Tulva permette ai partecipanti sufficienti di decifrare senza essere online insieme

In parole semplici

La ricerca

Cosa mostrano le prove

• Quando cambia il comitato

  Tulva è un compilatore che aggiunge la decifratura a soglia asincrona a schemi compatibili di cifratura completamente omomorfica (FHE), che permette ai computer di calcolare su dati cifrati. Nella decifratura a soglia, K partecipanti detengono quote di una chiave dedicata e un numero sufficiente di loro deve contribuire per recuperare il risultato.

  Tulva consente alle quote di arrivare in modo indipendente, anche in momenti diversi. Questo risponde all’esigenza di un comitato che cambia: le richieste per smart contract riservati possono arrivare in modo imprevedibile, mentre gli schemi sincroni possono richiedere ai decifratori di coordinarsi in anticipo o di essere online contemporaneamente.

• Trasferire il testo cifrato a un secondo livello

  Per riuscirci, Tulva cambia pubblicamente la chiave del testo cifrato e lo trasferisce a un livello separato di cifratura a soglia a chiave pubblica, mantenendo il calcolo FHE nel proprio livello. Tra i partecipanti viene condivisa solo la chiave di decifratura dedicata al secondo livello; un combinatore pubblico ricostruisce il risultato usando un numero sufficiente di decifrature parziali.

  A ogni testo cifrato viene aggiunto un nuovo tag casuale, aggiornato dopo le operazioni omomorfiche; la casualità del tag è usata nella dimostrazione contro richieste limitate di decifratura parziale.

• La dimostrazione copre le fughe parziali

  Gli autori dimostrano la riservatezza con testi in chiaro scelti dall’attaccante: chi seleziona due messaggi non può capire in modo affidabile quale dei due sia cifrato nel testo di sfida. Il gioco consente di compromettere meno di t partecipanti e di ottenere richieste di decifratura parziale in numero inferiore a t meno i partecipanti compromessi, per ogni testo cifrato il cui testo in chiaro differisce nei due casi di sfida.

  La dimostrazione presuppone anche decifratura lineare e riservatezza dello schema FHE di base, la difficoltà del problema learning-with-errors e il rispetto dei vincoli sui parametri della costruzione.

• Separare preparazione e decifratura

  L’implementazione basata su TFHE è stata testata con dimensioni dell’anello di 256 e 2,048 e profili di soglia fino a 512 partecipanti. Nel test con anello piccolo, un solo messaggio e configurazione 16-of-512, la preparazione pubblica è durata 0.5 secondi nella mediana; dopo questa fase, la decifratura parziale ha richiesto 3.7 millisecondi e la combinazione delle quote 0.5 millisecondi.

  Separare le fasi mostra che la preparazione pubblica dipendente dal testo cifrato e il lavoro attivo di decifratura hanno tempi diversi.

• Latenza online e dimensione del comitato

  Nel confronto con il metodo interattivo di Zyskind et al., in cui i decifratori comunicano durante l’arrotondamento, gli autori hanno misurato la latenza attiva per un singolo testo cifrato, allineando il numero di partecipanti e i ritardi di rete.

  Con un ritardo di 10 ms e quattro partecipanti, Tulva ha richiesto 10.68 ms contro i 55.62 ms riportati; secondo il paper, è stata usata la stessa macchina e il pre-processing pubblico di Tulva è stato escluso. Questo supporta una latenza inferiore per la fase online testata, mentre il setup pubblico non rientra nel confronto.

  Separatamente, il paper riporta che Tulva supporta un numero totale di utenti 32 volte maggiore rispetto a questo schema, che richiede l’interazione di tutte le K parti. Questo risultato sulla capacità totale di utenti è distinto dal confronto della latenza con un numero di partecipanti attivi allineato.

• Gli esempi di smart contract ampliano i test

  Per testare carichi di lavoro che eseguono calcoli prima della decifratura, gli autori hanno implementato quattro programmi di smart contract riservati: un’asta, un trasferimento di token, uno scambio in dark pool e un oracolo mediano.

  Il tempo riportato per la rivelazione a soglia include il pre-processing pubblico, la decifratura parziale e la combinazione; nei quattro esempi è rimasto sotto 1.2 secondi anche con K=512. La correttezza dipende dai limiti dichiarati per i valori di ingresso di ciascun programma, perciò queste misure descrivono il costo della rivelazione in quegli esempi, non in ogni smart contract.