智慧医疗中具有策略完全隐藏的属性基加密方案

Attribute-based Encryption Scheme with Policies Fully Hidden in Smart Health

摘要

随着物联网和云计算技术的快速发展，智慧医疗的医疗质量已经得到显著提高，但是医疗系统仍然存在数据安全和用户隐私泄露问题。基于密文策略的属性加密（Ciphertext-Policy Attribute Based Encryption， CP-ABE）被认为是目前最有效的解决方案之一。然而在大多数的CP-ABE方案中攻击者可以从访问策略中获取用户隐私信息，而且由于解密密钥仅与属性相关联，与用户身份无关，所以当密钥泄露时无法准确确认用户的身份。针对上述问题，本文提出了一种策略完全隐藏的可追踪可撤销的CP-ABE方案，使用隐匿集合求交（Private Set Intersection， PSI）技术隐藏策略中的属性值和属性名称，采用与用户相关联的二叉树来追踪和撤销用户。为了提高该方案在加解密阶段的速度，引入离线/在线加密和外包解密技术。最后基于q-BDHE（q-Bilinear Diffie-Hellman Exponent）假设，证明了该方案的安全性，实验结果表明该方案加密和解密算法花费时间呈常量级，相比其他方案，效率有显著提升。

Abstract

With the rapid development of the Internet of Things and cloud computing technologies, the quality of healthcare in smart health has been significantly improved, but the healthcare system still has the problems of data security and user privacy leakage. Ciphertext-Policy Attribute Based Encryption (CP-ABE) is considered to be one of the most effective solutions at present. However, in most CP-ABE schemes attackers can obtain user privacy information from access policies. Since the decryption key is only associated with attributes and not with the user's identity, it is impossible to accurately confirm the user's identity when the key is leaked. To resolve the above problems, this paper proposes a traceable and revocable CP-ABE scheme with policies fully hidden by using Private Set Intersection (PSI) technology to hide the attribute values and attribute names in the policy. Furthermore, this paper adopts binary tree associated with information to track and revoke users. In order to enhance the speed of the scheme in the encryption and decryption phases, this paper introduces the skill of offline/online encryption and outsourced decryption techniques. Finally, based on the q-BDHE assumption, the security of the scheme is proved. The experiment results show that the encryption and decryption algorithms of this scheme take a constant amount of time, which is a significant improvement in efficiency compared to other schemes.

Graphical abstract

关键词

策略完全隐藏 / 隐匿集合求交 / 可追踪 / 可撤销 / 在线/离线加密 / 外包解密

Key words

policy fully hidden / private set intersection / traceability / revocation / online/offline encryption / outsourced decryption

0 引言

智慧医疗是一个新兴领域，它将人工智能与数据科学相结合，以科学的方式将数据转化为知识，并应用于医疗和精准健康领域，以改善人们的健康和福祉。随着物联网和云计算技术的快速发展^［1］，基于云计算的智慧医疗有望提供理想的健康服务，但是在实际应用中仍有许多问题需要解决^［2］，特别是数据安全和用户隐私泄露。例如病人希望自己的电子健康记录只能由授权的专业医疗人员访问，如果使用传统的访问控制技术，要么会违反数据安全，要么只允许粗粒度的访问策略。

在密码学领域中，基于属性的加密^［3］（Attribute-Based Encryption， ABE）被视为实现细粒度访问控制的重要工具。这种加密方法主要分为密文策略的属性基加密^［4］和密钥策略的属性基加密^［5］两大类。在属性加密方案中由于访问策略与密文一起存储在云服务器中，因此任何能检索到密文的人都可以使用相关访问策略，但是访问策略中可能包含敏感信息。例如访问策略“Neurology AND （Doctor OR Nurses）”通过医疗记录可以看出患者有神经系统疾病。对于部分策略隐藏，例如访问策略“（PN：* OR Doctor：*）AND （Hospital：*）”，攻击者仍然可以看出数据和健康相关。因此具有策略完全隐藏的CP-ABE方案具有重要的研究意义。

由于解密密钥与属性紧密相关，所以发生密钥泄露事件时无法确认泄露源。例如，Alice和Bob他们共同拥有属性“Neuropathy AND Nurses”，二者均可以访问“Neurology AND （Doctor OR Nurses）”密钥加密的病历，如果解密密钥泄露，无法确切地判断是Alice还是Bob成了泄露源。为解决解密密钥泄漏和追踪恶意用户的问题，ABE系统对基于可追踪性的撤销机制提出了很高的要求。

针对访问策略会泄露用户敏感信息的问题，Nishide等^［6］第一次提出访问策略隐藏的概念，但是该方案计算开销较大。Zhang等^［7］提出的方案通过解密测试实现了解密前访问权限的验证，但其在权限验证阶段存在隐私泄露。Yang等^［8］利用bloom filter实现了一种具有全隐藏LSSS（Linear Secret Sharing Scheme）访问控制的CP-ABE方案，但其bloom filter有出现假阳性的概率。Zhang等^［9］利用隐藏向量加密技术（Hidden Vector Encryption，HVE）实现了完全策略隐藏的CP-ABE方案，同时提供可信验证和解密正确性的验证。Yang等^［10］基于PSI实现了大宇宙策略完全隐藏的CP-ABE方案，并使用外包可验证技术来提高解密速度，但其不支持身份的追踪和恶意用户撤销。Xue等^［11］提出一种具有可追踪可撤销的完全隐藏策略方案，结合LSSS和HVE实现全隐藏策略。Luo等^［12］提出一种基于ROBDD（Reduced Ordered Binary Decision Diagram）访问控制的CP-ABE方案，该结构具有更灵活的表达能力，利用Path Bloom Filter隐藏访问策略，降低解密成本，加快解密速度。

为了追踪恶意用户，Liu等^［13］提出了一种基于属性的白盒可跟踪CP-ABE方案。Ning等提出了一种支持灵活属性的白盒可跟踪CP-ABE方案^［14］和一种基于白盒的大宇宙CP-ABE方案^［15］，可以支持对恶意用户的追踪。Ning等^［16］还设计了一种白盒可追踪的CP-ABE方案，能够有效地追踪恶意泄露解密密钥的用户。

尽管一些ABE方案支持可追踪机制，但是追踪后用户不能被撤销。Liu等^［17］提出了一种先追踪后撤销的CP-ABE方案，但是它无法抵抗反串通攻击。Wang等^［18］提出的CP-ABE方案利用与用户信息相关的二叉树实现属性撤销和用户跟踪。Lian等^［19］提出了一种完全安全的追踪可撤销存储ABE方案，该方案只需要在撤销后更新部分密钥。Han等^［20］提出了一种策略部分隐藏的可撤销可追踪的CP-ABE方案，但是该方案不支持外包解密。文献［21-24］中提出了一种可以支持外包解密的CP-ABE方案，将大部分的解密工作交给云服务器，在本地用户只需要少量计算即可解密。文献［25-26］中提出了一种基于在线/离线技术的CP-ABE方案，在离线阶段进行复杂的加密计算，在线阶段只需要进行轻量级处理，提升了加密速度。

综合上述分析，以上方案都只从某一方面进行解决问题，因此本文提出了一种策略完全隐藏的可撤销可追踪的属性基加密方案，实现了隐藏策略、在线/离线加密、外包解密、可追溯性和可撤销性的全部功能。本文主要贡献如下：

（1）本文通过引入隐匿集合求交（PSI）技术实现完全隐藏访问策略，且方案是在大范围下实现。

（2）本方案提供了一种有效的方法来计算密钥和密文之间的映射，通过设计标签向量来定位最小授权集的属性在用户属性集中的确切位置，以便正确解密。

（3）引入一种白盒追踪方法，解密密钥可被验证格式正确与否，从而可有效地追踪恶意用户，该方法无须存储用户标识列表，可以直接输出用户标识。

（4）引入一种基于二叉树的撤销方法，该结构可以在不更新用户私钥的情况下实现用户撤销。

（5）为了提高效率，本文使用离线/在线加密技术和外包解密技术实现轻量级处理。

1 预备知识

1.1　双线性映射

G和G_T是两个乘法循环群，g是G的生成元，双线性映射^［3］e:G\times G\to G_T有以下性质：

（1）对于\forall a,b\in Z_p，有e(g^a,g^b)=e{(g,g)}^{ab}；

（2）e(g,g)\ne \mathrm{1}；

（3）存在多项式时间算法能够计算e(g,g)。

1.2　线性秘密共享

\mathit{M}是一个l\times n的矩阵，\rho是一个单射函数。有以下两个算法^［4］：

（1）秘密值分享：\mathit{M}共享秘密值s\in Z_p，设向量\mathit{v}=\{s,v_{\mathrm{2}},v_{\mathrm{3}},\cdots ,v_n{\}}^{\mathrm{T}}，其中v_{\mathrm{2}},v_{\mathrm{3}},\cdots ,v_n\in Z_p。在该算法中，{\lambda }_i=M_i\cdot v表示属性名索引\rho (i)所持有的共享秘密值。

（2）秘密值重构：S\in A是一个授权集合，其中I\subset \{\mathrm{1,2},\cdots ,l\}定义为I=\{i|\rho (i)\in S\}，存在一组常数\{{\omega }_i\in Z_p{\}}_i\in I，使{\sum }_{i\in I}{\omega }_i{M}_i=(\mathrm{1,0},\cdots ,\mathrm{0})，因此有{\sum }_{i\in I}{\omega }_i{\lambda }_i=s。

1.3　二叉树

设|U|是系统中的用户数，R是撤销列表。密钥加密密钥树（Key-Encryption-Key， KEK）^［18］T描述为：

（1）\mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(i)是根结点到节点i的路径集合；

（2）最小覆盖集\mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R)是覆盖R中未列出的所有用户的最小节点集；

（3）根据\mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R)\bigcap \mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(u)，一个不在R中的用户u，只有一个节点j=\mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R)\bigcap \mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(u)。

如图1所示的密钥加密密钥树T， R=\{u_{\mathrm{3}},u_{\mathrm{5}}\}=\{\mathrm{9,11}\}，则\mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R)=\{\mathrm{3,10,12,6}\}。u_{\mathrm{7}}的路径：\mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(u_{\mathrm{7}})=\{\mathrm{0,2},\mathrm{6,13}\}。因此唯一节点j=\mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R)\bigcap \mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(u_{\mathrm{7}})=\{\mathrm{6}\}，利用二叉树的特征来实现撤销。

1.4　隐匿集合求交

\mathrm{P}\mathrm{S}\mathrm{I}^［10］指双方在不泄露任何信息的情况下，一方拥有数据集A，另一方拥有数据集B，它们可以通过交集来获取两个数据集的共同部分，即A\bigcap B。A方从B方获得的信息仅为A和B的交集，同理B方从A方获得的信息仅为A和B的交集。

1.5　困难问题假设

定义1 q-BDHE（q-Bilinear Diffie-Hellman Exponent）困难假设^［18］是指在任意多项式时间内算法都无法以不可忽略的优势\epsilon将e{(g,g)}^{{\alpha }^{q+\mathrm{1}}\cdot s}和G_T中的一个随机的元素区分开来。

2 系统模型和算法定义

2.1　系统模型

系统模型如图2所示，由5个实体组成，每个实体负责的任务如下：

（1）授权中心（Central Authority，CA）：CA是完全可信的，它负责生成主密钥和公开参数，为用户生成解密密钥\mathrm{S}\mathrm{K}。此外，CA维护一个撤销列表R，并执行密钥检测算法来跟踪恶意用户。同时将更新密钥X\mathrm{\text{'}}由CA发送到云端，实现可追溯和撤销。

（2）数据拥有者（Data Owner，DO）：通常为病人。DO指定访问策略，并根据访问策略对消息进行加密。

（3）数据用户（Data User，DU）：通常是医生。如果DU的属性满足访问策略，则能解密密文\mathrm{C}\mathrm{T}，获得明文消息。

（4）云服务器（Cloud Server，CS）：假设CS是半可信的，它负责存储密文并使用更新的密钥\mathrm{S}\mathrm{K}\mathrm{\text{'}}来更新密文，实现恶意用户在系统中的撤销。

（5）云代理服务器（Cloud Proxy Server，CPS）：CPS为用户实现解密部分密文\mathrm{C}\mathrm{T}\mathrm{\text{'}}，并将中间结果\mathrm{M}\mathrm{D}返回给解密用户。

2.2　算法定义

基于策略完全隐藏的可追踪可撤销的属性基加密方案由以下算法组成：

（1）\mathrm{S}\mathrm{e}\mathrm{t}\mathrm{u}\mathrm{p}({\mathrm{1}}^{\lambda },T)\to (\mathrm{p}\mathrm{p},\mathrm{m}\mathrm{s}\mathrm{k})：权威中心执行该算法，输入KEK树T和参数\lambda，输出公开参数\mathrm{p}\mathrm{p}和主密钥\mathrm{m}\mathrm{s}\mathrm{k}，CA保留撤销列表R。

（2）\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{G}\mathrm{e}\mathrm{n}(\mathrm{p}\mathrm{p},\mathrm{m}\mathrm{s}\mathrm{k},u,S)\to \mathrm{S}\mathrm{K}：权威中心执行该算法，输入\mathrm{p}\mathrm{p}、身份u、属性集S和主\mathrm{m}\mathrm{s}\mathrm{k}，输出解密密钥\mathrm{S}\mathrm{K}，并将其发送给用户。其中\mathrm{S}\mathrm{K}由解密密钥\mathrm{D}\mathrm{K}和转换密钥\mathrm{T}\mathrm{K}组成。

（3）\mathrm{E}\mathrm{n}\mathrm{c}.\mathrm{O}\mathrm{f}\mathrm{f}(\mathrm{p}\mathrm{p})\to \mathrm{I}\mathrm{T}：数据所有者执行该算法，输入公开参数\mathrm{p}\mathrm{p}，输出中间密文\mathrm{I}\mathrm{T}。

（4）\mathrm{E}\mathrm{n}\mathrm{c}.\mathrm{O}\mathrm{n}(m,\mathrm{p}\mathrm{p},(M,\rho ),\mathrm{I}\mathrm{T},R)\to \mathrm{C}\mathrm{T}：数据所有者执行该算法，输入\mathrm{p}\mathrm{p}、消息m、访问策略(M,\rho )、中间密文\mathrm{I}\mathrm{T}和撤销列表R，输出密文\mathrm{C}\mathrm{T}。

（5）\mathrm{P}\mathrm{o}\mathrm{l}\mathrm{i}\mathrm{c}\mathrm{y}\mathrm{H}\mathrm{i}\mathrm{d}\mathrm{e}(\mathrm{p}\mathrm{p},\mathrm{p}\mathrm{o}\mathrm{l}\mathrm{i}\mathrm{c}\mathrm{y})\to (\mathrm{C}\mathrm{P},\mathit{L},\mathit{V})：数据所有者执行该算法，输入公开参数\mathrm{p}\mathrm{p}、访问策略policy。输出密文策略CP、标签矩阵\mathit{L}和标签向量\mathit{V}。

（6）\mathrm{D}\mathrm{e}\mathrm{c}\mathrm{T}\mathrm{e}\mathrm{s}\mathrm{t}(\mathrm{p}\mathrm{p},S,\mathrm{C}\mathrm{P},\mathit{L},\mathit{V},S\mathrm{\text{'}})\to (\mathrm{T}\mathrm{r}\mathrm{u}\mathrm{e}/\mathrm{F}\mathrm{a}\mathrm{l}\mathrm{s}\mathrm{e},\mathrm{M}\mathrm{a}\mathrm{p})：数据用户执行该算法，输入公开参数\mathrm{p}\mathrm{p}、属性集S、密文策略\mathrm{C}\mathrm{P}以及一些标签。通过计算用户属性集与策略的每个最小授权集之间的交集来确定授权关系。当用户的属性集包含它们的交集，该用户获得授权，如果用户的属性集不包含它们的交集，则用户是未授权的。当S是一个授权集时，输出True和密钥与密文之间的映射，否则输出False，算法终止。

（7）\mathrm{D}\mathrm{e}\mathrm{c}\mathrm{O}\mathrm{u}\mathrm{t}(\mathrm{T}\mathrm{K},\mathrm{C}\mathrm{T},\mathrm{M}\mathrm{a}\mathrm{p},\mathrm{C}\mathrm{P})\to C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}}：云代理服务器执行该算法，输入转换密钥\mathrm{T}\mathrm{K}、密文\mathrm{C}\mathrm{T}、映射关系\mathrm{M}\mathrm{a}\mathrm{p}和密文策略\mathrm{C}\mathrm{P}，输出部分密文C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}}，并发送给DU。

（8）\mathrm{D}\mathrm{e}\mathrm{c}(\mathrm{p}\mathrm{p},C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}},\mathrm{D}\mathrm{K})\to m：数据用户执行该算法，以公共参数\mathrm{p}\mathrm{p}、密文C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}}和解密密钥\mathrm{D}\mathrm{K}作为输入，输出消息m。

（9）\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{S}\mathrm{a}\mathrm{n}\mathrm{i}\mathrm{t}\mathrm{y}\mathrm{C}\mathrm{h}\mathrm{e}\mathrm{c}\mathrm{k}(\mathrm{p}\mathrm{p},\mathrm{m}\mathrm{s}\mathrm{k},\mathrm{S}\mathrm{K})\to \mathrm{0}/\mathrm{1}：权威中心执行该算法，输入\mathrm{p}\mathrm{p}和\mathrm{S}\mathrm{K}，然后算法检查是否需要跟踪解密密钥\mathrm{S}\mathrm{K}，如果通过密钥检查，算法输出1，否则输出0。

（10）\mathrm{T}\mathrm{r}\mathrm{a}\mathrm{c}\mathrm{e}(\mathrm{p}\mathrm{p},\mathrm{S}\mathrm{K},R)\to u/\perp：权威中心执行该算法，输入\mathrm{p}\mathrm{p}、\mathrm{S}\mathrm{K}和R。如果\mathrm{S}\mathrm{K}通过\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{S}\mathrm{a}\mathrm{n}\mathrm{i}\mathrm{t}\mathrm{y}\mathrm{C}\mathrm{h}\mathrm{e}\mathrm{c}\mathrm{k}，则输出u并更新撤销列表R\mathrm{\text{'}}=R\cup \{u\}，否则算法终止，输出\perp。

（11）\mathrm{C}\mathrm{T}\mathrm{U}\mathrm{p}\mathrm{d}\mathrm{a}\mathrm{t}\mathrm{e}(\mathrm{C}\mathrm{T},R\mathrm{\text{'}},X\mathrm{\text{'}})\to \mathrm{C}\mathrm{T}\mathrm{\text{'}}：云服务器执行该算法，输入\mathrm{C}\mathrm{T}、R\mathrm{\text{'}}和密钥X\mathrm{\text{'}}，输出更新密文\mathrm{C}\mathrm{T}\mathrm{\text{'}}并保存到云端。

2.3　策略隐藏安全模型定义

策略隐藏的安全模型^［10］：在策略隐藏方案中，有A和B两方，A希望隐藏访问策略中的属性，A的属性集为S_p，B的属性集为S。B计算授权和匹配关系。S_p和S之间的授权通过计算任意最小授权集与S之间的交集来判断，如果交集包含在S中，说明是授权集合。在求交中，双方在不暴露属性情况下计算授权。

设P表示一个策略隐藏方案，f(x,y)是一个用来计算x和y之间包含关系的函数。如果x包含y，则输出True，否则输出False。设X是S_p的最小授权集之一，设Y是仅包含S的一个元素集合，当且仅当存在X，使f(S,X)为True时，S是S_p的授权集。如果使f(X,Y)为True，并且Y的数量不小于\left|X\right|，则f(X,S)将为True。对于\forall i\in A，f_i(X,Y)表示参与者i的计算，\mathrm{v}\mathrm{i}\mathrm{e}{\mathrm{w}}_i(X,Y)表示i的视图，\mathrm{o}{\mathrm{p}}_i(X,Y)表示i的输出。P秘密计算f(S,X)相当于秘密计算f(X,Y)。

定义2 如果存在PPT模拟器S_{\mathrm{1}}和S_{\mathrm{2}}，P秘密计算交集，使以下两个方程同时成立：

\{(S_{\mathrm{1}}(x,f_A(x,y)),f_B(x,y))\}=\{(\mathrm{v}\mathrm{i}\mathrm{e}{\mathrm{w}}_A(x,y),\mathrm{o}{\mathrm{p}}_B(x,y))\}，（1）

\{(f_A(x,y)),S_{\mathrm{2}}(y,f_B(x,y))\}=\{(\mathrm{o}{\mathrm{p}}_A(x,y)),\mathrm{v}\mathrm{i}\mathrm{e}{\mathrm{w}}_B(x,y)\}，（2）

（其中=是不可区分的）。

2.4　选择安全模型定义

Init：攻击者A选定挑战访问策略(M^{\mathrm{*}},{\rho }^{\mathrm{*}})和撤销列表R^{\mathrm{*}}之后将其发送给挑战者B。

Setup： B运行\mathrm{S}\mathrm{e}\mathrm{t}\mathrm{u}\mathrm{p}算法，将\mathrm{p}\mathrm{p}发给A并保留主密钥\mathrm{m}\mathrm{s}\mathrm{k}。

Phase 1： A向B发起关于属性集(u_{\mathrm{1}},S_{\mathrm{1}})(u_{\mathrm{2}},S_{\mathrm{2}})\cdots (u_q,S_q)的密钥的询问。

1） 如果属性集S是一个授权集并且用户u\notin R^{\mathrm{*}}，游戏终止。

2） 如果属性集S不是一个授权集并且用户u\in R^{\mathrm{*}}，挑战者B运行\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{G}\mathrm{e}\mathrm{n}算法生成密钥\{\mathrm{S}{\mathrm{K}}_{u,Si},u_i{\}}_i\in [\mathrm{1},q]发给攻击者A。

Challenge：A向B提交两个等长的消息m_{\mathrm{0}}和m_{\mathrm{1}}。B随机选取m_b，其中b\in \{\mathrm{0,1}\}。然后B运行\mathrm{E}\mathrm{n}\mathrm{c}.\mathrm{o}\mathrm{n}(m,\mathrm{p}\mathrm{p},(M^{\mathrm{*}},{\rho }^{\mathrm{*}}),\mathrm{I}\mathrm{T},R^{\mathrm{*}})生成密文\mathrm{C}\mathrm{T}，并将其发送给A。

Phase 2：同Phase 1，A继续向B询问私钥。

Guess：A输出值b^{\mathrm{\text{'}}}\in \{\mathrm{0,1}\}，如果b^{\mathrm{\text{'}}}=b，则称A赢得该游戏。攻击者A在该游戏的优势定义为\epsilon =|\mathrm{P}\mathrm{r}[b=b^{\mathrm{\text{'}}}]-\mathrm{1}/\mathrm{2}|。

定义3 如果攻击者无法在多项式时间内以不可忽略的优势\epsilon攻破上述安全游戏，则称本文提出的CP-ABE方案是选择明文安全的。

3 方案构造

（1）\mathrm{S}\mathrm{e}\mathrm{t}\mathrm{u}\mathrm{p}({\mathrm{1}}^{\lambda })\to (\mathrm{p}\mathrm{p},\mathrm{m}\mathrm{s}\mathrm{k})。CA选取随机数\alpha \in Z_p，h,u,v,w\in G，关于T中每个节点，随机选取\{x_i{\}}_{i=\mathrm{0}}^{\mathrm{2}|U|-\mathrm{2}}\in Z_p并计算\{y_i=g^{x_i}{\}}_{i=\mathrm{0}}^{\mathrm{2}|U|-\mathrm{2}}，公共参数\mathrm{p}\mathrm{p}和主密钥\mathrm{m}\mathrm{s}\mathrm{k}如下：

\mathrm{p}\mathrm{p}=(g,e{(g,g)}^{\alpha },h,u,v,w)\mathrm{m}\mathrm{s}\mathrm{k}=(\alpha ,g^{\alpha })。

（2）\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{G}\mathrm{e}\mathrm{n}(\mathrm{p}\mathrm{p},\mathrm{m}\mathrm{s}\mathrm{k},S)\to \mathrm{S}\mathrm{K}。CA选取随机数z\in Z_p，选取k+\mathrm{1}个随机数(r,r_{\mathrm{1}},r_{\mathrm{2}},\cdots ,r_k)\in Z_p。假设\mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(i_d)=\{i_{\mathrm{0}},\cdots ,i_d\}，其中i_{\mathrm{0}}=\mathrm{r}\mathrm{o}\mathrm{o}\mathrm{t}，i_d是与用户u相关联的二叉树叶子节点的值，计算与用户u相关联的解密密钥组件K_u=g^{r/x_{i_d}}。解密密钥\mathrm{D}\mathrm{K}和转换密钥\mathrm{T}\mathrm{K}如下：

\mathrm{D}\mathrm{K}=z，\mathrm{T}\mathrm{K}=(K=g^{\alpha /z+r}{w}^r,L=g^r,K_u=g^{r/x_{i_d}},\forall i\in [k],K_{\mathrm{1},i}=g^{ri},K_{\mathrm{2},i}=(u^{A_i}{h)}^{r_i}{v}^{-r})。

最后，输出密钥\mathrm{S}\mathrm{K}=\{\mathrm{D}\mathrm{K},\mathrm{T}\mathrm{K}\}。

（3）\mathrm{E}\mathrm{n}\mathrm{c}.\mathrm{O}\mathrm{f}\mathrm{f}(\mathrm{p}\mathrm{p})\to \mathrm{I}\mathrm{T}。在离线加密阶段，生成中间密文IT，由两个模块组成。其中主模块计算方法：DO选择一个随机数s\in Z_p，计算\tilde{C}=e{(g,g)}^{\alpha s}和{\tilde{C}}_{\mathrm{0}}=g^s，DO设置\mathrm{I}{\mathrm{T}}_{\mathrm{m}\mathrm{a}\mathrm{i}\mathrm{n}}=(\tilde{C},{\tilde{C}}_{\mathrm{0}})为主模块。此外，属性模块的计算方法如下：DO选择一个随机数x_i,t_i,{\lambda }_i^{\mathrm{\text{'}}}\in Z_p，计算{\tilde{C}}_{\mathrm{1},i}=w^{{\lambda }_i^{\mathrm{\text{'}}}}{v}^{t_i},{\tilde{C}}_{\mathrm{2},i}=(u^{x_i}{h)}^{-t_i},{\tilde{C}}_{\mathrm{3},i}=g^{t_i}，其中i\in J，J表示中间密文池的大小，用于临时存储中间密文，DO设置I{T}_{\mathrm{a}\mathrm{t}\mathrm{t}}=\{x_i,t_i,{\lambda }_i^{\mathrm{\text{'}}},{\tilde{C}}_{\mathrm{1},i},{\tilde{C}}_{\mathrm{2},i},{\tilde{C}}_{\mathrm{3},i}{\}}_i\in J。最后DO定义\mathrm{I}\mathrm{T}=\{\mathrm{I}{\mathrm{T}}_{\mathrm{m}\mathrm{a}\mathrm{i}\mathrm{n}},\mathrm{I}{\mathrm{T}}_{\mathrm{a}\mathrm{t}\mathrm{t}}\}作为中间密文。

（4）\mathrm{E}\mathrm{n}\mathrm{c}.\mathrm{O}\mathrm{n}(m,\mathrm{p}\mathrm{p},(\mathit{M},\rho ),\mathrm{I}\mathrm{T},R)\to \mathrm{C}\mathrm{T}。DO随机选取v_{\mathrm{2}},v_{\mathrm{3}},\cdots ,v_n\in Z_p，设置向量\mathit{v}=\{s,v_{\mathrm{2}},v_{\mathrm{3}},\cdots ,v_n{\}}^{\mathrm{T}}，并且计算M\cdot \mathit{v}=({\lambda }_{\mathrm{1}},{\lambda }_{\mathrm{2}},\cdots ,{\lambda }_l{)}^{\mathrm{T}}作为s的有效共享向量。DO选择一个主模块\mathrm{I}{\mathrm{T}}_{\mathrm{m}\mathrm{a}\mathrm{i}\mathrm{n}}=(\tilde{C},{\tilde{C}}_{\mathrm{0}})和属性模块\mathrm{I}{\mathrm{T}}_{\mathrm{a}\mathrm{t}\mathrm{t}}=\{x_i,t_i,{\lambda }_i^{\mathrm{\text{'}}},{\tilde{C}}_{\mathrm{1},i},{\tilde{C}}_{\mathrm{2},i},{\tilde{C}}_{\mathrm{3},i}{\}}_i\in l，DO设置

C=m\cdot \tilde{C}=m\cdot e{(g,g)}^{\alpha s},C_{\mathrm{0}}={\tilde{C}}_{\mathrm{0}}=g^s,C_{\mathrm{1},i}={\tilde{C}}_{\mathrm{1},i},C_{\mathrm{2},i}={\tilde{C}}_{\mathrm{2},i},C_{\mathrm{3},i}={\tilde{C}}_{\mathrm{3},i}。

并且计算如下密文：\{C_{\mathrm{4},i}={\lambda }_i-{\lambda }_i^{\mathrm{\text{'}}},C_{\mathrm{5},i}=-t_i(\rho (i)-x_i{)\}}_i\in [l]因此，密文CT=\{R,C,C_{\mathrm{0}},\{C_{\mathrm{1},i},C_{\mathrm{2},i},C_{\mathrm{3},i},C_{\mathrm{4},i},C_{\mathrm{5},i}{\}}_i\in [l],\{T_j=y_j^s=g^{x_j\cdot s}{\}}_j\in \mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R)\}。

（5）\mathrm{P}\mathrm{o}\mathrm{l}\mathrm{i}\mathrm{c}\mathrm{y}\mathrm{H}\mathrm{i}\mathrm{d}\mathrm{e}(\mathrm{p}\mathrm{p},\mathrm{p}\mathrm{o}\mathrm{l}\mathrm{i}\mathrm{c}\mathrm{y})\to (\mathrm{C}\mathrm{P},\mathit{L},\mathit{V})。计算标签矩阵\mathit{L}，\mathit{L}中的每一行就对应一个最小授权集，\mathit{L}中的每一列都与相同属性相关。\mathit{L}是一个N\times |\mathit{P}|大的矩阵，其中\mathit{L}中每个元素{\mathit{L}}_{i,j}是布尔值，当{\mathit{L}}_{i,j}=\mathrm{1}时，说明属性A_j包含在Y_i中。同时DO生成一个有序映射行向量\mathit{V}=\{{\mathit{V}}_{\mathrm{0}},{\mathit{V}}_{\mathrm{1}},\cdots ,{\mathit{V}}_{l-\mathrm{1}}\}在属性集相同的访问矩阵和\mathit{P}\mathrm{\text{'}}之间。当\rho (j)=A_i时，{\mathit{V}}_i=j。

最小授权集Y_i对应多项式f_i(x)，设Y_i=\{A_{i,\mathrm{0}},A_{i,\mathrm{1}},\cdots ,A_{i,n-\mathrm{1}}\}，|Y_i|=n，然后计算每个最小授权集的策略密文，如下所示：

\forall i\in [N]:f_i(x)=(x-A_{i,\mathrm{0}})(x-A_{i,\mathrm{1}})\cdots (x-A_{i,n-\mathrm{1}})=x^n+a_{n-\mathrm{1}}{x}^{n-\mathrm{1}}+\cdots +a_{\mathrm{1}}x+a_{\mathrm{0}}，

\mathrm{c}{\mathrm{p}}_i=c{p}_{i|Yi|}||c{p}_{i,|Yi|-\mathrm{1}}||\cdots ||c{p}_{i,\mathrm{0}}，

\mathrm{C}\mathrm{P}=c{p}_{\mathrm{1}}||c{p}_{\mathrm{2}}||\cdots ||c{p}_N||LM||LV\mathrm{。}

（6）\mathrm{D}\mathrm{e}\mathrm{c}\mathrm{T}\mathrm{e}\mathrm{s}\mathrm{t}(\mathrm{p}\mathrm{p},S,\mathrm{C}\mathrm{P},\mathit{L},\mathit{V},LS\mathrm{\text{'}})\to (\mathrm{T}\mathrm{r}\mathrm{u}\mathrm{e}/\mathrm{F}\mathrm{a}\mathrm{l}\mathrm{s}\mathrm{e},\mathrm{M}\mathrm{a}\mathrm{p})。

举个例子：假设访问策略为“\{A_{\mathrm{1}}\vee A_{\mathrm{2}}\}\wedge \{A_{\mathrm{3}}\vee A_{\mathrm{4}}\}”，则最小授权集为\{\{A_{\mathrm{1}},A_{\mathrm{3}}\},\{A_{\mathrm{1}},A_{\mathrm{4}}\},\{A_{\mathrm{2}},A_{\mathrm{3}}\},\{A_{\mathrm{2}},A_{\mathrm{4}}\}\}，排序后的策略属性集\mathit{P}\mathrm{\text{'}}=\{A_{\mathrm{1}},A_{\mathrm{2}},A_{\mathrm{3}},A_{\mathrm{4}}\}，访问控制结构中的映射函数\rho，\{\rho (\mathrm{1})=A_{\mathrm{3}},\rho (\mathrm{2})=A_{\mathrm{4}},\rho (\mathrm{3})=A_{\mathrm{2}},\rho (\mathrm{4})=A_{\mathrm{1}}\}。用户u_{\mathrm{1}}的属性集S=\{A_{\mathrm{5}},A_{\mathrm{3}},A_{\mathrm{6}},A_{\mathrm{1}}\}，则排序后的属性集S\mathrm{\text{'}}=\{A_{\mathrm{1}},A_{\mathrm{3}},A_{\mathrm{5}},A_{\mathrm{6}}\}。因为S包含最小授权集合\{A_{\mathrm{1}},A_{\mathrm{3}}\}，可以得出\mathit{S}=\{\mathrm{1,1},\mathrm{0,0}\}。\mathit{S}\mathrm{\text{'}}表示密钥中的属性顺序与排序后的属性集S″中的属性顺序之间的关系，所以\mathit{S}\mathrm{\text{'}}=\{\mathrm{3,1},\mathrm{0,2}\}。根据\mathit{L}和\mathit{S}，可以建立策略的排序属性集与排序用户属性集的对应关系。然后，通过LV和LS\mathrm{\text{'}}可以知道密文和密钥之间的映射关系。映射关系如图3所示。

根据\mathit{L}和\mathit{S}\mathrm{\text{'}}关系可以得出密文和密钥之间的映射关系如下所示：

[C_{\mathrm{1,4}},C_{\mathrm{2,4}},C_{\mathrm{3,4}}]\iff [K_{\mathrm{1,3}},K_{\mathrm{2,3}}]，

[C_{\mathrm{1,1}},C_{\mathrm{2,1}},C_{\mathrm{3,1}}]\iff [K_{\mathrm{1,1}},K_{\mathrm{2,1}}]。

（7）\mathrm{D}\mathrm{e}\mathrm{c}\mathrm{O}\mathrm{u}\mathrm{t}(\mathrm{T}\mathrm{K},\mathrm{C}\mathrm{T},\mathrm{M}\mathrm{a}\mathrm{p},\mathrm{C}\mathrm{P})\to C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}}。CPS接收到密文后，通过转换密钥TK输出密文一部分C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}}。存在以下两种情况：

Case1：如果u\in R，算法终止，输出⊥。

Case2：如果u\notin R，然后执行如下算法：

① 对于u\notin R，存在一个节点j\in \mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R)\bigcap \mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(u)，假设\mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(u)=\{i_{\mathrm{0}},i_{\mathrm{d}\mathrm{e}\mathrm{p}\mathrm{t}(j)},\cdots ,i_d\}，其中i_{\mathrm{d}\mathrm{e}\mathrm{p}\mathrm{t}(j)}=j，并且i_d是二叉树中与用户u相关的叶节点值，算法计算\theta =\frac{{x_i}_d}{x_j}，然后计算B=e(K_u,T_j{)}^{\theta }=e{(g,g)}^{rs}。

② 让I\subset \{\mathrm{1,2},\cdots ,l\}定义为I=\{i|\rho (i)\in S\}，存在一组常数\{{\omega }_i\in Z_p{\}}_i\in I，使{\sum }_{i\in I}{\omega }_i\mathit{M}=(\mathrm{1,0},\cdots ,\mathrm{0})，因此有\sum _{i\in I}{\omega }_i{\lambda }_i=s。然后计算：

P={\prod _{i\in I}(e(C_{\mathrm{1},i}{w}^{C_{\mathrm{4},i}},L)\cdot e(C_{\mathrm{2},i}{u}^{C_{\mathrm{5},i}},K_{\mathrm{1},i})\cdot e(C_{\mathrm{3},i},K_{\mathrm{2},i}))}^{{\omega }_i}=e{(g,w)}^{rs}，

A=e(K,C_{\mathrm{0}})=e{(g,g)}^{\frac{\alpha s}{z}}e{(g,w)}^{rs}e{(g,g)}^{rs}，

C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}}=\frac{A}{B\cdot P}=e{(g,g)}^{\frac{\alpha s}{z}}。

（8）\mathrm{D}\mathrm{e}\mathrm{c}(\mathrm{p}\mathrm{p},C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}},\mathrm{D}\mathrm{K})\to m。DU收到云代理服务器输出的C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}}后，通过解密密钥\mathrm{D}\mathrm{K}对消息m进行解密。m=\frac{C}{(C_{\mathrm{T}\mathrm{o}\mathrm{u}\mathrm{t}}{)}^z}。

（9）\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{S}\mathrm{a}\mathrm{n}\mathrm{i}\mathrm{t}\mathrm{y}\mathrm{C}\mathrm{h}\mathrm{e}\mathrm{c}\mathrm{k}(\mathrm{p}\mathrm{p},\mathrm{m}\mathrm{s}\mathrm{k},\mathrm{S}\mathrm{K})\to \mathrm{0}/\mathrm{1}。\mathrm{z}\in Z_p,K,L,K_u,K_{\mathrm{1},i},K_{\mathrm{2},i}\in G。

如果e(K,g^z)=e{(g,g)}^{\alpha }e(L^z,w)e(L^z,g)\ne \mathrm{1}，\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{S}\mathrm{a}\mathrm{n}\mathrm{i}\mathrm{t}\mathrm{y}\mathrm{C}\mathrm{h}\mathrm{e}\mathrm{c}\mathrm{k}算法返回1。否则返回0。

（10）\mathrm{T}\mathrm{r}\mathrm{a}\mathrm{c}\mathrm{e}(\mathrm{p}\mathrm{p},\mathrm{S}\mathrm{K},R)\to u/\perp。如果密钥\mathrm{S}\mathrm{K}不能通过\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{S}\mathrm{a}\mathrm{n}\mathrm{i}\mathrm{t}\mathrm{y}\mathrm{C}\mathrm{h}\mathrm{e}\mathrm{c}\mathrm{k}，算法将终止，并输出\perp。否则，算法执行如下：

① 二叉树中如果不存在与i_d相关联的用户节点，算法中止，输出\perp。

② 如果u\notin R，将u添加到R中，更新后的列表R\mathrm{\text{'}}=R\cup \{u\}。

（11）\mathrm{C}\mathrm{T}\mathrm{U}\mathrm{p}\mathrm{d}\mathrm{a}\mathrm{t}\mathrm{e}(\mathrm{C}\mathrm{T},R\mathrm{\text{'}},X\mathrm{\text{'}})\to CT\mathrm{\text{'}}。CA随机选择\eta \in Z_p，计算X\mathrm{\text{'}}=\{\eta \cdot x_i{\}}_{i=\mathrm{0}}^{\mathrm{2}|U|-\mathrm{2}}，设\mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R\mathrm{\text{'}})为最新撤销列表R\mathrm{\text{'}}相关联的最小覆盖集。给定j\mathrm{\text{'}}\in \mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R\mathrm{\text{'}})，有以下两种情况：

① 如果j=j\mathrm{\text{'}}，则T_j=T_j\mathrm{\text{'}}。

② 如果j是j\mathrm{\text{'}}的祖先，则\mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(j\mathrm{\text{'}})=\mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(j)\cup \{i_{\mathrm{d}\mathrm{e}\mathrm{p}\mathrm{t}(j)+\mathrm{1}},\cdots ,i_{\mathrm{d}\mathrm{e}\mathrm{p}\mathrm{t}(j\mathrm{\text{'}})}\}，其中i_{\mathrm{d}\mathrm{e}\mathrm{p}\mathrm{t}(j)}=j，i_{\mathrm{d}\mathrm{e}\mathrm{p}\mathrm{t}(j\mathrm{\text{'}})}=j\mathrm{\text{'}}。让Y_j=T_j并计算{Y_i}_{k+\mathrm{1}}=(Y_{i_k}{)}^{\frac{x_{i_{k+\mathrm{1}}}^{\mathrm{\text{'}}}}{x_{ik}^{\mathrm{\text{'}}}}}=y_{i_{k+\mathrm{1}}}^s，其中k=\mathrm{d}\mathrm{e}\mathrm{p}\mathrm{t}(j),\cdots ,\mathrm{d}\mathrm{e}\mathrm{p}\mathrm{t}(j\mathrm{\text{'}})。

最后更新的密文CT\mathrm{\text{'}}=\{R\mathrm{\text{'}},C,C_{\mathrm{0}},\{C_{\mathrm{1},i},C_{\mathrm{2},i},C_{\mathrm{3},i,}{C}_{\mathrm{4},i},C_{\mathrm{5},i}{\}}_i\in [l],\{T_{j\mathrm{\text{'}}}=y_{j\mathrm{\text{'}}}^s=g^{x_j\mathrm{\text{'}}\cdot s}{\}}_{j\mathrm{\text{'}}}\in \mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R\mathrm{\text{'}})\}\mathrm{。}

4 安全性证明

定理1 如果\mathrm{q}\mathrm{⁃}\mathrm{B}\mathrm{D}\mathrm{H}\mathrm{E}假设成立，则在选择明文攻击的条件下，任何攻击者都无法在多项式时间内以不可忽略的优势攻破本文方案。

证明 如果攻击者A在q次询问后，能够以不可忽略的优势\epsilon攻破本文方案，那么我们可以构造一个挑战者B，该挑战者B能够以不可忽略的优势\epsilon /\mathrm{2}攻破该假设。

Init：攻击者A将要挑战的策略(M^{\mathrm{*}},{\rho }^{\mathrm{*}})和撤销列表R^{\mathrm{*}}发送给挑战者B。

Setup：B必须向A提供系统的公共参数。为了做到这一点，B隐式地将方案的主密钥设置为\alpha =a^{q+\mathrm{1}}+\tilde{\alpha }，挑战者B随机选取\tilde{\alpha }\in Z_p，其中a，q是在假设中设置，\alpha为正确分布，a是理论上对A隐藏的信息。然后B选择随机指数\tilde{u},\tilde{v},\tilde{h}\in Z_p，使用假设给A提供以下公共参数：

g=g,w=g^a，

v=g^{\tilde{v}}\cdot {\prod _{(j,k\in [l,n])}(g^{\frac{a^k}{b_j}})}^{M_{j,k}^{\mathrm{*}}},u=g^{\tilde{u}}\cdot {\prod _{(j,k\in [l,n])}(g^{\frac{a^k}{b_j^{\mathrm{2}}}})}^{M_{j,k}^{\mathrm{*}}}，

h=g^{\tilde{h}}\cdot {\prod _{(j,k\in [l,n])}(g^{\frac{a^k}{b_j}})}^{-{\rho }^{\mathrm{*}}(j)M_{j,k}^{\mathrm{*}}}e{(g,g)}^{\alpha }=e(g^a,g^{a^q})\cdot e{(g,g)}^{\tilde{\alpha }}。

Phase１：攻击者A向挑战者B发起属性集(u_{\mathrm{1}},S_{\mathrm{1}})(u_{\mathrm{2}},S_{\mathrm{2}})\cdots (u_q,S_q)的密钥询问。

如果S不满足访问策略并且u\in R^{\mathrm{*}}，A随机选取向量\mathit{w}=\{w_{\mathrm{1}},w_{\mathrm{2},}{w}_{\mathrm{3}},\cdots ,w_n{\}}^{\mathrm{T}}\in Z_p，其中w_{\mathrm{1}}=-\mathrm{1}和M_i^{\mathrm{*}}\cdot \mathit{w}=\mathrm{0}。对于所有的i\in I=\{i|\rho (i)\in S\}，随机选取\tilde{r},z\in Z_p，隐式定义如下：

r=\tilde{r}+w_{\mathrm{1}}{a}^q+w_{\mathrm{2}}{a}^{q-\mathrm{1}}+\cdots +w_n{a}^{q+\mathrm{1}-n}=\tilde{r}+\sum _{i\in [n]}{w}_i{a}^{q+\mathrm{1}-i},

K_{\mathrm{0}}=g^{\frac{\alpha }{z}}{g}^r{w}^r=g^{\frac{\tilde{\alpha }}{z}}(g^a{)}^{\tilde{r}}{{\displaystyle \prod _{i=\mathrm{2}}^n}(g^{\frac{a^{q+\mathrm{1}-i}}{z}})}^{wi}{g}^{\tilde{r}}{{\displaystyle \prod _{i=\mathrm{2}}^n}(g^{a^{q+\mathrm{1}-i}})}^{wi}L=g^r=g^{\tilde{r}}\prod _{i\in [n]}(g^{a^{q+\mathrm{1}-i}}{)}^{w_i}。

假设\mathrm{p}\mathrm{a}\mathrm{t}\mathrm{h}(i_d)=\{i_{\mathrm{0}},\cdots ,i_d\}，因为u\in R^{\mathrm{*}}，所以i_d\in I_{R^{\mathrm{*}}},{x_i}_d={v_i}_d+d^{i_d}。

接下来，B计算K_u=(g^t{{\displaystyle \prod _{i=\mathrm{1}}^{n\mathrm{*}}}{g^{w_i}}^{d^{q+\mathrm{1}-i}})}^{\frac{\mathrm{1}}{(v_{id}+d^{id})\cdot (a+c)}}=g^{\frac{r}{x_{id}}}。

此外，对于所有i\in [|S|]，计算K_{\mathrm{1},i}=g^{r_i}和K_{\mathrm{2},i}=(u^{A_i}{h)}^{r_i}{v}^{-r}。

计算(u^{A_i}{h)}^{r_i}，对于每个属性A_i\in S进行隐式定义：

r_i={\tilde{r}}_i+r\cdot \sum _{\begin{array}{l}i\mathrm{\text{'}}\in [l]\\ {\rho }^{\mathrm{*}}(i\mathrm{\text{'}})\notin S\end{array}}\frac{b_{i\mathrm{\text{'}}}}{A_i-{\rho }^{\mathrm{*}}(i\mathrm{\text{'}})}={\tilde{r}}_i+r\cdot \sum _{\begin{array}{l}i\mathrm{\text{'}}\in [l]\\ {\rho }^{\mathrm{*}}(i\mathrm{\text{'}})\notin S\end{array}}\frac{b_{i\mathrm{\text{'}}}}{A_i-{\rho }^{\mathrm{*}}(i\mathrm{\text{'}})}+\sum _{\begin{array}{l}(i,i\mathrm{\text{'}})\in [n,l]\\ {\rho }^{\mathrm{*}}(i\mathrm{\text{'}})\notin S\end{array}}\frac{w_i{b}_{i\mathrm{\text{'}}}{a}^{q+\mathrm{1}-i}}{A_i-{\rho }^{\mathrm{*}}(i\mathrm{\text{'}})}。

计算K_{\mathrm{2},i}=(u^{A_i}{h)}^{r_i}{v}^{-r}。

其中

\Psi =(u^{Ai}{h)}^{{\tilde{r}}_i}\cdot (K_{i,\mathrm{1}}/g^{\tilde{r}i}{)}^{\tilde{u}Ai+\tilde{h}}\cdot {\prod _{\begin{array}{l}(i\text{'},j,k\in [l,l,n])\\ {\rho }^{*}(i\text{'})\notin S\end{array}}({g^{b_{i\text{'}}{a}^k}}^{/b_j^{\mathrm{2}}})}^{\tilde{r}(Ai-{\rho }^{\mathrm{*}}(j))M_{j,k}^{\mathrm{*}}/(Ai-{\rho }^{\mathrm{*}}(i\mathrm{\text{'}}))}\cdot {\prod _{\begin{array}{l}(i,i\text{'},j,k\in [n,l,l,n])\\ {\rho }^{*}(i\text{'})\notin S\end{array}}(g^{b_{i\text{'}}{a}^{q+\mathrm{1}+k-i}/b_j^{\mathrm{2}}})}^{(Ai-{\rho }^{\mathrm{*}}(j))w_i{M}_{j,k}^{\mathrm{*}}/(Ai-{\rho }^{\mathrm{*}}(i\mathrm{\text{'}}))}

K_{\mathrm{1},i}=g^{r_i}=g^{\tilde{r}i}\cdot {{\prod _{\begin{array}{l}i\text{'}\in [l]\\ {\rho }^{*}(i\text{'})\notin S\end{array}}(g^{b_{i\text{'}}})}^{\tilde{r}/}}^{(Ai-{\rho }^{\mathrm{*}}(i\mathrm{\text{'}}))}\cdot {{\prod _{\begin{array}{l}(i,i\text{'})\in [n,l]\\ {\rho }^{*}(i\text{'})\notin S\end{array}}(g^{b_{i\text{'}}{a}^{q+\mathrm{1}-i}})}^{w_i/}}^{(Ai-{\rho }^{\mathrm{*}}(i\mathrm{\text{'}}))}。

(u^{A_i}{h)}^{r_i}的第二部分恰好与v^{-r}有问题的部分抵消。因此挑战者可以为所有的A_i\in S计算K_{\mathrm{1},i}和K_{\mathrm{2},i}，并将密钥sk=\{K,L,K_u,K_{\mathrm{1},i},K_{\mathrm{2},i}\}发送给攻击者A。

Challenge：攻击者将输出一对相同长度的消息(m_{\mathrm{0}},m_{\mathrm{1}})。在此阶段，挑战者抛出随机硬币b\in \{\mathrm{0,1}\}并构造 C=m_b\cdot T\cdot e{(g,g)}^{\tilde{\alpha }s}，C_{\mathrm{0}}=g^s，其中T是挑战项，g^s是假设的对应项。

挑战者设置\mathit{y}=(s,sa+{\tilde{y}}_{\mathrm{2}},s{a}^{\mathrm{2}}+{\tilde{y}}_{\mathrm{3}},\cdots ,s{a}^{n-\mathrm{1}}+{\tilde{y}}_n{)}^{\perp }，其中({\tilde{y}}_{\mathrm{2}},{\tilde{y}}_{\mathrm{3}},\cdots ,{\tilde{y}}_n)\in Z_p。由于\mathit{\lambda }=\mathit{M}\cdot \mathit{y}，本文有{\lambda }_T=\sum _{i\in [n]}{M}_{T,i}^{\mathrm{*}}s{a}^{i-\mathrm{1}}+{\displaystyle \sum _{i=\mathrm{2}}^n}{M}_{T,i}^{\mathrm{*}}\tilde{y}i=\sum _{i\in [n]}{M}_{T,i}^{\mathrm{*}}s{a}^{i-\mathrm{1}}+{\tilde{\lambda }}_T。{\tilde{\lambda }}_T={\displaystyle \sum _{i=\mathrm{2}}^n}{M}_{T,i}^{\mathrm{*}}\tilde{y}i挑战者已知，对于每一行T\in [l]，挑战者B隐式设置t_T=-s{b}_T，利用以上，B可以计算出：

\begin{array}{c}{C}_{\mathrm{1},T}=w^{{\lambda }_T^{\mathrm{\text{'}}}}{v}^{t_T}=w^{{\tilde{\lambda }}_T^{\mathrm{\text{'}}}}\cdot {\prod _{i\in [n]}{g}^{M_{T,i}^{\mathrm{*}}}}^{sai}\cdot (g^{s{b}_T}{)}^{-\tilde{v}}\cdot w^{{\tilde{\lambda }}_T^{\mathrm{\text{'}}}}\cdot \prod _{(j,k)\in [l,n]}{g}^{-M_{j,k}^{\mathrm{*}}{a}^{k}s{b}_T/b_j^{}}=w^{{\tilde{\lambda }}_T^{\mathrm{\text{'}}}}\cdot (gs{b}_T{)}^{-\tilde{v}}\cdot \prod _{\begin{array}{l}(j,k)\in [l,n]\\ j\ne T\end{array}}(g^{s{a}^k{b}_T/b_j^{}}{)}^{-M_{j,k}^{\mathrm{*}}}\\ C_{\mathrm{2},T}=(u^{\rho \mathrm{*}(T)}{h)}^{-t_T}=(g^{s{b}_T}{{{{)}^{-}}^{(\tilde{u}}}^{\rho \mathrm{*}(T)}}^{+\tilde{h})}\cdot {(\prod _{(j,k)\in [l,n]}{g}^{(\rho \mathrm{*}(T)-\rho \mathrm{*}(j))M_{j,k}^{\mathrm{*}}{a}^k/b_j^{\mathrm{2}}})}^{-s{b}_T}=\\ (g^{s{b}_T}{{{{)}^{-}}^{(\tilde{u}}}^{\rho \mathrm{*}(T)}}^{+\tilde{h})}\cdot \prod _{\begin{array}{l}(j,k)\in [l,n]\\ j\ne T\end{array}}(g^{s{a}^k{b}_T/b_j^{\mathrm{2}}}{)}^{-(\rho \mathrm{*}(T)-\rho \mathrm{*}(j))M_{j,k}^{\mathrm{*}}},\\ C_{\mathrm{3},T}=g^{t_T}=(g^{s{b}_T}{)}^{-\mathrm{1}}\mathrm{。}\end{array}

此外，挑战者B随机选取{\beta }_T,{\epsilon }_T\in Z_p，挑战者B计算：C_{\mathrm{4},T=}{\beta }_T,C_{\mathrm{5},T=}{\epsilon }_T\mathrm{。}

\forall j\in \mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R^{\mathrm{*}})，有x_j=v_j+d^q和y_j=g^{v_j}+d^q，然后B计算出T_j=(g^s{)}^{v_j+d^q}=y_j^s。

注意，通过使用t_T=-s{b}_T，与w^{{\lambda }_T^{\mathrm{\text{'}}}}的未知次幂相抵消。因此挑战者B将密文CT=(C,C_{\mathrm{0}},\{C_{\mathrm{1},i},C_{\mathrm{2},i},C_{\mathrm{3},i},C_{\mathrm{4},i},C_{\mathrm{5},i}{\}}_i\in [l],\{T_j{\}}_j\in \mathrm{c}\mathrm{o}\mathrm{v}\mathrm{e}\mathrm{r}(R)\})交给攻击者A。

Phase2：与查询阶段１相同。

Guess：攻击者为挑战位输出一个猜测b\mathrm{\text{'}}。如果b\mathrm{\text{'}}=b，挑战者B输出0，即它声称挑战项是T=e{(g,g)}^{s{a}^{q+\mathrm{1}}}，否则输出1。

如果T=e{(g,g)}^{s{a}^{q+\mathrm{1}}}，则A进行了安全游戏，即可计算C=m_b\cdot T\cdot e{(g,g)}^{\tilde{\alpha }s}=m_b\cdot e{(g,g)}^{\alpha s}。如果攻击者A以不可忽略的优势攻破了方案，那么挑战者B就能以不可忽略的优势攻破\mathrm{q}-\mathrm{B}\mathrm{D}\mathrm{H}\mathrm{E}假设。因此证明了定理1。

定理2 对于任何PPT敌手来说，本文方案的PolicyHide算法是安全的。

证明 通过构造一个满足方程1和2的模拟器来证明该定理。在此场景中，DO为A，DU为B。A在模拟器中计算相关参数，B得到最终结果，在这个场景中不会出现公式2。在交集中有如下两种情况：假设构建了模拟器S_{\mathrm{1}}，f_A(x,y)=f_B(x,y)=(Y\subset X)，并让(X,f_A(X,Y))作为输入：

f_A(X,Y)=f_B(X,Y)=(Y\subset X),f_A(X,Y)=f_B(X,Y)=(Y\not\subset X)。

（1）S_{\mathrm{1}}取(X,Y\subset X)作为输入。首先它随机选择持有f_A(X,Y)=f_A(X,\overline{Y})的集合\overline{Y}={\overline{y}}_{\mathrm{1}},{\overline{y}}_{\mathrm{2}},\cdots ,{\overline{y}}_m。然后S_{\mathrm{1}}为X传导多项式f(x)，其中A=(a_{\mathrm{0}},a_{\mathrm{1}},\cdots ,a_n)为f的系数集。

（2）S_{\mathrm{1}}选择一个较大的随机元素r^{\mathrm{\text{'}}}\in Z_p。它根据A来计算{\vec{A}}^{\mathrm{\text{'}}}=(g^{r^{\mathrm{\text{'}}}{a}_{\mathrm{0}}},g^{r^{\mathrm{\text{'}}}{a}_{\mathrm{1}}},\cdots ,g^{r^{\mathrm{\text{'}}}{a}_n})。然后，它计算\vec{B}=(m,({\overline{y}}_{\mathrm{1}}+{\overline{y}}_{\mathrm{2}}+\cdots {\overline{y}}_m),\cdots ,({\overline{y}}_{\mathrm{1}}^{-n}+{\overline{y}}_{\mathrm{2}}^{-n}+\cdots +{\overline{y}}_m^{-n}))。实体A也选择一个较大的随机元素r\in Z_p进行计算\vec{A}=(g^{r{a}_{\mathrm{0}}},g^{r{a}_{\mathrm{1}}},\cdots ,g^{r{a}_n})。

（3）S_{\mathrm{1}}的计算如下：C^{\mathrm{\text{'}}}=g^{r^{\mathrm{\text{'}}}{a}_{\mathrm{0}}m}\cdot g^{r^{\mathrm{\text{'}}}{a}_{\mathrm{1}}({\overline{y}}_{\mathrm{1}}+{\overline{y}}_{\mathrm{2}}+\cdots +{\overline{y}}_m)}\cdot (\cdots )\cdot g^{r^{\mathrm{\text{'}}}{a}_n({\overline{y}}_{\mathrm{1}}^{-n}+{\overline{y}}_{\mathrm{2}}^{-n}+\cdots +{\overline{y}}_m^{-n})}=g^{r^{\mathrm{\text{'}}}[f({\overline{y}}_{\mathrm{1}})+\cdots +f({\overline{y}}_m)]}，实体B的计算如下：C=g^{r{a}_{\mathrm{0}}m}\cdot g^{r{a}_{\mathrm{1}}({\overline{y}}_{\mathrm{1}}+{\overline{y}}_{\mathrm{2}}+\cdots +{\overline{y}}_m)}\cdot (\cdots )\cdot g^{r{a}_n({\overline{y}}_{\mathrm{1}}^{-n}+{\overline{y}}_{\mathrm{2}}^{-n}+\cdots +{\overline{y}}_m^{-n})}=g^{r[f({\overline{y}}_{\mathrm{1}})+\cdots +f({\overline{y}}_m)]}。

然后，\mathrm{v}\mathrm{i}\mathrm{e}{\mathrm{w}}_A(X,Y)=\{X,A,\vec{A},r\}，S_{\mathrm{1}}(X,Y)=\{X,A,{\vec{A}}^{\mathrm{\text{'}}},r^{\mathrm{\text{'}}},C^{\mathrm{\text{'}}}\}，f_B(X,Y)=\mathrm{o}\mathrm{u}\mathrm{t}\mathrm{p}\mathrm{u}{\mathrm{t}}_B(X,Y)=\{C\}。根据假设，我们得到C^{\mathrm{\text{'}}}=C=(Y\in X)。当r^{\mathrm{\text{'}}}=r，{\vec{A}}^{\mathrm{\text{'}}}=\vec{A}。因此公式1成立。

5 方案分析

5.1　功能对比

将本文提出的策略完全隐藏的可追踪可撤销的CP-ABE方案与其他基于策略隐藏、大宇宙、在线/离线、解密测试、外包解密、追踪和撤销功能的CP-ABE方案［10］和［20］进行比较，对比结果如表1所示。

从表1中可以看出，TR-CPABE（Traceable and Revocable Ciphertext Policy Attribute-based Encryption）^［10］和FH-CPABE（Fully Hidden Ciphertext Policy Attribute-based Encryption）^［10］都不支持在线/离线加密技术，FH-CPABE^［12］虽然支持外包解密，但不支持密钥的追踪和用户的撤销，因此该方案不具有实用性。TR-CPABE ^［20］支持追踪和撤销，但不支持策略完全隐藏和大宇宙，方案不具有可扩展性。本方案结合了TR-CPABE ^［20］和FH-CPABE ^［10］的优点，同时支持全隐藏、大宇宙、在线/离线、解密测试、外包解密、追踪撤销的功能，因此具有更强可用性。

5.2　存储成本对比

存储开销是访问控制方案中最重要的问题之一。令|e_T|为G_T中的元素大小，|e|为G和Z_p中的元素大小，l为策略中属性的个数，s为用户属性集中的属性个数，|c|为密文大小，M为客户端存储的数字对的平均个数，S_{\mathrm{m}\mathrm{a}}为最小授权集。

从表2中可以看出，本方案的密文分布在不同的服务器上。但在TR-CPABE^［20］中，云服务器负责存储所有密文，当多个用户同时访问时，会有较大的延迟。同时，TR-CPABE^［20］中的策略密文通常随着系统中属性集的增加而增加，而本方案的策略密文随着{\sum }_{j=\mathrm{1}}^N|S_{ma}|的值而增加，S_{\mathrm{m}\mathrm{a}}的值取决于策略的复杂度。

5.3　实验分析

为了进一步评价本方案的性能，在PyCharm编译器中引入Charm库^［27］，用Python实现了本方案、TR-CPABE ^［20］和FH-CPABE ^［10］。实验运行环境如下：操作系统为Linux，镜像为Ubuntu 18.04.6，运行内存4 GB。访问策略中的属性数量从 0 增加到 25，同时满足访问策略的用户属性数量也从0增加到25，实验一共进行50次，取均值为最终结果。

如图4所示，在初始化方面，文献［10］中FH-CPABE的初始化时间花费少，因为此方案没有追踪和撤销功能，而本方案和TR-CPABE^［20］为了实现追踪和撤销，在初始化阶段需要初始化一个二叉树，因此消耗的时间比FH-CPABE^［10］长。如图5所示，在密钥生成方面，三个方案密钥生成消耗的时间均与属性数量呈线性关系。如图6所示，在数据拥有者加密方面，TR-CPABE ^［20］和FH-CPABE^［10］加密所需时间与属性数量呈线性关系，而本文方案呈常量级，因为本方案加密阶段把大量计算转移到离线阶段，在线阶段只需要执行轻量级操作。如图7所示，在数据用户解密方面，TR-CPABE ^［20］的解密时间与属性数量呈线性关系，而FH-CPABE^［10］和本方案的解密时间呈常量级，因为大部分解密到外包到代理云服务器，用户只需要执行少量解密运算。在本方案中，有一个主要因素影响策略隐藏的时间，即策略的复杂性。实验中，本方案使用两个简单的值来表示复杂度：最小授权集的平均大小|S_{\mathrm{m}\mathrm{a}}|和最小授权集的数量N。从图8中可以看出，策略隐藏时间随着策略复杂度的增加而增加。

综上所述，本方案兼并了文献［20］TR-CPABE和文献［10］FH-CPABE的优点，功能更丰富，实用性更强，并且在加密和解密阶段所消耗时间达到了常量级。整体来看，本方案的表现力更强。

6 结论

本文提出了一个具有策略完全隐藏的属性基加密方案，有效地解决了医疗系统中数据所有者的隐私和数据安全性问题，在保护用户隐私的基础上增加了追踪和撤销功能，使方案更具有可用性。方案使用PSI技术实现了策略的完全隐藏，使用在线/离线技术提高了算法的加密速度，采用外包解密技术，将大部分密文给医疗云服务器计算，从而降低用户的计算开销。此外，本方案可以根据用户的解密密钥追踪用户，使用与用户信息相关联的二叉树的叶节点值来撤销用户。最后通过困难性假设证明了该方案的安全性。

参考文献

[1] WANG C G, BI Z M, XU L D. IoT and Cloud Computing in Automation of Assembly Modeling Systems[J]. IEEE Trans Ind Inform, 2014, 10(2): 1426-1434. DOI: 10.1109/TII.2014.2300346 .

[2] XU B Y, XU L D, CAI H M, et al. The Design of an M-health Monitoring System Based on a Cloud Computing Platform[J]. Enterp Inf Syst, 2017, 11(1): 17-36. DOI: 10.1080/17517575.2015.1053416 .

[3] SAHAI A, WATERS B. Fuzzy Identity-based Encryption[C]//Proceedings of the 24th annual international conference on Theory and Applications of Cryptographic Techniques. New York: ACM, 2005: 457-473. DOI: 10.1007/11426639_27 .

[4] BETHENCOURT J, SAHAI A, WATERS B. Ciphertext-policy Attribute-based Encryption[C]//2007 IEEE Symposium on Security and Privacy (SP '07). New York: IEEE, 2007: 321-334. DOI: 10.1109/SP.2007.11 .

[5] GOYAL V, PANDEY O, SAHAI A, et al. Attribute-based Encryption for Fine-grained Access Control of Encrypted Data[C]//Proceedings of the 13th ACM conference on Computer and communications security. New York: ACM, 2006: 89-98. DOI: 10.1145/1180405.1180418 .

[6] NISHIDE T, YONEYAMA K, OHTA K. Attribute-based Encryption with Partially Hidden Encryptor-specified Access Structures[C]//Proceedings of the 6th international conference on Applied cryptography and network security. New York: ACM, 2008: 111-129. DOI: 10.5555/1788857.1788864 .

[7] ZHANG Y H, CHEN X F, LI J, et al. Anonymous Attribute-based Encryption Supporting Efficient Decryption Test[C]//Proceedings of the 8th ACM SIGSAC symposium on Information, computer and communications security. New York: ACM, 2013: 511-516. DOI: 10.1145/2484313.2484381 .

[8] YANG K, HAN Q, LI H, et al. An Efficient and Fine-grained Big Data Access Control Scheme with Privacy-preserving Policy[J]. IEEE Internet Things J, 2017, 4(2): 563-571. DOI: 10.1109/JIOT.2016.2571718 .

[9] ZHANG Z Q, ZHANG J B, YUAN Y L, et al. An Expressive Fully Policy-hidden Ciphertext Policy Attribute-based Encryption Scheme with Credible Verification Based on Blockchain[J]. IEEE Internet Things J, 2022, 9(11): 8681-8692. DOI: 10.1109/JIOT.2021.3117378 .

[10] YANG L, LI C, CHENG Y T, et al. Achieving Privacy-preserving Sensitive Attributes for Large Universe Based on Private Set Intersection[J]. Inf Sci, 2022, 582: 529-546. DOI: 10.1016/j.ins.2021.09.034 .

[11] XUE J, SHI L, ZHANG W, et al. Poly-ABE: A Traceable and Revocable Fully Hidden Policy CP-ABE Scheme for Integrated Demand Response in Multi-Energy Systems[J]. J Syst Architect, 2023, 143: 102982. DOI: 10.1016/j.sysarc.2023.102982 .

[12] LUO C, SHI J, XIE M, et al. A Lightweight Access Control Scheme Supporting Policy Hidden Based on Path Bloom Filter[C]//International Conference on Information Security and Cryptology. Singapore: Springer Nature Singapore, 2023: 433-451. DOI: 10.1007/978-981-97-0942-7_22 .

[13] LIU Z, CAO Z F, WONG D S. White-box Traceable Ciphertext-policy Attribute-based Encryption Supporting any Monotone Access Structures[J]. IEEE Trans Inf Forensics Secur, 2013, 8(1): 76-88. DOI: 10.1109/TIFS.2012.2223683 .

[14] NING J T, DONG X L, CAO Z F, et al. White-box Traceable Ciphertext-policy Attribute-based Encryption Supporting Flexible Attributes[J]. IEEE Trans Inf Forensics Secur, 2015, 10(6): 1274-1288. DOI: 10.1109/TIFS.2015.2405905 .

[15] NING J T, CAO Z F, DONG X L, et al. Large Universe Ciphertext-policy Attribute-based Encryption with White-box Traceability[C]//Computer Security-ESORICS 2014. New York: ACM,: 55-72. DOI: 10.1007/978-3-319-11212-1_4 .

[16] NING J T, CAO Z F, DONG X L, et al. White-box Traceable CP-ABE for Cloud Storage Service: How to Catch People Leaking Their Access Credentials Effectively[J]. IEEE Trans Dependable Secure Comput, 2018, 15(5): 883-897. DOI: 10.1109/TDSC.2016.2608343 .

[17] LIU Z H, DUAN S H, ZHOU P L, et al. Traceable-then-revocable Ciphertext-policy Attribute-based Encryption Scheme[J]. Future Gener Comput Syst, 2019, 93(C): 903-913. DOI: 10.1016/j.future.2017.09.045 .

[18] WANG S P, GUO K K, ZHANG Y L. Traceable Ciphertext-policy Attribute-based Encryption Scheme with Attribute Level User Revocation for Cloud Storage[J]. PLoS One, 2018, 13(9): e0203225. DOI: 10.1371/journal.pone.0203225 .

[19] LIAN H J, WANG G B, WANG Q X. Fully Secure Traceable and Revocable-storage Attribute-based Encryption with Short Update Keys via Subset Difference Method[C]//2018 Third International Conference on Security of Smart Cities, Industrial Control System and Communications (SSIC). New York: IEEE, 2018: 1-8. DOI: 10.1109/SSIC.2018.8556734 .

[20] HAN D Z, PAN N N, LI K C. A Traceable and Revocable Ciphertext-policy Attribute-based Encryption Scheme Based on Privacy Protection[J]. IEEE Trans Dependable Secure Comput, 2022, 19(1): 316-327. DOI: 10.1109/TDSC.2020.2977646 .

[21] LIU Z C, JIANG Z L, WANG X, et al. Practical Attribute-based Encryption: Outsourcing Decryption, Attribute Revocation and Policy Updating[J]. J Netw Comput Appl, 2018, 108: 112-123. DOI: 10.1016/j.jnca.2018.01.016 .

[22] CUI H, WAN Z G, WEI X L, et al. Pay as you Decrypt: Decryption Outsourcing for Functional Encryption Using Blockchain[J]. IEEE Trans Inf Forensics Secur, 2020, 15: 3227-3238. DOI: 10.1109/TIFS.2020.2973864 .

[23] GREEN M, HOHENBERGER S, WATERS B. Outsourcing the Decryption of ABE Ciphertexts[C]//Proceedings of the 20th USENIX conference on Security. New York: ACM, 2011: 34. DOI: 10.5555/2028067.2028101 .

[24] LI J, CHEN X F, LI J W, et al. Fine-grained Access Control System Based on Outsourced Attribute-based Encryption[C]//European Symposium on Research in Computer Security. Berlin, Heidelberg: Springer, 2013: 592-609.10.1007/978-3-642-40203-6_33

[25] HOHENBERGER S, WATERS B. Online/Offline Attribute-based Encryption[C]//International Workshop on Public Key Cryptography. Berlin, Heidelberg: Springer, 2014: 293-310.10.1007/978-3-642-54631-0_17

[26] DATTA P, DUTTA R, MUKHOPADHYAY S. Fully Secure Online/Offline Predicate and Attribute-based Encryption[C]//International Conference on Information Security Practice and Experience. Cham: Springer, 2015: 331-345.10.1007/978-3-319-17533-1_23

[27] AKINYELE J A, GARMAN C, MIERS I, et al. Charm: a framework for rapidly prototyping cryptosystems[J]. J Cryptogr Eng, 2013, 3:111-128. DOI: 10.1007/s13389-013-0057-3 .

基金资助

山西省自然科学基金(202203021221012)