Динамическая политика-ориентированная система условного прокси-перенаправления шифрования для точечного управления доступом в системах pub/sub IoT

Почему нужны более умные «замки» для подключённых устройств

Миллиарды датчиков в домах, больницах, на заводах и в городах сейчас отправляют данные через облачные сервисы, используя модель «publish and subscribe». Сохранить эти данные в приватности сложно, особенно когда множество разных людей и приложений нуждаются в доступе в разное время и в разных местах. В этой статье показано, как более гибко «закрывать» и «открывать» данные Интернета вещей, позволяя зашифрованным сообщениям по-прежнему свободно передаваться, в то время как правила доступа меняются в соответствии с реальными условиями.

Задача: делиться данными, не выдавая их

Современные IoT-системы опираются на брокеры сообщений, которые пересылают информацию от устройств подписчикам. Сегодня транспортная защита главным образом защищает канал между каждым устройством и брокером, но сам брокер часто видит необработанные данные. Ранее использовали метод, называемый условным прокси-перенаправлением шифртекста, который позволяет брокеру преобразовать зашифрованное сообщение одного пользователя в зашифрованное сообщение другого, не узнавая содержание. Однако та предыдущая схема имела серьёзные ограничения: она могла обрабатывать только одно простое условие, плохо адаптировалась к изменениям времени или местоположения и раскрывала части правила, применяемого для контроля доступа. Отзыв доступа у пользователя также был громоздким, заставляя публикующих обновлять ключи для множества оставшихся пользователей.

Добавление реального контекста в правила доступа

Авторы предлагают новую систему, которая позволяет правилам доступа отражать сложную реальность развертывания IoT. Вместо одного условия политики теперь могут комбинировать несколько измерений: когда делается запрос, откуда он пришёл, какую роль имеет запрашивающий и каково состояние устройства. Политики записываются в знакомом формате JSON, поэтому они могут выражать логику вроде «только в рабочие часы», «только внутри больницы» или «только если этот датчик сообщает нормальную работу». Специальный движок управления политиками хранит и обновляет эти правила, распространяет их на устройства и брокер сообщений и обеспечивает их согласованность по мере изменения обстоятельств.

Сохранение самих правил в секрете

Важное новшество заключается в том, что брокер может обеспечивать исполнение этих богатых политик, не видя их точных деталей. Система скрывает чувствительные части правила с помощью криптографической техники, известной как коммитмент, который работает как запечатанный конверт: его можно позже проверить на достоверность, но нельзя прочитать заранее. Устройства зашифровывают исходящие данные вместе со скрытой версией политики, а движок политик готовит соответствующие ключи для каждого подписчика. Когда брокер получает сообщение, он проверяет в приватно сохраняемом режиме, удовлетворяют ли атрибуты подписчика скрытой политике. Только если и криптографическая связь, и логическое правило совпадают, брокер преобразует шифртекст так, чтобы подписчик смог его расшифровать.

Архитектура, безопасность и производительность на практике

Предложенная конструкция вписывается в существующие системы publish and subscribe на основе протокола MQTT путём расширения популярного брокера HiveMQ. Архитектура разделяет четыре роли: ограниченные IoT-устройства, которые шифруют данные с привязанными политиками; центральный движок политик, который определяет и фиксирует политики; брокер, выполняющий повторное шифрование; и подписчики, которые в конечном счёте расшифровывают данные. Авторы тщательно моделируют атакующих, которые могут пытаться получить данные у брокера, сговориться в роли неправильно ведущих себя подписчиков или вывести бизнес-секреты по форме политик. Они доказывают, при стандартных математических предположениях, что схема сохраняет конфиденциальность сообщений, скрывает политики и устойчива к атакам типа chosen-ciphertext, даже когда противники могут делать запросы к орякулам расшифрования и повторного шифрования.

Как система ведёт себя под нагрузкой

Чтобы проверить, практична ли добавленная гибкость, команда создала полноценный прототип с использованием библиотек Go, модифицированного брокера HiveMQ, имитируемых IoT-устройств и веб-панели для управления политиками. Эксперименты на серверном оборудовании и клиентах Raspberry Pi измеряли дополнительные затраты новых функций. Шифрование с учётом политик занимало примерно на 7% больше времени, чем более простая базовая схема, в основном из-за вычисления коммитментов политик, тогда как времена повторного шифрования и расшифрования оставались близкими к традиционным схемам. Создание и обновление политик выполнялись за пару миллисекунд, а сопоставление подписчика с такими структурами, как до 10 000 сохранённых политик, занимало лишь доли микросекунды. При высокой конкуренции система хорошо масштабировалась, достигая тысяч операций в секунду и поддерживая до 10 000 подписчиков с устойчивой пропускной способностью и приемлемой задержкой.

Что это значит для будущих подключённых систем

Проще говоря, эта работа показывает, что возможно сохранять данные IoT зашифрованными от конца до конца, одновременно применяя богатые, изменяющиеся правила о том, кто может видеть что, когда и откуда, не раскрывая эти правила любопытным посредникам. Схема добавляет умеренные накладные расходы по сравнению с более простыми подходами, но обеспечивает значительно больше контроля и приватности. По мере роста объёма и чувствительности IoT-развёртываний такая динамичная, ориентированная на политики система шифрования может помочь организациям безопасно обмениваться данными между устройствами, пользователями и доменами, сохраняя как сообщения, так и правила, которые их защищают, вне поля зрения.

Цитирование: Lin, S., Ke, N., Jun Ru, H. et al. A dynamic policy-aware conditional proxy re-encryption system for fine-grained access control in IoT pub/sub systems. Sci Rep 16, 15832 (2026). https://doi.org/10.1038/s41598-026-46939-3

Ключевые слова: Безопасность Интернета вещей, publish subscribe, управление доступом, proxy re-encryption, конфиденциальность данных