[論文レビュー] Secure Linear Aggregation Using Decentralized Threshold Additive Homomorphic Encryption For Federated Learning

Haibo Tian, Fangguo Zhang+2 more|arXiv (Cornell University)|Nov 21, 2021

Cryptography and Data Security参考文献 31被引用数 9

ひとこと要約

本稿は、分散型閾値加法的同型暗号（DTAHE）を用いた安全な線形集約プロトコルを提案し、パラメータサーバーがユーザー入力の重み付き和を計算しつつもプライバシーを保護できるようにする。このプロトコルは、全般的な線形変換（例：全結合層や畳み込み層）をサポートし、Bonawitzらのフレームワークを用いて障害耐性を実現し、ブロックチェーンスマートコントラクトによりサーバーの誠実性を保証する。評価では、格子に基づくDTAHEがサーバー側の計算を最小限に抑え、楕円曲線に基づくDTAHEがユーザー側の通信を最適化する。

ABSTRACT

Secure linear aggregation is to linearly aggregate private inputs of different users with privacy protection. The server in a federated learning (FL) environment can fulfill any linear computation on private inputs of users through the secure linear aggregation. At present, based on pseudo-random number generator and one-time padding technique, one can efficiently compute the sum of user inputs in FL, but linear calculations of user inputs are not well supported. Based on decentralized threshold additive homomorphic encryption (DTAHE) schemes, this paper provides a secure linear aggregation protocol, which allows the server to multiply the user inputs by any coefficients and to sum them together, so that the server can build a full connected layer or a convolution layer on top of user inputs. The protocol adopts the framework of Bonawitz et al. to provide fault tolerance for user dropping out, and exploits a blockchain smart contract to encourage the server honest. The paper gives a security model, security proofs and a concrete lattice based DTAHE scheme for the protocol. It evaluates the communication and computation costs of known DTAHE construction methods. The evaluation shows that an elliptic curve based DTAHE is friendly to users and the lattice based version leads to a light computation on the server.

研究の動機と目的

• 既存の安全集約プロトコルが単なる和計算に限定されているという制限を解消し、フェデレーテッドラーニングにおける一般線形変換をサポートすること。
• ユーザーの入力に対して、生データを露呈せずにパラメータサーバーが任意の線形演算（例：重み付き和）を実行できることを実現すること。
• トレーニングラウンド中にユーザーが切断する状況下でも、障害耐性を確保すること。
• ブロックチェーンスマートコントラクトを用いてサーバーの誠実性を保証し、悪意ある行動を防止すること。
• 特に格子ベースおよび楕円曲線ベースの方式を含む、新たなDTAHE構成により通信コストと計算コストを最適化すること。

提案手法

• プロトコルは、ユーザーが入力を暗号化できる分散型閾値加法的同型暗号（DTAHE）方式を用い、サーバーが同型的に線形結合を計算できるようにする。
• ユーザーの切断を処理するため、Bonawitzらのフォールトトレラントフレームワークを採用する。
• 正しく集約された結果の検証と誠実なサーバー行動のインcentivize（インcentivize）のため、ブロックチェーンベースのスマートコントラクトを用いる。
• セマンティック的セキュリティと chosen-plaintext 擊ちの下でのプライバシーを保証するセキュリティモデルに基づく。
• 2つの具体的なDTAHE構成を評価する：格子に基づくもの（サーバー側の効率性を最適化）と楕円曲線ElGamalに基づくもの（ユーザー側の通信を最適化）。
• 係数の乗算と暗号化された入力上の和の計算を可能にすることで、任意の線形演算（例：全結合層や畳み込み層の構築）をサポートする。

実験結果

リサーチクエスチョン

• RQ1 フェデレーテッドラーニングにおける一般線形変換をサポートするように、安全集約プロトコルを単なる和計算の範囲から拡張できるか？
• RQ2 ユーザーがトレーニングラウンド中に切断する状況下でも、安全な線形集約プロトコルで障害耐性をどのように達成できるか？
• RQ3 実世界のフェデレーテッドラーニング環境において、異なるDTAHE構成の間で通信コストと計算コストのトレードオフはどのように変化するか？
• RQ4 ブロックチェーンスマートコントラクトは、分散型フェデレーテッドラーニング環境において、サーバーの誠実性を効果的に強制できるか？
• RQ5 実用的導入において、効率性とプライバシーのバランスが最も良いのは、格子ベースのDTAHEか、楕円曲線ベースのDTAHEか？

主な発見

• 格子ベースのDTAHE方式は、サーバー側の計算コストを顕著に低減し、n=35のときParDecフェーズで合計51.17秒、FinDecフェーズで1.64秒を要した。
• 楕円曲線ベースのDTAHE（EC-ElGamal）は、ユーザー側の通信オーバーヘッドを最小限に抑え、ユーザー数が20を超えると他の手法を上回った。
• ユーザー数が26を超えると、提案されたプロトコルはBGGJK-2およびBDベースのDTAHE方式よりもユーザー側の通信コストが低かった。
• EC-ElGamalベースのDTAHE方式は、ユーザー側の合計計算時間が最も低く（441.25秒）、一方格子ベースの方式はサーバー側で最も効率的だった。
• 本プロトコルは、全結合層や畳み込み層の構築を含む一般線形演算を正常にサポートし、単なる和計算を超えた安全集約の実現に成功した。
• セキュリティ証明により、プロトコルがchosen-plaintext 攻撃に対して耐性を持ち、DTAHEの仮定の下でセマンティック的セキュリティを満たすことが確認された。