[论文解读] Attack on Fully Homomorphic Encryption over the Integers

Chunsheng Gu|arXiv (Cornell University)|Feb 15, 2012

Cryptography and Data Security参考文献 25被引用 3

一句话总结

本文提出了一种针对DGHV（2010）提出的基于整数的全同态加密（FHE）方案的启发式格攻击，证明在特定参数设置下该方案不安全。通过应用格约化技术，该攻击恢复了密钥，暴露出原始构造中的关键漏洞，并进一步提出了一个可抵抗此类攻击的改进方案。

ABSTRACT

This paper presents a heuristic attack on the fully homomorphic encryption over the integers by using lattice reduction algorithm. Our result shows that the FHE in [DGHV10] is not secure for some parameter settings. We also present an improvement scheme to avoid the lattice attack in this paper.

研究动机与目标

• 分析DGHV（2010）提出的基于整数的全同态加密方案的安全性。
• 识别使该方案易受密码分析影响的参数设置。
• 利用格约化算法对密钥结构实施实际攻击。
• 提出一种可抵抗所识别的基于格攻击的改进方案。

提出的方法

• 该攻击利用DGHV FHE方案中密钥结构的特性，即密钥为一个较小的奇数。
• 将密钥恢复问题建模为由公钥构造的格中的最近向量问题（CVP）。
• 应用格约化算法，特别是LLL及其变体，从公钥参数近似恢复密钥。
• 该方法利用公钥是密钥与小噪声项的线性组合的事实。
• 在各种参数设置下评估攻击的可行性，识别出脆弱的配置。
• 通过修改密钥生成过程以增加格的难度并防止密钥恢复，提出改进方案。

实验结果

研究问题

• RQ1 在特定参数设置下，是否可以使用格约化技术恢复DGHV在整数上的FHE方案的密钥？
• RQ2 DGHV方案的哪些结构特性使其易受基于格的密码分析？
• RQ3 DGHV方案中的哪些参数范围会导致不安全的格实例？
• RQ4 如何修改FHE方案以抵抗格攻击，同时保持同态功能？

主要发现

• 该攻击在特定参数设置下成功恢复了密钥，使用格约化技术，证明DGHV方案在这些条件下并不安全。
• 漏洞源于密钥较小，可通过公钥矩阵的格基约化近似得到。
• 该攻击为启发式方法，但在测试的参数范围内具有实际有效性，尤其当密钥相对于公钥大小较小时更为显著。
• 本文指出，原始DGHV方案的密钥生成过程创建了具有可利用结构的格，从而导致密钥可被恢复。
• 提出了一种改进方案，通过增大密钥大小并修改密钥生成方式以抵抗格攻击。
• 结果表明，基于整数的FHE安全性严重依赖于参数选择，若选择不当可能导致完全崩溃。