云存储环境下多用户可搜索加密方案

可搜索加密技术用来检索存储在云端的加密数据，既能够保证数据的安全性，同时又能够使得加密数据不失可用性。

多用户可搜索加密技术使得用户在对云服务器保密的情况下与其他用户进行数据分享。

在现有的基于Elgamal 代理加密的多用户可搜索加密方案的基础上，本文对原有方案中的数据加密方式做出了更改，使得经过用户加密的数据只会在必要的时候才会被重新加密，而且加密的计算量比原方案小。

本文改变了令牌的产生方式，使得客户端计算令牌的计算量更小，在云服务器端进行搜索的开销更少。

关键词云存储；可搜索加密；多用户文献标识码A doi:10.3969/j.issn.1000-0801.2012.11.018云存储环境下多用户可搜索加密方案王映康1，罗文俊2（1.重庆市电力公司信息通信分公司重庆401121；2.重庆邮电大学计算机科学与技术学院重庆400065）摘要1前言云计算[1]在为用户带来便利的同时，也产生了很多有待解决的问题。

其中，云计算的安全问题就首当其冲。

并且，云计算中的安全问题能否顺利解决将直接地决定云计算的普及程度，因为无论对于个人或是企业，对于数据的安全性将会越来越重视[2]。

在将数据存储到云服务器之前对数据进行加密是一个保护用户数据的方法，可以防止服务器对用户数据的非授权访问，或者当服务器上的安全措施出现问题时也能有效地保护用户的隐私。

然而，当用户想要访问自己的数据时，加密数据无法像以明文形式存储在云服务器上那样直接由云服务器将用户需要的数据返回给用户，因为加密使得用户的数据不再保持之前的结构。

用户可以选择从云服务器端下载所有的数据，然后解密数据以供后续操作；用户也可以直接将自己的加密密钥传送给服务器以让服务器对数据进行解密之后返回用户需要的数据。

显然，第一种方法无论是对于用户还是服务器来说开销都过于巨大，第二种方法使得用户对数据加密失去了意义。

幸而，可搜索加密技术[3]的出现能够有效地解决这些问题。

可搜索加密技术允许用户在外包数据之前对数据进行预处理，使得用户可以在不暴露数据内容的情况下对存储在第三方服务器上的加密数据进行[1]检索。

利用可搜索加密技术加密的数据是以加密数据的形式保存在云服务器端，所以能够实现对云存储服务器保密，使得云服务器无法获取数据的内容，即使云服务器端出现安全事故，也能够保护用户的数据。

通过巧妙的设计，用户可以让云服务器对加密数据进行搜索，服务器所能够获得的信息仅仅是哪些数据曾经被用户检索，而不会获得与数据内容相关的任何信息。

计算机网络的一个重要功能是数据分享，由于云计算时代的到来，对于存储在云端的加密数据的分享也引起了人们的关注，Chang 等人就已经将如何分享加密数据作为一个公开问题在参考文献[4]中提出。

随后人们对多用户可搜索加密进行了一些研究，而这些研究大部分都是建立在单用户可搜索加密的基础上。

在单用户可搜索加密方案研究与开发103中，将关键字与数据内容分开处理，常见的处理方法是用可搜索加密技术对关键字进行加密以产生一个供后续操作的加密索引，而对于元数据则采用对称加密算法加密。

在单用户环境下，这样的加密方式是可以接受的，因为加密密钥从始至终只有一个用户知晓。

而这样的加密方式应用到多用户环境下就存在一些问题。

在多用户环境下，某个用户的搜索权限被取消后，这个用户就不能对加密数据进行搜索，但由于已经将元数据的解密密钥分发给该用户，所以该用户在搜索权限被回收后依旧能够对数据进行解密，一旦恶意用户将该解密密钥泄露，会对整个系统造成严重的破坏。

Dong等人提出了基于代理加密的多用户可搜索加密方案[5,6]，有效地解决了这一问题。

本文在参考文献[6]的基础上进行了改进：在Dong等人提出的方案中，当服务器接收到来自用户的数据之后，立刻对数据进行重加密。

然而，在现实中存储数据的人往往是对数据的操作最频繁的人。

如果用户对自己上传的数据操作频繁，那么服务器往往需要频繁地进行加密与解密，而这些不必要的操作在不影响系统安全性的基础上完全是可以避免的。

并且，利用了参考文献[5]中产生令牌的方式来产生令牌，使得令牌的长度更短，计算量更小，而且在搜索过程中的开销也更小。

2相关研究2.1可搜索加密为了检索存储在第三方服务器上的加密数据，Song等人在2000年首先提出了可搜索加密的概念，并给出了一个实际的方案[3]。

但该文中的方案是一种基于密文的扫描方案，对密文中的每个关键字进行比对以确定关键字是否存在。

但由于这种全文扫描的方法效率很低，而且也会暴露关键字的统计信息，所以其在效率与安全性方面都存在不足。

Goh提出了安全索引[7]的概念，通过对数据的关键字建立索引，查询索引以确定关键字是否存在，文中也给出了基于布隆过滤器的可搜索加密方案与可搜索加密的安全性定义。

后面也出现了一系列可搜索加密的研究成果[4,8]，对之前的可搜索加密方案进行了扩展与改进。

2004年，Boneh等人提出了公钥可搜索加密[9]。

与之前的私钥可搜索加密方案相比，公钥可搜索加密允许由一些持有公钥的实体对数据进行加密，但仅允许持有私钥的用户对数据进行检索。

Boneh等人提出利用基于身份的加密[9]来构建公钥可搜索加密方案，并对其安全性进行了证明。

Boneh等人提出的方案虽然实现了公钥可搜索加密，但在效率与安全性方面还存在不足。

之后也有很多学者对公钥可搜索加密进行了一系列研究[10,11]。

为了与实践更好地结合，多关键字[12～17]、结构加密[18]等与实际相结合的可搜索加密方案也成为了人们研究的热点。

2.2多用户可搜索加密多用户可搜索加密在单用户可搜索加密的基础上有了新的突破，它不仅允许一个用户将自己的数据存储到云服务器上，还使得一个用户可以与其他用户分享自己存储在云服务器端的加密数据，而不会暴露数据的内容。

多用户可搜索加密的概念首先由Chang等人[4]首先提出多用户可搜索加密的实现方案[6]，他们在参考文献[8]中单用户可搜索加密方案的基础上利用多播加密技术实现了第一个多用户可搜索加密方案。

由于参考文献[8]中的方案只是将单用户可搜索加密与多播加密技术结合，所以很难摆脱单用户可搜索加密的一些缺点，该方案中所有用户都使用相同的查询密钥进行查询，这在实际应用环境中会给用户以及数据拥有者带来很多麻烦。

Feng等人利用BLS短签名[19]构造了一个多用户可搜索加密系统[20]，文中指出了所有用户使用相同查询密钥的缺点。

Dong等人用RSA公钥加密算法以及代理加密技术实现了一个多用户可搜索加密方案[5]，后来Dong等人利用Elgmal公钥加密算法与代理加密构造了另一个多用户可搜索加密算法[6]。

在参考文献[8,20]的多用户可搜索加密方案中，用户将由用户密钥产生的令牌发送给服务器以对加密索引进行检索，然而对于数据本身则用对称加密算法加密。

服务器通过对加密索引的检索，将用户所需的数据返回给用户。

在用户向数据拥有者申请检索加密数据时，数据拥有者会分发给用户一个用户查询密钥以及一个数据解密密钥，而且每个解密密钥都相同。

值得注意的是：当用户的搜索权限被数据撤销后，某些恶意用户依旧能够观察到其他用户与服务器之间的数据内容，因为每个解密密钥都相同。

参考文献[5,6]中引入了代理加密技术[21]，将加、解密都分为两部分，而且都将用户密钥作为数据密钥，不再单独设定加密和解密密钥，能够更加有效地抵抗来自恶意用户和存储服务方的安全威胁。

3系统定义一个多用户可搜索加密系统可分为4个部分：{D,DO, CS,U}，其中D是将要被存储到云服务器端的数据，DO负责104管理用户以及发布密钥；CS是云存储服务器；U是一组用户。

D由m个数据项组成：{d1,d2,…,d m}，数据项d i的关键字为d i.w，用户并不会直接将数据D存储到云服务器CS 上，而是将加密过后的D′=发送到云服务器端，其中，第一个部分是对d i加密，第二部分是一个索引函数的输出。

让，。

在CS的协作下，一个授权用户u∈U能够检索加密数据。

让q u(w)表示用户u对关键字w的查询。

当CS接收到一个检索请求q u(w)时，CS需要做的首先是验证用户是否是一个授权用户，如果用户的身份合法，CS就返回。

本文约定服务器CS是诚实但好奇的，并且服务器不会与用户合谋攻击整个系统。

4多用户可搜索加密4.1本文的方案首先，简要地介绍参考文献[6]中的基于代理加密的多用户可搜索加密方案，最开始由u对数据d进行加密，经过加密的数据表示为E Ku(d)，之后需要代理端在原有加密的基础上再进行一次重加密E Ku+Ks(d)，之后数据就成为了在统一格式下的加密形式E K(d)。

当某个用户需要数据d 时，代理将在统一格式下加密的数据E K(d)通过用户的辅助密钥转换为用户可以解密的形式E K-Ks(d)=E Ku(d)。

在原有方案中每次用户插入数据时都进行两次加密相比，在本文的方案中用户先对数据进行加密后发送到云服务器端E Ku(d)，但云服务器端并不马上对数据进行重加密，而是记录数据由哪个用户加密，也就是该数据更新来源于哪个用户<u,E Ku(d)>。

当另一个用户需要该数据时，服务器可以计算两个用户的辅助密钥然后经过一次计算就可以将由用户u加密的数据转换为可以由用户u1解密的数据，即E Ku(d)→E Ku1(d)，之后用户u1就可以对数据进行解密。

本文的方案中，数据并不需要先转换成统一的形式再转换成另一个用户可以解密的形式，而是直接由一个用户的加密形式转换成另一个用户可以解密的形式，这个过程中减少了一次加密的开销。

并且在实际中，往往存数据的用户是对数据操作最频繁的人，所以将数据直接以该用户的加密形式保存能够节省大量的非必须的计算。

接下来，详细地描述本文在基于参考文献[6]方案上改进方案的细节。

（1）初始化(1k)DO读取安全参数1k，输出系统参数Pk=(G，g，q，f，H，h，g a h a)，其中G表示一个q阶循环群，g为G的生成元，f为一个以s为密钥的伪随机函数，H为一个安全的散列函数，h=g R，其中R∈R Z q*。

随机选择一个a∈Z q*，x∈Z q*，Sk= (a,x,s)。

将Pk公开，Sk保持私有。

（2）密钥生成(K DO,u)DO为用户身份为u∈U，输出一个用户密钥x u1∈Z q*以及一个辅助密钥x u2=x-x u1。

计算a1·a2≡a(mod q)将(x u1, a1,s)发送给用户u，将(u,x u2,a2)发送到云服务器端作为用户u的辅助密钥。

（3）加密(x u1,d,d.w)用户u计算，其中r∈R Z q*，对于关键字d.w计算I(d.w)=(I1,I2),其中，I1=(g r+σh r)a，σ=f s(d.w)，I2= H((g a h a)r)，然后将d′={E(d),I(d.w)}发送到CS端进行存储。