云环境中细粒度的数据安全共享方案

Fine-Grained Data Security Sharing Scheme in Cloud

摘要

针对云环境下数据安全共享过程中访问策略的更新以及加解密运算面临的高计算开销问题，提出一种灵活的、符合安全规则的细粒度存储方案ACSBPA。基于代理重加密进行算法改进，对多权限云中的数据进行分类共享，重加密阶段通过减少双线性映射实现对性能需求的优化；结合改进的属性加密算法，在减少双线性运算的基础上融入基于属性的访问策略，实现粒度细化、具有安全性的访问控制模型。实验结果表明，本文提出的方案在重加密阶段不涉及双线性映射，降低了第三方云服务器计算开销，在加解密阶段降低了用户的计算性能需求。与其他方案相比，本文方案在计算效率和策略更新方面具有优势。

Abstract

Aiming at the updating of access policy and the high computational overhead of encryption and decryption in the process of data security sharing in cloud, a new scheme with flexible access policy and security is proposed. The data in multi-privilege cloud is classified and shared, which is improved based on proxy re-encryption. In the re-encryption stage, performance requirements are optimized by reducing bilinear mapping. Combined with the improved attribute encryption algorithm, the attribution-based access strategy is integrated by reducing bilinear operation to achieve a fine-grained and secure access control model. Through experimental comparison and analysis, the proposed scheme (ACSBPA) does not involve bilinear mapping,which reduces the computing overhead of the third-party cloud server in the encryption phase and the user’s demand for computing performance in the encryption and decryption phase. Compared with other schemes, the experimental results verify the advantages of this scheme in computing efficiency and policy updating.

Graphical abstract

关键词

云存储 / 属性加密 / 代理重加密 / 细粒度 / 数据共享

Key words

cloud storage / attribute-base encryption / proxy re-encryption / fine-grained / data sharing

0　 引 言

云计算技术受到越来越多用户的青睐，其主要原因是该技术的弹性计算、海量存储、便捷访问等优点。由于用户以及用户数据爆发性地增长，系统面临着崩溃和被黑客攻击的危险^［1］。此外，数据安全成为了云服务发展的瓶颈，面对这一亟须解决的问题，学者们提出了多种多样的解决方法。Bell等^［2］提出强制访问模型（mandatory access control，MAC）的概念，所有资源都由系统控制并受MAC策略的约束。要访问基于MAC的系统中的资源，主体必须持有该资源所需的适当安全许可及其安全分类。自主访问控制模型（discretionary access control，DAC）的访问控制策略可以看成一个矩阵，通过该访问控制矩阵实现对请求合法性的判定^［3］，客体的所有者负责管理该客体的访问授权，有权分配、更改该客体的属性信息。Galindo引入了一种基于身份的加密（identity-based encryption，IBE）方案，其中发送方可以使用接收方的身份作为加密消息的公钥^［4］。 Xu等^［5］和 Shen等^［6］分别提出了一种改进的代理重加密算法（proxy re-encryption，PRE），通过减少双线性运算提高系统的运行效率。Oh等^［7］提出基于角色的访问控制（role based access control，RBAC）的方案，融入了自下而上的权限角色管理方法。Goyal等^［8］提出基于属性加密（attribute-based encryption，ABE）的方案，密文被标记为一组属性，私有密钥与控制用户能够解密哪些密文的访问结构相关联。后续全同态加密算法（fully homomorphic encryption，FHE）^［9，10］和密文搜索算法等也相继提出。

上述方案或模型面临一个问题，就是当用户数据访问策略发生改变时，必须由用户对数据进行重新加密，并需要将加密后的文件重新上传云端，这势必产生不可忽略的计算和通信开销。直至目前，有大量的研究对访问模型中策略变化和策略更新进行了探索^{［11，12］}，并且所提出的方案将重加密过程中所需要优质的网络资源和计算资源转移给专用代理（云服务器）。虽然之前的部分研究降低了用户物理机的性能需求，使用户得到了极大的便利，但是并未很好地降低第三方云服务器所需要的性能需求。

针对以上问题，本文提出了优化的、低成本的、安全的细粒度数据共享方案，通过降低重加密阶段的计算复杂度极大限度地降低了第三方云服务器的性能需求，主要创新点为：

1） 针对多权限云中的数据，提出灵活、安全的访问控制模型，即使云服务提供商不可信，也能保证数据安全；

2） 将基于改进的代理重加密技术与改进的基于属性加密技术相结合，减少双线性运算次数，提高系统的运行效率，降低了云服务器的计算资源；

3） 制定高效的策略更新方案，降低计算开销。

1　 相关理论知识

本节针对改进方案中涉及的基本理论知识进行了描述，包含双线性映射、Fisher-Yates scrambling算法以及基于属性的加密。其中，Fisher-Yates scrambling算法为随机置乱算法，在方案中可以对加密后的密文进行再次随机置乱，以确保方案的安全性。

1.1　双线性映射

定义1 （双线性映射^［5，6］）：当映射函数e:G_{\mathrm{1}}\times G_{\mathrm{2}}\to G_T满足以下条件时，称之为双线性映射：

1） G_{\mathrm{1}},G_{\mathrm{2}},G_T是q阶的群，其中q是素数；

2） 对于所有a,b\in {\mathrm{\mathbb{Z}}}_q^{\mathrm{*}},G_{\mathrm{1}}的生成元g，满足e(g^a,g^b)=e{(g,g)}^{ab}；

3） 非退化性，即如果g是G_{\mathrm{1}}的成员，那么e(g,g)是G_T的成员；

4） e是可计算的，对于所有的p,q\in G_{\mathrm{1}}，存在有效算法，可以计算出e(p,q)。

1.2　Fisher-Yates scrambling算法

定义2 （Fisher-Yates scrambling^［13］）：Fisher-Yates随机置乱算法也称为Knuth算法，是一种经典的shuffle算法。该算法的本质是生成随机排列的有限集。这个算法是无偏的，总数为n!，每种排列都有相同的概率。该算法效率很高，时间复杂度为O(n)，不需要额外的存储空间。对于序列A\left[n\right]，执行以下步骤：

1） 令；

2） 生成一个随机整数；

3） 交换A_i和A_j的值，且i=i-\mathrm{1}；

4） 重复2），3），直到i=\mathrm{1}时停止重复。

对于执行Fisher-Yates scrambling算法之后的数组，我们定义为：A\{j,n\}\rightleftharpoons \vartheta \{j,n\}。

1.3　基于属性加密

基于密文策略的属性加密（ciphertext-policy ABE，CP-ABE），Bethencourt，Sahai和Waters提供了一种加密方案^［14］，该方案基于属性的加密工作，能够将复杂的基于树的访问策略嵌入到密文中，比基于密钥策略的属性加密（key-policy ABE，KP-ABE）性能更好。CP-ABE还引入了“变量属性”，它使用一组传统属性来表示可以通过更复杂的操作（包括>，<，< >和=）进行评估的值。通过以下步骤完成：对于介于0和某个系统定义的最大值之间的给定十进制整数，首先将值转换为二进制，然后为每个位创建一个属性。例如，可以使用“access_level_flexint_1xxx OR（access_level _flexint_x1xx AND（access_level _flexint_xx1x OR access_level _flexint_xxx1））”策略来强制执行“>5”，该策略将创建访问树。

2　 细粒度访问策略设计

本节阐述所提出方案中的细粒度访问策略设计，其中包含方案流程、算法设计，详细描述了细粒度访问策略模块设计、核心算法的执行流程。

2.1　方案流程

本文提出的基于改进的代理重加密与属性加密结合的访问策略（ACSBPA）方案由初始化算法\mathrm{S}\mathrm{e}\mathrm{t}\mathrm{u}{\mathrm{p}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()，密钥生成算法\mathrm{E}\mathrm{x}\mathrm{t}\mathrm{r}\mathrm{a}\mathrm{c}{\mathrm{t}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()，初始加密算法\mathrm{E}\mathrm{n}{\mathrm{c}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()，重加密密钥生成算法\mathrm{R}\mathrm{K}\mathrm{E}\mathrm{x}\mathrm{t}\mathrm{r}\mathrm{a}\mathrm{c}{\mathrm{t}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()，代理重加密算法\mathrm{R}\mathrm{e}\mathrm{E}\mathrm{n}{\mathrm{c}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()，初始密文解密算法\mathrm{D}\mathrm{e}\mathrm{c}{\mathrm{1}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()和重加密密文解密算法\mathrm{D}\mathrm{e}\mathrm{c}{\mathrm{2}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()）七个算法组成。

如图1所示，方案的主要组成部分实体部分有：属性管理机构（attribute management agency， AMA），密钥生成中心（key generation center， KGC），数据拥有者（data owner， DO），数据请求者（data recipient，DR）以及云服务提供商（cloud service provider， CSP）。

方案中各实体之间的交互描述如下。

1） 数据拥有者与属性管理机构交互：在属性管理机构中记录了数据拥有者的属性值，在初次加密时，数据拥有者可以设置访问策略来限制访问加密文件的权限，同时数据拥有者的属性值也限制了其访问数据的权限以及范围；当用户为数据请求者时也需要与属性管理机构交互，完成用户数据请求者的属性注册。属性管理机构存储了数据拥有者、数据请求者的属性值，当访问策略需要更新时，数据拥有者从属性管理机构获取数据接收者的属性值，更新访问策略，对明文执行加密或重加密操作。

2） 属性管理机构与密钥生成中心交互：属性管理机构将用户初始的属性值、变化后的属性发送到密钥生成中心，密钥生成中心根据用户未更改和已更改的属性为用户生成最新的基于属性的密钥、传统的公私密钥对、对称加密密钥。

3） 密钥生成中心与数据请求者交互：数据请求者根据数据不同的存储方式向密钥生成中心请求密钥，若需要存储于云端，则密钥生成中心发送给数据拥有者加密数据所需要的所有私钥。

4） 数据拥有者和云服务提供商交互：数据拥有者制定基于CP-ABE的密文访问控制策略，使用获得的密钥、参数、访问策略对数据加密并上传至云端。在此阶段，密文采取树结构访问控制策略，用户的密钥与属性集有关，只有当用户满足访问控制策略才能解密密文。

5） 数据请求者与云服务提供商交互：数据请求者申请访问数据，只有符合访问策略则可以将初次加密后的密文转换为明文。交互至此，在执行完1），2），3），4），5）后，完成了密文初次共享。

6） 密钥生成中心与云服务提供商交互：密钥生成中心将重加密密钥发送到云服务提供商端，云服务提供商使用基于数据拥有者和数据请求者生成的重加密密钥对初次加密的密文重加密，最后将重加密密文存储于云服务提供商。

7） 数据请求者与数据拥有者交互：若数据请求者属于数据拥有者指定的新的属性集，则数据拥有者通过秘密通道将基于属性的私钥发送到数据请求者端；若数据请求者不属于数据拥有者指定的新的属性集，则无法获取基于属性的私钥及重加密后的密文。

8） 数据请求者与云服务提供商交互：数据请求者从CSP端获取密文，使用由数据拥有者通过秘密通道发送的基于属性的密钥、自身的传统的公私密钥对、系统参数、重加密密文作为解密条件，将密文转换为明文。交互到此阶段，在执行完1）、2）、3）、4）、6）、7）、8）后完成了密文的重加密共享。

在本方案中，由发送方制定访问控制策略。密文采取树结构访问控制策略，数据访问者密钥与属性集有关，只有当数据访问者满足访问控制策略才能解密密文，执行流程如下：

1） 初始化：密钥生成中心执行\mathrm{S}\mathrm{e}\mathrm{t}\mathrm{u}{\mathrm{p}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()和\mathrm{E}\mathrm{x}\mathrm{t}\mathrm{r}\mathrm{a}\mathrm{c}{\mathrm{t}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()，并且与属性管理机构交互。由属性管理机构将指定密文接收者属性集合标记为\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}，根据\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}生成传统的公私钥对。同时，由密钥生成中心生成基于\mathrm{A}\mathrm{E}\mathrm{S}算法的对称密钥，完成整个系统初始化。

2） 初次密文加密/上传：由属性管理机构根据\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}，生成访问策略policy。之后，执行\mathrm{E}\mathrm{n}{\mathrm{c}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()，将明文加密为密文。最后，将初始密文发送给云端，由云端对密文存储并由云端执行重加密算法。

3） 初次密文下载/解密：当符合\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}的用户申请访问数据时，从云端下载密文数据后，使用\mathrm{D}\mathrm{e}\mathrm{c}{\mathrm{1}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()解成明文。

4） 密文共享：若数据拥有者欲将此数据分享给属于\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}中的用户，将密文上传至云端，属于\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}中的用户直接从云端下载密文，用其私钥\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}解密密文。反之，若合法数据接收者不属于\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}，则创建新的属性集\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{2}}，更新访问策略。若执行代理重加密共享时，由属性管理机构与数据拥有者以及密钥生成中心交互，执行重加密密钥生成算法，生成一个重加密密钥，由云端或第三方代理服务器执行重加密算法。在重加密时，通过执行重加密算法将数据分享给属于\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{2}}的用户。云端执行代理重加密算法时，计算并输出重加密密文。

5） 重加密密文下载/解密：当属于\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{2}}集中的数据请求者申请数据时，若该数据请求者符合传统公私钥对的解密算法，则云服务器将与数据拥有者通信，数据拥有者也会与KGC和AMA确认数据请求者的属性以及属性公钥是否符合\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{2}}。数据拥有者确认授权后，通过安全通道将\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}发送给数据请求者，数据请求者从云端下载重加密密文，执行解密算法，将重加密密文解密为明文。

2.2　算法设计

1） 初始化 \mathrm{S}\mathrm{e}\mathrm{t}\mathrm{u}{\mathrm{p}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}(\lambda )

构造双线性映射e:G_{\mathrm{1}}\times G_{\mathrm{2}}\to G_T，其中，G_{\mathrm{1}}、G_{\mathrm{2}}和G_T是q阶的椭圆曲线群，q是素数。随机选择两个哈希函数H_{\mathrm{1}}:{\left\{\mathrm{0,1}\right\}}^{\mathrm{*}}\to {\mathrm{\mathbb{Z}}}_p^{\mathrm{*}}，H_{\mathrm{2}}:G_T\to G，H_{\mathrm{1}}可以将任意长度的0/1串全部映射到{\mathrm{\mathbb{Z}}}_q^{\mathrm{*}}中，H_{\mathrm{2}}可以将G_T中的元全部映射到G_{\mathrm{1}}，G_{\mathrm{2}}中。\mathrm{K}\mathrm{G}\mathrm{C}输出系统公共参数\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}，\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}是系统中所有用户加密和解密所需要的参数。此外，生成主秘密参数\mathrm{M}{{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}，\mathrm{M}{{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}由\mathrm{K}\mathrm{G}\mathrm{C}保留，为用户生成解密所需的私钥。

\begin{array}{l}\mathrm{P}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}=(p,G_{\mathrm{1}},G_{\mathrm{2}},G_T,{\mathrm{\mathbb{Z}}}_r,e,w,H_{\mathrm{1}},H_{\mathrm{2}})\\ \mathrm{M}{{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}=(w,\beta )\end{array}

其中：g_{\mathrm{1}}是G_{\mathrm{1}}的生成元，g_{\mathrm{2}}是G_{\mathrm{2}}的生成元，\alpha和\beta \in {\mathrm{\mathbb{Z}}}_r，h\in G_{\mathrm{1}}且h={g_{\mathrm{1}}}^{\beta }，\gamma \in G_T，w={g_{\mathrm{2}}}^{\alpha }。

2） 密钥生成\mathrm{E}\mathrm{x}\mathrm{t}\mathrm{r}\mathrm{a}\mathrm{c}{\mathrm{t}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}()

KGC根据数据拥有者和用户DR的属性集生成传统的公私密钥对（\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}，\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}），其中

\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}=H_{\mathrm{2}}(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}),\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}=(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}^{\gamma }

以\mathrm{M}{{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}、用户属性集\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}以及\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}作为输入，将属性密钥分发给用户\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}},D_j)。执行操作如下

\begin{array}{l}\mathrm{F}\mathrm{O}{\mathrm{R}}_{}{}_{}\forall j\in \mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}\\ D_j=((g_{\mathrm{2}}{)}^{\zeta })\cdot ((\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}{)}^{{\zeta }_j})\end{array}

3）　初始加密\mathrm{E}\mathrm{n}{{\mathrm{c}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}},M,\mathrm{p}\mathrm{o})

以\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}、基于AES加密的对称密钥\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}}、明文数据信息M以及访问策略\mathrm{p}\mathrm{o}作为输入，取s\in G_T，利用Fisher-Yates scrambling算法将经过哈希变换后的s与基于AES加密的对称密钥\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}}随机置乱为\mathrm{\wp }，再将s与\mathrm{\wp }随机置乱，输出初始密文c_i(c_{i\mathrm{1}},c_{i\mathrm{2}},c_{i\mathrm{3}})，其中

\begin{array}{l}{c}_{i\mathrm{1}}=\mathrm{A}\mathrm{E}\mathrm{S}(M,\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}})\\ c_{i\mathrm{2}}=(\mathrm{p}\mathrm{o},\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}})\\ c_{i\mathrm{3}}=\left\{s\right.,\left.\left(\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}}\oplus H_{\mathrm{1}}(s)=\mathrm{\wp }\right)\right\}\end{array}

4）　重加密密钥生成\mathrm{R}\mathrm{K}\mathrm{E}\mathrm{x}\mathrm{t}\mathrm{r}\mathrm{a}\mathrm{c}{\mathrm{t}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}((\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{O}},(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{R}\mathrm{\text{'}}},\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}})

由DO授权，首先在整数\mathrm{0}~n之间随机生成一个正整数N，再以K\mathrm{、}N\mathrm{、}(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{O}}\mathrm{、}(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{R}\mathrm{\text{'}}}为输入，计算出用户DO到用户DR'的代理重加密密钥\mathrm{r}{\mathrm{k}}_{\mathrm{D}\mathrm{O}\to \mathrm{D}\mathrm{R}\mathrm{\text{'}}}=(N,K,R)，其中

\begin{array}{l}N=\mathrm{R}\mathrm{a}\mathrm{n}\mathrm{d}\mathrm{o}\mathrm{m}(n)\\ K=\widehat{e}((\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{O}},(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{R}\mathrm{\text{'}}})\\ \mathrm{c}\mathrm{o}\mathrm{n}\mathrm{c}\mathrm{a}\mathrm{t}\mathrm{A}\mathrm{r}\mathrm{r}\mathrm{a}\mathrm{y}=\mathrm{K}||(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}^{\mathrm{D}\mathrm{O}}||(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}^{\mathrm{D}\mathrm{R}\mathrm{\text{'}}}||N\\ R=H_{\mathrm{1}}(\mathrm{c}\mathrm{o}\mathrm{n}\mathrm{c}\mathrm{a}\mathrm{t}\mathrm{A}\mathrm{r}\mathrm{r}\mathrm{a}\mathrm{y})\cdot (\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}^{\mathrm{D}\mathrm{O}}\end{array}

5）　代理重加密\mathrm{R}\mathrm{e}\mathrm{E}\mathrm{n}{\mathrm{c}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{r}{\mathrm{k}}_{\mathrm{D}\mathrm{O}\to \mathrm{D}\mathrm{R}\mathrm{\text{'}}},c_i)

以\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{r}{\mathrm{k}}_{\mathrm{D}\mathrm{O}\to \mathrm{D}\mathrm{R}\mathrm{\text{'}}},c_i和用户身份集为输入，计算重加密密文c_j=(c_{j\mathrm{1}},c_{j\mathrm{2}},c_{j\mathrm{3}})，其中

\begin{array}{l}\mu =H_{\mathrm{2}}(K,C_{i\mathrm{1}})\\ c_{j\mathrm{1}}=c_{i\mathrm{1}}\\ c_{j\mathrm{2}}=c_{i\mathrm{2}}\\ c_{j\mathrm{3}}=c_{i\mathrm{3}}\oplus H_{\mathrm{1}}(\mu )\end{array}

6）　初次密文解密\mathrm{D}\mathrm{e}\mathrm{c}{\mathrm{1}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}},c_i)

以\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}、\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}和初次加密密文c_i(c_{i\mathrm{1}},c_{i\mathrm{2}},c_{i\mathrm{3}})作为参数输入。数据请求者进行解密计算，具体如下

\begin{array}{l}s\mathrm{\text{'}}=(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}},c_{i\mathrm{2}})\\ \left\{s\mathrm{\text{'}}\right.,\left.\mathrm{\wp }\right\}=\left\{s\mathrm{\text{'}}\right.,\left.c_{i\mathrm{3}}\right\}\\ \mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}}=\mathrm{\wp }\oplus H_{\mathrm{1}}(s\mathrm{\text{'}})\\ M=A\mathrm{E}\mathrm{S}.\mathrm{d}\mathrm{e}\mathrm{c}\mathrm{r}\mathrm{y}\mathrm{t}(c_{i\mathrm{1}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}})\end{array}

7） 重加密密文解密\mathrm{D}\mathrm{e}\mathrm{c}{\mathrm{2}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},(\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{R}\mathrm{\text{'}}},(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{O}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}},c_j)

以\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}、\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}、(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{O}}、(\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{R}\mathrm{\text{'}}}和重加密密文c_j(c_{j\mathrm{1}},c_{j\mathrm{2}},c_{j\mathrm{3}})作为参数输入。数据请求者DR'进行解密计算，具体如下

\begin{array}{l}K=\widehat{e}(H_{\mathrm{1}}((\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{O}}),(\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}{\mathrm{R}}^{\text{'}}})\\ \mu =H_{\mathrm{1}}(K,c_{j\mathrm{1}})\\ s^{\text{'}}=(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}},c_{j\mathrm{2}})\\ c_{i\mathrm{3}}=c_{j\mathrm{3}}\oplus H_{\mathrm{1}}(\mu )\\ \left\{s^{\text{'}}\right.,\left.\mathrm{\wp }\right\}=\left\{s^{\text{'}}\right.,\left.c_{i\mathrm{3}}\right\}\\ \mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}}=\mathrm{\wp }\oplus H_{\mathrm{1}}(s)\\ M=\mathrm{A}\mathrm{E}\mathrm{S}(c_{j\mathrm{1}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}})\end{array}

s^{\mathrm{\text{'}}}=(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}},c_{j\mathrm{2}})的计算步骤如下

\mathrm{I}\mathrm{F}x\mathrm{i}\mathrm{s}\mathrm{a}\mathrm{l}\mathrm{e}\mathrm{a}\mathrm{f}\mathrm{n}\mathrm{o}\mathrm{d}\mathrm{e}

i=\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}(x)

s^{\text{'}}=e(c_x,D_i)

\mathrm{E}\mathrm{L}\mathrm{S}\mathrm{E}

\forall z\mathrm{c}\mathrm{h}\mathrm{i}\mathrm{l}\mathrm{d}\mathrm{o}\mathrm{f}x:F_z=(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}},z)

(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}{)}_x=\forall z\mathrm{c}\mathrm{h}\mathrm{i}\mathrm{l}\mathrm{d}\mathrm{o}\mathrm{f}x\mathrm{a}\mathrm{n}\mathrm{d}(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}{)}_x\ne \mathrm{\varnothing }

s^{\text{'}}=\prod _{Z\in (\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}{)}_x}{F_Z}^{{\Delta }_{i,(att{r}_{\mathrm{1}}{)}_x}\left(\mathrm{0}\right)}\mathrm{w}\mathrm{h}\mathrm{e}\mathrm{r}\mathrm{e}i=\mathrm{i}\mathrm{n}\mathrm{d}\mathrm{e}\mathrm{x}(z),

(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}{)}_x=\{\mathrm{i}\mathrm{n}\mathrm{d}\mathrm{e}\mathrm{x}(z):z\in (\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}}{)}_x}

在本文方案中，s=(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}},c_{i\mathrm{2}})和s^{\text{'}}=(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}},c_{j\mathrm{2}})算法一样，不再赘述。

3　 方案安全性及证明

本节从方案的一致性和安全性全面分析了方案中的核心算法，证明了本方案的可行性、合理性以及保密性。

3.1　方案的一致性

定理1 任何通过正确步骤生成的代理重加密密文都可由指定属性集的接收者解密。

证 c_j\leftarrow \mathrm{R}\mathrm{e}\mathrm{E}\mathrm{n}{\mathrm{c}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{r}{\mathrm{k}}_{\mathrm{D}\mathrm{O}\to \mathrm{D}\mathrm{R}\mathrm{\text{'}}},c_i)，任何由正确步骤生成的私钥

\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}\leftarrow\mathrm{E}\mathrm{x}\mathrm{t}\mathrm{r}\mathrm{a}\mathrm{c}{\mathrm{t}}_{\mathrm{P}\mathrm{R}\mathrm{E}}(\mathrm{M}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}},\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}})

及正确执行以下步骤

\mathrm{R}\mathrm{e}\mathrm{K}\mathrm{e}\mathrm{y}\mathrm{G}\mathrm{e}{{\mathrm{n}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}\leftarrow \mathrm{R}\mathrm{K}\mathrm{E}\mathrm{x}\mathrm{t}\mathrm{r}\mathrm{a}\mathrm{c}{\mathrm{t}}_{\mathrm{P}\mathrm{R}\mathrm{E}}((\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{O}},

(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{R}\mathrm{\text{'}}},\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}})，

c_i\leftarrow \mathrm{E}\mathrm{n}{{\mathrm{c}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}},M,\mathrm{p}\mathrm{o})，

\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}\leftarrow \mathrm{E}\mathrm{x}\mathrm{t}\mathrm{r}\mathrm{a}\mathrm{c}{{\mathrm{t}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{M}{{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}},

\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}})

后，若\mathrm{D}{\mathrm{R}}^{\text{'}}\in \mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{2}}、K=\widehat{e}(H_{\mathrm{1}}((\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{O}})，(\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{R}\mathrm{\text{'}}})、s^{\text{'}}=s和i=\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{2}}(x)同时成立，那么接收数据的新用户\mathrm{D}{\mathrm{R}}^{\text{'}}通过执行解密算法

\mathrm{D}\mathrm{e}\mathrm{c}{{\mathrm{2}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},(\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{R}\mathrm{\text{'}}},(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}_{\mathrm{D}\mathrm{O}},\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}},c_j)

可得出最后的明文。

3.2　方案的安全性

定义3 判定双线性Diffie-Hellman难题：

G和G_T两个q（q是素数）阶的椭圆曲线，g是G的一个随机生成元。在双线性映射e:G\times G\to G_T中的DBDH（Decisional Bilinear Diffie-Hellman）难题被定义为攻击者A区分(g^a,g^b,g^c,\mathrm{e}{(g,g)}^{abc})和(g^a,g^b,g^c,\mathrm{e}{(g,g)}^r)两个元组的优势，其中a，b，c，r都是在{\mathrm{\mathbb{Z}}}_q^{\mathrm{*}}中随机选取的，且用\mathrm{A}\mathrm{d}{\mathrm{v}}_{\mathrm{D}\mathrm{B}\mathrm{D}\mathrm{H}}^{\mathrm{I}\mathrm{N}\mathrm{D}}代表上述优势，如果对于任何多项式时间的攻击\mathrm{A}\mathrm{d}{\mathrm{v}}_{\mathrm{D}\mathrm{B}\mathrm{D}\mathrm{H}}^{\mathrm{I}\mathrm{N}\mathrm{D}}都是可忽略的，就可以说DBDH成立。

定义4\mathrm{I}\mathrm{N}\mathrm{D}-\mathrm{s}\mathrm{A}\mathrm{B}\mathrm{E}-\mathrm{C}\mathrm{P}\mathrm{A}攻击游戏

为了证明\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案的\mathrm{I}\mathrm{N}\mathrm{D}-\mathrm{s}\mathrm{A}\mathrm{B}\mathrm{E}-\mathrm{C}\mathrm{P}\mathrm{A}安全性，在多项式时间内，攻击者和挑战者之间定义了攻击游戏。攻击游戏由6个阶段组成，在初始阶段攻击者选择一个用户属性\mathrm{a}\mathrm{t}\mathrm{t}{{\mathrm{r}}_{\mathrm{1}}}^{\mathrm{*}}和两个条件（s^{\mathrm{*}}和{\gamma }^{\mathrm{*}}）作为攻击对象。在设置阶段，挑战者设置一个\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案。在挑战阶段，攻击者选择两条挑战明文，挑战者利用两条挑战明文中随机选择的一条、收到的集合\mathrm{a}\mathrm{t}\mathrm{t}{{\mathrm{r}}_{\mathrm{1}}}^{\mathrm{*}}和条件（s^{\mathrm{*}}和{\gamma }^{\mathrm{*}}）进行加密生成\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}的初始密文，然后询问攻击者初始密文是由哪条密文加密而成。在挑战阶段前后，攻击者可以询问用户的属性\mathrm{a}\mathrm{t}\mathrm{t}{{\mathrm{r}}_{\mathrm{1}}}^{\mathrm{*}}集和重加密密钥，但其中不包括可以直接将初始密文解密为明文的私钥。如果攻击者没有任何优势做出正确选择，那就说明本文中的\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案具有\mathrm{I}\mathrm{N}\mathrm{D}-\mathrm{s}\mathrm{A}\mathrm{B}\mathrm{E}-\mathrm{C}\mathrm{P}\mathrm{A}安全性。

定理2\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案中DBDH难题成立，所以方案在随机预言机模型下具有\mathrm{I}\mathrm{N}\mathrm{D}-\mathrm{s}\mathrm{A}\mathrm{B}\mathrm{E}-\mathrm{C}\mathrm{P}\mathrm{A}安全性。

证

1） 初始化：攻击者A首先选择一个属性集合作为挑战的属性集合\mathrm{a}\mathrm{t}\mathrm{t}{{\mathrm{r}}_{\mathrm{1}}}^{\mathrm{*}}，同时攻击者A将s^{\mathrm{*}}和{\gamma }^{\mathrm{*}}作为挑战条件；然后将\mathrm{a}\mathrm{t}\mathrm{t}{{\mathrm{r}}_{\mathrm{1}}}^{\mathrm{*}}和s^{\mathrm{*}}发送给攻击者B；最后攻击者B将\mathrm{a}\mathrm{t}\mathrm{t}{{\mathrm{r}}_{\mathrm{1}}}^{\mathrm{*}}、s^{\mathrm{*}}和{\gamma }^{\mathrm{*}}发送给挑战者C。

2） 设置：挑战者C执行Setup{}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}(\lambda )算法为攻击者生成\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}中的主公共参数\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}和主秘密参数\mathrm{M}{{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}}_{-\mathrm{A}\mathrm{B}\mathrm{E}}=(w,\beta )。在\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案所有执行过程中，由于哈希函数H在安全性证明中被认为是随机预言机，所以其不会被发送。挑战者C将\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}发送给攻击者B，攻击者B得到哈希函数查询{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^H(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}})，挑战者C将查询到的用户属性与相对应的哈希值记录在表L_{H_{\mathrm{2}}}中。

攻击者B随机选取x\in G_T和y\in G_T，生成主公共参数\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}，为A提供{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{H_{\mathrm{2}}}(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}})和{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{H_{\mathrm{1}}}(Y)(Y\in G_T)，模拟H_{\mathrm{1}},H_{\mathrm{2}}的随机预言机查询，并记录{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{H_{\mathrm{1}}}所得到的属性和结果。

3） 首次查询阶段：由挑战者C向攻击者B提供哈希查询{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^H(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}})和私钥查询{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{S}\mathrm{K}}(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}})；然后，攻击者B向攻击者A提供哈希查询{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{H_{\mathrm{2}}}(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}})、{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{H_{\mathrm{1}}}(Y)(Y\in G_T)、私钥查询{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{S}\mathrm{K}}(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}})和重加密密钥查询{\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{R}\mathrm{K}}(\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}},s^{\text{'}})。

4） 挑战阶段：首次查询是否结束由攻击者A决定，并由攻击者A向攻击者B发送两条挑战明文(m_{\mathrm{0}},m_{\mathrm{1}})，攻击者B直接将挑战明文(m_{\mathrm{0}},m_{\mathrm{1}})发送给挑战者C；挑战者C执行\mathrm{E}\mathrm{n}{\mathrm{c}}_{\mathrm{A}\mathrm{B}\mathrm{E}}(\mathrm{p}\mathrm{a}\mathrm{r}\mathrm{a}\mathrm{m}{\mathrm{s}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}},\mathrm{a}\mathrm{t}\mathrm{t}{{\mathrm{r}}_{\mathrm{1}}}^{\mathrm{*}},m_b)生成密文C_{\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{*}}来进行挑战（其中b是在\{\mathrm{0,1}\}中是随机的）；最后将密文发送给攻击者B。此时，根据密文C_{\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{*}}的结构， C_{\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{*}}=(c_{i\mathrm{1}},c_{i\mathrm{2}})。在此阶段和重新执行设置阶段，攻击者B随机选择x\in G_T，y\in G_T，并计算\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}=(\mathrm{P}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{B}\mathrm{E}}{)}^x，c_{i\mathrm{3}}=\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}}\oplus {\mathrm{Q}}_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{H}}(y)。最后，将C_{\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{*}}扩展成\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案中可用的初始密文C_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{*}}=(C_{\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{*}},c_{i\mathrm{3}})，并将C_{\mathrm{P}\mathrm{R}\mathrm{E}-\mathrm{A}\mathrm{B}\mathrm{E}}^{\mathrm{*}}作为方案\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}中可用的挑战密文。

5） 二次查询阶段：此阶段与首次查询阶段相同。

6） 猜测阶段：攻击者A猜测出一个结果b^{\mathrm{\text{'}}}\in \{\mathrm{0,1}\}，攻击者B将其发送给挑战者C，如果b^{\mathrm{\text{'}}}=b，则攻击者A获得了这场游戏的胜利。最后，获得这场游戏胜利的优势表示为\mathrm{A}\mathrm{d}{\mathrm{v}}_{\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A},\mathrm{A}}^{\mathrm{I}\mathrm{N}\mathrm{D}-\mathrm{s}\mathrm{A}\mathrm{B}\mathrm{E}-\mathrm{C}\mathrm{P}\mathrm{A}}=\left|\mathrm{P}\mathrm{r}\left[b^{\mathrm{\text{'}}}=b\right]-\frac{\mathrm{1}}{\mathrm{2}}\right|。

如果攻击者A成为了\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案中\mathrm{I}\mathrm{N}\mathrm{D}-\mathrm{s}\mathrm{A}\mathrm{B}\mathrm{E}-\mathrm{C}\mathrm{P}\mathrm{A}的获胜者，则攻击者B成功攻破\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案\mathrm{I}\mathrm{N}\mathrm{D}-\mathrm{s}\mathrm{A}\mathrm{B}\mathrm{E}-\mathrm{C}\mathrm{P}\mathrm{A}的安全性。

综上，\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}具有\mathrm{D}\mathrm{B}\mathrm{D}\mathrm{H}难题的难解性和\mathrm{I}\mathrm{N}\mathrm{D}-\mathrm{s}\mathrm{A}\mathrm{B}\mathrm{E}-\mathrm{C}\mathrm{P}\mathrm{A}安全性。

定理3\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案中初次加密阶段符合Fisher-Yates scrambling随机置乱算法，所以该方案在初次加密阶段生成的密文更具有随机性，密文更具有难解性。

证

1） 从1~n之间随机选出一个数和最后一个数（n）交换，然后从1~n-1之间随机选出一个数和倒数第二个数（n-1）交换。假设有5个数： 0，1，2，3，4。

第一步，从［0，4］这5个位置中（包含0和4）随机出一个数（比如是3）和4号交换，得到0，1，2，4，3。原来4的位置放3的概率就是1/5。

第二步，从［0，3］这4个位置中（包含0和3）随机出一个数（比如是0）和3号交换，得到4，1，2，0，3。原来3的位置放0的概率就是（4/5）·（1/4）=1/5。

第三步，从［0，2］这3个位置中（包含0和2）随机出一个数（比如是0）和2号交换，得到2，1，4，0，3。原来2的位置放4的概率就是（4/5）·（3/4）·（1/3）=1/5。

第四步，从［0，1］这2个位置中（包含0和1）随机出一个数（比如是0）和1号交换，得到1，2，4，0，3。原来1的位置放2的概率就是（4/5）·（3/4）·（2/3）·（1/2）=1/5。

第五步，从［0，0］这1个位置中（包含0和0）随机出一个数（比如是0）和0号交换，得到1，2，4，0，3。原来0的位置放1的概率就是（4/5）·（3/4）·（2/3）·（1/2）=1/5。

2）在加密计算中，s\in G_T，利用Fisher-Yates scrambling算法将经过哈希变换后的s与\mathrm{S}{\mathrm{K}}_{\mathrm{P}\mathrm{R}\mathrm{E}}^{\mathrm{A}\mathrm{E}\mathrm{S}}随机置乱为\mathrm{\wp }，再将s与\mathrm{\wp }随机置乱，确保密文和明文的安全性。在不增加方案的计算消耗和存储空间的情况下，\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案中初次加密阶段符合Fisher-Yates scrambling随机置乱算法。

4　 实验及性能分析

4.1　复杂性对比

本文提出的\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案与苏铓等^［15］提出的基于代理重加密的云数据访问授权确定性更新方案（\mathrm{P}\mathrm{A}\mathrm{U}\mathrm{A}）的时间复杂性的对比如表1。其中，t_{\mathrm{e}}代表指数运算，t_{\mathrm{l}}代表线性对运算。

文献［15］是近期提出的代理重加密与属性加密机制方案。从表1可以看出，本文提出的\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案在复杂性方面优于\mathrm{P}\mathrm{A}\mathrm{U}\mathrm{A}方案。

4.2　仿真及计算开销分析

本次实验仿真是在AMD R7 4800H CPU @2.90 GHz，32 GB内存，操作系统为Windows 10，Myeclipse 2014版PC上进行的。在本节中，将策略更新函数，初次加密算法，重加密算法，重解密算法与近几年相关文献进行对比分析。

1） 策略更新函数\mathrm{p}\mathrm{o}=(k,\mathrm{a}\mathrm{t}\mathrm{t}{\mathrm{r}}_{\mathrm{1}},c_l)

\mathrm{A}\mathrm{C}\mathrm{S}\mathrm{B}\mathrm{P}\mathrm{A}方案通过“不同的属性数量”来对性能进行评估。在仿真测试中，访问策略包含40个属性，所加密的文件为1 GB。包含“or”，“and”和“k of n”门限。本次测试通过改变访问策略中的属性数量来测量策略更新的处理时间。如图2所示，本文策略更新时间保持在3~5 ms，解密所需时间没有随策略的增加呈正比例增长。而在属性为40个时，文献［16，17］策略更新时解密所需时间超过了300 ms。

2） 初次加密算法

如图3所示，在属性为5个和40个时，本方案初次加密算法计算耗时分别为33 ms和240 ms，文献［18］初次加密计算耗时分别为29 ms和190 ms，文献［19］初次加密算法计算耗时分别为26 ms和189 ms。三种方案初次加密算法计算耗时随着属性数量的增加呈正比例增长。虽然本文方案中的初次加密算法计算耗时高于文献［18，19］，但是这个计算耗时在客户的正常接受范围内。

3） 重加密算法

本文方案中的重加密算法不涉及双线性映射，对第三方云服务器所需的性能需求达到最大限度的优化。在用户数量极速增长的情况下，第三方云服务器所需要的性能相对较小。如表2所示，属性为5~40个时，重加密算法的计算耗时在50 ms以内，而文献［20］方案中的重加密计算耗时随着属性数量的增加呈正比例增长。当属性为40个时，计算耗时达到了1 850 ms。由此说明，本方案在重加密方面计算开销更小。

4） 解密算法

如图4所示，虽然属性在不断地增加，但是本文解密算法的计算耗时保持在26~28 ms，而文献［19］和［21］方案中的解密计算耗时随着属性数量的增加而增加明显。当属性增加到40个时，文献［19，21］提出方案的计算耗时都超过了250 ms。因此，与文献［19，21］相比，本文解密算法的计算开销具有明显的优势。

5　 结 语

随着云服务的爆发性发展，用户的数据安全成为研究的焦点。代理重加密和基于属性加密成为研究者的关注点之一。本文以不完全可信的云服务商为背景，改进代理重加密算法，实现了云中数据的安全存储以及密文共享，且降低了云平台所需的性能需求。同时，在明文初次加密阶段使用Fisher-Yates scrambling算法将密钥与加密元素两次置乱，在不增加方案的计算开销的情况下，增加了封装对称密钥的随机性和封装后密文的难解性。另外，结合基于属性加密算法，实现了多用户多属性的访问策略，解密时间与用户属性没有形成正比关系。本方案保证了云环境中用户数据的安全，还实现了数据的安全共享。

参考文献

[1] XU Z W， SHEN J N， LUO P， et al. PVcon： Localizing hidden concurrency errors with prediction and verification［J］. IEEE Access， 2020， 8（6）：165373-165386. DOI：10.1109/ACCESS.2020.3022992 .

[2] BELL D E， PADULA L J LA. Secure Computer System： Unified Exposition and Multics Interpretation ［EB/OL］. ［2021-12-29］. DOI: 10.21236/ada023588 .

[3] BLANC M， LALANDE J F. Improving mandatory access control for HPC clusters ［J］. Future Generation Computer Systems， 2013， 29（3）： 876-885. DOI：10.1016/j.future.2012.03.020 .

[4] GALINDO D. Boneh-Franklin identity based encryption revisited［C］//International Colloquium on Automata， Languages， and Programming. Berlin： Springer-Verlag，2005：791-802. DOI：10.1007/11523468_64 .

[5] XU Z W， SHEN J N， LIANG F， et al. Fine-grained access control scheme based on improved proxy re-encryption in cloud ［J］. Journal of Advanced Computational Intelligence and Intelligent Informatics， 2021， 25（2）： 170-176. DOI：10.20965/jaciii.2021.p0170 .

[6] SHEN J N， DENG X J， XU Z W， et al. Multi-security-level cloud storage system based on improved proxy re-encryption ［J］. EURASIP Journal on Wireless Communications and Networking， 2019（1）： 1-12. DOI：10.1186/s13638-019-1614-y .

[7] OH S， SANDHU R， ZHANG X W. An effective role administration model using organization structure ［J］. ACM Transactions on Information and System Security， 2006， 9（2）： 113-137. DOI：10.1145/1151414.1151415 .

[8] GOYAL V， PANDEY O， SAHAI A， et al. Attribute-based encryption for fine-grained access control of encrypted data［C］//Proceedings of the 13th ACM Conference on Computer and Communications Security， CCS 2006. Alexandria： ACM Press， 2006：89-98. DOI：10.1145/1180405.1180418 .

[9] GENTRY C， HALEVI S. Implementing Gentry’s fully-homomorphic encryption scheme ［C］//Proceeding of 30th Annual International Conference on Theory and Applications of Cryptographic Techniques. Berlin： Springer， 2011：129-148. DOI：10.1007/978-3-642-20465-4_9 .

[10] BRAKERSKI Z， VAIKUNTANATHAN V. Efficient fully homomorphic encryption from （standard） LWE［C］//Proceeding of IEEE Symposium on Foundations of Computer Science. Piscataway： IEEE Press， 2011：97-106. DOI：10.1109/FOCS.2011.12 .

[11] KAWAI Y. Outsourcing the re-encryption key generation： Flexible ciphertext-policy attribute-based proxy re-encryption［C］//International Conference on Information Security，ISPEC 2015. Cham： Springer International Publishing， 2015： 301-315. DOI：10.1007/978-3-319-17533-1_21 .

[12] YANG K， JIA X， REN K， et al. Enabling efficient access control with dynamic policy updating for big data in the cloud［C］//Proceedings of IEEE INFOCOM. Piscataway： IEEE Press， 2014： 2013-2021. DOI: 10.1109/infocom.2014.6848142 .

[13] WANG X Y， ZHANG J J， ZHANG F C， et al. New chaotical image encryption algorithm based on Fisher-Yates scrambling and DNA coding ［J］. Chinese Physics B， 2019， 28（4）：121-130. DOI: 10.1088/1674-1056/28/4/040504 .

[14] BETHENCOURT J， SAHAI A， WATERS B. Ciphertext-policy attribute-based encryption［C］// IEEE Symposium on Security and Privacy （SP’07）. Piscataway： IEEE Press， 2007：321-334. DOI: 10.1109/sp.2007.11 .

[15] 苏铓， 吴槟， 付安民，等. 基于代理重加密的云数据访问授权确定性更新方案［J］. 软件学报， 2020， 31（5）：327-336. DOI：10.13328/j.cnki.jos.005676 .

[16] SU M， WU B， FU A M， et al. Assured update scheme of authorization for cloud data access based on proxy re-encryption［J］. Journal of Software， 2020， 31（5）：327-336. DOI：10.13328/j.cnki.jos.005676（Ch ）.

[17] 王磊，李刚，王斐玉. 改进属性加密结合代理重加密的云计算安全访问控制策略［J］. 计算机应用与软件， 2019， 36（7）：327-333. DOI：10.3969/j.issn.1000-386x.2019.07.056 .

[18] WANG L， LI G， WANG F Y. Cloud computing security access control strategy based on improved attribute encryption combined with proxy re-encryption［J］. Computer Applications and Software， 2019， 36（7）：327-333. DOI：10.3969/j.issn.1000-386x.2019.07.056（Ch ）.

[19] 许盛伟， 王荣荣， 陈诚. 支持关键字更新的基于属性可搜索加密方案［J］. 计算机应用与软件， 2018， 35（3）： 327-333. DOI：10.3969/j.issn.1000-386x.2018.03.061 .

[20] XU S W， WANG R R， CHEN C. Attribute-based searchable encryption scheme with supporting keyword updates ［J］. Computer Applications and Software， 2018， 35（3）： 327-333. DOI：10.3969/j.issn.1000-386x.2018.03.061（Ch ）.

[21] FAN C N， HUANG V S M， RUAN H M. Arbitrary-state attribute-based encryption with dynamic membership［J］. IEEE Transactions on Computers， 2014， 63（8）： 1951-1961. DOI：10.1109/TC.2013.83 .

[22] 李艳平， 齐艳姣， 张凯， 等. 支持用户撤销的多授权机构的属性加密方案［J］. 山东大学学报（理学版）， 2018， 53（7）： 75-84. DOI：10.6040/j.issn.1671-9352.0.2017.399 .

[23] LI Y P， QI Y J， ZHANG K， et al. Multi-authority and revocable attribute-based encryption scheme［J］. Journal of Shandong University （Natural Science）， 2018， 53（7）： 75-84. DOI：10.6040/j.issn.1671-9352.0.2017.399（Ch ）.

[24] 胡媛媛. 云环境中基于属性的代理可搜索加密方案研究［D］. 南京： 南京邮电大学， 2018.

[25] HU Y Y. Research on Attribute-Based Keyword Search With Proxy Re-Encryption Scheme ［D］. Nanjing： Nanjing University of Posts and Telecommunications， 2018 （Ch）.

[26] GORASIA N， SRIKANTH R R， DOSHI N， et al. Improving security in multi authority attribute based encryption with fast decryption ［J］. Procedia Computer Science， 2016， 79： 632-639. DOI：10.1016/j.procs.2016.03.080 .

基金资助

国家自然科学基金资助(61662022)

湖北民族大学高水平科研成果校内培育项目(PY20008)