fr.wedoany.com Rapport : Des chercheurs de l’Université technique de Munich (Technical University of Munich) et de l’Université de Lisbonne (University of Lisbon) ont développé un système intermédiaire nommé GDPRuler, situé entre les applications et une base de données clé-valeur non modifiée, capable d’appliquer des règles de confidentialité et de remédier à la faiblesse structurelle des bases de données cloud qui manquent de moyens de vérification lors du traitement des demandes de suppression de données personnelles.
GDPRuler exécute sa logique de traitement à l’intérieur d’une machine virtuelle confidentielle (Confidential Virtual Machine). Cette machine virtuelle confidentielle est un environnement d’isolation matérielle pris en charge par AMD SEV-SNP, Intel TDX et ARM CCA, empêchant le fournisseur cloud et d’autres logiciels privilégiés de lire la mémoire système ou de falsifier ses décisions. L’attestation à distance (Remote attestation) permet à une partie externe de vérifier l’authenticité du déploiement et l’état d’exécution prévu du code avant l’échange de données.
Le système intercepte chaque opération de base de données. Il ajoute des métadonnées de conformité à chaque paire clé-valeur, enregistrant le propriétaire des données, les finalités autorisées, les droits de partage, la durée de conservation et les utilisations interdites. Lorsqu’un processeur de données demande un enregistrement, le moniteur vérifie la finalité déclarée du processeur par rapport à la politique de conservation et aux objections du propriétaire. Les finalités auxquelles le propriétaire s’oppose sont refusées et enregistrées.
La piste d’audit est une partie spécialement construite pour la vérification. Chaque opération liée à la conformité génère une entrée de journal. Les entrées sont chiffrées par lots et protégées par un code d’authentification de message et un compteur conservé à l’intérieur de la machine virtuelle confidentielle. Lors de l’audit, un organisme de réglementation disposant d’une clé enregistrée peut récupérer les journaux, et le système vérifie le code d’intégrité et la séquence des compteurs. Toute valeur manquante ou modifiée indique une tentative de falsification ou de rollback. L’équipe de recherche a vérifié les protocoles de preuve et de journalisation sous le modèle d’attaquant Dolev-Yao à l’aide de Tamarin Prover. L’analyse confirme que les journaux vérifiés contiennent toutes les entrées requises et uniquement des entrées authentiques.
GDPRuler comprend un langage de politique qui compile les obligations du RGPD en contrôles d’exécution. Les propriétaires de données et les processeurs expriment leurs politiques sous forme de prédicats attachés aux requêtes. Ce langage couvre la limitation des finalités et la limitation du stockage de l’article 5 du RGPD, le droit d’accès de l’article 15, le droit à l’effacement (droit à l’oubli) de l’article 17, le droit d’opposition de l’article 21 et l’enregistrement des activités de traitement de l’article 30. Les dispositions traitées dans les couches applicatives supérieures (comme la notification de violation) ne relèvent pas du champ de la base de données.
Les chercheurs ont construit des prototypes pour Redis et RocksDB non modifiés, et les ont testés sur un serveur AMD SEV-SNP à l’aide du benchmark YCSB et de charges de travail spécifiques au RGPD. Le débit moyen de GDPRuler est d’environ 61 % du débit de la base de données native. La machine virtuelle confidentielle est le principal facteur de cette surcharge, contribuant à 28 % à 32 % de la surcharge, le reste étant dû à la couche de conformité et au chiffrement. La journalisation inviolable, dont les écritures sont effectuées par lots en dehors du flux principal, réduit le débit d’environ 2 %. Le stockage des métadonnées augmente l’empreinte de la base de données de 8,9 % pour Redis et de 19,8 % pour RocksDB. Les requêtes spécifiques au RGPD ont obtenu les plus grandes améliorations : par exemple, la récupération de toutes les données d’une personne est 13 à 182 fois plus rapide après l’indexation des métadonnées par GDPRuler.
Le système protège les journaux d’audit contre les attaques de rollback via des vérifications de fraîcheur, mais le rollback des données de base de la base de données n’est pas couvert. Les attaques par canal auxiliaire (Side-channel) et les attaques par déni de service (Denial-of-service) sont également exclues. Le prototype omet les requêtes de plage. Les mêmes champs de métadonnées et interfaces d’exécution peuvent être mappés à d’autres lois sur la confidentialité, notamment le California Consumer Privacy Act et le Virginia’s Consumer Data Protection Act, les différences résidant dans le choix des règles de politique.
Texte compilé par Wedoany. Toute citation par IA doit mentionner la source « Wedoany ». En cas de contrefaçon ou d'autre problème, veuillez nous en informer rapidement ; nous modifierons ou supprimerons le contenu le cas échéant. Courriel : news@wedoany.com
