“隐语” 是开源的可信隐私计算框架，内置 MPC、TEE、同态等多种密态计算虚拟设备供灵活选择，提供丰富的联邦学习算法和差分隐私机制。
代码开源：
一、介绍
ABY2.0定义了新的sharing，扩展两输入乘法门到多输入乘法门，且其online阶段通信量与输入个数无关。在此基础上，构造了各种高效的原语，如内积、矩阵乘、比较、最大/小池化、相等判断等。
ABY2.0与ABY均是在半诚实模型下的两方安全计算框架，分为setup和online阶段，ABY2.0相比ABY提高了online阶段的效率。
二、更高效的2PC
ABY2.0与ABY的区别在于Arithmetic Share和Boolean Share，而Yao Share并无区别。
Boolean Share的技术与Arithmetic Share一致，只是环
和
的区别，本文只介绍Arithmetic Share。
1、Sharing Semantics
：对于
，有
，
持有
：对于
，有
，
，
可结合下图理解：
ABY用的是[ ]-sharing，ABY2.0用的是< >-sharing。
并且，< >可以本地转换为[ ]，比如使
[ ]转换为< >需要通信，是通过之后讲述的Sharing Protocol来实现的。
论文中某些计算就是通过把< >转换为[ ]后，采用之前的方法计算，而后直接或者变相把[ ]转换为< >。
2、Sharing Protocol
Setup阶段：
生成随机数
共同生成随机数
，因此，
知道值
。
Online阶段：
3、Reconstruction Protocol
Online阶段：
4、Additional Protocol
Online阶段：
5、Multiplication Protocol
setupMULT协议用来生成乘法三元组，即根据
生成
，并且满足
，有基于OT和HE两种方式，细节见论文。
6、High level overview of Multiplication Gate
上面左图中是ABY中的MULT，对输入[a]、[b]使用随机数mask后，调用Reconstruction协议恢复出
然后求结果[c]。
上面右图中是ABY2.0中的MULT，
变为已知，本地计算即可求出[c]，调用Reconstruction协议恢复出
，从而求出<c>。
新MULT明显的优点是通信量减半，缺点是乘法三元组需要根据具体的电路结构提前生成好，而不能再随便取一个乘法三元组来计算了。
7、Multi-Input Multiplication Protocol
公式的推导如下图：
Setup阶段：需要生成四个[ ]-sharing，其中的setupMULT3与setupMULT类似。与MULT相比较，生成的sharing个数从1变为了4。
Online阶段：优点是Constant Communication。
Setup阶段：需要生成11个[ ]-sharing，已经有点夸张了。
Online阶段：优点依然是Constant Communication。
由MULT3和MULT4可看出，对于多输入乘法，Online阶段的通信量始终是Constant，只是Setup阶段的预计算量会呈指数增长
。
三、更高效的ABY Share转换
在大多数转换协议中，ABY需要在online阶段调用OT操作，而ABY2.0只需在setup阶段调用OT操作，因此提高了效率。转换协议细节见论文，此处略去。
更高效的基本操作
在前述协议的基础上，文中构建了多个高效的基本操作。高效的原因有两点：
- 新形的sharing允许合并一些计算与通信
- 使用Multi-input MULT/AND Gate可以减少电路层数
简要介绍如下：
1、Scalar Product
与单个MULT类似，内积其实是执行了多个MULT，并且合并
使得只需一次通信即可。
2、Matrix Multiplication
Setup：使用setupMULT生成矩阵相乘时两两元素的乘法三元组，在此基础上构造出结果矩阵的[]-shares。
Online：对于p*q矩阵与q*r矩阵的乘法，结果矩阵的维度是p*r，通信量是O(pr)，相比之前协议的O(pqr)有了很大的提升。
3、Depth-Optimized Circuits
通过使用多输入门可以减少电路层数。
上图中的8-bit PPA加法器，通过使用MULT3/MULT4，从3层电路变为了2层电路。64-bit电路、求最高位电路与此类似。
4、Comparison
为求
，先计算
，转换
，再把
通过Share Protocol转换为
，然后就可以使用Depth-optimized Circuits中的求最高位电路。
5、Truncation
< >-sharing转换为[ ]-sharing，使用论文SecureML中的本地截断方法，然后再转回< >-sharing。
6、MAX2/MIN2
使用了Comparison。
7、MAX3/MIN3
使用了Comparison。
8、Non-linear Activation Functions
ReLU使用了上述的MAX: ReLU(v) = max(0, v)
Sigmoid用了分段函数：
9、Maxpool and Minpool
使用了MAX3/MIN3构造三叉树，来减少树的层数。
10、Equality Testing
对两操作数先求异或，再对所有位执行与操作。
使用了AND4 gate（AND4即为
下的MULT4）来减少树的层数。
四、性能
文中测试了LR与NN的性能，与SecureML做了对比，性能有大幅提高，如下图：
五、与Cheetah对比
| ABY2.0 |
Cheetah |
| Semi-honest secure |
|
| Two-party computation |
|
| Mixed-Protocol (A、B、Y） |
Hybrid system (HE-based Linear Layers and Secret Sharing-based Non-linear Layers) or (A、B、H) |
| Use IKNP-style OT |
Use Silent-OT |
| Function-dependent Preprocessing |
No Preprocessing |
| General Protocol for MPC (e.g. ABY、Turbospdz 、 ABY2.0) |
Special Protocol for DNN Inference （e.g. Delphi、CryptFlow2、Cheetah） |
总之，ABY2.0与Cheetah都是高效的半诚实两方协议，实现技术不同，目标也不同，有点类似于CPU与GPU的对比。
六、总结
ABY2.0具有以下优缺点，其预计算过程需事先知道要计算的函数，这是使用时需要注意的地方。
优点：
- Constant online cost of 2 ring elements for N-input MUL/AND Gates
- Better mixed protocol conversions
- Set of efficient building blocks
缺点：
- Function-dependent preprocessing
- More complicated preprocessing
七、参考文献
ABY2.0
https://www.usenix.org/system/files/sec21summer_patra.pdf
ABY2.0_slides
https://www.usenix.org/system/files/sec21_slides_patra.pdf
Cheetah
https://www.usenix.org/system/files/sec22-huang-zhicong.pdf
隐语社区：
隐语官网：https://www.secretflow.org.cn
👇欢迎关注：
公众号：隐语的小剧场
B 站：隐语 secretflow
邮箱：secretflow-contact@service.alipay.com
