CN113098893A - 基于密码学构造的不可信云端动态访问控制机制实现方法 - Google Patents

基于密码学构造的不可信云端动态访问控制机制实现方法 Download PDF

Info

Publication number
CN113098893A
CN113098893A CN202110428697.2A CN202110428697A CN113098893A CN 113098893 A CN113098893 A CN 113098893A CN 202110428697 A CN202110428697 A CN 202110428697A CN 113098893 A CN113098893 A CN 113098893A
Authority
CN
China
Prior art keywords
file
user
key
access control
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110428697.2A
Other languages
English (en)
Inventor
齐赛宇
李亦辰
鹿又水
齐勇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xian Jiaotong University
Original Assignee
Xian Jiaotong University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xian Jiaotong University filed Critical Xian Jiaotong University
Priority to CN202110428697.2A priority Critical patent/CN113098893A/zh
Publication of CN113098893A publication Critical patent/CN113098893A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0823—Configuration setting characterised by the purposes of a change of settings, e.g. optimising configuration for enhancing reliability
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Abstract

一种基于密码学构造的不可信云端动态访问控制机制的实现方法，采用密码学构造的访问控制机制解决不可信云端的用户隐私泄露问题。考虑到传统的不可信云端访问控制机制的权限撤销时间开销极大，本方法通过将部分策略数据与文件数据更新操作转移至云端执行，还降低了访问控制机制的权限撤销的时间开销。

Description

基于密码学构造的不可信云端动态访问控制机制实现方法
技术领域
本发明涉及数据访问，尤其涉及一种基于密码学构造的不可信云端动态访问控制机制的实现方法。
背景技术
近些年来，公有云服务得到了极大的发展。出于便利性的考虑，许多个人用户以及企业开始将数据存放于公有云。在这种情况下，用户与企业所要面临的一个关键问题是如何在不受信任的公有云上实现用户数据的访问控制与隐私保护功能。
如今，公有云服务提供商如谷歌、微软、苹果和亚马逊等不仅为用户提供了大型的工业云服务，也为消费者们提供了较小规模的公有云服务。除此以外，还有一些以用户为中心的基于云的文件共享服务提供商，如Dropbox，Box和Flickr等也吸引了众多用户。然而，随着近些年来越来越多的公有云数据泄露事件被媒体曝出(例如iCloud中的私人照片的泄露)，使用公有云服务的用户们对他们存放于公有云服务器上的数据的安全性及隐私性产生了担忧。
发明内容
本发明的目的在于解决上述不可信云端的用户数据隐私保护问题，以及云端用户数据的访问控制问题，为此，本发明提出了一种基于密码学构造的不可信云端动态访问控制机制的实现方法，包括如下步骤：
S100、初始化访问控制机制，管理员将文件数据加密后存储于不可信云端，防止不可信云端与恶意用户窥探用户隐私；其中，访问控制机制包括用户权限与访问控制关系；
S200、管理员根据访问控制机制中的访问控制策略为用户生成相应的策略数据，其中，策略数据对用户权限与访问控制关系进行映射；
S300、访问控制机制进一步为用户提供文件访问功能，以使得用户访问文件时，从不可信云端下载相应的策略数据；进一步的，用户通过解密策略对策略数据进行解密以得到文件数据的密钥；进一步的，用户使用文件密钥解密文件数据得到文件明文。
优选的，
所述访问机制还为管理员提供了权限更新功能。
当管理员进行用户权限更新时，管理员更新相应的策略数据，并对文件数据进行重加密，以防止被撤销权限用户继续访问文件。
优选的，
S200包括如下子步骤：
1)将用户与角色的访问关系构造为RK元组，所述RK元组包含用户ID、角色ID、使用用户公钥加密的角色私钥；
2)将角色与文件的访问关系构造为FK元组，所述FK元组包含角色ID、文件ID、访问文件权限、使用用户公钥加密的角色私钥。
优选的，
当用于写文件时，对于用户的写文件操作，用户生成新的文件密钥替换原有的密钥列表对文件进行加密。
优选的，
策略数据的签名使用可变签名，并遵循如下原则：允许公有云对部分数据进行更改与重签名，且保证策略数据的完整性。
优选的，
访问控制机制还授权公有云更新RK与FK元组，公有云将RK与FK元组中的密钥替换为新的密钥。
优选的，
当用户读文件时，对于用户的读文件操作，用户按照密钥列表对文件进行多次解密获得文件的明文。
优选的，
使用密钥列表技术对文件数据进行加密后，每进行一次权限撤销，管理员上传文件密钥至公有云，公有云对文件进行重加密。
优选的，
所述密钥列表设置有对应的阈值，当密钥列表层数小于阈值时，管理员使用新的密钥加密文件。
优选的，
当密钥列表层数大于阈值时，管理员首先解密最外层密钥，然后使用新的密钥对文件进行重加密。
以此，本发明提供了一种基于密码学构造的不可信云端动态访问控制机制的实现方法，使用基于密码学构造的访问控制机制解决不可信云端的数据安全保护问题。
附图说明：
图1是本发明的一个实施例中的模型示意图；
图2是本发明的一个实施例中的交互示意图；
图3是本发明的一个实施例中的访问控制数据结构的设计示意图。
具体实施方式
下面结合附图1至图3对本发明作进一步说明。
在一个实施例中，本发明揭示了一种基于密码学构造的不可信云端动态访问控制机制的实现方法，包括如下步骤：
S100、初始化访问控制机制，管理员将文件数据加密后存储于不可信云端，防止不可信云端与恶意用户窥探用户隐私；其中，访问控制机制包括用户权限与访问控制关系；
S200、管理员根据访问控制机制中的访问控制策略为用户生成相应的策略数据，其中，策略数据对用户权限与访问控制关系进行映射；
S300、访问控制机制进一步为用户提供文件访问功能，以使得用户访问文件时，从不可信云端下载相应的策略数据；进一步的，用户通过解密策略对策略数据进行解密以得到文件数据的密钥；进一步的，用户使用文件密钥解密文件数据得到文件明文。
以此，本发明提供了一种基于密码学构造的不可信云端动态访问控制机制的实现方法，使用基于密码学构造的访问控制机制解决不可信云端的数据安全保护问题。
能够发现，上述实施例建立在云端访问控制机制包含三类实体，分别是用户、管理员与公有云的基础上并使得公有云中存储有两类数据，分别是策略数据与文件数据。文件数据存储的是用户委托公有云存储的文件，该数据经过加密与签名后上传至公有云，所以公有云无法窥探用户文件明文。策略数据由访问控制机制管理员生成，该策略数据对访问控制关系进行映射，本发明将在后文对其进一步介绍。策略数据由管理员生成并上传至公有云服务器。策略数据的核心内容为加密内容，所以公有云无法获得访问控制机制的权限与关系信息。
在一个实施例中，通过文件数据的签名对文件的完整性进行保护。
在一个实施例中，所述访问机制还为管理员提供了权限更新功能。
对于该实施例而言，由于公有云的不可信，所以访问控制策略数据的生成与更新需要依赖可信的管理员执行。当管理员进行用户权限更新时，管理员更新相应的策略数据，并对文件数据进行重加密，以防止被撤销权限用户继续访问文件。
在一个实施例中，S200包括如下子步骤：
1)将用户与角色的访问关系构造为RK元组，所述RK元组包含用户ID、角色ID、使用用户公钥加密的角色私钥；
2)将角色与文件的访问关系构造为FK元组，所述FK元组包含角色ID、文件ID、访问文件权限、使用用户公钥加密的角色私钥。
对于该实施例而言，基于角色的访问控制模型可以生成两种访问控制策略数据，分别是用户对角色的访问控制策略数据与角色对文件的访问控制策略数据。本实施例使用RK元组实现用户对角色的访问控制策略数据。其中，RK元组使用用户公钥加密角色私钥。如此，只有该用户可以通过自己的私钥解密RK元组获得角色的私钥，进而获得该角色的访问权限。同理，FK元组使用角色公钥加密文件密钥，拥有该角色访问权限的用户通过角色私钥解密该FK元组获得文件密钥，进而解密获得文件明文。
在一个实施例中，当用于写文件时，对于用户的写文件操作，用户生成新的文件密钥替换原有的密钥列表对文件进行加密。
在一个实施例中，策略数据的签名使用可变签名，并遵循如下原则：允许公有云对部分数据进行更改与重签名，且保证策略数据的完整性。
为了保证数据的完整性，同时防止公有云篡改数据，本发明使用可变签名技术授权公有云对数据改变部分进行重签名。
在一个实施例中，访问控制机制还授权公有云更新RK与FK元组，公有云将RK与FK元组中的密钥替换为新的密钥。
对于该实施例而言，当访问控制机制进行用户权限撤销时，管理员需要为相关角色(被撤销用户拥有访问权限的角色)生成新的角色密钥对。同时，管理员生成新的RK元组与FK元组，并对涉及到的F元组(加密文件)进行重加密。这个过程会涉及数量巨大的加解密操作与数据上传下载操作。为了提高该过程的效率，本发明将策略数据与文件数据更新的操作转移至云端执行。当进行用户权限撤销时，管理员将新生成的角色密钥加密后上传至公有云，公有云更新相应的策略数据。
在一个实施例中，当用户读文件时，对于用户的读文件操作，用户按照密钥列表对文件进行多次解密获得文件的明文。
在一个实施例中，使用密钥列表技术对文件数据进行加密后，每进行一次权限撤销，管理员上传文件密钥至公有云，公有云对文件进行重加密。
能够发现，文件数据的重加密也在公有云上执行，管理员上传新生成的文件密钥对文件进行重加密。
在另一个实施例中，为了防止公有云窥探用户文件明文，公有云对用户文件进行多重加密。
在一个实施例中，所述密钥列表设置有对应的阈值，当密钥列表层数小于阈值时，管理员使用新的密钥加密文件。
在一个实施例中，当密钥列表层数大于阈值时，管理员首先解密最外层密钥，然后使用新的密钥对文件进行重加密。
在另一个实施例中，管理员需要动态的对访问控制关系进行调整。
这是考虑到在现实的访问控制场景中，访问控制策略与访问控制权限并不是不变的。例如，在本发明中，管理员可以选择撤销用户对于某个角色的访问权限，也可以选择撤销角色对于某个文件的访问权限。
在另一个实施例中，在动态权限更新过程中，为了保证文件的安全，管理员需要对存储于公有云中的相关文件进行重加密，以防止被撤销用户继续通过缓存的密钥访问文件。此外，管理员还需要对存储于公有云上的策略数据进行更改，以保证用户可以正确的对文件进行访问。因此，本发明访问控制机制的权限更新模块实现了动态访问控制功能。
结合前文所有实施例，能够理解，用户通过文件读写模块实现对存储于公有云服务器的文件的访问：当用户有读写文件需求时，首先向公有云发送文件访问请求；公有云通过查看本地存储的访问控制关系数据，决定是否同意此次请求；如果同意此次请求，公有云会返回相应的策略数据与文件数据，用户通过自己的私钥解密策略数据获得文件密钥，进而通过文件密钥解密加密的文件获得需要的文件明文；如果此次请求是写文件请求，用户对文件更改后进行加密，然后上传至公有云。
在另一个实施例中，用户在接收到公有云发送的数据后，检验数据的签名以验证数据的完整性。
由于本发明提出的访问控制机制是基于密码学构造的，因此，本发明可以综合使用非对称加密技术、对称加密技术与签名技术，并且在数据加解密与签名验证过程中使用的各种密钥存储于管理员端。
在另一个实施例中，管理员通过文件与密钥管理接口向用户与公有云提供各种公开的密钥数据与文件名信息，用户通过这些密钥对加密数据进行解密或完整性验证。
结合图1、图2、图3，进一步通过实施例阐述如下，
管理员和用户代表机构一方，公有云代表不可信云端一方；策略数据、文件数据均以加密形式存储在不可信云端，管理员可以通过策略数据更新来与公有云交互，用户则可以通过文件数据读写来与公有云交互。
在基于角色的访问控制状态中，用户角色关系代表着用户u拥有角色的访问权限。为了将这种用户角色的访问关系映射为基于密码学构造的访问控制数据结构。本发明设计了RK元组。访问控制机制的管理员会通过RK(角色密钥)元组为该用户分配角色R的私钥。在RK元组中，u与r分代表用户与角色的ID。RK元组使用用户的公钥对角色的私钥进行加密，这意味着只有用户u可以解密该元组得到角色私钥并进一步通过该角色私钥解密角色r加密的内容。因此，用户u拥有了角色r的访问权限。
FK元组为用户提供了使用用户公钥加密的角色私钥。对于基于角色的访问控制状态中的每一条文件角色关系，访问控制机制的管理员会通过FK元组为该角色分配文件密钥。在元组FK中，r表角色r拥有文件的访问权限。FK元组使用角色的公钥对文件密钥进行加密，这意味着只有拥有角色r访问权限的用户可以解密该元组得到文件的解密密钥。访问文件时，用户通过解密FK元组中的加密内容获得文件加密密钥。
F元组中包含了文件名和文件的密文，文件使用FK元组中的文件密钥k对文件进行加密，该密钥为对称密钥，这可以提升文件加解密的速度。访问文件时，用户通过解密F元组中的加密内容获得文件明文。
以上三种元组的核心内容(如角色私钥、文件密钥、文件明文)都是加密的。因此，访问控制机制的管理员可以安全地将这些元组(策略数据)存放于公有云服务器。这解决了公有云服务器用户隐私泄露问题。
此外，本发明所有的网络通信都使用SSL通信协议。这保证了外部恶意用户无法窃取、破坏数据或是分析访问控制机制的用户行为。
综上所述，本发明采用密码学构造的访问控制机制解决不可信云端的用户隐私泄露问题，通过访问控制机制对存储于不可信云端的数据进行加密与签名，保证了用户数据的安全性与完整性。考虑到传统的不可信云端访问控制机制的权限撤销时间开销极大，本方法通过将部分策略数据与文件数据更新操作转移至云端执行，还降低了访问控制机制的权限撤销的时间开销。

Claims (10)

1.一种基于密码学构造的不可信云端动态访问控制机制的实现方法，包括如下步骤：
S100、初始化访问控制机制，管理员将文件数据加密后存储于不可信云端，防止不可信云端与恶意用户窥探用户隐私；其中，访问控制机制包括用户权限与访问控制关系；
S200、管理员根据访问控制机制中的访问控制策略为用户生成相应的策略数据，其中，策略数据对用户权限与访问控制关系进行映射；
S300、访问控制机制进一步为用户提供文件访问功能，以使得用户访问文件时，从不可信云端下载相应的策略数据；进一步的，用户通过解密策略对策略数据进行解密以得到文件数据的密钥；进一步的，用户使用文件密钥解密文件数据得到文件明文。
2.如权利要求1所述的方法，其中，优选的，
所述访问机制还为管理员提供了权限更新功能，
当管理员进行用户权限更新时，管理员更新相应的策略数据，并对文件数据进行重加密，以防止被撤销权限用户继续访问文件。
3.如权利要求1所述的方法，S200包括如下子步骤：
1)将用户与角色的访问关系构造为RK元组，所述RK元组包含用户ID、角色ID、使用用户公钥加密的角色私钥；
2)将角色与文件的访问关系构造为FK元组，所述FK元组包含角色ID、文件ID、访问文件权限、使用用户公钥加密的角色私钥。
4.如权利要求1所述的方法，其中，
当用于写文件时，对于用户的写文件操作，用户生成新的文件密钥替换原有的密钥列表对文件进行加密。
5.如权利要求1所述的方法，其中，
策略数据的签名使用可变签名，并遵循如下原则：允许公有云对部分数据进行更改与重签名，且保证策略数据的完整性。
6.如权利要求3所述的方法，其中，
访问控制机制还授权公有云更新RK与FK元组，公有云将RK与FK元组中的密钥替换为新的密钥。
7.如权利要求4所述的方法，其中，
当用户读文件时，对于用户的读文件操作，用户按照密钥列表对文件进行多次解密获得文件的明文。
8.如权利要求4所述的方法，其中，
使用密钥列表技术对文件数据进行加密后，每进行一次权限撤销，管理员上传文件密钥至公有云，公有云对文件进行重加密。
9.如权利要求4所述的方法，其中，
所述密钥列表设置有对应的阈值，当密钥列表层数小于阈值时，管理员使用新的密钥加密文件。
10.如权利要求9所述的方法，其中，
当密钥列表层数大于阈值时，管理员首先解密最外层密钥，然后使用新的密钥对文件进行重加密。
CN202110428697.2A 2021-04-20 2021-04-20 基于密码学构造的不可信云端动态访问控制机制实现方法 Pending CN113098893A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110428697.2A CN113098893A (zh) 2021-04-20 2021-04-20 基于密码学构造的不可信云端动态访问控制机制实现方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110428697.2A CN113098893A (zh) 2021-04-20 2021-04-20 基于密码学构造的不可信云端动态访问控制机制实现方法

Publications (1)

Publication Number Publication Date
CN113098893A true CN113098893A (zh) 2021-07-09

Family

ID=76679357

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110428697.2A Pending CN113098893A (zh) 2021-04-20 2021-04-20 基于密码学构造的不可信云端动态访问控制机制实现方法

Country Status (1)

Country Link
CN (1) CN113098893A (zh)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103179114A (zh) * 2013-03-15 2013-06-26 华中科技大学 一种云存储中的数据细粒度访问控制方法
CN111090622A (zh) * 2019-10-18 2020-05-01 西安电子科技大学 基于动态加密rbac模型的云存储信息处理系统及方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103179114A (zh) * 2013-03-15 2013-06-26 华中科技大学 一种云存储中的数据细粒度访问控制方法
CN111090622A (zh) * 2019-10-18 2020-05-01 西安电子科技大学 基于动态加密rbac模型的云存储信息处理系统及方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SAIYU QI.ET: ""Crypt-DAC:Cryptographically Enforced Dynamic Access Control in the Cloud"", 《IEEE TRANSACTION ON DEPENDABLE AND SECURE COMPUTING》 *

Similar Documents

Publication Publication Date Title
Yan et al. Heterogeneous data storage management with deduplication in cloud computing
US10691817B2 (en) Encryption for distributed storage and processing
US10178075B2 (en) Client-side encryption with DRM
CN113132103B (zh) 一种数据跨域安全共享系统及方法
CA2623141C (en) Content cryptographic firewall system
Tang et al. Secure overlay cloud storage with access control and assured deletion
EP3398073B1 (en) Securely storing and distributing sensitive data in a cloud-based application
EP1714459B1 (en) Accessing protected data on network storage from multiple devices
Jam et al. A survey on security of Hadoop
Qi et al. Crypt-DAC: Cryptographically enforced dynamic access control in the cloud
CN111181719A (zh) 云环境下基于属性加密的分层访问控制方法及系统
Wise et al. Cloud docs: secure scalable document sharing on public clouds
US11290277B2 (en) Data processing system
Pereira et al. Storekeeper: A security-enhanced cloud storage aggregation service
WO2023078055A1 (zh) 在第一区域和第二区域间数据安全共享的方法和系统
US20210110064A1 (en) Executing entity-specific cryptographic code in a cryptographic coprocessor
Piechotta et al. A secure dynamic collaboration environment in a cloud context
Alston Attribute-based encryption for attribute-based authentication, authorization, storage, and transmission in distributed storage systems
CN113098893A (zh) 基于密码学构造的不可信云端动态访问控制机制实现方法
Priya et al. A survey: attribute based encryption for secure cloud
Tian et al. Fine‐grained assured insertion and deletion scheme based on onion encryption in cloud storage
Sánchez‐Artigas et al. StackSync: Attribute‐based data sharing in file synchronization services
CHEELLA et al. DESIGN AND IMPLEMENTATION OF PRIVACY-PRESERVING DELEGATION-AWARE ENCRYPTION STRATEGY IN CLOUD ENVIRONMENTS
Xu et al. A RBAC Model Based on Identity-Based Cryptosystem in Cloud Storage
Adjei et al. Enhancing security in the cloud using encryption in a client centric access control mechanism

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20210709

RJ01 Rejection of invention patent application after publication