CN110855613A - 一种属性基加密系统中的外包撤销方法及系统 - Google Patents

Abstract

本发明提供一种属性基加密系统中的外包撤销方法及系统，其中外包撤销方法包括：基于属性基加密系统的公、私钥对，生成最新的系统版本向量，公布撤销用户列表；基于最新的系统版本向量，对未被撤销用户生成最新的用户外包密钥；基于最新的系统版本向量，对属性基加密系统密文进行更新，生成最新的密文。本发明将属性基加密系统中用户撤销所需的计算操作外包给第三方机构执行，使得密钥生成中心只需执行极少量计算，而终端用户无需执行任何计算，极大提高了属性基加密系统中用户撤销的效率。

Description

一种属性基加密系统中的外包撤销方法及系统

一、技术领域

本发明涉及一种属性基加密系统中的外包撤销方法及系统，属于信息安全中的密码学领域。

二、背景技术

随着无线通信技术的发展和移动设备的普及，越来越多的人开始使用移动云计算服务来处理和存储数据。在移动云存储系统中，用户可以随时随地使用他们的移动设备(例如，移动电话，平板电脑)访问存储在云中的数据。例如，用户可以将他们的照片，视频或其他文档存储在移动存储提供商(如阿里云、iCloud)上，以便他们可以在必要时远程访问云端数据。

在使用移动云存储系统时，用户主要的担扰是自身数据的安全性和隐私性是否能得到保障。一种可以保护用户数据安全性的有效方法是在上传数据前先对数据进行加密，使得只有用户指定的访问者才能访问数据。传统的加密方法要求用户在加密数据前知道访问者的确切身份，这在用户规模庞大的云计算环境中是比较困难的。属性基加密(Attribute-Based Encryption，ABE)是一种灵活的加密方法，它允许用户在加密时指定访问策略而不是具体的访问者身份，使得只有满足访问策略的访问者才能访问数据。属性基加密实现了一种细粒度的访问控制，因而更加适合云计算环境。

虽然属性基加密在云计算数据安全和隐私保护中具有很好的应用前景，但是它在移动云环境中还存在着一些问题。一方面，数据在被属性基加密方法处理后生成属性基密文，解密这类密文需要大量的计算开销，这对计算资源有限的移动设备来说是难以承担的。另一方面，移动设备相比固定设备容易丢失和被盗，对于丢失或被盗的设备需要撤销其访问权限，使其不能再访问云端的任何数据。当前的属性基加密系统中的撤销方法通常需要密钥生成中心或者是移动用户执行大量的撤销计算，这种方法不论对密钥生成中心还是移动用户来说都是比较耗时和低效的。

三、发明内容

本发明为克服上述问题或至少部分解决上述问题，提出一种属性基加密系统中的外包撤销方法及系统。

根据本发明的一个方面，提出一种属性基加密系统中的外包撤销方法，包括以下步骤：

S1、基于属性基加密系统的公、私钥对，生成最新的系统版本向量，公布撤销用户列表；

S2、基于最新的系统版本向量，对未被撤销用户生成最新的用户外包密钥；

S3、基于最新的系统版本向量，对属性基加密系统密文进行更新，生成最新的密文。

根据本发明的另一个方面，提出一种属性基加密系统中的外包撤销系统，包括：

密钥生成中心、数据加密终端、存储服务器、代理服务器、数据解密终端：

所述密钥生成中心，分别与数据加密终端、数据解密终端、代理服务器、存储服务器相连，用于生成系统公、私钥对，为每个解密终端生成一个用户密钥和一个外包密钥；用于在撤销时对公钥中的版本向量进行更新，公布撤销用户列表；

所述数据加密终端，分别与密钥生成中心、存储服务器相连，用于利用系统公钥以及指定的访问控制策略对待加密数据进行加密获得密文，并将密文发送给存储服务器；

所述存储服务器，分别与密钥生成中心、数据加密终端、代理服务器相连，用于接收并保存加密终端发来的密文；

所述代理服务器，分别与密钥生成中心、存储服务器、数据解密终端相连，用于利用解密终端的外包密钥对密文进行预处理，并将预处理结果发送给数据解密终端；在撤销时对未撤销终端的外包密钥进行更新；

所述数据解密终端，分别与密钥生成中心、代理服务器相连，用于接收代理发来的密文预处理结果，并使用用户密钥对结果进行解密，获得明文数据。

本发明提出了一种属性基加密中的外包撤销方法及系统，其优点和功效是：

(1)在保留属性基加密技术灵活的访问控制特点的基础上，通过外包计算，将对属性基密文的大部分解密操作交给代理服务器执行，而用户在本地只需执行常数级的计算，从而极大节省移动设备对属性基加密数据的访问开销。

(2)将用户撤销中的密钥更新操作安全地外包给代理执行，密钥生成中心只需执行一次随机数生成计算，而用户在本地无需执行任何计算，也无需参与撤销过程，极大节省了密钥生成中心和移动设备的开销。

四、附图说明

图1为本发明实施例提供的一种属性基加密系统中的外包撤销方法流程图；

图2为本发明实施例外包撤销方法的步骤S2流程示意图；

图3为本发明实施例提供的一种属性基加密系统中的外包撤销系统的整体框图；

图4为本发明实施例提供的一种属性基加密系统中的外包撤销系统的系统示意图；

五、具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

本发明提出的属性基加密系统中的外包撤销方法及系统主要基于以下已有的数学和密码学知识构建。

(1)双线性对

定义一种函数映射e(.,.)，将群G中的元素映射到群G_T中去，即：e:G×G→G_T；

对大素数p，双线性对满足的特性有：

①双线性特性：对于g,h∈G，a,b∈Z_p，有e(g^a,h^b)＝e(g,h)^ab成立，其中，Z_p表示集合{0,1,2,...,p-1}；

②非退化性：G群中至少存在一个元素g，使得计算后的e(g,g)为

群的某个生成元；

③可计算性：存在有效的算法，使得所有的u,v∈G，可以有效计算出e(u,v)的值；

(2)抗碰撞哈希函数

抗碰撞哈希函数具备两个基本特性：单向性和抗碰撞性。单向性指从哈希函数的输入可以轻易推导出输出，但从输出推导出输入则非常困难。抗碰撞性指不能找到两个不同的输入，使得它们的哈希函数输出值相等。哈希算法输入可以为任意字符串，输出为指定的域。

(3)访问控制结构

在属性基加密中，为了实现对数据细粒度的访问控制，需要在加密数据之前制定访问控制策略，通过访问控制结构表达。本发明方案中使用的访问控制结构为访问控制矩阵

即l行n列的矩阵。由于属性基加密方案中访问控制策略是与属性相关的，故在生成访问控制矩阵时，我们选择一种一一映射：ρ(i)，将矩阵

的每一行的行标i映射到访问控制策略中涉及到的一个属性上。

图1示出了实施例提供的属性基加密系统中外包撤销方法的流程图，包括：

S1、基于属性基加密系统的公、私钥对，生成最新的系统版本向量，公布撤销用户列表；

S2、基于最新的系统版本向量，对未被撤销用户生成最新的用户外包密钥；

S3、基于最新的系统版本向量，对属性基加密系统密文进行更新，生成最新的密文。

在一个实施例中，所述步骤S1之前还包括：获得系统的公、私钥对，系统的公钥中包括了系统当前版本向量。系统的公钥可以公开，但私钥需绝对保密。获得系统公、私钥对包含以下步骤：

首先输入系统安全参数λ，然后运行群生成算法

输出两个阶为素数p的群G、G_T和一个双线性映射运算e:G×G→G_T；

选择三个哈希函数，分别为H₀:{0,1}^*→G，

H₂:{0,1}^*→{0,1}^κ，其中κ表示明文空间长度；

然后运行随机数生成算法，随机选择

群中的某个生成元g，以及随机数u,f∈G，随机选择

域中的一个元素α；设系统最大允许的版本数为m，随机选择m个数：h₁,h₂,...,h_m∈G；设系统当前版本号为v，选择v个随机数：

并设系统当前版本向量为

计算群

中的一个元素e(g,g)α；

最后计算系统公钥

以及系统私钥MSK＝g^α。

在一个实施例中，算法运行方法如下：

输入系统安全参数λ，根据λ的大小，选择相应的椭圆曲线：Y²＝X³+aX+b(a和b是系数)，再由椭圆曲线上的点构成两个素数p阶的群G、G_T。选择一种函数映射e，将群G中的元素映射到群G_T中去；安全参数数值越大，所选择椭圆曲线上的点也越多，群也越大，系统的安全性也越高。

在一个实施例中，随机数生成算法运行如下：

根据所选椭圆曲线：Y²＝x³+ax+b，随机选择自变量X的一个值x₁，计算对应因变量Y的值y₁；若点(x₁,y₁)在我们想要映射的群中，则成功生成了随机元素。若点(x₁,y₁)不在群中，则继续选择X的值，直到找到出现在群中的点。此外，域

表示集合{1,2,…,p-1}，随机选择域

中元素的随机数生成函数可以从Pairing-Based Cryptosystems函数包中调用库函数运行(Standford PBC library 0.5.12，http://crypto.stanford.edu/pbc)。

在一个实施例中，运行双线性对运算运行如下：自变量的输入为群G中的元素g、h，输出为群

中的元素：e(g,h)。

在一个实施例中，当有终端用户申请加入系统时，首先检查申请者是否有资格。若是，为申请者确定一个属性集合S，然后为其生成一个外包密钥OK_S和用户密钥SK，具体步骤如下：

随机选择元素

计算：并对S中的每个属性x，计算K_x＝H₀(x)^t。

设外包密钥为

用户密钥为SK＝z。

在一个实施例中，获得系统公、私钥对后，可以指定指定访问策略然后使用该访问策略对数据M进行加密，使得只有满足访问策略的用户才能解密。

具体步骤如下：

生成访问控制矩阵

是一个l行n列的矩阵，ρ是将

的每一行映射到访问策略中某一个属性的函数。

选择随机数R∈G_T并计算s＝H₁(R,M),r＝H₂(R)；

选择随机数

生成向量

针对矩阵

的每一行A_i，计算

λ_i是A_i对应属性ρ(i)所拥有的子秘密。

选择l个随机数

然后计算：

生成密文：

在一个实施例中，用户请求对密文进行解密时，可要求代理对密文先进行预处理，然后再对预处理结果进行解密。具体步骤如下：

如果代理的外包密钥所关联的属性集合S符合目标密文的访问控制矩阵

则代理执行如下操作。

在多项式时间内可以找到常数使得∑_i∈Iω_iA_i＝(1,0,...,0)，其中I＝{i:ρ(i)∈S}。计算

计算对密文

的预处理结果：M'＝(C₀,C₂,B)。

终端将预处理结果视为M'＝(T₀,T₁,T₂)，计算

如果等式T₀＝R·e(g,g)^αs,T₂＝e(g,g)^αs/z均成立，将上述步骤计算出的M视为恢复出的原始数据，否则拒绝代理的预处理结果M'并要求其重新计算。

在一种属性基加密系统中的外包撤销方法的实施例中，所述步骤S1具体如下：

假设系统当前版本向量为选择随机数

更新系统版本向量为确定撤销用户列表并发布最新版本向量

图2示出了在一种属性基加密系统中的外包撤销方法的实施例中，所述步骤S2包括如下步骤：

基于撤销用户列表以及全部用户列表，获得未被撤销用户列表；

设任一位未被撤销用户的外包密钥为

计算

对OK'_S中的其它元素保持不变，设最新外包密钥为

在一种属性基加密系统中的外包撤销方法的实施例中，所述步骤S3具体如下：

对密文基于最新版本向量

计算

对

中其它元素保持不变，设更新后的密文

如图3，示出本发明一个具体实施例中，示出一种属性基加密系统中的外包撤销系统总体框架。总体上，结合图4其特征在于，包括密钥生成中心A1，数据加密终端A2、存储服务器A3、代理服务器A4、数据解密终端A5：

所述密钥生成中心A1，分别与数据加密终端A2、存储服务器A3、代理服务器A4、数据解密终端A5相连，用于生成系统公、私钥对，为每个解密终端生成一个用户密钥和一个外包密钥；用于在撤销时对公钥中的版本向量进行更新，公布撤销用户列表；

所述数据加密终端A2，分别与密钥生成中心A1、存储服务器相连A4，用于利用系统公钥以及指定的访问控制策略对待加密数据进行加密获得密文，将密文发送给存储服务器；

所述存储服务器A3，分别与密钥生成中心A1、数据加密终端A2、代理服务器A4相连，用于接收并保存加密终端发来的密文；

所述代理服务器A4，分别与密钥生成中心A1、存储服务器A3、数据解密终端A5相连，用于利用解密终端的外包密钥对密文进行预处理，并将预处理结果发送给数据解密终端；在撤销时对未撤销终端的外包密钥进行更新；

所述数据解密终端A5，分别与密钥生成中心A1、代理服务器A4相连，用于接收代理发来的密文预处理结果，并使用用户密钥对结果进行解密，获得明文数据。

最后，本申请的方法仅为较佳的实施方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种属性基加密系统中的外包撤销方法，其特征在于，包括：

S1、基于属性基加密系统的公、私钥对，生成最新的系统版本向量，公布撤销用户列表；

S2、基于最新的系统版本向量，对未被撤销用户生成最新的用户外包密钥；

S3、基于最新的系统版本向量，对属性基加密系统密文进行更新，生成最新的密文。

2.如权利要求1所述的属性基加密系统中的外包撤销方法，其特征在于，在所述步骤S1之前，还包括：

获得系统的公、私钥对，系统的公钥中包括了系统当前版本向量。

3.如权利要求2所述的属性基加密系统中的外包撤销方法，其特征在于，所述系统当前版本向量的表达式为：

其中

4.如权利要求1所述的属性基加密系统中的外包撤销方法，其特征在于，所述系统最新版本向量的表达式为：

其中

是系统当前版本向量。

5.如权利要求1所述的属性基加密系统中的外包撤销方法，其特征在于，所述步骤S2包括：

S2.1、基于撤销用户列表以及所有用户列表，获得未被撤销用户列表；

S2.2、对未被撤销用户列表中的每一位用户，基于最新版本向量更新其外包密钥。

6.一种属性基加密系统中的外包撤销系统，其特征在于，包括密钥生成中心、数据加密终端、存储服务器、代理服务器、数据解密终端：

所述密钥生成中心，分别与数据加密终端、数据解密终端、代理服务器、存储服务器相连，用于生成系统公、私钥对，为每个解密终端生成一个用户密钥和一个外包密钥；用于在撤销时对公钥中的版本向量进行更新，公布撤销用户列表；

所述数据加密终端，分别与密钥生成中心、存储服务器相连，用于利用系统公钥以及指定的访问控制策略对待加密数据进行加密获得密文，并将密文发送给存储服务器；

所述存储服务器，分别与密钥生成中心、数据加密终端、代理服务器相连，用于接收并保存加密终端发来的密文；

所述代理服务器，分别与密钥生成中心、存储服务器、数据解密终端相连，用于利用解密终端的外包密钥对密文进行预处理，并将预处理结果发送给数据解密终端；在撤销时对未撤销终端的外包密钥进行更新；

所述数据解密终端，分别与密钥生成中心、代理服务器相连，用于接收代理发来的密文预处理结果，并使用用户密钥对结果进行解密，获得明文数据。

Images