[논문 리뷰] VAMS: Verifiable Auditing of Access to Confidential Data

Alexander Hicks, Vasilios Mavroudis외 3명|arXiv (Cornell University)|2018. 05. 12.

Privacy-Preserving Technologies in Data참고 문헌 78인용 수 3

한 줄 요약

VAMS는 위변조를 감지할 수 있는 로깅, 사용자별 로그 태그링, 그리고 다수의 투표를 가능하게 하는 MultiBallot을 통해 기밀 데이터 접근에 대한 투명하고 프라이버시를 보장하는 감사 시스템을 제공한다. MultiBallot은 ThreeBallot의 신규 확장으로, 낮은 프라이버시 손실로 공개적으로 검증 가능한 통계를 제공한다. 평가 결과, Hyperledger Fabric 및 Trillian 기반의 구현은 의료 및 법 집행 분야의 실질적 사용 사례에 적합한 것으로 나타났다.

ABSTRACT

We propose VAMS, a system that enables transparency for audits of access to data requests without compromising the privacy of parties in the system. VAMS supports audits on an aggregate level and an individual level, by relying on three mechanisms. A tamper-evident log provides integrity for the log entries that are audited. A tagging scheme allows users to query log entries that relate to them, without allowing others to do so. MultiBallot, a novel extension of the ThreeBallot voting scheme, is used to generate a synthetic dataset that can be used to publicly verify published statistics with a low expected privacy loss. We evaluate two implementations of VAMS, and show that both the log and the ability to verify published statistics are practical for realistic use cases such as access to healthcare records and law enforcement access to communications records.

연구 동기 및 목표

• 의료 기록 및 통신 메타데이터와 같은 민감한 데이터 접근 감사의 투명성과 신뢰성 부족 문제를 해결하기 위해.
• 개인의 프라이버시나 데이터 접근의 정당성에 손상을 주지 않으면서도 감사의 무결성을 확보하기 위해.
• 공개적으로 검증 가능하고 위변조를 감지할 수 있는 집계 수준 및 개인 수준의 감사를 모두 가능하게 하기 위해.
• 차별적 프라이버시 기법과 달리, 개인정보 예산을 고갈시키지 않고도 지속적이고 재사용 가능한 데이터 접근을 통해 감사를 지원하기 위해.
• 기존 데이터 워크플로우에 영향을 주지 않고 핵심 컴포넌트를 대체하지 않는 가벼운 확장 가능한 오버레이 시스템을 제공하기 위해.

제안 방법

• 위변조 감지 로깅을 통해 감사 기록의 무결성을 보장하고, 불법 수정을 방지한다.
• 사용자가 자신의 요청과 관련된 항목만 비밀리에 검색할 수 있도록 하는 로그 항목 태깅 체계를 적용한다.
• 공개적으로 검증 가능한 통계를 위해, ThreeBallot 투표 체계의 신규 변형인 MultiBallot을 도입하여 가짜 데이터셋을 생성한다.
• MultiBallot에서 규칙 기반 메커니즘을 활용해 집계 통계의 공개 검증을 가능하게 하면서도 기대 프라이버시 손실을 최소화한다.
• 확장성과 기능성을 평가하기 위해 Hyperledger Fabric과 Trillian을 기반으로 한 로그 구현을 지원한다.
• 기존 데이터 접근 워크플로우에 영향을 주지 않도록 핵심 시스템을 변경하지 않는 가벼운 오버레이 아키텍처로 설계한다.

실험 결과

연구 질문

• RQ1 기밀 데이터 접근을 투명하게 감사하면서도 개인의 프라이버시와 접근 정당성을 보존할 수 있는 방법은 무엇인가?
• RQ2 의도적으로 공개된 정보 이외의 민감한 정보를 드러내지 않으면서도, 공개적으로 검증 가능한 집계 통계를 제공할 수 있는 시스템은 가능한가?
• RQ3 개별 사용자가 자신의 데이터 접근 요청이 정확히 로깅되고 감사되었는지 확인할 수 있는 메커니즘은 무엇인가?
• RQ4 신뢰할 수 있는 제3자에 의존하지 않고도 감사 로그의 무결성을 보장할 수 있는 메커니즘은 무엇인가?
• RQ5 차별적 프라이버시 기법과 달리, 개인정보 예산을 고갈시키지 않고도 무제한으로 데이터를 재사용하여 감사를 수행할 수 있는 시스템은 가능한가?

주요 결과

• VAMS는 공개적으로 검증 가능하고 프라이버시를 보장하는 집계 수준 및 개인 수준의 감사를 성공적으로 지원하여 투명성을 확보하면서도 프라이버시를 침해하지 않는다.
• 위변조 감지 로깅 메커니즘은 감사 항목의 수정이 가능하게 감지되며, 감사의 무결성을 유지한다.
• 로그 항목 태깅 체계는 사용자가 자신의 데이터 접근 요청과 관련된 항목을 효율적이고 비밀리에 검색할 수 있도록 한다.
• MultiBallot은 매우 낮은 기대 프라이버시 손실로 공개 통계의 검증을 가능하게 하여 실생활 적용에 적합하다.
• Hyperledger Fabric 및 Trillian 기반의 평가 결과, VAMS는 의료 및 법 집행 분야의 실질적 구현에 충분히 확장 가능하고 효율적임을 입증했다.
• 차별적 프라이버시 기법과 달리, VAMS는 개인정보 예산을 고갈시키지 않아, 기밀 데이터의 무제한 재사용이 가능하며 이로 인해 기능성과 프라이버시가 손상되지 않는다.