CN112329058A - 跨多组织用户信息的访问控制方法、装置和介质 - Google Patents

Abstract

本发明公开了跨多组织用户信息的访问控制方法、装置和介质，属于物联网访问控制技术领域，要解决的技术问题为如何实现安全、去中心化、无信任的多组织间的用户信息的访问。包括如下步骤：初始化联盟管理员节点；通过联盟管理员节点将配置有访问控制策略的智能合约部署于区块链网络中；对于要加入上述联盟的每个组织，选取至少一个服务器作为其组织所有者节点，每个组织所有者节点在上述区块链网络中注册得到一个唯一的账户地址；将验证通过的组织所有者节点相关的账户地址存入联盟成员列表；组织所有者节点将其组织内用户信息分享至区块链网络中；组织所有者节点向联盟管理员节点发出访问其它组织内用户信息的访问请求，通过智能合约对访问请求进行验证，验证通过后，将对应的用户信息返回所述提出访问请求的组织所有者节点。

Description

跨多组织用户信息的访问控制方法、装置和介质

技术领域

本发明涉及物联网访问控制技术领域，具体地说是跨多组织用户信息的访问控制方法、装置和介质。

背景技术

在当下持续发展和动态变化的信息时代，各类领域种类繁多的组织或机构不断涌现。随着这些组织和机构的不断发展以及时间的推移，组织中所包含的用户、资源(例如文件、摄像头等)信息也会持续增加，不可避免的这些用户、资源(传感器、智能设备等)都可以接入到物联网之中，那么与用户有关的信息、资源的信息就可能由各自所属的组织、用户或者设备本身通过物联网将一部分数据上传到网络中，供所有其它组织、用户查看使用，其它的由组织存储自己数据库中进行管理。因此，不同组织之间若想进行资源共享的同时又不受其它无关组织的干扰就需要共享资源的组织双方可以访问对方的数据。

正是由于物联网的连接，在两个或者多个组织之间进行信息资源共享时，又出现了新的挑战。因为组织内的用户、资源等信息并不全部公开可见，这些信息是很重要的甚至有些涉及到组织的机密，只想在特定组织之间进行共享，若是任由其它组织随意查看使用，很显然会导致信息泄露。所以若想要在多个组织之间进行信息共享，就需要一种可信任的安全的访问机制来控制资源请求者的访问。

传统的物联网访问控制方案主要建立在访问控制模型之上，包括基于角色的访问控制模型(RBAC)、基于属性的访问控制模型(ABAC)。在上述方案中，主体的访问权限验证通常是由一个集中的实体进行的，而这个集中的实体往往容易出现单点失效。为了解决这个问题，最近提出了分布式CapBAC模型，在基于CapBAC的方案中，访问权限是基于能力的概念授予主体的，能力是可转让且不可伪造的授权令牌(例如，密钥和票据)，并描述了每个主体的一组访问权限。其中访问权限验证由请求的IoT对象本身执行，而不是由一个集中的实体执行。然而，物联网对象本身通常能力较低，因此很容易受到对手的攻击，因此不能完全信任它们作为访问权限验证实体。因此，分布式CapBAC模型在不可信任的Iot环境中可能无法解决访问控制问题。

基于上述问题，如何实现安全、去中心化、无信任的多组织间的用户信息的访问，是需要解决的技术问题。

发明内容

本发明的技术任务是针对以上不足，提供跨多组织用户信息的访问控制方法、装置和介质，来解决如何实现安全、去中心化、无信任的多组织间的用户信息的访问的问题。

第一方面，本发明提供一种跨多组织用户信息的访问控制方法，包括如下步骤：

初始化联盟管理员节点，所述联盟管理员节点为区块链网络上的节点并拥有区块链网络中的唯一账户地址；

通过联盟管理员节点将配置有访问控制策略的智能合约部署于区块链网络中；

对于要加入上述联盟的每个组织，选取至少一个服务器作为其组织所有者节点，每个组织所有者节点在上述区块链网络中注册得到一个唯一的账户地址；

每个组织所有者节点基于账户地址向联盟管理员节点发出联盟请求，联盟管理员节点对组织所有者节点进行身份验证，并将验证通过的组织所有者节点相关的账户地址存入联盟成员列表，所述联盟成员列表部署于区块链网络中，用于存储联盟内所有服务器的账户地址；

加入联盟后，组织所有者节点将其组织内用户信息分享至区块链网络中，所述用户信息包括用户编号；

组织所有者节点向联盟管理员节点发出访问其它组织内用户信息的访问请求，通过智能合约对访问请求进行验证，验证通过后，将对应的用户信息返回所述提出访问请求的组织所有者节点。

作为优选，所述联盟管理员节点用于对联盟内服务器节点进行编辑操作，包括添加、移除和更新服务器节点。

作为优选，所述区块链网路为测试网络或公共网路。

作为优选，所述用户信息还包括用户角色和用户备注信息。

作为优选，所述组织所有者节点用于且只用于对其组织内用户信息进行编辑操作，包括修改、更新和删除其组织内用户信息。

作为优选，组织所有者节点向联盟管理员节点发出访问其它组织内用户信息的访问请求，通过智能合约对访问请求进行验证，验证通过后，将对应的用户信息返回所述提出访问请求的组织所有者节点，包括如下步骤：

组织所有者节点向联盟管理员发出访问其它组织内用户信息的访问请求，所述访问请求中包括所述提出访问请求的组织所有者节点的账户地址以及待访问用户的用户编号；

基于智能合约内访问控制策略，根据账户地址判断所述提出访问请求的组织所有者节点是否为联盟成员，如果是，判断所述用户编号对应的组织所有者节点是否为联盟成员，如果是，将对应的用户信息返回提出访问请求的组织所有者节点。

第二方面，本发明提供一种装置，包括：至少一个存储器和至少一个处理器；

所述至少一个存储器，用于存储机器可读程序；

所述至少一个处理器，用于调用所述机器可读程序，执行第一方面任一所述的方法。

第三方面，本发明提供一种介质，为计算机可读介质，所述计算机可读介质上存储有计算机指令，所述计算机指令在被处理器执行时，使所述处理器执行第一方面任一所述的方法。

本发明的跨多组织用户信息的访问控制方法、装置和介质具有以下优点：

1、采用了区块链技术，相对于传统访问控制方案中的中心实体，完美解决了单点失败问题，使得用户信息更加安全；

2、通过建立联盟的方式对多个组织进行集中管理，通过预定义在智能合约中的访问控制策略自动对服务器节点的用户信息访问请求进行判断，并给出结果，不需要第三方实体的参与，增加了用户信息访问的效率；

3、由于所有访问策略都定义在智能合约中，智能合约自动执行，所以联盟中组织之间不需要任何信任关系，只要符合智能合约中预定的规则就可以成功请求到用户的各项信息；

4、虽然服务器节将相关的用户信息添加进入了联盟，但是只有该服务器节点可以对用户进行更新、删除操作，该服务器节点仍然保留它所添加进入联盟的用户的控制权。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

下面结合附图对本发明进一步说明。

图1为实施例1跨多组织用户信息的访问控制方法的流程框图；

图2为实施例1跨多组织用户信息的访问控制方法的原理框图；

其中，Manager表示联盟管理员节点；

Owner表示组织所有者节点；

Company-A表示组织A；

Company-B表示组织B；

Mlti-organizations表示多组织联盟；

Blockchain Network表示区块链网络；

Block A表示区块链中的一个区块A；

Block B表示区块链中的一个区块B；

Block C表示区块链中的一个区块C；

addUser表示添加用户信息，由组织所有者节点进行添加用户信息操作；

Registration表示注册请求，组织所有者节点向联盟管理员节点申请注册加入联盟；

getUser表示访问请求，组织A的所有者节点请求组织B中的用户信息。

具体实施方式

下面结合附图和具体实施例对本发明作进一步说明，以使本领域的技术人员可以更好地理解本发明并能予以实施，但所举实施例不作为对本发明的限定，在不冲突的情况下，本发明实施例以及实施例中的技术特征可以相互结合。

本发明实施例提供跨多组织用户信息的访问控制方法、装置和介质，用于解决如何实现安全、去中心化、无信任的多组织间的用户信息的访问的技术问题。

实施例1：

如图1和2所示，本发明的跨多组织用户信息的访问控制方法，包括如下步骤：

S100、初始化联盟管理员节点，上述联盟管理员节点为区块链网络上的节点并拥有区块链网络中的唯一账户地址；

S200、通过联盟管理员节点将配置有访问控制策略的智能合约部署于区块链网络中；

S300、对于要加入上述联盟的每个组织，选取至少一个服务器作为其组织所有者节点，每个组织所有者节点在上述区块链网络中注册得到一个唯一的账户地址对于要加入上述联盟的每个组织，选取至少一个服务器在上述区块链网络上进行注册，注册后每个服务器成为区块链网络上的一个服务器节点，并得到一个唯一的账户地址；

S400、每个组织所有者节点基于账户地址向联盟管理员节点发出联盟请求，联盟管理员节点对组织所有者节点进行身份验证，并将验证通过的组织所有者节点相关的账户地址存入联盟成员列表，上述联盟成员列表部署于区块链网络中，用于存储联盟内所有服务器的账户地址；每个服务器节点基于账户地址向联盟管理员节点发出联盟请求；

S500、加入联盟后，组织所有者节点将其组织内用户信息分享至区块链网络中，上述用户信息包括用户编号通过联盟管理员节点对服务器节点进行身份验证，并将验证通过的服务器节点相关的账户地址存入联盟成员列表中，上述联盟成员列表部署于区块链网络中，用于存储对应联盟内所有服务器节点的账户地址；

S600、组织所有者节点向联盟管理员节点发出访问其它组织内用户信息的访问请求，通过智能合约对访问请求进行验证，验证通过后，将对应的用户信息返回所述提出访问请求的组织所有者节点。

步骤S100中，联盟管理员节点可以由多个组织共同选出，该节点必须是区块链网络上的节点，拥有区块链网络中的唯一账户地址。联盟管理员节点用于对联盟内服务器节点进行编辑操作，包括添加、移除和更新服务器节点。

联盟管理员节点将编写好的智能合约部署到区块链的测试网络中，该智能合约中配置有访问控制策略，当联盟内某个服务器节点想要访问其他组织的用户信息并向联盟管理员提出访问请求后，该智能合约自动对访问请求进行验证，判断上述提出请求的服务器节点以及待访问的用户是否为联盟内成员，如果是，则将相关的用户信息返回上述提出请求的服务器节点。

上述区块链网路可以测试网络或公共网路，本实施例中为测试网络。

步骤S300中，该联盟管理员对加入联盟的组织进行验证，具体的，待加入联盟的组织从其服务器中选择至少一个服务器在上述区块链的测试网路中进行注册，区块链的测试网络向每个注册的服务器返回一个唯一的账户地址，账户地址与组织所有者节点相关联，为组织所有者节点的代表，组织所有者节点可将其组织内用户信息分享至区块链网络中，并只能对其组织内用户信息进行操作编辑操作，例如进行修改、更新和删除等。

想要加入联盟的组织由自身的组织所有者节点向联盟管理员节点发出加入联盟的联盟请求，联盟管理员节点收到组织所有者节点的请求之后，对组织所有者节点的身份等信息进行验证，若验证通过，则将这个组织所有者节点的账户地址加入到联盟成员列表之中，表示这个组织所有者节点成功加入联盟，成为联盟成员。

本实施例中，联盟管理员节点对组织所有者节点进行身份验证，需验证账户地址是否合法，区块链中的地址长度都是规定好的，并验证账户地址是否已经被注册过，以防止出现重复注册。

其中，联盟成员列表部署在区块链的测试网络中，存储联盟内所有组织所有者节点的账户地址均存储在联盟成员列表中。

加入联盟后，组织所有者节点可将其组织内用户信息分享至区块链的测试网络中，并只能对其组织内的用户信息进行修改、更新或删除操作，不能对其它组织内用户信息进行处理操作。

成功加入联盟的组织所有者节点只需要知道所要请求的用户的编号，就可以请求其它组织中的用户信息，由智能合约中定义好的访问控制规则进行判断，若此节点是联盟成员而且所请求的标号确实对应一个用户信息，那么就把这个编号对应的用户各项信息返回给请求者。具体的执行步骤为：

首先，组织所有者节点向联盟管理员发出访问其它组织内用户信息的访问请求，上述访问请求中包括所述提出访问请求的组织所有者节点的账户地址以及待访问用户的用户编号；

基于智能合约内访问控制策略，根据账户地址判断所述提出访问请求的组织所有者节点是否为联盟成员，如果是，判断所述用户编号对应的组织所有者节点是否为联盟成员，如果是，将对应的用户信息返回提出访问请求的组织所有者节点。

上述步骤中的验证部分，包括对组织所有者是否为联盟成员、用户编号是否已被组织所有者节点加入联盟、一个组织所有者节点是否为一个特定用户的所有者都由预定义在智能合约中的访问规则进行判断，并自动执行，不需要任何第三方实体的参与。

实施例2：

本发明的一种装置，包括：至少一个存储器和至少一个处理器；

上述至少一个存储器，用于存储机器可读程序；

上述至少一个处理器，用于调用所述机器可读程序，执行实施例1公开的跨多组织用户信息的访问控制方法。

实施例3：

本发明的介质，为计算机可读介质，该计算机可读介质上存储有计算机指令，上述计算机指令在被处理器执行时，使上述处理器执行实施例1公开的跨多组织用户信息的访问控制方法。具体地，可以提供配有存储介质的系统或者装置，在该存储介质上存储着实现上述实施例中任一实施例的功能的软件程序代码，且使该系统或者装置的计算机(或CPU或MPU)读出并执行存储在存储介质中的程序代码。

在这种情况下，从存储介质读取的程序代码本身可实现上述实施例中任何一项实施例的功能，因此程序代码和存储程序代码的存储介质构成了本发明的一部分。

用于提供程序代码的存储介质实施例包括软盘、硬盘、磁光盘、光盘(如CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RAM、DVD-RW、DVD+RW)、磁带、非易失性存储卡和ROM。可选择地，可以由通信网络从服务器计算机上下载程序代码。

此外，应该清楚的是，不仅可以通过执行计算机所读出的程序代码，而且可以通过基于程序代码的指令使计算机上操作的操作系统等来完成部分或者全部的实际操作，从而实现上述实施例中任意一项实施例的功能。

此外，可以理解的是，将由存储介质读出的程序代码写到插入计算机内的扩展板中所设置的存储器中或者写到与计算机相连接的扩展单元中设置的存储器中，随后基于程序代码的指令使安装在扩展板或者扩展单元上的CPU等来执行部分和全部实际操作，从而实现上述实施例中任一实施例的功能。

需要说明的是，上述各流程和各系统结构图中不是所有的步骤和模块都是必须的，可以根据实际的需要忽略某些步骤或模块。各步骤的执行顺序不是固定的，可以根据需要进行调整。上述各实施例中描述的系统结构可以是物理结构，也可以是逻辑结构，即，有些模块可能由同一物理实体实现，或者，有些模块可能分由多个物理实体实现，或者，可以由多个独立设备中的某些部件共同实现。

以上各实施例中，硬件单元可以通过机械方式或电气方式实现。例如，一个硬件单元可以包括永久性专用的电路或逻辑(如专门的处理器，FPGA或ASIC)来完成相应操作。硬件单元还可以包括可编程逻辑或电路(如通用处理器或其它可编程处理器)，可以由软件进行临时的设置以完成相应操作。具体的实现方式(机械方式、或专用的永久性电路、或者临时设置的电路)可以基于成本和时间上的考虑来确定。

上文通过附图和优选实施例对本发明进行了详细展示和说明，然而本发明不限于这些已揭示的实施例，基与上述多个实施例本领域技术人员可以知晓，可以组合上述不同实施例中的代码审核手段得到本发明更多的实施例，这些实施例也在本发明的保护范围之内。

Claims (8)

1.跨多组织用户信息的访问控制方法，其特征在于包括如下步骤：

初始化联盟管理员节点，所述联盟管理员节点为区块链网络上的节点并拥有区块链网络中的唯一账户地址；

通过联盟管理员节点将配置有访问控制策略的智能合约部署于区块链网络中；

对于要加入上述联盟的每个组织，选取至少一个服务器作为其组织所有者节点，每个组织所有者节点在上述区块链网络中注册得到一个唯一的账户地址；

每个组织所有者节点基于账户地址向联盟管理员节点发出联盟请求，联盟管理员节点对组织所有者节点进行身份验证，并将验证通过的组织所有者节点相关的账户地址存入联盟成员列表，所述联盟成员列表部署于区块链网络中，用于存储联盟内所有服务器的账户地址；

加入联盟后，组织所有者节点将其组织内用户信息分享至区块链网络中，所述用户信息包括用户编号；

组织所有者节点向联盟管理员节点发出访问其它组织内用户信息的访问请求，通过智能合约对访问请求进行验证，验证通过后，将对应的用户信息返回所述提出访问请求的组织所有者节点。

2.根据权利要求1所述的跨多组织用户信息的访问控制方法，其特征在于所述联盟管理员节点用于对联盟内服务器节点进行编辑操作，包括添加、移除和更新服务器节点。

3.根据权利要求1所述的跨多组织用户信息的访问控制方法，其特征在于所述区块链网路为测试网络或公共网路。

4.根据权利要求1所述的跨多组织用户信息的访问控制方法，其特征在于所述用户信息还包括用户角色和用户备注信息。

5.根据权利要求1任一项所述的跨多组织用户信息的访问控制方法，其特征在于所述组织所有者节点用于且只用于对其组织内用户信息进行编辑操作，包括修改、更新和删除其组织内用户信息。

6.根据权利要求1-5任一项所述的跨多组织用户信息的访问控制方法，其特征在于组织所有者节点向联盟管理员节点发出访问其它组织内用户信息的访问请求，通过智能合约对访问请求进行验证，验证通过后，将对应的用户信息返回所述提出访问请求的组织所有者节点，包括如下步骤：

组织所有者节点向联盟管理员发出访问其它组织内用户信息的访问请求，所述访问请求中包括所述提出访问请求的组织所有者节点的账户地址以及待访问用户的用户编号；

基于智能合约内访问控制策略，根据账户地址判断所述提出访问请求的组织所有者节点是否为联盟成员，如果是，判断所述用户编号对应的组织所有者节点是否为联盟成员，如果是，将对应的用户信息返回提出访问请求的组织所有者节点。

7.装置，其特征在于，包括：至少一个存储器和至少一个处理器；

所述至少一个存储器，用于存储机器可读程序；

所述至少一个处理器，用于调用所述机器可读程序，执行权利要求1至6中任一所述的方法。

8.介质，为计算机可读介质，其特征在于，所述计算机可读介质上存储有计算机指令，所述计算机指令在被处理器执行时，使所述处理器执行权利要求1至6任一所述的方法。

Images