Résumé technique : Protection des paramètres de l'apprentissage fédéré basée sur le chiffrement homomorphe et la déchiffrement sélectif des utilisateurs

1. Énoncé du problème

L'article traite de deux vulnérabilités critiques dans les systèmes d'apprentissage fédéré (FL - Federated Learning) existants :

1. Fuite de confidentialité et attaques par inférence : Les schémas de sécurité actuels reposent souvent sur un chiffrement basique ou sur la fiabilité des participants, ce qui ne parvient pas à défendre efficacement contre des attaques sophistiquées telles que l'inférence de membre, le raisonnement d'attribut et l'inversion de modèle. Des serveurs malveillants ou semi-honnêtes peuvent analyser les mises à jour de gradients pour reconstruire les données originales des utilisateurs ou inférer des informations sensibles.
2. Instabilité du système et perte d'efficacité : Les utilisateurs aux données de faible qualité, caractérisés par des infrastructures peu fiables, des réseaux instables ou des motivations malveillantes (par exemple, des attaques par empoisonnement), dégradent la vitesse d'entraînement, interfèrent avec l'efficacité de l'agrégation et menacent la stabilité de l'ensemble de l'écosystème FL. Les méthodes de chiffrement traditionnelles manquent souvent de mécanismes pour filtrer ces utilisateurs, entraînant une convergence inefficace et une potentielle contamination du modèle.

2. Méthodologie

Les auteurs proposent un cadre complet de protection des paramètres de FL qui intègre le chiffrement homomorphe à seuil, l'évaluation de la qualité des données et les signatures numériques. L'architecture du système implique un Centre de Certification, un Centre d'Apprentissage Fédéré (Serveur) et plusieurs Utilisateurs-Nœuds.

Composants clés :

• Chiffrement homomorphe de Paillier distribué :

  • Le système utilise un mécanisme de seuil $(t, n)$ basé sur le cryptosystème de Paillier.
  • La clé privée est divisée à l'aide de la technologie de partage de secret (partage de secret de Shamir) en $n$ clés partielles distribuées parmi les utilisateurs.
  • Garantie de sécurité : Aucune entité unique (y compris le serveur) ne détient la clé privée complète. Le déchiffrement nécessite la collaboration d'au moins $t$ utilisateurs, atténuant ainsi les points de défaillance uniques et résistant aux attaques de collusion où le nombre de participants malveillants est inférieur à $t$.
  • Homomorphisme additif : Permet au serveur d'agréger les gradients chiffrés ($E(g^*) = \prod E(g_i)$) sans les déchiffrer, préservant ainsi la confidentialité des données pendant la phase d'agrégation.

• Déchiffrement sélectif des utilisateurs basé sur la qualité des données :

  • Pour répondre aux enjeux d'efficacité et de robustesse, le système ne nécessite pas que tous les utilisateurs participent au déchiffrement. Au lieu de cela, il sélectionne les $t$ meilleurs utilisateurs présentant la plus haute qualité de données.
  • Métriques d'évaluation : La qualité des données est évaluée à l'aide de deux covariables :
    1. Dispersion des données ($d$) : La distance euclidienne entre le gradient local de l'utilisateur et le gradient optimal global.
    2. Similitude de gradient ($v$) : La similitude cosinus entre les vecteurs de gradient locaux et globaux.
  • Score composite ($Q$) : Une valeur d'évaluation composite $Q = d \cdot v$ est calculée. Les utilisateurs ayant des valeurs $Q$ élevées (indiquant une faible dispersion et une forte cohérence directionnelle) sont sélectionnés comme « contributeurs actifs » pour effectuer les tâches de déchiffrement partiel. Cela filtre les mises à jour de faible qualité ou malveillantes avant qu'elles n'impactent le modèle global.

• Signature numérique et intégrité :

  • L'algorithme de signature numérique sur courbes elliptiques (ECDSA) est employé pour l'authentification de bout en bout.
  • Les utilisateurs signent leurs gradients chiffrés et leurs résultats de déchiffrement partiel. Le serveur vérifie ces signatures pour garantir l'intégrité des paramètres et prévenir les attaques par falsification ou par rejeu lors de la transmission.

Flux de travail :

1. Initialisation : Le Centre de Certification génère les clés, divise la clé privée et distribue les clés publiques et les clés privées partielles aux utilisateurs.
2. Entraînement local : Les utilisateurs s'entraînent localement, calculent les gradients, évaluent la qualité des données, chiffrent les gradients et signent les données.
3. Agrégation : Le serveur agrège les gradients chiffrés et vérifie les signatures.
4. Sélection et déchiffrement : Le serveur sélectionne les $t$ utilisateurs de haute qualité. Ces utilisateurs effectuent un déchiffrement partiel sur le texte chiffré agrégé en utilisant leur partage de clé.
5. Reconstruction finale : Le serveur agrège les résultats du déchiffrement partiel pour récupérer le gradient global en clair et met à jour le modèle.

3. Principales contributions

L'article expose trois contributions primaires :

1. Segmentation de clé basée sur un seuil : Une méthode d'agrégation des paramètres du modèle utilisant un système de Paillier distribué où les droits de déchiffrement sont limités à un seuil $t$. Cela élimine le risque lié à un détenteur unique de la clé privée et résiste aux attaques de collusion, garantissant que les paramètres restent chiffrés tout au long du processus.
2. Sélection de déchiffrement pilotée par la qualité : Un mécanisme novateur qui sélectionne les participants au déchiffrement sur la base d'une évaluation de la qualité des données (dispersion et similitude). Cela garantit que seuls les nœuds de haute qualité et dignes de confiance participent à la tâche de déchiffrement, qui est coûteuse en calcul, améliorant ainsi l'efficacité de l'entraînement et la précision du modèle tout en filtrant les entrées malveillantes ou de faible qualité.
3. Validation des performances : Les résultats expérimentaux démontrent que le schéma proposé atteint une convergence de modèle plus rapide (environ 10 % d'efficacité supérieure) par rapport aux schémas de chiffrement homomorphe existants, avec une précision comparable, tout en résistant efficacement aux attaques par inférence et par empoisonnement.

4. Résultats expérimentaux

Les auteurs ont évalué le schéma sur les jeux de données MNIST, Fashion-MNIST et CIFAR-10 dans des conditions Non-IID, en le comparant à FedAvg, FedBN, Fed_Paillier, PL_FedIPEC et THFed.

• Protection de la confidentialité :

  • Résistance à l'inversion de gradient : Le schéma proposé a considérablement réduit le rapport signal sur bruit de crête (PSNR) des images reconstruites par rapport au texte clair (FedAvg) et aux autres schémas de chiffrement. Par exemple, sur MNIST, le PSNR est passé de 34,26 dB (FedAvg) à 11,38 dB (Proposé), indiquant que les attaquants ne peuvent pas récupérer de données significatives.
  • Extraction de labels : La précision de l'extraction de labels a été réduite à des niveaux proches du hasard (par exemple, 7,3 % sur MNIST contre 100 % pour FedAvg).
  • Similitude structurelle (SSIM) : Le schéma a obtenu les valeurs SSIM les plus basses (par exemple, 0,21 sur MNIST), confirmant une fuite minimale d'informations structurelles.

• Convergence et précision :

  • Vitesse de convergence : Le schéma proposé a nécessité moins d'itérations pour converger. Sur MNIST, il a convergé en 63 cycles contre 68 pour FedAvg et 70 pour Fed_Paillier, représentant une amélioration d'environ 10 % de l'efficacité de l'apprentissage.
  • Précision : Le schéma maintient une précision élevée (par exemple, 97,74 % sur MNIST), comparable aux autres méthodes de préservation de la confidentialité et légèrement inférieure au niveau de référence centralisé non privé.
  • Robustesse : Dans des scénarios d'attaque malveillante (jusqu'à 30 % de plage d'attaque et 0,4 de sévérité), le schéma proposé a maintenu une convergence et une précision stables, montrant une dégradation de performance nettement moindre que les méthodes de référence.

• Surcharge (Overhead) :

  • Calcul : Le schéma induit une surcharge de calcul plus élevée que les bases non chiffrées en raison du chiffrement/déchiffrement et de la vérification des signatures. Cependant, elle est comparable ou légèrement supérieure aux autres schémas homomorphes (environ 10 % de plus que THFed) en raison de l'évaluation de la qualité et des étapes de déchiffrement multi-parties.
  • Communication : La surcharge de communication est linéairement corrélée au nombre d'utilisateurs et à la taille des clés. Le schéma nécessite un peu plus de bande passante que les schèmes d'élagage de gradient (comme THFed) en raison de la transmission des résultats de déchiffrement et des signatures, mais évite la perte de précision associée à l'élagage de gradient.

5. Signification et affirmations

L'article affirme que le cadre proposé parvient à équilibrer le compromis entre sécurité, efficacité et précision dans l'apprentissage fédéré.

• Sécurité : En combinant la cryptographie à seuil et le déchiffrement sélectif, le système se défend efficacement contre l'inférence de membre, l'inversion de modèle et les falsifications côté serveur, garantissant que même un serveur semi-honnête ne peut accéder aux données brutes des utilisateurs.
• Efficacité : L'introduction d'un mécanisme d'évaluation de la qualité des données permet au système de sélectionner dynamiquement les nœuds les plus fiables pour le déchiffrement. Cela non seulement accélère la convergence du modèle en filtrant les mises à jour bruitées ou malveillantes, mais optimise également l'allocation des ressources.
• Fiabilité : L'intégration de signatures numériques garantit l'intégrité de l'ensemble du pipeline de communication, des mises à jour locales à l'agrégation globale.

Les auteurs concluent que cette approche fournit une solution robuste pour construire des environnements de partage de données sécurisés et dignes de confiance, particulièrement dans les scénarios où l'hétérogénéité des données et les comportements malveillants potentiels sont des préoccupations majeures. Ils reconnaissent que, bien que le schéma introduise une surcharge de calcul, le compromis est justifié par le renforcement de la sécurité et l'amélioration de la stabilité de la convergence. Des travaux futurs sont suggérés pour explorer l'accélération matérielle et le chiffrement parcimonieux afin d'optimiser davantage les coûts.