[論文レビュー] Monitoring Data Minimisation

Srinivas Pinisetty, Thibaud Antignac+2 more|arXiv (Cornell University)|Jan 5, 2018

Security and Verification in Computing参考文献 5被引用数 9

ひとこと要約

本稿では、決定的プログラムにおけるデータ最小化の実行時監視の形式的枠組みを提案する。監視器は入力と出力を観測し、最小性の原則に違反するかどうかを検出する。一般に最小性の監視は決定不能であるが、限定的なアルゴリズム的手法を用いた事前デプロイメント環境において、特定の条件下で決定可能性と最小化器合成が達成可能であることを証明する。

ABSTRACT

Data minimisation is a privacy enhancing principle, stating that personal data collected should be no more than necessary for the specific purpose consented by the user. Checking that a program satisfies the data minimisation principle is not easy, even for the simple case when considering deterministic programs-as-functions. In this paper we prove (im)possibility results concerning runtime monitoring of (non-)minimality for deterministic programs both when the program has one input source (monolithic) and for the more general case when inputs come from independent sources (distributed case). We propose monitoring mechanisms where a monitor observes the inputs and the outputs of a program, to detect violation of data minimisation policies. We show that monitorability of (non) minimality is decidable only for specific cases, and detection of satisfaction of different notions of minimality in undecidable in general. That said, we show that under certain conditions monitorability is decidable and we provide an algorithm and a bound to check such properties in a pre-deployment controlled environment, also being able to compute a minimiser for the given program. Finally, we provide a proof-of-concept implementation for both offline and online monitoring and apply that to some case studies.

研究の動機と目的

• 決定的プログラムにおけるデータ最小化の監視可能性を形式的に定義・分析すること、特に入力と出力の関係に焦点を当てる。
• 実行時監視器がモノリシックおよび分散プログラム環境におけるデータ最小化原則の違反を検出可能かどうかを調査すること。
• 事前デプロイメント環境において、最小性を決定し、最小入力表現（最小化器）を合成する手法を開発すること。
• オフラインおよびオンラインの両方のデータ最小化ポリシー監視のための概念実証実装を提供すること。
• ソースコードへのアクセスに依存しないブラックボックスとしてのプログラム処理に拡張すること。

提案手法

• 本稿では、入力集合と出力動作の意味的同値性を用いて、入力と出力の観測に基づき（非）最小性をチェックする形式的監視器を定義する。
• 監視器がすべての可能な入力-出力ペアを実行できる制御された事前デプロイメントテスト環境を導入し、最小性を決定する。
• 入力空間を出力動作を保持する同値類に分割することで、最小化器を計算するための有界アルゴリズムを提案する。
• プログラムの意味を分析し、余分な入力データを同定するために、記号実行とSATソルバーテクニックに依存する。
• 本手法はモノリシックプログラム（単一の入力ソース）と分散プログラム（複数の独立した入力ソース）の両方をサポートする。
• 実世界の事例研究（フライトステータス計算プログラムを含む）に対してフレームワークを評価するための概念実証実装を構築した。

実験結果

リサーチクエスチョン

• RQ1 単一の入力ソース（モノリシックケース）を持つ決定的プログラムにおいて、実行時監視はデータ最小化の違反を検出可能か？
• RQ2 独立した入力ソースを持つ分散プログラムにおいて、非最小性を監視することは可能か？
• RQ3 最小性の監視およびその否定は、どのような条件下で決定可能か？
• RQ4 出力動作を保持する圧縮された入力表現（最小化器）を、プログラムの振る舞いから自動的に合成可能か？
• RQ5 提案された監視フレームワークは、ループや複雑な論理を含む実世界のプログラムにおいて、どのように性能を発揮するか？

主な発見

• 一般に最小性の監視は決定不能であり、モノリシックプログラムでさえも、入力集合間の意味的同値性の決定不能性のためである。
• モノリシックケースおよび強い意味での分散ケースでは非最小性を検出可能であるが、一般の分散ケースでは不可能である。
• 特定の構造的条件下では、事前デプロイメント環境における有界な監視手順により、最小性および非最小性の両方が決定可能である。
• 実世界の事例研究（フライトステータス計算）において、提案されたアルゴリズムは0.02秒未満で最小化器を効率的に計算できた。
• 最小化器合成アプローチにより、入力空間が17個の同値類に分割され、出力動作に影響を与えることなく入力の精度が低下した。
• フレームワークはブラックボックスプログラムをサポートし、ソースコードへのアクセスに依存せず、出力動作のみを必要とする。これに対して、従来のアプローチは記号実行とSATソルバーベースであった。