Homomorphe Verschlüsselung

Homomorphe Verschlüsselung ist eine Form der Verschlüsselung , die es ermöglicht, Berechnungen mit verschlüsselten Daten durchzuführen, ohne diese vorher entschlüsseln zu müssen. ^{[ 1 ]} Die Ergebnisse der Berechnungen bleiben verschlüsselt und liefern nach der Entschlüsselung ein Ergebnis, das mit dem der Operationen an den unverschlüsselten Daten identisch ist. Homomorphe Verschlüsselung kann für datenschutzkonforme, ausgelagerte Speicherung und Datenverarbeitung eingesetzt werden . Dadurch können Daten verschlüsselt und zur Verarbeitung an kommerzielle Cloud-Umgebungen ausgelagert werden – und zwar vollständig verschlüsselt.

Ein praktisches Anwendungsbeispiel für homomorphe Verschlüsselung: Verschlüsselte Fotos können nach relevanten Punkten durchsucht werden, ohne den Bildinhalt preiszugeben. Durch die Beobachtung von Seitenkanälen lässt sich jedoch feststellen, wie ein Foto an einen Dienst zur Suche nach relevanten Punkten gesendet wird, wodurch die Tatsache, dass Fotos aufgenommen wurden, offengelegt wird.

Homomorphe Verschlüsselung macht somit die Verarbeitung von Daten im Klartext überflüssig und verhindert dadurch Angriffe, die es einem Angreifer ermöglichen würden, während der Verarbeitung mittels Rechteausweitung auf diese Daten zuzugreifen . ^{[ 2 ]}

Bei sensiblen Daten, wie beispielsweise Gesundheitsinformationen, kann homomorphe Verschlüsselung eingesetzt werden, um neue Dienste zu ermöglichen, indem Datenschutzbarrieren, die den Datenaustausch behindern, abgebaut oder die Sicherheit bestehender Dienste erhöht werden. So kann beispielsweise die Anwendung prädiktiver Analysen im Gesundheitswesen über einen Drittanbieter aufgrund von Bedenken hinsichtlich des Datenschutzes medizinischer Daten schwierig sein . Könnte der Anbieter prädiktiver Analysen jedoch stattdessen mit verschlüsselten Daten arbeiten, ohne über die Entschlüsselungsschlüssel zu verfügen, würden diese Datenschutzbedenken deutlich reduziert. Darüber hinaus blieben die Daten selbst dann sicher, wenn das System des Anbieters kompromittiert würde. ^{[ 3 ]}

Homomorphe Verschlüsselung ist eine Form der Verschlüsselung mit einer zusätzlichen Auswertungsmöglichkeit für Berechnungen auf verschlüsselten Daten, ohne Zugriff auf den geheimen Schlüssel . Das Ergebnis einer solchen Berechnung bleibt verschlüsselt. Homomorphe Verschlüsselung kann als Erweiterung der Public-Key-Kryptographie betrachtet werden , da Chiffretexte algebraisch manipuliert werden können, um ein verschlüsseltes Ergebnis zu erzeugen, das den Operationen auf den zugrunde liegenden Klartexten entspricht. ^{[ 4 ]} Homomorph bezieht sich auf einen Homomorphismus in der Algebra: Die Verschlüsselungs- und Entschlüsselungsfunktionen können als Homomorphismen zwischen Klartext- und Chiffretextraum aufgefasst werden .

Homomorphe Verschlüsselung umfasst verschiedene Verschlüsselungsschemata, die unterschiedliche Berechnungen an verschlüsselten Daten durchführen können. ^{[ 5 ]} Die Berechnungen werden entweder als Boolesche oder arithmetische Schaltkreise dargestellt. Zu den gängigen Arten der homomorphen Verschlüsselung gehören die partiell homomorphe, die etwas homomorphe, die gestaffelte vollständig homomorphe und die vollständig homomorphe Verschlüsselung.

• Teilweise homomorphe Verschlüsselung umfasst Verfahren, die die Auswertung von Schaltungen unterstützen, die nur aus einem Gattertyp bestehen, z. B. Addition oder Multiplikation.
• Etwas homomorphe Verschlüsselungsschemata können zwei Arten von Gattern auswerten, jedoch nur für eine Teilmenge der Schaltkreise.
• Leveled fully homomorphic encryption supports the evaluation of arbitrary circuits composed of multiple types of gates of bounded (pre-determined) depth.
• Die vollständig homomorphe Verschlüsselung (FHE) ermöglicht die Auswertung beliebiger Schaltkreise, die aus mehreren Arten von Gattern unbegrenzter Tiefe bestehen, und ist die stärkste Form der homomorphen Verschlüsselung.

Bei den meisten homomorphen Verschlüsselungsverfahren stellt die multiplikative Tiefe der Schaltkreise die größte praktische Einschränkung bei der Durchführung von Berechnungen mit verschlüsselten Daten dar. Homomorphe Verschlüsselungsverfahren sind von Natur aus veränderbar . In Bezug auf diese Veränderbarkeit weisen homomorphe Verschlüsselungsverfahren schwächere Sicherheitseigenschaften auf als nicht-homomorphe Verfahren.

Ein Kryptosystem, das beliebige Berechnungen auf Chiffretexten ermöglicht, wird als vollständig homomorphe Verschlüsselung (FHE) bezeichnet. Ein solches Verfahren erlaubt die Entwicklung von Programmen für beliebige gewünschte Funktionalitäten, die mit verschlüsselten Eingaben ausgeführt werden können, um ein verschlüsseltes Ergebnis zu erzeugen. Da ein solches Programm seine Eingaben niemals entschlüsseln muss, kann es von einer nicht vertrauenswürdigen Partei ausgeführt werden, ohne dass die Eingaben und der interne Zustand offengelegt werden. Vollständig homomorphe Kryptosysteme haben große praktische Bedeutung für das Outsourcing privater Berechnungen, beispielsweise im Kontext von Cloud Computing . ^{[ 6 ]}

Homomorphe Verschlüsselungsverfahren wurden mit verschiedenen Ansätzen entwickelt. Insbesondere werden vollständig homomorphe Verschlüsselungsverfahren häufig in Generationen eingeteilt, die dem zugrunde liegenden Ansatz entsprechen. ^{[ 7 ]}

Das Problem der Konstruktion eines vollständig homomorphen Verschlüsselungsverfahrens wurde erstmals 1978, innerhalb eines Jahres nach der Veröffentlichung des RSA-Verfahrens, formuliert. ^{[ 8 ]} Über 30 Jahre lang war unklar, ob eine Lösung existierte. In diesem Zeitraum wurden unter anderem folgende Teilergebnisse erzielt:

• RSA- Kryptosystem (unbegrenzte Anzahl modularer Multiplikationen)
• ElGamal-Kryptosystem (unbegrenzte Anzahl modularer Multiplikationen)
• Goldwasser-Micali-Kryptosystem (unbegrenzte Anzahl von exklusiven Oder- Operationen)
• Benaloh-Kryptosystem (unbegrenzte Anzahl modularer Additionen)
• Paillier-Kryptosystem (unbegrenzte Anzahl modularer Additionen)
• Das Sander-Young-Yung-System (löste nach mehr als 20 Jahren das Problem für Schaltungen mit logarithmischer Tiefe) ^{[ 9 ].}
• Boneh-Goh-Nissim-Kryptosystem (unbegrenzte Anzahl von Additionsoperationen, aber höchstens eine Multiplikation) ^{[ 10 ]}
• Ishai-Paskin-Kryptosystem (polynomiale Verzweigungsprogramme ) ^{[ 11 ]}

Craig Gentry beschrieb 2009 mithilfe gitterbasierter Kryptographie die erste plausible Konstruktion eines vollständig homomorphen Verschlüsselungsschemas. ^{[ 12 ]} Gentrys Schema unterstützt sowohl Additions- als auch Multiplikationsoperationen auf Chiffretexten, wodurch sich Schaltkreise für beliebige Berechnungen konstruieren lassen. Die Konstruktion basiert auf einem teilweise homomorphen Verschlüsselungsschema, das auf die Auswertung von Polynomen niedrigen Grades über verschlüsselten Daten beschränkt ist. Diese Beschränkung ergibt sich daraus, dass jeder Chiffretext in gewisser Weise verrauscht ist und dieses Rauschen mit der Addition und Multiplikation von Chiffretexten zunimmt, bis der resultierende Chiffretext schließlich unentzifferbar wird.

Gentry zeigt anschließend, wie dieses Schema leicht modifiziert werden kann, um es bootstrappbar zu machen , d. h. es ermöglicht, seinen eigenen Entschlüsselungsschaltkreis und anschließend mindestens eine weitere Operation auszuwerten. Schließlich zeigt er, dass jedes bootstrappbare, teils homomorphe Verschlüsselungsschema durch rekursives Selbsteinbetten in eine vollständig homomorphe Verschlüsselung umgewandelt werden kann. Bei Gentrys „verrauschtem“ Schema „aktualisiert“ das Bootstrapping-Verfahren den Chiffretext effektiv, indem es das Entschlüsselungsverfahren homomorph darauf anwendet. Dadurch entsteht ein neuer Chiffretext, der denselben Wert wie zuvor verschlüsselt, aber weniger Rauschen aufweist. Durch periodisches „Aktualisieren“ des Chiffretexts, sobald das Rauschen zu groß wird, lassen sich beliebig viele Additionen und Multiplikationen berechnen, ohne das Rauschen zu stark zu erhöhen.

Gentry begründete die Sicherheit seines Systems mit der angenommenen Schwierigkeit zweier Probleme: bestimmter Worst-Case-Probleme über idealen Gittern und dem Problem der dünnbesetzten (oder gewichteten) Teilsumme . Gentrys Dissertation ^{[ 13 ]} liefert weitere Details. Die Gentry-Halevi-Implementierung von Gentrys ursprünglichem Kryptosystem benötigte etwa 30 Minuten pro Bitoperation. ^{[ 14 ]} Umfangreiche Design- und Implementierungsarbeiten in den Folgejahren haben die Laufzeitleistung dieser frühen Implementierungen um viele Größenordnungen verbessert.

Im Jahr 2010 stellten Marten van Dijk, Craig Gentry , Shai Halevi und Vinod Vaikuntanathan ein zweites vollständig homomorphes Verschlüsselungsverfahren vor ^{[ 15 ].} Dieses nutzt viele der Werkzeuge von Gentrys Konstruktion, benötigt aber keine idealen Verbände . Stattdessen zeigen sie, dass die teilweise homomorphe Komponente von Gentrys idealverbandsbasiertem Verfahren durch ein sehr einfaches, teilweise homomorphes Verfahren ersetzt werden kann, das ganze Zahlen verwendet. Das Verfahren ist daher konzeptionell einfacher als Gentrys idealverbandsbasiertes Verfahren, weist aber ähnliche Eigenschaften hinsichtlich homomorpher Operationen und Effizienz auf. Die teilweise homomorphe Komponente in der Arbeit von Van Dijk et al. ähnelt einem Verschlüsselungsverfahren, das 2008 von Levieil und Naccache ^{[ 16 ]} und 1998 von Bram Cohen ^{[ 17 ] vorgeschlagen wurde.}

Cohens Methode ist jedoch nicht einmal additiv homomorph. Das Levieil-Naccache-Schema unterstützt nur Additionen, kann aber so modifiziert werden, dass es auch eine geringe Anzahl von Multiplikationen ermöglicht. Zahlreiche Verfeinerungen und Optimierungen des Schemas von Van Dijk et al. wurden in einer Reihe von Arbeiten von Jean-Sébastien Coron, Tancrède Lepoint, Avradip Mandal, David Naccache und Mehdi Tibouchi vorgeschlagen. ^{[ 18 ] [ 19 ] [ 20 ] [ 21 ]} Einige dieser Arbeiten enthielten auch Implementierungen der resultierenden Schemata.

Die homomorphen Kryptosysteme dieser Generation basieren auf Techniken, die ab 2011/2012 von Zvika Brakerski , Craig Gentry , Vinod Vaikuntanathan und anderen entwickelt wurden. Diese Innovationen führten zur Entwicklung deutlich effizienterer teil- und vollständig homomorpher Kryptosysteme. Dazu gehören:

• Das Brakerski-Gentry-Vaikuntanathan-Schema (BGV, 2011), ^{[ 22 ]} baut auf den Techniken von Brakerski-Vaikuntanathan auf; ^{[ 23 ]}
• Das NTRU -basierte Schema von Lopez-Alt, Tromer und Vaikuntanathan (LTV, 2012); ^{[ 24 ]}
• Das Schema Brakerski/Fan-Vercauteren (BFV, 2012), ^{[ 25 ],} das auf dem skaleninvarianten Kryptosystem von Brakerski aufbaut ; ^{[ 26 ]}
• Das NTRU -basierte Schema von Bos, Lauter, Loftus und Naehrig (BLLN, 2013), ^{[ 27 ]} baut auf LTV und Brakerskis skaleninvariantem Kryptosystem auf; ^{[ 26 ].}

Die Sicherheit der meisten dieser Verfahren basiert auf der Schwierigkeit des (Ring-)Lernens mit Fehlern (RLWE), mit Ausnahme der LTV- und BLLN-Verfahren, die auf einer überdehnten Variante des NTRU- Rechenproblems beruhen ^{[ 28 ]} . Diese NTRU-Variante erwies sich später als anfällig für Angriffe auf Unterfeldgitter ^{[ 29 ] [ 28 ]} , weshalb diese beiden Verfahren in der Praxis nicht mehr eingesetzt werden.

Alle Kryptosysteme der zweiten Generation folgen nach wie vor dem Grundprinzip von Gentrys ursprünglicher Konstruktion, nämlich dass sie zunächst ein einigermaßen homomorphes Kryptosystem konstruieren und es dann mittels Bootstrapping in ein vollständig homomorphes Kryptosystem umwandeln.

Ein charakteristisches Merkmal der Kryptosysteme der zweiten Generation ist das deutlich langsamere Anwachsen des Rauschens bei homomorphen Berechnungen. Weitere Optimierungen von Craig Gentry , Shai Halevi und Nigel Smart führten zu Kryptosystemen mit nahezu optimaler asymptotischer Komplexität: Operationen auf mit dem Sicherheitsparameter verschlüsselten Daten haben eine Komplexität von nur O( n²) . ^{[ 30 ] [ 31 ] [ 32 ]} Diese Optimierungen basieren auf den Smart-Vercauteren-Verfahren, die es ermöglichen, viele Klartextwerte in einem einzigen Chiffretext zu packen und diese Klartextwerte SIMD - artig zu verarbeiten. ^{[ 33 ]} Viele der Fortschritte dieser Kryptosysteme der zweiten Generation wurden auch auf das Kryptosystem über den ganzen Zahlen übertragen. ^{[ 20 ] [ 21 ]}${\displaystyle T}$${\displaystyle k}$${\displaystyle T\cdot \mathrm {polylog} (k)}$

Ein weiteres Unterscheidungsmerkmal der Schemata der zweiten Generation ist, dass sie für viele Anwendungen auch ohne Bootstrapping effizient genug sind, da sie stattdessen im Leveled FHE-Modus arbeiten.

Im Jahr 2013 schlugen Craig Gentry , Amit Sahai und Brent Waters (GSW) eine neue Technik zum Aufbau von FHE-Schemata vor, die einen aufwändigen „Relinearisierungsschritt“ bei der homomorphen Multiplikation vermeidet. ^{[ 34 ]} Zvika Brakerski und Vinod Vaikuntanathan stellten fest, dass das GSW-Kryptosystem für bestimmte Schaltungstypen eine noch geringere Rauschanstiegsrate und somit eine höhere Effizienz und stärkere Sicherheit aufweist. ^{[ 35 ]} Jacob Alperin-Sheriff und Chris Peikert beschrieben daraufhin eine sehr effiziente Bootstrapping-Technik, die auf dieser Beobachtung basiert. ^{[ 36 ]}

Diese Techniken wurden weiterentwickelt, um effiziente Ringvarianten des GSW-Kryptosystems zu entwickeln: FHEW (2014) ^{[ 37 ]} und TFHE (2016) ^{[ 38 ]} . Das FHEW-Schema zeigte als erstes, dass sich die Bootstrapping-Zeit durch Aktualisieren der Chiffretexte nach jeder Operation auf einen Bruchteil einer Sekunde reduzieren lässt. FHEW führte eine neue Methode zur Berechnung Boolescher Gatter auf verschlüsselten Daten ein, die das Bootstrapping erheblich vereinfacht, und implementierte eine Variante des Bootstrapping-Verfahrens ^{[ 36 ]} . Die Effizienz von FHEW wurde durch das TFHE-Schema weiter verbessert, welches eine Ringvariante des Bootstrapping-Verfahrens ^{[ 39 ]} mit einer ähnlichen Methode wie in FHEW implementiert.

Im Jahr 2016 schlugen Jung Hee Cheon , Andrey Kim, Miran Kim und Yongsoo Song (CKKS) ^{[ 40 ]} ein approximatives homomorphes Verschlüsselungsverfahren vor, das eine spezielle Art von Festkommaarithmetik unterstützt , die gemeinhin als Block-Gleitkommaarithmetik bezeichnet wird . Das CKKS-Verfahren beinhaltet eine effiziente Reskalierungsoperation, die eine verschlüsselte Nachricht nach einer Multiplikation verkleinert. Im Vergleich dazu erfordert eine solche Reskalierung bei den BGV- und BFV-Verfahren ein Bootstrapping. Durch die Reskalierungsoperation ist das CKKS-Verfahren die effizienteste Methode zur Auswertung von Polynomapproximationen und der bevorzugte Ansatz für die Implementierung datenschutzfreundlicher Anwendungen des maschinellen Lernens . Das Verfahren führt zu mehreren Approximationsfehlern, sowohl deterministischen als auch nichtdeterministischen, die in der Praxis eine spezielle Behandlung erfordern. ^{[ 41 ]}

Ein Artikel von Baiyu Li und Daniele Micciancio aus dem Jahr 2020 behandelt passive Angriffe auf CKKS und legt nahe, dass die Standarddefinition von IND-CPA in Szenarien, in denen Entschlüsselungsergebnisse geteilt werden, möglicherweise nicht ausreicht. ^{[ 42 ]} Die Autoren wenden den Angriff auf vier moderne homomorphe Verschlüsselungsbibliotheken (HEAAN, SEAL, HElib und PALISADE) an und berichten, dass es in verschiedenen Parameterkonfigurationen möglich ist, den geheimen Schlüssel aus den Entschlüsselungsergebnissen wiederherzustellen. Sie schlagen außerdem Strategien zur Abwehr dieser Angriffe vor und fügen dem Artikel eine verantwortungsvolle Offenlegung bei, die darauf hinweist, dass die homomorphen Verschlüsselungsbibliotheken bereits vor der Veröffentlichung des Artikels Abwehrmaßnahmen gegen die Angriffe implementiert haben. Weitere Informationen zu den in den homomorphen Verschlüsselungsbibliotheken implementierten Abwehrstrategien wurden ebenfalls veröffentlicht. ^{[ 43 ] [ 44 ]}

In den folgenden Beispielen wird die Notation verwendet, um die Verschlüsselung der Nachricht zu bezeichnen . ${\displaystyle {\mathcal {E}}(x)}$${\displaystyle x}$

Ungepolsterte RSA

Hat der öffentliche RSA- Schlüssel den Modulus und den Verschlüsselungsexponenten , so ist die Verschlüsselung einer Nachricht gegeben durch . Die homomorphe Eigenschaft ist dann .${\displaystyle n}$${\displaystyle e}$${\displaystyle m}$${\displaystyle {\mathcal {E}}(m)=m^{e}\;{\bmod {\;}}n}$

${\displaystyle {\begin{aligned}{\mathcal {E}}(m_{1})\cdot {\mathcal {E}}(m_{2})&=m_{1}^{e}m_{2}^{e}\;{\bmod {\;}}n\\[6pt]&=(m_{1}m_{2})^{e}\;{\bmod {\;}}n\\[6pt]&={\mathcal {E}}(m_{1}\cdot m_{2})\end{aligned}}}$

ElGamal

Im ElGamal-Kryptosystem gilt in einer zyklischen Gruppe der Ordnung mit Generator : Wenn der öffentliche Schlüssel ist , wobei , und der geheime Schlüssel ist, dann ist die Verschlüsselung einer Nachricht , für ein zufälliges . Die homomorphe Eigenschaft ist dann .${\displaystyle G}$${\displaystyle q}$${\displaystyle g}$${\displaystyle (G,q,g,h)}$${\displaystyle h=g^{x}}$${\displaystyle x}$${\displaystyle m}$${\displaystyle {\mathcal {E}}(m)=(g^{r},m\cdot h^{r})}$${\displaystyle r\in \{0,\ldots ,q-1\}}$

${\displaystyle {\begin{aligned}{\mathcal {E}}(m_{1})\cdot {\mathcal {E}}(m_{2})&=(g^{r_{1}},m_{1}\cdot h^{r_{1}})(g^{r_{2}},m_{2}\cdot h^{r_{2}})\\[6pt]&=(g^{r_{1}+r_{2}},(m_{1}\cdot m_{2})h^{r_{1}+r_{2}})\\[6pt]&={\mathcal {E}}(m_{1}\cdot m_{2}).\end{aligned}}}$

Goldwasser–Micali

Im Goldwasser-Micali-Kryptosystem gilt : Wenn der öffentliche Schlüssel der Modulus und der quadratische Nichtrest ist, dann ist die Verschlüsselung eines Bits , für ein zufälliges . Die homomorphe Eigenschaft ist dann .${\displaystyle n}$${\displaystyle x}$${\displaystyle b}$${\displaystyle {\mathcal {E}}(b)=x^{b}r^{2}\;{\bmod {\;}}n}$${\displaystyle r\in \{0,\ldots ,n-1\}}$

${\displaystyle {\begin{aligned}{\mathcal {E}}(b_{1})\cdot {\mathcal {E}}(b_{2})&=x^{b_{1}}r_{1}^{2}x^{b_{2}}r_{2}^{2}\;{\bmod {\;}}n\\[6pt]&=x^{b_{1}+b_{2}}(r_{1}r_{2})^{2}\;{\bmod {\;}}n\\[6pt]&={\mathcal {E}}(b_{1}\oplus b_{2}).\end{aligned}}}$

wobei die Addition modulo 2 bezeichnet (d. h. exklusives Oder ). ${\displaystyle \oplus }$

Benaloh

Im Benaloh-Kryptosystem gilt: Wenn der öffentliche Schlüssel der Modulus und die Basis mit einer Blockgröße von ist, dann ist die Verschlüsselung einer Nachricht , für ein zufälliges . Die homomorphe Eigenschaft ist dann .${\displaystyle n}$${\displaystyle g}$${\displaystyle c}$${\displaystyle m}$${\displaystyle {\mathcal {E}}(m)=g^{m}r^{c}\;{\bmod {\;}}n}$${\displaystyle r\in \{0,\ldots ,n-1\}}$

${\displaystyle {\begin{aligned}{\mathcal {E}}(m_{1})\cdot {\mathcal {E}}(m_{2})&=(g^{m_{1}}r_{1}^{c})(g^{m_{2}}r_{2}^{c})\;{\bmod {\;}}n\\[6pt]&=g^{m_{1}+m_{2}}(r_{1}r_{2})^{c}\;{\bmod {\;}}n\\[6pt]&={\mathcal {E}}(m_{1}+m_{2}\;{\bmod {\;}}c).\end{aligned}}}$

Paillier

Im Paillier-Kryptosystem gilt : Wenn der öffentliche Schlüssel der Modulus und die Basis ist, dann ist die Verschlüsselung einer Nachricht , für ein zufälliges . Die homomorphe Eigenschaft ist dann .${\displaystyle n}$${\displaystyle g}$${\displaystyle m}$${\displaystyle {\mathcal {E}}(m)=g^{m}r^{n}\;{\bmod {\;}}n^{2}}$${\displaystyle r\in \{0,\ldots ,n-1\}}$

${\displaystyle {\begin{aligned}{\mathcal {E}}(m_{1})\cdot {\mathcal {E}}(m_{2})&=(g^{m_{1}}r_{1}^{n})(g^{m_{2}}r_{2}^{n})\;{\bmod {\;}}n^{2}\\[6pt]&=g^{m_{1}+m_{2}}(r_{1}r_{2})^{n}\;{\bmod {\;}}n^{2}\\[6pt]&={\mathcal {E}}(m_{1}+m_{2}).\end{aligned}}}$

Andere partiell homomorphe Kryptosysteme

• Okamoto-Uchiyama-Kryptosystem
• Naccache-Stern-Kryptosystem
• Damgård-Jurik-Kryptosystem
• Sander-Young-Yung-Verschlüsselungsschema ^{[ 45 ]}
• Boneh-Goh-Nissim-Kryptosystem ^{[ 46 ]}
• Ishai-Paskin-Kryptosystem
• Joye-Libert-Kryptosystem ^{[ 47 ]}
• Castagnos-Laguillaumie-Kryptosystem ^{[ 48 ]}

Es existieren mehrere Open-Source-Implementierungen von partiell, teilweise und vollständig homomorphen Verschlüsselungsverfahren. Implementierungen von FHE-Verfahren der zweiten und vierten Generation arbeiten typischerweise im Leveled-FHE-Modus (obwohl Bootstrapping in einigen Bibliotheken weiterhin verfügbar ist) und unterstützen effizientes SIMD -ähnliches Packen von Daten. Sie werden typischerweise für Berechnungen mit verschlüsselten Ganzzahlen oder reellen/komplexen Zahlen verwendet. ^{[ 49 ]} Implementierungen von FHE-Verfahren der dritten Generation führen oft nach jeder Operation Bootstrapping durch, bieten aber nur eingeschränkte Unterstützung für das Packen von Daten. Sie wurden ursprünglich zur Berechnung Boolescher Schaltkreise über verschlüsselten Bits verwendet, wurden aber erweitert, um Ganzzahlarithmetik und die Auswertung univariater Funktionen zu unterstützen. ^{[ 50 ]} Die Wahl zwischen einem Verfahren der zweiten, dritten und vierten Generation hängt von den Eingabedatentypen und der gewünschten Berechnung ab.

Im Jahr 2017 gründeten Forscher von IBM , Microsoft , Intel , dem NIST und anderen das offene Homomorphic Encryption Standardization Consortium, das einen gemeinschaftlich entwickelten und sicheren Homomorphic Encryption Standard pflegt . ^{[ 74 ] [ 75 ] [ 76 ]}

• Clientseitige Verschlüsselung  – Art der Verschlüsselung
• Vertrauliches Rechnen  – Datenschutzverbessernde Rechentechnik
• Formatbewahrende Verschlüsselung  – Methode in der Kryptographie
• Homomorphe Geheimnisverteilung
• Homomorphe Signaturen für Netzwerkcodierung
• Polymorpher Code  – Selbstmodifizierender Programmcode, der entwickelt wurde, um Antivirenprogramme zu umgehen oder Reverse Engineering zu ermöglichen.
• Private Biometrie
• Private Mengenschnittpunkt  – Sichere kryptographische Technik für Mehrparteienberechnungen
• Durchsuchbare symmetrische Verschlüsselung  – System zur Suche in verschlüsselten Dokumenten
• Sichere Mehrparteienberechnung  – Teilgebiet der Kryptographie
• Verifizierbares Rechnen mit einem vollständig homomorphen Schema

• FHE.org-Community (Konferenz, Treffen und Diskussionsgruppe)
• Daniele Micciancios FHE-Referenzen
• Vinod Vaikuntanathans FHE-Referenzen
• „Alice und Bob im Chiffrierraum“ . American Scientist . September 2012. Abgerufen am 8. Mai 2018 .
• Eine Liste von Implementierungen homomorpher Verschlüsselung, die auf GitHub gepflegt wird.