FHEとMPCとZK：プライバシー保護暗号の比較

スポンサー投稿*

Web3プライバシー技術の進化を追っているなら、完全同態暗号（FHE）だけが唯一の選択肢ではないことに気付いているでしょう。マルチパーティ計算（MPC）やゼロ知識証明（ZKPまたは単にZK）も、機密データを保護し、安全な計算を可能にするために広く利用されています。

残念ながら、これらの技術はしばしば互換的に議論されることがありますが、実際には異なる問題を解決しています。確かに、これら三つはプライバシー保護暗号の範疇に属し、敏感な情報を使用または検証する際に元のデータを明らかにせずに済むという点では共通しています。しかし、それぞれが依存する仕組みや、最も適したユースケースは大きく異なります。

これらの技術の違いを理解することで、なぜそれぞれがブロックチェーン分野だけでなく、従来の金融やクラウドコンピューティングの分野でも独自の役割を果たしているのかを理解できるでしょう。FHEが最も得意とすることもあれば、逆にMPCやZKPに任せた方が良いケースもあります。

プライバシーの三本柱

現代のコンピューティングは、クラウドプロバイダーによる企業データセットの分析や、分散型ネットワーク上でのトランザクションやスマートコントラクトの検証など、第三者とデータを共有することに大きく依存しています。しかし、従来の暗号化は、データが保存または送信されている間だけ保護します。システムがそのデータを使用する必要が出てきた瞬間に復号しなければならず、これが潜在的な漏洩ポイントとなります。

プライバシー保護暗号は、rawデータを明らかにせずに情報を検証または計算できる仕組みを提供することで、この問題を解決しようとしています。FHE、MPC、ZKPはそれぞれ異なるアプローチを取りますが、概ね次のように機能します。

ゼロ知識証明（ZKP）：ゼロ知識証明は、一方（証明者）がもう一方（検証者）に対して、証明内容の妥当性だけを示し、その他の情報を一切明かさずに真であることを証明します。DeFiの文脈では、ZKPを使って生年月日を明かさずに18歳以上であることを証明したり、総資産額を明かさずにローンの担保が十分であることを証明したりできます。

ZKPは検証に優れていますが、隠されたデータに対して共同計算を行うためには設計されていません。既に知っていることを証明しているだけで、サーバーに計算を依頼するわけではありません。

マルチパーティ計算（MPC）：MPCは、複数の参加者がそれぞれの入力を秘密に保ちながら、共同で関数を計算できる仕組みです。全てのデータを一つの参加者が見ることはなく、データは複数の「シェア」に分割され、それぞれが異なる参加者に分散されます。

MPCの欠点は、多くの通信が必要になる点です。参加者の一人がオフラインになったり、ネットワーク遅延が発生したりすると、計算が停止する可能性があります。

完全同態暗号（FHE）：FHEは、クラウドやブロックチェーンのような信頼できない第三者が暗号化されたデータに対して計算を行うことを可能にします。MPCとは異なり、複数の参加者間で絶え間ないやり取りを必要とせず、ZKPとは異なり、データの検証だけでなく実際の処理や変換も行えます。

この能力により、FHEはこれらの暗号技術の中でも最も強力と考えられます。ただし、暗号化されたデータの処理は計算コストが高くなるためコストもかかりますが、最近のハードウェアの進歩やアルゴリズムの改善により、その差は縮まっています。

これらの技術の仕組みを詳しく見ていきましょう。

完全同態暗号：暗号化データ上での計算

FHEは、暗号化されたまま計算を行える最も直接的なアプローチです。情報を復号せずに、暗号文上で演算を実行します。最終的に結果を復号すると、元の平文での演算結果と一致します。

この技術の代表的な用途は、クラウドサーバーによる金融データの処理や機械学習モデルの訓練です。しかし、Web3においても非常に有用であり、スマートコントラクトが生の入力を見ずに取引を実行できる仕組みを実現しています。例えば、DeFiでは、FHEを使って貸付ポジションや担保レベルを秘密に保ちつつ、スマートコントラクトが支払能力を検証し、清算ロジックを強制することが可能です。

FHEの最大の利点は、暗号化されたデータに対して任意の計算を行える点です。理論的には、どんなプログラムもこの環境下で動作可能ですが、唯一のトレードオフはパフォーマンスです。ホモモルフィック演算は計算コストが高いですが、特殊ハードウェアや改良されたアルゴリズムの進歩により、その差は縮まりつつあります。

マルチパーティ計算：作業の共有

MPCは、プライバシー問題を別の角度から解決します。暗号化されたデータ上で単一のマシンが計算を行うのではなく、複数の参加者に計算を分散させます。各参加者はデータの一部を保持し、全員が完全なデータセットを知ることはありません。データは複数の「シェア」に分割され、それぞれが異なる参加者に渡されます。

Web3では、MPCは安全な鍵管理の文脈でよく使われます。多くの機関向けカストディソリューションでは、MPCウォレットを採用し、秘密鍵を複数のデバイスやサーバーに分散しています。トランザクションの署名にはこれらの断片の協力が必要であり、単一の参加者が全ての鍵を持つことはありません。

また、消費者向けウォレットでも、所有者がアクセスを失った場合に、開発者が「シェア」を使ってアクセスを復元できる仕組みがあります。ただし、開発者は自分のシェアを使って一方的にウォレットや資金をコントロールできるわけではありません。

MPCの利点は、他のプライバシー保護技術に比べて計算コストが低い点です。ただし、最大の欠点は複数の関係者間の調整が必要なことです。参加者が協力しなかったり、オフラインになったりすると、システムが失敗したり、プライバシー保証が崩れたりする可能性があります。

ゼロ知識証明（ZKP）：明かさず証明

ZKPは、別のアプローチを取ります。暗号化計算や分散計算を可能にするのではなく、ある主張が真であることを、元のデータを明かさずに証明できる仕組みです。典型的な例は、パスワードを実際に開示せずに知っていることを証明することです。

ZKPは、計算結果の証明書のように考えると良いでしょう。全ての計算を見せる代わりに、計算が正しく行われたことを示す暗号証明を生成します。誰でもその証明を検証でき、元の入力を見る必要はありません。

この特性により、ZKPは検証に非常に優れています。特に、透明性や信頼性が求められる環境で有効です。ただし、大規模なプログラムの証明を生成するには計算コストが高く、専門的な回路設計が必要になることもあります。

これら三つのプライバシー技術の中で、ZKPは現在、ブロックチェーンシステムで最も広く実装されており、取引の完全な詳細を明かさずに取引の有効性を証明できるため、プライバシー重視のネットワークやZKロールアップといったスケーリングソリューションで広く利用されています。

プライバシー保護計算の未来

FHE、MPC、ZKPは競合するものではなく、むしろ同じツールキットの一部として見なされ、それぞれがより広範なプライバシー問題の異なる側面を解決しています。

FHEは暗号化された計算を可能にし、MPCは中央の信頼なしに協調的な計算を実現し、ZKPは情報を明かさずに検証を行います。これらは、敏感なデータを処理・共有しながらもプライバシーを維持できる新しい計算モデルの基盤となっています。

ZKPやMPCはすでにWeb3で広く使われており、ZKPはEthereumのスケーリングに、MPCはウォレットのセキュリティに利用されていますが、共有状態に関しては制限もあります。一方、FHEはグローバルなプライベート状態を可能にし、ブロックチェーンが暗号化された残高を見ずに計算できるようにします。

これらのツールが成熟するにつれ、エンドユーザーにとっての区別は次第に重要でなくなるでしょう。HTTPSを使いながら背後の暗号技術を理解しなくても良いのと同じように、次世代のアプリケーションはFHE、MPC、ZKPをデフォルトで利用し、データのプライバシーを守ることになるかもしれません。その時、私たちのデジタル世界は、物理的な世界と同じレベルのプライバシーを享受できるようになるでしょう。

*この記事は有料です。Cryptonomistは記事の執筆やプラットフォームのテストを行っていません。