💻 computer science

Ciphertext-Policy ABE for $\mathsf{NC}^1$ Circuits with Constant-Size Ciphertexts from Succinct LWE

Dit artikel presenteert een roostergebaseerde CP-ABE-scheme voor $\mathsf{NC}^1$ -circuits met constant-grote ciphertexts, gebaseerd op de compacte LWE-aanname, wat leidt tot een uitzendencryptieschema met ciphertexts die onafhankelijk zijn van het aantal gebruikers.

Oorspronkelijke auteurs: Jiaqi Liu, Yuanyi Zhang, Fang-Wei Fu

Gepubliceerd 2026-03-18

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Jiaqi Liu, Yuanyi Zhang, Fang-Wei Fu

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een digitale briefkast hebt die zo slim is dat hij alleen opent voor specifieke mensen, op basis van een lijst met eigenschappen die ze hebben. Dit is het idee achter Ciphertext-Policy Attribute-Based Encryption (CP-ABE).

In dit wetenschappelijke artikel bouwen de auteurs (Jiaqi Liu, Yuanyi Zhang en Fang-Wei Fu) een nieuwe, nog slimmere versie van zo'n digitale briefkast. Hier is een uitleg in gewone taal, met een paar creatieve vergelijkingen.

1. Het Probleem: De "Zware" Sleutel

Stel je voor dat je een geheime boodschap wilt sturen naar een groep mensen, bijvoorbeeld "alle managers in de afdeling IT die ook een 'top-secret' badge hebben".

De oude manier: Om te controleren of iemand mag openen, moest de envelop (de versleutelde boodschap) een enorme lijst met regels bij zich dragen. Hoe complexer de regels (bijvoorbeeld: "Manager EN IT EN Badge"), hoe groter de envelop werd. Als je een heel groot bedrijf hebt met duizenden mensen, werd de envelop zo zwaar dat hij nauwelijks nog te vervoeren was.
Het doel van dit artikel: Ze wilden een envelop maken die altijd even groot is, ongeacht hoe complex de regels zijn of hoe groot het bedrijf is. Of je nu 10 mensen of 10 miljoen mensen moet bereiken, de envelop blijft klein en licht.

2. De Oplossing: Een Magische "Stempel"

De auteurs gebruiken een nieuwe wiskundige techniek (gebaseerd op "Lattice Cryptography" en een speciaal type wiskunde genaamd "Succinct LWE") om dit te bereiken.

De Analogie van de Magische Stempel:
Stel je voor dat je in plaats van een enorme lijst met namen en regels in de envelop doet, je alleen een magische stempel (een korte code) op de envelop plakt.

Deze stempel bevat een soort "gecodeerde blauwdruk" van de regels.
De ontvangers hebben hun eigen sleutel (hun eigenschappen).
Als hun sleutel past bij de blauwdruk op de stempel, werkt de envelop als een toverdoos en opent hij.
Als hun sleutel niet past, is de envelop voor hen net zo nutteloos als een steen.

Het mooie aan hun nieuwe methode is dat de "stempel" (de versleutelde boodschap) altijd even groot blijft, zelfs als de blauwdruk (de regels) enorm complex is.

3. De "Truc" met de Publieke Lijst

Er is één klein nadeel: om deze magische stempel te maken, moet de verzender een enorme lijst met basis-informatie (de "publieke sleutel") bij zich hebben.

De vergelijking: Stel je voor dat je een enorme bibliotheek moet meenemen om een boek te kunnen lenen. Dat is onhandig.
De oplossing in het artikel: De auteurs zeggen: "Wacht even, die bibliotheek is grotendeels vol met willekeurige, betekenisloze boeken." Ze gebruiken een slimme truc (een pseudorandom generator) om die bibliotheek te vervangen door een kleine sleutel die de hele bibliotheek kan "hergenereren" als je hem nodig hebt.
Het resultaat: Je hoeft die zware bibliotheek niet meer mee te nemen. Je hebt alleen die kleine sleutel nodig. Hierdoor wordt het hele systeem extreem efficiënt.

4. Waarom is dit belangrijk? (De Toekomst)

De auteurs bouwen dit systeem op basis van wiskunde die kwantumcomputers (de super-snelle computers van de toekomst) waarschijnlijk niet kunnen kraken. Veel huidige beveiligingssystemen zijn kwetsbaar voor deze nieuwe computers, maar dit nieuwe systeem is "kwantum-resistent".

De "Broadcast" Toepassing:
Een van de coolste toepassingen is Broadcast Encryption (uitzenden naar iedereen).

Vroeger: Als een bedrijf een update wilde sturen naar 1 miljoen werknemers, maar alleen degenen in een bepaalde afdeling mochten het lezen, moest de versleutelde boodschap gigantisch groot zijn (grootte van de lijst met werknemers).
Nu: Met deze nieuwe methode is de versleutelde boodschap voor 1 miljoen werknemers even groot als voor 10 werknemers. Het is alsof je een brief naar 1 miljoen mensen stuurt, maar de envelop is net zo klein als een postkaart.

Samenvatting in één zin

De auteurs hebben een nieuwe manier bedacht om versleutelde boodschappen te sturen die altijd even klein blijven, ongeacht hoe groot of complex de groep ontvangers is, en die veilig is tegen de supercomputers van de toekomst.

Het is alsof ze een manier hebben gevonden om een onbepaalde hoeveelheid informatie in een postzegel te verstoppen, die alleen opent voor de juiste mensen.

Titel

Ciphertext-Policy ABE voor NC1-circuits met constante ciphertext-grootte gebaseerd op Succinct LWE.

1. Probleemstelling

Attribuutgebaseerde versleuteling (ABE) is een fundamentele cryptografische primitief die fijnmazige toegangscontrole op versleutelde data mogelijk maakt. Er zijn twee hoofdtypen: Key-Policy ABE (KP-ABE) en Ciphertext-Policy ABE (CP-ABE). In CP-ABE wordt een toegangsbeleid (policy) aan de ciphertext gekoppeld, en een sleutel aan een attribuutset; ontsleuteling is alleen mogelijk als het attribuut voldoet aan het beleid.

De uitdagingen in de bestaande literatuur zijn:

Schaalbaarheid: Veel bestaande CP-ABE-schema's hebben ciphertext-groottes die lineair afhangen van de grootte van het toegangsbeleid (bijvoorbeeld de grootte van het circuit of het aantal attributen). Dit maakt ze inefficiënt voor complexe beleidsregels.
Aannames: Veel schema's vertrouwen op bilineaire groepen, die kwetsbaar zijn voor quantum-aanvallen. Er is behoefte aan schema's gebaseerd op roostergebaseerde (lattice-based) aannames, specifiek het Learning With Errors (LWE) probleem, dat als quantum-resistent wordt beschouwd.
Parameters: Bestaande schema's op basis van LWE hebben vaak publieke sleutels of ciphertexts die afhankelijk zijn van de circuitdiepte of -grootte, wat de efficiëntie beperkt.

Het doel van dit werk is het construeren van een CP-ABE-schema voor NC1-circuits (een klasse van circuits met logaritmische diepte en polynoomgrootte) met constante ciphertext-grootte, gebaseerd op een versterkte, maar nog steeds standaard, LWE-aanname.

2. Methodologie

De auteurs combineren drie kernconcepten om hun schema te bouwen:

Succinct LWE Assumptie: Het schema vertrouwt op de $\ell$ -succinct LWE-aanname (geïntroduceerd door Wee, CRYPTO 2024). Deze aanname stelt dat het onderscheiden van een LWE-staal $(B, s^TB + e, W, T)$ van een uniform staal $(B, c, W, T)$ moeilijk is, zelfs als $W$ en $T$ gerelateerd zijn aan $B$ via een specifieke structuur. Dit maakt het mogelijk om "succincte" (compacte) representaties van complexe structuren te gebruiken.
Matrix Commitment: Om de ciphertext-grootte onafhankelijk te maken van het aantal attributen of de circuitgrootte, gebruiken de auteurs een matrix-commitment schema (van Wee25). In plaats van voor elke rij van het toegangsbeleid een apart LWE-staal te genereren, wordt een enkele matrix $C$ gebruikt die een "commitment" is op de gehele set van beleidsmatrices.
Linear Secret Sharing Schemes (LSSS): Net als in eerdere werken (zoals DKW21), worden toegangsbeleid gerealiseerd via LSSS. Een toegangsbeleid wordt gemodelleerd als een matrix $M$ en een toewijzingsfunctie $\rho$ . De auteurs gebruiken de $\{0,1\}$ -LSSS techniek om niet-monotone beleidsregels (zoals die in NC1-circuits) te ondersteunen.

Het Construktieproces:

Public Key: Bevat parameters van de succincte LWE ( $B, W, T$ ), een matrix $A$ , en een set van matrices $\{B_i\}$ en $\{Q_u\}$ . De grootte is $O(1)$ ten opzichte van de circuitgrootte (afhankelijk van de beveiligingsparameter $\lambda$ ).
Encryptie: De encryptie berekent een commitment $C$ op een matrix $U$ die afgeleid is van het toegangsbeleid $M$ en de publieke parameters. De ciphertext bestaat uit slechts drie componenten: $(c_1, c_2, c_3)$ , waarbij $c_1$ en $c_2$ gerelateerd zijn aan $B$ en $A+C$ . De grootte is constant, ongeacht de complexiteit van het circuit.
Decryptie: De decryptor gebruikt de secret key (die trapdoors bevat) om de commitment te openen en de onderliggende LWE-stalen te reconstrueren. Door de reconstructiecoëfficiënten van het LSSS te combineren met de trapdoors, kan de boodschap worden hersteld als de attributen het beleid voldoen.

Veiligheidsbewijs:
Het bewijs van selectieve veiligheid (selective security) in het standaardmodel verloopt via een reeks hybride spellen (hybrid games). De kern van het bewijs ligt in het gebruik van de trapdoor $T$ uit de succincte LWE-aanname om nieuwe trapdoors te genereren voor matrices van de vorm $[I \otimes B | W']$ , zelfs zonder de oorspronkelijke master trapdoor $td_B$ te gebruiken. Dit stelt de uitdager in staat om secret keys voor niet-toegelaten attributen te genereren zonder de veiligheid van de LWE-stalen in de challenge-ciphertext te compromitteren.

3. Belangrijkste Bijdragen

Constante Ciphertext-grootte: Het eerste CP-ABE-schema voor NC1-circuits waarbij de ciphertext-grootte $O(1)$ is (onafhankelijk van de circuitgrootte $s$ , de diepte $d$ en de attributengrootte $\ell$ ), met uitsluitend poly( $\lambda$ ) factoren.
Efficiënte Publieke Sleutels: Hoewel de publieke parameters in eerste instantie lijken te schalen met de circuitgrootte ( $O(s)$ ), tonen de auteurs aan dat het uniforme deel van deze parameters kan worden gecomprimeerd met een pseudorandom generator (PRG). Hierdoor kan de effectieve grootte van de publieke parameters ook worden gereduceerd tot $O(1)$ .
Verbeterde Secret Key Grootte: De secret key grootte is $O(\ell)$ , maar de auteurs merken op dat deze in de praktijk kan worden gereduceerd tot $O(1)$ als een gebruiker slechts een constant aantal attributen bezit.
Broadcast Encryption: Als directe toepassing wordt een Broadcast Encryption schema voor $N$ gebruikers gepresenteerd met ciphertext-grootte poly( $\lambda$ ) (onafhankelijk van $\log N$ ) en sleutelgrootte poly( $\lambda, \log N$ ). Dit is een optimale oplossing onder de gegeven aannames.

4. Resultaten en Parameters

Voor een NC1-circuit met diepte $d$ , grootte $s$ en $\ell$ -bit inputs:

**Publieke sleutel ($|pk| $):**$ O(1)$ (na compressie met PRG).
**Ciphertext ($|ct| $):**$ O(1)$ (asymptotisch optimaal).
**Secret Key ($|sk| $):**$ O(\ell)$ (afhankelijk van het aantal attributen).
Beveiligingsaanname: Poly( $\lambda$ )-succinct LWE met sub-exponentiële modulus-tot-ruis verhouding.
Model: Selectieve veiligheid in het standaardmodel (zonder random oracles).

Voor Broadcast Encryption met $N$ gebruikers:

$|pk| = \text{poly}(\lambda)$ (na compressie).
$|sk| = \text{poly}(\lambda, \log N)$ .
$|ct| = \text{poly}(\lambda)$ .

5. Betekenis en Impact

Dit werk is significant omdat het een belangrijke stap zet in de richting van praktische, post-kwantum veilige toegangscontrole voor complexe beleidsregels.

Efficiëntie: Het doorbreken van de afhankelijkheid van de ciphertext-grootte van de circuitgrootte is een mijlpaal. In eerdere schema's werd de ciphertext onpraktisch groot bij complexe beleidsregels.
Veiligheid: Het schema is gebaseerd op de "succinct LWE" aanname, die sterker is dan standaard LWE maar nog steeds als geloofwaardig en quantum-resistent wordt beschouwd, in tegenstelling tot bilineaire groepen.
Toepassingsgebied: De mogelijkheid om Broadcast Encryption met constante ciphertext-grootte te realiseren, maakt dit schema zeer geschikt voor scenario's met een groot aantal ontvangers (zoals IPTV, beveiligde updates voor IoT-apparaten, of cloud-opslag), waar de overhead van de ciphertext traditioneel een bottleneck was.

Samenvattend bieden de auteurs een theoretisch robuust en parameter-efficiënt CP-ABE-schema dat de grenzen van wat mogelijk is met lattice-based cryptografie voor complexe toegangsstructuren verlegt.