后量子时代自主身份认证：利用ZK-STARKs技术在边缘设备上实现安全的属性基认证

《Journal of Systems Architecture》：Post-quantum Self-Sovereign Identity: Implementing ZK-STARKs for secure attribute-based authentication in edge devices

　　摘要：自主权身份（SSI）作为一种降低数字身份管理中隐私风险的手段，正受到越来越多的关注。在此背景下，零知识证明（ZKPs）的应用使得用户能够在不暴露自身属性的情况下证明与其属性相关的声明，从而实现保护隐私的认证。然而，用于保护可验证凭证的签名方案和证明机制可能会受到具备量子计算能力的攻击者的威胁。为此，本文提出了一种以用户为中心、能够保护隐私的基于属性的认证框架，专为边缘-云环境设计。该框架引入了一种升级协议，可将传统的可验证凭证转换为后量子零知识可验证凭证（PQZKVCs），并利用zk-STARKs来实现对已承诺属性的谓词的隐私保护性验证。为评估所提方法的可行性，我们在两种不同的设备上实现了整个工作流程并进行了测试。我们的微基准测试显示，在服务器级设备上，凭证大小为7.229 KB时，端到端升级延迟的中位数为9.405毫秒；在边缘设备上则为113.535毫秒。而端到端呈现延迟的中位数在服务器级设备上为20.377毫秒，在边缘设备上为154.659毫秒，呈现时的凭证大小为16.336 KB。对于zk-STARK证明层，经过测试的最安全单属性配置在边缘设备上的证明生成时间需1957.994毫秒，验证时间需7.021毫秒。这些结果表明，后量子的、能够保护隐私的去中心化认证可以在边缘环境中部署，且具有可接受的验证延迟和通信开销，不过在资源受限的设备上，证明生成仍然是主要成本所在。

引言：去中心化认证越来越被用来在保持强大安全保障的同时加强用户隐私，尤其是在边缘计算等去中心化环境中。在大多数应用中，这些安全保障是通过去中心化公钥基础设施（DPKI）来实现的，其信任基础最终在于私钥的保密性以及公钥绑定和验证程序的正确性。近年来，这一模式演变成了自主权身份（SSI）模型，该模型允许发行者发布可验证凭证，而持有者则可以证明其对凭证的拥有权及有效性。在实际应用中，许多SSI架构通过對凭证数据的规范化表示（或其哈希值）进行数字签名来确保凭证的真实性，从而使验证者能够确认其完整性以及发行者的来源。基于凭证的系统的一个显著特点是其长期的加密依赖性：一旦凭证被发布，其真实性以及后续的所有呈现都依赖于底层签名和证明机制的安全假设。在SSI生态系统中，这种依赖性尤为重要，因为凭证可能会在很长一段时间内保持有效（例如专业执照、临床资格、权益等），并且可能需要在不同的服务中多次呈现。此外，虽然SSI通常通过匿名或最小化信息披露的认证方式来保障隐私，这类认证往往依靠零知识证明（ZKPs）[1]来实现，但目前的解决方案在隐私设置方面并不统一。一些SSI应用仍然依赖于基于信息披露的呈现方式，或者使用无法提供强匿名性保障的证明机制。具备量子计算能力的攻击者的出现进一步加剧了这些问题。传统的公钥签名技术（如基于RSA和ECC的方案）可能会出现延迟失效的情况：今天发布的凭证及其相关证明，一旦未来出现了足够强大的量子计算能力，就有可能被伪造。重要的是，采用ZKPs并不能自动解决这一问题。目前广泛使用的几种ZKP构造，包括常见的zk-SNARK [2]、[3]（零知识简洁非交互式知识论证），都依赖于并非后量子安全的代数假设，因此无法在量子威胁模型下提供强大的抵御能力。相反，采用zk-STARK [4]（零知识可扩展透明知识论证）则可以实现后量子安全[5]。通过适当的数学构造——即算术中间表示（AIR）——来实现可验证计算，使得像Falcon [6]这样的后量子签名方案虽然实现和验证难度较大，但却是可行的。我们之前的研究探讨了在医疗领域实现安全且注重隐私的认证方法，由于该领域对安全性、保密性以及访问控制过程中的实时交互有严格要求，因此这类认证尤为重要。在那项研究中，我们提出了使用灵魂绑定令牌（SBTs）作为机制，以支持基于凭证的授权，同时减少对传统选择性信息披露的依赖。然而，那项研究并未涉及后量子安全问题：该方案基于zk-SNARK设计，依赖于非后量子的加密假设，因此在面对量子攻击者时可能存在风险。本手稿是我们2025年ISORC会议论文[7]的期刊扩展版本。会议版本介绍了保护隐私的基于属性的认证应用场景，并使用SBTs作为不可转让的授权载体，以实现重复访问和撤销功能。这些内容在本手稿中仍被保留下来，作为基础访问控制层以及评估去中心化认证的参考用例。因此，与会议版本的重叠之处在于高层次的认证目标、使用SBTs实现持久授权，以及减少用户属性重复披露的总体动机。本手稿在四个主要方面对那项工作进行了拓展。首先，它改变了加密模型：会议版本依赖于在传统加密假设下的zk-SNARK工作流程，而本手稿则采用zk-STARK作为证明系统，无需可信设置即可实现透明的证明生成，而且其所依赖的基于哈希的假设能更好地抵御具备量子计算能力的攻击者。其次，它引入了一种基于后量子零知识可验证凭证（PQZKVCs）的新凭证生命周期，通过将凭证声明与发行者签名的后量子承诺绑定起来，来实现已发布凭证的升级。第三，它重新设计了认证工作流程，将高保真度的PQZKVC验证与后续基于SBTs的重复访问授权分开处理。第四，它提供了新的实现方案和实验评估，量化了在服务器级设备和边缘硬件上，PQ凭证的发行、呈现、zk-STARK证明与验证、证明大小以及通信成本等方面的开销。这种重新设计还解决了之前一些提案的局限性，尤其是那些将验证与区块链执行紧密结合的方案。特别是那些需要通过链上智能合约来验证凭证签名和/或ZK电路的系统，会带来交易费用和操作瓶颈，而且当需要在链上部署、审计和维护多个电路时，系统的扩展性会很差。这一限制还会妨碍系统的可扩展性：要修改支持的属性或策略，可能就需要重新部署或升级智能合约，这不仅成本高昂，而且往往不适合用于实际生产系统。我们通过将高保真度的凭证和证明验证移至离线环境来完成，同时仍保持加密验证的可靠性。在所提出的架构中，zk-STARK证明由持有者生成，由验证者进行验证，无需将验证逻辑作为链上智能合约来用于日常的访问决策。因此，区块链层并非作为主要的验证引擎，而是在成功完成PQZKVC验证后，作为通过SBTs实现的持久授权和撤销层。这种设计降低了运营成本，支持策略和属性的逐步演变，同时也使得原本在传统SSI工作流程下发行的凭证能够使用保护隐私的证明机制。本手稿通过研究如何将SSI、后量子签名、zk-STARK证明以及基于SBTs的授权整合到一种具备后量子意识的工作流程中，从而在边缘-云环境中实现保护隐私的基于属性的认证，为此提供了架构层面和实验层面的贡献。除了会议版本[7]之外的具体新贡献如下：•我们提出了一种凭证升级协议，通过将凭证声明与发行者签名的后量子承诺绑定起来，可将现有的可验证凭证转换为PQZKVCs。•我们用基于zk-STARK的呈现层取代了之前基于zk-SNARK的证明层，用于ABAC策略，从而实现透明的设置，并对已隐藏的承诺属性进行面向后量子的验证。•我们设计了一种基于DIDComm的发行和呈现工作流程，将凭证升级、高保真度证明生成、验证者端的PQ签名验证以及离线zk-STARK验证分开处理。•我们在服务器级设备和边缘硬件上进行了新的实验评估，测量了在不同安全参数、证明大小以及受限连接条件下的PQZKVC发行、PQ呈现、zk-STARK证明生成与验证的效率及通信开销。本手稿共分为六个部分。第2部分介绍了SSI和ZKP方案的理论背景，阐述了二者之间的差异。第3部分讨论了相关研究，介绍了现有文献中的进展以及当前的局限性。第4部分详细阐述了所提出的方法，对各阶段进行了清晰描述。第5部分从性能和安全角度对所提方法进行了验证。最后，第6部分总结了全文，并提出了未来的研究方向。

片段摘录：自主权身份（SSI）与可验证凭证：在数字领域，身份问题变得更加复杂，这就引发了如何验证和识别在线互动对象身份的担忧。电子邮件和密码等静态标识符虽然在数字互动中十分常见，但却无法保证身份的真实性。集中式身份系统是由单个实体（如服务提供商）负责收集和存储用户的身份相关信息，包括凭证和个人数据。相关研究：ZKPs已被广泛用于提升DID和SSI系统中的隐私性和安全性。大量现有研究依赖于zk-SNARKs来实现保护隐私的身份交易和凭证验证[15]，其应用范围从基于区块链的身份框架到医疗领域的凭证[16]以及电子健康记录[17]都有涉及。尽管zk-SNARKs在减少数据披露方面效果显著，但它們存在一些众所周知的结构缺陷。最显著的问题是……系统模型：本部分描述了所提出的升级协议的设计和实现细节。图1总结了该协议的五个阶段。(1) 发行者首先接收现有的可验证凭证，(2) 通过计算相关声明的承诺值，并用后量子签名对该承诺值进行签名，从而创建出升级后的凭证。(3) 持有者保存这个升级后的凭证。在认证过程中，(4) 验证者发送新的挑战信息，并指定……结果：本部分从性能和成本方面对所提出的协议进行了评估，同时还对安全性和合规性进行了定性分析。考虑到签名操作本身的复杂性，本部分针对两种不同的部署环境对所提出的方案进行了评估。在第一种环境中，我们考虑了一种基于云的基础设施，该基础设施配备了56核CPU和256 GB RAM，其中服务器充当验证者角色，而边缘设备则选用了Raspberry Pi 4 Model B……结论：本文提出并实现了一种用于自主权身份中基于属性的认证工作流程，该流程适用于涵盖边缘和云环境的医疗领域。该工作流程在实现隐私保护的同时，还融入了后量子保护机制。通过将传统的可验证凭证升级为PQZKVCs，并将发行者认证的后量子真实性与基于zk-STARK的呈现方式相结合，所提出的架构在避免需要可信设置的同时，仍能够实现选择性信息披露。

作者贡献声明：Biagio Boi：撰写——原始草稿、方法论、形式分析、概念设计。Franco Cirillo：撰写——审阅与编辑、验证、方法论、概念设计。Marco De Santis：验证、监督、概念设计。Christian Esposito：撰写——审阅与编辑、监督、项目管理、资金获取、概念设计。

利益冲突声明：作者声明自己不存在任何可能影响本文研究成果的已知财务利益或个人关系。

致谢：本研究部分得到了意大利卫生部资助的创新健康生态系统（PNC）——国家恢复与韧性计划（NRRP）项目“DHEAL—COM-社区医学中的数字健康解决方案”的支持。

Biagio Boi|Franco Cirillo|Marco De Santis|Christian Esposito意大利萨莱诺大学计算机科学系，菲斯基亚诺