[论文解读] Droplet: Decentralized Authorization for IoT Data Streams

Hossein Shafagh, Lukas Burkhalter+3 more|arXiv (Cornell University)|Jun 6, 2018

Blockchain Technology Applications and Security参考文献 50被引用 9

一句话总结

Droplet 是一种用于物联网数据流的去中心化授权系统，可在不依赖可信中介的情况下实现细粒度、选择性访问控制。它使用基于区块链的访问控制列表和密码学证明，确保数据所有者保有控制权，同时在分布式设备间实现高效、可验证的访问决策。

ABSTRACT

This paper presents Droplet, a decentralized data access control service, which operates without intermediate trust entities. Droplet enables data owners to securely and selectively share their dat ...

研究动机与目标

• 解决物联网数据访问控制中对集中式权威机构缺乏信任的问题。
• 使数据所有者能够安全且选择性地与授权方共享实时数据流。
• 消除物联网系统中访问控制决策依赖第三方中介的问题。
• 在去中心化的物联网环境中提供高效、可扩展且密码学可验证的访问控制。

提出的方法

• Droplet 使用基于区块链的访问控制列表（ACL），以无信任方式记录并强制执行数据共享策略。
• 它使用密码学签名和零知识证明来验证访问请求，而无需暴露敏感的策略细节。
• 数据流通过端到端加密保护，访问令牌与用户身份及策略密码学绑定。
• 系统通过链上智能合约支持动态策略更新和撤销。
• 访问决策在数据源本地使用可验证凭证做出，最大限度减少对基础设施的信任。
• 轻量级客户端-服务器模型支持与现有物联网边缘设备和网关的高效集成。

实验结果

研究问题

• RQ1 如何在保持强安全保证的前提下实现物联网数据访问控制的去中心化？
• RQ2 密码学技术是否能够在不依赖可信中介的情况下实现细粒度的访问控制？
• RQ3 在资源受限的物联网设备上强制执行去中心化访问控制的性能开销如何？
• RQ4 在实时数据流环境中，访问决策如何高效地做出并验证？
• RQ5 该系统能否以无信任、可扩展的方式支持动态策略更新和撤销？

主要发现

• Droplet 通过基于区块链的 ACL 有效消除了物联网数据访问控制中对可信中介的需求。
• 该系统在资源受限的物联网边缘设备上实现了亚秒级的访问决策时间，证明了其实际性能。
• 用于访问验证的密码学证明计算开销极低，在典型物联网硬件上验证成本低于 50ms。
• 系统支持低延迟的动态策略更新与撤销，确保访问控制保持响应迅速。
• 端到端加密结合可验证的访问令牌，确保了在不可信网络中数据的机密性与完整性。
• 评估表明，Droplet 在去中心化部署中能随着数据流和访问请求数量的增加而高效扩展。