[논문 리뷰] A Blockchain based and GDPR-compliant design of a system for digital education certificates

Fernanda Molina, Gustavo Betarte외 1명|arXiv (Cornell University)|2020. 10. 24.

Blockchain Technology Applications and Security인용 수 7

한 줄 요약

이 논문은 개인 학업 데이터의 기밀성, 무결성 및 GDPR 준수를 보장하기 위해 블록체인과 오프체인 아키텍처를 융합한 하이브리드 아키텍처를 제안한다. 이는 오프체인 데이터 저장, 블록체인 기반 접근 제어 및 암호학적 해시를 통한 무결성 검증을 통해 개인정보 보호를 실현한다. 시스템은 개인 학업 데이터의 안전하고 감사 가능하며 기밀성을 유지하는 관리를 가능하게 하며, 의사명명, 데이터 최소화, 삭제 요구 권리와 같은 GDPR 과제를 블록체인 기반 인증서 시스템에서 해결하기 위해 온체인 인증 및 오프체인 데이터 처리를 통합한 방법론적 프레임워크를 제공한다.

ABSTRACT

Blockchain is an incipient technology that offers many strengths compared to traditional systems, such as decentralization, transparency and traceability. However, if the technology is to be used for processing personal data, complementary mechanisms must be identified that provide support for building systems that meet security and data protection requirements. We study the integration of off-chain capabilities in blockchain-based solutions moving data or computational operations outside the core blockchain network. We develop a thorough analysis of the European data protection regulation and discuss the weaknesses and strengths, regarding the security and privacy requirements established by that regulation, of solutions built using blockchain technology. We also put forward a methodological framework that helps systems designers in combining operational off-chain constructs with traditional blockchain functionalities in order to build more secure and privacy aware solutions. We illustrate the use of that framework presenting and discussing the design of a system that provides services to handle, store and validate digital academic certificates.

연구 동기 및 목표

• GDPR 하에서 개인 데이터 처리를 위한 블록체인 기술 구현에 있어 기밀성, 접근 제어 및 데이터 보호 문제를 해결하기 위한 것.
• 오프체인 데이터 스토리지와 블록체인 기반 접근 제어 및 무결성 검증을 조합하는 데 도움이 되는 방법론적 프레임워크를 개발하기 위한 것.
• 블록체인 기반 교육 인증서 시스템에서 데이터 최소화, 의사명명, 삭제 요구 권리와 같은 GDPR 원칙을 준수하기 위한 것.
• 하이브리드 블록체인-오프체인 아키텍처를 활용해 디지털 학술 인증서의 발급, 저장 및 검증을 위한 안전하고 감사 가능하며 기밀성을 고려한 시스템을 설계하고 모델링하기 위한 것.
• 동의 관리, 데이터 접근, 취소 및 감사 로깅을 GDPR 준수 방식으로 지원하는 실용적 구현 프레임워크를 제공하기 위한 것.

제안 방법

• 시스템은 개인 데이터(예: 인증서)를 오프체인에 저장하고 접근 제어, 감사 기록, 암호학적 해시를 통한 무결성 검증을 위해 블록체인을 사용하는 하이브리드 아키텍처를 사용한다.
• 데이터 접근은 전용 접근 제어 블록체인 네트워크에 저장된 온체인 정책에 의해 규제되며, 이는 권한이 있는 당사자만 데이터를 검색할 수 있음을 보장한다.
• 게이트웨이 컴포넌트는 사용자와 시스템 사이를 중개하며, 블록체인에서 발급된 액세스 토큰을 검증한 후 요청을 오프체인 데이터 스토어로 전달한다.
• 오프체인 데이터의 무결성은 블록체인에 저장된 암호학적 해시(예: SHA-256)를 통해 확보되며, 이는 데이터 일관성의 검증 가능성을 보장한다.
• 학생이 온체인 거래를 통해 자신의 인증서에 대한 접근 권한을 부여하거나 철회할 수 있는 동의 기반 인증 모델을 구현한다.
• 감사 로그는 블록체인에 저장되며, 학생이나 감독 기관에서 요청 시 접근 가능하며, 동일한 온체인 정책 엔진을 통해 제어된다.

실험 결과

연구 질문

• RQ1 어떻게 블록체인 기반 시스템을 설계하여 데이터 최소화, 의사명명, 삭제 요구 권리와 같은 GDPR 요구사항을 준수할 수 있는가?
• RQ2 어떤 아키텍처 패턴이 개인 데이터의 안전한 오프체인 저장을 가능하게 하면서도 블록체인을 통한 무결성 및 접근 제어를 유지할 수 있는가?
• RQ3 탈중앙화된 시스템에서 동의 관리 및 접근 권한 취소를 어떻게 구현할 수 있으며, 이 과정에서 기밀성이나 감사 가능성은 손상되지 않는가?
• RQ4 암호학적 해시 및 제로지식 증명은 데이터 기밀성을 유지하면서도 검증 가능한 데이터 운영을 어떻게 지원할 수 있는가?
• RQ5 어떤 방법론적 프레임워크가 개발자들이 교육 인증서를 위한 GDPR 준수 및 기밀성을 고려한 블록체인 시스템을 구축하는 데 도움을 줄 수 있는가?

주요 결과

• 제안된 시스템은 개인 데이터 스토리지와 블록체인을 성공적으로 분리하여 민감한 정보를 오프체인에 저장하면서도, 온체인 암호학적 해시를 통해 무결성을 검증할 수 있도록 한다.
• 블록체인 기반 접근 제어 네트워크의 사용은 세밀한, 감사 가능한, 동의 기반의 인증서 접근을 가능하게 하여 GDPR의 책임성 및 투명성 요구사항을 충족시킨다.
• 권한이 있는 기관(예: 학교 등록 기관)이 오프체인에서 데이터를 업데이트하고 블록체인 무결성 기록에 반영함으로써 삭제 요구 권리 및 데이터 수정 기능을 지원한다.
• 동의 철회는 온체인 거래를 통해 구현되어 이전에 부여된 접근 권한이 무효화되고 재동의 없이 재활성화될 수 없다.
• 데이터 접근 요청의 감사 로그는 블록체인에 저장되어 요청 시 검색 가능하며, 이는 GDPR의 감사 및 책임성 의무 이행을 지원한다.
• 방법론적 프레임워크는 오프체인 모델 선택과 블록체인 컴포넌트 통합에 대한 체계적인 접근을 제공하여, 설계 시 기밀성 및 보안을 우선시하는 시스템 강화에 기여한다.