Policy-Compliant Cloud Storage Systems

Resumen Técnico: GDPRuler

Planteamiento del Problema
La migración del procesamiento de datos hacia infraestructuras de nube no confiables crea una tensión significativa entre la simplicidad y el rendimiento de los Almacenes de Clave-Valor (KVS, por sus siglas en inglés) y los estrictos requisitos de las regulaciones de privacidad como el Reglamento General de Protección de Datos (GDPR). Aunque los KVS son fundamentales para las aplicaciones sensibles a la latencia, su modelo de datos plano carece de soporte nativo para metadatos de cumplimiento, índices secundarios o consultas expresivas. Las soluciones existentes para el cumplimiento del GDPR a menudo requieren modificaciones de código invasivas en el motor de almacenamiento, imponen sobrecargas de rendimiento prohibitivas o no logran proteger la integridad de los propios mecanismos de cumplimiento. En nubes no confiables, los operadores privilegiados (por ejemplo, hipervisores) pueden observar o manipular los datos en memoria, los registros de auditoría y la lógica de aplicación de políticas, socavando tanto la confidencialidad de los datos como la verificabilidad de la evidencia de cumplimiento.

Metodología
El artículo presenta GDPRuler, un sistema de middleware de confianza diseñado para permitir el cumplimiento verificable del GDPR en despliegues de KVS sin modificaciones para despliegues de KVS no modificados. El sistema opera como un proxy transparente entre las aplicaciones y el backend del KVS (implementado específicamente para Redis y RocksDB).

• Arquitectura y Modelo de Confianza: GDPRuler despliega un Monitor de GDPR de Confianza dentro de una Máquina Virtual Confiable (CVM) (por ejemplo, AMD SEV-SNP, Intel TDX). Este entorno aislado por hardware garantiza la confidencialidad e integridad de la lógica de cumplimiento, los metadatos y los registros de auditoría, protegiéndolos del hipervisor y del proveedor de la nube no confiables.
• Marco de Políticas: El sistema introduce un lenguaje de política declarativo que traduce las obligaciones legales del GDPR (por ejemplo, limitación de la finalidad, limitación del almacenamiento, derecho al olvido) en reglas ejecutables en tiempo de ejecución. Este lenguaje permite a los propietarios de los datos definir políticas por defecto (consentimiento, intercambio, expiración) y a los procesadores de datos declarar sus finalidades previstas.
• Mecanismo de Ejecución:
  • Gestión de Metadatos: GDPRuler codifica metadatos de cumplimiento compactos (propietario, finalidad, objeciones, expiración, permisos de intercambio) directamente dentro de los registros KV.
  • Indexación: Para evitar la penalización de rendimiento de los escaneos completos del KVS para consultas de cumplimiento, el sistema construye índices dedicados en memoria (hashmaps, árboles B+, índices invertidos) para los campos de metadatos.
  • Registro de Auditoría: Un sistema de registro sensible a la manipulación registra eventos relevantes para el cumplimiento de forma eficiente en espacio, mediante un formato agrupado y cifrado. Los registros incluyen un contador monotónico y Códigos de Autenticación de Mensajes (MAC) para detectar reversiones o manipulaciones.
• Flujo de Trabajo: El sistema intercepta todas las operaciones KV. El Compilador de Políticas traduce las consultas de alto nivel en operaciones conscientes del GDPR. El Monitor de Confianza valida el acceso contra las reglas compiladas, filtra los resultados basándose en los metadatos y orquesta el Subsistema de E/S de Datos para manejar el cifrado, la comunicación con el backend y el registro.

Contribuciones Clave

1. Arquitectura de Middleware de Confianza: Una capa de gestión de datos que desacopla la ejecución del cumplimiento tanto de la aplicación como del motor KV, proporcionando compatibilidad con despliegues existentes mientras ofrece un control verificable.
2. Entorno de Ejecución Seguro: Un monitor basado en CVM que proporciona aislamiento respaldado por hardware, integridad y atestación remota para la lógica de cumplimiento y los metadatos en infraestructura no confiable.
3. Marco de Política Declarativo: Un lenguaje de política y un compilador que traducen los requisitos legales en restricciones ejecutables dentro de la ruta de datos, soportando predicados complejos para propiedad, finalidad y objeciones.
4. Metadatos y Auditoría Eficientes: Técnicas para la codificación compacta de metadatos por registro, indexación específica de cumplimiento para acelerar las consultas y un sistema de registro resistente a la manipulación optimizado para cargas de trabajo de alto rendimiento.
5. Implementación y Evaluación: Un prototipo que soporta Redis y RocksDB que demuestra una ejecución de GDPR segura y de baja sobrecarga bajo cargas de trabajo realistas.

Resultados
La evaluación utilizando YCSB y cargas de trabajo inspiradas en el GDPR en una plataforma AMD SEV-SNP arroja los siguientes hallazgos:

• Rendimiento (Throughput): GDPRuler logra aproximadamente el 61% del rendimiento nativo del KVS en promedio. El entorno CVM en sí mismo contribuye con un 28–32% de esta sobrecarga, mientras que la lógica de cumplimiento del GDPR añade solo un ~8.6% adicional. El cifrado contribuye mínimamente (<2.6%).
• Rendimiento de Consultas: Las consultas específicas de GDPR (por ejemplo, recuperar todos los datos de un usuario o filtrar por finalidad) se benefician significativamente de la indexación de metadatos, logrando una aceleración de 13 a 182 veces en comparación con las implementaciones no indexadas. La latencia para estas consultas cae de segundos a milisegundos.
• Sobrecarga de Almacenamiento: La sobrecarga de almacenamiento de metadatos se mantiene por debajo del 20% (8.9% para Redis, 19.8% para RocksDB en los escenarios probados).
• Impacto del Registro: El sistema de registro asíncrono y agrupado introduce una degradación de rendimiento insignificante (<2%) de pérdida de rendimiento incluso al 100% de las tasas de registro.
• Escalabilidad: El sistema escala eficazmente con clientes concurrentes, manteniendo una brecha de rendimiento constante respecto al KVS nativo.

Significancia
El artículo argumenta que GDPRuler ofrece un camino práctico hacia un KVS que cumpla con el GDPR en infraestructuras de nube no confiables sin sacrificar el rendimiento y la simplicidad que hacen atractivo a los KVS. Al integrar la ejecución de políticas verificables en una capa de middleware de confianza, el sistema aborda la brecha crítica donde las soluciones existentes o comprometen la seguridad (al depender de pilas no confiables) o el rendimiento (al requerir modificaciones invasivas del motor). Los resultados confirman que la gestión de datos segura, conforme a las políticas y auditable es alcanzable en entornos de nube con sobrecargas razonables, permitiendo a las organizaciones adaptar el cumplimiento del GDPR sin alterar su código de aplicación o sus motores de almacenamiento.