BGV (esquema "exato") — Família FHE que opera sobre inteiros. Sem ruído de aproximação. Para contagem censitária precisa-se de exatidão absoluta — BGV é o esquema correto.

8 192 slots — Cada ciphertext é um vetor de 8 192 valores. Em produção real do censo, cada slot pode codificar uma família ou uma região. Operação única processa todos.

Profundidade multiplicativa 2 — Quantas multiplicações encadeadas o ciphertext suporta. Para somas censitárias, profundidade baixa basta — somar é mais barato que multiplicar.

~128 bits de segurança — Padrão da indústria. Quebrar a chave exigiria ~2¹²⁸ operações — astronômico, inviável até em hardware quântico.

Base RLWE — Ring Learning With Errors. Mesmo problema do ML-KEM/ML-DSA padronizados pelo NIST como criptografia pós-quântica.

IBGE — operador técnico do censo. Detém share 1 da chave. Sozinho não consegue decifrar nada.

ANPD — autoridade nacional de proteção de dado. Detém share 2. Garante que o uso respeita LGPD.

AGU — Advocacia-Geral da União. Detém share 3. Custódia jurídica da operação.

Quórum exigido: 3 de 3. Sem autorização das três, o resultado permanece matematicamente inacessível.

Chave dividida, não copiada — A chave secreta que decifra o resultado é matematicamente dividida em N pedaços (shares) usando técnicas como Shamir Secret Sharing. Nenhum pedaço sozinho contém qualquer informação útil sobre a chave inteira — é como dar 3 pedaços de um quebra-cabeças onde nenhum pedaço isoladamente revela a imagem.

Decifração coletiva — Para decifrar, cada parte gera um "share de decifração" (não revela seu pedaço de chave). Os shares são agregados matematicamente, e só então o resultado aparece em claro. Se faltar uma parte, o agregado é inútil.

k-de-n (quórum) — Em produção real você pode configurar "3-de-5" ou "4-de-7", permitindo redundância: se até k-1 partes ficarem indisponíveis, o sistema ainda funciona. Aqui usamos 3-de-3 (todas obrigatórias) por simplicidade.

Garantia tripla — Técnica (matemática), jurídica (LGPD via ANPD), política (auditoria pública via AGU). Cada decifração deixa rastro irrefutável das três autorizações.

Dados em claro (no celular):

Vetor binário gerado localmente:

Cifragem local: o vetor é cifrado com a chave pública do consórcio (gerada na fase de threshold). Sai da casa apenas o ciphertext de ~384 KB.

Vetor característico (one-hot) — Em vez de enviar "estou no Nordeste e sou pobre", a família envia um vetor binário onde cada posição representa uma região, e o valor é 1 ou 0. Isso permite que o IBGE simplesmente some os vetores para obter o total por região.

Cifragem antes do envio — A diferença crucial vs censo tradicional: o vetor é cifrado na própria casa, antes de viajar. Em nenhum momento existe uma cópia em claro fora do dispositivo da família.

3 ms por dataset — Cifrar um vetor de 8 192 slots leva poucos milissegundos em smartphone comum. Velocidade não é gargalo.

100 famílias na demo — Versão didática. Em produção real do IBGE, milhões de famílias contribuem em paralelo. O padrão escala porque cada cifragem é independente.

Bytes que chegam:

Esses bytes são pseudoaleatórios — indistinguíveis de ruído para qualquer observador sem a chave secreta.

CLOUD Act americano — Lei dos EUA (2018) que obriga empresas americanas (incluindo AWS, Azure, GCP) a entregar dados de seus clientes mediante ordem judicial americana, mesmo se os dados estão fisicamente fora dos EUA. É a maior preocupação de soberania digital do Brasil hoje.

Por que FHE neutraliza — A cloud só armazena ciphertext. Não tem a chave (que está distribuída no Brasil entre IBGE+ANPD+AGU). Mesmo se receber ordem judicial americana e for obrigada a entregar tudo o que tem, entrega bytes pseudoaleatórios. Ninguém — nem mesmo o juiz americano — consegue extrair informação útil.

Soberania de dado por matemática — Em vez de migrar tudo para cloud nacional (caro, lento, limitado), o Brasil pode usar a infraestrutura global de cloud sem entregar soberania. É exatamente o tipo de movimento que países sérios em soberania digital (França via SecNumCloud, Alemanha via Gaia-X) estão buscando.

Soma homomórfica — A propriedade que dá nome a "FHE" (Fully Homomorphic Encryption) é exatamente esta: a soma de dois ciphertexts decifra para a soma dos plaintexts. Dec(ct₁ + ct₂) = m₁ + m₂. O servidor faz a operação sem nunca ver os números.

Slot-wise — Cada ciphertext tem 8 192 slots (5 deles ativos para as 5 regiões). A soma é feita slot a slot. Slot 0 (Norte) acumula só os 1's vindos das famílias do Norte. Slot 1 (Nordeste) acumula só os do Nordeste. E assim por diante. Tudo paralelo, em uma única operação.

Por que esta demo é "trivial" — O exemplo didático já chega com os agregados pré-somados para simplificar o passo a passo. Em produção real do IBGE, este passo é onde as milhões de somas acontecem — e é o passo que mais ganha com batching de slots.

Sem decifração — Em momento algum o servidor toca em valores em claro. Ele só sabe que tem dois "objetos opacos" e que a operação Add devolve um terceiro objeto opaco. A matemática garante que esse terceiro objeto, quando decifrado pelo quórum, será a soma correta.

BGV é esquema "exato" — Diferente de CKKS (que opera em números reais aproximados), BGV opera em inteiros módulo um primo. Sem ruído de aproximação. O resultado da soma cifrada é sempre bit-a-bit idêntico à soma plaintext.

Por que isso importa para censo — Em estatística pública, "31% pobres no Norte" e "30,8% pobres no Norte" são números diferentes. A precisão precisa ser absoluta. BGV garante isso. Para benchmarking de hospital ou ML federado, CKKS aproximado basta. Para censo, exigimos BGV exato.

Auditoria pública possível — Como o resultado é matematicamente verificável (FHE não introduz aleatoriedade no resultado final), qualquer auditor independente pode rodar a mesma operação sobre os mesmos ciphertexts e obter o mesmo agregado. Reproducibilidade é parte da garantia.

Ataque: juiz americano emite ordem para AWS/Azure/GCP entregar todos os dados brasileiros hospedados em seus servidores.

Defesa: a cloud só tem ciphertext. Entrega bytes pseudoaleatórios. Sem a chave (que está distribuída no Brasil entre IBGE+ANPD+AGU), nada é decifrável. Mesmo a NSA com supercomputador clássico precisaria de ~2¹²⁸ operações para tentar quebrar uma única chave.

Ataque: funcionário com acesso ao share do IBGE tenta decifrar dado individual.

Defesa: ele tem só 1 dos 3 shares necessários. Sozinho, seu share é matematicamente inútil. Para decifrar precisaria convencer ANPD e AGU a colaborar — três decisões institucionais simultâneas, com auditoria.

Ataque: pesquisador legítimo tenta cruzar a tabela agregada com bases públicas (eleitorais, CNPJ, OpenStreetMap) para re-identificar famílias específicas.

Defesa: a tabela agregada com K-anonymity ≥ 10 por célula é resistente — cada célula representa pelo menos 10 famílias indistinguíveis. Para hardening adicional, pode-se aplicar privacidade diferencial (ruído gaussiano calibrado) antes de publicar.

Defesa em profundidade — A força não vem de uma única barreira "perfeita", mas de três barreiras independentes que precisariam ser quebradas simultaneamente. Quebrar a matemática (RLWE) é inviável. Quebrar a distribuição de chaves exige colusão tripla institucional. Quebrar a anonimização exige re-identificação contra base agregada protegida por DP.

Não é "confiança no IBGE" — A defesa é deliberadamente construída para sobreviver a um IBGE malicioso. Esse é o ponto de FHE + threshold: não confiar em ninguém, e mesmo assim funcionar.