[论文解读] A Data Capsule Framework For Web Services: Providing Flexible Data Access Control To Users

Jayanthkumar Kannan, Petros Maniatis+1 more|arXiv (Cornell University)|Feb 1, 2010

Security and Verification in Computing参考文献 41被引用 6

一句话总结

本文提出了一种安全数据胶囊（SDaC）框架，通过为敏感用户数据封装受限的、专用的接口，实现跨客户端、可信第三方或服务端环境的灵活部署。通过硬件或软件隔离强制实施最小权限访问，即使服务被攻破，也能限制数据暴露，显著降低外部和内部数据泄露的影响。

ABSTRACT

This paper introduces the notion of a secure data capsule, which refers to an encapsulation of sensitive user information (such as a credit card number) along with code that implements an interface suitable for the use of such information (such as charging for purchases) by a service (such as an online merchant). In our capsule framework, users provide their data in the form of such capsules to web services rather than raw data. Capsules can be deployed in a variety of ways, either on a trusted third party or the user's own computer or at the service itself, through the use of a variety of hardware or software modules, such as a virtual machine monitor or trusted platform module: the only requirement is that the deployment mechanism must ensure that the user's data is only accessed via the interface sanctioned by the user. The framework further allows an user to specify policies regarding which services or machines may host her capsule, what parties are allowed to access the interface, and with what parameters. The combination of interface restrictions and policy control lets us bound the impact of an attacker who compromises the service to gain access to the user's capsule or a malicious insider at the service itself.

研究动机与目标

• 通过让用户对敏感数据实现细粒度控制，解决因外部攻击和内部威胁导致的网络服务数据泄露日益严重的问题。
• 克服传统数据托管模式的局限性——如客户端托管（高可用性成本）和可信第三方托管（策略灵活性有限）——通过支持数据胶囊的灵活部署。
• 为用户提供一种机制，以强制执行数据访问策略，包括谁可以访问数据、在何种条件下访问以及通过何种接口访问，而无需依赖服务提供商的信任。
• 确保即使服务被攻破，攻击者也无法访问原始数据，仅能获取授权接口操作的结果，从而限制攻击面。

提出的方法

• 将敏感数据（如信用卡号、交易策略）封装在安全数据胶囊（SDaC）中，该胶囊包含数据本身以及用于其使用的精炼、最小化的接口（如扣款、查询）。
• 支持多种部署模型：客户端、可信第三方（TTP）或与服务端共置，利用虚拟机、可信平台模块（TPMs）或安全协处理器等隔离机制。
• 通过硬件或软件隔离强制实施基于接口的访问控制，确保数据仅能通过授权接口访问，防止直接暴露。
• 允许用户指定控制胶囊部署、访问权限和执行参数的策略，从而在接口层面强制实施最小权限访问。
• 利用现有的虚拟化和可信执行技术（如Xen、vTPM、硬件虚拟化）实现胶囊框架，提供强安全保证。
• 使用形式化验证和信息流控制技术（如JIF、计算非推理）验证控制层和数据层的正确性，防止数据泄露。

实验结果

研究问题

• RQ1 用户如何在不依赖服务提供商可信性的情况下，保留对网络服务中敏感数据的控制权？
• RQ2 何种架构模式能够实现敏感数据在客户端、第三方和服务器端环境中的灵活部署，同时保持安全性？
• RQ3 基于接口的访问控制在多大程度上可以限制网络服务中外在和内在数据泄露的影响？
• RQ4 如何组合现有隔离机制（如虚拟机、TPMs）以对数据胶囊提供强且可组合的安全保证？
• RQ5 不同胶囊部署模型在性能和信任之间存在何种权衡，以及如何优化？

主要发现

• 该胶囊框架通过强制仅通过精炼、明确定义的接口访问数据，成功将数据访问与数据暴露解耦，从而限制了外部和内部泄露的影响。
• 客户端和TTP托管的胶囊相比服务端托管可降低带宽和资源配置成本，但引入了可用性和信任约束。
• 在Xen虚拟机环境中与服务端共置的胶囊在性能和带宽使用方面优于客户端或TTP托管模型，尽管仍存在性能开销挑战。
• 对控制层的形式化验证和对数据层接口的信息流检查可提供强正确性和机密性保证，减少可信计算基（TCB）。
• 该框架与现有系统兼容，可与信息流控制和端到端加密技术集成，以提供额外的隐私保障。
• 原型验证表明，当可定义合适接口时，基于胶囊的访问机制在电子商务、金融服务和定向广告等广泛网络服务中具有可行性。