Resumen Técnico: CPBS – Un Esquema de Firma Ciega por Proxy Colaborativa para el Internet de las Cosas Médicas con Preservación de la Privacidad

1. Declaración del Problema

El despliegue de redes de Internet de las Cosas Médicas (MIoT) enfrenta una tensión crítica entre las restricciones de recursos de los dispositivos de borde (sensores vestibles, monitores alimentados por batería) y los estrictos requisitos de seguridad de los datos médicos. Las soluciones existentes para la integridad y autenticación de datos sufren tres deficiencias primarias:

1. Carga Excesiva en la Terminal: Los esquemas de firma digital tradicionales requieren operaciones criptográficas complejas (p. ej., emparejamiento, exponenciación) que exceden las capacidades computacionales y energéticas de los dispositivos médicos miniaturizados.
2. Riesgos de Compromiso de Claves: El uso frecuente de claves privadas en dispositivos con recursos limitados aumenta la vulnerabilidad ante ataques de canal lateral. Una clave comprometida permite a los atacantes falsificar datos médicos, lo que plantea amenazas directas a la seguridad del paciente.
3. Autoridad Centralizada y Falta de Colaboración: Los esquemas de firma por proxy actuales suelen depender de un único nodo proxy centralizado para autorizar las firmas. Esto crea un punto único de confianza y autoridad, lo que entra en conflicto con los mandatos de cumplimiento médico que a menudo requieren el consentimiento conjunto de múltiples partes interesadas (pacientes, médicos, comités de ética). Además, un solo proxy puede manipular unilateralmente los datos antes de firmarlos, socavando la integridad de los datos.

2. Metodología

Los autores proponen CPBS (Firma Ciega por Proxy Colaborativa), un esquema diseñado para descentralizar la autoridad, proteger la privacidad de los datos y descargar la computación pesada de los dispositivos finales. La arquitectura del sistema involucra cinco entidades: Firmantes Originales (pacientes, médicos, comités de ética), Dispositivos de Detección MIoT, una Puerta de Enlace de Monitoreo de Sala (Ward Monitoring Gateway), una Plataforma de Big Data Hospitalaria y una Cadena de Bloques de Consorcio.

El esquema opera en dos fases distintas:

A. Fase Fuera de Línea (Preprocesamiento)

Esta fase gestiona las operaciones criptográficas pesadas y la configuración de la autorización sin requerir la participación en tiempo real de los dispositivos de detección.

• Inicialización del Sistema: Los parámetros se generan utilizando emparejamientos bilineales sobre curvas elípticas.
• Delegación Colaborativa: Los firmantes originales utilizan un mecanismo de intercambio de secretos de umbral $(t, n)$ (basado en el esquema de Shamir y las firmas de Boneh-Boyen) para autorizar conjuntamente a la Puerta de Enlace de Monitoreo de Sala.
  • Los firmantes generan participaciones de autorización para una política específica $M_w$.
  • La Puerta de Enlace agrega al menos $t$ participaciones para reconstruir un token de autorización.
  • Este proceso garantiza que ninguna parte pueda autorizar a la puerta de enlace por sí sola, y el registro de autorización se almacena de forma inmutable en una cadena de bloques de consorcio para su auditabilidad.
• Precomputación: La Puerta de Enlace y la Plataforma Hospitalaria precomputan compromisos y parámetros de cegado para facilitar interacciones ligeras en línea.

B. Fase En Línea (Recolección de Datos y Firma)

Esta fase está optimizada para dispositivos con recursos limitados.

• Procesamiento de Datos: Los dispositivos de detección realizan únicamente operaciones ligeras: el hash de los datos fisiológicos y el cifrado simétrico. No realizan operaciones de firma complejas.
• Firma Ciega:
  • La Puerta de Enlace actúa como un firmante proxy. Interactúa con la Plataforma de Big Data Hospitalaria (que actúa como el solicitante/verificador de la firma).
  • La Plataforma Hospitalaria ciega los datos utilizando factores aleatorios ($\alpha, \beta$) antes de enviarlos a la Puerta de Enlace.
  • La Puerta de Enlace, poseyendo la clave proxy agregada derivada de la autorización de umbral, genera una firma parcial sobre los datos cegados. Crucialmente, la Puerta de Enlace nunca ve el texto plano original.
  • La Plataforma de Big Data Hospitalaria desciega la firma parcial para generar la firma final.
• Verificación: Cualquier verificador puede validar la firma utilizando las claves públicas y los registros de autorización recuperados de la cadena de bloques.

3. Contribuciones Clave

El artículo describe tres contribuciones principales:

1. Protocolo de Firma Ciega por Proxy Colaborativa de Umbral $(t, n)$: Un nuevo protocolo donde múltiples firmantes originales autorizan conjuntamente a un firmante proxy mediante el intercambio de secretos. Esto distribuye la confianza, evita el abuso de la autoridad de un punto único y asegura que el firmante proxy no pueda conocer el contenido del mensaje (cegamiento).
2. Esquema CPBS para MIoT: Una implementación adaptada para entornos médicos donde pacientes, médicos y comités de ética co-autorizan una puerta de enlace. El esquema soporta la gestión dinámica de nodos (revocación, incorporación) sin cambiar las claves de verificación públicas e integra pruebas de conocimiento cero para defenderse contra la autorización maliciosa.
3. Validación Formal de Seguridad y Rendimiento:
   • Seguridad: Se demuestra que el esquema satisface la corrección, el cegamiento y la no falsificabilidad existencial bajo el modelo de oráculo aleatorio, basándose en el supuesto $q$-SDH (Strong Diffie-Hellman).
   • Eficiencia: Los resultados experimentales demuestran reducciones significativas en la carga de la terminal en comparación con los esquemas existentes.

4. Resultados

Los autores realizaron experimentos comparando CPBS contra tres esquemas de referencia (Tang et al., Chen et al., y Wang et al.) utilizando bloques de datos ECG.

• Sobrecarga Computacional: CPBS reduce la sobrecarga computacional de la terminal hasta en un 52.3% en comparación con los esquemas existentes. Esto se logra delegando las operaciones de emparejamiento y exponenciación a la fase fuera de línea y a la puerta de enlace/plataforma.
• Sobrecarga de Comunicación: El esquema reduce la sobrecarga de comunicación hasta en un 76.8%. Esto se atribuye a la separación de la autorización (una sola vez) de la firma (en línea), evitando las interacciones de múltiples rondas requeridas por otros esquemas de umbral.
• Almacenamiento: Aunque el esquema incurre en un crecimiento de almacenamiento lineal en la plataforma hospitalaria (debido a las firmas por bloque para una auditoría detallada), la carga de almacenamiento en los dispositivos IoT y los firmantes originales es mínima (solo claves privadas).
• Rendimiento de la Cadena de Bloques: Utilizando Hyperledger Fabric, los autores reportan que la latencia de compromiso del registro de autorización oscila entre 132.4 ms y 189.0 ms, y la latencia de consulta es de 18.6–23.8 ms, confirmando que la integración de la cadena de bloques no compromete la eficiencia general del sistema.

5. Significancia

El artículo posiciona a CPBS como una solución integral para el "trilema" de la seguridad de MIoT: equilibrar la eficiencia de la terminal, la seguridad de las claves y la supervisión colaborativa de múltiples partes.

• Preservación de la Privacidad: Al integrar firmas ciegas, el esquema asegura que el firmante proxy (Puerta de Enlace) y los auditores no puedan acceder a los datos fisiológicos brutos, abordando preocupaciones críticas de privacidad en el monitoreo médico.
• Confianza Descentralizada: El mecanismo de autorización de umbral elimina el punto único de falla y de confianza asociado con los proxies centralizados, alineándose con los requisitos de consentimiento multipartito de la ética médica.
• Auditabilidad: El uso de una cadena de bloques de consorcio proporciona un registro de autorización a prueba de manipulaciones y rastreable, permitiendo la rendición de cuentas de extremo a extremo sin depender de un tercero de confianza.
• Practicidad: Los autores afirman que el esquema es particularmente adecuado para entornos MIoT P2P donde los dispositivos tienen recursos limitados, pero los datos requieren una verificación de alta integridad y garantías estrictas de privacidad.

El artículo concluye que CPBS desplaza eficazmente la carga computacional de los dispositivos de borde hacia las puertas de enlace de borde y las plataformas en la nube, permitiendo un monitoreo de salud seguro, con preservación de la privacidad y colaborativo. Se señala como trabajo futuro la extensión de las garantías de seguridad contra adversarios totalmente maliciosos y la optimización de los mecanismos en cadena para escalas mayores.