[논문 리뷰] Cardinality Estimators do Not Preserve Privacy

Damien Desfontaines, Andreas Lochbihler외 1명|arXiv (Cornell University)|2018. 08. 17.

Privacy-Preserving Technologies in Data참고 문헌 1인용 수 1

한 줄 요약

이 논문은 HyperLogLog과 같은 카디널리티 추정기들이 그 본질적인 집계 성질 덕분에 개인정보를 보호할 수 없다는 것을 입증한다. 약한 개인정보 정의(공격자가 타겟 데이터의 존재에 대해 사전 지식이 없음) 조건 하에서도 이러한 알고리즘은 개인 데이터 요소에 관한 중요한 정보를 泄露하며, 이는 원시 데이터만큼 민감한 수준임을 의미한다.

ABSTRACT

Cardinality estimators like HyperLogLog are sketching algorithms that estimate the number of distinct elements in a large multiset. Their use in privacy-sensitive contexts raises the question of whether they leak private information. In particular, can they provide any privacy guarantees while preserving their strong aggregation properties? We formulate an abstract notion of cardinality estimators, that captures this aggregation requirement: one can merge sketches without losing precision. We propose an attacker model and a corresponding privacy definition, strictly weaker than differential privacy: we assume that the attacker has no prior knowledge of the data. We then show that if a cardinality estimator satisfies this definition, then it cannot have a reasonable level of accuracy. We prove similar results for weaker versions of our definition, and analyze the privacy of existing algorithms, showing that their average privacy loss is significant, even for multisets with large cardinalities. We conclude that strong aggregation requirements are incompatible with any reasonable definition of privacy, and that cardinality estimators should be considered as sensitive as raw data. We also propose risk mitigation strategies for their real-world applications.

연구 동기 및 목표

• 카디널리티 추정기들이 강력한 집계 능력을 유지하면서도 개인정보 보호 보장을 제공할 수 있는지 조사하기 위해.
• 차별적 프라이버시보다 엄격히 더 약한, 그러나 실질적인 시스템에 의미 있는 공격자 모델과 개인정보 정의를 정의하기 위해.
• 이 개인정보 정의를 충족하는 모든 카디널리티 추정기가 합리적인 정확도를 달성할 수 없음을 증명하기 위해.
• HyperLogLog과 HyperLogLog++와 같이 널리 사용되는 알고리즘의 실제 개인정보 유출 수준을 분석하기 위해.
• 카디널리티 추정기의 실세계 배포를 위한 위험 완화 전략을 제안하기 위해.

제안 방법

• 결합성, 교환법칙, 잘 정의된 병합 연산을 가지는 핵심 성질을 반영하는 카디널리티 추정기의 추상 모델을 제안한다.
• 공격자가 타겟 데이터의 존재에 대해 사전 지식이 없음을 가정하는 지식 증가 기반의 개인정보 정의를 도입한다.
• 정보 이론적 분석을 통해 이 개인정보 정의를 충족하는 모든 추정기의 정확도가 수용할 수 없을 정도로 낮아야 한다는 것을 보여준다.
• 다양한 카디널리티와 공격 시나리오에서 HyperLogLog과 HyperLogLog++의 평균 개인정보 유출 수준을 실험적으로 측정한다.
• 스케치 내부에 대한 직접 접근을 제한하기 위해 제한된 API와 해시 솔팅을 포함한 위험 완화 전략을 제안한다.
• 고비용이지만 개인정보 보호를 위한 잠재적 대안으로 동형 암호화의 가능성을 분석한다.

실험 결과

연구 질문

• RQ1 공격자가 사전 지식이 없는 약한 개인정보 정의 조건 하에서 카디널리티 추정기는 개인정보를 보호할 수 있는가?
• RQ2 제안된 개인정보 정의를 충족하면서도 병합 가능성과 집계 성질을 유지하는 정확도가 높은 카디널리티 추정기를 설계하는 것이 가능한가?
• RQ3 HyperLogLog과 HyperLogLog++와 같이 널리 배포된 알고리즘의 실제 개인정보 유출 수준은 어느 정도인가?
• RQ4 카디널리티 추정기의 구조적 성질(예: 결합성, 교환법칙)이 왜 필연적인 개인정보 침해로 이어지는가?
• RQ5 카디널리티 추정기 스킴에 대한 추론 공격 위험을 줄이기 위한 실용적인 완화 전략은 무엇인가?

주요 결과

• 제안된 개인정보 정의를 충족하는 모든 카디널리티 추정기는 수용할 수 없을 정도로 낮은 정확도를 가져야 하므로, 실세계 응용에는 실용적이지 않다.
• 약한 개인정보 정의(사전 지식 없음) 조건 하에서도 카디널리티 추정기는 개인 데이터 요소에 관한 중요한 정보를 泄露한다.
• HyperLogLog과 HyperLogLog++의 평균 개인정보 유출 수준은 대규모 멀티셋 조건에서도 상당히 높아 재식별 위험이 크다.
• 카디널리티 추정기의 구조적 성질(결합성, 교환법칙, 병합 가능성)은 의미 있는 개인정보 보호와 본질적으로 충돌한다.
• 재식별 가능성이 높기 때문에 카디널리티 추정기의 스킴은 원시 데이터만큼 민감하게 간주되어야 한다.
• 제한된 API와 해시 솔팅과 같은 위험 완화 전략은 개인정보 유출을 줄일 수 있지만, 결정적인 공격자에 대해서는 완전히 제거하지 못한다.