CN109559124B - 一种基于区块链的云数据安全共享方法 - Google Patents

Abstract

本发明公开了一种基于区块链的云数据安全共享方法，它包括步骤：1、可信证书授权中心根据用户或属性授权中心提交的身份信息提供唯一的全局身份ID与数字证书；属性授权中心为每个属性指派属性公私钥对，为合法用户分发属性；2、用户数据加密和上传数据；3、用户下载数据；4、解密数据：用户的属性密钥集满足数据的访问策略，能通过属性基解密算法获得解密密钥，从而解密出要访问的数据。本发明的优点是：在非信任环境下，提高了数据共享安全性、数据共享效率，并监督实体行为的合规性。

Description

一种基于区块链的云数据安全共享方法

技术领域

本发明属于云数据安全的技术领域；具体涉及一种基于区块链的云数据安全共享方法。

背景技术

目前，云存储服务已经是一项很成熟的服务。用户使用云服务能够获得大量的存储资源，实现灵活管理自己的数据。当前云存储模式是一种中心化的，通过云服务商与第三方机构来管理与授权个人数据的存储与访问。基于对第三方机构的信任，用户通过网络将数据传送到云端，当需要时则从云上下载，数据的存储方式与存储地点都是由第三方决定的，对用户透明。因此，中心化的云存储安全性依赖于第三方的可信任程度。

现有数据共享方法可分为传统数据共享和中心化数据共享。传统共享方案是利用隐私保护方法不对外共享数据，只与在内部实现安全共享，因此该种方式不适合当前对数据共享的需求。中心化数据共享是在中心化云存储上实现的一种共享方法，过程为：云服务商提供数据分享功能，用户选择要分享的数据生成访问码，其他用户得到访问码就能访问数据。这种共享模式存在很多安全隐患，比如云服务的非授权访问用户数据。为提高共享的安全性，一般做法是数据拥有者通过对称加密技术加密数据，然后将数据密文上传到云端，其他用户发出共享请求时，数据拥有者使用分享用户的公钥加密对称密钥，通过分享功能分享给用户。用户就能用自己私钥解密得到对称密钥，然后下载数据密文解密得到明文数据。

然而，这种增强安全的数据共享模式增加了通信代价、计算代价和密钥管理代价。数据所有者需要与分享用户频繁通信，同时当分享用户数很多时，数据拥有者需对解密密钥进行多次非对称加密和多次通信，不利于动态用户数多的云存储数据的共享。中心化数据共享依托于云服务商的信任，当云服务商不合规执行用户指令，需要一套监督机制进行审计问责。

在上述的云数据共享中，数据需要通过加密的方法来保护私密敏感的个人数据，需要大量的非对称加密和巨大通信开销来实现一种在线共享数据，同时需要在非信任环境下依赖云服务商来保证数据分享的安全性。这种模式给数据拥有者带来了巨大计算和通信开销，同时也具有安全隐患。

基于属性的加密技术是由Sahai与Waters提出的新的一套加密机制，该技术源于基于身份的加密技术。基于属性加密可分为密钥策略属性基加密与密文策略属性基加密，前者是访问策略与密钥关联，后者访问策略与密文关联。密文策略属性基加密技术可用于云存储的数据访问控制与数据共享。

在密文策略属性基加密技术中，数据拥有者自己制定数据的属性访问控制策略，然后通过加密得到隐藏访问策略的密文，解密方能解密当且仅当解密者的属性集满足访问策略才可解密。这种方式能实现一对多的加密与解密，相比在传统的非对称加密中一次加密一次解密，极大提高加解密效率，减轻密钥管理的复杂性。

区块链技术是一种集合了密码学，共识算法，点对点网络与隐私保护等技术，具有不可篡改特性的分布式账本。区块链技术具有分布式数据存储、不可篡改、非中心化、可追溯等特点，区块链的智能合约能实现与现有互联网应用的融合，开发出大量基于区块链的分布式应用。通过智能合约编写的算法，能实现调用记录的审计，从而为问责提供依据。

发明内容

本发明所要解决的技术问题就是提供一种基于区块链的云数据安全共享方法，它在非信任环境下，能提高数据共享安全性、数据共享效率，并能监督实体行为的合规性。

本发明的构思是：利用区块链技术和属性基加密技术实现云数据安全共享；密文策略属性基加密系统初始化；数据所有者用户制定访问策略后调用区块链上的加密智能合约实现数据加密；上传加密的数据到云存储服务器；其他数据访问用户向云存储服务器请求下载数据；其他用户的属性集满足访问策略后即可解密加密的数据实现数据共享访问。

本发明所要解决的技术问题是通过这样的技术方案实现的，它包括以下步骤：

步骤1、密文策略属性基加密系统模型的初始化

可信证书授权中心根据用户或属性授权中心提交的身份信息提供唯一的全局身份ID和数字证书；属性授权中心为每个属性指派属性公私钥对，为合法用户分发属性；

步骤2、用户数据加密和上传数据

用户通过对称加密技术加密数据，制定访问策略通过属性加密技术加密对称密钥，得到数据密文和密钥密文；将数据密文和密钥密文通过区块链安全通信网络上传至云上；

步骤3、用户下载数据

用户向云存储服务器请求要访问的数据，云存储服务器核实用户的合法性，如果合法用户则下载数据密文和密钥密文；

步骤4、解密数据

用户的属性密钥集满足数据的访问策略，能通过属性基解密算法获得解密密钥，从而解密出要访问的数据。

与现有技术相比，本发明的技术效果是：

数据所有者用户具有自主控制权：数据拥有者用户通过制定满足自己需求的属性访问策略来实现对自己的数据访问控制，即数据所有者用户确定满足哪些属性集的用户能访问数据；

提高了安全性：数据拥有者用户在上传数据前通过对称密钥加密数据，密文策略属性基加密技术加密密钥，从而阻止云服务商查看用户数据。分享用户只有当其属性集满足访问策略后才可获得解密密钥，从而获得明文数据。

减少了计算与通信量：利用密文策略属性基加密技术实现一次加密，多个满足条件的用户都能解密，极大提高了密钥分发效率，减少了计算开销，同时避免数据拥有者用户与分享用户的频繁通信。

实现了对云服务商行为的合规性检查：利用区块链技术的防篡改特性，通过智能合约编写云服务商共享数据的行为，用户能通过记录检查云服务商执行命令的合规性，从而实现一种安全共享。

附图说明

本发明的附图说明如下：

图1为本实施例的密文策略属性基加密系统模型；

图2为本发明的基于区块链的云数据共享流程图。

具体实施方式

下面结合附图和实施例对本发明作进一步说明：

如图1所示，密文策略属性基加密系统模型（简称“属性基加密系统”）由可信证书授权中心、属性授权中心、包括数据拥有者与数据请求者的用户和云存储服务器等实体组成，同时各个实体间通过底层区块链平台，例如以太坊Ethereum或超级账本Hyperledger构成区块链网络实体。

可信证书授权中心选择安全参数初始化属性基加密系统，生成公开参数，通过可信证书授权中心、属性授权中心、用户和云存储服务器之间构成的区块链网络，调用参数分发智能合约传递给属性基加密系统中的各个实体，用户分为数据拥有者用户和数据请求者用户。同时可信证书授权中心对用户和属性授权中心依据它们的角色或身份信息进行合法性与真实性认证，颁发数字证书和指派属性基加密系统全局唯一的标识ID。

每个属性授权中心为自己所管理的属性集进行指派属性公钥，例如，身份授权中心只管理角色和身份证属性，为这两个属性指派属性公钥，然后调用公钥发布智能合约将附有发布时间的属性公钥信息发布在区块链上，最后根据每个用户的标识分配独一无二的属性私钥集。

数据所有者用户制定访问策略后调用区块链上的加密智能合约实现数据加密；上传加密的数据到云存储服务器；数据请求用户向云存储服务器请求下载数据；数据请求用户的属性集满足访问策略后即可解密加密的数据实现数据共享访问。

如图2所示，本发明包括以下步骤：

步骤1、密文策略属性基加密系统的初始化，具体步骤如下：

第一步，可信证书授权中心初始化属性基加密系统，随后调用参数分发智能合约，将公共参数分发给属性基加密系统中的各个实体。其中，属性基加密系统的公共参数一般包括双线性映射以及群的阶与群的生成元,具体参数可依据加密方案设计时具体选定，这些公共参数主要作为除初始化以外其他步骤的基础参数；

参数分发智能合约是在区块链平台中提前编写的，比如在超级账本中使用go语言编写，其主要作用是将公共参数通过区块链网络安全传输到各实体，同时对合约执行这一操作历史进行记录以便问责。

第二步，用户或属性授权中心首先向可信证书授权中心发出请求，提交自己的身份或角色信息到可信证书授权中心，然后可信证书授权中心核实用户或属性授权中心的身份，如果用户或属性授权中心提交的身份证明信息与可信证书授权中心存储的身份信息是匹配的，则该用户或授权中心是合法的，否则是不合法的。最后，可信证书授权中心为合法的用户或属性授权中心分发自己签名的数字身份证书和指派属性基加密系统中唯一的身份标识ID。

第三步，用户向属性授权中心发出属性请求，属性授权中心在接收到用户请求后，根据用户的身份分配相应的属性，用户最终从各个属性授权中心获得的属性密钥构成用户自己的属性密钥集。用户的身份可依据不同应用环境下的属性基加密系统具体设置，比如身份包括姓名、身份证号等信息；用户的属性可按照用户身份分配给用户属性，比如采用公司的员工编号作为每位在职员工指派唯一的编号。

第四步，属性授权中心向可信证书授权中心认证自己的身份后，每个属性授权中心首先负责为自己所管理的每个属性分配属性公钥，然后调用公钥发布智能合约将属性公钥信息和发布时间发布到区块链上，使用户能查看属性公钥信息，属性授权中心根据用户的ID给每个用户分配属性私钥。

公钥发布智能合约是在区块链平台中提前编写的，比如在超级账本中使用go语言编写，该合约主要作用在于将属性公钥发布在区块链上，连同包含属性公钥的时间信息以便用户能通过时间来确定最新发布的属性公钥，同时属性公钥借助区块链技术保证防篡改的，进而增强系统安全性。

步骤2、用户数据加密和上传数据

用户选择要上传的数据，根据访问逻辑粒度划成不同的数据域，使用对称加密技术加密每个数据域，常用对称加密算法有AES、IDEA与3DES，用户根据自己需求选择对称加密算法。

用户按照需要向哪些用户提供数据访问权利，制定数据的访问策略集，每个访问策略对应不同的数据域，规定了拥有哪些属性的用户才能解密对应的加密数据,比如重庆大学学生论文只允许重庆大学的教授查看,则学生可选取访问策略：（重庆大学 and 教授）；用户根据公开参数调用加密智能合约加密对称加密密钥。之后用户将对称加密得到的数据密文和属性加密得到的密钥密文上传到云存储服务器中。加密智能合约是在区块链平台提前编写以方便用户调用，比如在超级账本中使用go语言编写，该合约主要作用在于将用户要共享的数据加密，同时将用户操作信息存储在区块链上保证用户加密的合规性。

上传数据的步骤是：

第一步，用户与云存储服务器相互认证身份，身份认证方式有很多种比如Kerboros；

第二步，用户调用密文存储智能合约将密钥密文和数据密文通过区块链网络安全发送到云存储服务器并进行存储。

密文存储智能合约是在区块链平台提前编写以方便用户调用，比如在超级账本中使用go语言编写，该合约主要作用是将密文通过区块链网络安全传输给云存储服务器；

第三步，云存储服务器添加数据密文和用户信息进入用户数据关联表中。

步骤3、用户下载数据

数据请求用户向云存储服务器发送数据访问请求。首先云存储服务器检查用户的数字证书的正确性与时效性，如果用户的身份与证书都是有效合法的，则允许用户下载数据，否则不允许用户下载数据。

第一步，用户向云存储服务器发出下载数据请求，同时向云存储服务器提交自己的身份证明信息，其中，为保证数据用户身份证明信息的保密性，身份证明信息是先经过非对称加密的，然后发送给云存储服务器；

第二步，在获得用户提交的身份证明信息后，云存储服务器通过用户的公钥信息解密获得身份证明信息，然后进行真实性核查；

第三步，如果用户身份核实合法，则云存储服务器授权该用户下载密文数据的权利。

步骤4、解密数据

在步骤1中，用户获得属性集后，根据自己的属性集进行解密，解密过程包括首先判断属性集是否满足密文数据中的访问策略，如果不满足则停止下一步的解密，否则，通过自己的属性集解密获得解密密钥集；最后根据用户的解密密钥集解密密文数据得到各个明文数据域，就实现了数据拥有者与用户的安全共享。

第一步，将密文数据中的访问策略与用户自己的属性集进行匹配，其中访问策略有简单的门限访问结构，也有复杂的树访问结构与线性秘密共享方案，因而匹配过程可参考Shamir、Goyal与Chase等人提出的算法，比如访问策略是门限结构则将密文访问策略与用户属性集进行比较，看相同属性的个数是否大于数据拥有者用户设定的阈值。

第二步，若属性集满足密文数据中的访问策略后，则调用属性基解密智能合约解密得到数据解密密钥。

属性基解密智能合约是在区块链平台提前编写，比如在超级账本中使用go语言编写解密算法，该智能合约主要作用在于将加密数据解密实现数据共享访问，同时将用户的解密操作行为信息存储在区块链上，以阻止恶意用户进行频繁地解密，最终提高系统安全性；

第三步，通过解密密钥解密得到数据。

Claims (5)

1.一种基于区块链的云数据安全共享方法，其特征是，包括以下步骤：

步骤1、密文策略属性基加密系统模型的初始化

可信证书授权中心调用参数分发智能合约将初始化的公共参数分发给属性基加密系统中的各个实体，根据用户或属性授权中心提交的身份信息提供唯一的全局身份ID和数字证书；

属性授权中心为每个属性指派属性公私钥对，为合法用户分发属性，属性授权中心调用公钥发布智能合约将属性公钥信息和发布时间发布到区块链上，根据用户的ID给每个用户分配属性私钥；

步骤2、用户数据加密和上传数据

用户通过对称加密技术加密数据，制定访问策略，用户根据公共参数调用加密智能合约通过属性加密技术加密对称密钥，得到数据密文和密钥密文，调用密文存储智能合约将数据密文和密钥密文通过区块链安全通信网络上传至云上；

步骤3、用户下载数据

用户向云存储服务器请求要访问的数据，云存储服务器核实用户的合法性，如果合法用户则下载数据密文和密钥密文；

步骤4、解密数据

用户的属性密钥集满足数据的访问策略，调用属性基解密智能合约，通过属性基解密算法获得解密密钥，从而解密出要访问的数据。

2.根据权利要求1所述的基于区块链的云数据安全共享方法，其特征是：在步骤1中，密文策略属性基加密系统初始化包括：

第一步，可信证书授权中心初始化属性基加密系统，随后调用参数分发智能合约，将公共参数分发给属性基加密系统中的各个实体；

第二步，用户或属性授权中心首先向可信证书授权中心发出请求，提交自己的身份或角色信息到可信证书授权中心，然后可信证书授权中心核实用户或属性授权中心的身份合法后，为合法的用户或属性授权中心分发自己签名的数字身份证书和指派属性基加密系统中唯一的身份标识ID；

第三步，用户向属性授权中心发出属性请求，属性授权中心在接收到用户请求后，根据用户的身份分配相应的属性，用户最终从各个属性授权中心获得的属性构成用户自己的属性集；

第四步，属性授权中心向可信证书授权中心认证自己的身份后，每个属性授权中心首先负责为自己所管理的每个属性分配属性公钥，然后调用公钥发布智能合约将属性公钥信息和发布时间发布到区块链上，使用户能查看属性公钥信息，属性授权中心根据用户的ID给每个用户分配属性私钥。

3.根据权利要求2所述的基于区块链的云数据安全共享方法，其特征是：在步骤2中，用户上传数据包括：

第一步，用户与云存储服务器相互认证身份；

第二步，用户调用密文存储智能合约将密钥密文和数据密文通过区块链网络安全发送到云存储服务器并进行存储；

第三步，云存储服务器添加数据密文和用户信息进入用户数据关联表中。

4.根据权利要求3所述的基于区块链的云数据安全共享方法，其特征是：在步骤3中，用户下载数据包括：

第一步，用户向云存储服务器发出下载数据请求，同时向云存储服务器提交自己的身份证明信息；

第二步，云存储服务器通过用户的公钥信息解密获得身份证明信息，然后进行真实性核查；

第三步，如果用户身份核实合法，则云存储服务器授权该用户下载密文数据的权利。

5.根据权利要求4所述的基于区块链的云数据安全共享方法，其特征是：在步骤4中，解密数据包括：

第一步，将密文数据中的访问策略与用户自己的属性集进行匹配；

第二步，若属性集满足密文数据中的访问策略后，则调用属性基解密智能合约解密得到数据解密密钥；

第三步，通过解密密钥解密得到数据。

Images