[论文解读] KloakDB: A Platform for Analyzing Sensitive Data with $K$-anonymous Query Processing

M. Suresh, Zuohao She+3 more|arXiv (Cornell University)|Mar 31, 2019

Cryptography and Data Security参考文献 58被引用 5

一句话总结

KloakDB 引入了 K-匿名查询处理（KQP），这是一种半不经意模型，通过将元组分组为大小为 k 的批次来减少开销，在去中心化隐私数据联邦中平衡了隐私与性能。在 TPC-H 和真实工作负载上的评估表明，KloakDB 相比完全不经意的查询处理实现了 15X–1060X 的加速，同时通过 k-匿名性维持了强隐私保证。

ABSTRACT

A private data federation enables data owners to pool their information for querying without disclosing their secret tuples to one another. Here, a client queries the union of the records of all data owners. The data owners work together to answer the query using privacy-preserving algorithms that prevent them from learning unauthorized information about the inputs of their peers. Only the client, and a federation coordinator, learn the query's output. KloakDB is a private data federation that uses trusted hardware to process SQL queries over the inputs of two or more parties. Currently private data federations compute their queries fully-obliviously, guaranteeing that no information is revealed about the sensitive inputs of a data owner to their peers by observing the query's instruction traces and memory access patterns. Oblivious querying almost always exacts multiple orders of magnitude slowdown in query runtimes compared to plaintext execution, making it impractical for many applications. KloakDB offers a semi-oblivious computing framework, $k$-anonymous query processing. We make the query's observable transcript $k$-anonymous because it is a popular standard for data release in many domains including medicine, educational research, and government data. KloakDB's queries run such that each data owner may deduce information about no fewer than $k$ individuals in the data of their peers. In addition, stakeholders set $k$, creating a novel trade-off between privacy and performance. Our results show that KloakDB enjoys speedups of up to $117$X using k-anonymous query processing over full-oblivious evaluation.

研究动机与目标

• 为解决在隐私数据联邦中完全不经意查询处理所导致的性能瓶颈，该方法在大规模工作负载下产生难以承受的开销。
• 实现在无需依赖可信第三方协调者的去中心化、可扩展的私有数据分析。
• 通过可调节的 k-匿名性参数，为用户提供细粒度且直观的隐私-性能权衡。
• 在保护访问模式和统计信息等侧信道泄露的同时，支持复杂且重复的 SQL 查询。
• 设计一种将 k-匿名性从数据发布推广到查询处理的系统，与现实世界中的法规和部署标准保持一致。

提出的方法

• K-匿名查询处理将输入数据划分为大小为 k 的批次，对每个批次进行不经意处理，以隐藏访问和输出模式。
• 系统使用安全多方计算或硬件飞地，确保在查询执行过程中保持机密性和抗侧信道攻击。
• KloakDB 将 k-匿名性原则应用于连接和聚合等查询算子，确保每个元组的访问模式与至少 k−1 个其他元组不可区分。
• k 参数作为一个可调节的控制旋钮，允许用户根据工作负载的敏感程度调整隐私强度和性能。
• 原型实现了一个去中心化架构，数据拥有者贡献自身资源，消除了对单一可信协调者的依赖。
• KloakDB 通过保护计算而非数据，支持嵌套查询和复杂 SQL 工作负载，从而实现完整的查询表达能力。

实验结果

研究问题

• RQ1 半不经意查询处理模型能否在维持强隐私保证的同时，降低完全不经意查询处理的性能开销？
• RQ2 在分布式、去中心化的数据联邦中，如何将 k-匿名性从数据发布扩展到动态查询处理？
• RQ3 在真实工作负载中，通过可调节的 k 参数，可实现怎样的性能与隐私权衡？
• RQ4 k-匿名查询处理能否在多个查询中有效防范侧信道泄露，包括 I/O 模式和统计信息？
• RQ5 该系统在包括 TPC-H 和真实世界医疗数据在内的多样化工作负载中如何扩展？

主要发现

• 在真实世界数据集上，KloakDB 相比完全不经意查询处理最高实现 1060X 的加速，展现出显著的性能提升。
• 在 TPC-H 工作负载上，KloakDB 实现了 440X–2350X 的加速，证实了其在复杂分析查询中的可扩展性。
• 系统在隐私（k）与性能之间表现出线性权衡，支持针对不同敏感度级别进行可预测的调优。
• k-匿名查询处理能有效隐藏访问模式和统计泄露，即使在重复查询工作负载下也有效。
• 该原型成功支持嵌套查询和复杂 SQL 操作，而无需像其他系统那样加密数据或限制查询表达能力。
• 评估结果证实，查询处理中的 k-匿名性在医疗和金融等现实部署领域中是可行且实用的。