[논문 리뷰] FedZKP: Federated Model Ownership Verification with Zero-knowledge Proof

Wenyuan Yang, Yuguo Yin외 5명|arXiv (Cornell University)|2023. 05. 08.

Privacy-Preserving Technologies in Data인용 수 5

한 줄 요약

FedZKP는 xLPN 문제의 해시를 워터마크로 통합함으로써 신뢰할 수 있는 검증자를 필요로 하지 않는, 페더레이티드 모델 소유권 검증을 위한 영지식 증명 기반 기법을 제안한다. 암호학적 타당성과 근접 충돌 공격에 대한 저항성을 통해 증명 가능한 보안을 확보하며, 침해 확률은 극히 낮고, 공격자에 의한 학습 또는 워터마크 제거 시도가 있더라도 저비용의 계산 오버헤드를 유지한다.

ABSTRACT

Federated learning (FL) allows multiple parties to cooperatively learn a federated model without sharing private data with each other. The need of protecting such federated models from being plagiarized or misused, therefore, motivates us to propose a provable secure model ownership verification scheme using zero-knowledge proof, named FedZKP. It is shown that the FedZKP scheme without disclosing credentials is guaranteed to defeat a variety of existing and potential attacks. Both theoretical analysis and empirical studies demonstrate the security of FedZKP in the sense that the probability for attackers to breach the proposed FedZKP is negligible. Moreover, extensive experimental results confirm the fidelity and robustness of our scheme.

연구 동기 및 목표

• 기존의 페더레이티드 모델 소유권 검증 기법에서의 증명 가능한 보안 부족과 신뢰할 수 있는 검증자 의존 문제를 해결하기 위해.
• 민감한 자격 증명을 노출하지 않고도 소유권 증명을 가능하게 하여 자격 증명 泄露 위험을 제거하기 위해.
• 정의된 보안 모델을 통해 광범위한 공격 유형에 대한 공식적인 암호학적 보안 보장을 제공하기 위해.
• 충돌 저항성 있는 해시 함수를 활용하여 모델 학습 또는 악성 제거 공격으로 인한 워터마크 오류를 완화하기 위해.
• 절단, 미세조정, 타겟 공격 등 실제 페더레이티드 러닝 환경에서의 조건에서도 높은 정밀도와 강건성을 확보하기 위해.

제안 방법

• 학습된 노이즈가 있는 정수의 문제(xLPN) 인스턴스의 해시를 워터마크로 통합하여 고유하고 검증 가능한 소유권 자격 증명을 보장한다.
• 영지식 증명(ZKP)을 활용하여 모델 소유자가 xLPN 해답을 노출하지 않고도 소유권을 증명할 수 있도록 하여 신뢰 없는 검증을 가능하게 한다.
• xLPN 기반의 암호학적 기반의 약속 기반 기법을 사용하여 워터마크를 모델에 고정시키며, 검증 시에 암호학적으로 약속을 열어 검증한다.
• xLPN 문제 인스턴스에 충돌 저항성 있는 해시 함수를 적용하여 공격자가 근접 충돌을 찾는 것을 방지하여 검증을 우회하는 것을 막는다.
• ZKP 메커니즘을 페더레이티드 러닝 파이프라인에 통합하여 클라이언트가 비밀 정보를暴露하지 않고도 공개 및 비공개 입력만으로 소유권을 증명할 수 있도록 한다.
• d라운드 동안 소음성 오류 확률이 $(\frac{2}{3})^d$인 다중 라운드 ZKP 프로토콜을 사용하여 위조 성공 확률이 극히 낮게 유지되도록 한다.

실험 결과

연구 질문

• RQ1 페더레이티드 러닝에서의 모델 소유권 검증 기법이 신뢰할 수 있는 검증자를 필요로 하지 않고도 증명 가능한 보안을 달성할 수 있는가?
• RQ2 어떻게 영지식 증명을 효과적으로 페더레이티드 러닝에 통합하여 소유권 자격 증명을 보호하면서도 검증 정밀도를 유지할 수 있는가?
• RQ3 모델 학습 및 악성 공격(예: 절단, 미세조정)이 워터마크의 무결성과 검증 정확도에 어떤 영향을 미치는가?
• RQ4 해시 근접 충돌을 찾는 데 어려움이 있는 정도가 공격자가 소유권 자격 증명을 위조하는 것을 얼마나 효과적으로 방지할 수 있는가?
• RQ5 실제 페더레이티드 러닝 환경에서 ZKP 기반의 소유권 검증 시스템을 구현할 경우의 실용적 성능 비용(시간, 메모리, 통신)은 어떠한가?

주요 결과

• 클라이언트 수가 5, 10, 20일 때 검출률이 ±0.5% 이내로 안정되어 있어 시스템 규모에 대한 강건성을 입증한다.
• AlexNet과 ResNet의 경우, 워터마크 길이가 각각 1664비트 이하, 4500비트 이하일 때 검출률 하한선이 보장되며, 실험적 검출률은 이론적 하한선을 초과한다.
• 700행의 xLPN 행렬에 대해 증명 생성 시간은 8ms, 검증 시간은 86ms이며, 300라운드에서도 실용적인 성능을 확보한다.
• 600행 행렬과 300라운드를 사용할 경우 증명 생성 시간은 2.186초, 검증 시간은 17.919초이며, 소음성 오류 확률이 $(\frac{2}{3})^{300}$으로 극히 낮아 위조 위험은 무시할 수 있다.
• 일반 설정(m=800, l=700, N=10, d=300)에서 검증의 메모리 비용은 1.54MB로 모델 크기 대비 극히 낮다.
• 동일한 설정에서 통신 비용은 824KB로, 페더레이티드 모델 자체의 크기 대비 극히 낮다.