隱私保護(hù)計(jì)算技術(shù)研究報(bào)告

隱私保護(hù)計(jì)算技術(shù)研究報(bào)告12WorldBankGroup:GlobalEconomicProspects.12WorldBankGroup:GlobalEconomicProspects.《禮記.中庸》前 言20206年5.2%，由新冠肺炎疫情引發(fā)的全球經(jīng)濟(jì)衰退將成“百舸爭(zhēng)流，奮楫者先”2。面對(duì)錯(cuò)綜復(fù)雜的世界經(jīng)濟(jì)格局，數(shù)20209新美國(guó)安全中心（CenterforaNewAmericanSecurity，CNAS）發(fā)布34《中國(guó)制度面對(duì)面34《中國(guó)制度面對(duì)面——理論熱點(diǎn)面對(duì)面?2020》，學(xué)習(xí)出版社、人民出版社?！稘h書.賈誼傳》“上下求索，吹沙見金”3。數(shù)據(jù)的價(jià)值從數(shù)據(jù)源挖掘而出，是“建久安之勢(shì)，成長(zhǎng)治之業(yè)”4。在數(shù)字經(jīng)濟(jì)發(fā)展的大背景下，目 錄一、隱私保護(hù)計(jì)算 6（一）隱私保護(hù)計(jì)算概念 6（二）隱私保護(hù)計(jì)算架構(gòu) 6（三）隱私保護(hù)計(jì)算目標(biāo) 7（四）隱私保護(hù)計(jì)算價(jià)值 8二、隱私保護(hù)計(jì)算關(guān)鍵技術(shù) 10（一）聯(lián)邦學(xué)習(xí) 10（二）安全多方計(jì)算 17（三）機(jī)密計(jì)算 29（四）差分隱私 35（五）同態(tài)加密 38三、隱私保護(hù)計(jì)算關(guān)鍵技術(shù)綜合評(píng)價(jià) 40四、隱私保護(hù)計(jì)算應(yīng)用案例 44（一）金融領(lǐng)域 44（二）政務(wù)領(lǐng)域 45（三）醫(yī)療領(lǐng)域 46五、隱私保護(hù)計(jì)算發(fā)展展望 48圖目錄圖1 隱私保護(hù)計(jì)算參考架構(gòu) 7圖2 面向數(shù)據(jù)生命周期的隱私計(jì)算技術(shù) 8圖3 基于聯(lián)邦學(xué)習(xí)的語(yǔ)言預(yù)測(cè)模型更新 11圖4 橫向聯(lián)邦學(xué)習(xí) 13圖5 縱向聯(lián)邦學(xué)習(xí) 13圖6 聯(lián)邦遷移學(xué)習(xí) 14圖7 聯(lián)邦學(xué)習(xí)參考架構(gòu) 14圖8 安全多方計(jì)算示意圖 18圖9 2取1不經(jīng)意傳輸協(xié)議 22圖10 AND門混淆電路示意圖 23圖11 安全多方計(jì)算參考架構(gòu) 24圖12 IntelSGX基本原理 31圖13 RustSGX架構(gòu)示意圖30 33圖14 消息傳遞接口示意圖 34圖15 反欺詐聯(lián)邦學(xué)習(xí)示意圖 45圖16 疑犯信息查詢示意圖 46圖17 新冠人工智能聯(lián)合診斷示意圖 48表目錄表1 通用安全多方計(jì)算實(shí)施方案對(duì)比 27表2 關(guān)鍵技術(shù)綜合評(píng)價(jià)表 43PAGEPAGE1隱私保護(hù)計(jì)算技術(shù)研究報(bào)告2019104（三方全球競(jìng)爭(zhēng)制高點(diǎn)具有重大戰(zhàn)略意義。由希捷公司資助，IDC發(fā)布的《數(shù)據(jù)時(shí)代2025》白皮書顯示（20205（52022（datasphere）5。如何加快培育數(shù)據(jù)要素市場(chǎng)成型，激發(fā)數(shù)據(jù)要素市場(chǎng)活力，充分?jǐn)?shù)據(jù)要素的流通共享和核心價(jià)值挖掘是數(shù)據(jù)要素市場(chǎng)培育的核心內(nèi)一是“數(shù)據(jù)孤島”現(xiàn)象普遍存在；二是三是5IDC:DataAge2025TheDigitizationoftheWorldFromEdgetoCore.部門間由于業(yè)務(wù)背景不同造成對(duì)數(shù)據(jù)的定義和使用差異化的邏輯性已2018525護(hù)條例》（GeneralDataProtectionRegulation,GDPR）正式生效。為主體和個(gè)人數(shù)據(jù)權(quán)利主體兩方面搭建個(gè)人數(shù)據(jù)保護(hù)框架。此外，GDPRGDPRGDPR正式生效一個(gè)月后，美國(guó)加利福尼亞州頒布了《2018加利福尼亞州消費(fèi)者隱（CaliforniaConsumerPrivacyActof202011日正式實(shí)施。相較于模式GDPR2020628草案草案草案產(chǎn)要素的數(shù)字經(jīng)濟(jì)發(fā)展。20201021日，《中華人民共和國(guó)個(gè)（）（（））隱私泄露事件頻發(fā)導(dǎo)致信任鴻溝。2017年，英國(guó)期刊《經(jīng)濟(jì)學(xué)人《TheEconomist6TheEconomist:RegulatingtheInternetGiants-TheWorld’sMostValuableResourceIsNoLongerOil,ButData.犯無(wú)處不在。20183月，數(shù)據(jù)分析公司劍橋分析（CambridgeAnalytica）Facebook用戶數(shù)據(jù)并將之不當(dāng)應(yīng)用于政治廣（Federal啟了對(duì)Facebook2012Facebook5077FTCImposes$5BillionPenaltyandSweepingNewPrivacyRestrictionsonFacebook.https:///news-events/press-releases/2019/07/ftc-imposes-5-billion-penalty-sweeping-new-privacy-restrictions一、隱私保護(hù)計(jì)算（一）隱私保護(hù)計(jì)算概念ricysrigotato8。面8。隱私保護(hù)計(jì)算并不是一種單一的技（二）隱私保護(hù)計(jì)算架構(gòu)1和2P2P8UNHandbookonPrivacy-PreservingComputationTechniques.PAGEPAGE10345原始數(shù)據(jù)172 345原始數(shù)據(jù)17交互 算數(shù)據(jù) 果數(shù)據(jù)方 計(jì)算方 結(jié)果方圖1 隱私保護(hù)計(jì)算參考架構(gòu)（三）隱私保護(hù)計(jì)算目標(biāo)根據(jù)圖1，隱私保護(hù)計(jì)算過程中主要存在7個(gè)隱私風(fēng)險(xiǎn)點(diǎn)8：數(shù)據(jù)隱私計(jì)算技術(shù)廣義上來(lái)說是面向隱私信息全生命周期的隱私保護(hù)計(jì)算理論和方法9。但在數(shù)據(jù)傳輸和數(shù)據(jù)存儲(chǔ)環(huán)節(jié)的隱私保護(hù)SM2SM3SM4RSASHA2AES以及SSL/TLS2所示9李鳳華,李暉,賈焰,等.隱私計(jì)算研究范疇及發(fā)展趨勢(shì)[J].通信學(xué)報(bào),2016,37(04):1-11.生命周期生命周期 數(shù)據(jù)存儲(chǔ)數(shù)據(jù)傳輸數(shù)據(jù)計(jì)算過程數(shù)據(jù)計(jì)算結(jié)果SM2、SM3、相關(guān)技術(shù)SM4、RSASHA2、AES、…SM2、SM3、SM4、RSA、、SHA2SSL/TLS、…MPC(GCSS)FLOT、FHE、TEE、PaillierElGarmal…DP、…圖2 面向數(shù)據(jù)生命周期的隱私計(jì)算技術(shù)結(jié)果的隱私保護(hù)指參與方難以基于計(jì)算結(jié)果逆推原始輸入數(shù)據(jù)和隱私信息。（四）隱私保護(hù)計(jì)算價(jià)值在合規(guī)避險(xiǎn)方面。歐盟的數(shù)據(jù)市場(chǎng)報(bào)告顯示10，2019274000（4064.68），7.6%20204439.252019GDP2.6%。在數(shù)據(jù)隱私GDPR開宗明義所傳承的二元立法2015100060萬(wàn)條可識(shí)別學(xué)歷信息關(guān)聯(lián)在一起，通過安PRACTICE項(xiàng)目（歐盟第七框架計(jì)劃）8，報(bào)告依GDPR論證了該愛沙尼亞項(xiàng)目的合規(guī)性，為歐洲實(shí)現(xiàn)隱私保護(hù)合10TheEuropeanDataMarketMonitoringTool.二、隱私保護(hù)計(jì)算關(guān)鍵技術(shù)（Privacy-Preserving的概念雖然是近（一）聯(lián)邦學(xué)習(xí)聯(lián)邦學(xué)習(xí)定義聯(lián)邦學(xué)習(xí)（FederatedLearning，F(xiàn)L）H.BrendanMcMahan12（3）。11McmahanHB,MooreE,RamageD,etal.Communication-EfficientLearningofDeepNetworksfromDecentralizedData[J].2016.12FederatedLearning:CollaborativeMachinelearningwithoutcentralizedtrainingdata,GoogleAIBlog./2017/04/federated-learning-collaborative.html圖3 基于聯(lián)邦學(xué)習(xí)的語(yǔ)言預(yù)測(cè)模型更

來(lái)源：GoogleAI聯(lián)邦學(xué)習(xí)分類根據(jù)訓(xùn)練數(shù)據(jù)在不同數(shù)據(jù)方之間的特征空間和樣本空間的分布（HorizontalFederatedLearning，HFL）、縱向聯(lián)邦學(xué)習(xí)FederatedLearning，VFL)和聯(lián)邦遷移（FederatedTransferLearningFTL）13。橫向聯(lián)邦學(xué)習(xí)（HorizontalFederatedLearning，HFL）：橫向聯(lián)（13《聯(lián)邦學(xué)習(xí)》，電子工業(yè)出版社。數(shù)據(jù)樣本參與方B數(shù)據(jù)樣本參與方B的數(shù)據(jù)標(biāo)簽橫向聯(lián)邦學(xué)習(xí)參與方A的數(shù)據(jù)標(biāo)簽數(shù)據(jù)樣本來(lái)源：《聯(lián)邦學(xué)習(xí)》，電子工業(yè)出版社圖4 橫向聯(lián)邦學(xué)習(xí)縱向聯(lián)邦學(xué)習(xí)FederatedLearning，VFL)：與橫向聯(lián)邦學(xué)是特征重合度較低場(chǎng)景下，對(duì)應(yīng)的聯(lián)邦學(xué)習(xí)模式稱為縱向聯(lián)邦學(xué)習(xí)數(shù)據(jù)樣本聯(lián)邦學(xué)習(xí)參與方B的數(shù)據(jù)標(biāo)簽縱向參與方A數(shù)據(jù)樣本聯(lián)邦學(xué)習(xí)參與方B的數(shù)據(jù)標(biāo)簽縱向參與方A的數(shù)據(jù)數(shù)據(jù)樣本數(shù)據(jù)特征和標(biāo)簽來(lái)源：《聯(lián)邦學(xué)習(xí)》，電子工業(yè)出版社圖5 縱向聯(lián)邦學(xué)習(xí)（FederatedTransfer（6）13。聯(lián)邦遷移學(xué)習(xí)聯(lián)邦遷移學(xué)習(xí)參與方B的數(shù)據(jù)標(biāo)簽參與方A的數(shù)據(jù)數(shù)據(jù)樣本數(shù)據(jù)特征和標(biāo)簽數(shù)據(jù)樣本來(lái)源：《聯(lián)邦學(xué)習(xí)》，電子工業(yè)出版社圖6 聯(lián)邦遷移學(xué)習(xí)聯(lián)邦學(xué)習(xí)參考架構(gòu)數(shù)據(jù)方1原始原始數(shù)據(jù)庫(kù)私有數(shù)據(jù)本地計(jì)算節(jié)點(diǎn)中間結(jié)果結(jié)果方1記錄操作日志數(shù)據(jù)方2交互原始協(xié)調(diào)方數(shù)據(jù)庫(kù)私有數(shù)據(jù)本地計(jì)算節(jié)點(diǎn)中間結(jié)果方2結(jié)果記錄操作日志聯(lián)邦模型交互數(shù)據(jù)方m原始數(shù)據(jù)庫(kù)私有數(shù)據(jù)中間本地計(jì)算節(jié)點(diǎn)結(jié)果結(jié)果方n記錄操作日志圖7 聯(lián)邦學(xué)習(xí)參考架構(gòu)7所示聯(lián)邦學(xué)習(xí)安全屬性安全性重點(diǎn)關(guān)注基于交互數(shù)據(jù)能否實(shí)現(xiàn)對(duì)參與方原始數(shù)據(jù)和隱私信息的推斷。聯(lián)邦學(xué)習(xí)開放問題14ChengK,FanT,JinY,etal.SecureBoost:ALosslessFederatedLearningFramework[J].arXiv,2019.15AdvancesandOpenProblemsinFederatedLearning[J].2019.算法是一個(gè)很好的起步點(diǎn)，但是的通信效率與模型收斂速度成反比16。其次，當(dāng)?shù)确桨甘轻槍?duì)橫向聯(lián)邦學(xué)習(xí)設(shè)計(jì)的，而數(shù)據(jù)的函數(shù)W

l(F(xt,i,Wt),yt,i)，雖然原始數(shù)據(jù)沒有出庫(kù)，但是梯度幾tWt17CNN1816LiX,HuangK,YangW,etal.OntheConvergenceofFedAvgonNon-IIDdata[J].arXivpreprintarXiv:1907.02189,2019.LiZ,HuangZ,ChenC,etal.QuantificationoftheLeakageinFederatedLearning[J].arXivpreprintarXiv:1910.05467,2019..ZhuL,LiuZ,HanS.Deepleakagefromgradients[C]//AdvancesinNeuralInformationProcessingSystems.2019:14774-14784.SetIDIDID存在泄露的風(fēng)險(xiǎn)。三是基于半同態(tài)加密技術(shù)的單向隱19訓(xùn)練和模型推理階段進(jìn)行投毒攻擊（DataPoisoningAttacks）以及逃逸攻擊（EvasionAttacks）15等，以此來(lái)降低模型的性能或?yàn)槟Ｐ皖A(yù)（二）安全多方計(jì)算安全多方計(jì)算定義（SecureMulti-Party最早是1982年正式提出，解決一組互不信任的參與方各自持有秘密數(shù)據(jù),協(xié)同計(jì)算一個(gè)既定函數(shù)的問題20。安全多方計(jì)算在保證參與方獲得正確計(jì)算結(jié)果的同時(shí)，無(wú)法19LamportL,ShostakR,PeaseM.TheByzantinegeneralsproblem[M]//Concurrency:theWorksofLeslieLamport.2019.20YAOAC.Protocolsforsecurecomputation[C].InProc.ofthe23rdAnnualSymposiumonFoundationsofComputerScience,1982.有的數(shù)據(jù)始終擁有絕對(duì)的控制權(quán)。1986年姚期智院士提出的針對(duì)兩SMPC協(xié)議的經(jīng)典方案之一。后經(jīng)和Widgerson具體來(lái)說（8），在一個(gè)分布式網(wǎng)絡(luò)中，有n個(gè)互不信任的參與方n,每個(gè)參與方i持有秘密數(shù)據(jù)ii,,,n)。這nfx1x2,xn)y1y2,yn)yi為參與方得到的輸出結(jié)果。任意參與方Pi除yi之外無(wú)法獲得關(guān)于其他參與方Pj(ij)

的任何輸入信息。如果

y1y2yn

，可簡(jiǎn)單表示為f:(x1,x2,,xn)y。圖8 安全多方計(jì)算示意圖安全多方計(jì)算安全屬性安全多方計(jì)算憑借其堅(jiān)實(shí)的安全理論基礎(chǔ)，實(shí)現(xiàn)了隱私保護(hù)計(jì)算過程安全性的嚴(yán)格定義。安全多方計(jì)算的屬性主要包括輸入隱私性、正確性、公平性和結(jié)果傳遞保證等。（InputPrivacy）21GoldreichO,MicaliS,WidgersonA.Howtoplayanymentalgame[C].InProc.OfthenineteenthannualACMsymposiumonTheoryofcomputing,1987.以及既定函數(shù)計(jì)算輸出結(jié)果外，無(wú)法獲得其他任何信息。正確性（Correctness）：若各參與方均遵守協(xié)議完成了計(jì)算，那么所有用戶都應(yīng)該收到各自計(jì)算函數(shù)的正確輸出結(jié)果。公平性（Fairness）(可選）：惡意參與方獲得計(jì)算輸出結(jié)果，當(dāng)且僅當(dāng)其他遵守SMPC協(xié)議的參與方都已獲得計(jì)算輸出結(jié)果。uaraeeuptelvryC協(xié)議的參與方可以確保收到正確的計(jì)算結(jié)果。安全多方計(jì)算安全模型和。半誠(chéng)實(shí)敵手模型（Semi-HonestAdversaryModel）：各參與方嚴(yán)惡意敵手模型（MaliciousAdversaryModel）：惡意參與方試圖通過改變協(xié)議甚至采取任意的行為獲取其他參與方的隱私。滿足惡意敵手模型的SMPC協(xié)議可以抵抗更強(qiáng)的攻擊。假設(shè)一個(gè)SMPC協(xié)議的總參與方數(shù)目為n：誠(chéng)實(shí)大多數(shù)（HonestMajority）：可能合謀的人數(shù)小于n2。不誠(chéng)實(shí)大多數(shù)（DishonestMajority）：可能合謀的人數(shù)大于等于n2。滿足不誠(chéng)實(shí)大多數(shù)的SMPC協(xié)議可以抵抗更強(qiáng)的合謀可能。就數(shù)據(jù)挖掘、機(jī)器學(xué)習(xí)這類典型隱私保護(hù)計(jì)算應(yīng)用而言，目前市場(chǎng)上的大部分安全多方計(jì)算產(chǎn)品能夠在半誠(chéng)實(shí)敵手模型和誠(chéng)實(shí)大多安全多方計(jì)算關(guān)鍵技術(shù)（SecretSharing，SS）還有22。（Message秘密共享的消息機(jī)密性是指如果一組秘密份額持有者所擁有的秘密份額子集不足以進(jìn)行秘消息可恢復(fù)性（MessageRecoverability）：秘密共享的消息可恢復(fù)性是指如果一組秘密份額持有者有足夠進(jìn)行秘密重組的秘密份額（ObliviousTransfer，OT）Rabin于1981年提出239Alice擁有兩個(gè)秘密消22ISO/IEC19592-1:2016Informationtechnology–Securitytechniques–Secretsharing–Part1:General23RabinMO.Howtoexchangesecretswithoblivioustransfer[J].TechnicalReport(HarvardUniversity),2005.息x0和x1，接收者Bob選擇并且僅能恢復(fù)其中的一個(gè)秘密消息xb(b{0,1})，但無(wú)法得到關(guān)于x1b的任何消息，Alice無(wú)法知曉接收方選擇的是哪一個(gè)消息?，F(xiàn)有的OTAliceBob消息，這時(shí)直接使用普通的OT為了解決這種大數(shù)據(jù)傳輸?shù)膱?chǎng)景，研究者提出了OTExtensionOTExtension中，AliceBobOT協(xié)議密碼算法把普通OT1-out-of-2OTx0 b1-out-of-2OTx1 圖9 2取1不經(jīng)意傳輸協(xié)議（GarbledCircuit，GC）混淆電路是由姚期智先生于1986年提出針對(duì)半誠(chéng)實(shí)敵手模型的兩方安全計(jì)算協(xié)議24，其核心思想是將任何函數(shù)的計(jì)算問題轉(zhuǎn)化為由24YaoCC.Howtogenerateandexchangesecrets[C]//SymposiumonFoundationsofComputerScience.IEEE,2008.門）為例簡(jiǎn)10。復(fù)雜電路就是將一個(gè)個(gè)Alice的秘密輸入比特為a，Bob的秘密輸入比特為bAND門，即a&b，分為電路構(gòu)建和電路計(jì)算圖10 AND門混淆電路示意圖電路構(gòu)建：Alice給每個(gè)電線隨機(jī)選擇兩個(gè)密鑰：{k0xx}，{k0yy和{k0zz}，其中k0x對(duì)應(yīng)Alice的輸入a0

0

,k0,

(k0,z)Alice構(gòu)造加密真值表Enck

0

,k1,

(k0,z)，并隨機(jī)打亂順序得到混淆的加)Ec1,x,k0,y(k0,z))Enc

k1,x,k1,

(k1,zEnck,k(k0,z) 1,x0,y Enck,k(k1,z)

1,x

1,

。Alice將混淆的加密真值表發(fā)送給Bob。)Eck0,x,k0,y(k0,z))Enc

k0,x,k1,

(k0,z電路計(jì)算：Alice將ka,x發(fā)送給Bob，Bob通過不經(jīng)意傳輸協(xié)議獲得kbyBob使用ka,x和kbykc,zBob將kc,z發(fā)送給Alicekc,zk0,za&b0kc,zk1,z，那么輸出結(jié)果a&b1。AliceBob。安全多方計(jì)算解決方案部署實(shí)施數(shù)據(jù)方1計(jì)算方1結(jié)果方數(shù)據(jù)方1計(jì)算方1結(jié)果方1協(xié)同計(jì)算模塊計(jì)算結(jié)果輸出模塊原始數(shù)據(jù)存證模塊明文計(jì)算結(jié)果存證模塊存證模塊數(shù)據(jù)方2結(jié)果方2輸入模塊 計(jì)算方2計(jì)算結(jié)果輸出模塊明文計(jì)原始數(shù)據(jù)協(xié)同計(jì)算算結(jié)果模塊存證模塊存證模塊數(shù)據(jù)方m調(diào)度模塊n輸入計(jì)算結(jié)果明文計(jì)模塊 輸出模塊算結(jié)果原始數(shù)據(jù)存證模塊存證模塊圖安全多方計(jì)算參考架構(gòu)在一次安全多方計(jì)算任務(wù)中，數(shù)據(jù)方按照預(yù)先設(shè)定的輸入方式，通過安全信道將數(shù)據(jù)發(fā)送給計(jì)算方；計(jì)算方接收數(shù)據(jù)方發(fā)送的數(shù)據(jù)，按照安全多方計(jì)算協(xié)議進(jìn)行協(xié)同計(jì)算，并將結(jié)果發(fā)送給結(jié)果方。在安全多方計(jì)算協(xié)議中結(jié)果方可以有一個(gè)或多個(gè)，計(jì)算方為一個(gè)或多個(gè)。一個(gè)安全多方計(jì)算參與者可以同時(shí)擔(dān)任多個(gè)角色。例如一個(gè)參與者可以同時(shí)承擔(dān)數(shù)據(jù)方、計(jì)算方和結(jié)果方三類角色。安全多方計(jì)算憑借其堅(jiān)實(shí)的安全理論基礎(chǔ)提供輸入秘密數(shù)據(jù)的隱私集合求交PSI（PrivateSetIntersection，PSI），隱私信息檢索（PrivacyPreservingInformation通用安全多方計(jì)算解決方案主要包括基于秘密共享的安全多方SMPC協(xié)議通信輪數(shù)與電路的SMPC更適合高帶寬的網(wǎng)絡(luò)，SMPC協(xié)議適合低延遲的網(wǎng)絡(luò)。此外，基于秘密因此在流行的安全多方計(jì)算解決方案,SecureML25中，經(jīng)常采用基（如RELUSIGMOID等）25MohasselP,ZhangY.SecureML:Asystemforscalableprivacy-preservingmachinelearning[C].2017IEEESymposiumonSecurityandPrivacy(SP),2017表1 通用安全多方計(jì)算實(shí)施方案對(duì)比基于秘密共享的安全多方計(jì)算解決方案基于混淆電路的安全度多方計(jì)算解決方案通信量少多通信輪數(shù)多少簡(jiǎn)單算子性能（如加法、乘法等）高低復(fù)雜算子性能（如指數(shù)、對(duì)數(shù)等）低中riaeetInereciI、（PrivacyPreservingInformation（PrivacyPreservingStatisticalDataMining，PPDM）等。下面主要介紹PSI和PIR。PSI：PSI指通過一系列底層的密碼學(xué)技術(shù)，PSIPSI基于公鑰加密機(jī)制的PSI、基于電路的PSI和的PSI三類PSI雜度都與集合大小成線性關(guān)系，雖然通信復(fù)雜度在幾類PSI但是計(jì)算開銷隨著集合增大變得非常高；由于計(jì)算交集的整個(gè)邏輯（電路的門數(shù)和深度很大，基于電路的PSI隨著OT協(xié)議的快速發(fā)展，基于OT協(xié)議的PSI在時(shí)間復(fù)雜度和通信于公鑰加密機(jī)制的PSI如上文“聯(lián)邦學(xué)習(xí)的開放性問題”所述，PSI可以保護(hù)非交集數(shù)據(jù)，但是不可避免的泄露了交集部分?jǐn)?shù)據(jù)。針對(duì)此問題，F(xiàn)acebook發(fā)布了一種新的PSI方案PS3I26，可以計(jì)算得到交集的秘密共享結(jié)果，進(jìn)一步保護(hù)了交集部分的隱私內(nèi)容。隱私信息檢索PIR：PIR是客戶端從數(shù)據(jù)庫(kù)檢索信息的一種方PIR和數(shù)據(jù)庫(kù)隱私安全的IIetrialII。根據(jù)數(shù)據(jù)庫(kù)副本的個(gè)數(shù)分為多副本PIR和單副本PIRPIR協(xié)此考慮更多的是單副本PIR。單副本PIR只能達(dá)到計(jì)算安全（ComputationalPIR（（26Privatematchingforcompute:Newsolutionstotheproblemofenablingcomputeonprivatesetintersections/open-source/private-matching/（實(shí)用的PIR等多個(gè)條件，并達(dá)到計(jì)算效率和通信效率的平衡。通過同態(tài)加密、OT（三）機(jī)密計(jì)算機(jī)密計(jì)算（ConfidentialComputing）是一種基于硬件可信執(zhí)行環(huán)境實(shí)現(xiàn)數(shù)據(jù)應(yīng)用保護(hù)的技術(shù)27。2019年8月，Linux基金會(huì)宣布成立由埃森哲（Accenture）、螞蟻集團(tuán)、ARM、谷歌、Facebook、華為、微軟、紅帽等多家巨頭企業(yè)組建的“機(jī)密計(jì)算聯(lián)盟”（ConfidentialComputingConsortium，CCC）28。該聯(lián)盟針對(duì)云服務(wù)及硬件生態(tài)，致力于保護(hù)數(shù)據(jù)應(yīng)用中的安全。機(jī)密計(jì)算定義義。如Gartner201929CPU硬件技術(shù)、IaaSEnclaveEnclave使得敏感信息對(duì)主機(jī)OS27ConfidentialComputingDeepDivev1.028Confidentialcomputingconsortium https://confidentialcomputing.io/29Gartne:HypeCycleforPrivacy,2019于硬件的可信執(zhí)行環(huán)境中執(zhí)行計(jì)算來(lái)保護(hù)數(shù)據(jù)應(yīng)用中的隱私安全的技術(shù)之一”27ExecutionEnvironment，TEE）作為機(jī)密計(jì)算的核心技27。目前引入可信執(zhí)行環(huán)境較為成熟的技術(shù)有ARMTrustZoneIntelGuard等。機(jī)密計(jì)算成熟技術(shù)TrustZoneTrustZone將系統(tǒng)的硬件和軟件資源劃分為兩個(gè)執(zhí)行環(huán)境—安全環(huán)境（Secure和普通環(huán)境（NormalWorld），安全環(huán)境擁有入安全環(huán)境，以此來(lái)確保TrustZone的安全性，這也意味著整個(gè)系統(tǒng)的安全性由底層操作系統(tǒng)來(lái)負(fù)責(zé)。IntelSGXAppAAppB操作系統(tǒng)EnclaveBEnclaveASGXIntelCPUSGXCPU的內(nèi)存加密引擎EncryptionEngine，MME）以及Enclave實(shí)現(xiàn)了應(yīng)用程序運(yùn)行安全和IntelSGX允許應(yīng)用程序?qū)崿F(xiàn)一個(gè)被稱為Enclave操作封裝在Enclave加載到Enclave后，保證只有位于Enclave所在的內(nèi)存區(qū)域，容器之外的任何特權(quán)和非特權(quán)軟件都不能訪問EnclaveEnclave都駐留在PageCache，EPCAppAAppB操作系統(tǒng)EnclaveBEnclaveACPUCPU可信組件 不可信組件圖12 IntelSGX基本原理不同于M的tnInl的X，CPU上運(yùn)行多個(gè)可信計(jì)算基的機(jī)密計(jì)算開源框架由于目前服務(wù)器領(lǐng)域依然被x86ARMIntelSGXRustSGXSDKAsylo（不限于以及基于libOSRustSGXSDKIntelSGXC/C++RustSGXSDKRustIntelSGXRust語(yǔ)IntelSGX30RustSDKIntelSGX可RustSGX分為三層（見圖13）31：（1）底層是IntelSGXSDK，30RustSGXSDK：/baidu/rust-sgx-sdk31WangHB,WangP,DingY,etal.TowardsmemorysafeenclaveprogrammingwithRust-SGX.CCS’19C/C++RustC/C++的FFI（ForeignFunctionInterfaces）；（3）RustSGXSDK。圖13 RustSGX架構(gòu)示意圖30Asylo感通信的功能和服務(wù)。一般而言，在TEEAsylo框架的目標(biāo)是使得更多的開發(fā)人員能夠便捷的開發(fā)使用EAsyloC+API中，Enclave應(yīng)用包含可信和不可信組件。開Enclave的類主要有：TrustedApplication、EnclaveClient和EnclaveManagerTrustedApplication是Enclave應(yīng)用的可信組件，負(fù)責(zé)敏感的計(jì)算；EnclaveClient是Enclave應(yīng)用的不可信組件，負(fù)責(zé)32Asylo:https://asylo.dev/責(zé)Enclave的生命周期管理和Enclave來(lái)源：Asylo官網(wǎng)圖14 消息傳遞接口示意圖圖14是消息傳遞接口示意圖?？尚怒h(huán)境包含一個(gè)或多個(gè)Enclave，用來(lái)保護(hù)敏感工作負(fù)載中的代碼和數(shù)據(jù)。創(chuàng)建一個(gè)Enclave，需要定義從TrustedApplication繼承的類，并將實(shí)現(xiàn)邏輯托管在Enclave中。類似地，不可信API提供必要的方法以便可以安全地進(jìn)出Enclave。進(jìn)入Enclave類似于進(jìn)行系統(tǒng)調(diào)用。Enclave入口點(diǎn)實(shí)現(xiàn)了進(jìn)入敏感代碼的通道，以訪問Enclave資源。進(jìn)入時(shí)將參數(shù)復(fù)制到Enclave，退出時(shí)將結(jié)果復(fù)制出來(lái)?；趌ibOS除了使用SDK開發(fā)TEE程序之外，另外基于libOS在真實(shí)的操作系統(tǒng)上層準(zhǔn)備了一份精勢(shì)。為此，將libOSOSlibOS層面來(lái)進(jìn)行通信。對(duì)于機(jī)密計(jì)算來(lái)說，libOS的優(yōu)點(diǎn)是可以便捷的將已有的程序遷移到TEElibOSSGXlibOSGraphene33、Occlum34libOS提供通用的系Enclave到不TEE芯片等安全相關(guān)產(chǎn)（四）差分隱私（Differential2020352033Graphene:https://grapheneproject.io/34Occlum:https://occlum.io/35《麻省理工科技評(píng)論》2020年“全球十大突破性技術(shù)”3636差分隱私定義差分隱私作為量化和限制個(gè)人信息泄露的一種輸出隱私保護(hù)模型，最早是Dwork36在2006年提出。在差分隱私中最關(guān)鍵的概念是相鄰（adjacent）。假設(shè)有有兩個(gè)數(shù)據(jù)集D1和D2，他們有且僅有一條數(shù)據(jù)不一樣，則稱這兩個(gè)數(shù)據(jù)集是相鄰的。若一個(gè)算法A，Range(A)為算法A可能輸出的所有值的集合，如果對(duì)于任意的一對(duì)相鄰集合D和D，任何SRange(A)都滿足：P(A(D)S)eP(A(D)S)則稱算法A滿足3P數(shù)值型輸出的Laplace二是36DworkC.Calibratingnoisetosensitivityinprivatedataanalysis[J].LectureNotesinComputerence,2012,3876(8):265-284.37DworkC,KenthapadiK,McsherryF,etal.OurData,Ourselves:PrivacyViaDistributedNoiseGeneration[C]//InternationalConferenceonAdvancesinCryptology-eurocrypt.DBLP,2006.PAGEPAGE37差分隱私組合定理差分隱私技術(shù)通常解決單個(gè)查詢的隱私保護(hù)問題。但在實(shí)際中，經(jīng)常需要面臨多條隱私計(jì)算組合或在同一數(shù)據(jù)集重復(fù)執(zhí)行相同的隱私計(jì)算的情況，能實(shí)現(xiàn)何種程度的隱私保護(hù)能力。差分隱私組合定理（Composition（SequentialComposition）38：給定數(shù)據(jù)集X，以及一組關(guān)于X滿足i的差分隱私的k個(gè)算法M1(X),M2(X),M3(X),,Mk(X)，任意兩個(gè)算法Mi與Mj(1jik)的隨機(jī)過程kki-i執(zhí)行多個(gè)不同的差分隱私算法組合的隱私保護(hù)程度的損失是可累加的。并行組合（ParallelComposition）則針對(duì)的是不相交數(shù)據(jù)集上的不同計(jì)算函數(shù)。定義為:X的元素x定義在域D上，令1,i,,t是Diii滿足DtD且Dj（iikiiiMiX)此獨(dú)立，那么關(guān)于算法MiX38McSherry,Frank.Privacyintegratedqueries[J].CommunicationsoftheAcm,2010,53(9):89..差分隱私分類等。本地差分隱私（LocalDifferentialPrivacy，LDP）是在基于不可（五）同態(tài)加密便于大家理解，舉個(gè)同態(tài)加密非正式例子，如：Encrypt(2)?Encrypt(3)=Encrypt(2?3)Encrypt(2)?Encrypt(3)=Encrypt(2?3)支持的功能劃分，目前的同態(tài)加密方案可以分為部分同態(tài)加密方案ehatooorhcncptElyHomomorphicEncryption，F(xiàn)HE)（SomewhatHomomorphicPaillier39（由于SHE功能的局限性，一般很難完全基于SHE獨(dú)立SHE來(lái)實(shí)現(xiàn)其SHE來(lái)做SecureAggregation。（FullyHomomorphic2009GentryFHE構(gòu)造41以來(lái)，F(xiàn)HE已經(jīng)得到了CKKS方案4239PaillierP.Public-KeyCryptosystemsBasedonCompositeDegreeResiduosityClasses[J].1999.40BonehD.Evaluating2-DNFFormulasonCiphertexts[J].TCC'05,2005.41Gentry,Craig.Fullyhomomorphicencryptionusingideallattices[J].Stoc,2009:169-178.42CheonJH,KimA,KimM,etal.HomomorphicEncryptionforArithmeticofApproximateNumbers[J].2017.FHE建設(shè)一個(gè)隱私保護(hù)計(jì)算方案，學(xué)術(shù)界也已經(jīng)有了許多相關(guān)研究，但是FHE的計(jì)算代價(jià)仍然比較高，目前還未了解到有商業(yè)應(yīng)用中實(shí)際應(yīng)用了FHE。三、隱私保護(hù)計(jì)算關(guān)鍵技術(shù)綜合評(píng)價(jià)（2所示。安全多方計(jì)算：SMPC其可證明的安全性，除了最終的計(jì)算結(jié)果之外嚴(yán)格沒有任何信息泄露，因此受到密碼學(xué)