重探抗泄漏下的前向安全性

### 重探抗泄漏下的前向安全性 在当今数字化时代，数据安全至关重要，尤其是在面临各种潜在泄漏风险的情况下。本文将深入探讨在抗泄漏环境下的前向安全性相关内容，包括FS + CL模型下的加密方案以及FS + (C)EBL模型的相关概念和构造。 #### 1. FS + CL模型下的加密 在FS + CL模型中，我们关注的是一种密钥演化加密方案KEE。该方案指定了几个PPT算法，包括KEE.Kg、KEE.Upd、KEE.Enc和KEE.Dec，其中KEE.Dec是确定性的。这个加密方案与最大时间周期T = T(κ)相关联。 - **算法介绍** - **KEE.Kg(1κ)**：用于生成初始密钥对(sk1, pk)。 - **KEE.Upd(1κ, pk, i, ski)**：将密钥从时间周期i更新到i + 1，输出ski + 1。 - **KEE.Enc**：在时间周期i使用公钥pk对消息m进行加密。 - **KEE.Dec**：使用秘密密钥ski解密在时间i产生的密文c。 同时，我们有一个安全游戏FINDCL来定义密钥演化加密方案KEE在连续泄漏下的前向不可区分性。在这个游戏中，攻击者可以访问三个预言机： - **Up**：用于更新密钥。 - **Leak**：使用其选择的泄漏函数L对密钥进行泄漏。 - **Exp**：一次性访问，可获取整个秘密密钥skt∗。 攻击者有一个额外的约束，即δ - 有界，意味着攻击者每个时间周期最多可以从秘密密钥中泄漏δ(κ)位。攻击者提供挑战消息i, m0, m1和一个时间周期i，接收随机选择的位b对应的mb的加密结果。如果攻击者正确猜测位b且i < t∗，则攻击者赢得游戏。一个加密方案如果攻击者在上述游戏中获胜的优势是可忽略的，则该方案是FINDCL - 安全的。 下面是FINDCL游戏的流程： ```mermaid graph TD A[开始] --> B[KEE.Kg生成初始状态] B --> C{条件判断} C -- 不满足 --> D[返回false] C -- 满足 --> E[KEE.Enc加密消息] E --> F[返回结果] G[Up查询] --> H{条件判断} H -- 满足 --> I[KEE.Upd更新密钥] H -- 不满足 --> J[返回] K[Leak查询] --> L[返回泄漏结果] M[Exp查询] --> N[返回整个秘密密钥] ``` #### 2. 构造FS + CL加密方案 为了构造FS + CL加密方案，我们首先抽象出连续抗泄漏二叉树加密(CLR - BTE)的概念，并使用它来构建达到最优泄漏率（即1 - o(1)）的FS + CL加密方案。 ##### 2.1 连续抗泄漏二叉树加密(CLR - BTE) CLR - BTE方案由一组PPT算法(Gen, Der, Upd, Enc, Dec)组成： - **Gen(1κ, 1ℓ)**：密钥生成算法，输入安全参数κ和树的深度ℓ，返回主公共密钥MPK和初始（根）秘密密钥SKε。 - **Der(MPK, w, Skw)**：密钥推导算法，输入MPK、节点w的身份和其秘密密钥SKw，返回w的两个子节点的秘密密钥SKw0和SKw1。 - **Upd(w, Skw)**：密钥更新算法，输入节点w的秘密密钥SKw，输出重新随机化的密钥SK′w，且|SK′w| = |SKw|。 - **Enc(MPK, w, M)**：加密算法，输入MPK、节点w的身份和消息M，返回密文C。 - **Dec(MPK, w, Skw, C)**：解密算法，输入MPK、节点w的身份、其秘密密钥SKw和密文C，返回消息M或⊥（表示解密失败）。 CLR - BTE方案需要满足正确性条件，即对于Gen输出的所有(MPK, SKε)，任何节点w ∈ {0, 1}≤ℓ，任何为该节点正确生成的秘密密钥SKw（也可以是Upd多次调用的输出），以及任何消息M，都有Dec(MPK, w, SKw, Enc(MPK, w, M)) = M。 ##### 2.2 CLR - BTE的安全模型 我们的CLR - BTE安全模型是对Canetti等人提出的选择节点选择明文攻击(SN - CPA)概念的推广。在这个模型中，攻击者首先指定目标节点w∗∈ {0, 1}≤ℓ的身份。攻击者接收公共密钥MPK和所有不会轻易让其推导出w∗秘密密钥的节点的秘密密钥。此外，攻击者还可以连续从根节点到w∗路径上的所有节点（包括两者）的秘密密钥中进行泄漏。攻击者的目标是在关于目标节点w∗的不可区分性游戏中获胜。 一个CLR - BTE方案如果对于所有多项式有界函数ℓ(·)和泄漏界限λ(κ)，任何PPT攻击者A在以下游戏中的优势在安全参数κ上是可忽略的，则该方案是抗连续泄漏选择节点选择明文攻击(λ(κ) - CLR - SN - CPA)安全的： 1. 攻击者A(1κ, ℓ)输出一个节点w∗∈ {0, 1}≤ℓ的名称，记从根节点到目标节点w∗的路径为Pw∗。 2. 挑战者运行算法Gen(1κ, ℓ)，输出(MPK, SKε)。同时，运行Der(·, ·, ·)生成路径Pw∗上所有节点的秘密密钥，以及w∗的两个子节点w∗0和w∗1的秘密密钥。攻击者接收MPK和以下形式的所有节点w的秘密密钥{SKw}： - w = w′¯b，其中w′b是w∗的前缀且b ∈ {0, 1}（即w是Pw∗中某个节点的兄弟节点）。 - w = w∗0或w = w∗1（即w是w∗的子节点，仅当|w∗| < ℓ时）。 挑战者还创建一个集合T，用于保存所有（节点）身份、秘密密钥和到目前为止每个密钥泄漏的位数的元组。 3. 攻击者Aclr - bte可以进行泄漏查询。攻击者可以进行任意多轮泄漏。在每一轮中： - 攻击者提供一个概率泄漏函数h : {0, 1}∗→ {0, 1}λ(κ)的描述，以及路径Pw∗中一个节点w的身份。挑战者扫描集合T，找到身份为w的元组，形式为(w, SKw, Lw)。然后检查Lw + |h(SKw)| ≤ λ(κ)是否成立。如果成立，响应h(SKw)并更新Lw = Lw + |h(SKw)|；如果不成立，返回⊥给攻击者。 - 在每一轮结束时，挑战者计算SK′w ← Upd(w, SKw)并更新SKw = SK′w。 4. 攻击者A向挑战者发送两个消息M0和M1，使得|M0| = |M1|。挑战者随机选择一个位b $←− {0, 1}，计算C∗← Enc(MPK, w∗, Mb)，并将C∗返回给攻击者A。攻击者在收到挑战密文C∗后不允许再进行任何泄漏查询。 在游戏结束时，攻击者输出一个位b′ ∈ {0, 1}，如果b′ = b，则攻击者成功。攻击者的优势是其成功概率与1/2的差值的绝对值。 ##### 2.3 CLR - BTE方案的构造 我们的CLR - BTE方案可以直接从Lewko等人的连续抗泄漏HIBE (CLR - HIBE)构造实例化，调整到二叉树的设置。由于[33]中的CLR - HIBE采用双系统加密技术，对自适应攻击者具有安全性，因此得到的CLR - BTE是自适应安全的。该方案的安全性可以在复合阶双线性群的静态假设下得到证明。对于适当的参数选择，他们的CLR - HIBE方案可以达到最优泄漏率1 - o(1)。 ##### 2.4 从CLR - BTE方案构造FINDCL加密方案 我们展示了一种从任何CLR - BTE方案构造FINDCL - 安全加密方案的通用方法。主要思想是对底层的CLR - BTE方案使用Canetti - Halevi - Katz (CHK)变换来构造FINDCL加密方案。 设(Gen, Der, Upd, Enc, Dec)是一个CLR - BTE方案，我们构造FINDCL PKE方案(KEE.Kg, KEE.Upd, KEE.Enc, KEE.Dec)如下： - **KEE.Kg(1κ, T)**：运行Gen(1κ, ℓ)，其中T ≤ 2ℓ - 1，得到(MPK, SKε)。设置pk = (MPK, T)，sk1 = SKε。 - **KEE.Upd(1κ, pk, i, ski)**：秘密密钥ski组织为节点密钥的栈，顶部是秘密密钥SK′wi，它是通过对密钥SKwi运行CLR - BTE方案的Upd（可能多次）获得的。首先从栈中弹出该密钥。如果wi是叶节点，栈顶的下一个节点密钥是SK′wi + 1（SKwi + 1的刷新版本）。如果wi是内部节点，计算(SKwi0, SKwi1) ← Der(pk, wi, SKwi)，然后对于b ∈ {0, 1}，计算SK′wib ← Upd(w, SKwib)。对于栈中剩余的所有其他节点密钥SKw（对应于ski + 1），运行SK′w ← Upd(w, SKw)。然后将SK′wi1和SK′wi0压入栈中。在任何情况下，节点密钥SK′wi都会被擦除。 - **KEE.Enc(pk, i, m)**：运行Enc(pk, wi, m)，注意wi可以根据i和T公开计算得到。 - **KEE.Dec(1κ, pki, ski, ci)**：运行Dec(pk, w, SK′wi, ci)，注意SK′wi作为ski的一部分存储。 以下是构造过程的总结表格： | 算法 | 描述 | | --- | --- | | KEE.Kg | 运行Gen得到MPK和SKε，设置pk和sk1 | | KEE.Upd | 根据节点类型更新密钥栈 | | KEE.Enc | 运行Enc加密消息 | | KEE.Dec | 运行Dec解密密文 | 通过上述内容，我们详细介绍了FS + CL模型下的加密方案及其构造，利用CLR - BTE的概念和CHK变换，为实现抗连续泄漏的前向安全加密提供了一种有效的方法。在下半部分，我们将继续探讨FS + (C)EBL模型的相关内容。 ### 重探抗泄漏下的前向安全性 #### 3. FS + (C)EBL模型相关内容 在这部分，我们将详细介绍FS + (C)EBL模型，并给出在FS + EBL模型下NIKE（无交互密钥交换）的构造。 ##### 3.1 FS + EBL模型概述 熵有界泄漏（EBL）模型旨在确保在攻击者对秘密密钥进行泄漏的情况下的安全性。为了使攻击具有挑战性，该模型定义了攻击者的合法性。一个攻击者是合法的，当且仅当在泄漏发生后，秘密密钥sk仍然包含足够的最小熵，这个最小熵由参数α来衡量。这其实是对长度有界泄漏模型的一种推广，在长度有界泄漏模型中，泄漏函数最多只能泄漏δ位。 最初，EBL模型是在单时间周期的场景下定义的，因为只有一个秘密密钥。后来，长度有界泄漏模型被扩展到多时间周期的场景，这就是连续泄漏模型。在连续泄漏模型中，秘密密钥会在不同时间周期通过随机化更新函数进行更新，并且攻击者在每个时间周期最多只能泄漏δ位。 在本节中，我们考虑确定性密钥更新函数，并将熵有界泄漏模型的思想扩展到多时间周期的场景。我们研究的是前向安全且能抵抗熵有界泄漏的方案，即前向安全 + 熵有界泄漏模型（FS + EBL）。该模型由参数T和α来定义，其中T是最大时间周期数，α是所需的最小剩余熵。 下面是对FS + EBL模型与其他相关模型关系的总结表格： | 模型名称 | 时间周期 | 泄漏限制 | 密钥更新 | | --- | --- | --- | --- | | 长度有界泄漏模型 | 单时间周期 | 最多δ位 | 无 | | 连续泄漏模型 | 多时间周期 | 每个周期最多δ位 | 随机化更新 | | FS + EBL模型 | 多时间周期 | 基于最小剩余熵α | 确定性更新 | ##### 3.2 FS + EBL模型中攻击者合法性的定义 设Π是任何具有确定性密钥更新算法的密钥演化方案，SKi表示密钥更新算法在时间周期i产生的随机变量。那么，任何进行泄漏查询Li(SKi)（i = 1, ..., T）的PPT攻击者A，在(T, α) - FS + EBL模型中是合法的，当且仅当满足以下条件： \(\forall j \in [t^*], H_{\infty}(SK_j | L_1, \cdots, L_T, RL_1, \cdots, RL_T) \geq \alpha\) 其中，RLi表示攻击者对应于泄漏函数Li的随机硬币，t∗ ≤ T是攻击者被完整获取秘密密钥skt∗的时间周期。 下面是对该合法性条件的详细解释流程： 1. 攻击者在每个时间周期i对秘密密钥SKi进行泄漏查询，得到泄漏结果Li(SKi)。 2. 对于每个时间周期j（j ≤ t∗），我们需要考虑在已知所有泄漏结果L1, ..., LT以及对应的随机硬币RL1, ..., RLT的情况下，秘密密钥SKj的最小熵。 3. 如果这个最小熵始终大于等于α，那么攻击者就是合法的。 ```mermaid graph TD A[攻击者进行泄漏查询] --> B[获取泄漏结果Li(SKi)] B --> C[计算每个时间周期j的最小熵H∞(SKj | L1, ..., LT, RL1, ..., RLT)] C --> D{最小熵是否≥α} D -- 是 --> E[攻击者合法] D -- 否 --> F[攻击者不合法] ``` #### 4. 总结与展望 通过对FS + CL模型和FS + (C)EBL模型的详细介绍，我们可以看到在抗泄漏环境下实现前向安全性的多种方法。在FS + CL模型中，我们利用连续抗泄漏二叉树加密（CLR - BTE）的概念和Canetti - Halevi - Katz（CHK）变换，成功构造了FINDCL - 安全的加密方案。而在FS + (C)EBL模型中，我们将熵有界泄漏的思想扩展到多时间周期的场景，为设计更安全的密钥演化方案提供了新的思路。 未来，我们可以进一步研究这些模型的实际应用，例如在物联网、云计算等领域，如何更好地利用这些安全机制来保护数据的安全。同时，也可以探索如何优化这些方案，提高其效率和性能，以满足不同场景下的需求。 总之，抗泄漏下的前向安全性是一个充满挑战和机遇的研究领域，随着技术的不断发展，我们有望找到更加完善和高效的解决方案。