[論文レビュー] Does Fully Homomorphic Encryption Need Compute Acceleration?

Leo de Castro, Rashmi Agrawal+5 more|arXiv (Cornell University)|Dec 13, 2021

Cryptography and Data Security被引用数 25

ひとこと要約

この論文はCKKSベースの完全同型計算(FHE)のブーストラップ手順の分析を通じて、メモリ帯域幅が主要なボトルネックであり、計算加速のみでは限られた利得にとどまることを示しています。キャッシュに優しい最適化とメモリを意識したパラメータ調整ツールを提案し、実用性のためにはメモリ改善が不可欠であると結論付けています。

ABSTRACT

Fully Homomorphic Encryption (FHE) allows arbitrarily complex computations on encrypted data without ever needing to decrypt it, thus enabling us to maintain data privacy on third-party systems. Unfortunately, sustaining deep computations with FHE requires a periodic noise reduction step known as bootstrapping. The cost of the bootstrapping operation is one of the primary barriers to the wide-spread adoption of FHE. In this paper, we present an in-depth architectural analysis of the bootstrapping step in FHE. First, we observe that secure implementations of bootstrapping exhibit a low arithmetic intensity (<1 Op/byte), require large caches (>100 MB), and are heavily bound by the main memory bandwidth. Consequently, we demonstrate that existing workloads observe marginal performance gains from the design of bespoke high-throughput arithmetic units tailored to FHE. Second, we propose several cache-friendly algorithmic optimizations that improve the throughput in FHE bootstrapping by enabling up to 3.2x higher arithmetic intensity and 4.6x lower memory bandwidth. Our optimizations apply to a wide range of structurally similar computations such as private evaluation and training of machine learning models. Finally, we incorporate these optimizations into an architectural tool which, given a cache size, memory subsystem, the number of functional units and a desired security level, selects optimal cryptosystem parameters to maximize the bootstrapping throughput. Our optimized bootstrapping implementation represents a best-case scenario for compute acceleration of FHE. We show that despite these optimizations, bootstrapping continues to be bottlenecked by main memory bandwidth. We propose new research directions to address the underlying memory bottleneck. In summary, our answer to the titular question is: yes, but only after addressing the memory bottleneck!

研究の動機と目的

• メモリシステム上でのFHEブーストラッピングの性能ボトルネックを特徴付ける。
• CKKS FHE演算のための純粋な計算中心の加速が実現可能か評価する。
• ブーストラッピングスループットを改善するためのキャッシュに優しい and メモリを意識した最適化を開発する。
• メモリ制約下でスループットを最大化する暗号系パラメータを選択するアーキテクチャツールを提供する。
• 最終的なFHEワークロードでは計算ではなくメモリのボトルネックが支配的であることを示し、今後の研究方向を概説する。

提案手法

• プリミティブからエンドツーエンドのアプリケーションまで一連のCKKS演算をベンチマークして、計算とメモリのバランスを評価する。
• 安全なFHEプリミティブのためのメモリ帯域幅とワーキングセット要件を分析する。
• キャッシュに優しいドメイン固有のメモリ最適化とアルゴリズム改善を提案し、演算強度を高める。
• ブーストラッピングスループットを最大化するためのメモリを意識した暗号系パラメータ選択を開発する。
• ハードウェアとセキュリティ制約を考慮して最適なパラメータを出力するアーキテクチャツールへ最適化を統合する。

実験結果

リサーチクエスチョン

• RQ1 CKKS FHEプリミティブとブーストラッピングのメモリと帯域要件は何か。
• RQ2 計算中心の最適化はFHEのスループットを意味のある程度向上させられるのか、それともメモリ帯域幅が真のボトルネックか。
• RQ3 キャッシュに配慮した技術とRNSベースの算術はFHEの算術強度をどのように改善できるか。
• RQ4 セキュリティ制約の下でブーストラッピングスループットを最大化するパラメータ調整戦略は何か。

主な発見

• すべてのCKKS/FHE演算は低い算術強度を示す（<1 Op/byte）。
• ワーキングセットサイズは典型的なLLC容量を超え、ブーストラッピングと関連作業はメモリ依存である。
• キャッシュに優しいドメイン固有の最適化は、ブーストラッピングに対して最大で3.2倍の算術強度向上と4.6倍のメモリ帯域幅低減をもたらせる。
• 最適化されたパラメータでもブーストラッピングはボトルネックのままで、メモリ帯域幅が基本的な制限であることを指摘している。
• アーキテクチャツールは与えられたハードウェアとセキュリティ制約の下でブーストラッピングスループットを最大化する暗号系パラメータを選択できる。
• 本研究は、セキュアFHEには計算加速を超えてメモリボトルネックに対処するアプローチが必要であると主張している。