中国科学院院士王小云：密码技术与隐私计算

数字经济时代之下，数据已成为国家重要的基础性战略资源，数据安全应与发展并重。作为保障数据安全的核心与关键，密码技术与隐私计算的重要性愈发凸显。在2022年世界人工智能大会可信隐私计算高峰论坛上，中国科学院院士、清华大学教授王小云发表以《密码技术与隐私计算》为主题的演讲，介绍了达到密码安全高要求的多项隐私保护技术，包括提供隐私保护的签名方案、安全多方计算以及同态加密。她认为，隐私计算在密码技术中占据重要地位，可为各类信息提供保护，有利于打破数据孤岛，释放数据价值。

以下是王小云的演讲核心内容：

01 密码，保障数据安全的有效手段

信息技术推动万物互联，也推动着世界朝更高效、环保、便捷的方向前进。大数据、云计算、区块链、人工智能等信息技术迅速发展，与实体经济各行业领域进行深入交叉融合。

今天，数据已经成为重要的生产要素，2020年，中共中央国务院公布《关于构建更加完善的要素市场化配置体制机制的意见》要求加快培育数据要素市场，加强数据资源整合和安全保护，特别提出制定数据隐私保护制度和安全生产制度。

然而数据安全问题仍然十分严峻，特别是信息恶意获取、篡改、伪造和乱用，成本极低，大规模的数据泄漏时有发生，数据安全应得到全世界的广泛关注。

国家高度重视数据安全，已出台了一系列的相关法律保障。2020年1月1日《中华人民共和国密码法》正式实施，《密码法》的实施有效维护国家安全和社会公共利益，保护公民、法人和技术组织的合法权益，推动商用密码产业高质量发展，加快相关产业的生态和体系建设。2021年出台了《数据安全法》和《个人信息保护法》。

隐私计算是一种非常重要的密码技术，可为各类信息提供保护，为打破数据孤岛，释放数据价值提供非常重要的技术支持。

今天报告的内容主要介绍密码学中的隐私计算技术，隐私计算技术不仅仅局限于密码学，还有一些其他的技术，比如说差分隐私等等。我讲的以下三部分内容主要是指达到密码安全高要求的隐私保护技术。包含：提供隐私保护的签名方案、安全多方计算以及同态加密。

02 多种签名方案有效提供隐私保护

盲签名

1982年David Chaum提出盲签名的思想。讲一个故事，如果Alice要帮Bob签一份文件，但是Alice不想让别人看到签给Bob的信息，所以将复写纸放在信封里面封起来， Bob透过信封通过复写纸就可以签字，虽然看不到文件任何信息但可以签名。

1985年，Chaum实现了第一个RSA算法的盲签名，如果Alice通过m，通过加r的一次方得到mep，mep就是能看到m的信息。签完名以后Bob收到mep签名，签完名以后Alice就可以把名字取走，相当于打开信封就得到了正式的签名，这就是RSA盲签名方案。

群签名

1991年David Chaum与Eugene van Huyst提出群签名方案，任何一个群的成员可以代表群体签名，不知道具体是哪个人签的字，只知道是一个群的签名。

1997年，Gan Camenisch提出非常高效的群签名方案，每一个群体用户都有一个pki和ski，pki等于ski的二次方，pk等于sk，pki是公开的，通过以下步运算得到S。大家可以看出来，这只是一个群公钥的签名，没有任何一个群成员的信息，这就是一种隐私保护技术。

环签名

2011年Rivest、Shamir、Tauman提出环签名方案，希望环成员能够在保持秘密的情况下完成签名。当前一些信息会导致洗黑钱等犯罪的行为，可链接的环签名就是防止匿名滥用的环签名方案，今天已经运用到区块链与世博会当中，特别是防止双重花费的问题，这里面隐私了签名者的身份，如果花货币的时候就会暴露出来。Monero就是使用了可链接环签名，保护了隐私性。

秘密分享技术

秘密分享技术最有名的就是Shamir提出的一种方案。1979年Shamir提出基于拉格朗日插值的秘密分享方案，M是个参与方，任意M是密钥份额可恢复密钥。有一个fx，这个δ是共享密钥，每一个用户拿到对应的f值，我们需要这个值就可以通过下面的拉格朗日插值恢复fx，也就是恢复了δ，这就是一种秘密共享，m的参与方没有任何一个人可以进行计算，就可以恢复δ，这是秘密共享的方案，这个秘密共享方案放在共享密钥里面。

门限签名

最早1991年Desmed提出RSA签名，根据共享密钥给出一个RSA的签名方案。1994年Harm提出了DLP的门限签名，2000年Shoup提出实用化的RSA门限签名，门限签名得到很好的发展和应用，2020年NIST启动了门限密码项目，希望在不久的将来也可以有门限签名的标准。

03 安全多方计算不依赖可信第三方即可完成数据隐私的计算

安全多方计算是1982年由Andrew提出，指的是双方共同计算一个公共函数，并且不泄漏任何中间的信息，两个人共同完成计算的过程中不泄漏个人敏感信息。

其中有一个百万富翁问题，假设Alice是pkg，Bob是skg，要看谁更有钱，就是看pkg大于skg还是小于skg，K是一个加密数，k把真实的财富数隐藏起来了。Bob是m，把这个m扩充足够多的分数，k-i加上u可以衍生出很多份的值，然后对这些值进行解密，计算出z后给Alice，这个时候一定要注意，数据可以有很多个。发现用户是在P到Z之间某一个值是Z是相同的，就说明Alice没有Bob资产多，假设没有这个值就等于Alice比Bob的资产多，这就是安全多方计算的问题。

基于混淆电路的多方安全计算

有人也提出一个混淆电路双方安全计算，特别是在1996年Yao提出了多方的基于混淆电路的安全计算，这个混淆电路的多方安全计算将功能函数转化为逻辑电路，对电路每个门进行混淆后，逐次计算得到函数结果，计算过程当中每一个门都不泄漏真实值，最后Alice和Bob也计算出共同的函数值，但是Alice没有得到Bob的秘密，Bob也没有得到Alice的秘密，这就是一个计算的经典方案。

基于秘密分享的多方安全计算

如果有两个函数，fx和gx，fx+gx也是相同的算式，这是共享的信息，需要7个人用各自的秘密共享计算u和v，通过多方安全计算的形式共同计算出u+v，这样是一个同态计算，也是通过多方信息计算出u+v的共同信息。

右边是乘法计算基于秘密分享的安全计算，也就是fx和gx相乘以后得出一个新的公式，最后计算的信息是一个相同的值，要共同计算运力，这也是用X值的计算方法，也是需要打破隐私计算。但是大家知道，要7个数的和计算f或者是g相以后得到一个新的算式，这是计算的信息，除相同的值技术计算，这是基于秘密分享的计算方法。需要7个分享信息，通过7个扩展信息可以计算出uv，大家只要知道有种基于秘密分享能够计算出u+v和uv，这两个值很重要，可以在密码学里面很多应用，比如可以做群签名，几个人完成共同的签名，不是单一的签名。

安全多方计算应用

安全多方计算有很多重要的应用，比如隐私求交。2020年有一个基于MPC典型计算的隐私求交问题，比如保险公司查医疗事故是不是有保险，只需要能查出来是否有保险就可以了，这是一个隐私求交的问题，所以有很多种应用，隐私求交计算已经有一些真实场景。还有隐私排序、隐私查询都可以用多方安全计算的技术来做。

04 全同态加密，让数据“可用不可见”

全同态加密是隐私计算的新领域，也是这几年发展非常快的一个领域。全同态加密数据不可见，确实是隐私保护，因为看不见了，但我们希望这个数据看不见以后还能用，也就是“可用不可见”，在看不到真实信息的情况下还能对真实信息进行黑盒世界下的计算，同态加密就可以进行密态数据计算，秘密进行计算的时候也完成了隐私计算，这是非常好的事情。可以这样说，云计算平台存储了用户很多秘密，需要对这些信息进行隐私计算，因为是秘密不能直接进行计算，需要对秘密进行计算，计算完了以后得到cf计算以后的计算f以后的秘密，这个时候用户直接可以解出f、m，只需要把这个f的计算进行处理就可以了。

要进行函数计算，有两个要求，一个是两个密文相加等于两个相加的秘密，两个密文相乘等于两个相乘的秘密，只要完成这两个计算就可以了，就可以对另一个f进行计算。

全同态加密的发展史

1978年Ronold Rivest提出全同态加密概念，2009年Craig Gentry提出首个全同态加密方案，2012年发展成二代，2013年发展成第三代，2017年是第四代。

Gentry方案

如果是一个加密算法只有一个加密问题，密文加上小的扰动，大家看两个密文的相加等于两个密文相加，加密计算的扰动要把以前的扰动大，达到一定程度的时候就解密不了的。就是同态加密不能进行很多次计算，如果进行很多次计算以后超出太多解不了密，这是根本性问题。乘法运算超更快，乘完以后m1×m2，也就是说解决不了乘法运算，就解不了密了，所以不能得到很成功的应用。

为了解决噪音膨胀的问题Gentry引入bootstrapping技术，通过计算出来m密文，实际上就是fm，密文太大不太好解。但如果把Cold加密以后得到Ckey，是解密电路的形式，这个时候根据得到计算电路得到了m新的密文，而这个新的密文里面的错误是很小的，错误小解密就可以解出来，同态加密以前的方法解不开，通过bootstrapping技术以后得到新的密文，错误是非常小的，这就是非常好的方法。

第二代方案

二代同态加密基于LWE问题效率提升十的五次方倍以上，Brakerski提出来BFV和BGV，关键技术是重线性化技术和密文进行降噪。

BFV方案

我们看这个密文比较复杂，简单说一下。这是加密的m密文，这是公开密钥，这个很简单，这是明文，因为对明文进行加密，明文是二分之q。我们要看乘法运算，乘法运算两个明文想乘法就出来这个，有一个sk×sk，有一个二次项s平方，大家知道，同态加密效率非常慢，怎么办？把sk的二次方清除掉，也就是说我借助计算密钥把s二次方清除掉。把密文进行分解，这很容易理解，噪音得到很好的降解，噪音小了，原来的计算技术有了大幅度提升，这就是同态计算，这就是二代的BVF方案。

第三代方案

三代有一个近似特征向量的办法，第三代又用了bootstrapping计算，每一次都要bootstrapping，就是每一次计算都要消噪音。

第四代方案

四代就是近似同态方案，所以不一定是正数，它支持浮点计算。

实现与标准化

同态加密计算得到了比较好的应用，大家也开始关注性能优化，引入一些开源密码库，标准化过程也正在推进。

全同态加密应用

FHE已经在机器学习、密文检索等方面得到初步应用。比如神经网络计算框架的应用，对加密图像进行分类，加密图像只能通过秘密计算完成图像分类，时间小于1.7秒，准备率达到96%，数据比较小。也应用到安全基因分析和数据库加密。

全同态加密研究方向

全同态加密研究方向是我最近比较关注的方向，FHE与其他秘密领域结合，同态计算对称密码很显然是要加密，加密就算一个计算，如何把AES的加密计算要到同态计算里面。我们两个人共同计算一个函数的值，但是也不泄漏中间值，也可以全同态加密进行计算。结合以后也取得了有效成果。

FHE与人工智能、联邦学习、智能合约进行融合，跟场景进行绑定，人工智能、联邦学习、智能合约有更大的应用、更多的价值，有利于实现大数据的社会价值。

全同态加密算法还需要突破一些关键技术，比如同态加密算法快速实现，我们也可以通过设计数学难题的控制，让算法实现的时候更快一点，因为控制越准计算越快，增幅不会太多，可能3到5倍甚至2倍。有一种比较高效的办法就是同态加密芯片，我个人认为这是非常好的领域。