[論文レビュー] Private Heavy Hitters and Range Queries in the Shuffled Model

Badih Ghazi, Noah Golowich+3 more|arXiv (Cornell University)|Aug 29, 2019

Cryptography and Data Security被引用数 3

ひとこと要約

本稿は、微分プライバシーのシャッフルモデルにおける周波数推定およびヘビーハイターズの根本的限界と効率的プロトコルを確立する。単一メッセージ設定における誤差についてほぼタイトな下界を証明し、複数メッセージモデルでは誤差を指数的に改善することを示し、ユーザーごとの通信量を最小限に抑えて多対数の誤差を達成する。

ABSTRACT

An exciting new development in differential privacy is the shuffled model, in which an anonymous channel enables non-interactive, differentially private protocols with error much smaller than what is possible in the local model, while relying on weaker trust assumptions than in the central model. In this paper, we study basic counting problems in the shuffled model and establish separations between the error that can be achieved in the single-message shuffled model and in the shuffled model with multiple messages per user. For the problem of frequency estimation for $n$ users and a domain of size $B$, we obtain: - A nearly tight lower bound of $ ilde{\Omega}( \min(\sqrt[4]{n}, \sqrt{B}))$ on the error in the single-message shuffled model. This implies that the protocols obtained from the amplification via shuffling work of Erlingsson et al. (SODA 2019) and Balle et al. (Crypto 2019) are essentially optimal for single-message protocols. A key ingredient in the proof is a lower bound on the error of locally-private frequency estimation in the low-privacy (aka high $\epsilon$) regime. - Protocols in the multi-message shuffled model with $poly(\log{B}, \log{n})$ bits of communication per user and $poly\log{B}$ error, which provide an exponential improvement on the error compared to what is possible with single-message algorithms. For the related selection problem on a domain of size $B$, we prove: - A nearly tight lower bound of $\Omega(B)$ on the number of users in the single-message shuffled model. This significantly improves on the $\Omega(B^{1/17})$ lower bound obtained by Cheu et al. (Eurocrypt 2019), and when combined with their $ ilde{O}(\sqrt{B})$-error multi-message protocol, implies the first separation between single-message and multi-message protocols for this problem.

研究の動機と目的

• 基本的なカウンティング問題における微分プライバシーのシャッフルモデルの根本的限界を理解すること。
• 誤差と通信効率の観点から、単一メッセージプロトコルと複数メッセージプロトコルの間の分離を確立すること。
• シャッフルモデルにおける周波数推定および選択問題の先行下界を改善すること。
• 単一メッセージプロトコルの対比として指数的に低い誤差を達成する効率的な複数メッセージプロトコルを設計すること。

提案手法

• 高$\epsilon$領域における局所的プライバシー周波数推定のための新規下界を用いて、単一メッセージシャッフルモデルにおける誤差に$\tilde{\Omega}(\min(\sqrt[4]{n}, \sqrt{B}))$のほぼタイトな下界を導出する。
• Erlingssonら(SODA 2019)およびBalleら(Crypto 2019)のシャッフルによるアンプリフィケーション技術を適用し、単一メッセージ設定における既存プロトコルの最適性を示す。
• ユーザーごとの通信量が$\text{poly}(\log B, \log n)$で、誤差が$\text{poly}\log B$である複数メッセージプロトコルを構築し、単一メッセージプロトコルと比較して誤差を指数的に改善することを実現する。
• 選択問題における単一メッセージモデルで必要なユーザー数に対して、ほぼタイトな$\Omega(B)$の下界を証明し、以前の$\Omega(B^{1/17})$の下界を著しく改善する。
• 向上した下界と既存の複数メッセージプロトコルを組み合わせることで、選択問題における単一メッセージと複数メッセージモデルの間で初めての分離を確立する。

実験結果

リサーチクエスチョン

• RQ1 単一メッセージシャッフルモデルにおける周波数推定の根本的誤差限界は何か？
• RQ2 シャッフルモデルにおける複数メッセージプロトコルは、単一メッセージプロトコルと比較して指数的に低い誤差を達成できるか？
• RQ3 単一メッセージシャッフルモデルにおける選択問題において、必要なユーザー数はどのようにスケーリングするか？
• RQ4 誤差と通信複雑度の観点から、単一メッセージと複数メッセージモデルの間にはどのような分離があるか？
• RQ5 高$\epsilon$領域における局所的プライバシー周波数推定の下界を活用することで、シャッフルモデルにおけるより強い下界を導出できるか？

主な発見

• 単一メッセージシャッフルモデルにおける周波数推定に対して、誤差に$\tilde{\Omega}(\min(\sqrt[4]{n}, \sqrt{B}))$のほぼタイトな下界が確立され、シャッフルアンプリフィケーションに基づく既存プロトコルが本質的に最適であることが示された。
• 複数メッセージプロトコルは、ユーザーごとの通信量が$\text{poly}(\log B, \log n)$で、誤差が$\text{poly}\log B$であることを達成し、単一メッセージプロトコルと比較して指数的な誤差改善を実現した。
• 選択問題における単一メッセージモデルで必要なユーザー数に対して、ほぼタイトな$\Omega(B)$の下界が証明され、以前の$\Omega(B^{1/17})$の下界を著しく改善した。
• 向上した下界と既存の$\tilde{O}(\sqrt{B})$誤差の複数メッセージプロトコルを組み合わせることで、選択問題における単一メッセージと複数メッセージプロトコルの間で初めての分離を確立した。
• 結果として、シャッフルモデルは、特に誤差スケーリングの観点で、単一メッセージと複数メッセージプロトコルの間で顕著な効率の差を生み出すことが明らかになった。
• 本研究は、シャッフルモデルにおける複数メッセージプロトコルが、最小限の通信量で近似的に最適な誤差を達成できることを確認し、メッセージの多重性が微分プライバシー計算における強力な要因であることを強調した。