Analyse und Katalogisierung von Tracker-Angriffen in OLAP-Systemen und Bewertung möglicher Lösungsalternativen

Hierzu unterstelle man, ein Angreifer besitze das Vorwissen, dass es nur einen Verwaltungsmitarbeiter in der Finanzabteilung gibt. Die Basisbedingung lautet daher: C = Verw ∧ Fin. Diese lässt sich in die beiden Teilbedingungen A = Verw B = Fin aufspalten und daraus ein Individual Tracker T gemäß Gleichung 1 konstruieren: T = Verw ∧ ¬Fin. Betrachtet man die Zielmengen, stellt man fest, dass XT einelementig und XA zweielementig ist. Für k = 3 wäre Gleichung 2 nicht erfüllt, der zuvor beschriebene Angriff folglich nicht möglich, da Anfragen nach T und A, wie für Gleichung 3 benötigt, zurückgewiesen werden1. Gesucht wird daher ein Weg, Zielmengen künstlich „aufzublähen“, so dass diese mindestens k und höchstens N - k Elemente enthalten. In vielen Fällen ist hierfür eine Erweiterung der Bedingungen A und T um eine zusätzliche Formel M ausreichend [DeDS79, S. 81]. M wird auch als Maske bezeichnet und repräsentiert eine beliebige Menge, deren Elemente nicht zugleich die Bedingung A erfüllen. Folglich gilt: [...]

fizierenden Basisbedingung C eindeutig zu charakterisieren. Die Bedingung C muss in zwei Teilbedingungen C = A ∧ B aufteilbar sein. Für A muss k ≤ ZA ≤ N - k gelten. Die Durchführung selbst erfolgt in drei Schritten: Zunächst wird der Tracker T konstruiert mit T = A ∧ ¬B. Anschließend werden die beiden Anfragen q(A) und q(T) gestellt. Zuletzt wird der Wert für C ermittelt durch q(C) = q(A) - q(T). Maßgeblich für den Aufwand eines Angriffs mit dem Individual Tracker ist der Aufwand, der zur Ermittlung einer geeigneten Dekomposition von C benötigt wird [DeDS79, S. 90]. Besteht die identifizierende Basisbedingung aus m Attributausprägungen, so kann diese in 2m Teilbedingungen zerlegt werden. Ein Angreifer benötigt daher maximal 2m Anfragen, um eine geeignete Dekomposition zu finden. In Datenbasen realistischer Größenordnung sind meist zehn Attributausprägungen ausreichend, um ein Individuum zu eindeutig zu charakterisieren [Schl75, S. 8f.]. Somit werden höchstens 210 = 1024 Anfragen benötigt. Die beiden für die eigentliche Durchführung benötigten Anfragen sind zu vernachlässigen. Die Komplexität eines Angriffs mit dem Individual Tracker ist im Allgemeinen daher O(2m). Man beachte, dass der Aufwand für jedes zu untersuchende Individuum erneut anfällt, da jeweils ein eigener Tracker konstruiert werden muss. [...]

Betrachtet man einen Angriff mit dem Individual Tracker aus Makrosicht, so verletzt dieser das Sachziel der Vertraulichkeit. Ein Angreifer überprüft, ob ein Individuum eine qualitative Attributausprägung besitzt oder nicht („Ist Frau Klein in der Position einer Führungskraft beschäftigt?“), bzw. er ermittelt, wie hoch der exakte Wert eines quantitativen Attributs ist („Wie hoch ist die Bonuszahlung an Frau Klein im Monat Mai?“). Er ist jedoch nur berechtigt, Informationen über Gruppen von Individuen anzufragen, nicht über Einzelpersonen. Die Vertraulichkeit des Systems ist daher nicht sichergestellt. Einem Angriff mit dem Individual Tracker liegt formal gesehen ein Output-Problem zu Grunde [Schl84, S. 1]. Aus Mikrosicht werden dem Angreifer Informationen unzulässigerweise preisgegeben. Zwar ist er berechtigt, alle benötigten Abfrage-Operationen durchzuführen, doch kann er indirekt Rückschlüsse auf Daten von Einzelindividuen treffen. Da nur lesend auf die Datenbasis zugegriffen wird und keine Veränderungen oder Störungen stattfinden, ergeben sich weder aus Makro- noch aus Mikrosicht weitere Konsequenzen. Der Sicherheitsbruch hat seinen Ursprung in einer internen Quelle. Der Angreifer hat berechtigten Zugriff zum System. Alle gestellten Anfragen sind zulässig, jedoch werden die erlangten Ergebnisse missbräuchlich zum Rückschluss auf Individualdaten verwendet. Beim umgangenen Schutzmechanismus handelt es sich daher nicht um die Zugriffssteuerung, sondern ausschließlich um die Inferenzkontrolle. So wurde für den Individual Trakker das Vorhandensein einer Zielmengenbeschränkung k ≤ ZC ≤ N − k für k ≥ 0 gefordert. Ziel des Angriffs ist es, diese zu umgehen, indem das Resultat einer verbotenen Anfrage aus den Ergebnissen mehrerer zulässiger Anfragen indirekt berechnet wird. Da die Berechnung außerhalb des Systems durchgeführt werden muss, kann diese nur im vollen Bewußtstein des Angreifers erfolgen. Es liegt daher eindeutig ein arglistiger Angriff mit Vorsatz vor. Zur Durchführung des Angriffs muss der Angreifer Zugang zum System besitzen und berechtigt sein, beliebige Anfragen zu stellen, deren Zielmenge im Bereich k ≤ Z ≤ N − k liegt. Für die Zielmengenbeschränkung muss lediglich gelten, dass 0 ≤ k ≤ N/2. Einher mit dem legitimen Zugang zum System geht die Kenntnis des Angreifers über die möglichen Wertebereiche der verwendeten Attribute. Ferner wird zwingend vorausgesetzt, dass der Angreifer entsprechendes Vorwissen besitzt, um ein Individuum anhand einer identiBernd Jahn 47 [...]