CN110278210B - 一种云环境下基于属性的可扩展视频数据访问控制方法 - Google Patents

Abstract

本发明公开了一种云环境下基于属性的可扩展视频数据访问控制方法，属于加密视频数据访问控制技术领域。数据贡献者按层加密编码后的视频数据流，并上传至云媒体中心。用户可以从云媒体中心获取加密视频流，并使用私钥从中解密出能够访问的视频层，并保证访问高质量视频数据流的同时也能访问低质量的视频数据流，符合SVC编码视频的特性，实现SVC编码视频的灵活且高效的访问控制。本发明降低了访问策略的复杂性，无需增加额外的重复属性即可实现对不同质量视频数据流的细粒度访问控制，降低了加密的计算和存储开销。

Description

一种云环境下基于属性的可扩展视频数据访问控制方法

技术领域

本发明属于加密视频数据访问控制技术领域，具体是指一种云环境下基于属性的可扩展视频数据访问控制方法。

背景技术

近年来，随着云计算技术的发展应用和移动社交网络的快速普及，越来越多的媒体数据可以通过多种移动设备进行共享和传播。为了便于不同设备间媒体数据的共享，原始的方法是通过云媒体中心(Cloud Media Center)保存多个质量版本的媒体数据，对应不同的分辨率和帧率等，但是这种方法在海量数据共享中会产生大量的存储开销。可扩展视频编码(SVC)是一种可以将视频流编码出多个视频层的技术，包括一个基本层和多个不同维度的增强层。编码后的视频数据，允许用户有选择性地解码部分或者全部增强层，从而得到不同质量的视频流。

视频流数据中包含大量的用户隐私信息，如何在云媒体服务中保护这些隐私信息引起了广泛关注，比较合适的方法是对视频数据进行加密和细粒度的访问控制，如采用属性加密(ABE)技术。ABE技术在公钥加密算法的思想中引入了访问结构，能够实现细粒度的访问控制，其根据访问结构生成密钥或者密文，使得满足指定访问结构的用户才可以解密，从而控制加密数据只能在满足访问条件的用户集合中共享。

现有技术中，基于密文策略的属性加密(CP-ABE)技术，可以实现视频数据的加密访问控制，如图1所示，涉及的实体包括密钥机构、云媒体中心、数据贡献者和用户，CP-ABE的实现过程包括以下步骤：

1)系统初始化。密钥机构生成系统公钥PK和系统主密钥MK。

2)密钥生成。密钥机构根据系统主密钥MK和每个用户的属性集合生成用户私钥SK并安全地分发给用户。

3)数据加密。数据贡献者为视频数据流w_i定义不同的访问策略T_i，加密得到密文ct_i，并上传密文到云媒体中心。

4)数据解密。用户从云媒体中心获取密文ct_i后，使用私钥SK解密出数据w_i。

采用CP-ABE技术加密在云环境下加密SVC编码视频时，数据贡献者需针对不同质量的数据流单独设置不同的访问策略。然而，这些访问策略在定义时存在包含关系，因为SVC编码视频的高质量层在解码时须能获取低质量层的视频流。因此，该技术将导致加密的SVC编码视频的访问策略中包含大量的重复属性，占用大量的存储开销。

发明内容

为了解决现有技术中存在的问题，本发明提出一种云环境下基于属性的可扩展视频数据访问控制方法，数据贡献者按层加密编码后的视频数据流，并上传至云媒体中心。用户可以从云媒体中心获取加密视频流，并使用私钥从中解密出能够访问的视频层，并保证访问高质量视频数据流的同时也能访问低质量的视频数据流，符合SVC编码视频的特性，实现SVC编码视频的灵活且高效的访问控制。

本发明提供的一种云环境下基于属性的可扩展视频数据访问控制方法，具体包括如下步骤：

第一步，密钥机构系统初始化；

第二步，密钥生成；

第三步，数据加密；

第四步，数据解密。

本发明的优点在于：

与现有云环境下基于密文策略的属性加密技术方案相比，本发明提出一种新的多级访问策略结构，以自顶向下的方式将视频中各质量层的访问策略合并，降低了访问策略的复杂性，无需增加额外的重复属性即可实现对不同质量视频数据流的细粒度访问控制，降低了加密的计算和存储开销。

附图说明

图1是基于CP-ABE的视频数据访问控制架构示意图；

图2是本发明提供的多机访问策略结构示意图；

图3是本发明提供的视频数据访问控制架构示意图。

具体实施方式

下面将结合附图和实施例对本发明作进一步的详细说明。

本发明提供的一种云环境下基于属性的可扩展视频数据访问控制方法，如图2所示，本发明设计了一种多级访问策略结构，将不同视频层的访问树进行整合，用户先满足某视频层对应所有子层的访问策略，再满足该视频层额外的访问策略，才能对该视频层数据进行解密，可适用于可扩展视频编码SVC的访问控制。

以三维SVC编码为例，如图2，A,B,C分别表示相应的三个维度上的视频层个数，SVC编码后的每个视频层可以用m_abc表示，其中a＝0,1,…,A-1，b＝0,1,…,B-1，c＝0,1,…,C-1，本发明定义多级访问策略结构T的级数为W＝A+B+C–2，U_i为第i级包含的视频层的数量。因此，m_abc可表达成w_i,j，其中i表示级数(0≤i＜W)，j表示该视频层在第i级中索引(0≤j＜U_i)。在多级访问策略结构T中，每个视频层w_i,j的访问策略为P_i,j。图2的视频具有5级访问策略，其中视频层w_3,0的访问策略包含了w_2,0,w_2,1,w_2,2三个子层的访问策略，以及相对三个子层额外的访问策略T_3,0；w_2,2的访问策略包含了w_1,1,w_1,2两个子层的访问策略，和相对子层额外的访问策略T_2,2。若某个用户想访问w_2,2，则需要满足w_1,1和w_1,2两个子层的访问策略P_1,1和P_1,2，以及额外的访问策略T_2,2。此外，w_2,2是w_3,0层和w_3,2层的共同子层，如该用户不满足w_2,2的访问策略P_2,2，则w_3,0和w_3,2的访问策略均不能满足，这与SVC编码视频的特性相一致。

基于该多级访问策略结构，本发明提出一种云环境下基于属性的可扩展视频数据访问控制方法，数据贡献者使用多级访问策略一次加密SVC编码视频中的各质量层数据，保证用户在满足高质量层访问策略的同时必定满足低质量层访问策略。

本发明提出的一种云环境下基于属性的可扩展视频数据访问控制方法，涉及的实体包括：密钥机构、云媒体中心、数据贡献者和用户，如图3所示。

(1)密钥机构。密钥机构是可信的第三方，建立系统公钥和系统主密钥。同时，密钥机构为用户分配属性，并生成用户私钥。

(2)云媒体中心。云媒体中心是半可信的第三方，利用丰富的存储资源保存上传的视频内容，并分发给用户。

(3)数据贡献者。数据贡献者使用SVC标准对原始视频进行编码，然后使用多级访问策略T对编码后的视频流的每一层进行加密。

(4)用户。用户解密能满足的访问树对应的视频层(包括基本层和多个增强层)，再通过SVC标准进行解码，以查看不同质量的视频内容。

本发明中涉及到的算法定义如下：

1)系统初始化算法Setup(κ).输入安全参数κ，输出系统公钥PK和系统主密钥MK。

2)私钥生成算法KeyGen(PK,MK,S).输入系统公钥PK，系统主密钥MK和属性集合S，输出用户的私钥SK。

3)加密算法Encrypt(PK,m,T).输入系统公钥PK，SVC编码视频m(包括多个视频层)和多级访问策略T，输出加密后的密文ct。

4)解密算法Decrypt(SK,ct).输入私钥SK和密文ct，输出一组可访问的视频层。

5)对称加密SE算法：使用同一个密钥对数据进行加密和解密，如AES算法。

本发明提出的一种云环境下基于属性的可扩展视频数据访问控制方法，具体包括如下步骤：

第一步，密钥机构系统初始化；

密钥机构运行Setup算法，构造阶为素数p的双线性群

和

的生成元为g，对应的双线性映射为

定义散列函数

随机选择

其中

表示模p的整数集合。公开发布系统公钥

然后，密钥机构生成系统主密钥MK＝(g^α,β,λ)并秘密保存。

第二步，密钥生成；

密钥机构运行KeyGen算法，选择随机数

并为属性集合S中的每个属性x∈S选择随机数

生成私钥

第三步，数据加密；

对于SVC编码视频m中的每一视频层w_i,j，数据贡献者选择随机的对称密钥sk_i,j，先对该视频层运行对称加密SE算法，得到密文头部Hdr_i,j＝SE(w_i,j,sk_i,j)。然后，数据贡献者运行加密算法Encrypt算法，使用访问策略T加密对称密钥sk_i,j。

(1)设N_i,j表示该视频层的子层的数量，首先定义一个N_i,j次多项式q_i,j，并且随机选择

令q_i,j(0)＝s_i,j。当i>0时，对于w_i,j层的子层w_i-1,k，k表示该子层的索引，首先得到子层w_i-1,k在w_i,j中的序号v_k，并通过q_i,j(v_k)得到相应秘密值。

(2)对于w_i,j相对于子层访问策略而言的额外访问树T_i,j，其根节点秘密值为t_i,j＝q_i,j(N_i,j+1)。如果w_i,j是基本层，令t_0,0＝s_0,0。

(3)对于访问树T_i,j的每一个节点x，设th_x表示该节点的门限值，数据贡献者以自顶向下的方式为每个节点x定义一个th_x-1次多项式p_x。对于T_i,j的根节点R_i,j，令

对于其它的节点x，则令p_x(0)＝p_parent(x)(index(x))，并随机选择其他项的参数完成p_x的定义。这里，parent(x)表示节点x的父节点，index(x)表示节点x在父节点中的索引。

(4)设K_i,j是w_i,j层所有子层的序号集合，

是访问树T_i,j中所有叶子节点的集合。数据贡献者为每一层w_i,j生成的密文CM_i,j如下，其中attr_y表示T_i,j中的叶子节点y的属性值：

其中，p_y(0)表示多项式p_y当变量为0时的值。

(5)最终，视频数据m的密文为

第四步，数据解密；

云媒体中心将加密的视频数据分发给不同的用户。如果用户的属性满足相应的访问树，则可以运行解密算法Decrypt算法来解密出一定数量的视频层。

(1)满足单个访问树。定义DecryptNode递归算法，输入密文CM_i,j、私钥SK和访问树中的节点x。如果x是叶子节点，令l＝attr_x，计算如下：

其中，

是私钥SK中的元素。

如果x不是叶子节点，运行DecryptNode算法直至根节点：所有节点x的孩子节点n，都运行DecryptNode(CM_i,j,SK,n)算法，并把结果保存在F_n。令S_x为任意th_x个节点n的集合且F_n不为空。如果集合S_x不存在则结果为空，记为符号“⊥”，否则计算如下：

其中，u＝index(n)为集合S_x中节点n的索引，S′_x＝{index(n):n∈S_x}为S_x中所有节点索引的集合，

因此，如果用户满足访问树T_i，j，则可计算出

(2)满足多级访问策略。用户在解密基本层后，可以执行增强层的解密。定义DecryptLayer递归算法,输入密文CM_i,j，SK，i和j，输出结果Q_i,j。

(2.1)如果i＝0，表明该层是基本层，则设

(2.2)如果i＝1，如果用户能够解密子层(即基本层)，那么按照以下步骤进行计算：

如果用户满足访问树T_i,j，则令

假设S_i,j＝{1,2,...,(N_i,j+1)}，则可以按照如下方法计算Q_i,j：

(2.3)如果i>1，则如果用户可以满足所有子层的访问树和T_i,j，可以按照如下方法计算Q_i,j。

根据以上结果，可得

因此，用户可以使用私钥进一步解密出对应的对称密钥sk_i,j，进而从Hdr_i,j中解密出能够满足的每一层w_i,j。

最终，用户通过SVC解码得到不同质量的视频数据。

Claims (1)

1.一种云环境下基于属性的可扩展视频数据访问控制方法，其特征在于：包括如下步骤，

第一步，密钥机构系统初始化：

密钥机构运行Setup算法，构造阶为素数p的双线性群G₀和G_T，G₀的生成元为g，对应的双线性映射为e:G₀×G₀→G_T；定义散列函数H₁:{0,1}*→G₀，随机选择α,β,λ∈Z_p，其中Z_p表示模p的整数集合；公开发布系统公钥PK＝(G₀,g,e(g,g)^α,h＝g^β,f＝g^λ)；然后，密钥机构生成系统主密钥MK＝(g^α,β,λ)并秘密保存；

第二步，密钥生成：密钥机构运行KeyGen算法，选择随机数γ∈Z_p，并为属性集合S中的每个属性x∈S选择随机数r_x∈Z_p，生成私钥

第三步，数据加密：对于SVC编码视频m中的每一视频层w_i,j，数据贡献者选择随机的对称密钥sk_i,j，先对该视频层运行对称加密SE算法，得到密文头部Hdr_i,j＝SE(w_i,j,sk_i,j)；然后，数据贡献者运行加密算法Encrypt算法，使用访问策略T加密对称密钥sk_i,j；

第三步具体通过如下步骤实现，

(1)设N_i,j表示该视频层的子层的数量，首先定义一个N_i,j次多项式q_i,j，并且随机选择s_i,j∈Z_p，令q_i,j(0)＝s_i,j；当i>0时，对于w_i,j层的子层w_i-1,k，k表示子层的索引，首先得到子层w_i-1,k在w_i,j中的序号v_k，并通过q_i,j(v_k)得到相应秘密值；

(2)对于w_i,j相对于子层访问策略而言的额外访问策略T_i,j，其根节点秘密值为t_i,j＝q_i,j(N_i,j+1)；如果w_i,j是基本层，令t_0,0＝s_0,0；

(3)对于额外访问策略T_i,j的每一个节点x，设th_x表示该节点的门限值，数据贡献者以自顶向下的方式为每个节点x定义一个th_x-1次多项式p_x；对于T_i,j的根节点R_i,j，令

对于其它的节点x，则令p_x(0)＝p_parent(x)(index(x))，并随机选择其他项的参数完成p_x的定义；这里，parent(x)表示节点x的父节点，index(x)表示节点x在父节点中的索引；

(4)设K_i,j是w_i,j层所有子层的序号集合，Υ_i,j是额外访问策略T_i,j中所有叶子节点的集合；数据贡献者为每一层w_i,j生成的密文CM_i,j如下，其中attr_y表示T_i,j中的叶子节点y的属性值：

其中，p_y(0)表示多项式p_y当变量为0时的值；

(5)最终，视频数据m的密文为

第四步，数据解密；

云媒体中心将加密的视频数据分发给不同的用户；如果用户的属性满足相应的额外访问策略，则可以运行解密算法Decrypt算法来解密出一定数量的视频层；

第四步具体通过如下步骤实现，

(1)满足单个额外访问策略；

定义DecryptNode递归算法，输入密文CM_i,j、私钥SK和额外访问策略中的节点x；如果x是叶子节点，令l＝attr_x，计算如下：

其中，

表示私钥SK中的元素，r_l表示随机数；

如果x不是叶子节点，运行DecryptNode算法直至根节点：所有节点x的孩子节点n，都运行DecryptNode(CM_i,j,SK,n)算法，并把结果保存在F_n；令S_x为任意th_x个节点n的集合且F_n不为空；如果集合Sx不存在则结果为空，记为符号“⊥”，否则计算如下：

其中，u＝index(n)为集合S_x中节点n的索引，S_x′＝{index(n):n∈S_x}为S_x中所有节点索引的集合，

因此，如果用户满足额外访问策略T_i,j，则计算出

(2)满足多级访问策略；

用户在解密基本层后，执行增强层的解密；定义DecryptLayer递归算法,输入密文CM_i,j，SK，i和j，输出结果Q_i,j；

(2.1)如果i＝0，表明该层是基本层，则设

(2.2)如果i＝1，如果用户能够解密子层，那么按照以下步骤进行计算：

如果用户满足额外访问策略T_i,j，则令

假设S_i,j＝{1,2,K,(N_i,j+1)}，则可以按照如下方法计算Q_i,j：

(2.3)如果i>1，则如果用户满足所有子层额外访问策略T_i,j，按照如下方法计算Q_i,j：

根据以上结果，得

因此，用户使用私钥进一步解密出对应的对称密钥sk_i,j，进而从Hdr_i,j中解密出能够满足的每一层w_i,j；

最终，用户通过SVC解码得到不同质量的视频数据。

Images