[논문 리뷰] Differentially Private Multi-party Computation: Optimality of Non-Interactive Randomized Response

Peter Kairouz, Sewoong Oh외 1명|arXiv (Cornell University)|2014. 07. 06.

Privacy-Preserving Technologies in Data참고 문헌 21인용 수 8

한 줄 요약

이 논문은 비상호작용 랜덤라이즈드 리스폰스가 비차별적 개인 정보 보호를 위한 다자간 계산에서 정확히 최적임을 입증한다. 각 당사자가 독립적으로 자신의 비트를 무작위화하고 공개하는 간단한 프로토콜이 모든 당사자와 중심 관찰자에 대해 임의의 함수, 비용 척도, 비밀유지 수준, 평균 및 최악의 경우 정확도 측정 기준에서 정확도를 최대화함을 보여준다.

ABSTRACT

We study the problem of interactive function computation by multiple parties possessing a single bit each in a differential privacy setting (i.e., there remains an uncertainty in any specific party's bit even when given the transcript of the interactions and all the other parties' bits). Each party is interested in computing a function, which could differ from party to party, and there could be a central observer interested in computing a separate function. Performance at each party and the central observer is measured via the accuracy of the function computed. We allow for an arbitrary cost function to measure the distortion between the true and the computed function value. Our main result is the exact optimality of a simple non-interactive protocol: each party randomizes (sufficiently) and publishes its own bit. In other words, non-interactive randomized response is exactly optimal. Each party and the central observer then separately compute their respective function to maximize the appropriate notion of their accuracy measure. The optimality is very general: it holds for all types of functions, heterogeneous privacy conditions on the parties, all types of cost metrics, and both average and worst-case (over the inputs) measures of accuracy. Finally, the optimality result is simultaneous, in terms of maximizing accuracy at each of the parties and the central observer.

연구 동기 및 목표

• 각 당사자가 단일 비트를 보유하고 있으며, 이를 기반으로 임의의 다른 함수를 계산하면서도 비밀유지를 유지하는 비차별적 개인 정보 보호 하에서의 다자간 계산을 연구한다.
• 상호작용 및 비상호작용 프로토콜에서 비밀유지와 정확도 사이의 기본적인 상충 관계를 이해한다.
• 비상호작용 프로토콜이 비차별적 개인 정보 보호 제약 조건 하에서 최적의 정확도를 달성할 수 있는지 규명한다.
• 다양한 유틸리티 및 비밀유지 설정에서 비상호작용 랜덤라이즈드 리스폰스가 보편적으로 최적일 조건을 규명한다.

제안 방법

• 진짜 함수 값과 계산된 값 간의 왜곡을 측정하기 위해 임의의 비용 함수를 사용하여 문제를 수립한다.
• 각 당사자에 대해 이질적인 비밀유지 수준(ε_i)으로 비차별적 개인 정보 보호 제약 조건을 모델링하여, 전체 전사본에 접근하더라도 잔류 불확실성이 보장된다.
• 모든 가능한 비차별적 개인 정보 보장 프로토콜의 공간을 분석하기 위해 선형 프로그래밍 프레임워크를 사용하며, 이를 척도 없는 텐서 S와 척도 요소 θ로 분해한다.
• 최적 프로토콜이 질량-1 텐서 다양체의 극단점에 위치해 있으며, 이는 각 당사자에 대한 독립적 무작위화에 해당함을 증명한다.
• 프로토콜의 최적성이 모든 당사자와 중심 관찰자에 대해 동시에 성립함을 보이며, 함수 유형이나 정확도 측정 기준에 관계없이 성립한다.
• 분석을 약간의 비차별적 개인 정보 보호(ε_i, δ_i) 및 상관관계가 있는 소스로 확장하여, 이 경우 메서드의 한계를 보여준다.

실험 결과

연구 질문

• RQ1 임의의 함수와 비용 척도 하에서 비차별적 개인 정보 보호를 위한 다자간 계산에서 비상호작용 랜덤라이즈드 리스폰스가 정확히 최적일 수 있는가?
• RQ2 모든 당사자와 중심 관찰자에 대해 평균 및 최악의 경우 정확도 측정 기준에서 비상호작용 프로토콜의 최적성이 동시에 증명될 수 있는가?
• RQ3 다른 당사자마다 다를 수 있는 이질적인 비밀유지 제약 조건(각 당사자별 ε_i) 하에서도 랜덤라이즈드 리스폰스의 최적성이 유지되는가?
• RQ4 순수 비차별적 개인 정보 보호에서 사용된 선형 프로그래밍 접근법을 약간의 비차별적 개인 정보 보호(ε_i, δ_i) 설정으로 확장할 수 있는가?
• RQ5 유틸리티-비밀유지 상충 관계 공간의 기하학적 또는 구조적 특성이 랜덤라이즈드 리스폰스의 최적성을 설명할 수 있는가?

주요 결과

• 순수 비차별적 개인 정보 보호 하에서 모든 당사자와 중심 관찰자에 대해 비상호작용 랜덤라이즈드 리스폰스가 정확도를 정확히 최적화한다.
• 최적성은 모든 종류의 함수, 임의의 비용 척도, 평균 및 최악의 경우 정확도 측정 기준에서 성립한다.
• 최적 프로토콜은 질량-1 텐서 다양체의 극단점에 도달하며, 이는 각 당사자에 대한 독립적 무작위화에 해당한다.
• 결과는 동시에 성립한다: 모든 당사자와 중심 관찰자가 동시에 최대 정확도를 확보하며, 개별적으로가 아니라 함께 성립한다.
• 최적성 증명에 사용된 선형 프로그래밍 프레임워크는 약간의 비차별적 개인 정보 보호(ε_i, δ_i)에서는 붕괴하므로, 이 메서드의 한계를 보여준다.
• 분석은 상관관계가 있는 소스로 일반화되지 않으며, 이는 이 경우 프로토콜 분포의 질량-1 텐서 구조가 손실되기 때문이다.