Vitalik analisa o protocolo de ofuscação criptográfica do Diamond iO e “reduz” a complexidade para ocultar o código

O cofundador da Ethereum Vitalik Buterin publicou em 28 de julho, em seu blog oficial, a segunda parte de uma série sobre ofuscação criptográfica, explicando a arquitetura do protocolo “Diamond iO”. Em comparação com o tempo de computação “de nível galáctico” exigido pelos protocolos iO mais comuns, o Diamond iO conseguiu reduzir a complexidade para “nível planetário”. Vitalik acredita que, com apenas algumas otimizações-chave, alguns casos de uso específicos podem ter aplicação comercial.

Quebra de arquitetura do Diamond iO: força computacional em nível planetário

（Fonte：Vitalik.eth）

A tecnologia tradicional de iO geralmente executa operações de criptografia totalmente homomórfica (FHE) em criptografia de atributos com chaves (ABE) e, por meio de uma torre de protocolos sobrepostos, garante que o avaliador só possa decifrar após executar corretamente. Essa arquitetura traz um fardo computacional devastador. O Diamond iO resolve esse problema com duas modificações centrais no esquema BGG+14 ABE: introduz um novo mecanismo de decifração condicional em FHE e um novo mecanismo de geração de codificação de entrada, reduzindo significativamente a intensidade de computação para algo aproximadamente equivalente à criptografia de função (FE).

No fluxo de funcionamento, o avaliador obtém itens auxiliares, a entrada oculta z cifrada em FHE, as entradas públicas bits x e a chave de decifração FHE para baixo intervalo s; o protocolo usa de forma engenhosa o “operador de left shift por baldes (Bucket-wise left shift)” para dimensionar os pesos dos bits e evitar a explosão de erros. Por fim, extrai o resultado por meio de um “trapdoor (portão de armadilha)”, no qual esse trapdoor libera apenas as operações do formato de circuito executado corretamente.

Hipóteses de segurança: Evasive LWE e All-product LWE para impedir ataques de zerificação

A parte mais controversa, mas também mais inovadora, do Diamond iO é o seu mecanismo de geração de codificação de entrada, que depende de duas hipóteses criptográficas mais recentes: Evasive LWE proposto por Wee22 e All-product LWE exclusivo do Diamond iO. Essas duas hipóteses evitam efetivamente que o avaliador vaze segredos por meio de técnicas como subtração, desviando dos “ataques de zerificação” que repetidamente haviam derrubado protocolos de ofuscação iniciais.

Em termos de segurança, o protocolo adota a técnica “PROM bootstrap”: faz com que a entrada oculta z contenha o segredo real e uma chave aleatória de PRF, calcula uma nova função com deslocamento e, então, processa via hash XOR. Assim, consegue converter a ofuscação de funções pseudoaleatórias em ofuscação geral do protocolo iO.

Vitalik admite que essas hipóteses são relativamente novas e trazem certo risco; no futuro, ainda será necessário que a comunidade de criptografia invista mais esforço em análise e validação de segurança.

Direções futuras de otimização: PRF mais eficiente, protocolos FHE avançados e otimização da integração com STARK

O Diamond iO atualmente enfrenta gargalos de desempenho que incluem: custo de avaliação BGG+ (produto de ABE e FHE), dependência profunda do uso de PRF interno no comprimento da entrada por meio da árvore de Goldreich PRG, tolerância apenas a circuitos de baixa profundidade para evitar acúmulo de erros e necessidade de usar parâmetros de segurança subexponenciais grandes. As direções de otimização futuras propostas por Vitalik são as seguintes:

· Usar um PRF mais eficiente para substituir a árvore de Goldreich

· Trocar por um protocolo FHE mais avançado (como BGV/CKKS ou GSW em pacotes)

· Combinar ainda mais as camadas de ABE e FHE para reduzir o custo

· Otimizar especificamente o “código-fonte completo de iO” em combinação com provas STARK

No final do artigo, Vitalik afirma que o maior valor do Diamond iO está em sua estrutura relativamente simples e fácil de analisar: desenvolvedores não precisam dominar todas as construções complexas dos últimos 20 anos para entender o núcleo. Ele espera que este artigo atraia mais pesquisadores para se envolver em análises de segurança e otimizações de desempenho.

Perguntas frequentes

O que exatamente significa a complexidade “nível planetário” do Diamond iO?

No artigo, Vitalik descreve o tempo de computação necessário pelos protocolos iO tradicionais como “de nível galáctico”, referindo-se a uma carga computacional maior do que a vida útil do universo; o Diamond iO conseguiu reduzir a complexidade para “nível planetário”. Embora ainda seja inviável nas condições de hardware atuais, já encurta significativamente a distância entre teoria e uso prático. Vitalik acredita que, após algumas otimizações-chave, alguns casos de uso específicos podem chegar ao mercado.

Quais são as duas novas hipóteses criptográficas em que o Diamond iO se baseia e que problemas elas resolvem?

O Diamond iO depende de Evasive LWE (proposta por Wee22) e All-product LWE (exclusiva do Diamond iO). Essas hipóteses evitam efetivamente que o avaliador vaze segredos por meio de subtração e métodos semelhantes, contornando os “ataques de zerificação (Zeroizing attacks)” que anteriormente haviam derrubado repetidamente protocolos de ofuscação iniciais. Vitalik afirma que essas hipóteses são relativamente novas e que, no futuro, será necessário que a comunidade de criptografia faça mais análises de segurança.

Quais são atualmente os principais gargalos de desempenho do Diamond iO?

Os principais gargalos incluem: custo de avaliação BGG+ (produto de ABE e FHE), a árvore de Goldreich PRG dentro do protocolo em que o PRF interno depende profundamente do comprimento da entrada, a necessidade de aceitar apenas circuitos de baixa profundidade para evitar explosão de erros e a necessidade de usar parâmetros de segurança subexponenciais grandes; as direções de melhoria sugeridas por Vitalik incluem PRF mais eficiente, protocolos FHE avançados (como BGV/CKKS) e a combinação das camadas de ABE e FHE.