Direct Anonymous Attestation

Direct Anonymous Attestation (DAA, с англ. — «прямая анонимная аттестация») — это криптографический примитив, который делает возможным удаленную аутентификацию доверенного компьютера, сохраняя конфиденциальность пользователя.

Trusted Computing Group (TCG) принял прямую анонимную аттестацию (DAA) в качестве метода удаленной аутентификации аппаратного модуля, точнее доверенным аппаратным модулем (TPM), при сохранении конфиденциальности пользователя платформы, которая содержит данный модуль. Прямую анонимную аттестацию (DAA) можно рассматривать как групповую подпись без указания того, что электронная подпись может быть открытой, значит анонимность не может быть отозвана. При этом DAA допускает использование псевдонимов, то есть для каждой подписи пользователь, по согласованию с получателем подписи, может решить будет ли подпись связана с другой подписью. Также DAA позволяет обнаруживать «известные» ключи: если секретные ключи DAA извлекаются из TPM и публикуются, верификатор может обнаружить, что с использованием этих секретных ключей была создана подпись. Схема защищена в модели случайного оракула при условиях устойчивого RSA и принятия решения Диффи — Хеллмана.

Стандарт ISO/IEC 20008 2013 также предусматривает прямую анонимную аттестацию, а этап реализации Intel Enhanced Privacy ID (EPID) 2.0 для микропроцессоров доступен для предоставления лицензии RAND-Z вместе с открытым исходным кодом SDK.

Схема прямой анонимной аттестации

В основе схемы DAA (прямой анонимной аттестации) лежит: доверенный аппаратный модуль (TPM) выбирает секретное «сообщение» f, получает подпись Camenisch-Lysyanskaya (CL) от эмитента по безопасному двухстороннему протоколу. Далее доверенный аппаратный модуль (TPM) может убедить верификатора в том, что он получил аттестацию анонимно с помощью доказательства знания подписи. Верификатор сможет распознать мошеннические доверенные платформенные модули (TPM) в том случае, если доверенный платформенный модуль (TPM) предоставит псевдоним NV и доказательство, что псевдоним получен из секретного f доверенного платформенного модуля (TPM), содержащегося в аттестации, и базы, определенной проверяющим.

В данной схеме используются параметры безопастности $l$_n - размер модуля RSA, $l$_f - размер f_i (информация закодирована в сертификат), $l$_e - размер экспоненты, состовляющей часть сертификата, $l'$_e - размер интервала, из которого выбирается экспонента, $l$_∅ - параметром безопасности, управляющий статистическим свойством нулевого разглашения, $l$_𝑣 - размер 𝑣 (случайное значение, часть сертификата), $l$_𝛨 - выходная длина хэш-функции, используемая для эвристического алгоритма Фиат-Шамира, $l$_r - параметр безопасности для уменьшения доказательства безопасности, $l$_G - размер модуля G, $l$_p - размеру порядка p подгруппы ℤ^*_G для маркировки ошибок.

При $l_{p}=2l_{f}$ должны выполняться следующие неравенства:

$l_{e}>l_{\varnothing }+l_{H}+max\{l_{f}+4,l_{e}'+2\}$

и

$l_{v}>l_{\varnothing }+l_{H}+l_{n}+max\{l_{f}+l_{r}+3,l_{\varnothing }+2\}$

Задача дискретного логарифмирования в подгруппе ℤ^*_𝛤 порядка 𝜌, при условии, что 𝛤, 𝜌 простые числа $2^{l_{G}}>G>2^{l_{G}-1}$ и $2^{l_{p}}>p>2^{l_{p}-1}$, должны иметь одинаковую сложность с факторизацией логарифмических бит RSA, для выполнения данного условия выбираются $l$_p, $l$_G. 𝛨 - устойчивая к коллизиям хэш-функция H: $\{0,1\}^{*}\rightarrow \{0,1\}^{l_{H}}$

Спецификация модели прямой анонимной аттестации

Протокол DAA основан на четырех основных объектах и двух разных этапах. Объектами являются доверенный аппаратный модуль (TPM) или микропроцессор с поддержкой EPID, эмитент, верификатор и хост. На этапе присоединения TPM и хост образуют платформу, которая выполняет протокол соединения с эмитентом. Затем эмитент должен проверить платформу и решить, разрешает ли он ей стать участником. Эмитент является объектом протокола DAA, который выдает учетные данные на основе ключевых атрибутов платформы. За счет использования доказательства с нулевым разглашением TPM преобразует учетные данные в нужную форму, позволяющую сохранить анонимность. TPM, как участник, и принимающая сторона подписывают сообщения базовым именем - bsn $\in \{0,1\}^{*}\cup \{\bot \}$. Хоть и подпись не дает никакой информации о подписавшейся личности, но любой верификатор может проверить, что подпись получена из законной платформы и с помощью детерминированного алгоритма проверки. Когда платформа подписывается bsn ≠ ⊥, становится очевидно, что полученные подписи были созданы одной и той же платформой, которая может быть публично протестирована с помощью детерминистического алгоритма. Существует ряд участников, запускающих криптографические протоколы друг с другом, есть нечестный участник(мошенник) Z, который контролирует некоторых участников, и среда E, которая предоставляет участнику U_i входные данные и произвольно взаимодействует с Z.

Среда предоставляет входные данные честным участникам, получает их выходные данные и произвольно взаимодействует с противником Z. Участники не запускают никаких протоколов, но отправляют все свои входные данные и получают свои выходные данные от идеальной полностью доверенной стороны T. Криптографический протокол обеспечивает безопасную реализацию функциональности, если для каждого противника Z, каждой среды E существует симулятор S, управляющий теми же сторонами в идеальной системе, что и Z в реальной системе. Значит среда не сможет различить, запущен он или нет в реальной системе, взаимодействует с Z или работает ли он в идеальной системе и взаимодействует с симулятором S.

Зададим параметры функциональности прямой анонимной аттестации (DAA). Мы можем различать следующие типы участников: эмитент I, модуль доверенной платформы (TPM) M_i с идентификатором id_i, хост H_i, в который встроен TPM M_i, функция обнаружения мошенника O. Данная функция показывает мошеннические TPM и верификаторы V_j.

Модель безопасности

Идеальная система доверенного лица T обеспечивает следующие операции:

Setup → Join → DAA-Sign/Verify → Rogue Tagging

Настройка(Setup): Каждый TPM M_i отправляет свой уникальный идентификатор T, пересылающий его соответствующему хосту H_i.

Соединение(Join): Хост H_i связывается с T с просьбой стать участником. T отправляет определенному TPM M_i значение счетчика cnt. Затем T спрашивает эмитента I, может ли платформа с идентификатором id и значением счетчика cnt стать участником. Если M_i был помечен как мошенник в соответствии со значением счетчика, T передает это I тоже. Если эмитент соглашается, T уведомляет H_i, что он стал участником.

DAA-Подпись / Проверка(DAA-Sign/Verify): Хост H_i хочет подписать сообщение m относительно некоторого базового имени bsn $\in \{0,1\}^{*}\cup \{\bot \}$ и некоторого значения счетчика cnt для некоторого верификатора V_j. H_i отправляет m, bsn и cnt в T. Если H_i или M_i не являются членами cnt, то T отклоняет запрос. Иначе T пересылает m и cnt к соответствующему Mⁱ и спрашивает его о желании подписать это. Если это выполняется, то Т обращается к H_i, что M_i соглашается и спрашивает его какое базовое имя bsn он хочет подписать (или хочет прервать). Если H_i не прерывается, то T будет работать следующим образом:

• M_i был помечен как мошенник cnt, T отправляет V_j, что мошеннический TPM подписал m.
• bsn = ⊥, то T отправляет V_j, что m было подписано bsn.
• bsn ≠ ⊥, то T проверяет, подписали ли H_i или M_i сообщения bsn и cnt. Если это выполнилось, то T ищет соответствующий псевдоним P в своих данных; в другом случае T выбирает новый случайный псевдоним P $\in \{0,1\}^{l_{c}}$ (l_c - параметр безопасности). В конце T сообщает V_j, что платформа с псевдонимом P подписала m.

Идентификация мошенников(Rogue Tagging): o указывает T на пометку платформы с идентификатором cnt как на мошенника. Если TPM с идентификатором id не поврежден, то T отклоняет запрос. Иначе T помечает TPM с идентификатором id как мошенник в соответствии со значения счетчика cnt.

Свойства полноты для подписей

• Полнота: честная платформа успешно создает подпись для сообщения с базовым именем bsn, честный верификатор принимает подпись.

• Корректность соединения: честная платформа успешно создает две сигнатуры с₁ и с₂, одно и то же базовое имя bsn ≠ ⊥, честный верификатор, выполняющий алгоритм соединения на с₁ и с₂, даст 1.

Задача посложнее заключается в определении свойств безопасности, которые схема DAA должна давать в присутствии мошенника:

• Стойкость(1): эмитент и все доверенные платформенные модули честны, ни один мошенник не может создать подпись для сообщения m с базовым именем bsn, если ни одна платформа не подписала m bsn.

• Стойкость(2): эмитент честен, мошенник может подписаться только на имя поврежденных TPM. Если n TPM повреждены, мошенник может создать не более n несвязанных подписей для одного и того же базового имени bsn ≠ ⊥.

• Анонимность: мошенник, которому даны две подписи, два разных базовых имени или bsn = ⊥, не может найти отличия в том, что были ли обе подписи созданы одной честной платформой или двумя разными.

• Постоянность: никакой мошенник не может создавать подписи для сообщения m с базовым именем bsn, которое ссылается на подпись, созданную честной платформой, которая никогда не подписывала m bsn. Даже если эмитент поврежден, всегда должно сохраняться свойство.

Функции эмитента

Генерация ключей формирует неинтерактивное доказательство с использованием эвристики Фиат-Шамира того, что выбор ключей был сделан правильно. Это будет гарантировать требования безопасности хоста и его пользователя, следовательно анонимность и конфиденциальность подписей будут сохраняться.

1. Эмитент выбирает RSA модули $n=p*q$ с такими p, q, что $p=2p^{'}+1$ , $q=2q^{'}+1$, такими что p, p’, q, q’ являются всеми простыми числами и n имеет l_n бит.
2. Эмитент выбирает генератор случайных чисел g’ из QR_n (группа квадратичных вычетов по модулю n).
3. Эмитент выбирает случайные целые числа x₀, x₁, x_z, x_s, x_b, x_g ∈ [1, p’q’] и вычисляет:

$g:=g^{'x_{g}}{\bmod {n}}$ $h:=g^{'x_{h}}{\bmod {n}}$ $Z:=h^{x_{z}}{\bmod {n}}$ $R_{0}:=S^{x_{0}}{\bmod {n}}$ $S:=h^{x_{s}}{\bmod {n}}$ $R_{1}:=S^{x_{1}}{\bmod {n}}$

1. Эмитент предоставляет неинтерактивное доказательство того, что $R_{0},R_{1},S,Z,g,h$ вычислены правильно, то есть $g,h\in <g'>$, $S,Z\in <h>$, и $R_{0},R_{1}\in <S>$.
2. Эмитент генерирует группу простого порядка, то есть выбирает случайные простые числа p и G так, чтобы $G=r*p+1$ для некоторого r:

$2^{l_{G}-1}<G<2^{l_{G}}$ и $2^{l_{p}-1}<p<2^{l_{p}}$

Выбирает случайное y' ∈_R ℤ^*_𝛤 такое что $y^{'(G-1)/p}\neq 1{\bmod {G}}$

Историческая справка

Проблема конфиденциальности может быть решена с использованием любой стандартной схемы получения подписи (или шифрования с открытым ключом) и одной пары ключей. Изготовители будут встраивать закрытый ключ в каждый произведенный TPM, а открытый ключ будет опубликован в качестве сертификата. Подписи, создаваемые TMP, должны происходить из закрытого ключа. Так как TPM используют один и тот же закрытый ключ, то полученные подписи неразличимы, обеспечивая конфиденциальность пользователя.

Первому решению принятому TCG (спецификация TPM v1.1), требуется пользующаяся доверием третья сторона, то есть центр сертификации (CA) конфиденциальности. Каждый TPM имеет встроенную пару ключей RSA, называемую ключом подтверждения (EK), который должен знать CA конфиденциальности. В целях идентифицировать TPM, генерируется вторая пара ключей RSA, называемая ключом удостоверения подлинности (AIK). Он отправляет открытый ключ удостоверения подлинности (AIK), подписанный ключом подтверждения (EK), в центр сертификации (CA) для конфиденциальности, который проверяет его действительность и выдает сертификат для ключа удостоверения подлинности (AIK). Для этой реализации центр конфиденциальности должен знать открытый ключ подтверждения (EK) TPM или изготовитель TPM должен предоставлять сертификат подтверждения. Существует два пути для обнаружения мошеннических TPM данным методом. Во-первых, центр сертификации (CA) конфиденциальности должен вести список TPM, идентифицированных их ключами подтверждения (EK), чтобы узнать мошеннические, и отклонять запросы от них. Во-вторых, если центр сертификации (CA) конфиденциальности получает слишком много запросов от определенного TPM, то он может их отклонить и заблокировать их ключ подтверждения (EK) TPM. Количество разрешенных запросов должно подлежать управлению рисками. Это решение является сложным, так как центр сертификации (CA) конфиденциальности должен принимать участие в каждой транзакции и обеспечивать высокую доступность, оставаясь к тому же безопасным. Более того, требования конфиденциальности могут быть нарушены, если центр сертификации (CA) конфиденциальности и верификатор вступают в сговор.

Существующие реализации

Первая схема прямой анонимной аттестации (DAA) принадлежит Brickell, Camenisch, and Chen. Данная схема небезопасна и требует исправления. Brickell, Chen, Li повысили эффективность первой схемы, используя симметричные пары, а не RSA. Chen, Morrissey, Smart пытались еще больше повысить эффективность, переключаясь с симметричного на асимметричный параметр, но к сожалению, асимметричная схема оказалась небезопасна.Chen, Page и Smart предложили новую криптографическую схему с использованием кривых Баррето-Наерига. Эта схема реализуется как EPID 2.0, так и стандартом TPM 2.0.

Литература

• Brickell E., Camenisch J., Chen L. Direct Anonymous Attestation // ACM Conference on Computer and Communications Security. — ACM New York, NY, USA, 2004. — С. 132–145. — ISBN 1-58113-961-6. — doi:10.1145/1030083.1030103.
• Camenisch J., Drijvers M., Lehmann A. Universally Composable Direct Anonymous Attestation // IBM Research. — Springer Berlin Heidelberg, 2015. — С. 3-29. — ISBN 978-3-662-49387-8. — doi:10.1007/978-3-662-49387-8_10.
• Matthew Casey, Liqun Chen, Thanassis Giannetsos, Chris Newton, Ralf Sasse, Steve Schneider, Helen Treharne, Jorden Whitefield. Direct Anonymous Attestation in the Wild // Surrey Centre for Cyber Security. — RWC, 2019. — С. 3-8.
• Jan Camenisch, Ernie Brickell, Liqun Chen, Manu Drivers, Anja Lehmann. Direct Anonymous Attestation. Revisited // IBM Research. — 2004. — С. 18-33.
• Ben Smyth, Mark D. Ryan, Liqun Chen. Formal analysis of privacy in Direct Anonymous Attestation schemes // Elsevier. — Science of Computer Programming, 2015. — С. 25-28. — doi:10.1016/j.scico.2015.04.004.
• Ernie Brickell, Liqun Chen, Jiangtao Li. Simplified security notions of Direct Anonymous Attestation and a concrete scheme from pairings // International Journal of Information Security. — 2008. — С. 156–175. — doi:10.1007/s10207-009-0076-3.
• Chen L., Morrissey P., Smart N.P. On Proofs of Security for DAA Schemes // 3rd International Conference on Trust and Trustworthy Computing. — Springer, Berlin, Heidelberg, 2008. — С. 156-175. — ISBN 978-3-540-88733-1. — doi:10.1007/978-3-540-88733-1_11.
• Chen L., Morrissey P., Smart N.P. Pairings in Trusted Computing // Lecture Notes in Computer Science. — Springer, Berlin, Heidelberg, 2008. — С. 1-17. — ISBN 978-3-540-85538-5. — doi:10.1007/978-3-540-85538-5_1.
• Chen L., Li J. A note on the Chen-Morrissey-Smart DAA scheme // Information Processing Letters. — 2010. — С. 485–488. — doi:10.1016/j.ipl.2010.04.017.
• Chen L., Page D., Smart N.P. On the Design and Implementation of an Efficient DAA Scheme // Lecture Notes in Computer Science. — Springer, Berlin, Heidelberg, 2010. — С. 223–237. — ISBN 978-3-642-12510-2. — doi:10.1007/978-3-642-12510-2_16.
• Trusted Platform Module Library // TCG. — 2014. — С. 25-50.