Secure-Channel-Free Key Distribution for Identity-Based Signatures with One-Time Pseudonyms in Intelligent Transport Systems

Elke keer dat een auto remt, versnelt of afslaat, stuurt het een digitale kreet uit naar de voertuigen eromheen. In de wereld van intelligente transportsystemen vinden deze berichten tientallen keren per seconde plaats, waarbij vitale informatie over snelheid en positie wordt gedeeld die auto's in staat stelt botsingen te vermijden die ze niet kunnen zien. Om dit systeem te laten werken, moet elk voertuig erop vertrouwen dat het ontvangen bericht echt is en afkomstig is van een authentieke auto, en niet van een hacker die probeert een kettingbotsing te veroorzaken. Toch creëert dit vertrouwen een paradox: om een bericht te verifiëren, moet een ontvanger meestal weten wie het heeft verzonden, maar precies weten wie elk bericht verzendt, stelt iedereen in staat om de hele reis van een bestuurder te volgen, waardoor diens huis, werkplek en gewoonten worden onthuld. De uitdaging voor ingenieurs is het bouwen van een systeem waarbij een auto kan bewijzen dat hij legitiem is zonder zijn werkelijke identiteit prijs te geven, terwijl autoriteiten nog steeds in staat zijn om een bestuurder te ontmaskeren als deze zich gevaarlijk gedraagt.

Dit delicate evenwicht, bekend als voorwaardelijke privacy (conditional privacy), vereist al lang een complexe infrastructuur van digitale certificaten en beveiligde kanalen om geheime sleutels te distribueren. Een nieuwe studie door Muhammad Asghar Khan stelt een manier voor om dit proces te vereenvoudigen, door de noodzaak van een beveiligd kanaal volledig weg te nemen en het tegelijkertijd moeilijker te maken om bestuurders te volgen. Het onderzoek introduceert een methode waarbij voertuigen zich kunnen registreren en hun geheime sleutels kunnen ontvangen via een open, publieke draadloze verbinding, vergelijkbaar met een standaard internetverbinding, zonder angst voor onderschepping. De kern van deze innovatie ligt in het gebruik van een specif kind type wiskundige curve, een genus-2 hyperelliptische curve, die snellere berekeningen en kleinere gegevensgroottes mogelijk maakt vergeleken met de standaard curves die momenteel in veel beveiligingssystemen worden gebruikt. Door gebruik te maken van deze wiskundige structuur zorgt het voorgestelde schema ervoor dat elk veiligheidsbericht wordt ondertekend met een unieke, eenmalige naam die niet gelinkt kan worden aan eerdere berichten, wat de auto effectief onzichtbaar maakt voor nieuwsgierige ogen terwijl hij wel volledig verantwoording verschuldigd blijft aan een centrale autoriteit.

De onderzoekers bouwden een compleet systeem waarbij een vertrouwde autoriteit, optredend als een private sleutelgenerator, deze tijdelijke namen en de bijbehorende geheime sleutels aan voertuigen uitgeeft. In tegenstelling tot eerdere methoden die een beveiligde, private lijn vereisten om deze geheimen te leveren, werkt deze nieuwe aanpak door de identiteit en sleutels te versleutelen op een manier die alleen door het specifieke voertuig en de autoriteit gedecodeerd kan worden, zelfs als de gegevens over een publiek kanaal reizen. Dit betekent dat een auto bij een wegunit kan stoppen, nieuwe credentials kan aanvragen en deze direct kan ontvangen zonder eerst een moeilijke, beveiligde verbinding te hoeven opzetten. Eenmaal geregistreerd, ondertekent het voertuig zijn veiligheidsberichten met een verse, eenmalige pseudoniem voor elke enkele uitzending. Dit zorgt ervoor dat zelfs als een hacker duizenden berichten van dezelfde auto verzamelt, hij deze niet aan elkaar kan koppelen om een route te reconstrueren. Echter, als een bestuurder de wet overtreedt of kwaadwillend handelt, kan de centrale autoriteit met behulp van haar masterkey de eenmalige naam terugleiden naar het echte voertuig en de mogelijkheid van dat voertuig intrekken om toekomstige berichten te verzenden.

Een kritiek gebrek in verschillende eerdere pogingen om dit probleem op te lossen, was de kwetsbaarheid voor "sleutelvervangingsaanvallen" (key replacement attacks), waarbij een aanvaller een publieke sleutel kan vervangen door de eigen sleutel om handtekeningen te vervalsen. Het nieuwe schema voorkomt dit door de verificatiesleutel direct af te leiden uit de eenmalige naam en de publieke sleutel van de autoriteit, waardoor de handtekening onlosmakelijk verbonden is met het vertrouwen van het systeem. De studie bewijst wiskundig dat het vervalsen van een handtekening zonder de juiste geheime sleutel computationeel onmogelijk is onder de huidige aannames. Wat betreft de snelheid hebben de onderzoekers de tijd gemeten die nodig is om een bericht te ondertekenen en te verifiëren, waarbij zij vonden dat hun methode in totaal slechts 1,44 milliseconden duurt. Dit is aanzienlijk sneller dan de beste bestaande methoden gebaseerd op standaard elliptische curves, die 2,56 milliseconden duurden, en dramatisch sneller dan methoden die gebruikmaken van pairing-gebaseerde cryptografie, die meer dan 5 milliseconden duurden.

Om te begrijpen wat deze cijfers in de echte wereld betekenen, simuleerde de auteur een druk scenario in het verkeer waarbij een enkele ontvanger berichten van vele naburige auto's moet controleren binnen een strikte veiligheidsdeadline van 100 milliseconden. Omdat de nieuwe methode zo snel is, kan een enkele processor kern succesvol berichten van 92 naburige voertuigen verifiëren binnen die tijdslimiet. Ter vergelijking: de beste elliptische curve-schema's konden slechts 77 voertuigen aan, en de pairing-gebaseerde schema's konden er slechts 32 aan voordat het systeem te traag zou worden om veilig te zijn. Dit verschil is cruciaal in druk stedelijk verkeer, waar een vertraging van zelfs een fractie van een seconde kan voorkomen dat een auto reageert op een plotseling gevaar. De studie onderzocht ook de opslag die nodig is voor deze eenmalige namen, waarbij werd vastgesteld dat een voertuig dat twee uur rijdt, slechts ongeveer 4,3 megabyte aan opslag nodig heeft om de benodigde credentials te bevatten, een verwaarloosbare hoeveelheid voor moderne on-board computers.

Het onderzoek erkent dat hoewel het systeem zeer efficiënt is, het niet zonder beperkingen is. Omdat de centrale autoriteit de macht heeft om elke private sleutel te genereren, creëert dit een "key escrow"-situatie waarbij de autoriteit theoretisch namens elk voertuig berichten kan ondertekenen. De auteur merkt op dat dit een aanvaardbare afruil is, gezien het feit dat de autoriteit al wordt vertrouwd voor het uitgeven van rijbewijzen en credentials, maar suggereert dat toekomstige versies kunnen worden aangepast om deze centrale controle te verwijderen. Daarnaast is het wiskundige probleem dat de beveiliging van het systeem waarborgt, hoewel het momenteel onbreekbaar is voor klassieke computers, kwetsbaar voor een toekomstige quantumcomputer, net als veel andere huidige encryptiemethoden. Ondanks deze beperkingen toont de studie een duidelijke weg vooruit naar veiligere, meer private en efficiëntere communicatie tussen autonome voertuigen, en bewijst dat hoge beveiliging geen zware, trage of complexe infrastructuur vereist.