[論文レビュー] EL PASSO: Privacy-preserving, Asynchronous Single Sign-On

Zhiyi Zhang, Michał Król+3 more|arXiv (Cornell University)|Feb 24, 2020

Cryptography and Data Security参考文献 51被引用数 5

ひとこと要約

EL PASSO は、匿名証明書を組み合わせたプライバシー保護型で非同期処理可能なシングルサインオン（SSO）システムであり、OpenID Connect の使いやすさを兼ね備えています。ユーザーの身元をリンクできない認証、属性の選択的開示、複数の当局による回復プロトコルによる責任追及を実現し、WebAssembly を用いてクライアント側で実行することで、従来の匿名証明書方式と比較して計算コストが 39x から 180x 低減され、OpenID Connect と同等のサインオン遅延を達成しています。

ABSTRACT

We introduce EL PASSO, a privacy-preserving, asynchronous Single Sign-On (SSO) system. It enables personal authentication while protecting users' privacy against both identity providers and relying parties, and allows selective attribute disclosure. EL PASSO is based on anonymous credentials, yet it supports users' accountability. Selected authorities may recover the identity of allegedly misbehaving users, and users can prove properties about their identity without revealing it in the clear. EL PASSO does not require specific secure hardware or a third party (other than existing participants in SSO). The generation and use of authentication credentials are asynchronous, allowing users to sign on when identity providers are temporarily unavailable. We evaluate EL PASSO in a distributed environment and prove its low computational cost, yielding faster sign-on operations than OIDC from a regular laptop, one-second user-perceived latency from a low-power device, and scaling to more than 50 sign-on operations per second at a relying party using a single 4-core server in the cloud.

研究の動機と目的

• OpenID Connect のような既存の SSO システムに内在するプライバシーと使いやすさの制限、特に Relying Party（RP）および Identity Provider（IdP）に対してユーザーの身元やグローバル識別子が漏洩する問題を解決すること。
• 恒久的なユーザー識別子を必要とせず、IdP とのリアルタイム連携を要しない状態で、Relying Party 間でリンクできない認証を可能にすること。
• 複数の当局が協働して行動することでユーザーの身元を特定できる厳密なマルチ当局回復プロトコルを用いて、悪意あるユーザーに対する責任追及を実現し、プライバシーと不正行為防止の両立を図ること。
• ブラウザで実行される WebAssembly クライアントモジュールを介して実用的な展開を可能にし、ソフトウェアのインストールやハードウェアトークンの必要性を排除すること。
• 匿名証明書における主な使いやすさの課題、すなわち複数デバイス対応、盗難後の回復、プライバシー保護型二要素認証の実現を図ること。

提案手法

• EL PASSO は、Priory-Schnorr 策略に基づく PS 签名を用いて、最小限の暗号的オーバーヘッドで効率的かつリンク不能な匿名証明書を実現しています。
• 証明書発行と使用を分離しています：ユーザーは事前に IdP から証明書を取得し、その後 IdP とのやり取りなしに Relying Party で非同期的に使用できます。
• 属性の選択的開示を実装しており、ユーザーは「18歳以上」のような性質を特定値を明かさずに証明できます。
• WebAssembly クライアントモジュールがブラウザでダウンロードされキャッシュされ、ブラウザのネイティブ機能を活用して暗号操作と証明書の保存を管理します。
• 複数デバイスでの利用を可能にするために、証明書をブラウザキャッシュされた Wasm モジュールに保存し、デバイス紛失や盗難後も回復が可能になっています。
• 責任追及は、事前に RP が指定した複数の信頼できる当局が協働して行動することで実現される厳密なマルチ当局回復プロトコルによって行われ、通常の運用ではリンク不能性が保たれます。

実験結果

リサーチクエスチョン

• RQ1 プライバシー保護型 SSO システムは、OpenID Connect の使いやすさとパフォーマンスを維持しながら、リンク不能な認証と属性の選択的開示を実現できるか？
• RQ2 ソフトウェアのインストールやハードウェアトークンを必要とせず、匿名証明書を実世界で実用的に展開できるか？
• RQ3 ユーザー識別子を露呈せずに、複数デバイスでの運用とプライバシー保護型二要素認証を実現できるか？
• RQ4 リンク不能性を通常運用で損なわず、悪意あるユーザーに対する責任追及を保証するメカニズムは何か？
• RQ5 匿名証明書の計算コストを、OpenID Connect のような標準的な SSO プrotocol と同等の水準まで低減できるか？

主な発見

• EL PASSO は、従来の匿名証明書方式と比較して、計算コストが 39x から 180x 低減され、ユーザー端末でのパフォーマンスが顕著に向上しています。
• EL PASSO のサインオン遅延は OpenID Connect と同等であり、クライアントと Relying Party 間でたったの 1 回のリモートリクエストで済みます。
• システムは非同期認証をサポートしており、ユーザーが IdP とのリアルタイム相互作用なしにサインインできるようになっています。
• WebAssembly クライアントモジュールにより、ブラウザのネイティブストレージと機能のみに依存して、スムーズな複数デバイス対応とデバイス紛失後の回復が実現されています。
• 強固なプライバシー保証が提供されています：IdP は RPs 間でユーザーを追跡できず、RPs もグローバルなユーザー識別子を取得できません。
• マルチ当局回復プロトコルにより、悪意あるユーザーは、事前に指定された複数の信頼できる機関が協働して行動する、監査可能なプロセスを通じてのみ身元が特定されます。