[논문 리뷰] On the Weakness of Fully Homomorphic Encryption

Zhengjun Cao, Lihua Liu|arXiv (Cornell University)|2015. 11. 17.

Cryptography and Data Security참고 문헌 18인용 수 3

한 줄 요약

이 논문은 완전 동형 암호화(FHE)가 유한체나 유한환에 의존하기 때문에 실용적인 클라우드 컴퓨팅 환경에서 근본적으로 제한됨을 주장한다. 이는 계산을 모듈로 산술로 제한하기 때문이다. 저자들은 실수에서 ℝ에서 ℤ_Q로의 역행렬 변환이 존재하지 않기 때문에 FHE가 실수에서 일반적인 산술 또는 관계 연산을 정확히 처리할 수 없으며, 이는 FHE가 일반 목적의 클라이언트-서버 계산에 효과적이지 않음을 보여준다.

ABSTRACT

Fully homomorphic encryption (FHE) allows anyone to perform computations on encrypted data, despite not having the secret decryption key. Since the Gentry's work in 2009, the primitive has interested many researchers. In this paper, we stress that any computations performed on encrypted data are constrained to the encrypted domain (finite fields or rings). This restriction makes the primitive useless for most computations involving common arithmetic expressions and relational expressions. It is only applicable to the computations related to modular arithmetic. We want to reaffirm that cryptography uses modular arithmetic a lot in order to obscure and dissipate the redundancies in a plaintext message, not to perform any numerical calculations. We think it might be an overstated claim that FHE is of great importance to client-server computing or cloud computing.

연구 동기 및 목표

• 클라우드 환경에서 FHE가 암호화된 데이터에 대해 임의의 계산을 가능하게 한다는 널리 퍼진 믿음을 도전하기 위해.
• FHE 체계가 모듈로 산술에 국한되어 있으며 일반적인 산술 또는 관계 표현식을 정확히 처리할 수 없음을 보여주기 위해.
• 실수에서 ℤ_Q와 같은 유한체로의 역행렬 변환 𝒯가 존재하지 않아 실수 입력에 대한 동형 연산의 정확성이 깨진다는 것을 보여주기 위해.
• 실수 산술과 비교 연산을 다루는 데 근본적인 한계가 있기 때문에 FHE가 클라이언트-서버 컴퓨팅 모델에 적합하지 않다는 것을 주장하기 위해.
• Dijk-Gentry-Halevi-Vaikuntanathan 및 Nuida-Kurosawa FHE 체계를 사용하여 이러한 결함을 구체적으로 설명하는 반례를 제공하기 위해.

제안 방법

• 비트를 개별적으로 암호화하는 Dijk-Gentry-Halevi-Vaikuntanathan(DGHV) FHE 체계를 분석하고, 암호문에서 캐리 전파를 판단할 수 없음을 보여준다.
• Q가 소수인 ℤ_Q 위에서 동작하는 Nuida-Kurosawa FHE 체계를 검토하고, 실수에 대해 ℝ에서 ℤ_Q로의 역행렬 변환 𝒯가 존재하지 않음을 증명한다.
• 십진수 0.1과 2.3 같은 숫자를 ASCII 인코딩을 통해 ℤ_Q 내의 정수로 매핑한 후, 암호화된 값에 대해 동형 덧셈을 적용한다.
• 정밀도 손실과 역행렬이 불가능한 인코딩으로 인해 모듈로 감소 후 복호화된 결과가 올바른 합(예: 0.1 + 2.3 ≠ 2.4)과 일치하지 않음을 보여준다.
• 클라이언트-서버 모델을 적용하여 서버가 동형 덧셈을 수행하더라도 클라이언트가 올바른 결과를 복원할 수 없음을 보여준다. 이는 인코딩의 모호성 때문이기 때문이다.
• 관계 비교 연산(E.g., a < b)이 암호화 후에도 유지되지 않음을 보이며, E(a) < E(b)가 a < b를 의미하지는 않기 때문이다.

실험 결과

연구 질문

• RQ1 입력이 암호화된 상태에서 실수에 대해 x + y와 같은 일반적인 산술 표현식을 FHE가 정확히 평가할 수 있는가?
• RQ2 실수 집합 ℝ에서 유한체 ℤ_Q로의 역행렬 변환 𝒯가 동형 평가를 위한 수치적 의미를 유지할 수 있는가?
• RQ3 기존의 FHE 체계가 클라이언트-서버 컴퓨팅 모델에서 a < b와 같은 관계 표현식을 지원하지 못하는 이유는 무엇인가?
• RQ4 모듈로 산술에 의존함으로써 FHE의 클라우드 컴퓨팅 환경에서의 적용 범위는 어느 정도 제한되는가?
• RQ5 유한체의 제약 조건을 고려할 때, 암호화된 데이터에 대한 동형 연산이 실수 계산에서 정확한 결과를 산출할 수 있는가?

주요 결과

• DGHV FHE 체계는 비밀 키 없이도 캐리 전파를 판단할 수 없기 때문에 암호화된 실수에 대해 x + y를 정확히 계산할 수 없다.
• Nuida-Kurosawa FHE 체계에서는 ℝ에서 ℤ_Q로의 역행렬 변환 𝒯가 존재하지 않아 실수를 체의 원소로 매핑하여 산술 의미를 유지하는 것이 불가능하다.
• 0.1과 2.3의 암호화된 표현에 대해 동형 덧셈을 적용한 후 복호화한 결과는 6550628이며, 이는 ASCII에서 'c\u0064'로 디코딩되며, 2.4가 아니다.
• 정밀도 손실과 역행렬이 불가능한 인코딩으로 인해 암호화된 데이터에 대한 동형 연산 결과가 올바른 합과 일치하지 않으며, 이는 계산의 타당성을 상실하게 한다.
• 관계 표현식(a < b)은 암호화 후에도 유지되지 않으며, E(a) < E(b)가 a < b를 의미하지는 않기 때문에 FHE에서 이러한 비교는 신뢰할 수 없다.
• 논문은 FHE가 일반 목적의 산술 또는 관계 연산을 실수에서 정확히 처리할 수 없기 때문에 클라이언트-서버 컴퓨팅에 적용될 수 없다고 결론 내린다.