同态加密：直接在密文上计算

FreeGuideOnline 21阅读 2026-07-03

什么是同态加密

同态加密是一种特殊的加密形式，它允许在不暴露原始数据的情况下，直接对加密后的数据（密文）进行计算。计算完成后，对结果进行解密，得到的明文结果与对原始明文直接执行相同计算的结果一致。简单来说，就是**“在加密的数据上做运算，等价于在原始数据上做运算”**。

例如，假设你有两个数字 a 和 b，加密后得到 Enc(a) 和 Enc(b)。通过同态加密，你可以计算出 Enc(a + b)，而不需要知道 a 和 b 具体是多少。解密后正好得到 a + b。

这种特性让数据在保持机密的同时能够被处理，在云计算、隐私保护机器学习、安全的数据外包等领域有着重大意义。

同态加密的核心思想

传统的加密方案只保证数据的静态安全：数据在传输和存储时是加密的，但一旦需要计算，就必须先解密。这会在使用云服务时带来信任问题——服务商必须看到你的明文才能处理数据。

同态加密打破了这一限制，将密文的计算能力交给不可信的第三方，而数据始终以加密形式存在。整个流程可以概括为：

  1. 密钥生成：生成公钥（用于加密）和私钥（用于解密）。
  2. 加密：使用公钥将明文数据加密成密文。
  3. 同态计算：在密文上直接执行预定义的运算（如加法、乘法），得到运算后的密文。
  4. 解密：使用私钥解密运算后的密文，得到正确的明文运算结果。

这一过程的核心数学基础通常建立在格密码、理想格或环上的带误差学习（Ring-LWE）等困难问题上，确保其安全性能够抵抗量子计算机的攻击。

同态加密的主要类型

根据支持的运算种类和计算深度，同态加密可以分为三类：

部分同态加密

只支持单一类型运算的无限次执行，通常是加法或乘法中的一种。

  • 加法同态：例如 Paillier 加密方案，允许任意多次加法密文计算，但不支持乘法。
  • 乘法同态：例如 RSA 加密方案（无填充时）支持乘法同态，ElGamal 也支持乘法同态。

这类方案计算效率高，实现简单，适用于只需要一种运算的场景，如电子投票中的计票（累加）或加密数据相乘求积。

稍许同态加密

可以同时支持有限次数的加法和乘法运算，运算次数取决于方案参数。当运算深度超过某一阈值时，密文噪声会变得过大导致解密失败。

例如，许多基于整数的方案或第一代格基方案属于此类。它们通常作为构造全同态加密的中间步骤，本身在特定浅层电路中也有实际应用。

全同态加密

同时支持任意次的加法和乘法运算，理论上可以执行任何可计算函数。自2009年 Gentry 提出第一个理论构造以来，全同态加密已从“理论可行”走向“工程可用”。

当前主流的全同态加密方案包括：

  • BGV / BFV：擅长整数算术运算。
  • CKKS：支持近似实数运算，特别适合机器学习中的浮点计算。
  • TFHE / FHEW：擅长快速布尔运算和门级计算，单次门运算只需几十毫秒。

尽管全同态加密在计算开销和密文膨胀方面已有巨大改善，但与明文直接计算相比仍有数个数量级的性能差距。

工作原理示例：加法同态

为了让概念更具体，我们用一个简化版的加法同态加密示例来说明（注意：这不是安全方案，仅用于教学理解）。

假设我们设计一个极简的“加密”函数：Enc(x) = (x + k) mod n，其中 k 是密钥，n 是某个大数。

  • 明文：a = 5, b = 8
  • 密钥：k = 12
  • 加密：Enc(a) = (5+12) mod 100 = 17，Enc(b) = (8+12) mod 100 = 20

现在要对密文做加法： Enc(a) + Enc(b) = 17 + 20 = 37。

解密：Dec(37) = (37 - 2×12) mod 100 = 13（因为我们需要减去两倍的密钥，对应两个密文相加），确实等于 5 + 8。

实际安全的方案要复杂得多，依赖带有噪声的代数结构，但核心思想相同：将运算规则构建在密文空间中，使其在解密后能映射回正确的明文运算结果。

同态加密的典型应用场景

  • 隐私保护云计算：将敏感数据加密后上传至云服务器，服务器直接对密文进行分析（如统计、机器学习推理），返回加密结果，客户解密即可得到有用信息，全程云服务商无法知悉数据内容。
  • 安全多方计算简化：多个参与方将各自加密的私有数据发送给聚合服务器，由服务器在同态密文上完成聚合计算，仅输出最终结果，减少了交互轮次。
  • 联邦学习中的安全聚合：在手机或物联网设备训练本地模型时，上传加密的梯度，中央服务器进行密文聚合（平均）后更新全局模型，保护用户原始梯度数据。
  • 隐私保护的基因分析：医疗机构可将加密的基因数据交给研究机构，对方在密文上进行基因组关联分析，得到统计结果，不暴露个体基因信息。
  • 区块链与智能合约：在联盟链中，通过同态加密隐藏交易金额或状态，节点仍能进行验证和状态更新，实现保密交易和隐私智能合约。

主要优势与挑战

优势

  • 数据终身加密：从存储、传输到计算均保持密态，真正实现“可用不可见”。
  • 无需信任计算平台：将数据交给不可信第三方处理时，不泄露任何原始信息。
  • 量子安全：基于格密码的同态加密方案被认为是抗量子攻击的，具有长期安全性。

当前挑战

  • 性能开销：密文尺寸可能膨胀数百到数千倍，计算时间比明文慢几个数量级。这限制了在对时延敏感的大规模系统上的应用。
  • 编程复杂度：编写的程序必须转化为算术电路，且分支、循环等控制流需要特殊处理（或平铺成直行计算），对开发者要求较高。
  • 噪声管理：每次乘法都会增大密文噪声，超出阈值就会解密错误。需要通过昂贵的“自举”操作或精心规划电路深度来解决。
  • 标准化与生态：虽然已有开源库（如 Microsoft SEAL、OpenFHE、HElib 等）且在持续改进，但缺乏广泛的应用标准和成熟工具链。

如何开始学习与使用

如果你是初学者，建议按照以下路径逐步深入：

  1. 理解数学基础：熟悉基本的群论、环论概念，了解 LWE/RLWE 问题的表述。
  2. 选择一个开源库上手：
    • Microsoft SEAL：支持 BFV 和 CKKS，文档齐全，适合入门整数和实数运算。
    • OpenFHE：集成 BGV/BFV/CKKS/TFHE 等多种方案，统一 API，前沿且活跃。
    • HElib：老牌 BGV/CKKS 实现，包含自举和自动噪声管理。
  3. 从小实验开始：编写一个“加密加法器”或“加密乘法器”，体验加密、计算、解密流程。
  4. 深入学习具体方案：阅读 BFV/BGV 方案原理，了解重线性化、模数切换、自举等核心技巧。
  5. 关注前沿进展：查询学术会议（如 Crypto、Eurocrypt、CCS）上关于 FHE 硬件加速、编译器优化、应用框架的最新论文。

总结

同态加密是实现数据全生命周期隐私保护的关键技术，它赋予了密文计算的能力，让数据在安全的前提下流动和发挥价值。虽然目前仍面临性能和易用性的挑战，但随着算法改进、硬件加速和软件生态的完善，它正在从实验室走向实际应用。对于关注数据安全与合规的开发者来说，现在就是了解并掌握同态加密的最佳时机。