用于云应用中安全数据共享的动态属性基加密技术

《Future Generation Computer Systems》：Dynamic attribute-based encryption for secure data sharing in cloud applications

　　卡斯特里·劳特雷|帕德玛洛昌·贝拉印度奥里萨邦布巴内斯瓦尔印度理工学院摘要：如今，随着云计算技术的应用，大量敏感数据被存储在各种应用程序中并加以管理。因此，实施强大的访问控制机制对于确保数据安全共享、防止未经授权的访问至关重要。传统的访问控制机制往往无法适应基于云的应用程序所面临的动态变化需求。密文策略属性基加密技术为在云环境中实现细粒度的访问控制与数据保密提供了有力解决方案。然而，现有的密文策略属性基加密方案存在两大缺陷：其一，它分配的是静态属性，这限制了系统对用户属性实时变化的适应能力；其二，在外包解密过程中，访问策略属性和用户属性的暴露可能会泄露敏感信息。为克服这些难题，我们提出了一种具有隐私保护功能、能感知上下文的属性基加密系统，该系统能够根据不断变化的情境因素动态调整。我们的方法将动态属性作为上下文锁嵌入访问结构中，从而确保访问权限既基于用户的上下文，也基于静态属性。该系统通过混淆访问结构中的属性以及用户经过转换的密钥，实现了部分解密的安全外包。此外，我们还采取了措施来防范密钥托管攻击，避免不可信的密钥生成中心危及数据安全。我们正式证明了所提出的密码系统能够保障数据保密性以及访问策略的秘密性。性能分析表明，该密码系统在动态云环境中既能实现自适应访问控制，又能保证隐私性、可扩展性和高效性。

引言：云计算提供了可扩展的按需基础设施，用于数据存储、处理和管理，这一特性使其在ERP、金融、医疗保健以及大规模协作平台等多个领域得到广泛应用。这种广泛的用途导致基于云的应用程序处理的数据量呈指数级增长，其中包括个人记录、金融交易、电子健康记录以及企业机密文件等敏感信息。由于云资源由第三方服务提供商拥有和管理，它们运行在一种动态的云环境中，这种环境具有设备多样性、用户行为时变性、分布式存储、移动性以及不断变化的运营环境等特点。所有这些因素共同增加了未经授权访问、数据泄露和隐私侵犯的风险。随着各组织越来越依赖以云为中心的工作流程，确保安全可靠的数据共享变得极为重要，这就需要强大的访问控制机制来保护敏感信息[1]。在如此不可信赖且动态多变的环境中实现细粒度访问控制的一种有效方法是属性基加密技术[2]。属性基加密是一种公钥加密范式，它依据描述性属性以加密方式来确定访问权限。该技术有两种变体：密文策略属性基加密[3]和密钥策略属性基加密[2]。在密文策略属性基加密中，密文与访问策略相关联，而用户的私钥则包含属性集。只有当用户私钥中嵌入的属性满足密文中定义的访问策略时，用户才能解密该密文。在密钥策略属性基加密中，两者的角色则相反：密文上标记有一组属性，而用户的私钥则编码了访问结构。只有当密文的属性满足用户密钥中规定的策略时，才允许解密。在这两种方式中，密文策略属性基加密尤其适合用于云环境，因为它允许数据所有者直接在密文上定义和附加复杂的策略，从而提供更大的控制力、灵活性以及去中心化的授权机制[4]。然而，在动态云环境中部署密文策略属性基加密时会面临诸多挑战。现代云应用程序在实施访问控制时，需要评估那些会实时变化的动态属性（或上下文参数），比如用户位置、设备信任等级、会话状态或紧急情况等。相比之下，传统的密文策略属性基加密系统是基于静态属性设计的，这类属性如用户角色、部门、所属机构或薪资等级通常在很长一段时间内都不会发生变化。在这种系统中，私钥的生成与解密是分离的：一旦用户获得了包含固定属性集的私钥，他们就可以解密任何其属性符合访问策略的密文，而无需再与授权方进行交互。在动态环境中，这种机制并不理想，因为它使得及时撤销访问权限变得困难；与快速变化的动态属性绑定的私钥，如果不重新加密存储的数据或为所有用户发放新的密钥，就无法使其失效[5]。一个实际例子可以说明这一局限：在电子医疗系统中，医生可能仅在紧急情况下且仅在医院内部时需要临时访问患者记录。一旦紧急情况结束或医生离开医院，这种访问权限就应该自动失效。然而，传统的密文策略属性基加密无法应对诸如位置、会话活动或紧急状态等快速变化的条件，因为基于动态属性生成的私钥会无限期地符合访问策略。这一局限性促使人们开发出撤销机制以及对密文策略属性基加密的适应性扩展。为了确保未经授权的用户无法访问数据，人们采用了诸如使用代理进行密文重新加密[6]、[7]、[8]和解密[9]，以及无状态群密钥分发[10]之类的撤销技术。适应性扩展则包含了能够根据访问时的上下文参数动态评估的上下文感知访问控制机制[11]、[12]、[13]、[14]、[15]，此外还包括诸如注册式密文策略属性基加密[16]、[17]之类的在线密钥验证机制，这类机制能够在解密过程中实时验证用户属性。还有一些研究利用区块链来实现安全、可审计的策略管理[18]、[19]，以及运用人工智能技术[20]来进行智能的实时访问决策。尽管取得了这些进展，但许多现有技术仍然会带来较大的计算和通信开销。而且，大多数撤销机制主要关注属性的有效性（即某个属性是否处于有效状态或已被撤销），而非在现代云环境中可能频繁且难以预测变化的上下文参数。在基于云的密文策略属性基加密系统中，另一个重要挑战是在外包解密过程中保护用户隐私。一些外包解密属性基加密方案[21]、[22]、[23]允许不可信的云服务器代表用户执行解密过程中的复杂操作。在这种设计中，云服务器会收到密文以及用户经过转换的密钥。然而，密文中嵌入的访问策略通常会以明文形式暴露出来，这可能会泄露有关受保护数据或合法用户的敏感信息[24]、[25]。虽然私钥仍然是随机且非确定性的，因此不会被泄露，但访问策略的披露仍可能导致严重的隐私泄露。敌手或恶意内部人员可以通过策略中出现的属性值推断出关于用户的敏感信息，比如角色、部门、健康状况或保密级别等。例如，即使明文无法获取，根据策略{角色=安全工程师 ∧ 区域=3 ∧ 认证等级=HL - 4}加密的密文也会泄露操作上的敏感信息。此外，许多适应性密文策略属性基加密方案[26]、[27]还存在密钥托管问题，即一旦授权机构遭到入侵，就可能解密用户数据，从而带来严重的安全风险。因此，支持上下文属性、防范密钥托管攻击以及实现隐私保护的外包计算，是基于密文策略属性基加密的访问控制所必需满足的要求。

我们的贡献：在本文中，我们提出了一种基于密文策略属性基加密、具备隐私保护功能且能感知上下文的访问控制系统。我们的设计引入了上下文锁的概念，将动态属性无缝集成到访问策略中，从而避免了因环境变化而频繁更新密钥或重新加密数据的需求。用户密钥仅由静态属性生成，而访问策略则被定义为一种通用访问公式，该公式支持在策略树的任意节点处嵌入多个上下文锁。为降低用户端的计算负担，大部分解密操作都被安全地外包给云服务器。本工作的主要贡献如下：•自适应访问控制：我们通过引入基于身份加密的锁定机制，将位置、时间以及设备状态等上下文参数整合到访问策略中，从而增强了密文策略属性基加密的功能，且无需为这些上下文参数添加额外的密钥组件，即可实现动态访问控制。•隐私保护型的策略执行：我们通过基于身份加密的锁来隐藏静态属性，并安全地编码动态的上下文约束，从而提升了访问策略的隐私保护水平。我们还引入了匿名属性匹配机制，该机制能够在外包解密过程中同时保护用户属性和访问策略的保密性。•高效的计算外包：我们设计的系统将大部分解密计算任务外包给云服务器。具体而言，授权用户无需执行所有O(l)次的配对操作来进行解密，他们只需计算O(m)次配对操作来为其m个属性生成标签信息，之后再进行一次配对操作即可解密消息。此处，m表示与用户密钥相关的属性数量，l则表示属性总规模，在实际应用中m远小于l。•防范密钥托管攻击：我们采用了非交互式密钥交换机制来对密文进行加密处理，从而防止密钥生成机构解密用户数据。•安全性与性能评估：我们提供了正式的安全性证明，用以证明数据保密性和访问策略的隐私性，同时还通过非正式分析展示了该系统对常见安全攻击的抵御能力。此外，我们的性能评估结果显示，与现有解决方案相比，该系统在功能完整性、通信效率以及计算效率方面都有所提升。

本文的其余部分结构如下：第2节回顾了那些致力于解决动态属性管理问题的现有密文策略属性基加密方案。第3节介绍相关的数学基础和预备知识。第4节介绍了我们提出的具有上下文感知功能的密文策略属性基加密方案，第5节详细阐述了其数学构建方式。第6节进行了安全性分析，证明了我们方法的强大抗攻击能力。第7节评估了包括计算效率与通信开销在内的各项性能指标。最后，第8节对全文进行总结。

相关研究：在传统的密文策略属性基加密中，解密权限是根据预先定义的静态属性来授予的，这些属性无法适应环境的变化。在基本的密文策略属性基加密架构[3]中，时间、位置以及设备类型等上下文属性被视为静态属性。然而，当这些属性频繁变化时，若将其嵌入私钥或访问策略中，就意味着每次属性发生变化都需要重新发放密钥或修改访问策略，这使得该方案难以实际应用。为了解决这一问题……

访问结构：定义1 访问结构[39]设P={P1,P2,…,Pn}为一个有限的参与者集合。如果对于所有满足B∈A且B?C的集合B、C，都有C∈A，那么集合A?2P就被视为单调集合。访问结构（或者更准确地说，单调访问结构）就是P的非空子集的集合A，即A?2P?{0?}。集合A中的元素被称为授权集合，而不在A中的元素则被称为未授权集合。在我们的框架中，属性取代了参与者的角色，也就是说，访问结构A定义的是属性集合。

我们提出的具有隐私保护功能的上下文感知型密文策略属性基加密密码系统：我们提出的密文策略属性基加密密码系统由五个主要组成部分构成：密钥生成机构、数据所有者、云服务器、代理服务器以及数据用户。这些实体相互协作，从而在基于云的数据共享环境中实现具备隐私保护功能的动态访问控制。我们密码系统的系统模型如图2所示。不同实体的功能如下：•密钥生成机构：它负责生成并分发……

数学构建：本节对我们提出的密文策略属性基加密方案给出了详细的数学表述。本方案中所使用的符号汇总见表1。我们提出的密码系统包含四个阶段：系统初始化、数据发布、密钥生成以及数据访问。以下将详细介绍每个阶段的流程。

初始化阶段：系统以安全参数λ作为输入，该参数决定了两个素数阶为p的循环乘法群G和GT的大小。构建过程……

安全性分析：本节首先进行非正式讨论，随后为所提出的密文策略属性基加密系统提供正式的安全性证明。

性能分析：在本节中，我们通过分析该方案的各项特性，并将其密钥操作的代价与现有方案进行比较，从而对其性能进行评估。

结论与未来工作：在本项工作中，我们提出了一种具有上下文感知功能的密文策略属性基加密方案，该方案通过改进的访问结构实现自适应访问控制，并能够支持安全的外包解密功能。我们的方案将上下文参数与静态属性分开处理，同时运用独立的基于身份加密的锁来有效应对用户上下文的变化。为提高效率，我们采用了外包解密机制，这大大降低了终端用户的计算负担。此外，我们还引入了……

CRediT作者贡献声明：卡斯特里·劳特雷：写作——审稿与编辑、写作——初稿撰写、可视化、验证、方法论、研究、形式化分析、数据整理、概念构思。帕德玛洛昌·贝拉：写作——审稿与编辑、监督、资源管理、项目行政工作。利益冲突声明作者声明，他们不存在任何可能影响本文所汇报工作的已知财务利益或个人关系。