Sichere Zweiparteienberechnung erlaubt es zwei Parteien eine Funktion auf ihren privaten Eingabedaten zu evaluieren ohne dass Informationen über die Eingabedaten, die nicht von der Ausgabe ableitbar sind, preisgegeben werden. Ein wichtiger Baustein und die Grundlage für viele sichere Berechnungsprotokolle ist Oblivious Transfer (OT). In einem OT Protokoll interagieren ein Sender mit Nachrichten (x_{0}, x_{1}) und ein Empfänger mit Auswahlbit c, sodass der Empfänger die Nachricht x_{c} empfängt ohne dass der Sender Informationen über c oder der Empfänger Informationen über x_{1−c} lernt. Diese Dissertation befasst sich mit der effizienten Generierung von OTs und deren Einsatz im Gebiet der sicheren Zweiparteienberechnung. Wir zeigen wie OTs effizienter generiert werden können, verbessern generische sichere Berechnungsprotokolle, die dazu genutzt werden können um jede Funktion sicher zu berechnen, und entwickeln hoch effiziente sichere Berechnungsprotokolle für private Schnittmengenberechnung (PSI). Im Folgenden beschreiben wir unseren wissenschaftlichen Beitrag detaillierter.

Effizientere OT Extension Protokolle. Die meisten effizienten OT Protokolle basieren auf asymmetrischer Verschlüsselung und benötigen eine konstante Anzahl von Exponentiationen pro OT. Für praktische Anwendungen, in denen Millionen bis Milliarden von OTs benötigt werden, ist diese hohe Anzahl an Exponentiationen allerdings untragbar. Um solche Anwendungen trotzdem zu realisieren, wurden OT Extension Protokolle [Bea96, IKNP03] eingeführt, die eine kleine Anzahl von OTs aus Protokollen die auf asymmetrischer Verschlüsselung beruhen mittels effizienter symmetrischer Verschlüsselung auf eine beliebige Anzahl von OTs ausdehnen. Wir verbessern die Berechnungs- und Kommunikationseffizienz von OT Extension Protokollen und zeigen auf wie Sicherheit gegen stärkere, aktive Angreifer, welche beliebig von der Protokollausführung abweichen können, mittels geringem Mehraufwand erreicht werden kann. Unsere Protokolle ermöglichen die Generierung von mehreren Millionen OTs pro Sekunde, wobei die Netzwerkkommunikation den Flaschenhals darstellt anstatt, wie allgemein vermutet, die Berechnungskomplexität. Teile dieser Ergebnisse wurden publiziert in: • G. Asharov, Y. Lindell, T. Schneider, M. Zohner. More Efficient Oblivious Transfer and Extensions for Faster Secure Computation. In 20ter ACM Konferenz zu Computer and Communications Security (CCS’13). • G. Asharov, Y. Lindell, T. Schneider, M. Zohner. More Efficient Oblivious Transfer Extensions with Security for Malicious Adversaries. In 34ter Advances in Cryptology – EUROCRYPT’15. • G. Asharov, Y. Lindell, T. Schneider, M. Zohner. More Efficient Oblivious Transfer Extensions. Erscheint in Journal of Cryptology. Online auf http://eprint.iacr.org/2016/602.

Kommunikationseffiziente, Generische, Sichere Zweiparteienberechnung. Protokolle zur generischen sicheren Zweiparteienberechnung erlauben es eine Funktion zu evaluieren, die als Schaltkreis aus linearen (XOR) und nichtlinearen (UND) Gattern dargestellt ist. Eines der prominentesten Protokolle in diesem Umfeld ist Yao’s Garbled Circuits [Yao86], für welches viele Optimierungen vorgeschlagen wurden. Kurz nach Yao’s Protokoll wurde das generische, sichere Protokoll von Goldreich-Micali-Wigderson (GMW) [GMW87] vorgeschlagen, welches aber aufgrund seiner hohen Abhängigkeit von OT als weniger effizient für generisch, sichere Zweiparteienberechnung als Yao’s Protokoll angesehen wurde [HL10, CHK+12]. Wir verbessern die Effizienz des GMW Protokolls und zeigen, dass es besser in Szenarien mit niedriger Bandbreite abschneidet als Yao’s Protokoll. Zudem nutzen wir die Flexibilität von OT um Protokolle für spezielle Funktionen zu entwickeln, die mit dem GMW Protokoll kombinierbar sind und dessen Effizienz weiter steigern. Teile dieser Ergebnisse wurden publiziert in: • T. Schneider, M. Zohner. GMW vs. Yao? Efficient Secure Two-Party Computation with Low Depth Circuits. In 17ter Internationaler Konferenz zu Financial Cryptography and Data Security (FC’13). • D. Demmler, T. Schneider, M. Zohner. ABY - A Framework for Efficient Mixed-Protocol Secure Two-Party Computation. In 22ter Network and Distributed System Security Symposium (NDSS’15). • G. Dessouky, F. Koushanfar, A.-R. Sadeghi, T. Schneider, S. Zeitouni, M. Zohner. Pushing the Communication Barrier in Secure Computation using Lookup Tables. In 24ter Network and Distributed System Security Symposium (NDSS’17).

Schnellere Private Schnittmengenberechnung (PSI). Mittels PSI können zwei Parteien die Schnittmenge ihrer privaten Mengen berechnen ohne Elemente preiszugeben, die nicht in der Schnittmenge sind. Obwohl zahlreiche PSI Protokolle vorgeschlagen wurden, sind alle derzeit existierenden Protokolle mehrere Größenordnungen langsamer als eine unsichere Lösung, welche in der Praxis eingesetzt wird. Zudem wurden viele Protokolle unter ungleichen Bedingungen verglichen, was die Identifizierung des vielversprechendsten Protokolls für ein bestimmtes Szenario erschwert. Wir systematisieren existierende PSI Protokolle indem wir einen Überblick über existierende Protokolle geben und diese dann optimieren und vergleichen. Zudem entwickeln wir ein neues PSI Protokoll, das auf unseren Verbesserungen im Bereich der OT Extension Protokolle basiert und die Leistung bestehender PSI Protokolle um zwei Größenordnungen übertrifft. Teile dieser Ergebnisse wurden publiziert in: • B. Pinkas, T. Schneider, M. Zohner. Faster Private Set Intersection Based on OT Extension. In 23ter USENIX Security Symposium (USENIX Security’14). • B. Pinkas, T. Schneider, G. Segev, M. Zohner. Phasing: Private Set Intersection using Permutation-based Hashing. In 24ter USENIX Security Symposium (USENIX Security’15). • B. Pinkas, T. Schneider, M. Zohner. Scalable Private Set Intersection Based on OT Extension. Journal Einreichung. Im Bewertungsprozess. Online auf http://iacr.eprint.org/2016/930.