CN105959111A - 基于云计算和可信计算的信息安全大数据资源访问控制系统 - Google Patents

Abstract

本发明公开了基于云计算和可信计算的信息安全大数据资源访问控制系统，该系统架构是在具有保护性功能、认证和完整性度量等特征基础上构建一种可信度访问机制和可信关系传递机制，进而建立一个从数据存储到信息安全管理，再到信息安全访问的可信链，其包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70。本发明基于可信计算和云计算技术，设计了信息安全管理模块20、基于可信的密钥生成模块40、基于可信的加密模块50和基于可信的解密模块60，实现了信息安全大数据资源的快速安全访问，增加了系统的安全性和可信性。

Description

基于云计算和可信计算的信息安全大数据资源访问控制系统

技术领域

本发明涉及大数据领域，具体涉及基于云计算和可信计算的信息安全大数据资源访问控制系统。

背景技术

云计算是一种可以更有效地利用计算资源为用户提供各种数据服务的新型计算模式，其将大量的计算资源、存储资源和软件资源链接在一起，运用虚拟技术，为用户提供可定制的计算、存储和应用服务，避免用户自身繁重的基础设施的构建和维护。然而，集中管理的云计算中心将成为黑客攻击的重点目标，由于前所未有的开放性与复杂性，其安全性面临着比以往更为严峻的考验，云计算的大数据资源访问控制是云计算安全问题的核心，访问控制是实现信息安全大数据资源机密性和进行隐私保护的重要手段。

有关可信计算的概念，在ISO/IEC 15408标准中给出了以下定义：一个可信的组件、操作或过程的行为在任意操作条件下是可预测的，并能很好地抵抗应用程序软件、病毒以及一定的物理干扰造成的破坏。可信计算的基本思路是在硬件平台上引入安全芯片(可信平台模块)来提高终端系统的安全性，也就是说在每个终端平台上植入一个信任根，让计算机从BIOS到操作系统内核层，再到应用层都构建信任关系；以此为基础，扩大到网络上，建立相应的信任链，从而进入计算机免疫时代。当终端受到攻击时，可实现自我保护、自我管理和自我恢复。可信计算是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台，以提高系统整体的安全性，可信计算为行为安全而生，行为安全应该包括：行为的机密性、行为的完整性、行为的真实性等特征。可信计算包括5个核心的概念，即：密钥、安全输入输出、储存器屏蔽等，其中密钥的运用是可信系统的重中之重，基于密钥算法进行数据储存和传输，是整个可信安全防护系统的基础保障。不同的密钥算法，衍生了不一样的可信度安全系统。另外，在可信计算技术的运用中，采用基于属性的密文策略访问控制方案进行资源数据的安全保护，该种方案可以由用户属主来定义自己的访问策略，更适用于云存储环境下共享数据的访问控制，然而该方案存在加密方案在云存储环境下用户属主与普通用户加解密计算开销大，访问控制灵活性带来的云存储服务模块管理复杂等问题。

发明内容

针对上述问题，本发明提供基于云计算和可信计算的信息安全大数据资源访问控制系统

本发明的目的采用以下技术方案来实现：

基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块、信息安全管理模块、大数据服务模块、基于可信的密钥生成模块、基于可信的加密模块、基于可信的解密模块和用户接入模块：

(1)云存储服务模块，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；

(2)信息安全管理模块，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：

所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：

1)定义信息的风险态势值R：

R＝P×Z×W

式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；

2)设某信息i的风险态势值时间序列为M_i＝{x_i(1),x_i(2),…,x_i(n)}，x_i(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；

3)风险态势从信息i传播到信息j的传播时间用τ表示，序列M_i与M_j在时间τ下的时间相关系数为ρ_ij(τ)：

${\mathrm{\ρ}}_{ij}\left(\mathrm{\τ}\right)=\frac{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right){\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})}{\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_i\left(t\right)-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)\]}^2}\×\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})\]}^2}}$

在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；

所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；

(3)大数据服务模块，用于对信息安全大数据资源进行分类管理，在信息安全管理模块对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；

(4)基于可信的密钥生成模块，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块的请求下参与云存储服务模块与用户接入模块接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块将自己的身份及访问用户的身份发送给基于可信的加密模块，基于可信的加密模块向云存储服务模块发送一个第一公钥证书，云存储服务模块进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；

(5)基于可信的加密模块，用于在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；

(6)基于可信的解密模块，用于在可信的安全网络环境下，将云存储服务模块上的封装好的三重加密密文解密得到明文信息，包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥K_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

(7)用户接入模块，用于实现访问用户向云存储服务模块发送访问请求以及读取云存储服务模块上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

优选地，所述基于可信的加密模块包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，K_gs表示共享会话密钥。

本发明的有益效果为：

1、基于大数据技术和可信技术，设计了信息安全管理模块、基于可信的密钥生成模块、基于可信的加密模块和基于可信的解密模块，实现了信息安全大数据资源的快速安全访问，增加了系统的安全性和可信性；设置信息安全管理模块，能够对信息安全大数据的质量得意保证，确保数据的准确性；

2、设置大数据服务模块，便于数据资源的管理和索引；设置的基于可信的加密模块在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块，并设置相应的基于可信的解密模块，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；

3、设置的密钥生成子模块与基于可信的加密模块结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持。

附图说明

利用附图对本发明作进一步说明，但附图中的实施例不构成对本发明的任何限制，对于本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据以下附图获得其它的附图。

图1、图2是本发明各模块的连接示意图；

图2是本发明的原理示意图。

附图标记：

云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60、用户接入模块70。

具体实施方式

结合以下实施例对本发明作进一步描述。

实施例1：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：

(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；

(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：

所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：

1)定义信息的风险态势值R：

R＝P×Z×W

式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；

2)设某信息i的风险态势值时间序列为M_i＝{x_i(1),x_i(2),…,x_i(n)}，x_i(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；

3)风险态势从信息i传播到信息j的传播时间用τ表示，序列M_i与M_j在时间τ下的时间相关系数为ρ_ij(τ)：

${\mathrm{\ρ}}_{ij}\left(\mathrm{\τ}\right)=\frac{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right){\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})}{\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_i\left(t\right)-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)\]}^2}\×\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})\]}^2}}$

在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；

所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；

(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；

(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；

(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；

(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述基于可信的加密模块50包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝12，数据安全性提高了50％，计算开销减小了20％。

实施例2：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：

(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；

(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：

所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：

1)定义信息的风险态势值R：

R＝P×Z×W

式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；

2)设某信息i的风险态势值时间序列为M_i＝{x_i(1),x_i(2),…,x_i(n)}，x_i(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；

3)风险态势从信息i传播到信息j的传播时间用τ表示，序列M_i与M_j在时间τ下的时间相关系数为ρ_ij(τ)：

${\mathrm{\ρ}}_{ij}\left(\mathrm{\τ}\right)=\frac{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right){\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})}{\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_i\left(t\right)-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)\]}^2}\×\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})\]}^2}}$

在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；

所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；

(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；

(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；

(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；

(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

所述基于可信的加密模块50包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝8，数据安全性提高了45％，计算开销减小了25％。

实施例3：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：

(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；

(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：

所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：

1)定义信息的风险态势值R：

R＝P×Z×W

式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；

2)设某信息i的风险态势值时间序列为M_i＝{x_i(1),x_i(2),…,x_i(n)}，x_i(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；

3)风险态势从信息i传播到信息j的传播时间用τ表示，序列M_i与M_j在时间τ下的时间相关系数为ρ_ij(τ)：

在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；

所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；

(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；

(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；

(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；

(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述基于可信的加密模块50包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝15，数据安全性提高了40％，计算开销减小了30％。

实施例4：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：

(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；

(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：

所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：

1)定义信息的风险态势值R：

R＝P×Z×W

式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；

2)设某信息i的风险态势值时间序列为M_i＝{x_i(1),x_i(2),…,x_i(n)}，x_i(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；

3)风险态势从信息i传播到信息j的传播时间用τ表示，序列M_i与M_j在时间τ下的时间相关系数为ρ_ij(τ)：

${\mathrm{\ρ}}_{ij}\left(\mathrm{\τ}\right)=\frac{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right){\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})}{\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_i\left(t\right)-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)\]}^2}\×\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})\]}^2}}$

在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；

所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；

(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；

(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；

(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；

(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述基于可信的加密模块50包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝10，数据安全性提高了35％，计算开销减小了35％。

实施例5：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：

(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；

(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：

所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：

1)定义信息的风险态势值R：

R＝P×Z×W

式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；

2)设某信息i的风险态势值时间序列为M_i＝{x_i(1),x_i(2),…,x_i(n)}，x_i(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；

3)风险态势从信息i传播到信息j的传播时间用τ表示，序列M_i与M_j在时间τ下的时间相关系数为ρ_ij(τ)：

${\mathrm{\ρ}}_{ij}\left(\mathrm{\τ}\right)=\frac{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right){\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})}{\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_i\left(t\right)-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)\]}^2}\×\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})\]}^2}}$

在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；

所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；

(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；

(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；

(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；

(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述基于可信的加密模块50包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝24，数据安全性提高了30％，计算开销减小了40％。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案，而非对本发明保护范围的限制，尽管参照较佳实施例对本发明作了详细地说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实质和范围。

Claims (2)

1.基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块、信息安全管理模块、大数据服务模块、基于可信的密钥生成模块、基于可信的加密模块、基于可信的解密模块和用户接入模块：

(1)云存储服务模块，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；

(2)信息安全管理模块，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：

所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：

1)定义信息的风险态势值R：

R＝P×Z×W

式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；

2)设某信息i的风险态势值时间序列为M_i＝{x_i(1)，x_i(2)，…，x_i(n)}，x_i(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；

3)风险态势从信息i传播到信息j的传播时间用τ表示，序列M_i与M_j在时间τ下的时间相关系数为ρ_ij(τ)：

${\mathrm{\ρ}}_{ij}\left(\mathrm{\τ}\right)=\frac{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right){\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})}{\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_i\left(t\right)-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_i\left(t\right)\]}^2}\×\sqrt{{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{\[x_j(t+\mathrm{\τ})-\frac{1}{n-\mathrm{\τ}}{\mathrm{\Σ}}_{t=1}^{n-\mathrm{\τ}}{x}_j(t+\mathrm{\τ})\]}^2}}$

在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；

所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；

(3)大数据服务模块，用于对信息安全大数据资源进行分类管理，在信息安全管理模块对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；

(4)基于可信的密钥生成模块，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块的请求下参与云存储服务模块与用户接入模块接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a，b＝s^α，e(s，s)^β}

MK＝{α，s^β}

其中，α，β是两个随机数且α，β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块将自己的身份及访问用户的身份发送给基于可信的加密模块，基于可信的加密模块向云存储服务模块发送一个第一公钥证书，云存储服务模块进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；

(5)基于可信的加密模块，用于在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块；

(6)基于可信的解密模块，用于在可信的安全网络环境下，将云存储服务模块上的封装好的三重加密密文解密得到明文信息，包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

(7)用户接入模块，用于实现访问用户向云存储服务模块发送访问请求以及读取云存储服务模块上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

2.根据权利要求1所述的基于云计算和可信计算的信息安全大数据资源访问控制系统，其特征在于，所述基于可信的加密模块包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0），X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。