[論文レビュー] POPE: Partial Order Preserving Encoding

Daniel S. Roche, Daniel Apon+2 more|Oct 13, 2016

Cryptography and Data Security参考文献 42被引用数 10

ひとこと要約

POPE（部分順序保存符号化）は、通信量とクライアントのストレージを最小限に抑えることで、暗号化されたデータ上で効率的で安全な範囲照合を可能にする、新しい暗号的プリミティブである。頻度隠し特性を備えた理想のセキュリティを達成し、1ラウンドで一括挿入をサポートする。これは、データ要素の顕著な割合を相互に比較不能のままにすることで、恒久的ストレージをO(1)、一時的ストレージを0 < ε < 1の条件下でO(n^ε)に削減する。

ABSTRACT

Recently there has been much interest in performing search queries over encrypted data to enable functionality while protecting sensitive data. One particularly efficient mechanism for executing such queries is order-preserving encryption/encoding (OPE) which results in ciphertexts that preserve the relative order of the underlying plaintexts thus allowing range and comparison queries to be performed directly on ciphertexts. In this paper, we propose an alternative approach to range queries over encrypted data that is optimized to support insert-heavy workloads as are common in "big data" applications while still maintaining search functionality and achieving stronger security. Specifically, we propose a new primitive called partial order preserving encoding (POPE) that achieves ideal OPE security with frequency hiding and also leaves a sizable fraction of the data pairwise incomparable. Using only O(1) persistent and $O(n^ε)$ non-persistent client storage for $0

研究の動機と目的

• スケーラビリティを実現するための高コスト通信ラウンド数や過剰なクライアントストレージを必要とする、従来の順序保存暗号化（OPE）方式の制限を克服すること。
• ビッグデータアプリケーションで一般的な挿入中心のワークロードをサポートしつつ、頻度隠しと理想のセキュリティ保証を維持すること。
• 恒久的クライアントストレージをO(1)に、一時的ストレージを0 < ε < 1の条件下でO(n^ε)に削減し、効率的な一括挿入と低コストの検索操作を実現すること。
• 多数のデータ要素を相互に比較不能のままにすることで、照合処理に必要な範囲を越えて順序情報の漏洩を最小限に抑えること。

提案手法

• 暗号文間の部分順序関係を許容することで、情報漏洩を低減するOPEの一般化を図るPOPEという新規プリミティブを導入する。
• 内部ノードが保留中の挿入をバッファとして保持する木構造（POPE木）を採用し、比較処理を検索処理時のみに実行する。
• クライアント側のオракルを用いて暗号文を比較し、クライアントを計算リソースとして扱い、限られた作業領域を有するものとみなす。これはI/O複雑性問題としてモデル化される。
• 遅延更新戦略を採用：挿入はバッファリングされ、対応するノードを検索が通過するまで処理されない。これにより通信量とストレージを最小限に抑える。
• 擬似乱数関数を用いて、部分順序を保持しつつ頻度分布を隠蔽する暗号文を生成する。
• POPE木の構造と効率的な比較解決法を活用することで、O(n^{1−ε})件までの検索クエリについて、平均O(1)のコストを達成する。

Figure 2: Server’s view of salary data whose order is incrementally revealed after inserting more than 2 million salary entries and then performing 1000 random range queries. The black lines indicate entries whose order is known by the server, while the white regions indicate entries that remain pai

実験結果

リサーチクエスチョン

• RQ1 1ラウンドでの一括挿入を可能にしつつ、恒久的クライアントストレージを最小限に抑えるOPEに類似した方式を設計できるか？
• RQ2 O(log n)の通信ラウンド数やO(n)のクライアントストレージを必要とせずに、OPEで理想のセキュリティと頻度隠しを達成できるか？
• RQ3 多数のデータ要素を相互に比較不能にすることで、どの程度順序漏洩を低減できるか？
• RQ4 部分線形のクライアント側ストレージとO(1)の通信複雑性を維持しつつ、暗号化データ上で効率的な範囲照合を実現できるか？

主な発見

• POPEは頻度隠しを備えた理想のOPEセキュリティを達成し、暗号文が部分順序と頻度分布以外の情報を露呈しないことを保証する。
• 1ラウンドの通信で一括挿入をサポートし、1回の挿入あたりの平均コストがO(1)である。従来のO(log n)ラウンド複雑性に比べ顕著に改善されている。
• 恒久的クライアントストレージはO(1)に削減され、一時的ストレージは0 < ε < 1の条件下でO(n^ε)に抑えられ、分散環境や挿入中心の環境でのスケーラビリティを実現する。
• 相互に比較不能な要素ペアの数はΩ(n^{2−ε}/m − n)であり、これはデータセットサイズに応じて増加し、順序漏洩を低減する。
• 検索処理は、最大O(n^{1−ε})件のクエリについて、平均O(1)のコストで実行可能であり、大規模なクエリワークロードに適している。
• 構成は標準的な仮定（擬似乱数関数など）に基づき、非標準的または非効率的な暗号的プリミティブに依存しない。

Figure 3: The state of $\mathsf{Ser}$ ’s tree $\mathcal{T}$ prior to any $\mathsf{Search}$ queries.