[논문 리뷰] Attribute-based Encryption for Attribute-based Authentication, Authorization, Storage, and Transmission in Distributed Storage Systems

Aubrey Alston|arXiv (Cornell University)|2017. 05. 17.

Cryptography and Data Security참고 문헌 5인용 수 5

한 줄 요약

이 논문은 암호화 정책 기반 속성 기반 암호화(CP-ABE)를 사용하여 분산 스토리지 시스템에서 속성 기반 인증, 권한 부여, 저장 및 전송을 위한 블랙박스 프로토콜을 제안한다. 암호학적으로 강화된 접근 제어를 위해 암호문에 접근 정책을 바인딩하고 사용자 속성을 결합함으로써 세밀한 제어를 가능하게 하며, 확장 가능한 보안, 위협 탐지 및 복구 메커니즘 분야에서 주요 기여를 한다.

ABSTRACT

Attribute-based encryption is a form of encryption which offers the capacity to encrypt data such that it is only accessible to individuals holding a satisfactory configuration of attributes. As cloud and distributed computing become more pervasive in both private and public spheres, attribute-based encryption holds potential to address the issue of achieving secure authentication, authorization, and transmission in these environments where performance must scale with security while also supporting fine-grained access control among a massively large number of consumers. With this work, we offer an example generic configurable stateless protocol for secure attribute-based authentication, authorization, storage, and transmission in distributed storage systems based upon ciphertext-policy attribute-based encryption (CP-ABE), discuss the experience of implementing a distributed storage system around this protocol, and present future avenues of work enabled by such a protocol. The key contribution of this work is an illustration of a means by which any CP-ABE system may be utilized in a black-box manner for attribute-based authentication and cryptographically enforced attribute-based access control in distributed storage systems.

연구 동기 및 목표

• 대규모의 반익명 사용자를 포함한 분산 스토리지 시스템에서 확장 가능하고 세밀한 접근 제어를 구현하는 데 도전 과제를 해결한다.
• 특히 CP-ABE를 사용하여 암호학적으로 강화된 접근 제어를 가능하게 하여 데이터에 접근 정책을 바인딩한다.
• CP-ABE를 분산 스토리지에 통합하여 인증, 권한 부여, 저장 및 전송을 위한 상태 없는 일반적인 프로토콜을 설계한다.
• 프로토콜 프레임워크 내에서 안전한 키 관리, 위반 탐지 및 복구 메커니즘을 지원한다.
• 분산 환경에서 로깅, 조율, 복제 및 키 무효화 기능을 향후 확장 가능하도록 지원한다.

제안 방법

• 암호화 정책 기반 속성 기반 암호화(CP-ABE)를 사용하며, 네 가지 핵심 알고리즘인 Setup, Encrypt, GenerateKey 및 Decrypt를 활용한다.
• 세 가지 원자적 동작인 Attribute-Authenticate, Put, Get 및 Write를 갖춘 상태 없는 프로토콜을 도입하며, 각각 CP-ABE 기반 원리를 활용한다.
• 암호화 과정에서 암호문에 접근 정책을 바인딩하여, 일치하는 속성 세트를 가진 사용자만 복호화할 수 있도록 보장한다.
• 마스터 키와 사용자 고유의 개인 키를 사용하여 복호화 시 정책 충족 여부를 강제한다.
• 검증 속성과 접근 로그를 활용하여 이질적 행동과 잠재적 키 유출를 탐지한다.
• 무결성 감사 및 복제를 위해 서비스 및 권한 노드 간의 조율을 지원한다.

실험 결과

연구 질문

• RQ1 CP-ABE는 어떻게 분산 스토리지 시스템에서 확장 가능하고 속성 기반의 인증 및 권한 부여를 가능하게 하는가?
• RQ2 어떤 프로토콜 설계가 세밀한 접근 제어를 갖춘 안전하고 상태 없는 데이터 전송 및 저장을 보장하는가?
• RQ3 어떻게 접근 패턴 분석을 통해 개인 키 유출를 탐지할 수 있는가?
• RQ4 시스템 유출 시 자동 복구 및 키 무효화를 가능하게 하는 메커니즘은 무엇인가?
• RQ5 분산 시스템에서의 조율 및 복제를 어떻게 속성 기반 접근 제어 및 무결성 검증을 지원하도록 적응시킬 수 있는가?

주요 결과

• CP-ABE를 사용하여 암호문에 접근 정책을 바인딩함으로써 암호학적으로 강화된 속성 기반 접근 제어를 성공적으로 실현하였다.
• 강력한 위협 모델 하에서 확장 가능한 보안을 달성하였으며, 대규모 반익명 사용자에게 세밀한 접근 제어를 제공하였다.
• 검증 속성에 대한 접근 패턴 로깅을 통해 이질적 행동, 예를 들어 예상치 못한 지리적 접근과 같은 이상 징후를 탐지하여 잠재적 키 유출를 경고할 수 있었다.
• 협조 메커니즘을 통해 온라인 복구 및 키 무효화를 지원하였으며, 평문 노출 없이 재암호화를 위한 키 호모모르피즘의 잠재적 활용 가능성이 있었다.
• 향후 연구에서 허니-속성(Honey-attributes)을 활용하여 불법 접근 시도를 추적함으로써 배신자 또는 악성 내부자 탐지에 유망한 가능성을 보였다.
• 레플리카 간의 조율을 통해 무결성 감사 및 복구가 가능해져 구성 요소 수준의 공격에 대한 내성 강화를 높였다.