[論文レビュー] FedZKP: Federated Model Ownership Verification with Zero-knowledge Proof

Wenyuan Yang, Yuguo Yin+5 more|arXiv (Cornell University)|May 8, 2023

Privacy-Preserving Technologies in Data被引用数 5

ひとこと要約

FedZKPは、xLPN問題のハッシュを水性として埋め込むことで、信頼できる検証者を必要としないゼロ知識証明ベースのフェデレーテッドモデル所有権検証方式を提案する。暗号的整合性と近接衝突攻撃に対する耐性により、証明可能な安全性を達成し、侵害確率は無視できるほど低く、攻撃的トレーニングや削除試行に対しても計算コストが低い。

ABSTRACT

Federated learning (FL) allows multiple parties to cooperatively learn a federated model without sharing private data with each other. The need of protecting such federated models from being plagiarized or misused, therefore, motivates us to propose a provable secure model ownership verification scheme using zero-knowledge proof, named FedZKP. It is shown that the FedZKP scheme without disclosing credentials is guaranteed to defeat a variety of existing and potential attacks. Both theoretical analysis and empirical studies demonstrate the security of FedZKP in the sense that the probability for attackers to breach the proposed FedZKP is negligible. Moreover, extensive experimental results confirm the fidelity and robustness of our scheme.

研究の動機と目的

• 既存のフェデレーテッドモデル所有権方式における証明可能な安全性の欠如と信頼できる検証者への依存を解消すること。
• 機密情報の漏洩リスクを低減するため、機密資格情報を公開せずに所有権証明を可能とすること。
• 定義されたセキュリティモデルを通じて、広範な攻撃クラスに対する形式的な暗号的セキュリティ保証を提供すること。
• 衝突耐性のあるハッシュ関数を用いることで、モデルトレーニングや悪意ある削除攻撃による水性エラーを軽減すること。
• Pruning、ファインチューニング、標的攻撃を含む現実的なFL環境下でも、所有権検証の高精度性と耐障害性を確保すること。

提案手法

• フェデレーテッドモデル内に、学習パリティ・ノイズ（xLPN）問題インスタンスのハッシュを水性として埋め込み、一意で検証可能な所有権資格を保証する。
• ゼロ知識証明（ZKP）を用いて、モデル所有者がxLPNの解を明らかにせずに所有を証明できるようにし、信頼できない検証を可能にする。
• xLPNに基づくコミットメントスキームを用い、水性をモデルに束縛する。検証時に、秘密を露呈せずにコミットメントを開放する。
• xLPN問題インスタンスに衝突耐性のあるハッシュ関数を適用し、攻撃者が検証を回避できる近接衝突を見つけるのを防ぐ。
• ZKPメカニズムをフェデレーテッドラーニングパイプラインに統合し、クライアントが秘密を暴露せずに、公開入力とプライベート入力のみで所有権を証明できるようにする。
• dラウンドのマルチラウンドZKPプロトコルを用い、健全性誤り確率を$(\frac{2}{3})^d$に保つことで、偽造成功確率を無視できるほど低く保証する。

実験結果

リサーチクエスチョン

• RQ1 フェデレーテッドラーニングにおけるモデル所有権検証方式は、信頼できる検証者に依存せずに、証明可能な安全性を達成できるか？
• RQ2 ゼロ知識証明をフェデレーテッドラーニングに効果的に統合することで、所有権資格情報を保護しつつ、検証の正確性を維持できるか？
• RQ3 モデルトレーニングや攻撃的攻撃（例：Pruning、ファインチューニング）が、水性の整合性と検証精度に与える影響は何か？
• RQ4 ハッシュの近接衝突を発見する難易度が、所有権資格の偽造をどれほど防げるか？
• RQ5 実際のフェデレーテッドラーニング環境にZKPベースの所有権検証システムを導入した場合の実用的コスト（時間、メモリ、通信）はどの程度か？

主な発見

• クライアント数が5、10、20のいずれの場合でも、検出率の変動は±0.5%以内に保たれ、システム規模の変化に対しても安定している。
• AlexNetとResNetでは、それぞれ水性長さが1664ビット以下、4500ビット以下の条件下で検出率の下限が保証され、実験的検出率は理論的下限を上回っている。
• 700行のxLPN行列に対する証明生成は8ms、検証は86msで完了し、300ラウンドでも実用的なパフォーマンスを示している。
• 600行の行列と300ラウンドの場合、証明生成に2.186秒、検証に17.919秒を要し、健全性誤り確率は$(\frac{2}{3})^{300}$にまで低下し、偽造リスクは無視できるほど小さい。
• 典型的な設定（m=800, l=700, N=10, d=300）下での検証のメモリコストは1.54MBであり、モデルサイズに比べて無視できる。
• 同様の設定下での通信コストは824KBであり、フェデレーテッドモデル自体のサイズに比べて無視できる。