| 基于身份的可验证密钥的公钥内积函数加密算法 |
| 来源：一起赢论文网 日期：2022-01-30 浏览数：841 【 字体： 大 中 小 大 中 小 大 中 小 】 |
|
第４４ 卷 第１ 期２０２１ 年１ 月计 算机 学 报ＣＨＩＮＥＳＥＪＯＵＲＮＡＬＯＦＣＯＭＰＵＴＥＲＳＶｏｌ ．４４Ｎｏ．１Ｊａｎ． ２０２１基于身份的可验证密钥的公钥内积函数加密算法邓宇乔ｎ’２）宋 歌３）杨 波４）彭长根５）唐春明６）温雅敏＾？（广东财经大学大数据与教育统计应用实验室 广州５１０１２０ ）２）（广东财经大学统计与数学学院 广州５１０ １２０）３ ）（华南农业大学数学与信息学院 广州 ５１０ １２０ ）４ ）（陕西师范大学计算机科学学院 西安７１０ ０６２）５ ）（ 贵州省公共大数据重点实验室（ 贵州大学） 贵阳５ ５０ ０２５）６ ）（广州大学数学与信息科学学院 广州 ５１０ ００６）摘 要 函数加密（Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ， ＦＥ） 是一种多功能的加密原语， 最早由Ｂｏｎｅｈ 等人正式提出． 自从ＦＥ出现以来， 许多研究者考虑如何实现通用的ＦＥ的构造． 但是， 这些工作使用了较为复杂的理论工具： 例如， 不可区分性的混淆和多线性映射等， 实用性存疑． 因此， 构造特殊的、 高效的ＦＥ以满足特定应用场合的需要成为了许多学者探索的热点．本文对近来较为热门的一种ＦＥ： 内积函数加密方案（ＩｎｎｅｒＰｒｏｄｕｃｔＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉｏｎ， ＩＰＦＥ）进行研究， 以解决目前的ＩＰＦＥ无法指定接收者身份， 以及无法认证密钥颁发者身份的问题．内积函数加密（ＩｎｎｅｒＰｒｏｄｕｃｔＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉ ｏｎ，ＩＰＦＥ）作为一种新颖的加密原语， 可以分为公钥ＩＰＦＥ（ＰＫ ＩＰＦＥ） 和私钥ＩＰＦＥ（ＳＫＩＰＦＥ）． 目前提出的ＰＫＩＰＦＥ有两点可改进之处：一方面， 不能为密文指定接收者的身份， 这将可能在一些应用场景下外泄密文的敏感信息； 另一方面， 它不能抵抗以下密钥的修改攻击： 持有向量密钥的恶意敌手可以将此向量进行修改．因为现存的ＰＫＩＰＦＥ方案无法提供密钥的验证功能， 因此， 该攻击也将可能导致安全性的危害． 提出一种标准模型下的基于身份的可验证密钥的ＰＫＩＰＦＥ方案ＩＤ ＰＫＩＰＦＥ， 形式化地给出针对该方案的三种攻击模型ｓ ＣＰＡ、 ｓ ＩＭＡ和ｓ ＶＭＡ， 其中ｓ ＣＰＡ模型展示选择性的密文不可区分性； ｓ ＩＭＡ模型展示密钥中身份的不可修改性； ｓ ＶＭＡ模型展示密钥中向量的不可修改性． 提出了两个新的困难性假设： ＣＢＤＨ和ＤＢＤＨｖ， 其中ＣＢＤＨ假设的安全性可归约到ＣＤＨ假设上， ＤＢＤＨｖ的安全性可归约到ＤＢＤＨ假设上． 把ＩＤ ＰＫＩＰＦＥ的ｓ ＣＰＡ、ｓ ＩＭＡ和ｓ ＶＭ八安全性归约到ＣＢＤＨ和ＤＢＤＨｖ这两个假设中． 把ＩＤ ＰＫＩＰＦＥ的理论效率与Ａｂｄａｌ ｌａ 和Ａｇｒａｗａｌ 等人提出的两个ＰＫＩＰＦＥ方案进行了对比， 得出了ＩＤ ＰＫＩＰＦＥ的效率稍低， 但在权限控制和抵御密钥修改攻击方面存在优势的结论．为进一步检验方案的实用性， 使用ＪＰＢＣ库在一台ＣＰＵ为ｉ７ ６７００３． ４０ＧＨｚ， 内存为８．００ＧＢ， 操作系统为Ｗｉｎｄｏｗｓ７６４ｂｉｔ 的个人ＰＣ机上实现了本文的方案． 在Ｓｅｔｕｐ算法中添加了预处理阶段： 在该阶段， 程序将预先计算多个消息的值， 并将预先计算的结果存放到ｈａｓｈ表中， 待解密消息时可供查询． 分别进行了两组实验， 在第一组实验中， 消息的范围为（〇， １〇〇〇） ， 而在第二组实验中， 消息的范围为（〇， １〇〇〇〇）．在（〇， １〇〇〇〇） 范围内时， 大多数数据统计应用程序的需求都可以满足．设定实验中向量的长度均从１０ 增加到１ ５， 实验证明，ＩＤ ＰＫＩＰＦＥ方案是实用的．关键词 公钥内积函数加密； 基于身份的加密； 标准模型； 可验证的密钥中图法分类号ＴＰ３０９ＤＯＩ号１ ０．１ １８９ ７／ＳＰ．Ｊ．１０１ ６．２０２１．００２０９Ｉｄｅｎｔｉｔｙ－ＢａｓｅｄＩｎｎｅｒＰｒｏｄｕｃｔＦｕｎｃｔｉｏｎａｌＥｎｃｒｙｐｔｉｏｎｗｉ ｔｈＶｅｒｉｆｉｅｄＳｅｃｒｅｔＫｅｙＤＥＮＧＹｕ Ｑｉａｏ１） ，２）ＳＯＮＧＧｅ３）ＹＡＮＧＢｏ４）ＰＥＮＧＣｈａｎｇＧｅｎ５）ＴＡＮＧＣｈｕｎＭｉｎｇ？ＷＥＮＹａ Ｍｉｎ１） ，２）１ ：）（． ＧｕａｎｇｄｏｎｇＵｎｉ ｖｅｒｓｉ ｔｙｏｆＦｉｎａｎｃｅａｎｄＥｃｏｎｏｍｉ ｃｓ？ＢｉｇＤａｔａａｎｄＥｄｕｃａｔ ｉｏｎＳｉａｉ ｉ ｓｉｉ ｃｓＡｐｐｌ ｉｃａｉ ｉｏｎＬａｂｏｒａｔｏｒｙ？ Ｇｕａｎｇｚｈｏｕ５１０１２０）２）（＿ ＧｕａｎｇｄｏｎｇＵｎｉ ｖｅｒｓｉ ｔｙｏｆＦｉｎａｎｃｅａｎｄＥｃｏｎｏｍｉ ｃｓ＾ＳｃｈｏｏｌｏｆＭａｉ ｈｅｍａｉ ｉ ｃｓａｎｄＳｉａＬｉ ｓＬ ｉｃｓ？Ｇｕａｎｇｚｈｏｕ５１０ １２０）３）（ Ｃｏｌｌ ｅｇｅ ｏｆＭａｉｈｅｍａｉｉｃｓａｎｄＩｎｆｏｒｍａｔ ｉｃｓ＾ ＳｏｕｔｈＣｈｉｎａＡｇｒｉｃｕｌｔｕｒａｌＵｎｉｖｅｒｓｉｔｙ？Ｇｕａｎｇｚｈｏｕ５１０１２０）４）｛Ｓｃｈｏｏｌ ｏｆＣｏｍｐｕｔ ｅｒＳｃｉ ｅｎｃｅ？ＳｈａｎｘｉＮｏｒｍａｌＵｎｉ ｖｅｒｓｉｔｙ＾Ｗａｎ７１００６２）５）｛ＧｕｉｚｈｏｕＰｒｏｖｉｎｃｉａｌＫｅｙＬａｂｏｒａｔｏｒｙｏｆＰｕｂｌｉｃＢｉｇＤａｔａ｛ ＧｕｉｚｈｏｕＵｎｉｖｅｒｓｉＬｙ） ？Ｇｕｉｙａｎｇ５５００２ ５）６）｛Ｓｃｈｏｏｌ ｏｆＭａｉ ｈｅｍａｉｉ ｃｓａｎｄＣｏｍｐｕｔ ｅｒＳｃｉ ｅｎｃｅ？ＧｕａｎｇｚｈｏｕＵｎｉ ｖｅｒｓｉ ｔｙ？Ｇｕａｎｇｚｈｏｕ５１０００６）ＡｂｓｔｒａｃｔＦｕｎｃｔｉ ｏｎａｌｅｎｃｒｙｐｔｉ ｏｎ（ ＦＥ）ｉｓａｍｕｌ ｔｉ ｆｕｎｃｔｉ ｏｎａｌｅｎｃｒｙｐｔｉ ｏｎｐｒｉ ｍｉｔｉ ｖｅｔｈａｔｗａｓｆｉｒｓｔ收稿日期：２０ １９ １０ １８； 在线发布日期：２０２０ ０ ７ １０． 本课题得到国家重点研发计划（ ２０１７ＹＦＢ０８０２０００ ）、 国家自然科学基金（ ６１７７２１４７ ，６１３００２０４ ， ６２００ ２１２２） 、 广东省自然科学基金（ ２０１７Ａ０３０３１３３７３ ， ２０１９Ａ１５１５０ １１７ ９７ ） 、 国家密码发展基金（ ＭＭＪＪ２０１７０１１７） 、 广州市教育局协同创新重大项目（１２０１６１０００５）、 广东省普通髙校特色创新类项目（２０１９ＫＴＳＣＸ０１４） 资助． 邓宇乔， 博士， 副教授， 主要研究方向为密码学、 云计算． Ｅｍａｉｌ ： ４２５４７８５４１＠ｑｑ．ｃｏｍ． 宋 歌（ 通信作者） ， 博士， 讲师， 主要研究方向为密码学． 杨 波， 博士， 教授， 主要研究领域为信息安全和密码学． 彭长根， 博士， 教授， 主要研究领域为密码学． 唐春明， 博士， 教授， 主要研究领域为信息安全与密码学． 温雅敏， 博士，副教授， 主要研究方向为密码学、 云计算．２１０ 计 算机 学 报 ２０２１年ｆｏｒｍａｌ ｌ ｙｐｒｏｐｏｓｅｄｂｙＢｏｎｅｈｅｔａｌ．Ｓｉ ｎｃｅｔｈｅａｄｖｅｎｔｏｆＦＥ，ｍａｎｙｒｅｓｅａｒｃｈｅｒｓｈａｖｅｃｏｎｓｉ ｄｅｒｅｄｈｏｗｔｏｉ ｍｐｌ ｅｍｅｎｔａｇｅｎｅｒａｌＦＥｓｔｒｕｃｔｕｒｅ． Ｈｏｗｅｖｅｒ，ｔｈｅｓｅｗｏｒｋｓｕｓｅｍｏｒｅｃｏｍｐｌｉｃａｔｅｄｔｈｅｏｒｅｔｉｃａｌｔｏｏｌ ｓ．Ｆｏｒｅｘａｍｐｌ ｅ，ｉ ｎｄｉ ｓｔｉ ｎｇｕｉ ｓｈａｂｌ ｅｃｏｎｆｕｓｉ ｏｎａｎｄｍｕｌ ｔｉ ｌ ｉｎｅａｒｍａｐ，ｅｔｃ．，ａｎｄｔｈｅｉ ｒｐｒａｃｔｉ ｃａｌｉ ｔｙｉ ｓｄｏｕｂｔｆｕｌ ．Ｔｈｅｒｅｆｏｒｅ，ｔｈｅｃｏｎｓｔｒｕｃｔｉ ｏｎｏｆｓｐｅｃｉ ａｌａｎｄｅｆｆｉ ｃｉ ｅｎｔＦＥｔｏｍｅｅｔｔｈｅｎｅｅｄｓｏｆｓｐｅｃｉｆｉ ｃａｐｐｌｉｃａｔｉ ｏｎｓｈａｓｂｅｃｏｍｅａｈｏｔｔｏｐｉｃｅｘｐｌ ｏｒｅｄｂｙｍａｎｙｓｃｈｏｌ ａｒｓ． Ｉｎｔｈｉｓｐａｐｅｒ，ａｐｏｐｕｌ ａｒＦＥ：ＩｎｎｅｒＰｒｏｄｕｃｔＦｕｎｃｔｉ ｏｎａｌＥｎｃｒｙｐｔｉ ｏｎ（ＩＰＦＥ）ｉｓｓｔｕｄｉｅｄｔｏｓｏｌ ｖｅｔｈｅｐｒｏｂｌ ｅｍｔｈａｔｔｈｅｃｕｒｒｅｎｔＩＰＦＥｃａｎｎｏｔｓｐｅｃｉｆｙｔｈｅｉｄｅｎｔｉ ｔｙｏｆｔｈｅｒｅｃｅｉｖｅｒａｎｄｃａｎｎｏｔａｕｔｈｅｎｔｉ ｃａｔ ｅｔｈｅｉ ｄｅｎｔｉ ｔｙｏｆｔｈｅｓｅｎｄｅｒ．ＩＰＦＥｃａｎｂｅｃｌａｓｓｉｆｉ ｅｄｉ ｎｔｏｐｕｂｌ ｉｃ ｋｅｙＩＰＦＥ（ ＰＫＩＰＦＥ）ａｎｄｓｅｃｒｅｔ ｋｅｙＩＰＦＥ（ ＳＫＩＰＦＥ） ． Ｈｏｗｅｖｅｒ，ｔｈｅｐｒｏｐｏｓｅｄＰＫＩＰＦＥｓｄｅｍｏｎｓｔｒａｔｅｔｗｏｄｒａｗｂａｃｋｓ．Ｏｎｔｈｅｏｎｅｈａｎｄ，ｒｅｃｉｐｉｅｎｔｃａｎｎｏｔｂｅｄｅｓｉｇｎｅｄｆｏｒａｃｉｐｈｅｒｔｅｘｔ；ｔｈｉｓｌ ｅａｄｓｔｏｌ ｅａｋｉｎｇｓｅｎｓｉ ｔｉ ｖｅｉ ｎｆｏｒｍａｔｉ ｏｎｉ ｎｓｅｖｅｒａｌａｐｐｌｉｃａｔｉ ｏｎｓ． Ｏｎｔｈｅｏｔｈｅｒｈａｎｄ，ｉｔｃａｎｎｏｔｒｅｓｉ ｓｔｔｈｅｆｏｌ ｌ ｏｗｉｎｇｓｅｃｒｅｔｋｅｙｍｏｄｉｆｉ ｅｄａｔｔａｃｋ：ａｍａｌｉ ｃｉ ｏｕｓａｄｖｅｒｓａｒｙｔｈａｔｈｏｌ ｄｓａｐｒｉ ｖａｔｅｋｅｙｏｆａｃｅｒｔａｉｎｖｅｃｔｏｒｃａｎｍｏｄｉｆｙｔｈｉｓｖｅｃｔｏｒｔｏｂｅａｎｏｔｈｅｒ．ＴｈｉｓａｔｔａｃｋｔｈｒｅａｔｅｎｓｔｈｅｓｅｃｕｒｉｔｙｏｆＰＫＩＰＦＥｂｅｃａｕｓｅｉｔｍａｋｅｓｔｈｅｓｅｃｒｅｔｋｅｙａｕｔｈｅｎｔｉｃａｔｉ ｏｎｉｎｆｅａｓｉ ｂｌ ｅ．Ａｎｉ ｄｅｎｔｉｔｙｂａｓｅｄＰＫＩＰＦＥｓｃｈｅｍｅ，ｃａｌ ｌ ｅｄＩＤ ＰＫＩＰＦＥ，ｓｕｐｐｏｒｔｉｎｇｖｅｒｉｆｉａｂｌ ｅｋｅｙｕｎｄｅｒｔｈｅｓｔａｎｄａｒｄｍｏｄｅｌｉｓｐｒｏｐｏｓｅｄ．Ｔｈｒｅｅａｔｔａｃｋｍｏｄｅｌｓ，ｎａｍｅｌ ｙ，ｓ ＣＰＡ，ｓＩＭＡ，ａｎｄｓ ＶＭＡｆｏｒｔｈｉｓｓｃｈｅｍｅａｒｅｆｏｒｍａｌ ｌｙｇｉ ｖｅｎ．Ｔｈｅｓ ＣＰＡｍｏｄｅｌｓｈｏｗｓｓｅｌ ｅｃｔｉ ｖｅｃｉｐｈｅｒｔｅｘｔｉ ｎｄｉｓｔｉ ｎｇｕｉｓｈａｂｉｌｉｔｙ；ｔｈｅｓＩＭＡｍｏｄｅｌｓｈｏｗｓｔｈｅｕｎｍｏｄｉ ｆｉａｂｉｌｉｔｙｏｆｉ ｄｅｎｔｉ ｔｉｅｓｉｎｓｅｃｒｅｔｋｅｙｓ；ａｎｄｔｈｅｓ ＶＭＡｍｏｄｅｌｓｈｏｗｓｔｈｅｕｎｍｏｄｉｆｉａｂｉ ｌ ｉ ｔｙｏｆｖｅｃｔｏｒｓｉ ｎｓｅｃｒｅｔｋｅｙｓ． Ｔｗｏｎｅｗｄｉ ｆｆｉ ｃｕｌ ｔａｓｓｕｍｐｔｉ ｏｎｓａｒｅｐｒｏｐｏｓｅｄ：ＣＢＤＨａｎｄＤＢＤＨｖ．Ｔｈｅｓｅｃｕｒｉ ｔｙｏｆｔｈｅＣＢＤＨａｓｓｕｍｐｔｉ ｏｎｃａｎｂｅｒｅｄｕｃｅｄｔｏｔｈｅＣＤＨａｓｓｕｍｐｔｉ ｏｎ，ａｎｄｔｈｅｓｅｃｕｒｉｔｙｏｆＤＢＤＨｖｃａｎｂｅｒｅｄｕｃｅｄｔｏｔｈｅＤＢＤＨａｓｓｕｍｐｔｉ ｏｎ． ＷｅｒｅｄｕｃｅｔｈｅｓｅｃｕｒｉｔｙｏｆＩＤ ＰＫＩＰＦＥ’ｓｓ ＣＰＡ，ｓＩＭＡａｎｄｓ ＶＭＡｔｏｔｈｅＣＢＤＨａｎｄＤＢＤＨｖａｓｓｕｍｐｔｉ ｏｎｓ． Ｗｅｃｏｍｐａｒｅｔｈｅｔｈｅｏｒｅｔｉ ｃａｌ ｅｆｆｉ ｃｉ ｅｎｃｙｏｆＩＤＰＫＩＰＦＥｗｉ ｔｈｔｈｅｔｗｏＰＫＩＰＦＥｓｃｈｅｍｅｓｐｒｏｐｏｓｅｄｂｙＡｂｄａｌ ｌ ａａｎｄＡｇｒａｗａｌ ． Ｉｔｉ ｓｃｏｎｃｌ ｕｄｅｄｔｈａｔｔｈｅｅｆｆｉｃｉｅｎｃｙｏｆＩＤ ＰＫＩＰＦＥｉｓｌ ｏｗｅｒ，ｈｏｗｅｖｅｒ，ＩＤ ＰＫＩＰＦＥｈａｓａｄｖａｎｔａｇｅｓｉ ｎｔｅｒｍｓｏｆｐｅｒｍｉｓｓｉ ｏｎｃｏｎｔｒｏｌａｎｄｒｅｓｉｓｔａｎｃｅｔｏｋｅｙｍｏｄｉ ｆｉｃａｔｉ ｏｎａｔｔａｃｋｓ． Ｔｏｆｕｒｔｈｅｒｖｅｒｉ ｆｙｔｈｅｐｒａｃｔｉｃａｌｉｔｙｏｆｏｕｒｓｃｈｅｍｅ，ｔｈｅＪＰＢＣｌ ｉ ｂｒａｒｙｉ ｓｕｓｅｄｔｏｉｍｐｌ ｅｍｅｎｔｔｈｅｓｏｌ ｕｔｉ ｏｎｉ ｎｔｈｉ ｓａｒｔｉ ｃｌ ｅｏｎａｐｅｒｓｏｎａｌＰＣｗｉ ｔｈａＣＰＵｏｆ１ ７ ６７００３．４０ ＧＨｚ，ａｍｅｍｏｒｙｏｆ８．００ＧＢ，ａｎｄａｎｏｐｅｒａｔｉ ｎｇｓｙｓｔｅｍｏｆＷｉ ｎｄｏｗｓ７６４ ｂｉ ｔ．Ａｐｒｅｐｒｏｃｅｓｓｉ ｎｇｓｔａｇｅｉｓａｄｄｅｄｔｏｔｈｅＳｅｔｕｐａｌｇｏｒｉｔｈｍ：ａｔｔｈｉｓｓｔａｇｅ，ｔｈｅｐｒｏｇｒａｍｗｉｌ ｌｐｒｅ ｃａｌ ｃｕｌ ａｔｅｔｈｅｖａｌ ｕｅｓｏｆｍｕｌｔｉｐｌｅｍｅｓｓａｇｅｓａｎｄｓｔｏｒｅｔｈｅｐｒｅ ｃａｌｃｕｌａｔｅｄｒｅｓｕｌｔｓｉ ｎａｈａｓｈｔａｂｌｅ，ｗｈｉｃｈｃａｎｂｅｑｕｅｒｉ ｅｄｗｈｅｎｔｈｅｍｅｓｓａｇｅｓａｒｅｄｅｃｒｙｐｔｅｄ． Ｔｗｏｇｒｏｕｐｓｏｆｅｘｐｅｒｉ ｍｅｎｔｓａｒｅｃｏｎｄｕｃｔｅｄｓｅｐａｒａｔｅｌ ｙ． Ｉｎｔｈｅｆｉｒｓｔｇｒｏｕｐｏｆｅｘｐｅｒｉ ｍｅｎｔｓ，ｔｈｅｒａｎｇｅｏｆｍｅｓｓａｇｅｓｉｓ（０ ， １０００） ，ｗｈｉｌ ｅｉｎｔｈｅｓｅｃｏｎｄｇｒｏｕｐｏｆｅｘｐｅｒｉｍｅｎｔｓ， ｔｈｅｒａｎｇｅｏｆｍｅｓｓａｇｅｓｉｓ（ ０，１０ ０００）． Ｉｎｔｈｅｒａｎｇｅｏｆ（ ０ ，１０ ０００） ， ｔｈｅｎｅｅｄｓｏｆｍｏｓｔｄａｔａｓｔａｔｉ ｓｔｉｃｓａｐｐｌｉ ｃａｔｉ ｏｎｓｃａｎｂｅｍｅｔ．Ｉｎｔｈｅｅｘｐｅｒｉｍｅｎｔ，ｔｈｅｌ ｅｎｇｔｈｏｆｔｈｅｖｅｃｔｏｒｉ ｓｉ ｎｃｒｅａｓｅｄｆｒｏｍ１０ｔｏ１５，ａｎｄｔｈｅｅｘｐｅｒｉ ｍｅｎｔｐｒｏｖｅｓｔｈａｔｔｈｅＩＤＰＫＩＰＦＥｓｃｈｅｍｅｉ ｓｐｒａｃｔｉ ｃａｌ ．Ｋｅｙｗｏｒｄｓｐｕｂｌｉｃｋｅｙｉｎｎｅｒｐｒｏｄｕｃｔｆｕｎｃｔｉｏｎａｌ ｅｎｃｒｙｐｔｉ ｏｎ；ｉ ｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉ ｏｎ；ｓｔａｎｄａｒｄｍｏｄｅｌ；ｖｅｒｉ ｆｉ ｅｄｓｅｃｒｅｔｋｅｙｉ 引 言函数加密（Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉ ｏｎ， ＦＥ） 是一■种多功能的加密原语， 最早由Ｂｏｎｅｈ 等人正式提出［１］．自从ＦＥ出现以来， 许多研究者考虑如何实现通用的ＦＥ的构造 ． 但是， 这些工作使用了较为复杂的理论工具． 例如， 不可区分性的混淆（Ｉｎｄｉｓｔｉ ｎｇｕｉｓｈａｂｉｌｉｔｙＯｂｆｕｓｃａｔｉ ｏｎ，ＩＯ） 和多线性映射（ Ｍｕｌｔｉｌｉ ｎｅａｌＭａｐ）等， 实用性存疑． 因此， 构造特殊的、 高效的ＦＥ以满足特定应用场合的需要成为了许多学者探索的热点． 本文对近来较为热门的一种ＦＥ： 内积函数加密方案（ＩｎｎｅｒＰｒｏｄｕｃｔＦｕｎｃｔｉ ｏｎａｌＥｎｃｒｙｐｔｉ ｏｎ，ＩＰＦＥ）进行研究， 以解决目前的ＩＰＦＥ无法指定接收者身邓宇乔等： 基于身份的可验证密钥的公钥内积函数加密算法 ２１ １１ 期份， 以及无法认证密钥颁发者身份的问题．１． １ 相关工作在ＰＫＣ２０１５ 中， Ａｂｄａｌ ｌ ａ等人［ ６］提出了一种新的加密原语， 即ＩＰＦＥ． 此外， Ａｂｄａｌ ｌ ａ等人构造了具体的ＰＫＩＰＦＥ方案（ 即ＡＢＣＰ方案） ， 并证明了其基于不可区分性的安全性． 但是， ＡＢＣＰ方案仅被证明具有选择性的安全性， 因此不能抵抗自适应敌手．Ａｂｄａｌ ｌａ等人［７］进一步提出了一种可抗自适应敌手的ＰＫＩＰＦＥ． 最近， Ａｇｒａｗａｌ等人［８］在ＣＲＹＰＴＯ１６中提出了一种完全安全的ＰＫＩＰＦＥ方案． Ｂｅｎｈａｍｏｕｄａ等人［ ９ ］提出了一种使用投影哈希函数构造的、ＣＣＡ安全的ＰＫＩＰＦＥ．在另一个研究方向ＳＫＩＰＦＥ上， 学者们也做了很多的工作． Ｂｉ ｓｈｏｐ等人［ １ °］提出了具有函数隐藏功能的ＩＰＦＥ． 与ＰＫＩＰＦＥ不同， ＳＫＩＰＦＥ 的方案要求在加密期间引人一个秘密向量． 该方案被证明是完全安全的， 但是， 文献［１０］指出， 这种完全安全性存在缺陷， 因为它为攻击者引人了特殊的限制．Ｄａｔｔａ 等人［ １ １ ］提出了一种新的ＳＫＩＰＦＥ， 以提高安全性并消除上述限制． 他们采用了文献［１２］中的技术， 并更新了对攻击者的限制． 最近， Ｚｈａｏ 等人［ １ ３ ］提出了具有模拟安全性的ＳＫＩＰＦＥ．１． ２ 本文的贡献本文主要有三个贡献， 分述如下：（１） 本文提出了ＩＤ ＰＫＩＰＦＥ． 加密者可以指定密文接收者的身份， 并且解密者的密钥可以由任何人公开地验证（ 即密钥不可改） ．（２） 本文提出了ＩＤＰＫＩＰＦＥ的安全模型， 包括选择性ＣＰＡ安全模型和可抗修改的安全模型．（３） 本文基于标准模型， 严格地证明了ＩＤ ＰＫＩＰＦＥ的安全性．２ 背景知识在本节中， 我们首先介绍将使用到的技术基础，随后， 约定一些方便文章描述的记号．２．１ 双线性映射假定Ｇ和Ｇｔ是两个阶为 的乘法素阶群，ｅ 是具有以下属性的双线性映射：（１） 双线性． 以下等式对Ｇ和 中的所有的ｍ， ｇ和ａ 均成立＿（２） 非退化性．２． ２ 困难性假设本节将提出两个新的假设， 分别是计算性双线性Ｄｉｆｆｉｅ Ｈｅｉ ｌｍａｎ｛良设（ Ｃｏｍｐｕｔａｔｉ ｏｎａｌＢｉｌｉｎｅａｒＤｉｆｆｉｅＨｅｌｌ ｍａｎＡｓｓｕｍｐｔｉ ｏｎ， ＣＢＤＨ） 和判定性双线性Ｄｉ ｆｆｉｅＨｅｌ ｌｍａｎ假设白句变体（ ＶａｒｉａｎｔｏｆＤｅｃｉ ｓｉ ｏｎａｌＢｉ ｌ ｉ ｎｅａｒＤｉ ｆｆｉｅ Ｈｅｌ ｌ ｍａｎＡｓｓｕｍｐｔｉ ｏｎ，ＤＢＤＨｖ）？ 详细描述请参见附录１．２． ３ 术 语本文给定以下的术语． 令ＳＫｆ表示身份为ＪＤ的接收者持有的与向量Ｊ 相关联的密钥． 令ＣＴｆ表示接收者身份为Ｈ？， 与向量ｘ关联的密文． 令［ｗ］表亦｛ｌ，２，＂’， ｗ｝ 的集合？３ＩＤ－ＰＫ－ＩＰＦＥ的构造动机本文将提出的ＩＤＰＫＩＰＦＥ主要具有以下的两个新功能： 可指定密文接收者的身份以及密钥的可验证性． 本节将首先展示ＰＫＩＰＦＥ的一个应用场景， 随后， 说明这两个功能在该应用场景中的作用．３．１ＰＫ－ＩＰＦＥ的一个应用场景考虑在云环境中应用安全的々 近邻算法（Ｓｅｃｕｒｅ々ＮＮ， ＳｋＮＮ） 对数据进行挖掘和查询［ １ ４ １ ６ ］ ＪＮＮ是数据挖掘领域的经典分类算法． 々ＮＮ查询的原理简要描述如下： 数据拥有者（ＤａｔａＯｗｎｅｒ，ＤＯ） 拥有一个数据库Ｄ， 而Ｄ由？个点（ 即？个向量） Ｐｉ，Ｐｚ，…， 组成？ 查询用户（ Ｑｕｅｒｉ ｅｄＵｓｅｒ， ＱＵ） 拥有一个需要查询的点（ 即向量）９， 它需要检索Ｄ中最接近点９ 的々 个点． 本质上， 如文献［１４］ 中所述， 上述ＡＮＮ查询可以转换为两个向量的内积计算．如果ＤＯ将其数据库Ｄ上传到云服务提供商（ Ｃｌ ｏｕｄＳｅｒｖｉ ｃｅＰｒｏｖｉ ｄｅｒ， ＣＳＰ）， 而ＣＳＰ将利用这些数据为大量的ＱＵ提供查询服务． 在传统的ＡＮＮ模型中， ＤＯ的数据隐私无法得到保护．因此， 通常的做法是， ＤＯ逐一加密其向量扒，／＾，…，ｐｍ， 然后将其上传到ＣＳＰ以保护数据隐私． ＱＵ将其需要查询的向量９发送到ＣＳＰ． ＣＳＰ通过执行内积计算获得ＡＮＮ结果， 并将该结果发送到ＱＵ．综上， 可以采用ＰＫＩＰＦＥ来实现ＳｋＮＮ： ＤＯ使用加密算法对向量进行加密， 并将其上传到ＣＳＰ；ＱＵ将查询密钥（密钥内包含有ＱＵ的查询向量） 发送给ＣＳＰ； ＰＫＩＰＦＥ的安全性将可保证ＤＯ的数据隐私不会外泄（ 在此模型中我们不考虑ＱＵ的查询隐私）．２１２ 计導机攀报： ＿１苹３． ２ 以上方案中存在的问题上述方案存在以下两个问题：（１）ＤＯ无法楫定其密文的接收者？ 这将在一些应用中带来不便． 例如． 假设ＤＯ仅向已付费的ＱＵ提供查询服务， 如果ＤＯ不能指定密文的接收者， 它就不能阻止未付费的ＱＵ查询数据，库（２： ３ 恶＃攻击者可能会修魂查询密铒． 在下节将揞出． 在」般的ＰＫＩＰＦＥ方案中》 密钥内嵌人的向量可以被修改？ 这种修改会对ＳｔＮＮ模型造成威胁． 例如， 如图１ 所示， 假设ＱＵ向ＣＳＰ发送Ｊ与向量关联的查谢密钥，聲且该密钥被敌手捕获＞则敌手可轉： ＿鲁：玫为６々为戆手迤衆的螯載５？參＝后将此修改的聋询密钥发送到ＣＳＰ．ＣＳＰ将向．ＱＵ返０错误的处Ｗ查询緒杲？ 以下的例１ 将更加潆楚地表明， ＣＳＰ返回的错误绾果将会导致严重的后擧？例１？假设ＤＯ上传加密点（ 和＝＜—１，一 １） ，ｆｔｈ０ Ｊ＃ｆＣ４ｋ ？ｓ厂Ｃ５， Ｓ）］ 到ＣＪＳＰ？ＱＵ的查询Ｊ；皋ｇ＝（１，１＞？ＱＵ＿黌每到麵Ｎ的结粟即査询在ＤＯ的数据库中． 与点（１， １）的欧几凰禱距离最近的两个点， 实际上， 距离点ｇ 最近的２ 个点应为ｈ，ｐ２． 然而， 如果敌手截莸了ＱＵ的查询密钥； 并将密衝中的点ｇ＝Ｃｌ，ｉ：） 修政为＝ｇ＝（： Ｌ， 则ＣＳＰ返回的２ 个最近的点将变成办，， 而不再： 是Ｐｌ，ｐ２． 由此可见，一旦激手Ｖ以修改密钥中嵌人的阿董， 将有可能导致．严重的后果．３． ３ 密钥修改攻击本文先简要回顧ＡＢＣＰ方案的ＫｅｙＤｅｒ算法（有关整个方案的详细说明 審参见文献１６］的第３ 节＞？震奠難使用ＭＳＫ， 即向量ｓ＝（： 巧，…，％）， 将向量ｊ＝（Ｍｆ…， ＿ｖＪ编码进密钥中： ＳＫ，＝ｄ， ＳＫ２）＝（．ｙ．｛ ｙ， ｓＹ）．规在介绍如何修改密钥． 假设Ａｌｋｄ即敌手）获得了ｉ个密钥（， ＳＫＶｉ）ｉ ６ ［ １ ．． ． ．，ｉ）—（ ＳＫ＾ ， ｉ ？ＳＫｉ， ２） ｉｅ ｔｉ ， Ｉ￣Ｃｙｉ＾（ｙｉ＾ｓ）？则她可以通过以下计算生成一个新的、 关于向量ｈ心ｈ的密钥， 其中仏，…上｝为Ａｌ ｉｃｅ自行选择的整数：ｉｉＳＫｙ＝（ＳＫ｛，５Ａ１）＝（ＳＫ－ｉ＇－ ２＊ ＳＫ＾）ｉ－１ｉ￣ｌ＝（ｙ＼（ｙ＼ｓｙ）：在ＳｋＮＮ场蕈中， 假设ＱＵ拥有关于向量的密钥， 并期震查询向量ｙ 与保書在ＣＳＰ上的秘密向的内积．但是．ＱＵ向ＣＳＰ传输密钥的过程被教手所戴获， 敌手将ＱＵ的密钥改为与向量／相关（／乒．Ｖ）， 随后发送到ＣＳＰ， 则将导致如下后果： ＣＳＰ将向ＱＵ返回酔密得到内积〈／？ｘ＞ （而ＱＵ要查询的内积病除为：Ｌｖ＊＊：？此种密钥申询；＊的修改技术可以被类似地？甩ＴＡＬＳ方寒［７ ］中，由ｆ篇値所限， 我们省赂了对其齡描述．综上所述，一般的ＰＫ－ＩＰＦＥ方案中， 密■里嵌入的询量可被敌手修改， 这将给一趋应用带来安，全．威胁？４ＩＤ－ＰＫ－ＩＰＦＥ的定义和安全性模型本节介＿ＩＤ．－ＰＫ－ＩＰＦＥ的寅久和実全他模龜？４．１ＩＤ－ＰＫ－ＩＰＦＥ的定义定义１（ＩＤ－ＰＫＩＰＦＥ的變义；ＩＤ－ＰＫＩＰＦＥ減■儀式化地＿为ＰＫＩＰＦＥ＝＜Ｓｅｔｕｐ，Ｅｎｃｒｙｐｔ，ＫｅｙＯｅｎ；Ｖｅｒｉｆｙ，Ｄｅｅｒｙｐｔ）的稱逑如下：Ｓｅｔｕｐ （１＇， ｗ） ｛ 属：算藤的输人： 为售蠢参数；ｌ 和系统中向鐘的长度 该箅法的输出是公钥 和ＭＳＫ．邓宇乔等： 基于身份的可验证密钥的公钥内积函数加密算法 ２１ ３１ 期ＥｎｃｒｙｐｔＣ ＰＫ，ＪＤ， ｘ）： 该算法的输人为公钥ＰＫ， 接收者的身份ＪＤ和待加密向量ｘ． 该算法的输出为密文Ｃ７Ｔ．ＫｅｙＧｅｎ（ＭＳＫ，ＪＤ，３〇： 该算法的输人为主密钥ＭＳＫ， 密钥持有者的身份ＪＤ和向量＾该算法输出密钥ＳＫ；ｄ．Ｖｅｒｉｆｙ（ＴＫ， ＳＫ）： 该算法的输人为公钥ＰＫ和密钥ＳＫ． 算法输出１ 表示密钥验证通过， 即密钥未被改动； 否则输出〇 表示验证不通过， 即密钥已被改动．Ｄｅｃｒｙｐｔ（ＴＫ， ＣＴｆ， ＳＫｆ）： 解密算法将ＰＫ，ＣＴｆ和ＳＫｆ作为输人． 如果ｒｏ乒ｎｒ， 则解密以极大的概率失败； 否则， 解密算法输出内积值〈 ｘ，：ｖ 〉．在ＩＤ ＰＫＩＰＦＥ方案中，一个接收者ＪＤ仅允许与一个向量进行绑定． 例如， 如果已形成密钥， 则不允许形成密钥ＳＫｆ， 其中 因为ＪＤ已经和向量＾ 绑定， 则不再允许与另一个向量／绑定． 我们将在第４ 节中说明原因． 如果接收者Ｍ需要同时绑定多个（ 例如《） 个不同的向量， 从技术上讲， 我们可以为接收者Ｍ创建〃 个不同的接收者例如，ＪＡ，ＪＡ，…，ＪＤＪ， 并为 绑定一个唯一的向量Ｉ即可．本文以下提出关于ＩＤ ＰＫＩＰＦＥ的三个安全性模型： 包括选择性明文攻击模型（ ｓｅｌ ｅｃｔｉ ｖｅＣｈｏｓｅｎＰｌａｉ ｎｔｅｘｔＡｔｔａｃｋ， ｓ ＣＰＡ） ， 选择性ＩＤ修改攻击模型（ ｓｅｌ ｅｃｔｉ ｖｅＩＤＭｏｄｉ ｆｉｅｄＡｔｔａｃｋ，ｓＩＭＡ） 和选择性向量修改攻击模型（ ｓｅｌ ｅｃｔｉ ｖｅＶｅｃｔｏｒＭｏｄｉｆｉ ｅｄＡｔｔａｃｋ， ｓ ＶＭＡ）．４． ２ＩＤ－ＰＫ－ＩＰＦＥ的安全性模型ｓ ＣＰＡ安全性模型展示密文的不可区分性， 并且这些密文与选择性向量和选择性接收者身份相关联．定义２（ＩＤ ＰＫＩＰＦＥ的ｓ ＣＰＡ安全性模型）．ＩＤＰＫＩＰＦＥ的ｓ ＣＰＡ安全性模型主要包括如下白句Ｉｎｉｔ、Ｓｅｔｕｐ、 Ｑｕｅｒｉｅｓｌ、 Ｑｕｅｒｉｅｓ２、Ｃｈａｌ ｌ ｅｎｇｅ和Ｇｕｅｓｓ六个阶段， 是挑战者Ｃ和敌手＾之间进行的游戏． 该模型的描述如下：１１１比＿４选择并向Ｃ发布一个挑战身份 和两个挑战向量＜， ｉｉＫ ）．Ｓｅｔｕｐ：Ｃ生成并发布公钥ＰＫ．Ｑｕｅｒｉｅｓ１：可以向Ｃ提出任何密钥查询ＳＫｆ，但有以下限制：（１） 对同一个 不能重复查询．（２） 如果 ， 即查询的身份ＪＤ等于挑战的身份 则需满足：〈＜ ＜，３＾＝０．Ｃｈａｌ ｌｅｎｇｅ掷硬币 ｛〇 ， １｝， 生成挑战密文然后将其发送给＿４．Ｑｕｅｒｉｅｓ２： 与“Ｑｕｅｒｉ ｅｓ１”阶段操作相同．Ｇｕｅｓｓ：输出对／？ 的猜测以上的限制１ 确保一个身份 仅与一个向量相关联； 而若无限制２ ， 则＿４可能知道密钥 满足以下式子：因此， ＞４可以使用密钥ＳＫｒ来解密挑战密文Ｃ， 从而得到〈＜， ｙ〉． 若〈＜， ｙ〉＝〈＜， ｙ 输出〇， 否则， 输出１． 因此， 若无限制２ ，＿Ａ可以频繁地赢得该游戏．当 时， 可以查询密钥ｓｋ；ｄ， 其中：ｖ可以是任意向量． 这是因为， ＞４无法使用此密钥来解密挑战密文ＣＴｇ＇定义＞４赢得Ｓ ＣＰＡ游戏的优势为Ａｄｖｓ ＣＰＡ＝Ｐｒ［／？，＝／？］Ｙ．定义３（ＩＤＰＫＩＰＦＥ的ｓ ＣＰＡ的安全性定义）．如果对于任何的ＰＰＴ算法 而言， 优势是可以忽略的， 则ＩＤ ＰＫＩＰＦ是ｓ ＣＰＡ安全的．以下提出的两种安全性模型， 是用来确保密钥的不可修改性． 具体而言， 如果密钥ＳＫ）Ｄ被生成， 则密钥中的身份 和向量ｙ 都不能被任何人修改．如果敌手试图修改密钥ＳＫｆ， 则他可以从以下两种方式中进行选择： 首先， 他可以修改密钥中的身份ＪＤ， 例如， 将ＪＤ修改为ＪＤ＇； 其次， 他可以修改密钥中的向量， 例如， 将＿ｖ 修改成／． 以下定义的安全模型ｓＩＭＡ用以捕获敌手修改密钥中的身份ＪＤ的行为， 而ｓＶＭ Ａ模型用以捕获敌手修改密钥中的向量的行为．定义４（ＩＤ ＰＫＩＰＦＥ的ｓＩＭＡ安全性模型）．ｓＩＭＡ模型是挑战者Ｃ和敌手 之间进行的游戏，它包括Ｉｎｉ ｔ、Ｓｅｔｕｐ、 Ｑｕｅｒｉｅｓ 和Ｆｏｒｇｅ 四个阶段．Ｉｎｉｔ ：选择并发布挑战的身份Ｓｅｔｕｐ：Ｃ生成并发布公钥ＰＫ， 然后将其发送给＞４．Ｑｕｅｒｉｅｓ：可以进行Ｑ个密钥查询ＳＫｆ：（ 沒［Ｑ］）， 但限制为ｒｏ， 乒ｊ马和ｒｏ， 乒ｎｒ， 其中…ｅ［Ｑ］＿Ｆｏｒｇｅ： ＿Ａ选择挑战向量＿ｙ＊， 并生成密钥ＳＫ？＊ ＊，然后将其提交给Ｃ．２１４ 计 算机 学 报 ２０２１年定义＞４赢得ｓＩＭＡ游戏的优势为Ａｄｖｓ ｉＭＡ＝ＰｒｌＡ（ ＰＫ，ＶＳＫ？－：ＪＤ！ ＾：Ｄ＊）＝ＳＫ？＊：（ Ｖｊ＊）］．定义５（ＩＤ ＰＫＩＰＦＥ的ｓＩＭＡ安全性定义）．如果对于任意的ＰＰＴ算法 而言， 优势／ＷｔｖＩＭＡ均可以忽略， 则ＩＤ ＰＫＩＰＦＥ对ｓＩＭＡ是安全的．ｓ ＩＭＡ模型是一种选择性的安全模型， 即敌手？Ａ需要在收到公钥之前公开挑战身份 可以查询Ｑ个秘密密钥｛ ＳＫｆ｝ ， ｅ［Ｑ］， 唯一的限制是ＪＡ乒ＨＴ．如果可以根据其已知的密钥集合， 推导出新的密钥ＳＫ３％则可以赢得游戏．定义６（ＩＤＰＫＩＰＦＥ的ｓ ＶＭＡ安全性模型）．ＩＤＰＫＩＰＦＥ 的ｓ ＶＭＡ安全性模型包括Ｉｎｉ ｔ、Ｓｅｔ ｕｐ、 Ｑｕｅｒｉ ｅｓ 和Ｆｏｒｇｅ 四个阶段． 该模型是在挑战者Ｃ和敌手＾之间进行的游戏．ｓ ＶＭＡ的详细说明如下：ｉｎｉｔ：选择挑战身份ｎｒ和挑战向量，， 并将其发送给Ｃ．＾的目标是生成新的密钥ＳＫｆ％其中／Ｗ？Ｓｅｔｕｐ：Ｃ生成公钥ＰＫ， 然后将其发送给＿４．Ｑｕｅｒｉｅｓ１：可以向Ｃ询问Ｑ个密钥ＳＫｆ：Ｇ＇ｅ［Ｑ］） ， 其唯一的限制是ｊａ乒ｊｄ，， 其中ｙｅ［Ｑ］， 并且挑战身份 必须与挑战向量：ｒ绑定．Ｆｏｒｇｅ：＿４伪造密钥ＳＫｆ， 其中 乒，．定义＞４赢得ｓ ＶＭＡ游戏的优势如下：ＡｄｆｏｓＶＭＡ＝Ｐｒ［＿Ａ（ＴＫ， ＶＳＫｆ：（ＪＤ乒ＪＤ＊） ， ＳＫｆ＊）＝ｓＷ： ／Ｗ］＿定义７（ＩＤＰＫＩＰＦＥ的ｓ ＶＭＡ的安全性定义）．如果对于任意的ＰＰＴ算法而言， 优势／ＷｔＶｖＭＡ 都可以忽略不计， 则ＩＤＰＫＩＰＦＥ是ｓ ＶＭＡ安全的．可以从ｓ ＶＭＡ模型中观察到以下特点． 在Ｉｎｉｔ阶段， 敌手应首先声明挑战身份 和挑战向量，．其次， 在询问过程中，当敌手询问关于挑战身份ｎｒ的密钥时， 该密钥必须与挑战向量，绑定． 再次，的目标是将密钥ＳＫｆ修改为ＳＫｆ， 其中因此， 如果ＩＤＰＫＩＰＦＥ方案在ｓ ＶＭＡ模型中是安全的， 则敌手无法选择性地修改密钥中的向量．５ＩＤ－ＰＫ－ＩＰＦＥ的构造５． １ＩＤ－ＰＫ－ＩＰＦＥ的构造ＳｅｔｕｐＣｌ１， 《）： 该算法以安全参数Ａ， 向量的长度ｗ为输人． 选择素数阶为ｆ的乘法群Ｇ和ＧＴ， 双线性映射ｅ： ＧＸＧ—Ｇｔ， 以及防碰撞的哈布函数 选择ｍ！， ｍ２， 》！， 》２ｅＧ和整数，？ ？ ？， ＆， 计算｝，ｅＨ？ 该算法公布以下公钥：ＰＫ＝（． Ｇ，， Ｇ，Ｔ， ｇ，ｐ，ｅ， ｖ１， ｖ２， ｈ，｛ｈｉ ｝主密钥为ＭＳＫ＝〇， ｋｈｅＨ）．Ｅｎｃｒｙｐｔ（ＰＫ， ＪＤ， ｘ）： 该算法将ＰＫ， 接收者的身份ＩＤ和向量ｘ作为输人． 选择ｒｅ厶， 并生成以下密文：ＣＩ，１＝ｅ（ ｇ， ｇ）＾ｅ（ｕＩ１Ｄｕ２ ， ｈｉ）ｒ： （ｉＧ［ｎ］） ，Ｃｒ＝ｇｒ，ｃｖ＝（ｖｒｍ）ｖ２ ｙ，Ｃｈ＝ｅ（ｕｌＤｕ２ ， ｈ）ｒ．该算法生成的密文为ＣＴ＝｛ＩＤ， Ｃｒ ， Ｃｖ ， Ｃｋ， （Ｃｕ，…， ＣＪｌＫｅｙＧｅｎ（ＭＳＫ，ＪＤ，３Ｏ： 该算法将身份ＪＤ， ＭＳＫ＝Ｏ， ＆，？ ？ ？， ＆） 和向量＿ｙ＝｛３＾ ，＿ｙ２，…，＿ｙ？｝ 作为输人． 选择 并计算：ｎＷ｜ ￥Ｋｔ＝ｇｌ．密钥为ＳＫ＝｛：ｖ ， Ｍ，｝．Ｖｅｒｉｆｙ（ＴＫ， ＳＫ） ： 该算法以ＰＫ＝（ Ｇ， ＧＴ， ｇ，ｆ，ｅ，ｍ！，ｍ２ ， ｗ！ ， ｗ２ ，／ｉ， ｛ ＆｝ ， ｅｈ， Ｗ） 和ＳＫ＝｛ ＿ｙ ，，Ｋ， ｝ 作为输人． 如果下式成立则输出１：ｅ（ ｇ， Ｋｈ）＇ｅ（ｖ＾（ｌ ｍｖ２， Ｋｔ ）＝ｅ（ｕｌＤｕ２，／ｉ＾？ ■ ？ｈｙｎｎ？ｈ） ，否则， 输出〇．上述验证算法的正确性如下所示：ｅ（ｇ， Ｋｈ）－ｅ（ｖ＾ａＤ）ｖ２， Ｋｌ ）＝ｅ（ｇ， （ｕ［Ｄｕ２）＾，ｙ，＋ｉ（：ｖ＾（ｌｍｖ２）ｌ）－ｅ（． ｖ＾（ｌ ｍｖ２， ｇｌ）＝ｅ｛ｕ｛°ｕ２，Ｘ）ｇｓ＞ｙ＞＇ｇｓ）＇ｅ（ｖ＾ａｍｖ２ ， ｇ１）－厂１ｅ（ ｖ＾ＵＤ＞ｖ２， ｇｌ）＝ｅ（ｕｌＤｕ２ｊ／ｉｉ１？ ？ ？ｈｙｎｎ＇ｈ）．Ｄｅｃｒｙｐｔ（ＰＫ， ＣＴ， ＳＫ）： 该算法以ＰＫ、 ＣＴ和ＳＫ作为输人． 如果包含在ＣＴ和ＳＫ中的身份不同， 则算法输出丄并中止．如果包含在ＣＴ和ＳＫ中的身份相同， 设该接收者身份为Ｈ？， 并设与ＣＴ和ＳＫ关联的向量分别为ｘ＝（而，…， ：ｒ？ ） 和＿ｙ＝（＿ｙｉ，…，３〇， 计算：ＪＸＣ＾］ｔ＝ｅ（ｇ， ｇ）ｕ＇ｙ＞Ｙ［ｅ（ ｕ＾ＤＵ２， ｈｔ ）ｒｙ＇ｉ ｌｉ １和邓宇乔等： 基于身份的可验证密钥的公钥内积函数加密算法 ２１ ５１ 期ｎｘ＇ Ｓ｜ ￥＝ｅ（ ｇ＾，ｙ，＇， ｕＩ１Ｄｕ２ ｙ－ｅ（ｇ， ｖ］ｔ（ ｍ＞ｖ２）ｒｌ＝ＪＪｅ（ｕ｛Ｄｕ２ ｙ ｇｓ＾）ｙ＂？ｅ（ｕＩ１Ｄｕ２ ｙ ｇｓ＇）ｒ？ｅ（ｇｙ ｖ＾（ ＩＤ） ｖ２）ｎｉ ｉ＝ ＪＪ＾（ｗ［ｄｗ２ ｊ ｈｔ ）ｙ＾ｒ？ｅ（ｕ［Ｄｕ２ ｙ ｈＹ？ｅ（ｇ＾〇＾（ １ ￡＞ ） ｖ２）ｒｉ．ｉ １该算法通过以下方式得到 ：ｅ（Ｃｒ， Ｋｈ ｒ１？Ｃｈ？ｅ（ Ｃｖｉ ｌ＝（ｅ（ｇ， ｇ）ｕ，ｙ）Ｙ＼ｅ（ｕｌＤＵ２ ｊ ｈｉ Ｙ＾）？ｉ ｉ｛ ＼＼＿ｅ（ ｕ［Ｄｕ２＾ ｈｉ）ｙ＾ｒ？ｅ（ｕ［Ｄｕ２＾ ｈ）ｒ？ｅ（． ｇ＾ ｖ＾（ ＩＤ）ｖ２）ｒｌ）？ｉ ｉｅｉ ｕ＼Ｄｕ２，ｆｉ）ｒ．ｅｉ ｉ ｖ＾ｕｍｖ２ ｙ＝ｅ（ｇ－，ｇ－）＜ ＾＞．该算法寻找 满足以下方程式：ｅ（ ｇ， ｇ）， ｘ＇ｙ＞＝（ｅ（ｇ， ｇ） ）Ｍ，算法输出 作为恢复的明文． 最后这步解密过程涉及到求离散对数问题， 但是，当把 可能的取值限制在固定的多项式大小范围内时， 解密算法能以多项式的时间对密文解密， 目前提出的所有的ＩＰＦＥ方案均采用这种解密方式＋９ ］．本文在第３ 节中讨论了ＩＤ ＰＫＩＰＦＥ方案必须设置以下的限制：一个身份 只能与一个向量绑定． 假定存在两个向量， 设为ｈ 都与一个身份ｒｏ相关联． 这两个密钥设为二Ｇ４Ｗ严Ｖ２）Ｋ＂：二ｆ，Ｋｋ，２－－（．ｕＴｕ２ ）＾，ｙ＾＂？ａＤ）Ｖ２ ）ｋｌ，２＝二ｚ，其中，ｚ， ／ｅｚ＃ 是两个整数． 则此时敌手可对密钥进行修改， 因为以上两个密钥可用于生成关于同一个身份 ， 且关联一个新的向量的密钥． 例如， 可以通过以下计算生成关于身份ＩＤ和向量＿ｙ＝２＿ｙｉ＿ｙ ２ 的新密钥：ＫｄＬ．ｄ） ＷＫ（＝（ Ｋｕ）２．（ Ｋａ，２ ）１＝（ Ｍｌ＇）２（务１（ Ｍｌ＇）（聲２’ ，＋Ｓ）因此， 本文的ＩＤ ＰＫＩＰＦＥ方案要求，一个身份必须仅能与一个向量进行绑定， 以防止敌手对密钥的修改攻击．５．２ 安全性分析在本节中将证明ＩＤＰＫＩＰＦＥ的ｓ ＣＰＡ、ｓＩＭＡ和ｓ ＶＭＡ的安全性． 具体证明过程请参见附录．５． ３ 效率分析具体的理论和实验效率分析请参见附录．６ 结 论本文通过使用双线性映射技术， 提出了ＩＤＰＫＩＰＦＥ方案， 该方案主要解决了一般的ＰＫＩＰＦＥ方案中无法指定接收者， 并且密钥可修改的问题． 我们定义了ｓ ＣＰＡ、ｓ ＩＭＡ和ｓ ＶＭＡ模型， 并在这些模型下证明了ＩＤ ＰＫＩＰＦＥ的安全性． 最后， 我们对ＩＤ ＰＫＩＰＦＥ方案进行了理论和实验的效率分析．致 谢 我们诚挚感谢编辑老师和匿名审稿专家对稿件提出的中肯意见！参 考 文 献［１］ＢｏｎｅｈＤ，ＳａｈａｉＡ，ＷａｔｅｒｓＢ． Ｆｕｎｃｔｉｏｎａｌｅｎｃｒｙｐｔ ｉｏｎ： Ｄｅｆ ｉｎｉｔ ｉｏｎｓａｎｄｃｈａｌｌｅｎｇｅｓ／／ＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅＴｈｅｏｒｙｏｆ Ｃｒｙｐｔｏｇｒａｐｈｙ８ｔｈＴｈｅｏｒｙｏｆ ＣｒｙｐｔｏｇｒａｐｈｙＣｏｎｆｅｒｅｎｃｅ． ＲＩ ， ＵＳＡ，２０１ １：２５３ ２７３［２］ＧａｒｇＳ？Ｇｅｎｔ ｒｙＣ？ ＨａｌｅｖｉＳ？ ｅｔａｌ． Ｃａｎｄｉｄａｔｅ ｉｎｄｉｓｔｉｎｇｕｉｓｈａｂｉｌｉｔｙｏｂｆｕｓｃａｔｉｏｎａｎｄｆｕｎｃｔ ｉｏｎａｌｅｎｃｒｙｐｔ ｉｏｎｆｏｒａｌｌｃｉ ｒｃｕｉｔｓ／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔ ｈｅ２０１３ＩＥＥＥ５４ｔ ｈＡｎｎｕａｌＳｙｍｐｏｓｉｕｍｏｎＦｏｕｎｄａｔ ｉｏｎｓｏｆＣｏｍｐｕｔ ｅｒＳｃｉｅｎｃｅ． Ｂｅｒｋｅｌｅｙ， ＵＳＡ， ２０１３：４０ ４９［３］Ａｔｔ ｒａｐａｄｕｎｇＮ． Ｄｕａｌｓｙｓｔ ｅｍｅｎｃｒｙｐｔ ｉｏｎｖｉａｄｏｕｂｌｙｓｅｌｅｃｔ ｉｖｅｓｅｃｕｒｉｔｙ ： Ｆｒａｍｅｗｏｒｋ？ｆ ｕｌｌｙｓｅｃｕｒｅｆｕｎｃｔ ｉｏｎａｌｅｎｃｒｙｐｔ ｉｏｎｆｏｒｒｅｇｕｌａｒｌａｎｇｕａｇｅｓ，ａｎｄｍｏｒｅ／／ＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅＥＵＲＯＣＲＹＰＴ２０１４． Ｃｏｐｅｎｈａｇｅｎ， Ｄｅｎｍａｒｋ，２０１４： ５５７ ５７７［４］ＷａｔｅｒｓＢ． Ａｐｕｎｃｔ ｕｒｅｄｐｒｏｇｒａｍｍｉｎｇａｐｐｒｏａｃｈｔ ｏａｄａｐｔ ｉｖｅｌｙｓｅｃｕｒｅｆｕｎｃｔ ｉｏｎａｌｅｎｃｒｙｐｔ ｉｏｎ／／ＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅＣＲＹＰＴＯ２０１５． ＣＡ， ＵＳＡ， ２０１５： ６７８ ６９７［５］ＡｓｈａｒｏｖＧ？ＳｅｇｅｖＧ． Ｌｉｍｉｔｓｏｎｔｈｅｐｏｗｅｒｏｆｉｎｄｉｓｔ ｉｎｇｕｉｓｈａｂｉｌｉｔｙｏｂｆｕｓｃａｔｉｏｎａｎｄｆｕｎｃｔｉｏｎａｌｅｎｃｒｙｐｔｉｏｎ／ ／Ｐｒｏｃｅｅｄｉ ｎｇｓｏｆｔｈｅＩＥＥＥ５６ｔｈＡｎｎｕａｌＳｙｍｐｏｓｉｕｍｏｎＦｏｕｎｄａｔｉｏｎｓｏｆＣｏｍｐｕｔ ｅｒＳｃｉｅｎｃｅ． ＣＡ， ＵＳＡ， ２０１５； １９１ ２０９［６］Ａｂｄａｌ ｌａＭ，ＢｏｕｒｓｅＦ，ＣａｒｏＡＤ，ｅｔａｌ． Ｓｉｍｐｌｅｆｕｎｃｔｉｏｎａｌｅｎｃｒｙｐｔｉｏｎｓｃｈｅｍｅｓｆ ｏｒｉｎｎｅｒｐｒｏｄｕｃｔｓ／／Ｐｒｏｃｅｅｄｉ ｎｇｓｏｆｔｈｅＰｕｂｌｉｃＫｅｙＣｒｙｐｔ ｏｇｒａｐｈｙ２０ １５． ＭＤ， ＵＳＡ，２０１５： ７３３ ７５ １［７］Ａｂｄａｌ ｌａＭ，ＢｏｕｒｓｅＦ， ＣａｒｏＡＤ，ｅｔ ａｌ． Ｂｅｔ ｔ ｅｒｓｅｃｕｒｉｔｙｆｏｒｆｕｎｃｔ ｉｏｎａｌｅｎｃｒｙｐｔ ｉｏｎｆｏｒｉｎｎｅｒｐｒｏｄｕｃｔ ｅｖａｌｕａｔ ｉｏｎｓ． ＣｒｙｐｔｏｌｏｇｙｅＰｒｉｎｔ Ａｒｃｈｉｖｅ，２０１６ ， ｈｔ ｔｐ： ／／ｅｐｒｉｎｔ． ｉａｃｒ． ｏｒｇ／２０１ ６／０１１２１６ 计 算机 学 报 ２０２１年［８］ＡｇｒａｗａｌＳ， Ｌｉｂｅｒｔ Ｂ， Ｓｔ ｅｈｌＤ． Ｆｕｌｌｙｓｅｃｕｒｅｆｕｎｃｔ ｉｏｎａｌｅｎｃｒｙｐｔ ｉｏｎｆ ｏｒｉｎｎｅｒｐｒｏｄｕｃｔｓ？ｆｒｏｍｓｔ ａｎｄａｒｄａｓｓｕｍｐｔ ｉｏｎｓ／／ＰｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅＣＲＹＰＴＯ２０１６． ＣＡ，ＵＳＡ，２０１６； ３３３ ３６２［９］ＢｅｎｈａｍｏｕｄａＦ？ ＢｏｕｒｓｅＦ， ＬｉｐｍａａＩ Ｉ ． ＣＣＡｓｅｃｕｒｅｉｎｎｅｒｐｒｏｄｕｃｔｆ ｕｎｃｔ ｉｏｎａｌｅｎｃｒｙｐｔ ｉｏｎｆ ｒｏｍｐｒｏｊｅｃｔ ｉｖｅｈａｓｈｆ ｕｎｃｔｉｏｎｓ／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ２ ０ｔｈＩＡＣＲＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＰｒａｃｔ ｉｃｅａｎｄＴｈｅｏｒｙｉｎＰｕｂｌｉｃ ＫｅｙＣｒｙｐｔｏｇｒａｐｈｙ． Ａｍｓｔ ｅｒｄａｍ，ＴｈｅＮｅｔｈｅｒｌａｎｄｓ，２０１７； ３６ ６６［１０］ＢｉｓｈｏｐＡ，ＪａｉｎＡ，ＫｏｗａｌｃｚｙｋＬ． Ｆｕｎｃｔｉｏｎｈｉｄｉｎｇｉｎｎｅｒｐｒｏｄｕｃｔｅｎｃｒｙｐｔ ｉｏｎ／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆ ｔｈｅＡＳＩ ＡＣＲＹＰＴ２０１５． Ａｕｃｋｌａｎｄ，ＮｅｗＺｅａｌａｎｄ， ２０１５； ４ ７０４９１［１１］Ｄａｔ ｔａＰ？Ｄｕｔ ｔａＲ？ＭｕｋｈｏｐａｄｈｙａｙＳ． Ｆｕｎｃｔｉｏｎａｌｅｎｃｒｙｐｔｉｏｎｆｏｒｉｎｎｅｒｐｒｏｄｕｃｔｗｉｔｈｆｕｌｌｆｕｎｃｔ ｉｏｎｐｒｉｖａｃｙ／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔ ｈｅＰｕｂｌｉｃ ＫｅｙＣｒｙｐｔｏｇｒａｐｈｙ２０１６． Ｔａｉｗａｎ， Ｃｈｉ ｎａ，２０１６；１６４ １９５［１２］ＯｋａｍｏｔｏＴ？ＴａｋａｓｈｉｍａＫ． Ｆｕｌｌｙｓｅｃｕｒｅｆｕｎｃｔ ｉｏｎａｌｅｎｃｒｙｐｔ ｉｏｎｗｉｔｈｇｅｎｅｒａｌｒｅｌａｔ ｉｏｎｓｆｒｏｍｔｈｅｄｅｃｉｓｉｏｎａｌｌｉｎｅａｒａｓｓｕｍｐｔｉｏｎ／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆ ｔｈｅＣＲＹＰＴＯ２０１０． ＣＡ，ＵＳＡ，２０１０： １９１ ２０８附 录．ｉ． 困难性假设ＩＤ ＰＫＩＰＦＥ方案的安全性将基于以下所提的两个新的假设： 分别为ＣＢＤＨ假设和ＤＢＤＨｖ假设． 这两个假设的安全性分别可归约到两个经典假设ＣＤＨ和ＤＢＤＨ的安全性上．即若ＣＤＨ假设是难解的， 则ＣＢＤＨ假设也难解； 若ＤＢＤＨ假设是难解的， 则ＤＢＤＨｖ假设也难解．以下的安全性归约均遵守同样的原理： 使用反证法对结论进行证明， 具体证明思路如下． 若要证明假设／Ｉ 难解， 则假设Ｂ也难解， 可设定一个算法 来解决假设／Ｉ ， 设定一个算法６来解决假设Ｂ． 利用反证法， 首先假定假设Ｂ可解， 若可以推导出假设Ａ也可解， 由于我们已知假设／Ｉ 是难解的（前提条件） ， 根据逆反定理， 可知假设Ｂ是难解的．以下为ＣＢＤＨ和ＤＢＤＨｖ的归约过程．定义１ ＣＣＢＤＨ的定义）．令Ｇ＊ＧＴ均为阶为素数户 的乘法群，ｅ是双线性映射．令ｘ，；ｙ，Ｚｅ２ｆ 为随机选择的整数， ｇ为Ｇ的生成元． 定义可解决ＣＢＤＨ假设的敌手＞４的优势为Ａｄｖｃｍｎ＝Ｐｒ＼ Ａ（Ｇ， ＧＴ＾，ｇ，ｇｘ，ｇｙ，ｇｚ， ｇｙｚ）＝ｇｘｙ｜．如果对于任何概率多项式时间（Ｐｒｏｂａｂｉｌ ｉｔｙＰｏｌｙｎｏｍｉａｌＴｉ ｍｅ ， ＰＰＴ）算法Ｊ而言， ／Ｉ如ＣＢＤＨ都可忽略， 则认为ＣＢＤＨ假设是难解的．以下证明， 若经典的ＣＤＨ［１７］问题是难解的， 则本文提出的ＣＢＤＨ问题也是难解的．定理１ ． 如果ＣＤＨ是难解的， 则ＣＢＤＨ也是难解的．证明．假设ＰＰＴ算法Ｂ可以以不可忽略的概率求解ＣＢＤＨ假设， 构造一个ＰＰＴ算法＞４来解决ＣＤＨ假设．为？４创建一个ＣＤＨ实例ＣＤＨ＝（Ｇ， 户， ） ， ＞４的目标是计算 选择一个阶为素数ｆ 的群ＧＴ，一个双线性映射ｅ ： ＧＸＧ—ＧＴ和整数 ， 生成元组ＣＳＤＨ＝（Ｇ， ＧＴ，ｅ， ｇ， ｆ ） ０， 将ＣＳＤＨ作为输人提交给Ｂ．６将ＣＢＤＨ的解 发送给＞４ ， 此结果也是ＣＤＨ实例的解．［１３］ＺｈａｏＱｉ ｎｇｓｏｎｇ，ＺｅｎｇＱｉｎｇｋａｉ， ＬｉｕＸｉｍｅｎｇ， ＸｕＩ ｌ ｕａｎｌｉａｎｇ．Ｓｉｍｕｌａｔ ｉｏｎｂａｓｅｄｓｅｃｕｒｉｔｙｏｆｆｕｎｃｔ ｉｏｎｈｉｄｉｎｇｉｎｎｅｒｐｒｏｄｕｃｔｅｎｃｒｙｐｔｉ ｏｎ． ＳＣＩＥＮＣＥＣＨＩＮＡＩｎｆ ｏｒｍａｔｉｏｎＳｃｉｅｎｃｅｓ，２０１８ ，６１（ ４） ： ０４８１０２［１４］ＷｏｎｇＷａｉＫｉｔ ， ＣｈｅｕｎｇＤａｖｉｄＷａｉ Ｌｏｋ， ＫａｏＢｅｎ， ｅｔａｌ．Ｓｅｃｕｒｅ＾ＮＮｃｏｍｐｕｔａｔｉｏｎｏｎｅｎｃｒｙｐｔｅｄｄａｔａｂａｓｅｓ／／Ｐｒｏｃｅｅｄｉｎｇｓｏｆ ｔｈｅＡＣＭＳＩＧＭＯＤＩｎｔ ｅｒｎａｔ ｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＭａｎａｇｅｍｅｎｔｏｆ Ｄａｔａ． ＲＩ ，ＵＳＡ，２００ ９； １３９ １５２［１５］ＹａｏＢｉ ｎ，ＬｉＦｅｉｆ ｅｉ ？ Ｘｉ ａｏＸｉａｏｋｕｉ． Ｓｅｃｕｒｅｎｅａｒｅｓｔｎｅｉｇｈｂｏｒｒｅｖｉｓｉｔ ｅｄ／／Ｐｒｏ ｃｅｅｄｉｎｇｓｏｆ ｔｈｅ２ ９ｔ ｈＩＥＥＥＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＤａｔ ａＥｎｇｉｎｅｅｒｉｎｇ． Ｂｒｉｓｂａｎｅ， Ａｕｓｔｒａｌｉａ，２０１３ ：７３３７４４［１６］ＧｕＣｈｕｎｓｈｅｎｇ？ＧｕＪｉｘｉｎｇ． Ｋｎｏｗｎｐｌａｉｎｔ ｅｘｔ ａｔ ｔ ａｃｋｏｎｓｅｃｕｒｅ是ＮＮｃｏｍｐｕｔ ａｔｉｏｎｏｎｅｎｃｒｙｐｔ ｅｄｄａｔａｂａｓｅｓ． ＳｅｃｕｒｉｔｙａｎｄＣｏｍｍｕｎｉｃａｔ ｉｏｎＮｅｔ ｗｏｒｋｓ， ２０１４ ， ７ （ １２） ： ２４３２ ２４ ４１［１７］Ｄｉｆ ｆｉｅＷ？ ＨｅｉｌｍａｎＭＥ． Ｎｅｗｄｉｒｅｃｔ ｉｏｎｓｉｎｃｒｙｐｔｏｇｒａｐｈｙ．ＩＥＥＥＴｒａｎｓａｃｔ ｉｏｎｓｏｎＩｎｆ ｏｒｍａｔ ｉｏｎＴｈｅｏｒｙ，１９７６，２２（５） ：６４４ ６５４因此， 如果ＣＢＤＨ是可解的， 则ＣＤＨ是可解的； 反过来， 如果ＣＤＨ不可解， 则ＣＢＤＨ不可解．定义２（ＤＢＤＨｖ的定义）． ＤＢＤＨｖ假设是ＤＢＤＨ假设［１７］的变体． 令Ｇ＊ＧＴ是阶为素数ｆ 的两个乘法群， ｅ 为双线性映射． 令ｘ，；ｙ，ｚ 为随机选择的元素， ｇ为Ｇ的生成元， ＧＴ． 定义敌手＞４解决ＤＢＤＨｖ假设的优势为人如應？＝Ｐｒ＼ Ａ（Ｇ， ＧＴ＜ ｅ，ｇ，ｇｘ，ｇｙ，ｇｚ，ｇｌ，ｇｙｌ， Ｔ＝ｅ（ｇ， ｇＹｙｚ）＝１｜ Ｐｒ＼ Ａ（Ｇ， ＧＴ，ｅ， ｇ， ｇｘ， ｇｙ， ｇ％ｇｔ， ｇｙｔ， Ｔ＝Ｋ）＝１＼ ，其中，ｉ？ 是Ｇｔ中的随机元素．我们通过以下定理证明， 假设ＤＢＤＨ难解， 则ＤＢＤＨｖ亦难解．定理２． 如果ＤＢＤＨ难解， 则ＤＢＤＨｖ也难解．证明． 假设ＰＰＴ算法６可以以不可忽略的概率求解ＤＢＤＨｖ假设， 我们构造一个ＰＰＴ算法＞４来解决ＤＢＤＨ假设． 首先， 给＊４一个ＤＢＤＨ实例ＤＳＤＨ＝（Ｇ， ＧＴ，户， ｇ， ＜，ｆ， ＜， 了）， 其目标是确定Ｔ＝ｅ（ｇ， ｇｆ或Ｔ是Ｇｔ中的随机元素．＊４选择一个整数Ａ６， 并生成ＤＢＤＨｖ 实例：ＤＢＤＨＶ＝（Ｇ， ＧＴ，ｅ， ｇ， ｇｘ， ｇｙ， ｇｚ， ｇｋ，（ｇｙ）ｋ）ＤＢＤＨｖ实例提交给６．６向Ｊ发送／９＝１ 表示了＝容《或／９＝０ 表示了把／９ 作为它对ＤＢＤＨ假设的输出． 如果ＤＢＤＨｖ是可解的， 则ＤＢＤＨ是可解的； 因此， 如果ＤＢＤＨ难解， 则ＤＢＤＨｖ也难解．２． 安全性分析２．１ｓ－ＣＰＡ的安全性分析本文通过以下定理证明ＩＤ ＰＫＩＰＦＥ的ｓ ＣＰＡ安全性．定理３． 如果ＤＢＤＨｖ的假设是困难的， 则ＩＤ ＰＫＩＰＦＥ是ｓ ＣＰＡ安全的．证明． 如果敌手Ｊ以不可忽略的优势ｅ 攻破ＩＤ ＰＫＩＰＦＥ的ｓ ＣＰＡ安全性， 则可以构造挑战者Ｃ以不可忽略的邓宇乔等： 基于身份的可验证密钥的公钥内积函数加密算法 ２１ ７１ 期优势ｅ／２ 解决ＤＢＤＨｖ假设， 以下为＾和（ ： 之间的交互过程．Ｉｎｉｔ： ＾选择一个挑战身份ＪＩＴ和两个挑战向量：Ｘ〇＝ （ＸｑＡ，Ｘ〇＃ｌ２？＊ ＊ ？ｊＸ〇，ｎ）， Ｘ｛＝ （ｘ｛Ａ，Ｘ｛，Ｚ ＞＊ ＊ ？＞ｘ｛，ｎ），其中，Ｘｏ＊．Ｓｅｔｕｐ：Ｃ以ＤＢＤＨｖ假设的挑战项（ Ｇ， Ｇ ｔ， ｅ ， ｇ， ＞， ｇ＇ｆ ， 了）作为输人， 其任务是判定是否有Ｔ＝ｅ（ｇ， Ｗ成立．Ｃ选择向量的长度ｎ， 安全参数Ａ 和抗碰撞哈希函数片．此外， Ｃ随机选取外， ％４，／２ｅ厶， 并设置ｕｉ＝ｇｘｇｋｇｐ、，ｕ２＝ （ｇｋ） ｗＹ２，＇Ｖ＼＝ｇＸｇｌ１＾ ＶＺ＝（ｇＸ）ｎａＤ＾ｇｌ２．Ｃ选择ｎ＋１ 个随机数Ａ／，／ｉ！ ，／４，…， ＜并设置：ｈ＝ｇｈ＼＾＝ｇｈ，１（ｇｙ）（ｘ〇＾ｘ＾＾： （ｚ Ｇ［ｎ］）．Ｃ实际上隐含地设置了ａ５＝Ａ 和｛ｈｈ（ｘＬＯｙｈｅ Ｍ．最后， Ｃ将以下ＰＫ发送给＾：ＰＫ＝（Ｇｙ Ｇｒ ｙ ｇｙ ｐｙｅｙＵｌｙＵ２ｙＶｌｙＶ２ ｙｈｙｈ＾ｙ－ ＂ｙｈｎ）．Ｑｉｉｅｒｉｅｓ１ ： 在该阶段中， ｄ向（： 询问密钥． 对于查询ＳＫｆ１， Ｃ首先执行以下有效性检查：１． 如果＾已查询过身份ＩＤ， 则检查返回 １ ．２． 如果ＩＤ＝ＩＤ＊和〈 ＜ ｘＴ ， ＃０ 同时成立， 则检查返回０．３． 如果通过以上检查未返回结果， 则检查返回１ ．第一步和第二步检查可确保满足ｓ ＣＰＡ定义中的限制． 其中第一步检查要求敌手不能询问一个身份ＩＤ两次，因为一个身份ＩＤ仅能与一个向量进行绑定； 第二个检查本文在此进行简单解释： ｓ ＣＰＡ的安全性要求， 如果敌手查询密钥 ， 则向量＾必须满足以下等式：〈 ４巧＞ ＝〈 ４，＾＞．因此， 如果 和〈ｘＱ＃同时成立， 贝［Ｊ 该查询不满足ｓ ＣＰＡ的安全性模型的限制要求．Ｃ执行以下操作以响应来自＾的密钥查询ＳＫｆ１．１． 如果有效性检查返回 １ 或〇， 则Ｃ拒绝生成密钥， 并继续监听来自＾的下一个密钥查询．２． 如果有效性检查返回１ 并且ＩＤ＃ＩＤ＃成立， 则以下式子将以极大的概率成立： 片（ＩＤ） ＃片（ＪＩＴ） ， 因为片具有抗碰撞性． 在这个情况下， 敌手＾可以查询与任何向量Ｊ 相关的秘密密钥． Ｃ随机选择； Ｚｐ并隐含地设置ｆ＝ＩＤ？＾（ｘｏ ， ，＾ ｅ＾ｎ］ＨＵＤ） ＨＵＤ＂）＋心随后， Ｃ推导如下的密钥：ｉｒ？－２（ｘ〇，２ｘｉ，２＾ｙ２＾ｅ ＭＪ＜［ｉ＝ｇｌ ＝ （ｇｙ）ｎａＤ） ｎａＤ＊）２＾，Ｋｈ＝（ｕ｛Ｄｕ２ ）＾（ｖ７（ｉｄ）ｖ２ ）＊ｙ＇Ｓ Ｚ， ）ｙ＋ｙ］ｈ＇ｙ＋ｈ＇（（ｇｒ，ｙＤ．（＾ｙＤ Ｗ．ｇＰｌｗ＋ｐ２）ｂ、息］＂．ｎ（ ｉＤ） ｎ（ｗ＊）＾，ｒ ｒｉ ， ，（（＃）．ｇｎ（ ＾ｙｈＩＤ？２（２＾ｅ Ｍｎ（ｗ） ｎ（ｉＤＩＤ？２（５， ，一＝（ｇｘｙ）－６ ＷＵ ＂＊ ＂Ａｇ＂？Ｂｇｙｋ？Ｃｇｙ？Ｄｇｋ？Ｅ＝八ｇｘ？Ｂｇｙｋ？Ｃｇｙ？Ｄｇｋ？Ｅ，其中， 儿＿８， ０， 〇，￡： 是可由（： 计算得出的整数， 而项＃， ＾，ｇ％＃为已知项． 挑战者Ｃ不知道项 而它分别出现在ｉｄ？２Ｊ（；＾ｅ ［ｎ］ｘｌ ，２）ｙ２ｖｎ Ｊｙ） ｓ、？（ １０）％）１这两项中， 但是， 如上所示， 该项在计算中被抵消了．３． 如果有效性检查返回１， 且ＩＤ＝ＪＩＴ和《ｘｒ ， Ｗ＝０同时成立， Ｃ随机选择； 厶并设置ｆ＝；ｒ， 并如下地推导出密钥：Ｋ，＝ｇｌ＝ｇ％Ｋｈ＝（＿ ｕ［Ｄｕｚ ）＾ ＾３（＿ ｖ＾＜ＪＤ）ｖ２ ）ｌ＝（（ｇｘｙＤ＇ｇｐｉ！Ｄ＋ｐ〇ｙ．暴卜＇ｉ）ｙ！＇勤ｙ！＋ｈ？＾＾ｘ＇＾ｎａＤ＾ｙ ｎａＤ＊）．＾ｎａｏ＊＋ｉｚ＾＝（（ｇｘｙＤ＇ｇｐ，＋ｐ２＞＾ｌ！ｙｉ＋ｈ？（ ｇｎ（ｊＤ、、＋ｉ２Ｙ＝ Ａ／ｇｘ－ Ｂ／．在上式中， ／Ｖ＇Ｂ＇是可以由Ｃ计算出来的整数， 而Ｃ未知的项ｇ”被抵消掉了， 因为１）？厂：＾ ４，＾＞＝＾ｅ［ｎ］０ 成立．Ｃｈａｌｌ ｅｎｇｅ：＾拋掷硬币／３£ ｛〇， １｝， 并如下地加密向量？Ｖ， ｘ／５：２ ，…， 和挑战的接收者ＩＤ＇Ｃ隐含地设置：ｒ＝ｚ．生成：Ｃ，＝＝ｇ％＝（ｇ２）ｎ（ｉｄ＋ｕＣｈ＝ｅ（＿ ｕｆｕｉｙｈｙ＝ｅ（ｇｘＩ Ｄ＾＋ｋ Ｉ Ｄ＾＋ｐｉＩＤ＾ｇｋ ＩＤ＾＋ｐ２ｙ ｇｈ，）ｚ＝ｅ（ｇｘ，ｇｚ）ｌＤ＾ｋ，ｅ （ｇ，ｇｚ）（＾ｌ Ｄ＾ｐ２）ｋ，．对于Ｋ［ｎ］ ， Ｃ设置：々， ０（ＶＩ） ＸＡ）．ｄｇＷ２、（７ ． １）１． 如果Ｔ＝Ｋｇ， ｇ）＾， 则上式中设置的Ｃｗ：（ｉ ｅ［ｎ］）均为合法的密文分布， 因为有以下式子成立：Ｃｘ，， ＝ｅ（．ｇ，ｇ）ｘｆ＾ｅ （．ｕ［Ｄｕ２ｙｈ！ ）ｒ：ｅ（．ｇ， ｇ）ＷｇｘＬ＾＋ｐｙＩＤ＊＋ｐ２＝ｅ（ｇ，ｇｙ＾■（ｅ（ｇ，ｇｒｙｚ）ｍ＇（＜－ ＜－）■ｅ （ｇ％ｇ＾），Ｄ＇ｈ＇－ ？ｙ ｇｚ）（ｐｉｗ＾＋ｐ２） （ｘ〇 ＾ｘｉ ＾？ｅ（ｇｚ， ｇ）ｐ＾＝ｅ（ｇ． ｇ）ｘ＾－（Ｔ）ｗｉ ｔ（ｘ〇 ＾ｘＬｙ？心．ｅ （＃，ｇ）Ｍ（７ ． ２）２． 如果Ｔ＝ｅ（ｇ， ｇ）＾７（ｇ，ｇｙ， 其中／ｅ石是一个随机数（表明了是Ｇｔ中的随机元素）， 则有２１８ 计 算机 学 报 ２０２１年．ｅ（ｇｘ，ｇｚ）ｗ、？ｅ（ｇｙｙ ｇｚ＇）（ｐｉｗ＾＋Ｈ）（ｘ〇 ＾ｘｉ ＾＞ｅ（ｇｚ， ｇ）ｐ＾＝ｅ｛ｇ，ｇｙｘＰ＾？（ｅ（ｇ，ｇＹｙｚ？ｅ ｉｇ＾ｇＹ）ｌＤ（ｘＱ ＾ｘｉ ，ｉ｝？ｅｉ＾ｙ ｇｚ）ｉｒ＞ｉ ｔ＾？ｅ（ｇｙ， ｇｚ＇）（ｐ＾＋ｐ２） （ｘＬｘｉ ＾＾ｅｉｇ＾， ｇ）ｐ＾＝ｅ（．ｇ， ｇ）ｘｌ，ｒ’Ｉ Ｄ、ｘ＾ｘＧ？ｅ （．ｕｆｕ２ＡＹ．上式表示被加密的向量为＝（ｘ＾＾ｒｌＤ＾（．ｘ〇 ＡＸｉ Ａ）＼ｒＷ＾｛ｘｌｚｘ｛，２） ｒ＂＾ｘ＾ｎ＋ｒＩＤ＃（ｘ〇，ｎｘ｛，ｎ） ）．因为／是随机整数， 因此， 向量Ｖ以极大概率不等于挑战向量因此， Ｃ无法成功地模拟Ｓ ＣＰＡ的游戏； 从而， 敌手＾也无法从该游戏获得任何有用信息， 敌手＾只能随机地猜测Ｃ拋掷硬币的结果．Ｑｕｅｒｉｅｓ２： 与Ｑｕｅｒｉ ｅｓ１阶段相同．Ｇｉｉｅｓｓ ： 最后， ｄ输出他对０的猜测 如果，＝仏则Ｃ输出１ 表示了 ， 否则Ｃ输出０ 表示了＝兄以下分析Ｃ成功解决ＤＢＤＨＶ假设的概率． 假设５ＷＣＣ６５５事件表示Ｃ成功解决ＤＢＤＨＶ假设，ｙ＝０ 表示了＝ｅ（ｇ，ｇ）—成立，ｙ＝ｌ 表示Ｔ＝只成立． 则有Ｐｒ［ｓｕｃｃｅｓｓＪ＝Ｐｒ［ｓｕｃｃｅｓｓ｜ ｙ＝〇］Ｐｒ［ｙ＝〇］＋Ｐｒ［ｓｕｃｃｅｓｓ｜ ｙ＝ ｌ］Ｐｒ［ｙ＝１］＝丄．（丄＋ｅ）＋丄． 丄２Ｖ２／２２２２在上式中， 如果了（ 此事件的发生概率为ｙ） ， 则Ｃ完美地模拟游戏， 以ｙ＋ｅ 的概率赢得本游戏；如果Ｔ＝只， 则Ｃ无法模拟游戏， ＾仅以＋的概率赢得游戏．综上所述， Ｃ解决ＤＢＤＨｖ假设的优势为ｙＷｒＤＢＤＨｖ ＝ Ｐｒ［５ｗｃｃｅ５５］ｊ＝音．因为在我们的假设中ｅ 是不可忽略的， 因此／ＷｒＤＢＤＨｖ是不可忽略的． 因此， 如果敌手＊４ 以不可忽略的优势攻破ＩＤ ＰＫＩＰＦＥ的Ｓ ＣＰＡ安全性， 则挑战者Ｃ将以不可忽略的优势解决ＤＢＤＨｖ假设．２． ２ｓ－ＩＭＡ的安全性分析定理４． 如果ＣＢＤＨ假设是困难的， 则ＩＤ ＰＫＩＰＦＥ是ｓ ＩＭＡ安全的．证明． 若敌手Ｊ可以以不可忽略的优势攻破ＩＤ ＰＫＩＰＦＥ的ｓ ＩＭＡ安全性， 则可构造一个挑战者Ｃ解决ＣＢＤＨ假设． 以下为＊４和Ｃ之间的交互过程．选择并公布挑战身份ＩＤ＇ＳｅｔＵｐ： Ｃ以ＣＢＤＨ假设的实例（ Ｇ， ＧＴ，ｅ， ｇ， ｆ作为输人， 其任务是输出Ｃ选择向量的长度ｎ， 安全参数Ａ 和抗碰撞哈希函数Ｈ．此外， Ｃ随机选择外， 九， 厶， 并设置ｕ，＝ｇ＾ｇ＾ｇ＾， ｕ２＝（．ｇ＾），Ｄ＇ｇｐ２，， ｖ２＝ （ｇｘ）ｎ（ｗ＇，ｇ１＾．ｃ选择随机数ｆｃ＇，…， ＜ ６ 中， 并设置ｈ＝（ｇＨｈｔ ＝（ｇｙ）ｈ＾ ？ｇ＊－： （ｉ ６［ｎ］）．Ｃ实际上设置了５＝／／：ｙ＋／ｉ〃和〇， ＝ｆｃ丨：ｙ ＋／ｔ：〇，ｅ Ｈ．最后， Ｃ将以下ＲＫ发送给＞４：ＰＫ＝ （Ｇ， ＧＴ， ｇ， ｐ，ｅ，Ｕｉ，？２，ｖｉ，Ｖ２，？ ？ ？，ｈｎ）．Ｑｕｅｒｉｅｓ： Ｊ可以对Ｃ进行Ｑ次密钥查询， 但是， 存在以下限制： ＩＤ， 乒ＩＤ， 和ＩＤ， 乒ＩＤ％其中以ｅ［Ｑ］． Ｃ执行以下操作以响应来自＊４的密钥查询ＳＫｆ．ｒｏ？（２ｙ，ｈ，． ＋ｈ，）Ｃ选择ｋ厶， 隐含地设置ｔ＝片（ｉＤｆ片（１〇．）ｙ ＋ｆ ， 并生成Ｋｔ ＝ｇｔ＝ｉｇｙ）ｎ（ｉ Ｄ） ｎ（ ｉＤ＊）ｇＬ，，Ｋｋ＝？ｕ２＋，（ｖ？＜ ｗ）ｖ２ ）ｌ＊ｙ＇ｉ２？４＋＂’）＋（２＝（－（－ ＾Ｙ０＊（ｇＺ）ＩＤ Ｗ＊？ｇＰｌＷ＋Ｐ２）＾＾ ｅ［ｎ］！ ’、６［ｎ］＂＇．Ｅｙ＾＋ｈ＇＾）—ｌｉｅ ｗ：ｙ＋ｔ．（ ）ｗ（ ｉｄ ）ｗ＋ ｚ２）ｎａＤ） ｎａＤ＊）ＩＤ－（＾ｙ２ｈ＋ｈ，）ｊｄ．（２＝（ｇｘｙ）ｖ＾ ｅ［ｎ］’（ｇｚｙ）、ｅ［ｎ］’？Ａｇｚｙ－ Ｂｇｚ－ Ｃｇｘ－ Ｄｇｙ－ Ｅｙ其中， 儿＿８，０，〇，￡：是（ ：能计算得到的整数， 而＃＾， ＜， ＾为实例中给出的已知数． Ｃ所未知的项 在上面的计算中被抵消了．Ｆｏｒｇｅ： ＾向〔提交伪造的密钥＝（ ，， ） ，其中，＝？， 力＃，…， 是嵌人到密钥中的挑战向量．若＾＞／７＾＋／／＝〇１１１〇办， 则 无法解决ＣＢＤＨ假设， 并且中止！ｅ ［ｎ］游戏； 否则， 我们有Ｋ：＝ｇｌ＼Ｋｉ＝Ｕｆｕ２）＾，ｙ！＋＼ｖｒｊＪ＇ｘｖ２ ｒｌ＊＊＊＊ｙ＇（Ｓ＋／ ｉ’）＋（ｙ］ｈ＂ｙＪｒｈ＂＇ ＇＼＝（（ｇ－ｙ＾－｛ｇ＾ｙＤ ｗ－ｇｈｗ＋ｐ２）ｙ． ｉｔｎ］１ １）２）？＾ｇＸ（ＩＤ＊） Ｈ （ＩＤ＊）９ ｇＨ（ＩＤ＃）＾＋？２ｉ＃＝ ｍｒ（』』》■）＋（？？＂）．（＃（ｉｄ、ｉ＋；２），＝（．ｇ＾ｎ，Ｄ＇－（．ｇｉ＇ｙＨ，ＪＤ＇）ｈ ｈ － Ａｇ＾Ｂ＇ｇｙ－ ｃ，其中， 是可由Ｃ计算得到的整数． Ｃ输出：ｇｘｙ＝１（Ｋ－（． Ｋ：）Ｈ（ ，Ｄ５ ｉｉ＋ｉ２ ？（ＡＶ？ＢＶ－Ｃ＇）１）ｖ－ｅ ｗ＇ ＇＇．现在分析Ｃ成功解决ＣＢＤＨ假设的概率． 显然， 游戏唯一的终止条件是Ｉ］＋Ｙ＝〇 ｍｏｃ＾， 但是， 此事件可以忽＾ｅ Ｗ略不计． 考虑以下情况： 即使敌手＾可以解决ＤＬ假设， 并知邓宇乔等： 基于身份的可验证密钥的公钥内积函数加密算法 ２１ ９１ 期道值：Ｖ ， 也无法以不可忽略的概率生成满足 ＋＝？ｅ ＷＯｍｏｃ＾的向量 如果Ｊ可以解决ＤＬ假设， 则其可以从ＰＫ知道５＝ ／ｔ＇；ｙ＋／ｔ＂和（５， ＝／（丨；ｙ ＋， 即使＞４还知道；ｙ，其也无法从上述等式导出／＾４〃，｛ ＜， ＜｝，６［？］， 因为在《＋１个两两独立的方程中有２ｎ ＋２ 个未知数． 给定Ｗ或＆）， 就有满足上面等式的力对＾，／１＂＞ （或〈 ＜，／１了 ＞ ）． ＾仅能以１／户 的概率“猜测”出正确的对， 这个概率是可以忽略不计的．因此，Ａ生成满足Ｕ丨 ＋ Ｙ＝〇ｍｏｄ／）的向量Ｊ＊ ＊的概率是可忽■ ｅＨ略的．因此， 如果对手Ｊ以不可忽略的优势ｅ 攻破了ＩＤ ＰＫＩＰＦＥ的ｓ ＩＭＡ安全性， 则可以构造算法以不可忽略的优势ｅ 解决ＣＢＤＨ假设．２． ３ｓ－ＶＭＡ的安全性分析定理５． 如果ＣＢＤＨ假设是困难的， 则ＩＤ ＰＫＩＰＦＥ是ｓ ＶＭＡ安全的．证明． 如果对手Ｊ可以以不可忽略的优势ｅ 攻破ＩＤＰＫＩＰＦＥ的ｓ ＶＭＡ安全性， 则可以构造挑战者Ｃ以不可忽略的优势解决ＣＢＤＨ假设． 以下为＞４和￡之间的交互过程．选择并公布挑战身份ＩＤ－和挑战向量，＝（＾１＊＞ ？ ？ ？＞ ｙｎ ）．Ｓｅｔｕｐ：Ｃ以ＣＢＤＨ假设的实例（ Ｇ， ＧＴ＾ｇ？ ＞ｇＸ？ ＞ｇｙ？ ＞ｇＺ？ ＞作为输人， 其任务是输出Ｃ选择一个安全参数Ａ 和一个防碰撞哈希函数片． 此外， Ｃ随机选择內， 外， 々，／２ｅ厶， 并设置Ｕｌ＝ｇＸｇＺｇＰ＾， Ｕ２＝（ｇＺ）ＷｇＰ２，奶＝（＃） ＃， 访＝（ｆ）ＨａＤ？ ｆ：Ｖ２．Ｃ选择， ／／（ ， ／４ ，…， Ｍ ， 并设置２＾ ｙ＊？ｈ＝（ｇｙ）＾ｅ［？］？ｇ，ｈ＾ｉ ｇ＾Ｙ１＇＾ ？ｇ｝＾：（ｉ Ｇ［ｎ］ ）．在上式中， Ｃ实际上隐含地设置了５＝／＾＂：ｙ＾ ｅ［ｎ］ｆｎ｛５， ＝ｈｙ＋／ｉｊ｝ｚｅ［ｎ］？最后， Ｃ将以下ＰＫ发送给＾：ＰＫ＝（ Ｇｙ ＧＴｙｇｙｐｙｅｙＵｌｙＵ２ｙＶｌｙＶ２ｙｈｙｈ－＾ｙ－ － ＇ｙｈｎ）．Ｑｕｅｒｉｅｓ： ｄ可以向Ｃ查询Ｑ个密钥ＳＫｆ：（ｉｅ［Ｑ］） ， 其限制为 ＩＤ，， 其中 ［ Ｑ］ ， 以及当查询挑战身份ＩＤ＃时， 该身份必须与挑战矢量，绑定． Ｃ执行以下操作以响应来自＾的密钥查询ＳＫｆ１．１． 若ＩＤ＃ＪＩＴ， Ｃ选择， ｅ厶， 并隐含地设置ｆ＝ＩＤ？２（ｙ！ ｙ！〇ｈ＾ ｅ［ｎ］ｋｕｄ） ｈｕｉｔ）：ｙ＋＾， 然后生成ＩＤ－２ｔｅ ［ｎ］Ｋｈ＝｛ｕ［Ｄｕ２ ）＾＇（＾ａｉ）） ｖ２）ｌ＊ｙＹ； ｈ＇（ｙ ｙ＊－）＋（Ｙ＼Ｕ＇ｙ＋ｈ＂＝（（＾ｙ０？（＾ｙＤ ｌＤ？ｇｈｗ＋ｐ２）＾ｅ ［？］２ ２ ！（ （ｇｚ）ｎＵＤ） ｎ（ ｉｄ＊）ｇＨ（ＪＤ）＾＋ｌ２ｎ（ｉ Ｄ） ｎ（ ｗ＊）Ｗ．（、⑴．（ ！＞Ｘ））＝（ｇｘｙ）、ｅ Ｍ｝（ｇｘｙ）、ｅ Ｍ’？Ａｇｚｙ－Ｂｇｚ－Ｃｇｘ－Ｄｇｙ－Ｅｙ其中， ／１ ，＿８， ０， 〇，￡： 是（： 可以通过计算得到的整数， 而＃，则是假设实例中给出的已知项． 注意到Ｗ未知的项 在上式中被抵消了．２． 若ＩＤ＝ＪＩＴ且ｙ＝ｆ成立， 选择Ｚ并设置ｆ ＝＾， 然后生成ＫＬ＝ｇＬ＝ｇ１＇，Ｋｈ＝（（ｇ＂）ｉｒ，－（ｇ２）１？ｇｈｉｒ）ｉ ｔ＋ｐ２）！ｅ ［ｎ］（（ｇｘ＾ｎ（ｉｄ＊ ｙ ｎ（ ｉｄ＊ ｙ， ＾ｎａＤ＊ｙｉｌ＋ｉ２＝｛ ｛ｇＸ），Ｄ＇？ｇＰｌＷ＇＋Ｐ２）＾ｎ］＇ｙ＇ ＋ｋ ？（ｇｎ（ＪＤ＇ ＇＞ ｌｌ＋ｌ２）１＇＝Ａ，ｇ＾－Ｂ，，其中， ／ｌ＇， Ｂ＇是Ｃ可以通过计算得到的整数．Ｆｏｒｇｅ：设Ｊ提交的伪造密钥为ＳＫｆ＝（／＊， ＆＊， 《） ，其中／＊ ＊乒，． 若 （／，＊ ＊３＾） ＜＝〇１１１ 〇办， 则（： 无法解决＾６ ［ｎ］ＣＢＤＨ假设， 并且中止游戏； 否则， 我们有Ｋ；＝ｇｌ＼Ｋ：＝（ｕｉＤＷ）Ｓｊｙｒ＋＼ｖｒｉ＾Ｗ）＾（（ｇｘ＇）ｗ＇（ｇｚ产ｍ＇ｇｈ１０、２／】ｎ］！（ｙ！ （）（（ＩＤ＊）Ｈ（ ＩＤ＊）．（ ？０＊）＆），＊（２Ｗｙ，））＃＝（〇ｖ＾ｅｗｙ＊（＾ｙＨ＜ＪＤ）ｌｌ ｈ？ Ａ／ｇｘ？Ｉ＾／ｇｙ＇Ｃｒ＞，其中， ／Ｖ＂， Ｂ＂， Ｃ＂可由Ｃ计算得到． Ｃ输出：以下分析Ｃ成功解决ＣＢＤＨ假设的概率． 显然， 该游戏唯一可能终止的条件是 ：ｙ，－）ｆ＝〇ｍ〇ｃ＾， 与上一部？６ Ｗ分的ｓＩＭＡ安全证明的分析类似， 此事件发生的概率可以忽略不计．因此， 如果敌手Ｊ以不可忽略的优势ｅ 攻破了ＩＤＰＫＩＰＦＥ的ＳＶＭＡ安全性， 则可以构造算法以不可忽略的优势ｅ 解决ＣＢＤＨ假设．３． 效率分析本节将对ＩＤ ＰＫＩＰＦＥ方案效率进行理论和实验分析．３． １ 理论效率分析令Ｍｆ， ］＼４， Ｍ， 分别表示群 ， Ｇ， ＧＴ上的模乘运算消耗的时间；￡；， ￡， 分别表示在群Ｇ， ＧＴ中的幂运算所消耗的时间； ＢＭ表示双线性映射运算所消耗的时间； Ｍ表示普通乘法计算所消耗的时间；《表示系统中设定的向量的长度， ＤＬ表示解离散对数所消耗的时间． 以下的附表１ 列举出本文方案与文献［６］和文献［７］ 方案的效率对比．２２０ 计 算 机 学报 ２０２１年附表１ 本文方案与文献［６１和文献［ｔｌ方案的效率对比表算法 本ｃｔｉ ：霜幻： 減 ：雜［７］貪Ｓｅｔｕｐ （ｎ－＼￣ｌ）Ｅｇ Ｃｎ－＼￣ｌ）Ｅｇ （ｎ＋２） ＥｇＥｎｃｒｙｐｔ ２ｎＢＭ－＼－ｎＥｔ＋（ｍ＋４）Ｅ＇＾＋（ｍ＋２ｓ） Ｍｇ （２ｎ￣ｈ１） Ｅｇ￣＼￣ Ｍｇ （２？Ｈ－１） Ｅｇ－＼－ＭｇＫｅｙＧｅｎ ３Ｍｇ－＼￣ＡＫｇｎＭ ２ｎＭＶｅｒｉｆｙ３ ＢｉＶｆ－ｈ（ｗ２）２） ＪＶｆｇ— —Ｄｅｃｒｙｐｔ （ｎＨ－ ２ ）ＤＬ （ｎＨ－１） ＾￣ｈ￣＼￣ ＤＬ （ｎＨ－ ２ ） Ｋ／￣＼￣Ｍｉ－＼￣ＤＬ指定接收者 Ｙ Ｎ Ｎ密钥可更改 Ｎ Ｙ Ｙ从附表１ 可以看出， 文献［６］和文献［７］方案的效率几乎相同， 但文献［７］方案的效率稍低， 这是由于文献［７］方案对文献［６］方案进行了改进， 把其安全性从选择性的安全性改成了适应性的安全性．本文方案与文献［６］和文献［７］方案相比， 效率偏低． 然而， 本文的方案在牺牲效率的前提下增加了两个功能： 其一， 可以指定密文的接收者； 其二， 本文方案的密钥不可更改， 而文献［６］和文献［７］方案的密钥均可被改变． 因此， 与文献［６］和文献［７］方案相比， 本文方案具有更灵活的授权访问机制， 且在一些应用场景下， 可抵抗敌手的密钥修改攻击．３．２实验效率分析尽管本文方案和文献［６］ 和文献［７］方案相比， 效率稍低， 但本文方案在应用场景下是实用的． 本文使用ＪＰＢＣ库（ｈｔｔｐ：／／ｇａｓ．ｄｉａ．ｕｎｉｓａ．ｉｔ／ｐｒｏｊｅｃｔｓ／ｊ ｐｂｃ／） 在一＇台ＣＰＵ为ｉ７－６７００３． ４０ＧＨｚ， 内存为８． ００ＧＢ， 操作系统为Ｗｉｎｄｏｗｓ７６４－ｂｉｔ 的个人ＰＣ机上实现了本文的方案．本文在Ｓｅｔｕｐ算法中添加了预处理阶段： 在该阶段， 程序将预先计算 的值， 并将预先计算的结果存放到ｈａｓｈ表中， 待解密消息时可供查询． 我们分别进行了两组实验， 在第一组实验中， ｍ的范围为（０，１ ０００） ， 而在第二组实验中， ｍ的范围为（０，１ ００００） ． 在（０，１００００） 范围内时， 大多数数据统计应用程序的需求都可以满足． 本文设定实验中向量的长度均从１ ０增加到１５． 在以下的附表２ 中列出了各个算法在这两组实验中花费的时间． 在附图１ 中分别比较了（〇， ｌ ｏｏｏ） 和ｍｅ（〇， １〇〇〇〇） 时算法所花费的时间．从附表２可以看出， Ｅｎｃｒｙｐｔ、ＫｅｙＧｅｎ、Ｖｅｒｉｆｙ和Ｄｅｃｒｙｐｔ这四种算法所花费的时间是可以接受的． 在附图１中展示了Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃｒｙｐｔ和Ｄｅｃｒｙｐｔ这四个算法在两个实验里的效率对比图． 根据提供的数据可知， 仅Ｓｅｔｕｐ算法需要附表２ｍ６（〇，ｌ〇〇〇） 和ｍ６（〇，ｌ〇〇〇〇） 时各个算法消耗的时间（单位： ｍｓ）ｍｅ（０， １０００）ｍｅ（０， １０ ０００）弁依１０１１ １２ １３ １４ １５ １０１１ １２ １３ １４ １５Ｓｅｔｕｐ ５８０４ ５８４７ ５９２５ ５９３９６０１２ ６１ １３ ５４５３３ ５４７８８ ５４９１２ ５５ ３２１ ５５９７７ ５６ １４３Ｅｎｃｒｙｐｔ １３９１５１ １５９１６４ １６９１７２ １４２ １５９１６５ １７３ １７９１８０ＫｅｙＧｅｎ ７５ ７９８６ ８８９７ １０２ ７８ ８３ ８９ ９４ １０１ １１０Ｖｅｒｉｆｙ ８６ ８９ ９３９５９９１０１ ８９ ９４９７ １０３ １０８ １１５Ｄｅｃｒｙｐｔ １７ ２１ ２２ ２４３０３２ ２０ ２３２７３０３３ ３９１１ １２ １３ １４ １５ｖｅｃｔｏｒｓ（ａ）Ｓｅｔｕｐ（ｂ）Ｅｎｃｒｙｐｔ附图１ 本文方案Ｓｅｔｕｐ、Ｅｎｃｒｙｐｔ、ＫｅｙＧｅｎ和Ｄｅｃｒｙｐｔ 算法两组实验效率比较邓宇乔等： 基于身份的可验证密钥的公钥内积函数加密算法 ２２１ １ 期较长时间， 因为在该算法中的预处理计算并将计算结果保存到ｈａｓｈ表的过程将消耗一定的时间成本． 然而， 在解密时，算法并不需要解决离散对数问题， 而只需要在哈希表中搜索数据， 解密时间被大大缩短了． 另一方面， 尽管Ｓｅｔｕｐ算法花费的时间较长， 但系统只需要运行一次该算法， 在以后的处理过程中无需再运行该算法， 因此这种时间消耗是可以接受的．ＤＥＮＧＹｕ－Ｑｉａｏ，Ｐｈ．Ｄ．，ａｓｓｏｃｉａｔｅｐｒｏｆｅｓｓｏｒ．Ｈｉｓｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｓｉ ｎｃｌ ｕｄｅｃｒｙｐｔｏｇｒａｐｈｙａｎｄｃｌｏｕｄｃｏｍｐｕｔｉｎｇ．ＳＯＮＧＧｅ， Ｐｈ．Ｄ． ，ｌ ｅｃｔｕｒｅｒ．Ｈｅｒｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｓｆｏｃｕｓｏｎｃｒｙｐｔｏｇｒａｐｈｙ．ＹＡＮＧＢｏ，Ｐｈ．Ｄ． ，ｐｒｏｆｅｓｓｏｒ．Ｈｉｓｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｓｉｎｃｌ ｕｄｅｉ ｎｆｏｒｍａｔｉｏｎｓ ｅｃｕｒｉ ｔｙａｎｄｃｒｙｐｔｏｇｒａｐｈｙ．ＰＥＮＧＣｈａｎｇ－Ｇｅｎ，Ｐｈ．Ｄ．，ｐｒｏｆｅｓｓｏｒ．Ｈｉｓｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｉｓｃｒｙｐｔｏｇｒａｐｈｙ．ＴＡＮＧＣｈｕｎ－Ｍｉｎｇ，Ｐｈ．Ｄ．，ｐｒｏｆｅｓｓｏｒ．Ｈｉｓｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙａｎｄｃｒｙｐｔｏｇｒａｐｈｙ．ＷＥＮＹａ－Ｍｉｎ，Ｐｈ．Ｄ． ，ａｓｓｏｃｉａｔｅｐｒｏｆｅｓｓｏｒ．Ｈｅｒｒｅｓｅａｒｃｈｉｎｔｅｒｅｓｔｓｉｎｃｌｕｄｅｃｒｙｐｔｏｇｒａｐｈｙａｎｄｃｌｏｕｄｃｏｍｐｕｔｉｎｇ．ＢａｃｋｇｒｏｕｎｄＦｕｎｃｔｉｏｎａｌｅｎｃｒｙｐｔｉｏｎ（ＦＥ）ｉｓａｖｅｒｓａｔｉｌｅｃｒｙｐｔｏｇｒａｐｈｉｃｐｒｉｍｉｔｉｖｅｆｉｒｓｔｆｏｒｍａｌ ｉｚｅｄｂｙＢｏｎｅｈｅｔａｌ．．ＡｎｉｎｃｒｅａｓｉｎｇｎｕｍｂｅｒｏｆｓｔｕｄｉｅｓｈａｖｅｃｏｎｓｉｄｅｒｅｄｔｈｅｃｏｎｓｔｒｕｃｔｉｏｎｏｆｇｅｎｅｒｉｃＦＥｔｈａｔｉｍｐｌ ｅｍｅｎｔｓｕｎｉｖｅｒｓａｌｃｉｒｃｕｉｔｓｓｉｎｃｅｔｈｅｅｍｅｒｇｅｎｃｅｏｆＦＥ．Ｈｏｗｅｖｅｒ，ｔｈｅｓｅｗｏｒｋｓｏｎｌｙｉｎｔｒｏｄｕｃｅｄｔｈｅｒｅｑｕｉｒｅｍｅｎｔｆｏｒｈｅａｖｙ－ｄｕｔｙｔｏｏｌ ｓ，ｓｕｃｈａｓｉｎｄｉｓｔｉｎｇｕｉｓｈａｂｌ ｅｏｂｆｕｓｃａｔｉｏｎａｎｄｍｕｌｔｉｌ ｉｎｅａｒｍａｐｓ；ｔｈｅｒｅｆｏｒｅ， ｔｈｅｐｒａｃｔｉｃａｌｉｔｙｏｆｔｈｅｓｅｗｏｒｋｓｒｅｍａｉｎｓｕｎｃｅｒｔａｉｎ．ＩｎＰＫＣ２０１５，Ａｂｄａｌｌａｅｔａｌ．ｐｒｏｐｏｓｅｄａｎｅｗｐｒｉｍｉｔｉｖｅ，ｎａｍｅｌｙ，ｉｎｎｅｒｐｒｏｄｕｃｔｅｎｃｒｙｐｔｉｏｎ（ＩＰＥ）．ＩＰＥｉｓａｓｐｅｃｉａｌｃａｓｅｏｆＦＥｔｈａｔｅｘｅｃｕｔｅｓｔｈｅｃｏｍｐｕｔａｔｉｏｎｆｏｒｔｈｅｉｎｎｅｒｐｒｏｄｕｃｔｏｆｖｅｃｔｏｒｓ；ＩＰＥｉｓｒｅｍａｒｋａｂｌｙｕｓｅｆｕｌｉｎａｐｐｌｉｃａｔｉｏｎｓ，ｓｕｃｈａｓｐｒｉｖａｃｙ－ｐｒｅｓｅｒｖｉｎｇｓｔａｔｉｓｔｉｃａｌａｎａｌｙｓｉｓａｎｄｃｏｎｊｕｎｃｔｉｖｅ／ｄｉｓｊｕｎｃｔｉｖｅｎｏｒｍａｌ－ｆｏｒｍｆｏｒｍｕｌａｓ．ＩＰＥｃａｎｂｅｃｌａｓｓｉｆｉｅｄｉｎｔｏｔｗｏｃａｔｅｇｏｒｉ ｅｓ ，ｎａｍｅｌｙ，ｐｕｂｌ ｉｃ－ｋｅｙＩＰＥ（ ＰＫ－ＩＰＥ）ａｎｄｓｅｃｒｅｔ－ｋｅｙＩＰＥ（ ＳＫ－ＩＰＥ） ．ＩｎｔｈｅＰＫ－ＩＰＥｓｅｔｔｉｎｇ，ｏｎｅｖｅｃｔｏｒｉｓｅｎｃｏｄｅｄｂｙｔｈｅｃｉｐｈｅｒｔｅｘｔ，ｗｈｅｒｅａｓｔｈｅｏｔｈｅｒｖｅｃｔｏｒｉｓｅｎｃｏｄｅｄｂｙｔｈｅｐｒｉｖａｔｅｋｅｙ．Ａｕｓｅｒｃａｎｄｅｒｉｖｅｔｈｅｉｎｎｅｒｐｒｏｄｕｃｔ，ｉ ｆｈｅｈｏｌｄｓｔｈｅｃｉｐｈｅｒｔｅｘｔａｎｄｓｅｃｒｅｔｋｅｙ．ＩｎｔｈｅＳＫ－ＩＰＥｓｅｔｔｉｎｇ，ｔｈｅｓｉｔｕａｔｉｏｎｉｓｓｉｍｉｌａｒ，ｅｘｃｅｐｔｔｈａｔａｍａｓｔｅｒｓｅｃｒｅｔｋｅｙ（ ＭＳＫ）（ ｉ．ｅ． ，ａｓｅｃｒｅｔｋｅｙｍａｉｎｔａｉｎｅｄｂｙｔｈｅａｕｔｈｏｒｉｔｙ）ｓｈｏｕｌｄｂｅｕｓｅｄｉｎｇｅｎｅｒａｔｉｎｇｃｉｐｈｅｒｔｅｘｔａｎｄｐｒｉｖａｔｅｋｅｙ．Ｔｈｕｓ ， ｔｈｅｃｉｐｈｅｒｔｅｘｔｃａｎｎｏｔｂｅｉｎｄｅｐｅｎｄｅｎｔｌｙｆｏｒｍｅｄｂｙａｎｅｎｃｒｙｐｔｏｒｗｉ ｔｈｏｕｔａｎｉ ｎｔｅｒａｃｔｉｏｎｗｉｔｈａｎａｕｔｈｏｒｉｔｙｉｎＳＫ－ＩＰＥ．Ｔｈｅｒｅｆｏｒｅ，ＳＫ－ＩＰＥｉｓｉｍｐｒａｃｔｉｃａｌｆｏｒａｐｐｌ ｉｃａｔｉｏｎｓｗｈｅｒｅｍａｎｙｕｓｅｒｓｓｈｏｕｌｄｇｅｎｅｒａｔｅｃｉｐｈｅｒｔｅｘｔｓｓｉｍｕｌｔａｎｅｏｕｓｌｙ，ｂｅｃａｕｓｅｉｔｉｎｅｖｉｔａｂｌｙｉｎｆｌｕｅｎｃｅｓｔｈｅｐｅｒｆｏｒｍａｎｃｅｏｆｔｈｅａｕｔｈｏｒｉｔｙ．Ｔｈｉｓｓｔｕｄｙｍａｉｎｌｙｆｏｃｕｓｅｓｏｎｔｈｅｉｎａｂｉｌ ｉｔｙｔｏｄｅｓｉｇｎｔｈｅｒｅｃｉｐｉｅｎｔ，ａｎｄｓｅｃｒｅｔｋｅｙｃａｎｎｏｔｂｅｖｅｒｉ ｆｉｅｄｉｎｔｈｅｐｒｅｓｅｎｔｅｄＰＫ－ＩＰＥ．ＷｅｆｉｒｓｔｐｒｏｐｏｓｅａＰＫ－ＩＰＥ－ＤＲＶＳｓｃｈｅｍｅｂｙｕｓｉｎｇｔｈｅｂｉｌｉｎｅａｒｍａｐｓｔｅｃｈｎｉｑｕｅｔｏａｄｄｒｅｓｓｔｈｅａｂｏｖｅｍｅｎｔｉｏｎｅｄｐｒｏｂｌ ｅｍｓ．Ｗｅｒｅｆｉｎｅｔｈｅｓｖ－ＣＰＡｓｅｃｕｒｉｔｙｍｏｄｅｌｓｏｆＰＫ－ＩＰＥａｎｄｉｎｉｔｉａｌ ｌｙｐｒｏｐｏｓｅｔｈｅＲＩＭＡａｎｄＳＶＭＡｍｏｄｅｌ ｓｔｏｃａｐｔｕｒｅｔｈｅｓｅｃｒｅｔｋｅｙｍｏｄｉ ｆｉｃａｔｉｏｎｂｅｈａｖｉｏｒｓｏｆａｄｖｅｒｓａｒｉ ｅｓ．Ｆｉｎａｌｌｙ，ｗｅｐｒｏｖｅｔｈｅｓｅｃｕｒｉｔｙｏｆＰＫ－ＩＰＥ－ＤＲＶＳｕｎｄｅｒｔｈｅｓｅｍｏｄｅｌｓ．Ｔｈｅｍａｎａｇｅｍｅｎｔａｎｄｈｉｇｈｃｏｓｔｏｆｍａｎｙｐｕｂｌ ｉｃｋｅｙｓｍａｙｂｅｃｏｍｅａｐｒｏｂｌｅｍ，ａｌｔｈｏｕｇｈｔｈｅｒｅｃｉｐｉｅｎｔｃａｎｂｅｄｅｓｉｇｎｅｄｉｎＰＫ－ＩＰＥ－ＤＲＶＳ．Ｔｈｕｓ，ｔｏｐｒｏｐｏｓｅａＰＫ－ＩＰＥ－ＤＲＶＳｗｉｔｈｃｏｎｓｔａｎｔ－ｌ ｅｎｇｔｈｐｕｂｌｉｃｐａｒａｍｅｔｅｒｓｍａｙｂｅａｎｉｎｔｅｒｅｓｔｉｎｇａｎｄｃｈａｌ ｌ ｅｎｇｉｎｇｐｒｏｂｌ ｅｍ．ＴｈｉｓｗｏｒｋｉｓｓｕｐｐｏｒｔｅｄｂｙｔｈｅＮａｔｉｏｎａｌＫｅｙＲ＆ＤＰｒｏｇｒａｍｏｆＣｈｉｎａ（ Ｎｏ．２０１ ７ＹＦＢ０８０２０００），ｔｈｅＮａｔｉｏｎａｌＮａｔｕｒａｌＳｃｉｅｎｃｅＦｏｕｎｄａｔｉｏｎｏｆＣｈｉｎａ（６ １７７２１ ４７，６１３００２０４，６２００２１２２） ，ｔｈｅＧｕａｎｇｄｏｎｇＰｒｏｖｉｎｃｅＮａｔｕｒａｌＳｃｉｅｎｃｅＦｏｕｎｄａｔｉｏｎｏｆＭａｊｏｒＢａｓｉｃＲｅｓｅａｒｃｈａｎｄＣｕｌｔｉｖａｔｉｏｎＰｒｏｊｅｃｔ（２０１ ５八０３ ０３０８０１ ６） ，ｔｈｅＮａｔｕｒａｌＳｃｉｅｎｃｅＦｏｕｎｄａｔｉｏｎｏｆＧｕａｎｇｄｏｎｇＰｒｏｖｉｎｃｅ（２０１５八０３０３１３ ６３０，２０１９八１５１ ５０１１ ７９７） ，ｔｈｅＢａｓｉｃＲｅｓｅａｒｃｈＰｒｏｊｅｃｔｏｆＧｕａｎｇｄｏｎｇＰｒｏｖｉｎｃｉａｌＤｅｐａｒｔｍｅｎｔｏｆＥｄｕｃａｔｉｏｎ （２０１４ＫＺＤＸＭ０４４），ｔｈｅＣｏｌ ｌ ｅｇｅｓａｎｄＵｎｉｖｅｒｓｉｔｉｅｓＩｎｎｏｖａｔｉｏｎＴｅａｍＣｏｎｓｔｒｕｃｔｉｏｎＰｒｏｊｅｃｔＧｕａｎｇｄｏｎｇＰｒｏｖｉ ｎｃｅ（２０１ ５ＫＣＸＴＤ０１４） ， ｔｈｅＮａｔｉ ｏｎａｌＣｒｙｐｔｏｇｒａｐｈｙＤｅｖｅｌｏｐｍｅｎｔＦｕｎｄ（ＭＭＪＪ２０１ ７０１１ ７ ） ，ｔｈｅＧｕａｎｇｚｈｏｕＣｉｔｙＢｕｒｅａｕｏｆＣｏｏｐｅｒａｔｉｖｅＩｎｎｏｖａｔｉｏｎＰｒｏｊｅｃｔ（１ ２０１６ １０００５）ａｎｄｔｈｅＰｒｏｊｅｃｔｏｆＧｕａｎｇｄｏｎｇＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙＰｌａｎ（２０１ ６八０２０２１０１０３，２０１７Ａ０２０２０８０５４）． |
| [返回] |
下一篇：一种支持高并发的多人链下支付方案