[論文レビュー] Accessing Data while Preserving Privacy

Georgios Kellaris, George Kollios+2 more|arXiv (Cornell University)|Jun 5, 2017

Cryptography and Data Security被引用数 26

ひとこと要約

本稿では、信頼できないサーバーに対しても記録レベルでのプライバシーを保証する、差分プライバシーを適用した外部データベースシステムを提案する。オーバーサイドRAMと差分プライバシーを適用したサニタイザーを組み合わせることで、強力なプライバシー保証を実現するとともに、実装結果によって実用的な効率性を示している。

ABSTRACT

As organizations struggle with vast amounts of data, outsourcing sensitive data to third parties becomes a necessity. To protect the data, various cryptographic techniques are used in outsourced database systems to ensure data privacy, while allowing efficient querying. Recent attacks on such systems demonstrate that outsourced database systems must trade-off efficiency and privacy. Towards designing systems that strike a good balance between these two aspects, we present a new model of differentially private outsourced database systems, where differential privacy is preserved at the record level even against an untrusted server that controls data and queries. Beginning with an atomic storage model where the server can observe both the memory access pattern and communication volume, we provide upper- and lower-bounds on the efficiency of differentially private outsourced database systems. Our lower-bounds motivate the examination of models where the memory access pattern is kept hidden from the server. Combining oblivious RAM with differentially private sanitizers, we present a generic construction of differentially private outsourced databases. We have implemented our constructions and report on their efficiency.

研究の動機と目的

• 安全なデータ外部化の需要が高まる中で、強力なプライバシー保証を維持するための対応。
• 外部データベースシステムにおける効率性とプライバシーのトレードオフを解消するための対応。
• 信頼できないサーバーがメモリアクセスパターンと通信量を観測しても、記録レベルでの差分プライバシーが保たれるシステムの設計。
• 差分プライバシーを適用した外部データベースの効率性に関する理論的限界を確立する。
• 実世界での展開を想定し、オーバーサイドRAMと差分プライバシーを適用したサニタイザーを組み合わせた実用的構成を構築する。

提案手法

• サーバーがメモリアクセスパターンと通信量の両方を観測できる原子的ストレージモデルを提案する。
• 差分プライバシーを適用した外部データベースにおける根本的トレードオフを分析するため、効率性の上界および下界を導出する。
• メモリアクセスパターンをサーバーから隠すことで、プライバシーを向上させるモデルを導入する。
• オーバーサイドRAMと差分プライバシーを適用したサニタイザーを組み合わせ、汎用的かつプライバシーを保証する外部データベースシステムを構築する。
• 提案された構成を設計・実装し、その実用的効率性を評価する。
• 暗号技術を用いて、攻撃的サーバー環境下でも記録レベルでの差分プライバシーを保証する。

実験結果

リサーチクエスチョン

• RQ1 信頼できないサーバー環境下での差分プライバシーを適用した外部データベースシステムの根本的効率限界は何か？
• RQ2 メモリアクセスパターンの隠蔽は、外部データベースにおけるプライバシーと効率性のトレードオフを改善できるか？
• RQ3 オーバーサイドRAMを差分プライバシーを適用したサニタイザーと効果的に組み合わせることで、安全かつ効率的なシステムを構築できるか？
• RQ4 外部データベースにおける記録レベルでの差分プライバシーを強制する際の実用的パフォーマンスオーバーヘッドはどの程度か？
• RQ5 システムの効率性を犠牲にせずに、理論的プライバシー保証をどの程度達成できるか？

主な発見

• 効率性に関する理論的下界は、外部データベースシステムにおけるプライバシーとパフォーマンスの間の本質的トレードオフを明らかにしている。
• サーバーからのメモリアクセスパターンの隠蔽は、プライバシーと利便性のトレードオフを顕著に改善する。
• オーバーサイドRAMと差分プライバシーを適用したサニタイザーを組み合わせた本稿の構成は、強力な記録レベルでの差分プライバシーを実現している。
• 実装結果から、暗号的オーバーヘッドがあるにもかかわらず、システムが実用的な効率性を維持していることが示された。
• サーバーがデータとクエリをすべて制御する状況下でも、システムは差分プライバシーを効果的に保証している。
• オーバーサイドRAMとサニタイザーの統合により、プライベートな外部データベースのための汎用的かつ拡張可能なフレームワークが実現された。