CN113949541B - 一种基于属性策略的dds安全通信中间件设计方法 - Google Patents

一种基于属性策略的dds安全通信中间件设计方法 Download PDF

Info

Publication number
CN113949541B
CN113949541B CN202111158580.3A CN202111158580A CN113949541B CN 113949541 B CN113949541 B CN 113949541B CN 202111158580 A CN202111158580 A CN 202111158580A CN 113949541 B CN113949541 B CN 113949541B
Authority
CN
China
Prior art keywords
attribute
dds
participant
information
ticket
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111158580.3A
Other languages
English (en)
Other versions
CN113949541A (zh
Inventor
燕雪峰
任颖超
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nanjing University of Aeronautics and Astronautics
Original Assignee
Nanjing University of Aeronautics and Astronautics
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nanjing University of Aeronautics and Astronautics filed Critical Nanjing University of Aeronautics and Astronautics
Priority to CN202111158580.3A priority Critical patent/CN113949541B/zh
Publication of CN113949541A publication Critical patent/CN113949541A/zh
Application granted granted Critical
Publication of CN113949541B publication Critical patent/CN113949541B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于属性策略的DDS安全通信中间件设计方法，在原有DDS中间件模型的基础上增加了认证服务组件、属性票据服务组件、属性访问控制组件、属性加密服务组件；认证服务组件对加入DDS域的参与者进行身份认证，属性票据服务组件根据参与者的信息生成对应的属性集票据，属性访问控制组件制定属性连接式与授权策略的方式对发布订阅信息进行加密匹配，属性加密服务组件提供数据加解密功能。本发明考虑了DDS在实际发布订阅系统中存在的几种安全威胁，增强DDS中间件的安全性，并基于属性策略提供分散灵活的访问控制机制；建立DDS访问控制模型来控制发布订阅系统内信息的交互，实现数据的安全分发。

Description

一种基于属性策略的DDS安全通信中间件设计方法
技术领域
本发明属于中间件安全技术领域，具体涉及一种基于属性策略的DDS安全通信中间件设计方法。
背景技术
DDS作为高效的信息分发中间件，采用松耦合的DCPS模型，已被用于各种分布式发布订阅系统中。在这些系统中，发布者只需要将对应主题的数据发布到DDS域中，而无需关注数据订阅者是谁，订阅者只需要从DDS域中订阅相关主题的数据，而无需关注该主题数据的发布者是谁，在实际应用系统中，数据从发布方到订阅方的过程是不安全的，数据存在被窃听、被篡改的威胁。任何关联特定主题的应用程序节点都能够获取到对应的数据，并可以对数据进行篡改。
现有的工作大多都是针对以内容为中心的发布订阅系统，少有针对以数据为中心的DDS发布订阅系统，而且现有方法大多存在第三方认证中心去进行密钥管理，这种集中式安全控制方法不能满足大规模、分布式、跨域范围发布/订阅系统的需要。DDS中存在以下三种安全威胁：数据入侵者，它与其他代理程序节点连接到相同的网络，未经授权就加入了DDS数据域，并且可以未授权发布任意数据内容；数据窃听者，它无权订阅有关主题T的内容，但是它利用已经连接到的网络窃取了该主题数据；数据篡改者，它虽然授权订阅主题T上的数据，但是在未授权发布的情况下在主题T上发布信息。
发明内容
发明目的：本发明提出一种基于属性策略的DDS安全通信中间件设计方法，通过增加认证服务组件、属性票据服务组件、属性访问控制组件、属性加密服务组件来增强DDS中间件的安全性，并基于属性策略提供分散灵活的访问控制机制；建立DDS访问控制模型来控制发布订阅系统内信息的交互，实现数据的安全分发。
技术方案：本发明所述的一种基于属性策略的DDS安全通信中间件设计方法，包括以下步骤：
(1)在DDS中间件模型中加入认证服务组件，对加入DDS域的参与者进行身份认证，通过认证后会为参与者生成对应域的身份票据；
(2)在DDS中间件模型中加入属性票据服务组件，根据参与者的身份票据信息为其分配属性集，并生成对应的属性票据；
(3)在DDS中间件模型中加入属性访问控制组件，为发布者提供访问树策略接口，发布者根据自身属性票据拥有的属性集制定访问树策略；为订阅者提供属性密钥接口，订阅者根据自身属性票据拥有的属性集获得对应的属性密钥；
(4)在DDS中间件模型中加入属性加解密服务组件,提供属性加密算法、属性解密算法接口以及公钥算法接口。
进一步地，所述步骤(1)实现过程如下：
参与者在向指定ID的域注册前，需将名称、IP地址以及身份标识信息合并为请求消息PAR_REQ，并发送给安全服务插件，之后调用认证服务组件对应的接口对PAR_REQ进行处理并验证，若消息字段能够匹配指定ID域，则生成对应的身份票据并返回给参与者，身份票据包含域ID信息和参与者各项属性信息。
进一步地，所述步骤(2)实现过程如下：
属性票据服务组件通过参与者的身份票据提取各项信息V，对各项信息与全局属性集U进行分类匹配，全局属性集U分为正面属性集Up和负面属性集Uq，并具有对应权值wi；匹配得到正面信息个数m＝|Up∩V|与负面信息个数n＝ |Uq∩V|；生成属性票据AST＝w1∧…∧wm。
进一步地，所述步骤(3)实现过程如下：
通过访问树结构制定访问策略，基于优化的访问树结构，一个访问策略可表示为Ttp＝(w11∧…∧w1m)∨…∨(wn1∧…∧wnm)，如果参与者具有至少一组从 w11∧…∧w1m到wn1∧…∧wnm的连接属性，则访问主题tp的数据；对访问树结构进行优化，访问树结构是作为策略嵌入密文当中，加解密时叶子节点都会进行指数运算、 线性对运算， 非根节点的父节点会进行指数运算；优化方法为不同子树的叶子节点根据信任权重值进行合并，同时，非根节点的父节点也根据特定情况进行门限值合并。
进一步地，所述步骤(4)实现过程如下：
属性加密组件提供基于密文策略属性基加密系统的相关接口，包含初始算法cpabe_setup、属性密钥生成算法cpabe_keygen、属性加密算法cpabe_enc、属性解密算法cpabe_dec。
有益效果：与现有技术相比，本发明的有益效果：本发明提供身份认证、访问控制和数据加解密等安全功能，通过对参与者进行身份认证来防止非安全信道传输的威胁，通过对数据的访问控制来防止未授权的发布订阅，通过加解密组件来保证数据传输的机密性；用户无需改变原有的编程模式，使用原DDS的API 和组件提供的API即可开发相应的安全应用程序和系统，来应对实际DDS开发中存在的安全威胁；另外本发明的核心在于通过构造访问树与指定属性策略的方法来保证通信数据的安全性，不需要通信双方共享同一个密钥，密钥的生成可以根据用户的相关属性特征来生成；这种机制很契合DDS的无中心、松耦合性的特点，能够满足DDS应用系统环境下的安全需求。
附图说明
图1为本发明所述基于属性策略的DDS安全通信中间件模型示意图；
图2为本发明所述身份认证组件和属性票据组件的主要处理过程示意图；
图3为本发明所述访问树的构造优化方法，其中，(a)为叶子节点优化示例；(b)为传输节点优化示例；(c)为混合优化示例；
图4为本发明所述DDS各安全组件提供安全服务接口的交互工作过程示意图。
具体实施方式
下面结合附图对本发明做进一步详细说明。
如图1所示，本发明提供一种基于属性策略的DDS安全通信中间件设计方法，具体包括如下步骤：
步骤1，在DDS模型中加入认证服务组件，对加入DDS域的参与者进行身份认证，通过认证后会为参与者生成对应域的身份票据。
如图2所示，参与者在向指定ID的域注册前，需将名称、IP地址以及身份标识信息合并为请求消息PAR_REQ，并发送给安全服务插件，之后调用身份认证组件对应的接口对PAR_REQ进行处理并验证，若消息字段能够匹配指定ID 域，则生成对应的身份票据并返回给参与者，身份票据包含域ID信息和参与者各项属性信息。
步骤2，在DDS中间件模型中加入属性票据服务组件，根据参与者的身份票据信息为其分配合适的属性集，并生成对应的属性票据。
如图2所示，属性票据服务组件，主要提供接口对参与者的身份票据进一步处理，STS通过参与者的身份票据提取各项信息V，算法对各项信息与全局属性集U进行分类匹配，全局属性集U分为正面属性集Up和负面属性集Uq，并具有对应权值wi。匹配得到正面信息个数m＝|Up∩V|与负面信息个数n＝|Uq∩V|。并生成属性票据AST＝w1∧…∧wm返回给参与者。
步骤3，在DDS中间件模型中加入属性访问控制组件，为发布者提供访问树策略接口，发布者可以根据自身属性票据拥有的属性集制定访问树策略；为订阅者提供属性密钥接口，订阅者可以根据自身属性票据拥有的属性集获得对应的属性密钥。
属性访问控制组件AAC，提供接口为数据发布者生成访问树结构制定访问策略。树形访问结构的构造方式是从上到下、从左到右，树的叶子节点对应参与者的属性集，而非叶子节点是门限访问结构。访问树的构造过程如下：根结点为 n/m代表门限值为n，有m个子节点，每一个父节点parent(x)会对应一个随机的多项式，多项式由算法生成，父节点的门限值减一即为多项式的最高次数，多项式的常数项设置为秘密数。将父节点的子节点index(x)依次带入多项式，所得值作为新生成的秘密值并保存到该子节点index(x)。对于所有的parent(x)都按照上述方式生成随机多项式，并将常数项设置为父节点传来的值，也按照上述方式生成新的秘密值传给子节点。对于叶子节点index(x)，得到父节点的秘密值之后，用属性att(x)对秘密值进行加密处理。采用基于属性的授权策略。给定事件主题 tp，此主题数据的发布者可以使用属性策略来指定有资格访问主题tp数据的订阅者。
基于属性的授权策略，属性是一对(nm，val)，用w表示，表示属性nm 具有值val。这些属性可以用连写形式写：w1∧…∧wm，表示一个参与者具有所有属性w1,…,wm。规范属性的连接形式，以使连接形式的属性具有固定顺序，并且相同数量的属性包含在连接形式中。给定事件主题tp，此主题数据的发布者可以使用属性策略来指定有资格访问主题tp数据的订阅者。基于优化的访问树结构，一个策略可表示为Ttp＝(w11∧…∧w1m)∨…∨(wn1∧…∧wm)，这意味着如果参与者具有至少一组以下内容，则可以访问主题tp的数据：从w11∧…∧w1m到wn1∧…∧wnm的连接属性。订阅者的属性表示为γ＝(w′11∧…w′1m)∨…∨ (w′k1∧…w′km)，这意味着该订阅者具有k个不同的集合连接属性。如果γ中至少有一组连词属性也出现在tp中，那么我们说γ满足tp。订阅者的属性会链接到其属性私钥。
图3为访问树结构的优化的简单示例，其中，图3(a)为叶子节点优化示例；图3(b)为传输节点优化示例；图3(c)为混合优化示例。不同子树的叶子节点可以根据信任权重值进行合并，同时，非根节点的父节点也可以根据特定情况进行门限值合并。化简后的授权集合与原先的访问树一致，但是结构更为简单，减少了计算。对于情形a，两颗子树存在相同属性的叶节点，左右两边的叶子节点可以根据权重值与父节点门限值的乘积进行合并，权值为0的节点视为无关属性节点，合并后可以减少一个传输节点和两个个叶子节点，优化前后的访问授权集合保持不变。对于情形b，根节点与两个传输节点的门限值可以相乘计算，最终合并为一个新门限值的根节点，减少了两个传输节点且原本的访问集合保持不变。对于情形c，不同的是根节点为n/n，此时需要将根节点与传输节点替换，并合并叶子节点修改其权重值，最终可以减少一个传输节点和一个叶子节点，且访问集合保持不变。
步骤4，在DDS中间件模型中加入属性加解密服务组件，提供属性加密算法、属性解密算法接口以及公钥算法等接口。
属性加密服务组件提供基于密文策略属性基加密系统(CPABE)的相关接口，包含初始算法cpabe_setup、属性密钥生成算法cpabe_keygen、属性加密算法 cpabe_enc、属性解密算法cpabe_dec。
步骤5，在发布者通过访问控制组件制定访问树策略并进行结构优化后，就可调用属性加密组件的接口将将访问策略嵌入到密文，进行安全的数据发布。整体发布订阅的过程如图4所示：
身份认证组件提供接口对参与者的请求消息PAR_REQ进行处理并验证，若消息字段能够匹配指定ID域，则生成对应的身份票据并返回给参与者，身份票据包含域ID信息和参与者各项属性信息。参与者通过身份票据可以加入对应的域并可以注册对应的数据类型，之后参与者可以创建发布者或订阅者。在进行身份认证之后，域参与者需通过属性票据组件获得属性信息对应的属性票据。获得属性票据之后，若参与者创建了发布者，则可以根据属性集A1，通过属性访问控制组件来生成访问树策略。若参与者创建了订阅者，则可以根据属性票据拥有的属性集A2，通过属性加解密组件的密钥生成接口生成属性密钥SK。发布者选择需要加密的秘密信息M，调用访问控制服务加密该信息并将访问控制策略T 嵌入到密文CT中，之后发布密文信息。订阅者接收到密文信息后，用属性密钥 SK对其进行解密，若SK能够匹配T，则能够解密出密文消息CT获得明文M。
以上所述，仅为本发明部分具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本领域的人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

Claims (4)

1.一种基于属性策略的DDS安全通信中间件设计方法，其特征在于，包括以下步骤：
(1)在DDS中间件模型中加入认证服务组件，对加入DDS域的参与者进行身份认证，通过认证后会为参与者生成对应域的身份票据；
(2)在DDS中间件模型中加入属性票据服务组件，根据参与者的身份票据信息为其分配属性集，并生成对应的属性票据；
(3)在DDS中间件模型中加入属性访问控制组件，为发布者提供访问树策略接口，发布者根据自身属性票据拥有的属性集制定访问树策略；为订阅者提供属性密钥接口，订阅者根据自身属性票据拥有的属性集获得对应的属性密钥；
(4)在DDS中间件模型中加入属性加解密服务组件,提供属性加密算法、属性解密算法接口以及公钥算法接口；
所述步骤(2)实现过程如下：
属性票据服务组件通过参与者的身份票据提取各项信息V，对各项信息与全局属性集U进行分类匹配，全局属性集U分为正面属性集Up和负面属性集Uq，并具有对应权值wi；匹配得到正面信息个数m＝|Up∩V|与负面信息个数n＝|Uq∩V|；生成属性票据AST＝w1∧…∧wm；w1∧…∧wm，表示一个参与者具有所有属性w1,…,wm， 规范属性的连接形式，以使连接形式的属性具有固定顺序，并且相同数量的属性包含在连接形式中。
2.根据权利要求1所述的基于属性策略的DDS安全通信中间件设计方法，其特征在于，所述步骤(1)实现过程如下：
参与者在向指定ID的域注册前，需将名称、IP地址以及身份标识信息合并为请求消息PAR_REQ，并发送给安全服务插件，之后调用认证服务组件对应的接口对PAR_REQ进行处理并验证，若消息字段能够匹配指定ID域，则生成对应的身份票据并返回给参与者，身份票据包含域ID信息和参与者各项属性信息。
3.根据权利要求1所述的基于属性策略的DDS安全通信中间件设计方法，其特征在于，所述步骤(3)实现过程如下：
通过访问树结构制定访问策略，基于优化的访问树结构，一个访问策略可表示为Ttp＝(w11∧…∧w1n)∨…∨(wn1∧…∧wnm)，如果参与者具有至少一组从w11∧…∧w1m到wn1∧…∧wnm的连接属性，则访问主题tp的数据；对访问树结构进行优化，访问树结构是作为策略嵌入密文当中，加解密时叶子节点都会进行指数运算、线性对运算，非根节点的父节点会进行指数运算；优化方法为不同子树的叶子节点根据信任权重值进行合并，同时，非根节点的父节点也根据特定情况进行门限值合并。
4.根据权利要求1所述的基于属性策略的DDS安全通信中间件设计方法，其特征在于，所述步骤(4)实现过程如下：
属性加密组件提供基于密文策略属性基加密系统的相关接口，包含初始算法cpabe_setup、属性密钥生成算法cpabe_keygen、属性加密算法cpabe_enc、属性解密算法cpabe_dec。
CN202111158580.3A 2021-09-30 2021-09-30 一种基于属性策略的dds安全通信中间件设计方法 Active CN113949541B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111158580.3A CN113949541B (zh) 2021-09-30 2021-09-30 一种基于属性策略的dds安全通信中间件设计方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111158580.3A CN113949541B (zh) 2021-09-30 2021-09-30 一种基于属性策略的dds安全通信中间件设计方法

Publications (2)

Publication Number Publication Date
CN113949541A CN113949541A (zh) 2022-01-18
CN113949541B true CN113949541B (zh) 2022-10-11

Family

ID=79329064

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111158580.3A Active CN113949541B (zh) 2021-09-30 2021-09-30 一种基于属性策略的dds安全通信中间件设计方法

Country Status (1)

Country Link
CN (1) CN113949541B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114726547A (zh) * 2022-05-16 2022-07-08 中国信息通信研究院 基于数据交换中间件工业互联网访问控制方法和可读介质
CN115051839B (zh) * 2022-05-25 2024-01-09 东南大学 一种基于kp-abe的dds访问控制和加解密系统及方法

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109412809A (zh) * 2018-12-05 2019-03-01 南京信息职业技术学院 基于可认证层次化属性加密的sdn信息访问控制方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107864139B (zh) * 2017-11-09 2020-05-12 北京科技大学 一种基于动态规则的密码学属性基访问控制方法与系统
CN109547529B (zh) * 2018-10-16 2021-08-06 中国船舶重工集团公司第七一九研究所 一种基于dds的分布式工业数据分发方法
CN109559124B (zh) * 2018-12-17 2023-04-18 重庆大学 一种基于区块链的云数据安全共享方法
CN109872787A (zh) * 2019-02-02 2019-06-11 上海龙健信息技术科技有限公司 一种分布式数据发布与订阅方法
CN113378230A (zh) * 2021-07-05 2021-09-10 东南大学 一种dds分布式系统的数据访问控制方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109412809A (zh) * 2018-12-05 2019-03-01 南京信息职业技术学院 基于可认证层次化属性加密的sdn信息访问控制方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
属性加密在移动学习中的应用;罗冰等;《无线互联科技》;20160410(第07期);全文 *

Also Published As

Publication number Publication date
CN113949541A (zh) 2022-01-18

Similar Documents

Publication Publication Date Title
CN107911216B (zh) 一种区块链交易隐私保护方法及系统
CN110875821B (zh) 密码学区块链互操作
CN111130757B (zh) 一种基于区块链的多云cp-abe访问控制方法
CN109981641B (zh) 一种基于区块链技术的安全发布订阅系统及发布订阅方法
JP2022003536A (ja) デジタルコンテンツの制御及び配信のためのブロックチェーンにより実施される方法
CN111343001A (zh) 一种基于区块链的社交数据共享系统
CN101883100B (zh) 一种数字内容分布式授权方法
US10630486B2 (en) Multiparty computation for approving digital transaction by utilizing groups of key shares
CN107332858B (zh) 云数据存储方法
CN107465681B (zh) 云计算大数据隐私保护方法
WO2007100421A1 (en) Account linking with privacy keys
CN113949541B (zh) 一种基于属性策略的dds安全通信中间件设计方法
US10637670B2 (en) Multiparty computation of a digital signature of a transaction with advanced approval system
CN113065961A (zh) 一种电力区块链数据管理系统
CN112487443A (zh) 一种基于区块链的能源数据细粒度访问控制方法
CN115296838B (zh) 基于区块链的数据共享方法、系统及存储介质
Tiwari et al. SecCloudSharing: Secure data sharing in public cloud using ciphertext‐policy attribute‐based proxy re‐encryption with revocation
CN113326541A (zh) 一种基于智能合约的云边协同多模式隐私数据流转方法
CN111597583B (zh) 一种基于区块链的数据共享交换方法
CN107302524A (zh) 一种云计算环境下的密文数据共享系统
CN115426136A (zh) 基于区块链的跨域访问控制方法及系统
Ahmed et al. Toward fine‐grained access control and privacy protection for video sharing in media convergence environment
CN109784920B (zh) 一种基于区块链的交易信息审计方法及装置
Yan et al. Traceable and weighted attribute-based encryption scheme in the cloud environment
CN107395609B (zh) 数据加密方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant