[論文レビュー] ObliDB: Oblivious Query Processing using Hardware Enclaves

Saba Eskandarian, Matei Zaharia|arXiv (Cornell University)|Oct 2, 2017

Security and Verification in Computing参考文献 45被引用数 11

ひとこと要約

ObliDB は、Intel SGX ハードウェア エンclaveを用いて、一般向け SQL ワークロード向けにエンド・ツー・エンドの明白でないクエリ処理を実現する新しいデータベース エンジンである。信頼できる実行環境と最適化された明白なデータ構造を組み合わせることで、アクセス パターンを保護する。分析ワークロードでは Opaque より 1.1–19倍の高速化を達成し、ポイント クエリでは 3–10ms の遅延を実現し、HIRB や Spark SQL に近い性能を発揮する。

ABSTRACT

Hardware enclaves such as Intel SGX are a promising technology for improving the security of databases outsourced to the cloud. These enclaves provide an execution environment isolated from the hypervisor/OS, and encrypt data in RAM. However, for applications that use large amounts of memory, including most databases, enclaves do not protect against access pattern leaks, which let attackers gain a large amount of information about the data. Moreover,the naive way to address this issue, using Oblivious RAM (ORAM) primitives from the security literature, adds substantial overhead. A number of recent works explore trusted hardware enclaves as a path toward secure, access-pattern oblivious outsourcing of data storage and analysis. While these works efficiently solve specific subproblems (e.g. building secure indexes or running analytics queries that always scan entire tables), no prior work has supported oblivious query processing for general query workloads on a DBMS engine with multiple access methods. Moreover, applying these techniques individually does not guarantee that an end-to-end workload, such as a complex SQL query over multiple tables, will be oblivious. In this paper, we introduce ObliDB, an oblivious database engine design that is the first system to provide obliviousness for general database read workloads over multiple access methods. ObliDB supports a broad range of queries, including aggregation, joins, insertions, deletions and point queries. We implement ObliDB and show that, on analytics work-loads, ObliDB ranges from 1.1-19x faster than Opaque,a previous oblivious, enclave-based system designed only for analytics, and comes within 2.6x of Spark SQL. ObliDB supports point queries with 3-10ms latency, which runs over 7x faster than HIRB, a previous encryption-based oblivious index system.

研究の動機と目的

• クラウド データベースにおける複雑で複数のアクセス メソッドを含む SQL ワークロードに対して、エンド・ツー・エンドの明白でない性質を提供しない既存のシステムが示す重大なギャップを埋める。
• 強力な隔離とメモリ暗号化にもかかわらず、依然として主要なセキュリティ脅威である、ハードウェア エンクラーブベースのデータベースにおけるアクセス パターンの漏洩を軽減する。
• ジョイン、集計、ポイント クエリ、DML を含む一般向けデータベース操作をサポートするシステムを設計するが、すべてのアクセス メソッドで明白でない性質を維持する。
• データベースワークロードに最適化された ORAM およびアクセス パターン隠蔽技術を用いて、明白な計算のパフォーマンス ペナルティを低減する。

提案手法

• Intel SGX エンクラーブを活用して、ハードウェアで隔離された実行とメモリ暗号化を提供し、安全な計算の信頼できる基盤を構築する。
• アクセス パターンを隠蔽する最適化された明白なデータ構造（例：明白な B ツリー、ハッシュテーブル）を統合し、インデックス検索やデータ取得時のアクセス パターンを隠す。
• クエリ処理の各段階で明白でない性質を強制するクエリ実行エンジンを設計する。これには、ジョインアルゴリズムや集計演算子が含まれる。
• ハードウェアベースの隔離とソフトウェアレベルの明白性を組み合わせたハイブリッドアプローチを採用し、パフォーマンス ペナルティを最小限に抑えつつ、セキュリティを確保する。
• 複数のテーブルやインデックスを横断するアクセス メソッドと実行計画を選択するクエリ最適化器を実装する。
• バッチ処理された明白なメモリアクセスやパイプライン処理された明白な操作などのパフォーマンス最適化を適用し、ORAM 関連のオーバーヘッドを低減する。

実験結果

リサーチクエスチョン

• RQ1 複数のアクセス メソッドを含む複雑な SQL ワークロードに対して、エンド・ツー・エンドの明白でない性質を提供する一般向けデータベース エンジンを構築することは可能か？
• RQ2 強力なセキュリティ保証を維持しつつ、データベース環境における明白な計算のパフォーマンス ペナルティをどのように最小限に抑えることができるか？
• RQ3 ハードウェア エンクラーブと明白なデータ構造をどのように組み合わせれば、実世界の分析ワークロードにおいてセキュリティと実用的パフォーマンスの両立を達成できるか？
• RQ4 パフォーマンスを犠牲にすることなく、ポイント クエリおよび DML 操作に対する明白なクエリ処理を効率的にサポートすることは可能か？

主な発見

• ObliDB は、以前のエナクローブベースの明白な分析システム Opaque より、さまざまな分析ワークロードで 1.1–19倍の高速化を達成した。
• ObliDB のパフォーマンスは、同じ分析ベンチマークで Spark SQL の 2.6倍以内であり、強力な実用的効率性を示している。
• ObliDB はポイント クエリを 3–10ms の遅延で処理でき、以前の暗号化ベースの明白なインデックス システム HIRB よりも 7倍以上速い。
• ジョイン、集計、複数のアクセス メソッドを含む複雑なクエリにおいても、明確にアクセス パターンの漏洩がないことを保証し、明白でない性質を適切に維持した。
• 最適化された明白なデータ構造とハードウェア エンクラーブの統合により、単純な ORAM 応用と比較して、ORAM 関連のパフォーマンス ペナルティが顕著に低減された。
• ObliDB は、実世界のワークロードにおいて使いやすさやパフォーマンスを犠牲にすることなく、エンド・ツー・エンドの明白でない性質がフル DBMS スタックで実現可能であることを示した。