PRETTINESS -- Privacy pResErving aTTrIbute maNagEment SyStem

Resumo Técnico: PRETTINESS

1. Problema e Contexto

O trabalho aborda a crescente demanda por soluções de gestão de identidade que priorizem a privacidade, impulsionada por novos quadros regulatórios europeus como o eIDAS2 e o GDPR. O conceito de Carteira de Identidade Digital Europeia (EUDI Wallet) exige que os usuários gerenciem e apresentem credenciais com garantias de privacidade, incluindo a divulgação seletiva de atributos e a impossibilidade de rastreamento.

No entanto, as soluções atuais e as propostas no Architecture and Reference Framework (ARF) da EUDI apresentam lacunas:

• Armazenamento Local: A maioria dos sistemas exige que os atributos sejam armazenados localmente no dispositivo móvel do usuário. Isso cria riscos de perda de dados, dificuldade de backup e vulnerabilidade se o dispositivo for comprometido.
• Falta de Funcionalidades de Revocação Eficientes: Implementar revocação de credenciais de forma privada e eficiente é um desafio técnico significativo.
• Equilíbrio Privacidade vs. Usabilidade: Existe uma tensão entre sistemas totalmente descentralizados (privacidade máxima, mas baixa usabilidade/backup) e centralizados (alta usabilidade, mas riscos de privacidade se o servidor for malicioso).

O objetivo do PRETTINESS é criar um sistema de gestão de atributos que permita o armazenamento seguro e backup de credenciais em um servidor central, mantendo a privacidade do usuário contra esse mesmo servidor e garantindo a integridade mesmo em cenários de servidores corrompidos.

2. Metodologia e Arquitetura

O sistema propõe uma abordagem híbrida que equilibra a gestão centralizada (para armazenamento e backup) com a privacidade descentralizada (através de criptografia).

Componentes Principais:

• Usuário (U): Possui um dispositivo móvel.
• Serviço de Gestão de Atributos (AMS): Um servidor central que armazena as credenciais dos usuários em forma criptografada e auxilia na gestão (backup, revocação).
• Emissor (Issuer): A entidade que emite as credenciais assinadas.
• Parte Confiante (RP - Relying Party): A entidade que verifica as credenciais do usuário.

Tecnologias Criptográficas Utilizadas:

1. Criptografia de Limiar (Threshold Cryptography):
   • Assinatura Cega (Blind Threshold Signatures): O segredo de assinatura do usuário é dividido entre o dispositivo móvel e o AMS. O AMS ajuda a assinar, mas não sabe qual mensagem está sendo assinada (o que impede o rastreamento de apresentações).
   • Decodificação Assistida por Servidor (Server-Supported Decryption): Similar à assinatura, a chave de decodificação é dividida. O AMS ajuda a decodificar atributos criptografados sem aprender o valor dos atributos ou qual credencial específica está sendo acessada.
2. Mecanismo de Detecção de Clones: Utilizado para proteger contra o roubo de dispositivos. Se o dispositivo for clonado e o invasor tentar usar a chave, o sistema detecta a duplicidade e bloqueia o acesso, protegendo a chave principal.
3. Revocação de Credenciais:
   • Implementada através de tokens de revocação gerados pelo Frev (funcionalidade ideal de revocação).
   • Permite revocação tanto pelo usuário quanto pelo emissor.
   • O AMS não sabe qual credencial está sendo revocada, a menos que coluda com a Parte Confiante (RP).
4. Modelo de Ameaças e Adversário Covert:
   • O sistema assume um modelo de Adversário Covert para o AMS: o servidor pode ser malicioso, mas não tentará trapacear se houver uma probabilidade não desprezível de ser detectado e provado perante um terceiro (juiz).
   • Níveis de corrupção do usuário ($c_U$): O sistema garante privacidade mesmo se a memória do dispositivo for copiada ($c_U=1$), desde que o PIN não seja descoberto. Se o PIN for descoberto ($c_U=2$), a privacidade é comprometida, mas o mecanismo de detecção de clones limita o dano.

Fluxo de Funcionamento:

• Emissão: O usuário solicita atributos. O AMS encaminha ao emissor. O emissor criptografa os atributos (usando a chave pública do usuário) e assina. O AMS armazena o credencial criptografado.
• Apresentação (Divulgação Seletiva): O usuário solicita a apresentação de atributos específicos. O AMS ajuda a decodificar apenas os atributos solicitados (sem saber quais são) e a assinar a apresentação. O RP verifica a assinatura e a validade (não revogação).
• Revocação: O usuário ou emissor pode revogar um token. O AMS atualiza a lista de revogados, mas não sabe a qual credencial específica o token pertence, a menos que coluda com quem já viu a credencial.

3. Contribuições Chave

1. Sistema de Gestão de Atributos com Privacidade (PRETTINESS): Uma nova arquitetura que permite o armazenamento centralizado de credenciais sem sacrificar a privacidade contra o servidor de armazenamento.
2. Prova de Segurança no Modelo de Composição Universal (UC): O sistema é formalmente definido através de uma funcionalidade ideal ($F_{ideal}$) e provado seguro no modelo UC, garantindo que o protocolo real seja indistinguível do ideal mesmo na presença de adversários.
3. Mecanismo de Revocação Privado e Bidirecional: Suporte para revocação pelo usuário (sem comunicar o emissor) e pelo emissor, mantendo a privacidade do AMS sobre o status de revogação específico.
4. Proteção contra Clonagem e Roubo: Uso de assinaturas de limiar com detecção de clones para proteger as chaves criptográficas no dispositivo móvel, permitindo que o usuário cancele assinaturas remotamente se o dispositivo for clonado.
5. Avaliação de Eficiência: Benchmarks detalhados mostrando a viabilidade prática do sistema em hardware comum.

4. Resultados e Desempenho

Os autores realizaram benchmarks em um processador Intel Core i5-10210U para avaliar a eficiência do sistema completo (considerando 100 credenciais por usuário, 10 atributos por credencial e 1 milhão de tokens revogados).

• Emissão: O tempo total é de aproximadamente 8,1 segundos. O gargalo principal é a decodificação dos atributos pelo usuário para verificação.
• Backup (Obter todas as credenciais): O tempo é baixo (0,12 segundos), mas o volume de comunicação é alto (cerca de 3,9 MB) devido ao download de todas as credenciais criptografadas para backup.
• Revocação:
  • Pelo emissor: ~1,0 segundo.
  • Pelo usuário: ~1,5 segundos.
• Apresentação (Divulgação Seletiva): ~5,7 segundos. O tempo é dominado pelas operações de decodificação e notificação de revocação.
• Verificação: ~4,7 segundos.
• Atualização de Banco de Dados (Revogação): A atualização do status de revogação (download da lista de revogados) é a operação mais custosa em termos de comunicação (32 MB para 1 milhão de revogações), mas pode ser feita periodicamente e em segundo plano.

O sistema demonstra ser viável para cenários práticos, embora a comunicação de atualização de revocação em grande escala seja um desafio de rede que pode ser mitigado (ex: o usuário baixa apenas as revogações que lhe dizem respeito).

5. Significância e Conclusão

O PRETTINESS oferece uma solução robusta para os desafios de privacidade na gestão de identidades digitais europeias. Ao permitir que um servidor central gerencie o armazenamento e o backup (resolvendo problemas de usabilidade e perda de dados), o sistema não compromete a privacidade do usuário contra esse servidor, graças ao uso avançado de criptografia de limiar e cegueira (blindness).

A principal inovação reside na capacidade de desacoplar o armazenamento de dados da privacidade dos dados, permitindo que o AMS ajude na gestão técnica sem ter acesso ao conteúdo das credenciais ou ao histórico de apresentações do usuário. A prova formal no modelo UC e a análise de eficiência fornecem uma base sólida para a implementação futura de carteiras de identidade digital que sejam ao mesmo tempo seguras, privadas e práticas.

Trabalhos Futuros: Os autores sugerem a implementação de uma versão pós-quântica do sistema e otimizações adicionais para reduzir o overhead de comunicação nas atualizações de revocação.