[논문 리뷰] SMCQL: Secure Querying for Federated Databases

Johes Bater, Gregory Elliott외 4명|arXiv (Cornell University)|2016. 06. 22.

Cryptography and Data Security참고 문헌 31인용 수 5

한 줄 요약

이 논문은 보안 다자간 계산(SMC)을 사용하여 상호 신뢰할 수 없는 당사자들로 구성된 피어드 데이터베이스에서 기밀을 유지하면서 쿼리할 수 있도록 해주는 smcql 프레임워크를 제안한다. SQL 쿼리를 SMC 원시 기능으로 변환하고, 비용이 많이 드는 보안 계산을 최소화하도록 실행을 최적화함으로써, smcql은 희귀 질환 환자 수를 세는 것과 같은 복잡한 쿼리를 데이터 제공자나 브로커가 민감한 데이터를 노출하지 않고도 평가할 수 있게 해주며, 실제 의료 데이터셋에서도 실용적인 성능을 달성한다.

ABSTRACT

People and machines are collecting data at an unprecedented rate. Despite this newfound abundance of data, progress has been slow in sharing it for open science, business, and other data-intensive endeavors. Many such efforts are stymied by privacy concerns and regulatory compliance issues. For example, many hospitals are interested in pooling their medical records for research, but none may disclose arbitrary patient records to researchers or other healthcare providers. In this context we propose the Private Data Network (PDN), a federated database for querying over the collective data of mutually distrustful parties. In a PDN, each member database does not reveal its tuples to its peers nor to the query writer. Instead, the user submits a query to an honest broker that plans and coordinates its execution over multiple private databases using secure multiparty computation (SMC). Here, each database's query execution is oblivious, and its program counters and memory traces are agnostic to the inputs of others. We introduce a framework for executing PDN queries named SMCQL. This system translates SQL statements into SMC primitives to compute query results over the union of its source databases without revealing sensitive information about individual tuples to peer data providers or the honest broker. Only the honest broker and the querier receive the results of a PDN query. For fast, secure query evaluation, we explore a heuristics-driven optimizer that minimizes the PDN's use of secure computation and partitions its query evaluation into scalable slices.

연구 동기 및 목표

• 상호 신뢰할 수 없는 당사자들(예: 병원) 간의 협업 데이터 분석을 가능하게 하되, 데이터 기밀성을 훼손하지 않는 문제를 해결하기 위해.
• 개인적인 튜플과 중간 결과의 기밀성을 유지하면서 연구자가 분산된 비공개 데이터베이스 위에서 표준 SQL 쿼리를 실행할 수 있도록 시스템을 설계하기 위해.
• 질의 계획 최적화 및 히우리스틱과 질의 분할을 통해 SMC에 대한 의존도를 줄임으로써 보안 계산의 성능 오버헤드를 최소화하기 위해.
• 비중앙집중적이고 기밀성을 유지하는 환경에서 보안성과 정확성을 확보하면서도 비교, 집계 및 중첩 쿼리와 같은 임의의 SQL 연산을 지원하기 위해.
• 실세계의 데이터 공유 시나리오(예: 임상 연구 네트워크)에 적용 가능한 실용적이고 오픈소스 프레임워크를 구축하기 위해.

제안 방법

• 신뢰할 수 있는 브로커가 원시 데이터에 접근하지 않고도 비공개 데이터 제공자 간의 쿼리 실행을 조율하는 비공개 데이터 네트워크(PDN) 아키텍처를 사용한다.
• SQL 쿼리가 보안 다자간 계산(SMC) 원시 기능으로 변환되어 각 당사자의 계산이 다른 이들의 입력을 알 수 없도록 보장된다.
• 히우리스틱 기반 질의 최적화기가 SMC가 필요한 위치를 식별하고, SMC 사용을 줄이기 위해 질의 계획을 재구성하며, 데이터 분할 및 평문에서 연산자의 부분적 평가를 포함한다.
• 쿼리 연산자 전반에 걸쳐 데이터 민감도를 추적하고 기밀성 속성을 강제하기 위해 SQL용 보안 타입 체계를 도입한다.
• 보안 계산은 데이터 제공자 호스트에서 국지적으로 수행되어 신뢰할 수 있는 제3자나 외부 클라우드 서버에 의존하지 않는다.
• 기존의 SMC 기반 기법을 활용하여 데이터베이스 간 공통 식별자(예: 환자 ID)에 대한 안전한 레코드 연결을 지원한다.

실험 결과

연구 질문

• RQ1 서로 다른 당사자들로 구성된 피어드 데이터베이스에서 원시 데이터를 노출하지 않고도 보안적이고 기밀성을 유지하는 쿼리 접근 방식을 어떻게 실현할 수 있는가?
• RQ2 보안 다자간 계산의 성능 오버헤드를 데이터베이스 쿼리 실행에서 최소화하기 위한 기법은 무엇인가?
• RQ3 기밀성을 유지하는 프레임워크 내에서 비교, 집계 및 중첩 쿼리와 같은 복잡한 SQL 연산을 어떻게 지원할 수 있는가?
• RQ4 연구자가 표준 SQL을 사용할 수 있도록 하되, 데이터 제공자나 브로커가 민감한 중간 결과를 알 수 없도록 하는 시스템을 설계할 수 있는가?
• RQ5 정확성과 보안을 유지하면서도 SMC 사용을 줄이기 위해 효과적인 최적화 기법은 무엇인가?

주요 결과

• smcql은 복잡한 SQL 쿼리를 기밀성을 유지하면서도 정확한 쿼리 결과를 도출할 수 있도록 보장하는 보안 계산 계획으로 성공적으로 변환한다.
• 실제 의료 데이터셋에서도 사용 가능한 성능을 달성하였으며, 대규모 입력 크기에도 불구하고 PDN 쿼리가 합리적인 시간 내에 완료된다.
• 데이터 분할 및 히우리스틱 최적화를 통해 프레임워크는 비용이 많이 드는 SMC 연산의 사용을 크게 줄여 효율성을 향상시켰다.
• 이전 연구에서 누락되었던 임의의 튜플 비교(예: ≤, ≥) 및 중첩 쿼리 기능을 유지를 하면서도 중간 정보 泄露 없이 기능을 지원한다.
• 데이터 제공자와 신뢰할 수 있는 브로커가 보안 계산의 평문 출력을 알 수 없도록 하여, 이전 접근 방식을 뛰어넘는 기밀성 향상을 달성한다.
• 저자들은 smcql을 오픈소스 배포를 위해 준비하였으며, 임상 데이터 네트워크와 협력하여 실세계 환경에서의 배포를 테스트하고 있다.