不经意传输

什么是不经意传输？

不经意传输是一种密码学协议，允许一方从另一方处接收自己选定的一条信息，同时不透露自己选择了哪条信息。与此同时，接收方只能获知所选信息，而不应获知其他信息。最常见的形式称为 1-out-of-2 不经意传输，发送方持有两条消息。接收方从中选择一条。发送方不知道接收方选择了哪条消息。接收方也无法得知未选择的那条消息。这个简单的概念很有用，因为它让双方能够交换有用信息，同时隐藏彼此的重要私有输入。在加密货币和区块链系统中，不经意传输很重要，因为它是保护隐私计算、多方计算、门限钱包、私有集合求交、安全匹配、私密身份核验、保密交易工具和高级托管系统的基础组件。

NIST 的隐私增强密码学资料将安全多方计算描述为一种让多个参与方使用各自输入共同计算、而不向彼此透露这些私有输入的方法。

不经意传输是实现这类隐私协作的核心工具之一。

不经意传输要点

• 不经意传输是一种保护隐私的协议：接收方可以获取自己选择的消息，而无需向发送方透露选择。
• 发送方不应知道接收方选择了哪条消息。
• 接收方不应得知未选择的消息。
• 最常见的例子是 1-out-of-2 不经意传输。
• 不经意传输是安全多方计算的重要基础组件。
• 它可以支持加密货币托管、门限签名、私有集合求交、私密匹配和保密分析。
• 不经意传输扩展可以在少量成本较高的基础传输之后，高效地执行大量不经意传输。
• 不经意传输不同于零知识证明，但二者都属于隐私增强密码学。
• 实现质量至关重要，因为协议中的一个小错误就可能泄露私有选择或私有消息。
• 对加密货币用户而言，这一术语通常出现在高级钱包、托管、身份、合规和隐私基础设施的底层。

不经意传输如何运作

基本的不经意传输涉及两方。发送方持有私有消息。接收方有一个私有选择。协议让接收方获得所选消息，同时不向发送方透露这一选择。协议还会阻止接收方获知所选消息以外的信息。例如，发送方可能持有消息 0 和消息 1。接收方选择 0 或 1。协议结束后，接收方只会获知所选消息。发送方仍然不知道接收方选择的是 0 还是 1。如果接收方选择消息 0，消息 1 就应保持隐藏。如果接收方选择消息 1，消息 0 就应保持隐藏。这听起来可能只是一个小型隐私技巧，但如果在更大的密码学计算中反复使用，就会变得极为重要。

为什么称为“不经意传输”

“不经意”表示交换的一方不知道某项关键信息。在不经意传输中，发送方不知道接收方的选择。接收方也受到限制，因为它无法获知未选择的数据。这并非普通的加密消息传递，因为普通加密中发送方确切知道发送了什么以及发送给谁。这是一种经过精心设计的交换方式：有用信息得以传递，但私密选择仍然隐藏。因此，这一术语在隐私保护计算中十分重要。许多加密货币相关问题都需要参与方协作，同时又不暴露所有数据。不经意传输为这类系统提供了一种安全交换隐藏选择的方法。这个词听起来抽象，但其用途十分实际。它能帮助人们在共同计算时避免透露超出必要范围的信息。

1-out-of-2 不经意传输

1-out-of-2 不经意传输是最简单、最常见的形式。发送方持有两条消息，通常记作 m0 和 m1。接收方持有一个选择位，通常记作 b。如果 b 等于 0，接收方就能获知 m0。如果 b 等于 1，接收方就能获知 m1。发送方不应知道 b。接收方不应同时获知 m0 和 m1。这种结构很有用，因为计算机程序由二元选择构成。许多更复杂的协议都可以拆分为许多小型的隐藏二元选择。因此，1-out-of-2 OT 在安全计算研究和实现中经常出现。

1-out-of-n 不经意传输

1-out-of-n 不经意传输将相同概念扩展到两条以上的消息。发送方持有 n 条消息。接收方选择一个索引。接收方获知该索引对应的消息。发送方不知道接收方选择了哪个索引。接收方无法获知其他消息。当接收方需要从较大的列表或数据库中获取某一项时，这种形式可能很有用。例如，私有查询系统可以让用户获取一条记录，而不透露自己查询的是哪条记录。在加密货币领域，类似思路可以支持私有数据访问、保密合规检查和隐私保护钱包服务。根据协议设计，1-out-of-n OT 可以直接构建，也可以由多个较小的传输组成。

Rabin 不经意传输

Rabin 不经意传输是较早出现且具有重要历史意义的一种 OT 形式。在这种形式中，发送方以某种方式发送消息，使接收方只有一定概率能够获知该消息。发送方不知道接收方是否获知了该消息。这与 1-out-of-2 OT 不同，但在密码学理论中二者密切相关。Rabin 的研究帮助确立了不经意传输作为一种基础密码学原语的地位。后续研究表明，OT 可以支持范围更广的安全计算。加密货币领域的重要启示是，OT 并非小众技巧。它是隐私计算背后的深层基础组件之一。许多现代系统使用的版本比早期示例更高效、更专业。不过，其核心概念始终不变。

不经意传输与安全多方计算

安全多方计算（MPC）允许多个参与方在不向彼此透露私有输入的情况下共同计算结果。

NIST 的隐私增强密码学概述将 MPC 列为一种工具，可用于对多个参与方持有的输入共同计算某个函数，同时不要求各方透露自己的输入。

不经意传输常用于 MPC 协议，因为隐私计算需要隐藏选择。例如，双方可能希望在保密钱包余额、风险评分、客户数据或签名份额的同时计算结果。OT 可以帮助双方交换计算所需的信息，而不暴露底层私有值。这对加密货币尤其重要，因为许多系统既需要隐私，也需要正确性。钱包应能正确签名，同时不暴露完整私钥。合规系统可能需要比较风险数据，而不暴露所有客户记录。交易系统可能需要撮合订单，而不透露不必要的策略信息。MPC 和 OT 有助于实现这些设计。

不经意传输与门限钱包

门限钱包会将签名权限分散给多个参与方或设备。签名权不会集中在某个位置的一把完整私钥中，而是由多方共同持有。这可以降低单台设备被盗或单台服务器遭到入侵就导致资金被转走的风险。许多门限签名协议依赖 MPC 技术。一些 MPC 技术会在私有计算过程中使用不经意传输或相关工具。在加密货币托管系统中，通常的目标是在不于单一位置重建完整私钥的情况下生成有效的区块链签名。每个参与方都会贡献一个秘密份额。各方运行协议来计算签名。任何一方都不应得知其他参与方的秘密份额。不经意传输可以帮助保护计算过程中的私有选择和中间值。

不经意传输与多重签名钱包

不经意传输不同于基本的链上多重签名钱包。基本的多重签名钱包通常需要多个独立签名，并由区块链脚本或智能合约进行验证。MPC 门限钱包可能通过链下私有计算生成一个外观普通的签名。OT 与 MPC 钱包设计中的私有计算部分更相关，而非简单的链上多重签名规则。这一区别很重要，因为用户常常会混淆多重签名和 MPC。许多多重签名设计会将策略公开在链上。MPC 可以隐藏内部密钥共享过程，并生成标准签名。两种模式都可能提升安全性。它们在风险、成本、恢复模式和透明度权衡方面各不相同。不经意传输是可支持 MPC 钱包系统私有计算部分的工具之一。

不经意传输与私有集合求交

私有集合求交（PSI）允许双方找出各自数据集的交集，同时不暴露其他数据。

NIST 的2025 年 PSI 演示资料讨论了使用 OT 扩展及相关技术处理大型集合的 PSI 设计。

在加密货币领域，当机构或协议需要私下比较列表时，PSI 可能很有用。例如，两家公司可能希望了解双方是否都涉及某些高风险钱包地址，但不透露各自完整的调查数据库。钱包服务提供商可能希望检查用户地址是否出现在风险列表中，而不获知整个列表。合规团队可能希望比较可疑账户集合，同时不共享无关客户数据。基于 OT 的 PSI 有助于构建此类系统，因为参与方只能获知交集或有限结果。这有助于支持注重隐私的合规和欺诈检测。挑战在于确保协议正确实现，并负责任地使用结果。

不经意传输与私有信息检索

私有信息检索（PIR）允许用户从数据库中获取数据，同时不透露自己请求的是哪一项。不经意传输与之相关，因为二者都能保护接收方的选择。在加密货币领域，PIR 类思路可支持私有钱包查询、私有区块链索引和保密合规查询。钱包可能希望查询余额或交易历史，同时不向服务器透露所有地址。用户可能希望查询风险数据库，同时不透露正在检查哪个地址。协议可能希望让用户获取数据，同时不暴露策略或身份线索。根据性能和隐私目标，这些系统可以使用 OT、PIR 或其他隐私增强密码学工具。实际使用的协议不一定就是 OT，但 OT 属于同一类私有选择技术。共同目标是减少不必要的数据暴露。这一目标很重要，因为许多区块链数据本来就是公开的，链下隐私泄露可能使情况更糟。

不经意传输与混淆电路

混淆电路是安全计算领域的另一项重要技术。它允许参与方在不透露所有私有输入的情况下计算函数。混淆电路通常会与不经意传输结合使用，因为其中一方必须获取输入标签，同时不透露自己持有的输入值。对于每个输入位，接收方都需要从两个可能的标签中获取一个。OT 可以让接收方获取正确的标签，而不暴露输入位。发送方不会知道输入位。接收方也不会获知两个标签。这与 1-out-of-2 OT 十分契合。在加密货币领域，混淆电路可用于高级隐私协议、门限签名系统和保密计算服务。OT 通常在幕后充当隐私保护的标签传递机制。

不经意传输扩展

如果每次传输都使用公钥密码学，基础不经意传输可能成本很高。OT 扩展通过少量成本较高的基础传输生成大量成本较低的传输，解决了这一问题。现代 OT 扩展协议在完成设置后，通常可以主要使用对称密钥运算。

IACR 论文《更高效且可抵御恶意对手的不经意传输扩展》讨论了高效 OT 扩展，并指出扩展协议可以让大量 OT 更具实用性。

NDSS 论文《面向短秘密的快速主动安全 OT 扩展》将 OT 描述为一种基础原语，可用于 MPC、PSI、PIR 和合约签署。

对于加密货币应用而言，OT 扩展很重要，因为实际协议可能需要数千、数百万甚至更多隐藏选择。如果每个选择都运行缓慢的公钥协议，成本会过高。OT 扩展让隐私计算更适用于生产系统。这也是 OT 仍在积极研究和改进的原因之一。

基础 OT 与扩展 OT

基础 OT 是一组初始不经意传输，通常涉及更复杂的密码算法计算，因此计算成本也更高。扩展 OT 是通过基础设置生成的大量高效传输。一种常见设计是先执行有限数量的基础 OT。之后，参与方使用哈希、伪随机数生成器和对称密钥工具，高效生成更多传输。这与使用成本较高的初始设置来创建成本较低的大规模流程类似。这一差异对性能很重要。在基础阶段看起来很慢的协议，通过扩展后可能在大规模运行时变得很快。这一区别也关系到安全性。如果基础 OT 存在弱点，扩展 OT 也可能继承该弱点。两个阶段都需要谨慎设计和审查。

半诚实安全与恶意安全

不经意传输协议通常会根据不同的对手模型进行分析。半诚实对手会遵循协议，但会尝试从通信记录中获取额外信息。恶意对手则可能偏离协议以实施欺骗。保护真实资产的加密货币系统，通常需要比课堂示例更强的安全假设。恶意参与方可能发送格式错误的消息、重复使用数值、尝试选择性失败攻击或操纵协议步骤。主动安全 OT 协议会增加检查机制，以阻止或发现这类行为。这些检查可能增加成本，但在真实系统中往往不可或缺。如果一个托管协议只有在所有人都按规矩行事时才能安全运行，就不足以支持高价值加密资产操作。安全模型应与威胁模型相匹配。涉及资金或私有用户数据时，通常需要更强的安全模型。

不经意传输与零知识证明

不经意传输不同于零知识证明。零知识证明允许一方在不透露相关秘密见证的情况下，向另一方证明某个陈述为真。不经意传输则允许接收方获取所选信息，同时不透露自己的选择，也不获知未选择的信息。

NIST 的隐私增强密码学页面将零知识证明、MPC、全同态加密、私有集合求交和私有信息检索列为不同的隐私增强工具。

这两种原语可以出现在同一个系统中。例如，加密货币协议可能使用带有 OT 的 MPC 来计算私有结果，再使用零知识证明证明结果计算正确。关键在于，隐私工具的名称不可互换。每种工具保护工作流程中的不同部分。良好的协议设计会针对具体隐私问题选择适当工具。

不经意传输与全同态加密

全同态加密（FHE）允许在不先解密的情况下对加密数据进行计算。不经意传输解决的是另一个问题。OT 保护参与方之间的隐藏选择。FHE 保护对加密数据进行的计算。两者都可以支持隐私保护应用。它们也可以结合用于高级系统。例如，私有分析产品可能使用 FHE 进行加密计算，并使用基于 OT 的工具实现私有选择或 MPC 组件。二者的权衡各不相同。FHE 功能强大，但计算成本可能很高。基于 OT 的 MPC 在某些任务中速度较快，但可能需要参与方交互。加密货币系统架构师必须在隐私、速度、成本、信任假设和用户体验之间取得平衡。

不经意传输与加密货币托管

加密货币托管依赖私钥安全。如果单个私钥被盗，资金就可能损失。MPC 托管通过将签名权分散到多个参与方，降低这一风险。不经意传输可以帮助这些参与方在不暴露各自份额的情况下执行私有计算。这并不意味着每家托管服务商都会直接向用户提供 OT。大多数用户在注册或签名时不会看到这个术语。它可能隐藏在协议库和安全架构的深层。对于托管团队，关键问题是底层 MPC 协议是否经过审查、测试并得到正确实现。对于用户，关键问题是托管方案是否具备有效的安全控制、恢复流程、审计和运营保障措施。密码学原语很强大，但不能取代良好的托管治理。

不经意传输与账户恢复

账户恢复是私有计算可能派上用场的领域之一。钱包可能希望提供恢复支持，同时不让某家公司完全控制用户资金。秘密共享、MPC 和私有验证协议可以支持更安全的恢复模式。不经意传输可能用于保护恢复份额或私有选择的计算过程中。例如，恢复流程可能需要验证私有信息，同时不向每个参与者暴露全部恢复数据。这可以降低某个协助者、设备或服务器获知过多信息的风险。不过，恢复系统很难设计。如果恢复过于容易，攻击者就可能滥用该机制。如果恢复限制过于严格，用户就可能永远无法找回资金。OT 可以帮助保护隐私，但整个恢复流程仍需谨慎设计安全机制。

不经意传输与私密合规

加密货币合规通常需要检查地址、交易、身份或风险指标。传统合规检查可能会将敏感客户数据暴露给多个参与方。隐私保护密码学可以减少这类暴露。不经意传输可以支持私有集合求交和私有查询系统。受监管服务可能希望检查某个钱包是否出现在风险名单中，而不向名单提供方透露所有用户地址。风险数据提供方可能希望协助筛查，同时不暴露其完整数据库。基于 OT 的设计可以帮助双方只获知有限结果。这有助于在支持合规的同时减少不必要的数据共享。结果仍需要法律、运营和治理方面的控制。私密合规技术不应成为逃避法定义务或隐藏有害活动的手段。

不经意传输与去中心化身份

去中心化身份系统通常试图在证明事实的同时，避免透露过多个人信息。在某些私有凭证和选择性披露流程中，不经意传输可能有所帮助。用户可能需要证明自己符合条件，而不透露完整身份资料。验证方可能需要检查某项私有属性，而不获知其他无关属性。凭证发行方可能希望在保护隐私的同时防止欺诈。OT 可以在这些系统中支持隐藏选择和私有计算。它通常不是唯一涉及的密码学原语。系统还可能使用数字签名、零知识证明、承诺、哈希函数和 MPC。身份系统应避免将敏感个人数据直接放在公共区块链上。隐私保护密码学从设计之初就支持数据最小化时，最能发挥作用。

不经意传输与私密交易

加密货币交易可能通过订单、钱包活动、API 调用和交易时间泄露信息。不经意传输可以支持这样的系统：参与方在不透露所有私有输入的情况下匹配或评估信息。例如，双方可能希望发现交易条件是否重合，同时不暴露各自的完整策略。私密拍卖系统可能需要隐藏出价和私密撮合。流动性系统可能希望在不向每个参与方展示所有订单的情况下匹配交易意向。在这些设计中，OT 可以帮助实现隐藏选择。不过，私密交易系统还必须处理结算、公平性、MEV、合规和争议解决。OT 只能保护信息流中的一个环节。它本身无法防止所有市场操纵或执行问题。良好的私密交易设计既需要密码学，也需要市场结构方面的保障措施。

不经意传输与 MEV 保护

MEV 是通过影响交易排序、纳入或排除而提取的价值。一些隐私系统试图在安全执行前隐藏用户意图，以减少 MEV。不经意传输可以参与支持私有计算的设计，隐藏选择或撮合逻辑。这可能增加外部观察者在结算前利用信息的难度。不过，OT 并不能彻底解决 MEV。MEV 还取决于内存池、排序器、验证者、区块构建者、拍卖设计和流动性结构。即使协议使用了强大的密码学，也仍可能通过时间、元数据或结算行为泄露信息。对加密货币用户来说，重要启示是隐私保护必须贯穿整个流程。隐藏某一项选择固然有用，但交易路径的其余部分也需要得到保护。OT 可以成为更大型反 MEV 设计的一部分。

不经意传输与后量子研究

不经意传输仍是活跃的研究领域。一些新研究正在探索量子安全或信息论方法。

2026 年论文《I-(OT)^2：面向物联网设备的客户端优化不经意传输协议》研究了一种针对低功耗设备进行客户端优化的基础 OT 设计。

2024 年论文《Supersonic OT》将 OT 描述为一种基础协议，可用于安全 MPC、联邦学习和私有集合求交。

这项研究对加密货币很重要，因为区块链是长期运行的系统。钱包、托管基础设施、身份系统和审计记录可能需要在多年内保持安全。后量子风险并不意味着所有基于 OT 的加密系统如今都已失效。它意味着设计者应持续关注密码学假设，并规划迁移方案。未来的加密货币隐私系统可能会使用能够抵御更强对手的 OT 变体。安全标准不断变化，OT 研究也仍在发展。

不经意传输与区块链透明性

公共区块链在设计上具有透明性。任何人通常都能查看交易、地址、合约调用、余额和代币流动。这种透明性有助于审计，但也可能损害隐私。不经意传输很有用，因为它可以保护无需公开的链下计算或跨参与方计算。例如，钱包可能不希望透露自己查询的所有地址。托管方可能不希望暴露所有内部风险评分。DAO 可能希望进行私密投票或私密资格检查。支付服务可能希望在不共享不必要客户数据的情况下核验合规性。OT 不会消除公开的链上记录。它有助于减少区块链工作流程周边的私有数据泄露。

不经意传输与智能合约

大多数不经意传输协议由参与方在链下运行。它们通常不会直接在智能合约中执行，因为 OT 可能需要交互、密码学消息和计算，而这些操作在链上执行成本可能很高。使用 OT 的系统仍可能包含智能合约。私有计算可以在链下进行。合约则可以验证最终签名、证明、承诺或结算结果。这在加密货币领域很常见。成本高昂的私有计算在链下进行。链上只进行最低限度的验证或结算。这种方式可以减少费用并改善隐私。难点在于如何证明链下计算足够诚实，使链上结果值得信任。

不经意传输与预言机

预言机将外部数据引入区块链系统。部分预言机流程可能需要保护隐私，因为数据提供者、用户或请求详情可能涉及敏感信息。不经意传输可以支持私有数据选择或围绕预言机输入进行的私有计算。例如，用户可能希望查询某项数据，但不向数据提供方透露查询内容。协议可能希望根据多个数据源计算结果，同时不暴露每个来源的原始输入。这可能适用于私有风险评分、私有定价或保密分析。不过，预言机隐私并非单纯的 OT 问题。它还涉及数据真实性、及时性、防操纵能力、访问控制和可审计性。OT 可以隐藏选择，但预言机系统仍必须提供正确数据。只有隐私而没有正确性并不足够。

不经意传输的安全属性

不经意传输需要保护接收方隐私。接收方隐私意味着发送方不应知道接收方选择了哪条消息。不经意传输还需要保护发送方隐私。发送方隐私意味着接收方不应获知超出允许范围的消息。协议还应保障正确性。正确性意味着双方遵循规则时，接收方能够获取所选消息。某些系统还需要恶意安全性。恶意安全性意味着即使一方试图作弊，协议仍能保持安全。真实的加密货币系统还可能需要公平性、审计日志、拒绝服务防护和安全中止处理。实现前应明确说明所需的具体安全属性。

实现风险

不经意传输很容易解释，但要安全实现并不容易。随机数生成器较弱可能破坏隐私。基础 OT 存在缺陷可能危及大量扩展 OT。缺少一致性检查可能让恶意参与方作弊。侧信道泄露可能暴露接收方的选择。时间差异可能暴露选择了哪个分支。重复使用种子可能产生重复模式。不安全的库可能泄露协议消息或秘密。不当的错误消息可能泄露失败的是哪项选择。这些风险十分重要，因为 OT 通常用于用户信任其保管资金或敏感数据的大型系统中。生产系统应使用经过审查的库和正式协议规范，而不是采用自行设计的捷径。

不经意传输与侧信道

侧信道是指发生在主要数学设计之外的信息泄露。例如，协议在理论上可能是安全的，但会通过执行时间、内存访问、功耗、日志、网络数据包大小或错误行为泄露信息。在不经意传输中，侧信道可能暴露接收方的选择或发送方隐藏的消息。这对钱包硬件、移动设备、服务器和云系统尤其重要。恒定时间实现可以减少部分时间泄露。谨慎填充消息可以减少部分网络数据包大小泄露。安全日志处理可以避免将私有协议数据写入文件。安全的内存处理可以减少执行后秘密暴露的风险。侧信道安全应从一开始就纳入实现计划。如果系统在执行数值计算之外的环节泄露秘密信息，密码学机制就无法保证整体安全性。

不经意传输与信任假设

每种不经意传输系统都有其假设。一些协议依赖公钥困难性假设。一些协议依赖随机预言机或哈希函数。一些协议依赖特定设置假设。一些协议依赖硬件或网络假设。一些协议针对半诚实对手设计。另一些协议则针对恶意对手设计。加密货币开发者应清楚记录这些假设。用户无需理解每一个证明，但系统运营方应了解协议的承诺和局限。在某种环境下安全的协议，在另一种环境下可能并不安全。

不经意传输的优势

不经意传输的第一个优势是私密选择。接收方可以选择数据，而不透露自己的选择。第二个优势是限制信息披露。接收方只能获知所选数据，而不能获知其他数据。第三个优势是可组合性。OT 可以作为基础组件，用于更大型的 MPC 和隐私系统。第四个优势是通过 OT 扩展实现实际可扩展性。较小的设置阶段完成后，就能高效生成大量传输。第五个优势是与加密货币相关。OT 可以支持私密托管、私密合规、私密撮合和保密计算。第六个优势是灵活性。OT 可以扩展为多种形式，例如 1-out-of-2、1-out-of-n、相关 OT、随机 OT 和选定消息 OT。

不经意传输的局限

第一个局限是复杂性。OT 协议很难正确实现。第二个局限是交互性。许多 OT 设计都需要参与方交换消息。第三个局限是性能。如果不使用扩展，基础 OT 的成本可能很高。第四个局限是对威胁模型敏感。能够抵御半诚实行为的协议，不一定能够抵御恶意行为。第五个局限是集成风险。OT 单独来看可能安全，但如果与钱包、智能合约、API 或托管流程集成不当，整个系统仍可能不安全。第六个局限是用户无法感知。终端用户可能不知道协议实现质量如何，因为 OT 通常深藏在基础设施中。第七个局限是 OT 无法解决所有隐私问题。它保护特定的信息选择流程，但无法解决元数据、终端安全、法律风险或用户失误问题。

对不经意传输的常见误解

一种常见误解是认为不经意传输意味着发送方在没有任何安全控制的情况下发送数据。实际上，OT 是一种目标明确、具有严格隐私要求的密码学协议。另一种误解是认为 OT 会向所有人隐藏所有信息。OT 会向发送方隐藏接收方的选择，并向接收方隐藏未选择的消息。第三种误解是认为 OT 等同于加密。加密用于保护消息内容，而 OT 用于保护参与方之间的隐藏选择过程。第四种误解是认为 OT 等同于零知识证明。两者是作用不同的隐私工具。第五种误解是认为仅靠 OT 就能让加密货币钱包变得安全。钱包安全还需要安全的密钥管理、设备安全、恢复设计、策略控制和用户保护。

给开发者的最佳实践

使用经过审查的 OT 库和已发布的协议，不要自行发明设计。在实现前确定安全模型。如果参与方可能作弊，应使用具备恶意安全性的协议。谨慎保护随机性、种子和基础 OT 材料。需要大量传输时使用 OT 扩展。在网络故障、中止、重试和恶意消息等情况下测试协议行为。防范时间、日志和内存侧信道泄露。说明协议使用的是基础 OT、OT 扩展、相关 OT、随机 OT 还是其他变体。在可能的情况下，将实现代码与用户界面逻辑分开。使用 OT 保护资金或敏感用户数据前，应进行独立的密码学审查。

给加密货币企业的最佳实践

询问供应商，其 MPC 和私有计算系统是否经过独立安全审查。了解协议支持哪种威胁模型。检查系统能否防范恶意内部人员和遭到入侵的服务器。审查恢复流程，因为恢复设计不当可能导致私有计算失败。监控协议可用性，因为交互式系统可能受到网络中断影响。对协议服务器和签名设备使用严格的访问控制。保留审计日志，但不要存储敏感协议秘密。确保隐私功能不会与法定记录保存义务冲突。培训工程、安全和合规团队，让他们了解协议实际保护的内容。不要把高级密码学当作运营风险管理的替代品。

给加密货币用户的最佳实践

了解不经意传输通常在幕后运行。不要因为某个钱包声称使用 MPC 或隐私保护技术，就认定它一定安全。查看其是否清楚说明托管模式、恢复流程、审计和用户控制权。使用安全文档完善的钱包和服务。保护好设备、通行密钥、恢复份额和身份验证要素。签名前检查交易详情。不要向任何自称客服的人透露恢复信息。在适当情况下，为大额余额使用硬件钱包或多重签名保护。请记住，密码学隐私无法阻止网络钓鱼或社会工程攻击。应核实隐私声明，而不是盲目接受。

不经意传输的适用场景

当一方需要从另一方的数据中进行私密选择时，不经意传输很有用。当协议需要在安全计算中执行隐藏二元选择时，它很有用。它适用于保护钱包签名份额的 MPC 系统。它适用于对敏感数据集进行私有集合求交。它适用于私有数据库查询和私有信息检索设计。它适用于混淆电路和其他安全计算技术。它适用于隐私保护合规检查。它适用于保密匹配、私密身份核验和高级托管流程。如果简单的公开交易或普通加密已足够，就不太需要它。如果在没有明确威胁模型和专家审查的情况下实现，就可能带来危险。

一句话了解不经意传输

不经意传输是一种密码学协议，允许接收方从发送方处私下获取自己选定的一条消息，同时隐藏接收方的选择，并防止接收方获知未选择的消息。

常见问题

不经意传输是什么意思？

不经意传输是一种密码学交换方式：接收方获知一条选定的消息，发送方不知道接收方的选择，接收方也无法获知其他消息。

什么是 1-out-of-2 不经意传输？

1-out-of-2 不经意传输是指发送方持有两条消息，而接收方私下选择其中一条。

不经意传输为何在加密货币领域很重要？

它可以支持隐私保护计算、MPC 钱包、私有集合求交、保密匹配和安全托管基础设施，因此十分重要。

不经意传输等同于加密吗？

不等同。加密保护消息内容，而不经意传输保护参与方之间的私密选择过程。

不经意传输等同于零知识证明吗？

不等同。零知识证明可以在不透露见证的情况下证明某个陈述，而不经意传输允许接收方私下从发送方处选择一条消息。

什么是 OT 扩展？

OT 扩展是一种利用少量成本较高的基础传输来生成大量高效不经意传输的方法。

不经意传输如何帮助 MPC？

它允许参与方交换隐藏选择和中间值，而不暴露私有输入，从而帮助实现 MPC。

不经意传输可以用于钱包吗？

可以。它可能出现在高级钱包和托管系统使用的 MPC 与门限签名协议中。

不经意传输会在链上运行吗？

大多数 OT 协议都在链下运行，区块链则可能验证最终签名、证明、承诺或结算结果。

不经意传输能防止所有隐私泄露吗？

不能。OT 保护特定的消息选择隐私，但元数据、时间信息、终端安全、日志和用户行为仍可能泄露信息。

不经意传输最大的风险是什么？

最大的风险是实现不当，尤其是随机性较弱、缺少恶意安全检查、发生侧信道泄露或协议组合不安全。

普通加密货币用户应该自行实现不经意传输吗？

不应该。普通用户应依赖经过充分审查的钱包和协议，而不是尝试手动实现 OT。

结论

不经意传输是现代隐私保护密码学中最重要的隐藏基础组件之一。它的基本承诺很容易概括。接收方可以获得自己选择的消息。发送方不知道接收方的选择。接收方无法获知自己未选择的消息。当这一简单的隐私模式在更大型系统中反复使用时，便会发挥强大作用。不经意传输与加密货币相关，是因为数字资产系统日益需要在不牺牲正确性的情况下实现隐私保护。钱包需要在不暴露完整私钥的情况下签名。托管系统需要将信任分散到多个参与方。合规系统需要比较敏感数据，同时避免过度暴露用户信息。交易和撮合系统需要减少信息泄露。身份系统需要在不泄露完整资料的情况下验证事实。MPC、PSI、私有信息检索、混淆电路和门限签名都可能使用 OT 或相关思路。OT 扩展可以将少量设置转换为大量高效传输，使这些应用更具实用性。这种效率是不经意传输仍在研究和生产级密码学中保持活跃的原因之一。不过，OT 并非万能。它不能取代加密、零知识证明、安全钱包、完善的策略、法律合规或运营控制。它也无法防范所有元数据泄露、终端遭到入侵、网络钓鱼攻击或用户不当操作。与所有高级密码学一样，不经意传输必须谨慎实现，并在正确的场景中使用。最重要的风险包括随机性较弱、威胁建模不足、在恶意环境中使用半诚实协议、不安全的 OT 扩展、侧信道泄露，以及与更广泛系统集成不当。对开发者而言，最稳妥的做法是使用经过审查的协议、可靠的库、清晰的安全模型，并接受专家审计。对加密货币企业而言，最稳妥的做法是了解其 MPC、托管或隐私服务供应商实际保护的内容。对用户而言，最稳妥的做法是记住：高级密码学很有价值，但不能免除保护设备、谨慎签名和采用可信恢复方式的必要性。大多数钱包界面都不会显示不经意传输。它在需要私密协作的系统中默默运行于后台。正是这种不显眼的作用，让它变得重要。它帮助加密货币从默认公开的交易模式，迈向能够进行计算、验证和协作，同时只披露必要信息的系统。