[논문 리뷰] Towards Practical Differential Privacy for SQL Queries

Noah M. Johnson, Joseph P. Near외 1명|arXiv (Cornell University)|2017. 06. 28.

Privacy-Preserving Technologies in Data참고 문헌 31인용 수 26

한 줄 요약

이 논문은 일반적인 동등 조인을 지원하는 복잡한 SQL 쿼리에 대해 실용적인 차별적 프라이버시를 가능하게 하는, 국소 감도의 새로운 효율적 근사치인 유연 감도를 소개한다. 저자들은 실세계 SQL 워크로드에서 최소한의 성능 오버헤드(0.03%)로 차별적 프라이버시를 보장하는 엔드 투 엔드 시스템인 Flex를 구현하였으며, 대규모 실증 데이터셋에서 유래한 9,862개의 실질적 쿼리에서 높은 유용성을 입증하였다.

ABSTRACT

Differential privacy promises to enable general data analytics while protecting individual privacy, but existing differential privacy mechanisms do not support the wide variety of features and databases used in real-world SQL-based analytics systems. This paper presents the first practical approach for differential privacy of SQL queries. Using 8.1 million real-world queries, we conduct an empirical study to determine the requirements for practical differential privacy, and discuss limitations of previous approaches in light of these requirements. To meet these requirements we propose elastic sensitivity, a novel method for approximating the local sensitivity of queries with general equijoins. We prove that elastic sensitivity is an upper bound on local sensitivity and can therefore be used to enforce differential privacy using any local sensitivity-based mechanism. We build FLEX, a practical end-to-end system to enforce differential privacy for SQL queries using elastic sensitivity. We demonstrate that FLEX is compatible with any existing database, can enforce differential privacy for real-world SQL queries, and incurs negligible (0.03%) performance overhead.

연구 동기 및 목표

• 실세계 데이터베이스에서 일반 목적의 SQL 분석을 위한 실용적인 차별적 프라이버시의 격차를 해소하기 위해.
• 810만 개의 실세계 SQL 쿼리에 대한 실증 분 析를 기반으로 차별적 프라이버시 시스템의 핵심 요구사항을 규명하기 위해.
• SQL 내에서 복잡한 동등 조인을 지원하는 스케일링이 가능한 효율적인 국소 감도 근사 방법을 설계하기 위해.
• 기본 데이터베이스를 수정하지 않고 표준 SQL 쿼리에 대해 차별적 프라이버시를 강제하는 엔드 투 엔드 시스템인 Flex를 구축하고 평가하기 위해.
• 다양한 실세계 통계 쿼리에서 차별적 프라이버시의 유용성과 성능 영향을 실증적으로 평가하기 위해.

제안 방법

• 유연 감도는 국소 감도의 타당한 상한선으로 제안되어, 국소 감도 기반의 어떤 차별적 프라이버시 메커니즘과도 함께 사용할 수 있다.
• 이 방법은 쿼리 구조와 사전 계산된 데이터베이스 메트릭스만을 사용하여, 각 쿼리마다 비용이 많이 드는 재계산을 피한다.
• 유연 감도는 단일 튜플의 변화에 따른 쿼리 출력의 최대 변화를 모델링하여 일반적인 동등 조인을 지원한다.
• Flex는 SQL 쿼리를 가로채고 감도 상한선에 기반한 노이즈를 주입하며, 차별적 프라이버시 결과를 반환하는 미들웨어 레이어에 유연 감도를 통합한다.
• 이 시스템은 기존의 어떤 SQL 데이터베이스와도 호환되도록 설계되어 있으며, 기반 DBMS에 대한 수정이 필요하지 않다.
• 이 접근법은 감도 값에 비례하여 노이즈가 조정된 라플라스 메커니즘을 사용하여 차별적 프라이버시를 보장한다.

실험 결과

연구 질문

• RQ1 실세계 SQL 쿼리의 핵심 특성은 실용적인 차별적 프라이버시 시스템 설계에 어떤 영향을 미치는가?
• RQ2 동등 조인을 포함한 복잡한 SQL 쿼리에 대해 국소 감도의 효율적 근사치를 계산할 수 있는가?
• RQ3 실세계 워크로드에서 차별적 프라이버시는 쿼리 유용성과 성능에 어떤 영향을 미치는가?
• RQ4 기본 데이터베이스를 수정하지 않고 표준 SQL 쿼리에 대해 차별적 프라이버시를 강제할 수 있는가?
• RQ5 실세계 워크로드에서 대규모로 차별적 프라이버시를 강제할 경우 성능 오버헤드는 어느 정도인가?

주요 결과

• 810만 개의 실세계 쿼리에 대한 실증 연구에서 이전 평가 작업이 대표성이 없는 쿼리를 사용한 것으로 밝혀져, 실용적 시스템을 위한 새로운 설계 요구사항이 필요하다고 밝혀졌다.
• 유연 감도가 국소 감도의 타당한 상한선임이 증명되어, 어떤 국소 감도 기반 메커니즘과 함께 사용할 경우 공식적인 차별적 프라이버시 보장을 보장한다.
• Flex는 실세계 통계 쿼리 9,862개에 대해 최소한의 성능 오버헤드(0.03%)로 차별적 프라이버시를 성공적으로 강제하였다.
• 대부분의 쿼리, 특히 인구 수가 큰 쿼리에 대해 높은 유용성을 달성하였으며, 이는 실세계 워크로드에서 차별적 프라이버시에 대한 첫 대규모 평가이다.
• 유연 감도는 각 쿼리마다 데이터베이스 스캔이나 복잡한 사전 처리를 요구하지 않으며, 감도 계산을 효율적으로 수행할 수 있다.
• 이 방법은 우버에서 내부 데이터 분석에 채택하여 실생산 환경에서의 실용성을 입증하였다.