[논문 리뷰] Blowfish Privacy: Tuning Privacy-Utility Trade-offs using Policies

Xi He, Ashwin Machanavajjhala외 1명|arXiv (Cornell University)|2013. 12. 13.

Privacy-Preserving Technologies in Data참고 문헌 22인용 수 104

한 줄 요약

이 논문은 사용자가 정의한 정책을 통해 민감 정보와 데이터 제약 조건을 명시함으로써 차별적 개인정보 보호를 향상시키는 융통성 있는 개인정보 보호 프레임워크인 Blowfish 프라이버시를 소개한다. 이러한 정책을 조정함으로써 저자들은 k-means 클러스터링, 히스토그램, 범위 쿼리에 대해 표준 차별적 개인정보 보호 방법보다 훨씬 낮은 노이즈와 높은 유틸리티를 달성하는 메커니즘을 개발하였으며, 특히 현실적인 데이터 제약 조건 하에서 뛰어난 성능을 보였다.

ABSTRACT

Privacy definitions provide ways for trading-off the privacy of individuals in a statistical database for the utility of downstream analysis of the data. In this paper, we present Blowfish, a class of privacy definitions inspired by the Pufferfish framework, that provides a rich interface for this trade-off. In particular, we allow data publishers to extend differential privacy using a policy, which specifies (a) secrets, or information that must be kept secret, and (b) constraints that may be known about the data. While the secret specification allows increased utility by lessening protection for certain individual properties, the constraint specification provides added protection against an adversary who knows correlations in the data (arising from constraints). We formalize policies and present novel algorithms that can handle general specifications of sensitive information and certain count constraints. We show that there are reasonable policies under which our privacy mechanisms for k-means clustering, histograms and range queries introduce significantly lesser noise than their differentially private counterparts. We quantify the privacy-utility trade-offs for various policies analytically and empirically on real datasets.

연구 동기 및 목표

• 실제 환경에서 높은 유틸리티와 상관관계가 있는 데이터가 흔한 상황에서 차별적 개인정보 보호의 한계를 해결하기 위해.
• 개별 성질이 어떤 것인지와 보조 지식(예: 데이터 제약 조건)이 프라이버시 보장에 어떻게 영향을 주는지에 대해 세밀한 제어를 가능하게 하는 프라이버시 프레임워크를 개발하기 위해.
• 표준 차별적 개인정보 보호보다 더 정확한 데이터 공개 메커니즘을 얻기 위해 맞춤형 프라이버시 정책이 효과적일 수 있음을 보여주기 위해.
• 특히 수량 제약 조건과 공간 제약 조건을 포함한 제약 조건 하에서 쿼리에 대해 정책별 전역 감도와 노이즈 캘리브레이션을 체계화하기 위해.

제안 방법

• 차별적 개인정보 보호의 정책 기반 확장 도입으로, 민감 정보 사양과 제약 조건을 프라이버시 모델의 핵심 구성 요소로 정의한다.
• 차별적 개인정보 보호의 일반화로 'Blowfish 프라이버시' 개념을 제안하며, 이는 프라이버시 보장이 프라이버시 파rameter ε와 정책 P에 모두 의존한다는 점을 강조한다.
• 정책 제약 조건 하에서 정확도가 향상된 누적 히스토그램 공개와 범위 쿼리 응답을 위한 순서 기반 메커니즘을 개발한다.
• 정책 그래프와 연결 성분과 같은 그래프 이론적 구성 요소를 사용하여 정책별 전역 감도를 유도함으로써 노이즈 요구량을 제한한다.
• k-means 클러스터링에 적용하여, 약한 감도 사양이 노이즈를 줄이면서도 프라이버시를 유지함을 보여준다.
• 제약 조건을 보조 지식으로 모델링하고 제약 그래프의 연결 성분을 통해 감도를 계산함으로써, 수량 제약 조건 하에서 히스토그램 공개를 위한 노이즈를 캘리브레이션한다.

실험 결과

연구 질문

• RQ1 데이터 발행자가 개인 성질 중 어떤 것들이 반드시 기밀로 유지되어야 하는지 명시함으로써, 프라이버시-유틸리티 트레이드오프를 향상시킬 수 있는가?
• RQ2 공개적으로 알려진 데이터 제약 조건(예: 수량 제약 조건)을 어떻게 공식적으로 프라이버시 정의에 통합하여 상관관계가 있는 데이터 공격에 대한 보호를 강화할 수 있는가?
• RQ3 k-means 클러스터링과 범위 쿼리와 같은 일반적인 워크로드에서, Blowfish 프라이버시 하의 메커니즘이 표준 차별적 개인정보 보호 메커니즘보다 더 낮은 노이즈를 달성할 수 있는가?
• RQ4 다양한 제약 유형 하에서 히스토그램 및 범위 쿼리 워크로드에 대해 정책별 전역 감도는 무엇인가?
• RQ5 적대자가 제약 조건을 알고 있을 경우, 히스토그램 공개를 위한 노이즈를 효율적으로 캘리브레이션하는 방법은 무엇인가?

주요 결과

• k-means 클러스터링에서, 약한 민감 정보 사양을 가진 Blowfish 메커니즘은 실제 데이터셋에서 표준 차별적 개인정보 보호 방법 대비 노이즈를 최대 50%까지 감소시켰다.
• 누적 히스토그램을 위한 순서 기반 메커니즘은 기존에 알려진 최고의 차별적 개인정보 보호 메커니즘보다 낮은 오차를 달성하였으며, 실제 데이터에서 오차 감소율이 최대 40%에 이르렀다.
• 거리 기반 임계값 제약 조건이 있는 분리된 범위 수량 쿼리의 경우, 전역 감도는 2(maxcomp(Q) + 1)로 제한되며, 여기서 maxcomp(Q)는 제약 조건 그래프의 최대 연결 성분 크기이다.
• 수량 제약 조건의 경우, 히스토그램 쿼리의 정책별 전역 감도는 2 × max(size(Ci))로 제한되며, 여기서 Ci는 제약 조건 그룹들이다. 이는 더 날카운 노이즈 캘리브레이션을 가능하게 한다.
• 이론적 및 실증적 결과는 Blowfish 프라이버시가 세미틱 프라이버시 보장을 훼손하지 않으면서도 표준 차별적 개인정보 보다 훨씬 높은 유틸리티를 달성할 수 있음을 보여준다.
• 이 프레임워크는 적대자의 보조 지식을 그래프로 모델링함으로써, 제약 조건 하에서 히스토그램을 정확하게 공개할 수 있도록 하며, 효율적인 감도 계산과 노이즈 캘리브레이션을 가능하게 한다.