[論文レビュー] An Efficient Oblivious Database for the Public Cloud

Saba Eskandarian, Matei Zaharia|arXiv (Cornell University)|Oct 2, 2017

Cryptography and Data Security被引用数 1

ひとこと要約

ObliDB は、Intel SGX エンclaveを用いて、一般向け SQL ワークロードを対象とした、アクセスパターン漏洩れを防ぐセキュアなオーバーサイドデータベースエンジンである。複数のストレージエンジンにまたがってオーバーサイドデータ構造およびアクセスメソッドを統合することで、分析ワークロードにおいて Spark SQL に比べて最大 2.6 倍のパフォーマンスオーバーヘッドに抑え、ポイントクエリを 3–10ms で処理可能にし、従来の暗号化ベースのシステムより 7 倍以上高速である。

ABSTRACT

Hardware enclaves such as Intel SGX are a promising technology for improving the security of databases outsourced to the cloud. These enclaves provide an execution environment isolated from the hypervisor/OS, and encrypt data in RAM. However, for applications that use large amounts of memory, including most databases, enclaves do not protect against access pattern leaks, which let attackers gain a large amount of information about the data. Moreover,the naive way to address this issue, using Oblivious RAM (ORAM) primitives from the security literature, adds substantial overhead. A number of recent works explore trusted hardware enclaves as a path toward secure, access-pattern oblivious outsourcing of data storage and analysis. While these works efficiently solve specific subproblems (e.g. building secure indexes or running analytics queries that always scan entire tables), no prior work has supported oblivious query processing for general query workloads on a DBMS engine with multiple access methods. Moreover, applying these techniques individually does not guarantee that an end-to-end workload, such as a complex SQL query over multiple tables, will be oblivious. In this paper, we introduce ObliDB, an oblivious database engine design that is the first system to provide obliviousness for general database read workloads over multiple access methods. ObliDB supports a broad range of queries, including aggregation, joins, insertions, deletions and point queries. We implement ObliDB and show that, on analytics work-loads, ObliDB ranges from 1.1-19x faster than Opaque,a previous oblivious, enclave-based system designed only for analytics, and comes within 2.6x of Spark SQL. ObliDB supports point queries with 3-10ms latency, which runs over 7x faster than HIRB, a previous encryption-based oblivious index system.

研究の動機と目的

• データベース操作中のアクセスパターン漏洩に対するハードウェアエナclaveの主な制限を解消すること。
• ジョイン、集計、ポイントクエリを含む一般向け SQL ワークロードに対してエンドツーエンドのオーバーサイド性を保証するシステムを設計すること。
• 従来の ORAM ベースやエナclave専用のアプローチと比較して、オーバーサイドデータベース操作のパフォーマンスオーバーヘッドを低減すること。
• インデックスやスキャンなどの複数のアクセスメソッドをサポートしながら、すべてのクエリ実行パスでオーバーサイド性を維持すること。
• 分析ワークロードにおいて低遅延のポイントクエリと高スループットを実現し、Spark SQL のような信頼できないシステムと同等またはそれ以上のパフォーマンスを達成すること。

提案手法

• オーバーサイドデータ構造（例：オーバーサイド B ツリー、ハッシュテーブル）をデータベース管理システム（DBMS）エンジンに統合する、複数レイヤー構造のオーバーサイドストレージ抽象化を設計すること。
• ハードウェアエナclaveを用いて計算を隔離し、メモリ内データを暗号化する一方で、すべてのデータ構造に ORAM に類似した技術を適用してアクセスパターンを隠蔽すること。
• すべてのアクセスシーケンス（入力やクエリタイプに関係なく）が統計的に区別不能になるように保証する、オーバーサイドクエリプランナを通じてクエリ実行を調整すること。
• 3–10ms の遅延で効率的なポイントルックアップを可能にするオーバーサイドインデックス構造を実装すること。これは、従来の暗号化ベースのオーバーサイドインデックスと比較して顕著に高速である。
• バッチ処理およびパイプライン処理を用いたオーバーサイド操作により、全テーブルスキャン、集計、等価ジョインをオーバーサイドに適合させることで、分析ワークロードに最適化すること。
• エンドツーエンドのオーバーサイド性を保証するため、システム全体をフル DBMS エンジンスタックに統合すること。これにより、複数テーブルクエリやトランザクション処理に対しても、安全な動作が可能になる。

実験結果

リサーチクエスチョン

• RQ1 ハードウェアエナclave上で、ジョイン、集計、ポイントクエリを含む一般向け SQL ワークロードに対してエンドツーエンドのオーバーサイド性を提供できるデータベース管理システム（DBMS）エンジンを設計できるか？
• RQ2 アクセスパターン漏洩に対する強いセキュリティ保証を維持しつつ、オーバーサイドデータベース操作のパフォーマンスオーバーヘッドを最小限に抑える方法は何か？
• RQ3 オーバーサイドデータ構造を、効率を損なわず、複数のアクセスメソッド（例：インデックス、スキャン）をサポートするフルスタックの DBMS エンジンに統合できる範囲はどの程度か？
• RQ4 エナclaveベースのオーバーサイド DBMS のパフォーマンスは、従来のオーバーサイドシステムおよび信頼できない分析エンジン（例：Spark SQL）と比較してどの程度か？
• RQ5 実世界のワークロード下でもセキュリティを保持しつつ、低遅延のポイントクエリ（例：10ms 未満）を実現できるオーバーサイドインデックス方式は実現可能か？

主な発見

• ObliDB は、分析ワークロードに特化した従来のエナclaveベースのオーバーサイドシステム Opaque より、1.1–19 倍のパフォーマンス向上を達成した。
• 分析ワークロードにおいて、ObliDB は Spark SQL に比べて最大 2.6 倍のパフォーマンスオーバーヘッドに抑えられ、強いオーバーサイド性保証のもとで高い効率性を示した。
• ObliDB はポイントクエリを 3–10ms で処理可能であり、これは HIRB と呼ばれる従来の暗号化ベースのオーバーサイドインデックスシステムより 7 倍以上高速である。
• 複数テーブルの SQL クエリ、特にジョインや集計を含む複雑なクエリにおいても、アクセスパターンを露呈せずにオーバーサイド性を維持できた。
• ハードウェアエナclaveと最適化されたオーバーサイドデータ構造を組み合わせることで、セキュアなデータベースシステムと信頼できないシステムとのパフォーマンスギャップを縮小した。
• 複数のアクセスメソッド（例：インデックス、スキャン）を統合した一元的なオーバーサイド実行エンジンの統合により、強力なセキュリティを備えた汎用データベース機能を実現できた。