Er zijn veel elegante ideeën in de cryptografie. Volledig homomorfe versleuteling (FHE) is misschien wel de meest absurde die daadwerkelijk werkt.
Het idee: je versleutelt je gegevens, geeft ze aan iemand anders, zij voeren berekeningen uit op de gegevens, geven een resultaat terug, en wanneer je dat resultaat ontsleutelt, klopt het. De persoon die de berekeningen uitvoerde heeft je gegevens nooit gezien. Geen bewerkte versie. Geen hash. De werkelijke onderliggende waarden, nooit blootgesteld, zelfs niet voor een microseconde.
Craig Gentry bewees in 2009 dat dit mogelijk was. De cryptografiegemeenschap had zich hier al ongeveer 30 jaar eerder vragen over gesteld.
Hoe FHE werkt
Gewone versleuteling is een eenrichtingsdeur. Je vergrendelt de gegevens, en iedereen die er iets mee wil doen, moet ze eerst ontgrendelen. FHE houdt de deur vergrendeld, maar laat je de meubels van buitenaf verplaatsen.
Preciezer gezegd: FHE-schema's definiëren twee bewerkingen op cipherteksten, doorgaans homomorfe optelling en homomorfe vermenigvuldiging genoemd. Deze komen overeen met dezelfde bewerkingen op de onderliggende plainteksten. Als je twee versleutelde waarden optelt, is het resultaat na ontsleuteling gelijk aan de som van de originelen. Hetzelfde geldt voor vermenigvuldiging.
Die twee bewerkingen zijn voldoende om elke functie te bouwen die een computer kan berekenen. (Optelling en vermenigvuldiging over binaire velden geven je AND- en XOR-poorten, die je willekeurige circuits geven.) Dat is de brug van "twee bewerkingen op versleutelde getallen" naar "willekeurige berekeningen op versleutelde gegevens."
Het probleem is ruis. Elke FHE-bewerking voegt een kleine hoeveelheid fout toe aan de ciphertekst. Voer genoeg bewerkingen uit en de ruis overspoelt het signaal. Je kunt niet meer ontsleutelen. Gentry's belangrijkste bijdrage was een techniek genaamd bootstrapping: een manier om het ontsleutelcircuit op de ciphertekst uit te voeren terwijl deze nog versleuteld is, waardoor het ruisniveau wordt gereset. Het is diepgaand vreemd als je er te lang over nadenkt. De ontsleutelfunctie ontsleutelt… binnen de versleuteling. Dat is wat het schema "volledig" homomorf maakt in plaats van slechts "enigszins" homomorf.
Enigszins homomorfe versleuteling (SHE) verwerkt een vast aantal bewerkingen voordat ruis fataal wordt. Gelaagde homomorfe versleuteling (LHE) verwerkt een vooraf bepaalde circuitdiepte. FHE verwerkt elk circuit, onbegrensd, omdat bootstrapping je in staat stelt door te gaan.
Waar FHE nu bruikbaar is
Voor de meeste toepassingen is FHE nog steeds te traag. Maar "meeste" heeft een scherpe kant. Er zijn vandaag de dag echte implementaties in gebruik.
Privé machine learning inferentie. Een client heeft gevoelige invoergegevens. Een server heeft een eigen model. Geen van beide wil aan de ander blootstellen wat ze hebben. FHE laat de server zijn model evalueren op de versleutelde invoer van de client en een versleuteld resultaat teruggeven dat de client kan ontsleutelen. De server ziet de invoer nooit. De client ziet de modelgewichten nooit. Bedrijven hebben dit ingezet voor specifieke modelarchitecturen. De werklast past binnen de huidige beperkingen van FHE omdat de circuitdiepte begrensd en voorspelbaar is.
Privé genomische berekening. Genomische gegevens zijn op manieren gevoelig die verder gaan dan een burgerservicenummer: het impliceert je familieleden, het is permanent, en de privacyrisico's nemen toe naarmate referentiedatabases groeien. Onderzoekers hebben FHE gebruikt om ziektegrisicoscores en genetische vergelijkingen te berekenen zonder de onderliggende sequenties bloot te stellen aan de berekende partij. iDASH-competities benchmarken deze gebruikscase al sinds 2014.
Privé databasequery's. Je wilt een database bevragen zonder te onthullen waarnaar je op zoek bent. Trefwoordzoekopdrachten, bereikquery's en ledentoetsen van verzamelingen hebben allemaal FHE-constructies. De overhead is nog steeds aanzienlijk, maar beheersbaar voor laagfrequente, hoogwaardige query's.
Federatieve berekening met privacygaranties. Meerdere ziekenhuizen willen een model trainen op hun gecombineerde patiëntgegevens zonder dossiers te delen. FHE (vaak gecombineerd met veilige meerpartijenberekening) geeft je de gecombineerde berekening zonder het samenvoegen van gegevens.
FHE versus andere privacybeschermende benaderingen
FHE bestaat niet op zichzelf. Het is één tool in een stack die het volgende omvat:
Veilige meerpartijenberekening (MPC): meerdere partijen berekenen gezamenlijk een functie zonder hun invoer aan elkaar te onthullen. MPC is vaak sneller dan FHE voor specifieke functies en vereist meerdere niet-samenzwerende partijen. FHE werkt met een enkele server.
Differentiële privacy (DP): voegt gekalibreerde ruis toe aan uitvoer om te begrenzen wat een tegenstander kan afleiden over individuen in een dataset. DP beschermt tegen inferentieaanvallen op geaggregeerde resultaten, maar biedt geen berekening op privé-invoer.
Vertrouwde uitvoeringsomgevingen (TEE's): hardware-enclaves (Intel SGX, AMD SEV) die code uitvoeren in een afgeschermd geheugengebied dat het besturingssysteem niet kan lezen. TEE's gaan ervan uit dat je de hardwareleverancier vertrouwt en dat er geen fout in de implementatie zit. FHE gaat ervan uit dat je de wiskunde vertrouwt.
Nulkennisbewijzen (ZKP's): laten je bewijzen dat een bewering waar is zonder te onthullen waarom het waar is. ZKP's bewijzen eigenschappen; FHE berekent op privéwaarden. Ze zijn complementair.
Hybride systemen komen steeds vaker voor. FHE verwerkt de gevoelige berekening; ZKP's verifiëren dat de berekening correct is uitgevoerd; MPC distribueert vertrouwen. De grenzen tussen deze technologieën vervagen naarmate practitioners systemen bouwen die tegelijkertijd eigenschappen van meerdere technologieën nodig hebben.
