区块链上多类型用户属性基可搜索加密方案

第３１卷第３期北京电子科技学院学报
２０２３年９月
Ｖｏｌ．３１Ｎｏ．３
ＪｏｕｒｎａｌｏｆＢｅｉｊｉｎｇＥｌｅｃｔｒｏｎｉｃＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙＩｎｓｔｉｔｕｔｅＳｅｐ．２０２３
区块链上多类型用户属性基可搜索加密方案
胡荣磊㊀王乐胥㊀范晓红
北京电子科技学院，北京市㊀１０００７０
摘㊀要：可搜索加密是在不可信云环境中实现文件密文搜索的一种密码原语㊂数据使用者通过检索加密关键字，来搜索云服务器中的加密文件㊂当前可搜索加密方案存在设计比较单一，不能有效满足使用中复杂场景实际要求，且易遭受重放攻击㊂本文设计一种区块链上多类型用户属性基可搜索加密方案，构建多种数据使用者模型，可以在进行多样性细粒度访问控制的同时，提高密文搜索效率㊂同时，针对因重放攻击带来的搜索陷门盗用问题，提出解决方案，保护数据安全以及用户隐私㊂经过安全性分析与实验测试证明文中方案的关键字密文与陷门在选择明文攻击下是安全的（ＩＮＤ⁃ＣＰＡ安全），且满足多种数据使用者对数据的不同搜索需求㊂关键词：可搜索加密；属性基加密；区块链；多类型用户中图分类号：ＴＰ３０９ ７㊀㊀㊀文献标识码：Ａ
文章编号：１６７２－４６４Ｘ（２０２３）３－０１－１５
∗∗
㊀作者简介：胡荣磊（１９７７－），男，副研究员，博士，主要研究方向为物联网，区块链，信息安全㊂Ｅ⁃ｍａｉｌ：ｈｕｒｏｎｇｌｅｉ＠ｓｉｎａ．ｃｏｍ；
王乐胥（１９９７－），男，硕士研究生在读，主要研究方向为区块链安全，隐私保护㊂Ｅ⁃ｍａｉｌ：１２７７２８１５７１＠ｑｑ．ｃｏｍ㊂
０㊀引言
㊀㊀云端存储相较于本地存储，具有相对较低的使用价格与管理成本，收到用户的青睐［１］㊂同时，为了实现不可信云环境中的数据安全以及用户隐私保护，数据以密文形态上传至云存储平台㊂但是，数据文件以密文的形式在云环境中存储，数据使用者需要将文件密文下载并解密后才可实现检索查询㊂这种做法步骤繁琐且浪费网络流量开销以及计算开销㊂为解决云环境中文件密文的高效搜索问题，可搜索加密技术（ＳｅａｒｃｈａｂｌｅＥｎｃｒｙｐｔｉｏｎ，ＳＥ）应运而生㊂
可搜索加密技术的出现，使数据使用者可以
凭借关键词密文搜索云服务器中的文件密文㊂它利用云存储服务器的计算资源进行文件密文检索，达到快速㊁准确检索数据文件密文，为用户
节省网络和计算开销的目的［２］㊂
可搜索加密技术最早由Ｓｏｎｇ等人［３］在
２０００年提出，在此基础上，研究人员从搜索效率㊁安全性以及功能性等方向对可搜索加密技术进行改进［４］㊂Ｓｕ等人［５］在２０１７年提出了一种基于属性的关键词搜索加密方案，通过检查用户属性与访问结构之间的匹配关系，实现对密文搜索的访问控制㊂Ｙａｎｇ等人［６］在２０２０年提出一种非双线性对运算的公共通道的公钥认证可搜索加密方案（ＮＢＰ⁃ＳＣＦ⁃ＰＡＥＫＳ），该方案与传统的双线性对方案相比搜索效率高，适用于运算能力有限的设备㊂Ｒａｏｕｆ等人［７］在２０２１年提出了一种高效安全的无证书可搜索加密方案，在保证通信以及计算效率的前提下，可以抵御不同的关键字猜测攻击㊂区块链技术凭借去中心化分布式账本㊁可溯源㊁数据
北京电子科技学院学报２０２３年
不可篡改删除的特点，与可搜索加密技术结
合，成为新的研究热点㊂在２０２１年文献［８］与
区块链技术相结合，提出了区块链上的属性基
可搜索加密方案，利用区块链不可篡改的特性
保护关键字密文安全㊂Ｚｈａｉ［９］等人设计了一种基于区块链的可搜索加密电子病历共享模型，
实现大规模网络下各医疗机构对电子病历的
安全共享㊂Ｌｉｕ［１０］等人针对当前数据共享难㊁被攻击㊁密文搜索效率低的问题，设计了一种
基于倒排索引的可搜索加密数据共享方案㊂Ｐａｎｇ［１１］等人针对区块链环境下已有的可搜索加密方案成本高㊁功能局限的问题，提出了支
持验证与公平支付的多关键词排序检索方案㊂
通过分析，当前区块链上可搜索机密设计方
案在功能方面存在缺陷㊂设计方案模型中，数据
使用者设计比较单一，没有根据现实需求进行细
化，不利于系统运行效率提高以及多样性的访问
控制㊂
本文在文献［８］所提方案的基础上进行改
进，提出了一个区块链上多类型用户属性基可搜
索加密方案，实现了对数据密文的准确搜索与细
粒度的访问控制以及在部分可信云环境下的数
据安全与隐私保护㊂本文同时对方案的可行性
与安全性进行了分析和证明㊂本文构造的适用
于多类型用户的可搜索加密方案，其主要优势体
现在以下两个方面：
１．针对现实场景需求，在文献［８］所提可搜索加密算法的基础上，设计了多种数据使用者模型㊂在结合属性加密和可搜索加密的基础上，通过设计不同类型数据使用者搜索方案，提高了搜索效率的同时，实现了具备高细粒度以及多样性访问控制的可搜索加密㊂
２．通过分析方案在不可信云环境中的运行步骤，提出适用于不同场景的解决方案，在易受攻击的阶段提供多重保护，有效防止因重放攻击带来的数据使用者搜索陷门盗用问题㊂１㊀预备知识
１ １㊀双线性映射
定义映射ｅ：Ｇ１ˑＧ２ңＧ２满足以下性质［１２］：（１）双线性
∀Ｐ，Ｑ，ＲɪＧ１，∀ａ，ｂɪＺ，ｅ（Ｐａ，Ｑｂ）＝ｅ（Ｐ，Ｑ）ａｂ，ｅ（ＰＱ，Ｒ）＝ｅ（Ｐ，Ｒ）ｅ（Ｑ，Ｒ），ｅ（Ｐ，ＱＲ）＝ｅ（Ｐ，Ｑ）ｅ（Ｐ，Ｒ）
（２）非退化性
如果Ｐ是Ｇ１的生成元，则ｅ（Ｐ，Ｐ）就是Ｇ２的生成元㊂
（３）可计算性
∀Ｐ，ＱɪＧ１，则存在一个有效算法计算ｅ（Ｐ，Ｑ）㊂
１ ２㊀困难问题假设
（１）判定双线性Ｄｉｆｆｉｅ⁃Ｈｅｌｌｍａｎ（ｄｅｃｉｓｉｏｎａｌｂｉｌｉｎｅａｒｄｉｆｆｉｅ⁃ｈｅｌｌｍａｎａｓｓｕｍｐｔｉｏｎ，ＤＢＤＨ）问题设双线性映射对ｅ：Ｇ１ˑＧ２ңＧ２，ｇ为循环群Ｇ１的生成元，随机选择ａ，ｂ，ｃɪＺ∗ｑ，ＺɪＧ２，给定元组（ｇ，ｇａ，ｇｂ，ｇｃ，Ｚ），判定等式ｅ（ｇ，ｇ）ａｂｃ＝Ｚ是否成立［１３］㊂
（２）判定Ｄｉｆｆｉｅ⁃Ｈｅｌｌｍａｎ（ｄｅｃｉｓｉｏｎａｌｄｉｆｆｉｅ⁃ｈｅｌｌｍａｎａｓｓｕｍｐｔｉｏｎ，ＤＤＨ）问题
随机选择ａ，ｂ，ｃɪＺ∗ｑ，ｇ为循环群Ｇ１生成元㊂给定元组（ｇ，ｇａ，ｇｂ，ｇｃ），判定ｃ＝ａｂ（ｂｍｏｄｐ）是否成立［１４］㊂
１ ３㊀访问结构
设Ｐ＝｛Ｐ１，Ｐ２， ，Ｐｎ｝表示参与者的集合，令２Ｐ＝２｛Ｐ１，Ｐ２， ，Ｐｎ｝＝｛Ａ｜Ａ⊆｛Ｐ１，Ｐ２， ，Ｐｎ｝｝，集合Ａ⊆２Ｐ是单调的，当且仅当任意子集Ｂ，Ｃ⊆Ｐ，若ＢɪＡ，Ｂ⊆Ｃ，则ＣɪＡ［１５］．１ ４㊀访问树
设γ是一个访问树㊂γ中每一个非叶子节点ｘ表示一个门限结构，用（ｋｘ，ｎｕｍｘ）描述，其中ｎｕｍｘ表示ｘ的子节点个数，ｋｘ表示门限值，０ɤｋｘɤｎｕｍｘ．当ｋｘ＝１时表示或门，ｋｘ＝ｎｕｍｘ表示与门㊂叶子节点ｘ用以描述属性，其门限值ｋｘ＝１．
㊃２㊃
第３１卷区块链上多类型用户属性基可搜索加密方案㊀
令ｒ表示γ根节点，γｘ表示以ｘ为根的子树，γｒ即为γ．如果一个属性集合Ｓ满足访问树γｘ表示为γｘ（ｓ）＝１．
在访问树γ中，定义ｐａｒｅｎｔ（ｘ）为节点ｘ的父节点㊂当ｘ为叶子节点，定义ａｔｔ（ｘ）为节点ｘ所描述的属性㊂定义ｉｎｄｅｘ（ｘ）表示节点ｘ在其兄弟节点中的编号㊂定义满足访问树如下：当ｘ为非叶子节点时，对ｘ的所有子节点ｘ∗计算γｘ∗（ｓ）．当且仅当至少有ｋｘ个子节点ｘ∗返回γｘ∗（ｓ）＝１时，γｘ（ｓ）＝１．
当ｘ为叶子节点时，当且仅当ｘ所描述的属性ａｔｔ（ｘ）是属性集合ｓ的元素时，γｘ（ｓ）＝１［１６］．２㊀区块链上多类型用户属性基可搜索加密方案
２ １㊀符号使用与定义
本文所使用的符号及定义如表１所示㊂
表１㊀符号定义说明
符号说明
ＤＯ数据拥有者
ＤＵ数据使用者
ＤＵＯＲＤ普通用户
ＤＵＣＯ合作用户
ＤＵＯＲＧ组织用户
ＤＵＳＵ超级用户
ＫＤＣ密钥分发中心
ＣＳ云存储中心
ＢＣ区块链平台
ＳＰ系统参数
ＤＵＡＴＴ数据使用者属性
ａｔｔ属性
ＫＤＯ数据拥有者密钥
ＫＤＵ数据使用者密钥
ω关键字
ＴＤ搜索陷门
ＣＬ标识
２ ２㊀系统模型
本文借鉴文献［８］系统模型，基于区块链，针对不同类型数据使用者，使用属性基加密与可搜索加密对多类型用户搜索文件进行管理以及安全保护㊂本文模型涉及５类实体，分别是密钥分发中心㊁数据拥有者㊁云存储中心㊁区块链以及多类型数据使用者㊂
（１）密钥分发中心（ＫｅｙＤｉｓｔｒｉｂｕｔｉｏｎＣｅｎｔｅｒ，ＫＤＣ）
ＫＤＣ作为可信机构，负责为系统生成系统参数ＳＰ㊁数据拥有者密钥ＫＤＯ以及根据数据使用者ＤＵ属性生成密钥ＫＤＵ与ＫＤＵ使用时限，在该时限内数据使用者可以凭借ＫＤＵ生成搜索陷门检索㊁阅读文件㊂同时ＫＤＣ将根据本文设计的多类型数据使用者模型，为ＤＵ生成标识ＣＬɪ｛ＣＬＯＲＤ，ＣＬＣＯ，ＣＬＯＲＧ，ＣＬＳＵ｝．（２）数据拥有者（ＤａｔａＯｗｎｅｒ，ＤＯ）
ＤＯ作为数据文件的所有者与分享方，将数据文件密文上传至云存储中心ＣＳ，ＣＳ将文件密文地址返回ＤＯ，方便ＤＯ自行查阅㊂ＤＯ提取合适数据文件关键字ω，通过结合ＤＯ要求的数据使用者属性与文件属性生成访问策略并根据自己所定义的访问策略，使用ＫＤＯ加密ω生成关键字密文ωｃ．ＤＯ建立ωｃ与数据文件密文的对应关系，并将ωｃ与建立的对应关系上传区块链平台ＢＣ．
（３）区块链（ＢｌｏｃｋＣｈａｉｎ，ＢＣ）
ＢＣ作为第三方可信平台，负责调用智能合约进行关键字密文搜索与文件密文搜索记录㊂ＤＵ根据ＫＤＵ与想要搜索的关键词ωｕ生成搜索陷门ＴＤ，并将ＴＤ上传ＢＣ，交由智能合约执行搜索操作㊂若搜索成功，ＢＣ将按照ＤＯ上传的对应关系，告知ＣＳ对ＤＵ开放阅读权限至ＫＤＵ使用时限结束㊂同时，ＢＣ负责记录搜索陷门及搜索结果，用于查验㊂
（４）云存储中心（ＣｌｏｕｄＳｔｏｒａｇｅＣｅｎｔｅｒ，ＣＳ）ＣＳ作为云存储服务提供方，负责加密数据文件的存储与阅读权限开放㊂ＤＯ将数据文件密文上传ＣＳ存储，ＣＳ将数据密文文件存储地址返回ＤＯ㊂当ＢＣ调用智能合约搜索关键字成功后把结果返回ＣＳ，由ＣＳ为ＤＵ开放阅读权限至区块链平台规定时间完成最后的搜索㊂（５）数据使用者（ＤａｔａＵｓｅｒ，ＤＵ）
ＤＵ作为数据文件的使用者，使用ＫＤＵ与ωｕ
㊃３㊃
北京电子科技学院学报２０２３年
生成ＴＤ搜索数据文件密文，搜索成功后，ＤＵ获
得文件阅读权限至ＫＤＵ使用时限结束㊂
在该模型中，根据实际场景需求，将不同类型的ＤＵ进行分类，实现细粒化访问控制的同时，提高搜索效率㊂ＫＤＣ在ＤＵ申请密钥时，为ＤＵ在ＫＤＵ中添加标识㊂ＤＵ将标识本文ＤＵ分类如下：
１）普通用户（ＤａｔａＵｓｅｒＯｒｄｉｎａｒｙ，ＤＵＯＲＤ）
ＤＵＯＲＤ作为无特点用户，可以依据自身属性
结合自己想要搜索的关键词完整执行搜索流程，生成陷门进行数据文件密文搜索㊂普通用户系统模型图如图１所示
㊂
图１㊀普通用户系统模型
２）合作用户（ＤａｔａＵｓｅｒＣｏｏｐｅｒａｔｉｏｎ，ＤＵＣＯ）
合作用户模型适用于多名用户分别提供自
身属性合作搜索文件的场景㊂在本方案中ＤＵＣＯ支持实际场景中ＤＵ进行合作查看数据文件㊂如在电子病历领域，需要不同医院的医生一起为病人进行会诊，此时，病人的电子病历需要各医院医生一起查看，在申请电子病历文件时，单一医生的属性无法满足病人的访问控制策略，需要各医院医生合作搜索数据密文㊂在本文方案中，在属性密钥申请时，ＤＵＣＯ向ＫＤＣ申请根据同一ＤＵＣＯ的所有用户属性生成的一个ＫＤＵ进行数据文件密文搜索㊂合作用户系统模型图如图２所示
㊂
图２㊀合作用户系统模型
３）组织用户（ＤａｔａＵｓｅｒＯｒｇａｎｉｚａｔｉｏｎ，ＤＵＯＲＧ）
组织用户模型适用于有相同属性的大量用
户请求同一文件的场景㊂ＤＵＯＲＧ对应同一组织内具有大量相同属性的用户，如同一班级内的所有学生以及同一部门的所有员工㊂在同一组织的用户，有时会有相同数据搜索需求㊂在本文方案中，有相同文件搜索需求的同一组织用户，ＤＵＯＲＧ可以向ＫＤＣ申请组织用户标识ＣＬＯＲＧ，用以提高搜索效率㊂组织用户系统模型图如图３所示
㊂
图３㊀组织用户系统模型
４）超级用户（ＤａｔａＵｓｅｒＳｕｐｅｒ，ＤＵＳＵ）
超级用户模型适用于管理㊁审查人员检查云
存储中心文件内容的场景㊂本文方案中ＤＵＳＵ的
㊃
４㊃
第３１卷区块链上多类型用户属性基可搜索加密方案㊀
依据ＫＤＣ赋予的标识ＣＬＳＵ，在搜索所需密文时，可以不依据ＤＯ访问控制策略，成功搜索所需文件㊂ＫＤＣ可以根据实际情况将ＣＬＳＵ赋予政府监管部门以及该云存储系统管理员㊂超级用户系统模型图如图４所示
㊂
图４㊀超级用户系统模型
２ ３㊀算法描述
本文算法借鉴文献［８］方案进行功能扩展㊂（１）系统初始化ＳＥＴＵＰ
由ＫＤＣ执行㊂ＫＤＣ输出系统参数ＳＰ用于
后续密钥生成，关键字密钥生成以及关键字密文搜索㊂
算法描述：ＫＤＣ为后续算法执行生成系统参数ＳＰ＝｛Ｇ１，Ｇ２，ｅ，ｇ，Ｈ０，Ｈ１，Ｈ２，Ｈ３，Ｈ４｝．其中Ｇ１与Ｇ２是阶为素数ｐ的乘法循环群㊂ｅ：Ｇ１ˑＧ１ңＧ２，ｇ为Ｇ１的生成元㊂定义散列函数Ｈ０：｛０，１｝∗ңＺ∗ｑ，Ｈ１：｛０，１｝
∗ңＧ１，Ｈ２：ＣＬң｛０，１｝∗
，Ｈ３：Ｔң｛０，１｝∗，Ｈ４：Ｓң｛０，１｝∗．
（２）密钥生成ＫＥＹＧＥＮ
由ＫＤＣ执行㊂ＫＤＣ输入ＳＰ，为ＤＯ输出ＫＤＯ，并根据ＤＵＡＴＴ与数据使用者类型为ＤＵ生成ＫＤＵ与ＣＬ．
算法描述：ＫＤＣ为数据拥有者生成密钥ＫＤＯ
并根据用户属性ＤＵＡＴＴ为数据使用者生成密钥ＫＤＵ．ＫＤＵ包含若干子部分，在密钥生成与搜索陷门生成部分分别发挥作用㊂ＫＤＣ根据ＤＵ类型
生成标识ＣＬ，并使用Ｈ２：ＣＬң｛０，１｝∗加密保护㊂ＫＤＣ在为ＤＵ生成ＫＤＵ时，会综合评估ＤＵ所提交属性，为ＤＵ生成一个ＫＤＵ使用时间上传至区块链，在该时间内，ＤＵ可凭借ＫＤＵ生成的搜索陷门查找㊁阅读文件；若超出该时间，则区块链智能合约判定搜索陷门无效㊂为适应多类型用户需求，ＫＤＵ生成具体算法步骤以普通用户为基础，根据不同用户类型有所调整㊂
１）普通用户
输入：（ＳＰ，ＤＵＡＴＴ），即：系统参数ＳＰ㊁数据使用者属性ＤＵＡＴＴ．计算
α，βɪＺ∗ｑ，ＫＤＯ
＝｛ｅ（ｇ，ｇ）α，ｇβ｝（１）ｒɪＺ∗ｑ，Ｄ＝ｇα＋ｒ
β，Ｄᶄ＝ｇ１
β，Ｄᵡ＝ｇｒ（２）ｒａɪＺ∗ｑ，∀ａｔｔɪＤＵＡＴＴ
Ｄａｔｔ＝ＤᵡˑＨ１（ａｔｔ）ｒａ，Ｄａｔｔᶄ＝ｇｒａ（３）ＫＤＵ＝｛Ｄ，Ｄᶄ，Ｄᵡ，ＣＬＯＲＤ，Ｈ２（ＣＬＯＲＤ），｛Ｄａｔｔ，Ｄａｔｔᶄ｜∀ａｔｔɪＤＵＡＴＴ｝｝（４）
㊀㊀输出：（ＫＤＯ，ＫＤＵ）
对于ＤＵ在ＫＤＵ使用时间内追加的属性申
请，ＫＤＣ在审核后使用相同的系统参数为ＤＵ更新ＫＤＵ发送给ＤＵ㊂
２）合作用户
ＤＵＣＯ中的ＤＵ为了合作搜索得到数据文件
密文集合到一起㊂在同一ＤＵＣＯ中的ＤＵ一起向ＫＤＣ申请属于ＤＵＣＯ成员共有的ＫＤＵ．ＫＤＣ根据ＤＵＣＯ中所用人的所有属性生成一个密钥ＫＤＵ供ＤＵＣＯ成员使用㊂ＫＤＣ添加ＣＬＣＯ标识用于标记合作用户成员后，将生成的ＫＤＵ发送给ＤＵＣＯ．
３）组织用户
在密钥生成阶段ＫＤＣ首先给每名用户共同
的属性例如｛Ａ公司，研发部｝生成密钥，再在组织用户ＫＤＵ中添加ＣＬＯＲＧ标识㊂相同的ＣＬＯＲＧ用来表示持有者属于同一ＣＬＯＲＧ．
４）超级用户
ＤＵＳＵ通常表示监管部门或者该云存储系统
中的管理员㊂ＤＵＳＵ在搜索数据加密文件时享有
㊃
５㊃
北京电子科技学院学报２０２３年
特权，在搜索时凭借ＣＬＳＵ向ＢＣ验明身份并直接获取所需文件，而不需要通过复杂的属性密钥与搜索陷门生成㊂其ＫＤＵ＝｛ＣＬＳＵ，Ｈ２（ＣＬＳＵ）｝．
（３）关键字密文生成ＥＮＣＲＹＰＴ
由ＤＯ执行㊂ＤＯ使用ＳＰ与ＫＤＯ，根据设定的访问控制策略，加密数据文件关键字ω生成关键字密文ωｃ．ＤＯ将ωｃ上传至ＢＣ．
算法描述：由数据拥有者ＤＯ执行，通过结合ＤＯ要求的数据使用者属性与文件属性生成访问策略，使用密钥ＫＤＯ，根据访问策略生成访问树γ，加密关键词ω生成ωｃ．设Ｘ为访问树γ所有叶子节点的集合，ｒ为访问树γ根节点㊂对于访问树γ中的每个节点ｘ，定义多项式ｐｘ．多项式ｐｘ的次数为节点ｘ门限值ｋｘ减１，且有
ｐｘ（０）＝ｐｐａｒｅｎｔ（ｘ）（ｉｎｄｅｘ（ｘ））（５）㊀㊀输入：（ＳＰ，ＫＤＯ，ω，γ），即：系统参数ＳＰ㊁数据拥有者密钥ＫＤＯ㊁关键字ω㊁由访问控制策略生成的访问树γ．计算：
ｓɪＺ∗ｑ，ｃｏ＝ｅ（ｇＨ０（ω）ｓ，ｇ）ｅ（ｇ，ｇ）αｓ，ｃᶄｏ＝ｇβｓ
（６）∀ｘɪＸ，ωｘ＝ｇｐｘ（０），ωᶄｘ＝Ｈ１（ａｔｔ（ｘ））ｐｘ（０）
（７）ωｃ＝｛ｃｏ，ｃᶄｏ，｛ωｘ，ωᶄｘ｜∀ｘɪＸ｝｝（８）㊀㊀输出：ωｃ
（４）关键词密文搜索ＳＥＡＲＣＨ
由ＤＵ执行㊂ＤＵ使用ＳＰ与ＫＤＵ，结合感兴趣的关键字ωｕ生成陷门ＴＤ．通过分析，在不可信云环境中，在关键词密文搜索阶段，ＤＵ所提交陷门存在被恶意攻击㊁盗用㊂为防止ＴＤ被其他用户盗用，实施重放攻击，ＤＵ在串行上传陷门的通用情况下，在ＴＤ中加入时间戳Ｔ㊂在组织用户批量上传陷门等并行上传陷门的情况下，在ＴＤ中加入随机数Ｓ．ＤＵ将ＴＤ上传ＢＣ，交智能合约进行关键字密文搜索㊂智能合约关键词密文搜索流程如图５所示㊂
图５㊀关键词密文搜索流程图
㊀㊀算法描述：数据使用者ＤＵ结合自身用户类型ＣＬ，使用ＫＤＵ与搜索关键词ωｕ，生成搜索陷门ＴＤ上传区块链智能合约㊂首先，智能合约根据ＫＤＣ上传的ＤＵ密钥使用时限判断此时ＤＵ生成的陷门是否在使用期限内㊂若通过，随后，智能合约调用搜索算法，验证ＤＵ上传陷门是否符合ＤＯ指定的访问控制策略㊂为防止重放攻击造成的搜索陷门ＴＤ盗用问题，ＤＵ根据实际情况在ＴＤ中加入时间戳Ｔ或随机数Ｓ，并用Ｈ３：Ｔң｛０，１｝∗或Ｈ４：Ｓң｛０，１｝∗保护㊂ＢＣ在收到ＴＤ后首先进行检验，提高安全性㊂为提高搜索效率以及符合实际场景，具体算法步骤以普
㊃６㊃
第３１卷区块链上多类型用户属性基可搜索加密方案㊀通用户为基础，根据不同用户类型有所调整㊂
１）普通用户
普通用户ＤＵＯＲＤ生成搜索陷门ＴＤ㊂
输入：（ＳＰ，ＫＤＵ，ωｕ，Ｔ／Ｓ），即：系统参数
ＳＰ㊁数据使用者密钥ＫＤＵ㊁ＤＵ搜索关键字ωｕ以
及时间戳Ｔ或随机数Ｓ．计算：
ｒ１ɪＺ∗ｑ，Ｔｕ＝ＤˑＤᶄＨ０（ω）＋ｒ１（９）
∀ａｔｔɪＤＵＡＴＴ，Ｔａ＝Ｄａｔｔˑｇｒ１，Ｔᶄａ＝Ｄａｔｔᶄ＝ｇｒａ
（１０）
ＴＤ＝｛Ｔｕ，Ｔ，Ｈ３（Ｔ），∀ａｔｔɪＤＵＡＴＴ：Ｔａ，Ｔᶄａ｝ｏｒ
ＴＤ＝｛Ｔｕ，Ｓ，Ｈ４（Ｓ），∀ａｔｔɪＤＵＡＴＴ：Ｔａ，Ｔᶄａ｝
（１１）
㊀㊀输出：ＴＤ
输入：（ＳＰ，ＴＤ，ωｃ），即：系统参数ＳＰ㊁陷门
ＴＤ㊁关键字密文ωｃ㊂
ＤＵＯＲＤ提交陷门ＴＤ至ＢＣ㊂ＢＣ将搜索记录
记录在区块中，并依据智能合约所记录的内容来
自动执行以下步骤：
①验证ＴＤ时间戳Ｔ或随机数Ｓ判断是否
为重放攻击㊂若验证通过，则执行下一步骤㊂
②验证ＴＤ是否符合关键字密文ωｃ所定义
访问控制策略，若一致，则ＤＵＯＲＤ搜索成功㊂ＢＣ
记录搜索结果㊂
对于∀ｘɪＸ，若ｘ描述属性属于集合
ＤＵＡＴＴ，则有
Ｆｘ＝ｅ（Ｔａ，ωｘ）
ｅ（Ｔᶄａ，ωᶄｘ）＝ｅ（ｇ，ｇ）（ｒ＋ｒ１）ｐｘ（０）（１２）
㊀㊀对于访问树γ中的非叶节点ｘ，若其描述属性属于集合ＤＵＡＴＴ的子节点个数大于该非叶节点门限值ｋｘ，则Ｆｘ＝ｅ（ｇ，ｇ）（ｒ＋ｒ１）ｐｘ（０）㊂若对于根节点ｒ，有Ｆｒ＝ｅ（ｇ，ｇ）（ｒ＋ｒ１）ｐｒ（０）＝ｅ（ｇ，ｇ）（ｒ＋ｒ１）ｓ则称数据
使用者属性ＤＵＡＴＴ满足访问树γ．计算ｅ（ｃᶄｏ，Ｔｕ）Ｆｒ是
否等于ｃｏ，若相等，则表明陷门搜索成功㊂
③ＢＣ查看ＤＯ上传的关键字密文与文件密文的对应关系，告知ＣＳ向ＤＵＯＲＤ开放文件阅读权限至ＫＤＵ使用期结束㊂智能合约调用过程就此完成㊂
２）合作用户
ＤＵＣＯ选择某一用户，使用合作申请产生的ＫＤＵ，生成陷门ＴＤ搜索文件，ＢＣ识别ＴＤ中的ＣＬＣＯ，确认该陷门由合作用户ＤＵＣＯ上传㊂若ＴＤ符合ωｃ中包含的访问控制策略，ＢＣ告知ＣＳ向ＤＵＣＯ的每一个成员开放文件阅读权限至ＫＤＵ使用期结束，此次ＤＵＣＯ合作结束㊂
３）组织用户
同一组织的ＤＵ在搜索相同数据文件时，可以使用组织用户ＤＵＯＲＧ的标识ＣＬＯＲＧ来提高搜索效率㊂执行ＳＥＡＲＣＨ算法时，ＤＵＯＲＧ中的所有用户ＤＵ执行算法生成ＴＤ，并在ＴＤ中添加标识ＣＬＯＲＧ上传ＢＣ平台㊂ＢＣ通过ＣＬＯＲＧ识别出ＴＤ是ＤＵＯＲＧ搜索请求后，随机选择若干ＤＵɪＤＵＯＲＧ，验证ＴＤ是否符合ωｃ所指定的访问控制策略㊂若符合，ＢＣ告知ＣＳ向ＤＵＯＲＧ中所有ＤＵ开放文件阅读权限至ＫＤＵ使用期结束㊂４）超级用户
本方案的超级用户ＤＵＳＵ一般用来担当管理员以及监管角色㊂凭借ＫＤＣ赋予的ＣＬＳＵ，向ＢＣ发出文件查看申请，ＢＣ记录申请后，命令ＣＳ向ＤＵＳＵ开放文件阅读权限㊂
３㊀安全性分析
㊀㊀通过设计攻击者Ａ与挑战者Ｂ之间的ＩＮＤ⁃ＣＰＡ游戏，来证明本文方案中的关键字密文与陷门在选择明文攻击下是安全的㊂
３ １㊀关键字密文安全性证明
定理１若攻击者Ａ有不可忽略的优势ε攻破方案中的关键字密文安全，则Ｂ能够以优势ε
２解决ＤＢＤＨ问题㊂
证明：挑战者Ｂ生成ＤＢＤＨ元组（ｇ，Ａ＝ｇａ，Ｂ＝ｇｂ，Ｃ＝ｇｃ，Ｚ＝ｅ（ｇ，ｇ）ａｂｃ）ａｎｄ（ｇ，Ａ＝ｇａ，Ｂ＝ｇｂ，Ｃ＝ｇｃ，Ｚ＝ｅ（ｇ，ｇ）ｚ）
（１３）
㊃７㊃
北京电子科技学院学报２０２３年
其中ａ，ｂ，ｃ，ｚɪＺ∗ｑ．
初始化：挑战者Ｂ运行算法，生成系统参数ＳＰ㊂Ａ定义挑战访问树γ∗并将其发送给Ｂ㊂阶段１：Ａ向Ｂ发起多项式次数的密钥以及关键字密文询问㊂密钥与关键字需满足
密钥询问：Ａ向Ｂ发送属性集合ＤＵＡＴＴ１，ＤＵＡＴＴ２，ＤＵＡＴＴ３， ，ＤＵＡＴＴＮ．要求Ａ发送的属性集合不可满足挑战访问树γ∗㊂Ｂ运行密钥生成算法，生成相应数据使用者密钥ＫＤＵ１，ＫＤＵ２，ＫＤＵ３， ，ＫＤＵＮ发送给Ａ．
关键字密文询问：Ａ向Ｂ发送关键字ω∗１，ω∗２，ω∗３， ，ω∗Ｎ．Ｂ运行算法ＥＮＣＲＹＰＴ，生成相应关键字密文ω∗ｃ１，ω∗ｃ２，ω∗ｃ３， ，ω∗ｃＮ发送给Ａ．询问的密钥与关键字需满足ＳＥＡＲＣＨ（ＳＰ，ω∗ｃＮ，ＤＵＡＴＴＮ）＝ＹＥＳ
挑战：Ａ选择两个等长的挑战关键字ω０，ω１与挑战访问树γ∗一并发送至Ｂ，Ｂ投掷硬币，公平随机选取μɪ｛０，１｝，将ωμ加密后得到的关键字密文
ωｃμ＝｛γ∗，ｃｏμ＝ｅ（ＡＨ０（ωμ），ｇ）Ｚ，ｃᶄｏμ＝Ａβ，｛ω∗ｘ＝ｇｐｘ（０），ωᶄｘ∗＝Ｈ１（ａｔｔ（ｘ））ｐｘ（０）｜∀ｘɪＸ∗｝｝
（１４）㊀㊀发送给Ａ．其中，Ｘ∗为访问树γ∗所有叶子节点的集合㊂若令随机数ａ＝ｓ，ｂｃ＝α，则关键字密文ωｃμ可以表示为
｛γ∗，ｃｏμ＝ｅ（ｇｓＨ０（ωμ），ｇ）Ｚ，ｃᶄｏμ＝ｇｓβ，｛ω∗ｘ＝ｇｐｘ（０），ωᶄｘ∗＝Ｈ１（ａｔｔ（ｘ））ｐｘ（０）｜∀ｘɪＸ∗｝｝
（１５）㊀㊀阶段２：Ａ重复阶段１的工作，继续向Ｂ发起询问㊂要求Ａ发送的属性集合不可满足挑战访问树γ∗㊂
猜测：攻击者Ａ输出μ的猜测μᶄɪ｛０，１｝．若μ＝μᶄ，则挑战者Ｂ认为Ｚ＝ｅ（ｇ，ｇ）ａｂｃ；若μʂμᶄ，则挑战者Ｂ认为Ｚ＝ｅ（ｇ，ｇ）ｚ．
若Ｚ＝ｅ（ｇ，ｇ）ａｂｃ，Ａ获得的密文有效㊂若Ａ有不可忽略的优势ε攻破关键字密文安全，所以可得Ｐｒ［μ＝μᶄ｜Ｚ＝ｅ（ｇ，ｇ）ａｂｃ］＝１２＋ε
若Ｚ＝ｅ（ｇ，ｇ）ｚ，因为ｚ为随机数，所以Ａ只能猜测μ为０或１㊂即Ｐｒ［μ＝μᶄ｜Ｚ＝ｅ（ｇ，ｇ）ｚ］＝１
２
故Ｂ解决ＤＢＤＨ问题的优势为：
ＡｄｖＤＢＤＨ＝｜Ｐｒ［μ＝μᶄ｜Ｚ＝ｅ（ｇ，ｇ）ａｂｃ］Ｐｒ［Ｚ＝ｅ（ｇ，ｇ）ａｂｃ］＋Ｐｒ［μ＝μᶄ｜Ｚ＝ｅ（ｇ，ｇ）ｚ］Ｐｒ［Ｚ＝ｅ（ｇ，ｇ）ｚ］－１２｜＝１２＋ε
æ
è
ç
ö
ø
÷∗
１
２＋
１
２∗
１
２－
１
２＝
ε
２（１６）㊀㊀若ＡｄｖＤＢＤＨ＝ε２不可忽略，则与ＤＢＤＨ困难问题假设相违背㊂所以攻击者Ａ的优势ε可忽略㊂方案中的关键字密文安全㊂证明完毕㊂３ ２㊀陷门安全性证明
定理１若攻击者Ａ有不可忽略的优势ε攻破方案中的陷门安全，则Ｂ能够以优势
ε
２解决ＤＤＨ问题㊂
证明：挑战者Ｂ生成ＤＤＨ元组
（ｇ，Ａ＝ｇａ，Ｂ＝ｇｂ，Ｚ＝ｅ（ｇ，ｇ）ａｂ）ａｎｄ
（ｇ，Ａ＝ｇａ，Ｂ＝ｇｂ，Ｚ＝ｅ（ｇ，ｇ）ｚ）（１７）其中ａ，ｂ，ｚɪＺ∗ｑ．
初始化：挑战者Ａ运行算法，生成系统参数ＳＰ㊂
阶段１：Ａ向Ｂ发起多项式次数的密钥以及陷门询问㊂
密钥询问：Ｂ运行算法，生成数据使用者密钥ＫＤＵ发送给Ａ．Ａ向Ｂ发送关键字ω∗１，ω∗２，ω∗３， ，ω∗Ｎ．
陷门询问：Ｂ运行算法ＳＥＡＲＣＨ，生成相应陷门ＴＤ∗１，ＴＤ∗２，ＴＤ∗３， ，ＴＤ∗Ｎ发送给Ａ．
挑战：Ａ选择两个等长的挑战关键字ω０，ω１．Ｂ投掷硬币，公平随机选取μɪ｛０，１｝，使用ωμ计算得到陷门
㊃８㊃
第３１卷区块链上多类型用户属性基可搜索加密方案㊀
ＴＤμ＝｛Ｔμ＝ＡＢ，｛Ｔａμ＝Ａｇ－（α＋Ｈ１（ωμ）），
Ｔᶄａμ
＝ｇｒａ｜∀ａｔｔɪＤＵＡＴＴ｝｝（１８）
㊀㊀发送给Ａ，若随机数ｂ＝
１
β
，ａ＝α＋ｒ＋ｒ１＋Ｈ１（ωμ）则陷门ＴＤμ可以表示为
ＴＤμ＝｛Ｔμ＝ｇ
α＋ｒ＋ｒ１＋Ｈ１（ωμ）
β
，｛Ｔａμ＝ｇｒ＋ｒ１，
Ｔᶄａμ
＝ｇｒａ｜∀ａｔｔɪＤＵＡＴＴ｝｝（１９）
㊀㊀阶段２：Ａ重复阶段１的工作，继续向Ｂ发起询问㊂
猜测：攻击者Ａ输出μ的猜测μᶄɪ｛０，１｝．若μ＝μᶄ，则挑战者Ｂ认为Ｚ＝ｇａｂ；若μʂμᶄ，则挑战者Ｂ认为Ｚ＝ｇｚ．
若Ｚ＝ｇａｂ，Ａ获得的陷门有效㊂因为Ａ有不
可忽略的优势ε攻破陷门安全，所以可得Ｐｒ［μ＝μᶄ｜Ｚ＝ｇａｂ］＝
１
２
＋ε若Ｚ＝ｇｚ，因为ｚ为随机数，所以Ａ只能猜测μ为０或１㊂即Ｐｒ［μ＝μᶄ｜Ｚ＝ｇｚ］＝
１２
故Ｂ解决ＤＤＨ问题的优势为：
ＡｄｖＤＤＨ＝｜Ｐｒ［μ＝μᶄ｜Ｚ＝ｇａｂ］Ｐｒ［Ｚ＝ｇａｂ］＋Ｐｒ［μ＝μᶄ｜Ｚ＝ｇｚ］Ｐｒ［Ｚ＝ｇｚ］－
１２
｜＝１２＋εæèçö
ø÷∗１２＋１２∗１２－１２＝ε２（２０）㊀㊀若ＡｄｖＤＤＨ＝
ε
２
不可忽略，则与ＤＤＨ困难问题假设相违背㊂所以攻击者Ａ的优势可以忽略㊂方案中的陷门安全㊂证明完毕㊂３ ３㊀抗重放攻击分析
对于用户串行提交的陷门ＴＤ，数据使用者
ＤＵ为其添加时间戳Ｔ，智能合约验证陷门时间戳Ｔ，若Ｔ足够接近当前时刻，则智能合约接受陷门ＴＤ；若Ｔ远离当前时刻，则视为重放攻击，智能合约丢弃该陷门ＴＤ㊂如图６所示，对于攻击者试图上传的盗用陷门，智能合约验证时间戳Ｔ∗，但是Ｔ∗与智能合约时间不符，因此攻击者无法通过重放攻击盗用其他ＤＵ的搜索陷门㊂
对于通过检验的串行提交陷门ＴＤ，智能合约根
据其Ｔ的先后顺序，依次执行搜索算法，保证搜索的顺序执行
㊂
图６㊀串行上传陷门防止重放攻击
对于并行提交的陷门ＴＤ，数据使用者为其添加随机数Ｓ，智能合约验证陷门随机数Ｓ，智能合约记录ＴＤ附加的随机数Ｓ，若ＴＤ附带的Ｓ未被智能合约记录，则智能合约接受ＴＤ；若Ｓ已被智能合约记录，则视为重放攻击，智能合约丢弃该ＴＤ㊂如图７所示，攻击者试图上传盗用
陷门，智能合约验证其随机数Ｓ∗，但该随机数已被智能合约数据库记录，因此攻击者无法通过重放攻击盗用其他ＤＵ的搜索陷门
㊂
图７㊀并行上传陷门防止重放攻击
４㊀性能分析
４ １㊀功能比较与理论分析
将本文方案与近几年可搜索加密方案进行
对比分析，从表２看出，从功能对比角度，本文方案具有一定优势㊂
文献［８，１２］均将可搜索加密技术与属性基加密技术向结合，由数据使用者属性集合与访问
㊃
９㊃
北京电子科技学院学报
２０２３年
㊀㊀
表２㊀功能对比
方案属性加密访问结构区块链抗重放攻击多类型用户模型
文献［８］有访问树有无无文献［１４］有与门无无无文献［１５］无无有无无文献［１６］无无无有无本文方案
有
访问树
有
有
有
策略的契合程度定义其解密与搜索能力㊂而文献［１２］与本文方案和文献［８］不同的是，文献［１２］采用与门访问结构，与本文方案和文献［８］采用的访问树结构相比，表达能力相对较弱㊂文献［８，１３］与本文方案将区块链技术引入可搜索加密方案㊂依靠区块链防篡改的特性，保护了加密关键词的同时，将数据使用者搜索申请一并记录，方便日后查验㊂文献［１４］在提出高效可搜索加密方案的同时，关注敌手对搜索陷门的窃听与重放攻击，提高了系统的安全性㊂本文方案较文献［８］方案相比，注重对用户陷门重放攻击保护的同时，依托实际场景，抽象出多类型用户模型，并为各类型用户提供个性化可搜索加密方案㊂提高效率的同时，使访问控制策略多样化，丰富化：
合作用户模型提供了一种多人合作搜索文件方案，有助于数据的共享，实现细粒化的访问控制，减少 信息孤岛 的产生㊂比如分散在各地的不同医院的不同领域的医生需要一起为病人会诊，需要查看病人加密的电子病历，以往方案如果将访问控制策略设置为｛｛医院Ａ，科室Ａ，医生Ａ｝，｛医院Ｂ，科室Ｂ，医生Ｂ｝，｛医院Ｃ，科室Ｃ，医生Ｃ｝｝同时满足，则没用医生可以同时满足访问策略，不利于不同医院间的合作；若设置成满足上述三个条件满足其中一个即可，任意一个医生就可以随意翻看病人电子病历，不利用病人隐私信息的保护，本方案的合作用户模型允许在属性密钥申请时，所有医生向ＫＤＣ提交属性，ＫＤＣ使用所应医生的属性一起生成一个数据使用者密钥㊂在关键词密文搜索时一名医生使用该密钥生成陷门搜索文件，若满足访问控
制策略，服务器将电子病历发给每一个医生㊂这样做既让不同医院的医生可以顺利开展工作，又保护了病人的隐私，且算法效率与普通用户模型基本相同，没有造成额外的计算负担㊂
组织用户模型为有相同属性的数据使用者设计，这些使用者可以自发组织，向ＫＤＣ申请组织用户标识㊂在搜索相同文件时，ＢＣ识别出组织用户标识，可随机抽取若干用户上传陷门进行查验，比如同一个实验室的实验员或者同一个部门的员工，他们有着相似的属性标签与对加密数据相似的需求㊂在有相同的文件搜索需求时，利用组织用户模型，相较于以往方案中检测所有上传陷门的方案，减少了检测次数，提高了搜索效率㊂
超级用户为系统内的监管以及管理员，负责对文件内容进行管理审查，维护网络空间安全㊂通过标识可不通过访问树获取任意文件，检查文件内容，删除违规文件㊂在密钥生成算法与关键词密文搜索算法不包含双线性对运算，算法效率高㊂
因此，本方案在用户量与数据量较大时，较过去方案，有较快的搜索效率与灵活性㊂本文对普通用户模型与组织用户模型进行具体算法效率分析㊂分析了在若干数据使用者搜索密文时的算法效率，如表３所示，结果不难看出，在多数据使用者的情况下，组织用户模型具有较高的ＳＥＡＲＣＨ算法效率，且本文方案与文献［８］相比用较低代价实现了对陷门的防重放攻击保护㊂其中Ｐ代表一次双线性对运算，Ｅ代表一次指数运算，Ｍ代表一次乘法运算，Ｈ代表一次哈希运算，Ｉｎｖ代表一次乘法逆元运算，Ｖｅｒ代表一次防重放攻击验证运算㊂｜Ｓ｜㊁｜Ｘ｜㊁｜Ａ｜与｜Ｎ｜分别代表属性集，访问树叶子节点集合，满足访问树的访问结构最小属性集，用户量㊂
表４对各模式算法通信代价进行分析，其中｜Ｇ１｜，Ｇ２｜代表Ｇ１，Ｇ２中元素的长度｜Ｈ｜代表各
哈希函数压缩后的长度，｜ＣＬ｜代表标识长度，㊃
０１㊃。