2. CKKS

요약하면 CKKS는

(i) 근사 수치 계산에 친화적인 인코딩/스케일링,
(ii) 연산 깊이를 관리하는 모듈러스 체인(modulus switching chain),
(iii) 곱셈 후 정밀도·노이즈 균형을 잡는 Rescale 연산
을 중심으로, 프라이버시 보존 ML 추론/통계/신호처리 등에서 사실상 표준처럼 사용되는 스킴이다.

3.1 문제의식: “정수 FHE”로 실수 연산을 하면 왜 불편한가

전통적인(또는 널리 쓰이는) FHE 스킴(BFV/BGV)은 기본적으로 정수의 모듈러 연산에 최적화되어 있다. 실수 연산을 하려면 고정소수점 인코딩으로 우회해야 하는데,

곱셈 깊이가 깊어질수록 스케일/정밀도 관리가 까다로워지고,
노이즈 예산(noise budget) 소모가 커지며,
현실적인 ML/통계 워크로드에서 성능과 정확도를 동시에 얻기 어렵다.

CKKS는 이 지점을 직접 겨냥해서 “실수/복소수 근사 산술”을 스킴 레벨에서 지원하도록 제안되었다.

3.2 CKKS의 핵심 개념 (직관 중심)

CKKS를 이해할 때 가장 중요한 키워드는 (A) 스케일(scale), (B) 리스케일(rescale), (C) 레벨(level)/모듈러스 체인이다.

(A) 스케일 Δ: 정밀도 비트의 “그릇”

실수 값 x를 암호화하기 전에, CKKS는 보통 x·Δ 형태로 스케일을 곱해 정수에 가깝게 만든 뒤(반올림 포함) 다항식/슬롯 형태로 인코딩한다.

Δ가 클수록 소수부를 더 정밀하게 담을 수 있지만,
곱셈을 하면 스케일이 대략 Δ²로 커져서 모듈러스/노이즈가 빨리 소모된다. :contentReference[oaicite:3]{index=3}

(B) Rescale: “스케일 정상화 + 모듈러스 스위칭”의 결합

암호문 곱셈 후에는 스케일이 커지고 노이즈도 증가한다. CKKS는 이를 해결하기 위해 Rescale을 수행하는데, 구현 관점에서는 보통

모듈러스 체인에서 마지막 프라임을 떼어내며(modulus switching)
암호문을 “스케일 다운”하여
다음 연산을 이어갈 수 있게 만든다. Microsoft SEAL 예제에서도 “Rescaling is a kind of modulus switch operation” 라고 직접 설명한다.

리스케일은 필연적으로 반올림/절단 오차를 유발하므로, CKKS는 본질적으로 근사 계산을 수행한다(이게 단점이자 강점).

(C) 레벨(Level)과 모듈러스 체인 Q: 곱셈 깊이의 예산

CKKS는 보통 큰 모듈러스 Q = q_L · q_{L-1} · ... · q_0 같은 체인(여러 소수의 곱) 위에서 시작해,

곱셈/리스케일을 할 때마다 Q를 줄이며(레벨을 내려가며) 연산을 진행한다. 결과적으로 “가능한 곱셈 깊이(multiplicative depth)”는 체인 길이와 스케일 설계에 의해 좌우된다.

3.3 SIMD/슬롯 패킹: “한 번에 벡터 연산”이 되는 이유

CKKS는 다항식 링(RLWE 기반) 구조를 이용해 한 암호문에 여러 값을 슬롯(slot) 으로 패킹하고,

덧셈/곱셈을 슬롯 단위로 병렬 수행하는 SIMD 스타일을 지원한다. 이는 프라이버시 보존 ML(벡터-행렬 곱, 컨볼루션의 폴리노미얼 근사 등)에서 매우 중요하다.

3.4 실무 파라미터링 관점: “무엇을 조절해야 하는가”

CKKS를 실제로 쓸 때 조절하는 축은 크게 아래 4가지로 정리된다.

폴리노미얼 차수 N (ring dimension)

보안/성능을 좌우. 보통 2의 거듭제곱을 선택.

Coefficient modulus 체인(q_i들)

곱셈 깊이(레벨 수)와 정밀도 손실을 결정.

초기 스케일 Δ(보통 2^k)

원하는 소수 정밀도를 결정(대략 k 비트). 너무 크면 레벨을 빠르게 소모.

연산 그래프(회로) 설계

곱셈 횟수/깊이를 줄이고, 필요할 때만 rescale/rotation을 수행하도록 구성(컴파일러/최적화 연구가 활발).

3.5 CKKS 생태계: 구현 라이브러리에서의 “사실상 표준”

Microsoft SEAL: CKKS 기본 예제에서 인코딩/스케일/리스케일 흐름을 명시적으로 다룬다.
OpenFHE: CKKS packed plaintext API를 제공하고 슬롯 기반 인코딩을 지원한다.
TenSEAL: (주로 파이썬 사용자층) CKKS “근사 수” 튜토리얼에서 rescaling을 modulus-switching 절차로 설명한다.
HElib: BGV와 함께 CKKS를 구현하며 설계 문서에서 CKKS 지원을 명시한다. }

3.6 Bootstrapping(선택 주제): “무한 연산”으로 가는 열쇠

레벨드(leveled) CKKS는 모듈러스 체인이 소진되면 더 이상 연산이 어렵다. 이를 복원(refresh) 해 연산을 계속하게 하는 핵심 기법이 부트스트래핑(bootstrapping) 이다. CKKS/HEAAN 계열 부트스트래핑 연구는 지속적으로 발전해왔고, 성능 개선 및 GPU 가속까지도 보고되어 있다.

3.7 보안/주의사항: CKKS는 “근사”라서 생기는 공격면도 있다

CKKS는 RLWE 계열 가정 위에서 설계되지만, “근사 구조/스케일링” 때문에 특정 상황에서의 보안 분석이 추가로 중요해진다. 예컨대 CKKS에 대한 수동 공격(passive attacks)을 제시하며 보안 파라미터 선택과 사용 패턴의 중요성을 강조한 연구도 있다.

따라서 실무에서는 (라이브러리 권장 파라미터/보안 레벨) + (연산 회로/키 재사용/오라클 노출) 같은 운영 측면까지 같이 점검하는 것이 안전하다.

3.8 어디에 쓰나: 대표 유스케이스

프라이버시 보존 ML 추론: 실수 기반 모델(선형/다항 근사)에서 CKKS가 특히 자연스럽다.
Encrypted analytics / 통계: 집계, 평균/분산 같은 수치 연산.
수치 시뮬레이션: PDE 등 과학계산에서도 CKKS 기반 접근 가능성을 탐색하는 흐름이 있다.

CKKS (Cheon–Kim–Kim–Song) 동형암호

RELATED POSTS

ECC (Elliptic Curve Cryptography) 핵심 정리

RSA