[논문 리뷰] ObliDB: Oblivious Query Processing for Secure Databases

Saba Eskandarian, Matei Zaharia|arXiv (Cornell University)|2017. 10. 02.

Security and Verification in Computing참고 문헌 74인용 수 16

한 줄 요약

ObliDB는 하드웨어 에이전드를 사용하여 다수의 액세스 방법을 통해 일반 관계형 워크로드에 대해 효율적이고 옹호되지 않는 쿼리 처리를 제공하는 첫 번째 데이터베이스 엔진이다. 이는 Opaque보다 최대 19배 빠른 성능 오버헤드를 가지는 새로운 옹호 물리 연산자를 도입하여 포인트 쿼리에 대해 3–10ms의 지연 시간을 달성하며, 신뢰할 수 있는 시스템과 동일한 성능을 유지하면서도 강력한 액세스 패턴 프라이버시를 확보한다.

ABSTRACT

Hardware enclaves such as Intel SGX are a promising technology for improving the security of databases outsourced to the cloud. These enclaves provide an execution environment isolated from the hypervisor/OS, and encrypt data in RAM. However, for applications that use large amounts of memory, including most databases, enclaves do not protect against access pattern leaks, which let attackers gain a large amount of information about the data. Moreover,the naive way to address this issue, using Oblivious RAM (ORAM) primitives from the security literature, adds substantial overhead. A number of recent works explore trusted hardware enclaves as a path toward secure, access-pattern oblivious outsourcing of data storage and analysis. While these works efficiently solve specific subproblems (e.g. building secure indexes or running analytics queries that always scan entire tables), no prior work has supported oblivious query processing for general query workloads on a DBMS engine with multiple access methods. Moreover, applying these techniques individually does not guarantee that an end-to-end workload, such as a complex SQL query over multiple tables, will be oblivious. In this paper, we introduce ObliDB, an oblivious database engine design that is the first system to provide obliviousness for general database read workloads over multiple access methods. ObliDB supports a broad range of queries, including aggregation, joins, insertions, deletions and point queries. We implement ObliDB and show that, on analytics work-loads, ObliDB ranges from 1.1-19x faster than Opaque,a previous oblivious, enclave-based system designed only for analytics, and comes within 2.6x of Spark SQL. ObliDB supports point queries with 3-10ms latency, which runs over 7x faster than HIRB, a previous encryption-based oblivious index system.

연구 동기 및 목표

• 하드웨어 에이전드 기반 데이터베이스에서 액세스 패턴이 민감한 정보를 泄露하는 심각한 보안 격차를 해결하기 위해.
• 다양한 액세스 방법을 통해 조인, 집계, 포인트 쿼리 등을 포함한 일반 목적의 SQL 워크로드에 대해 효율적이고 옹호되는 처리를 가능하게 하기 위해.
• 옹호 데이터베이스와 비신뢰 시스템 간의 성능 격차를 좁히면서도 강력한 프라이버시 보장을 유지하기 위해.
• 쿼리 선택도와 관련하여 최적화하고 난이도 높은 ORAM 오버헤드에 의존도를 줄이기 위해 새로운 옹호 물리 연산자를 설계하기 위해.

제안 방법

• ObliDB는 다양한 쿼리 선택도 수준에 맞게 최적화된 새로운 옹호 물리 연산자를 사용하여 액세스 패턴 泄露를 최소화한다.
• 기본적으로 옹호 메모리 원리로 Path ORAM을 통합하여 데이터나 쿼리에 관계없이 구분 불가능한 액세스 패턴을 가능하게 한다.
• 쿼리 구조와 데이터 크기에 따라 최적화된 옹호 연산자를 선택하는 쿼리 플래너를 사용한다.
• 인덱스 기반 및 전체 스캔 작업을 포함한 다수의 액세스 방법을 지원하며, 종단 간 옹호가 유지된다.
• 포인트 쿼리의 경우, 100만 레코드 테이블에서 3–10ms의 지연 시간을 달성하는 최적화된 옹호 인덱스 구조를 사용한다.
• 쿼리 매개변수를 泄露하지 않으며, 오직 출력 크기와 쿼리 구조만 노출하여 Opaque의 泄露 모델을 그대로 따르는 방식이다.

실험 결과

연구 질문

• RQ1 일반 목적의 DBMS가 다양한 액세스 방법을 통해 강력한 프라이버시를 유지하면서도 효율적인 옹호 쿼리 처리를 달성할 수 있는가?
• RQ2 기본적인 데이터베이스 연산자의 난이도 높은 ORAM 기반 번역 방식보다 뛰어난 성능을 내는 옹호 물리 연산자는 어떻게 설계할 수 있는가?
• RQ3 실제 분석 및 트랜잭션 워크로드에서 최소한의 성능 오버헤드로 옹호를 얼마나 잘 달성할 수 있는가?
• RQ4 옹호 인덱스 구조는 신뢰할 수 있는 시스템과 유사한 저지연 포인트 쿼리를 지원할 수 있는가?
• RQ5 옹호 DBMS의 성능은 보안 분석 전용 시스템과 비신뢰적이고 고성능 시스템(예: Spark SQL)과 비교해 어떻게 되는가?

주요 결과

• ObliDB는 이전의 에이전드 기반 옹호 분석 시스템인 Opaque보다 분석 워크로드에서 최대 19배 빠른 성능 향상을 달성한다.
• 100만 레코드 테이블에서 포인트 쿼리를 3.6–9.4ms 내로 완료하여 HIRB보다 7배 이상 빠르며, 인덱스 전용 신뢰 시스템의 지연 시간과 동일한 성능을 보인다.
• 분석 워크로드에서 ObliDB는 Spark SQL의 2.6배 이내로 실행되며, 강력한 프라이버시 보장을 유지하면서도 실용적인 성능을 입증한다.
• 쿼리 선택도와 데이터 크기에 맞춰 적응하는 특수한 옹호 연산자를 통해 ORAM 액세스 오버헤드를 줄인다.
• 조인, 집계, 삽입, 삭제, 포인트 쿼리 등 다양한 작업을 종단 간 옹호 보장으로 지원한다.
• 오픈소스 구현체는 GitHub에 공개되어 재현 가능성과 향후 연구를 가능하게 한다.