Security on kenji.blog

Intuición matemática de la criptografía basada en retículos (Lattice-based cryptography)

Fri, 11 Sep 2026 21:00:00 +0900

1. Introducción: El amanecer de la criptografía poscuántica (PQC) y el auge de la criptografía basada en retículos

La infraestructura digital de la sociedad moderna se basa en tecnologías de criptografía de clave pública, como el cifrado RSA y la criptografía de curva elíptica (ECC). Estos métodos basan su seguridad en la dificultad matemática de problemas como la “factorización de enteros” o el “logaritmo discreto”, los cuales se cree que no pueden resolverse eficientemente (requieren tiempo exponencial) con computadoras clásicas convencionales.

Sin embargo, el “Algoritmo de Shor”, publicado por Peter Shor en 1994, sacudió el mundo de la criptografía. Este algoritmo demostró matemáticamente que una vez que se construyan computadoras cuánticas a gran escala, estas podrán resolver los problemas de factorización de enteros y de logaritmo discreto en tiempo polinomial. Esto significa que la criptografía de clave pública ampliamente utilizada en la actualidad se volverá completamente descifrable en el futuro.

Para contrarrestar esta “Amenaza Cuántica (Quantum Threat)”, se hizo imperativo investigar nuevos métodos de cifrado que sean difíciles de descifrar incluso utilizando computadoras cuánticas. Este es el campo conocido como “Criptografía Poscuántica (Post-Quantum Cryptography: PQC)” o “Criptografía resistente a la computación cuántica”.

Existen varios candidatos prometedores para la PQC, como la criptografía basada en hashes, la criptografía basada en códigos, la criptografía multivariable y la criptografía basada en isogenias. Sin embargo, el método que actualmente atrae más la atención y que está en el centro del proceso de estandarización de PQC por parte del NIST (Instituto Nacional de Estándares y Tecnología de EE. UU.) es la “Criptografía basada en retículos (Lattice-based cryptography)”. En comparación con otros métodos, la criptografía de retículos ofrece velocidades de cifrado y descifrado muy rápidas, y cuenta con una característica destacada: una prueba de seguridad extremadamente sólida en la teoría criptográfica basada en la reducción de la “complejidad en el peor de los casos (Worst-case complexity)” a la “complejidad en el caso promedio (Average-case complexity)”.

En este artículo, partiremos de la definición matemática de “Retículo (Lattice)”, que es la base de esta criptografía, y explicaremos profundamente mediante fórmulas, intuición geométrica y ejemplos numéricos específicos los problemas difíciles sobre retículos como SVP (Problema del vector más corto) y CVP (Problema del vector más cercano), y el corazón de la criptografía de retículos moderna, el “Problema LWE (Learning With Errors)”.

2. Definición matemática e intuición geométrica de un Retículo (Lattice)

2.1 Espacio vectorial y retículos

En matemáticas, un “Retículo (Lattice)” es un conjunto discreto de puntos dispuestos regularmente en un espacio vectorial real de $n$ dimensiones $\mathbb{R}^n$. Es similar al espacio vectorial (Vector Space) que se estudia en álgebra lineal, pero existe una diferencia crucial. Mientras que un espacio vectorial es un espacio continuo representado por combinaciones lineales de vectores base con “coeficientes reales”, un retículo es un espacio discreto representado por combinaciones lineales de vectores base con “coeficientes enteros”.

Demos una definición matemática rigurosa. Consideremos $n$ vectores linealmente independientes $\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n$ (donde $n \le m$) en un espacio vectorial real de $m$ dimensiones $\mathbb{R}^m$. Sea $B = [\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n] \in \mathbb{R}^{m \times n}$ una matriz que tiene estos vectores como columnas. Llamamos a esta $B$ la “Base (Basis)” del retículo.

El retículo $\mathcal{L}(B)$ generado por esta base $B$ se define de la siguiente manera:

$$ \mathcal{L}(B) = \left\{ \sum_{i=1}^{n} x_i \mathbf{b}_i \mathrel{\bigg|} x_i \in \mathbb{Z} \right\} = \{ B \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^n \} $$

Lo importante aquí es que los coeficientes $x_i$ están limitados a números enteros $\mathbb{Z}$, en lugar de números reales $\mathbb{R}$. Como resultado, en lugar de puntos continuos que existen en un número infinito en el espacio, se forma un “conjunto discreto de puntos” similar a las intersecciones espaciadas uniformemente en una cuadrícula.

2.2 Imagen geométrica

Consideremos un ejemplo en el plano bidimensional $\mathbb{R}^2$. Si elegimos los vectores base $\mathbf{b}_1 = \begin{pmatrix} 1 \\ 0 \end{pmatrix}$ y $\mathbf{b}_2 = \begin{pmatrix} 0 \\ 1 \end{pmatrix}$, el retículo generado por ellos será el conjunto de todas las coordenadas enteras $(x, y) \in \mathbb{Z}^2$ en el plano cartesiano. Este es el “retículo cuadrado” más simple.

Sin embargo, los retículos no siempre son ortogonales. Por ejemplo, considerando una base como $\mathbf{b}_1 = \begin{pmatrix} 2 \\ 1 \end{pmatrix}$ y $\mathbf{b}_2 = \begin{pmatrix} 1 \\ 3 \end{pmatrix}$, los puntos generados se parecerán a las intersecciones de una malla sesgada diagonalmente.

2.3 No unicidad de la base y transformación unimodular

Existe una propiedad importante relacionada con la base de la seguridad de la criptografía de retículos: “existen infinitas bases que generan el mismo retículo”.

Por ejemplo, el retículo $\mathbb{Z}^2$ generado por la base $\mathbf{b}_1 = (1, 0)^T, \mathbf{b}_2 = (0, 1)^T$ mencionada anteriormente es exactamente el mismo retículo $\mathbb{Z}^2$ que el generado por la base $\mathbf{b}'_1 = (1, 1)^T, \mathbf{b}'_2 = (2, 3)^T$.

La condición necesaria y suficiente para que una base $B$ y otra base $B'$ generen el mismo retículo es que exista una matriz con componentes enteros $U \in \mathbb{Z}^{n \times n}$ cuyo determinante sea $\det(U) = \pm 1$, tal que:

$$ B' = B U $$

A una matriz $U$ de este tipo se le llama “Matriz unimodular (Unimodular matrix)”.

La idea básica en la aplicación a la criptografía es utilizar una “buena base” (una base casi ortogonal formada por vectores cortos) como clave privada, y una “mala base” (una base con vectores extremadamente oblicuos entre sí y muy largos) como clave pública. Calcular una buena base a partir de una mala base se vuelve muy difícil a medida que aumentan las dimensiones. Esta es la intuición básica de la criptografía basada en retículos.

3. Problemas computacionalmente difíciles en retículos

La seguridad de la criptografía basada en retículos depende de la dificultad de resolver problemas matemáticos específicos en los retículos. Aquí presentaremos dos de los problemas más fundamentales y conocidos.

3.1 Problema del vector más corto (Shortest Vector Problem: SVP)

SVP es el problema más clásico y famoso de la teoría de retículos.

Definición (SVP): Dada una base de retículo arbitraria $B$, encontrar el vector $\mathbf{v}$ distinto de cero que pertenece al retículo $\mathcal{L}(B)$ y tiene la norma euclidiana (longitud) mínima.

Expresado en fórmula matemática, es el problema de encontrar $\mathbf{v}$ tal que $\min_{\mathbf{v} \in \mathcal{L}(B) \setminus \{\mathbf{0}\}} \| \mathbf{v} \|$. A esta longitud mínima se le denota como $\lambda_1(\mathcal{L})$ y se le llama “Primer mínimo sucesivo (First successive minimum) del retículo”.

En dimensiones bajas como 2 o 3, podemos encontrar el vector más corto visualmente dibujando un gráfico, o podemos resolverlo eficientemente usando algoritmos como el algoritmo de reducción de bases de Gauss. Sin embargo, cuando la dimensión $n$ alcanza valores altos como cientos o miles, se sabe que resolver estrictamente SVP es NP-difícil.

En criptografía real, no se busca el vector más corto estricto, sino que se utiliza un SVP aproximado ($\gamma$-SVP) para encontrar un “vector aproximadamente corto”. Si el factor de aproximación $\gamma$ es de tamaño polinomial, este problema se sigue considerando extremadamente difícil.

3.2 Problema del vector más cercano (Closest Vector Problem: CVP)

CVP es también un problema de extrema importancia en la criptografía basada en retículos.

Definición (CVP): Dada una base de retículo arbitraria $B$ y un vector objetivo arbitrario $\mathbf{t} \in \mathbb{R}^m$ en el espacio (que no necesariamente es un punto del retículo), encontrar el punto del retículo $\mathbf{v} \in \mathcal{L}(B)$ más cercano a $\mathbf{t}$.

Expresado matemáticamente, es el problema de buscar un punto de retículo $\mathbf{v}$ tal que $\min_{\mathbf{v} \in \mathcal{L}(B)} \| \mathbf{v} - \mathbf{t} \|$.

Al igual que SVP, CVP también es NP-difícil en altas dimensiones. Desde la perspectiva de la aplicación criptográfica, el problema LWE que discutiremos más adelante está estrechamente relacionado con una variante especial de este CVP (Decodificación de distancia acotada o Bounded Distance Decoding: BDD).

3.3 ¿Por qué es insoluble en altas dimensiones? (Los límites de LLL y BKZ)

Un algoritmo famoso para resolver problemas de retículos de altas dimensiones es el algoritmo LLL (Lenstra-Lenstra-Lovász algorithm). El algoritmo LLL se ejecuta en tiempo polinomial y puede reducir en cierta medida la base del retículo a una “buena base”. Sin embargo, el vector más corto que el algoritmo LLL puede encontrar tiene un factor de aproximación exponencial ($2^{\mathcal{O}(n)}$) en relación con la longitud del vector más corto verdadero, por lo que no es suficiente para romper la seguridad criptográfica.

Si se utiliza un algoritmo de reducción de bases más potente como el algoritmo BKZ (Block Korkine-Zolotarev), que es una mejora de LLL, se pueden encontrar vectores más cortos, pero su complejidad computacional aumenta exponencialmente con respecto al tamaño del bloque. En la criptografía de retículos, los parámetros seguros (como el tamaño de la dimensión $n$) se determinan estimando el tiempo de ejecución de este algoritmo BKZ. Con los parámetros estándar actuales de PQC, se eligen dimensiones $n$ de 500 a 1000 o más, y se considera que descifrarlos tomaría más tiempo que la edad del universo, incluso utilizando supercomputadoras o futuras computadoras cuánticas.

4. Formulación matemática del problema LWE (Learning With Errors)

La mayor parte de la criptografía de retículos moderna se basa en el “Problema LWE (Learning With Errors)” propuesto por Oded Regev en 2005. La belleza del problema LWE radica en la simplicidad de su formulación y en el hecho de que cuenta con una poderosa prueba matemática de “reducción de la complejidad en el peor caso a la complejidad en el caso promedio”.

4.1 Sistema de ecuaciones lineales sin ruido

Para entender el problema LWE, primero consideremos un simple sistema de ecuaciones lineales sin ruido. Supongamos que hay un vector secreto desconocido $\mathbf{s} \in \mathbb{Z}_q^n$ (donde cada componente es un número entero de $0$ a $q-1$). Aquí $q$ es un número primo.

Elegimos vectores de coeficientes aleatorios $\mathbf{a}_1, \mathbf{a}_2, \dots \in \mathbb{Z}_q^n$ y calculamos su producto interno con el vector secreto $\mathbf{s}$ módulo $q$. $b_1 = \langle \mathbf{a}_1, \mathbf{s} \rangle \pmod q$ $b_2 = \langle \mathbf{a}_2, \mathbf{s} \rangle \pmod q$ $\vdots$

Si se nos da un número suficiente (al menos $n$) de pares $(\mathbf{a}_i, b_i)$, podemos recuperar fácilmente el vector secreto $\mathbf{s}$ usando la “Eliminación de Gauss (Gaussian elimination)” de álgebra lineal. Este es un problema que puede resolverse fácilmente en tiempo polinomial.

4.2 Definición del problema LWE: Agregando ruido

Entonces, ¿qué sucedería si añadimos un ligero “ruido (error)” a este problema? Esta es la esencia del problema LWE.

Para el vector secreto desconocido $\mathbf{s} \in \mathbb{Z}_q^n$, añadimos un pequeño error $e_i \in \mathbb{Z}_q$ al resultado de cada ecuación. $b_i = \langle \mathbf{a}_i, \mathbf{s} \rangle + e_i \pmod q$

Aquí, $e_i$ es un pequeño valor entero con media 0 y una desviación estándar relativamente pequeña (por ejemplo, elegido de una distribución gaussiana discreta, similar a una distribución normal). La información proporcionada es una lista de pares de un vector aleatorio $\mathbf{a}_i$ y $b_i$ calculado añadiendo un error. $( \mathbf{a}_1, b_1 ), ( \mathbf{a}_2, b_2 ), \dots, ( \mathbf{a}_m, b_m )$

Representar esto en forma matricial lo hace muy claro. Usando una matriz aleatoria $A \in \mathbb{Z}_q^{m \times n}$, un vector secreto $\mathbf{s} \in \mathbb{Z}_q^n$ y un vector de error $\mathbf{e} \in \mathbb{Z}_q^m$:

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q $$

Solo se nos proporciona $A$ y $\mathbf{b}$. Encontrar $\mathbf{s}$ a partir de aquí es el “Problema de búsqueda LWE (Search LWE problem)”.

Debido a que el error $e_i$ está presente, intentar usar la eliminación de Gauss amplificaría el error de forma exponencial durante el proceso de sumar y restar ecuaciones, haciendo imposible llegar a la respuesta correcta. A primera vista, parece un simple sistema de ecuaciones lineales, pero al agregar este pequeño ruido, la dificultad del problema se eleva al nivel de NP-difícil.

4.3 Problema LWE de decisión (Decision LWE)

En las pruebas de la teoría criptográfica, la variante frecuentemente utilizada es el “Problema LWE de decisión (Decision LWE problem)”, que es una variante del problema de búsqueda LWE.

El problema LWE de decisión es el problema de determinar de cuál de las siguientes dos distribuciones proviene una lista de muestras dada:

Distribución LWE: $(A, \mathbf{b} = A\mathbf{s} + \mathbf{e} \pmod q)$ calculada intencionadamente.
Distribución aleatoria uniforme: $(A, \mathbf{u})$ formada por una matriz $A$ y un vector $\mathbf{u}$ elegidos de forma completamente aleatoria.

Sorprendentemente, si se eligen adecuadamente los parámetros del problema LWE, los pares obtenidos de la distribución LWE se vuelven “computacionalmente indistinguibles (Computationally Indistinguishable)” de los pares de datos completamente aleatorios. Esta propiedad es la base que permite a la criptografía basada en LWE generar “textos cifrados indistinguibles de números aleatorios”.

4.4 Reducción de la complejidad en el peor caso a la del caso promedio (Teorema de Regev)

El mayor logro de Oded Regev fue vincular matemáticamente la dificultad de este problema LWE con la dificultad de los problemas de retículos mencionados anteriormente (SVP y CVP).

Utilizó la reducción cuántica (Quantum reduction) para demostrar que “si existe un algoritmo de tiempo polinomial capaz de resolver el problema LWE en el caso promedio (para $A$ y $\mathbf{e}$ elegidos al azar), entonces existe un algoritmo cuántico de tiempo polinomial capaz de resolver el Gap-SVP en el peor caso (el caso más difícil) para cualquier retículo”. (Posteriormente, Peikert y otros también demostraron una reducción clásica).

Esta es una propiedad soñada en la teoría criptográfica. Esto se debe a que disipa la preocupación de que “la criptografía podría romperse si por casualidad elegimos una clave débil (una parte del caso promedio)” y ofrece una fuerte garantía de que “si se puede resolver el LWE promedio, entonces se pueden resolver todos los problemas difíciles del retículo (por lo tanto, el LWE es absolutamente difícil)”.

graph TD A["Problemas de retículos en el peor caso (Gap-SVP, SIVP)"] -->|Reducción Cuántica/Clásica| B["Problema LWE en el caso promedio"] B -->|Construcción Criptográfica| C["Criptosistemas basados en LWE (PKE, KEM, FHE)"] style A fill:#ffcccc,stroke:#ff0000,stroke-width:2px,color:#000 style B fill:#ccffcc,stroke:#00aa00,stroke-width:2px,color:#000 style C fill:#ccccff,stroke:#0000ff,stroke-width:2px,color:#000

5. Construcción de un sistema de criptografía de clave pública utilizando LWE (Criptografía de Regev)

Habiendo entendido la dificultad del problema LWE, veamos cómo funciona el cifrado y descifrado usándolo en el sistema de criptografía de clave pública básico propuesto por Oded Regev. Aquí explicaremos el mecanismo más básico para cifrar un mensaje de 1 bit $M \in \{0, 1\}$.

5.1 Generación de claves (Key Generation)

Como parámetros del sistema, se determinan el módulo primo $q$, la dimensión $n$ y el número de ecuaciones $m$ ($m > n \log q$).
Se elige al azar el vector secreto $\mathbf{s} \in \mathbb{Z}_q^n$ como clave privada.
Se genera una matriz aleatoria $A \in \mathbb{Z}_q^{m \times n}$.
Se selecciona un pequeño vector de error $\mathbf{e} \in \mathbb{Z}_q^m$ a partir de una distribución de errores como la distribución gaussiana discreta.
Se calcula el vector $\mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q$.
La clave pública (Public Key) será $(A, \mathbf{b})$.
La clave secreta o privada (Secret Key) será $\mathbf{s}$.

La clave pública es precisamente una “instancia del problema LWE”. Dado que derivar la clave secreta $\mathbf{s}$ a partir de la clave pública $(A, \mathbf{b})$ equivale a resolver el problema de búsqueda LWE, la seguridad está garantizada.

5.2 Cifrado (Encryption)

Alice cifra un mensaje de 1 bit $M \in \{0, 1\}$ utilizando la clave pública de Bob $(A, \mathbf{b})$.

Elige un vector binario aleatorio (con componentes 0 o 1) $\mathbf{r} \in \{0, 1\}^m$.
Como primera parte del texto cifrado, calcula el vector $\mathbf{u} = A^T \mathbf{r} \pmod q$. ($A^T$ es la matriz transpuesta de $A$. Es decir, suma las filas de $A$ donde el componente de $\mathbf{r}$ es 1).
Como segunda parte del texto cifrado, calcula el escalar $v = \mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q$. (Si el mensaje $M$ es 0, no suma nada; si es $1$, suma exactamente la mitad del valor de $q$, $\lfloor \frac{q}{2} \rfloor$).
El texto cifrado (Ciphertext) será $(\mathbf{u}, v)$.

La implicación intuitiva del cifrado es tomar la “suma de un subconjunto aleatorio” de la matriz de la clave pública $A$ y del vector $\mathbf{b}$. Debido a la dificultad del problema LWE de decisión, este texto cifrado $(\mathbf{u}, v)$ parece indistinguible de un vector completamente aleatorio y de un número aleatorio uniforme (Seguridad semántica: Semantic Security).

flowchart LR M["Mensaje M en {0,1}"] --> Enc PK["Clave Pública (A, b)"] --> Enc r["Vector binario aleatorio r"] --> Enc subgraph Enc ["Proceso de Cifrado"] direction TB u_calc["u = A^T * r mod q"] v_calc["v = b^T * r + M * floor(q/2) mod q"] end Enc --> CT["Texto Cifrado (u, v)"]

5.3 Descifrado (Decryption)

Bob descifra el texto cifrado $(\mathbf{u}, v)$ usando su clave secreta $\mathbf{s}$.

Calcula el siguiente valor: $D = v - \mathbf{s}^T \mathbf{u} \pmod q$
Si el resultado calculado está cerca de $0$, la salida es $M=0$; si está cerca de $\lfloor \frac{q}{2} \rfloor$, la salida es $M=1$.

Desarrollemos matemáticamente por qué se puede descifrar con esto. Recuerde que $\mathbf{b} = A \mathbf{s} + \mathbf{e}$.

$$ \begin{aligned} v - \mathbf{s}^T \mathbf{u} &= (\mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T (A^T \mathbf{r}) \\ &= ((A \mathbf{s} + \mathbf{e})^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= (\mathbf{s}^T A^T \mathbf{r} + \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q \end{aligned} $$

Aquí, $\mathbf{s}^T A^T \mathbf{r}$ se cancela claramente y desaparece de la ecuación. Lo que queda es $\mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor$.

$\mathbf{e}$ es un vector de ruido con componentes muy pequeños, y $\mathbf{r}$ es un vector binario con componentes de 0 o 1. Por lo tanto, su producto interno $\mathbf{e}^T \mathbf{r}$ también permanece como un valor relativamente pequeño (si los parámetros se eligen adecuadamente).

Si $M=0$, el resultado es $\mathbf{e}^T \mathbf{r}$, que será un valor pequeño cerca de $0$.
Si $M=1$, el resultado es $\mathbf{e}^T \mathbf{r} + \lfloor \frac{q}{2} \rfloor$, que se situará alrededor de la mitad del valor de $q$, $\lfloor \frac{q}{2} \rfloor$.

Si los parámetros están diseñados para que el valor absoluto del error $\mathbf{e}^T \mathbf{r}$ sea menor a $\frac{q}{4}$, Bob puede determinar (descifrar) con precisión el mensaje $M$ simplemente verificando si el resultado del cálculo está más cerca de $0$ o de $\lfloor \frac{q}{2} \rfloor$. Este es el hermoso mecanismo por el cual funciona la criptografía basada en LWE.

flowchart LR CT["Texto Cifrado (u, v)"] --> Dec SK["Clave Secreta s"] --> Dec subgraph Dec ["Proceso de Descifrado"] direction TB calc["Calcular D = v - s^T * u mod q"] check["Comprobar si D está más cerca de 0 o q/2"] end calc --> check Dec --> M_out["Mensaje Recuperado M"]

6. Ejemplo ilustrativo de criptografía LWE usando valores numéricos específicos

Es posible que resulte difícil comprender solo con una lista de fórmulas matemáticas, así que intentemos establecer parámetros numéricos muy pequeños y seguir los cálculos desde el cifrado hasta el descifrado. (* En un sistema de criptografía real, se utilizan valores para $n$ mayores de 500 y para $q$ valores de miles o más para garantizar la seguridad).

[Configuración de parámetros]

Módulo $q = 17$ (Un número primo. Por tanto, los valores están en el rango de $0$ a $16$).
Dimensión $n = 2$
Número de ecuaciones $m = 4$
Supondremos que se cifrará el mensaje $M = 1$.
Cantidad de desplazamiento del mensaje: $\lfloor \frac{q}{2} \rfloor = \lfloor \frac{17}{2} \rfloor = 8$

[1. Fase de generación de claves] Bob elige su clave secreta $\mathbf{s}$, la matriz $A$ y el vector de error $\mathbf{e}$ al azar.

$$ \mathbf{s} = \begin{pmatrix} 3 \\ 4 \end{pmatrix} \in \mathbb{Z}_{17}^2 $$ $$ A = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \in \mathbb{Z}_{17}^{4 \times 2} $$ $$ \mathbf{e} = \begin{pmatrix} 1 \\ -1 \\ 0 \\ 2 \end{pmatrix} \equiv \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} \pmod{17} $$

Luego calcula la clave pública $\mathbf{b}$.

$$ A \mathbf{s} = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \begin{pmatrix} 3 \\ 4 \end{pmatrix} = \begin{pmatrix} 2\times 3 + 15\times 4 \\ 1\times 3 + 8\times 4 \\ 14\times 3 + 5\times 4 \\ 9\times 3 + 10\times 4 \end{pmatrix} = \begin{pmatrix} 6 + 60 \\ 3 + 32 \\ 42 + 20 \\ 27 + 40 \end{pmatrix} = \begin{pmatrix} 66 \\ 35 \\ 62 \\ 67 \end{pmatrix} $$

Calculando esto módulo 17 (como $66 = 17 \times 3 + 15$ etc.):

$$ A \mathbf{s} \pmod{17} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} $$

Sumando el vector de error $\mathbf{e}$:

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} + \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} = \begin{pmatrix} 16 \\ 17 \\ 11 \\ 18 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 0 \\ 11 \\ 1 \end{pmatrix} \pmod{17} $$

La clave pública es $A$ y $\mathbf{b} = (16, 0, 11, 1)^T$.

[2. Fase de cifrado] Alice cifra el mensaje $M = 1$. Elige un vector aleatorio $\mathbf{r}$. Aquí usaremos $\mathbf{r} = (1, 0, 1, 0)^T$.

Calcula $\mathbf{u}$:

$$ \mathbf{u} = A^T \mathbf{r} = \begin{pmatrix} 2 & 1 & 14 & 9 \\ 15 & 8 & 5 & 10 \end{pmatrix} \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = \begin{pmatrix} 2 \times 1 + 14 \times 1 \\ 15 \times 1 + 5 \times 1 \end{pmatrix} = \begin{pmatrix} 16 \\ 20 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 3 \end{pmatrix} \pmod{17} $$

Calcula $v$:

$$ \mathbf{b}^T \mathbf{r} = (16, 0, 11, 1) \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = 16 \times 1 + 11 \times 1 = 27 \equiv 10 \pmod{17} $$

Suma el valor correspondiente al mensaje $M=1$, $\lfloor 17/2 \rfloor = 8$:

$$ v = \mathbf{b}^T \mathbf{r} + M \cdot 8 = 10 + 1 \times 8 = 18 \equiv 1 \pmod{17} $$

Alice envía el texto cifrado $(\mathbf{u}, v) = \left( \begin{pmatrix} 16 \\ 3 \end{pmatrix}, 1 \right)$ a Bob.

[3. Fase de descifrado] Bob, al recibir el texto cifrado, lo descifra usando su clave secreta $\mathbf{s} = (3, 4)^T$. Fórmula de descifrado: Calcula $D = v - \mathbf{s}^T \mathbf{u} \pmod{17}$.

$$ \mathbf{s}^T \mathbf{u} = (3, 4) \begin{pmatrix} 16 \\ 3 \end{pmatrix} = 3 \times 16 + 4 \times 3 = 48 + 12 = 60 \equiv 9 \pmod{17} $$ $$ D = v - \mathbf{s}^T \mathbf{u} = 1 - 9 = -8 \pmod{17} $$

Aquí, en el mundo del módulo 17, $-8$ es igual a $9$ ($-8 + 17 = 9$). Determina si el valor obtenido $D = 9$ está más cerca de $0$ o de $8$ ($\lfloor 17/2 \rfloor$). Dado que $9$ está claramente más cerca de $8$ que de $0$, ¡Bob logra restaurar correctamente $M = 1$!

¿Por qué resultó 9? Recordemos la prueba anterior. La parte de error es $\mathbf{e}^T \mathbf{r} = (1, -1, 0, 2) (1, 0, 1, 0)^T = 1 \times 1 + 0 \times 1 = 1$. Por lo tanto, el resultado del cálculo es $\mathbf{e}^T \mathbf{r} + M \cdot 8 = 1 + 8 = 9$, confirmando que se ha calculado el valor tal como en la teoría.

7. Evolución hacia la aplicación práctica: Ring-LWE y Module-LWE

El problema LWE estándar (Standard LWE) explicado hasta ahora tiene pruebas de seguridad muy sólidas, pero en la práctica tiene defectos fatales. Estos son el “tamaño gigante de las claves” y el “alto costo computacional”.

En Standard LWE, la clave pública incluye una matriz gigante $A \in \mathbb{Z}_q^{m \times n}$. Cuando el parámetro $n$ alcanza cifras entre cientos y miles, el tamaño de esta matriz llega a varios megabytes, lo que la hace demasiado pesada para enviar y recibir cada vez a través de protocolos de comunicación en internet (como TLS). Además, la multiplicación de matrices y vectores requiere una complejidad computacional de $\mathcal{O}(n^2)$.

Para resolver estos problemas se introdujeron el “Ring-LWE (RLWE)” y el “Module-LWE (MLWE)”, que incorporan estructuras algebraicas llamadas anillos de polinomios (Polynomial rings) en los retículos.

7.1 Intuición de Ring-LWE

En Ring-LWE, los vectores y matrices se sustituyen por elementos (polinomios) de un anillo de polinomios $\mathcal{R}_q = \mathbb{Z}_q[X]/(X^n + 1)$. (Donde $n$ se elige como una potencia de 2).

Mientras que la clave pública en Standard LWE era una matriz $A$, en Ring-LWE se utiliza un solo polinomio $a(x)$. La clave secreta $s(x)$ y el error $e(x)$ también se convierten en polinomios. La ecuación queda de la siguiente manera:

$$ b(x) = a(x) \cdot s(x) + e(x) \pmod q $$

Al tratarse de multiplicación de polinomios, utilizando la “Transformada Teórica de Números (Number Theoretic Transform: NTT)”, que es similar a la Transformada Rápida de Fourier (FFT), la complejidad computacional se puede reducir drásticamente a $\mathcal{O}(n \log n)$. Además, debido a que el tamaño de la clave pública se reduce de una matriz a un solo polinomio, el tamaño de los datos se reduce a $\mathcal{O}(n)$. Esto proporciona una ventaja abrumadora en términos de ancho de banda de comunicación.

Matemáticamente, Ring-LWE se reduce a problemas en retículos con una simetría especial conocidos como “Retículos Ideales (Ideal Lattices)” en lugar de retículos generales.

7.2 Module-LWE y Estandarización del NIST (Kyber / ML-KEM)

Aunque Ring-LWE es eficiente, había una ligera preocupación de que la estructura algebraica especial del retículo ideal pudiera ser la base para futuros ataques. Por lo tanto, el “Module-LWE (MLWE)” tomó “lo mejor de ambos mundos”: la seguridad conservadora de Standard LWE y la eficiencia de Ring-LWE.

En Module-LWE, consideramos matrices y vectores pequeños cuyos elementos son polinomios. Es decir, manejamos módulos sobre anillos. Actualmente, “CRYSTALS-Kyber” (Nombre estandarizado: ML-KEM), que ha sido seleccionado por el NIST como estándar para el algoritmo de intercambio de claves PQC (KEM), está construido precisamente en base a la dificultad de este problema Module-LWE.

8. ¿Por qué es seguro contra las computadoras cuánticas?

Finalmente, tocaremos el núcleo de la pregunta: “¿Por qué se cree que la criptografía basada en retículos no se puede descifrar ni siquiera usando computadoras cuánticas?”

El algoritmo de Shor, que hace que las computadoras cuánticas rompan RSA y ECC, es esencialmente un algoritmo para resolver el “Problema del Subgrupo Oculto (Hidden Subgroup Problem: HSP)”. La estructura matemática (grupos abelianos finitos) detrás de RSA y ECC tiene periodicidad, y al usar una operación cuántica específica llamada Transformada Cuántica de Fourier (QFT), este período (el subgrupo oculto) se puede extraer de una vez.

Sin embargo, los problemas de retículos son fundamentalmente diferentes. Aunque los retículos también tienen periodicidad, lo que se busca en SVP y CVP son propiedades geométricas no lineales, como la “distancia más corta” o la “eliminación del ruido”. Incluso aplicando directamente la “Transformada Cuántica de Fourier sobre un grupo abeliano” como en el algoritmo de Shor, no se puede extraer eficientemente información útil que resuelva el problema del retículo. Hasta la fecha, no se han descubierto algoritmos cuánticos capaces de resolver SVP o LWE en tiempo polinomial, y se cree ampliamente que, a pesar del poder de cálculo paralelo de las computadoras cuánticas, el único método efectivo es una búsqueda casi exhaustiva (aproximadamente una aceleración de la raíz cuadrada mediante el algoritmo de Grover).

9. Conclusión

En este artículo, explicamos detalladamente la intuición matemática de la criptografía de retículos, comenzando con la definición geométrica de los retículos, seguido de la formulación del problema LWE, hasta la construcción de la criptografía de clave pública.

Un Retículo (Lattice) es un espacio discreto representado por combinaciones lineales con coeficientes enteros de vectores base, y en altas dimensiones resulta difícil encontrar una “buena base” casi ortogonal (SVP).
El Problema LWE (Learning With Errors) es un problema de resolver sistemas de ecuaciones lineales con ruido, y dado que esto está ligado a la dificultad del problema del retículo en el peor de los casos, proporciona una base sólida para la seguridad.
Utilizando el problema LWE, el cifrado y descifrado (Criptografía de Regev) se logran mediante un ingenioso mecanismo que intencionalmente añade y elimina el ruido.
En los protocolos reales, se emplean Ring-LWE o Module-LWE usando anillos de polinomios para aumentar la eficiencia de comunicación y la velocidad de cálculo, sirviendo como la base del estándar ML-KEM del NIST.

Con el cambio de paradigma computacional sin precedentes que representan las computadoras cuánticas acercándose, es muy fascinante que la “criptografía de retículos”, nacida del abismo del álgebra lineal clásica y la teoría de números, se convierta en la base de la seguridad del internet del futuro. Las matemáticas subyacentes a la criptografía de retículos no son excesivamente complejas, y con conocimientos básicos de álgebra lineal y probabilidades, es perfectamente posible comprender su hermosa estructura. Esperamos que este artículo sirva de ayuda para comprender la criptografía de retículos, el núcleo de la PQC.

Cómo funcionan las Pruebas de Conocimiento Cero (ZKP) y sus aplicaciones recientes en Web3 y Seguridad

Fri, 11 Sep 2026 19:00:00 +0900

Introducción

En la sociedad digital actual, la privacidad de los datos y la escalabilidad se han convertido en dos de los problemas más importantes. Con el aumento del riesgo de fuga de información personal y uso no autorizado, existe una fuerte demanda de una tecnología que “demuestre que uno tiene cierta información sin revelar la información en sí a la otra parte”. Esto se logra mediante la Prueba de Conocimiento Cero (Zero-Knowledge Proof: ZKP).

La prueba de conocimiento cero es un concepto de teoría criptográfica propuesto por primera vez en la década de 1980 por Shafi Goldwasser, Silvio Micali y Charles Rackoff, pero permaneció como un estudio teórico durante mucho tiempo. Sin embargo, con el surgimiento de la tecnología blockchain y Web3, la situación ha cambiado por completo. Como una “varita mágica” para resolver simultáneamente el problema de escalabilidad (límites de capacidad de procesamiento) y el problema de privacidad (todas las transacciones son públicas) que enfrentan las blockchains públicas como Ethereum, las ZKP de repente fueron el centro de atención.

En este artículo, profundizaremos técnica y detalladamente desde los conceptos básicos de las pruebas de conocimiento cero, hasta los profundos mecanismos matemáticos y criptográficos de zk-SNARKs y zk-STARKs (actualmente dominantes), y ejemplos recientes de aplicaciones en Web3 y seguridad, como ZK-Rollups y la identidad descentralizada (DID).

¿Qué es la Prueba de Conocimiento Cero (ZKP)?

La prueba de conocimiento cero (ZKP) se refiere a un protocolo en el cual un probador (Prover) demuestra a un verificador (Verifier) que una proposición es cierta, de tal manera que “no se transmite absolutamente ninguna otra información más que el hecho de que la proposición es cierta”.

3 requisitos que debe cumplir una ZKP

Para establecerse como una ZKP, debe cumplir estrictamente con las tres propiedades siguientes:

Completitud (Completeness) Si la proposición es verdadera y tanto el probador como el verificador siguen correctamente el protocolo, el verificador debe aceptar la prueba con una probabilidad abrumadora.
Solidez (Soundness) Si la proposición es falsa, sin importar cuán alta sea la capacidad de cálculo y cuán malicioso sea el probador, es imposible engañar al verificador para que acepte la prueba (excepto por una probabilidad tan pequeña que puede ser ignorada).
Conocimiento Cero (Zero-Knowledge) Si la proposición es verdadera, el verificador no puede obtener ninguna información del proceso de prueba más allá del hecho de que “la proposición es verdadera”. Desde la perspectiva del verificador, se demuestra mediante la definición matemática de que es posible simular el proceso de prueba (existe un simulador).

Pruebas interactivas y no interactivas

Existen dos tipos de ZKP: pruebas interactivas, donde el probador y el verificador se comunican múltiples veces, y pruebas no interactivas, donde el probador envía los datos de la prueba solo una vez.

Pruebas interactivas (Interactive ZKP)

Las primeras ZKP se diseñaron como protocolos interactivos. La famosa metáfora de la “Cueva de Alí Babá” entra en esta categoría. El flujo de un protocolo general es el siguiente:

sequenceDiagram participant Prover as "Prover (Probador)" participant Verifier as "Verifier (Verificador)" Note over Prover, Verifier: "Flujo básico del protocolo de prueba interactiva" Prover->>Verifier: "1. Enviar el compromiso (Commitment)" Verifier->>Prover: "2. Enviar un desafío aleatorio (Challenge)" Prover->>Verifier: "3. Calcular y enviar la respuesta (Response)" Note over Verifier: "Verificar la respuesta (Verification)" Verifier-->>Prover: "4. Aceptar o rechazar (Accept / Reject)" Note over Prover, Verifier: "※ Para aumentar la precisión, esto se repite decenas de veces"

Este método es poderoso, pero el verificador debe estar en línea, lo cual es inconveniente para aplicar en sistemas descentralizados asincrónicos como blockchain. En blockchain, cualquiera debe poder verificar pruebas pasadas en cualquier momento.

Transformación de Fiat-Shamir (Fiat-Shamir Heuristic) y no interactividad

Un método revolucionario para convertir pruebas interactivas en pruebas no interactivas (Non-Interactive Zero-Knowledge Proof: NIZK) es la Transformación de Fiat-Shamir.

En lugar del “desafío aleatorio” enviado por el verificador, el probador autogenera un “desafío pseudoaleatorio” utilizando su propio compromiso y el valor hash de la información pública. Suponiendo que una función hash criptográfica (como SHA-256 o Keccak) funcione como un oráculo aleatorio (Random Oracle), el probador no puede predecir ni manipular el desafío con anticipación, lo que le permite completar la prueba enviando un solo mensaje manteniendo el mismo nivel de seguridad que una prueba interactiva.

Detalles técnicos de zk-SNARKs

Actualmente, las ZKP más utilizadas son las zk-SNARKs (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge). Como su nombre indica, tienen conocimiento cero (zk), el tamaño de la prueba es muy pequeño y la verificación es rápida (Succinct), y es un argumento de conocimiento no interactivo (Non-Interactive Argument of Knowledge).

La base de las zk-SNARKs es geometría algebraica avanzada y teoría criptográfica. Convierten la ejecución de programas y cálculos en la verificación de ecuaciones polinómicas específicas.

1. Transformación a circuitos aritméticos y R1CS (Rank-1 Constraint System)

Primero, cualquier cálculo que se desee probar (un algoritmo o la lógica de un contrato inteligente) se convierte en un circuito aritmético (Arithmetic Circuit) que consiste en puertas de suma y multiplicación.

A continuación, este circuito aritmético se convierte en un conjunto de ecuaciones matriciales llamado R1CS (Rank-1 Constraint System). R1CS es el problema de encontrar las matrices $A, B, C$ que cumplan con la siguiente restricción para un vector de variables $x$:

$$ (A \cdot x) \circ (B \cdot x) = C \cdot x $$

Aquí, $\circ$ representa el producto de Hadamard (producto elemento a elemento). Esta restricción garantiza que todas las puertas lógicas del circuito (especialmente las puertas de multiplicación) se calculen correctamente.

2. Transformación a QAP (Quadratic Arithmetic Program)

Dado que hay innumerables restricciones matriciales en R1CS, verificarlas individualmente es muy ineficiente. Por lo tanto, utilizando la interpolación de Lagrange, estas restricciones se comprimen en una sola ecuación polinómica. Esto es el QAP (Quadratic Arithmetic Program).

Al transformarlo en un QAP, el problema a probar se reduce a la pregunta: “¿Es un polinomio específico $P(x)$ divisible por otro polinomio conocido $Z(x)$?”.

$$ P(x) = L(x) \cdot R(x) - O(x) $$

Aquí, $L(x), R(x), O(x)$ son combinaciones de polinomios correspondientes a cada fila de las matrices $A, B, C$ respectivamente. Si el probador conoce la solución correcta (Witness), el valor será 0 en cada raíz (punto de evaluación) de $P(x)$, por lo que $P(x)$ tendrá el polinomio objetivo $Z(x)$ como factor. Es decir, existe cierto polinomio $H(x)$ tal que se cumple la siguiente ecuación:

$$ P(x) = H(x) \cdot Z(x) $$

El verificador puede verificar instantáneamente que todo el cálculo se realizó correctamente comprobando si esta ecuación $P(s) = H(s) \cdot Z(s)$ es cierta en un punto secreto aleatorio $s$. Este es el secreto de “Succinct (Conciso)”.

3. Criptografía de curva elíptica y emparejamientos (Bilinear Pairings)

Sin embargo, si el verificador conociera el punto secreto $s$, el probador podría falsificar un polinomio para satisfacer la ecuación (colapso de la solidez). Por lo tanto, es necesario realizar los cálculos manteniendo $s$ encriptado para que nadie lo conozca (utilizando encriptación homomórfica).

Lo que logra esto es el emparejamiento de curva elíptica (Bilinear Pairings). El emparejamiento $e$ es una función especial que permite calcular, a partir de dos valores encriptados, un valor equivalente al encriptado de su producto.

$$ e(g_1^a, g_2^b) = e(g_1, g_2)^{ab} $$

El probador, sin conocer $s$ en sí, utiliza los valores encriptados de las potencias de $s$ (esto se llama CRS: Common Reference String) para calcular los valores encriptados de los polinomios $P(s)$ y $H(s)$. El verificador utiliza la función de emparejamiento para verificar si se cumple la relación $P(s) = H(s) \cdot Z(s)$ mientras los valores permanecen encriptados.

4. Configuración confiable (Trusted Setup)

La mayor debilidad de las zk-SNARKs (especialmente el inicial Groth16) es que requieren un proceso para generar el punto secreto $s$, la llamada configuración confiable. Si el generador de $s$ conserva ese valor sin destruirlo, sería capaz de generar cualquier prueba falsa (el problema de Toxic Waste).

Para prevenir esto, se lleva a cabo una ceremonia llamada “Ceremony” que utiliza Multi-Party Computation (MPC). Muchos participantes colaboran para proporcionar aleatoriedad, y si al menos uno de los participantes descarta honestamente su valor aleatorio, el sistema mantendrá la seguridad en general. Sin embargo, la investigación para eliminar esta dependencia ha continuado durante muchos años.

Detalles técnicos de zk-STARKs

Como respuesta a la dependencia de la configuración confiable y al riesgo de descifrar la criptografía de curva elíptica por parte de las computadoras cuánticas, aparecieron las zk-STARKs (Zero-Knowledge Scalable Transparent Argument of Knowledge).

Las STARKs, desarrolladas por Eli Ben-Sasson y otros, no requieren de una configuración confiable, haciendo honor a la palabra “Transparent” (Transparencia), y tienen la característica de que el tamaño de la prueba y el tiempo de verificación se mantienen eficientes incluso si aumenta la cantidad de cálculo, honrando la palabra “Scalable” (Escalabilidad).

1. Compromiso polinómico y protocolo FRI

Las zk-STARKs no basan su seguridad en la criptografía de curva elíptica, sino exclusivamente en funciones hash. Por lo tanto, poseen propiedades de criptografía poscuántica (Post-Quantum Cryptography).

La verificación del cálculo se realiza utilizando las propiedades de polinomios de una o múltiples dimensiones después de convertirse a un formato llamado AIR (Algebraic Intermediate Representation). El núcleo de las STARKs reside en el protocolo FRI (Fast Reed-Solomon Interactive Oracle Proof of Proximity).

El protocolo FRI es una técnica para verificar si “cierta función es lo suficientemente cercana (Proximity) a un polinomio de un grado específico”. El probador compromete los valores del polinomio como hojas de un árbol de Merkle (Merkle Tree) (compromiso polinómico).

graph TD Root["Raíz de Merkle (Compromiso)"] --> Node0["Nodo 0"] Root --> Node1["Nodo 1"] Node0 --> Leaf0["P(x_0)"] Node0 --> Leaf1["P(x_1)"] Node1 --> Leaf2["P(x_2)"] Node1 --> Leaf3["P(x_3)"]

El verificador solicita que se revelen varios puntos aleatorios y utiliza la prueba de Merkle para confirmar que están incluidos en el compromiso. Al repetir esto de forma recursiva, se garantiza con abrumadora probabilidad que el grado del polinomio original es, de hecho, bajo.

Comparación entre zk-SNARKs y zk-STARKs

Característica	zk-SNARKs	zk-STARKs
Supuestos criptográficos	Curva elíptica, emparejamientos	Funciones hash resistentes a colisiones
Configuración confiable	Necesaria (Plonk, etc., son universales)	Innecesaria (Transparente)
Resistencia cuántica	No	Sí
Tamaño de la prueba	Muy pequeño (~200 Bytes)	Algo grande (decenas de KB)
Costo computacional de generación de prueba	Alto	Relativamente más bajo que SNARKs
Costo de verificación (Gas)	Muy bajo (constante)	Bajo (crece de forma logarítmica)

En los últimos años, con la aparición de “SNARKs que no requieren una configuración confiable, o que solo la requieren una vez”, como Plonk y Halo2, la frontera entre SNARKs y STARKs se está volviendo cada vez más difusa, pero la diferencia en los enfoques matemáticos fundamentales sigue siendo importante.

Las últimas aplicaciones de las pruebas de conocimiento cero en Web3 y Seguridad

Tras pasar de la teoría a la práctica, las ZKP están revolucionando ahora la primera línea de la Web3 y la ciberseguridad.

1. Escalado definitivo de Ethereum mediante ZK-Rollups

Las blockchains L1 (capa 1) como Ethereum se enfrentan a importantes limitaciones de escalabilidad (el trilema) debido a su énfasis en la descentralización y la seguridad. La solución definitiva a nivel L2 (capa 2) para resolver esto son los ZK-Rollups.

En un ZK-Rollup, se ejecutan y procesan miles de transacciones fuera de la cadena (L2) y se genera “una ZKP (Validity Proof)” que demuestra que todas se ejecutaron correctamente. El contrato inteligente en la cadena L1 solo tiene que verificar esta prueba.

flowchart LR Users["Usuarios (Envío de Tx)"] --> Sequencer["Secuenciador (Recolección y ejecución de Tx)"] Sequencer --> Prover["Probador (Generación de ZKP)"] Sequencer --> L1Contract["Contrato Inteligente L1 (Publicación de datos de Tx)"] Prover --> L1Contract["Presentación de ZKP (Prueba)"] L1Contract --> Verify["Verificación y Actualización de Estado"]

La mayor ventaja de los ZK-Rollups es que, a diferencia de los Optimistic Rollups (como Arbitrum u Optimism), no requieren un período de desafío (normalmente 7 días) para las pruebas de fraude (Fraud Proof). Debido a que la corrección está garantizada criptográficamente, el retiro de fondos a la L1 (Finality) se completa en el momento en que se verifica la prueba. Actualmente, proyectos como zkSync, Starknet, Scroll y Polygon zkEVM libran una feroz competencia en desarrollo, y la consecución de una zkEVM (compatible con Ethereum Virtual Machine) está acelerando drásticamente el ecosistema.

2. Identidad con protección de privacidad (ZKP for Identity)

La forma de autenticación personal en el mundo digital también está cambiando fundamentalmente gracias a las ZKP. Por ejemplo, en respuesta a la pregunta “¿Tienes 18 años o más?”, los sistemas convencionales requerían presentar una licencia de conducir o un pasaporte, entregando a la otra parte información personal innecesaria como el nombre y la dirección.

Usando ZKP, es posible probar matemáticamente solo el hecho de que, “calculando a partir de mi fecha de nacimiento en un certificado digital (Verifiable Credential) emitido por un organismo público, tengo 18 años o más en la fecha actual”. El verificador solo necesita verificar la firma del certificado y la ZKP, sin poder conocer la fecha de nacimiento ni la identidad del usuario.

Incluso en proyectos de prueba de humanidad (Proof of Personhood) como Worldcoin, en lugar de almacenar y compartir los datos del iris directamente, se incorpora un mecanismo que utiliza ZKP para probar únicamente “el hecho de ser un ser humano único”.

3. Contratos inteligentes confidenciales y uso empresarial

La naturaleza “totalmente pública” de las cadenas de bloques públicas ha sido una gran barrera para que las empresas gestionen transacciones confidenciales y la información de la cadena de suministro en la cadena de bloques.

Usando la tecnología ZKP (por ejemplo, redes especializadas en privacidad como Aleo o Aztec), es posible registrar solo la validez de la actualización del estado en la cadena pública manteniendo cifrados los valores de entrada, los valores de salida e incluso la propia lógica del contrato inteligente ejecutado. Esto hace posible la prevención de la manipulación de precios (MEV) en DeFi (finanzas descentralizadas) y la construcción de redes de consorcios confidenciales entre empresas, todo mientras se disfruta de la alta seguridad de una cadena pública.

Retos futuros y perspectivas de ZKP

Si bien ZKP es, sin duda, una tecnología fundamental de próxima generación, todavía quedan algunos retos.

Costo computacional de la generación de pruebas y aceleración de hardware La generación de ZKP requiere un enorme volumen de cálculos de polinomios, FFT (Transformada Rápida de Fourier) y MSM (Multiplicación Multiescalar). Actualmente, el desarrollo de hardware especializado (FPGA y ASIC) para acelerar esta generación de pruebas, es decir, la investigación de la minería ZKP (Prover Network), avanza rápidamente.
Estandarización y mejora de la experiencia del desarrollador (DX) Existe una proliferación de lenguajes dedicados para describir circuitos ZKP, como Circom, Cairo, Noir, Leo, etc. La madurez de un estándar que unifique todo esto y la creación de compiladores que generen automáticamente circuitos ZKP a partir de lenguajes como Rust o C++ serán la clave para la adopción de ZKP por parte de los ingenieros de software en general.

Conclusión

La Prueba de Conocimiento Cero (ZKP) ha evolucionado de ser una simple “tecnología para aumentar el anonimato de las criptomonedas” a una “tecnología de propósito general que redefine la confianza (Trust) de todo el internet”. Las pequeñas pruebas, calculadas en las profundidades de las matemáticas y la teoría de la criptografía, expanden infinitamente la escalabilidad de la cadena de bloques y sirven como un escudo sólido para proteger nuestra privacidad.

Hacia la verdadera adopción masiva de Web3 y la construcción de un Internet de próxima generación seguro y privado, las pruebas de conocimiento cero continuarán funcionando como la pieza más importante. No podemos quitarle los ojos de encima a la futura evolución de la tecnología ZKP.

Referencias y enlaces relacionados

Groth, J. (2016). “On the Size of Pairing-based Non-interactive Arguments”
Ben-Sasson, E., et al. (2018). “Scalable, transparent, and post-quantum secure computational integrity”
Vitalik Buterin’s blog on zk-SNARKs and zk-STARKs

¿Qué es el cifrado totalmente homomórfico (FHE)? Explicación de la clave de la seguridad de próxima generación

Fri, 11 Sep 2026 11:00:00 +0900

A medida que la computación en la nube y la tecnología de IA se establecen como la base de la sociedad, la compensación entre la “privacidad de los datos” y la “utilización de los datos” se ha convertido en uno de los problemas más importantes. Aunque existe una demanda creciente para que la IA en la nube analice datos altamente confidenciales como datos médicos, información financiera e información biométrica personal, muchas empresas dudan en enviar datos externamente debido a preocupaciones de seguridad.

Las tecnologías de cifrado tradicionales (como AES y RSA) son excelentes para proteger los datos almacenados en disco (Data at Rest) y los datos que fluyen por la red (Data in Transit). Sin embargo, cuando el servidor realiza un procesamiento (cálculo) en los datos, como una búsqueda o aprendizaje automático (Data in Use), es necesario descifrar el cifrado y devolverlo a texto plano. Si el servidor es hackeado en este momento de descifrado, o si un administrador malicioso interno husmea en los datos, esto conduce directamente a una fuga de información.

La tecnología soñada para superar esta debilidad fundamental del “descifrado durante el procesamiento” es el Cifrado Totalmente Homomórfico (Fully Homomorphic Encryption: FHE). Al usar FHE, es posible realizar cálculos en datos mientras permanecen cifrados, sin descifrarlos en absoluto, y devolver solo el texto cifrado resultante al cliente.

En este artículo, explicaremos en profundidad el FHE, la clave de la seguridad de próxima generación, desde el concepto y la historia del FHE, el avance revolucionario de Craig Gentry, los fundamentos matemáticos (como Ring-LWE), el mayor desafío del “ruido” y su solución (bootstrapping), hasta las bibliotecas de implementación más recientes.

1. ¿Qué es el cifrado homomórfico? Conceptos básicos

“Homomórfico” es un término en álgebra que se refiere a la propiedad de mapear entre conjuntos con una determinada estructura preservando la estructura de las operaciones. En criptografía, la “propiedad homomórfica” es la propiedad de que las operaciones en el espacio de texto plano corresponden a operaciones en el espacio de texto cifrado.

Expresado en una fórmula matemática simple, sean $m_1$ y $m_2$ los textos planos, $E(\cdot)$ la función de cifrado y $D(\cdot)$ la función de descifrado. Si la operación (como suma o multiplicación) en el texto plano es $\circ$ y la operación en el texto cifrado es $\diamond$, se cumple la siguiente relación:

$$ D(E(m_1) \diamond E(m_2)) = m_1 \circ m_2 $$

En otras palabras, el resultado de aplicar alguna operación $\diamond$ a los textos cifrados $E(m_1)$ y $E(m_2)$ y luego descifrarlo coincide con el resultado de operar los textos planos originales con $\circ$.

Flujo de datos en la computación en la nube

La arquitectura del procesamiento en la nube usando FHE es completamente diferente a la tradicional. La siguiente figura muestra el flujo de procesamiento de datos seguro utilizando FHE.

El servidor recibe los datos cifrados $E(x)$, pero como no tiene la clave privada, le es absolutamente imposible conocer el contenido de los datos. Sin embargo, al utilizar las propiedades del FHE, es posible aplicar una función $f$ (por ejemplo, un modelo de inferencia de aprendizaje automático) al texto cifrado y generar $E(f(x))$. El cliente recibe esto y lo descifra con su propia clave privada para obtener el resultado deseado $y = f(x)$.

2. Historia de la evolución del cifrado homomórfico: PHE, SHE, FHE

El cifrado homomórfico no alcanzó su forma “completa” actual de una sola vez. Se clasifica a grandes rasgos en tres etapas dependiendo de los tipos y el número de operaciones que se pueden realizar.

Cifrado Parcialmente Homomórfico (PHE)

El PHE es un esquema de cifrado que permite un número ilimitado de operaciones de suma o multiplicación, pero solo una de las dos. De hecho, los cifrados con esta propiedad han existido durante mucho tiempo.

Cifrado RSA (Propiedad homomórfica para la multiplicación) El cifrado RSA posee de forma no intencionada una propiedad homomórfica para la multiplicación. Dados los textos planos $m_1, m_2$ y la clave pública $(e, N)$: $$ E(m_1) = m_1^e \pmod N $$ $$ E(m_2) = m_2^e \pmod N $$ Al multiplicarlos juntos: $$ E(m_1) \times E(m_2) = (m_1 \cdot m_2)^e \pmod N = E(m_1 \times m_2) $$ De esta manera, la multiplicación de textos cifrados corresponde a la multiplicación de textos planos.
Cifrado Paillier (Propiedad homomórfica para la suma) El cifrado Paillier, inventado en 1999, posee una propiedad homomórfica para la suma. Se ha puesto en práctica en sistemas como la votación electrónica (donde los votos cifrados se suman y solo se descifra el resultado final).

Cifrado Algo Homomórfico (SHE)

Es un esquema que puede ejecutar tanto sumas como multiplicaciones, pero tiene un límite en el número de operaciones (profundidad del circuito). Debido a la acumulación de “ruido”, que se explicará más adelante, el descifrado se vuelve imposible después de realizar un cierto número de multiplicaciones. El cifrado BGN (Boneh-Goh-Nissim) de 2005 es un ejemplo de esto, pero tenía limitaciones para realizar cálculos complejos prácticos (como el aprendizaje profundo).

Cifrado Totalmente Homomórfico (FHE)

Es un esquema de cifrado que permite ejecutar tanto sumas como multiplicaciones un número ilimitado de veces. De manera similar a la integridad de Turing en la teoría de la información, si la suma (equivalente a XOR) y la multiplicación (equivalente a AND) se pueden combinar infinitamente, significa que, en principio, cualquier función o algoritmo computable puede ejecutarse mientras permanece cifrado.

El FHE fue llamado durante mucho tiempo el “Santo Grial de la criptografía”, e incluso se decía que podría ser imposible de lograr. Sin embargo, en 2009, Craig Gentry, que entonces era estudiante de doctorado en la Universidad de Stanford, propuso el primer esquema FHE basado en redes ideales (Ideal Lattices), sorprendiendo al mundo.

3. Fundamentos matemáticos del FHE: El problema LWE y Ring-LWE

Muchos de los esquemas FHE principales actuales se basan en el problema LWE (Learning With Errors), que es un problema matemático complejo en la “Criptografía basada en retículos (Lattice-based Cryptography)”, también conocida como Criptografía Post-Cuántica (Post-Quantum Cryptography).

Comprensión intuitiva del problema LWE

Resolver un sistema de ecuaciones lineales es fácil si se utiliza, por ejemplo, la eliminación de Gauss.

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 \equiv 12 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 \equiv 8 \pmod{17} \\ \vdots \end{cases} $$

Pero, ¿qué pasaría si agregamos un pequeñísimo “error aleatorio (ruido)” $e$ a los resultados de estas ecuaciones?

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 + e_1 \equiv 13 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 + e_2 \equiv 7 \pmod{17} \\ \vdots \end{cases} $$

El solo hecho de agregar este error $e$ transforma el problema de encontrar el vector de variables secretas $\vec{s}$ en un problema NP-difícil que es extremadamente complicado de resolver, incluso utilizando supercomputadoras actuales o computadoras cuánticas. Este es el problema LWE.

El problema Ring-LWE (RLWE)

El problema LWE estándar involucra operaciones con matrices, lo que tenía el problema de que el tamaño de la clave era muy grande (a veces en gigabytes) y la eficiencia computacional era pobre. Para solucionar esto, se introdujo el problema Ring-LWE (RLWE), que utiliza operaciones sobre anillos de polinomios.

En RLWE, los elementos pertenecen a un anillo de polinomios $R_q = \mathbb{Z}_q[x] / (x^N + 1)$ (donde $N$ es una potencia de 2 y $q$ es el módulo primo). Si tomamos como clave privada un polinomio $s(x)$, y generamos un polinomio aleatorio $a(x)$ y un pequeño polinomio de ruido $e(x)$, la clave pública será el siguiente par:

$$ (a(x), b(x)) \quad \text{where} \quad b(x) = -a(x) \cdot s(x) + e(x) \pmod q $$

Durante el cifrado, las propiedades de estos polinomios se utilizan para codificar el texto plano $m(x)$ y generar el texto cifrado.

4. El mayor obstáculo: El “ruido” y el bootstrapping de Gentry

El concepto más importante para comprender el FHE es la “gestión del ruido”.

En los cifrados basados en LWE/RLWE, se incluye intencionalmente un pequeño “ruido (error)” para garantizar la seguridad. El proceso de descifrado del texto cifrado $c$ para obtener el texto plano $m$ puede representarse a grandes rasgos mediante la siguiente fórmula:

$$ D(c) = (c \cdot s) \pmod q = m + \text{noise} $$

Durante el descifrado, este noise (ruido) se elimina mediante procesos como el redondeo para obtener el texto plano correcto $m$. Sin embargo, cuando se realizan operaciones homomórficas (especialmente multiplicaciones) entre textos cifrados, este ruido se amplifica drásticamente.

Suma homomórfica: El ruido aumenta de forma aditiva ($e_1 + e_2$). Este es un aumento relativamente leve.
Expresión matemática de la propiedad homomórfica para la suma: $$ E(m_1) \oplus E(m_2) = E(m_1 + m_2) $$
Multiplicación homomórfica: El ruido explota de forma multiplicativa (ya que incluye términos como $e_1 \times e_2$). Después de unas pocas multiplicaciones, el ruido excede el umbral $q/2$, lo que impide un redondeo correcto y hace que el descifrado falle.
Expresión matemática de la propiedad homomórfica para la multiplicación: $$ E(m_1) \otimes E(m_2) = E(m_1 \times m_2) $$

Esta es la razón por la que el FHE no se pudo realizar durante mucho tiempo y se mantuvo en el nivel de SHE (limitado en operaciones).

La magia del Bootstrapping

La contribución genial de Craig Gentry fue la invención de una técnica de reducción de ruido llamada “bootstrapping”. Esto fue un cambio de paradigma en la criptografía.

Intuitivamente, es una operación de “limpiar el texto cifrado ‘descifrándolo’ mientras permanece en estado cifrado, antes de que se corrompa por estar lleno de ruido, y colocarlo en un nuevo texto cifrado”.

Supongamos que hay un texto cifrado con mucho ruido $C_{noisy}$.
El cliente proporciona previamente al servidor su clave privada $sk$ “cifrada con su clave pública” $E_{pk}(sk)$ (a esto se le llama clave de bootstrapping).
El servidor ejecuta un circuito de descifrado (Decryption Circuit) de forma homomórfica sobre $C_{noisy}$.
Específicamente, realiza un “descifrado en el espacio cifrado” sobre $E_{pk}(C_{noisy})$ utilizando $E_{pk}(sk)$.
Dado que este circuito de descifrado es en sí mismo una operación homomórfica, genera nuevo ruido, pero el ruido del nuevo texto cifrado resultante $C_{fresh}$ se restablece a un “nivel fijo” constante.

graph LR A["Texto cifrado con alto ruido C_noisy"] --> B["Circuito de descifrado homomórfico (Eval_Dec)"] C["Clave privada cifrada E(sk)"] --> B B --> D["Texto cifrado con bajo ruido C_fresh"] style B fill:#ffeeba,stroke:#ffc107

Al ejecutar regularmente este bootstrapping durante el cálculo, en teoría se hizo posible calcular circuitos de profundidad infinita (logrando el FHE). Sin embargo, en el esquema original de Gentry, este proceso de bootstrapping tenía un costo computacional desesperadamente alto, tardando de decenas de minutos a horas por cada ejecución.

5. Generaciones de FHE y evolución de los esquemas principales

En busca de la aplicación práctica del FHE, criptógrafos de todo el mundo han estado compitiendo para mejorar los algoritmos. Actualmente, el FHE se clasifica principalmente en cuatro generaciones o familias.

2ª Generación: Operaciones exactas con enteros (BGV, BFV)

Estos son los esquemas BGV (Brakerski-Gentry-Vaikuntanathan) y BFV (Brakerski/Fan-Vercauteren) que aparecieron entre 2011 y 2012. Se basan en RLWE y son adecuados para la aritmética modular de enteros (cálculos exactos). Soportan técnicas de procesamiento por lotes (Batching) similares a SIMD (Single Instruction, Multiple Data), lo que permite empaquetar miles de ranuras de datos dentro de un solo texto cifrado polinomial gigante y realizar cálculos en paralelo a la vez.

3ª Generación: Aceleración del bootstrapping (GSW, FHEW, TFHE)

El esquema GSW (Gentry-Sahai-Waters) de 2013 simplificó aún más la estructura del FHE. Un desarrollo basado en esto es el TFHE (Fast Fully Homomorphic Encryption over the Torus), que es una de las opciones principales en la actualidad. La característica del TFHE es que su bootstrapping es extremadamente rápido (en el orden de milisegundos). Es fuerte en operaciones a nivel de puertas (circuitos lógicos como AND, XOR) y tiene un tamaño de texto cifrado relativamente pequeño, por lo que es adecuado para evaluar rápidamente circuitos lógicos arbitrarios.

4ª Generación: Especialización en cálculos aproximados y aprendizaje automático (CKKS)

El esquema CKKS (Cheon-Kim-Kim-Song), propuesto por Cheon et al. en 2017, es la tecnología definitiva para la protección de la privacidad en la IA y el aprendizaje automático actuales. Mientras que las versiones anteriores de FHE se centraban en “cálculos de enteros exactos”, el CKKS admite “cálculos aproximados de números de coma flotante” mientras los datos permanecen cifrados. Muestra un rendimiento abrumador en cálculos de números reales donde se permiten pequeños errores, como el entrenamiento y la inferencia de redes neuronales.

La siguiente tabla resume cómo elegir un esquema según su propósito.

Nombre del Esquema	Tipo de datos preferido	Casos de uso recomendados	Características
BFV / BGV	Enteros (Integer)	Cálculos estadísticos exactos, agregación de datos financieros, búsquedas en bases de datos	Alto rendimiento a través del procesamiento por lotes SIMD
CKKS	Números reales (Real/Complex)	Aprendizaje automático (DNN, regresión logística), procesamiento de señales	Aceleración mediante cálculos aproximados, reescalado
TFHE	Valores booleanos (Boolean)	Circuitos lógicos arbitrarios, búsqueda de cadenas, evaluación de funciones no lineales	Bootstrapping ultrarrápido (en milisegundos)

6. Práctica: Bibliotecas FHE y código conceptual

Actualmente, existen muchas bibliotecas de código abierto disponibles que permiten usar el FHE sin requerir un conocimiento profundo en criptografía.

Microsoft SEAL (Simple Encrypted Arithmetic Library): Biblioteca en C++ que admite BFV, BGV y CKKS. Es uno de los estándares de la industria. Su enlace en Python, TenSEAL, es popular entre los ingenieros de IA.
Zama (Concrete): Un framework basado en TFHE. Puede escribirse en Rust/Python y ofrece la capacidad de compilar modelos PyTorch existentes para ejecutarlos sobre FHE (Concrete ML).
OpenFHE: Sucesor de PALISADE, es una biblioteca integral en C++ que soporta todos los esquemas principales.

Ejemplo de programación FHE usando Python (TenSEAL)

Aquí presentamos un ejemplo de código conceptual en Python usando el esquema CKKS para sumar y multiplicar vectores de números reales mientras se mantienen cifrados.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


import tenseal as ts

# 1. Configuración del contexto (incluye generación de claves)
# Usando el esquema CKKS, establecer el grado del polinomio en 8192
context = ts.context(
 ts.SCHEME_TYPE.CKKS,
 poly_modulus_degree=8192,
 coeff_mod_bit_sizes=[60, 40, 40, 60]
)
context.generate_galois_keys()
context.global_scale = 2**40 # Factor de escala para números reales

# 2. Lado del cliente: Cifrado de datos
vector1 = [1.5, 2.5, 3.5]
vector2 = [2.0, 3.0, 4.0]

# Convertir vectores de texto plano a texto cifrado (normalmente ejecutado en el lado del cliente)
enc_v1 = ts.ckks_vector(context, vector1)
enc_v2 = ts.ckks_vector(context, vector2)

# 3. Lado del servidor: Operaciones con datos cifrados (Protección de Data in Use)
# El servidor no conoce el texto plano, pero puede realizar sumas y multiplicaciones
enc_add = enc_v1 + enc_v2
enc_mul = enc_v1 * enc_v2

# 4. Lado del cliente: Descifrado de los resultados
# Solo el cliente que posee la clave privada puede ver los resultados
res_add = enc_add.decrypt()
res_mul = enc_mul.decrypt()

print(f"Resultado de la suma descifrado: {res_add}")
# Ejemplo de salida: [3.5000001, 5.5000001, 7.5000002] (Contiene un ligero error debido al cálculo aproximado)

print(f"Resultado de la multiplicación descifrado: {res_mul}")
# Ejemplo de salida: [3.0000002, 7.5000005, 14.0000003]

Como se puede ver en el código anterior, los operadores normales de Python como enc_v1 + enc_v2 están sobrecargados, lo que permite escribir cálculos entre textos cifrados de forma muy intuitiva. En el lado del servidor, las operaciones con vectores se completan sin conocer su contenido.

7. Desafíos del FHE: Rendimiento y aceleración de hardware

Aunque el FHE proporciona una seguridad teóricamente perfecta, el mayor desafío en su implementación práctica es la “sobrecarga de rendimiento (overhead)”.

Sobrecarga computacional: Comparado con los cálculos en texto plano, los cálculos en texto cifrado son de miles a decenas de miles de veces más lentos en una CPU. La multiplicación de polinomios y el bootstrapping requieren cálculos masivos de FFT (Transformada Rápida de Fourier) o NTT (Transformada Teórica de Números).
Expansión del tamaño de los datos (Ciphertext Expansion): Unos pocos bytes de texto plano pueden convertirse en megabytes una vez cifrados. Esto ejerce una fuerte presión sobre el ancho de banda de la memoria y la red.

Enfoques para soluciones a través del hardware

Para superar esta sobrecarga, se están desarrollando en todo el mundo aceleradores de hardware dedicados al FHE (con soporte para ASIC, FPGA y GPU).

Aceleración por GPU: Se están realizando esfuerzos para paralelizar las operaciones NTT y el bootstrapping utilizando potentes GPUs como las de NVIDIA, habiéndose reportado velocidades decenas de veces mayores en comparación con las implementaciones por software (por ejemplo, 100x.ai, el backend CUDA de TFHE-rs de Zama).
Proyecto DARPA DPRIVE: La Agencia de Proyectos de Investigación Avanzados de Defensa de EE. UU. (DARPA) está promoviendo el proyecto de desarrollo de hardware dedicado “DPRIVE (Data Protection in Virtual Environments)” para llevar la velocidad de cálculo del FHE a un nivel equivalente al de procesamiento de texto plano (dentro de un margen de sobrecarga de 10 veces), con la participación de Intel, Microsoft, Intellectual Ventures, entre otros.
La llegada de la FPU (FHE Processing Unit): Startups como Cornami y Optalysys se están embarcando en el desarrollo de chips dedicados al FHE utilizando computación óptica o arquitecturas de silicio especiales.

En un futuro cercano, puede que llegue una era en la que las “FPU” vengan integradas de serie en servidores e infraestructuras en la nube, al igual que ocurre con las NPU (Neural Processing Unit) en el campo de la IA.

8. Casos de uso esperados

A medida que el FHE se acerca a velocidades prácticas, se esperan innovaciones disruptivas en los siguientes campos:

Protección de la privacidad en análisis médicos y genómicos: Al permitir que la IA en la nube aprenda de los historiales médicos o los datos de ADN de los pacientes en poder de múltiples hospitales mientras se mantienen cifrados con FHE, es posible desarrollar modelos de diagnóstico de cáncer de alta precisión o nuevos fármacos sin violar las leyes de privacidad (como HIPAA o GDPR).
Detección de fraudes y prevención de lavado de dinero (AML) en instituciones financieras: Bancos de la competencia pueden cotejar datos entre sí de forma cifrada, sin revelar la información de las cuentas de los clientes o el historial de transacciones, lo que permite realizar análisis interbancarios para detectar enormes redes de transferencias ilícitas.
API de inferencia de IA segura (MaaS: Model as a Service): Los usuarios envían su propia voz, imágenes faciales o indicaciones (prompts) de forma cifrada a servicios de IA (como un LLM tipo ChatGPT). El proveedor de IA genera la respuesta sin conocer en absoluto los datos introducidos por el usuario y la devuelve como texto cifrado. Esto elimina por completo la preocupación de que “la IA aprenda o espíe la información personal”.

9. Conclusión: El futuro de la criptografía avanza hacia el “cálculo invisible”

Al igual que la invención de la criptografía de clave pública (RSA) en la década de 1970 hizo posible la comunicación segura en Internet (como HTTPS), la invención del FHE por parte de Craig Gentry es uno de los hitos más importantes en la historia de la criptografía.

Hoy en día, el cifrado totalmente homomórfico (FHE) ha saltado de la teoría de los laboratorios y ha entrado en una fase en la que Microsoft, IBM, Intel, Google y muchas startups compiten ferozmente por su aplicación práctica. Aunque los desafíos del coste computacional y el tamaño de los datos aún persisten, el rendimiento continúa mejorando a un ritmo que supera la Ley de Moore, gracias al refinamiento de los algoritmos y la evolución de los aceleradores de hardware.

En unos pocos años, “calcular datos mientras están cifrados” ya no será algo extraordinario, sino que se convertirá en una de las mejores prácticas estándar de protección de datos en los servicios en la nube. El FHE es verdaderamente la clave de la seguridad de la próxima generación, al materializar el equilibrio definitivo entre la privacidad y la utilización de los datos en nuestra sociedad impulsada por los datos.