[논문 리뷰] Data Minimisation: a Language-Based Approach (Long Version)

Thibaud Antignac, David Sands외 1명|arXiv (Cornell University)|2016. 11. 17.

Security and Verification in Computing참고 문헌 11인용 수 6

한 줄 요약

이 논문은 프로그래밍 언어 기반 접근법을 통해 데이터 최소화를 제안하며, 기호 실행과 SAT 해결을 사용하여 프로그램의 출력에 대해 의미적으로 필요한 자료만으로 입력 데이터를 축소하는 사전처리기로 데이터 최소화기(data minimisers)를 형식적으로 정의한다. 주요 기여는 정당성과 종료성을 보장하는 데이터 최소화기를 합성하기 위한 절차이며, 의미적 의존성과 정보 흐름 기반으로 최소성과 완전성의 형식적 정의를 제공한다.

ABSTRACT

Data minimisation is a privacy-enhancing principle considered as one of the pillars of personal data regulations. This principle dictates that personal data collected should be no more than necessary for the specific purpose consented by the user. In this paper we study data minimisation from a programming language perspective. We assume that a given program embodies the purpose of data collection, and define a data minimiser as a pre-processor for the input which reduces the amount of information available to the program without compromising its functionality. In this context we study formal definitions of data minimisation, present different mechanisms and architectures to ensure data minimisation, and provide a procedure to synthesise a correct data minimiser for a given program.

연구 동기 및 목표

• 데이터 최소화를 프로그래밍 언어 문제로 형식화하여, 功能을 잃지 않고 입력을 축소하는 것으로 간주한다.
• 데이터 최소화기를 출력에 대해 의미적으로 필요한 자료만 포함하는 사전처리기로 정의한다.
• 기호 실행과 SAT 해결을 사용하여 정당성과 종료성을 보장하는 데이터 최소화기 합성 절차를 제공한다.
• 단일 및 분산 데이터 수집 환경에서의 최소화기 특성 분석을 수행하며, 정당성과 완전성에 대한 형식적 성질을 제공한다.
• 이론적 개인정보 보호 원칙(예: GDPR의 데이터 최소화)과 실용적인 자동 프로그램 분석 기법을 연결한다.

제안 방법

• 논문은 강한 의미적 의존성 기반의 데이터 최소화 형식 모델을 제안하며, 출력에 영향을 주는 입력만 유지된다.
• 최소화기를 출력 행동에 기반한 입력 동치류를 대표 입력으로 매핑하는 함수로 정의하며, 기능적 동치성을 보장한다.
• 합성 절차는 모든 가능한 입력 경로를 탐색하기 위해 기호 실행을 사용하고, 출력에 따라 입력 공간을 분할하는 제약 조건을 유도한다.
• SAT 솔버를 활용하여 각 출력 클래스에 대한 최소 대표 입력을 계산함으로써 정확한 데이터 최소화기를 생성한다.
• 단일 및 분산 입력 수집 모두를 지원하며, 모듈화된 프로그램 분석을 위한 조합적 추론을 가능하게 한다.
• KeY 정리 증명기로 기호 실행 및 SAT 기반 제약 조건 해결을 위한 개념 증명 구현체를 구축하였다.

실험 결과

연구 질문

• RQ1 프로그램 의미론과 입력-출력 의존성 측면에서 데이터 최소화를 어떻게 형식적으로 정의할 수 있는가?
• RQ2 주어진 프로그램에 대해 정당한 데이터 최소화기를 수행하는 사전처리기의 필수 및 충분 조건은 무엇인가?
• RQ3 프로그램의 사양으로부터 자동으로 데이터 최소화기를 합성할 수 있는 정당성과 종료성을 보장하는 절차를 구성할 수 있는가?
• RQ4 단일 아키텍처와 분산 아키텍처에서 최소화기의 성질는 어떻게 다를 수 있는가?
• RQ5 데이터 최소화와 추상 해석 및 정보 흐름 보안 개념 간의 관계는 무엇인가?

주요 결과

• 논문은 강한 의존성 기반으로 데이터 최소화를 형식적으로 정의하며, 출력에 의미적으로 관련된 자료만 유지됨을 보장한다.
• 데이터 최소화기가 정당하려면 각 동치류의 모든 입력에 대해 출력을 유지해야 하며, 과소나 과대 근사가 없어야 한다고 증명한다.
• 합성 절차는 정당성과 종료성을 모두 보장하며, 기호 실행과 SAT 해결을 통해 최소 입력 대표를 생성한다.
• 이 접근법은 조합적 추론을 지원한다: m이 p에 대한 최소화기이고, n이 q에 대한 최소화기이며, range(q) ⊆ range(m)이면, n은 p∘q에 대한 최소화기이다.
• 일반적으로 분산 환경에서는 결정 불가능하지만, 분석을 특정 모듈에 국한하거나 상호작용적으로 적용할 경우 처리 가능하다.
• 개념 증명 구현체는 예제 프로그램에 대해 최소화기를 성공적으로 생성하였으며, KeY와 SAT 솔버를 사용한 실행 가능성과 타당성을 입증하였다.