[論文レビュー] Danger of using fully homomorphic encryption: A look at Microsoft SEAL

Zhiniang Peng|arXiv (Cornell University)|Jun 17, 2019

Cryptography and Data Security参考文献 2被引用数 4

ひとこと要約

この論文は、広く使われている完全準同型暗号（FHE）ライブラリであるMicrosoft SEALにおける深刻なセキュリティ脆弱性を暴露し、実用的なIntegerEncoderの使用が、暗号文の挙動を通じて平文の被演算子に関する機密情報の漏洩を引き起こすことを示している。FHEの理論的セキュリティにもかかわらず、この論文は、SEALにおけるIntegerEncoderのような符号化方式が情報漏洩、CCA攻撃、整合性の問題を引き起こす可能性があり、基礎となるFHEプリミティブが安全であっても、アプリケーションを不正に脆弱にする可能性があることを明らかにしている。

ABSTRACT

Fully homomorphic encryption is a promising crypto primitive to encrypt your data while allowing others to compute on the encrypted data. But there are many well-known problems with fully homomorphic encryption such as CCA security and circuit privacy problem. Despite these problems, there are still many companies are currently using or preparing to use fully homomorphic encryption to build data security applications. It seems that the full homomorphic encryption is very close to practicality and these problems can be easily mitigated in implementation. Although the those problems are well known in theory, there is no public discussion of their actual impact on real application. Our research shows that there are many security pitfalls in fully homomorphic encryption from the perspective of practical application. The security problems of a fully homomorphic encryption in a real application is more severe than imagined. In this paper, we will take Microsoft SEAL as an examples to introduce the security pitfalls of fully homomorphic encryption from the perspective of implementation and practical application

研究の動機と目的

• 完全準同型暗号（FHE）を実用的に導入する際の現実世界のセキュリティリスクを調査すること、特にMicrosoft SEALに焦点を当てる。
• FHEプリミティブが理論的に安全であるとしても、実際の実装（例：SEAL）が符号化およびプロトコル設計の問題によって深刻な脆弱性を引き起こすことを示すこと。
• FHEセキュリティに関する一般的な仮定（例：回路のプライバシー、CCA耐性）が、実際の展開では成り立たないことを強調すること。
• SEALにおけるエンコーダー設計（特にIntegerEncoder）が平文の被演算子に関する情報を漏洩させることで、プライバシー保証が損なわれることを示すこと。
• プライバシー保護アプリケーションにFHEライブラリを使用する際の注意喚起と、FHE展開におけるより強固なセキュリティ基準の必要性を提言すること。

提案手法

• BFV形式の完全準同型暗号方式におけるMicrosoft SEALの分析に焦点を当て、特にIntegerEncoderおよびBatchEncoderのコンponentに注目した。
• 複数参加者間計算（百万長者問題）のシナリオを構築し、符号化の選択が個々の入力に関する情報をどのように漏洩させるかを実証した。
• 同型演算（加算および乗算）が暗号文に与える影響を評価し、異なる平文ペアが区別可能な暗号文を生成することを示した。
• SEALのIntegerEncoderにおける符号化ベースの情報漏洩は、ノイズフラッディング技術では是正できないことを特定した。
• FHEにおける認証暗号の欠如を調査し、攻撃者が暗号文を検出されずに改ざん可能であることを示した。
• 符号化漏洩を回避するために、IntegerEncoderの代わりにBatchEncoderを使用することを提案した。この場合、IntegerEncoderは単なる実証的ツールとしての役割に留めるべきである。

実験結果

リサーチクエスチョン

• RQ1 Microsoft SEALのIntegerEncoderは、区別可能な暗号文を通じて、平文の被演算子に関するどの程度の情報を漏洩させるか？
• RQ2 理論的保証があるにもかかわらず、実用的なFHE実装（例：Microsoft SEAL）がなぜ回路のプライバシーを提供しないのか？
• RQ3 FHEライブラリ（例：SEAL）における選択暗号文攻撃（CCA）の現実世界への影響は何か？
• RQ4 FHEライブラリに認証暗号が存在しないことが、データ整合性にとってなぜ深刻なセキュリティ欠陥となるのか？
• RQ5 ノイズフラッディングのような既存の対策は、FHE符号化方式における情報漏洩を効果的に防げるのか？

主な発見

• Microsoft SEALのIntegerEncoderは多対一であるため、異なる平文ペアが区別可能な暗号文を生成し、被演算子に関する情報を漏洩させる。
• 最終的な復号結果が同じ場合（例：和 = 4）でも、入力値の組み合わせ（例：(1,3) と (2,2)）によって中間の暗号文が異なり、攻撃者が元の入力を推測可能である。
• 攻撃者が和の暗号文のみを観測することで、複数参加者計算環境で個々の入力を再構築可能であることを実証した。これは、符号化漏洩がプライバシーを損なうことを示している。
• ノイズフラッディングは、この漏洩を是正できない。区別可能性はノイズレベルではなく、符号化構造に起因するためである。
• FHEライブラリ（例：SEAL）は認証暗号を提供しない。これにより、攻撃者が暗号文を検出されずに改ざん可能となり、データ整合性が損なわれる。
• これらのセキュリティリスクはSEALに限らず、他のFHEライブラリにも広く適用可能であり、実用的FHE展開における体系的欠陥を示している。