[논문 리뷰] The Capacity of Private Computation

Hua Sun, Syed A. Jafar|arXiv (Cornell University)|2017. 10. 30.

Cryptography and Data Security참고 문헌 10인용 수 24

한 줄 요약

이 논문은 사용자가 N개의 공모하지 않는 서버에 복제된 K개의 데이터셋에서 임의의 선형 조합을 비공개로 계산하는 비공개 계산 문제를 제안한다. 선형 종속성을 활용하는 구조적 쿼리 및 압축 기법 덕분에, 계산이 허용됨에도 불구하고 비공개 정보 검색(PIR)과 동일한 용량 $ C = \left(1 + \frac{1}{N} + \cdots + \frac{1}{N^{K-1}}\right)^{-1} $ 을 유지함을 증명한다. 이는 용량이 선형 조합의 복잡성 증가에도 불구하고 변화하지 않음을 의미한다.

ABSTRACT

We introduce the problem of private computation, comprised of $N$ distributed and non-colluding servers, $K$ independent datasets, and a user who wants to compute a function of the datasets privately, i.e., without revealing which function he wants to compute, to any individual server. This private computation problem is a strict generalization of the private information retrieval (PIR) problem, obtained by expanding the PIR message set (which consists of only independent messages) to also include functions of those messages. The capacity of private computation, $C$, is defined as the maximum number of bits of the desired function that can be retrieved per bit of total download from all servers. We characterize the capacity of private computation, for $N$ servers and $K$ independent datasets that are replicated at each server, when the functions to be computed are arbitrary linear combinations of the datasets. Surprisingly, the capacity, $C=\left(1+1/N+\cdots+1/N^{K-1} ight)^{-1}$, matches the capacity of PIR with $N$ servers and $K$ messages. Thus, allowing arbitrary linear computations does not reduce the communication rate compared to pure dataset retrieval. The same insight is shown to hold even for arbitrary non-linear computations when the number of datasets $K ightarrow\infty$.

연구 동기 및 목표

• 사용자가 N개의 공모하지 않는 서버에 저장된 K개의 데이터셋에 대한 함수를 계산할 때, 어떤 함수가 필요한지 서버가 알 수 없도록 문제를 체계화하고 분석하는 것.
• 기존의 비공개 정보 검색(PIR) 문제를 일반화하여, 단순히 개별 메시지만 아니라 임의의 선형 조합의 결과를 원하는 경우를 허용하는 것.
• 비공개 계산의 용량을 정의하고, 이는 단위 다운로드당 얻을 수 있는 목적 함수의 최대 전송률로 정의된다.
• 임의의 선형 계산을 허용함에도 불구하고 순수 PIR와 동일한 통신률을 유지할 수 있음을 보여주며, 기능의 복잡성이 증가하더라도 용량이 감소하지 않음을 설명한다.
• K개의 데이터셋이 무한대에 가까워질 때 비선형 함수에 대해서도 동일한 용량이 유지됨을 보여주며, 이는 계산이 통신률에 영향을 주지 않음을 의미한다.

제안 방법

• 목적 함수의 선형 조합 계수에 의존하지 않는 구조적 쿼리 설계를 제안하여, 모든 가능한 선형 조합에 대해 일반적으로 적용 가능한 프로토콜을 가능하게 한다.
• 이전 연구에서 제안된 PIR 용량을 달성하는 기법을 변형하고 최적화하며, 기호 인덱스 구조와 부호 할당 방식을 도입하여 데이터셋 간의 선형 종속성을 효과적으로 활용한다.
• 압축 기반 전송 전략을 적용하여 각 서버가 데이터 기호의 선형 조합을 압축된 형태로 전송함으로써 다운로드량을 최소화하면서도 비밀 유지 조건을 충족시킨다.
• 데이터 기호에 대한 무작위 순열을 적용하여 메시지 간 상관관계가 인덱스가 일치하는 쌍에서만 유지되도록 하여 효율적인 압축을 가능하게 한다.
• 엔트로피와 상호정보량을 이용한 정보이론적 경계를 적용하여 반대 증명을 유도하며, 어떤 방법도 유도된 용량을 초과할 수 없음을 보여준다.
• 두 메시지에 대해 총 다운로드량이 $ D = N \left( LH(w_1,w_2) + (N-1)LH(w_1) \right) $ 로 스케일링됨을 증명함으로써, 해당 방법이 PIR와 동일한 전송률을 달성함을 보여준다. 이로 인해 전송률은 $ \frac{NH(w_2)}{H(w_1,w_2) + (N-1)H(w_1)} $ 가 된다.

실험 결과

연구 질문

• RQ1 비공개 계산에서 목적 함수로 임의의 선형 함수를 허용할 경우, 순수 비공개 정보 검색(PIR)에 비해 통신률이 감소하는가?
• RQ2 목적 함수를 정의하는 선형 계수에 영향을 받지 않는 단일 쿼리 기반 설계가 가능하며, 이로 인해 최적의 전송률을 달성할 수 있는가?
• RQ3 N개의 공모하지 않는 서버에 K개의 데이터셋이 저장되어 있을 때, 사용자가 이들의 선형 조합을 원할 경우 비공개 계산의 기본 용량 한계는 무엇인가?
• RQ4 K가 무한대에 가까워질 때 비선형 함수를 고려할 경우, 비공개 계산의 용량이 여전히 PIR 용량과 동일한가?
• RQ5 Mirmohseni와 Maddah-Ali가 제안한 비공개 함수 검색를 위한 가용한 방법이 일반적인 N과 K에 대해 최적인지, 아니면 더 향상시킬 수 있는가?

주요 결과

• N개의 서버와 K개의 독립된 데이터셋을 가진 비공개 계산의 용량은 정확히 $ C = \left(1 + \frac{1}{N} + \cdots + \frac{1}{N^{K-1}}\right)^{-1} $ 로, 기존에 알려진 PIR 용량과 일치한다.
• 용량은 목적 함수의 선형 조합 계수에 의존하지 않는 쿼리 기반 설계를 통해 달성되며, 이는 모든 선형 조합에 대해 적용 가능한 비공개 계산 프로토콜을 가능하게 한다.
• 엔트로피 기반 압축을 통해 데이터 기호의 선형 조합을 압축함으로써 최적의 전송률을 달성하며, 총 다운로드량을 최소화하면서도 비밀 유지 조건을 유지한다.
• 두 메시지에 대해 도달 가능한 전송률은 $ \frac{NH(w_2)}{H(w_1,w_2) + (N-1)H(w_1)} $ 로, 이는 반대 증명의 경계와 정확히 일치하므로 최적성임을 증명한다.
• K → ∞ 일 때 비선형 함수에 대해서도 결과가 확장되며, 이 경우 용량은 그대로 유지되어 계산이 점근적 영역에서 통신률에 손해를 주지 않음을 보여준다.
• 용량 특성화 결과는 이전 연구를 포함하여 통합하고 엄밀히 향상시키며, Mirmohseni와 Maddah-Ali의 비공개 함수 검색 기법이 일반적인 N과 K에 대해 최적이 아니며, 향상 가능함을 입증한다.