211287364_一个无安全信道的无证书公钥可搜索加密方案

ｄｏｉ:１０ １１９２０/ｘｎｍｄｚｋ ２０２３ ０３ ０１１
一个无安全信道的无证书公钥可搜索加密方案
孙莹莹１ꎬ２ꎬ刘晓光１ꎬ２ꎬ３ꎬ刁颖颖３ꎬ谯小康１
(１.西南民族大学计算机科学与工程学院ꎬ四川成都㊀６１００４１ꎻ２.广西密码学与信息安全重点实验室ꎬ广西桂林㊀５４１００４ꎻ
３.西南民族大学数学学院ꎬ四川成都㊀６１００４１)
摘㊀要:数据通常被加密后存储至云服务器ꎬ尽管这样可以保证数据的安全ꎬ但限制了用户对密文的搜索ꎬ公钥可搜索加密技术(ＰＥＫＳ)应运而生.结合无证书公钥密码学体制ꎬ提出了一种无证书轻量级可认证的无安全信道ＰＥＫＳ方案.该方案在随机预言模型下被证明是安全的.分析结果表明ꎬ推出的方案在安全性㊁计算成本和通信成本方面具有更好的综合性能.
关键词:无安全信道ꎻ无双线性对ꎻ无证书ꎻ公钥可搜索加密中图分类号:ＴＰ３０９.７㊀㊀㊀㊀㊀㊀㊀㊀㊀
文献标志码:Ａ㊀㊀㊀㊀㊀㊀㊀㊀㊀文章编号:２０９５￣４２７１(２０２３)０３￣０３１２￣１１
收稿日期:２０２２￣０９￣２２
通信作者:刘晓光(１９８５￣)ꎬ男ꎬ甘肃定西人ꎬ副教授ꎬ博士ꎬ研究方向:密码学㊁信息安全.Ｅ￣ｍａｉｌ:２１７００１２８＠ｓｗｕｎ.ｅｄｕ.ｃｎ
基金项目:四川省科技计划项目(２０２３ＮＳＦＳＣ０４７１)ꎻ广西密码与信息安全重点实验室基金(ＧＣＩＳ２０２１２１)ꎻ国家外专项目
(ＤＬ２０２２１８６００１Ｌ)ꎻ西南民族大学中央高校基本科研业务费专项资金项目(２０２１ＮＹＹＸＳ６４)
Ａｃｅｒｔｉｆｉｃａｔｅｌｅｓｓｐｕｂｌｉｃｋｅｙｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅｗｉｔｈｏｕｔｓｅｃｕｒｅｃｈａｎｎｅｌ
ＳＵＮＹｉｎｇ￣ｙｉｎｇ１ꎬ２ꎬＬＩＵＸｉａｏ￣ｇｕａｎｇ１ꎬ２ꎬ３ꎬＤＩＡＯＹｉｎｇ￣ｙｉｎｇ３ꎬＱＩＡＯＸｉａｏ￣ｋａｎｇ１
(１.ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＥｎｇｉｎｅｅｒｉｎｇꎬＳｏｕｔｈｗｅｓｔＭｉｎｚｕＵｎｉｖｅｒｓｉｔｙꎬＣｈｅｎｇｄｕ６１００４１ꎬＣｈｉｎａꎻ２.ＧｕａｎｇｘｉＫｅｙＬａｂｏｒａｔｏｒｙ
ｏｆＣｒｙｐｔｏｇｒａｐｈｙａｎｄＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙꎬＧｕａｎｇｘｉ５４１００４ꎬＣｈｉｎａꎻ３.ＳｃｈｏｏｌｏｆＭａｔｈｅｍａｔｉｃｓꎬＳｏｕｔｈｗｅｓｔＭｉｎｚｕＵｎｉｖｅｒｓｉｔｙꎬ
Ｃｈｅｎｇｄｕ６１００４１ꎬＣｈｉｎａ)
Ａｂｓｔｒａｃｔ:Ｄａｔａｉｓｅｎｃｒｙｐｔｅｄａｎｄｓｔｏｒｅｄｏｎａｃｌｏｕｄｓｅｒｖｅｒꎻｉｔｃａｎｅｎｓｕｒｅｄａｔａｓｅｃｕｒｉｔｙꎬｂｕｔｌｉｍｉｔｓｕｓｅｒｓ ｓｅａｒｃｈｆｏｒｃｉｐｈｅｒｔｅｘｔ.Ｓｏｔｈｅｐｕｂｌｉｃｋｅｙｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎｔｅｃｈｎｏｌｏｇｙ(ＰＥＫＳ)ｃａｍｅｉｎｔｏｂｅｉｎｇ.ＴｈｉｓｐａｐｅｒｐｒｏｐｏｓｅｄａｌｉｇｈｔｗｅｉｇｈｔａｎｄａｕｔｈｅｎｔｉｃａｔａｂｌｅＰＥＫＳｓｃｈｅｍｅｗｉｔｈｏｕｔｓｅｃｕｒｅｃｈａｎｎｅｌꎬｗｈｉｃｈｉｓｃｏｍｂｉｎｅｄｗｉｔｈｃｅｒｔｉｆｉｃａｔｅｌｅｓｓｐｕｂｌｉｃｋｅｙｃｒｙｐｔｏｇｒａｐｈｙ.Ｔｈｅｓｃｈｅｍｅｗａｓｐｒｏｖｅｄｔｏｂｅｓｅｃｕｒｅｕｎｄｅｒｔｈｅｒａｎｄｏｍｏｒａｃｌｅｍｏｄｅｌ.Ｔｈｅａｎａｌｙｓｉｓｒｅｓｕｌｔｓｓｈｏｗｅｄｔｈａｔｔｈｅｐｒｏｐｏｓｅｄｓｃｈｅｍｅｈａｄｂｅｔｔｅｒｃｏｍｐｒｅｈｅｎｓｉｖｅｐｅｒ￣ｆｏｒｍａｎｃｅｉｎｔｅｒｍｓｏｆｓｅｃｕｒｉｔｙꎬｃｏｍｐｕｔａｔｉｏｎｃｏｓｔａｎｄｃｏｍｍｕｎｉｃａｔｉｏｎｃｏｓｔ.
Ｋｅｙｗｏｒｄｓ:ｆｒｅｅｓｅｃｕｒｅｃｈａｎｎｅｌꎻｆｒｅｅｐａｉｒｉｎｇꎻｃｅｒｔｉｆｉｃａｔｅｌｅｓｓꎻｐｕｂｌｉｃｋｅｙｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎ
㊀㊀众所周知ꎬ加密技术可以增强数据的安全性ꎬ却限制了用户对数据的高效搜索和共享.一个不理想的解决方案是用户首先下载所有加密数据ꎬ待全部解密后进行搜索操作.但随着数据规模的不断增大ꎬ计算和通信成本会呈指数级增加.为解决这个问题ꎬ基于对称加密的可搜索方案首先被提出[１].然而ꎬ一个棘手问题是如何秘密地将密钥分发给授权用户[２].此外ꎬ该类方案不可避免地会消耗大量的计算和通信成本.
２００４年ꎬＢｏｎｅｈ等人[３]给出了第一个ＰＥＫＳ方案.此方案实现了Ｂｏｂ通过云服务器向Ａｌｉｃｅ发送文档ꎬ具体
过程如下:Ｂｏｂ首先从文档中提取关键字ꎬ并用Ａｌｉｃｅ的公钥加密ꎬ生成关键字密文并上传至服务器.Ａｌｉｃｅ使用
３１３
㊀
第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案
其私钥加密关键字生成陷门ꎬ并将生成的陷门发送至服务器.最后ꎬ服务器对接收到的关键字密文和陷门进行测试.如果二者包含的关键字相同ꎬ服务器将把包含该关键字的文档发送给Ａｌｉｃｅ.然而ꎬＢａｅｋ等人[４]指出方案[３]为了保证陷门的安全性ꎬ需要通过高消耗的安全信道将陷门传输至服务器.因此ꎬ他们提出了一个无安全信道的ＰＥＫＳ方案(ＳＣＦ－ＰＥＫＳ).该方案中ꎬ云服务器的公㊁私钥分别参与密文的生成与测试算法.Ｙａｕ等人[５]指出方案[４]容易受到离线关键字猜测攻击.这是因为用户通常使用常见的关键字来进行搜索操作ꎬ关键字是在一个很小的空间中选择的[６].Ｒｈｅｅ等人[７]设计了一个增强的ＳＣＦ－ＰＥＫＳ方案ꎬ但此方案只考虑了外部关键字猜测攻击(ＯＫＧＡ)ꎬ却不能抵抗内部关键字猜测攻击(ＩＫＧＡ).Ｘｕ等人[８]提出了模糊关键字ＰＥＫＳ方案.在该方案中ꎬ每个关键字对应一个精确的关键字搜索陷门和一个模糊的关键字搜索陷门ꎬ但该方案也只能抵抗ＯＫＧＡ.Ｌｕ等人[９]提出了一个基于证书的ＳＣＦ－ＰＥＫＳ方案.此方案可有效抵抗ＩＫＧＡꎬ却引入了繁琐的证书管理问题.Ｌｉ等人[１０]提出了一个基于身份的ＳＣＦ－ＰＥＫＳ方案.该方案解决了证书管理问题ꎬ却存在密钥托管问题.Ｐａ￣ｋｎｉａｔ[１１]提出了一个无证书的ＳＣＦ－ＰＥＫＳ方案ꎬ有效地解决了证书管理和密钥托管问题.然而ꎬＭｉａｏ等人[１２]指出ꎬ大多数现有的ＰＥＫＳ方案仍然容易受到ＩＫＧＡ攻击ꎬ这意味着内部敌手可以成功地猜测出候选关键字.２０１９年ꎬＺｈａｎｇ等人[１３]提出了无证书公钥认证的ＳＣＦ－ＰＥＫＳ方案.２０２１年ꎬＬｕ等人[１４]提出了轻量级公钥认证ＰＥＫＳ方案.此类基于认证的方案通过验证发送者的身份ꎬ可有效抵抗ＩＫＧＡ和ＯＫＧＡ.
遗憾的是ꎬ现有的许多无安全通道ＰＥＫＳ方案都依赖于高消耗的双线性对.本文中ꎬ我们将提出一个无证书轻量级可认证的无安全信道ＰＥＫＳ方案(ＳＣＦ－ＰＡＥＫＳ)ꎬ主要贡献如下:１)方案基于无证书密码学ꎬ不存在证书管理和密钥托管问题ꎻ２)使用标量乘法代替高成本的双线性对ꎬ具有更高的效率ꎻ３)为了增强方案的安全性ꎬ我们在加密方案中不仅输入数据接受者的公钥ꎬ还输入数据拥有者的公钥ꎬ使得数据接收者可以验证数据拥有者的身份ꎻ４)对所推出的方案进行了性能分析ꎬ并在随机预言模型下证明了方案的安全性.
１㊀预备知识
㊀㊀下面将给出本文算法安全性所基于的困难问题和基本系统模型.
图１㊀ＳＣＦ－ＰＡＥＫＳ系统模型
Ｆｉｇ.１㊀ＳＣＦ－ＰＡＥＫＳｓｙｓｔｅｍｍｏｄｅｌ
１.１㊀椭圆曲线Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ问题
设Ｇ是椭圆曲线上的点组成的加法循环群ꎬ其阶数为素数ｑ.Ｐ是Ｇ的生成元.下面将分别给出椭圆曲线Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ(ＣＤＨ)问题和决策Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ(ＤＤＨ)问题的定义.
定义１(ＣＤＨ):给出三元组(ＰꎬａＰꎬｂＰ)ɪＧꎬ其中ａꎬｂɪＺｐ∗ꎬ计算ａｂＰ是困难问题.
定义２(ＤＤＨ):给出四元组(ＰꎬａＰꎬｂＰꎬｃＰ)ꎬ其中ａꎬｂꎬｃɪＺｐ∗ꎬ确定ｃ是否等于ａｂ是困难问题.
４１３
西南民族大学学报(自然科学版)第４９卷１.２㊀系统模型
如图１所示ꎬＳＣＦ－ＰＡＥＫＳ方案的系统模型主要由四个实体组成:密钥生成中心(ＫＧＣ)㊁云服务器㊁数据拥有者和数据接收者.每个实体的工作方式如下:
１)ＫＧＣ:它是一个半可信的第三方ꎬ可以生成系统主密钥以及数据拥有者㊁数据接收者和云服务器的部分私钥.同时ꎬＫＧＣ负责公布系统参数.
２)数据拥有者:他/她的加密信息分为两部分.首先ꎬ他/她使用自己的私钥加密数据并生成密文ꎬ同时从数据中提取关键词.其次ꎬ数据拥有者使用提出的ＳＣＦ－ＰＡＥＫＳ方案对关键字进行加密ꎬ生成关键字密文ꎬ并将密文上传到云服器.
３)数据接收者:他/她使用其私钥㊁数据拥有者的公钥和云服务器的公钥为他/她想要搜索的关键字生成陷门ꎬ并将陷门发送给云服务器.
４)云服务器:存储和处理数据的半可信第三方.它利用自己的私钥测试数据所有者发送的关键字密文与数据接收者发送的陷门.如果二者包含相同的关键字ꎬ它会将相应的信息返回给数据接收者.
２㊀ＳＣＦ－ＰＡＥＫＳ方案
表１㊀符号定义
Ｔａｂｌｅ１㊀Ｓｙｍｂｏｌｄｅｆｉｎｉｔｉｏｎ
符号定义
Ｇ加法循环群
Ｇ１乘法循环群
Ｇ２乘法循环群
ｑ素数阶
ｐ生成元
λ安全参数
ｓ系统主密钥
ＩＤｉ身份
Ｈｉ哈希映射
ｄＩＤ
ｉ部分私钥
ＳＫＩＤｉ私钥
ＰＫＩＤｉ公钥
ｒＩＤｉꎬｘＩＤｉ随机值
㊀㊀该方案由以下八个多项式时间算法组成.我们分别定义数据拥有者㊁数据接收者和云服务器的身份为ＩＤＯ㊁ＩＤＲ和ＩＤＳ.算法中所使用的符号见表１.
２.１㊀初始化
给定一个安全参数λꎬＫＧＣ选择一个阶为ｑ的加法循环群ＧꎬＰ是Ｇ的生成元.ＫＧＣ选择随机值ｓɪＺｑ∗作为系统主密钥ꎬ并计算Ｐｐｕｂ＝ｓＰ作为系统公钥.ＫＧＣ选择三个不同的哈希函数:Ｈ１:{０ꎬ１}∗ˑＧңＺｑ∗ꎬＨ２:ＧˑＧˑＧˑＧˑＧң{０ꎬ１}∗ꎬＨ３:{０ꎬ１}∗ˑ{０ꎬ１}∗ңＺｑ∗.ＫＧＣ保密系统主密钥ｓꎬ并公开系统参数ｐａｒａｍｓ＝{λꎬＧꎬｑꎬＰꎬＰｐｕｂꎬＨ１ꎬＨ２ꎬＨ３}.
第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案㊀
２.２㊀设置部分私钥
ＫＧＣ将执行以下步骤:
１)输入数据拥有者的身份ＩＤＯɪ{０ꎬ１}∗.ＫＧＣ选择随机值ｒＩＤＯɪＺｑ
∗
计算ꎬ并计算ＱＩＤＯ＝ｒＩＤＯＰꎬμＩＤＯ＝
Ｈ１(ＩＤＯꎬＱＩＤＯ)ꎬ和ｄＩＤＯ＝ｒＩＤＯ＋ｓμＩＤＯ(ｍｏｄｑ).ＫＧＣ返回ＱＩＤＯꎬμＩＤＯ和ｄＩＤＯ给数据拥有者.２)输入数据接收者的身份ＩＤＲɪ{０ꎬ１}∗.ＫＧＣ选择随机值ｒＩＤＲɪＺｑ∗
ꎬ并计算ＱＩＤＲ＝ｒＩＤＲＰꎬμＩＤＲ＝
Ｈ１(ＩＤＲꎬＱＩＤＲ)和ｄＩＤＲ＝ｒＩＤＲ＋ｓμＩＤＲ(ｍｏｄｑ).ＫＧＣ返回ＱＩＤＲꎬμＩＤＲ和ｄＩＤＲ给数据接收者.３)输入云服务器的身份ＩＤＳɪ{０ꎬ１}∗.ＫＧＣ选择随机值ｒＩＤＳɪＺｑ∗ꎬ并计算ＱＩＤＳ＝ｒＩＤＳＰꎬμＩＤＳ＝Ｈ１(ＩＤＳꎬ
ＱＩＤＳ)和ｄＩＤＳ＝ｒＩＤＳ＋ｓμＩＤＳ(ｍｏｄｑ).ＫＧＣ返回ＱＩＤＳꎬμＩＤＳ和ｄＩＤＳ给云服务器.
２.３㊀设置秘密值
输入ＩＤＯɪ０ꎬ１{}∗ꎬＩＤＲɪ０ꎬ１{}∗和ＩＤＳɪ０ꎬ１{}∗.
１)数据拥有者选择随机值ｘＩＤＯɪＺｑ∗作为自己的秘密值.
２)数据接收者选择随机值ｘＩＤＲɪＺｑ
∗
作为自己的秘密值.
３)云服务器选择随机值ｘＩＤＳɪＺｑ
∗
作为自己的秘密值.
２.４㊀设置私钥
１)数据拥有者设置ＳＫＩＤＯ＝(ＳＫＩＤＯ１ꎬＳＫＩＤＯ２)＝(ｘＩＤＯꎬｄＩＤＯ)作为自己的私钥.２)数据接收者设置ＳＫＩＤＲ＝(ＳＫＩＤＲ１ꎬＳＫＩＤＲ２)＝(ｘＩＤＲꎬｄＩＤＲ)作为自己的私钥.３)云服务器设置ＳＫＩＤＳ＝(ＳＫＩＤＳ１ꎬＳＫＩＤＳ２)＝(ｘＩＤＳꎬｄＩＤＳ)作为自己的私钥.
２.５㊀设置公钥输入系统参数ｐａｒａｍｓꎬ并分别输入数据拥有者的秘密值ꎬ数据接收者的秘密值和云服务器的秘密值ｘＩＤＯꎬ
ｘＩＤＲ和ｘＩＤＳ.
１)数据拥有者计算ＹＩＤＯ＝ｘＩＤＯＰꎬ将ＰＫＩＤＯ＝(ＰＫＩＤＯ１ꎬＰＫＩＤＯ２)＝(ＹＩＤＯꎬＱＩＤＯ)设置为自己的公钥.２)数据接收者计算ＹＩＤＲ＝ｘＩＤＲＰꎬ将ＰＫＩＤＲ＝(ＰＫＩＤＲ１ꎬＰＫＩＤＲ２)＝(ＹＩＤＲꎬＱＩＤＲ)设置为自己的公钥.３)云服务器计算ＹＩＤＳ＝ｘＩＤＳＰꎬ将ＰＫＩＤＳ＝(ＰＫＩＤＳ１ꎬＰＫＩＤＳ２)＝(ＹＩＤＳꎬＱＩＤＳ)设置为自己的公钥.２.６㊀ＳＣＦ－ＰＡＥＫＳ方案
输入ｐａｒａｍｓꎬＳＫＩＤＯꎬＰＫＩＤＲ和ＰＫＩＤＳ.数据拥有者按照下列步骤加密关键字ｗ:
１)数据拥有者选择随机值ｒ１ɪＺｑ∗
.
２)数据拥有者计算:
θ１＝Ｈ２(ＳＫＩＤＯ１ ＰＫＩＤＲ１ꎬＰＫＩＤＲꎬＰＫＩＤＯ)ꎬ(１)Ｋ１＝Ｈ３(ｗꎬθ１)ꎬＣ１＝ｒ１Ｐꎬ(２)Ｃ２＝Ｃ１＋Ｋ１ ＳＫＩＤＯ２
－１
(ＰＫＩＤＯ２＋μＩＤＯＰｐｕｂ)ꎬ
(３)Ｃ３＝ｒ１(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).(４)
数据拥有者返回Ｃ＝(Ｃ１ꎬＣ２ꎬＣ３).
２.７㊀陷门
输入ｐａｒａｍｓꎬＳＫＩＤＲꎬＰＫＩＤＯ和ＰＫＩＤＳ.数据接收者按照如下步骤生成陷门Ｔｗ:
１)数据接收者选择随机值ｒ２ɪＺｑ∗
.
２)数据接收者计算:
θ２＝Ｈ２(ＳＫＩＤＲ１ ＰＫＩＤＯ１ꎬＰＫＩＤＲꎬＰＫＩＤＯ)ꎬ(５)Ｋ２＝Ｈ３(ｗ'ꎬθ２)ꎬＴ１＝ｒ２Ｐꎬ(６)Ｔ２＝(Ｋ２＋ｒ２)ＳＫＩＤＲ２
－１
(ＰＫＩＤＲ２＋μＩＤＲＰｐｕｂ)ꎬ
(７)
５
１３
西南民族大学学报(自然科学版)第４９卷
Ｔ３＝ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).(８)
数据接收者返回陷门Ｔｗ'＝(Ｔ１ꎬＴ２ꎬＴ３).
２.８㊀测试
输入ｐａｒａｍｓꎬＴｗ'ꎬＳＫＩＤＳ和关键字密文Ｃ.云服务器验证等式Ｃ２(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３＝Ｔ２(ｘＩＤＳ＋ｄＩＤＳ)＋Ｔ３((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１是否成立.如果成立ꎬ输出１ꎬ否则ꎬ输出０.正确性验证:Ｔｗᶄ是关键字ｗᶄ的陷门ꎬｗ是密文Ｃ中的关键字.我们知道
㊀㊀㊀㊀㊀θ１＝Ｈ２(ＳＫＩＤＯ１ ＰＫＩＤＲ１ꎬＰＫＩＤＲꎬＰＫＩＤＯ)＝Ｈ２(ｘＩＤＯ ＹＩＤＲꎬＰＫＩＤＲꎬＰＫＩＤＯ)＝Ｈ２(ｘＩＤＯ ｘＩＤＲ ＰꎬＰＫＩＤＲꎬＰＫＩＤＯ)＝Ｈ２(ＳＫＩＤＲ１ ＰＫＩＤＯ１ꎬＰＫＩＤＲꎬＰＫＩＤＯ)＝θ２.
(９)
㊀㊀㊀㊀
㊀Ｃ２(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３㊀
＝(Ｃ１＋Ｋ１ ＳＫＩＤＯ２
－１
(ＰＫＩＤＯ２＋μＩＤＯＰｐｕｂ))(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３＝
ｒ１Ｐ(ｘＩＤＳ＋ｄＩＤＳ)＋Ｋ１Ｐ(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３＝Ｋ１(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).
(１０)
和
㊀㊀Ｔ２(ｘＩＤＳ＋ｄＩＤＳ)＋Ｔ３((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１＝
(Ｋ２＋ｒ２)ＳＫＩＤＲ２
－１
(ＰＫＩＤＲ２＋μＩＤＲＰｐｕｂ)(ｘＩＤＳ＋ｄＩＤＳ)＋Ｔ３((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１＝
(Ｋ２＋ｒ２)Ｐ(ｘＩＤＳ＋ｄＩＤＳ)＋ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ)((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１＝(Ｋ２＋ｒ２)Ｐ(ｘＩＤＳ＋ｄＩＤＳ)＋ｒ２Ｐ－ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ)－Ｔ１＝Ｋ２(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).
(１１)由于θ１＝θ２ꎬ故若ｗ＝ｗᶄꎬ则Ｋ１＝Ｋ２.因此有:
Ｃ２(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ３＝Ｔ２(ｘＩＤＳ＋ｄＩＤＳ)＋Ｔ３((ｘＩＤＳ＋ｄＩＤＳ)－１－１)－Ｔ１.
(１２)
３㊀安全证明
㊀㊀在本节中ꎬ我们首先给出ＳＣＦ－ＰＡＥＫＳ方案的安全模型.随后对所提出方案进行安全性分析.分析结果表明ꎬ在随机预言模型下ꎬ该方案可有效抵抗ＩＫＧＡ且此方案满足密文不可区分性.
３.１㊀安全模型
在无证书密码系统的自适应性选择密文攻击游戏中ꎬ我们定义了挑战者Ｃ分别与外部敌手Ａ１ꎬ内部敌手
Ａ２之间的攻击博弈.外部敌手Ａ１可以任意替换用户的公钥ꎬ但不能获取系统主密钥.内部敌手Ａ２ꎬ通常指半可信云服务器.它可以获得系统主密钥ꎬ但不能替换用户的公钥.
游戏１:这是一个挑战者Ｃ与外部敌手Ａ１之间的互动.
初始化:给定安全参数λꎬＣ运行系统算法产生参数ｐａｒａｍｓ和系统主密钥ｓ.Ｃ保密ｓꎬ并把ｐａｒａｍｓ发送给Ａ１.
哈希查询:Ｃ允许Ａ１查询哈希预言并返回哈希值.
部分私钥查询:Ａ１对身份ＩＤ进行查询ꎬＣ计算该身份的部分私钥ｄＩＤ并将其返回给Ａ１.私钥查询:Ａ１对身份ＩＤ进行查询ꎬＣ计算相应的私钥ＳＫＩＤ返回给Ａ１.公钥查询:Ａ１对身份ＩＤ进行查询ꎬＣ将相应的公钥ＰＫＩＤ返回给Ａ１.替换公钥查询:Ａ１选择新的公钥ＰＫᶄＩＤ用于替换原始公钥ＰＫＩＤ.
陷门查询:Ａ１对身份ＩＤＯ㊁ＩＤＳ及关键字ｗ进行查询ꎬＣ生成陷门Ｔｗ并返回给Ａ１.挑战:Ａ１选择未执行过陷门查询的ｗ０和ｗ１作为挑战关键字.Ｃ随机选择ｂᶄɪ{０ꎬ１}ꎬ然后通过执行算法生成关键字密文ｗｂ并发送给Ａ１.
更多查询:Ａ１可继续执行以上阶段查询(ｗ０和ｗ１陷门查询除外).
猜测:Ａ１给出猜测结果ｂᶄɪ{０ꎬ１}.若ｂᶄ＝ｂꎬ则Ａ１挑战成功.Ａ１挑战成功的优势定义为:
６
１３
第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案㊀
Ａｄｖ(Ａ１)＝
Ｐｒｂᶄ＝ｂ[]－１/２.
(１３)
游戏２:这是一个挑战者Ｃ与内部敌手Ａ２之间的互动.
初始化:给定安全参数λꎬＣ运行系统算法产生参数ｐａｒａｍｓ和系统主密钥ｓꎬ并把它们发送给Ａ２.查询:除提取私钥查询和替换公钥查询外ꎬＡ２可执行与游戏１相同的查询.挑战:Ａ２选择未执行过陷门查询的ｗ０和ｗ１作为挑战关键字.Ｃ随机选择ｂᶄɪ{０ꎬ１}ꎬ然后通过执行算法生成关键字密文ｗｂ并发送给Ａ２.
更多查询:Ａ２可继续执行以上阶段询问(ｗ０和ｗ１陷门查询除外).猜测:Ａ２给出猜测结果ｂᶄɪ{０ꎬ１}.若ｂᶄ＝ｂꎬ则Ａ２挑战成功.Ａ２挑战成功的优势定义为:
Ａｄｖ(Ａ２)＝
Ｐｒｂᶄ＝ｂ[]－１/２.
(１４)
定义３:如果没有敌手以不可忽略的优势Ａｄｖ(Ａ１)和Ａｄｖ(Ａ２)赢得游戏ꎬ说明所提出的ＳＣＦ－ＰＡＥＫＳ方案在抵抗ＩＫＧＡ时是语义安全的.３.２㊀证明
定理１:假设ＣＤＨ是困难问题ꎬ则所提出的ＳＣＦ－ＰＡＥＫＳ方案在随机语言模型中是语义安全的.这个定理可由以下两个引理证明.
引理１:假设有一个外部敌手Ａ１以不可忽略的优势ε赢得ＳＣＦ－ＰＡＥＫＳ方案.我们必须构造一个算法Ｃ以不可忽略优势:
εᶄ⩾２εｑＨ１１－１
ｑＨ１
()
ｑＥ＋ｑＳ＋ｑＴ
.(１５)
来解决ＣＤＨ问题ꎬ其中ｑＨ１ꎬｑＥꎬｑＳꎬｑＴ分别表示Ｈ１查询ꎬ部分私钥查询ꎬ秘密值查询ꎬ陷门查询的最大查询次数.
证明:假设(ＰꎬａＰꎬｂＰ)是ＣＤＨ问题随机生成的一个实例ꎬ那么算法Ｃ通过与敌手Ａ１交互来模拟挑战者.
初始化:Ｃ随机选择ＩＤＩ１£Ｉ£ｑＨ１()作为挑战者身份.然后Ｃ执行算法计算系统公钥Ｐｐｕｂ＝ａＰ和系统参ｐａｒａｍｓ＝
λꎬＧꎬｑꎬＰꎬＰ
ｐｕｂ
ꎬＨ１ꎬＨ２ꎬＨ３{}.最后ꎬＣ返回ｐａｒａｍｓ给Ａ１.
Ｈ１查询:Ｃ维护一张ＬＨ１列表(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)ꎬ当收到Ａ１关于(ＩＤｉꎬＱＩＤｉ)的查询时ꎬ若(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)已存
在于ＬＨ１ꎬ则Ｃ返回μＩＤｉ.否则ꎬＣ选择随机值μＩＤｉɪＺｑ
∗
ꎬ将其返回给Ａ１ꎬ并将(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)加入ＬＨ１.
Ｈ２查询:Ｃ维护一张ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)ꎬ当收到Ａ１关于(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉ)
的查询时ꎬ若(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)已经存在于ＬＨ２ꎬ则Ｃ返回θｉ.否则ꎬＣ随机选择θｉɪＺｑ∗ꎬ将其返回给Ａ１ꎬ并将(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)加入ＬＨ２.Ｈ３查询:Ｃ维护一张ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)ꎬ当收到Ａ１关于(ｗｉꎬθｉ)的查询时ꎬ若(ｗｉꎬθｉꎬｋｉ)已经存在于ＬＨ３ꎬ则Ｃ返回ｋｉ.否则ꎬＣ随机选择ｋｉɪＺｑ
∗
将其返回给Ａ１ꎬ并将(ｗｉꎬθｉꎬｋｉ)加入ＬＨ３.
部分私钥查询:Ｃ维护一张Ｌｐ１列表(ＩＤｉꎬＱＩＤｉꎬｄＩＤｉ).当收到Ａ１关于ＩＤｉ的查询时ꎬ若ＩＤｉ＝ＩＤＩꎬＣ终止算
法(这个过程由Ｅ１表示).否则ꎬＣ随机选择ｄＩＤｉɪＺｑ∗
ꎬ将其返回给Ａ１ꎬ并将(ＩＤｉꎬＱＩＤｉꎬｄＩＤｉ)加入Ｌｐ１.
秘密值查询:Ｃ维护一张Ｌｐ２列表(ＩＤｉꎬｘＩＤｉ).当收到Ａ１关于ＩＤｉ的查询时ꎬ若ＩＤｉ＝ＩＤＩꎬＣ终止算法(这个
过程由Ｅ２表示).否则ꎬＣ随机选择ｘＩＤｉɪＺｑ∗
ꎬ并查询Ｌｐ１列表(ＩＤｉꎬＱＩＤｉꎬｄＩＤｉ).最后ꎬＣ将ＳＫＩＤｉ＝(ｘＩＤｉꎬｄＩＤｉ)
返回给Ａ１ꎬ并将(ＩＤｉꎬｘＩＤｉ)加入Ｌｐ２.
提取公钥查询:Ｃ维护一张Ｌｐ３列表(ＩＤｉꎬＱＩＤｉ
ꎬＹＩＤｉ).当收到Ａ１关于ＩＤｉ的查询时ꎬ若(ＩＤｉꎬＱＩＤｉ
ꎬＹＩＤｉ)已经
存在于Ｌｐ３ꎬＣ返回ＰＫＩＤｉ＝(ＱＩＤｉꎬＹＩＤｉ).否则ꎬＣ分别查询ＬＨ１列表(ＩＤｉꎬＱＩＤｉ
ꎬμＩＤｉ)和Ｌｐ２列表(ＩＤｉꎬｘＩＤｉ)ꎬ并计算ＹＩＤｉ＝ｘＩＤｉＰ.最后ꎬＣ返回ＰＫＩＤｉ＝(ＱＩＤｉꎬＹＩＤｉ)给Ａ１ꎬ并将(ＩＤｉꎬＱＩＤｉ
ꎬＹＩＤｉ)加入Ｌｐ３.
公钥替换查询:当收到Ａ１关于(ＩＤｉꎬＱＩＤｉ
ꎬＹＩＤｉ)查询时ꎬＣ分别用ＱᶄＩＤｉ和ＹᶄＩＤｉ去替换ＱＩＤｉ和ＹＩＤｉꎬ并更新Ｌｐ３
７
１３
西南民族大学学报(自然科学版)第４９卷
列表(ＩＤｉꎬＱＩＤｉ
ꎬＹＩＤｉ).
陷门查询:当收到Ａ１关于ＩＤｉ的陷门查询时ꎬ若ＩＤｉ＝ＩＤＩꎬＣ终止算法(这个过程由Ｅ３表示).否则ꎬＣ随
机选择ｒ２ɪＺｑ
∗
并计算Ｔ２＝ｒ２Ｐ.然后ꎬＣ查询ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)和ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)ꎬ
计算Ｋ２＝Ｈ３(ｋｉꎬθｉ)㊁Ｔ２＝(Ｋ２＋ｒ２)ＳＫＩＤｉ２－１
(ＰＫＩＤｉ２＋αＩＤｉＰｐｕｂ)和Ｔ３＝ｒ１(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).最后ꎬＣ返
回Ｔｗ'＝(Ｔ１ꎬＴ２ꎬＴ３)给Ａ１.挑战:Ａ１给出身份为ＩＤ∗的挑战关键字ｗ０和ｗ１.若ＩＤ∗ʂＩＤＩꎬＣ终止算法(这个过程由Ｅ４表示).否则ꎬ
Ｃ首先选择随机值ｒ１ɪＺｑ
∗
并计算Ｃ１＝ｒ１Ｐ.然后ꎬＣ查询ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)和ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬ
ＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)ꎬ计算Ｋ１＝Ｈ３(ｋｉꎬθｉ)㊁Ｃ２＝Ｃ１＋Ｋ１ ＳＫＩＤＯ２－１
(ＰＫＩＤＯ２＋μＩＤＯＰｐｕｂ)和Ｃ３＝ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋
μＩＤＳＰｐｕｂ).最后ꎬＣ返回Ｃ＝(Ｃ１ꎬＣ２ꎬＣ３)给Ａ１.
更多查询:Ａ１可继续执行以上阶段除挑战关键字ｗ０和ｗ１之外(这个过程由Ｅ５表示)的自适应查询.
猜测:Ａ１给出猜测结果ｂᶄɪ{０ꎬ１}.Ｃ设置Ｃ１＝ｂＰꎬ如果ｂ((Ｃ２－Ｔ２＋Ｔ１)(ｘＩＤＳ＋ｄＩＤＳ)－Ｃ１(ｘＩＤＳ＋ｄＩＤＳ)＋Ｐｐｕｂ)＝ａｂＰ成立ꎬ则说明Ｃ可以解决ＣＤＨ问题.只有当Ｅ１ꎬＥ２ꎬＥ３ꎬＥ４ꎬＥ５事件之一发生时ꎬ游戏才会中止.下面将对Ｃ解决ＣＤＨ问题的优势εᶄ进行分
析.首先:
Ｐｒ┐Ｅ１ɡ┐Ｅ２┐Ｅ３┐Ｅ４[]＝
１－
１ｑＨ１
(
)
ｑＥ＋ｑＳ＋ｑＴ
１ｑＨ１
.(１６)
接下来ꎬ证明:Ｐｒ[┐Ｅ５]⩾２ε.由于
Ｐｒ[ｂᶄ＝ｂ]＝Ｐｒ[ｂᶄ＝ｂ｜Ｅ５]Ｐｒ[Ｅ５]＋Ｐｒ[ｂᶄ＝ｂ｜┐Ｅ５]Ｐｒ[┐Ｅ５]£Ｐｒ[ｂᶄ＝ｂ｜Ｅ５]Ｐｒ[Ｅ５]＋Ｐｒ[┐Ｅ５]＝１２＋１
２
Ｐｒ[┐Ｅ５]ꎬ(１７)和
Ｐｒ[ｂᶄ＝ｂ]⩾Ｐｒ[ｂᶄ＝ｂ｜Ｅ５]Ｐｒ[Ｅ５]＝
１２－１
２
Ｐｒ[┐Ｅ５]ꎬ(１８)
故有Ｐｒ[┐Ｅ５]⩾２Ｐｒ[ｂᶄ＝ｂ｜－１⩾２εꎬ因此:㊀
㊀εᶄ
⩾Ｐｒ[┐Ｅ５] Ｐｒ[┐Ｅ１ɡ┐Ｅ２┐Ｅ３┐Ｅ４]＝２εｑＨ１１－
１ｑＨ１
()
ｑＥ＋ｑＳ＋ｑＴ
.(１９)
引理２:假设有一个内部敌手Ａ２以不可忽略的优势ε赢得ＳＣＦ－ＰＡＥＫＳ方案.必须构造一个算法Ｃ以不可忽视优势:
εᶄ⩾２εｑＨ１１－１
ｑＨ１
()
ｑＴ
.(２０)
来解决ＣＤＨ问题ꎬ其中ｑＨ１ꎬｑＥꎬｑＳꎬｑＴ分别表示Ｈ１查询ꎬ部分私钥查询ꎬ秘密值查询ꎬ陷门查询的最大查询次数.
证明:假设(ＰꎬａＰꎬｂＰ)是ＣＤＨ问题随机生成的一个实例ꎬ那么算法Ｃ通过与敌手Ａ２交互来模拟挑战者.
初始化:Ｃ随机选择ＩＤＩ１£Ｉ£ｑＨ１()作为挑战身份.然后Ｃ执行算法ꎬ随机选择ｓɪＺｑ
∗
ꎬ并计算系统公钥
Ｐｐｕｂ＝ｓＰ和系统参ｐａｒａｍｓ＝{λꎬＧꎬｑꎬＰꎬＰｐｕｂꎬＨ１ꎬＨ２ꎬＨ３}.最后ꎬＣ返回ｓ和ｐａｒａｍｓ给Ａ２.Ｈ１查询:Ｃ维护一张ＬＨ１列表(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)ꎬ当收到Ａ２关于(ＩＤｉꎬＱＩＤｉ)的查询时ꎬ若(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)已存在于ＬＨ１ꎬ则Ｃ返回μＩＤｉ.否则ꎬＣ选择随机值μＩＤｉɪＺｑ
∗
将其返回给Ａ２ꎬ并将(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)加入ＬＨ１.
Ｈ２查询:Ｃ维护一张ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)ꎬ当收到Ａ２关于(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉ)
的查询时ꎬ若(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)已经存在于ＬＨ２ꎬ则Ｃ返回θｉ.否则ꎬＣ随机选择θｉɪＺｑ∗ꎬ将其返回给Ａ２ꎬ并将(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθｉ)加入ＬＨ２.
８
１３
第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案㊀
Ｈ３查询:Ｃ维护一张ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)ꎬ当收到Ａ２关于(ｗｉꎬθｉ)的查询时ꎬ若(ｗｉꎬθｉꎬｋｉ)已经存在于
ＬＨ３ꎬ则Ｃ返回ｋｉ.否则ꎬＣ随机选择ｋｉɪＺｑ
∗
将其返回给Ａ２ꎬ并将(ｗｉꎬθｉꎬｋｉ)加入ＬＨ３.
部分私钥查询:Ｃ维护一张Ｌｐ１列表(ＩＤｉꎬＹＩＤｉꎬｘＩＤｉ)ꎬ当收到Ａ２关于ＩＤｉ的查询时ꎬＣ随机选择ｘＩＤｉɪＺｑ
∗
并计算ＹＩＤｉ＝ｒＩＤｉＰ.然后ꎬＣ查询ＬＨ１列表(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)ꎬ计算ｄＩＤｉ＝ｒＩＤｉ＋ｓμＩＤｉꎬ并将ｒＩＤｉ和ｄＩＤｉ返回给Ａ２.最后ꎬＣ将(ＩＤｉꎬＱＩＤｉꎬｄＩＤｉ)加入Ｌｐ１.
提取公钥查询:Ｃ维护一张Ｌｐ２列表(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ).当收到Ａ２关于ＩＤｉ的查询时.若(ＩＤｉꎬＱＩＤｉꎬＹＩＤｉ)已经
存在于Ｌｐ２ꎬ则Ｃ返回ＰＫＩＤｉ＝(ＱＩＤｉꎬＹＩＤｉ).否则ꎬＣ查询ＬＨ１列表(ＩＤｉꎬＱＩＤｉꎬμＩＤｉ)和Ｌｐ１列表(ＩＤｉꎬＹＩＤｉꎬｘＩＤｉ).最后ꎬＣ返回ＰＫＩＤｉ＝(ＱＩＤｉꎬＹＩＤｉ)给Ａ２ꎬ并将(ＩＤｉꎬＱＩＤｉ
ꎬＹＩＤｉ)加入Ｌｐ３.陷门查询:当收到Ａ２关于ＩＤｉ的陷门查询时ꎬ若ＩＤｉ＝ＩＤＩꎬＣ终止算法(这个过程由Ｅ１表示).否则ꎬＣ随
机选择ｒ２ɪＺｑ
∗
并计算Ｔ２＝ｒ２Ｐ.然后ꎬＣ查询ＬＨ３列表(ｗꎬθꎬｋ)和ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬＰＫＩＤｊꎬＰＫＩＤｉꎬθ)ꎬ
计算Ｋ２＝Ｈ３(ｋ'ꎬθ２)㊁Ｔ２＝(Ｋ２＋ｒ２)ＳＫＩＤｉ２－１
(ＰＫＩＤｉ２＋αＩＤｉＰｐｕｂ)和Ｔ３＝ｒ１(ＹＩＤＳ＋ＱＩＤＳ＋μＩＤＳＰｐｕｂ).最后ꎬＣ返
回Ｔｗ'＝(Ｔ１ꎬＴ２ꎬＴ３)给Ａ２.挑战:Ａ２给出身份为ＩＤ∗的挑战关键字ｗ０和ｗ１.若ＩＤ∗ʂＩＤＩꎬＣ终止算法(这个过程由Ｅ２表示).否则ꎬ
Ｃ首先选择随机值ｒ１ɪＺｑ
∗
并计算Ｃ１＝ｒ１Ｐ.然后ꎬＣ查询ＬＨ３列表(ｗｉꎬθｉꎬｋｉ)和ＬＨ２列表(ＳＫＩＤｊ１ ＰＫＩＤｉ１ꎬ
ＰＫＩＤｊꎬＰＫＩＤｉꎬθ)ꎬ计算Ｋ１＝Ｈ３(ｋｉꎬθｉ)㊁Ｃ２＝Ｃ１＋Ｋ１ ＳＫＩＤＯ２－１
(ＰＫＩＤＯ２＋μＩＤＯＰｐｕｂ)和Ｃ３＝ｒ２(ＹＩＤＳ＋ＱＩＤＳ＋
μＩＤＳＰｐｕｂ).最后ꎬＣ返回Ｃ＝(Ｃ１ꎬＣ２ꎬＣ３)给Ａ２.
更多查询:Ａ２可继续执行以上阶段除挑战关键字ｗ０和ｗ１之外(这个过程由Ｅ３表示)的自适应查询.
猜测:Ａ２给出猜测结果ｂᶄɪ{０ꎬ１}.Ｃ设置ＱＩＤｉ＝ａＰꎬＣ１＝ｂＰ.如果(Ｃ２－Ｔ２＋Ｔ１)(ｘＩＤＳ＋ｄＩＤＳ)－ｂ(ＹＩＤＳ＋μＩＤＳＰｐｕｂ)＝ａｂＰ成立ꎬ则说明Ｃ可以解决ＣＤＨ问题.我们知道只有当Ｅ１ꎬＥ２ꎬＥ３事件之一发生时ꎬ游戏才会中止.下面我们将对Ｃ解决ＣＤＨ问题的优势εᶄ进行分析.首先:
Ｐｒ┐Ｅ１ɡ┐Ｅ２[]＝１－
１
ｑＨ１
(
)
ｑＴ
１ｑＨ１
ꎬ(２１)
接下来ꎬ我们将证明:Ｐｒ[┐Ｅ３]⩾２ε.由于Ｐｒ[ｂᶄ＝ｂ]＝
Ｐｒ[ｂᶄ＝ｂ｜Ｅ３]Ｐｒ[Ｅ３]＋Ｐｒ[ｂᶄ＝ｂ｜┐Ｅ３]Ｐｒ[┐Ｅ３]£Ｐｒ[ｂᶄ＝ｂ｜Ｅ３]Ｐｒ[Ｅ３]＋Ｐｒ[┐Ｅ３]＝１２＋１
２
Ｐｒ[┐Ｅ３]ꎬ(２２)
和
Ｐｒ[ｂᶄ＝ｂ]⩾Ｐｒ[ｂᶄ＝ｂ｜Ｅ３]Ｐｒ[Ｅ３]＝
１２－１
２
Ｐｒ[┐Ｅ３]ꎬ(２３)
故有Ｐｒ[┐Ｅ３]⩾２Ｐｒ[ｂᶄ＝ｂ｜－１⩾２εꎬ因此:εᶄ⩾Ｐｒ[┐Ｅ３] Ｐｒ┐Ｅ１ɡ┐Ｅ２[]＝２εｑＨ１１－１
ｑＨ１
()
ｑＴ
.(２４)
４㊀性能分析
㊀㊀在本节中ꎬ我们将所提出的ＳＣＦ－ＰＡＥＫＳ方案分别与无安全通道的方案[９]ꎬ[１０]和[１１]在安全性ꎬ计算
９
１３
西南民族大学学报(自然科学版)第４９卷
成本和通信成本方面进行比较.４.１㊀安全性能
表２㊀安全属性比较
Ｔａｂｌｅ２㊀Ｃｏｍｐａｒｉｓｏｎｏｆｓｅｃｕｒｉｔｙａｔｔｒｉｂｕｔｅｓ
方案ＣＬＡＵＯＫＩＫＢＰ[９]
ˑɿɿɿˑ[１０]ˑ
ɿɿɿˑ[１１]ɿˑ
ˑ
ˑ
ˑ
ＳＣＦ－ＰＡＥＫＳ
ɿɿɿɿɿ㊀㊀在表２中ꎬ分别给出了四种方案安全性能的比较.我们分别使用ＣＬ㊁ＡＵ㊁ＯＫ㊁ＩＫ和ＢＰ表示无证书㊁认证㊁ＯＫＧＡ㊁ＩＫＧＡ和无双线性对.从表２中可以发现方案[９]是基于公钥基础设施的ꎬ存在证书管理问题.方案[１０]是基于身份的加密体制ꎬ存在密钥托管问题.方案[１１]没有对数据拥有者身份认证的功能ꎬ敌手可以冒充数据
拥有者发起ＯＫＧＡ和ＩＫＧＡ.此外ꎬ方案[９]ꎬ[１０]和[１１]都依赖于高消耗的双线性对.４.２㊀计算成本
在本节中ꎬ我们将使用方案[１４]中的测试结果来估计四种方案的计算成本.在方案[１４]中ꎬ性能的评估是在配备有Ｕｂｕｎｔｕ１６.０４操作系统的电脑上进行的ꎬ使用ＭＩＲＡＣＬ库ꎬ配备了Ｉ５－４２１０Ｕ１.７ＧＨｚ处理器和４Ｇ字节内存.这里ＴｈｍꎬＴｓａꎬＴｂꎬＴｓｐꎬＴｈ分别表示哈希映射到点的执行时间４.３６２ｍｓꎬ标量加法的执行时间
０.０１３ｍｓꎬ双线性对的执行时间４.１５４ｍｓꎬ标量乘法的执行时间１.６３１ｍｓꎬ一般哈希函数的执行时间０.００４ｍｓ.
表３㊀计算成本比较(ｍｓ)
Ｔａｂｌｅ３㊀Ｔｈｅｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｐｕｔａｔｉｏｎｃｏｓｔ(ｍｓ)
方案秘钥
加密
陷门
测试[９]
３Ｔｈｍ＋Ｔｓｐ＝１４.７１７
Ｔｈｍ＋２Ｔｂ＋Ｔｓａ＋４Ｔｈ＝１２.６９９２Ｔｈｍ＋Ｔｂ＋Ｔｓａ＋３Ｔｈ＝１２.９０３Ｔｂ＋Ｔｈ＝４.１５８[１０]４Ｔｈｍ＋５Ｔｓｐ＝２５.６０３２Ｔｈｍ＋２Ｔｂ＋３Ｔｓｐ＝２１.９２５２Ｔｈｍ＋Ｔｂ＋２Ｔｓｐ＝１６.１４
２Ｔｂ＋２Ｔｓｐ＝１１.５７[１１]２Ｔｈｍ＋２Ｔｓｐ＝１１.９８６４Ｔｈｍ＋３Ｔｂ＋６Ｔｓｐ＋Ｔｈ＝３９.７３Ｔｈｍ＋２Ｔｓａ＋Ｔｂ＋６Ｔｓｐ＋３Ｔｈ＝２７.８７４
４Ｔｂ＋３Ｔｓｐ＋２Ｔｈ＝２１.５１７
ＳＣＦ－ＰＡＥＫＳ６Ｔｓｐ＋３Ｔｈ＝９.７９８
４Ｔｓａ＋６Ｔｓｐ＋２Ｔｈ＝９.７９４
４Ｔｓａ＋６Ｔｓｐ＋２Ｔｈ＝９.７９４
３Ｔｓｐ＋３Ｔｈ＝４.
９０５
图２㊀计算成本比较
Ｆｉｇ.２㊀Ｔｈｅｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｐｕｔａｔｉｏｎｃｏｓｔ
如表３和图２所示ꎬ我们分别从密钥算法㊁加密算法㊁陷门算法和测试算法给出了这四３个方案的计算成本.实验结果表明ꎬ在密钥算法中ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本比方案[９]ꎬ[１０]和[１１]分别降低了
０
２３
第３期孙莹莹ꎬ等:一个无安全信道的无证书公钥可搜索加密方案㊀
３３.４２％ꎬ６１.７３％和１８.２５％.在加密算法中ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本比方案[９]ꎬ[１０]和[１１]分别降低了２２.８８％ꎬ５５.３３％和７５.３３％.在陷门算法中ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本比方案[９]ꎬ[１０]和[１１]分别降低了２４.１％ꎬ３９.３２％和６４.８６％.在测试算法中ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本比方案[９]高出１７.９７％ꎬ与[１０]和[１１]相比分别降低了６４.８６％和７７.２％.可见所提出的ＳＣＦ－ＰＡＥＫＳ方案的计算成本在各算法中基本均为最低.这是因为我们的方案使用了标量乘法而不是高消耗的双线性对.因此ꎬ与其他方案相比ꎬ我们的方案具有更高的效率.４.３㊀通信成本
下面ꎬ我们将分别从公钥㊁加密㊁陷门的大小(分别用ＰＫ㊁ＥＮ和ＴＤ表示)来比较四种方案的通信成本.另
外ꎬ我们假设点Ｇ㊁Ｇ１㊁Ｇ２和Ｚｑ
∗
的大小分别为３２０位㊁５１２位㊁１０２４位㊁和１６０位.表４和图３显示ꎬ所提出的
ＳＣＦ－ＰＡＥＫＳ方案中ＰＫ的通信成本比[９]ꎬ[１０]和[１１]均高出２５％.所提出的ＳＣＦ－ＰＡＥＫＳ方案中ＥＮ的通信成本与方案[９]ꎬ[１０]和[１１]相比分别降低了１９％㊁５３％和１９％.此外ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案中ＴＤ的通信成本比方案[９]和[１０]略低ꎬ但与方案[１１]相比降低了３８％.
表４㊀通信成本比较
Ｔａｂｌｅ４㊀Ｔｈｅｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｍｕｎｉｃａｔｉｏｎｃｏｓｔ
方案ＰＫＥＮ
ＴＤ
[９]
｜Ｇ１｜＝５１２２｜Ｇ１｜＋Ｚｑ∗
＝１１８４
２｜Ｇ１｜＝１０２４[１０]｜Ｇ１｜＝５１２２｜Ｇ１｜＋｜Ｇ２｜＝２０４８
２｜Ｇ１｜＝１０２４[１１]
｜Ｇ１｜＝５１２２｜Ｇ１｜＋Ｚｑ
∗
＝１１８４
３｜Ｇ１｜＝１５３６ＳＣＦ－ＰＡＥＫＳ
２｜Ｇ｜＝６４０
３｜Ｇ｜＝９６０
３｜Ｇ｜＝
９６０
图３㊀通信成本比较
Ｆｉｇ.３㊀Ｔｈｅｃｏｍｐａｒｉｓｏｎｏｆｃｏｍｍｕｎｉｃａｔｉｏｎｃｏｓｔ
㊀㊀由上述结果表明ꎬ所提出的ＳＣＦ－ＰＡＥＫＳ方案中公钥的通信成本相对其他方案略高.但方案[９]存在证书管理问题ꎬ方案[１０]是基于身份的加密ꎬ无法避免密钥托管问题.方案[１１]容易受到关键字猜测攻击.特别地ꎬ
上述三个方案均不可避免双线性对ꎬ导致其计算和通信成本都较高.因此ꎬ本文推出的方案更安全㊁更高效.
５㊀结论
㊀㊀云服务的出现给数据隐私带来了一些挑战.为了确保数据安全和对加密数据的高效搜索ꎬ一些ＳＣＦ－ＰＥＫＳ
１
２３
２２３
西南民族大学学报(自然科学版)第４９卷方案被提出.然而ꎬ这些方案均存在一定的不足.在本文中ꎬ我们提出了一个无双线性对的ＳＣＦ－ＰＡＥＫＳ方案.它不仅解决了加密数据的安全存储和检索问题ꎬ而且不存在证书管理和密钥托管问题.新颖的是ꎬ该方案不依赖于高消耗的双线性对且可有效抵抗ＩＫＧＡ.分析结果表明ꎬＳＣＦ－ＰＡＥＫＳ具有较好的综合性能.
参考文献
[１]ＳＯＮＧＤＸꎬＷＡＧＮＥＲＤꎬＰＥＲＲＩＧＡ.Ｐｒａｃｔｉｃａｌｔｅｃｈｎｉｑｕｅｓｆｏｒｓｅａｒｃｈｅｓｏｎｅｎｃｒｙｐｔｅｄｄａｔａ[Ｃ]//Ｐｒｏｃｅｅｄｉｎｇｏｆｔｈｅ２０００ＩＥＥＥＳｙｍｐｏｓｉｕｍｏｎＳｅｃｕｒｉｔｙａｎｄＰｒｉｖａｃｙ.ＣＡꎬＵＳＡ:Ｂｅｒｋｅｌｅｙꎬ２０００:４４－５５.
[２]ＺＨＡＮＧＱ.Ａｎｏｖｅｒｖｉｅｗａｎｄａｎａｌｙｓｉｓｏｆｈｙｂｒｉｄｅｎｃｒｙｐｔｉｏｎ:Ｔｈｅｃｏｍｂｉｎａｔｉｏｎｏｆｓｙｍｍｅｔｒｉｃｅｎｃｒｙｐｔｉｏｎａｎｄａｓｙｍｍｅｔｒｉｃｅｎｃｒｙｐｔｉｏｎ[Ｃ]//Ｐｒｏｃｅｅｄｉｎｇｏｆｔｈｅ２０２１２ｎｄＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔｉｎｇａｎｄＤａｔａＳｃｉｅｎｃｅ(ＣＤＳ).ＣＡꎬＵＳＡ:Ｓｔａｎｆｏｒｄꎬ２０２１:６１６－６２２.
[３]ＢＯＮＥＨＤꎬＣＲＥＳＣＥＮＺＯＧＤꎬＯＳＴＲＯＶＳＫＹＲꎬｅｔａｌ.Ｐｕｂｌｉｃｋｅｙｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈ[Ｃ]//ＰｒｏｃｅｅｄｉｎｇｏｆｔｈｅＩｎｔｅｒｎａｔｉｏｎａｌｃｏｎｆｅｒｅｎｃｅｏｎｔｈｅＴｈｅｏｒｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓｏｆＣｒｙｐｔｏｇｒａｐｈｉｃＴｅｃｈｎｉｑｕｅｓ.ＩｎｔｅｒｌａｋｅｎꎬＳｗｉｔｚｅｒｌａｎｄꎬ２００４:５０６－５２２.
[４]ＢＡＥＫＪꎬＳＡＦＡＶＩ－ＮＡＩＮＩＲꎬＳＵＳＩＬＯＷ.Ｐｕｂｌｉｃｋｅｙｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈｒｅｖｉｓｉｔｅｄ[Ｃ]//ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｐｕｔａｔｉｏｎａｌＳｃｉｅｎｃｅａｎｄＩｔｓＡｐｐｌｉｃａｔｉｏｎｓ(ＩＣＣＳＡ).ＰｅｒｕｇｉａꎬＩｔａｌｙꎬ２００８:１２４９－１２５９.
[５]ＹＡＵＷ－ＣꎬＨＥＮＧＳ－ＨꎬＧＯＩＢ－Ｍ.Ｏｆｆ－ｌｉｎｅｋｅｙｗｏｒｄｇｕｅｓｓｉｎｇａｔｔａｃｋｓｏｎｒｅｃｅｎｔｐｕｂｌｉｃｋｅｙｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈｓｃｈｅｍｅｓ[Ｃ]//Ｐｒｏｃｅｅｄ￣ｉｎｇｏｆｔｈｅＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＡｕｔｏｎｏｍｉｃａｎｄＴｒｕｓｔｅｄＣｏｍｐｕｔｉｎｇ.ＯｓｌｏꎬＮｏｒｗａｙꎬ２００８:１００－１０５.
[６]ＢＹＵＮＪＷꎬＲＨＥＥＨＳꎬＰＡＲＫＨ－Ａꎬｅｔａｌ.Ｏｆｆ－ｌｉｎｅｋｅｙｗｏｒｄｇｕｅｓｓｉｎｇａｔｔａｃｋｓｏｎｒｅｃｅｎｔｋｅｙｗｏｒｄｓｅａｒｃｈｓｃｈｅｍｅｓｏｖｅｒｅｎｃｒｙｐｔｅｄｄａｔａ[Ｃ]//ＰｒｏｃｅｅｄｉｎｇｏｆｔｈｅＷｏｒｋｓｈｏｐｏｎｓｅｃｕｒｅｄａｔａｍａｎａｇｅｍｅｎｔ.ＳｅｏｕｌꎬＫｏｒｅａꎬ２００６:７５－８３.
[７]ＲＨＥＥＨＳꎬＰＡＲＫＲＨꎬＳＵＳＩＬＯＲꎬｅｔａｌ.Ｔｒａｐｄｏｏｒｓｅｃｕｒｉｔｙｉｎａｓｅａｒｃｈａｂｌｅｐｕｂｌｉｃ－ｋｅｙｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅｗｉｔｈａｄｅｓｉｇｎａｔｅｄｔｅｓｔｅｒ[Ｊ].ＪｏｕｒｎａｌｏｆＳｙｓｔｅｍｓ＆Ｓｏｆｔｗａｒｅꎬ２０１０ꎬ８３(５):７６３－７７１.
[８]ＸＵＰꎬＪＩＮＨꎬＷＵＱꎬｅｔａｌ.Ｐｕｂｌｉｃ－ｋｅｙｅｎｃｒｙｐｔｉｏｎｗｉｔｈｆｕｚｚｙｋｅｙｗｏｒｄｓｅａｒｃｈ:Ａｐｒｏｖａｂｌｙｓｅｃｕｒｅｓｃｈｅｍｅｕｎｄｅｒｋｅｙｗｏｒｄｇｕｅｓｓｉｎｇａｔｔａｃｋ[Ｊ].ＩＥＥＥＴｒａｎｓ￣ａｃｔｉｏｎｓｏｎＣｏｍｐｕｔｅｒｓꎬ２０１３ꎬ６２(１１):２２６６－２２７７.
[９]ＬＵＹꎬＬＩＪꎬＺＨＡＮＧＹ.Ｓｅｃｕｒｅｃｈａｎｎｅｌｆｒｅｅｃｅｒｔｉｆｉｃａｔｅ－ｂａｓｅｄｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎｗｉｔｈｓｔａｎｄｉｎｇｏｕｔｓｉｄｅａｎｄｉｎｓｉｄｅｋｅｙｗｏｒｄｇｕｅｓｓｉｎｇａｔｔａｃｋｓ[Ｊ].ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓｏｎＳｅｒｖｉｃｅｓＣｏｍｐｕｔｉｎｇꎬ２０２１ꎬ１４(６)６:２０４１－２０５４.
[１０]ＬＩＨＢꎬＨＵＡＮＧＱꎬＳＨＥＮＪꎬｅｔａｌ.Ｄｅｓｉｇｎａｔｅｄ－ｓｅｒｖｅｒｉｄｅｎｔｉｔｙ－ｂａｓｅｄａｕｔｈｅｎｔｉｃａｔｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈｆｏｒｅｎｃｒｙｐｔｅｄｅｍａｉｌｓ[Ｊ].ＩｎｆｏｒｍａｔｉｏｎＳｃｉｅｎｃｅｓꎬ２０１９ꎬ４８１:３３０－３４３.
[１１]ＰＡＫＮＩＡＴＮ.Ｄｅｓｉｇｎａｔｅｄｔｅｓｔｅｒｃｅｒｔｉｆｉｃａｔｅｌｅｓｓｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈ[Ｊ].ＪｏｕｒｎａｌｏｆＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙａｎｄＡｐｐｌｉｃａｔｉｏｎｓ.２０１９ꎬ４９:１０２３９４. [１２]ＭＩＡＯＹＢꎬＴＯＮＧＱＹꎬＤＥＮＧＲＨꎬｅｔａｌ.Ｖｅｒｉｆｉａｂｌｅｓｅａｒｃｈａｂｌｅｅｎｃｒｙｐｔｉｏｎｆｒａｍｅｗｏｒｋａｇａｉｎｓｔｉｎｓｉｄｅｒｋｅｙｗｏｒｄ－ｇｕｅｓｓｉｎｇａｔｔａｃｋｉｎｃｌｏｕｄｓｔｏｒａｇｅ[Ｊ].ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓｏｎＣｌｏｕｄＣｏｍｐｕｔｉｎｇꎬ２０２２ꎬ１０(２):８３５－８４８.
[１３]ＺＨＡＮＧＹＩꎬＷＥＮＬꎬＺＨＡＮＧＹＪꎬｅｔａｌ.ＤｅｓｉｇｎａｔｅｄＳｅｒｖｅｒＣｅｒｔｉｆｉｃａｔｅｌｅｓｓｄｅｎｉａｂｌｙａｕｔｈｅｎｔｉｃａｔｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈ[Ｊ].ＩＥＥＥＡｃｃｅｓｓꎬ２０１９ꎬ７:１４６５４２－１４６５５１.
[１４]ＬＵＹꎬＬＩＪ.Ｌｉｇｈｔｗｅｉｇｈｔｐｕｂｌｉｃｋｅｙａｕｔｈｅｎｔｉｃａｔｅｄｅｎｃｒｙｐｔｉｏｎｗｉｔｈｋｅｙｗｏｒｄｓｅａｒｃｈａｇａｉｎｓｔａｄａｐｔｉｖｅｌｙ－ｃｈｏｓｅｎ－ｔａｒｇｅｔｓａｄｖｅｒｓａｒｉｅｓｆｏｒｍｏｂｉｌｅｄｅｖｉｃｅｓ[Ｊ/ＯＬ].[２０２２－０９－０７].ｈｔｔｐｓ://ｉｅｅｅｘｐｌｏｒｅ.ｉｅｅｅ.ｏｒｇ/ｄｏｃｕｍｅｎｔ/９４２３６１８.
(责任编辑:张阳ꎬ付强ꎬ和力新ꎬ肖丽ꎬ罗敏ꎻ英文编辑:周序林ꎬ郑玉才)
Copyright©博看网. All Rights Reserved.。