Lec 14MPC：应用
Lec 14 MPC：应用
MIT 6.5610 · Lecture 14 · 关键词：隐私集合求交、门限签名、隐私统计、SPDZ、预处理模型、实际部署 说明：以标准处理撰写，要点与本课"MPC Applications"一致。
TL;DR
- MPC 可用于私集合交、阈值签名和联合统计，但函数输出本身仍可能泄露敏感信息。
- 阈值密码把密钥操作分散到多方，降低单点失陷风险，却不会消除参与方串通问题。
- SPDZ 一类协议用离线预处理承担昂贵密码工作，使在线阶段更接近实际部署需求。
0. 主线
L13 给出 MPC 的通用构造（Yao/BGW）。本讲聚焦把 MPC 落到具体问题，并讨论让 MPC 实用化的工程范式。
1. 隐私集合求交（PSI）
两方各有集合 ，想算 （或仅交集大小），不泄露交集外的元素。
例
基于 OT 的 PSI 直觉 用不经意伪随机函数（OPRF）：一方持密钥 ，另一方对自己的元素 不经意地得到 （持密钥方不知 ，持元素方不知 ）。双方比较 的值即可判定相等，而非交集元素的 值看起来随机、无可用信息。
🔎 应用：隐私通讯录匹配（找共同好友而不上传整个通讯录）、广告转化归因（Apple/Google 的隐私测量）、密码泄露检测（"我的密码在泄露库里吗"而不暴露密码）。
2. 门限签名（Threshold Signatures）
把签名私钥用秘密共享分给 方，任意 方协作产生一个对外看起来正常的签名，单方无法独签。
🔎 用 MPC/秘密共享实现 ECDSA/Schnorr/BLS 的门限版本：MPC 钱包、机构托管、区块链验证者密钥分散——消除单点密钥泄露。BLS 因签名可线性聚合，门限化尤其优雅。
3. 隐私统计与联合分析
多机构在不共享原始数据的前提下计算聚合量（求和、均值、回归、训练）。
🔎 例：医院联合训练疾病模型、各银行联合反洗钱、隐私广告测量。常与差分隐私叠加：MPC 保证"计算过程不泄露"，DP 保证"输出本身不泄露个体"。
4. 让 MPC 实用：预处理模型（SPDZ 范式）
定理
离线/在线分离
- 离线（预处理）阶段：与输入无关，预生成大量相关随机性，最重要的是 Beaver 乘法三元组 满足 （以秘密共享形式分给各方）。可用 OT 或 (somewhat-)FHE 批量生成。
- 在线阶段：拿到真实输入后，用预生成的三元组把每个乘法门变成廉价的本地运算 + 一轮公开，极快。 :::
🔎 Beaver 三元组用法：要算 ，各方公开 、（不泄露 ，因 随机掩盖），则 可由份额本地组合得到。把昂贵的乘法搬到与输入无关的离线阶段，是现代 MPC（SPDZ）高性能的关键。恶意安全靠信息论 MAC 验证份额未被篡改。
5. 工程视角
- 部署决策树：两方布尔→Yao；多方算术→SPDZ/BGW；需外包单方→FHE；只需聚合输出→MPC+DP。
- 性能关键：把与输入无关的重活（OT 扩展、三元组生成）放离线；在线阶段尽量只剩线性运算 + 少量轮次。
- 威胁建模先行：半诚实 vs 恶意、容忍多少共谋方（门限）、是否需要公平性/鲁棒性 —— 直接决定协议选型与成本。
6. MPC 应用小结
- PSI（OPRF）、门限签名、隐私联合分析是 MPC 三大落地场景。
- SPDZ 的离线/在线分离 + Beaver 三元组把乘法成本前置 → 在线极快。
- 常与差分隐私互补；恶意安全靠 MAC/承诺。
工程化 MPC 必须把输出泄露、参与方掉线和预处理材料耗尽纳入威胁模型，而不只计算密码运算次数。