面向物联网与边缘系统的轻量级加性同态认证加密构造：HCCM 模式研究

《Array》：Lightweight additive homomorphic authenticated encryption for IoT/edge systems

　　

： 研究人员提出一种名为 HCCM（Homomorphic Counter with CBC-MAC，同态计数器与密码分组链接消息认证码）的轻量级加性同态（Additive Homomorphic）认证加密构造，面向物联网（IoT）与边缘系统。该方案将轻量级加性同态分组密码 RLHABC（Robust and Lightweight Homomorphic Additive Block Cipher）与 CCM（Counter with CBC-MAC）模式相结合，在单一对称密码构造中同时提供机密性、完整性、真实性以及密文上的授权加性计算能力。HCCM 引入会话依赖的动态参数以增强密码可变性与前向安全性，支持对加密后的 IoT/边缘数据进行认证聚合而无需解密。研究人员通过统计分析、伪造攻击分析与密码分析对该构造进行评估，结果表明：在封闭或许可式部署场景下，HCCM 能够在保障认证性的同时，于加密/解密耗时与密文膨胀率方面显著优于 2048 位 Paillier 密码系统。

论文主体解读

研究背景与问题提出

随着大数据分析与云计算的扩展，敏感数据在传输、聚合与外包计算过程中的隐私保护需求持续上升。同态加密（HE，Homomorphic Encryption）允许在密文上直接完成计算，已成为金融、医疗与政务等场景的重要原语。BFV、BGV、CKKS 等方案可支持复杂密态计算，但本身并不天然保证外包数据与计算结果的完整性及真实性；同态签名（HS）与同态消息认证码（HomMAC）可补强认证，却通常仍需叠加独立加密层。现有研究因而沿“机密性”与“认证性”两条互补路线发展，少有工作在单一轻量级构造中同时原生实现机密性、完整性、真实性与加性同态。对资源受限的物联网（IoT）与边缘设备而言，Paillier 等非对称同态方案计算与通信开销过大，难以直接部署。

研究人员由此开展一项针对性研究：以对称轻量级原语 RLHABC 为底座，借鉴 CCM 模式，设计 HCCM（Homomorphic Counter with CBC-MAC）构造，将 CTR（Counter mode，计数器模式）加密与 CBC（Cipher Block Chaining，密码分组链接）认证标签融合于可同态运算的密文结构之中。

关键技术方法

研究人员采用四类方法：其一，基于 RLHABC 的加性同态分组密码，通过动态密钥机制派生轮密钥、扩散矩阵与置换盒；其二，CCM 模式改造，将 CBC-MAC 认证标签与 CTR 密钥流加密耦合；其三，会话级动态参数派生，利用主密钥与随机数通过 KDF 生成会话相关密钥；其四，安全与性能双轨评估，包括统计测试、EUF-CMA 类伪造分析、密钥恢复分析，以及与 2048 位 Paillier 在加密、认证解密、同态加法与密文扩展上的实现对比。

研究结果

1. 2.
   IoT concept & security
   研究人员指出，IoT 网络依靠雾节点与云中心近实时收集数据并做加性聚合，但设备异构且资源受限，端到端机密性难以保证；HE 可缓解该问题，而现有安全机制多分散于认证、访问控制或攻击检测层，缺乏与密态计算的原生融合。
2. 3.
   Background on homomorphic encryption
   综述 HE 基本定义与加法、乘法同态性质；分别形式化 Paillier 的 DCR（Decisional Composite Residuosity，判定复合剩余）困难假设下加性同态，以及 RLHABC 的矩阵态加性同态轮函数：动态密钥生成、Add Round Key 三变体、Diffusion Matrix 两变体、P-box 置换，均保持模 N 加性同态。
3. 4.
   Related work
   对比 HC-SDPM、LVPDA、APPA 三类 Paillier 外接签名/认证方案，指出其需多密钥族与多协议阶段；HCCM 则在对称许可式场景下把认证与同态压缩为单构造，定位为对公开可验证 HS/HomMAC 的补充而非替代。
4. 5.
   HCCM: Design and homomorphic properties
   给出系统威胁模型：设备与可信验证方预置对称秘密，聚合方诚实但好奇且可能恶意篡改。HCCM 用消息级随机数 μ 与会话级 Nonce N₀ 分别驱动 CTR 密钥流与 CBC 标签，形成含加密标签的 ACB（Authenticated Ciphertext Block，认证密文块）；并推导授权加性评估下标签与密文的可聚合性。
5. 6.
   HCCM within IoT-based secure data aggregation
   将构造落地到 IoT 聚合场景：设备加密上报，边缘节点在密文上做加法聚合并传递聚合标签，可信接收方验签后解密得到总和，全程原始读数不暴露。
6. 7.
   Security analysis
   区分合法同态评估密文与敌手伪造密文，分析随机数碰撞、标签重算失败与秘密参数恢复路径，论证在已知选择消息加密查询下仍难构造可接受伪造。
7. 8.
   Performance evaluation
   实现对比显示，HCCM 在加密、认证解密、同态加法延时与密文尺寸上均低于 2048 位 Paillier，更适合受限节点。
8. 9.
   Comparative study
   横向对比混合方案，HCCM 以更少密码组件获得认证+同态能力，但适用域限于对称许可部署。

讨论与结论翻译

讨论部分强调，HCCM 并非试图取代公开可验证同态签名或通用 HomMAC，而是在封闭 IoT/边缘域内提供一种“机密—完整—真实—可聚合”一体化的轻量设计点。其意义在于用对称原语回避公钥同态的高开销，同时通过动态会话参数降低同态标签被重放与伪造的风险。

研究结论可译为：HCCM 成功将 CCM 式认证封装与 RLHABC 加性同态结合，在许可式物联网与边缘计算中实现了可认证密态聚合；安全分析支持其对合法同态运算与伪造区分的合理性，性能评估证实其相较 Paillier 在时延与密文膨胀上的优势，为资源受限环境的轻量级同态认证加密提供了可工程化的新路径。