CN112532591B - 跨域访问控制方法、系统、存储介质、计算机设备及终端 - Google Patents

跨域访问控制方法、系统、存储介质、计算机设备及终端 Download PDF

Info

Publication number
CN112532591B
CN112532591B CN202011232864.8A CN202011232864A CN112532591B CN 112532591 B CN112532591 B CN 112532591B CN 202011232864 A CN202011232864 A CN 202011232864A CN 112532591 B CN112532591 B CN 112532591B
Authority
CN
China
Prior art keywords
attribute
domain
certificate
access control
cross
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202011232864.8A
Other languages
English (en)
Other versions
CN112532591A (zh
Inventor
樊凯
白黎阳
白宇晗
杜凌伟
李晖
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xidian University
Original Assignee
Xidian University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xidian University filed Critical Xidian University
Priority to CN202011232864.8A priority Critical patent/CN112532591B/zh
Publication of CN112532591A publication Critical patent/CN112532591A/zh
Application granted granted Critical
Publication of CN112532591B publication Critical patent/CN112532591B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明属于智慧城市信息处理技术领域，公开了一种跨域访问控制方法、系统、存储介质、计算机设备及终端，利用属性基加密技术可以实现用户间的细粒度访问控制；外包服务器的加入可以降低用户计算负担，提高系统运算效率；属性证书的应用提高了访问效率和跨域访问控制的安全性；属性映射方法的加入可以适配于多个控制域的环境，实现用户间高效的跨域访问控制。系统包括：属性证书引入模块；初始化模块；数据加密模块；单域访问控制模块；跨域访问控制模块。本发明的方案具有统一的优势，既可以实现单个域内的访问，又能解决跨域访问控制问题。该方案因为外包服务器的引入，属性映射模块的设计和属性证书的应用具有较好的安全性和高效性。

Description

跨域访问控制方法、系统、存储介质、计算机设备及终端
技术领域
本发明属于智慧城市信息处理技术领域，尤其涉及一种跨域访问控制方法、系统、存储介质、计算机设备及终端。
背景技术
目前：随着城市规模和数量的增加，城市地区的服务面临着巨大的挑战，面对有限的资源和空间，智慧城市通过数字化的技术手段提高城市的管理运作效率。为了提高安全性和高效性，大量数据会放在云环境中进行处理。在传统方案中，每个云系统都有其自己的一组访问控制策略，这些策略主要针对集中式应用程序域。然而，海量数据需求，激增的交互需求以及智能城市中不断变化的环境因素，使得集中管理效率相对较低，因此，在智慧城市的建设中，通过将庞大的设备组和用户需求划分为不同的域进行管理，这种对具有并行和分布式架构的计算视角可以使智慧城市的管理更加智能，高效和便捷。在不同的管理域中，每个云系统都自成一套访问控制策略，当用户想要进行外域的访问时，是需要新的访问控制策略来进行处理。同时，为了保护用户的隐私，在域中传输数据时需要对其进行加密。传统方法是使用对称或非对称加密算法，但该方法不适用于智能城市中的复杂场景。近年来，一种适用于一对多场景的密文策略属性基加密算法(CP-ABE)被应用到数据安全传输过程中，该算法中访问结构和属性集隐含在密文和密钥中，在系统中，用户的身份信息由一系列属性组成，它主要通过用户的属性处理访问控制。用户属性的安全性管理和算法效率的提升将提高系统的安全性和高效性。
通过上述分析，现有技术存在的问题及缺陷为：在分布式的多域环境下，对原本独立安全的单个域而言，如何构建安全高效的跨域访问控制模型进而与外域进行安全交互成为研究难点。
解决以上问题及缺陷的难度为：系统如何实现域内数据传输过程的访问控制，如何安全高效地在多域的分布式环境中进行跨域访问等这些问题为现有的访问控制方案带来的困难。
解决以上问题及缺陷的意义为：安全高效的跨域访问控制方案适应于现阶段分布式的应用环境，构建跨域访问控制模型可以实现多个管理域的安全交互，实现不同访问控制机制下的数据安全传输和交互。
发明内容
针对现有技术存在的问题，本发明提供了一种跨域访问控制方法、系统、存储介质、计算机设备及终端。
本发明是这样实现的，一种跨域访问控制方法，所述跨域访问控制方法包括：
引入改进的属性证书，证书内容包括用户的身份信息、公钥信息，唯一的证书的序列号、证书的有效使用期限、属性的相关信息、使用域、签发单位、签发单位的公钥信息以及证书类型；其中，证书类型分为根证书R和叶子证书L，用来防止权限渗透；
在起始阶段对系统进行初始化，包括全局参数初始化、属性授权中心初始化和用户密钥生成；
数据拥有者使用混合加密的方式加密数据，其中用对称加密算法加密明文，然后在外包服务器ESP的帮助下使用属性基加密加密对称密钥，将加密文件上传至云服务器；
当数据使用者和拥有者在同一个域内时，属于单域的访问控制，利用属性证书，合法用户在代理服务器DSP的帮助下解密密文获得对称密钥，得到明文数据；
当数据拥有者和申请数据的用户在不同域内时，符合分布式的系统架构，属于跨域访问控制；利用可信第三方和属性映射中心完成属性映射，获得新的跨域属性证书，进行新的认证，得到新的属性密钥进行属性基解密得到明文。
进一步，属性证书的改进使用具体包括：属性证书的内容包括用户的身份信息、公钥信息，唯一的证书的序列号、证书的有效使用期限、属性的相关信息、使用域、签发单位、签发单位的公钥信息以及证书类型；其中，证书类型分为根证书R和叶子证书L，主要用来防止权限渗透。根证书R由本域内的CA签发，叶子证书L由域间的可信第三方TTP签发。叶子证书只能由根证书生成，叶子证书不能生成叶子证书；
域中的合法用户向CA发送自己的身份信息、属性信息、公私钥对信息；CA验证用户合法且信息正确，则为用户颁发属性证书，属性证书为cert，通过hash运算后，CA通过自己的私钥进行RSA加密，结果为S，CA向用户发送(cert，S)这样结构的文件cert(R)给用户；在域内访问上，用属性证书进行身份验证，多域中做跨域使用。
进一步，初始化和密钥生成包括：
步骤一，对于每个域中的密钥分发中心TA，首先构造乘法循环有限群G0,再用双线性映射函数生成有限域G1:G0×G0＝G1；构造乘法循环有限域，随机选择m，n∈ZP ＊，计算MSK＝{m，n}；计算gn，e(g,g)m，对于每个属性ai∈A，随机选择ti∈ZP，计算Xi＝gti；改造访问控制树结构，引入保护属性，对于保护属性b，随机选择tb∈ZP，计算Xb＝gtb；得到：
MSK＝{m，n}；
Figure BDA0002765784540000031
步骤二，密钥生成过程由本地的密钥分发中心和域内的密钥生成外包服务器共同生成，对于密钥分发中心TA，随机选择随机选r∈ZP，计算
Figure BDA0002765784540000032
其次，对于b，随机选择rb∈ZP，计算SKb＝{grb,gr*Xb rb}；
步骤三，密钥生成外包服务器TSP进行外包计算，随机选择ri∈ZP，计算
Figure BDA0002765784540000041
结果返回给密钥分发中心TA；
步骤四，密钥分发中心TA得到属性密钥SK＝{SKr,SKa,SKb}。
进一步，数据加密，具体包括：
步骤一，对于文件M，数据拥有者DO首先用对称密钥k用AES加密算法加密文件M；
步骤二，数据拥有着在外包加密服务器的帮助下进行数据加密；首先，DO加密时需要选择访问控制树T，包括Ta、Tb、Sa、Sb；其次，DO本地选择s∈ZP ＊，本地计算CTk＝{gn*s,K*e(g,g)m*s}；DO利用Sb的值，计算CTb＝{gsb,Xb sb}；
步骤三，外包加密服务器进行外包计算，利用Sa、Ta，推断出所有叶子节点的si，计算
Figure BDA0002765784540000042
将结果返回给DO；
步骤四，最后数据拥有者可以得到加密后的密文CT＝{CTk，CTa,CTb}。
进一步，单域下的数据解密具体包括：
步骤一，对于外包解密服务器DSP，用户DU上传SKa、SKb、CT、T；
步骤二，外包解密服务器DSP本地进行解密计算：
Decrypt(CT,T)＝e(g,g)r*s＝D，并将该结果返回给用户DU；
步骤三，用户在本地进行解密计算：
Figure BDA0002765784540000043
得到属性基加密的对称密钥k；
步骤四，用户利用对称密钥进行对称解密即可得到明文信息。
进一步，不同域下跨域访问控制具体包括：
步骤一，构造属性表存储模块，属性表存储模块存储的是域与域之间的属性转换关系，采用B+树的索引结构，定位到相关的属性映射表；最后找到这样的属性映射表，属性映射模块进行对应，提取相应属性；
步骤二，属性映射表的构造，存储表为是一个二维的矩阵，第一列和第一行分别记录了两个域源域Ds、目标域Dt中的所有属性；表中的数字记录了属性间的相互映射关系；其中1表示完全映射，0表示不能映射，介于0、1之间的数字表示部分映射；
步骤三，在属性映射服务模块中引入缓冲区，属性映射模块将可信第三方TTP提交的证书中相关的域信息、属性信息进行提取，定位属性表；将定位的映射表中的属性信息进行提取整理，最终交付给TTP；其中，考虑到在多域环境中，进行跨域访问控制的往往是固定的几个常用域，在属性映射服务模块有一个缓冲区，存储有常用的域间映射表，在做属性映射的时候会先在该缓冲区中寻找相应的属性映射表；
步骤四，根据请求用户的属性证书cert(R)进行属性映射，并制作新的证书。在属性映射中心和TTP的共同参与下完成属性映射；根据新的映射属性为请求用户制作新的跨域证书cert(L)；
步骤五，拥有跨域属性证书的用户可以直接利用证书去目标域向该域中的TA请求进行数据访问，此后的访问过程同单域的数据解密情况相同。
本发明的另一目的在于提供一种计算机设备，所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行如下步骤：
引入改进的属性证书，证书内容包括用户的身份信息、公钥信息，唯一的证书的序列号、证书的有效使用期限、属性的相关信息、使用域、签发单位、签发单位的公钥信息以及证书类型；其中，证书类型分为根证书R和叶子证书L，用来防止权限渗透；
在起始阶段对系统进行初始化，包括全局参数初始化、属性授权中心初始化和用户密钥生成；
数据拥有者使用混合加密的方式加密数据，其中用对称加密算法加密明文，然后在外包服务器ESP的帮助下使用属性基加密加密对称密钥，将加密文件上传至云服务器；
当数据使用者和拥有者在同一个域内时，属于单域的访问控制，利用属性证书，合法用户在代理服务器DSP的帮助下解密密文获得对称密钥，得到明文数据；
当数据拥有者和申请数据的用户在不同域内时，符合分布式的系统架构，属于跨域访问控制；利用可信第三方和属性映射中心完成属性映射，获得新的跨域属性证书，进行新的认证，得到新的属性密钥进行属性基解密得到明文。
本发明的另一目的在于提供一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行如下步骤：
引入改进的属性证书，证书内容包括用户的身份信息、公钥信息，唯一的证书的序列号、证书的有效使用期限、属性的相关信息、使用域、签发单位、签发单位的公钥信息以及证书类型；其中，证书类型分为根证书R和叶子证书L，用来防止权限渗透；
在起始阶段对系统进行初始化，包括全局参数初始化、属性授权中心初始化和用户密钥生成；
数据拥有者使用混合加密的方式加密数据，其中用对称加密算法加密明文，然后在外包服务器ESP的帮助下使用属性基加密加密对称密钥，将加密文件上传至云服务器；
当数据使用者和拥有者在同一个域内时，属于单域的访问控制，利用属性证书，合法用户在代理服务器DSP的帮助下解密密文获得对称密钥，得到明文数据；
当数据拥有者和申请数据的用户在不同域内时，符合分布式的系统架构，属于跨域访问控制；利用可信第三方和属性映射中心完成属性映射，获得新的跨域属性证书，进行新的认证，得到新的属性密钥进行属性基解密得到明文。
本发明的另一目的在于提供一种信息数据处理终端，所述信息数据处理终端用于实现所述的跨域访问控制方法。
本发明的另一目的在于提供一种实施所述的跨域访问控制方法的跨域访问控制系统，所述跨域访问控制系统包括：
属性证书引入模块，用于引入改进的属性证书；
初始化模块，用于在起始阶段对系统进行初始化；
数据加密模块，用于数据拥有者使用混合加密的方式加密数据；
单域访问控制模块，用于当数据使用者和拥有者在同一个域内时，属于单域的访问控制；
跨域访问控制模块，用于当数据拥有者和申请数据的用户在不同域内时，符合分布式的系统架构，属于跨域访问控制；利用可信第三方和属性映射中心完成属性映射，获得新的跨域属性证书，进行新的认证，得到新的属性密钥进行属性基解密得到明文。
结合上述的所有技术方案，本发明所具备的优点及积极效果为：本发明为了提高系统的高效性和安全性，引入改进的属性证书，该证书内容包括用户的身份信息、公钥信息，唯一的证书的序列号、证书的有效使用期限、属性的相关信息、使用域、签发单位、签发单位的公钥信息以及证书类型。其中，证书类型分为根证书R和叶子证书L，主要用来防止权限渗透。本发明为了实现系统能正常运转，需要在起始阶段对系统进行初始化。包括全局参数初始化、属性授权中心初始化和用户密钥生成。数据拥有者使用混合加密的方式加密数据。其中用对称加密算法加密明文，然后在外包加密服务器的帮助下使用属性基加密算法加密对称密钥。最后将加密文件上传至云服务器。数据使用者和拥有者在同一个域内时，属于单域的访问控制。利用属性证书，合法用户可以在代理服务器的帮助下解密密文获得对称密钥，从而得到明文数据。数据拥有者和申请数据的用户在不同域内时，符合分布式的系统架构，属于跨域访问控制。利用可信第三方和属性映射中心完成属性映射，获得新的跨域属性证书，从而进行新的认证，得到新的属性密钥进行属性基解密即可得到明文。
本发明利用属性基加密技术可以实现用户间的细粒度访问控制，属性映射方法的设计可以适配于多个控制域的分布式环境要求，实现用户间高效的跨域访问控制。本发明基于属性映射实现跨域访问控制方式，采用属性数字化映射的方法和B+树的索引结构。在数据传输过程中，主要采用属性基的加密算法，该技术可以实现一对多的访问控制，密文策略属性基加密算法(CP-ABE)私钥与属性关联，加密时指定相关的访问结构，只有用户的属性通过密文中的访问结构时，才能解密。利用改进的属性证书可以高效安全地进行跨域访问，利用代理服务器可减轻用户的计算负担，进而提高系统效率。
与现有技术相比，本发明具有以下优点：
第一：使用属性基加密技术适用于一对多应用场景，只有满足访问策略的用户才可以解密密文获得数据，在保障数据安全的同时为用户提供个性化服务。
第二：属性证书的改进使用，一方面提高了用户认证效率，一方面提高了跨域访问的安全性。属性证书配合属性映射方法适用于分布式环境中的多域系统，属性证书类型的判定可以有效防止权限渗透。
第三：引入代理服务器，将复杂的运算交给代理服务器，减少了用户的计算开销，提高了系统的运算效率。
第四：可信第三方的加入和属性映射模块的设计可以有效实现跨域访问控制。在映射表中利用“权重”可以实现域间属性定量的“一对一”、“多对一”和“一对多”映射，B+树的索引结构可以高效定位映射表，在属性映射服务模块引入缓冲区，存储常用的域间映射表，有利于提高跨域属性映射表的定位效率。同时，与二次映射，标准属性库等方法相比，的属性映射方法不受属性类型的约束。
第五：该映射方法对于属性经常发生变化的动态场景也比较适用，可以有效处理属性添加、撤销等情况。
如下为本发明方案的相关对比数据表。在计算开销对比表中，P表示双线性映射计算时间，E表示幂指数运算，N表示总属性集合数量，X表示加密属性集合数量，Y表示解密属性集合数量。在跨域访问中，我们假设在缓冲区中可以定位到属性映射表的概率是70％，也就是有30％的可能性还是要在B+树上进行搜索。缓冲区的大小是和域表数量以及搜索频繁程度有关，在缓冲区上的搜索是极快的，该时间可以忽略不计。
表1域内计算开销对比表
Figure BDA0002765784540000091
表2跨域平均搜索时间对比表
平均搜索时间(域表数量为n)
直接搜索 n/2
B+树索引搜索 log<sub>2</sub>n
缓冲区+B+树搜索 0.3*log<sub>2</sub>n
附图说明
为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图做简单的介绍，显而易见地，下面所描述的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的跨域访问控制方法流程图。
图2是本发明实施例提供的跨域访问控制系统的结构示意图；
图2中：1、属性证书引入模块；2、初始化模块；3、数据加密模块；4、单域访问控制模块；5、跨域访问控制模块。
图3是本发明实施例提供的系统模型示意图。
图4是本发明实施例提供的属性证书结构示意图。
图5是本发明实施例提供的访问控制树结构图。
图6是本发明实施例提供的访问控制总流程图。
图7是本发明实施例提供的跨域访问控制流程图。
图8是本发明实施例提供的属性映射中心图。
图9是本发明实施例提供的B+树索引结构图。
图10是本发明实施例提供的属性映射存储表图；
图11是本发明实施例提供的属性基密钥生成效率图(密钥分发中心端)。
图12是本发明实施例提供的属性基数据加密效率图(数据拥有者端)。
图13是本发明实施例提供的属性基数据解密效率图(用户端)。
图14是本发明实施例提供的跨域访问控制效率图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
针对现有技术存在的问题，本发明提供了一种跨域访问控制方法、系统、存储介质、计算机设备及终端，下面结合附图对本发明作详细的描述。
如图1所示，本发明提供的跨域访问控制方法包括以下步骤：
S101：引入改进的属性证书，该证书内容包括用户的身份信息、公钥信息，唯一的证书的序列号、证书的有效使用期限、属性的相关信息、使用域、签发单位、签发单位的公钥信息以及证书类型。其中，证书类型分为根证书R和叶子证书L，主要用来防止权限渗透；
S102：在起始阶段对系统进行初始化。包括全局参数初始化、属性授权中心初始化和用户密钥生成；
S103：数据拥有者使用混合加密的方式加密数据。其中用对称加密算法加密明文，然后在外包服务器ESP的帮助下使用属性基加密加密对称密钥。最后将加密文件上传至云服务器；
S104：当数据使用者和拥有者在同一个域内时，属于单域的访问控制。利用属性证书，合法用户可以在代理服务器DSP的帮助下解密密文获得对称密钥，从而得到明文数据；
S105：当数据拥有者和申请数据的用户在不同域内时，符合分布式的系统架构，属于跨域访问控制。利用可信第三方和属性映射中心完成属性映射，获得新的跨域属性证书，从而进行新的认证，得到新的属性密钥进行属性基解密即可得到明文。
本发明提供的跨域访问控制方法业内的普通技术人员还可以采用其他的步骤实施，图1的本发明提供的跨域访问控制方法仅仅是一个具体实施例而已。
如图2所示，本发明提供的跨域访问控制系统包括：
属性证书引入模块1，用于引入改进的属性证书，该证书内容包括用户的身份信息、公钥信息，唯一的证书的序列号、证书的有效使用期限、属性的相关信息、使用域、签发单位、签发单位的公钥信息以及证书类型。其中，证书类型分为根证书R和叶子证书L，主要用来防止权限渗透；
初始化模块2，用于在起始阶段对系统进行初始化，包括全局参数初始化、属性授权中心初始化和用户密钥生成；
数据加密模块3，用于数据拥有者使用混合加密的方式加密数据。其中用对称加密算法加密明文，然后在外包服务器ESP的帮助下使用属性基加密加密对称密钥。最后将加密文件上传至云服务器；
单域访问控制模块4，用于当数据使用者和拥有者在同一个域内时，属于单域的访问控制。利用属性证书，合法用户可以在代理服务器DSP的帮助下解密密文获得对称密钥，从而得到明文数据；
跨域访问控制模块5，用于当数据拥有者和申请数据的用户在不同域内时，符合分布式的系统架构，属于跨域访问控制；利用可信第三方和属性映射中心完成属性映射，获得新的跨域属性证书，从而进行新的认证，得到新的属性密钥进行属性基解密即可得到明文。
下面结合附图对本发明的技术方案作进一步的描述。
如图3所示，本发明的主要实现步骤如下：
步骤1：属性证书的生成。
步骤2：系统初始化。
步骤3：访问控制类型判断。
步骤4：域内的访问控制。
步骤5：跨域的访问控制。
结合图3的系统模型图，其中TTP是域间的第三方可信机构，负责跨域过程的请求处理、属性证书签发等。属性映射中心MC主要负责属性表的存储管理和属性映射。每个域中的CA是认证中心，负责本域内的用户认证、证书签发，是安全可靠的。TA是密钥分发中心，进行属性基密钥的生成和分发。DO是数据拥有者，主要是上传自己拥有的资源数据，DU是数据使用者，主要是进行数据的请求使用。ESP是外包加密服务器，DSP是外包解密服务器，TSP是外包密钥生成器，分别负责部分高强度的加解密运算。CSP是云服务器，上面存储有大量的应用数据和资源，会响应DO、DU的操作请求。本发明的具体步骤做进一步描述如下：
(1)属性证书的生成：
在本系统中，使用属性证书，其结构参照图4。
属性证书的内容包括用户的身份信息、公钥信息，唯一的证书的序列号、证书的有效使用期限、属性的相关信息、使用域、签发单位、签发单位的公钥信息以及证书类型。其中，证书类型分为根证书R和叶子证书L，主要用来防止权限渗透。根证书R由本域内的CA签发，叶子证书L由域间的可信第三方TTP签发。叶子证书只能由根证书生成，叶子证书不能生成叶子证书。
域中的合法用户向CA发送自己的身份信息、属性信息、公私钥对信息等。CA验证用户合法且信息正确，则为用户颁发属性证书。属性证书为cert，通过hash运算后，CA通过自己的私钥进行RSA加密，结果为S。CA向用户发送(cert，S)这样结构的文件cert(R)给用户。做hash可以保证证书的完整性，防止篡改，签名是保证证书是从可靠的CA发出的。在域内访问上，用属性证书可以进行身份验证，多域中可以做跨域使用。
通过在证书中添加证书类型cert(R/L)，防止了权限渗透。因为，规定TTP签发的跨域证书cert(L)只能通过其单域CA签发的cert(R)进行认证生成。这样可以有效避免连续跨多个域的非法情况出现。同时，在证书中添加使用期限规定了证书使用有效期，防止了证书过期使用，提高了系统的安全性。
在基于属性的访问控制模型中，有专门的属性证书管理机构负责证书的产生、编码以及撤销等。在本发明中，域内的机构CA和域间的第三方可信中心TTP均有专门的系统结构负责属性证书的管理，它们会为合法用户生成证书，也会将不再符合条件的用户证书实时撤回。
(2)系统初始化：
对于每个域内的密钥分发中心TA和CA都会进行初始化过程。CA主要负责用户认证和属性证书的生成，TA主要负责初始化参数和属性密钥的生成。
2a)系统初始化
Setup(A，b)-＞(MSK，PK)：
输入属性集A和保护属性b，TA执行该函数，输出主密钥MSK和公钥PK。首先，为了保证外包数据的安全性，对采用的访问树结构进行了改进，采用图5所示的新访问树结构，引入一个新的保护属性b，作为一个叶子节点，链接在原来的访问控制树上，形成新的根节点。
对于每个域中的密钥分发中心TA，它进行如下操作：首先构造乘法循环有限群G0,再用双线性映射函数生成有限域G1:G0×G0＝G1；构造乘法循环有限域，随机选择m，n∈ZP ＊，计算MSK＝{m，n}；计算gn，e(g,g)m，对于每个属性ai∈A，随机选择ti∈ZP，计算Xi＝gti；改造访问控制树结构，引入保护属性，对于保护属性b，随机选择tb∈ZP，计算Xb＝gtb；最后可以得到：
MSK＝{m，n}；
Figure BDA0002765784540000141
2b)密钥生成
Keygen(A，MSK)-＞SK：
输入属性集A和主密钥MSK，输出属性密钥SK。由TA和TSP共同生成属性密钥。
密钥生成过程由本地的密钥分发中心和域内的密钥生成外包服务器共同生成。
对于密钥分发中心TA：首先随机选择随机选r∈Zp，计算
Figure BDA0002765784540000142
其次，对于b，随机选择rb∈ZP，计算SKb＝{grb,gr*Xb rb}；密钥生成外包服务器TSP进行外包计算，随机选择ri∈ZP，计算
Figure BDA0002765784540000143
最后结果返回给密钥分发中心TA；密钥分发中心TA最后可以得到属性密钥SK＝{SKr,SKa,SKb}。
(3)访问控制类型判断：
结合图6，首先对用户请求访问类型进行判断。当用户和数据拥有者在同一个域中时，属于单域的域内访问控制，当他们处于不同的域时，属于跨域访问控制。针对不同的访问类型，在分部式系统中进行不同的访问处理。
(4)域内访问控制流程：
4a)数据加密
Encrypt1.DO(M,k)-＞Ek(M)＝C：输入明文M和对称密钥k，DO执行对称加密算法生成密文C。
Encrypt2.DO(k,PK,T)-＞(CTk,CTb)：输入密钥k，公钥PK和访问控制结构(树)T，DO执行属性基加密算法生成部分密文CTk,CTb.。
Encypt.ESP(Sa,Ta)-＞CTa：输入访问控树左子树的相关Sa、Ta，ESP外包加密计算输出部分密文CTa。
该过程为：
对于文件M，数据拥有者DO首先用对称密钥k用AES加密算法加密文件M；数据拥有着在外包加密服务器的帮助下进行数据加密。
首先，DO加密时需要选择访问控制树T，包括Ta、Tb、Sa、Sb；其次，DO本地选择s∈ZP ＊，本地计算CTk＝{gn*s,K*e(g,g)m*s}；DO利用Sb的值，计算CTb＝{gsb,Xb sb}；外包加密服务器ESP进行外包计算，利用Sa、Ta，推断出所有叶子节点的si，计算
Figure BDA0002765784540000151
ESP将结果返回给DO；最后数据拥有者可以得到加密后的密文CT＝{CTk，CTa,CTb}。
4b)数据解密
Decrypt.DSP(SKa,SKb,CT,T)-＞e(g,g)r*s＝D：输入属性密钥SKa、SKb、密文CT、访问控制树T，DSP外包解密输出解密中间结果D。
Decrypt1.DU(CTk,SKr,D)-＞k：输入密文CTk、密钥SKr和中间解密结果D，用户DU解密得到对称密钥k。
Decrypt2.DU(k,C)-＞M：输入密钥k和对称密文C，DU对称解密得到明文M。
对于外包解密服务器DSP，用户DU上传SKa、SKb、CT、T；外包解密服务器DSP本地进行解密计算Decrypt(CT,T)＝e(g,g)r*s＝D，并将该结果返回给用户DU；用户在本地进行解密计算
Figure BDA0002765784540000152
即可得到属性基加密的对称密钥k；
该过程中的解密算法基础来自拉格朗日插值定理：
对于叶子节点：
Figure BDA0002765784540000153
对于非叶子节点：设X为非叶子节点，Sx是X的叶子节点的集合，i＝index(x)，Sx＝{index(z):z∈Sx},利用拉格朗日插值定理中的相关知识可以得到：
Figure BDA0002765784540000161
最后，用户利用对称密钥进行对称解密即可得到明文信息。
(5)跨域访问控制流程：
结合图7，可以进行用户的跨域访问控制。跨域访问控制主要是指某域内用户想要利用自身的属性访问另一个域中的相关资源的过程。这其中就需要可信第三方TTP和属性映射中心的参与。其主要是通过属性映射实现。当源域Ds中的属性映射成目标域Dt中的属性后，TTP会制作新的属性证书给申请跨域的用户。用该证书在Dt中进行域内访问即可。
结合图8，介绍一下跨域属性映射中心MC的基本组成：
5a)属性表存储模块：
属性表存储模块存储的是域与域之间的属性转换关系。为了提高检索和更新效率，采用B+树的索引结构，可以较快的定位到相关的属性映射表。最后找到这样的属性映射表，属性映射模块进行对应，提取相应属性即可。结合图9和图10，以域5跨域域2为例，在存储模块中，首先检索B+树，找到域5相关表存储的对应位置，在对应存储点上可以快速检索到对应的存储表。存储表可以理解为是一个二维的矩阵，第一列和第一行分别记录了两个域Ds、Dt中的所有属性。比如，5.A3表示域5中的属性A3,2.A5表示域2中的属性A5。表中的数字记录了属性间的相互映射关系。其中1表示完全映射，0表示不能映射，介于0、1之间的数字表示部分映射，通过相加值为1完成映射。对照数字映射表5.A1-/->2.A1说明域5(Ds)的属性A1不能映射为域2(Dt)的属性A2；5.A4->2.A1说明域5的属性A4可以完全映射为域2的属性A1；5.A3+5.A4->2.A4说明域5的A3和A4两个属性共同映射为域2的一个属性A4。这样，在映射表中利用“权重”可以实现域间属性定量的“一对一”、“多对一”和“一对多”映射。
当发生属性撤销的时候，对应的表中将会有属性不再参与映射过程，这时只需要将域中该属性对应的行、列中的数字清零即可，因为0本身就表示不存在映射关系。
5b)属性映射服务模块：
属性映射服务模块一方面将TTP提交的证书中相关的域信息、属性信息进行提取，方便定位属性表；一方面会将定位的映射表中的属性信息进行提取整理，最终交付给TTP。其中，考虑到在多域环境中，需要进行跨域访问控制的往往是固定的几个常用域，因此，在属性映射服务模块有一个缓冲区，存储有常用的域间映射表，在做属性映射的时候会先在该缓冲区中寻找相应的属性映射表，从而提高跨域属性映射表的定位效率。
5c)跨域访问控制方法示例：
以域1中用户a访问域3为例进行说明:
1用户a提交自己的单域属性证书cert(R)和跨域请求；
2TTP认定用户合法后，将证书中的属性信息和相关域集信息发送给跨域属性映射中心MC进行处理；
3MC在缓冲区中查找是否有对应的域表，如果有，转⑤，没有转④；
4MC在属性表存储模块中查找对应的域表；
5属性映射中心提取证书中的相关属性后，按照域表进行属性映射；
6MC将映射后的对应属性返回给TTP；
7TTP根据返回的新属性为跨域用户a制定新的跨域访问属性证书cert(L)。
在短时间的频繁跨域访问过程中，用户可以直接使用TTP签发的属性证书cert(L)进行跨域认证，提高了跨域效率。同时，TTP在签发cert(L)时只能由原始的属性证书cert(R)映射产生，可以防止权限渗透。
下面结合仿真对本发明的技术效果作详细的描述。
1.仿真条件
仿真环境是：在CPU2.0GHz的PC机上，Ubuntu14环境。
2.仿真内容与结果分析
通过50次运算时间取平均值可以得到主要运算指数运算、双线性配对运算在PC上的运算时间分别是5ms、20ms。将本发明方案与现有的方案一些外包方案Li.J和李勇的方案进行比较仿真，忽略时间较短的乘法运算部分，主要以幂指数运算和双线性对计算作为标准，通过MATLAB绘制出理想的对比线图。
如图11、图12、图13所示，分别仿真了TA、DO和DU随着属性数目增加的计算负担(时间消耗)，本发明因为采用全外包的方式，密钥生成、加密、解密部分对于密钥分发中心和用户的开销都是较小的，大部分的计算量会负担给外包服务器。对用户而言，计算开销不随属性的增加而增加，计算时间是较为稳定的。在跨域上，方案中的属性映射部分主要致力于给出具体的存储结构，提高属性映射的效率。采用B+树的索引结构好于直接搜索，加入缓冲区的搜索效率高于不加缓冲区。缓冲区部分，假设在缓冲区中可以定位到属性映射表的概率是70％，也就是有30％的可能性还是要在B+树上进行搜索。缓冲区的大小是和域表数量以及搜索频繁程度有关，在缓冲区上的搜索是极快的，该时间可以忽略不计。图14结果表明该跨域方案在属性表的搜索上具有较好的搜索效率，随着域表的增加，平均搜索时间有增加但不会增加太快，较为稳定。同时，相比与其他的索引结构，B+树的索引搜索时间稳定，效率高，加入缓冲区后，对于跨域频繁的域表来说，缩短了跨域映射表的搜索时间，特别是在域表增加的情况下，搜索效率较为可观。
应当注意，本发明的实施方式可以通过硬件、软件或者软件和硬件的结合来实现。硬件部分可以利用专用逻辑来实现；软件部分可以存储在存储器中，由适当的指令执行系统，例如微处理器或者专用设计硬件来执行。本领域的普通技术人员可以理解上述的设备和方法可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本发明的设备及其模块可以由诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用由各种类型的处理器执行的软件实现，也可以由上述硬件电路和软件的结合例如固件来实现。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，都应涵盖在本发明的保护范围之内。

Claims (4)

1.一种跨域访问控制方法，其特征在于，所述跨域访问控制方法包括：
引入改进的属性证书，证书内容包括用户的身份信息、公钥信息，唯一的证书的序列号、证书的有效使用期限、属性的相关信息、使用域、签发单位、签发单位的公钥信息以及证书类型；其中，证书类型分为根证书R和叶子证书L，用来防止权限渗透；
在起始阶段对系统进行初始化，包括全局参数初始化、属性授权中心初始化和用户密钥生成；
数据拥有者使用混合加密的方式加密数据，其中用对称加密算法加密明文，然后在外包服务器ESP的帮助下使用属性基加密加密对称密钥，将加密文件上传至云服务器；
当数据使用者和拥有者在同一个域内时，属于单域的访问控制，利用属性证书，合法用户在代理服务器DSP的帮助下解密密文获得对称密钥，得到明文数据；
当数据拥有者和申请数据的用户在不同域内时，符合分布式的系统架构，属于跨域访问控制；利用可信第三方和属性映射中心完成属性映射，获得新的跨域属性证书，进行新的认证，得到新的属性密钥进行属性基解密得到明文；
属性证书的改进使用具体包括：根证书R由本域内的CA签发，叶子证书L由域间的可信第三方TTP签发，叶子证书只能由根证书生成，叶子证书不能生成叶子证书；
域中的合法用户向CA发送自己的身份信息、属性信息、公私钥对信息；CA验证用户合法且信息正确，则为用户颁发属性证书，属性证书为cert，通过hash运算后，CA通过自己的私钥进行RSA加密，结果为S，CA向用户发送(cert，S)这样结构的文件cert(R)给用户；在域内访问上，用属性证书进行身份验证，多域中做跨域使用；
初始化和密钥生成包括：
步骤一，对于每个域中的密钥分发中心TA，首先构造乘法循环有限群G0,再用双线性映射函数生成有限域G1:G0×G0＝G1；构造乘法循环有限域，随机选择m，n∈ZP ＊，计算MSK＝{m，n}；计算gn，e(g,g)m，对于每个属性ai∈A，随机选择ti∈ZP，计算Xi＝gti；改造访问控制树结构，引入保护属性，对于保护属性b，随机选择tb∈ZP，计算Xb＝gtb；得到：
MSK＝{m，n}；
Figure FDA0003355169180000021
步骤二，密钥生成过程由本地的密钥分发中心和域内的密钥生成外包服务器共同生成，对于密钥分发中心TA，随机选择随机选r∈ZP，计算
Figure FDA0003355169180000022
其次，对于b，随机选择rb∈ZP，计算SKb＝{grb,gr*Xb rb}；
步骤三，密钥生成外包服务器TSP进行外包计算，随机选择ri∈ZP，计算
Figure FDA0003355169180000023
结果返回给密钥分发中心TA；
步骤四，密钥分发中心TA得到属性密钥SK＝{SKr,SKa,SKb}；
数据加密，具体包括：
步骤一，对于文件M，数据拥有者DO首先用对称密钥k用AES加密算法加密文件M；
步骤二，数据拥有者在外包加密服务器的帮助下进行数据加密；首先，DO加密时需要选择访问控制树T，包括Ta、Tb、Sa、Sb；其次，DO本地选择s∈ZP ＊，本地计算CTk＝{gn*s,k*e(g,g)m*s}；DO利用Sb的值，计算
Figure FDA0003355169180000024
步骤三，外包加密服务器进行外包计算，利用Sa、Ta，推断出所有叶子节点的si，计算
Figure FDA0003355169180000025
将结果返回给DO；
步骤四，最后数据拥有者可以得到加密后的密文CT＝{CTk，CTa,CTb}；
单域下的数据解密具体包括：
步骤一，对于外包解密服务器DSP，用户DU上传SKa、SKb、CT、T；
步骤二，外包解密服务器DSP本地进行解密计算：
Decrypt(CT,T)＝e(g,g)r*s＝D，并将该结果返回给用户DU；
步骤三，用户在本地进行解密计算：
Figure FDA0003355169180000031
得到属性基加密的对称密钥k；
步骤四，用户利用对称密钥k进行对称解密即可得到明文信息；
不同域下跨域访问控制具体包括：
步骤一，构造属性表存储模块，属性表存储模块存储的是域与域之间的属性转换关系，采用B+树的索引结构，定位到相关的属性映射表；最后找到这样的属性映射表，属性映射模块进行对应，提取相应属性；
步骤二，属性映射表的构造，存储表为是一个二维的矩阵，第一列和第一行分别记录了两个域源域Ds、目标域Dt中的所有属性；表中的数字记录了属性间的相互映射关系；其中1表示完全映射，0表示不能映射，介于0、1之间的数字表示部分映射；
步骤三，在属性映射服务模块中引入缓冲区，属性映射模块将可信第三方TTP提交的证书中相关的域信息、属性信息进行提取，定位属性表；将定位的映射表中的属性信息进行提取整理，最终交付给TTP；其中，考虑到在多域环境中，进行跨域访问控制的往往是固定的几个常用域，在属性映射服务模块有一个缓冲区，存储有常用的域间映射表，在做属性映射的时候会先在该缓冲区中寻找相应的属性映射表；
步骤四，根据请求用户的属性证书cert(R)进行属性映射，并制作新的证书，在属性映射中心和TTP的共同参与下完成属性映射；根据新的映射属性为请求用户制作新的跨域证书cert(L)；
步骤五，拥有跨域属性证书的用户可以直接利用证书去目标域向该域中的TA请求进行数据访问，此后的访问过程同单域的数据解密情况相同。
2.一种计算机设备，其特征在于，所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行权利要求1所述跨域访问控制方法的步骤。
3.一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行权利要求1所述跨域访问控制方法的步骤。
4.一种实施权利要求1所述的跨域访问控制方法的跨域访问控制系统，其特征在于，所述跨域访问控制系统包括：
属性证书引入模块，用于引入改进的属性证书；
初始化模块，用于在起始阶段对系统进行初始化；
数据加密模块，用于数据拥有者使用混合加密的方式加密数据；
单域访问控制模块，用于当数据使用者和拥有者在同一个域内时，属于单域的访问控制；
跨域访问控制模块，用于当数据拥有者和申请数据的用户在不同域内时，符合分布式的系统架构，属于跨域访问控制；利用可信第三方和属性映射中心完成属性映射，获得新的跨域属性证书，进行新的认证，得到新的属性密钥进行属性基解密得到明文。
CN202011232864.8A 2020-11-06 2020-11-06 跨域访问控制方法、系统、存储介质、计算机设备及终端 Active CN112532591B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011232864.8A CN112532591B (zh) 2020-11-06 2020-11-06 跨域访问控制方法、系统、存储介质、计算机设备及终端

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011232864.8A CN112532591B (zh) 2020-11-06 2020-11-06 跨域访问控制方法、系统、存储介质、计算机设备及终端

Publications (2)

Publication Number Publication Date
CN112532591A CN112532591A (zh) 2021-03-19
CN112532591B true CN112532591B (zh) 2022-03-11

Family

ID=74979767

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011232864.8A Active CN112532591B (zh) 2020-11-06 2020-11-06 跨域访问控制方法、系统、存储介质、计算机设备及终端

Country Status (1)

Country Link
CN (1) CN112532591B (zh)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113364735B (zh) * 2021-05-01 2022-08-19 西安电子科技大学 多链场景下数据跨链访问控制方法、系统、设备及终端
CN113315762B (zh) * 2021-05-20 2022-04-19 西安电子科技大学 身份密码学实现安全通信的分散式网络认证方法
CN113612770A (zh) * 2021-08-02 2021-11-05 中国科学院深圳先进技术研究院 一种跨域安全交互方法、系统、终端以及存储介质
CN114598535B (zh) * 2022-03-14 2023-12-15 太原科技大学 基于云计算多授权中心的cp-abe代理重加密方法
CN114866328A (zh) * 2022-05-23 2022-08-05 南京理工大学 一种边缘计算环境下基于区块链的跨域访问控制方法及系统
CN117294465B (zh) * 2023-08-11 2024-06-07 广州大学 一种基于跨域通信的属性加密系统及方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1960255A (zh) * 2006-09-21 2007-05-09 上海交通大学 分布式多级安全访问控制方法
CN101807991A (zh) * 2009-02-18 2010-08-18 上海交通大学 密文政策属性基加密系统和方法
CN104901942A (zh) * 2015-03-10 2015-09-09 重庆邮电大学 一种基于属性加密的分布式访问控制方法
CN110636500A (zh) * 2019-08-27 2019-12-31 西安电子科技大学 支持跨域数据共享的访问控制系统及方法、无线通信系统
CN110933033A (zh) * 2019-10-27 2020-03-27 西安电子科技大学 智慧城市环境下多物联网域的跨域访问控制方法

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7797434B2 (en) * 2002-12-31 2010-09-14 International Business Machines Corporation Method and system for user-determind attribute storage in a federated environment
US7725562B2 (en) * 2002-12-31 2010-05-25 International Business Machines Corporation Method and system for user enrollment of user attribute storage in a federated environment
US20040128546A1 (en) * 2002-12-31 2004-07-01 International Business Machines Corporation Method and system for attribute exchange in a heterogeneous federated environment
CN102916954B (zh) * 2012-10-15 2015-04-01 南京邮电大学 一种基于属性加密的云计算安全访问控制方法
GB2523331A (en) * 2014-02-20 2015-08-26 Ibm Attribute-based access control
US9894043B2 (en) * 2015-09-30 2018-02-13 Raytheon Bbn Technologies Corp. Cryptographically secure cross-domain information sharing
CN108881314B (zh) * 2018-08-28 2021-02-02 南京邮电大学 雾计算环境下基于cp-abe密文隐私保护方法及系统
CN109768858B (zh) * 2018-12-26 2022-03-08 西安电子科技大学 云环境下基于多授权的属性加密访问控制系统及设计方法
CN110099043B (zh) * 2019-03-24 2021-09-17 西安电子科技大学 支持策略隐藏的多授权中心访问控制方法、云存储系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1960255A (zh) * 2006-09-21 2007-05-09 上海交通大学 分布式多级安全访问控制方法
CN101807991A (zh) * 2009-02-18 2010-08-18 上海交通大学 密文政策属性基加密系统和方法
CN104901942A (zh) * 2015-03-10 2015-09-09 重庆邮电大学 一种基于属性加密的分布式访问控制方法
CN110636500A (zh) * 2019-08-27 2019-12-31 西安电子科技大学 支持跨域数据共享的访问控制系统及方法、无线通信系统
CN110933033A (zh) * 2019-10-27 2020-03-27 西安电子科技大学 智慧城市环境下多物联网域的跨域访问控制方法

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
John C. John ; Shamik Sural ; Arobinda Gupta.Authorization Management in Multi-cloud Collaboration Using Attribute-Based Access Control.《2016 15th International Symposium on Parallel and Distributed Computing (ISPDC)》.2017, *
Yi-Hong Long ; Zhi-Hong Tang ; Xu Liu.Attribute mapping for cross-domain access control.《2010 International Conference on Computer and Information Application》.2012, *
多域环境下访问控制模型研究;王明超;《中国优秀硕士学位论文全文数据库（信息科技辑）》;20180415(第04期);I138-139 *

Also Published As

Publication number Publication date
CN112532591A (zh) 2021-03-19

Similar Documents

Publication Publication Date Title
CN112532591B (zh) 跨域访问控制方法、系统、存储介质、计算机设备及终端
Miao et al. Multi-authority attribute-based keyword search over encrypted cloud data
Shen et al. A privacy-preserving and untraceable group data sharing scheme in cloud computing
CN112019591B (zh) 一种基于区块链的云数据共享方法
CN109829326B (zh) 基于区块链的跨域认证与公平审计去重云存储系统
CN108390876B (zh) 支持撤销外包可验证多授权中心访问控制方法、云服务器
US10425399B2 (en) Template-based distributed certificate issuance in a multi-tenant environment
CN108833393B (zh) 一种基于雾计算的可撤销数据共享方法
Cheng et al. Secure $ k $ k-NN query on encrypted cloud data with multiple keys
CN113132103B (zh) 一种数据跨域安全共享系统及方法
CN110636500A (zh) 支持跨域数据共享的访问控制系统及方法、无线通信系统
CN106487506B (zh) 一种支持预加密和外包解密的多机构kp-abe方法
CN110602063A (zh) 一种多授权中心访问控制方法、系统及云存储系统
CN110933033B (zh) 智慧城市环境下多物联网域的跨域访问控制方法
CN108092972B (zh) 一种多授权中心基于属性的可搜索加密方法
CN111614680B (zh) 一种基于cp-abe的可追溯云存储访问控制方法和系统
WO2014114080A1 (zh) 数据加密保护方法及系统
CN110035067B (zh) 云存储中支持高效数据去重和属性撤销的属性加密方法
CN107302524A (zh) 一种云计算环境下的密文数据共享系统
Yuan et al. Fine-grained access control for big data based on CP-ABE in cloud computing
Wu et al. Enabling traceable and verifiable multi-user forward secure searchable encryption in hybrid cloud
CN114268482A (zh) 一种基于属性布隆过滤器的快速策略检索方法
Qi et al. Blockchain-aware rollbackable data access control for iot-enabled digital twin
Zhang et al. A lattice-based searchable encryption scheme with the validity period control of files
Zhang et al. Privacy‐Preserving Attribute‐Based Keyword Search with Traceability and Revocation for Cloud‐Assisted IoT

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant