Security on kenji.blog

Intuisi Matematis Kriptografi Berbasis Kisi (Lattice-based cryptography)

Fri, 11 Sep 2026 21:00:00 +0900

1. Pendahuluan: Fajar Kriptografi Pasca-Kuantum (PQC) dan Bangkitnya Kriptografi Berbasis Kisi

Infrastruktur digital masyarakat modern saat ini ditopang oleh teknologi kriptografi kunci publik seperti kriptografi RSA dan kriptografi kurva eliptik (ECC). Metode kriptografi ini mendasarkan keamanannya pada kesulitan matematis seperti “masalah faktorisasi bilangan bulat” dan “masalah logaritma diskrit”, yang diyakini tidak dapat dipecahkan secara efisien (membutuhkan waktu eksponensial) oleh komputer klasik konvensional.

Namun, “Algoritma Shor” yang diterbitkan oleh Peter Shor pada tahun 1994, mengirimkan gelombang kejut ke dunia kriptografi. Algoritma ini secara matematis membuktikan bahwa ketika komputer kuantum skala besar terwujud, komputer tersebut akan dapat menyelesaikan masalah faktorisasi bilangan bulat dan masalah logaritma diskrit dalam waktu polinomial. Ini berarti bahwa kriptografi kunci publik yang digunakan secara luas saat ini akan dapat dipecahkan sepenuhnya di masa depan.

Untuk melawan “Ancaman Kuantum (Quantum Threat)” ini, penelitian tentang metode kriptografi baru yang sulit dipecahkan bahkan menggunakan komputer kuantum telah menjadi kebutuhan mendesak. Bidang ini disebut “Kriptografi Pasca-Kuantum (Post-Quantum Cryptography: PQC)”.

Ada beberapa kandidat kuat untuk PQC. Kriptografi berbasis hash, kriptografi berbasis kode, kriptografi polinomial multivariat, kriptografi isogeni, dan lain-lain dapat disebutkan, tetapi di antara semuanya, yang paling menarik perhatian saat ini dan menjadi pusat proses standardisasi PQC oleh NIST (Institut Standar dan Teknologi Nasional AS) adalah “Kriptografi berbasis kisi (Lattice-based cryptography)”. Dibandingkan dengan metode lain, kriptografi berbasis kisi memiliki fitur luar biasa bahwa kecepatan pemrosesan enkripsi dan dekripsi sangat cepat, dan juga memiliki bukti keamanan yang sangat kuat dalam teori kriptografi, yaitu reduksi dari “kompleksitas kasus terburuk (Worst-case complexity)” ke “kompleksitas kasus rata-rata (Average-case complexity)”.

Dalam artikel ini, kita akan memulai dari definisi matematis “Kisi (Lattice)” yang menjadi dasar kriptografi berbasis kisi ini, dan membahas secara mendalam tentang masalah-masalah sulit di atas kisi seperti SVP (Masalah Vektor Terpendek) dan CVP (Masalah Vektor Terdekat), serta “Masalah LWE (Learning With Errors)” yang dapat dikatakan sebagai jantung dari kriptografi berbasis kisi modern, disertai dengan rumus, intuisi geometris, dan contoh numerik konkret.

2. Definisi Matematis dan Intuisi Geometris dari Kisi (Lattice)

2.1 Ruang Vektor dan Kisi

Dalam matematika, “Kisi (Lattice)” adalah himpunan titik-titik diskrit yang tersusun secara teratur dalam ruang vektor real berdimensi-$n$ $\mathbb{R}^n$. Ini mirip dengan Ruang Vektor (Vector Space) yang dipelajari dalam aljabar linear, tetapi ada perbedaan krusial. Sementara ruang vektor adalah ruang kontinu yang direpresentasikan oleh kombinasi linear dari vektor-vektor basis dengan “koefisien bilangan real”, kisi adalah ruang diskrit yang direpresentasikan oleh kombinasi linear dari vektor-vektor basis dengan “koefisien bilangan bulat”.

Mari kita berikan definisi matematis yang ketat. Pertimbangkan $n$ buah ($n \le m$) vektor linear independen $\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n$ dalam ruang vektor real berdimensi-$m$ $\mathbb{R}^m$. Misalkan matriks yang memiliki vektor-vektor ini sebagai vektor kolom adalah $B = [\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n] \in \mathbb{R}^{m \times n}$. Kita menyebut $B$ ini sebagai “Basis” dari kisi.

Kisi $\mathcal{L}(B)$ yang dihasilkan oleh basis $B$ ini didefinisikan sebagai berikut:

$$ \mathcal{L}(B) = \left\{ \sum_{i=1}^{n} x_i \mathbf{b}_i \mathrel{\bigg|} x_i \in \mathbb{Z} \right\} = \{ B \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^n \} $$

Yang penting di sini adalah bahwa koefisien $x_i$ tidak dibatasi pada bilangan real $\mathbb{R}$, melainkan pada bilangan bulat $\mathbb{Z}$. Dengan ini, alih-alih titik kontinu tak terhingga yang ada di dalam ruang, terbentuklah “himpunan titik-titik diskrit” yang menyerupai persimpangan jaring yang disusun pada interval yang sama.

2.2 Citra Geometris

Mari kita pertimbangkan contoh bidang 2 dimensi $\mathbb{R}^2$. Jika kita memilih $\mathbf{b}_1 = \begin{pmatrix} 1 \\ 0 \end{pmatrix}$ dan $\mathbf{b}_2 = \begin{pmatrix} 0 \\ 1 \end{pmatrix}$ sebagai vektor basis, kisi yang dihasilkan oleh keduanya akan menjadi himpunan semua koordinat bilangan bulat $(x, y) \in \mathbb{Z}^2$ pada bidang koordinat. Ini adalah “kisi persegi” yang paling sederhana.

Namun, kisi tidak selalu ortogonal. Misalnya, jika kita mempertimbangkan basis $\mathbf{b}_1 = \begin{pmatrix} 2 \\ 1 \end{pmatrix}$ dan $\mathbf{b}_2 = \begin{pmatrix} 1 \\ 3 \end{pmatrix}$, titik-titik yang dihasilkan akan terlihat seperti persimpangan jaring yang miring.

2.3 Ketidakunikan Basis dan Transformasi Unimodular

Terdapat sifat penting yang berkaitan dengan akar keamanan kriptografi berbasis kisi. Yaitu, “ada jumlah tak terhingga basis yang menghasilkan kisi yang sama”.

Sebagai contoh, kisi $\mathbb{Z}^2$ yang dihasilkan oleh basis $\mathbf{b}_1 = (1, 0)^T, \mathbf{b}_2 = (0, 1)^T$ sebelumnya akan menghasilkan kisi $\mathbb{Z}^2$ yang sama persis bahkan jika kita menggunakan basis $\mathbf{b}'_1 = (1, 1)^T, \mathbf{b}'_2 = (2, 3)^T$.

Syarat perlu dan cukup agar suatu basis $B$ dan basis lain $B'$ menghasilkan kisi yang sama adalah adanya suatu matriks elemen bilangan bulat $U \in \mathbb{Z}^{n \times n}$, dengan determinan $\det(U) = \pm 1$, sehingga dapat direpresentasikan sebagai

$$ B' = B U $$

Matriks $U$ semacam itu disebut “Matriks unimodular (Unimodular matrix)”.

Ide dasar dalam penerapannya pada kriptografi adalah menggunakan “basis yang baik (basis yang mendekati ortogonal dan terdiri dari vektor-vektor pendek)” sebagai kunci privat, dan menggunakan “basis yang buruk (basis yang sangat miring satu sama lain dan terdiri dari vektor-vektor yang sangat panjang)” sebagai kunci publik. Mencari basis yang baik dari basis yang buruk melalui perhitungan menjadi sangat sulit ketika dimensinya tinggi. Inilah intuisi dasar dari kriptografi berbasis kisi.

3. Masalah Komputasi yang Sulit pada Kisi

Keamanan kriptografi berbasis kisi bergantung pada kesulitan memecahkan masalah matematis tertentu pada kisi. Di sini, kita akan memperkenalkan dua masalah yang paling mendasar dan terkenal.

3.1 Masalah Vektor Terpendek (Shortest Vector Problem: SVP)

SVP adalah masalah yang paling klasik dan terkenal dalam teori kisi.

Definisi (SVP): Diberikan sembarang basis kisi $B$, temukan vektor $\mathbf{v}$ dengan norma Euclidean (panjang) terkecil di antara vektor-vektor bukan nol yang termasuk dalam kisi $\mathcal{L}(B)$ tersebut.

Dinyatakan dalam rumus, ini adalah masalah mencari $\mathbf{v}$ sehingga $\min_{\mathbf{v} \in \mathcal{L}(B) \setminus \{\mathbf{0}\}} \| \mathbf{v} \|$. Panjang minimum ini ditulis sebagai $\lambda_1(\mathcal{L})$ dan disebut “Minimum berurutan pertama (First successive minimum) dari kisi”.

Dalam dimensi rendah seperti 2 atau 3 dimensi, jika Anda menggambar sebuah gambar, Anda dapat melihat dan menemukan vektor terpendek dengan mata. Atau, Anda dapat menyelesaikannya secara efisien menggunakan algoritma reduksi kisi Gauss. Namun, ketika dimensi $n$ menjadi dimensi tinggi seperti ratusan hingga ribuan, diketahui bahwa memecahkan SVP secara eksak adalah NP-hard.

Dalam kriptografi dunia nyata, alih-alih vektor terpendek eksak, SVP perkiraan ($\gamma$-SVP) yang menemukan “vektor yang secara perkiraan pendek” digunakan. Jika faktor perkiraan $\gamma$ berukuran polinomial, masalah ini masih dianggap sangat sulit.

3.2 Masalah Vektor Terdekat (Closest Vector Problem: CVP)

CVP juga merupakan masalah yang sangat penting dalam kriptografi berbasis kisi.

Definisi (CVP): Diberikan sembarang basis kisi $B$, dan sembarang vektor target $\mathbf{t} \in \mathbb{R}^m$ di dalam ruang (tidak harus titik kisi), temukan titik kisi $\mathbf{v} \in \mathcal{L}(B)$ di antara titik-titik kisi yang paling dekat dengan $\mathbf{t}$.

Dinyatakan dalam rumus, ini adalah masalah mencari titik kisi $\mathbf{v}$ sehingga $\min_{\mathbf{v} \in \mathcal{L}(B)} \| \mathbf{v} - \mathbf{t} \|$.

CVP juga bersifat NP-hard dalam dimensi tinggi, sama seperti SVP. Dari perspektif aplikasi untuk kriptografi, masalah LWE yang dijelaskan di bawah ini berkaitan erat dengan varian khusus dari CVP (Bounded Distance Decoding: BDD).

3.3 Mengapa Menjadi Tidak Dapat Dipecahkan Saat Dimensi Tinggi? (Keterbatasan LLL dan BKZ)

Sebagai algoritma terkenal untuk memecahkan masalah kisi berdimensi tinggi, terdapat algoritma LLL (Lenstra-Lenstra-Lovász algorithm). Algoritma LLL beroperasi dalam waktu polinomial dan dapat mereduksi (Reduction) basis kisi menjadi “basis yang baik” sampai tingkat tertentu. Namun, vektor terpendek yang dapat ditemukan oleh algoritma LLL memiliki faktor perkiraan yang eksponensial ($2^{\mathcal{O}(n)}$) terhadap panjang vektor terpendek yang sebenarnya, sehingga tidak mencapai tingkat di mana ia dapat merusak keamanan kriptografi.

Jika kita menggunakan algoritma reduksi basis yang lebih kuat seperti algoritma BKZ (Block Korkine-Zolotarev) yang merupakan peningkatan dari LLL, kita dapat menemukan vektor yang lebih pendek, tetapi kompleksitas komputasinya meningkat secara eksponensial sehubungan dengan ukuran blok. Dalam kriptografi berbasis kisi, parameter yang aman (seperti ukuran dimensi $n$) ditentukan dengan memperkirakan waktu eksekusi dari algoritma BKZ ini. Dalam parameter standar PQC saat ini, nilai 500 hingga 1000 atau lebih dipilih untuk dimensi $n$, dan dikatakan bahwa akan memakan waktu lebih lama daripada umur alam semesta untuk mendekripsinya, bahkan dengan superkomputer atau komputer kuantum di masa depan.

4. Formulasi Matematis dari Masalah LWE (Learning With Errors)

Sebagian besar kriptografi berbasis kisi modern didasarkan pada “Masalah LWE (Learning With Errors)” yang diusulkan oleh Oded Regev pada tahun 2005. Keindahan dari masalah LWE terletak pada kesederhanaan formulasinya, dan fakta bahwa ia memiliki bukti matematis yang kuat, yaitu “reduksi dari kompleksitas kasus terburuk ke kompleksitas kasus rata-rata”.

4.1 Sistem Persamaan Linear Tanpa Noise

Untuk memahami masalah LWE, pertama-tama mari kita pertimbangkan sistem persamaan linear sederhana tanpa noise. Misalkan ada vektor rahasia yang tidak diketahui $\mathbf{s} \in \mathbb{Z}_q^n$ (setiap komponen adalah bilangan bulat dari $0$ hingga $q-1$). Di sini $q$ adalah bilangan prima.

Kita memilih vektor koefisien acak $\mathbf{a}_1, \mathbf{a}_2, \dots \in \mathbb{Z}_q^n$, dan menghitung hasil kali titik dengan vektor rahasia $\mathbf{s}$ dalam modulo $q$. $b_1 = \langle \mathbf{a}_1, \mathbf{s} \rangle \pmod q$ $b_2 = \langle \mathbf{a}_2, \mathbf{s} \rangle \pmod q$ $\vdots$

Mengingat jumlah pasangan $(\mathbf{a}_i, b_i)$ yang cukup ($n$ atau lebih), kita dapat dengan mudah memulihkan vektor rahasia $\mathbf{s}$ dengan menggunakan “Eliminasi Gauss (Gaussian elimination)” dalam aljabar linear. Ini adalah masalah yang dapat dengan mudah diselesaikan dalam waktu polinomial.

4.2 Definisi Masalah LWE: Menambahkan Noise

Lalu, apa yang terjadi jika kita menambahkan sedikit “noise (kesalahan)” pada masalah ini? Inilah esensi dari masalah LWE.

Untuk vektor rahasia yang tidak diketahui $\mathbf{s} \in \mathbb{Z}_q^n$, kita menambahkan kesalahan kecil $e_i \in \mathbb{Z}_q$ ke hasil setiap persamaan. $b_i = \langle \mathbf{a}_i, \mathbf{s} \rangle + e_i \pmod q$

Di sini, $e_i$ adalah nilai bilangan bulat kecil dengan rata-rata 0 dan standar deviasi yang relatif kecil (misalnya, dipilih dari distribusi Gaussian diskrit, seperti distribusi normal). Informasi yang diberikan adalah daftar pasangan vektor acak $\mathbf{a}_i$ dan $b_i$ yang dihitung dengan menambahkan kesalahan padanya. $( \mathbf{a}_1, b_1 ), ( \mathbf{a}_2, b_2 ), \dots, ( \mathbf{a}_m, b_m )$

Jika kita merepresentasikan ini dengan matriks, ini menjadi sangat rapi. Menggunakan matriks acak $A \in \mathbb{Z}_q^{m \times n}$, vektor rahasia $\mathbf{s} \in \mathbb{Z}_q^n$, dan vektor kesalahan $\mathbf{e} \in \mathbb{Z}_q^m$,

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q $$

dapat ditulis seperti di atas. Yang diberikan hanyalah $A$ dan $\mathbf{b}$. Mencari $\mathbf{s}$ dari sini adalah “Masalah pencarian LWE (Search LWE problem)”.

Karena terdapat kesalahan $e_i$, jika kita mencoba menggunakan eliminasi Gauss, kesalahan akan diperkuat secara eksponensial dalam proses penambahan dan pengurangan persamaan, sehingga mustahil untuk mencapai jawaban yang benar. Pada pandangan pertama, ini terlihat seperti sistem persamaan linear yang sederhana, tetapi hanya dengan menambahkan noise kecil ini, tingkat kesulitan masalah melompat ke tingkat NP-hard.

4.3 Masalah Keputusan LWE (Decision LWE)

Yang sering digunakan dalam pembuktian teori kriptografi adalah variasi dari masalah pencarian LWE, yaitu “Masalah keputusan LWE (Decision LWE problem)”.

Masalah keputusan LWE adalah masalah di mana, diberikan daftar sampel yang diperoleh dari salah satu dari dua distribusi berikut, kita harus menentukan dari distribusi mana sampel tersebut berasal.

Distribusi LWE: Secara sengaja dihitung $(A, \mathbf{b} = A\mathbf{s} + \mathbf{e} \pmod q)$
Distribusi acak seragam: Sepasang $(A, \mathbf{u})$ yang terdiri dari matriks $A$ dan vektor $\mathbf{u}$ yang dipilih secara acak sepenuhnya.

Hebatnya, jika parameter masalah LWE dipilih dengan tepat, pasangan data yang diperoleh dari distribusi LWE menjadi “secara komputasi tidak dapat dibedakan (Computationally Indistinguishable)” dari pasangan data yang sepenuhnya acak. Sifat inilah yang menjadi dasar bagi kriptografi berbasis LWE untuk dapat menghasilkan “teks sandi (ciphertext) yang tidak dapat dibedakan dari angka acak”.

4.4 Reduksi dari Kompleksitas Kasus Terburuk ke Kasus Rata-rata (Teorema Regev)

Pencapaian terbesar Oded Regev adalah menghubungkan kesulitan masalah LWE ini secara matematis dengan kesulitan masalah kisi yang disebutkan sebelumnya (SVP dan CVP).

Menggunakan reduksi kuantum (Quantum reduction), ia membuktikan bahwa “Jika ada algoritma waktu polinomial yang dapat menyelesaikan masalah LWE secara rata-rata (untuk $A$ dan $\mathbf{e}$ yang dipilih secara acak), maka ada algoritma kuantum waktu polinomial yang dapat menyelesaikan Gap-SVP kasus terburuk (kasus paling sulit) untuk sembarang kisi”. (Belakangan, reduksi klasik juga ditunjukkan oleh Peikert dkk.).

Ini adalah sifat yang diimpikan dalam teori kriptografi. Karena ini menghilangkan kekhawatiran bahwa “kriptografi mungkin dapat dipecahkan karena kita kebetulan memilih kunci yang lemah (bagian dari kasus rata-rata)”, dan memberikan jaminan kuat bahwa “jika LWE rata-rata dapat dipecahkan, semua masalah sulit dari kisi dapat dipecahkan (sehingga LWE mutlak sulit)”.

graph TD A["Masalah Kisi Kasus Terburuk (Gap-SVP, SIVP)"] -->|Reduksi Kuantum/Klasik| B["Masalah LWE Kasus Rata-rata"] B -->|Konstruksi Kriptografi| C["Kriptosistem berbasis LWE (PKE, KEM, FHE)"] style A fill:#ffcccc,stroke:#ff0000,stroke-width:2px,color:#000 style B fill:#ccffcc,stroke:#00aa00,stroke-width:2px,color:#000 style C fill:#ccccff,stroke:#0000ff,stroke-width:2px,color:#000

5. Konstruksi Kriptografi Kunci Publik menggunakan LWE (Kriptografi Regev)

Setelah memahami kesulitan masalah LWE, mari kita lihat skema kriptografi kunci publik dasar yang diusulkan oleh Oded Regev tentang bagaimana menggunakannya untuk enkripsi dan dekripsi. Di sini, kita akan menjelaskan mekanisme paling dasar untuk mengenkripsi pesan 1-bit $M \in \{0, 1\}$.

5.1 Pembuatan Kunci (Key Generation)

Sebagai parameter sistem, kita tentukan bilangan prima $q$ yang menjadi modulo, dimensi $n$, dan jumlah persamaan $m$ ($m > n \log q$).
Sebagai kunci privat, pilih secara acak vektor $\mathbf{s} \in \mathbb{Z}_q^n$.
Hasilkan matriks acak $A \in \mathbb{Z}_q^{m \times n}$.
Pilih vektor kesalahan kecil $\mathbf{e} \in \mathbb{Z}_q^m$ dari distribusi kesalahan seperti distribusi Gaussian diskrit.
Hitung vektor $\mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q$.
Kunci publik (Public Key) adalah $(A, \mathbf{b})$.
Kunci privat (Secret Key) adalah $\mathbf{s}$.

Kunci publik persis merupakan “instansiasi dari masalah LWE” itu sendiri. Menemukan kunci privat $\mathbf{s}$ dari kunci publik $(A, \mathbf{b})$ sama dengan memecahkan masalah pencarian LWE, sehingga keamanannya terjamin.

5.2 Enkripsi (Encryption)

Alice menggunakan kunci publik Bob $(A, \mathbf{b})$ untuk mengenkripsi pesan 1-bit $M \in \{0, 1\}$.

Pilih vektor biner acak (komponennya adalah 0 atau 1) $\mathbf{r} \in \{0, 1\}^m$.
Sebagai paruh pertama dari teks sandi, hitung vektor $\mathbf{u} = A^T \mathbf{r} \pmod q$. ($A^T$ adalah matriks transpose dari $A$. Dengan kata lain, ia menjumlahkan baris-baris dari $A$ di mana komponen dari $\mathbf{r}$ adalah 1).
Sebagai paruh kedua dari teks sandi, hitung skalar $v = \mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q$. (Jika pesan $M$ adalah 0, tidak ditambahkan apa-apa, dan jika $1$, ditambahkan persis setengah dari nilai $q$, yaitu $\lfloor \frac{q}{2} \rfloor$).
Teks sandi (Ciphertext) adalah $(\mathbf{u}, v)$.

Makna intuitif dari enkripsi adalah mengambil “jumlah subset acak” sehubungan dengan matriks kunci publik $A$ dan vektor $\mathbf{b}$. Karena kesulitan masalah keputusan LWE, teks sandi $(\mathbf{u}, v)$ ini tampak tidak dapat dibedakan dari vektor acak sepenuhnya dan bilangan acak seragam (Keamanan semantik: Semantic Security).

flowchart LR M["Pesan M dalam {0,1}"] --> Enc PK["Kunci Publik (A, b)"] --> Enc r["Vektor biner acak r"] --> Enc subgraph Enc ["Proses Enkripsi"] direction TB u_calc["u = A^T * r mod q"] v_calc["v = b^T * r + M * floor(q/2) mod q"] end Enc --> CT["Teks Sandi (u, v)"]

5.3 Dekripsi (Decryption)

Bob mendekripsi teks sandi $(\mathbf{u}, v)$ menggunakan kunci privat $\mathbf{s}$.

Hitung nilai berikut: $D = v - \mathbf{s}^T \mathbf{u} \pmod q$
Jika hasil perhitungan mendekati $0$, keluarkan $M=0$, jika mendekati $\lfloor \frac{q}{2} \rfloor$, keluarkan $M=1$.

Mari kita jabarkan secara matematis mengapa ini dapat didekripsi. Ingatlah bahwa $\mathbf{b} = A \mathbf{s} + \mathbf{e}$.

$$ \begin{aligned} v - \mathbf{s}^T \mathbf{u} &= (\mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T (A^T \mathbf{r}) \\ &= ((A \mathbf{s} + \mathbf{e})^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= (\mathbf{s}^T A^T \mathbf{r} + \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q \end{aligned} $$

Di sini, dari rumus tersebut, $\mathbf{s}^T A^T \mathbf{r}$ saling meniadakan dengan rapi dan menghilang! Yang tersisa adalah $\mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor$.

$\mathbf{e}$ adalah vektor noise dengan komponen yang sangat kecil, dan $\mathbf{r}$ adalah vektor biner dengan komponen 0 atau 1. Oleh karena itu, hasil kali titik dari keduanya, $\mathbf{e}^T \mathbf{r}$, juga (jika parameter dipilih dengan benar) tetap merupakan nilai yang relatif kecil.

Jika $M=0$, hasilnya menjadi $\mathbf{e}^T \mathbf{r}$, yang merupakan nilai kecil mendekati $0$.
Jika $M=1$, hasilnya menjadi $\mathbf{e}^T \mathbf{r} + \lfloor \frac{q}{2} \rfloor$, yang terletak di sekitar nilai setengah dari $q$, yaitu $\lfloor \frac{q}{2} \rfloor$.

Jika parameter dirancang sedemikian rupa sehingga nilai absolut dari kesalahan $\mathbf{e}^T \mathbf{r}$ berada di bawah $\frac{q}{4}$, Bob dapat menentukan (mendekripsi) pesan $M$ secara akurat hanya dengan melihat apakah hasil perhitungan lebih dekat ke $0$ atau ke $\lfloor \frac{q}{2} \rfloor$. Ini adalah mekanisme indah di mana kriptografi berbasis LWE bekerja.

flowchart LR CT["Teks Sandi (u, v)"] --> Dec SK["Kunci Privat s"] --> Dec subgraph Dec ["Proses Dekripsi"] direction TB calc["Hitung D = v - s^T * u mod q"] check["Periksa apakah D lebih dekat ke 0 atau q/2"] end calc --> check Dec --> M_out["Pesan M yang Dipulihkan"]

6. Contoh Mainan (Toy Example) dari Kriptografi LWE dengan Nilai Numerik Spesifik

Saya pikir sulit untuk merasakan hanya dengan deretan rumus, jadi mari kita benar-benar mengatur parameter numerik yang sangat kecil dan mengikuti perhitungan dari enkripsi hingga dekripsi. (※ Dalam sistem kriptografi dunia nyata, untuk memastikan keamanan, nilai 500 atau lebih digunakan untuk $n$, dan ribuan atau lebih digunakan untuk $q$)

[Pengaturan Parameter]

Modulo $q = 17$ (Bilangan prima. Oleh karena itu, nilainya berkisar dari $0$ hingga $16$)
Dimensi $n = 2$
Jumlah persamaan $m = 4$
Misalkan kita mengenkripsi pesan $M = 1$.
Jumlah pergeseran pesan: $\lfloor \frac{q}{2} \rfloor = \lfloor \frac{17}{2} \rfloor = 8$

[1. Fase Pembuatan Kunci] Bob memilih kunci privat $\mathbf{s}$, matriks $A$, dan vektor kesalahan $\mathbf{e}$ secara acak.

$$ \mathbf{s} = \begin{pmatrix} 3 \\ 4 \end{pmatrix} \in \mathbb{Z}_{17}^2 $$ $$ A = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \in \mathbb{Z}_{17}^{4 \times 2} $$ $$ \mathbf{e} = \begin{pmatrix} 1 \\ -1 \\ 0 \\ 2 \end{pmatrix} \equiv \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} \pmod{17} $$

Selanjutnya kita hitung kunci publik $\mathbf{b}$.

$$ A \mathbf{s} = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \begin{pmatrix} 3 \\ 4 \end{pmatrix} = \begin{pmatrix} 2\times 3 + 15\times 4 \\ 1\times 3 + 8\times 4 \\ 14\times 3 + 5\times 4 \\ 9\times 3 + 10\times 4 \end{pmatrix} = \begin{pmatrix} 6 + 60 \\ 3 + 32 \\ 42 + 20 \\ 27 + 40 \end{pmatrix} = \begin{pmatrix} 66 \\ 35 \\ 62 \\ 67 \end{pmatrix} $$

Kita hitung ini dalam modulo 17. ($66 = 17 \times 3 + 15$, dst.)

$$ A \mathbf{s} \pmod{17} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} $$

Tambahkan vektor kesalahan $\mathbf{e}$.

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} + \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} = \begin{pmatrix} 16 \\ 17 \\ 11 \\ 18 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 0 \\ 11 \\ 1 \end{pmatrix} \pmod{17} $$

Kunci publiknya adalah $A$ dan $\mathbf{b} = (16, 0, 11, 1)^T$.

[2. Fase Enkripsi] Alice mengenkripsi pesan $M = 1$. Pilih vektor acak $\mathbf{r}$. Di sini kita tetapkan $\mathbf{r} = (1, 0, 1, 0)^T$.

Hitung $\mathbf{u}$.

$$ \mathbf{u} = A^T \mathbf{r} = \begin{pmatrix} 2 & 1 & 14 & 9 \\ 15 & 8 & 5 & 10 \end{pmatrix} \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = \begin{pmatrix} 2 \times 1 + 14 \times 1 \\ 15 \times 1 + 5 \times 1 \end{pmatrix} = \begin{pmatrix} 16 \\ 20 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 3 \end{pmatrix} \pmod{17} $$

Hitung $v$.

$$ \mathbf{b}^T \mathbf{r} = (16, 0, 11, 1) \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = 16 \times 1 + 11 \times 1 = 27 \equiv 10 \pmod{17} $$

Tambahkan nilai $\lfloor 17/2 \rfloor = 8$ yang sesuai dengan pesan $M=1$.

$$ v = \mathbf{b}^T \mathbf{r} + M \cdot 8 = 10 + 1 \times 8 = 18 \equiv 1 \pmod{17} $$

Alice mengirimkan teks sandi $(\mathbf{u}, v) = \left( \begin{pmatrix} 16 \\ 3 \end{pmatrix}, 1 \right)$ kepada Bob.

[3. Fase Dekripsi] Menerima teks sandi, Bob mendekripsinya menggunakan kunci privat $\mathbf{s} = (3, 4)^T$. Rumus proses dekripsi: Hitung $D = v - \mathbf{s}^T \mathbf{u} \pmod{17}$.

$$ \mathbf{s}^T \mathbf{u} = (3, 4) \begin{pmatrix} 16 \\ 3 \end{pmatrix} = 3 \times 16 + 4 \times 3 = 48 + 12 = 60 \equiv 9 \pmod{17} $$ $$ D = v - \mathbf{s}^T \mathbf{u} = 1 - 9 = -8 \pmod{17} $$

Di sini, di dunia modulo 17, $-8$ sama dengan $9$ ($-8 + 17 = 9$). Tentukan apakah nilai $D = 9$ yang diperoleh lebih dekat ke $0$ atau $8$ ($\lfloor 17/2 \rfloor$). Karena $9$ jelas lebih dekat ke $8$ daripada ke $0$, Bob berhasil memulihkan $M = 1$ dengan benar!

Mengapa menjadi $9$? Mari kita ingat kembali pembuktian sebelumnya. Bagian kesalahan adalah $\mathbf{e}^T \mathbf{r} = (1, -1, 0, 2) (1, 0, 1, 0)^T = 1 \times 1 + 0 \times 1 = 1$. Oleh karena itu, hasil perhitungannya adalah $\mathbf{e}^T \mathbf{r} + M \cdot 8 = 1 + 8 = 9$, dan dapat dipastikan bahwa nilai sesuai dengan teori telah dihitung.

7. Evolusi Menuju Penerapan Praktis: Ring-LWE dan Module-LWE

Masalah LWE standar (Standard LWE) yang dijelaskan sejauh ini memiliki bukti keamanan yang sangat kuat, tetapi memiliki kelemahan fatal dalam penggunaan praktis. Yaitu “ukuran kunci menjadi raksasa” dan “biaya komputasi tinggi”.

Dalam Standard LWE, kunci publik berisi matriks raksasa $A \in \mathbb{Z}_q^{m \times n}$. Ketika parameter $n$ menjadi ratusan hingga ribuan, ukuran matriks ini mencapai beberapa megabyte, sehingga terlalu berat untuk dikirim dan diterima setiap saat dalam protokol komunikasi di internet (seperti TLS). Selain itu, perkalian matriks dan vektor membutuhkan kompleksitas komputasi sebesar $\mathcal{O}(n^2)$.

Untuk mengatasi masalah ini, diperkenalkanlah “Ring-LWE (RLWE)” dan “Module-LWE (MLWE)”, yang memasukkan struktur aljabar yang disebut cincin polinomial (Polynomial rings) ke dalam kisi.

7.1 Intuisi dari Ring-LWE

Dalam Ring-LWE, vektor dan matriks digantikan dengan elemen (polinomial) pada cincin polinomial $\mathcal{R}_q = \mathbb{Z}_q[X]/(X^n + 1)$. (Di sini $n$ dipilih sebagai pangkat 2).

Sementara kunci publik dari Standard LWE adalah matriks $A$, Ring-LWE menggunakan polinomial tunggal $a(x)$. Kunci privat $s(x)$ dan kesalahan $e(x)$ juga menjadi polinomial. Persamaannya menjadi sebagai berikut:

$$ b(x) = a(x) \cdot s(x) + e(x) \pmod q $$

Karena ini adalah perkalian polinomial, dengan menggunakan “Number Theoretic Transform (NTT)”, yang mirip dengan Fast Fourier Transform (FFT), kompleksitas komputasi dapat dikurangi secara dramatis menjadi $\mathcal{O}(n \log n)$. Lebih jauh lagi, karena ukuran kunci publik juga berkurang dari matriks menjadi polinomial tunggal, ukuran data berkurang menjadi $\mathcal{O}(n)$. Ini memberikan keuntungan yang luar biasa dalam bandwidth komunikasi.

Secara matematis, Ring-LWE bukan direduksi menjadi masalah pada kisi umum, melainkan pada kisi dengan simetri khusus yang disebut “Kisi Ideal (Ideal Lattice)”.

7.2 Module-LWE dan Standardisasi NIST (Kyber / ML-KEM)

Meskipun Ring-LWE efisien, ada sedikit kekhawatiran bahwa struktur aljabar khusus dari kisi ideal dapat menjadi petunjuk untuk serangan di masa depan. Oleh karena itu, “Module-LWE (MLWE)” mengambil “yang terbaik dari kedua dunia” dari keamanan konservatif Standard LWE dan efisiensi Ring-LWE.

Dalam Module-LWE, kita mempertimbangkan matriks kecil dan vektor yang elemennya adalah polinomial. Dengan kata lain, kita menangani modul di atas cincin. Saat ini, “CRYSTALS-Kyber” (nama standar: ML-KEM), yang dipilih oleh NIST sebagai standar untuk algoritma enkapsulasi kunci (KEM) PQC, dibangun tepat di atas kesulitan masalah Module-LWE ini.

8. Mengapa Ini Aman Terhadap Komputer Kuantum?

Terakhir, mari kita sentuh bagian inti dari “Mengapa kriptografi berbasis kisi diyakini tidak dapat dipecahkan bahkan menggunakan komputer kuantum?”.

Algoritma Shor, yang digunakan komputer kuantum untuk memecahkan kriptografi RSA dan kriptografi kurva eliptik, pada dasarnya adalah algoritma untuk memecahkan “Masalah Subgrup Tersembunyi (Hidden Subgroup Problem: HSP)”. Struktur matematika di balik RSA dan ECC (grup Abelian hingga) memiliki periodisitas, dan dengan menggunakan operasi yang unik untuk algoritma kuantum yang disebut Transformasi Fourier Kuantum (Quantum Fourier Transform: QFT), periode ini (subgrup tersembunyi) dapat diekstraksi sekaligus.

Namun, masalah kisi pada dasarnya berbeda. Meskipun kisi juga memiliki periodisitas, apa yang dicari dalam SVP dan CVP adalah sifat geometris non-linear seperti “jarak terpendek” dan “penghilangan noise”. Bahkan jika “transformasi Fourier kuantum pada grup Abelian” seperti algoritma Shor diterapkan secara langsung, informasi berguna yang merupakan jawaban dari masalah kisi tidak dapat diekstraksi secara efisien. Hingga saat ini, tidak ada algoritma kuantum yang dapat memecahkan SVP dan LWE dalam waktu polinomial yang telah ditemukan, dan diyakini secara luas bahwa bahkan dengan kekuatan komputasi paralel dari komputer kuantum, satu-satunya metode yang efektif hanyalah pencarian yang mendekati brute force (percepatan akar kuadrat oleh algoritma Grover).

9. Kesimpulan

Dalam artikel ini, kami telah menjelaskan secara rinci tentang intuisi matematis kriptografi berbasis kisi, mulai dari definisi geometris kisi, formulasi masalah LWE, dan menuju konstruksi kriptografi kunci publik.

Kisi (Lattice) adalah ruang diskrit yang direpresentasikan oleh kombinasi linear koefisien bilangan bulat dari vektor basis, dan dalam dimensi tinggi menjadi sulit untuk menemukan “basis yang baik” yang mendekati ortogonal (SVP).
Masalah LWE (Learning With Errors) adalah masalah memecahkan sistem persamaan linear dengan noise, dan karena ini terkait dengan kesulitan masalah kasus terburuk pada kisi, ini memberikan bukti keamanan yang kuat.
Dengan menggunakan masalah LWE, enkripsi dan dekripsi (Kriptografi Regev) direalisasikan oleh mekanisme cerdik yang secara sengaja menambahkan atau menghapus noise.
Dalam protokol dunia nyata, untuk meningkatkan efisiensi komunikasi dan kecepatan komputasi, Ring-LWE dan Module-LWE yang menggunakan cincin polinomial diadopsi, dan ini menjadi fondasi ML-KEM yang merupakan standar NIST.

Di tengah pergeseran paradigma komputasi yang belum pernah terjadi sebelumnya yang disebut komputer kuantum, sangatlah romantis bahwa “Kriptografi berbasis kisi”, yang lahir dari kedalaman aljabar linear klasik dan teori bilangan, akan memikul fondasi keamanan internet masa depan. Matematika yang menjadi dasar kriptografi berbasis kisi sama sekali tidak terlalu sulit untuk dipahami, dan dengan pengetahuan dasar tentang aljabar linear dan probabilitas, struktur indahnya dapat dipahami dengan baik. Kami berharap artikel ini dapat membantu Anda dalam memahami kriptografi berbasis kisi, yang merupakan inti dari PQC.

Mekanisme Zero-Knowledge Proof (ZKP) dan Aplikasinya pada Web3 serta Keamanan Terkini

Fri, 11 Sep 2026 19:00:00 +0900

Pendahuluan

Dalam masyarakat digital modern, privasi data dan skalabilitas menjadi dua tantangan yang paling penting. Di tengah meningkatnya risiko kebocoran dan penyalahgunaan informasi pribadi, ada kebutuhan yang kuat akan teknologi yang memungkinkan seseorang untuk “membuktikan bahwa mereka memiliki suatu informasi tanpa mengungkapkan informasi itu sendiri kepada pihak lain”. Hal ini diwujudkan oleh Zero-Knowledge Proof (ZKP) atau Bukti Tanpa Pengetahuan.

Zero-Knowledge Proof adalah konsep teori kriptografi yang pertama kali diusulkan pada tahun 1980-an oleh Shafi Goldwasser, Silvio Micali, dan Charles Rackoff, namun untuk waktu yang lama hanya sebatas penelitian teoretis. Akan tetapi, dengan munculnya teknologi blockchain dan Web3, situasinya berubah drastis. ZKP kini mendapat sorotan sebagai “tongkat ajaib” yang mampu menyelesaikan sekaligus masalah skalabilitas (batas kapasitas pemrosesan) dan masalah privasi (semua transaksi bersifat publik) yang dihadapi oleh blockchain publik seperti Ethereum.

Dalam artikel ini, kami akan menjelaskan secara sangat terperinci dan mendalam dari sudut pandang teknis, mulai dari konsep dasar Zero-Knowledge Proof, mekanisme matematis dan kriptografis yang mendalam dari zk-SNARKs dan zk-STARKs yang saat ini menjadi arus utama, hingga contoh aplikasi terkininya pada Web3 dan keamanan seperti ZK-Rollups dan Identitas Terdesentralisasi (DID).

Apa itu Zero-Knowledge Proof (ZKP)?

Zero-Knowledge Proof (ZKP) mengacu pada protokol di mana saat seorang Pembuktian (Prover) membuktikan kepada seorang Pemverifikasi (Verifier) bahwa suatu proposisi adalah benar, “tidak ada informasi lain yang disampaikan selain fakta bahwa proposisi tersebut benar”.

3 Syarat yang Harus Dipenuhi ZKP

Agar suatu protokol dapat disebut sebagai ZKP, ia harus memenuhi tiga karakteristik berikut secara ketat:

Kelengkapan (Completeness) Jika proposisi itu benar, dan baik pembukti maupun pemverifikasi mengikuti protokol dengan benar, maka pemverifikasi harus menerima (Accept) bukti tersebut dengan probabilitas yang sangat tinggi.
Kekukuhan (Soundness) Jika proposisi itu salah, seberapa tinggi pun kemampuan komputasi pembukti yang berniat jahat, tidak mungkin (kecuali dengan probabilitas yang sangat kecil sehingga dapat diabaikan) bagi mereka untuk menipu pemverifikasi agar menerima bukti tersebut.
Sifat Tanpa Pengetahuan (Zero-Knowledge) Jika proposisi itu benar, pemverifikasi tidak dapat memperoleh informasi apa pun dari proses pembuktian selain fakta bahwa “proposisi itu benar”. Dari sudut pandang pemverifikasi, ini dibuktikan oleh definisi matematis yang menyatakan bahwa proses pembuktian dapat disimulasikan (terdapat sebuah simulator).

Bukti Interaktif dan Bukti Non-Interaktif

Dalam ZKP, terdapat dua jenis: Bukti Interaktif di mana pembukti dan pemverifikasi berkomunikasi beberapa kali, dan Bukti Non-Interaktif di mana pembukti hanya mengirimkan data bukti sekali dan selesai.

Bukti Interaktif (Interactive ZKP)

ZKP awal dirancang sebagai protokol interaktif. Analogi terkenal “Gua Ali Baba” termasuk dalam kategori ini. Alur umum protokolnya adalah sebagai berikut:

sequenceDiagram participant Prover as "Prover (Pembukti)" participant Verifier as "Verifier (Pemverifikasi)" Note over Prover, Verifier: "Alur dasar protokol bukti interaktif" Prover->>Verifier: "1. Mengirimkan komitmen (Commitment)" Verifier->>Prover: "2. Mengirimkan tantangan acak (Challenge)" Prover->>Verifier: "3. Menghitung dan mengirimkan respons (Response)" Note over Verifier: "Memverifikasi respons (Verification)" Verifier-->>Prover: "4. Menerima atau menolak (Accept / Reject)" Note over Prover, Verifier: "※Diulang puluhan kali untuk meningkatkan tingkat kepastian"

Metode ini sangat kuat, tetapi mengharuskan pemverifikasi untuk selalu online, sehingga kurang praktis diterapkan pada sistem terdistribusi asinkron seperti blockchain. Di blockchain, siapa pun harus dapat memverifikasi bukti-bukti masa lalu kapan saja.

Transformasi Fiat-Shamir (Fiat-Shamir Heuristic) dan Non-Interaktivitas

Metode terobosan untuk mengubah bukti interaktif menjadi bukti non-interaktif (Non-Interactive Zero-Knowledge Proof: NIZK) adalah Transformasi Fiat-Shamir.

Sebagai pengganti “tantangan acak” yang dikirim oleh pemverifikasi, pembukti menghasilkan sendiri “tantangan pseudo-acak” menggunakan komitmennya sendiri dan nilai hash dari informasi publik. Dengan asumsi bahwa fungsi hash kriptografi (misalnya SHA-256 atau Keccak) berfungsi sebagai oracle acak, pembukti tidak dapat memprediksi atau memanipulasi tantangan sebelumnya. Hal ini memungkinkan penyelesaian pembuktian hanya dengan satu kali pengiriman pesan, namun tetap menjaga tingkat keamanan yang setara dengan bukti interaktif.

Detail Teknis zk-SNARKs

Saat ini, jenis ZKP yang paling banyak digunakan adalah zk-SNARKs (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge). Sesuai dengan namanya, ini merupakan argumen pengetahuan (Argument of Knowledge) yang memiliki sifat tanpa pengetahuan (zk), dengan ukuran bukti yang sangat kecil dan cepat diverifikasi (Succinct), serta bersifat non-interaktif (Non-Interactive).

Fondasi dari zk-SNARKs adalah geometri aljabar tingkat lanjut dan teori kriptografi. Ia mengubah eksekusi program atau komputasi menjadi verifikasi persamaan polinomial tertentu.

1. Sirkuit Aritmatika dan Transformasi ke R1CS (Rank-1 Constraint System)

Pertama-tama, komputasi apa pun yang ingin dibuktikan (algoritma atau logika smart contract) diubah menjadi Sirkuit Aritmatika (Arithmetic Circuit) yang terdiri dari gerbang penjumlahan (addition gates) dan gerbang perkalian (multiplication gates).

Selanjutnya, sirkuit aritmatika ini diubah menjadi sekumpulan persamaan matriks yang disebut R1CS (Rank-1 Constraint System). R1CS adalah masalah mencari matriks $A, B, C$ yang memenuhi kendala berikut untuk sebuah vektor variabel $x$.

$$ (A \cdot x) \circ (B \cdot x) = C \cdot x $$

Di sini, $\circ$ melambangkan perkalian Hadamard (perkalian elemen per elemen). Kendala ini memastikan bahwa semua gerbang logika dalam sirkuit (terutama gerbang perkalian) telah dihitung dengan benar.

2. Transformasi ke QAP (Quadratic Arithmetic Program)

Karena kendala matriks R1CS bisa sangat banyak, memverifikasinya satu per satu akan sangat tidak efisien. Oleh karena itu, interpolasi Lagrange digunakan untuk mengompresi kendala-kendala ini menjadi sebuah persamaan polinomial tunggal. Inilah yang disebut QAP (Quadratic Arithmetic Program).

Dengan transformasi ke QAP, masalah yang perlu dibuktikan direduksi menjadi: “Apakah sebuah polinomial tertentu $P(x)$ dapat dibagi habis oleh polinomial lain yang diketahui, $Z(x)$?”

$$ P(x) = L(x) \cdot R(x) - O(x) $$

Di sini, $L(x), R(x), O(x)$ masingmasing adalah kombinasi polinomial yang sesuai dengan setiap baris matriks $A, B, C$. Jika pembukti mengetahui solusi yang benar (Witness), maka pada setiap akar (titik evaluasi) dari $P(x)$ nilainya akan menjadi 0, sehingga $P(x)$ akan memiliki polinomial target $Z(x)$ sebagai faktor. Dengan kata lain, terdapat suatu polinomial $H(x)$ sehingga berlaku persamaan berikut:

$$ P(x) = H(x) \cdot Z(x) $$

Pemverifikasi hanya perlu memeriksa apakah persamaan $P(s) = H(s) \cdot Z(s)$ berlaku pada sebuah titik rahasia acak $s$, dan ia dapat langsung memverifikasi bahwa keseluruhan perhitungan telah dilakukan dengan benar. Inilah rahasia dari “Succinct” (keringkasan).

3. Kriptografi Kurva Eliptik dan Pasangan (Bilinear Pairings)

Namun, jika pemverifikasi mengetahui titik rahasia $s$, pembukti dapat merekayasa polinomial palsu yang memenuhi persamaan tersebut (keruntuhan kekukuhan). Oleh karena itu, komputasi harus dilakukan dengan mengenkripsi $s$ (menggunakan enkripsi homomorfik) sehingga tidak diketahui oleh siapa pun.

Hal ini diwujudkan dengan Pasangan Kurva Eliptik (Bilinear Pairings). Pasangan (Pairing) $e$ adalah sebuah fungsi khusus yang mampu menghitung nilai enkripsi dari perkalian dua buah nilai yang terenkripsi.

$$ e(g_1^a, g_2^b) = e(g_1, g_2)^{ab} $$

Pembukti menghitung nilai terenkripsi dari polinomial $P(s)$ dan $H(s)$ menggunakan nilai terenkripsi dari pangkat $s$ (disebut CRS: Common Reference String), tanpa perlu mengetahui $s$ itu sendiri. Pemverifikasi menggunakan fungsi pasangan untuk memverifikasi apakah hubungan $P(s) = H(s) \cdot Z(s)$ berlaku, langsung dalam bentuk nilai yang terenkripsi.

4. Pengaturan Terpercaya (Trusted Setup)

Kelemahan terbesar zk-SNARKs (terutama Groth16 versi awal) adalah perlunya proses untuk menghasilkan titik rahasia $s$, yang disebut Pengaturan Terpercaya (Trusted Setup). Jika pembuat $s$ tidak membuangnya dan menyimpannya, mereka dapat menghasilkan bukti palsu apa pun (masalah Limbah Beracun / Toxic Waste).

Untuk mencegahnya, sebuah upacara yang disebut “Ceremony” diadakan menggunakan Komputasi Multi-Pihak (Multi-Party Computation / MPC). Banyak peserta bekerja sama untuk menyediakan nilai acak, dan jika setidaknya satu peserta membuang nilai acaknya dengan jujur, keamanan seluruh sistem akan tetap terjaga. Namun, penelitian untuk menghilangkan ketergantungan ini telah berlangsung selama bertahun-tahun.

Detail Teknis zk-STARKs

Sebagai jawaban atas ketergantungan pada pengaturan terpercaya dan risiko dekripsi kriptografi kurva eliptik oleh komputer kuantum, muncullah zk-STARKs (Zero-Knowledge Scalable Transparent Argument of Knowledge).

STARKs yang dikembangkan oleh Eli Ben-Sasson dan kawan-kawan memiliki karakteristik sesuai namanya, yaitu “Transparent” (Transparan) karena sama sekali tidak memerlukan pengaturan terpercaya, dan “Scalable” (Terukur) di mana ukuran bukti dan waktu verifikasi tetap efisien meskipun jumlah komputasi meningkat.

1. Komitmen Polinomial dan Protokol FRI

zk-STARKs tidak menggunakan kriptografi kurva eliptik, melainkan mendasarkan keamanannya hanya pada fungsi hash. Oleh karena itu, ia memiliki sifat sebagai kriptografi pasca-kuantum (Post-Quantum Cryptography).

Verifikasi perhitungan dilakukan menggunakan sifat polinomial satu dimensi atau multi-dimensi setelah diubah menjadi format yang disebut AIR (Algebraic Intermediate Representation). Inti dari STARKs terletak pada protokol FRI (Fast Reed-Solomon Interactive Oracle Proof of Proximity).

Protokol FRI adalah teknologi untuk memverifikasi “apakah suatu fungsi cukup dekat dengan polinomial dengan derajat tertentu (Proximity)”. Pembukti melakukan komitmen (komitmen polinomial) dengan menjadikan nilai-nilai polinomial sebagai daun (leaf) dari Pohon Merkle (Merkle Tree).

graph TD Root["Akar Merkle (Komitmen)"] --> Node0["Node 0"] Root --> Node1["Node 1"] Node0 --> Leaf0["P(x_0)"] Node0 --> Leaf1["P(x_1)"] Node1 --> Leaf2["P(x_2)"] Node1 --> Leaf3["P(x_3)"]

Pemverifikasi akan meminta pembukaan beberapa titik secara acak, lalu menggunakan bukti Merkle (Merkle Proof) untuk mengonfirmasi bahwa titik-titik tersebut termasuk dalam komitmen. Dengan mengulang proses ini secara rekursif, dapat dijamin dengan probabilitas yang sangat besar bahwa derajat polinomial aslinya memang rendah.

Perbandingan antara zk-SNARKs dan zk-STARKs

Karakteristik	zk-SNARKs	zk-STARKs
Asumsi Kriptografis	Kurva eliptik, pasangan (pairing)	Fungsi hash tahan bentrokan (collision-resistant)
Pengaturan Terpercaya	Diperlukan (seperti Plonk bersifat universal)	Tidak diperlukan (Transparent)
Tahan Kuantum	Tidak	Ya
Ukuran Bukti	Sangat kecil (~200 Byte)	Agak besar (puluhan KB)
Biaya Komputasi Pembuatan Bukti	Tinggi	Relatif lebih rendah dari SNARKs
Biaya Verifikasi (Biaya Gas)	Sangat rendah (konstan)	Rendah (meningkat secara logaritmik)

Dalam beberapa tahun terakhir, dengan munculnya “SNARKs yang tidak memerlukan pengaturan terpercaya atau hanya sekali saja” seperti Plonk atau Halo2, batas antara SNARKs dan STARKs perlahan menjadi kabur, tetapi perbedaan pendekatan matematis dasar antara keduanya tetap penting.

Aplikasi Terkini Zero-Knowledge Proof pada Web3 dan Keamanan

Setelah beralih dari teori ke praktik, ZKP saat ini sedang memicu revolusi di garis depan Web3 dan keamanan siber.

1. Skala Puncak Ethereum Melalui ZK-Rollups

Blockchain L1 (Layer 1) seperti Ethereum terlalu memprioritaskan desentralisasi dan keamanan sehingga menghadapi keterbatasan besar dalam skalabilitas (trilema). Solusi L2 (Layer 2) definitif untuk memecahkan masalah ini adalah ZK-Rollups.

Pada ZK-Rollup, ribuan transaksi dieksekusi dan diproses secara off-chain (L2), lalu menghasilkan “sebuah ZKP (Bukti Validitas / Validity Proof)” yang menunjukkan bahwa semua transaksi tersebut telah dieksekusi dengan benar. Smart contract pada rantai L1 hanya perlu memverifikasi bukti ini.

flowchart LR Users["Users (Kirim Tx)"] --> Sequencer["Sequencer (Kumpul & Eksekusi Tx)"] Sequencer --> Prover["Prover (Pembuat ZKP)"] Sequencer --> L1Contract["L1 Smart Contract (Publikasi Data Tx)"] Prover --> L1Contract["Penyerahan ZKP (Bukti)"] L1Contract --> Verify["Verifikasi & Pembaruan Status"]

Keuntungan terbesar dari ZK-Rollups adalah, berbeda dengan Optimistic Rollups (seperti Arbitrum atau Optimism), ia tidak memerlukan masa tantangan (biasanya 7 hari) untuk bukti kecurangan (Fraud Proof). Karena kebenarannya dijamin secara kriptografis, penarikan dana ke L1 (Finalitas) akan selesai seketika begitu bukti berhasil diverifikasi. Saat ini, proyek-proyek seperti zkSync, Starknet, Scroll, dan Polygon zkEVM sedang bersaing ketat dalam pengembangan, dan perwujudan zkEVM yang kompatibel dengan EVM (Ethereum Virtual Machine) mendorong pertumbuhan ekosistem dengan sangat pesat.

2. Identitas Pelindung Privasi (ZKP untuk Identitas)

Cara autentikasi pribadi di dunia digital juga akan berubah secara fundamental oleh ZKP. Sebagai contoh, ketika ditanya “Apakah Anda berusia 18 tahun ke atas?”, pada sistem konvensional, Anda harus menunjukkan SIM atau paspor, yang secara tidak langsung memberikan informasi pribadi yang tidak diperlukan seperti nama dan alamat kepada pihak lain.

Dengan menggunakan ZKP, berdasarkan sertifikat digital (Verifiable Credential) yang diterbitkan oleh instansi publik, seseorang hanya perlu membuktikan secara matematis fakta bahwa “Berdasarkan tanggal lahir saya, saat ini saya berusia 18 tahun ke atas”. Pemverifikasi hanya perlu memverifikasi tanda tangan sertifikat dan ZKP, tanpa bisa mengetahui tanggal lahir atau identitas asli pengguna.

Pada proyek Proof of Personhood (bukti kemanusiaan) seperti Worldcoin, data selaput pelangi (iris) mata tidak disimpan atau dibagikan secara langsung. Sebaliknya, mereka menggunakan ZKP untuk membuktikan “hanya bahwa seseorang adalah manusia yang unik”.

3. Smart Contract Rahasia dan Penggunaan di Tingkat Perusahaan (Enterprise)

Sifat blockchain publik di mana “semua data dipublikasikan” sebelumnya menjadi hambatan besar bagi perusahaan ketika mereka ingin mengelola transaksi rahasia atau informasi rantai pasokan di atas blockchain.

Dengan menggunakan teknologi ZKP (misalnya pada jaringan yang berfokus pada privasi seperti Aleo atau Aztec), kita dapat mengenkripsi nilai masukan transaksi, nilai keluaran, bahkan logika smart contract yang dieksekusi, dan hanya mencatatkan kebenaran dari pembaruan status ke dalam rantai publik. Hal ini memungkinkan pencegahan front-running (MEV) dalam DeFi (Keuangan Terdesentralisasi) serta pembentukan jaringan konsorsium rahasia antarperusahaan, sembari tetap menikmati tingkat keamanan yang tinggi dari rantai publik.

Tantangan dan Prospek ZKP ke Depan

ZKP tidak diragukan lagi merupakan teknologi dasar generasi berikutnya, tetapi masih menyisakan beberapa tantangan:

Biaya Komputasi Pembuatan Bukti dan Akselerasi Perangkat Keras Pembuatan ZKP memerlukan operasi polinomial yang sangat besar, FFT (Fast Fourier Transform), dan MSM (Multi-Scalar Multiplication). Saat ini, penelitian tentang pengembangan perangkat keras khusus (FPGA atau ASIC) untuk mempercepat pembuatan bukti ini, atau yang disebut Penambangan ZKP (Prover Network), sedang berkembang pesat.
Standardisasi dan Peningkatan Pengalaman Pengembang (DX) Banyak bahasa khusus yang bermunculan untuk menulis sirkuit ZKP, seperti Circom, Cairo, Noir, Leo, dan lain-lain. Kemampuan untuk menyatukan standar ini dan kematangan kompiler yang secara otomatis dapat menghasilkan sirkuit ZKP dari bahasa pemrograman yang ada seperti Rust atau C++ akan menjadi kunci bagi para rekayasawan perangkat lunak umum untuk mengadopsi ZKP.

Penutup

Zero-Knowledge Proof (ZKP) telah berevolusi dari sekadar “teknologi untuk meningkatkan anonimitas mata uang kripto” menjadi “teknologi serbaguna yang mendefinisikan ulang kepercayaan (trust) di seluruh internet”. Bukti kecil yang dihitung dari kedalaman formula matematika dan teori kriptografi ini akan menjadi perisai kuat yang melindungi privasi kita, sekaligus memperluas skalabilitas blockchain tanpa batas.

Dalam mewujudkan adopsi massal Web3 yang sesungguhnya dan membangun internet generasi mendatang yang aman dan privat, Zero-Knowledge Proof akan terus berfungsi sebagai bagian yang paling penting. Evolusi teknologi ZKP ke depannya sangat patut untuk terus diperhatikan.

Referensi dan Tautan Terkait

Groth, J. (2016). “On the Size of Pairing-based Non-interactive Arguments”
Ben-Sasson, E., et al. (2018). “Scalable, transparent, and post-quantum secure computational integrity”
Vitalik Buterin’s blog on zk-SNARKs and zk-STARKs

Apa itu Fully Homomorphic Encryption (FHE)? Menjelaskan Kunci Keamanan Generasi Berikutnya

Fri, 11 Sep 2026 11:00:00 +0900

Seiring dengan cloud computing dan teknologi AI yang menjadi infrastruktur masyarakat, pertukaran antara “privasi data” dan “pemanfaatan data” telah menjadi salah satu masalah terpenting. Meskipun terdapat permintaan yang meningkat untuk membiarkan AI di cloud menganalisis data yang sangat sensitif seperti data medis, informasi keuangan, dan informasi biometrik pribadi, banyak perusahaan ragu untuk mengirimkan data ke pihak eksternal karena masalah keamanan.

Teknologi enkripsi konvensional (seperti AES dan RSA) sangat baik dalam melindungi data yang disimpan dalam penyimpanan (Data at Rest) dan data yang mengalir melalui jaringan (Data in Transit). Namun, saat melakukan pemrosesan (komputasi) seperti pencarian dan machine learning pada data di sisi server (Data in Use), data tersebut harus didekripsi terlebih dahulu untuk kembali ke bentuk plaintext. Jika server diretas pada saat dekripsi ini, atau jika administrator internal yang berniat jahat mengintip data tersebut, hal ini akan langsung menyebabkan kebocoran informasi.

Teknologi impian yang mengatasi kelemahan mendasar dari “dekripsi saat pemrosesan” ini adalah Fully Homomorphic Encryption (FHE). Dengan menggunakan FHE, dimungkinkan untuk melakukan proses komputasi sambil menjaga data tetap terenkripsi tanpa mendekripsinya sama sekali, dan hanya mengembalikan ciphertext dari hasil komputasi tersebut kepada klien.

Artikel ini akan secara mendalam membahas tentang FHE yang merupakan kunci keamanan generasi berikutnya, mulai dari konsep FHE, sejarah, terobosan inovatif oleh Craig Gentry, dasar-dasar matematika (seperti Ring-LWE), tantangan terbesar yaitu “noise” dan solusinya (bootstrapping), hingga library implementasi terbaru.

1. Apa itu Homomorphic Encryption? Konsep Dasar

“Homomorphic” (Homomorfik) adalah istilah dalam aljabar, yang merujuk pada sifat di mana himpunan dengan struktur tertentu dapat dipetakan sambil mempertahankan struktur operasi tersebut. “Homomorfisme” dalam teori kriptografi adalah sifat di mana operasi dalam ruang plaintext sesuai dengan operasi dalam ruang ciphertext.

Dinyatakan dalam rumus matematika sederhana, misalkan fungsi enkripsi untuk plaintext $m_1$ dan $m_2$ adalah $E(\cdot)$, dan fungsi dekripsinya adalah $D(\cdot)$. Jika operasi (seperti penjumlahan dan perkalian) pada plaintext adalah $\circ$ dan operasi pada ciphertext adalah $\diamond$, maka hubungan berikut ini berlaku.

$$ D(E(m_1) \diamond E(m_2)) = m_1 \circ m_2 $$

Artinya, jika kita mendekripsi hasil dari penerapan operasi $\diamond$ pada ciphertext $E(m_1)$ dan $E(m_2)$, hasilnya akan sama dengan hasil operasi $\circ$ pada plaintext aslinya.

Alur Data dalam Cloud Computing

Arsitektur pemrosesan cloud menggunakan FHE sama sekali berbeda dari arsitektur konvensional. Diagram berikut menunjukkan alur pemrosesan data yang aman menggunakan FHE.

Server menerima data terenkripsi $E(x)$, tetapi tidak pernah dapat mengetahui isi data tersebut karena tidak memiliki kunci privat. Namun, dengan memanfaatkan properti FHE, server dapat menerapkan fungsi $f$ (misalnya, model inferensi machine learning) pada ciphertext untuk menghasilkan $E(f(x))$. Klien menerima hasil ini, dan dengan mendekripsinya menggunakan kunci privat mereka sendiri, klien mendapatkan hasil yang diinginkan $y = f(x)$.

2. Sejarah Evolusi Homomorphic Encryption: PHE, SHE, FHE

Homomorphic Encryption tidak langsung mencapai bentuk “sempurna” yang ada saat ini sekaligus. Ini secara luas diklasifikasikan ke dalam 3 tahap berdasarkan jenis dan jumlah operasi yang dapat direalisasikan.

Partially Homomorphic Encryption (PHE)

PHE adalah skema enkripsi yang memungkinkan operasi penjumlahan atau perkalian, salah satu dari keduanya saja, tanpa batas. Faktanya, enkripsi dengan sifat ini telah ada sejak lama.

Enkripsi RSA (Homomorfisme terhadap perkalian) Enkripsi RSA secara tidak sengaja memiliki homomorfisme perkalian. Jika plaintext $m_1, m_2$ dan kunci publik $(e, N)$: $$ E(m_1) = m_1^e \pmod N $$ $$ E(m_2) = m_2^e \pmod N $$ Jika kita mengalikannya: $$ E(m_1) \times E(m_2) = (m_1 \cdot m_2)^e \pmod N = E(m_1 \times m_2) $$ Dengan cara ini, perkalian ciphertext berhubungan dengan perkalian plaintext.
Enkripsi Paillier (Homomorfisme terhadap penjumlahan) Ditemukan pada tahun 1999, enkripsi Paillier memiliki homomorfisme terhadap penjumlahan. Ini telah digunakan secara praktis dalam e-voting (menghitung suara terenkripsi dan hanya mendekripsi hasil akhirnya).

Somewhat Homomorphic Encryption (SHE)

Ini adalah metode di mana baik penjumlahan maupun perkalian dapat dilakukan, tetapi ada batasan pada jumlah operasi (kedalaman sirkuit) yang dapat dihitung. Karena akumulasi “noise” yang akan dibahas nanti, dekripsi menjadi mustahil setelah sejumlah perkalian tertentu dilakukan. Enkripsi BGN (Boneh-Goh-Nissim) dari tahun 2005 termasuk dalam kategori ini, tetapi memiliki keterbatasan dalam melakukan komputasi kompleks yang praktis (seperti deep learning).

Fully Homomorphic Encryption (FHE)

Ini adalah skema enkripsi yang dapat menjalankan baik penjumlahan maupun perkalian dengan jumlah yang tidak terbatas. Mirip dengan Turing completeness dalam teori informasi, jika kita dapat menggabungkan penjumlahan (setara dengan XOR) dan perkalian (setara dengan AND) tanpa batas, itu berarti secara prinsip, setiap fungsi atau algoritma yang dapat dihitung dapat dieksekusi dalam keadaan terenkripsi.

FHE telah lama disebut sebagai “Cawan Suci dunia kriptografi”, dan bahkan dikatakan mustahil untuk direalisasikan. Namun, pada tahun 2009, Craig Gentry, yang saat itu adalah seorang mahasiswa program doktor di Universitas Stanford, mengusulkan skema FHE pertama menggunakan Ideal Lattices, yang mengejutkan dunia.

3. Fondasi Matematika FHE: Masalah LWE dan Ring-LWE

Sebagian besar skema FHE utama saat ini didasarkan pada Masalah LWE (Learning With Errors), yang merupakan masalah matematika sulit dalam “Lattice-based Cryptography (Kriptografi berbasis kisi)”, yang juga dikenal sebagai kriptografi tahan kuantum (Post-Quantum Cryptography).

Pemahaman Intuitif tentang Masalah LWE

Menyelesaikan persamaan linear simultan adalah mudah jika Anda menggunakan metode seperti eliminasi Gauss.

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 \equiv 12 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 \equiv 8 \pmod{17} \\ \vdots \end{cases} $$

Namun, apa yang terjadi jika Anda menambahkan “kesalahan (noise) acak” $e$ yang sangat kecil ke hasil persamaan ini?

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 + e_1 \equiv 13 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 + e_2 \equiv 7 \pmod{17} \\ \vdots \end{cases} $$

Dengan hanya menambahkan error $e$ ini, masalah untuk menemukan vektor variabel rahasia $\vec{s}$ berubah menjadi masalah NP-hard yang sulit dipecahkan bahkan jika menggunakan superkomputer saat ini atau komputer kuantum. Inilah masalah LWE.

Masalah Ring-LWE (RLWE)

Masalah LWE standar melibatkan operasi matriks, yang menyebabkan ukuran kunci yang sangat besar (terkadang dalam gigabyte) dan efisiensi komputasi yang buruk. Untuk mengatasi hal ini, diperkenalkanlah masalah Ring-LWE (RLWE), yang menggunakan operasi pada gelanggang polinomial (polynomial rings).

Pada RLWE, elemen-elemen tersebut termasuk dalam gelanggang polinomial $R_q = \mathbb{Z}_q[x] / (x^N + 1)$ (di mana $N$ adalah pangkat dari 2, dan $q$ adalah bilangan prima sebagai modulus). Jika kunci privat adalah polinomial $s(x)$, dengan polinomial acak $a(x)$, dan polinomial noise kecil $e(x)$, maka pasangan kunci publiknya adalah sebagai berikut.

$$ (a(x), b(x)) \quad \text{dimana} \quad b(x) = -a(x) \cdot s(x) + e(x) \pmod q $$

Selama enkripsi, properti polinomial ini digunakan untuk mengenkode plaintext $m(x)$ dan menghasilkan ciphertext.

4. Hambatan Terbesar “Noise” dan Bootstrapping Gentry

Konsep paling penting dalam memahami FHE adalah “Manajemen Noise”.

Dalam kriptografi berbasis LWE/RLWE, “noise (error)” kecil sengaja disertakan untuk menjamin keamanan. Proses mendekripsi ciphertext $c$ dari plaintext $m$ dapat diekspresikan secara kasar dengan rumus berikut.

$$ D(c) = (c \cdot s) \pmod q = m + \text{noise} $$

Selama dekripsi, plaintext yang benar $m$ diperoleh dengan menghilangkan noise ini melalui proses seperti pembulatan (rounding). Namun, ketika melakukan operasi homomorfik (terutama perkalian) di antara ciphertext, noise ini akan berlipat ganda secara dramatis.

Penjumlahan Homomorfik: Noise meningkat secara aditif ($e_1 + e_2$). Ini adalah peningkatan yang relatif lambat.
Representasi matematika dari homomorfisme melalui penjumlahan homomorfik: $$ E(m_1) \oplus E(m_2) = E(m_1 + m_2) $$
Perkalian Homomorfik: Noise meledak secara multiplikatif (karena mencakup komponen seperti $e_1 \times e_2$). Hanya dengan melakukan perkalian beberapa kali, noise akan melampaui ambang batas $q/2$, membuat proses pembulatan yang benar menjadi tidak mungkin, dan dekripsi akan gagal.
Representasi matematika dari homomorfisme melalui perkalian homomorfik: $$ E(m_1) \otimes E(m_2) = E(m_1 \times m_2) $$

Inilah sebabnya mengapa FHE tidak dapat direalisasikan untuk waktu yang lama, dan hanya terbatas pada SHE (dengan batas jumlah).

Keajaiban Bootstrapping

Kontribusi jenius dari Craig Gentry adalah penemuan teknik pengurangan noise yang disebut “Bootstrapping”. Ini adalah pergeseran paradigma (paradigm shift) dalam kriptografi.

Secara intuitif, operasi ini berarti “sebelum ciphertext rusak karena dipenuhi noise, ‘dekripsi’ ia untuk membersihkannya selagi masih dalam kondisi terenkripsi, lalu masukkan ke dalam ciphertext baru.”

Misalkan ada ciphertext dengan noise tinggi $C_{noisy}$.
Klien terlebih dahulu memberikan kepada server kunci privat $sk$ yang “dienkripsi dengan kunci publik” $E_{pk}(sk)$ (ini disebut kunci bootstrapping).
Server mengeksekusi sirkuit dekripsi (Decryption Circuit) secara homomorfik pada $C_{noisy}$.
Secara khusus, ia melakukan “dekripsi dalam ruang terenkripsi” pada $E_{pk}(C_{noisy})$ menggunakan $E_{pk}(sk)$.
Karena sirkuit dekripsi ini sendiri adalah operasi homomorfik yang menghasilkan noise baru, noise dari ciphertext baru yang dihasilkan $C_{fresh}$ akan di-reset ke “tingkat tetap” tertentu.

graph LR A["Ciphertext Noise Tinggi C_noisy"] --> B["Sirkuit Dekripsi Homomorfik (Eval_Dec)"] C["Kunci privat terenkripsi E(sk)"] --> B B --> D["Ciphertext Noise Rendah C_fresh"] style B fill:#ffeeba,stroke:#ffc107

Dengan menjalankan bootstrapping ini secara berkala selama perhitungan, secara teoritis dimungkinkan untuk menghitung sirkuit dengan kedalaman tak terbatas (pencapaian FHE). Namun, skema awal Gentry sangat memakan biaya komputasi, dengan proses bootstrapping ini membutuhkan waktu puluhan menit hingga beberapa jam untuk sekali proses.

5. Generasi FHE dan Evolusi Skema Utama

Menuju implementasi praktis FHE, para kriptografer di seluruh dunia telah berlomba untuk meningkatkan algoritmanya. Saat ini, FHE diklasifikasikan ke dalam 4 generasi/keluarga utama.

Generasi Kedua: Komputasi Eksak pada Bilangan Bulat (BGV, BFV)

Skema BGV (Brakerski-Gentry-Vaikuntanathan) dan BFV (Brakerski/Fan-Vercauteren) yang muncul sekitar tahun 2011-2012. Skema ini didasarkan pada RLWE dan cocok untuk aritmatika modular (perhitungan eksak) pada bilangan bulat. Skema ini mendukung teknologi batching seperti SIMD (Single Instruction, Multiple Data), yang ditandai dengan kemampuannya untuk mengemas ribuan slot data ke dalam satu ciphertext polinomial besar dan menghitungnya secara paralel sekaligus.

Generasi Ketiga: Akselerasi Bootstrapping (GSW, FHEW, TFHE)

Skema GSW (Gentry-Sahai-Waters) pada tahun 2013 menyederhanakan struktur FHE. Dan dari perkembangan ini, salah satu pendekatan utama saat ini adalah TFHE (Fast Fully Homomorphic Encryption over the Torus). Fitur dari TFHE adalah bahwa bootstrapping-nya sangat cepat (dalam urutan milidetik). Ini unggul dalam operasi tingkat gerbang logis (sirkuit logika seperti AND, XOR) dan karena ukuran ciphertext-nya relatif kecil, ia cocok untuk mengevaluasi sirkuit logika acak dengan kecepatan tinggi.

Generasi Keempat: Spesialisasi dalam Komputasi Perkiraan dan Machine Learning (CKKS)

Skema CKKS (Cheon-Kim-Kim-Song) yang diusulkan oleh Cheon dkk. pada tahun 2017 adalah teknologi definitif dalam pelestarian privasi untuk AI dan machine learning saat ini. Sementara FHE sebelumnya berfokus pada “komputasi bilangan bulat eksak”, CKKS mendukung “komputasi perkiraan floating-point” sambil tetap terenkripsi. Skema ini menunjukkan kinerja luar biasa dalam komputasi bilangan riil di mana sedikit kesalahan (error) diperbolehkan, seperti dalam pelatihan dan inferensi neural network.

Tabel berikut merangkum cara memilih skema berdasarkan tujuan.

Nama Skema	Tipe Data yang Dikuasai	Use Case yang Disarankan	Fitur
BFV / BGV	Bilangan Bulat (Integer)	Komputasi statistik eksak, agregasi data keuangan, pencarian DB	Throughput tinggi menggunakan batching SIMD
CKKS	Bilangan Riil (Real/Complex)	Machine Learning (DNN, regresi logistik), pemrosesan sinyal	Akselerasi dengan komputasi perkiraan, penskalaan ulang (rescaling)
TFHE	Nilai Boolean (Boolean)	Sirkuit logika acak, pencarian string, evaluasi fungsi non-linear	Bootstrapping ultra-cepat (tingkat milidetik)

6. Praktik: Library FHE dan Kode Konseptual

Saat ini, terdapat banyak library open-source yang tersedia yang memungkinkan penggunaan FHE tanpa perlu memiliki pengetahuan mendalam tentang kriptografi.

Microsoft SEAL (Simple Encrypted Arithmetic Library): Library C++ yang mendukung BFV, BGV, dan CKKS. Ini adalah salah satu standar industri. Binding Python-nya, TenSEAL, populer di kalangan engineer AI.
Zama (Concrete): Framework berbasis TFHE. Dapat ditulis dengan Rust/Python, dan menyediakan fungsionalitas (Concrete ML) untuk mengompilasi model PyTorch yang ada agar berjalan pada FHE.
OpenFHE: Penerus PALISADE, library C++ komprehensif yang mendukung semua skema utama.

Contoh Pemrograman FHE menggunakan Python (TenSEAL)

Berikut adalah contoh kode Python konseptual yang menggunakan skema CKKS untuk menambahkan dan mengalikan vektor bilangan riil yang masih dalam keadaan terenkripsi.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


import tenseal as ts

# 1. Setup Konteks (Termasuk pembuatan kunci)
# Menggunakan skema CKKS dan mengatur derajat polinomial modulus ke 8192
context = ts.context(
 ts.SCHEME_TYPE.CKKS,
 poly_modulus_degree=8192,
 coeff_mod_bit_sizes=[60, 40, 40, 60]
)
context.generate_galois_keys()
context.global_scale = 2**40 # Scaling factor untuk bilangan riil

# 2. Sisi Klien: Enkripsi data
vector1 = [1.5, 2.5, 3.5]
vector2 = [2.0, 3.0, 4.0]

# Mengonversi vektor plaintext menjadi ciphertext (Secara ideal dieksekusi di sisi klien)
enc_v1 = ts.ckks_vector(context, vector1)
enc_v2 = ts.ckks_vector(context, vector2)

# 3. Sisi Server: Komputasi dalam keadaan terenkripsi (Perlindungan Data in Use)
# Server tidak mengetahui plaintext, tetapi dapat melakukan penjumlahan dan perkalian
enc_add = enc_v1 + enc_v2
enc_mul = enc_v1 * enc_v2

# 4. Sisi Klien: Mendekripsi hasil
# Hanya klien yang memiliki kunci privat yang dapat melihat hasilnya
res_add = enc_add.decrypt()
res_mul = enc_mul.decrypt()

print(f"Hasil penjumlahan setelah dekripsi: {res_add}")
# Contoh Output: [3.5000001, 5.5000001, 7.5000002] (Mengandung kesalahan sangat kecil karena komputasi perkiraan)

print(f"Hasil perkalian setelah dekripsi: {res_mul}")
# Contoh Output: [3.0000002, 7.5000005, 14.0000003]

Seperti yang bisa dilihat dari kode di atas, perhitungan antara ciphertext dapat ditulis secara intuitif dengan melakukan overload pada operator Python biasa, seperti enc_v1 + enc_v2. Di sisi server, komputasi vektor diselesaikan tanpa perlu mengetahui isi dari vektor tersebut.

7. Tantangan FHE: Performa dan Akselerasi Hardware

Meskipun FHE memberikan keamanan yang secara teoritis sempurna, tantangan terbesar dalam implementasi praktisnya adalah “overhead kinerja (performance overhead)”.

Overhead Komputasi: Dibandingkan dengan komputasi pada plaintext, komputasi pada ciphertext membutuhkan waktu ribuan hingga puluhan ribu kali lebih lambat di CPU. Perkalian polinomial dan bootstrapping memerlukan perhitungan FFT (Fast Fourier Transform) dan NTT (Number Theoretic Transform) dalam jumlah yang sangat besar.
Ekspansi Ukuran Data (Ciphertext Expansion): Plaintext yang hanya berukuran beberapa byte bisa membengkak menjadi beberapa megabyte saat dienkripsi. Ini sangat membebani bandwidth memori dan bandwidth jaringan.

Pendekatan Solusi melalui Hardware

Untuk mengatasi overhead ini, pengembangan akselerator hardware khusus FHE (mendukung ASIC, FPGA, GPU) sedang dilakukan di seluruh dunia.

Akselerasi GPU: Upaya sedang dilakukan untuk memparalelkan komputasi NTT dan bootstrapping menggunakan GPU bertenaga seperti NVIDIA, dan akselerasi puluhan kali lipat dibandingkan dengan implementasi perangkat lunak telah dilaporkan (contoh: 100x.ai, backend TFHE-rs CUDA dari Zama).
Proyek DARPA DPRIVE: Defense Advanced Research Projects Agency (DARPA) dari AS mendorong proyek pengembangan hardware khusus “DPRIVE (Data Protection in Virtual Environments)” untuk meningkatkan kecepatan komputasi FHE ke tingkat yang setara dengan kecepatan pemrosesan plaintext (dalam overhead 10x). Intel, Microsoft, dan Intellectual Ventures berpartisipasi dalam proyek ini.
Kemunculan FPU (FHE Processing Unit): Startup seperti Cornami dan Optalysys sedang mengembangkan chip khusus FHE yang menggunakan komputasi optik (optical computing) atau arsitektur silikon khusus.

Dalam waktu dekat, seperti halnya NPU (Neural Processing Unit) pada AI, kita mungkin akan melihat era di mana “FPU” dipasang sebagai standar pada server dan infrastruktur cloud.

8. Use Case yang Diharapkan

Sekarang setelah FHE mendekati kecepatan yang praktis, inovasi destruktif diharapkan terjadi di berbagai bidang berikut.

Perlindungan Privasi dalam Analisis Medis dan Genomik: Dengan membiarkan AI di cloud melatih data rekam medis pasien atau data DNA yang dimiliki oleh banyak rumah sakit sambil tetap terenkripsi dengan FHE, pengembangan model diagnosis kanker akurasi tinggi atau penemuan obat baru dapat dilakukan tanpa melanggar undang-undang privasi (seperti HIPAA atau GDPR).
Deteksi Penipuan dan Anti-Pencucian Uang (AML) untuk Institusi Keuangan: Bank-bank yang saling bersaing dapat mencocokkan data masing-masing dalam keadaan terenkripsi tanpa mengungkapkan informasi rekening pelanggan atau riwayat transaksi, sehingga memungkinkan analisis antar bank (cross-bank) untuk mendeteksi jaringan transfer penipuan yang besar.
API Inferensi AI yang Aman (MaaS: Model as a Service): Pengguna dapat mengenkripsi audio, gambar wajah, atau prompt mereka sendiri dan mengirimkannya ke layanan AI (seperti LLM seperti ChatGPT). Penyedia AI menghasilkan respons tanpa mengetahui input pengguna sama sekali, dan mengembalikannya sebagai ciphertext. Dengan ini, kekhawatiran tentang “AI yang mempelajari atau mengintip informasi pribadi” dapat sepenuhnya dihilangkan.

9. Kesimpulan: Masa Depan Kriptografi menuju “Komputasi Tak Terlihat”

Sama seperti penemuan kriptografi kunci publik (RSA) pada tahun 1970-an yang memungkinkan komunikasi aman di internet (seperti HTTPS), penemuan FHE oleh Craig Gentry adalah salah satu tonggak sejarah paling penting dalam sejarah kriptografi.

Saat ini, Fully Homomorphic Encryption (FHE) telah melompat dari teori di laboratorium, dan memasuki tahap di mana Microsoft, IBM, Intel, Google, dan banyak startup bersaing keras menuju implementasi praktisnya. Walaupun tantangan dalam biaya komputasi dan ukuran data masih ada, perbaikan kinerja terus berlanjut melampaui Hukum Moore berkat penyempurnaan algoritma dan evolusi akselerator hardware.

Beberapa tahun dari sekarang, “komputasi data sambil tetap terenkripsi” tidak akan menjadi sesuatu yang istimewa, melainkan akan menjadi praktik perlindungan data standar dalam layanan cloud. FHE adalah kunci keamanan generasi berikutnya yang merealisasikan keseimbangan tertinggi antara privasi absolut dan pemanfaatan data dalam masyarakat yang digerakkan oleh data.