CN111461710A - 一种基于联盟链的分布式账本访问控制方法 - Google Patents

Abstract

本发明涉及一种基于联盟链的分布式账本访问控制方法，属于区块链技术领域。该方法包括：S1：数据和访问策略初始化；S2：提交阅读访问请求；S3：授予访问权限；S4：数据存取；S5：数据更新删除以及撤销访问。本发明能不限于受信任的集中方来管理和实施访问控制，提高了可访问性和弹性，减少访问延迟，更好的保护数据安全。

Description

一种基于联盟链的分布式账本访问控制方法

技术领域

本发明属于区块链技术领域，涉及基于联盟链的分布式账本访问控制方法。

背景技术

区块链本质上是一种去中心化的、节点与节点之间地位平等的数据库，其概念首次出现在中本聪的《比特币：一种点对点式的电子现金系统》一文中。区块链通过运用加密算法、时间戳、共识机制和奖励机制，帮助陌生的节点建立了信任，目前广泛应用于数字货币以及分布式系统之中。区块链有着匿名性与安全性的特点，避免了中心化带来的数据丢失风险和管理问题。在比特币的基础上，区块链又延伸出超级账本、智能合约等概念。区块链作为中构建信任的核心，共识机制也愈发受到学界关注。

区块链大致可分为两类：公共分类账和许可分类账。这两种类型的分散系统之间最关键的区别是用户是否可以直接加入网络，或者用户是否需要权限和凭据才能加入系统并进行交易。对于公共区块链，用户可以自由加入和离开系统。但是对于许可的区块链，一个人需要获得可以被其他对等方识别的身份，然后才能参与系统。此身份对于签署和验证交易至关重要。许可的区块链更适合企业应用程序，因为参与者通常是预先定义的，内部应用程序对公众的暴露会增加责任。

因此，将区块链共识机制建立在许可的区块链基础上，对于适应企业的应用显得尤为重要。

发明内容

有鉴于此，本发明的目的在于提供一种基于联盟链的分布式账本访问控制方法，不限于受信任的集中方来管理和实施访问控制，能提高可访问性和弹性，减少访问延迟，更好的保护数据安全。

为达到上述目的，本发明提供如下技术方案：

一种基于联盟链的分布式账本访问控制方法，包括以下步骤：

S1：数据和访问策略初始化：根据制定的数据协议一，利用非对称加密来对数据所有者进行访问控制；

S2：提交阅读访问请求：当用户需要访问系统管理的数据文件时，遵循访问控制协议二来获取数据，利用安全密钥体系来保证过程安全；

S3：授予访问权限：访问授权遵循协议三，该协议程序由部署在区块链上的智能合约处理；

S4：数据存取：在授予访问权限已读取数据文件后，请求者遵循协议四进行操作；在此操作过程中，利用拆分密钥及其哈希值进行检查完整性，以检测并避免恶意节点；

S5：数据更新删除以及撤销访问：数据所有者向访问控制策略添加特权字段，确定用户是更新数据文件还是仅读取数据文。

进一步，所述步骤S1具体包括：在不失一般性的情况下，假设系统中的每个参与者都有一个公钥/私钥对(pk,sk)，其中公钥被嵌入到每个人都能识别的证书中，制定的数据协议一为：

需求：根据数据参数data，访问协议policy，整数t、n，有：

c＝Enc_AES(data,dek)

meta_data＝Meta(data)

K＝Split(dek,t,n)

其中，dek是数据标识码，Enc_AES(·)表示对称加密，Meta(·)表示数据信息，Split为密钥拆分，K是分离密钥集，大小为|K|＝n；

数据所有者从账本中选择一个节点集N＝{N₁,…,N_n}，对于节点N_i，有：

hkc_i＝hash(kc_i)

其中，k_i表示第i个密钥，c_i表示第i个密文，hkc_i为第i个密文散列值，

为节点私钥，Enc_asym(·)表示非对称加密，hash(·)表示SHA256加密。

进一步，所述步骤S2中，所述协议二描述的是请求者以保护隐私的方式准备访问数据文件的请求的过程，包括：函数Extract返回存储在访问控制策略中的一组公共密钥，其中包括请求者的公共密钥；请求者为此请求者的请求生成一个新的一次性密钥对(pk_t,sk_t)，并使用环签名方案对请求的公钥pk_t部分进行签名，请求者将请求提交到区块链系统；所述协议二具体表示为：

需求：根据数据文件的身份认证码ID_d，从元数据中获取数据文件ID_d的策略，即：

PK＝Extract(policy)

随机选择临时密钥(pk_t,sk_t)，则

σ＝RingSign(pk_t,PK,sk_requester)

req＝(ID_d,pk_t,PK,σ)

其中，sk_requester表示个人私钥。

进一步，所述步骤S3具体包括：请求已发送到区块链的所有参与节点，每个节点都验证访问请求是应被证实还是被拒绝；如果恶意节点证明非法请求并尝试在区块链上发布响应，则其他节点检测到并拒绝包括相应的交易；因此，只要系统中有足够的诚实节点，此类交易就不会包含在区块链中。如果未授权用户与恶意节点串通，则该节点使用链下通信通道共享其秘密；所述协议三具体表示为：

需求：访问需要参数req；对于账本上每个节点N_i，解析req＝(ID_d,pk_t,PK,σ)，如果PK不属于policy中的文件ID_d，则拒绝访问；如果请求通过验证，则

kc′_i＝Enc_Asym(k_i,pk_t)

提交kc′_i到区块链。

进一步，所述步骤S4具体包括：根据存储系统的实现，以不同方式处理数据获取请求。当使用以主从方式工作的典型分布式存储系统(例如Hadoop)时，获取请求将发送到主节点进行处理。主节点不是直接响应请求，而是先查询区块链，以检查接收到的请求是否已被批准；如果主节点收到肯定的响应，存储系统将指示从节点将数据发送到请求者；所述协议四表示为：令

κ表示请求者接收到的拆分密钥集，当i＝1,|κ|＜t时，k′_i＝Dec_Asym(kc′_i,sk_t)，如果hash(k′_i)＝hkc_i，将k′_i添加到κ，否则结束；当|κ|＝t时，dek＝Reconstruct(k,t,n)，并获取目标文件的密文c，则data＝Dec_AES(c,dek)，否则结束。

进一步，所述步骤S5具体包括：为了支持数据更新，数据所有者向访问控制策略添加特权字段，以确定用户是可以更新数据文件还是仅读取数据文件；数据更新过程类似于协议一中给出的数据提交协议，不同之处在于用户需要提供数据文件的旧版本信息，并且区块链上的节点将根据访问控制检查此请求是否有效；新版本的元数据还包括指向其先前版本的指针。

本发明的有益效果在于：本发明所述方法结合了目前分布式技术，能不限于受信任的集中方来管理和实施访问控制，提高了可访问性和弹性，减少访问延迟，更好的保护数据安全。

本发明的其他优点、目标和特征在某种程度上将在随后的说明书中进行阐述，并且在某种程度上，基于对下文的考察研究对本领域技术人员而言将是显而易见的，或者可以从本发明的实践中得到教导。本发明的目标和其他优点可以通过下面的说明书来实现和获得。

附图说明

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作优选的详细描述，其中：

图1为本发明所述访问控制方法流程图；

图2为访问控制方法架构示意图；

图3为访问控制链结构示意图。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需要说明的是，以下实施例中所提供的图示仅以示意方式说明本发明的基本构想，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

请参阅图1～图3，图1为基于联盟链的分布式账本访问控制方法的流程图，该方法具体包括以下步骤：

S1：数据和访问策略初始化：根据制定的数据协议一，利用非对称加密来对数据所有者进行访问控制。

在不失一般性的情况下，假设系统中的每个参与者都有一个公钥/私钥对(pk,sk)，其中公钥被嵌入到每个人都能识别的证书中，制定的数据协议一为：

需求：根据数据参数data，访问协议policy，整数t、n，有：

c＝Enc_AES(data,dek)

meta_data＝Meta(data)

K＝Split(dek,t,n)

其中，dek是数据标识码，Enc_AES(·)表示对称加密，Meta(·)表示数据信息，Split为密钥拆分，K是分离密钥集，大小为|K|＝n；

数据所有者从账本中选择一个节点集N＝{N₁,…,N_n}，对于节点N_i，有：

hkc_i＝hash(kc_i)

其中，k_i表示第i个密钥，c_i表示第i个密文，hkc_i为第i个密文散列值，

为节点私钥，Enc_asym(·)表示非对称加密，hash(·)表示SHA256加密。

S2：提交阅读访问请求：当用户需要访问系统管理的数据文件时，遵循访问控制协议二来获取数据，利用安全密钥体系来保证过程安全。

协议二描述了请求者以保护隐私的方式准备访问数据文件的请求的过程。具体来说，函数Extract返回存储在访问控制策略中的一组公共密钥，其中包括请求者的公共密钥；请求者为此请求者的请求生成一个新的一次性密钥对(pk_t,sk_t)，并使用环签名方案对请求的公钥pk_t部分进行签名，请求者将请求提交到区块链系统；所述协议二具体表示为：

需求：根据数据文件的身份认证码ID_d，从元数据中获取数据文件ID_d的策略，即：

PK＝Extract(policy)

随机选择临时密钥(pk_t,sk_t)，则

σ＝RingSign(pk_t,PK,sk_requester)

req＝(ID_d,pk_t,PK,σ)

其中，sk_requester表示个人私钥。

S3：授予访问权限：访问授权遵循协议三，该协议程序由部署在区块链上的智能合约处理。

请求已发送到区块链的所有参与节点，每个节点都验证访问请求是应被证实还是被拒绝；如果恶意节点证明非法请求并尝试在区块链上发布响应，则其他节点检测到并拒绝包括相应的交易；因此，只要系统中有足够的诚实节点，此类交易就不会包含在区块链中。如果未授权用户与恶意节点串通，则该节点使用链下通信通道共享其秘密；所述协议三具体表示为：

需求：访问需要参数req；对于账本上每个节点N_i，解析req＝(ID_d,pk_t,PK,σ)，如果PK不属于policy中的文件ID_d，则拒绝访问；如果请求通过验证，则

kc′_i＝Enc_Asym(k_i,pk_t)

提交kc′_i到区块链。

S4：数据存取：在授予访问权限已读取数据文件后，请求者遵循协议四进行操作；在此操作过程中，利用拆分密钥及其哈希值进行检查完整性，以检测并避免恶意节点。

根据存储系统的实现，以不同方式处理数据获取请求。当使用以主从方式工作的典型分布式存储系统(例如Hadoop)时，获取请求将发送到主节点进行处理。主节点不是直接响应请求，而是先查询区块链，以检查接收到的请求是否已被批准；如果主节点收到肯定的响应，存储系统将指示从节点将数据发送到请求者；所述协议四表示为：令

κ表示请求者接收到的拆分密钥集，当i＝1,|κ|＜t时，k′_i＝Dec_Asym(kc′_i,sk_t)，如果hash(k′_i)＝hkc_i，将k′_i添加到κ，否则结束；当|κ|＝t时，dek＝Reconstruct(k,t,n)，并获取目标文件的密文c，则data＝Dec_AES(c,dek)，否则结束。

S5：数据更新删除以及撤销访问：数据所有者向访问控制策略添加特权字段，确定用户是更新数据文件还是仅读取数据文。

为了支持数据更新，数据所有者向访问控制策略添加特权字段，以确定用户是可以更新数据文件还是仅读取数据文件；数据更新过程类似于协议一中给出的数据提交协议，不同之处在于用户需要提供数据文件的旧版本信息，并且区块链上的节点将根据访问控制检查此请求是否有效。版本数据文件的策略。新版本的元数据还包括指向其先前版本的指针。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本技术方案的宗旨和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (6)

1.一种基于联盟链的分布式账本访问控制方法，其特征在于，该方法包括以下步骤：

S1：数据和访问策略初始化：根据制定的数据协议一，利用非对称加密来对数据所有者进行访问控制；

S2：提交阅读访问请求：当用户需要访问系统管理的数据文件时，遵循访问控制协议二来获取数据，利用安全密钥体系来保证过程安全；

S3：授予访问权限：访问授权遵循协议三，该协议程序由部署在区块链上的智能合约处理；

S4：数据存取：在授予访问权限已读取数据文件后，请求者遵循协议四进行操作；在此操作过程中，利用拆分密钥及其哈希值进行检查完整性，以检测并避免恶意节点；

S5：数据更新删除以及撤销访问：数据所有者向访问控制策略加特权字段，确定用户是更新数据文件还是仅读取数据文。

2.根据权利要求1所述的一种基于联盟链的分布式账本访问控制方法，其特征在于，所述步骤S1具体包括：假设系统中的每个参与者都有一个公钥/私钥对(pk,sk)，其中公钥被嵌入到每个人都能识别的证书中，制定的数据协议一为：

需求：根据数据参数data，访问协议policy，整数t、n，有：

c＝Enc_AES(data,dek)

meta_data＝Meta(data)

K＝Split(dek,t,n)

其中，dek是数据标识码，Enc_AES(·)表示对称加密，Meta(·)表示数据信息，Split为密钥拆分，K是分离密钥集，大小为|K|＝n；

数据所有者从账本中选择一个节点集N＝{N₁,…,N_n}，对于节点N_i，有：

hkc_i＝hash(kc_i)

其中，k_i表示第i个密钥，c_i表示第i个密文，hkc_i为第i个密文散列值，

为节点私钥，Enc_asym(·)表示非对称加密，hash(·)表示SHA256加密。

3.根据权利要求2所述的一种基于联盟链的分布式账本访问控制方法，其特征在于，所述步骤S2中，所述协议二描述的是请求者以保护隐私的方式准备访问数据文件的请求的过程，包括：函数Extract返回存储在访问控制策略中的一组公共密钥，其中包括请求者的公共密钥；请求者为此请求者的请求生成一个新的一次性密钥对(pk_t,sk_t)，并使用环签名方案对请求的公钥pk_t部分进行签名，请求者将请求提交到区块链系统；所述协议二具体表示为：

需求：根据数据文件的身份认证码ID_d，从元数据中获取数据文件ID_d的策略，即：

PK＝Extract(policy)

随机选择临时密钥(pk_t,sk_t)，则

σ＝RingSign(pk_t,PK,sk_requester)

req＝(ID_d,pk_t,PK,σ)

其中，sk_requester表示个人私钥。

4.根据权利要求3所述的一种基于联盟链的分布式账本访问控制方法，其特征在于，所述步骤S3具体包括：请求已发送到区块链的所有参与节点，每个节点都验证访问请求是应被证实还是被拒绝；如果恶意节点证明非法请求并尝试在区块链上发布响应，则其他节点检测到并拒绝包括相应的交易；如果未授权用户与恶意节点串通，则该节点使用链下通信通道共享其秘密；所述协议三具体表示为：

需求：访问需要参数req；对于账本上每个节点N_i，解析req＝(ID_d,pk_t,PK,σ)，如果PK不属于policy中的文件ID_d，则拒绝访问；如果请求通过验证，则

k_i＝Dec_Asym(kc_i,sk_Ni)

kc′_i＝Enc_Asym(k_i,pk_t)

提交kc′_i到区块链。

5.根据权利要求4所述的一种基于联盟链的分布式账本访问控制方法，其特征在于，所述步骤S4具体包括：处理数据获取请求时，主节点先查询区块链，以检查接收到的请求是否已被批准；如果主节点收到肯定的响应，存储系统将指示从节点将数据发送到请求者；所述协议四表示为：令

κ表示请求者接收到的拆分密钥集，当i＝1,|κ|＜t时，k′_i＝Dec_Asym(kc′_i,sk_t)，如果hash(k′_i)＝hkc_i，将k′_i添加到κ，否则结束；当|κ|＝t时，dek＝Reconstruct(k,t,n)，并获取目标文件的密文c，则data＝Dec_AES(c,dek)，否则结束。

6.根据权利要求1所述的一种基于联盟链的分布式账本访问控制方法，其特征在于，所述步骤S5具体包括：数据更新时，数据所有者向访问控制策略添加特权字段，以确定用户是可以更新数据文件还是仅读取数据文件；数据更新过程类似于协议一中给出的数据提交协议，不同之处在于用户需要提供数据文件的旧版本信息，并且区块链上的节点将根据访问控制检查此请求是否有效；新版本的元数据还包括指向其先前版本的指针。

Images