Secure Two-Party Matrix Multiplication from Lattices and Its Application to Encrypted Control

Resumo Técnico: Multiplicação de Matrizes Segura em Duas Partes via Criptografia Baseada em Retículos

1. Problema e Contexto

O controle criptografado (encrypted control) visa garantir a segurança e privacidade de sistemas ciber-físicos, permitindo que algoritmos de controle sejam executados diretamente sobre dados criptografados. Isso permite que clientes (donos de plantas físicas) terceirizem o cálculo do controlador para recursos não confiáveis sem revelar medições de sensores, ações de controle ou parâmetros do controlador.

No entanto, existem desafios significativos nas arquiteturas atuais:

• Configuração de Servidor Único (Homomórfica): Embora teoricamente viável, o custo computacional para o cliente (descriptografia/criptografia) frequentemente excede o do cálculo original, tornando-o impraticável para controladores simples.
• Arquiteturas Multi-partes (Secret Sharing): Abordagens que usam compartilhamento secreto (ex: Beaver triples) geralmente exigem múltiplas rodadas de comunicação entre as partes ou a presença de pelo menos três partes não colusivas. Isso aumenta a complexidade arquitetural e a latência.
• O Desafio Central: Existe uma lacuna na obtenção simultânea de: (a) baixa complexidade computacional no lado do cliente durante a fase online, (b) comunicação de apenas uma rodada entre duas partes e (c) privacidade total de sinais e ganhos de feedback.

2. Metodologia Proposta

O autor propõe um protocolo de computação segura de duas partes (2PC) para multiplicação aproximada de matrizes de números de ponto fixo. A abordagem integra Compartilhamento Secreto Aditivo com primitivas criptográficas baseadas em retículos (lattices), especificamente os problemas Learning With Errors (LWE) e Short Integer Solution (SIS).

Principais Componentes do Protocolo:

• Fundamento Matemático: O protocolo baseia-se na propriedade de que o produto interno aproximado pode ser calculado subtraindo termos de ruído de combinações lineares de cifras LWE e compromissos SIS.
  • Utiliza-se a linearidade das primitivas para calcular o produto sobre as "shares" (partes) dos segredos sem interação adicional.
• Estrutura do Protocolo (Mult): O protocolo é dividido em três sub-rotinas:
  1. Setup (Offline): O cliente gera matrizes públicas aleatórias ($A, B$) e publica uma string de referência comum (crs).
  2. Offline: O cliente processa a matriz de entrada $X$ (ganho de feedback), gerando cifras LWE ($C, C'$) e compartilhando a chave secreta $S$ entre as duas partes computacionais ($P_0, P_1$).
  3. Online: O cliente codifica a entrada $Y$ (estado do sistema) em shares e envia para as partes. As partes computam localmente um compromisso SIS ($H$) e realizam a multiplicação aproximada usando as cifras e shares recebidas, retornando apenas as shares do resultado ao cliente.
• Representação de Ponto Fixo: Para lidar com números reais em sistemas de controle, os dados são codificados como inteiros escalados ($\bar{X} = 2^\ell X$). O protocolo deriva condições rigorosas para os comprimentos de bits inteiros ($k$) e fracionários ($\ell$) para evitar overflow (envolvimento modular) e garantir que o erro de aproximação permaneça abaixo de um limite $\epsilon$.

3. Contribuições Principais

1. Protocolo de Uma Rodada: Desenvolvimento de um protocolo de 2PC para multiplicação de matrizes que requer apenas uma única rodada de comunicação entre as partes computacionais, eliminando a necessidade de interações iterativas.
2. Segurança Comprovada: A segurança é garantida sob as suposições padrão de criptografia baseada em retículos (LWE e SIS), assegurando que as partes computacionais não aprendam nada sobre as entradas ($X, Y$) ou a saída ($Z$).
3. Análise de Precisão: Derivação teórica das condições necessárias para os parâmetros de ponto fixo ($k, \ell$) que garantem que o erro de aproximação e quantização permaneça dentro de limites especificados, permitindo a aplicação em sistemas de controle de precisão.
4. Redução de Complexidade no Cliente: Demonstração de que a complexidade computacional online do cliente é $O(n_x + n_u)$, inferior à complexidade $O(n_x n_u)$ do cálculo original do controlador, pois o cliente evita a multiplicação matricial direta.

4. Resultados e Avaliação

O protocolo foi aplicado na implementação segura de uma lei de controle linear ($u = Kx + v$).

• Cenário de Teste: Um sistema invariante no tempo com ganho de feedback $K$.
• Parâmetros: Foram utilizados parâmetros de segurança de 128 bits (LWE: $n=212, q=2^{108}, \sigma=3.2$) e um parâmetro SIS padrão.
• Desempenho Numérico:
  • O erro de aproximação ($\| \tilde{u} - \hat{u} \|_{max}$) manteve-se abaixo do limite teórico $\epsilon = 2^{-10}$.
  • O erro total em relação ao controle original não criptografado foi suficientemente pequeno, demonstrando que a privacidade não comprometeu a estabilidade ou o desempenho do sistema de controle.
  • A figura de erro (Fig. 3 no artigo) confirma que o método mantém precisão suficiente mesmo na presença de erros de quantização e aproximação.

5. Significado e Impacto

Este trabalho representa um avanço significativo no campo do controle criptografado:

• Viabilidade Prática: Resolve o gargalo de comunicação e complexidade que limitava a adoção de controle criptografado em tempo real.
• Eficiência: Pela primeira vez, é possível realizar controle criptografado em um cenário de duas partes com complexidade online reduzida para o cliente e comunicação mínima (uma rodada).
• Aplicabilidade: O método permite que clientes com recursos limitados (como dispositivos IoT ou sensores industriais) deleguem o cálculo pesado de controladores para servidores externos sem expor dados sensíveis, mantendo a integridade do sistema de controle.

Em conclusão, o autor propõe uma solução elegante que combina a eficiência do compartilhamento secreto com a segurança robusta da criptografia pós-quântica (baseada em retículos), superando as limitações das abordagens anteriores e abrindo caminho para a implementação prática de sistemas ciber-físicos seguros.