CN105959111B - 基于云计算和可信计算的信息安全大数据资源访问控制系统 - Google Patents

基于云计算和可信计算的信息安全大数据资源访问控制系统 Download PDF

Info

Publication number
CN105959111B
CN105959111B CN201610520590.XA CN201610520590A CN105959111B CN 105959111 B CN105959111 B CN 105959111B CN 201610520590 A CN201610520590 A CN 201610520590A CN 105959111 B CN105959111 B CN 105959111B
Authority
CN
China
Prior art keywords
module
user
key
believable
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN201610520590.XA
Other languages
English (en)
Other versions
CN105959111A (zh
Inventor
陈祖斌
谢铭
胡继军
翁小云
袁勇
邓戈锋
莫英红
谢菁
张鹏
唐玲丽
黄连月
郑俊明
曾明霏
杭聪
宋骏豪
沈汉灵
何钟柱
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Guangxi Power Grid Co Ltd
Original Assignee
Guangxi Power Grid Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Guangxi Power Grid Co Ltd filed Critical Guangxi Power Grid Co Ltd
Priority to CN201610520590.XA priority Critical patent/CN105959111B/zh
Publication of CN105959111A publication Critical patent/CN105959111A/zh
Application granted granted Critical
Publication of CN105959111B publication Critical patent/CN105959111B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了基于云计算和可信计算的信息安全大数据资源访问控制系统，该系统架构是在具有保护性功能、认证和完整性度量等特征基础上构建一种可信度访问机制和可信关系传递机制，进而建立一个从数据存储到信息安全管理，再到信息安全访问的可信链，其包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70。本发明基于可信计算和云计算技术，设计了信息安全管理模块20、基于可信的密钥生成模块40、基于可信的加密模块50和基于可信的解密模块60，实现了信息安全大数据资源的快速安全访问，增加了系统的安全性和可信性。

Description

基于云计算和可信计算的信息安全大数据资源访问控制系统
技术领域
本发明涉及大数据领域，具体涉及基于云计算和可信计算的信息安全大数据资源访问控制系统。
背景技术
云计算是一种可以更有效地利用计算资源为用户提供各种数据服务的新型计算模式，其将大量的计算资源、存储资源和软件资源链接在一起，运用虚拟技术，为用户提供可定制的计算、存储和应用服务，避免用户自身繁重的基础设施的构建和维护。然而，集中管理的云计算中心将成为黑客攻击的重点目标，由于前所未有的开放性与复杂性，其安全性面临着比以往更为严峻的考验，云计算的大数据资源访问控制是云计算安全问题的核心，访问控制是实现信息安全大数据资源机密性和进行隐私保护的重要手段。
有关可信计算的概念，在ISO/IEC 15408标准中给出了以下定义：一个可信的组件、操作或过程的行为在任意操作条件下是可预测的，并能很好地抵抗应用程序软件、病毒以及一定的物理干扰造成的破坏。可信计算的基本思路是在硬件平台上引入安全芯片(可信平台模块)来提高终端系统的安全性，也就是说在每个终端平台上植入一个信任根，让计算机从BIOS到操作系统内核层，再到应用层都构建信任关系；以此为基础，扩大到网络上，建立相应的信任链，从而进入计算机免疫时代。当终端受到攻击时，可实现自我保护、自我管理和自我恢复。可信计算是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台，以提高系统整体的安全性，可信计算为行为安全而生，行为安全应该包括：行为的机密性、行为的完整性、行为的真实性等特征。可信计算包括5个核心的概念，即：密钥、安全输入输出、储存器屏蔽等，其中密钥的运用是可信系统的重中之重，基于密钥算法进行数据储存和传输，是整个可信安全防护系统的基础保障。不同的密钥算法，衍生了不一样的可信度安全系统。另外，在可信计算技术的运用中，采用基于属性的密文策略访问控制方案进行资源数据的安全保护，该种方案可以由用户属主来定义自己的访问策略，更适用于云存储环境下共享数据的访问控制，然而该方案存在加密方案在云存储环境下用户属主与普通用户加解密计算开销大，访问控制灵活性带来的云存储服务模块管理复杂等问题。
发明内容
针对上述问题，本发明提供基于云计算和可信计算的信息安全大数据资源访问控制系统
本发明的目的采用以下技术方案来实现：
基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块、信息安全管理模块、大数据服务模块、基于可信的密钥生成模块、基于可信的加密模块、基于可信的解密模块和用户接入模块：
(1)云存储服务模块，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；
(2)信息安全管理模块，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：
所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
1)定义信息的风险态势值R：
R＝P×Z×W
式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；
2)设某信息i的风险态势值时间序列为Mi＝{xi(1)，xi(2)，…，xi(n)}，xi(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；
3)风险态势从信息i传播到信息j的传播时间用τ表示，序列Mi与Mj在时间τ下的时间相关系数为ρij(τ)：
在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；
(3)大数据服务模块，用于对信息安全大数据资源进行分类管理，在信息安全管理模块对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；
(4)基于可信的密钥生成模块，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块的请求下参与云存储服务模块与用户接入模块接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块包括初始化子模块和密钥生成子模块：
1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
PK＝{a，b＝sα，e(s，s)β}
MK＝{α，sβ}
其中，α，β是两个随机数且α，β∈Zp，Zp为模p的整数群；s为p阶的双线性群G1的生成元；
2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：
其中，S为用户属性的集合，为每个用户随机选择r∈Zp，为每个属性选择ri∈Zp；
所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块将自己的身份及访问用户的身份发送给基于可信的加密模块，基于可信的加密模块向云存储服务模块发送一个第一公钥证书，云存储服务模块进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
(5)基于可信的加密模块，用于在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；
(6)基于可信的解密模块，用于在可信的安全网络环境下，将云存储服务模块上的封装好的三重加密密文解密得到明文信息，包括：
1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥kgs解密得到用户组属性密钥
2)三重加密密文解密子模块，用于对三重加密密文C″m进行解密；
3)密钥密文解密子模块，用于对密钥密文Cm′进行解密：
4)密文解密子模块，用于对密文Cm进行解密；
(7)用户接入模块，用于实现访问用户向云存储服务模块发送访问请求以及读取云存储服务模块上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。
优选地，所述基于可信的加密模块包括：
1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥Km进行加密，得到密文Cm：
所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥Km进行加密，得到密钥密文Cm′：
其中，T表示所述访问策略树，任意选取q∈Zp且q＝px(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；
所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块为每一个用户组属性Gi随机选择一个用户组属性密钥为每一个用户组属性Gi建立三重加密密文C″m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″m的一个消息头Hdr：
式中，kgs表示共享会话密钥。
本发明的有益效果为：
1、基于大数据技术和可信技术，设计了信息安全管理模块、基于可信的密钥生成模块、基于可信的加密模块和基于可信的解密模块，实现了信息安全大数据资源的快速安全访问，增加了系统的安全性和可信性；设置信息安全管理模块，能够对信息安全大数据的质量得意保证，确保数据的准确性；
2、设置大数据服务模块，便于数据资源的管理和索引；设置的基于可信的加密模块在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块，并设置相应的基于可信的解密模块，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；
3、设置的密钥生成子模块与基于可信的加密模块结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持。
附图说明
利用附图对本发明作进一步说明，但附图中的实施例不构成对本发明的任何限制，对于本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据以下附图获得其它的附图。
图1、图2是本发明各模块的连接示意图；
图2是本发明的原理示意图。
附图标记：
云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60、用户接入模块70。
具体实施方式
结合以下实施例对本发明作进一步描述。
实施例1：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：
(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；
(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：
所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
1)定义信息的风险态势值R：
R＝P×Z×W
式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；
2)设某信息i的风险态势值时间序列为Mi＝{xi(1)，xi(2)，…，xi(n)}，xi(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；
3)风险态势从信息i传播到信息j的传播时间用τ表示，序列Mi与Mj在时间τ下的时间相关系数为ρij(τ)：
在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；
(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；
(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：
1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
PK＝{a，b＝sα，e(s，s)β}
MK＝{α，sβ}
其中，α，β是两个随机数且α，β∈Zp，Zp为模p的整数群；s为p阶的双线性群G1的生成元；
2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：
其中，S为用户属性的集合，为每个用户随机选择r∈Zp，为每个属性选择ri∈Zp；
所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；
(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：
1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥kgs解密得到用户组属性密钥
2)三重加密密文解密子模块，用于对三重加密密文C″m进行解密；
3)密钥密文解密子模块，用于对密钥密文Cm′进行解密：
4)密文解密子模块，用于对密文Cm进行解密；
(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。
其中，所述基于可信的加密模块50包括：
1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥Km进行加密，得到密文Cm：
所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥Km进行加密，得到密钥密文Cm′：
其中，T表示所述访问策略树，任意选取q∈Zp且q＝px(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；
所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性Gi随机选择一个用户组属性密钥为每一个用户组属性Gi建立三重加密密文C″m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″m的一个消息头Hdr：
式中，kgs表示共享会话密钥。
在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝12，数据安全性提高了50％，计算开销减小了20％。
实施例2：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：
(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；
(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：
所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
1)定义信息的风险态势值R：
R＝P×Z×W
式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；
2)设某信息i的风险态势值时间序列为Mi＝{xi(1)，xi(2)，…，xi(n)}，xi(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；
3)风险态势从信息i传播到信息j的传播时间用τ表示，序列Mi与Mj在时间τ下的时间相关系数为ρij(τ)：
在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；
(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；
(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：
1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
PK＝{a，b＝sα，e(s，s)β}
MK＝{α，sβ}
其中，α，β是两个随机数且α，β∈Zp，Zp为模p的整数群；s为p阶的双线性群G1的生成元；
2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：
其中，S为用户属性的集合，为每个用户随机选择r∈Zp，为每个属性选择ri∈Zp；
所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；
(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：
1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥kgs解密得到用户组属性密钥
2)三重加密密文解密子模块，用于对三重加密密文C′m进行解密；
3)密钥密文解密子模块，用于对密钥密文Cm′进行解密：
4)密文解密子模块，用于对密文Cm进行解密；
(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。
所述基于可信的加密模块50包括：
1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥Km进行加密，得到密文Cm：
所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥Km进行加密，得到密钥密文Cm′：
其中，T表示所述访问策略树，任意选取q∈Zp且q＝px(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；
所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性Gi随机选择一个用户组属性密钥为每一个用户组属性Gi建立三重加密密文C″m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″m的一个消息头Hdr：
式中，kgs表示共享会话密钥。
在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝8，数据安全性提高了45％，计算开销减小了25％。
实施例3：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：
(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；
(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：
所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
1)定义信息的风险态势值R：
R＝P×Z×W
式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；
2)设某信息i的风险态势值时间序列为Mi＝{xi(1)，xi(2)，…，xi(n)}，xi(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；
3)风险态势从信息i传播到信息j的传播时间用τ表示，序列Mi与Mj在时间τ下的时间相关系数为ρij(τ)：
在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；
(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；
(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：
1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
PK＝{a，b＝sα，e(s，s)β}
MK＝{α，sβ}
其中，α，β是两个随机数且α，β∈Zp，Zp为模p的整数群；s为p阶的双线性群G1的生成元；
2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：
其中，S为用户属性的集合，为每个用户随机选择r∈Zp，为每个属性选择ri∈Zp；
所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；
(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：
1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥kgs解密得到用户组属性密钥
2)三重加密密文解密子模块，用于对三重加密密文C″m进行解密；
3)密钥密文解密子模块，用于对密钥密文Cm′进行解密：
4)密文解密子模块，用于对密文Cm进行解密；
(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。
其中，所述基于可信的加密模块50包括：
1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥Km进行加密，得到密文Cm：
所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥Km进行加密，得到密钥密文Cm′：
其中，T表示所述访问策略树，任意选取q∈Zp且q＝px(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；
所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性Gi随机选择一个用户组属性密钥为每一个用户组属性Gi建立三重加密密文C″m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″m的一个消息头Hdr：
式中，kgs表示共享会话密钥。
在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝15，数据安全性提高了40％，计算开销减小了30％。
实施例4：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：
(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；
(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：
所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
1)定义信息的风险态势值R：
R＝P×Z×W
式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；
2)设某信息i的风险态势值时间序列为Mi＝{xi(1)，xi(2)，…，xi(n)}，xi(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；
3)风险态势从信息i传播到信息j的传播时间用τ表示，序列Mi与Mj在时间τ下的时间相关系数为ρij(τ)：
在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；
(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；
(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：
1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
PK＝{a，b＝sα，e(s，s)β}
MK＝{α，sβ}
其中，α，β是两个随机数且α，β∈Zp，Zp为模p的整数群；s为p阶的双线性群G1的生成元；
2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：
其中，S为用户属性的集合，为每个用户随机选择r∈Zp，为每个属性选择ri∈Zp；
所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；
(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：
1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥kgs解密得到用户组属性密钥
2)三重加密密文解密子模块，用于对三重加密密文C″m进行解密；
3)密钥密文解密子模块，用于对密钥密文Cm′进行解密：
4)密文解密子模块，用于对密文Cm进行解密；
(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。
其中，所述基于可信的加密模块50包括：
1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥Km进行加密，得到密文Cm：
所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥Km进行加密，得到密钥密文Cm′：
其中，T表示所述访问策略树，任意选取q∈Zp且q＝px(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；
所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性Gi随机选择一个用户组属性密钥为每一个用户组属性Gi建立三重加密密文C″m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″m的一个消息头Hdr：
式中，kgs表示共享会话密钥。
在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝10，数据安全性提高了35％，计算开销减小了35％。
实施例5：如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70：
(1)云存储服务模块10，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块10的数据管理器；
(2)信息安全管理模块20，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：
所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
1)定义信息的风险态势值R：
R＝P×Z×W
式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；
2)设某信息i的风险态势值时间序列为Mi＝{xi(1)，xi(2)，…，xi(n)}，xi(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；
3)风险态势从信息i传播到信息j的传播时间用τ表示，序列Mi与Mj在时间τ下的时间相关系数为ρij(τ)：
在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；
(3)大数据服务模块30，用于对信息安全大数据资源进行分类管理，在信息安全管理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；
(4)基于可信的密钥生成模块40，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块40包括初始化子模块和密钥生成子模块：
1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
PK＝{a，b＝sα，e(s，s)β}
MK＝{α，sβ}
其中，α，β是两个随机数且α，β∈Zp，Zp为模p的整数群；s为p阶的双线性群G1的生成元；
2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥sK：
其中，S为用户属性的集合，为每个用户随机选择r∈Zp，为每个属性选择ri∈Zp；
所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块10和访问用户间的共享会话密钥，具体为：所述云存储服务模块10将自己的身份及访问用户的身份发送给基于可信的加密模块50，基于可信的加密模块50向云存储服务模块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
(5)基于可信的加密模块50，用于在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10；
(6)基于可信的解密模块60，用于将云存储服务模块10上的封装好的三重加密密文解密得到明文信息，包括：
1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥kgs解密得到用户组属性密钥
2)三重加密密文解密子模块，用于对三重加密密文C″m进行解密；
3)密钥密文解密子模块，用于对密钥密文Cm′进行解密：
4)密文解密子模块，用于对密文Cm进行解密；
(7)用户接入模块70，用于实现访问用户向云存储服务模块10发送访问请求以及读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。
其中，所述基于可信的加密模块50包括：
1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥Km进行加密，得到密文Cm：
所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥Km进行加密，得到密钥密文Cm′：
其中，T表示所述访问策略树，任意选取q∈Zp且q＝px(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；
所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一个用户组属性Gi随机选择一个用户组属性密钥为每一个用户组属性Gi建立三重加密密文C″m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″m的一个消息头Hdr：
式中，kgs表示共享会话密钥。
在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保证，确保数据的准确性；设置大数据服务模块30，便于数据资源的管理和索引；设置的基于可信的加密模块50在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与基于可信的加密模块50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持；设定总小时数n＝24，数据安全性提高了30％，计算开销减小了40％。
最后应当说明的是，以上实施例仅用以说明本发明的技术方案，而非对本发明保护范围的限制，尽管参照较佳实施例对本发明作了详细地说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实质和范围。

Claims (2)

1.基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模块、信息安全管理模块、大数据服务模块、基于可信的密钥生成模块、基于可信的加密模块、基于可信的解密模块和用户接入模块：
(1)云存储服务模块，用于为访问用户提供数据存储服务，其以云存储对数据进行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；
(2)信息安全管理模块，用于根据已验证的信息管理经验对信息安全进行管理，包括风险评估模块和风险控制模块：
所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
1)定义信息的风险态势值R：
R＝P×Z×W
式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度；
2)设某信息i的风险态势值时间序列为Mi＝{xi(1)，xi(2)，…，xi(n)}，xi(t)表示信息i在时刻t的态势值，n为设定的总小时数，t＝1，2，…，n；
3)风险态势从信息i传播到信息j的传播时间用τ表示，序列Mi与Mj在时间τ下的时间相关系数为ρij(τ)：
ρ i j ( τ ) = Σ t = 1 n - τ x i ( t ) x j ( t + τ ) - 1 n - τ Σ t = 1 n - τ x i ( t ) Σ t = 1 n - τ x j ( t + τ ) Σ t = 1 n - τ [ x i ( t ) - 1 n - τ Σ t = 1 n - τ x i ( t ) ] 2 × Σ t = 1 n - τ [ x j ( t + τ ) - 1 n - τ Σ t = 1 n - τ x j ( t + τ ) ] 2
在确定τ、的情况下能够计算出时间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险等级，对应采取不同的安全策略对风险进行管理；
(3)大数据服务模块，用于对信息安全大数据资源进行分类管理，在信息安全管理模块对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进行分类，并建立目录实行分类管理；
(4)基于可信的密钥生成模块，用于在可信的安全网络环境下，生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块的请求下参与云存储服务模块与用户接入模块接入的访问用户之间的共享会话密钥的协商；所述基于可信的密钥生成模块包括初始化子模块和密钥生成子模块：
1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
PK＝{a，b＝sα，e(s，s)β}
MK＝{α，sβ}
其中，α，β是两个随机数且α，β∈Zp，Zp为模p的整数群；s为p阶的双线性群G1的生成元；
2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：
其中，S为用户属性的集合，为每个用户随机选择r∈Zp，为每个属性选择ri∈Zp；
所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块将自己的身份及访问用户的身份发送给基于可信的加密模块，基于可信的加密模块向云存储服务模块发送一个第一公钥证书，云存储服务模块进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
(5)基于可信的加密模块，用于在可信的安全网络环境下，对用户使用的客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块；
(6)基于可信的解密模块，用于在可信的安全网络环境下，将云存储服务模块上的封装好的三重加密密文解密得到明文信息，包括：
1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥kgs解密得到用户组属性密钥
2)三重加密密文解密子模块，用于对三重加密密文C″m进行解密；
3)密钥密文解密子模块,用于对密钥密文Cm′进行解密：
4)密文解密子模块，用于对密文Cm进行解密；
(7)用户接入模块，用于实现访问用户向云存储服务模块发送访问请求以及读取云存储服务模块上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过基于可信的解密模块解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。
2.根据权利要求1所述的基于云计算和可信计算的信息安全大数据资源访问控制系统，其特征在于，所述基于可信的加密模块包括:
1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥Km进行加密，得到密文Cm：
所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥Km进行加密，得到密钥密文Cm′:
其中，T表示所述访问策略树，任意选取q∈Zp且q＝px(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；
所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块为每一个用户组属性Gi随机选择一个用户组属性密钥为每一个用户组属性Gi建立三重加密密文C″M，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″m的一个消息头Hdr:
式中，kgs表示共享会话密钥。
CN201610520590.XA 2016-07-01 2016-07-01 基于云计算和可信计算的信息安全大数据资源访问控制系统 Expired - Fee Related CN105959111B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610520590.XA CN105959111B (zh) 2016-07-01 2016-07-01 基于云计算和可信计算的信息安全大数据资源访问控制系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610520590.XA CN105959111B (zh) 2016-07-01 2016-07-01 基于云计算和可信计算的信息安全大数据资源访问控制系统

Publications (2)

Publication Number Publication Date
CN105959111A CN105959111A (zh) 2016-09-21
CN105959111B true CN105959111B (zh) 2017-03-15

Family

ID=56902192

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610520590.XA Expired - Fee Related CN105959111B (zh) 2016-07-01 2016-07-01 基于云计算和可信计算的信息安全大数据资源访问控制系统

Country Status (1)

Country Link
CN (1) CN105959111B (zh)

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108259422B (zh) * 2016-12-29 2021-07-16 中兴通讯股份有限公司 一种多租户访问控制方法和装置
CN106973070A (zh) * 2017-05-17 2017-07-21 济南浪潮高新科技投资发展有限公司 一种大数据计算托管服务安全认证系统和方法
CN107241182B (zh) * 2017-06-29 2020-10-13 电子科技大学 一种基于向量同态加密的隐私保护层次聚类方法
CN107579980A (zh) * 2017-09-07 2018-01-12 福州大学 医疗物联网中的轻量级双重访问控制系统
KR102299239B1 (ko) * 2017-10-21 2021-09-06 애플 인크. 공동 디바이스 상의 가상 어시스턴트 시스템에 대한 개인 도메인
CN109787935A (zh) * 2017-11-13 2019-05-21 广东工业大学 一种智能家居安全防护系统
CN107995298A (zh) * 2017-12-07 2018-05-04 成都博睿德科技有限公司 并行云计算的数据重用方法
CN108021677A (zh) * 2017-12-07 2018-05-11 成都博睿德科技有限公司 云计算分布式检索引擎的控制方法
CN108055256A (zh) * 2017-12-07 2018-05-18 成都博睿德科技有限公司 云计算SaaS的平台高效部署方法
CN109962891B (zh) * 2017-12-25 2021-10-22 中国移动通信集团安徽有限公司 监测云安全的方法、装置、设备和计算机存储介质
CN109040655B (zh) * 2018-09-03 2021-03-23 科大乾延科技有限公司 一种基于信息网络的视频会议系统
CN109873809A (zh) * 2019-01-11 2019-06-11 日照职业技术学院 一种计算机网络信息安全控制系统及方法
CN113346994A (zh) * 2021-06-24 2021-09-03 北京八分量信息科技有限公司 基于随机抽样检测的大数据可信验证方法及系统
CN115842679B (zh) * 2022-12-30 2023-05-05 江西曼荼罗软件有限公司 一种基于数字信封技术的数据传输方法及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103107992A (zh) * 2013-02-04 2013-05-15 杭州师范大学 面向云存储加密数据共享的多级权限管理方法
CN104735163A (zh) * 2015-04-10 2015-06-24 重庆邮电大学 一种用于混合云存储环境下多用户数据完整性验证方法
CN104883254A (zh) * 2015-06-12 2015-09-02 深圳大学 面向云计算平台的密文访问控制系统及其访问控制方法
US20150381587A1 (en) * 2012-08-29 2015-12-31 Box, Inc. Upload and download streaming encryption to/from a cloud-based platform

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150381587A1 (en) * 2012-08-29 2015-12-31 Box, Inc. Upload and download streaming encryption to/from a cloud-based platform
CN103107992A (zh) * 2013-02-04 2013-05-15 杭州师范大学 面向云存储加密数据共享的多级权限管理方法
CN104735163A (zh) * 2015-04-10 2015-06-24 重庆邮电大学 一种用于混合云存储环境下多用户数据完整性验证方法
CN104883254A (zh) * 2015-06-12 2015-09-02 深圳大学 面向云计算平台的密文访问控制系统及其访问控制方法

Also Published As

Publication number Publication date
CN105959111A (zh) 2016-09-21

Similar Documents

Publication Publication Date Title
CN105959111B (zh) 基于云计算和可信计算的信息安全大数据资源访问控制系统
Zhang et al. Research on a covert communication model realized by using smart contracts in blockchain environment
CN107864139B (zh) 一种基于动态规则的密码学属性基访问控制方法与系统
Alowolodu et al. Elliptic curve cryptography for securing cloud computing applications
CN109361668A (zh) 一种数据可信传输方法
CN111130757A (zh) 一种基于区块链的多云cp-abe访问控制方法
CN101179380A (zh) 一种双向认证方法、系统及网络终端
CN105610837B (zh) 用于scada系统主站与从站间身份认证的方法及系统
CN108347404A (zh) 一种身份认证方法及装置
CN113141247B (zh) 一种同态加密方法、装置、系统及可读存储介质
CN110505055A (zh) 基于非对称密钥池对和密钥卡的外网接入身份认证方法和系统
Kumar et al. TPA auditing to enhance the privacy and security in cloud systems
Xu et al. An efficient blockchain‐based privacy‐preserving scheme with attribute and homomorphic encryption
CN114357492A (zh) 一种基于区块链的医疗数据隐私融合方法及装置
Marian et al. Experimenting with digital signatures over a DNP3 protocol in a multitenant cloud-based SCADA architecture
Hahn et al. Efficient IoT management with resilience to unauthorized access to cloud storage
CN110519222A (zh) 基于一次性非对称密钥对和密钥卡的外网接入身份认证方法和系统
CN108959908A (zh) 一种与接入sdk的移动平台进行认证的方法、计算机设备及存储介质
Ru et al. Graph neural networks for privacy-preserving recommendation with secure hardware
CN101834852B (zh) 一种保护平台信息的可信OpenSSH的实现方法
Li et al. Blockchain-assisted distributed fog computing control flow attestation
Zhu et al. [Retracted] Research on Privacy Data Protection Based on Trusted Computing and Blockchain
CN115829754B (zh) 一种面向隐私保护区块链的交易监管方法及装置
Lim et al. Specification and analysis of n-way key recovery system by Extended Cryptographic Timed Petri Net
Wu et al. E-LPDAE: An Edge-Assisted Lightweight Power Data Aggregation and Encryption Scheme

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C41 Transfer of patent application or patent right or utility model
CB03 Change of inventor or designer information

Inventor after: Chen Zubin

Inventor after: Tang Lingli

Inventor after: Huang Lianyue

Inventor after: Zheng Junming

Inventor after: Zeng Mingfei

Inventor after: Hang Cong

Inventor after: Song Junhao

Inventor after: Shen Hanling

Inventor after: He Zhongzhu

Inventor after: Xie Ming

Inventor after: Hu Jijun

Inventor after: Weng Xiaoyun

Inventor after: Yuan Yong

Inventor after: Deng Gefeng

Inventor after: Mo Yinghong

Inventor after: Xie Jing

Inventor after: Zhang Peng

Inventor before: Chen Zubin

Inventor before: Tang Lingli

Inventor before: Huang Lianyue

Inventor before: Zheng Junming

Inventor before: Zeng Mingfei

Inventor before: Hang Cong

Inventor before: Song Junhao

Inventor before: Xie Ming

Inventor before: Hu Jijun

Inventor before: Weng Xiaoyun

Inventor before: Yuan Yong

Inventor before: Deng Gefeng

Inventor before: Mo Yinghong

Inventor before: Xie Jing

Inventor before: Zhang Peng

COR Change of bibliographic data
TA01 Transfer of patent application right

Effective date of registration: 20170213

Address after: 530000 Xingning, Nanning District, democratic road, No. 6,

Applicant after: GUANGXI POWER GRID CO., LTD.

Address before: 530000 Xingning, Nanning District, democratic road, No. 6,

Applicant before: He Zhongzhu

C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20170315

Termination date: 20200701