💻 computer science

Towards Privacy-Preserving Federated Learning using Hybrid Homomorphic Encryption

Questo lavoro propone un sistema di Federated Learning basato su crittografia omomorfica ibrida che, integrando meccanismi di mascheramento e incapsulamento RSA, elimina le vulnerabilità legate alla condivisione di chiavi tra i client e garantisce sicurezza anche in scenari con partecipanti malevoli, mantenendo al contempo accuratezza del modello e overhead computazionale minimi.

Autori originali: Ivan Costa, Pedro Correia, Ivone Amorim, Eva Maia, Isabel Praça

Pubblicato 2026-03-30

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Ivan Costa, Pedro Correia, Ivone Amorim, Eva Maia, Isabel Praça

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

🏫 Il Problema: La Scuola Segreta

Immagina un gruppo di studenti (i dispositivi, come i tuoi telefoni o sensori IoT) che vogliono imparare a riconoscere i numeri scritti a mano (il dataset MNIST). Invece di portare i loro quaderni pieni di appunti privati a scuola (il Server centrale), decidono di studiare da soli a casa.

Ogni studente fa i suoi esercizi, impara qualcosa di nuovo e invia al maestro solo il riassunto delle sue lezioni (gli aggiornamenti del modello), non i suoi appunti segreti. Questo metodo si chiama Federated Learning. È come se tutti imparassero insieme senza mai mostrare cosa hanno scritto nei loro diari.

Tuttavia, c'è un problema: anche il riassunto può rivelare troppi dettagli. Se uno studente cattivo (un client malintenzionato) ruba il riassunto di un altro, potrebbe capire cosa c'era scritto nel suo quaderno segreto.

🔒 La Soluzione Vecchia: La Chiave Maestra (e il suo difetto)

Per proteggere questi riassunti, i ricercatori hanno usato una tecnica chiamata Crittografia Ibrida (HHE).
Immagina che ogni studente scriva il suo riassunto in una lingua segreta (crittografia simmetrica, veloce e leggera). Poi, per permettere al maestro di leggere e sommare tutti i riassunti senza decifrarli, chiudono la chiave di quella lingua in una cassaforte magica (crittografia omomorfica).

Il difetto: In tutti i sistemi precedenti, tutti gli studenti usavano la stessa cassaforte magica e la stessa chiave.
Se uno studente cattivo rubava la chiave del compagno, poteva aprire la cassaforte, leggere la chiave della lingua segreta e, di conseguenza, leggere il riassunto rubato. Era come se tutti avessero la stessa chiave di casa: se un ladro ne avesse una copia, avrebbe accesso a tutte le case.

🛡️ La Nuova Idea: Due Nuovi Scudi

Gli autori di questo studio hanno detto: "Basta! Dobbiamo proteggere le chiavi in modo che, anche se un compagno cattivo le ruba, non possa usarle". Hanno inventato due metodi creativi:

1. Il Metodo della "Maschera" (Masking)

Immagina che ogni studente, prima di mettere la chiave nella cassaforte magica, la copra con un pezzo di carta colorata (una maschera) che solo lui e il maestro conoscono.

Cosa succede: Lo studente invia la chiave "mascherata".
Il trucco: Il maestro, che ha la lista delle maschere, può togliere il pezzo di carta direttamente dentro la cassaforte magica (senza aprirla) e ottenere la chiave pulita.
Perché funziona: Se uno studente cattivo ruba il pacco, vede solo una chiave coperta da un foglio di carta che non sa leggere. Non può usarla per aprire il riassunto del compagno. È velocissimo e costa pochissimo.

2. Il Metodo del "Foglio di Carta Sigillato" (RSA Incapsulamento)

Immagina che lo studente metta la chiave nella cassaforte magica, e poi metta quella cassaforte dentro un foglio di carta sigillato con il timbro del maestro (chiave pubblica RSA).

Cosa succede: Lo studente invia il pacco: "Cassaforte magica dentro Foglio Sigillato".
Il trucco: Solo il maestro ha il timbro (la chiave privata) per aprire il foglio sigillato e recuperare la cassaforte magica.
Perché funziona: Anche se uno studente cattivo ruba il pacco, non può aprire il foglio sigillato. Non può nemmeno vedere cosa c'è dentro. È come inviare una lettera raccomandata: solo il destinatario può aprirla. È un po' più lento del metodo della maschera, ma molto sicuro.

🧪 I Risultati: Funziona davvero?

Gli autori hanno provato queste idee su un computer simulando 12 studenti che imparano a riconoscere i numeri. Ecco cosa hanno scoperto:

L'intelligenza non cala: Il modello finale è diventato intelligente quanto prima (fino al 98% di precisione). Nessuno ha perso la capacità di imparare.
Il costo è basso:
- Il metodo della Maschera è stato quasi istantaneo. Non ha rallentato quasi per nulla gli studenti.
- Il metodo del Sigillo (RSA) ha aggiunto un piccolo ritardo (pochi secondi), ma è comunque accettabile.
La sicurezza è reale: Ora, anche se uno studente cattivo cerca di spiare gli altri, non riesce a rubare i segreti. Il sistema è diventato robusto contro i "cattivi" interni, non solo contro gli estranei.

🏁 Conclusione in una frase

Questo studio ha trasformato un sistema di apprendimento collaborativo che era vulnerabile come una casa con una sola chiave per tutti, in un sistema sicuro dove ogni chiave è protetta da una maschera o da un sigillo, permettendo a tutti di imparare insieme senza paura di essere spiati, e senza rallentare troppo il processo.

1. Il Problema

L'apprendimento federato (Federated Learning - FL) permette di addestrare modelli collaborativi mantenendo i dati sensibili sui dispositivi dei client. Tuttavia, gli aggiornamenti locali del modello possono comunque rivelare informazioni private attraverso attacchi come la ricostruzione dei gradienti o l'inferenza di appartenenza.

Per mitigare questo rischio, è stata proposta la Crittografia Ibrida Omomorfica (HHE), che combina una cifratura simmetrica leggera (per i dati) con uno schema omomorfico (per le chiavi), riducendo il carico computazionale sui client. Nonostante i vantaggi, i sistemi HHE-FL esistenti (come quelli di Correia et al. e Nguyen et al.) presentano una vulnerabilità critica: tutti i client condividono la stessa coppia di chiavi omomorfiche.

Modello di minaccia debole: Questo approccio assume che tutti i client siano onesti. Se un client malevolo intercetta il traffico di un altro client, può utilizzare la chiave omomorfica condivisa per decifrare la chiave simmetrica del victim e, di conseguenza, recuperare i suoi aggiornamenti del modello privati.
Obiettivo: Eliminare questa vulnerabilità estendendo la sicurezza del FL a scenari con partecipanti malevoli, senza sacrificare l'efficienza.

2. Metodologia

Gli autori propongono due nuovi meccanismi di protezione delle chiavi da integrare nel flusso di lavoro HHE-FL (basato su PASTA per la cifratura simmetrica e BFV per l'omomorfismo), eliminando la necessità di una chiave omomorfica condivisa tra tutti i client.

Il sistema coinvolge tre entità: un'Autorità di Terza Parte (TPA) fidata, un Server e i Client.

Meccanismi Proposti:

Mascheramento (Masking):
- Prima di inviare la chiave simmetrica al server, ogni client "acceca" (blinds) la propria chiave aggiungendo una maschera casuale ( $M_i$ ) generata dalla TPA.
- Il client invia al server la chiave omomorficamente cifrata contenente la somma: $HE.Enc(sk_i + M_i)$ .
- Il server, conoscendo la maschera $M_i$ , la sottrae omomorficamente per ottenere $HE.Enc(sk_i)$ , necessaria per la decifratura simmetrica (HESD).
- Vantaggio: Un client malevolo non può recuperare la chiave di un altro perché non conosce la maschera specifica di quel client.
Incapsulamento RSA (RSA Encapsulation):
- La chiave simmetrica del client viene prima cifrata omomorficamente ( $sk_i^{HE}$ ).
- Successivamente, questo risultato viene "avvolto" (wrapped) utilizzando la chiave pubblica RSA del Server.
- Il client invia $RSA.Enc(sk_i^{HE})$ .
- Solo il Server, possedendo la chiave privata RSA, può decifrare il pacchetto per ottenere $sk_i^{HE}$ .
- Vantaggio: Anche se un client intercetta il messaggio, non può decifrarlo senza la chiave privata RSA del server, eliminando il rischio di abuso delle chiavi omomorfiche.

3. Contributi Chiave

Identificazione e rimozione della vulnerabilità della chiave condivisa: Il paper dimostra come la condivisione di una singola coppia di chiavi omomorfiche renda i sistemi precedenti vulnerabili a client malevoli.
Integrazione di due contromisure: Sviluppo e integrazione di meccanismi di mascheramento e incapsulamento RSA nel flusso HHE-FL.
Analisi di sicurezza estesa: Definizione di un modello di minaccia che include client malevoli capaci di intercettare le comunicazioni, garantendo la confidenzialità degli aggiornamenti individuali e aggregati.
Implementazione e Valutazione Empirica: Realizzazione completa su framework Flower utilizzando lo schema PASTA/BFV, con test su dataset MNIST e 12 client.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su un ambiente Google Colab (T4 GPU) con 12 client e 10 round di addestramento.

Qualità del Modello: Entrambi i meccanismi preservano l'accuratezza del modello.
- Masking: 98.35% (leggermente superiore alla baseline).
- RSA 4096: 97.28%.
- Baseline (Correia et al.): 97.39%.
Costi di Comunicazione:
- Masking: Nessun costo aggiuntivo significativo rispetto alla baseline (~1.79 MB per client).
- RSA: Aumento moderato del traffico (fattore 1.22x per RSA-4096 e 1.31x per RSA-3072) dovuto all'incapsulamento e alla frammentazione (chunking) delle chiavi.
Costi Computazionali:
- Client: Il Masking aggiunge un sovraccarico trascurabile (~0.018s). L'incapsulamento RSA aggiunge circa 0.35-0.38s per la cifratura e il chunking.
- Server: Il collo di bottiglia rimane l'operazione HESD (~1400s per client).
  - Masking: Aggiunge solo ~0.001s per la rimozione della maschera.
  - RSA: Aggiunge ~12s (RSA-3072) o ~19s (RSA-4096) per la decifratura RSA per client. Sebbene misurabile, questo costo è trascurabile rispetto al tempo totale di HESD.

5. Significato e Conclusione

Questo lavoro rappresenta un passo fondamentale verso l'adozione pratica dell'HHE in ambienti Federated Learning reali e ostili.

Sicurezza: Risolve il problema fondamentale della fiducia eccessiva nei client, rendendo il sistema robusto anche in presenza di partecipanti malevoli che tentano di intercettare le comunicazioni.
Efficienza: Dimostra che è possibile rafforzare la sicurezza senza compromettere l'efficienza. Il meccanismo di Masking è particolarmente efficiente e ideale per dispositivi IoT con risorse limitate, mentre l'incapsulamento RSA offre garanzie più forti basate su crittografia asimmetrica standard, con un costo computazionale accettabile.
Impatto: Il paper fornisce una soluzione pratica per scenari "cross-device" (es. IoT, sanità) dove la privacy è critica e le risorse sono scarse, superando i limiti dei modelli di minaccia "honest-but-curious" utilizzati in lavori precedenti.

In sintesi, gli autori hanno trasformato un sistema HHE-FL teoricamente vulnerabile in una soluzione pratica e sicura contro client malevoli, mantenendo un equilibrio ottimale tra privacy, sicurezza e prestazioni.