CN112688927B - 一种基于区块链的分布式访问控制方法 - Google Patents

Abstract

本发明涉及一种基于区块链的分布式访问控制方法，属于信息安全领域。该方法包括：分布式访问授权流程设计：根据基于区块链的分布式访问控制模型B‑ABAC中各组件功能，设计分布式授权流程；同时设计在授权过程中，将产生的授权访问记录都记录在区块链上；S2：属性与策略智能合约设计：分离出属性权威和策略权威的职能，将这些职能分散到B‑ABAC模型中的智能合约与区块链账本中；S3：共识算法设计：使用分布式决策网络代替原有的决策点，设计并使用改进后的共识算法对分布式决策网络进行共识维护。本发明在非信任环境下，能提供细粒度、动态地访问授权，同时提高访问模型的安全性、可审计性并减少授权过程中的人为干预。

Description

一种基于区块链的分布式访问控制方法

技术领域

本发明属于信息安全领域，涉及一种基于区块链的分布式访问控制方法。

背景技术

访问控制作为信息安全中关键的一环，其对信息系统的保护作用尤为凸显。访问控制技术可以根据预先设定的访问控制策略，保障资源只能被合法用户执行合法操作，防止了信息的非授权访问。

传统访问控制诸如自主访问控制(DAC)与强制访问控制(MAC)均是根据管理员预先设置的访问策略进行访问授权，其不易扩展、约束颗粒较大、主客体之间联系较弱等特点并不适合现阶段的分布式系统。

近年来，随着云计算和物联网的迅猛发展，访问控制域中的节点呈现出海量性、动态性、异构性等特点，这也对传统访问控制的安全提出了新的挑战。基于属性的访问控制(ABAC)也是在这种情况下应运而生的，ABAC使用属性作为访问控制的关键要素，使其可以细粒度地处理授权访问，同时解决了节点无法动态加入访问控制域的问题。

ABAC模型授权流程主要分为准备阶段和执行阶段。准备阶段首先由属性权威生成、存储、管理访问控制所需要的属性集合与属性权限-管理关系。之后由策略权威根据属性权威提供的属性集合及属性权限的关联关系对访问控制策略进行形式化描述。准备阶段主要是为执行阶段准备属性与策略的物料。在执行阶段中，当策略执行点收到原始访问请求后，会向属性权威请求主体属性、客体属性以及相关的环境属性，生成基于属性的访问请求并发送给策略决策点。策略决策点对请求中的身份信息进行判定后，根据策略权威提供的策略对请求进行判定，决定是否对其授权，并将判定结果传给策略执行点。最终由策略执行点执行判定结果。

不过，如同很多传统的访问控制模型一样，ABAC模型采用中心化的管理布局，由策略决策点对访问请求全权处理。在物联网或云环境等开放网络环境中，节点的海量性和异构性凸显，这使得传统访问控制集中式的授权模式管理和维护压力巨大。在授权过程中，每一次访问均依赖于中心化的实体来进行访问决策，存在权限判决透明度的问题。而且，在访问控制域中存在大量安全防护较低的设备，攻击者很有可能通过掌控大量低防护设备的控制权后对访问控制授权服务器进行DDoS、共谋、中间人等攻击。当单一的决策点受攻击或发生故障时，将导致整个访问控制系统停止运转，所以采用中心化布局的访问控制模型，在这种威胁下，就面临极大的挑战。

区块链作为一种分布式的技术范式，将点对点通信技术、分布式共识技术、智能合约技术、分布式存储技术、隐私保护技术有效的结合起来。从而使其具有去中心化、不可篡改、公开透明等特点。区块链技术也是第一个能够在不依赖第三方信任机构的条件下，打破陌生节点间的信任壁垒，使节点间可以进行安全有效的价值传递的技术。区块链技术的独特性使其应用前景非常广阔，有望推动目前的信息互联网向价值互联网转变。

发明内容

有鉴于此，本发明的目的在于提供一种基于区块链的分布式访问控制方法，在非信任环境下，能提供细粒度、动态地访问授权，同时提高访问模型的安全性、可审计性并减少授权过程中的人为干预。

为达到上述目的，本发明提供如下技术方案：

一种基于区块链的分布式访问控制方法，在访问控制模型ABAC(基于属性的访问控制)的基础上，将区块链的技术融入进来，提出B-ABAC模型，并形成了一套分布式访问控制机制。在本模型中，使用智能合约对访问请求进行分布式授权，同时将授权信息记录在链上。属性与策略的管理不再由中心化的属性权威与策略权威负责，而是通过智能合约和区块链账本共同负责。采用区块链中联盟链的思路，以策略决策网络代替策略决策点，即在一个域中由多个节点使用共识算法对访问请求进行共识决策，并共同维护账本。

该方法具体包括以下步骤：

S1：设计分布式访问授权流程；

根据基于区块链的分布式访问控制模型B-ABAC中各组件功能，设计出详细的分布式授权流程；同时设计在授权过程中，将产生的授权访问记录都记录在区块链上，由于在链上的数据不会被篡改，使整个访问授权流程更加公开透明且便于审计；

S2：设计属性与策略智能合约；

分离出属性权威和策略权威的职能，将这些职能分散到B-ABAC模型中的智能合约与区块链账本中；运用智能合约技术管理模型中的属性与策略，减少属性创建和策略制定时的人为干预，降低了管理员维护时产生的风险和成本；

S3：设计共识算法；

使用分布式决策网络代替原有的决策点，设计并使用改进后的共识算法对分布式决策网络进行共识维护，消除模型中单点失败的可能。

进一步，步骤S1中，设计分布式访问授权流程，具体包括以下步骤：

S11：请求者向主体端策略执行点发送一个访问请求；

S12：在主体端策略执行点收到请求后，首先验证请求的合法性，之后将按请求中的参数转换成基于属性的形式化描述，组成基于属性的访问请求AAR发送给策略决策网络；

S13：当策略决策网络中任一节点收到AAR后，检验其合法性，调用策略评估智能合约，评估AAR中的访问请求；最后经过策略决策网络的共识，对访问请求形成决定，将决定(同意/拒绝)保存在评估记录Tx中，并记录于区块链账本上；

S14：策略决策网络将授权结果以评估记录号TxID方式传给请求者和资源所有者；

S15：资源所有者在收到TxID后，可申请查询策略决策网络的区块链账本；

S16：策略决策网络根据TxID查找对应的Tx，向资源所有者返回Tx；

S17：资源所有者在收到相应Tx后，解密得到会话密钥k。

进一步，步骤S11中，访问请求包含的信息为：

其中，ReqL与ResL分别表示请求者与资源的定位地址，比如可以是IP地址，也可以是资源网关的接口地址，甚至可以以设备的公钥作为地址。action表示请求者想发起的访问操作，比如创建、删除、更新等。E表示用资源所有者的公钥Pk_ro对会话密钥k进行的非对称加密E＝Enc(k,Pk_ro)；σ_req＝Sig(hash(Req),Sk_req)表示请求者的签名，以便后边的组件进行验证，其中hash(Req)代表对资源请求者所发送的访问请求包Req的哈希值，SK_req资源请求者的私钥。

进一步，步骤S12中，组成基于属性的访问请求AAR包含的信息为：

其中，C_sub表示主体端策略执行点为请求者提供的主体属性证书，policyID是主体端策略执行点根据Req中资源和动作参数所对应的访问控制规则的策略的ID，σ_S-PEP是主体端策略执行点用自己私钥进行的签名；

进一步，步骤S13中，评估记录Tx包含的信息为：

Tx＝(Req,Decision,T)

每一个评估记录Tx都包含一个TxID＝Hash(Tx)，TxID是每一个评估记录都拥有唯一的ID，Decision是经过共识的决定，值用布尔型表示同意或拒绝；T为此TxID的过期时间。

进一步，步骤S17中，解密得到的会话密钥k为：

k＝Dec(E,Sk_ro)

其中，Sk_ro表示资源所有者的私钥。

进一步，步骤S2中，设计属性与策略智能合约，具体包括以下步骤：

S21：设计属性智能合约，包括属性创建与属性分配；

S22：设计策略智能合约，包括策略创建与策略撤销；

S23：设计策略评估智能合约，系统AAR请求后，调用策略评估合约；合约验证请求者的属性证书，从请求中的属性证书中提取属性集，从策略库中获取到适用策略，进行属性与策略比对；最后根据比对结果生成评估记录，经共识后存于链上。

进一步，步骤S3中，设计共识算法，具体包括以下步骤：

S31：当共识网络中的某一节点发现任意验证节点无法继续执行共识操作后，向其他验证节点发送弹劾消息；

S32：当任意验证节点收到大于2倍作恶节点数个指认某节点需要被弹劾的消息后，将被弹劾节点信息从现有验证节点列表中移除，并进入选举阶段；

S33：进入选举阶段后，为了避免异步通信导致的信息不同步，共识网络会进行一次证节点列表强制同步，以保证共识网的一致性；

S34：验证节点向所有候选节点发送VRF请求，验证返回的VRF回复消息的合法性，并比较收到的VRF计算值；为了提高效率，设定拥有VRF计算值最小的候选节点作为获选节点；向获选节点发送获选消息；并更新验证节点列表；

S35：任意候选节点收到大于2倍作恶节点数个获选消息后；变更身份为验证节点，加入共识网络，与共识网络同步账本。

本发明的有益效果在于：

本发明能实现在不可信环境下的分布式访问控制。模型使用分布式决策网络代替ABAC中单一的决策点，并用改进的共识算法对分布式决策网络进行共识维护，消除模型中单点失败的可能，提高了访问控制系统的抗攻击能力，保证了在不可信环境下系统的安全性。

本发明能实现对访问授权审计与问责。由于区块链上的数据具有不可篡改的特性，模型将访问策略与访问记录存储在不会被篡改的区块链上，访问策略和访问记录对所有主体可见，使整个访问授权流程更加公开透明且便于审计。

本发明能减少属性创建和策略制定时的人为干预。由于智能合约不需要可信的第三方即可执行的特点，使用智能合约技术自动化管理模型中的属性与策略，减少属性创建和策略制定时的人为干预，从而降低管理员维护时产生的风险和成本。

本发明的其他优点、目标和特征在某种程度上将在随后的说明书中进行阐述，并且在某种程度上，基于对下文的考察研究对本领域技术人员而言将是显而易见的，或者可以从本发明的实践中得到教导。本发明的目标和其他优点可以通过下面的说明书来实现和获得。

附图说明

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作优选的详细描述，其中：

图1为本实施例中基于区块链的分布式访问控制模型(B-ABAC)；

图2为本发明的分布式访问授权流程图。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需要说明的是，以下实施例中所提供的图示仅以示意方式说明本发明的基本构想，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

请参阅图1～图2，基于区块链的分布式访问控制模型(B-ABAC)，如图1所示，由策略执行点(PEP，按主体端与资源端可分为S-PEP与R-PEP)、策略决策网络(PDN)、属性管理智能合约、策略管理智能合约、策略评估智能合约组成。授权流程可以分为预备和执行两个阶段。

在准备阶段，属性管理合约负责自动化生成、管理访问控制所需要的属性集合与属性权限-管理关系，而区块链账本则负责这些数据的存储。之后策略管理合约根据账本上属性集合及属性权限的关联关系对访问控制策略进行形式化描述，并依旧将策略存于区块链账本中。

在模型执行阶段，当策略执行点收到一个访问请求后，根据请求中的属性集构建基于属性的访问请求并传给策略决策网络。当策略决策网络收到一个访问请求时，会在区块链账本中查询属性集与对应访问策略，执行策略评估合约来评估请求。之后经过共识，形成对策略执行点转发来的访问请求的判定，决定是否对访问请求授权。最后将判定结果记录在链上同时传给资源所在的策略执行点。由资源所属的策略执行点具体执行结果。

如图2所示，分布式访问授权流程的设计，流程具体包括如下：

第一步，首先请求者会向S-PEP发送一个访问请求，访问请求包含如下信息：

公式中的ReqL与ResL分别代表着请求者与资源的定位地址，比如可以是IP地址，也可以是资源网关的接口地址，甚至可以以设备的公钥作为地址。action是请求者想发起的访问操作，比如创建、删除、更新等。E是用资源所有者的公钥Pk_ro对会话密钥k进行的非对称加密E＝Enc(k,Pk_ro)。σ_req＝Sig(hash(Req),Sk_req)是请求者的签名，以便后边的组件进行验证。

第二步，在S-PEP收到Req后，首先会验证请求的合法性，之后将会按请求中的参数转换成基于属性的形式化描述，组成基于属性的访问请求(AAR)发送给PDN。

其中，C_sub是S-PEP为请求者提供的主体属性证书，policyID是S-PEP根据Req中资源和动作参数所对应的访问控制规则的策略的ID，σ_S-PEP是S-PEP用自己私钥进行的签名。

第三步，当PDN中任一节点收到AAR后，会先对AAR的签名进行验证，检验其合法性。验证通过后，生成一个类型为策略评估的交易T_pe，并调用策略评估智能合约，通过从区块账本中检索与policyID对应的策略，评估AAR中的访问请求。最后经过PDN的共识，对访问请求形成决议，将决定(同意/拒绝)保存在评估记录Tx中，并记录于区块链账本上。评估记录包含如下信息：

Tx＝(Req,Decision,T)

每一个评估记录Tx都包含一个TxID＝Hash(Tx)，TxID是每一个评估记录都拥有唯一的ID，Decision是经过共识的决定，值用布尔型表示同意或拒绝。T为此TxID的过期时间。

第四步，PDN会将Decision为同意的TxID分别通过S-PEP与R-PEP传给请求者和资源所有者。如果Decision为拒绝，R-PEP将不进行转发。

第五步，资源所有者在收到TxID后，可申请查询PDN的区块链账本。

第六步，PDN根据TxID查找对应的Tx，若Decision为同意且T未过期，则向资源所有者返回Tx。

第七步，资源所有者在收到相应Tx后，从Req取出E，解密得到会话密钥k。

k＝Dec(E,Sk_ro)

在资源可用的情况下，将资源数据D以对称加密的方式E(D,k)加密后，发给请求者。

步骤2、属性与策略智能合约的设计

在访问控制系统的准备阶段，属性智能合约承担了属性创建和属性分配的工作；策略管理合约负责策略的创建与撤销，并且可以通过撤销旧策略创建新策略来实施策略的更新；在系统的访问授权阶段，由策略评估合约对每一次访问授权进行综合评估。整个授权流程，就是在这三个智能合约的紧密配合下，得以无缝衔接的。

第一步，属性智能合约的设计。

属性创建，从收到的T_ac“属性创建”交易中解析属性，检查属性的语义，与专家属性库进行对比，如合法后将其转换为一个json对象。经共识确认后，存于PDN网络的区块中。属性分配，当收到T_ad“属性分配”交易时，对交易的签名进行验证，之后通过交易申请的AID在属性库中匹配属性，将匹配到的属性取出，经过共识算法共识后，以属性证书的形式发送回申请者。

第二步，策略智能合约的设计。

策略创建，在收到资源所有者发来的T_pc“策略创建”交易后，验证发送者的签名，再检查和提取交易中的属性集，按语义要求组成策略。生成policyID，并在策略库中查找，如没有重复策略则创建成功，经过共识后存入区块链。策略撤销，使用写入空集的方法，根据policyID撤销已生成的策略。合约设计思路是在收到策略创建者发来的T_pr“策略撤销”交易后，验证发送者的签名，提取policyID后验证撤销者和创建者身份一致，如一致则对以policyID为键对应的值置空。

第三步，策略评估智能合约的设计。

当系统收到PEP节点发来的基于属性AAR请求后，生成T_pe策略评估交易，调用策略评估合约。合约验证请求者的属性证书，从请求中的属性证书中提取属性集，再根据请求中的policyID从策略库中获取到适用策略，进行属性与策略比对。最后根据比对结果生成评估记录，经共识后存于链上。

步骤3、共识算法的设计

共识算法采用了经过可验证随机函数改进的PBFT算法。PBFT算法有高效率、低功耗、高容错等优势，但是也存在无法动态地扩展节点，本发明主要在原PBFT算法前添加选举流程，提升其可扩展性。选举流程具体如下：

第一步，当共识网络中的某一节点发现任意验证节点无法继续执行共识操作后，向其他验证节点发送弹劾消息；

第二步，当任意验证节点收到大于2倍作恶节点数个指认某节点需要被弹劾的消息后，将被弹劾节点信息从现有验证节点列表中移除，并进入选举阶段；

第三步，进入选举阶段后，为了避免异步通信导致的信息不同步，共识网络会进行一次证节点列表强制同步，以保证共识网的一致性；

第四步，验证节点向所有候选节点发送VRF请求，验证返回的VRF回复消息的合法性，并比较收到的VRF计算值。为了提高效率，设定拥有VRF计算值最小的候选节点作为获选节点。向获选节点发送获选消息。并更新验证节点列表；

第五步，任意候选节点收到大于2倍作恶节点数个获选消息后。变更身份为验证节点，加入共识网络，与共识网络同步账本。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本技术方案的宗旨和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (7)

1.一种基于区块链的分布式访问控制方法，其特征在于，该方法具体包括以下步骤：

S1：设计分布式访问授权流程；

根据基于区块链的分布式访问控制模型B-ABAC中各组件功能，设计分布式授权流程；同时设计在授权过程中，将产生的授权访问记录都记录在区块链上；

设计分布式访问授权流程，具体包括以下步骤：

S11：请求者向主体端策略执行点发送一个访问请求；

S12：在主体端策略执行点收到请求后，首先验证请求的合法性，之后将按请求中的参数转换成基于属性的形式化描述，组成基于属性的访问请求AAR发送给策略决策网络；

S13：当策略决策网络中任一节点收到AAR后，检验其合法性，调用策略评估智能合约，评估AAR中的访问请求；最后经过策略决策网络的共识，对访问请求形成决定，将决定保存在评估记录Tx中，并记录于区块链账本上；

S14：策略决策网络将授权结果以评估记录号TxID方式传给请求者和资源所有者；

S15：资源所有者在收到TxID后，申请查询策略决策网络的区块链账本；

S16：策略决策网络根据TxID查找对应的Tx，向资源所有者返回Tx；

S17：资源所有者在收到相应Tx后，解密得到会话密钥k；

S2：设计属性与策略智能合约；

分离出属性权威和策略权威的职能，将这些职能分散到B-ABAC模型中的智能合约与区块链账本中；

S3：设计共识算法；

使用分布式决策网络代替原有的决策点，设计并使用改进后的共识算法对分布式决策网络进行共识维护，消除模型中单点失败的可能。

2.根据权利要求1所述的分布式访问控制方法，其特征在于，步骤S11中，访问请求包含的信息为：

其中，ReqL与ResL分别表示请求者与资源的定位地址，action表示请求者想发起的访问操作，E表示用资源所有者的公钥Pk_ro对会话密钥k进行的非对称加密E＝Enc(k,Pk_ro)；σ_req＝Sig(hash(Req),Sk_req)表示请求者的签名，其中hash(Req)代表对资源请求者所发送的访问请求包Req的哈希值，SK_req资源请求者的私钥。

3.根据权利要求2所述的分布式访问控制方法，其特征在于，步骤S12中，组成基于属性的访问请求AAR包含的信息为：

AAR＝(Req,C_sub,policyID)_σS-PEP

其中，C_sub表示主体端策略执行点为请求者提供的主体属性证书，policyID是主体端策略执行点根据Req中资源和动作参数所对应的访问控制规则的策略的ID，σ_S-PEP是主体端策略执行点用自己私钥进行的签名。

4.根据权利要求3所述的分布式访问控制方法，其特征在于，步骤S13中，评估记录Tx包含的信息为：

Tx＝(Req,Decision,T)

每一个评估记录Tx都包含一个TxID＝Hash(Tx)，TxID是每一个评估记录都拥有唯一的ID，Decision是经过共识的决定，值用布尔型表示同意或拒绝；T为此TxID的过期时间。

5.根据权利要求4所述的分布式访问控制方法，其特征在于，步骤S17中，解密得到的会话密钥k为：

k＝Dec(E,Sk_ro)

其中，Sk_ro表示资源所有者的私钥。

6.根据权利要求1所述的分布式访问控制方法，其特征在于，步骤S2中，设计属性与策略智能合约，具体包括以下步骤：

S21：设计属性智能合约，包括属性创建与属性分配；

S22：设计策略智能合约，包括策略创建与策略撤销；

S23：设计策略评估智能合约，系统AAR请求后，调用策略评估合约；合约验证请求者的属性证书，从请求中的属性证书中提取属性集，从策略库中获取到适用策略，进行属性与策略比对；最后根据比对结果生成评估记录，经共识后存于链上。

7.根据权利要求6所述的分布式访问控制方法，其特征在于，步骤S3中，设计共识算法，具体包括以下步骤：

S31：当共识网络中的某一节点发现任意验证节点无法继续执行共识操作后，向其他验证节点发送弹劾消息；

S32：当任意验证节点收到大于2倍作恶节点数个指认某节点需要被弹劾的消息后，将被弹劾节点信息从现有验证节点列表中移除，并进入选举阶段；

S33：进入选举阶段后，共识网络进行一次证节点列表强制同步；

S34：验证节点向所有候选节点发送VRF请求，验证返回的VRF回复消息的合法性，并比较收到的VRF计算值；设定拥有VRF计算值最小的候选节点作为获选节点；向获选节点发送获选消息；并更新验证节点列表；

S35：任意候选节点收到大于2倍作恶节点数个获选消息后；变更身份为验证节点，加入共识网络，与共识网络同步账本。

Images