A Lightweight QR-assisted Zero-knowledge Identification Protocol For Secure Authentication

Resumo Técnico: Um Protocolo Leve de Identificação com Assistência de QR e Prova de Conhecimento Zero para Autenticação Segura

Declaração do Problema
A autenticação segura em ambientes móveis, distribuídos e com recursos limitados enfrenta desafios significativos. Métodos tradicionais, como sistemas baseados em senhas e infraestruturas de certificados, frequentemente dependem de terceiros e introduzem riscos como roubo de identidade, vazamento de dados e ataques de repetição. Embora protocolos de Prova de Conhecimento Zero (ZKP), particularmente aqueles baseados no esquema de identificação de Schnorr, ofereçam segurança robusta ao permitir que um usuário prove o conhecimento de um segredo sem revelá-lo, sua implantação prática em ambientes móveis leves permanece limitada. Além disso, sistemas de autenticação baseados em códigos QR existentes frequentemente sofrem de vulnerabilidades onde códigos copiados ou reutilizados podem facilitar ataques de repetição, especialmente quando a verificação depende fortemente de servidores centrais.

Metodologia
O estudo propõe um protocolo de autenticação leve e não interativo que integra ZKP baseado em Schnorr com transmissão de dados via código QR. O sistema opera sobre a dificuldade computacional do Problema do Logaritmo Discreto (DLP).

• Design do Protocolo: O protocolo utiliza a transformação de Fiat-Shamir para converter o protocolo interativo de Schnorr em um não interativo.
  • Lado do Provedor: O provedor, possuindo uma chave privada $x$ e uma chave pública correspondente $y = g^x \mod p$, gera um valor aleatório $r$ para calcular um compromisso $t = g^r \mod p$. Um desafio $c$ é derivado deterministicamente ao hash do compromisso, chave pública, um nonce e um carimbo de tempo ($c = Hash(t || y || nonce || timestamp)$). A resposta $s$ é calculada como $s = r + cx \mod (p-1)$. A tupla de prova resultante $\pi = (t, s, nonce, timestamp)$ é codificada em formato JSON e incorporada dentro de um código QR.
  • Lado do Verificador: O verificador decodifica o código QR, valida o carimbo de tempo para garantir a frescura, recalcula o desafio $c$ e verifica a equação $g^s = t \cdot y^c \mod p$.
• Mecanismos de Segurança: Para contrapor o risco inerente de ataques de repetição em códigos QR visuais, o sistema incorpora um carimbo de tempo e um nonce. O carimbo de tempo garante que a prova seja válida apenas dentro de uma janela de tempo específica ($\Delta$), enquanto o nonce garante diversidade de prova para cada sessão.
• Canal de Transmissão: O código QR serve como um meio de transmissão unidirecional e sem contato. Ele não fornece segurança criptográfica em si, mas preserva a integridade dos dados da prova, confiando no protocolo criptográfico subjacente para a segurança.

Principais Contribuições
O artigo identifica três contribuições primárias:

1. O design de um protocolo de autenticação ZKP leve e não interativo especificamente estruturado para transmissão via códigos QR.
2. A implementação de um mecanismo de verificação baseado em carimbo de tempo para mitigar riscos de ataques de repetição inerentes a códigos QR estáticos ou copiáveis.
3. Uma avaliação da compatibilidade do tamanho da prova com as restrições de capacidade padrão de códigos QR.

Resultados
O protocolo foi avaliado usando um ambiente de simulação baseado em Python com um nível de segurança de 256 bits.

• Desempenho: Tanto os tempos de geração quanto de verificação da prova foram encontrados na faixa de milissegundos. Especificamente, os tempos de geração variaram de aproximadamente 0,00014 a 0,00018 segundos, enquanto os tempos de verificação variaram de 0,00030 a 0,00078 segundos. A execução inicial de geração mostrou latência ligeiramente maior devido à inicialização de parâmetros, mas execuções subsequentes permaneceram altamente eficientes.
• Tamanho dos Dados: O tamanho dos dados de prova gerados, codificados em JSON, permaneceu constante em aproximadamente 491–495 bytes (cerca de 0,5 KB). Este tamanho está bem dentro da capacidade de códigos QR padrão, mesmo aqueles de versões mais baixas, facilitando a transmissão fácil.

Significado e Alegações
Os autores afirmam que o modelo proposto oferece uma solução de autenticação viável e segura para ambientes com recursos computacionais baixos e requisitos mínimos de infraestrutura. Ao combinar a segurança dos ZKPs baseados em Schnorr com a praticidade dos códigos QR, o sistema permite a verificação sem revelar a chave secreta, mantendo resiliência contra ataques de repetição.

O estudo posiciona esta abordagem como particularmente adequada para:

• Sistemas de gateway de IoT.
• Mecanismos de controle de acesso temporário.
• Aplicações de autenticação móvel.

O artigo conclui que o modelo equilibra forte segurança criptográfica com baixa sobrecarga computacional, tornando-o apropriado para implantação prática em controle de acesso físico e cenários móveis. Os autores observam que trabalhos futuros focarão na integração deste modelo com gerenciamento de identidade baseado em blockchain, conduzindo análises de escalabilidade e realizando testes experimentais em hardware real.