[論文レビュー] Database Reconstruction Is Not So Easy and Is Different from Reidentification

Krishnamurty Muralidhar, Josep Domingo‐Ferrer|arXiv (Cornell University)|Jan 24, 2023

Privacy-Preserving Technologies in Data被引用数 4

ひとこと要約

この論文は、統計的データを公開することは必ずやもとに戻すことができるデータベースの再構築を可能にするという広く受け入れられている考えを挑戦し、とりわけ地理的レベルでの公開に関して、微分プライバシーで見られるような深刻な有用性の損失を伴わずに、再構築を効果的に防ぐことができる、従来の統計的機密保護（SDC）手法が有効であると主張する。さらに、再識別リスクの代理指標として再構築の正確さを使用することは、プライバシー懸念を誇張することになると警告している。

ABSTRACT

In recent years, it has been claimed that releasing accurate statistical information on a database is likely to allow its complete reconstruction. Differential privacy has been suggested as the appropriate methodology to prevent these attacks. These claims have recently been taken very seriously by the U.S. Census Bureau and led them to adopt differential privacy for releasing U.S. Census data. This in turn has caused consternation among users of the Census data due to the lack of accuracy of the protected outputs. It has also brought legal action against the U.S. Department of Commerce. In this paper, we trace the origins of the claim that releasing information on a database automatically makes it vulnerable to being exposed by reconstruction attacks and we show that this claim is, in fact, incorrect. We also show that reconstruction can be averted by properly using traditional statistical disclosure control (SDC) techniques. We further show that the geographic level at which exact counts are released is even more relevant to protection than the actual SDC method employed. Finally, we caution against confusing reconstruction and reidentification: using the quality of reconstruction as a metric of reidentification results in exaggerated reidentification risk figures.

研究の動機と目的

• 統計的データを公開することは、もともとのデータベースを再構築可能であるという仮定に挑戦すること。
• 従来のSDC手法が再構築攻撃を効果的に防げるという証明。
• データ公開における地理的レベルがプライバシー保護において果たす重要な役割の強調。
• 再構築と再識別を混同することへの警告。再構築の指標は、再識別リスクを過大評価していることを示す。
• 微分プライバシーの代替手法について、独立した査読付きの評価を求める。

提案手法

• 特にDinur-Nissim定理を含む、データベース再構築攻撃の理論的・実践的基盤の分析。
• データマスキング、抑圧、摂動などの従来のSDC手法の、再構築防止における有効性の比較。
• 正確な集計値が公開される地理的粒度が、再構築リスクに与える影響の評価。
• 米国2020年人口センサスにおける微分プライバシー（DP）の使用状況の分析。特にラプラス分布および離散ガウス分布を用いたノイズ追加。
• 米国センサスDASシステムにおけるプライバシーパラメータ（ε）の変遷、ε=4.5からε=39.907への変化と、それらがプライバシー損失に与える影響の分析。
• DASによって公開された2021年および2020年人口センサスデータに見られる現実のデータ不整合、たとえば負の世帯数や不可能な人口分布の分析。

実験結果

リサーチクエスチョン

• RQ1 統計的データ公開が必ずやもとに戻すことができるデータベースの再構築を可能にするという主張は正確か。それとも誤った仮定に基づいているのか。
• RQ2 微分プライバシーに依存せずに、従来の統計的機密保護手法が、データベース再構築を効果的に防げるか。
• RQ3 データ公開における地理的レベルが再構築リスクにどのように影響するか。
• RQ4 再識別リスクの代理指標として再構築の正確さを使用することは、どの程度プライバシー脅威を過大評価することにつながるか。
• RQ5 深刻な有用性および整合性の問題を抱えるにもかかわらず、微分プライバシーは米国センサスデータ保護の最適な方法と言えるか。

主な発見

• 統計的データ公開がデータベース再構築を可能にするという主張は誤っており、不完全で不透明な比較に基づいている。
• 特に適切な地理的レベルで適用された従来のSDC手法は、再構築攻撃を効果的に防ぐのに十分である。
• 正確な集計値が公開される地理的レベルが、使用する具体的なSDC手法よりも、プライバシー保護においてより重要である。
• 再構築の正確さを再識別リスクの代理指標として使用することは、再構築と再識別が根本的に異なる攻撃であることを踏まえると、プライバシー脅威の評価を誇張することにつながる。
• 米国国務省がε=39.907で微分プライバシーを用いることで、ε=4.5と比較して2.38×10^15倍以上のプライバシー損失が生じ、意味のあるプライバシー保護にはならない。
• DASによって公開された2021年および2020年人口センサスデータには深刻な不整合が存在する—たとえば負の世帯数や不可能な人口分布—これは微分プライバシーがデータの整合性と有用性を保証していないことを示している。