云中的密钥：加密凭证的可审计多设备访问
密码学与安全
2018-10-04 v2
摘要
个人加密密钥是许多安全服务的基础，但安全存储这些密钥是一项挑战，尤其是在多设备上使用时。将密钥集中存储在如互联网可访问服务器等位置会引发严重的安全顾虑（例如服务器被攻破）。基于硬件的可信执行环境（TEEs）是在不可信环境中保护敏感数据的知名方案，且如今正出现在商用服务器平台上。尽管利用服务器端TEE保护密钥的想法直截了当，本文中我们验证了该方法并展示其可实现新的期望功能。我们描述了一个基于TEE的云密钥库（CKS）的设计、实现与评估，该在线服务用于安全生成、存储和使用个人加密密钥。借助远程证明，用户获得关于CKS行为的强保证，并可使用密码认证，同时避免基于密码认证的典型风险如密码窃取或钓鱼。此外，该设计允许用户：i）定义基于策略的密钥访问控制；ii）将密钥委托给其他CKS用户，限定指定时长和/或有限使用次数；iii）通过安全审计日志审计所有密钥使用。我们使用Intel SGX实现了概念验证CKS，并将其集成到Linux上的GnuPG和Android上的OpenKeychain中。我们的CKS实现在单台台式PC上每秒执行约6000次签名操作。延迟与本地存储密钥同数量级，且比智能卡快20倍。
引用
@article{arxiv.1804.08569,
title = {Keys in the Clouds: Auditable Multi-device Access to Cryptographic Credentials},
author = {Arseny Kurnikov and Andrew Paverd and Mohammad Mannan and N. Asokan},
journal= {arXiv preprint arXiv:1804.08569},
year = {2018}
}
备注
Extended version of a paper to appear in the 3rd Workshop on Security, Privacy, and Identity Management in the Cloud (SECPID) 2018