代理重加密

什么是代理重加密（PRE）

代理重加密（Proxy re-encryption）通过代理服务器将一个用户用自己公钥加密的密文转换为另一个用户可以用自己私钥解密的密文，且不泄露用户的私钥和明文信息，从而实现信息的共享。

代理重加密常用于云存储中，因为在云存储中，基于用户数据隐私性考虑，用户存放在云端的数据都是密文形式存在的。而云环境中存在着大量数据共享的场景。由于数据拥有者对云服务提供商并不完全信任，不能将解密密文的密钥发送给云端，由云端来解密并分享出去。数据拥有者自己下载密文解密后，再用数据接收方的公钥加密并分享，无疑给数据拥有者带来很大的麻烦，同时也失去了云端数据共享的意义。代理重加密可以在不泄漏数据拥有者解密密钥的情况下，实现云端密文数据共享。

具体过程

直观的理解:

假设 Alice 想要将消息 M 存储到云服务器上，并且 Bob 想要查看消息 M 。由于 Alice 不想让云服务器知道消息 M ，因此他可以使用代理重加密按照下面的过程安全的与 Bob 分享消息 M 。

Alice: 将明文 M 用自己的公钥 $PK_A$ 加密，得到 $C_{PK_A}=Enc_{PK_A} (M)$ ，其中的 M 就是 Alice 想要给 Bob 的明文内容。
Alice：将 $C_{PK_A}$ 发给半诚实代理商，并为其生成重加密密钥 $RK_{A→B}$ ；
Proxy：用 Alice 生成的重加密密钥 $RK_{A→B}$ 将密文 $C_{PK_A}$ 转化为 Bob 的私钥能够解密的密文 $C_{PK_B}$ ，其中Proxy只是提供计算转化服务，无法获取明文；
Proxy：将生成好的 $C_{PK_B}$ 发给Bob；
Bob：解密获得 Alice 想要共享的明文 M；

该过程主要解放了A，A只需生成代理密钥，具体文件的传输，文件的转化，文件的存放都是半诚实代理商完成的。

形式化定义

代理重加密可由以下五个算法构成：

KeyGen：根据一个系统安全参数生成用户的密钥对。

Encrypt：用户是用自己的公钥加密消息 M 得到相应的密文 C，并将密文 C 上传给代理服务器。

ReGenKey：用户使用数据接收者的公钥生成重加密密钥rk，并发送给代理服务器。

ReEncrypt：代理服务器使用重加密密钥 rk 对密文C进行重加密，得到重加密密文C’ ，然后将C’发送给数据接收者。

Decrypt：数据接收者使用自己的私钥解密 C’ 得到明文 M 。

下面为图解：

具体实例

基于ElGamal的代理重加密

KeyGen：

Alice 输入ElGamal加密的公共参数 pp ，然后生成用户 Alice 和 Bob 的公私钥对分别为 $(sk_A,PK_A)$ 和 $(sk_B,PK_B)$ 。其中 $PK_A=g^{sk_A}$ , $PK_B=g^{sk_B}$ 。

Encrypt：

假设 Alice 想要将消息 M 存储到代理服务器上。Alice 使用自己的公钥使用 ElGamal加密算法加密消息 M 得到相应的密文 $C=(C_1,C_2)=(g^r,M\cdot pk_A^r)$ ，其中 $r\in_R Z_p^* $是一个随机数。Alice 将密文 C 上传给代理服务器。

ReGenKey：

Alice 使用数据接收者 Bob 的公钥生成重加密密钥 $rk= sk_A / H(PK_B^{sk_A})$ ，并将 rk 发送给代理服务器。

ReEncrypt：

代理服务器使用重加密密钥 rk 对密文C进行重加密，得到重加密密文 $C'=(C_1',C_2')=(C_1^{rk},C_2)$ ，然后将C’发送给数据接收者。

Decrypt：

Bob 使用自己的私钥 $sk_B$ 解密 C’ 得到明文 $M=C_2' / C_1'^{H(PK_A^{sk_B})}$ 。

正确性验证很容易，这里不再赘述。