[论文解读] SMCQL: Secure Querying for Federated Databases

Johes Bater, Gregory Elliott+4 more|arXiv (Cornell University)|Jun 22, 2016

Cryptography and Data Security参考文献 31被引用 5

一句话总结

该论文提出 smcql，一种框架，通过安全多方计算（SMC）实现由互不信任的各方组成的联邦数据库上的安全、隐私保护查询。通过将 SQL 查询转换为 SMC 原语并优化其执行以最小化昂贵的安全计算开销，smcql 允许研究人员在不向数据提供方或中介方暴露敏感数据的情况下评估复杂查询（如稀有疾病患者计数），并在真实医疗数据集上实现了实用性能。

ABSTRACT

People and machines are collecting data at an unprecedented rate. Despite this newfound abundance of data, progress has been slow in sharing it for open science, business, and other data-intensive endeavors. Many such efforts are stymied by privacy concerns and regulatory compliance issues. For example, many hospitals are interested in pooling their medical records for research, but none may disclose arbitrary patient records to researchers or other healthcare providers. In this context we propose the Private Data Network (PDN), a federated database for querying over the collective data of mutually distrustful parties. In a PDN, each member database does not reveal its tuples to its peers nor to the query writer. Instead, the user submits a query to an honest broker that plans and coordinates its execution over multiple private databases using secure multiparty computation (SMC). Here, each database's query execution is oblivious, and its program counters and memory traces are agnostic to the inputs of others. We introduce a framework for executing PDN queries named SMCQL. This system translates SQL statements into SMC primitives to compute query results over the union of its source databases without revealing sensitive information about individual tuples to peer data providers or the honest broker. Only the honest broker and the querier receive the results of a PDN query. For fast, secure query evaluation, we explore a heuristics-driven optimizer that minimizes the PDN's use of secure computation and partitions its query evaluation into scalable slices.

研究动机与目标

• 解决在互不信任的各方（如医院）之间协作数据分析的挑战，同时不损害数据隐私。
• 设计一个系统，使研究人员能够在分布式的私有数据库上运行标准 SQL 查询，同时保护单个元组和中间结果的机密性。
• 通过查询计划优化和减少对 SMC 的依赖（采用启发式方法和查询分割），最小化安全计算的性能开销。
• 在去中心化、隐私保护的环境中，支持任意 SQL 操作（包括比较和嵌套查询），同时确保安全性和正确性。
• 构建一个实用的开源框架，可部署于临床研究网络等现实世界数据共享场景。

提出的方法

• 该系统采用私有数据网络（PDN）架构，其中诚实中介协调跨私有数据提供方的查询执行，但不访问其原始数据。
• SQL 查询被转换为安全多方计算（SMC）原语，确保各方的计算对其他人输入保持无感知。
• 基于启发式的查询优化器识别 SMC 必需的区域，并重构查询计划以减少 SMC 使用，包括数据分区和在明文环境中部分执行操作符。
• 框架采用针对 SQL 的安全类型系统，以追踪数据敏感性并在查询操作符间强制执行隐私属性。
• 安全计算在数据提供方主机上本地执行，消除了对可信第三方或外包云服务器的依赖。
• 系统通过现有基于 SMC 的技术，支持跨数据库的共享标识符（如患者 ID）的安全记录关联。

实验结果

研究问题

• RQ1 如何在不暴露原始数据的情况下，实现由互不信任的各方组成的联邦数据库上的安全、隐私保护查询？
• RQ2 哪些技术可以最小化安全多方计算在数据库查询执行中的性能开销？
• RQ3 如何在隐私保护框架内支持复杂 SQL 操作（如比较、聚合和嵌套查询）？
• RQ4 我们能否设计一个系统，使研究人员能够使用标准 SQL，同时确保数据提供方和中介方均无法获知安全计算的明文输出结果？
• RQ5 在分布式查询处理中，哪些优化手段能有效减少 SMC 使用，同时保持正确性和安全性？

主要发现

• smcql 成功将复杂 SQL 查询转换为保护隐私的安全计算计划，同时实现准确的查询结果。
• 该系统在真实医疗数据集上实现了可用性能，PDN 查询即使在输入规模较大时也能在合理时间内完成。
• 通过数据分区和启发式优化，该框架显著减少了昂贵 SMC 操作的使用，提升了效率。
• 该框架支持任意元组比较（如 ≤、≥）和嵌套查询——这些功能在先前工作中缺失——且不会泄露中间信息。
• 该系统防止数据提供方和诚实中介方获知安全计算的明文输出，隐私保护程度超越了先前方法。
• 作者已为开源发布准备了 smcql，并正与临床数据网络合作，测试其在现实世界场景中的部署。