[논문 리뷰] Design and Implementation of a Blockchain-based Consent Management System

Nathaniel Aldred, Luke Baal외 3명|arXiv (Cornell University)|2019. 12. 20.

Privacy-Preserving Technologies in Data참고 문헌 4인용 수 6

한 줄 요약

이 논문은 개인 데이터에 대한 액세스를 사용자가 제어할 수 있도록 보장하면서 GDPR 원칙에 부합하는 허가 기반 블록체인 시스템을 제안한다. 이 시스템은 사용자가 허가를 부여하거나 철회하는 것을 투명하고 불변적으로 가능하게 하며, 정부 기관이 정책 규칙을 정의함으로써 개인정보 보호 설계 기반 원칙을 이행한다.

ABSTRACT

A blockchain is a distributed ledger forming a distributed consensus on a history of transactions. It is the underlying technology for the Bitcoin cryptocurrency, but there are many applications beyond the financial sector. With built-in security and removal of the need for third party trust, blockchain has started to see some use within contract applications among other things. In this paper, we present the design and implementation of a permissioned-based blockchain third party consent management system, whose policy can be decided by a government agency. We have constructed a proof of concept implementation using Hyperledger Fabric to provide a service that allows end-users to control and consent to who manages their private information. We believe our solution meets the guiding principles of EU General Data Protection Regulation or GDPR. While our performance and usability evaluation are limited, our solution design and its implementation meet the 7 foundational principles of privacy by design.

연구 동기 및 목표

• 사용자가 개인 데이터에 대한 액세스를 제어할 수 있도록 하는 탈중앙화된 허가 관리 시스템을 설계하는 것.
• 기술적 및 아키텍처적 설계를 통해 EU 일반 개인정보 보호 규정(GDPR)과의 일치를 확보하는 것.
• 허가 정책을 시행하기 위해 허가된 블록체인을 사용하여 개념 증명 시스템을 구현하는 것.
• 데이터 보호 분야에서 개인정보 보호 설계의 일곱 가지 핵심 원칙을 충족하는 것.
• 허가 기록 및 관리를 위한 신뢰할 수 없고, 감사 가능하며 위변조 방지 기능을 갖춘 메커니즘을 제공하는 것.

제안 방법

• 시스템은 블록체인에 암호학적으로 안전하고 불변적인 방식으로 허가 거래를 기록하기 위해 Hyperledger Fabric 기반의 허가된 블록체인을 사용한다.
• 최종 사용자가 발행한 허가 토큰은 블록체인에 저장되며, 액세스 정책은 정부 기관이 정의하고 이행한다.
• 블록체인에 배포된 스마트 계약을 통해 동적 허가 철회 및 감사 기록을 지원하는 아키텍처를 구현한다.
• 사용자 신원 및 허가 데이터는 개인정보를 보존하기 위해 제로 지식 증명 기법을 통해 관리된다.
• 허가 기록을 접근하거나 수정할 수 있는 자격이 있는 당사자만 접근할 수 있도록 역할 기반 액세스 제어(RBAC)를 지원한다.
• 모듈식 설계를 통해 기존 데이터 처리 시스템과의 통합이 가능하며, GDPR 준수 데이터 파이프라인과의 상호운용성도 지원한다.

실험 결과

연구 질문

• RQ1 블록체인 기반 시스템이 효과적으로 허가 관리를 탈중앙화하면서도 GDPR 준수를 보장할 수 있는가?
• RQ2 신뢰할 수 없는 환경에서 허가된 블록체인을 어떻게 정책 기반 허가 규칙을 이행하는 데 활용할 수 있는가?
• RQ3 제안된 시스템이 개인정보 보호 설계의 일곱 가지 원칙을 어느 정도 충족하는가?
• RQ4 스마트 계약을 사용해 동적 허가 및 철회를 관리하는 데 실현 가능성이 있는가?
• RQ5 감사 가능성과 데이터 무결성을 유지하면서도 사용자 개인정보를 어떻게 보호할 수 있는가?

주요 결과

• 제안된 시스템은 사용자 자율성과 데이터 주권을 지원하는 탈중앙화된 허가 관리 프레임워크를 성공적으로 구현하였다.
• Hyperledger Fabric의 사용은 허가 기록 로깅에 적합한 효율적이고 확장 가능한 허가된 거래 처리를 가능하게 하였다.
• 시스템의 설계는 GDPR에서 정의한 개인정보 보호 설계의 일곱 가지 핵심 원칙을 모두 충족함을 입증하였다.
• 실행 결과로 허가 기록이 불변성, 감사 가능성, 암호학적 검증 가능성을 블록체인의 불변성 덕분에 확보하고 있음을 입증하였다.
• 성능 및 사용성 평가가 제한되어 있으나, 아키텍처가 실세계 구현에 기술적으로 타당함을 입증하였다.
• 정부가 정의한 정책을 블록체인 로직에 통합함으로써 규제 준수와 이행 가능성 확보가 가능하였다.