CN113067861A

CN113067861A - 基于区块链的分布式可扩展访问控制授权系统和方法

Info

Publication number: CN113067861A
Application number: CN202110282979.6A
Authority: CN
Inventors: 陈良银; 黄苗; 岳凯峰; 陈彦如; 张媛媛; 王浩; 赵万槟; 石静; 李亚洁; 何秀靖
Original assignee: Sichuan University
Current assignee: Sichuan University
Priority date: 2021-03-16
Filing date: 2021-03-16
Publication date: 2021-07-02

Abstract

本发明公开了基于区块链的分布式可扩展访问控制授权系统和方法。本方案以区块链智能合约为载体，提出了新架构，结合传统的访问控制模型，引入属性序号值对和前缀标识的概念对系统策略检索方法进行了优化。架构层面，方案在区块链网络和各管理域的中间引入智能网关作访问请求和数据请求代理，由管理员对设备注册、属性进行管理；智能合约层面，本方案设计了策略实施合约、策略合约和策略管理合约，共同对访问控制进行授权管理；策略检索方法层面，为访问请求和策略生成前缀标识，通过对两者进行位计算，进行策略初步匹配，同时引入策略冲突配置，大大优化了策略检索速度。故本方案相较于其他的访问控制解决方案有一定的优势。

Description

基于区块链的分布式可扩展访问控制授权系统和方法

技术领域

本发明属于访问控制技术领域，涉及属性的分布式可扩展访问控制授权方案，方案提出了以一种新的分布式架构，结合传统的基于属性的访问控制模型，引入属性序号值对和前缀标识的概念对系统策略检索方法进行了优化。

背景技术

工业数据的隐私和安全至关重要，关乎企业及其客户的根本经济利益。访问控制技术是数据安全防护的核心技术之一，可以依据预先定义的访问授权策略授予主体访问客体的权限，并对主体使用权限的过程进行有效控制，从而实现数据的授权访问，防止非授权的信息泄露。物联网场景下常见的访问控制模型包括基于角色的访问控制(RBAC)、基于权能的访问控制(CapBAC)、基于使用的访问控制(UCON)以及基于属性的访问控制(ABAC)等。其中基于属性的访问控制模型通过使用属性作为访问控制的关键要素，有效解决了具有大规模、强动态性及强隐私性等特点的新型计算环境下细粒度访问控制的问题。

现有的访问控制方案主要为中心化的解决方案，存在单点故障、性能瓶颈的问题。此外因为需要借助第三方服务，这种方案也对数据安全和隐私构成了极大的挑战。

现有的访问控制方案对系统可扩展性考虑不足，主要有：1)架构层面上：现有方案没有考虑到工业现场存在大量能力不足的设备；没有考虑到工厂布局和设备具有高度的动态性。2)具体实现方案上：区块链的计算和存储资源都是较为昂贵的资源，将实体属性、访问控制策略以及控制逻辑都放在区块链上，必须要考虑系统的扩展性问题，即随着属性、策略、设备的增多，访问控制的计算和存储成本增加以及访问控制的低效。

发明内容

本发明的目的在于解决现有的访问控制方案架构层面上没有考虑到工业现场存在大量能力不足的设备、工厂布局和设备具有高度的动态性的问题，具体实现方案上随着属性、策略、设备的增多，访问控制的计算和存储成本增加以及访问控制的低效的问题，通过以区块链智能合约为载体，基于区块链提出了以一种新的分布式架构，结合传统的基于属性的访问控制模型，引入属性序号值对和前缀标识的概念对系统策略检索方法进行了优化。

本发明的核心技术思路是基于区块链新的分布式架构引入属性序号值对和前缀标识的概念对系统策略检索方法进行优化，方案主要包括三个层面。1)架构层面：方案在区块链网络和各管理域的中间引入智能网关作访问请求和数据请求代理，由管理员对设备注册、属性进行管理。2)智能合约设计层面：方案设计了策略实施合约PEC、策略合约PC和策略管理合约三种合约，共同对访问控制进行授权管理。3)策略检索方法实现层面：为访问请求和策略生成前缀标识，通过对两者进行位计算，进行策略初步匹配，同时引入策略冲突配置，从而大大优化了策略检索速度。

本发明解决问题的整体方案包含面向智能工厂的基于以太坊区块链和智能合约的访问架构、智能合约和策略检索方法。

1.面向智能工厂的基于以太坊区块链和智能合约的访问架构。提出的面向智能工厂的基于以太坊区块链和智能合约的访问架构如图1所示。基于物联网设备资源以及以太坊区块链吞吐量有限的特点，架构在物联网设备与以太坊区块链之间引入一个代理中介——边缘网关，由边缘网关负责代理各管理域发起的访问请求。该架构具有如下主要特性：1)半中心化。整体架构在全局呈现去中心化结构，在局部呈现中心化结构。2)高可扩展性。支持管理域的快速扩展，属性和策略管理具有高弹性。3)可审计。所有对链上数据的管理记录都会被打包添加到区块中。4)高效。提出基于前缀标记对策略进行初步筛选，策略属性匹配过程更加高效。架构中包括如下主要核心构件：1)局域网2)边缘网关3)管理员4)区块链5)智能合约6)超级管理员。边缘网关(edge gateway)：架构中的局域网不属于区块链网络，而是经由边缘网关代理与以太坊区块链进行交互。边缘网关以及与其进行交互的所有设备的集合形成一个独立的管理域。任何设备只要连接到特定边缘网关，就能在本系统下进行域内或者跨域访问操作。域内访问由边缘网关在本地进行控制，不属于本章讨论范围。跨域访问由事先存储在区块链的控制逻辑进行访问决策，由边缘网关访问智能合约获取控制结果。边缘网关可以将主体设备发送的物联网协议报文，如CoAP报文转换为区块链可以理解的JSON-RPC报文，从而与区块链节点进行交互。架构中的边缘网关还兼具信息管理中心的作用。边缘网关负责的管理域中的所有设备在参与访问控制过程前应在边缘网关中进行配置，由边缘网关管理其全局唯一标识符。边缘网关及与其相连接的有限数量的物联网设备呈现中心化特征，具有部署简易、便于拓展、吞吐量大的特点。(此外，多个边缘网关可同时与一个区块链节点连接。)

2.智能合约。本发明智能合约的功能结合传统ABAC模型的思想进行设计。ABAC模型使用属性作为访问控制的关键要素实现访问控制授权决策。结合传统访问控制模型ABAC的设计理念，本方案包括三种类型的智能合约，分别为DMC，PC以及PEC。其中DMC分别用于存储和管理设备属性，对应ABAC模型中的PIP。PC用于存储和管理访问策略，对应ABAC模型中的PAP。PEC用于管理访问控制逻辑并执行访问控制决策，对应ABAC模型中的PEP和PDP。所有的智能合约由超级管理员进行部署。

3.策略检索方法。本系统提出基于前缀标记(prefix sign,PS)对策略进行高效匹配。这种方法的基本思想是利用前缀标记判断某条策略的属性集是否为访问请求的真子集，若是，再进行进一步的属性字符串匹配。前缀标记的匹配基于位运算，因此匹配更为高效。此外，针对策略冲突问题，本方案提出了两种配置项，由系统超级管理员自主进行配置，但为了与上述方法描述保持一致，下文对基于前缀标记的策略检索方法进行描述时暂不考虑策略冲突问题。本方案提出的基于前缀标记的策略检索方法准备工作如下：

1)规则设定。简单起见，设定前缀标记的长度为8，即一个字节。如图2所示，前缀标记从末位开始标号，起始序号为0。规定第0位标识策略的授权结果sign，0表示负向授权策略，1表示正向授权策略。剩余7位分别用于标识7个属性，每一位用0表示属性不存在，1表示属性存在。规定第1-3位标识主体属性，第4-6位标识客体属性，第7位标识环境属性。如图2所示。值得一提的是，前缀标记可以随属性库的规模进行扩展。

表1前缀标记含义示例表

序号	类型	含义
			0	Sign	访问权限，值为0表示负向授权，值为1表示正向授权
1	SA	主体属性1，值为0表示属性存在，值为1表示属性不存在
			2	SA	主体属性2
3	SA	主体属性3
			4	OA	客体属性1，值为0表示属性存在，值为1表示属性不存在
5	OA	客体属性2
			6	OA	客体属性3
7	EA	环境属性，值为0表示属性存在，值为1表示属性不存在

2)为策略生成前缀标记。按上述步骤1)中的规定，表1策略的前缀标记分别为如表2所示。

表2前缀标记表

Policy	PS
		P<sub>1</sub>	00001111
P<sub>2</sub>	00010100
		P<sub>3</sub>	01011101

3)为设备生成前缀标记。按上述步骤1)中的规定，当进行设备属性的增加、删除和修改操作时，对设备的前缀标记进行更新。设备前缀标记的访问权限位固定，设为0。表3为一组设备前缀标记示例。

表3一组设备前缀标记示例表

设备	属性	PS
			D<sub>1</sub>	attr<sub>1</sub>＝a,attr<sub>2</sub>＝b	00000110
D<sub>2</sub>	attr<sub>3</sub>＝c	00001000
			D<sub>3</sub>	attr<sub>3</sub>＝d,attr<sub>4</sub>＝e,attr<sub>5</sub>＝f,attr<sub>7</sub>＝g	10111000

4)合成访问请求的前缀标记。根据访问请求中主客体设备的标识符分别获取主体设备的前缀标识PS_s和客体设备的前缀标识PS_o。将PS_s的客体属性标识位置0得到PS′_s，将PS_o的主体及环境属性标识位置0得到PS′_o，将PS′_s和PS′_o执行或运算，得到访问请求AAR的前缀标记PS_AAR。以上表2为例，访问请求

的前缀标记计算流程如图3所示。

5)将访问请求的前缀标记PS_AAR与访问控制策略的前缀标记PS_P进行逻辑或运算得到PS′。如将

与P₁的前缀标记做逻辑或运算，则有00110110||00001111，结果为01111111。

6)将运算得到的PS′与访问请求的前缀标记PS_AAR比较，若相等，则进入属性值比较过程；若不相等，则进入下一条策略的匹配过程。属性匹配过程与传统的策略检索方法一致，此处不再赘述。策略检索的停止条件可以分为以下几种情况：

a.没有匹配的策略，遍历到最后一条策略。

b.有匹配的策略，策略冲突配置为allowoverrides，则匹配到一条访问授权权限为allow的策略时，终止检索，最终策略授权结果为allow；否则，遍历到最后一条策略，最终授权结果为deny。

c.有匹配的策略，策略冲突配置为denyoverrides，则匹配到一条访问授权权限为deny的策略时，终止检索，最终策略授权结果为deny；否则，遍历到最后一条策略，最终授权结果为allow。

基于前缀标记的策略决策方法具体算法流程如图4所示。

附图说明

图1是面向智能工厂的基于以太坊区块链和智能合约的访问架构图；

图2是前缀标记图；

图3是前缀标记计算流程图；

图4是基于前缀标记的策略决策方法具体算法流程图；

图5是系统跨域的访问控制的具体交互流程图。

具体实施方式

下面结合附图对基于本方案系统架构的访问控制工作流程进行详细说明，主要介绍系统跨域的访问控制的具体交互流程，如图5所示。

工作流程主要可以分为两个阶段：系统的初始化以及跨域访问控制。系统的初始化阶段具体流程描述如下：

1)管理员部署智能合约，获取合约地址。

2)设备在边缘网关中进行注册，获取其全局唯一标识符。

3)由边缘网关代理其管理域中设备在智能合约中的注册操作。

4)为设备绑定管理员，并由管理员添加、删除、更新设备的属性及关联网关等信息。

5)由超级管理员添加、删除、更新访问控制策略。

系统初始化完成后，若管理域A的设备向管理域B的设备发起访问请求，系统的具体访问控制工作流程描述如下：

6)主体设备通过与其关联的代理网关向智能合约发送访问请求，请求参数包括主客体标识符、操作类型等。

7)智能合约向主体设备返回客体设备代理网关地址。

8)客体代理网关验证主体身份后，向智能合约请求访问授权结果。

9)智能合约向主体及客体代理网关返回授权结果。

10)主体设备关联的代理网关Alice与客体设备关联的代理网关Bob进行数据交互。

Claims

1.基于区块链的分布式可扩展访问控制授权系统和方法，其特征在于：以区块链智能合约为载体，基于区块链提出了以一种新的分布式架构，结合传统的基于属性的访问控制模型，引入属性序号值对和前缀标识的概念对系统策略检索方法进行了优化，该方案包括三个层面，架构层面，方案在区块链网络和各管理域的中间引入智能网关作访问请求和数据请求代理，由管理员对设备注册、属性进行管理，提出了面向智能工厂的基于以太坊区块链和智能合约的访问架构；智能合约设计层面，本方案设计了策略实施合约PEC、策略合约PC和策略管理合约三种合约，提出了基于前缀标记的策略检索方法，共同对访问控制进行授权管理；策略检索方法实现层面，为访问请求和策略生成前缀标识，通过对两者进行位计算，进行策略初步匹配，同时引入策略冲突配置，从而大大优化了策略检索速度。

2.根据权利要求1所述的面向智能工厂的基于以太坊区块链和智能合约的访问架构，其特征在于：基于物联网设备资源以及以太坊区块链吞吐量有限的特点，架构在物联网设备与以太坊区块链之间引入一个代理中介——边缘网关，由边缘网关负责代理各管理域发起的访问请求，该架构具有如下主要特性：1)半中心化：整体架构在全局呈现去中心化结构，在局部呈现中心化结构；2)高可扩展性：支持管理域的快速扩展，属性和策略管理具有高弹性；3)可审计：所有对链上数据的管理记录都会被打包添加到区块中；4)高效：提出基于前缀标记对策略进行初步筛选，策略属性匹配过程更加高效。

3.根据权利要求1所述的智能合约，其特征在于：其功能结合传统ABAC模型的思想进行设计，ABAC模型使用属性作为访问控制的关键要素实现访问控制授权决策，结合传统访问控制模型ABAC的设计理念，本方案包括三种类型的智能合约，分别为DMC，PC以及PEC，其中DMC分别用于存储和管理设备属性，对应ABAC模型中的PIP，PC用于存储和管理访问策略，对应ABAC模型中的PAP，PEC用于管理访问控制逻辑并执行访问控制决策，对应ABAC模型中的PEP和PDP，所有的智能合约由超级管理员进行部署。

4.根据权利要求1所述的基于前缀标记的策略检索方法，其特征在于：利用前缀标记判断某条策略的属性集是否为访问请求的真子集，若是，再进行进一步的属性字符串匹配，前缀标记的匹配基于位运算，因此匹配更为高效，此外，针对策略冲突问题，本方案提出了两种配置项，由系统超级管理员自主进行配置。