FR
Tulva permet à un nombre suffisant de membres du comité de déchiffrer sans être connectés ensemble
Tulva: Practical Asynchronous Threshold FHE · arXiv:2610.20521
En termes simples
Le chiffrement entièrement homomorphe permet à un ordinateur de faire des calculs sans déchiffrer les données. Cet article présente Tulva, un compilateur qui ajoute le déchiffrement à seuil : chaque détenteur possède une partie d’une clé dédiée, et un nombre suffisant d’entre eux peut envoyer des déchiffrements partiels qu’un combinateur réunit.
Ils peuvent contribuer séparément et à des moments différents. Les auteurs démontrent la confidentialité sous des hypothèses mathématiques précisées.
Dans quatre exemples de programmes de contrats intelligents confidentiels, toute la phase de révélation, préparation et combinaison des fragments comprises, a pris moins de 1,2 seconde, même avec 512 détenteurs.
La recherche
Sur les plateformes de contrats intelligents confidentiels, les soldes chiffrés et l’état des contrats peuvent être calculés publiquement, mais un comité changeant est appelé à révéler certaines sorties. Les schémas à seuil existants peuvent exiger que les déchiffreurs se coordonnent à l’avance ou soient connectés simultanément.
Un nombre suffisant de membres peut-il contribuer au fil du temps tout en gardant la phase active de déchiffrement rapide ?
Tulva ajoute le déchiffrement à seuil à des schémas compatibles qui permettent de calculer sur des données chiffrées : un nombre suffisant de détenteurs peut envoyer ses fragments à différents moments, puis ceux-ci sont combinés.
Pour déchiffrer un résultat, Tulva transfère publiquement son texte chiffré vers une couche distincte de chiffrement à seuil ; un nombre suffisant de détenteurs produit des déchiffrements partiels, puis un combinateur retrouve le message.
Lors de tests sur un seul texte chiffré avec le même nombre de participants, la phase active de déchiffrement a pris moins de temps que dans la méthode citée, où les déchiffreurs communiquent, avec des délais réseau de 1 ms et de 10 ms. Selon l’article, la comparaison a été faite sur la même machine et excluait la préparation publique de Tulva.
Par ailleurs, l’article indique que Tulva prend en charge 32 fois plus d’utilisateurs au total que cette méthode, qui exige la participation de l’ensemble des K membres. Cette capacité totale en utilisateurs est distincte de la comparaison de latence entre nombres égaux de participants actifs.
Ces résultats portent sur une seule implémentation fondée sur le schéma TFHE et sur quatre programmes exemples dont les limites d’entrée sont précisées.
La preuve dépend du chiffrement sous-jacent, de l’hypothèse learning-with-errors et de paramètres définis ; la génération de clés présentée suppose aussi un tiers de confiance.
Ce que montrent les preuves
- Quand les comités changent
Tulva est un compilateur qui ajoute le déchiffrement à seuil asynchrone à des schémas compatibles de chiffrement entièrement homomorphe (FHE), lesquels permettent aux ordinateurs de calculer sur des données chiffrées. Dans un déchiffrement à seuil, K détenteurs possèdent des fragments d’une clé dédiée et un nombre suffisant d’entre eux doit contribuer pour retrouver le résultat.
Tulva permet à ces contributions d’arriver indépendamment, même à des moments différents. Cela répond au besoin de comités changeants : les requêtes de contrats intelligents confidentiels peuvent arriver sans préavis, tandis que les méthodes synchrones peuvent obliger les déchiffreurs à s’accorder à l’avance ou à être connectés en même temps.
- Transférer le texte chiffré vers une seconde couche
Pour y parvenir, Tulva effectue publiquement une conversion de clé qui transfère un texte chiffré vers une couche distincte de chiffrement à clé publique à seuil, tout en laissant le calcul FHE dans sa propre couche. Seule la clé de déchiffrement dédiée de la seconde couche est répartie entre les détenteurs ; un combinateur public reconstitue le résultat à partir d’un nombre suffisant de déchiffrements partiels.
Une nouvelle étiquette aléatoire est ajoutée et renouvelée après les opérations homomorphes ; l’aléa ainsi obtenu est utilisé dans la preuve face à des requêtes limitées de déchiffrement partiel.
- La preuve encadre les fuites partielles
Les auteurs démontrent la confidentialité face à un texte clair choisi : un attaquant qui sélectionne deux messages ne peut pas déterminer de manière fiable lequel est chiffré dans un texte de défi. Le jeu autorise la corruption de moins de t détenteurs et, pour chaque texte chiffré dont le texte en clair diffère entre les deux cas de défi, moins de t moins le nombre de participants corrompus en requêtes de déchiffrement partiel.
La preuve suppose aussi que le schéma FHE de base possède un déchiffrement linéaire et protège la confidentialité, que le problème learning-with-errors est difficile et que les paramètres de la construction respectent les contraintes indiquées.
- Distinguer préparation et déchiffrement
L’implémentation fondée sur TFHE a été testée avec des tailles d’anneau de 256 et 2 048, et des profils de seuil allant jusqu’à 512 détenteurs. Pour un seul message, avec un petit anneau et un seuil de 16 sur 512, la préparation publique a pris 0,5 seconde en médiane ; après cette étape, le déchiffrement partiel a pris 3,7 millisecondes et la combinaison des fragments, 0,5 milliseconde.
La séparation de ces étapes montre que la préparation publique dépendante du texte chiffré et le travail actif de déchiffrement ont des rôles distincts dans le temps mesuré.
- Latence en ligne et taille du comité
Face à la méthode interactive de Zyskind et al., où les déchiffreurs communiquent pendant l’arrondi, les auteurs ont comparé la latence active d’un seul texte chiffré avec des nombres égaux de participants et des délais réseau identiques.
À 10 ms et avec quatre participants, Tulva a pris 10,68 ms contre 55,62 ms selon la mesure rapportée ; la même machine a été utilisée, selon l’article, et la préparation publique de Tulva était exclue. Cela étaye une latence plus faible pour la phase en ligne testée, tandis que sa préparation publique reste hors de cette comparaison.
Par ailleurs, l’article indique que Tulva prend en charge 32 fois plus d’utilisateurs au total que cette méthode, qui exige l’interaction de l’ensemble des K participants. Cette capacité totale en utilisateurs est distincte de la comparaison de latence entre nombres égaux de participants actifs.
- Des exemples de contrats élargissent l’évaluation
Pour évaluer des tâches qui comportent des calculs avant le déchiffrement, les auteurs ont implémenté quatre programmes de contrats intelligents confidentiels : une enchère, un transfert de jetons, une transaction sur dark pool et un oracle de prix médian.
Le temps de révélation à seuil rapporté comprend la préparation publique, le déchiffrement partiel et la combinaison des fragments ; pour ces exemples, il est resté sous 1,2 seconde, même avec K=512. La correction dépend des limites d’entrée indiquées pour chaque programme ; ces mesures concernent donc ces exemples et ne s’étendent pas à tous les contrats.
Détails
- Auteurs de l’article original
- Valerio Cini, Antonio Guimarães, Russell W. F. Lai, Michał Osadnik, Ivy K. Y. Woo
- Soumis à arXiv
- Licence
- CC BY 4.0