[論文レビュー] KloakDB: A Platform for Analyzing Sensitive Data with $K$-anonymous Query Processing

M. Suresh, Zuohao She+3 more|arXiv (Cornell University)|Mar 31, 2019

Cryptography and Data Security参考文献 58被引用数 5

ひとこと要約

KloakDBは、k-匿名クエリ処理（KQP）を導入し、k個のタプルをバッチ化することでオーバーヘッドを低減する半盲目的モデルを採用することで、分散型プライベートデータフェデレーションにおけるプライバシーとパフォーマンスのバランスを図る。TPC-Hおよび実世界のワークロードで評価した結果、完全に盲目的なクエリ処理に比べ15X–1060Xの高速化を達成しながら、k-匿名性による強力なプライバシー保証を維持した。

ABSTRACT

A private data federation enables data owners to pool their information for querying without disclosing their secret tuples to one another. Here, a client queries the union of the records of all data owners. The data owners work together to answer the query using privacy-preserving algorithms that prevent them from learning unauthorized information about the inputs of their peers. Only the client, and a federation coordinator, learn the query's output. KloakDB is a private data federation that uses trusted hardware to process SQL queries over the inputs of two or more parties. Currently private data federations compute their queries fully-obliviously, guaranteeing that no information is revealed about the sensitive inputs of a data owner to their peers by observing the query's instruction traces and memory access patterns. Oblivious querying almost always exacts multiple orders of magnitude slowdown in query runtimes compared to plaintext execution, making it impractical for many applications. KloakDB offers a semi-oblivious computing framework, $k$-anonymous query processing. We make the query's observable transcript $k$-anonymous because it is a popular standard for data release in many domains including medicine, educational research, and government data. KloakDB's queries run such that each data owner may deduce information about no fewer than $k$ individuals in the data of their peers. In addition, stakeholders set $k$, creating a novel trade-off between privacy and performance. Our results show that KloakDB enjoys speedups of up to $117$X using k-anonymous query processing over full-oblivious evaluation.

研究の動機と目的

• 大規模ワークロードにおいて、完全に盲目的なクエリ処理が引き起こすパフォーマンスのボトル neck を解消すること。
• 信頼できる第三者の調整者に依存しない分散型でスケーラブルなプライベートデータ分析を可能にすること。
• チューナブルなk-匿名パラメータを通じて、ユーザーが細かく調整可能な直感的なプライバシーとパフォーマンスのトレードオフを提供すること。
• アクセスパターンや統計的情報などの側面漏洩を防ぐために、複雑で繰り返し実行されるSQLクエリを保護すること。
• k-匿名性の概念をデータ公開からクエリ処理へと一般化し、現実世界の規制および展開基準と整合させるシステムを設計すること。

提案手法

• k-匿名クエリ処理は、入力データをk個のバッチに分割し、各バッチを盲目的に処理することで、アクセスおよび出力パターンを隠蔽する。
• クエリ実行中に機密性と側面漏洩に対する耐性を確保するため、安全なマルチパーティ計算またはハードウェアエナclaveを用いる。
• KloakDBは、ジョインや集計などのクエリオペレータに対してもk-匿名性の原則を適用し、各タプルのアクセスパターンが少なくともk−1個の他のタプルと区別不能になるように保証する。
• kパラメータはチューナブルなスイッチとして機能し、ワークロードの機密性に応じてプライバシー強度とパフォーマンスを調整可能である。
• プロトタイプは、データ所有者が自らのリソースを貢献する分散アーキテクチャを実装しており、単一の信頼できる調整者に依存しない。
• KloakDBは、データを暗号化するのではなく計算を保護することで、ネストされたクエリや複雑なSQLワークロードをサポートし、完全なクエリ表現力を実現する。

実験結果

リサーチクエスチョン

• RQ1 半盲目的なクエリ処理モデルは、完全に盲目的なクエリ処理のパフォーマンスのオーバーヘッドを低減しつつ、強力なプライバシー保証を維持できるか？
• RQ2 分散型で分散されたデータフェデレーションにおいて、k-匿名性をデータ公開から動的クエリ処理へと拡張できるか？
• RQ3 実世界のワークロードにおいて、チューナブルなkパラメータによって達成可能なパフォーマンスとプライバシーのトレードオフは何か？
• RQ4 k-匿名クエリ処理は、I/Oパターンや統計的情報を含む複数のクエリにおける側面漏洩を効果的に防げるか？
• RQ5 TPC-Hおよび実世界の医療データを含む多様なワークロードにおいて、システムはどのようにスケーリングするか？

主な発見

• KloakDBは、実世界のデータセットにおいて完全に盲目的なクエリ処理に比べ最大1060Xの高速化を達成し、顕著なパフォーマンス向上を示した。
• TPC-Hワークロードでは、440X–2350Xの高速化を達成し、複雑な分析クエリにおけるスケーラビリティを確認した。
• プライバシー（k）とパフォーマンスの間には線形的なトレードオフが見られ、異なる機密性レベルに応じた予測可能なチューニングが可能である。
• k-匿名クエリ処理は、繰り返し実行されるクエリワークロード下でもアクセスパターンや統計的情報の漏洩を効果的にマスクした。
• プロトタイプは、ネストされたクエリや複雑なSQL操作を正常にサポートした。これは、データを暗号化するか、クエリ表現力を制限するシステムとは対照的である。
• 評価により、クエリ処理におけるk-匿名性が、医療や金融分野を含む実世界の展開において実用的で実現可能であることが確認された。