18、基于属性的加密：原理、构造与安全分析

基于属性的加密：原理、构造与安全分析

1. 引言

在传统公钥加密方案中，对加密明文的访问通常是全有或全无的。而基于属性的加密方案（ABE）则提供了对加密明文的细粒度访问。在ABE方案中，系统设置会生成一个公钥和一个主秘密密钥。公钥可被任何人用于加密与访问策略相关联的明文，该访问策略可以用布尔公式等形式表示。此外，还有一个算法，以主秘密密钥和属性为输入，生成用户秘密密钥（针对特定属性）。解密过程需要密文和用户秘密密钥，当且仅当用户秘密密钥的属性满足密文中嵌入的公式时，才能成功恢复明文。即使攻击者获取了一些用户秘密密钥，但这些密钥都无法用于解密时，加密明文的机密性仍能得到保证。

本文将介绍基于配对群的ABE方案，采用模块化方法，从一个简单的统计原语——谓词编码开始，逐步构建ABE方案。谓词编码仅满足较弱的安全性概念（仅在一个用户秘密密钥被破坏时安全），然后将其转换为秘密密钥ABE，最后再转换为公钥ABE。

2. 配对群

2.1 循环群

使用PPT算法GGen(1λ)，以安全参数λ（以一元形式表示）为输入，生成一个阶为p的循环群G，其中p是一个2λ位的素数。采用加法括号表示法，P是G的生成元，对于所有a ∈ Zp，记[a] = aP ∈ G。类似地，对于任何矩阵A ∈ Zm×n p，记[A] = AP ∈ Gm×n，其中乘法是按分量进行的。这种表示法意味着对于所有矩阵A, B ∈ Zm×n p，[A] + [B] = [A + B]。

如果对于所有PPT对手A，存在一个可忽略函数ν，使得对于所有λ ∈ N：AdvGGen A (λ) ≤ ν(λ)，则称关于GGen的DDH假设成立。其中，优势AdvGGen A (λ)定