Безопасные многосторонние вычисления: криптографический подход к защите данных.

Введение

Подраздел криптографии

Безопасные многосторонние вычисления (также известные как безопасные вычисления, многосторонние вычисления (MPC) или вычисления, сохраняющие конфиденциальность) — это подраздел криптографии, целью которого является разработка методов, позволяющих сторонам совместно вычислять функцию над своими входными данными, сохраняя при этом эти данные в тайне. В отличие от традиционных криптографических задач, где криптография обеспечивает безопасность и целостность связи или хранения, а злоумышленник находится вне системы участников (например, перехватывает сообщения между отправителем и получателем), криптография в данной модели защищает конфиденциальность участников друг от друга. Основы безопасных многосторонних вычислений были заложены в конце 1970-х годов в работах по ментальному покеру — криптографическим исследованиям, имитирующим игровые/вычислительные задачи на расстоянии без привлечения доверенной третьей стороны. Традиционно криптография была направлена на сокрытие содержимого, тогда как этот новый тип вычислений и протоколов направлен на сокрытие частичной информации о данных при вычислениях с данными из множества источников и корректное получение результатов. К концу 1980-х годов Майкл Бен-Ор, Шафи Голдвассер и Ави Вигдерсон, а также независимо от них Дэвид Чоум, Клод Крепо и Иван Дамгард опубликовали работы, демонстрирующие "возможность безопасного вычисления любой функции в условиях защищенных каналов связи".

История

Специальные протоколы для конкретных задач появились в конце 1970-х годов. Позже, безопасные вычисления были формально введены как безопасные вычисления двух сторон (2PC) в 1982 году (для так называемой проблемы миллионеров, специфической задачи, являющейся булевым предикатом), и в общем виде (для любых реализуемых вычислений) в 1986 году Эндрю Яо. Эта область также называется безопасной оценкой функций (SFE). За двухсторонним случаем последовало обобщение на многосторонний случай Одедом Голдрейхом, Сильвио Микали и Ави Вигдерсоном. Вычисления основаны на секретном разделении всех входных данных и доказательствах с нулевым разглашением для потенциально злоумышленного случая, где большинство честных участников в случае злонамеренного противника гарантируют обнаружение некорректного поведения и продолжение вычислений с исключением нечестного участника или раскрытием его входных данных. Эта работа предложила базовую общую схему, которой должны следовать практически все будущие многосторонние протоколы для безопасных вычислений. В этой работе был представлен подход, известный как парадигма GMW, для компиляции многостороннего вычислительного протокола, устойчивого к получестным противникам, в протокол, устойчивый к злонамеренным противникам. За этой работой последовал первый устойчивый безопасный протокол, терпимо относящийся к ошибочному поведению без раскрытия выходных данных кого-либо, посредством работы, в которой была изобретена часто используемая "идея разделения долей" и протокол, позволяющий одной из сторон безоговорочно скрыть свои входные данные. Парадогма GMW долгое время считалась неэффективной из-за значительных накладных расходов, которые она вносит в базовый протокол. Однако было показано, что можно достичь эффективных протоколов, что делает это направление исследований еще более интересным с практической точки зрения. Приведенные выше результаты относятся к модели, в которой противник ограничен вычислениями за полиномиальное время и наблюдает за всеми коммуникациями, поэтому модель называется "вычислительной моделью". Кроме того, было показано, что протокол скрытой передачи является полным для этих задач. Приведенные выше результаты установили, что в указанных вариациях можно достичь безопасных вычислений, когда большинство пользователей честны. Следующим вопросом было решение задачи безопасных каналов связи, где противник не имеет доступа к связи типа "точка-точка"; в этом случае было показано, что решения могут быть достигнуты, если до 1/3 участников ведут себя некорректно и злонамеренно, и решения не используют криптографические инструменты (поскольку доступна безопасная связь). Добавление широковещательного канала позволяет системе выдерживать до 1/2 недобросовестного меньшинства, в то время как ограничения связности на графе связи были исследованы в книге "Perfectly Secure Message Transmission". С годами понятие многосторонних протоколов общего назначения стало плодотворной областью для изучения фундаментальных и общих свойств протоколов, таких как универсальная композируемость или мобильный противник, как в случае проактивного секретного разделения. С конца 2000-х годов, и особенно с 2010 года, область протоколов общего назначения перешла к улучшению эффективности протоколов с учетом практических приложений. Были предложены все более эффективные протоколы для MPC, и теперь MPC можно рассматривать как практическое решение для различных реальных задач (особенно тех, которые требуют только линейного разделения секретов и в основном локальных операций с долями без значительного взаимодействия между участниками), таких как распределенное голосование, частные торги и аукционы, совместное использование функций подписи или дешифрования и конфиденциальный поиск информации. Первым крупномасштабным и практическим применением многосторонних вычислений стало проведение электронного двойного аукциона на датском аукционе сахарной свеклы, который состоялся в январе 2008 года. Очевидно, что необходимы как теоретические концепции и исследования, так и прикладные разработки (например, условия для внедрения MPC в повседневную деятельность были предложены и представлены в). В 2020 году ряд компаний, работающих с безопасными многосторонними вычислениями, основали альянс MPC с целью "ускорить осведомленность, принятие и внедрение технологии MPC".

Special purpose protocols for specific tasks started in the late 1970s. Later, secure computation was formally introduced as secure two party computation (2PC) in 1982 (for the so called Millionaires' Problem, a specific problem which is a Boolean predicate), and in generality (for any feasible computation) in 1986 by Andrew Yao. The area is also referred to as Secure Function Evaluation (SFE). The two party case was followed by a generalization to the multi party by Oded Goldreich, Silvio Micali, and Avi Wigderson. The computation is based on secret sharing of all the inputs and zero knowledge proofs for a potentially malicious case, where the majority of honest players in the malicious adversary case assure that bad behavior is detected and the computation continues with the dishonest person eliminated or his input revealed. This work suggested the very basic general scheme to be followed by essentially all future multi party protocols for secure computing. This work introduced an approach, known as GMW paradigm, for compiling a multi party computation protocol which is secure against semi honest adversaries to a protocol that is secure against malicious adversaries. This work was followed by the first robust secure protocol which tolerates faulty behavior graciously without revealing anyone's output via a work which invented for this purpose the often used `share of shares idea' and a protocol that allows one of the parties to hide its input unconditionally. The GMW paradigm was considered to be inefficient for years because of huge overheads that it brings to the base protocol. However, it is shown that it is possible to achieve efficient protocols, and it makes this line of research even more interesting from a practical perspective. The above results are in a model where the adversary is limited to polynomial time computations, and it observes all communications, and therefore the model is called the `computational model'. Further, the protocol of oblivious transfer was shown to be complete for these tasks. The above results established that it is possible under the above variations to achieve secure computation when the majority of users are honest. The next question to solve was the case of secure communication channels where the point to point communication is not available to the adversary; in this case it was shown that solutions can be achieved with up to 1/3 of the parties being misbehaving and malicious, and the solutions apply no cryptographic tools (since secure communication is available). Adding a broadcast channel allows the system to tolerate up to 1/2 misbehaving minority, whereas connectivity constraints on the communication graph were investigated in the book Perfectly Secure Message Transmission. Over the years, the notion of general purpose multi party protocols became a fertile area to investigate basic and general protocol issues properties on, such as universal composability or mobile adversary as in proactive secret sharing. Since the late 2000s, and certainly since 2010 and on, the domain of general purpose protocols has moved to deal with efficiency improvements of the protocols with practical applications in mind. Increasingly efficient protocols for MPC have been proposed, and MPC can be now considered as a practical solution to various real life problems (especially ones that only require linear sharing of the secrets and mainly local operations on the shares with not much interactions among the parties), such as distributed voting, private bidding and auctions, sharing of signature or decryption functions and private information retrieval. The first large scale and practical application of multi party computation was the execution of an electronic double auction in the Danish Sugar Beet Auction, which took place in January 2008. Obviously, both theoretical notions and investigations, and applied constructions are needed (e. g., conditions for moving MPC into part of day by day business was advocated and presented
in). In 2020, a number of companies working with secure multiparty computation founded the MPC alliance with the goal of "accelerate awareness, acceptance, and adoption of MPC technology."

Протоколы

Существуют значительные различия между протоколами, предлагаемыми для вычислений между двумя сторонами (2PC) и многосторонних вычислений (MPC). Кроме того, для протоколов специального назначения, имеющих важное значение, часто требуется разработать специализированный протокол, отличающийся от универсальных (голосование, аукционы, платежи и т.п.).

Двусторонние вычисления

Двухсторонний сценарий особенно интересен не только с точки зрения практического применения, но и потому, что в двухстороннем сценарии можно применять специальные методы, которые не применимы в многостороннем случае. Действительно, безопасные многосторонние вычисления (фактически, частный случай безопасной оценки функции, где оценивается только одна функция) впервые были представлены в двухстороннем сценарии. Оригинальная работа часто упоминается как одна из двух работ Яо, хотя в этих работах на самом деле не содержится то, что сейчас известно как протокол запутанной схемы Яо. Базовый протокол Яо устойчив к получестным противникам и чрезвычайно эффективен с точки зрения количества раундов, которое является постоянным и не зависит от оцениваемой целевой функции. Функция рассматривается как булева схема с входами в двоичном формате фиксированной длины. Булева схема представляет собой набор логических элементов, соединенных тремя типами проводов: входными проводами схемы, выходными проводами схемы и промежуточными проводами. Каждый логический элемент получает два входных провода и имеет один выходной провод, который может быть разветвлен (то есть передан нескольким логическим элементам на следующем уровне). Простая оценка схемы выполняется путем последовательной оценки каждого логического элемента при условии, что логические элементы топологически упорядочены. Логический элемент представлен в виде таблицы истинности, которая для каждой возможной пары входных битов (полученных с входных проводов) присваивает уникальный выходной бит, являющийся значением выходного провода логического элемента. Результатом оценки являются биты, полученные на выходных проводах схемы. Яо объяснил, как запутать схему (скрыть ее структуру), чтобы две стороны – отправитель и получатель – могли узнать выход схемы, и ничего больше. В общих чертах, отправитель подготавливает запутанную схему и отправляет ее получателю, который конфиденциально оценивает схему, узнавая кодировки, соответствующие как его, так и выходным данным отправителя. Затем он отправляет отправителю кодировки отправителя, позволяя ему вычислить свою часть выходных данных. Отправитель отправляет получателю отображение кодировок выходных данных получателя на биты, позволяя получателю получить свои выходные данные. Более подробно, запутанная схема вычисляется следующим образом. Основным компонентом является симметричное шифрование с двойным ключом. Для каждого логического элемента схемы каждое возможное значение его входных проводов (0 или 1) кодируется случайным числом (меткой). Значения, полученные в результате оценки логического элемента для каждой из четырех возможных пар входных битов, также заменяются случайными метками. Запутанная таблица истинности логического элемента состоит из шифрований каждой выходной метки с использованием меток входных данных в качестве ключей. Положение этих четырех шифротекстов в таблице истинности рандомизировано, чтобы не раскрывать информацию о логическом элементе. Для правильной оценки каждого запутанного логического элемента схема шифрования должна обладать двумя свойствами. Во-первых, диапазоны функции шифрования для любых двух различных ключей должны быть непересекающимися (с преобладающей вероятностью). Второе свойство заключается в том, что можно эффективно проверить, был ли данный шифротекст зашифрован с использованием данного ключа. Благодаря этим двум свойствам получатель, получив метки для всех входных проводов схемы, может оценить каждый логический элемент, сначала выяснив, какой из четырех шифротекстов был зашифрован его ключами меток, а затем расшифровав его, чтобы получить метку выходного провода. Это делается конфиденциально, поскольку все, что узнает получатель во время оценки, – это кодировки битов. Входные биты отправителя (то есть создателей схемы) могут быть отправлены оценщику в виде кодировок, в то время как кодировки получателя (то есть оценщиков схемы), соответствующие его входным битам, получаются с помощью протокола 1 из 2 скрытой передачи (OT). Протокол 1 из 2 OT позволяет отправителю, владеющему двумя значениями C1 и C2, отправить запрошенное получателем значение (b – значение из {1, 2}) таким образом, чтобы отправитель не знал, какое значение было передано, а получатель узнавал только запрошенное значение. Если рассматриваются злонамеренные противники, необходимо предусмотреть дополнительные механизмы для обеспечения правильного поведения обеих сторон. По построению легко показать безопасность для отправителя, если протокол OT уже безопасен против злонамеренного противника, поскольку все, что может сделать получатель, – это оценить запутанную схему, которая не сможет достичь выходных проводов схемы, если он отклонится от инструкций. Ситуация на стороне отправителя совершенно иная. Например, он может отправить неверную запутанную схему, вычисляющую функцию, раскрывающую входные данные получателя. Это означало бы, что конфиденциальность больше не соблюдается, но поскольку схема запутана, получатель не сможет это обнаружить. Однако можно эффективно применять доказательства с нулевым разглашением, чтобы сделать этот протокол безопасным против злонамеренных противников с небольшими накладными расходами по сравнению с протоколом для получестных противников. Секретное распределение, определяющее, как вычислять сложение и умножение на секретных долях, часто используется для вычисления функций с использованием секретных долей Шамира. Схемы секретного распределения с аддитивным свойством могут выдерживать контроль противника над всеми сторонами, кроме одной, то есть поддерживать безопасность против пассивного и активного противника с неограниченной вычислительной мощностью. Некоторые протоколы требуют фазы настройки, которая может быть безопасна только против вычислительно ограниченного противника. Ряд систем реализовали различные формы MPC со схемами секретного распределения. Наиболее популярной является SPDZ, которая реализует MPC с аддитивными секретными долями и безопасна против активных противников.

The two party setting is particularly interesting, not only from an applications perspective but also because special techniques can be applied in the two party setting which do not apply in the multi party case. Indeed, secure multi party computation (in fact the restricted case of secure function evaluation, where only a single function is evaluated) was first presented in the two party setting. The original work is often cited as being from one of the two papers of Yao; although the papers do not actually contain what is now known as Yao's garbled circuit protocol. Yao's basic protocol is secure against semi honest adversaries and is extremely efficient in terms of number of rounds, which is constant, and independent of the target function being evaluated. The function is viewed as a Boolean circuit, with inputs in binary of fixed length. A Boolean circuit is a collection of gates connected with three different types of wires: circuit input wires, circuit output wires and intermediate wires. Each gate receives two input wires and it has a single output wire which might be fan out (i. e. be passed to multiple gates at the next level). Plain evaluation of the circuit is done by evaluating each gate in turn; assuming the gates have been topologically ordered. The gate is represented as a truth table such that for each possible pair of bits (those coming from the input wires' gate) the table assigns a unique output bit; which is the value of the output wire of the gate. The results of the evaluation are the bits obtained in the circuit output wires. Yao explained how to garble a circuit (hide its structure) so that two parties, sender and receiver, can learn the output of the circuit and nothing else. At a high level, the sender prepares the garbled circuit and sends it to the receiver, who obliviously evaluates the circuit, learning the encodings corresponding to both his and the sender's output. He then just sends back the sender's encodings, allowing the sender to compute his part of the output. The sender sends the mapping from the receivers output encodings to bits to the receiver, allowing the receiver to obtain their output. In more detail, the garbled circuit is computed as follows. The main ingredient is a double keyed symmetric encryption scheme. Given a gate of the circuit, each possible value of its input wires (either 0 or 1) is encoded with a random number (label). The values resulting from the evaluation of the gate at each of the four possible pair of input bits are also replaced with random labels. The garbled truth table of the gate consists of encryptions of each output label using its inputs labels as keys. The position of these four encryptions in the truth table is randomized so no information on the gate is leaked. To correctly evaluate each garbled gate the encryption scheme has the following two properties. Firstly, the ranges of the encryption function under any two distinct keys are disjoint (with overwhelming probability). The second property says that it can be checked efficiently whether a given ciphertext has been encrypted under a given key. With these two properties the receiver, after obtaining the labels for all circuit input wires, can evaluate each gate by first finding out which of the four ciphertexts has been encrypted with his label keys, and then decrypting to obtain the label of the output wire. This is done obliviously as all the receiver learns during the evaluation are encodings of the bits. The sender's (i. e. circuit creators) input bits can be just sent as encodings to the evaluator; whereas the receiver's (i. e. circuit evaluators) encodings corresponding to his input bits are obtained via a 1 out of 2 oblivious transfer (OT) protocol. A 1 out of 2 OT protocol enables the sender possessing of two values C1 and C2 to send the one requested by the receiver (b a value in {1,2}) in such a way that the sender does not know what value has been transferred, and the receiver only learns the queried value. If one is considering malicious adversaries, further mechanisms to ensure correct behavior of both parties need to be provided. By construction it is easy to show security for the sender if the OT protocol is already secure against malicious adversary, as all the receiver can do is to evaluate a garbled circuit that would fail to reach the circuit output wires if he deviated from the instructions. The situation is very different on the sender's side. For example, he may send an incorrect garbled circuit that computes a function revealing the receiver's input. This would mean that privacy no longer holds, but since the circuit is garbled the receiver would not be able to detect this. However, it is possible to efficiently apply Zero Knowledge proofs to make this protocol secure against malicious adversaries with a small overhead comparing to the semi honest protocol. which defines how to compute addition and multiplication on secret shares, is often used to compute functions with Shamir secret shares. Additive secret sharing schemes can tolerate the adversary controlling all but one party, that is , while maintaining security against a passive and active adversary with unbounded computational power. Some protocols require a setup phase, which may only be secure against a computationally bounded adversary. A number of systems have implemented various forms of MPC with secret sharing schemes. The most popular is SPDZ, which implements MPC with additive secret shares and is secure against active adversaries.

Другие протоколы

В 2014 году была описана "модель обеспечения справедливости в безопасных вычислениях, при которой злоумышленник, прерывающий вычисления после получения результата, обязан выплатить заранее согласованную денежную компенсацию" для сети Биткойн или справедливой лотереи, и успешно реализована в Ethereum.

Практические системы MPC

В последние годы достигнут значительный прогресс в системах 2PC и MPC.

Протоколы на основе Яо

Одной из основных проблем при работе с протоколами на основе Яо является то, что функция, которую необходимо безопасно вычислить (которая может быть произвольной программой), должна быть представлена в виде схемы, обычно состоящей из XOR и AND-вентилей. Поскольку большинство реальных программ содержат циклы и сложные структуры данных, это весьма нетривиальная задача. Система Fairplay стала первым инструментом, разработанным для решения этой проблемы. Fairplay состоит из двух основных компонентов. Первый из них – компилятор, позволяющий пользователям писать программы на простом языке высокого уровня и преобразовывать их в булево-логическое представление схемы. Второй компонент затем может "запутывать" схему и выполнять протокол для безопасного вычисления запутанной схемы. Помимо двухсторонних вычислений на основе протокола Яо, Fairplay также может выполнять многосторонние протоколы, используя протокол BMR. Подход, который на данный момент представляется наиболее перспективным для достижения активной безопасности, основан на комбинации техники запутывания и парадигмы "вырезать и выбрать". Эта комбинация, по-видимому, позволяет создавать более эффективные конструкции. Чтобы избежать вышеупомянутых проблем, связанных с нечестным поведением, от конструктора к вычислителю отправляется множество запутываний одной и той же схемы. Затем примерно половина из них (в зависимости от конкретного протокола) раскрывается для проверки согласованности, и если она подтверждается, то подавляющее большинство неоткрытых запутываний с высокой вероятностью являются корректными. Результатом является мажоритарное голосование по всем вычислениям. В данном случае требуется выход большинства. Если результаты не совпадают, получатель понимает, что отправитель жульничает, но не может пожаловаться, поскольку это может привести к утечке информации о его входных данных. Этот подход к активной безопасности был предложен Линдэллом и Пинкасом. Пинкас и др. реализовали эту технику в 2009 году. Эффективность активно защищенных реализаций на основе Яо была еще больше улучшена, потребовав всего 40 схем и значительно меньшего количества обязательств для достижения желаемой вероятности обмана. Улучшения связаны с новыми методологиями выполнения "вырезать и выбрать" на передаваемых схемах. В последнее время основное внимание уделяется высокопараллельным реализациям на основе запутанных схем, предназначенным для работы на процессорах с большим количеством ядер. Кройтер и др. описывают реализацию, работающую на 512 ядрах мощного кластерного компьютера. Используя эти ресурсы, они смогли вычислить функцию расстояния редактирования длиной 4095 бит, схема которой состоит почти из 6 миллиардов вентилей. Для этого они разработали специализированный, более оптимизированный компилятор схем, чем Fairplay, и несколько новых оптимизаций, таких как конвейеризация, при которой передача запутанной схемы по сети начинается, пока остальная часть схемы еще генерируется. Время вычисления AES было сокращено до 1,4 секунды на блок в активном режиме, используя кластерную машину с 512 узлами, и до 115 секунд, используя один узел. Шелат и Шен улучшили этот результат, используя стандартное оборудование, до 0,52 секунды на блок. В той же работе сообщается о пропускной способности 21 блок в секунду, но с задержкой 48 секунд на блок. Между тем, другая группа исследователей изучила возможность использования графических процессоров потребительского класса для достижения аналогичного уровня параллелизма. Они используют расширения протокола слепой передачи и некоторые другие новые методы для разработки своего специализированного протокола для графических процессоров. Этот подход, по-видимому, достигает сравнимой эффективности с кластерной вычислительной реализацией, используя аналогичное количество ядер. Однако авторы сообщают только о реализации схемы AES, которая содержит около 50 000 вентилей. С другой стороны, необходимое оборудование здесь гораздо более доступно, поскольку аналогичные устройства уже могут быть установлены во многих настольных компьютерах или игровых консолях. Авторы получили время 2,7 секунды на блок AES на стандартном настольном компьютере со стандартным графическим процессором. Если они допускают снижение безопасности до уровня, близкого к скрытой безопасности, они достигают времени выполнения 0,30 секунды на блок AES. В случае пассивной безопасности сообщается об обработке схем с 250 миллионами вентилей со скоростью 75 миллионов вентилей в секунду.

One of the main issues when working with Yao based protocols is that the function to be securely evaluated (which could be an arbitrary program) must be represented as a circuit, usually consisting of XOR and AND gates. Since most real world programs contain loops and complex data structures, this is a highly non trivial task. The Fairplay system was the first tool designed to tackle this problem. Fairplay comprises two main components. The first of these is a compiler enabling users to write programs in a simple high level language, and output these programs in a Boolean circuit representation. The second component can then garble the circuit and execute a protocol to securely evaluate the garbled circuit. As well as two party computation based on Yao's protocol, Fairplay can also carry out multi party protocols. This is done using the BMR protocol,

The approach that so far seems to be the most fruitful in obtaining active security comes from a combination of the garbling technique and the "cut and choose" paradigm. This combination seems to render more efficient constructions. To avoid the aforementioned problems with respect to dishonest behaviour, many garblings of the same circuit are sent from the constructor to the evaluator. Then around half of them (depending on the specific protocol) are opened to check consistency, and if so a vast majority of the unopened ones are correct with high probability. The output is the majority vote of all the evaluations. Here the majority output is needed. If there is disagreement on the outputs the receiver knows the sender is cheating, but he cannot complain as otherwise this would leak information on his input. This approach for active security was initiated by Lindell and Pinkas. This technique was implemented by Pinkas et al. in 2009, the efficiency of actively secure Yao based implementations was improved even further, requiring only 40 circuits, and a much smaller number of commitments, to obtain cheating probability. The improvements come from new methodologies for performing cut and choose on the transmitted circuits. More recently, there has been a focus on highly parallel implementations based on garbled circuits, designed to be run on CPUs with many cores. Kreuter, et al. describe an implementation running on 512 cores of a powerful cluster computer. Using these resources they could evaluate the 4095 bit edit distance function, whose circuit comprises almost 6 billion gates. To accomplish this they developed a custom, better optimized circuit compiler than Fairplay and several new optimizations such as pipelining, whereby transmission of the garbled circuit across the network begins while the rest of the circuit is still being generated. The time to compute AES was reduced to 1.4 seconds per block in the active case, using a 512 node cluster machine, and 115 seconds using one node. Shelat and Shen improve this, using commodity hardware, to 0.52 seconds per block. The same paper reports on a throughput of 21 blocks per second, but with a latency of 48 seconds per block. Meanwhile, another group of researchers has investigated using consumer grade GPUs to achieve similar levels of parallelism. They utilize oblivious transfer extensions and some other novel techniques to design their GPU specific protocol. This approach seems to achieve comparable efficiency to the cluster computing implementation, using a similar number of cores. However, the authors only report on an implementation of the AES circuit, which has around 50,000 gates. On the other hand, the hardware required here is far more accessible, as similar devices may already be found in many people's desktop computers or games consoles. The authors obtain a timing of 2.7 seconds per AES block on a standard desktop, with a standard GPU. If they allow security to decrease to something akin to covert security, they obtain a run time of 0.30 seconds per AES block. In the passive security case there are reports of processing of circuits with 250 million gates, and at a rate of 75 million gates per second.

Внедрение безопасного многостороннего анализа вычислительных данных

Одним из основных применений безопасных многосторонних вычислений является возможность анализа данных, хранящихся у нескольких сторон, или "слепого" анализа данных третьими сторонами, без предоставления хранителю данных информации о характере проводимого анализа.

Аппаратные реализации

Имя Разработчик Год выпуска Заметки Поддерживается ли? Trident MPCi4p informatics ltd. 2019 Первый на рынке физический аппаратный модуль безопасности, сертифицированный по стандарту Common Criteria EAL4+, разработанный для применения безопасных многосторонних вычислений (SMPC) в управлении криптографическими ключами. По состоянию на 2024 год.