[論文レビュー] Prio: Private, Robust, and Scalable Computation of Aggregate Statistics

Henry Corrigan-Gibbs, Dan Boneh|arXiv (Cornell University)|Mar 18, 2017

Cryptography and Data Security参考文献 100被引用数 146

ひとこと要約

Prioは秘密分割された非対話型証明（SNIPs）とアフィン集約可能エンコードを用いて大規模クライアント集合の private aggregation を実現し、プライバシー、故障したクライアントに対する堅牢性、スケーラビリティを達成します。

ABSTRACT

This paper presents Prio, a privacy-preserving system for the collection of aggregate statistics. Each Prio client holds a private data value (e.g., its current location), and a small set of servers compute statistical functions over the values of all clients (e.g., the most popular location). As long as at least one server is honest, the Prio servers learn nearly nothing about the clients' private data, except what they can infer from the aggregate statistics that the system computes. To protect functionality in the face of faulty or malicious clients, Prio uses secret-shared non-interactive proofs (SNIPs), a new cryptographic technique that yields a hundred-fold performance improvement over conventional zero-knowledge approaches. Prio extends classic private aggregation techniques to enable the collection of a large class of useful statistics. For example, Prio can perform a least-squares regression on high-dimensional client-provided data without ever seeing the data in the clear.

研究の動機と目的

• 大規模集団からのアグリゲート統計のプライバシー保護収集を動機づける。
• プライバシーを保ちながら悪意のあるクライアントに対して堅牢であるシステムを開発する。
• 私人データを暴露せず提出物を証明するSNIPsを導入する。
• データエンコード技術を統一・拡張して広範なクラスの集計をサポートする。
• 先行アプローチと比較して実用性とスケール性を実証する。

提案手法

• 秘密分割された非対話型証明（SNIPs）を導入し、私人データを公開せずにクライアント提出を検証する。
• アフィン-集約可能エンコード（AFE）を用いてクライアントデータをエンコードし、エンコードの和をデコードして望ましい統計を得る。
• 基本的な和のためのアップロード・アグリゲート・パブリッシュの3段階のシンプルなスキームを基準として採用する。
• 悪意のあるクライアントに対する堅牢性を確保するため、ポリynomialアイデンティティテストとBeaver風MPCをSNIPsと組み合わせて拡張する。
• AFEとSNIPsを組み合わせて個別入力を漏らすことなく複雑な統計を計算する。
• 匿名性、f-プライバシー、堅牢性といったセキュリティ定義を提供し、妥当な脅威モデル下で情報理論的プライバシーを分析する。

実験結果

リサーチクエスチョン

• RQ1 私人データのプライバシーを保ちながら悪意あるクライアント提出に対して集約をどのように堅牢化できるか？
• RQ2 少数の非協力的なサーバーは個々の入力について集計以外のほとんど何も学べないのか？
• RQ3 SNIPsとAFEは大規模で効率的な集合計算を可能にするどのような機構か？
• RQ4 プライバシー・堅牢性・性能は、従来のNIZK/NIZKベースのアプローチやSNARK/SNARK様式の方法と比べてどうか？
• RQ5 実世界展開における実用的な性能特性（待機遅延、スループット）はどうなるか？

主な発見

• Prioは強力なプライバシーを達成する：少なくとも1つのサーバーが正直であれば、サーバーは集計以外の個々の入力についてほとんど何も学ばない。
• SNIPsは情報理論的保証と低いサーバー通信量でクライアント提出のセキュアな非対話検証を可能にする。
• アフィン-集約可能エンコードはエンコードの和をデコードして複雑な統計を計算できるようにし、効率的でスケーラブルな集約を実現する。
• NIZKおよびSNARKベースの方法と比べて、Prioはサーバー作業を数オーダー小さく、クライアント作業も50–100倍削減し、非-privateベースラインと比較して全体の遅延は約5.7倍の遅れ。
• Prioは分散サーバークラスターで約2 msのクライアント提出ごと、434の質問に対するクライアント計算で約26 msの現実的な待機遅延を示すなど、大規模展開を実現可能な遅延を提供する。
• SNIPフレームワークは信頼できないクライアントに対する堅牢性を提供しつつ、プライバシーやスケーラビリティを犠牲にしない。