[論文レビュー] CacheShuffle: A Family of Oblivious Shuffles

Sarvar Patel, Giuseppe Persiano+1 more|arXiv (Cornell University)|May 19, 2017

Cryptography and Data Security参考文献 19被引用数 2

ひとこと要約

この論文は、最大Kブロックのアクセスパターンを学習する攻撃者に対しても安全である一方で、帯域幅のオーバーヘッドを最小化する、CacheShuffleと呼ばれる一連のオーバーレイシャッフルアルゴリズムを導入する。クライアント側のキャッシュと多項式補間を活用することで、提案されたKCacheShuffleアルゴリズムは最適な帯域幅使用を達成し、2N + f(K)ブロックの帯域幅を実現する。ここでf(K)はKにのみ依存する。この手法により、特にダミーブロックを含む実用的なORAM構成において、先行研究に比べ顕著な改善が可能となる。

ABSTRACT

We consider Oblivious Shuffling and K-Oblivious Shuffling, a refinement thereof. We provide efficient algorithms for both and discuss their application to the design of Oblivious RAM. The task of K-Oblivious Shuffling is to obliviously shuffle N encrypted blocks that have been randomly allocated on the server in such a way that an adversary learns nothing about the new allocation of blocks. The security guarantee should hold also with respect to an adversary that has learned the initial position of K touched blocks out of the N blocks. The classical notion of Oblivious Shuffling is obtained for K = N. We present a family of algorithms for Oblivious Shuffling. Our first construction, CacheShuffleRoot, is tailored for clients with $O(\sqrt{N})$ blocks of memory and uses $(4+ε)N$ blocks of bandwidth, for every $ε> 0$. CacheShuffleRoot is a 4.5x improvement over previous best known results on practical sizes of N. We also present CacheShuffle that obliviously shuffles using O(S) blocks of client memory with $O(N\log_S N)$ blocks of bandwidth. We then turn to K-Oblivious Shuffling and give algorithms that require 2N + f(K) blocks of bandwidth, for some function f. That is, any extra bandwidth above the 2N lower bound depends solely on K. We present KCacheShuffleBasic that uses O(K) client storage and exactly 2N blocks of bandwidth. For smaller client storage requirements, we show KCacheShuffle, which uses O(S) client storage and requires $2N+(1+ε)O(K\log_S K)$ blocks of bandwidth. Finally, we consider the case in which, in addition to the N blocks, the server stores D dummy blocks whose content is is irrelevant but still their positions must be hidden by the shuffling. For this case, we design algorithm KCacheShuffleDummy that, for N + D blocks and K touched blocks, uses O(K) client storage and $D+(2+ε)N$ blocks of bandwidth.

研究の動機と目的

• リモートストレージシステムにおけるアクセスパターンを隠蔽する効率的なオーバーレイシャッフルアルゴリズムの設計。
• K-オーバーレイシャッフル問題に対処する。ここで攻撃者はK個のアクセスされたブロックの初期位置を学習可能だが、それらの新しい割り当てを推測してはならない。
• 特にダミーブロックが存在する場合に、オーバーレイRAM（ORAM）構成における帯域幅のオーバーヘッドを低減すること。
• 隠れた定数を最小限に抑えることで、帯域幅とクライアントストレージ要件の両方において実用的なORAMのパフォーマンスを向上させること。

提案手法

• O(√N)のクライアントメモリと(4 + ϵ)Nの帯域幅を用いるCacheShuffleRootと呼ばれるシャッフルアルゴリズムを提案。失敗確率は無視できるほど小さい。
• O(S)のクライアントストレージを用いてブロックをクライアントメモリに分散配置するためのプリミティブであるRSprayを導入。これにより、効率的なシャッフルが可能になる。
• O(K)のクライアントストレージを用い、正確に2Nの帯域幅を確保するKCacheShuffleBasicを設計。K-オーバーレイ性を保証する。
• より少ないクライアントストレージ（O(S)）を想定し、2N + (1 + ϵ)O(K logS K)の帯域幅を要するKCacheShuffleを設計。ここでϵに依存するオーバーヘッドが生じる。
• N + D個のブロック（うちD個がダミーブロック）を処理するKCacheShuffleDummyを導入。O(K)のストレージとD + (2 + ϵ)Nの帯域幅を要する。
• 多項式補間を用いて、シャッフル中にダミーブロックの位置を安全に隠匿する。

実験結果

リサーチクエスチョン

• RQ1 K > 1であっても、理論的下限である2Nブロックに近い帯域幅でオーバーレイシャッフルが可能か？
• RQ2 K-オーバーレイシャッフルにおいて、セキュリティと低帯域幅を維持しつつ、クライアントストレージを最小限に抑える方法は何か？
• RQ3 ダミーブロックの存在を、わずかな加法的項を超えない帯域幅で効率的に処理できるか？
• RQ4 実世界のORAMワークロードにおいて、新しいアルゴリズムはMelbourneShuffleのような先行構成に比べて、実用的なパフォーマンスにどの程度の向上をもたらすか？
• RQ5 帯域幅とクライアントメモリの隠れた定数は、実用的なデータサイズとどのようにスケーリングされるか？

主な発見

• CacheShuffleRootは帯域幅を(4 + ϵ)Nブロックにまで削減し、実用的NにおいてMelbourneShuffleの(10 + c)N帯域幅に比べ4.5倍の改善を達成した。
• KCacheShuffleBasicは正確に2Nの帯域幅を用い、O(K)のクライアントストレージを要する。K = Nの場合、MelbourneShuffleに比べ9倍の改善を達成した。
• KCacheShuffleDummyは、N + D個のブロック（D個のダミーブロックを含む）に対して、D + (2 + ϵ)Nの帯域幅を要する。実用的データサイズではϵは非常に小さい。
• 実験により、CacheShuffleRootではϵ < 1が十分であることが確認された。一方、MelbourneShuffleではc ≥ 8を要するため、4倍の帯域幅優位性が裏付けられた。
• CacheShuffleRootにおけるクライアントキャッシュの最大サイズは試行回数にかかわらず速やかに安定し、ϵが増加するにつれて指数関数的に減少する。
• 特にダミーブロックを含むORAM環境では帯域幅の節約が顕著であり、KCacheShuffleDummyは先行構成に比べ5倍以上のオーバーヘッド削減を達成した。