Tulva permite descifrar a suficientes miembros sin conectarlos a la vez

En palabras sencillas

La investigación

Qué muestran las pruebas

• Cuando rotan los comités

  Tulva es un compilador que añade descifrado umbral asíncrono a esquemas compatibles de cifrado totalmente homomórfico (FHE), que permiten calcular sobre datos cifrados. En el descifrado umbral, K participantes tienen partes de una clave específica y suficientes deben contribuir para recuperar el resultado.

  Tulva permite que esos aportes lleguen por separado, incluso en momentos distintos. Esto responde a la necesidad de trabajar con comités cambiantes: las solicitudes de contratos inteligentes confidenciales pueden llegar de forma imprevisible, mientras que los esquemas síncronos pueden exigir que quienes descifran se pongan de acuerdo de antemano o estén conectados al mismo tiempo.

• Trasladar el texto cifrado a otra capa

  Para hacerlo, Tulva cambia públicamente la clave del texto cifrado y lo traslada a una capa separada de cifrado de clave pública con umbral, mientras mantiene el cálculo FHE en su propia capa. Los participantes comparten solo la clave de descifrado específica de la segunda capa; un combinador público reconstruye el resultado a partir de suficientes descifrados parciales.

  Se añade una etiqueta aleatoria nueva, que se renueva tras las operaciones homomórficas y aporta la aleatoriedad usada en la demostración frente a solicitudes limitadas de descifrado parcial.

• La demostración cubre filtraciones parciales

  Los autores demuestran la confidencialidad frente a textos planos elegidos: un atacante que selecciona dos mensajes no puede distinguir de forma fiable cuál cifra un texto cifrado de desafío. El juego permite corromper a menos de t participantes y solicitar descifrados parciales —menos de t menos la cantidad de participantes corrompidos— para cada texto cifrado cuyo texto original difiera entre los dos casos de desafío. La demostración también supone que el esquema FHE base tiene descifrado lineal y es confidencial, que learning-with-errors es difícil y que se cumplen las restricciones de parámetros de la construcción.

• Separar la preparación del descifrado

  La implementación basada en TFHE se probó con tamaños de anillo de 256 y 2,048, y perfiles de umbral de hasta 512 participantes. En la configuración 16 de 512, con anillo pequeño y un solo mensaje, la mediana de la preparación pública fue de 0.5 segundos; después, el descifrado parcial tardó 3.7 milisegundos y la combinación de las partes, 0.5 milisegundos.

  Separar estas fases muestra que la preparación pública, que depende del texto cifrado, y el descifrado activo tienen funciones distintas en el tiempo total.

• Latencia en línea y tamaño del comité

  Frente al método interactivo de Zyskind et al., en el que quienes descifran se comunican durante el redondeo, los autores compararon la latencia activa para un solo texto cifrado con cantidades iguales de participantes y las mismas demoras de red.

  Con una demora de 10 ms y cuatro participantes, Tulva tardó 10.68 ms frente a los 55.62 ms informados; según el artículo, se usó la misma máquina y se excluyó la preparación pública de Tulva. Esto respalda una menor latencia para la fase en línea probada, mientras que la preparación pública queda fuera de la comparación. Por separado, el artículo informa que Tulva admite 32 veces más usuarios en total que este esquema, que requiere la interacción de todas las K partes.

  Este resultado sobre capacidad total de usuarios es distinto de la comparación de latencia con cantidades iguales de participantes activos.

• Los ejemplos de contratos amplían las pruebas

  Para probar cargas de trabajo con cálculos previos al descifrado, los autores implementaron cuatro programas de contratos inteligentes confidenciales: una subasta, una transferencia de tokens, un intercambio de dark pool y un oráculo de mediana.

  El tiempo de revelación con umbral informado incluye el preprocesamiento público, el descifrado parcial y la combinación; en estos ejemplos se mantuvo por debajo de 1.2 segundos incluso con K=512. La corrección depende de los límites de entrada indicados para cada programa, así que estas mediciones muestran los costos de revelación de esos ejemplos, no de todos los contratos.