[논문 리뷰] How Private Is Your Voting? A Framework for Comparing the Privacy of Voting Mechanisms

Ao Liu, Yun Lu외 2명|arXiv (Cornell University)|2018. 05. 15.

Privacy-Preserving Technologies in Data참고 문헌 9인용 수 4

한 줄 요약

이 논문은 정확한 분포적 차별적 프라이버시(Distributional Differential Privacy, DDP) 경계를 사용하여 투표 메커니즘의 본질적 프라이버시를 평가하는 프레임워크를 제안한다. 대부분의 일반적인 투표 규칙이 소음을 추가하지 않아도 강력한 프라이버시를 달성함을 보여주며, 실무에서는 결과 편향을 요구하는 프라이버시 기법이 자주 불필요하다는 점을 입증한다. 표준 투표 분포 가정 하에 자연스러운 투표 규칙이 이미 최적의 프라이버시를 제공하기 때문이다.

ABSTRACT

Voting privacy has received a lot of attention across several research communities. Traditionally, cryptographic literature has focused on how to privately implement a voting mechanism. Yet, a number of recent works attempt to minimize the amount of information one can infer from the output (rather than the implementation) of the voting mechanism. These works apply differential privacy (DP) techniques which noise the outcome to achieve privacy. This approach intrinsically compromises accuracy, rendering such a voting mechanism unsuitable for most realistic scenarios. In this work we investigate the inherent privacy that different voting rules achieve. To this end we utilize the well-accepted notion of Distributional Differential Privacy (DDP). We prove that under standard assumptions in voting literature about the distribution of votes, most natural mechanisms achieve a satisfactory level of DDP, indicating that noising--and its negative side-effects for voting--is unnecessary in most cases. We then put forth a systematic study of noiseless privacy of commonly studied of voting rules, and compare these rules with respect to their privacy. Note that both DP and DDP induce (possibly loose) upper bounds on information leakage, which makes them insufficient for such a task. To circumvent this, we extend the definitions to require the bound to be exact (i.e. optimal) in a well defined manner. Although motivated by voting, our definitions and techniques can be generically applied to address the optimality (with respect to privacy) of general mechanisms for privacy-preserving data release.

연구 동기 및 목표

• 암호학적 구현을 초월하여 투표 메커니즘의 본질적 프라이버시에 대한 이해 부족을 보완하기 위해.
• 소음이 없는 투표 규칙이 정확성을 훼손하지 않고 강력한 프라이버시를 달성할 수 있는지 조사하기 위해.
• 정확한 DDP 경계를 사용하여 투표 메커니즘의 프라이버시 최적성 평가 프레임워크를 개발하기 위해.
• 실제 투표 분포 가정 하에 다양한 투표 규칙의 프라이버시 성능을 비교하기 위해.
• DDP 정의를 최적(엄밀한) 프라이버시 경계를 요구하도록 확장하여 메커니즘 간 정밀한 비교를 가능하게 하기 위해.

제안 방법

• 저자들은 표준적인 투표 분포 가정 하에 투표 결과의 프라이버시 누출을 모델링하기 위해 분포적 차별적 프라이버시(DDP)를 적용한다.
• 기존 DP 또는 DDP의 느슨한 경계를 대체하기 위해 다양한 투표 규칙에 대한 정확하고 최적의 정보 누출 상한을 유도한다.
• 다른 투표자 구성에 따른 투표 분포 간의 발산을 측정하여 프라이버시를 평가하는 프레임워크를 구축한다.
• 이러한 정확한 경계를 사용하여 일반적인 투표 규칙(예: 다수결, 볼라, 즉시결선) 간의 프라이버시 성능을 비교한다.
• 유도된 경계가 보수적이지 않고 엄밀한 최적 경계임을 보장하기 위해 '최적' 프라이버시 경계의 새로운 개념을 수식화한다.
• 이 방법은 투표 외의 분야에도 일반화 가능하며, 다른 도메인의 개인정보 보호 데이터 배포에도 적용 가능하다.

실험 결과

연구 질문

• RQ1 일반적인 투표 규칙이 결과에 소음을 추가하지 않아도 강력한 프라이버시를 달성할 수 있는가?
• RQ2 표준적인 투표 분포 가정 하에 다양한 투표 규칙의 프라이버시는 어떻게 비교되는가?
• RQ3 프라이버시 확보를 위해 전통적인 차별적 프라이버시 기법이 반드시 필요한가, 아니면 본질적 프라이버시로도 충분한가?
• RQ4 소음이 없는 투표 메커니즘에 대해 최적의 프라이버시 경계를 정의하고 계산할 수 있는가, 아니면 느슨한 상한에 의존해야 하는가?
• RQ5 투표 규칙의 구조가 그 프라이버시 성질을 얼마나 결정짓는가?

주요 결과

• 표준 투표 분포 가정 하에 대부분의 자연스러운 투표 규칙이 만족스러운 수준의 분포적 차별적 프라이버시(DDP)를 달성함을 보여주며, 강력한 본질적 프라이버시를 의미한다.
• 일반적으로 차별적 프라이버시 접근법에서 요구하는 결과 소음의 필요성은 실무에서는 자주 불필요하다. 자연스러운 메커니즘이 이미 강력한 프라이버시를 제공하기 때문이다.
• 정확하고 최적의 DDP 경계는 많은 투표 규칙이 편향 없이도 최소한의 정보 누출을 보임을 드러낸다.
• 연구 결과는 투표 규칙 간 프라이버시 성능의 상당한 차이가 있음을 보여주며, 같은 조건 하에서 일부(예: 볼라)는 다른 것(예: 다수결)보다 더 강력한 프라이버시를 제공함을 시사한다.
• 제안된 프레임워크는 느슨한 경계 대신 엄밀하고 최적의 경계를 사용함으로써 메커니즘 간 정밀하고 정량적인 프라이버시 비교를 가능하게 한다.
• 이 프레임워크는 일반화 가능하며, 어떤 메커니즘의 데이터 배포에 대한 프라이버시 최적성 평가에도 적용 가능하다.