Key-Policy ABE (KP-ABE) og sammenligning

I Key-Policy Attribute-Based Encryption (KP-ABE) er tilgangspolicyen bygget inn i brukerens hemmelige nøkkel av nøkkelautoriteten, mens chiffertekster inneholder attributtsett. Dekryptering lykkes når chiffertekstens attributtsett oppfyller policyen som er kodet i brukerens nøkkel. Autoriteten tildeler dekrypteringsmuligheter ved å velge hvilken policy hver brukers nøkkel skal inneholde.

Den grunnleggende KP-ABE-konstruksjonen ble presentert av Goyal, Pandey, Sahai og Waters i 2006. Konstruksjonen bruker tilgangstrær der bladene er attributter, og de interne nodene er terskelporter. Nøkkelautoriteten konverterer tilgangstreet til et lineært hemmelighetsdelingsskjema og koder deler av hovedhemmeligheten i brukerens nøkkel. Krypteringen er enkel: Velg en tilfeldig hemmelighet y og fordel deler til hvert attributt i chifferteksten.

I KP-ABE-konstruksjonen til Goyal et al. fungerer dekryptering ved å kombinere de attributtskrypterte komponentene med nøkkelens deler ved hjelp av paringsoperasjoner. For hver bladnode som tilsvarer et attributt som finnes i chifferteksten, beregner brukeren en paring. Disse verdiene kombineres i henhold til tilgangstreet (ved hjelp av polynominterpolasjon for terskelnoder) for å gjenopprette nøkkelen som brukes til å kryptere meldingen.

Den grunnleggende forskjellen mellom CP-ABE og KP-ABE er hvem som angir tilgangspolicyen: kryptereren (CP-ABE) eller nøkkelautoriteten (KP-ABE). I CP-ABE bestemmer kryptereren «dette dokumentet krever role=Doctor AND department=Cardiology». I KP-ABE bestemmer autoriteten «denne brukeren kan dekryptere alt som er merket med {medical, patient-data}». Valget avhenger av hvilken part som skal kontrollere tilgangen.

CP-ABE foretrekkes når kryptereren skal angi tilgangskontrollen. I skylagring vet fileieren hvem som skal ha tilgang til filen på krypteringstidspunktet. Fileieren bygger inn policyen i chifferteksten og laster den opp. Nøkkelautoriteten utsteder generiske attributtnøkler. Denne modellen samsvarer med tradisjonell tilgangskontroll, der dataeiere kontrollerer sine egne data – autoriteten bekrefter bare at brukeren har de aktuelle attributtene, og tar ikke avgjørelser om tilgang til enkeltfiler.

KP-ABE foretrekkes når autoriteten tildeler tilgang basert på egenskaper. Ved innholdsdistribusjon utsteder et medieselskap nøkler til abonnenter. En nøkkel for en premiumabonnent kan inneholde policyen «kan dekryptere innhold merket med {premium} OR {standard}», mens en nøkkel for en grunnabonnent inneholder «kan dekryptere {standard}». Kryptereren merker ganske enkelt innholdet med innholdstypen, mens autoriteten bestemmer hva hver abonnent kan få tilgang til gjennom policyene i nøklene deres.

Både CP-ABE og KP-ABE har sitt opphav i Fuzzy IBE, som ble introdusert av Sahai og Waters i 2005. Fuzzy IBE bruker en identitet som et sett med attributter og tillater dekryptering når avsenderens og mottakerens attributtsett overlapper med minst t attributter. Fuzzy IBE er et spesialtilfelle av KP-ABE der policyen er en terskelport over identitetsattributter. Det var den første konstruksjonen som brukte attributter til tilgangskontroll.

ABE med to policyer (DP-ABE) kombinerer både CP-ABE og KP-ABE i ett enkelt opplegg. Både chifferteksten og brukernøkkelen inneholder tilgangspolicyer. Dekryptering krever at attributtene i chifferteksten oppfyller policyen i nøkkelen, OG at attributtene i nøkkelen oppfyller policyen i chifferteksten. DP-ABE er nyttig for å uttrykke gjensidige begrensninger, for eksempel «dette dokumentet krever medisinske kvalifikasjoner OG bare abonnenter i EMEA-regionen.»

Standard ABE har én enkelt betrodd autoritet som utsteder alle attributtnøkler. ABE med flere autoriteter (MA-ABE) fordeler utstedelsen av attributter mellom flere uavhengige autoriteter. Ulike organisasjoner kan utstede attributter innenfor sine egne områder (sykehuset utsteder role=Doctor, apotekforeningen utsteder license=Pharmacist) uten å samarbeide. Dette eliminerer det eneste tillitspunktet og muliggjør tilgangskontroll på tvers av organisasjoner. Chase (2007) foreslo den første MA-ABE-konstruksjonen.

Selv om ABE ikke er standardisert av NIST eller ISO, er teknologien tatt i bruk i forskningsprototyper og enkelte produkter. IBM Research har utviklet prototyper av ABE for datadeling i helsevesenet. Zeutro kommersialiserte CP-ABE for datasikkerhet i virksomheter. Microsoft Research har undersøkt KP-ABE for digital rettighetsstyring. De viktigste hindringene for bredere bruk er ytelsen (paringsoperasjoner) og kompleksiteten ved å håndtere attributtautoriteter i stor skala.

Sikkerheten i KP-ABE krever at en bruker ikke kan dekryptere chiffertekster der attributtsettet ikke oppfyller policyen i brukerens nøkkel. Mer presist skal ingen gruppe brukere med disjunkte attributtsett kunne kombinere nøklene sine for å dekryptere en chiffertekst som ingen av dem kunne dekryptert alene. Denne kollusjonsmotstanden skiller ABE fra enklere attributtbaserte systemer og krever omhyggelig utforming av skjemaet; den bevises under paringsbaserte antakelser som DBDH.

KP-ABE bygger policyer inn i brukernøkler (utstedt av en autoritet), mens chiffertekster inneholder attributtsett. Goyal et al. 2006 er den grunnleggende konstruksjonen. CP-ABE foretrekkes når den som krypterer, styrer policyen (skylagring), mens KP-ABE foretrekkes når autoriteter tildeler tilgangsrettigheter (distribusjon av innhold). Fuzzy IBE av Sahai-Waters fra 2005 er den vanlige forløperen. ABE med flere autoriteter fordeler nøkkelutstedelsen mellom organisasjoner og eliminerer dermed enkeltstående tillitspunkter. Kollusjonsmotstand er en viktig sikkerhetsegenskap som skiller ABE fra enklere skjemaer.