💻 computer science

S3CDM: A secret-sharing-scheme-based cyberattack detection model and its simulation implementation

Dit paper introduceert S3CDM, een model voor cyberaanvalsdetectie dat gebaseerd is op geheimdelingsmechanismen voor veilige authenticatie en detectie van ongeoorloofde activiteiten, en presenteert een praktische implementatie van dit model op het Google Cloud Platform.

Oorspronkelijke auteurs: Chi Sing Chum, Jia Lu, Claire Tang, Xiaowen Zhang

Gepubliceerd 2026-04-15

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Chi Sing Chum, Jia Lu, Claire Tang, Xiaowen Zhang

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

🛡️ S3CDM: De "Puzzel" die hackers niet kunnen kraken

Stel je voor dat je een zeer geheimzinnige sleutel hebt die een enorme, beveiligde kluiskamer opent. In de oude wereld gaf je die sleutel aan één persoon (de "hoofdbeveiliger"). Als die persoon werd omgekocht, verkracht, of gehackt, was de hele kluiskamer open. Dat is een groot risico, vooral als de "hoofdbeveiliger" iemand is die van binnen in het bedrijf werkt (een "insider threat").

De auteurs van dit paper, Chi Sing Chum en zijn team, hebben een slimme oplossing bedacht: S3CDM.

1. Het Kernidee: De Gedeelde Sleutel (Secret Sharing)

In plaats van één persoon de hele sleutel te geven, maken ze de sleutel kapot in stukjes (we noemen dit "shares" of aandeel).

De Analogie: Stel je hebt een grote, dure diamant. Je breekt deze niet fysiek kapot, maar je maakt er een puzzel van met 5 stukjes.
De Regel: Je hebt een "drempelwaarde" (bijvoorbeeld 3). Dat betekent dat je minstens 3 van de 5 stukjes nodig hebt om de diamant weer in elkaar te zetten.
Het Veiligheidsvoordeel: Als een hacker 1 of zelfs 2 stukjes steelt, heeft hij niets. Het is alsof je 2 losse puzzelstukjes hebt; je ziet niet wat de hele afbeelding is. Pas als 3 mensen samenwerken, werkt de sleutel.

2. Hoe werkt het in de praktijk? (De Cyberaanval)

In een groot computer-netwerk (zoals een bank of een elektriciteitscentrale) sturen computers elkaar signalen. Vaak zegt een computer: "Stop de stroom!" of "Verander de route!".

Het oude gevaar: Als één computer wordt gehackt, kan de hacker valse signalen sturen.
De S3CDM-oplossing: Als een computer (de "Controller") een belangrijk signaal wil sturen, vraagt hij niet direct om actie. Hij stuurt in plaats daarvan een stukje van de "geheime sleutel" naar andere computers.
De Controle: De ontvangende computer (de "Node") wacht tot hij genoeg stukjes heeft ontvangen (bijvoorbeeld 3). Dan probeert hij de sleutel weer in elkaar te zetten.
- Lukt het? Dan is het signaal echt en voert hij de actie uit.
- Lukt het niet? Dan is er iets mis (misschien is een computer gehackt of is een stukje vals). De actie wordt geblokkeerd en er komt een waarschuwing.

3. De Twee Manieren om de Puzzel te Maken

Het paper beschrijft twee manieren om deze puzzelstukjes te maken:

De Wiskundige Manier (Shamir): Dit is als een ingewikkeld wiskundig raadsel waarbij je lijnen tekent om het antwoord te vinden. Zeer veilig, maar soms wat zwaar voor de computer.
De Hash-Manier (Hun eigen idee): Dit is sneller. Het werkt als een digitale vingerafdruk. Je plakt de stukjes aan elkaar, maakt er een unieke "hash" (een soort digitale stempel) van, en vergelijkt die met de echte stempel. Als ze matchen, is alles goed. Dit is sneller en net zo veilig.

4. De Simulatie: Een Proefopstelling in de Wolken

Om te bewijzen dat dit werkt, hebben ze het hele systeem gebouwd in de "cloud" (Google Cloud Platform).

De UI (Het Dashboard): Dit is het controlepaneel waar mensen op kunnen klikken. Het is als het dashboard van een auto, maar dan voor cyberbeveiliging.
De Diensten (De Werkers):
- De Dealer: De "baas" die de puzzelstukjes maakt en uitdeelt.
- De Controllers: De computers die stukjes vasthouden en signalen sturen.
- De Nodes: De computers die de daadwerkelijke actie uitvoeren (bijv. een deur openen).
- De Naamlijst (Name Registry): Een slimme verkeersleider. Als een weg geblokkeerd is (een "broken path"), zoekt deze automatisch een andere route om het bericht toch te laten aankomen.

5. Het "Gebroken Pad" Experiment

Een van de coolste onderdelen van het paper is een test waarbij ze een verbinding bewust kapot maakten.

Het Scenario: Stel, de verbinding tussen de "Dealer" (die de sleutel stuurt) en de "Node" (die de actie moet doen) is kapot.
De Oplossing: In plaats dat het bericht verdwijnt, stuurt het systeem het via een tussenstation (een andere computer).
De Vergelijking: Het is alsof je een brief moet bezorgen, maar de straat is afgesloten. De postbode (het systeem) stuurt de brief niet terug, maar geeft hem aan een buurman, die hem weer doorgeeft aan de ontvanger. Het bericht komt toch aan, maar dan via een omweg. Dit zorgt ervoor dat hackers niet zomaar een weg kunnen blokkeren om het systeem stil te leggen.

Conclusie: Waarom is dit belangrijk?

Dit systeem maakt het veel moeilijker voor hackers, vooral voor "binnenmensen" (werknemers die misbruik maken van hun toegang).

Geen enkele macht: Niemand heeft de volledige controle.
Samenwerking: Je hebt samenwerking nodig om iets te doen.
Detectie: Als iemand probeert te bedriegen met een vals stukje, valt het systeem direct op en blokkeert de actie.

Kortom: S3CDM is als een superveilig slot dat alleen open gaat als meerdere vertrouwde mensen tegelijkertijd hun sleutelstukje in het slot steken. Als één stukje verdwenen of vals is, blijft de kluis gesloten.

Titel: S3CDM: Een op geheimdelingsalgoritmen gebaseerd model voor cyberaanvalsdetectie en de simulatie-implementatie

1. Het Probleem

Cyberbedreigingen vormen een ernstig risico voor organisatorische operaties, activa en nationale veiligheid. Een van de meest uitdagende vormen van aanvallen zijn insider-aanvallen, waarbij vertrouwde entiteiten binnen een organisatie misbruik maken van hun toegang tot gevoelige informatie en kritieke bronnen.

Risico van centrale controle: Het is te riskant om één individu of entiteit volledige controle of toegangssleutels te geven voor kritieke computersystemen. Als deze entiteit wordt gecompromitteerd, is het hele systeem kwetsbaar.
Beperkingen van traditionele methoden: Bestaande systemen vertrouwen vaak op directe signalen of enkelvoudige authenticatie, die makkelijker te vervalsen zijn. Er is behoefte aan een model dat ongeautoriseerde activiteiten detecteert en gevoelige informatie beschermt door verantwoordelijkheden te verdelen.

2. Methodologie

De auteurs hebben S3CDM (Secret-Sharing-Scheme-based Cyberattack Detection Model) ontworpen. Dit model gebruikt geheimdelingsalgoritmen (Secret Sharing Schemes - SSS) om een geheim (bijv. een decryptiesleutel of een index voor een actie) te splitsen over meerdere deelnemers (controllers).

Kernconcepten:

Secret Sharing: Een geheim $S$ wordt verdeeld over $n$ deelnemers. Het geheim kan alleen worden hersteld als een voldoende aantal deelnemers (de drempel $t$ ) hun delen combineert.
Toegangsstructuur: Alleen "geautoriseerde subsets" (groepen van $t$ deelnemers) kunnen het geheim herstellen. Ongeautoriseerde groepen krijgen geen informatie over het geheim.
Twee Algoritmen: Het model ondersteunt twee methoden:
1. Traditioneel: Shamir's polynoom-interpolatie.
2. Hash-gebaseerd (Nieuw/Alternatief): Een efficiëntere methode waarbij delen worden samengevoegd, gehasht en ge-XORd met het geheim. Dit vereist geen zware berekeningen en is ideaal voor dynamische toegangstructuren.

Modelarchitectuur:
Het systeem volgt een Software Defined Networking (SDN)-benadering waarbij controllers en knooppunten samenwerken. In plaats van één controller die een direct signaal stuurt, sturen meerdere controllers delen van een geheim.

Actiedatabase: Een hiërarchisch systeem dat bepaalt of een verzoek geldig is op basis van het herstelde geheim (index).
- Niveau 0: Geen controle (alle verzoeken toegestaan).
- Niveau 1: Basiscontrole (verzoek moet in de database staan).
- Niveau 2: Geavanceerde controle vereist geheimherstel via secret sharing. Als het geheim niet overeenkomt met een geldige actie, wordt de aanvraag geweigerd en een detectie van illegale activiteit gegenereerd.

Implementatie-omgeving:
Het model is geïmplementeerd op Google Cloud Platform met de volgende componenten:

Frontend: Een UI (User Interface) gebouwd met React.js en Bootstrap, gehost op een HTTP-server.
Backend: Vier microservices geschreven in Python (gebruikmakend van de Twisted library):
1. Dealer: Genereert en verdeelt delen, herstelt geheimen.
2. Controller: Houdt delen vast, vraagt acties aan, reageert op verzoeken.
3. Node: Voert de daadwerkelijke actie uit na succesvol geheimherstel.
4. Name Registry: Functies als DNS en routering, gebruikt Dijkstra's kortste pad-algoritme om berichten te routeren via alternatieve routes bij gebroken links.
Database: PostgreSQL voor het opslaan van acties, logs en audit-informatie.
Orchestration: Docker wordt gebruikt voor het beheer van services en URL's.

3. Belangrijkste Bijdragen

Integratie van SSS in Cybersecurity: Het toepassen van secret sharing niet alleen voor versleuteling, maar specifiek voor authenticatie, integratie en detectie van ongeautoriseerde activiteiten in complexe netwerkinfrastructuur.
Hash-gebaseerd SSS: Het introduceren en toepassen van een hash-functie gebaseerd geheimdelingschema dat sneller is dan polynoom-interpolatie en flexibel toepasbaar is op algemene toegangsstructuren zonder zware hardware-eisen.
Robuustheid tegen Insider-aanvallen: Het model vermindert het risico van insider-aanvallen door te voorkomen dat één entiteit volledige controle heeft. Zelfs als een controller wordt gehackt, kan de aanval niet slagen zonder de delen van andere geautoriseerde controllers.
Simulatieplatform: Een volledig werkend prototype op de cloud met een grafische interface die gebruikers toelaat scenario's te simuleren, zoals het compromitteren van controllers of het verbreken van netwerkverbindingen.

4. Resultaten

Functionele Implementatie: Het systeem is succesvol gedraaid op Google Cloud met meerdere controllers, nodes, een dealer en een database.
Simulatie van Gebroken Pad (Use Case): De auteurs demonstreerden een scenario waarbij de directe verbinding tussen de Dealer en een Node werd geblokkeerd (geactiveerd als "disabled" in de routeconfiguratie).
- Het Name Registry-service detecteerde het gebrek aan verbinding.
- Het systeem routeerde het bericht automatisch via een tussenliggende node (bijv. Dealer -> Node-5 -> Node-2).
- De geheimherstelprocedure slaagde ondanks de onderbroken link, en de actie werd succesvol uitgevoerd. Dit bewijst de weerbaarheid van het systeem tegen netwerkstoringen en de flexibiliteit van de routeringslogica.
Detectie van Ongeautoriseerde Acties: Als een controller probeert een verzoek te forceren zonder de juiste delen van andere controllers, faalt de geheimherstelprocedure. Het systeem registreert dit in een audit-log en weigert de actie, waardoor een potentiële aanval wordt gedetecteerd.

5. Betekenis en Toekomstperspectief

Veiligheid: S3CDM biedt een sterke verdediging tegen zowel externe hackers als interne bedreigingen door het principe van "minimale autorisatie" en "meerdere factoren" toe te passen op het niveau van systeemcontrole.
Educatief Nut: Het project is permanent gehost en dient als educatief hulpmiddel voor studenten (van middelbare school tot graduate niveau) om concepten zoals cryptografie, cloud computing, netwerkbeveiliging en software engineering te leren door middel van interactieve simulatie.
Toekomstig Werk: De auteurs plannen om de auditgeschiedenis te gebruiken om gecompromitteerde controllers automatisch te identificeren en te valideren voordat nieuwe delen worden uitgegeven, wat de dynamische beveiliging van het systeem verder zal verbeteren.

Conclusie:
Het paper presenteert een innovatieve, praktische en schaalbare oplossing voor cyberveiligheid. Door secret sharing te integreren in de kern van de netwerkcommunicatie en besluitvorming, creëren de auteurs een systeem dat niet alleen gevoelige informatie beschermt, maar ook actief ongeautoriseerde pogingen detecteert en afweert, zelfs in het geval van netwerkstoringen of gecompromitteerde onderdelen.