[論文レビュー] Composing Differential Privacy and Secure Computation: A case study on scaling private record linkage

Xi He, Ashwin Machanavajjhala+2 more|arXiv (Cornell University)|Feb 2, 2017

Privacy-Preserving Technologies in Data参考文献 21被引用数 11

ひとこと要約

本稿では、マッチングレコードの真実の公開を許容しつつも強力なプライバシー保証を維持できる、新しいプライバシーモデルである出力制約付き微分プライバシー（OCDP）を提案する。著者らは、完全な正確性、高い再現率、および準2次的通信・計算コストを達成する新しいプロトコルを設計した。既存手法に比べて100倍の効率向上を達成し、エンド・ツー・エンドのプライバシーを形式的に満たす。

ABSTRACT

Private record linkage (PRL) is the problem of identifying pairs of records that are similar as per an input matching rule from databases held by two parties that do not trust one another. We identify three key desiderata that a PRL solution must ensure: 1) perfect precision and high recall of matching pairs, 2) a proof of end-to-end privacy, and 3) communication and computational costs that scale subquadratically in the number of input records. We show that all of the existing solutions for PRL - including secure 2-party computation (S2PC), and their variants that use non-private or differentially private (DP) blocking to ensure subquadratic cost - violate at least one of the three desiderata. In particular, S2PC techniques guarantee end-to-end privacy but have either low recall or quadratic cost. In contrast, no end-to-end privacy guarantee has been formalized for solutions that achieve subquadratic cost. This is true even for solutions that compose DP and S2PC: DP does not permit the release of any exact information about the databases, while S2PC algorithms for PRL allow the release of matching records. In light of this deficiency, we propose a novel privacy model, called output constrained differential privacy, that shares the strong privacy protection of DP, but allows for the truthful release of the output of a certain function applied to the data. We apply this to PRL, and show that protocols satisfying this privacy model permit the disclosure of the true matching records, but their execution is insensitive to the presence or absence of a single non-matching record. We find that prior work that combine DP and S2PC techniques even fail to satisfy this end-to-end privacy model. Hence, we develop novel protocols that provably achieve this end-to-end privacy guarantee, together with the other two desiderata of PRL.

研究の動機と目的

• 高再現率、完全な正確性、準2次的計算コストを同時に満たさない既存のプライベートレコードリンク（PRL）ソリューションのギャップを埋める。
• 微分プライバシーの強力なプライバシーと、マッチングレコードの真実の公開を可能にする、新しいプライバシーモデルである出力制約付き微分プライバシー（OCDP）を形式化する。
• すべての3つの望ましい性質を満たす新しいPRLプロトコルの設計および実装を行う：正しさ（高再現率および完全な正確性）、エンド・ツー・エンドのプライバシー、および効率的な準2次的コスト。
• 微分プライバシーとセキュア計算を組み合わせたハイブリッド手法が、個々のコンponentがプライベートであっても、エンド・ツー・エンドのプライバシー保証を提供しないことを示す。
• 提案されたプロトコルが、入力サイズにほぼ線形にスケーリングし、セキュア2パーティ計算ベースラインに比べ通信および計算コストを少なくとも2桁以上削減することを実証的に検証する。

提案手法

• 出力制約付き微分プライバシー（OCDP）を提案し、入力データベースに対して微分プライバシーを保証するとともに、マッチングレコードペアの真実の公開を許容する。
• 異なるプライバシーのブロッキングステップを用いて安全な比較の数を削減し、その後に削減された候補ペアのセットに対してセキュア2パーティ計算（S2PC）フェーズを実行するプロトコルアーキテクチャを設計する。
• 同型暗号（Paillier暗号方式）を用いて暗号化されたレコード上で安全な比較を実行し、計算中の漏洩を最小限に抑える。
• データに依存するブロッキング戦略を適用して、ペアワイズ比較の数を制限し、高コストな暗号演算の数を削減する。
• OCDPに基づくプロトコルの安全性を形式的に定式化し、任意の非マッチングレコードの存在または不在が出力分布に影響しないことを証明する。
• Pythonおよびpython-paillierライブラリを用いてプロトコルを実装・評価し、次元d=50の暗号化されたレコード比較における性能を測定する。

実験結果

リサーチクエスチョン

• RQ1 PRLプロトコルは、高再現率と完全な正確性を維持しながら、エンド・ツー・エンドのプライバシーと準2次的計算コストを同時に達成できるか？
• RQ2 微分プライバシーとセキュア計算を組み合わせたハイブリッド手法は、実際にエンド・ツー・エンドのプライバシー保証を提供するのか？
• RQ3 マッチングレコードの真実の公開を許容しつつも、入力データベースに対して微分プライバシーを保証できる新しいプライバシーモデルを設計できるか？
• RQ4 プライベートレコードリンクプロトコルにおいて、安全な比較の数とウォールクロック時間は、データセットサイズにどのようにスケーリングするか？
• RQ5 提案されたプロトコルは、セキュア2パーティ計算ベースラインに比べ、通信および計算コストを少なくとも2桁以上削減できるか？

主な発見

• 提案されたプロトコルは、入力データベースサイズおよび出力マッチングセットサイズの両方においてほぼ線形にスケーリングし、2次式のS2PCベースラインを著しく上回る。
• セキュア2パーティ計算（S2PC）ベースラインに比べ、通信および計算コストを少なくとも2桁以上削減する。
• n=5000のデータセットでは、S2PCベースラインは22日以上を要するが、提案されたプロトコルは再現率1.0で約80時間で完了する。
• 安全比較コストを除いたウォールクロック時間はわずか120秒であり、性能に与える安全比較コストの影響が顕著に現れている。
• 提案されたプロトコルは、新しく提案された出力制約付き微分プライバシー（OCDP）モデルを満たしつつ、完全な正確性と高い再現率（評価では1.0）を維持する。
• 微分プライバシーとS2PCを組み合わせた従来のハイブリッド手法は、ブロッキングステップが微分プライバシーを満たしていても、S2PCフェーズでの漏洩によりエンド・ツー・エンドのプライバシーを満たさない。