[論文レビュー] SmartCoAuth: Smart-Contract privacy preservation mechanism on querying sensitive records in the cloud

Muhammed Siraj, Mohd Izuan Hafez Ninggal+3 more|arXiv (Cornell University)|Apr 6, 2020

Blockchain Technology Applications and Security参考文献 5被引用数 5

ひとこと要約

SmartCoAuthは、Ethereumスマートコントラクトを活用したブロックチェーンベースのフレームワークを提案し、医療データなどの機密性の高いクラウド保存記録に対するプライバシー保護型アクセス制御を実現する。改ざん防止で分散型の認証および承認メカニズムを用いることで、信頼性のない環境においても、安全で透明性があり、監査可能な照会を実現するとともに、データのプライバシーを保持する。

ABSTRACT

Sensitive records stored in the cloud such as healthcare records, private conversation and credit card information are targets of hackers and privacy abuse. Current information and record management systems have difficulties achieving privacy protection of such sensitive records in a secure, transparent, decentralized and trustless environment. The Blockchain technology is a nascent and a promising technology that facilitates data sharing and access in a secure, decentralized and trustless environment. The technology enables the use of smart contracts that can be leveraged to complement existing traditional systems to achieve security objectives that were never possible before. In this paper, we propose a framework based on Blockchain technology to enable privacy-preservation in a secured, decentralized, transparent and trustless environment. We name our framework SmartCoAuth. It is based on Ethereum Smart Contract functions as the secure, decentralized, transparent authentication and authorization mechanism in the framework. It also enables tamper-proof auditing of access to the protected records. We analysed how SmartCoAuth could be integrated into a cloud application to provide reliable privacy-preservation among stakeholders of healthcare records stored in the cloud. The proposed framework provides a satisfactory level of data utility and privacy preservation.

研究の動機と目的

• 機密性の高いクラウド保存記録（例：医療データ）のプライバシー侵害や不正アクセスから保護する課題に対処すること。
• クラウドベースの機密記録向けに、分散型で信頼性がなく、透明性のあるアクセス制御メカニズムを設計すること。
• スマートコントラクトをクラウドアプリケーションに統合し、中央集権的な機関に依存せずに細かく制御されたアクセスポリシーを強制すること。
• 監査可能性と責任の所在を確保するため、改ざん防止の監査ログを用いてアクセス要求と意思決定を透明かつ改ざん防止で記録すること。

提案手法

• フレームワークは、分散型認証および承認のコアメカニズムとしてEthereumスマートコントラクトを採用する。
• アクセス制御ポリシーはスマートコントラクトに直接埋め込まれ、プライバシー規則のプログラム的強制を保証する。
• 各アクセス要求はスマートコントラクトによって検証され、ユーザーの権限を確認し、ブロックチェーン上に取引をログ記録する。
• システムは役割ベースのアクセス制御（RBAC）をサポートし、セキュアなAPIゲートウェイを介して既存のクラウドストレージシステムと統合可能である。
• すべてのアクセスイベントはブロックチェーン上に暗号的にログ記録され、改ざん不能な監査証跡を提供する。
• アーキテクチャは、生の記録への直接アクセスを制限することで、データ機密性を確保し、ポリシー検証に成功した場合にのみ記録が公開される。

実験結果

リサーチクエスチョン

• RQ1 スマートコントラクトをどのように活用して、分散型クラウド環境における機密記録の細かく制御されたアクセス制御を実現できるか？
• RQ2 信頼性のないブロックチェーンベースのシステムにおいて、データの有用性を保ちながらプライバシーをどのように保護できるか？
• RQ3 ブロックチェーン技術を用いて、機密記録へのアクセスをどのように透明かつ改ざん防止で監査できるか？
• RQ4 このようなフレームワークを実世界のクラウドアプリケーション（例：電子的健康記録システム）に統合する可能性はどの程度か？
• RQ5 分散型環境において、セキュリティ、プライバシー、パフォーマンスのバランスをどのようにとれるか？

主な発見

• フレームワークは、Ethereumスマートコントラクトを用いて、安全で分散型かつ監査可能な機密記録へのアクセスを実現した。
• すべてのアクセス意思決定がブロックチェーン上に暗号的にログ記録され、データアクセスイベントの改ざん防止監査性が保証された。
• ポリシーに基づくアクセス制御により、プライバシーを保持しつつ、十分なデータ有用性を達成した。
• プロトタイプ実装により、クラウドアプリケーションへの統合が可能であることが実証された。特に医療データのユースケースを想定した。
• システムは役割ベースのアクセス制御をサポートし、スマートコントラクトによるポリシー強制により不正アクセスを防止した。
• 中央集権的機関への依存を排除することで、データアクセスワークフローにおける信頼性と透明性が向上した。