全同态加密FHE:简介与应用场景

"加密"一词通常让人联想到静态加密和传输中加密。静态加密将数据加密后存储在硬件设备或云服务器中,只有授权人员能查看解密后的内容。传输中加密则确保通过互联网传输的数据只能被指定接收者解读,即使数据经过公共路由器或通道,中间人也无法解密。

这两种场景都依赖加密算法,并额外保证数据完整性。"认证加密"不仅防止未授权解密(保密性),还阻止中间人篡改密文(完整性/真实性)。

某些多方协作场景需要对密文进行复杂处理,这属于隐私保护技术范畴,全同态加密(FHE)就是其中之一。以线上投票为例:选民加密投票结果提交给中间实体,该实体汇总所有结果,计算每位候选人得票数,最后只公布最终结果。

传统"认证加密"方案中,负责统计的中间人需解密所有投票数据才能执行统计,这会暴露个人投票结果。与纸质选票不同,传统密码学机制难以在保证数据完整性的同时将加密选票与选民身份分离。

一种解决方案是在计票中间人周围添加硬件隔离墙,如可信执行环境(TEE)。但硬件漏洞可能导致解密密钥泄露,且难以修复。

全同态加密(FHE)技术可以应对这种场景。FHE允许直接对密文进行函数计算,无需解密就能获得加密后的计算结果,从而保护隐私。

在FHE中,函数 𝑓 的数学构造是公开的,因此输入密文 𝑥 输出结果𝑓(𝑥) 的处理过程可在云端执行而不泄露隐私。需注意, 𝑥 和 𝑓(𝑥) 都是密文,需要密钥解密,通常使用相同的解密密钥。

FHE是紧凑型加密方案,输出结果𝑓(𝑥) 的密文大小和解密工作量仅取决于输入数据 𝑥 的原始明文,不依赖计算过程。这与非紧凑型加密系统不同,后者简单地将 𝑥 与函数 𝑓 的源码连接,让接收者自行解密 𝑥 并输入 𝑓 计算。

实践中,FHE外包模式常被视为TEE等安全执行环境的替代方案。FHE安全性基于密码学算法,不依赖硬件设备,因此不受被动侧信道攻击或云服务器被攻击影响。对于需外包敏感数据计算的场景,FHE比基于云的虚拟机或TEE更安全可靠。

FHE系统要破解私密信息,必须破解其密码学算法,这在当前几乎不可能。但攻击者可能通过主动侧信道攻击修改输出结果 𝑓(𝑥),FHE设计中可通过计算流程冗余来规避这类攻击。

FHE通常使用几组密钥:

1. 解密密钥:主密钥,在用户本地生成,从不外传,只有持有者可用于解密FHE密文。

2. 加密密钥:在公钥模式下用于将明文转换为密文。当生成初始密文的人不是主密钥持有者时使用。通常由随机零加密组成,足以加密任何消息。

3. 计算密钥:用于对密文 𝑥 进行同态运算,无需解密即可执行函数计算。可公开发布,获得者只能进行同态运算,无法破解密文 𝑥。

解密密钥持有者最为敏感,负责确保整个同态操作链有效安全,最终解密得到明文结果。恶意操作可能导致解密时密钥泄露,但同态操作可公开验证。

FHE有几种常见场景/模式:

1. 外包模式:Alice拥有私密数据但计算能力有限,Bob拥有强大计算资源但不贡献私密数据。Alice加密输入参数传给Bob,Bob同态计算后返回加密结果。主要用于PIR(私有信息检索)场景。

2. 两方计算模式:Bob在计算中贡献私密数据。适用于"百万富翁问题"等电子商务应用。

3. 聚合模式:对外包模式的改进,聚合多个参与者数据。用于联邦学习和线上投票系统。

4. 客户端-服务器模式:改进的双方计算模式,服务器为多个独立密钥客户端提供FHE计算。用于私有AI模型运算服务。

FHE在多方合作场景中更易使用,因各方都有动机遵守协议。在非合作场景中,可引入冗余(如多签/共识)确保计算正确性。完全同态签名是另一种无需第三方验证的方法。

为确保接收者只解密最终结果,可限制其访问中间密文,或采用秘密共享分配解密密钥。

同态加密分为部分同态加密(PHE)、分级同态加密(LHE)和完全同态加密(FHE)。FHE可支持任意计算任务,且参数不随任务复杂度增加而增长。但FHE需定期执行代价较高的自举操作以控制噪声。