[论文解读] Chorus: Differential Privacy via Query Rewriting.

Noah M. Johnson, Joseph P. Near+2 more|arXiv (Cornell University)|Sep 20, 2018

Privacy-Preserving Technologies in Data参考文献 66被引用 12

一句话总结

Chorus 是一种新颖的系统，通过重写查询以嵌入隐私保护机制，将差分隐私直接集成到 SQL 查询执行中，实现无需修改数据库或查询的自动隐私强制执行。它支持 93.9% 的真实世界统计查询，可扩展至数亿条记录，并已在 Uber 部署用于每日生产分析，符合 GDPR 要求。

ABSTRACT

We present Chorus, a system with a novel architecture for providing differential privacy for statistical SQL queries. The key to our approach is to embed a differential privacy mechanism into the query before execution so the query automatically enforces differential privacy on its output. Chorus is compatible with any SQL database that supports standard math functions, requires no user modifications to the database or queries, and simultaneously supports many differential privacy mechanisms. To the best of our knowledge, no existing system provides these capabilities. We demonstrate our approach using four general-purpose differential privacy mechanisms. In the first evaluation of its kind, we use Chorus to evaluate these four mechanisms on real-world queries and data. The results demonstrate that our approach supports 93.9% of statistical queries in our corpus, integrates with a production DBMS without any modifications, and scales to hundreds of millions of records. Chorus is currently being deployed at Uber for its internal analytics tasks. Chorus represents a significant part of the company's GDPR compliance efforts, and can provide both differential privacy and access control enforcement. In this capacity, Chorus processes more than 10,000 queries per day.

研究动机与目标

• 为统计 SQL 查询提供端到端的差分隐私，而无需修改底层数据库或用户查询。
• 设计一种系统架构，将差分隐私机制无缝集成到标准 SQL 执行流水线中。
• 在真实世界、生产规模环境中评估并比较多种通用差分隐私机制。
• 实现在大规模分析工作负载中以强隐私保证进行差分隐私的生产级部署。

提出的方法

• Chorus 在查询执行时重写 SQL 查询，以嵌入差分隐私机制，确保隐私得到自动强制执行。
• 该系统通过可配置的查询重写支持多种差分隐私机制，包括拉普拉斯分布、正态分布等。
• 通过使用与标准 SQL 函数兼容的数学上严谨的机制，在查询级别注入噪声，以确保隐私保证。
• 该架构与现有 DBMS 完全兼容，无需修改数据库引擎或用户查询。
• Chorus 与生产数据库集成，并同时强制执行差分隐私和访问控制。
• 该系统以保留查询语义的方式处理查询，同时通过形式化隐私会计确保差分隐私。

实验结果

研究问题

• RQ1 是否可以在不修改数据库或查询的情况下，将差分隐私无缝集成到标准 SQL 查询处理中？
• RQ2 查询重写在支持多样化真实世界统计查询的差分隐私方面有多有效？
• RQ3 在查询执行时强制执行差分隐私的系统在性能和可扩展性方面如何？
• RQ4 不同差分隐私机制在真实世界数据和工作负载中的实际表现如何？
• RQ5 此类系统是否可以在具备强隐私和访问控制保证的生产环境中实现规模化部署？

主要发现

• Chorus 在评估语料库中成功支持了 93.9% 的统计查询，证明了其广泛适用性。
• 该系统无需对数据库或查询语言进行任何修改，即可与生产级 DBMS 集成。
• Chorus 可扩展至处理数亿条记录，证明其在大规模分析中的可行性。
• 该系统目前已在 Uber 部署，每天处理超过 10,000 个查询，用于内部分析和符合 GDPR 要求。
• Chorus 以统一且透明的方式同时支持差分隐私和访问控制的强制执行。
• 这是首次在生产环境中对多种差分隐私机制在真实世界查询和数据上的表现进行评估。