Security on kenji.blog

الحدس الرياضي للتشفير القائم على الشبكة (Lattice-based cryptography)

Fri, 11 Sep 2026 21:00:00 +0900

1. مقدمة: فجر التشفير ما بعد الكوانتوم (PQC) وصعود التشفير القائم على الشبكة

يتم دعم البنية التحتية الرقمية لمجتمعنا الحديث من خلال تقنيات تشفير المفتاح العام مثل تشفير RSA وتشفير المنحنى الإهليلجي (ECC). تعتمد هذه الأساليب التشفيرية في أمانها على صعوبة مسائل رياضية مثل “مسألة التحليل إلى عوامل أولية” و"مسألة اللوغاريتم المنفصل"، والتي يُعتقد أنه لا يمكن حلها بكفاءة (تتطلب وقتاً أسياً) بواسطة أجهزة الكمبيوتر الكلاسيكية التقليدية.

ومع ذلك، أحدثت “خوارزمية شور” (Shor’s Algorithm) التي نشرها بيتر شور (Peter Shor) في عام 1994 صدمة في عالم التشفير. أثبتت هذه الخوارزمية رياضياً أنه عند تحقيق أجهزة كمبيوتر كمومية واسعة النطاق، سيكون من الممكن حل مسألة التحليل إلى عوامل أولية ومسألة اللوغاريتم المنفصل في وقت كثير الحدود. وهذا يعني أن تشفير المفتاح العام المستخدم على نطاق واسع حالياً سيصبح قابلاً لفك التشفير بالكامل في المستقبل.

لمواجهة “التهديد الكمومي” (Quantum Threat)، أصبح من الملح إجراء أبحاث حول طرق تشفير جديدة يصعب فك تشفيرها حتى باستخدام أجهزة الكمبيوتر الكمومية. يُطلق على هذا المجال اسم “التشفير ما بعد الكوانتوم” (Post-Quantum Cryptography: PQC) أو “التشفير المقاوم للحوسبة الكمومية”.

هناك عدة مرشحين أقوياء في PQC. تشمل هذه التشفير القائم على التجزئة، والتشفير القائم على الكود، وتشفير متعدد الحدود متعدد المتغيرات، وتشفير التماثل الفائق. ومع ذلك، فإن التشفير الذي يحظى بأكبر قدر من الاهتمام حالياً ويحتل مركز الصدارة في عملية توحيد معايير PQC من قبل المعهد الوطني للمعايير والتكنولوجيا (NIST) هو “التشفير القائم على الشبكة” (Lattice-based cryptography). يتميز التشفير القائم على الشبكة بسرعات معالجة سريعة جداً للتشفير وفك التشفير مقارنة بالطرق الأخرى، كما يتميز بامتلاكه دليلاً أمنياً قوياً للغاية في نظرية التشفير، وهو تقليل “التعقيد في أسوأ الحالات” (Worst-case complexity) إلى “التعقيد في الحالة المتوسطة” (Average-case complexity).

في هذا المقال، سننطلق من التعريف الرياضي لـ “الشبكة” (Lattice) الذي يشكل أساس التشفير القائم على الشبكة، وسنشرح بتعمق المشاكل الصعبة على الشبكة مثل SVP (مسألة المتجه الأقصر) و CVP (مسألة المتجه الأقرب)، بالإضافة إلى “مسألة LWE” (التعلم مع الأخطاء - Learning With Errors) التي تعد قلب التشفير القائم على الشبكة الحديث، باستخدام المعادلات الرياضية والحدس الهندسي والأمثلة العددية المحددة.

2. التعريف الرياضي والحدس الهندسي للشبكة (Lattice)

2.1 الفضاء المتجهي والشبكة

في الرياضيات، تشير “الشبكة” (Lattice) إلى مجموعة من النقاط المنفصلة المرتبة بانتظام داخل فضاء متجهي حقيقي ذو $n$ بُعد $\mathbb{R}^n$. إنها تشبه الفضاء المتجهي (Vector Space) الذي ندرسه في الجبر الخطي، ولكن هناك فرق حاسم. في حين أن الفضاء المتجهي هو فضاء مستمر يتم التعبير عنه بتركيبة خطية ذات “معاملات حقيقية” لمتجهات الأساس، فإن الشبكة هي فضاء منفصل يتم التعبير عنه بتركيبة خطية ذات “معاملات صحيحة” لمتجهات الأساس.

دعونا نقدم تعريفاً رياضياً دقيقاً. نعتبر $n$ ($n \le m$) من المتجهات المستقلة خطياً $\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n$ في فضاء متجهي حقيقي ذو $m$ بُعد $\mathbb{R}^m$. نضع المصفوفة التي تحتوي على هذه المتجهات كمتجهات عمودية كـ $B = [\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n] \in \mathbb{R}^{m \times n}$. تُسمى هذه $B$ “أساس” (Basis) الشبكة.

الشبكة $\mathcal{L}(B)$ الناتجة عن هذا الأساس $B$ تُعرّف على النحو التالي:

$$ \mathcal{L}(B) = \left\{ \sum_{i=1}^{n} x_i \mathbf{b}_i \mathrel{\bigg|} x_i \in \mathbb{Z} \right\} = \{ B \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^n \} $$

النقطة المهمة هنا هي أن المعاملات $x_i$ تقتصر على الأعداد الصحيحة $\mathbb{Z}$ بدلاً من الأعداد الحقيقية $\mathbb{R}$. ونتيجة لذلك، تتشكل “مجموعة من النقاط المنفصلة” مثل نقاط التقاطع المتباعدة بمسافات متساوية، بدلاً من النقاط المستمرة التي توجد بأعداد لا حصر لها في الفضاء.

2.2 الصورة الهندسية

دعونا نفكر في مثال على المستوى ثنائي الأبعاد $\mathbb{R}^2$. إذا اخترنا متجهات الأساس $\mathbf{b}_1 = \begin{pmatrix} 1 \\ 0 \end{pmatrix}$ و $\mathbf{b}_2 = \begin{pmatrix} 0 \\ 1 \end{pmatrix}$، فإن الشبكة الناتجة عنها ستكون مجموعة من جميع الإحداثيات الصحيحة $(x, y) \in \mathbb{Z}^2$ على مستوى الإحداثيات. هذه هي أبسط “شبكة مربعة”.

ومع ذلك، لا تكون الشبكات متعامدة دائماً. على سبيل المثال، إذا أخذنا الأساس $\mathbf{b}_1 = \begin{pmatrix} 2 \\ 1 \end{pmatrix}$ و $\mathbf{b}_2 = \begin{pmatrix} 1 \\ 3 \end{pmatrix}$، فستكون النقاط الناتجة أشبه بنقاط تقاطع شبكة مائلة ومائلة.

2.3 عدم تفرد الأساس والتحويل الأحادي المعيار (Unimodular)

هناك خاصية مهمة تتعلق بأساس أمان التشفير القائم على الشبكة. وهي “وجود عدد لا حصر له من الأسس التي تولد نفس الشبكة”.

على سبيل المثال، الشبكة $\mathbb{Z}^2$ الناتجة عن الأساس المذكور أعلاه $\mathbf{b}_1 = (1, 0)^T, \mathbf{b}_2 = (0, 1)^T$، يمكن إنتاجها أيضاً بشكل مطابق للشبكة $\mathbb{Z}^2$ باستخدام الأساس $\mathbf{b}'_1 = (1, 1)^T, \mathbf{b}'_2 = (2, 3)^T$.

الشرط الضروري والكافي لأساس معين $B$ وأساس آخر $B'$ لتوليد نفس الشبكة هو وجود مصفوفة ذات عناصر صحيحة $U \in \mathbb{Z}^{n \times n}$، بحيث تكون المحددات $\det(U) = \pm 1$، ويُعبَّر عنها بـ:

$$ B' = B U $$

تُسمى مثل هذه المصفوفة $U$ بـ “مصفوفة أحادية المعيار” (Unimodular matrix).

الفكرة الأساسية في تطبيقات التشفير هي استخدام “أساس جيد” (أساس قريب من التعامد ومكون من متجهات قصيرة) كمفتاح سري، واستخدام “أساس سيء” (أساس مائل بشكل متبادل للغاية ومكون من متجهات طويلة جداً) كمفتاح عام. يصبح حساب الأساس الجيد من الأساس السيء أمراً صعباً للغاية عندما يزداد البعد. هذا هو الحدس الأساسي للتشفير القائم على الشبكة.

3. مسائل صعبة الحساب في الشبكة

يعتمد أمان التشفير القائم على الشبكة على صعوبة حل مسائل رياضية معينة على الشبكة. هنا نقدم اثنتين من المسائل الأساسية والأكثر شهرة.

3.1 مسألة المتجه الأقصر (Shortest Vector Problem: SVP)

تعد مسألة SVP هي المسألة الأكثر كلاسيكية وشهرة في نظرية الشبكة.

التعريف (SVP): بالنظر إلى أي أساس شبكة $B$، ابحث عن المتجه $\mathbf{v}$ الذي له أصغر معيار إقليدي (طول) من بين المتجهات غير الصفرية التي تنتمي إلى تلك الشبكة $\mathcal{L}(B)$.

مُعبّراً عنها رياضياً، إنها مسألة إيجاد المتجه $\mathbf{v}$ الذي يحقق $\min_{\mathbf{v} \in \mathcal{L}(B) \setminus \{\mathbf{0}\}} \| \mathbf{v} \|$. يُكتب هذا الطول الأدنى $\lambda_1(\mathcal{L})$ ويُسمى “الحد الأدنى المتتالي الأول للشبكة” (First successive minimum).

في الأبعاد المنخفضة مثل الأبعاد الثنائية أو الثلاثية، يمكن العثور على أقصر متجه بصرياً عن طريق رسم شكل. أو يمكن حله بكفاءة باستخدام خوارزميات مثل خوارزمية تقليل شبكة غاوس. ومع ذلك، عندما تصبح الأبعاد $n$ عالية في نطاق مئات إلى آلاف، فمن المعروف أن حل مسألة SVP بدقة هي مسألة NP-صعبة (NP-hard).

في التشفير الحقيقي، بدلاً من المتجه الأقصر الدقيق، يتم استخدام مسألة SVP التقريبية ($\gamma$-SVP) التي تعثر على “متجه قصير تقريباً”. عندما يكون معامل التقريب $\gamma$ بحجم كثير الحدود، لا تزال هذه المسألة تعتبر صعبة للغاية.

3.2 مسألة المتجه الأقرب (Closest Vector Problem: CVP)

مسألة CVP هي أيضاً مسألة بالغة الأهمية في التشفير القائم على الشبكة.

التعريف (CVP): بالنظر إلى أي أساس شبكة $B$ وأي متجه مستهدف $\mathbf{t} \in \mathbb{R}^m$ في الفضاء (ليس بالضرورة نقطة شبكة)، ابحث عن نقطة الشبكة $\mathbf{v} \in \mathcal{L}(B)$ الأقرب إلى $\mathbf{t}$ من بين نقاط الشبكة.

رياضياً، هي مسألة البحث عن نقطة الشبكة $\mathbf{v}$ التي تحقق $\min_{\mathbf{v} \in \mathcal{L}(B)} \| \mathbf{v} - \mathbf{t} \|$.

على غرار مسألة SVP، فإن CVP هي مسألة NP-صعبة في الأبعاد العالية. من وجهة نظر التطبيق التشفيري، فإن مسألة LWE، التي سيتم وصفها لاحقاً، مرتبطة ارتباطاً وثيقاً بمتغير خاص من CVP يُعرف باسم “فك التشفير ذي المسافة المحدودة” (Bounded Distance Decoding: BDD).

3.3 لماذا لا يمكن حلها عندما تصبح الأبعاد عالية؟ (حدود LLL و BKZ)

خوارزمية LLL (خوارزمية Lenstra-Lenstra-Lovász) هي خوارزمية مشهورة لحل مسائل الشبكة ذات الأبعاد العالية. تعمل خوارزمية LLL في وقت كثير الحدود ويمكنها تقليل (Reduction) أساس الشبكة إلى “أساس جيد” إلى حد ما. ومع ذلك، فإن أقصر متجه يمكن أن تجده خوارزمية LLL له معامل تقريب أسي ($2^{\mathcal{O}(n)}$) بالنسبة لطول المتجه الأقصر الحقيقي، وبالتالي لا يصل إلى مستوى كسر أمان التشفير.

باستخدام خوارزميات تقليل الأساس الأقوى مثل خوارزمية BKZ (Block Korkine-Zolotarev)، وهي تحسين لـ LLL، يمكن العثور على متجهات أقصر، ولكن كمية الحسابات تزداد بشكل أسي مع حجم الكتلة. في التشفير القائم على الشبكة، يتم تحديد البارامترات الآمنة (مثل حجم البعد $n$) عن طريق تقدير وقت تنفيذ خوارزمية BKZ. في المعايير القياسية الحالية لـ PQC، يتم اختيار قيم للبعد $n$ تتراوح من 500 إلى أكثر من 1000، ويقال إن فك التشفير سيستغرق وقتاً أطول من عمر الكون، حتى باستخدام أجهزة الكمبيوتر العملاقة أو الحواسيب الكمومية المستقبلية.

4. الصياغة الرياضية لمسألة LWE (التعلم مع الأخطاء - Learning With Errors)

تعتمد معظم التشفيرات الحديثة القائمة على الشبكة على “مسألة LWE” (التعلم مع الأخطاء) التي اقترحها عوديد ريغيف (Oded Regev) في عام 2005. يكمن جمال مسألة LWE في بساطة صياغتها، وحقيقة أنها تمتلك دليلاً رياضياً قوياً يسمى “التقليل من التعقيد في أسوأ الحالات إلى التعقيد في الحالة المتوسطة”.

4.1 نظام المعادلات الخطية بدون ضوضاء

لفهم مسألة LWE، دعونا نفكر أولاً في نظام بسيط من المعادلات الخطية المتزامنة بدون ضوضاء. لنفترض أن هناك متجهاً سرياً غير معروف $\mathbf{s} \in \mathbb{Z}_q^n$ (كل مكون هو عدد صحيح من $0$ إلى $q-1$). حيث $q$ هو عدد أولي.

نختار متجهات معاملات عشوائية $\mathbf{a}_1, \mathbf{a}_2, \dots \in \mathbb{Z}_q^n$، ونحسب الضرب النقطي (الجداء الداخلي) مع المتجه السري $\mathbf{s}$ في المعيار $q$ (mod $q$). $b_1 = \langle \mathbf{a}_1, \mathbf{s} \rangle \pmod q$ $b_2 = \langle \mathbf{a}_2, \mathbf{s} \rangle \pmod q$ $\vdots$

إذا أُعطينا عدداً كافياً (أكثر من $n$) من أزواج $(\mathbf{a}_i, b_i)$، يمكننا بسهولة استعادة المتجه السري $\mathbf{s}$ باستخدام “الحذف الغاوسي” (Gaussian elimination) في الجبر الخطي. هذه مسألة يمكن حلها بسهولة في وقت كثير الحدود.

4.2 تعريف مسألة LWE: إضافة الضوضاء

الآن، ماذا سيحدث إذا أضفنا “ضوضاء” (خطأ) طفيفة إلى هذه المسألة؟ هذا هو جوهر مسألة LWE.

بالنسبة للمتجه السري غير المعروف $\mathbf{s} \in \mathbb{Z}_q^n$، نضيف خطأً صغيراً $e_i \in \mathbb{Z}_q$ إلى نتيجة كل معادلة. $b_i = \langle \mathbf{a}_i, \mathbf{s} \rangle + e_i \pmod q$

هنا، $e_i$ هو قيمة صحيحة صغيرة بمتوسط 0 وانحراف معياري صغير نسبياً (على سبيل المثال، يتم اختياره من توزيع غاوسي منفصل يشبه التوزيع الطبيعي). المعلومات المعطاة هي قائمة بأزواج من المتجهات العشوائية $\mathbf{a}_i$ والقيمة المحسوبة $b_i$ مع الخطأ المضاف إليها. $( \mathbf{a}_1, b_1 ), ( \mathbf{a}_2, b_2 ), \dots, ( \mathbf{a}_m, b_m )$

التعبير عن هذا كمصفوفة يجعله أنيقاً جداً. باستخدام مصفوفة عشوائية $A \in \mathbb{Z}_q^{m \times n}$، والمتجه السري $\mathbf{s} \in \mathbb{Z}_q^n$، ومتجه الخطأ $\mathbf{e} \in \mathbb{Z}_q^m$، يمكن كتابته كـ:

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q $$

يُعطى فقط $A$ و $\mathbf{b}$. إيجاد $\mathbf{s}$ من هذه المعلومات هو “مسألة LWE البحثية” (Search LWE problem).

نظراً لوجود الخطأ $e_i$، إذا حاولت استخدام الحذف الغاوسي، فسوف يتضخم الخطأ بشكل أسي أثناء عملية جمع وطرح المعادلات، ولن تتمكن من الوصول إلى الإجابة الصحيحة. على الرغم من أنها تبدو للوهلة الأولى وكأنها معادلات خطية متزامنة بسيطة، إلا أن إضافة هذه الضوضاء الصغيرة ترفع مستوى صعوبة المسألة إلى مستوى NP-صعب.

4.3 مسألة LWE التقريرية (Decision LWE)

غالباً ما يُستخدم في إثباتات نظرية التشفير متغير من مسألة LWE البحثية يسمى “مسألة LWE التقريرية” (Decision LWE problem).

مسألة LWE التقريرية هي مسألة تحديد من أي التوزيعين التاليين تم أخذ قائمة معينة من العينات:

توزيع LWE: $(A, \mathbf{b} = A\mathbf{s} + \mathbf{e} \pmod q)$ المحسوب عمداً.
توزيع عشوائي منتظم: $(A, \mathbf{u})$ يتكون من مصفوفة مختارة عشوائياً بالكامل $A$ ومتجه $\mathbf{u}$.

المدهش هو أنه إذا تم اختيار بارامترات مسألة LWE بشكل مناسب، فإن الأزواج التي يتم الحصول عليها من توزيع LWE تصبح “غير قابلة للتمييز حسابياً” (Computationally Indistinguishable) عن أزواج البيانات العشوائية تماماً. تُشكل هذه الخاصية الأساس الذي يجعل التشفير القائم على LWE قادراً على توليد “نصوص مشفرة لا يمكن تمييزها عن الأرقام العشوائية”.

4.4 التقليل من التعقيد في أسوأ الحالات إلى التعقيد في الحالة المتوسطة (مبرهنة Regev)

الإنجاز الأكبر لعوديد ريغيف كان الربط الرياضي لصعوبة مسألة LWE هذه بصعوبة مسائل الشبكة المذكورة أعلاه (SVP و CVP).

لقد استخدم التقليل الكمومي (Quantum reduction) لإثبات أنه “إذا كانت هناك خوارزمية ذات وقت كثير الحدود يمكنها حل مسألة LWE في المتوسط (لـ $A$ و $\mathbf{e}$ المختارة عشوائياً)، فهناك خوارزمية كمومية ذات وقت كثير الحدود يمكنها حل مسألة Gap-SVP في الحالة الأسوأ (أصعب حالة) لأي شبكة.” (في وقت لاحق، أوضح Peikert وآخرون تقليلاً كلاسيكياً أيضاً).

هذه خاصية حالمة في نظرية التشفير. وذلك لأنها تبدد المخاوف القائلة بأن “التشفير قد يُكسر لأننا ربما اخترنا بالصدفة مفتاحاً ضعيفاً (جزء من الحالة المتوسطة)"، وتوفر ضماناً قوياً بأنه “إذا كان من الممكن حل LWE المتوسط، فسيتم حل جميع المسائل الصعبة للشبكة (لذلك فإن LWE صعب بالتأكيد)”.

graph TD A["مسائل الشبكة في أسوأ الحالات (Gap-SVP, SIVP)"] -->|تقليل كمومي/كلاسيكي| B["مسألة LWE في الحالة المتوسطة"] B -->|البناء التشفيري| C["أنظمة التشفير القائمة على LWE (PKE, KEM, FHE)"] style A fill:#ffcccc,stroke:#ff0000,stroke-width:2px,color:#000 style B fill:#ccffcc,stroke:#00aa00,stroke-width:2px,color:#000 style C fill:#ccccff,stroke:#0000ff,stroke-width:2px,color:#000

5. بناء نظام تشفير المفتاح العام باستخدام LWE (تشفير Regev)

الآن وقد فهمنا صعوبة مسألة LWE، دعونا نرى كيف يتم استخدامها للتشفير وفك التشفير في نظام تشفير المفتاح العام الأساسي الذي اقترحه عوديد ريغيف. سنشرح هنا الآلية الأساسية لتشفير رسالة من بت واحد $M \in \{0, 1\}$.

5.1 توليد المفتاح (Key Generation)

كمعلمات للنظام، نحدد العدد الأولي الأساسي $q$، والبعد $n$، وعدد المعادلات $m$ ($m > n \log q$).
كمفتاح سري، نختار بشكل عشوائي متجهاً $\mathbf{s} \in \mathbb{Z}_q^n$.
نقوم بتوليد مصفوفة عشوائية $A \in \mathbb{Z}_q^{m \times n}$.
نختار متجه خطأ صغيراً $\mathbf{e} \in \mathbb{Z}_q^m$ من توزيع أخطاء مثل التوزيع الغاوسي المنفصل.
نحسب المتجه $\mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q$.
المفتاح العام (Public Key) هو $(A, \mathbf{b})$.
المفتاح السري (Secret Key) هو $\mathbf{s}$.

المفتاح العام هو بالضبط “مثيل لمسألة LWE” بحد ذاتها. إيجاد المفتاح السري $\mathbf{s}$ من المفتاح العام $(A, \mathbf{b})$ يعادل حل مسألة LWE البحثية، مما يضمن الأمان.

5.2 التشفير (Encryption)

تقوم أليس بتشفير رسالة من بت واحد $M \in \{0, 1\}$ باستخدام المفتاح العام لبوب $(A, \mathbf{b})$.

تختار متجهاً ثنائياً عشوائياً (مكوناته 0 أو 1) $\mathbf{r} \in \{0, 1\}^m$.
كجزء أول من النص المشفر، تحسب المتجه $\mathbf{u} = A^T \mathbf{r} \pmod q$. ($A^T$ هي المصفوفة المنقولة لـ $A$. بعبارة أخرى، تقوم بجمع صفوف $A$ التي يكون فيها المكون المقابل في $\mathbf{r}$ يساوي 1).
كجزء ثانٍ من النص المشفر، تحسب العدد القياسي (scalar) $v = \mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q$. (إذا كانت الرسالة $M$ هي 0 فلا تجمع شيئاً، وإذا كانت $1$ تجمع قيمة نصف $q$ تماماً $\lfloor \frac{q}{2} \rfloor$).
النص المشفر (Ciphertext) هو $(\mathbf{u}, v)$.

المعنى الحدسي للتشفير هو أخذ “مجموع مجموعة فرعية عشوائية” لمتجه المفتاح العام المصفوفة $A$ والمتجه $\mathbf{b}$. نظراً لصعوبة مسألة LWE التقريرية، يبدو هذا النص المشفر $(\mathbf{u}, v)$ غير قابل للتمييز عن متجه عشوائي تماماً وعدد عشوائي منتظم (الأمان الدلالي: Semantic Security).

flowchart LR M["رسالة M في {0,1}"] --> Enc PK["مفتاح عام (A, b)"] --> Enc r["متجه ثنائي عشوائي r"] --> Enc subgraph Enc ["عملية التشفير"] direction TB u_calc["u = A^T * r mod q"] v_calc["v = b^T * r + M * floor(q/2) mod q"] end Enc --> CT["نص مشفر (u, v)"]

5.3 فك التشفير (Decryption)

يقوم بوب بفك تشفير النص المشفر $(\mathbf{u}, v)$ باستخدام مفتاحه السري $\mathbf{s}$.

يحسب القيمة التالية: $D = v - \mathbf{s}^T \mathbf{u} \pmod q$
إذا كانت النتيجة المحسوبة قريبة من $0$، فإنه يُخرج $M=0$. وإذا كانت قريبة من $\lfloor \frac{q}{2} \rfloor$، فإنه يُخرج $M=1$.

لماذا يمكن فك التشفير بهذه الطريقة؟ دعونا نوسع ذلك رياضياً. تذكر أن $\mathbf{b} = A \mathbf{s} + \mathbf{e}$.

$$ \begin{aligned} v - \mathbf{s}^T \mathbf{u} &= (\mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T (A^T \mathbf{r}) \\ &= ((A \mathbf{s} + \mathbf{e})^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= (\mathbf{s}^T A^T \mathbf{r} + \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q \end{aligned} $$

هنا، تم إلغاء $\mathbf{s}^T A^T \mathbf{r}$ بشكل جميل من المعادلة! ما تبقى هو $\mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor$.

$\mathbf{e}$ هو متجه ضوضاء بمكونات صغيرة جداً، و $\mathbf{r}$ هو متجه ثنائي بمكونات 0 أو 1. لذلك، فإن حاصل الضرب النقطي $\mathbf{e}^T \mathbf{r}$ يظل أيضاً قيمة صغيرة نسبياً (إذا تم اختيار المعلمات بشكل مناسب).

إذا كان $M=0$، فإن النتيجة تكون $\mathbf{e}^T \mathbf{r}$، وهي قيمة صغيرة قريبة من $0$.
إذا كان $M=1$، فإن النتيجة تكون $\mathbf{e}^T \mathbf{r} + \lfloor \frac{q}{2} \rfloor$، وستقع حول قيمة نصف $q$ وهي $\lfloor \frac{q}{2} \rfloor$.

إذا تم تصميم المعلمات بحيث تظل القيمة المطلقة للخطأ $\mathbf{e}^T \mathbf{r}$ أقل من $\frac{q}{4}$، فيمكن لبوب تحديد (فك تشفير) الرسالة $M$ بدقة بمجرد النظر إلى ما إذا كانت نتيجة الحساب أقرب إلى $0$ أو $\lfloor \frac{q}{2} \rfloor$. هذه هي الآلية الجميلة التي يعمل بها التشفير القائم على LWE.

flowchart LR CT["نص مشفر (u, v)"] --> Dec SK["مفتاح سري s"] --> Dec subgraph Dec ["عملية فك التشفير"] direction TB calc["حساب D = v - s^T * u mod q"] check["تحقق مما إذا كان D أقرب إلى 0 أو q/2"] end calc --> check Dec --> M_out["رسالة مستردة M"]

6. مثال لعبة (Toy Example) لتشفير LWE باستخدام قيم عددية محددة

نظراً لأن سلسلة المعادلات وحدها قد تجعل من الصعب استيعاب المفهوم، دعونا نتبع الحساب من التشفير إلى فك التشفير عن طريق تعيين قيم عددية صغيرة جداً بالفعل. (※ في أنظمة التشفير الحقيقية، لضمان الأمان، يتم استخدام $n$ بقيمة 500 أو أكثر، و $q$ بقيمة آلاف أو أكثر).

【إعداد البارامترات】

المعيار $q = 17$ (عدد أولي. وبالتالي تأخذ القيم النطاق من $0$ إلى $16$)
البعد $n = 2$
عدد المعادلات $m = 4$
لنفترض أننا نريد تشفير الرسالة $M = 1$.
مقدار إزاحة الرسالة: $\lfloor \frac{q}{2} \rfloor = \lfloor \frac{17}{2} \rfloor = 8$

【1. مرحلة توليد المفتاح】 يختار بوب المفتاح السري $\mathbf{s}$ والمصفوفة $A$ ومتجه الخطأ $\mathbf{e}$ عشوائياً.

$$ \mathbf{s} = \begin{pmatrix} 3 \\ 4 \end{pmatrix} \in \mathbb{Z}_{17}^2 $$ $$ A = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \in \mathbb{Z}_{17}^{4 \times 2} $$ $$ \mathbf{e} = \begin{pmatrix} 1 \\ -1 \\ 0 \\ 2 \end{pmatrix} \equiv \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} \pmod{17} $$

ثم يحسب المفتاح العام $\mathbf{b}$.

$$ A \mathbf{s} = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \begin{pmatrix} 3 \\ 4 \end{pmatrix} = \begin{pmatrix} 2\times 3 + 15\times 4 \\ 1\times 3 + 8\times 4 \\ 14\times 3 + 5\times 4 \\ 9\times 3 + 10\times 4 \end{pmatrix} = \begin{pmatrix} 6 + 60 \\ 3 + 32 \\ 42 + 20 \\ 27 + 40 \end{pmatrix} = \begin{pmatrix} 66 \\ 35 \\ 62 \\ 67 \end{pmatrix} $$

نحسب هذا بالنسبة للمعيار 17. (على سبيل المثال $66 = 17 \times 3 + 15$)

$$ A \mathbf{s} \pmod{17} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} $$

نضيف متجه الخطأ $\mathbf{e}$.

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} + \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} = \begin{pmatrix} 16 \\ 17 \\ 11 \\ 18 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 0 \\ 11 \\ 1 \end{pmatrix} \pmod{17} $$

المفتاح العام هو $A$ و $\mathbf{b} = (16, 0, 11, 1)^T$.

【2. مرحلة التشفير】 تقوم أليس بتشفير الرسالة $M = 1$. تختار متجهاً عشوائياً $\mathbf{r}$. هنا نفترض $\mathbf{r} = (1, 0, 1, 0)^T$.

تحسب $\mathbf{u}$.

$$ \mathbf{u} = A^T \mathbf{r} = \begin{pmatrix} 2 & 1 & 14 & 9 \\ 15 & 8 & 5 & 10 \end{pmatrix} \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = \begin{pmatrix} 2 \times 1 + 14 \times 1 \\ 15 \times 1 + 5 \times 1 \end{pmatrix} = \begin{pmatrix} 16 \\ 20 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 3 \end{pmatrix} \pmod{17} $$

تحسب $v$.

$$ \mathbf{b}^T \mathbf{r} = (16, 0, 11, 1) \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = 16 \times 1 + 11 \times 1 = 27 \equiv 10 \pmod{17} $$

تضيف القيمة $\lfloor 17/2 \rfloor = 8$ المطابقة للرسالة $M=1$.

$$ v = \mathbf{b}^T \mathbf{r} + M \cdot 8 = 10 + 1 \times 8 = 18 \equiv 1 \pmod{17} $$

ترسل أليس النص المشفر $(\mathbf{u}, v) = \left( \begin{pmatrix} 16 \\ 3 \end{pmatrix}, 1 \right)$ إلى بوب.

【3. مرحلة فك التشفير】 يقوم بوب، الذي استلم النص المشفر، بفك التشفير باستخدام المفتاح السري $\mathbf{s} = (3, 4)^T$. معادلة فك التشفير: يحسب $D = v - \mathbf{s}^T \mathbf{u} \pmod{17}$.

$$ \mathbf{s}^T \mathbf{u} = (3, 4) \begin{pmatrix} 16 \\ 3 \end{pmatrix} = 3 \times 16 + 4 \times 3 = 48 + 12 = 60 \equiv 9 \pmod{17} $$ $$ D = v - \mathbf{s}^T \mathbf{u} = 1 - 9 = -8 \pmod{17} $$

هنا، في عالم المعيار 17، $-8$ تساوي $9$ (لأن $-8 + 17 = 9$). يحدد بوب ما إذا كانت القيمة الناتجة $D = 9$ أقرب إلى $0$ أو $8$ ($\lfloor 17/2 \rfloor$). نظراً لأن $9$ هي بالتأكيد أقرب إلى $8$ من $0$، فقد تمكن بوب من استعادة $M = 1$ بنجاح!

لماذا أصبحت $9$؟ لنتذكر الإثبات السابق. جزء الخطأ هو $\mathbf{e}^T \mathbf{r} = (1, -1, 0, 2) (1, 0, 1, 0)^T = 1 \times 1 + 0 \times 1 = 1$. لذلك، فإن نتيجة الحساب هي $\mathbf{e}^T \mathbf{r} + M \cdot 8 = 1 + 8 = 9$، وتم تأكيد حساب القيمة كما هو متوقع نظرياً.

7. التطور نحو التطبيق العملي: Ring-LWE و Module-LWE

في حين أن مسألة LWE القياسية (Standard LWE) التي تم شرحها حتى الآن تحتوي على إثبات أمان قوي للغاية، إلا أن لها عيوباً قاتلة في التطبيق العملي. هذه العيوب هي “حجم المفتاح يصبح ضخماً” و “تكلفة الحساب عالية”.

في LWE القياسية، يتضمن المفتاح العام مصفوفة ضخمة $A \in \mathbb{Z}_q^{m \times n}$. عندما تصل المعلمة $n$ إلى المئات أو الآلاف، يصل حجم هذه المصفوفة إلى عدة ميغابايت، مما يجعلها ثقيلة جداً بحيث لا يمكن إرسالها واستقبالها في كل مرة على بروتوكولات الاتصال عبر الإنترنت (مثل TLS). بالإضافة إلى ذلك، يتطلب ضرب المصفوفات والمتجهات تعقيداً حسابياً قدره $\mathcal{O}(n^2)$.

لحل هذه المشكلة، تم تقديم “Ring-LWE (RLWE)” و “Module-LWE (MLWE)"، والتي تدمج بنية جبرية تسمى حلقات متعددات الحدود (Polynomial rings) في الشبكة.

7.1 حدس Ring-LWE

في Ring-LWE، يتم استبدال المتجهات والمصفوفات بعناصر (متعددات حدود) في حلقة متعددة الحدود $\mathcal{R}_q = \mathbb{Z}_q[X]/(X^n + 1)$. (حيث يتم اختيار $n$ كقوة للعدد 2).

في حين كان المفتاح العام في LWE القياسية هو المصفوفة $A$، فإن Ring-LWE يستخدم متعددة حدود واحدة $a(x)$. كما يصبح المفتاح السري $s(x)$ والخطأ $e(x)$ أيضاً متعددات حدود. تصبح المعادلة كما يلي:

$$ b(x) = a(x) \cdot s(x) + e(x) \pmod q $$

نظراً لأن هذا ضرب متعددات الحدود، باستخدام “تحويل العدد النظري” (Number Theoretic Transform: NTT) المشابه لتحويل فورييه السريع (FFT)، يمكن تقليل التعقيد الحسابي بشكل كبير إلى $\mathcal{O}(n \log n)$. علاوة على ذلك، نظراً لأن حجم المفتاح العام يتضاءل من مصفوفة إلى متعددة حدود مفردة، يتم تقليل حجم البيانات إلى $\mathcal{O}(n)$. يوفر هذا ميزة ساحقة في النطاق الترددي للاتصالات.

من الناحية الرياضية، لا تنتمي Ring-LWE إلى شبكة عامة، بل يتم إرجاعها إلى مسألة على شبكة ذات تماثل خاص تسمى “الشبكة المثالية” (Ideal Lattice).

7.2 Module-LWE ومعايير NIST (Kyber / ML-KEM)

في حين أن Ring-LWE فعالة، كان هناك قلق بسيط من أن البنية الجبرية الخاصة للشبكة المثالية قد تصبح نقطة انطلاق لهجمات مستقبلية. لذلك، فإن “Module-LWE (MLWE)” هو الذي أخذ “أفضل ما في العالمين”: الأمان المحافظ لـ LWE القياسية وكفاءة Ring-LWE.

في Module-LWE، نأخذ في الاعتبار مصفوفات ومتجهات صغيرة حيث تكون عناصرها متعددات حدود. بعبارة أخرى، نتعامل مع وحدات (Modules) فوق حلقات. حالياً، تعتمد “CRYSTALS-Kyber” (الاسم الموحد: ML-KEM)، التي اختارها NIST كمعيار لخوارزمية تبادل المفاتيح (KEM) لـ PQC، بالضبط على صعوبة مسألة Module-LWE هذه.

8. لماذا يعتبر آمناً ضد أجهزة الكمبيوتر الكمومية؟

أخيراً، سنتطرق إلى النقطة الأساسية: “لماذا يُعتقد أن التشفير القائم على الشبكة لا يمكن فك تشفيره حتى باستخدام جهاز كمبيوتر كمومي؟”.

إن خوارزمية شور، التي يستخدمها الكمبيوتر الكمومي لكسر تشفير RSA وتشفير المنحنى الإهليلجي، هي في جوهرها خوارزمية تحل “مسألة المجموعة الفرعية المخفية” (Hidden Subgroup Problem: HSP). تتمتع البنية الرياضية (المجموعات الأبيلية المحدودة - Finite abelian groups) وراء RSA و ECC بدورية (Periodicity)، ومن خلال استخدام عملية كمومية خاصة تسمى تحويل فورييه الكمومي (QFT)، يمكن استخراج هذه الفترة (المجموعة الفرعية المخفية) دفعة واحدة.

ومع ذلك، فإن مسائل الشبكة تختلف بشكل أساسي. في حين أن للشبكات أيضاً دورية، فإن المطلوب في SVP و CVP هو خصائص هندسية غير خطية مثل “أقصر مسافة” و “إزالة الضوضاء”. حتى لو تم تطبيق “تحويل فورييه الكمومي على مجموعة أبيلية” كما هو الحال في خوارزمية شور مباشرة، لا يمكن استخراج المعلومات المفيدة التي يمكن أن تشكل حلاً لمسألة الشبكة بكفاءة. حتى يومنا هذا، لم يتم اكتشاف أي خوارزمية كمومية يمكنها حل SVP أو LWE في وقت كثير الحدود، ويُعتقد على نطاق واسع أنه حتى مع قوة الحوسبة المتوازية لأجهزة الكمبيوتر الكمومية، فإن الاستكشاف الذي يقترب من القوة الغاشمة (فقط تحسين الجذر التربيعي بواسطة خوارزمية غروفر - Grover’s algorithm) هو الطريقة الوحيدة الفعالة.

9. الخلاصة

في هذا المقال، شرحنا بالتفصيل الحدس الرياضي للتشفير القائم على الشبكة، بدءاً من التعريف الهندسي للشبكة، وصياغة مسألة LWE، ووصولاً إلى بناء تشفير المفتاح العام.

الشبكة (Lattice) هي فضاء منفصل يتم التعبير عنه بتركيبة خطية ذات معاملات صحيحة لمتجهات الأساس، وفي الأبعاد العالية، يصبح من الصعب العثور على “أساس جيد” قريب من التعامد (SVP).
مسألة LWE (التعلم مع الأخطاء) هي مسألة حل نظام من المعادلات الخطية المتزامنة مع الضوضاء، ونظراً لأن هذه المسألة مرتبطة بصعوبة أسوأ حالة لمسائل الشبكة، فإنها توفر أساساً قوياً للأمان.
باستخدام مسألة LWE، يتم تحقيق التشفير وفك التشفير (تشفير Regev) من خلال آلية بارعة لإضافة وإزالة الضوضاء عمداً.
في البروتوكولات الحقيقية، لزيادة كفاءة الاتصال وسرعة الحساب، يتم اعتماد Ring-LWE و Module-LWE باستخدام حلقات متعددة الحدود، وهي تُشكل أساس ML-KEM القياسي لـ NIST.

في خضم اقتراب نقلة نموذجية حسابية غير مسبوقة متمثلة في أجهزة الكمبيوتر الكمومية، من الرومانسي للغاية أن نرى “التشفير القائم على الشبكة”، الذي نشأ من أعماق الجبر الخطي الكلاسيكي ونظرية الأعداد، يتولى دور الأساس لأمن الإنترنت في المستقبل. الرياضيات التي تكمن وراء التشفير القائم على الشبكة ليست غامضة للغاية بأي حال من الأحوال، ومع المعرفة الأساسية بالجبر الخطي والاحتمالات، يمكن فهم بنيتها الجميلة بالكامل. نأمل أن يكون هذا المقال قد ساعدك على فهم التشفير القائم على الشبكة، الذي يشكل نواة PQC.

آلية إثبات المعرفة الصفرية (ZKP) وتطبيقاتها الحديثة في Web3 والأمن

Fri, 11 Sep 2026 19:00:00 +0900

مقدمة

في المجتمع الرقمي الحديث، تعد خصوصية البيانات وقابلية التوسع من أهم التحديات. مع تزايد مخاطر تسرب المعلومات الشخصية والاستخدام غير المصرح به، هناك حاجة ملحة لتقنية “تثبت أنك تمتلك معلومات معينة دون الكشف عنها للطرف الآخر”. ما يحقق ذلك هو إثبات المعرفة الصفرية (Zero-Knowledge Proof: ZKP).

إثبات المعرفة الصفرية هو مفهوم في نظرية التشفير اقترحه لأول مرة شافي غولدفاسر (Shafi Goldwasser)، سيلفيو ميكالي (Silvio Micali)، وتشارلز راكوف (Charles Rackoff) في الثمانينيات، ولكنه ظل لفترة طويلة مقتصرًا على البحث النظري. ومع ذلك، مع ظهور تقنية البلوكتشين و Web3، تغير الوضع تمامًا. برز ZKP فجأة كـ “عصا سحرية” تحل في الوقت نفسه مشكلة قابلية التوسع (حدود القدرة على المعالجة) ومشكلة الخصوصية (أن جميع المعاملات عامة ومكشوفة) التي تواجهها شبكات البلوكتشين العامة مثل الإيثريوم (Ethereum).

في هذه المقالة، سنشرح بتفصيل عميق وتقني كل شيء بدءًا من المفاهيم الأساسية لإثبات المعرفة الصفرية، مرورًا بالآليات الرياضية والتشفيرية العميقة لـ zk-SNARKs و zk-STARKs السائدة حاليًا، وصولاً إلى أحدث أمثلة تطبيقاتها في Web3 والأمن مثل ZK-Rollups والهويات اللامركزية (DID).

ما هو إثبات المعرفة الصفرية (ZKP)؟

إثبات المعرفة الصفرية (ZKP) يشير إلى بروتوكول يسمح للمُثبِت (Prover) بإثبات صحة قضية معينة للمُتَحَقِّق (Verifier) “دون نقل أي معلومات أخرى سوى حقيقة أن القضية صحيحة”.

المتطلبات الثلاثة التي يجب أن يفي بها ZKP

لكي يعتبر البروتوكول ZKP صالحًا، يجب أن يستوفي بدقة الخصائص الثلاث التالية:

الكمال (Completeness) إذا كانت القضية صحيحة واتبع كل من المُثبِت والمُتَحَقِّق البروتوكول بشكل صحيح، فيجب على المُتَحَقِّق قبول (Accept) الإثبات باحتمالية ساحقة.
السلامة (Soundness) إذا كانت القضية خاطئة، فإنه من المستحيل (باستثناء احتمالية ضئيلة يمكن تجاهلها) لأي مُثبِت، مهما كانت قدرته الحسابية عالية أو نواياه سيئة، أن يخدع المُتَحَقِّق ويجعله يقبل الإثبات.
المعرفة الصفرية (Zero-Knowledge) إذا كانت القضية صحيحة، لا يمكن للمُتَحَقِّق الحصول على أي معلومات من عملية الإثبات سوى حقيقة “أن القضية صحيحة”. يتم إثبات ذلك رياضيًا من خلال وجود “محاكي (Simulator)” يمكنه محاكاة عملية الإثبات من منظور المُتَحَقِّق.

الإثبات التفاعلي والإثبات غير التفاعلي

هناك نوعان من ZKP: الإثبات التفاعلي (Interactive ZKP)، حيث يتبادل المُثبِت والمُتَحَقِّق الاتصالات عدة مرات، والإثبات غير التفاعلي (Non-Interactive ZKP)، حيث يرسل المُثبِت بيانات الإثبات مرة واحدة فقط.

الإثبات التفاعلي (Interactive ZKP)

تم تصميم ZKP في البداية كبروتوكول تفاعلي. وتعتبر قصة “كهف علي بابا” الشهيرة مثالاً على ذلك. التسلسل العام للبروتوكول هو كما يلي:

sequenceDiagram participant Prover as "المُثبِت (Prover)" participant Verifier as "المُتَحَقِّق (Verifier)" Note over Prover, Verifier: "التدفق الأساسي لبروتوكول الإثبات التفاعلي" Prover->>Verifier: "1. إرسال الالتزام (Commitment)" Verifier->>Prover: "2. إرسال تحدي عشوائي (Challenge)" Prover->>Verifier: "3. حساب وإرسال الاستجابة (Response)" Note over Verifier: "التحقق من الاستجابة (Verification)" Verifier-->>Prover: "4. القبول أو الرفض (Accept / Reject)" Note over Prover, Verifier: "※ لتأكيد الدقة، يتم تكرار هذا عشرات المرات"

هذه الطريقة قوية، ولكنها تتطلب أن يكون المُتَحَقِّق متصلاً بالإنترنت (أونلاين)، مما يجعلها غير مريحة للتطبيق في أنظمة موزعة غير متزامنة مثل البلوكتشين. في البلوكتشين، يجب أن يكون أي شخص قادرًا على التحقق من الإثباتات السابقة في أي وقت.

تحويل فيات-شامير (Fiat-Shamir Heuristic) وعدم التفاعلية

الطريقة الثورية لتحويل الإثبات التفاعلي إلى إثبات غير تفاعلي (Non-Interactive Zero-Knowledge Proof: NIZK) هي تحويل فيات-شامير.

بدلاً من “التحدي العشوائي” الذي يرسله المُتَحَقِّق، يقوم المُثبِت بإنشاء “تحدي شبه عشوائي” ذاتيًا باستخدام تجزئة (Hash) لالتزامه الخاص والمعلومات العامة. بافتراض أن دالة التجزئة التشفيرية (مثل SHA-256 أو Keccak) تعمل كـ “أوراكل عشوائي (Random Oracle)"، لا يمكن للمُثبِت التنبؤ بالتحدي أو التلاعب به مسبقًا. وبهذا يمكنه إكمال الإثبات بإرسال رسالة واحدة مع الحفاظ على نفس مستوى أمان الإثبات التفاعلي.

التفاصيل التقنية لـ zk-SNARKs

حاليًا، يعتبر zk-SNARKs (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge) هو الأكثر استخدامًا بين أنواع ZKP. كما يوحي اسمه، يمتلك خاصية المعرفة الصفرية (zk)، حجم إثباته صغير جدًا و التحقق منه سريع (Succinct)، غير تفاعلي (Non-Interactive)، وهو نقاش حول المعرفة (Argument of Knowledge).

يعتمد zk-SNARKs على الهندسة الجبرية المتقدمة ونظرية التشفير. يقوم بتحويل تنفيذ البرامج أو الحسابات إلى التحقق من معادلات متعددات الحدود المحددة.

1. الدوائر الحسابية والتحويل إلى R1CS (Rank-1 Constraint System)

أولاً، يتم تحويل أي حساب مراد إثباته (خوارزمية أو منطق عقد ذكي) إلى دائرة حسابية (Arithmetic Circuit) تتكون من بوابات الجمع وبوابات الضرب.

بعد ذلك، يتم تحويل هذه الدائرة الحسابية إلى مجموعة من معادلات المصفوفات تسمى R1CS (Rank-1 Constraint System). R1CS هي مسألة إيجاد مصفوفات $A, B, C$ التي تفي بالشرط التالي بالنسبة لمتجه المتغيرات $x$:

$$ (A \cdot x) \circ (B \cdot x) = C \cdot x $$

هنا، يمثل $\circ$ جداء هادامارد (الضرب عنصر بعنصر). يضمن هذا القيد أن جميع البوابات المنطقية (خاصة بوابات الضرب) في الدائرة قد تم حسابها بشكل صحيح.

2. التحويل إلى QAP (Quadratic Arithmetic Program)

نظرًا لوجود عدد لا يحصى من قيود مصفوفات R1CS، فإن التحقق منها بشكل فردي غير فعال للغاية. لذلك، باستخدام استيفاء لاغرانج (Lagrange interpolation)، يتم ضغط هذه القيود إلى معادلة متعددة حدود واحدة. هذا هو QAP (Quadratic Arithmetic Program).

من خلال التحويل إلى QAP، تتلخص المشكلة المراد إثباتها في: “هل تقبل متعددة الحدود المعينة $P(x)$ القسمة على متعددة حدود أخرى معروفة $Z(x)$؟”.

$$ P(x) = L(x) \cdot R(x) - O(x) $$

هنا، $L(x), R(x), O(x)$ هي متعددات حدود مجتمعة تتوافق مع كل صف من المصفوفات $A, B, C$ على التوالي. إذا كان المُثبِت يعرف الحل الصحيح (Witness)، فإن القيمة عند كل جذر (نقطة تقييم) لـ $P(x)$ ستكون 0، مما يعني أن $P(x)$ تمتلك متعددة الحدود المستهدفة $Z(x)$ كعامل. أي أنه توجد متعددة حدود $H(x)$ بحيث تتحقق المعادلة التالية:

$$ P(x) = H(x) \cdot Z(x) $$

يكفي أن يتحقق المُتَحَقِّق مما إذا كانت هذه المعادلة $P(s) = H(s) \cdot Z(s)$ صحيحة عند نقطة سرية عشوائية $s$، وبذلك يمكنه التحقق فورًا من أن الحساب بأكمله قد تم بشكل صحيح. هذا هو سر الـ “الإيجاز (Succinctness)”.

3. تشفير المنحنى الإهليلجي والازدواج (Bilinear Pairings)

ومع ذلك، إذا كان المُتَحَقِّق يعرف النقطة السرية $s$، فسيكون بإمكان المُثبِت تلفيق متعددة حدود مزيفة وتلبية المعادلة (انهيار السلامة). لذلك، يجب إجراء الحسابات بينما تظل $s$ مشفرة (باستخدام التشفير المتماثل) بحيث لا يعرفها أحد.

ما يحقق ذلك هو ازدواج المنحنى الإهليلجي (Bilinear Pairings). الازدواج $e$ هو دالة خاصة يمكنها، من قيمتين مشفرتين، حساب قيمة تعادل تشفير حاصل ضربهما.

$$ e(g_1^a, g_2^b) = e(g_1, g_2)^{ab} $$

حتى بدون معرفة $s$ نفسها، يمكن للمُثبِت حساب القيم المشفرة لمتعددات الحدود $P(s)$ و $H(s)$ باستخدام القيم المشفرة لقوى $s$ (والتي تسمى السلسلة المرجعية المشتركة: CRS - Common Reference String). يستخدم المُتَحَقِّق دالة الازدواج للتحقق مما إذا كانت العلاقة $P(s) = H(s) \cdot Z(s)$ قائمة على القيم وهي مشفرة.

4. الإعداد الموثوق (Trusted Setup)

أكبر نقطة ضعف في zk-SNARKs (وخاصة الأنظمة المبكرة مثل Groth16) هي أنها تتطلب عملية لإنشاء النقطة السرية $s$، أو ما يسمى بـ الإعداد الموثوق (Trusted Setup). إذا احتفظ منشئ النقطة $s$ بقيمتها بدلاً من تدميرها، فسيكون بإمكانه إنشاء أي إثبات مزيف (مشكلة النفايات السامة - Toxic Waste).

لمنع ذلك، يتم تنفيذ “مراسم (Ceremony)” باستخدام الحوسبة متعددة الأطراف (MPC). حيث يتعاون العديد من المشاركين لتوفير العشوائية، وإذا قام مشارك واحد على الأقل بتدمير قيمته العشوائية بصدق، فسيتم الحفاظ على أمان النظام بأكمله. ومع ذلك، فقد استمرت الأبحاث لسنوات للتخلص من هذا الاعتماد.

التفاصيل التقنية لـ zk-STARKs

ظهر zk-STARKs (Zero-Knowledge Scalable Transparent Argument of Knowledge) كاستجابة للاعتماد على الإعداد الموثوق ومخاطر فك تشفير المنحنى الإهليلجي بواسطة أجهزة الكمبيوتر الكمومية.

تم تطوير STARKs بواسطة إيلي بن ساسون (Eli Ben-Sasson) وآخرين. وكما يدل اسم “الشفافية (Transparent)"، فإنه لا يتطلب إعدادًا موثوقًا على الإطلاق. وكما يدل اسم “القابلية للتوسع (Scalable)"، فإنه يحافظ على كفاءة حجم الإثبات ووقت التحقق حتى مع زيادة حجم الحسابات.

1. التزامات متعددات الحدود وبروتوكول FRI

لا يعتمد zk-STARKs على تشفير المنحنى الإهليلجي، بل يؤسس أمانه فقط على دوال التجزئة. ولذلك، يمتلك خصائص مقاومة للتشفير ما بعد الكم (Post-Quantum Cryptography).

يتم التحقق من الحسابات بعد تحويلها إلى تنسيق يسمى AIR (Algebraic Intermediate Representation)، باستخدام خصائص متعددات الحدود أحادية أو متعددة الأبعاد. يكمن جوهر STARKs في بروتوكول FRI (Fast Reed-Solomon Interactive Oracle Proof of Proximity).

بروتوكول FRI هو تقنية للتحقق مما “إذا كانت دالة معينة قريبة بما فيه الكفاية من متعددة حدود بدرجة معينة (Proximity)”. يلتزم المُثبِت بقيم متعددة الحدود كأوراق (Leaves) في شجرة ميركل (Merkle Tree) (وهو ما يعرف بالتزام متعددة الحدود).

graph TD Root["جذر ميركل (الالتزام)"] --> Node0["العقدة 0"] Root --> Node1["العقدة 1"] Node0 --> Leaf0["P(x_0)"] Node0 --> Leaf1["P(x_1)"] Node1 --> Leaf2["P(x_2)"] Node1 --> Leaf3["P(x_3)"]

يطلب المُتَحَقِّق الكشف عن عدة نقاط عشوائية، ويستخدم براهين ميركل للتأكد من أنها مضمنة في الالتزام. من خلال تكرار ذلك بشكل متكرر، يُضمن باحتمالية ساحقة أن درجة متعددة الحدود الأصلية منخفضة بالفعل.

مقارنة بين zk-SNARKs و zk-STARKs

الميزة	zk-SNARKs	zk-STARKs
الافتراضات التشفيرية	المنحنيات الإهليلجية، الازدواج	دوال التجزئة المقاومة للتصادم
الإعداد الموثوق	مطلوب (البعض مثل Plonk يعتبر عامًا Universal)	غير مطلوب (شفاف Transparent)
مقاومة الحوسبة الكمومية	لا يوجد	يوجد
حجم الإثبات	صغير جدًا (~200 بايت)	كبير نسبيًا (عشرات الكيلوبايتات)
التكلفة الحسابية لإنشاء الإثبات	عالية	أقل نسبيًا من SNARKs
تكلفة التحقق (رسوم الغاز)	منخفضة جدًا (ثابتة)	منخفضة (تزداد لوغاريتميًا)

في السنوات الأخيرة، ظهرت أنواع من SNARKs “لا تتطلب إعدادًا موثوقًا، أو تتطلبه مرة واحدة فقط” مثل Plonk و Halo2، وبدأت الحدود بين SNARKs و STARKs تتلاشى تدريجيًا، لكن الاختلافات الأساسية في النهج الرياضي تظل مهمة.

أحدث التطبيقات لإثبات المعرفة الصفرية في Web3 والأمن

انتقل ZKP من النظرية إلى التطبيق العملي، وهو الآن يحدث ثورة في طليعة Web3 والأمن السيبراني.

1. التوسع الجذري للإيثريوم باستخدام ZK-Rollups

تواجه شبكات البلوكتشين من الطبقة الأولى (L1) مثل الإيثريوم قيودًا كبيرة في قابلية التوسع (المعضلة الثلاثية) بسبب تركيزها القوي على اللامركزية والأمن. الحل النهائي للطبقة الثانية (L2) لحل هذه المشكلة هو ZK-Rollups.

في ZK-Rollups، يتم تنفيذ ومعالجة آلاف المعاملات خارج السلسلة (L2)، ويتم إنشاء “ZKP واحد (Validity Proof)” يثبت أنها قد تم تنفيذها جميعًا بشكل صحيح. يحتاج العقد الذكي على سلسلة L1 فقط للتحقق من هذا الإثبات.

flowchart LR Users["المستخدمون (إرسال المعاملات)"] --> Sequencer["المنظم (جمع وتنفيذ المعاملات)"] Sequencer --> Prover["المُثبِت (إنشاء ZKP)"] Sequencer --> L1Contract["عقد L1 الذكي (نشر بيانات المعاملات)"] Prover --> L1Contract["تقديم ZKP (الإثبات)"] L1Contract --> Verify["التحقق وتحديث الحالة"]

الميزة الكبرى لـ ZK-Rollups، على عكس Optimistic Rollups (مثل Arbitrum و Optimism)، هي أنها لا تتطلب فترة تحدي (عادة 7 أيام) لإثبات الاحتيال (Fraud Proof). نظرًا لأن الصحة مضمونة تشفيريًا، يكتمل سحب الأموال (النهائية - Finality) إلى L1 في اللحظة التي يتم فيها التحقق من الإثبات. تتنافس حاليًا مشاريع مثل zkSync، Starknet، Scroll، و Polygon zkEVM بشراسة في التطوير، وتحقيق zkEVM المتوافق مع آلة الإيثريوم الافتراضية (EVM) يؤدي إلى نمو سريع في النظام البيئي.

2. الهوية المحافظة على الخصوصية (ZKP for Identity)

ستتغير أيضًا طريقة التحقق من الهوية الشخصية في العالم الرقمي بشكل جذري بفضل ZKP. على سبيل المثال، عند الإجابة على سؤال “هل عمرك 18 عامًا أو أكثر؟"، تتطلب الأنظمة التقليدية تقديم رخصة قيادة أو جواز سفر، مما يؤدي إلى مشاركة معلومات شخصية غير ضرورية كاسمك وعنوانك مع الطرف الآخر.

باستخدام ZKP، بناءً على شهادة رقمية (Verifiable Credential) صادرة عن جهة حكومية، يصبح من الممكن إثبات الحقيقة رياضيًا وهي “استنادًا إلى تاريخ ميلادي، عمري 18 عامًا أو أكثر في تاريخ اليوم” فقط. كل ما يحتاجه المُتَحَقِّق هو التحقق من التوقيع على الشهادة و ZKP، ولا يمكنه معرفة تاريخ ميلادك الفعلي أو هويتك.

حتى في مشاريع “إثبات الإنسانية (Proof of Personhood)” مثل Worldcoin، بدلاً من تخزين أو مشاركة بيانات قزحية العين مباشرة، يتم استخدام ZKP لإثبات “أنك إنسان فريد” فقط.

3. العقود الذكية السرية والاستخدام المؤسسي

طالما شكلت خاصية “جميع البيانات علنية” في شبكات البلوكتشين العامة عائقًا كبيرًا أمام الشركات للتعامل مع المعاملات السرية ومعلومات سلسلة التوريد على البلوكتشين.

باستخدام تقنية ZKP (مثل الشبكات المتخصصة في الخصوصية مثل Aleo و Aztec)، من الممكن نقش صحة تحديث الحالة فقط على السلسلة العامة مع الحفاظ على تشفير قيم الإدخال والإخراج للمعاملات، وحتى منطق العقد الذكي المنفذ. هذا يتيح منع الاستباق (Front-running / MEV) في التمويل اللامركزي (DeFi)، وبناء شبكات اتحاد سرية (Consortium) بين الشركات مع التمتع بالأمن العالي للسلاسل العامة.

التحديات المستقبلية والآفاق لـ ZKP

على الرغم من أن ZKP بلا شك تقنية أساسية للجيل القادم، إلا أن هناك بعض التحديات المتبقية.

تكلفة حساب إنشاء الإثبات وتسريع الأجهزة يتطلب إنشاء ZKP حسابات هائلة لمتعددات الحدود، وتحويل فورييه السريع (FFT)، والضرب القياسي المتعدد (MSM). في الوقت الحاضر، تتقدم الأبحاث بسرعة لتطوير أجهزة مخصصة (FPGA و ASIC) لتسريع إنشاء هذا الإثبات، وهو ما يسمى بـ تعدين ZKP (Prover Network).
التقييس وتحسين تجربة المطورين (DX) تنتشر العديد من اللغات المخصصة لكتابة دوائر ZKP مثل Circom، Cairo، Noir، و Leo. سيكون توحيد المعايير لهذه اللغات، ونضوج المترجمات (Compilers) التي تنشئ تلقائيًا دوائر ZKP من لغات موجودة مثل Rust أو C++، هو المفتاح لتبني ZKP من قبل مهندسي البرمجيات العامين.

خاتمة

لقد تطور إثبات المعرفة الصفرية (ZKP) من مجرد “تقنية لزيادة سرية العملات المشفرة” إلى “تقنية متعددة الأغراض تعيد تعريف الثقة (Trust) على الإنترنت بأكمله”. الإثباتات الصغيرة المحسوبة في أعماق المعادلات الرياضية ونظرية التشفير، ستوسع من قابلية التوسع في البلوكتشين بشكل لا نهائي، وستكون بمثابة درع قوي لحماية خصوصيتنا.

نحو تحقيق التبني الجماعي الحقيقي لـ Web3 وبناء جيل قادم من الإنترنت آمن وخاص، سيستمر إثبات المعرفة الصفرية في العمل كأهم قطعة. علينا أن نراقب عن كثب تطور تقنية ZKP في المستقبل.

المراجع والروابط ذات الصلة

Groth, J. (2016). “On the Size of Pairing-based Non-interactive Arguments”
Ben-Sasson, E., et al. (2018). “Scalable, transparent, and post-quantum secure computational integrity”
Vitalik Buterin’s blog on zk-SNARKs and zk-STARKs

ما هو التشفير المتماثل بالكامل (FHE)؟ شرح لجوهر أمن الجيل القادم

Fri, 11 Sep 2026 11:00:00 +0900

مع ترسخ الحوسبة السحابية وتقنيات الذكاء الاصطناعي كبنية تحتية للمجتمع، أصبحت المفاضلة بين “خصوصية البيانات” و “استخدام البيانات” واحدة من أهم التحديات. يتزايد الطلب على جعل الذكاء الاصطناعي يحلل البيانات شديدة السرية مثل البيانات الطبية والمعلومات المالية والمعلومات الحيوية الشخصية على السحابة، لكن العديد من الشركات تتردد في إرسال البيانات إلى الخارج بسبب مخاوف أمنية.

تتفوق تقنيات التشفير التقليدية (مثل AES و RSA) في حماية البيانات المخزنة (Data at Rest) والبيانات المرسلة عبر الشبكة (Data in Transit). ومع ذلك، عند إجراء عمليات (حسابات) مثل البحث أو التعلم الآلي على البيانات من جانب الخادم (Data in Use)، يجب فك تشفيرها وإعادتها إلى نص صريح. إذا تم اختراق الخادم في وقت فك التشفير هذا، أو إذا قام مسؤول داخلي خبيث بالاطلاع على البيانات، فسيؤدي ذلك مباشرة إلى تسريب المعلومات.

التقنية الحلم التي تتغلب على نقطة الضعف الأساسية المتمثلة في “فك التشفير أثناء المعالجة” هي التشفير المتماثل بالكامل (Fully Homomorphic Encryption: FHE). باستخدام FHE، يصبح من الممكن إجراء عمليات المعالجة الحسابية مع إبقاء البيانات مشفرة دون فك تشفيرها على الإطلاق، وإرجاع النص المشفر الناتج فقط إلى العميل.

في هذه المقالة، سنشرح بعمق FHE، والذي يمثل جوهر أمن الجيل القادم، بدءًا من مفاهيمه وتاريخه، والاختراق الثوري الذي حققه كريج جينتري (Craig Gentry)، والأسس الرياضية (مثل Ring-LWE)، والتحدي الأكبر “الضوضاء” وحله (Bootstrapping)، وصولاً إلى أحدث مكتبات التنفيذ.

1. ما هو التشفير المتماثل؟ المفاهيم الأساسية

“المتماثل” (Homomorphic) هو مصطلح في الجبر يشير إلى خاصية إمكانية التعيين بين المجموعات التي لها بنية معينة مع الحفاظ على بنية العمليات. “التماثل” في نظرية التشفير هو خاصية أن العمليات في مساحة النص الصريح تتوافق مع العمليات في مساحة النص المشفر.

بصيغة رياضية بسيطة، لتكن دالة التشفير للنصوص الصريحة $m_1$ و $m_2$ هي $E(\cdot)$ ودالة فك التشفير هي $D(\cdot)$. إذا كانت العمليات (مثل الجمع والضرب) على النص الصريح هي $\circ$، والعمليات على النص المشفر هي $\diamond$، فإن العلاقة التالية تتحقق:

$$ D(E(m_1) \diamond E(m_2)) = m_1 \circ m_2 $$

بمعنى آخر، فك تشفير نتيجة تطبيق بعض العمليات $\diamond$ على النصوص المشفرة $E(m_1)$ و $E(m_2)$ يتطابق مع نتيجة تطبيق العملية $\circ$ على النصوص الصريحة الأصلية.

تدفق البيانات في الحوسبة السحابية

تختلف بنية المعالجة السحابية باستخدام FHE تمامًا عن البنية التقليدية. يوضح الشكل التالي تدفق معالجة البيانات الآمنة باستخدام FHE.

يتلقى الخادم البيانات المشفرة $E(x)$، ولكنه لا يمتلك المفتاح الخاص، لذا لا يمكنه مطلقًا معرفة محتوى البيانات. ومع ذلك، من خلال الاستفادة من خصائص FHE، يمكنه تطبيق الدالة $f$ (على سبيل المثال، نموذج استدلال التعلم الآلي) على النص المشفر وتوليد $E(f(x))$. يتلقى العميل هذا ويفك تشفيره باستخدام مفتاحه الخاص للحصول على النتيجة المطلوبة $y = f(x)$.

2. تاريخ تطور التشفير المتماثل: PHE و SHE و FHE

لم يصل التشفير المتماثل إلى شكله “الكامل” الحالي دفعة واحدة. يُصنف بشكل عام إلى ثلاث مراحل بناءً على أنواع وعدد العمليات التي يمكن تنفيذها.

التشفير المتماثل جزئيًا (PHE: Partially Homomorphic Encryption)

PHE هو نظام تشفير يمكنه إجراء إما الجمع أو الضرب بعدد غير محدود من المرات. في الواقع، فإن أنظمة التشفير التي تتمتع بهذه الخاصية موجودة منذ فترة طويلة.

تشفير RSA (التماثل بالنسبة للضرب) يمتلك تشفير RSA عن غير قصد خاصية التماثل بالنسبة للضرب. بافتراض أن النصوص الصريحة هي $m_1, m_2$ والمفتاح العام هو $(e, N)$: $$ E(m_1) = m_1^e \pmod N $$ $$ E(m_2) = m_2^e \pmod N $$ عند ضربهما معًا: $$ E(m_1) \times E(m_2) = (m_1 \cdot m_2)^e \pmod N = E(m_1 \times m_2) $$ وهكذا، يتوافق ضرب النصوص المشفرة مع ضرب النصوص الصريحة.
تشفير Paillier (التماثل بالنسبة للجمع) يمتلك تشفير Paillier، الذي تم ابتكاره في عام 1999، التماثل بالنسبة للجمع. وقد تم وضعه موضع التنفيذ في مجالات مثل التصويت الإلكتروني (حيث يتم فرز الأصوات المشفرة وفك تشفير النتيجة النهائية فقط).

التشفير المتماثل المحدود (SHE: Somewhat Homomorphic Encryption)

يمكنه تنفيذ كلا عمليتي الجمع والضرب، ولكنه نظام يوجد فيه قيود على عدد العمليات (عمق الدائرة) التي يمكن إجراؤها. بسبب تراكم “الضوضاء” الموضح أدناه، يصبح فك التشفير مستحيلاً إذا تم إجراء عدد معين من عمليات الضرب. يندرج تشفير BGN (Boneh-Goh-Nissim) لعام 2005 ضمن هذه الفئة، ولكن كانت هناك حدود لإجراء الحسابات المعقدة العملية (مثل التعلم العميق).

التشفير المتماثل بالكامل (FHE: Fully Homomorphic Encryption)

إنه نظام تشفير يمكنه إجراء عمليتي الجمع والضرب بعدد غير محدود من المرات. تمامًا مثل اكتمال تورينج (Turing completeness) في نظرية المعلومات، إذا أمكن الجمع (بما يعادل XOR) والضرب (بما يعادل AND) بشكل غير محدود، فهذا يعني نظريًا أن أي دالة أو خوارزمية قابلة للحساب يمكن تنفيذها مع بقاء البيانات مشفرة.

لفترة طويلة، أُطلق على FHE اسم “الكأس المقدسة للتشفير”، وقيل إنه قد يكون من المستحيل تحقيقه. ومع ذلك، في عام 2009، اقترح كريج جينتري (Craig Gentry)، الذي كان حينها طالب دكتوراه في جامعة ستانفورد، أول نظام FHE باستخدام الشبكات المثالية (Ideal Lattices)، وصدم العالم.

3. الأساس الرياضي لـ FHE: مشكلة LWE و Ring-LWE

تستند العديد من أنظمة FHE السائدة حاليًا إلى مشكلة التعلم مع الأخطاء (LWE: Learning With Errors)، وهي مشكلة رياضية صعبة في “التشفير القائم على الشبكات” (Lattice-based Cryptography)، والمعروفة أيضًا باسم تشفير ما بعد الكم (Post-Quantum Cryptography).

فهم بديهي لمشكلة LWE

من السهل حل نظام من المعادلات الخطية باستخدام طرق مثل الحذف الغاوسي (Gaussian elimination).

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 \equiv 12 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 \equiv 8 \pmod{17} \\ \vdots \end{cases} $$

ولكن ماذا يحدث إذا أضفنا “خطأ عشوائي (ضوضاء)” $e$ صغير جدًا لنتيجة هذه المعادلات؟

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 + e_1 \equiv 13 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 + e_2 \equiv 7 \pmod{17} \\ \vdots \end{cases} $$

بمجرد إضافة هذا الخطأ $e$، تتحول مشكلة إيجاد متجه المتغيرات السري $\vec{s}$ إلى مشكلة NP صعبة من الصعب فك تشفيرها حتى باستخدام أجهزة الكمبيوتر العملاقة الحالية أو أجهزة الكمبيوتر الكمومية. هذه هي مشكلة LWE.

مشكلة Ring-LWE (RLWE)

نظرًا لأن مشكلة LWE القياسية تتضمن عمليات على المصفوفات، فقد كانت هناك مشكلة تتمثل في أن حجم المفتاح كبير جدًا (أحيانًا يصل إلى الجيجابايت) وكفاءة الحساب ضعيفة. ولحل هذه المشكلة تم إدخال مشكلة Ring-LWE (RLWE)، والتي تستخدم عمليات على حلقات متعددات الحدود.

في RLWE، تنتمي العناصر إلى حلقة متعددات الحدود $R_q = \mathbb{Z}_q[x] / (x^N + 1)$ (حيث $N$ هي قوة للعدد 2، و $q$ عدد أولي هو المعيار (modulo)). بافتراض أن المفتاح الخاص هو متعدد الحدود $s(x)$، ومتعدد الحدود العشوائي $a(x)$، ومتعدد حدود للضوضاء الصغيرة $e(x)$، فإن المفتاح العام يصبح الزوج التالي:

$$ (a(x), b(x)) \quad \text{where} \quad b(x) = -a(x) \cdot s(x) + e(x) \pmod q $$

عند التشفير، تُستخدم خصائص هذه المتعددات الحدود لتشفير النص الصريح $m(x)$ وتوليد النص المشفر.

4. أكبر عائق “الضوضاء” و Bootstrapping الخاص بجينتري

يُعد مفهوم “إدارة الضوضاء” هو الأهم في فهم FHE.

في أنظمة التشفير القائمة على LWE/RLWE، يتم تضمين “ضوضاء (خطأ)” صغيرة عمدًا لضمان الأمان. يمكن التعبير عن عملية فك تشفير النص المشفر $c$ الخاص بالنص الصريح $m$ بشكل تقريبي باستخدام المعادلة التالية.

$$ D(c) = (c \cdot s) \pmod q = m + \text{noise} $$

عند فك التشفير، تتم إزالة هذا الـ noise (الضوضاء) عن طريق عمليات التقريب للحصول على النص الصريح الصحيح $m$. ومع ذلك، عند إجراء عمليات متماثلة (خاصة الضرب) بين النصوص المشفرة، تتضخم هذه الضوضاء بشكل كبير.

الجمع المتماثل: تزداد الضوضاء بشكل جمعي ($e_1 + e_2$). هذه زيادة تدريجية نسبيًا.
التعبير الرياضي للتماثل عبر الجمع المتماثل: $$ E(m_1) \oplus E(m_2) = E(m_1 + m_2) $$
الضرب المتماثل: تنفجر الضوضاء بشكل مضاعف (لأنها تتضمن $e_1 \times e_2$ وما إلى ذلك). بعد عدة عمليات ضرب فقط، تتجاوز الضوضاء العتبة $q/2$، وتفشل عملية التقريب الصحيحة، مما يجعل فك التشفير مستحيلاً.
التعبير الرياضي للتماثل عبر الضرب المتماثل: $$ E(m_1) \otimes E(m_2) = E(m_1 \times m_2) $$

هذا هو السبب وراء عدم إمكانية تحقيق FHE لفترة طويلة، وبقائه عند مستوى SHE (بعدد محدود من العمليات).

سحر Bootstrapping

كانت مساهمة كريج جينتري العبقرية هي ابتكار طريقة لتقليل الضوضاء تُسمى “Bootstrapping” (التمهيد). كان هذا تحولاً نموذجياً في علم التشفير.

بشكل بديهي، هذه عملية “قبل أن يُصبح النص المشفر ممتلئًا بالضوضاء ويفسد، يتم ‘فك تشفيره’ وهو في حالة التشفير لتنظيفه، ثم إعادته إلى نص مشفر جديد”.

افترض أن لدينا نصًا مشفرًا عالي الضوضاء $C_{noisy}$.
يزود العميل الخادم مسبقًا بـ المفتاح الخاص $sk$ “المشفر بالمفتاح العام” $E_{pk}(sk)$ (يُطلق على هذا مفتاح Bootstrapping).
يقوم الخادم بتنفيذ دائرة فك التشفير (Decryption Circuit) بشكل متماثل على $C_{noisy}$.
على وجه التحديد، يتم إجراء “فك التشفير داخل المساحة المشفرة” على $E_{pk}(C_{noisy})$ باستخدام $E_{pk}(sk)$.
تُنتج دائرة فك التشفير هذه ضوضاء جديدة لأنها في حد ذاتها عملية متماثلة، ولكن ضوضاء النص المشفر الجديد الناتج $C_{fresh}$ يتم إعادة تعيينها إلى “مستوى ثابت”.

graph LR A["نص مشفر عالي الضوضاء C_noisy"] --> B["دائرة فك تشفير متماثلة (Eval_Dec)"] C["المفتاح الخاص المشفر E(sk)"] --> B B --> D["نص مشفر منخفض الضوضاء C_fresh"] style B fill:#ffeeba,stroke:#ffc107

من خلال تنفيذ Bootstrapping هذا بانتظام أثناء الحساب، أصبح من الممكن نظريًا حساب دوائر ذات عمق لا نهائي (تحقيق FHE). ومع ذلك، كانت طريقة جينتري الأولية تتطلب تكلفة حسابية باهظة ومحبطة، حيث تستغرق عملية Bootstrapping الواحدة من عدة عشرات من الدقائق إلى عدة ساعات.

5. أجيال FHE وتطور الأنظمة الرئيسية

نحو وضع FHE موضع التنفيذ، تنافس علماء التشفير في جميع أنحاء العالم لتحسين الخوارزميات. حاليًا، يُصنف FHE بشكل رئيسي إلى أربعة أجيال / عائلات.

الجيل الثاني: العمليات الدقيقة على الأعداد الصحيحة (BGV, BFV)

نظاما BGV (Brakerski-Gentry-Vaikuntanathan) و BFV (Brakerski/Fan-Vercauteren) اللذان ظهرا بين عامي 2011 و 2012. يعتمدان على RLWE، وهما مناسبان للعمليات المعيارية للأعداد الصحيحة (الحسابات الدقيقة). وهي تدعم تقنيات التجميع (Batching) مثل SIMD (تعليمة واحدة، بيانات متعددة)، وتتميز بإمكانية تعبئة آلاف فتحات البيانات داخل نص مشفر لمتعدد حدود عملاق واحد وإجراء حسابات متوازية دفعة واحدة.

الجيل الثالث: تسريع Bootstrapping (GSW, FHEW, TFHE)

جعل نظام GSW (Gentry-Sahai-Waters) لعام 2013 بنية FHE أبسط. وما طور هذا النظام هو أحد الأنظمة السائدة الحالية، TFHE (Fast Fully Homomorphic Encryption over the Torus). تتمثل ميزة TFHE في أن Bootstrapping سريع جدًا (في نطاق الملي ثانية). إنه قوي في العمليات على مستوى البوابات المنطقية (مثل دوائر AND و XOR)، وحجم النص المشفر صغير نسبيًا، مما يجعله مناسبًا للتقييم السريع لأي دوائر منطقية.

الجيل الرابع: التخصص في الحساب التقريبي والتعلم الآلي (CKKS)

نظام CKKS (Cheon-Kim-Kim-Song) الذي اقترحه تشيون (Cheon) وآخرون في عام 2017 هو التكنولوجيا التي يمكن اعتبارها الإصدار النهائي في حماية الخصوصية للذكاء الاصطناعي والتعلم الآلي الحاليين. في حين ركزت أنظمة FHE السابقة على “الحساب الدقيق للأعداد الصحيحة”، فإن CKKS يدعم “الحساب التقريبي لأرقام الفاصلة العائمة” مع الحفاظ عليها مشفرة. يُظهر أداءً ساحقًا في الحسابات على الأعداد الحقيقية حيث يُسمح بأخطاء صغيرة، مثل تدريب واستدلال الشبكات العصبية.

يلخص الجدول التالي كيفية اختيار الأنظمة بناءً على الغرض.

اسم النظام	نوع البيانات المفضل	حالة الاستخدام الموصى بها	الميزات
BFV / BGV	أعداد صحيحة (Integer)	حسابات إحصائية دقيقة، تجميع البيانات المالية، البحث في قواعد البيانات	إنتاجية عالية بفضل تجميع SIMD
CKKS	أعداد حقيقية/مركبة (Real/Complex)	التعلم الآلي (DNN، الانحدار اللوجستي)، معالجة الإشارات	تسريع عبر الحساب التقريبي، إعادة القياس
TFHE	قيم منطقية (Boolean)	أي دائرة منطقية، البحث في السلاسل النصية، تقييم الدوال غير الخطية	Bootstrapping فائق السرعة (مستوى الملي ثانية)

6. التطبيق العملي: مكتبات FHE ورمز برمجي مفاهيمي

حاليًا، يتم توفير العديد من المكتبات مفتوحة المصدر التي تتيح لك استخدام FHE دون معرفة عميقة بالتشفير.

Microsoft SEAL (Simple Encrypted Arithmetic Library): مكتبة C++ تدعم BFV و BGV و CKKS. إنها واحدة من معايير الصناعة. واجهة بايثون TenSEAL تحظى بشعبية بين مهندسي الذكاء الاصطناعي.
Zama (Concrete): إطار عمل يعتمد على TFHE. يمكن كتابته بـ Rust/Python، ويوفر القدرة على تجميع نماذج PyTorch الحالية وتشغيلها على FHE (Concrete ML).
OpenFHE: خليفة PALISADE، وهي مكتبة C++ شاملة تدعم جميع الأنظمة الرئيسية.

مثال على برمجة FHE باستخدام Python (TenSEAL)

هنا، سنعرض مثالاً على كود Python مفاهيمي يستخدم نظام CKKS لإضافة وضرب متجهات الأعداد الحقيقية وهي مشفرة.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


import tenseal as ts

# 1. إعداد السياق (بما في ذلك توليد المفاتيح)
# استخدام نظام CKKS وتعيين درجة المعيار لمتعددة الحدود إلى 8192
context = ts.context(
 ts.SCHEME_TYPE.CKKS,
 poly_modulus_degree=8192,
 coeff_mod_bit_sizes=[60, 40, 40, 60]
)
context.generate_galois_keys()
context.global_scale = 2**40 # عامل القياس للأعداد الحقيقية

# 2. جانب العميل: تشفير البيانات
vector1 = [1.5, 2.5, 3.5]
vector2 = [2.0, 3.0, 4.0]

# تحويل متجهات النص الصريح إلى نصوص مشفرة (عادةً يُنفذ في جانب العميل)
enc_v1 = ts.ckks_vector(context, vector1)
enc_v2 = ts.ckks_vector(context, vector2)

# 3. جانب الخادم: العمليات أثناء التشفير (حماية Data in Use)
# الخادم لا يعرف النصوص الصريحة، لكنه يمكنه تنفيذ الجمع والضرب
enc_add = enc_v1 + enc_v2
enc_mul = enc_v1 * enc_v2

# 4. جانب العميل: فك تشفير النتائج
# العميل الذي يمتلك المفتاح الخاص هو الوحيد الذي يمكنه رؤية النتائج
res_add = enc_add.decrypt()
res_mul = enc_mul.decrypt()

print(f"نتيجة الجمع مفكوكة التشفير: {res_add}")
# مثال المخرجات: [3.5000001, 5.5000001, 7.5000002] (تتضمن أخطاء ضئيلة بسبب الحساب التقريبي)

print(f"نتيجة الضرب مفكوكة التشفير: {res_mul}")
# مثال المخرجات: [3.0000002, 7.5000005, 14.0000003]

كما يتضح من الكود أعلاه، يمكنك ببساطة زيادة تحميل العوامل (operator overloading) في بايثون العادية مثل enc_v1 + enc_v2 لوصف الحسابات بين النصوص المشفرة بشكل بديهي. من جانب الخادم، يكتمل حساب المتجهات دون معرفة محتوى المتجهات.

7. تحديات FHE: الأداء وتسريع الأجهزة

يوفر FHE أمانًا مثاليًا من الناحية النظرية، ولكن التحدي الأكبر في التنفيذ العملي هو “عبء الأداء (Overhead)”.

عبء الحساب: مقارنة بالحساب في النص الصريح، يكون الحساب في النص المشفر أبطأ بآلاف إلى عشرات الآلاف من المرات على وحدات المعالجة المركزية (CPUs). تتطلب عملية ضرب متعددات الحدود و Bootstrapping عمليات حسابية ضخمة مثل FFT (تحويل فورييه السريع) و NTT (تحويل نظرية الأعداد).
تضخم حجم البيانات (Ciphertext Expansion): يمكن أن تتحول عدة بايتات من النص الصريح إلى عدة ميغابايتات عند التشفير. وهذا يضع ضغطًا كبيرًا على النطاق الترددي للذاكرة والشبكة.

نُهج الحلول عبر الأجهزة

للتغلب على هذا العبء، يجري تطوير مسرعات أجهزة (Hardware Accelerators) مخصصة لـ FHE (متوافقة مع ASIC, FPGA, GPU) في جميع أنحاء العالم.

تسريع وحدة معالجة الرسومات (GPU Acceleration): تجري الجهود لتوازي عمليات NTT و Bootstrapping باستخدام وحدات معالجة رسومات قوية مثل تلك من NVIDIA، وتم الإبلاغ عن تسريع بعشرات المرات مقارنة بتنفيذ البرامج (مثال: 100x.ai، واجهة TFHE-rs CUDA من Zama).
مشروع DARPA DPRIVE: تعزز وكالة مشاريع الأبحاث المتقدمة للدفاع الأمريكية (DARPA) مشروع تطوير الأجهزة المخصصة “DPRIVE (Data Protection in Virtual Environments)” لرفع سرعة حساب FHE إلى مستوى مكافئ لسرعة تنفيذ معالجة النص الصريح (عبء أقل من 10 أضعاف)، وتشارك فيه شركات مثل Intel و Microsoft و Intellectual Ventures.
ظهور FPU (FHE Processing Unit): بدأت شركات ناشئة مثل Cornami و Optalysys في تطوير شرائح مخصصة لـ FHE باستخدام الحوسبة الضوئية وهياكل السيليكون المتخصصة.

في المستقبل القريب، مثل NPU (وحدة المعالجة العصبية) في الذكاء الاصطناعي، قد يأتي عصر تصبح فيه “FPU” مجهزة بشكل قياسي في الخوادم والبنى التحتية السحابية.

8. حالات الاستخدام المتوقعة

الآن بعد أن وصل FHE إلى سرعة عملية، يُتوقع حدوث ابتكارات جذرية في المجالات التالية:

حماية الخصوصية في الرعاية الصحية والتحليل الجينومي: من خلال جعل الذكاء الاصطناعي السحابي يتدرب على بيانات سجلات المرضى أو بيانات الحمض النووي (DNA) التي تحتفظ بها مستشفيات متعددة وهي مشفرة بواسطة FHE، يمكن تطوير نماذج تشخيص السرطان عالية الدقة وأدوية جديدة دون انتهاك قوانين الخصوصية (HIPAA و GDPR).
كشف الاحتيال ومكافحة غسيل الأموال (AML) في المؤسسات المالية: يمكن للبنوك المتنافسة إجراء تحليل عبر البنوك للكشف عن شبكات التحويلات الاحتيالية الضخمة عن طريق مطابقة بيانات بعضها البعض في حالة مشفرة، دون الكشف عن معلومات حسابات العملاء أو سجل معاملاتهم.
واجهة برمجة تطبيقات استدلال الذكاء الاصطناعي الآمنة (MaaS: Model as a Service): يقوم المستخدمون بتشفير أصواتهم وصور وجوههم ومطالباتهم وإرسالها إلى خدمة الذكاء الاصطناعي (مثل النماذج اللغوية الكبيرة كـ ChatGPT). يقوم مزود الذكاء الاصطناعي بإنشاء إجابة دون معرفة مدخلات المستخدم على الإطلاق وإعادتها كنص مشفر. هذا يزيل تمامًا المخاوف من “التعلم أو التلصص على المعلومات الشخصية بواسطة الذكاء الاصطناعي”.

9. الخلاصة: مستقبل التشفير يتجه نحو “الحساب غير المرئي”

تمامًا كما تم اختراع تشفير المفتاح العام (RSA) في سبعينيات القرن العشرين ومكّن الاتصال الآمن على الإنترنت (مثل HTTPS)، فإن اختراع FHE من قبل كريج جينتري يعد واحدًا من أهم المعالم في تاريخ التشفير.

حاليًا، خرج التشفير المتماثل بالكامل (FHE) من نظرية المختبر إلى مرحلة تتنافس فيها Microsoft و IBM و Intel و Google والعديد من الشركات الناشئة لوضعه موضع التنفيذ. على الرغم من استمرار تحديات التكلفة الحسابية وحجم البيانات، يستمر تحسين الأداء بوتيرة تتجاوز قانون مور بفضل تحسين الخوارزميات وتطور مسرعات الأجهزة.

في غضون بضع سنوات، لن يكون “الحساب مع إبقاء البيانات مشفرة” شيئًا مميزًا، بل سيصبح ممارسة معيارية فضلى لحماية البيانات في الخدمات السحابية. يمثل FHE جوهر أمن الجيل القادم الذي يدرك التعايش المثالي بين الخصوصية المطلقة واستخدام البيانات في مجتمع يعتمد على البيانات.