[논문 리뷰] Multi-Party Privacy-Preserving Record Linkage using Bloom Filters

Dinusha Vatsalan, Peter Christen|arXiv (Cornell University)|2016. 12. 28.

Data Quality and Management참고 문헌 24인용 수 6

한 줄 요약

이 논문은 블룸 필터와 분산 보안 합산을 사용하여 다수의 당사자 간에 확장 가능하고 프라이버시를 보장하는 레코드 연동 프로토콜을 제안한다. 이는 원시 데이터를 폭 lộ하지 않고도 유사도 점수를 계산할 수 있도록 한다. 반면에, 반복적인 다자 간 매칭을 효율적으로 수행하며, 반복 모델 하에서 강력한 프라이버시 보장을 제공한다. 이는 대규모 유권자 등록부에서 검증되었으며, 높은 연동 정확도와 낮은 유출 위험을 보였다.

ABSTRACT

Privacy-preserving record linkage (PPRL), the problem of identifying records that correspond to the same real-world entity across several data sources held by different parties without revealing any sensitive information about these records, is increasingly being required in many real-world application areas. Examples range from public health surveillance to crime and fraud detection, and national security. Various techniques have been developed to tackle the problem of PPRL, with the majority of them considering linking data from only two sources. However, in many real-world applications data from more than two sources need to be linked. In this paper we propose a viable solution for multi-party PPRL using two efficient privacy techniques: Bloom filter encoding and distributed secure summation. Our proposed protocol efficiently identifies matching sets of records held by all data sources that have a similarity above a certain minimum threshold. While being efficient, our protocol is also secure under the semi-honest adversary model in that no party can learn any sensitive information about any other parties' data, but all parties learn which of their records have a high similarity with records held by the other parties. We evaluate our protocol on a large real voter registration database showing the scalability, linkage quality, and privacy of our approach.

연구 동기 및 목표

• 의료, 사기 탐지 및 국가 안보 분야에서 점점 더 요구되는 두 개 이상의 데이터 소스 간 프라이버시 보장 레코드 연동(PPRL)의 과제를 해결한다.
• 당사자 수가 증가함에 따라 후보 레코드 세트의 수가 기하급수적으로 증가하는 다자 PPRL의 확장성 문제를 해결한다.
• 모든 당사자가 서로의 데이터에 대한 민감한 정보를 알 수 없도록 하면서도, 높은 유사도를 가진 레코드 세트를 식별할 수 있도록 프라이버시를 보장한다.
• 블룸 필터 인코딩과 보안 합산을 활용하여 기존의 이원 또는 기준 다자 접근 방식에 비해 효율성을 향상시키고 통신 오버헤드를 줄인다.

제안 방법

• 각 당사자의 데이터에서 준식별자를 블룸 필터로 인코딩하여, 프라이버시를 유지하면서도 효율적인 근사 매칭을 가능하게 한다.
• 분산 보안 합산을 적용하여, 모든 당사자의 블룸 필터에 걸쳐 1비트의 총합과 공통 1비트의 총합을 프라이버시를 보존하는 방식으로 계산한다.
• 합산된 1비트 수와 공통 1비트 수를 사용하여 레코드 세트 간의 디스 코efficient 유사도를 계산함으로써, 개인 데이터를 폭 lộ하지 않고도 근사 매칭을 수행한다.
• 임계값 이상의 유사도를 가진 레코드 세트에만 비교를 제한하여 후보 매칭 수를 줄이고 효율성을 향상시킨다.
• 한 당사자(또는 외부 기관)가 모든 당사자에게 유사도 점수를 계산하고 배포함으로써, 각 당사자의 로컬 계산 및 통신을 최소화한다.
• 가짜 양성(false positive)을 줄이기 위해 필터링 단계(MPAM-F)를 통합하여 정밀도를 향상시키되, 성능 손실는 최소한도로 유지한다.

실험 결과

연구 질문

• RQ1 당사자 수가 두 명을 초월할 경우, 다자 간 프라이버시 보장 레코드 연동을 어떻게 확장 가능하게 만들 수 있는가?
• RQ2 블룸 필터 인코딩과 분산 보안 합산을 조합하여 다수의 당사자 간 정확하고 프라이버시 보장된 유사도 계산이 가능한가?
• RQ3 데이터 오염(예: 20~40% 수정)이 다자 PPRL 환경에서 연동 품질에 어떤 영향을 미치는가?
• RQ4 당사자 수가 블룸 필터 기반 PPRL 프로토콜에서의 정보 유출 위험에 어떤 영향을 미치는가?
• RQ5 제안된 프로토콜이 통신 복잡도, 프라이버시 및 연동 정확도 측면에서 기존 기준 대비 뛰어난 성능을 보일 수 있는가?

주요 결과

• 제안된 프로토콜은 당사자 수에 대해 선형 통신 복잡도를 달성하여 대규모 다자 연동에 있어 확장 가능성을 확보한다.
• NCVR-10,000 데이터셋에서, 오염되지 않은 데이터에 대해 F1-측정치가 높게 유지되었으며(0.9 이상), 강력한 연동 품질을 입증하였다.
• 20% 및 40%의 데이터 오염 상황에서 F1-측정치는 크게 하락했지만, 필터링 변형(MPAM-F)은 가짜 양성을 줄여 MPAM와 유사한 성능을 유지하였다.
• Lai 등이 제안한 기준 방법은 정확한 매칭에 의존하기 때문에 오염된 데이터에서 성능이 열악했고, 반면 제안된 방법은 근사 매칭을 지원함으로써 유연성을 확보하였다.
• 정보 유출 위험(유출 위험도(DR) 지표로 측정)은 당사자 수가 증가할수록 감소하였으며, 짧아진 블룸 필터 세그먼트로 인해 전역 레코드 매칭 수가 증가하고, 의심 확률이 낮아졌기 때문이다.
• 제안된 프로토콜에서는 당사자 수가 증가함에 따라 메모리 사용량이 감소하였고, 통신 및 시간 복잡도는 약간 증가하였지만, 기준 방법과 달리 확장성이 열악하지 않아 성능이 유의미하게 유지되었다.