[논문 리뷰] Improved Summation from Shuffling

Borja Balle, James Bell외 2명|arXiv (Cornell University)|2019. 09. 24.

Privacy-Preserving Technologies in Data참고 문헌 6인용 수 13

한 줄 요약

이 논문은 안전한 n명의 당사자 간 합산을 위한 shuffling 기반의 Ishai-Kushilevitz-Ostrovsky-Sahai (IKOS) 프로토콜에 대한 분석을 향상시켜, 통계적 보안 $ olimits\sigma$ 를 확보하기 위해 당사자당 필요한 메시지 수가 이전에 알려진 바와 같이 $O(\log n + \sigma)$ 가 아니라 $O(1 + \sigma / \log n)$ 로 스케일링됨을 보여준다. 핵심 결과는 $n$ 이 증가할수록 사용자당 메시지 수를 크게 줄일 수 있으며, 강력한 보안을 유지할 수 있음을 보여주며, 명시적인 경계를 통해 $n=10^4$ 이고 $\sigma=40$ 일 때 32비트 정수를 합할 경우 12개의 메시지만으로도 충분하다고 밝힌다.

ABSTRACT

A protocol by Ishai et al.\ (FOCS 2006) showing how to implement distributed $n$-party summation from secure shuffling has regained relevance in the context of the recently proposed \emph{shuffle model} of differential privacy, as it allows to attain the accuracy levels of the curator model at a moderate communication cost. To achieve statistical security $2^{-σ}$, the protocol by Ishai et al.\ requires the number of messages sent by each party to {\em grow} logarithmically with $n$ as $O(\log n + σ)$. In this note we give an improved analysis achieving a dependency of the form $O(1+σ/\log n)$. Conceptually, this addresses the intuitive question left open by Ishai et al.\ of whether the shuffling step in their protocol provides a "hiding in the crowd" amplification effect as $n$ increases. From a practical perspective, our analysis provides explicit constants and shows, for example, that the method of Ishai et al.\ applied to summation of $32$-bit numbers from $n=10^4$ parties sending $12$ messages each provides statistical security $2^{-40}$.

연구 동기 및 목표

• IKOS 프로토콜에서 통계적 보안을 확보하기 위해 필요한 당사자당 메시지 수가 $n$ 을 증가시킬수록 감소하는지 여부를 해결하는 것.
• 셰플 모델 기반의 차별적 프라이버시 환경에서 IKOS 프로토콜의 보안성과 통신 효율성에 대한 더 엄밀하고 실용적인 분석을 제공하는 것.
• 당사자 수 $n$ 이 증가함에 따라 '모두의 속에 숨는다'는 효과가 발생하여, 당사자당 메시지 수가 상수이거나 로그 이하로 유지될 수 있음을 보여주는 것.
• 실제 파rameter 조건에 대해 명시적이고 구체적인 메시지 수 경계를 도출하는 것, 예를 들어 $n=10^4$, $\sigma=40$, 32비트 입력 등.

제안 방법

• 저자들은 충돌 수에 대한 정교한 확률적 경계를 사용하여 IKOS 프로토콜을 재분석하였으며, 농도 부등식과 尾부 경계를 활용하였다.
• 같은 합을 가진 두 입력의 출력 분포 간의 전체 변동 거리에 대한 새로운 상한을 도출하였으며, $k$-additive 공유 메커니즘의 재귀적 분해를 사용하였다.
• 최악의 입력을 균일한 랜덤 입력으로 매핑하는 랜덤화 변환을 도입하여, 최악의 경우 보안에서 평균적 경우 보안으로의 감소를 가능하게 하였다.
• 공유에 랜덤 순열을 적용하고 충돌 수의 기대값을 분석함으로써, 조합적 및 渐近적 추정을 사용하여 통계적 거리를 경계하였다.
• 핵심 식은 $k = \left\lceil \frac{2\sigma + \log_2 m}{\log_2 n - \log_2 e} + 2 \right\rceil$ 로, 원하는 보안 $ olimits\sigma$ 를 확보하기 위한 최소 $k$ 를 제공한다.
• 프로토콜은 각 사용자로부터 $k$ 개의 공유를 익명화하기 위해 샤퍼를 사용하며, 최종 복원은 서버에서 수신한 모든 공유를 합산함으로써 이루어진다.

실험 결과

연구 질문

• RQ1 IKOS 프로토콜에서 통계적 보안 $ olimits\sigma$ 를 확보하기 위해 필요한 당사자당 메시지 수가 $n$ 을 증가시킬수록 감소하는가?
• RQ2 샤핑 메커니즘이 $n$ 과 함께 확장되는 '모두의 속에 숨는다'는 효과를 제공할 수 있는가?
• RQ3 주어진 $n$ 과 그룹 크기 $m$ 에 대해 보안 $ olimits\sigma$ 를 확보하기 위해 필요한 당사자당 메시지 수 $k$ 의 가장 날카로운 경계는 무엇인가?
• RQ4 최악의 경우 보안이 오직 한 개의 추가 메시지만으로 평균적 경우 보안으로 감소시킬 수 있으며, 그 메시지는 명시적으로 전송될 수 있는가?

주요 결과

• 통계적 보안 $ olimits\sigma$ 를 확보하기 위해 필요한 당사자당 메시지 수가 이전의 $O(\log n + \sigma)$ 에서 $O(1 + \sigma / \log n)$ 로 감소하여, $n$ 이 증가함에 따라 상당한 향상이 있음을 보여준다.
• 특히 $n = 10^4$, $\sigma = 40$, 32비트 입력($m = 2^{32}$) 일 경우, 프로토콜은 $2^{-40}$ 보안을 확보하기 위해 당사자당 단 12개의 메시지만 필요하다.
• 분석 결과, 12개의 메시지 중 하나는 명시적으로 전송될 수 있으며, 이로 인해 해당 메시지에 대한 완전한 샤퍼링이 필요 없어진다.
• 추가 공유를 통해 균일한 랜덤성을 도입함으로써, $k+1$ 개의 메시지를 사용해 최악의 경우 통계적 보안을 달성하며, 이는 $k$ 개의 메시지로 평균적 경우 보안으로 문제를 감소시킨다.
• 유도된 경계 $k = \left\lceil \frac{2\sigma + \log_2 m}{\log_2 n - \log_2 e} + 2 \right\rceil$ 는 실제 구현을 위한 명시적이고 실용적인 파라미터를 제공한다.
• 메서드는 샤프링 단계가 실제로 '모두의 속에 숨는다'는 효과를 제공함을 확인하였으며, 이는 당사자당 필요로 하는 메시지 수가 $n$ 이 증가함에 따라 감소함을 보여준다.