[論文レビュー] Path ORAM: An Extremely Simple Oblivious RAM Protocol

Emil Stefanov, Marten van Dijk+6 more|arXiv (Cornell University)|Feb 23, 2012

Cryptography and Data Security被引用数 120

ひとこと要約

Path ORAM は、$O(\log N)$ の帯域幅コストを達成する非常に実用的なオblivious RAMプロトコルであり、$B = \Omega(\log^2 N)$ のブロックサイズに対して、単純なツリー型パスアクセスパターンと最小限のクライントストレージを用いる。小規模なクライントストレージを前提とした従来のORAM方式に比べ、漸近的効率性と実用的導入の両面で優れており、失敗確率が顕著に低く、スタッシュ容量のスケーリングについて強力な実験的裏付けがある。

ABSTRACT

We present Path ORAM, an extremely simple Oblivious RAM protocol with a small amount of client storage. Partly due to its simplicity, Path ORAM is the most practical ORAM scheme known to date with small client storage. We formally prove that Path ORAM has a O(log N) bandwidth cost for blocks of size B = Omega(log^2 N) bits. For such block sizes, Path ORAM is asymptotically better than the best known ORAM schemes with small client storage. Due to its practicality, Path ORAM has been adopted in the design of secure processors since its proposal.

研究の動機と目的

• アクセスパターンを隠蔽することで強力なプライバシーを保証する、最小限のクライント側ストレージを備えた実用的なORAM方式の設計。
• 小規模なクライントストレージ制約下で、既存のORAM方式よりも漸近的に優れた帯域幅複雑性を達成すること。
• deamortizedソーティングやオーラブルハッシュなどの複雑なデータ構造を排除することで、ORAM構築の簡素化を図ること。
• Path ORAM が $O(\log N) \cdot \omega(1)$ のクライントストレージと $O(\log N)$ の帯域幅で、安全に無視できる失敗確率を達成することを形式的に証明すること。
• 最悪ケースのアクセスパターン下で理論的境界を広範にシミュレーションすることで、理論的境界の妥当性を検証すること。

提案手法

• Path ORAM は、リモートサーバー上に保存される2分木構造にデータを配置し、各論理ブロックをルートからリーフへの一意なパスにマッピングする。
• 各ORAMアクセスは、ルートからリーフへの完全なパスをフェッチおよび更新するもので、アクセスパターンが論理的アクセスシーケンスの情報を漏洩させないことを保証する。
• プロトコルは、パス操作中の一時的なブロック保持のためのクライント側スタッシュを用い、パターン漏洩を防ぐためにランダマイゼーションに基づく排出ポリシーを採用する。
• 理論的分析では、スタッシュ使用量を制限するために抽象的な無限ORAMモデルを用い、スタッシュオーバーフロー確率がスタッシュサイズとともに指数的に減少することを証明する。
• 効率性とスケーラビリティを維持するため、再帰的パス排出とバケツベースの負荷分散を用いる。
• 実験では、$N$ 個のブロックに対してラウンドロビン方式を適用する最悪ケースのアクセスパターンをシミュレートし、スタッシュサイズとバケツ負荷に関する理論的境界の妥当性を検証する。

実験結果

リサーチクエスチョン

• RQ1 小規模なクライントストレージで、$O(\log N)$ の帯域幅コストを達成できるシンプルなORAM構成が、十分に大きなブロックサイズに対して可能か？
• RQ2 Path ORAM のシンプルさが、同様のストレージ制約下の従来のORAM方式に比べ、より優れた実用的性能と導入性を実現できるか？
• RQ3 セキュリティパラメータに応じてスタッシュサイズはどのようにスケーリングするか？大規模システムにおいても$N$に依存しないか？
• RQ4 理論的に予測されたように、スタッシュオーバーフローの失敗確率はスタッシュサイズとともに指数的に減少し、無視できるほど小さいか？
• RQ5 パスベースのアクセスパターンは、現実のワークロードおよび最悪ケースのアクセスシーケンス下でも、安全かつ効率的であると証明できるか？

主な発見

• Path ORAM は、$B = \Omega(\log^2 N)$ のブロックサイズに対して、$O(\log N)$ の帯域幅コストを達成し、小規模なクライントストレージを前提とした従来の方式に理論的および実用的両面で優る。
• スタッシュが容量 $R$ ブロックを超える確率は $14 \cdot 0.6002^{-R}$ で抑えられ、スタッシュサイズに伴い指数的に減少することが示された。
• 実験結果から、必要なスタッシュサイズがセキュリティパラメータ $\lambda$ に比例して線形に増加し、$N$ に依存しないことが確認され、強力なスケーラビリティが裏付けられた。
• Z \geq 5 の場合、各ツリー段階の期待バケツ負荷は1に近く、ルートバケツはほとんど満杯にならないため、効率的な負荷分散が実現されている。
• ラウンドロビン方式のブロックアクセスなど、スタッシュの使用率を最大にする最悪ケースのアクセスパターン下でも、プロトコルは安全かつ効率的である。
• Path ORAM は、AscendプロセッサやFPGAベースのセキュアプロセッサを含む実世界のセキュアプロセッサ設計に採用されており、実用性が裏付けられている。