La amenaza de la filtración de patrones de acceso

El cifrado de datos protege su contenido frente a partes no autorizadas, pero por sí solo no oculta los metadatos sobre cómo se accede a los datos. Los patrones de acceso —qué registros se leen o escriben, cuándo y con qué frecuencia— pueden revelar información confidencial incluso cuando los datos están completamente cifrados. Esta brecha entre la privacidad del contenido y la privacidad de acceso es la motivación principal de Oblivious RAM.

El análisis de los patrones de acceso puede revelar: qué registros de una base de datos consulta un usuario (lo que permite inferir condiciones médicas a partir de los registros a los que accede), patrones de comunicación (quién se comunica con quién aunque el contenido de los mensajes esté cifrado), actividad financiera (inferir estrategias de trading a partir de los precios que solicita un usuario) y patrones de comportamiento (rutinas diarias a partir de las horas y frecuencias de acceso). Estas inferencias pueden ser tan confidenciales como el propio contenido de los datos.

CryptDB (MIT, 2011) fue un sistema influyente para consultar bases de datos cifradas. Trabajos posteriores de Grubbs, McPherson, Naveed, Ristenpart y Spooner (2016) demostraron que CryptDB y esquemas similares de cifrado que preserva el orden filtran patrones de acceso que permiten ataques de inferencia. Un atacante que disponga de un conjunto de datos auxiliar sobre las distribuciones de acceso puede inferir valores en texto plano basándose únicamente en la frecuencia y el orden de los accesos, incluso sin romper el cifrado.

Si un servicio de almacenamiento en la nube cifrado registra a qué bloques de texto cifrado se accede, un adversario puede realizar un análisis de frecuencia. Como los usuarios tienden a acceder con mayor frecuencia a los archivos populares, el histograma de frecuencia de acceso de los bloques de texto cifrado refleja la distribución de acceso al texto plano. Comparar el histograma de frecuencia cifrado con patrones de acceso conocidos puede identificar qué archivos cifrados corresponden a categorías de contenido populares.

En el modelo de amenazas honesto pero curioso (semi-honesto), el proveedor de nube sigue el protocolo correctamente, pero observa todos los patrones de acceso a los datos del cliente. Muchos proveedores de nube registran legítimamente los patrones de acceso para facturación, depuración y optimización del rendimiento. Incluso sin intención maliciosa, estos registros suponen un riesgo: un proveedor de nube comprometido, un empleado desleal o una citación judicial del Gobierno podrían exponer patrones de acceso sensibles.

Oblivious RAM (ORAM), introducida por Goldreich y Ostrovsky (1996), es una primitiva criptográfica que oculta los patrones de acceso al servidor. En un esquema ORAM, cada acceso (de lectura o escritura) a cualquier ubicación de memoria genera la misma distribución de operaciones visibles para el servidor, independientemente de la ubicación a la que se acceda realmente. Un adversario que observa el servidor solo ve patrones de acceso uniformemente aleatorios.

ORAM tiene una amplia variedad de aplicaciones allí donde se requiere privacidad de los patrones de acceso: almacenamiento seguro en la nube (ocultar a qué archivos accede un usuario), consultas oblivious a bases de datos (ocultar qué filas devuelve una consulta), enclaves SGX (impedir canales laterales basados en patrones de acceso a la memoria del enclave), recuperación privada de información (ocultar qué entrada de la base de datos recupera un usuario) y computación segura multipartita (ocultar los patrones de acceso al estado intermedio).

La solución ORAM más sencilla es obvia: para acceder a un solo bloque, se leen y se vuelven a escribir todos los bloques de todo el almacenamiento. Esto oculta a qué bloque se accedió (cada acceso parece idéntico), pero tiene un sobrecoste de comunicación O(n) por acceso lógico, lo que la hace totalmente inviable para conjuntos de datos grandes. Los esquemas ORAM reales buscan reducir este sobrecoste a O(polylog n) manteniendo una ocultación perfecta o estadística.

Goldreich y Ostrovsky demostraron una cota inferior: cualquier ORAM con un sobrecoste de almacenamiento en el servidor de O(1) debe incurrir en un sobrecoste de comunicación de al menos Omega(log n) por acceso. Esta cota inferior logarítmica se aplica a las ORAM deterministas. Las construcciones prácticas aspiran a alcanzar un sobrecoste de O(log^2 n) u O(log n), cerca de este mínimo teórico. La cota inferior demuestra que ocultar perfectamente los patrones de acceso tiene un coste inevitable.

El cifrado simétrico buscable (SSE) permite realizar búsquedas sobre datos cifrados. Los esquemas SSE básicos revelan los patrones de búsqueda (qué palabras clave se buscan) y los patrones de acceso (qué documentos se devuelven). El SSE con forward privacy oculta el patrón de búsqueda de los documentos nuevos, pero también se necesita ORAM para ocultar a qué documentos se accede. Combinar SSE con ORAM proporciona la garantía de privacidad más sólida, pero con un coste de rendimiento considerable.

ORAM no siempre es necesaria. La decisión depende del modelo de amenazas: ¿observa el adversario los patrones de acceso? Para el almacenamiento local con cifrado de disco completo y un adversario remoto, puede que no sea necesario utilizar ORAM. Para el almacenamiento en la nube, donde el proveedor de nube no es de confianza, ORAM resulta adecuada. El sobrecoste (normalmente de 20-50x en el ancho de banda) compensa cuando la filtración de patrones de acceso constituye una amenaza real y la sensibilidad de los datos justifica el coste.

¿Cuál de las siguientes opciones describe correctamente por qué los patrones de acceso son sensibles incluso cuando los datos están cifrados?

Cifrar el contenido de los datos no oculta los patrones de acceso, que pueden revelar información sensible mediante el análisis de frecuencia y de los tiempos. Los proveedores de nube, dentro de modelos honestos pero curiosos, observan a qué bloques de texto cifrado acceden los clientes. Los ataques contra CryptDB demostraron que es posible inferir información de forma práctica a partir de los patrones de acceso en bases de datos cifradas. ORAM resuelve este problema haciendo que todos los accesos parezcan idénticos para el servidor. La solución trivial (leerlo todo en cada acceso) es inviable con O(n); las ORAM reales alcanzan un sobrecoste de O(log^2 n).