[논문 리뷰] SecFL: Confidential Federated Learning using TEEs

Do Le Quoc, Christof Fetzer|arXiv (Cornell University)|2021. 10. 03.

Privacy-Preserving Technologies in Data인용 수 4

한 줄 요약

SecFL은 Intel SGX와 같은 신뢰할 수 있는 실행 환경(TeE)을 활용하여 모델 훈련의 종단 간 기밀성과 무결성을 보장하는 기밀성 있는 분산 학습 프레임워크입니다. 로컬 및 글로벌 훈련을 격리된 에이전시 내에서 실행하고, 악성 클라이언트를 탐지하기 위해 원격 인증을 사용함으로써, 모델 정확도를 유지하면서도 데이터 泄露, 모델 도용, 바르티잔 공격으로부터 보호합니다.

ABSTRACT

Federated Learning (FL) is an emerging machine learning paradigm that enables multiple clients to jointly train a model to take benefits from diverse datasets from the clients without sharing their local training datasets. FL helps reduce data privacy risks. Unfortunately, FL still exist several issues regarding privacy and security. First, it is possible to leak sensitive information from the shared training parameters. Second, malicious clients can collude with each other to steal data, models from regular clients or corrupt the global training model. To tackle these challenges, we propose SecFL - a confidential federated learning framework that leverages Trusted Execution Environments (TEEs). SecFL performs the global and local training inside TEE enclaves to ensure the confidentiality and integrity of the computations against powerful adversaries with privileged access. SecFL provides a transparent remote attestation mechanism, relying on the remote attestation provided by TEEs, to allow clients to attest the global training computation as well as the local training computation of each other. Thus, all malicious clients can be detected using the remote attestation mechanisms.

연구 동기 및 목표

• 공유된 파라미터로부터 발생하는 모델 및 데이터 泄露와 같은 분산 학습의 기밀성 및 보안 취약점을 해결합니다.
• 데이터를 도용하거나 모델을 조작하거나 글로벌 모델을 손상시키기 위해 공모하는 악성 클라이언트의 위험을 완화합니다.
• 분산 학습 중 훈련 데이터, 코드, 모델 파라미터에 대한 종단 간 기밀성과 무결성을 확보합니다.
• 에이전시 실행의 투명한 원격 인증을 통해 신뢰할 수 없는 클라이언트 간의 신뢰를 구축합니다.
• 권한이 있는 적대자에 대비하여 높은 모델 유틸리티와 정확도를 유지합니다.

제안 방법

• 민감한 데이터와 코드를 신뢰할 수 없는 환경으로부터 격리하기 위해 로컬 및 글로벌 훈련 계산을 Intel SGX 에이전시 내에서 실행합니다.
• SCONE을 사용하여 수정되지 않은 애플리케이션을 SGX 에이전시 내에서 실행함으로써 시스템 호출 처리 및 메모리 격리 기능을 보장합니다.
• 접근 제어 정책을 시행하고 기밀 정보를 관리하기 위해 TEE 에이전시 내에서 실행되는 보안 정책 관리자 컴ponent를 도입합니다.
• 참여 전 클라이언트 및 서버 에이전시의 무결성과 진위성을 검증하기 위해 원격 인증을 적용합니다.
• 입력 데이터와 훈련 코드를 SCONE의 파일 시스템 실드 기능을 사용해 암호화하고, 복호화는 에이전시 내에서만 수행합니다.
• 훈련 입력의 신선도를 보장하고 재생 공격을 방지하기 위해 비동기 모나틱 카운터를 사용합니다.

실험 결과

연구 질문

• RQ1 분산 학습에서 TEE 기반 실행이 권한이 있는 적대자에 대비해 모델 파라미터와 훈련 데이터의 기밀성과 무결성을 확보할 수 있는가?
• RQ2 원격 인증은 악성 클라이언트가 훈련 계산을 조작하거나 데이터를 泄露하는 것을 얼마나 효과적으로 탐지하고 방지할 수 있는가?
• RQ3 기존의 기밀성 보존 기법과 비교했을 때 TEE의 사용이 모델 유틸리티와 정확도를 얼마나 잘 유지하는가?
• RQ4 TEE와 원격 인증을 활용해 신뢰할 수 없는 클라이언트 간에 탈중앙화된 신뢰 모델을 구축할 수 있는가?
• RQ5 감지되지 않게 모델 업데이트를 조작하는 바르티잔 클라이언트의 영향을 SecFL은 어떻게 완화하는가?

주요 결과

• SecFL은 SGX 에이전시 내에서 훈련 계산을 격리함으로써 분산 학습의 종단 간 기밀성과 무결성을 보장합니다.
• 원격 인증을 통해 클라이언트는 로컬 및 글로벌 훈련 에이전시의 정확성과 진위성을 검증할 수 있으며, 악성 행동을 탐지합니다.
• 프레임워크는 표준 분산 학습과 동일한 모델 정확도와 유틸리티를 유지하며, 차등 기밀성 또는 MPC 기반 접근 방식에서 관찰되는 성능 저하를 피합니다.
• 보안 정책 관리자 컴ponent는 접근 제어 정책을 시행하고 기밀 정보를 클라이언트나 클라우드 제공자에게 노출하지 않고 안전하게 관리합니다.
• 에이전시 기반 실행과 인증을 활용함으로써, 루트 액세스를 가진 적대자로부터도 데이터 泄露와 모델 도용을 방지합니다.
• 검증 가능하고 정책 기반의 실행을 신뢰할 수 있는 환경에서 수행함으로써, 시스템은 신뢰할 수 없는 클라이언트 간의 안전하고 투명한 협업을 지원합니다.