[论文解读] On the Weakness of Fully Homomorphic Encryption

Zhengjun Cao, Lihua Liu|arXiv (Cornell University)|Nov 17, 2015

Cryptography and Data Security参考文献 18被引用 3

一句话总结

本文认为，由于完全同态加密（FHE）依赖有限域或环，导致其在实际云计算中存在根本性限制，因为这些机制将计算限制在模运算范围内。作者证明，FHE无法正确处理实数上的常见算术或关系运算，因为不存在从ℝ到ℤ_Q的可逆映射，使得FHE在通用客户端-服务器计算中无效。

ABSTRACT

Fully homomorphic encryption (FHE) allows anyone to perform computations on encrypted data, despite not having the secret decryption key. Since the Gentry's work in 2009, the primitive has interested many researchers. In this paper, we stress that any computations performed on encrypted data are constrained to the encrypted domain (finite fields or rings). This restriction makes the primitive useless for most computations involving common arithmetic expressions and relational expressions. It is only applicable to the computations related to modular arithmetic. We want to reaffirm that cryptography uses modular arithmetic a lot in order to obscure and dissipate the redundancies in a plaintext message, not to perform any numerical calculations. We think it might be an overstated claim that FHE is of great importance to client-server computing or cloud computing.

研究动机与目标

• 挑战广泛持有的观点，即FHE可在云环境中对加密数据执行任意计算。
• 证明FHE方案受到模运算的限制，无法正确处理常见的算术或关系表达式。
• 表明从实数ℝ到有限域ℤ_Q缺乏可逆变换，破坏了对实数输入的同态运算正确性。
• 论证FHE不适用于客户端-服务器计算模型，因其在处理实数算术和比较时存在根本性局限。
• 通过Dijk-Gentry-Halevi-Vaikuntanathan和Nuida-Kurosawa FHE方案提供具体反例，以说明这些缺陷。

提出的方法

• 分析Dijk-Gentry-Halevi-Vaikuntanathan（DGHV）FHE方案，该方案单独加密每一位，表明无法从密文确定进位传播。
• 研究在ℤ_Q上的Nuida-Kurosawa FHE方案，其中Q为素数，证明不存在从ℝ到ℤ_Q的可逆变换𝒯。
• 使用ASCII编码将小数如0.1和2.3映射为ℤ_Q中的整数，然后对加密值应用同态加法。
• 表明经模约减解密后的结果与正确和不一致（例如，0.1 + 2.3 ≠ 2.4），原因在于精度损失和编码不可逆。
• 应用客户端-服务器模型表明，即使服务器执行同态加法，客户端也无法因编码模糊性而恢复正确结果。
• 证明关系比较（如a < b）在加密后不被保持，因为E(a) < E(b)并不意味着a < b。

实验结果

研究问题

• RQ1 当输入被加密时，完全同态加密能否正确评估如x + y这样的常见算术表达式？
• RQ2 是否存在从实数集ℝ到有限域ℤ_Q的可逆变换，以在同态评估中保持数值语义？
• RQ3 为何现有FHE方案在客户端-服务器计算模型中无法支持关系表达式如a < b？
• RQ4 对模运算的依赖在多大程度上限制了FHE在云计算环境中的适用性？
• RQ5 在有限域的约束下，对加密数据执行同态运算能否在实数计算中产生正确结果？

主要发现

• DGHV FHE方案无法正确计算被加密实数的x + y，因为无法在无密钥情况下确定进位。
• 在Nuida-Kurosawa FHE方案中，不存在从ℝ到ℤ_Q的可逆变换𝒯，使得实数无法以保持算术语义的方式映射到域元素。
• 当对0.1和2.3的加密表示应用同态加法后，解密结果为6550628，解码为ASCII中的'c\u0064'，而非2.4。
• 由于精度损失和编码不可逆，同态运算在加密数据上的结果与正确和不一致，导致计算无效。
• 关系表达式如a < b在加密后不被保持，因为E(a) < E(b)不意味着a < b，使得此类比较在FHE中不可靠。
• 本文结论为FHE不适用于客户端-服务器计算，因其无法正确处理实数的通用算术或关系运算。