[论文解读] Path ORAM: An Extremely Simple Oblivious RAM Protocol

Emil Stefanov, Marten van Dijk+6 more|arXiv (Cornell University)|Feb 23, 2012

Cryptography and Data Security被引用 120

一句话总结

Path ORAM 是一种高度实用的不经意RAM协议，对于块大小 $B = \Omega(\log^2 N)$ 的情况，实现了 $O(\log N)$ 的带宽开销，采用简单的基于树的路径访问模式和极少的客户端存储。与以往在客户端存储较小的ORAM方案相比，它在渐近效率和实际部署中均表现更优，具有可证明的低失败概率，并通过实验充分验证了存储池容量的可扩展性。

ABSTRACT

We present Path ORAM, an extremely simple Oblivious RAM protocol with a small amount of client storage. Partly due to its simplicity, Path ORAM is the most practical ORAM scheme known to date with small client storage. We formally prove that Path ORAM has a O(log N) bandwidth cost for blocks of size B = Omega(log^2 N) bits. For such block sizes, Path ORAM is asymptotically better than the best known ORAM schemes with small client storage. Due to its practicality, Path ORAM has been adopted in the design of secure processors since its proposal.

研究动机与目标

• 设计一种客户端存储最小化的实用ORAM方案，通过隐藏访问模式来确保强隐私性。
• 在客户端存储受限的条件下，实现比现有ORAM方案更优的渐近带宽复杂度。
• 通过消除诸如非摊销排序或不经意哈希等复杂数据结构，简化ORAM构造。
• 形式化证明Path ORAM在 $O(\log N) \cdot \omega(1)$ 客户端存储和 $O(\log N)$ 带宽下，对大块大小具有可忽略的失败概率。
• 通过在最坏访问模式下的大规模模拟，验证理论边界。

提出的方法

• Path ORAM 将数据组织为存储在远程服务器上的二叉树结构，每个逻辑块被映射到从根到叶的唯一路径。
• 每次ORAM访问都涉及从根到叶完整路径的获取与更新，确保访问模式不会泄露关于逻辑访问序列的信息。
• 协议使用客户端存储池临时保存路径操作中的块，通过基于随机化的驱逐策略防止模式泄露。
• 理论分析基于一个抽象的无限ORAM模型，用于限制存储池使用量，证明存储池溢出的概率随存储池大小呈指数级下降。
• 协议采用递归路径驱逐和基于桶的负载均衡机制，以在树的各层保持高效性和可扩展性。
• 实验通过模拟最坏情况的访问模式（在 $N$ 个块上轮询访问）来验证存储池大小和桶负载的理论边界。

实验结果

研究问题

• RQ1 是否可以通过一种简单的ORAM构造，在仅使用 $O(\log N) \cdot \omega(1)$ 客户端存储的前提下，实现 $O(\log N)$ 的带宽开销，且适用于合理大小的块？
• RQ2 Path ORAM 的简洁性是否使其在实际性能和部署方面优于以往在类似存储约束下的ORAM方案？
• RQ3 存储池大小如何随安全参数变化？在大规模系统中，其大小是否保持与 $N$ 无关？
• RQ4 如理论预测，存储池溢出的失败概率是否可忽略且随存储池大小呈指数级下降？
• RQ5 在真实工作负载和最坏访问序列下，基于路径的访问模式是否可被证明安全且高效？

主要发现

• 对于块大小 $B = \Omega(\log^2 N)$，Path ORAM 实现了 $O(\log N)$ 的带宽开销，在理论和实践上均优于以往在客户端存储较小的方案。
• 当存储池容量超过 $R$ 个块时，其概率被限制在 $14 \cdot 0.6002^{-R}$ 以内，表明其随存储池大小呈指数衰减。
• 实验结果确认，所需存储池大小随安全参数 $\lambda$ 线性增长，且与 $N$ 无关，表明其具有强大的可扩展性。
• 当 $Z \geq 5$ 时，每层树的平均桶负载接近1，且根桶极少满载，表明负载分布高效。
• 即使在最坏访问模式（如轮询访问所有块）下，协议仍保持安全与高效，此时存储池占用率最高。
• Path ORAM 已被实际应用于安全处理器设计中，包括Ascend处理器和基于FPGA的安全处理器，证实了其实际可行性。