CN113098683B - 一种基于属性的数据加密方法和系统 - Google Patents

Abstract

基于属性的加密方法及系统：有双线性映射e：G₁×G₂→G_T；用户的一个属性A被映射为群G₁或中G₂的一个元G_A，称为公钥，对应一个私钥d_A＝[s]G_A或d_A＝[s^‑1]G_A，s是主密钥；用户申请属性私钥时，d_A被分解为保存在服务端的秘密份额d_As和保存在用户端的秘密份额d_Au；以G_A1+…+G_Am为属性集S＝(A₁,…,A_m)对应的公钥采用双线性映射加密算法对数据加密；需要使用属性集S＝(A₁,…,A_m)对应的私钥d_A1+…+d_Am对数据解密时，服务端和用户端使用各自的d_A1，…，d_Am的秘密份额通过交互、采用双线性映射完成解密运算；基于此方法的系统包括服务端的属性私钥生成器、属性及属性私钥秘密份额管理器、密钥服务器、密码服务器，用户端的数据解密客户端程序、密钥客户端程序和密码组件。

Description

一种基于属性的数据加密方法和系统

技术领域

本发明属于密码技术领域，特别是一种基于属性的数据加密方法和系统。

背景技术

基于属性的加密(Attribute Based Encryption，ABE)是一种公钥密码体制，它将用户属性和密钥关联，将数据加密和解密与基于属性的控制结构相关联，确保只有获得相应属性的用户才能够解密数据，实现对数据解密的控制。基于属性的加密又分为密文策略-基于属性的加密(CP-ABE)和密钥策略-基于属性的加密(KP-ABE)。

基于属性的加密通常是基于双线性映射(bilinear mapping，也称配对运算，Pairing)的算法，其中双线性映射(配对运算)如为：

e：G₁×G₂→G_T时，其中G₁、G₂(配对或双线性映射的群)是加法循环群，G_T是一个乘法循环群，G₁、G₂、G_T的阶是素数n；

若P、Q、R分别为G₁、G₂中的元，则e(P,Q)为G_T中的元，且：

e(P+R,Q)＝e(P,Q)e(R,Q)，

e(P,Q+R)＝e(P,Q)e(P,R)，

e([a]P,[b]Q)＝e(P,Q)^ab。

这里a、b是[0,n-1]中的一个整数，[a]P、[b]Q表示点的P、Q的多倍点加运算或数乘运算。

目前的基于属性的加密方案的一个比较突出的问题是算法非常复杂，一般的工程技术人员不容易搞懂，相应的实施难度也较大。有工程经验的人都知道，解决工程中的实际问题，在取得同样技术效果的前提下，尽可能采用简单的方案，这样不但实施简单，而且运行可靠，而不是追求采用理论上最完美的方案，应用理论上最好的算法。目前的基于属性的加密方案面临的另一个问题是实现属性撤销比较困难。

基于属性的加密的应用场景大多是用户端、服务端模式(客户端、服务器模式)，对于这种应用场景，可以通过将基于属性的加密和服务端的访问控制结合起来来解决问题，实现预期的技术目标，而不是让基于属性的加密算法去解决所有的问题。

发明内容

本发明的目的是提出一种基于属性的数据加密技术方案，以克服现有技术存在的问题。

为了实现以上目的，本发明的技术方案包括一系列的方法和系统，其中包括一种属性私钥及私钥秘密份额生成和管理方法，以及基于此方法的基于属性的数据加密方法和数据解密方法，以及在这些方法基础上构建的属性私钥及私钥秘密份额生成和管理系统、基于属性的数据加密系统、基于属性的文件加密系统、基于属性的加密文件服务系统。

本发明涉及双线性映射(配对运算)e：G₁×G₂→G_T，其中，G₁、G₂为加法群，G_T为乘法群；群G₁、G₂、G_T的阶为素数n(G₁、G₂通常是椭圆曲线点群，G_T是阶为n的乘法群)；

[k]P，其中k为整数，表示针对双线性映射中加法群(G₁、G₂)中的元P的多倍点加(数乘)运算，即若k为正整数，[k]P表示k个P相加；若k负正整数，[k]P表示|k|个P相加得到的元的加法逆元；若k为零，则[k]P是零元。

在本发明的描述中，如无特别说明，整数的逆(比如，a^-1，a为非0整数)都是指该整数针对双线性映射中的群(G₁、G₂、G_T)的阶n的模n乘法逆，或该整数的模n余数的模n乘法逆(二者等价)。

本发明提出的属性私钥及私钥秘密份额生成和管理方法具体如下。

所述属性私钥及私钥秘密份额生成和管理方法涉及服务端的属性私钥生成器(Attribute Private Key Generator)、密钥服务器、属性及属性私钥秘密份额管理器(manager)，用户端的用户、密钥客户端程序和密码组件；

所述属性私钥生成器用于生成用户属性所对应的私钥即属性私钥；所述用户属性是反映用户特征的信息(如性别、职务、职称、角色等)；

所述密钥服务器是用户申请属性私钥的秘密份额时与用户端的密钥客户端程序进行交互的服务端的系统组件；所述属性私钥是用户属性所对应的私钥；所述属性私钥的秘密份额指服务端和用户端分别保存的与属性私钥有关并能恢复属性私钥的秘密；

所述属性及属性私钥秘密份额管理器对用户的属性以及属性私钥的秘密份额进行管理；所述属性及属性私钥秘密份额管理器有用户数据库，用于存放用户属性以及属性私钥的秘密份额；

所述用户是具有用户属性、需要使用属性私钥(的秘密份额)进行数据解密操作处理的个人、机构或系统；

所述密钥客户端程序是用户申请属性私钥的秘密份额时所使用的与密钥服务器进行交互的用户端程序；

所述密码组件是用户端进行密码运算、存储用户密钥(属性私钥之外的其他密钥)以及存储属性私钥的秘密份额的软件组件或软硬件结合的组件；

所述用户、密钥客户端程序和密码组件统称为用户方；

所述属性私钥及私钥秘密份额生成和管理方法涉及双线性映射(配对运算)e：G₁×G₂→G_T(即双线性映射e(V,T)，其中V是群G₁中的元，T是群G₂中的元，而e(V,T)是群G_T中元)；G₁、G₂为加法群(通常是椭圆曲线点群)，G_T为乘法群；群G₁、G₂、G_T的阶为素数n；群G₁、G₂的生成元分别为P₁、P₂；

针对以上所述双线性映射还定义有：

e₁(V,T)＝e(V,T)，其中V是群G₁中的元，T是群G₂中的元；

e₂(V,T)＝e(T,V)，其中V是群G₂中的元，T是群G₁中的元；

所述属性私钥生成器有一个[1,n-1]内的主密钥(主私钥)s；

当用户方需要申请属性A所对应的私钥(即属性私钥)d_A的秘密份额时，用户方将获取属性A的私钥的秘密份额的申请提交到密钥服务器；

密钥服务器通过属性及属性私钥秘密份额管理器的用户数据库验证确认申请属性私钥秘密份额的用户就是其声称的用户(如其声称的人、机构或系统)且拥有对应的属性A，验证通过后将用户方提交的获取属性A的私钥的秘密份额的申请提交到属性私钥生成器(若验证确认不通过，则密钥服务器拒绝用户方申请)；

属性私钥生成器检查本地是否已缓存或保存有属性A所对应的属性私钥d_A，若有，则转入针对属性A的属性私钥d_A的秘密份额的生成处理；若本地没有缓存或保存有属性A所对应的属性私钥d_A，则属性私钥生成器按约定的(公开的、非保密的)规则将属性A的名字(name)或标识符(identifier)映射到群G_i中的一个元G_A，i＝1或2，然后计算得到属性A对应的私钥即属性私钥d_A＝[s]G_A或d_A＝[s^-1]G_A，其中s^-1是s的模n乘法逆(即(s^-1s)mod n＝1)，将属性私钥d_A缓存或保存在本地(缓存在内存中或保存在属性私钥生成器的密码装置中或加密保存在数据库中)；G_A称为属性A对应的公钥即属性公钥(实际上，将属性本身称为公钥也行，将映射得到的G_A称为公钥也行，本发明G_A将称为公钥描述更方便)；

所述属性的名字是属性的标识名称(如男性、女性)，或者是针对属性的描述文字(如年龄大于18岁，只要能区分不同属性即可)；

属性私钥生成器将d_A分解为d_A＝d_As+d_Au，或者将d_A化解为d_A＝[d_Au]d_As或d_A＝[d_As]d_Au；属性私钥生成器将d_As、d_Au返回给密钥服务器；

或者，属性私钥生成器将d_A返回给密钥服务器，密钥服务器将d_A分解为d_A＝d_As+d_Au，或者将d_A化解为d_A＝[d_Au]d_As或d_A＝[d_As]d_Au；

密钥服务器将d_As保存在属性及属性私钥秘密份额管理器用户数据库中的当前用户的用户信息中，将d_Au返回给用户方(的密钥客户端程序)；所述当前用户是指当前正在申请属性A的属性私钥d_A的秘密份额的用户方的用户；

用户方(由密钥客户端程序)将d_Au保存到用户端的密码组件中；

以上所述d_As为服务端的针对属性私钥d_A的秘密份额(secret share)，d_Au为用户端(或用户方)的针对属性私钥d_A的秘密份额(不同用户的同一个属性A所对应的属性私钥d_A是相同的，但不同用户针对同一个属性A的属性私钥d_A的秘密份额d_As、d_Au不同；本发明中用户永远不会被允许获得属性私钥，只能获得属性私钥的秘密份额)；

若用户有多个属性需要申请属性私钥的秘密份额，则用户方分多次申请获得用户每个属性所对应的属性私钥的用户端的秘密份额，或者一次获得用户所有属性的属性私钥的用户端的秘密份额；于此同时，密钥服务器将用户多个属性的属性私钥的服务端的秘密份额保存在属性及属性私钥秘密份额管理器的用户数据库中的用户信息中；所述多个属性指多于一个的属性(两个或更多)；

所述属性私钥生成器有一个主公钥P_pub＝[s]P_j，j＝3-i(即属性公钥G_A和属性私钥d_A与P_pub不在同一个群)；[]表示对群G₁和G₂中的元的多倍点加运算(数乘运算)。

(若这里取i＝1，那么，后续的i都为1，后续的j都为3-i＝2；若这里取i＝2，那么，后续的i都为2，后续的j都为3-i＝1)

对于以上所述的属性私钥及私钥秘密份额生成和管理方法，所述用户属性包括受时间有效期限定的属性和未受时间有效期限定的属性；

所述受时间有效期限定的属性由属性名或属性标识符加上时间有效期所构成(如，属性名：时间有效期的，如user@secret.com:xxxx-yyyy，即属性名或属性标识符与时间有效期的字串合并)；所述时间有效期由起始时间和结束时间构成；

所述时间有效期的表示方式是从一个约定的零时时刻开始(如约定某年某月某日的零时为零时时刻，如1970年1月1日0时0分0秒)，然后按每隔一个约定的时间周期(如三个月、半年)更新时间有效期；

对于受时间有效器限定的属性，用户方在属性的时间有效期即将到期之前的规定时间内(如到期之前的一周、两周内)或到期后，申请受新的时间有效期限定的属性所对应的私钥的秘密份额，用户方以及属性及属性私钥秘密份额管理器分别保存用户端和服务端的针对新的属性私钥的秘密份额(之前的秘密份额可以继续保存一段时间)。

对于以上所述的属性私钥及私钥秘密份额生成和管理方法，所述属性私钥生成器或密钥服务器将d_A分解为d_A＝d_As+d_Au的方法包括：

在群G_i中随机选取一个不等于d_A的非零元P作为d_As，计算d_Au＝d_A-d_As，或者在群G_i中随机选取一个不等于d_A的非零元P作为d_Au，计算d_As＝d_A-d_Au；

或者，在[2,n-1]内随机选取一个整数t_s，计算t_u＝(1-t_s)mod n(求模n余数运算)，或在[2,n-1]内随机选取一个整数t_u，计算t_s＝(1-t_u)mod n；计算d_As＝[t_s]d_A，d_Au＝[t_u]d_A；

所述属性私钥生成器或密钥服务器在群G_i中随机选取一个不等于d_A的非零元P的方法包括：

在[2,n-1]内随机选取一个整数t_A，计算P＝[t_A]d_A；

或者，在[1,n-1]内随机选取一个整数t_A，计算P＝[t_A]P_i，其中P_i为群G_i的生成元；若P不等于d_A，则P即为所取；若P等于d_A，则重新选取t_A，重新计算P＝[t_A]P_i，直到P不等于d_A。

对于以上所述的属性私钥及私钥秘密份额生成和管理方法，所述属性私钥生成器或密钥服务器将d_A化解为d_A＝[d_Au]d_As或d_A＝[d_As]d_Au的方法包括：

在[1,n-1]内随机选择一个整数t_Z，计算d_t＝[(t_Z)^-1]d_A，其中(t_Z)^-1为t_Z的模n乘法逆(即(t_Z(t_Z)^-1)mod n＝1)，然后以t_Z作为d_Au，以d_t作为d_As，或者以t_Z作为d_As，以d_t作为d_Au。

对于以上所述的属性私钥及私钥秘密份额生成和管理方法，将属性A的名字或标识符映射为群G_i中的元G_A的方式包括：

将属性A的名字或标识符映射到群G_i中的一个元的纵坐标y_A，然后通过群G_i对应的椭圆曲线方程得到横坐标x_A，则G_A＝(x_A,y_A)(Boneh-Franklin方式)；

或者，将属性A的名字或标识符映射到群G_i中的一个元的横坐标x_A，然后通过群G_i对应的椭圆曲线方程得到两个纵坐标，取其中一个纵坐标y_A，则G_A＝(x_A,y_A)(注意，不是每个x_A都有解y_A，对于无解的情形，对x_A再变换，如多次取散列或哈希值，直到有解y_A)；

或者，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i，其中P_i为群G_i的生成元；

或者，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_it，其中P_it是属性私钥生成器在群G_i中随机选择的一个不等于P_i的元，并作为公开参数发布(即P_it是固定的公开参数)；

或者，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i+P_it；

或者，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_ih+P_it，其中P_ih是属性私钥生成器在群G_i中随机选择的一个不等于P_i的元，并作为公开参数发布(即P_ih是固定的公开参数)；

将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A的方式包括使用约定的散列或哈希函数(如SM9标识密码算法中规定的散列或哈希函数)；

属性私钥生成器在群G_i中随机选择一个不等于P_i的元P_it的方式包括：在[2,n-1]随机选择一个整数t，计算P_it＝[t]P_i；

属性私钥生成器在群G_i中随机选择一个不等于P_i的元P_ih的方式包括：在[2,n-1]随机选择一个整数h，计算P_ih＝[h]P_i；

若采用将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i的方式将属性A映射到群G_i中的一个元，并采用d_A＝[s]G_A方式生成属性私钥，则须从P_pub无法得到[s]P_i；

若采用将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i+P_it的方式将属性A映射到群G_i中的一个元G_A，则一旦出现G_A为零元的情况(概率极小)，所述属性私钥生成器重新在群G_i中随机选择一个不等于P_i的群元P_it并公开发布；

若采用将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_ih+P_it的方式将属性A映射到群G_i中的一个元G_A，则一旦出现G_A为零元的情况(概率极小)，所述属性及属性私钥秘密份额管理器改变属性A的名字或标识符，或者所述属性私钥生成器重新在群G_i中随机选择一个不等于P_i的群元P_ih或P_it并公开发布。

对于以上所述的属性私钥及私钥秘密份额生成和管理方法，若将属性A映射到群G_i中的一个元的方式是先将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i或G_A＝[h_A]P_it或G_A＝[h_A]P_i+P_it或G_A＝[h_A]P_ih+P_it的方式，则：

若采用d_A＝[s]G_A的方式生成属性私钥，则所述属性私钥生成器预先计算并缓存或保存有Q_i＝[s]P_i，或Q_it＝[s]P_it，或Q_i＝[s]P_i和Q_it＝[s]P_it，或Q_ih＝[s]P_ih和Q_it＝[s]P_it；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则所述属性私钥生成器预先计算并缓存或保存有Q_i＝[s^-1]P_i，或Q_it＝[s^-1]P_it，或Q_i＝[s^-1]P_i和Q_it＝[s^-1]P_it，或Q_ih＝[s^-1]P_ih和Q_it＝[s^-1]P_it；

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q_i，或Q_it，或Q_i和Q_it，或Q_ih和Q_it，计算d_A＝[h_A]Q_i，或d_A＝[h_A]Q_it，或d_A＝[h_A]Q_i+Q_it，或d_A＝[h_A]Q_ih+Q_it；

若采用d_A＝[h_A]Q_i+Q_it方式计算属性A对应的私钥d_A，则一旦出现d_A为零元的情况(概率极小)，所述属性私钥生成器重新在群G_i随机选择一个群元P_it并公开发布，重新计算Q_it；

若采用d_A＝[h_A]Q_ih+Q_it方式计算属性A对应的私钥d_A，则一旦出现d_A为零元的情况(概率极小)，所述属性及属性私钥秘密份额管理器改变属性A的名字或标识符，或者所述属性私钥生成器重新在群G_i中随机选择一个不等于P_i的群元P_ih或P_it并公开发布。

对于以上所述的属性私钥及私钥秘密份额生成和管理方法，当用户的一个属性A被取消后，所述属性及属性私钥秘密份额管理器将用户数据库中保存的用户的属性A对应的属性私钥d_A的秘密份额d_As从用户信息中删除。

基于以上所述的属性私钥及私钥秘密份额生成和管理方法的基于属性的数据加密方法如下。

当数据加密方需要利用属性集S＝(A₁，…，A_m)对数据加密时，其中m≥1，数据加密方按与属性私钥生成器同样的约定的方式，将属性A₁，…，A_m分别映射到群G_i，得到属性A₁，…，A_m的属性公钥G_A1，…，G_Am(因为属性公钥的映射规则是约定的、公开的，故而任何一方都能进行此映射)；

数据加密方以G_A1+…+G_Am为(属性集S的)公钥采用基于双线性映射的加密算法对数据加密；

若采用d_A＝[s]G_A的方式生成属性A对应的私钥d_A，则所述以G_A1+…+G_Am为(属性集S的)公钥采用基于双线性映射的加密算法对数据加密所进行的操作包括计算w＝e_i(G_A1+…+G_Am，P_pub)^r，T＝[r]P_j，其中r是密码运算过程中在[1,n-1]内随机选取的整数或者从在[1,n-1]内的随机选取的整数导出的的整数(如Boneh-Franklin的IBE)，而T＝[r]P_j(群G_j中的元)是附加在加密的数据中用于解密的密码数据；

若采用d_A＝[s^-1]G_A的方式生成属性A对应的私钥d_A，则所述以G_A1+…+G_Am为(属性集S的)公钥采用基于双线性映射的加密算法对数据加密所进行的操作包括计算w＝e_i(G_A1+…+G_Am，P_j)^r，T＝[r]P_pub，其中r是密码运算过程中在[1,n-1]内随机选取的整数或者从在[1,n-1]内的随机选取的整数导出的的整数(如Boneh-Franklin的IBE)，而T＝[r]P_pub(群G_j中的元)是附加在加密的数据中用于解密的密码数据；

所述利用属性集S＝(A₁，…，A_m)对数据加密，限定了只有属性集S中所有属性的拥有者(拥有所有属性的用户)才能解密被加密的数据；

所述数据加密方是所述属性及属性私钥秘密份额管理器中的用户或用户之外的其他实体。

对于以上所述的基于属性的数据加密方法，若m≥2，则所述属性集S中允许包含一个系统属性AS(用系统名或系统标识表示)，所述系统属性AS与其他属性一样被映射到群G_i中一个元G_AS，以G_AS为属性公钥，同样对应一个系统属性私钥d_AS＝[s]G_AS；系统属性私钥d_AS的服务端的秘密份额d_ASs就是d_AS(即系统属性私钥d_AS本身)，而系统属性私钥d_AS的用户端的秘密份额d_ASu如下：

若属性私钥生成器采用d_A＝d_As+d_Au的方式分解一个属性私钥d_A，则系统属性私钥d_AS的用户端的秘密份额d_ASu是群G_i中零元(固定如此)；

若属性私钥生成器采用d_A＝[d_Au]d_As的方式化解一个属性私钥d_A，则系统属性私钥d_AS的用户端的秘密份额d_ASu是整数1固定地；

若允许属性集S中包含系统属性AS，则采用d_A＝[d_As]d_Au的方式化解一个属性私钥d_A的方式不被采用；

若允许属性集S中包含系统属性AS，则用户方无需申请系统属性AS的私钥的用户端的秘密份额，服务端自动生成、保存系统属性AS的私钥d_AS，并将d_AS作为服务端的秘密份额；

属性及属性私钥秘密份额管理器的每个用户缺省地拥有系统属性AS，并拥有属性私钥d_AS的的秘密份额(已知常数)。

对于以上所述的基于属性的数据加密方法的基于属性的数据解密方法，所述基于属性的数据解密方法还涉及服务端的密码服务器和用户端的与密码服务器交互、进行数据解密操作处理的数据解密客户端程序；所述数据解密客户端程序调用用户端的密码组件进行数据解密运算；用户端的密钥客户端程序、密码组件和数据解密客户端程序统称为用户方；

当用户方需要解密采用属性集S＝(A₁，…，A_m)加密的数据时，即需要对以G_A1+…+G_Am为公钥采用基于双线性映射的加密算法加密后的数据解密时，也即需要以d_A1+…+d_Am为(属性集S的)私钥对加密的数据解密时，也即在解密过程中需要计算w＝e_i(d_A1+…+d_Am，T)时，其中d_A1，…，d_Am分别是属性A₁，…，A_m对应的属性私钥，T＝[r]P_j或T＝[r]P_pub(前者对应d_A＝[s]G_A，后者对应d_A＝[s^-1]G_A)是数据加密时计算的、并附在被加密数据中的密码数据，所述服务端的密码服务器检查所述属性及属性私钥秘密份额管理器的用户数据库的当前用户的用户信息中是否有解密数据所需的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，若没有，则解密失败，若有，则所述服务端的密码服务器利用用户数据库中的当前用户的用户信息中的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，而所述用户方利用用户端保存的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，二者在不暴露各自秘密的情况下，通过交互完成针对加密数据的解密运算(最后解密得到数据明文的操作由密码服务器完成，或者由用户方完成)；

所述当前用户是正在进行数据解密操作的用户方的用户。

对于以上所述的基于属性的数据解密方法：

若d_A1+…+d_Am＝(d_A1s+…+d_Ams)+(d_A1u+…+d_Amu)，则所述密码服务器和用户方按如下方式协同计算w＝e_i(d_A1+…+d_Am，T)：

密码服务器计算w_s＝e_i(d_A1s+…+d_Ams，T)；

用户方计算w_u＝e_i(d_A1u+…+d_Amu，T)；

之后密码服务器或用户方计算w＝w_sw_u；

若d_A1+…+d_Am＝[d_A1u]d_A1s+…+[d_Amu]d_Ams，则所述密码服务器和用户方按如下方式协同计算w＝e_i(d_A1+…+d_Am，T)：

密码服务器计算w_s1＝e_i(d_A1s，T)，…，w_sm＝e_i(d_Ams，T)，然后将w_s1，…，w_sm将发送给用户方；

用户方计算w_u1＝w_s1^d_A1u，…，w_um＝w_sm^d_Amu，其中^表示幂运算，^前的元是基数，^后的数是指数；

之后密码服务器或用户方计算w_u1，…，w_um的乘，w＝w_u1…w_um；

若d_A1+…+d_Am＝[d_A1s]d_A1u+…+[d_Ams]d_Amu，则所述密码服务器和用户方按如下方式协同计算w＝e_i(d_A1+…+d_Am，T)：

用户方计算w_u1＝e_i(d_A1u，T)，…，w_um＝e_i(d_Amu，T)，然后将w_u1，…，w_um将发送给密码服务器；

密码服务器计算w_s1＝w_u1^d_A1s，…，w_sm＝w_um^d_Ams；

之后密码服务器或用户方计算w_s1，…，w_sm的乘，w＝w_s1…w_sm。

对于以上所述的基于属性的数据解密方法：

若在进行数据解密的过程中用户方的数据解密客户端程序通过与密码服务器的交互知道用户拥有属性集S＝(A₁，…，A_m)中的属性，但没有(S中的一个或多个或全部)属性所对应的属性私钥的秘密份额时，所述数据解密客户端程序调用前述密钥客户端程序申请获取属性所对应的属性私钥的秘密份额(当然，对于系统属性AS对应的属性私钥的秘密份额是无需获取的)。

基于以上所述的属性私钥及私钥秘密份额生成和管理方法的属性私钥及私钥秘密份额生成和管理系统如下。

所述属性私钥及私钥秘密份额生成和管理系统包括服务端的属性私钥生成器、密钥服务器、属性及属性私钥秘密份额管理器，用户端的密钥客户端程序和密码组件；

所述属性私钥及私钥秘密份额生成和管理系统按所述属性私钥及私钥秘密份额生成和管理方法生成用户属性所对应的私钥以及属性私钥的服务端的秘密份额和用户端的秘密份额，保存和管理用户属性所对应的私钥的服务端的秘密份额。

基于以上所述的基于属性的数据加密方法和基于属性的数据解密方法的基于属性的数据加密系统如下。

所述基于属性的数据加密系统包括服务端的属性私钥生成器、密钥服务器、属性及属性私钥秘密份额管理器、密码服务器，用户端的密钥客户端程序、数据解密客户端程序和密码组件；

所述基于属性的数据加密系统按前述属性私钥及私钥秘密份额生成和管理方法生成用户属性所对应的私钥以及属性私钥的服务端的秘密份额和用户端的秘密份额，保存和管理用户属性以及用户属性所对应的私钥的服务端的秘密份额；

当数据加密方需要利用属性集S＝(A₁，…，A_m)对数据加密时，数据加密方按所述基于属性的数据加密方法对数据加密；

当用户方需要解密采用属性集S＝(A₁，…，A_m)加密的数据时，用户方和密码服务器按所述基于属性的数据解密方法对加密的数据解密。

基于以上所述的基于属性的数据加密系统的基于属性的文件加密系统如下。

所述基于属性的文件加密系统还包括用户端的文件解密客户端程序；所述文件解密客户端程序调用数据解密客户端程序与密码服务器交互，对加密文件进行解密操作处理；用户端的密钥客户端程序、数据解密客户端程序、密码组件和文件解密客户端程序统称为用户方；

文件加密方按如下方式对文件进行加密(文件加密方可以是任一用户或系统，不必是属性及属性私钥秘密份额管理器的用户)：

随机生成一个对称密钥k_e(随机对称密钥k_e)，采用对称密钥密码算法对文件进行加密；

分别使用p个属性集S₁,…,S_p，p≥1，按前述基于属性的数据加密方法分别对随机对称密钥k_e加密，得到随机对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}；(如何选择S₁,…,S_p属性集及属性集中的每个属性于本发明之外的事情)

设定文件的访问控制策略ac(访问控制策略可以是基于属性的访问控制策略，也可以不是，如何选择、设定访问控制策略ac属于本发明之外的事情)；

将p个属性集S₁,…,S_p及对应的随机对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}，以及文件访问控制策略ac合并，对合并得到的数据进行数字签名(采用何种数字签名算法、方法和技术，属于本发明之外的事)，得到文件解密控制数据；

将文件解密控制数据作为附加数据附加到加密后的文件中(如附加到加密文件的头部或尾部)得到加密的文件(加密文件)；

当用户方需要对加密文件进行解密时，用户方和密码服务器按如下方式进行文件解密操作处理：

所述密码服务器从加密文件中取出文件解密控制数据，或者用户方从加密文件中取出文件解密控制数据并提交到密码服务器；

密码服务器验证文件解密控制数据的数字签名的有效性，若验证失败，则解密失败，若验证通过，则继续；

密码服务器利用文件解密控制数据中的文件访问控制策略ac，检查确定用户是否具有访问此加密文件明文的权限，若没有，则解密失败，若有，则继续；(访问控制策略规定的是基于属性的访问控制，则密码服务器根据属性及属性私钥秘密份额管理器的用户数据库中的当前用户的用户信息中的属性信息进行访问控制决策；若访问控制策略规定的不是基于属性的访问控制，则密码服务器根据属性及属性私钥秘密份额管理器的用户数据库中的当前用户的用户信息中的其他用户信息，或者依据其他系统的用户数据库中的当前用户的其他用户信息进行访问控制决策)

密码服务器依据属性及属性私钥秘密份额管理器的用户数据库中的当前用户的属性信息，检查确定当前用户的用户属性是否满足文件解密控制数据中的p个属性集S₁,…,S_p中的任一个，即用户是否有p个属性集S₁,…,S_p中的某一个属性集中的全部属性，若没有，则解密失败，若有，密码服务器利用用户数据库中的、用户满足的属性集中的用户属性所对应的属性私钥的服务端的秘密份额，通过与用户方交互，解密得到对文件进行加密时所采用的随机对称密钥k_e，然后利用解密得到的随机对称密钥k_e解密被加密的文件，得到文件的明文(最终是密码服务器还是用户方最后解密得到对文件进行加密的随机对称密钥k_e和使用k_e解密加密文件得到文件的明文都可以，取决于具体实施)；

所述当前用户是正在进行文件解密操作的用户方用户。

对于以上所述的基于属性的文件加密系统：

若加密使用的属性集中的属性是受时间有效期限定的属性，则密码服务器在进行解密操作前，先检查每个属性集中的每个属性的有效期，若当前时刻超过了文件解密控制数据中的某一个属性集中的某一个属性的时间有效期或未到属性中规定的时间有效期，则此属性集不能用于文件解密；若文件解密控制数据中的所有属性集不能用于文件解密，则文件解密失败；

若文件解密控制数据中的某一个属性集中的属性是受时间有效期限定的属性，则当前用户除了需要有此属性集中规定的有效的属性外，还需要有受时间有效期限定的属性所对应的属性私钥的秘密份额(若有有效的属性，没有对应的属性私钥秘密份额，则需解密方申请对应的属性私钥的秘密份额)；所述有效的属性即在进行文件解密操作时有效的属性。

基于以上所述基于属性的数据加密系统的基于属性的加密文件服务系统如下。

所述加密文件服务系统还包括服务端的存储有加密文件的加密文件存储服务器和用户端的用于访问加密文件存储服务器中的加密文件的文件客户端程序；

所述文件客户端程序访问所述加密文件存储服务器获取被加密的问题；所述文件客户端程序调用数据解密客户端程序与密码服务器交互，完成加密文件的解密操作；

用户端的密钥客户端程序、数据解密客户端程序、密码组件和文件客户端程序统称为用户方；

所述加密文件存储服务器对存储的加密文件实施有访问控制(采用何种访问控制方式属于本发明之外的事)；

在文件被存储到加密文件存储服务器之前，文件加密方按如下方式对文件进行加密(文件加密方可以是文件存储系统、用户或其他实体)：

随机生成一个对称密钥k_e(随机对称密钥k_e)采用对称密钥密码算法对文件进行加密；

分别使用p个属性集S₁,…,S_p，p≥1，按前述基于属性的数据加密方法对对称密钥k_e加密，得到对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p；}

将p个属性集S₁,…,S_p和对应的随机对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}合并，得到文件解密控制数据；

将文件解密控制数据作为附加数据附加到加密后的文件中(如附加到加密文件的头部或尾部)；

当用户方使用文件客户端程序访问加密文件存储服务器，请求获取一个加密文件时，加密文件存储服务器根据(自身)实施的访问控制，检查确定用户是否具有访问此加密文件明文的权限，若没有，则解密失败，若有，则继续后续操作；

加密文件存储服务器将加密文件提交给密码服务器，请求解密加密文件；

所述密码服务器从加密文件中取出文件解密控制数据；

密码服务器从属性及属性私钥秘密份额管理器的用户数据库中的当前用户的属性信息，检查确定用户属性是否满足文件解密控制数据中的p个属性集S₁,…,S_p中的任一个，即用户是否有p个属性集S₁,…,S_p中的某一个属性集中的全部属性，若没有，则解密失败；若有，则密码服务器利用用户数据库中的、用户满足的属性集中的用户属性所对应的私钥的服务端的秘密份额，以加密文件存储服务器为中介，通过与用户方交互，解密得到对文件进行加密时采用的随机对称密钥k_e，然后利用解密得到的随机对称密钥k_e解密被加密的文件，得到文件的明文；

密码服务器将解密后的文件返回给加密文件存储服务器；

加密文件存储服务器将解密得到的文件(明文文件)返回给用户方，或者通过人机交互界面将文件内容展现给用户。

对于以上所述的基于属性的加密文件服务系统：

若文件解密控制数据中的某一个属性集中的属性是受时间有效期限定的属性，且属性的有效期当前有效(当前时刻有效)，则解密文件的用户方的用户除了需要有此属性集中所规定的有效的属性外，还需要有受时间有效期限定的属性所对应的属性私钥的秘密份额(若用户有有效的属性，但没有对应的属性私钥的秘密份额，则需解密方申请对应的属性私钥的秘密份额)；用户有此属性集中所规定的有效的属性，即在进行文件解密操作时用户有对应于此所属性集所规定的属性(过去拥有此属性不行)；

若文件解密控制数据中的属性集中的某一个属性集中的属性是受时间有效期限定的属性，且此属性集中的(一个或多个)属性的有效期未到，则此属性集及对应的属性私钥(的秘密份额)不允许用于解密加密文件；

对于包含有受时间有效期限定的属性的属性集，文件加密方在文件解密控制数据中设定是否允许对属性集中的受时间有效期限定的属性进行更新；

若文件解密控制数据中的某一个属性集中的属性是受时间有效期限定的属性，且属性的有效期超过了有效时间(当前时刻已失效)，而属性集中的受时间有效期限定的属性不允许更新，则此属性集及对应的属性私钥(的秘密份额)不允许用于解密加密文件；

若用于文件加密的属性集中有受时间有效期限定的属性，且加密文件所用的属性集中包含的受时间有效期限定的属性允许更新，则文件加密方在加密文件时，同时使用加密文件服务系统的一个标识(如系统的域名)作为公钥，采用标识密码算法对随机对称密钥k_e加密，得到k_e的密文k_{enc_s}，然后将k_{enc_s}作为文件解密控制数据的一部分加入到文件解密控制数据中(当有多个属性集时，只要一个属性集有此性质，则如此)；

当密码服务器解密被加密的文件时，若检查发现文件解密控制数据中的属性是受时间有效期限定的属性，且属性有效期超过了有效时间，而属性的有效期允许更新，则密码服务器从文件解密控制数据中取出采用加密文件服务系统的标识加密的随机对称密钥k_e的密文k_{enc_s}，使用加密文件服务系统的标识私钥解密k_{enc_s}，得到随机对称密钥k_e的明文，然后使用当前时刻有效的p个属性集S₁,…,S_p(p个属性集S₁,…,S_p中的每个属性集中的每个属性都是当前时刻有效的属性)重新对随机对称密钥k_e加密，去掉加密文件的原文件解密控制数据中的使用过期的属性集加密的随机对称密钥k_e的密文数据，将新加密得到的随机对称密钥k_e的密文数据放入到加密文件的文件解密控制数据中，更新文件解密控制数据中的数据集，即更新文件解密控制数据，然后将更新了文件解密控制数据的加密文件返回给加密文件存储服务器保存，替换以前的加密文件，之后密码服务器，使用更新的文件解密控制数据，以加密文件存储服务器为中介，通过与用户方交互解密加密文件。

从以上描述可以看到，本发明的方案无论是私钥生成，还是数据加密和解密，与现有基于属性的加密方案相比都要简单得多，而且易于实施用户属性撤销，属性私钥更新；本发明的方案虽然不像现有的基于属性的加密(如CP-ABE、KP-ABE)方案那样由密码算法本身来实现复杂的加密解密控制结构，但却能满足现实中的大部分加密解密控制需求，因为大部分的基于属性的数据加密、解密控制需求是针对的用户端、服务端模式(客户端、服务器模式)的应用场景，而且大部分的基于属性的访问控制可用属性集的并(即逻辑“或”)来表示，而且通过与访问控制的有机结合，能很好地满足高安全的数据安全防护需求，而不是仅仅依赖于密码算法本身来解决所有问题(这样做的使用效果未必好)。

附图说明

图1：本发明的数据加密系统示意图

图2：本发明的文件加密系统示意图

图3：本发明的加密文件服务系统示意图

具体实施方式

下面结合实施例对本发明的具体实施方式进行描述。

实施例1、

此实施例涉及属性私钥及私钥秘密份额生成和管理方法的实施。此实施例涉及服务端的属性私钥生成器(Attribute Private Key Generator)、密钥服务器、属性及属性私钥秘密份额管理器，用户端的用户、密钥客户端程序和密码组件。

属性私钥生成器用于生成用户属性所对应的私钥即属性私钥；用户属性是反映用户特征的信息(如性别、职务、职称、角色等)；

密钥服务器是用户申请属性私钥的秘密份额时与用户的密钥客户端程序进行交互的服务端的系统组件；

属性及属性私钥秘密份额管理器对用户的属性以及属性私钥的秘密份额进行管理；属性及属性私钥秘密份额管理器有用户数据库，用于存放用户属性以及属性私钥的秘密份额；属性私钥的秘密份额是与属性私钥相关的秘密数据；

用户是具有用户属性、需要使用属性私钥进行数据解密操作的个人、机构或系统；

密钥客户端程序是用户端的与密钥服务器交互、申请获取用户属性私钥的秘密份额的程序；

密码组件是用户端的进行密码运算、存储用户密钥以及存储属性私钥的秘密份额的软件组件或软硬件结合的组件；

用户、密钥客户端程序和密码组件统称为用户方。

实施例涉及双线性映射(配对运算)e：G₁×G₂→G_T(即双线性映射e(V,T)，其中V是群G₁中的元，T是群G₂中的元，而e(V,T)是群G_T中元)；G₁、G₂为加法群(通常是椭圆曲线点群)，G_T为乘法群；群G₁、G₂、G_T的阶为素数n；群G₁、G₂的生成元分别为P₁、P₂。

在此实施例中，属性私钥生成器有主密钥s和对应的主公钥P_pub＝[s]P₂，其中P₂是群G₂的生成元。

在此实施例采用的将属性A的名字或标识符映射到双线性映射e：G₁×G₂→G_T的椭圆曲线群G₁中的元的方法如下：

将属性A的名字或标识符映射到群G₁中的一个元的纵坐标y_A，然后通过群G₁对应的椭圆曲线方程得到横坐标x_A，则G_A＝(x_A,y_A)；(即Boneh-Franklin的基于配对的IBE算法中的将标识ID映射为双线性映射的椭圆曲线群中的元G_ID的方法)

或者，将属性A的名字或标识符映射到群G₁中的一个元的横坐标x_A，然后通过群G₁对应的椭圆曲线方程得到两个纵坐标，取其中一个纵坐标y_A，则G_A＝(x_A,y_A)(注意，不是每个x_A都有解y_A，对于无解的情形，对x_A再变换，如多次取散列或哈希值，直到有解y_A)。

这里所说的属性的名字是属性的标识名称(如男性、女性)，或者是针对属性的描述文字(如年龄大于18岁，只要能区分不同属性即可)。

当用户方通过密钥服务器申请属性A所对应的私钥的秘密份额时，属性私钥生成器检查本地是否已缓存或保存有属性A所对应的属性私钥d_A，若有，则转入后续处理；若本地没有缓存或保存有属性A所对应的属性私钥d_A，则属性私钥生成器按前述方法将属性A的名字(name)或标识符(identifier)映射到群G₁中的一个元G_A，然后计算得到属性A对应的私钥即属性私钥d_A＝[s]G_A或d_A＝[s^-1]G_A，其中s^-1是s的模n乘法逆(即(s^-1s)mod n＝1)，将属性私钥d_A缓存或保存在本地(缓存在内存中或保存在属性私钥生成器的密码装置中或加密保存在数据库中)；

之后，属性私钥生成器将d_A分解为d_A＝d_As+d_Au，或者将d_A化解为d_A＝[d_Au]d_As或d_A＝[d_As]d_Au；然后将d_As、d_Au返回给密钥服务器；

或者，属性私钥生成器将d_A返回给密钥服务器，密钥服务器将d_A分解为d_A＝d_As+d_Au，或者将d_A化解为d_A＝[d_Au]d_As或d_A＝[d_As]d_Au；

密钥服务器将d_As保存在属性及属性私钥秘密份额管理器用户数据库中的当前用户的用户信息中，将d_Au返回给用户方的密钥客户端程序保存到用户端的密码组件中。

此实施例中的用户属性可以是受时间有效期限定的属性，也可以是未受时间有效期限定的属性；

若是受时间有效期限定的属性，则属性由属性名或属性标识符加上时间有效期所构成：

如，属性名：时间有效期，如user@secret.com:xxxx-yyyy)；

这里的时间有效期由起始时间和结束时间构成，时间有效期的表示方式是从一个约定的零时时刻开始(如约定某年某月某日的零时为零时时刻，如1970年1月1日0时0分0秒)，然后按每隔一个约定的时间周期(如三个月、半年)更新时间有效期；

对于受时间有效器限定的属性，用户方在属性的时间有效期即将到期之前的规定时间内(如到期之前的一周、两周内)或到期后，申请受新的时间有效期限定的属性所对应的私钥的秘密份额，用户方以及属性及属性私钥秘密份额管理器分别保存用户端和服务端的针对新的属性私钥的秘密份额(之前的秘密份额可以继续保存一段时间)。

当用户的一个属性A被取消后，所述属性及属性私钥秘密份额管理器将用户数据库中保存的用户的属性A对应的属性私钥d_A的秘密份额d_As从用户信息中删除。

实施例2、

此实施例与实施例1的差别在于：在此实施例中用户属性A按与实施例1同样的方式被映射到群G₂中的元G_A，以此作为属性A所对应的公钥，并生成对应的属性私钥d_A；属性私钥生成器有主密钥s和对应的主公钥P_pub＝[s]P₁，其中P₁是群G₁的生成元。

实施例3、

此实施例与实施例1的差别在于：将属性A的名字或标识符映射到群G₁中的元的方法是，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P₁。

将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A的方式包括使用约定的散列或哈希函数(如SM9标识密码算法中规定的散列或哈希函数)。

此实施例，若采用d_A＝[s]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q₁＝[s]P₁；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q₁＝[s^-1]P₁。

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q₁，计算d_A＝[h_A]Q₁。

此实施例，若采用d_A＝[s]G_A方式生成属性私钥，则须从P_pub＝[s]P₂无法得到[s]P₁。

实施例4、

此实施例与实施例2的差别在于：将属性A的名字或标识符映射到群G₂中的元的方法是，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P₂。

此实施例，若采用d_A＝[s]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q₂＝[s]P₂；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q₂＝[s^-1]P₂。

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q₂，计算d_A＝[h_A]Q₂。

此实施例，若采用d_A＝[s]G_A方式生成属性私钥，则须从P_pub＝[s]P₁无法得到[s]P₂。

实施例5、

此实施例与实施例3的差别在于：将属性A的名字或标识符映射到群G₁中的元的方法是，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_1t，其中P_1t是属性私钥生成器在群G₁中随机选择的一个不等于P₁的元，并作为公开参数发布。

此实施例，若采用d_A＝[s]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q_1t＝[s]P_1t；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q_1t＝[s^-1]P_1t。

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q_1t，计算d_A＝[h_A]Q_1t。

属性私钥生成器在群G₁中随机选择一个不等于P₁的元P_1t的方式包括：在[2,n-1]随机选择一个整数t，计算P_1t＝[t]P₁。

实施例6、

此实施例与实施例4的差别在于：将属性A的名字或标识符映射到群G₂中的元的方法是，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_2t，其中P_2t是属性私钥生成器在群G₁中随机选择的一个不等于P₂的元，并作为公开参数发布。

此实施例，若采用d_A＝[s]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q_2t＝[s]P_2t；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q_2t＝[s^-1]P_2t。

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q_2t，计算d_A＝[h_A]Q_2t。

属性私钥生成器在群G_i中随机选择一个不等于P₂的元P_2t的方式包括：在[2,n-1]随机选择一个整数t，计算P_2t＝[t]P₂。

实施例7、

此实施例与实施例5的差别在于：将属性A的名字或标识符映射到群G₁中的元的方法是，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P₁+P_1t。

此实施例，若采用d_A＝[s]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q₁＝[s]P₁和Q_1t＝[s]P_1t；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q₁＝[s^-1]P₁和Q_1t＝[s^-1]P_1t。

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q₁和Q_1t，计算d_A＝[h_A]Q₁+Q_1t。

此实施例，若一旦出现G_A或d_A为零元的情况(概率极小)，属性私钥生成器重新在群G₁中随机选择一个不等于P₁的群元P_1t并公开发布。

实施例8、

此实施例与实施例6的差别在于：将属性A的名字或标识符映射到群G₂中的元的方法是，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P₂+P_2t。

此实施例，若采用d_A＝[s]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q₂＝[s]P₂和Q_2t＝[s]P_2t；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q₂＝[s^-1]P₂和Q_2t＝[s^-1]P_2t，

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q₂和Q_2t，计算d_A＝[h_A]Q₂+Q_2t。

此实施例，若一旦出现G_A为零元的情况(概率极小)，属性私钥生成器重新在群G₂中随机选择一个不等于P₂的群元P_2t并公开发布。

实施例9、

此实施例与实施例7的差别在于：将属性A的名字或标识符映射到群G₁中的元的方法是，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_1h+P_1t，其中P_1h是属性私钥生成器在群G₁中随机选择的一个不等于P₁的元，并作为公开参数发布；

此实施例，属性私钥生成器在群G₁中随机选择一个不等于P₁的元P_1h的方式包括：在[2,n-1]随机选择一个整数h，计算P_1h＝[h]P₁。

此实施例，若采用d_A＝[s]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q_1h＝[s]P_1h和Q_1t＝[s]P_1t；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q_1h＝[s^-1]P_1h和Q_1t＝[s^-1]P_1t。

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q_1h和Q_1t，计算d_A＝[h_A]Q_1h+Q_1t。

此实施例，若一旦出现G_A或d_A为零元的情况(概率极小)，所述属性及属性私钥秘密份额管理器改变属性A的名字或标识符，或者所述属性私钥生成器重新在群G₁中随机选择一个不等于P₁的群元P_1h或P_1t并公开发布。

实施例10、

此实施例与实施例8的差别在于：将属性A的名字或标识符映射到群G₂中的元的方法是，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_2h+P_2t，其中P_2h是属性私钥生成器在群G₂中随机选择的一个不等于P₂的元，并作为公开参数发布；

此实施例，属性私钥生成器在群G₂中随机选择一个不等于P₂的元P_2h的方式包括：在[2,n-1]随机选择一个整数h，计算P_2h＝[h]P₂。

此实施例，若采用d_A＝[s]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q_2h＝[s]P_2h和Q_2t＝[s]P_2t；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则属性私钥生成器预先计算并缓存或保存有Q_2h＝[s^-1]P_2h和Q_2t＝[s^-1]P_2t。

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q_2h和Q_2t，计算d_A＝[h_A]Q_2h+Q_2t。

此实施例，若一旦出现G_A或d_A为零元的情况(概率极小)，所述属性及属性私钥秘密份额管理器改变属性A的名字或标识符，或者所述属性私钥生成器重新在群G₂中随机选择一个不等于P₂的群元P_2h或P_2t并公开发布。

在以上实施例1-10中，属性私钥生成器或密钥服务器将d_A分解为d_A＝d_As+d_Au的方法包括：

在群G₁或G₂(取决于将d_A在哪个群)中随机选取一个不等于d_A的非零元P作为d_As，计算d_Au＝d_A-d_As，或者在群G₁或G₂中随机选取一个不等于d_A的非零元P作为d_Au，计算d_As＝d_A-d_Au；

或者，在[2,n-1]内随机选取一个整数t_s，计算t_u＝(1-t_s)mod n(求模n余数运算)，或在[2,n-1]内随机选取一个整数t_u，计算t_s＝(1-t_u)mod n；计算d_As＝[t_s]d_A，d_Au＝[t_u]d_A；

在以上分解d_A＝d_As+d_Au的过程中，属性私钥生成器或密钥服务器在群G₁或G₂中随机选取一个不等于d_A的非零元P的方法包括：

在[2,n-1]内随机选取一个整数t_A，计算P＝[t_A]d_A；

或者，在[1,n-1]内随机选取一个整数t_A，计算P＝[t_A]P_i，其中P_i为群G_i的生成元，i＝1或2(取决于d_A在哪个群)；若P不等于d_A，则P即为所取；若P等于d_A，则重新选取t_A，重新计算P＝[t_A]P_i，直到P不等于d_A。

在以上实施例1-10中，属性私钥生成器或密钥服务器将d_A化解为d_A＝[d_Au]d_As或d_A＝[d_As]d_Au的方法包括：

在[1,n-1]内随机选择一个整数t_Z，计算d_t＝[(t_Z)^-1]d_A，其中(t_Z)^-1为t_Z的模n乘法逆(即(t_Z(t_Z)^-1)mod n＝1)，然后以t_Z作为d_Au，以d_t作为d_As，或者以t_Z作为d_As，以d_t作为d_Au。

实施例11、

此实施例在实施例1、3、5、7、9中任一个的基础上，实施本发明的基于属性的数据加密方法和数据解密方法，其中基于属性的数据加密方法实施如下。

当数据加密方需要利用属性集S＝(A₁，…，A_m)对数据加密时，其中m≥1，数据加密方按与属性私钥生成器同样的、约定的方式，将属性A₁，…，A_m分别映射到群G₁，得到属性A₁，…，A_m的属性公钥G_A1，…，G_Am(因为映射规则是约定的、公开的，故而任何一方都能进行此映射)；

数据加密方以G_A1+…+G_Am为(属性集S的)公钥采用基于双线性映射的加密算法对数据加密；

若采用d_A＝[s]G_A的方式生成属性A对应的私钥d_A，则以G_A1+…+G_Am为(属性集S的)公钥采用基于双线性映射的加密算法对数据加密的操作包括计算w＝e(G_A1+…+G_Am，P_pub)^r，T＝[r]P₂，其中r是密码运算过程中在[1,n-1]内随机选取的整数或者从在[1,n-1]内的随机选取的整数导出的的整数，而T＝[r]P₂(群G₂中的元)是附加在加密的数据中用于解密的密码数据；

若采用d_A＝[s^-1]G_A的方式生成属性A对应的私钥d_A，则以G_A1+…+G_Am为(属性集S的)公钥采用基于双线性映射的加密算法对数据加密的操作包括计算w＝e(G_A1+…+G_Am，P₂)^r，T＝[r]P_pub，其中r是密码运算过程中在[1,n-1]内随机选取的整数或者从在[1,n-1]内的随机选取的整数导出的的整数，而T＝[r]P_pub(群G₂中的元)是附加在加密的数据中用于解密的密码数据。

利用属性集S＝(A₁，…，A_m)对数据加密，限定了只有属性集S中所有属性的拥有者(拥有所有属性的用户)才能解密被加密的数据；

数据加密方是属性及属性私钥秘密份额管理器中的用户或用户之外的其他实体。

此实施例，若m≥2，则属性集S中允许包含一个系统属性AS(用系统名、系统标识表示)；系统属性AS与其他属性一样被映射到群G₁中一个元G_AS，以G_AS为属性公钥，同时对应一个属性私钥d_AS＝[s]G_AS；系统属性私钥d_AS的服务端的秘密份额d_ASs就是d_AS(系统属性私钥d_AS本身)，而系统属性私钥d_AS的用户端的秘密份额d_ASu如下：

若属性私钥生成器采用d_A＝d_As+d_Au的方式分解一个属性私钥d_A，则系统属性私钥d_AS的用户端的秘密份额d_ASu固定地是群G₁中零元；

若属性私钥生成器采用d_A＝[d_Au]d_As的方式化解一个属性私钥d_A，则系统属性私钥d_AS的用户端的秘密份额d_ASu固定地是整数1；

若允许属性集S中包含系统属性AS，则采用d_A＝[d_As]d_Au的方式化解一个属性私钥d_A的方式不被采用。

若允许属性集S中包含系统属性AS，则用户方无需申请系统属性AS的私钥的用户端秘密份额，服务端自动生成、保存系统属性AS的私钥d_AS；

属性及属性私钥秘密份额管理器的每个用户缺省地拥有系统属性AS，并拥有属性私钥d_AS的的秘密份额(已知常数)。

此实施例实施的基于属性的数据解密方法还涉及服务端的密码服务器，以及用户端的与密码服务器交互、进行数据解密操作处理的数据解密客户端程序；所述数据解密客户端程序调用用户端的密码组件进行数据解密运算；用户端的密钥客户端程序、密码组件和数据解密客户端程序在此实施例中统称为用户方。

基于属性的数据解密方法的实施如下。

当用户方需要解密采用属性集S＝(A₁，…，A_m)加密的数据时，即需要对以G_A1+…+G_Am为公钥采用基于双线性映射的加密算法加密后的数据解密时，也即需要以d_A1+…+d_Am为(属性集S的)私钥对加密的数据解密时，也即在解密过程中需要计算w＝e(d_A1+…+d_Am，T)时，其中d_A1，…，d_Am分别是属性A₁，…，A_m对应的属性私钥，T＝[r]P₂或T＝[r]P_pub(前者对应d_A＝[s]G_A，后者对应d_A＝[s^-1]G_A)是数据加密时计算的、并附在被加密数据中的密码数据，所述服务端的密码服务器检查所述属性及属性私钥秘密份额管理器的用户数据库的当前用户的用户信息中是否有解密数据所需的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，若没有，则解密失败，若有，则所述服务端的密码服务器利用用户数据库中的当前用户的用户信息中的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，而所述用户方利用用户端保存的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，二者在不暴露各自秘密的情况下，通过交互完成针对加密数据的解密运算(最后解密得到数据明文的操作由密码服务器完成，或者由用户方完成)；

所述当前用户是正在进行数据解密操作的用户方的用户。

更具体地，若采用d_A＝[s]G_A的方式生成属性私钥，则本实施例的数据加密和解密可采用如下实施方式。

采用Boneh-Franklin的基于配对的IBE算法中的基于双线性映射(配对)的加密方法以及相应的数据解密方法：

对于属性集S(A₁,…,A_m)，数据加密方以公钥G_A1+…+G_Am作为Boneh-Franklin算法中的从标识ID映射得到的群G₁中的元G_ID，通过计算w＝e(G_A1+…+G_Am，P_pub)^r和T＝[r]P₂按Boneh-Franklin算法进行数据加密，其中r是从[1,n-1]中随机选择的一个整数导出的[1,n-1]中的一个整数；这里，G_A1，…，G_Am分别是属性A₁，…，A_m对应的公钥；

数据解密方以d_A1+…+d_Am作为Boneh-Franklin算法中的标识私钥d_ID，通过计算w＝e(d_A1+…+d_Am，T)按Boneh-Franklin算法完成解密运算。

或者，采用如下数据加密和解密方法：

对于属性集S(A₁,…,A_m)，数据加密方以G_A1+…+G_Am为公钥，计算w＝e(G_A1+…+G_Am，P_pub)^r和T＝[r]P₂进行数据加密，其中r是在[1,n-1]内随机选择的整数，然后采用散列或哈希算法(如采用SM9标识密码算法中规定的密钥派生函数)得到w的散列值或哈希值k，然后以k为密钥对待加密的数据加密(直接对数据异或运算加密，或者采用约定的对称密钥密码算法对数据加密)；

数据解密时，密码服务器和用户方，以d_A1+…+d_Am为私钥，通过交互协同完成w＝(d_A1+…+d_Am，T)的计算，然后采用同样的散列或哈希算法得到w的散列值或哈希值k，然后以k为密钥对加密的数据解密(直接对加密的数据异或运算，或者采用约定的对称密钥密码算法对加密的数据解密)。

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则可采用与以上两种具体的实施方式类似的方式，所采用的计算式、计算过程是类似的，差别仅仅在于w、T的计算式为，w＝e(G_A1+…+G_Am，P₂)^r和T＝[r]P_pub，其他计算过程一样。

在此实施例，若d_A1+…+d_Am＝(d_A1s+…+d_Ams)+(d_A1u+…+d_Amu)，则所述密码服务器和用户方按如下方式协同计算w＝e(d_A1+…+d_Am，T)：

密码服务器计算w_s＝e(d_A1s+…+d_Ams，T)；

用户方计算w_u＝e(d_A1u+…+d_Amu，T)；

之后密码服务器或用户方计算w＝w_sw_u；

若d_A1+…+d_Am＝[d_A1u]d_A1s+…+[d_Amu]d_Ams，则所述密码服务器和用户方按如下方式协同计算w＝e(d_A1+…+d_Am，T)：

密码服务器计算w_s1＝e(d_A1s，T)，…，w_sm＝e(d_Ams，T)，然后将w_s1，…，w_sm将发送给用户方；

用户方计算w_u1＝w_s1^d_A1u，…，w_um＝w_sm^d_Amu，其中^表示幂运算，^前的元是基数，^后的数是指数；

之后密码服务器或用户方计算w_u1，…，w_um的乘，w＝w_u1…w_um；

若d_A1+…+d_Am＝[d_A1s]d_A1u+…+[d_Ams]d_Amu，则所述密码服务器和用户方按如下方式协同计算w＝e(d_A1+…+d_Am，T)：

用户方计算w_u1＝e(d_A1u，T)，…，w_um＝e(d_Amu，T)，然后将w_u1，…，w_um将发送给密码服务器；

密码服务器计算w_s1＝w_u1^d_A1s，…，w_sm＝w_um^d_Ams；

之后密码服务器或用户方计算w_s1，…，w_sm的乘，w＝w_s1…w_sm。

此实施例，若在进行数据解密的过程中用户方的数据解密客户端程序通过与密码服务器的交互知道用户拥有属性集S＝(A₁，…，A_m)中的属性，但没有(S中的一个或多个或全部)属性所对应的属性私钥的秘密份额时，所述数据解密客户端程序调用前述密钥客户端程序申请获取属性所对应的属性私钥的秘密份额(当然，对于系统属性AS对应的属性私钥的秘密份额是无需获取的)。

实施例12、

此实施例在实施例2、4、6、8、10中任一个的基础上，实施基于属性的数据加密方法和数据解密方法，具体如下。

当数据加密方需要利用属性集S＝(A₁，…，A_m)对数据加密时，其中m≥1，数据加密方按与属性私钥生成器同样的、约定的方式，将属性A₁，…，A_m分别映射到群G₂，得到属性A₁，…，A_m的属性公钥G_A1，…，G_Am(因为映射规则是约定的、公开的，故而任何一方都能进行此映射)；

数据加密方以G_A1+…+G_Am为(属性集S的)公钥采用基于双线性映射的加密算法对数据加密；

若采用d_A＝[s]G_A的方式生成属性A对应的私钥d_A，则以G_A1+…+G_Am为(属性集S的)公钥采用基于双线性映射的加密算法对数据加密的操作包括计算w＝e(P_pub，G_A1+…+G_Am)^r，T＝[r]P₁，其中r是密码运算过程中在[1,n-1]内随机选取的整数或者由在[1,n-1]内的随机选取的整数导出的的整数，而T＝[r]P₁(群G₁中的元)是附加在加密的数据中用于解密的密码数据；

若采用d_A＝[s^-1]G_A的方式生成属性A对应的私钥d_A，则以G_A1+…+G_Am为(属性集S的)公钥采用基于双线性映射的加密算法对数据加密的操作包括计算w＝e(P₁，G_A1+…+G_Am)^r，T＝[r]P_pub，其中r是密码运算过程中在[1,n-1]内随机选取的整数或者从在[1,n-1]内的随机选取的整数导出的的整数，而T＝[r]P_pub(群G₁中的元)是附加在加密的数据中用于解密的密码数据。

利用属性集S＝(A₁，…，A_m)对数据加密，限定了只有属性集S中所有属性的拥有者(拥有所有属性的用户)才能解密被加密的数据；

数据加密方是属性及属性私钥秘密份额管理器中的用户或用户之外的其他实体。

此实施例，若m≥2，则所述属性集S中允许包含一个系统属性AS(用系统名或系统标识表示)，所述系统属性AS与其他属性一样被映射到群G₂中一个元G_AS，以G_AS为属性公钥，同样对应一个系统属性私钥d_AS＝[s]G_AS；系统属性私钥d_AS的服务端的秘密份额d_ASs就是d_AS(即系统属性私钥d_AS本身)，而系统属性私钥d_AS的用户端的秘密份额如下：

若属性私钥生成器采用d_A＝d_As+d_Au的方式分解一个属性私钥d_A，则系统属性私钥d_AS的用户端的秘密份额d_ASu是群G₂中零元(固定如此)；

若属性私钥生成器采用d_A＝[d_Au]d_As的方式化解一个属性私钥d_A，则系统属性私钥d_AS的用户端的秘密份额d_ASu是整数1固定地；

若允许属性集S中包含系统属性AS，则采用d_A＝[d_As]d_Au的方式化解一个属性私钥d_A的方式不被采用。

若允许属性集S中包含系统属性AS，则用户方无需申请系统属性AS的私钥的用户端的秘密份额，服务端自动生成、保存系统属性AS的私钥d_AS，并将d_AS作为服务端的秘密份额；

属性及属性私钥秘密份额管理器的每个用户缺省地拥有系统属性AS，并拥有属性私钥d_AS的的秘密份额(已知常数)。

此实施例实施的基于属性的数据解密方法还涉及服务端的密码服务器，以及用户端的与密码服务器交互、进行数据解密操作处理的数据解密客户端程序；数据解密客户端程序调用用户端的密码组件进行数据解密运算；用户端的密钥客户端程序、密码组件和数据解密客户端程序在此实施例中统称为用户方。

基于属性的数据解密方法的实施如下。

当用户方需要解密采用属性集S＝(A₁，…，A_m)加密的数据时，即需要对以G_A1+…+G_Am为公钥采用基于双线性映射的加密算法加密后的数据解密时，也即需要以d_A1+…+d_Am为(属性集S的)私钥对加密的数据解密时，也即在解密过程中需要计算w＝e(T，d_A1+…+d_Am)时，其中d_A1，…，d_Am分别是属性A₁，…，A_m对应的属性私钥，T＝[r]P₁或T＝[r]P_pub(前者对应d_A＝[s]G_A，后者对应d_A＝[s^-1]G_A)是数据加密时计算的、并附在被加密数据中的密码数据，所述服务端的密码服务器检查所述属性及属性私钥秘密份额管理器的用户数据库的当前用户的用户信息中是否有解密数据所需的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，若没有，则解密失败，若有，则所述服务端的密码服务器利用用户数据库中的当前用户的用户信息中的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，而所述用户方利用用户端保存的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，二者在不暴露各自秘密的情况下，通过交互完成针对加密数据的解密运算(最后解密得到数据明文的操作由密码服务器完成，或者由用户方完成)。

类似地，若采用d_A＝[s]G_A的方式生成属性私钥，则本实施例的数据加密和解密可按如下方式具体实施。

采用Boneh-Franklin的基于配对的IBE算法中的基于双线性映射(配对)的加密方法以及相应的数据解密方法，只是属性公钥和属性私钥所在的群是G₂，具体地，对于属性集S(A₁,…,A_m)，数据加密方以公钥G_A1+…+G_Am作为Boneh-Franklin算法中的从标识ID映射得到群G₂中的元G_ID，通过计算w＝e(P_pub，G_A1+…+G_Am)^r和T＝[r]P₁按Boneh-Franklin算法进行数据加密，其中r是从[1,n-1]中随机选择的一个整数导出的[1,n-1]中的一个整数；这里，G_A1，…，G_Am分别是属性A₁，…，A_m对应的公钥。

数据解密方以d_A1+…+d_Am作为Boneh-Franklin算法中的标识私钥d_ID，通过计算w＝e(T，d_A1+…+d_Am)按Boneh-Franklin算法完成解密运算。

与Boneh-Franklin算法原算法的差别仅仅在于，这时的群G₁、G₂及其所涉及的元的位置互换了。

或者，类似地，数据加密和解密可采用如下方法：

对于属性集S(A₁,…,A_m)，数据加密方以G_A1+…+G_Am为公钥，计算w＝e(P_pub，G_A1+…+G_Am)^r和T＝[r]P₁进行数据加密，其中r是在[1,n-1]内随机选择的整数，然后采用散列或哈希算法(如采用SM9标识密码算中的密钥派生函数)得到w的散列值或哈希值k，然后以k为密钥对待加密的数据加密(直接对数据异或运算加密，或者采用约定的对称密钥密码算法对数据加密)；

数据解密时，密码服务器和用户方通过交互协同完成w＝(T，d_A1+…+d_Am)的计算，然后采用同样的散列或哈希算法得到w的散列值或哈希值k，然后以k为密钥对加密的数据解密(直接对加密的数据异或运算，或者采用约定的对称密钥密码算法对加密的数据解密)。

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则可采用与以上两种具体的实施方式类似的方式实施，所采用的计算式、计算过程是类似的，差别仅仅在于w、T的计算式为，w＝e(P₁，G_A1+…+G_Am)^r和T＝[r]P_pub，其他计算过程一样。

在此实施例中，若d_A1+…+d_Am＝(d_A1s+…+d_Ams)+(d_A1u+…+d_Amu)，则所述密码服务器和用户方按如下方式协同计算w＝e_i(d_A1+…+d_Am，T)：

密码服务器计算w_s＝e(T，d_A1s+…+d_Ams)；

用户方计算w_u＝e(T，d_A1u+…+d_Amu)；

之后密码服务器或用户方计算w＝w_sw_u；

若d_A1+…+d_Am＝[d_A1u]d_A1s+…+[d_Amu]d_Ams，则所述密码服务器和用户方按如下方式协同计算w＝e(T，d_A1+…+d_Am)：

密码服务器计算w_s1＝e(T，d_A1s)，…，w_sm＝e(T，d_Ams)，然后将w_s1，…，w_sm将发送给用户方；

用户方计算w_u1＝w_s1^d_A1u，…，w_um＝w_sm^d_Amu，其中^表示幂运算，^前的元是基数，^后的数是指数；

之后密码服务器或用户方计算w_u1，…，w_um的乘，w＝w_u1…w_um；

若d_A1+…+d_Am＝[d_A1s]d_A1u+…+[d_Ams]d_Amu，则所述密码服务器和用户方按如下方式协同计算w＝e(T，d_A1+…+d_Am)：

用户方计算w_u1＝e(T，d_A1u)，…，w_um＝e(T，d_Amu)，然后将w_u1，…，w_um将发送给密码服务器；

密码服务器计算w_s1＝w_u1^d_A1s，…，w_sm＝w_um^d_Ams；

之后密码服务器或用户方计算w_s1，…，w_sm的乘，w＝w_s1…w_sm。

此实施例，若在进行数据解密的过程中用户方的数据解密客户端程序通过与密码服务器的交互知道用户拥有属性集S＝(A₁，…，A_m)中的属性，但没有(S中的一个或多个或全部)属性所对应的属性私钥的秘密份额时，所述数据解密客户端程序调用前述密钥客户端程序申请获取属性所对应的属性私钥的秘密份额(当然，对于系统属性AS对应的属性私钥的秘密份额是无需获取的)。

实施例13、

此实施例在以上实施例1-10中任何一个的基础上实施属性私钥及私钥秘密份额生成和管理系统，系统包括服务端的属性私钥生成器、密钥服务器、属性及属性私钥秘密份额管理器，用户端的密钥客户端程序和密码组件；

属性私钥及私钥秘密份额生成和管理系统按实施例1-10中任何一个的方式生成用户属性所对应的私钥以及属性私钥的服务端的秘密份额和用户端的秘密份额，保存和管理用户属性所对应的私钥的服务端的秘密份额。

实施例14、

此实施例，在以上实施例11或12的基础上实施基于属性的数据加密系统，系统包括服务端的属性私钥生成器、密钥服务器、属性及属性私钥秘密份额管理器、密码服务器，用户端的密钥客户端程序、数据解密客户端程序和密码组件；

基于属性的数据加密系统通过实施例11或12，而实施例11或12通过实施实施例1-10中的一个相应实施例，生成用户属性所对应的私钥以及属性私钥的服务端的秘密份额和用户端的秘密份额，保存和管理用户属性以及用户属性所对应的私钥的服务端的秘密份额。

当数据加密方需要利用属性集S＝(A₁，…，A_m)对数据加密时，数据加密方按实施例11或12中的基于属性的数据加密方法对数据加密；

当用户方需要解密采用属性集S＝(A₁，…，A_m)加密的数据时，用户方和密码服务器实施例11或12中的基于属性的数据解密方法对加密的数据解密。

实施例15、

此实施例在实施例14的基于属性的数据加密系统的基础上，实施基于属性的文件加密系统，具体如下。

此实施例的基于属性的文件加密系统还包括用户端的文件解密客户端程序；

文件解密客户端程序调用数据解密客户端程序与密码服务器交互，对加密文件进行解密操作处理；

用户端的密钥客户端程序、数据解密客户端程序、密码组件和文件解密客户端程序统称为用户方；

文件加密方按如下方式对文件进行加密(文件加密方可以是任一个用户或系统)：

随机生成一个对称密钥k_e(随机对称密钥k_e)采用对称密钥密码算法对文件进行加密；

分别使用p个属性集S₁,…,S_p，p≥1，按所述基于属性的数据加密方法分别对随机对称密钥k_e加密，得到对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}；(如何选择S₁,…,S_p属于本发明之外的事情)

设定文件的访问控制策略ac(访问控制策略可以是基于属性的访问控制策略，也可以不是，如何选择访问控制策略ac属于本发明之外的事情)；

将p个属性集S₁,…,S_p及对应的随机对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}，以及文件访问控制策略ac合并，对合并得到的数据进行数字签名(采用何种数字签名算法和技术，属于本发明之外的事)，得到文件解密控制数据；

将文件解密控制数据作为附加数据附加到加密后的文件中(如附加到加密文件的头部或尾部)得到加密的文件；

当用户方需要对加密文件进行解密时，用户方和密码服务器按如下方式进行文件解密操作处理：

密码服务器从加密文件中取出文件解密控制数据，或者用户方从加密文件中取出文件解密控制数据并提交到密码服务器；

密码服务器验证文件解密控制数据的数字签名的有效性，若验证失败，则解密失败，若验证通过，则继续；

密码服务器利用文件解密控制数据中的文件访问控制策略ac，检查确定用户是否具有访问此加密文件明文的权限，若没有，则解密失败，若有，则继续；(访问控制策略规定的是基于属性的访问控制，则密码服务器根据属性及属性私钥秘密份额管理器的用户数据库中的当前用户的用户信息中的属性信息进行访问控制决策；若不是基于属性的访问控制，则密码服务器根据属性及属性私钥秘密份额管理器的用户数据库中的当前用户的用户信息中的其他用户信息，或者依据其他系统的用户数据库中的当前用户的其他用户信息进行访问控制决策)

密码服务器依据属性及属性私钥秘密份额管理器的用户数据库中的当前用户的属性信息，检查确定用户属性是否满足文件解密控制数据中的p个属性集S₁,…,S_p中的任一个，即用户是否有p个属性集S₁,…,S_p中的某一个属性集中的全部属性，若没有，则解密失败，若有，密码服务器利用用户数据库中的、用户满足的属性集中的用户属性所对应的私钥的服务端的秘密份额，通过与用户方交互，解密得到对文件进行加密时所采用的随机对称密钥k_e，然后利用解密得到的随机对称密钥k_e解密被加密的文件，得到文件的明文(最终是密码服务器还是用户方最后解密得到对文件进行加密的随机对称密钥k_e和使用k_e解密加密文件得到文件的明文都可以，取决于具体实施)。

若加密使用的属性集中的属性是受时间有效期限定的属性，则密码服务器在进行解密操作前，先检查每个属性集中的每个属性的有效期，若当前时刻超过了文件解密控制数据中的某一个属性集中的某一个属性的时间有效期或未到属性中规定的时间有效期，则此属性集不能用于文件解密；若文件解密控制数据中的所有属性集不能用于文件解密，则文件解密失败。

此实施例中，若文件解密控制数据中的某一个属性集中的属性是受时间有效期限定的属性，则当前用户除了需要有此属性集中规定的有效的属性外，还需要有受时间有效期限定的属性所对应的属性私钥的秘密份额(若有有效的属性，没有对应的属性私钥秘密份额，则需解密方申请对应的属性私钥的秘密份额)；所述有效的属性即在进行文件解密操作时有效的属性。

此文件加密系统用于不集中存放加密文件的场景。

实施例16、

此实施例在实施例14的基于属性的数据加密系统的基础上实施基于属性的加密文件服务系统，系统还包括服务端的存储有加密文件的加密文件存储服务器和用户端的用于访问加密文件存储服务器中的加密文件的文件客户端程序；

所述文件客户端程序访问所述加密文件存储服务器获取被加密的问题；所述文件客户端程序调用数据解密客户端程序与密码服务器交互，完成加密文件的解密操作；

用户端的密钥客户端程序、数据解密客户端程序、密码组件和文件客户端程序统称为用户方；

加密文件存储服务器对存储的加密文件实施有访问控制(采用何种访问控制方式属于本发明之外的事)；

在文件被存储到加密文件存储服务器之前，文件加密方按如下方式对文件进行加密(文件加密方可以是文件存储系统、用户或其他实体)：

随机生成一个对称密钥k_e(随机对称密钥k_e)采用对称密钥密码算法对文件进行加密；

分别使用p个属性集S₁,…,S_p，p≥1，按前述基于属性的数据加密方法对对称密钥k_e加密，得到对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p；}

将p个属性集S₁,…,S_p和对应的随机对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}合并，得到文件解密控制数据；

将文件解密控制数据作为附加数据附加到加密后的文件中(如附加到加密文件的头部或尾部)；

当用户方使用文件客户端程序访问加密文件存储服务器，请求获取一个加密文件时，加密文件存储服务器根据(自身)实施的访问控制，检查确定用户是否具有访问此加密文件明文的权限，若没有，则解密失败，若有，则继续后续操作；

加密文件存储服务器将加密文件提交给密码服务器，请求解密加密文件；

密码服务器从加密文件中取出文件解密控制数据；

密码服务器从属性及属性私钥秘密份额管理器的用户数据库中的当前用户的属性信息，检查确定用户属性是否满足文件解密控制数据中的p个属性集S₁,…,S_p中的任一个，即用户是否有p个属性集S₁,…,S_p中的某一个属性集中的全部属性，若没有，则解密失败；若有，则密码服务器利用用户数据库中的、用户满足的属性集中的用户属性所对应的私钥的服务端的秘密份额，以加密文件存储服务器为中介，通过与用户方交互，解密得到对文件进行加密时采用的随机对称密钥k_e，然后利用解密得到的随机对称密钥k_e解密被加密的文件，得到文件的明文；

密码服务器将解密后的文件返回给加密文件存储服务器；

加密文件存储服务器将解密得到的文件(明文文件)返回给用户方，或者通过人机交互界面将文件内容展现给用户。

若文件解密控制数据中的某一个属性集中的属性是受时间有效期限定的属性，且属性的有效期当前有效(当前时刻有效)，则解密文件的用户方的用户除了需要有此属性集中所规定的有效的属性外，还需要有受时间有效期限定的属性所对应的属性私钥的秘密份额(若用户有有效的属性，但没有对应的属性私钥的秘密份额，则需解密方申请对应的属性私钥的秘密份额)；用户有此属性集中所规定的有效的属性，即在进行文件解密操作时用户有对应于此所属性集所规定的属性(过去拥有此属性不行)；

若文件解密控制数据中的属性集中的某一个属性集中的属性是受时间有效期限定的属性，且此属性集中的(一个或多个)属性的有效期未到，则此属性集及对应的属性私钥(的秘密份额)不允许用于解密加密文件；

对于包含有受时间有效期限定的属性的属性集，文件加密方在文件解密控制数据中设定是否允许对属性集中的受时间有效期限定的属性进行更新；

若文件解密控制数据中的某一个属性集中的属性是受时间有效期限定的属性，且属性的有效期超过了有效时间(当前时刻已失效)，而属性集中的受时间有效期限定的属性不允许更新，则此属性集及对应的属性私钥(的秘密份额)不允许用于解密加密文件；

若用于文件加密的属性集中有受时间有效期限定的属性，且加密文件所用的属性集中包含的受时间有效期限定的属性允许更新，则文件加密方在加密文件时，同时使用加密文件服务系统的一个标识(如系统的域名)作为公钥，采用标识密码算法对随机对称密钥k_e加密，得到k_e的密文k_{enc_s}，然后将k_{enc_s}作为文件解密控制数据的一部分加入到文件解密控制数据中(当有多个属性集时，只要一个属性集有此性质，则如此)；

当密码服务器解密被加密的文件时，若检查发现文件解密控制数据中的属性是受时间有效期限定的属性，且属性有效期超过了有效时间，而属性的有效期允许更新，则密码服务器从文件解密控制数据中取出采用加密文件服务系统的标识加密的随机对称密钥k_e的密文k_{enc_s}，使用加密文件服务系统的标识私钥解密k_{enc_s}，得到随机对称密钥k_e的明文，然后使用当前时刻有效的p个属性集S₁,…,S_p(p个属性集S₁,…,S_p中的每个属性集中的每个属性都是当前时刻有效的属性)重新对随机对称密钥k_e加密，去掉加密文件的原文件解密控制数据中的使用过期的属性集加密的随机对称密钥k_e的密文数据，将新加密得到的随机对称密钥k_e的密文数据放入到加密文件的文件解密控制数据中，更新文件解密控制数据中的数据集，即更新文件解密控制数据，然后将更新了文件解密控制数据的加密文件返回给加密文件存储服务器保存，替换以前的加密文件，之后密码服务器，使用更新的文件解密控制数据，以加密文件存储服务器为中介，通过与用户方交互解密加密文件。

此加密文件服务系统用于集中存放加密文件的场景。

为了保证存放在用户数据库中的服务端的属性私钥秘密份额的安全，可以对属性私钥秘密份额加密保存。

其他未说明的具体技术实施，对于相关领域的技术人员而言是众所周知，不言自明的。

Claims (18)

1.一种属性私钥及私钥秘密份额生成和管理方法，其特征是：

所述属性私钥及私钥秘密份额生成和管理方法涉及服务端的属性私钥生成器、密钥服务器、属性及属性私钥秘密份额管理器，用户端的用户、密钥客户端程序和密码组件；

所述属性私钥生成器用于生成用户属性所对应的私钥即属性私钥；所述用户属性是反映用户特征的信息；

所述密钥服务器是用户申请属性私钥的秘密份额时与用户端的密钥客户端程序进行交互的服务端的系统组件；所述属性私钥是用户属性所对应的私钥；所述属性私钥的秘密份额指服务端和用户端分别保存的与属性私钥有关并能恢复属性私钥的秘密；

所述属性及属性私钥秘密份额管理器对用户的属性以及属性私钥的秘密份额进行管理；所述属性及属性私钥秘密份额管理器有用户数据库，用于存放用户属性以及属性私钥的秘密份额；

所述用户是具有用户属性、需要使用属性私钥进行数据解密操作处理的个人、机构或系统；

所述密钥客户端程序是用户申请属性私钥的秘密份额时所使用的与密钥服务器进行交互的用户端程序；

所述密码组件是用户端进行密码运算、存储用户密钥以及存储属性私钥的秘密份额的软件组件或软硬件结合的组件；

所述用户、密钥客户端程序和密码组件统称为用户方；

所述属性私钥及私钥秘密份额生成和管理方法涉及双线性映射e：G₁×G₂→G_T；G₁、G₂为加法群，G_T为乘法群；群G₁、G₂、G_T的阶为素数n；群G₁、G₂的生成元分别为P₁、P₂；

针对以上所述双线性映射还定义有：

e₁(V,T)＝e(V,T)，其中V是群G₁中的元，T是群G₂中的元；

e₂(V,T)＝e(T,V)，其中V是群G₂中的元，T是群G₁中的元；

所述属性私钥生成器有一个[1,n-1]内的主密钥s；

当用户方需要申请属性A所对应的私钥d_A的秘密份额时，用户方将获取属性A的私钥的秘密份额的申请提交到密钥服务器；

密钥服务器通过属性及属性私钥秘密份额管理器的用户数据库验证确认申请属性私钥秘密份额的用户就是其声称的用户且拥有对应的属性A，验证通过后将用户方提交的获取属性A的私钥的秘密份额的申请提交到属性私钥生成器；

属性私钥生成器检查本地是否已缓存或保存有属性A所对应的属性私钥d_A，若有，则转入针对属性A的属性私钥d_A的秘密份额的生成处理；若本地没有缓存或保存有属性A所对应的属性私钥d_A，则属性私钥生成器按约定的规则将属性A的名字或标识符映射到群G_i中的一个元G_A，i＝1或2，然后计算得到属性A对应的私钥即属性私钥d_A＝[s]G_A或d_A＝[s^-1]G_A，其中s^-1是s的模n乘法逆，将属性私钥d_A缓存或保存在本地；G_A称为属性A对应的公钥即属性公钥；

所述属性的名字是属性的标识名称，或者是针对属性的描述文字；

属性私钥生成器将d_A分解为d_A＝d_As+d_Au，或者将d_A化解为d_A＝[d_Au]d_As或d_A＝[d_As]d_Au；属性私钥生成器将d_As、d_Au返回给密钥服务器；

或者，属性私钥生成器将d_A返回给密钥服务器，密钥服务器将d_A分解为d_A＝d_As+d_Au，或者将d_A化解为d_A＝[d_Au]d_As或d_A＝[d_As]d_Au；

密钥服务器将d_As保存在属性及属性私钥秘密份额管理器用户数据库中的当前用户的用户信息中，将d_Au返回给用户方；所述当前用户是指当前正在申请属性A的属性私钥d_A的秘密份额的用户方的用户；

用户方将d_Au保存到用户端的密码组件中；

以上所述d_As为服务端的针对属性私钥d_A的秘密份额，d_Au为用户端的针对属性私钥d_A的秘密份额；

若用户有多个属性需要申请属性私钥的秘密份额，则用户方分多次申请获得用户每个属性所对应的属性私钥的用户端的秘密份额，或者一次获得用户所有属性的属性私钥的用户端的秘密份额；于此同时，密钥服务器将用户多个属性的属性私钥的服务端的秘密份额保存在属性及属性私钥秘密份额管理器的用户数据库中的用户信息中；所述多个属性指多于一个的属性；

所述属性私钥生成器有一个主公钥P_pub＝[s]P_j，j＝3-i；[]表示对群G₁和G₂中的元的多倍点加运算。

2.根据权利要求1所述的属性私钥及私钥秘密份额生成和管理方法，其特征是：

所述用户属性包括受时间有效期限定的属性和未受时间有效期限定的属性；

所述受时间有效期限定的属性由属性名或属性标识符加上时间有效期所构成；所述时间有效期由起始时间和结束时间构成；

所述时间有效期的表示方式是从一个约定的零时时刻开始，然后按每隔一个约定的时间周期更新时间有效期；

对于受时间有效期限定的属性，用户方在属性的时间有效期即将到期之前的规定时间内或到期后，申请受新的时间有效期限定的属性所对应的私钥的秘密份额，用户方以及属性及属性私钥秘密份额管理器分别保存用户端和服务端的针对新的属性私钥的秘密份额。

3.根据权利要求1所述的属性私钥及私钥秘密份额生成和管理方法，其特征是：

所述属性私钥生成器或密钥服务器将d_A分解为d_A＝d_As+d_Au的方法包括：

在群G_i中随机选取一个不等于d_A的非零元P作为d_As，计算d_Au＝d_A-d_As，或者在群G_i中随机选取一个不等于d_A的非零元P作为d_Au，计算d_As＝d_A-d_Au；

或者，在[2,n-1]内随机选取一个整数t_s，计算t_u＝(1-t_s)mod n，或在[2,n-1]内随机选取一个整数t_u，计算t_s＝(1-t_u)mod n；计算d_As＝[t_s]d_A，d_Au＝[t_u]d_A；

所述属性私钥生成器或密钥服务器在群G_i中随机选取一个不等于d_A的非零元P的方法包括：

在[2,n-1]内随机选取一个整数t_A，计算P＝[t_A]d_A；

或者，在[1,n-1]内随机选取一个整数t_A，计算P＝[t_A]P_i，其中P_i为群G_i的生成元；若P不等于d_A，则P即为所取；若P等于d_A，则重新选取t_A，重新计算P＝[t_A]P_i，直到P不等于d_A。

4.根据权利要求1所述的属性私钥及私钥秘密份额生成和管理方法，其特征是：

所述属性私钥生成器或密钥服务器将d_A化解为d_A＝[d_Au]d_As或d_A＝[d_As]d_Au的方法包括：

在[1,n-1]内随机选择一个整数t_Z，计算d_t＝[(t_Z)^-1]d_A，其中(t_Z)^-1为t_Z的模n乘法逆，然后以t_Z作为d_Au，以d_t作为d_As，或者以t_Z作为d_As，以d_t作为d_Au。

5.根据权利要求1所述的属性私钥及私钥秘密份额生成和管理方法，其特征是：

将属性A的名字或标识符映射为群G_i中的元G_A的方式包括：

将属性A的名字或标识符映射到群G_i中的一个元的纵坐标y_A，然后通过群G_i对应的椭圆曲线方程得到横坐标x_A，则G_A＝(x_A,y_A)；

或者，将属性A的名字或标识符映射到群G_i中的一个元的横坐标x_A，然后通过群G_i对应的椭圆曲线方程得到两个纵坐标，取其中一个纵坐标y_A，则G_A＝(x_A,y_A)；

或者，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i，其中P_i为群G_i的生成元；

或者，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_it，其中P_it是属性私钥生成器在群G_i中随机选择的一个不等于P_i的元，并作为公开参数发布；

或者，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i+P_it；

或者，将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_ih+P_it，其中P_ih是属性私钥生成器在群G_i中随机选择的一个不等于P_i的元，并作为公开参数发布；

将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A的方式包括使用约定的散列或哈希函数；

属性私钥生成器在群G_i中随机选择一个不等于P_i的元P_it的方式包括：在[2,n-1]随机选择一个整数t，计算P_it＝[t]P_i；

属性私钥生成器在群G_i中随机选择一个不等于P_i的元P_ih的方式包括：在[2,n-1]随机选择一个整数h，计算P_ih＝[h]P_i；

若采用将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i的方式将属性A映射到群G_i中的一个元，并采用d_A＝[s]G_A方式生成属性私钥，则必须有从P_pub无法得到[s]P_i，否则，不能采用d_A＝[s]G_A方式生成属性私钥；

若采用将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i+P_it的方式将属性A映射到群G_i中的一个元G_A，则一旦出现G_A为零元的情况，所述属性私钥生成器重新在群G_i中随机选择一个不等于P_i的群元P_it并公开发布；

若采用将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_ih+P_it的方式将属性A映射到群G_i中的一个元G_A，则一旦出现G_A为零元的情况，所述属性及属性私钥秘密份额管理器改变属性A的名字或标识符，或者所述属性私钥生成器重新在群G_i中随机选择一个不等于P_i的群元P_ih或P_it并公开发布。

6.根据权利要求5所述的属性私钥及私钥秘密份额生成和管理方法，其特征是：

若将属性A映射到群G_i中的一个元的方式是先将属性A的名字或标识符映射到[1,n-1]中的一个整数h_A，然后计算G_A＝[h_A]P_i或G_A＝[h_A]P_it或G_A＝[h_A]P_i+P_it或G_A＝[h_A]P_ih+P_it的方式，则：

若采用d_A＝[s]G_A的方式生成属性私钥，则所述属性私钥生成器预先计算并缓存或保存有Q_i＝[s]P_i，或Q_it＝[s]P_it，或Q_i＝[s]P_i和Q_it＝[s]P_it，或Q_ih＝[s]P_ih和Q_it＝[s]P_it；

若采用d_A＝[s^-1]G_A的方式生成属性私钥，则所述属性私钥生成器预先计算并缓存或保存有Q_i＝[s^-1]P_i，或Q_it＝[s^-1]P_it，或Q_i＝[s^-1]P_i和Q_it＝[s^-1]P_it，或Q_ih＝[s^-1]P_ih和Q_it＝[s^-1]P_it；

当需要计算属性A对应的私钥d_A时，属性私钥生成器直接使用缓存或保存的Q_i，或Q_it，或Q_i和Q_it，或Q_ih和Q_it，计算d_A＝[h_A]Q_i，或d_A＝[h_A]Q_it，或d_A＝[h_A]Q_i+Q_it，或d_A＝[h_A]Q_ih+Q_it；

若采用d_A＝[h_A]Q_i+Q_it方式计算属性A对应的私钥d_A，则一旦出现d_A为零元的情况，所述属性私钥生成器重新在群G_i随机选择一个群元P_it并公开发布，重新计算Q_it；

若采用d_A＝[h_A]Q_ih+Q_it方式计算属性A对应的私钥d_A，则一旦出现d_A为零元的情况，所述属性及属性私钥秘密份额管理器改变属性A的名字或标识符，或者所述属性私钥生成器重新在群G_i中随机选择一个不等于P_i的群元P_ih或P_it并公开发布。

7.根据权利要求1所述的属性私钥及私钥秘密份额生成和管理方法，其特征是：

当用户的一个属性A被取消后，所述属性及属性私钥秘密份额管理器将用户数据库中保存的用户的属性A对应的属性私钥d_A的秘密份额d_As从用户信息中删除。

8.一种基于权利要求1-7中任一项所述的属性私钥及私钥秘密份额生成和管理方法的基于属性的数据加密方法，其特征是：

当数据加密方需要利用属性集S＝(A₁，…，A_m)对数据加密时，其中m≥1，数据加密方按与属性私钥生成器同样的约定的方式，将属性A₁，…，A_m分别映射到群G_i，得到属性A₁，…，A_m的属性公钥G_A1，…，G_Am；

数据加密方以G_A1+…+G_Am为公钥采用基于双线性映射的加密算法对数据加密；

若采用d_A＝[s]G_A的方式生成属性A对应的私钥d_A，则所述以G_A1+…+G_Am为公钥采用基于双线性映射的加密算法对数据加密所进行的操作包括计算w＝e_i(G_A1+…+G_Am，P_pub)^r，T＝[r]P_j，其中r是密码运算过程中在[1,n-1]内随机选取的整数或者从在[1,n-1]内的随机选取的整数导出的的整数，而T＝[r]P_j是附加在加密的数据中用于解密的密码数据；

若采用d_A＝[s^-1]G_A的方式生成属性A对应的私钥d_A，则所述以G_A1+…+G_Am为公钥采用基于双线性映射的加密算法对数据加密所进行的操作包括计算w＝e_i(G_A1+…+G_Am，P_j)^r，T＝[r]P_pub，其中r是密码运算过程中在[1,n-1]内随机选取的整数或者从在[1,n-1]内的随机选取的整数导出的的整数，而T＝[r]P_pub是附加在加密的数据中用于解密的密码数据；

所述利用属性集S＝(A₁，…，A_m)对数据加密，限定了只有属性集S中所有属性的拥有者才能解密被加密的数据；

所述数据加密方是所述属性及属性私钥秘密份额管理器中的用户或用户之外的其他实体。

9.根据权利要求8所述的基于属性的数据加密方法，其特征是：

若m≥2，则所述属性集S中允许包含一个系统属性AS，所述系统属性AS与其他属性一样被映射到群G_i中一个元G_AS，以G_AS为属性公钥，同样对应一个系统属性私钥d_AS＝[s]G_AS；系统属性私钥d_AS的服务端的秘密份额d_ASs就是d_AS，而系统属性私钥d_AS的用户端的秘密份额d_ASu如下：

若属性私钥生成器采用d_A＝d_As+d_Au的方式分解一个属性私钥d_A，则系统属性私钥d_AS的用户端的秘密份额d_ASu是群G_i中零元；

若属性私钥生成器采用d_A＝[d_Au]d_As的方式化解一个属性私钥d_A，则系统属性私钥d_AS的用户端的秘密份额d_ASu固定地是整数1；

若允许属性集S中包含系统属性AS，则采用d_A＝[d_As]d_Au的方式化解一个属性私钥d_A的方式不被采用；

若允许属性集S中包含系统属性AS，则用户方无需申请系统属性AS的私钥的用户端的秘密份额，服务端自动生成、保存系统属性AS的私钥d_AS，并将d_AS作为服务端的秘密份额；

属性及属性私钥秘密份额管理器的每个用户缺省地拥有系统属性AS，并拥有属性私钥d_AS的的秘密份额。

10.一种针对权利要求9所述的基于属性的数据加密方法的基于属性的数据解密方法，其特征是：

所述基于属性的数据解密方法还涉及服务端的密码服务器和用户端的与密码服务器交互、进行数据解密操作处理的数据解密客户端程序；所述数据解密客户端程序调用用户端的密码组件进行数据解密运算；用户端的密钥客户端程序、密码组件和数据解密客户端程序统称为用户方；

当用户方需要解密采用属性集S＝(A₁，…，A_m)加密的数据时，即需要对以G_A1+…+G_Am为公钥采用基于双线性映射的加密算法加密后的数据解密时，也即需要以d_A1+…+d_Am为私钥对加密的数据解密时，也即在解密过程中需要计算w＝e_i(d_A1+…+d_Am，T)时，其中d_A1，…，d_Am分别是属性A₁，…，A_m对应的属性私钥，T＝[r]P_j或T＝[r]P_pub是数据加密时计算的、并附在被加密数据中的密码数据，所述服务端的密码服务器检查所述属性及属性私钥秘密份额管理器的用户数据库的当前用户的用户信息中是否有解密数据所需的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，若没有，则解密失败，若有，则所述服务端的密码服务器利用用户数据库中的当前用户的用户信息中的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，而所述用户方利用用户端保存的属性私钥d_A1，…，d_Am的秘密份额d_A1s，…，d_Ams，二者在不暴露各自秘密的情况下，通过交互完成针对加密数据的解密运算；

所述当前用户是正在进行数据解密操作的用户方的用户。

11.根据权利要求10所述的基于属性的数据解密方法，其特征是：

若d_A1+…+d_Am＝(d_A1s+…+d_Ams)+(d_A1u+…+d_Amu)，则所述密码服务器和用户方按如下方式协同计算w＝e_i(d_A1+…+d_Am，T)：

密码服务器计算w_s＝e_i(d_A1s+…+d_Ams，T)；

用户方计算w_u＝e_i(d_A1u+…+d_Amu，T)；

之后密码服务器或用户方计算w＝w_sw_u；

若d_A1+…+d_Am＝[d_A1u]d_A1s+…+[d_Amu]d_Ams，则所述密码服务器和用户方按如下方式协同计算w＝e_i(d_A1+…+d_Am，T)：

密码服务器计算w_s1＝e_i(d_A1s，T)，…，w_sm＝e_i(d_Ams，T)，然后将w_s1，…，w_sm将发送给用户方；

用户方计算w_u1＝w_s1^d_A1u，…，w_um＝w_sm^d_Amu，其中^表示幂运算，^前的元是基数，^后的数是指数；

之后密码服务器或用户方计算w_u1，…，w_um的乘积w＝w_u1…w_um；

若d_A1+…+d_Am＝[d_A1s]d_A1u+…+[d_Ams]d_Amu，则所述密码服务器和用户方按如下方式协同计算w＝e_i(d_A1+…+d_Am，T)：

用户方计算w_u1＝e_i(d_A1u，T)，…，w_um＝e_i(d_Amu，T)，然后将w_u1，…，w_um将发送给密码服务器；

密码服务器计算w_s1＝w_u1^d_A1s，…，w_sm＝w_um^d_Ams；

之后密码服务器或用户方计算w_s1，…，w_sm的乘，w＝w_s1…w_sm。

12.根据权利要求11所述的基于属性的数据解密方法，其特征是：

若在进行数据解密的过程中用户方的数据解密客户端程序通过与密码服务器的交互知道用户拥有属性集S＝(A₁，…，A_m)中的属性，但没有属性所对应的属性私钥的秘密份额时，所述数据解密客户端程序调用前述密钥客户端程序申请获取属性所对应的属性私钥的秘密份额。

13.一种基于权利要求1-7中任一项所述的属性私钥及私钥秘密份额生成和管理方法的属性私钥及私钥秘密份额生成和管理系统，其特征是：

所述属性私钥及私钥秘密份额生成和管理系统包括服务端的属性私钥生成器、密钥服务器、属性及属性私钥秘密份额管理器，用户端的密钥客户端程序和密码组件；

所述属性私钥及私钥秘密份额生成和管理系统按所述属性私钥及私钥秘密份额生成和管理方法生成用户属性所对应的私钥以及属性私钥的服务端的秘密份额和用户端的秘密份额，保存和管理用户属性所对应的私钥的服务端的秘密份额。

14.一种基于权利要求12所述的基于属性的数据解密方法的基于属性的数据加密系统，其特征是：

所述基于属性的数据加密系统包括服务端的属性私钥生成器、密钥服务器、属性及属性私钥秘密份额管理器、密码服务器，用户端的密钥客户端程序、数据解密客户端程序和密码组件；

所述基于属性的数据加密系统按前述属性私钥及私钥秘密份额生成和管理方法生成用户属性所对应的私钥以及属性私钥的服务端的秘密份额和用户端的秘密份额，保存和管理用户属性以及用户属性所对应的私钥的服务端的秘密份额；

当数据加密方需要利用属性集S＝(A₁，…，A_m)对数据加密时，数据加密方按前述基于属性的数据加密方法对数据加密；

当用户方需要解密采用属性集S＝(A₁，…，A_m)加密的数据时，用户方和密码服务器按所述基于属性的数据解密方法对加密的数据解密。

15.一种基于权利要求14所述的基于属性的数据加密系统的基于属性的文件加密系统，其特征是：

所述基于属性的文件加密系统还包括用户端的文件解密客户端程序；所述文件解密客户端程序调用数据解密客户端程序与密码服务器交互，对加密文件进行解密操作处理；用户端的密钥客户端程序、数据解密客户端程序、密码组件和文件解密客户端程序统称为用户方；

文件加密方按如下方式对文件进行加密：

随机生成一个对称密钥k_e，称为随机对称密钥k_e，然后使用随机对称密钥k_e采用对称密钥密码算法对文件进行加密；

分别使用p个属性集S₁,…,S_p，p≥1，按前述基于属性的数据加密方法分别对随机对称密钥k_e加密，得到随机对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}；

设定文件的访问控制策略ac；

将p个属性集S₁,…,S_p及对应的随机对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}，以及文件访问控制策略ac合并，对合并得到的数据进行数字签名，得到文件解密控制数据；

将文件解密控制数据作为附加数据附加到加密后的文件中得到加密的文件；

当用户方需要对加密文件进行解密时，用户方和密码服务器按如下方式进行文件解密操作处理：

所述密码服务器从加密文件中取出文件解密控制数据，或者用户方从加密文件中取出文件解密控制数据并提交到密码服务器；

密码服务器验证文件解密控制数据的数字签名的有效性，若验证失败，则解密失败，若验证通过，则继续；

密码服务器利用文件解密控制数据中的文件访问控制策略ac，检查确定用户是否具有访问此加密文件明文的权限，若没有，则解密失败，若有，则继续；

密码服务器依据属性及属性私钥秘密份额管理器的用户数据库中的当前用户的属性信息，检查确定当前用户的用户属性是否满足文件解密控制数据中的p个属性集S₁,…,S_p中的任一个，即用户是否有p个属性集S₁,…,S_p中的某一个属性集中的全部属性，若没有，则解密失败，若有，密码服务器利用用户数据库中的、用户满足的属性集中的用户属性所对应的属性私钥的服务端的秘密份额，通过与用户方交互，解密得到对文件进行加密时所采用的随机对称密钥k_e，然后利用解密得到的随机对称密钥k_e解密被加密的文件，得到文件的明文；

所述当前用户是正在进行文件解密操作的用户方用户。

16.根据权利要求15所述的基于属性的文件加密系统，其特征是：

若加密使用的属性集中的属性是受时间有效期限定的属性，则密码服务器在进行解密操作前，先检查每个属性集中的每个属性的有效期，若当前时刻超过了文件解密控制数据中的某一个属性集中的某一个属性的时间有效期或未到属性中规定的时间有效期，则此属性集不能用于文件解密；若文件解密控制数据中的所有属性集不能用于文件解密，则文件解密失败；

若文件解密控制数据中的某一个属性集中的属性是受时间有效期限定的属性，则当前用户除了需要有此属性集中规定的有效的属性外，还需要有受时间有效期限定的属性所对应的属性私钥的秘密份额；所述有效的属性即在进行文件解密操作时有效的属性。

17.一种基于权利要求14所述基于属性的数据加密系统的基于属性的加密文件服务系统，其特征是：

所述加密文件服务系统还包括服务端的存储有加密文件的加密文件存储服务器和用户端的用于访问加密文件存储服务器中的加密文件的文件客户端程序；

所述文件客户端程序访问所述加密文件存储服务器获取被加密的问题；所述文件客户端程序调用数据解密客户端程序与密码服务器交互，完成加密文件的解密操作；

用户端的密钥客户端程序、数据解密客户端程序、密码组件和文件客户端程序统称为用户方；

所述加密文件存储服务器对存储的加密文件实施有访问控制；

在文件被存储到加密文件存储服务器之前，文件加密方按如下方式对文件进行加密：

随机生成一个对称密钥k_e，称为随机对称密钥k_e，然后使用随机对称密钥k_e采用对称密钥密码算法对文件进行加密；

分别使用p个属性集S₁,…,S_p，p≥1，按前述基于属性的数据加密方法对随机对称密钥k_e加密，得到随机对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}；

将p个属性集S₁,…,S_p和对应的随机对称密钥k_e的p份密文数据k_{enc_1},…,k_{enc_p}合并，得到文件解密控制数据；

将文件解密控制数据作为附加数据附加到加密后的文件中；

当用户方使用文件客户端程序访问加密文件存储服务器，请求获取一个加密文件时，加密文件存储服务器根据实施的访问控制，检查确定用户是否具有访问此加密文件明文的权限，若没有，则解密失败，若有，则继续后续操作；

加密文件存储服务器将加密文件提交给密码服务器，请求解密加密文件；

所述密码服务器从加密文件中取出文件解密控制数据；

密码服务器从属性及属性私钥秘密份额管理器的用户数据库中的当前用户的属性信息，检查确定用户属性是否满足文件解密控制数据中的p个属性集S₁,…,S_p中的任一个，即用户是否有p个属性集S₁,…,S_p中的某一个属性集中的全部属性，若没有，则解密失败；若有，则密码服务器利用用户数据库中的、用户满足的属性集中的用户属性所对应的私钥的服务端的秘密份额，以加密文件存储服务器为中介，通过与用户方交互，解密得到对文件进行加密时采用的随机对称密钥k_e，然后利用解密得到的随机对称密钥k_e解密被加密的文件，得到文件的明文；

密码服务器将解密后的文件返回给加密文件存储服务器；

加密文件存储服务器将解密得到的文件返回给用户方，或者通过人机交互界面将文件内容展现给用户。

18.根据权利要求17所述的基于属性的加密文件服务系统，其特征是：

若文件解密控制数据中的某一个属性集中的属性是受时间有效期限定的属性，且属性的有效期当前有效，则解密文件的用户方的用户除了需要有此属性集中所规定的有效的属性外，还需要有受时间有效期限定的属性所对应的属性私钥的秘密份额；用户有此属性集中所规定的有效的属性，即在进行文件解密操作时用户有对应于此所属性集所规定的属性；

若文件解密控制数据中的属性集中的某一个属性集中的属性是受时间有效期限定的属性，且此属性集中的属性的有效期未到，则此属性集及对应的属性私钥不允许用于解密加密文件；

对于包含有受时间有效期限定的属性的属性集，文件加密方在文件解密控制数据中设定是否允许对属性集中的受时间有效期限定的属性进行更新；

若文件解密控制数据中的某一个属性集中的属性是受时间有效期限定的属性，且属性的有效期超过了有效时间，而属性集中的受时间有效期限定的属性不允许更新，则此属性集及对应的属性私钥不允许用于解密加密文件；

若用于文件加密的属性集中有受时间有效期限定的属性，且加密文件所用的属性集中包含的受时间有效期限定的属性允许更新，则文件加密方在加密文件时，同时使用加密文件服务系统的一个标识作为公钥，采用标识密码算法对随机对称密钥k_e加密，得到k_e的密文k_{enc_s}，然后将k_{enc_s}作为文件解密控制数据的一部分加入到文件解密控制数据中；

当密码服务器解密被加密的文件时，若检查发现文件解密控制数据中的属性是受时间有效期限定的属性，且属性有效期超过了有效时间，而属性的有效期允许更新，则密码服务器从文件解密控制数据中取出采用加密文件服务系统的标识加密的随机对称密钥k_e的密文k_{enc_s}，使用加密文件服务系统的标识私钥解密k_{enc_s}，得到随机对称密钥k_e的明文，然后使用当前时刻有效的p个属性集S₁,…,S_p重新对随机对称密钥k_e加密，去掉加密文件的原文件解密控制数据中的使用过期的属性集加密的随机对称密钥k_e的密文数据，将新加密得到的随机对称密钥k_e的密文数据放入到加密文件的文件解密控制数据中，更新文件解密控制数据中的数据集，即更新文件解密控制数据，然后将更新了文件解密控制数据的加密文件返回给加密文件存储服务器保存，替换以前的加密文件，之后密码服务器，使用更新的文件解密控制数据，以加密文件存储服务器为中介，通过与用户方交互解密加密文件。

Images