Співзасновник Ethereum Віталік Бутерін 28 липня опублікував у своєму офіційному блозі другу статтю серії про криптографічну обфускацію, де розбирає архітектуру протоколу «Diamond iO». Порівняно з «галактичним» часом обчислень, який зазвичай потрібен для iO-протоколів, Diamond iO вдалося знизити складність до «планетарного» рівня. Віталік вважає, що достатньо кількох ключових оптимізацій, а для деяких конкретних сценаріїв використання є шанс реалізувати комерційне впровадження.
Прорив в архітектурі Diamond iO: обчислювальна інтенсивність на «планетарному» рівні
(Джерело: Vitalik.eth)
Традиційні iO-технології зазвичай виконують гомоморфне шифрування (FHE) в межах атрибутного шифрування з політиками (ABE), а потім через багатошарові, нашаровані «вежі» протоколів гарантують, що оцінювач зможе розшифрувати лише після коректного виконання. Така архітектура створює нищівне навантаження на обчислення. Diamond iO розв’язує цю проблему завдяки двом ключовим змінам у схемі BGG+14 ABE: запровадженню нового механізму умовного розшифрування FHE та нового механізму генерації кодувань для входів, що загалом суттєво знижує інтенсивність обчислень — приблизно до рівня функціонального шифрування (FE).
У робочому процесі оцінювач отримує допоміжні елементи, FHE-шифрування прихованого входу z, відкриті вхідні біти x та ключ(і) розшифрування FHE для входів із низьким діапазоном, що позначається s; протокол хитро використовує «оператор лівого зсуву за відрами» (Bucket-wise left shift), щоб масштабувати ваги бітів і уникнути вибуху похибки, а завершальний результат витягується через «trapdoor» (трапд о р): цей trapdoor відкриває доступ лише до операцій, що відповідають коректній формі обчислювальної схеми.
Міркування безпеки: Evasive LWE та All-product LWE для блокування атак, що «зводять усе нанівець»
Найспірніша, але й найбільш інноваційна частина Diamond iO — це механізм генерації кодувань для входів: він спирається на два відносно нові криптографічні припущення — Evasive LWE, запропоноване Wee22, та All-product LWE, притаманне саме Diamond iO. Ці припущення ефективно запобігають витоку секретів оцінювачем через операції на кшталт віднімання, обходячи «атаки, що зводять усе нанівець» (Zeroizing attacks), які раніше неодноразово добивали ранні обфускаційні протоколи.
У частині безпеки протокол використовує техніку «PROM bootstrap»: змусити прихований вхід z містити справжній секрет і випадковий ключ PRF, а потім обчислити нову функцію з зсувом і обробити її через XOR-хешування. Це успішно перетворює обфускацію псевдовипадкової функції на універсальний iO-протокол.
Віталік визнає, що ці припущення відносно нові та несуть певні ризики; у майбутньому криптографічній спільноті ще доведеться докласти більше зусиль для безпекового аналізу й верифікації.
Напрями майбутніх оптимізацій: ефективніший PRF, вдосконалені FHE-протоколи та оптимізації для інтеграції зі STARK
Diamond iO має поточні вузькі місця продуктивності, зокрема: витрати на оцінювання BGG+ (добуток ABE і FHE), внутрішнє використання PRF із глибокою залежністю від довжини входу через дерево Goldreich PRG, можливість працювати лише з низькоглибинними схемами, щоб запобігти накопиченню похибок, а також необхідність використовувати великі субекспоненційні параметри безпеки. Запропоновані Віталіком напрями оптимізації такі:
· Використання ефективнішого PRF замість дерева Goldreich
· Заміна на більш передові FHE-протоколи (наприклад, BGV/CKKS або packed GSW)
· Подальше поєднання рівнів ABE та FHE для зменшення витрат
· Спеціальні точкові оптимізації для «повної програми iO», що поєднується з доведеннями STARK
Наприкінці статті Віталік зазначає, що найбільша цінність Diamond iO полягає в тому, що його структура відносно проста й легка для аналізу: розробникам не потрібно досконало розбиратися у всіх складних конструкціях за останні 20 років, щоб зрозуміти ядро. Він сподівається, що ця стаття зацікавить більше дослідників і стимулює їх вклад у безпековий аналіз та оптимізацію продуктивності.
Поширені запитання
Що саме означає «планетарна» складність у Diamond iO?
У статті Віталік описує традиційні iO-протоколи як такі, що вимагають обчислювальний час на рівні «галактичного» (Galactic) класу, маючи на увазі обсяг обчислень, який триває довше за життя Всесвіту; Diamond iO успішно знижує складність до «планетарного» (Planetary) рівня. Хоча за умов сучасного апаратного забезпечення це все ще неможливо, це суттєво скорочує дистанцію від теорії до практичного застосування. Віталік вважає, що після кількох ключових оптимізацій для деяких конкретних сценаріїв використання з’являється можливість комерційного впровадження.
На яких двох нових криптографічних припущеннях базується Diamond iO і яке завдання вони вирішують?
Diamond iO спирається на Evasive LWE (запропоноване Wee22) та All-product LWE (унікальне для Diamond iO). Ці припущення ефективно запобігають витоку секретів оцінювачем через дії на кшталт віднімання, обходячи «атаки, що зводять усе нанівець» (Zeroizing attacks), які раніше неодноразово руйнували ранні обфускаційні протоколи. Віталік зазначає, що ці припущення відносно нові, тож у майбутньому потрібен додатковий безпековий аналіз з боку криптографічної спільноти.
Які основні вузькі місця продуктивності має Diamond iO на сьогодні?
Основні вузькі місця включають: витрати на оцінювання BGG+ (добуток ABE та FHE), внутрішнє використання PRF із глибокою залежністю від довжини входу через дерево Goldreich PRG, необхідність працювати лише з низькоглибинними схемами, щоб уникнути вибуху похибки, а також потребу використовувати великі субекспоненційні параметри безпеки; напрями вдосконалення, запропоновані Віталіком, включають більш ефективний PRF, просунуті FHE-протоколи (наприклад, BGV/CKKS) та об’єднання рівнів ABE і FHE.
