关于“去中心化多客户端内积功能加密”方案的学术研究报告

本文旨在向学术界同仁介绍一篇在密码学领域具有重要贡献的研究论文。该工作由Jérémy Chotard（隶属于利摩日大学XLIM实验室、法国国家科学研究中心CNRS、巴黎高等师范学院DIENS、PSL大学及法国国家信息与自动化研究所Inria）、Edouard Dufour Sans（隶属于巴黎高等师范学院DIENS、PSL大学及Inria）、Romain Gay（隶属于巴黎高等师范学院DIENS、PSL大学及Inria）、Duong Hieu Phan（隶属于利摩日大学XLIM实验室、CNRS）以及David Pointcheval（隶属于巴黎高等师范学院DIENS、PSL大学及Inria）共同完成。该研究论文以《Decentralized Multi-Client Functional Encryption for Inner Product》为题，发表于AsiaCrypt 2018会议，并收录于该会议论文集（LNCS 11273, pp. 703–732, 2018）。

一、 研究的学术背景

本研究属于现代密码学中的功能加密领域。功能加密是公钥加密范式的重大拓展，它允许授权用户仅学习被加密数据的某个特定函数计算结果，而无需解密获得完整的原始数据。例如，给定一个加密的向量，持有对应函数密钥的用户可以计算该向量与另一个向量的内积，但无法获知该向量的任何其他分量信息。这种“细粒度”的解密能力使其在隐私保护数据分析、云计算安全等领域具有巨大潜力。

然而，传统的单客户端功能加密模型存在两大局限，制约了其在多参与方场景下的应用：首先，所有数据必须由单一数据源一次性加密，这在多个独立数据所有者（客户端）频繁更新数据的场景中不切实际；其次，系统依赖于一个可信中心机构来生成主密钥和分发函数密钥，这带来了单点故障和隐私泄露风险。针对这些问题，此前的研究提出了多客户端功能加密的概念，允许不同客户端独立、非交互地加密各自的数据片段，并通过“标签”（如时间戳）将同一轮次的数据关联起来进行函数计算。但MCFE仍未摆脱对中心权威的依赖。

因此，本研究旨在解决以下核心问题：如何构建一个完全去中心化的多客户端功能加密方案，使得函数密钥的生成也无需任何中心权威，仅由数据所有者们通过最小化交互协作完成，同时保持方案的实用性与安全性？ 研究者们将目光聚焦于内积函数这一重要且实用的函数类，因为内积计算是许多统计分析（如加权求和、相关性计算）的基础。最终，他们引入了一个新的密码学原语——去中心化多客户端功能加密，并为其内积功能实例给出了一个高效、安全的构造方案。

二、 研究工作的详细流程

本研究并非依赖实验室实验，而是密码学意义上的方案设计与形式化安全证明。其核心工作流程可概括为以下几个关键步骤：

1. 问题定义与安全模型形式化：这是构建任何密码方案的第一步。研究者们首先精确定义了DMcFE系统应包含的算法或协议，包括系统设立、数据加密、函数密钥份额生成、函数密钥组合以及解密。更重要的是，他们为这一新原语建立了严格的安全模型。该模型基于“不可区分性”游戏，模拟了敌手在获知公开参数、可自适应地请求部分客户端密钥、请求特定标签下的加密数据、请求函数密钥份额等能力下，试图区分两组不同明文加密结果的优势。模型还详细规定了在何种情况下敌手的攻击被视为“平凡”的（例如，请求的函数密钥本身就能区分两组明文），此时其优势应被置零。这一严格的形式化为后续的安全性证明奠定了坚实基础。

2. 方案构思与构建：本研究提出了两个紧密相关的方案。首先，作为一个重要的中间步骤和独立贡献，研究者们构建了一个完全安全的多客户端功能加密方案。该方案是对Agrawal等人单客户端内积FE方案的扩展。其核心思想是利用一个哈希函数（在安全证明中被建模为随机预言机）为每个加密标签ℓ生成一个公共的随机组元素[u_ℓ]。每个持有私钥s_i的客户端i，对数据x_i的加密结果为 [c_i] = [u_ℓ] * s_i + [x_i]（这里使用加法群表示法）。对于内积函数y，中心机构生成的函数密钥为dk_y = (y, d = Σ s_i * y_i)。解密时，计算者组合所有密文[c_i]，计算 Σ y_i * [c_i] - [u_ℓ] * d，即可得到结果[<x, y>]，再通过计算离散对数获得内积值（要求内积结果较小）。该方案的关键创新在于通过哈希函数引入标签绑定，使加密过程非交互，并证明了其在DDH假设下的自适应安全性，甚至能抵抗客户端的自适应腐化。

3. 向去中心化迈进：关键技术挑战与解决：直接让客户端协作生成上述MCFE中的d = Σ s_i * y_i面临一个根本性挑战：在DDH困难的群中，从[d]恢复标量d本身是计算不可行的。然而，函数密钥恰恰需要这个标量d。为了解决这个难题，研究者们引入了双线性配对技术。他们在一个支持配对的双线性群环境中重新设计方案。核心思路是：让每个客户端i生成两个秘密值：用于加密的s_i和用于密钥协商的t_i，且所有t_i之和为零。在生成函数y的密钥份额时，客户端i计算 [d_i] = [y_i * s_i + t_i * v_y]，其中v_y是另一个哈希函数对y的哈希值。将所有份额组合后，t_i项因求和为零而抵消，得到 [d] = Σ [y_i * s_i]。现在，虽然我们只能得到[d]而非d，但在解密时，我们可以利用配对运算：Σ e([c_i], [y_i]) - e([u_ℓ], [d])，直接在目标群中得到结果[<x, y>]_T。由于内积<x, y>是实际数据的小值，可以计算离散对数得到最终结果。这样，就实现了函数密钥份额的非交互生成（每个客户端独立计算自己的[d_i]）和组合。

4. 安全性证明：对于提出的DMcFE方案，研究者们进行了详尽的安全性证明。证明在随机预言机模型下进行，并基于SXDH假设（即配对群中两个基群上的DDH假设均成立）。证明过程采用了复杂的混合游戏序列技术。通过一系列游戏变换，逐步将敌手区分加密的能力，规约到解决底层DDH难题的困难性上。证明中特别处理了静态腐化场景，即敌手在游戏开始前就需要确定腐化哪些客户端。证明展示了即使部分客户端被腐化，只要非腐化客户端对挑战标签的数据加密请求完整，且请求的函数密钥不违反安全游戏规则，方案依然能保护诚实客户端数据的隐私。

三、 研究的主要结果

1. 一个自适应安全的MCFE方案：研究首先成功构建并证明了一个基于DDH假设、在随机预言机模型下安全的MCFE方案。该方案支持内积功能，加密效率高（每个数据加密为一个群元素），并能抵抗客户端的自适应腐化。这一成果本身是对多客户端功能加密领域的重要推进，因其达到了比以往选择性安全更强的安全级别。

2. 首个实用的DMcFE方案：研究的核心结果是提出了一个基于配对、在SXDH假设下静态安全的DMcFE方案。该方案实现了完全去中心化：系统设立阶段需要一次性交互以生成零和的t_i；此后，数据加密和函数密钥份额的生成都是非交互式的。任何参与者（如聚合器）收集到足够份额后即可组合出函数密钥。这完美解决了中心权威的信任问题。

3. 严格的安全证明：研究不仅提出了方案，还提供了完整的形式化安全证明。证明表明，在静态腐化模型下，所提出的DMcFE方案满足不可区分性安全。证明过程中的规约技巧和混合游戏设计，为类似方案的安全分析提供了重要参考。

4. 性能与特性评估：论文将所提方案与相关工作进行了对比（见图2）。结果表明，该DMcFE方案在效率上可与最先进的单客户端内积FE方案相媲美。其加密、密钥生成和解密的时间复杂度均与参与者数量成线性关系，非常实用。

四、 研究的结论与价值

本研究的结论是成功定义并实例化了“去中心化多客户端功能加密”这一新密码原语，特别针对内积函数给出了一个高效、安全的构造。其意义和价值体现在：

• 科学价值：

  • 概念创新：首次明确了DMcFE的概念，将其与MCFE和MIFE区分开来，强调了完全去中心化、无主密钥的特性。
  • 技术推进：巧妙结合了哈希函数、双线性配对和秘密共享技术，将MCFE方案转化为去中心化版本，为解决“密钥生成去中心化”这一普遍性问题提供了新颖思路。
  • 安全模型：为这一新原语建立了严谨的安全模型，考虑了客户端腐化等现实威胁，为后续研究树立了标杆。

• 应用价值：

  • 隐私保护数据聚合：文中提到的金融公司案例是典型应用。多个公司可独立加密其敏感数据（如利润），然后协作生成一个仅能解密特定公共权重（如员工数）下加权和的密钥给分析方，从而在不泄露个体数据的前提下完成行业分析。
  • 物联网与边缘计算：大量分布式设备（客户端）产生的数据需要在保护隐私的前提下进行聚合分析，DMcFE为此提供了理想的密码学工具。
  • 降低信任需求：完全去中心化消除了对单一可信第三方的依赖，符合区块链、联邦学习等分布式系统的安全哲学。

五、 研究的亮点

1. 开创性：这是首个专门针对内积功能设计的去中心化多客户端功能加密方案，填补了该领域的空白。
2. 高安全性：所提MCFE方案实现了自适应安全，DMcFE方案实现了静态安全，安全强度高，且基于标准密码学假设（DDH/SXDH）。
3. 强实用性：方案非常高效，计算和通信开销低，函数密钥生成过程非交互，非常适合实际部署。
4. 巧妙的构造：通过“用MCFE保护MCFE密钥生成”的递归思想，并利用配对解决离散对数难题，技术路线清晰而巧妙。
5. 应对腐化：方案设计考虑并抵抗了客户端腐化的攻击场景，增强了方案的鲁棒性。

六、 其他有价值的内容

论文在引言部分清晰梳理了功能加密、内积FE、多输入FE、私密流聚合等相关工作的脉络与局限，有助于读者快速把握领域现状。同时，作者也坦诚指出了方案的局限和未来的开放问题： * 当前方案要求内积计算结果较小，以便计算离散对数。作者指出探索基于LWE或Paillier假设的构造可能突破此限制。 * DMcFE方案目前仅证明了对静态腐化的安全性，实现自适应腐化安全是一个更有挑战性的开放问题。 * 将研究扩展到内积之外更广泛的函数类，是未来重要的研究方向。

这项研究在功能加密的实用化与去中心化道路上迈出了关键一步，其提出的DMcFE原语和具体方案，对隐私计算、安全多方计算等领域产生了深远影响。