Mot en förbättrad effektiv läckage‑resistent förbättrad privat mängdunion

Varför delning av listor kan hota sekretessen

Många organisationer håller känsliga listor — såsom misstänkta IP‑adresser, kund‑ID eller deltagare i medicinska studier — som de vill kombinera med en annan parts lista utan att exponera sina egna uppgifter. Ett verktyg kallat privat mängdunion lovar just det: det låter två parter ta reda på den sammanslagna listan av unika objekt, men inget mer. Denna artikel visar att även toppmoderna varianter av detta verktyg tyst kan läcka extra information under körning, och presenterar en ny konstruktion som behåller fördelarna samtidigt som den kraftigt minskar dessa dolda risker och beräkningskostnaden.

Vad privat mängdunion försöker skydda

Föreställ dig två företag som jämför svartlistor för cyberattacker. Var och en vill slutligen ha hela listan med alla misstänkta IP‑adresser som observerats av någon av dem, för att bättre kunna försvara sina nätverk. Samtidigt är varje företags detektionsmetoder — och därmed dess exakta svartlista — affärshemligheter. Om man skulle kunna dra slutsatser om vilka adresser den andra parten har eller inte har, kan det röja dessa metoder. Klassiska protokoll för privat mängdunion döljer redan direkt överlappning mellan listorna, men senare forskning har visat att de ändå kan avslöja ledtrådar under själva beräkningen eller genom mönster i hur objekt placeras i interna datastrukturer.

Dolda läckor i snabba tidigare metoder

Tidigare skalbara upplägg förlitade sig på en procedur som först kontrollerade, objekt för objekt, om varje element från en lista förekom i den andra, och sedan använde dessa svar för att leverera endast de ”nya” objekten. Senare arbete visade att denna process i sig avslöjar, innan protokollet avslutats, hur många objekt listorna delar. En nyfiken deltagare kan utnyttja detta genom att avbryta och köra om protokollet med något ändrade indata, och stegvis lära sig vilka specifika objekt som överlappar. Andra snabba scheman använde hashing — att placera objekt i fack enligt en hashfunktion — för att organisera data. När en part väl lär sig vilka av den andres objekt som är unika kan den korskontrollera mönstret av fyllda och tomma fack för att sluta sig till vilka av sina egna objekt som definitivt inte förekommer i den andra listan, en form av ”hash‑baserat” läckage.

Låsa in objekt bakom slumpmässiga förklädnader

Det nya protokollet tar itu med båda dessa problem samtidigt. Innan någon hashing sker, kör varje part ett kryptografiskt utbyte som förvandlar varje objekt till en slumpmässigt utseende token. Den avgörande egenskapen är att identiska objekt från de två listorna blir identiska token, medan olika objekt ger orelaterade token — och ingen sida lär sig den hemliga nyckel som kopplar token tillbaka till verkliga värden. Dessa förklädda token placeras sedan i hash‑baserade tabeller och leds genom en serie noggrant strukturerade, randomiserade steg som i praktiken avgör om token matchar, utan att avslöja vilken token som ligger i vilket fack. Att upprepa denna process med ny slump i varje körning förhindrar en angripare från att korrelera information över flera exekveringar.

Minska kostnaden med en smartare datastruktur

Säkerhet räcker inte om ett protokoll är för tungt att använda i stor skala. Författarna redesignar därför en av de mest kostsamma komponenterna: en intern modul som tidigare förlitade sig på ett partiellt kryptografiskt primitiv för att jämföra många objekt samtidigt. De ersätter den med ett ”tvåvägs” oblivious nyckel‑värde‑lager, en kompakt struktur som låter en part koda nyckel–värde‑par så att den andra kan fråga dem utan att lära sig något utöver om en nyckel är närvarande. Genom att låta två sådana kodningar samspela kan protokollet avgöra när token linjerar upp över de två listorna samtidigt som arbete på tomma eller dummyfack undviks. Denna förändring minskar både mängden data som skickas över nätet och tiden som spenderas på beräkning, särskilt för stora listor.

Vad experimenten visar i praktiken

För att testa sina idéer implementerade författarna sitt protokoll och jämförde det med den bästa befintliga förbättrade privata mängdunion‑designen under samma, strängare sekretessmål. Över ett brett spann av liststorlekar och nätverksförhållanden minskade deras metod konsekvent kommunikationen med ungefär 1,1 till 3 gånger och snabbade upp körtiden med ungefär 1,0 till 1,7 gånger. Viktigt är att dessa vinster kvarstår även efter att det extra kryptografiska lagret som förhindrar hash‑baserat läckage lagts till, något som tidigare effektiva scheman ignorerade. Resultaten antyder att starkare skydd inte behöver medföra en stor prestandapåföljd.

Varför detta spelar roll för verklig datautdelning

Enkelt uttryckt visar detta arbete hur två parter kan kombinera känsliga listor samtidigt som man kraftigt begränsar vad var och en kan sluta sig till om den andras data — även från subtila sidoeffekter under protokollet. Genom att förklädda objekt innan hashing och använda mer sparsamma interna strukturer stänger den nya designen kända läckagekanaler och förblir tillräckligt snabb för mycket stora datamängder. Det gör sekretessbevarande unioner av svartlistor, kund‑ID eller andra identifierare mer praktiskt för företag och institutioner som behöver samarbeta utan att blotta mönstren i sina egna data.

Citering: Liu, Q., Bae, J. & Lee, JW. Towards an improved efficient leakage-resilient enhanced private set union. Sci Rep 16, 10134 (2026). https://doi.org/10.1038/s41598-026-40531-5

Nyckelord: privat mängdunion, datasekretess, kryptografiska protokoll, säker datautdelning, läckage‑resiliens