論文の概要: DiVerify: Diversifying Identity Verification in Next-Generation Software Signing
- arxiv url: http://arxiv.org/abs/2406.15596v1
- Date: Fri, 21 Jun 2024 18:53:52 GMT
- ステータス: 処理完了
- システム内更新日: 2024-06-25 21:24:18.107146
- Title: DiVerify: Diversifying Identity Verification in Next-Generation Software Signing
- Title（参考訳）: DiVerify: 次世代ソフトウェア署名におけるアイデンティティ検証の多様化
- Authors: Chinenye L. Okafor, James C. Davis, Santiago Torres-Arias,
- Abstract要約: コード署名は、ソフトウェア開発者が暗号化キーを使用してデジタル署名することで、コードをアイデンティティに関連付けることを可能にする。
SigstoreやOpenPubKeyといった次世代ソフトウェア署名は、署名者のIDを公開キーにリンクする合理化メカニズムを提供することで、コードの署名を単純化する。
本稿では、しきい値の正当性検証とスコープ機構を活用することにより、次世代ソフトウェア署名のセキュリティ保証を強化するDiverse Identity Verification(DiVerify)方式を提案する。
- 参考スコア（独自算出の注目度）: 6.367742522528132
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Code signing enables software developers to digitally sign their code using cryptographic keys, thereby associating the code to their identity. This allows users to verify the authenticity and integrity of the software, ensuring it has not been tampered with. Next-generation software signing such as Sigstore and OpenPubKey simplify code signing by providing streamlined mechanisms to verify and link signer identities to the public key. However, their designs have vulnerabilities: reliance on an identity provider introduces a single point of failure, and the failure to follow the principle of least privilege on the client side increases security risks. We introduce Diverse Identity Verification (DiVerify) scheme, which strengthens the security guarantees of next-generation software signing by leveraging threshold identity validations and scope mechanisms. We formalize a general definition of diverse verification scope and how it applies to next-generation software signing solutions, enabling clients to protect themselves from the impact of a compromised identity provider and help identity providers minimize the impact of compromised clients. As proof of concept, we implement DiVerify in the Sigstore ecosystem and evaluate the security improvements. By using fine-grained access control mechanisms and implementing threshold validations over account signing capabilities, we demonstrate that signing tools can protect themselves against threats from compromised identity providers and malicious signing clients.
- Abstract（参考訳）: コード署名は、ソフトウェア開発者が暗号化キーを使用してデジタル署名することで、コードをアイデンティティに関連付けることを可能にする。
これにより、ソフトウェアが改ざんされないように、ソフトウェアの信頼性と完全性を検証することができる。
SigstoreやOpenPubKeyといった次世代ソフトウェア署名は、署名者のIDを公開キーにリンクする合理化メカニズムを提供することで、コードの署名を単純化する。
しかし、それらの設計には脆弱性がある。IDプロバイダへの依存は単一障害点を導入し、クライアント側の最小特権の原則に従わないことは、セキュリティリスクを増大させる。
本稿では,しきい値の正当性検証とスコープ機構を活用することにより,次世代ソフトウェア署名のセキュリティ保証を強化するDiverse Identity Verification(DiVerify)方式を提案する。
我々は、多様な検証範囲の一般的な定義を定式化し、それが次世代のソフトウェア署名ソリューションにどのように適用されるかを定式化し、クライアントが侵入されたIDプロバイダの影響から身を守ることができ、侵入されたクライアントの影響を最小限に抑えるのに役立つ。
概念実証として,SigstoreエコシステムにDiVerifyを実装し,セキュリティ改善を評価した。
詳細なアクセス制御機構とアカウント署名機能に対するしきい値検証を実装することで、署名ツールが不正なIDプロバイダや悪意のある署名クライアントからの脅威から身を守ることを実証する。
関連論文リスト
- Formal Verification of Permission Voucher [1.4732811715354452]
Permission Voucher Protocolは、分散環境におけるセキュアで認証されたアクセス制御のために設計されたシステムである。
この分析では、重要なセキュリティ特性を評価するために、象徴的検証のための最先端のツールであるTamarin Proverを使用している。
結果は、メッセージの改ざん、偽装、リプレイなどの一般的な攻撃に対するプロトコルの堅牢性を確認する。
論文 参考訳（メタデータ） (2024-12-18T14:11:50Z) - Practical Privacy-Preserving Identity Verification using Third-Party Cloud Services and FHE (Role of Data Encoding in Circuit Depth Management) [0.0]
政府は、国のデジタルID認証システムをサードパーティのクラウドサービスにアウトソースしようとしている。
これにより、ユーザの個人情報のプライバシーに関する懸念が高まる。
本稿では、サードパーティのクラウドサービスがIDデータを暗号化して処理するID検証プロトコルを提案する。
論文 参考訳（メタデータ） (2024-08-15T08:12:07Z) - Excavating Vulnerabilities Lurking in Multi-Factor Authentication Protocols: A Systematic Security Analysis [2.729532849571912]
単一要素認証(SFA)プロトコルは、しばしばサイドチャネルや他の攻撃技術によってバイパスされる。
この問題を軽減するため,近年,MFAプロトコルが広く採用されている。
論文 参考訳（メタデータ） (2024-07-29T23:37:38Z) - Towards Credential-based Device Registration in DApps for DePINs with ZKPs [46.08150780379237]
ブロックチェーン上のデバイス認証を検証するクレデンシャルベースのデバイス登録(CDR)機構を提案する。
本稿では,Groth16 と Marlin を用いた zkSNARK を用いた汎用システムモデルを提案し,CDR を技術的に評価する。
論文 参考訳（メタデータ） (2024-06-27T09:50:10Z) - A Survey and Comparative Analysis of Security Properties of CAN Authentication Protocols [92.81385447582882]
コントロールエリアネットワーク(CAN)バスは車内通信を本質的に安全でないものにしている。
本稿では,CANバスにおける15の認証プロトコルをレビューし,比較する。
実装の容易性に寄与する本質的な運用基準に基づくプロトコルの評価を行う。
論文 参考訳（メタデータ） (2024-01-19T14:52:04Z) - Revocable Quantum Digital Signatures [57.25067425963082]
我々は、LWE仮定から取り消し可能な署名キーでデジタル署名を定義し、構築する。
このプリミティブでは、署名キーは、ユーザーが多くのメッセージに署名できる量子状態である。
一度キーが取り消されたら、キーの最初の受信者が署名する能力を失うことを要求します。
論文 参考訳（メタデータ） (2023-12-21T04:10:07Z) - HFORD: High-Fidelity and Occlusion-Robust De-identification for Face
Privacy Protection [60.63915939982923]
顔の身元特定は、身元保護問題を解決するための実践的な方法である。
既存の顔の特定方法にはいくつかの問題がある。
これらの問題に対処するために,HFORD(High-Fidelity and Occlusion-Robust De-identification)法を提案する。
論文 参考訳（メタデータ） (2023-11-15T08:59:02Z) - Redactable and Sanitizable Signature Schemes: Applications and
Limitations for use in Decentralized Digital Identity Systems [8.501327327617313]
リアクティブルシグネチャスキームとサニチザブルシグネチャスキームは、与えられたデジタルメッセージの変更を許可し、有効なシグネチャを保持する方法である。
本稿では,これらのプロトコルをデジタル認証上に実装し,それらの適合性を評価するために,他のプライバシ向上手法と比較する。
論文 参考訳（メタデータ） (2023-10-26T10:28:25Z) - FedSOV: Federated Model Secure Ownership Verification with Unforgeable
Signature [60.99054146321459]
フェデレートラーニングにより、複数のパーティがプライベートデータを公開せずにグローバルモデルを学ぶことができる。
本稿では,FedSOVという暗号署名に基づくフェデレート学習モデルのオーナシップ検証手法を提案する。
論文 参考訳（メタデータ） (2023-05-10T12:10:02Z) - CATFL: Certificateless Authentication-based Trustworthy Federated
Learning for 6G Semantic Communications [12.635921154497987]
フェデレートラーニング(FL)はセマンティックコミュニケーションシステムのセマンティックエンコーダ/デコーダモデルを協調的に訓練するための新しいアプローチを提供する。
信頼に値するFLに関する既存の研究は、悪意のあるクライアントが生み出すデータ中毒の脅威を取り除くことを目的としている。
クライアントとサーバの同一性を相互に認証する,認証レス認証に基づく信頼できるフェデレーション学習フレームワークを提案する。
論文 参考訳（メタデータ） (2023-02-01T06:26:44Z) - Secure access system using signature verification over tablet PC [62.21072852729544]
我々は,シグネチャ検証を用いたWebベースのセキュアアクセスのための,高度に汎用的でスケーラブルなプロトタイプについて述べる。
提案アーキテクチャは,様々な種類のセンサや大規模データベースで動作するように容易に拡張することができる。
論文 参考訳（メタデータ） (2023-01-11T11:05:47Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。