[论文解读] The Capacity of Private Computation

Hua Sun, Syed A. Jafar|arXiv (Cornell University)|Oct 30, 2017

Cryptography and Data Security参考文献 10被引用 24

一句话总结

本文引入了私有计算问题，其中用户在 N 个非共谋服务器上对 K 份复制的数据集进行私有线性组合计算。证明了容量——定义为每单位下载量可检索的期望函数的最大速率——保持不变，仍为 $ C = \left(1 + \frac{1}{N} + \cdots + \frac{1}{N^{K-1}}\right)^{-1} $，与私有信息检索（PIR）的容量一致，即使允许计算，原因在于利用线性依赖关系的结构化查询与压缩方案。

ABSTRACT

We introduce the problem of private computation, comprised of $N$ distributed and non-colluding servers, $K$ independent datasets, and a user who wants to compute a function of the datasets privately, i.e., without revealing which function he wants to compute, to any individual server. This private computation problem is a strict generalization of the private information retrieval (PIR) problem, obtained by expanding the PIR message set (which consists of only independent messages) to also include functions of those messages. The capacity of private computation, $C$, is defined as the maximum number of bits of the desired function that can be retrieved per bit of total download from all servers. We characterize the capacity of private computation, for $N$ servers and $K$ independent datasets that are replicated at each server, when the functions to be computed are arbitrary linear combinations of the datasets. Surprisingly, the capacity, $C=\left(1+1/N+\cdots+1/N^{K-1} ight)^{-1}$, matches the capacity of PIR with $N$ servers and $K$ messages. Thus, allowing arbitrary linear computations does not reduce the communication rate compared to pure dataset retrieval. The same insight is shown to hold even for arbitrary non-linear computations when the number of datasets $K ightarrow\infty$.

研究动机与目标

• 正式化并分析私有计算问题，即用户在不泄露所期望函数内容的前提下，对存储在 N 个非共谋服务器上的 K 份数据集计算函数。
• 通过允许期望输出为数据集的任意线性组合（而非仅单个消息），推广私有信息检索（PIR）问题。
• 表征私有计算的容量，定义为每单位下载数据可实现的期望函数检索的最大速率。
• 表明尽管函数复杂度增加，允许任意线性计算并不会降低通信速率，与纯 PIR 相比。
• 证明当数据集数量 K 趋近于无穷大时，即使考虑任意非线性函数，该容量仍保持不变。

提出的方法

• 提出一种不依赖于期望函数线性组合系数的结构化查询构造方法，从而实现对所有可能线性组合的通用适用性。
• 改进并优化了先前工作中实现 PIR 容量的方案，引入符号索引结构与符号赋值机制，以利用数据集之间的线性依赖关系。
• 采用基于压缩的传输策略，每个服务器发送数据集符号线性组合的压缩表示，以最小化下载量同时保持隐私。
• 对数据集符号应用随机排列，确保仅在索引对齐的配对中保留消息间的相关性，从而实现高效压缩。
• 使用信息论界 bound（熵与互信息）推导反证，证明任何方案都无法超过所推导出的容量。
• 通过证明总下载量满足 $ D = N \left( LH(w_1,w_2) + (N-1)LH(w_1) \right) $（两份消息情形），得出速率 $ \frac{NH(w_2)}{H(w_1,w_2) + (N-1)H(w_1)} $，从而证明该方案达到 PIR 的速率。

实验结果

研究问题

• RQ1 在私有计算中，若允许期望输出为任意线性函数，其通信速率是否低于纯私有信息检索（PIR）？
• RQ2 能否设计一种不依赖于定义期望函数的线性系数的通用查询方案，同时仍实现最优速率？
• RQ3 当 K 份数据集存储于 N 个非共谋服务器上，且用户期望获取其线性组合时，私有计算的根本容量极限是什么？
• RQ4 当数据集数量 K 趋近于无穷大并考虑非线性函数时，私有计算的容量是否仍与 PIR 相同？
• RQ5 Mirmohseni 和 Maddah-Ali 提出的私有函数检索可实现方案对于一般 N 和 K 是否最优？或可进一步改进？

主要发现

• N 个服务器与 K 份独立数据集下的私有计算容量精确为 $ C = \left(1 + \frac{1}{N} + \cdots + \frac{1}{N^{K-1}}\right)^{-1} $，与已知 PIR 容量一致。
• 该容量通过一种不依赖于期望函数线性组合系数的查询方案实现，从而支持通用私有计算协议。
• 该方案通过基于熵的压缩技术对数据集符号的线性组合进行压缩，最小化总下载量，同时保持隐私。
• 对于两份消息，可实现速率为 $ \frac{NH(w_2)}{H(w_1,w_2) + (N-1)H(w_1)} $，该速率与反证界一致，证明其最优性。
• 当 K → ∞ 时，该结果可推广至任意非线性函数，容量保持不变，表明在渐近情形下计算不带来速率损失。
• 该容量表征结果涵盖了并严格优于先前工作，包括 Mirmohseni 和 Maddah-Ali 的私有函数检索方案，后者被证明在一般 N 和 K 情形下为次优。