[论文解读] Attribute-based Encryption for Attribute-based Authentication, Authorization, Storage, and Transmission in Distributed Storage Systems

Aubrey Alston|arXiv (Cornell University)|May 17, 2017

Cryptography and Data Security参考文献 5被引用 5

一句话总结

本文提出了一种基于密文策略属性加密（CP-ABE）的黑盒协议，用于在分布式存储系统中实现基于属性的认证、授权、存储和传输。该协议通过将访问策略绑定到密文和用户属性，实现了细粒度的密码学强制访问控制，主要贡献在于可扩展的安全性、威胁检测以及恢复机制。

ABSTRACT

Attribute-based encryption is a form of encryption which offers the capacity to encrypt data such that it is only accessible to individuals holding a satisfactory configuration of attributes. As cloud and distributed computing become more pervasive in both private and public spheres, attribute-based encryption holds potential to address the issue of achieving secure authentication, authorization, and transmission in these environments where performance must scale with security while also supporting fine-grained access control among a massively large number of consumers. With this work, we offer an example generic configurable stateless protocol for secure attribute-based authentication, authorization, storage, and transmission in distributed storage systems based upon ciphertext-policy attribute-based encryption (CP-ABE), discuss the experience of implementing a distributed storage system around this protocol, and present future avenues of work enabled by such a protocol. The key contribution of this work is an illustration of a means by which any CP-ABE system may be utilized in a black-box manner for attribute-based authentication and cryptographically enforced attribute-based access control in distributed storage systems.

研究动机与目标

• 解决在拥有大量半匿名用户的分布式存储系统中实现可扩展、细粒度访问控制的挑战。
• 通过基于属性的加密（ABE），特别是CP-ABE，实现密码学强制的访问控制，将访问策略绑定到数据。
• 设计一种无状态的通用协议，将CP-ABE集成到分布式存储中，实现认证、授权、存储和传输。
• 在协议框架内支持安全的密钥管理、泄露检测和恢复机制。
• 为未来在分布式环境中支持日志记录、协调、复制和密钥吊销提供可扩展性。

提出的方法

• 使用具有四个核心算法的密文策略属性加密（CP-ABE）：Setup、Encrypt、GenerateKey和Decrypt。
• 引入一种无状态协议，包含四个原子操作：Attribute-Authenticate、Put、Get和Write，每个操作均利用CP-ABE原原子。
• 在加密过程中将访问策略绑定到密文，确保仅拥有匹配属性集的用户才能解密。
• 使用主密钥和用户特定的私钥，在解密时强制执行策略满足条件。
• 使用验证属性和访问日志检测异常情况和潜在的密钥泄露。
• 支持服务节点和授权节点之间的协调，以实现完整性审计和复制。

实验结果

研究问题

• RQ1 如何利用CP-ABE在分布式存储系统中实现可扩展的、基于属性的认证和授权？
• RQ2 何种协议设计可确保在细粒度访问控制下实现安全的无状态数据传输与存储？
• RQ3 如何通过访问模式分析检测私钥泄露？
• RQ4 何种机制可在系统被攻破时实现自动恢复和密钥吊销？
• RQ5 如何调整分布式系统中的协调与复制机制，以支持基于属性的访问控制和完整性验证？

主要发现

• 该协议通过使用CP-ABE将访问策略绑定到密文，成功实现了密码学强制的、基于属性的访问控制。
• 系统在强威胁模型下实现了可扩展的安全性，支持大规模半匿名用户并实现细粒度访问控制。
• 在验证属性上记录访问模式，可实现异常检测，例如检测到意外的地理位置访问，以提示潜在的密钥泄露。
• 该协议通过协调机制支持在线恢复和密钥吊销，且可利用密钥同态技术实现无需暴露明文的重新加密。
• 未来工作表明，通过使用蜜罐属性可检测叛徒或恶意内部人员，方法是追踪未经授权的访问尝试。
• 副本之间的协调支持完整性审计和恢复，增强了对组件级别攻击的弹性。