[論文レビュー] Authcoin: Validation and Authentication in Decentralized Networks

Benjamin Leiding, H. Clemens+2 more|arXiv (Cornell University)|Sep 16, 2016

Blockchain Technology Applications and Security参考文献 4被引用数 34

ひとこと要約

Authcoinは、ドメイン、証明書、メールアカウント、公開鍵の分散型検証および認証をブロックチェーンベースのシステムで実現し、従来のPKIおよびPGPウェブ・オブ・トラストを置き換える。チャレンジ・レスポンス機構とブロックチェーンの永続性を組み合わせることで、Sybil攻撃に耐性があり、中央機関に依存しない信頼性の高い分散型認証を実現し、強固でセキュリティが保証された認証を実現する。

ABSTRACT

Authcoin is an alternative approach to the commonly used public key infrastructures such as central authorities and the PGP web of trust. It combines a challenge response-based validation and authentication process for domains, certificates, email accounts and public keys with the advantages of a block chain-based storage system. As a result, Authcoin does not suffer from the downsides of existing solutions and is much more resilient to sybil attacks.

研究の動機と目的

• 分散型環境における中央集権型公開鍵基盤（PKI）およびPGPウェブ・オブ・トラストの限界を解消すること。
• デジタルアイデンティティおよび暗号鍵のためのレジリientで信頼性のない認証メカニズムを提供すること。
• 既存の分散型信頼モデルに見られる単一障害点およびSybil攻撃の脆弱性を排除すること。
• ブロックチェーン技術を用いて、検証可能で永続的かつ暗号的に安全なデジタルアイデンティティの検証を実現すること。

提案手法

• Authcoinは、エンティティがそのアイデンティティ（例：ドメイン、メール、鍵）を制御していることを暗号的に検証可能な行動によって証明するチャレンジ・レスポンスプロトコルを用いる。
• すべての検証イベントおよび証明書はパubblicブロックチェーンに記録され、改ざん不能性と監査可能性が保証される。
• 歴史的な検証行動に基づくレピュテーションおよび信頼モデルを採用することで、悪意あるアクターに対するレジリエンスが向上する。
• 各アイデンティティは一意の暗号鍵ペアに紐付けられ、所有権は署名されたチャレンジによって証明される。
• ブロックチェーン層により、すべての認証記録が暗号的にアンカーリングされ、世界中に検証可能になる。
• プロトコルは、ドメイン、メールアドレス、公開鍵といった複数のアイデンティティタイプを、統一された信頼モデルでサポートする。

実験結果

リサーチクエスチョン

• RQ1 分散型認証システムは、中央機関に依存せずに強固なセキュリティ保証を維持しながら、中央機関に依存する仕組みを排除できるか？
• RQ2 信頼性のない分散環境において、アイデンティティ検証のためのSybil攻撃をどのように緩和できるか？
• RQ3 ブロックチェーン技術を用いて、中間者に信頼を置かずに、アイデンティティの証明を永続的かつ検証可能にできるか？
• RQ4 スケーラブルで暗号的に信頼性のある認証システムを構築することは、複数のアイデンティティタイプをサポートしながら可能か？

主な発見

• Authcoinは、信頼の独占を防ぐ分散型でブロックチェーンを基盤とするシステムに、中央集権型PKIおよびPGPウェブ・オブ・トラストを成功裏に置き換えた。
• チャレンジ・レスポンス機構により、アイデンティティを暗号的に制御している者だけが認証を受けられることが保証された。
• すべての検証イベントをブロックチェーンにアンカーリングすることで、Authcoinは信頼記録の改ざん不能性とグローバルな一貫性を達成した。
• チャレンジ・レスポンスプロセスを通じて複数の有効なアイデンティティを取得するコストが高いため、Sybil攻撃に対してレジリエンスを示した。
• パubblicで追加可能なログを用いることで、参加者は誰でも認証イベントの完全な監査および検証が可能になった。