[论文解读] SmartCoAuth: Smart-Contract privacy preservation mechanism on querying sensitive records in the cloud

Muhammed Siraj, Mohd Izuan Hafez Ninggal+3 more|arXiv (Cornell University)|Apr 6, 2020

Blockchain Technology Applications and Security参考文献 5被引用 5

一句话总结

SmartCoAuth 提出了一种基于区块链的框架，利用以太坊智能合约，为存储在云中的敏感记录（如医疗数据）提供隐私保护的访问控制。通过使用防篡改、去中心化的认证与授权机制，该系统在无信任环境中确保了安全、透明且可审计的查询，同时保护了数据隐私。

ABSTRACT

Sensitive records stored in the cloud such as healthcare records, private conversation and credit card information are targets of hackers and privacy abuse. Current information and record management systems have difficulties achieving privacy protection of such sensitive records in a secure, transparent, decentralized and trustless environment. The Blockchain technology is a nascent and a promising technology that facilitates data sharing and access in a secure, decentralized and trustless environment. The technology enables the use of smart contracts that can be leveraged to complement existing traditional systems to achieve security objectives that were never possible before. In this paper, we propose a framework based on Blockchain technology to enable privacy-preservation in a secured, decentralized, transparent and trustless environment. We name our framework SmartCoAuth. It is based on Ethereum Smart Contract functions as the secure, decentralized, transparent authentication and authorization mechanism in the framework. It also enables tamper-proof auditing of access to the protected records. We analysed how SmartCoAuth could be integrated into a cloud application to provide reliable privacy-preservation among stakeholders of healthcare records stored in the cloud. The proposed framework provides a satisfactory level of data utility and privacy preservation.

研究动机与目标

• 解决保护云中存储的敏感记录（如医疗数据）免受隐私泄露和未授权访问的挑战。
• 设计一种去中心化、无信任且透明的云敏感记录访问控制机制。
• 将智能合约集成到云应用中，以强制执行细粒度的访问策略，而无需依赖中心化权威机构。
• 实现对访问请求和决策的防篡改审计，以满足合规性和问责性要求。

提出的方法

• 该框架以以太坊智能合约作为去中心化认证与授权的核心机制。
• 访问控制策略被直接编码到智能合约中，确保隐私规则的程序化强制执行。
• 每个访问请求由智能合约验证，该合约检查用户权限，并将交易记录在区块链上。
• 该系统支持基于角色的访问控制（RBAC），并通过安全的API网关与现有云存储系统集成。
• 所有访问事件均在区块链上进行密码学记录，从而实现不可篡改的审计日志。
• 该架构通过限制对原始记录的直接访问，仅在策略验证成功后才揭示数据，从而确保数据机密性。

实验结果

研究问题

• RQ1 如何利用智能合约在去中心化的云环境中强制执行对敏感记录的细粒度访问控制？
• RQ2 在无信任的基于区块链的系统中，哪些机制可确保隐私保护的同时保持数据可用性？
• RQ3 如何利用区块链技术实现对敏感记录访问的透明且防篡改的审计？
• RQ4 此类框架在现实世界云应用（如电子健康记录系统）中的可行性如何？
• RQ5 所提出的系统在去中心化环境中如何在安全性、隐私性和性能之间取得平衡？

主要发现

• 该框架成功实现了使用以太坊智能合约对敏感记录进行安全、去中心化且可审计的访问。
• 所有访问决策均在区块链上进行密码学记录，确保了数据访问事件的防篡改审计能力。
• 通过基于策略的访问控制，系统在保护隐私的同时实现了令人满意的可用性水平。
• 原型实现表明，与云应用的集成是可行的，特别针对医疗数据用例进行了验证。
• 该解决方案支持基于角色的访问控制，并通过智能合约强制执行的策略防止未授权访问。
• 该方法消除了对中心化权威机构的依赖，从而增强了数据访问工作流中的信任与透明度。