本文是一篇软件工程硕士论文，本文提出了一个支持群组等式测试的属性基加密方案。该方案兼具了属性基加密和群组等式测试的优点。一方面，利用群组粒度授权将云服务器对比密文的能力限制在群组内，避免信息泄露；另一方面，只有属性集和与嵌入策略匹配的用户才能访问共享加密数据，数据只需加密一次即可实现与多个用户共享，在云计算中实现了高效的一对多数据共享。
第一章 绪论
1.1 引言
作为构建现代智能社会重要基石，计算机技术及应用正以前所未有的迅猛速度推动着社会向数字化、信息化转型。经由互联网的信息交流方式在为人们的生产生活带来便捷与自由、开放与多元的同时，网络信息安全与用户信息安全问题日益突出。如何保护通信安全和存储数据安全、应对层出不穷的网络威胁已成为目前学界和工业界的关注焦点。
密码学[1]作为信息安全领域的底层核心技术，拥有悠久迷人的历史。古典密码学被视为一种实用艺术，如一次性密码本[2]、维吉尼亚密码[3]。起源20世纪末的现代密码学[4]则是一门具有严格逻辑理论的学科，根据用于加密和解密的密钥是否一致可将现代密码学分为对称密码与非对称密码两大体系。对称密码体系[5] [6]中使用相同的密钥执行加密和解密，通信双方需要在正式会话开始前协商出会话密钥并妥善保管。对称加密体制存在两个明显弊端：密钥管理问题与密钥分发问题。对同一个用户来说，开启不同的会话需要不同密钥，随着会话数量增加，该用户需要管理的密钥数量也随之增加。更为棘手的是，开放的网络信道并不可靠，会话两端的用户难以安全创建出共有密钥。
1976年是密码学学科发展的重大拐点，Diffie和Hellman[7]发表了题为《New directions in cryptography》的论文，首次提出了公钥密码学的概念，并介绍了一种巧妙的密钥交换方法。该方法的安全性依赖于离散对数问题。在密码学中应用数学困难问题的想法指明了密码学研究的新发展方向。Rivest等人基于大整数分解质因数的困难性提出了第一个具体实用的公钥加密和签名算法RSA[8]。在公钥加密体系中，用于加密的密钥将公开，称为公钥，而用于解密的密钥则只有用户知晓，称为私钥。同一用户的公钥与私钥虽然具有数学联系但是具体构成并不相同。公钥加密方案有效地解决了对称加密中的密钥分发与管理问题。会话双方各自拥有一个公私钥对，消息发送方用接收方的公钥加密然后传递给对端，只有消息接收方使用自己的私钥才可以解开信息；此外，发送方用自己的私钥加密消息再由接收方用对应公钥解密，可用于验证消息发送方身份。由于以上优点，公钥加密算法RSA以及后续出现的ElGamal加密算法[9]、Cramer-Shoup加密算法[10]、椭圆曲线加密算法[11]等在政府、军队、商务金融等领域具有广泛应用，为数据通信、数据存储提供强有力的安全保证。
1.2 研究背景与意义
随着互联网规模日益庞大，不断涌入的用户与设备使得网络中需要传播与处理的数据呈爆炸式增长，为公钥密码学带来新的挑战与前景。企业的传统计算与存储设备已不足以承载激增的业务需求，云计算[12-14]作为新兴技术范式，为企业和个人提供按需的动态存储资源与计算资源与便捷的移动网络访问。比如在云辅助自主交通系统中，利用云计算实现资源共享为相互连接的车辆提供稳定的低延迟车辆通信与高质量车载应用服务[15]。又比如在电子健康系统中，用户医疗数据被医疗服务提供商外包存储在云服务器上，使其医疗服务系统架构可以弹性扩展，既能提升服务质量又能降低服务成本[16]。然而，由于对网络的极高依赖度，云计算潜藏着众多安全隐患。云服务器将大量数字信息资源集中保存，如果不加以有效的存储手段与访问权限控制，将难以抵御恶意网络攻击，造成敏感信息泄露，侵犯用户的隐私与财产安全 [17]。
可搜索加密方案[18]作为一种新颖的公钥密码学范式，能够为云存储数据提供隐私保护和加密数据检索服务。在该方案中，用户为数据建立加密索引，检索时委托服务器将加密查询关键字与加密索引对比，以找出符合查询条件的文件。遗憾的是，由于方案要求加密的关键字和索引使用的密钥需要来自同一用户，这类可搜索加密方案[18-20]不能适用于多用户环境下的数据共享。Yang等人提出的支持等式测试的公钥加密方案（public key encryption with equality test, PKEET）[21]扩展了加密数据检索的范围，方案允许用户对两份来自不同用户的密文进行内容比较，使用户可以快速从共享加密数据中筛选出需要的数据。其具体数据检索过程如图1-1所示。数据接收方和数据发送方分别向云服务器发送陷门，然后由数据发送方上传消息密文与关键词密文，数据接收方上传查询关键词密文，最终由云服务器对查询关键字密文和内容关键字密文进行等式测试，并将结果返回给数据接收方，数据接收方根据测试结果决定是否下载云端数据。然而PKEET方案也存在缺陷，由其实现的一对多数据共享面临严重的性能问题。
第二章 预备知识
2.3 支持等式测试的加密体制
由Yang等人[21]提出的等式测试公钥加密体制拓展了多用户环境下密文检索的灵活性，用户对密文的操作范围从由个人公钥加密的信息扩展到了其所有能够访问到的密文。被用户授权的代理服务器在保护数据机密性的前提下为用户执行密文比较，允许待比较的两份密文由两个不同的公钥加密得到。
2.3.1 形式化定义
PKEET方案通常包含五个算法，描述如下： -密钥生成算法：输入安全参数，输出公/私钥对。 -加密算法：输入明文与公钥，输出密文。 -解密算法：输入密文与私钥，输出明文或错误提示。 -陷门生成算法：输入用户的私钥，输出授权陷门。 -密文比较算法：输入用户密文、和其对应陷门、，若和包含的明文内容一致，则输出1，否则输出0。
2.3.2 安全模型
首先，PKEET的方案中讨论了两种类型的恶意敌手，分别被称为第Ⅰ类敌手和第Ⅱ类敌手：
（1）第Ⅰ类敌手代表被用户授权执行等式测试的第三方代理，如云服务器，其不仅可以参与到挑战用户的算法的执行中获得授权令牌，同时还可以通过访问解密预言机获取关于的明文的信息。针对第Ⅰ类敌手，方案考虑实现选择密文下的单向安全性（one-wayness under chosen ciphertext attacks, OW-CCA），给定一个挑战密文，敌手无法恢复出其对应明文。
（2）第Ⅱ类敌手代表所有可能的恶意实体，该类型敌手可以视为与进行密文比较的另一用户，因此该敌手可以获知私钥的相关信息。此外，第Ⅱ类敌手可以通过访问解密预言机了解明文的信息。针对第Ⅱ类敌手，方案考虑实现选择密文下的不可区分性（indistinguishability under chosen ciphertext attacks, IND-CCA），在给定挑战密文的条件下，敌手无法判断出哪一个明文与挑战密文对应。
3.2 G-ABEET的系统模型、形式化定义和安全模型
3.2.1 系统模型
如图3-2所示，G-ABEET系统模型中包含地区交通中心、车辆和云服务器三种实体。当车辆作为群组成员加入群组时，受信任的区域交通中心作为群管理员将为车辆分配群组令牌（简称GW）。而当地区交通中心要利用云服务器为群组成员进行密文检索功能时，会向云服务器授权群陷门（简称GTD）。在数据加密阶段，群组成员将群组令牌和设置的访问策略作为密文生成的输入。这样，密文就与群组信息关联起来了。两个来自不同群组的密文不能进行密文等式测试。因此，被委托的云服务器只会为指定群组成员提供等式测试服务，目的是防止信息泄露到群外。另一方面，地区交通中心禁止云服务器生成密文，云服务器不会被视为群组成员也不会获得加密需要的群组令牌。因此，虽然云服务器可以猜测给定密文中的消息，但由于无法验证其猜测消息的正确性，所以无法成功发动离线消息攻击。值得注意的是，当车辆离开该地区时，其组成员资格将被撤销。这是因为由区域交通中心发布的车辆的解密密钥需要定期更新，而外地车辆被禁止申请新的解密密钥。当成员密钥过期时，其组成员资格将被取消。
第三章 云辅助自主交通系统下支持一对多数据共享的群组等式测试加密方案·· 11
3.1 引言····························· 11
3.2 G-ABEET的系统模型、形式化定义和安全模型 ················· 13
第四章 云辅助电子医疗系统下支持高效模糊匹配的等式测试加密方案 ··········· 37
4.1 引言······················· 37
4.2 PKEET-EFM的系统模型、形式化定义和安全模型 ···························· 40
第五章 全文总结与展望 ························ 65
5.1 全文总结 ································ 65
5.2 未来展望 ···················· 66
第四章 云辅助电子医疗系统下支持高效模糊匹配的等式测试加密方案
4.1 引言
电子医疗系统（e-healthcare system, EHS）[75]利用物联网技术[55]和无线体域网[76]将医疗保健服务质量提升了新的高度。在EHS中，患者使用移动智能设备如智能手表随时随地采集个人身体状况信息如心率、血氧含量等，这些数据都将归入患者的个人健康档案。健康服务提供商（healthcare service provider, HSP）根据患者的提供的健康数据为其提供个性化的远程医疗咨询[77]、实时生命体征检测[78]、个人身体状况跟踪[79]等医疗保健服务。为了支持和改善EHS服务的可靠性与效率，应对海量医疗数据带
