CN112118101A - 一种后量子安全动态数据分享方法 - Google Patents

Abstract

本发明提供了一种后量子安全动态数据分享方法，数据发送方生成公钥和私钥；数据发送方发布拟分享的外包数据的基本信息；数据接收方生成注册申请，数据发送方接收数据接收方的注册申请，根据注册申请解析得到的信息，对数据接收方进行认证，确定其接入外包数据的权限；数据发送方根据注册申请信息，上传与权限相匹配的外包数据，如果另有一数据接收方请求该外包数据，不改变原数据接收方的私钥，对外包数据进行更新；通过认证的数据接收者下载对应外包数据，实现数据分享。本发明实现认证数据接收者身份的隐私保护及快速的成员加入机制。

Description

一种后量子安全动态数据分享方法

技术领域

本发明属于后量子安全技术领域，具体涉及一种后量子安全动态数据分享方法。

背景技术

本部分的陈述仅仅是提供了与本发明相关的背景技术信息，不必然构成在先技术。

数据分享是云存储提供的一种基本服务。数据拥有者使用云储存的数据分享服务将其所掌握的重要数据分享给指定的接收者。为了继续控制外包数据的接入，防止数据泄露，数据拥有者应将其外包的数据在上传云端前进行加密处理。这是因为在现实应用中云服务器总是不安全和不可信的，外包数据面临云服务器和各类敌手的泄露攻击。在外包数据进行加密处理的前提下，如何使得经过认证的接收者合法、安全、高效的接入外包数据，成为云存储的重要需求。

广播加密能够实现对加密数据的接入控制，实现只有指定接收者能够解密数据，为安全数据分享提供了一种可能的解决方法。传统基于公钥的广播加密在应用过程中依赖于用户公钥证书的使用。从而带来大量的证书申请、维护、管理、撤销等现实的证书管理问题，增加了用户的负荷。基于身份的广播加密将基于身份密码与广播加密方案联合，以用户的身份信息作为用户公钥，大幅提升了广播加密的应用效率。近年来，广播加密及基于身份的广播加密方法被广泛的应用于云数据的安全分享。

但据发明人了解，大量外包数据分享方案无法提供抗量子攻击的安全性。在实现后量子安全的前提下，当外包数据本身尺寸较大且需分享给较多用户时，已有的数据分享***存在实现效率的不足；主要表现在密文长度、公钥、私钥长度随接收者数目的增加而增加。如何实现外包数据长度不依赖于分享客户数目的数据分享方案设计，是提升云存储服务执行效率和提高用户体验度的重要一环。不仅如此，云数据分享方案在现实应用中还存在一些其他的现实需求，例如保护认证的数据接收者身份的隐私性，及数据分享过程中认证数据接收者的动态管理问题，如新成员的动态加入问题。而现有技术对于上述需求均未进行考虑，实现效率普遍不高，无法满足面向大群组用户数据分享的现实需求。

发明内容

本发明为了解决上述问题，提出了一种后量子安全动态数据分享方法，本发明能够为云存储中的外包数据提高抗量子攻击的安全保护，提升数据隐私的安全防护水平，同时节约云存储的存储和计算资源，提高数据分享的效率。

根据一些实施例，本发明采用如下技术方案：

一种后量子安全动态数据分享方法，由数据发送方执行，包括以下步骤：

生成公钥和私钥；

发布拟分享的外包数据的基本信息；

接收数据接收方的注册申请，根据注册申请解析得到的信息，对数据接收方进行认证，确定其接入外包数据的权限；

根据注册申请信息，上传与权限相匹配的外包数据，如果另有一数据接收方请求该外包数据，不改变原数据接收方的私钥，对外包数据进行更新；

授予通过认证的数据接收者下载对应外包数据的权限，实现数据分享。

一种后量子安全动态数据分享方法，由数据接收方执行，包括以下步骤：

获取发布的外包数据的基本信息；

发送注册申请，并接收认证，确定自身接入外包数据的权限；

根据注册申请信息，依据自身权限，获取上传的相应外包数据，实现数据分享。

一种后量子安全动态数据分享方法，包括以下步骤：

数据发送方生成公钥和私钥；

数据发送方发布拟分享的外包数据的基本信息；

数据接收方生成注册申请，数据发送方接收数据接收方的注册申请，根据注册申请解析得到的信息，对数据接收方进行认证，确定其接入外包数据的权限；

数据发送方根据注册申请信息，上传与权限相匹配的外包数据，如果另有一数据接收方请求该外包数据，不改变原数据接收方的私钥，对外包数据进行更新；

通过认证的数据接收者下载对应外包数据，实现数据分享。

作为可选择的实施方式，生成公钥和私钥的具体过程包括：生成一个本原矩阵

利用G-陷门的生成算法GenTrap生成数据拥有者的公钥

和私钥

其中G-陷门的标签为

阶单位矩阵。

作为可选择的实施方式，外包数据的基本信息包括数据的属性、特征和用途，形成数据摘要。

作为可选择的实施方式，数据接收方生成注册申请的具体过程包括：根据外包数据的基本信息，确定其是否为需要的数据，如果是，数据接收方发送个人身份ID_i及申请接入的数据摘要π给数据发送方，数据发送方收到(ID_i,π)后，数据发送方计算H(ID_i)，并检查

是可逆矩阵，其中ID_j,j<i是数据发送方本地存储的已经申请接入相同数据的用户身份；第一位用户注册时随机选择

后续用户直接调用该矩阵；调用SampleD算法生成矩阵R_i←SampleD(A,R,I,-A₀-H(ID_i)G,σ)，令(A₀,R_i)为用户ID_i的私钥；数据发送方存储(ID_i,π,A₀,R_i)。

上述内容中，大写粗体字母均表示相应阶数的矩阵，如上述A,R,I,A₀,R_i,G，参数σ为执行高斯抽样算法SampleD时输入的高斯参数。

作为可选择的实施方式，数据发送方根据注册申请信息，上传与权限相匹配的外包数据的具体过程包括：

发送方读取申请接入数据M的用户信息，设为

设

随机选择K∈{0,1}^nk，计算PRG(K)；

计算c＝M+PRG(K)(mod2)；

计算

的标签

随机选择

计算：

y＝2(A_b ^ts(modq))+e+(0,encode(K))(mod2q)，

其中e＝(e₁,e₂)，0为m维向量；

令

其中，A_b为矩阵A和

级联得到的矩阵。K∈{0,1}^nk为生成会话密钥的种子，由K∈{0,1}^nk计算得到的PRG(K)为外包数据的加密密钥。c＝M+PRG(K)(mod2)为外包密文。Hdr为会话密钥种子的密钥封装。其中，

为封装的标签，现实中可以是矩阵A₀对应的hash函数值，或者由发送方统一编号实现。m+nk维向量y用于加密会话密钥的种子。e＝(e₁,e₂)表示两个向量的级联。

数据发送方将(hdr,c,π)作为数据M的分享密文上传云服务提供商。

作为可选择的实施方式，数据接收方下载外包数据的过程包括：

利用A₀检查

的正确性，并令

若不然，拒绝该密文；

计算

并以此为陷门标签，以A_b，y，R_i为输入运行Invert算法，输出

检查

若不然，终止计算并拒绝密文；

计算v＝(v₁,v₂)＝y-e(modq):若

终止计算；若v₁∈2Λ(A^t)，则计算encode(K)＝(R_i,I)v(mod2q)；

解码encode(K)得到K；解密M＝c+PRG(K)(mod2)。

其中，

表示计算向量的欧几里德范数。Λ(A^t)表示以A^t为基向量的格。(R_i,I)v(mod2q)表示矩阵与向量的模乘运算。

作为可选择的实施方式，如果另有一数据接收方请求该外包数据，不改变原数据接收方的私钥，对外包数据进行更新的具体过程包括：

假如一个新的数据接收方ID_l+1在数据发送方已经上传外包数据后继续申请接入标签为π的外包数据，则数据发送方执行如下操作：

利用密钥提取算法为身份为ID_l+1的接收者生成私钥(A₀,R_l+1)；

计算m+nk维向量s′＝(0,H(ID_l+1)G)s(modq))；

更新外包数据hdr:

其中，向量s′级联矩阵(0,H(ID_l+1)G)与向量s执行模乘运算所得向量。

一种计算机可读存储介质，其中存储有多条指令，所述指令适于由终端设备的处理器加载并执行所述的一种后量子安全动态数据分享方法的步骤。

一种终端设备，包括处理器和计算机可读存储介质，处理器用于实现各指令；计算机可读存储介质用于存储多条指令，所述指令适于由处理器加载并执行所述的一种后量子安全动态数据分享方法的步骤。

与现有技术相比，本发明的有益效果为：

本发明提供了一种能够实现常数级密文长度和公钥、私钥长度的基于身份的数据分享方案。从而大幅节约了云存储的存储和计算资源，提高了数据分享的效率。方案的应用不依赖于公钥证书的使用，从而有效规避公钥证书的管理问题。

本发明提出了一种后量子安全的云数据存储策略，能够为云存储中的外包数据提高抗量子攻击的安全保护，提升数据隐私的安全防护水平。

本发明提出了数据分享中实现认证用户身份隐私保护的方法和新数据接收者动态加入方法。除数据拥有者(即数据发送方)外，其他任何第三方(云服务器或敌手)无法确认认证的数据接收者的身份。当有新的数据接收者(即数据接收方)加入数据分享的前提下，已有的数据接收者无需改变自己的解密密钥，而数据拥有者仅需简单计算即可实现外包数据的更新。

附图说明

构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。

图1是本发明的数据分享参与方架构图；

图2(a)、图2(b)是空间效率对比图；

图3(a)、图3(b)是运行时间对比图；

图4是本发明的流程示意图。

具体实施方式：

下面结合附图与实施例对本发明作进一步说明。

应该指出，以下详细说明都是例示性的，旨在对本发明提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。

需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

本发明提供一种云存储中带隐私保护的后量子安全动态数据分享方法。

首先进行以下名词解释：

量子安全：在量子攻击下依然安全。格密码是当前典型的能够提供量子安全性的密码技术。本发明使用格密码工具完成设计，因此认证方案能够实现量子安全性。

数据分享：数据拥有者以安全的方式将云端数据分享给指定数据用户(组)，本发明使用基于身份的广播加密实现安全数据分享。

为了实现高效的云数据分享，节约云存储***的存储、计算、带宽等资源，同时契合外包数据量子安全，数据接收者隐私保护及数据接收者群组动态管理等现实需要，本发明基于格密码工具提出一种实现常数级密文长度，公钥、私钥长度的身份基的数据分享方案，同时实现认证数据接收者身份的隐私保护及快速的成员加入机制。

本实施例所涉及的概念和工具进行如下解释：

1).格：设v₁,v₂,…,v_n是Zⁿ上一组线性无关的向量，则Λ定义为所有这些向量的整数线性组合构成的集合。即

2).格上G-陷门：给定一个本原矩阵

随机矩阵

以及陷门标签

定义为矩阵A的G-陷门，满足：

3).G-陷门的生成算法：给定参数

存在一个概率多项式时间算法GenTrap,输入陷门标签

和本原矩阵

输出一个接近均匀随机的

以及

的G-陷门

服从以σ为参数的高斯分布。

4).基于G-陷门的高斯抽样算法：存在一个高斯抽样算法SampleD,输入

目标向量

和一个高斯参数σ，输出一个接近高斯分布的向量

5).带差错的学习问题(Leaning with errors problem,LWE)：参数q,m,β为n的多项式函数，χ^m为一个方差为β的错误分布。给定均匀随机的矩阵

和一个错误向量x∈χ^m，随机选择非零向量s，计算y＝A^ts+x(modq)。记A_s,χ为

服从的分布，则判定型LWE问题是指区分A_s,χ与对应的均匀分布。而查找型LWE问题是指由

计算向量s。

6).引理：给定

及相应G-陷门

和y＝A^ts+x(modq)，存在多项式时间算法Invert，能够输出相应的s,x。

具体的，本实施例提供的具体方案，如图1所示，包含***初始化、发布数据特征、注册(密钥提取)、数据上传、数据下载和新成员动态加入六个部分。其中***初始化步骤生成数据拥有者(也称为数据发送方)的公钥和私钥。发布数据特征步骤用于发布外包数据的属性、特征等信息，便于用户选择。注册步骤用于数据接收者(也成为数据接收方)在数据拥有者者处完成注册以获得接入外包数据的权限。数据上传步骤由数据拥有者根据申请接入数据的接收者信息，完成数据分享的数据外包，并上传云服务提供商。数据下载步骤由经过认证的数据接收者由云服务器下载对应数据并完成解密，实现最终数据分享。新成员动态加入步骤则在数据拥有者已经将数据上传云服务器后，依然允许新的数据接收者申请接入外包数据。当有新成员加入时，不会增加已有用户的解密负担，已有用户的私钥也不需更新。

给定参数

为一个安全的hash函数。PRG:{0,1}^nk→{0,1}^|M|为一个随机数生成器，其中|M|为外包数据的尺寸。

为一个可逆的映射。

如图4所示，

***初始化：数据拥有者按照如下操作生成公钥和私钥。

生成一个本原矩阵

利用G-陷门的生成算法GenTrap生成数据拥有者的公钥

和私钥

其中G-陷门的标签为

阶单位矩阵。

发布数据特征：数据拥有者向云服务提供商发布一个拟分享数据M的简单摘要π，说明数据的属性、特征、用途等信息，便于用户查看和选择。该模块不需执行保密操作。

注册(密钥提取)：数据接收者在查阅云服务提供商提供的数据摘要后，如果接收者决定申请接入数据，则数据接收者发送个人身份ID_i及申请接入的数据摘要π给数据拥有者。收到(ID_i,π)后，数据拥有者执行以下操作：

1.计算H(ID_i)，并检查

是可逆矩阵，其中ID_j,j<i是数据

拥有者本地存储的已经申请接入相同数据的用户身份。

2.第一位用户注册时随机选择

后续用户直接调用该矩阵。

3.调用SampleD算法生成矩阵R_i←SampleD(A,R,I,-A₀-H(ID_i)G,σ)。

令(A₀,R_i)为用户ID_i的私钥。数据拥有者存储(ID_i,π,A₀,R_i)。

数据上传步骤：

数据拥有者执行如下操作：

1.数据拥有者首先读取申请接入数据M的用户信息，设为

设

1.随机选择K∈{0,1}^nk，计算PRG(K)

2.计算c＝M+PRG(K)(mod2)

3.计算

的标签

(该标签可以为

的hash函数值)

4.随机选择

计算：

y＝2(A_b ^ts(modq))+e+(0,encode(K))(mod2q)，

其中e＝(e₁,e₂)，0为m维向量。

5.令

则数据拥有者将(hdr,c,π)作为数据M的分享密文上传云服务提供商。同时，数据拥有者存储(hdr,c,π,s)。

数据下载：

数据接收者ID_i利用π在云端查找相应的(hdr,c,π)，并下载该数据。数据接收者执行如下操作完成数据解密。

数据接收者ID_i利用π在云端查找相应的(hdr,c,π)，并下载该数据。数据接收者执行如下操作完成数据解密。

1.利用A₀检查

的正确性，并令

若不

然，拒绝该密文。

2.

并以此为陷门标签，以A_b，y，R_i为输入运行Invert算法，输出

3.检查

若不然，终止计算并拒绝密文

4.计算v＝(v₁,v₂)＝y-e(modq):

(1)若

终止计算

(2)若v₁∈2Λ(A^t)，则计算encode(K)＝(R_i,I)v(mod2q)

5.解码encode(K)得到K

6.解密M＝c+PRG(K)(mod2)。

新成员动态加入：

假如一个新的数据接收者ID_l+1在数据拥有者已经上传外包数据后继续申请接入标签为π的外包数据，则数据拥有者执行如下操作：

1.运行注册(密钥提取)算法为身份为ID_l+1的接收者生成私钥(A₀,R_l+1)

2.计算m+nk维向量s′＝(0,H(ID_l+1)G)s(modq))

3.更新外包数据hdr:

在此过程中，已经存在的数据接收者无需改变自身的私钥，且更新后外包数据的解密与原外包数据解密的计算量不变。而数据拥有者仅仅通过简单运算即可完成外包数据的更新，具有较高的计算效率。

保证方案完备性的关键是数据拥有者为数据接收者分配的密钥足以完成数据解密操作。为此需保证以下条件：

a数据接收者得到私钥R_i部分足够小，且是矩阵A_b以

为标签的G-陷门；

b参数设置能够保证GenTrap、SampleD以及Invert三个已知算法有效执行。

c数据接收者的私钥(A₀,R_i)足以保证解密算法的执行

事实上由于：

所以条件a成立。

为了保证条件b和条件c成立，需要确保用户私钥R_i的尺寸足够小以满足解密需求，令：

在以上参数下，技术方案中能够实现数据接收者顺利实现解密。

综上技术方案的完备性满足。

本实施例给出的方案，能够具有以下功能：

(a)有效保护数据接收者的身份隐私。除数据拥有者外，任何第三方都无法确定数据接收者的身份信息。密文(hdr,c,π)中只有

含有数据接收者的身份信息，由于每一个H(ID_i)均随机，显然任何第三方无法从中提取单个数据接收者的身份信息。

(b)技术方案支持高效的成员加入功能。当数据拥有者上传分享数据到云服务提供商之后，若由新成员申请接入外包数据，数据拥有者通过简单运算即可更新外包数据，而已有数据接收者不需更改自己的私钥，也无需增加额外计算即可解密外包数据。

(c)本发明设计的方案在量子安全、实现效率等方面存在优势。表1是本实施例的技术方案与已有的广播加密方案的功能比较，其中MPK，USK,CT分别表示***公钥、用户私钥及密文的比特长度。CCA、CPA分别指选择密文安全与选择明文攻击安全。

其中，[23]C.Yang,S.Zheng,L.Wang,X.Lu,Y.Yang.Hierarchical Identity-based Broadcast Encryption Scheme from LWE.Journal of Communications andNetworks,16(3),258-263(2014)；[24]Y.Yang,S.Yang,F.Wang et al.Post-QuantumSecure Public Key Broadcast Encryption with Keyword Search.Journal ofInformation Science and Engineering,33(2),485-497(2017)。

表1.本发明与已有发明的部分功能对比

本实施例的安全性论证：

在给定参数下，技术方案输出的密文在选择身份、选择密文攻击下与相应长度的随机比特是不可区分的，从而实现选择身份、选择密文攻击下的安全性。

该定理的证明可以通过6个两两不可区分的安全game实现。

Game 0是标准的选择身份、选择密文攻击下的安全游戏

Game 1将标准安全游戏的***初始化环节的矩阵A替换为LWE实例对应的矩阵(A₁,A₂)中的A₁，并随机生成l个可逆的矩阵X_i作为预置的攻击身份信息的hash值，且标准游戏中的

由

替代。

Game 2将Game 1中对应的指定攻击的用户身份hash值替换为X_i

Game 3将Game 2中非指定攻击的用户身份hash值替换为如下生成的X_i：

随机选择R_i服从参数为σ的高斯分布，计算X_i满足AR_i-A'₀＝X_iG，其中A'₀为随机矩阵。

同时，将非指定攻击者身份ID_i对应的私钥询问结果替换为(A'₀,R_i)。

Game 4将Game 3中的挑战密文替换为y＝2b+encode(K)(modq)，其中向量b为LWE实例对应的向量。

Game 5,将Game 4中的挑战密文完全替换为随机比特。

分析发现：Game 0与Game 1,Game 1与Game 2,Game 2与Game 3,Game 3与Game 4,Game 4与Game 5分别是不可区分。从而本发明技术方案给出的密文与相应长度的随机比特是不可区分的。从而实现技术方案的安全证明。

表2参数选择

n	k	q	m	l	t
						128	32	2<sup>32</sup>	12288	400	12288

本实施例的效率分析：

效率分析：取定技术方案的***参数如表2所示，并假设数据接收者的人数分别为50，100，150，200，250，300，350，400。则以下分别讨论技术方案的空间效率和计算效率。

空间效率：图2(a)、图2(b)给出了本发明与已有技术的空间效率对比。显然，在实现相同安全性的前提下，本发明的空间效率更高，尤其是密文的比特长度优势明显。

(a)计算效率：图3(a)、图3(b)给出了本发明在给定参数下实现的计算效率测试数据，其中测试平台为个人电脑：Intel(R)Core(TM)i7-8700K(3.7GHz),32G RAM。实现语言为Java。

(b)外包数据更新效率：在有新用户申请接入外包数据的前提下，已经存在的数据接收者无需改变自身的私钥，且更新后外包数据的解密与原外包数据解密的计算量不变。而数据拥有者仅仅通过一次矩阵与向量乘法运算，一次向量加法运算和一次矩阵加法运算即可完成外包数据的更新。基于给定参数，在我们的实现平台上外包数据可以在0.3秒内实现更新，具有较高的效率。

本领域内的技术人员应明白，本发明的实施例可提供为方法、***、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

上述虽然结合附图对本发明的具体实施方式进行了描述，但并非对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。

Claims (10)

1.一种后量子安全动态数据分享方法，其特征是：包括以下步骤：

生成公钥和私钥；

发布拟分享的外包数据的基本信息；

接收数据接收方的注册申请，根据注册申请解析得到的信息，对数据接收方进行认证，确定其接入外包数据的权限；

根据注册申请信息，上传与权限相匹配的外包数据，如果另有一数据接收方请求该外包数据，不改变原数据接收方的私钥，对外包数据进行更新；

授予通过认证的数据接收者下载对应外包数据的权限，实现数据分享。

2.一种后量子安全动态数据分享方法，其特征是：包括以下步骤：

获取发布的外包数据的基本信息；

发送注册申请，并接收认证，确定自身接入外包数据的权限；

根据注册申请信息，依据自身权限，获取上传的相应外包数据，实现数据分享。

3.一种后量子安全动态数据分享方法，其特征是：包括以下步骤：

数据发送方生成公钥和私钥；

数据发送方发布拟分享的外包数据的基本信息；

数据接收方生成注册申请，数据发送方接收数据接收方的注册申请，根据注册申请解析得到的信息，对数据接收方进行认证，确定其接入外包数据的权限；

数据发送方根据注册申请信息，上传与权限相匹配的外包数据，如果另有一数据接收方请求该外包数据，不改变原数据接收方的私钥，对外包数据进行更新；

通过认证的数据接收者下载对应外包数据，实现数据分享。

4.如权利要求3所述的一种后量子安全动态数据分享方法，其特征是：生成公钥和私钥的具体过程包括：生成一个本原矩阵

利用G-陷门的生成算法GenTrap生成数据拥有者的公钥

和私钥

其中G-陷门的标签为

阶单位矩阵。

5.如权利要求3所述的一种后量子安全动态数据分享方法，其特征是：数据接收方生成注册申请的具体过程包括：根据外包数据的基本信息，确定其是否为需要的数据，如果是，数据接收方发送个人身份ID_i及申请接入的数据摘要π给数据发送方，数据发送方收到(ID_i,π)后，数据发送方计算H(ID_i)，并检查

是可逆矩阵，其中ID_j,j<i是数据发送方本地存储的已经申请接入相同数据的用户身份；第一位用户注册时随机选择

后续用户直接调用该矩阵；调用SampleD算法生成矩阵R_i←SampleD(A,R,I,-A₀-H(ID_i)G,σ)，令(A₀,R_i)为用户ID_i的私钥；数据发送方存储(ID_i,π,A₀,R_i)，参数σ为执行高斯抽样算法SampleD时输入的高斯参数。

6.如权利要求3所述的一种后量子安全动态数据分享方法，其特征是：数据发送方根据注册申请信息，上传与权限相匹配的外包数据的具体过程包括：

发送方读取申请接入数据M的用户信息，设为

设

随机选择K∈{0,1}^nk，计算PRG(K)；

计算c＝M+PRG(K)(mod2)；

计算

的标签

随机选择

计算：

y＝2(A_b ^ts(mod q))+e+(0,encode(K))(mod 2q)，

其中e＝(e₁,e₂)，0为m维向量；

令

其中，A_b为矩阵A和

级联得到的矩阵，K∈{0,1}^nk为生成会话密钥的种子，由K∈{0,1}^nk计算得到的PRG(K)为外包数据的加密密钥，c＝M+PRG(K)(mod2)为外包密文；Hdr为会话密钥种子的密钥封装，其中，

为封装的标签，m+nk维向量y用于加密会话密钥的种子，e＝(e₁,e₂)表示两个向量的级联；

数据发送方将(hdr,c,π)作为数据M的分享密文上传云服务提供商。

7.如权利要求3所述的一种后量子安全动态数据分享方法，其特征是：数据接收方下载外包数据的过程包括：

利用A₀检查

的正确性，并令

若不然，拒绝该密文；

计算

并以此为陷门标签，以A_b，y，R_i为输入运行Invert算法，输出

检查

若不然，终止计算并拒绝密文；

计算v＝(v₁,v₂)＝y-e(mod q):若

终止计算；若v₁∈2Λ(A^t)，则计算encode(K)＝(R_i,I)v(mod 2q)；

解码encode(K)得到K；解密M＝c+PRG(K)(mod2)；

其中，

表示计算向量的欧几里德范数；Λ(A^t)表示以A^t为基向量的格；(R_i,I)v(mod 2q)表示矩阵与向量的模乘运算。

8.如权利要求3所述的一种后量子安全动态数据分享方法，其特征是：如果另有一数据接收方请求该外包数据，不改变原数据接收方的私钥，对外包数据进行更新的具体过程包括：

假如一个新的数据接收方ID_l+1在数据发送方已经上传外包数据后继续申请接入标签为π的外包数据，则数据发送方执行如下操作：

利用密钥提取算法为身份为ID_l+1的接收者生成私钥(A₀,R_l+1)；

计算m+nk维向量s′＝(0,H(ID_l+1)G)s(mod q))；

更新外包数据hdr:

其中，向量s′级联矩阵(0,H(ID_l+1)G)与向量s执行模乘运算所得向量。

9.一种计算机可读存储介质，其特征是：其中存储有多条指令，所述指令适于由终端设备的处理器加载并执行权利要求1-8中任一项所述的一种后量子安全动态数据分享方法的步骤。

10.一种终端设备，其特征是：包括处理器和计算机可读存储介质，处理器用于实现各指令；计算机可读存储介质用于存储多条指令，所述指令适于由处理器加载并执行权利要求1-8中任一项所述的一种后量子安全动态数据分享方法的步骤。

Images