[论文解读] Authentication as a service: Shamir Secret Sharing with byzantine components

Andrea Bissoli, Fabrizio d’Amore|arXiv (Cornell University)|Jun 19, 2018

User Authentication and Security Systems被引用 4

一句话总结

该论文提出了一种新颖的认证即服务框架，利用拜占庭容错组件的Shamir (k,n)-门限秘密共享机制，将密码分割为存储在分布式云节点中的份额。通过隐藏横坐标并使用Pedersen可验证秘密共享，该方案实现了信息论安全，确保即使密钥分发者和k−1个持有者被攻破，密码仍为计算上不可破译，且工作原型在对抗性条件下展示了可行性与鲁棒性。

ABSTRACT

We present a practical methodology for securing the password-based authentication scheme. We propose a solution based on the well-known (k,n) threshold scheme of Shamir for sharing a secret, where in our case the secret is the password itself and (k,n) threshold scheme means that n password-derived secrets (shares) are created and k less than n shares are necessary and sufficient for reconstructing the password, while k-1 are not sufficient. The scheme is information-theoretic secure. Since each of the n shares is stored on a different host (shareholder), an attacker will need to compromise k different shareholders for obtaining an amount of data sufficient for reconstructing the secret. Furthermore, in order to be resistant to the compromising of the server (dealer) coordinating the shareholders we define a variant of the classic Shamir, where the Shamir's abscissae are unknown to dealer and shareholders, making the reconstruction impossible even in the case of dealer and shareholders compromised. In addition we use the Pedersen technique for allowing the verification of shares. For the described scenario we have designed two protocols: the registration (user's sign-up, to be carried out once), and authentication (user's login). We analyse several scenarios where dealer and/or shareholders are partially/totally compromised and confirm that none of them is enabling the attacker to break the authentication. Furthermore we focus on cases where one or more byzantine servers are presented, analysing the impact on the framework and show the adopted mechanisms to be safe against these kinds of attacks. We have developed a prototype demonstrating that our framework works correctly, effectively and efficiently. It provides a first feasibility study that will provide a base for structured and engineered cloud-based implementations aiming at providing an authentication-as-a-service.

研究动机与目标

• 解决基于密码的认证中的关键安全缺陷，即重复使用或泄露的密码会导致大规模账户被攻破。
• 设计一种可扩展的云原生认证系统，用户仅需记住一个秘密，而密码的加密份额则分发至多个不可信服务器。
• 通过新颖的密码学加固机制，确保对密钥分发者和持有者节点的拜占庭行为具备弹性。
• 提供一种实用且可部署的解决方案，支持真实世界的认证工作负载，具备强安全保证与性能效率。
• 为工程化、生产就绪的云原生认证服务奠定基础，包含形式化安全分析与可运行的概念验证原型。

提出的方法

• 系统使用Shamir的(k,n)-门限秘密共享机制，将用户密码分割为n个密码学安全的份额，每个份额存储在独立的不可信服务器（持有者）上。
• 份额的横坐标（x-坐标）对密钥分发者和持有者均保密，即使两者均被完全攻破，也无法重建原始密码。
• 集成Pedersen的可验证秘密共享方案，使每个持有者能够无需知晓秘密即可密码学验证其份额的正确性。
• 设计了两阶段协议：注册（一次性设置）和认证（交互式登录），客户端、密钥分发者与持有者之间实现安全消息交换。
• 系统利用Docker容器化技术进行云部署，支持所有组件的模块化、隔离化与可重现执行。
• 在多种威胁模型下对安全性进行了形式化分析，包括密钥分发者与持有者的部分或完全被攻破，以及网络中存在拜占庭行为的情况。

实验结果

研究问题

• RQ1 能否通过秘密共享机制使基于密码的认证系统实现信息论安全，即使密钥分发者和多个持有者被攻破？
• RQ2 如何修改Shamir的秘密共享机制，以防止在密钥分发者和持有者均不知横坐标的情况下被重建？
• RQ3 在存在拜占庭或恶意持有者的情况下，应采用何种机制确保份额的完整性和真实性？
• RQ4 能否构建一种具备强密码学保证与可接受性能的实用云原生认证即服务框架？
• RQ5 在真实世界威胁（如凭证泄露、重放攻击、动态节点被攻破）下，系统的行为如何？

主要发现

• 所提出的方案实现了密码的信息论安全，即即使攻击者拥有无限计算能力，也无法在未攻破至少k个持有者的情况下重建秘密。
• 通过隐藏横坐标，使系统在密钥分发者被完全攻破且k−1个持有者被腐蚀的情况下仍保持安全。
• 集成Pedersen可验证秘密共享机制，确保所有份额均可密码学验证，防止恶意持有者提交无效或伪造的份额。
• 原型实现表明，系统在功能正确性与效率方面表现良好，性能指标适合真实世界部署。
• 安全分析确认，任何密钥分发者与持有者（最多k−1个）的组合被攻破，均无法使攻击者重建密码或冒充用户。
• 系统支持多设备模型，未来可扩展支持动态密钥分发者选举、自动故障检测与标准化API，以实现更广泛的系统集成。