[論文レビュー] Authentication as a service: Shamir Secret Sharing with byzantine components

Andrea Bissoli, Fabrizio d’Amore|arXiv (Cornell University)|Jun 19, 2018

User Authentication and Security Systems被引用数 4

ひとこと要約

本稿は、Byzantine耐性を持つコンponentを備えたShamirの(k,n)-閾値秘密分散方式を活用した、認証サービスとしての新規フレームワークを提案する。パスワードは分散クラウドノードに保存されるシェアに分割される。abscessa（x座標）を隠し、Pedersenの検証可能秘密分散を用いることで、情報理論的セキュリティを達成し、Dealerとk−1人の株主が侵害されてもパスワードが計算的に解読不能であることを保証する。動作するプロトタイプにより、攻撃的条件下でも実用性と耐障害性が裏付けられている。

ABSTRACT

We present a practical methodology for securing the password-based authentication scheme. We propose a solution based on the well-known (k,n) threshold scheme of Shamir for sharing a secret, where in our case the secret is the password itself and (k,n) threshold scheme means that n password-derived secrets (shares) are created and k less than n shares are necessary and sufficient for reconstructing the password, while k-1 are not sufficient. The scheme is information-theoretic secure. Since each of the n shares is stored on a different host (shareholder), an attacker will need to compromise k different shareholders for obtaining an amount of data sufficient for reconstructing the secret. Furthermore, in order to be resistant to the compromising of the server (dealer) coordinating the shareholders we define a variant of the classic Shamir, where the Shamir's abscissae are unknown to dealer and shareholders, making the reconstruction impossible even in the case of dealer and shareholders compromised. In addition we use the Pedersen technique for allowing the verification of shares. For the described scenario we have designed two protocols: the registration (user's sign-up, to be carried out once), and authentication (user's login). We analyse several scenarios where dealer and/or shareholders are partially/totally compromised and confirm that none of them is enabling the attacker to break the authentication. Furthermore we focus on cases where one or more byzantine servers are presented, analysing the impact on the framework and show the adopted mechanisms to be safe against these kinds of attacks. We have developed a prototype demonstrating that our framework works correctly, effectively and efficiently. It provides a first feasibility study that will provide a base for structured and engineered cloud-based implementations aiming at providing an authentication-as-a-service.

研究の動機と目的

• 再利用されたり漏洩されたりしたパスワードが広範なアカウント侵害を引き起こすという、パスワードベース認証における深刻なセキュリティ欠陥を是正すること。
• ユーザーが1つの秘密のみを記憶すればよく、暗号的シェアが複数の信頼できないサーバーに分散配置される、スケーラブルでクラウドネイティブな認証システムを設計すること。
• Shamirの方式の新たな暗号的強化を通じて、Dealerの侵害および株主ノードにおけるByzantine行動に対しても耐性を持つこと。
• 実用的で展開可能なソリューションを提供し、強力なセキュリティ保証と性能効率を備えた、実世界の認証ワークロードをサポートすること。
• 形式的なセキュリティ解析と動作するプロトタイプを備えた、生産向けに設計されたクラウドベース認証サービスの基盤を構築すること。

提案手法

• システムは、Shamirの(k,n)-閾値秘密分散を用いて、ユーザーのパスワードをn個の暗号的に安全なシェアに分割し、それぞれを独立した信頼できないサーバー（株主）に保存する。
• シェアのabscessa（x座標）はDealerおよび株主からも隠され、Dealerと株主が完全に侵害されても再構成が不可能である。
• Pedersenの検証可能秘密分散方式を統合し、各株主が秘密を学ばずに自身のシェアの正しさを暗号的に検証できるようにする。
• 二段階プロトコルを設計：登録（一回限りのセットアップ）と認証（インタラクティブログイン）、クライアント、Dealer、および株主間での安全なメッセージ交換を実施。
• Dockerコンテナ化を活用してクラウドデプロイを実現し、すべてのコンponentのモジュラーで隔離され、再現可能な実行を可能にする。
• 複数の脅威モデル下での形式的セキュリティ分析を実施し、Dealerおよび株主の部分的・完全的侵害、ネットワークにおけるByzantine行動を含む。

実験結果

リサーチクエスチョン

• RQ1 Dealerおよび複数の株主が侵害されても、情報理論的セキュリティを達成できるパスワードベース認証システムを、秘密分散を用いて構築できるか？
• RQ2 abscessaがDealerおよび株主に知られていない状態で、Shamirの秘密分散をどのように変更すれば、再構成を防げるか？
• RQ3 Byzantineまたは悪意ある株主が存在する状況下で、シェアの整合性と真正性を保証するメカニズムは何か？
• RQ4 強力な暗号的保証と妥当なパフォーマンスを備えた、実用的でクラウドベースの認証サービスとしてのフレームワークを構築できるか？
• RQ5 資格情報漏洩、リプレイ攻撃、動的ノード侵害といった実世界の脅威下で、システムはどのように振る舞うか？

主な発見

• 提案された方式はパスワードに対して情報理論的セキュリティを達成しており、計算能力が無限大であっても、少なくともk人の株主が侵害されない限り、攻撃者が秘密を再構成できない。
• Dealerおよび株主からabscessaを隠すことで、Dealerが完全に侵害され、k−1人の株主が改ざんされても、システムは依然として安全である。
• Pedersenの検証可能秘密分散の統合により、すべてのシェアが暗号的に検証可能となり、悪意ある株主による無効または偽造されたシェアの送信が防止される。
• プロトタイプ実装により、システムが機能的に正しくかつ効率的であることが示され、実世界の展開に適した測定可能なパフォーマンスを達成している。
• セキュリティ分析により、Dealerおよび株主の組み合わせ的侵害（最大k−1人まで）では、攻撃者がパスワードを再構成したり、ユーザーをなりすますことは不可能であることが確認された。
• マルチデバイスモデルをサポートでき、動的Dealer選出、自動故障検出、標準化されたAPIを用いた拡張が可能であり、より広範な統合が可能となる。