Атрибутное шифрование.

Атрибутное шифрование (ABE) выросло из работы 2005 года Fuzzy Identity-Based Encryption (IACR ePrint 2004/086) Амита Сахая и Брента Уотерса, где личность трактовалась как набор описательных атрибутов, а расшифрование допускалось, если два набора атрибутов пересекались выше порога. Эта устойчивость к ошибкам, задуманная для биометрических идентификаторов, обобщилась в ABE, где политики заменяют фиксированные личности.

Есть два варианта. В KP-ABE (Key-Policy) шифротекст несёт атрибуты, а ключ пользователя кодирует политику доступа. В CP-ABE (Ciphertext-Policy) — представленном Bethencourt, Sahai и Waters на IEEE Symposium on Security and Privacy 2007 года — шифротекст несёт булеву политику над атрибутами, а каждый ключ несёт атрибуты своего владельца; таким образом, шифрующая сторона решает, кто может расшифровать, словно ролевой контроль доступа встроен в сам шифротекст. Расшифрование удаётся только тогда, когда атрибуты ключа удовлетворяют дереву политики шифротекста.

ABE опирается на билинейные спаривания на кривых вроде BN254 или BLS12-381 и обеспечивает встроенную устойчивость к сговору: пользователи не могут объединить разные ключи, чтобы выполнить политику, которую поодиночке не выполняет никто, поскольку каждый ключ рандомизирован для конкретного пользователя. Эталонные реализации — OpenABE и Charm-Crypto. Практические сложности остаются — отзыв атрибутов, депонирование ключей у центра и стоимость спариваний, — их решают схемы с несколькими центрами и с вынесенным расшифрованием.

flowchart TD
  subgraph Инициализация
    A[Центр атрибутов] -->|мастер-ключ| A
    A -->|выдаёт ключ для<br/>атрибутов: врач, кардиология| U[Ключ пользователя]
  end
  E[Шифрующий] -->|политика:<br/>врач И кардиология| C[Шифротекст + дерево политики]
  C --> D{Удовлетворяют ли атрибуты<br/>пользователя политике?}
  U --> D
  D -- Да --> P[Открытый текст восстановлен]
  D -- Нет --> X[Расшифрование не удаётся]

Применяется для тонкого контроля доступа к общим облачным хранилищам, электронным медицинским картам, зашифрованным data lake и DRM, когда один шифротекст обслуживает многих получателей без повторного шифрования для каждого пользователя.