Aprimoramento da privacidade em infraestruturas de chaves públicas centradas no usuário e baseadas em notários

Abstract

Este trabalho tem como objetivo propor novas alternativas de Infraestrutura de Chaves Públicas (ICP) para prover um melhor gerenciamento das identidades, dos atributos e da privacidade dos usuários finais no âmbito de uma Infraestrutura de Autenticação e Autorização (IAA). Neste trabalho são descritas três alternativas: ICP Baseada em Atributos, ICP Centrada no Usuário e ICP Centrada no Usuário com Autenticação Anônima. A partir de uma visão crítica apresentada ao modelo de uma ICP X.509 e também com o uso de certificados de atributos, foram levantadas as limitações de suas adoções e utilizações, bem como a falta de suporte e o fornecimento na privacidade do usuário. Baseadas em Autoridades Notariais para fornecer a confiabilidade dos dados, as propostas utilizam-se do paradigma centrado no usuário para prover um maior controle para o usuário gerenciar e apresentar seus atributos, facilitando nos procedimentos de emissão e verificação das credenciais. As principais diferenças entre as propostas estão no fornecimento de diferentes níveis de privacidade para o usuário final e por meio da utilização de diferentes mecanismos criptográficos, tais como a Criptografia Baseada em Identidades (CBI) e provas de autenticação zero-knowledge. As propostas são analisadas e comparadas entre si e entre cinco outros sistemas, protocolos ou tecnologias utilizadas em uma IAA: ICP X.509 com certificados de atributos, OpenID, framework Shibboleth, U-Prove e Idemix. As suas escolhas se dão pela ampla utilização ou pelos resultados de projetos e pesquisas no meio acadêmico e privado, destacando ou não na privacidade do usuário. Mostra-se que as alternativas de ICP permitem uma simplificação na emissão de credenciais com chaves criptográficas, na verificação destas credenciais, no suporte a diferentes níveis de privacidade para o usuário, com uma alternativa em definir um justo modelo de negócio e a possibilidade de utilização em procedimentos de assinatura de documentos eletrônicos.<br>

Abstract : This work aims to propose new alternatives for Public Key Infrastructure (PKI) to improve the management of identities, attributes and privacy of end users within an Authentication and Authorization Infrastructure (AAI). In this work three alternatives are described: PKI Based on Attributes, User-Centric PKI and User-Centric PKI with Anonymous Authentication. From a critical view introduced to the X.509 PKI model and also with the use of attributes certificates, was raised the limitations of their adoption and uses, as well as the lack of the support and the supply of the user's privacy. Based on Notary Authorities to provide data reliability, the proposed alternatives use of user-centric paradigm to provide more control for the user to manage and to present their attributes, making it easier procedures for issuing and verificating credentials. The main differences between the proposals are in providing different levels of end-user's privacy and through the use of different cryptographic mechanisms, such as Identity-Based Cryptography (IBC) and zero-knowledge authentication proofs. The proposals are analyzed and compared with each other and with five other systems, protocols or technologies used in an IAA: X.509 PKI with attribute certificates, OpenID, Shibboleth framework, U-Prove and Idemix. The choices are given by the widespread use or the results from academic and private's research and projects, focusing or not on user's privacy. It is shown that the PKI's alternatives allow a simplification in the issuance of credentials with cryptographic keys, the verification of that credentials, in supporting different levels of user's privacy, an alternative to defining a fair business model and the possibility of using in procedures for signing electronic documents.