[논문 리뷰] Function Secret Sharing for PSI-CA:With Applications to Private Contact Tracing

Samuel Dittmer, Yuval Ishai외 6명|arXiv (Cornell University)|2020. 12. 24.

Privacy-Preserving Technologies in Data참고 문헌 26인용 수 15

한 줄 요약

이 논문은 개인 정보를 보호하는 접촉 추적을 위한 효율적인 경량 2서버 기반 기능 비밀 공유(FSS) 프로토콜인 비밀 집합 교차(cardinality)를 위한 개인 정보 보호 기반 프로토콜(PSI-CA)과 그 확장된 가중치가 있는 교차 합계를 제안한다. FSS를 활용해 보안 키워드 검색을 수행하고, 덧셈 기반 비밀 공유를 통해 상호작용 없이도 페이로드 합계를 계산함으로써, 일정 라운드 통신, 최소한의 클라이언트 측 계산, 가중치가 있는 교차 합계에 대한 내장 지원을 달성하여 이전의 접근 방식인 Epione보다 뛰어난 효율성과 더 강력한 프라이버시 보장을 제공한다.

ABSTRACT

In this work we describe a token-based solution to Contact Tracing via Distributed Point Functions (DPF) and, more generally, Function Secret Sharing (FSS). The key idea behind the solution is that FSS natively supports secure keyword search on raw sets of keywords without a need for processing the keyword sets via a data structure for set membership. Furthermore, the FSS functionality enables adding up numerical payloads associated with multiple matches without additional interaction. These features make FSS an attractive tool for lightweight privacy-preserving searching on a database of tokens belonging to infected individuals.

연구 동기 및 목표

• 작은 클라이언트 측 집합과 큰 서버 측 집합 간의 교차 합집합의 기수와 가중치가 있는 기수를 모두 지원하는 보안적이고 효율적이며 가벼운 프로토콜을 설계하는 것.
• 클라이언트(예: 사용자 기기)가 자신의 작은 토큰 집합과 서버의 큰 감염 토큰 집합 간의 매칭 수를 비밀리에 계산할 수 있도록 하되, 자신의 집합에 대한 정보를 유출하지 않도록 하는 것.
• PSI-CA의 功能을 확장하여, 각 매칭이 수치적 페이로드(예: 근접도 추정치)를 기여하는 가중치가 있는 교차 합계를 지원함으로써 더 세밀한 접촉 추적을 가능하게 하는 것.
• 특히 자원이 제한된 환경(예: 모바일 기기)에서 프라이버시를 유지하면서도 통신 및 계산 오버헤드를 최소화하는 것.
• 배치 쿼리에서 버킷 전략에 의한 정보 유출을 방지하기 위해, 집합 크기를 드러내지 않고 과도하게 포화된 버킷을 연기하는 큐잉 기반 접근 방식을 사용하는 것.

제안 방법

• 두 개의 반신뢰성 서버가 큰 감염 토큰 집합(X)을 보유하고, 클라이언트가 작은 근접 사용자 토큰 집합(Y)을 보유하는 시스템에서, FSS를 사용해 키워드 매칭을 안전하게 평가한다.
• Y에 속한 각 키워드는 FSS를 통해 처리되어 비밀 공유를 생성하며, 이로써 서버는 클라이언트의 입력을 알지 못한 채 로컬 평가를 수행할 수 있다.
• FSS의 출력은 서버 간에 덧셈 기반 비밀 공유로 분배되며, 클라이언트는 단일 라운드의 통신을 통해 매칭된 페이로드의 합계(예: 카운트 또는 가중치 값)를 재구성할 수 있다.
• 빠른 계산과 양자 컴퓨팅에 강건한 보안을 확보하기 위해 대칭 키-cryptography(AES 등)를 사용하여 수학적 가정에 의존하지 않는다.
• 효율적인 확장성을 위해 키워드 공간을 버킷으로 분할하고, 과도하게 포화된 버킷을 연기하는 큐잉 메커니즘을 사용하여 유출을 최소화하고 성능을 유지한다.
• 클라이언트는 Y에 속한 각 키워드당 하나의 쿼리를 전송하며, 통신 비용은 |Y| × λ 비트 비례(예: AES 기반 구현 시 키워드당 약 128비트), 응답은 단일 그룹 원소로 반환된다.

실험 결과

연구 질문

• RQ1 2서버 FSS 기반 시스템이 작은 클라이언트 집합과 큰 서버 집합 간의 교차 합집합 기수를 계산하면서도 클라이언트의 프라이버시를 보존할 수 있는가?
• RQ2 FSS가 추가 상호작용 없이도 가중치가 있는 교차 합계를 내장 기능으로 지원할 수 있는가?
• RQ3 배치 및 버킷 전략을 어떻게 활용하여 서버 측 계산을 확장하면서도 클라이언트 입력 크기나 분포에 대한 정보를 泄露하지 않을 수 있는가?
• RQ4 과도하게 포화된 버킷에 대한 큐잉 기반 연기 전략이 더미 쿼리가 필요 없이 낮은 지연 시간과 0의 정보 유출을 유지하면서도 효과적으로 작동할 수 있는가?
• RQ5 Epione과 같은 기존 솔루션과 비교했을 때, 제안된 FSS 기반 PSI-CA 프로토콜은 통신, 라운드 수, 계산 측면에서 효율성과 보안성에서 어떻게 우월한가?

주요 결과

• 프로토콜은 단일 라운드 상호작용 패턴을 달성하며, 클라이언트 통신 비용은 |Y| × λ 비례(예: AES 기반 구현 시 키워드당 약 128비트), 응답 크기는 |Y|에 영향을 받지 않는다.
• 클라이언트 측 계산은 매우 적다: 각 키워드당 비트 수에 대해 약 4회의 AES 호출로, 모바일 배포에 매우 효율적이다.
• 기본 버전에서는 서버 측 계산이 |X| × |Y| 비례로 증가하지만, 배치 기법과 큐잉 기반 연기 전략을 사용하면 배치당 O(|X|)로 감소시킬 수 있다.
• 큐잉 기반 연기 메커니즘은 Y의 크기나 분포에 대한 정보 유출 없이도 보장하며, 쿼리 처리 시 작은 평균 지연만을 유발한다.
• 프로토콜은 가중치가 있는 기수를 내장 기능으로 지원하여, 매칭된 토큰과 연결된 수치적 페이로드(예: 근접도 추정치)의 합계를 클라이언트가 계산할 수 있다. 이는 이전의 PSI-CA 시스템(예: Epione)에는 존재하지 않는 기능이다.
• Epione와 비교해 본 결과, 다중 PIR 라운드가 필요 없어지면서 통신 비용이 감소하고 더미 쿼리의 성능 저하를 피함으로써 더 뛰어난 효율성과 더 강력한 프라이버시 보장을 달성했다.