技术摘要：NFSA：通过两层秘密共享实现单服务器非前向安全聚合

1. 问题陈述

联邦学习（FL）能够在保持数据本地化的同时实现协作式模型训练，但模型更新（梯度）的传输仍然存在隐私风险。因此需要安全聚合协议，以确保服务器只能学习到聚合后的模型，而非单个用户的输入。

现有的基于服务器的安全聚合协议在面对挑战时（特别是在跨设备场景下）面临两个主要问题：

1. 用户掉线与密钥转发： 为了处理用户掉线问题，协议通常使用阈值秘密共享（SS），例如 Shamir 秘密共享，其中用户将秘密密钥分享给“持有者”（其他用户或委员会）。在单服务器设置中，用户无法直接通信；因此，服务器必须转发这些秘密份额。这种转发引入了显著的通信开销（每个轮次为 $O(NM)$，其中$N$为用户数，$M$ 为持有者数）和安全风险，因为服务器必须被信任，不得篡改或获取被转发的份额（这通常需要身份验证加密）。
2. 通信效率： 高维模型参数和大量的用户造成了带宽瓶颈。最近的“单次（one-shot）”聚合方案使用密钥同态伪随机函数（KhPRF），虽然减少了交互轮数，但却带来了“密文扩张”问题。几乎 KhPRF（基于 LWR/LWE）引入的噪声与用户数量成正比，因此需要在模型更新中预留额外的空间以避免干扰，这增加了总体的通信量（$O(RN \log N)$）。

2. 方法论

本文提出了 NFSA（非前向安全聚合）协议，该协议专为单服务器 FL 场景设计，旨在消除服务器转发秘密数据的需求，并通过一种新型编码方法降低通信开销。

2.1 两层秘密共享 (TLSS)

为了解决转发问题，作者引入了 TLSS，它结合了两层秘密共享，从而实现无需服务器中继敏感份额的安全聚合：

• 第一层（阈值 SS）： 使用 Shamir 秘密共享来处理用户掉线。用户的秘密（例如 KhPRF 密钥）被拆分为份额 $s_m$，并分发给 $M$ 个持有者。
• 第二层（带 PRF 的加法 SS）： 用户不再将 $s_m$ 直接发送给服务器进行转发，而是将 $s_m$ 拆分为两个加法份额：$s_m = s_{m}^{A1} + s_{m}^{A2} \pmod p$。
  • $s_{m}^{A1}$ 是使用用户与持有者 $P_m$ 之间预先协商的共享密钥 $\kappa_{d,m}$ 生成的伪随机函数（PRF）生成的。
  • $s_{m}^{A2}$ 计算为 $s_m - s_{m}^{A1} \pmod p$。
  • 用户仅向服务器发送 $s_{m}^{A2}$。
  • 服务器向持有者 $P_m$ 发送一个标签（tag），持有者 $P_m$ 使用其共享密钥计算出 $s_{m}^{A1}$ 并将其发回给服务器。
  • 服务器重构出 $s_m = s_{m}^{A1} + s_{m}^{A2}$，并继续进行 Shamir 重构。
• 结果： 服务器从未在用户与持有者之间转发秘密份额，消除了 $O(NM)$ 的转发开销以及对转发数据进行身份验证加密的需求。

2.2 用于 Almost KhPRF 的 CRT 编码

为了解决 almost KhPRF 噪声导致的通信扩张问题，作者提出了一种基于中国剩余定理 (CRT) 的新型编码方法：

• 问题： 现有方法将输入 $x_i$ 掩码为 $y_i = \Delta x_i - F(k_i, \tau)$。为了正确解码，$\Delta$ 必须大于用户数 $n$，这增加了每个元素的位长度 $\log_2(n+1)$。
• 解决方案： 作者利用 CRT 将输入向量中的 $d_c$ 个元素打包进单个整数中。
  • 输入元素被扩展到不同的素数模数 $p_i$。
  • 这些元素被组合成 $\mathbb{Z}_{p_c}$ 中的单个元素（其中 $p_c = \prod p_i$）。
  • 在这些打包后的元素上执行掩码聚合。
• 收益： 这将 KhPRF 的调用次数减少了 $d_c$ 倍，并显著降低了总通信量，因为它避免了 almost KhPLF 带来的逐元素扩张问题。

2.3 NFSA 协议

该协议分为两个阶段运行：

1. 离线阶段： 用户与解密器（持有者）进行密钥协商（KA）以建立共享密钥。该过程是无状态的，且仅执行一次。
2. 在线阶段（单次/One-Shot）：
   • 掩码（Masking）： 每个用户生成一个 KhPRF 密钥，通过 TLSS 进行共享（仅将加法份额发送给服务器），并使用 CRT 打包的 almost KhPRF 对其模型更新进行掩码处理。
   • 去掩码（Unmasking）： 解密器计算其加法份额之和（利用 TLSS 的同态性）并将其发送给服务器。服务器重构全局 KhPRF 密钥，生成全局掩码，并对聚合后的密文进行去掩码以恢复模型更新。

3. 核心贡献

1. TLSS 方案： 一种新颖的两层秘密共享方案，消除了单服务器 FL 中服务器转发秘密份额的需求。它降低了密钥共享的通信开销，并移除了对转发数据进行身份验证加密的要求。
2. 用于 Almost KhPRF 的 CRT 编码： 一种新的输入编码方法，利用中国剩余定理对多个输入进行批量处理。这减少了 KhPRF 的调用次数，并缓解了 almost KhPRF 噪声引起的模型更新扩张问题，降低了计算和通信开销。
3. NFSA 协议： 一种结合了 TLSS 和 CRT 编码的紧凑型单次安全聚合协议。它支持高维数据聚合，且仅需单个服务器，无需中间数据转发。

4. 实验结果

作者使用 Python 实现了该协议，并将其与最先进的 OPA 方案（使用 Shamir SS 和未经过 TLSS 或 CRT 打包的 KhPRF）进行了对比。

• TLSS 性能： 与传统的带有转发功能的 Shamir SS 相比，TLSS 将持有者的通信开销降低了约 57%，并将计算时间降低了 95%（针对 64 位模数，在与 50 个持有者共享秘密时）。由于消除了服务器转发，总开销显著降低。
• CRT 编码性能： 使用 CRT 打包（$d_c=4$）相比 OPA，使用户掩码时间缩短了 3.72 倍，通信流量减少了 1.40 倍。
• 端到端 NFSA 性能：
  • 用户开销： 对于 100 个用户，NFSA 将通信效率提高了近 100 倍（特指解密器通信），并将用户计算时间减少了 51% 至 75%（取决于输入长度）。
  • 服务器开销： 服务器计算时间减少了约 50%，服务器通信流量相比 OPA 减少了 25%。
  • 解密器开销： 解密器通信从 OPA 的约 19MB 降至 NFSA 的约 0.19MB，降幅接近 100 倍。

5. 重要性与主张

本文声称 NFSA 解决了单服务器安全聚合中服务器转发的关键瓶颈。通过将秘密共享过程与服务器的中继角色解耦，它显著降低了攻击面和通信成本。CRT 编码的集成进一步优化了 almost KhPRF 的效率，使其能够适用于高维 FL 模型。

作者将 NFSA 定位为**半诚实（semi-honest）**环境下的高效解决方案。他们承认虽然 OPA 通过验证机制（如 SCRAPE 和 ZKP）在恶意环境下提供更强的保证，但 NFSA 在半诚实模型中实现了卓越的效率。该工作表明 NFSA 是可扩展且适用于现实世界 FL 应用的，尽管未来仍需研究如何将其可验证性扩展到恶意环境，并完善对 CRT 打包输入的验证。