RR22低通信模式，sfVOLE的a向量改为GF(2^32)的安全性问题

[jackygan1299-ctrl]

在 RR22低通信模式下，把sfVOLE的a向量由GF(2^64)改为GF(2^32)，
OKVS 的编码value也取32位，发送端收到的是 32‑bit 的 p ⊕ a。
是否会导致严重的安全问题？

[changtong9]

论文要求 subfied 大小应该为 lambda + log(nx * ny)，太小的 field 会影响协议的统计安全位数

[jackygan1299-ctrl]

当前我分析是，发送方原本会有2^(-64)概率泄露H(y,r)*C，y不属于X。改为GF(2^32)会导致概率升至2^(-32)。
统计安全参数似乎只和oprf值的截断大小有关，是吗？

[changtong9]

这个field的大小也会影响OKVS decode，具体可以看一下原论文安全性证明的部分

[jackygan1299-ctrl]

看到了，那么低通信的64是不是不够，nx=ny=1<<20

[changtong9]

是的，统计安全参数不到40bit

[jackygan1299-ctrl]

注意到原文只是根据x≠y的情况下，HB(x,r)=HB(y,r)的概率推断子域不得小于λ + log(nx * ny)，但HB(x,r)=HB(y,r)时，OPRF值也不会相同，协议不会因为子域减少而增大输出非交集元素的概率。它的证明十分保守。为此我调整成GF(8)，跑1亿-1亿，也没有输出错误的交集数量和交集元素。

[changtong9]

@jackygan1299-ctrl 使用GF(8)理论上会有多大概率出现错误的交集结果呢？或者你可以尝试下长时间运行后是否会出现错误结果

[jackygan1299-ctrl]

@changtong9 感谢回复。论文认为，x≠y时H_b(x,r)=H_b(y,r)就会触发碰撞。概率为nx*ny/B，nx=ny=10^8，B=8，几乎肯定会碰撞而且碰撞数量很显著。我试了不同的几组数据，都没有出现错误结果。