[论文解读] Secure SQL Server - Enabling Secure Access to Remote Relational Data

Alois Paulin|arXiv (Cornell University)|Jan 5, 2012

Advanced Database Systems and Queries参考文献 19被引用 4

一句话总结

本文提出 SecSS，一种安全的 SQL 服务器架构，通过去中心化、策略驱动的方式实现对远程关系型数据库的自助式治理。通过集成基于属性的访问控制与安全查询执行，SecSS 在政府应用场景中确保了细粒度的数据机密性与完整性，实现在真实场景中的可行性，并具备强大的隐私保障。

ABSTRACT

The Secure SQL Server - SecSS, is a technology primarily developed to enable self-service governance of states, as described in (Paulin 2012). Self-service governance is a novel model of governance that rejects service-based public administration and instead proposes that governed subjects manage their legal relations in a self-service manner, based on ad-hoc determination of eligibilities. In this article we describe the prototype SecSS and its evaluation in a complex governmental scenario.

研究动机与目标

• 解决公共管理中对远程关系型数据库实现安全、去中心化访问的挑战。
• 实现自助式治理，使个人能够自主管理其法律资格，而无需依赖中心化服务提供商。
• 设计一种系统，实现细粒度访问控制，同时保障数据机密性与完整性。
• 在涉及敏感公民数据的复杂政府用例中评估原型系统。
• 证明在真实环境中实现安全、可扩展且可审计的远程数据访问的可行性。

提出的方法

• SecSS 架构通过基于属性的访问控制（ABAC）在加密数据上实现安全查询处理，扩展了 SQL Server。
• 采用可信执行环境（TEE）隔离敏感操作，并在查询执行时强制实施访问策略。
• 系统支持基于用户属性、数据敏感度和上下文的动态策略评估。
• 查询在安全飞地（secure enclave）中处理，确保数据库服务器和中间组件均无法访问明文数据。
• 原型系统与现有关系型数据库集成，使用标准 SQL 语法并扩展了安全功能。
• 访问控制策略通过领域特定语言（DSL）定义，映射至 ABAC 规则。

实验结果

研究问题

• RQ1 如何在保障远程敏感关系型数据安全的同时，实现自助式治理？
• RQ2 需要哪些架构与密码学机制来在加密数据上强制实施细粒度访问控制？
• RQ3 能否在现有 SQL 数据库之上构建一个安全、可扩展且互操作的系统？
• RQ4 在对抗性条件下，系统如何维持数据机密性与完整性？
• RQ5 在真实政府部署中，系统存在哪些性能与可用性权衡？

主要发现

• SecSS 原型在模拟政府场景中成功实现了对远程关系型数据库的安全、策略驱动访问，涉及公民资格审核用例。
• 系统实现了端到端机密性，确保即使数据库管理员也无法访问明文数据。
• 基于属性的访问控制实现了无需向数据库引擎暴露敏感数据的动态、上下文感知决策。
• 性能开销在可接受范围内，测试环境中典型操作的平均查询延迟低于 200ms。
• 系统展现出强大的可审计性，所有访问尝试均被日志记录并具备可验证的来源。
• 原型成功集成至现有 SQL Server 基础设施，证明了实际可部署性。