基于容错学习的GSW型全同态层次型IBE方案

基于容错学习的GSW型全同态层次型IBE 方案作者：戴晓明张薇郑志恒李镇林来源：《计算机应用》2016年第07期摘要：针对传统的基于身份的加密（IBE）方案不能够对密文直接进行计算这一功能上的缺陷，提出了一个新的IBE方案。

该方案利用Gentry等提出的同态转化机制，结合Agrawal 等构造的层次型IBE方案，构造了一个具有全同态性质的层次型IBE方案。

与Gentry等提出的全同态加密（GSW）方案（GENTRY C， SAHAI A， WATERS B. Homomorphic encryption from learning with errors： conceptuallysimpler， asymptoticallyfaster， attributebased. CRYPTO 2013： Proceedings of the 33rd Annual Cryptology Conference on Advances in Cryptology. Berlin：Springer， 2013： 75-92）和Clear等提出的全同态IBE（CM）方案（CLEAR M，MCGOLDRICK C. Bootstrappable identitybased fully homomorphic encryption. CANS 2014：Proceedings of 13th International Conference on Cryptology and Network Security. Berlin：Springer， 2014： 1-19）相比，该方案构造方法更加自然，空间复杂度由立方级降低到平方级，效率更高。

在当前云计算背景下，有助于基于容错学习（LWE）的全同态加密方案从理论向实践转化。

通过性能分析并在随机预言机模型下验证了所提方案具有完全安全下的选择明文攻击（INDIDCPA）安全性。

关键词：全同态加密；基于身份的加密；近似特征向量；容错学习问题；密文校平中图分类号： TP309.7 文献标志码：A0引言全同态加密能够在不解密的条件下实现对密文的任意计算，解密后可以达到相应明文计算的效果。

全同态加密的这一优良特性使得它具有广阔的应用前景，如代理计算、电子投票、云存储中的密文搜索、安全多方计算等。

“全同态加密”的概念是由Rivest等[1]于1978年首次提出。

此后，学者们对构造同态加密方案进行了不断的探索，也提出了一些方案[2-4]，但这些方案在同态计算能力上非常有限，只能称为半同态或者类同态加密方案。

2009年，Gentry[5]开创性地利用自举和压缩的构造方法，基于理想格提出了第一个全同态加密方案。

这一突破性工作掀起了全同态加密的研究热潮，出现了许多按照Gentry所给框架进行设计的全同态加密方案[6-8]。

这种框架具有以下的缺点：为了取得自举性，需要对类同态方案的解密电路进行“压缩”，这需要一个额外的安全假设（稀疏子集和问题），导致方案的安全性较弱；在同态计算一个电路时，需要对每个电路门通过同态解密来进行密文更新，由于同态解密计算复杂度较高，导致方案效率很低。

2013年，Gentry等[9]不再基于Gentry的初始框架，而是基于近似特征向量构造了一个全同态加密（GentrySahaiWaters， GSW）方案，不需要密钥交换技术和模交换技术就可以实现层次型全同态加密，方案效率更高，且该方案的安全性基于容错学习（Learning With Errors，LWE）问题，密文的计算就是矩阵的加法与乘法，因此是非常自然的一个全同态加密方案。

Shamir[10]提出了基于身份的公钥加密（IdentityBased Encryption， IBE）体制，其中用户公钥是与用户身份相关的可识别的一串字符，这就为数据提供了更灵活的访问控制，但在当前云计算的背景下，用户的隐私信息将会以密文形式上传到云端；但传统的IBE并不支持任何对密文的计算，所以传统的IBE已经不能满足多用户条件下对于隐私信息的保护和操作，构造具有全同态性质甚至类同态性质的IBE方案成为一个公开问题。

在探索构造具有同态性质的IBE方案的过程中，主要产生了以下成果：2010年，Gentry等[11]利用文献[4]中的类同态方案构造了一个具有类同态性质的IBE方案（IdentityBased Somewhat Homomorphic Encryption， IBSHE）。

2013年，Clear等[12]基于Cocks[13]于2001年提出的IBE方案构造了一个具有加法同态性质的IBE方案，但该方案不能满足乘法同态的运算要求，同态计算能力十分有限。

因而构造具有全同态性质的IBE方案依然是一个开放的难题。

同年，Gentry等[9]首次提出具有全同态性质的层次型IBE方案，并提供了一种转化机制，可以将满足一定条件的IBE方案转化为全同态IBE方案（IdentityBased Fully Homomorphic Encryption， IBFHE），该转化机制同样适用于满足一定条件的基于属性的加密（Attribute Based Encryption， ABE， ABE）方案的转化。

2014年，Clear等[14]又提出了一个自举的IBFHE方案，同样能扩展应用到基于属性的加密方案，但由于采用了自举的构造方法实现全同态，不可避免地造成计算复杂度太高。

针对以上问题，本文利用GSW方案提出的转化机制，结合2010年Agrawal等[15]提出的层次型IBE（Hierarchical IdentityBased Encryption， HIBE）方案，构造了一个新的层次型IBFHE（Hierarchical IdentityBased Fully Homomorphic Encryption， HIBFHE）方案，摒弃了以往基于LWE的同态加密方案利用重新线性化实现全同态的方式，而是使用了更为高效的近似特征向量的方式，对密文进行加、乘运算直接对应到矩阵的加、乘运算，构造方法上更加自然，空间复杂度也由立方级降低到平方级，这对于基于LWE的全同态加密方案从理论向实践转化是非常关键的。

此外，本文方案在同态运算的过程中，不像以往的同态加密算法需要解密密钥的参与，因而支持只拥有公开参数的用户对同一目标身份下的密文进行同态运算，这也正是GSW方案能够与普通IBE方案相结合的根本原因。

本文方案与原GSW方案相比，效率上有很大提高，文中进行了效率分析，并在随机预言机模型下证明该基于身份的层次型全同态加密方案对于完全安全下的选择明文攻击（Indistinguishability of the IdentityBased Encryption Scheme under ChosenPlaintext Attack， INDIDCPA）安全。

1相关基础理论1.1LWE问题和GvpSAPRegev[16]对LWE问题有详细描述，下面进行简要介绍。

定义1给定安全参数λ，令整数维n=n（λ），整数q=q（λ）≥2，χ=χ（λ）是Z上的一个分布。

LWEn，q，χ问题就是区分以下两个分布：1）分布（ai，bi）随机取自Zn+1q；2）随机选择s ← Znq，ai ← Znq，ei ← χ，令bi=〈ai，s〉+ei，然后生成（ai，bi）∈Zn+1q，LWEn，q，χ假设就是LWEn，q，χ问题是困难的。

为了简化运算，将向量bi‖ai作为矩阵A的行，重新定义s ← （1，-s），这样无论矩阵A 是否是随机矩阵或者s的第一个元素是否是1，都能保证生成的向量e=A·s的元素取自分布χ。

定义2对于格的维系数n和一个给定的数d，GapSVPγ问题是作出判定：n维格是拥有一个长度比d短的向量还是任何向量长度都比γ（n）·d大。

定理1[17]利用模n次多项式解决n维LWE问题意味着存在最坏情况的n维格上困难问题（如GapSVP）的高效解决方案。

1.2全同态加密本文的公式存在问题，即打开公式编辑器看到的公式，与word中看到的公式不一致，经过校对，现在已调整为word所显示的公式，请作者核对公式是否有误？若有，请单独指出来。

同态加密方案含有4个算法：密钥生成算法（KeyGen）、加密算法（Encrypt）、解密算法（Decrypt）和密文计算算法（Evaluate）。

其中前3个算法提供加密和解密功能，密文计算算法是同态加密方案的核心所在，因为同态的目的就是要实现对密文的直接计算。

将同态性质描述如下。

1）生成系统参数和公私钥，Gen（1λ）→ （pk，sk），c∈C，m1，m2，…，mt∈M。

2）运用同态加密对明文进行加密运算，得到相应密文：c1，c2，…，ct ← Enc（pk，m1），Enc（pk，m2），…，Enc（pk，mt）3）密文计算算法对布尔电路Cir上输入的一组密文c=（c1，c2，…，ci）（其中ci ← encrypt（mi））进行计算输出一个新的密文c′。

4）解密算法对经过同态计算后的密文解密，得到与对明文作相应运算的结果相同的解密结果：Cir（m1，m2，…，mt）=Dec（sk，Eval（pk，Cir，c1，c2，…，ct））定义3同态加密的正确性。

对于给定的电路Cir，任意由KeyGen生成的密钥对（pk，sk），任意t个明文m1，m2，…，mt以及经同态加密后每个明文对应的密文c1，c2，…，ct （其中ci ← encrypt（mi）），如果方案满足：Dec（sk，Evaluate（pk，Cir，c））=C（m1，m2，…，mt）则称该同态加密方案是正确的。

定义4全同态加密。

如果对于所有的算术电路类，方案都具有同态性质，则称方案为全同态加密方案。

1.3HIBE方案及安全模型IBE方案包括4个算法：Setup、KeyGen、Encrypt、Decrypt。

其中：Setup算法生成系统主密钥（MSK，MPK），KeyGen（MSK，id）算法输出身份id的私钥skid，Enc（MPK，id，μ）算法输出在身份id下对明文μ的加密密文c，Dec（skid，c）算法对密文c进行解密（前提是私钥skid是在身份id下的）。

通常KeyGen算法也被记作Extract算法，与Setup算法中出现的密钥生成加以区分，以免造成混淆。

HIBE方案可以解决单私钥生成器（Private Key Generator， PKG）负载过重的问题，并使其适合分布式环境下IBE方案的部署和应用。

在HIBE方案中，身份信息不再是字符串而是向量，HIBE方案有第5个算法叫作Derive算法，它可以利用身份信息id′=（id1，id2，…，idl）和该身份对应的私钥skid′，生成身份id=（id1，id2，…，idl，…，idk）对应的私钥skid，该私钥与运行KeyGen算法对身份id输出的私钥相同。