Um sistema dinâmico de recriptação condicional ciente de políticas para controle de acesso granular em sistemas pub/sub de IoT

Por que fechaduras mais inteligentes para dispositivos conectados importam

Bilhões de sensores em residências, hospitais, fábricas e cidades agora enviam dados por serviços na nuvem usando um modelo de “publicar e assinar”. Manter esses dados privados é difícil, especialmente quando muitas pessoas e aplicativos diferentes precisam de acesso em horários e locais distintos. Este artigo mostra como trancar e destrancar dados da Internet das Coisas (IoT) de forma muito mais flexível, permitindo que mensagens criptografadas continuem a fluir sem interrupções enquanto as regras de acesso mudam com as condições do mundo real.

O desafio de compartilhar dados sem entregá-los

Sistemas modernos de IoT dependem de corretores de mensagens que retransmitem informação de dispositivos para assinantes. Hoje, a segurança de transporte protege principalmente o trajeto entre cada dispositivo e o corretor, mas o próprio corretor frequentemente vê os dados em claro. Trabalhos anteriores usaram uma ferramenta chamada recriptação condicional por proxy, que permite ao corretor converter a mensagem criptografada de um usuário na mensagem criptografada de outro sem aprender o conteúdo. Contudo, aquele projeto anterior tinha limitações graves: só suportava uma única condição simples, não se adaptava facilmente a mudanças de tempo ou localização e vazava partes da regra usada para controle de acesso. Revogar um usuário também era trabalhoso, forçando os publicadores a atualizar chaves para muitos usuários remanescentes.

Adicionando contexto do mundo real às regras de acesso

Os autores introduzem um novo sistema que permite que as regras de acesso reflitam a realidade complexa das implantações de IoT. Em vez de uma única condição, as políticas agora podem combinar várias dimensões: quando a requisição é feita, de onde ela vem, qual é o papel do solicitante e qual é o status do dispositivo. As políticas são escritas em um formato JSON familiar, de modo que podem capturar lógica como “apenas durante o horário comercial”, “apenas dentro do hospital” ou “somente se este sensor reportar operação normal”. Um mecanismo dedicado de gerenciamento de políticas armazena e atualiza essas regras, as distribui para dispositivos e para o corretor de mensagens, e garante que permaneçam consistentes conforme as circunstâncias mudam.

Manter as próprias regras em segredo

Uma inovação importante é que o corretor pode aplicar essas políticas ricas sem ver seus detalhes exatos. O sistema oculta partes sensíveis de uma regra usando uma técnica criptográfica conhecida como compromisso, que funciona como um envelope lacrado que pode ser verificado posteriormente quanto à integridade, mas não lido antecipadamente. Dispositivos criptografam dados de saída junto com uma versão oculta da política, e o mecanismo de políticas prepara chaves correspondentes para cada assinante. Quando o corretor recebe uma mensagem, verifica de forma preservadora de privacidade se os atributos do assinante satisfazem a política oculta. Apenas se tanto o vínculo criptográfico quanto a regra lógica coincidirem é que o corretor transformará o texto cifrado para que o assinante possa decifrá-lo.

Arquitetura, segurança e desempenho na prática

O projeto proposto se integra a sistemas existentes de publicar e assinar construídos sobre o protocolo MQTT estendendo um corretor popular chamado HiveMQ. A arquitetura separa quatro papéis: dispositivos IoT com recursos limitados que criptografam dados com políticas vinculadas, um mecanismo central de políticas que define e se compromete com as políticas, um corretor que realiza a recriptação, e assinantes que finalmente decifram os dados. Os autores modelam cuidadosamente atacantes que podem tentar aprender dados no corretor, coludir como assinantes mal-intencionados ou inferir segredos comerciais pela forma das políticas. Eles provam, sob suposições matemáticas padrão, que seu esquema mantém mensagens confidenciais, oculta políticas e resiste a ataques de texto cifrado escolhido, mesmo quando adversários podem consultar oráculos de decriptação e recriptação.

Como o sistema se comporta sob carga

Para testar se essa flexibilidade adicional é prática, a equipe construiu um protótipo completo usando bibliotecas em Go, um corretor HiveMQ modificado, dispositivos IoT simulados e um painel web para gerenciar políticas. Experimentos em hardware de servidor e clientes Raspberry Pi mediram o custo adicional dos novos recursos. Criptografar com políticas levou cerca de 7% a mais do que uma linha de base mais simples, principalmente devido ao cálculo de compromissos de política, enquanto os tempos de recriptação e decriptação permaneceram próximos aos de esquemas tradicionais. Criação e atualização de políticas completaram-se em alguns milissegundos, e verificar se um assinante corresponde a até 10.000 políticas armazenadas levou apenas frações de microssegundo. Sob alta concorrência, o sistema escalou bem, alcançando milhares de operações por segundo e suportando até 10.000 assinantes com taxa de transferência estável e latência gerenciável.

O que isso significa para futuros sistemas conectados

Em termos práticos, este trabalho mostra que é possível manter dados de IoT criptografados de ponta a ponta enquanto se aplicam regras ricas e mutáveis sobre quem pode ver o quê, quando e de onde, sem expor essas regras a intermediários curiosos. O esquema adiciona sobrecarga modesta em comparação com abordagens mais simples, mas oferece muito mais controle e privacidade. À medida que implantações de IoT crescem em tamanho e sensibilidade, essa criptografia dinâmica e ciente de políticas pode ajudar organizações a compartilhar dados com segurança entre dispositivos, usuários e domínios, mantendo tanto as mensagens quanto as regras que as protegem fora de vista.

Citação: Lin, S., Ke, N., Jun Ru, H. et al. A dynamic policy-aware conditional proxy re-encryption system for fine-grained access control in IoT pub/sub systems. Sci Rep 16, 15832 (2026). https://doi.org/10.1038/s41598-026-46939-3

Palavras-chave: Segurança da Internet das Coisas, publish subscribe, controle de acesso, proxy re-encryption, privacidade de dados