Πλήρως Ομομορφική Κρυπτογράφηση: Η Τεχνολογία που Υπολογίζει σε Μυστικά

Ο Craig Gentry απέδειξε ότι ήταν εφικτό το 2009, έπειτα από περίπου τρεις δεκαετίες αμφιβολιών από την κρυπτογραφική κοινότητα. Η ιδέα: κρυπτογραφείς τα δεδομένα σου, τα παραδίδεις σε κάποιον άλλον, εκείνος εκτελεί υπολογισμούς πάνω σε αυτά, σου επιστρέφει ένα αποτέλεσμα, και όταν το αποκρυπτογραφείς, είναι σωστό. Αυτός που έκανε τους υπολογισμούς δεν είδε ποτέ τα δεδομένα σου. Όχι μια καθαρισμένη έκδοση. Όχι ένα hash. Οι πραγματικές υποκείμενες τιμές, ποτέ εκτεθειμένες, ούτε για ένα microsecond. Αυτή είναι η πλήρως ομομορφική κρυπτογράφηση — μια μορφή κρυπτογράφησης που επιτρέπει σε τρίτο μέρος να εκτελεί υπολογισμούς στα δεδομένα σου χωρίς ποτέ να τα αποκρυπτογραφεί.

Τι είναι λοιπόν το FHE (Fully Homomorphic Encryption); Δεν πρόκειται για κόλπο. Είναι μια μαθηματική ιδιότητα ορισμένων κρυπτογραφικών σχημάτων. Στέλνεις σε κάποιον ένα κλειδωμένο κουτί. Εκείνος αναδιατάσσει τα περιεχόμενα. Το ξεκλειδώνεις και η διάταξη είναι σωστή. Δεν είχε ποτέ το κλειδί.

Γιατί οι εναλλακτικές δεν επαρκούν

Πριν εξηγήσουμε πώς λειτουργεί το FHE, αξίζει να διευκρινίσουμε το πρόβλημα που επιλύει, καθώς οι περισσότερες προσεγγίσεις για «υπολογισμούς σε ευαίσθητα δεδομένα» συνεπάγονται έναν συμβιβασμό που οι άνθρωποι έχουν συνηθίσει να αποδέχονται χωρίς αμφισβήτηση.

Η τυπική προσέγγιση: κρυπτογράφηση δεδομένων σε κατάσταση ηρεμίας και κατά τη μεταφορά, αποκρυπτογράφηση πριν από την επεξεργασία. Ο πάροχος cloud, ο προμηθευτής ανάλυσης, η υπηρεσία ML — όλοι χρειάζονται plaintext για να κάνουν τη δουλειά τους. Τους παραχωρείς εμπιστοσύνη εξ ανάγκης. Αυτό λειτουργεί μέχρι που δεν λειτουργεί: μια παραβίαση, μια κλήτευση, μια εσωτερική απειλή, μια εσφαλμένα διαμορφωμένη πολιτική πρόσβασης.

Τα αξιόπιστα περιβάλλοντα εκτέλεσης (TEEs) όπως το Intel SGX δημιουργούν μια προστατευμένη περιοχή μνήμης που δεν μπορεί να διαβάσει ακόμα και το λειτουργικό σύστημα. Οι ευαίσθητοι υπολογισμοί πραγματοποιούνται εντός του enclave. Αυτό είναι πραγματικά χρήσιμο, αλλά εμπιστεύεσαι τον κατασκευαστή υλικού και στοιχηματίζεις ότι η υλοποίηση του enclave δεν έχει εκμεταλλεύσιμα ελαττώματα. Το SGX έχει αντιμετωπίσει αρκετά.

Το διαφορικό απόρρητο (differential privacy) προσθέτει βαθμονομημένο στατιστικό θόρυβο στα αποτελέσματα ερωτημάτων, περιορίζοντας το πόσο μπορεί να συμπεράνει ένας επιτιθέμενος για άτομα από συγκεντρωτικές εξόδους. Προστατεύει συγκεντρώσεις, όχι υπολογισμούς σε μεμονωμένες εγγραφές.

Το FHE είναι η μόνη προσέγγιση όπου τα δεδομένα δεν αποκρυπτογραφούνται ποτέ στον διακομιστή, και η απόδειξη ασφάλειας δεν απαιτεί εμπιστοσύνη σε κανένα υλικό ή τρίτο μέρος. Η εγγύηση είναι μαθηματική.

Η μηχανική, εν συντομία

Τα σχήματα FHE ορίζουν αριθμητικές πράξεις απευθείας σε ciphertexts. Η ομομορφική πρόσθεση και ο ομομορφικός πολλαπλασιασμός σε κρυπτογραφημένες τιμές παράγουν, μετά την αποκρυπτογράφηση, το ίδιο αποτέλεσμα με την εκτέλεση αυτών των πράξεων στα υποκείμενα plaintexts.

Δύο πράξεις ακούγονται περιορισμένες. Δεν είναι. Η πρόσθεση και ο πολλαπλασιασμός σε δυαδικά πεδία σου δίνουν πύλες AND και XOR, οι οποίες σου δίνουν αυθαίρετα ψηφιακά κυκλώματα. Οποιαδήποτε συνάρτηση μπορεί να υπολογίσει ένας υπολογιστής μπορεί να εκφραστεί με αυτές τις δύο πράξεις. Αυτή είναι η γέφυρα από την «αριθμητική σε κρυπτογραφημένους αριθμούς» στον «αυθαίρετο υπολογισμό σε κρυπτογραφημένα δεδομένα».

Το δομικό πρόβλημα είναι ο θόρυβος. Κάθε πράξη FHE εισάγει ένα μικρό σφάλμα στο ciphertext. Τα σφάλματα συσσωρεύονται. Αν εκτελεστούν αρκετές πράξεις, ο θόρυβος υπερισχύει του σήματος — το ciphertext γίνεται μη αποκρυπτογραφήσιμο. Η επίγνωση του Gentry ήταν το bootstrapping: η ομομορφική αξιολόγηση του κυκλώματος αποκρυπτογράφησης στο θορυβώδες ciphertext για την παραγωγή ενός νέου, χαμηλού θορύβου ciphertext με την ίδια τιμή plaintext. Με άλλα λόγια, εκτελείς αποκρυπτογράφηση εντός της κρυπτογράφησης. Ο θόρυβος επαναφέρεται χωρίς τα δεδομένα να εκτεθούν ποτέ.

Τα σχήματα που διαχειρίζονται έναν περιορισμένο αριθμό πράξεων πριν ο θόρυβος γίνει μοιραίος ονομάζονται leveled ή somewhat homomorphic. Το bootstrapping είναι αυτό που δικαιολογεί το «fully» στο FHE.

Πού αναπτύσσεται σήμερα

Για τις περισσότερες εφαρμογές, το FHE είναι ακόμα πολύ αργό. Οι εφαρμογές που λειτουργούν σήμερα μοιράζονται ένα προφίλ: περιορισμένο βάθος κυκλώματος, υψηλή ευαισθησία δεδομένων και ένα μέρος που μπορεί να απορροφήσει το κόστος υπολογισμού σε αντάλλαγμα για μια μαθηματική εγγύηση απορρήτου.

Η ιδιωτική συμπέρανση ML είναι η πιο σαφής εφαρμογή. Ένας πελάτης έχει ευαίσθητες εισόδους. Ένας διακομιστής έχει ένα ιδιόκτητο μοντέλο. Το FHE επιτρέπει στον διακομιστή να αξιολογεί το μοντέλο σε κρυπτογραφημένες εισόδους και να επιστρέφει ένα κρυπτογραφημένο αποτέλεσμα. Κανένα μέρος δεν εκθέτει αυτό που προστατεύει. Η Zama το διαθέτει για συγκεκριμένες αρχιτεκτονικές μοντέλων. Το βάθος κυκλώματος είναι προβλέψιμο και διαχειρίσιμο.

Η ιδιωτική γονιδιωματική ανάλυση αποτελεί φόρτο εργασίας αναφοράς από τότε που το iDASH άρχισε να διοργανώνει διαγωνισμούς κρυπτογραφημένης γονιδιωματικής το 2014. Η βαθμολόγηση κινδύνου νόσου, οι μελέτες συσχέτισης ολόκληρου του γονιδιώματος και η ευθυγράμμιση αλληλουχιών έχουν όλες κατασκευές FHE. Τα γονιδιωματικά δεδομένα είναι ένας από τους λίγους τύπους δεδομένων όπου ο κίνδυνος απορρήτου είναι μόνιμος και επεκτείνεται σε άτομα που δεν συναίνεσαν ποτέ να μοιραστούν τίποτα.

Τα εμπιστευτικά οικονομικά ερωτήματα καλύπτουν ερωτήματα εύρους, κρυπτογραφημένες αναζητήσεις βάσεων δεδομένων και βαθμολόγηση απάτης σε κρυπτογραφημένα ιστορικά συναλλαγών. Αυτά τα φορτία εργασίας εκτελούνται αρκετά σπάνια και τα δεδομένα είναι αρκετά ευαίσθητα, ώστε η υπέρβαση υπολογισμού να είναι αποδεκτή.

Η εμπιστευτικότητα blockchain είναι ενεργός τομέας. Τα έξυπνα συμβόλαια εκτελούνται δημόσια on-chain από προεπιλογή. Τα συστήματα βασισμένα σε TFHE σου επιτρέπουν να εκτελείς λογική συμβολαίου σε κρυπτογραφημένη κατάσταση, επιτρέποντας πράγματα όπως ιδιωτικές δημοπρασίες, εμπιστευτική ψηφοφορία και μηχανισμούς κλειστής προσφοράς όπου η ορθότητα είναι δημόσια επαληθεύσιμη αλλά οι είσοδοι δεν εκτίθενται. Το έργο fhEVM της Zama στοχεύει ειδικά σε αυτό.

Θεμέλια ασφάλειας

Η ασφάλεια του FHE ανάγεται στη δυσκολία του Learning With Errors (LWE) και της παραλλαγής του δακτυλίου (RLWE). Αυτά τα προβλήματα ρωτούν: δεδομένων πολλών προσεγγιστικών γραμμικών εξισώσεων πάνω σε ένα δακτύλιο ή πλέγμα, ανάκτησε το μυστικό. Δεν είναι γνωστός κανένας αλγόριθμος πολυωνυμικού χρόνου για κανένα από τα δύο, ούτε σε κλασικό ούτε σε κβαντικό υλικό.

Αυτό εντάσσει το FHE στην οικογένεια post-quantum κρυπτογραφίας. Η τυποποίηση post-quantum του NIST βασίζεται σε προβλήματα της οικογένειας LWE, γεγονός που δίνει στις υποκείμενες υποθέσεις πρόσθετο έλεγχο και εμπιστοσύνη. Εν τούτοις, το LWE δέχεται σοβαρές επιθέσεις για λιγότερο από 20 χρόνια. Το RSA και οι ελλειπτικές καμπύλες έχουν πίσω τους 40+ χρόνια αποτυχημένης κρυπτανάλυσης. Το επίπεδο εμπιστοσύνης είναι υψηλό αλλά όχι πανομοιότυπο.

Οι παράμετροι διέπουν την ασφάλεια. Ο βαθμός πολυωνύμου, το μέγεθος του modulus και η κατανομή θορύβου πρέπει να επιλέγονται ώστε να καθιστούν το instance LWE δύσκολο στο επιθυμητό επίπεδο ασφάλειας. Η κοινοπραξία HomomorphicEncryption.org δημοσιεύει προτεινόμενα σύνολα παραμέτρων. Η χρήση προεπιλογών βιβλιοθήκης που έχουν επικυρωθεί έναντι αυτών των συστάσεων προτιμάται έντονα έναντι προσαρμοσμένων διαμορφώσεων.

Το ανταγωνιστικό πλαίσιο

Το FHE είναι μία από τις αρκετές τεχνολογίες υπολογισμού με διατήρηση απορρήτου, και χρησιμοποιούνται όλο και περισσότερο μαζί παρά ως υποκατάστατα.

Η ασφαλής υπολογιστική πολλαπλών μερών (MPC) κατανέμει έναν υπολογισμό σε πολλά μέρη, κανένα από τα οποία δεν βλέπει την πλήρη είσοδο. Είναι συχνά ταχύτερη από το FHE για συγκεκριμένες συναρτήσεις και ταιριάζει φυσικά όταν τα μέρη ορίζονται εκ των προτέρων. Το FHE λειτουργεί με έναν μεμονωμένο μη αξιόπιστο διακομιστή.

Οι αποδείξεις μηδενικής γνώσης (ZKPs) επιτρέπουν σε ένα μέρος να αποδείξει ότι μια δήλωση είναι αληθής χωρίς να αποκαλύψει τον μάρτυρα. Τα ZKPs αποδεικνύουν· το FHE υπολογίζει. Είναι συμπληρωματικά, και τα πραγματικά συστήματα χρησιμοποιούν και τα δύο: FHE για ιδιωτικό υπολογισμό, ZKPs για επαλήθευση ότι ο υπολογισμός έγινε σωστά.

Τα υβριδικά πρωτόκολλα που συνδυάζουν FHE και MPC είναι ενεργός τομέας έρευνας. Καμία τεχνολογία μόνη της δεν ικανοποιεί κάθε απαίτηση· ο συνδυασμός τους μπορεί να σου δώσει καλύτερη απόδοση και ισχυρότερες εγγυήσεις από ό,τι οποιαδήποτε από αυτές ανεξάρτητα.