CN106209357A - 一种基于云计算平台的密文访问控制系统 - Google Patents

Abstract

本发明公开了一种基于云计算平台的密文访问控制系统，包括云存储服务模块、明文预处理模块、密钥生成模块、加密模块、解密模块和用户接入模块。本发明对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块，并设置相应的解密模块，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；将密文访问控制系统进行分等级控制，提高了访问控制的效率，利用码分复用技术编码明文信息，减少了密文存储空间，提升了系统的整体性能。

Description

一种基于云计算平台的密文访问控制系统

技术领域

本发明涉及信息安全技术领域，具体涉及一种基于云计算平台的密文访问控制系统。

背景技术

云计算是一种可以更有效地利用计算资源为用户提供各种数据服务的新型计算模式，其将大量的计算资源、存储资源和软件资源链接在一起，运用虚拟技术，为用户提供可定制的计算、存储和应用服务，避免用户自身繁重的基础设施的构建和维护。然而，集中管理的云计算中心将成为黑客攻击的重点目标，由于前所未有的开放性与复杂性，其安全性面临着比以往更为严峻的考验，云计算的大数据资源访问控制是云计算安全问题的核心，访问控制是实现信息安全大数据资源机密性和进行隐私保护的重要手段。

现有的云计算平台可采用传统的基于属性的加密方案。基于属性的加密方案可以作为基于身份的密码体制的泛化和扩展，更详细地说，在基于身份的密码体制中加入访问结构的概念就可以得到基于属性的加密方案。但基于属性的加密方案从基于身份的密码体制继承了密钥托管的问题，即是说，所有用户的用户私钥是通过一个完全可信的密钥生成中心来产生和分发的。在这种情况下，一个怀恶意的密钥生成中心可以解密任何用户的所有密文，更有甚者，密钥生成中心可能恶意地分发用户私钥。同时，在云计算平台上，用户无法信赖云服务提供商忠实的实施用户定义的访问控制方案，安全性差。此外，基于属性的加密方案还存在云存储环境下用户属主与普通用户加解密计算开销大，访问控制灵活性带来的云存储服务模块管理复杂等问题。

发明内容

针对上述问题，本发明提供一种基于云计算平台的密文访问控制系统

本发明的目的采用以下技术方案来实现：

一种基于云计算平台的密文访问控制系统，包括云存储服务模块、明文预处理模块、密钥生成模块、加密模块、解密模块和用户接入模块：

(1)云存储服务模块，用于为访问用户提供数据存储服务，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；

(2)密钥生成模块，用于生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为加密模块分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块的请求下参与云存储服务模块与用户接入模块接入的访问用户之间的共享会话密钥的协商；

(3)明文预处理模块，用于根据系统预先定义的访问结构树创建多个用户属性集，通过码分复用编码用户属主客户端上的明文信息，根据所述访问结构树将编码后的明文信息分为N个访问级别，N的取值范围为[4,8]；

(4)加密模块，用于对预处理后的明文信息进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块；

(5)解密模块，用于将云存储服务模块上的封装好的三重加密密文解密得到明文信息；

(6)用户接入模块，用于实现访问用户向云存储服务模块发送访问请求以及读取云存储服务模块上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过解密模块解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述密钥生成模块包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块将自己的身份及访问用户的身份发送给加密模块，加密模块向云存储服务模块发送一个第一公钥证书，云存储服务模块进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成。

其中，所述加密模块包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对预处理后的明文信息m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

其中，所述解密模块包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

5)解码子模块，用于采用码分复用对所述明文编码信息进行解码，得到相应的明文信息。

本发明的有益效果为：

1、将密文访问控制系统进行分等级控制，提高了访问控制的效率，利用码分复用技术编码明文信息，减少了密文存储空间，提升了系统的整体性能；

2、设置的加密模块对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块，并设置相应的解密模块，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；

3、设置的密钥生成子模块与加密模块结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性。

附图说明

利用附图对本发明作进一步说明，但附图中的实施例不构成对本发明的任何限制，对于本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据以下附图获得其它的附图。

图1是本发明各模块的连接示意图；

图2是本发明用户接入模块的原理示意图。

附图标记：

云存储服务模块1、明文预处理模块2、密钥生成模块3、加密模块4、解密模块5、用户接入模块6。

具体实施方式

结合以下实施例对本发明作进一步描述。

实施例1

参见图1、图2，本实施例的基于云计算平台的密文访问控制系统，包括云存储服务模块1、明文预处理模块2、密钥生成模块3、加密模块4、解密模块5、用户接入模块6：

(1)云存储服务模块1，用于为访问用户提供数据存储服务，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；

(2)密钥生成模块3，用于生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为加密模块4分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块1的请求下参与云存储服务模块1与用户接入模块6接入的访问用户之间的共享会话密钥的协商；

(3)明文预处理模块2，用于根据系统预先定义的访问结构树创建多个用户属性集，通过码分复用编码用户属主客户端上的明文信息，根据所述访问结构树将编码后的明文信息分为N个访问级别；

(4)加密模块4，用于对预处理后的明文信息进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1；

(5)解密模块5，用于将云存储服务模块1上的封装好的三重加密密文解密得到明文信息；

(6)用户接入模块6，用于实现访问用户向云存储服务模块1发送访问请求以及读取云存储服务模块1上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过解密模块5解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述密钥生成模块3包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块1将自己的身份及访问用户的身份发送给加密模块4，加密模块4向云存储服务模块1发送一个第一公钥证书，云存储服务模块1进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成。

其中，所述加密模块4包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对预处理后的明文信息m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块1为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

其中，所述解密模块5包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块1返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

5)解码子模块，用于采用码分复用对所述明文编码信息进行解码，得到相应的明文信息。

本实施例设置的加密模块4对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1，并设置相应的解密模块5，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与加密模块4结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；将密文访问控制系统进行分等级控制，提高了访问控制的效率，利用码分复用技术编码明文信息，减少了密文存储空间，提升了系统的整体性能，其中设定访问级别个数N＝4，密文存储空间相对减少了5％。

实施例2

参见图1、图2，本实施例的基于云计算平台的密文访问控制系统，包括云存储服务模块1、明文预处理模块2、密钥生成模块3、加密模块4、解密模块5、用户接入模块6：

(1)云存储服务模块1，用于为访问用户提供数据存储服务，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；

(2)密钥生成模块3，用于生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为加密模块4分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块1的请求下参与云存储服务模块1与用户接入模块6接入的访问用户之间的共享会话密钥的协商；

(3)明文预处理模块2，用于根据系统预先定义的访问结构树创建多个用户属性集，通过码分复用编码用户属主客户端上的明文信息，根据所述访问结构树将编码后的明文信息分为N个访问级别；

(4)加密模块4，用于对预处理后的明文信息进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1；

(5)解密模块5，用于将云存储服务模块1上的封装好的三重加密密文解密得到明文信息；

(6)用户接入模块6，用于实现访问用户向云存储服务模块1发送访问请求以及读取云存储服务模块1上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过解密模块5解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述密钥生成模块3包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块1将自己的身份及访问用户的身份发送给加密模块4，加密模块4向云存储服务模块1发送一个第一公钥证书，云存储服务模块1进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成。

其中，所述加密模块4包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对预处理后的明文信息m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块1为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

其中，所述解密模块5包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块1返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

5)解码子模块，用于采用码分复用对所述明文编码信息进行解码，得到相应的明文信息。

本实施例设置的加密模块4对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1，并设置相应的解密模块5，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与加密模块4结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；将密文访问控制系统进行分等级控制，提高了访问控制的效率，利用码分复用技术编码明文信息，减少了密文存储空间，提升了系统的整体性能，其中设定访问级别个数N＝5，密文存储空间相对减少了4.5％。

实施例3

参见图1、图2，本实施例的基于云计算平台的密文访问控制系统，包括云存储服务模块1、明文预处理模块2、密钥生成模块3、加密模块4、解密模块5、用户接入模块6：

(1)云存储服务模块1，用于为访问用户提供数据存储服务，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；

(2)密钥生成模块3，用于生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为加密模块4分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块1的请求下参与云存储服务模块1与用户接入模块6接入的访问用户之间的共享会话密钥的协商；

(3)明文预处理模块2，用于根据系统预先定义的访问结构树创建多个用户属性集，通过码分复用编码用户属主客户端上的明文信息，根据所述访问结构树将编码后的明文信息分为N个访问级别；

(4)加密模块4，用于对预处理后的明文信息进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1；

(5)解密模块5，用于将云存储服务模块1上的封装好的三重加密密文解密得到明文信息；

(6)用户接入模块6，用于实现访问用户向云存储服务模块1发送访问请求以及读取云存储服务模块1上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过解密模块5解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述密钥生成模块3包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块1将自己的身份及访问用户的身份发送给加密模块4，加密模块4向云存储服务模块1发送一个第一公钥证书，云存储服务模块1进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成。

其中，所述加密模块4包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对预处理后的明文信息m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块1为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

其中，所述解密模块5包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块1返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

5)解码子模块，用于采用码分复用对所述明文编码信息进行解码，得到相应的明文信息。

本实施例设置的加密模块4对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1，并设置相应的解密模块5，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与加密模块4结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；将密文访问控制系统进行分等级控制，提高了访问控制的效率，利用码分复用技术编码明文信息，减少了密文存储空间，提升了系统的整体性能，其中设定访问级别个数N＝6，密文存储空间相对减少了4％。

实施例4

参见图1、图2，本实施例的基于云计算平台的密文访问控制系统，包括云存储服务模块1、明文预处理模块2、密钥生成模块3、加密模块4、解密模块5、用户接入模块6：

(1)云存储服务模块1，用于为访问用户提供数据存储服务，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；

(2)密钥生成模块3，用于生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为加密模块4分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块1的请求下参与云存储服务模块1与用户接入模块6接入的访问用户之间的共享会话密钥的协商；

(3)明文预处理模块2，用于根据系统预先定义的访问结构树创建多个用户属性集，通过码分复用编码用户属主客户端上的明文信息，根据所述访问结构树将编码后的明文信息分为N个访问级别；

(4)加密模块4，用于对预处理后的明文信息进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1；

(5)解密模块5，用于将云存储服务模块1上的封装好的三重加密密文解密得到明文信息；

(6)用户接入模块6，用于实现访问用户向云存储服务模块1发送访问请求以及读取云存储服务模块1上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过解密模块5解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述密钥生成模块3包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块1将自己的身份及访问用户的身份发送给加密模块4，加密模块4向云存储服务模块1发送一个第一公钥证书，云存储服务模块1进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成。

其中，所述加密模块4包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对预处理后的明文信息m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块1为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

其中，所述解密模块5包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块1返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

5)解码子模块，用于采用码分复用对所述明文编码信息进行解码，得到相应的明文信息。

本实施例设置的加密模块4对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1，并设置相应的解密模块5，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与加密模块4结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；将密文访问控制系统进行分等级控制，提高了访问控制的效率，利用码分复用技术编码明文信息，减少了密文存储空间，提升了系统的整体性能，其中设定访问级别个数N＝7，密文存储空间相对减少了3.5％。

实施例5

参见图1、图2，本实施例的基于云计算平台的密文访问控制系统，包括云存储服务模块1、明文预处理模块2、密钥生成模块3、加密模块4、解密模块5、用户接入模块6：

(1)云存储服务模块1，用于为访问用户提供数据存储服务，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；

(2)密钥生成模块3，用于生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为加密模块4分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块1的请求下参与云存储服务模块1与用户接入模块6接入的访问用户之间的共享会话密钥的协商；

(3)明文预处理模块2，用于根据系统预先定义的访问结构树创建多个用户属性集，通过码分复用编码用户属主客户端上的明文信息，根据所述访问结构树将编码后的明文信息分为N个访问级别；

(4)加密模块4，用于对预处理后的明文信息进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1；

(5)解密模块5，用于将云存储服务模块1上的封装好的三重加密密文解密得到明文信息；

(6)用户接入模块6，用于实现访问用户向云存储服务模块1发送访问请求以及读取云存储服务模块1上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过解密模块5解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

其中，所述密钥生成模块3包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β}

MK＝{α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块1将自己的身份及访问用户的身份发送给加密模块4，加密模块4向云存储服务模块1发送一个第一公钥证书，云存储服务模块1进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成。

其中，所述加密模块4包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对预处理后的明文信息m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块1为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

其中，所述解密模块5包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块1返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

5)解码子模块，用于采用码分复用对所述明文编码信息进行解码，得到相应的明文信息。

本实施例设置的加密模块4对用户属主客户端上的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块1，并设置相应的解密模块5，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户加密、解密的计算开销；设置的密钥生成子模块与加密模块4结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性；将密文访问控制系统进行分等级控制，提高了访问控制的效率，利用码分复用技术编码明文信息，减少了密文存储空间，提升了系统的整体性能，其中设定访问级别个数N＝8，密文存储空间相对减少了2％。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案，而非对本发明保护范围的限制，尽管参照较佳实施例对本发明作了详细地说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实质和范围。

Claims (6)

1.一种基于云计算平台的密文访问控制系统，包括云存储服务模块、明文预处理模块、密钥生成模块、加密模块、解密模块和用户接入模块：

(1)云存储服务模块，用于为访问用户提供数据存储服务，包括用于存储数据的云存储服务器和用于控制外部用户访问云存储服务模块的数据管理器；

(2)密钥生成模块，用于生成系统初始的公开参数和主密钥，当接收到访问用户发出的请求时，其为加密模块分发系统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块的请求下参与云存储服务模块与用户接入模块接入的访问用户之间的共享会话密钥的协商；

(3)明文预处理模块，用于对用户属主客户端上的明文信息进行预处理；

(4)加密模块，用于对预处理后的明文信息进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块；

(5)解密模块，用于将云存储服务模块上的封装好的三重加密密文解密得到明文信息；

(6)用户接入模块，用于实现访问用户向云存储服务模块发送访问请求以及读取云存储服务模块上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问策略时，能够通过解密模块解密得到明文信息；若访问用户拥有的属性集合不满足访问策略，则需要用户输入指纹进行身份验证；若访问用户的属性集合和身份验证均无效，则无法完成请求访问。

2.根据权利要求1所述的一种基于云计算平台的密文访问控制系统，其特征在于，所述对用户属主客户端上的明文信息进行预处理，包括：根据系统预先定义的访问结构树创建多个用户属性集，通过码分复用编码用户属主客户端上的明文信息，根据所述访问结构树将编码后的明文信息分为N个访问级别。

3.根据权利要求1所述的一种基于云计算平台的密文访问控制系统，其特征在于，所述N的取值范围为[4,8]。

4.根据权利要求1所述的一种基于云计算平台的密文访问控制系统，其特征在于，所述密钥生成模块包括初始化子模块和密钥生成子模块：

1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：

PK＝{a,b＝s^α,e(s,s)^β｝

MK＝｛α,s^β}

其中，α,β是两个随机数且α,β∈Z^p，Z^p为模p的整数群；s为p阶的双线性群G₁的生成元；

2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥生成单元用于为访问用户生成对应的私钥SK：

其中，S为用户属性的集合，为每个用户随机选择r∈Z^p，为每个属性选择r_i∈Z^p；

所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务模块和访问用户间的共享会话密钥，具体为：所述云存储服务模块将自己的身份及访问用户的身份发送给加密模块，加密模块向云存储服务模块发送一个第一公钥证书，云存储服务模块进而为访问用户生成一个会话密钥，并用自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成。

5.根据权利要求1所述的一种基于云计算平台的密文访问控制系统，其特征在于，所述加密模块包括:

1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；

所述明文加密单元用于对预处理后的明文信息m采用由用户属主选取的对称密钥K_m进行加密，得到密文C_m：

所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥K_m进行加密，得到密钥密文C_m′:

其中，T表示所述访问策略树，任意选取q∈Z^p且q＝p_x(0)，X表示所有访问策略树的所有叶子节点的集合；是自定义的一个公开映射函数；

所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块为每一个用户组属性G_i随机选择一个用户组属性密钥为每一个用户组属性G_i建立三重加密密文C″_m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密文C″_m的一个消息头H_dr:

式中，k_gs表示共享会话密钥。

6.根据权利要求5所述的一种基于云计算平台的密文访问控制系统，其特征在于，所述解密模块包括：

1)用户组属性密钥解密子模块,用于在访问用户访问所述封装好的三重加密密文时对用户组属性密钥进行解密，解密时由云存储服务模块返回所述封装好的三重加密密文及其对应的消息头，利用共享会话密钥k_gs解密得到用户组属性密钥

2)三重加密密文解密子模块，用于对三重加密密文C″_m进行解密；

3)密钥密文解密子模块,用于对密钥密文C_m′进行解密：

4)密文解密子模块，用于对密文C_m进行解密；

5)解码子模块，用于采用码分复用对所述明文编码信息进行解码，得到相应的明文信息。