同态加密

Homomorphic Encryption · HE · 隐私计算

密码与身份安全词条4 章节

📅 创建于 2026/8/9🔄 最后更新 2026/8/26 · 1 天前👁️ 0 次浏览✏️ 5 次编辑来源

摘要

同态加密（Homomorphic Encryption, HE）是一类允许在加密数据上直接执行计算而无需先解密的密码学方案。计算产生的加密结果在解密后等于对明文执行相同操作的结果。这个看似简单的性质对隐私保护具有颠覆性影响：数据所有者可以将加密后的数据外包给不受信任的云计算服务商进行分析（如医疗影像 AI 辅助诊断、金融风控建模），而服务商全程无法阅览原始数据。同态加密按支持的计算类型和深度分为三个等级：部分同态加密（Partially Homomorphic Encryption, PHE）仅支持无限次加或乘（之一），如 RSA 支持乘同态、Paillier（1999）支持加同态，已在实际系统中部署（如电子投票计票）；某种程度同态加密（Somewhat Homomorphic Encryption, SHE）支持有限次加法和乘法的组合；全同态加密（Fully Homomorphic Encryption, FHE）支持任意次加法和乘法的组合，即理论上可以执行任意计算。 FHE 的突破历经三十年：1978 年 Rivest、Adleman 和 Dertouzos 首次提出在加密数据上计算的设想，2009 年 Craig Gentry 在其博士论文中通过「自举」（Bootstrapping）技术构造了首个理论可行的 FHE 方案——核心思想是每次同态运算会累积「噪声」（误差），当噪声超过阈值时解密将失败，Bootstrapping 通过同态地解密自身来刷新噪声。Gentry 因此获得 2022 年 ACM 计算奖。后续优化方案——BGV（Brakerski-Gentry-Vaikuntanathan, 2011）、BFV（Brakerski/Fan-Vercauteren, 2012）、CKKS（Cheon-Kim-Kim-Song, 2017，支持近似浮点数运算）——将效率从「不可实用」提升至「特定场景可应用」。当前 FHE 相对于明文计算的性能开销约为 10^4 至 10^6 倍（取决于电路深度和方案选择）。

PHE / SHE / FHE：同态加密的分级体系

同态加密的「等级」由支持的同态运算类型和深度决定，三个等级代表了安全性与实用性之间不断妥协的演进：

部分同态加密（PHE） 仅支持一种运算（加或乘）且无限次：

乘法同态：RSA（未填充模式）——Enc(m1) × Enc(m2) = Enc(m1 × m2 mod n)。但 RSA 不支持加法同态，且未填充 RSA 不安全（确定性加密），实践中不应直接使用。ElGamal 密码系统同样具备乘法同态性质。
加法同态：Paillier 密码系统（Pascal Paillier 1999）——Enc(m1) × Enc(m2) = Enc(m1 + m2 mod n)。Paillier 的加法同态性在电子投票中直接应用：投票选项编码为 0/1，计票方可直接对所有加密选票做同态相加，解密后即得总票数而无需解密每张选票。支持标量乘法（幂运算）——Enc(m)^k = Enc(k × m)。

PHE 已实用化：CipherTrace、Privitar 的数据脱敏产品中使用 Paillier 做跨机构联合统计；Google 的 Private Join and Compute 使用 Paillier 同态加密匹配两个组织的交集用户群体而不暴露非交集数据。

某种程度同态加密（SHE）：支持有限深度的加法和乘法组合。BGN（Boneh-Goh-Nissim, 2005）是首个同时支持加法和一次乘法的实用方案。SHE 通常作为构造 FHE 的中间步骤——通过引入噪声管理机制（如模数切换）扩展电路深度。

全同态加密（FHE）：支持任意深度、任意次数的加法和乘法组合。其核心瓶颈在于「噪声增长」：每次同态运算（尤其乘法）使密文噪声增大，噪声超过阈值后解密失败。Gentry 的 Bootstrapping 是同态地执行解密电路，将噪声降低至初始水平，从而无限扩展计算能力——代价是单次 Bootstrapping 操作本身就是昂贵的计算（需要评估整个解密电路）。2014 年 Ducas 和 Micciancio 提出的 FHEW（Fast Fully Homomorphic Encryption over the Torus）将 Bootstrapping 延迟降至 0.69 秒/次（单比特），2020 年 TFHE 进一步优化至毫秒级，使得按位（bit-wise）FHE 运算在逻辑电路级别可实用。

同态加密 · 安全词条 | 点滴安全

主流方案：BGV、BFV、CKKS 与 TFHE

当前 FHE 研究和应用集中在四大主流方案，各自针对不同数据类型和计算模式优化：

BGV（Brakerski-Gentry-Vaikuntanathan, 2011）：基于 RLWE（Ring Learning With Errors）的层级 FHE 方案。通过模数切换（Modulus Switching）技术管理噪声增长——每层乘法后将密文模数缩小以控制噪声，无需频繁 Bootstrapping。适合深层次同态电路。开源库 HElib（IBM 开发，2013 年起）是 BGV 方案的主要实现，在基因组关联分析（GWAS）等生命科学隐私计算中得到应用。2018 年 iDASH 隐私保护基因组竞赛中多个优胜方案基于 HElib。

BFV（Brakerski/Fan-Vercauteren, 2012）：与 BGV 共享 RLWE 数学基础但在编码方式上不同——BFV 将明文编码为多项式的高位系数而 BGV 编码为低位。BFV 适合精确整数运算（如计数、求和、逻辑比较），Microsoft SEAL 开源库（2015 年起）和 PALISADE/OpenFHE 均实现了 BFV。

CKKS（Cheon-Kim-Kim-Song, 2017）：专为近似浮点数运算设计——允许解密结果存在微小可控误差（IEEE 754 浮点舍入误差级别），这使得 CKKS 天然适合机器学习和统计计算的同态加密。同态加密中加密一个浮点数需要先将它乘以一个大缩放因子（Scale）转为整数，CKKS 在 Bootstrapping 步骤自动恢复缩放因子。在 2022 年 CryptoNets 同态神经网络推理基准中，CKKS 在 ResNet-20/CIFAR-10 上的推理延迟约为明文的 50,000 倍——虽远未实时但仍证明概念可行性。OpenFHE、TenSEAL、Lattigo 提供了 CKKS 实现。

TFHE（Fast Fully Homomorphic Encryption over the Torus）：针对布尔电路优化——将密文视为 Torus（实数模 1 的圆群）上的元素，支持高速按位逻辑门运算（AND、XOR、NAND）。TFHE 的 Bootstrapping 仅需约 13 毫秒，使交互式同态计算（如加密数据库查找）成为可能。Zama 公司（2020 年成立）基于 TFHE 开发了 Concrete 框架，提供同态加密的 Rust 编译工具链，其 Concrete-ML 库支持加密数据的决策树和神经网络推理。

应用场景与性能瓶颈

FHE 当前处于从「研究演示」到「生产部署」的过渡期，以下场景已出现概念验证或小规模部署：

医疗隐私计算：多家医院联合训练 AI 诊断模型时，各医院用 FHE 加密本地患者数据，上传到云计算平台，平台仅在加密数据上执行模型训练/推理，结果解密后返回各方——全程数据不出医院。2023 年 IBM Research 与 Cleveland Clinic 使用 HElib 在加密基因组数据上进行 GWAS（全基因组关联分析），计算时间从明文的数小时增至同态的约 1,000 小时（通过并行分散至 HPC 集群加速）。学术界和工业界的共识是：在「数据量极大但计算简单」的场景（如计数、均值），FHE 接近实用；在「数据量中等但计算复杂」的场景（如深度学习训练），FHE 尚需 2-3 个数量级的效率提升。

金融隐私计算：多家银行联合反洗钱时，可使用 FHE 在加密交易数据上运行共享的黑名单匹配算法，识别跨机构的洗钱网络而不暴露各自客户的交易明细。SWIFT 于 2022 年进行了跨银行 FHE 试点，使用 TFHE 进行加密交易匿名性分析。

性能瓶颈总结：

密文膨胀：同态密文通常增长 10^2 至 10^4 倍（一个 64 位整数可能产生数 MB 的密文），对存储和网络带宽构成巨大压力。
计算开销：FHE 相对于明文运算的开销约为 10^4 至 10^6 倍（相同运算在 CPU 上需数毫秒，同态下需数秒至数小时）。CKKS 矩阵乘法约为明文的 3,000-10,000 倍。
电路限制：FHE 仅原生支持加法和乘法（算术电路），除法、比较（>、<）、分支（if/else）必须通过多项式近似或布尔电路分解实现，复杂度和误差随之上升。
并行化与硬件加速：2023 年后 GPU 加速 FHE 库（NVIDIA cuFHE）将 TFHE Bootstrapping 进一步加速到毫秒以下；Intel HEXL 库为 AVX-512 指令集优化了 CKKS 的 NTT 运算；专用 ASIC（如 Optalysys 光学计算芯片）处于早期研发阶段。

同态加密

PHE / SHE / FHE：同态加密的分级体系

主流方案：BGV、BFV、CKKS 与 TFHE

应用场景与性能瓶颈

声明与维护记录

参考资料