[论文解读] Towards Practical Oblivious RAM

Emil Stefanov, Elaine Shi+1 more|arXiv (Cornell University)|Jun 18, 2011

Cryptography and Data Security参考文献 9被引用 150

一句话总结

本文提出了一种实用的不经意访问内存（O-RAM）构造，通过引入一种新颖的分区技术，实现了20–35倍的均摊开销，比之前最佳方案快达63倍。该技术将O-RAM划分为更小、可独立管理的分区，并使用后台淘汰机制在服务器端分区间不经意地混洗数据块。该方法将客户端存储减少至O-RAM容量的极小常数比例，同时保持次线性最坏情况成本和恒定往返延迟。

ABSTRACT

We take an important step forward in making Oblivious RAM (O-RAM) practical. We propose an O-RAM construction achieving an amortized overhead of 20X-35X (for an O-RAM roughly 1 terabyte in size), about 63 times faster than the best existing scheme. On the theoretic front, we propose a fundamentally novel technique for constructing Oblivious RAMs: specifically, we partition a bigger O-RAM into smaller O-RAMs, and employ a background eviction technique to obliviously evict blocks from the client-side cache into a randomly assigned server-side partition. This novel technique is the key to achieving the gains in practical performance.

研究动机与目标

• 为尽管理论保证强大但长期存在实用化差距的不经意访问内存（O-RAM）提供解决方案。
• 降低现有O-RAM方案中过高的均摊开销和最坏情况开销，这些开销在实际环境中已超过1,400倍。
• 设计一种构造，实现在云存储中高效、私密地访问数据，同时客户端存储极小且延迟低。
• 探索一种新颖的递归分区技术，使实用和理论上的O-RAM构造均能实现更优的渐近性能和实际性能。

提出的方法

• 核心方法将一个大小为$N$个块的大O-RAM划分为$P$个更小的O-RAM，每个大小为$\sqrt{N} + \epsilon$个块，以实现局部化、高效的管理。
• 后台淘汰过程不经意地将块从客户端缓存迁移到随机分配的服务器端分区，确保访问模式保持隐藏。
• 每个块通过基于其分区和层级的伪随机函数（PRF）分配唯一别名，使客户端能够在不暴露真实身份的情况下检索块。
• 使用基于熵的编码和位打包技术对位置映射进行压缩，将每个块的平均存储减少至0.255字节。
• 使用共享范德蒙德矩阵的矩阵压缩技术，在上传过程中通过仅传输$2k$个块（一半真实，一半虚假）的$k$个系数，将带宽减少2倍。
• 递归应用该实用构造，可得到一种理论O-RAM变体，其均摊和最坏情况成本为$O((\log N)^2)$，仅需$O(\sqrt{N})$客户端存储。

实验结果

研究问题

• RQ1 能否设计一种实用的O-RAM构造，使其开销显著低于现有方案，特别是在真实世界的云存储环境中？
• RQ2 如何在保持强隐私保证和低延迟的前提下，最小化客户端存储？
• RQ3 新颖的分区与淘汰机制能否在真实数据规模（如千兆字节级别）下同时提升O-RAM的性能与隐私？
• RQ4 在O-RAM构造中，客户端存储、服务器存储与性能之间的理论与实际权衡关系如何？

主要发现

• 实用O-RAM构造实现了20–35倍的均摊开销，相较于典型配置下最佳先前方案提升了63倍。
• 最坏情况成本为次线性，即$<3\sqrt{N}+o(\sqrt{N})$，显著优于此前具有$O(N\log N)$最坏情况边界的方案。
• 客户端存储被减少至极小比例——O-RAM容量的0.01%至0.3%，在实际部署中与$\sqrt{N}$相当。
• 尽管理论上限为$4N+o(N)$，但服务器端存储在实际中被限制在少于$3.2N$个块，得益于高效的淘汰机制和动态内存使用。
• 使用共享范德蒙德矩阵的矩阵压缩技术，在上传过程中实现2倍带宽减少，且不损害隐私。
• 递归应用实用构造可得到一种理论O-RAM，其均摊和最坏情况成本为$O((\log N)^2)$，仅需$O(\sqrt{N})$客户端存储。