[論文レビュー] Storage Enforcement with Kolmogorov Complexity and List Decoding

Mohammad Husain, Steve Ko+2 more|arXiv (Cornell University)|Apr 15, 2011

Cryptography and Data Security参考文献 19被引用数 4

ひとこと要約

この論文は、コルモゴロフ複雑性とリストデコーディングを用いて、最小限のクライントストレージと通信量でデータの保管を保証する、新たな検証プロトコルを提示する。クライントが確率εで検証に合格するサーバーは、データのコルモゴロフ複雑性C(x)を基準として、C(x) − o(C(x))ビット以上の情報を保管していることが保証される。これは暗号的仮定を用いない最適なクライント側のオーバーヘッドを達成する。

ABSTRACT

We consider the following problem that arises in outsourced storage: a user stores her data $x$ on a remote server but wants to audit the server at some later point to make sure it actually did store $x$. The goal is to design a (randomized) verification protocol that has the property that if the server passes the verification with some reasonably high probability then the user can rest assured that the server is storing $x$. In this work we present an optimal solution (in terms of the user's storage and communication) while at the same time ensuring that a server that passes the verification protocol with any reasonable probability will store, to within a small extit{additive} factor, $C(x)$ bits of information, where $C(x)$ is the plain Kolmogorov complexity of $x$. (Since we cannot prevent the server from compressing $x$, $C(x)$ is a natural upper bound.) The proof of security of our protocol combines Kolmogorov complexity with list decoding and unlike previous work that relies upon cryptographic assumptions, we allow the server to have unlimited computational power. To the best of our knowledge, this is the first work that combines Kolmogorov complexity and list decoding. Our framework is general enough to capture extensions where the user splits up $x$ and stores the fragment across multiple servers and our verification protocol can handle non-responsive servers and colluding servers. As a by-product, we also get a proof of retrievability. Finally, our results also have an application in `storage enforcement' schemes, which in turn have an application in trying to update a remote server that is potentially infected with a virus.

研究の動機と目的

• クライントのストレージと通信量を最小限に抑えつつ、データ整合性を保証する、外部保管用の検証プロトコルを設計すること。
• 暗号的仮定に依存しない情報理論的技術（コルモゴロフ複雑性とリストデコーディングに基づく）を用いて、その依存性を排除すること。
• データを保管するサーバーが、データのコルモゴロフ複雑性C(x)に基づき、C(x) − o(C(x))ビット以上の情報を保持していることを強制すること。
• 複数サーバー環境における非応答または共謀するサーバーに対する耐性を確保すること。
• データの回復可能性の証明を提供し、マルウェアが存在する状況下での安全なリモートサーバー更新などの応用を可能にすること。

提案手法

• 高リスティングデコーディング半径を持つ、具体的にはリード・ソロモンおよびCRTコードを用いたリストデコodableコードを活用し、不正なサーバーの検出を可能にする。
• モジュラーハッシュ（例：カープ・ラビンまたは多項式ハッシュ）によるランダムプロジェクションを用いて、データからコンactなチャレンジを生成する。
• リストデコーディング容量に関する定理9を適用し、与えられた距離内に存在する可能性のあるコード語の数を制限することで、高コルモゴロフ複雑性を持つデータのみが検証に合格できることを保証する。
• ストリームデータに対して効率的なハッシュ値計算を実現する、1パスで低メモリ使用量のデータストリームアルゴリズムを採用し、クライントのストレージを最小限に抑える。
• クライントが複数のサーバーにランダムインデックスを用いてチャレンジを送信し、応答の整合性を検証するマルチパーティ検証プロトコルを設計する。
• リストデコodableコードの構造を用いて、サーバーの検証プロトコル合格確率に基づき、そのサーバーが保管している情報量の下界を導出する。

実験結果

リサーチクエスチョン

• RQ1 暗号的仮定に依存せずに、近似的に最適な情報量（C(x)まで）を保管することを強制するデータ所有確認プロトコルを設計できるか？
• RQ2 コルモゴロフ複雑性は、検証に合格するためのサーバーが保管すべき情報量の理論的下界としてどのように利用できるか？
• RQ3 リストデコーディング技術を用いて、計算的に無限大のサーバーに対しても安全な検証プロトコルを構築できるか？
• RQ4 リモートサーバーが元のデータの大部分を保管していることを確認するために、最小限のクライントストレージと通信量のオーバーヘッドはどの程度必要か？
• RQ5 プロトコルは、複数サーバー、非応答、またはサーバー間の共謀に対応できるように拡張可能か？

主な発見

• プロトコルは最適なクライント側ストレージと通信量の複雑性を達成しており、s台のサーバーに対して、クライントのストレージはO(s(log k + log(1/ε)))ビットで上限が保証される。
• 検証プロトコルに確率εで合格するサーバーは、データのコルモゴロフ複雑性C(x)に基づき、C(x) − O(s(log k + log(1/ε)))ビット以上の情報を保管している必要がある。
• n = k/ε²であるリード・ソロモンコードは、(1−ε, 2k²/ε⁴)-リストデコーダブルであり、距離内に存在するコード語の数に対する強い保証を可能にする。
• プロトコルは1パス・低メモリ計算（O(log k + log(1/ε))ビット）をサポートしており、ストリーミングデータに対して効率的である。
• フレームワークは複数サーバー環境へ拡張可能であり、最大e台の非応答サーバーが存在しても、最小限のオーバーヘッドでセキュリティと正しさを維持する。
• プロトコルはデータの回復可能性の証明を提供し、マルウェアが存在する状況下での安全なリモートサーバー更新を、保管強制メカニズムの副産物として可能にする。