[論文レビュー] PrivateFetch: Scalable Catalog Delivery in Privacy-Preserving Advertising

Muhammad Haris Mughees, Gonçalo Pestana+2 more|arXiv (Cornell University)|Sep 16, 2021

Privacy-Preserving Technologies in Data被引用数 4

ひとこと要約

PrivateFetch は、クライアント側での好み計算と効率的な単一サーバー型プライベート情報検索（PIR）を用いて、ユーザーの好みをサーバーに露呈せずにターゲティング広告を配信するプライバシー保護型広告配信システムを提案する。100万件を超えるエントリを含むデータベースから30件の広告を40秒未塔で配信可能であり、通信コストは192 KB、運用コストは平均広告収益の1%未塔に抑えられる。

ABSTRACT

In order to preserve the possibility of an Internet that is free at the point of use, attention is turning to new solutions that would allow targeted advertisement delivery based on behavioral information such as user preferences, without compromising user privacy. Recently, explorations in devising such systems either take approaches that rely on semantic guarantees like $k$-anonymity -- which can be easily subverted when combining with alternative information, and do not take into account the possibility that even knowledge of such clusters is privacy-invasive in themselves. Other approaches provide full privacy by moving all data and processing logic to clients -- but which is prohibitively expensive for both clients and servers. In this work, we devise a new framework called PrivateFetch for building practical ad-delivery pipelines that rely on cryptographic hardness and best-case privacy, rather than syntactic privacy guarantees or reliance on real-world anonymization tools. PrivateFetch utilizes local computation of preferences followed by high-performance single-server private information retrieval (PIR) to ensure that clients can pre-fetch ad content from servers, without revealing any of their inherent characteristics to the content provider. When considering an database of $>1,000,000$ ads, we show that we can deliver $30$ ads to a client in 40 seconds, with total communication costs of 192KB. We also demonstrate the feasibility of PrivateFetch by showing that the monetary cost of running it is less than 1% of average ad revenue. As such, our system is capable of pre-fetching ads for clients based on behavioral and contextual user information, before displaying them during a typical browsing session. In addition, while we test PrivateFetch as a private ad-delivery, the generality of our approach means that it could also be used for other content types.

研究の動機と目的

• 広告配信におけるプライバシーと有用性のトレードオフを解消するため、クライアント側でのデータ漏洩を排除すること。
• Tor などの第三者匿名化ネットワークに依存せずに、プライベートで高性能な広告取得を実現するシステムの設計。
• クライアントにデータベース全体を送信するのと比較して、ターゲティング広告の配信コストと帯域幅を削減すること。
• k-匿名性などの構文的・ヒューリスティックなプライバシーモデルではなく、暗号的硬さに基づく強力なプライバシー保証を提供すること。
• 広告以外の分野にも応用可能な実用的で導入可能なプライベートコンテンツ配信フレームワークの構築。

提案手法

• クライアントが行動的・文脈的情報に基づき、局所性に敏感なハッシュ法を用いてユーザーの好みをローカルで計算する。
• 信頼できないサーバーから選択された広告をプライベートに取得するために、単一サーバー型でステートレスな PIR プロトコルを採用する。
• クライント側の状態を最小限に抑えるために暗号的最適化を適用し、PIR の効率を向上させる。
• PIR プロトコルにより、サーバーがクライントのクエリや好みを一切学習できないように保証する。
• 将来的により効率的なバリエーションに置き換え可能な柔軟なモジュラリティを備えた設計である。
• 設定可能な PIR パrameter を通じて通信オーバーヘッドを最小限に抑え、低帯域幅を実現する。

実験結果

リサーチクエスチョン

• RQ1 広告提供者にユーザーの好みを漏洩させることなく、実用的でスケーラブルなターゲティング広告配信システムを構築可能か？
• RQ2 プライベート情報検索を実世界の広告配信パイプラインに効率的に統合する方法は何か？
• RQ3 データベース全体を送信する手法と比較して、PIR を用いた広告取得のパフォーマンスとコストオーバーヘッドはどの程度か？
• RQ4 PIR を用いたシステムは、実世界の展開環境において強力なプライバシーと妥当なパフォーマンスを両立できるか？
• RQ5 PIR は、Tor のような匿名化ネットワークへの依存をどの程度代替できるか？

主な発見

• PrivateFetch は、100万件を超えるエントリを含むデータベースから30件のターゲティング広告を40秒未塔で配信可能であり、通信量はたったの192 KB。
• 運用コストを平均広告収益の1%未塔に抑え、クライアントにデータベース全体を送信する手法と比較して10倍の経済的コスト削減を達成。
• 非プライベート広告ターゲティングシステムと同等のパフォーマンスを示しており、プライバシーを損なわず実用性を確保。
• Tor などの外部匿名化ネットワークに依存しないため、使いやすさと互換性が向上。
• 本アプローチは一般化可能であり、最小限のプロトコル変更で他のコンテンツタイプの非同期プライベート取得にも応用可能。
• 暗号的最適化によりクライント側の状態を最小限に抑え、実世界の環境における導入可能性と効率性が向上。