Những vấn đề bảo mật khi truy vấn cơ sở dữ liệu XML động được outsourced

ĐẠI HỌC QUỐC GIA THÀNH PHỐ HỒ CHÍ MINH TRƢỜNG ĐẠI HỌC BÁCH KHOA  NGUYỄN VIỆT HÙNG NHỮNG VẤN ĐỀ BẢO MẬT KHI TRUY VẤN CƠ SỞ DỮ LIỆU XML ĐỘNG ĐƢỢC “OUTSOURCED” CHUYÊN NGÀNH: CÔNG NGHỆ THÔNG TIN MÃ SỐ NGÀNH: 60.48.01 LUẬN VĂN THẠC SĨ – TP Hồ Chí Minh 02/2007 – Trang 2/93 Đề tài: Security Issues in Querying Dynamic Outsourced XML Databases CƠNG TRÌNH ĐƯỢC HOÀN THÀNH TẠI TRƯỜNG ĐẠI HỌC BÁCH KHOA ĐẠI HỌC QUỐC GIA THÀNH PHỐ HỒ CHÍ MINH Cán hướng dẫn khoa học: Tiến sĩ ĐẶNG TRẦN KHÁNH Cán chấm nhận xét 1: Tiến sĩ NGUYỄN ĐỨC CƯỜNG Cán chấm nhận xét 2: Tiến sĩ TRẦN VĂN HOÀI Luận văn thạc sĩ bảo vệ HỘI ĐỒNG CHẤM BẢO VỆ LUẬN VĂN THẠC SĨ TRƯỜNG ĐẠI HỌC BÁCH KHOA, ngày 03 tháng 02 năm 2007 SV: Nguyễn Việt Hùng HD: TS Đặng Trần Khánh TRƯỜNG ĐẠI HỌC BÁCH KHOA PHÒNG ĐÀO TẠO SĐH CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM ĐỘC LẬP – TỰ DO – HẠNH PHÚC Tp HCM, ngày tháng năm 200 NHIỆM VỤ LUẬN VĂN THẠC SĨ Họ tên học viên: Nguyễn Việt Hùng Ngày, tháng, năm sinh: 14 tháng 01 năm 1981 Chuyên ngành: Công nghệ thông tin Phái: Nam Nơi sinh: Kiên Giang MSHV: 00703170 I- TÊN ĐỀ TÀI: Các vấn đề bảo mật việc truy vấn CSDL XML động outsourced II- NHIỆM VỤ VÀ NỘI DUNG: - Tìm hiểu tổng quan vấn đề liên quan bảo mật CSDL outsourced - Tìm hiểu nghiên cứu liên quan khía cạnh Query Assurance - Đề xuất giải pháp kiểm tra query assurance cho CSDL XML outsourced - Xây dựng chương trình thực giải pháp, đo đạc đánh giá giải pháp đề III- NGÀY GIAO NHIỆM VỤ : IV- NGÀY HOÀN THÀNH NHIỆM VỤ: V- CÁN BỘ HƢỚNG DẪN: Tiến sĩ Đặng Trần Khánh CÁN BỘ HƢỚNG DẪN (Học hàm, học vị, họ tên chữ ký) CN BỘ MÔN QL CHUYÊN NGÀNH Nội dung đề cương luận văn thạc sĩ Hội đồng chun ngành thơng qua TRƢỞNG PHỊNG ĐT – SĐH Ngày tháng năm 2006 TRƢỞNG KHOA QL NGÀNH Trang 4/93 Đề tài: Security Issues in Querying Dynamic Outsourced XML Databases ACKNOWLEDGEMENT I would like to express my gratefulness To my mom and dad who has brought me up and done everything for my life; To my advisor, Dr DangTran Khanh, who has advised me with all his heart; To my friends who are always in my side, and especially, to my colleagues who are willing to help me complete some parts of the work SV: Nguyễn Việt Hùng HD: TS Đặng Trần Khánh Trang 5/93 Đề tài: Security Issues in Querying Dynamic Outsourced XML Databases ABSTRACT With the impressive improvement of the network technologies, database outsourcing is emerging as an important trend beside the “application-as-a-service” In this model, data owners ship their data to external service providers Service providers data management tasks and offer their clients a mechanism to manipulate outsourced database Since a service provider is not always fully trusted, security and privacy of outsourced data are important issues These problems are referred as data confidentiality, user privacy, data privacy and query assurance Among them, query assurance takes a crucial role to the success of the database outsourcing model To the best of our knowledge, however, query assurance, especially for outsourced XML database, has not been concerned reasonably in any previous work In this paper, we propose a novel index structure, Nested Merkle B+ Tree, combining the advantages of B+ tree and Merkle Hash Tree to completely deal with three issues of query assurance known as correctness, completeness and freshness in outsourced XML database Experimental results with real dataset prove the effeciency of our proposed solution SV: Nguyễn Việt Hùng HD: TS Đặng Trần Khánh Đề tài: Security Issues in Querying Dynamic Outsourced XML Databases Trang 6/93 TÓM TẮT Với phát triển vượt bậc lĩnh vực công nghệ mạng cho đời nhiều dịch vụ từ xa, đặc biệt đời dịch vụ “application as a service” Dịch vụ giúp cho người tiếp cận cách hợp pháp với phần mềm với chi phí thấp Thời gian gần đây, xuất xu cho phép làm giảm chi phí quản lý liệu qua dịch vụ gọi “database outsourcing” Với dịch vụ này, đơn vị, tổ chức lưu trữ thơng tin, liệu máy chủ nhà cung cấp dịch vụ Các nhà cung cấp dịch vụ đảm nhận cơng tác bảo trì máy chủ, bảo trì phần mềm DBMS bảo trì CSDL khách hàng Bên cạnh đó, họ cung cấp chế cho phép đơn vị, tổ chức thao tác CSDL Tuy nhiên, thông tin vốn tài sản q báu, nên đơn vị hồn tồn khơng thể tin cậy nhà cung cấp dịch vụ việc đảm bảo an tồn cho CSDL Do phát sinh yêu cầu bảo mật CSDL outsourced Các vấn đề tóm gọn bốn yêu cầu bảo mật, bao gồm: data confidentiality, data privacy, user privacy query assurance Ngoài phần giới thiệu tổng quan kết đạt lĩnh vực data outsourcing, tài liệu đưa cấu trúc mục cho liệu XML Dựa cấu trúc này, tài liệu trình bày phương pháp đảm bảo truy vấn cho CSDL XML outsourced số kết thực nghiệm thực cho phương pháp SV: Nguyễn Việt Hùng HD: TS Đặng Trần Khánh Đề tài: Security Issues in Querying Dynamic Outsourced XML Databases Trang 7/93 MỤC LỤC ACKNOWLEDGEMENT ABSTRACT Chƣơng GIỚI THIỆU 1.1 Data Confidentiality 12 1.2 User Privacy Data Privacy 13 1.3 Query Assurance 17 1.4 Nhận xét 19 Chƣơng CÁC NGHIÊN CỨU LIÊN QUAN 22 2.1 Khái niệm 22 2.2 Hướng tiếp cận dùng chữ ký điện tử 23 2.3 Hướng tiếp cận sử dụng cấu trúc liệu đặc biệt 25 2.4 Hướng tiếp cận Challenge – Response 28 2.5 Hướng tiếp cận dựa vào đặc thù toán 30 2.6 Bảo đảm truy vấn cho liệu dạng 31 2.7 Nhận xét 33 Chƣơng DỮ LIỆU XML 35 3.1 Mơ hình lưu trữ 35 3.2 Chỉ mục cho tài liệu XML 40 Chƣơng ĐẢM BẢO TRUY VẤN 42 4.1 Phương pháp 42 4.2 Nested B+ Tree 43 4.3 Tác vụ chọn 46 4.4 Các tác vụ cập nhật liệu 49 Chƣơng PHÂN TÍCH 51 Chƣơng THỰC NGHIỆM 58 Chƣơng KẾT LUẬN 63 Chƣơng PHỤ LỤC 67 8.1 Cấu trúc lưu trữ XML 67 8.2 Giải thuật gán nhãn (labeling) 67 8.3 Chương trình thử nghiệm 68 8.4 Lược đồ tài liệu mondial.xml 71 8.5 Kế hoạch thực thi truy vấn 72 8.6 Tóm lược nghiên cứu liên quan 73 8.7 Bài báo liên quan 83 SV: Nguyễn Việt Hùng HD: TS Đặng Trần Khánh Đề tài: Security Issues in Querying Dynamic Outsourced XML Databases Trang 8/93 Chương GIỚI THIỆU Thông tin nguồn tài nguyên quan trọng tổ chức Quản lý xử lý thông tin hiệu tập trung quan tâm người Với đời máy tính điện tử (eclectronic computer) máy tính cá nhân (personal computer – PC), ngành khoa học máy tính mang đến kỷ nguyên mới, kỷ nguyên thông tin, tác động mạnh mẽ đến lĩnh vực đời sống Dữ liệu lưu trữ thành các sở liệu (CSDL), thông thường, đặt nội tổ chức (in-house database) Điều đòi hỏi tổ chức phải đầu tư khoản chi phí cho việc quản lý hệ thống CSDL, bao gồm: thiết bị phần cứng (máy móc, hệ thống mạng), phần mềm (hệ quản trị CSDL – DBMS, chương trình ứng dụng cụ thể,…), nhân (nhân viên quản trị mạng, nhân viên quản trị CSDL,…) Cùng với phát triển xã hội nói chung tổ chức nói riêng, nhu cầu lưu trữ xử lý ngày gia tăng phức tạp Những yêu cầu làm tăng tổng chi phí quản lý Mặc dù, giá thành phần cứng giảm nhiều, chi phí quyền phần mềm, chi phí cho đội ngũ nhân viên quản trị có trình độ cao để quản lý hệ thống thông tin ngày phức tạp thật vấn đề đáng quan tâm tổng chi phí sở hữu (total cost of ownership) tổ chức Điều đặc biệt quan trọng tổ chức vừa nhỏ, tổ chức phi lợi nhuận,… Trong năm gần đây, tiến vượt bậc công nghệ mạng truyền thông cho đời hệ thống mạng tốc độ cao, băng thông rộng, khai sinh khái niệm “application as a service” Người dùng cần phải trả khoản phí nhỏ cho nhà cung cấp dịch vụ sử dụng phần mềm mà không cần phải quan tâm đến chi phí quyền, chi phí cài đặt bảo trì hệ thống SV: Nguyễn Việt Hùng HD: TS Đặng Trần Khánh Trang 9/93 Đề tài: Security Issues in Querying Dynamic Outsourced XML Databases Bên cạnh đó, dịch vụ khác dần hình thành, “database as a service”, cung cấp cho người dùng nơi lưu trữ truy xuất liệu với chi phí thấp, mà khơng cần phải mua sắm thiết bị, địi hỏi phải có đội ngũ chun trách Điều giúp giảm đáng kể chi phí quản lý thông tin cho tổ chức Outsourced Databases Data Owner Services Provider Submit Queries Clients Result Data Hình 1.1 Mơ hình “Database as a Service” Trong mơ hình “database as a service”, người sở hữu liệu (data owner – DO) đặt CSDL nhà cung cấp dịch vụ (service provider – SP) cho khách hàng (clients, queriers – C, Q) thực tác vụ CSDL select, insert update Mơ hình cịn gọi “outsourced database services” (ODBS) Thông tin tài sản quan trọng tổ chức Việc đặt CSDL lưu trữ thông tin nơi không tin cậy bên tổ chức (nhà cung cấp dịch vụ) làm nảy sinh vấn đề bảo mật Chính vấn đề định tính khả thi Dịch vụ CSDL outsource (outsourced database services – ODBS) Các CSDL outsourced phải đảm bảo an toàn, ngăn cấm truy cập tổ chức/cá nhân thẩm quyền, kể nhà cung cấp dịch vụ Khi đó, nhà cung cấp dịch vụ trở thành đối tượng nguy hiểm việc đảm bảo bảo mật liệu Do xâm nhập từ bên ngoài, cao nhất, đạt khả truy cập hệ thống nhà cung cấp dịch vụ Vì nghiên cứu chủ yếu tập trung vào việc ngăn chặn hành vi xâm nhập nhà cung cấp dịch vụ (service provider – SP) Về mặt bản, vấn đề bảo mật CSDL SP chia thành bốn lĩnh vực sau [1]: SV: Nguyễn Việt Hùng HD: TS Đặng Trần Khánh Trang 10/93 Đề tài: Security Issues in Querying Dynamic Outsourced XML Databases Data confidentiality tính nội liệu Chủ sở hữu liệu (data owner – DO) không muốn người khác khơng có thẩm quyền có khả truy cập CSDL mình, kể SP User privacy tính riêng tư người dùng Thơng tin hàng hóa Do bán cho công ty khác Các công ty khách hàng không muốn để lộ thông tin mà họ khai thác, kể DO SP Data privacy tính bảo mật liệu DO khơng muốn khách hàng khai thác nhiều thông tin mà họ phép khai thác Query Assurance tính bảo đảm truy vấn Khách hàng (Client) phải đảm bảo liệu mà nhận xác, đầy đủ từ CSDL nguyên thủy DO cung cấp, mà không bị thay đổi ý muốn Bảng 1.1 Các vấn đề bảo mật ODBS Song song với việc đảm bảo yêu cầu bảo mật, ta cần phải quan tâm đến hiệu thực truy vấn (performance) khả mở rộng CSDL (scalability, usability) Để đảm bảo data confidentiality, liệu mã hóa trước “outsourced” Tuy nhiên điều làm tăng tính phức tạp việc xử lý truy vấn liệu mã hóa mà phải đảm bảo yêu cầu bảo mật khác SV: Nguyễn Việt Hùng HD: TS Đặng Trần Khánh ... Giang MSHV: 00703170 I- TÊN ĐỀ TÀI: Các vấn đề bảo mật việc truy vấn CSDL XML động outsourced II- NHIỆM VỤ VÀ NỘI DUNG: - Tìm hiểu tổng quan vấn đề liên quan bảo mật CSDL outsourced - Tìm hiểu nghiên... (SP) thực truy vấn lưu trữ thông qua đường truy? ??n mạng bảo mật Clients trả chi phí cho data owner để có quyền truy cập liệu, thực truy cập liệu trực tiếp từ SP thông qua đường truy? ??n bảo mật Trong... Bảng 1.1 Các vấn đề bảo mật ODBS Song song với việc đảm bảo yêu cầu bảo mật, ta cần phải quan tâm đến hiệu thực truy vấn (performance) khả mở rộng CSDL (scalability, usability) Để đảm bảo data confidentiality,