目前，全同態(tài)加密FHE，僅僅在格上被構(gòu)造出來。

編碼

• most significant bit encoding

  • Encode：

    輸入1比特的消息$u$，計(jì)算
    $$b=<s,a>+e+u??\frac{q}{2}?\mathrm{m}\mathrm{o}\mathrm{d}q$$
    其中$e$是一個(gè)很小的error

    輸出
    $$Enc(u)=(a,b)$$

  • Decode：

    輸入$c=(a,b)$，計(jì)算
    $$t=b?<s,a>\approx u??\frac{q}{2}?\mathrm{m}\mathrm{o}\mathrm{d}q$$
    輸出
    $$Dec(c)=?\begin{array}{rlr}0,& & t\approx 0\\ 1,& & t\approx \frac{q}{2}\end{array}$$

• least significant bit encoding

  • Encode：

    輸入1比特的消息$u$，計(jì)算
    $$b=<s,a>+\bar{u}\mathrm{m}\mathrm{o}\mathrm{d}q$$
    其中$\bar{u}\equiv u\mathrm{m}\mathrm{o}\mathrm{d}2$是一個(gè)很小的error

    輸出
    $$Enc(u)=(a,b)$$

  • Decode：

    輸入$c=(a,b)$，計(jì)算
    $$t=b?<s,a>=\bar{u}\mathrm{m}\mathrm{o}\mathrm{d}q$$
    輸出
    $$Dec(c)=\{\begin{array}{rlr}0,& & t\equiv 0\mathrm{m}\mathrm{o}\mathrm{d}2\\ 1,& & t\equiv 1\mathrm{m}\mathrm{o}\mathrm{d}2\end{array}$$

• 如果記$\bar{s}=(?s,1)$，那么$Dec(c)=<\bar{s},c>=b?<s,a>$

• 當(dāng)明文、密文的模數(shù)互素時(shí)，兩種編碼方式等價(jià)。可以在不知道$s$的情況下從一種編碼轉(zhuǎn)換為另一種編碼。

BV scheme

• BV方案是一種FHE，它支持同態(tài)布爾運(yùn)算 (模2加法、模2乘法)。由于這兩個(gè)布爾邏輯是完備的，我們可以搭建起任意電路。

• BV方案使用關(guān)于奇數(shù)$q$的LWE秘密$s$作為私鑰，將LWE采樣作為密文$c=(a,b)$

• 使用least significant bit encoding編碼方式：$Dec(c)=<\bar{s},c>=\bar{u}\mathrm{m}\mathrm{o}\mathrm{d}q$

• 加法同態(tài)：
  $$<\bar{s},c_1+c_2>=<\bar{s},c_1>+<\bar{s},c_2>={\bar{u}}_1+{\bar{u}}_2\mathrm{m}\mathrm{o}\mathrm{d}q$$

• 乘法同態(tài)：
  $$<\bar{s}?\bar{s},c_1?c_2>=<\bar{s},c_1>?<\bar{s},c_2>={\bar{u}}_1?{\bar{u}}_2\mathrm{m}\mathrm{o}\mathrm{d}q$$
  其中的$?$是克羅內(nèi)克積 (Kronecker product)

  對(duì)于$c_1,c_2\in Z_q^n$，有
  $$c_1?c_2=(c_{1,i}?c_{2,j}{)}_{i,j}\in Z_q^{n^2}$$

• 隨著密文同態(tài)乘法的計(jì)算，密文的規(guī)模迅速增大。每次相乘，因?yàn)楹?span id="ozvdkddzhkzd" class="katex--inline">$c_i\in Z_q^n$做克羅內(nèi)克積，其密文的規(guī)模擴(kuò)大$n$倍。

• 同時(shí)，噪聲規(guī)模也在迅速增長(zhǎng)。若干次同態(tài)乘法后，噪聲將會(huì)大到淹沒原始信息的程度，從而導(dǎo)致解密失敗。

Key switching technique

• 通過替換密鑰，約簡(jiǎn)密文的維度。

• 假設(shè)$s_{in}$把信息$u$加密為$c_{in}$，令$s_{in},c_{in}\in Z_q^{n_{in}}$
  $$<s_{in},c_{in}>=(s_{in}^{t}G)?G^{?1}(c_{in})\approx u??\frac{q}{2}?$$
  其中$G\in Z_q^{n_{in}\times (n_{in}l)}$是工具矩陣 (Gadget Matrix)，編碼方式為most significant bit encoding

• 選取$s_{out}\in Z_q^{n_{out}}$，對(duì)于方程
  $$s_{out}^{t}K\approx s_{in}^{t}G\mathrm{m}\mathrm{o}\mathrm{d}q$$
  可以求解$K\in Z_q^{n_{out}\times (n_{in}l)}$，它的第$j$列是關(guān)于$s_{out}$的LWE采樣$(a,s_{out}^{t}a+e+s_{in}^t{G}_j)$

  如果$s_{in}$與$s_{out}$獨(dú)立，那么$K$是偽隨機(jī)的。

• 令
  $$c_{out}=K?G^{?1}(c_{in})\in Z_q^{n_{out}}$$
  其中$G^{?1}(c_{in})$是短整數(shù)向量。

• 容易驗(yàn)證
  $$<s_{out},c_{out}>=(s_{out}^{t}K)?G^{?1}(c_{in})\approx (s_{in}^{t}G)?G^{?1}(c_{in})=<s_{in},c_{in}>$$
  即$s_{out}$把信息$u$加密為$c_{out}$

Modulus reduction technique

• 將模數(shù)$q$除掉$poly(n)$，控制錯(cuò)誤比率幾乎不變。

• 設(shè)置$q=n^{\Theta (d)}$，那么可以支持深度$d$的乘法電路。

• 當(dāng)從$Z_q$轉(zhuǎn)換到$Z_{q^{\prime }}$時(shí)，使用舍入操作$?c{?}_{q^{\prime }}=?\frac{q^{\prime }}{q}?c?$

• 那么
  $$\begin{array}{rl}<s,c>& \in e+qZ\\ & ?\\ <s,?c{?}_{q^{\prime }}>& \in <s,\frac{q^{\prime }}{q}?c+[?0.5,0.5{]}^n>\\ & ?(\frac{q^{\prime }}{q}?e+\Vert s\Vert \sqrt{n}?[?0.5,0.5])+q^{\prime }Z\end{array}$$

• 由于$s$是短向量，因此在$Z_{q^{\prime }}$上的錯(cuò)誤比率維持在$|e|/q$附近。

Bootstrapping

• 目前的FHE都是“leveled”的。即：雖然可以支持同態(tài)加法和同態(tài)乘法兩種運(yùn)算，且同態(tài)加法 (幾乎) 可以無限次運(yùn)算；但是，同態(tài)乘法會(huì)使得密文中的噪聲迅速增長(zhǎng)，淹沒掉原始的信息，從而無法正確解密。
• 為了獲得“unbounded”的FHE，Gentry提出了一種自舉算法：將私鑰$s{k}_1$用公鑰$p{k}_2$加密，將$p{k}_1$下的密文也用公鑰$p{k}_2$加密，然后運(yùn)行解密函數(shù) (同態(tài)運(yùn)算)，得到$p{k}_2$下的密文。
• 只要解密操作沒有消耗掉所有的乘法次數(shù)，那么就可以繼續(xù)在密文下對(duì)消息進(jìn)行同態(tài)計(jì)算了。
• 設(shè)置$s{k}_1=s{k}_2=sk,p{k}_1=p{k}_2=pk$，這需要額外的安全要求：循環(huán) (circular) 加密安全，即使用$pk$加密$sk$后得到的$c_{sk}$對(duì)于消息$m$的密文$c$的解密沒有幫助。
• 這條性質(zhì)很難證明，但同時(shí)目前也沒有攻擊方案。

總結(jié)

以上是生活随笔為你收集整理的全同态加密(FHE)：BV方案、密钥切换、模约化、自举的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。