💻 computer science

Pivot: Proactive and Verifiable Threshold Oblivious Pseudorandom Functions From Isogeny Group Actions

本文介绍了 PIVOT，这是一个基于同源群作用的、无代理人（dealerless）、主动式且可验证的阈值不透明伪随机函数框架，它能够通过在随时间推移安全地刷新服务器份额来抵御移动攻击者，同时保持主密钥和先前输出的有效性。

原作者： Abhinav Sharma, Vikas Srivastava

发布于 2026-08-04

📖 1 分钟阅读☕ 轻松阅读

原作者： Abhinav Sharma, Vikas Srivastava

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正试图守护一个极其珍贵的秘密，以至于任何单个人都不应该知道它的全貌。你将这个秘密拆分成若干个拼图碎片，并将每一块交给你的朋友。这就是**阈值密码学（threshold cryptography）**的基本概念：你需要一定数量的朋友（比如 10 个朋友中的 5 个）将他们的碎片拼凑在一起，才能解锁宝藏。但这里有一个狡猾的问题。如果一个窃贼在一年内逐一潜入你朋友的家，在 1 月份偷走朋友 A 的一块碎片，在 2 月份偷走朋友 B 的一块，以此类推，那么他最终可能会收集齐解开谜题所需的所有碎片，即便他在同一时间内从未同时拥有五个朋友。这被称为“移动对手（mobile adversary）”。

为了阻止这种情况，密码学家使用了一个技巧，叫做主动安全（proactive security）。想象一下，每个月你的朋友们都会秘密地交换他们的拼图碎片，换成能拼凑出相同图像的新碎片，而旧的碎片则会变成无用的垃圾。如果窃贼今天偷走了一块碎片，它将无法与下个月偷到的碎片匹配。这个秘密依然是安全的，因为窃贼无法将旧碎片与新碎片混合在一起。现在，再加一个转折：你想利用这个秘密来回答问题，但又不想泄露秘密本身。这就是一个不经意伪随机函数（Oblivious Pseudorandom Function, OPRF）。它就像一台神奇的自动售货机：你投入一个秘密代码（比如密码），它会给你一张独特的、看起来随机的收据。机器知道秘密配方，但它永远看不见你的代码，你也永远学不会那个配方。这项研究解决的挑战在于构建一个“后量子”版本的系统——即使面对未来的超级计算机也是安全的——同时还要确保秘密在面对试图随时间推移窃取碎片的窃贼时依然安全。

该论文介绍了一种名为 PIVOT（基于同源映射的主动可验证不经意阈值 PRF）的新系统。把 PIVOT 想象成一个高科技的后量子保险库，它使用了一种特殊的数学魔法，叫做同源群作用（isogeny group actions）。简单来说，想象一个巨大的圆形游乐场，你可以绕着它旋转。如果你旋转了特定的圈数（即秘密），你就会到达一个特定的位置。神奇之处在于，你可以和不同的人一起进行小步旋转，只要你们所有人旋转的总量正确，你们最终都会到达同一个位置，即使没有人知道总共旋转了多少圈。PIVOT 利用这一点，让一组服务器协同工作，为客户端提供其秘密输入的“收据”，而客户端永远看不到服务器的秘密，服务器也永远看不到客户端的输入。

作者证明了 PIVOT 解决了“移动对手”问题。他们展示了服务器可以定期刷新他们的拼图碎片（份额），而不改变主秘密或保险库的公开“锁”。这意味着，即使窃贼今天偷走了一块碎片，当碎片被刷新后，这块碎片在下个月也会变得毫无用处。论文还证明了该系统是可验证的（verifiable）：客户端可以检查服务器是否确实执行了正确的数学运算，以及是否偏离了协议；如果某个服务器出错，系统可以精确地指出是哪一个并将其踢出。

论文明确排除了让你永远保留相同拼图碎片的想法。它认为，如果碎片不发生变化，移动窃贼最终一定会获胜。它还反对那些将单个服务器的贡献隐藏在“虚拟”服务器背后的设计，因为 PIVOT 希望让每个服务器的贡献都是可见且可问责的。作者对他们的结果非常有信心；他们不仅仅是猜测或进行简单的模拟，而是提供了严密的数学证明，表明该系统在处理这些同源谜题的难度这一标准假设下，能够正确运行并保持安全（针对一种“半诚实”的攻击者，即遵守规则但试图获取秘密的攻击者）。

在现实世界中，这可以用于诸如私人密码登录或能保持数十年安全的加密数据库等场景。如果一家公司需要长期保护用户数据，他们不能仅仅依赖于可能被逐步窃取的静态秘密。PIVOT 允许他们轮换安全人员（服务器）并定期刷新密钥，从而确保数据库始终锁定，用户的隐私也始终受到保护，即使系统正处于持续性的、缓慢燃烧式的攻击之下。论文结论指出，虽然这个系统比简单的版本更复杂、速度也稍慢（因为它需要一系列服务器像传递“球”一样逐一传递数据），但为了长期的安全性以及能够证明没有人违背协议的能力，这种权衡是值得的。

技术摘要：PIVOT —— 基于同源群作用的响应式且可验证的阈值盲化伪随机函数

1. 问题陈述

盲化伪随机函数（OPRF）允许客户端在不向服务器泄露输入的情况下评估一个带密钥的函数。在阈值 OPRF 中，密钥被分布在 $n$ 个服务器中，要求至少 $t$ 个服务器协作进行评估。虽然标准的阈值方案可以抵御静态破坏（即一组固定的服务器被攻破），但它们无法抵御移动对手（mobile adversary）。在移动威胁模型下，攻击者可以在不同时期攻破不同的服务器，从而累积来自不同时期的份额（shares）。如果份额保持静态，即使攻击者从未在同一时刻控制 $t$ 台服务器，他们最终也能收集到来自同一共享状态的 $t$ 个份额并重建主密钥。

现有的基于同源的阈值 OPRF 主要针对静态破坏模型设计。此外，经典群中的现有主动式秘密共享机制无法轻易转化为同源设置，因为这需要将多项式承诺（在标量域中）与同源群作用（在椭圆曲线上）联系起来。目前缺乏一种能同时提供以下特性的构建方案：

后量子安全性（基于同源技术）。
可验证性（确保服务器在正确的密钥下进行评估）。
主动安全性（通过定期刷新份额来挫败移动对手）。
无分发者密钥生成（无需可信设置）。
委员会迁移（在不重新加密应用数据的情况下更改服务器集或阈值）。

2. 方法论与构建

本文引入了 PIVOT（主动式同源可验证盲化阈值 PRF），该框架构建在有效的同源群作用（例如 CSIDH）之上。其核心代数结构依赖于同源作用的交换性质： $[a]([b]E) = [a+b]E$ 。

核心架构

PIVOT 维护一个单一的长效主密钥 $k$ 以及公钥 $pk = [k]E_0$ 。然而， $k$ 的表示形式会随时间变化。系统按**时段（epoch）**运行。在时段 $e$ 中，服务器持有 Shamir 多项式 $F_e(X)$ 的份额 $s^{(e)}_i = F_e(i)$ ，其中 $F_e(0) = k$ 。公系数承诺向量 $A^{(e)}$ 用于证明多项式 $F_e$ 的有效性。

该协议由五个主要过程组成：

无分发者分布式密钥生成 (DKG)：
- 每个服务器都充当可验证秘密共享（VSS）的分发者，采样一个随机多项式并分发份额。
- 合格的贡献被聚合以形成初始主多项式 $F_0(X) = \sum f_j(X)$ 。
- 链接证明（Link Proofs）： 一个关键创新是使用非交互式零知识（NIZK）证明，将承诺多项式的常数项（标量份额）与用于生成公钥 $pk $的顺序同源作用链中的指数联系起来。这确保了公钥与共享的秘密相对应，而无需重建$ k$。
阈值评估：
- 客户端通过将输入 $x$ 映射到曲线 $X = H_1(ctx \| x)$ 并应用随机作用 $[r]$ 来对其进行盲化，发送 $B = [r]X$ 。
- $t$ 个服务器组成的法定人数依次应用其拉格朗日加权份额： $Q_h = [\lambda^I_{i_h} s^{(e)}_{i_h}] Q_{h-1}$ 。
- 由于作用的加法性质，最终曲线为 $Q_t = [k]B$ 。
- 客户端解盲以获得 $Y = [k]X$ 并导出输出。
- 验证： 每个服务器提供一个 NIZK 证明 ( $\pi_{eval}$ )，证明其执行的作用与当前时段公向量 $A^{(e)}$ 中承诺的份额相对应。
主动份额刷新：
- 为了对抗移动对手，服务器定期刷新份额而不改变 $k$ 。
- 合格的“刷新分发者”采样零份额多项式 $z_j(X)$ ，其中 $z_j(0)=0$ 。
- 新的多项式为 $F_{e+1}(X) = F_e(X) + \sum z_j(X)$ 。由于常数项之和为零，因此 $F_{e+1}(0) = k$ 。
- 系数承诺也进行同态更新。在过渡后，旧的份额会被安全擦除。
验证、指责与鲁棒重启：
- 如果服务器提交了错误的证明或份额，检测方会生成一个指责证书（blame certificate）（失败过程的签名转录）。
- 被指责的服务器将被移除，协议以新的法定人数重新启动。这确保了可识别的中止（identifiable aborts）。
委员会重共享（Committee Resharing）：
- 允许将密钥迁移到新的服务器集或新的阈值 $t'$ 。
- 旧的法定人数将其拉格朗日加权份额视为分发给新委员会的新多项式的常数项。
- 至关重要的是，这种方式在不重建密钥 $k$ 的情况下转移了该密钥，从而保留了公钥及所有先前生成的 OPRF 输出。

解决的技术挑战

跨域见证一致性（Cross-Domain Witness Consistency）： 本文形式化了需要联合 NP 关系（例如 $R_{link}, R_{eval}$ ）的需求，这些关系将标量域中承诺的标量与用于同源作用的相同标量绑定。单独证明这两个领域是不够的；见证必须在两个领域中是完全一致的。
时段一致性： 协议强制要求评估链必须使用来自单一时段证书的份额，以防止混合来自不同多项式的份额。

3. 主要贡献

形式化功能： 作者定义了一个长效主动式阈值 VOPRF 的理想功能 $\mathcal{F}_{pTVOPRF}$ ，明确模拟了在不同时段之间可以更换受损服务器集合的移动对手。
无分发者构建： 一种结合了有效同源群作用、Shamir 秘密共享和加法同态承诺的构建方式，其中主密钥从未被任何单个参与方重建。
主动维护： 一种在保留主密钥、公钥及所有历史 OPRF 输出的同时，通过刷新服务器份额来对抗移动对手的机制。这包括一个协调的时段转换协议。
联合 NP 关系： 识别并形式化了用于将秘密共享域（多项式系数）与同源作用域（曲线变换）联系起来所需的特定 NIZK 关系。
委员会重共享： 一个将密钥迁移到新委员会或更改阈值的协议，且不会使现有的由 OPRF 输出索引的加密数据库失效。
安全性分析： 在随机预言机模型下，基于向量化（vectorization）和一更多隐藏群作用（one-more hidden-group-action）假设，证明了该构造在输入隐私和密钥机密性方面的安全性。

4. 结果与性能

正确性： 本文证明了该协议在 DKG、评估、刷新和重共享操作中，始终保持 $k$ 和 $pk$ 不变的性质。
安全性： 该构造被证明对于在任何单个时段内破坏少于 $t$ 台服务器的移动半诚实对手是安全的。其安全性依赖于对旧份额的安全擦除以及 Shamir 共享的信息论隐私性。
效率权衡：
- 转录大小（Transcript Size）： 与提供常数大小客户端转录的基于 MPC 的虚拟服务器方法不同，PIVOT 具有 $O(t)$ 的客户端转录，因为它公开了 $t$ 个部分评估及其证明的顺序链。
- 延迟： 评估需要 $t$ 个顺序进行的群作用和证明，这产生了相对于阈值的线性延迟瓶颈。
- 维护： 主动刷新和委员会重共享涉及 $O(n^2)$ 的通信（由于点对点份额分发），但不涉及同源作用，因此适合通过摊销处理在长时间跨度内执行。
- 应用： 本文强调，虽然在线成本较高，但能够在不重新加密大型数据库（如私密查询服务）的情况下刷新份额并迁移委员会，这提供了显著的运营效率。

5. 意义与主张

本文声称提出了首个提供针对移动对手的主动式安全性的基于同源群作用的阈值 VOPRF。

作者将 PIVOT 定位为并非作为现有单服务器或基于 MPC 的 OPRF 的性能优化，而是一个功能完备的框架，适用于长寿命服务。其意义在于选择了显式暴露阈值结构，而非将其隐藏在虚拟服务器之后。这种显式性实现了：

直接应用主动刷新（添加零份额多项式）。
个体问责制（责任归属）。
无需重建密钥即可实现无缝的委员会迁移。

本文得出结论，对于需要在多年间面对渐进式破坏且需要长期运营的服务而言，付出 $O(t)$ 转录大小的代价是必要的权衡，因为这使得在不中断底层密码学服务或其依赖数据的情况下，能够定期更新系统的安全状态。