T´ opicos Diversos

Acrescentamos, ainda, as seguintes sugest˜oes de trabalhos futuros:

Emparelhamentos assim´etricos. Tanto o nosso CL-PKE-Proposto quanto o CL-PKE de (LIBERT; QUISQUATER, 2006) foram descritos inicialmente com emparelhamentos

8.2 Trabalhos Futuros 101

sim´etricos. Estudar a possibilidade de generaliz´a-los para uso de emparelhamentos as-sim´etricos e apresentar respectivas demonstra¸c˜oes de seguran¸ca.

Tentar converter tamb´em os esquemas de (HUANG et al., 2005) e de (ZHANG et al., 2006) para emparelhamentos assim´etricos. Se essa convers˜ao s´o for poss´ıvel de modo que as chaves p´ublicas tenham que ser definidas em G₂ (em vez de G₁), nosso CL-PKS-Proposto passa a ter chaves p´ublicas de igual tamanho se forem utilizadas curvas MNT e compacta¸c˜ao de valores de emparelhamentos. Investigar tamb´em se, nesse cen´ario, o uso de curvas BN leva a pontos de GT mais compactos que pontos de G2, o que tornaria nosso CL-PKS-Proposto mais eficiente tamb´em por produzir chaves p´ublicas menores. CL-PKE e CL-PKS sem emparelhamentos. Em (BAEK; SAFAVI-NAINI; SUSILO, 2005)

foi apresentado o primeiro esquema de criptografia sob o modelo CL-PKC, sem uso de emparelhamentos. Dar continuidade ao trabalho, aprimorando-o ou o estendendo para assinatura.

Criptografia autenticada. Todos os esquemas CL-PKE podem ser derivados para um es-quema de criptografia com autentica¸c˜ao de origem, ou seja, CL-Auth-PKE. Trabalhos desse gˆenero s˜ao exemplificados com (LEE; LEE, 2004) e (CHENG; COMLEY, 2005). Sugerimos estender nosso CL-PKE-Proposto2, ou o PKE de (LIBERT; QUISQUATER, 2006), para um CL-Auth-PKE.

Criptoassinatura sem key escrow. In´umeros esquemas j´a foram propostos em criptoassi-natura, isto ´e, criptografia e assinatura em ´unico passo, ou signcryption. Uma sugest˜ao de trabalho futuro ´e tomar como ponto de partida nosso CL-PKS-Proposto e o esquema de criptoassinatura em (BARRETO et al., 2005), para gerar um novo esquema de crip-toassinatura, sem cust´odia de chaves.

CL-KEM. Em criptografia de chave p´ublica, quando se tem necessidade de criptografar men-sagens longas, ´e comum usar criptografia assim´etrica apenas para trocar uma chave se-creta, para ent˜ao usar criptografia sim´etrica, mais eficiente, para cifrar a mensagem longa.

`

A primeira parte desse procedimento se d´a o nome de Key Encapsulation Mechanism (KEM), ou mecanismo de encapsulamento de chave.

Em (BENTAHAR et al., 2005), ´e apresentada uma constru¸c˜ao gen´erica de mecanismos CL-KEM a partir de um ID-KEM (isto ´e, KEM baseado em identidades). Em (LIBERT; QUISQUATER, 2006), s˜ao enumeradas algumas restri¸c˜oes que tornam a combina¸c˜ao de dois esquemas seguros, num terceiro esquema inseguro. Uma primeira sugest˜ao de trabalho futuro, nesse t´opico, ´e analisar se na constru¸c˜ao de (BENTAHAR et al., 2005) n˜ao h´a algum equ´ıvoco, como os detectados por (LIBERT; QUISQUATER, 2006), em (YUM; LEE, 2004a) e (AL-RIYAMI; PATERSON, 2005).

Tamb´em em (CHENG; COMLEY, 2005), foi proposta uma instˆancia de CL-KEM, sem as respectivas demonstra¸c˜oes de seguran¸ca. Uma segunda sugest˜ao de trabalho futuro, em KEM, ´e apresentar um CL-KEM e demonstr´a-lo seguro.

8.3 Resumo 102

Assinatura com verificador designado. Uma extens˜ao de assinatura ´e aquela em que a verifica¸c˜ao s´o pode ser efetuada por identidades previamente autorizadas (ou designadas). Em (LIBERT; QUISQUATER, 2004) h´a um exemplo de IBS com verificador designado. E em (HUANG et al., 2006), o equivalente para CL-PKS. Acreditamos ser poss´ıvel evoluir esses dois trabalhos.

Seguran¸ca mediada. Em (CHOW; BOYD; NIETO, 2006), ´e proposto um modelo de cripto-grafia de seguran¸ca mediada sobre CL-PKC, que acrescenta a propriedade de revoga¸c˜ao instantˆanea de chaves. Um esquema CL-PKE com seguran¸ca mediada ´e apresentado, por´em faltou definir uma no¸c˜ao de seguran¸ca e advers´arios, sobre a qual o esquema pu-desse ser demonstrado seguro. Tamb´em ficam em abertas quaisquer novas propostas de esquemas, como CL-PKS com seguran¸ca mediada e outros.

Modelos hier´arquicos. Estender o CL-PKC para modelos hier´arquicos, com v´arios KGC, como proposto em (AL-RIYAMI; PATERSON, 2003) e (AL-RIYAMI, 2005). Estudar escalabilidade desses modelos.

Implementa¸c˜oes e benchmarking. Fixar alguns parˆametros e curvas, implementar os es-quemas estudados e propostos de CL-PKE e CL-PKS. Tabular resultados.

8.3 Resumo

Neste cap´ıtulo foram enumerados as contribui¸c˜oes desta disserta¸c˜ao e sugest˜oes de trabalhos que podem ser desenvolvidos, em frentes diversificadas:

• linha te´orica;

• projeto de protocolos ou modelos novos; • implementa¸c˜ao.

Apˆendice A

Trabalhos Relacionados aos

Esquemas Propostos

Neste apˆendice s˜ao descritos os trabalhos e conceitos que culminaram na defini¸c˜ao de CL-PKC e que influenciaram a especifica¸c˜ao de CL-PKC-Proposto e CL-PKS-Proposto. A apresenta¸c˜ao ´e feita em ordem cronol´ogica de apari¸c˜ao dos trabalhos e, na medida do poss´ıvel, foram inclu´ıdos coment´arios sobre o que motivou cada um. Ao final deste apˆendice, s˜ao apresentadas tabelas de compara¸c˜ao das forma¸c˜oes dos esquemas.

A.1 Chaves P´ublicas Auto-Certificadas

A no¸c˜ao de criptografia de chave p´ublica sem certificado, com a nomenclatura adotada nesta disserta¸c˜ao, foi apresentada originalmente em (AL-RIYAMI; PATERSON, 2003). Os autores se inspiraram no conceito de criptografia de chave p´ublica auto-certificada1de (GIRAULT, 1991), em que cada chave de criptografia ´e calculada conjuntamente pelo respectivo usu´ario e por uma autoridade de confian¸ca, de modo que a chave p´ublica embute uma esp´ecie de certifica¸c˜ao de sua legitimidade. Trata-se de uma ligeira modifica¸c˜ao sobre esquemas convencionais de criptografia de chave p´ublica, conforme descrito a seguir.

Um usu´ario cria um par de chaves para si: uma chave secreta x e uma chave p´ublica y. A chave p´ublica y ´e entregue `a autoridade de confian¸ca, que vincula essa chave ao seu respectivo dono, por meio de um valor p´ublico chamado testemunho. O c´alculo de um testemunho w ´e realizado a partir da combina¸c˜ao de y com a identidade ID do usu´ario. O valor w funciona

1

Do original inglˆes, self-certified.

A.1 Chaves P´ublicas Auto-Certificadas 104

como a assinatura da autoridade de confian¸ca, certificando que y ´e a chave p´ublica do usu´ario identificado por ID. As rela¸c˜oes matem´aticas entre os valores s˜ao tais que:

• dados w, ID e a chave p´ublica da autoridade de confian¸ca, qualquer pessoa pode extrair a chave p´ublica y para criptografar um texto endere¸cado a ID;

• somente a autoridade de confian¸ca ´e capaz de produzir um testemunho w, a partir de y e ID.

Desse modo, o testemunho w tem o mesmo papel que certificados em sistemas convencionais de criptografia de chave p´ublica, por´em ´e mais leve, isto ´e, agrega menos informa¸c˜ao que um certificado tradicional e segue embutido num valor publicamente conhecido, do qual se obt´em a chave de criptografia e a respectiva garantia de que a chave ´e a verdadeira para ID.

Na ocasi˜ao da apresenta¸c˜ao de seu trabalho, Girault mostrou instˆancias de esquemas auto-certificados baseados nos problemas do logaritmo discreto e da fatora¸c˜ao de inteiros. E afirmou que o n´ıvel de seguran¸ca atingido por tais esquemas era equivalente ao obtido por sistemas convencionais de criptografia de chave p´ublica, com a vantagem de otimizarem espa¸co necess´ario para armazenamento, quantidade de comunica¸c˜oes entre usu´arios e autoridade, e tempo de processamento nos protocolos.

Em (SAEEDNIA, 2003), entretanto, uma falha foi identificada no modelo de Girault. Autoridades de confian¸ca n˜ao muito confi´aveis, poderiam escolher parˆametros p´ublicos de f´acil fatora¸c˜ao ou sujeitos `a aplica¸c˜ao do algoritmo de Pohlig-Hellman, para obten¸c˜ao do logaritmo discreto. Assim, as autoridades teriam a habilidade de calcular as chaves secretas de seus usu´arios e decriptografar mensagens. Um tal comportamento desonesto n˜ao seria detectado pelos usu´arios. Assim, o n´ıvel de seguran¸ca do modelo de Girault se iguala ao do modelo de criptografia de chave p´ublica baseado em identidade, com cust´odia de chaves. Saeednia discute como a falha pode ser corrigida, por´em o custo da corre¸c˜ao ´e a perda das vantagens da auto-certifica¸c˜ao, isto ´e, das otimiza¸c˜oes em armazenamento, comunica¸c˜ao e processamento.

A id´eia de gerar uma chave p´ublica misturando o identificador de usu´ario com a chave secreta da autoridade de confian¸ca e com a chave secreta do us´ario foi retomada no trabalho de (AL-RIYAMI; PATERSON, 2003), aproveitando a concretiza¸c˜ao de (BONEH; FRANKLIN, 2001) para criptografia e decriptografia de chave p´ublica baseada em identidades. Vamos, ent˜ao, resumir o esquema de Boneh-Franklin, apresentar o de Al-Riyami e Paterson e os que os sucederam.