[논문 리뷰] A Data Capsule Framework For Web Services: Providing Flexible Data Access Control To Users

Jayanthkumar Kannan, Petros Maniatis외 1명|arXiv (Cornell University)|2010. 02. 01.

Security and Verification in Computing참고 문헌 41인용 수 6

한 줄 요약

이 논문은 감시 가능한 사용자 데이터를 제한적이고 목적에 맞는 인터페이스로 封입하는 보안 데이터 캡슐(SDaC) 프레임워크를 제안한다. 이는 클라이언트 측, 신뢰할 수 있는 제3자, 또는 서비스 측 환경에 유연하게 배포할 수 있도록 한다. 하드웨어 또는 소프트웨어 격리 기반으로 최소 권한 접근을 강제함으로써, 서비스가 해킹되더라도 데이터 노출을 최소화하여 외부 및 내부 데이터 유출의 영향을 크게 줄인다.

ABSTRACT

This paper introduces the notion of a secure data capsule, which refers to an encapsulation of sensitive user information (such as a credit card number) along with code that implements an interface suitable for the use of such information (such as charging for purchases) by a service (such as an online merchant). In our capsule framework, users provide their data in the form of such capsules to web services rather than raw data. Capsules can be deployed in a variety of ways, either on a trusted third party or the user's own computer or at the service itself, through the use of a variety of hardware or software modules, such as a virtual machine monitor or trusted platform module: the only requirement is that the deployment mechanism must ensure that the user's data is only accessed via the interface sanctioned by the user. The framework further allows an user to specify policies regarding which services or machines may host her capsule, what parties are allowed to access the interface, and with what parameters. The combination of interface restrictions and policy control lets us bound the impact of an attacker who compromises the service to gain access to the user's capsule or a malicious insider at the service itself.

연구 동기 및 목표

• 외부 공격과 내부 위협으로 인한 웹 서비스 데이터 유출 문제를 해결하기 위해 사용자에게 민감한 데이터에 대한 세밀한 제어 권한을 부여한다.
• 클라이언트 측 호스팅(높은 가용성 비용)과 신뢰할 수 있는 제3자 호스팅(정책 유연성 제한) 등의 전통적 데이터 호스팅 모델의 한계를 극복하기 위해 데이터 캡슐의 배포를 탄력적으로 가능하게 한다.
• 서비스 제공자의 신뢰에 의존하지 않고도 사용자가 데이터 액세스 정책(누가, 어떤 조건에서, 어떤 인터페이스를 통해 데이터에 접근할 수 있는지)을 강제할 수 있는 메커니즘을 제공한다.
• 서비스가 해킹되더라도 악성 공격자가 원시 데이터에 접근할 수 없고, 오직 승인된 인터페이스 작업 결과만을 볼 수 있도록 하여 공격 표면을 제한한다.

제안 방법

• 신용카드 번호, 거래 전략 등 민감한 데이터를 최소화되고 명확히 정의된 인터페이스(예: 결제, 질의)를 가진 보안 데이터 캡슐(SDaC)에 봉인한다.
• 가상 머신, 신뢰할 수 있는 플랫폼 모듈(TPM), 또는 보안 보조 프로세서 등을 사용한 격리 기법을 통해 클라이언트 측, 신뢰할 수 있는 제3자(TTP), 또는 서비스와 함께 공동 배치되는 다양한 배포 모델을 지원한다.
• 하드웨어 또는 소프트웨어 격리를 통해 인터페이스 기반 액세스 제어를 강제하여, 데이터가 승인된 인터페이스 외에는 직접 노출되지 않도록 한다.
• 사용자가 캡슐의 배포, 액세스 권한, 실행 파rameter 등을 정책으로 지정할 수 있도록 하여 인터페이스 수준에서 최소 권한 접근을 보장한다.
• 기존의 가상화 및 신뢰할 수 있는 실행 기술(Xen, vTPM, 하드웨어 가상화 등)을 활용하여 강력한 보안 보장을 갖춘 캡슐 프레임워크를 구현한다.
• 형식적 검증 및 정보 흐름 제어 기법(JIF, 계산 기반 비추론 등)을 사용하여 제어 계층의 정확성과 데이터 계층 인터페이스의 유출 방지를 검증한다.

실험 결과

연구 질문

• RQ1 서비스 제공자의 신뢰성에 의존하지 않고도 웹 서비스에서 민감한 데이터에 대한 사용자 통제를 어떻게 유지할 수 있는가?
• RQ2 클라이언트, 제3자, 서비스 측 환경에 걸쳐 민감한 데이터를 탄력적으로 배포하면서도 보안을 유지할 수 있는 아키텍처 패턴은 무엇인가?
• RQ3 인터페이스 기반 액세스 제어는 웹 서비스에서 외부 및 내부 데이터 유출의 영향을 어느 정도 제한할 수 있는가?
• RQ4 기존의 격리 기법(예: VM, TPM)을 어떻게 조합하여 데이터 캡슐에 대해 강력하고 조합 가능한 보안 보장을 제공할 수 있는가?
• RQ5 다양한 캡슐 배포 모델의 성능 및 신뢰성 간 상호 교환 관계는 무엇이며, 이를 어떻게 최적화할 수 있는가?

주요 결과

• 캡슐 프레임워크는 최소화되고 명확히 정의된 인터페이스만을 통한 액세스를 강제함으로써 데이터 노출과 데이터 액세스를 분리하여, 외부 및 내부 침해의 영향을 극도로 줄인다.
• 클라이언트 측 및 TTP 기반 캡슐은 서비스 측 호스팅에 비해 대역폭과 프로비저닝 비용을 줄이지만, 가용성과 신뢰성에 제약이 수반된다.
• Xen 기반 가상 머신 환경에 공동 배치된 캡슐은 클라이언트 측 또는 TTP 기반 모델보다 더 뛰어난 성능과 낮은 대역폭 사용을 달성하지만, 여전히 오버헤드 문제가 존재한다.
• 제어 계층의 형식적 검증과 데이터 계층 인터페이스의 정보 흐름 검사 기법은 강력한 정확성과 기밀성 보장을 제공하며, 신뢰할 수 있는 컴퓨팅 기반(TCB)을 줄인다.
• 프레임워크는 기존 시스템과 호환되며, 정보 흐름 제어 및 엔드 투 엔드 암호화와 통합되어 추가적인 프라이버시 보장을 제공할 수 있다.
• 프로토타입은 적절한 인터페이스가 정의될 경우, 전자상거래, 금융 서비스, 타겟 광고 등 다양한 웹 서비스에 대해 캡슐 기반 액세스가 실현 가능하다는 것을 입증한다.