带免费接收者的概率广播加密方案

带免费接收者的概率广播加密方案黄丕全河海大学计算机及信息工程学院，南京（210098）E-mail: jamesonang@摘 要：随着数字化技术的发展的迅猛发展和Internet 的普及，网上交易和传播的电子图书、音乐、视频和软件等数字内容越来越多。

由于数字化信息极易被复制、修改和传播，盗版现象日益严重，给相关权利人造成巨大的经济损失。

广播加密技术解决版权保护问题并能有效地管理密钥。

但用户量巨大的时候，通信量和用户端密钥存储量都急剧增加，为了解决这一问题，本文提出一个使用秘密共享机制的概率广播加密方案，当撤销用户很多的时候，显著降低了系统的通信量。

关键词：广播加密，免费接受者，秘密共享，版权保护中图分类号：TP1811. 引言1.1 广播加密广播加密允许广播中心将加密的消息通过广播信道传送给系统中的用户U , 只有动态变化的授权用户集合 U P ⊆ 能够正确解密的密码学方法，它是一种允许数据供应商把数字内容通过广播信道安全地发布给经其授权的合法付费用户的安全机制。

广播加密典型的应用包括付费电视，数字版权管理，文件加密系统等。

授权用户集合P 可能是周期性变化的（例如，按月付费的有线电视)，也可能是每次传输都会改变的（比如在线点播服务）, 需要寻求有效的方案。

在实践中，很多广播加密应用都是基于智能卡的，解密密钥存储在防篡改的智能卡中。

广播中心预先给系统中的每个用户u 一个密钥集合。

为了广播一个消息，广播中心使用会话密钥SK 加密消息，并和头信息一起广播出去。

即广播中心发送消息B := < header ; ()ΜΕSK >()ΜΕSK 表示某个对称密钥算法使用密钥SK 加密消息，头信息包含了经过加密的会话密钥SK 和用来恢复会话密钥的信息。

用户接收到广播消息后，任意授权用户能使用预先定义的算法恢复会话密钥，从而解密消息Μ。

头信息的长度，用户密钥量的大小和用恢复会话密钥的计算量是衡量广播加密方案性能的重要因素。

1.2 允许免费接收者的广播加密自93年由Fiat 和Naor [1]提出广播加密后，人们提出了各种方案，大部分都基于树结构。

在实践中，所有授权用户集合能解密广播消息，而任何非授权用户都无法解密广播消息在某些应用中过于苛刻了，实际上，系统可以允许容忍一些可控数量的非授权用户偶尔也能解密广播消息，以减少系统的运行费用，这种用户称为免费接收者。

在允许免费接收者的模型中，供应商的基本策略是定义系统允许的免费接收者的闸值，甚至当某项服务的订阅用户数量超过闸值时可以完全免费广播该服务，虽然一部分人可能免费接收内容，这些损失可以由减少的带宽费用得到补偿。

这里必须考虑的是免费接收者必须是随机选择的，否则一些用户预期会成为免费接收者而不去付费。

Abdala ，Shavit 和 Wool [2] 引入了免费接收者的概念。

他们展示了在很多情况下允许免费接收者能减少通信量。

Shavitt,，Winkler [5] 在2002年从内容提供商和消费者博弈的角度研究了允许免费接收者的商业模型。

Adelsbach ， Greveler [6]提出一种概率的方法，但通信量和用户端计算量较大，没有给出理想的实验结果这里，更进一步地完善利用概率方法的免费接收者广播加密方案，并采用秘密共享机制分发密钥。

本文给出了一个更详尽的方案，并做了更多的试验，试验结果表明这个方案在撤销用户数量较大的时候较为有效。

2. 带免费接收者的概率方案2.1 概念与定义定义 U 是系统中所有用户集合，n U =；Ρ是授权用户集合，表示那些必须能正确解密广播消息的用户，T 是实际能解密广播消息的用户集合，t =T 。

Ｆ是免费接收者集合，表示那些没有付费订阅服务却能解密广播消息的用户，f =Ｆ。

系统在初始阶段，给每个用户分配一些秘密信息，其中至少有一个是和广播中心单独共享的，而一些则是和其他用户分享的。

为了减少用户端密钥量，通常将系统中的用户分组，在一些应用中，如果某个用户组中，某项服务的订阅者非常多，内容服务商可以通过简单的使用一个密钥来广播这个内容以节约通信成本。

相反，如果某个用户组中，某项服务订阅者数量非常少，那么内容服务商可以利用与每个用户单独分享的私钥进行加密。

定义 U P=λ，B λ为免费广播门限，i λ为单独发送的门限。

对一般情况，我们将会话密钥划分为若干份，选择以概率的方式发送，使授权用户比其他用户获得更多的会话密钥信息，以保证在大部分授权用户能重构密钥的下，只有较少的非授权用户能重构密钥。

我们选择一个()n k ,秘密共享方案, 划分算法将会话密钥划分为n 份影子，n s s K 1，重构算法根据任何原始n 份中的至少k 份影子，重构出会话密钥，少于k 份影子则不能。

方案在构造广播消息时，包括两个步骤，首先，定义若干子集，按照子集中授权用户的数量进行排序，先将n 份秘密分别广播给系统中的各个子集，这样大部分授权用户能获得足够多的信息重构密钥；其次，找到那些没有获得会话密钥的授权用户，使用系统单独与其共享的密钥将会话密钥发送给他们。

2.2 子集描述系统定义w 个子集， w N N K 1 , 每个子集由随机抽取的2/n 个用户组成。

初始阶段，系统为每个子集i N 分配一个随机密钥i LK 。

每个用户u 知道自己所属组的密钥，由于每个组的用户是随机抽取的，所以每个用户拥有约2/w 个密钥。

系统与每个用户单独共享一个密钥idv K , 以便系统单独给某个用户发送秘密消息；系统还与所有用户共享一个广播密钥b K ，以便系统给所有用户同时发送秘密消息。

2.3 广播阶段给定授权用户集合 U ⊆Ρ，系统随机选择会话密钥SK 加密内容。

系统将子集按照授权用户的数量排序，即满足Ρ∩≥Ρ∩+1i N N i , w i i ≤≤∀1:图1 排序后的子集其中，'i N 表示排序后的第i 个子集。

如图1所示，在排序后的子集中，子集1N 包含的的授权用户最多，而子集w N 包含的授权用户最少。

系统选用一个带权重的(),,n k 门限秘密共享方案[8]，使用划分算法把会话密钥SK 划分为n 份影子，n i SK SK K ，i w 表示各个子集的权重，按照排序后的顺序依次使用各个子集的密钥加密i w 份影子，并满足1+≥i i w w ，使授权用户越多的子集收到的影子数量就越多。

一个简单的权重()n k ,门限秘密共享方案是，使用Shamir 基于Lagrange 插值多项式的秘密共享方案[7]，并定义一个权重函数，给权重多的子集多分配影子，权重少的少分配影子。

系统中一些非授权用户可能也获得了足够多的影子，能够重构会话密钥，而成为免费接收者。

同时也存在一些授权用户可能并没有获得足够多的影子，不能得到会话密钥，为了让这些用户能够解密，系统使用它们各自的idv K 加密会话密钥。

系统发送广播消息 ()()[][]()M F SK E SK E j j SK E SK E i i B SK k K K k LK LK m idv idv m ,)(),(,, ,,1111K K K K = 加密算法E 为一个安全的对称密钥算法，则F 可以是一个快速的流密码算法。

2.4 解密阶段用户接收到广播消息B 后，在消息头的第一部分中查找自己所属的组，并用相应的组密钥解密得到若干影子，若达到门限值则获得会话密钥，并解密出明文，否则用户在消息头的第二部分中查找是否在其中，如在，则利用自己和广播中心单独共享的私钥idv K 解密并得到会话密钥。

否则，用户无法得到消息明文M 。

2.5 控制免费接受者数量内容供应商往往会根据内容的区别，允许不同数量的免费接收者。

比如，一些热门的重要内容，可能只允许少量的免费接收者，用户往往愿意付费订阅这些内容；相反，一些公益2N i N w N 1N性较强的内容，系统可以允许存在大量的免费接收者，以节约通信成本。

系统为了减少广播消息, 引入了免费接收者，并可以通过调节分组的多少，秘密共享的门限值，大致调节免费接收者数量，然而系统使用上述方法时，却无法精确控制系统中的免费接收者数量。

这在某些商业运行模式下是无法忍受的。

为了能够控制免费接收者数量，定义参数fr ，系统中最多允许免费接收者的数量()P \U *fr f ≤。

在广播阶段，系统在给下一个分组发送影子前，计算出当前已存在的免费接收者数量，如果超过()P \U *fr 则停止继续发送影子，并继续后续的步骤。

2.6 安全性分析本方案中，除少数系统允许的免费接者外，非授权用户无法获得会话密钥，从而无法获取明文。

但本方案不具备较好的抗串谋能力。

当任意两个用户分享各自的密钥的时，他们所有用的子集密钥占全部子集密钥的约75%，这将极大地增加他们解密任何消息的可能性，因此，本方案不具备抗窜某能力。

因此本方案适用于那些非关键的应用，而往往允许免费接收者的应用并不重要，所以是可以容忍的。

一个解决办法是将全体用户分为若干个区域，即可以减少每个用户存储的密钥量，也可以减少串谋带来的危害。

也可以根据Fiat 和Naor 提出的通过1-resilient 方案构造 k-resilient 方案的方法，构造具备抗串谋的方案。

2.7 试验数据方案采用以概率的方式发送会话密钥给授权用户集合，并由此引入了免费接收者，所以方案的性能和系统采用的参数密切相关。

将全体用户分为若干个区域，然后分别处理各个区域，可以减少用户端的密钥量；子集的数量w 决定了用户端密钥量的大小，显然w 越小，用户端密钥量就越少，但更大的w 意味着通信量的减少，带权重秘密共享机制()n k ,的参数选择，各子集权重i w 的选择都会影响系统的性能。

为简便起见，令各个子集的权重相同，试验采用一个(5,10)门限秘密共享机制，子集数量100=w ，系统用户数量65536=n ,撤销用户数量32768=r 。

结果如表1所示：表1 CS,SD 和本方案性能参数的比较 方案 密钥量（客户端） 通信量 frCS 15 23392 0SD 225 37280 0本文方案50 16453 0.1 3. 结论本文给出了一个有效的广播加密方案，并能够在允许的免费接受者数量和通信量等其他性能参数之间做出平衡。

本方案适用无状态接收者，并且在撤销用户巨大的时候，在通信量上相对树结构的方案有一定的优势。

参考文献[1].Amos Fiat ,Moni Naor. Broadcast Encryption. Advances in Cryptology: CRYPT 1993, LNCS 773, pages480-491.[2].Abdalla Shavitt and Wool Towards making broadcast encryption practical. In Financial Cryptography'99Lecture Notesin Computer Science 1648[3].Garay,Staddon,Wool. Long-lived broadcast encryption. Advances in Cryptology:CRYPT 2000,LNCS 1880 ,pages 333-352[4].Naor,.Naor,B.Lotspiech. Revocation and tracing schemes for stateless receivers. Advances inCryptology:CRYPT 2001,LNCS 2139, pages 41-62.[5].Shavitt, Y., Winkler, P., Wool. On the economics of multicasting. Netnomics 6(1) (2004) 1–20[6].Adelsbach A, Greveler U. A Broadcast Encryption Scheme with Free-Riders but Unconditional Security. In:First International Conference on Digital Rights Management: Technology, Issues, Challenges and Systems[C]. Sydney, Australia, 31 October - 2 November 2005.[7].Shamir A. How to share a secret. Communications of ACM, 1979, 22(11):612-613[8].P. Morillo, C. Padro, G. Saez, and J. L. Villar, Weighted threshold secret sharing schemes, InformationProcessing Letters,1999, 70:211 - 216.A Probability Broadcast Encryption Scheme withFree-RidersHuang PiquanComputer & Information Engineering College, Hohai University, Nanjing (210098)AbstractWith the rapid development of digital technology and the wide use of internet, more and more e-book, music, video and software are distributed and consumed via network. However, there are many pirated copy for that it's easy to copy, edit and distribute digital documents, it bring about hug loss. Broadcast encryption can protect the intellectual property of digital contents. However, when there are a great number of user, the communication and private keys which must store in user side increase rapidly. To solve this problem, this paper proposed a secret sharing based broadcast encryption scheme with free-riders. This scheme decrease the communication cost when revoked user set is large. Keywords: Broadcast Encryption, Free-riders, Secret Sharing，Copyright Protection，DRM作者简介：黄丕全，男，1978年生，硕士研究生，主要研究方向为广播加密。