[论文解读] PIR with Low Storage Overhead: Coding instead of Replication

Arman Fazeli, Alexander Vardy+1 more|arXiv (Cornell University)|May 22, 2015

Cryptography and Data Security参考文献 19被引用 65

一句话总结

本文提出一种新型私有信息检索（PIR）框架，以编码替代数据库复制，显著降低存储开销，同时保持通信复杂度和信息论隐私。通过使用 $k$-服务器 PIR 编码，将数据库编码片段分布存储于多个服务器，存储开销渐近趋近于 1，对于固定的 $k$，实现 $1 + O(s^{-1/2})$ 的开销，其中 $s$ 为数据库大小与每台服务器存储量的比值。

ABSTRACT

Private information retrieval (PIR) protocols allow a user to retrieve a data item from a database without revealing any information about the identity of the item being retrieved. Specifically, in information-theoretic $k$-server PIR, the database is replicated among $k$ non-communicating servers, and each server learns nothing about the item retrieved by the user. The cost of PIR protocols is usually measured in terms of their communication complexity, which is the total number of bits exchanged between the user and the servers, and storage overhead, which is the ratio between the total number of bits stored on all the servers and the number of bits in the database. Since single-server information-theoretic PIR is impossible, the storage overhead of all existing PIR protocols is at least $2$. In this work, we show that information-theoretic PIR can be achieved with storage overhead arbitrarily close to the optimal value of $1$, without sacrificing the communication complexity. Specifically, we prove that all known $k$-server PIR protocols can be efficiently emulated, while preserving both privacy and communication complexity but significantly reducing the storage overhead. To this end, we distribute the $n$ bits of the database among $s+r$ servers, each storing $n/s$ coded bits (rather than replicas). For every fixed $k$, the resulting storage overhead $(s+r)/s$ approaches $1$ as $s$ grows; explicitly we have $r\le k\sqrt{s}(1+o(1))$. Moreover, in the special case $k = 2$, the storage overhead is only $1 + \frac{1}{s}$. In order to achieve these results, we introduce and study a new kind of binary linear codes, called here $k$-server PIR codes. We then show how such codes can be constructed, and we establish several bounds on the parameters of $k$-server PIR codes. Finally, we briefly discuss extensions of our results to nonbinary alphabets, to robust PIR, and to $t$-private PIR.

研究动机与目标

• 为解决传统 $k$-服务器 PIR 协议中因数据库复制导致的高存储开销问题，其开销至少为 $k$。
• 在不牺牲通信复杂度或隐私保证的前提下，实现存储开销任意接近 1 的信息论 PIR。
• 开发一种通用编码框架，可使用编码存储而非复制来模拟任意现有 $k$-服务器 PIR 协议。
• 构建并分析 $k$-服务器 PIR 编码——支持通过查询模式实现私有检索的二元线性码。
• 建立编码参数的界限，并利用组合设计与编码理论提供显式构造。

提出的方法

• 以分布式编码替代数据库复制：在 $s + r$ 台服务器上存储每台 $n/s$ 个编码比特，而非 $k$ 个完整副本。
• 使用 $k$-服务器 PIR 编码——二元线性码，其中数据库的每一位可通过跨服务器的 $k$ 个不相交查询集恢复。
• 从组合对象（如斯坦纳系、一步广义逻辑可译码码、等权重码和局部可恢复码（LRCs））构造编码。
• 通过设计查询模式确保每台服务器仅看到查询的随机子集，从而保持 $k$-服务器 PIR 的隐私性。
• 利用具有可用性 $t = k-1$ 的 LRC 结构，确保任意比特可由 $k$ 个非共谋服务器重构。
• 通过将原始查询映射为编码查询向量，将现有 PIR 协议适配至编码环境，保持通信复杂度和隐私性。

实验结果

研究问题

• RQ1 能否在不增加通信成本的前提下，实现信息论 $k$-服务器 PIR，且存储开销任意接近 1？
• RQ2 哪类编码可实现高效模拟现有 PIR 协议的编码存储？
• RQ3 如何从已知的组合与编码理论结构构造 $k$-服务器 PIR 编码？
• RQ4 对 $k$-服务器 PIR 编码的参数存在哪些基本界限？其随 $k$ 和 $s$ 的变化规律如何？
• RQ5 该框架能否扩展至鲁棒 PIR 和 $t$-私有 PIR，且在编码存储下保持隐私？

主要发现

• 存储开销 $(s + r)/s$ 随 $s \to \infty$ 趋近于 1，且满足 $r \leq k\sqrt{s}(1 + o(1))$，对固定 $k$ 实现 $1 + O(s^{-1/2})$ 的开销。
• 当 $k=2$ 时，存储开销恰好为 $1 + \frac{1}{s}$，显著优于两倍复制的开销。
• 所有已知的 $k$-服务器 PIR 协议均可通过该编码框架以相同的通信复杂度和隐私保证实现模拟。
• 提供了基于斯坦纳系、一步广义逻辑可译码码、等权重码和 LRC 的 $k$-服务器 PIR 编码的显式构造。
• 对于非二元字母表，最小距离可优于二元情况——例如在 $GF(4)$ 上，当 $s=2, k=3$ 时，最小距离可达 4，而二元情况下仅为 3。
• 该框架可扩展至鲁棒 PIR 和 $t$-私有 PIR，在最多 $\ell - k$ 台服务器响应丢失或存在共谋服务器的情况下仍保持隐私。