La cryptographie regorge d'idées élégantes. Le chiffrement entièrement homomorphe (FHE) est peut-être la plus absurde de celles qui fonctionnent réellement.
Le principe : vous chiffrez vos données, vous les confiez à quelqu'un d'autre, cette personne effectue des calculs dessus, vous renvoie un résultat, et lorsque vous déchiffrez ce résultat, il est correct. La personne qui a effectué les calculs n'a jamais vu vos données. Pas une version expurgée. Pas un hash. Les valeurs sous-jacentes réelles, jamais exposées, pas même l'espace d'une microseconde.
Craig Gentry a prouvé que c'était possible en 2009. La communauté cryptographique se demandait si c'était réalisable depuis environ 30 ans.
Comment fonctionne le FHE
Le chiffrement classique est une porte à sens unique. Vous verrouillez les données, et quiconque souhaite les utiliser doit d'abord les déverrouiller. Le FHE maintient la porte verrouillée tout en vous permettant de réarranger les meubles de l'extérieur.
Plus précisément : les schémas FHE définissent deux opérations sur les textes chiffrés, généralement appelées addition homomorphe et multiplication homomorphe. Ces opérations correspondent aux mêmes opérations sur les textes en clair sous-jacents. Si vous additionnez deux valeurs chiffrées, le résultat, une fois déchiffré, est égal à la somme des valeurs originales. Idem pour la multiplication.
Ces deux opérations suffisent à construire n'importe quelle fonction qu'un ordinateur peut calculer. (L'addition et la multiplication sur des champs binaires donnent des portes AND et XOR, qui permettent d'obtenir des circuits arbitraires.) C'est le pont entre « deux opérations sur des nombres chiffrés » et « calcul arbitraire sur des données chiffrées ».
Le problème, c'est le bruit. Chaque opération FHE ajoute une petite quantité d'erreur au texte chiffré. Effectuez suffisamment d'opérations et le bruit noie le signal. Vous ne pouvez plus déchiffrer. La contribution majeure de Gentry est une technique appelée bootstrapping : un moyen d'exécuter le circuit de déchiffrement sur le texte chiffré pendant qu'il est encore chiffré, ce qui réinitialise le niveau de bruit. C'est profondément étrange si vous y pensez trop longtemps. La fonction de déchiffrement déchiffre… à l'intérieur du chiffrement. C'est ce qui rend le schéma « entièrement » homomorphe plutôt que simplement « partiellement » homomorphe.
Le chiffrement partiellement homomorphe (SHE) gère un nombre fixe d'opérations avant que le bruit ne devienne fatal. Le chiffrement homomorphe à niveaux (LHE) gère une profondeur de circuit prédéterminée. Le FHE gère n'importe quel circuit, sans limite, car le bootstrapping vous permet de continuer indéfiniment.
Où le FHE est utilisable aujourd'hui
Pour la plupart des applications, le FHE est encore trop lent. Mais « la plupart » a ses limites. Des déploiements réels sont en cours aujourd'hui.
Inférence d'apprentissage automatique privée. Un client dispose de données d'entrée sensibles. Un serveur dispose d'un modèle propriétaire. Aucun des deux ne souhaite exposer ce qu'il possède à l'autre. Le FHE permet au serveur d'évaluer son modèle sur les données d'entrée chiffrées du client et de renvoyer un résultat chiffré que le client peut déchiffrer. Le serveur ne voit jamais les données d'entrée. Le client ne voit jamais les poids du modèle. Des entreprises ont déployé cette solution pour des architectures de modèles spécifiques. La charge de travail correspond aux contraintes actuelles du FHE car la profondeur du circuit est bornée et prévisible.
Calcul génomique privé. Les données génomiques sont sensibles d'une manière qui dépasse un numéro de sécurité sociale : elles impliquent vos proches, elles sont permanentes, et les risques pour la vie privée s'accumulent à mesure que les bases de données de référence s'agrandissent. Des chercheurs ont utilisé le FHE pour calculer des scores de risque de maladie et des comparaisons génétiques sans exposer les séquences sous-jacentes à la partie effectuant les calculs. Les compétitions iDASH évaluent ce cas d'usage depuis 2014.
Requêtes de bases de données privées. Vous souhaitez interroger une base de données sans révéler ce que vous cherchez. Les recherches par mots-clés, les requêtes par plage et les tests d'appartenance à un ensemble disposent tous de constructions FHE. La surcharge reste significative mais gérable pour des requêtes peu fréquentes à haute valeur ajoutée.
Calcul fédéré avec garanties de confidentialité. Plusieurs hôpitaux souhaitent entraîner un modèle sur leurs données patients combinées sans partager les dossiers. Le FHE (souvent combiné au calcul multipartite sécurisé) permet le calcul combiné sans regroupement des données.
Le FHE face aux autres approches de protection de la vie privée
Le FHE n'existe pas de manière isolée. C'est un outil parmi d'autres dans une pile qui comprend :
Le calcul multipartite sécurisé (MPC) : plusieurs parties calculent conjointement une fonction sans révéler leurs données d'entrée les unes aux autres. Le MPC est souvent plus rapide que le FHE pour des fonctions spécifiques et nécessite plusieurs parties non colludantes. Le FHE fonctionne avec un seul serveur.
La confidentialité différentielle (DP) : ajoute un bruit calibré aux sorties pour limiter ce qu'un adversaire peut inférer sur les individus d'un ensemble de données. La DP protège contre les attaques par inférence sur les résultats agrégés, mais ne permet pas le calcul sur des données d'entrée privées.
Les environnements d'exécution de confiance (TEEs) : enclaves matérielles (Intel SGX, AMD SEV) qui exécutent du code dans une région mémoire protégée que le système d'exploitation ne peut pas lire. Les TEEs supposent que vous faites confiance au fournisseur de matériel et qu'il n'y a aucune faille dans l'implémentation. Le FHE suppose que vous faites confiance aux mathématiques.
Les preuves à divulgation nulle de connaissance (ZKPs) : permettent de prouver qu'une affirmation est vraie sans révéler pourquoi elle est vraie. Les ZKPs prouvent des propriétés ; le FHE calcule sur des valeurs privées. Ils sont complémentaires.
Les systèmes hybrides sont de plus en plus courants. Le FHE gère le calcul sensible ; les ZKPs vérifient que le calcul a été effectué correctement ; le MPC distribue la confiance. Les frontières entre ces technologies s'estompent à mesure que les praticiens construisent des systèmes nécessitant simultanément des propriétés provenant de plusieurs d'entre elles.
