基于属性加密

基于身份IBE

• 特点： 和CA相比，没有配置证书链的繁琐
• 缺点： 私钥生成中心KGC掌握所有私钥

Boneh-Franklin IBE

1. $Setup$

   • 选择双线性映射的两个群和映射、随机数、哈希函数:
   • $pp:(\mathbb{G},{\mathbb{G}}_T,e,H)$
   • 主私钥: $msk=a$

2. $KeyGen(ID,msk)\to s{k}_{ID}$

   • $s{k}_{ID}=H(ID{)}^a$ 为了简化表达，视作 $s{k}_{ID}=g^{ab}$，这里假设 $H(ID)=g^b$

3. $Encrypt(m,ID,pp)\to C$

   • 选择随机数 $c\in {\mathbb{Z}}_p$
   • 计算 $C=(C_1,C_2)=(g^c,m\cdot e(H(ID),g{)}^c)$

4. $Decrypt(C,s{k}_{ID})\to m$

   • 计算 $m=C_2/e(s{k}_{ID},C_1)$
   • $\because e(s{k}_{ID},C_1)=e(g^{ab},g^c)=e(g,g{)}^{abc}=e(H(ID),g{)}^c$

5. 方案流程

IBE-多对私钥 (BF-IBE2)

1. $Setup$

   • 选择双线性映射的两个群和映射、随机数、哈希函数:
   • $pp:(\mathbb{G},{\mathbb{G}}_T,e,H)$
   • 主私钥: $msk=a$

2. $KeyGen(ID,msk)\to s{k}_{ID}$

   • 选择随机数 $r\in {\mathbb{Z}}_p$
   • $s{k}_{ID}=(d_1,d_2)=(g^a\cdot H(ID{)}^r,g^r)=e(g^{a+br},g^r)$

3. $Encrypt(m,ID,pp)\to C$

   • 选择随机数 $c\in {\mathbb{Z}}_p$
   • 计算 $C=(C_0,C_1,C_2)=(e(g,g{)}^{ac}\cdot m,g^c,H(ID{)}^c)$

4. $Decrypt(C,s{k}_{ID})\to m$

   • $m=C_0/\frac{e(d_1,c_1)}{e{d}_2,c_2}$
   • $\because e(d_1,c_1)=e(g^{a+br},g^c)=e(g,g{)}^{ac+bcr}$
   • $\because e(d_2,c_2)=e(g^r,H(ID{)}^c)=e(g,g{)}^{bcr}$
   • $\therefore \frac{e(d_1,c_1)}{e{d}_2,c_2}=e(g,g{)}^{ac}$
   • $\therefore m=C_0/e(g,g{)}^{ac}$

5. 这个方案不满足不可区分性

   • 假设有 $I{D}_1,I{D}_2$，以及对应密文 $C_1,C_2$
   • 由于密文 $C_{?}$ 中存在 $c_2=g^{b_{?}c}$, $c_1=g^c$ 已知
   • 同时可根据 $H(ID{)}_{?}=g^{b_{?}}$ 导出 $g^{b_{?}}$
   • 故而可以构造：$e(g,g^{b_{?}c})==e(g^{b_{?}},g^c)$ 来判断密文是发送给哪个 $ID$ 的

FIBE(Fuzzy IBE)

Fuzzy IBE 是基于属性的加密的一种特殊形式，用户的私钥和密文都与一组属性相关联。只有当用户的属性集合与密文的属性集合满足一定的重叠条件时，用户才能成功解密密文。

以下是基于 Sahai-Waters 方案的构造（阈值 $d$，表示至少需要 $d$ 个匹配属性才能解密）：

1. $Setup(\lambda ,d)$

   • 选择双线性映射群 $\mathbb{G},{\mathbb{G}}_T$ 阶为素数 $q$，生成元 $g\in \mathbb{G}$
   • 随机选择主密钥 $y\in {\mathbb{Z}}_q$
   • 对于属性全集 $U$ 中的每个属性 $i$，选择随机数 $t_i\in {\mathbb{Z}}_q$，计算 $T_i=g^{t_i}$
   • 公开参数: $pp=(g,Y=e(g,g{)}^y,\{T_i{\}}_{i\in U})$
   • 主私钥: $msk=(y,\{t_i{\}}_{i\in U})$

2. $KeyGen(\omega ,msk)\to s{k}_{\omega }$

   • 输入用户属性集合 $\omega$ ($|\omega |\ge d$)，可以简单理解为一个 vector<string>
   • 构造一个 $d-1$ 次多项式 $q(x)$，使得常数项 $q(0)=y$，其余系数随机
   • 对于每个属性 $i\in \omega$，计算私钥组件：$$D_i=g^{\frac{q(H(i))}{t_i}}$$其中 $H(i)$ 将属性映射为 ${\mathbb{Z}}_q$ 中的元素
   • 私钥: $s{k}_{\omega }=\{D_i{\}}_{i\in \omega }$

3. $Encrypt({\omega }^{\prime },m,pp)\to C$

   • 输入目标属性集合 ${\omega }^{\prime }$
   • 选择随机数 $s\in {\mathbb{Z}}_q$
   • 计算密文组件（对于每个 $i\in {\omega }^{\prime }$）：$$C_i=T_i^s=g^{t_i\cdot s}$$
   • 计算加密密钥 $K=Y^s=e(g,g{)}^{ys}$
   • 使用 $K$ 加密消息 $m$（例如 $C^{\prime }=m\oplus KDF(K)$）
   • 密文: $C=({\omega }^{\prime },\{C_i{\}}_{i\in {\omega }^{\prime }},C^{\prime })$

4. $Decrypt(C,s{k}_{\omega })\to m$

   • 计算属性交集 $S=\omega \cap {\omega }^{\prime }$
   • 如果 $|S|<d$，解密失败
   • 选择 $S$ 的一个子集 $I\subseteq S$，使得 $|I|=d$
   • 对于 $i\in I$，计算配对：$$e(C_i,D_i)=e(g^{t_{i}s},g^{\frac{q(H(i))}{t_i}})=e(g,g{)}^{s\cdot q(H(i))}$$
   • 利用拉格朗日插值系数 ${\mathrm{\Delta }}_{i,I}(x)$ 在 $x=0$ 处恢复 $e(g,g{)}^{sy}$：$$\prod _{i\in I}e(C_i,D_i{)}^{{\mathrm{\Delta }}_{i,I}(0)}=e(g,g{)}^{s\sum _{i\in I}q(H(i)){\mathrm{\Delta }}_{i,I}(0)}=e(g,g{)}^{s\cdot q(0)}=e(g,g{)}^{sy}$$
   • 使用恢复的密钥 $K$ 解密消息