⚡ electrical engineering

Secure Two-Party Matrix Multiplication from Lattices and Its Application to Encrypted Control

Deze paper introduceert een veilig tweepartijenprotocol voor benaderende matrixvermenigvuldiging op basis van roostercryptografie, dat toepasbaar is voor versleutelde regeling en de privacy waarborgt terwijl de online rekenlast voor de client wordt verlaagd.

Oorspronkelijke auteurs: Kaoru Teranishi

Gepubliceerd 2026-03-25

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Kaoru Teranishi

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

De Kern: Een Geheime Rekenmachine zonder Geheimen te Lopen

Stel je voor dat je een heel gevoelige fabriek hebt (een "cyber-fysiek systeem"). Je wilt dat een slimme computer (een "controller") regels opstelt om deze fabriek veilig te laten draaien. Maar er is een probleem: je wilt niet dat de computer weet wat de fabriek precies doet, wat de sensoren meten, of wat de geheime instellingen van je machine zijn. Als je die gegevens naar de computer stuurt, zijn ze niet meer veilig.

De oplossing? Versleutelde controle. Je stuurt de gegevens versleuteld (als een onleesbare code) naar de computer, en die doet de berekeningen zonder ooit te weten wat er echt gebeurt.

Het probleem tot nu toe was dat deze versleutelde berekeningen erg zwaar waren voor de eigenaar van de fabriek. Het was alsof je zelf de zware lasten moest dragen terwijl je dacht dat je ze uitbesteedde.

Dit nieuwe onderzoek van Kaoru Teranishi lost dit op met een slimme truc: Een tweepersoonsrekenmachine die in één keer werkt.

De Metafoor: De Twee Onbekende Koks en de Geheime Recepten

Laten we het proces vergelijken met twee koks (Party A en Party B) die een gerecht moeten bereiden, maar de eigenaar van het restaurant (de Klant) wil niet dat ze weten wat de ingrediënten zijn.

1. Het Oude Probleem: De Zware Last

Vroeger moest de eigenaar van het restaurant zelf de ingrediënten in een speciale, zware kist (versleuteling) doen, die naar de koks sturen. De koks moesten dan die zware kist openen, rekenen, en weer dichtdoen. Dit kostte de eigenaar enorm veel tijd en energie. Soms was het zelfs zwaarder dan het koken zelf!

2. De Nieuwe Oplossing: De "Wiskundige Magie"

In dit nieuwe systeem gebruiken de koks een heel slimme wiskundige truc (gebaseerd op "Lattices", wat je kunt zien als een onzichtbaar raster van getallen).

De Klant (Eigenaar): Hij bereidt de ingrediënten voor (de data) en verdeelt ze in twee helften. Hij geeft de ene helft aan Kok A en de andere aan Kok B. Hij doet dit zo, dat geen van de koks de volledige foto ziet.
De Koks (De Onbetrouwbare Computers): Ze krijgen elk een stukje van de puzzel. Ze hoeven niet lang te communiceren. Ze doen hun eigen berekening op hun stukje en sturen het resultaat terug naar de Klant.
De Magie: Omdat de wiskunde zo is ontworpen, kunnen de koks samen het antwoord berekenen (de vermenigvuldiging van matrices) zonder ooit de volledige data te zien. En het allerbelangrijkste: Ze doen dit in één enkele ronde. Geen eindeloos heen-en-weer gepraat.

Hoe werkt de "Magie" precies? (De Lattice-Truc)

Stel je voor dat je twee getallen wilt vermenigvuldigen, maar je mag ze niet direct bij elkaar houden.

De Klant verpakt zijn getallen in een LWE-doos (een doos met ruis erin, zodat niemand het kan lezen).
Hij maakt ook een SIS-verbinding (een soort gesloten koffer die niet opengebroken kan worden).
De koks krijgen stukjes van deze doos en koffers. Ze combineren ze op een slimme manier. Door de ruis en de koffers op de juiste manier af te trekken, houden ze alleen het echte antwoord over, zonder de ruis.

Het resultaat is een benadering van het echte antwoord. Het is niet 100% perfect (er is een klein beetje "ruis" of afronding), maar voor een fabriek is dat precies goed genoeg, net zoals een schatting van de tijd die je nodig hebt om te koken vaak voldoende is.

Waarom is dit zo belangrijk?

Snelheid voor de Klant: De eigenaar van de fabriek hoeft nu bijna niets meer te rekenen. Hij hoeft alleen maar de data te "snijden" in stukjes en het eindresultaat weer te "plakken". De zware rekenarbeid doen de koks. Dit is veel sneller dan de oude methoden.
Privacy: De koks weten nooit wat de echte gegevens zijn. Ze zien alleen willekeurige getallen.
Eén Ronde: Ze hoeven niet te wachten op elkaars antwoord. Ze werken parallel en sturen het resultaat direct terug.

Het Toepassing: Een Veilige Regelaar

In het paper wordt dit getest op een lineaire regelaar. Stel je een zelfrijdende auto voor die zijn snelheid moet aanpassen.

De auto (Klant) heeft de snelheid en de positie.
De regelaar (Koks) moet berekenen: "Hoeveel moet ik remmen?"
Met dit nieuwe systeem kan de auto de data versleuteld sturen, de regelaar doet de berekening in één keer, en de auto krijgt het remcommando terug. De regelaar weet nooit hoe snel de auto reed of waar hij was.

Conclusie

Dit onderzoek toont aan dat we complexe berekeningen veilig kunnen uitbesteden zonder dat de eigenaar de lasten zelf hoeft te dragen. Het is alsof je een geheim recept uitbesteedt aan twee koks die samenwerken, maar die het recept nooit volledig zien, en die het in één seconde klaar hebben.

Het is een grote stap naar veiligere, privacy-vriendelijke slimme systemen voor de toekomst, van zelfrijdende auto's tot fabrieken, waarbij je data echt veilig blijft.

Probleemstelling

Het artikel adresseert de uitdagingen binnen het domein van versleutelde besturing (encrypted control). Hoewel homomorfische encryptie (HE) theoretisch toelaat dat besturingsalgoritmen op versleutelde data worden uitgevoerd, leidt dit in een single-server setting vaak tot een onaanvaardbare rekenlast voor de client. De overhead van het versleutelen en ontsleutelen maakt zelfs eenvoudige besturingstaken zwaarder dan de onversleutelde versie.

Bestaande oplossingen met meerdere partijen (multi-party computation, MPC) proberen dit op te lossen door gebruik te maken van geheimdeling (secret sharing). Echter, deze benaderingen hebben vaak beperkingen:

Ze vereisen vaak meerdere communicatierondes tussen de partijen, wat de latentie verhoogt.
Ze vereisen soms drie of meer niet-colluderende partijen (bijv. bij replicated secret sharing), wat de architectuur complex maakt.
Bestaande twee-partij protocollen gebruiken vaak Beaver-triples, wat de client een hoge reken- en communicatiekosten oplegt voor de online generatie van deze triples.

Het centrale probleem is dus het vinden van een twee-partijen protocol dat één ronde communicatie vereist, lage online rekencomplexiteit voor de client biedt, en toch de privacy van invoer, uitvoer en controller-parameters garandeert.

Methodologie

De auteur stelt een nieuw protocol voor voor benaderende matrixvermenigvuldiging van vaste-kommagetallen (fixed-point numbers). De kern van de methode is een innovatieve integratie van additieve geheimdeling met lattice-based cryptografie, specifiek gebaseerd op de Learning With Errors (LWE) en Short Integer Solution (SIS) problemen.

Het protocol bestaat uit drie fasen:

Setup (Offline): De client genereert publieke parameters (willekeurige matrices $A$ en $B$ ) en publiceert deze als een Common Reference String (CRS).
Offline (Client-kant): De client bereidt de invoermatrix $X$ (bijv. de feedback-gain $K$ ) voor door LWE-ciferteksten en SIS-commitments te genereren. De client deelt ook een geheim van de sleutel $S$ uit over de twee rekenpartijen ( $P_0, P_1$ ).
Online (Interactief):
- De client deelt de invoer $Y$ (bijv. de systeemtoestand $x$ ) uit.
- De rekenpartijen genereren lokaal willekeurige delen voor een SIS-commitment.
- De partijen berekenen lokaal een commitatie $H$ en gebruiken de ontvangen LWE-ciferteksten en de SIS-commitment om een benaderde inproduct-berekening uit te voeren via een lineaire combinatie van de delen.
- De partijen sturen hun resultaten (delen van het resultaat) terug naar de client in één enkele ronde.
- De client reconstructeert het resultaat en schaalt het terug naar de juiste vaste-kommavorm.

De wiskundige basis berust op het elimineren van de geheime sleuteltermen ( $s$ ) door een specifieke lineaire combinatie van LWE-ciferteksten en SIS-commitments, waardoor een benaderend inproduct ontstaat met een beheersbaar ruisniveau.

Belangrijkste Bijdragen

Eén-rondje Twee-Partijen Protocol: Het voorstellen van een protocol voor matrixvermenigvuldiging dat slechts één communicatieronde vereist tussen de twee rekenpartijen, terwijl het toch veilig is.
Lage Client-Complexiteit: De online taken voor de client zijn beperkt tot het genereren van delen en het reconstrueren van het resultaat. De complexe matrixvermenigvuldiging wordt volledig uitbesteed. Dit resulteert in een online complexiteit van $O(n_x + n_u)$ in plaats van $O(n_x n_u)$ voor de directe berekening.
Formele Veiligheid: De beveiliging is bewezen onder standaard aannames van lattice-cryptografie (LWE en SIS), wat garandeert dat de rekenpartijen niets leren over de invoer, uitvoer of parameters.
Analyse van Benaderingsfouten: Het afleiden van strikte voorwaarden voor de bitlengte van vaste-kommagetallen ( $k$ en $\ell$ ) om te garanderen dat de fouten door quantisatie en ruis onder een specifieke drempel blijven en dat er geen overloop (modular wrap-around) optreedt.

Resultaten

De auteur valideert het protocol door het toe te passen op een lineaire besturingswet ($u = Kx + v$) voor een lineair tijd-invariant systeem.

Complexiteit: De client heeft aanzienlijk minder rekenkracht nodig tijdens de online fase vergeleken met het uitvoeren van de besturing zonder versleuteling.
Precisie: Een numeriek voorbeeld toont aan dat de benaderingsfouten (door de lattice-ruis en quantisatie) verwaarloosbaar klein blijven. De fout in de besturingsinput blijft onder de theoretische bovengrens ( $\epsilon = 2^{-10}$ ) en de gesimuleerde besturingsprestaties zijn bijna identiek aan die van het onversleutelde systeem.
Efficiëntie: Het protocol bereikt een balans tussen veiligheid en prestaties die niet eerder mogelijk was in een twee-partij setting met één ronde communicatie.

Betekenis en Impact

Dit werk is significant voor de toekomst van Cyber-Physical Systems (CPS) en Internet of Things (IoT) in kritieke infrastructuren.

Het maakt uitbesteding van besturing naar onbetrouwbare cloud-diensten of edge-computers mogelijk zonder dat de eigenaar van het systeem (de client) gevoelige data zoals sensormetingen, actuatoren of controller-parameters hoeft te onthullen.
Het oplost het "rekenlast-probleem" van bestaande versleutelde besturingssystemen, waardoor deze praktischer en schaalbaarder worden voor real-time toepassingen.
Het biedt een nieuwe architecturale richting die minder afhankelijk is van complexe multi-party setups of zware homomorfische encryptie, en in plaats daarvan een efficiënte hybride aanpak van geheimdeling en lattice-cryptografie gebruikt.

Samenvattend biedt dit artikel een robuust en efficiënt raamwerk voor privacy-bewuste besturing, waarbij de theoretische garanties van lattice-cryptografie worden vertaald naar een praktisch toepasbaar protocol met minimale communicatie- en rekenkosten voor de client.