[論文レビュー] Function Secret Sharing for PSI-CA:With Applications to Private Contact Tracing

Samuel Dittmer, Yuval Ishai+6 more|arXiv (Cornell University)|Dec 24, 2020

Privacy-Preserving Technologies in Data参考文献 26被引用数 15

ひとこと要約

本論文は、プライベートセットインタセクションと基数（PSI-CA）およびその重み付き基数への拡張を可能にする、軽量で2サーバー型の関数秘密分散（FSS）ベースのプロトコルを提案する。このプロトコルにより、効率的でプライバシー保護された接触追跡が実現される。FSSを用いた安全なキーワード検索と、非インタラクティブな加法的秘密分散によるペイロードの合計計算により、定数ラウンドの通信、最小限のクライアント側計算、および重み付きインタセクション合計のネイティブサポートを実現し、Epioneなどの先行手法よりも優れた効率性とより強いプライバシー保護を提供する。

ABSTRACT

In this work we describe a token-based solution to Contact Tracing via Distributed Point Functions (DPF) and, more generally, Function Secret Sharing (FSS). The key idea behind the solution is that FSS natively supports secure keyword search on raw sets of keywords without a need for processing the keyword sets via a data structure for set membership. Furthermore, the FSS functionality enables adding up numerical payloads associated with multiple matches without additional interaction. These features make FSS an attractive tool for lightweight privacy-preserving searching on a database of tokens belonging to infected individuals.

研究の動機と目的

• 小規模なクライアントセットと大規模なサーバー集合の間で、基数および重み付き基数の両方をサポートする、安全で効率的かつ軽量なプロトコルを設計すること。
• クライアント（例：ユーザーのデバイス）が、自身の小さなトークン集合とサーバーの大きな感染トークン集合との間の一致数を、自身の集合に関する情報を漏洩させることなく、プライベートに計算できることを実現すること。
• PSI-CA 機能を拡張し、各一致が数値ペイロード（例：近接度推定値）を寄与する重み付きインタセクション合計をサポートすることにより、より洗練された接触追跡を可能にすること。
• 通信および計算のオーバーヘッドを最小限に抑えつつ、特にモバイルデバイスなどのリソース制限環境でもプライバシーを保持すること。
• バッチクエリにおけるバケツ分割戦略からの情報漏洩を回避するため、セットサイズを露呈せずに過密バケツを延期するキューイングベースのアプローチを採用すること。

提案手法

• 2つのセミホンストサーバーが大規模な感染トークン集合（X）を保有し、クライアントが近接ユーザーの小さなトークン集合（Y）を保有する。FSSを用いてキーワードマッチを安全に評価する。
• Y 内の各キーワードは FSS を通じて処理され、秘密分散が生成され、サーバーがクライアントの入力を学習せずに局所的な評価を実行できる。
• FSS の出力はサーバー間で加法的秘密分散され、クライアントは1ラウンドの通信により、一致ペイロード（例：カウントや重み付き値）の合計を再構築できる。
• 高速な計算と後量子セキュリティを確保するため、数論的仮定に依存しない対称暗号（例：AES）を用いる。
• 効率的なスケーリングのため、キーワード空間をバケツに分割し、過密バケツを遅延させるキューイングメカニズムを用いる。これにより、漏洩を最小限に抑えつつ性能を維持できる。
• クライアントは Y 内の各キーワードに対して1回のクエリを送信し、通信コストは |Y| × λ（例：AESベース実装では1キーワードあたり128ビット）に比例し、応答として1つのグループ要素を受信する。

実験結果

リサーチクエスチョン

• RQ1 2サーバー型FSSベースのシステムは、小規模なクライアント集合と大規模なサーバー集合の間で、インタセクションの基数を効率的に計算しつつ、クライアントのプライバシーを保護できるか？
• RQ2 FSS は追加のインタラクションや複雑なプロトコルを必要とせず、重み付きインタセクション合計をネイティブにサポートできるか？
• RQ3 バッチ処理とバケツ分割を用いることで、クライアントの入力サイズや分布に関する情報を漏洩させることなく、サーバー側の計算を効率的にスケーリングできるか？
• RQ4 過密バケツのキューイングベースの遅延戦略により、ダミークエリの必要性を排除しつつ、低遅延とゼロ情報漏洩を維持できるか？
• RQ5 Epione などの既存のソリューションと比較して、提案されたFSSベースのPSI-CAプロトコルは、通信量、ラウンド数、計算コストの観点で、どのように効率性とセキュリティにおいて優れているか？

主な発見

• プロトコルは1ラウンドのインタラクションパターンを達成し、クライアントの通信コストは |Y| × λ（例：AESベース実装では1キーワードあたり約128ビット）に比例し、応答サイズは |Y| に依存しない。
• クライアント側の計算は最小限で、Y 内の各キーワードのビットあたり約4回のAESコールで済み、モバイルデプロイに非常に効率的である。
• サーバー側の計算は基本バージョンでは |X| × |Y| に比例するが、バッチ処理とキューイングベースの遅延を用いることで、1バッチあたり O(|X|) に削減可能である。
• キューイングベースの遅延メカニズムにより、Y のサイズや分布に関する情報漏洩がなくなり、クエリ処理の遅延はわずかに増加するにとどまる。
• プロトコルは重み付き基数をネイティブにサポートし、一致するトークンに関連付けられた数値ペイロード（例：近接度推定値）の合計をクライアントが計算可能である。これは、Epione などの先行PSI-CAシステムに欠落していた機能である。
• Epione と比較して、複数のPIRラウンドを排除することで通信量を削減し、ダミークエリの性能コストを回避することで、より高い効率性とより強いプライバシー保護を実現している。