PR-RABE：一种基于注册属性的、保护隐私且可撤销的加密方法，采用轻量级加密技术

《Computational Statistics & Data Analysis》：PR-RABE: Privacy-preserving and Revocable Registered Attribute-Based Encryption with lightweight encryption

　　荣阳|王涛|南洋金|杨波|周彦伟|张登波|辛向仁
西安师范大学人工智能与计算机科学学院，中国西安710119

**摘要**
注册属性基础加密（RABE）通过允许用户生成和管理自己的密钥，消除了对可信中央权威机构的依赖。然而，现有的RABE方案在支持高效属性撤销、保护策略隐私以及降低加密开销方面仍面临关键挑战——尤其是在资源受限的环境中。为了解决这些问题，我们提出了PR-RABE，一种具有隐私保护和可撤销功能的RABE框架，它整合了三种关键机制：属性组密钥（AGK）用于细粒度属性级别的撤销，而无需为未撤销的用户更新密钥；通过分离属性名称和值来隐藏策略，防止访问结构的泄露；以及离线/在线加密技术，将繁重的计算任务转移到离线进行，从而实现快速的在线加密。我们在复合阶和素数阶双线性群中实现了PR-RABE（分别称为PR-RABEC和PR-RABEP），在不同加密环境中提供了灵活性和效率。在标准假设下的全面安全性分析表明，我们的方案能够有效地保护数据保密性和用户隐私。该框架通过LSSS支持表达性访问策略，为动态多用户环境中的安全数据共享提供了实用且可扩展的解决方案。

**引言**
尽管传统的公钥加密（PKE）为点对点通信提供了可靠的保密性，但在需要动态、多用户访问控制和细粒度权限的场景中，其局限性变得明显。为了解决这一问题，开发了基于属性的加密（ABE），它将加密与一组属性关联起来，并仅当用户的属性与访问策略匹配时才允许解密。这使得一对多数据共享成为可能，并具有复杂的访问控制功能。同时，人们也努力提高基于属性的加密原语的效率，例如将繁重的计算任务外包到云端，同时保持ABE [1] 和基于属性的签名 [2] 的结果正确性。

尽管传统的ABE实现通常依赖于中央权威机构来生成和分发用户密钥，但这种方法存在单点故障风险。如果该权威机构遭到破坏，攻击者可能会解密系统中的所有密文。为此提出了多权威ABE（MA-ABE），通过允许多个权威机构独立管理属性域来实现分布式访问控制，解决了传统ABE的单点故障问题，并增强了大规模系统的可扩展性 [3]。然而，对可信实体的需求仍未得到解决——MA-ABE仅仅是用多个可信实体替换了单一的可信实体。

Hohenberger等人（Eurocrypt 2023）首次提出了注册属性基础加密（RABE）的概念，这是一种不依赖可信中央权威机构的ABE变体，似乎是解决可信依赖问题的根本方法 [4]。在现有文献中，“RABE”这一缩写也被用来表示可撤销属性基础加密。为了避免潜在的歧义，我们在此明确表示，本文中的RABE专指注册属性基础加密，而可撤销属性基础加密则始终会用全称书写。在RABE设置中，用户像标准公钥加密一样生成自己的公钥和私钥，并将公钥与属性一起提交给密钥管理员，后者作为一个透明且不受信任的实体。RABE从根本上解决了密钥托管问题，消除了长期密钥保留的需求，并实现了去中心化的密钥管理。此外，它还支持密钥聚合，减少了冗余计算，并与线性秘密共享方案（LSSS）基的访问结构兼容，从而允许更丰富和灵活的访问策略。RABE可以以标准形式（TABE）和带插槽的形式（sRABE）实现，其中带插槽的版本可以用作构建完整的注册ABE方案的中间原语。随后，Garg等人（Crypto 2024）提出了一种大幅压缩注册ABE所需公共参考字符串（CRS）的方法 [5]。然而，在RABE框架下仍存在几个实际挑战：

1. **动态撤销**：在医疗保健、教育和物联网等实际场景中，用户属性或权限可能随时发生变化。如果没有高效的撤销机制，被撤销的用户可能会继续访问敏感数据。
2. **策略隐私**：在RABE中，访问策略直接嵌入在密文中，可能会泄露关于属性或策略结构的敏感信息。虽然传统ABE已经探索了部分和完全隐藏策略的技术，但在RABE框架内保护策略隐私的问题仍未得到充分研究。在RABE设置中，这一问题更加严重，因为用户属性是公开注册的，并与各自的公钥相关联。因此，未受保护的访问策略很容易与公共属性信息相关联，从而暴露出预期的接收者或加密数据的敏感度。因此，在RABE中隐藏访问结构成为重要的隐私要求。
3. **轻量级加密**：加密和解密通常需要计算成本较高的双线性配对和指数运算，这限制了其在资源受限设备上的实用性。离线/在线加密技术通过在离线执行这些计算来减轻这一问题，从而实现高效且轻量级的在线加密。

Asano等人（PKC 2025）研究了RABE中的密钥撤销问题，并提出了两种机制：DRABE和RRABE，这些机制增强了系统的灵活性并确保了前向安全性 [6]。DRABE通过将多个sRABE主公钥（smpk）组织成完整的二叉树，将通用的sRABE扩展到RABE框架中。在这种结构中，每个节点代表一个sRABE实例，其公钥聚合了其子用户的公钥。当用户被撤销时，密钥管理员（KC）会确定一组节点（称为完整子树覆盖），这些节点共同覆盖所有未被撤销的用户。然后从这些节点的sRABE公钥中重构新的主公钥（mpk）以完成撤销操作。这种方法为加密者和用户提供了透明的撤销机制，并继承了sRABE的表达性，但也导致主公钥的大小与撤销次数成正比，需要KC进行复杂的计算，并增加了管理树结构的复杂性。RRABE将撤销视为一个额外的属性：每个用户注册一个唯一的身份id，撤销列表RL被编码到密文属性中，因此只有当P(x,y)=1且id?RL时解密才成功。为了防止参数线性增长，该方案采用了完整子树方法结合嵌入引理来高效编码撤销集，仅允许未撤销的用户解密。这减轻了KC的负担，并允许灵活的发送方撤销操作。然而，随着撤销列表的增长，密文大小也会增加，该方案仅限于布尔谓词，且密钥和策略比标准RABE更加复杂。

鉴于这些挑战，本文旨在回答以下问题：如何设计一种高效的RABE方案，同时支持动态密钥撤销（即无需主公钥或密文扩展）、策略隐私和轻量级加密？

**致谢**
针对这一问题，我们提供了一个基于我们的工作 [7] 的解决方案，其中引入了属性组密钥（AGK）技术。每个属性组都被分配一个属于Zp的属性组密钥AGK，密文通过相应的属性组密钥进行加密。当用户i的属性x被撤销时，系统会将该用户从属性组Ix中移除，并为属性x生成一个新的属性组密钥AGKx。然后数据所有者（DO）使用这个新密钥重新加密所有相关数据，并分发一个更新后的头部Hdr，其中新的AGK仅使用修改后组中剩余用户的公钥进行加密。因此，被撤销的用户虽然保留了私钥，但由于无法恢复新的AGK，实际上失去了进一步解密数据的能力。值得注意的是，这一过程完全由DO管理，无需为未撤销的用户更新密钥，从而实现了及时和精确的属性级别撤销，同时消除了对第三方可信机构的依赖，并最小化了数据用户管理的开销。

为了防止策略泄露，我们采用了一种将属性名称与其值分开的机制。在密文中，属性名称保持公开，而属性值则绑定到名称上，并嵌入到密文组件中。这种设计确保了外部方只能观察到属性名称，而无法推断出值。在解密过程中，用户首先检查他们的属性名称是否与密文的公共部分匹配。只有当名称及其对应的值都验证一致时，才能恢复明文。这种方法在有效保护敏感属性值的同时，保持了解密的正确性。

为了最小化实时加密开销，我们设计了一个在线/离线加密框架。在离线阶段，独立于消息和策略的计算密集型双线性操作被预先计算，生成可复用的中间组件。当实际消息和访问策略确定后，在线阶段只需要进行少量的轻量级指数运算即可完成密文加密。通过将大部分工作负载转移到离线，这种方法显著提高了效率，使数据所有者可以提前准备并在传输过程中快速完成加密。这确保了在实际部署中的可扩展性和低延迟。

我们的设计理念优先考虑策略表达性、用户密钥的无状态性以及最小的信任假设。具体来说，我们故意避免了使用基于树的撤销结构（如DRABE）和有状态的密钥组件，同时也支持超越RRABE [6] 等撤销辅助ABE方案限制的表达性非布尔访问策略。这使得我们的系统能够与线性秘密共享方案（LSSS）完全兼容，从而在任意单调策略下实现细粒度的属性级别撤销。撤销机制完全通过数据所有者进行的密文更新来实现，无需为未撤销的用户更新密钥，也消除了对任何第三方可信机构的依赖。我们的撤销方案的权衡在于计算和存储开销。具体来说，数据所有者必须在每次撤销事件后重新加密，并为每个符合条件的用户维护每个属性组的密钥和个性化头部条目。此外，除非明确应用重新加密，否则被撤销的用户可能仍然可以访问撤销之前的历史密文。虽然这会导致与DRABE或RRABE相比加密成本增加，但我们认为在策略灵活性、数据用户简便性和避免可信中介更为重要的场景中，这种权衡是可接受的——例如在学术研究组或具有动态成员资格的数据共享系统中。

从概念上讲，本文的主要贡献是一个统一的代数框架，它在RABE内同时支持去中心化、细粒度撤销和策略隐私。我们的关键见解是通过两种互补机制来解决这些需求——用于无状态撤销的属性组密钥和用于隐藏策略的名称/值分离——并通过一个共同的结构来整合它们，既保持了表达性，也提高了效率。这是第一个在不牺牲安全性或实用性的情况下实现所有这三个属性的RABE构建。在这项工作中，我们提出了一个新颖的具有隐私保护和可撤销功能的注册属性基础加密（PR-RABE）框架，它整合了属性撤销、策略隐藏和离线/在线加密机制。具体来说，我们实现了PR-RABE的两种变体：PR-RABEP（在素数阶群中的隐私保护和可撤销注册属性基础加密）和PR-RABEC（在复合阶群中的隐私保护和可撤销注册属性基础加密），分别对应于素数阶和复合阶双线性群中的构建。

如表1所示，我们的框架支持动态插槽分配、高效的密钥管理，并且在复合阶和素数阶双线性群中都可以实现。在标准假设和集合一致的双线性Diffie–Hellman指数（BDHE）下证明了安全性。总之，这项工作提出了一个具有隐私保护和可撤销属性的RABE方案，为安全数据共享提供了一种实用且灵活的方法。此外，我们的贡献不仅限于带插槽的设置：这些基础技术也可以应用于标准RABE框架，从而扩展了我们方法的适用范围。

本文的结构如下。第2节回顾了相关文献和先前的工作。第3节提供了必要的加密背景和定义。第4节描述了系统和安全模型，第5节介绍了我们的主要构建。第6节分析了正确性和安全性，第7节评估了我们方案的理论性能。本文以总结和参考文献结束。

**相关工作**
在本节中，我们回顾了与我们的工作相关的研究。由于我们的方案基于可撤销属性基础加密（RABE），我们首先概述了其演进和撤销机制，然后扩展到其他相关研究方向。

**双线性映射**
考虑两个共享相同素数阶p的循环群G和GT，以及生成元g∈G。一个双线性配对 e:G×G→GT 具有以下特性：
• 双线性：对于任意 a,b∈Zp?，等式 e(ga,gb)=e(g,g)ab 成立。
• 非退化性：该配对会产生非平凡的结果，即 e(g,g)≠1。
• 高效计算性：对于任意元素 u,v∈G，计算 e(u,v) 仅需要多项式时间。

（q,m）-中间集一致性 BDHE 假设
设 GroupGen 是一个素数阶双线性群生成器。对于一个安全性参数 λ 和一个系统以及安全模型，本节详细介绍了我们方案所基于的安全模型、形式框架和系统架构。

构造
在本节中，我们提出了两种适用于不同群设置的 PR-RABE 框架的构造方法。第一种构造 PR?RABEC 基于复合阶双线性群，为策略和属性管理提供了更强的结构灵活性；第二种构造 PR?RABEP 则基于素数阶双线性群，侧重于效率和紧凑性。这些构造展示了我们框架在不同密码学设置中的多功能性。

正确性和安全性分析
在本节中，我们详细介绍了我们构造的正确性和安全性分析，证明了该方案能够为授权用户提供正确的解密结果，并且在基于双线性群标准难度的选择明文攻击下保证不可区分性。

理论分析
我们从四个维度分析了我们两种构造的渐近成本和实际相关成本：(i) 公共参数的大小 (CRS/mpk)、(ii) 密钥大小、(iii) 密文和头部大小，以及 (iv) 在线/离线计算（包括解密过程中的配对计数）。除非另有说明，我们计算的是群元素数量，并忽略了常数大小的描述（例如群描述 G、哈希描述和政策头部）。设 L 为槽数量，|U| 为属性集合的大小，K…

结论
在这项工作中，我们提出了 PR-RABE，这是一种保护隐私且可撤销的 RABE 框架，它解决了 RABE 中的三个主要挑战：高效的属性撤销、策略隐私性和轻量级加密。通过引入属性-组钥、将属性名称与其值分离以实现策略隐私性，并采用离线/在线加密设计，我们的方案能够在不依赖任何可信中介的情况下实现细粒度撤销，保护敏感的政策信息，并降低了……

CRediT 作者贡献声明
杨锐：撰写——原始草稿、方法论、形式分析、概念化。
王涛：撰写——审稿与编辑、调研、资金获取、概念化。
金南洋：资源支持。
杨波：监督。
周彦伟：监督。
张登波：撰写——审稿与编辑。
辛向仁：监督。

利益冲突声明
作者声明他们没有已知的竞争性财务利益或个人关系，这些利益或关系可能影响本文所述的工作。

致谢
本项工作得到了中国国家自然科学基金（项目编号 U2001205）的部分支持，同时也得到了陕西省重点研发计划（项目编号 2023-YBGY-214）的部分资助。