支持多密文等值测试的无线体域网聚合签密方案_杨小东.pdf

支持多密文等值测试的无线体域网聚合签密方案杨小东1周航1任宁宁1袁森1王彩芬21（西北师范大学计算机科学与工程学院兰州730070）2（深圳技术大学大数据与互联网学院广东深圳518118）（）Aggregate Signcryption Scheme Supporting Multi-Ciphertext Equality Test forWireless Body Area NetworkYangXiaodong1,ZhouHang1,RenNingning1,YuanSen1,andWangCaifen21（College of Computer Science and Engineering,Northwest Normal University,Lanzhou 730070）2（College of Big Data and Internet,Shenzhen Technology University,Shenzhen,Guangdong 518118）AbstractWirelessbodyareanetwork(WBAN)technologyhasthecharacteristicsoflowlatencyandhighflexibility,andhasbroadapplicationprospectsinthefieldsofhealthcare,diseasemonitoring,emergencyrescueandsoon.However,theexistingcryptographyschemesforwirelessbodyareanetworkhavetoomuchoverheadincertificatemanagement,anddonotmeettherequirementsofmulti-userretrievalandmulti-ciphertextequalitytest.Inordertosatisfytheseapplications,anaggregatesigncryptionschemesupportingmulti-ciphertextequalitytestinmulti-userenvironment for wireless body area network is proposed.The identity-based signcryption system eliminates theproblemofcertificatemanagementinthetraditionalpublickeycryptographyscheme,andensurestheconfidentialityandauthenticationofthemedicaldata.Thetechnologyofaggregatesigncryptionisusedtoreducethecomputationoverheadofverificationinmulti-userenvironment.Byintroducingthetechnologyofmulti-ciphertextequalitytest,ourschemerealizesthatmultipledatauserscansafelyretrievemultiplemedicalciphertextsatthesametime,whichimproves the efficiency of ciphertext retrieval in multi-user environment.Under the random oracle model,theproposedschemeisprovedtoachieveone-wayagainstadaptivechosenciphertextattackbasedonthecomputationalDiffie-Hellmanproblem.Comparedwiththesimilarschemes,theproposedschemesupportsmoresecuritypropertiesandhaslowercomputationaloverhead.Key wordswirelessbodyareanetwork(WBAN)；multi-userenvironment；multi-ciphertextequalitytest；aggregatesigncryption；identity-basedsigncryption摘要无线体域网(wirelessbodyareanetwork，WBAN)技术拥有低时延和高灵活性的特点，在医疗保健、病情监控和紧急救护等领域拥有广阔的应用前景.针对目前 WBAN 密码方案中存在的证书管理开销过大、不支持多用户检索与多密文等值测试等问题，提出了一种支持多密文等值测试的 WBAN 聚合签密方案.采用基于身份的签密体制，消除了传统公钥密码方案中的证书管理问题，保证了医疗数据的机密性与可收稿日期：20210719；修回日期：20220223基金项目：国家自然科学基金项目（61662069，61562077）；中国博士后科学基金项目（2017M610817）；兰州市科技计划基金项目（2013-4-22）；西北师范大学青年教师科研能力提升计划基金项目（NWNU-LKQN-14-7）ThisworkwassupportedbytheNationalNaturalScienceFoundationofChina(61662069,61562077),theChinaPostdoctoralScienceFoundation(2017M610817),theScienceandTechnologyProjectofLanzhouCity(2013-4-22),andtheFoundationofNorthwestNormalUniversityYongTeachersResearchCapacityPromotionPlan(NWNU-LKQN-14-7).通信作者：周航（）计 算 机 研 究 与 发 展DOI：10.7544/issn1000-1239.202110775JournalofComputerResearchandDevelopment60（2）：341350，2023认证性.利用聚合签密技术，降低了多用户环境下对医疗密文进行验证的计算开销.引入多密文等值测试技术，实现了多数据用户同时对多医疗密文的安全检索，提高了多用户环境下密文检索的效率.在随机预言模型下，基于计算性 Diffie-Hellman 困难问题证明了该方案在适应性选择密文攻击下的单向性.与同类方案相比较，该方案支持更多的安全属性，并具有较低的计算开销.关键词无线体域网；多用户环境；多密文等值测试；聚合签密；基于身份的签密中图法分类号TP309.7无线体域网1（wirelessbodyareanetwork,WBAN）指由佩戴或嵌入在人体的各种无线传感器（wirelesssensor,WS）组成的无线通信网络.WBAN 技术在医疗数据监测方面的应用极为广泛，不同类型的无线医疗传感器负责监测患者各个方面的医疗数据并将数据发送给各种远端服务器，方便对患者的医疗数据做出专业的分析与整合.然而，开放的 WBAN 在传输患者敏感的医疗数据时，面临着患者的隐私被泄露或医疗数据被恶意篡改等风险2.许多国内外学者提出将密码体制应用到 WBAN中，以确保 WBAN 的医疗数据在传输与共享时的机密性.Mykletun 等人3基于传统公钥密码（publickeycryptography,PKC）体制，设计了一种保证无线传感网络数据机密性的加密方案.Nadir 等人4基于 PKC 体制与椭圆曲线密码体制为用户生成对称密钥来加密数据，确保医疗数据在无线传感网络中传输与共享时的机密性.然而，基于 PKC 体制的方案3-4需要可信中心对用户证书进行管理，为消除证书管理的开销，一些基于身份加密体制的 WBAN 方案5-7相继被提出.上述文献 37 利用对数据进行加密的方式确保了医疗数据传输时的机密性，但这种方式没有实现对医疗数据来源的认证.如果无法实现医疗数据的可认证性，不仅会导致医院浪费宝贵的医疗资源进行无效的诊断，还可能基于被篡改的医疗数据而对患者的病情做出错误诊断.为了实现 WBAN 中医疗数据的可认证性，Ahn等人8构造了一种基于高级加密标准（advancedencry-ptionstandard，AES）对称密码体制的认证方案.黄一才等人9基于身份密码体制设计了一种签名方案，该方案实现了抗重放攻击.Cagalaban 等人10将数字签密技术引入医疗保健系统，在确保医疗数据机密性的同时实现了数据的可认证性.Ullah 等人11利用超椭圆曲线的概念，设计了一种基于证书的签密方案.尽管文献 811 实现了医疗数据的可认证性，但都没有考虑在多用户环境下的应用场景.为解决密码方案在多用户环境下的 WBAN 中计算效率较低的问题，基于聚合签名与聚合加密等技术，一些支持聚合模式的方案12-15相继被提出.然而，文献 815 没有考虑如何对 WBAN 云端密文进行有效的搜索，导致数据用户在对医疗数据进行检索时开销较大.基于可搜索加密技术16与密文等值测试技术17，国内外学者提出了一些适用于 WBAN 的密文检索方案18-21.但这些 WBAN 密文检索方案均存在一些缺陷，例如张嘉懿18与 Andrew 等人19提出的可搜索加密方案仅支持对用相同公钥加密的医疗数据进行搜索；Ramadan 等人20设计的等值测试加密方案无法实现对医疗数据来源的认证；Elhabob 等人21设计的基于证书的密文等值测试方案存在证书管理问题等.此外，医生或医疗机构有时需要判断多个患者某些特定方面的医疗数据是否相同，或对有相同病症的患者的医疗数据进行整合与存档，但密文检索文献 1821均没有考虑到多用户检索以及对多密文同时进行检索的情况，在用户节点众多的 WBAN 实际应用环境中存在一定局限性.WBAN 通常会面临需要对 2 个以上的密文进行匹配的情况，而传统的密文等值测试技术只能将多个密文两两分为一组，再对所有的分组逐个进行测试，在多用户环境下的密文检索效率较低.为提高密文等值测试技术在多密文测试时的计算效率，Susilo等人22提出了一种支持多密文等值测试的公钥加密（public-keyencryptionwithmulti-ciphertextequalitytest,PKE-MET）方案，实现了对 2 个以上的密文同时进行匹配的功能.在 PKE-MET 方案中，每个参与多密文等值测试的数据拥有者都可以指定 1 个数字 n，并将自己的密文与其他 n1 个数据拥有者的密文进行匹配.PKE-MET 在支持同时对多密文进行等值测试的同时，还支持对多个用户同时进行密文检索，当测试者接收到 n 个希望进行密文检索的数据用户分别上传的 n 个测试陷门时，才可以对数据拥有者的密文进行测试，实现了多数据用户同时进行密文匹配的功能.然而，PKE-MET 方案中存在证书管理开销较大、无法对数据的来源进行认证等问题.342计算机研究与发展2023，60（2）针对以上问题，本文提出了一种支持多密文等值测试的 WBAN 聚合签密方案.该方案的创新点主要包括 3 个方面：1）基于身份签密体制.本文方案采用基于身份的签密体制，消除了传统公钥加密方案中存在的证书管理开销，确保了 WBAN 中医疗数据的机密性、完整性、可认证性与数据拥有者签名的不可伪造性.2）支持多用户密文聚合签密.引入聚合签密技术，验证者可以实现对多个数据拥有者医疗数据密文的批量验证，提高了签密方案在多用户环境下的验证效率.3）支持多密文等值测试.引入多密文等值测试技术，测试者可以利用数据用户上传的测试陷门同时对多个密文进行匹配，实现了多用户检索与多密文等值测试，降低了多用户环境下等值测试过程的计算开销.1预备知识 1.1困难问题(P,aP,bP)a,b ZpabP计算性 Diffie-Hellman（computationDiffie-Hellman,CDH）问题：给定，其中，计算.1.2克拉默法则nx1,x2,xnn由含有 个未知数的 个线性方程所组成的非齐次线性方程组|a11x1+a12x2+a1nxn=b1,a21x1+a22x2+a2nxn=b2,.an1x1+an2x2+annxn=bn,所对应的系数矩阵为A=|a11a12a1na21a22a2n.an1an2ann|,矩阵 A 对应的行列式为det(A)=|a11a12a1na21a22a2n.an1an2ann|，det(A)0若，则该方程组有唯一解.1.3范德蒙矩阵与范德蒙行列式形如V=|1a1a21an111a2a22an12.1ana2nan1n|det(V)的矩阵称为范德蒙矩阵，其对应的范德蒙行列式具有如下计算性质：det(V)=|1a1a21an111a2a22an12.1ana2nan1n|=1i 2kGpPGs ZpPpub=sPH1:0,1 ZpH2:0,1G ZpH3:0,1G ZpH4:G 0,1l0+l1H5:0,1给定安全参数，PKG 选择大素数()，是阶为 的循环加法群，是的生成元.PKG 随机选择作为主密钥秘密保存，计算作为系统公钥，定义 6 个 Hash 函数：，ZpH6:0,1 0,1kl0params=p,P,Ppub,G,H1,H2,H3,H4,H5,H6，其中 是密文长度.输出系统参数.2.3.2用户密钥提取IDiQi=H1(IDi)ski,1=sQi1）用户将上传给 PKG，PKG 计算，；xi ZpPKi,1=xiP PKi,2=H1(IDi|PKi,1)ski,2=xi+sPKi,2ski,3=H1(IDi|s)PKi,3=ski,3P2）PKG 随机选择，计算，；PKi=(PKi,1,PKi,2,PKi,3)ski=(ski,1,ski,2,ski,3)3）PKG 输出公共参数与私钥.2.3.3医疗数据签密及上传nIDiIDji,j 1,2,nmi给定参与密文等值测试与聚合签密的数据拥有者数量为，数据拥有者的身份标识为，数据用户的身份标识为，其中.数据拥有者执行 1)5)操作对进行签密：ai,bi,Ni ZpCi,1=aiP Ci,2=biPRi=aiQjPpub1）随机选择，计算，；Ui=H2(mi,IDi,IDj,Ri,PKi,1,PKj,1)Vi=H3(mi,IDi,IDj,Ri,PKi,1,PKj,1)vi=aiUi+ski,2ViCi,3=viPCi,4=H4(Ri)(mi|vi)2）计算，；fi,0=H5(mi|n)fi,1=H5(mi|n|fi,0),fi,n1=H5(mi|n|fi,0|fi,n2)3）计算，；Ci,5=H4(biPKj,3)(Ni|f(Ni)Ci,6=H6(n|Ci,1|Ci,5|biPKj,3|fi,0|fi,n1)f(Ni)=fi,0+fi,1Ni+fi,2N2i+fi,n1Nn1i4）计算，其中；CTi=(ti,Ci,1,Ci,2,Ci,3,Ci,4,Ci,5,Ci,6)ti=n5）将密文上传到云端存储，其中.2.3.4多密文等值测试ntkj=skj,3j 1,2,nnCT1，CT2，CTn个数据用户分别将等值测试陷门发送给测试者，其中.测试者从云服务器分别下载 个数据拥有者想要测试的密文，执行 1）3）多密文等值测试操作：t1=t2=tn=n1）检查是否成立，若成立测试者则继续执行以下操作，否则终止操作并输出“”；i 1,2,n j 1,2,nNi|f(Ni)=Ci,5H4(Ci,2tkj)f(Ni)=fi,0+fi,1Ni+fi,2N2i+fi,n1Nn1in2）对于，测试者分别计算，由签密算法有，测试者将 个等式合并得到方程组|f(N1)=f1,0+f1,1N1+f1,2N21+f1,n1Nn11，f(N2)=f2,0+f2,1N2+f2,2N22+f2,n1Nn12，.f(Nn)=fn,0+fn,1Nn+fn,2N2n+fn,n1Nn1n，fi,k=fj,kk 0,1,n1并隐式设置，其中，测试者通344计算机研究与发展2023，60（2）f1,0,f1,1,f1,n1过对该方程组对应的范德蒙矩阵求逆，获得方程组的唯一一组解；Ci,6=H6(n|Ci,1|Ci,2|Ci,3|Ci,4|Ci,5|Ci,2tkj|fi,0|fi,1|fi,n1)3）检查等式是否成立，若成立测试者则向云服务器输出测试结果为“1”，否则向云服务器输出测试结果为“0”.2.3.5医疗数据聚合签密及上传nCT1，CT2，CTn若云服务器接收到的密文等值测试结果为“1”，代表 个数据拥有者的医疗密文全部相同，云服务器将所有数据拥有者的医疗密文发送给聚合者，聚合者执行 1)2)操作对医疗密文进行聚合签密：Xagg=ni=1Ci,31）计算；agg=(CTii=1,2,n,Xagg)2）将聚合医疗密文上传到云服务器存储.2.3.6医疗数据下载及解密IDjj 1,2,nagg给定数据用户的身份标识为，其中.数据用户从云端下载聚合医疗密文，对密文进行解密并验证数据来源.数据用户的具体操作如为：Ri=skj,1Ci,1mi|vi=Ci,4H4(Ri)1）计算，；mifi,0=H5(mi|n)，fi,1=H5(mi|n|fi,0)，fi,n1=H5(mi|n|fi,0|,|fi,n2)Ni|f(Ni)=Ci,5H4(Ci,2skj,3)2）根据的值计算，；Ui=H2(mi,IDi,IDj,Ri,PKi,1,PKj,1)Vi=H3(mi,IDi,IDj,Ri,PKi,1,PKj,1)Xagg=ni=1viPXagg=ni=1UiCi,1+ni=1ViPKi,1+ni=1ViPKi,2Ppub3）计 算，；Ci,6=H6(n|Ci,1|Ci,2|Ci,3|Ci,4|Ci,5|Ci,2skj,3|fi,0|fi,1|fi,n1)Xagg=Xaggf(Ni)=fi,0+fi,1Ni+fi,n1Nn1i4）分别检查等式，是否同时成立.mi若以上等式均成立，数据用户则接收医疗数据；否则输出“”.3正确性分析与安全性证明 3.1正确性分析1）解密等式的正确性mi|vi=Ci,4H4(Ri)Ri=skj,1Ci,1skj,1skj,1=sQj数据用户通过计算对密文进行解密，其中，是数据用户的私钥，由于，则有Ri=skj,1Ci,1=skj,1aiP=sQjaiP=aiQjPpub=Ri，Ri=Ri即，从而有mi|vi=Ci,4H4(Ri)=H4(Ri)(mi|vi)H4(Ri)=mi|vi.因此，本文方案满足密文解密等式的正确性.2）签名验证等式的正确性Xagg=XaggXagg=ni=1viP vi=aiUi+ski,2Viski,2=xi+sPKi,2数据用户通过判断等式是否成立以验证聚合密文签名的合法性，其中，则有Xagg=ni=1viP=ni=1aiUiP+ni=1ski,2ViP=ni=1aiUiP+ni=1xiViP+ni=1sPKi,2ViP,Ci,1=aiP PKi,1=xiP Ppub=sP结合，从而有Xagg=ni=1UiCi,1+ni=1ViPKi,1+ni=1ViPKi,2Ppub.mi|vi=mi|vi进一步，由解密等式的正确性可知，则有Ui=H2(mi,IDi,IDj,Ri,PKi,1,PKj,1)=H2(mi,IDi,IDj,Ri,PKi,1,PKj,1)=Ui,Vi=H3(mi,IDi,IDj,Ri,PKi,1,PKj,1)=H3(mi,IDi,IDj,Ri,PKi,1,PKj,1)=Vi,Ui=UiVi=Vi即，于是有Xagg=ni=1UiCi,1+ni=1ViPKi,1+ni=1ViPKi,2Ppub=ni=1UiCi,1+ni=1ViPKi,1+ni=1ViPKi,2Ppub=Xagg，Xagg=Xagg即成立.因此，本文所提的新方案满足签名验证等式的正确性.3）等值测试结果的正确性i 1,2,n j 1,2,nCi,6=H6(n|Ci,1|Ci,5|Ci,2tkj|fi,0|fi,n1)nfi,0=H5(mi|n),fi,n1=H5(mi|n|fi,0|fi,n2)m1=m2=mn对，测试者通过检查是否成立来判断 个医疗密文是否相同，其中.假设所有参与密文等值测试的医疗密文全部相同，即，则有H5(m1|n)=H5(m2|n)=H5(mn|n)，H5(m1|n|f1,0)=H5(m2|n|f1,0)=H5(mn|n|f1,0)，.H5(m1|n|f1,0|f1,n2)=H5(m1|n|f2,0|f2,n2)=H5(mn|n|fn,0|fn,n2)，i,j 1,2,n k 0,1,n1fi,k=fj,k即对于所有的，等式均成立.由医疗数据签密及上传算法可知，数据拥有者在签密过程中设置杨小东等：支持多密文等值测试的无线体域网聚合签密方案345f(Ni)=fi,0+fi,1Ni+fi,2N2i+fi,n1Nn1i,由此可以得到方程组|f(N1)=f1,0+f1,1N1+f1,2N21+f1,n1Nn11，f(N2)=f2,0+f2,1N2+f2,2N22+f2,n1Nn12，.f(Nn)=fn,0+fn,1Nn+fn,2N2n+fn,n1Nn1n，fi,k=fj,kf1,0,f1,1,f1,n1Ni结合，因此可将作为方程组的解，将随机数作为方程组的系数，则该方程组对应的矩阵为V=|1N1N21Nn111N2N22Nn12.1NnN2nNn1n|,det(V)=1ijn(NiNj)由范德蒙矩阵的性质可知其对应的行列式为.Nindet(V)=0p(p1)(pn+1)1pZpdet(V)0f1,0,f1,1,f1,n1i,j 1,2,n k 0,1,n1fi,k=fj,k从数据拥有者签密过程可知，是由 个不同的数据拥有者在对医疗密文进行签密时分别选择的随机数，因此的概率仅为，其中 为群的阶.由克拉默法则可知当时，方程组有且仅有唯一解，于是有对于所有的，等式均成立，与所有参与密文等值测试的医疗密文全部相同的假设相符.因此，本文新方案满足多密文等值测试结果的正确性.3.2安全性证明本文提出的方案引入了基于身份的聚合签密体制，确保了本文方案在面对第 1 类敌手时医疗数据的机密性与签名的存在不可伪造性，对于机密性与不可伪造性的证明过程可以参考文献 23 方案.同时，本文方案满足面对第 2 类敌手适应性选择密文攻击下的单向性（one-wayagainstadaptivechosenciphertextattack,OW-CCA2），以下通过定理1 证明本文方案满足OW-CCA2安全.定理 1.假设 CDH 问题是难解的，则本文方案在随机预言模型下对第 2 类敌手是 OW-CCA2 安全的.CA2CA2A2C证明.假设是能够解决 CDH 困难问题的人，代表第 2 类敌手.以为子程序充当以下游戏中的挑战者，若能以不可忽略的优势在概率多项式时间内的游戏中获胜，则能够在概率多项式时间内解决 CDH 困难问题.(P,aP,bP)a,b ZpCabP CpGPG初始化阶段.CDH 问题的输入为，其中，的目标是给出 CDH 困难问题的解.选取阶为素数 的循环群，计算为的生成元，随a ZpPpub=aPparams=p,P,Ppub,G,H1,H2,H3,H4，H5,H6aparamsA2机选择并计算.最后，输出系统参数，将 秘密保存并发送给.A2CL1，L2，L3，L4，L5，L6，LtdA2H1H2H3H4H5H6L1询问阶段 1.为了响应的询问，维持列表分别用于跟踪的Hash 询问、Hash 询问、Hash 询问、Hash 询问、Hash询问、Hash 询问、测试陷门询问.同时用于跟踪密钥提取询问，开始时每个列表都为空.H1CA2H1(IDi,Qi)IDi IDini=1PKi,1=xiPxiC(,Qi,IDi)L1i 1 Cxi,PKi,2 ZpPKi,1=xiPPKi,2=H1(IDi|PKi,1)A2(xi,PKi,1,PKi,2,IDi)L11）Hash 询问.当收到对的查询，若，则计算，其中 是未知的，保存到；若，随机选择并设置，将返回给并保存到.H2CA2(mi,IDi,IDj,Ri,PKi,1,PKj,1,Ui)CL2(mi,IDi,IDj,Ri,PKi,1,PKj,1,Ui,ti,tiP)L2(mi,IDi,IDj,Ri,PKi,1,PKj,1,Ui,ti,tiP)UiA2CUi Zp(Ui,ti,tiP)L2tiP2）Hash 询 问.当收 到对的查询后，首先在查找是否已有，若已 有，则发送给；否则，选取，将加入到中并输出.H3CA2(mi,IDi,IDj,Ri,PKi,1,PKj,1,Vi)CL3(mi,IDi,IDj,Ri,PKi,1,PKj,1,Vi,wi,wiP)L3(mi,IDi,IDj,Ri,PKi,1,PKj,1,Vi,wi,wiP)ViA2CVi Zp(Vi,wi,wiP)L3wiP3）Hash 询 问.当收 到对的查询后，首先在查找是否已有，若已 有，则返回给；否则，选取，将加入到中并输出.H4CA2(Ri,H4(Ri)L4(Ri,H4(Ri)H4(Ri)A2CH4(Ri)0,1l0+l1(Ri,H4(Ri)L4H4(Ri)4）Hash 询问.当收到对的查询后，若在中已有则返回给；否则，选取，并将加入到中且输出.H5CA2fi,dd 1,2,nL5(mi,n,fi,0,fi,d2,fi,d)fi,dA2Cfi,Zp(mi,n,fi,0,fi,d2,fi,d)L5fi,d5）Hash 询问.当收到对的查询，其中，若存在则返回给；否则，选取，将加入到中并输出.H6CA2Ci,6L6Ci,6Ci,6A2CCi,60,1kL6Ci,66）Hash 询问.当收到对的查询后，若在中已有则返回给；否则，选取，将相应元组加入到中并输出.CA2IDiCL1(xi,PKi,1,PKi,2,IDi)(xi,PKi,1,)IDiIDini=1CIDiH1Qi=H0(IDi)ski,1=aQiski,2=xi+aPKi,2(PKi,1,ski,1,PKi,2,IDi)A27）密钥提取询问.当收到对的私钥的查询后，首先查询中是否存在，若不存在则输出“”；否则返回.如果，将作为Hash 询问的输入，得到，并计算，返回给.CA2(IDi,PKi,1,PKi,2)(xi,PKi,1,PKi,2,IDi)L1C(PKi,1,PKi,2)IDi(PKi,1,PKi,2)C(xi,PKi,1,PKi,2,IDi)L18）公钥替换询问.当收到对的查询后，若已存在于中，则用列表 L1中的替换原有的公钥；否则，将加入到列表中.346计算机研究与发展2023，60（2）CA2(mi,IDi,IDj)C9）签密询问.当收到对的询问后，执行操作：IDi IDlA2IDiCH1xiski,2miIDiCH1(PKi,1,PKi,2)(PKj,1,PKj,2)Cai ZpCi,1=aiPRi=aiQjPpubH2H3H4Ui=H2(mi,IDi,IDj,Ri,PKi,1,PKj,1)Vi=H3(mi,IDi,IDj,Ri,PKi,1,PKj,1)H4(Ri)ski,2vi=aiUi+ski,2ViCi,3=viP Ci,4=H4(Ri)(mi|vi)i=(Ci,1,Ci,2,Ci,3,PKi,1)A2若且没有对的公钥执行过替换询问，通过Hash 询问与密钥提取询问分别获取和，并对进行签密；若对应的公钥被替换过，首先通过询问分别获取和，然后利用随机数计算，并通过，Hash 询问分别获取，.，通过密钥提取询问获取私钥，计算，最后输出密文给.IDi=IDlCH1(PKi,1,PKi,2)(PKj,1,PKj,2)y,z ZpCi,1=zaPCH1H4(IDj,aj)H4(Rj)Rj=ajQjPpubUj=H2(ml,IDl,IDj,Rj,PKl,1,PKj,1)(ml,IDl,IDj,Rj,PKl,1,PKj,1,Uj)L2H3(ml,IDl,IDj,Rl,PKl,1,PKj,1,Vl,wl,wlP)vl=yUlCl,3=zvlPpub+wlPKl,1Ci,4=H4(Rl)(ml|vl)l=(Cl,1,Cl,2,Cl,3,PKl,1)A2若，首先通过询问分别获取和，随机选择并计算.然后通过Hash 询问和Hash 询问分别获取和，并计算，将加入到中，通过Hash 询问获取，并计算，最后输出给.CA2(CT1,CT2,CTn,IDini=1,IDj)C10）解签密询问.当收到对的查询后，执行操作：(ID1,ID2,IDn,IDj)H1(Q1,Q2,Qn,Qj)(PK1,1,PK2,1,PKn,1,PKj,1)C对分别执行Hash 询问 以 获 取，然后执行聚合签名验证算法，若验证未通过，则输出“”后终止模拟；否则继续执行后续操作.IDj IDlCH1(IDj,aj)Rj=ajCj,1L2(,IDj,Ri,PKi,1,PKj,1,Ui)CUiCUi ZpUiIDj=IDlCL2(,IDj,PKi,1,PKj,1,Ui)UiUi ZpUi若，则通过Hash 询问获取并计算，检查中是否存在元组，若存在，则利用 Hash 值对密文进行解密；否则随机选取并用对密文进行解密.若，则在中查询是否存在元组，若存在则利用 Hash 值对密文进行解密；否则将随机选取并用对密文进行解密.CA2tkjL1(xi,PKi,1,PKi,2,IDi)CH1ski,3=H1(IDi|s)tkj=ski,3A2CtkjZpA2(xi,PKi,1,PKi,2,IDi)Ltd11）测试陷门询问.当收到对的询问后，若中存在元组，通过询问获取并返回给；否则，选取发送给，并将加入到中.A2m0=mi,0ni=1m1=mi,1ni=1IDini=1IDjCIDjH1L1IDjCCL1IDini=1PKi,1,PKi,2ni=1ski,2 Zpni=1Ci,1=ski,2cPni=1CL2L3Uini=1Vini=1vi=aiUi+ski,2Vi=tiCi,1+ski,2wiPKi,1tiwiski,2H2挑战阶段.输出2 个消息，并输出身份和；以作为输入进行Hash询问，若中不存在与相关的元组，则挑战失败；否则，从中获取对应的公钥，随机选择并计算；然后从，中获取，并计算，其中，分别来自Hash 询H3IDjC 0,1Ci,4=H4(Ri)(mi,|vi)Ci,3=viPH1PKi,1ni=1=(C1,1,Cn,1,C1,3,Cn,3,C1,4,Cn,4,PK1,1,PKn,1)A2问、Hash 询问与对的密钥提取询问；随后随机选择并计算，然后通过Hash 询问获取公钥并输出给.A2IDiIDj询问阶段 2.执行与询问阶段 1 类似的多项式有界次适应性查询，但不允许对和对应的密文进行解签密查询.A2 0,1=A2CL4(Ri,H4(Ri)Ri=abP猜测阶段.输出 1 个对 的猜测，如果，则在以上游戏中获胜.在列表中选取并以作为 CDH 困难问题的解，这与目前公认的 CDH 问题的难解性相矛盾.因此本文方案在面对 A2敌手时满足选择 OW-CCA2 安全.证毕.4对比分析 4.1功能特性分析将本文提出的方案与文献2226 方案在功能特性方面进行比较，对比结果如表 1 所示.与文献 2324方案相比，本文方案引入等值测试功能，实现了对存储在云端的医疗密文的安全检索.与文献 22,2526方案相比，本文方案引入了聚合签密技术，确保了WBAN中医疗数据的机密性、完整性与可认证性，提高了多用户环境下对医疗数据进行签密与验证的效率.文献 2526 方案采用的等值测试方法只能对 2 个密文进行比较，本文方案实现了同时对多个密文进行匹配，降低了测试者执行密文等值测试时的开销.此外，与文献 2223,2526 方案相比，本文方案达到了适应性选择密文攻击下的单向性，安全性有所提升.Table 1Comparison of Functional Characteristics表 1 功能特性比较方案等值测试多密文等值测试签密聚合签密安全性文献 22 方案选择明文攻击下的单向性文献 23 方案选择密文攻击下的不可区分性文献 24 方案适应性选择密文攻击下的不可区分性文献 25 方案选择密文攻击下的单向性文献 26 方案选择密文攻击下的单向性本文方案适应性选择密文攻击下的单向性注：“”表示不具有某种特定功能；“”表示具有某种特定功能.4.2范德蒙矩阵求逆算法复杂度分析本文所提新方案在执行多密文等值测试算法时，测试者通过对范德蒙矩阵求逆以提取出与数据拥有杨小东等：支持多密文等值测试的无线体域网聚合签密方案347者明文相关的系数.其中，n 阶范德蒙矩阵求逆算法的时间复杂度取决于所使用的求逆方法，已有许多学者提出了求解范德蒙矩阵逆矩阵的串行27-28与并行29-30方法，其时间复杂度如表 2 所示：Table 2Complexity of Inversion for Vandermonde Matrix表 2 范德蒙矩阵求逆算法复杂度方案时间复杂度文献 27 方案O(n2)文献 28 方案O(n2)文献 29 方案O(logn)文献 30 方案O(logn)2)4.3计算开销分析将本文提出的方案在计算时间开销方面与文献2526 方案进行对比，假设参与密文等值测试的用户数量为 n，使用 i7-8750h，2.20GHz 处理器，8GB 内存和 Win10 操作系统在 VC6.0 环境下用 PBC 库分别对本文方案与对比方案进行了仿真模拟，对比结果如表 3 所示.其中标量乘法运算时间 Tsm=0.0004ms，群元素乘法运算时间 Tmul=0.0314ms，Hash 函数运算时间 Th=0.0001ms，指数运算时间 Te=6.9866ms，双线性配对时间 Tbp=9.6231ms，范德蒙矩阵求逆时间Tinv取决于矩阵求逆方法.从表 3 可以看出，由于本文方案中不存在计算开销较大的双线性配对运算，因此在密文生成阶段的计算时间开销相比于文献 2526的方案有显著降低.在数据解密及验证阶段，非聚合模式下的文献 2526 方案需要所有数据用户逐一对数据进行验证并解密，而本文方案中的数据用户能够对聚合密文进行批量验证，验证效率相比于文献 2526 的方案有所提高.Table 3Computation Amount Comparison表 3 计算量比较ms方案密文生成时间密文等值测试时间数据解密及验证时间文献 25 方案nTmul+3nTbp+6nTh+5nTe(63.8343n)(n1)(4Tbp+2Th)(38.4926n38.4926)2nTbp+4nTh+2nTe(33.2198n)文献 26 方案6nTsm+2nTbp+7nTh+2nTe(33.2250n)(n1)(4Tbp+2Th)(38.4926n38.4926)3nTsm+nTmul+5nTbp+5nTh(48.1486n)本文方案7nTsm+nTmul+n(n+4)Th(0.0346n+0.0001n2)nTsm+2nTh+Tinv(Tinv+0.0006n)n(2+4n)Tsm+n2Tmul+n(n+4)Th(0.0012n+0.0331n2)nTsmTmulThTeTbpTinv注：表示参与密文等值测试的用户数量；表示标量乘法运算时间；表示群元素乘法运算时间；表示 Hash 函数运算时间；表示指数运算时间；表示双线性配对时间；表示范德蒙矩阵求逆时间.n此外，文献 2526 方案仅支持将多个用户的密文两两一组进行匹配，其密文等值测试算法中双线性配对运算数量与参与测试的用户数量呈线性关系；而本文方案中，测试者可以同时对 个用户的密文进行匹配，且测试过程中不存在双线性配对运算.本文方案的等值测试时间主要取决于测试者对范德蒙行列式求逆时所选