Vollständig homomorphe Verschlüsselung: Die Technologie, die auf Geheimnissen rechnet

Craig Gentry bewies es 2009 als möglich, nachdem Kryptographen rund drei Jahrzehnte lang gerätselt hatten, ob es überhaupt existieren könnte. Die Idee: Sie verschlüsseln Ihre Daten, übergeben sie an jemand anderen, dieser führt Berechnungen darauf durch, gibt ein Ergebnis zurück, und wenn Sie dieses Ergebnis entschlüsseln, ist es korrekt. Die Person, die die Berechnung durchgeführt hat, hat Ihre Daten nie gesehen. Keine bereinigte Version. Kein Hash. Die tatsächlichen zugrunde liegenden Werte, niemals offengelegt, nicht einmal für eine Mikrosekunde. Das ist vollständig homomorphe Verschlüsselung — eine Verschlüsselungsform, die es einer anvertrauten Partei ermöglicht, Berechnungen auf Ihren Daten durchzuführen, ohne sie jemals zu entschlüsseln.

Was also ist FHE (Fully Homomorphic Encryption)? Das ist kein Trick. Es ist eine mathematische Eigenschaft bestimmter Verschlüsselungsschemata. Sie schicken jemandem eine verschlossene Box. Dieser ordnet den Inhalt um. Sie öffnen sie, und die Anordnung ist korrekt. Der andere hatte niemals den Schlüssel.

Warum die Alternativen nicht ausreichen

Bevor wir erläutern, wie FHE funktioniert, lohnt es sich, das Problem, das es löst, genau zu benennen, denn die meisten Ansätze zur „Berechnung auf sensiblen Daten" beinhalten einen Kompromiss, den die Menschen gelernt haben zu akzeptieren, ohne ihn zu hinterfragen.

Der Standardansatz: Daten im Ruhezustand und bei der Übertragung verschlüsseln, vor der Verarbeitung entschlüsseln. Ihr Cloud-Anbieter, Ihr Analyseanbieter, Ihr ML-Dienst — sie alle benötigen Klartext, um ihre Arbeit zu erledigen. Sie übertragen ihnen zwangsläufig Vertrauen. Das funktioniert, bis es nicht mehr funktioniert: ein Datenleck, eine Vorladung, eine Insider-Bedrohung, eine falsch konfigurierte Zugriffsrichtlinie.

Vertrauenswürdige Ausführungsumgebungen (TEEs) wie Intel SGX schaffen einen abgeschirmten Speicherbereich, den selbst das Betriebssystem nicht lesen kann. Sensible Berechnungen finden innerhalb des Enclaves statt. Das ist durchaus nützlich, aber Sie vertrauen dabei dem Hardware-Anbieter und wetten darauf, dass die Enclave-Implementierung keine ausnutzbaren Schwachstellen aufweist. SGX hatte mehrere davon.

Differentielle Privatsphäre fügt Abfrageergebnissen kalibrierten statistischen Rauschen hinzu, was begrenzt, wie viel ein Angreifer aus aggregierten Ausgaben über Einzelpersonen ableiten kann. Sie schützt Aggregationen, nicht Berechnungen auf einzelnen Datensätzen.

FHE ist der einzige Ansatz, bei dem die Daten auf dem Server überhaupt nie entschlüsselt werden, und der Sicherheitsbeweis erfordert kein Vertrauen in Hardware oder Autorisierung durch Drittanbieter. Die Garantie ist mathematischer Natur.

Die Mechanik, kurz erklärt

FHE-Schemata definieren arithmetische Operationen direkt auf Chiffretexten. Homomorphe Addition und homomorphe Multiplikation auf verschlüsselten Werten erzeugen nach der Entschlüsselung dasselbe Ergebnis wie die Durchführung dieser Operationen auf den zugrunde liegenden Klartexten.

Zwei Operationen klingt begrenzt. Ist es nicht. Addition und Multiplikation über binären Feldern liefern AND- und XOR-Gatter, die beliebige digitale Schaltkreise ermöglichen. Jede Funktion, die ein Computer berechnen kann, lässt sich durch diese zwei Operationen ausdrücken. Das ist die Brücke von „Arithmetik auf verschlüsselten Zahlen" zu „beliebige Berechnung auf verschlüsselten Daten".

Das strukturelle Problem ist Rauschen. Jede FHE-Operation fügt dem Chiffretext einen kleinen Fehler hinzu. Fehler häufen sich an. Bei genügend vielen Operationen überwältigt das Rauschen das Signal — der Chiffretext wird unentschlüsselbar. Gentrys Einsicht war Bootstrapping: die homomorphe Auswertung des Entschlüsselungsschaltkreises auf dem verrauschten Chiffretext, um einen frischen, rauscharmen Chiffretext mit demselben Klartextwert zu erzeugen. Mit anderen Worten: Sie führen die Entschlüsselung innerhalb der Verschlüsselung durch. Das Rauschen wird zurückgesetzt, ohne dass die Daten jemals offengelegt werden.

Schemata, die eine begrenzte Anzahl von Operationen verarbeiten können, bevor das Rauschen fatal wird, werden als leveled oder somewhat homomorphic bezeichnet. Bootstrapping ist das, was das „vollständig" in FHE rechtfertigt.

Wo es derzeit eingesetzt wird

Für die meisten Anwendungen ist FHE noch zu langsam. Die heute laufenden Anwendungen teilen ein Profil: begrenzte Schaltkreistiefe, hohe Sensibilität der Daten und eine Partei auf einer Seite, die Rechenkosten im Austausch für eine mathematische Datenschutzgarantie tragen kann.

Private ML-Inferenz ist die offensichtlichste Anwendung. Ein Client hat sensible Eingaben. Ein Server verfügt über ein proprietäres Modell. FHE ermöglicht es dem Server, das Modell auf verschlüsselten Eingaben auszuwerten und ein verschlüsseltes Ergebnis zurückzugeben. Keine der Parteien legt offen, was sie schützen. Zama liefert dies für spezifische Modellarchitekturen. Die Schaltkreistiefe ist vorhersehbar und handhabbar.

Private Genomanalyse ist seit iDASH 2014 mit verschlüsselten Genomik-Wettbewerben eine Benchmark-Workload. Krankheitsrisikobewertung, genomweite Assoziationsstudien und Sequenzausrichtung haben alle FHE-Konstruktionen. Genomische Daten gehören zu den wenigen Datentypen, bei denen das Datenschutzrisiko sowohl dauerhaft ist als auch auf Personen ausgeweitet wird, die nie zugestimmt haben, etwas zu teilen.

Vertrauliche Finanzabfragen umfassen Bereichsabfragen, verschlüsselte Datenbanksuchen und Betrugsbewertung auf verschlüsselten Transaktionshistorien. Diese Workloads laufen selten genug und die Daten sind sensibel genug, dass der Rechenaufwand akzeptabel ist.

Blockchain-Vertraulichkeit ist ein aktives Gebiet. Smart-Contract (Intelligenter Vertrag)e werden standardmäßig öffentlich On-Chain ausgeführt. TFHE-basierte Systeme ermöglichen es, Vertragslogik auf verschlüsseltem Zustand auszuführen, was Dinge wie private Auktionen, vertrauliche Abstimmungen und verdeckte Gebotsmechanismen ermöglicht, bei denen die Korrektheit öffentlich überprüfbar ist, die Eingaben jedoch nicht offengelegt werden. Zamas fhEVM-Projekt zielt genau darauf ab.

Sicherheitsgrundlagen

Die FHE-Sicherheit lässt sich auf die Schwierigkeit von Learning With Errors (LWE) und seiner Ring-Variante (RLWE) zurückführen. Diese Probleme fragen: Gegeben viele ungefähre lineare Gleichungen über einem Ring oder Gitter, wie lässt sich das Geheimnis zurückgewinnen? Für keines von beiden ist ein Polynomialzeit-Algorithmus bekannt, weder auf klassischer noch auf Quantenhardware.

Dies ordnet FHE in die Post-Quanten-Kryptographie-Familie ein. NISTʼs Post-Quanten-Standardisierung basiert auf LWE-Familienproblemen, was den zugrunde liegenden Annahmen zusätzliche Prüfung und Vertrauen verleiht. Dennoch steht LWE seit weniger als 20 Jahren unter ernsthafter Angriffsprüfung. RSA und elliptische Kurven haben über 40 Jahre gescheiterte Kryptoanalyse hinter sich. Das Vertrauensniveau ist hoch, aber nicht identisch.

Parameter bestimmen die Sicherheit. Polynomgrad, Modulusgröße und Rauschverteilung müssen so gewählt werden, dass die LWE-Instanz auf dem gewünschten Sicherheitsniveau schwierig ist. Das HomomorphicEncryption.org-Konsortium veröffentlicht empfohlene Parametersätze. Die Verwendung von Bibliotheksstandards, die gegen diese Empfehlungen validiert wurden, wird gegenüber benutzerdefinierten Konfigurationen stark bevorzugt.

Der Wettbewerbskontext

FHE ist eine von mehreren datenschutzerhaltenden Berechnungstechnologien, und sie werden zunehmend zusammen statt als Substitute eingesetzt.

Sichere Mehrparteienberechnung (MPC) verteilt eine Berechnung auf mehrere Parteien, von denen keine die vollständige Eingabe sieht. Sie ist für bestimmte Funktionen oft schneller als FHE und eignet sich besonders gut, wenn die Parteien im Voraus definiert sind. FHE funktioniert mit einem einzigen nicht vertrauenswürdigen Server.

Zero-Knowledge-Beweise (ZKPs) ermöglichen es einer Partei, zu beweisen, dass eine Aussage wahr ist, ohne den Zeugen preiszugeben. ZKPs beweisen; FHE berechnet. Sie ergänzen sich, und echte Systeme verwenden beide: FHE für private Berechnungen, ZKPs zur Verifizierung, dass die Berechnung korrekt durchgeführt wurde.

Hybridprotokolle, die FHE und MPC kombinieren, sind ein aktives Forschungsgebiet. Keine der beiden Technologien allein erfüllt alle Anforderungen; ihre Kombination kann bessere Leistung und stärkere Garantien bieten als jede für sich allein.