[论文解读] Private Data Objects: an Overview

Mic Bowman, Andrea Miele+2 more|arXiv (Cornell University)|Jul 16, 2018

Blockchain Technology Applications and Security参考文献 11被引用 29

一句话总结

私有数据对象（PDOs）通过使用英特尔SGX启用的安全飞地实现机密性和完整性，使互不信任的各方能够在私有数据上执行智能合约，同时利用分布式账本记录并验证状态转换。其主要贡献是一种去中心化、与账本无关的架构，通过硬件隔离和密码学验证确保数据隐私、执行完整性以及可验证的信任。

ABSTRACT

We present Private Data Objects (PDOs), a technology that enables mutually untrusted parties to run smart contracts over private data. PDOs result from the integration of a distributed ledger and Intel Secure Guard Extensions (SGX). In particular, contracts run off-ledger in secure enclaves using Intel SGX, which preserves data confidentiality, execution integrity and enforces data access policies (as opposed to raw data access). A distributed ledger verifies and records transactions produced by PDOs, in order to provide a single authoritative instance of such objects. This allows contracting parties to retrieve and check data related to contract and enclave instances, as well as to serialize and commit contract state updates. The design and the development of PDOs is an ongoing research effort, and open source code is available and hosted by Hyperledger Labs [5, 7].

研究动机与目标

• 解决基于分布式账本的智能合约中数据保密性与可验证性之间的矛盾。
• 使互不信任的各方能够利用可信执行环境安全处理私有数据。
• 设计一种在保障数据保密性的同时，通过账本确保执行完整性和可审计性的系统。
• 通过可验证执行和撤销机制，限制飞地被攻破的影响。
• 提供一种去中心化、与账本无关的架构，用于私有合约执行，并支持知情的信任模型。

提出的方法

• PDOs在英特尔SGX飞地中离账本执行智能合约，通过硬件隔离确保数据保密性和执行完整性。
• 分布式账本记录并验证合约状态更新、飞地注册和撤销操作，确保单一权威真相来源。
• 飞地配置由可信配置服务（PSs）管理，其身份和行为在账本上公开发布，以支持可审计性。
• 通过要求飞地对状态转换进行密码学签名，并由账本节点验证，强制执行执行完整性。
• 多个飞地可重新执行相同方法以验证正确性，通过输出的一致性检测异常行为。
• 状态数据按DAO加密，使用在飞地中保护的密钥，将保密性泄露限制在被攻破飞地的数据范围内。

实验结果

研究问题

• RQ1 如何在去中心化、互不信任的环境中执行私有数据上的智能合约，同时保持可验证性和信任？
• RQ2 在分布式账本环境中使用可信执行环境时，应采用何种机制确保数据保密性和执行完整性？
• RQ3 系统如何检测并响应飞地被攻破的情况，而不依赖单一可信权威？
• RQ4 分布式账本在维护离账本合约执行的一致性和问责性方面发挥什么作用？
• RQ5 用户如何在不暴露私有数据的前提下，建立对飞地提供者和执行环境的知情信任？

主要发现

• PDOs成功将合约执行与账本解耦，通过避免在所有节点上重复执行提升了性能。
• 使用英特尔SGX确保了强大的数据保密性和执行完整性，即使在存在不可信操作系统和网络对等方的情况下亦然。
• 飞地的配置和注册在账本上公开可验证，使参与者能够基于声誉和身份评估提供者的可信度。
• 在飞地被攻破的情况下，数据保密性仅限于特定合约的状态，因为每个PDO使用唯一的加密密钥。
• 通过多个飞地重新执行进行验证，可检测恶意行为，各飞地输出一致即作为正确性的证明。
• 该系统支持飞地撤销和状态提交撤销，可在发生不当行为时实现恢复，同时保持账本一致性。