[论文解读] Reconfigurable Security: Edge Computing-based Framework for IoT

Ruei‐Hau Hsu, Jemin Lee+2 more|arXiv (Cornell University)|Sep 19, 2017

IoT and Edge/Fog Computing参考文献 9被引用 11

一句话总结

本文提出了一种面向物联网的可重构安全框架，通过安全代理（SAs）利用边缘计算将资源受限设备上的复杂密码学操作卸载。通过将密钥管理及群签名和基于属性的加密等重计算任务委托给SAs，该框架将处理时间减少了71.46%至83.42%，并在中等负载下实现了超过90%的安全请求成功率，提升了异构物联网环境中的灵活性和可扩展性。

ABSTRACT

In various scenarios, achieving security between IoT devices is challenging since the devices may have different dedicated communication standards, resource constraints as well as various applications. In this article, we first provide requirements and existing solutions for IoT security. We then introduce a new reconfigurable security framework based on edge computing, which utilizes a near-user edge device, i.e., security agent, to simplify key management and offload the computational costs of security algorithms at IoT devices. This framework is designed to overcome the challenges including high computation costs, low flexibility in key management, and low compatibility in deploying new security algorithms in IoT, especially when adopting advanced cryptographic primitives. We also provide the design principles of the reconfigurable security framework, the exemplary security protocols for anonymous authentication and secure data access control, and the performance analysis in terms of feasibility and usability. The reconfigurable security framework paves a new way to strength IoT security by edge computing.

研究动机与目标

• 解决异构物联网环境中密钥管理复杂性、高计算成本以及先进密码算法部署不灵活的问题。
• 设计一种可扩展且灵活的安全框架，最大限度减少对现有物联网系统的修改，同时支持多样化的安全需求。
• 通过边缘计算辅助，实现在资源受限的物联网设备上高效部署高级安全原_primitive（如群签名和基于属性的加密）。
• 通过支持不同标准、数据模型和安全策略，提升物联网应用间的可用性和互操作性。

提出的方法

• 该框架引入一种靠近用户的边缘设备，称为安全代理（SA），作为可信中介，代表物联网设备处理复杂的密码学操作。
• 采用可重构安全功能（RSF）协议，允许物联网设备通过安全且轻量的通信方式，将签名、验证、加密和解密任务卸载至SA。
• SA采用先到先服务（FCFS）队列模型来管理并发安全请求，确保处理的公平性和可预测性。
• 通过在WiFi Direct和无线AP链路上对BBS群签名和GSPW基于属性的加密进行实际通信与计算时间测量，评估系统性能。
• 该框架支持动态重构，使同一SA可根据应用需求，灵活支持多种安全功能（如匿名认证和细粒度访问控制）。
• 设计与现有物联网标准兼容，最大限度减少设备固件修改，提升向后兼容性和部署可行性。

实验结果

研究问题

• RQ1 在具有异构设备和通信标准的多应用物联网环境中，如何降低密钥管理的复杂性？
• RQ2 将密码学计算卸载至基于边缘的安全代理（SAs）能在多大程度上减少资源受限物联网设备的处理延迟？
• RQ3 在实时物联网环境中，排队和请求超时对安全请求成功率有何影响？
• RQ4 单个SA能否在不显著降低性能的前提下，高效支持多种安全功能（如匿名认证和基于属性的访问控制）？
• RQ5 与传统的设备本地安全解决方案相比，该可重构安全框架在性能和可扩展性方面表现如何？

主要发现

• 与仅由设备执行的传统方式相比，可重构安全框架将处理时间减少了71.46%至83.42%，即使存在额外的SA通信开销也依然成立。
• 当到达率低于服务率的0.7倍时（cₖ < 0.7），安全请求的成功率超过90%，即使存在请求超时约束。
• 在峰值负载cₖ = 1（即每服务时间一个请求）时，成功率仍保持在80%以上，表明系统在高负载下具有强鲁棒性。
• 设备间通信的平均时间（t_COM^D）为56 ms，而设备与SA之间的通信时间（t_COM^D-SA）为243 ms，表明尽管存在延迟，但卸载至SA仍具有显著优势。
• 通过将计算卸载至SAs，该框架成功在物联网设备上实现了BBS群签名和GSPW基于属性的加密等高级密码学原_primitive。
• 系统保持了高可用性和可扩展性，支持针对不同安全功能的动态重构，且对现有物联网基础设施的修改极小。