[论文解读] VAMS: Verifiable Auditing of Access to Confidential Data

Alexander Hicks, Vasilios Mavroudis+3 more|arXiv (Cornell University)|May 12, 2018

Privacy-Preserving Technologies in Data参考文献 78被引用 3

一句话总结

VAMS 是一种可验证审计系统，通过防篡改日志、用户特定的日志标签以及 MultiBallot——ThreeBallot 的一种新颖扩展——实现对机密数据访问的透明且保护隐私的审计，支持公开可验证的统计信息并实现最小隐私损失。评估表明，Hyperledger Fabric 和 Trillian 的实现均适用于医疗保健和执法数据访问等实际用例。

ABSTRACT

We propose VAMS, a system that enables transparency for audits of access to data requests without compromising the privacy of parties in the system. VAMS supports audits on an aggregate level and an individual level, by relying on three mechanisms. A tamper-evident log provides integrity for the log entries that are audited. A tagging scheme allows users to query log entries that relate to them, without allowing others to do so. MultiBallot, a novel extension of the ThreeBallot voting scheme, is used to generate a synthetic dataset that can be used to publicly verify published statistics with a low expected privacy loss. We evaluate two implementations of VAMS, and show that both the log and the ability to verify published statistics are practical for realistic use cases such as access to healthcare records and law enforcement access to communications records.

研究动机与目标

• 为解决对敏感数据（如医疗记录和通信元数据）访问审计缺乏透明度和信任的问题。
• 在不损害个人隐私或数据访问正当理由的前提下，确保审计的完整性。
• 支持可公开验证且防篡改的汇总级别与个体级别审计。
• 支持持续、可重复使用的数据访问以供审计，而不会耗尽隐私预算，与差分隐私方法不同。
• 提供轻量级、可扩展的叠加系统，可无缝集成至现有数据工作流中，而无需替换核心组件。

提出的方法

• 利用防篡改日志确保审计记录的完整性，防止未经授权的修改。
• 采用日志条目标签方案，使用户能够私密地检索与其自身相关的条目，而不会暴露其他条目。
• 提出 MultiBallot，即 ThreeBallot 投票方案的新型改编，用于生成合成数据集，以实现对公开统计信息的公开验证。
• 在 MultiBallot 中采用基于规则的机制，使公开验证汇总统计信息成为可能，同时将预期隐私损失降至最低。
• 支持 Hyperledger Fabric 和 Trillian 作为底层日志实现，以评估可扩展性与功能性。
• 将系统设计为轻量级叠加层，可集成至现有数据访问工作流中，而无需修改核心系统。

实验结果

研究问题

• RQ1 如何在保护个人隐私和访问正当理由的前提下，实现对机密数据访问的透明审计？
• RQ2 系统能否在不泄露除有意披露信息外的任何敏感信息的前提下，提供对数据访问统计信息的公开可验证性？
• RQ3 个体用户如何验证其自身数据访问请求是否被正确记录和审计？
• RQ4 哪些机制可确保审计日志的完整性，而无需依赖可信第三方？
• RQ5 系统能否支持对数据的重复、无限制使用以供审计，而不会耗尽隐私预算，与差分隐私方案不同？

主要发现

• VAMS 有效实现了可公开验证的汇总级与个体级审计，在不损害隐私的前提下保障了透明性。
• 防篡改日志机制可检测到对审计条目的任何修改，从而维护审计完整性。
• 日志条目标签方案使用户能够高效且私密地检索与其自身数据访问请求相关的条目。
• MultiBallot 实现了对公开统计信息的公开验证，且仅带来极小的预期隐私损失，适用于实际应用场景。
• 在 Hyperledger Fabric 和 Trillian 上的评估表明，VAMS 具有足够的可扩展性和效率，适用于医疗保健和执法等实际部署场景。
• 与差分隐私方案不同，VAMS 不会耗尽隐私预算，允许对数据进行无限次重复使用以供审计，而不会损害实用性或隐私性。