针对共谋攻击的、基于时间控制的代理可搜索重加密技术

《Computer Standards & Interfaces》：Time-controlled proxy searchable re-encryption against collusion attacks

代理重加密与时间控制机制在云安全中的创新应用，提出整合代理与云服务器的TcPSRE-CA方案，实现高效防合谋的有限授权关键词检索。

　　

张慧|傅俊俊|廖晓娟|陈光柱|马海川|周冉

成都理工大学计算机科学与网络安全学院，中国成都，610059

摘要

基于关键词搜索的代理重新加密（PREKS）技术能够安全地委托对加密数据的搜索权限，这在电子健康系统等场景中具有很高的价值：患者（数据所有者）将加密的电子健康数据（EHD）和关键词上传到云端，初始搜索权限授予主治医生（委托者）；委托者可以通过代理服务器重新加密关键词，将这些权限共享给会诊医生（被委托者），而无需再次咨询数据所有者。现有的PREKS方案需要一个可信的代理来避免代理与被委托者之间的勾结风险，从而导致较高的通信开销。为了解决这个问题，本文提出了一种抗勾结攻击的时间控制公钥代理可搜索重新加密方案（TcPSRE-CA），该方案创新地将代理功能与云服务器集成在一起，以减少开销。该方案支持时间限制的授权和联合关键词搜索，并在随机预言机模型下证明了其安全性。实验结果表明，所提出的方案在保持高计算效率的同时，有效降低了通信和存储开销。

引言

随着云计算的广泛采用，越来越多的用户将他们的私人数据委托给云平台。为了保护外包数据的保密性，用户通常在上传数据到云端之前对其进行加密。在这种情况下，可搜索加密作为一种强大的加密技术应运而生，它能够在确保查询内容对云服务器隐藏的同时，实现对加密数据的高效搜索。例如，在电子健康系统中[1]，[2]，每个患者的电子健康数据（EHD）在上传到云端之前必须被加密。可搜索加密允许授权用户（如主治医生）对加密的EHD进行基于关键词的搜索。两种常见的关键词搜索是单关键词搜索和联合关键词搜索。后者允许用户同时使用多个关键词进行查询，提供了更丰富和精确的搜索能力。

可搜索加密可以使用对称密钥或公钥加密方案来实现。对称可搜索加密（SSE）[3]依赖于共享的秘密密钥，如果医生拥有相同的密钥，就可以搜索患者的加密数据。相比之下，基于关键词搜索的公钥加密（PEKS）[4]具有更好的可扩展性和可管理性。在PEKS中，患者使用主治医生的公钥加密关键词（如“脑血管”、“神经学”和“认知”），然后医生可以使用他们的私钥搜索特定关键词（例如“认知”），而无需解密整个数据集。

在实践中，可能会出现主治医生需要将搜索权限委托给另一方（如会诊医生）的情况。为此，引入了基于关键词搜索的代理重新加密（PREKS）方法[2]，[5]，[6]，[7]，[8]，[9]，[10]，[11]，[12]。在PREKS设置中，数据所有者（例如患者）最初通过将加密关键词上传到云端来授予委托者（例如主治医生）搜索能力。然后，委托者可以通过代理服务器重新加密关键词，将搜索功能共享给被委托者（例如会诊医生），而无需再次咨询数据所有者。这使得被委托者能够在重新加密的数据上执行等效的关键词搜索操作。

在许多场景中，这种委托应该是时间限制的。例如，主治医生可能希望仅在有限的时间内授予会诊医生搜索权限。这导致了带有时间控制的PREKS（PREKS-TC）方案[10]的发展。图1展示了PREKS-TC的系统模型。

在典型的PREKS-TC工作流程中，数据所有者使用委托者的公钥加密关键词，并将密文上传到云服务器。然后，委托者可以使用他的私钥生成陷阱门，并将它们发送到云服务器以执行基于关键词的搜索。为了委托有限时间的搜索权限，委托者首先与时间服务器交互以指定有效期。接下来，委托者和代理服务器共同生成一个代理重新加密密钥。代理服务器从云端检索原始密文，重新加密它（附加时间标记），并将时间控制的密文上传回云端。被委托者然后可以使用自己的私钥生成陷阱门来搜索重新加密的数据。在整个过程中，明文关键词或私钥都不会被泄露。

然而，分离代理服务器和云服务器会引入显著的通信开销，因为在重新加密过程中需要在它们之间传输大量密文，特别是在图1的第4步中尤为明显。此外，PREKS-TC（以及许多现有的PREKS方案）的安全模型通常假设云服务器是半诚实的，即它遵循协议但可能尝试推断敏感信息，而代理服务器被认为是完全诚实的。时间服务器和用户（数据所有者、委托者、被委托者）也被认为是诚实的。这些假设在现实世界环境中可能不成立，因为服务器和用户可能是恶意的或被攻破的。值得注意的是，如果代理服务器与被委托者勾结，可能会重建委托者的私钥，从而导致严重的隐私泄露。因此，迫切需要提高PREKS方案在实际部署中的效率和鲁棒性。

在本文中，我们提出了一个新颖的系统模型来解决现有PREKS方法的上述限制。总体而言，本工作的主要贡献如下。

• •
  提出了一种新的架构，将代理服务器和云服务器集成到一个主服务器中。这个统一的服务器负责重新加密和密文检索，有效地消除了之前由服务器到服务器的数据传输所产生的通信开销。
• •
  基于新模型，设计了一种称为抗勾结攻击的时间控制公钥代理可搜索重新加密（TcPSRE-CA）的方案。TcPSRE-CA支持联合关键词搜索、时间限制的委托，并抵抗代理（主）服务器和被委托者之间的勾结。
• •
  在随机预言机模型下，TcPSRE-CA的安全性在IND-CKA模型下得到了正式证明。实验结果表明，所提出的方案显著降低了通信和存储开销，同时保持了高计算效率。

本文的其余部分组织如下。第2节回顾了相关工作。第3节介绍了初步概念。第4节定义了系统和安全模型。第5节介绍了TcPSRE-CA的构建，第6节提供了安全分析。第7节评估了性能。第8节总结了本文。

相关工作

安全可搜索代理重新加密方案在涉及多个用户和复杂权限管理的应用中起着关键作用，例如基于云计算的电子医疗系统。在这一领域出现了大量的研究成果。

Song等人[3]首次提出了可搜索加密的概念，并提出了一种基于对称密钥加密的方案，称为对称可搜索加密（SSE），其中数据所有者和数据用户共享相同的密钥

预备知识

本节为所提出的方案提供了必要的背景知识，包括双线性配对、离散对数问题（DLP）、决策双线性Diffie–Hellman（DBDH）假设和Lagrange插值。

TcPSRE-CA定义和安全模型

本节描述了抗勾结攻击的时间控制公钥代理可搜索重新加密方案（TcPSRE-CA）的定义和安全模型。

TcPSRE-CA构建

本节介绍了TcPSRE-CA的算法流程，包括方案、正确性证明以及TcPSRE-CA的时间控制分析。

安全性证明

在本节中，我们证明了TcPSRE-CA在随机预言机模型下，在DBDH假设下实现了IND-CKA安全性，然后证明了其抗勾结能力。

性能评估

本节比较了TcPSRE-CA与现有的代理重新加密方案。我们首先分析和比较了这些方案的功能能力。基于此分析，我们选择了一个与TcPSRE-CA具有相似功能和底层技术的代表性方案，以便详细比较理论和实验效率。

结论

在本文中，我们提出了一种新的基于关键词搜索的代理重新加密方案，称为抗勾结攻击的时间控制公钥代理可搜索重新加密方案（TcPSRE-CA）。通过将代理服务器的功能集成到云服务器中，TcPSRE-CA显著降低了数据通信开销。该方案允许数据所有者（委托者）在指定的时间内将搜索能力委托给用户（被委托者），同时有效防止了隐私泄露

CRediT作者贡献声明

张慧：撰写 – 审稿与编辑，撰写 – 原始草稿，监督，项目管理，方法论，形式分析，概念化。傅俊俊：撰写 – 原始草稿，方法论，调查，形式分析，概念化。廖晓娟：撰写 – 审稿与编辑，监督，项目管理，调查。陈光柱：撰写 – 审稿与编辑，监督，项目管理，资金获取。马海川：撰写 – 审稿与编辑。周冉：

利益冲突声明

作者声明他们没有已知的财务利益或个人关系可能影响本文报告的工作。

致谢

本工作得到了四川国际、香港、澳门和台湾科技创新合作项目 [资助编号 2023YFH0029]；国家自然科学基金 [资助编号 62102048]；以及四川省自然科学基金 [资助编号 2023NSFSC1399]的支持。