CN112818379B - 一种基于区块链的航空重力数据安全访问控制方法及系统 - Google Patents

Abstract

本发明提供了一种基于区块链的航空重力数据安全访问控制方法及系统，将航空重力数据对应访问控制策略、数据地址和数据共享操作上传至区块链区块上，可以去中心化地进行航空重力数据访问控制，做到所有航空重力数据的共享行为有迹可循。

Description

一种基于区块链的航空重力数据安全访问控制方法及系统

技术领域

本发明涉及航空遥感领域，尤其涉及一种基于区块链的航空重力数据安全访问控制方法及系统。

背景技术

航空重力数据包含地理坐标和重力场等信息。其中，重力场信息可用来研究地球地质构造、寻找油气和矿产资源，是国家能源和矿产资源勘探的重要依据，关系到国家战略性矿产资源的安全。因此，航空重力数据是国防建设重要的基础资料，关系到国家国防安全，是秘密级数据。

航空重力数据由重力加速度信息和高精度定位数据两部分原始数据、分别以文件的形式导入数据所属单位内部的GeoProbe软件平台后合成得到。之后，航空重力数据以数据库形式长期存储在GeoProbe中。

GeoProbe在数据所属单位内部保密机上，可保证数据的安全性和保密性。但数据存在外出情况，一是从数据库导出给外部高校或科研院所进行数据分析研究，二是随单位保密笔记本到野外现场。尽管用于存储或分析处理数据的计算机均为保密机，但仍然存在着被非法进入、非法拷贝获取的可能。

目前的方法是通过单位间数据共享合作协议约束数据分析单位将数据导入保密计算机内，按照秘密级数据管理要求进行管理；数据随数据所有单位保密笔记本外出到野外现场时，由保密机笔记本责任人保证航空重力数据的安全。但该方案存在的问题是，这些方法都属于管理手段，很难从根本上杜绝数据的泄漏，且数据在导出给外单位的传输过程中也存在数据泄漏的风险。如果采用PKI体系进行数据分发共享，会带来多级密钥管理问题，密钥管理工作复杂，业务量随之剧增。

另外，数据共享给外单位较频繁造成共享关系及共享数据映射复杂，一旦出现数据泄漏现象，泄漏轨迹溯源较难实现。

发明内容

本发明旨在提供一种克服上述问题或者至少部分地解决上述问题的基于区块链的航空重力数据安全访问控制方法及系统。

为达到上述目的，本发明的技术方案具体是这样实现的：

本发明的一个方面提供了一种基于区块链的航空重力数据安全访问控制方法，应用于包括至少一个联盟链节点、至少一个普通节点和联盟链区块的系统，每个联盟链节点对应一个单位和至少一个普通节点；方法包括：每个普通节点上传航空重力原始数据；每个联盟链节点收集一段时间T的管辖范围内的普通节点数据D1、D2、……、Dn；每个联盟链节点将收集到的原始数据导入内部专有数据库GeoProbe，汇总时间T内新收集的所有数据，按照缺省数据填充、格式内容清洗、去重、去除不合理、非需求数据清洗和关联性验证的步骤清洗处理所述原始数据，提取出结构化的航空重力数据；每个联盟链节点利用节点对称密钥的衍生密钥对结构化的航空重力数据进行分组加密，其中，衍生密钥为对节点对称密钥、上一区块的hash值、当前时间和联盟链节点ID进行hash运算得到的；每个联盟链节点将加密后的数据存入数据库；每个联盟链节点将航空重力数据包的索引标签、存储地址、访问控制策略、时间戳打包上传至联盟链区块，并广播至联盟链网络；当第一普通节点申请区块访问时，第一普通节点先询问自己的第一联盟链节点，第一联盟链节点管辖第一普通节点；第一联盟链节点与第一普通节点互验身份，如果验证通过，则第一联盟链节点遍历每个区快，其中，每个区块包括：数据索引、数据地址、存储地址、访问控制策略、时间戳和签名，查询符合条件的数据索引、访问控制策略及归属联盟链节点；如果验证不通过，则第一联盟链节点拒绝第一普通节点的访问；第一联盟链节点判断是否允许第一普通节点访问，如果允许访问，则第一联盟链节点判断归属联盟链节点的归属，如果不允许访问，则第一联盟链节点拒绝第一普通节点的访问；如果判断归属联盟链节点为第一联盟链节点，则第一联盟链接点向第一普通节点发送数据地址及衍生密钥；如果判断归属联盟链节点为第二联盟链节点，则第一联盟链节点向第二联盟链节点申请数据包；第二联盟链节点利用信息安全通道向第一联盟链接点发送衍生密钥，第一联盟链接点向第一普通节点发送数据地址及衍生密钥；第一普通节点下载数据并利用衍生密钥解密数据包获得航空重力数据。

其中，第一联盟链节点将共享行为加盖时间戳后记入新的数据共享操作区块，其中，所述新的数据共享操作区块包括：共享时间、数据有所方、数据请求方、数据索引、数据摘要、时间戳和签名。

其中，信息安全通道包括：专网，或者第一联盟链节点和第二联盟链节点之间协商会话密钥，利用会话密钥加密衍生密钥。

本发明另一方面提供了一种基于区块链的航空重力数据安全访问控制系统，包括至少一个联盟链节点、至少一个普通节点和联盟链区块，其中，每个联盟链节点对应一个单位和至少一个普通节点；每个普通节点，用于上传航空重力原始数据；每个联盟链节点，用于收集一段时间T的管辖范围内的普通节点数据D1、D2、……、Dn；将收集到的原始数据导入内部专有数据库GeoProbe，汇总时间T内新收集的所有数据，按照缺省数据填充、格式内容清洗、去重、去除不合理、非需求数据清洗和关联性验证的步骤清洗处理所述原始数据，提取出结构化的航空重力数据；利用节点对称密钥的衍生密钥对结构化的航空重力数据进行分组加密，其中，衍生密钥为对节点对称密钥、上一区块的hash值、当前时间和联盟链节点ID进行hash运算得到的；将加密后的数据存入数据库；将航空重力数据包的索引标签、存储地址、访问控制策略、时间戳打包上传至联盟链区块，并广播至联盟链网络；当第一普通节点申请区块访问时，第一普通节点，用于先询问自己的第一联盟链节点，第一联盟链节点管辖第一普通节点；第一联盟链节点，用于与第一普通节点互验身份，如果验证通过，则遍历每个区快，其中，每个区块包括：数据索引、数据地址、存储地址、访问控制策略、时间戳和签名，查询符合条件的数据索引、访问控制策略及归属联盟链节点；如果验证不通过，则拒绝第一普通节点的访问；判断是否允许第一普通节点访问，如果允许访问，则判断归属联盟链节点的归属，如果不允许访问，则拒绝第一普通节点的访问；如果判断归属联盟链节点为第一联盟链节点，则向第一普通节点发送数据地址及衍生密钥；如果判断归属联盟链节点为第二联盟链节点，则向第二联盟链节点申请数据包，接收第二联盟链节点利用信息安全通道发送的衍生密钥，向第一普通节点发送数据地址及衍生密钥；第一普通节点，还用于下载数据并利用衍生密钥解密数据包获得航空重力数据。

其中，第一联盟链节点，还用于将共享行为加盖时间戳后记入新的数据共享操作区块，其中，新的数据共享操作区块包括：共享时间、数据有所方、数据请求方、数据索引、数据摘要、时间戳和签名。

其中，信息安全通道包括：专网，或者第一联盟链节点和第二联盟链节点之间协商会话密钥，利用会话密钥加密衍生密钥。

由此可见，通过本发明提供的基于区块链的航空重力数据安全访问控制方法及系统，为航空遥感行业的航空重力合成数据及原始数据在单位间安全共享提供解决方案。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例提供的基于区块链的航空重力数据安全访问控制方法的流程图；

图2为本发明实施例提供的基于区块链的航空重力数据安全访问控制装置的系统示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图1示出了本发明实施例提供的基于区块链的航空重力数据安全访问控制方法的流程图，参见图1，本发明实施例提供的基于区块链的航空重力数据安全访问控制方法，应用于包括至少一个联盟链节点、至少一个普通节点和联盟链区块的系统，每个联盟链节点对应一个单位和至少一个普通节点；

方法包括：

每个普通节点上传航空重力原始数据；

每个联盟链节点收集一段时间T的管辖范围内的普通节点数据D1、D2、……、Dn；

每个联盟链节点将收集到的原始数据导入内部专有数据库GeoProbe，汇总时间T内新收集的所有数据，按照缺省数据填充、格式内容清洗、去重、去除不合理、非需求数据清洗和关联性验证的步骤清洗处理原始数据，提取出结构化的航空重力数据；

每个联盟链节点利用节点对称密钥的衍生密钥对结构化的航空重力数据进行分组加密，其中，所述衍生密钥为对所述节点对称密钥、上一区块的hash值、当前时间和联盟链节点ID进行hash运算得到的；

每个联盟链节点将加密后的数据存入数据库；

每个联盟链节点将航空重力数据包的索引标签、存储地址、访问控制策略、时间戳打包上传至联盟链区块，并广播至联盟链网络；

当第一普通节点申请区块访问时，第一普通节点先询问自己的第一联盟链节点，第一联盟链节点管辖第一普通节点；

第一联盟链节点与第一普通节点互验身份，如果验证通过，则第一联盟链节点遍历每个区快，其中，每个区块包括：数据索引、数据地址、存储地址、访问控制策略、时间戳和签名，查询符合条件的数据索引、访问控制策略及归属联盟链节点；如果验证不通过，则第一联盟链节点拒绝第一普通节点的访问；

第一联盟链节点判断是否允许第一普通节点访问，如果允许访问，则第一联盟链节点判断归属联盟链节点的归属，如果不允许访问，则第一联盟链节点拒绝第一普通节点的访问；

如果判断归属联盟链节点为第一联盟链节点，则第一联盟链接点向第一普通节点发送数据地址及衍生密钥；

如果判断归属联盟链节点为第二联盟链节点，则第一联盟链节点向第二联盟链节点申请数据包；第二联盟链节点利用信息安全通道向第一联盟链接点发送衍生密钥，第一联盟链接点向第一普通节点发送数据地址及衍生密钥；

第一普通节点下载数据并利用衍生密钥解密数据包获得航空重力数据。

作为本发明实施例的一个可选实施方式，第一联盟链节点将共享行为加盖时间戳后记入新的数据共享操作区块，其中，新的数据共享操作区块包括：共享时间、数据有所方、数据请求方、数据索引、数据摘要、时间戳和签名。

作为本发明实施例的一个可选实施方式，信息安全通道包括：专网，或者第一联盟链节点和第二联盟链节点之间协商会话密钥，利用会话密钥加密衍生密钥。具体地，信息安全通道包括两种实现形式，一种是假设联盟链节点都在5G专网内，信息通道可信安全；另一种是双向身份认证，建立安全通道，协商会话密钥后，第二联盟链节点将衍生密钥加密发送给第一联盟链节点。

具体地，本发明实施例提供的基于区块链的航空重力数据安全访问控制方法基于联盟链实现数据安全共享，包含多个联盟链节点，每个联盟链节点对应一个单位和多个普通节点。联盟链节点负责收集、处理和存储本联盟普通节点上传的数据，以及将对数据的引用等打包上传到联盟链区块上。联盟链只负责记账本，不产生数据访问交易。普通节点只有上传数据和访问数据的功能，只能产生交易、不负责记账。

本发明实施例提供的基于区块链的航空重力数据安全访问控制方法包括按顺序进行的下列步骤：

1)普通节点上传航空重力原始数据；

2)联盟链节点A收集一段时间T的管辖范围内的普通节点数据D1、D2、。。。Dn；

3)联盟链节点A将收集到的原始数据汇总、清洗、处理后，通过GeoProbe提取出结构化的航空重力数据；

4)联盟链节点A利用节点对称密钥的衍生密钥对结构化的航空重力数据进行分组加密；

5)联盟链节点A将加密后的数据存入数据库；

6)联盟链节点A将航空重力数据包的索引标签、存储地址、访问控制策略、时间戳打包上传为联盟链区块，并广播至联盟链网络；

7)当普通节点申请区块访问时，先询问自己的联盟链节点A；

8)联盟链节点A与普通节点互验身份，验证不通过时联盟链节点A拒绝普通节点的访问；

9)验证通过时，联盟链节点A查询数据索引、访问控制策略及归属联盟链节点；

10)如果普通节点没有访问权限，联盟链节点A拒绝普通节点的访问；

11)如果普通节点有访问权限且数据存储于本联盟链节点B，联盟链节点A向联盟链节点B申请数据包；联盟链接点B向联盟链接点A发送衍生密钥，之后转至步骤13)；

12)如果普通节点有访问权限且数据存储于本联盟链节点A，步骤13)；

13)联盟链接点A向普通节点发送数据地址及衍生密钥；

14)普通节点下载数据并利用衍生密钥解密数据包获得航空重力数据；

15)联盟链接点讲共享行为加盖时间戳后记入新的数据共享操作区块。

更为具体地，将收集到的数据片段导入内部专有数据库GeoProbe，汇总时间T内新收集的所有数据，然后按照“缺省数据填充--》格式内容清洗--》去重--》去除不合理--》非需求数据清洗--》关联性验证”的步骤清洗处理原始数据，从而提取出结构化的航空重力数据。

衍生密钥＝Hash(联盟链节点对称密钥||上一区块的Hash值||当前时间||联盟链节点ID)。

数据区块的结构：数据索引||数据地址||存储地址||访问控制策略||时间戳||签名；因此，联盟链节点通过遍历每个区块，查询符合查询条件的数据索引及其地址。

由此可见，利用本发明实施例提供的基于区块链的航空重力数据安全访问控制方法，将航空重力数据对应访问控制策略、数据地址和数据共享操作上传至区块链区块上，可以去中心化地进行航空重力数据访问控制，做到所有航空重力数据的共享行为有迹可循。

图2示出了本发明实施例提供的基于区块链的航空重力数据安全访问控制系统的结构示意图，该基于区块链的航空重力数据安全访问控制系统应用上述方法，以下仅对基于区块链的航空重力数据安全访问控制系统的结构进行简单说明，其他未尽事宜，请参照上述基于区块链的航空重力数据安全访问控制方法中的相关描述，参见图2，本发明实施例提供的基于区块链的航空重力数据安全访问控制系统包括：至少一个联盟链节点、至少一个普通节点和联盟链区块，其中，每个联盟链节点对应一个单位和至少一个普通节点；

每个普通节点，用于上传航空重力原始数据；

每个联盟链节点，用于收集一段时间T的管辖范围内的普通节点数据D1、D2、……、Dn；将收集到的原始数据导入内部专有数据库GeoProbe，汇总时间T内新收集的所有数据，按照缺省数据填充、格式内容清洗、去重、去除不合理、非需求数据清洗和关联性验证的步骤清洗处理所述原始数据，提取出结构化的航空重力数据；利用节点对称密钥的衍生密钥对结构化的航空重力数据进行分组加密，其中，所述衍生密钥为对所述节点对称密钥、上一区块的hash值、当前时间和联盟链节点ID进行hash运算得到的；将加密后的数据存入数据库；将航空重力数据包的索引标签、存储地址、访问控制策略、时间戳打包上传至联盟链区块，并广播至联盟链网络；

当第一普通节点申请区块访问时，第一普通节点，用于先询问自己的第一联盟链节点，第一联盟链节点管辖第一普通节点；

第一联盟链节点，用于与第一普通节点互验身份，如果验证通过，则遍历每个区快，其中，每个区块包括：数据索引、数据地址、存储地址、访问控制策略、时间戳和签名，查询符合条件的数据索引、访问控制策略及归属联盟链节点；如果验证不通过，则拒绝第一普通节点的访问；判断是否允许第一普通节点访问，如果允许访问，则判断归属联盟链节点的归属，如果不允许访问，则拒绝第一普通节点的访问；如果判断归属联盟链节点为第一联盟链节点，则向第一普通节点发送数据地址及衍生密钥；如果判断归属联盟链节点为第二联盟链节点，则向第二联盟链节点申请数据包，接收第二联盟链节点利用信息安全通道发送的衍生密钥，向第一普通节点发送数据地址及衍生密钥；

第一普通节点，还用于下载数据并利用衍生密钥解密数据包获得航空重力数据。

作为本发明实施例的一个可选实施方式，第一联盟链节点，还用于将共享行为加盖时间戳后记入新的数据共享操作区块，其中，新的数据共享操作区块包括：共享时间、数据有所方、数据请求方、数据索引、数据摘要、时间戳和签名。

作为本发明实施例的一个可选实施方式，信息安全通道包括：专网，或者第一联盟链节点和第二联盟链节点之间协商会话密钥，利用会话密钥加密衍生密钥。

由此可见，利用本发明实施例提供的基于区块链的航空重力数据安全访问控制系统，将航空重力数据对应访问控制策略、数据地址和数据共享操作上传至区块链区块上，可以去中心化地进行航空重力数据访问控制，做到所有航空重力数据的共享行为有迹可循。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (6)

1.一种基于区块链的航空重力数据安全访问控制方法，其特征在于，应用于包括至少一个联盟链节点、至少一个普通节点和联盟链区块的系统，每个所述联盟链节点对应一个单位和至少一个所述普通节点；

所述方法包括：

每个所述普通节点上传航空重力原始数据；

每个所述联盟链节点收集一段时间T的管辖范围内的普通节点数据D1、D2、……、Dn；

每个所述联盟链节点将收集到的原始数据导入内部专有数据库GeoProbe，汇总时间T内新收集的所有数据，按照缺省数据填充、格式内容清洗、去重、去除不合理、非需求数据清洗和关联性验证的步骤清洗处理所述原始数据，提取出结构化的航空重力数据；

每个所述联盟链节点利用节点对称密钥的衍生密钥对所述结构化的航空重力数据进行分组加密，其中，所述衍生密钥为对所述节点对称密钥、上一区块的hash值、当前时间和联盟链节点ID进行hash运算得到的；

每个所述联盟链节点将加密后的数据存入数据库；

每个所述联盟链节点将航空重力数据包的索引标签、存储地址、访问控制策略、时间戳打包上传至联盟链区块，并广播至联盟链网络；

当第一普通节点申请区块访问时，所述第一普通节点先询问自己的第一联盟链节点，所述第一联盟链节点管辖所述第一普通节点；

所述第一联盟链节点与所述第一普通节点互验身份，如果验证通过，则所述第一联盟链节点遍历每个区块，其中，每个区块包括：数据索引、数据地址、存储地址、访问控制策略、时间戳和签名，查询符合条件的数据索引、访问控制策略及归属联盟链节点；如果验证不通过，则所述第一联盟链节点拒绝所述第一普通节点的访问；

所述第一联盟链节点判断是否允许所述第一普通节点访问，如果允许访问，则所述第一联盟链节点判断所述归属联盟链节点的归属，如果不允许访问，则所述第一联盟链节点拒绝所述第一普通节点的访问；

如果判断所述归属联盟链节点为所述第一联盟链节点，则所述第一联盟链节点向所述第一普通节点发送数据地址及衍生密钥；

如果判断所述归属联盟链节点为第二联盟链节点，则所述第一联盟链节点向所述第二联盟链节点申请数据包；所述第二联盟链节点利用信息安全通道向所述第一联盟链节点发送所述衍生密钥，所述第一联盟链节点向所述第一普通节点发送数据地址及所述衍生密钥；

所述第一普通节点下载数据并利用所述衍生密钥解密数据包获得航空重力数据。

2.根据权利要求1所述的方法，其特征在于，所述第一联盟链节点将共享行为加盖时间戳后记入新的数据共享操作区块，其中，所述新的数据共享操作区块包括：共享时间、数据有所方、数据请求方、数据索引、数据摘要、时间戳和签名。

3.根据权利要求1所述的方法，其特征在于，所述信息安全通道包括：专网，或者所述第一联盟链节点和所述第二联盟链节点之间协商会话密钥，利用会话密钥加密所述衍生密钥。

4.一种基于区块链的航空重力数据安全访问控制系统，其特征在于，包括至少一个联盟链节点、至少一个普通节点和联盟链区块，其中，每个所述联盟链节点对应一个单位和至少一个所述普通节点；

每个所述普通节点，用于上传航空重力原始数据；

每个所述联盟链节点，用于收集一段时间T的管辖范围内的普通节点数据D1、D2、……、Dn；将收集到的原始数据导入内部专有数据库GeoProbe，汇总时间T内新收集的所有数据，按照缺省数据填充、格式内容清洗、去重、去除不合理、非需求数据清洗和关联性验证的步骤清洗处理所述原始数据，提取出结构化的航空重力数据；利用节点对称密钥的衍生密钥对所述结构化的航空重力数据进行分组加密，其中，所述衍生密钥为对所述节点对称密钥、上一区块的hash值、当前时间和联盟链节点ID进行hash运算得到的；将加密后的数据存入数据库；将航空重力数据包的索引标签、存储地址、访问控制策略、时间戳打包上传至联盟链区块，并广播至联盟链网络；

当第一普通节点申请区块访问时，所述第一普通节点，用于先询问自己的第一联盟链节点，所述第一联盟链节点管辖所述第一普通节点；

所述第一联盟链节点，用于与所述第一普通节点互验身份，如果验证通过，则遍历每个区块，其中，每个区块包括：数据索引、数据地址、存储地址、访问控制策略、时间戳和签名，查询符合条件的数据索引、访问控制策略及归属联盟链节点；如果验证不通过，则拒绝所述第一普通节点的访问；判断是否允许所述第一普通节点访问，如果允许访问，则判断所述归属联盟链节点的归属，如果不允许访问，则拒绝所述第一普通节点的访问；如果判断所述归属联盟链节点为所述第一联盟链节点，则向所述第一普通节点发送数据地址及所述衍生密钥；如果判断所述归属联盟链节点为第二联盟链节点，则向所述第二联盟链节点申请数据包，接收所述第二联盟链节点利用信息安全通道发送的衍生密钥，向所述第一普通节点发送数据地址及所述衍生密钥；

所述第一普通节点，还用于下载数据并利用所述衍生密钥解密数据包获得航空重力数据。

5.根据权利要求4所述的系统，其特征在于，所述第一联盟链节点，还用于将共享行为加盖时间戳后记入新的数据共享操作区块，其中，所述新的数据共享操作区块包括：共享时间、数据有所方、数据请求方、数据索引、数据摘要、时间戳和签名。

6.根据权利要求5所述的系统，其特征在于，所述信息安全通道包括：专网，或者所述第一联盟链节点和所述第二联盟链节点之间协商会话密钥，利用会话密钥加密所述衍生密钥。

Images