[논문 리뷰] Chorus: Differential Privacy via Query Rewriting.

Noah M. Johnson, Joseph P. Near외 2명|arXiv (Cornell University)|2018. 09. 20.

Privacy-Preserving Technologies in Data참고 문헌 66인용 수 12

한 줄 요약

Chorus는 데이터베이스나 쿼리 수정 없이도 SQL 쿼리 실행에 직접적으로 차등적 비밀유지(differential privacy)를 통합하는 혁신적인 시스템이다. 쿼리를 수정하여 비밀유지 메커니즘을 통합함으로써 자동으로 비밀유지 보장을 제공한다. 이 시스템은 실제 통계 쿼리의 93.9%를 지원하며, 수억 건의 레코드까지 확장 가능하며, 유저버(Uber)에서 GDPR 준수를 위해 일상적인 생산 환경에 도입되어 운영 중이다.

ABSTRACT

We present Chorus, a system with a novel architecture for providing differential privacy for statistical SQL queries. The key to our approach is to embed a differential privacy mechanism into the query before execution so the query automatically enforces differential privacy on its output. Chorus is compatible with any SQL database that supports standard math functions, requires no user modifications to the database or queries, and simultaneously supports many differential privacy mechanisms. To the best of our knowledge, no existing system provides these capabilities. We demonstrate our approach using four general-purpose differential privacy mechanisms. In the first evaluation of its kind, we use Chorus to evaluate these four mechanisms on real-world queries and data. The results demonstrate that our approach supports 93.9% of statistical queries in our corpus, integrates with a production DBMS without any modifications, and scales to hundreds of millions of records. Chorus is currently being deployed at Uber for its internal analytics tasks. Chorus represents a significant part of the company's GDPR compliance efforts, and can provide both differential privacy and access control enforcement. In this capacity, Chorus processes more than 10,000 queries per day.

연구 동기 및 목표

• 기본 데이터베이스나 사용자 쿼리 변경 없이도 통계적 SQL 쿼리에 대해 종단 간 차등적 비밀유지를 제공하는 것.
• 표준 SQL 실행 파이프라인에 차등적 비밀유지 메커니즘을 원활하게 통합할 수 있는 시스템 아키텍처를 설계하는 것.
• 실제 생산 환경에서 대규모 환경에서 다양한 일반 목적의 차등적 비밀유지 메커니즘을 평가하고 비교하는 것.
• 강력한 비밀유지 보장을 제공하면서도 대규모 분석 워크로드에서 차등적 비밀유지를 생산 환경에 구현할 수 있도록 하는 것.

제안 방법

• Chorus는 쿼리 실행 시점에 쿼리를 재작성하여 차등적 비밀유지 메커니즘을 통합함으로써 비밀유지가 자동으로 보장되도록 한다.
• 시스템은 구성 가능한 쿼리 재작성 방식을 통해 라플라스, 가우시안, 기타 여러 차등적 비밀유지 메커니즘을 지원한다.
• 수학적으로 타당한 메커니즘을 사용하여 쿼리 수준에서 노이즈를 주입함으로써 비밀유지 보장을 강화한다. 이는 표준 SQL 함수와 호환된다.
• 아키텍처는 기존의 DBMS와 완전히 호환되며, 데이터베이스 엔진이나 사용자 쿼리 언어에 대한 수정이 필요 없다.
• Chorus는 생산용 데이터베이스와 통합되어 차등적 비밀유지와 액세스 제어를 동시에 강제한다.
• 시스템은 쿼리 의미를 유지하면서도 공식적인 비밀유지 회계를 통해 차등적 비밀유지를 보장하는 방식으로 쿼리를 처리한다.

실험 결과

연구 질문

• RQ1 기본 데이터베이스나 쿼리 변경 없이도 표준 SQL 쿼리 처리에 차등적 비밀유지를 원활하게 통합할 수 있는가?
• RQ2 다양한 실제 통계 쿼리에 대해 쿼리 재작성 기법이 차등적 비밀유지를 얼마나 효과적으로 구현할 수 있는가?
• RQ3 쿼리 실행 시점에 비밀유지를 강제하는 시스템의 성능과 확장성은 어떠한가?
• RQ4 실제 데이터와 워크로드에서 다양한 차등적 비밀유지 메커니즘이 실제로 어떻게 작동하는가?
• RQ5 강력한 비밀유지 및 액세스 제어 보장을 제공하면서도 대규모 생산 환경에 이러한 시스템을 구현할 수 있는가?

주요 결과

• Chorus는 평가된 코퍼스 내 통계 쿼리의 93.9%를 성공적으로 지원하여 광범위한 적용 가능성을 입증했다.
• 시스템은 데이터베이스나 쿼리 언어에 대한 수정 없이도 생산 수준의 DBMS와 통합된다.
• Chorus는 수억 건의 레코드를 처리할 수 있도록 확장 가능하여 대규모 분석에 대한 실현 가능성을 입증했다.
• 현재 시스템은 유저버(Uber)에 배포되어 매일 1만 건 이상의 쿼리를 내부 분석과 GDPR 준수를 위해 처리하고 있다.
• Chorus는 통합적이고 투명한 방식으로 차등적 비밀유지와 액세스 제어 강제를 동시에 구현한다.
• 이 연구는 실세계 쿼리와 데이터를 기반으로 한 생산 환경에서 여러 차등적 비밀유지 메커니즘을 평가한 최초의 사례이다.