Security on kenji.blog

जाली-आधारित क्रिप्टोग्राफी (Lattice-based cryptography) का गणितीय अंतर्ज्ञान

Fri, 11 Sep 2026 21:00:00 +0900

1. परिचय: पोस्ट-क्वांटम क्रिप्टोग्राफी (PQC) की शुरुआत और जाली-आधारित क्रिप्टोग्राफी (Lattice-based cryptography) का उदय

आधुनिक समाज के डिजिटल बुनियादी ढांचे का आधार RSA और एलिप्टिक कर्व क्रिप्टोग्राफी (ECC) जैसी पब्लिक-की क्रिप्टोग्राफी (Public-key cryptography) तकनीकें हैं। इन क्रिप्टोग्राफी विधियों की सुरक्षा “प्राइम फैक्टराइजेशन प्रॉब्लम (Prime Factorization Problem)” और “डिस्क्रीट लॉगरिथम प्रॉब्लम (Discrete Logarithm Problem)” जैसी गणितीय कठिनाइयों पर निर्भर करती है, जिनके बारे में माना जाता है कि पारंपरिक क्लासिकल कंप्यूटरों द्वारा उन्हें कुशलतापूर्वक हल नहीं किया जा सकता है (इसमें एक्सपोनेंशियल समय लगता है)।

हालाँकि, 1994 में पीटर शोर (Peter Shor) द्वारा प्रस्तुत “शोर का एल्गोरिदम (Shor’s Algorithm)” ने क्रिप्टोग्राफी की दुनिया में तहलका मचा दिया। इस एल्गोरिदम ने गणितीय रूप से यह साबित कर दिया कि जब बड़े पैमाने पर क्वांटम कंप्यूटर वास्तविकता बन जाएंगे, तो वे प्राइम फैक्टराइजेशन और डिस्क्रीट लॉगरिथम समस्याओं को पॉलीनोमियल समय (Polynomial time) में हल कर देंगे। इसका अर्थ है कि वर्तमान में व्यापक रूप से उपयोग की जाने वाली पब्लिक-की क्रिप्टोग्राफी भविष्य में पूरी तरह से डिक्रिप्ट (decrypt) की जा सकेगी।

इस तरह के “क्वांटम खतरे (Quantum Threat)” का मुकाबला करने के लिए, नई क्रिप्टोग्राफिक विधियों पर शोध करना एक तत्काल आवश्यकता बन गई, जिन्हें क्वांटम कंप्यूटरों का उपयोग करके भी तोड़ना मुश्किल हो। इस क्षेत्र को “पोस्ट-क्वांटम क्रिप्टोग्राफी (Post-Quantum Cryptography: PQC)” या “क्वांटम-प्रतिरोधी क्रिप्टोग्राफी” कहा जाता है।

PQC के लिए कई मजबूत उम्मीदवार मौजूद हैं। इनमें हैश-आधारित क्रिप्टोग्राफी, कोड-आधारित क्रिप्टोग्राफी, मल्टीवेरिएट पॉलीनोमियल क्रिप्टोग्राफी, और आइसोजेनी-आधारित क्रिप्टोग्राफी शामिल हैं। लेकिन इनमें से जिसने वर्तमान में सबसे अधिक ध्यान आकर्षित किया है और जो NIST (नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी, USA) की PQC मानकीकरण प्रक्रिया के केंद्र में है, वह “जाली-आधारित क्रिप्टोग्राफी (Lattice-based cryptography)” है। अन्य विधियों की तुलना में, जाली-आधारित क्रिप्टोग्राफी में एन्क्रिप्शन और डिक्रिप्शन की गति बहुत तेज है। इसके अलावा, इसकी एक उत्कृष्ट विशेषता यह है कि इसमें “सबसे खराब स्थिति की जटिलता (Worst-case complexity)” से “औसत स्थिति की जटिलता (Average-case complexity)” में कमी (reduction) का गुण है, जो क्रिप्टोग्राफिक सिद्धांत में सुरक्षा का एक अत्यंत शक्तिशाली प्रमाण प्रदान करता है।

इस लेख में, हम जाली-आधारित क्रिप्टोग्राफी की नींव, “जाली (Lattice)” की गणितीय परिभाषा से शुरू करेंगे, और फिर जाली पर कठिन समस्याओं जैसे कि SVP (सबसे छोटा वेक्टर समस्या / Shortest Vector Problem) और CVP (सबसे करीबी वेक्टर समस्या / Closest Vector Problem) पर चर्चा करेंगे। अंत में, हम “LWE समस्या (Learning With Errors)” के बारे में विस्तार से जानेंगे, जिसे आधुनिक जाली-आधारित क्रिप्टोग्राफी का हृदय कहा जा सकता है। हम गणितीय सूत्रों, ज्यामितीय अंतर्ज्ञान और ठोस संख्यात्मक उदाहरणों के साथ इसका गहराई से विश्लेषण करेंगे।

2. जाली (Lattice) की गणितीय परिभाषा और ज्यामितीय अंतर्ज्ञान

2.1 वेक्टर स्पेस और जाली

गणित में, “जाली (Lattice)” $n$-आयामी वास्तविक वेक्टर स्पेस $\mathbb{R}^n$ के भीतर नियमित रूप से व्यवस्थित असतत (discrete) बिंदुओं का एक सेट है। यह लीनियर अलजेब्रा में सीखे गए वेक्टर स्पेस (Vector Space) के समान है, लेकिन इनमें एक महत्वपूर्ण अंतर है। जबकि एक वेक्टर स्पेस एक सतत (continuous) स्थान है जिसे बेसिस (आधार) वेक्टरों के “वास्तविक संख्या (real number) गुणांक” वाले रैखिक संयोजन (linear combination) द्वारा दर्शाया जाता है, एक जाली एक असतत स्थान है जिसे बेसिस वेक्टरों के “पूर्णांक (integer) गुणांक” वाले रैखिक संयोजन द्वारा दर्शाया जाता है।

आइए एक सख्त गणितीय परिभाषा दें। $m$-आयामी वास्तविक वेक्टर स्पेस $\mathbb{R}^m$ में $n$ ($n \le m$) रैखिक रूप से स्वतंत्र (linearly independent) वेक्टरों $\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n$ पर विचार करें। मान लें कि एक मैट्रिक्स $B = [\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n] \in \mathbb{R}^{m \times n}$ है, जिसके कॉलम में ये वेक्टर हैं। इस $B$ को जाली का “बेसिस (Basis)” कहा जाता है।

इस बेसिस $B$ द्वारा उत्पन्न जाली $\mathcal{L}(B)$ को इस प्रकार परिभाषित किया गया है:

$$ \mathcal{L}(B) = \left\{ \sum_{i=1}^{n} x_i \mathbf{b}_i \mathrel{\bigg|} x_i \in \mathbb{Z} \right\} = \{ B \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^n \} $$

यहाँ महत्वपूर्ण बात यह है कि गुणांक $x_i$ वास्तविक संख्याओं $\mathbb{R}$ तक सीमित नहीं हैं, बल्कि पूर्णांकों $\mathbb{Z}$ तक सीमित हैं। इसके परिणामस्वरूप, अंतरिक्ष में मौजूद अनगिनत सतत बिंदुओं के बजाय, समान दूरी पर स्थित चौराहों की तरह “असतत बिंदुओं का एक सेट” बनता है।

2.2 ज्यामितीय छवि

आइए 2-आयामी तल $\mathbb{R}^2$ के एक उदाहरण पर विचार करें। यदि हम बेसिस वेक्टर के रूप में $\mathbf{b}_1 = \begin{pmatrix} 1 \\ 0 \end{pmatrix}$ और $\mathbf{b}_2 = \begin{pmatrix} 0 \\ 1 \end{pmatrix}$ चुनते हैं, तो उनके द्वारा उत्पन्न जाली, निर्देशांक तल पर सभी पूर्णांक निर्देशांकों $(x, y) \in \mathbb{Z}^2$ का सेट होगी। यह सबसे सरल “वर्गाकार जाली (square lattice)” है।

हालाँकि, जालियाँ हमेशा ऑर्थोगोनल (समकोण पर) नहीं होती हैं। उदाहरण के लिए, यदि हम बेसिस $\mathbf{b}_1 = \begin{pmatrix} 2 \\ 1 \end{pmatrix}$ और $\mathbf{b}_2 = \begin{pmatrix} 1 \\ 3 \end{pmatrix}$ पर विचार करें, तो उत्पन्न बिंदु एक तिरछे (skewed) जाल के चौराहों की तरह दिखेंगे।

2.3 बेसिस की गैर-अद्वितीयता (Non-uniqueness) और यूनिमॉड्युलर ट्रांसफॉर्मेशन

जाली-आधारित क्रिप्टोग्राफी की सुरक्षा के मूल में एक महत्वपूर्ण गुण निहित है: “एक ही जाली उत्पन्न करने वाले अनगिनत बेसिस मौजूद होते हैं।”

उदाहरण के लिए, ऊपर बताई गई बेसिस $\mathbf{b}_1 = (1, 0)^T, \mathbf{b}_2 = (0, 1)^T$ द्वारा उत्पन्न $\mathbb{Z}^2$ जाली, बिल्कुल उसी $\mathbb{Z}^2$ जाली को उत्पन्न करती है जिसे बेसिस $\mathbf{b}'_1 = (1, 1)^T, \mathbf{b}'_2 = (2, 3)^T$ का उपयोग करके भी उत्पन्न किया जा सकता है।

एक बेसिस $B$ और दूसरे बेसिस $B'$ द्वारा समान जाली उत्पन्न करने के लिए आवश्यक और पर्याप्त शर्त (necessary and sufficient condition) यह है कि एक पूर्णांक घटकों वाला मैट्रिक्स $U \in \mathbb{Z}^{n \times n}$ मौजूद हो, जिसका डिटरमिनेंट $\det(U) = \pm 1$ हो, और जिसे इस प्रकार व्यक्त किया जा सके:

$$ B' = B U $$

इस प्रकार के मैट्रिक्स $U$ को “यूनिमॉड्युलर मैट्रिक्स (Unimodular matrix)” कहा जाता है।

क्रिप्टोग्राफी में इसके अनुप्रयोग का मूल विचार एक “अच्छे बेसिस” (जो लगभग ऑर्थोगोनल हो और छोटे वेक्टरों से बना हो) को सीक्रेट की (गुप्त कुंजी) के रूप में उपयोग करना है, और एक “बुरे बेसिस” (जो अत्यधिक तिरछा हो और बहुत लंबे वेक्टरों से बना हो) को पब्लिक की (सार्वजनिक कुंजी) के रूप में उपयोग करना है। उच्च आयामों में एक बुरे बेसिस से एक अच्छे बेसिस की गणना करना बहुत मुश्किल हो जाता है। यही जाली-आधारित क्रिप्टोग्राफी का मूलभूत अंतर्ज्ञान है।

3. जाली में गणना संबंधी कठिन समस्याएं

जाली-आधारित क्रिप्टोग्राफी की सुरक्षा जाली पर कुछ गणितीय समस्याओं को हल करने की कठिनाई पर निर्भर करती है। यहाँ हम दो सबसे बुनियादी और प्रसिद्ध समस्याओं का परिचय देंगे।

3.1 सबसे छोटा वेक्टर समस्या (Shortest Vector Problem: SVP)

SVP जाली सिद्धांत में सबसे शास्त्रीय और प्रसिद्ध समस्या है।

परिभाषा (SVP): मान लें कि कोई भी जाली बेसिस $B$ दिया गया है, तो उस जाली $\mathcal{L}(B)$ से संबंधित सभी गैर-शून्य वेक्टरों में से, उस वेक्टर $\mathbf{v}$ का पता लगाएं जिसका यूक्लिडियन नॉर्म (लंबाई) सबसे कम हो।

सूत्र रूप में, यह वह $\mathbf{v}$ खोजने की समस्या है जो $\min_{\mathbf{v} \in \mathcal{L}(B) \setminus \{\mathbf{0}\}} \| \mathbf{v} \|$ को संतुष्ट करता हो। इस न्यूनतम लंबाई को $\lambda_1(\mathcal{L})$ के रूप में लिखा जाता है और इसे “जाली का पहला क्रमिक न्यूनतम मान (First successive minimum)” कहा जाता है।

2D या 3D जैसे निचले आयामों में, आप एक चित्र बनाकर सबसे छोटे वेक्टर को अपनी आँखों से देख सकते हैं। या आप इसे गॉस (Gauss) के जाली रिडक्शन एल्गोरिदम का उपयोग करके कुशलतापूर्वक हल कर सकते हैं। हालाँकि, जब आयाम $n$ सैकड़ों से हजारों जैसे उच्च आयामों तक पहुँचता है, तो SVP को सटीक रूप से हल करना NP-हार्ड माना जाता है।

वास्तविक क्रिप्टोग्राफी में, सटीक सबसे छोटे वेक्टर के बजाय, “लगभग सबसे छोटे वेक्टर” को खोजने वाली समस्या, एप्रोक्सिमेट SVP ($\gamma$-SVP) का उपयोग किया जाता है। यदि एप्रोक्सिमेशन फैक्टर (सन्निकटन कारक) $\gamma$ पॉलीनोमियल आकार का है, तो इस समस्या को अभी भी बहुत कठिन माना जाता है।

3.2 सबसे करीबी वेक्टर समस्या (Closest Vector Problem: CVP)

CVP भी जाली-आधारित क्रिप्टोग्राफी में एक अत्यंत महत्वपूर्ण समस्या है।

परिभाषा (CVP): मान लें कि कोई भी जाली बेसिस $B$ और अंतरिक्ष में कोई लक्ष्य वेक्टर $\mathbf{t} \in \mathbb{R}^m$ (जो जरूरी नहीं कि जाली बिंदु हो) दिया गया है, तो जाली के बिंदुओं में से वह जाली बिंदु $\mathbf{v} \in \mathcal{L}(B)$ खोजें जो $\mathbf{t}$ के सबसे करीब हो।

सूत्र रूप में, यह वह जाली बिंदु $\mathbf{v}$ खोजने की समस्या है जो $\min_{\mathbf{v} \in \mathcal{L}(B)} \| \mathbf{v} - \mathbf{t} \|$ को संतुष्ट करता हो।

SVP की तरह, उच्च आयामों में CVP भी NP-हार्ड है। क्रिप्टोग्राफिक अनुप्रयोगों के दृष्टिकोण से, LWE समस्या (जिसकी चर्चा बाद में की जाएगी) CVP के एक विशेष संस्करण (Bounded Distance Decoding: BDD) से निकटता से संबंधित है।

3.3 उच्च आयामों में इन्हें हल करना असंभव क्यों है? (LLL और BKZ की सीमाएँ)

उच्च-आयामी जाली समस्याओं को हल करने के लिए एक प्रसिद्ध एल्गोरिदम LLL एल्गोरिदम (Lenstra-Lenstra-Lovász algorithm) है। LLL एल्गोरिदम पॉलीनोमियल समय में काम करता है और जाली बेसिस को कुछ हद तक “अच्छे बेसिस” में घटा (रिड्यूस) सकता है। हालाँकि, LLL एल्गोरिदम द्वारा खोजा जाने वाला सबसे छोटा वेक्टर, वास्तविक सबसे छोटे वेक्टर की लंबाई के सापेक्ष एक एक्सपोनेंशियल ($2^{\mathcal{O}(n)}$) एप्रोक्सिमेशन फैक्टर (सन्निकटन कारक) रखता है, इसलिए यह क्रिप्टोग्राफी की सुरक्षा को तोड़ने के लिए पर्याप्त नहीं है।

यदि LLL का उन्नत संस्करण BKZ (Block Korkine-Zolotarev) एल्गोरिदम जैसे अधिक शक्तिशाली बेसिस रिडक्शन एल्गोरिदम का उपयोग किया जाए, तो छोटे वेक्टर पाए जा सकते हैं, लेकिन इसकी कम्प्यूटेशनल जटिलता (computational complexity) ब्लॉक आकार के संबंध में एक्सपोनेंशियल रूप से बढ़ जाती है। जाली-आधारित क्रिप्टोग्राफी में, सुरक्षित पैरामीटर (जैसे आयाम $n$ का आकार) इस BKZ एल्गोरिदम के निष्पादन समय का अनुमान लगाकर निर्धारित किए जाते हैं। वर्तमान PQC मानक मापदंडों में, आयाम $n$ को 500 से 1000 या उससे अधिक के मानों के लिए चुना जाता है, और यह माना जाता है कि भविष्य के सुपर कंप्यूटरों या क्वांटम कंप्यूटरों का उपयोग करके भी इसे डिक्रिप्ट करने में ब्रह्मांड की आयु से अधिक समय लगेगा।

4. LWE समस्या (Learning With Errors) का गणितीय निरूपण

आधुनिक जाली-आधारित क्रिप्टोग्राफी का अधिकांश हिस्सा “LWE समस्या (Learning With Errors)” पर आधारित है, जिसे 2005 में ओडेड रेगेव (Oded Regev) द्वारा प्रस्तावित किया गया था। LWE समस्या की सुंदरता इसके निर्माण की सरलता और इसके शक्तिशाली गणितीय प्रमाण में निहित है, जिसे “सबसे खराब स्थिति की जटिलता से औसत स्थिति की जटिलता में कमी” कहा जाता है।

4.1 बिना शोर के रेखीय समीकरणों की प्रणाली

LWE समस्या को समझने के लिए, आइए पहले बिना शोर वाले रेखीय समीकरणों की एक सरल प्रणाली पर विचार करें। मान लें कि हमारे पास एक अज्ञात गुप्त वेक्टर $\mathbf{s} \in \mathbb{Z}_q^n$ (प्रत्येक घटक $0$ से $q-1$ तक का एक पूर्णांक है) है। यहाँ, मान लें कि $q$ एक अभाज्य संख्या है।

हम यादृच्छिक (random) गुणांक वेक्टर $\mathbf{a}_1, \mathbf{a}_2, \dots \in \mathbb{Z}_q^n$ चुनते हैं, और गुप्त वेक्टर $\mathbf{s}$ के साथ इसके डॉट प्रोडक्ट की गणना मॉड्युलो $q$ पर करते हैं। $b_1 = \langle \mathbf{a}_1, \mathbf{s} \rangle \pmod q$ $b_2 = \langle \mathbf{a}_2, \mathbf{s} \rangle \pmod q$ $\vdots$

यदि हमें पर्याप्त संख्या में (कम से कम $n$) $(\mathbf{a}_i, b_i)$ के जोड़े दिए जाते हैं, तो हम लीनियर अलजेब्रा में “गौसियन एलिमिनेशन (Gaussian elimination)” का उपयोग करके गुप्त वेक्टर $\mathbf{s}$ को आसानी से पुनर्प्राप्त कर सकते हैं। यह एक ऐसी समस्या है जिसे पॉलीनोमियल समय में आसानी से हल किया जा सकता है।

4.2 LWE समस्या की परिभाषा: शोर जोड़ना

तो, यदि हम इस समस्या में थोड़ा सा “शोर (त्रुटि / error)” जोड़ दें तो क्या होगा? यही LWE समस्या का सार है।

अज्ञात गुप्त वेक्टर $\mathbf{s} \in \mathbb{Z}_q^n$ के लिए, हम प्रत्येक समीकरण के परिणाम में एक छोटी सी त्रुटि $e_i \in \mathbb{Z}_q$ जोड़ते हैं। $b_i = \langle \mathbf{a}_i, \mathbf{s} \rangle + e_i \pmod q$

यहाँ, $e_i$ एक छोटा पूर्णांक मान है जिसका औसत 0 है और जिसका मानक विचलन (standard deviation) अपेक्षाकृत छोटा है (उदाहरण के लिए, सामान्य वितरण की तरह एक डिस्क्रीट गॉसियन वितरण (discrete Gaussian distribution) से चुना गया)। प्रदान की गई जानकारी यादृच्छिक वेक्टर $\mathbf{a}_i$ और त्रुटि जोड़ने के बाद गणना किए गए $b_i$ के जोड़े की एक सूची है। $( \mathbf{a}_1, b_1 ), ( \mathbf{a}_2, b_2 ), \dots, ( \mathbf{a}_m, b_m )$

इसे मैट्रिक्स का उपयोग करके बहुत स्पष्ट रूप से दर्शाया जा सकता है। यादृच्छिक मैट्रिक्स $A \in \mathbb{Z}_q^{m \times n}$, गुप्त वेक्टर $\mathbf{s} \in \mathbb{Z}_q^n$, और त्रुटि वेक्टर $\mathbf{e} \in \mathbb{Z}_q^m$ का उपयोग करके, हम इसे इस प्रकार लिख सकते हैं:

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q $$

हमें केवल $A$ और $\mathbf{b}$ दिए जाते हैं। यहाँ से $\mathbf{s}$ ज्ञात करना “सर्च LWE समस्या (Search LWE problem)” कहलाता है।

चूंकि इसमें त्रुटि $e_i$ शामिल है, इसलिए यदि हम गौसियन एलिमिनेशन का उपयोग करने का प्रयास करते हैं, तो समीकरणों को जोड़ने और घटाने की प्रक्रिया में त्रुटि एक्सपोनेंशियल रूप से बढ़ जाती है, जिससे सही उत्तर तक पहुँचना असंभव हो जाता है। पहली नज़र में, यह रेखीय समीकरणों की एक सरल प्रणाली की तरह लगता है, लेकिन इस छोटे से शोर के जुड़ने से ही समस्या की कठिनाई NP-हार्ड स्तर तक पहुँच जाती है।

4.3 डिसीजन LWE समस्या (Decision LWE)

क्रिप्टोग्राफिक सिद्धांत के प्रमाणों में अक्सर जिसका उपयोग किया जाता है, वह सर्च LWE समस्या का एक संस्करण है, जिसे “डिसीजन LWE समस्या (Decision LWE problem)” कहा जाता है।

डिसीजन LWE समस्या यह निर्धारित करने की समस्या है कि नीचे दिए गए दो वितरणों (distributions) में से प्राप्त नमूनों की सूची किस वितरण से आई है:

LWE वितरण: जानबूझकर गणना की गई $(A, \mathbf{b} = A\mathbf{s} + \mathbf{e} \pmod q)$
यूनिफ़ॉर्म रैंडम वितरण: पूरी तरह से यादृच्छिक रूप से चुने गए मैट्रिक्स $A$ और वेक्टर $\mathbf{u}$ से मिलकर बना $(A, \mathbf{u})$

आश्चर्यजनक रूप से, यदि LWE समस्या के मापदंडों को ठीक से चुना जाता है, तो LWE वितरण से प्राप्त जोड़े पूरी तरह से यादृच्छिक डेटा के जोड़े से “कम्प्यूटेशनल रूप से अप्रभेद्य (Computationally Indistinguishable)” हो जाते हैं। यही गुण LWE-आधारित क्रिप्टोग्राफी का आधार है, जो ऐसे “सिफरटेक्स्ट (ciphertext) उत्पन्न करता है जिन्हें यादृच्छिक संख्याओं (random numbers) से अलग नहीं किया जा सकता है।”

4.4 सबसे खराब स्थिति से औसत स्थिति की जटिलता में कमी (Regev’s Theorem)

ओडेड रेगेव (Oded Regev) की सबसे बड़ी उपलब्धि इस LWE समस्या की कठिनाई को ऊपर बताई गई जाली समस्याओं (SVP और CVP) की कठिनाई से गणितीय रूप से जोड़ना था।

क्वांटम रिडक्शन (Quantum reduction) का उपयोग करते हुए, उन्होंने साबित किया कि “यदि कोई पॉलीनोमियल-टाइम एल्गोरिदम मौजूद है जो औसत रूप से LWE समस्या को हल कर सकता है (यादृच्छिक रूप से चुने गए $A$ और $\mathbf{e}$ के लिए), तो एक पॉलीनोमियल-टाइम क्वांटम एल्गोरिदम भी मौजूद होगा जो किसी भी जाली के सबसे खराब स्थिति (सबसे कठिन मामले) में Gap-SVP को हल कर सकता है।” (बाद में, Peikert और अन्य लोगों द्वारा क्लासिकल रिडक्शन भी दिखाया गया है)।

यह क्रिप्टोग्राफिक सिद्धांत में एक सपने जैसी विशेषता है। ऐसा इसलिए है क्योंकि यह इस चिंता को दूर करता है कि “हो सकता है कि क्रिप्टोग्राफी टूट गई हो क्योंकि हमने संयोग से एक कमजोर कुंजी (औसत मामलों में से एक) चुन ली हो,” और यह एक शक्तिशाली गारंटी प्रदान करता है कि “यदि औसत LWE को हल किया जा सकता है, तो जाली की सभी कठिन समस्याओं को हल किया जा सकता है (इसलिए LWE निश्चित रूप से कठिन है)।”

graph TD A["सबसे खराब स्थिति वाली जाली समस्याएं (Gap-SVP, SIVP)"] -->|Quantum/Classical Reduction| B["औसत स्थिति वाली LWE समस्या"] B -->|Cryptographic Construction| C["LWE-आधारित क्रिप्टोसिस्टम (PKE, KEM, FHE)"] style A fill:#ffcccc,stroke:#ff0000,stroke-width:2px,color:#000 style B fill:#ccffcc,stroke:#00aa00,stroke-width:2px,color:#000 style C fill:#ccccff,stroke:#0000ff,stroke-width:2px,color:#000

5. LWE का उपयोग करके पब्लिक-की क्रिप्टोग्राफी (रेगेव क्रिप्टोग्राफी - Regev Cryptosystem) का निर्माण

अब जब हम LWE समस्या की कठिनाई को समझ चुके हैं, तो आइए ओडेड रेगेव द्वारा प्रस्तावित बुनियादी पब्लिक-की क्रिप्टोग्राफी प्रणाली (Public-key cryptosystem) को देखें कि यह एन्क्रिप्शन और डिक्रिप्शन करने के लिए इसका उपयोग कैसे करती है। यहाँ हम 1-बिट संदेश $M \in \{0, 1\}$ को एन्क्रिप्ट करने के सबसे बुनियादी तंत्र की व्याख्या करेंगे।

5.1 कुंजी निर्माण (Key Generation)

सिस्टम पैरामीटर के रूप में, एक अभाज्य संख्या $q$ (मॉड्यूलस), एक आयाम $n$, और समीकरणों की संख्या $m$ ($m > n \log q$) निर्धारित करें।
गुप्त कुंजी (Secret Key) के रूप में एक वेक्टर $\mathbf{s} \in \mathbb{Z}_q^n$ को यादृच्छिक रूप से चुनें।
एक यादृच्छिक मैट्रिक्स $A \in \mathbb{Z}_q^{m \times n}$ उत्पन्न करें।
एक छोटा त्रुटि वेक्टर $\mathbf{e} \in \mathbb{Z}_q^m$ एक त्रुटि वितरण जैसे कि डिस्क्रीट गॉसियन वितरण से चुनें।
वेक्टर $\mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q$ की गणना करें।
पब्लिक की (Public Key) $(A, \mathbf{b})$ होगी।
सीक्रेट की (Secret Key) $\mathbf{s}$ होगी।

पब्लिक की वस्तुतः “LWE समस्या का एक इंस्टेंस (instance)” है। चूँकि पब्लिक की $(A, \mathbf{b})$ से सीक्रेट की $\mathbf{s}$ ज्ञात करना सर्च LWE समस्या को हल करने के बराबर है, इसलिए सुरक्षा की गारंटी है।

5.2 एन्क्रिप्शन (Encryption)

ऐलिस, बॉब की पब्लिक की $(A, \mathbf{b})$ का उपयोग करके 1-बिट संदेश $M \in \{0, 1\}$ को एन्क्रिप्ट करती है।

एक यादृच्छिक बाइनरी वेक्टर (जिसके घटक 0 या 1 हैं) $\mathbf{r} \in \{0, 1\}^m$ चुनें।
सिफरटेक्स्ट (ciphertext) के पहले भाग के रूप में, वेक्टर $\mathbf{u} = A^T \mathbf{r} \pmod q$ की गणना करें। ($A^T$, $A$ का ट्रांसपोज़ मैट्रिक्स (transpose matrix) है। अर्थात्, हम $A$ की उन पंक्तियों को जोड़ रहे हैं जहाँ $\mathbf{r}$ का घटक 1 है)।
सिफरटेक्स्ट के दूसरे भाग के रूप में, स्केलर $v = \mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q$ की गणना करें। (यदि संदेश $M$ 0 है तो कुछ भी नहीं जोड़ा जाता है, और यदि $1$ है तो हम $q$ का ठीक आधा मान $\lfloor \frac{q}{2} \rfloor$ जोड़ते हैं)।
सिफरटेक्स्ट (Ciphertext) $(\mathbf{u}, v)$ होगा।

एन्क्रिप्शन का सहज अर्थ पब्लिक की के मैट्रिक्स $A$ और वेक्टर $\mathbf{b}$ के लिए “यादृच्छिक उपसमूह का योग (sum of a random subset)” लेना है। डिसीजन LWE समस्या की कठिनाई के कारण, यह सिफरटेक्स्ट $(\mathbf{u}, v)$ एक पूरी तरह से यादृच्छिक वेक्टर और एक समान यादृच्छिक संख्या (uniform random number) से अप्रभेद्य (indistinguishable) प्रतीत होता है (सिमेंटिक सिक्योरिटी: Semantic Security)।

flowchart LR M["संदेश M {0,1} में"] --> Enc PK["पब्लिक की (A, b)"] --> Enc r["यादृच्छिक बाइनरी वेक्टर r"] --> Enc subgraph Enc ["एन्क्रिप्शन प्रक्रिया"] direction TB u_calc["u = A^T * r mod q"] v_calc["v = b^T * r + M * floor(q/2) mod q"] end Enc --> CT["सिफरटेक्स्ट (u, v)"]

5.3 डिक्रिप्शन (Decryption)

बॉब अपनी गुप्त कुंजी $\mathbf{s}$ का उपयोग करके सिफरटेक्स्ट $(\mathbf{u}, v)$ को डिक्रिप्ट करता है।

निम्नलिखित मान की गणना करें: $D = v - \mathbf{s}^T \mathbf{u} \pmod q$
यदि गणना किया गया परिणाम $0$ के करीब है, तो $M=0$ आउटपुट करें, और यदि यह $\lfloor \frac{q}{2} \rfloor$ के करीब है, तो $M=1$ आउटपुट करें।

आइए गणितीय रूप से इसका विस्तार करें कि इसे इस प्रकार डिक्रिप्ट क्यों किया जा सकता है। याद रखें कि $\mathbf{b} = A \mathbf{s} + \mathbf{e}$ था।

$$ \begin{aligned} v - \mathbf{s}^T \mathbf{u} &= (\mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T (A^T \mathbf{r}) \\ &= ((A \mathbf{s} + \mathbf{e})^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= (\mathbf{s}^T A^T \mathbf{r} + \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q \end{aligned} $$

यहाँ, सूत्र में से $\mathbf{s}^T A^T \mathbf{r}$ पूरी तरह से कट कर (cancel out) समाप्त हो गया! बचा हुआ हिस्सा $\mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor$ है।

$\mathbf{e}$ एक शोर वेक्टर है जिसके घटक बहुत छोटे हैं, और $\mathbf{r}$ एक बाइनरी वेक्टर है जिसके घटक 0 या 1 हैं। इसलिए, उनका डॉट प्रोडक्ट $\mathbf{e}^T \mathbf{r}$ भी अपेक्षाकृत छोटा मान (यदि पैरामीटर ठीक से चुने गए हैं) ही रहेगा।

यदि $M=0$ है, तो परिणाम $\mathbf{e}^T \mathbf{r}$ होगा, जो $0$ के करीब एक छोटा मान होगा।
यदि $M=1$ है, तो परिणाम $\mathbf{e}^T \mathbf{r} + \lfloor \frac{q}{2} \rfloor$ होगा, जो $q$ के आधे मान $\lfloor \frac{q}{2} \rfloor$ के आसपास स्थित होगा।

यदि मापदंडों को इस तरह से डिज़ाइन किया गया है कि त्रुटि $\mathbf{e}^T \mathbf{r}$ का निरपेक्ष मान (absolute value) $\frac{q}{4}$ से कम रहे, तो बॉब केवल यह देखकर संदेश $M$ को सटीक रूप से निर्धारित (डिक्रिप्ट) कर सकता है कि गणना का परिणाम $0$ के अधिक करीब है या $\lfloor \frac{q}{2} \rfloor$ के। यही वह सुंदर तंत्र है जिसके द्वारा LWE-आधारित क्रिप्टोग्राफी काम करती है।

flowchart LR CT["सिफरटेक्स्ट (u, v)"] --> Dec SK["गुप्त कुंजी s"] --> Dec subgraph Dec ["डिक्रिप्शन प्रक्रिया"] direction TB calc["गणना करें D = v - s^T * u mod q"] check["जांचें कि क्या D, 0 या q/2 के करीब है"] end calc --> check Dec --> M_out["पुनर्प्राप्त संदेश M"]

6. विशिष्ट संख्यात्मक मानों का उपयोग करते हुए LWE क्रिप्टोग्राफी का एक टॉय उदाहरण (Toy Example)

सूत्रों की एक श्रृंखला के साथ इसे समझना मुश्किल हो सकता है, इसलिए आइए वास्तव में बहुत छोटे संख्यात्मक मापदंडों को सेट करके एन्क्रिप्शन से डिक्रिप्शन तक की गणनाओं का पालन करें। (※ वास्तविक क्रिप्टोग्राफ़िक प्रणालियों में, सुरक्षा सुनिश्चित करने के लिए $n$ के लिए 500 या उससे अधिक और $q$ के लिए हजारों या उससे अधिक मान का उपयोग किया जाता है)

【पैरामीटर सेटिंग्स】

मॉड्यूलस $q = 17$ (अभाज्य संख्या। इसलिए मान $0$ से $16$ तक की सीमा में होंगे)
आयाम $n = 2$
समीकरणों की संख्या $m = 4$
मान लें कि हम संदेश $M = 1$ को एन्क्रिप्ट कर रहे हैं।
संदेश का शिफ्ट मान: $\lfloor \frac{q}{2} \rfloor = \lfloor \frac{17}{2} \rfloor = 8$

【1. कुंजी निर्माण चरण (Key Generation Phase)】 बॉब गुप्त कुंजी $\mathbf{s}$, मैट्रिक्स $A$, और त्रुटि वेक्टर $\mathbf{e}$ को यादृच्छिक रूप से चुनता है।

$$ \mathbf{s} = \begin{pmatrix} 3 \\ 4 \end{pmatrix} \in \mathbb{Z}_{17}^2 $$ $$ A = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \in \mathbb{Z}_{17}^{4 \times 2} $$ $$ \mathbf{e} = \begin{pmatrix} 1 \\ -1 \\ 0 \\ 2 \end{pmatrix} \equiv \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} \pmod{17} $$

इसके बाद, पब्लिक की $\mathbf{b}$ की गणना करें।

$$ A \mathbf{s} = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \begin{pmatrix} 3 \\ 4 \end{pmatrix} = \begin{pmatrix} 2\times 3 + 15\times 4 \\ 1\times 3 + 8\times 4 \\ 14\times 3 + 5\times 4 \\ 9\times 3 + 10\times 4 \end{pmatrix} = \begin{pmatrix} 6 + 60 \\ 3 + 32 \\ 42 + 20 \\ 27 + 40 \end{pmatrix} = \begin{pmatrix} 66 \\ 35 \\ 62 \\ 67 \end{pmatrix} $$

इसकी गणना मॉड्युलो 17 में करें। (जैसे $66 = 17 \times 3 + 15$)

$$ A \mathbf{s} \pmod{17} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} $$

त्रुटि वेक्टर $\mathbf{e}$ जोड़ें।

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} + \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} = \begin{pmatrix} 16 \\ 17 \\ 11 \\ 18 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 0 \\ 11 \\ 1 \end{pmatrix} \pmod{17} $$

पब्लिक की $A$ और $\mathbf{b} = (16, 0, 11, 1)^T$ होगी।

【2. एन्क्रिप्शन चरण (Encryption Phase)】 ऐलिस संदेश $M = 1$ को एन्क्रिप्ट करती है। वह एक यादृच्छिक वेक्टर $\mathbf{r}$ चुनती है। यहाँ मान लें कि $\mathbf{r} = (1, 0, 1, 0)^T$ है।

$\mathbf{u}$ की गणना करें।

$$ \mathbf{u} = A^T \mathbf{r} = \begin{pmatrix} 2 & 1 & 14 & 9 \\ 15 & 8 & 5 & 10 \end{pmatrix} \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = \begin{pmatrix} 2 \times 1 + 14 \times 1 \\ 15 \times 1 + 5 \times 1 \end{pmatrix} = \begin{pmatrix} 16 \\ 20 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 3 \end{pmatrix} \pmod{17} $$

$v$ की गणना करें।

$$ \mathbf{b}^T \mathbf{r} = (16, 0, 11, 1) \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = 16 \times 1 + 11 \times 1 = 27 \equiv 10 \pmod{17} $$

संदेश $M=1$ के अनुरूप मान $\lfloor 17/2 \rfloor = 8$ जोड़ें।

$$ v = \mathbf{b}^T \mathbf{r} + M \cdot 8 = 10 + 1 \times 8 = 18 \equiv 1 \pmod{17} $$

ऐलिस सिफरटेक्स्ट के रूप में $(\mathbf{u}, v) = \left( \begin{pmatrix} 16 \\ 3 \end{pmatrix}, 1 \right)$ बॉब को भेजती है।

【3. डिक्रिप्शन चरण (Decryption Phase)】 सिफरटेक्स्ट प्राप्त करने के बाद, बॉब गुप्त कुंजी $\mathbf{s} = (3, 4)^T$ का उपयोग करके इसे डिक्रिप्ट करता है। डिक्रिप्शन प्रक्रिया सूत्र: $D = v - \mathbf{s}^T \mathbf{u} \pmod{17}$ की गणना करें।

$$ \mathbf{s}^T \mathbf{u} = (3, 4) \begin{pmatrix} 16 \\ 3 \end{pmatrix} = 3 \times 16 + 4 \times 3 = 48 + 12 = 60 \equiv 9 \pmod{17} $$ $$ D = v - \mathbf{s}^T \mathbf{u} = 1 - 9 = -8 \pmod{17} $$

यहाँ, मॉड्युलो 17 की दुनिया में, $-8$, $9$ के बराबर है ($-8 + 17 = 9$)। प्राप्त मान $D = 9$ का मूल्यांकन यह निर्धारित करने के लिए करें कि यह $0$ के अधिक करीब है या $8$ ($\lfloor 17/2 \rfloor$) के। चूँकि $9$ स्पष्ट रूप से $0$ की तुलना में $8$ के अधिक करीब है, बॉब ने $M = 1$ को सफलतापूर्वक और सही ढंग से पुनर्प्राप्त कर लिया!

यह $9$ क्यों हुआ? आइए पहले के प्रमाण को याद करें। त्रुटि भाग $\mathbf{e}^T \mathbf{r} = (1, -1, 0, 2) (1, 0, 1, 0)^T = 1 \times 1 + 0 \times 1 = 1$ है। इसलिए, गणना का परिणाम $\mathbf{e}^T \mathbf{r} + M \cdot 8 = 1 + 8 = 9$ है, और यह पुष्टि हो गई है कि सैद्धांतिक रूप से सही मान की गणना की गई है।

7. व्यावहारिक अनुप्रयोग की दिशा में विकास: Ring-LWE और Module-LWE

अब तक समझाई गई मानक LWE समस्या (Standard LWE) में बहुत मजबूत सुरक्षा प्रमाण है, लेकिन व्यावहारिक अनुप्रयोग में इसकी एक घातक कमजोरी है: “कुंजी का आकार विशाल हो जाता है” और “कम्प्यूटेशनल लागत अधिक होती है।”

Standard LWE में, पब्लिक की में एक विशाल मैट्रिक्स $A \in \mathbb{Z}_q^{m \times n}$ शामिल होता है। जब पैरामीटर $n$ सैकड़ों से हजारों तक पहुँच जाता है, तो इस मैट्रिक्स का आकार कई मेगाबाइट तक पहुँच जाता है, जो इंटरनेट संचार प्रोटोकॉल (जैसे TLS) में हर बार प्रसारित और प्राप्त करने के लिए बहुत भारी होता है। इसके अलावा, मैट्रिक्स और वेक्टर के गुणन के लिए $\mathcal{O}(n^2)$ कम्प्यूटेशनल जटिलता की आवश्यकता होती है।

इस समस्या को हल करने के लिए, “Ring-LWE (RLWE)” और “Module-LWE (MLWE)” को पेश किया गया, जो जाली में पॉलीनोमियल रिंग्स (Polynomial rings) नामक बीजीय संरचनाओं (algebraic structures) को शामिल करते हैं।

7.1 Ring-LWE का अंतर्ज्ञान

Ring-LWE में, वेक्टर और मैट्रिक्स को पॉलीनोमियल रिंग $\mathcal{R}_q = \mathbb{Z}_q[X]/(X^n + 1)$ पर तत्वों (बहुपदों / polynomials) से बदल दिया जाता है। (जहाँ $n$ को 2 की घात के रूप में चुना जाता है)।

Standard LWE में जहाँ पब्लिक की एक मैट्रिक्स $A$ थी, वहीं Ring-LWE में एकल बहुपद $a(x)$ का उपयोग किया जाता है। गुप्त कुंजी $s(x)$ और त्रुटि $e(x)$ भी बहुपद बन जाते हैं। समीकरण इस प्रकार है:

$$ b(x) = a(x) \cdot s(x) + e(x) \pmod q $$

चूँकि यह बहुपदों का गुणन है, फास्ट फूरियर ट्रांसफॉर्म (FFT) के समान “नंबर थियोरेटिक ट्रांसफॉर्म (Number Theoretic Transform: NTT)” का उपयोग करके कम्प्यूटेशनल जटिलता को नाटकीय रूप से $\mathcal{O}(n \log n)$ तक कम किया जा सकता है। इसके अलावा, चूंकि पब्लिक की का आकार एक मैट्रिक्स से एकल बहुपद तक छोटा हो जाता है, इसलिए डेटा का आकार $\mathcal{O}(n)$ तक कम हो जाता है। यह संचार बैंडविड्थ के मामले में एक बड़ा लाभ प्रदान करता है।

गणितीय दृष्टिकोण से, Ring-LWE एक सामान्य जाली नहीं है, बल्कि यह एक विशेष समरूपता (symmetry) वाली जाली की समस्या में बदल जाती है, जिसे “आइडियल लैटिस (Ideal Lattice)” कहा जाता है।

7.2 Module-LWE और NIST का मानकीकरण (Kyber / ML-KEM)

हालाँकि Ring-LWE कुशल है, लेकिन यह चिंता थी कि आइडियल लैटिस की विशेष बीजीय संरचना भविष्य में हमलों का एक प्रारंभिक बिंदु बन सकती है। इसलिए, “Module-LWE (MLWE)” को पेश किया गया, जो Standard LWE की रूढ़िवादी (conservative) सुरक्षा और Ring-LWE की दक्षता का “सर्वश्रेष्ठ संयोजन (best of both worlds)” है।

Module-LWE में, हम बहुपदों वाले छोटे मैट्रिक्स और वेक्टरों पर विचार करते हैं। दूसरे शब्दों में, हम एक रिंग पर मॉड्यूल से निपटते हैं। वर्तमान में, NIST द्वारा PQC कुंजी-विनिमय एल्गोरिदम (KEM) के मानक के रूप में चुना गया “CRYSTALS-Kyber” (मानकीकृत नाम: ML-KEM), पूरी तरह से इस Module-LWE समस्या की कठिनाई पर आधारित है।

8. यह क्वांटम कंप्यूटरों के खिलाफ सुरक्षित क्यों है?

अंत में, आइए इस मुख्य प्रश्न को छूते हैं: “ऐसा क्यों माना जाता है कि क्वांटम कंप्यूटरों का उपयोग करके भी जाली-आधारित क्रिप्टोग्राफी को नहीं तोड़ा जा सकता है?”

Shor का एल्गोरिदम, जो क्वांटम कंप्यूटरों को RSA और एलिप्टिक कर्व क्रिप्टोग्राफी को तोड़ने की अनुमति देता है, अनिवार्य रूप से “हिडन सबग्रुप प्रॉब्लम (Hidden Subgroup Problem: HSP)” को हल करने के लिए एक एल्गोरिदम है। RSA और ECC (परिमित एबेलियन समूह / finite Abelian groups) के पीछे की गणितीय संरचना में आवधिकता (periodicity) होती है, और क्वांटम फूरियर ट्रांसफॉर्म (QFT) नामक क्वांटम एल्गोरिदम के लिए विशिष्ट ऑपरेशन का उपयोग करके इस अवधि (छिपे हुए उपसमूह) को एक बार में निकाला जा सकता है।

हालाँकि, जाली की समस्याएं मौलिक रूप से भिन्न हैं। हालांकि जालियों में भी आवधिकता होती है, SVP और CVP के लिए “सबसे कम दूरी” और “शोर हटाने” जैसे ज्यामितीय, गैर-रेखीय (non-linear) गुणों की आवश्यकता होती है। Shor के एल्गोरिदम की तरह “एबेलियन समूह पर क्वांटम फूरियर ट्रांसफॉर्म” को सीधे लागू करने से जाली समस्याओं को हल करने के लिए उपयोगी जानकारी को कुशलतापूर्वक नहीं निकाला जा सकता है। आज तक, SVP या LWE को पॉलीनोमियल समय में हल करने वाला कोई क्वांटम एल्गोरिदम नहीं खोजा गया है। यह व्यापक रूप से माना जाता है कि क्वांटम कंप्यूटरों की समानांतर कंप्यूटिंग क्षमता के साथ भी, ब्रूट-फोर्स सर्च (Brute-force search) के करीब का तरीका (ग्रोवर के एल्गोरिदम का उपयोग करके वर्गमूल गति वृद्धि / square root speedup तक ही) एकमात्र प्रभावी साधन है।

9. निष्कर्ष

इस लेख में, हमने जाली-आधारित क्रिप्टोग्राफी के गणितीय अंतर्ज्ञान के बारे में विस्तार से बताया है, जिसकी शुरुआत जाली की ज्यामितीय परिभाषा से हुई, उसके बाद LWE समस्या का निरूपण किया गया, और अंततः पब्लिक-की क्रिप्टोग्राफी के निर्माण को समझाया गया।

जाली (Lattice) एक असतत स्थान (discrete space) है जिसे बेसिस वेक्टरों के पूर्णांक गुणांकों वाले रैखिक संयोजन द्वारा दर्शाया जाता है। उच्च आयामों में एक “अच्छा बेसिस” खोजना (जो लगभग ऑर्थोगोनल हो) मुश्किल हो जाता है (SVP)।
LWE समस्या (Learning With Errors) शोर (noise) के साथ रेखीय समीकरणों की प्रणाली को हल करने की समस्या है। चूँकि यह जाली की सबसे खराब स्थिति (worst-case) वाली समस्याओं की कठिनाई से जुड़ी है, इसलिए यह सुरक्षा का एक मजबूत आधार प्रदान करती है।
LWE समस्या का उपयोग करते हुए, जानबूझकर शोर जोड़ने या हटाने के एक सरल तंत्र के माध्यम से एन्क्रिप्शन और डिक्रिप्शन (रेगेव क्रिप्टोग्राफी - Regev Cryptosystem) प्राप्त किया जाता है।
वास्तविक प्रोटोकॉल में, संचार दक्षता और कम्प्यूटेशनल गति में सुधार करने के लिए पॉलीनोमियल रिंग्स का उपयोग करने वाले Ring-LWE और Module-LWE को अपनाया गया है। ये NIST के मानक ML-KEM की नींव बनाते हैं।

जैसे-जैसे क्वांटम कंप्यूटर के रूप में अभूतपूर्व कंप्यूटिंग प्रतिमान बदलाव (paradigm shift) आ रहा है, यह बहुत ही रोमांचक है कि क्लासिकल लीनियर अलजेब्रा और नंबर थ्योरी (number theory) की गहराइयों से जन्मी “जाली-आधारित क्रिप्टोग्राफी” भविष्य की इंटरनेट सुरक्षा की नींव रखेगी। जाली-आधारित क्रिप्टोग्राफी की आधारभूत गणित बहुत अधिक जटिल नहीं है; लीनियर अलजेब्रा और प्रोबेबिलिटी (probability) के बुनियादी ज्ञान के साथ, इसकी सुंदर संरचना को पूरी तरह से समझा जा सकता है। हमें उम्मीद है कि यह लेख PQC के मूल में स्थित जाली-आधारित क्रिप्टोग्राफी को समझने में आपकी मदद करेगा।

ज़ीरो-नॉलेज प्रूफ़ (ZKP) कैसे काम करता है और Web3・सुरक्षा में इसके नवीनतम अनुप्रयोग

Fri, 11 Sep 2026 19:00:00 +0900

प्रस्तावना

आधुनिक डिजिटल समाज में, डेटा गोपनीयता और स्केलेबिलिटी दो सबसे महत्वपूर्ण मुद्दे बन गए हैं। व्यक्तिगत जानकारी लीक होने और इसके दुरुपयोग के बढ़ते जोखिम के बीच, ऐसी तकनीक की अत्यधिक मांग है जो “अपनी जानकारी दूसरों को बताए बिना यह साबित कर सके कि आप उस जानकारी को रखते हैं”। इसे संभव बनाने वाली तकनीक शून्य-ज्ञान प्रमाण (Zero-Knowledge Proof: ZKP) है।

शून्य-ज्ञान प्रमाण 1980 के दशक में पहली बार Shafi Goldwasser, Silvio Micali, और Charles Rackoff द्वारा प्रस्तावित एक क्रिप्टोग्राफ़िक अवधारणा है, जो लंबे समय तक केवल सैद्धांतिक अनुसंधान तक सीमित रही। हालांकि, ब्लॉकचेन तकनीक और Web3 के उदय से स्थिति पूरी तरह बदल गई है। ZKP एक “जादू की छड़ी” के रूप में उभरा है जो एक ही समय में Ethereum जैसे पब्लिक ब्लॉकचेन द्वारा सामना की जाने वाली स्केलेबिलिटी समस्या (प्रोसेसिंग क्षमता की सीमा) और गोपनीयता समस्या (सभी ट्रांज़ैक्शन का सार्वजनिक होना) को हल करता है।

इस लेख में, हम शून्य-ज्ञान प्रमाण की बुनियादी अवधारणाओं से लेकर वर्तमान में मुख्यधारा में चल रहे zk-SNARKs और zk-STARKs के गहरे गणितीय और क्रिप्टोग्राफिक तंत्रों, और ZK-Rollups एवं विकेंद्रीकृत पहचान (DID) जैसे नवीनतम Web3 और सुरक्षा अनुप्रयोगों तक बहुत विस्तृत और तकनीकी गहराई के साथ चर्चा करेंगे।

शून्य-ज्ञान प्रमाण (ZKP) क्या है?

शून्य-ज्ञान प्रमाण (ZKP) एक ऐसे प्रोटोकॉल को संदर्भित करता है जिसमें सिद्ध करने वाला (Prover) सत्यापनकर्ता (Verifier) को यह साबित करता है कि कोई कथन सत्य है, लेकिन “वह उस कथन के सत्य होने के तथ्य के अलावा कोई भी अन्य जानकारी संचारित नहीं करता है”।

ZKP द्वारा पूरी की जाने वाली 3 आवश्यकताएं

ZKP के रूप में स्थापित होने के लिए, निम्नलिखित 3 विशेषताओं को सख्ती से पूरा करना आवश्यक है:

पूर्णता (Completeness) यदि कथन सत्य है, और प्रोवर और वेरिफायर दोनों सही ढंग से प्रोटोकॉल का पालन करते हैं, तो वेरिफायर को बहुत अधिक संभावना के साथ उस प्रमाण को स्वीकार (Accept) करना होगा।
सत्यता (Soundness) यदि कथन असत्य है, तो चाहे प्रोवर कितना भी शक्तिशाली और दुर्भावनापूर्ण क्यों न हो, वेरिफायर को धोखा देकर प्रमाण स्वीकार करवाना (एक नगण्य संभावना को छोड़कर) असंभव है।
शून्य-ज्ञान (Zero-Knowledge) यदि कथन सत्य है, तो वेरिफायर प्रमाण प्रक्रिया से “कथन सत्य है” के तथ्य के अलावा कोई भी जानकारी प्राप्त नहीं कर सकता है। वेरिफायर के दृष्टिकोण से, यह गणितीय परिभाषा द्वारा साबित होता है कि प्रमाण प्रक्रिया का अनुकरण (simulate) करना संभव है (एक सिमुलेटर मौजूद है)।

इंटरएक्टिव प्रमाण और गैर-इंटरएक्टिव प्रमाण

ZKP के दो प्रकार होते हैं: इंटरएक्टिव (संवादात्मक) प्रमाण, जिसमें प्रोवर और वेरिफायर कई बार संवाद करते हैं, और गैर-इंटरएक्टिव (असंवादात्मक) प्रमाण, जिसमें प्रोवर केवल एक बार प्रमाण डेटा भेजता है और प्रक्रिया समाप्त हो जाती है।

इंटरएक्टिव प्रमाण (Interactive ZKP)

शुरुआती ZKP को इंटरएक्टिव प्रोटोकॉल के रूप में डिज़ाइन किया गया था। प्रसिद्ध “अलीबाबा की गुफा” की कहानी इसका एक उदाहरण है। एक सामान्य प्रोटोकॉल का प्रवाह इस प्रकार है:

sequenceDiagram participant Prover as "Prover (प्रमाणक)" participant Verifier as "Verifier (सत्यापनकर्ता)" Note over Prover, Verifier: "इंटरएक्टिव प्रमाण प्रोटोकॉल का मूल प्रवाह" Prover->>Verifier: "1. कमिटमेंट भेजें (Commitment)" Verifier->>Prover: "2. रैंडम चैलेंज भेजें (Challenge)" Prover->>Verifier: "3. रिस्पांस की गणना करें और भेजें (Response)" Note over Verifier: "रिस्पांस का सत्यापन करें (Verification)" Verifier-->>Prover: "4. स्वीकारें या अस्वीकारें (Accept / Reject)" Note over Prover, Verifier: "※ सटीकता बढ़ाने के लिए, इसे दर्जनों बार दोहराएं"

यह विधि शक्तिशाली है, लेकिन इसके लिए वेरिफायर का ऑनलाइन होना आवश्यक है, जिससे ब्लॉकचेन जैसी एसिंक्रोनस (asynchronous) वितरित प्रणालियों (distributed systems) पर लागू करना असुविधाजनक हो जाता है। ब्लॉकचेन में, हर किसी को किसी भी समय पिछले प्रमाणों को सत्यापित करने में सक्षम होना चाहिए।

फिएट-शमीर रूपांतरण (Fiat-Shamir Heuristic) और गैर-इंटरएक्टिव बनाना

इंटरएक्टिव प्रमाणों को गैर-इंटरएक्टिव शून्य-ज्ञान प्रमाणों (NIZK) में बदलने की एक क्रांतिकारी तकनीक फिएट-शमीर रूपांतरण (Fiat-Shamir Heuristic) है।

वेरिफायर द्वारा भेजे गए “रैंडम चैलेंज” के बजाय, प्रोवर अपने स्वयं के कमिटमेंट और सार्वजनिक जानकारी के हैश मान का उपयोग करके “छद्म-रैंडम चैलेंज” उत्पन्न करता है। यदि हम यह मान लें कि क्रिप्टोग्राफिक हैश फ़ंक्शन (जैसे SHA-256 या Keccak) रैंडम ओरेकल (random oracle) के रूप में कार्य करते हैं, तो प्रोवर चुनौतियों का पहले से अनुमान या हेरफेर नहीं कर सकता है। इस प्रकार इंटरएक्टिव प्रमाण के समान सुरक्षा बनाए रखते हुए, एक संदेश भेजकर प्रमाण पूरा किया जा सकता है।

zk-SNARKs का तकनीकी विवरण

वर्तमान में ZKP में सबसे व्यापक रूप से इस्तेमाल किया जाने वाला zk-SNARKs (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge) है। जैसा कि नाम से ही स्पष्ट है, यह शून्य-ज्ञान (zk) रखता है, प्रमाण का आकार बहुत छोटा है, सत्यापन बहुत तेज़ (Succinct) है, और यह गैर-इंटरएक्टिव (Non-Interactive) ज्ञान का तर्क (Argument of Knowledge) है।

zk-SNARKs का आधार उन्नत बीजीय ज्यामिति (algebraic geometry) और क्रिप्टोग्राफी है। यह प्रोग्राम निष्पादन और गणना को विशिष्ट बहुपद (polynomial) समीकरणों के सत्यापन में बदल देता है।

1. अंकगणितीय सर्किट (Arithmetic Circuit) और R1CS (Rank-1 Constraint System) में रूपांतरण

सबसे पहले, किसी भी गणना जिसे आप साबित करना चाहते हैं (एल्गोरिदम या स्मार्ट कॉन्ट्रैक्ट का लॉजिक) उसे एक अंकगणितीय सर्किट (Arithmetic Circuit) में परिवर्तित किया जाता है जिसमें जोड़ (addition) और गुणा (multiplication) गेट होते हैं।

इसके बाद, इस अंकगणितीय सर्किट को R1CS (Rank-1 Constraint System) नामक मैट्रिक्स समीकरणों के सेट में परिवर्तित किया जाता है। R1CS चर (variable) वेक्टर $x$ के लिए ऐसे मैट्रिसेस $A, B, C$ को खोजने की समस्या है जो निम्नलिखित बाधा को पूरा करते हैं:

$$ (A \cdot x) \circ (B \cdot x) = C \cdot x $$

यहाँ, $\circ$ हैडामार्ड उत्पाद (Hadamard product) (तत्व-वार गुणा) को दर्शाता है। यह बाधा सुनिश्चित करती है कि सर्किट में सभी लॉजिक गेट (विशेष रूप से गुणन गेट) सही ढंग से गणना किए गए हैं।

2. QAP (Quadratic Arithmetic Program) में रूपांतरण

चूँकि R1CS में अनगिनत मैट्रिक्स बाधाएं मौजूद हैं, इसलिए उन्हें व्यक्तिगत रूप से सत्यापित करना बहुत अक्षम है। इसलिए, लैग्रेंज इंटरपोलेशन (Lagrange interpolation) का उपयोग करके, इन बाधाओं को एक एकल बहुपद समीकरण (polynomial equation) में संकुचित (compress) किया जाता है। यही QAP (Quadratic Arithmetic Program) है।

QAP में परिवर्तित करके, साबित की जाने वाली समस्या इस प्रश्न में बदल जाती है: “क्या कोई विशिष्ट बहुपद $P(x)$, किसी अन्य ज्ञात बहुपद $Z(x)$ द्वारा पूरी तरह से विभाजित हो जाता है?”

$$ P(x) = L(x) \cdot R(x) - O(x) $$

यहाँ, $L(x), R(x), O(x)$ क्रमशः मैट्रिसेस $A, B, C$ की पंक्तियों (rows) के अनुरूप बहुपदों के संयोजन हैं। यदि प्रोवर सही उत्तर (Witness) जानता है, तो $P(x)$ के प्रत्येक मूल (root) पर मान 0 होगा, जिससे $P(x)$ लक्ष्य बहुपद $Z(x)$ को एक गुणनखंड (factor) के रूप में रखेगा। अर्थात्, एक ऐसा बहुपद $H(x)$ मौजूद है जिससे निम्नलिखित समीकरण सत्य होता है:

$$ P(x) = H(x) \cdot Z(x) $$

वेरिफायर एक यादृच्छिक (random) गुप्त बिंदु (secret point) $s$ पर यह जाँच कर सकता है कि क्या समीकरण $P(s) = H(s) \cdot Z(s)$ सत्य है, जिससे वह तुरंत सत्यापित कर सकता है कि पूरी गणना सही ढंग से की गई थी। यह “Succinct (संक्षिप्तता)” का रहस्य है।

3. इलिप्टिक कर्व क्रिप्टोग्राफी (Elliptic Curve Cryptography) और पेयरिंग (Bilinear Pairings)

हालाँकि, यदि वेरिफायर गुप्त बिंदु $s$ को जानता है, तो प्रोवर एक जाली बहुपद गढ़ सकता है और समीकरण को पूरा कर सकता है (सत्यता का पतन)। इसलिए, बिना किसी को $s$ बताए गणना करना आवश्यक है (होमोमोर्फिक एन्क्रिप्शन का उपयोग करके)।

इसे इलिप्टिक कर्व पेयरिंग (Bilinear Pairings) के उपयोग से महसूस किया जाता है। पेयरिंग $e$ एक विशेष फ़ंक्शन है जो दो एन्क्रिप्टेड मानों से एक मान की गणना कर सकता है जो उनके गुणनफल (product) के एन्क्रिप्शन के बराबर है।

$$ e(g_1^a, g_2^b) = e(g_1, g_2)^{ab} $$

प्रोवर, बिना $s$ को जाने, $s$ की घातों (powers) के एन्क्रिप्टेड मानों (इसे CRS: Common Reference String कहा जाता है) का उपयोग करके बहुपद $P(s)$ और $H(s)$ के एन्क्रिप्टेड मानों की गणना करता है। वेरिफायर पेयरिंग फ़ंक्शन का उपयोग करके यह सत्यापित करता है कि एन्क्रिप्टेड मानों के साथ $P(s) = H(s) \cdot Z(s)$ का संबंध सत्य है या नहीं।

4. ट्रस्टेड सेटअप (Trusted Setup)

zk-SNARKs (विशेष रूप से शुरुआती Groth16 जैसी प्रणाली) की सबसे बड़ी कमजोरी यह है कि गुप्त बिंदु $s$ उत्पन्न करने की प्रक्रिया के लिए एक तथाकथित ट्रस्टेड सेटअप (Trusted Setup) की आवश्यकता होती है। यदि $s$ का निर्माता इसके मान को नष्ट किए बिना बनाए रखता है, तो वह मनमाना जाली प्रमाण उत्पन्न कर सकता है (Toxic Waste समस्या)।

इसे रोकने के लिए, Multi-Party Computation (MPC) का उपयोग करके “Ceremony” नामक एक अनुष्ठान किया जाता है। कई प्रतिभागी रैंडमनेस प्रदान करने के लिए सहयोग करते हैं, और यदि कम से कम एक प्रतिभागी ईमानदारी से अपने यादृच्छिक मान को नष्ट कर देता है, तो पूरी प्रणाली की सुरक्षा बनी रहती है। हालाँकि, इस निर्भरता को खत्म करने के लिए वर्षों से शोध जारी है।

zk-STARKs का तकनीकी विवरण

ट्रस्टेड सेटअप पर निर्भरता और क्वांटम कंप्यूटर द्वारा इलिप्टिक कर्व क्रिप्टोग्राफी को तोड़ने के जोखिम के समाधान के रूप में zk-STARKs (Zero-Knowledge Scalable Transparent Argument of Knowledge) सामने आया।

Eli Ben-Sasson और अन्य लोगों द्वारा विकसित STARKs, “Transparent (पारदर्शिता)” नाम के अनुरूप बिना किसी ट्रस्टेड सेटअप की आवश्यकता के काम करता है, और “Scalable (स्केलेबिलिटी)” के अनुरूप, गणना की मात्रा बढ़ने पर भी प्रमाण का आकार और सत्यापन समय कुशलता से बनाए रखता है।

1. पॉलीनोमियल कमिटमेंट (Polynomial Commitment) और FRI प्रोटोकॉल

zk-STARKs इलिप्टिक कर्व क्रिप्टोग्राफी के बजाय केवल हैश फ़ंक्शन पर अपनी सुरक्षा का आधार रखता है। इसलिए, इसमें पोस्ट-क्वांटम क्रिप्टोग्राफी (क्वांटम-सुरक्षित क्रिप्टोग्राफी) के गुण हैं।

गणना के सत्यापन को AIR (Algebraic Intermediate Representation) नामक प्रारूप में परिवर्तित किया जाता है, जिसके बाद एक-आयामी (1D) या बहु-आयामी (multidimensional) बहुपदों (polynomials) के गुणों का उपयोग करके सत्यापन किया जाता है। STARKs का मूल FRI (Fast Reed-Solomon Interactive Oracle Proof of Proximity) प्रोटोकॉल है।

FRI प्रोटोकॉल एक ऐसी तकनीक है जो यह सत्यापित करती है कि “क्या कोई फलन (function) एक विशिष्ट डिग्री (degree) वाले बहुपद के काफी करीब (Proximity) है”। प्रोवर मर्कल ट्री (Merkle Tree) की पत्तियों (leaves) के रूप में बहुपद मानों को कमिट करता है (Polynomial Commitment)।

graph TD Root["Merkle Root (कमिटमेंट)"] --> Node0["Node 0"] Root --> Node1["Node 1"] Node0 --> Leaf0["P(x_0)"] Node0 --> Leaf1["P(x_1)"] Node1 --> Leaf2["P(x_2)"] Node1 --> Leaf3["P(x_3)"]

वेरिफायर प्रोवर से कुछ रैंडम बिंदुओं (points) का खुलासा करने का अनुरोध करता है, और मर्कल प्रूफ (Merkle Proof) का उपयोग करके यह पुष्टि करता है कि वे कमिटमेंट में शामिल हैं। इसे बार-बार (recursively) दोहराकर, यह बहुत अधिक संभावना के साथ गारंटी देता है कि मूल बहुपद की डिग्री (degree) वास्तव में कम है।

zk-SNARKs और zk-STARKs की तुलना

विशेषता	zk-SNARKs	zk-STARKs
क्रिप्टोग्राफिक धारणा	इलिप्टिक कर्व, पेयरिंग	कोलिजन-रेसिस्टेंट हैश फ़ंक्शन
ट्रस्टेड सेटअप	आवश्यक (Plonk जैसे कुछ यूनिवर्सल हैं)	अनावश्यक (Transparent)
क्वांटम-प्रतिरोध	नहीं	हाँ
प्रमाण का आकार	बहुत छोटा (~200 Byte)	थोड़ा बड़ा (कुछ दर्जनों KB)
प्रमाण उत्पन्न करने की कम्प्यूटेशनल लागत	उच्च	SNARKs की तुलना में अपेक्षाकृत कम
सत्यापन लागत (Gas फीस)	बहुत कम (स्थिर)	कम (लॉगरिदमिक रूप से बढ़ता है)

हाल के वर्षों में, Plonk और Halo2 जैसे “SNARKs जिन्हें ट्रस्टेड सेटअप की आवश्यकता नहीं होती, या केवल एक बार की आवश्यकता होती है” उभरे हैं, और SNARKs तथा STARKs के बीच की सीमा धीरे-धीरे धुंधली होती जा रही है, लेकिन मूलभूत गणितीय दृष्टिकोण का अंतर अभी भी महत्वपूर्ण है।

शून्य-ज्ञान प्रमाण के Web3 और सुरक्षा में नवीनतम अनुप्रयोग

सिद्धांत से व्यवहार की ओर बढ़ते हुए, ZKP अब Web3 और साइबर सुरक्षा में सबसे आगे क्रांति ला रहा है।

1. ZK-Rollups द्वारा Ethereum की अल्टीमेट स्केलिंग

Ethereum जैसे L1 (लेयर 1) ब्लॉकचेन विकेंद्रीकरण (decentralization) और सुरक्षा पर इतना अधिक जोर देते हैं कि वे स्केलेबिलिटी के मामले में एक बड़ी बाधा (trilemma) का सामना करते हैं। इसका समाधान करने वाला अंतिम L2 (लेयर 2) सॉल्यूशन ZK-Rollups है।

ZK-Rollups में, हजारों ट्रांज़ैक्शन को ऑफ-चेन (L2) संसाधित किया जाता है, और एक एकल “ZKP (Validity Proof)” उत्पन्न किया जाता है जो यह दर्शाता है कि वे सभी सही ढंग से निष्पादित (execute) किए गए थे। L1 चेन पर स्मार्ट कॉन्ट्रैक्ट को केवल इस प्रमाण को सत्यापित करना होता है।

flowchart LR Users["Users (Tx भेजना)"] --> Sequencer["Sequencer (Tx संग्रह और निष्पादन)"] Sequencer --> Prover["Prover (ZKP जनरेशन)"] Sequencer --> L1Contract["L1 स्मार्ट कॉन्ट्रैक्ट (Tx डेटा का प्रकाशन)"] Prover --> L1Contract["ZKP (प्रमाण) सबमिट करना"] L1Contract --> Verify["सत्यापन और स्थिति अद्यतन"]

ZK-Rollups का सबसे बड़ा लाभ यह है कि Optimistic Rollups (जैसे Arbitrum या Optimism) के विपरीत, इसमें फ्रॉड प्रूफ (Fraud Proof) के लिए कोई चैलेंज अवधि (आमतौर पर 7 दिन) की आवश्यकता नहीं होती है। चूँकि क्रिप्टोग्राफिक रूप से सटीकता की गारंटी होती है, इसलिए प्रमाण के सत्यापित होते ही L1 से धन की निकासी (Finality) पूरी हो जाती है। वर्तमान में, zkSync, Starknet, Scroll, और Polygon zkEVM जैसे प्रोजेक्ट्स के बीच भयंकर प्रतिस्पर्धा चल रही है, और EVM (Ethereum Virtual Machine) के अनुकूल zkEVM के विकास से इकोसिस्टम तेज़ी से बढ़ रहा है।

2. प्राइवेसी-प्रिजर्विंग आइडेंटिटी (ZKP for Identity)

डिजिटल दुनिया में व्यक्तिगत प्रमाणीकरण (authentication) का तरीका भी ZKP से मौलिक रूप से बदल जाएगा। उदाहरण के लिए, “क्या आप 18 वर्ष से अधिक आयु के हैं?” प्रश्न के लिए, पारंपरिक प्रणालियों में आपको अपना ड्राइविंग लाइसेंस या पासपोर्ट प्रस्तुत करना पड़ता है, जो दूसरे पक्ष को आपका नाम या पता जैसी अनावश्यक व्यक्तिगत जानकारी भी प्रदान कर देता है।

ZKP के साथ, सार्वजनिक संस्थानों द्वारा जारी डिजिटल प्रमाणपत्रों (Verifiable Credentials) के आधार पर, केवल इस तथ्य को गणितीय रूप से प्रमाणित करना संभव है कि “मेरी जन्म तिथि के आधार पर, मैं वर्तमान तिथि पर 18 वर्ष से अधिक आयु का हूँ।” वेरिफायर को केवल प्रमाणपत्र के हस्ताक्षर और ZKP को सत्यापित करने की आवश्यकता है, और उसे उपयोगकर्ता की जन्म तिथि या पहचान जानने की आवश्यकता नहीं है।

Worldcoin जैसे Proof of Personhood (मानवता का प्रमाण) प्रोजेक्ट्स में, आईरिस (iris) डेटा को सीधे संग्रहीत और साझा करने के बजाय ZKP का उपयोग किया जाता है, ताकि केवल यह प्रमाणित किया जा सके कि व्यक्ति “एक अद्वितीय इंसान” है।

3. गोपनीय स्मार्ट कॉन्ट्रैक्ट और एंटरप्राइज़ उपयोग

सार्वजनिक ब्लॉकचेन की यह विशेषता कि “सभी डेटा सार्वजनिक रूप से दिखाई देते हैं”, उन कंपनियों के लिए एक बड़ी बाधा थी जो ब्लॉकचेन पर गोपनीय लेनदेन या आपूर्ति श्रृंखला (supply chain) डेटा को संभालना चाहते हैं।

ZKP तकनीक (जैसे Aleo या Aztec जैसे गोपनीयता-केंद्रित नेटवर्क) का उपयोग करके, ट्रांज़ैक्शन के इनपुट, आउटपुट, और यहां तक कि निष्पादित किए जा रहे स्मार्ट कॉन्ट्रैक्ट के लॉजिक को एन्क्रिप्टेड रखा जा सकता है, जबकि पब्लिक चेन पर केवल स्थिति अपडेट की सटीकता दर्ज की जाती है। यह DeFi (विकेंद्रीकृत वित्त) में फ्रंट-रनिंग (MEV) को रोकने में मदद करता है, और पब्लिक चेन की उच्च सुरक्षा का आनंद लेते हुए कंपनियों के बीच गोपनीय कंसोर्टियम नेटवर्क के निर्माण को सक्षम बनाता है।

ZKP की भविष्य की चुनौतियाँ और संभावनाएँ

ZKP निश्चित रूप से अगली पीढ़ी की मूलभूत तकनीक है, लेकिन इसमें अभी भी कुछ चुनौतियां बाकी हैं:

प्रमाण उत्पन्न करने की कम्प्यूटेशनल लागत और हार्डवेयर एक्सेलेरेशन ZKP उत्पन्न करने के लिए बड़े पैमाने पर बहुपद गणना, FFT (Fast Fourier Transform), और MSM (Multi-Scalar Multiplication) की आवश्यकता होती है। वर्तमान में, प्रमाण निर्माण में तेज़ी लाने के लिए समर्पित हार्डवेयर (FPGA या ASIC) विकसित करने और ZKP माइनिंग (Prover Network) को विकसित करने के लिए बड़े पैमाने पर अनुसंधान चल रहा है।
मानकीकरण (Standardization) और डेवलपर अनुभव (DX) में सुधार Circom, Cairo, Noir, और Leo जैसी कई विशेष भाषाएँ ZKP सर्किट लिखने के लिए उभरी हैं। इन भाषाओं को एकीकृत करने वाले मानकों का विकास, और ऐसे कंपाइलर जो मौजूदा Rust या C++ से स्वचालित रूप से ZKP सर्किट उत्पन्न कर सकें, सामान्य सॉफ्टवेयर इंजीनियरों द्वारा ZKP को अपनाने की कुंजी होंगे।

निष्कर्ष

शून्य-ज्ञान प्रमाण (ZKP) मात्र “क्रिप्टोकरेंसी की गुमनामी बढ़ाने वाली तकनीक” से विकसित होकर “पूरे इंटरनेट के लिए विश्वास (Trust) को फिर से परिभाषित करने वाली सामान्य-उद्देश्य तकनीक” में बदल गया है। गणितीय सूत्रों और क्रिप्टोग्राफी की गहराइयों में गढ़ा गया एक छोटा सा प्रमाण ब्लॉकचेन की स्केलेबिलिटी को असीम रूप से बढ़ाएगा और हमारी गोपनीयता की रक्षा करने वाली एक ढाल के रूप में कार्य करेगा।

Web3 को बड़े पैमाने पर अपनाने (mass adoption) और एक सुरक्षित तथा निजी अगली पीढ़ी के इंटरनेट के निर्माण की दिशा में, शून्य-ज्ञान प्रमाण सबसे महत्वपूर्ण घटक के रूप में काम करना जारी रखेगा। ZKP तकनीक के भविष्य के विकास पर हमारी नज़र बनी रहनी चाहिए।

संदर्भ और संबंधित लिंक

Groth, J. (2016). “On the Size of Pairing-based Non-interactive Arguments”
Ben-Sasson, E., et al. (2018). “Scalable, transparent, and post-quantum secure computational integrity”
Vitalik Buterin’s blog on zk-SNARKs and zk-STARKs

पूर्ण समरूप एन्क्रिप्शन (FHE) क्या है? अगली पीढ़ी की सुरक्षा के मूल तत्व की व्याख्या

Fri, 11 Sep 2026 11:00:00 +0900

चूंकि क्लाउड कंप्यूटिंग और एआई तकनीक समाज की नींव के रूप में स्थापित हो रही है, “डेटा गोपनीयता (Data Privacy)” और “डेटा उपयोग (Data Utilization)” के बीच का ट्रेड-ऑफ सबसे महत्वपूर्ण चुनौतियों में से एक बन गया है। अत्यधिक गोपनीय डेटा, जैसे मेडिकल डेटा, वित्तीय जानकारी, और व्यक्तिगत बायोमेट्रिक जानकारी का क्लाउड पर एआई द्वारा विश्लेषण कराने की मांग बढ़ रही है, लेकिन सुरक्षा चिंताओं के कारण कई कंपनियां डेटा को बाहर भेजने में संकोच करती हैं।

पारंपरिक एन्क्रिप्शन तकनीकें (जैसे AES और RSA) स्टोरेज में सहेजे गए डेटा (Data at Rest) और नेटवर्क पर प्रवाहित होने वाले डेटा (Data in Transit) की सुरक्षा करने में उत्कृष्ट हैं। हालाँकि, जब सर्वर डेटा पर खोज या मशीन लर्निंग जैसी प्रक्रियाएँ (गणनाएँ) करता है (Data in Use), तो एन्क्रिप्शन को डिक्रिप्ट करके उसे वापस प्लेनटेक्स्ट में बदलना आवश्यक होता है। यदि इस डिक्रिप्शन के समय सर्वर हैक हो जाता है, या कोई दुर्भावनापूर्ण आंतरिक प्रशासक डेटा देख लेता है, तो यह सीधे सूचना रिसाव का कारण बन सकता है।

इस “प्रोसेसिंग के दौरान डिक्रिप्शन” की मूलभूत कमजोरी को दूर करने वाली सपनों की तकनीक पूर्ण समरूप एन्क्रिप्शन (Fully Homomorphic Encryption: FHE) है। FHE का उपयोग करके, डेटा को डिक्रिप्ट किए बिना एन्क्रिप्टेड अवस्था में ही गणना प्रक्रियाएं करना संभव है, और केवल परिणामी सिफरटेक्स्ट (ciphertext) को क्लाइंट को वापस किया जाता है।

इस लेख में, हम FHE की अवधारणा से लेकर इसके इतिहास, क्रेग जेंट्री (Craig Gentry) की ऐतिहासिक सफलता, गणितीय आधार (जैसे Ring-LWE), सबसे बड़ी चुनौती “शोर (Noise)” और इसके समाधान (बूटस्ट्रैपिंग), और नवीनतम कार्यान्वयन पुस्तकालयों (implementation libraries) तक सब कुछ कवर करेंगे, जो अगली पीढ़ी की सुरक्षा के प्रमुख तत्व FHE की गहराई से व्याख्या करता है।

1. समरूप एन्क्रिप्शन क्या है? बुनियादी अवधारणा

“समरूप (Homomorphic)” एक बीजगणितीय शब्द है, जो किसी संरचना वाले सेट के बीच एक मैपिंग को संदर्भित करता है जो ऑपरेशनों की संरचना को बरकरार रखता है। क्रिप्टोग्राफी में “समरूपता (Homomorphism)” का अर्थ यह गुण है कि प्लेनटेक्स्ट स्पेस में ऑपरेशन्स सिफरटेक्स्ट स्पेस में ऑपरेशन्स के अनुरूप होते हैं।

सरल गणितीय शब्दों में, मान लें कि प्लेनटेक्स्ट $m_1$ और $m_2$ के लिए एन्क्रिप्शन फ़ंक्शन $E(\cdot)$ है, और डिक्रिप्शन फ़ंक्शन $D(\cdot)$ है। प्लेनटेक्स्ट पर होने वाले ऑपरेशन (जैसे जोड़ या गुणा) को $\circ$ के रूप में, और सिफरटेक्स्ट पर होने वाले ऑपरेशन को $\diamond$ के रूप में दर्शाया गया है, तो निम्नलिखित संबंध लागू होता है:

$$ D(E(m_1) \diamond E(m_2)) = m_1 \circ m_2 $$

दूसरे शब्दों में, यदि आप सिफरटेक्स्ट $E(m_1)$ और $E(m_2)$ पर कोई ऑपरेशन $\diamond$ लागू करते हैं और परिणाम को डिक्रिप्ट करते हैं, तो यह मूल प्लेनटेक्स्ट के बीच ऑपरेशन $\circ$ लागू करने के परिणाम से मेल खाएगा।

क्लाउड कंप्यूटिंग में डेटा प्रवाह (Data Flow in Cloud Computing)

FHE का उपयोग करने वाली क्लाउड प्रोसेसिंग का आर्किटेक्चर पारंपरिक वाले से बिल्कुल अलग है। नीचे दिया गया चित्र FHE का उपयोग करते हुए सुरक्षित डेटा प्रोसेसिंग प्रवाह को दर्शाता है।

सर्वर एन्क्रिप्टेड डेटा $E(x)$ प्राप्त करता है, लेकिन चूंकि उसके पास निजी कुंजी (private key) नहीं है, इसलिए वह कभी भी डेटा की सामग्री नहीं जान सकता। हालांकि, FHE के गुणों का उपयोग करके, यह सिफरटेक्स्ट पर एक फ़ंक्शन $f$ (उदाहरण के लिए, मशीन लर्निंग अनुमान मॉडल) लागू कर सकता है और $E(f(x))$ उत्पन्न कर सकता है। क्लाइंट इसे प्राप्त करता है और वांछित परिणाम $y = f(x)$ प्राप्त करने के लिए इसे अपनी निजी कुंजी के साथ डिक्रिप्ट करता है।

2. समरूप एन्क्रिप्शन के विकास का इतिहास: PHE, SHE, FHE

समरूप एन्क्रिप्शन एक ही बार में अपने वर्तमान “पूर्ण” रूप में विकसित नहीं हुआ था। इसे सक्षम किए जा सकने वाले ऑपरेशनों के प्रकार और संख्या के आधार पर मोटे तौर पर तीन चरणों में वर्गीकृत किया जाता है।

आंशिक रूप से समरूप एन्क्रिप्शन (Partially Homomorphic Encryption - PHE)

PHE एक एन्क्रिप्शन पद्धति है जो बिना किसी सीमा के जोड़ या गुणा में से केवल एक को करने की अनुमति देती है। वास्तव में, इस गुण वाले एन्क्रिप्शन लंबे समय से मौजूद हैं।

RSA एन्क्रिप्शन (गुणा के लिए समरूपता) RSA एन्क्रिप्शन में अनजाने में गुणात्मक समरूपता थी। मान लें कि प्लेनटेक्स्ट $m_1, m_2$ है, और सार्वजनिक कुंजी $(e, N)$ है: $$ E(m_1) = m_1^e \pmod N $$ $$ E(m_2) = m_2^e \pmod N $$ यदि हम इन्हें गुणा करते हैं: $$ E(m_1) \times E(m_2) = (m_1 \cdot m_2)^e \pmod N = E(m_1 \times m_2) $$ इस प्रकार, सिफरटेक्स्ट का गुणा प्लेनटेक्स्ट के गुणा के अनुरूप होता है।
Paillier एन्क्रिप्शन (जोड़ के लिए समरूपता) 1999 में तैयार किए गए पैलिएर (Paillier) एन्क्रिप्शन में योगात्मक समरूपता (additive homomorphism) होती है। इसे इलेक्ट्रॉनिक वोटिंग (जहां एन्क्रिप्टेड वोटों को जोड़ा जाता है, और केवल अंतिम परिणाम को डिक्रिप्ट किया जाता है) जैसी चीजों में व्यावहारिक रूप से उपयोग किया गया है।

कुछ हद तक समरूप एन्क्रिप्शन (Somewhat Homomorphic Encryption - SHE)

यह एक ऐसी विधि है जो जोड़ और गुणा दोनों को निष्पादित कर सकती है, लेकिन किए जा सकने वाले ऑपरेशनों की संख्या (सर्किट की गहराई) पर एक सीमा होती है। “शोर (noise)” के संचय के कारण (जिसकी चर्चा बाद में की गई है), यदि किसी निश्चित संख्या से अधिक गुणा किया जाता है, तो डिक्रिप्शन असंभव हो जाता है। 2005 का BGN (Boneh-Goh-Nissim) एन्क्रिप्शन इस श्रेणी में आता है, लेकिन व्यावहारिक और जटिल गणनाएं (जैसे डीप लर्निंग) करने में इसकी सीमाएं थीं।

पूर्ण समरूप एन्क्रिप्शन (Fully Homomorphic Encryption - FHE)

यह एक एन्क्रिप्शन विधि है जहां जोड़ और गुणा दोनों को असीमित बार निष्पादित किया जा सकता है। सूचना सिद्धांत में ट्यूरिंग-पूर्णता के समान, यदि जोड़ (XOR के समतुल्य) और गुणा (AND के समतुल्य) को अनिश्चित काल तक जोड़ा जा सकता है, तो इसका अर्थ है कि सिद्धांत रूप में कोई भी गणना योग्य फ़ंक्शन या एल्गोरिदम एन्क्रिप्टेड अवस्था में निष्पादित किया जा सकता है।

लंबे समय तक, FHE को “क्रिप्टोग्राफी का पवित्र कंठ (Holy Grail of Cryptography)” कहा जाता था, और यहां तक कहा जाता था कि इसे साकार करना असंभव हो सकता है। हालाँकि, 2009 में, स्टैनफोर्ड विश्वविद्यालय के एक तत्कालीन पीएचडी छात्र क्रेग जेंट्री (Craig Gentry) ने आदर्श जालक (Ideal Lattices) का उपयोग करते हुए पहली FHE योजना प्रस्तावित की और दुनिया को चौंका दिया।

3. FHE का गणितीय आधार: LWE समस्या और Ring-LWE

कई मुख्यधारा की FHE योजनाएँ आज LWE (Learning With Errors) समस्या पर आधारित हैं, जो “लैटिस-आधारित क्रिप्टोग्राफी (Lattice-based Cryptography)” में एक कठिन गणितीय समस्या है, जिसे पोस्ट-क्वांटम क्रिप्टोग्राफी के रूप में भी जाना जाता है।

LWE समस्या की सहज समझ

गॉसियन उन्मूलन (Gaussian elimination) जैसी विधियों का उपयोग करके रैखिक समीकरणों की प्रणालियों को हल करना आसान है।

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 \equiv 12 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 \equiv 8 \pmod{17} \\ \vdots \end{cases} $$

हालाँकि, क्या होगा यदि हम इस समीकरण के परिणाम में थोड़ी सी “यादृच्छिक त्रुटि (शोर)” $e$ जोड़ दें?

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 + e_1 \equiv 13 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 + e_2 \equiv 7 \pmod{17} \\ \vdots \end{cases} $$

केवल इस त्रुटि $e$ को जोड़ने से, गुप्त चर सदिश (secret variable vector) $\vec{s}$ को खोजने की समस्या एक NP-hard समस्या में बदल जाती है जिसे वर्तमान सुपर कंप्यूटर या क्वांटम कंप्यूटर का उपयोग करके भी डिक्रिप्ट करना मुश्किल है। यह LWE समस्या है।

Ring-LWE समस्या (RLWE)

चूंकि मानक LWE समस्या में मैट्रिक्स संचालन शामिल होता है, इसलिए इसमें ऐसी समस्याएं थीं कि कुंजी का आकार बहुत बड़ा (कभी-कभी गीगाबाइट में) था और कम्प्यूटेशनल दक्षता खराब थी। इसे हल करने के लिए, Ring-LWE (RLWE) समस्या, जो बहुपद वलय (polynomial rings) पर संचालन का उपयोग करती है, पेश की गई थी।

RLWE में, तत्व बहुपद वलय $R_q = \mathbb{Z}_q[x] / (x^N + 1)$ से संबंधित होते हैं (जहाँ $N$ 2 की घात है, और $q$ एक अभाज्य मापांक (prime modulus) है)। मान लें कि गुप्त कुंजी एक बहुपद $s(x)$ है, $a(x)$ एक यादृच्छिक बहुपद है, और $e(x)$ एक छोटा शोर बहुपद है, तो सार्वजनिक कुंजी (public key) निम्न जोड़ी बन जाती है:

$$ (a(x), b(x)) \quad \text{where} \quad b(x) = -a(x) \cdot s(x) + e(x) \pmod q $$

एन्क्रिप्शन के दौरान, इस बहुपद के गुणों का उपयोग प्लेनटेक्स्ट $m(x)$ को एनकोड करने और सिफरटेक्स्ट उत्पन्न करने के लिए किया जाता है।

4. सबसे बड़ी बाधा “शोर (Noise)” और जेंट्री की बूटस्ट्रैपिंग

FHE को समझने में सबसे महत्वपूर्ण अवधारणा “शोर प्रबंधन (Noise Management)” है।

LWE/RLWE-आधारित एन्क्रिप्शन में, सुरक्षा सुनिश्चित करने के लिए जानबूझकर एक छोटा “शोर (त्रुटि)” शामिल किया जाता है। मोटे तौर पर कहें সমগ্র, प्लेनटेक्स्ट $m$ के सिफरटेक्स्ट $c$ को डिक्रिप्ट करने की प्रक्रिया को निम्नलिखित सूत्र द्वारा व्यक्त किया जा सकता है:

$$ D(c) = (c \cdot s) \pmod q = m + \text{noise} $$

डिक्रिप्शन के दौरान, सही प्लेनटेक्स्ट $m$ प्राप्त करने के लिए इस noise को राउंडिंग जैसी प्रक्रियाओं द्वारा हटा दिया जाता है। हालाँकि, जब सिफरटेक्स्ट के बीच समरूप संचालन (विशेष रूप से गुणा) किया जाता है, तो यह शोर नाटकीय रूप से बढ़ जाता है।

समरूप जोड़ (Homomorphic Addition): शोर संयोजी रूप से बढ़ता है ($e_1 + e_2$)। यह अपेक्षाकृत क्रमिक वृद्धि है।
समरूप जोड़ द्वारा समरूपता की गणितीय अभिव्यक्ति: $$ E(m_1) \oplus E(m_2) = E(m_1 + m_2) $$
समरूप गुणा (Homomorphic Multiplication): शोर गुणात्मक रूप से विस्फोटित होता है (क्योंकि इसमें $e_1 \times e_2$ आदि शामिल हैं)। केवल कुछ गुणा के बाद, शोर $q/2$ की सीमा से अधिक हो जाता है, जिससे उचित राउंडिंग प्रक्रिया विफल हो जाती है और डिक्रिप्शन असंभव हो जाता है।
समरूप गुणा द्वारा समरूपता की गणितीय अभिव्यक्ति: $$ E(m_1) \otimes E(m_2) = E(m_1 \times m_2) $$

यही कारण है कि FHE को लंबे समय तक महसूस नहीं किया जा सका, और यह SHE (सीमित संख्या में संचालन के साथ) तक ही सीमित रहा।

बूटस्ट्रैपिंग (Bootstrapping) का जादू

क्रेग जेंट्री का सबसे प्रतिभाशाली योगदान “बूटस्ट्रैपिंग” नामक शोर कम करने वाली तकनीक का आविष्कार था। यह क्रिप्टोग्राफी में एक प्रतिमान बदलाव (paradigm shift) था।

सहज रूप से, यह एक ऐसा ऑपरेशन है जो “सिफरटेक्स्ट के शोर से भर जाने और टूटने से पहले, इसे एन्क्रिप्टेड अवस्था में ही ‘डिक्रिप्ट’ करके साफ करता है, और इसे एक नए सिफरटेक्स्ट में डालता है।”

मान लें कि हमारे पास एक उच्च-शोर वाला सिफरटेक्स्ट $C_{noisy}$ है।
क्लाइंट पहले से ही सर्वर को निजी कुंजी $sk$ का “सार्वजनिक कुंजी द्वारा एन्क्रिप्टेड संस्करण” $E_{pk}(sk)$ (जिसे बूटस्ट्रैपिंग कुंजी कहा जाता है) प्रदान करता है।
सर्वर $C_{noisy}$ पर समरूप रूप से डिक्रिप्शन सर्किट (Decryption Circuit) को निष्पादित करता है।
विशेष रूप से, यह $E_{pk}(sk)$ का उपयोग करके $E_{pk}(C_{noisy})$ पर “एन्क्रिप्टेड स्पेस के भीतर डिक्रिप्शन” करता है।
चूंकि यह डिक्रिप्शन सर्किट स्वयं एक समरूप संचालन है, यह नया शोर पैदा करता है, लेकिन आउटपुट के रूप में उत्पन्न नए सिफरटेक्स्ट $C_{fresh}$ का शोर एक निश्चित “निश्चित स्तर (fixed level)” पर रीसेट हो जाता है।

graph LR A["उच्च-शोर सिफरटेक्स्ट C_noisy"] --> B["समरूप डिक्रिप्शन सर्किट (Eval_Dec)"] C["एन्क्रिप्टेड निजी कुंजी E(sk)"] --> B B --> D["निम्न-शोर सिफरटेक्स्ट C_fresh"] style B fill:#ffeeba,stroke:#ffc107

गणना के दौरान समय-समय पर इस बूटस्ट्रैपिंग को निष्पादित करके, सिद्धांत रूप में अनंत गहराई के सर्किट की गणना करना संभव हो गया (FHE की उपलब्धि)। हालाँकि, जेंट्री की शुरुआती पद्धति निराशाजनक रूप से महंगी थी, जिसमें बूटस्ट्रैपिंग प्रक्रिया में हर बार कई मिनटों से लेकर कई घंटों तक का समय लगता था।

5. FHE की पीढ़ियाँ और प्रमुख योजनाओं का विकास

FHE के व्यावहारिक अनुप्रयोग के लिए, दुनिया भर के क्रिप्टोग्राफर इसके एल्गोरिदम को बेहतर बनाने के लिए प्रतिस्पर्धा कर रहे हैं। वर्तमान में, FHE को मुख्य रूप से 4 पीढ़ियों/श्रेणियों में वर्गीकृत किया गया है।

दूसरी पीढ़ी: पूर्णांकों पर सटीक संचालन (BGV, BFV)

BGV (Brakerski-Gentry-Vaikuntanathan) और BFV (Brakerski/Fan-Vercauteren) योजनाएँ 2011 से 2012 के बीच उभरीं। ये RLWE पर आधारित हैं और पूर्णांकों (सटीक गणना) के मॉड्यूलर अंकगणित के लिए उपयुक्त हैं। वे SIMD (Single Instruction, Multiple Data) जैसी बैचिंग तकनीक का समर्थन करते हैं, जो एक ही विशाल बहुपद सिफरटेक्स्ट में हजारों डेटा स्लॉट पैक करने और एक ही समय में समानांतर गणना करने की अनुमति देता है।

तीसरी पीढ़ी: बूटस्ट्रैपिंग का त्वरण (GSW, FHEW, TFHE)

2013 की GSW (Gentry-Sahai-Waters) योजना ने FHE संरचना को बहुत सरल बना दिया। इससे विकसित होकर वर्तमान मुख्यधारा की योजनाओं में से एक TFHE (Fast Fully Homomorphic Encryption over the Torus) बनी। TFHE की विशेषता इसकी बहुत तेज़ बूटस्ट्रैपिंग (मिलीसेकंड में) है। यह गेट स्तर (तार्किक सर्किट जैसे AND, XOR) पर संचालन में बहुत प्रभावी है, और सिफरटेक्स्ट का आकार भी अपेक्षाकृत छोटा है, जिससे यह किसी भी तार्किक सर्किट का तेज़ी से मूल्यांकन करने के लिए उपयुक्त हो जाता है।

चौथी पीढ़ी: अनुमानित गणना और मशीन लर्निंग पर ध्यान केंद्रित (CKKS)

2017 में चेओन एट अल. द्वारा प्रस्तावित CKKS (Cheon-Kim-Kim-Song) योजना को वर्तमान AI और मशीन लर्निंग गोपनीयता सुरक्षा में निश्चित तकनीक माना जा सकता है। जबकि पिछली FHE योजनाओं ने “सटीक पूर्णांक गणना” पर ध्यान केंद्रित किया, CKKS एन्क्रिप्टेड अवस्था में “फ़्लोटिंग-पॉइंट संख्याओं की अनुमानित गणना” का समर्थन करता है। यह वास्तविक संख्या गणनाओं में भारी प्रदर्शन प्रदान करता है जहां छोटी त्रुटियां स्वीकार्य हैं, जैसे तंत्रिका नेटवर्क (neural networks) का प्रशिक्षण और अनुमान।

नीचे दी गई तालिका उद्देश्य के अनुसार योजनाओं को चुनने का सारांश देती है:

योजना का नाम	डेटा प्रकार	अनुशंसित उपयोग के मामले	विशेषताएँ
BFV / BGV	पूर्णांक (Integer)	सटीक सांख्यिकीय गणना, वित्तीय डेटा एकत्रीकरण, DB खोज	SIMD बैचिंग के माध्यम से उच्च थ्रूपुट
CKKS	वास्तविक संख्या (Real/Complex)	मशीन लर्निंग (DNN, लॉजिस्टिक रिग्रेशन), सिग्नल प्रोसेसिंग	अनुमानित गणना के माध्यम से त्वरण, रीस्केलिंग
TFHE	बूलियन (Boolean)	मनमाना तार्किक सर्किट, स्ट्रिंग खोज, गैर-रेखीय फ़ंक्शन मूल्यांकन	अल्ट्रा-फास्ट बूटस्ट्रैपिंग (मिलीसेकंड स्तर)

6. व्यवहार में: FHE लाइब्रेरी और वैचारिक कोड

आजकल, कई ओपन-सोर्स लाइब्रेरी उपलब्ध हैं जो आपको क्रिप्टोग्राफी के गहरे ज्ञान के बिना FHE का उपयोग करने की अनुमति देती हैं।

Microsoft SEAL (Simple Encrypted Arithmetic Library): BFV, BGV और CKKS का समर्थन करने वाली एक C++ लाइब्रेरी। उद्योग के मानकों में से एक। इसका पायथन बाइंडिंग, TenSEAL, AI इंजीनियरों के बीच बहुत लोकप्रिय है।
Zama (Concrete): TFHE पर आधारित एक फ्रेमवर्क। इसे रस्ट/पायथन (Rust/Python) में लिखा जा सकता है और यह मौजूदा PyTorch मॉडल को संकलित (compile) करने और उन्हें FHE (Concrete ML) पर चलाने की सुविधा प्रदान करता है।
OpenFHE: PALISADE का उत्तराधिकारी, एक व्यापक C++ लाइब्रेरी जो सभी प्रमुख योजनाओं का समर्थन करती है।

पायथन (TenSEAL) का उपयोग करते हुए FHE प्रोग्रामिंग का उदाहरण

यहां एक वैचारिक पायथन कोड का उदाहरण दिया गया है जो CKKS योजना का उपयोग करके वास्तविक संख्या वैक्टरों को एन्क्रिप्टेड अवस्था में जोड़ने और गुणा करने को दर्शाता है।

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


import tenseal as ts

# 1. संदर्भ सेटअप (कुंजी पीढ़ी सहित)
# CKKS योजना का उपयोग करें, और बहुपद की डिग्री को 8192 पर सेट करें
context = ts.context(
 ts.SCHEME_TYPE.CKKS,
 poly_modulus_degree=8192,
 coeff_mod_bit_sizes=[60, 40, 40, 60]
)
context.generate_galois_keys()
context.global_scale = 2**40 # वास्तविक संख्याओं के लिए स्केलिंग कारक

# 2. क्लाइंट पक्ष: डेटा एन्क्रिप्शन
vector1 = [1.5, 2.5, 3.5]
vector2 = [2.0, 3.0, 4.0]

# प्लेनटेक्स्ट वेक्टर को सिफरटेक्स्ट में बदलें (मूल रूप से क्लाइंट साइड पर निष्पादित)
enc_v1 = ts.ckks_vector(context, vector1)
enc_v2 = ts.ckks_vector(context, vector2)

# 3. सर्वर पक्ष: एन्क्रिप्टेड अवस्था में गणना (Data in Use की सुरक्षा)
# सर्वर प्लेनटेक्स्ट को नहीं जानता है, लेकिन जोड़ और गुणा कर सकता है
enc_add = enc_v1 + enc_v2
enc_mul = enc_v1 * enc_v2

# 4. क्लाइंट पक्ष: परिणाम डिक्रिप्शन
# केवल निजी कुंजी वाला क्लाइंट ही परिणाम देख सकता है
res_add = enc_add.decrypt()
res_mul = enc_mul.decrypt()

print(f"डिक्रिप्टेड जोड़ परिणाम: {res_add}")
# आउटपुट उदाहरण: [3.5000001, 5.5000001, 7.5000002] (अनुमानित गणना के कारण छोटी त्रुटियां शामिल हैं)

print(f"डिक्रिप्टेड गुणा परिणाम: {res_mul}")
# आउटपुट उदाहरण: [3.0000002, 7.5000005, 14.0000003]

जैसा कि आप उपरोक्त कोड से देख सकते हैं, आप enc_v1 + enc_v2 जैसे नियमित पायथन ऑपरेटरों को ओवरलोड कर सकते हैं, जिससे आप सहज रूप से सिफरटेक्स्ट के बीच गणना लिख सकते हैं। सर्वर पक्ष पर, वेक्टर गणना वेक्टर की सामग्री को जाने बिना पूरी हो जाती है।

7. FHE की चुनौतियाँ: प्रदर्शन और हार्डवेयर त्वरण (Hardware Acceleration)

यद्यपि FHE सैद्धांतिक रूप से पूर्ण सुरक्षा प्रदान करता है, व्यावहारिक अनुप्रयोग में सबसे बड़ी चुनौती “प्रदर्शन ओवरहेड (Performance Overhead)” है।

कम्प्यूटेशनल ओवरहेड: प्लेनटेक्स्ट में गणना की तुलना में, सीपीयू पर सिफरटेक्स्ट में गणना हजारों से दसियों हजार गुना धीमी होती है। बहुपद गुणा और बूटस्ट्रैपिंग के लिए भारी मात्रा में FFT (फास्ट फूरियर ट्रांसफॉर्म) और NTT (नंबर थ्योरेटिक ट्रांसफॉर्म) गणनाओं की आवश्यकता होती है।
डेटा आकार का विस्तार (Ciphertext Expansion): कुछ बाइट्स का प्लेनटेक्स्ट एन्क्रिप्ट होने पर कई मेगाबाइट का हो सकता है। यह मेमोरी बैंडविड्थ और नेटवर्क बैंडविड्थ पर बहुत अधिक दबाव डालता है।

हार्डवेयर-आधारित समाधान का दृष्टिकोण

इस ओवरहेड को दूर करने के लिए, दुनिया भर में FHE-विशिष्ट हार्डवेयर त्वरक (ASIC, FPGA, GPU समर्थन) विकसित किए जा रहे हैं।

GPU त्वरण (GPU Acceleration): NVIDIA जैसे शक्तिशाली GPU का उपयोग करके NTT गणनाओं और बूटस्ट्रैपिंग को समानांतर करने के प्रयास चल रहे हैं, जिसमें सॉफ्टवेयर कार्यान्वयन की तुलना में दसियों गुना गति में वृद्धि की सूचना है (उदाहरण: 100x.ai, Zama का TFHE-rs CUDA बैकएंड)।
DARPA DPRIVE प्रोजेक्ट: US डिफेंस एडवांस्ड रिसर्च प्रोजेक्ट्स एजेंसी (DARPA) “DPRIVE (Data Protection in Virtual Environments)” नामक एक समर्पित हार्डवेयर विकास परियोजना चला रही है, जिसका उद्देश्य FHE की गणना गति को प्लेनटेक्स्ट प्रोसेसिंग गति (10 गुना के ओवरहेड के भीतर) के बराबर स्तर तक बढ़ाना है, जिसमें इंटेल (Intel), माइक्रोसॉफ्ट (Microsoft), और इंटेलेक्चुअल वेंचर्स (Intellectual Ventures) भाग ले रहे हैं।
FPU (FHE Processing Unit) का आगमन: कॉर्नमी (Cornami) और ऑप्टालिसिस (Optalysys) जैसे स्टार्टअप ऑप्टिकल कंप्यूटिंग और विशेष सिलिकॉन आर्किटेक्चर का उपयोग करके समर्पित FHE चिप्स विकसित कर रहे हैं।

निकट भविष्य में, ऐसा समय आ सकता है जब AI में NPU (Neural Processing Unit) की तरह सर्वर और क्लाउड इन्फ्रास्ट्रक्चर में “FPU” मानक उपकरण के रूप में स्थापित हो जाएंगे।

8. अपेक्षित उपयोग के मामले (Expected Use Cases)

अब जब FHE व्यावहारिक गति तक पहुँच रहा है, तो निम्नलिखित क्षेत्रों में विनाशकारी नवाचारों (disruptive innovations) की उम्मीद है:

चिकित्सा और जीनोमिक विश्लेषण में गोपनीयता संरक्षण: विभिन्न अस्पतालों से रोगियों के मेडिकल रिकॉर्ड और डीएनए डेटा को FHE का उपयोग करके एन्क्रिप्टेड अवस्था में क्लाउड AI द्वारा प्रशिक्षित किया जा सकता है, जो गोपनीयता कानूनों (जैसे HIPAA और GDPR) का उल्लंघन किए बिना अत्यधिक सटीक कैंसर निदान मॉडल और नई दवा के विकास को सक्षम करता है।
वित्तीय संस्थानों में धोखाधड़ी का पता लगाना और एंटी-मनी लॉन्ड्रिंग (AML): प्रतिस्पर्धी बैंक ग्राहकों के खाते की जानकारी और लेन-देन के इतिहास को प्रकट किए बिना, एन्क्रिप्टेड अवस्था में एक-दूसरे के डेटा को क्रॉस-चेक कर सकते हैं, जिससे विशाल धन शोधन नेटवर्क का पता लगाने के लिए क्रॉस-बैंक विश्लेषण संभव हो जाता है।
सुरक्षित AI अनुमान API (MaaS: Model as a Service): उपयोगकर्ता अपनी आवाज़, चेहरे की छवियों और संकेतों (prompts) को एन्क्रिप्ट कर सकते हैं और उन्हें AI सेवाओं (जैसे कि ChatGPT जैसे LLM) में भेज सकते हैं। AI प्रदाता उपयोगकर्ता के इनपुट को जाने बिना उत्तर उत्पन्न करते हैं और इसे सिफरटेक्स्ट के रूप में वापस करते हैं। यह “AI द्वारा व्यक्तिगत जानकारी सीखने या झाँकने” की चिंताओं को पूरी तरह से दूर करता है।

9. निष्कर्ष: क्रिप्टोग्राफी का भविष्य “अदृश्य गणना (Invisible Computing)” की ओर

जिस तरह 1970 के दशक में सार्वजनिक कुंजी एन्क्रिप्शन (RSA) के आविष्कार ने इंटरनेट पर सुरक्षित संचार (जैसे HTTPS) को संभव बनाया, उसी तरह क्रेग जेंट्री द्वारा FHE का आविष्कार क्रिप्टोग्राफी के इतिहास में सबसे महत्वपूर्ण मील के पत्थरों में से एक है।

वर्तमान में, पूर्ण समरूप एन्क्रिप्शन (FHE) प्रयोगशाला के सिद्धांत से बाहर आ गया है और ऐसे चरण में प्रवेश कर गया है जहां Microsoft, IBM, Intel, Google और कई स्टार्टअप इसे व्यावहारिक बनाने के लिए प्रतिस्पर्धा कर रहे हैं। हालांकि कम्प्यूटेशनल लागत और डेटा आकार की चुनौतियां अभी भी मौजूद हैं, एल्गोरिदम के शोधन और हार्डवेयर त्वरक के विकास के कारण, मूर के नियम (Moore’s Law) से अधिक गति से प्रदर्शन में सुधार जारी है।

कुछ ही वर्षों में, “एन्क्रिप्टेड रहने के दौरान डेटा की गणना करना” कोई विशेष बात नहीं होगी, बल्कि यह क्लाउड सेवाओं में एक मानक डेटा सुरक्षा सर्वोत्तम अभ्यास बन जाएगा। FHE अगली पीढ़ी की सुरक्षा का प्रमुख तत्व है, जो डेटा-संचालित समाज में परम गोपनीयता और डेटा उपयोग के बीच संतुलन को साकार करता है।