Vitalik analisa o protocolo de ofuscação criptográfica Diamond iO, “degradando” a complexidade da ocultação do código

O cofundador da Ethereum, Vitalik Buterin, publicou em 28 de julho, no seu blogue oficial, a segunda parte da série de artigos sobre a confusão criptográfica, explicando a arquitetura do protocolo “Diamond iO”. Em comparação com o tempo de computação “ao nível de galáxia” exigido pelos protocolos iO mais comuns, o Diamond iO conseguiu reduzir a complexidade para “ao nível planetário”. Vitalik considera que, bastando algumas otimizações-chave, certos casos de uso específicos poderão atingir adoção comercial.

Revolução na arquitetura do Diamond iO: capacidade “ao nível planetário”

（來源：Vitalik.eth）

As tecnologias tradicionais de iO normalmente executam operações de cifragem totalmente homomórfica (FHE) no interior da cifragem por atributos com cifragem de base (ABE) e, em seguida, através de sucessivas “torres” de protocolos empilhados, garantem que os avaliadores só conseguem descodificar após uma execução correta. Esta arquitetura acarreta uma carga computacional devastadora. O Diamond iO resolve este problema com duas alterações centrais ao esquema BGG+14 ABE: introduz um novo mecanismo de descodificação condicional em FHE e um novo mecanismo de geração de codificação de entrada, reduzindo de forma significativa a intensidade global de computação para algo aproximadamente equivalente a cifragem de funções (FE).

No processo de funcionamento, o avaliador obtém os auxiliares, a cifragem FHE da entrada oculta z, os bits de entrada pública x e a chave de descodificação FHE de baixa dimensão s; o protocolo usa de forma inteligente o “operador de deslocamento à esquerda por baldes (Bucket-wise left shift)” para ajustar os pesos dos bits e evitar a explosão de erros. Por fim, extrai o resultado através de uma “portinha/armadilha (Trapdoor)”; esta portinha só liberta o resultado se a execução do formato do circuito estiver correta.

Pressupostos de segurança: Evasive LWE e All-product LWE que evitam ataques de “zerar”

A parte mais controversa, mas também mais inovadora, do Diamond iO é o mecanismo de geração da codificação de entrada, baseado em dois pressupostos criptográficos mais recentes: o Evasive LWE proposto por Wee22 e o All-product LWE exclusivo do Diamond iO. Estes pressupostos impedem eficazmente que o avaliador, através de subtrações e mecanismos semelhantes, consiga extrair segredos, evitando os “ataques de zerar (Zeroizing attacks)” que já tinham derrubado repetidamente protocolos de ofuscação iniciais.

Em termos de segurança, o protocolo recorre à técnica “PROM bootstrap”: faz com que a entrada oculta z inclua segredos reais e uma chave aleatória PRF, calcula uma nova função com um desvio e, em seguida, trata com XOR hashing, convertendo com sucesso a ofuscação de funções pseudorrandómicas numa ofuscação compatível com o protocolo iO genérico.

Vitalik admite que estes pressupostos são relativamente recentes e comportam algum risco; no futuro, ainda será necessário que a comunidade de criptografia invista mais esforços em análise e verificação de segurança.

Direções futuras de otimização: PRF mais eficiente, protocolos FHE avançados e otimização com integração STARK

O Diamond iO enfrenta atualmente vários gargalos de desempenho, incluindo: o custo de avaliação BGG+ (o produto entre ABE e FHE), uma dependência profunda do uso interno de PRF do comprimento da entrada numa árvore Goldreich PRG, a necessidade de tolerar apenas circuitos de baixa profundidade para evitar acumulação de erros e o requisito de usar parâmetros de segurança subexponenciais grandes. As direções de otimização futuras propostas por Vitalik são as seguintes:

· Usar um PRF mais eficiente em substituição da árvore Goldreich

· Migrar para um protocolo FHE mais avançado (como BGV/CKKS ou packed GSW)

· Combinar ainda mais as camadas de ABE e FHE para reduzir o custo

· Otimizações específicas para o “programa iO completo” que se integra com provas STARK

No final do artigo, Vitalik afirma que o maior valor do Diamond iO reside no facto de a sua estrutura ser relativamente simples e fácil de analisar; os programadores não precisam dominar todos os construtos complexos dos últimos 20 anos para compreender o núcleo. Ele espera que este artigo atraia mais investigadores para se dedicarem à análise de segurança e às otimizações de desempenho.

Perguntas frequentes

O que representa, de forma concreta, a complexidade “ao nível planetário” do Diamond iO?

No artigo, Vitalik descreve o tempo de computação exigido pelos protocolos iO tradicionais como “ao nível de galáxia (Galactic)”, significando uma quantidade de computação mais longa do que a vida do Universo; o Diamond iO consegue reduzir a complexidade para “ao nível planetário (Planetary)”. Embora ainda seja inviável com as condições de hardware atuais, encurta de forma significativa a distância entre a teoria e a prática. Vitalik considera que, após algumas otimizações-chave, certos casos de uso específicos poderão atingir adoção comercial.

Em que dois novos pressupostos criptográficos assenta o Diamond iO e que problemas resolvem?

O Diamond iO depende do Evasive LWE (proposto por Wee22) e do All-product LWE (exclusivo do Diamond iO). Estes pressupostos impedem eficazmente que o avaliador, através de subtrações e métodos semelhantes, consiga extrair segredos, evitando os “ataques de zerar (Zeroizing attacks)” que anteriormente tinham derrubado repetidamente protocolos de ofuscação iniciais; Vitalik afirma que estes pressupostos são relativamente recentes e que, no futuro, será necessário que a comunidade de criptografia faça mais análise de segurança.

Quais são, neste momento, os principais gargalos de desempenho do Diamond iO?

Os principais gargalos incluem: o custo de avaliação BGG+ (o produto entre ABE e FHE), o uso interno de PRF que depende de forma profunda do comprimento da entrada numa árvore Goldreich PRG, a necessidade de tolerar apenas circuitos de baixa profundidade para impedir a explosão de erros e a exigência de utilizar parâmetros de segurança subexponenciais grandes; as direções de melhoria sugeridas por Vitalik incluem PRF mais eficiente, protocolos FHE avançados (como BGV/CKKS) e a combinação das camadas de ABE e FHE.