KP-ABE基于属性的加密加解密算法及Access Tree构建

注：本文加解密算法构建完全参考经典ABE paper:
Attribute-Based Encryption for Fine-Grained Access Control of Encrypted Data。

一.ABE介绍
ABE算法有两种类型，KP-ABE(Key-Policy Attribute-based encryption)和CP-ABE(Ciphertext-policy Attribute-based encryption)。从名字就可以看出
CP-ABE 密文与$AccessTree$相关，密钥与$attribute$相关。KP-ABE刚好反过来，密钥与$AccessTree$相关，密文与$attribute$相关。
我们这篇讲解KP-ABE。它除了选择数据的$attribute$外，就不会控制谁有权访问加密的数据，所以必须相信密钥发行者能发出适当的密钥。适用于日志管理，付费视频网络（明文用一个$AccessTree$加密后，只要用户密钥的属性满足这个$Tree$就可以进行解密）。我们在后面会具体讲$AccessTree$和$Attribute$，建议看完全文后再次返回来看这部分内容，会更清晰。

二.KP-ABE加解密总流程
KP-ABE方案共有四个算法：
1.Setup。输入安全参数，输出公共参数$PK$和主密钥$MK$。
2.Encryption。输入消息$m$，属性集合$\gamma$，公共参数$PK$。输出密文$E$。(可以看到密文和属性相关)
3.Key Generation。输入$AccessTreeA$，公共参数$PK$和主密钥$MK$，输出解密密钥$D$。
4.Decryption。输入基于属性$\gamma$加密的密文$E$，基于$AccessTreeA$生成的解密密钥$D$和公共参数$PK$。如果$\gamma$属于$A$即属性$\gamma$满足访问结构$A$，则输出$m$。

三.Access Tree构造
首先来说一下门限方案：
设秘密$s$被切分为$n$个部分信息，每一个部分称为子密钥，有一个参与者持有使得：
1.由$k$个或多于$k$个参与者的部分信息可重构$s$。
2.少于$k$个参与者不能重构消息$s$。
3.少于$k$个参与者持有的部分信息得不到$s$任何信息。
$(k,n)$为秘密分割门限方案，k称为门限值。

下面来讲解$AccessTree$：
用 $T$表示$AccessTree$，它其实就是一个树。每一个非叶子节点表示一个陷门，每一个非叶子节点有$numx$个子节点，$k_x$表示门限值，$0<k_x\le numx$.$k_x=1$表示是一个或门$(ORgate)$,$k_x=numx$ 表示是一个与门$(ANDgate)$.每一个叶子节点代表属性,其门限值为1.
该方案是基于多项式的拉格朗日插值法的。已知一个函数$p(x)$在$k$个互不相同的点的函数值$p(xi)$，寻求一个满足$f(xi)=p(xi)$的函数$p(x)$用来逼近$p(x)$.
拉格朗日插值：已知$p(x)$在$k$个不同点的函数值$p(xi)(i=1,2....k)$,可以构造$k-1$次插值多项式。

即由k-1次多项式$f(x)$的k个互不相同的函数值$f(xi)$构造多项式$f(x)$.若把密钥$s$取做$f(0)$,$n$个子密钥$f(xi)$,其中任意$k$个可重构出$f(0)$.
进行具体举例：
将加密密钥$s$放在根节点上，对每一个非叶节点构造多项式。与门意味着n-1阶多项式，或门意味着0阶多项式。
$(AandBandC)and(DorEorF)$
构建两个多项式

可以看到$s$是我们需要得到的密钥。and门需要$A,B,C$均获得才可恢复$f_1(0)=f_0(1)$,或门只需要一个就可恢复$f_0(2)$,然后在$f_0(x)$中恢复出密钥$s$。

四.KP-ABE方案
$G_1$是一个素数$p$阶双线性群，$g$是生成元。$e:G_1\times G_1\to G_2$（双线性默认已知，如果需要补充的话请留言），安全参数k。拉格朗日系数
1.setup。定义属性全集$U=1,2,...,n$。对每一个属性$i$属于$U$，从$Z_p$随机选择一个数$t_i$。最后，从$Z_p$随机选择y。公共参数$PK$如下：

主密钥$MK$如下：

2.加密
基于属性$\gamma$加密一个消息M属于$G_2$，选择随机值s属于$Z_p$。加密后密文如下：

3.key Generation。
算法仅当属性$\gamma$满足$AccessTreeT$时可获得解密密钥。按照我们上面讲到的$accessTree$建造方法构造树。对每一个叶子节点x。计算

$att(x)$函数表示返回叶子节点x的属性值。

4.decryption
输入私钥$D$（Key generation产生），密文：

定义$DecryptNode（E,D,x)$函数,$i=att(x)$,当x是叶子节点时：
当他是非叶节点时：对于$x$的所有孩子$z$，调用$DecryptNode（E,D,x）$，结果存为$F_z$

均能计算出$e(g,g{)}^{s\cdot q_x(0)}$.当我们调用DecryptNode(E,D,r)=
$e(g,g{)}^{ys}=Y^S$.我们的密文$E^{\prime }=M{Y}^S$,则作除法就可获得明文M。