Редукция к мв

Вход.Процессорiсодержит строку битовx_i¹...x_iⁿ{0,1}ⁿ,i=1,2.

1. Разделение входов. Каждый процессор делит каждый из своих входных битов с другим процессором. То есть для каждогоi=1,2 иj=1,...,nпроцессорiравномерно выбирает битr_i^jи посылает его другому процессору, как долю входной линии (с нумерацией ((i-1)n+j) последнего. Процессорiустанавливает свою собственную долю на входной линии с нумерацией (i-1)n+jв значениеx_i^j+r_i^j.

2. Эмуляция схемы. Следуя нумерации линий, процессоры используют свои доли двух входных линий схемы, чтобы конфиденциально вычислить доли для выходной линии вентиля.

Предположим, что процессоры имеют общие две входные линии вентиля, то есть процессор 1 содержит доли a₁,b₁, а процессор 2 содержит долиa₂,b₂, гдеa₁,a₂- доли на первой линии иb₁,b₂- доли на второй линии. Рассмотрим два случая.

2.1. Эмуляция аддитивного вентиля.Процессор 1 только устанавливают долю выходной линии вентиля в значениеa₁+b₁, а процессор 2 устанавливают долю выходной линии вентиля в значениеa₂+b₂.

2.2. Эмуляция мультипликативного вентиля. Доли выходной линии вентиля получаются посредством вызова оракула для вычисления функции (см.(3.1)-(3.2)), где процессор 1 обеспечивает вход (часть запроса) (a₁,b₁), а процессор 2 обеспечивает вход (a₂,b₂). После ответов оракула, каждый из процессоров устанавливают свою долю выходной линии вентиля в значение равное своей части ответа оракула.

3. Восстановление выходных битов. Как только доли выходных линий схемы вычислены, каждый процессор посылает долю с каждой из таких линий процессору, с которым линия связана. То есть доли на последнихnлиниях посылаются процессором 1 процессору 2, в то время как долиnпредшествующих линий посылаются процессором 2 процессору 1. Каждый из процессоров восстанавливает соответствующие выходные биты, складывая две доли; то есть доли, которую он получил на шаге 2 и доли, полученной на текущем шаге.

Выход.Каждый процессор локально выдает биты, восстановленные на шаге 3.

Сначала необходимо проверить, что выходы действительно корректны. Это можно сделать методом индукции, которая состоит в том, что значение доли каждой линии прибавляется к корректному значению на линии. Базис индукции – номер входной линии схемы. А, именно, ((i-1)n+j)-тая линия имеет значениеx_i^jи ее доли -r_i^jиr_i^j+x_i^j. На каждом шаге индукции рассматривается эмуляция аддитивного или мультипликативного вентиля. Предположим, что значения входных линий –aиbи что их долиa₁,a₂иb₁,b₂, которые удовлетворяютa₁+a₂=aиb₁+b₂=b. В случае аддитивного вентиля доли на выходной линии устанавливаются в значенияa₁+b₁иa₂+b₂, что удовлетворяет (a₁+b₁)+(a₂+b₂)=(a₁+a₂)+(b₁+b₂)=a+b. В случае мультипликативного вентиля доли выходной линии были устанавливаются в значенияc₁иc₂так, чтоc₁+c₂=(a₁+a₂)^(b₁+b₂). Таким образом,c₁+c₂=a^b, что и требовалось показать.

В работе [Go2] приводятся формальные аргументы для конфиденциального сведения вычисления на арифметической схеме надGF(2) к функции, вычислимой в соответствии с уравнениями (3.1)-(3.2). А следующая теорема, устанавливает главный результат для конфиденциального вычисления любой вычислимой функции для случая двухстороннего протокола взаимодействия.

Теорема 3.2.Предположим, что односторонние перестановки с секретом существуют. Тогда любая вычислимая функция для получестной модели конфиденциально вычислима.