Capability-based access control for multi-tenant systems using OAuth 2.0 and Verifiable Credentials
我们提出了一种基于能力的访问控制技术共享Web资源，基于可验证的凭证（VC）和OAuth 2.0。风险投资是一种安全的方式来表达对某个主题的主张。尽管VC是编码能力的理想选择，但缺乏交换和使用VC的标准阻碍了它们的采用并限制了它们的互操作性。我们通过将VC集成到OAuth 2.0授权流中来缓解这个问题。为此，我们提出了一种基于VC的OAuth 2.0访问令牌的新形式。我们的方法利用JSON Web Tokens（JWT）来编码VC，并利用基于JWT的机制来证明VC拥有。我们的解决方案不仅需要对现有的OAuth 2.0代码库进行最小的更改，而且还通过依赖JSON Web Signatures（一种简单，标准化且支持良好的签名格式）来消除验证VC声明的复杂性。此外，我们通过定义一个利用OAuth 2.0“客户端凭证”授权的新协议来填补VC生成过程的空白。
2021-04-28 cs.CR
Cerberus: Query-driven Scalable Vulnerability Detection in OAuth Service Provider Implementations
本研究针对OAuth服务提供商库安全性缺乏自动检测的问题，形式化OAuth规范并设计查询驱动的静态分析工具Cerberus，在热门库中发现47个漏洞（24个新漏洞），获8个开发团队认可及3个CVE编号。
2023-08-29 cs.CR
On the security of modern Single Sign-On Protocols: Second-Order Vulnerabilities in OpenID Connect
OAuth是Web授权的新事实标准。OAuth的一个重要限制是它是为授权而不是身份验证而设计的。因此，使用OAuth进行身份验证会导致严重的漏洞，如Zhou et. [44]和Chen et.等[9]。OpenID Connect是在OAuth之上创建的，通过提供联合身份管理和用户身份验证来填补这一空白。OpenID Connect于2014年2月标准化，但Google，Microsoft，AOL和PayPal等领先公司已经在其Web应用程序中使用它[1]，[2]，[3]，[30]。在本文中，我们描述了OpenID Connect协议，并提供了第一次深入分析的关键功能之一：发现和动态注册扩展。我们提出了一类新的攻击OpenID连接，属于二阶漏洞的类别。这些攻击包括两个阶段：首先，注入有效载荷由合法应用程序存储。稍后，此有效载荷用于安全关键操作。我们的新攻击类别-称为恶意端点攻击-利用OpenID Connect扩展发现和动态注册。这些攻击会破坏用户身份验证，损害用户隐私，并启用服务器端请求伪造（SSRF），客户端代码注入和拒绝服务（DoS）。因此，当这些扩展以其目前的形式启用时，OpenID Connect协议的安全性无法得到保证。我们联系了OpenID Connect和OAuth规范的作者。他们承认我们的恶意端点攻击，并认识到需要改进规范[29]。我们目前正在讨论如何缓解现有的问…
2016-01-07 cs.CR
ACLE-MCP: Attested Capability Leases for Execution-Time Trust in Remote LLM Tool Use
Peking University（北京大学）
针对远程LLM工具使用的授权后执行信任缺口，提出ACLE-MCP架构，通过绑定调用权限与当前工作负载状态，可阻止评估的攻击且延迟仅增加25.7%，是OAuth的实用补充。
2026-09-03 cs.CR
Unified Singular Protocol Flow for OAuth (USPFO) Ecosystem
提出统一单一协议流（USPFO），将OAuth的不同客户端与授权类型合并为单一流程，以减少配置漏洞并通过完整性等机制防护模拟、令牌盗窃等已知攻击，且兼容现有IETF标准。
2023-08-02 cs.CR cs.CY
A First Measurement Study on Authentication Security in Real-World Remote MCP Servers
Fudan University（复旦大学）；Central South University（中南大学）
本研究首次测量了现实世界远程MCP服务器的认证安全性，发现40.55%的服务器未进行认证，OAuth是主要的授权机制，但存在新的攻击面，识别出9种具体漏洞类型，并通过负责任的披露获得了9个CVE ID。
2026-05-21 cs.CR
Trust-Based Identity Sharing For Token Grants
身份验证和授权是软件应用程序的两个关键要素。在现代，OAuth 2.0框架和OpenID Connect协议是满足这些要求的广泛采用的标准。这些协议在授权服务器中实现。通常将这些授权服务器称为身份服务器或身份提供者，因为它们保存用户身份信息。注册到身份提供者的应用程序可以使用OpenID Connect检索ID令牌进行身份验证。与ID令牌一起获得的访问令牌允许应用程序使用OAuth 2.0保护的资源。在这种方法中，客户端应用程序绑定到单个身份提供者。如果客户端需要使用来自不同域的受保护资源，该域仅接受定义的身份提供者的令牌，则客户端必须再次遵循OpenID Connect协议以获得新令牌。这需要用户身份详细信息也存储在第二身份提供者中。本文提出了一种扩展OpenID连接协议，以克服这个问题。它提出了一种以客户端为中心的机制，以交换身份信息作为令牌授予对可信的身份提供者。一旦授权被接受，产生的令牌响应包含访问令牌，该令牌足以从令牌发布身份提供者的域访问受保护的资源。
2018-08-20 cs.CR
Trust-based Blockchain Authorization for IoT
授权或访问控制基于预定的访问控制策略来限制用户可以在计算机系统上执行的动作，从而防止非法参与者的访问。物联网（IoT）的访问控制应考虑到固有的IoT网络规模和设备资源限制。然而，物联网中常见的授权系统采用传统的方案，这些方案存在开销和集中化的问题。最近的研究趋势表明，区块链有可能解决物联网中的访问控制问题。然而，所提出的解决方案忽略了建立动态和灵活的访问控制机制的重要性。在本文中，我们设计了一个分散的基于属性的访问控制机制与辅助信任和信誉系统（TRS）的物联网授权。我们的系统逐步量化的信任和信誉分数的每个节点在网络中，并将分数的访问控制机制，以实现动态和灵活的访问控制。我们将系统设计为在公共区块链上运行，但我们将敏感信息（如用户属性）的存储分离到私有侧链以保护隐私。我们在一个与实验室规模测试平台互连的公共Rinkeby以太坊测试网络中实现了我们的解决方案。我们的评估考虑了各种性能指标，以突出我们的解决方案对物联网环境的适用性。
2021-04-02 cs.CR
Decoupled-IFTTT: Constraining Privilege in Trigger-Action Platforms for the Internet of Things
触发-动作平台是一种新兴的基于网络的系统，它使用户能够创建形式为"如果有烟雾报警器，请关闭我的烤箱"的自动化规则（或食谱）。"这些平台通过代表用户获取OAuth令牌，将各种在线服务（包括物联网设备、社交网络和生产力工具）整合在一起。不幸的是，这些平台也带来了长期的安全风险：如果它们受到损害，攻击者可以滥用属于数百万用户的OAuth令牌来任意操纵他们的设备和数据。在这项工作中，我们首先量化了用户在IFTTT（If-This-Then-That）背景下面临的风险。我们使用半自动化的工具，我们建立了克服IFTTT的闭源性质和在线服务API不一致的挑战，IFTTT的基于OAuth-based授权模型进行第一次实证分析。我们发现，75%的IFTTT渠道（在线服务的抽象）使用特权过高的OAuth令牌，从而增加了发生妥协时的风险。即使OAuth令牌被正确地授予特权，IFTTT的妥协也无法阻止它们的滥用。出于这种实证分析的动机，我们设计和评估解耦IFTTT（dIFTTT），第一个商家行动平台，用户不必给它高度特权访问他们的在线服务。我们的设计将细粒度OAuth令牌的概念推向了极致，并确保即使云服务被攻击者控制，它也不能滥用OAuth令牌来调用未经授权的操作。我们的评估确定，dIFTTT构成适度的开销：它增加了不到15毫秒的延迟配方执行时间，并减少了2.5%的吞吐量。
2017-07-03 cs.CR
Building a robust OAuth token based API Security: A High level Overview
本文从高层次概述了构建基于OAuth 2.0令牌的API安全系统所需的核心组件、密码学基础、持久化策略及令牌生命周期管理最佳实践，旨在为开发人员提供安全可扩展的基线方案。
2025-07-22 cs.CR
Enabling Opportunistic Users in Multi-Tenant IoT Systems using Decentralized Identifiers and Permissioned Blockchains
在这项工作中，我们利用去中心化标识符和许可区块链的进步来构建一个灵活的用户身份验证和授权机制，提供增强的隐私，实现快速撤销，并支持在相互不信任的实体中执行的分布式“策略决策点”。所提出的解决方案可以应用于多租户“物联网中心”，这些中心将不同的物联网孤岛互连并实现“访客”用户的授权，即，与系统没有信任关系的机会主义用户，系统以前没有遇到或知道他们。
2019-11-13 cs.CR
Engineering Lessons from Authorized YouTube-to-Blockchain Content Replication at Scale
University of Louisville（路易斯维尔大学）；JSgenesis / Joystream DAO
本文提出YouTube-Synch系统，实现从YouTube到去中心化存储的大规模内容提取与复制，分析平台防御机制的耦合性及应对策略，提出改进的代理栈、信任最小化所有权验证协议等方法。
2026-06-21 cs.CR cs.SE
L2AI: lightweight three-factor authentication and authorization in IOMT blockchain-based environment
针对医疗物联网中不安全信道带来的安全挑战，提出L2AI轻量级三因素认证方案，利用伪身份和动态索引增强匿名性，并通过ROR模型和Proverif工具验证安全性，支持高效注册与可扩展性。
2024-07-16 cs.CR
Resilient Risk based Adaptive Authentication and Authorization (RAD-AA) Framework
在最近的网络攻击中，凭据盗窃已成为进入系统的主要载体之一。一旦攻击者在系统中站稳脚跟，他们就会使用各种技术（包括令牌操作）来提升权限并访问受保护的资源。这使得基于身份验证和令牌的授权成为安全和弹性网络系统的关键组成部分。在本文中，我们讨论了这样一个安全的和弹性的身份验证和授权框架，能够自适应的基础上的风险分数和信任档案的设计考虑。我们将此设计与现有标准（如OAuth 2.0，OpenID Connect和SAML 2.0）进行了比较。然后，我们研究了流行的威胁模型，如STRIDE和PASTA，并总结了所提出的架构对常见的和相关的威胁向量的弹性。我们将此框架称为基于弹性风险的自适应身份验证和授权（RAD-AA）。拟议的框架过度增加了对手发动和维持任何网络攻击的成本，并为关键基础设施提供了急需的力量。我们还讨论了自适应引擎的机器学习（ML）方法，以准确地对交易进行分类并得出风险分数。
2022-11-29 cs.CR cs.CY
Interledger Smart Contracts for Decentralized Authorization to Constrained Things
我们提出了利用智能合约和interledger机制为受约束的物联网设备提供去中心化授权的模型。这些模型涉及成本、延迟、复杂性和隐私方面的不同权衡，同时利用智能合约和与interledger机制通信的多个区块链的关键优势。其中包括在智能合约中不可变地记录授权信息和策略的哈希值，通过在所有区块链节点上执行智能合约代码来实现弹性，以及使用哈希和时间锁机制加密链接不同区块链上记录的交易和物联网事件。在公共以太坊测试网Rinkeby和Ropsten上评估了所提出的模型，包括执行成本（gas），延迟和需要发送到受限物联网设备的数据减少。
2019-05-05 cs.CR cs.NI
Blockchain Empowered Trustworthy Agent Networks: Foundations, Taxonomy, and Future Directions
School of Cyberspace Science and Technology, Beijing Institute of Technology（北京理工大学网络空间安全学院）
本文综述从经典多智能体系统到开放智能体网络的演化，构建五维信任分类，明确区块链作为共享信任层为可信智能体网络提供多类支撑机制。
2026-08-06 cs.CR
ZK-ACE: Identity-Centric Zero-Knowledge Authorization for Post-Quantum Blockchain Systems
Yeah LLC（Yeah有限责任公司）
提出ZK-ACE协议，通过将交易签名替换为基于身份的零知识证明，实现后量子区块链上授权数据量减少一个数量级，并提供安全性证明与两种实现后端。
2026-05-28 cs.CR cs.DC
How BlockChain Can Help Enhance The Security And Privacy in Edge Computing?
为了解决集中式云服务的安全和隐私问题，引入了边缘计算网络，将计算和存储资源分布到网络边缘。然而，原生边缘计算受制于边缘设备性能的限制，这在数据授权、数据加密、用户隐私等领域带来了挑战。区块链是目前分布式网络最热门的技术。它解决了分布式数据的一致性问题，并用于许多领域，如加密货币，智能电网和物联网。我们的工作讨论了边缘计算网络的安全和隐私挑战。从数据授权、加密、用户隐私等角度，分析区块链技术为边缘计算网络带来的解决方案。在这项工作中，我们深入展示了边缘计算网络与区块链技术融合的好处，有效控制了边缘网络的数据授权和数据加密，在确保安全和隐私的前提下增强了架构的可扩展性。最后，我们调查的存储，工作负载和延迟在这一领域的未来研究的挑战。
2021-10-31 cs.CR cs.NI
TDACS: an ABAC and Trust-based Dynamic Access Control Scheme in Hadoop
大数据时代推动了许多行业的蓬勃发展，推动了整体数据驱动分析的充分潜力。Hadoop已经成为利益相关者处理大数据的主流平台的主要选择。此后，Hadoop平台的安全性在全球范围内引起了极大的关注。在本文中，我们主要集中在加强对用户的访问控制，以确保平台的安全性。首先，利用访问代理结合基于属性的访问控制（ABAC）模型实现前端授权，充分体现和应对Hadoop平台复杂访问控制过程的灵活性，并通过访问代理将后端资源从复杂的授权过程中释放出来。此外，为了保证授权的细粒度，访问代理维护由每个资源根据其重要性提供的信任阈值组成的列表。访问代理与区块链网络交互，获取用户的信任评估值，作为动态授权判定的重要依据。更具体地说，区块链网络以链上和链下模式共同工作。用户的历史行为数据存储在链下，相应的哈希值锚定在链上。因此，基于存储在区块链平台上的用户的历史行为来评估用户的信任值。同时，可以保证用户行为数据的真实性，从而保证信任评估结果的可靠性。实验结果表明，该模型能够动态灵活地调整用户权限，保证平台的安全性，同时时间和金钱的消耗在合理的范围内。
2020-11-16 cs.CR
None Shall Pass: A blockchain-based federated identity management system
用户身份的认证和授权通常由服务提供商或身份提供商完成。然而，这些集中式系统限制了用户对自己身份的控制，并且由于其集中式特性，容易发生大量数据泄漏。我们提出了一个基于区块链的身份管理系统，使用基于属性的访问控制策略和隐私保护算法对用户进行身份验证和授权，并最终将用户身份的控制权返回给用户。我们提出的系统将使用私有区块链，它将以安全、可验证的方式存储重新认证事件以及用户身份的数据访问和授权请求，从而确保数据的完整性。本文提出了一种机制，以验证诸如护照、驾驶执照、电费单等文件，由任何政府机构或其他机构以不可变和安全的方式发布。数据所有者负责在需要时使用OpenID Connect协议验证和传播用户的身份，以实现单点登录。我们使用高级加密算法向用户提供昵称，从而确保他们的隐私。这些算法还确保了交易在需要时的可重复性。我们提出的系统有助于减轻最近的隐私辩论中的一些问题。该项目适用于公民转移、国家间服务提供、银行、所有权转移等。通用框架也可扩展到银行、医院等联合体。
2022-07-05 cs.CR
Decentralized User-Centric Access Control using PubSub over Blockchain
我们提出了一种机制，把用户的控制中心，并授权他们决定访问他们的数据集合。重新审视安全性中提供保护的基本机制，我们的解决方案使用能力、访问列表和访问权，这些都遵循理解良好的形式概念来推理访问。这一贡献提出了一种实用、正确、可审计、透明、分布式和去中心化的机制，与当前的新兴环境非常匹配，包括物联网、智慧城市、精准医疗和自动驾驶汽车。它基于分布式授权、加密货币和可扩展计算中使用的经过充分测试的原则和实践。
2017-09-29 cs.CR
Overlaying Governance: A Compositional Authorization Framework for Delegation and Scope in Agentic AI
Huawei Heisenberg Research Center（华为海森堡研究所以）
针对代理型AI中传统授权框架无法处理递归委托、动态范围等问题，提出一种组合治理框架，通过定义委托类型、权限责任和资源范围衰减，并引入组合算子在不重写现有策略的情况下叠加代理语义，实现可问责的授权。
2026-06-02 cs.AI cs.CR
JSON Web Token (JWT) based client authentication in Message Queuing Telemetry Transport (MQTT)
本文概述了JSON Web令牌（JWT）和传输层安全性（TLS）作为互联网上事物认证的两种主要方法。JSON Web Token（JWT）目前被广泛用于OAuth和OpenId框架中的授权和身份验证。最近，Google Cloud IoT强制要求将JWT用于基于HTTP和消息传输远程传输（MQTT）协议的客户端，通过TLS安全地连接到云服务。MQTT是物联网设备中的首选协议，也是本文作为应用协议的主要关注点。另一个流行的云平台Amazon Web Service（AWS）使用TLS双向身份验证进行客户端身份验证。这里提供的两种方法之间的任何比较主要是从受约束的设备客户端的角度。
2019-03-07 cs.CR
BlendCAC: A BLockchain-ENabled Decentralized Capability-based Access Control for IoTs
物联网（IoT）的普及允许异构嵌入式智能设备在有或没有人工干预的情况下协作地提供智能服务。在利用大规模基于物联网的应用（如智能电网或智能城市）的同时，物联网也引发了对隐私和安全的更多关注。在物联网面临的最大安全挑战中，访问授权对于资源共享和信息保护至关重要。当今访问控制（AC）的一个弱点是集中式授权服务器，它可能是性能瓶颈或单点故障。在本文中，BlendCAC，一个基于区块链的分散能力的AC被提出用于物联网的安全性。BlendCAC旨在对大规模物联网系统中的设备、服务和信息进行有效的访问控制。基于区块链网络，提出了一种用于访问权限传播的能力委托机制.提出了一种基于身份的能力令牌管理策略，该策略利用智能合约进行访问授权的注册、传播和撤销。在提出的BlendCAC方案中，物联网设备是自己的主人，可以控制自己的资源，而不是由集中式机构进行监督。在Raspberry Pi设备和本地私有区块链网络上实施和测试，我们的实验结果证明了所提出的BlendCAC方法的可行性，可以为物联网系统提供分散，可扩展，轻量级和细粒度的AC解决方案。
2018-04-24 cs.CR cs.DC cs.NI
MFAz: Historical Access Based Multi-Factor Authorization
本文提出MFAz多因子授权方案，利用历史访问生成细粒度访问控制规则和验证点，结合布隆过滤器与区块链，以主动缓解传统及会话劫持等未授权访问攻击，并在智慧城市测试平台上验证了其安全性与性能。
2025-07-21 cs.CR
VerifyMed -- A blockchain platform for transparent trust in virtualized healthcare: Proof-of-concept
生活在数字化世界中的患者现在可以通过聊天应用程序、视频会议等在线服务或通过咨询服务间接与医疗专业人员互动。这些应用程序需要解决几个基本的信任问题：1。检查并确认与他们互动的人是真实的人; 2.确认医疗保健专业人员在有关领域具有能力; 3.确认医疗保健专业人员拥有有效的执业许可证。在本文中，我们介绍了VerifyMed -第一个基于以太坊的概念验证平台，用于使用区块链技术透明地验证医疗专业人员的授权和能力。我们的平台对医疗保健行业内的信任关系进行建模，以验证专业的临床授权。此外，它使医疗保健专业人员能够建立一个真实工作经验的组合，并通过存储患者报告的结果指标来进一步验证能力。广泛的现实模拟表明，使用我们的平台，为治疗创建智能合约并获得批准的平均成本约为1美元，评估治疗的成本约为50美分。
2020-05-18 cs.CR cs.NI
A Patient-Centric Blockchain Framework for Secure Electronic Health Record Management: Decoupling Data Storage from Access Control
本文提出了一种以患者为中心的区块链框架，通过解耦数据存储与访问控制，实现电子健康记录的安全管理，同时降低气体成本并提升访问效率。
2025-11-21 cs.CR cs.SE cs.SY
0xPass: A Secure Protocol for Universal Cross-Chain Accounts
针对通用跨链账户的安全与信任挑战，研究提出模块化协议架构0xPass，通过分层设计与分阶段部署路径，在扩展跨链账户功能的同时逐步降低中心化信任，保障用户控制权。
2026-09-02 cs.CR
ForensiBlock: A Provenance-Driven Blockchain Framework for Data Forensics and Auditability
本文提出 ForensiBlock 溯源驱动区块链框架，通过 RBAC-SA 与分布式 Merkle 根实现安全访问、案件追踪和高效链下溯源检索。
2023-08-07 cs.CR
Access Control for Electronic Health Records with Hybrid Blockchain-Edge Architecture
全球电子健康记录（EHR）市场正在急剧增长，预计到2022年将达到397亿美元。为了保障电子病历的安全性和隐私性，访问控制是电子病历数据管理的重要机制。本文提出了一种混合架构，通过使用区块链和边缘节点来促进EHR数据的访问控制。在该架构中，基于区块链的控制器管理身份和访问控制策略，并充当访问事件的防篡改日志。此外，链下边缘节点存储EHR数据并应用简化授权语言（ALFA）中指定的策略，以与基于区块链的访问控制日志协作，对EHR数据实施基于属性的访问控制。我们通过利用Hyperledger Composer Fabric区块链来评估所提出的混合架构，以衡量执行智能合约和ACL策略的性能，包括针对未经授权的数据检索的事务处理时间和响应时间。
2019-06-04 cs.CR cs.NI
Five Attacks on x402 Agentic Payment Protocol
Ohio State University（俄亥俄州立大学）；CSIRO（澳大利亚联邦科学与工业研究组织）；The University of Manchester（曼彻斯特大学）
本文分析x402协议，发现其在设计和实现中存在漏洞，提出五种攻击揭示授权、绑定、重放保护及Web层处理中的弱点，通过测试环境和审计验证攻击可行性，并提出缓解措施。
2026-05-12 cs.CR
A Secure Third-Party Auditing Scheme Based on Blockchain Technology in Cloud Storage
针对云存储公共审计中的隐私与多级访问问题，提出融合 RSA、UEG 隐私机制与区块链的第三方审计方案，以减少第三方参与并实现安全高效的细粒度审计。
2023-04-24 cs.CR
Distributed Access Control with Blockchain
在单个管理域中的网络范围策略的规范和实施在当今的网络中是常见的，并且被认为已经解决。然而，对于多管理域，例如在不同企业之间，情况并非如此。在这种情况下，出现了新的问题，挑战经典的解决方案，如PKI，遭受可扩展性和粒度的关注。在本文中，我们提出了一个扩展组为基础的政策-广泛使用的网络策略语言-上述情况。为此，我们利用许可的区块链实现（Hyperledger Fabric）以安全和可审计的方式分发访问控制策略，同时保持每个组织的独立性。网络管理员指定呈现到区块链交易中的策略。LISP控制平面（RFC 6830）允许执行访问控制的路由器查询区块链的授权。我们已经实现了一个端到端的实验原型，并在可扩展性和网络延迟方面进行了评估。
2019-01-11 cs.CR cs.NI
Authority-Inference Separation in Agentic Finance: First-Line Control, Blockchain Enforcement, and Replayable Assurance
UCL Institute of Finance & Technology, University College London（伦敦大学学院金融与技术研究所）
本研究提出智能体金融的权限-推理分离（AIS）架构，经多场景测试，AIS可抵御多数授权攻击、重放等风险，与区块链互补保障金融操作安全。
2026-09-01 cs.CR q-fin.GN
Personal Data Access Control Through Distributed Authorization
本文提出了一种个人信息管理系统的架构，在该系统中，个人可以通过智能合约定义对其个人数据的访问。这些运行在以太坊区块链上的智能合约实现了访问控制列表，并授予对个人数据引用的不变性，可追溯性和可验证性，这些数据本身存储在（可能是分布式的）文件系统中。设计了一种分布式授权机制，其中来自多个网络节点的信任是授予对数据的访问所必需的。为了这个目的，两个可能的替代方案描述：秘密共享方案和门限代理重新加密方案。这些替代品的性能进行实验比较的执行时间。阈值代理重新加密在不同的场景中似乎更快，特别是当增加消息大小，节点数量和阈值时，即授权数据公开所需的节点数量。
2021-01-25 cs.CR cs.DC cs.NI
Agentic JWT: A Secure Delegation Protocol for Autonomous AI Agents
针对自主AI智能体中OAuth 2.0权限易被静默扩大的问题，提出Agentic JWT（A-JWT）安全委派协议，通过绑定用户意图、链式委派断言和占有证明密钥实现零信任授权，以亚毫秒级开销有效阻断权限违规、重放、冒充和提示注入。
2025-09-16 cs.AI cs.CR
Application of Public Ledgers to Revocation in Distributed Access Control
最近，人们对区块链的潜在新应用产生了浓厚的兴趣，并提出了更通用的设计，称为公共账本。大多数新颖的提议都是在金融部门提出的。然而，公共分类帐是一种抽象，它解决了安全分布式系统设计中的几个基本问题：过去事件严格线性顺序形式的全球时间、全球一致且不可变的历史视图，以及一些应用程序的强制执行特定于应用程序的安全属性。本文研究了应用程序的公共账本访问控制，更具体地说，在分布式系统中，实体表示的公钥和授权被编码到签名证书的组管理。在分布式环境中，处理负面信息（如证书或组成员资格的撤销）尤其困难。事件的线性顺序和全局一致性简化了这些问题，但在账本实现中执行内部约束往往会带来问题。我们表明，不同类型的撤销需要从分类账略有不同的属性。我们将这些要求与比特币（最知名的区块链）进行了比较，并描述了一种有效的成员资格撤销分类账设计，该设计结合了区块链和网络PKI监控的思想。虽然我们使用基于证书的组成员管理作为案例研究，相同的思想可以更广泛地应用于分布式系统中的权限撤销。
2016-08-23 cs.CR
Accumulate: An identity-based blockchain protocol with cross-chain support, human-readable addresses, and key management capabilities
Accumulate协议（“Accumulate”）是一种基于身份的委托权益证明（DPoS）区块链，旨在通过与第一层区块链的互操作性，与企业技术堆栈的集成以及与万维网的接口来为数字经济提供动力。Accumulate通过实现链中链架构，绕过了安全性、可扩展性和去中心化的三难困境，在该架构中，能够管理密钥、令牌、数据和其他身份的数字身份被视为自己独立的区块链。这种架构允许这些被称为累积数字标识符（ADI）的身份在累积网络上并行处理和验证。每个ADI还拥有一组具有不同优先级的分层密钥，允许用户随着时间的推移管理其安全性，并创建复杂的签名授权方案，以扩展多重签名交易的实用性。双令牌系统为企业用户提供了可预测的成本，而将所有交易锚定到第一层区块链为每个人提供了企业级的安全性。
2022-04-15 cs.CR cs.DB cs.DC
A Study of Bluetooth Access Control Based on NFT Soft Pairing
Shenzhen University（深圳大学）；Sony (China) Limited（索尼（中国）有限公司）
该研究提出基于NFT软配对的蓝牙访问控制框架，通过三层架构解耦蓝牙配对与授权，原型实现了安全认证等特性。
2026-08-25 cs.CR
Automated Gateways: A Smart Contract-Powered Solution for Interoperability Across Blockchains
针对区块链互操作性挑战，提出Automated Gateways框架，直接集成核心基础设施并利用智能合约实现细粒度访问控制，高效安全地促进跨链交互与服务共享。
2024-07-19 cs.CR cs.DC
Trusted Data Notifications from Private Blockchains
私有区块链网络被企业用来管理去中心化的流程，而不需要可信的中介，也不需要在以太坊这样的开放网络上公开暴露他们的资产。然而，无法加入此类网络的外部方可能迫切需要被告知其共享分类账上的某些数据项以及数据真实性的认证;例如，按揭银行可能需要从管理物业契约的网络了解按揭物业的出售。这些当事人愿意补偿网络，以换取私人共享信息的真实性证明和外部使用的授权。我们设计了一种新颖的加密安全协议，使用公共区块链和原子交换技术在理性网络成员和信息接收者之间实现公平交换。使用我们的协议，私有区块链的任何成员都可以原子地揭示私有区块链数据，并提供证据，以换取外部方的货币奖励，当且仅当外部方是有效的接收者时。该协议为接收方保留了数据的机密性，此外，如果数据被证明是不真实的，则允许它发起挑战。我们还正式分析了该协议的安全性和隐私性，它可以用于广泛的实际场景
2021-01-23 cs.CR cs.DC
SCALHEALTH: Scalable Blockchain Integration for Secure IoT Healthcare Systems
本研究提出SCALHEALTH，一种基于Hyperledger Fabric的区块链方案，结合认证、IPFS和NFT，通过双区块链（健康与金融）实现安全、去中心化的物联网医疗系统，模拟显示性能优于常规方案。
2024-03-12 cs.CR cs.DC
When HTTP 402 Meets the Blockchain: Risks on Emerging x402 Payments
EPFL（洛桑联邦理工学院）；Zhejiang University（浙江大学）
研究x402支付协议，通过系统研究确定促进者的安全规则，基于规则违规分析得出新攻击向量，提出半自动黑盒工具评估安全性，发现部署均有违规，还通过实证测量量化相关指标，揭示其安全风险。
2026-07-23 cs.CR
Enterprise Identity Integration for AI-Assisted Developer Services: Architecture, Implementation, and Case Study
本文提出了一种整合OAuth 2.0和OIDC的架构，用于在AI辅助开发者服务中实现企业身份集成，通过原型验证其可行性并评估相关风险。
2026-01-06 cs.CR cs.SE
Enabling Secure and Effective Biomedical Data Sharing through Cyberinfrastructure Gateways
Dynaswap项目报告了为网络基础设施开发一个连贯集成和值得信赖的整体安全工作流保护架构，该架构可用于通过JetStream等网络基础设施（CI）服务部署的虚拟机。该服务创建了一个用户友好的云环境，旨在让研究人员按需访问交互式计算和数据分析资源。Dynaswap网络安全架构支持角色、角色层次结构和数据层次结构，以及科学基础设施内角色和层次关系的动态变化。Dynaswap将现有的尖端安全框架（包括身份验证授权-会计框架，多因素身份验证，安全数字来源和区块链）与高级安全工具（例如，生物识别胶囊，基于密码的分层访问控制和双层密钥管理）。CI正在生命科学研究环境和健康信息学教育环境中进行验证。
2020-12-23 cs.CR
Constructing Trustworthy and Safe Communities on a Blockchain-Enabled Social Credits System
大数据和人工智能（AI）技术的出现正在重塑世界。技术革命在提高我们生活质量的同时，也引发了新的担忧。超人的能力使人工智能在许多数据和/或计算密集型任务中优于人类工作者。此外，数字超级大国对个人表现出傲慢，这侵蚀了社会的信任基础。在这份立场文件中，我们建议基于区块链启用的社会信用系统（BLESS）构建值得信赖和安全的社区，该系统奖励参与社会有益活动的居民。人的真正价值在于为他人服务。BLESS系统被认为是一种有效的方法，以促进价值和尊严，致力于加强我们的社区和规范商业和私人行为。BLESS系统利用区块链网络的去中心化架构，不仅允许草根个人参与社会信用系统（SCS）的评级过程，还可以在无信任的网络环境中提供交易数据的防篡改。区块链记录中的匿名性也可以保护个人在与强大企业的斗争中成为目标。启用智能合约的身份验证和授权策略可防止任何未经授权的实体访问信用系统。BLESS方案有望提供安全、透明和分散的SCS。
2018-10-11 cs.CR cs.CY cs.NI
HDP: A Lightweight Cryptographic Protocol for Human Delegation Provenance in Agentic AI Systems
Helixar Limited（Helixar有限公司）
本文提出HDP协议，通过轻量级令牌方案解决代理AI系统中委托链的溯源验证问题，强调其无需第三方信任锚点的离线验证能力。
2026-04-06 cs.CR cs.MA
InterSAGE: The Secure and Verifiable Interoperability Protocol for An Internet of Agents
DeepKernel Lab（DeepKernel实验室）
针对现有智能体互操作协议缺失安全底层的问题，提出InterSAGE四层协议套件，补充MCP等通信协议，经对比验证其为首个统一实现四大安全特性的架构。
2026-08-17 cs.CR cs.MA cs.NI
