CN111159724B - 一种细粒度策略的条件代理可重构加密方法 - Google Patents

Abstract

本发明公开了一种细粒度策略的条件代理可重构加密方法，每个密文都会被信息拥有者用一组描述性语句或关键词标记，这些语句或关键词组合成了条件集合W，每个代理服务方的重加密密钥都与访问树T相关联；信息拥有者将信息加密后的第一层密文和根据访问树T生成的重加密密钥上传给代理服务方，当且仅当条件集合W满足该访问树T时，代理服务方运行重加密算法将对应的第一层密文重加密为第二层密文，以便信息请求者能够使用自己的私钥进行解密。因为每个重加密密钥都是根据访问树生成的，不满足访问树条件的其它密文不会被进行重加密，从而保证了本发明的细粒度。

Description

一种细粒度策略的条件代理可重构加密方法

技术领域

本发明属于信息安全技术领域，特别涉及了一种条件代理可重构加密方法。

背景技术

代理重加密(proxy re-encryption)是密文间的一种密钥转换机制，在代理重加密中，一个半可信代理人通过代理授权人产生的转换密钥把用授权人的公钥加密的密文转化为用被授权人的公钥加密的密文，在这个过程中，代理人得不到数据的明文信息，从而实现了密文分享。

针对代理重加密方法，近些年已经衍生出了多种改进方案。文献[Weng,J.,Deng,R.H.and Chu,C,“Conditional proxy re-encryption secure againstchosen-ciphertext attack”,2009]引入了条件代理重加密的概念，提出一种只有满足一定条件的密文才能进行重构加密的算法。然而，先前所有的条件代理重加密方案有诸多限制，因为它们只允许代理重加密含有特定关键字的密文，但不允许任何布尔组合。但是简单的关键字条件通常会产生过于粗糙的结果，因此条件的布尔组合对于有效使用C-PRE是必不可少的。

发明内容

为了解决上述背景技术提到的技术问题，本发明提供了一种细粒度策略的条件代理可重构加密方法。

为了实现上述技术目的，本发明的技术方案为：

一种细粒度策略的条件代理可重构加密方法，每个密文都会被信息拥有者用一组描述性语句或关键词标记，这些语句或关键词组合成了条件集合W，每个代理服务方的重加密密钥都与访问树T相关联；信息拥有者将信息加密后的第一层密文和根据访问树T生成的重加密密钥上传给代理服务方，当且仅当条件集合W满足该访问树T时，代理服务方运行重加密算法将对应的第一层密文重加密为第二层密文，以便信息请求者能够使用自己的私钥进行解密。

进一步地，包括以下步骤：

(1)系统参数初始化，生成公共参数；

(2)信息拥有者和信息请求者分别请求生成公钥与私钥；

(3)信息拥有者根据步骤(2)生成的私钥以及自己定义的访问树T来生成重加密密钥；

(4)信息拥有者根据步骤(2)生成的公钥以及条件集合W来加密消息，输出密文；

(5)如果条件集合W满足该访问树T时，代理服务方根据步骤(4)输出的密文以及步骤(3)生成的重加密密钥进行重构加密，输出重加密密文或错误符号；

(6)信息请求者根据步骤(2)生成的公钥、私钥以及步骤(5)输出的重加密密文，得到明文或错误符号。

进一步地，，在步骤(1)中，初始化系统安全系数λ和双线性映射参数(p,g,G₁,G₂,e)，其中，p是一个素数，G₁和G₂是两个阶为p循环群，g是群G₁的生成元，双线性映射e:G₁×G₁→G₂；

设

H₂:G₂→{0,1}^k、

和

是哈希函数，其中{0,1}^*表示长度不为零的字符串，{0,1}^k表示长度为k的字符串，

表示G₁\{1}。

生成公共参数：

(p，g，G₁，G₂，e，Z，H₁，H₂，H₃，H₄)

其中，Z∈G₁。

进一步地，在步骤(2)中，用户i生成的私钥sk_i与公钥pk_i如下：

sk_i＝x_i

pk_i＝X_i

其中，

此处的用户i既能指代信息拥有者，也能指代信息请求者。

进一步地，在步骤(3)中，给定用户i的私钥sk_i＝x_i、访问树T和用户j的私钥sk_j＝x_j；当且仅当条件集合W满足该访问树T时，输出一个重加密密钥并使用户i能够在条件集合W下重新加密密文，具体过程如下：

首先为访问树T中的每个节点x选择一个多项式q_x，这些多项式以自下而上的方式从根节点r开始按以下方式选择：

设多项式q_x的度数d_x小于该节点的阈值k_x，即d_x＝k_x-1，对于根节点r，令q_r(0)＝x_j-x_i，q_r(0)为多项式q_r的初始值，且多项式q_r由d_r随机定义；对于任何其他节点x，设q_x(0)＝q_p(x)(index(x))，并随机选择其他节点定义q_x，其中，p(x)表示节点x的父节点，index(x)为节点x的值；

当多项式确定后，对于每个叶节点x∈LN_T和集合w＝keyword(x)，生成重加密密钥rk_i,T,j：

rk_i,T,j＝(a,b,T)

a＝{a_x:x∈LN_T},b＝{b_x:x∈LN_T}

其中，LN_T表示叶节点集合，keyword(x)表示与叶节点x关联的条件，

进一步地，在步骤(4)中，在条件集合W下，使用公钥pk_i对明文m进行加密，并输出第一级密文CT_i：

CT_i＝(A，B，C，D，E，F)

其中，A＝W，B＝g^s，C＝C_w＝H₄(pk_i，w)^s，D＝e(X_i,Z)^sR，

F＝H₃(A,B,C,D,E)^s，s＝H₁(m,R)，

w∈W，

表示异或运算。

进一步地，在步骤(5)中，对于所有w∈W，检验以下两等式是否成立：

e(H₄(pk_i,w),B)＝e(C_w,g)

e(H₃(A,B,C,D,E),B)＝e(F,g)

如果上述两等式不成立，则输出错误符号；否则，定义一个递归算法NodeReEnc(CT_i,rk_i,T,j,x)，其输入为密文CT_i，重加密密钥rk_i,T,j和节点x：

(a)若x为叶节点，令w＝keyword(x)，如果w∈W，则：

否则，输出错误符号⊥；

(b)若x为非叶节点，对于x的所有子节点z，调用NodeReEnc(CT_i,rk_i,T,j,z)并将输出存储到中间值F_z中；令S_x为任意k_x大小的子节点z的集合，使得F_z≠⊥，若集合S_x不存在，则NodeReEnc(CT_i,rk_i,T,j,z)返回错误符号⊥；否则，令S_x′＝{index(z):z∈S_x}，计算节点x的中间值F_x：

其中，

为拉格朗日系数，

并返回结果；

第一级密文CT_i通过计算下式被重加密：

D′＝F_r·D

其中，F_r为根节点r对应的F_x值；

则第二级密文CT_j＝(B,D′,E)。

进一步地，在步骤(6)中，输入私钥sk_j和第二级密文CT_j，信息请求者计算

s＝H₁(m,R)，并检验B＝g^s是否成立，如果成立，则输出明文m，否则输出错误符号。

采用上述技术方案带来的有益效果：

本发明支持更灵活的关键字条件组合，可以实现对加密密文的灵活控制，从而具有较强容错性。本发明每个重加密密钥都是根据访问树生成的，不满足访问树条件的其它密文不会被进行重加密，从而保证了方案的细粒度。实验证明，本发明的重加密时间花销更短，提升了方案的执行效率；本发明安全性高，具有CCA安全，即攻击者无法区分重新加密密文，无法恢复明文。

附图说明

图1是本发明的方法流程图；

图2是实施例中模拟军事系统示意图。

具体实施方式

以下将结合附图，对本发明的技术方案进行详细说明。

本发明设计了一种细粒度策略的条件代理可重构加密方法，每个密文都会被信息拥有者用一组描述性语句或关键词标记，这些语句或关键词组合成了条件集合W，每个代理服务方的重加密密钥都与访问树T相关联；信息拥有者将信息加密后的第一层密文和根据访问树T生成的重加密密钥上传给代理服务方，当且仅当条件集合W满足该访问树T时，代理服务方运行重加密算法将对应的第一层密文重加密为第二层密文，以便信息请求者能够使用自己的私钥进行解密。

如图1所示，本发明包括以下步骤：

步骤1：系统参数初始化，生成公共参数；

步骤2：信息拥有者和信息请求者分别请求生成公钥与私钥；

步骤3：信息拥有者根据步骤2生成的私钥以及自己定义的访问树T来生成重加密密钥；

步骤4：信息拥有者根据步骤2生成的公钥以及条件集合W来加密消息，输出密文；

步骤5：如果条件集合W满足该访问树T时，代理服务方根据步骤4输出的密文以及步骤3生成的重加密密钥进行重构加密，输出重加密密文或错误符号；

步骤6：信息请求者根据步骤2生成的公钥、私钥以及步骤5输出的重加密密文，得到明文或错误符号。

在本实施例中，步骤1可以采用如下优选方案：

初始化系统安全系数λ和双线性映射参数(p,g,G₁,G₂,e)，其中，p是一个素数，G₁和G₂是两个阶为p循环群，g是群G₁的生成元，双线性映射e:G₁×G₁→G₂。

设

H₂:G₂→{0,1}^k、

和

是哈希函数，其中{0,1}^*表示长度不为零的字符串，{0,1}^k表示长度为k的字符串，

表示G₁\{1}。

生成公共参数：

(p，g，G₁，G₂，e，Z，H₁，H₂，H₃，H₄)

其中，Z∈G₁。

在本实施例中，步骤2可以采用如下优选方案：

用户i生成的私钥sk_i与公钥pk_i如下：

sk_i＝x_i

pk_i＝X_i

其中，

此处的用户i既能指代信息拥有者，也能指代信息请求者。

在本实施例中，步骤3可以采用如下优选方案：

给定用户i的私钥sk_i＝x_i、访问树T和用户j的私钥sk_j＝x_j；当且仅当条件集合W满足该访问树T时，输出一个重加密密钥并使用户i能够在条件集合W下重新加密密文，具体过程如下：

首先为访问树T中的每个节点x选择一个多项式q_x，这些多项式以自下而上的方式从根节点r开始按以下方式选择：

设多项式q_x的度数d_x小于该节点的阈值k_x，即d_x＝k_x-1，对于根节点r，令q_r(0)＝x_j-x_i，q_r(0)为多项式q_r的初始值，且多项式q_r由d_r随机定义；对于任何其他节点x，设q_x(0)＝q_p(x)(index(x))，并随机选择其他节点定义q_x，其中，p(x)表示节点x的父节点，index(x)为节点x的值。

当多项式确定后，对于每个叶节点x∈LN_T和集合w＝keyword(x)，生成重加密密钥rk_i,T,j：

rk_i,T,j＝(a,b,T)

a＝{a_x:x∈LN_T},b＝{b_x:x∈LN_T}

其中，LN_T表示叶节点集合，keyword(x)表示与叶节点x关联的条件，

在本实施例中，步骤4可以采用如下优选方案：

在条件集合W下，使用公钥pk_i对明文m进行加密，并输出第一级密文CT_i：

CT_i＝(A，B，C，D，E，F)

其中，A＝W，B＝g^s，C＝C_w＝H₄(pk_i，w)^s，D＝e(X_i,Z)^sR，

F＝H₃(A,B,C,D,E)^s，s＝H₁(m,R)，

w∈W，

表示异或运算。

在本实施例中，步骤5可以采用如下优选方案：

对于所有w∈W，检验以下两等式是否成立：

e(H₄(pk_i,w),B)＝e(C_w,g)

e(H₃(A,B,C,D,E),B)＝e(F,g)

如果上述两等式不成立，则输出错误符号；否则，定义一个递归算法NodeReEnc(CT_i,rk_i,T,j,x)，其输入为密文CT_i，重加密密钥rk_i,T,j和节点x：

(1)若x为叶节点，令w＝keyword(x)，如果w∈W，则：

否则，输出错误符号⊥；

(2)若x为非叶节点，对于x的所有子节点z，调用NodeReEnc(CT_i,rk_i,T,j,z)并将输出存储到中间值F_z中；令S_x为任意k_x大小的子节点z的集合，使得F_z≠⊥，若集合S_x不存在，则NodeReEnc(CT_i,rk_i,T,j,z)返回错误符号⊥；否则，令S_x′＝{index(z):z∈S_x}，计算节点x的中间值F_x：

其中，

为拉格朗日系数，

并返回结果。

第一级密文CT_i通过计算下式被重加密：

D′＝F_r·D

其中，F_r为根节点r对应的F_x值；

则第二级密文CT_j＝(B,D′,E)。

在本实施例中，步骤6可以采用如下优选方案：

输入私钥sk_j和第二级密文CT_j，信息请求者计算

s＝H₁(m,R)，并检验B＝g^s是否成立，如果成立，则输出明文m，否则输出错误符号。

如图2所示，一个模拟军事系统由指挥者、指挥中心、军事设备、军事设备配置界面四大部分构成，A、B、C为三个不同指挥者，指挥者通过WEB或者APP来控制设备，设备会使用公钥将控制信息加密发送给指挥中心，指挥中心以密文的形式存储着军事设备的数据以及控制信息。例如，想要操控导弹(军事设备)需要满足I₁＝(“B”(指挥者)^“授权”^“4月28号”)或(“A”(指挥者)^“4月28号”)，当A想要控制导弹时，先向指挥中心请求，如果A符合满足I₁，指挥中心通过重加密密钥转化密文，并发送给A，此时A就可以使用私钥解密了。

当指挥中心受到攻击，因为没有与I₁相关的私钥，攻击者无法访问该记录，不过此时符合I₁的管理者无法通关指挥中心对军事设备进行操控，只有导弹配置界面的操作员可以进行操控，然而操作员没有I₁下加密的密文私钥，指挥者A可以先指定一个新的审核标准I₂，然后为其代理生成一个重加密密钥

当指挥者无法操控时，代理可以将密文转化为符合I₂的操作员的密文，并加上时间限制，操作员可以使用自己的私钥进行解密，并通过配置界面对导弹进行控制。当导弹配置界面遭受外部攻击，操作员的私钥泄露，指挥者不会令代理者生成重加密密钥

并生成操作员私钥对应的密文，外部攻击者无法操控导弹。

实施例仅为说明本发明的技术思想，不能以此限定本发明的保护范围，凡是按照本发明提出的技术思想，在技术方案基础上所做的任何改动，均落入本发明保护范围之内。

Claims (1)

1.一种细粒度策略的条件代理可重构加密方法，其特征在于：每个密文都会被信息拥有者用一组描述性语句或关键词标记，这些语句或关键词组合成了条件集合W，每个代理服务方的重加密密钥都与访问树T相关联；信息拥有者将信息加密后的第一层密文和根据访问树T生成的重加密密钥上传给代理服务方，当且仅当条件集合W满足该访问树T时，代理服务方运行重加密算法将对应的第一层密文重加密为第二层密文，以便信息请求者能够使用自己的私钥进行解密；

包括以下步骤：

(1)系统参数初始化，生成公共参数；

初始化系统安全系数λ和双线性映射参数(p,g,G₁,G₂,e)，其中，p是一个素数，G₁和G₂是两个阶为p循环群，g是群G₁的生成元，双线性映射e:G₁×G₁→G₂；

设

H₂:G₂→{0,1}^k、

和

是哈希函数，其中{0,1}^*表示长度不为零的字符串，{0,1}^k表示长度为k的字符串，

表示G₁\{1}，

生成公共参数：

(p，g，G₁，G₂，e，Z，H₁，H₂，H₃，H₄)

其中，Z∈G₁；

(2)信息拥有者和信息请求者分别请求生成公钥与私钥；

用户i生成的私钥sk_i与公钥pk_i如下：

sk_i＝x_i

pk_i＝X_i

其中，

此处的用户i既能指代信息拥有者，也能指代信息请求者；

(3)信息拥有者根据步骤(2)生成的私钥以及自己定义的访问树T来生成重加密密钥；

给定用户i的私钥sk_i＝x_i、访问树T和用户j的私钥sk_j＝x_j；当且仅当条件集合W满足该访问树T时，输出一个重加密密钥并使用户i能够在条件集合W下重新加密密文，具体过程如下：

首先为访问树T中的每个节点x选择一个多项式q_x，这些多项式以自下而上的方式从根节点r开始按以下方式选择：

设多项式q_x的度数d_x小于该节点的阈值k_x，即d_x＝k_x-1，对于根节点r，令q_r(0)＝x_j-x_i，q_r(0)为多项式q_r的初始值，且多项式q_r由d_r随机定义；对于任何其他节点x，设q_x(0)＝q_p(x)(index(x))，并随机选择其他节点定义q_x，其中，p(x)表示节点x的父节点，index(x)为节点x的值；

当多项式确定后，对于每个叶节点x∈LN_T和集合w＝keyword(x)，生成重加密密钥rk_i,T,j：

rk_i,T,j＝(a,b,T)

a＝{a_x:x∈LN_T},b＝{b_x:x∈LN_T}

其中，LN_T表示叶节点集合，keyword(x)表示与叶节点x关联的条件，

(4)信息拥有者根据步骤(2)生成的公钥以及条件集合W来加密消息，输出密文；

在条件集合W下，使用公钥pk_i对明文m进行加密，并输出第一级密文CT_i：

CT_i＝(A，B，C，D，E，F)

其中，A＝W，B＝g^s，C＝C_w＝H₄(pk_i，w)^s，D＝e(X_i,Z)^sR，

F＝H₃(A,B,C,D,E)^s，s＝H₁(m,R)，

w∈W，

表示异或运算；

(5)如果条件集合W满足该访问树T时，代理服务方根据步骤(4)输出的密文以及步骤(3)生成的重加密密钥进行重构加密，输出重加密密文或错误符号；

对于所有w∈W，检验以下两等式是否成立：

e(H₄(pk_i,w),B)＝e(C_w,g)

e(H₃(A,B,C,D,E),B)＝e(F,g)

如果上述两等式不成立，则输出错误符号；否则，定义一个递归算法NodeReEnc(CT_i,rk_i,T,j,x)，其输入为密文CT_i，重加密密钥rk_i,T,j和节点x：

(a)若x为叶节点，令w＝keyword(x)，如果w∈W，则：

否则，输出错误符号⊥；

(b)若x为非叶节点，对于x的所有子节点z，调用NodeReEnc(CT_i,rk_i,T,j,z)并将输出存储到中间值F_z中；令S_x为任意k_x大小的子节点z的集合，使得F_z≠⊥，若集合S_x不存在，则NodeReEnc(CT_i,rk_i,T,j,z)返回错误符号⊥；否则，令S′_x＝{index(z):z∈S_x}，计算节点x的中间值F_x：

其中，

为拉格朗日系数，

并返回结果；

第一级密文CT_i通过计算下式被重加密：

D′＝F_r·D

其中，F_r为根节点r对应的F_x值；

则第二级密文CT_j＝(B,D′,E)；

(6)信息请求者根据步骤(2)生成的公钥、私钥以及步骤(5)输出的重加密密文，得到明文或错误符号；

输入私钥sk_j和第二级密文CT_j，信息请求者计算

s＝H₁(m,R)，并检验B＝g^s是否成立，如果成立，则输出明文m，否则输出错误符号。

Images