Vi presenterar ett identitetsbaserat kryptosystem med helt anonyma chiffertexter och hierarkisk nyckeldelegation. Vi ger ett säkerhetsbevis i standardmodellen, baserat på det milda beslutet Linjär komplexitet antagande i bilinjära grupper. Systemet är effektivt och praktiskt, med små klichéer av storlek linjär i djupet av hierarkin. Tillämpningar inkluderar sökning på krypterade data, helt privat kommunikation, etc. Våra resultat löser två öppna problem som rör anonym identitetsbaserad kryptering, där vårt system är det första som erbjuder bevisbar anonymitet i standardmodellen, förutom att vara det första som förverkligar helt anonym HIBE på alla nivåer i hierarkin. Den kryptografiska primitiva identitetsbaserade krypteringen gör det möjligt för en avsändare att kryptera ett meddelande för en mottagare med endast mottagarens identitet som en öppen nyckel. Nyligen har det funnits intresse för "anonyma" identitetsbaserade krypteringssystem, där chiffertexten inte läcker ut mottagarens identitet. Förutom deras uppenbara integritetsfördelar, anonyma IBE-system kan utnyttjas för att konstruera Public Key Encryption med Keyword Search (PEKS) system, som först observerades av Boneh et al. [10] och senare formaliserad av Abdalla et al. [1].................................................................. Grovt sagt, PEKS är en form av offentlig nyckelkryptering som tillåter en kryptering för att göra ett dokument serarchable med nyckelord, och där förmågan att söka på särskilda sökord delegeras av en central myndighet. Anonym HIBE möjliggör ytterligare sofistikerade åtkomstpolicyer för PEKS och ID-baserade PEKS. Före denna uppsats var det enda IBE-system som man visste var anonymt av Boneh och Franklin [11]. Även om de inte uttryckligen angav det, följde anonymiteten i deras plan med lätthet på deras bevis för semantisk säkerhet. En nackdel med Boneh-Franklin IBE paradigm är att dess säkerhetsbevis är satta i den slumpmässiga orakelmodellen. På senare tid har effektiva IBE-system på grund av Boneh och Boyen [5] och Waters [29] visat sig vara säkra utanför den slumpmässiga orakelmodellen, men dessa system är inte anonyma när de genomförs med hjälp av "symmetriska" bilinjära par e : G × G → G T, eftersom man kan testa om en given chiffertext krypterats för en kandidatidentitet. I efterhand konstaterar en att med mindre ändringar Boneh och Boyens två system * Voltage Inc., Palo Alto -xb@boyen.org † SRI International -bwaters@csl.sri.com 1 "BB 1 " och "BB 2 ", och Waters" i förlängningen, kan i själva verket bli anonyma när de genomförs med en "asymmetrisk" parning e : G × på → G T under starka ytterligare antaganden (såsom hårdhet DDH i G), men detta är inte lätt att bevisa. Av en grundläggande anledning gäller denna iakttagelse endast icke-hierarkiska IBE, och det vore trevligt att inte förlita sig på sådana "riskiska" antaganden som är uppenbart falska i den symmetriska situationen. I vilket fall som helst, och även om man skulle överväga användningen av slumpmässiga orakel, finns det helt enkelt inte något känt hierarkiskt identitetsbaserat krypteringssystem som också är anonymt. (Särskilt Gentry-Silverberg [19] HIBE-systemet är inte det.) I deras senaste CRYPTO'05 papper, Abdalla et al. [1] Citera skapandet av ett anonymt IBE-system utan slumpmässiga orakel och ett anonymt HIBE-system med eller utan slumpmässiga orakel som viktiga öppna problem. Vi presenterar en Anonym IBE och HIBE system utan slumpmässiga orakel, therby lösa båda öppna problem från CRYPTO'05. Vår plan är mycket effektiv för ren IBE, och någorlunda effektiv för HIBE med ytliga hierarkier av praktiskt intresse. Vi bevisar att det är säkert baserat enbart på Bonehs et al. [9] Beslut Linjärt antagande, som är en av de mildaste användbaraste komplexa antaganden i bilinjära grupper. Vid första anblicken har vår konstruktion en ytlig likhet med Bonehs och Boyens " BB 1 " HIBE - plan [5 §4] - men med åtminstone två stora skillnader. För det första utför vi "linjära uppdelningar" på olika delar av chiffertexten, för att förhindra den test-och-terror identitet gissning som andra planer föll offer för. Denna idé ger oss bevisbar anonymitet, även under symmetriska parningar. För det andra använder vi flera parallella HIBE-system och återrandomiserar ständigt nycklarna mellan dem. Det är det som låter oss använda det linjära delningstricket på alla nivåer i hierarkin, men det utgör också en teknisk utmaning i den säkerhetsminskning som dimman nu simulerar flera samverkande HIBE-system på en gång. Att lösa detta problem var det avgörande steg som gav oss en hierarki utan att förstöra anonymiteten. Att bygga ett "platt" anonymt IBE-system visar sig vara ganska enkelt med hjälp av vår linjära delningsteknik för att dölja mottagarens identitet bakom någon randomisering. Komplikationer uppstår när man försöker stödja hierarkisk nyckelgeneration. För att förhindra kollusionsattacker i HIBE måste "föräldrarna" självständigt rerandomisera de privata nycklar de ger sina "barn". I alla kända HIBE-system, är re-randomization möjliggörs av ett antal kompletterande komponenter i det offentliga systemet parametrar. Varför detta bryter anonymitet beror på att samma mekanism som tillåter privata nycklar att offentligt re-randomized, gör det också möjligt att offentligt testa chiffertexter för mottagande identiteter. Slumpmässiga orakel ger inget skydd mot detta. För att kringgå denna obstable, måste vi göra re-randomization elementen icke-offentliga, och binda dem till varje enskild privat nyckel. I praktiken innebär detta att privata nycklar måste förmedla extra komponenter (även om inte alltför många). Den verkliga svårigheten är att varje uppsättning re-randomization komponenter utgör en fullfjädrad HIBE i sin egen rätt, som måste simuleras tillsammans med sina jämlikar i säkerhetsbeviset (deras antal växer linjärt med maximal djup). Eftersom dessa system inte är oberoende utan interagerar med varandra, har vi kvar uppgiften att simulera flera HIBE-delsystem som globalt begränsas av en uppsättning linjära relationer. En nyhet med vår bevisteknik är en metod för att förse simulatorn med tillräckligt med frihet för att reducera ett system av okända nycklar till en enda instans av det förmodade svåra problemet. En anmärkningsvärd egenskap hos vår konstruktion är att den kan implementeras med alla kända momentiationer av den bilinjära parningen (oavsett om den är symmetrisk eller asymmetrisk, med vår utan en beräkningsbar eller 2 inverterbar homomorfism, etc.). För att täcka alla grunder, beskriver vi både en symmetrisk IBE version för simplicitly, och en helt allmän asymmetrisk HIBE utan homomorphisms för generalitet. Begreppet identitetsbaserad kryptering föreslogs först av Shamir [26] för två decennier sedan. Det var dock inte förrän långt senare som Boneh och Franklin [11] och Cocks [17] presenterade de första praktiska lösningarna. Boneh-Franklin IBE-systemet baserades på grupper med effektivt beräkningsbara bilinjära kartor, medan Cocks-systemet visade sig vara säkert under problemet med quadratic residuosity, som bygger på hårdheten i factoring. Säkerheten i något av systemen var bara bevisad i den slumpmässiga orakelmodellen. Canetti, Halevi och Katz [14] föreslog en svagare säkerhetsbegrepp för IBE, känd som selektiv identitet eller selektiv identitet, i förhållande till vilken de kunde bygga ett ineffektivt men säkert IBE-system utan att använda slumpmässiga orakler. Boneh och Boyen [5] presenterade två mycket effektiva IBE-system ("BB 1 " och "BB 2 ") med selektiva ID-säkerhetsbevis, även utan slumpmässiga orakler. Samma författare [6] föreslog sedan en kodning-teoretisk utvidgning till deras "BB 1 " system som gjorde det möjligt för dem att bevisa säkerhet för den fullständiga uppfattningen om adaptiv identitet eller adaptiv-ID säkerhet utan slumpmässiga orakel, men konstruktionen var opraktisk. Vatten [29] föreslog sedan en mycket enklare utvidgning till "BB 1" också med ett adaptivt ID-säkerhetsbevis utan slumpmässiga orakel; dess effektivitet förbättrades ytterligare i två nyligen oberoende dokument [16] och [24]. Begreppet hierarkisk identitetsbaserad kryptering definierades först av Horwitz och Lynn [20], och en konstruktion i den slumpmässiga orakelmodellen ges av Gentry och Silverberg [19]. Det första HIBE-systemet som kan vara säkert utan slumpmässiga orakel är "BB 1 "-systemet av Boneh och Boyen; efterföljande förbättringar inkluderar HIBE-systemet av Boneh, Boyen och Goh [7], som har kortare chiffertexter och privata nycklar. Vi noterar att distinktionen selektiv-ID mot adaptiv-ID inte är särskilt viktig för något av de HIBE-system som hittills varit kända, eftersom den adaptiva-ID-säkerheten i samtliga fall exponentiellt bryts ned med hierarkins djup: de två modellerna motsvarar en konstant faktor inuti den exponentiella. Ett viktigt öppet problem inom identitetsbaserad kryptografi är att utforma ett adaptivt ID-säkert HIBE-system vars säkerhet försämrar polynomet med hierarkins djup (enligt rimliga antaganden). Song, Wagner och Perrig [28] presenterade det första systemet för sökning på krypterade data. Deras system är i symmetrisk-nyckel inställning där samma part som krypterade data skulle generera sökord sökfunktioner. Boneh och al. [10] introducerade Public Key Encryption med Keyword Search (PEKS), där alla parter med tillgång till en öppen nyckel kunde göra ett krypterat dokument som var sökbart med nyckelord; de förverkligade sin konstruktion genom att tillämpa BonehFranklin IBE-systemet. Abdalla m.fl. [1] Nyligen formaliserades begreppet Anonym IBE och dess förhållande till PEKS. Dessutom formaliserade de begreppet Anonym HIBE och nämnde olika ansökningar för det. Med GS-systemet som utgångspunkt gav de också ett HIBE-system som var anonymt på första nivån, i den slumpmässiga orakelmodellen. En annan syn på Anonym IBE är som en kombination av identitetsbaserad kryptering med egenskapen nyckel integritet, som infördes av Bellare et al. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. I detta avsnitt diskuterar vi olika tillämpningar av vårt helt anonyma HIBE-system. De huvudsakliga tillämpningarna kan delas upp i flera breda kategorier. Fullt privat kommunikation. Den första övertygande tillämpningen av anonym IBE är för fullständig privat kommunikation. Bellare m.fl. [4] hävdar att krypteringssystem med öppen nyckel som har egenskapen "key privacy" kan användas för anonym kommunikation: till exempel om man vill dölja en mottagares identitet kan man kryptera en chiffertext med ett anonymt IBE-system och lägga upp den på en offentlig anslagstavla. Genom anonymitetsegendomen kommer chiffertexten varken att avslöja avsändarens eller mottagarens identitet, och eftersom anslagstavlan är offentlig kommer denna metod också att vara motståndskraftig mot trafikanalys. För att förstärka denna uppfattning om nyckelintegritet är identitetsbaserad kryptering särskilt lämplig för ospårbar anonym kommunikation, eftersom avsändaren inte ens behöver fråga en katalog efter mottagarens allmänna nyckel. Av denna anledning, anonym IBE ger en mycket övertygande lösning på problemet med säker anonym kommunikation, eftersom det gör det svårare att genomföra trafikanalys attack på kataloglookups. Sök på krypterad data. Den andra huvudapplikationen för anonym (H)IBE är för krypterad sökning. Som tidigare nämnts, anonym IBE och HIBE ger flera program i Public-key Encryption med Keyword Search (PEKS) domän, föreslås av Boneh et al. [10], och ytterligare diskuteras av Abdalla et al. [1].................................................................. Som ett enkelt exempel på verklig tillämpning av vårt system, är PEKS en användbar primitiv för att bygga säkra revisionsloggar [30, 18]. Dessutom kan man utnyttja de hierarkiska identiteterna i vår anonyma HIBE på flera intressanta sätt. Till exempel kan vi använda en två-nivå anonym HIBE system där den första nivån är en identitet och den andra nivån är ett nyckelord. Detta ger oss den första implementeringen av ID-baserad kryptering med sökordssökning (IBEKS) primitiv efterfrågad i [1]. Med denna primitiva, någon med den privata nyckeln för en identitet kan delegera ut sökfunktioner för kryptering till sin identitet, utan att kräva en central myndighet att agera som delegator. Omvänt, genom att använda vissa nyckelord som "Top Secret" på den första nivån i hierarkin, är det möjligt att sända oskyldiga-utseende chiffertexter som kräver en viss klarering för att dekryptera, utan att ens antyda att deras nyttolast kan vara värdefull. Vi kan skapa mer förfinade sökmöjligheter med en djupare hierarki. Som de sista tillämpningarna vi nämner är framåtsäker kryptering med öppen nyckel [14] och framåtsäker HIBE [31] enkla att konstruera från HIBE-system [31, 7]. Vi kan implementera Anonym fs-HIBE med vår plan genom att inbädda en tidskomponent inom hierarkin, samtidigt som anonymitetsegendomen bevaras. Kom ihåg att en parning är en effektivt beräkningsbar [23], icke-degenererad funktion, e : G × på → G T, med den bilinearitet egenskap som e(g r, till s ) = e (g, till) r s. Här, G, på, och G T är alla multiplikativa grupper av prime order p, respektive genereras av g, till, och e (g, till). Vi antar ett effektivt genereringsförfarande som vid inmatning en säkerhetsparameter  och N outputs G $ ← Gen( 1  på ) där log 2 (p) =. Vi skriver Z p = Z/pZ för mängden rester modp och Z × p = Z p\ {0} för dess multiplikativa grupp. Eftersom tvåradiga grupper först dök upp i kryptografi för ett halvt decennium sedan [21], flera år efter deras första användning i kryptoanalys [22], har tvåradiga kartor eller parningar använts på en stor mängd olika sätt under många olika komplexa antaganden. Några av dem är mycket starka, andra är svagare. Informellt säger vi att ett antagande är milt om det är tautologiskt i den generiska gruppmodellen [27], och även "effektivt förfalskat" [25] i den meningen att dess problemfall anges icke-interaktivt och koncist (t.ex., oberoende av antalet kontradiktoriska frågor eller så stor mängd). De flesta IBE- och HIBE-system som nämns i inledningen (utom "BB 2" och det Factoring-baserade systemet av kukar) bygger på milda bilinjära komplexitetsantaganden, såsom BDH [21, 11] och Linear [9]. I detta dokument är vårt mål att endast förlita oss på milda antaganden. Beslut BDH: Den Bilinear DH antagande användes först av Joux [21], och fick popularitet för sin roll i Boneh-Franklin IBE-systemet [11]. Det beslutsmässiga antagandet poserar hårdheten av D-BDH-problemet, som vi anger i asymmetriska bilinjära grupper som: Beslut Linjär: Linjärt antagande föreslogs först av Boneh, Boyen och Shacham för gruppsignaturer [9]. Dess beslutande form posits hårdheten av D-Linear problemet, som kan anges i asymmetriska bilinjära grupper enligt följande: "Hard" betyder algoritmiskt icke-löslig med sannolikhet 1 /2 +  på (poly( på) −1 ) i tiden O (poly( på)) för effektivt genererade slumpmässiga "bilinjära instanser" Dessa antaganden tillåter men inte kräver att grupperna G och på samma sätt vi gör ingen representation på ett eller annat sätt när det gäller förekomsten av komputerbara homomorfismer mellan G och på båda håll. Detta är den mest allmänna formuleringen. Det har två huvudsakliga fördelar: 1) eftersom det kommer med färre begränsningar, det är potentiellt mer robust och ökar vårt förtroende för de antaganden vi gör; och (2) det ger oss flexibilitet att genomföra den bilinjära parning på en bred variation av algebraiska kurvor med attraktiva beräkningsegenskaper [2], medan symmetriska parningar tenderar att begränsas till supersingular kurvor, för att nämna denna en distinktion. Observera att om vi låter G = en och g = en, våra antaganden återfå sina välkända "symmetriska" former: Som en tumregel, resten av detta papper kan läsas i samband med symmetriska parningar, helt enkelt genom att släppa alla "hats" (en) i notationen. Observera också att D-Linear trivialt innebär D-BDH. Vi preciserar kortfattat de säkerhetsbegrepp som är underförstådda med begreppet Anonym IBE eller HIBE. Vi utelämnar de formella definitioner som finns i litteraturen [11, 1]. Konfidentialitet: Detta är det vanliga säkerhetsbegreppet för semantisk säkerhet för kryptering. Det innebär att ingen icke-trivial information om meddelandet kan avläsas från chiffertexten. Anonymitet: Mottagarens anonymitet är den egenskap som motståndaren inte kan särskilja krypteringen av ett valt meddelande för en första vald identitet från krypteringen av samma meddelande för en andra vald identitet. På motsvarande sätt måste motståndaren inte kunna avgöra om en chiffertext var krypterad för en vald identitet eller för en slumpmässig identitet. 5 Innan vi presenterar vår plan vi först förklara varför det är svårt att genomföra anonym IBE utan slumpmässiga orakel, liksom någon form av anonym HIBE även i slumpmässiga orakel modellen. Vi ger också lite intuition bakom vår lösning. Kom ihåg att i det grundläggande Boneh-Franklin IBE-systemet [11], en kryptering av ett meddelande Msg till någon identitet Id, tar följande form, där H är en slumpmässig orakle, r är en slumpmässig exponent, och g och Q är offentliga systemparametrar. En avgörande iakttagelse är att det ena elementet i chiffertexten i den bilinjära gruppen G, nämligen g r, bara är ett slumpmässigt element som inte ger någon information om mottagarens identitet. Anledningen till att bara ett element i G behövs är att privata nycklar i Boneh-Franklin-systemet är deterministiska - det kommer inte att finnas någon slumpmässighet i den privata nyckeln att ta bort. Eftersom beviset för semantisk säkerhet grundar sig på det faktum att C 2 är oskiljaktig från slumpmässig utan den privata nyckeln för ID, följer det att systemet också är anonymt eftersom C 2 är den enda del av chiffertexten som mottagarens identitet har någon betydelse för. På senare tid har det funnits ett antal IBE-system som visat sig vara säkra utan slumpmässiga orakler, såsom BTE från [14], BB 1 och BB 2 från [5], och Waters" [29]. I alla dessa system kräver dock säkerhetsbeviset att slumpmässigheten injiceras i den privata nyckelgenerationen. Eftersom de privata nycklarna är randomiserade, behövs lite extra information i chiffertexten för att ta bort slumpmässigheten vid dekryptering. För att illustrera, överväga krypteringen av ett meddelande Msg till en identitet Id i BB 1 Boneh-Boyen systemet, där r väljs av kryptering och g, g 1, g 3, och e (g 1, på 2 ) är offentliga system parametrar. Notera, det finns nu två element i G, och mellan dem finns det tillräckligt redundans för att avgöra om en chiffertext var avsedd för en viss identitet Id, helt enkelt genom att testa om tuple [g, g Id 1 g 3, C 1, C 2 ] är Diffie-Hellman, med hjälp av den bilinjära kartan, Vi ser att de extra chiffertext komponenter som verkar nödvändiga i IBE system utan slumpmässiga orakel, i själva verket bidrar till att läcka identiteten på den avsedda mottagaren av en chiffertext. Ett liknande argument kan anföras för varför de befintliga HIBE-systemen inte är anonyma, oavsett om de inte använder slumpmässiga orakel. Alla kända HIBE system, inklusive GentrySilverberg systemet i den slumpmässiga oracle modellen, förlitar sig på randomisering för att korrekt delegera privata nycklar ner hierarkin på ett collusion-resistent sätt. På grund av detta har vi på liknande sätt egenskapen att de extra komponenter som behövs för att avbryta randomiseringen också kommer att ge ett test för adressatens identitet. Eftersom randomiserade nycklar verkar vara grundläggande för att utforma (H)IBE-system utan slumpmässiga orakel, strävar vi efter att utforma ett system där den nödvändiga extra informationen kommer att döljas för en datoriserad motståndare. Så även om vi inte kan förhindra att chiffertexten innehåller information om mottagaren, kan vi utforma vårt system så att denna information inte lätt kan testas utifrån de offentliga parametrarna och chiffertext ensam.  Vi börjar med att beskriva en Anonym IBE-plan som är semantiskt säker mot selektiv-ID valda klartext attacker. Denna konstruktion kommer att illustrera vår grundläggande teknik för att "splitta" de bilinjära gruppelementen i två delar för att skydda mot de attacker som beskrivs i föregående avsnitt. I nästa avsnitt kommer vi att beskriva vår fullständiga Anonym HIBE schema, samt nämna hur man uppnår adaptiv-ID och valt chiffertext säkerhet. För enkelhet, och även för att visa att vi får anonymitet även när du använder symmetriska parningar, beskriver vi IBE-systemet (och IBE-systemet endast) i det speciella fallet där G = en: Ställa in Algoritmen väljer en slumpgenerator g  på G, slumpmässiga gruppelement g 0, g 1 G, och slumpmässiga exponenter, t 1, t 2, t 3, t 4 Z p. Det håller dessa exponenter som huvudnyckeln, MSK. Motsvarande systemparametrar publiceras som: Extract(Msk, Id) För att utfärda en privat nyckel för identitet Id, väljer nyckel extraktion myndigheten två slumpmässiga exponenter r 1, r 2  på Z p, och beräknar den privata nyckeln,, som: Kryptera (Pub, Id, M ) Kryptera ett meddelande Msg  och G T för en identitet Id  på Z × p fungerar enligt följande. Algoritmen väljer slumpmässiga exponenter s, s 1, s 2 Z p, och skapar chiffertext som: Decrypt( Pvk Id, C) Dekrypteringsalgoritmen försöker dekryptera en chiffertext CT genom att datorisera: Bevisa säkerhet. Vi bevisar säkerheten med hjälp av ett hybridexperiment. Låt [C ′, C 0, C 1, C 2, C 3, C 4 ] betecknar utmaningen chiffertext ges till motståndaren under en verklig attack. Dessutom låt R vara en slumpmässig del av G T, och R ′, R ′ ′ vara slumpmässiga delar av G. Vi definierar följande hybrid spel som skiljer sig från vilken utmaning chiffertext ges av simulatorn till motståndaren: Vi noterar att utmaningen chiffertext i 3 läcker ingen information om identiteten eftersom den består av sex slumpmässiga gruppelement, medan i 0 utmaningen är väl utformad. Vi visar att övergången från 0 till 1 till 2 till 3 är helt oskiljaktiga. Lemma 1 (semantisk säkerhet). Enligt (t, )-beslut BDH antagande, finns det ingen motståndare kör i tid t som skiljer mellan spel 0 och 1 med fördel större än  på. Bevis. Beviset från denna lemma är i huvudsak ett resultat av säkerheten för selektiv-ID-systemet i Boneh-Boyen. Antag att det finns en motståndare som kan skilja mellan spel 0 och 1 med fördel. Sedan bygger vi en simulator som spelar Decison BDH-spelet med fördel. Simulatorn får en D-BDH utmaning [g, g z 1, g z 2, g z 3, Z] där Z är antingen e (g, g) z 1 z 2 z 3 eller en slumpmässig del av G T med samma sannolikhet. Spelet går vidare enligt följande: Init: Motståndaren tillkännager identiteten Id * det vill utmanas på. Ställ in: Simulatorn väljer slumpmässiga exponenter t 1, t 2, t 3, t 4, y  på Z p. Den behåller generatorn g, och sätter g 0 = (g z 1 ) − Id g y och g 1 = g z 1. De offentliga parametrarna publiceras som: Observera att detta innebär att  ska = z 1 z 2. Etapp 1: Antag att motståndaren begär en nyckel för identitet Id = Id *. Simulatorn väljer slumpmässiga exponenter r 1, r 2 Z p, och utfärdar en privat nyckel som: Detta är en väl formad hemlig nyckel för slumpmässiga exponenser 1 = r 1 − z 2 /(Id − Id * ) andr 2 = r 2. Utmaning: När du får ett meddelande Msg från motståndaren, simulatorn väljer s 1, s 2 Z p, och utdata utmaningen chiffertext som: Vi kan låta s = z 3 och se att om Z = e(g, g) z 1 z 2 z 3 simulatorn spelar spel 0 med motståndaren, annars simulatorn spelar spel 1 med motståndaren. Simulatorn besvarar frågorna på samma sätt som fas 1. Gissa: Simulatorn ger en gissning γ, som simulatorn vidarebefordrar som sin egen gissning för D-BDH-spelet. Eftersom simulatorn spelar spel 0 om och endast den givna D-BDH instansen var väl formad, är simulatorns fördel i D-BDH-spelet exakt. Lemma 2 (anonymitet, del 1). Enligt (t,  på)-beslut linjärt antagande, kan ingen motståndare som körs i tid t skilja mellan spel 1 och 2 med fördel större än  på. Bevis. Antag att det finns en motståndare A som skiljer mellan de två spel med fördel. Sedan konstruerar vi en simulator som vinner Decision Linear-spelet enligt följande. Simulatorn tar i en D-Linear instans [g, g z 1, g z 2, g z 1 z 3, g z 2 z 4, Z], där Z är antingen g z 3 + z 4 eller slumpmässigt i G med samma sannolikhet. För bekvämlighet, vi skriva om detta som [g, g z 1, g z 2, g z 1 z 3, Y, g s ] för s sådan att g s = Z, och överväga uppgiften att besluta om Y = g z 2 (s-z 3 ) som är likvärdig. Simulatorn spelar spelet i följande steg. Init: Motståndaren A ger simulatorn utmaningen identitet Id *. Ställ in: Simulatorn väljer först slumpmässiga exponenter α, y, t 3, t 4,  ska. Det låter g i simuleringen vara som i instans, och sätter v 1 = g z 2 och v 2 = g z 1. Den offentliga nyckeln publiceras som: 8 Om vi poserar t 1 = z 1 och t 2 = z 2, Vi noterar att den offentliga nyckeln distribueras som i det verkliga systemet. För att svara på en privat nyckel utdrag fråga för en identitet Id = ID * simulatorn väljer slumpmässiga exponenter r 1, r 2 Z p, och utdata en nyckel ges av: Om, i stället för r 1 och r 2, Vi anser detta par enhetliga slumpmässiga exponenter, då ser vi att den privata nyckeln är väl utformad, eftersom det kan skrivas om som: −r 2 t 3. Utmaning: Simulatorn får från motståndaren ett meddelande M som den kan kasta, och svarar med en utmaning chiffertext för identiteten Id *. Pose s 1 = z 3. För att fortsätta, simulatorn väljer en slumpmässig exponent s 2  på Z p och en slumpmässig element R  på G T, och utgångar chiffertext som: 2 ; alla delar av utmaningen men C ′ är således väl formade, och simulatorn beter sig som i spelet 1. Om istället Y är oberoende av z 1, z 2, s, s 1, s 2, som händer när Z är slumpmässigt, då simulatorn svarade som i spelet 2. I fas 2: Simulatorn svarar på frågan på samma sätt som i fas 1. Utgång: Motståndaren ger lite γ för att gissa vilket hybridspel simulatorn har spelat. Sammanfattningsvis, simulatorn vidarebefordrar γ som sitt eget svar i beslut-Linear spelet. Genom simuleringen inställning fördelen med simulatorn kommer att vara exakt den av motståndaren. Lemma 3 (anonymitet, del 2). Enligt (t, )-beslut linjära antagande, kan ingen motståndare som körs i tid t skilja mellan spel 2 och 3 med fördel större än  på. Bevis. Detta argument följer nästan identiskt med Lemma 2, utom där simuleringen görs över parametrarna v 3 och v 4 i stället för v 1 och v 2. Den andra skillnaden är att g  på sikt som dök upp i d 1, d 2 utan att störa simuleringen, inte ens visas i d 3, d 4. The Scheme : Anonym HIBE Vi beskriver nu hela vårt Anonyma HIBE-schema utan slumpmässiga orakel. Anonymitet tillhandahålls genom den uppdelningsteknik och det hybridbevis som infördes i föregående avsnitt. Dessutom, för att omintetgöra de många vägar för användarens maskopi som möjliggörs av hierarkin, är tangenterna återrandomized mellan alla syskon och alla barn. Detta görs ungefär genom att använda flera parallella HIBE-system, som kombineras slumpmässigt varje gång en ny privat nyckel utfärdas. I säkerhetsbeviset hanteras denna extra komplikation av en "multihemlig simulator", som kan simulera flera samverkande HIBE-system under en uppsättning begränsningar. Detta är ett teoretiskt bevis för informationen som ligger ovanpå hybridargumentet, som är beräkningsbart. För det mesta fokuserar vi på säkerhet mot selektiv identitet, valda klartextattacker. I bilaga A nämner vi hur man säkrar systemet mot adaptiv-ID och CCA2-motståndare. Ställ in(1, D) För att generera de offentliga systemparametrarna och motsvarande huvudhemliga nyckel, med tanke på en säkerhetsparameter  och N i unary, och hierarkins maximala djup D  på N, genererar installationsalgoritmen först en bilinjär instans 1. Välj 7 + 5 D + D 2 slumpmässiga heltal modulo p (vissa av dem med våld icke-noll): 2. Publicera G och systemparametrarna Pub  på G T × G 2 (1 + D) (2 + D) ges av: 3. Behåll den hemliga huvudnyckeln Msk 1+(3+D) (2+D) bestående av elementen: Extract(Pub, Msk, Id) För att extrahera en privat nyckel för en identitet Id där L  ska {1,.., D} och enligt konvention I 0 = 1, använda huvudnyckeln Msk: 3. Återrandomiseringsdelen: Pvk Hela den privata nyckeln är utfärdad som konkatetering: Pvk Id = Pvk Varje rad till vänster kan ses som en privat nyckel i ett oberoende HIBE-system (med generaliserad linjär delning som i Avsnitt 4). Den största skillnaden är att endast Pvk där L  till {2,.., D} och I 0 = 1, givet en privat nyckel till föräldern. Låt det vara 2. Beräkna för dekrypteringsdelen:. 3. Vad är det som händer? För återrandomisering: Pvk. Den underordnade privata nyckeln är konkateteringen: Deriv och Extract skapar privata nycklar med samma struktur och distribution. Härledningsprocessen i Derive förenar två distinkta operationer: delegering och återrandomisering. -Re-randomisering sker först, konceptuellt sett. Helt enkelt tar vi en slumpmässig linjär kombination av alla rader i den stora matrisen på sidan 10. Den första raden behandlas lite annorlunda: den ingriper inte i någon annan rads re-randomisering, och dess egen koefficient är satt till 1. -Delegering riktar sig till de vänstra delarna av Pvk Vi vänder oss nu till krypterings- och dekrypteringsmetoderna. Kryptera (Pub, Id, Msg) Kryptera ett meddelande kodat som gruppelement Msg  och G T för en given identitet Id = [I 0 (= 1), I 1,. .., I L ] på nivå L, krypteringsalgoritmen fortskrider enligt följande: G T × G 5+2 D. Kryptering är mycket billigt med lite caching eftersom exponentiations baser aldrig förändras. Decrypt( Pub, Pvk Id, CT) Att dekryptera en chiffertext CT, genom att använda (dekrypteringsdelen av) en privat nyckel Pvk (a), k n,(b) ] n=0,...,1+D ], dekrypteringsalgoritmen utgångar: Msg ← E · e(c 0, k 0 ) 1+D n=0 e(c n,(a), k n,a) ) e(c n,b), k n,b ) G T. Alla parningar i produkten kan beräknas på en gång med hjälp av "multi-pairing" tricket som liknar multi-exponentiering. Man kan också utnyttja det faktum att alla k ···· är fast för en given mottagare att utföra fördelaktiga förhandsberäkningar [3]. Följande teorem visar att extraherade och delegerade privata nycklar är identiskt fördelade, och att extraktion, kryptering och dekryptering, är konsekvent. Bevis ges i bilaga B. Teorem 4. Privata nycklar beräknade av Derive och Extract har samma distribution. Teorin 5. Det anonyma HIBE-systemet är internt konsekvent. Vi anger säkerhetsteorem för A-HIBE-planen. Minskningarna är i huvudsak snäva och håller fast vid standardmodellen. Informella argument och fullständiga bevis kan hittas i bilaga C. För det första visar vi semantisk säkerhet mot en selektiv identitet, vald klartext motståndare. Teorem 6 (Förtroende). Anta att G upprätthåller (τ,  på)-beslut BDH antagande. Sedan, mot en selektiv-ID motståndare som gör som mest q privat nyckel extraktion frågor, HIBE systemet i avsnitt 5 är (q,τ, på)-IND-sID-CPA säkrad i G medτ.τ och på =  på 3 + D) q/p. Nästa teorem visar att programmet är mottagare anonymt under en selektiv identitet, valt klartext attack. (Sändar anonymitet är en trivial egenskap av oautentiserad kryptering.) Teorem 7 (Anonymhet). Antag att G upprätthåller (τ,  på)-beslut Linjärt antagande. Sedan, mot en selektiv-ID motståndare som gör q privata nyckel extraktion frågor, HIBE systemet i avsnitt 5 är (q,τ, på)-ANON-sID-CPA säkrad i G medτ  påsar och påsar =... − (2 + D) (7 + 3 D) q/p. Aktiva attacker. Vi nämner hur man säkrar systemet mot aktiva motståndare - i adaptiv identitet (ID) och adaptiv vald chiffertext (CCA2) attack modeller - i bilaga A. 12 Vi presenterade ett bevisligen anonymt IBE- och HIBE-system utan slumpmässiga orakler, som löser en öppen fråga från CRYPTO 2005 om förekomsten av anonyma HIBE-system. Våra konstruktioner använder sig av en ny "linjär-splitting" teknik som hindrar en angripare från att testa den avsedda mottagaren av chiffertexts men tillåter användning av randomiserade privata IBE nycklar. I det hierarkiska fallet lägger vi till en ny "multi-simulering" proof-enhet som tillåter flera HIBE-delsystem att samtidigt re-randomisera varandra. Säkerheten baseras enbart på Linjärt antagande i bilinjära grupper. Vårt grundläggande system är mycket effektivt, inom en faktor två av (icke-anonym) Boneh-Boyen, och mycket snabbare än Boneh-Franklin kryptering. Det fullständiga hierarkiska systemet förblir praktiskt med sin kvadratiska privata nyckelstorlek, och dess linjära chiffertextstorlek, krypteringstid och dekrypteringstid, som funktioner i hierarkins djup.
Boyen och Waters Ref föreslog en anonym HIBE.
Anonymous Hierarchical Identity-Based Encryption (without Random Oracles)
{'venue': 'In CRYPTO', 'journal': None, 'mag_field_of_study': ['Computer Science']}