CN112966294A

CN112966294A - 一种单轮交互的链表oram访问方法

Info

Publication number: CN112966294A
Application number: CN202110054402.XA
Authority: CN
Inventors: 吴志强; 蔡竹斌; 李文军; 王进; 郑少莹; 唐小勇
Original assignee: Changsha University of Science and Technology
Current assignee: Changsha University of Science and Technology
Priority date: 2021-01-15
Filing date: 2021-01-15
Publication date: 2021-06-15
Anticipated expiration: 2041-01-15
Also published as: CN116842005A; CN112966294B

Abstract

本发明公开了一种生成链表树的方法，其中：所述链表树LL‑tree是加密的满二叉树，所述方法包括生成链表树的各个链表树节点LL‑tree node，所述链表树节点包括头部head和尾部tail，如下：

Description

一种单轮交互的链表ORAM访问方法

技术领域

本发明属于信息安全领域，尤其涉及一种单轮交互的链表ORAM 访问方法，可以应用于安全云存储系统以及安全计算领域。

背景技术

为了无限廉价计算和存储资源，很多公司和用户都将他们的私有数据外包给云。如果直接将用户数据以明文形式存储在云服务器，不可信云服务提供商或者其他攻击者可以直接获取用户隐私信息。为了保证用户隐私数据不被恶意窃取，传统的手段是对数据内容进行加密，通过上传、下载密文数据来使用个人隐私文档。数据隐私包括数据内容隐私和数据查询隐私。在大数据与云计算等应用场景中，事实上，仅通过对数据内容的加密只能保护数据的内容隐私，并不能保护数据的查询隐私。数据查询隐私主要指的是搜索模式和访问模式，也就是指相同关键词的提交频率和相同地址的访问频率。现有解决方案一般采用不经意随机访问机(Oblivious Random Access Machine，ORAM)技术，对数据在每次访问时的存储位置，进行重新洗牌和重新加密，来实现对外包数据不经意读和写操作。

ORAM是隐私保护领域中保护访问模式的一种重要手段，其目的在于隐藏对真实数据块的访问，使得攻击者不能区分每一次访问是真实的还是随机的。现有ORAM方案仍然面临较多挑战，例如用户和云之间高度交互、用户端存储过大、通信带宽较大以及高昂的计算开销。比如Path ORAM及其后续方案，要么用户与云的交互次数复杂度为O(logN)(其中N为总的元素个数)，要么存在大客户端地址映射表。许多ORAM方案以本地存储地址映射表为代价来实现单轮不经意访问，当寻址空间很大时，这些方法对于资源有限的客户端来说是不可扩展的，这与ORAM的设计初衷并不一致。TWORAM是实现了小客户端存储和单轮交互的 ORAM协议，但它依赖于大量混淆电路，这在现实中是性能上的瓶颈。

为此本发明提供了一种单轮交互的链表ORAM访问方法,其具有以下优势和技术效果：1)实现了公有云上的单轮密文数据读写访问，用户只需要发送请求并接收响应即可得到数据或者更新数据；2)本地存储几乎为零；3)构造简单且容易实现；4) 可在不牺牲较多效率的前提下将大量本地数组转换为云存储的数组，并提供强隐私保护的快速数据读写服务。

发明内容

为实现本发明之目的，采用以下技术方案予以实现：

一种生成链表树的方法，其中：所述链表树LL-tree是加密的满二叉树，所述方法包括生成链表树的各个链表树节点 LL-tree node，所述链表树节点包括头部head和尾部tail，如下：

其中头部head包括m和emaps，尾部tail包括M和chunks， emaps和chunks是分别由z项组成的复合结构；M、m、emaps和 chunks的定义分别如下：M表示节点掩码，节点掩码是由用户生成的一个随机值，是私密信息，不对云公开；m表示密文掩码，是存储在链表树节点头部的一个加密值，由节点的节点掩码和其父节点的节点掩码执行异或运算得到，密文掩码对云公开； chunks包含z个chunk，其中chunk是指一个数据块，chunk存储了四个元素(a,data₀,data₁,leaf)，即一个地址a、两个相邻的数据data₀，data₁和一个叶标识符leaf,叶标识符leaf用于表示节点属于哪一条叶子到树根的路径；emaps包含z个加密映射表emap，其中每个emap存放两组键值对信息(k₁,v₁,k₂,v₂)，用于保存加密后的值。

所述的方法，其中包括对emap执行的读取和写入操作，具体读操作和写操作过程如下：

写操作EMap.write(K,V)有两个步骤：第一步，将K分为K_l和K_h两个部分(K_l,K_h)；第二步，假设K_h和V位数相同，执行异或运算得到的结果用EMap[K_l]表示，并将K_l和EMap[K_l]分别写入到(K,V)中；读操作V←EMap.read(K)同样包含两个步骤：第一步，将K分为K_l和K_h两个部分(K_l,K_h)；第二步，根据K_l找到EMap[K_l]，将其与K_h再次执行异或运算解密得到V的值。

所述的方法，其中包括地址转换：将一个地址a转换成一组较小的地址的编码方式，实现地址转换的公式如下所示：

其中a_i为一个整数，b_i是a_i+1除2后的余数，是一个二进制数， (a_i,b_i)被称为块地址；地址a表示为第L+1个地址a_L+1，通过a_L+1计算出第L组a_L和b_L的值，根据上述公式依次计算出全部的a_i和 b_i的值，经过所有计算后地址a转换成一个包含L对元素的集合 {(a₁,b₁),(a₂,b₂),…,(a_L,b_L)}，其中每个(a_i,b_i)表示第i组块地址。

所述的方法，其中包括生成用户掩码：假定根节点和孩子节点一样仍然是具有父节点的，使用用户掩码来模拟表示根节点的父节点的掩码，用M_i表示第i棵树的用户掩码，在用户端存储一个全局变量Counter，用于记录在LL-ORAM执行读或写操作的总次数，设K为用户的密钥，G为一个伪随机函数，那么第i棵树的用户掩码M_i等于G_K(i||Counter)。

所述的方法，其中包括生成用户令牌：用户令牌是指用户试图获取A[a]数据，经过计算生成的一组一次性密钥，假设a为一个数组地址，第i棵树的用户令牌用t_i表示，

所述的方法，其中包括生成块密钥：块密钥是用来对数据块进行加密的密钥,假设i为第i棵树，(a_i,b_i)表示一个块地址，当前块存储在一个节点掩码为M的树节点中，则块密钥是

一种生成随机链表的方法，所述随机链表是根据如上之一的方法所生成的链表树生成的，所述生成随机链表的方法包括生成加密链表和生成同胞链表，随机链表是一次数据访问过程中需要读取并重构的全部加密的树节点，包括L条叶子到树根的路径 x₁-to-root，x₂-to-root，…，x_L-to-root，及前L-1条路径中树节点的兄弟节点，表示为

其中EL和SL的定义分别如下：加密链表是指一棵LL-tree二叉树中的叶子节点到根节点路径上的所有节点组成的一个链表，路径上的树节点都是加密的，第i棵树T_i的树叶x到树根的加密链表用ELⁱ _x表示，即叶子节点x到树根节点路径上节点的集合；同胞链表是由和加密链表中每个节点具有相同父节点的兄弟节点组成的一个链表，如果x是一个树叶值，i为第i棵树，用

表示

的同胞链表，即

中节点的兄弟节点的集合。

一种初始化链表树的方法，所述链表树是根据如上之一的方法生成的，其特征在于：

对于一组数据A[.]，假设其中共有N＝2^L个数据块，用户将 N个数据块随机存储在数据树T_L的树节点中，树节点的一个 chunk可以存储两个地址相邻的数据块，用另外一棵相邻的较小的树T_L-1存储这些随机节点对应的叶子位置，在T_L-1中，存储了 2^L-1个数据块，它们的值分别是T_L的2^L-1个叶子位置，它的全部叶子位置保存在T_L-2中，依此类推，直到最后一棵树T₁，它只包含一个树节点，T₁-T_L-1称为位置树。

所述的方法，其中：在位置树中，假设一个chunk为 (a′,data₀,data₁,leaf)，那么(a′,0)表示当前chunk第一个块地址， (a′,1)表示当前chunk第二个块地址，data₀存储了下一棵树的块地址(2a′,0)、(2a′,1)对应的叶子位置，data₁存储了下一棵树的块地址(2a′+1,0)、(2a′+1,1)对应的叶子位置，leaf为当前块对应的叶子位置；在数据树中，data₀和data₁存储的是最终需要返回给用户的数据；

假设全部数据块(a_i,b_i)都已经采用上述方式存储，明文数值都已经存储在T₁,T₂,…,T_L的每一个chunk中，对于第i棵树中未加密的链表树节点d，假设d中的chunk中已经存储了数据块信息，采用如下的方式加密这个树节点：

步骤一，对树节点的头部加密，用户为树中的节点生成一个随机值作为节点掩码，将节点掩码M和父节点掩码M_f异或得到该节点的密文掩码d.head.m，为节点中所有的数据块生成对应的块密钥，根据链表树编号i，块地址(a_i,b_i)和当前的节点掩码M，给定一个伪随机函数F和用户密钥K，通过

运算得到块密钥，采用公式(7)

将data₀和data₁写入加密映射表中；

步骤二，对树节点的尾部加密，用户将节点掩码存入节点尾部，并使用随机对称加密算法对尾部tail加密，用户保留私钥，最后输出加密后的节点。

一种访问链表树的方法，所述链表树是如上之一的方法生成且初始化的，所述访问链表树的方法包括读操作和写操作：

1)创建一次性令牌

用户将输入的地址通过地址编码方法转换成一组块地址，假设i表示第i棵树，M_i为第i棵树用户掩码，对每一个块地址 (a_i,b_i)，计算

得到L-1棵位置树的所有令牌 (t₁,t₂,…,t_L-1)；

2)在链表树上搜索

在链表树上搜索递归表示为：x_i+1＝Compute(T_i,t_i)，其中x_i+1为第i+1棵树的叶子位置，T_i为第i棵树，t_i为用户发送的第i棵树的令牌，其中Compute算法流程具体描述如下：

步骤A、访问第一层树节点，如果当前节点为d，那么用户使用d.head.m异或t_i，得到一个变量t，如果当前节点包含了(a_i,b_i)数据块，那么t就是一个正确的块密钥，就能在emaps中解密一个数据块并得到下一棵树的访问叶子x_i+1，算法成功结束；否则，继续搜索下一层节点；

步骤B、假设d为第二层的树节点，用户使用d.head.m异或上一步骤A获得的t；如果当前节点包含了(a_i,b_i)数据块，那么t 就是一个正确的块密钥，就能在emaps中解密一个数据块并得到下一棵树的访问叶子x_i+1，算法成功结束；否则，继续搜索下一层节点；

步骤C、依次访问，最终得到叶子x_i+1；

3)读数据

用户得到一条RLL后，采用两个步骤读写数据：

步骤A、用户创建L个临时缓冲区，用于存储一条RLL，用户将全部的chunk解密后写入对应的临时缓冲区；

步骤B、用户为所有解密过的chunk重新分配L个随机叶标识符，其中第i棵树的chunk(a′,data₀,data₁,leaf)的叶子的标识符，被写入到第i-1棵树的chunk(a′/2,data*₀，data*₁，leaf*)中，的data*₀或者data*₁中，如果a′为偶数，写入data*₀中，a′为奇数，写入data*₁中；

4)重建RLL

将L个缓冲区中的chunk数据洗牌后生成重新调整chunk的位置，然后对每一个树节点，采用上述提及的节点初始化加密算法加密树节点，并得到一条新的RLL，将新的RLL被打包到下一次读请求中；在下一次新的读写请求时候，用户将新的查询令牌连同历史的被缓冲的RLL一并发送到云服务器，然后首先由云服务器执行历史的节点覆盖更新操作，再执行新的查询操作。

附图说明

附图1为EL和SL一个实例的逻辑表示图；

附图2为树节点加密流程图；

附图3为LL-ORAM逻辑表示图；

附图4为单轮访问的流程图；

附图5为计算下一棵树叶子的流程图；

附图6为在一棵LL-tree上搜索的实例表示图。

具体实施方式

下面结合附图1-6对本发明的具体实施方式进行详细说明。

单轮交互的链表ORAM访问方法包括：一、生成链表树，生成随机链表；二、初始化LL-ORAM；三、LL-ORAM上单轮访问方式执行读、写操作。

一、生成链表树，根据链表树生成随机链表

生成链表树包括生成链表树(Linked-list Tree，简称 LL-tree)的各个链表树节点，所述链表树是一种加密的满二叉树：对于层数大于1的链表树来说，除最后一层无任何子节点外，每一层上的所有链表树节点都有两个子节点。

链表树节点：链表树节点是由头部head和尾部tail两部分组成的复合结构，其各部分详细组成如下所示：

其中头部head由m和emaps两部分组成，尾部tail由M和 chunks两部分组成，emaps和chunks是分别由z项(z一般大于等于2，小于10)组成的复合结构，组成部分M、m、emaps和chunks的定义分别如下：

M表示节点掩码。节点掩码是由用户生成的一个随机值，不对云公开，只能在查询中被使用一次，每次当节点被访问后都会被重新随机生成。节点掩码保存在节点的尾部。如果d是一个树的节点，d.tail表示树节点的尾部，那么用d.tail.M表示树节点 d的节点掩码。因节点的尾部d.tail始终采用标准的随机化对称加密算法加密，因此节点掩码是私密信息。

m表示密文掩码(Encrypted Mask，简称EMask)，它是存储在链表树节点头部的加密值，由节点的节点掩码和其父节点的节点掩码执行异或运算得到，密文掩码保存在节点的头部。如果d 是一个树节点，d.head表示一个树节点的头部，那么用d.head.m 表示此节点的密文掩码。即任意节点d的密文掩码d.head.m是经过

运算得到的，其中M_f为该节点的父节点掩码。密文掩码m直接暴露在云中，是云服务器的计算参数。

chunks(数据块组)包含z个chunk，其中chunk是指一个数据块。chunk存储了四个元素(a,data₀,data₁,leaf)，即一个地址、两个相邻的数据和一个叶标识符。地址a表示数据data₀的地址；a+1表示相邻数据data₁的地址。在LL-tree中，任意的一个chunk，为了方便查找，它都被标记为它当前属于哪一条叶子到树根的路径，这里的叶子数值用leaf表示，并存储在chunk 里面。因为数据被随机打乱位置存储，如果想访问一个chunk，必须一次性地读取leaf到树根的整条路径，才能找到当前chunk 的存储位置。

emaps(映射表单元组)包含z个emap(映射表单元)，其中每个emap存放两组键值对信息(k₁,v₁,k₂,v₂)，用于保存加密后的值。emap表示一个加密映射表(Encrypted Map，简称EMap)，加密映射表是指一种哈希表，它支持两种操作：读取和写入，用 EMap.write(K,V)和V←EMap.read(K)分别表示，其中K和V是固定大小的值。EMap的具体读操作和写操作过程如下：

写操作EMap.write(K,V)有两个步骤：第一步，将K分为K_l和K_h两个部分(K_l,K_h)；第二步，假设K_h和V位数相同，执行异或运算得到的结果用EMap[K_l]表示，并将K_l和EMap[K_l]分别写入到 (K,V)中。读操作V←EMap.read(K)同样包含两个步骤：第一步，将K分为K_l和K_h两个部分(K_l,K_h)；第二步，根据K_l找到 EMap[K_l]，将其与K_h再次执行异或运算解密得到V的值。

随机链表(Randomized linked list，简称RLL)：随机链表是一次数据访问过程中需要读取并重构的全部树节点，它由一组加密的树节点构成，也就是由L条叶子到树根的路径 x₁-to-ro，x₂-to-root，…，x_L-to-root，及前L-1条路径中树节点的兄弟节点构成，并表示为

其中EL和SL的定义分别如下：

加密链表(Encrypted Linked list，简称EL)：加密链表是指一棵LL-tree二叉树中的叶子节点到根节点路径上的所有节点组成的一个链表，即上述描述的链表树结构中的一部分。路径上的树节点都是加密的，第i棵树T_i的树叶x到树根的加密链表用

表示，即叶子节点x到树根节点路径上节点的集合。

同胞链表(Sibling Encrypted Linked list，简称SL)：同胞链表是由和加密链表中每个节点具有相同父节点的兄弟节点组成的一个链表。如果x是一个树叶值，i为第i棵树，用

表示

的同胞链表，即

中节点的兄弟节点的集合。

图1为EL和SL的一个实例的逻辑表示，T₄表示第4棵 LL-tree，图中叶到根的四个节点{d_A,d_B,d_C,d_D}即组成第四棵树的EL，剩余用虚线框表示的三个节点{d_E,d_F,d_G}组成第四棵树的SL。

根据随机链表的构成，用户需要的数据都保存在随机链表之中，用户可以通过下载随机链表从而获得最终查询到的数据。高度不同的每一棵树的任何叶到根路径上的节点数目都是固定的，因此每一棵树的随机链表的长度是一个固定值。由于根节点没有兄弟节点，随机链表中前L-1棵树的包括EL和SL在内的所有节点数目为

随机链表的长度固定不变，它一共包含

个树节点。

下面分别介绍地址转换、用户掩码、块密钥、用户令牌和临时缓冲区的概念。

地址转换/块地址：地址转换是指将一个地址a转换成一组较小的地址的编码方式。实现地址转换的公式如下所示：

其中a_i为一个整数，b_i是a_i+1除2后的余数，是一个二进制数。 (a_i,b_i)被称为块地址。地址a表示为第L+1个地址a_L+1，通过a_L+1可以计算出第L组a_L和b_L的值，然后就可以根据上述公式依次计算出全部的a_i和b_i的值。经过所有计算后地址a转换成一个包含L对元素的集合{(a₁,b₁),(a₂,b₂),…,(a_L,b_L)}，其中每个(a_i,b_i)表示第i组块地址。块地址和逻辑地址的关系为：假设一个块地址为(y,b)，那么它的逻辑地址为2y+b。对于高度为

的任意一棵链表树，假设每一个树节点都拥有2z个块，那么一共最多拥有

个块地址(或者说逻辑地址)。

用户掩码：用户掩码是指由用户计算生成的一个加密的随机值，用于表示每一棵树的根节点的父节点掩码。由于树形结构中树根节点不存在父节点，因此可假定根节点和孩子节点一样仍然是具有父节点的，使用用户掩码来模拟表示根节点的父节点的掩码，用M_i表示第i棵树的用户掩码。本发明在用户端存储一个全局变量Counter用于记录在LL-ORAM执行读或写操作的总次数。假设K为用户的密钥，G为一个伪随机函数，那么第i棵树的用户掩码M_i等于G_K(i||Counter)。因Counter每一次都不同，于是用户掩码具有随机性。

用户令牌：假设a为一个数组地址，用户令牌是指用户试图获取A[a]数据，经过计算生成的一组一次性密钥。用户令牌只能被使用一次，它用于计算并解密得到一组叶子位置{x₁,x₂,…,x_L}，从而计算并得到一条RLL。第i棵树的用户令牌用t_i表示，它等于

块密钥(Block Key)：块密钥是指一种用来对数据块进行加密的密钥。假设i为第i棵树，(a_i,b_i)表示一个块地址，当前块的节点掩码为M，那么块密钥是

计算得到的块密钥用来对chunk中的数据块进行加密，由于在EL中，每次访问后，节点掩码都被重新随机唯一生成，对于任何链表树、任何树节点、任何数据块，块密钥都是唯一的。因数据块的数量太多，用户并不能将全部的块密钥存储在本地，但用户可以通过用户令牌和链表树间接计算出块密钥。

临时缓冲区：缓冲区是指一种用于保存和“洗牌”检索到的数据块的存储结构。本发明中临时缓冲区Stash使用以下哈希表数据结构。

其中data₀和data₁是任意数据，leaf表示一个叶标识符，指示叶到根的路径中包含该块。可以通过地址a′和二进制数b访问缓冲区中的每个sblock块，访问到的块用(data_b,leaf)表示。b为零，表示选择 data₀，否则选择data₁。

二、初始化LL-ORAM

初始化LL-ORAM分为两个阶段：第一个阶段，将数值填充到每一个chunk中；第二个阶段，加密每一个节点。

第一阶段：对于一组数据A[.]，简单起见，假设其中共有 N＝2^L个数据块，用户将N个数据块随机存储在数据树T_L的树节点中。因树节点的一个chunk可以存储两个地址相邻的数据块，且数据存储地址已经被打乱，因此可以用另外一棵相对小一点的树T_L-1存储这些随机节点对应的叶子位置。在T_L-1中，存储了2^L-1个数据块，它们的值分别是T_L的2^L-1个叶子位置。由于T_L-1的数据块存储地址也已经被打散，它的全部叶子位置也只能保存在 T_L-2中。依此类推，直到最后一棵树T₁，它只包含一个树节点。T₁ -T_L-1称为位置树。

更具体来说，在位置树T_i中，假设一个chunk为(a′,data₀,data₁,leaf)，那么(a′,0)表示当前chunk节点第一个块地址，(a′,1)表示当前chunk节点第二个块地址，data₀存储了下一棵树T_i+1的块地址(2a′,0)和(2a′,1)对应的叶子位置(注：存储的值不等于块地址)，data₁存储了下一棵树的块地址(2a′+1,0)、 (2a′+1,1)对应的叶子位置(注：存储值的也不是块地址)，leaf 为当前块对应的叶子位置。在数据树中，data₀和data₁含义与位置树不同，它们存储的是最终需要返回给用户的数据。

举例说明。对于一个数据A[10],其逻辑地址为10，块地址为(5，0)，它被随机分配了一个叶子位置，假设值为8；此位置信息8被存储到前一棵相对小点的树里面，因为5对应(2，1) 块地址，信息8被放置在块地址为(2，1)，对应的是data₁区域部分；以此类推，将(2，1)的块地址对应的叶子位置存储到前面的小树里面，存储的块地址是(1，0)对应的是data₀区域部分，这棵树只有一个节点。依据以上步骤，将全部的数组数据都按照上述规则存储。

第二阶段：假设所有的chunk数值都已经按照上述方式填充，对于第i棵树中未加密的链表树节点d，本发明采用如下的方式加密d，如图2所示，它包含如下步骤。

步骤一，对树节点的头部加密。用户为树中的节点生成一个随机值作为节点掩码M，将节点掩码M和父节点掩码M_f异或得到该节点的密文掩码d.head.m，使用以下的BlockKey算法为节点中所有的数据块生成对应的块密钥，根据链表树编号i，块地址(a_i,b_i)和当前的节点掩码M，给定一个伪随机函数F和用户密钥K，通过

运算得到块密钥。由于每个chunk中包含两个地址相邻的数据，因此每个chunk会生成两个对应的块密钥，分别使用两个块密钥作为键，采用公式(7)，将data₀和data₁写入加密映射表中。由于data₀和data₁被不同块密钥加密，因此从写入的哈希表地址无法推断出块密钥和数值。

步骤二，对树节点的尾部加密。用户将节点掩码存入节点尾部，并使用随机对称加密算法对尾部tail加密，用户保留私钥，最后输出加密后的节点。

注意事项：1)云始终无法解密节点尾部tail，节点尾部不对云公开，只提供给用户使用。2)云只有获得了对应的块密钥才能解密拥有相应数据块的节点头部；3)因为根节点没有父节点，但可以假设根节点的父节点掩码为相应树的用户掩码。加密后链表树节点的头部head提供给云进行计算，云可以使用用户发送的令牌解密所需节点头部中的emaps从而获取emaps中的值；4)根据用户的令牌，如果云得到了一个emaps中的值，那么它是用于访问下一棵树的叶子位置。

初始化完成后的LL-ORAM逻辑结构如图3所示。它包括一组链表树，用(T₁,T₂,…,T_L)表示，每一个T_i表示一棵高度为i且包含 (2ⁱ-1)个链表树节点的满二叉树。第L棵链表树T_L称为数据树，在每个树节点中以随机顺序存储数据，前L-1棵链表树为位置树，用于存储数据位置信息。其中，x_i是第i棵树的叶标识符，第i棵树的输入x_i是第(i-1)棵树的计算输出结果，{x₁,x₂,…,x_L} 是一次ORAM访问得到的一组叶子位置。Stash为临时缓冲区。

三、LL-ORAM上的单轮数据访问。

对于一个数组地址a，用户为了读取逻辑数据A[a]或者写入 A[a]数据，在LL-ORAM上单轮读写如图4所示，它包括四个步骤：创建一次性令牌、在LL-ORAM上搜索得到RLL、读写数据、重建 RLL。

1)创建一次性令牌

用户将输入的地址通过上述地址编码方法转换成一组块地址。假设i表示第i棵树，M_i为第i棵树用户掩码，对每一个块地址(a_i,b_i)，计算

得到L-1棵位置树的所有令牌 (t₁,t₂,…,t_L-1)。

2)在LL-ORAM上搜索

在LL-tree上搜索可以递归表示为：x_i+1＝Compute(T_i,t_i)，其中x_i+1为第i+1棵树的叶子位置，T_i为第i棵树，t_i为用户发送的第i棵树的令牌，其中Compute算法流程如图5所示，具体描述如下，它最坏情况下遍历x_i到树根的i个树节点。

步骤A、访问第一层树节点。如果当前节点为d，那么用户使用d.head.m异或t_i，得到一个变量t，如果当前节点包含了 (a_i,b_i)数据块，那么t就是一个正确的块密钥，就能在emaps中解密一个数据块并得到下一棵树的访问叶子x_i+1，算法成功结束；否则，继续搜索下一层节点。

步骤B、假设d为第二层的树节点，用户使用d.head.m异或上一步骤A获得的t；如果当前节点包含了(a_i,b_i)数据块，那么t 就是一个正确的块密钥，就能在emaps中解密一个数据块并得到下一棵树的访问叶子x_i+1，算法成功结束；否则，继续搜索下一层节点。

步骤C、依次访问，最终得到叶子x_i+1。

注意事项：A)经过上述步骤，算法最终遍历所有的链表树得到一条包含有用户数据的RLL。

其中的每条同胞链表SL虽然没有被访问和解密，但是重建每一条EL需要依赖于 SL中的掩码数据，于是需要将相应的SL一并下载。B)因数据块事先已经存储在相应树根到树叶的路径中，所以云始终可以得到正确的计算结果。

图6描述了一个在一棵LL-tree上搜索的例子。T₄为第4棵 LL-tree，M₄表示用户掩码，链表包含四个节点{d_A,d_B,d_C,d_D}，其对应的节点掩码为{M_A,M_B,M_C,M_D}，每个节点的密文掩码分别由节点掩码和其父节点掩码执行异或运算得到，根节点的密文掩码是由根节点掩码和用户掩码M₄异或得到的。用户令牌t₄通过

计算得到，用户将令牌发送给云，云从根节点d_A开始执行以下计算，将令牌t₄与节点d_A的密文掩码 d_A.head.m执行异或操作，由于节点d_A的密文掩码

因此计算化简为

最终计算结果为

这实际上是节点d_A的一个块密钥，可以用于搜索块地址(a_i,b_i)处的数据，i＝4。d_A中没有包含要访问的块地址，于是云继续搜索d_B，计算

由于d_B中也没有对应的地址，同样也没有从d_B中获得任何结果。接着搜索d_C，计算

最终计算结果为

NodeKey_C实际上是节点d_C的一个块密钥，用节点d_C的块密钥读取d_C的加密映射的值，它其实就是用于访问下一棵树的叶子位置，它的值等于事先保存在节点尾部chunk中的数据

3)读写数据

用户得到一条RLL后，采用两个步骤读写数据。

步骤A、用户创建L个临时缓冲区，用于存储一条RLL，每一棵树的节点都被分别放置到对应的缓冲区中。因tail部分可以被解密，用户将全部的chunk解密后写入对应的临时缓冲区。如果用户需要读取A[a]数据，那么只需要从数据树的临时缓冲区读取 A[a]即可。因为地址a对应的全部块地址都已经在临时缓冲区中，用户可以根据块地址(a_L,b_L)读取数据。如果用户需要写入 A[a]数据data*，那么它将数据data*写入对应的临时缓冲区的chunk中即可。

步骤B、用户为所有解密过的chunk重新分配L个随机叶标识符。其中第i棵树的chunk(a′,data₀,data₁,leaf)的叶子的标识符，被写入到第i-1棵树的chunk(a′/2,data*₀,data*₁,leaf*)中，的 data*₀或者data*₁中。如果a′为偶数，写入data*₀中，a′为奇数，写入data*₁中。

4)重建RLL

本处采用已经公开的Path ORAM洗牌算法，将L个缓冲区中的chunk数据洗牌后生成重新调整chunk的位置。然后对每一个树节点，采用上述提及的节点初始化加密算法加密树节点，并得到一条新的RLL。

注意事项：A)即使一个未访问的chunk被移动了存储位置，那么洗牌后它仍然需要满足叶子到树根的路径肯定包含当前 chunk。B)尽可能将数据写入树的底部，以避免树根存储空间溢出；C)除了树根之外，其他的每个节点都存储了Z个chunk，一般来说Z大于等于2，小于6。树根节点的大小是固定的，一般来说，树根节点的Z大于等于6，小于10；D)所有缓冲区中的数据都将被全部重新加密并上传到原来的路径中，形成了一条重新加密的RLL；E)用户最终将全部缓冲区清空。F)因SL的掩码没有被使用，所以SL的掩码没有被重新生成，但是SL节点头部和尾部都已经被树节点加密算法重新加密。

为了访问能够在单轮的请求与响应中一次性完成，新的RLL被打包到下一次读写请求中。在下一次新的读写请求时候，用户将新的查询令牌连同历史的被缓冲的RLL一并发送到云，然后首先由云执行历史的节点覆盖更新操作，再执行新的查询操作。任意的数据读写访问，都是重复执行上述步骤。于是，LL-ORAM可以在单轮中实现对隐私保护的数据的快速读写。

Claims

1.一种生成链表树的方法，其特征在于：所述链表树LL-tree是加密的满二叉树，所述方法包括生成链表树的各个链表树节点LL-tree node，所述链表树节点包括头部head和尾部tail，如下：

其中头部head包括m和emaps，尾部tail包括M和chunks，emaps和chunks是分别由z项组成的复合结构；M、m、emaps和chunks的定义分别如下：M表示节点掩码，节点掩码是由用户生成的一个随机值，是私密信息，不对云公开；m表示密文掩码，是存储在链表树节点头部的一个加密值，由节点的节点掩码和其父节点的节点掩码执行异或运算得到，密文掩码对云公开；chunks包含z个chunk，其中chunk是指一个数据块，chunk存储了四个元素(a,data₀,data₁,leaf)，即一个地址a、两个相邻的数据data₀，data₁和一个叶标识符leaf,叶标识符leaf用于表示节点属于哪一条叶子到树根的路径；emaps包含z个加密映射表emap，其中每个emap存放两组键值对信息(k₁,v₁,k₂,v₂)，用于保存加密后的值。

2.根据权利要求1所述的方法，其特征在于包括对emap执行的读取和写入操作，具体读操作和写操作过程如下：

3.一种生成随机链表的方法，且特征在于所述随机链表是根据权利要求1-2之一的方法所生成的链表树生成的，所述生成随机链表的方法包括生成加密链表和生成同胞链表，随机链表是一次数据访问过程中需要读取并重构的全部加密的树节点，包括L条叶子到树根的路径x₁-to-root，x₂-to-root，…，x_L-to-root，及前L-1条路径中树节点的兄弟节点，表示为

其中EL和SL的定义分别如下：加密链表是指一棵LL-tree二叉树中的叶子节点到根节点路径上的所有节点组成的一个链表，路径上的树节点都是加密的，第i棵树T_i的树叶x到树根的加密链表用

表示，即叶子节点x到树根节点路径上节点的集合；同胞链表是由和加密链表中每个节点具有相同父节点的兄弟节点组成的一个链表，如果x是一个树叶值，i为第i棵树，用

表示

的同胞链表，即

中节点的兄弟节点的集合。

4.一种初始化链表树的方法，所述链表树是根据权利要求1-2之一的方法生成的，其特征在于：

对于一组数据A[.]，假设其中共有N＝2^L个数据块，用户将N个数据块随机存储在数据树T_L的树节点中，树节点的一个chunk可以存储两个地址相邻的数据块，用另外一棵相邻的较小的树T_L-1存储这些随机节点对应的叶子位置，在T_L-1中，存储了2^L-1个数据块，它们的值分别是T_L的2^L-1个叶子位置，它的全部叶子位置保存在T_L-2中，依此类推，直到最后一棵树T₁，它只包含一个树节点，T₁-T_L-1称为位置树。

5.一种访问链表树的方法，所述链表树是根据权利要求1-2之一的方法生成且经由权利要求4所述的方法初始化的，所述访问链表树的方法包括读操作和写操作：

1)创建一次性令牌；

2)在链表树上搜索；

3)读数据；

4)重建RLL。