A criptografía homomórfica, ou cifraxe homomórfica, permite realizar determinadas operacións sobre datos cifrados e obter un resultado que pode descifrarse coa chave correspondente. A información que se pode calcular e as garantías dependen do esquema. Nos métodos de aritmética exacta o resultado corresponde ás operacións no espazo de mensaxes; nos métodos aproximados, como CKKS, inclúe un erro controlado polos parámetros e polo cálculo realizado. Informe 2015/1192, versión do 14 de setembro de 2016, pp. 1–5 e 8–15.
Unha das súas aplicacións é delegar cálculos nun servizo sen entregarlle os datos en claro. A confidencialidade proporcionada pola cifraxe debe distinguirse da corrección do resultado que devolve o servizo e da seguridade da implementación. Versión actualizada en decembro de 2023.
Características A cifraxe homomórfica é unha forma de cifraxe cunha capacidade adicional de avaliación para realizar cálculos sobre datos cifrados sen acceso á chave secreta. O resultado destes cálculos permanece cifrado. En esquemas de criptografía de chave pública como RSA, os textos cifrados poden manipularse alxebricamente para producir un resultado cifrado correspondente ás operacións sobre os textos en claro subxacentes. Homomórfica refírese ao homomorfismo en álxebra: a avaliación sobre os textos cifrados corresponde a operacións sobre as mensaxes recuperadas ao descifrar. Isto non significa que todo algoritmo de cifraxe sexa un homomorfismo determinista do espazo de mensaxes ao de textos cifrados: nos esquemas probabilísticos, a cifraxe depende tamén da aleatoriedade empregada.
A cifraxe homomórfica inclúe múltiples tipos de esquemas de cifraxe que poden realizar distintas clases de cálculos sobre datos cifrados. Informe 2015/1192, versión do 14 de setembro de 2016, pp. 1–5 e 8–15. Os cálculos represéntanse como circuítos booleanos ou aritméticos. Algúns tipos habituais de cifraxe homomórfica son a parcialmente homomórfica, a de capacidade homomórfica limitada, a totalmente homomórfica por niveis e a totalmente homomórfica:
A cifraxe parcialmente homomórfica abrangue esquemas que permiten avaliar circuítos compostos por un único tipo de porta, por exemplo, de suma ou de multiplicación. Os esquemas de cifraxe de capacidade homomórfica limitada permiten avaliar un conxunto restrinxido de circuítos. A cifraxe totalmente homomórfica por niveis permite avaliar circuítos arbitrarios de profundidade limitada (predeterminada), compostos por múltiples tipos de portas. A cifraxe totalmente homomórfica (FHE, do inglés fully homomorphic encryption) permite avaliar circuítos arbitrarios de profundidade sen unha cota fixada de antemán, compostos por múltiples tipos de portas, e é a noción máis forte de cifraxe homomórfica.
Nas definicións de FHE tamén se esixe compacidade: o tamaño do resultado cifrado está acoutado independentemente do tamaño do circuíto avaliado. Nos esquemas con ruído, a profundidade multiplicativa é unha limitación práctica importante. A avaliación homomórfica permite transformar os textos cifrados de maneira relacionada coas mensaxes: é unha forma de maleabilidade, non unha garantía de integridade dos cálculos.
Un criptosistema que admite cálculos arbitrarios sobre textos cifrados coñécese como cifraxe totalmente homomórfica (FHE). Un esquema así permite construír programas que poden executarse sobre entradas cifradas para producir unha versión cifrada do resultado. Como un programa deste tipo non precisa descifrar as súas entradas, pode executalo unha parte non fiable sen ter acceso a elas en claro. Os criptosistemas totalmente homomórficos teñen importantes implicacións prácticas na externalización de cálculos privados, por exemplo, no contexto da computación na nube.
Aplicacións A cifraxe homomórfica pode permitir o tratamento de datos sensibles por terceiros. Na investigación sanitaria estudouse para realizar análises sobre información cifrada, con custos e limitacións que dependen das operacións e dos esquemas utilizados. Publicado en liña o 3 de maio de 2022. DOI de acceso libre.
En 2024 Apple describiu o seu uso en Enhanced Visual Search: o dispositivo obtén representacións vectoriais de rexións dunha imaxe e estas compáranse cun índice do servidor mediante operacións sobre datos cifrados. A descrición combina esa técnica con outros mecanismos de privacidade; non se trata de enviar todas as fotografías en claro ao servizo.
Historia O desenvolvemento da cifraxe homomórfica abrangue distintas construcións e técnicas, desde os esquemas parcialmente homomórficos ata a avaliación de circuítos xerais.
Predecesores O problema de calcular sobre datos cifrados foi formulado en 1978 por Ronald L. Rivest, Len Adleman e Michael L. Dertouzos. Durante máis de 30 anos non se coñecía unha solución xeral segura. Nese período, os resultados parciais incluíron os seguintes esquemas:
o criptosistema RSA (número ilimitado de multiplicacións modulares) o criptosistema ElGamal (número ilimitado de multiplicacións modulares) o criptosistema Goldwasser–Micali (número ilimitado de operacións de disxunción exclusiva) o criptosistema Benaloh (número ilimitado de sumas modulares) o criptosistema Paillier (número ilimitado de sumas modulares) o sistema Sander–Young–Yung (en 1999 permitiu avaliar sen interacción circuítos de NC1, de tamaño polinómico e profundidade logarítmica, cun número acoutado de entradas por porta; o tamaño do texto cifrado medra exponencialmente coa profundidade) o criptosistema Boneh–Goh–Nissim (permite sumas e un nivel de multiplicacións, seguido de novas sumas; a descifraxe eficiente require que o resultado estea nun intervalo coñecido de tamaño polinómico) o esquema Ishai–Paskin (permite avaliar programas de ramificación de tamaño polinómico; o tamaño do resultado cifrado depende da lonxitude da entrada e da lonxitude do programa, sen dependencia adicional do seu tamaño)
A construción de Gentry Craig Gentry, mediante a criptografía baseada en retículos, describiu en 2009 a primeira construción plausible dun esquema de cifraxe totalmente homomórfica. O esquema de Gentry admite tanto sumas como multiplicacións sobre textos cifrados, a partir das cales é posible construír circuítos para realizar cálculos arbitrarios. A construción parte dun esquema de cifraxe de capacidade homomórfica limitada, restrinxido á avaliación de polinomios de grao baixo sobre datos cifrados; esta limitación débese a que cada texto cifrado contén ruído en certo sentido, e ese ruído medra ao sumar e multiplicar textos cifrados, ata que pode provocar erros na descifraxe.
Gentry mostra despois como modificar lixeiramente este esquema para que admita o bootstrapping, é dicir, para que sexa capaz de avaliar o seu propio circuíto de descifraxe e, a continuación, unha porta dun conxunto universal de portas. Un esquema seguro con esta capacidade permite construír cifraxe totalmente homomórfica por niveis. Para obter unha chave pública independente da profundidade mediante a reutilización cíclica das chaves, a construción require ademais seguridade ao cifrar mensaxes dependentes da propia chave, ou seguridade KDM. No esquema «con ruído» de Gentry, o procedemento de bootstrapping «renova» o texto cifrado ao aplicarlle homomorficamente o procedemento de descifraxe, obtendo así un novo texto cifrado que cifra o mesmo valor ca antes, pero con menos ruído. Ao «renovar» periodicamente o texto cifrado cando o ruído medra demasiado, é posible continuar realizando sumas e multiplicacións sen aumentar o ruído en exceso.
Gentry baseou a seguridade da construción en hipóteses sobre problemas de retículos ideais e nunha variante decisional da suma esparsa de vectores, relacionada co problema da suma de subconxuntos e coa información auxiliar empregada para simplificar a descifraxe. A variante baseada nun ciclo de chaves require ademais a hipótese de seguridade KDM. A súa tese de doutoramento ofrece detalles adicionais. Véxanse as pp. 16–20 e 51–54. Na implementación de Gentry e Halevi dunha variante do esquema de Gentry, unha operación de bootstrapping requiría arredor de 30 minutos na configuración máis grande ensaiada, con retículos de dimensión 32768. Preprint de 2010, revisado o 4 de febreiro de 2011; tempos na táboa 3 da versión completa, pp. 26–27. Os esquemas e implementacións posteriores reduciron considerablemente estes custos, aínda que os resultados dependen dos parámetros e das operacións medidas.
En 2010, Marten van Dijk, Craig Gentry, Shai Halevi e Vinod Vaikuntanathan publicaron outro esquema de cifraxe totalmente homomórfica, Versión completa do preprint de 2009, revisada o 8 de xuño de 2010; antecedentes na sección 1.1, pp. 2–3. que emprega moitas das ferramentas da construción de Gentry, pero non require retículos ideais. En lugar diso, mostran que o compoñente de capacidade homomórfica limitada do esquema de Gentry baseado en retículos ideais pode substituírse por un esquema moi sinxelo de capacidade homomórfica limitada que utiliza enteiros. O esquema é, polo tanto, conceptualmente máis sinxelo ca o de retículos ideais de Gentry, pero ten propiedades semellantes canto ás operacións homomórficas. Van Dijk et al. sinalan a semellanza da súa técnica con propostas anteriores, entre elas o sistema de corrección criptográfica de exames de Levieil e Naccache de 2008, e o método de Bram Cohen, que o propio autor afirmou ter ideado a comezos de 1998.
O esquema de Levieil e Naccache empregaba propiedades homomórficas aditivas. Segundo van Dijk et al., nin ese traballo nin o de Cohen consideraban o homomorfismo multiplicativo, e as instanciacións concretas non admitían nin unha soa multiplicación; van Dijk et al. mostraron como adaptar esta técnica para admitir multiplicacións e obter cifraxe totalmente homomórfica. Moitas melloras e optimizacións propuxéronse nunha serie de traballos de Jean-Sébastien Coron, Tancrède Lepoint, Avradip Mandal, David Naccache, Mehdi Tibouchi e outros investigadores. Versión completa do preprint de 2011, revisada o 18 de xaneiro de 2012. Versión completa en ePrint. DOI de acceso libre. A publicación fusiona dous traballos independentes, entre eles o preprint 2013/036 de Coron, Lepoint e Tibouchi. Versión completa en ePrint. Algúns destes traballos incluíron tamén implementacións dos esquemas resultantes.
Esquemas baseados en problemas de retículas Estes criptosistemas homomórficos derivan de técnicas desenvolvidas a partir de 2011–2012 por Zvika Brakerski, Craig Gentry, Vinod Vaikuntanathan e outros. Estas innovacións levaron ao desenvolvemento de criptosistemas de capacidade homomórfica limitada e totalmente homomórficos moito máis eficientes. Entre eles están:
o esquema Brakerski–Gentry–Vaikuntanathan (BGV, presentado en 2011 e publicado en 2012),Zvika Brakerski, Craig Gentry e Vinod Vaikuntanathan. «(Leveled) fully homomorphic encryption without bootstrapping». En ITCS 2012, pp. 309–325. DOI: 10.1145/2090236.2090262. Versión completa de 2011: Fully Homomorphic Encryption without Bootstrapping. Consultado o 9 de setembro de 2026. baseado nas técnicas de Brakerski e Vaikuntanathan;Zvika Brakerski e Vinod Vaikuntanathan. Efficient Fully Homomorphic Encryption from (Standard) LWE. En 2011 IEEE 52nd Annual Symposium on Foundations of Computer Science, pp. 97–106. DOI: 10.1109/FOCS.2011.12. Versión completa en ePrint, consultada o 9 de setembro de 2026. o esquema baseado en NTRU de López-Alt, Tromer e Vaikuntanathan (LTV, 2012);Adriana López-Alt, Eran Tromer e Vinod Vaikuntanathan. On-the-Fly Multiparty Computation on the Cloud via Multikey Fully Homomorphic Encryption. En STOC 2012 (ACM), pp. 1219–1234. DOI: 10.1145/2213977.2214086. Versión ampliada 2013/094, revisada o 22 de outubro de 2014; consultada o 9 de setembro de 2026.