🔢 mathematics

Hybrid Encryption with Certified Deletion in Preprocessing Model

Questo articolo introduce e formalizza la crittografia ibrida con cancellazione certificata nel modello di pre-elaborazione (pHE-CD), proponendo due costruzioni che combinano l'incapsulamento delle chiavi a informazione teorica con meccanismi di incapsulamento dei dati per ottenere una sicurezza o totalmente a informazione teorica o computazionalmente sicura con cancellazione certificata perpetua per messaggi di lunghezza arbitraria.

Autori originali: Kunal Dey, Reihaneh Safavi-Naini

Pubblicato 2026-06-30

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Kunal Dey, Reihaneh Safavi-Naini

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di essere Alice e di avere un segreto molto delicato che vuoi inviare al tuo amico Bob. Metti il segreto in una scatola digitale (crittografia) e la spedisci a lui per posta.

Nel vecchio mondo classico, c'è un grande problema: Bob può fare una fotocopia perfetta della scatola prima che tu gli chieda di distruggerla. Anche se pretendi che elimini l'originale, potrebbe avere una copia nascosta. Se un hacker dovesse rubare la chiave di Bob in seguito, potrebbe aprire quella copia nascosta e leggere il tuo segreto. Non hai modo di dimostrare che lui abbia effettivamente eliminato i dati.

Questo articolo introduce un nuovo modo per inviare segreti utilizzando la fisica quantistica (la scienza del mondo infinitesimale) per risolvere questo problema. Si chiama "Hybrid Encryption with Certified Deletion" (Crittografia Ibrida con Cancellazione Certificata).

Ecco come funziona, suddiviso in concetti semplici:

1. La Regola Magica: Non puoi copiare i dati quantistici

L'intero sistema si basa su una regola dell'universo chiamata "No-Cloning Theorem" (Teorema di non clonazione). Nel mondo quantistico, non puoi fare una copia perfetta di un pezzo di informazione senza distruggere l'originale. È come cercare di fotocopiare una bolla di sapone; l'atto di copiare fa scoppiare la bolla.

2. Il Sistema di Serratura a Due Parti (La parte "Ibrida")

Gli autori propongono un sistema che combina due tipi di serrature per gestire messaggi di qualsiasi lunghezza (non solo un singolo bit):

Serratura A (Il Generatore di Chiavi): Questa parte utilizza un segreto condiviso in precedenza tra Alice e Bob (come un segreto rituale che hanno fatto prima). Crea una chiave temporanea, monouso. Questa parte è così forte che nemmeno un supercomputer con potenza infinita potrebbe romperla.
Serratura B (Il Contenitore dei Dati): Questa parte contiene il messaggio effettivo. Utilizza la chiave temporanea della Serratura A per sigillare il messaggio all'interno di una scatola quantistica.

3. Il Trucco della "Cancellazione Certificata"

Ecco il momento magico. Alice invia la scatola quantistica a Bob. Più tardi, Alice dice: "Voglio che tu elimini quella scatola".

La Scelta: Bob deve scegliere uno di due percorsi, ma non può farli entrambi:
1. Percorso 1 (Leggi): Usa la sua chiave per aprire la scatola e leggere il messaggio. Ma a causa della fisica quantistica, nel momento in cui legge, il "certificato di cancellazione" diventa impossibile da generare. Può leggere, ma non può provare di averlo eliminato.
2. Percorso 2 (Elimina): Esegue una specifica misurazione quantistica sulla scatola per "cancellarla". Questa azione distrugge la capacità di leggere il messaggio in seguito. Tuttavia, questa azione produce un Certificato di Cancellazione.
Il Certificato: Bob invia questo certificato ad Alice. Alice lo controlla. Se è valido, lei sa con certezza che Bob non può più leggere il messaggio, anche se conserva la chiave. I dati sono spariti per sempre.

4. Due Diversi "Sapore" di Sicurezza

L'articolo offre due versioni di questo sistema, a seconda di quanta protezione si desidera:

Versione 1 (La Cassaforte "Inviolabile"):
- Come funziona: Utilizza solo le leggi della fisica e la casualità perfetta.
- La Garanzia: Anche se un malintenzionato avesse un supercomputer capace di fare infiniti calcoli, non potrebbe rompere il codice o falsificare una cancellazione. È sicuro per sempre.
- Il Limite: Richiede molta "energia quantistica" (casualità) per ogni messaggio, in modo simile a come funziona un One-Time Pad.
Versione 2 (La Cassaforte "Eterna"):
- Come funziona: Utilizza la crittografia informatica standard (come l'algoritmo AES usato nelle tue app bancarie) mescolata con il trucco della cancellazione quantistica.
- La Garanzia:
  - Prima che Bob elimini il file: La sicurezza si basa sul fatto che gli attuali computer non possono rompere il codice (sicurezza computazionale).
  - Dopo che Bob ha eliminato il file e ottenuto un certificato valido: La sicurezza diventa inviolabile per sempre. Anche se venisse inventato un supercomputer in futuro capace di rompere tutti i codici attuali, sarà comunque impossibile recuperare i dati perché il certificato quantistico prova che i dati sono stati fisicamente distrutti.
- Il Vantaggio: Questa versione è molto più efficiente e utilizza tecnologie standard (come AES) combinate con la codifica quantistica.

Il Quadro Generale

L'articolo sostiene di aver costruito un sistema in cui:

Alice può esternalizzare i dati a Bob (come un server cloud).
Bob può leggere i dati OPPURE eliminarli e provarlo.
Se Bob li elimina, Alice ottiene la prova che i dati sono spariti.
Se Bob li elimina, nessuno (nemmeno un futuro supercomputer) potrà mai recuperare i dati, anche se rubasse le chiavi di Bob in seguito.

Gli autori sottolineano che questo non si basa su "enigmi matematici" che potrebbero essere risolti da computer futuri. Invece, si basa sulle leggi fondamentali della fisica (meccanica quantistica) e sul fatto che non si può copiare uno stato quantistico senza distruggerlo. Notano inoltre che questa tecnologia può essere costruita utilizzando gli strumenti quantistici esistenti (come quelli usati per la Distribuzione di Chiavi Quantistiche - QKD).

Sintesi Tecnica: Crittografia Ibrida con Cancellazione Certificata nel Modello di Preprocessing

Definizione del Problema

Il documento affronta la sfida fondamentale della Crittografia con Cancellazione Certificata (CD - Certified Deletion). In uno scenario standard di outsourcing, Alice cripta i dati per Bob (o un server cloud), ma la teoria dell'informazione classica dicta che i dati digitali possono essere copiati perfettamente. Di conseguenza, se la chiave di cifratura viene successivamente compromessa o se lo schema di cifratura viene violato, l'avversario può recuperare il testo in chiaro anche se il server dichiara di aver eliminato il testo cifrato.

Sebbene Broadbent e Islam (BI) abbiano proposto una soluzione a chiave simmetrica utilizzando l'informazione quantistica (specificamente la codifica di Wiesner e il teorema di non-clonazione) per ottenere una cancellazione certificata a livello di informazione teorica, il loro schema è limitato all'uso singolo e richiede una lunghezza della chiave segreta almeno pari a quella del messaggio. Gli schemi successivi di Crittografia a Chiave Pubblica con Cancellazione Certificata (PKE-CD) consentono il riutilizzo delle chiavi, ma si basano su assunti di durezza computazionale (crittografia post-quantistica), che sono vulnerabili ai futuri progressi dell'informatica. Gli autori identificano una lacuna: la necessità di una crittografia con cancellazione certificata che eviti gli assunti di durezza computazionale pur supportando lunghezze di messaggio arbitrarie e il riutilizzo delle chiavi.

Metodologia

Gli autori propongono un framework chiamato Crittografia Ibrida con Cancellazione Certificata nel Modello di Preprocessing (pHE-CD). Questo approccio sfrutta il modello di casualità correlata, in cui Alice e Bob condividono stringhe casuali correlate private (generate tramite una distribuzione pubblica $P(X, Y, Z)$ ) prima della fase di cifratura.

La metodologia si basa sulla composizione di due distinti primitivi crittografici:

Meccanismo di Incapsulamento di Chiave a Informazione Teorica (iKEM): Questo componente stabilisce una chiave segreta condivisa tra Alice e Bob utilizzando la loro casualità correlata. Fornisce sicurezza contro avversari computazionalmente illimitati senza fare affidamento su assunti di durezza.
Meccanismo di Incapsulamento di Dati con Cancellazione Certificata (DEM-CD): Questo componente cripta il messaggio effettivo utilizzando la chiave derivata dall'iKEM. Il DEM-CD è responsabile della proprietà di cancellazione certificata.

La sicurezza del sistema composto è analizzata contro due tipi di avversari:

Avversari Computazionalmente Limitati: Avversari limitati al tempo polinomiale quantistico (QPT).
Avversari Computazionalmente Illimitati: Avversari con potenza di calcolo illimitata.

Il documento definisce la Sicurezza di Cancellazione Certificata Everlasting (EV-CD), dove la riservatezza è computazionale prima della verifica di un certificato di cancellazione, ma diventa a informazione teorica una volta emesso un certificato valido.

Contributi Chiave

1. Formalizzazione di pHE-CD

Gli autori introducono e formalizzano lo schema pHE-CD, estendendo il paradigma della crittografia ibrida al modello di preprocessing con cancellazione certificata. Definiscono le appropriate nozioni di sicurezza sia per la cifratura (IND-qe-CPA) che per la cancellazione certificata (EV-qe-CD) in questo contesto.

2. Due Costruzioni

Il documento presenta due costruzioni specifiche basate sul framework pHE-CD, che offrono diversi compromessi di sicurezza:

Costruzione 1 (Completamente a Informazione Teorica):
- Componenti: Combina un iKEM a informazione teorica con un DEM-CD a sicurezza a informazione teorica (istanziato utilizzando lo schema SKE-CD a uso singolo di Broadbent-Islam).
- Proprietà: Fornisce sicurezza a informazione teorica sia per la cifratura che per la cancellazione certificata.
- Limitazioni: Richiede una chiave fresca per ogni cifratura (simile all'OTP) e non supporta il riutilizzo delle chiavi nel senso tradizionale, sebbene supporti messaggi arbitrariamente lunghi direttamente senza ripetizione bit per bit.
Costruzione 2 (Cifratura Computazionale, Cancellazione Everlasting):
- Componenti: Combina un iKEM a informazione teorica con un DEM computazionalmente sicuro (utilizzando primitivi simmetrici come AES) adattato per la cancellazione certificata.
- Proprietà:
  - Cifratura: Fornisce sicurezza computazionale (quantum-resistant) contro avversari QPT.
  - Cancellazione Certificata: Fornisce sicurezza everlasting. Prima della verifica del certificato, la sicurezza è computazionale; dopo la verifica con successo, la sicurezza diventa a informazione teorica, garantendo che anche un avversario illimitato in possesso della chiave di decifrazione non possa apprendere il testo in chiaro.
- Efficienza: Questa costruzione è efficiente rispetto alla chiave, utilizzando una chiave di lunghezza costante. Supporta messaggi arbitrariamente lunghi criptando ogni bit indipendentemente e concatenando i testi cifrati.

3. Prove di Sicurezza

Gli autori forniscono rigorosi teoremi di composizione che dimostrano che la sicurezza dello schema pHE-CD si riduce alla sicurezza dei suoi componenti:

Sicurezza della Cifratura: Se l'iKEM è sicuro IND-qe-CEA e il DEM-CD è IND-OT sicuro, il pHE-CD risultante è IND-qe-CPA sicuro.
Sicurezza della Cancellazione: Se l'iKEM è sicuro IND-qe-CEA e il DEM-CD è EV-CD sicuro a uso singolo, il pHE-CD risultante è EV-qe-CD sicuro.
Le prove utilizzano un argomento di gioco ibrido (hybrid-game), dimostrando che qualsiasi avversario che violi il pHE-CD può essere trasformato in un avversario che viola l'iKEM o il DEM-CD.

Risultati

Fattibilità: Il documento dimostra che la crittografia ibrida con cancellazione certificata è realizzabile nel modello di preprocessing senza fare affidamento su assunti di durezza computazionale non provati.
Garanzie di Sicurezza:
- La Costruzione 1 raggiunge la sicurezza incondizionata (a informazione teorica) sia per la cifratura che per la cancellazione.
- La Costruzione 2 raggiunge la sicurezza computazionale per la cifratura e la sicurezza everlasting per la cancellazione. Ciò significa che, una volta verificato un certificato di cancellazione valido, i dati sono rimosse a livello di informazione teorica dalla vista dell'avversario, anche se l'avversario ottiene successivamente la chiave di decifrazione.
Implementazione: Le costruzioni utilizzano la codifica coniugata di Wiesner, che è strettamente correlata al protocollo QKD BB84 e può essere implementata con l'attuale tecnologia quantistica.
Scalabilità: Entrambi gli schemi supportano la cifratura di messaggi arbitrariamente lunghi.

Significato e Rivendicazioni

Gli autori affermano che il loro lavoro sostituisce la dipendenza dagli assunti di durezza computazionale presenti negli esistenti schemi PKE-CD con i principi fondamentali della teoria dell'informazione quantistica. Utilizzando il modello di preprocessing e la casualità correlata, ottengono:

Robustezza contro i progressi futuri: La sicurezza non dipende dalla difficoltà di problemi matematici (come la fattorizzazione o i problemi basati su reticoli) che potrebbero essere violati da algoritmi futuri o computer quantistici.
Confidenzialità Everlasting: Specificamente per la Costruzione 2, il documento evidenzia la proprietà unica in cui la riservatezza transita da computazionale a informazione teorica dopo la verifica della cancellazione. Ciò assicura che, anche se lo schema di cifratura venisse violato in futuro, i dati che sono stati verificabilmente eliminati rimangano sicuri.
Praticità: L'uso della codifica di Wiesner suggerisce che questi schemi siano implementabili con la tecnologia quantistica odierna, a differenza di alcune proposte teoriche di crittografia quantistica.

Il documento conclude notando che, sebbene il componente iKEM dipenda dalla casualità correlata (che può essere derivata dalla QKD), estendere la sicurezza dei qKEM ad avversari con accesso all'oracolo di incapsulamento rimane una direzione per il lavoro futuro. Gli autori non pretendono di aver risolto tutti i problemi aperti nella crittografia quantistica, ma hanno fornito un framework formale e costruzioni concrete che fanno avanzare lo stato dell'arte della cancellazione certificata senza assunti computazionali.