Det er ikke noe som heter fullstendig homomorf dekryptering. Hver gang du ser et system som bruker FHE til å beregne sensitive data, husk: noen har nøkkelen. Hvis det ikke er deg, stoler du på dem?

Gitt Enc(data), lar FHE deg beregne Enc(f(data)) for alle f. Men noen må dekryptere resultatet! Det er to scenarier a) Dataene dine, nøkkelen din, du har nettopp outsourcet beregninger. Trygt, men sjelden verdt FHE-overhead. b) Det er flere personers hemmelige data, så hvem får nøkkelen?

Scenario B er der vi ser foreslåtte protokoller IRL: darkpools, private anti-hvitvaskingssystemer, etc. Ingen person er klarert til å holde nøkkelen, det er en komité for terskeldekryptering. Men sikkerheten til hele løsningen avhenger av komiteen, ikke bare "kryptering"!

For å være tydelig, er det legitime brukstilfeller for dette, og noen veldig imponerende undersøkelser. MEN, diskusjonen rundt sikkerhet for dem burde være "ok, hvor er nøkkelen?"

Siden dette virker oversett: poenget er at en FHE-protokoll som involverer flere parter har de samme sikkerhetsforutsetningene og avveiningene som en MPC-protokoll. Hvem har nøkler/aksjer, og bør de stole på at de ikke samarbeider? For MPC er dette godt forstått, men for FH er det ikke det.

Siden dette virker oversett: poenget er at en FHE-protokoll som involverer flere parter har de samme sikkerhetsforutsetningene og avveiningene som en MPC-protokoll. Hvem har nøkler/aksjer, og bør de stole på at de ikke samarbeider? For MPC er dette godt forstått, men for FHE er det ikke det.

Når du aksepterer at FHE grunnleggende avhenger av en ikke-samarbeid/ikke-kompromiss-antagelse for terskeldekryptering, er det en svært beskjeden sikkerhetsfordel i forhold til MPC: Nøkkelholdere er mindre eksponert enn i MPC. De dekrypterer bare, de beregner ikke funksjonen.

Baksiden er at de fleste FHE ikke gir deg integritet, så for å legge til det trenger du f.eks. Så fullstendig uberørt for personvern og integritet FHE-evaluering er enda dyrere.