[논문 리뷰] CacheShuffle: A Family of Oblivious Shuffles

Sarvar Patel, Giuseppe Persiano외 1명|arXiv (Cornell University)|2017. 05. 19.

Cryptography and Data Security참고 문헌 19인용 수 2

한 줄 요약

이 논문은 최대 K개의 블록에 대한 액세스 패턴을 알고 있는 적대자에 대비해 보안을 유지하면서 대역폭 오버헤드를 최소화하는 오블리비ous 셔플링 알고리즘인 CacheShuffle를 소개한다. 클라이언트 측 캐싱과 다항식 보간을 활용함으로써 제안된 KCacheShuffle 알고리즘은 최적의 대역폭 사용을 달성한다—2N + f(K) 블록이며, 여기서 f(K)는 K에만 의존한다. 이는 특히 더미 블록이 포함된 실용적인 ORAM 구조에서 이전 작업에 비해 상당한 향상을 이룬다.

ABSTRACT

We consider Oblivious Shuffling and K-Oblivious Shuffling, a refinement thereof. We provide efficient algorithms for both and discuss their application to the design of Oblivious RAM. The task of K-Oblivious Shuffling is to obliviously shuffle N encrypted blocks that have been randomly allocated on the server in such a way that an adversary learns nothing about the new allocation of blocks. The security guarantee should hold also with respect to an adversary that has learned the initial position of K touched blocks out of the N blocks. The classical notion of Oblivious Shuffling is obtained for K = N. We present a family of algorithms for Oblivious Shuffling. Our first construction, CacheShuffleRoot, is tailored for clients with $O(\sqrt{N})$ blocks of memory and uses $(4+ε)N$ blocks of bandwidth, for every $ε> 0$. CacheShuffleRoot is a 4.5x improvement over previous best known results on practical sizes of N. We also present CacheShuffle that obliviously shuffles using O(S) blocks of client memory with $O(N\log_S N)$ blocks of bandwidth. We then turn to K-Oblivious Shuffling and give algorithms that require 2N + f(K) blocks of bandwidth, for some function f. That is, any extra bandwidth above the 2N lower bound depends solely on K. We present KCacheShuffleBasic that uses O(K) client storage and exactly 2N blocks of bandwidth. For smaller client storage requirements, we show KCacheShuffle, which uses O(S) client storage and requires $2N+(1+ε)O(K\log_S K)$ blocks of bandwidth. Finally, we consider the case in which, in addition to the N blocks, the server stores D dummy blocks whose content is is irrelevant but still their positions must be hidden by the shuffling. For this case, we design algorithm KCacheShuffleDummy that, for N + D blocks and K touched blocks, uses O(K) client storage and $D+(2+ε)N$ blocks of bandwidth.

연구 동기 및 목표

• 원격 스토리지 시스템에서 액세스 패턴을 은폐하는 효율적인 오블리비ous 셔플링 알고리즘을 설계하기 위해.
• K-오블리비어스 셔플링 문제를 해결하기 위해, 즉 적대자가 K개의 블록의 초기 위치를 알지만 새로운 할당을 유추해서는 안 되는 상황에서.
• 특히 더미 블록이 존재할 경우 오블리비우스 랜덤 액세스 메모리(ORAM) 구조에서의 대역폭 오버헤드를 줄이기 위해.
• 대역폭과 클라이언트 스토리지 요구사항의 숨겨진 상수를 최소화하여 실용적인 ORAM 성능을 향상시키기 위해.

제안 방법

• O(√N) 클라이언트 메모리와 (4 + ϵ)N 대역폭을 사용하는 CacheShuffleRoot를 제안하며, 실패 확률이 무시할 만큼 낮다.
• 클라이언트 메모리에 블록을 분산 배포하여 효율적인 셔플링을 가능하게 하는 RSpray를 원시 기능으로 도입한다.
• O(K) 클라이언트 스토리지와 정확히 2N 대역폭을 사용하는 KCacheShuffleBasic을 설계하여 K-오블리비어스성을 보장한다.
• 더 작은 클라이언트 스토리지(O(S))를 사용하는 KCacheShuffle을 개발하며, 2N + (1 + ϵ)O(K logS K) 대역폭이 필요하고, ϵ에 따라 오버헤드가 달라진다.
• N + D개의 블록(중 D개는 더미 블록)을 처리하기 위해 KCacheShuffleDummy를 도입하며, O(K) 스토리지와 D + (2 + ϵ)N 대역폭을 사용한다.
• 다항식 보간을 활용해 셔플링 중 더미 블록의 위치를 안전하게 은폐한다.

실험 결과

연구 질문

• RQ1 K > 1일 경우에도 2N 블록의 이론적 하한에 근접한 대역폭으로 오블리비우스 셔플링을 수행할 수 있는가?
• RQ2 K-오블리비어스 셔플링에서 보안과 낮은 대역폭을 유지하면서 클라이언트 스토리지를 최소화할 수 있는가?
• RQ3 더미 블록의 존재를 추가적인 상수항을 초과하지 않는 범위에서 효율적으로 처리할 수 있는가?
• RQ4 실제 ORAM 워크로드에서 기존 구조인 MelbourneShuffle에 비해 새로운 알고리즘의 실용적 성능 향상은 어느 정도인가?
• RQ5 대역폭과 클라이언트 메모리의 숨겨진 상수가 실용적인 데이터 크기와 함께 어떻게 증가하는가?

주요 결과

• CacheShuffleRoot는 대역폭을 (4 + ϵ)N 블록으로 줄여, 실용적인 N에 대해 MelbourneShuffle의 (10 + c)N 대역폭 대비 약 4.5배 향상시켰다.
• KCacheShuffleBasic는 정확히 2N 대역폭을 사용하며 O(K) 클라이언트 스토리지로 구현되어 K = N일 경우 MelbourneShuffle 대비 약 9배 향상되었다.
• KCacheShuffleDummy는 D개의 더미 블록을 포함한 N + D개의 블록을 처리하며, D + (2 + ϵ)N 대역폭만을 사용한다. 실용적인 데이터 크기에서는 ϵ이 매우 작다.
• 실험 결과 ϵ < 1이 CacheShuffleRoot에 충분하며, MelbourneShuffle는 c ≥ 8가 필요함을 확인하여 약 4배의 대역폭 우수성을 입증했다.
• CacheShuffleRoot의 최대 클라이언트 캐시 크기는 시험 간 빠르게 안정화되며, ϵ이 증가함에 따라 지수적으로 감소한다.
• 더미 블록이 포함된 ORAM 환경에서는 대역폭 절감 효과가 특히 두드러지며, KCacheShuffleDummy는 이전 구조 대비 오버헤드를 5배 이상 줄였다.