Resumo Técnico: Proteção de Parâmetros de Aprendizado Federado Baseada em Criptografia Homomórfica e Descriptografia Seletiva de Usuários

1. Declaração do Problema

O artigo aborda duas vulnerabilidades críticas em sistemas de Aprendizado Federado (FL) existentes:

1. Vazamento de Privacidade e Ataques de Inferência: Os esquemas de segurança atuais frequentemente dependem de criptografia básica ou da confiabilidade dos participantes, o que falha em defender efetivamente contra ataques sofisticados, como inferência de membros, raciocínio de atributos e reversão de modelo. Servidores maliciosos ou semi-honestos podem analisar atualizações de gradientes para reconstruir dados originais dos usuários ou inferir informações sensíveis.
2. Instabilidade do Sistema e Perda de Eficiência: Usuários com dados de baixa qualidade, caracterizados por infraestrutura não confiável, redes instáveis ou motivações maliciosas (ex: ataques de envenenamento), degradam a velocidade de treinamento, interferem na eficiência da agregação e ameaçam a estabilidade de todo o ecossistema de FL. Métodos de criptografia tradicionais muitas vezes carecem de mecanismos para filtrar esses usuários, levando a uma convergência ineficiente e potencial contaminação do modelo.

2. Metodologia

Os autores propõem um framework abrangente de proteção de parâmetros de FL que integra Criptografia Homomórfica de Limiar (Threshold), Avaliação de Qualidade de Dados e Assinaturas Digitais. A arquitetura do sistema envolve um Centro de Certificação, um Centro de Aprendizado Federado (Servidor) e múltiplos Usuários de Nós.

Componentes Principais:

• Criptografia Homomórfica Paillier Distribuída:

  • O sistema utiliza um mecanismo de limiar $(t, n)$ baseado no criptossistema Paillier.
  • A chave privada é dividida usando tecnologia de compartilhamento de segredos (Shamir's Secret Sharing) em $n$ chaves parciais distribuídas entre os usuários.
  • Garantia de Segurança: Nenhuma entidade única (incluindo o servidor) detém a chave privada completa. A descriptografia requer a colaboração de pelo menos $t$ usuários, mitigando pontos únicos de falha e resistindo a ataques de colusão onde o número de participantes maliciosos é inferior a $t$.
  • Homomorfismo Aditivo: Permite que o servidor agregue gradientes criptografados ($E(g^*) = \prod E(g_i)$) sem descriptografá-los, preservando a confidencialidade dos dados durante a fase de agregação.

• Descriptografia Seletiva de Usuários baseada na Qualidade de Dados:

  • Para abordar a eficiência e a robustez, o sistema não exige que todos os usuários participem da descriptografia. Em vez disso, ele seleciona os $t$ melhores usuários com a maior qualidade de dados.
  • Métricas de Avaliação: A qualidade dos dados é avaliada usando duas covariáveis:
    1. Dispersão de Dados ($d$): A distância euclidiana entre o gradiente local do usuário e o gradiente ótimo global.
    2. Similaridade de Gradiente ($v$): A similaridade de cosseno entre os vetores de gradiente local e global.
  • Pontuação Composta ($Q$): Um valor de avaliação composto $Q = d \cdot v$ é calculado. Usuários com valores de $Q$ altos (indicando pequena dispersão e alta consistência direcional) são selecionados como "contribuintes ativos" para realizar as tarefas de descriptografia parcial. Isso filtra atualizações de baixa qualidade ou maliciosas antes que elas impactem o modelo global.

• Assinatura Digital e Integridade:

  • O Algoritmo de Assinatura Digital de Curva Elíptica (ECDSA) é empregado para autenticação de ponta a ponta.
  • Os usuários assinam seus gradientes criptografados e resultados de descriptografia parcial. O servidor verifica essas assinaturas para garantir a integridade dos parâmetros e evitar adulterações ou ataques de repetição durante a transmissão.

Fluxo de Trabalho:

1. Inicialização: O Centro de Certificação gera as chaves, divide a chave privada e distribui as chaves públicas e as chaves privadas parciais aos usuários.
2. Treinamento Local: Os usuários treinam localmente, computam gradientes, avaliam a qualidade dos dados, criptografam os gradientes e assinam os dados.
3. Agregação: O servidor agrega os gradientes criptografados e verifica as assinaturas.
4. Seleção e Descriptografia: O servidor seleciona os $t$ usuários de alta qualidade. Esses usuários realizam a descriptografia parcial no texto cifrado agregado usando suas fatias de chave.
5. Reconstrução Final: O servidor agrega os resultados da descriptografia parcial para recuperar o gradiente global em texto claro e atualiza o modelo.

3. Principais Contribuições

O artigo delineia três contribuições primárias:

1. Segmentação de Chave Baseada em Limiar: Um método para agregar parâmetros de modelo usando um sistema Paillier distribuído onde os direitos de descriptografia são limitados a um limiar $t$. Isso elimina o risco de um único detentor de chave privada e resiste a ataques de colusão, garantindo que os parâmetros permançam criptografados durante todo o processo.
2. Seleção de Descriptografia Direcionada pela Qualidade: Um mecanismo inovador que seleciona participantes de descriptografia com base na avaliação da qualidade dos dados (dispersão e similaridade). Isso garante que apenas nós de alta qualidade e confiáveis participem da tarefa de descriptografia computacionalmente intensiva, melhorando assim a eficiência do treinamento e a precisão do modelo, ao mesmo tempo em que filtra entradas maliciosas ou de baixa qualidade.
3. Validação de Desempenho: Resultados experimentais demonstrando que o esquema proposto alcança uma convergência de modelo mais rápida (aproximadamente 10% de maior eficiência) em comparação com esquemas de criptografia homomórfica existentes, com precisão comparável, enquanto resiste efetivamente a ataques de inferência e envenenamento.

4. Resultados Experimentais

Os autores avaliaram o esquema nos conjuntos de dados MNIST, Fashion-MNIST e CIFAR-10 sob condições Non-IID, comparando-o com FedAvg, FedBN, Fed_Paillier, PL_FedIPEC e THFed.

• Proteção de Privacidade:

  • Resistência à Inversão de Gradiente: O esquema proposto reduziu significativamente a Relação Sinal-Ruído de Pico (PSNR) das imagens reconstruídas em comparação com o texto claro (FedAvg) e outros esquemas de criptografia. Por exemplo, no MNIST, o PS $\text{NR}$ caiu de 34,26 dB (FedAvg) para 11,38 dB (Proposto), indicando que atacantes não podem recuperar dados significativos.
  • Extração de Rótulos: A precisão da extração de rótulos foi reduzida a níveis próximos ao acaso (ex: 7,3% no MNIST vs. 100% para FedAvg).
  • Similaridade Estrutural (SSIM): O esquema alcançou os menores valores de SSIM (ex: 0,21 no MNIST), confirmando o mínimo vazamento de informação estrutural.

• Convergência e Precisão:

  • Velocidade de Convergência: O esquema proposto exigiu menos iterações para convergir. No MNIST, convergiu em 63 rodadas comparado a 68 para FedAvg e 70 para Fed_Paillier, representando uma melhoria de ~10% na eficiência de aprendizado.
  • Precisão: O esquema manteve alta precisão (ex: 97,74% no MNIST), comparável a outros métodos de preservação de privacidade e apenas ligeiramente inferior à linha de base Centralizada não privada.
  • Robustez: Sob cenários de ataque malicioso (até 30% de alcance de ataque e 0,4 de severidade), o esquema proposto manteve convergência e precisão estáveis, mostrando uma degradação de desempenho significativamente menor do que os métodos de linha de base.

• Sobrecarga (Overhead):

  • Computação: O esquema incorre em uma sobrecarga computacional maior do que as linhas de base sem criptografia devido à criptografia/descriptografia e verificação de assinatura. No entanto, é comparável ou ligeiramente superior a outros esquemas homomórficos (ex: ~10% superior ao THFed) devido à adição da avaliação de qualidade e etapas de descriptografia de múltiplas partes.
  • Comunicação: A sobrecarga de comunicação é linearmente correlacionada com o número de usuários e o tamanho da chave. O esquema requer um pouco mais de largura de banda do que esquemas de poda de gradiente (como o THFed) devido à transmissão de resultados de descriptografia e assinaturas, mas evita a perda de precisão associada à poda de gradiente.

5. Significância e Alegações

O artigo afirma que o framework proposto equilibra com sucesso o compromisso entre segurança, eficiência e precisão no Aprendizado Federado.

• Segurança: Ao combinar criptografia de limiar com descriptografia seletiva, o sistema defende efetivamente contra inferência de membros, reversão de modelo e adulteração do lado do servidor, garantindo que mesmo um servidor semi-honesto não possa acessar os dados brutos do usuário.
• Eficiência: A introdução de um mecanismo de avaliação de qualidade de dados permite que o sistema selecione dinamicamente os nós mais confiáveis para a descriptografia. Isso não apenas acelera a convergência do modelo ao filtrar atualizações ruidosas ou maliciosas, mas também otimiza a alocação de recursos.
• Confiabilidade: A integração de assinaturas digitais garante a integridade de todo o pipeline de comunicação, desde as atualizações locais até a agregação global.

Os autores concluem que esta abordagem fornece uma solução robusta para construir ambientes de compartilhamento de dados seguros e confiáveis, particularmente em cenários onde a heterogeneidade de dados e comportamentos maliciosos potenciais são preocupações significativas. Eles reconhecem que, embora o esquema introduza sobrecarga computacional, o compromisso é justificado pelo aumento da segurança e pela melhoria da estabilidade de convergência. O trabalho futuro sugere explorar aceleração de hardware e criptografia esparsa para otimizar ainda mais os custos.