[论文解读] Monitoring Data Minimisation

Srinivas Pinisetty, Thibaud Antignac+2 more|arXiv (Cornell University)|Jan 5, 2018

Security and Verification in Computing参考文献 5被引用 9

一句话总结

本文提出了一种用于确定性程序中运行时数据最小化的正式框架，其中监控器通过观察输入和输出来检测最小性原则的违反。证明了虽然一般性的最小性监控是不可判定的，但在特定条件下，通过使用具有有限算法方法的预部署测试环境，仍可实现可判定性与最小化器合成。

ABSTRACT

Data minimisation is a privacy enhancing principle, stating that personal data collected should be no more than necessary for the specific purpose consented by the user. Checking that a program satisfies the data minimisation principle is not easy, even for the simple case when considering deterministic programs-as-functions. In this paper we prove (im)possibility results concerning runtime monitoring of (non-)minimality for deterministic programs both when the program has one input source (monolithic) and for the more general case when inputs come from independent sources (distributed case). We propose monitoring mechanisms where a monitor observes the inputs and the outputs of a program, to detect violation of data minimisation policies. We show that monitorability of (non) minimality is decidable only for specific cases, and detection of satisfaction of different notions of minimality in undecidable in general. That said, we show that under certain conditions monitorability is decidable and we provide an algorithm and a bound to check such properties in a pre-deployment controlled environment, also being able to compute a minimiser for the given program. Finally, we provide a proof-of-concept implementation for both offline and online monitoring and apply that to some case studies.

研究动机与目标

• 正式定义并分析确定性程序中数据最小化的可监控性，尤其关注输入-输出关系。
• 研究运行时监控器是否能够在单体程序和分布式程序环境中检测数据最小化原则的违反。
• 开发一种方法，用于在预部署环境中判定最小性并合成最小的输入表示（最小化器）。
• 提供一种概念验证实现，支持离线和在线的数据最小化策略监控。
• 将分析扩展至程序被视为黑盒的情形，避免依赖源代码访问。

提出的方法

• 本文定义了形式化监控器，通过观察程序输入和输出来检查（非）最小性，利用输入集合与输出行为之间的语义等价性。
• 引入一个受控的预部署测试环境，监控器可在其中执行所有可能的输入-输出对，以确定最小性。
• 提出一种有界算法，通过将输入空间划分为保持输出行为的等价类，来计算最小化器。
• 该方法依赖符号执行和SAT求解技术，分析程序语义并识别冗余输入数据。
• 该方法支持单体程序（单一输入源）和分布式程序（多个独立输入源）。
• 构建了一个概念验证实现，用于在真实世界案例研究中评估该框架，包括一个状态级别计算程序。

实验结果

研究问题

• RQ1 对于具有单一输入源（单体情形）的确定性程序，运行时监控能否检测数据最小化的违反？
• RQ2 在具有独立输入源的分布式程序中，能否监控非最小性？
• RQ3 在何种条件下，最小性及其否定的监控是可判定的？
• RQ4 能否从程序行为中自动合成最小化器（一种保持输出的压缩输入表示）？
• RQ5 所提出的监控框架在真实世界程序中表现如何，特别是具有循环或复杂逻辑的程序？

主要发现

• 一般情况下，最小性监控是不可判定的，即使对于单体程序，也由于输入集合之间语义等价性的不可判定性而无法判定。
• 在单体情形和分布式情形的强版本中，可以检测非最小性，但在一般分布式情形下无法检测。
• 在特定结构条件下，通过预部署环境中的有界监控过程，可判定最小性与非最小性。
• 所提出的算法在涉及航班状态计算的真实世界案例研究中，用时少于0.02秒成功计算出最小化器。
• 最小化器合成方法将输入空间划分为17个等价类，降低了输入精度而不改变输出行为。
• 该框架支持黑盒程序，仅需输入-输出行为，而无需源代码，与以往依赖符号执行和SAT求解器的方法不同。