Melampaui Kunci Publik: Enkripsi Fungsional

Enkripsi kunci publik tradisional mengikuti model sederhana: mengenkripsi dengan kunci publik, lalu mendekripsi dengan kunci privat yang sesuai. Pihak yang mendekripsi akan mengetahui seluruh pesan teks biasa. Model serba-atau-tidak-sama-sekali ini terlalu kasar untuk banyak aplikasi: basis data medis mungkin ingin memungkinkan dokter mengetahui hanya apakah seorang pasien memiliki kondisi tertentu, bukan seluruh rekam medisnya. Enkripsi fungsional mengatasi keterbatasan ini.

Enkripsi Berbasis Identitas (IBE), yang diusulkan oleh Shamir pada 1984 dan dikonstruksi oleh Boneh dan Franklin pada 2001, memungkinkan penggunaan teks identitas (alamat email, nama domain, ID pegawai) sebagai kunci publik. Otoritas kunci tepercaya menghasilkan kunci privat untuk identitas tertentu. IBE menghilangkan kebutuhan akan sertifikat kunci publik dan memungkinkan distribusi kunci yang sederhana. IBE adalah bentuk enkripsi fungsional yang paling sederhana.

Enkripsi fungsional (FE), yang didefinisikan secara formal oleh Boneh, Sahai, dan Waters pada 2011, menggeneralisasi IBE. Dalam skema FE, otoritas kunci dapat menghasilkan kunci fungsi sk_f untuk fungsi f apa pun. Dengan enkripsi Enc(x) dan kunci fungsi sk_f, pihak yang mendekripsi dapat menghitung f(x), tetapi tidak mempelajari hal lain tentang x selain yang diungkapkan oleh f(x). Fungsi f dapat berupa fungsi terhitung apa pun dalam kelas yang didukung skema.

Enkripsi fungsional untuk hasil kali dalam memungkinkan pihak yang mendekripsi dan memegang sk_y menghitung hasil kali dalam dari enkripsi vektor x. Hal ini memungkinkan inferensi pembelajaran mesin privat: enkripsikan vektor fitur x milik pengguna, berikan kepada pemilik model sk_y untuk vektor bobot y miliknya, dan pemilik model hanya mengetahui hasil kali titik (skor prediksi mentah) tanpa mengetahui fitur pengguna. Beberapa skema FE untuk hasil kali dalam yang praktis telah tersedia (ABDALLA et al. 2016).

FE untuk pengujian kesamaan memungkinkan suatu pihak memeriksa apakah nilai terenkripsi cocok dengan nilai tertentu v, dengan hanya mengetahui apakah kesamaan tersebut berlaku. Hal ini memungkinkan kueri basis data yang menjaga privasi: peladen menyimpan catatan terenkripsi dan pengguna mencari catatan yang cocok dengan nilai tertentu tanpa membuat peladen mengetahui apa yang dicari pengguna atau mengetahui hasilnya selain kecocokan ya/tidak. Konstruksi praktis menggunakan pemasangan bilinear.

Bentuk FE yang paling kuat mendukung sirkuit bolean atau aritmetika sembarang sebagai fungsi. Pihak yang mendekripsi dengan sk_f untuk fungsi berwaktu polinomial apa pun f dapat menghitung f(x) dari Enc(x). FE sirkuit umum dikonstruksi secara teoretis oleh Garg, Gentry, Halevi, Raykova, Sahai, dan Waters (2013) menggunakan pemetaan multilinear, tetapi konstruksi FE umum yang ada tidak praktis karena bergantung pada asumsi pemetaan multilinear yang tidak sempurna.

Obfuskasi Ketakterbedaan (iO) adalah primitif kriptografi terkuat yang telah diketahui dan berkaitan erat dengan enkripsi fungsional. Skema iO menerima sirkuit C dan menghasilkan versi terobfuskasi O(C) yang menghitung fungsi yang sama, tetapi tidak mengungkapkan apa pun tentang C selain perilaku masukan-keluarannya. iO mengimplikasikan sebagian besar primitif kriptografi yang telah diketahui, termasuk FE umum. Konstruksi kandidat berdasarkan masalah kisi telah tersedia, tetapi masih jauh dari praktis.

Enkripsi Berbasis Atribut (ABE) adalah bentuk enkripsi fungsional yang dapat direalisasikan secara praktis, dengan fungsi f dibatasi pada evaluasi kebijakan: f(x) = 1 jika himpunan atribut x memenuhi suatu kebijakan, dan 0 jika tidak. ABE memungkinkan pengendalian akses terperinci, dengan hak dekripsi bergantung pada atribut pengguna. ABE adalah bentuk enkripsi fungsional yang paling banyak diterapkan secara praktis, dengan implementasi pada penyimpanan awan, layanan kesehatan, dan IoT.

Sejarah konstruksi FE berkembang dari yang sederhana ke yang kuat: IBE (Boneh-Franklin 2001) → FE untuk kesetaraan (berbagai karya 2005-2010) → FE untuk hasil kali dalam (ABDALLA 2016) → FE untuk sirkuit dengan kedalaman terbatas (berdasarkan pemetaan multilinear, 2013) → FE umum (diduga berasal dari iO). Setiap langkah lebih kuat, tetapi juga lebih rumit dan kurang efisien. Penerapan praktis menggunakan bentuk paling sederhana yang mencapai fungsionalitas yang diinginkan.

Keamanan FE didefinisikan melalui ketakterbedaan enkripsi dua pesan x0 dan x1, bahkan ketika diberikan kunci fungsi untuk fungsi f sembarang, selama f(x0) = f(x1) untuk semua fungsi yang ditanyakan. Hal ini memastikan bahwa pihak yang melakukan dekripsi hanya mempelajari f(x), dan tidak lebih dari itu. Ada dua tingkat keamanan: keamanan selektif (pihak penyerang menetapkan pesan tantangan sebelum melihat kunci publik) dan keamanan adaptif (keamanan penuh berbasis simulasi).

FE umum masih belum praktis, tetapi FE hasil kali dalam dan ABE sudah dapat diterapkan saat ini. Tantangannya mencakup kebutuhan akan otoritas kunci tepercaya (titik kegagalan tunggal), kerumitan pencabutan kunci, beban kinerja dari operasi pemasangan, dan standardisasi yang terbatas. Arah penelitian mencakup FE multi-otoritas (tanpa satu otoritas tepercaya), pembangkitan kunci terdesentralisasi, dan FE untuk kelas fungsi yang lebih besar tanpa pemetaan multilinear.

Apa yang membedakan enkripsi fungsional dari enkripsi kunci publik tradisional?

Enkripsi fungsional (Boneh-Sahai-Waters 2011) menggeneralisasi IBE dengan memungkinkan kunci fungsi sk_f menghitung f(x) dari Enc(x) tanpa mempelajari x sepenuhnya. Konstruksi praktis tersedia untuk FE hasil kali dalam (inferensi ML privat) dan pengujian kesetaraan. ABE adalah kasus khusus yang dapat diterapkan secara praktis untuk evaluasi kebijakan akses. FE untuk sirkuit umum memerlukan pemetaan multilinear (tidak praktis). iO adalah primitif terkait yang paling kuat. Tantangan utamanya adalah mengubah teori menjadi penerapan yang efisien.