Recommended
More Related Content
Viewers also liked
Viewers also liked (19)
Similar to 秘密計算を用いた時系列情報の安全な集計方法
Similar to 秘密計算を用いた時系列情報の安全な集計方法 (20)
Recently uploaded
Recently uploaded (9)
秘密計算を用いた時系列情報の安全な集計方法
- 1. 秘密計算を用いた 時系列情報の 安全な集計方法 奈良成泰 天田拓磨 西出隆志 土井洋 吉浦裕
- 2. 目次 • 背景と目的 • 先行研究 • 時系列情報の集計問題の定式化 • 集計方式 • 結論
- 6. 目次 • 背景と目的 • 先行研究 • 時系列情報の集計問題の定式化 • 集計方式 • 結論
- 7. 先行研究[Shamir1979][Catrina2010] • マルチパーティ計算(MPC) • シェアを秘匿したまま演算が可能 • 和・積・等号判定・大小比較等を行うプロトコルが存在 (MPC)
- 8. 先行研究[Goldreich1987] • Oblivious Random Access Machine(ORAM) データを安全に検索・管理するための手法 利用方法 • データの値の秘匿 • アクセスの頻度・順序・間隔（アクセスパターン）の秘匿 ORAMの満たす要件 • クライアントの鍵を用いて暗号化されたデータを， クラウド等の外部のサーバに預ける • クライアントから検索が行われる度に， アクセスされたデータの格納位置を変更 本研究では，ORAMの代表例としてPath ORAMを用いる
- 9. 先行研究[Stefanov2013][Shi2011] • PathORAM 索引 作業領域 二分木(データ) 11 24 34 52 55 19 39 ID パス 34 3 52 2 サーバクライアント ①入力： ID ④出力： データ ②IDが含まれる パスを要求 ③パスを受け取り 復号する ⑥パスを上書きする 二分木内の データは暗号化 されている ⑤受け取ったデータを ランダムに並び換え， 再暗号化する 大量のデータを扱う場合 索引が膨大となる 1 2 3 4
- 10. 先行研究[Stefanov2013][Shi2011] • 再帰的PathORAM 索引 二分木(データ) サーバクライアント ID パス 34 3 35 1 36 4 37 1 ID パス 34~35 2 36~37 1 何行ずつまとめる もとの索引 小さい 索引 1 2 3 4 1 2 11 24 34 52 55 19 39 二分木(索引)
- 11. 先行研究[Stefanov2013][Shi2011] • 再帰的PathORAM 索引 二分木 サーバクライアント ID パス 34 3 35 1 ID パス 34~35 2 36~37 1 もとの索引 の一部 小さい 索引 1 2 3 4 1 2 11 24 34 52 55 19 39 二分木(データ) 二分木(索引)
- 12. 先行研究[Keller2014][西田2014] • マルチパーティ計算(MPC) による PathORAM のシミュレーション サーバ2 サーバ1 サーバ3 索引 作業領域 二分木 索引 作業領域 二分木 索引 作業領域 二分木 マルチパーティ 計算(MPC) シェア結果のシェア 検索要求 結果のシェア 検索要求 結果のシェア 検索要求 全てのデータはシェアの形で配置 クライアント
- 14. 目次 • 背景と目的 • 先行研究 • 時系列情報の集計問題の定式化 • 集計方式 • 結論
- 16. 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 0 0 … 𝑴𝑨𝑪 𝑩 0 0 … 𝑴𝑨𝑪 𝑪 0 0 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 0 0 … 𝑴𝑨𝑪 𝑪 0 0 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 0 0 … 𝑴𝑨𝑪 𝑪 0 0 … … … … … 𝐴𝑃1 𝐴𝑃2 … 𝑀𝐴𝐶𝐴 1 0 … 𝑀𝐴𝐶 𝐵 1 0 … 𝑀𝐴𝐶 𝐶 0 0 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 0 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 1 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 1 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 2 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 2 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 1 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 2 … … … … … 時系列情報の 収集例 1 2 サーバWiFi基地局 (アクセスポイント) 端末を持っている人 交信情報 (MAC,AP) 交信情報 (MAC,AP) DB 70兆 ⊃ 1億 10万 ∩ 1000万 どの部分集合なのか 予め分らない MACアドレス の総数 アクセスポイントの総数
- 17. 時系列情報の集計 • 時系列情報を全て受け取った後にまとめて集計するのではなく 受け取るごとに（リアルタイムに）集計に加える • 集計を行う際，受け取る値が可能な値のうちのどの部分集合であるか， 予め分からない 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 0 0 … 𝑴𝑨𝑪 𝑩 0 0 … 𝑴𝑨𝑪 𝑪 0 0 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 0 0 … 𝑴𝑨𝑪 𝑪 0 0 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 0 0 … 𝑴𝑨𝑪 𝑪 0 0 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 0 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 0 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 1 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 1 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 2 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 0 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 2 … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 1 1 … 𝑴𝑨𝑪 𝑩 1 0 … 𝑴𝑨𝑪 𝑪 0 2 … … … … …総数 受け取る数 MACアドレス 70兆 1億 アクセスポイント 1000万 10万
- 19. 目次 • 背景と目的 • 先行研究 • 時系列情報の集計問題の定式化 • 集計方式 • 例題と用語の定義 • 二分探索方式 • アクセスパターン単純秘匿方式 • MPC版のPathORAM利用方式 • MPC版の再帰的PathORAM利用方式 • 結論
- 20. 例題 1 2 秘密分散 [𝑀𝐴𝐶, 𝐴𝑃] 1 [𝑀𝐴𝐶, 𝐴𝑃] 2 [𝑀𝐴𝐶, 𝐴𝑃] 3 端末を持っている人 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 [1] [1] … [𝑴𝑨𝑪 𝑩] [1] [0] … 𝑴𝑨𝑪 𝑪 [0] [2] … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 [1] [1] … [𝑴𝑨𝑪 𝑩] [1] [0] … 𝑴𝑨𝑪 𝑪 [0] [2] … … … … … 𝑨𝑷 𝟏 𝑨𝑷 𝟐 … 𝑴𝑨𝑪 𝑨 [1] [1] … [𝑴𝑨𝑪 𝑩] [1] [0] … 𝑴𝑨𝑪 𝑪 [0] [2] … … … … … [x]は、xの分散データ MPC シェア シェア
- 21. 定義・記法 M<<Tである 𝑇 世界のMACアドレスの数 (70兆) 𝑀 今回、送られてくるデータのMACアドレスの数の上限 (1億) ℓ MACアドレスを表現するビット長は、ℓ = log 𝑇となる ※東京都内でMACアドレスを収集する場合 • 各値は秘匿されているものとする • 以下の集計方式の説明では簡単のため、APとMACの2次元ではなく、 MACのみの1次元で行う
- 22. 集計方式 二分探索 MAC カウンタ 2 6 5 12 9016 4 12310 17 ℓbit ℓbit MAC 1076 等号判定と大小比較を使い 二分探索を行う • ラウンド数・・・𝑂 log 𝑀 • 通信量・・・𝑂 ℓ log 𝑀 • メモリ使用量・・・𝑂 ℓ𝑀 bit MAC カウンタ 2 6 5 12 1076 1 9016 4 12310 17 ℓbit ℓbit MAC 1076 同じMACが 見つからない場合は 新しく一行加える 送られてきたデータ 送られてきたデータ 昇 順 昇 順
- 23. 集計方式 二分探索 MAC カウンタ 2 6 5 12 1076 1 9016 4 12310 17 MAC 5 等号判定と大小比較を使い 二分探索を行う • ラウンド数・・・𝑂 log 𝑀 • 通信量・・・𝑂 ℓ log 𝑀 • メモリ使用量・・・𝑂 ℓ𝑀 bit MAC カウンタ 2 6 5 12+1 1076 1 9016 4 12310 17 MAC 5 同じMACを 見つけたときに カウンターに1を加える 送られてきたデータ 送られてきたデータ ℓbit ℓbit ℓbit ℓbit 昇 順 昇 順
- 24. 集計方式 二分探索 • 問題点 • アクセスパターン(アクセスの頻度・順序・間隔)が漏洩す るため • どこに新しく行を追加したのか分かる • どの行の値が加算されるのかが分かる 生成する行列の要素が漏洩する
- 25. 集計方式 二分探索 • 問題点 • 例 MAC カウンタ 2 6 5 13 1076 1 9016 4 12310 17 アクセスした 回数と場所 6 13 1 4 17 ＝ アクセスパターンから カウンタの値が漏洩
- 26. 集計方式 二分探索 • 問題点 • 例 MAC カウンタ [2] 6 [5] 13 [1076] 1 [9016] 4 [12310] 17 MAC アクセス 回数と場所 ？ 6 ？ 13 ？ 1 ？ 4 ？ 17 ＝ アクセスパターンから カウンタの値が漏洩 漏洩したアクセスパターン 生成する表
- 27. 集計方式 アクセスパターン単純秘匿 # MAC カウンタ 1 2 6+(2=5) 2 5 12+(5=5) … … … p ダミー 0+(ダミー=5) … … … M-1 ダミー 0+{ダミー=5} M ダミー 0+(ダミー=5) ℓbit ℓbit M 行 ℓbit MAC 5 ポインタ p 送られてきたデータ ダミーデータが入っている 一番最初の行番号 全MACに対して 等号判定を行う 等号判定の結果を 足し合わせたものを𝑥 とする 等号判定の 結果を カウンタに 加える 𝑦 = 𝑝 × (1 − 𝑥)とする • ラウンド数・・・𝑂 1 • 通信量・・・𝑂 ℓ𝑀 • メモリ使用量・・・𝑂 ℓ𝑀 bit 送られてきたデータが行列に 存在しない場合，𝑦 = 𝑝となる 存在する場合，𝑦 = 0となる
- 28. 集計方式 単純アクセスパターン秘匿 ポインタ p # MAC カウンタ 1 2*{1-(y=1)}+5*(y=1) 6+(y=1) 2 5*{1-(y=2)}+5*(y=2) 13+(y=2) … … … p ダミー*{1-(y=p)}+5*(y=p) 0+(y=p) … … … M-1 ダミー*{1-(y=M-1)}+5*(y=M- 1) 0+{y=(M-1)} M ダミー *{1-(y=M)}+5*(y=M) 0+(y=M) 送られてきたデータが、行列に存在しない場合、 ダミーと送られてきたデータをいれかえる • ラウンド数・・・𝑂 1 • 通信量・・・𝑶 ℓ𝑴 • メモリ使用量・・・𝑂 ℓ𝑀 bit 𝑦 = 𝒑 × (1 − 𝑥) ポインタ 𝒑 + (1 − 𝑥) 問題点・・・ 全行に対して 等号判定を 行うので 通信量が 大きくなる
- 29. 行番号 MAC パス番号 1 107 2 … … … M ダミー 54 集計方式 MPC版のPathORAMを利用 行番号 MAC パス番号 1 107 2→47 … … … M ダミー 54 MAC カウンタ パス番号 … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … 107 15 2 … … … … … … … … … … … … … … パス番号：𝑥 𝑥 = 1 𝑥 = 2 𝑥 = 𝑀 2 パス番号：2 ① ②③ MAC カウンタ パス番号 107 15 2 … … … パスを選択 パスを作業領域に展開 検 索 索引 作業領域 二分木 MAC 107 送られてきたデータ MAC カウンタ パス番号 107 15+1 47 … … …M 行
- 30. 集計方式 MPC版のPathORAMを利用 • ラウンド数・・・𝑂 log 𝑀 • 通信量・・・𝑶 ℓ𝑴 • メモリ使用量・・・𝑂 ℓ𝑀 bit MAC カウンタ パス番号 … … … 107 16 47 … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … … パス番号：𝑥 𝑥 = 1 𝑥 = 2 𝑥 = 𝑀 2 ④ ⑤上書き MAC カウンタ パス番号 107 16 47 … … … 再 配 置 索引 作業領域 二分木 行番号 MAC パス番号 1 107 2→47 … … … M ダミー 54 M 行 問題点・・・ 索引の 参照を行う際の 通信量が大きい
- 31. 集計方式 MPC版の再帰的PathORAM MAC 107 送られてきたデータ 索引 二分木(データ) MAC パス番号 106 3 107 3 108 1 109 2 110 2 111 4 MAC パス番号 106~108 2 109~111 1 MAC ダミー 31 19 1 57 107 48 もとの 索引 小さい 索引 109~111 ダミー 106~108 パス番号： 1 2 3 4 パス番号： 1 2 例：χ = 3 サイズ： 1 χ 𝑇(70兆) 𝑇 χ もとの 二分木 χ行ずつ索引をまとめる もとの索引がT行 であると メモリが膨大となる 二分木(索引)
- 32. 集計方式 MPC版の再帰的PathORAM MAC ハッシュ値 107 2 送られてきたデータ 索引 二分木(データ) ハッシュ値 パス番号 1 3 2 3 3 1 4 2 5 2 6 4 ハッシュ値 パス番号 1~3 2 4~6 1 MAC ハッシュ値 ダミー ダミー 31 4 19 2 1 3 57 5 107 2 48 6 もとの 索引 小さい索引 4~6 ダミー 1~3 パス番号： 1 2 3 4 パス番号： 1 2 例：χ = 3 サイズ： 1 χ 𝑀(1億) 𝑀 χ もとの 二分木 χ行ずつ索引をまとめる 1 ≤ 𝐻𝑎𝑠ℎ(𝑀𝐴𝐶) ≤ 𝑀 とする 二分木(索引)
- 33. 集計方式 MPC版の再帰的PathORAM 索引 二分木 ハッシュ値 パス番号 1 3 2 3 3 1 ハッシュ値 パス番号 1~3 2 4~6 1 MAC ハッシュ値 ダミー ダミー 31 4 19 2 1 3 57 5 107 2 48 6 もとの索引 の一部 小さい 索引 もとの 二分木 4~6 ダミー 1~3 パス番号： 1 2 3 4 パス番号：1 2 パス：2 • ラウンド数・・・𝑂 log 𝑀 2 log χ • 通信量・・・𝑂 log 𝑀 3ℓ log χ • メモリ使用量・・・𝑂 ℓ𝑀 bit χ<<M ならば ハッシュ値でパスを取り出し、 MACで検索する MAC ハッシュ値 107 2 送られてきたデータ 二分木(索引)
- 34. 集計方式 MPC版の再帰的PathORAM 索引 二分木 ハッシュ値 パス番号 1 3 2 3 3 1 MAC ハッシュ値 ダミー ダミー 31 4 19 2 1 3 57 5 107 2 48 6 もとの 索引 もとの 二分木 パス番号： 1 2 3 4 χ<<M ならば ①ハッシュ値でパスを取り出す。 作業領域 MAC ハッシュ値 107 2 送られてきたデータ MAC ハッシュ値 ダミー ダミー 19 2 107 2 ② MAC ア ド レ ス で 検 索 • ラウンド数・・・𝑂 log 𝑀 2 log χ • 通信量・・・𝑂 log 𝑀 3ℓ log χ • メモリ使用量・・・𝑂 ℓ𝑀 bit
- 35. 各方式の具体的なコスト ラウンド数 二分探索 アクセス パターン秘匿 PathORAM 再帰的 PathORAM オーダ 𝑂 log 𝑀 𝑂 1 𝑂 log 𝑀 𝑂 log 𝑀 2 具体値 270 10 440 3520 [Catrina2010]を参考にした場合の 乗算プロトコルの実行回数で見積もる 通信量 二分探索 アクセス パターン秘匿 PathORAM 再帰的 PathORAM オーダ 𝑂 ℓ log 𝑀 𝑂 ℓ𝑀 𝑂 ℓ𝑀 𝑂 log 𝑀 3 ℓ 具体値 5076 2.76 × 1010 2.76 × 1010 3.37 × 106 情報が漏洩する = < アクセスパターン 秘匿方式に劣る
- 36. 各方式の具体的なコスト ラウンド数 アクセス パターン秘匿 オーダ 𝑂 1 具体値 10 [Catrina2010]を参考にしたい場合の 乗算プロトコルの実行回数で見積もる 通信量 アクセス パターン秘匿 オーダ 𝑂 ℓ𝑀 具体値 2.76 × 1010 再帰的 PathORAM 𝑂 log 𝑀 2 3520 再帰的 PathORAM 𝑂 log 𝑀 3ℓ 3.37 × 106 350倍 1 10000 倍 大規模なシステム場合，通信量の方が支配的である[五十嵐2013]
- 37. ハッシュ関数を利用した 再帰的PathORAMの破綻確率 • ハッシュ値の衝突が原因となり 再帰的PathORAMが破綻する • 初期状態を変えながら 1億回の検索を100万回行ったが， 再帰的PathORAMは破綻しなかった． 初期状態 データの値域 1~100億 ハッシュ値の値域 1~1億 格納データ数 1億 二分木の大きさ 7億 一時領域の大きさ 700
- 38. 目次 • 背景と目的 • 先行研究 • 時系列情報の集計問題の定式化 • 集計方式 • システムモデルと用語の定義 • 二分探索方式 • 単純アクセスパターン秘匿方式 • MPC版のPathORAM利用方式 • MPC版の再帰的PathORAM利用方式 • 結論
- 39. 結論 • 時系列情報の安全な集計問題を定式化 • MPCとORAMを用いた4つの集計方式を提案した • 索引が超巨大な場合における ハッシュ関数を使った再帰的PathORAMを 実行する手法を提案した ラウンド数 通信量 二分探索 ― ― アクセスパターン秘匿 〇 △ PathORAM 〇 △ 再帰的PathORAM △ 〇
Editor's Notes
- したのスライドと一つのぺージにする
- ソートされている様子をかく
- アクセスパターンのことも上に入れろ 行列といっていいのかな？
- 行列なのかな
- 全行に対して等号判定をするので通信量が大きくなることを説明する
- pathORAMを使った理由の説明を加える
- ・電子投票の分野でいままでなかったか。 ・改善すべきことはなにか ・