[論文レビュー] On the Weakness of Fully Homomorphic Encryption

Zhengjun Cao, Lihua Liu|arXiv (Cornell University)|Nov 17, 2015

Cryptography and Data Security参考文献 18被引用数 3

ひとこと要約

この論文は、有限体または環に依存するため、完全準同型暗号（FHE）が実用的なクラウドコンピューティングにおいて根本的に制限されていると主張している。著者らは、FHEが実数の一般的な算術演算や関係演算を正しく処理できないことを示しており、ℝ から ℤ_Q への可逆変換が存在しないため、FHEは一般用途のクライアント・サーバー計算には効果的でない。

ABSTRACT

Fully homomorphic encryption (FHE) allows anyone to perform computations on encrypted data, despite not having the secret decryption key. Since the Gentry's work in 2009, the primitive has interested many researchers. In this paper, we stress that any computations performed on encrypted data are constrained to the encrypted domain (finite fields or rings). This restriction makes the primitive useless for most computations involving common arithmetic expressions and relational expressions. It is only applicable to the computations related to modular arithmetic. We want to reaffirm that cryptography uses modular arithmetic a lot in order to obscure and dissipate the redundancies in a plaintext message, not to perform any numerical calculations. We think it might be an overstated claim that FHE is of great importance to client-server computing or cloud computing.

研究の動機と目的

• FHEが暗号化されたデータ上で任意の計算を可能にすると広く信じられているという考えを挑戦すること。
• FHE方式がモジュラー算術に制限されており、一般的な算術的・関係的式を正しく処理できないことを示すこと。
• 実数から ℤ_Q への可逆変換が存在しないことが、実数入力における同型演算の正しさを破壊することを示すこと。
• FHEが実数算術や比較処理における根本的制限を抱えるため、クライアント・サーバー計算モデルには適さないことを主張すること。
• Dijk-Gentry-Halevi-VaikuntanathanおよびNuida-Kurosawa FHE方式を用いた具体的な反例を提示して、これらの欠陥を説明すること。

提案手法

• ビット単位で暗号化するDijk-Gentry-Halevi-Vaikuntanathan（DGHV）FHE方式を分析し、暗号文からキャリー伝播を特定できないことを示す。
• Q が素数である ℤ_Q 上のNuida-Kurosawa FHE方式を検討し、実数から ℤ_Q への可逆変換 𝒯 が存在しないことを証明する。
• 小数 0.1 や 2.3 を ASCII エンコーディングで ℤ_Q 内の整数にマッピングし、暗号化された値に対して同型加算を適用する。
• 精度損失と可逆でないエンコーディングのため、モジュラ再結合後の復号結果が正しい和（例：0.1 + 2.3 ≠ 2.4）に対応しないことを示す。
• クライアント・サーバーモデルを適用し、サーバーが同型加算を実行しても、エンコーディングの曖昧さのためクライアントが正しい結果を復元できないことを示す。
• 関係的比較（例：a < b）が暗号化によって保持されないことを示し、E(a) < E(b) が a < b を意味しないことから、FHEにおけるこのような比較が信頼できないことを示す。

実験結果

リサーチクエスチョン

• RQ1 入力が暗号化された状態で、実数における一般的な算術式 x + y を完全準同型暗号が正しく評価できるか？
• RQ2 実数の集合 ℝ から有限体 ℤ_Q への可逆変換が存在し、同型評価に際して数値的意味を保持できるか？
• RQ3 既存の FHE 方式がなぜクライアント・サーバー計算モデルにおいて関係式 a < b をサポートできないのか？
• RQ4 モジュラー算術に依存することによって、FHE がクラウドコンピューティング環境への適用性にどの程度制限を受けるのか？
• RQ5 有限体の制約を受ける中で、暗号化されたデータに対する同型演算が実数計算に対して正しい結果を生み出せるか？

主な発見

• DGHV FHE方式では、秘密鍵がなければキャリー伝播を特定できないため、暗号化された実数に対する x + y の計算が正しく行えない。
• Nuida-Kurosawa FHE方式では、ℝ から ℤ_Q への可逆変換 𝒯 が存在しないため、実数を数値的意味を保ったまま体の要素にマッピングすることは不可能である。
• 0.1 と 2.3 の暗号化表現に対して同型加算を適用した場合、復号後の結果は 6550628 となり、ASCII にデコードすると 'c\u0064' に相当するが、2.4 にはならない。
• 精度損失と可逆でないエンコーディングのため、暗号化データに対する同型演算の結果が正しい和に対応せず、計算が無効化される。
• 関係式 a < b は暗号化によって保持されない。E(a) < E(b) が a < b を意味しないため、FHE におけるこのような比較は信頼できない。
• 本論文は、FHE が一般用途の算術演算や関係的演算を正しく処理できないため、クライアント・サーバー計算には適用できないと結論づける。