)與價值挖掘之間的平衡，構(gòu)建了一種“數(shù)據(jù)可用不可見”的合作新模式。在合規(guī)避險方面。歐盟的數(shù)據(jù)市場報告顯示 HYPERLINK l _bookmark12 10，2019 年

24、歐盟 27國及英國的數(shù)據(jù)經(jīng)濟(jì)價值已經(jīng)突破 4000 億歐元（4064.68 億歐元），年增長率達(dá) 7.6%，預(yù)計 2020 年達(dá) 4439.25 億歐元，預(yù)計年增長率達(dá) 9.2%，數(shù)據(jù)經(jīng)濟(jì)對歐盟 2019 年 GDP 貢獻(xiàn)比已達(dá) 2.6%。在數(shù)據(jù)隱私保護(hù)合規(guī)監(jiān)管日趨嚴(yán)格的大背景下，歐洲數(shù)據(jù)經(jīng)濟(jì)相當(dāng)程度的規(guī)?；蜕虡I(yè)化發(fā)展一定程度上實現(xiàn)了 GDPR 開宗明義所傳承的二元立法目標(biāo)：保護(hù)個人權(quán)利并促進(jìn)個人數(shù)據(jù)流動。這與歐洲在隱私保護(hù)計算技術(shù)合規(guī)性研究方面做出的巨大努力密切相關(guān)。其中關(guān)于隱私保護(hù)計算技術(shù)的一個重要范例是愛沙尼亞在 2015 年的私人統(tǒng)計項目，1000萬條可識別納稅記錄與 60 萬條可識

25、別學(xué)歷信息關(guān)聯(lián)在一起，通過安全多方計算技術(shù)對其進(jìn)行統(tǒng)計分析。歐洲的 PRACTICE 項目（歐盟第七框架計劃）付出大量努力分析安全計算技術(shù)的合規(guī)性 8，報告依據(jù) GDPR 論證了該愛沙尼亞項目的合規(guī)性，為歐洲實現(xiàn)隱私保護(hù)合規(guī)的高效數(shù)據(jù)流通提供了重要范例。在彌合“信任鴻溝”方面。數(shù)字經(jīng)濟(jì)時代，我們一方面高度認(rèn)可數(shù)據(jù)所蘊(yùn)含的巨大價值，但另一方面頻發(fā)的隱私泄露事件也引發(fā)了公眾對數(shù)字經(jīng)濟(jì)發(fā)展中的隱私保護(hù)能力的信任危機(jī)。對待數(shù)字經(jīng)濟(jì)時代的數(shù)據(jù)價值挖掘，我們應(yīng)該始終堅持包容審慎的態(tài)度，積極探索隱私保護(hù)和數(shù)據(jù)價值挖掘的平衡點(diǎn)。如何彌合數(shù)字經(jīng)濟(jì)時代的信任鴻溝，10 The European Data Mark

26、et Monitoring Tool.有效規(guī)避隱私侵害，隱私保護(hù)計算對于破解公眾的信任危機(jī)是顯而易見的。以安全多方計算、差分隱私、同態(tài)加密等為代表的隱私保護(hù)計算技術(shù)憑借其堅實的理論基礎(chǔ)和安全性證明，從技術(shù)角度實現(xiàn)數(shù)據(jù)主體權(quán)利和數(shù)據(jù)使用者義務(wù)的平衡，增強(qiáng)數(shù)據(jù)應(yīng)用透明度，提升了數(shù)據(jù)價值挖掘下的隱私保護(hù)信任，對于彌合數(shù)字經(jīng)濟(jì)時代的信任鴻溝具有重大意義。二、隱私保護(hù)計算關(guān)鍵技術(shù)隱私保護(hù)計算（Privacy-Preserving Computation）的概念雖然是近年來才被提出，但其涵蓋的技術(shù)理論研究卻有著相當(dāng)?shù)臍v史?？傮w來說，隱私保護(hù)計算技術(shù)通常涵蓋聯(lián)邦學(xué)習(xí)、安全多方計算、機(jī)密計算、差分隱私、同態(tài)加

27、密等。（一）聯(lián)邦學(xué)習(xí)聯(lián)邦學(xué)習(xí)定義聯(lián)邦學(xué)習(xí)（Federated Learning，F(xiàn)L）最初是由谷歌的 H.Brendan McMahan 等人提出 HYPERLINK l _bookmark15 11，并將其應(yīng)用落地。即通過一個中央服務(wù)器協(xié)調(diào)眾多結(jié)構(gòu)松散的智能終端實現(xiàn)語言預(yù)測模型更新 HYPERLINK l _bookmark16 12（如圖 3 所示）。其工作原理是：客戶終端從中央服務(wù)器下載現(xiàn)有預(yù)測模型，通過使用本地數(shù)據(jù)對模型進(jìn)行訓(xùn)練，并將模型的更新內(nèi)容上傳至云端。訓(xùn)練模11 Mcmahan H B , Moore E , Ramage D , et al. Communication-Ef

28、ficient Learning of Deep Networks from Decentralized DataJ. 2016.12 Federated Learning: Collaborative Machine learning without centralized training data, Google AI Blog. /2017/04/federated-learning-collaborative.html型通過將不同終端的模型更新進(jìn)行融合，以此優(yōu)化預(yù)測模型，客戶終端再將更新后的模型下載到本地，過程不斷重復(fù)。在整個過程中，終端數(shù)據(jù)始終存儲在本地，不存在數(shù)據(jù)泄露的風(fēng)險。圖

29、3基于聯(lián)邦學(xué)習(xí)的語言預(yù)測模型更新來源：Google AI聯(lián)邦學(xué)習(xí)通常可以理解為是由兩個或以上參與方共同參與，在保證數(shù)據(jù)方各自原始數(shù)據(jù)不出其定義的安全控制范圍的前提下，協(xié)作構(gòu)建并使用機(jī)器學(xué)習(xí)模型的技術(shù)架構(gòu)。聯(lián)邦學(xué)習(xí)本質(zhì)上來說是以數(shù)據(jù)收集最小化為原則，在保持訓(xùn)練數(shù)據(jù)去中心化分布的基礎(chǔ)上，實現(xiàn)參與方數(shù)據(jù)隱私保護(hù)的特殊分布式機(jī)器學(xué)習(xí)架構(gòu)，且基于聯(lián)邦學(xué)習(xí)協(xié)同構(gòu)建的機(jī)器學(xué)習(xí)模型與中心化訓(xùn)練獲得的機(jī)器學(xué)習(xí)模型相比，性能幾乎是無損的。但因其應(yīng)用場景的不同，也使得聯(lián)邦學(xué)習(xí)具有一些區(qū)別于傳統(tǒng)分布式學(xué)習(xí)的特性：數(shù)據(jù)的絕對掌控。數(shù)據(jù)方作為模型訓(xùn)練的數(shù)據(jù)屬主，對本地數(shù)據(jù)擁有絕對控制權(quán)，可自主決定何時加入、何時停止參與計

30、算和通信。參與方不穩(wěn)定。由于聯(lián)邦學(xué)習(xí)不同參與方在計算能力、通信穩(wěn)定性等方面存在差異，導(dǎo)致聯(lián)邦學(xué)習(xí)相較于傳統(tǒng)分布式機(jī)器學(xué)習(xí)存在參與方不穩(wěn)定的情況。通信代價高。由于聯(lián)邦學(xué)習(xí)參與方的不穩(wěn)定，使得通信代價成為聯(lián)邦學(xué)習(xí)的效率瓶頸之一。數(shù)據(jù)非獨(dú)立同分布。在聯(lián)邦學(xué)習(xí)中，不同參與方數(shù)據(jù)分布不同。如特征分布傾斜、標(biāo)簽分布傾斜、標(biāo)簽相同特征不同、特征相同標(biāo)簽不同等，不滿足獨(dú)立同分布。負(fù)載不均衡。各參與方數(shù)據(jù)在量級上存在差異化，各參與方的數(shù)據(jù)量不平衡，且在聯(lián)邦學(xué)習(xí)中無法進(jìn)行負(fù)載均衡。聯(lián)邦學(xué)習(xí)分類根據(jù)訓(xùn)練數(shù)據(jù)在不同數(shù)據(jù)方之間的特征空間和樣本空間的分布情況，將聯(lián)邦學(xué)習(xí)分為橫向聯(lián)邦學(xué)習(xí)（Horizontal Federa

31、ted Learning， HFL）、縱向聯(lián)邦學(xué)習(xí)(Vertical Federated Learning，VFL)和聯(lián)邦遷移學(xué)習(xí)（Federated Transfer Learning, FTL） HYPERLINK l _bookmark18 13。橫向聯(lián)邦學(xué)習(xí)（Horizontal Federated Learning，HFL）：橫向聯(lián)邦學(xué)習(xí)主要是指在各參與方的數(shù)據(jù)集特征重合較大，但是樣本重合較小的場景下，對應(yīng)的聯(lián)邦學(xué)習(xí)模式稱之為橫向聯(lián)邦學(xué)習(xí)（圖 4）。橫向聯(lián)邦學(xué)習(xí)的本質(zhì)就是通過擴(kuò)充樣本數(shù)目，實現(xiàn)基于樣本的分布式模型訓(xùn)練，以此達(dá)到模型效果提升的目的。13 聯(lián)邦學(xué)習(xí)，電子工業(yè)出版社。參與方

32、B 的數(shù)據(jù)標(biāo)簽橫向聯(lián)邦學(xué)習(xí)參與方A 的數(shù)據(jù)標(biāo)簽數(shù)據(jù)樣本數(shù)據(jù)樣本數(shù)據(jù)特征和標(biāo)簽來源：聯(lián)邦學(xué)習(xí)，電子工業(yè)出版社圖 4橫向聯(lián)邦學(xué)習(xí)縱向聯(lián)邦學(xué)習(xí)(Vertical Federated Learning，VFL)：與橫向聯(lián)邦學(xué)習(xí)不同，縱向聯(lián)邦學(xué)習(xí)適用于在參與方數(shù)據(jù)集的樣本重合度較高，但是特征重合度較低場景下，對應(yīng)的聯(lián)邦學(xué)習(xí)模式稱為縱向聯(lián)邦學(xué)習(xí)（圖 5）?？v向聯(lián)邦學(xué)習(xí)的本質(zhì)是通過豐富樣本特征維度，實現(xiàn)機(jī)器學(xué)習(xí)模型的優(yōu)化。參與方A 的數(shù)據(jù)數(shù)據(jù)樣本數(shù)據(jù)樣本縱向聯(lián)邦學(xué)習(xí)參與方B 的數(shù)據(jù)標(biāo)簽數(shù)據(jù)特征和標(biāo)簽來源：聯(lián)邦學(xué)習(xí)，電子工業(yè)出版社圖 5縱向聯(lián)邦學(xué)習(xí)聯(lián)邦遷移學(xué)習(xí)（Federated Transfer Learn

33、ing，F(xiàn)TL）：聯(lián)邦遷移學(xué) 習(xí)是指在各參與方的樣本和特征重合度都極低的情況下，模型訓(xùn)練時，各數(shù)據(jù)集的樣本空間與特征空間重疊范圍都非常小時，相應(yīng)的聯(lián)邦學(xué) 習(xí)稱為聯(lián)邦遷移學(xué)習(xí)（圖 6）13。參與方B 的數(shù)據(jù)標(biāo)簽參與方A 的數(shù)據(jù)數(shù)據(jù)樣本聯(lián)邦遷移學(xué)習(xí)數(shù)據(jù)特征和標(biāo)簽來源：聯(lián)邦學(xué)習(xí)，電子工業(yè)出版社圖 6聯(lián)邦遷移學(xué)習(xí)聯(lián)邦學(xué)習(xí)參考架構(gòu)數(shù)據(jù)方 1數(shù)據(jù)庫原始 私有數(shù)據(jù)記錄中間本地計算節(jié)點(diǎn)結(jié)果結(jié)果方 1操作日志數(shù)據(jù)方 2交互協(xié)調(diào)方數(shù)據(jù)庫操作日志原始 私有數(shù)據(jù)記錄中間本地計算節(jié)點(diǎn)結(jié)果交互聯(lián)邦模型結(jié)果方 2數(shù)據(jù)方m數(shù)據(jù)庫原始 私有數(shù)據(jù)記錄中間本地計算節(jié)點(diǎn)結(jié)果結(jié)果方 n操作日志圖 7聯(lián)邦學(xué)習(xí)參考架構(gòu)在聯(lián)邦學(xué)習(xí)中，參與方

34、主要承擔(dān)的角色有協(xié)調(diào)方、數(shù)據(jù)方和結(jié)果方（如圖 7 所示）。數(shù)據(jù)方是指提供聯(lián)邦模型建模所需的私有數(shù)據(jù)的參與方；協(xié)調(diào)方是協(xié)調(diào)各參與方協(xié)作構(gòu)建并使用聯(lián)邦模型的參與方；結(jié)果方是指獲取聯(lián)邦學(xué)習(xí)結(jié)果的參與方。一個聯(lián)邦學(xué)習(xí)參與方可承擔(dān)多個角色。例如一個參與方可以同時承擔(dān)協(xié)調(diào)方、數(shù)據(jù)方和結(jié)果方三類角色。在聯(lián)邦學(xué)習(xí)過程中，根據(jù)具體應(yīng)用場景的不同，算力可以由數(shù)據(jù)方、協(xié)調(diào)方或者其他第三方提供。聯(lián)邦學(xué)習(xí)支持的常見算法包括 SecureBoost HYPERLINK l _bookmark23 14、線性回歸、邏輯回歸、神經(jīng)網(wǎng)絡(luò)算法等。聯(lián)邦學(xué)習(xí)安全屬性聯(lián)邦學(xué)習(xí)的優(yōu)勢是以原始數(shù)據(jù)不出本地、共享數(shù)據(jù)最小化為根本遵循，實現(xiàn)一

35、定程度的隱私保護(hù)。通常情況下，聯(lián)邦學(xué)習(xí)主要提供安全性的隱私保護(hù)。安全性（Security） HYPERLINK l _bookmark24 15：理想情況下，聯(lián)邦學(xué)習(xí)在模型訓(xùn)練和推理階段，參與方只能獲得其參與計算所必需的數(shù)據(jù)和協(xié)議規(guī)定的計算結(jié)果，不應(yīng)獲得其他任何信息。實際上為了兼顧實用性、公平性等，通常會在理想情況下做出一定的妥協(xié)。安全性重點(diǎn)關(guān)注基于交互數(shù)據(jù)能否實現(xiàn)對參與方原始數(shù)據(jù)和隱私信息的推斷。聯(lián)邦學(xué)習(xí)開放問題雖然現(xiàn)有的聯(lián)邦學(xué)習(xí)解決方案已提供部分安全性的保護(hù)能力，但是在聯(lián)邦學(xué)習(xí)中仍具有一些開放性的問題值得討論。在通信效率方面。傳統(tǒng)分布式機(jī)器學(xué)習(xí)中，服務(wù)器之間的網(wǎng)絡(luò)連接狀態(tài)穩(wěn)定可控，數(shù)據(jù)滿足

36、獨(dú)立同分布，能有效實現(xiàn)負(fù)載均衡；而在14 Cheng K, Fan T, Jin Y, et al. SecureBoost: A Lossless Federated Learning FrameworkJ. arXiv, 2019.15 Advances and Open Problems in Federated LearningJ. 2019.聯(lián)邦學(xué)習(xí)中，各參與節(jié)點(diǎn)計算能力不一致、網(wǎng)絡(luò)連接狀態(tài)不穩(wěn)定、數(shù) 據(jù)通常非獨(dú)立同分布，導(dǎo)致聯(lián)邦學(xué)習(xí)的通信效率極易成為聯(lián)邦學(xué)習(xí)應(yīng) 用的瓶頸之一。谷歌提出的 FedAvg11 算法是一個很好的起步點(diǎn)，但 是有研究表明 FedAvg 的通信效率與模型收斂速

37、度成反比 HYPERLINK l _bookmark25 16。其次， 當(dāng)前許多聯(lián)邦學(xué)習(xí)方案引入部分同態(tài)加密等技術(shù)來加密保護(hù)中間值，加密會帶來額外的計算代價，而且密文體積較大，這會進(jìn)一步對效率 造成不利影響。最后，F(xiàn)edAvg 等方案是針對橫向聯(lián)邦學(xué)習(xí)設(shè)計的， 而面向縱向聯(lián)邦學(xué)習(xí)的研究還相當(dāng)欠缺?？偠灾绾卧O(shè)計方案以 取得通信效率和收斂速度的平衡，這將是學(xué)術(shù)界和產(chǎn)業(yè)界關(guān)注的焦點(diǎn)。在安全性方面。關(guān)于聯(lián)邦學(xué)習(xí)的安全性并沒有嚴(yán)格定義。通常希望達(dá)到實用性、安全性的平衡，已有部分針對聯(lián)邦學(xué)習(xí)的安全性分析工作。一是由梯度帶來的隱私泄露。由于梯度的本質(zhì)是基于原始輸入數(shù)據(jù)的函數(shù)W l(F (xt ,i ,

38、Wt ), yt ,i ) ，雖然原始數(shù)據(jù)沒有出庫，但是梯度幾t ,iWt乎是包含原始數(shù)據(jù)信息的，所以一定程度上可以反推其他參與方的原始數(shù)據(jù)。無論是簡單的邏輯回歸 HYPERLINK l _bookmark26 17或是復(fù)雜的 CNN HYPERLINK l _bookmark27 18，學(xué)術(shù)界已給出一些安全性分析論文，指出梯度泄露可能存在原始數(shù)據(jù)泄露的風(fēng)險。部分解決方案采用了差分隱私技術(shù)實現(xiàn)梯度的隱私保護(hù)，但差分隱私保護(hù)技術(shù)是通過添加噪聲實現(xiàn)隱私保護(hù)，不僅會使得機(jī)器學(xué)習(xí)模型收斂速度降低，而且會對模型的精度產(chǎn)生損失。在金融風(fēng)控等對模型精度有較高要求的場景下是否可接受仍值得討論。二是隱私求交問題

39、。16 Li X, Huang K, Yang W, et al. On the Convergence of FedAvg on Non-IID dataJ. arXiv preprint arXiv:1907.02189, 2019.Li Z, Huang Z, Chen C, et al. Quantification of the Leakage in Federated LearningJ. arXiv preprint arXiv:1910.05467, 2019.Zhu L, Liu Z, Han S. Deep leakage from gradientsC/Advances

40、in Neural Information Processing Systems. 2019: 14774-14784.在縱向聯(lián)邦學(xué)習(xí)中，基于隱私求交 PSI（Private Set Intersection，PSI）實現(xiàn)樣本 ID 的對齊，能夠?qū)Ψ墙患瘍?nèi)的樣本 ID 進(jìn)行保護(hù)，但交集內(nèi)的明文樣本 ID 存在泄露的風(fēng)險。三是基于半同態(tài)加密技術(shù)的單向隱私保護(hù)問題。部分縱向聯(lián)邦學(xué)習(xí)方案采用半同態(tài)加密技術(shù)對中間結(jié)果進(jìn)行加密，但是這類方案中存在解密過程，因此僅能實現(xiàn)對私鑰持有方單向的隱私保護(hù)。在健壯性（Robust）方面。由于聯(lián)邦學(xué)習(xí)本質(zhì)上是一種分布式機(jī)器學(xué)習(xí)，所以也面臨著拜占庭將軍問題 HYPERL

41、INK l _bookmark29 19。參與方中的敵手可在模型訓(xùn)練和模型推理階段進(jìn)行投毒攻擊（Data Poisoning Attacks）以及逃逸攻擊（Evasion Attacks）15 等，以此來降低模型的性能或為模型預(yù)留后門等，破壞模型的可用性。目前關(guān)于健壯性討論尚處在理論研究階段，產(chǎn)業(yè)界考慮的較少。（二）安全多方計算安全多方計算定義安全多方計算（Secure Multi-Party Computation，SMPC）最早是由圖靈獎獲得者、中國科學(xué)院院士姚期智于 1982 年正式提出，解決一組互不信任的參與方各自持有秘密數(shù)據(jù),協(xié)同計算一個既定函數(shù)的問題 HYPERLINK l _bo

42、okmark30 20。安全多方計算在保證參與方獲得正確計算結(jié)果的同時，無法獲得計算結(jié)果之外的任何信息。在整個計算過程中，參與方對其所擁19 Lamport L, Shostak R, Pease M. The Byzantine generals problemM/ Concurrency: the Works of Leslie Lamport. 2019.20 YAO A C. Protocols for secure computationC. In Proc. of the 23rd Annual Symposium on Foundations of Computer Scienc

43、e, 1982.有的數(shù)據(jù)始終擁有絕對的控制權(quán)。1986 年姚期智院士提出的針對兩方計算的混淆電路方法成為構(gòu)建通用 SMPC 協(xié)議的經(jīng)典方案之一。后經(jīng)Goldreich，Micali 和Widgerson 等學(xué)者進(jìn)一步研究擴(kuò)展到多方計算 HYPERLINK l _bookmark32 21，安全多方計算逐漸成為現(xiàn)代密碼學(xué)的一個重要分支。具體來說（圖 8），在一個分布式網(wǎng)絡(luò)中，有n 個互不信任的參與方P1，P2，Pn ,每個參與方Pi 持有秘密數(shù)據(jù)xi (i 1, 2, n) 。這n 個參與方協(xié)同執(zhí)行既定函數(shù) f : (x1, x2 , xn ) ( y1, y2 , yn ) ，其中 yi 為參

44、與方Pi得到的輸出結(jié)果。任意參與方 Pi 除 yi 之外無法獲得關(guān)于其他參與方Pj (i j)的任何輸入信息。 如果y1 y2 yn， 可簡單表示為f : (x1, x2 , xn ) y 。圖 8安全多方計算示意圖安全多方計算安全屬性安全多方計算憑借其堅實的安全理論基礎(chǔ)，實現(xiàn)了隱私保護(hù)計算過程安全性的嚴(yán)格定義。安全多方計算的屬性主要包括輸入隱私性、正確性、公平性和結(jié)果傳遞保證等。輸入隱私性（Input Privacy）：各參與方除自身輸入的秘密數(shù)據(jù)21 Goldreich O, Micali S, Widgerson A. How to play any mental gameC. In P

45、roc. Of the nineteenth annual ACM symposium on Theory of computing, 1987.以及既定函數(shù)計算輸出結(jié)果外，無法獲得其他任何信息。正確性（Correctness）：若各參與方均遵守協(xié)議完成了計算，那么所有用戶都應(yīng)該收到各自計算函數(shù)的正確輸出結(jié)果。公平性（Fairness）(可選）：惡意參與方獲得計算輸出結(jié)果，當(dāng)且僅當(dāng)其他遵守SMPC 協(xié)議的參與方都已獲得計算輸出結(jié)果。結(jié)果傳遞保證（Guarantee Output Delivery）（可選）：遵守 SMPC協(xié)議的參與方可以確保收到正確的計算結(jié)果。安全多方計算安全模型當(dāng)前，存在多種

46、維度來評價安全多方計算方案安全性，其中最主要的是行為模型和安全門限。行為模型根據(jù)安全多方計算參與方的可信程度，可將安全多方計算的行為模型分為半誠實敵手模型和惡意敵手模型。半誠實敵手模型（Semi-Honest Adversary Model）：各參與方嚴(yán)格遵循協(xié)議的要求，執(zhí)行協(xié)議要求的各項步驟，但是會盡可能從獲得數(shù)據(jù)中挖掘其他參與方的隱私。惡意敵手模型（Malicious Adversary Model）：惡意參與方試圖通過改變協(xié)議甚至采取任意的行為獲取其他參與方的隱私。滿足惡意敵手模型的SMPC 協(xié)議可以抵抗更強(qiáng)的攻擊。安全門限假設(shè)一個SMPC 協(xié)議的總參與方數(shù)目為n ，根據(jù)安全多方計算參與

47、方是否有合謀可能，可將安全多方計算的安全門限分為誠實大多數(shù)和不誠實大多數(shù)：誠實大多數(shù)（Honest Majority）：可能合謀的人數(shù)小于n 2 。不誠實大多數(shù)（Dishonest Majority）：可能合謀的人數(shù)大于等于n 2 。滿足不誠實大多數(shù)的SMPC 協(xié)議可以抵抗更強(qiáng)的合謀可能。 就數(shù)據(jù)挖掘、機(jī)器學(xué)習(xí)這類典型隱私保護(hù)計算應(yīng)用而言，目前市場上的大部分安全多方計算產(chǎn)品能夠在半誠實敵手模型和誠實大多數(shù)假設(shè)下保持安全性，但滿足惡意敵手模型或不誠實大多數(shù)假設(shè)則需要付出較大的性能代價，主要見諸于學(xué)術(shù)研究，而業(yè)界應(yīng)用中尚不常見。安全多方計算關(guān)鍵技術(shù)秘密共享（Secret Sharing，SS）秘密

48、共享定義秘密共享作為現(xiàn)代密碼學(xué)的重要分支，不僅是保護(hù)數(shù)據(jù)安全的重要手段，也是安全多方計算的基礎(chǔ)應(yīng)用技術(shù)之一。秘密共享通過將秘密信息分割成若干秘密份額并分發(fā)給多人掌管，以此來達(dá)到風(fēng)險分散和容忍入侵的目的。一般來說，一個秘密共享方案由一個秘密分割算法和一個秘密重組算法構(gòu)成，包含秘密分發(fā)者、秘密份額持有者還有接收者三類角色 HYPERLINK l _bookmark33 22。秘密分發(fā)者持有秘密信息并且負(fù)責(zé)執(zhí)行秘密分割算法，并將秘密份額分發(fā)給秘密份額持有者。接收者是試圖重組秘密信息的一方。當(dāng)接收者希望重組秘密信息時，將從一組授權(quán)的秘密份額持有者中收集秘密份額，并執(zhí)行秘密重組算法計算秘密信息，當(dāng)有充足

49、的秘密份額就可以重新恢復(fù)出秘密信息。一個參與方可以同時承擔(dān)多個角色。秘密共享屬性消息機(jī)密性（Message Confidentiality）：秘密共享的消息機(jī)密性是指如果一組秘密份額持有者所擁有的秘密份額子集不足以進(jìn)行秘密信息重組，那么該組秘密份額持有者就無法獲得關(guān)于秘密消息的任何信息。消息可恢復(fù)性（Message Recoverability）：秘密共享的消息可恢復(fù)性是指如果一組秘密份額持有者有足夠進(jìn)行秘密重組的秘密份額子集，則這些秘密份額持有者可以通過合并他們的秘密份額并應(yīng)用消息重組算法對秘密信息進(jìn)行重組。不經(jīng)意傳輸（Oblivious Transfer，OT）不經(jīng)意傳輸作為安全多方計算的

50、重要基石之一，最初由 Rabin 于1981 年提出 HYPERLINK l _bookmark34 23。如圖 9 所示，該協(xié)議中發(fā)送方 Alice 擁有兩個秘密消22 ISO/IEC 19592-1:2016 Information technology Security techniques Secret sharing Part 1: General23 Rabin M O. How to exchange secrets with oblivious transferJ. Technical Report (Harvard University) ,2005.息 x0 和 x1 ，

51、接收者 Bob 選擇并且僅能恢復(fù)其中的一個秘密消息xb (b 0,1) ，但無法得到關(guān)于x1b 的任何消息，Alice 無法知曉接收方選擇的是哪一個消息?，F(xiàn)有的OT 協(xié)議只能用公鑰密碼系統(tǒng)來實現(xiàn)，公鑰密碼系統(tǒng)相對對稱密碼系統(tǒng)來說一般性能低很多，無法適用于大規(guī)模數(shù)據(jù)傳輸?shù)膱鼍?。例如很多安全多方計算方案中需?Alice 和 Bob 頻繁大量地傳輸 OT 消息，這時直接使用普通的OT 協(xié)議的性能將難以接受。為了解決這種大數(shù)據(jù)傳輸?shù)膱鼍埃芯空咛岢隽?OT Extension協(xié)議：在 OT Extension 中，Alice 和 Bob 先執(zhí)行少量的普通 OT 協(xié)議來傳送較短的密鑰種子。然后運(yùn)行擴(kuò)展

52、（Extension）協(xié)議，通過對稱密碼算法把普通OT 階段的結(jié)果延長。這樣整個過程主要使用的是高效的對稱密碼算法，僅第一階段使用了少量的公鑰密碼計算，因此可以適配于大數(shù)據(jù)傳輸?shù)膱鼍?。這種設(shè)計思想類似于信封加密系統(tǒng)中先用公鑰傳輸對稱密鑰，再用對稱密鑰加密傳輸大文件。x01-out-of-2 OTx1b 0,1xb圖 92 取 1 不經(jīng)意傳輸協(xié)議混淆電路（Garbled Circuit，GC）混淆電路是由姚期智先生于 1986 年提出針對半誠實敵手模型的兩方安全計算協(xié)議 HYPERLINK l _bookmark36 24，其核心思想是將任何函數(shù)的計算問題轉(zhuǎn)化為由24 Yao C C . How

53、 to generate and exchange secretsC/ Symposium on Foundations of Computer Science. IEEE, 2008.“與”門、“或”門和“非”門組成的布爾邏輯電路，再利用加密技術(shù)構(gòu)建加密版本的布爾邏輯電路。姚氏混淆電路包含布爾邏輯電路構(gòu)建和布爾邏輯電路計算兩部分。下面以“與”門（AND 門）為例簡單說明姚氏混淆電路的主要思想，見圖 10。復(fù)雜電路就是將一個個門電路串起來。假設(shè) Alice 的秘密輸入比特為a ，Bob 的秘密輸入比特為b ，他們一起計算 AND 門，即a & b ，分為電路構(gòu)建和電路計算兩部分。圖 10AND

54、 門混淆電路示意圖電路構(gòu)建：Alice 給每個電線隨機(jī)選擇兩個密鑰： k0, x , k1, x ，k0, y , k1, y 和k0, z , k1, z ，其中k0, x 對應(yīng)Alice 的輸入a 0 ，其他符號類似。 Enck0 ,x,k0 , y(k0,z )Alice 構(gòu)造加密真值表 Enck0 ,x,k1, y(k0,z ) ，并隨機(jī)打亂順序得到混淆的加) Enck1,x ,k0 , y (k0,z ) Enck1,x ,k1, y(k1,z Enck ,k (k0,z ) 1,x 0 , y Enck ,k (k1,z ) 密真值表，如1,x1, y 。Alice 將混淆的加密真

55、值表發(fā)送給 Bob。) Enck0 ,x ,k0 , y (k0,z ) Enck0 ,x ,k1, y(k0,z 電路計算：Alice 將ka,x 發(fā)送給 Bob，Bob 通過不經(jīng)意傳輸協(xié)議獲得kb, y 。Bob 使用ka,x 和kb, y 對混淆的加密真值表進(jìn)行解密得到kc,z 。Bob將kc,z 發(fā)送給Alice。如果kc,z k0,z ，那么輸出結(jié)果a & b 0 ；如果kc,z k1,z ，那么輸出結(jié)果a & b 1 。Alice 將結(jié)果分享給 Bob。安全多方計算解決方案部署實施安全多方計算參考架構(gòu)在實際的安全多方計算工程部署中，參與方主要承擔(dān)的角色包括數(shù)據(jù)方、計算方、結(jié)果方。數(shù)

56、據(jù)方指原始秘密輸入數(shù)據(jù)的提供者；計算方指安全多方計算協(xié)議算力的提供者，負(fù)責(zé)安全多方計算協(xié)議的實際執(zhí)行；結(jié)果方指安全多方計算結(jié)果的接收方。數(shù)據(jù)方 1原始數(shù)據(jù)數(shù)據(jù)方 2輸入模塊存證模塊輸入模塊計算方 1協(xié)同計算模塊存證模塊調(diào)度模塊計算方 2結(jié)果方 1計算結(jié)果輸出模塊存證模塊結(jié)果方 2計算結(jié)果明文計算結(jié)果明文計原始數(shù)據(jù)存證模塊協(xié)同計算模塊存證模塊輸出模塊存證模塊算結(jié)果數(shù)據(jù)方 m輸入模塊調(diào)度模塊結(jié)果方 n計算結(jié)果輸出模塊明文計算結(jié)果原始數(shù)據(jù)存證模塊圖 11安全多方計算參考架構(gòu)存證模塊在一次安全多方計算任務(wù)中，數(shù)據(jù)方按照預(yù)先設(shè)定的輸入方式，通過安全信道將數(shù)據(jù)發(fā)送給計算方；計算方接收數(shù)據(jù)方發(fā)送的數(shù)據(jù)，按照

57、安全多方計算協(xié)議進(jìn)行協(xié)同計算，并將結(jié)果發(fā)送給結(jié)果方。在安全多方計算協(xié)議中結(jié)果方可以有一個或多個，計算方為一個或多個。一個安全多方計算參與者可以同時擔(dān)任多個角色。例如一個參與者可以同時承擔(dān)數(shù)據(jù)方、計算方和結(jié)果方三類角色。安全多方計算技術(shù)路線安全多方計算憑借其堅實的安全理論基礎(chǔ)提供輸入秘密數(shù)據(jù)的隱私保護(hù)能力，實現(xiàn)隱私保護(hù)計算過程的安全。目前安全多方計算主要有兩條實施技術(shù)路線，包括通用安全多方計算和特定問題安全多方計算。前者可以解決各類計算問題，但是這種“萬能型”的技術(shù)路線通常體系龐大，各種開銷較大；后者針對特定問題設(shè)計專用協(xié)議，如隱私集合求交 PSI（Private Set Intersectio

58、n，PSI），隱私信息檢索（Privacy Preserving Information Retrieval，PIR）等，往往能夠以比通用安全多方計算協(xié)議更低的代價得到計算結(jié)果，但是需要領(lǐng)域?qū)＜裔槍?yīng)用場景進(jìn)行精心設(shè)計，無法適用于通用場景且設(shè)計成本較高。通用安全多方計算通用安全多方計算解決方案主要包括基于秘密共享的安全多方計算解決方案、基于混淆電路的安全多方計算解決方案以及基于全同態(tài)加密的安全多方計算解決方案。但基于全同態(tài)加密的安全多方計算目前仍處在理論研究階段，距離實際應(yīng)用仍存在一定的差距。綜合考慮實際場景的應(yīng)用效果，目前在各領(lǐng)域中應(yīng)用較為廣泛的是基于秘密共享和基于混淆電路的安全多方計算方案

59、?；诿孛芄蚕淼陌踩喾接嬎憬鉀Q方案：基于秘密共享的安全多方計算解決方案采用基于秘密共享的方式實現(xiàn)各類通用計算，中間計算值以秘密份額的方式存在。在此基礎(chǔ)上進(jìn)行應(yīng)用層算法的指令改寫，構(gòu)造安全多方計算的電路實現(xiàn)秘密份額上的基本運(yùn)算，如加法、乘法、比較等?；诿孛芄蚕矸椒ǖ?SMPC 協(xié)議通信輪數(shù)與電路的深度成線性關(guān)系，所以在相同的計算需求背景下，通信輪數(shù)更多。基于混淆電路的安全多方計算解決方案：基于混淆電路的安全多方計算解決方案其通信輪數(shù)與電路深度無關(guān)，因此在機(jī)器學(xué)習(xí)訓(xùn)練等較深的電路需求背景下，總通信輪數(shù)更少，但總通信量更大。一般來說，基于混淆電路方法的 SMPC 更適合高帶寬的網(wǎng)絡(luò)，而基于秘密共

60、享的 SMPC 協(xié)議適合低延遲的網(wǎng)絡(luò)。此外，基于秘密共享的方案可以高效的支持加法和乘法等算術(shù)運(yùn)算，但難以高效支持復(fù)雜的運(yùn)算如浮點(diǎn)計算；而基于混淆電路的方案理論上可以通過門電路實現(xiàn)任意邏輯運(yùn)算，但由于其通信量較大，對網(wǎng)絡(luò)帶寬要求較高。因此在流行的安全多方計算解決方案,如 SecureML HYPERLINK l _bookmark39 25中，經(jīng)常采用基于秘密共享的方案實現(xiàn)加法和乘法，而對于更加復(fù)雜的執(zhí)行邏輯（如 RELU、SIGMOID 等），則采用基于混淆電路的方案。25 Mohassel P, Zhang Y. SecureML: A system for scalable privacy