W kryptografii jest wiele eleganckich idei. W pełni homomorficzne szyfrowanie (FHE) może być najbardziej absurdalną z tych, które rzeczywiście działają.
Idea jest następująca: szyfrujesz swoje dane, przekazujesz je komuś innemu, ta osoba wykonuje na nich obliczenia, zwraca wynik, a gdy go odszyfrujesz, jest on poprawny. Osoba wykonująca obliczenia nigdy nie widziała Twoich danych. Nie oczyszczonej wersji. Nie skrótu. Rzeczywistych wartości źródłowych – nigdy nieujawnionych, nawet przez mikrosekendę.
Craig Gentry udowodnił, że jest to możliwe w 2009 roku. Społeczność kryptograficzna zastanawiała się, czy jest to osiągalne przez mniej więcej 30 lat wcześniej.
Jak działa FHE
Zwykłe szyfrowanie to drzwi jednokierunkowe. Zamykasz dane, a każdy, kto chce z nimi coś zrobić, musi je najpierw odblokować. FHE trzyma drzwi zamknięte, ale pozwala przestawiać meble od zewnątrz.
Mówiąc dokładniej: schematy FHE definiują dwie operacje na szyfrogramach, zwykle nazywane homomorficznym dodawaniem i homomorficznym mnożeniem. Odpowiadają one tym samym operacjom na leżących u ich podstaw plaintekstach. Jeśli dodasz dwie zaszyfrowane wartości, wynik po odszyfrowaniu równa się sumie oryginałów. To samo dotyczy mnożenia.
Te dwie operacje wystarczą do zbudowania dowolnej funkcji, którą komputer może obliczyć. (Dodawanie i mnożenie w polach binarnych dają bramki AND i XOR, które dają dowolne obwody.) To jest pomost od „dwóch operacji na zaszyfrowanych liczbach" do „dowolnych obliczeń na zaszyfrowanych danych".
Problemem jest szum. Każda operacja FHE dodaje niewielką ilość błędu do szyfrogramu. Wykonaj wystarczająco dużo operacji, a szum zagłuszy sygnał. Nie będziesz już w stanie odszyfrować danych. Kluczowym wkładem Gentry'ego była technika zwana bootstrappingiem: sposób na uruchomienie obwodu deszyfrowania na szyfrogramie, gdy jest on nadal zaszyfrowany, co resetuje poziom szumu. Jeśli myślisz o tym zbyt długo, jest to głęboko osobliwe. Funkcja deszyfrowania odszyfrowuje… wewnątrz szyfrowania. To właśnie sprawia, że schemat jest „w pełni" homomorficzny, a nie tylko „częściowo" homomorficzny.
Częściowo homomorficzne szyfrowanie (SHE) obsługuje stałą liczbę operacji, zanim szum stanie się fatalny. Poziomowe szyfrowanie homomorficzne (LHE) obsługuje z góry określoną głębokość obwodu. FHE obsługuje dowolny obwód, bez ograniczeń, ponieważ bootstrapping pozwala kontynuować.
Gdzie FHE jest już używane
W przypadku większości aplikacji FHE jest nadal zbyt wolne. Ale „większość" ma tutaj wyraźną granicę. Istnieją rzeczywiste wdrożenia działające już dziś.
Prywatne wnioskowanie w uczeniu maszynowym. Klient posiada wrażliwe dane wejściowe. Serwer posiada zastrzeżony model. Żadna ze stron nie chce ujawniać tego, co posiada, drugiej stronie. FHE pozwala serwerowi ocenić swój model na zaszyfrowanych danych wejściowych klienta i zwrócić zaszyfrowany wynik, który klient może odszyfrować. Serwer nigdy nie widzi danych wejściowych. Klient nigdy nie widzi wag modelu. Firmy wdrożyły to rozwiązanie dla określonych architektur modeli. Obciążenie pasuje do obecnych ograniczeń FHE, ponieważ głębokość obwodu jest ograniczona i przewidywalna.
Prywatne obliczenia genomiczne. Dane genomiczne są wrażliwe w sposób wykraczający poza numer PESEL: dotyczą Twoich krewnych, są trwałe, a ryzyko naruszenia prywatności rośnie wraz z rozwojem baz danych referencyjnych. Naukowcy wykorzystali FHE do obliczania wyników ryzyka chorób i porównań genetycznych bez ujawniania leżących u podstaw sekwencji stronie wykonującej obliczenia. Konkursy iDASH przeprowadzają testy porównawcze tego przypadku użycia od 2014 roku.
Prywatne zapytania do baz danych. Chcesz wysłać zapytanie do bazy danych bez ujawniania, czego szukasz. Wyszukiwanie słów kluczowych, zapytania o zakresy i testy przynależności do zbioru – wszystkie mają konstrukcje FHE. Narzut jest nadal znaczący, ale możliwy do opanowania w przypadku rzadkich, wysokowartościowych zapytań.
Obliczenia sfederowane z gwarancjami prywatności. Wiele szpitali chce wytrenować model na połączonych danych pacjentów bez udostępniania dokumentacji. FHE (często w połączeniu z bezpiecznym obliczaniem wielostronnym) umożliwia połączone obliczenia bez łączenia danych.
FHE a inne podejścia do zachowania prywatności
FHE nie istnieje w izolacji. To jedno z narzędzi w zestawie, który obejmuje:
Bezpieczne obliczanie wielostronne (MPC): wiele stron wspólnie oblicza funkcję bez ujawniania sobie nawzajem swoich danych wejściowych. MPC jest często szybsze niż FHE dla określonych funkcji i wymaga wielu nieumawiających się stron. FHE działa z pojedynczym serwerem.
Prywatność różnicowa (DP): dodaje skalibrowany szum do wyników, aby ograniczyć to, co przeciwnik może wywnioskować na temat poszczególnych osób w zbiorze danych. DP chroni przed atakami wnioskowania na zagregowane wyniki, ale nie umożliwia obliczeń na prywatnych danych wejściowych.
Zaufane środowiska wykonawcze (TEE): sprzętowe enklawy (Intel SGX, AMD SEV), które uruchamiają kod w chronionym obszarze pamięci, którego system operacyjny nie może odczytać. TEE zakładają, że ufasz dostawcy sprzętu i że implementacja nie ma wad. FHE zakłada, że ufasz matematyce.
Dowody z wiedzą zerową (ZKP): pozwalają udowodnić, że twierdzenie jest prawdziwe, bez ujawniania, dlaczego jest prawdziwe. ZKP udowadniają właściwości; FHE wykonuje obliczenia na prywatnych wartościach. Są one komplementarne.
Systemy hybrydowe są coraz powszechniejsze. FHE obsługuje wrażliwe obliczenia; ZKP weryfikują, czy obliczenia zostały wykonane poprawnie; MPC dystrybuuje zaufanie. Granice między tymi technologiami zacierają się, gdy praktycy budują systemy wymagające jednocześnie właściwości kilku z nich.
