29、高效广播加密与个性化消息传输方案解析

高效广播加密与个性化消息传输方案解析

1. 解密算法与安全定义

解密算法 Decrypt(S, i, ski, Hdr, PK) 是一个确定性算法，其输入包括子集 S 、用户 ID i 、用户 i 的私钥 ski 、头部信息 Hdr 以及公钥 PK 。若 i 属于 S ，该算法会返回通用消息加密密钥 K 和个性化消息加密密钥 K′i 。其中， K 可用于解密通用消息 C(M) 以获取通用消息 M ， K′i 则用于解密个性化消息 C(Mi) 以获取用户 i 的个性化消息 Mi 。

为定义广播加密方案针对静态敌手的选择明文安全性，设计了敌手 A 与挑战者 C 之间的游戏：
1. 初始化（Init） ：敌手 A 输出想要攻击的用户集合 S∗ 。
2. 设置（Setup） ：挑战者 C 运行 Setup(n) 算法，获取公钥 PK 和私钥集合 {ski} 。将公钥 PK 和不在 S∗ 中的用户私钥提供给敌手 A 。
3. 挑战（Challenge） ：挑战者 C 运行 Encrypt(S∗, PK) 算法，得到 (Hdr∗, K, {K′i}i∈S∗) 。随机选择比特 b0 和 bi ，根据 b0 和 bi 的值设置 K∗ 和 K∗i ，并将 (Hdr∗, K∗, {K∗i}i∈S∗) 提供给敌手 A 。
4. 猜测（Guess） ：敌手 A 输出对 b0 和 {bi}i∈S∗ 的猜测 b′0 和 {b′i}i∈S∗ 。若 b0 = b′0 且对于所有 i ∈ S∗ 都有 bi = b′i ，则敌手 A 赢得游戏。

广播加密与个性化消息方案（BEPM）的安全性定义为：若对于所有运行时间为 τ 的敌手 A ，在上述游戏中满足 Pr[(b′0 = b0) ∧ (b′i = bi)∀i∈S∗] - 1 / (2|S∗| + 1) < ϵ ，则称该 BEPM 是 (τ, ϵ, n) IND - CPA 安全的。

2. 方案构建

为构建 BEPM，扩展了 Boneh - Gentry - Waters 提出的广播加密方案，并借鉴了 Kurosawa 提出的多接收者公钥加密思想。
- 设置（Setup(n)） ：
- 设用户数量为 n ， G 是素数阶 p 的双线性映射。
- 随机选取生成元 g ∈ G 以及随机数 α, β1, ..., βn ∈ Zp ，计算 gi = g(αi) ∈ G （ i = 1, 2, ..., n, n + 2, ..., 2n ）。
- 随机选取 γ1, γ2 ∈ Zp ，设置 v1 = gγ1 和 v2 = gγ2 ∈ G 。
- 公钥为 PK = (g, g1, ..., gn, gn + 2, ..., g2n, gβ1, ..., gβn, v1, v2) ∈ G3n + 2 。
- 用户 i 的私钥为 ski = (ski[1], ski[2]) = (gγ1i, (gβi)γ2) ∈ G2 。
- 加密（Encrypt(S, PK)） ：
- 随机选取 t ∈ Zp ，设置通用消息加密密钥 K = e(gn + 1, g)t = e(gn, g1)t ∈ G 。
- 为所有 i ∈ S 设置个性化消息加密密钥 K′i = e(gβi, v2)t 。
- 头部信息 Hdr = (gt, (v1 · ∏j∈S gn + 1 - j)t) ∈ G2 ，输出 (Hdr, K, {K′i}i∈S) 。
- 解密（Decrypt(S, i, ski, Hdr, PK)） ：
- 若 Hdr = (C0, C1) 且 i ∈ S ，通用消息加密密钥 K = e(gi, C1) / e(ski[1] · ∏j∈S,j≠i gn + 1 - j + i, C0) 。
- 个性化消息加密密钥 K′i = e(gt, ski[2]) = e(gt, vβi2) = e(gβi, v2)t 。

该方案利用多接收者公钥加密思想，在解密算法中使用头部信息 Hdr 中的 gt 生成个性化消息加密密钥，无需在 Hdr 中添加新的随机数，从而在密文大小方面具有高效性。与其他方案相比，BEPM 广播者只需生成一个头部信息，即可同时传输通用消息加密密钥和多个个性化消息加密密钥。

3. 方案性能对比

方案	头部大小	公钥大小	私钥大小
Boneh - Gentry - Waters（BGW05）	|S| + 2	2n + 1	1
Kurosawa（Kur02）	2 · |S| + 1	n	1
本方案	2	3n + 2	2

从表格可以看出，本方案在密文大小方面更高效，尽管公钥大小相对较大。

4. 安全证明

定理表明，在双线性群 G 中，若决策 (τ + 4(n + 1)τM + |S∗|τP, ϵ / 2, n) - BDHE 假设成立，则该方案是 (τ, ϵ, n) IND - CPA 安全的。其中， τM 表示模幂运算的处理时间， τP 表示配对计算的处理时间， |S∗| 表示敌手想要攻击的用户数量。

证明过程通过构建算法 B 来解决决策 n - BDHE 问题：
1. 初始化（Init） ：运行敌手 A ，获取其想要挑战的用户集合 S∗ 。
2. 设置（Setup） ：随机选择参数，设置公钥 PK 和不在目标集合 S 中的私钥，并提供给敌手 A 。
3. 挑战（Challenge） ：计算 Hdr∗ ，随机选择比特 b0 和 bi ，设置 K∗ 和 K∗i ，将 (Hdr∗, K∗, {K∗i}i∈S∗) 作为挑战提供给敌手 A 。
4. 猜测（Guess） ：根据敌手 A 的输出，判断 Z 的值。

通过分析不同情况下敌手 A 获胜的概率，得出算法 B 的优势为 ϵ / 2 ，且 B 解决决策 BDHE 问题的总处理时间为 τ + 4(n + 1)τM + |S∗|τP 。

5. 应用场景：条件访问系统

5.1 传统条件访问系统

日本数字广播采用条件访问系统（CAS）进行访问控制和版权保护。内容先使用对称加密算法 MULTI - 2 进行加扰，加扰密钥 Ks 每隔几秒更新一次。广播者使用工作密钥 Kw 加密 Ks 和内容信息，生成授权控制消息（ECM）；使用用户主密钥 Km 加密 Kw 和用户合同信息，生成授权管理消息（EMM）。用户终端接收加扰内容、ECM 和 EMM，通过解密获取相关信息，根据内容信息和合同信息决定是否解扰内容。

然而，CAS 基于对称密钥加密，广播者需要安全管理所有用户的主密钥 Km ，导致密钥管理成本高昂，且访问控制方案较为复杂。

5.2 基于本方案的条件访问系统

基于本方案的条件访问系统流程如下：
1. 广播者使用用户 ID 集合 S 和公钥 PK 运行 Encrypt(S, PK) 算法，得到头部信息 Hdr 、通用消息加密密钥 K 和个性化消息加密密钥 {K′i}i∈S 。
2. 广播者使用 K 加密内容 M ，使用 K′i 加密个性化消息 Mi 。
3. 广播者传输加密内容 C(M) 、 (S, Hdr) （对应 CAS 中的 ECM）和加密个性化消息 C(Mi) （对应 CAS 中的 EMM）。
4. 用户 i 使用私钥 ski 、公钥 PK 和 (S, Hdr) 运行 Decrypt(S, i, ski, Hdr, PK) 算法，若 i 属于 S ，则获取 K 和 K′i 。
5. 用户 i 使用 K′i 解密 C(Mi) 得到个性化消息 Mi ，使用 K 解密 C(M) 得到内容 M 。

该系统具有以下优点：
1. 低成本密钥管理 ：广播者使用公钥 PK 加密消息，无需管理所有用户的私钥，密钥管理成本低。
2. 易于访问控制 ：广播者可指定能够解密内容的用户集合 S ，方便实现付费电视等服务，用户的撤销和注册操作简单。
3. 个性化消息传输 ：广播者能够高效地加密并传输个性化消息。

与传统方案对比，本方案构建的条件访问系统具有更明显的优势，能够更好地满足广播服务的需求。

综上所述，该高效广播加密与个性化消息传输方案在安全性、效率和应用方面都有出色的表现，为广播服务等领域的信息安全和个性化服务提供了有力的支持。

高效广播加密与个性化消息传输方案解析

6. 方案优势总结

本方案在多个方面展现出显著优势，以下为详细总结：
- 密文大小高效 ：通过对比不同方案的头部大小，本方案仅需 2 个元素，远小于 Boneh - Gentry - Waters 方案的 |S| + 2 和 Kurosawa 方案的 2 · |S| + 1 ，在密文大小方面具有明显优势，能够减少传输和存储成本。
- 密钥管理成本低 ：基于公钥加密，广播者无需管理所有用户的私钥，只需使用公钥 PK 进行消息加密，大大降低了密钥管理的复杂度和成本。
- 易于访问控制 ：广播者可以灵活指定能够解密内容的用户集合 S ，方便实现各种访问控制策略，如付费电视服务。用户的撤销和注册操作只需简单地重构 S 即可完成。
- 个性化消息传输高效 ：能够高效地加密并传输个性化消息，满足不同用户的个性化需求，为广播服务提供了更多的可能性。

7. 应用拓展与展望

本方案在广播服务的条件访问系统中已经展现出了强大的优势，未来还可以在以下领域进行拓展应用：
- 智能物联网 ：在物联网环境中，设备数量众多，需要对不同设备进行个性化的消息传输和访问控制。本方案可以用于加密设备之间的通信消息，确保数据的安全性和隐私性。
- 金融服务 ：金融机构需要向不同客户提供个性化的服务和信息，同时保证信息的安全性。本方案可以用于加密金融交易信息和客户的个性化服务消息，防止信息泄露和恶意攻击。
- 医疗保健 ：医疗数据涉及患者的隐私和健康信息，需要高度的安全性和个性化服务。本方案可以用于加密医疗数据的传输和存储，同时为不同患者提供个性化的医疗建议和健康信息。

8. 技术实现注意事项

在实际应用中，实现本方案需要注意以下几个方面：
- 参数选择 ：方案中的参数选择对安全性和性能有重要影响。例如，双线性群 G 的选择、随机数的生成等都需要谨慎处理，以确保方案的安全性和效率。
- 计算资源 ：方案中的加密和解密操作涉及到模幂运算和配对计算，需要一定的计算资源。在资源受限的环境中，需要进行优化和调整，以提高方案的性能。
- 密钥管理 ：虽然本方案在密钥管理方面具有优势，但仍然需要妥善管理公钥和私钥。公钥的分发和验证、私钥的存储和保护等都需要采取相应的措施，以确保密钥的安全性。

9. 与其他方案的协同应用

本方案可以与其他安全方案协同应用，以提高系统的整体安全性和性能。例如：
- 与对称加密结合 ：在加密内容时，可以先使用本方案生成加密密钥，再使用对称加密算法对内容进行加密，以提高加密效率。
- 与身份认证结合 ：在用户访问系统时，先进行身份认证，确保用户的合法性。然后再使用本方案进行消息加密和传输，以提高系统的安全性。

10. 总结与建议

本方案是一种高效的广播加密与个性化消息传输方案，具有密文大小高效、密钥管理成本低、易于访问控制和个性化消息传输高效等优点。在广播服务的条件访问系统中具有广泛的应用前景，同时还可以拓展到智能物联网、金融服务、医疗保健等领域。

建议在实际应用中，根据具体的需求和环境，合理选择方案的参数和实现方式，同时注意技术实现的注意事项，确保方案的安全性和性能。此外，可以考虑与其他安全方案协同应用，以提高系统的整体安全性和性能。

流程图展示

graph TD;
    A[广播者] --> B[运行 Encrypt(S, PK)];
    B --> C[获取 Hdr, K, {K′i}i∈S];
    C --> D[使用 K 加密内容 M];
    C --> E[使用 K′i 加密个性化消息 Mi];
    D --> F[传输 C(M)];
    E --> G[传输 C(Mi)];
    C --> H[传输 (S, Hdr)];
    I[用户 i] --> J[运行 Decrypt(S, i, ski, Hdr, PK)];
    J --> K[若 i ∈ S, 获取 K 和 K′i];
    K --> L[使用 K′i 解密 C(Mi) 得到 Mi];
    K --> M[使用 K 解密 C(M) 得到 M];

以上流程图展示了基于本方案的条件访问系统的工作流程，清晰地呈现了广播者和用户之间的交互过程。通过这种方式，可以更好地理解方案的实际应用和工作原理。