[论文解读] Lower-Cost epsilon-Private Information Retrieval

Raphael R. Toledo, George Danezis+1 more|arXiv (Cornell University)|Apr 1, 2016

Cryptography and Data Security参考文献 25被引用 3

一句话总结

本文提出了一种灵活的差分私密性定义，用于 $\epsilon$-私密信息检索（PIR），以实现更低成本、可扩展的私密数据库访问。研究表明，仅使用虚拟查询或匿名通道的简单方案存在安全隐患，但通过与大规模匿名系统组合，可实现任意强的隐私保护，为计算成本高昂的IT-PIR提供了具有可证明安全保证的实际替代方案。

ABSTRACT

Private Information Retrieval (PIR), despite being well studied, is computationally costly and arduous to scale. We explore lower-cost relaxations of information-theoretic PIR, based on dummy queries, sparse vectors, and compositions with an anonymity system. We prove the security of each scheme using a flexible differentially private definition for private queries that can capture notions of imperfect privacy. We show that basic schemes are weak, but some of them can be made arbitrarily safe by composing them with large anonymity systems.

研究动机与目标

• 为解决传统信息理论PIR的可扩展性限制，后者因计算和通信成本过高而随数据库规模增长而表现不佳。
• 形式化一种灵活的差分私密性隐私定义，以捕捉不完全隐私，并支持轻量级PIR协议的定量风险分析。
• 证明仅使用虚拟查询或匿名通道等基本私密查询机制，在所提出的定义下无法提供有意义的隐私保护。
• 设计并分析满足 $\epsilon$-私密定义的PIR变体（如稀疏-PIR、子集-PIR），并可与匿名系统组合以实现近乎完美的隐私。
• 提出一个通用的组合定理，适用于具有匿名通道的差分私密系统，支持模块化的隐私工程设计。

提出的方法

• 引入一种基于游戏的差分私密性定义，用于私密查询，通过敌手区分游戏量化信息泄露。
• 分析在 $\epsilon$-私密定义下，基本虚拟查询和匿名通道方案的不安全性，表明当敌手拥有侧信道信息时，这些方案会失效。
• 通过减少每个服务器访问的记录数或使用稀疏查询向量，提出优化的PIR方案（直接请求、稀疏-PIR、子集-PIR）。
• 应用组合引理，证明将任意 $\epsilon$-私密PIR协议与大规模匿名系统组合，可实现近乎完美的隐私，且随着匿名集合增大，$\epsilon$ 趋近于 0。
• 通过减少接触的数据库数量，优化经典Chor型IT-PIR，实现成本降低 $t/d$ 倍。
• 使用类似证书透明度的参数进行实验评估，比较不同方案与组合下的计算成本 $C_p$、通信成本 $C_m$ 和隐私参数 $\epsilon$。

实验结果

研究问题

• RQ1 基于虚拟查询或匿名通道的轻量级PIR方案，在正式且可量化的威胁模型下能否提供有意义的隐私？
• RQ2 如何设计一种灵活的差分私密性定义，以捕捉并度量宽松PIR协议中的隐私泄露？
• RQ3 当敌手拥有侧信道信息时，基本私密查询机制的安全性局限是什么？
• RQ4 将 $\epsilon$-私密PIR与大规模匿名系统组合，能在多大程度上实现近乎完美的隐私？
• RQ5 不同PIR优化策略（如稀疏查询、减少数据库接触）在计算成本、通信成本与隐私之间如何权衡？

主要发现

• 仅使用虚拟查询或匿名通道的简单方案，在所提定义下甚至无法提供 $\epsilon$-私密安全性，尤其在敌手拥有侧信道信息时更为明显。
• 稀疏-PIR和子集-PIR方案实现了 $\epsilon$-私密安全性，且随着访问记录数增加，隐私水平趋近于 0。
• 将任意 $\epsilon$-私密PIR协议与大规模匿名系统组合，可实现任意强的隐私保护，且随着匿名集合大小增加，$\epsilon$ 趋近于 0。
• 直接请求方案的计算成本 $C_p$ 低于稀疏-PIR，但通信成本 $C_m$ 显著更高，整体效率更低。
• 稀疏-PIR相比直接请求方案将计算成本降低了 $t/d$ 倍，但需仔细调节稀疏性参数 $\theta$ 以维持安全性。
• 当敌手控制一半数据库时，直接请求方案在 $p = d$ 时隐私参数 $\epsilon$ 趋近于 0，而稀疏-PIR在 $p = \frac{1}{2} \cdot d \cdot n$ 时趋近于 0，表明其隐私权衡更具灵活性。