[論文レビュー] Poisoning Attacks to Local Differential Privacy Protocols for Key-Value Data

Yongji Wu, Xiaoyu Cao+2 more|arXiv (Cornell University)|Nov 22, 2021

Privacy-Preserving Technologies in Data参考文献 48被引用数 10

ひとこと要約

本稿は、キー値データ向けのローカル微分プライバシー（LDP）プロトコルを標的とする、新たなポisonsing攻撃を提案する。攻撃は、標的キーの推定頻度と平均値を同時に高める二目的最適化問題として定式化される。提案された最大利得攻撃（M2GA）は、分析結果を著しく操作可能であり、二つの防御手法を検討したが、その有効性は限定的であるにもかかわらず、既存のLDPプロトコルに深刻な脆弱性を露呈している。

ABSTRACT

Local Differential Privacy (LDP) protocols enable an untrusted server to perform privacy-preserving, federated data analytics. Various LDP protocols have been developed for different types of data such as categorical data, numerical data, and key-value data. Due to their distributed settings, LDP protocols are fundamentally vulnerable to poisoning attacks, in which fake users manipulate the server's analytics results via sending carefully crafted data to the server. However, existing poisoning attacks focused on LDP protocols for simple data types such as categorical and numerical data, leaving the security of LDP protocols for more advanced data types such as key-value data unexplored. In this work, we aim to bridge the gap by introducing novel poisoning attacks to LDP protocols for key-value data. In such a LDP protocol, a server aims to simultaneously estimate the frequency and mean value of each key among some users, each of whom possesses a set of key-value pairs. Our poisoning attacks aim to simultaneously maximize the frequencies and mean values of some attacker-chosen target keys via sending carefully crafted data from some fake users to the sever. Specifically, since our attacks have two objectives, we formulate them as a two-objective optimization problem. Moreover, we propose a method to approximately solve the two-objective optimization problem, from which we obtain the optimal crafted data the fake users should send to the server. We demonstrate the effectiveness of our attacks to three LDP protocols for key-value data both theoretically and empirically. We also explore two defenses against our attacks, which are effective in some scenarios but have limited effectiveness in other scenarios. Our results highlight the needs for new defenses against our poisoning attacks.

研究の動機と目的

• キー値データ向けLDPプロトコルにおけるセキュリティギャップを解消すること。これは、ポisonsing攻撃に対して脆弱であるが、先行研究では未検討であった。
• 攻撃者が偽のユーザーを挿入し、装備されたキー値ペアを送信することで、標的キーの推定頻度と平均値を同時に上昇させることで、LDP分析結果をどのように操作できるかを調査すること。
• このようなポisonsing攻撃の背後にある二目的最適化問題を体系的に定式化し、解法を構築すること。
• 提案された攻撃に対して既存の防御策の有効性を評価し、実世界のシナリオにおけるその限界を同定すること。

提案手法

• 攻撃を、攻撃者が選択した標的キーの期待頻度増加と期待平均増加を最大化する二目的最適化問題として定式化する。
• M2GA法を提案し、二目的最適化を近似的に解く。これにより、偽ユーザーが送信すべき最適なデータを導出する。
• 頻度増加と平均増加を、LDPプロトコルのランダムネスの下での期待値として定義し、攻撃前後の推定統計との差分として定義する。
• 検出ベースの防御を実装する：外れ値カウント（OC）と異常スコアリング（AS）。これらは、ラウンドごとにユーザー行動を監視し、不審なユーザーを特定する。
• 各ユーザーが1ラウンドあたりの最大キー頻度カウントに基づく異常スコアを定義し、スコアが閾値ηを超える場合にユーザーを偽物とマークする。
• 検出された偽ユーザーを以降の集約ラウンドから除外し、クリーニングされたデータ上で再び頻度と平均を推定する。

実験結果

リサーチクエスチョン

• RQ1 LDPプロトコルにおけるキー値データ向けに、標的キーの推定頻度と平均値を同時に上昇させることを目的としたポisonsing攻撃は、効果的に実行可能か？
• RQ2 二目的最適化の定式化は、キー値LDPプロトコルにおける頻度と平均の二重操作という目的をどの程度適切に捉えているか？
• RQ3 OCやASのような既存の防御策は、異なるプロトコルバージョンやパrameter設定において、提案されたポisonsing攻撃に対してどの程度効果を示すか？
• RQ4 現在の防御策は、キー値LDPプロトコルにおける洗練されたポisonsing攻撃を処理する上で、どのような限界を示しているか？

主な発見

• M2GA攻撃は、理論的および実験的評価の両方において、PCKV-UE、PCKV-GRR、PrivKVMの3つのLDPプロトコルで、標的キーの推定頻度と平均値を成功裏に上昇させた。
• 評価された二つの防御策のうち、OCは高い偽陽性率（例：PCKV-UEでは22％）を示し、真のユーザーが除外されることで顕著なユーティリティ損失を引き起こした。
• βが小さいか、rが大きい場合には、OCが偽ユーザーを効果的に検出できず、偽陰性率が高くなり、M2GAが成功した。
• 異常スコアリング（AS）は、βまたはrが小さい場合には有効で、M2GAの頻度および平均増加をほぼゼロにまで低下させたが、βまたはrが大きい場合には効果を失った。
• デフォルト設定（β=0.05、r=2）において、PCKV-GRRのOCは5.5％の偽陽性率を示し、攻撃下での平均増加は-1.04であった。防御がユーティリティを劣化させたことを示している。
• これらの結果は、現在の防御策が不十分であり、キー値データ向けLDPプロトコルを保護するための、より強固な防御策の開発が緊急に必要であることを強調している。