CN107425972A - 一种新的格上基于身份的分级加密方法 - Google Patents

Abstract

本发明公开了一种新的格上基于身份的分级加密(HIBE)方法。该方法按照以下步骤实施：首先利用隐式扩展的方法对HIBE中的原像采样算法进行优化，然后结合MP12陷门派生算法提出一种高效的HIBE用户密钥提取算法，并基于该算法结合对偶LWE算法完成HIBE方法构造。本发明所公开方法的效率在系统建立和用户密钥提取阶段均有提升，陷门尺寸与系统分级深度仅成线性增长关系，且优化后的原像采样算法一定程度上可解决MP12陷门派生算法在陷门派生后高斯参数增长的问题。综上所述，本发明具有更高的实际应用可行性。

Description

一种新的格上基于身份的分级加密方法

技术领域

本发明涉及信息安全技术领域，具体涉及一种新的格上基于身份的分级加密方法，该方法具备抗量子计算分析的特点，可用于减轻大规模网络中密钥生成中心的负担。

背景技术

基于身份加密(IBE,identity-based encryption)属于公钥加密体制的一种，该体制使用用户的唯一身份标识(如手机号码，邮箱地址等)作为公钥，用户的私钥由可信第三方私钥生成中心(KGC,key generation center)利用系统主私钥生成。基于身份加密的体制于1984年由Shamir首次提出，直到2001年Boneh等人定义了IBE的安全模型并基于BDH(Bilinear Diffie-Hellman)问题给出具体方案构造。此后IBE的研究迅速成为密码学领域的热点，很多IBE的相关方案被相继提出。

基于身份的分级加密(HIBE,hierarchical Identity-based encryption)体制是上述IBE体制的一种推广，在IBE密码体制中，单一的KGC在大规模网络中无法满足为每一用户独立的产生身份密钥，因在大量的用户请求下，为每一用户完成身份信息的有效验证并为之建立安全信道传送私钥是相当占用系统资源的。因此需要一种分级的身份基加密体制来完成上述问题，在HIBE体制中，多个KGC实体按照有向树的结构分布。它的一个特点是体制中每个子KGC陷门均由它的父KGC指定，该过程称为陷门派生。应当注意的是陷门派生是单向的，这意味着每个子KGC均不能利用它的陷门来恢复父KGC陷门。

近几年，基于格理论构造的新型密码体制因具有较好的渐进效率、运算简单、可并行化、抗量子攻击和存在最坏情况下的随机实例等优点，成为后量子密码时代的研究热点，并取得一系列的研究成果。2010年，Cash等人于Eurocrypt’10上提出一种陷门派生算法，并基于该算法构造了格上首个HIBE方案，该方案将用户身份看作由一系列比特组成并为每一比特分配一个均匀随机矩阵，这将导致格的维数随系统分级深度的增加而明显增长，且所提出的陷门派生算法的派生陷门尺寸与系统分级的深度呈二次幂增长关系，则在较高分级深度的HIBE体制中会出现陷门尺寸过大而导致系统无法正常使用的问题。另外，该方案采用Gentry等人于STOC’08上提出的原像采样算法，这种原像采样算法需要执行高精度实数的正交化迭代运算，导致用户密钥提取的复杂度过高。同年，Agrawal等人对Cash等人的方案进行了改进，将按照用户身份向量每一比特分配矩阵的方式改进为按系统分级中每一级分配一个矩阵的方式，从而使格的维度随着系统分级深度的增长而仅呈线性增长。但方案的陷门派生算法与原像采样算法仍没有改变，因此用户提取密钥的复杂度和陷门尺寸没有得到根本的改进。2012年，Micciancio等人(下文简称MP12)于Eurocrypt’12上提出一种新的格上陷门生成算法和与之对应的原像采样算法，相比之前的陷门生成算法，该陷门生成过程简单，复杂度仅相当于两个随机矩阵的一次乘运算，且不涉及计算代价高的HNF(hermite normal form)和矩阵求逆操作。相比之前的原像采样算法，MP12原像采样算法较简单高效，且算法支持并行运算且输入项为小整数，对离线空间的需求较低。另外，Micciancio等人还提出了新的陷门派生算法，该算法相比Cash等人的算法较高效，因为该算法无须对高斯抽样值进行线性无关检测，且消除了ToBasis和HNF操作，更重要的是派生陷门的尺寸与系统分级的深度仅呈线性增长的关系。但同时我们注意到MP12的派生算法也存在不足，陷门派生算法的派生陷门与派生前相比陷门的质量即陷门矩阵的最大奇异值会增长，导致陷门质量变差，进而导致高斯参数增长等一系列问题。因此采用MP12原像采样算法和陷门派生算法来构造HIBE方案，会有较低的用户密钥提取复杂度和较小的陷门尺寸膨胀率，但同时应注意避免MP12派生算法在构造HIBE方案时带来的高斯参数增长的问题。采用Cash等人的隐式扩展法对原像采样算法进行优化，一定程度上可以解决这个问题，且能够避免不必要的计算，降低原像采样算法时间复杂度。Gentry等人指出在构造(H)IBE方案时应采用对偶LWE算法来完成方案的加解密阶段，比采用非对偶LWE算法更加合理，随后基于对偶LWE算法的(H)IBE方案被相继提出。

发明内容

本发明的目的是克服现有技术的不足，提供一种新的格上基于身份的分级加密方法，首先利用隐式扩展法对HIBE方案中的原像采样算法优化，然后结合MP12陷门派生算法提出一种高效的HIBE用户密钥提取算法，并基于该算法结合对偶LWE算法完成HIBE方法构造。

为达到上述目的，本发明首先利用隐式扩展的方法对HIBE中的原像采样算法进行优化：

使用陷门生成算法TrapGen输出矩阵和陷门矩阵矩阵A的扩展矩阵其中是均匀随机矩阵。设是由陷门派生算法DelTrap输出的矩阵A′的陷门矩阵，σ和σ′分别是陷门派生前和派生后所对应的高斯参数。令a为w维向量，u′为随机选取的n维向量，为用来生成随机均匀且与分布统计不可区分向量的算法。

1)生成判断与是否统计接近，如不是，则再次生成；

2)计算

3)执行原像采样算法输出

因为的输出是随机均匀的，由非齐次小整数解问题(ISIS,inhomogeneoussmall integer solution problem)可知是统计均匀的，再由原像采样算法定义可知原像采样算法的输出向量v是统计均匀的，因此v′也是统计均匀的。

相比传统的原像采样算法v′←SampleL(R′,u′,σ′)：步骤一所采用的算法仅负责生成最终输出向量v′的部分，相比调用原像采样算法的递归操作进行完整输出具有明显的计算代价节省；步骤2)中的采用高效正向计算的方式输出，复杂度等同于执行一次哈希算法；基于步骤1)，步骤3)所执行的原像采样算法仅采用派生前的陷门矩阵和高斯参数即可完成，避免了对派生陷门R′矩阵的求解和存储，且一定程度上解决了MP12陷门派生算法在陷门派生过程中高斯参数增长的问题。

从以上算法的三个步骤可以看出，本算法优化了原像采样算法的参数，且节省了原像采样过程中不必要的求解和存储，因此优化后的算法具有更低的时间复杂度和较高的输出质量。

然后，结合以上优化后的原像采样算法和MP12陷门派生算法构造出一种高效的HIBE用户密钥提取算法。该算法主要完成方案中HIBE用户密钥提取操作。

算法HIBE用户密钥提取算法(表示当前用户身份的分级深度)。

输入：主公钥MPK＝(A₀,A₁,...,A_d,G,u)，用户身份对应的公钥矩阵陷门矩阵和个用户身份：

输出：第个用户的密钥

1)利用FRD(full-rank differences)函数将用户身份向量映射成矩阵令其中是均匀随机选取的矩阵，其中I_n是n×n单位矩阵，

2)执行陷门派生算法该算法的具体细节是使用预言机在格Λ^⊥(A)的合适陪集且高斯参数是的离散高斯分布上进行独立采样，采样的结果作为陷门矩阵的列向量；

3)执行优化后的原像采样算法算法输入的高斯参数其中s₁(·)表示某矩阵的最大奇异值，满足且输出

最后，基于以上用户密钥提取算法结合对偶LWE算法完成HIBE方法的构造，构造模型如下：

系统建立算法HIBE-Setup：算法输入安全参数，模数和系统最大分级深度，输出加密方法的一对主公钥(MPK)和主私钥(MSK)。

用户密钥提取算法HIBE-Extract：根据主公钥MPK、主私钥MSK和用户身份 为当前系统分级深度，输出用户身份的用户密钥

加密算法HIBE-Encrypt：利用主公钥MPK、分级深度为的用户身份和待加密消息b∈{0,1}，输出与身份相关的密文CT。

解密算法HIBE-Decrypt：利用主公钥MPK、密文CT和与之对应的身份私钥sk_id，计算并输出明文b。

本发明具有以下优点和积极效果：

1)本发明是一种基于高效安全的陷门生成算法和原像采样算法所构造的加密方法，在陷门生成和原像采样的阶段具有较低的复杂度，且所生成的格的维数更低，从而使用户密钥的提取复杂度更低；

2)本发明的陷门派生算法所派生的陷门矩阵的尺寸与HIBE系统分级深度仅成线性增长的关系，一定程度上解决了MP12陷门派生算法在陷门派生后高斯参数增长的问题和格上HIBE系统在较高系统分级深度时陷门尺寸过大的问题；

3)本发明是一种基于格上困难问题构造的加密方法，对本方法的破解可在多项式时间内归约到对格上最坏情况下困难问题的求解，因此具备抗量子攻击的优点。

附图说明

图1是一种新的格上基于身份的分级加密流程图。

具体实施方式

以下结合实施例和附图对本发明作进一步描述。

本发明的基本参数包括：均匀随机矩阵和其陷门其中n是安全参数，d是系统支持的最大分级深度，用户身份 其中一个构造公开的矩阵其中I_n是n×n单位矩阵，FRD函数

本发明所设计的算法流程具体如下：

系统建立算法HIBE-Setup(1ⁿ,d)：输入安全参数1ⁿ和系统最大分级深度d，运行陷门生成算法TrapGen(1ⁿ,q)，输出均匀随机矩阵和A₀的陷门矩阵且选取d个均匀随机矩阵选取n维均匀随机向量输出主公钥MPK＝(A₀,A₁,...,A_d,G,u)和主私钥

用户密钥提取算法HIBE-Extract(MPK,)：输入主公钥MPK，用户身份表示系统分级深度为时用户公钥矩阵所对应的陷门，其中调用用户密钥提取算法输出用户密钥

加密算法HIBE-Encrypt(MPK,id,b)：输入主公钥MPK，分级深度为的用户身份和待加密消息b∈{0,1}。构造矩阵其中(为FRD(full-rank differences)编码函数)，选取一个均匀随机向量均匀随机矩阵计算 其中容错量容错向量 输出密文

解密算法输入主公钥MPK，密文CT＝(c₀,c₁)和用户密钥计算将b′与视为中的整数并比较，如果，输出1，否则输出0。

检验正确性：方案解密算法的输出为：

等式右边的error-term为容错值。为保证解密的正确性，我们对参数进行以下限定：m≥2nlogq，当b＝1时，则输出b＝b′＝1；当b＝0时，则输出b＝b′＝0。解密正确，证明完毕。

安全性上，基于DLWE(decisional learning with errors)格上困难问题的难解性，在标准模型下该方法具备满足选择身份选择明文攻击的密文不可区分(INDr-sID-CPA)的特性，该特性保证了方法的语义安全和接收方的匿名性，且主公钥的私密性可被密文保护。

本发明提出一种改进的格上基于身份的分级加密方法，所提方法的优点在于所构造的用户密钥提取算法复杂度较低且所基于的MP12陷门派生算法的陷门尺寸与系统分级的深度仅呈线性增长的关系。

本文所描述的实施例和附图意在用于示范目的，以帮助读者理解本方法的原理和发明人为了促进全同态加密应用而贡献出的思路，且应被理解为不局限于这种具体的示例和条件。另外，凡根据本发明精神实质所做的等价物或扩展，都应涵盖在本发明的保护范围内。

Claims (2)

1.一种新的格上基于身份的分级加密方法，其特征在于：首先利用隐式扩展的方法对HIBE体制中的原像采样算法进行优化，然后结合MP12陷门派生算法构造出一种高效的用户密钥提取算法，最后结合对偶LWE算法完成加密方法的构造。所述的一种新的格上基于身份的分级加密方法具体实施步骤是：

首先利用隐式扩展的方法对HIBE中的原像采样算法进行优化：

使用陷门生成算法TrapGen输出矩阵和陷门矩阵其中n是安全参数，m＝O(nlogq)，w＝nk，模数q＝poly(n)。设σ和σ′分别是陷门派生前和派生后所对应的高斯参数。矩阵A的扩展矩阵其中是随机选取的均匀矩阵。令a为w维向量，u′为随机选取的n维向量，为用来生成随机均匀且与分布统计不可区分向量的算法。

1)生成判断与是否统计接近，如不是，则再次生成；

2)计算

3)执行原像采样算法输出

然后，结合以上优化后的原像采样算法和MP12陷门派生算法构造出一种高效的HIBE用户密钥提取算法。该算法主要完成方案中HIBE用户密钥提取操作。

算法HIBE用户密钥提取算法(表示当前用户身份的分级深度)。

输入：主公钥MPK＝(A₀,A₁,...,A_d,G,u)，用户身份对应的公钥矩阵陷门矩阵和个用户身份：

输出：第个用户的密钥

1)利用FRD(full-rank differences)函数将用户身份向量映射成矩阵令其中是均匀随机选取的矩阵，其中I_n是n×n单位矩阵，

2)执行陷门派生算法该算法的具体细节是使用预言机在格Λ^⊥(A)的合适陪集且高斯参数是的离散高斯分布上进行独立采样，采样的结果作为陷门矩阵的列向量；

3)执行优化后的原像采样算法算法输入的高斯参数其中s₁(·)表示某矩阵的最大奇异值，满足且输出

最后，基于以上用户密钥提取算法结合对偶LWE算法完成HIBE方法的构造，具体构造如下：

系统建立算法HIBE-Setup(1ⁿ,d)：输入安全参数1ⁿ和系统最大分级深度d，运行算法TrapGen(1ⁿ,q)，输出均匀随机矩阵和A₀的陷门矩阵且选取d个均匀随机矩阵选取n维均匀随机向量输出主公钥MPK＝(A₀,A₁,...,A_d,G,u)和主私钥

用户密钥提取算法HIBE-Extract输入主公钥MPK，用户身份 表示系统分级深度为时用户公钥矩阵所对应的陷门，其中调用用户密钥提取算法输出用户密钥

加密算法HIBE-Encrypt(MPK,id,b)：输入主公钥MPK，分级深度为的用户身份和待加密消息b∈{0,1}。构造矩阵其中(H:为FRD(full-rankdifferences)编码函数)，选取一个均匀随机向量均匀随机矩阵计算 其中容错量容错向量 输出密文

解密算法输入主公钥MPK，密文CT＝(c₀,c₁)和用户密钥计算将b′与视为中的整数并比较，如果输出1，否则输出0。

2.根据权利要求1所述的一种新的格上基于身份的分级加密方法，其特征在于：方法依赖的基本参数G矩阵的构造具体为：Λ^⊥(G)的格基S的具体构造为： 其中(q₀,...,q_k-1)∈{0,1}^k是q＝∑_i2ⁱ·q_i二进制展开后的向量形式，S_k为Λ^⊥(g^T)的基，满足且|det(S_k)|＝q。另外，格基向量的平方长度为||S_i||²＝5，i＜k且||S_k||²＝∑_iq_i≤k。