4.3 安全性考虑：参数与攻击面

4.3 安全性考虑：参数与攻击面

本节摘要：同态方案的安全性由"参数决定下限、用法决定上限"：参数侧要会用安全估计器核对格攻击的核心困难度指标，理解量子模型对参数的折价；用法侧要过一遍攻击面清单——选择明文攻击下的语义安全、电路隐私、解密预言机误用、环路安全假设、侧信道与实现缺陷。本节给出核对纪律与清单化防御要点。

攻击者的账本：格攻击的成本模型

评估一组参数是否安全，思路是把"攻破它"折算成格上问题的求解成本，再与目标安全位（一百二十八比特是当前主流底线）比较。最好的已知攻击家族是筛法类算法：先由经典计算机上的指数成本版本主导，量子计算把其中某些步骤用幅度放大加速，折价大约是平方根量级（成本指数从零点二九二降到零点二六五每格维）。社区用"核心困难度"这个统一指标把这些模型标准化——参数表里的"一百二十八比特安全"就是指最好的已知攻击折算成本不低于二的一百二十八次方。

工程上不需要自己推导这些数字，但必须会用工具。学术界维护着一个公开的格安全估计器（输入维度、模数、噪声分布，输出各攻击模型的成本估计），主流库的预设参数都标注了用它核算过的安全位。核对纪律有三条：第一，新项目开工时用估计器复核所用参数，不要照抄五年前论文（参数安全位随攻击算法进步持续贬值，近十年里若干旧档位已被调低）；第二，任何"加大模数换深度"的改动都要重新过一遍估计器——模数与维度之比恶化是安全滑坡的头号来源；第三，记录核算时的攻击模型版本，安全审计要能追溯。

# 参数安全核对的骨架（概念形态，实际使用学术界的格安全估计器）
def check_security(poly_degree, log_q, noise_std):
    estimates = lattice_estimator(
        dimension=poly_degree,          # 环维度，如 4096
        log_modulus=log_q,             # 系数模数比特数，如 109
        noise_std=noise_std,            # 离散高斯标准差，常取 3.2
    )
    classical = estimates.best_classical_cost()   # 经典筛法成本
    quantum = estimates.best_quantum_cost()       # 量子折价后成本
    target = 128
    assert quantum >= target, (
        f"量子模型下安全位 {quantum} 低于 {target}，"
        f"建议提升维度档（当前 {poly_degree}）")
    return {"classical": classical, "quantum": quantum}
​

骨架里的断言方向值得强调：量子成本更低，所以按量子模型验收（更保守）；若把目标安全位提到一百九十二或二百五十六（高价值数据），维度要相应跳档，成本线性上涨——安全不是免费的旋钮。

攻击面清单：五类真实风险

参数定下限，用法定上限。同态系统在生产环境里的真实风险集中在五个条目上，逐项过一遍。

第一条，语义安全的边界。现代方案在标准模型下满足选择明文攻击的语义安全，但"把解密结果拿去做后续计算"这个动作不在传统定义覆盖内——第三章讲过的近似方案解密误用事件就是实例：攻击者拿到解密结果的反馈通道后，从舍入行为反推私钥。防御是双重的：解密实现加噪声泛洪，且协议设计上不允许解密结果回流给不可信方。这个教训已经写成强化安全定义进入标准讨论。

第二条，环路安全假设。自举密钥本质是"加密后的私钥"，发布它依赖一个超出标准语义安全的额外假设（知道私钥的加密不帮助破译）。社区普遍接受该假设，但高合规场景应当把它作为单独条目列出并定期评审，而不是混在"语义安全"里一笔带过。

第三条，电路隐私。服务器在同态求值过程中留下的中间痕迹，理论上可能泄露它执行了什么电路。银行风控这类"算法本身是商业机密"的场景需要电路隐私（常用手段是在返回前做一次噪声泛洪式的清洗）。标准语义安全保护的是数据，不自动保护计算逻辑，两者要分开声明。

第四条，侧信道。数论变换与自举的运行时间随数据与密钥分布波动，缓存与分支行为都可能成为计时侧信道；实现层要求常数时间编码与统一内存访问模式。这条与所有密码软件相同，但同态库的实现复杂度放大了风险面，选库时要看它的侧信道声明。

第五条，实现缺陷与参数落地错误。明文模数选成不合要求的合数（零因子塌缩）、噪声分布参数偏离设计值、随机数源质量不达标——这类"参数用错"在真实事故里占比远高于数学被攻破。防御手段朴素而有效：参数只从库的预设档取、单元测试覆盖解密边界、关键参数在代码里带注释与来源。

后量子的定位与迁移纪律

同态方案建在格问题上，天然带有后量子属性——这是它在密码学迁移叙事里的独特位置，第六章会展开完整图景。这里只立一条工程纪律：即使底层抗量子，系统其他环节（传输层的传统密钥交换、辅助的哈希与签名）未必抗量子，整体系统的后量子水位取决于最弱的环节。安全审计应当输出一张"各环节算法清单"，标注每项的量子脆弱性，而不是因为"我们用了同态加密"就宣称系统后量子安全。

另一个值得记录的历史教训是参数档的寿命。社区标准的首个版本里最低档（约二十七比特模数、千级维度）发布数年后被评估为安全余量不足，后续版本上调了推荐下限。这不是事故而是学科常态：攻击算法在进步，参数像食品保质期一样需要定期复检。把"上次核算时间"记进参数配置的注释字段，是成本极低但极有效的纪律。

💡 关键直觉：安全位的"位"和深度的"层"在同一根参数轴上拔河——加模数给深度，就同时削弱安全；补维度找回安全，尺寸与速度再付出代价。参数设计就是在"安全、深度、性能"的三维曲面上找可行点，估计器与预算表各管一维，缺一不可。

本节要点回顾

• 要点一：参数安全按量子模型验收（更保守），用学术估计器核对核心困难度；改模数必复核，核算版本要可追溯
• 要点二：五类攻击面——语义安全边界（解密回流）、环路安全、电路隐私、侧信道、参数落地错误；各自有独立防御动作
• 要点三：电路隐私保护的是计算逻辑而非数据，商业机密类场景要单独声明
• 要点四：后量子水位取决于系统最弱环节，算法清单式审计优于一句"我们用了同态"；参数档有保质期，记录上次核算时间