[논문 리뷰] Connecting Randomized Response, Post-Randomization, Differential Privacy and t-Closeness via Deniability and Permutation

Josep Domingo‐Ferrer, Jordi Soria-Comas|arXiv (Cornell University)|2018. 03. 06.

Privacy-Preserving Technologies in Data참고 문헌 10인용 수 5

한 줄 요약

이 논문은 부정행위 가능성과 순열의 통합 원리들을 통해 랜덤라이즈드 리스폰스, 포스트-랜덤라이제이션(PRAM), 차별적 프라이버시, t-근접도와 같은 주요 프라이버시 모델들 간의 깊이 있는 이론적 연결을 수립한다. 이들 모델들은 모두 순열 기반의 익명화 프레임워크의 변형으로 이해될 수 있으며, 순열 거리 측도와 멱평균을 통해 통합된 프라이버시-유용성 트레이드오프를 조정할 수 있다.

ABSTRACT

We explore some novel connections between the main privacy models in use and we recall a few known ones. We show these models to be more related than commonly understood, around two main principles: deniability and permutation. In particular, randomized response turns out to be very modern in spite of it having been introduced over 50 years ago: it is a local anonymization method and it allows understanding the protection offered by $ε$-differential privacy when $ε$ is increased to improve utility. A similar understanding on the effect of large $ε$ in terms of deniability is obtained from the connection between $ε$-differential privacy and t-closeness. Finally, the post-randomization method (PRAM) is shown to be viewable as permutation and to be connected with randomized response and differential privacy. Since the latter is also connected with t-closeness, it follows that the permutation principle can explain the guarantees offered by all those models. Thus, calibrating permutation is very relevant in anonymization, and we conclude by sketching two ways of doing it.

연구 동기 및 목표

• 랜덤라이즈드 리스폰스, PRAM, 차별적 프라이버시, t-근접도를 포함한 주요 차별적 프라이버시 모델들 간에 이전에 인식되지 않았던 이론적 연결을 드러내는 것.
• 유력한 부정행위 가능성과 순열의 관점에서 이러한 모델들을 재해석하여, 모두 동일한 기초 메커니즘을 共通으로 가짐을 보여주는 것.
• 순열 거리 측정과 유출 위험 및 정보 손실 평가를 통해 익명화 매개변수를 통합적으로 校準하는 프레임워크를 제공하는 것.
• 실제 데이터 공개에 적합한 프라이버시와 유용성의 균형을 이루기 위해 멱평균을 사용한 실용적 校準 방법을 제공하는 것.
• 차별적 프라이버시의 ε 증가가 부정행위 가능성 관점에서 이해될 수 있으며, t-근접도가 큰 ε 보호 수준을 평가하는 대체 지표로 기능할 수 있음을 보여주는 것.

제안 방법

• 베이지안 추론과 조건부 엔트로피를 사용하여 랜덤라이즈드 리스폰스에서의 유력한 부정행위 가능성을 수식화하고, 각 보고된 값 Y=v에 대해 H(X|Y=v)로 측정한다.
• PRAM을 순열 기반의 익명화 방법으로 재해석하여, 각 데이터 값이 랜덤 순열을 통해 연결성을 은폐하도록 매핑하는 방식으로 설명한다.
• 정보이론적 부정행위 가능성 분석을 적용하여 ε-차별적 프라이버시와 t-근접도를 연결하고, 큰 ε 값이 부정행위 가능성 분석을 통해 보호 수준을 평가할 수 있음을 보여준다.
• 개별 순열 거리를 하나의 유출 위험 또는 정보 손실 측도로 통합하기 위해 멱평균 집계(J((p₁,…,pₙ),α))를 도입한다.
• α를 조정하여 익명화를 校準: α < 1은 위험 회피(작은 거리 강조), α > 1은 유용성 손실 회피(큰 거리 강조)에 적합하다.
• 두 가지 校準 전략을 제안: 하나는 조정 가능한 α를 가진 멱평균 기반 전략이며, 다른 하나는 순열 거리 분포를 활용해 익명화 매개변수를 설정하는 전략이다.

실험 결과

연구 질문

• RQ1 부정행위 가능성과 순열 원리들을 통해 랜덤라이즈드 리스폰스, PRAM, 차별적 프라이버시, t-근접도는 어떻게 연결되는가?
• RQ2 랜덤라이즈드 리스폰스에서의 유력한 부정행위 가능성은 얼마나 정량화할 수 있으며, 이를 다른 모델의 프라이버시 보장을 평가하는 데 어떻게 활용할 수 있는가?
• RQ3 큰 ε 값에서의 차별적 프라이버시 보호 수준을 평가하기 위해 t-근접도가 대체 지표로 기능할 수 있는가?
• RQ4 순열 거리는 어떻게 다양한 프라이버시 모델 간의 익명화를 통합적으로 校準하는 데 사용될 수 있는가?
• RQ5 다양한 α 값을 가진 멱평균은 익명화된 데이터에서 유출 위험과 정보 손실을 균형 잡는 데 어떤 역할을 하는가?

주요 결과

• 랜덤라이즈드 리스폰스는 역사적 방법이 아니라, 부정행위 원칙을 구현하는 기초적인 로컬 익명화 기법이다.
• 큰 ε 값에서의 ε-차별적 프라이버시 보장은 부정행위 가능성 관점에서 이해될 수 있으며, ε 증가가 유력한 부정행위 가능성을 향상시킴을 보여준다.
• t-근접도는 큰 ε 값에서의 차별적 프라이버시 보호 수준이 충분한지 평가하는 의미 있는 방법을 제공하며, 특히 부정행위 분석과 병행할 경우 유용하다.
• PRAM은 공식적으로 순열 기반의 익명화 메커니즘으로 재해석될 수 있으며, 이는 더 넓은 순열 프레임워크와 직접 연결된다.
• 멱평균 집계 함수 J((p₁,…,pₙ),α)는 α < 1일 때는 유출 위험을, α > 1일 때는 정보 손실을 효과적으로 측정하여, 조정 가능한 익명화를 가능하게 한다.
• 순열 거리와 멱평균을 통한 익명화 校準은 다양한 모델 간에 프라이버시와 유용성을 체계적으로 균형 잡는 데에 실무자들이 활용할 수 있도록 한다.