Stellen Sie sich eine Welt vor, in der Sie einen Fremden bitten können, Mathematik für Sie zu betreiben, aber Sie müssen ihm Ihre geheimen Zahlen niemals zeigen. Sie sperren Ihre Daten in eine magische, unzerstörbare Box, übergeben sie und der Fremde führt Berechnungen auf der Box selbst durch. Wenn er sie Ihnen zurückgibt, entsperren Sie sie und finden das Ergebnis vor, während der Fremde nie eine einzige Ziffer Ihrer ursprünglichen Daten gesehen hat. Dies ist das Versprechen der homomorphen Verschlüsselung (HE), einer Superkraft der modernen Kryptographie, die es uns ermöglicht, auf verschlüsselten Daten zu rechnen, ohne sie jemals entschlüsseln zu müssen. Es ist, als würde man einen versiegelten Brief an ein Postamt schicken, das den Brief sortieren, stempeln und weiterleiten kann, ohne den Umschlag zu öffnen, um die Adresse zu lesen.

Aber hier ist der Haken: Sobald dieser Brief Ihre Hände verlässt, wem gehört die Arbeit im Inneren? Wenn ein Unternehmen Ihre verschlüsselten Daten verwendet, um ein Modell zu trainieren oder einen medizinischen Scan zu verarbeiten, ist das Endergebnis ein neues, wertvolles digitales Asset. Wie beweisen Sie, dass Ihre Daten verwendet wurden, oder dass ihr spezifischer Algorithmus die Arbeit verrichtet hat? In der digitalen Welt setzen wir normalerweise ein Wasserzeichen auf Fotos oder Lieder, um Eigentum zu beweisen. Aber man kann nicht einfach ein Wasserzeichen auf eine verschlossene Box malen; wenn man die Oberfläche zerkratzt, könnte man die Magie brechen und die Box lässt sich nicht mehr öffnen. Zudem, wenn die Box mehrmals herumgereicht und verarbeitet wird, könnte ein einfacher Kratzer vollständig gelöscht werden. Wissenschaftler versuchen schon lange herauszufinden, wie man eine geheime „Signatur“ in diesen magischen Boxen verbirgt, die die Reise und die Mathematik übersteht, ohne das Schloss zu brechen.

Dieses Papier mit dem Titel „How to Watermark the RLWE Homomorphic Ciphertexts“ befasst sich genau mit diesem Rätsel. Die Autoren, angeführt von Yufei Zhou, schlagen einen Weg vor, winzige, unsichtbare „Wasserzeichen“ in das mathematische Rauschen dieser verschlüsselten Boxen einzubetten. Sie schlagen nicht nur eine vage Idee vor; sie entwickeln zwei spezifische, funktionierende Methoden und beweisen mathematisch, dass sie funktionieren. Stellen Sie sich das vor wie das Verbergen einer geheimen Nachricht im statischen Rauschen eines Radiosignals. Die Nachricht ist da, aber für den flüchtigen Zuhörer klingt sie nur wie Rauschen. Die Autoren zeigen, dass selbst nachdem das Signal verstärkt, mit anderen Signalen gemischt oder durch einen verrauschten Filter geschickt wurde, diese geheime Nachricht von jemandem, der über den richtigen Decoder verfügt, noch gefunden werden kann.

Das Papier stellt zwei unterschiedliche Werkzeuge für diese Aufgabe vor, die jeweils für eine andere Art von mathematischem Problem entwickelt wurden. Das erste Werkzeug, genannt ARWMark, ist wie ein robuster, flexibler Aufkleber. Es eignet sich hervorragend, wenn Dinge zu addiert werden (wie das Aufsummieren verschlüsselter Zahlen), aber wenn man versucht, die verschlüsselten Boxen zu multiplizieren, wird der Aufkleber in Fetzen gerissen. Das zweite Werkzeug, MRWMark, ist eher wie ein komplexes, ineinandergreifendes Puzzleteil. Es ist viel widerstandsfähiger; es kann sowohl Addition als auch Multiplikation verschlüsselter Daten überstehen. Es ist jedoch schwieriger anzuwenden und benötigt viel mehr „Raum“ im Rauschen, um die Nachricht zu verbergen. Die Autoren haben dies nicht nur geträumt; sie haben Code geschrieben, tausende von Simulationen auf leistungsstarken Computern durchgeführt und gezeigt, dass ihre Wasserzeichen auch dann noch verborgen und detektierbar bleiben, wenn die verschlüsselten Daten durch komplexe Berechnungen gejagt werden.

Die Magie der „verschlossenen Box“

Um zu verstehen, wie dies funktioniert, schauen wir uns die Zutaten an. Das Papier stützt sich auf eine Art der Verschlüsselung namens RLWE (Ring Learning with Errors). Stellen Sie sich vor, Sie haben ein geheimes Rezept (Ihre Daten) und möchten einen Kuchen (ein Ergebnis berechnen) in der Küche eines Fremden backen. Um das Rezept sicher zu halten, geben Sie ihm nicht die Zutaten; Sie geben ihm einen Sack Mehl, in dem sich eine winzige, unsichtbare Menge Sand befindet. Der Fremde backt den Kuchen unter Verwendung dieses „verrauschten“ Mehls. Wenn er Ihnen den Kuchen übergibt, wissen Sie genau, wie viel Sand im Mehl war, sodass Sie diesen subtrahieren können, um den perfekten Kuchen zu erhalten. Der „Sand“ ist das Rauschen. In der realen Welt ist dieses Rauschen eine mathematische Notwendigkeit, die die Verschlüsselung sicher hält; ohne es könnte das geheime Rezept erraten werden.

Das Problem ist, dass dieses Rauschen auch der perfekte Versteckort für ein Wasserzeichen ist. Die Autoren erkannten, dass sie, wenn sie ein winziges, spezifisches Muster von „Sand“ in das Rauschen verstecken könnten, beweisen könnten, dass eine bestimmte Box ihnen gehört. Aber es gibt ein Risiko: Wenn sie zu viel Sand hineingeben, könnte der Kuchen zerbröckeln (die Entschlüsselung schlägt fehl). Wenn sie zu wenig hineingeben, findet der Fremde das Muster später vielleicht nicht. Und wenn der Fremde zwei Säcke Mehl zusammenmischt (homomorphe Addition) oder sie multipliziert (homomorphe Multiplikation), könnten die Sandmuster durcheinandergebracht oder weggewaschen werden.

Die zwei Lösungen: Der Aufkleber und das Puzzle

Die Autoren schlagen zwei Wege vor, abhängig davon, welche Art von Mathematik der „Fremde“ leisten muss.

1. ARWMark: Der „additionsresistente“ Aufkleber
Diese Methode ist für Situationen konzipiert, in denen die verschlüsselten Daten hauptsächlich addiert werden, wie etwa beim Zusammenzählen von Stimmen oder medizinischen Statistiken. Die Autoren behandeln das Wasserzeichen wie ein geheimes Signal, das im Rauschen verborgen ist. Sie wählen einen zufälligen „Schlüssel“ (ein spezifisches Sandmuster) und fügen dem Rauschen in der Box ein klein wenig davon hinzu.

• Wie es funktioniert: Stellen Sie sich vor, Sie haben einen Sack Mehl mit zufälligem Sand. Sie fügen ihm eine winzige, spezifische Menge „blauen Sand“ hinzu. Wenn Sie prüfen wollen, ob der Sack Ihnen gehört, suchen Sie nach dem blauen Sand.
• Der Haken: Dies funktioniert großartig, wenn Sie einfach mehr Säcke Mehl zusammenfügen. Der blaue Sand wird dadurch nur etwas verdünnt, aber er ist immer noch da. Wenn man jedoch versucht, die Säcke zu multiplizieren (eine viel komplexere Operation), wird der blaue Sand so gründlich vermischt, dass das Muster verschwindet. Das Papier beweist mathematisch, dass diese Methode gegen Addition robust ist, aber gegen Multiplikation versagt.
• Das Ergebnis: Sie zeigten, dass das „blaue Sand“-Muster selbst nach dem Addieren vieler verschlüsselter Zahlen mit hoher Genauigkeit noch erkannt werden konnte, vorausgesetzt, die ursprüngliche Menge an blauem Sand war stark genug.

2. MRWMark: Das „multiplikationsresistente“ Puzzle
Dies ist der Schwergewichtsträger. Er ist für Szenarien konzipiert, in denen die Daten multipliziert werden, wie etwa beim Ausführen eines komplexen KI-Modells oder einer Deep-Learning-Inferenz. Dies ist viel schwieriger, da die Multiplikation das Rauschen auf chaotische Weise durcheinanderbringt.

• Wie es funktioniert: Anstatt nur ein Muster hinzuzufügen, nutzen die Autoren einen cleveren Trick unter Verwendung eines „linearen Gleichungssystems“. Stellen Sie sich vor, Sie haben einen Satz Regeln (wie ein Rätsel), die nur ein bestimmter Satz von Zahlen lösen kann. Sie verstecken einen Satz von Zahlen im Rauschen, der dieses Rätsel löst.
• Die Magie: Wenn Sie die verschlüsselten Boxen multiplizieren, bewahrt die Mathematik der Multiplikation tatsächlich die Lösung des Rätsels. Es ist, als hätten Sie ein Puzzle, bei dem die Teile zusammenpassen, und selbst wenn Sie die Box schütteln, passen die Teile immer noch auf die gleiche Weise zusammen.
• Der Haken: Da die Multiplikation so viel Chaos erzeugt, benötigt diese Methode viel mehr „Raum“ (Embedding Intensity), um die Nachricht zu verbergen. Das Papier stellt fest, dass die Menge an Rauschen, die erforderlich ist, um dies zu ermöglichen, riesig ist – manchmal sind Embedding Intensities in die Millionen erforderlich –, um sicherzustellen, dass die Nachricht nicht im mathematischen Sturm verloren geht.
• Das Ergebnis: Sie haben demonstriert, dass diese Methode sowohl Addition als auch Multiplikation überstehen kann, aber es ist ein „Zero-Bit“-System (es beweist nur, dass ein Wasserzeichen existiert, es überträgt keine lange Nachricht) und erfordert viele Ressourcen, um zuverlässig zu sein.

Was die Zahlen sagen

Die Autoren haben nicht nur geraten; sie haben diese Ideen streng getestet. Sie bauten eine Simulation mit Python auf einem leistungsstarken Computer mit einer Intel Xeon Gold CPU und 502 GB RAM. Sie stellten die Verschlüsselungsparameter ein, um ein Standard-128-Bit-Sicherheitsniveau zu erfüllen, unter Verwendung einer Polynomgröße ($N$) von 2048 und eines Plaintext-Modulus ($p$) von 65537.

Für ARWMark fanden sie, dass sie mit einer moderaten Embedding Intensity ($I_w$) von 7 das Wasserzeichen in der Secret-Key-Verschlüsselung klar unterscheiden konnten. Für die Public-Key-Verschlüsselung (die verrauschter ist) mussten sie diese Intensität jedoch auf 100 hochdrehen, um das gleiche klare Signal zu erhalten. Sie testeten, was passiert, wenn man zufälliges Rauschen hinzufügt (um einen Angreifer zu simulieren, der versucht, das Wasserzeichen zu löschen). Sie fanden heraus, dass das Wasserzeichen überlebte, solange das Rauschen nicht zu massiv war. Aber wenn der Angreifer genug Rauschen hinzufügte, konnte das Wasserzeichen verloren gehen, es sei denn, die ursprüngliche Einbettung wurde stärker gemacht.

Für MRWMark standen höhere Einsätze auf dem Spiel. Sie fanden heraus, dass das Wasserzeichen bei einer geringen Embedding Intensity oft im Rauschen verloren ging. Aber als sie die Intensität auf 34 erhöhten, sprang die Erfolgsrate beim Finden des Wasserzeichens auf fast 100 %. Als sie die Multiplikation testeten, schossen die Anforderungen in die Höhe. Um eine einzige Multiplikationsoperation ohne ein „Resize“ (einen spezifischen Rauschreduktionsschritt) zu überstehen, benötigten sie eine Intensität von mindestens 782.327. Wenn sie eine Resize-Operation hinzufügten, stieg diese Zahl auf fast 96 Millionen. Diese Zahlen zeigen, dass die Methode zwar funktioniert, aber mit hohen Kosten in Bezug auf die „Größe“ des Wasserzeichens verbunden ist.

Das Fazit

Dieses Papier beweist, dass wir tatsächlich in der Lage sind, Wasserzeichen in diese magischen verschlüsselten Boxen einzubetten. Es ist ein bedeutender Schritt nach vorn, weil es über das bloße „Können wir rechnen?“ hinausgeht und zu der Frage gelangt: „Können wir die Ergebnisse dieser Berechnung verfolgen und schützen?“

Die Autoren weisen vorsichtig auf die Grenzen hin. Ihr „Aufkleber“ (ARWMark) ist gut für einfache Addition, bricht aber unter Multiplikation zusammen. Ihr „Puzzle“ (MRWMark) kann die Multiplikation handhaben, ist aber teuer und schwer zu verwenden. Sie behaupten nicht, das Problem für jedes mögliche Szenario gelöst zu haben, aber sie haben ein solides Fundament und zwei funktionierende Prototypen geliefert.

In Zukunft hoffen die Autoren, das Beste aus beiden Welten zu kombinieren – ein Wasserzeichen zu schaffen, das sowohl klein als auch robust genug ist, um jede mathematische Operation zu überstehen. Bis dahin bietet ihre Arbeit eine neue Ebene der Sicherheit für die privatsphäre-wahrende Welt und stellt sicher, dass wir, wenn wir unsere Geheimnisse in die Cloud geben, immer noch beweisen können, wer die Arbeit verrichtet hat und wem das Ergebnis gehört. Es ist eine kleine, unsichtbare Signatur in einem Meer aus Rauschen, aber für das digitale Zeitalter könnte diese Signatur der Unterschied zwischen Vertrauen und Chaos sein.