💻 computer science

Towards Privacy-Preserving Federated Learning using Hybrid Homomorphic Encryption

该论文针对现有混合同态加密联邦学习系统中因共享密钥而存在的安全隐患，提出了通过盲化掩码和 RSA 封装两种机制来保护密钥的方案，在确保模型精度的同时以极小的开销实现了抵御恶意参与者的隐私保护。

原作者： Ivan Costa, Pedro Correia, Ivone Amorim, Eva Maia, Isabel Praça

发布于 2026-03-30

📖 1 分钟阅读☕ 轻松阅读

原作者： Ivan Costa, Pedro Correia, Ivone Amorim, Eva Maia, Isabel Praça

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这是一篇关于如何在保护隐私的前提下，让许多设备共同训练人工智能的学术论文。

为了让你轻松理解，我们可以把这篇论文的故事想象成一场**“秘密烹饪大赛”**。

1. 背景：什么是联邦学习（Federated Learning）？

想象一下，有 12 位大厨（客户端/设备），他们各自拥有独家的食谱（敏感数据，比如病人的医疗记录或手机里的照片）。他们都想学会做一道完美的“全球招牌菜”（全局 AI 模型），但谁也不愿意把自家的独家食材（原始数据）交给别人。

传统做法：大家把食材寄给中央厨房（服务器），这很危险，食材可能被偷看。
联邦学习（FL）：大厨们只把**“调味心得”**（模型更新/梯度）寄给中央厨房。中央厨房把这些心得混合，做出新配方，再发回给大厨。这样，食材永远留在自己家里。

但是，问题来了：即使只寄“调味心得”，聪明的黑客也能通过分析这些心得，反推出大厨家里到底用了什么食材（隐私泄露）。

2. 之前的解决方案：混合同态加密（HHE）

为了解决上述问题，之前的研究发明了一种“魔法信封”技术，叫混合同态加密（HHE）。

原理：
1. 大厨用一把**普通的锁（对称加密）**锁住“调味心得”。这把锁很快，很轻。
2. 但是，中央厨房需要知道怎么开锁才能把大家的调料混在一起。所以，大厨把钥匙也寄过去，但钥匙被装在一个**超级厚重的魔法保险箱（同态加密）**里。
3. 中央厨房虽然打不开保险箱，但它可以在保险箱外面“施法”（同态计算），把里面的钥匙拿出来用，解开普通锁，混合调料，然后再把锁上。

听起来很完美，对吧？但之前的系统有一个巨大的漏洞。

3. 之前的漏洞：大家共用一把“魔法钥匙”

在之前的系统里，所有 12 位大厨都共用同一把“魔法钥匙”的副本。

比喻：想象所有大厨的保险箱都配了同一把万能钥匙。
风险：如果其中一位大厨（比如叫“坏蛋乙”）是个捣乱分子，他截获了另一位大厨（“老实人甲”）寄来的包裹。因为“坏蛋乙”手里也有那把通用的魔法钥匙，他就能打开“老实人甲”的魔法保险箱，拿到里面的普通钥匙，进而解开“老实人甲”的调味心得，偷看他的独家食谱！
结论：之前的系统假设所有大厨都是好人，只要有一个坏人，整个系统就崩了。

4. 这篇论文的突破：给每个人发“专属护盾”

作者（Ivan Costa 等人）说：“不行，我们不能假设所有人都是好人。我们要给每个人发一套专属的防偷窥护盾，即使有人偷了别人的包裹，也打不开。”

他们提出了两种新的“护盾”方案：

方案一：蒙眼法（Masking）

比喻：在把钥匙放进魔法保险箱之前，先给钥匙蒙上一层厚厚的眼罩（随机掩码）。
过程：
1. 大厨把钥匙 + 眼罩一起锁进魔法保险箱。
2. 中央厨房收到后，虽然打不开保险箱，但它知道眼罩的图案（因为眼罩是它提前分发的）。
3. 中央厨房在魔法世界里，直接把眼罩“减”掉（利用数学特性），剩下的就是真正的钥匙。
4. 优点：如果“坏蛋乙”偷了包裹，他看到的只是“钥匙 + 眼罩”。没有眼罩的图案，他解不开。而且这个方法超级快，几乎不花钱。

方案二：双重保险箱（RSA 封装）

比喻：把钥匙锁进魔法保险箱后，再把这个魔法保险箱**塞进一个更坚固的、只有中央厨房能打开的“超级保险箱”（RSA 加密）**里。
过程：
1. 大厨先锁好魔法保险箱，再锁上超级保险箱。
2. 只有中央厨房有超级保险箱的钥匙。
3. 即使“坏蛋乙”截获了包裹，他连第一层（魔法保险箱）都打不开，因为外面还包着一层只有中央厨房能开的锁。
优点：非常安全，不需要依赖“眼罩”的管理。
缺点：稍微慢一点点，因为要开两层锁。

5. 实验结果：既安全又高效

作者把这两种新方法用在了真实的 AI 训练（识别手写数字 MNIST）中，找了 12 个“大厨”（设备）来测试。

味道（模型准确率）：两种新方法做出来的菜，味道和以前一样好，甚至更好（准确率高达 98% 以上）。
成本（开销）：
- 蒙眼法：几乎没有额外成本，就像给钥匙贴了个贴纸，快得感觉不到。
- 双重保险箱：稍微慢了一点点（多花了几秒钟），通信数据量增加了一点点，但对于现代网络来说，这点代价完全可以接受。

6. 总结

这篇论文的核心思想就是：
以前的“隐私烹饪大赛”太天真了，假设所有参与者都是好人。现在，我们发明了两种新的“防偷窥护盾”（蒙眼法和双重保险箱），让即使有坏人混在队伍里，也没法偷看别人的秘密。而且，这些护盾非常轻便，不会拖慢大家做饭的速度。

这使得联邦学习在物联网（IoT）设备（如手机、传感器）上变得更加安全和实用，真正实现了“数据不动，模型动”的隐私保护愿景。

这是一篇关于混合同态加密（Hybrid Homomorphic Encryption, HHE）在联邦学习（Federated Learning, FL）中应用的学术论文总结。该研究旨在解决现有 HHE-FL 系统中存在的关键安全漏洞，即“共享密钥”假设导致的隐私泄露风险，并提出了两种新的密钥保护机制。

以下是该论文的详细技术总结：

1. 研究背景与问题 (Problem)

联邦学习 (FL) 的隐私局限：FL 允许在不共享原始数据的情况下协作训练模型，但本地模型更新（如梯度或权重）仍可能通过梯度反转、成员推断等攻击泄露敏感信息。
混合同态加密 (HHE) 的优势与缺陷：
- 优势：HHE 结合了轻量级对称加密（如 PASTA）和同态加密（HE，如 BFV）。客户端使用对称加密数据，仅将对称密钥用 HE 加密发送给服务器。服务器通过同态解密电路（HESD）将对称密文转换为同态密文进行聚合。这大大降低了资源受限设备（如 IoT）的客户端计算开销。
- 核心缺陷（本文解决的问题）：现有的 HHE-FL 系统（如 Correia et al. [9] 和 Nguyen et al. [29]）通常假设所有客户端共享同一对同态密钥。
- 威胁模型漏洞：这种设计基于一个不切实际的“诚实但好奇”假设。如果存在恶意客户端，它截获了其他客户端的通信，就可以利用共享的同态私钥解密其他客户端加密的对称密钥，进而解密其他客户端的模型更新，导致严重的隐私泄露。

2. 方法论 (Methodology)

为了解决共享密钥带来的安全隐患，作者提出了两种密钥保护机制，将 HHE-FL 的安全模型从“诚实但好奇”扩展到包含“恶意参与者”的对抗环境。

2.1 系统架构

系统包含三个实体：

第三方权威机构 (TPA)：完全可信，负责生成和分发密钥（PASTA 密钥、BFV 密钥对、掩码或 RSA 密钥对）。
服务器：协调 FL 训练，执行安全聚合（HESD 和聚合），不学习明文更新。
客户端：本地训练，加密更新并发送。

2.2 提出的两种机制

方案 A：掩码机制 (Masking)

原理：在客户端生成对称密钥 $sk_i$ 后，TPA 为其生成一个随机掩码 $M_i$ 。客户端在发送前，计算 $HE.Enc(sk_i + M_i)$ 。
服务器处理：服务器知道掩码 $M_i$ ，利用同态加法性质，在密文空间执行减法： $HE.Enc(sk_i + M_i) - M_i = HE.Enc(sk_i)$ ，从而恢复出加密的对称密钥。
特点：计算和通信开销极低，但需要服务器妥善管理掩码。

方案 B：RSA 封装机制 (RSA Encapsulation)

原理：客户端首先用同态公钥加密对称密钥得到 $sk_i^{HE}$ ，然后利用服务器的 RSA 公钥对 $sk_i^{HE}$ 进行二次封装（加密），即 $RSA.Enc(sk_i^{HE})$ 。
服务器处理：服务器使用自己的 RSA 私钥解密外层，得到 $sk_i^{HE}$ ，随后进行 HESD 操作。
特点：基于成熟的公钥密码学，减少了对掩码管理的依赖，但引入了 RSA 加解密的开销。由于 $sk_i^{HE}$ 较大，需进行分块（Chunking）处理。

2.3 实现细节

框架：基于 Flower 框架实现。
密码学套件：PASTA（对称加密）+ BFV（同态加密）。
语言桥接：使用 pybind11 连接 Python (Flower) 和 C++ (PASTA/BFV)。
RSA 优化：针对 BFV 密文过大无法直接 RSA 加密的问题，采用了分块加密策略。

3. 主要贡献 (Key Contributions)

识别并消除共享密钥漏洞：首次明确指出并解决了现有 HHE-FL 系统中因共享同态密钥对而导致的恶意客户端攻击风险。
提出两种密钥保护方案：
- 掩码 (Masking)：轻量级，通过同态盲化保护密钥。
- RSA 封装 (RSA Encapsulation)：基于公钥基础设施，提供更强健的密钥隔离。
扩展威胁模型：将安全分析从“诚实但好奇”扩展到包含恶意客户端（可截获通信）的对抗场景，证明了新机制在此场景下的安全性。
全栈实现与评估：在 Flower 框架上完整实现了上述两种方案，并在 MNIST 数据集上进行了 12 个客户端的实验评估。

4. 实验结果 (Results)

实验在 Google Colab T4 环境下进行，使用 MNIST 数据集和 CNN 模型。

模型精度 (Model Accuracy)：
- 两种新机制均保持了高模型精度，与基线系统（Correia et al.）相当甚至略优。
- 掩码方案：达到 98.35% 的准确率（最高）。
- RSA-4096：97.28%。
- RSA-3072：98.04%。
- 结论：安全增强未牺牲模型质量。
通信开销 (Communication Overhead)：
- 掩码：与基线相同（约 1.79 MB/客户端）。
- RSA 封装：增加了约 1.22 倍 (RSA-4096) 到 1.31 倍 (RSA-3072) 的通信量，主要源于 RSA 密文的扩展。
计算开销 (Computation Overhead)：
- 客户端：
  - 掩码：增加可忽略不计的时间（约 0.018 秒，主要在初始化阶段）。
  - RSA：增加约 0.35-0.38 秒（用于分块和 RSA 加密），总训练时间仅增加约 4%。
- 服务器：
  - 主导成本仍然是 HESD 操作（约 1400 秒/客户端）。
  - 掩码：增加约 0.0014 秒（去掩码）。
  - RSA：增加约 12 秒 (RSA-3072) 到 19.3 秒 (RSA-4096) 用于 RSA 解密。虽然比掩码慢，但相对于 HESD 的总耗时而言，开销仍然较小。

5. 意义与结论 (Significance & Conclusion)

安全性提升：该研究成功消除了 HHE-FL 系统中最大的安全短板，使得系统能够抵御恶意客户端的窃听和密钥滥用攻击，无需引入额外的可信第三方（如 Trusted Key Dealer）。
实用性平衡：
- 掩码方案是资源受限场景（如 IoT）的最佳选择，因为它几乎不增加任何开销。
- RSA 封装方案提供了更强的密码学保证，虽然有一定开销，但在可接受范围内，适合对安全性要求更高的场景。
未来方向：作者建议未来研究可探索轻量级多密钥同态加密、基于秘密共享的容错训练以及硬件加速的 HESD 操作，以进一步解决服务器端的性能瓶颈。

总结：这篇论文通过引入掩码和 RSA 封装机制，显著增强了基于混合同态加密的联邦学习系统的安全性，使其在保持高效性的同时，能够应对更真实的恶意攻击场景，为隐私保护机器学习在物联网等分布式环境中的实际应用奠定了坚实基础。