On-board Credentials: An open credential platform for mobile devices

Thumbnail Image
Files
isbn9789526045986.pdf (887.85 KB)
Journal Title
Journal ISSN
Volume Title
School of Science | Doctoral thesis (article-based) | Defence date: 2012-05-25
Checking the digitized thesis and permission for publishing
Instructions for the author
Unless otherwise stated, all rights belong to the author. You may download, display and print this publication for Your own personal use. Commercial use is prohibited.
Author
Date
2012
Department
Tietotekniikan laitos
Department of Computer Science and Engineering
Major/Subject
Mcode
Degree programme
Language
en
Pages
186
Series
Aalto University publication series DOCTORAL DISSERTATIONS, 49/2012
Abstract
Traditional credential solutions have well-known drawbacks. Purely software-based credentials are vulnerable to many attacks, while hardware-based security tokens and smart cards are expensive to deploy and, due to their typical single-purpose nature, force users to carry multiple hardware credentials with them. Recently, general-purpose security elements and architectures have started to become widely available on many commodity devices. On mobile devices, ARM TrustZone is a widely adopted security architecture. Such trusted execution environments enable realization of credentials that combine the flexibility of software solutions with the higher level of protection traditionally offered only by hardware credentials. In this dissertation, we present several aspects of On-board Credentials (ObC), a novel credential platform for mobile devices. The ObC platform allows flexible creation of arbitrary credentials that utilize hardware security mechanisms for higher level of security. We challenge the prevailing thinking that a credential system must be centralized and closed in order to provide a sufficient level of security and usability. The distinguishing feature of the ObC platform is an open provisioning model that allows any service provider to deploy new credential instances to end-user devices without having to request approval from a centralized authority. We study credential life-cycle management in open credential systems and present novel protocols for credential migration, temporary disabling and updates. We also describe mechanisms for key and application attestation. Our application attestation model makes property-based attestation practical by bootstrapping application authentication from existing certification infrastructures. We also compare open and closed credential platforms and show that openness does not have to imply decreased security or usability. We have implemented the On-board Credentials platform for Symbian phones using the TrustZone trusted execution environment. Our implementation is part of the latest Nokia Symbian devices, and the On-board Credentials platform is currently being ported to other smartphone platforms. The first substantial credential deployments are now starting.

Perinteisissä avainten ja salaisuuksien tallentamiseen ja hallintaan liittyvissä tietoturvaratkaisuissa on tunnettuja ongelmia. Puhtaasti ohjelmistopohjaiset menetelmät ovat haavoittuvia monille hyökkäyksille, kun taas älykortteihin ja vastaaviin turvallisuuslaitteisiin perustuvien ratkaisujen käyttöönotto on palveluntarjoajille kallista ja käyttäjien kannalta usein hankalaa. Viime aikoina yleiskäyttöiset laitteistopohjaiset tietoturva-arkkitehtuurit ovat alkaneet yleistyä monissa kuluttajalaitteissa. Esimerkiksi useat mobiililaitteet tukevat ARM TrustZone -arkkitehtuuria. Tällaisten laitteistopohjaisten turvallisten suoritusympäristöjen avulla on mahdollista toteuttaa ratkaisuja, joissa yhdistyvät perinteisten ohjelmistomenetelmien helppokäyttöisyys ja laitteistoratkaisujen tarjoama korkeampi turvallisuuden taso. Tässä väitöskirjassa esitämme useita ominaisuuksia kannettaville laitteille suunnitellusta uudenlaisesta alustasta nimeltä On-board Credentials. On-board Credentials -järjestelmän merkittävä piirre on avainten ja salaisuuksien avoin asennusmalli, jonka ansiosta palveluntarjoajat voivat vapaasti kehittää ja käyttöönottaa uudenlaisia tietoturvaratkaisuja monenlaisiin käyttökohteisiin. Tutkimme tällaisten kredentiaalien hallintaa ja esitämme ratkaisuja kredentiaalien siirtämiseen laitteiden välillä, väliaikaiseen poistamiseen ja päivittämiseen. Olemme kehittäneet uudenlaisia menetelmiä, joiden avulla ulkoiset tahot voivat varmistua On-board Credentials -järjestelmässä talletettujen avainten ja salaisuuksien turvallisuudesta ja tällaisia kredentiaaleja käyttävien sovellusten luotettavuudesta. Analysoimme avointa asennusmallia ja osoitamme, että avoimuus ei vähennä järjestelmän turvallisuutta. Olemme toteuttaneet On-board Credentials -järjestelmän TrustZone-arkkitehtuuria tukeville mobiililaitteille. Meidän toteutuksemme on osa Nokian uusimpia Symbian-laitteita ja järjestelmän mukauttaminen uusille alustoille on parhaillaan käynnissä. On-board Credentials mahdollistaa uusien palveluiden turvallisen, helppokäyttöisen ja edullisen integroinnin mobiililaitteisiin. Ensimmäiset merkittävät palveluiden käyttöönotot ovat tällä hetkellä alkamassa.
Description
Supervising professor
Aura, Tuomas, Professor
Keywords
security, credentials, trusted computing, mobile devices, tietoturvallisuus, avainten ja salaisuuksien hallinta, mobiililaitteet
Other note
Parts
  • [Publication1]: Kari Kostiainen, Elena Reshetova, Jan-Erik Ekberg and N. Asokan. Old, New, Borrowed, Blue - A Perspective on the Evolution of Mobile Platform Security Architectures. In Proceedings of the ACM Conference on Data and Application Security and Privacy (CODASPY), pages 13-24, February 2011.
  • [Publication2]: Kari Kostiainen, Jan-Erik Ekberg, N. Asokan and Aarne Rantala. On-board Credentials with Open Provisioning. In Proceedings of the ACM Symposium on Information, Computer and Communications Security (ASIACCS), pages 104-115, March 2009.
  • [Publication3]: Kari Kostiainen, N. Asokan and Alexandra Afanasyeva. Towards User-Friendly Credential Transfer on Open Credential Platforms. In Proceedings of the International Conference on Applied Cryptography and Network Security (ACNS), pages 395-412, June 2011.
  • [Publication4]: Kari Kostiainen, Alexandra Dmitrienko, Jan-Erik Ekberg, Ahmad-Reza Sadeghi and N. Asokan. Key Attestation from Trusted Execution Environments. In Proceedings of the International Conference on Trust and Trustworthy Computing (TRUST), pages 30-46, June 2010.
  • [Publication5]: Kari Kostiainen, N. Asokan and Jan-Erik Ekberg. Credential Disabling from Trusted Execution Environments. In Proceedings of the Nordic Conference in Secure IT Systems (Nordsec), pages 171-186, October 2010.
  • [Publication6]: Kari Kostiainen, N. Asokan and Jan-Erik Ekberg. Practical Property-Based Attestation on Mobile Devices. In Proceedings of the International Conference on Trust and Trustworthy Computing (TRUST), pages 78-92, June 2011.
  • [Publication7]: Kari Kostiainen and N. Asokan. Credential Life Cycle Management in Open Credential Platforms (Short Paper). In Proceedings of the ACM workshop on Scalable Trusted Computing (STC), pages 65-70, October 2011.
Citation
Permanent link to this item
https://urn.fi/URN:ISBN:978-952-60-4598-6
Collections
[diss] Perustieteiden korkeakoulu / SCI