[論文レビュー] The Austrian eID ecosystem in the public cloud

Bernd Zwattendorfer, Daniel Slamanig|arXiv (Cornell University)|Apr 1, 2016

Cryptography and Data Security参考文献 37被引用数 3

ひとこと要約

この論文は、プロキシ再暗号化と削除可能な署名を用いて、オーストリアeIDエコシステムをパブリッククラウドへプライバシーを守った移行を提案する。これにより、クラウドプロバイダーに機密データを暴露することなく、安全でスケーラブルかつ中央集権的に管理された電子身分証明がオーストリアおよびEU市民に提供可能になる。本アプローチは、市民認証、電子的代表権、外国人アクセスの3つのコアユースケースを完全にサポートする。

ABSTRACT

The Austrian eID system constitutes a main pillar within the Austrian e-Government strategy. The eID system ensures unique identification and secure authentication for citizens protecting access to applications where sensitive and personal data are involved. In particular, the Austrian eID system supports three main use cases: identification and authentication of Austrian citizens, electronic representation, and foreign citizen authentication at Austrian public sector applications. For supporting all these use cases, several components - either locally deployed in the applications' domain or centrally deployed - need to communicate with each other. While local deployments have some advantages in terms of scalability, still a central deployment of all involved components would be advantageous, e.g., due to less maintenance efforts. However, a central deployment can easily lead to load bottlenecks because theoretically the whole Austrian population as well as - for foreign citizens - the whole EU population could use the provided services. To mitigate the issue on scalability, in this paper we propose the migration of the main components of the ecosystem into a public cloud. However, a move of trusted services into a public cloud brings up new obstacles, particularly with respect to privacy. To bypass the issue on privacy, in this paper we propose an approach on how the complete Austrian eID ecosystem can be moved into a public cloud in a privacy-preserving manner by applying selected cryptographic technologies (in particular using proxy re-encryption and redactable signatures). Applying this approach, no sensitive data will be disclosed to a public cloud provider by still supporting all three main eID system use cases. We finally discuss our approach based on selected criteria.

研究の動機と目的

• 中央集権的なオーストリアeIDシステムのスケーラビリティと保守性の課題に対処するため、コアコンポonentsをパブリッククラウドに移行すること。
• 信頼できないパブリッククラウド環境に信頼できる身分証明サービスを導入する際の内在的なプライバシー懸念を克服すること。
• クラウドベースの処理および保存中に機密個人データのエンドツーエンド機密性を保証すること。
• 市民認証、電子的代表権、外国人アクセスの3つの主要eIDユースケースすべてとの完全な互換性を維持すること。
• 実世界の展開制約下での提案手法の実現可能性とセキュリティを評価すること。

提案手法

• スケーラビリティの向上と保守コストの低減を目的として、オーストリアeIDエコシステムのコアコンポonentsをパブリッククラウドインfraに移行すること。
• プロキシ再暗号化を採用し、平文データをクラウドにさらすことなく、暗号解除権の安全な委譲を可能にすること。
• 削除可能な署名を活用し、署名済み文書内の機密情報を選択的にマスキング可能にしつつ、検証可能性を維持すること。
• クラウドプロバイダーが生の個人データや秘密鍵にアクセスできないように、信頼モデルを設計すること。
• 暗号操作を、クラウドが侵害された場合でもデータ機密性が保証されるように設計すること。
• 既存のeIDワークフローに暗号プリミティブを統合し、機能的同等性を保ちつつプライバシーを強化すること。

実験結果

リサーチクエスチョン

• RQ1 オーストリアeIDシステムを、データプライバシーを損なわず、パブリッククラウドに安全に移行する方法は何か？
• RQ2 パブリッククラウド環境において、平文データを暴露せずに暗号解除権を安全に委譲するための暗号技術は何か？
• RQ3 削除可能な署名は、eID関連文書における機密情報の保護に効果的に使用可能か？同時に、真正性と整合性を維持できるか？
• RQ4 提案手法は、クラウド環境下でも3つの主要eIDユースケースの機能要件をどの程度維持できるか？
• RQ5 従来のオンプレミス展開と比較して、提案アーキテクチャはセキュリティ、パフォーマンス、保守性の観点でどのように異なるか？

主な発見

• 提案手法により、クラウドプロバイダーに機密データを暴露することなく、パブリッククラウド上でもeIDの完全な機能が実現可能である。
• プロキシ再暗号化により、秘密鍵や平文データを暴露せずに、ユーザー間およびサービス間での鍵の委譲が安全に可能である。
• 削除可能な署名は、署名文書内の選択的データマスキングを可能にし、文書交換ワークフローにおけるプライバシー強化に貢献する。
• システムは、市民認証、電子的代表権、外国人アクセスの3つのコアユースケースをすべてサポートしながら、エンドツーエンド機密性を維持している。
• オンプレミス展開と比較して、運用保守コストの低減とシステムスケーラビリティの向上が達成されている。
• セキュリティ分析により、クラウドプロバイダーが侵害された場合でも、機密データの暗号的隔離により、意味のある情報を取得できないことが確認された。