Geri Dön

A novel key management framework for secure and scalable decentralized identity systems

Güvenli ve ölçeklenebilir dağıtık kimlik sistemleri için yeni bir anahtar yönetim mimarisi

PDF İndir

  1. Tez No: 941590
  2. Yazar: MERT YILDIZ
  3. Danışmanlar: PROF. DR. ŞERİF BAHTİYAR
  4. Tez Türü: Yüksek Lisans
  5. Konular: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol, Computer Engineering and Computer Science and Control
  6. Anahtar Kelimeler: Belirtilmemiş.
  7. Yıl: 2025
  8. Dil: İngilizce
  9. Üniversite: İstanbul Teknik Üniversitesi
  10. Enstitü: Lisansüstü Eğitim Enstitüsü
  11. Ana Bilim Dalı: Bilgisayar Mühendisliği Ana Bilim Dalı
  12. Bilim Dalı: Bilgisayar Mühendisliği Bilim Dalı
  13. Sayfa Sayısı: 111

Özet

Günümüz dijital ortamlarında, kimlikleri güvenli ve özel bir şekilde yönetmek önemli bir zorluktur. Kullanıcılar genellikle çeşitli platformlarda birden fazla kimliğe sahiptir ve bu da gizlilik endişelerine, veri ihlallerine ve kimlik hırsızlığına yol açar. Kimlik yönetimine yönelik merkezi bir yaklaşım hassas bilgileri açığa çıkarabilir ve kullanıcıların kişisel verileri üzerindeki kontrolünü zayıflatabilir. Bu durum merkezi olmayan kimlik sistemlerine yönelim ihtiyacını doğurmuştur. Merkezi olmayan kimlik sistemlerinin hızla benimsenmesi, özellikle ulusal kimlik programları gibi büyük ölçekli uygulamalarda kriptografik anahtarların güvenli ve verimli bir şekilde yönetilmesi konusunda önemli zorlukları gün yüzüne çıkarmıştır. Geleneksel anahtar yönetim yaklaşımları, ölçeklenebilirlik, güvenlik izolasyonu, anahtar kurtarma ve güvenli yetkilendirme gibi alanlarda yetersiz kalmakta, merkezi olmayan kimlik çözümlerinin bütünlüğü ve kullanılabilirliği açısından riskler oluşturmakta ve yaygınlaşmasını engellemektedir. Bu çalışma, Bitcoin Improvement Proposal 32 (BIP32) hiyerarşik deterministik anahtar yönetimi, Donanım Güvenlik Modülleri (HSM) ve anahtar sarma (key wrapping) mekanizmalarını entegre eden yeni bir anahtar yönetim çerçevesi önermektedir. Bu çerçevede kullanılan algoritmalar, teknolojiler ve yöntemlerden bahsetmek gerekirse, Hiyerarşik Deterministik Anahtarlar olarak da bilinen BIP32 (Bitcoin Improvement Proposal 32), tek bir ana“tohum”dan çok sayıda kriptografik anahtarın türetilmesini sağlayan bir standarttır. Bu sayede, kullanıcılar tek bir ana anahtarı güvende tutarak, farklı amaçlar için (örneğin, imzalama, şifreleme) farklı anahtarlar oluşturabilirler. Bu, güvenli saklanması gereken anahtar sayısını azaltarak anahtar yönetimini kolaylaştırır ve güvenliği artırır. Yine benzer amaçla hiyerarşik deterministik anahtar yönetimi için SLIP10 algoritması da kullanılabilir. BIP32 algoritması ECDSA tabanlı olup secp256k1 eğrisini kullanırken, SLIP10 algoritması EdDSA tabanlı olup Ed25519 eğrisini kullanmaktadır. Donanım Güvenlik Modülü (HSM), kriptografik işlemleri güvenli bir şekilde gerçekleştirmek ve hassas verileri (örneğin, özel anahtarlar) korumak için tasarlanmış özel donanım cihazıdır. HSM'ler, kurcalamaya karşı dayanıklıdır ve içerdikleri verilerin yetkisiz erişime karşı korunmasını sağlar. Anahtar Sarmalama (Key Wrapping), bir anahtarı başka bir anahtarla şifreleyerek koruma işlemidir. Bu sayede, anahtarların güvenli bir şekilde saklanması ve taşınması sağlanır. Anahtar sarmalama, özellikle büyük miktarda anahtarın yönetildiği sistemlerde önemlidir. Önerilen çerçeve, BIP32 hiyerarşik deterministik anahtar türetme algoritmasını kullanarak, tek bir ana tohumdan (master seed) türetilen çok sayıda anahtarın verimli bir şekilde yönetilmesini sağlar. Bu yöntem, bireysel anahtarları yönetme karmaşıklığını azaltırken, her anahtarın güvenli bir şekilde izole edilmesini sağlayarak sistemin genel güvenliğini artırır. Donanım Güvenlik Modülü (HSM), sistemin kök güveni olarak hareket eder, Anahtar Şifreleme Anahtarını (KEK) güvenli bir şekilde saklar ve anahtar sarma gibi kriptografik işlemleri gerçekleştirir. Anahtar sarma mekanizması, ana tohumların dış ortamda güvenli bir şekilde saklanmasına olanak tanır ve HSM üzerindeki depolama yükünü azaltarak sistemin ölçeklenebilirliğini artırır. Bu çerçeve, merkezi olmayan kimlik yönetimiyle ilgili beş temel sorunu ele almaktadır. Bu sorunlardan ilki ölçeklenebilirliktir. Bu çerçeve, büyük ölçekli sistemlerde, HSM'nin yükünü artırmadan milyonlarca anahtarı güvenli bir şekilde yönetmeyi sağlar. İkinci temel sorun güvenlik izolasyonudur. Bu çerçevede hiyerarşik anahtar türetme yapıları sayesinde, farklı işlevler için kullanılan anahtarlar birbirinden izole edilir. Üçüncü temel sorun kurtarmadır. Bu çerçevede deterministik anahtar türetme yöntemiyle kaybolan anahtarlar güvenli bir şekilde geri yüklenebilir. Dördüncü temel sorun güvenli yetkilendirmedir. Bu çerçevede hiyerarşik erişim kontrol mekanizması sayesinde, farklı yetki seviyelerinin güvenli bir şekilde yönetilmesi sağlanır. Bir diğer temel sorun ise karmaşıklık azaltmadır. Bu çerçevede kullanıcıların sadece tek bir ana tohum yönetmesi gerekmekte olduğundan, bu durum genel sistem karmaşıklığını azaltmaktadır. Önerilen çerçevenin güvenliği, yan kanal saldırıları, kriptoanalitik saldırılar, içeriden gelen tehditler ve kuantum bilişim tehditleri gibi çeşitli saldırı vektörlerine karşı kapsamlı bir şekilde analiz edilmiştir. Sistem, FIPS 140-2 Seviye 4 sertifikalı HSM'ler, güvenliği kanıtlanmış algoritmalar ile şifreleme ve çok faktörlü kimlik doğrulama mekanizmaları kullanarak mevcut merkezi olmayan kimlik anahtar yönetimi çözümlerine kıyasla önemli ölçüde daha yüksek güvenlik sağlamaktadır. Önerilen çerçeve, FIPS 140-2 Seviye 4+ sertifikalı HSM'ler kullanarak fiziksel ve yan kanal saldırılarına karşı koruma sağlar. AES-256 şifreleme ve KEK güncelleme ile kriptanalitik saldırılar engellenir. X.509 sertifikaları ve TLS 1.3 ile ağ tabanlı saldırılara karşı güvenli iletişim sağlanır. En az ayrıcalık ilkesi, görev ayrımı ve çok faktörlü kimlik doğrulama ile içeriden gelen tehditler azaltılır. Hız sınırlama ve yük dengeleme ile hizmet reddi saldırıları önlenir. Sosyal mühendislik saldırılarına karşı güvenlik eğitimi verilir. Veritabanı şifreleme ve erişim kontrolleri ile harici depolamaya yönelik saldırılar engellenir. Kripto çevikliği ile kuantum bilgisayar tehditlerine karşı hazırlık yapılır. Bu çok katmanlı yaklaşım, çeşitli saldırı vektörlerine karşı kapsamlı bir koruma sağlayarak merkeziyetsiz kimlik sistemlerinin güvenliğini önemli ölçüde artırır. Güvenlik analizine ek olarak, önerilen çerçevede anahtar türetme hızı, işlem imzalama verimliliği ve saldırılara karşı direnç bir HSM ortamında ölçülerek BIP32 ile SLIP10'un güvenlik ve performansı analiz edilmiştir. Elde edilen sonuçlara göre, SLIP10'un daha güçlü güvenlik garantileri sunduğunu, BIP32'nin ise blokzincir uyumluluğu nedeniyle baskın olmaya devam ettiğini göstermektedir. Ayrıca, literatürde ilk kez BIP32 ve SLIP10 algoritmalarının HSM üzerinde performans karşılaştırması yapılmıştır. Bu araştırma, BIP32 tabanlı anahtar türetme ile HSM ve anahtar sarma mekanizmalarını merkezi olmayan kimlik sistemleri için entegre eden ilk çalışmalardan biridir ve ulusal kimlik altyapıları, dijital kimlik doğrulama sistemleri ve blokzincir tabanlı kimlik yönetim sistemleri için güvenli, verimli ve ölçeklenebilir bir çözüm sunmaktadır. Bu çalışmanın literatüre temel katkıları şunlardır: Merkeziyetsiz kimlik sistemlerinde güvenli ve ölçeklenebilir anahtar yönetimi için BIP32, HSM'ler ve anahtar sarmalama tekniklerini entegre eden bir çerçeve tasarımı sunulmuştur. Önerilen çerçevenin, merkeziyetsiz kimlik yönetiminde ölçeklenebilirlik, kurtarma, güvenlik yalıtımı, güvenli devretme ve karmaşıklık zorluklarını nasıl çözdüğü gösterilmiştir. Bir tehdit modeli ve güvenlik özelliklerinin tartışılması dahil olmak üzere, önerilen çerçevenin ayrıntılı bir güvenlik analizi yapılmıştır. BIP32 (ECDSA) ve SLIP10 (EdDSA) algoritmalarının HSM üzerinde kullanımının karşılaştırmalı analizi yapılmıştır. Ayrıca, deneysel olarak anahtar türetme hızı, imza işlemindeki gecikme ve hesaplama işlemindeki efektiflik bakımlarından ölçümleme yapılmıştır. Gelecekteki çalışmalar, prototip uygulaması, performans değerlendirmesi ve kuantum sonrası kriptografik algoritmaların entegrasyonu üzerine yoğunlaşacaktır. Böylece önerilen çerçevenin kuantum bilgisayarlar gibi yeni ortaya çıkan tehditlere karşı dayanıklılığı daha da artırılacaktır.

Özet (Çeviri)

In today's digital landscape, managing identities securely and privately is a significant challenge. Users often maintain multiple identities across various platforms, leading to privacy concerns, data breaches, and identity theft. A centralized approach to identity management can expose sensitive information and weaken user control over personal data. This situation has driven the need for decentralized identity (DID) systems. The rapid adoption of decentralized identity systems has introduced significant challenges in managing cryptographic keys securely and efficiently, particularly in large-scale implementations such as national identity programs. Traditional key management approaches often struggle with scalability, security isolation, recovery, and delegation, posing risks to the integrity and usability of decentralized identity solutions. This study proposes a novel key management framework that integrates the hierarchical deterministic (HD) key management, Hardware Security Modules (HSMs), and key wrapping mechanisms to provide a scalable and secure solution for decentralized identity systems. The proposed framework leverages BIP32 hierarchical deterministic key derivation, enabling efficient management of cryptographic keys by deriving multiple keys from a single master seed. This method significantly reduces the complexity of managing individual keys and enhances security by maintaining strict key isolation. The Hardware Security Module (HSM) serves as a root of trust, securely storing the Key Encryption Key (KEK) and performing cryptographic operations, including key wrapping and unwrapping. Key wrapping ensures that master seeds can be stored externally without compromising security, facilitating scalability without burdening the HSM with excessive storage requirements. The framework addresses five key challenges in decentralized identity management: Scalability by supporting large-scale key storage with external key-wrapped master seeds, Security isolation by implementing hierarchical key derivation structures, Recovery by securely restoring keys through deterministic derivation, Secure delegation by enabling hierarchical access control, and Complexity reduction by centralizing key management under a single master seed. A comprehensive security analysis demonstrates the framework's resilience against various attack vectors, including side-channel attacks, cryptanalytic attacks, insider threats, and quantum computing threats. By leveraging HSMs with FIPS 140-2 Level 4 certification, secure algorithm selection for key wrapping, and multi-factor authentication mechanisms, the proposed approach significantly enhances security compared to existing decentralized identity key management solutions. We analyze the security and performance of BIP32 vs. SLIP10 in an HSM environment, measuring key derivation speed, transaction signing efficiency, and resistance to attacks. Our results show that SLIP10 offers stronger security guarantees, while BIP32 remains dominant due to blockchain compatibility. Also, for the first time in the literature, performance comparison of BIP32 and SLIP10 algorithms on HSM is performed. The primary contributions of this study to the literature are as follows: It presents a framework design that integrates BIP32, HSMs, and key wrapping techniques for secure and scalable key management in decentralized identity systems. It demonstrates how the proposed framework addresses the challenges of scalability, recovery, security isolation, secure delegation, and complexity in decentralized identity management. It provides a detailed security analysis of the framework, including a threat model and discussion of security properties. It delivers a comparative analysis of BIP32 (ECDSA) and SLIP10 (EdDSA) in HSM environments. It presents empirical evaluations of key derivation speed, signing latency, and computational efficiency. This research presents the first known integration of BIP32-based key derivation with HSMs and key wrapping for decentralized identity systems, providing a robust and scalable key management framework. The findings of this study have significant implications for national identity infrastructures, digital authentication mechanisms, and blockchain-based identity management systems, offering a secure, efficient, and scalable approach to decentralized identity key management. Future research will focus on prototype implementation, performance testing, and integration of post-quantum cryptographic algorithms to further enhance the framework's resilience against emerging threats.

Benzer Tezler

  1. Tez No

    947969

    Secure communication for MUM-T: a blockchain and lightweight cryptography framework

    MUM-T için güvenli i̇letişim: bir blokzincir ve hafif kriptografi çerçevesi

    HALİMCAN YAŞAR

    Yüksek Lisans

    İngilizce

    İngilizce

    2025

    Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrolİstanbul Teknik Üniversitesi

    Bilgisayar Mühendisliği Ana Bilim Dalı

    PROF. DR. ŞERİF BAHTİYAR

  2. Tez No

    949151

    Blockchain based secure and trustworthy e-government architecture

    Blockchain tabanlı güvenli ve güvenilir e-devlet mimarisi

    MUSTAFA TOSUN

    Yüksek Lisans

    İngilizce

    İngilizce

    2025

    Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrolİstanbul Teknik Üniversitesi

    Bilgisayar Mühendisliği Ana Bilim Dalı

    PROF. DR. ŞERİF BAHTİYAR

  3. Tez No

    864157

    A support vector machine-based approach for southbound communication detection in SDN using openflow

    Openflow kullanarak SDN'de güney yönlü iletişim tespiti için destek vektör makinesi tabanlı bir yaklaşım

    ALİ GÖKHAN AVRAN

    Yüksek Lisans

    İngilizce

    İngilizce

    2024

    Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrolİstanbul Teknik Üniversitesi

    Bilgisayar Mühendisliği Ana Bilim Dalı

    DR. ÖĞR. ÜYESİ GÖKHAN SEÇİNTİ

  4. Tez No

    862643

    Long term competitive advantage effect on company value with fuzzy logic and machine learning applications

    Bulanık mantık ve makine öğrenmesi uygulamaları ile uzun vadeli rekabet avantajının şirket değeri üzerine etkisi

    ZEKERİYA BİLDİK

    Doktora

    İngilizce

    İngilizce

    2024

    İşletmeİstanbul Teknik Üniversitesi

    İşletme Ana Bilim Dalı

    DOÇ. DR. KAYA TOKMAKÇIOĞLU

  5. Tez No

    748156

    Designing an enhanced user authenticated key management scheme for 6G-based industrial applications

    6G tabanlı endüstriyel uygulamalar için gelişmiş kullanıcı doğrulamalı anahtar yönetim planı tasarlama

    IJAZ UL HAQ DARMAN

    Yüksek Lisans

    İngilizce

    İngilizce

    2022

    Elektrik ve Elektronik Mühendisliğiİstanbul Gelişim Üniversitesi

    Elektrik ve Elektronik Mühendisliği Ana Bilim Dalı

    DR. ÖĞR. ÜYESİ MUSARIA KARIM MAHMOOD MAHMOOD

Geri Dön