CN112822009A - 一种支持密文去重的属性密文高效共享系统 - Google Patents
一种支持密文去重的属性密文高效共享系统 Download PDFInfo
- Publication number
- CN112822009A CN112822009A CN202110103584.5A CN202110103584A CN112822009A CN 112822009 A CN112822009 A CN 112822009A CN 202110103584 A CN202110103584 A CN 202110103584A CN 112822009 A CN112822009 A CN 112822009A
- Authority
- CN
- China
- Prior art keywords
- ciphertext
- data
- uploaded
- client
- attribute
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Storage Device Security (AREA)
Abstract
本发明涉及一种支持密文去重的属性密文高效共享系统,系统包括客户端、密钥分发服务器、授权中心以及云存储服务器,客户端与密钥分发服务器、授权中心以及云存储服务器通讯连接,密钥分发服务器与客户端通讯连接,授权中心与客户端以及云存储服务器通讯连接,云存储服务器与客户端以及授权中心通讯连接,系统通过预设属性集模糊策略将属性集中的属性进行模糊映射,保护了系统和用户属性的安全,采用自我控制对象技术解决了系统用户隐私泄露问题,云存储服务器采用树结构的存储方式,用户只需进行一次访问请求就可以获取所能解密的全部密文数据,缩短密文获取时间,实现了密文高效共享,利用去重技术来消除数据冗余,节省存储空间,减少存储开销。
Description
技术领域
本发明涉及云计算和安全数据共享领域,尤其涉及一种支持密文去重的属性密文高效共享系统。
背景技术
在互联网时代,由于全球数据的大量增长,云计算也在飞速发展。作为云计算中的重要角色之一的云存储服务已经成为用户将数据外包的关键方式,其中的云共享技术是信息交互的重要方法,极大地方便了用户将数据进行授权共享。近年来数据安全问题多发出现和用户数据信息的频繁泄露,信息安全已成为研究的焦点与热点。
现有技术中,数据共享系统及用户属性的真实性和安全性无法得到保护,并且在数据共享系统中存储数据时会存在重复存储的现象,造成数据冗余,浪费储存资源。
发明内容
针对上述问题,本发明提出了一种支持密文去重的属性密文高效共享系统。
本发明提出的支持密文去重的属性密文高效共享系统包括客户端、密钥分发服务器、授权中心以及云存储服务器,其中:客户端,与密钥分发服务器、授权中心以及云存储服务器通讯连接,用于根据用户的指令向密钥分发服务器发送注册请求、向授权中心发送数据访问请求以及上传数据请求,接收并保存密钥分发服务器发送的用户的属性私钥和证书指令、根据预设加密策略对待上传数据进行加密,获取密文分量并根据密文分量生成待上传密文数据、根据获取到的待访问密文数据的位置索引从云存储服务器中获取待访问密文数据、根据预设解密策略对获取到的待访问密文数据进行解密;密钥分发服务器,与客户端通讯连接,用于进行系统初始化,进行系统初始化包括根据预设属性集模糊策略将系统属性集U中的属性进行映射模糊、生成系统的公开参数和主私钥、在用户注册阶段根据用户的注册请求以及预设密钥生成策略为每一位用户生成对应的公私钥对和证书指令;授权中心,与客户端以及云存储服务器通讯连接,用于在接收数据拥有者A的上传数据请求后,根据预设密文去重策略进行重复密文检测,根据预设密文安全性判断策略计算出待上传密文数据在云存储服务器存放的树节点位置,并根据待上传密文数据在云存储服务器存放的树节点位置生成位置索引,将位置索引发送至云存储服务器;授权中心还用于在接收数据访问者B的数据访问请求后,根据预设的权限认证策略获得数据访问者B的属性集UB’满足的访问控制策略,并根据访问控制策略确定云存储服务器中对应的待访问密文数据的位置索引,并将待访问密文数据的位置索引发送至数据访问者B的客户端;云存储服务器,与客户端以及授权中心通讯连接,采用树结构存储数据,用于在接收到客户端发送的待上传密文数据后,根据授权中心发送的待上传密文数据的位置索引将待上传密文数据存储在对应的树节点上。
进一步的,根据预设属性集模糊策略将系统属性集中的属性进行映射模糊包括:选择选取阶为大素数p的双线性群加法循环群G和乘法循环群GT,使G和GT满足双线性映射e:G×G→GT,记g∈G为G的生成元,使用单向函数f将系统属性集U中的属性进行映射模糊为系统属性集U’,对于系统属性集U’中的每一个属性i,选取hi∈Zq*,计算选择α,β∈Zq*,定义哈希函数H1:G→{0,1}*、H2:GT→{0,1}n,系统的公开参数PK=<G,GT,g,e(g,g)α,Ti,H1,H2>,系统的主私钥MK=<β,gα>。
进一步的,注册请求包括注册用户的属性集,属性集为经过系统模糊映射后的属性集;密钥分发服务器根据预设密钥生成策略为每一位注册用户生成对应的公私钥对和证书指令包括:随机选取tu∈Zq *作为注册用户身份标识,证书指令针对用户的属性集中的每一个属性x,计算用户的私钥SK=<K,Kx>,用户的公钥为系统的公开参数PK。
进一步的,客户端根据预设加密策略对待上传数据进行加密,获取密文分量并根据密文分量生成待上传密文数据包括:客户端随机选取s,v1,v2,...,vq∈Zq *,构成一个列向量计算利用系统的公开参数PK、LSSS访问结构W=(M,ρ)对待上传数据m进行加密,其中,M是一个l×q的矩阵,ρ是矩阵每一行到属性ρ(i)的映射关系,加密后得到待上传数据m的密文分量C=me(g,g)αs,以及待上传密文数据CT=<C,Ci,Ci’>。
进一步的,上传数据请求包括数据拥有者A的证书指令δA以及SCO容器,SCO容器为客户端封装好的包括访问控制策略以及去重标签的SCO容器。
进一步的,访问控制策略为数据拥有者A通过客户端选取,去重标签由客户端生成,去重标签的生成方法为:利用函数H1将待上传数据m的密文分量进行哈希映射得到H1(C),根据H1(C)以及数据拥有者A经过系统模糊后的属性集UA’生成待上传密文数据CT的去重标签Tag=(H1(C),UA’),其中,H1:G→{0,1}*。
进一步的,根据预设密文去重策略进行重复密文检测包括:授权中心判断去重标签Tag=(H1(C),UA’)中的H1(C)是否已经存储,若已经存储,判断数据拥有者A的属性集UA’是否满足已存储密文的访问控制策略,若满足,授权中心将与待上传数据重复的已存储密文数据的位置索引发送给数据拥有者A的客户端,并提示数据拥有者A上传数据失败,若去重标签Tag=(H1(C),UA’)中的H1(C)未存储或者去重标签Tag=(H1(C),UA’)中的H1(C)已存储但数据拥有者A的属性集UA’不满足已存储密文的访问控制策略,则由数据拥有者A的客户端将待上传密文数据CT上传至云存储服务器。
进一步的,根据预设密文安全性判断策略计算出待上传密文数据在云存储服务器存放的树节点位置为:判断待上传密文数据的安全性级别,将待上传密文数据的安全性级别和云存储服务器中已存储的密文数据的安全性级别进行对比,根据对比结果以及预设的对比结果与树节点位置对应关系确定待上传密文数据在云存储服务器存放的树节点位置。
进一步的,根据预设解密策略对获取到的待访问密文数据进行解密包括:数据访问者的客户端将所述待访问密文数据以及数据访问者B的属性私钥SKB发送给授权中心,由授权中心进行外包解密,得到半解密密文,数据访问者B的客户端对所述半解密密文进行完全解密,获得访问数据。
本发明提供的支持密文去重的属性密文高效共享系统,至少具有以下有益效果:系统通过预设属性集模糊策略将属性集中的属性进行模糊映射,保护了系统和用户属性的安全,采用自我控制对象技术克服了密文和访问控制策略一同发给数据访问者而导致系统用户的隐私泄露问题,云存储服务器采用树结构的存储方式,用户只需进行一次访问请求就可以获取所能解密的全部密文数据,缩短密文获取时间,实现了密文高效共享,利用去重技术来消除数据冗余,节省存储空间,减少存储开销。
附图说明
为了更清楚的说明本发明实施例或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍,显而易见的,下面描述中的附图仅仅是本发明的一些实施例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其它附图。
图1为本发明一种实施例中支持密文去重的属性密文高效共享系统的结构示意图;
图2为本发明一种实施例中云存储服务器的存储结构示意图一;
图3为本发明一种实施例中云存储服务器的存储结构示意图二;
图4为本发明一种实施例中云存储服务器的存储结构示意图三;
图5为本发明一种实施例中的存放密文数据的流程图;
图6为本发明一种实施例中的SCO容器的结构示意图;
图7为本发明一种实施例中的数据拥有者A上传数据的流程图。
具体实施方式
下面将结合本发明中的附图,对本发明实施例中的技术方案进行清楚、完整的描述,显然,所描述的实施例仅仅是本发明一部分实施例,而不是全部的实施例。基于本发明中的实施例,本领域普通的技术人员在没有做出创造性劳动的前提下所获得的所有其它实施例,都属于本发明的保护范围。
在本发明的一种实施例中,如图1所示,支持密文去重的属性密文高效共享系统包括客户端、密钥分发服务器、授权中心以及云存储服务器,其中:
客户端,与密钥分发服务器、授权中心以及云存储服务器通讯连接,用于根据用户的指令向密钥分发服务器发送注册请求、向授权中心发送数据访问请求以及上传数据请求,接收并保存密钥分发服务器发送的用户的属性私钥和证书指令、根据预设加密策略对待上传数据进行加密,获取密文分量并根据所述密文分量生成待上传密文数据、根据获取到的待访问密文数据的位置索引从所述云存储服务器中获取待访问密文数据、根据预设解密策略对获取到的待访问密文数据进行解密。
具体的,客户端包括数据访问者客户端以及数据拥有者客户端,当用户进行数据访问时,用户的客户端即为数据访问者客户端,当用户上传数据时,用户的客户端即为数据拥有者客户端。更具体的,在本系统中,客户端有多个(图1中仅示出一个数据拥有者客户端、一个数据访问者客户端),每个用户均对应一个客户端,用户通过在自己的客户端进行注册,加入到支持密文去重的属性密文高效共享系统中,进行数据的共享或访问。
密钥分发服务器,与客户端通讯连接,用于进行系统初始化,进行系统初始化包括根据预设属性集模糊策略将系统属性集U中的属性进行模糊映射,得到经过模糊映射后的系统属性集U’、生成系统的公开参数和主私钥、在用户注册阶段根据用户的注册请求以及预设密钥生成策略为每一位用户生成对应的公私钥对和证书指令。在本实施例中,系统属性集U为整个系统中所有的属性值的集合,而用户的属性集为每个用户独有的属性值集合,用户属性集是系统属性集的子集。在不同的应用场景下,系统的属性集合是不同的。比如在学校,系统的属性集合可以为:学生、老师、教授、副教授、男、女、理学院、经管院等等的集合。在初始化阶段,密钥分发中心将系统属性集合U中的所有属性值都进行模糊映射,当有用户发起注册请求时(用户发送自己的属性列表),密钥分发中心就直接将该列表中的属性对应于模糊后的值(因为映射函数f只有密钥分发服务器知道),进而可以利用模糊后的注册用户属性集为注册用户生成私钥。密钥分发服务器在系统初始化时将系统属性集U中的属性进行模糊映射,得到经过模糊映射后的系统属性集U’,保护了系统属性集的安全,后续当用户注册时,对用户属性集进行模糊,生成私钥,同样的保护了用户属性集的安全。另外,在本实施例中,系统的公开参数即是每个用户的公钥,系统的主私钥由密钥分发服务器自己保存。为每个用户生成对应的公私钥对,使用户作为数据拥有者在上传数据时可以利用公钥(即系统的公开参数)对待上传数据进行加密,用户作为数据访问者在访问数据时可以利用私钥对待访问数据进行解密。
授权中心,与客户端以及云存储服务器通讯连接,用于在接收数据拥有者A的上传数据请求后,根据预设密文去重策略进行重复密文检测,根据预设密文安全性判断策略计算出待上传密文数据在云存储服务器存放的树节点位置,并根据待上传密文数据在云存储服务器存放的树节点位置生成位置索引,将位置索引发送至云存储服务器。授权中心还用于在接收数据访问者B的数据访问请求后,根据预设的权限认证策略获得数据访问者B的属性集UB’满足的访问控制策略,并根据访问控制策略确定云存储服务器中对应的待访问密文数据的位置索引,并将待访问密文数据的位置索引发送至数据访问者B的客户端。
授权中心与其他云服务器不同,它是一个可信的第三方。接收数据拥有者的客户端发送的上传数据请求,并根据上传数据请求,以及预设的密文去重策略进行重复密文检测,只有当待上传数据与云存储服务器中存储的密文数据不存在重复的情况,才能另数据拥有者的客户端上传待上传数据,而当不存在重复,授权中心会根据预设密文安全性判断策略计算出待上传密文数据在云存储服务器存放的树节点位置,并进一步生成待上传数据的位置索引,将待上传数据的位置索引保存的同时发送给云存储服务器,当数据拥有者将加密之后的待上传数据(即待上传密文数据CT)发送给云存储服务器时,云存储服务器即可根据待上传数据的位置索引存储加密之后的待上传数据。若待上传数据与云存储服务器中存储的密文数据存在重复的情况,则授权中心将与待上传数据重复的已存储密文数据的位置索引发送给数据拥有者的客户端,同时提示上传数据失败。授权中心还接收数据访问者的数据访问请求,其中,数据访问请求包括了数据访问者B的属性集UB’和证书指令δB,根据预设的权限认证策略获得数据访问者B的属性集UB’满足的访问控制策略,并根据访问控制策略确定云存储服务器中对应的待访问密文数据的位置索引,并将待访问密文数据的位置索引发送至数据访问者B的客户端。在本实施例中,证书指令用于用户的认证,密钥分发服务器给每个注册的合法用户都生成唯一证书指令,在上传数据和访问数据阶段,拥有证书指令的为系统中合法用户,如果一个数据访问者(数据拥有者)进行数据访问请求(上传数据请求)而无证书指令,则这个用户为非法用户(系统外的),授权中心就可以以此来判断用户身份。
云存储服务器,与客户端以及授权中心通讯连接,采用树结构存储数据,用于在接收到客户端发送的待上传密文数据后,根据授权中心发送的待上传密文数据的位置索引将待上传密文数据存储在对应的树节点上。
具体的,由于云存储服务器中采用树结构方式存储数据,当授权中心根据预设的权限认证策略获得数据访问者的属性集满足的访问控制策略,根据访问控制策略确定云存储服务器中对应的待访问密文数据的位置索引,数据访问者的客户端获取到位置索引后根据位置索引从云存储服务器中找到位置索引所对应的节点后,可以获取该节点中存储的密文数据以及该节点的所有子节点中存储的密文数据作为待访问密文数据进行解密。也就是说,数据访问者只需提出一次数据访问请求,即可获得其所能有权限访问的全部密文,而无需多次申请访问请求和与授权中心的交互,缩短了密文的获取时间,减少了通信负担,实现了密文的高效共享。
在本实施例中,云存储服务器采用树结构存储数据,采用底层为树形式的数据结构来存放数据,大大提高了密文数据的存放和获取速度。解决了传统数据结构的线性访问时间太慢的问题。
云存储服务器中,树中的每个节点都有自己的位置索引,该位置索引是在该节点存储第一个密文数据时生成的。同一个节点上存放的密文数据对应的访问控制策略是相同的,如图2、图4所示,为云存储服务器中的密文数据的存储结构示意图,其中,CT7,CT8在一个节点中存储(对应节点的位置索引为index7)、CT9,CT10,CT11在一个节点中存储(对应节点的位置索引为index9)、CT14,CT15在一个节点中存储(对应节点的位置索引为index14)、CT17,CT18在一个节点中存储(对应节点的位置索引为index17),即在同一个节点中存储的密文数据对应的访问控制策略是相同的,同一个节点中的密文位置索引也是相同的。
一个节点的父节点存放的密文数据对应的访问控制策略所满足的用户集合是包含于该节点密文的访问控制策略所满足的用户集合,例如,如图3所示,密文数据CT6的父节点存放的密文数据是CT3,所以,能访问到密文数据CT3的用户也可以访问到密文CT6;同理,一个节点的子节点存放的密文数据对应的策略所满足的用户集合是包含该节点密文的策略所满足的用户集合,子节点中存储的密文数据的安全性更低,对应的访问控制策略也容易满足,能满足父节点访问控制策略的用户一定能满足子节点的访问控制策略。例如,密文数据CT14,CT15所能被访问的用户集合是包含能够访问密文数据CT12用户集合的。
进一步的,在本实施例中树结构的概念与关系如下:一颗树的叶子节点定义为该节点没有子节点,只有父节点;根节点定义为没有父节点,只有子节点。父节点和子节点索引的关系为:indexC=indexP.child,其中indexC是子节点索引,indexP是父节点索引。所以叶子节点的子节点索引为空,同理,根节点的父节点索引为空。
进一步的,与传统的数据结构不同,本发明的树型结构中,节点之间的关系只有父节点指向子节点的索引指针,没有子节点指向父节点的。这是因为父节点存放密文数据的访问控制策略比子节点密文数据的访问控制策略要更苛刻、更严谨,父节点满足的用户集合比子节点满足的用户集合小,父节点对应的密文安全性更高,子节点的密文容易被访问到,访问控制策略容易满足。用户只能通过父节点的位置索引来调取子节点的位置索引,而不能通过子节点的位置索引来调取父节点的位置索引。当数据访问者拿到一个密文数据节点的位置索引时,通过该位置索引可一直获取子节点索引中的所有密文,直至获取到所有叶子节点所存放的所有密文数据时为止。
如图4、图5所示,示出了存放密文数据的流程图,在本发明的实施例中,如果数据拥有者目前要上传密文数据CT23,若用户要满足该密文的访问控制策略M23,就能满足密文CT17,CT18的策略并且不能满足密文CT16的策略,则该密文存放至在CT16密文节点的子节点位置上,且放在CT17,CT18密文节点的父节点位置上。所以CT23密文的索引为index23,由于该CT23密文是第一个存放该节点的密文,所以所在节点的索引也是index23,该节点的所有密文索引均为index23。
本实施例中提供的支持密文去重的属性密文高效共享系统,通过在上传数据前对数据进行加密保护数据安全,在上传数据前进行密文存储的重复检测来解决密文存放重复问题,减轻系统通信开销并提高云存储服务器的存储效率,消除数据冗余问题。另外云存储服务器采用树结构存储数据,用户只需进行一次数据访问请求就可以获取所能解密的全部密文数据,减少了请求次数和交互次数,并且树型结构的搜索效率更高,缩短了密文的获取时间,实现了密文的高效共享。
在本发明的又一种实施例中,根据预设属性集模糊策略将系统属性集中的属性进行映射模糊包括:选择选取阶为大素数p的双线性群加法循环群G和乘法循环群GT,使G和GT满足双线性映射e:G×G→GT,记g∈G为G的生成元,使用单向函数f将系统属性集U中的属性进行映射模糊为系统属性集U’,对于系统属性集U’中的每一个属性i,选取hi∈Zq*,计算Ti=ghi,选择α,β∈Zq*,定义哈希函数H1:G→{0,1}*、H2:GT→{0,1}n,公开参数PK=<G,GT,g,e(g,g)α,Ti,H1,H2>,系统主私钥MK=<β,gα>。在本发明的又一种实施例中,注册请求中包括用户的属性集,属性集为经过系统模糊映射后的属性集,后续密钥分发服务器可以根据属性集为每一位注册用户进行注册,生成用户的公私钥对(公私钥对包括属性公钥和属性私钥)以及证书指令,并将用户的属性私钥以及证书指令发送给用户的客户端进行保存和管理。在数据访问者访问数据时,即可使用属性私钥对获得的密文数据进行解密,从而获得数据明文。
密钥分发服务器根据预设密钥生成策略为每一位注册用户生成对应的公私钥对和证书指令包括:随机选取tu∈Zq *作为注册用户身份标识,证书指令针对用户的属性集中的每一个属性x,计算用户的私钥SK=<K,Kx>。
在本发明的又一种实施例中,客户端根据预设加密策略对待上传数据进行加密,获取密文分量并根据密文分量生成待上传密文数据包括包括:由数据拥有者A设定访问控制策略M,客户端随机选取s,v1,v2,...,vq∈Zq *,构成一个列向量计算利用系统公钥PK、LSSS访问结构W=(M,ρ)对待上传数据m进行加密,其中,M是一个l×q的矩阵,ρ是矩阵每一行到属性ρ(i)的映射关系,加密后得到待上传数据m的密文分量C=me(g,gα),s以及待上传密文数据CT=<C,Ci,Ci’>。
在本发明的又一种实施例中,根据待上传密文数据在云存储服务器存放的树节点位置生成位置索引包括:授权中心随机选取待上传密文数据的位置索引index=H2(x)。在云存储服务器中,同一棵树的同一个节点中存储的所有密文数据的位置索引是相同的,均为该节点第一个密文数据存放时生成的位置索引,该节点第一个密文数据存放时生成的位置索引即为该节点的位置索引。
在本发明的又一种实施例中,上传数据请求包括数据拥有者A的证书指令δA以及SCO容器,SCO容器为客户端封装好的包括访问控制策略以及去重标签的SCO容器。SCO容器本身是一种自我控制对象技术,采用该技术可以将密文去重标签和安全策略编程成java代码形式,最终将代码打成可移动的jar包。所以封装后的结果也可称为SCO容器,该容器里存放的是java代码,有应用程序的,有数据内容的。SCO容器是可移动的,可存放至硬盘,磁盘,U盘等。
在本实施例中,如图5所示,完整的SCO容器内部含有应用程序部分和数据内容部分,其中应用程序部分包括:密文去重程序、权限认证程序和密文安全性判断程序;数据内容部分包括:去重标签和访问控制策略,其中数据内容部分由数据拥有者的客户端生成并封装至SCO容器中,应用程序部分则由授权中心接收到客户端发送的封装有数据内容部分的SCO容器之后,由授权中心将应用程序部分封装至SCO容器中,后续授权中心即可调用密文去重程序(密文去重策略)、权限认证程序(权限认证策略)和密文安全性判断程序(密文安全性判断策略)去实现密文去重、确定数据访问者满足的访问策略、确定待上传密文数据在云存储服务器中存放的树节点位置。
进一步的,本发明中的数据拥有者在上传数据之前都需要封装访问控制策略和去重标签,但是在授权中心只需保存第一份SCO容器即可,将之后数据拥有者发来的SCO容器中的去重标签进行去重判断,当允许数据拥有者上传数据后,授权中心只需将该SCO容器中的去重标签和访问控制策略取出放入第一个容器中即可,以此反复。从而避免了在授权中心多个SCO容器的出现而导致混乱场面,以至于操作效率低下和空间资源的浪费。
在本实施例中,使用SCO技术由客户端将用户的访问控制策略和去重标签封装在可执行的jar包中,SCO容器由授权中心存储,采用自我控制对象技术克服了密文和访问控制策略一同发给数据访问者而导致系统用户的隐私泄露问题,当数据访问者访问数据时,授权中心只需将密文在云存储服务器中存放的索引发送给访问者,而密文对应的访问控制策略则存放在授权中心端的SCO容器中,访问者只能通过位置索引获取到密文,而不能得到访问控制策略,从而克服了以往密文数据和访问控制策略一同发给数据访问者而导致系统中用户的隐私泄露问题。
在本发明的又一种实施例中,访问控制策略为数据拥有者A通过客户端选取,去重标签由客户端生成,去重标签的生成方法为:利用函数H1将所述待上传数据m的密文分量进行哈希映射得到H1(C),根据H1(C)以及数据拥有者A经过所述系统模糊后的属性集UA’生成所述待上传密文数据CT的去重标签Tag=(H1(C),UA’),其中,H1:G→{0,1}*。
在本发明的又一种实施例中,根据预设密文去重策略进行重复密文检测包括:授权中心判断去重标签Tag=(H1(C),UA’)中的H1(C)是否已经存储(是否已经在云存储服务器中进行存储),若已经存储,判断数据拥有者A的属性集UA’是否满足已存储密文的访问控制策略,若满足,不允许数据拥有者A上传数据,由云存储服务器将已存储密文数据存放的位置索引返回给数据拥有者A的客户端,并提示数据拥有者A上传数据失败,若去重标Tag=(H1(C),UA’)中的H1(C)未存储签或者去重标签Tag=(H1(C),UA’)中的H1(C)已存储但数据拥有者A的属性集UA’不满足已存储密文的访问控制策略,则,允许上传数据,由数据拥有者A的客户端将待上传密文数据CT上传至云存储服务器。
具体的,在本实施例中,如图7所示,数据拥有者A上传数据的流程为:
步骤S701:数据拥有者的客户端接收数据拥有者输入的待上传数据。
步骤S702:数据拥有者的客户端对待上传数据进行加密,生成待上传密文CT、哈希值H(CT)和去重标签Tag,选择访问控制策略,将去重标签Tag以及访问控制策略封装至SCO容器。
步骤S703:数据拥有者的客户端向授权中心提出上传数据请求。
步骤S704:授权中心判断是否存储有重复密文,若否,则执行步骤S705,若是,则执行步骤S706。
步骤S705:授权中心计算出待上传密文数据的位置索引并发送给云存储服务器,数据拥有者的客户端将待上传密文数据上传至云存储服务器中,云存储服务器根据待上传密文数据的位置索引存储待上传密文数据。
步骤S706:判断数据拥有者A的属性集是否满足已存储密文的访问控制策略,若是,执行步骤S707,若否,执行步骤S705。
步骤S707:将已存储密文数据的位置索引发送至数据拥有者A的客户端。
在本发明的又一种实施例中,根据预设密文安全性判断策略计算出待上传密文数据在云存储服务器存放的树节点位置为:判断待上传密文数据的安全性级别,将待上传密文数据的安全性级别和云存储服务器中已存储的密文数据的安全性级别进行对比,根据对比结果以及预设的对比结果与树节点位置对应关系确定所述待上传密文数据在云存储服务器存放的树节点位置。
具体的,假如待上传密文数据CT对应的访问控制策略为M,将M与云存储服务器中所存储的密文数据的访问策略进行对比,若待上传密文数据的安全性高于密文数据CT’(CT’对应的访问控制策略为M’),也就是访问控制策略M所满足的用户集合包含于访问控制策略M’所满足的用户集合,则云存储提供商应将该密文存放于CT’的父节点的位置上;若待上传密文数据的安全性低于别的密文数据CT’(CT’对应的访问控制策略为M’),也就是访问控制策略M所满足的用户集合包含访问控制策略M’所满足的用户集合,则云存储提供商应将该密文存放于CT’的子节点的位置上,若待上传密文的安全性等同于密文数据CT’,也就是待上传密文数据的访问控制策略M等同于密文数据CT’的访问控制策略M’时,则将待上传密文CT存放于密文数据CT’同样树节点的位置上;若该密文的不满足上述要求,则单独存放至一个树的根节点的位置上。
在本发明的又一种实施例中,根据预设解密策略对获取到的待访问密文数据进行解密包括:将待访问密文数据以及数据访问者B的属性私钥SKB发送给授权中心,由授权中心进行外包解密,得到半解密密文,数据访问者B的客户端对半解密密文进行完全解密,获得访问数据。
具体的解密过程为:由于在本发明中密文的访问策略是在SCO容器中封装好的并且存放在授权中心服务端的,用户是无法获取到策略的,所以数据访问者B将要解密的密文CT和自己的属性私钥SKB发送给授权中心进行外包解密,授权中心选择常数ωi使得计算并将结果F发送给数据访问者B;访问者收到F后计算明文具体计算如下:
在本实施例中,将解密外包给授权中心,由授权中心进行外包解密,有效减小数据访问者的客户端端计算量。
本发明提供的支持密文去重的属性密文高效共享系统,通过预设属性集模糊策略将属性集中的属性进行模糊映射,保护了系统和用户属性的安全,云存储服务器采用树结构的存储方式,用户只需进行一次访问请求就可以获取所能解密的全部密文数据,缩短密文获取时间,实现了密文高效共享,利用去重技术来消除数据冗余,节省存储空间,减少存储开销,另外授权中心进行外包解密的方式来减小用户的客户端计算量大的问题,并利用去重技术来消除数据冗余,节省存储空间,减少存储开销,使用SCO技术由客户端将用户的访问控制策略和去重标签封装在可执行的jar包中,克服了以往密文数据和访问控制策略一同发给数据访问者而导致系统中用户的隐私泄露问题。
本领域技术人员应当理解,在不脱离所公开的实施方式的基本原理的前提下,对上述实施方式中的各细节可进行各种变化。因此,本发明的范围只由权利要求确定,在权利要求中,除非另有说明,所有的术语应按最宽泛合理的意思进行理解。
Claims (10)
1.一种支持密文去重的属性密文高效共享系统,其特征在于,所述系统包括客户端、密钥分发服务器、授权中心以及云存储服务器,其中:
所述客户端,与所述密钥分发服务器、授权中心以及云存储服务器通讯连接,用于根据用户的指令向所述密钥分发服务器发送注册请求、向所述授权中心发送数据访问请求以及上传数据请求,接收并保存所述密钥分发服务器发送的用户的属性私钥和证书指令、根据预设加密策略对待上传数据进行加密,获取密文分量并根据所述密文分量生成待上传密文数据、根据获取到的待访问密文数据的位置索引从所述云存储服务器中获取待访问密文数据、根据预设解密策略对获取到的待访问密文数据进行解密;
所述密钥分发服务器,与所述客户端通讯连接,用于进行系统初始化,所述进行系统初始化包括根据预设属性集模糊策略将系统属性集U中的属性进行映射模糊、生成系统的公开参数和主私钥、在用户注册阶段根据用户的注册请求以及预设密钥生成策略为每一位用户生成对应的公私钥对和证书指令;
所述授权中心,与所述客户端以及云存储服务器通讯连接,用于在接收数据拥有者A的上传数据请求后,根据预设密文去重策略进行重复密文检测,根据预设密文安全性判断策略计算出所述待上传密文数据在云存储服务器存放的树节点位置,并根据所述待上传密文数据在云存储服务器存放的树节点位置生成位置索引,将所述位置索引发送至所述云存储服务器;
所述授权中心还用于在接收数据访问者B的数据访问请求后,根据预设的权限认证策略获得数据访问者B的属性集UB’满足的访问控制策略,并根据所述访问控制策略确定云存储服务器中对应的待访问密文数据的位置索引,并将所述待访问密文数据的位置索引发送至所述数据访问者B的客户端;
所述云存储服务器,与所述客户端以及授权中心通讯连接,采用树结构存储数据,用于在接收到所述客户端发送的所述待上传密文数据后,根据所述授权中心发送的待上传密文数据的位置索引将所述待上传密文数据存储在对应的树节点上。
6.根据权利要求2所述的支持密文去重的属性密文高效共享系统,其特征在于,所述上传数据请求包括数据拥有者A的证书指令δA以及SCO容器,所述SCO容器为所述客户端封装好的包括访问控制策略以及去重标签的SCO容器。
7.根据权利要求6所述的支持密文去重的属性密文高效共享系统,其特征在于,所述访问控制策略为数据拥有者A通过所述客户端选取,所述去重标签由所述客户端生成,所述去重标签的生成方法为:
利用函数H1将所述待上传数据m的密文分量进行哈希映射得到H1(C),根据H1(C)以及数据拥有者A经过所述系统模糊后的属性集UA’生成所述待上传密文数据CT的去重标签Tag=(H1(C),UA’),其中,H1:G→{0,1}*。
8.根据权利要求7所述的支持密文去重的属性密文高效共享系统,其特征在于,所述根据预设密文去重策略进行重复密文检测包括:
所述授权中心判断去重标签Tag=(H1(C),UA’)中的H1(C)是否已经存储,若已经存储,判断数据拥有者A的属性集UA’是否满足已存储密文的访问控制策略,若满足,授权中心将与待上传数据重复的已存储密文数据的位置索引发送给数据拥有者A的客户端,并提示数据拥有者A上传数据失败,若去重标签Tag=(H1(C),UA’)中的H1(C)未存储或者去重标签Tag=(H1(C),UA’)中的H1(C)已存储但数据拥有者A的属性集UA’不满足已存储密文的访问控制策略,则由数据拥有者A的客户端将所述待上传密文数据CT上传至云存储服务器。
9.根据权利要求1所述的支持密文去重的属性密文高效共享系统,其特征在于,根据预设密文安全性判断策略计算出待上传密文数据在云存储服务器存放的树节点位置为:
判断所述待上传密文数据的安全性级别,将所述待上传密文数据的安全性级别和所述云存储服务器中已存储的密文数据的安全性级别进行对比,根据对比结果以及预设的对比结果与树节点位置对应关系确定所述待上传密文数据在云存储服务器存放的树节点位置。
10.根据权利要求1所述的支持密文去重的属性密文高效共享系统,其特征在于,根据预设解密策略对获取到的待访问密文数据进行解密包括:数据访问者的客户端将所述待访问密文数据以及数据访问者B的属性私钥SKB发送给授权中心,由授权中心进行外包解密,得到半解密密文,数据访问者B的客户端对所述半解密密文进行完全解密,获得访问数据。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN202110103584.5A CN112822009B (zh) | 2021-01-26 | 2021-01-26 | 一种支持密文去重的属性密文高效共享系统 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN202110103584.5A CN112822009B (zh) | 2021-01-26 | 2021-01-26 | 一种支持密文去重的属性密文高效共享系统 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN112822009A true CN112822009A (zh) | 2021-05-18 |
CN112822009B CN112822009B (zh) | 2022-07-22 |
Family
ID=75859309
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN202110103584.5A Active CN112822009B (zh) | 2021-01-26 | 2021-01-26 | 一种支持密文去重的属性密文高效共享系统 |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN112822009B (zh) |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN116629804A (zh) * | 2023-06-06 | 2023-08-22 | 河北华正信息工程有限公司 | 一种信访督查跟踪管理系统及管理方法 |
CN118158660A (zh) * | 2024-05-11 | 2024-06-07 | 晨越建设项目管理集团股份有限公司 | 一种基于多源水文数据传输异常检测与防护方法 |
Citations (12)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20030099237A1 (en) * | 2001-11-16 | 2003-05-29 | Arindam Mitra | Wide-area content-based routing architecture |
US20120331283A1 (en) * | 2011-06-24 | 2012-12-27 | Microsoft Corporation | User-controlled data encryption with obfuscated policy |
CN103888468A (zh) * | 2014-03-31 | 2014-06-25 | 北京工业大学 | 云环境下基于可信第三方属性模糊分组的隐私保护方法 |
CN107682353A (zh) * | 2017-10-25 | 2018-02-09 | 西安邮电大学 | 一种电子医疗云中的健康档案访问控制系统及方法 |
WO2018049601A1 (zh) * | 2016-09-14 | 2018-03-22 | 深圳大学 | 一种面向雾计算的外包访问控制方法及其系统 |
CN108768951A (zh) * | 2018-05-03 | 2018-11-06 | 上海海事大学 | 一种云环境下保护文件隐私的数据加密和检索方法 |
US20180337775A1 (en) * | 2017-05-19 | 2018-11-22 | International Business Machines Corporation | Cryptographic key-generation with application to data deduplication |
CN109361644A (zh) * | 2018-08-22 | 2019-02-19 | 西安工业大学 | 一种支持快速搜索和解密的模糊属性基加密方法 |
CN110035067A (zh) * | 2019-03-13 | 2019-07-19 | 西安电子科技大学 | 云存储中支持高效数据去重和属性撤销的属性加密方法 |
CN110099043A (zh) * | 2019-03-24 | 2019-08-06 | 西安电子科技大学 | 支持策略隐藏的多授权中心访问控制方法、云存储系统 |
CN110390211A (zh) * | 2019-07-30 | 2019-10-29 | 广东工业大学 | 一种敏感属性数据的处理方法及系统 |
CN110677487A (zh) * | 2019-09-30 | 2020-01-10 | 陕西师范大学 | 一种支持隐私和完整性保护的外包数据去重云存储方法 |
-
2021
- 2021-01-26 CN CN202110103584.5A patent/CN112822009B/zh active Active
Patent Citations (13)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20030099237A1 (en) * | 2001-11-16 | 2003-05-29 | Arindam Mitra | Wide-area content-based routing architecture |
US20120331283A1 (en) * | 2011-06-24 | 2012-12-27 | Microsoft Corporation | User-controlled data encryption with obfuscated policy |
CN103888468A (zh) * | 2014-03-31 | 2014-06-25 | 北京工业大学 | 云环境下基于可信第三方属性模糊分组的隐私保护方法 |
WO2018049601A1 (zh) * | 2016-09-14 | 2018-03-22 | 深圳大学 | 一种面向雾计算的外包访问控制方法及其系统 |
US20180337775A1 (en) * | 2017-05-19 | 2018-11-22 | International Business Machines Corporation | Cryptographic key-generation with application to data deduplication |
CN110637441A (zh) * | 2017-05-19 | 2019-12-31 | 国际商业机器公司 | 应用于数据重复数据删除的加密密钥生成 |
CN107682353A (zh) * | 2017-10-25 | 2018-02-09 | 西安邮电大学 | 一种电子医疗云中的健康档案访问控制系统及方法 |
CN108768951A (zh) * | 2018-05-03 | 2018-11-06 | 上海海事大学 | 一种云环境下保护文件隐私的数据加密和检索方法 |
CN109361644A (zh) * | 2018-08-22 | 2019-02-19 | 西安工业大学 | 一种支持快速搜索和解密的模糊属性基加密方法 |
CN110035067A (zh) * | 2019-03-13 | 2019-07-19 | 西安电子科技大学 | 云存储中支持高效数据去重和属性撤销的属性加密方法 |
CN110099043A (zh) * | 2019-03-24 | 2019-08-06 | 西安电子科技大学 | 支持策略隐藏的多授权中心访问控制方法、云存储系统 |
CN110390211A (zh) * | 2019-07-30 | 2019-10-29 | 广东工业大学 | 一种敏感属性数据的处理方法及系统 |
CN110677487A (zh) * | 2019-09-30 | 2020-01-10 | 陕西师范大学 | 一种支持隐私和完整性保护的外包数据去重云存储方法 |
Non-Patent Citations (4)
Title |
---|
HUIXIAN SHI等: "Efficient and Unconditionally Anonymous Certificateless Provable Data Possession Scheme With Trusted KGC for Cloud-Based EMRs", 《IEEE ACCESS》 * |
XUEYAN LIU等: "Verifiable Attribute-Based Keyword Search Over Encrypted Cloud Data Supporting Data Deduplication", 《IEEE ACCESS》 * |
吴光强: "适合云存储的访问策略可更新多中心CP-ABE方案", 《计算机研究与发展》 * |
贾春福等: "密文去重系统中的数据访问控制策略", 《通信学报》 * |
Cited By (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN116629804A (zh) * | 2023-06-06 | 2023-08-22 | 河北华正信息工程有限公司 | 一种信访督查跟踪管理系统及管理方法 |
CN116629804B (zh) * | 2023-06-06 | 2024-01-09 | 河北华正信息工程有限公司 | 一种信访督查跟踪管理系统及管理方法 |
CN118158660A (zh) * | 2024-05-11 | 2024-06-07 | 晨越建设项目管理集团股份有限公司 | 一种基于多源水文数据传输异常检测与防护方法 |
Also Published As
Publication number | Publication date |
---|---|
CN112822009B (zh) | 2022-07-22 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
Aujla et al. | SecSVA: secure storage, verification, and auditing of big data in the cloud environment | |
CN112765650B (zh) | 一种属性基可搜索加密的区块链医疗数据共享方法 | |
CN112822009B (zh) | 一种支持密文去重的属性密文高效共享系统 | |
CN112532650A (zh) | 一种基于区块链的多备份安全删除方法、系统 | |
Guo et al. | Using blockchain to control access to cloud data | |
Kotha et al. | A comprehensive review on secure data sharing in cloud environment | |
Zhang et al. | Efficient Hierarchical and Time‐Sensitive Data Sharing with User Revocation in Mobile Crowdsensing | |
CN107360252B (zh) | 一种异构云域授权的数据安全访问方法 | |
Raj et al. | Enhanced encryption for light weight data in a multi-cloud system | |
Gang et al. | Secure image deduplication in cloud storage | |
Shalabi et al. | Cryptographically enforced role-based access control for NoSQL distributed databases | |
Chinnasamy et al. | Secure and efficient data sharing scheme in cloud for protecting data in smart cities | |
Wang et al. | Fine‐Grained Task Access Control System for Mobile Crowdsensing | |
Nie et al. | Time‐enabled and verifiable secure search for blockchain‐empowered electronic health record sharing in IoT | |
CN116248289A (zh) | 基于密文属性加密的工业互联网标识解析访问控制方法 | |
CN115935426A (zh) | 一种基于sgx的远程图像特征提取与检索方法 | |
CN112671543B (zh) | 一种基于区块链的公开可验证外包属性基加密方法 | |
CN115906149A (zh) | 基于有向无环图的kp-abe及区块链的用户数据可信共享方法 | |
Wang et al. | Attribute-based encryption with efficient keyword search and user revocation | |
Nayancy et al. | IoT-Based Secure Communication to Enhance Blockchain Model | |
Chaudhari et al. | A comprehensive survey on public auditing for secure cloud storage | |
Hwang et al. | An SKP‐ABE Scheme for Secure and Efficient Data Sharing in Cloud Environments | |
Feng et al. | Secure and flexible authorized data sharing for smart grid | |
Premkamal et al. | Traceable CP-ABE for outsourced big data in cloud storage | |
Srimathi et al. | Improved Cloud Storage Encryption Using Block Cipher-Based DNA Anti-Codify Model. |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
PB01 | Publication | ||
PB01 | Publication | ||
SE01 | Entry into force of request for substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |