[논문 리뷰] PrivateFetch: Scalable Catalog Delivery in Privacy-Preserving Advertising

Muhammad Haris Mughees, Gonçalo Pestana외 2명|arXiv (Cornell University)|2021. 09. 16.

Privacy-Preserving Technologies in Data인용 수 4

한 줄 요약

PrivateFetch는 클라이언트 측에서 사용자 선호도를 계산하고, 효율적인 단일 서버 기반 비밀정보 검색(PIR)을 사용하여 광고 서버에 사용자 선호도를 폭 드러내지 않고 타겟 광고를 검색하는 프라이버시 보장 광고 배달 시스템을 제안한다. 이 시스템은 100만 건이 넘는 항목을 포함한 데이터베이스에서 30개 광고를 40초 이내로 배달하며, 통신 비용은 192 KB에 불과하고 운영 비용은 평균 광고 수익의 1% 미만을 차지한다.

ABSTRACT

In order to preserve the possibility of an Internet that is free at the point of use, attention is turning to new solutions that would allow targeted advertisement delivery based on behavioral information such as user preferences, without compromising user privacy. Recently, explorations in devising such systems either take approaches that rely on semantic guarantees like $k$-anonymity -- which can be easily subverted when combining with alternative information, and do not take into account the possibility that even knowledge of such clusters is privacy-invasive in themselves. Other approaches provide full privacy by moving all data and processing logic to clients -- but which is prohibitively expensive for both clients and servers. In this work, we devise a new framework called PrivateFetch for building practical ad-delivery pipelines that rely on cryptographic hardness and best-case privacy, rather than syntactic privacy guarantees or reliance on real-world anonymization tools. PrivateFetch utilizes local computation of preferences followed by high-performance single-server private information retrieval (PIR) to ensure that clients can pre-fetch ad content from servers, without revealing any of their inherent characteristics to the content provider. When considering an database of $>1,000,000$ ads, we show that we can deliver $30$ ads to a client in 40 seconds, with total communication costs of 192KB. We also demonstrate the feasibility of PrivateFetch by showing that the monetary cost of running it is less than 1% of average ad revenue. As such, our system is capable of pre-fetching ads for clients based on behavioral and contextual user information, before displaying them during a typical browsing session. In addition, while we test PrivateFetch as a private ad-delivery, the generality of our approach means that it could also be used for other content types.

연구 동기 및 목표

• 광고 기반 행동 추적에서의 프라이버시-유용성 트레이드오프를 해결하기 위해 클라이언트 측 데이터 泄露를 제거하는 것.
• Tor와 같은 제3자 익명성 네트워크에 의존하지 않고도 프라이버시 보장 및 고성능 광고 검색을 가능하게 하는 시스템을 설계하는 것.
• 클라이언트에 전체 데이터베이스를 전송하는 것과 비교해 타겟 광고 배달의 비용과 대역폭을 줄이는 것.
• k-익명성과 같은 문법적 또는 히وري스틱 프라이버시 모델이 아닌 암호학적 난이도 기반으로 강력한 프라이버시 보장을 제공하는 것.
• 광고 외의 분야에도 적용 가능한 실용적이고 구현 가능한 프라이버시 기반 콘텐츠 배달 프레임워크를 구축하는 것.

제안 방법

• 클라이언트는 행동 및 맥락 데이터에 대해 국소성에 민감한 해싱을 사용해 사용자 선호도를 로컬에서 계산한다.
• 시스템은 단일 서버 기반, 상태 없는 PIR 프로토콜을 사용해 신뢰할 수 없는 서버로부터 선택된 광고를 비밀리에 검색한다.
• 클라이언트 측 상태를 최소화하고 PIR 효율성을 향상시키기 위해 암호학적 최적화 기법을 적용한다.
• PIR 프로토콜은 서버가 클라이언트의 쿼리나 선호도에 대해 아무것도 알 수 없도록 보장한다.
• 향후 더 효율적인 변형으로도 교체가 가능한 모듈식 아키텍처로 설계되어 있다.
• 가변 가능한 PIR 파rameter를 통해 통신 오버헤드를 최소화하고 저대역폭 사용을 달성한다.

실험 결과

연구 질문

• RQ1 광고 제공자에게 사용자 선호도를 泄露하지 않고도 실용적이고 확장 가능한 타겟 광고 배달 시스템을 구축할 수 있는가?
• RQ2 실제 광고 배달 파이프라인에 비밀정보 검색(PIR)을 효율적으로 통합할 수 있는가?
• RQ3 PIR를 광고 검색에 사용할 경우, 전체 데이터베이스 전송과 비교해 성능과 비용 오버헤드는 어느 정도인가?
• RQ4 PIR 기반 시스템은 실세계 배포 환경에서 강력한 프라이버시 보장과 수용 가능한 성능을 동시에 달성할 수 있는가?
• RQ5 PIR는 익명성 네트워크인 Tor에 대한 의존도를 어느 정도 줄일 수 있는가?

주요 결과

• PrivateFetch는 100만 건이 넘는 항목을 포함한 데이터베이스에서 30개의 타겟 광고를 40초 이내로 배달하며, 통신 비용은 192 KB 뿐이다.
• 운영 비용은 평균 광고 수익의 1% 미만으로 줄어들었으며, 전체 데이터베이스를 클라이언트에 전송하는 것에 비해 10배의 재정적 절감 효과를 달성했다.
• 비공개 광고 타겟팅 시스템과 유사한 성능을 보이며, 프라이버시를 희생시키지 않은 채 실용성을 입증했다.
• Tor와 같은 외부 익명성 네트워크에 의존하지 않아 사용성과 호환성 향상에 기여했다.
• 이 접근 방식은 일반화 가능하며, 프rotocol 변경 최소화로 다른 콘텐츠 유형의 비공개 비동기 검색에도 적용 가능하다.
• 암호학적 최적화 기법 덕분에 클라이언트 측 상태를 최소화해 실세계 환경에서의 배포 가능성과 효율성을 향상시켰다.