Towards Privacy-Preserving Federated Learning using Hybrid Homomorphic Encryption

1. Problema Identificado

O Aprendizado Federado (FL) permite treinar modelos de forma colaborativa sem compartilhar dados brutos, mas os atualizações locais do modelo podem ainda vazar informações privadas (através de ataques de reconstrução de gradientes ou inferência). Para mitigar isso, a Criptografia Homomórfica Híbrida (HHE) foi proposta, combinando cifras simétricas leves (como PASTA) com esquemas de criptografia homomórfica (como BFV). Isso reduz a sobrecarga computacional nos clientes (dispositivos IoT).

No entanto, os sistemas HHE-FL existentes (como os propostos por Correia et al. e Nguyen et al.) compartilham um par de chaves homomórficas único entre todos os clientes. Isso cria um modelo de ameaça irrealista e fraco:

• Se um cliente agir de forma maliciosa ou interceptar o tráfego de outro, ele pode usar a chave secreta homomórfica compartilhada para descriptografar a chave simétrica do outro cliente e, consequentemente, recuperar os pesos do modelo privado.
• As soluções anteriores dependem de que todos os clientes sejam "honestos mas curiosos", o que não é seguro em cenários adversariais reais.

2. Metodologia Proposta

Os autores propõem eliminar a vulnerabilidade da chave compartilhada integrando dois mecanismos alternativos de proteção de chaves no fluxo de trabalho HHE-FL, mantendo a eficiência do esquema PASTA/BFV. O sistema envolve três entidades: Autoridade de Terceira Parte (TPA), Servidor e Clientes.

Os dois mecanismos propostos são:

A. Mascaramento (Masking)

• Funcionamento: Antes de criptografar a chave simétrica do cliente ($sk_i$) sob o esquema homomórfico, o cliente adiciona uma "máscara" aleatória ($M_i$) gerada pela TPA. O cliente envia $HE.Enc(sk_i + M_i)$.
• No Servidor: O servidor, que conhece a máscara $M_i$, subtrai-a homomorficamente do ciphertext: $HE.Enc(sk_i + M_i) - M_i = HE.Enc(sk_i)$.
• Vantagem: A chave simétrica real nunca é transmitida ou armazenada em texto claro. Mesmo que outro cliente intercepte a mensagem, não consegue recuperar $sk_i$ sem a máscara específica.

B. Encapsulamento RSA (RSA Encapsulation)

• Funcionamento: O cliente criptografa a chave simétrica homomorficamente ($sk_i^{HE}$) e, em seguida, "envolve" (encapsula) esse ciphertext usando a chave pública RSA do servidor. O resultado é $RSA.Enc(sk_i^{HE})$.
• No Servidor: O servidor usa sua chave privada RSA para descriptografar e recuperar $sk_i^{HE}$, que é então usado para realizar a avaliação homomórfica da descriptografia simétrica (HESD).
• Vantagem: Garante que apenas o servidor (titular da chave privada RSA) possa acessar a chave homomórfica da chave simétrica, eliminando a necessidade de confiar em máscaras gerenciadas por terceiros.

3. Principais Contribuições

1. Identificação e Eliminação de Vulnerabilidade: Demonstraram que o uso de uma única chave homomórfica compartilhada em sistemas HHE-FL é uma falha crítica frente a clientes maliciosos e propuseram soluções para corrigi-la.
2. Novos Mecanismos de Proteção: Integraram e analisaram dois mecanismos (Mascaramento e Encapsulamento RSA) que estendem a segurança do modelo de ameaça "honesto mas curioso" para cenários com participantes maliciosos.
3. Análise de Segurança Formal: Provaram que, sob o modelo de ameaça estendido (incluindo clientes que interceptam comunicações), a confidencialidade das atualizações individuais e do modelo agregado é mantida, assumindo a segurança dos primitivos criptográficos subjacentes (BFV, PASTA e RSA).
4. Implementação e Avaliação Empírica: Implementaram ambas as abordagens no framework Flower, utilizando o esquema HHE PASTA/BFV, e avaliaram o desempenho no conjunto de dados MNIST com 12 clientes.

4. Resultados Experimentais

Os experimentos compararam as novas abordagens com o sistema baseline (Correia et al.) e entre si:

• Qualidade do Modelo: Ambas as abordagens preservaram a precisão do modelo.
  • Mascaramento: 98,35% de precisão (ligeiramente superior ao baseline de 97,39%).
  • RSA (4096 bits): 97,28% de precisão.
• Custo de Comunicação:
  • Mascaramento: Custo idêntico ao baseline (~1,79 MB por cliente).
  • RSA: Aumentou o tráfego em 1,31x (RSA-3072) e 1,22x (RSA-4096) devido ao encapsulamento, mas ainda considerado modesto.
• Custo Computacional (Clientes):
  • Mascaramento: Sobrecarga negligenciável (~0,018s, realizada na inicialização).
  • RSA: Adicionou ~0,35s a 0,38s para o processo de chunking e criptografia RSA. O tempo total de execução do cliente permaneceu na faixa de 11,9s a 12,4s.
• Custo Computacional (Servidor):
  • A operação dominante em todos os casos foi o HESD (Avaliação Homomórfica da Descriptografia Simétrica), levando ~1400s por cliente.
  • Mascaramento: Adicionou apenas 0,0014s por cliente para remover a máscara.
  • RSA: Adicionou 12s (RSA-3072) a 19,3s (RSA-4096) por cliente para descriptografia RSA. Embora mensurável, é insignificante comparado ao tempo do HESD.

5. Significado e Conclusão

O trabalho é significativo porque endurece a segurança do Aprendizado Federado baseado em HHE contra participantes maliciosos sem sacrificar a praticidade para dispositivos com recursos limitados (IoT).

• Mascaramento é a solução mais leve, ideal para cenários onde a latência e a largura de banda são críticas, oferecendo segurança quase perfeita com custo quase nulo.
• Encapsulamento RSA oferece garantias de segurança mais fortes e padronizadas (baseadas em PKI), com um custo de comunicação e computação moderado, sendo viável para cenários onde a gestão de máscaras é complexa.

Ambas as soluções superam os sistemas HHE-FL anteriores ao remover a premissa de que todos os clientes são honestos, tornando o FL mais robusto para aplicações reais em ambientes descentralizados e hostis. O gargalo principal continua sendo a operação HESD no servidor, sugerindo que otimizações futuras devem focar nessa etapa.