Förbättrat sekretess-ID

Enhanced Privacy ID ( EPID ) är Intel Corporations rekommenderade algoritm för attestering av ett pålitligt system samtidigt som integriteten bevaras. Den har inkorporerats i flera Intel-chipset sedan 2008 och Intel-processorer sedan 2011. Vid RSAC 2016 avslöjade Intel att den har skickat över 2,4B EPID-nycklar sedan 2008. EPID överensstämmer med internationella standarder ISO / IEC 20008 / 20009 , och Trusted Computing Group (TCG) TPM 2.0 för autentisering. Intel bidrog med EPID- immateriella rättigheter till ISO/IEC under RAND-Z- villkor. Intel rekommenderar att EPID blir standarden i branschen för användning vid autentisering av enheter i Internet of Things (IoT) och tillkännagav i december 2014 att de licensierar tekniken till tredjepartschiptillverkare för att i stort sett möjliggöra användningen av den.

EPID

EPID är en förbättring av algoritmen Direct Anonymous Attestation (DAA). DAA är en digital signaturalgoritm som stöder anonymitet. Till skillnad från traditionella digitala signaturalgoritmer, där varje enhet har en unik offentlig verifieringsnyckel och en unik privat signaturnyckel, tillhandahåller DAA en gemensam grupp offentlig verifieringsnyckel associerad med många (vanligtvis miljoner) unika privata signaturnycklar. DAA skapades för att en enhet skulle kunna bevisa för en extern part vilken typ av enhet det är (och valfritt vilken programvara som körs på enheten) utan att behöva tillhandahålla enhetsidentitet, dvs för att bevisa att du är en autentisk medlem av en grupp utan avslöjar vilken medlem. EPID förbättrar DAA genom att tillhandahålla ett extra verktyg för att kunna återkalla en privat nyckel med en signatur skapad av den nyckeln, även om själva nyckeln fortfarande är okänd.

Bakgrund

1999 lade Pentium III till ett processorserienummer (PSN) som ett sätt att skapa identitet för säkerhet för slutpunkter på internet. Integritetsförespråkarna var dock särskilt oroade och Intel valde att ta bort funktionen i senare versioner. Med utgångspunkt i att förbättra tidens asymmetriska kryptografi och gruppnycklar undersökte Intel Labs och standardiserade sedan ett sätt att ta del av fördelarna med PSN samtidigt som integriteten bevaras.

Roller

Det finns tre roller när du använder EPID: utfärdare, medlem och verifierare. Emittenten är den enhet som utfärdar unika privata EPID-nycklar för varje medlem i en grupp. Medlemmen är den enhet som försöker bevisa sitt medlemskap i en grupp. Verifieraren är den enhet som kontrollerar en EPID-signatur för att fastställa om den signerades av en enhet eller enhet som är en autentisk medlem av gruppen. Nuvarande användning av Intel har Intel Key Generation Facility som utfärdare, en Intel-baserad PC med inbäddad EPID-nyckel som medlem, och en server (möjligen körs i molnet) som verifierare (på uppdrag av någon part som vill veta att den kommunicerar med någon pålitlig komponent i en enhet).

Viktiga emissionsalternativ

Utfärdandet av en EPID-nyckel kan göras direkt genom att utfärdaren skapar en EPID-nyckel och levererar säkert till medlemmen, eller förblindas så att utfärdaren inte känner till den privata EPID-nyckeln. Att ha EPID-nycklar inbäddade i enheter innan de skickas är en fördel för vissa användningsområden så att EPID är tillgängligt i sig i enheterna när de anländer i fält. Att ha EPID-nyckeln utfärdad med det blindade protokollet är en fördel för vissa användningsområden, eftersom det aldrig finns en fråga om huruvida utfärdaren kände till EPID-nyckeln i enheten. Det är ett alternativ att ha en EPID-nyckel i enheten vid tidpunkten för leverans, och använda den nyckeln för att bevisa för en annan utfärdare att det är en giltig enhet och sedan få en annan EPID-nyckel med hjälp av det blinda utfärdandeprotokollet.

Används

Under de senaste åren har EPID använts för attestering av applikationer i de plattformar som används för skyddad innehållsströmning och finansiella transaktioner. Det används också för attestering i Software Guard Extensions (SGX), som släpptes av Intel 2015. Det förväntas att EPID kommer att bli allmänt förekommande inom IoT, där inneboende nyckeldistribution med processorkretsen och valfria integritetsfördelar kommer att uppskattas särskilt.

Bevis på att en del är äkta

Ett exempel på användning av EPID är att bevisa att en enhet är en äkta enhet. En verifierare som vill veta att en del var äkta skulle be delen att signera en kryptografisk nonce med sin EPID-nyckel. Delen skulle underteckna nonce och även ge ett bevis på att EPID-nyckeln inte återkallades. Efter att ha kontrollerat giltigheten av signaturen och beviset skulle verifieraren veta att delen var äkta. Med EPID är detta bevis anonymt och inte länkbart.

Innehållsskydd

EPID kan användas för att intyga att en plattform säkert kan strömma digitalt rättighetshantering (DRM)-skyddat innehåll eftersom den har en miniminivå av hårdvarusäkerhet. Intel Insider- programmet använder EPID för plattformsbekräftelse till rättighetsinnehavaren.

Säkra finansiella transaktioner

Data Protection Technology (DPT) för transaktioner är en produkt för att göra en tvåvägsautentisering av en POS-terminal ( Point of Sale) till en backend-server baserad på EPID-nycklar. Med hjälp av hårdvarurötter av förtroende baserad på EPID-autentisering kan den initiala aktiveringen och tillhandahållandet av en POS-terminal säkert utföras med en fjärrserver. I allmänhet kan EPID användas som grund för att säkert tillhandahålla vilket kryptografiskt nyckelmaterial som helst över luften eller längs tråden med denna metod.

Internet of things intyg

För att säkra IoT kan EPID användas för att tillhandahålla autentisering samtidigt som integriteten bevaras. EPID-nycklar placerade i enheter under tillverkning är idealiska för att tillhandahålla andra nycklar för andra tjänster i en enhet. EPID-nycklar kan användas i enheter för tjänster samtidigt som de inte tillåter användare att spåras av deras IoT-enheter som använder dessa tjänster. Men om så krävs kan en känd transaktion användas när en applikation och en användare väljer (eller kräver) att transaktionen ska vara entydigt känd (t.ex. en finansiell transaktion). EPID kan användas för både beständig identitet och anonymitet. Medan det finns alternativa tillvägagångssätt för beständig identitet, är det svårt att konvertera beständig identitet till anonym identitet. EPID kan uppfylla båda kraven och kan även möjliggöra anonym identitet i ett driftsätt som möjliggör persistens. Därför är EPID idealiskt för det breda utbudet av förväntade IoT-användningar.

Säkerhet och integritet är grundläggande för IoT. Eftersom IoT-säkerhet och integritet sträcker sig bortom Intel-processorer till andra chiptillverkares processorer inom sensorer, tillkännagav Intel den 9 december 2014 sin avsikt att licensiera EPID brett till andra chiptillverkare för Internet of things-applikationer. Den 18 augusti 2015 tillkännagav Intel gemensamt licensieringen av EPID till Microchip och Atmel, och visade att det körs på en Microchip-mikrokontroller på Intel Developers Forum.

Internet of things komplexitet gömmer sig

Internet of things har beskrivits som ett "nätverk av nätverk" där internt arbete i ett nätverk kanske inte är lämpligt att avslöja för ett peer- eller utländskt nätverk. Till exempel, ett användningsfall som involverar redundanta eller extra IoT-enheter underlättar tillgänglighet och servicebarhetsmål, men nätverksoperationer som belastar eller ersätter olika enheter behöver inte återspeglas till peer- eller utländska nätverk som "delar" en enhet över nätverkssammanhang. Peer förväntar sig en viss typ av tjänst eller datastruktur men behöver förmodligen inte veta om enhetsfel, utbyte eller reparation. EPID kan användas för att dela en gemensam offentlig nyckel eller certifikat som beskriver och intygar gruppen av liknande enheter som används för redundans och tillgänglighet, men tillåter inte spårning av specifika enhetsrörelser. I många fall vill peer-nätverk inte spåra sådana rörelser eftersom det eventuellt skulle kräva upprätthållande av sammanhang som involverar flera certifikat och enhetslivscykler. Där integritet också är ett övervägande kan detaljerna om enhetsunderhåll, failover, lastbalansering och utbyte inte härledas genom att spåra autentiseringshändelser.

Internet of things säker enhet ombord

På grund av EPID:s integritetsbevarande egenskaper är det idealiskt för IoT-enhetsidentitet för att tillåta en enhet att säkert och automatiskt integrera sig själv i en IoT-tjänst direkt vid den första påslagning av enheten. I grund och botten utför enheten en säker uppstart, och innan allt annat, når den ut över internet för att hitta IoT-tjänsten som den nya ägaren har valt för att hantera enheten. En EPID-bekräftelse är en integrerad del av denna initiala kommunikation. Som en konsekvens av EPID-bekräftelsen skapas en säker kanal mellan enheten och IoT-tjänsten. På grund av EPID-intyget vet IoT-tjänsten att den pratar med den riktiga IoT-enheten. (Med den skapade säkra kanalen finns det ömsesidigt intyg så att IoT-enheten vet att den pratar med IoT-tjänsten som den nya ägaren valde att hantera.) Till skillnad från PKI, där nyckeln är oföränderlig transaktion till transaktion, en motståndare som lurar på nätverket kan inte se och korrelera trafik med nyckeln som används när EPID används. På så sätt bevaras integriteten för onboarding och motståndare kan inte längre samla in data för att skapa attackkartor för senare användning när framtida IoT-enhetssårbarheter upptäcks. Dessutom kan ytterligare nycklar tillhandahållas säkert över luften eller längs tråden, den senaste versionen av programvaran, kanske specifik för IoT-tjänsten, kan laddas ner och standardinloggningar inaktiveras för att säkra IoT-enheten utan operatörsingripande.

Den 3 oktober 2017 tillkännagav Intel Intel Secure Device Onboard, en mjukvarulösning för att hjälpa IoT-enhetstillverkare och IoT-molntjänster privat, säkert och snabbt att integrera IoT-enheter i IoT-tjänster. Målet är att integrera "Alla enheter till vilken IoT-plattform som helst" för en "överlägsen Onboarding-upplevelse och ROI för ekosystemaktivering". Användningsfallen och protokollen från SDO har lämnats till FIDO Alliance IoT-arbetsgruppen.

Se även

externa länkar

Puri, Deepak, "IoT-säkerhet: Intel EPID förenklar autentisering av IoT-enheter," NetworkWorld [1] , hämtad 10 oktober 2016.
Xiaoyu Ruan: "Kapitel 5 – Sekretess på nästa nivå: Intels Enhanced Privacy Identification (EPID)-teknik", Platform Embedded Security Technology Revealed. Apress Media, LLC, 2014. ( [2] )
E. Brickell och Jiangtao Li: "Förbättrad sekretess-ID från bilinjär ihopparning för maskinvaruautentisering och bestyrkande". IEEE International Conference on Social Computing / IEEE International Conference on Privacy, Security, Risk and Trust. 2010. [3] (IACR eprint [4] )
Dataskyddsteknik för transaktioner [5]
Intel & Microsoft Class Video på EPID och "0 Touch" IoT Device Onboarding på IDF'16 [ 6]