数据外包中的隐私保护

本书主要研究云计算环境中数据外包时的隐私性保护，讨论关于安全数据外包的研究现状，总结数据外包情况下的查询计算机制、隐私性保护和数据完整性。本书假设服务器是诚实但好奇的（即半诚实的），设计了一个访问控制系统，为数据外包中的访问控制机制更新提出了有效策略。为了保证解的安全性，该书也考虑了不同服务器的合谋风险。在数据完整性方面，提供了一个约束模型并设计了查询分布式数据的机制。
本书对关系型数据外包中的几个安全问题进行了深入的研究，主要内容包括：
*，提出了一个方法合并权限和加密，并将数据与访问控制外包。当指定一策略时，数据所有者无须参与该策略的执行。
第二，提出了一个结合分裂和加密的方法来有效地执行数据集合上的隐私性约束，特别关注了查询的执行效率。
第三，提出一个简单但有效的方法来描述权限和实施权限，用于在分布式计算的各数据持有者之间控制数据的泄露，以确保查询执行过程只泄露被明确授权可公开的数据。

 

本书主要研究云计算环境中数据外包时隐私性的保护。首先讨论关于外包数据的研究现状，总结数据外包情况下的查询计算机制、隐私性保护和数据完整性。本书假设服务器是诚实但好奇的（即半诚实的），为数据外包设计了一个访问控制系统，为管理访问控制机制更新提出了有效策略。为了保证解的安全性，该书也考虑了不同服务器的合谋风险。在数据完整性方面，提供了一个约束模型并设计了查询分布式数据的机制。本书对关系型数据外包中的几个安全问题进行了深入的研究，主要内容包括：*，提出了一个方法合并权限和加密，并将数据与访问控制外包。当指定一策略时，数据所有者无须参与该策略的执行。第二，提出了一个结合分裂和加密的方法来有效地执行数据集合上的隐私性约束，特别关注了查询的执行效率。第三，提出一个简单但有效的方法来描述权限和实施权限，用于在分布式计算的各数据持有者之间控制数据的泄露，以确保查询执行过程只泄露被明确授权可公开的数据。

Sara Foresti在米兰大学计算机科学系获得博士学位，学习期间曾访问乔治.梅森大学信息系统中心。在Computers & Security、Proceedings – International Conference on Distributed Computing Systems、Lecture Notes in Computer Science、IEEE Transactions on Cloud Computing、Communications in Computer and Information Science等期刊上发表过多篇文章。
唐春明，博士、教授、博士生导师。2004年在中国科学院数学与系统科学研究院获应用数学专业博士学位，现在广州大学数学与信息科学学院工作。目前的研究领域为信息安全，特别是安全多方计算和外包计算，发表学术论文70多篇，申报专利5项（授权3项），主持和参与国家重大项目、863科技项目、国家自然科学基金项目等30多项。

1.1目的
1.2本书的贡献
1.2.1访问控制执行
1.2.2隐私保护
1.2.3数据安全整合
1.3本书的组织结构
2研究回顾
2.1简介
2.1.1本章大纲
2.2基本方案和数据组织
2.2.1参与各方
2.2.2数据组织
2.2.3相互作用
2.3加密数据查询
2.3.1桶算法
2.3.2基于哈希（hash）
2.3.3B 树方法
2.3.4保序加密方法
2.3.5其他方法
2.4推理泄露评估
2.5外包数据的完整性
2.6数据库的隐私保护
2.7 外包情形下的访问控制执行
2.8安全数据集成
2.9小结
3执行访问控制的选择性加密
3.1引言
3.1.1章节概要
3.2关系模型
3.2.1基本概念和符号
3.3访问控制与加密策略
3.3.1访问控制策略
3.3.2加密策略
3.3.3令牌管理
3.4 小加密策略
3.4.1顶点和边的选取
3.4.2顶点的分解
3.5 A2ε算法
3.5.1正确性和复杂度
3.6策略更新
3.6.1授权与撤销
3.6.2正确性
3.7策略外包的双层加密
3.7.1双层加密
3.8双层加密中的策略更新
3.8.1过度加密
3.8.2授权与撤销
3.8.3正确性
3.9保护计算
3.9.1暴露风险：Full_SEL
3.9.2暴露风险：Delta_SEL
3.9.3设计要素
3.10实验结果
3.11小结
4结合分裂与加密以保护数据加密
4.1引言
4.1.1本章概述
4.2机密性限制
4.3分裂与加密满足限制
4.4极小分裂
4.4.1 正确性
4.4.2化可见度
4.4.3 小化碎片
4.4.4分裂格
4.5一个完备的小分裂搜索方法
4.5.1计算小分裂
4.5.2正确性和复杂度
4.6小化分裂的一个启发式方法
4.6.1计算向量小分裂
4.6.2 正确性和复杂度
4.7将属性亲和力考虑进去
4.8化亲和力的一个启发式方法
4.8.1 用亲和力矩阵计算向量小分裂
4.8.2正确性与复杂度
4.9查询代价模型
4.10小化查询代价的一个启发式方法
4.10.1用代价函数计算一个向量小分裂
4.10.2正确性和复杂度
4.11查询执行
4.12索引
4.13实验结果
4.14小结
5安全的复合权限下的分布式查询处理
5.1引言
5.1.1本章概述
5.2预备知识
5.2.1数据模型
5.2.2分布式查询执行
5.3安全性模型
5.3.1权限
5.3.2关系文件
5.4基于图的模型
5.5授权的视图
5.5.1授权权限
5.5.2权限的组合
5.5.3算法
5.6安全查询规划
5.6.1第三方介入
5.7建立安全的查询规划
5.8小结
6 结束语
6.1总结贡献
6.2 未来工作
6.2.1访问隐私执行
6.2.2 隐私保护
6.2.3 安全数据整合

译者序
在信息技术快速发展的今天，许多企业、机构或个人需要管理大规模的数据，需要付出高昂的人力、物力进行有效管理。云计算技术或大数据平台拥有非常丰富的资源用于数据存储和计算，能够为用户提供高效的数据管理服务，从而将企业、机构或个人从繁重的数据管理任务中解脱出来，专注于其核心业务。
然而，如果将数据存储在云计算或大数据平台的服务器上，企业、机构或个人由于失去了对数据的直接物理控制，引发了许多安全问题，如数据隐私泄露、结果正确性验证等。为了使用户能够安心地使用云计算或大数据平台提供的服务，就需要解决这些问题。
本书为作者的博士论文的扩展，对关系型数据外包中的几个安全问题进行了深入的研究，主要内容包括：
，提出了一个方法合并权限和加密，并将数据与访问控制外包。当指定一策略时，数据所有者无须参与该策略的执行。
第二，提出了一个结合分裂和加密的方法来有效地执行数据集合上的隐私性约束，特别关注了查询的执行效率。
第三，提出一个简单但有效的方法来描述权限和实施权限，用于在分布式计算的各数据持有者之间控制数据的泄露，以确保查询执行过程只泄露被明确授权可公开的数据。
本书由唐春明、姚正安和盛刚翻译并审校，参与本书整理工作的还有来自广州大学信息安全技术省重点实验室的博士生任燕、胡杏、陈月乃和硕士生张晓军等。在此，向所有为本书出版提供帮助的人士表示诚挚的谢意！
由于译者水平有限，书中翻译不妥之处，敬请广大读者和专家同行批评指正。

序
今天，数据外包作为一个成功案例出现，它允许组织和用户利用外部服务对资源进行分配。事实上，组织机构发现借助于外部服务器来管理IT服务和数据，从而专注于他们内部的主要核心业务，这样做更安全、更实惠。同样，用户正越来越多地借助于外部服务来储存和分配用户生成的内容，大量提供这种服务的YouTube，MySpace和Flickr所获得的成功就说明了这个事实。
在这种新的外包和储存/分布情形下，对用户来说，保证数据的适度安全性和隐私性是重要的。然而，由于提供数据存储和访问服务的服务器不是完全可信的，这导致问题变得特别复杂。外包的数据通常包含敏感的信息，而这些敏感信息的发布应当受到严格的控制，甚至不允许被外部服务器访问。为了应对这个问题，现有的数据外包方案通常假设数据以加密的形式外包，同时附加数据的额外索引信息。这些额外信息允许对加密数据本身进行查询操作，从而避免了在查询计算中需要外部服务器对加密数据的解密。然而，这样的外包仅仅提供了一个基本的保护层，对外包数据中隐私保护的有效性、高效性、灵活性并没有提供一个完备的应对，许多挑战仍然有待解决。
首先，许多情况下对外包数据的访问具有选择性。我们怎么确保用户对外包数据的不同意见？除了数据，我们还能将管理和执行的授权外包给外部服务器吗？如果加密取决于授权，那么当授权改变时，我们如何避免需要重新上传资源的新版
本？
其次，当加密和解密在计算上可行时，查询加密数据的代价不可避免地越来越昂贵，并且可能仅适用于有限类型的查询。此外，当敏感的信息不仅是数据本身，还包含数据之间的关联时，加密可能代表着一种过度保护。那么，我们可以离开加密，比如分割数据以打破敏感关联吗？数据如何分割？我们需要对在物理分片以及在服务器上的存储做什么样的假设？如何在碎片数据上执行查询工作？
第三，在某些情况下，可能还需要在存储数据的服务器上执行分布式查询，存储在不同的服务器因此需要在各服务器之间对查询计算进行协作和信息共享。我们怎么建立授权调节服务器之间的信息共享？ 在查询计算中，我们怎么衡量由派生关系所携带的信息？我们怎么定义和执行一个允许执行协同查询和执行不同的授权的查询划？
本书所涉及的上述三个方面说明了该领域的研究状况，分析了所要解决的问题。本书探究了不同的方向并对它们的解决方案提出了可行的办法，也对某些开放性问题提出了意见和见解。本书代表着对安全和隐私方面感兴趣的学者和研究人员的宝贵灵感来源，特别是数据外包的情况，为他们所要考虑的不同问题提供一个良好的概述和分析，并给他们提供了解决办法。本书提供了一个完美的问题调查方法和醒目的开放性问题，还是今后研究的灵感源泉。
Pierangela Samarati  

前言
随着个人信息大集合的可用性以及支持数据密集型服务的数据存储设备的日益普及，认为服务提供商将会被越来越多地要求对存储、高效以及信息的可靠传播等负责的观点得到了支持，从而实现“数据外包”架构。在数据外包架构中，数据和前端应用程序一起储存在完全负责其管理的外部服务器的网站上。在外部服务器发布数据会提高服务的可用性，减少数据拥有者管理数据的负担，同时数据外包引进了新的隐私和安全担忧，因为存储数据的服务器可能是诚实但好奇的。一个诚实但好奇的服务器会诚实地管理数据，但可能会因读取它们的内容而不被数据拥有者所信任。为了确保充分的隐私保护，一个传统的方法是加密外包的数据，这样可以防止外部攻击以及从服务器本身的侵入。然而，这种传统的解决方法的缺点是降低了查询执行效率和防止选择性信息的发布。于是，这就引进了为外包数据访问控制和隐私限制的定义和执行制定新的模式和方法，同时确保有效的查询执行的必要性。
在本书中，我们提出了一个详尽的方法来保护那些储存于不在数据所有者控制之下的系统中的敏感信息。在设计一个系统以确保被诚实但好奇的服务器存储和管理的数据的保密性时，主要考虑三个安全方面的要求。个要求是访问控制的执行，以限制授权用户访问系统资源的能力。在传统意义上，由一个可信的数据管理系统模块负责执行访问控制策略。在此所考虑的情况下，服务提供商在执行访问控制策略上是不可信的，并且数据所有者也不愿去调解访问请求来过滤查询结果。因此，我们提出了一个新的访问控制系统，该系统基于选择性加密，这样该策略的执行不需要系统中存在可信模块。第二个要求是隐私保护，以限制非授权用户对存储/公布的数据的可视性，同时限度地减少使用加密方法。数据收集通常包含一些能够识别出个人的信息，它们在存储和传播给其他方时需要保护。例如，医疗数据不能和患者的身份信息一起存储或公开。为了确保隐私保护以及限制加密的使用，在本书中我们次提出一个解决办法，即通过保密性限制，用简单而强有力的方式来模拟隐私要求，隐私被定义为必须限制数据联合可见度的数据集。然后我们提出了一个执行保密性限制的机制，它基于碎片和加密技术的结合使用：碎片打破的关联将只对那些被授权、只有自己知道关联的用户可见。
第三个要求是安全数据整合，以限制授权用户为了分布式查询评估而交换数据的能力。事实上，通常需要储存用户个人信息的不同信息源合作以达到一个共同的目标。然而，这样的数据整合和共享可能受保密性限制，因为不同的参与方会被允许访问数据的不同部分。因此，我们提出了一个模型来方便表达数据交换的限制以及一个在分布式查询评估过程中执行的机制。
在本书中，为了在外包数据中执行访问控制，我们通过定义一个模型和一个机制， 通过引进一个执行隐私限制的分割和加密方法，以及通过设计来调节不同参与方之间的数据流的技术，来解决这三个关于安全方面的要求。主要的贡献可概述如下。
关于外包数据的访问控制执行，原创成果有：联合使用选择性加密与密钥派生策略以应对访问控制的执行；在密钥派生方面引进一个加密策略的极小性概念来正确执行访问控制策略而不降低它的有效性；开发了一个在多项式时间内计算小的加密策略的启发式方法；引进了一个两层加密模型来管理策略更新。
关于执行隐私保护的模型的定义，原创成果有：定义了保密性限制，这对模拟隐私要求来说是一个简单却完整的方法；引进小化碎片的概念，可以捕获一个碎片的性质来满足保密性限制，同时限度减少碎片数量；开发了一个有效计算小化碎片的方法，这是一个NP困难问题；引进三个局部的概念，该概念基于构成解决办法的碎片的结构，基于碎片中的属性的亲和力以及一个查询评估成本的模型；提出了三个不同的计算碎片方法以满足关于性的三个定义。
关于安全数据整合机制的设计，原创成果有：权限的定义对数据交换限制建模来说是一个简单但完整的方法；对权限和查询的建模通过基于图的模型的关系分布及其表示；引进了一个在多项式时间内对工作权限的组成的方法；定义了一个考虑数据交换限制同时设计一个查询执行计划的方法。
Sara Foresti_