ABE con criterio sul testo cifrato (CP-ABE)

Nella cifratura basata sugli attributi con policy nel ciphertext (CP-ABE), chi cifra incorpora direttamente nel ciphertext una policy di accesso. L'utente possiede una chiave segreta che codifica il proprio insieme di attributi. La decrittazione riesce se e solo se gli attributi dell'utente soddisfano la policy di accesso incorporata nel ciphertext. Chi cifra controlla chi può decrittare specificando la policy al momento della cifratura.

Le policy di accesso nella CP-ABE sono espresse come formule booleane monotone sugli attributi, generalmente rappresentate come schemi di condivisione lineare del segreto (LSSS) o alberi di accesso. La policy può includere operatori AND, OR e di soglia. Un operatore AND richiede tutti gli attributi elencati; un operatore OR ne richiede almeno uno; un operatore di soglia t-su-n richiede almeno t degli n attributi elencati. Questi operatori possono essere annidati per esprimere strutture di accesso complesse.

Consideri il sistema informativo di un ospedale. Un referto medico potrebbe essere cifrato con la policy: (role=Doctor AND department=Cardiology) OR role=Administrator. Un cardiologo ha gli attributi {role=Doctor, department=Cardiology} e può decrittare. Un radiologo ha gli attributi {role=Doctor, department=Radiology} e non può decrittare, perché department=Cardiology è assente. L'amministratore ha {role=Administrator} e può sempre decrittare. La policy viene applicata crittograficamente, non soltanto tramite liste di controllo degli accessi.

La costruzione CP-ABE pratica più influente è quella di Waters (2011), basata su pairing bilineari su curve ellittiche. In questa costruzione, l'autorità genera un segreto principale e una chiave pubblica. Le chiavi segrete degli utenti vengono generate per specifici insiemi di attributi. La cifratura consiste nel creare un ciphertext che codifica la policy di accesso utilizzando la condivisione lineare del segreto. La sicurezza è dimostrata sotto l'ipotesi Decisional Bilinear Diffie-Hellman (DBDH).

Gli schemi CP-ABE differiscono per il modo in cui gestiscono l'universo degli attributi. Le costruzioni su universo piccolo richiedono di stabilire l'intero insieme dei possibili attributi al momento della configurazione, limitando la flessibilità ma consentendo schemi più efficienti. Le costruzioni su universo grande (Rouselakis-Waters 2013, Attrapadung 2014) permettono di usare attributi appartenenti a un universo di dimensione esponenziale senza doverlo definire durante la configurazione, rendendo possibili attributi come gli ID utente o i timestamp senza dover dichiarare in anticipo tutte le possibilità.

La CP-ABE può supportare la delegazione delle chiavi: un'autorità può emettere per un subordinato chiavi relative a un sottoinsieme di attributi; il subordinato può restringere ulteriormente le capacità della chiave, ma non ampliarle. Ciò consente una gestione gerarchica degli attributi: un'autorità a livello aziendale emette chiavi a livello di dipartimento e le autorità di dipartimento emettono chiavi per i dipendenti. Questa proprietà è chiamata sicurezza della delegazione delle chiavi: una chiave delegata non può essere utilizzata per decrittare dati che il delegante non avrebbe potuto decrittare.

Implementazioni pratiche della CP-ABE sono disponibili nella libreria Java Pairing-Based Cryptography (jpbc) e nel framework Python charm-crypto, adatto alla prototipazione. La libreria OpenABE (Zeutro) è un'implementazione C++ che supporta CP-ABE e KP-ABE ed è adatta all'uso in produzione. RABE è un'implementazione Rust della CP-ABE. Queste librerie implementano operazioni basate su pairing sulle curve BN-256 e BLS12-381.

L'applicazione classica della CP-ABE è il controllo granulare degli accessi nell'archiviazione cloud. Il proprietario di un file cifra un documento con una policy prima di caricarlo. Qualsiasi utente i cui attributi soddisfino la policy può scaricare e decrittare il documento, senza che il provider cloud sappia chi vi accederà o debba gestire liste di controllo degli accessi. Il provider cloud fornisce i ciphertext a chiunque li richieda; la policy viene applicata direttamente nel ciphertext.

Le operazioni CP-ABE implicano calcoli di pairing bilineare, significativamente più lenti della cifratura simmetrica. Su una CPU moderna, una singola operazione di pairing su BN-256 richiede circa 1-3 ms. Il costo della decrittazione cresce linearmente con il numero di attributi soddisfatti. Per policy con 10-20 attributi, la decrittazione richiede 10-60 ms: un tempo accettabile per le applicazioni rivolte agli utenti, ma troppo elevato per i sistemi automatizzati ad alta frequenza.

La CP-ABE standard rende visibile la policy di accesso a chiunque visualizzi il ciphertext: la policy non è cifrata. La CP-ABE con policy nascosta (o CP-ABE con policy parzialmente nascosta) nasconde alcuni o tutti gli attributi della policy alle parti non autorizzate, offrendo una maggiore privacy. Ottenere il completo occultamento della policy richiede costruzioni più complesse e un sovraccarico prestazionale significativamente maggiore. La maggior parte delle implementazioni pratiche utilizza la CP-ABE standard (con policy visibile) e accetta che la policy di accesso sia osservabile.

La revoca delle chiavi nella CP-ABE rappresenta una sfida pratica significativa. Se gli attributi di un utente cambiano, ad esempio perché lascia un dipartimento o perché le sue credenziali vengono revocate, ricifrare tutti i ciphertext cifrati per i suoi attributi precedenti è costoso. Gli approcci pratici includono il versionamento degli attributi (incrementare un numero di versione in ogni attributo), l'uso della ricifratura tramite proxy per aggiornare i ciphertext o la combinazione della CP-ABE con attributi basati sul tempo, richiedendo un aggiornamento periodico della chiave da parte dell'autorità.

Nella CP-ABE, dove viene incorporata la policy di accesso?

La CP-ABE incorpora le policy di accesso nei ciphertext; le chiavi degli utenti codificano gli insiemi di attributi. La decrittazione riesce quando gli attributi soddisfano la policy (operatori AND, OR e di soglia). Waters 2011 è la costruzione pratica fondamentale, basata su pairing bilineari. Le varianti su universo grande supportano spazi dinamici di attributi. La CP-ABE viene utilizzata nell'archiviazione cloud per il controllo granulare degli accessi, senza ACL lato server. La revoca delle chiavi rimane una sfida pratica, affrontata tramite il versionamento degli attributi o la ricifratura tramite proxy.