[논문 리뷰] A Blockchain-based Approach for Data Accountability and Provenance Tracking

Ricardo Neisse, Gary Steri외 1명|arXiv (Cornell University)|2017. 06. 14.

Blockchain Technology Applications and Security참고 문헌 7인용 수 4

한 줄 요약

이 논문은 GDPR 하에서 데이터의 책임성과 기원 추적을 향상시키기 위해 블록체인 기반 스마트 계약 시스템을 제안한다. 이는 데이터 주체가 사용 정책을 시행하고 데이터 접근을 추적할 수 있도록 한다. 두 가지 모델—세부 제어를 위한 주체가 계약을 배포하는 모델과 확장성을 위한 컨트롤러가 계약을 배포하는 모델—을 평가하여, 개인정보 보호, 성능, 확장성 간의 상충 관계를 보여주며 실현 가능성을 입증한다.

ABSTRACT

The recent approval of the General Data Protection Regulation (GDPR) imposes new data protection requirements on data controllers and processors with respect to the processing of European Union (EU) residents' data. These requirements consist of a single set of rules that have binding legal status and should be enforced in all EU member states. In light of these requirements, we propose in this paper the use of a blockchain-based approach to support data accountability and provenance tracking. Our approach relies on the use of publicly auditable contracts deployed in a blockchain that increase the transparency with respect to the access and usage of data. We identify and discuss three different models for our approach with different granularity and scalability requirements where contracts can be used to encode data usage policies and provenance tracking information in a privacy-friendly way. From these three models we designed, implemented, and evaluated a model where contracts are deployed by data subjects for each data controller, and a model where subjects join contracts deployed by data controllers in case they accept the data handling conditions. Our implementations show in practice the feasibility and limitations of contracts for the purposes identified in this paper.

연구 동기 및 목표

• GDPR 하에서 투명하고 개인정보 보호를 고려한 데이터 책임성 및 기원 추적 솔루션의 부족을 해결한다.
• 데이터 주체가 다양한 컨트롤러 및 프로세서 간에 자신의 개인 정보가 누가 접근, 사용 또는 이관하는지 추적할 수 있도록 한다.
• 데이터 컨트롤러가 동의 및 사용 정책 준수를 입증하기 위해 검증 가능하고 공개적으로 감사 가능한 메커니즘을 제공한다.
• 블록체인 기반 데이터 거버넌스에서 세부성, 개인정보 보호, 성능, 확장성 간의 상충 관계를 평가한다.
• 실세계 시나리오에서 스마트 계약을 활용한 데이터 사용 정책 이행의 실현 가능성을 입증한다.

제안 방법

• 특히 이더리움을 활용한 공공 블록체인 기술을 활용하여, 데이터 사용 정책과 기원 추적 메커니즘을 인코딩한 스마트 계약을 배포한다.
• 데이터 주체가 각 컨트롤러/프로세서별로 계약을 배포하는 모델과, 컨트롤러가 계약을 배포하고 주체가 이를 참여하는 두 가지 다른 모델을 설계 및 구현한다.
• 스마트 계약에 논리적으로 인코딩된 정책 언어를 사용하여 세밀한 접근, 사용 및 이관 조건을 정의한다.
• 실제 데이터는 오프체인에 저장하고, 해시값과 메타데이터만 블록체인에 저장하여 저장 부담을 줄이고 확장성을 향상시킨다.
• 암호학적 해시 및 공개 검증 가능성을 활용하여, 민감한 데이터를暴露하지 않고도 데이터 무결성과 감사 가능성을 확보한다.
• 성능 및 확장성 평가를 위해 구현 및 벤치마킹을 수행하여, 트랜잭션 수와 네트워크 포화와 같은 버티브레인을 식별한다.

실험 결과

연구 질문

• RQ1 GDPR 하에서 개인정보 보호를 고려한 블록체인 기반 스마트 계약을 어떻게 사용하여 데이터 사용 정책을 이행할 수 있는가?
• RQ2 세부성, 개인정보 보호, 확장성 측면에서 주체가 계약을 배포하는 모델과 컨트롤러가 계약을 배포하는 모델 간의 상충 관계는 어떠한가?
• RQ3 공공 블록체인을 활용한 대규모 데이터 기원 추적 및 책임성 확보의 성능 및 확장성 한계는 무엇인가?
• RQ4 데이터 주체는 어떻게 자신의 동의가 존중되었고, 데이터가 무단으로 오용되거나 이관되지 않았는지 확인할 수 있는가?
• RQ5 블록체인 기반 데이터 거버넌스의 확장성 문제를 완화하기 위해 어떤 아키텍처 패턴(예: 샤딩, 프라이빗 체인)을 적용할 수 있는가?

주요 결과

• 주체가 계약을 배포하는 모델은 세밀한 제어와 강력한 개인정보 보호 보장을 제공하여, 의료 기록과 같은 민감한 데이터에 적합하다.
• 컨트롤러가 계약을 배포하는 모델은 빈번한 접근과 업데이트가 수반되는 고성능, 다이나믹한 데이터 워크로드에 있어 더 나은 확장성과 성능을 제공한다.
• 사용자 구독 시 두 개의 블록체인 트랜잭션을 발생시키는 트랜잭션 오버헤드로 인해 비트코인과 같은 공공 블록체인은 포화 상태에 이를 수 있으며, 이는 확장성의 한계를 드러낸다.
• 성능 및 확장성은 주요 과제이며, 특히 많은 수의 계약과 이벤트가 존재할 경우, 샤딩이나 프라이빗 체인과 같은 아키텍처 확장 기법이 필요하다.
• 오프체인 데이터 저장과 온체인 해시의 조합은 데이터 기밀성을 유지하면서도 감사 가능성과 무결성을 확보한다.
• 미래의 개선 방안으로는 하이퍼레지스트리 기반 비즈니스 블록체인과 자동화된 정책-계약 번역 기술이 생산 환경 구현을 위한 유망한 길로 제시된다.