[論文レビュー] SMCQL: Secure Query Processing for Private Data Networks

Johes Bater, Gregory Elliott+4 more|arXiv (Cornell University)|Jun 22, 2016

Cryptography and Data Security被引用数 13

ひとこと要約

SMCQL は、相互に信頼できない当事者が、生データを暴露せずに共同で SQL クエリの結果を計算できるようにする、プライベートデータネットワーク（PDN）における安全でプライバシー保護されたクエリ処理を可能にする新しいフレームワークである。このフレームワークは、安全な多人数計算（SMC）を活用し、クエリプランナーによって SMC の協調ポイントを最小限に抑えることで、パフォーマンスのオーバーヘッドを顕著に低減しながら、データの機密性を保証する。

ABSTRACT

People and machines are recording data at an unprecedented rate. At the same time, progress has been slow in making data available for open science and other research initiatives. Many of these efforts are stymied by privacy concerns and regulatory compliance issues. For example, numerous hospitals are interested in combining their patient records with those of other healthcare sites for clinical data research, but they cannot disclose the contents of their databases without violating patient confidentiality. We propose a novel generalization of federated database systems called a private data network (PDN), and it is designed for querying over the collective data of mutually distrustful parties. In a PDN, participants do not reveal their raw data, nor do they encrypt and upload it to the cloud. Rather, they perform secure multiparty computation (SMC) with other federation members to produce query results over the data of both parties. Here, a user submits their SQL query to an honest broker that plans and coordinates its distributed execution using SMC. Within SMC, the participating database providers compute a joint function with an output that is only revealed to the user and the honest broker. The databases computing the query learn nothing about the inputs provided by their peers, nor can they see the output of the group's computation. This capability comes at a high cost-SMC programs typically have runtimes that are orders of magnitude slower than their insecure counterparts. We address this challenge with a query planner that automatically identifies the minimal set of coordination points between parties in a given query plan. The planner translates these distributed steps into SMC as needed and feeds the secure code into our query executor. Our framework, SMCQL, plans and executes PDN queries. We are preparing SMCQL for an open-source release.

研究の動機と目的

• 相互に信頼できない当事者（例：病院）間で共同データ分析を可能にするが、患者のプライバシーを損なわないようにする課題に対処すること。
• SMC を用いたデータベースクエリ処理におけるパフォーマンスボトルネックを克服し、SMC 実行における協調ポイントの数を最小限に抑えること。
• 参加するデータベースプロバイダーに入力や出力を明らかにせずに、分散データベース上で標準の SQL クエリを実行できるシステムを設計すること。
• 与えられたクエリプランに対して必要な最小限の SMC 操作のセットを自動的に特定するクエリプランナーを開発すること。
• SMCQL をオープンソースとしてリリースする準備を整え、プライバシー保護型データ分析のスケーラブルなソリューションとしての実用化を図ること。

提案手法

• データベースプロバイダーが中央クラウドにデータをアップロードせず、生データを共有しないプライベートデータネットワーク（PDN）モデルを導入する。
• 誠実なブローカーがユーザーの SQL クエリを受け取り、その分散実行を計画し、参加当事者間で SMC を用いた計算を調整する。
• クエリプランナーがクエリプラン内の最小限の協調ポイントを特定することで、SMC 操作の数を減らし、パフォーマンスを向上させる。
• 識別された協調ポイントを安全な計算プロトコルに変換し、クエリ実行者が SMC 技術を用いて実行する。
• SMC により、参加するデータベースは、相手の入力や最終出力について何ら学習せず、機密性が保たれる。
• システムは標準の SQL クエリをサポートし、リレーショナルデータベース処理パイプライン内に SMC 実行をシームレスに統合できる。

実験結果

リサーチクエスチョン

• RQ1 相互に信頼できない当事者間で共同分析を可能にするために、安全な多人数計算（SMC）をリレーショナルデータベースクエリ処理にどのように効率的に統合できるか。
• RQ2 SMC の下で正しくかつ機密性を保つために、分散クエリプランに必要な最小限の協調ポイントは何か。
• RQ3 クエリプランナーがセキュリティ保証を損なわずに、SMC のパフォーマンスオーバーヘッドを低減できるか。
• RQ4 ユーザーがプライベートで分散されたデータ上で標準の SQL クエリを実行できるようにするには、どのようなシステムアーキテクチャが必要か。
• RQ5 知的な協調ポイント削減によって最適化された SMC を用いたクエリ処理の実用的パフォーマンス特性は何か。

主な発見

• SMCQL は、参加するデータベースプロバイダーに生データや出力を露呈させることなく、プライベートデータネットワークにおける安全でプライバシー保護されたクエリ実行を実現した。
• クエリプランナーにより、SMC の協調ポイントの数が顕著に削減され、単純な SMC 結合に比べてパフォーマンスが向上した。
• フレームワークは標準の SQL クエリをサポートし、リレーショナルデータベース処理パイプライン内に SMC 実行をシームレスに統合できる。
• SMCQL は、参加者が最終クエリ結果に現れる情報以外を学習しないことを保証し、入力および中間計算の機密性を維持する。
• システムはオープンソースリリースを想定して設計されており、医療分野などプライバシーが重要な分野での実際の展開に適している。
• このアプローチは、SMC のオーバーヘッドを最小限に抑えつつ強固なセキュリティ保証を維持する点で、安全なデータ共有における重要なボトルネックを解決する。