[論文レビュー] Design and Implementation of a Blockchain-based Consent Management System

Nathaniel Aldred, Luke Baal+3 more|arXiv (Cornell University)|Dec 20, 2019

Privacy-Preserving Technologies in Data参考文献 4被引用数 6

ひとこと要約

本論文は、GDPRの原則に整合するように、エンドユーザーが自身の個人データへのアクセスを制御できる、許可型ブロックチェーンベースの同意管理システムを提案する。このシステムは、政府機関がポリシー規則を定義することで、透明かつ改ざん不可能な形で同意を付与または取り消すことを可能にし、プライバシー設計の原則に準拠している。

ABSTRACT

A blockchain is a distributed ledger forming a distributed consensus on a history of transactions. It is the underlying technology for the Bitcoin cryptocurrency, but there are many applications beyond the financial sector. With built-in security and removal of the need for third party trust, blockchain has started to see some use within contract applications among other things. In this paper, we present the design and implementation of a permissioned-based blockchain third party consent management system, whose policy can be decided by a government agency. We have constructed a proof of concept implementation using Hyperledger Fabric to provide a service that allows end-users to control and consent to who manages their private information. We believe our solution meets the guiding principles of EU General Data Protection Regulation or GDPR. While our performance and usability evaluation are limited, our solution design and its implementation meet the 7 foundational principles of privacy by design.

研究の動機と目的

• エンドユーザーが自身の個人データへのアクセスを制御できる分散型の同意管理システムを設計すること。
• 技術的およびアーキテクチャ的設計を通じて、EU一般データ保護規則（GDPR）に整合すること。
• 許可型ブロックチェーンを用いて、同意ポリシーを強制するプロトタイプ実装を実現すること。
• データ保護におけるプライバシー設計の7つの基盤的原則を満たすこと。
• 同意の記録および管理に、信頼性がなく、改ざんが不可能で、監査可能なメカニズムを提供すること。

提案手法

• 本システムは、暗号的に安全で改ざん不可能な形で同意取引を記録する、Hyperledger Fabric上に構築された許可型ブロックチェーンを用いる。
• エンドユーザーが発行する同意トークンはブロックチェーン上に保存され、アクセスポリシーは政府機関によって定義され、実装される。
• ブロックチェーン上にデプロイされたスマートコントラクトを通じて、動的同意の取消しと監査ログの両方をサポートするアーキテクチャを実現する。
• ユーザーのアイデンティティと同意データは、プライバシーを保持するためのゼロ知識証明メカニズムを介して管理される。
• 承認された当事者だけが同意記録にアクセスまたは変更できるよう、ロールベースのアクセス制御（RBAC）を確保する。
• モジュラー設計により、既存のデータ処理システムとの統合が可能であり、GDPR準拠のデータパイプラインとも相互運用性を有する。

実験結果

リサーチクエスチョン

• RQ1 ブロックチェーンベースのシステムは、GDPR準拠を確保しつつ、同意管理を効果的に分散化できるか？
• RQ2 許可型ブロックチェーンを用いることで、信頼性のない環境においてポリシー定義された同意ルールをどのように強制できるか？
• RQ3 提案されたシステムは、プライバシー設計の7つの原則をどの程度満たしているか？
• RQ4 スマートコントラクトを用いて動的同意および取消しを管理することは、実現可能か？
• RQ5 監査可能性とデータ整合性を維持しつつ、ユーザーのプライバシーをどのように保護できるか？

主な発見

• 提案されたシステムは、ユーザーの自律性とデータ主権を支援する分散型の同意管理フレームワークを効果的に実装した。
• Hyperledger Fabricの使用により、効率的でスケーラブルかつ許可型の取引処理が可能となり、同意ログ記録に適している。
• システムの設計は、GDPRが定めるプライバシー設計の7つの基盤的原則をすべて満たしている。
• 実装により、同意記録が改ざん不可能であり、ブロックチェーンの改ざん不可能性を通じて暗号的に検証可能であることが示された。
• パフォーマンスおよびユーザビリティの評価が限定的であるものの、実世界への展開に技術的に実現可能であることが示された。
• 政府機関が定義したポリシーをブロックチェーンの論理に統合することで、規制準拠性と強制可能性が保証された。