Homomorfe encryptie: rekenen met data die je nooit ziet
Stel je voor: je stuurt een dichte, afgesloten doos naar een juwelier. De doos heeft ingebouwde handschoenen, zodat de juwelier erin kan werken zonder hem ooit te openen. Hij slijpt, poetst en zet de sieraden in elkaar, allemaal via die handschoenen, zonder ooit te zien wat erin zit. Alleen jij hebt de sleutel om de doos later te openen en het resultaat te bekijken. Dat is in essentie wat homomorfe encryptie (HE) mogelijk maakt, maar dan met computerdata in plaats van sieraden.
Met homomorfe encryptie kan een computer berekeningen uitvoeren op versleutelde gegevens, zonder die gegevens ooit te hoeven ontsleutelen. Het resultaat van de berekening komt er ook weer versleuteld uit; pas wanneer de eigenaar van de data het met zijn eigen sleutel ontsleutelt, wordt de uitkomst zichtbaar. Dit klinkt bijna tegenstrijdig, want normaal gesproken moet je gegevens juist ontsleutelen voordat je er iets mee kunt doen. Cryptografen noemen homomorfe encryptie daarom weleens de 'heilige graal' van hun vakgebied: het belooft dat je een cloudserver, een ziekenhuis of een willekeurige derde partij data kunt laten verwerken zonder ze ooit aan die partij te hoeven laten zien.
Wat is het precies?
Gewone versleuteling (encryptie) verandert leesbare data in onleesbare 'brij', de zogeheten ciphertext. Alleen met de juiste sleutel kun je die brij weer terugzetten naar de oorspronkelijke data (de plaintext). Zodra je iets met de data wilt berekenen, zoals optellen of vergelijken, moet je normaal gesproken eerst ontsleutelen.
Homomorfe encryptie doorbreekt dat door een wiskundige eigenschap: een bewerking die je uitvoert op de versleutelde brij, komt overeen met dezelfde bewerking op de onderliggende data. Tel je twee versleutelde getallen bij elkaar op, dan is het resultaat, eenmaal ontsleuteld, gelijk aan de som van de twee oorspronkelijke getallen. De rekenmachine weet dus niet wat hij optelt, maar de uitkomst klopt wel.
Er bestaan verschillende niveaus. 'Partieel homomorfe' systemen ondersteunen maar één type bewerking: het bekende RSA-algoritme kan bijvoorbeeld alleen vermenigvuldigen, het Paillier-systeem alleen optellen. 'Enigszins homomorfe' (somewhat homomorphic) systemen kunnen een beperkt aantal optellingen én vermenigvuldigingen aan voordat er iets misgaat. Dat 'misgaan' komt door ruis (noise) die bij elke bewerking op de versleutelde data toeneemt; na te veel bewerkingen overstemt die ruis het eigenlijke signaal en wordt ontsleutelen onmogelijk.
De doorbraak kwam in 2009, toen de Amerikaanse cryptograaf Craig Gentry in zijn proefschrift aan Stanford University de eerste 'volledig homomorfe encryptie' (fully homomorphic encryption, FHE) presenteerde. Zijn truc heet bootstrapping: op gezette tijden wordt de versleutelde data, zonder ze te ontsleutelen, als het ware 'ververst', waardoor de opgebouwde ruis wordt weggewerkt en er weer nieuwe bewerkingen mogelijk zijn. In theorie kun je zo een onbeperkt aantal berekeningen uitvoeren.
De veiligheid van vrijwel alle moderne FHE-systemen steunt op wiskundige roosters (lattices), meetkundige structuren met extreem veel dimensies. Het onderliggende probleem heet Learning With Errors (LWE), of de efficiëntere variant Ring-LWE: gegeven een reeks vergelijkingen met een beetje toegevoegde ruis, is het reconstrueren van de oorspronkelijke waarden reken-technisch onhaalbaar, zelfs met de snelste bekende computers. Bekende hedendaagse schema's zijn BGV en BFV (voor rekenen met gehele getallen), CKKS (voor bij benadering rekenen met kommagetallen, ontwikkeld door onderzoekers van Seoul National University) en TFHE (geoptimaliseerd voor snelle bootstrapping en logische bewerkingen).
Wat wil men ermee bereiken?
De kern van de belofte is vertrouwen. Steeds meer gevoelige data, medische dossiers, financiële transacties, locatiegegevens, wordt opgeslagen en verwerkt door externe partijen zoals cloudleveranciers. Die partijen moeten die data nu vaak in leesbare vorm kunnen inzien om er iets mee te kunnen doen, wat risico's op datalekken, misbruik en verplichte overdracht aan overheden met zich meebrengt.
Met homomorfe encryptie zou een ziekenhuis onderzoeksdata kunnen laten analyseren door een externe AI-dienst zonder dat die dienst ooit patiëntgegevens te zien krijgt. Banken zouden fraudepatronen kunnen delen en gezamenlijk analyseren zonder klantgegevens bloot te geven aan concurrenten. Overheden zouden statistiek kunnen laten berekenen over burgers zonder individuele dossiers in te zien. Kort gezegd: het scheidt het recht om te rekenen van het vermogen om te lezen.
Daarnaast speelt regelgeving een rol. Wetten zoals de Europese AVG (GDPR) leggen strenge eisen op aan het verwerken van persoonsgegevens. Technieken die 'privacy by design' mogelijk maken, waaronder homomorfe encryptie, sluiten daarbij aan en worden actief onderzocht als manier om aan die eisen te voldoen zonder functionaliteit op te offeren.
Voorbeelden uit de praktijk
Sinds Gentry's doorbraak in 2009 zijn tal van bruikbare implementaties ontstaan. Microsoft bracht in 2015 de opensourcebibliotheek Microsoft SEAL uit, die door onderzoekers en bedrijven wereldwijd wordt gebruikt om FHE te experimenteren en te implementeren. IBM ontwikkelde rond dezelfde periode HElib, eveneens open source, en heeft eigen onderzoeksteams die homomorfe encryptie toepassen op onder meer financiële en zorgdata.
Het Franse cryptografiebedrijf Zama, opgericht in 2020, richt zich specifiek op praktische toepassingen: hun opensourcebibliotheken TFHE-rs en Concrete maken het mogelijk om machine-learningmodellen (Concrete ML) op versleutelde data te laten draaien, en met fhEVM werken ze aan homomorfe encryptie voor slimme contracten op blockchains, zodat transactiegegevens vertrouwelijk kunnen blijven terwijl het netwerk ze toch kan verwerken.
Het Amerikaanse bedrijf Duality Technologies, opgericht door onder meer vooraanstaande cryptografen, past FHE toe in de financiële sector (bijvoorbeeld voor het gezamenlijk opsporen van witwaspraktijken tussen banken zonder onderlinge gegevensuitwisseling) en in de gezondheidszorg, waaronder genetisch onderzoek.
Apple heeft in eigen publicaties beschreven hoe het een vorm van homomorfe encryptie combineert met een techniek genaamd private information retrieval, onder meer voor een functie die onbekende bellers herkent zonder dat Apple's servers te weten komen wie je probeert op te zoeken. Het Amerikaanse defensieonderzoeksagentschap DARPA startte rond 2021 het DPRIVE-programma, gericht op het ontwikkelen van gespecialiseerde chips die homomorfe berekeningen drastisch versnellen; partijen als Intel, Duality Technologies en Galois werkten hieraan mee.
Hoe ver is de techniek?
Sinds 2009 is de rekensnelheid van FHE met vele grootteordes verbeterd. Waar Gentry's oorspronkelijke systeem minuten tot uren nodig had voor één enkele bewerking, gaat dat nu, dankzij betere wiskundige schema's en slimmere implementaties, vele malen sneller. Toch blijft homomorfe encryptie doorgaans honderden tot duizenden keren trager dan rekenen op onversleutelde data. Voor eenvoudige taken, zoals het vergelijken van versleutelde databaserecords of het uitvoeren van kleine AI-modellen, is dat inmiddels haalbaar. Voor zware, algemene toepassingen is de vertraging vaak nog te groot voor praktisch gebruik.
Bootstrapping, de stap die ruis wegwerkt, blijft de grootste rekenkundige bottleneck. Veel actueel onderzoek richt zich daarom op het versnellen ervan, onder meer met gespecialiseerde hardware: chips (ASIC's), programmeerbare processoren (FPGA's) en grafische kaarten (GPU's) die specifiek zijn geoptimaliseerd voor de wiskundige bewerkingen die FHE vereist. Intel bracht bijvoorbeeld de HEXL-bibliotheek uit om deze berekeningen op eigen processoren te versnellen, en Google publiceerde in 2023 en 2024 de HEIR-compiler, een gereedschap dat gewone programma's automatisch omzet naar homomorf uitvoerbare code.
De verschillende opensourcebibliotheken groeien ook naar elkaar toe: in 2022 werd OpenFHE gelanceerd, een project waarin de inspanningen van eerdere bibliotheken zoals PALISADE werden gebundeld, om versnippering tegen te gaan en een gemeenschappelijke, goed onderhouden standaard te bieden. Er loopt bovendien een internationale standaardisatie-inspanning via het initiatief HomomorphicEncryption.org, met als doel dat verschillende implementaties onderling compatibel en betrouwbaar geverifieerd zijn.
Een bijkomend voordeel is dat de wiskundige basis van FHE, roosterproblemen zoals LWE, tot nu toe bestand lijkt tegen aanvallen door quantumcomputers. Dat maakt onderzoek naar homomorfe encryptie nauw verweven met de bredere ontwikkeling van post-quantumcryptografie. Belangrijk om eerlijk te vermelden: net als bij alle relatief jonge cryptografische technieken is het nooit volledig uit te sluiten dat toekomstig wiskundig inzicht zwaktes blootlegt, al hebben deze roosterproblemen al jarenlang intensieve cryptoanalyse doorstaan.
Wie werken eraan?
Het onderzoeksveld is sterk academisch geworteld, met invloedrijke bijdragen van onder meer de onderzoeksgroep COSIC aan de KU Leuven in België, onderzoekers aan Seoul National University in Zuid-Korea (bedenkers van het CKKS-schema) en verschillende Amerikaanse universiteiten waar Craig Gentry en collega's baanbrekend werk verrichtten.
Aan de bedrijfskant investeren grote technologiebedrijven structureel in het veld: Microsoft (met SEAL), IBM (met HElib en toegepast onderzoek), Google (met de HEIR-compiler) en Intel (met hardwareversnelling via HEXL) hebben eigen onderzoeksteams. Apple past de techniek al toe in specifieke privacyfuncties. Daarnaast zijn er gespecialiseerde start-ups zoals Zama (Frankrijk) en Duality Technologies (Verenigde Staten), die zich volledig richten op het commercieel bruikbaar maken van homomorfe encryptie.
Op overheidsniveau financiert het Amerikaanse DARPA via het DPRIVE-programma de ontwikkeling van gespecialiseerde hardware, en ook de Europese Unie ondersteunt via onderzoeksprogramma's (Horizon Europe) meerdere projecten rond privacyversterkende technologieën waar homomorfe encryptie deel van uitmaakt. De gezamenlijke standaardisatie-inspanning van HomomorphicEncryption.org brengt academici en bedrijven bijeen om te zorgen dat implementaties wereldwijd op elkaar aansluiten.