[論文レビュー] PIR with Low Storage Overhead: Coding instead of Replication

Arman Fazeli, Alexander Vardy+1 more|arXiv (Cornell University)|May 22, 2015

Cryptography and Data Security参考文献 19被引用数 65

ひとこと要約

この論文は、データベースのレプリケーションの代わりに符号化を用いる、プライベート情報検索（PIR）の新しいフレームワークを導入する。これにより、通信複雑性と情報理論的プライバシーを維持したまま、ストレージオーバーヘッドを著しく削減する。$k$-サーバPIR符号を用いてデータベースの符号化断片を複数のサーバに分散配置することで、ストレージオーバーヘッドは漸近的に1に近づき、固定された$k$に対して$1 + O(s^{-1/2})$を達成する。ここで$s$はデータベースサイズと1サーバあたりのストレージ容量の比を表す。

ABSTRACT

Private information retrieval (PIR) protocols allow a user to retrieve a data item from a database without revealing any information about the identity of the item being retrieved. Specifically, in information-theoretic $k$-server PIR, the database is replicated among $k$ non-communicating servers, and each server learns nothing about the item retrieved by the user. The cost of PIR protocols is usually measured in terms of their communication complexity, which is the total number of bits exchanged between the user and the servers, and storage overhead, which is the ratio between the total number of bits stored on all the servers and the number of bits in the database. Since single-server information-theoretic PIR is impossible, the storage overhead of all existing PIR protocols is at least $2$. In this work, we show that information-theoretic PIR can be achieved with storage overhead arbitrarily close to the optimal value of $1$, without sacrificing the communication complexity. Specifically, we prove that all known $k$-server PIR protocols can be efficiently emulated, while preserving both privacy and communication complexity but significantly reducing the storage overhead. To this end, we distribute the $n$ bits of the database among $s+r$ servers, each storing $n/s$ coded bits (rather than replicas). For every fixed $k$, the resulting storage overhead $(s+r)/s$ approaches $1$ as $s$ grows; explicitly we have $r\le k\sqrt{s}(1+o(1))$. Moreover, in the special case $k = 2$, the storage overhead is only $1 + \frac{1}{s}$. In order to achieve these results, we introduce and study a new kind of binary linear codes, called here $k$-server PIR codes. We then show how such codes can be constructed, and we establish several bounds on the parameters of $k$-server PIR codes. Finally, we briefly discuss extensions of our results to nonbinary alphabets, to robust PIR, and to $t$-private PIR.

研究の動機と目的

• 従来の$k$-サーバPIRプロトコルにおける高いストレージオーバーヘッド（データベースレプリケーションのため、少なくとも$k$に相当）を解消すること。
• 通信複雑性やプライバシー保証を犠牲にせずに、ストレージオーバーヘッドを1に任意に近づける情報理論的PIRを実現すること。
• 既存のすべての$k$-サーバPIRプロトコルを、レプリケーションの代わりに符号化ストレージを用いてエミュレート可能な一般化された符号化フレームワークを開発すること。
• $k$-サーバPIR符号—クエリパターンを介してプライベートリクエストを可能にする、二値線形符号—を構築・分析すること。
• コードパラメータの境界を確立し、組合せデザインおよび符号理論からの明示的構成を提供すること。

提案手法

• データベースレプリケーションを分散符号化に置き換え：$s + r$台のサーバに、$n/s$の符号化ビットを各サーバに格納するが、$k$個の完全なレプリカではなく、$k$-サーバPIR符号を用いる。
• $k$-サーバPIR符号—各データベースビットが、サーバ間で互いに素なクエリ集合から復元可能な二値線形符号—を用いる。
• スティーナー系、ワンステップマジョリティ論理デコーダブル符号、定重符号、および局所復元可能符号（LRCs）などの組合せ的対象からコードを構築する。
• 各サーバがクエリのランダムな部分集合しか見えないようなクエリパターンを設計することで、プライバシーを確保し、$k$-サーバPIRのプライバシーを保持する。
• 可用性$t = k-1$を持つLRCの構造を活用し、任意のビットが$k$個の協力しないサーバから復元可能であることを保証する。
• 元のクエリを符号化クエリベクトルにマッピングすることで、既存のPIRプロトコルを符号化環境に適応させ、通信複雑性とプライバシーを維持する。

実験結果

リサーチクエスチョン

• RQ1 通信コストを増加させずに、ストレージオーバーヘッドを1に任意に近づけられる情報理論的$k$-サーバPIRを実現できるか？
• RQ2 どのようなコードクラスが、符号化ストレージ下で既存のPIRプロトコルを効率的にエミュレート可能か？
• RQ3 $k$-サーバPIRコードは、既知の組合せ的および符号理論的構造からどのように構築できるか？
• RQ4 $k$-サーバPIRコードのパラメータに関する基本的境界は何か？ また、$k$と$s$に従ってどのようにスケーリングされるか？
• RQ5 このフレームワークは、レジリエントPIRおよび符号化ストレージを用いた$t$-プライベートPIRに拡張可能か？

主な発見

• ストレージオーバーヘッド$(s + r)/s$は、$s \to \infty$のとき1に近づき、$r \leq k\sqrt{s}(1 + o(1))$を満たす。固定された$k$に対して、$1 + O(s^{-1/2})$のオーバーヘッドを達成する。
• $k=2$の場合、ストレージオーバーヘッドは正確に$1 + \frac{1}{s}$となり、2倍のレプリケーションオーバーヘッドよりも顕著に改善される。
• 既知のすべての$k$-サーバPIRプロトコルが、同じ通信複雑性とプライバシー保証を維持したまま、符号化フレームワークを用いてエミュレート可能である。
• スティーナー系、ワンステップマジョリティ論理デコーダブル符号、定重符号、およびLRCを用いた、$k$-サーバPIRコードの明示的構成が提供されている。
• 非二値アルファベットの場合、最小距離は二値の場合を上回る。例えば、$GF(4)$上では$s=2, k=3$に対して最小距離4が達成可能であり、二値の場合の3を上回る。
• フレームワークは、レジリエントPIRおよび$t$-プライベートPIRに拡張可能であり、最大$− k$個のサーバ応答が失われたり、協力するサーバが存在してもプライバシーが保たれる。