[論文レビュー] VAMS: Verifiable Auditing of Access to Confidential Data

Alexander Hicks, Vasilios Mavroudis+3 more|arXiv (Cornell University)|May 12, 2018

Privacy-Preserving Technologies in Data参考文献 78被引用数 3

ひとこと要約

VAMS は、改ざん検知可能なログ、ユーザー固有のログタグ付け、およびプライバシー損失が最小限の公開検証統計を可能にする ThreeBallot の新規拡張である MultiBallot を用いて、機密データへのアクセスを透明かつプライバシーを守る形で監査可能なシステムである。評価では、Hyperledger Fabric および Trillian の実装が、医療や法執行機関のデータアクセスといった実世界のユースケースにおいて実用的であることが示された。

ABSTRACT

We propose VAMS, a system that enables transparency for audits of access to data requests without compromising the privacy of parties in the system. VAMS supports audits on an aggregate level and an individual level, by relying on three mechanisms. A tamper-evident log provides integrity for the log entries that are audited. A tagging scheme allows users to query log entries that relate to them, without allowing others to do so. MultiBallot, a novel extension of the ThreeBallot voting scheme, is used to generate a synthetic dataset that can be used to publicly verify published statistics with a low expected privacy loss. We evaluate two implementations of VAMS, and show that both the log and the ability to verify published statistics are practical for realistic use cases such as access to healthcare records and law enforcement access to communications records.

研究の動機と目的

• 医療記録や通信メタデータなどの機密データへのアクセス監査における透明性と信頼の欠如を是正すること。
• 個人のプライバシーやデータアクセスの正当性を損なわず、監査の整合性を保証すること。
• 集計レベルおよび個別レベルの両方の監査を、公開検証可能かつ改ざん検知可能なものにすること。
• 微分プライバシー手法とは異なり、プライバシーバジェットを消費せずに、継続的かつ再利用可能なデータアクセスを監査可能にすること。
• コアコンponentsを置き換えずに既存のデータワークフローに統合可能な軽量で拡張可能なオーバーレイシステムを提供すること。

提案手法

• 改ざん検知可能なログを用いて、監査記録の整合性を保証し、不正な改ざんを防止する。
• ログエントリのタグ付け方式を採用し、ユーザーが自身に関連するエントリを他のエントリを暴露せずにプライベートに取得できるようにする。
• 公開検証可能な統計の生成のため、ThreeBallot 投票方式の新規適応である MultiBallot を導入する。
• MultiBallot においてルールベースのメカニズムを用いて、集計統計の公開検証を可能にするとともに、期待されるプライバシー損失を最小限に抑える。
• スケーラビリティと機能性を評価するために、Hyperledger Fabric および Trillian の両方をログ実装としてサポートする。
• コアシステムの変更なしに既存のデータアクセスワークフローに統合可能な軽量なオーバーレイとしてシステムを設計する。

実験結果

リサーチクエスチョン

• RQ1 機密データへのアクセスを、個人のプライバシーやアクセスの正当性を損なわず、透明に監査することは可能か？
• RQ2 意図的に開示された範囲を超えて機密情報を露呈せずに、公開検証可能な集計統計を提供できるシステムは可能か？
• RQ3 個々のユーザーは、自身のデータアクセス要求が正しくログに記録され監査されていることをどのように検証できるか？
• RQ4 信頼できる第三者に依存せずに、監査ログの整合性を保証するメカニズムは何か？
• RQ5 微分プライバシーとは異なり、プライバシーバジェットを消費せずに、繰り返し制限なくデータを監査に再利用できるシステムは可能か？

主な発見

• VAMS は、公開検証可能でありながらプライバシーを損なわない集計および個別レベルの監査を実現した。
• 改ざん検知可能なログ機構により、監査エントリへの改ざんが検出可能であり、監査の整合性が保たれる。
• ログエントリのタグ付け方式により、ユーザーは自身のデータアクセス要求に関連するエントリを効率的かつプライベートに取得できる。
• MultiBallot により、わずかな期待プライバシー損失で公開統計の検証が可能となり、実世界の利用に適している。
• Hyperledger Fabric および Trillian における評価から、VAMS は医療や法執行機関の文脈において実用的かつスケーラブルに展開可能であることが示された。
• 微分プライバシー手法とは異なり、VAMS はプライバシーバジェットを消費しないため、プライバシーや有用性を損なわず、監査にためのデータを無制限に再利用可能である。