同型暗号化の分類

サポートされる操作の種類と許可される操作の数に基づいて、同型暗号化は主に次の3つのカテゴリに分類されます：部分同型暗号化（PHE）、やや同型暗号化（SHE）、完全同型暗号化（FHE）です。

部分的同型暗号化 (PHE)
完全同型暗号化（FHE）とは異なり、部分同型暗号化は加算または乗算などの限られた種類の操作のみをサポートし、同時に両方をサポートしません。これにより、PHEは必要なデータ処理機能を可能にする一方で、データプライバシーを保護することができます。たとえば、RSA暗号化スキームは加算操作をサポートしており、ElGamal暗号化スキームは乗算操作をサポートしています。これらの暗号化スキームはいくつかの同型性を持っていますが、その機能の限られた性質から、複数の種類の操作が必要なシナリオに直接適用することが難しいです。

一部同型暗号化（SHE）
部分的同型暗号化を超える進歩を示す部分的同型暗号化（SHE）は、暗号化されたデータに対する限定された加算および乗算操作を可能にします。ただし、各同型操作はノイズを増加させ、一定回数の操作後、暗号文中のノイズが過剰になります。これにより、復号の失敗や不正確な結果が発生する可能性があります。そのため、SHEスキームは通常、少数の操作を必要とするシナリオにのみ適しています。

完全同型暗号化（FHE）
完全同型暗号化（FHE）は、計算量に関係なく暗号化されたデータに対して無制限の加算および乗算操作を行い、復号失敗を引き起こさない。同型暗号化研究の「聖杯」と考えられており、セキュアなクラウドコンピューティングからプライバシーを保護したデータ解析まで幅広い応用の可能性を示しています。

同型暗号化の開発史

同型暗号化の概念は、研究者たちが初めて暗号化されたデータ上で直接計算を実行することを想像した1970年代に遡ります。しかし、この興味深いアイデアは数十年にわたって理論的なままでした。それは、IBMの数学者であるクレイグ・ゲントリーが2009年にブレークスルーを達成するまで実現されませんでした。

ゲントリーは、暗号化されたデータ上での任意の計算を可能にする、最初の実用的な完全同型暗号化スキームを紹介しました。彼の方法は、複雑な「理想格子」に基づいており、ノイズとブートストラッピングという2つの重要な要素を革新的に組み込んでいます。ノイズは、暗号化の過程で蓄積される避けられない副産物であり、計算ごとに蓄積されることで復号に失敗する可能性があります。これに対抗するために、ゲントリーは「ブートストラッピング」という技術を考案し、計算中にノイズを「クリーン」にすることができるようにしました。自己調整と循環暗号化によって、ゲントリーのスキームは完全同型暗号化が実現可能であり、無制限の計算をサポートできることを証明しました。

この画期的な業績は、暗号学の分野全体に熱狂を引き起こし、かつて遠い概念を具体的な研究方向に変えました。また、データプライバシー保護やクラウドコンピューティングセキュリティの将来の進歩の基盤を築きました。

早期
GentryのFHE提案の前、研究は主に部分同型暗号化に焦点を当てていました。RSAとElGamal暗号化スキームは部分同型暗号化の典型的な初期の代表例でした。これらのスキームは単一の種類の操作のみを実行することに制限されており、より複雑な計算タスクに適用するのが難しかったです。

ジェントリのブレイクスルー
ジェントリーの完全準同型暗号方式は格子理論に基づいていた。このスキームでは、操作ごとに徐々に増加する「ノイズ」という概念が導入されました。ジェントリーは、暗号文を部分的に復号化して再暗号化することで、ノイズを管理可能なレベルまで低減する、過度のノイズを防ぐために「ブートストラップ」プロセスを開発しました。ブートストラップの核となる考え方は、ノイズが制御不能なレベルに蓄積される前に暗号文を「更新」することです。具体的には、ブートストラップにより、暗号化システムは、計算の一部を実行した後、完全準同型暗号化を使用して現在の暗号文を再暗号化および簡素化し、ノイズを効果的に低減できます。このプロセスは、ノイズ除去メカニズムとして機能し、もともとより多くのノイズを含んでいた暗号文を「再パッケージ化」し、暗号化された計算中にノイズを自動的に管理します。その結果、過度のノイズ蓄積なしに暗号文に対して無制限の数の計算が可能になり、有限数の計算しかサポートしていなかった以前の準同型暗号化方式の制限が解決されます。この設計は理論的には画期的でしたが、その計算コストは法外に高かったため、初期の実装は非常に遅くなりました。

その後の展開
2011年、Brakerski氏らは、Learning With Errors（LWE）問題に基づくより効率的なFHEスキームを提案し、計算の複雑さを大幅に削減しました。その後、改良されたスキームにより、完全同型暗号化の効率がさらに向上しました。代表的な例としては、B/FV（Fan-Vercauteren）スキームや、リング同型暗号化に基づくCKKSスキームが挙げられます。これらの進展により、特定のアプリケーションシナリオでの効率の改善が実証されました。

完全同型暗号化の概念と主要なスキーム

同型性の特性

同型暗号化の主要な特性は、暗号化と平文操作の間の同型性の形式です。2つの平文（m_1）と（m_2）があり、それぞれ対応する暗号文（Enc(m_1)）と（Enc(m_2)）があるとします。暗号化関数（Enc）と操作（circ）は以下の特性を満たします：

[ Enc(m_1) \circ Enc(m_2) = Enc(m_1 \circ m_2) ]

この関係は、復号化された場合に、暗号文上で行われた操作が平文上で行われた操作と同じ結果をもたらすことを意味します。

Gentryが最初の完全同型暗号化スキームを提案して以来、多くの研究者がそれを改善し最適化してきました。ここでは、2つの一般的な完全同型暗号化スキームの技術的な詳細や利点、欠点について説明します。

ゲントリの完全同型暗号化スキーム

ゲントリーのスキームは、理論的に実現可能な完全同型暗号化スキームであり、理想的な格子に基づく暗号化構造を提案しています。彼のスキームは以下の特徴を持っています:

• 理想格子暗号化：ゲントリ氏の完全同型暗号化スキームは理想格子の複雑な数学的構造に基づいています。理想格子は破ることが難しい非常に安全な暗号化基盤を提供します。現在知られている量子および古典的アルゴリズムに基づいて、理想格子問題は効果的に解くことが難しいと考えられています。この数学的構造は柔軟な暗号文操作を許しながらも、暗号化のための十分なセキュリティを提供します。
• ノイズ: 暗号化操作ごとにノイズが生成されます。制御せずに放置すると、操作中にノイズが徐々に蓄積され、最終的には暗号文の誤った復号化につながります。ジェントリーはブートストラップ技術を革新的に使用し、一定の深さまで計算を行った後にノイズを「除去」できるようにしました。したがって、彼が提案するスキームは無限の深さを持ち、無制限の数の計算をサポートできます。
• ブートストラッピング：ブートストラッピングプロセスでは、暗号文自体が再暗号化され、暗号化スキームがノイズをクリアする間、暗号化データの正確性を保持できます。ブートストラッピングの核心は、暗号文を暗号化された状態で再帰的に操作し、計算プロセス中のノイズの蓄積を管理することです。この再帰的な操作により、制限なく計算を実行できます。

Brakerski-Fan-Vercauterenスキーム（B / FVスキーム）

ゲントリーのスキームにおける計算のボトルネックを克服するために、ブラケルスキ、ファン、ヴェルコーテレンなどの研究者は、誤り学習（LWE）問題とリング誤り学習（リング-LWE）問題に基づいた改良されたスキームを提案しました。B/FVスキームは主にブートストラッピングプロセスを最適化しています。

B / FVは、「モジュラススイッチング」と呼ばれる技術を使用して、ノイズ成長を効果的に制御し管理することで、ブートストラップなしで実行できる操作の数を拡張します。B / FVスキームは、暗号化および計算操作にリング構造を使用します。具体的には、メッセージと暗号文は多項式として表され、Ring Learning With Errors（Ring-LWE）問題を使用して、計算操作を多項式上の操作に変換します。この表現は、暗号化および復号の効率を大幅に改善し、より効率的な同型操作を可能にします。

Gentryの方式と比較して、B/FVは特に単純な同型加算と乗算を実行する場合に、暗号化と復号化の操作においてより効率的です。B/FV方式の利点は、ブートストラップのための計算オーバーヘッドを削減し、完全同型暗号化を実用的なアプリケーションでより実現可能にすることにあります。ただし、複雑な多段階計算を実行する場合、この方式でもノイズの蓄積の問題に直面し、最終的にはブートストラップ技術を使用してノイズをクリアする必要があります。

完全同型暗号化の特性と課題

完全準同型暗号化は、安全なデータ共有と柔軟なデータ処理に利点をもたらしますが、依然として高い計算オーバーヘッドという課題に直面しています。データ共有のシナリオでは、完全準同型暗号化により、許可されていない第三者が送信および処理中にデータにアクセスしないようにします。データ所有者は、暗号化されたデータを他のユーザーと自信を持って共有でき、他のユーザーは暗号化された状態で処理し、結果を元のデータ所有者に返すことができます。他のアルゴリズムソリューションと比較して、そのデータ処理方法はより柔軟で、機械学習、統計分析、財務計算など、暗号化処理を必要とするさまざまなデータ集約型タスクに適しています。

完全同型暗号化という前向きなコンセプトにもかかわらず、その最大の課題は高い計算コストです。既存の完全同型暗号化スキームは、複雑な計算（特に乗算や複数段階の操作）を実行する際に、相当な計算リソースを消費します。性能のボトルネックは、その普及への主要な障害であり、研究者たちは効率を改善し、完全同型暗号化を実用的な応用技術として普及させることを目指し、常に努力を重ねています。

伝統的な分野での完全同型暗号化の応用

アプリケーションシナリオ

クラウドコンピューティング時代において、プライバシー保護は非常に重要です。多くの企業や個人はクラウドにデータを保存し、様々な計算タスクをクラウドサーバーに依存しています。特に医療分野では、患者データのプライバシーは最も重要です。完全同型暗号化は、医療機関に強力な保護を提供し、データを暗号化したままで統計分析や疾患モデリングを行うことができます。これにより、機密情報は未承認のアクセスから安全に保護されます。金融業界も顧客の投資ポートフォリオや信用評価など非常に機密性の高いデータを扱っています。完全同型暗号化により、金融機関はデータを復号せずにリスク分析や金融モデリングを行うことができ、ユーザーのプライバシーとデータのセキュリティを二重に保護することができます。

ブロックチェーン領域での完全同型暗号化の応用

アプリケーションシナリオ

完全同型暗号化は、ブロックチェーン上のスマートコントラクトにプライバシーの層を追加し、ユーザーが入力データを公開せずに契約を実行できるようにします。この技術は、DeFiセクターで特に価値があり、ユーザーは貸出や取引中に資金残高や取引詳細を秘匿でき、個人のプライバシーを保護できます。さらに、完全同型暗号化は、デジタル通貨のプライバシー保護に新たな道を開いています。MoneroやZcashのようなプライバシーコインはすでに高度な暗号化を採用していますが、完全同型暗号化は取引金額や参加者のアイデンティティをさらに隠蔽し、取引の秘匿性を高めます。分散データマーケットや分析シナリオでは、データプロバイダーは完全同型暗号化を通じて暗号化されたデータを安全に共有し、他の参加者がデータリークのリスクを冒さずに分析や計算を行えるようにします。これにより、データ共有のセキュリティと効率が向上します。

クラシックな例

Zamaは、ブロックチェーン領域でのプライバシーテクノロジーに取り組む企業です。完全同型暗号化に基づくプライバシー保護ツールの開発に焦点を当てています。詳細な分析については、別の調査報告書を参照してください。

Elusivは、完全同型暗号化とブロックチェーン技術を組み合わせたプライバシー保護プラットフォームです。主にブロックチェーン上のトランザクションのプライバシーを保護するために使用されます。Elusivのシステムを通じて匿名トランザクションを行うことができ、トランザクションの詳細は公開されずに、トランザクションの正確性をチェーン上で確認することができます。