[论文解读] The Austrian eID ecosystem in the public cloud

Bernd Zwattendorfer, Daniel Slamanig|arXiv (Cornell University)|Apr 1, 2016

Cryptography and Data Security参考文献 37被引用 3

一句话总结

本文提出了一种使用代理重加密和可擦除签名的隐私保护型奥地利电子身份（eID）生态系统向公共云迁移方案，实现了在不向云服务提供商暴露敏感数据的前提下，对奥地利及欧盟公民提供安全、可扩展且集中管理的电子身份服务。该方法完全支持三大核心用例：公民身份认证、电子代表权以及外籍人士访问。

ABSTRACT

The Austrian eID system constitutes a main pillar within the Austrian e-Government strategy. The eID system ensures unique identification and secure authentication for citizens protecting access to applications where sensitive and personal data are involved. In particular, the Austrian eID system supports three main use cases: identification and authentication of Austrian citizens, electronic representation, and foreign citizen authentication at Austrian public sector applications. For supporting all these use cases, several components - either locally deployed in the applications' domain or centrally deployed - need to communicate with each other. While local deployments have some advantages in terms of scalability, still a central deployment of all involved components would be advantageous, e.g., due to less maintenance efforts. However, a central deployment can easily lead to load bottlenecks because theoretically the whole Austrian population as well as - for foreign citizens - the whole EU population could use the provided services. To mitigate the issue on scalability, in this paper we propose the migration of the main components of the ecosystem into a public cloud. However, a move of trusted services into a public cloud brings up new obstacles, particularly with respect to privacy. To bypass the issue on privacy, in this paper we propose an approach on how the complete Austrian eID ecosystem can be moved into a public cloud in a privacy-preserving manner by applying selected cryptographic technologies (in particular using proxy re-encryption and redactable signatures). Applying this approach, no sensitive data will be disclosed to a public cloud provider by still supporting all three main eID system use cases. We finally discuss our approach based on selected criteria.

研究动机与目标

• 通过将核心组件迁移至公共云，解决集中式奥地利eID系统面临的可扩展性和维护挑战。
• 克服在不可信的公共云环境中部署可信身份服务所固有的隐私顾虑。
• 确保在基于云的处理和存储过程中，敏感个人数据的端到端机密性。
• 保持与三大主要eID用例的完全兼容性：公民身份认证、电子代表权以及外籍人士访问。
• 在真实部署约束条件下，评估所提方法的可行性和安全性。

提出的方法

• 将奥地利eID生态系统的核心组件迁移至公共云基础设施，以提升可扩展性并降低维护开销。
• 采用代理重加密技术，实现在不向云暴露明文数据的前提下，安全地委托解密权限。
• 利用可擦除签名，实现对签名文档中敏感信息的选择性擦除，同时保持可验证性。
• 设计一种信任模型，确保云服务提供商无法访问原始个人数据或私钥。
• 构建一种系统架构，使加密操作以确保即使云环境被攻破，数据机密性依然得到保障的方式执行。
• 将密码学原语集成至现有的eID工作流中，以在增强隐私性的同时保持功能等价性。

实验结果

研究问题

• RQ1 如何在不损害数据隐私的前提下，将奥地利eID系统安全地迁移到公共云？
• RQ2 哪些密码学技术能够在云环境中实现解密权限的安全委托，而无需暴露明文数据？
• RQ3 可擦除签名能否有效用于保护eID相关文档中的敏感信息，同时保持其真实性和完整性？
• RQ4 所提方法在云环境中在多大程度上保留了三大核心eID用例的功能需求？
• RQ5 与传统的本地部署相比，所提架构在安全性、性能和可维护性方面有何差异？

主要发现

• 所提方法成功实现在公共云中完整eID功能的运行，且未向云服务提供商披露敏感数据。
• 代理重加密支持在用户和服务之间安全地委托密钥，而无需暴露私钥或明文数据。
• 可擦除签名支持在签名文档中选择性地擦除数据，从而增强文档交换工作流中的隐私保护。
• 该系统在支持所有三大核心eID用例（公民身份认证、电子代表权、外籍人士访问）的同时，维持了端到端的机密性。
• 与本地部署相比，该架构降低了运维维护成本，并提升了系统可扩展性。
• 安全分析表明，由于敏感数据在密码学上实现隔离，即使云服务被攻破，攻击者也无法获取有意义的信息。