基于可验证属性的RLWE可搜索加密技术用于安全数据共享

《Computer Standards & Interfaces》：Verifiable attribute-based searchable encryption over RLWE for secure data sharing

　　李旺|张颖|周彦伟|杨启亮|孟茹|杨波•提出基于RLWE的VABSE方案，以实现安全、可验证且高效的数据共享。•通过格预图像采样确保搜索结果的可验证性。•借助密钥同态求值实现多项式深度的访问控制策略。•通过双向认证抵御（内部）KGA攻击。•通过理想格设计保证高计算效率。

引言
云计算的广泛应用[1]促使数据所有者利用远程云服务器进行数据共享。虽然加密措施对于保护数据隐私至关重要，但它会使得外包数据无法被检索。为了解决直接在加密数据上高效进行关键词检索的问题，人们提出了可搜索加密技术[2]。作为可搜索加密的重要范式，带关键词搜索的公钥加密技术[3]允许云服务器在无需知晓明文内容的情况下执行加密查询。尽管这一技术十分实用，但标准的PEKS仅支持粗粒度的、一对一的数据共享方式。为在多用户云环境中实现更精细的访问控制，基于属性的可搜索加密技术[4]将访问策略融入到可搜索加密体系中。ABSE确保只有当关联的属性集满足既定访问策略且查询关键词与加密数据匹配时，用户才能成功获取对应的加密数据。然而，大多数现有的ABSE架构[5]、[6]、[7]依赖于经典的数论假设，如双线性对，而这些假设容易受到量子攻击[8]。虽然转向标准格结构[9]、[10]、[11]能够实现后量子安全，但由于存储需求较大以及大量的矩阵或向量乘法运算，其实际应用性较差。这些缺陷可以通过利用理想格上的难度假设来缓解[12]，尤其是环学习带误差问题。为实现后量子安全与良好的性能表现，基于RLWE问题的ABSE方案逐渐成为一种有前景的选择，因为它们能够在不牺牲保密性的前提下利用快速的多项式运算。

通常，标准的SE模型依赖于半诚实服务器假设。在实际应用中，恶意服务器可能会执行部分搜索或返回伪造的结果以节省计算资源。为应对这一威胁，用户必须验证所获取结果的正确性与完整性。现有的验证方法往往依赖于额外的数据结构，如数字签名[13]、布隆过滤器[14]或默克尔哈希树[5]。数字签名和默克尔哈希树虽能提供确定性的验证结果，但会增加额外的计算、存储或更新开销，而布隆过滤器则可能存在误报问题。此外，基于格的方案[15]、[16]利用格预图像采样算法生成可计算的验证证明。尽管这类证明与格结构更为兼容，但由于加密数据绑定不完全，它们仍易受到部分加密数据替换攻击的威胁。可搜索加密的基本安全要求是确保攻击者无法获取任何潜在的关键词信息。然而，Byun等人[17]发现了早期PEKS方案中的一个漏洞，即关键词猜测攻击，攻击者试图通过分析加密数据、搜索令牌或其内在关联来推断目标关键词。当这种攻击由不可信的云服务器执行时，就被称为（内部）KGA攻击。如图1所示，这种攻击主要有两种形式。由于实际关键词通常存在于一个规模较小且易于预测的范围内，加之加密数据缺乏用户身份验证机制，攻击者可以通过伪造候选关键词的加密数据来测试特定的搜索令牌，从而发起KGA攻击[7]。此外，令牌隐私方面的结构缺陷[9]使得攻击者即便截获了有效的搜索令牌，也能利用公开可用的参数对所有关键词进行逐一验证，从而在无需获取加密数据的情况下实施KGA攻击。因此，要消除这一漏洞，就必须为加密数据与搜索令牌引入双向认证机制。

为满足上述安全与功能需求，我们提出了一种基于RLWE的新型可验证属性型可搜索加密方案VABSE。其主要贡献如下：•精细的访问控制功能：我们基于RLWE构建了键策略型属性加密方案KP-ABE。具体而言，我们利用密钥同态求值机制[18]来支持以多项式深度布尔电路形式表示的访问策略。该设计使得多个授权接收方能够根据自身设定的策略灵活地获取加密数据。•搜索结果的可验证性：我们设计了与基于RLWE的架构相兼容的验证机制，以确保搜索结果的可验证性。发送方通过格预图像采样[19]生成验证证明，该证明能够将加密文件、文件标识符以及与加密数据相关的信息相互绑定。这样一来，接收方就能够检测出那些不完整、被替换或顺序被调整过的结果，而经过此类修改的结果几乎不可能通过验证。•关键词隐私保护：我们通过对加密数据与搜索令牌进行双向认证，并隐藏与认证相关的参数，从而实现了对（内部）KGA攻击的抵御。此外，通过将其问题转化为RLWE问题，我们证明了该方案能够确保加密数据与搜索令牌之间的不可区分性与不可关联性强，即便面对连续的多关键词攻击，攻击者也无法获取关键词信息。•高效的性能表现：通过与现有基于格的可搜索加密方案的理论和实验对比，我们的方案展现了出色的实际性能。与基于LWE的方案[9]、[20]相比，我们的方案在加密操作上的速度提升了约6倍和660倍，在令牌生成操作上的速度则提升了约16倍和940倍。

可搜索加密技术最初是由Song等人[2]提出的。虽然早期的对称加密方案在计算效率方面表现优异，但由于它们依赖于共享的密钥，因此在大规模数据共享场景中会出现密钥管理方面的瓶颈。为解决这一问题，Boneh等人[3]正式提出了PEKS技术，该技术允许在接收方的公钥下对数据进行加密，并通过用对应私钥生成的“陷阱门”来实现关键词检索。此后，PEKS技术又得到了进一步发展，衍生出了IBSE[21]、[22]以及ABSE[4]、[13]、[14]、[23]等多种方案，其中ABSE尤其适用于在云环境中实现精细且一对多的数据共享。然而，这些方案都依赖于经典的数论假设，因此容易受到量子攻击。为此，Li等人[11]提出了首个基于LWE的ABSE方案。从那以后，人们又基于标准LWE[9]、[10]、[20]、[24]、[25]、[26]或更为简洁的RLWE假设[27]、[28]，开发出了多种基于格的ABSE方案。

为确保结果的正确性，现有的可验证ABSE方案大多基于经典的数论假设构建。Miao等人[5]采用了默克尔哈希树来进行结果验证，但该方法会导致较大的存储开销，且无法实现精细的访问控制。Zheng等人[13]和Sun等人[14]则使用数字签名和基于布隆过滤器的验证方法，不过后者可能存在误报问题。Chen等人[23]引入了可信第三方和数字签名机制来验证结果的有效性。然而，这些方案并非基于格结构，因此无法直接解决后量子安全问题。在格计算框架下，Mei等人[15]首次提出了基于LWE假设并通过预图像采样技术实现的可验证IBSE方案，但其“先解密再验证”的处理方式并不适合大规模数据处理场景。在他们的验证方法基础上，Karimani等人[16]构建了基于中间积LWE的“先验证再解密”型可验证PEKS方案。不过，该验证方法仅绑定了用户的公钥、文件标识符及关键词，未能绑定文件数量或数据加密内容，这就使得该方案容易受到部分加密数据替换攻击的威胁。Wang等人[29]提出了一种基于LWE的可验证多关键词SE方案，该方案支持一次性验证，但其架构依赖于较大的矩阵尺寸，且会导致较高的存储开销。此外，上述基于格的可验证方案也都缺乏精细的访问控制功能以及高效的RLWE结构。

关于关键词的隐私保护问题，Byun等人[17]指出了PEKS架构中的结构缺陷，表明由于存在可被获取的公共参数，该架构极易遭受（内部）KGA攻击。为消除这一隐患，Huang等人[7]提出了带公钥认证的关键词搜索加密方案PAEKS，要求发送方使用自己的私钥对加密数据进行认证，从而防止全面攻击的发生。为实现后量子安全，近期的研究[30]、[31]、[32]在基于格的假设下构建了PAEKS架构。随后，又有多种基于格的ABSE方案[11]、[20]、[24]被提出，用以抵御（内部）KGA攻击。然而，Luo等人[9]发现这些ABSE方案存在“陷阱门”漏洞，无法有效抵御KGA攻击，于是他们提出了基于LWE的带属性认证的关键词搜索加密方案ABAEKS。为进一步提升计算效率，Yao等人[27]、[28]基于RLWE假设设计了高效的ABAEKS方案，但这些方案无法确保云服务器会诚实地返回搜索结果。

综上所述，现有的大多数ABSE方案都是基于数论假设或LWE假设构建的，这导致了它们较低的效率，同时也限制了其在许多实际应用场景中的适用性。如何构建一种基于RLWE的高效ABSE方案，既能实现完全的（内部）KGA防御能力，又能确保结果的可验证性，依然是一个亟待解决的难题。

章节节选
预备知识
本文中使用的各类符号已在表1中进行了汇总说明。
系统模型
在用于实现安全数据共享的云计算环境中，所提出的VABSE方案的系统模型如图2所示，该系统包含四个组成部分：密钥生成中心、数据发送方、数据接收方以及云服务器。•密钥生成中心：该机构负责初始化系统参数，并管理主密钥。它会通过安全通道为数据发送方生成并安全传输基于身份的密钥对，同时为数据接收方生成并传输基于策略的密钥。•数据发送方：数据发送方负责通过某种方式对数据文件进行加密。

我们的技术
在详细介绍方案的具体构成之前，我们先简要介绍其中的核心加密技术：(1)通过密钥同态求值实现访问控制：正如引理7中所阐述的，我们利用密钥同态求值功能来对RLWE体系下的访问控制进行精细化管理。Evalpp函数用于评估策略f，进而输出向量bf；而Evalct函数则用于处理与某个属性x相关的加密数据成分，最终输出cf=bf+(0∣f(x)?g)Ts+ef。如果属性x满足策略f的条件，即f(x)=0，那么cf的值就会变为bfTs+ef，如此一来……

性能表现
为评估我们所提出的VABSE方案的实际效率，我们将其在计算成本和存储开销方面与现有的基于格的可搜索加密方案进行了比较。

结论
在本文中，我们提出了一种基于RLWE问题的VABSE方案，旨在实现安全的云数据共享。该方案通过评估多项式深度的策略电路来实现精细的访问控制功能，同时还利用格预图像采样技术来确保搜索结果的可验证性。在RV安全模型下，除非概率极低，否则对返回的结果集进行的任何修改，比如删除、替换或重新排序操作，都将会被及时检测出来。此外，该方案还引入了双向认证机制，进一步增强了安全性。

CRediT作者贡献说明
李旺：撰写——原始稿件、软件实现、方法设计、概念构思。张颖：撰写——审稿与编辑、验证工作、形式化分析。周彦伟：撰写——审稿与编辑、验证工作、形式化分析。杨启亮：撰写——审稿与编辑、验证工作、形式化分析。孟茹：撰写——审稿与编辑、验证工作、形式化分析。杨波：撰写——审稿与编辑、项目监督、资金筹措。

利益冲突声明
作者们声明自己不存在任何可能影响本文研究成果的已知财务利益或个人关系。李旺目前在中国西安的陕西师范大学人工智能与计算机科学学院攻读硕士学位，她的研究兴趣包括信息安全与密码学领域。