В криптографии существует множество изящных идей. Полностью гомоморфное шифрование (FHE) — пожалуй, самая абсурдная из тех, что действительно работают.
Идея такова: вы шифруете свои данные, передаёте их кому-то другому, тот выполняет над ними вычисления, возвращает результат, и когда вы расшифровываете этот результат — он верен. Человек, производивший вычисления, ни разу не видел ваших данных. Не очищенную версию. Не хэш. Фактические исходные значения не были раскрыты ни на долю секунды.
Крейг Джентри доказал это в 2009 году. До этого криптографическое сообщество около 30 лет задавалось вопросом, возможно ли это в принципе.
Как работает FHE
Обычное шифрование — это дверь с односторонним замком. Вы запираете данные, и любой, кто хочет с ними работать, должен сначала их разблокировать. FHE держит дверь закрытой, но позволяет переставлять мебель снаружи.
Точнее: схемы FHE определяют две операции над шифротекстами, обычно называемые гомоморфным сложением и гомоморфным умножением. Они отображаются на те же операции над исходными открытыми текстами. Если сложить два зашифрованных значения, то результат при расшифровке будет равен сумме исходных. То же самое справедливо для умножения.
Двух этих операций достаточно для построения любой функции, которую способен вычислить компьютер. (Сложение и умножение над двоичными полями дают вентили AND и XOR, а из них можно собрать произвольные схемы.) Это и есть мост от «двух операций над зашифрованными числами» к «произвольным вычислениям над зашифрованными данными».
Проблема — шум. Каждая операция FHE добавляет в шифротекст небольшое количество ошибок. При достаточном числе операций шум заглушает сигнал, и расшифровка становится невозможной. Ключевым вкладом Джентри стала техника под названием бутстраппинг: способ запустить схему расшифровки на шифротексте прямо в зашифрованном виде, что сбрасывает уровень шума. Если долго об этом думать, становится не по себе. Функция расшифровки расшифровывает… внутри шифрования. Именно это делает схему «полностью» гомоморфной, а не просто «частично» гомоморфной.
Частично гомоморфное шифрование (SHE) выдерживает фиксированное число операций до того, как шум становится критическим. Многоуровневое гомоморфное шифрование (LHE) рассчитано на заранее определённую глубину схемы. FHE справляется с любой схемой без ограничений, поскольку бутстраппинг позволяет продолжать вычисления сколь угодно долго.
Где FHE применимо уже сейчас
Для большинства приложений FHE пока слишком медленное. Но у слова «большинство» есть чёткая граница. Сегодня уже существуют реальные внедрения.
Конфиденциальный вывод машинного обучения. У клиента есть чувствительные входные данные. У сервера — проприетарная модель. Ни одна из сторон не хочет раскрывать свои данные другой. FHE позволяет серверу вычислить результат модели на зашифрованных входных данных клиента и вернуть зашифрованный результат, который клиент может расшифровать. Сервер никогда не видит входных данных. Клиент никогда не видит весов модели. Компании уже реализовали это для конкретных архитектур моделей. Нагрузка вписывается в текущие ограничения FHE, поскольку глубина схемы ограничена и предсказуема.
Конфиденциальные геномные вычисления. Геномные данные чувствительны в такой степени, что выходят за рамки номера социального страхования: они затрагивают ваших родственников, неизменны, а риски для конфиденциальности возрастают по мере роста референсных баз данных. Исследователи использовали FHE для вычисления показателей риска заболеваний и генетических сравнений без раскрытия исходных последовательностей вычислительной стороне. Соревнования iDASH проводят бенчмаркинг этого сценария использования с 2014 года.
Конфиденциальные запросы к базам данных. Вы хотите сделать запрос к базе данных, не раскрывая, что именно ищете. Поиск по ключевым словам, диапазонные запросы и проверка принадлежности к множеству — всё это имеет реализации на FHE. Накладные расходы всё ещё значительны, но приемлемы для редких, но высокоценных запросов.
Федеративные вычисления с гарантиями конфиденциальности. Несколько больниц хотят обучить модель на объединённых данных пациентов, не обмениваясь записями. FHE (часто в сочетании с безопасными многосторонними вычислениями) позволяет выполнить совместные вычисления без объединения данных в одном месте.
FHE в сравнении с другими подходами к обеспечению конфиденциальности
FHE существует не в изоляции. Это один из инструментов в стеке, который включает:
Безопасные многосторонние вычисления (MPC): несколько сторон совместно вычисляют функцию, не раскрывая свои входные данные друг другу. MPC часто быстрее FHE для конкретных функций и требует нескольких не вступающих в сговор сторон. FHE работает с единственным сервером.
Дифференциальная конфиденциальность (DP): добавляет калиброванный шум к выходным данным, чтобы ограничить возможности злоумышленника по извлечению информации об отдельных людях из набора данных. DP защищает от атак вывода на агрегированные результаты, но не позволяет производить вычисления над приватными входными данными.
Доверенные среды исполнения (TEE): аппаратные анклавы (Intel SGX, AMD SEV), выполняющие код в защищённой области памяти, недоступной для операционной системы. TEE предполагают доверие к производителю оборудования и отсутствие уязвимостей в реализации. FHE предполагает доверие к математике.
Доказательства с нулевым разглашением (ZKP): позволяют доказать истинность утверждения, не раскрывая причин его истинности. ZKP доказывают свойства; FHE вычисляет на приватных значениях. Они дополняют друг друга.
Гибридные системы встречаются всё чаще. FHE обрабатывает чувствительные вычисления; ZKP проверяют корректность вычислений; MPC распределяет доверие. Границы между этими технологиями стираются по мере того, как практики создают системы, которым одновременно требуются свойства нескольких из них.
