17、调整隐私保证之间的权衡

调整隐私保证之间的权衡

在数据隐私保护领域，如何在保证数据隐私的同时，兼顾系统的性能和成本，是一个至关重要的问题。本文将介绍一种新的隐私页面检索算法，它可以灵活调整隐私保证和计算成本之间的权衡。

1. 符号说明

为了便于理解后续内容，先对文中涉及的符号进行说明：
| 符号 | 描述 |
| — | — |
| n | 数据库大小（页面数量） |
| k | 块大小（页面数量） |
| T | 数据库中的块数（= n/k） |
| m | 缓存容量（页面数量） |
| B | 页面大小（字节） |

2. c - 近似 PIR 定义

以往的方法为了提供完美的查询隐私，会定期使用遗忘置换算法对数据库页面进行重新洗牌。在洗牌操作后，每个数据库页面落在任何可用位置的概率相等（= 1/n），使得任何访问新页面的查询都难以与其他查询区分。

而本文提出了 c - 近似 PIR 的概念，放松了这种严格的约束，允许页面根据非均匀分布落在不同的磁盘位置。具体定义如下：
若在将单个页面 p 移动到磁盘的新位置后，对于任意一对磁盘位置 li 和 lj，页面 p 落在位置 li 的概率最多是落在位置 lj 概率的 c 倍，则该方案提供 c - 近似 PIR。

c 值是该方法的隐私参数，它决定了单个页面重定位过程分布的可变性。c 值越小，隐私性越好；当 c = 1 时，提供完美隐私（等同于 PIR）。

3. 对抗模型

假设对手是服务器本身，其目标是获取有关请求页面 id 的任何非平凡信息。由于底层的安全 SSL 连接，客户端