[논문 리뷰] Topology of Privacy: Lattice Structures and Information Bubbles for Inference and Obfuscation

Michael Erdmann|arXiv (Cornell University)|2017. 12. 12.

Privacy-Preserving Technologies in Data참고 문헌 20인용 수 6

한 줄 요약

이 논문은 개인과 속성 간의 관계에서 유도된 격자 구조와 단체 복합체를 사용하여 프라이버시를 모델링하기 위한 위상적 프레임워크를 제안한다. 다우커 정리와 호몰로지 이론을 적용하여, 프라이버시 손실을 위상적 붕괴로 특성화하고, 등방성과 구형 구멍을 속성 및 연관성 프라이버시를 유지하는 데 핵심적인 불변량으로 규명한다. 이는 동적 추론과 가짜 정보 전략에 적용 가능하다.

ABSTRACT

Information has intrinsic geometric and topological structure, arising from relative relationships beyond absolute values or types. For instance, the fact that two people share a meal describes a relationship independent of the meal's ingredients. Multiple such relationships give rise to relations and their lattices. Lattices have topology. That topology informs the ways in which information may be observed, hidden, inferred, and dissembled. Dowker's Theorem establishes a homotopy equivalence between two simplicial complexes derived from a relation. From a privacy perspective, one complex describes individuals with common attributes, the other describes attributes shared by individuals. The homotopy equivalence produces a lattice. An element in the lattice consists of two components, one being a set of individuals, the other being a set of attributes. The lattice operations join and meet each amount to set intersection in one component and set union followed by a potentially privacy-puncturing inference in the other component. Privacy loss appears as simplicial collapse of free faces. Such collapse is local, but the property of fully preserving both attribute and association privacy requires a global condition: a particular kind of spherical hole. By looking at the link of an identifiable individual in its encompassing Dowker complex, one can characterize that individual's attribute privacy via another sphere condition. Even when long-term attribute privacy is impossible, homology provides lower bounds on how an individual may defer identification, when that individual has control over how to reveal attributes. Intuitively, the idea is to first reveal information that could otherwise be inferred. This last result highlights privacy as a dynamic process. Privacy loss may be cast as gradient flow. Harmonic flow for privacy preservation may be fertile ground for future research.

연구 동기 및 목표

• 격자 및 단체 복합체 구조를 사용하여 관계형 데이터의 프라이버시를 위상적 성질로 공식화하기.
• 다우커 복합체에서의 위상적 붕괴로 나타나는 프라이버시 손실을 이해하기.
• 특히 구형 구멍을 통해 호몰로지 조건을 통해 개인 및 집단의 속성 프라이버시를 특성화하기.
• 격자 기반 추론 제어를 통해 식별을 연기하는 동적 속성 공개 전략 개발하기.
• 조합적 프라이버시 프레임워크 내에서 확률적 센서 관측과 센서 노이즈를 모델링하기.

제안 방법

• 이진 관계 R에서 유도된 두 개의 이중 단체 복합체를 구성: 하나는 공통 속성을 공유하는 개인들에 대해, 다른 하나는 공통 개인을 공유하는 속성들에 대해.
• 다우커 정리를 적용하여 두 복합체 간의 호모토피 동치를 확립함으로써 공통 핵심을 드러내며, 이는 격자 구조를 형성한다.
• 프라이버시 손실을 단체 복합체 내 자유 면의 붕괴로 모델링하며, 완전한 프라이버시 보존은 전역적 구형 구멍 조건이 필요하다.
• 다우커 복합체에서 개인의 링크를 이용해 구면 조건을 통해 속성 프라이버시를 정의하고, 이를 집단으로 일반화한다.
• 등방성을 개인의 위상적 조건으로 정의하며, 이는 시간이 지남에 따라 수축할 수 있으며, 이는 프라이버시를 뚫는다.
• 식별을 연기하기 위해 부분순서 집합 체인에 따라 정렬된 속성 공개 순서를 도입하며, 호몰로지가 프라이버시 지속 시간의 하한을 제공한다.

실험 결과

연구 질문

• RQ1 격자 구조와 단체 복합체는 어떻게 관계형 데이터의 프라이버시 위상학을 모델링할 수 있는가?
• RQ2 위상적 붕괴(예: 자유 면 제거)는 추론 공격에서 어떻게 프라이버시 손실로 이어지는가?
• RQ3 특히 구형 구멍과 같은 위상 조건은 속성 및 연관성 프라이버시 유지에 어떻게 기여하는가?
• RQ4 속성 공개 순서는 어떻게 식별을 연기하는 데 사용될 수 있으며, 호몰로지는 프라이버시 지속 시간을 어떻게 정량화하는가?
• RQ5 확률적 센서 관측은 어떻게 조합적 프라이버시 프레임워크에 매핑되며, 바리센트 분할은 불확실성을 모델링하는 데 어떤 역할을 하는가?

주요 결과

• 프라이버시 손실은 다우커 복합체 내 자유 면의 붕괴로 위상적으로 특성화되며, 완전한 프라이버시 보존은 전역적 구형 구멍 조건이 필요하다.
• 개인의 속성 프라이버시는 다우커 복합체에서 그 개인의 링크가 구면과 호모토피 동치일 경우 유지되며, 이를 고차원 구면 조건을 통해 집단으로 일반화할 수 있다.
• 다우커 복합체의 호몰로지는 장기적 프라이버시 확보가 불가능한 상황에서도 개인을 식별하기 위해 필요한 단계 수의 하한을 제공한다.
• 추론에 의한 단체 복합체 붕괴는 局소적이다. 그러나 속성 및 연관성 프라이버시를 모두 유지하려면 전역적 위상 조건—특히 구형 구멍의 존재—가 필요하다.
• 개인과 속성 간 갈로아 연결의 격자 구조는 동적 가짜 정보 전략을 가능하게 하며, 식별을 연기하는 정보성 공개 순서를 포함한다.
• 확률적 센서 관측은 속성 단체의 바리센트 분할을 통해 모델링할 수 있으며, 결정 불확실 영역은 빈 단체로 매핑되며, 결과적으로 결정 공간은 단체의 경계의 첫 번째 바리센트 분할과 동형이다.