[论文解读] Don't Trust the Cloud, Verify: Integrity and Consistency for Cloud Object Stores

Marcus Brandenburger, Christian Cachin+1 more|arXiv (Cornell University)|Feb 16, 2015

Distributed systems and fault tolerance参考文献 26被引用 4

一句话总结

该论文提出VICOS，一种用于在多个不可信客户端之间验证云对象存储中数据完整性和一致性的协议。它实现了每操作通信开销恒定的分叉线性化，利用认证数据结构实现无等待的客户端操作，并通过消除客户端状态复制和降低协调成本，优于以往系统。

ABSTRACT

Cloud services have turned remote computation into a commodity and enable convenient online collaboration. However, they require that clients fully trust the service provider in terms of confidentiality, integrity, and availability. Towards reducing this dependency, this paper introduces a protocol for verification of integrity and consistency for cloud object storage (VICOS), which enables a group of mutually trusting clients to detect data-integrity and consistency violations for a cloud object-storage service. It aims at services where multiple clients cooperate on data stored remotely on a potentially misbehaving service. VICOS enforces the consistency notion of fork-linearizability, supports wait-free client semantics for most operations, and reduces the computation and communication overhead compared to previous protocols. VICOS is based in a generic way on any authenticated data structure. Moreover, its operations cover the hierarchical name space of a cloud object store, supporting a real-world interface and not only a simplistic abstraction. A prototype of VICOS that works with the key-value store interface of commodity cloud storage services has been implemented, and an evaluation demonstrates its advantage compared to existing systems.

研究动机与目标

• 解决多客户端云对象存储中缺乏强一致性和完整性保证的问题，其中客户端无法完全信任云服务提供商。
• 消除客户端维护系统状态本地副本的需求，这与数据外包的目标相悖。
• 实现分叉线性化——在多客户端、不可信环境下的最强一致性保证——且无需阻塞或依赖可信组件。
• 与SUNDR、FAUST和Venus等先前协议相比，降低完整性与一致性验证协议的通信和计算开销，使其与客户端数量无关，而这些协议在客户端数量增加时扩展性差。
• 支持真实世界的云接口（例如，分层命名空间），而非简化抽象，从而实现实际部署。

提出的方法

• VICOS基于通用认证数据结构（ADS）构建，以支持对云存储数据的任意操作。
• 它使用两阶段协议来验证完整性和一致性，利用密码学哈希链进行一致性检查。
• 该协议引入了“兼容操作”的概念——即不会相互干扰其效果或输出的操作——从而实现无等待执行。
• 它将状态远程维护在云服务器上，避免了客户端存储系统状态完整副本的需要，这与BST或SPORC不同。
• 每操作的通信开销恒定，与客户端数量无关，而与向量时钟相关的系统（如FAUST、Venus）的开销随n增长为Ω(n)。
• 该系统基于通用云存储API实现，并通过原型进行评估，展示了低延迟和高吞吐量。

实验结果

研究问题

• RQ1 是否能构建一个实用系统，在多客户端云对象存储中实现分叉线性化一致性，而无需客户端存储完整状态副本？
• RQ2 是否可能将完整性与一致性验证协议的通信和计算开销降低至与客户端数量无关？
• RQ3 在存在不可信服务器和多个未协调客户端的系统中，如何为所有兼容操作实现无等待语义？
• RQ4 是否能通过认证数据结构，统一远程状态管理与密码学一致性验证？
• RQ5 当此类系统部署在真实云存储服务上时，其性能开销如何？

主要发现

• VICOS实现了分叉线性化，即在多客户端不可信模型下的最强一致性保证，确保任何客户端间不一致在通信时均可被检测到。
• 该协议每操作仅产生恒定的通信开销，与客户端数量无关，而以往系统开销随n或n²增长为Ω(n)或Ω(n²)。
• VICOS支持所有兼容操作的无等待客户端操作，即使在并发执行下也不会阻塞。
• 在通用云存储服务上的原型实现显示，其开销显著低于SUNDR、FAUST和Venus，且在延迟和吞吐量方面表现出可测量的性能提升。
• 通过依赖远程状态和哈希链而非客户端状态复制，VICOS使客户端可在操作之间保持离线状态，而不会阻塞协议。
• 该系统与真实云接口兼容，包括分层命名空间和键值操作，适用于实际部署。