ABE fondé sur une politique de texte chiffré (CP-ABE)

Dans le chiffrement fondé sur les attributs à politique portée par le texte chiffré (CP-ABE), le chiffreur intègre directement une politique d'accès au texte chiffré. Un utilisateur détient une clé secrète qui encode son ensemble d'attributs. Le déchiffrement réussit si et seulement si les attributs de l'utilisateur satisfont à la politique d'accès intégrée au texte chiffré. Le chiffreur contrôle qui peut déchiffrer en spécifiant la politique au moment du chiffrement.

Les politiques d'accès dans le CP-ABE sont exprimées sous forme de formules booléennes monotones sur des attributs, généralement représentées par des schémas de partage linéaire de secret (LSSS) ou des arbres d'accès. La politique peut inclure des portes AND, des portes OR et des portes à seuil. Une porte AND exige tous les attributs indiqués ; une porte OR en exige un seul ; une porte à seuil t-sur-n exige au moins t des n attributs indiqués. Ces portes peuvent être imbriquées pour exprimer des structures d'accès complexes.

Considérons un système d'information hospitalier. Un rapport médical peut être chiffré avec la politique suivante : (rôle=Médecin AND service=Cardiologie) OR rôle=Administrateur. Un cardiologue possède les attributs {rôle=Médecin, service=Cardiologie} et peut déchiffrer. Un radiologue possède les attributs {rôle=Médecin, service=Radiologie} et ne peut pas déchiffrer, car service=Cardiologie est absent. L'administrateur possède {rôle=Administrateur} et peut toujours déchiffrer. La politique est appliquée de manière cryptographique, et pas seulement au moyen de listes de contrôle d'accès.

La construction pratique de CP-ABE la plus influente est due à Waters (2011) et repose sur des appariements bilinéaires sur des courbes elliptiques. Dans cette construction, l'autorité génère un secret maître et une clé publique. Les clés secrètes des utilisateurs sont générées pour des ensembles d'attributs précis. Le chiffrement consiste à créer un texte chiffré qui encode la politique d'accès au moyen d'un partage linéaire de secret. La sécurité est démontrée sous l'hypothèse décisionnelle de Diffie-Hellman bilinéaire (DBDH).

Les schémas CP-ABE diffèrent dans leur manière de gérer l'univers des attributs. Les constructions à petit univers exigent de fixer l'ensemble complet des attributs possibles au moment de l'initialisation, ce qui limite la flexibilité, mais permet des schémas plus efficaces. Les constructions à grand univers (Rouselakis-Waters 2013, Attrapadung 2014) autorisent des attributs issus d'un univers de taille exponentielle sans engagement préalable lors de l'initialisation, ce qui permet d'utiliser des attributs comme des identifiants utilisateur ou des horodatages sans devoir déclarer à l'avance toutes les possibilités.

Le CP-ABE peut prendre en charge la délégation de clés : une autorité peut délivrer à un subordonné des clés correspondant à un sous-ensemble d'attributs ; celui-ci peut ensuite restreindre les capacités de la clé, mais pas les étendre. Cela permet une gestion hiérarchique des attributs : une autorité au niveau de l'entreprise délivre des clés au niveau des services, puis les autorités de service délivrent des clés aux employés. Cette propriété est appelée sécurité contre la délégation de clés : une clé déléguée ne peut pas être utilisée pour déchiffrer quoi que ce soit que le délégant ne pourrait pas déchiffrer.

Des implémentations pratiques du CP-ABE sont disponibles dans la bibliothèque Java de cryptographie fondée sur les appariements (jpbc) et dans le cadre Python charm-crypto pour le prototypage. La bibliothèque OpenABE (Zeutro) est une implémentation en C++ prenant en charge le CP-ABE et le KP-ABE, adaptée à une utilisation en production. RABE est une implémentation Rust du CP-ABE. Ces bibliothèques implémentent des opérations fondées sur des appariements sur les courbes BN-256 et BLS12-381.

L'application canonique du CP-ABE est le contrôle d'accès granulaire dans le stockage en nuage. Le propriétaire d'un fichier chiffre un document avec une politique avant de le téléverser. Tout utilisateur dont les attributs satisfont à la politique peut le télécharger et le déchiffrer, sans que le fournisseur de services en nuage sache qui y accédera ni ait besoin de gérer des listes de contrôle d'accès. Le fournisseur de services en nuage fournit les textes chiffrés à toute personne qui en fait la demande ; la politique est appliquée directement dans le texte chiffré.

Les opérations du CP-ABE impliquent des calculs d'appariement bilinéaire, qui sont nettement plus lents que le chiffrement symétrique. Sur un CPU moderne, une seule opération d'appariement sur BN-256 prend environ 1 à 3 ms. Le coût du déchiffrement évolue linéairement avec le nombre d'attributs satisfaits. Pour des politiques comprenant 10 à 20 attributs, le déchiffrement prend de 10 à 60 ms, ce qui est acceptable pour les applications destinées aux utilisateurs, mais trop lent pour les systèmes automatisés à haute fréquence.

Le CP-ABE standard révèle la politique d'accès à toute personne qui voit le texte chiffré : la politique n'est pas chiffrée. Le CP-ABE à politique dissimulée (ou le CP-ABE à politique partiellement dissimulée) masque certains attributs de la politique ou tous les attributs aux parties non autorisées, offrant ainsi une confidentialité supplémentaire. Obtenir une dissimulation complète de la politique nécessite des constructions plus complexes et une surcharge de performances considérablement plus élevée. La plupart des déploiements pratiques utilisent le CP-ABE standard, où la politique est visible, et acceptent que la politique d'accès soit observable.

La révocation des clés dans le CP-ABE constitue un défi pratique important. Si les attributs d'un utilisateur changent (il quitte un service ou ses justificatifs sont révoqués), rechiffrer tous les textes chiffrés pour ses anciens attributs est coûteux. Les approches pratiques comprennent le versionnement des attributs (incrémenter un numéro de version dans chaque attribut), l'utilisation du rechiffrement par procuration pour mettre à jour les textes chiffrés, ou la combinaison du CP-ABE avec des attributs temporels et l'exigence d'une actualisation périodique de la clé auprès de l'autorité.

Dans le CP-ABE, où la politique d'accès est-elle intégrée ?

Le CP-ABE intègre les politiques d'accès dans les textes chiffrés ; les clés utilisateur encodent les ensembles d'attributs. Le déchiffrement réussit lorsque les attributs satisfont à la politique (portes AND, OR et portes à seuil). Waters 2011 est la construction pratique fondatrice, fondée sur des appariements bilinéaires. Les variantes à grand univers prennent en charge des espaces d'attributs dynamiques. Le CP-ABE est déployé dans le stockage en nuage pour un contrôle d'accès granulaire sans listes de contrôle d'accès côté serveur. La révocation des clés reste un défi pratique, auquel répondent le versionnement des attributs ou le rechiffrement par procuration.