Key-Policy ABE (KP-ABE) und Vergleich

Bei der Key-Policy Attribute-Based Encryption (KP-ABE) ist die Zugriffsr more?linie vom Schlüsselautorität in den geheimen Schlüssel des Benutzers eingebettet, während Ciphertexts Attributmengen enthalten. Die Entschlüsselung ist erfolgreich, wenn die Attributmenge des Ciphertexts die in im Benutzerschlüssel kodierte Richtlinie erfüllt. Die Autorität gewährt Entschlüsselungsfähigkeiten, indem sie festlegt, welche Richtlinie in den Schlüssel jedes Benutzers eingebettet wird.

Die grundlegende KP-ABE-Konstruktion wurde 2006 von Goyal, Pandey, Sahai und Waters vorgestellt. Ihre Konstruktion verwendet Zugriffsbäume, deren Blätter Attribute und deren innere Knoten Schwellwertgatter sind. Die Schlüsselautorität wandelt den Zugriffsbaum in ein lineares Secret-Sharing-Schema um und kodiert Anteile des Master-Geheimnisses im Benutzerschlüssel. Die Verschlüsselung ist einfach: Wählen Sie ein zufälliges Geheimnis y und verteilen Sie Anteile auf jedes Attribut im Ciphertext.

Bei KP-ABE nach Goyal et al. funktioniert die Entschlüsselung, indem die attributverschlüsselten Komponenten mithilfe von Pairing-Operationen mit den Anteilen des Schlüssels kombiniert werden. Für jeden Blattknoten, der einem im Ciphertext vorhandenen Attribut entspricht, berechnet der Benutzer ein Pairing. Diese Werte werden entsprechend der Struktur des Zugriffsbaums kombiniert (unter Verwendung polynomieller Interpolation für Schwellwertknoten), um den Verschlüsselungsschlüssel der Nachricht wiederherzustellen.

Der grundlegende Unterschied zwischen CP-ABE und KP-ABE besteht darin, wer die Zugriffsr more?linie festlegt: die verschlüsselnde Partei (CP-ABE) oder die Schlüsselautorität (KP-ABE). Bei CP-ABE entscheidet die verschlüsselnde Partei: „Dieses Dokument erfordert role=Doctor AND department=Cardiology.“ Bei KP-ABE entscheidet die Autorität: „Dieser Benutzer kann alles entschlüsseln, was mit {medical, patient-data} markiert ist.“ Welche Variante gewählt wird, hängt davon ab, welche Partei die Zugriffskontrolle steuern soll.

CP-ABE wird bevorzugt, wenn die verschlüsselnde Partei die Zugriffskontrolle festlegen soll. Beim Cloud-Speicher weiß der Eigentümer einer Datei zum Zeitpunkt der Verschlüsselung, wer auf die Datei zugreifen soll. Er bettet die Richtlinie in den Ciphertext ein und lädt ihn hoch. Die Schlüsselautorität stellt generische Attributschlüssel aus. Dieses Modell entspricht der herkömmlichen Zugriffskontrolle, bei der Dateneigentümer ihre Daten kontrollieren. Die Autorität bescheinigt lediglich den Besitz von Attributen, trifft aber keine dateispezifischen Zugriffsentscheidungen.

KP-ABE wird bevorzugt, wenn die Autorität zugriffsbasierte Berechtigungen erteilt. Bei der Inhaltsverteilung stellt ein Medienunternehmen seinen Abonnenten Schlüssel aus. Ein Schlüssel für ein Premiumabonnement könnte die Richtlinie „kann Inhalte entschlüsseln, die mit {premium} OR {standard} markiert sind“ enthalten, während ein Schlüssel für ein Basisabonnement „kann {standard} entschlüsseln“ enthält. Die verschlüsselnde Partei versieht die Inhalte lediglich mit ihrem Typ; die Autorität steuert über die Richtlinien in den Schlüsseln, auf welche Inhalte jeder Abonnent zugreifen kann.

Sowohl CP-ABE als auch KP-ABE gehen auf Fuzzy IBE zurück, das 2005 von Sahai und Waters eingeführt wurde. Fuzzy IBE verwendet eine Identität als Attributmenge und erlaubt die Entschlüsselung, wenn sich die Attributmengen von Sender und Empfänger in mindestens t Attributen überschneiden. Fuzzy IBE ist ein Sonderfall von KP-ABE, bei dem die Richtlinie ein Schwellwertgatter über Identitätsattributen ist. Es war die erste Konstruktion, die Attribute für die Zugriffskontrolle verwendete.

Dual-Policy-ABE (DP-ABE) kombiniert CP-ABE und KP-ABE in einem einzigen Schema. Sowohl der Chiffretext als auch der Benutzerschlüssel enthalten Zugriffsrichtlinien. Für die Entschlüsselung müssen die Attribute des Chiffretexts die Richtlinie des Schlüssels erfüllen UND die Attribute des Schlüssels müssen die Richtlinie des Chiffretexts erfüllen. DP-ABE eignet sich, um gegenseitige Einschränkungen auszudrücken, etwa: „Dieses Dokument erfordert medizinische Qualifikationen UND ist nur für Abonnenten in der EMEA-Region zugänglich.“

Bei standardmäßigem ABE gibt es eine einzige vertrauenswürdige Autorität, die alle Attributschlüssel ausstellt. Multi-Authority-ABE (MA-ABE) verteilt die Ausstellung von Attributen auf mehrere unabhängige Autoritäten. Verschiedene Organisationen können Attribute aus ihrem jeweiligen Zuständigkeitsbereich ausstellen (ein Krankenhaus stellt role=Doctor aus, eine Apothekerkammer license=Pharmacist), ohne zusammenzuarbeiten. Dadurch entfällt der zentrale Vertrauenspunkt, und eine organisationsübergreifende Zugriffskontrolle wird ermöglicht. Chase (2007) stellte die erste MA-ABE-Konstruktion vor.

Obwohl ABE nicht von NIST oder ISO standardisiert wurde, wird es in Forschungsprototypen und einigen Produkten eingesetzt. IBM Research hat ABE für den Datenaustausch im Gesundheitswesen prototypisch umgesetzt. Zeutro hat CP-ABE für die Sicherheit von Unternehmensdaten kommerzialisiert. Microsoft Research hat KP-ABE für die Verwaltung digitaler Rechte untersucht. Die größten Hindernisse für eine breitere Einführung sind die Leistung (Pairing-Operationen) und die Komplexität der Verwaltung von Attributautoritäten in großem Maßstab.

Die Sicherheit von KP-ABE erfordert, dass ein Benutzer keine Chiffretexte entschlüsseln kann, deren Attributmenge die Richtlinie seines Schlüssels nicht erfüllt. Genauer gesagt darf keine Koalition von Benutzern mit disjunkten Attributmengen ihre Schlüssel kombinieren können, um einen Chiffretext zu entschlüsseln, den keiner von ihnen allein entschlüsseln könnte. Diese Eigenschaft der Kollusionsresistenz unterscheidet ABE von einfacheren attributbasierten Systemen und erfordert eine sorgfältige Schemakonstruktion; sie wird unter auf Pairings basierenden Annahmen wie DBDH bewiesen.

Wo befindet sich die Zugriffsrichtlinie bei KP-ABE?

KP-ABE bettet Richtlinien in Benutzerschlüssel ein, die von einer Autorität ausgestellt werden; Chiffretexte enthalten Attributmengen. Goyal et al. 2006 legten die grundlegende Konstruktion vor. CP-ABE wird bevorzugt, wenn die Verschlüsselnden die Richtlinie kontrollieren (Cloud-Speicher); KP-ABE, wenn Autoritäten Berechtigungen vergeben (Inhaltsverteilung). Fuzzy IBE von Sahai-Waters 2005 ist der verbreitete Vorläufer. Multi-Authority-ABE verteilt die Schlüsselausstellung auf mehrere Organisationen und beseitigt zentrale Vertrauensstellen. Kollusionsresistenz ist eine zentrale Sicherheitseigenschaft, die ABE von einfacheren Schemata unterscheidet.