[논문 리뷰] Secure Computation of the kth-Ranked Element in a Star Network

Anselme Tueno, Florian Kerschbaum외 3명|arXiv (Cornell University)|2019. 09. 18.

Cryptography and Data Security참고 문헌 34인용 수 4

한 줄 요약

이 논문은 n명의 클라이언트가 비밀 정수를 보유하고 단일의 신뢰할 수 없는 서버가 계산을 수행하는 스타 네트워크 환경에서 k번째로 큰 원소(예: 중앙값 또는 최소/최대값)를 안전하고 효율적으로 계산하는 프로토콜을 제안한다. 가소한 회로 또는 임계값 허밀토닉 암호화를 사용하여, 상수 라운드 계산과 낮은 통신량을 달성하며, 한 가지 변형(Kre-Ygc)은 WAN에서 100명의 클라이언트에 대해 197초 내로 완료되어 실세계 환경에서 확장 가능하고 실용적인 안전 기반 벤치마킹을 가능하게 한다.

ABSTRACT

We consider the problem of securely computing the kth-ranked element in a sequence of n private integers distributed among n parties. The kth-ranked element (e.g., minimum, maximum, median) is of particular interest in benchmarking, which allows a company to compare its own key performance indicator to the statistics of its peer group. The individual integers are sensitive data, yet the kth-ranked element is of mutual interest to the parties. Previous secure computation protocols for the kth-ranked element require a communication channel between each pair of parties. They do not scale to a large number of parties as they are highly interactive resulting in longer delays. Moreover, they are difficult to deploy as special arrangements are required between each pair of parties to establish a secure connection. A server model naturally fits with the client-server architecture of Internet applications in which clients are connected to the server and not to other clients. It can simplify secure computation by reducing the number of rounds, and as a result, improve its performance and scalability. In this model, there are communication channels only between each client and the server, while only clients provide inputs to the computation. Hence, it is a centralized communication pattern, i.e., a star network. We propose different approaches for privately computing the kth-ranked element in the server model, using either garbled circuits or threshold homomorphic encryption. Our schemes have a constant number of rounds and can compute the kth-ranked element within seconds for up to 50 clients in a WAN.

연구 동기 및 목표

• 기존의 안전한 다자간 계산 프로토콜이 쌍방향 통신을 요구하여 n이 클 경우 실현 불가가 되는 k번째로 큰 원소(KRE) 계산에 대한 확장성 및 구현 도전 과제를 해결하기 위해.
• 단일 서버를 조정자로 활용하는 안전한 계산 모델을 설계하여 통신 복잡도를 감소시키고 표준 클라이언트-서버 아키텍처에서의 구현 가능성을 높이기 위해.
• 서버가 클라이언트의 입력에 대해 아무것도 알 수 없도록 보장하면서도 정확한 KRE 출력 계산이 가능하도록 기밀성을 확보하기 위해.
• 가소한 회로와 임계값 허밀토닉 암호화 기반의 다양한 프로토콜 구현을 실제 네트워크 조건과 보안 제약 조건 하에서 평가하고 비교하기 위해.
• 금융 및 제조 산업 등 실세계 응용 분야에서의 키 성능 지표(KPI) 안전 기반 벤치마킹에 적합한 실용적이고 효율적인 솔루션을 제공하기 위해.

제안 방법

• 프로토콜은 클라이언트 간 직접 통신 없이 오직 클라이언트와 서버 간 통신만 허용하는 스타 네트워크 토폴로지 구조를 사용하여 프로토콜 복잡도를 감소시킨다.
• 핵심 접근 방식은 안전한 비교 프로토콜을 통해 입력을 정렬하고, 각 입력의 순위를 계산한 후 순위 정보를 이용해 k번째로 큰 원소를 식별하는 것이다.
• 세 가지 주요 기법을 제안한다: 가소한 회로 기반의 Kre-Ygc, 임계값 허밀토닉 암호화 기반의 Kre-Ahe1과 Kre-Ahe2로, 각각 보안성과 효율성 간의 상충 관계가 다르게 나타난다.
• 임계값 허밀토닉 암호화를 사용할 경우, 서버가 최종 결과를 복호화하기 위해 t명의 클라이언트가 공동으로 복호화를 수행하는 비밀 공유 기반 기법을 사용하며, 이는 공모 저항성과 장애 내성 보장을 가능하게 한다.
• 프로토콜은 표준 암호 라이브러리를 사용해 구현되었으며, 계산 시간, 통신 비용, WAN 환경에서 100명의 클라이언트에 대한 확장성 등 성능을 측정하였다.
• 최적화 기법으로는 비교 연산의 배치 처리와 효율적인 암호화 기법(예: 타원 곡선 엘가말(Elliptic Curve ElGamal), secp256r1)을 사용하여 통신 및 계산 오버헤드를 감소시켰다.

실험 결과

연구 질문

• RQ1 쌍방향 통신 모델보다 확장성이 뛰어난 스타 네트워크에서 상수 수의 통신 회수로 k번째로 큰 원소의 안전한 계산이 가능할 수 있는가?
• RQ2 가소한 회로와 임계값 허밀토닉 암호화 간의 다른 암호 기법이 클라이언트-서버 모델에서 KRE 프로토콜의 성능 및 보안 특성에 어떤 영향을 미치는가?
• RQ3 안전한 KRE 계산에서 효율성, 공모 저항성, 장애 내성 간의 상충 관계는 무엇이며, 이를 실세계 구현에 최적화할 수 있는가?
• RQ4 제안된 프로토콜이 넓은 지역 네트워크(WAN)에서 최대 100명의 클라이언트에 대해 분당 이내 실행 시간을 확보할 수 있는가? 이를 통해 산업 벤치마킹 응용 분야에서 실용성이 확보되는가?
• RQ5 비공모 서버와 장애 없는 클라이언트를 가정할 때 가장 효율적인 기법(Kre-Ygc)의 점근적 및 실용적 성능은 어떠한가?

주요 결과

• 가소한 회로 기반의 Kre-Ygc는 가장 효율적인 기법으로, WAN에서 100명의 클라이언트에 대해 197초 내로 k번째로 큰 원소의 안전한 계산을 완료하였으며, 클라이언트당 평균 0.31MB, 서버 측에서는 총 5.42MB의 통신량을 기록하였다.
• 임계값 허밀토닉 암호화 기반의 Kre-Ahe2는 효율성과 보안성의 균형을 잘 이루었으며, t=2일 때 100명의 클라이언트에 대해 336초가 소요되었고, 서버 측 통신량은 56.12MB였다. 이는 공모 저항성과 장애 내성을 지원한다.
• Kre-Ahe1은 다소 비효율적이지만 완전한 장애 내성과 공모 저항성을 지원하지만, t=2일 때 1749초가 소요되고 서버 측 통신량은 222.67MB로 대규모 적용에 부적합하다.
• 약간의 허밀토닉 암호화 기반인 Kre-She는 가장 우수한 점근적 복잡도를 보이지만, 높은 계산 비용으로 현재는 실용적이지 않지만, 향후 허밀토닉 암호화 기술 향상 시 기대가 된다.
• Kre-Ahe2의 임계값 복호화는 효율적으로 스케일링되며, 최대 40명의 클라이언트에서 n명의 클라이언트가 동시에 복호화하는 데 0.15초 미만이 소요되어 장애 내성 시나리오에서 뛰어난 성능을 보였다.
• 평가 결과, 표준 다자간 계산 모델 대비 스타 네트워크 모델이 프로토콜 복잡도와 통신 오버헤드를 크게 감소시켜 실세계 벤치마킹 시스템에서의 실용적 구현 가능성을 높였다.