多方安全计算 | 为什么不可以直接在实数上进行秘密分享？

安全多方计算（MPC）一般是在有限环或者域中进行（Ring/Field）进行。比如，Additive Secret Sharing是计算在环（）中，而Shamir's Secret Sharing则是定义在（）域中。对于初学者而言，一个常见的疑问是为什么不直接在实数内定义秘密分享等安全多方计算原语？本次，我们简单整理其背后的原理如下，并给出一些推荐材料。

在利用秘密分享等技术实现MPC协议时，核心的指导思想在于利用关联随机数实现mask-and-compute。为了安全性的保障，mask之后的数据要满足均匀分布，即之后的数据要能够和一个全新的随机数不可区分。以Additive Secret Sharing为例，如果所有的数据都编码在环中，可以均匀选取，则在一次一密的情况下,满足安全性要求；但是，如果是在实数中，不存在一个均匀分布，因而不是均匀随机的，故也无法满足安全性要求。接下来是具体的证明过程，证明为什么在不存在一个均匀分布。证明：假设存在一个均匀分布，那么对于任意的整数，对于一个实数满足的概率应该是相等的。记这个概率是。记事件，则对于无限互斥事件，应该有因为对于每一个实数存在满足，那么。另一方面，对于，有如下两种情况： 

• 如果是没有上限的；
• 如果。

任意一种情况，都得不到。因此，假设不成立。证毕。推荐材料：

1. https://crypto.stackexchange.com/questions/10701/shamirs-secret-share-over-the-reals
2. https://math.stackexchange.com/questions/14777/why-isnt-there-a-uniform-probability-distribution-over-the-positive-real-number
   

作者简介：董业，本科毕业于山东大学计算机科学与技术专业，目前在中国科学院信息工程研究所攻读博士学位。主要研究兴趣包括隐私保护、安全多方计算、同态加密和机器学习。知乎：酸菜鱼。

END

往期推荐

中国密码学会2022年青年论坛通知Piranha:用于安全计算的GPU平台
隐私计算岗高薪酬冲上热搜！

欢迎投稿邮箱：[e-mail]参与更多讨论，请添加小编微信加入交流群