system: [SYSTEM]

user: 5. 协议分析 本节将从可行性、安全性以及效率这四个角度对协议进行分析。 5.1. 可行性分析 证明1 当各个理性参与者不知道协议真正的结束轮是在哪一轮时，彼此更倾向于将协议执行下去。 证明 通过反证法可知，要证明该问题其实就是要证明如果参与者知道协议在哪一轮结束，那么他们将没有合作执行协议的期望。如果参与者知道协议在哪一轮结束，那么在这一轮中恶意参与者可以通过发送虚假信息或者干脆不发送任何信息而独自获得秘密，因为这是协议的最后一轮，因此这些恶意参与者并不担心任何惩罚，所以作为理性的参与者，从逆向归纳法的角度来看，从协议的第一轮开始，所有参与者都将会保持沉默，他们将没有合作执行协议的期望，因此最终秘密并不会被重构出来。 证明完毕。 本章所设计的协议采用“随机最后一轮”的原则，使参与者并不知道到底哪一轮是最后一轮，因此根据证明1可知参与者将有共同合作执行协议的期望。 证明2 如果参与者按照协议要求执行协议，那么最终所有参与者都会获得秘密S。 证明 所有严格按照协议执行的参与者，在到达 r * + 1 轮时，参与者计算出 F S i g = E v a l ′ s k ′ ( r ) ，可知当前轮为 r * + 1 轮，因此在 r * 轮也就是上一轮所得出的秘密是真实的校验位bit，由此可以从之前收到的影子份额队列中找到真实有效的影子份额，从而恢复出 f ( x ) ，然后求出要共享的子秘密，从而获得最后的安全多方计算的结果。 证明完毕。 证明3 在满足式 U > β U + + ( 1 − β ) ( α U + + ( 1 − α ) U − ) 时，理性的参与者有动机遵守本章节所设计的协议。 证明 在执行协议时，参与者都是理性的，没有绝对的诚实参与者和恶意参与者，理性参与者只会根据所获得的效益来决定自己是否严格执行协议发送正确的影子份额。在本文协议中，参与者不能提前获知当前轮是不是真实轮。如果参与者想不遵守协议提前了解秘密，根据证明4可知他们只能通过猜测而获得，假如猜对秘密的概率为a，猜对者获得的收益为 U + ；则猜错的概率为 1 − α ，效益为 U − 。所以猜测者的期望收益为 α U + + ( 1 − α ) U − 。 如果猜测者恰好在真实轮 r * 进行攻击，概率为b，收益为 U + ；否则猜测者的效益为 α U + + ( 1 − α ) U − .因此猜测者的期望收益最多为 β U + + ( 1 − β ) ( α U + + ( 1 − α ) U − ) 。 参与者遵守协议获得的收益为U，为了让参与者能遵守协议，应该让 U > β U + + ( 1 − β ) ( α U + + ( 1 − α ) U − ) ，则参与者没有偏离协议的动机。 证明完毕。 5.2. 安全性分析 在秘密共享阶段，理性参与者的效用是根据能否得到秘密S来划分的。分4种情况来考虑：1、参与者P i 得到S， 都没有得到S时P i 的收益为t 1 ；2、所有参与者都得到S为t 2 ；3、任何参与者都没得到S为t 3 ；4、P i 没得到S，而 P − i 得到了S的收益为t 4 。显然 t 1 > t 2 > t 3 > t 4 。因此作为一个理性的参与者，他会根据这个顺序进行决策。 证明4 作为理性参与者更愿意自己得到秘密而别的参与者不会得到秘密(独自得到秘密的收益为t 1 )，则该理性参与者只能通过猜测确定S或者破解可验证随机函数(VRF)使伪造的影子份额不被检验出来。 证明：当参与者P i 严格遵守协议，每次都交互自己手中的影子份额时，参与者i希望能够独自恢复出密码S，则对于i来说在每轮共享影子份额的时候尽量靠后发送自己的影子份额，使自己能够比已经发送了影子份额的参与者早知道当前轮是否为最终轮。对于第j轮，若 1 ≤ j ≤ r * ，因为没有到达结束轮，因此恢复出的校验位bit并不是真实的，因此得到的别的参与者发来的影子份额也就更加没有意义了。当 j = r * + 1 时，参与者仍然采取晚发送影子份额的方式，可以判断出已经到达真正的结束轮，上轮重构出的信息为真实信息。此时为了让自己独自获得秘密而别的参与者得不到秘密所以应该退出协议。同理，对于其他还没有来得及发送自己的影子份额的参与者也会直接退出方案而不发送自己手中的份额，此时对于已经发送了自己手中影子份额的人来说，秘密实际上已经无法成功恢复，但因为所有参与者都是理性的，为所有参与者的共识，故已发送影子份额的参与者分2中情况推断： 1) 如果已退出的参与者恢复出了结束信号，则可以推断出上一轮构造出的bit就是真实的校验位，因此这些已经发送了自己手中影子份额的人来说可以推出真实秘密S，然后退出秘密分享。 2) 如果已经退出的参与者并未恢复出结束信号，此时实际上所有参与者并没有恢复真实的校验位函数。所以此时已经退出的参与者如果想获得t 1 的收益，即独自获得这个秘密S，只能通过凭空猜测。 在多个参与者共同参与的协议中，如果参与者i选择发送伪造的影子份额，首先若其只选择给一部分人发送假的影子份额，给另一部分人发送真的影子份额，则对于收到的假的影子份额的人来说以后不会再跟他合作，这会在之后轮的交互中导致参与者i从别人那里获得的份额减少，有可能不满足门限值从而永远无法恢复出秘密S，如果他像所有都发送虚假影子份额，那就更不能恢复出秘密S了。 综上所述，可知参与者成功伪造影子份额的可能性微乎其微，相当于可验证随机函数被破解，这几乎是不可能的。可知理性参与者在本文协议中想获得t 1 的收益是不可能实现的，因此更趋向于按收益t 2 来做决策，即所有理性参与者都获得秘密S，该方案能够达到纳什均衡。 证明5 在我们的协议中，当总轮数M满足 M > ( q − 1 ) ( t 1 − t 4 ) q t 2 − t 1 − ( q − 1 ) t 4 时 P i 会遵守协议，此时本文设计的协议能够达到纳什均衡。 证明 假设参与者猜测秘密S并猜对的概率为 ，因为是凭空猜测无任何依据，因此q几乎为无穷大，所以理性参与者更倾向于认为当前轮恢复的秘密为真实秘密，也就是猜出当前轮为真实轮，假设M为总轮数，则猜对的概率为 1 M 。 当参与者人数大于门限时。由题设可知： M > ( q − 1 ) t 1 − ( q − 1 ) t 4 q t 2 − t 1 − ( q − 1 ) t 4 M > q t 1 − t 1 − q t 4 + t 4 q t 2 − t 1 − ( q − 1 ) t 4 M > q t 1 − ( t 1 + ( q − 1 ) t 4 ) ( q t 2 − t 1 − ( q − 1 ) ) t 4 M t 2 > t 1 + M ( 1 q t 1 + q − 1 q t 4 ) − ( 1 q t 1 + q − 1 q t 4 ) M t 2 > t 1 + ( M − 1 ) ( 1 q t 1 + q − 1 q t 4 ) 所以可得 t 2 > 1 M t 1 + M − 1 M ( 1 q t 1 + q − 1 q t 4 ) . 如果参与者i准备偏离协议进行推测，则把i恰好在猜测对当前轮为真实轮并退出协议的事件叫做C，把i未猜测对真实轮并退出协议的事件叫做D。则参与者i能获得的收益为 U ( i ) = P ( C ) ⋅ t 1 + P ( D ) ⋅ ( 1 q ⋅ t 1 + q − 1 q ⋅ t 4 ) ，其中 P ( C ) = 1 M ， P ( D ) = M − 1 M 。 因此 t 2 > U ( i ) 。作为一个理性的参与者，当严格执行协议所获得的收益比违背协议所获得的收益大时，他就不会偏离协议。 证明完毕。 5.3. 协议效率分析 理性安全多方计算协议的实现仍然是基于随机性结束机制的，即将传统安全等多方计算协议的输出阶段扩展为多轮重组过程，每一轮都以概率b为真实轮，即在有意义轮中参与者能够恢复出真实的计算结果，但参与者并不知道哪一轮可以恢复出计算结果，因此从本文设计的协议来看，主要开销在于重构时的轮数M，轮数M服从参数为b的几何分布，所以方案的轮复杂度为 O ( 1 / β ) 。