[论文解读] Differentially Private Summation with Multi-Message Shuffling

Borja Balle, James Bell+2 more|arXiv (Cornell University)|Jun 20, 2019

Privacy-Preserving Technologies in Data参考文献 7被引用 27

一句话总结

本文提出了一种在洗牌模型下实现差分隐私求和的协议，该协议在 $O_{ε,\delta}(1)$ 的误差下，仅需 $O_{ε,\delta}(\log n)$ 条消息，每条消息大小为 $O(\log n)$，利用了安全洗牌机制以及几何分布的无限可分性。该协议在先前工作的基础上，消除了误差中对 $\delta$ 的依赖，以及通信复杂度中对 $\epsilon$ 的依赖。

ABSTRACT

In recent work, Cheu et al. (Eurocrypt 2019) proposed a protocol for $n$-party real summation in the shuffle model of differential privacy with $O_{ε, δ}(1)$ error and $Θ(ε\sqrt{n})$ one-bit messages per party. In contrast, every local model protocol for real summation must incur error $Ω(1/\sqrt{n})$, and there exist protocols matching this lower bound which require just one bit of communication per party. Whether this gap in number of messages is necessary was left open by Cheu et al. In this note we show a protocol with $O(1/ε)$ error and $O(\log(n/δ))$ messages of size $O(\log(n))$ per party. This protocol is based on the work of Ishai et al.\ (FOCS 2006) showing how to implement distributed summation from secure shuffling, and the observation that this allows simulating the Laplace mechanism in the shuffle model.

研究动机与目标

• 弥合差分隐私下实数求和问题中本地模型与洗牌模型之间的通信复杂度差距。
• 设计一种协议，实现在参与方数量上通信复杂度为次线性的同时，误差保持常数。
• 通过减少误差和通信界中对 $\epsilon$ 和 $\delta$ 的依赖，改进现有洗牌模型协议。
• 利用几何分布的无限可分性，实现洗牌模型中高效噪声聚合。

提出的方法

• 协议对精度为 $p$ 的实数采用定点编码，随后通过随机舍入将实数值转换为整数消息。
• 基于 Ishai 等人（FOCS 2006）提出的基于安全洗牌原原子，将拉普拉斯机制应用于洗牌模型，实现具有隐私保障的分布式求和。
• 协议采用基于几何分布无限可分性的分布式噪声聚合方案，该方案由 Goryczka 和 Xiong 提出。
• 通过与统计距离的耦合论证来界定隐私泄露，依赖于剩余哈希引理以保证输出的均匀性。
• 每方的消息数量设定为 $k = \lceil \frac{5}{2}\log q + \sigma + \frac{1}{4}\log(\log q + \sigma) + \log(n-1) \rceil$，以确保误差与 $\delta$ 无关。
• 通过统计距离论证证明，分析者的视图接近于一个差分隐私机制，从而确保满足 $(\epsilon,\delta)$-差分隐私。

实验结果

研究问题

• RQ1 洗牌模型下的实数求和协议能否在每方通信复杂度为 $o(\sqrt{n})$ 的同时，实现 $O(1)$ 的误差并保持差分隐私？
• RQ2 是否可能在该类协议中消除误差中的 $\delta$ 依赖以及通信复杂度中的 $\epsilon$ 依赖？
• RQ3 几何分布的无限可分性是否可用于在洗牌模型中构建更高效的噪声聚合方案？
• RQ4 实现差分隐私求和中常数误差所需的每方最小消息数是多少？
• RQ5 为维持隐私，消息数量是否必须随 $n$ 增长，还是常数条消息已足够？

主要发现

• 该协议实现了 $O_{\epsilon,\delta}(1)$ 的误差，且每方仅需 $O_{\epsilon,\delta}(\log n)$ 条消息，优于 Cheu 等人提出的 $\Theta(\epsilon\sqrt{n})$ 消息复杂度。
• 误差与 $\delta$ 无关，相比 Ghazi 等人（同期工作）节省了 $O(\sqrt{\log(1/\delta)})$ 的因子。
• 通信复杂度与 $\epsilon$ 无关，相比 Ghazi 等人，消息数量节省了 $O(\log(1/\epsilon))$ 的因子。
• 协议利用了几何分布的无限可分性，实现了高效且私密的噪声聚合，避免了对其他方案的依赖。
• 分析表明，当每方使用 $k = \lceil \frac{5}{2}\log q + \sigma + \frac{1}{4}\log(\log q + \sigma) + \log(n-1) \rceil$ 条消息时，即可确保 $\delta$-无关的隐私性。
• 协议通过耦合论证和统计距离界值证明了差分隐私，最终的隐私保证由引理 1.2 推导得出。