Классификация Гомоморфного шифрования

Исходя из типов поддерживаемых операций и количества разрешенных операций, гомоморфное шифрование в основном классифицируется на три категории: частичное гомоморфное шифрование (PHE), отчасти гомоморфное шифрование (SHE) и полностью гомоморфное шифрование (FHE).

Частичное гомоморфное шифрование (PHE)
В отличие от Полностью Гомоморфного Шифрования (FHE), Частично Гомоморфное Шифрование поддерживает только ограниченный тип операций, таких как сложение или умножение, но не оба типа операций одновременно. Это позволяет PHE защищать конфиденциальность данных, обеспечивая необходимые функции обработки данных в определенных сценариях приложений. Например, схема шифрования RSA поддерживает аддитивные операции, а схема шифрования Эль-Гамаля поддерживает мультипликативные операции. Хотя эти схемы шифрования обладают некоторыми гомоморфными свойствами, их ограниченная функциональность затрудняет их непосредственное применение в сценариях, требующих нескольких типов операций.

Частично гомоморфное шифрование (SHE)
Частично гомоморфное шифрование (SHE) представляет собой прогресс по сравнению с полностью гомоморфным шифрованием, позволяющим ограниченные операции сложения и умножения над зашифрованными данными. Однако каждая гомоморфная операция увеличивает шум, и после определенного числа операций шум в шифротексте становится избыточным. Это может привести к сбою расшифровки или неточным результатам. В результате схемы SHE обычно подходят только для сценариев, включающих небольшое число операций.

Полностью гомоморфное шифрование (FHE)
Полностью гомоморфное шифрование (FHE) позволяет выполнять неограниченное количество операций сложения и умножения над зашифрованными данными без возникновения ошибки расшифровки, независимо от объема вычислений. Считается «Священным Граалем» в исследованиях гомоморфного шифрования, FHE показывает огромный потенциал для широкого спектра применений - от безопасного облачного вычисления до анализа данных с сохранением конфиденциальности.

История развития гомоморфного шифрования

Концепция гомоморфного шифрования восходит к 1970-м годам, когда исследователи впервые представили возможность выполнения вычислений непосредственно с зашифрованными данными. Тем не менее, эта занимательная идея оставалась теоретической на протяжении десятилетий. Был достигнут прорыв лишь в 2009 году, когда математик IBM Крейг Джентри добился успеха.

Джентри представил первую жизнеспособную полностью гомоморфную схему шифрования, позволяющую выполнять произвольные вычисления над зашифрованными данными. Его метод, основанный на сложных «идеальных решетках», новаторски включал в себя два ключевых элемента: шум и бутстреппинг. Шум — неизбежный побочный продукт шифрования, который накапливается при каждом вычислении, — может привести к сбоям расшифровки. Чтобы бороться с этим, Джентри разработал технику «бутстреппинга», которая «очищает» шум во время вычислений. Благодаря самонастройке и циклическому шифрованию схема Джентри доказала, что полностью гомоморфное шифрование осуществимо и может поддерживать неограниченное количество вычислений.

Эта прорывная работа вызвала восторг в области криптографии, превращая однажды далекое понятие в конкретное научное направление. Она также заложила основу для будущих достижений в защите конфиденциальности данных и безопасности облачных вычислений.

Ранняя стадия
Перед предложением FHE Гентри исследования в основном сосредоточились на частичном гомоморфном шифровании. Схемы шифрования RSA и ElGamal были типичными ранними представителями частичного гомоморфного шифрования. Эти схемы ограничивались выполнением только одного типа операции, что делало их сложными для применения к более сложным вычислительным задачам.

Прорыв Гентри
Полностью гомоморфная схема шифрования Джентри была основана на теории решеток. Эта схема ввела понятие под названием «шум», которое постепенно увеличивается с каждой операцией. Джентри разработал процесс «начальной загрузки» для предотвращения чрезмерного шума, который снижает шум до управляемого уровня путем частичной расшифровки и повторного шифрования зашифрованного текста. Основная идея бутстреппинга заключается в том, чтобы «освежить» зашифрованный текст до того, как шум накопится до неконтролируемого уровня. В частности, начальная загрузка позволяет системе шифрования повторно шифровать и упрощать текущий зашифрованный текст, используя полностью гомоморфное шифрование после выполнения части вычислений, эффективно снижая уровень шума. Этот процесс действует как механизм удаления шума, «переупаковывая» зашифрованные тексты, которые изначально содержали больше шума, и автоматически управляя шумом во время зашифрованных вычислений. Следовательно, он позволяет выполнять неограниченное количество вычислений над зашифрованным текстом без чрезмерного накопления шума, решая ограничение предыдущих гомоморфных схем шифрования, которые поддерживали только конечное число вычислений. Несмотря на то, что теоретически эта конструкция была новаторской, ее вычислительная стоимость была непомерно высокой, что приводило к чрезвычайно медленным ранним реализациям.

Последующие события
В 2011 году Бракерски и коллеги предложили более упрощенную схему FHE на основе проблемы обучения с ошибками (LWE), что значительно снизило вычислительную сложность. Впоследствии улучшенные схемы дополнительно повысили эффективность полностью гомоморфного шифрования. Примерами являются схема B/FV (Фан-Веркотерен) и схема CKKS, основанная на кольцевом гомоморфном шифровании. Эти достижения продемонстрировали значительное повышение эффективности в конкретных сценариях применения.

Концепция и основные схемы полностью гомоморфного шифрования

Свойство гомоморфизма

Основное свойство гомоморфного шифрования - это форма гомоморфизма между операциями шифрования и открытого текста. Предположим, у нас есть два открытых текста (m_1) и (m_2), с их соответствующими шифротекстами (Enc(m_1)) и (Enc(m_2)). Функция шифрования (Enc) и операция (circ) удовлетворяют следующему свойству:

[ Enc(m_1) \circ Enc(m_2) = Enc(m_1 \circ m_2) ]

Это отношение подразумевает, что операции, выполненные с шифротекстами, при расшифровке дают тот же результат, что и операции, выполненные с открытым текстом.

С тех пор, как Джентри предложил первую полностью гомоморфную схему шифрования, многие исследователи усовершенствовали и оптимизировали ее. Ниже приведены технические подробности, а также плюсы и минусы двух распространенных полностью гомоморфных схем шифрования:

Полностью гомоморфная схема шифрования Джентри

Схема Гентри - первая теоретически осуществимая полностью гомоморфная схема шифрования, инновационно предлагающая структуру шифрования на основе идеальных решеток. Его схема имеет следующие характеристики:

• Идеальное решетчатое шифрование: Схема полностью гомоморфного шифрования Джентри основана на сложной математической структуре идеальных решеток. Идеальные решетки обеспечивают высокоэффективное шифрование, которое сложно взломать. На основе известных квантовых и классических алгоритмов идеальная решетка считается трудной для эффективного решения. Эта математическая структура обеспечивает достаточную безопасность шифрования, позволяя гибкие операции с шифротекстами.
• Шум: Каждая операция шифрования создает шум. Если его не контролировать, шум постепенно накапливается в операциях, что в конечном итоге приводит к неправильной расшифровке зашифрованных текстов. Джентри инновационно использовал технологию бутстреппинга, позволяющую «очищать» шум после выполнения вычислений на определенную глубину. Поэтому предложенная им схема имеет бесконечную глубину и может поддерживать неограниченное количество вычислений.
• Загрузка: В процессе загрузки сам шифротекст повторно шифруется, что позволяет схеме шифрования сохранять правильность зашифрованных данных, устраняя шум. Основа загрузки - это рекурсивная операция над шифротекстами в зашифрованном состоянии и управление накоплением шума во время вычислительного процесса. Через эту рекурсивную операцию можно выполнять вычисления без ограничений.

Схема Бракерски-Фан-Веркотерена (схема B/FV)

Для преодоления вычислительного узкого места в схеме Gentry исследователи, такие как Brakerski, Fan и Vercauteren, предложили улучшенную схему на основе задачи обучения с ошибками (LWE) и задачи обучения с ошибками в кольце (Ring-LWE). Схема B/FV в основном оптимизирует процесс перезагрузки.

B/FV эффективно контролирует и управляет ростом шума с помощью техники, называемой "переключение модуля", тем самым увеличивая количество операций, которые можно выполнить без перезагрузки. Схема B/FV использует кольцевые структуры для операций шифрования и вычислений. Конкретно, сообщения и шифртексты представлены в виде полиномов, используя проблему кольцевого обучения с ошибками (Ring-LWE), чтобы преобразовать вычислительные операции в операции над полиномами. Это представление значительно улучшает эффективность шифрования и дешифрования и позволяет более эффективные гомоморфные операции.

По сравнению с схемой Джентри, B/FV более эффективен в операциях шифрования и дешифрования, особенно при выполнении простого гомоморфного сложения и умножения, его производительность значительно оптимизирована. Преимущество схемы B/FV заключается в снижении вычислительных накладных расходов для перезапуска, что делает полностью гомоморфное шифрование более жизнеспособным в практических приложениях. Однако при выполнении сложных многоэтапных вычислений эта схема по-прежнему сталкивается с проблемой накопления шума и в конечном итоге все еще нуждается в использовании технологии перезапуска для очистки шума.

Характеристики и проблемы полностью гомоморфного шифрования

Несмотря на то, что полностью гомоморфное шифрование обеспечивает преимущества в безопасном обмене данными и гибкой обработке данных, оно по-прежнему сталкивается с проблемой высоких вычислительных затрат. В сценариях совместного использования данных полностью гомоморфное шифрование гарантирует, что неавторизованные третьи лица не получат доступ к данным во время передачи и обработки. Владельцы данных могут уверенно обмениваться зашифрованными данными с другими сторонами, которые могут обрабатывать их в зашифрованном состоянии и возвращать результаты исходному владельцу данных. По сравнению с другими алгоритмическими решениями, его метод обработки данных является более гибким и подходит для различных задач с большим объемом данных, требующих зашифрованной обработки, таких как машинное обучение, статистический анализ и финансовые расчеты.

Несмотря на перспективную концепцию полностью гомоморфного шифрования, его самой большой проблемой является высокая вычислительная стоимость. Существующие схемы полностью гомоморфного шифрования требуют значительных вычислительных ресурсов при выполнении сложных вычислений (особенно умножения или многошаговых операций). Производительность является главным узким местом, препятствующим его широкому применению, и исследователи постоянно стремятся улучшить эффективность, с целью сделать полностью гомоморфное шифрование технологией, находящей применение в практических приложениях.

Применение полностью гомоморфного шифрования в традиционных областях

Сценарии применения

В эпоху облачных вычислений защита конфиденциальности имеет решающее значение. Многие компании и частные лица хранят данные в облаке и полагаются на облачные серверы для решения различных вычислительных задач. Это особенно важно в медицинской сфере, где конфиденциальность данных пациентов имеет первостепенное значение. Полностью гомоморфное шифрование обеспечивает надежную защиту медицинских учреждений, позволяя им проводить статистический анализ и моделирование заболеваний, сохраняя при этом данные в зашифрованном виде. Это обеспечивает защиту конфиденциальной информации от несанкционированного доступа. Финансовая отрасль также обрабатывает конфиденциальные данные, такие как инвестиционные портфели клиентов и кредитные оценки. Полностью гомоморфное шифрование позволяет финансовым учреждениям проводить анализ рисков и финансовое моделирование без расшифровки данных, обеспечивая тем самым двойную защиту конфиденциальности пользователей и безопасность данных.

Применение полностью гомоморфного шифрования в области блокчейна

Сценарии применения

Полностью гомоморфное шифрование добавляет уровень конфиденциальности смарт-контрактам в блокчейне, позволяя пользователям выполнять контракты, не раскрывая входные данные. Эта технология особенно ценна в секторе DeFi, где пользователи могут скрывать остатки средств и детали транзакций во время кредитования и торговли, защищая личную конфиденциальность. Кроме того, полностью гомоморфное шифрование создало новые возможности для защиты конфиденциальности в цифровых валютах. В то время как монеты конфиденциальности, такие как Monero и Zcash, уже используют продвинутое шифрование, полностью гомоморфное шифрование может еще больше скрыть суммы транзакций и личности участников, повышая секретность транзакций. На децентрализованных рынках данных или в сценариях анализа поставщики данных могут безопасно обмениваться зашифрованными данными с помощью полностью гомоморфного шифрования, что позволяет другим участникам проводить анализ и расчеты без риска утечки данных, тем самым повышая безопасность и эффективность обмена данными.

Классические примеры

Zama - компания, посвященная технологии конфиденциальности в области блокчейна. Она фокусируется на разработке инструментов защиты конфиденциальности на основе полностью гомоморфного шифрования. Для подробного анализа обратитесь к другому исследовательскому отчету.

Elusiv - это платформа защиты конфиденциальности, которая объединяет полностью гомоморфное шифрование и технологию блокчейна. Она преимущественно используется для защиты конфиденциальности транзакций в блокчейне. Пользователи могут проводить анонимные транзакции через систему Elusiv, обеспечивая нераскрытие деталей транзакций широкой публике, сохраняя возможность проверки правильности транзакций на блокчейне.