[论文解读] Prio: Private, Robust, and Scalable Computation of Aggregate Statistics

Henry Corrigan-Gibbs, Dan Boneh|arXiv (Cornell University)|Mar 18, 2017

Cryptography and Data Security参考文献 100被引用 146

一句话总结

Prio 通过 secret-shared non-interactive proofs (SNIPs) 和 affine-aggregatable encodings 实现对大规模客户端集合的私有聚合，以实现隐私、对故障客户端的鲁棒性以及可扩展性。

ABSTRACT

This paper presents Prio, a privacy-preserving system for the collection of aggregate statistics. Each Prio client holds a private data value (e.g., its current location), and a small set of servers compute statistical functions over the values of all clients (e.g., the most popular location). As long as at least one server is honest, the Prio servers learn nearly nothing about the clients' private data, except what they can infer from the aggregate statistics that the system computes. To protect functionality in the face of faulty or malicious clients, Prio uses secret-shared non-interactive proofs (SNIPs), a new cryptographic technique that yields a hundred-fold performance improvement over conventional zero-knowledge approaches. Prio extends classic private aggregation techniques to enable the collection of a large class of useful statistics. For example, Prio can perform a least-squares regression on high-dimensional client-provided data without ever seeing the data in the clear.

研究动机与目标

• 推动从大规模人群中收集聚合统计数据的隐私保护应用。
• 开发一个在保护隐私的同时对恶意客户端保持鲁棒性的系统。
• 引入 SNIPs，在不暴露私有数据的前提下对提交进行认证。
• 统一并扩展数据编码技术，以支持广泛的聚合类型。
• 展示在规模化场景下相对于先前方法的可行性与效率。

提出的方法

• 引入 secret-shared non-interactive proofs (SNIPs) 来在不暴露私有数据的前提下验证客户端提交。
• 使用 affine-aggregatable encodings (AFEs) 对客户端数据进行编码，以便对编码求和后可解码得到所需的统计量。
• 采用一个简单的三步方案（上传、聚合、发布）作为基本求和的基线。
• 将 SNIPs 扩展为带有多项式恒等测试和 Beaver 风格的 MPC，以确保对恶意客户端的鲁棒性。
• 将 AFEs 与 SNIPs 结合以在不泄露单个输入的前提下计算复杂统计量。
• 给出安全性定义（匿名性、f-privacy、鲁棒性）并在合乎情景的威胁模型下分析信息理论隐私性。

实验结果

研究问题

• RQ1 如何在保护数据隐私的同时使私有聚合对恶意客户端提交具有鲁棒性？
• RQ2 一小组非协作服务器是否能几乎不学习除聚合结果之外的单个输入信息？
• RQ3 哪些机制（SNIPs 和 AFEs）能够在规模化情况下实现对广泛聚合类别的高效验证与计算？
• RQ4 隐私性、鲁棒性和性能与先前的基于 NIZK/NIZK 的方法以及 SNARK/SNARK-like 方法相比如何？
• RQ5 在实际部署中的实际性能特征（延迟、吞吐量）有哪些？

主要发现

• Prio 实现了强隐私：只要至少有一个服务器诚实，服务器几乎不会了解除聚合之外的单个输入。
• SNIPs 实现对客户端提交的安全、非交互式验证，具有信息理论保证以及低服务器通信开销。
• Affine-aggregatable encodings 通过对编码求和并解码结果来计算复杂的统计量，从而实现高效、可扩展的聚合。
• 与 NIZKs 和基于 SNARK 的方法相比，Prio 将服务器工作量降低了数个数量级，客户端工作量减少 50–100 倍，总体相对于非私有基线的慢性约为 5.7x。
• Prio 支持大规模部署且具有实际可用的低延迟，例如在分布式服务器集群上每次客户端提交约 2 ms，434 个问题的客户端计算约 26 ms。
• SNIP 框架在不牺牲隐私或可扩展性的前提下，对不可信客户端提供鲁棒性。