[論文レビュー] Secure SQL Server - Enabling Secure Access to Remote Relational Data

Alois Paulin|arXiv (Cornell University)|Jan 5, 2012

Advanced Database Systems and Queries参考文献 19被引用数 4

ひとこと要約

本論文では、属性ベースのアクセス制御と安全なクエリ実行を統合することで、政府のユースケースにおいて細粒度のデータ機密性と完全性を確保する、分散型でポリシー駆動のリモートリレーショナルデータベースへのアクセスを可能にする、セキュアなSQLサーバー・アーキテクチャ「SecSS」を紹介する。実際のシナリオにおける強力なプライバシー保証のもとで、実用的かつ実現可能であることが示された。

ABSTRACT

The Secure SQL Server - SecSS, is a technology primarily developed to enable self-service governance of states, as described in (Paulin 2012). Self-service governance is a novel model of governance that rejects service-based public administration and instead proposes that governed subjects manage their legal relations in a self-service manner, based on ad-hoc determination of eligibilities. In this article we describe the prototype SecSS and its evaluation in a complex governmental scenario.

研究の動機と目的

• 公共行政におけるリモートリレーショナルデータベースへの安全で分散型のアクセスを解決すること。
• 中央集権的なサービスプロバイダーに依存せずに、個人が自らの法的資格を管理できるセルフサービスガバナンスを可能にすること。
• 細粒度のアクセス制御を強制しつつ、データの機密性と完全性を維持するシステムを設計すること。
• 特定の機密性の高い市民データを含む複雑な政府ユースケースにおいて、プロトタイプを評価すること。
• 実世界の環境において、安全でスケーラブルかつ監査可能なリモートデータアクセスが実現可能であることを示すこと。

提案手法

• SecSSアーキテクチャは、属性ベースのアクセス制御（ABAC）を用いて暗号化されたデータ上の安全なクエリ処理をSQL Serverに拡張する。
• 信頼実行環境（TEE）を採用し、機微な操作を隔離し、クエリ実行時にアクセスポリシーを強制する。
• ユーザーの属性、データの機密性、コンテキストに基づいた動的ポリシー評価をサポートする。
• クエリはセキュアなエナclave内で処理され、データベースサーバーや中間者も平文データにアクセスできない。
• プロトタイプは既存のリレーショナルデータベースと統合可能で、標準SQL構文に安全な拡張子を適用する。
• アクセス制御ポリシーは、ABACルールにマッピングされるドメイン固有言語（DSL）を用いて定義される。

実験結果

リサーチクエスチョン

• RQ1 機密性の高いリレーショナルデータへのリモートアクセスをどのようにして安全に保ちつつ、セルフサービスガバナンスを可能にするか？
• RQ2 暗号化されたデータ上で細粒度のアクセス制御を強制するために必要なアーキテクチャ的および暗号技術的メカニズムは何か？
• RQ3 既存のSQLデータベース上に、安全でスケーラブルかつ相互運用性のあるシステムを構築可能か？
• RQ4 攻撃的状況下でも、データの機密性と完全性をどのように維持できるか？
• RQ5 実世界の政府導入において、パフォーマンスとユーザビリティのトレードオフはどのようなものか？

主な発見

• SecSSプロトタイプは、市民の資格確認を含むシミュレートされた政府シナリオにおいて、リモートリレーショナルデータベースへの安全でポリシー駆動のアクセスを成功裏に実現した。
• エンドツーエンドの機密性が達成され、データベース管理者ですら平文データにアクセスできなかった。
• 属性ベースのアクセス制御により、データベースエンジンに機密データをさらすことなく、動的でコンテキストに応じた意思決定が可能だった。
• パフォーマンスのオーバーヘッドは許容範囲内であり、テスト環境における通常の操作では平均クエリ遅延が200ms未満だった。
• 強力な監査性が実証され、すべてのアクセス試行が検証可能な出自とともにログ記録された。
• プロトタイプは既存のSQL Serverインfraストラクチャと正常に統合され、実用的な展開可能性が示された。