하이브리드 동형 암호화 (HHE) 를 활용한 프라이버시 보호 연방 학습에 대한 기술 요약

이 논문은 프라이버시 보호 연방 학습 (Federated Learning, FL) 환경에서 기존 하이브리드 동형 암호화 (Hybrid Homomorphic Encryption, HHE) 시스템의 보안 취약점을 해결하고, 악성 클라이언트가 존재하는 적대적 환경에서도 안전하게 작동할 수 있는 두 가지 새로운 키 보호 메커니즘을 제안합니다.

1. 문제 정의 (Problem)

연방 학습 (FL) 은 데이터를 중앙 서버로 전송하지 않고 로컬 기기에서 모델을 학습하여 파라미터만 공유함으로써 프라이버시를 보호합니다. 그러나 최근 연구에 따르면 로컬 모델 업데이트 (그래디언트 등) 만으로도 데이터 유출이 발생할 수 있습니다. 이를 해결하기 위해 하이브리드 동형 암호화 (HHE) 가 도입되었는데, 이는 경량 대칭 암호 (PASTA 등) 와 동형 암호 (HE) 를 결합하여 클라이언트의 계산 부하를 줄이는 방식입니다.

하지만 기존 HHE 기반 FL 시스템 (Correia et al., Nguyen et al. 등) 은 다음과 같은 치명적인 보안 취약점을 가지고 있었습니다:

• 공유된 동형 암호 키 쌍 (Shared HE Key Pair): 모든 클라이언트가 동일한 동형 암호 공개/비밀 키 쌍을 사용합니다.
• 취약한 위협 모델: 이 방식은 모든 클라이언트가 "정직하지만 호기심이 많은 (honest-but-curious)" 상태라고 가정합니다.
• 악성 클라이언트 공격: 만약 한 클라이언트 (공격자) 가 다른 클라이언트의 통신을 가로채면, 공유된 동형 암호 비밀 키를 사용하여 상대방의 대칭 암호 키를 복호화하고, 이를 통해 원본 모델 업데이트 (민감한 데이터) 를 탈취할 수 있습니다.

2. 제안된 방법론 (Methodology)

저자들은 기존 시스템의 "공유 키" 취약점을 제거하고, 악성 클라이언트가 통신을 가로채더라도 키를 오용할 수 없도록 하는 두 가지 대안적인 키 보호 메커니즘을 HHE-FL 워크플로우에 통합했습니다.

2.1. 시스템 아키텍처

• 주요 엔티티: 제 3 자 권한 기관 (TPA), 서버, 클라이언트.
• 기본 HHE 구성: PASTA (대칭 암호) + BFV (동형 암호) 스택 사용.
• 작동 원리: 클라이언트는 로컬 데이터를 PASTA 로 암호화하고, PASTA 키를 동형 암호로 암호화하여 서버로 전송합니다. 서버는 동형 암호 공간에서 PASTA 복호화 회로를 평가 (HESD) 하여 데이터를 동형 암호로 변환한 후 집계합니다.

2.2. 제안된 두 가지 키 보호 메커니즘

A. 마스킹 (Masking)

• 원리: 클라이언트가 PASTA 키를 동형 암호로 암호화하기 전에, TPA 가 발급한 무작위 **마스킹 값 (Mask)**을 키에 더합니다.
  • 클라이언트 전송: $HE.Enc(sk_i + M_i)$
• 서버 처리: 서버는 해당 클라이언트의 마스킹 값 $M_i$를 알고 있으므로, 동형 연산을 통해 마스킹 값을 뺍니다.
  • 서버 계산: $HE.Enc(sk_i + M_i) - M_i = HE.Enc(sk_i)$
• 특징: 다른 클라이언트는 마스킹 값 $M_i$를 알 수 없으므로, 가로챈 메시지를 복호화할 수 없습니다.

B. RSA 캡슐화 (RSA Encapsulation)

• 원리: 클라이언트가 동형 암호로 암호화된 PASTA 키 ($HE.Enc(sk_i)$) 를 생성한 후, 이를 서버의 RSA 공개 키로 다시 감싸서 (Encapsulate) 전송합니다.
  • 클라이언트 전송: $RSA.Enc(HE.Enc(sk_i))$
• 서버 처리: 서버만이 RSA 비밀 키를 가지고 있으므로, 먼저 RSA 복호화를 수행하여 $HE.Enc(sk_i)$를 얻은 후, 이를 사용하여 HESD 를 수행합니다.
• 특징: RSA 는 평문 크기가 제한적이므로, 동형 암호화된 키를 청크 (chunk) 로 나누어 처리합니다. 이 방식은 키 관리에 대한 신뢰를 TPA 나 마스킹 관리에서 서버의 RSA 키 관리로 전환합니다.

3. 주요 기여 (Key Contributions)

1. 공유 키 취약점 식별 및 제거: 기존 HHE-FL 시스템이 악성 클라이언트에게 노출되는 근본적인 원인을 규명하고 이를 해결했습니다.
2. 새로운 키 보호 메커니즘 통합:
   • 마스킹: 경량화된 오버헤드로 키를 블라인드 처리.
   • RSA 캡슐화: 널리 사용되는 공개키 암호학을 활용하여 서버만 키를 복호화 가능하게 함.
3. 확장된 위협 모델下的 보안 분석: "정직한 클라이언트" 가 아닌, 통신을 가로챌 수 있는 **악성 클라이언트 (Malicious Clients)**가 존재하는 환경에서의 보안성을 수학적으로 증명했습니다.
4. 실제 구현 및 평가: Flower 프레임워크와 PASTA/BFV 스택을 기반으로 두 메커니즘을 구현하고 MNIST 데이터셋 (12 개 클라이언트) 에서 실험했습니다.

4. 실험 결과 (Results)

12 개 클라이언트, 10 라운드의 MNIST 실험 결과:

• 모델 정확도 (Accuracy):

  • 기존 방식 (Correia et al.): 97.39%
  • 마스킹: 98.35% (가장 높음)
  • RSA-3072: 98.04%
  • RSA-4096: 97.28%
  • 결론: 제안된 두 방식 모두 모델 정확도를 유지하거나 오히려 향상시켰습니다.

• 통신 오버헤드:

  • 마스킹: 기존 방식과 동일한 크기 (약 1.79MB/클라이언트).
  • RSA 캡슐화: RSA-3072 는 1.31 배, RSA-4096 은 1.22 배 증가. (동형 암호화된 키를 RSA 로 감싸면서 발생)

• 계산 오버헤드:

  • 클라이언트:
    • 마스킹: 초기화 시 0.018 초 추가 (거의 무시할 수준).
    • RSA: 키 청크화 및 암호화로 인해 0.35~0.38 초 추가 (전체 학습 시간 12 초 내외에서 미미함).
  • 서버:
    • HESD (동형 복호화) 작업이 전체 비용의 대부분을 차지함.
    • 마스킹: 마스킹 제거 비용 0.001 초 (거의 무의미).
    • RSA: RSA 복호화 비용이 추가됨 (RSA-3072: 12 초, RSA-4096: 19.3 초). 이는 HESD 비용에 비해 상대적으로 작지만, 클라이언트 수가 늘어날수록 선형적으로 증가하는 단점이 있습니다.

5. 의의 및 결론 (Significance)

이 논문은 프라이버시 보호 연방 학습의 실용성을 한 단계 높였습니다.

• 보안성 강화: 기존 HHE-FL 시스템이 가진 "정직한 클라이언트"라는 비현실적인 가정을 깨고, 악성 클라이언트가 존재하는 적대적 환경에서도 안전한 시스템을 구축했습니다.
• 실용적 타협 (Trade-off):
  • 마스킹: 계산 및 통신 오버헤드가 거의 없어 리소스가 제한된 IoT 기기 환경에 가장 적합합니다.
  • RSA 캡슐화: 마스킹 관리에 대한 신뢰를 줄이고 표준 공개키 암호를 사용하므로, 보안 강도를 높이는 대안으로 적합합니다.
• 미래 방향: 서버 측의 병목 현상 (HESD) 을 해결하기 위해 병렬 처리나 하드웨어 가속, 그리고 단일 동형 암호 키에 대한 잔여 신뢰를 제거하기 위한 경량 멀티키 HE 연구가 필요함을 제시했습니다.

요약하자면, 이 연구는 HHE 기반 FL 시스템의 보안 취약점을 해결하면서도 모델 정확도와 성능을 희생하지 않는 두 가지 실용적인 솔루션을 제시하여, 사물인터넷 (IoT) 및 의료 데이터와 같은 민감한 환경에서의 연방 학습 배포 가능성을 크게 높였습니다.