[论文解读] Authcoin: Validation and Authentication in Decentralized Networks

Benjamin Leiding, H. Clemens+2 more|arXiv (Cornell University)|Sep 16, 2016

Blockchain Technology Applications and Security参考文献 4被引用 34

一句话总结

Authcoin 提出了一种基于区块链的去中心化验证与认证系统，用于域名、证书、电子邮件账户和公钥的认证，取代传统的公钥基础设施（PKI）和 PGP 信任网络。通过结合挑战-响应机制与区块链持久性，该系统能够抵御 Sybil 攻击，并实现无需中心化权威机构的信任机制，从而在强安全保证下实现稳健的分布式认证。

ABSTRACT

Authcoin is an alternative approach to the commonly used public key infrastructures such as central authorities and the PGP web of trust. It combines a challenge response-based validation and authentication process for domains, certificates, email accounts and public keys with the advantages of a block chain-based storage system. As a result, Authcoin does not suffer from the downsides of existing solutions and is much more resilient to sybil attacks.

研究动机与目标

• 解决集中式公钥基础设施（PKI）和 PGP 信任网络在去中心化环境中存在的局限性。
• 为数字身份和加密密钥提供一种具有韧性的、无需信任的认证机制。
• 消除现有去中心化信任模型中普遍存在的单点故障和 Sybil 攻击漏洞。
• 利用区块链技术实现可验证、持久且密码学安全的数字身份验证。

提出的方法

• Authcoin 使用一种挑战-响应协议，要求实体通过密码学可验证的操作来证明其对身份（如域名、电子邮件、密钥）的控制权。
• 所有验证事件和认证记录均记录在公共区块链上，确保不可篡改性和可审计性。
• 该系统采用基于历史验证行为的声誉与信任模型，增强对恶意行为者的抵御能力。
• 每个身份绑定到唯一的密码学密钥对，所有权通过签名的挑战来证明。
• 区块链层确保所有认证记录均经过密码学锚定，并可被全球验证。
• 该协议支持多种身份类型——域名、电子邮件地址、公钥——并统一于同一信任模型之下。

实验结果

研究问题

• RQ1 去中心化的认证系统是否能够消除对中心化权威机构的依赖，同时保持强安全保证？
• RQ2 在无信任、分布式的环境中，如何有效缓解身份验证过程中的 Sybil 攻击？
• RQ3 区块链技术能否被有效用于持久化和验证身份认证，而无需信任中间方？
• RQ4 是否可行构建一个可扩展、密码学安全的认证系统，支持多种身份类型？

主要发现

• Authcoin 通过去中心化、基于区块链的系统成功取代了集中式 PKI 和 PGP 信任网络，防止了信任垄断的出现。
• 挑战-响应机制确保只有实际掌握其身份密码学控制权的实体才能被认证。
• 通过将所有验证事件锚定在区块链上，Authcoin 实现了信任记录的不可篡改性和全球一致性。
• 由于通过挑战-响应流程获取多个有效身份的成本极高，该系统对 Sybil 攻击表现出显著的韧性。
• 使用公开的、可追加的账本，使任何参与者均可完整审计和验证认证事件。