CN110222518A - 基于区块链的可信权能访问控制方法 - Google Patents

Abstract

本发明公开了基于区块链的可信权能访问控制方法，该方法基于分布式环境中的数据系统实现，该系统由前端web页面与区块链两部分组成。由于区块链的特性使其存储性能较弱，本平台只存储了数据访问地址，而不提供数据存储功能。前端由Vue框架以及调用区块链接口的Web3.Js组成，区块链平台使用了以太坊平台，在以太坊平台上使用了solidity语言编写智能合约的逻辑，因为Solidity语言实现图灵完备的智能合约编程，本方法基于以太坊平台部署的私有链。本方法通过权能交换操作上链解决用户间在交换数据后可能产生分歧和冲突，迅速定位问题所在并提供客观、真实有效的证明；大大降低管理成本和维护成本，同时也避免了中心化管理带来的易受攻击及隐私泄漏等风险。

Description

基于区块链的可信权能访问控制方法

技术领域

本发明涉及区块链、访问控制领域和数据共享领域，尤其涉及一种基于权能访问控制的数据共享方法。

背景技术

随着物联网不断的发展，物联网被广泛应用于各个行业，传感器是物联网的重要组成部分,是物联网系统最主要的数据来源。单一传感器采集的感知数据往往无法满足用户需求。物联网真正发挥其价值，在于能够综合利用各种数据和信息。但由于感知设备的海量性、多样性,导致了感知数据的海量性和异构性物联网产生了海量的异构数据，这些异构数据的特点也增加了数据传输和处理的难度，阻碍了数据共享，存在数据孤岛问题。物联网服务于是通过数据处理技术对海量数据进行分析，为用户提供全面多样的信息服务。所以海量的异构数据是整个物联网使用过程中保证物联网上层服务能够实现的基础，而对这些异构数据进行存储和共享是实现物联网功能的基本前提，打破不同数据库当中存在的壁垒，实现物联网异构数据的有效共享，以便更好地为用户提供物联网服务。

所以有必要对物联网环境中产生的数据进行数据共享。而在基于物联网场景中需要选择一种适合分布式的访问控制机制来实现对数据交换。常见的访问控制形式是基于访问控制列表(ACL)，它向特定主题分配访问权限。当主题和资源数量增加时，ACL的管理变得非常复杂。为了减轻简单ACL系统的负担，设计了基于角色的访问控制(RBAC)方法,它将访问权限分配给角色，并将主题分配给角色。当资源数量或管理域的数量增加时，这种方法会导致角色爆炸。基于属性的访问控制(ABAC)方法，需要域内或跨不同域的属性的一致定义。此外，简单的ACL、RBAC和ABAC很难强制执行最少的特权访问。许多在信息技术或计算系统中广泛应用的访问控制机制不适合物联网场景下的对数据交换的管控。

鉴于此，本发明提出了一种在分布式场景下基于权能(Capability Based AccessControl)的访问控制的数据共享方法。虽然现有技术已经实现了数据共享，但是实现的方式大部分都是基于第三方云平台实现数据的发布和接收，或者是在分布式场景下没能够很好的实现数据发布者对数据的可扩展、最小单元权限的访问控制。本方法中，数据发布者与数据请求者通过在区块链平台上进行沟通，在链上与链下实现数据的共享。

发明内容

本发明的目的在于提出一种在分布式环境中数据共享方法，旨在解决分布式环境中的数据共享中存在的数据管控问题，其系统结构图如图1所示。

本发明采用的技术方案为基于区块链的可信权能访问控制方法，该方法基于分布式环境中的数据系统实现，该系统由前端web页面与区块链两部分组成。由于区块链的特性使其存储性能较弱，本平台只存储了数据访问地址，而不提供数据存储功能。前端由Vue框架以及调用区块链接口的Web3.Js组成，区块链平台使用了以太坊(Ethereum)平台，在以太坊平台上使用了solidity语言编写智能合约的逻辑，因为Solidity语言实现图灵完备的智能合约编程，本方法基于以太坊平台部署的私有链。本方法示意图如图3。

分为以下三种角色：

1.数据拥有者

数据拥有者是一个或一组拥有该数据的个人或团体。

2.数据源

数据源是一个提供数据存储、访问权能校验的计算机系统。

3.数据请求者

数据请求者是一个或一组对某个数据资源存在需求的个人或团体。S1)数据拥有者在区块链上注册数据信息；

1)注册数据；

2)添加到数据展示列表中；

S2)数据请求者请求数据；

1)查看已发布数据；

2)注册数据请求；

S3)数据权能控制；

1)同意请求为请求者定制对于权能；

2)拒绝请求为请求者定制返回信息；

3)向请求者发送权能信息；

S4)数据源审核请求权能：

1)数据源校验请求者的请求权能信息；

2)开放请求权能中的数据资源；

3)数据源将访问记录回传给数据拥有者；

S5)权能审计

1)查询数据的权能转移信息；

2)查询用户所创建的权能信息；

S6)权能委托

1)数据拥有者将所创建的权能委托给其他用户；

2)数据拥有者撤销已委托的权能。

上述的步骤中，具体的实现方法如下：

S1)中所述的内容是数据拥有者在本区块链平台中发布数据信息，用于将拥有的数据对外展示基本信息。数据注册信息包括：数据名、数据拥有者地址、数据基本描述信息，具体实际操作如图9所示。

S2)中所述的内容是数据请求在本区块链平台中浏览到所需要的数据，发起数据请求，填写数据请求信息包括：数据名、数据请求者地址、请求者的请求简要信息。如图12所示，组装成一个RequestTiket发向数据拥有者。

S3)中所述的内容是数据拥有者在收到了一个RequestTiket(如图13)，需要对请求信息作出是否授权的判断，如果同意授权，则注册该数据的权能Token到区块链中(在区块链中的Token是被请求者RSA公钥加密的)，存储到数据访问合约中，并增加该请求者到该数据名的可访问名单，将该Token发送给数据请求者。该权能本方法中使用权能Token来表示一个数据请求者对数据资源的请求权限。权能Token的具体内容如下：

其中“sn”表示权能令牌序号，“iss”表示权能Token的颁发者，“aud”表示该数据源地址，“dataName”表示数据名，“issue_time”表示颁发时间，“expire_time”表示过期时间，“cnf”表示本Token采用的加密方式与加密钥匙、“hash”表示该Token的数据hash值(用来校验提供的数据是否被篡改)。本方法不仅将Token发到请求者，也加密存储到了数据访问合约中。首先是为了让请求者了解自己拥有了哪些权限，然后也为了防止请求者私自修改所赋予的权限。

S4)中所述的内容前提是：数据请求者拿到了该数据的访问权能，在请求数据源时，请求者者要填写自己的地址、请求的数据名与自己的RSA私钥。数据访问合约先校验该请求数据名对应的请求名单是否包含当前请求地址，然后使用RSA私钥将对应的权能进行解密，根据权能中的动态权限返回相应的信息，比如只读数据的某部分，或全部可读等细粒度权限。

S5)中所述的内容是：用户可以根据时间段、数据名来查看数据权能记录和转移权能的记录。

S6)中所述的内容是：数据拥有者可以将所创建的权能归属权委托给另一个用户，实现方法是在创建的Token中加一个委托人键值对。撤销委托也是在之前的Token中删除之前添加的委托人。

本发明中提出的基于区块链的可信权能控制方法的具体实现模块如图2所示。

与现有区块链访问控制方法相比，本发明的有益效果是：

(1)本发明所述的方法是在普通配置的计算机上安装完成的，而计算机越来越普及，因此本发明具有便捷性。

(2)本发明所述内容中的基于权能的数据交换方法，相较于其他访问控制方法，更适合物联网场景中，数据异构、权限动态可扩展、最小权限粒度的数据交换服务。

(3)本发明所述方法通过权能交换操作上链解决用户间在交换数据后可能产生分歧和冲突，迅速定位问题所在并提供客观、真实有效的证明。

(4)本发明所述内容是基于去中心化模式设计的，有效的保证授权信息的安全性和系统服务的稳定性，大大降低的管理成本和维护成本，同时也避免了中心化管理带来的易受攻击及隐私泄漏等风险。

(5)本发明设计及实现基于区块链技术，区块链技术的数据真实、透明、防篡改、可追溯等特性为物联网数据交换提供安全的运行平台，智能合约使服务实体规范自动执行，为服务运营商提供快捷，简便的实现方法。

附图说明

图1为系统架构图。

图2为系统模型图。

图3为本方法示意图。

图4为用户注册流程图。

图5为权能信息注册流程图。

图6为权能控制流程图。

图7为获取数据流程图。

图8为用户信息注册示意图。

图9为用户发布数据示意图

图10为用户注册权能示意图。

图11为用户已发布数据列表示意图。

图12为用户数据请求注册示意图。

图13为用户权能授权示意图。

图14为用户获取数据示意图。

图15为权能委托示意图。

具体实施方式

为了更加简明，清晰的描述本发明的内容和目标，下面将结合附图对本发明做进一步的说明。实施案例的具体步骤如下：

步骤001：用户注册，其他步骤均会验证该账户地址是否注册，如图7所示。

步骤002：用户A将拥有的数据信息进行数据注册、权能注册，如图9所示。

步骤003：用户B查看已发布的数据，如图10所示。

步骤004：用户B发现需要的数据，注册数据请求，系统自动将该请求添加到所请求数据的请求列表中。如图11所示。

步骤005：在权能控制页面中用户A审核用户B的请求，如果同意点Commit,不同意点Deny。

步骤006：如果用户A同意请求，用户B在获取数据页面，可以获得数据的访问连接。

步骤007：用户A将已发布数据的权限控制委托给其他用户。

步骤008：用户查看已发布数据交换记录。

步骤009：用户查看两个账户之间的交易信息。

本发明的实施案例在某大学中使用10个Crossbow节点搭建的WSN网络采集温湿度，光照度等环境数据，通过无线网络将数据传入服务器。使用5台8G内存1T硬盘的戴尔笔记本作为实验的物理设备，分别在每台计算机中使用go-ethereum v1.8.23客户端创建以太坊节点以搭建实验所需的以太坊私有网络。数据拥有者通过步骤002将采集的数据注册到系统中，通过智能合约将数据信息写入区块链中。数据消费者通过003步骤查看数据列表，通过步骤4发起数据请求任务。数据拥有者通过步骤005对请求数据用户进行授权控制，006为数据请求用户在请求成功后可以获取数据。

Claims (7)

1.基于区块链的可信权能访问控制方法，其特征在于：该方法基于分布式环境中的数据系统实现，该系统由前端web页面与区块链两部分组成；由于区块链的特性使其存储性能较弱，本平台只存储了数据访问地址，而不提供数据存储功能；前端由Vue框架以及调用区块链接口的Web3.Js组成，区块链平台使用了以太坊平台，在以太坊平台上使用了solidity语言编写智能合约的逻辑，因为Solidity语言实现图灵完备的智能合约编程，本方法基于以太坊平台部署的私有链；

分为以下三种角色：

数据拥有者

数据拥有者是一个或一组拥有该数据的个人或团体；

数据源

数据源是一个提供数据存储、访问权能校验的计算机系统；

数据请求者

数据请求者是一个或一组对某个数据资源存在需求的个人或团体；

该方法的具体实现步骤如下，

S1)数据拥有者在区块链上注册数据信息；

1)注册数据；

2)添加到数据展示列表中；

S2)数据请求者请求数据；

1)查看已发布数据；

2)注册数据请求；

S3)数据权能控制；

1)同意请求为请求者定制对于权能；

2)拒绝请求为请求者定制返回信息；

3)向请求者发送权能信息；

S4)数据源审核请求权能：

1)数据源校验请求者的请求权能信息；

2)开放请求权能中的数据资源；

3)数据源将访问记录回传给数据拥有者；

S5)权能审计

1)查询数据的权能转移信息；

2)查询用户所创建的权能信息；

S6)权能委托

1)数据拥有者将所创建的权能委托给其他用户；

2)数据拥有者撤销已委托的权能。

2.根据权利要求1所述的基于区块链的可信权能访问控制方法，其特征在于：S1)中所述的内容是数据拥有者在本区块链平台中发布数据信息，用于将拥有的数据对外展示基本信息；数据注册信息包括：数据名、数据拥有者地址、数据基本描述信息。

3.根据权利要求1所述的基于区块链的可信权能访问控制方法，其特征在于：S2)中所述的内容是数据请求在本区块链平台中浏览到所需要的数据，发起数据请求，填写数据请求信息包括：数据名、数据请求者地址、请求者的请求简要信息；组装成一个RequestTiket发向数据拥有者。

4.根据权利要求1所述的基于区块链的可信权能访问控制方法，其特征在于：S3)中所述的内容是数据拥有者在收到了一个RequestTiket，需要对请求信息作出是否授权的判断，如果同意授权，则注册该数据的权能Token到区块链中，存储到数据访问合约中，并增加该请求者到该数据名的可访问名单，将该Token发送给数据请求者；该权能本方法中使用权能Token来表示一个数据请求者对数据资源的请求权限；权能Token的具体内容如下：

其中“sn”表示权能令牌序号，“iss”表示权能Token的颁发者，“aud”表示该数据源地址，“dataName”表示数据名，“issue_time”表示颁发时间，“expire_time”表示过期时间，“cnf”表示本Token采用的加密方式与加密钥匙、“hash”表示该Token的数据hash值(用来校验提供的数据是否被篡改)；本方法不仅将Token发到请求者，也加密存储到了数据访问合约中；首先是为了让请求者了解自己拥有了哪些权限，然后也为了防止请求者私自修改所赋予的权限。

5.根据权利要求1所述的基于区块链的可信权能访问控制方法，其特征在于：S4)中所述的内容前提是：数据请求者拿到了该数据的访问权能，在请求数据源时，请求者者要填写自己的地址、请求的数据名与自己的RSA私钥；数据访问合约先校验该请求数据名对应的请求名单是否包含当前请求地址，然后使用RSA私钥将对应的权能进行解密，根据权能中的动态权限返回相应的信息，比如只读数据的某部分，或全部可读细粒度权限。

6.根据权利要求1所述的基于区块链的可信权能访问控制方法，其特征在于：S5)中所述的内容是：用户可以根据时间段、数据名来查看数据权能记录和转移权能的记录。

7.根据权利要求1所述的基于区块链的可信权能访问控制方法，其特征在于：S6)中所述的内容是：数据拥有者将所创建的权能归属权委托给另一个用户，实现方法是在创建的Token中加一个委托人键值对；撤销委托也是在之前的Token中删除之前添加的委托人。