A Lightweight QR-assisted Zero-knowledge Identification Protocol For Secure Authentication

Resumen Técnico: Un Protocolo de Identificación de Conocimiento Cero Asistido por Código QR Ligero para Autenticación Segura

Enunciado del Problema
La autenticación segura en entornos móviles, distribuidos y con recursos limitados enfrenta desafíos significativos. Los métodos tradicionales, como los sistemas basados en contraseñas y las infraestructuras de certificados, a menudo dependen de terceros e introducen riesgos como el robo de identidad, la fuga de datos y los ataques de repetición. Si bien los protocolos de Prueba de Conocimiento Cero (ZKP), particularmente aquellos basados en el esquema de identificación de Schnorr, ofrecen una seguridad robusta al permitir que un usuario demuestre el conocimiento de un secreto sin revelarlo, su despliegue práctico en entornos móviles ligeros sigue siendo limitado. Además, los sistemas de autenticación basados en códigos QR existentes a menudo sufren vulnerabilidades donde los códigos copiados o reutilizados pueden facilitar ataques de repetición, especialmente cuando la verificación depende en gran medida de servidores centrales.

Metodología
El estudio propone un protocolo de autenticación ligero y no interactivo que integra ZKP basado en Schnorr con la transmisión de datos mediante códigos QR. El sistema opera sobre la dificultad computacional del Problema del Logaritmo Discreto (DLP).

• Diseño del Protocolo: El protocolo utiliza la transformación de Fiat-Shamir para convertir el protocolo interactivo de Schnorr en uno no interactivo.
  • Lado del Probadore: El probador, que posee una clave privada $x$ y una clave pública correspondiente $y = g^x \mod p$, genera un valor aleatorio $r$ para calcular un compromiso $t = g^r \mod p$. Un desafío $c$ se deriva de manera determinista mediante el hash del compromiso, la clave pública, un nonce y una marca de tiempo ($c = Hash(t || y || nonce || timestamp)$). La respuesta $s$ se calcula como $s = r + cx \mod (p-1)$. La tupla de prueba resultante $\pi = (t, s, nonce, timestamp)$ se codifica en un formato JSON y se incrusta dentro de un código QR.
  • Lado del Verificador: El verificador decodifica el código QR, valida la marca de tiempo para asegurar la frescura, recalcula el desafío $c$ y verifica la ecuación $g^s = t \cdot y^c \mod p$.
• Mecanismos de Seguridad: Para contrarrestar el riesgo inherente de ataques de repetición en los códigos QR visuales, el sistema incorpora una marca de tiempo y un nonce. La marca de tiempo asegura que la prueba sea válida solo dentro de una ventana de tiempo específica ($\Delta$), mientras que el nonce asegura la diversidad de la prueba para cada sesión.
• Canal de Transmisión: El código QR sirve como un medio de transmisión unidireccional y sin contacto. No proporciona seguridad criptográfica en sí mismo, pero preserva la integridad de los datos de la prueba, confiando en el protocolo criptográfico subyacente para la seguridad.

Contribuciones Clave
El documento identifica tres contribuciones principales:

1. El diseño de un protocolo de autenticación ZKP ligero y no interactivo estructurado específicamente para la transmisión mediante códigos QR.
2. La implementación de un mecanismo de verificación basado en marcas de tiempo para mitigar los riesgos de ataques de repetición inherentes a los códigos QR estáticos o copiables.
3. Una evaluación de la compatibilidad del tamaño de la prueba con las restricciones de capacidad de los códigos QR estándar.

Resultados
El protocolo fue evaluado utilizando un entorno de simulación basado en Python con un nivel de seguridad de 256 bits.

• Rendimiento: Tanto los tiempos de generación de pruebas como los de verificación se encontraron en el rango de milisegundos. Específicamente, los tiempos de generación oscilaron entre aproximadamente 0,00014 y 0,00018 segundos, mientras que los tiempos de verificación oscilaron entre 0,00030 y 0,00078 segundos. La ejecución inicial de generación mostró una latencia ligeramente mayor debido a la inicialización de parámetros, pero las ejecuciones posteriores permanecieron altamente eficientes.
• Tamaño de Datos: El tamaño de los datos de prueba generados, codificados en JSON, permaneció constante en aproximadamente 491–495 bytes (aproximadamente 0,5 KB). Este tamaño está muy dentro de la capacidad de los códigos QR estándar, incluso de versiones inferiores, facilitando una transmisión sencilla.

Significado y Afirmaciones
Los autores afirman que el modelo propuesto ofrece una solución de autenticación viable y segura para entornos con recursos computacionales bajos y requisitos mínimos de infraestructura. Al combinar la seguridad de los ZKP basados en Schnorr con la practicidad de los códigos QR, el sistema permite la verificación sin revelar la clave secreta, manteniendo al mismo tiempo la resistencia contra ataques de repetición.

El estudio posiciona este enfoque como particularmente adecuado para:

• Sistemas de pasarela IoT.
• Mecanismos de control de acceso temporal.
• Aplicaciones de autenticación móvil.

El documento concluye que el modelo equilibra una fuerte seguridad criptográfica con una baja sobrecarga computacional, lo que lo hace apropiado para el despliegue práctico en control de acceso físico y escenarios móviles. Los autores señalan que el trabajo futuro se centrará en integrar este modelo con la gestión de identidades basada en blockchain, realizar análisis de escalabilidad y ejecutar pruebas experimentales en hardware real.