[論文レビュー] UPPRESSO: Untraceable and Unlinkable Privacy-PREserving Single Sign-On Services

Chengqian Guo, Jingqiang Lin+7 more|arXiv (Cornell University)|Oct 20, 2021

Advanced Authentication Protocols Security参考文献 38被引用数 6

ひとこと要約

UPPRESSOは、ユーザーおよび依頼者（RP）に対して一時的な偽名（PID）を用いることで、IdPによるログイン追跡およびRP間でのアイデンティティの関連付けを防ぐプライバシー保護型シングルサインオン（SSO）システムです。OpenID Connectと統合されたアイデンティティ変換関数を用いることで、追跡不能かつ関連付け不能なSSOを実現し、プライバシー漏洩を低減しながらも、SSOのセキュリティやパフォーマンスを損なわず実現しています。

ABSTRACT

Single sign-on (SSO) allows a user to maintain only the credential for an identity provider (IdP) to log into multiple relying parties (RPs). However, SSO introduces privacy threats, as (a) a curious IdP could track a user's all visits to RPs, and (b) colluding RPs could learn a user's online profile by linking her identities across these RPs. This paper presents a privacypreserving SSO scheme, called UPPRESSO, to protect an honest user's online profile against (a) an honest-but-curious IdP and (b) malicious RPs colluding with other users. UPPRESSO proposes an identity-transformation approach to generate untraceable ephemeral pseudo-identities for an RP and a user from which the target RP derives a permanent account for the user, while the transformations also provide unlinkability. This approach protects the identities of the user and the target RPs in a login flow, while working compatibly with widely-deployed SSO protocols and providing services accessed from a commercial-off-the-shelf browser without plug-ins or extensions. We built a prototype of UPPRESSO on top of MITREid Connect, an open-source SSO system. The extensive evaluations show that it fulfills the security and privacy requirements of SSO with reasonable overheads.

研究の動機と目的

• 恒久的アイデンティティが複数の依頼者（RP）に跨ってログイン活動を追跡できる可能性があるSSOにおけるプライバシー脅威に対処すること。
• 同じユーザーの恒久的アイデンティティを共有するが、共謀するRPが異なるサービス間でユーザーのアイデンティティを関連付けるのを防ぐこと。
• OpenID Connectのような標準的なSSOプロトコルのセキュリティおよび機能を維持しつつ、ユーザーのプライバシーを強化すること。
• SSOにおけるプライバシー課題をアイデンティティ変換問題として形式化し、関連付け不能かつ追跡不能な認証を可能にすること。

提案手法

• 一時的RPアイデンティティ（PID_RP）の交渉、IdPによるユーザーID（ID_U）からユーザー偽名（PID_U）への変換、RP側での永続的アカウント（Acct）の導出という3段階のアイデンティティ変換パイプラインを導入。
• 各RPに対して一意の一時的識別子を生成するための安全関数F_PID_RPを用い、ログイン時にIdPがRPの本物の識別子を知ることを防ぐ。
• ユーザーの恒久的IDを一意で一時的な偽名（PID_U）にマッピングするための2番目の関数F_PID_Uを採用し、RP間での関連付けを不可能にする。
• RP側で、一時的なトラップドアを用いてPID_Uから一貫した永続的ユーザーアカウント（Acct）を決定的に導出するための3番目の関数F_Acctを適用し、各RPにおける長期的なユーザーのバインディングを可能にする。
• MITREid Connect（オープンソースのOIDC実装）と統合することで、既存のSSOインfra構造との後方互換性を確保。
• 楕円曲線ハッシュ（Hs）や安全な鍵交換などの暗号原 primitives を用い、根本的な秘密情報を暴露せずにアイデンティティをバインドする。

実験結果

リサーチクエスチョン

• RQ1 好奇なアイデンティティプロバイダー（IdP）が、複数の依頼者（RP）に跨ってユーザーのログイン活動を追跡するのを防ぐにはどうすればよいか？
• RQ2 共謀するRPが、同じユーザーの恒久的アイデンティティを共有しても、異なるサービス間でユーザーのアイデンティティを関連付けるのを防ぐにはどうすればよいか？
• RQ3 標準的なSSOプロトコルのセキュリティおよび機能を維持しつつ、関連付け不能かつ追跡不能な認証を達成できるか？
• RQ4 恒久的アイデンティティと一時的なログインインスタンスを分離しつつ、SSOの信頼性保証を損なわずに必要なアイデンティティ変換メカニズムは何か？

主な発見

• UPPRESSOは、IdPがRPの恒久的アイデンティティを一切学習しないようにすることで、IdPによるログイン追跡を効果的に防止している。
• 同じユーザーに対して各RPが一意で非永続的なアカウントを生成するため、RP間でのアイデンティティ関連付けが不可能となり、システムはRPによるアイデンティティの関連付けを防いでいる。
• MITREid Connect上に実装されたプロトタイプでは、IdP、RP、ユーザーが同一場所に配置されている場合、平均ログイン遅延が174 msであり、リモート環境では421 msであった。
• UPPRESSOはOpenID Connectや他の標準SSOプロトコルと互換性を保ち、既存の認証フローを変更せずに導入可能である。
• 共謀するIdPと一部のRPが存在する状況下でも、非共謀RPにおけるユーザー活動は、三元組（t, PID_U, PID_RP）の一時的かつ独立性のおかげで保護されている。
• RP証明書のバインディングとpostMessageのtargetOriginメカニズムによるオリジンチェックにより、不正なRPのスプーフィングが防止され、安全なトークン配信が保証されている。