Begrenzte Freigabe privater Daten

Transkript

1 Begrenzte Freigabe privater Daten Matthias Kirschner Einführung Architektur Semantisches Modell Query Modifikation Fazit

2 Szenario DBTabelle mit Seminarteilnehmern Mnr Name Thema Note Adam A 2.0 a@d.am 1002 Berta B 3.3 b@er.ta 1003 Chris C 2.7 c@hr.is Prüfungssekretariat Studenten Professoren Freigabe soll begrenzt werden Einführung Architektur Semantisches Modell Query Modifikation Fazit Einführung Begrenzte Freigabe privater Daten Matthias Kirschner 2/28

3 Richtlinien für Sichtbarkeit Mnr Name Thema Note Adam A 2.0 a@d.am 1002 Berta B 3.3 b@er.ta 1003 Chris C 2.7 c@hr.is Prüfungssekretariat Studenten Professoren Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 3/28

4 Richtlinien für Sichtbarkeit Mnr Name Thema Note Adam A 2.0 a@d.am 1002 Berta B b@er.ta 1003 Chris C Prüfungssekretariat Studenten Professoren Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 4/28

5 Richtlinien für Sichtbarkeit Mnr Name Thema Note Adam A 2.0 a@d.am 1002 Berta B 3.3 b@er.ta 1003 Chris C c@hr.is Prüfungssekretariat Studenten Professoren Wie kann Einhaltung technisch erzwungen werden? Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 5/28

6 Anforderungen an Architektur Korrektheit bezüglich Richtlinien Feine Granularität: Zellebene ok x ok x x x x ok x Anwendbarkeit auf bestehende Infrastruktur Geringe Reorganisation von Daten Keine Änderungen an Applikationen Geringer Overhead Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 6/28

7 Filterung durch Middleware Idee: Middleware filtert Result Set AW Q RS (gefiltert) MW Q RS DB Warum lässt die Architektur Rückschlüsse auf verbotene Daten (z.b. Noten) zu? Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 7/28

8 Filterung durch Middleware Ansatz problematisch bei Selektion: SELECT Name FROM Student WHERE Note > 2.0 Berta Chris Note nicht im Result Set: Keine Filterung! Rückschlüsse möglich aufgrund Selektion Binäre Suche bei numerischen Werten Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 8/28

9 Modifikation der Query Idee: Ändere statt Result Set die Query Wie kann die Query SELECT Name, Note FROM Studenten geeignet umgeschrieben werden? Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 9/28

10 Zwei Lösungsbeispiele SELECT Name, Note FROM Studenten WHERE Mnr =1001 UNION SELECT Name, null FROM Studenten WHERE Mnr!=1001 Adam Berta Chris 2.0 SELECT Name, CASE WHEN Mnr=1001 THEN Note ELSE null END FROM Studenten Adam Berta Chris 2.0 Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 10/28

11 Übersicht über Architektur AW 1. Query, $USERID 4. Result Set Query Modifier 2. Lese Meta Daten 3. Lese Daten mit modifizierter Query Privacy Meta Daten Daten Wahl Tabellen Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 11/28

12 Privacy Meta Daten Menge von Zugriffsregeln Regeln bestehen aus Datensatz: Tabelle, Spalte Empfänger Bedingung (beliebiges SQLPrädikat) Empfänger sieht Daten, wenn Regel für ihn existiert Bedingung erfüllt ist Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 12/28

13 Privacy Meta Daten Beispiel RID Empfänger Tabelle Spalte CID 1 Student Studenten Note 1 2 Professor Studenten Note 2 3 Student Studenten 3 4 Prüfungssekr. Studenten Note CID Prädikat Studenten.Mnr=$USERID EXISTS (SELECT ProfID FROM Professoren, Betreut WHERE ProfID=Betreut.PID AND Studenten.Mnr=Betreut.Mnr AND ProfID=$USERID) EXISTS (SELECT _wahl FROM Studenten_Wahl WHERE Studenten.Mnr=Studenten_Wahl.Mnr AND _wahl="ok") Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 13/28

14 Wahltabellen Beispiel Speicherung individueller Freigabewünsche Mnr Mnr_W Name_W Thema_W Note_W _w 1001 ok ok x x ok 1002 x x x x ok 1003 ok ok ok x x komplexere Wahltabellen denkbar z.b. offen legen nur bei bestimmten Personen/Gruppen Einführung Architektur Semantisches Modell Query Modifikation Fazit Architektur Begrenzte Freigabe privater Daten Matthias Kirschner 14/28

15 Table Semantics Sicht Tj auf Tabelle T für jeden Empfänger j m Empfänger, n spaltige Tabelle T: konzeptuelle Erweiterung von T um m*n Spalten t[1] t[2] t[3] t[1,1] t[1,2] t[2,1] t[2,2] t[3,1] t[3,2] c1 x c2 x c3 ok c1 x c2 x c3 ok t[i]: Tabellenspalte i, 1 i n t[i,j]: Freigabebedingung für Spalte i, Empfänger j verbotene Werte: null Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 15/28

16 Begrenzte Freigabe privater Daten Matthias Kirschner 16/28 Einführung Architektur Semantisches Modell Query Modifikation Fazit Table Semantics Model Definition Tabelle T mit n Spalten, K Primärschlüssel eval(t[i,j]): Auswertung der Bedingung t[i,j] = = = = sonst null true j i t eval i t i r n i i true j k t eval K k T t r Tj : ) ], [ ( : ] [ ] [ :,1 ]), [ ( : : Semantisches Modell

17 Table Semantics Beispiel Datentabelle T Adam A 2.0 a@d.am Berta B 3.3 b@er.ta Wahl für Empfänger j 1001 ok ok x x ok 1002 x x x x ok 1003 Chris C 2.7 c@hr.is 1003 ok ok ok x ok Adam Chris B Sicht T j auf T a@d.am b@er.ta Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 17/28

18 Maskierung von Werten mit null Vorteile Prädikate werden nicht true: X > null: false X < null: false kein Einfluss auf Aggregatfunktionen Nachteile: null als Wert in Applikationslogik Alternative: prohibited Wert mit spezieller Semantik erfordert Änderungen an DBImplementation Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 18/28

19 Query Modifier wandelt Query Q in Query Q Result Set von Q gehorcht Table Semantics greift auf Privacy Meta Daten zu Zwei Varianten der Modifikation CaseStatements LeftOuterJoins Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 19/28

20 Modifikation mit Case (1) Student Adam fragt Noten ab: SELECT Name, Note FROM Studenten Name Adam Berta Chris Note SELECT t1.name, t1.note FROM (SELECT Name, CASE WHEN Mnr=1001 THEN Note ELSE null END FROM Studenten) AS t1(name, Note) Name Adam Berta Chris Note 2.0 Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 20/28

21 Modifikation mit Case (2): Selektion Query mit Selektionsbedingung: SELECT Name, Note FROM Studenten Berta WHERE Note > 2.0 Chris 2,7 3,3 SELECT t1.name, t1.note FROM (SELECT Name, CASE WHEN c1 THEN Note ELSE null END FROM Studenten) AS t1(name, Note) } Adam Berta Chris 2.0 WHERE t1.note > 2.0 Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 21/28

22 Case (3): Ausblenden von Zeilen Wenn ID ausgeblendet werden darf Beispiel: SELECT FROM Studenten SELECT t1. FROM (SELECT s1.mnr, CASE WHEN EXISTS (SELECT _Wahl FROM Studenten_Wahl w1 WHERE s1.mnr=w1.mnr AND _wahl="ok") THEN s1. ELSE null END FROM Studenten s1) AS t1(mnr, ) WHERE EXISTS (SELECT Mnr_Wahl FROM Studenten_Wahl w2 WHERE t1.mnr=w2.mnr AND w2.mnr_wahl="ok") } } Mail erlaubt? irgendwas erlaubt? Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 22/28

23 Modifikation mit LeftOuterJoin Anfrage: SELECT FROM Studenten SELECT FROM (SELECT Mnr FROM Studenten WHERE c4) AS t1(mnr) LEFT OUTER JOIN (SELECT Mnr, FROM WHERE c3) as t2(mnr, ) ON t1.mnr=t2.mnr Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 23/28

24 Algorithmus zur CaseModifikation Eingabe: Query Q, $USERID Hilfsfunktion GetCondition(U, T, S) Ermittelt, ob U Zugriff auf Spalte S in T hat Ausgabe: allowed: Regeln erlauben Zugriff prohibited: Regeln erlauben Zugriff nicht c: Bedingung c, bei bedingtem Zugriff Ausgabe: modifizierte Query Q Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 24/28

25 Algorithmus schematisch Q = Q Für jede Tabelle T in Query Q { Für jede Spalte t[i] in T { switch (c = GetCondition($UserID, T, t[i])) { prohibited : s[i] = null allowed : s[i] = t[i] default: s[i] = CASE WHEN c THEN t[i] ELSE null END } } Erstelle Anfrage Q* der Form SELECT s[1],..., s[n] FROM T Ersetze alle Referenzen auf T in Q durch (Q*) } return Q Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 25/28

26 Vergleich mit Anforderungen (1) Korrektheit Table Semantics Korrektheit des Algorithmus Granularität Table Semantics: definiert auf Zellebene Anwendbarkeit auf bestehende Infrastruktur Datentabellen bleiben unangetastet Applikationen merken nichts Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 26/28

27 Vergleich mit Anforderungen (2) Overhead durch Freigabeprüfung Aufwand durch Querymodifikation Aufwand durch Auswertung komplexerer Query DBinterne Anfrageoptimierung Perfomanzgewinn bei geringer Selektivität der Wahltabellen möglich insgesamt gering Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 27/28

28 Grenzen Kein Schutz vor Missbrauch! Professor gibt Noten an Dritte weiter Kein Ergebnis beinhaltet auch Information Hintergrundwissen und Kenntnis der Richtlinien kann Informationen aufdecken Einführung Architektur Semantisches Modell Query Modifikation Fazit Begrenzte Freigabe privater Daten Matthias Kirschner 28/28