针对内部攻击的含有等值测试的基于组ID的高效加密

摘要

含等值测试的基于ID的加密（IBEET）允许测试人员比较不同公钥加密的密文，以检查它们是否包含相同的消息。本文首先将组机制引入到IBEET中，提出了一种新的原语，即具有相等检验的基于组ID的加密（G-IBEET）。采用组机制：（1）组管理员可以授权测试员对组内用户的密文进行比较，但不能将组内用户的密文与组外用户的密文进行比较。这种组粒度授权可以使IBEET适应组场景；（2）对于组粒度授权，只需发放给测试人员一个活板门，命名为组活板门，可以大大降低传统IBEET方案中活板门的计算、传输和存储成本；（3）G-IBEET能够抵御授权测试人员发起的内部攻击，这是IBEET中的一个开放性问题。我们给出了G-IBEET的定义，并提出了一个具体的构造和一个有效的测试算法。然后在随机预言模型下对其进行了安全性分析。

引言

在云计算时代，如何对加密数据进行搜索已经得到了广泛的研究。Public key encryption with equal test (PKEET)，由yang等人[1]引入，是一种多用户环境下的可搜索加密，允许测试者比较在不同公钥下加密的密文，检查它们是否包含相同的消息。为了简化PKEET的证书管理，Ma[2]提出了基于身份的等价测试加密（ID-based encryption with equal test，IBEET），将基于身份的密码系统集成到PKEET中。由于具有相等测试功能，IBEET有许多有趣的应用程序，例如，个人健康记录系统和加密电子邮件分区。本文首先将组机制引入到IBEET中，提出了一种新的原语，即具有相等检验的基于组id的加密（G-IBEET）。通过分组机制：

组管理员可以授权测试员对组内用户的密文进行比较，但不能将组内用户的密文与非组内用户的密文进行比较。这种组粒度授权可以使IBEET适应组场景；
对于组粒度授权，只需发放给测试人员一个陷门，即组陷门，可以大大降低传统IBEET方案中活板门的计算、传输和存储成本；
G-IBEET能够抵御授权测试人员发起的内部攻击，这是IBEET的开放性问题。

我们给出了G-IBEET的定义，并提出了一个具体的构造和一个有效的测试算法。然后在随机预言模型下对其进行了安全性分析。

动机和策略

为了便于描述，我们首先介绍G-IBEET密码系统。如图1所示，有一个由系统用户信任的私钥生成器(PKG)，它为系统用户生成私钥，还有一个由组用户信任的组管理员（GA），它为组用户生成组担保，并向测试人员发出组活动门。组织机制要求（1）遗传算法允许用户（例如用户我）加入集团通过发行他保证描述一组,这是机密信息对应于他的身份ID_i，和（2）遗传算法允许通过发行测试人员一组陷门gtd,它可以使比较暗文集团用户但不能比较与任何用户的密文的暗文不在，和（3）每组用户需要他的团队作为输入时加密消息的一部分。

支持组粒度授权。我们认为这三种类型的授权不能使PKEET/IBEET适应组场景。对于用户粒度授权，使用我们图2中的示例，让U_i、U_j和U_k是支持用户粒度授权的PKEET/IBEET密码系统中的用户，以及在一个组中定义的Ui和Uj组用户。有一天，组用户U_i, U_j希望测试人员可以对他们的密文进行比较，但是他们的密文不能与任何不在组内的用户的密文进行比较（例如U_k的密文）。不幸的是，他们的目的无法实现。更详细地说，要授权测试人员这样做，他们应该分别向测试人员颁发他们的陷门td_i和td_j。然而，当得到td_i、td_j时，测试人员可以做比预期更多的事情。假设测试人员已经获得了英国的授权。使用td_i、td_j和td_k，测试者不仅可以用tdi和tdj比较U_i和U_j的密文，还可以用td_i（或td_j）和td_k比较U_i（或U_j）和U_k的密文。因此，用户粒度授权并不合适。密文粒度授权也存在同样的问题。虽然针对用户的密文粒度授权可以授权测试人员对U_i的特定密文和U_j的特定密文进行比较，但是当需要多次比较密文时，需要发出大量的陷门。为了适应IBEET的分组场景，我们通过分组机制在IBEET中引入了分组粒度授权，允许测试人员对组用户的密文进行比较，但不允许测试人员将组用户的密文与非组用户的密文进行比较。如图3所示，在组粒度授权下，测试者无法将Ui/Uj的密文与Uk的密文进行比较。

降低陷门的计算、传输和存储成本。假设有n个用户想授权测试人员对他们的密文进行比较。显然，使用用户粒度授权时，陷门的计算、传输和存储成本都低于使用密文粒度授权或针对用户的密文粒度授权。因此，我们只对用户粒度授权和组粒度授权之间的成本进行比较。对于用户粒度，这些用户应分别向测试人员发出n个陷门。也就是说，有n个陷门需要计算、传输和存储。对于组粒度授权，如果这些用户定义在一个组中，组管理员应该只颁发一个陷门（即组陷门）给测试人员。也就是说，只有一个组陷门需要计算、传输和存储。显然，在传统的IBEET方案中，群陷门的使用可以大大降低陷门的计算、传输和存储成本。

抵制IA。根据相关研究[13,17,21-23]，抵抗IA的对策可以分为两种，即（1）使用双服务器设置和（2）使用认证加密。我们选择后者来对抗IA。我们的组机制要求每个组保持其组授权，并在加密消息时将其组授权作为输入的一部分。在不知道组用户权限的情况下，被授权的测试人员将无法成功发起攻击。

比较

在表1中，我们将G-IBEET方案与相关的IBEET方案[2,19-21]在组粒度授权、组活动门、抗IA、Test算法的安全性和计算代价等方面进行了比较。注意，我们只分析单服务器设置下的IBEET方案。

由表1可知，只有G-IBEET支持组粒度授权和组trapdoor。对于抵抗IA, G-IBEET方案和wu等人的[21]方案可以抵抗。在安全性方面，G-IBEET方案和Li等人的[20]方案对1型对手可以实现OW-ID-CCA安全，对2型对手可以实现IND-ID-CCA安全，其安全性比2型对手更强[2,19,21]。注意，Wu等人的方案[21]没有授权机制。

计算成本的测试算法，测试算法的计算成本为用户粒度授权在Ma的计划[2]是4p，这为用户粒度授权在吴et al的计划[19]是2p+2Exp，为用户粒度授权在李et al的[20]年代方案4p（注意，我们忽略其他类型的授权），吴et al[21]的方案2p和，集团在G-IBEET粒度授权方案2p。再次注意，wu等人的方案[21]没有授权机制。显然，Wu等人的方案[21]和G-IBEET方案具有更高效的测试算法。但是wu等人的方案[21]由于缺乏授权机制，其安全性低于G-IBEET方案。

综上所述，G-IBEET方案具有组粒度授权、组活板门和抗IA三种特性。与[2,19,20]相比具有更高效的Test算法，与[2,19,21]相比具有更强的安全性。

我们强调G-IBEET方案使用了类型3配对(即非对称配对)，但据我们所知，现有的IBEET方案[2,13,19 - 21]都使用了类型1配对(即对称配对)。根据[25]，使用非对称对的优点包括更紧凑的组元素表示，更广泛的椭圆曲线实现[26]的选择，甚至可能还有额外的安全属性[27]。此外，与type 1配对相比，type 3配对对于高安全性参数[27]提供了良好的性能和灵活性。因此，在IBEET方案中最好使用type 3配对。