[論文レビュー] Anonymous and Adaptively Secure Revocable IBE with Constant Size Public Parameters

Jie Chen, Hoon Wei Lim+3 more|arXiv (Cornell University)|Oct 24, 2012

Cryptography and Data Security参考文献 20被引用数 6

ひとこと要約

本稿では、SXDHおよびDLIN仮定の下で、定数サイズの公開パラメータを備えた、適応的セキュリティおよび暗号文匿名性を達成する非インタラクティブな改訂可能型IDベース暗号（RIBE）方式を2つ提案する。これらの方式は、二分木に基づく鍵更新メカニズムと二系統暗号化を用い、インタラクティブな更新や信頼されたハードウェアに依存せずに、効率的な鍵の無効化を可能にする。これにより、従来のRIBE構成における長年の制限が解消される。

ABSTRACT

In Identity-Based Encryption (IBE) systems, key revocation is non-trivial. This is because a user's identity is itself a public key. Moreover, the private key corresponding to the identity needs to be obtained from a trusted key authority through an authenticated and secrecy protected channel. So far, there exist only a very small number of revocable IBE (RIBE) schemes that support non-interactive key revocation, in the sense that the user is not required to interact with the key authority or some kind of trusted hardware to renew her private key without changing her public key (or identity). These schemes are either proven to be only selectively secure or have public parameters which grow linearly in a given security parameter. In this paper, we present two constructions of non-interactive RIBE that satisfy all the following three attractive properties: (i) proven to be adaptively secure under the Symmetric External Diffie-Hellman (SXDH) and the Decisional Linear (DLIN) assumptions; (ii) have constant-size public parameters; and (iii) preserve the anonymity of ciphertexts---a property that has not yet been achieved in all the current schemes.

研究の動機と目的

• アイデンティティベース暗号（IBE）における効率的で非インタラクティブな鍵の無効化を実現する課題に取り組むこと。従来の方法では、インタラクティブな更新や信頼されたハードウェアに依存する必要がある。
• 既存のRIBE方式の制限を克服すること。具体的には、適応的セキュリティを欠いている、もしくはセキュリティパrameterに比例して公開パラメータが線形に増加する方式である。
• 適応的セキュリティと暗号文匿名性——これら2つの性質を同時に満たすことが、従来のRIBE構成では達成されていなかった——を実現すること。
• 鍵の無効化が効率的かつスケーラブルであるシステムを設計すること。これにより、ユーザー数に対して対数時間の計算量で無効化が可能になる。
• 実世界のシステムへの実用的導入を可能にするために、定数サイズの公開パラメータと強力なセキュリティ保証を確保すること。

提案手法

• ユーザーを二分木に配置し、各ユーザーはリーフノードに割り当てられ、ルートへのパスに沿ったノードから秘密鍵の成分を受信する。
• 適応的セキュリティの証明に二系統暗号化技術を用い、階層的鍵導出フレームワーク内でSXDHおよびDLIN仮定を活用する。
• 時間帯ベースの鍵更新メカニズムを導入し、鍵管理者は非無効化ユーザーをカバーする最小の部分木内のノードに対してのみ更新を公開する。
• 秘密鍵を2つの成分に分解する：1つはユーザーのアイデンティティに紐づけられ、もう1つは時間帯に紐づけられる。これにより、双線形ペアリングを用いた効率的な復号が可能になる。
• 公開パラメータ構造を、対称的外部ディフィー・ヘルマン（SXDH）および決定的線形（DLIN）仮定に基づいて設計し、システムサイズにかかわらず定数サイズのパラメータを保証する。
• DLINに基づく部分空間仮定を用いた、複数のシミュレーションチャレンジを含む、新たなセキュリティ証明技術を導入する。

実験結果

リサーチクエスチョン

• RQ1 インタラクティブな鍵更新や信頼されたハードウェアに依存せずに、適応的セキュリティを達成する非インタラクティブなRIBE方式を構築することは可能か？
• RQ2 効率的な無効化と強力なセキュリティ保証を維持しつつ、RIBE方式で定数サイズの公開パラメータを維持することは可能か？
• RQ3 SXDHおよびDLINといった標準仮定の下で、RIBEシステムにおける暗号文匿名性を維持することは可能か？
• RQ4 二系統暗号化をRIBEに拡張することで、適応的セキュリティと匿名性の両方を達成することは可能か？
• RQ5 RIBEにおいて、無効化の効率性と定数サイズの公開パラメータを達成するために必要な最小限の計算オーバーヘッドは何か？

主な発見

• 提案されたRIBE方式は、SXDHおよびDLIN仮定の下で適応的セキュリティを達成しており、セキュリティ還元の境界は、秘密鍵クエリおよび鍵更新クエリの数に対して多項式的にスケーリングする。
• ユーザー数や時間帯の数に関係なく、公開パラメータのサイズは常に一定であり、これにより従来の方式における主要なスケーラビリティの制限が解消される。
• 暗号文は匿名性を持つ。つまり、攻撃者は、同じアイデンティティと時間帯における異なるメッセージの暗号化を区別できない。
• 鍵の無効化メカニズムは非インタラクティブで効率的であり、ユーザー数に対して対数時間の計算量で実行可能である。
• これらの方式は、改訂可能型属性ベース暗号（ABE）および弱属性隠蔽を備えたIDベース暗号への自然な拡張をサポートする。
• セキュリティ証明は、ハイブリッドゲームとシミュレーションチャレンジの系列を用い、最終的な優位性はDLINの優位性に加え、クエリ数に依存する無視できる誤差項で抑えられる。