⚡ electrical engineering

Secure Two-Party Matrix Multiplication from Lattices and Its Application to Encrypted Control

Questo studio propone un protocollo di calcolo sicuro a due parti per la moltiplicazione approssimata di matrici basato su reticoli, che garantisce la privacy dei dati e riduce la complessità computazionale online, dimostrando la sua efficacia nell'implementazione di leggi di controllo lineare crittografate.

Autori originali: Kaoru Teranishi

Pubblicato 2026-03-25

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Kaoru Teranishi

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere un ricercino segreto (un algoritmo di controllo) che ti dice come guidare un'auto robotica. Questo ricciolino è molto intelligente, ma è anche il tuo segreto più prezioso: non vuoi che nessuno sappia come funziona, né quali dati gli stai inviando (come la posizione dell'auto o la velocità).

Il problema è che per far funzionare questo ricciolino, devi fare dei calcoli complessi (moltiplicazioni di matrici). Se lo fai da solo, è faticoso. Se lo affidi a un computer "estraneo" (un cloud), rischi che lui ti rubi i segreti.

Questa ricerca di Kaoru Teranishi propone una soluzione magica: un gioco di squadra a due giocatori che permette di fare questi calcoli complessi senza che nessuno dei due giocatori sappia davvero cosa stanno calcolando, e tutto questo in un solo istante (una sola "mano" di comunicazione).

Ecco come funziona, spiegato con analogie semplici:

1. Il Problema: Il "Foglio di Calcolo" Invisibile

Immagina di dover moltiplicare due fogli di calcolo enormi (le matrici).

Tu (il Cliente) hai i dati (dove è l'auto) e la formula segreta (come guidarla).
Due Assistenti (i Server) sono disposti a fare i calcoli per te, ma non puoi fidarti di loro. Se gli dai i fogli così come sono, leggeranno i tuoi segreti.
La soluzione vecchia: Usare la crittografia "magica" (omomorfica) era come chiedere agli assistenti di fare i calcoli mentre indossavano occhiali da sole spessi e guanti pesanti. Funzionava, ma era lentissimo e faticoso per te che dovevi toglierti e rimetterti gli occhiali ogni volta.

2. La Soluzione: Il Gioco dei "Pezzi di Puzzle"

L'autore propone un nuovo metodo basato su due concetti matematici avanzati (chiamati LWE e SIS, che puoi immaginare come lucchetti matematici e scatole blindate).

Ecco il trucco in tre fasi:

Fase 1: Spezzare i segreti (Offline)
Prima ancora di iniziare il gioco, tu prendi la tua formula segreta (la matrice K) e la "sbricioli" in due pezzi casuali. Dai un pezzo all'Assistente A e uno all'Assistente B.
- Analogia: È come se avessi una ricetta segreta scritta su un foglio. Lo strappi a metà, ma in modo che nessuna delle due metà abbia senso da sola. Nessuno dei due assistenti può capire la ricetta guardando solo il loro pezzo.
Fase 2: Il calcolo in un solo colpo (Online)
Quando arriva il momento di guidare l'auto (il dato di input), tu fai la stessa cosa: strappi i dati in due pezzi e li dai agli assistenti.
Qui arriva la magia: invece di dover parlare tra loro per 10 volte per combinare i pezzi (come facevano i metodi vecchi), gli assistenti usano i loro "lucchetti matematici" per combinare i pezzi che hanno in un solo movimento.
- L'analogia: Immagina che gli assistenti abbiano due scatole magiche. Tu metti i pezzi dentro. Loro mescolano le scatole una volta sola e ti ridanno un risultato che sembra un foglio di calcolo confuso, ma che in realtà contiene la risposta corretta.
Fase 3: La ricomposizione
Tu ricevi i due pezzi di risultato dagli assistenti. Li metti insieme e... puf! La ricetta è ricomposta e hai il comando per l'auto.
- Il vantaggio: Tu hai fatto pochissimo lavoro (solo strappare e ricomporre i fogli). Gli assistenti hanno fatto il lavoro pesante, ma non hanno mai visto la ricetta intera né i dati originali.

3. Perché è importante? (Il controllo preciso)

C'è un piccolo dettaglio: per fare questo trucco, i numeri devono essere un po' approssimati (come arrotondare i centesimi).
L'autore ha dimostrato matematicamente che, scegliendo i numeri giusti, questa "approssimazione" è così piccola che l'auto robotica non se ne accorge nemmeno. Continua a guidare perfettamente, anche se i calcoli sono stati fatti in modo "segreto".

In sintesi

Questa ricerca ci dice che:

Sicurezza: Puoi delegare calcoli complessi a computer non fidati senza rivelare i tuoi segreti (dati o algoritmi).
Velocità: Non serve un'intera giornata di chiacchiere tra i computer. Basta un solo scambio di messaggi.
Efficienza: Il tuo computer (il cliente) fa meno fatica di prima, perché non deve fare i calcoli pesanti da solo.

È come se potessi mandare il tuo cuoco personale a cucinare un piatto segreto in una cucina pubblica, senza che lo chef pubblico sappia la ricetta, senza che tu debba cucinare tu stesso, e tutto questo in tempo reale. Un passo avanti enorme per la sicurezza delle auto a guida autonoma, dei droni e di tutti i sistemi robotici del futuro.

1. Il Problema

Il lavoro affronta le sfide della controllo criptato (encrypted control) nei sistemi cyber-fisici. L'obiettivo è permettere a un cliente di delegare il calcolo di algoritmi di controllo a risorse di calcolo non fidate senza rivelare dati sensibili (misure dei sensori, azioni di controllo, parametri del controllore).

Le limitazioni delle soluzioni esistenti includono:

Impostazione a server singolo (Homomorphic Encryption - HE): Sebbene teoricamente solida, impone un onere computazionale sul cliente spesso superiore a quello del calcolo in chiaro a causa dell'overhead di cifratura e decifratura.
Architetture multi-partita (Secret Sharing): Approcci basati sulla condivisione segreta richiedono spesso:
- Più di due parti (es. 3 parti non collusive) per efficienza.
- Multiple round di comunicazione tra le parti per calcolare prodotti di valori condivisi (es. Beaver triples).
- Un aumento della complessità computazionale e di comunicazione lato cliente se le triple sono generate dal cliente stesso.

La sfida principale è realizzare un protocollo a due parti che garantisca:

Comunicazione a un solo round (single-round).
Bassa complessità computazionale online per il cliente (inferiore al calcolo originale).
Privacy completa di ingressi, uscite e parametri.

2. Metodologia

L'autore propone un protocollo di calcolo sicuro a due parti per la moltiplicazione di matrici approssimata di numeri in virgola fissa, basato su problemi di crittografia reticolare (Lattice-based cryptography).

Fondamenti Crittografici

Il protocollo integra:

Condivisione Segreta Additiva: Per dividere i dati tra le due parti computazionali ( $P_0$ e $P_1$ ).
Learning With Errors (LWE): Utilizzato per cifrare i vettori.
Short Integer Solution (SIS): Utilizzato per creare impegni (commitment) che nascondono i dati ma ne vincolano il valore.

Il Protocollo Proposto (Mult)

Il protocollo è strutturato in tre fasi:

Setup (Offline): Il cliente genera parametri pubblici (matrici casuali $A$ e $B$ ) e li pubblica come stringa di riferimento comune (CRS).
Offline (Pre-computazione): Il cliente, avendo la matrice $X$ (es. il guadagno di feedback $K$ ), genera cifrari LWE e impegni SIS, calcola le condivisioni segrete della chiave segreta $S$ , e invia i dati necessari alle due parti.
Online (Esecuzione):
- Il cliente codifica l'ingresso $Y$ (es. lo stato del sistema $x$ ) e invia le sue condivisioni alle parti.
- Le parti generano localmente condivisioni casuali per un vettore $R$ .
- Le parti calcolano localmente un impegno $H$ basato su $Y$ e $R$ .
- Le parti ricostruiscono $H$ e calcolano localmente le condivisioni del risultato della moltiplicazione approssimata utilizzando la relazione lineare derivata da LWE e SIS:
  $C^T Y + (C')^T R - S^T H \approx X Y \pmod q$
- Le parti restituiscono le condivisioni del risultato al cliente, che ricostruisce il valore finale.

Analisi della Precisione

Il paper deriva condizioni matematiche rigorose per i parametri di lunghezza dei bit ( $k$ per la parte intera, $\ell$ per la parte frazionaria) per garantire:

Assenza di overflow: Il risultato non deve subire un "wrap-around" modulare.
Precisione desiderata: L'errore di approssimazione (rumore derivante da LWE e SIS) deve rimanere al di sotto di una soglia $\epsilon$ specificata.

3. Contributi Chiave

Protocollo a un round: È il primo protocollo a due parti per la moltiplicazione di matrici che richiede una sola interazione di comunicazione tra le parti computazionali durante la fase online.
Complessità ridotta per il cliente: Le operazioni online del cliente sono limitate alla generazione e ricostruzione di condivisioni, con complessità $O(n_x + n_u)$ , che è inferiore alla complessità $O(n_x n_u)$ richiesta per il calcolo diretto della legge di controllo.
Sicurezza basata su Assunzioni Standard: La sicurezza è provata sotto le assunzioni standard LWE e SIS, garantendo che le parti computazionali non apprendano nulla sugli input, output o parametri.
Analisi Teorica dell'Errore: Vengono forniti teoremi che definiscono i vincoli sui parametri crittografici per garantire che l'errore di approssimazione rimanga entro limiti accettabili per applicazioni di controllo.

4. Risultati

L'efficacia del protocollo è stata validata applicandolo all'implementazione sicura di una legge di controllo lineare ($u = Kx + v$) per un sistema lineare tempo-invariante.

Configurazione: Sono stati utilizzati parametri LWE per 128 bit di sicurezza ( $n=212, q=2^{108}, \sigma=3.2$ ) e un parametro SIS standard.
Simulazione: In un esempio numerico con un sistema a due stati e un guadagno di feedback specifico, il protocollo è stato eseguito per 50 passi temporali.
Precisione: I risultati mostrano che l'errore tra il controllo calcolato in modo sicuro e quello originale rimane ben al di sotto del limite teorico ( $\epsilon = 2^{-10}$ ), confermando che gli errori di approssimazione e quantizzazione non degradano significativamente le prestazioni del sistema di controllo.
Efficienza: Il cliente ha dimostrato un carico computazionale online inferiore rispetto al calcolo non cifrato, risolvendo il collo di bottiglia tipico delle soluzioni HE.

5. Significato e Impatto

Questo lavoro rappresenta un passo significativo verso la praticabilità del controllo criptato in scenari reali:

Riduzione del carico: Permette di delegare il calcolo pesante a server non fidati mantenendo il cliente leggero, rendendo fattibile l'uso su dispositivi IoT o sistemi embedded con risorse limitate.
Privacy end-to-end: Protegge non solo i dati del sistema (stato, uscita), ma anche i parametri del controllore (guadagni $K$ ), che sono spesso segreti industriali proprietari.
Efficienza architetturale: Elimina la necessità di terze parti o di complesse interazioni multi-round, semplificando il deployment in infrastrutture cloud o edge computing.

In sintesi, il paper propone una soluzione elegante che combina crittografia reticolare e condivisione segreta per superare i compromessi tra sicurezza, privacy ed efficienza computazionale nel controllo di sistemi critici.