Encriptação Totalmente Homomórfica: A Tecnologia Que Computa Sobre Segredos

Craig Gentry provou que era possível em 2009, após cerca de três décadas de criptógrafos a questionar se poderia sequer existir. A ideia: cifra os seus dados, entrega-os a outra pessoa, ela executa computações sobre eles, devolve um resultado e, quando descriptografa esse resultado, ele está correto. A pessoa que fez a computação nunca viu os seus dados. Não uma versão anonimizada. Não um hash. Os valores reais subjacentes, nunca expostos, nem por uma fração de segundo. Isso é a encriptação totalmente homomórfica — uma forma de encriptação que permite a terceiros executar computações nos seus dados sem nunca os descriptografar.

Então, o que é o FHE (Encriptação Totalmente Homomórfica)? Não é um truque. É uma propriedade matemática de determinados esquemas de encriptação. Envia uma caixa fechada a alguém. Essa pessoa reorganiza o conteúdo. Abre-a, e a organização está correta. Essa pessoa nunca teve a chave.

Por que as alternativas não chegam para o caso

Antes de explicar como o FHE funciona, vale a pena ser preciso quanto ao problema que resolve, porque a maioria das abordagens para "computar sobre dados sensíveis" implica uma troca que as pessoas aprenderam a aceitar sem questionar.

A abordagem padrão: cifrar dados em repouso e em trânsito, descriptografar antes do processamento. O seu fornecedor de cloud, o seu fornecedor de análises, o seu serviço de ML — todos precisam de texto simples para fazer o seu trabalho. Estende-lhes confiança por necessidade. Isto funciona até deixar de funcionar: uma violação, uma intimação judicial, uma ameaça interna, uma política de acesso mal configurada.

Os ambientes de execução confiável (TEEs), como o Intel SGX, criam uma região de memória protegida que nem o sistema operativo consegue ler. A computação sensível ocorre dentro do enclave. Isto é genuinamente útil, mas está a confiar no fabricante de hardware e a apostar que a implementação do enclave não tem falhas exploráveis. O SGX já teve várias.

A privacidade diferencial adiciona ruído estatístico calibrado aos resultados de consultas, o que limita a quantidade de informação que um atacante pode inferir sobre indivíduos a partir de resultados agregados. Protege agregações, não computações sobre registos individuais.

O FHE é a única abordagem em que os dados nunca são descriptografados no servidor, e a prova de segurança não requer confiar em nenhum hardware nem em terceiros. A garantia é matemática.

Os mecanismos, resumidamente

Os esquemas FHE definem operações aritméticas diretamente sobre textos cifrados. A adição homomórfica e a multiplicação homomórfica sobre valores cifrados produzem, quando descriptografados, o mesmo resultado que a execução dessas operações sobre os textos simples subjacentes.

Duas operações parecem limitadas. Não são. A adição e a multiplicação sobre campos binários fornecem portas AND e XOR, que fornecem circuitos digitais arbitrários. Qualquer função que um computador possa calcular pode ser expressa em termos destas duas operações. É esta a ponte entre "aritmética sobre números cifrados" e "computação arbitrária sobre dados cifrados".

O problema estrutural é o ruído. Cada operação FHE introduz um pequeno erro no texto cifrado. Os erros acumulam-se. Com operações suficientes, o ruído sobrepõe-se ao sinal — o texto cifrado torna-se impossível de descriptografar. A intuição de Gentry foi o bootstrapping: avaliar o circuito de descriptografia de forma homomórfica sobre o texto cifrado com ruído, para produzir um texto cifrado novo e com baixo ruído, com o mesmo valor em texto simples. Por outras palavras, executa-se a descriptografia dentro da encriptação. O ruído é reposto sem que os dados sejam alguma vez expostos.

Os esquemas que suportam um número limitado de operações antes de o ruído se tornar fatal chamam-se nivelados ou parcialmente homomórficos. O bootstrapping é o que justifica o "totalmente" no FHE.

Onde está a ser implementado atualmente

Para a maioria das aplicações, o FHE ainda é demasiado lento. As aplicações em execução hoje partilham um perfil: profundidade de circuito limitada, elevada sensibilidade dos dados e uma parte que consegue absorver os custos computacionais em troca de uma garantia matemática de privacidade.

A inferência privada de ML é a aplicação mais adequada. Um cliente tem entradas sensíveis. Um servidor tem um modelo proprietário. O FHE permite ao servidor avaliar o modelo sobre entradas cifradas e devolver um resultado cifrado. Nenhuma das partes expõe o que está a proteger. A Zama disponibiliza isto para arquiteturas de modelos específicas. A profundidade do circuito é previsível e gerível.

A análise genómica privada tem sido uma carga de trabalho de referência desde que o iDASH começou a realizar competições de genómica cifrada em 2014. A pontuação de risco de doenças, os estudos de associação genómica ampla e o alinhamento de sequências têm todos construções FHE. Os dados genómicos são um dos poucos tipos de dados em que o risco de privacidade é simultaneamente permanente e se estende a pessoas que nunca consentiram em partilhar nada.

As consultas financeiras confidenciais abrangem consultas de intervalo, pesquisas cifradas em bases de dados e pontuação de fraude em históricos de transações cifrados. Estas cargas de trabalho são executadas com pouca frequência e os dados são suficientemente sensíveis para que a sobrecarga computacional seja aceitável.

A confidencialidade na blockchain é uma área ativa. Os contratos inteligentes executam-se publicamente on-chain por defeito. Os sistemas baseados em TFHE permitem executar lógica de contrato sobre estado cifrado, o que possibilita coisas como leilões privados, votações confidenciais e mecanismos de proposta selada em que a correção é publicamente verificável, mas as entradas não são expostas. O projeto fhEVM da Zama tem como alvo específico este caso.

Fundamentos de segurança

A segurança do FHE reduz-se à dificuldade do Learning With Errors (LWE) e da sua variante em anel (RLWE). Estes problemas perguntam: dadas muitas equações lineares aproximadas sobre um anel ou reticulado, recupera o segredo. Não é conhecido nenhum algoritmo em tempo polinomial para nenhum deles, em hardware clássico ou quântico.

Isto coloca o FHE na família da criptografia pós-quântica. A normalização pós-quântica do NIST é construída sobre problemas da família LWE, o que confere às suposições subjacentes um escrutínio e uma confiança adicionais. Dito isto, o LWE tem estado sob ataque sério há menos de 20 anos. O RSA e as curvas elípticas têm mais de 40 anos de criptoanálise falhada por detrás deles. O nível de confiança é elevado, mas não idêntico.

Os parâmetros regem a segurança. O grau polinomial, o tamanho do módulo e a distribuição do ruído devem ser escolhidos de forma a tornar a instância LWE difícil no nível de segurança pretendido. O consórcio HomomorphicEncryption.org publica conjuntos de parâmetros recomendados. É fortemente preferível utilizar os valores predefinidos das bibliotecas que foram validados face a estas recomendações, em vez de configurações personalizadas.

O contexto competitivo

O FHE é uma das várias tecnologias de computação com preservação de privacidade, e são cada vez mais utilizadas em conjunto em vez de como substitutos.

A computação multipartidária segura (MPC) distribui uma computação por múltiplas partes, nenhuma das quais vê a entrada completa. É frequentemente mais rápida do que o FHE para funções específicas e é uma solução natural quando as partes são definidas antecipadamente. O FHE funciona com um único servidor não confiável.

As provas de conhecimento zero (ZKPs) permitem que uma parte prove que uma afirmação é verdadeira sem revelar a testemunha. As ZKPs provam; o FHE computa. São complementares, e os sistemas reais utilizam ambas: FHE para computação privada, ZKPs para verificar que a computação foi realizada corretamente.

Os protocolos híbridos que combinam FHE e MPC são uma área de investigação ativa. Nenhuma tecnologia isolada satisfaz todos os requisitos; combiná-las pode proporcionar melhor desempenho e garantias mais fortes do que qualquer uma delas de forma independente.