[論文レビュー] Enabling Strong Database Integrity using Trusted Execution Environments

Kai Mast, Lequn Chen+1 more|arXiv (Cornell University)|Jan 5, 2018

Distributed systems and fault tolerance参考文献 47被引用数 5

ひとこと要約

CreDB は、Intel SGX などの Trusted Execution Environments (TEEs) を活用することで、レプリケーションやプルーフ・オブ・ワークを必要とせずにブロックチェーン並みのデータ整合性を提供する信頼できるデータベースシステムです。改ざん防止のトランザクション・ウォッチ、ポリシー制御のデータオブジェクト、タイムラインの監査、保護された関数評価を可能とし、1秒あたり数百件のトランザクションを処理する高パフォーマンスを実現。MongoDB などの NoSQL データベースの即時置き換えとして利用可能です。

ABSTRACT

Many applications require the immutable and consistent sharing of data across organizational boundaries. Because conventional datastores cannot provide this functionality, blockchains have been proposed as one possible solution. Yet public blockchains are energy inefficient, hard to scale and suffer from limited throughput and high latencies, while permissioned blockchains depend on specially designated nodes, potentially leak meta-information, and also suffer from scale and performance bottlenecks. This paper presents CreDB, a datastore that provides blockchain-like guarantees of integrity using trusted execution environments. CreDB employs four novel mechanisms to support a new class of applications. First, it creates a permanent record of every transaction, known as a witness, that clients can then use not only to audit the database but to prove to third parties that desired actions took place. Second, it associates with every object an inseparable and inviolable policy, which not only performs access control but enables the datastore to implement state machines whose behavior is amenable to analysis. Third, timeline inspection allows authorized parties to inspect and reason about the history of changes made to the data. Finally, CreDB provides a protected function evaluation mechanism that allows integrity-protected computation over private data. The paper describes these mechanisms, and the applications they collectively enable, in detail. We have fully implemented a prototype of CreDB on Intel SGX. Evaluation shows that CreDB can serve as a drop-in replacement for other NoSQL stores, such as MongoDB while providing stronger integrity guarantees.

研究の動機と目的

• 公開および許可ブロックチェーンの限界、たとえば高エネルギー消費、スケーラビリティの低さ、パフォーマンスのボトルネックを解消するため、レプリケーションなしで強力なデータ整合性を提供すること。
• 信頼できない当事者間で、改ざん不能で検証可能かつ機密性を保ったデータストレージを必要とするアプリケーションに対して、ブロックチェーンの代替手段として安全でスケーラブルかつ効率的なソリューションを提供すること。
• 改ざん防止のウォッチ、ポリシー制御、保護された関数評価といった TEE ベースのメカニズムを通じて、検証可能で監査可能かつ機密性を保ったデータ整合性とプライバシーを実現すること。
• スマートコントラクトや監査可能性を含む、第三者によるデータ操作およびシステム動作の検証を可能にするが、データベースオペレータへの信頼に依存しないアプリケーションを支援すること。

提案手法

• CreDB は Intel SGX を用いた TEE を活用してデータベースノードを隔離し、正当なコードのみがデータにアクセスまたは変更可能であることを保証することで、強力な整合性を実現する。
• すべてのトランザクションに対して暗号的に安全で検証可能なウォッチを発行し、これによりデータ状態およびトランザクションの順序の改ざん防止証明書が得られる。
• 各データオブジェクトは、Turing 完全言語で表現された不可分なシンボリックポリシーに関連付けられ、TEE によってアクセスおよび動作を制御する。
• タイムライン監査により、承認された当事者が歴史的なデータ変更を監査・分析可能となり、検証可能な監査およびコンプライアンスが可能になる。
• 保護された関数評価により、プライベートデータ上でリモートで整合性が保証された計算が可能となり、結果は入力に対して暗号的に束縛され、ウォッチを用いて検証可能になる。
• 単一ノードでの「1つのブロックチェーン」運用と、複数の TEE ベースノードにわたる連合型展開の両方をサポートし、水平スケーリングを実現する。

実験結果

リサーチクエスチョン

• RQ1 TEE ベースのデータストレージは、従来のブロックチェーンが抱えるパフォーマンスおよびスケーラビリティの制限を克服しつつ、ブロックチェーン並みのデータ整合性保証を提供できるか？
• RQ2 クライアントがデータベースオペレータを完全に信頼できない環境において、検証可能で監査可能かつ改ざん防止のデータ操作をどのように実現できるか？
• RQ3 信頼できないノードが存在する分散環境において、安全でポリシー制御された、かつ分析可能なデータ操作を実現するメカニズムは何か？
• RQ4 入力に対して検証可能な結果が得られるように、TEE を用いてプライベートデータ上で保護された関数評価を効率的かつ安全に実装できるか？
• RQ5 実世界のワークロードにおいて、TEE ベースのデータストレージは、既存の許可および非許可ブロックチェーンと比較して、どのようなパフォーマンスを示すか？

主な発見

• CreDB は、1ノードで数百件の複雑なトランザクションを秒間処理できる高パフォーマンスを達成し、最先端の許可および非許可ブロックチェーンを上回る性能を示した。
• レプリケーションやコンセンサスのオーバーヘッドが不要なため、TEE を用いて整合性を強制することで「1つのブロックチェーン」の動作を実現した。
• ウォッチは暗号的に安全で、独立して検証可能であり、第三者がデータ状態、トランザクション、ポリシー準拠を証明するために利用可能である。
• 意味論的セキュリティポリシーは TEE によって強制され、シンボリックに分析可能であり、第三者による期待される動作の検証が可能になる。
• 保護された関数評価により、プライベートデータ上でリモート計算が可能となり、結果は検証可能で、機密性を保持しながら正しさを保証する。
• Intel SGX 上でのプロトタイプ実装により、CreDB が MongoDB などの NoSQL データベースの即時置き換えとして利用可能であり、より強固な整合性保証を提供することが実証された。