[논문 리뷰] Redrawing the Boundaries on Purchasing Data from Privacy-Sensitive Individuals

Kobbi Nissim, Salil Vadhan외 1명|arXiv (Cornell University)|2014. 01. 16.

Privacy-Preserving Technologies in Data참고 문헌 17인용 수 4

한 줄 요약

이 논문은 사생활 데이터 구매에서 진실성 있고 개인적으로 합리적인 메커니즘에 대한 불가능성 결과를 강화하여, 각 데이터베이스의 사생활 가치 평가나 비제로 δ를 갖는 미세한 차별적 프라이버시(ε,δ)-differential privacy가 있는 경우에도 일반 조건 하에서 진실성 있는 메커니즘이 존재할 수 없음을 보여준다. 이를 극복하기 위해, 더 높은 데이터 민감도가 사생활 가치 평가를 증가시키는 단조적 사생활 가치 평가 모델을 위한 새로운 메커니즘을 제안한다. 이 메커니즘은 유한한 가치 평가에 대해 진실성, 개인적 합리성, 정확성을 확보하며, 핵심 요소에서 최적성을 보여주는 일치하는 하한값을 증명한다.

ABSTRACT

We prove new positive and negative results concerning the existence of truthful and individually rational mechanisms for purchasing private data from individuals with unbounded and sensitive privacy preferences. We strengthen the impossibility results of Ghosh and Roth (EC 2011) by extending it to a much wider class of privacy valuations. In particular, these include privacy valuations that are based on (ε, δ)-differentially private mechanisms for non-zero δ, ones where the privacy costs are measured in a per-database manner (rather than taking the worst case), and ones that do not depend on the payments made to players (which might not be observable to an adversary). To bypass this impossibility result, we study a natural special setting where individuals have mono- tonic privacy valuations, which captures common contexts where certain values for private data are expected to lead to higher valuations for privacy (e.g. having a particular disease). We give new mech- anisms that are individually rational for all players with monotonic privacy valuations, truthful for all players whose privacy valuations are not too large, and accurate if there are not too many players with too-large privacy valuations. We also prove matching lower bounds showing that in some respects our mechanism cannot be improved significantly.

연구 동기 및 목표

• 사생활에 민감한 개인들이 사생활 데이터를 제공하도록 유인하는 방식으로, 진실성과 개인적 합리성이 동시에 확보되는 메커니즘을 개발하는 것.
• Ghosh와 Roth의 이전 불가능성 결과를 확장하여, δ > 0인 (ε,δ)-미세한 차별적 프라이버시 및 각 데이터베이스별 가치 평가 함수를 포함한 더 넓은 사생활 가치 평가 클래스에 적용하는 것.
• 데이터 민감도가 증가할수록 사생활 비용이 증가하는 단조적 사생활 가치 평가 하에서, 진실성과 개인적 합리성이 유지되는 메커니즘을 설계하는 것.
• 제안된 메커니즘이 정확성이나 진실성 측면에서 크게 향상될 수 없음을 보여주는 일치하는 하한값을 확립하는 것.
• 사생활 선호도를 존중하면서도 정확한 사고 집계를 보장하는 데이터 구매 프레임워크를 제공하는 것.

제안 방법

• 사생활 손실과 메커니즘 출력 간의 구별 가능성 분석을 위해 하이브리드 입력 시퀀스를 도입하며, 통계적 거리로 사생활 泄露를 제한한다.
• 데이터 비트와 가치 평가의 점진적 변화를 모델링하기 위해 시퀀스 $x^{(i,0)}$와 $x^{(i,1)}$를 사용하며, 진실성과 사생활 보장 조건의 분석을 가능하게 한다.
• 삼각부등식을 적용하여 연속된 하이브리드 간 출력 분포 간 통계적 거리를 제한하며, 정확도가 너무 높을 경우 모순이 발생함을 도출한다.
• 통계적 거리에 따라 증가하는 사생활 손실 함수와 단조적 이웃 개념을 활용해 구별 가능성 한계를 유도한다.
• 메커니즘이 $([ u, au], eta)$-정확할 경우, 극단적 하이브리드의 출력 분포가 가까워져야 하며, 이 때 구간 $A(1)$와 $A(h+2 au n+1)$가 서로 겹치지 않으면 모순이 발생함을 보인다.
• 제시된 가치 평가 모델 하에서, 어떤 메커니즘도 $([ u+ au, au], eta)$-정확하고 동시에 사생활 및 진실성 조건을 만족시킬 수 없음을 증명한다.

실험 결과

연구 질문

• RQ1 사생활 가치 평가가 유계가 아니고 민감할 경우, 사생활 데이터를 구매하기 위한 진실성 있고 개인적으로 합리적인 메커니즘이 존재할 수 있는가?
• RQ2 기존의 데이터 구매 메커니즘에 대한 불가능성 결과가 δ > 0인 (ε,δ)-미세한 차별적 프라이버시 가치 평가로 어떻게 확장되는가?
• RQ3 데이터 민감도가 증가할수록 사생활 비용이 증가하는 단조적 사생활 가치 평가 하에서, 진실성과 개인적 합리성이 유지되는 메커니즘을 설계할 수 있는가?
• RQ4 유한한 사생활 가치 평가를 가진 플레이어에 대해 진실성 보장이 이루어지는 메커니즘의 정확성에 대한 기본 한계는 무엇인가?
• RQ5 제안된 메커니즘은 정확성과 진실성 측면에서 최적인가, 아니면 크게 향상시킬 수 있는가?

주요 결과

• 논문은 사생활 가치 평가가 단조적이고 무한할 경우, 주어진 가정 하에 어떤 메커니즘도 진실성과 동시에 $([ u+ au, au], eta)$-정확성이 확보될 수 없음을 증명한다.
• 첫 번째와 마지막 하이브리드 입력의 출력 분포 간 통계적 거리가 정확도 기준을 초과함을 보여, 정확도 조건을 위반함으로써 모순을 도출한다.
• 유한한 가치 평가를 가진 플레이어에 대해 진실성 보장이 이루어지고, 모든 단조적 가치 평가를 가진 플레이어에 대해 개인적 합리성이 확보된다.
• 고사양 사생활 가치 평가를 가진 플레이어의 수가 제한될 경우, 메커니즘이 정확하며 출력이 실제 데이터 비트 합과 가까워짐을 보장한다.
• 일치하는 하한값이 증명되어, 핵심 제약 조건을 위반하지 않고는 정확성이나 진실성 보장을 크게 향상시킬 수 없음을 보여준다.
• 불가능성 결과는 지불에 의존하지 않는 사생활 가치 평가 또는 최악의 경우가 아닌 각 데이터베이스 기반으로 측정된 가치 평가 설정으로도 확장된다.