CN113132103B - 一种数据跨域安全共享系统及方法 - Google Patents

一种数据跨域安全共享系统及方法 Download PDF

Info

Publication number
CN113132103B
CN113132103B CN202110263820.XA CN202110263820A CN113132103B CN 113132103 B CN113132103 B CN 113132103B CN 202110263820 A CN202110263820 A CN 202110263820A CN 113132103 B CN113132103 B CN 113132103B
Authority
CN
China
Prior art keywords
data
attribute
domain
user
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110263820.XA
Other languages
English (en)
Other versions
CN113132103A (zh
Inventor
张志为
崔志浩
宋阳子
习宁
沈玉龙
董学文
刘家继
许王哲
景玉
陈泽翰
何嘉洪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Qingdao Institute Of Computing Technology Xi'an University Of Electronic Science And Technology
Original Assignee
Xidian University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xidian University filed Critical Xidian University
Priority to CN202110263820.XA priority Critical patent/CN113132103B/zh
Publication of CN113132103A publication Critical patent/CN113132103A/zh
Application granted granted Critical
Publication of CN113132103B publication Critical patent/CN113132103B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明属于云计算访问控制技术领域，公开了一种数据跨域安全共享系统及方法，所述数据跨域安全共享系统包括：用户模块、多云自治模块和数据存储模块；所述数据跨域安全共享方法包括：初始化，数据上传，文件信息上链，申请访问以及访问判决。本发明采用属性映射表进行准确的细粒度属性跨域映射，使用区块链技术在多云间建立信任关系，使得系统网络在治理模式下运行，实现安全可控的数据共享管理，避免授权中心单点故障导致服务崩溃；实现可自动化执行的可信属性撤销，避免传统撤销方法带来的巨大重加密开销和过长的密文密钥；保障多域环境下资源跨域共享和系统安全，实现安全有效的分布式数据跨域共享。

Description

一种数据跨域安全共享系统及方法
技术领域
本发明属于云计算访问控制技术领域，尤其涉及一种数据跨域安全共享系统及方法。
背景技术
目前，云计算分布式系统和海量存储技术的发展，使得越来越多的系统资源开始走向云端。基于密文策略的属性基加密(CP-ABE)因其细粒度和伸缩性非常适用于云环境下数据访问控制，然而传统CP-ABE的集中式服务在分布式授权和跨域数据管理等方面无法满足海量数据多域共享的需求。
在CP-ABE方案中，需要一个或多个完全受信任的属性授权机构或中心授权机构，属性中心负责生成必需的公私钥对、颁发属性等。尽管存在具有多授权中心CP-ABE的方案，但是每个AA管理着不同的属性集，存在属性同步问题，且依然会受到单点失效的影响，将危及整个系统。因此，在云计算访问控制技术领域，分散系统迫切需要摆脱可信中心授权的潜在威胁。
由于云计算本身的动态性，云中用户随时可能发生变动，当租户租约到期或属性发生变化时，就会失去对原有数据的访问权限。需要对用户属性进行撤销或更改，从而避免数据泄露。撤销过程中，不可避免的要面临密文重加密以及密钥更新等问题，而当系统中用户数量较多时，更新操作将会带来极大的计算量，严重的降低了访问效率。如何对用户的权限进行撤销或更改，进而避免数据泄露显得至关重要。
传统的访问控制系统中，每个系统都有各自独立的一套访问控制策略。为了便于对云端这些网络资源进行统一管理以及处于系统安全性方面的权衡，这些系统通常会被划分成多个各自独立的安全域，每个安全域都负责管理自己本地的资源并拥有自己独立的访问控制策略。每个访问策略往往会为当前域设定一个或多个管理中心，用于负责在控制策略约束范围内，根据策略要求对域内的各类实体进行同意约束管理。
由于云计算多域环境中并没有统一的安全管控中心，而进行跨域访问的又往往是许多陌生实体，这些陌生实体进行跨域访问交互前并没有预先约定的信任关系，抑或即使可以确定陌生实体的身份和外域权限，而在本域内却并没有与之匹配的资源访问权限。随着多域环境下跨域资源共享需求越来越大，域间的资源共享和信息交换越来越频繁，导致原本只使用在单个组织或企业内的访问控制策略难以迅速转变为适用于面向多个安全域共享的开放式系统中。例如，在医疗云系统中，病人可能会将他们的病历数据共享给医生和研究人员，而医生这一属性是由医疗机构授予的，研究人员这一属性由研究所授予，他们来自不同的属性域。
对这些原本各自独立的安全域来说，它们将不再是仅仅负责本域内的资源访问管理，同时还要兼顾和外域资源的共享。如何突破本域访问控制策略的限制，实现与外域资源、用户之间进行最大化、更安全的资源共享变得尤为重要。制定出一套支持多域环境下安全、灵活的跨域授权的控制策略成为保障多域环境下资源最大化共享和系统安全的重要支撑。
随着云计算对跨域资源共享需求的与日俱增，数据共享和交换对云计算的发展影响越来越突出。然而在当前密文策略ABE方案下，大多没有在多域场景进行综合性研究，由于各域内属性彼此隔离，数据所有者DO制定访问控制策略后，其他域内用户无法获取DO所在域属性，导致数据跨域共享受到一定程度上的阻碍。
通过上述分析，现有技术存在的问题及缺陷为：
(1)传统CP-ABE的集中式服务在分布式授权和跨域数据管理等方面无法满足海量数据多域共享的需求，且CP-ABE依赖中心化授权机构，容易发生单点故障。
(2)云用户频繁更新导致用户属性撤销，带来巨大计算开销，严重地降低了服务效率，且存在数据泄露的风险。
(3)域间属性差异、跨域共享时属性匹配困难；每个域中实体属性分类与规范描述存在差异，导致原本适用于单域内的访问控制属性策略不适用于面向多个安全域数据共享的系统。
解决以上问题及缺陷的难度为：由于云中海量用户的动态性，CP-ABE中心化授权导致服务极易遭受单点故障，属性撤销导致数据重加密带来巨大开销。同时数据跨域共享频繁，域间属性存在描述性和规范性差异，给多云数据共享带来严峻挑战，云计算迫切需要一种高鲁棒性、高效和灵活的数据共享方案。
解决以上问题及缺陷的意义为：通过解决上述问题，一种数据跨域安全共享系统及方法，结合区块链去中心化、可追溯、不可篡改等技术特点，在多云之间建立共识信任机制，解决域内访问控制单点失效、属性撤销困难、跨域访问策略差异等问题，以实现域内、域外数据安全有效共享。
发明内容
针对现有技术存在的问题，本发明提供了一种数据跨域安全共享系统及方法。
本发明是这样实现的，一种数据跨域安全共享系统，所述数据跨域安全共享系统包括：
用户模块，由用户实体组成，是数据共享的实际参与者，用于用户身份注册、访问数据和上传数据；
多云自治模块，由云组织及云内外授权中心作为网络节点，多个云服务自治域D和所有被云计算中心认可的属性权威机构AA构成的特定联盟组成，用于负责用户身份注册与属性颁发，以及用于属性加密的密钥生成与分发；
数据存储模块，由具有强大计算能力和大存储容量的云服务提供商CSP组成，用于负责数据的存储及下载服务。
进一步，所述用户模块包括用于用户身份注册、属性分配的认证单元，用于根据用户操作要求对数据进行上传、下载、修改等动作的操作单元，用于记录着各域用户的身份属性信息的身份属性链IAC，用于记录用户的访问请求与对应结果的访问记录链ARC。
进一步，所述多云自治模块包括采用Raft协议使各节点达成共识的共识机制，用于进行域间差异化属性策略匹配的属性映射链AMC，用于维护数据所有者DO上传数据的元信息的文件信息链FIC，用于属性撤销更新的基于智能合约的属性撤销模块。
进一步，所述文件信息链FIC包括数据所在域FileAddr、数据关键词集合Keywords、加密文件的散列值hash及经过属性基CP-ABE加密后，用户加密文件所使用的文件对称加密密钥的密文ET(k)。
进一步，所述数据存储模块，用于存储经过数据所有者DO加密上传后的数据，接受数据访问者DU的请求并提供密文下载服务。
本发明的另一目的在于提供一种应用所述的数据跨域安全共享系统的数据跨域安全共享方法，所述数据跨域安全共享方法包括以下步骤：
步骤一，初始化，AA部署智能合约：当用户进行身份注册时，自动化生成用户公私钥对和用户属性，将生成的身份属性经过共识算法上链并分发到用户；
步骤二，数据上传：数据所有者DO生成随机文件密钥k，使用密钥k执行对称加密算法加密明文数据M生成密文C上传至云端，同时记录数据M元数据信息；DO设定该数据访问结构策略树T，结合访问策略执行CP-ABE算法加密密钥k生成ET(k)；
步骤三，文件信息上链：将元数据信息、访问策略及ET(k)生成区块，经多云共识后上链；
步骤四，申请访问：数据使用者DU可通过FIC链检索多云下所有数据信息，调用智能合约接口发起数据访问请求；
步骤五，访问判决：智能合约通过FIC链和AMC链自动查询数据访问策略和用户属性，并将匹配结果返回至云端；若用户属性匹配策略，则云端传输数据密文C给用户，用户通过解密FIC链中的ET(k)获取文件密钥k，使用k通过解密密文C获取明文数据。
进一步，步骤二中，所述数据M元数据信息包括散列值、上传域和关键词。
进一步，步骤二中，所述CP-ABE算法，包括：
(1)初始化算法(1τ)→(PK，MK)：输入一个安全参数τ，输出公钥PK和主密钥MK；
(2)密钥生成算法(PK，MK，S)→(SK)：输入一个属性集合S、主密钥MK和公钥PK，输出用户私钥SK；
(3)加密算法(PK，M，AS)→(CT)：输入一个需要加密的明文M、公钥PK和访问结构AS，输出包含访问策略的密文CT；
(4)解密算法(PK，SK，CT)→(M)：输入包含访问策略
Figure BDA0002971213020000051
的密文CT、由属性集合所生成的公钥PK和私钥SK，如果属性集合S满足访问策略时，用户就可以成功的解密出明文M。
进一步，所述数据跨域安全共享方法，还包括跨域属性匹配模型的构建，所述跨域属性匹配模型中各个自治域内都采用基于密文策略的属性基加密CP-ABE进行数据访问控制，各域资源属性分为通用属性与映射属性，通用属性表示各域内具有普适性的通用型属性，所述通用型属性包括姓名、性别和年龄；映射属性表示仅适用于本域内，跨域共享时需要进行属性映射的局部属性；归属于各自治域的属性授权中心AA在分布式网络中共同维护名为属性映射表的账本AMC；
在进行跨域数据共享时，数据所有者调用智能合约，以属性映射表为依据完成策略属性映射；当其中任意一个自治域D1中的用户向自治域D2发出跨域访问请求时，通过属性映射可以把自治域D2中的属性映射给域D1，使得域D1中用户获得域D2中的属性，进而可以对域D2内的某些资源进行访问操作。
进一步，所述数据跨域安全共享方法，还包括跨域属性匹配，所述跨域属性匹配，包括：
(1)云内属性权威机构AA定义分配域内系统属性；
(2)查询已有属性映射表，根据本域属性一一更新映射表属性映射关系；
(3)属性映射表AMC更新并在各AA节点进行同步；
(4)属性权威机构AA在数据所有者DO注册后分配本域用户属性；
(5)DO调用属性映射合约接口，输入既定访问控制结构制定访问策略；
(6)属性映射智能合约自动进行属性查询和映射；
(7)返回映射属性后的访问控制结构。
进一步，所述数据跨域安全共享方法，还包括数据跨域共享，所述数据跨域共享，包括：
(1)AA部署智能合约，完成区块链网络内各个云组织之间的属性映射，维护AMC属性映射表；
(2)用户进行身份注册，自动化生成用户公私钥对和用户属性；
(3)将生成的身份属性经过共识算法上链并分发到用户，用户可以通过IAC进行查询和校验；
(4)数据所有者DO生成随机文件密钥k，使用密钥k执行对称加密算法加密明文数据M生成密文C上传至云端，并记录数据M元数据信息；其中，所述数据M元数据信息包括：数据所在域FileAddr、数据关键词集合Keywords和加密文件的散列值hash；
(5)DO设定该数据访问结构策略树T，调用AMC属性映射合约完成各域间属性映射扩展；
(6)DO执行CP-ABE算法加密密钥k生成ET(k)，将元数据信息、访问策略及ET(k)生成区块，将生成的文件信息经过共识算法上链；
(7)数据使用者DU可通过文件信息链FIC检索多云下所有数据信息，调用智能合约接口发起数据访问请求；
(8)智能合约通过文件信息链FIC和身份属性链IAC自动查询数据访问策略和用户属性，进行访问判决，若DU属性匹配策略，转步骤(9)；否则拒绝访问，流程结束；
(9)云端传输数据密文C给DU；
(10)DU首先通过解密数据信息链中的ET(k)获取文件密钥k，然后使用k通过解密密文C获取明文数据。
进一步，所述数据跨域安全共享方法，还包括属性撤销，所述属性撤销，包括：
(1)当发生用户撤销、用户属性撤销和系统属性撤销三种方式之一时，属性中心AA更新被撤销用户活跃状态或属性信息，并广播到IAC网络中的其他AA节点进行同步；
(2)当用户向云端发起访问时调用FIC中智能合约，智能合约自动将FIC数据访问控制结构与IAC用户属性进行对比，若申请用户属性与策略匹配，转步骤(3)；否则拒绝访问，流程结束；
(3)用户属性与策略匹配，云端传输数据密文给用户，用户解密得到明文数据。
进一步，所述数据跨域安全共享方法，还包括基于多云共识的共识机制Raft更新区块，当系统中有用户发起的新提案时，由于当前区块链的记账权由领导者节点掌握，跟随者节点具体工作；其中，所述区块更新，包括：
(1)跟随者将提案行为发送给领导者节点；
(2)领导者节点验证证书的数字签名，校验通过后将收到的数字证书和操作类型打包成区块，并把该区块向所有跟随者节点广播；
(3)跟随者节点验证区块内容后向领导者节点返回响应；
(4)领导者节点在收获超过一半的节点响应后，通知所有跟随者节点确认写入该区块，跟随者节点再通知各自域内节点更新区块链，完成账本更新。
结合上述的所有技术方案，本发明所具备的优点及积极效果为：本发明提供的数据跨域安全共享系统，能够满足面向多云场景下的数据安全跨域共享需求，针对CP-ABE单点故障、用户属性撤销困难、域间属性差异匹配困难的问题，提出了多云共识的数据安全共享方法，采用属性映射表进行准确的细粒度属性跨域映射，使用区块链技术在多云之间建立信任关系，使得系统网络在一个治理模式下运行。实现去中心化、安全可控的数据共享管理，避免授权中心单点故障导致服务崩溃；实现可自动化执行的可信属性撤销，避免了传统撤销方法带来的巨大重加密开销和过长的密文密钥；保障多域环境下资源跨域共享和系统安全，克服多域环境下各域之间属性彼此隔离的问题，实现安全有效的分布式数据跨域共享，实现了多域环境下安全、灵活的跨域共享和访问。
附图说明
为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图做简单的介绍，显而易见地，下面所描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下还可以根据这些附图获得其他的附图。
图1是本发明实施例提供的数据跨域安全共享系统结构框图；
图中：1、用户模块；2、多云自治模块；3、数据存储模块。
图2是本发明实施例提供的数据跨域安全共享系统结构原理图。
图3是本发明实施例提供的数据跨域安全共享方法流程图。
图4是本发明实施例提供的数据跨域安全共享方法的跨域属性匹配模型示意图。
图5是本发明实施例提供的数据跨域安全共享方法的跨域属性匹配流程图。
图6是本发明实施例提供的数据跨域安全共享方法的数据跨域共享流程图。
图7是本发明实施例提供的数据跨域安全共享方法的CP-ABE原理示意图。
图8是本发明实施例提供的数据跨域安全共享方法属性撤销流程示意图。
图9是本发明实施例提供的数据跨域安全共享方法共识机制Raft更新区块流程示意图。
图10是本发明实施例提供的数据跨域安全共享方法实现数据跨域共享的结果示意图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
针对现有技术存在的问题，本发明提供了一种数据跨域安全共享系统及方法，下面结合附图对本发明作详细的描述。
如图1所示，本发明实施例提供的数据跨域安全共享系统，包括：
用户模块1，由用户实体组成，是数据共享的实际参与者，用于用户身份注册、访问数据和上传数据；
多云自治模块2，由云组织及云内外授权中心作为网络节点，多个云服务自治域D和所有被云计算中心认可的属性权威机构AA构成的特定联盟组成，用于负责用户身份注册与属性颁发，以及用于属性加密的密钥生成与分发；
数据存储模块3，由具有强大计算能力和大存储容量的云服务提供商CSP组成，用于负责数据的存储及下载服务。
本发明实施例提供的数据跨域安全共享系统结构原理图如图2所示。
如图3所示，本发明实施例提供的数据跨域安全共享方法包括以下步骤：
S101，初始化，AA部署智能合约：当用户进行身份注册时，自动化生成用户公私钥对和用户属性，将生成的身份属性经过共识算法上链并分发到用户；
S102，数据上传：数据所有者DO生成随机文件密钥k，使用密钥k执行对称加密算法加密明文数据M生成密文C上传至云端，同时记录数据M元数据信息；DO设定该数据访问结构策略树T，结合访问策略执行CP-ABE算法加密密钥k生成ET(k)；
S103，文件信息上链：将元数据信息、访问策略及ET(k)生成区块，经多云共识后上链；
S104，申请访问：数据使用者DU可通过FIC链检索多云下所有数据信息，调用智能合约接口发起数据访问请求；
S105，访问判决：智能合约通过FIC链和AMC链自动查询数据访问策略和用户属性，并将匹配结果返回至云端；若用户属性匹配策略，则云端传输数据密文C给用户，用户通过解密FIC链中的ET(k)获取文件密钥k，使用k通过解密密文C获取明文数据。
下面结合实施例对本发明的技术方案作进一步的描述。
实施例1
本发明实施例提供的数据跨域安全共享系统，包括：
由用户实体组成的用户模块，是数据共享的实际参与者，用于用户身份注册、访问数据和上传数据。
由云组织及云内外授权中心作为网络节点，多个云服务自治域(domain，D)和所有被云计算中心认可的属性权威机构(attribute authority，AA)构成的特定联盟组成的多云自治模块，负责用户身份注册与属性颁发，以及用于属性加密的密钥生成与分发。
由具有强大计算能力和大存储容量的云服务提供商(cloud service provider，CSP)组成的数据存储模块，负责数据的存储及下载服务。
本发明实施例提供的用户模块包括用于用户身份注册、属性分配的认证单元，用于根据用户操作要求对数据进行上传、下载、修改等动作的操作单元，用于记录着各域用户的身份属性信息的身份属性链IAC，用于记录用户的访问请求与对应结果的访问记录链ARC。
本发明实施例提供的多云自治模块包括采用Raft协议使各节点达成共识的共识机制，用于进行域间差异化属性策略匹配的属性映射链AMC，用于维护数据所有者DO上传数据的元信息的文件信息链FIC，用于属性撤销更新的基于智能合约的属性撤销模块。
本发明实施例提供的文件信息链FIC主要包括数据所在域FileAddr、数据关键词集合Keywords、加密文件的散列值hash及经过属性基CP-ABE加密后，用户加密文件所使用的文件对称加密密钥的密文ET(k)。
本发明实施例提供的数据存储模块，存储经过数据所有者(data owner，DO)加密上传后的数据，接受数据访问者(data user，DU)的请求并提供密文下载服务。
实施例2
如图4所示，本发明实施例提供的数据跨域安全共享方法的跨域属性匹配模型。该模型中各个自治域内都采用基于密文策略的属性基加密CP-ABE进行数据访问控制，各域资源属性分为通用属性与映射属性，通用属性表示各域内具有普适性的通用型属性，如姓名、性别、年龄等；映射属性表示仅适用于本域内，跨域共享时需要进行属性映射的局部属性。归属于各自治域的属性授权中心AA在分布式网络中共同维护名为属性映射表的账本AMC(Attribute Mapping Chain)。在进行跨域数据共享时，数据所有者调用智能合约，以属性映射表为依据完成策略属性映射。当其中任意一个自治域D1中的用户向自治域D2发出跨域访问请求时，通过属性映射可以把自治域D2中的属性映射给域D1，使得域D1中用户获得域D2中的属性，进而可以对域D2内的某些资源进行访问操作。
图5是本发明的数据跨域安全共享方法的跨域属性匹配流程图。具体工作流程如下：
步骤一，云内属性权威机构AA定义分配域内系统属性；
步骤二，查询已有属性映射表，根据本域属性一一更新映射表属性映射关系；
步骤三，属性映射表AMC更新并在各AA节点进行同步；
步骤四，属性权威机构AA在数据所有者DO注册后分配本域用户属性；
步骤五，DO调用属性映射合约接口，输入既定访问控制结构制定访问策略；
步骤七，属性映射智能合约自动进行属性查询和映射；
步骤八，返回映射属性后的访问控制结构。
图6是本发明的数据跨域安全共享方法的数据跨域共享流程图。具体工作流程如下：
步骤一，AA部署智能合约，完成区块链网络内各个云组织之间的属性映射，维护AMC属性映射表；
步骤二，用户进行身份注册，自动化生成用户公私钥对和用户属性；
步骤三，将生成的身份属性经过共识算法上链并分发到用户，用户可以通过IAC进行查询和校验；
步骤四，数据所有者DO生成随机文件密钥k，使用密钥k执行对称加密算法加密明文数据M生成密文C上传至云端；并记录数据M元数据信息(数据所在域FileAddr、数据关键词集合Keywords、加密文件的散列值hash等)；
步骤五，DO设定该数据访问结构策略树T，调用AMC属性映射合约完成各域间属性映射扩展；
步骤六，DO执行CP-ABE算法加密密钥k生成ET(k)，将元数据信息、访问策略及ET(k)生成区块，将生成的文件信息经过共识算法上链；
步骤七，数据使用者DU可通过文件信息链FIC检索多云下所有数据信息，调用智能合约接口发起数据访问请求；
步骤八，智能合约通过文件信息链FIC和身份属性链IAC自动查询数据访问策略和用户属性，进行访问判决，若DU属性匹配策略，转步骤九；否则拒绝访问，流程结束；
步骤九，云端传输数据密文C给DU；
步骤十，DU首先通过解密数据信息链中的ET(k)获取文件密钥k，然后使用k通过解密密文C获取明文数据。
图7是本发明实施例提供的数据跨域安全共享方法的CP-ABE原理示意图。具体步骤如下：
步骤一，初始化算法(1τ)→(PK，MK)。输入一个安全参数τ，输出公钥PK和主密钥MK；
步骤二，密钥生成算法(PK，MK，S)→(SK)。输入一个属性集合S、主密钥MK和公钥PK，输出用户私钥SK；
步骤三，加密算法
Figure BDA0002971213020000131
输入一个需要加密的明文M、公钥PK和访问结构
Figure BDA0002971213020000132
输出包含访问策略的密文CT；
步骤四，解密算法(PK，SK，CT)→(M)。输入包含访问策略
Figure BDA0002971213020000133
的密文CT、由属性集合所生成的公钥PK和私钥SK，如果属性集合S满足访问策略时，用户就可以成功的解密出明文M。
图8是本发明实施例提供的数据跨域安全共享方法属性撤销流程示意图。
具体步骤如下：
步骤一，当发生用户撤销、用户属性撤销和系统属性撤销三种方式之一时，属性中心AA更新被撤销用户活跃状态或属性信息，并广播到IAC网络中的其他AA节点进行同步；
步骤二，当用户向云端发起访问时调用FIC中智能合约，智能合约自动将FIC数据访问控制结构与IAC用户属性进行对比，若申请用户属性与策略匹配，转步骤三；否则拒绝访问，流程结束；
步骤三，用户属性与策略匹配，云端传输数据密文给用户，用户解密得到明文数据。
图9是本发明实施例提供的基于多云共识的共识机制Raft更新区块流程示意图。当系统中有用户发起的新提案时，由于当前区块链的记账权由领导者节点掌握，跟随者节点具体工作，区块更新步骤如下：
步骤一，跟随者将提案行为发送给领导者节点；
步骤二，领导者节点验证证书的数字签名，校验通过后将收到的数字证书和操作类型打包成区块，并把该区块向所有跟随者节点广播；
步骤三，跟随者节点验证区块内容后向领导者节点返回响应；
步骤四，领导者节点在收获超过一半的节点响应后，通知所有跟随者节点确认写入该区块，跟随者节点再通知各自域内节点更新区块链，完成账本更新。
综上，数据跨域安全共享系统，能够满足面向多云场景下的数据安全跨域共享需求，针对CP-ABE单点故障、用户属性撤销困难、域间属性差异匹配困难的问题，提出了多云共识的数据安全共享方法，采用属性映射表进行准确的细粒度属性跨域映射，使用区块链技术在多云之间建立信任关系，使得系统网络在一个治理模式下运行。实现去中心化、安全可控的数据共享管理，避免授权中心单点故障导致服务崩溃；实现可自动化执行的可信属性撤销，避免了传统撤销方法带来的巨大重加密开销和过长的密文密钥；保障多域环境下资源跨域共享和系统安全，克服多域环境下各域之间属性彼此隔离的问题，实现安全有效的分布式数据跨域共享，实现了多域环境下安全、灵活的跨域共享和访问。
下面结合模拟实验对本发明的具体实施例作详细的描述。
1.实验条件
实验环境：操作系统VMWare Ubuntu18.04，虚拟机CPU配置为AMD Ryzen54600U@2.10GHZ，内存配置为8GB(Samsung DDR43200MHZ)，宿主机操作系统为Windows 64bit。利用Docker技术构建Fabric2.2区块链网络，开发语言为Go语言。
2.实验内容与结果分析
采用本发明方法实现跨域数据共享的结果如图10所示，实验过程具有随机性，因此使用多次实验结果取平均值作为最终结果。在模拟产生5000用户量、5000数据量的情况下，区块链网络存在1028个区块、10056条交易，分别模拟50次数据查询、用户属性撤销、访问判决和属性映射进行实验记录。通过世界状态进行数据检索查询平均时间为0.484ms；随机用户属性撤销平均耗时0.924ms；随机用户进行随机数据访问时，需查询用户属性与文件数据策略进行比对分析，平均判决耗时4.491ms；在多域环境下，随机用户属性域间映射平均耗时1.494ms。以上实验结果证明了本发明方法跨域共享访问的高效性和灵活性。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用全部或部分地以计算机程序产品的形式实现，所述计算机程序产品包括一个或多个计算机指令。在计算机上加载或执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输)。所述计算机可读取存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘SolidState Disk(SSD))等。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，都应涵盖在本发明的保护范围之内。

Claims (9)

1.一种数据跨域安全共享系统，其特征在于，所述数据跨域安全共享系统包括：
用户模块，由用户实体组成，是数据共享的实际参与者，用于用户身份注册、访问数据和上传数据；
多云自治模块，由云组织及云内外授权中心作为网络节点，多个云服务自治域D和所有被云计算中心认可的属性权威机构AA构成的特定联盟组成，用于负责用户身份注册与属性颁发，以及用于属性加密的密钥生成与分发；
数据存储模块，由具有强大计算能力和大存储容量的云服务提供商CSP组成，用于负责数据的存储及下载服务；
所述多云自治模块包括采用Raft协议使各节点达成共识的共识机制，用于进行域间差异化属性策略匹配的属性映射链AMC，用于维护数据所有者DO上传数据的元信息的文件信息链FIC，用于属性撤销更新的基于智能合约的属性撤销模块；文件信息链FIC包括数据所在域FileAddr、数据关键词集合Keywords、加密文件的散列值hash及经过属性基CP-ABE加密后，用户加密文件所使用的文件对称加密密钥的密文ET(k)。
2.如权利要求1所述的数据跨域安全共享系统，其特征在于，所述用户模块包括用于用户身份注册、属性分配的认证单元，用于根据用户操作要求对数据进行上传、下载、修改动作的操作单元，用于记录着各域用户的身份属性信息的身份属性链IAC，用于记录用户的访问请求与对应结果的访问记录链ARC。
3.如权利要求1所述的数据跨域安全共享系统，其特征在于，所述数据存储模块，用于存储经过数据所有者DO加密上传后的数据，接受数据访问者DU的请求并提供密文下载服务。
4.一种实施权利要求1～3任意一项所述的数据跨域安全共享系统的数据跨域安全共享方法，其特征在于，所述数据跨域安全共享方法包括以下步骤：
步骤一，初始化，AA部署智能合约：当用户进行身份注册时，自动化生成用户公私钥对和用户属性，将生成的身份属性经过共识算法上链并分发到用户；
步骤二，数据上传：数据所有者DO生成随机文件密钥k，使用密钥k执行对称加密算法加密明文数据M生成密文C上传至云端，同时记录数据M元数据信息；DO设定该数据访问结构策略树T，结合访问策略执行CP-ABE算法加密密钥k生成ET(k)；数据M元数据信息包括散列值、上传域和关键词；CP-ABE算法，包括：
(1)初始化算法(1τ)→(PK，MK)：输入一个安全参数τ，输出公钥PK和主密钥MK；
(2)密钥生成算法(PK，MK，S)→(SK)：输入一个属性集合S、主密钥MK和公钥PK，输出用户私钥SK；
(3)加密算法(PK，M，AS)→(CT)：输入一个需要加密的明文M、公钥PK和访问策略AS，输出包含访问策略的密文CT；
(4)解密算法(PK，SK，CT)→(M)：输入包含访问策略
Figure FDA0003684107830000021
的密文CT、由属性集合所生成的公钥PK和私钥SK，如果属性集合S满足访问策略时，用户就可以成功的解密出明文M；
步骤三，文件信息上链：将元数据信息、访问策略及ET(k)生成区块，经多云共识后上链；
步骤四，申请访问：数据使用者DU通过FIC链检索多云下所有数据信息，调用智能合约接口发起数据访问请求；
步骤五，访问判决：智能合约通过FIC链和AMC链自动查询数据访问策略和用户属性，并将匹配结果返回至云端；若用户属性匹配策略，则云端传输数据密文C给用户，用户通过解密FIC链中的ET(k)获取文件密钥k，使用k通过解密密文C获取明文数据。
5.如权利要求4所述的数据跨域安全共享方法，其特征在于，所述数据跨域安全共享方法，还包括跨域属性匹配模型的构建，所述跨域属性匹配模型中各个自治域内都采用基于密文策略的属性基加密CP-ABE进行数据访问控制，各域资源属性分为通用属性与映射属性，通用属性表示各域内具有普适性的通用型属性，所述通用型属性包括姓名、性别和年龄；映射属性表示仅适用于本域内，跨域共享时需要进行属性映射的局部属性；归属于各自治域的属性权威机构AA在分布式网络中共同维护名为属性映射表的账本AMC；
在进行跨域数据共享时，数据所有者调用智能合约，以属性映射表为依据完成策略属性映射；当其中任意一个自治域D1中的用户向自治域D2发出跨域访问请求时，通过属性映射可以把自治域D2中的属性映射给域D1，使得域D1中用户获得域D2中的属性，进而可以对域D2内的某些资源进行访问操作。
6.如权利要求4所述的数据跨域安全共享方法，其特征在于，所述数据跨域安全共享方法，还包括跨域属性匹配，所述跨域属性匹配，包括：
(1)云内属性权威机构AA定义分配域内系统属性；
(2)查询已有属性映射表，根据本域属性一一更新映射表属性映射关系；
(3)属性映射表AMC更新并在各AA节点进行同步；
(4)属性权威机构AA在数据所有者DO注册后分配本域用户属性；
(5)DO调用属性映射合约接口，输入既定访问控制结构制定访问策略；
(6)属性映射智能合约自动进行属性查询和映射；
(7)返回映射属性后的访问控制结构。
7.如权利要求4所述的数据跨域安全共享方法，其特征在于，所述数据跨域安全共享方法，还包括数据跨域共享，所述数据跨域共享，包括：
(1)AA部署智能合约，完成区块链网络内各个云组织之间的属性映射，维护AMC属性映射表；
(2)用户进行身份注册，自动化生成用户公私钥对和用户属性；
(3)将生成的身份属性经过共识算法上链并分发到用户，用户可以通过IAC进行查询和校验；
(4)数据所有者DO生成随机文件密钥k，使用密钥k执行对称加密算法加密明文数据M生成密文C上传至云端，并记录数据M元数据信息；其中，所述数据M元数据信息包括：数据所在域FileAddr、数据关键词集合Keywords和加密文件的散列值hash；
(5)DO设定该数据访问结构策略树T，调用AMC属性映射合约完成各域间属性映射扩展；
(6)DO执行CP-ABE算法加密密钥k生成ET(k)，将元数据信息、访问策略及ET(k)生成区块，将生成的文件信息经过共识算法上链；
(7)数据使用者DU通过文件信息链FIC检索多云下所有数据信息，调用智能合约接口发起数据访问请求；
(8)智能合约通过文件信息链FIC和身份属性链IAC自动查询数据访问策略和用户属性，进行访问判决，若DU属性匹配策略，转步骤(9)；否则拒绝访问，流程结束；
(9)云端传输数据密文C给DU；
(10)DU首先通过解密数据信息链中的ET(k)获取文件密钥k，然后使用k通过解密密文C获取明文数据。
8.如权利要求4所述的数据跨域安全共享方法，其特征在于，所述数据跨域安全共享方法，还包括属性撤销，所述属性撤销，包括：
(1)当发生用户撤销、用户属性撤销和系统属性撤销三种方式之一时，属性权威机构AA更新被撤销用户活跃状态或属性信息，并广播到IAC网络中的其他AA节点进行同步；
(2)当用户向云端发起访问时调用FIC中智能合约，智能合约自动将FIC数据访问控制结构与IAC用户属性进行对比，若申请用户属性与策略匹配，转步骤(3)；否则拒绝访问，流程结束；
(3)用户属性与策略匹配，云端传输数据密文给用户，用户解密得到明文数据。
9.如权利要求4所述的数据跨域安全共享方法，其特征在于，所述数据跨域安全共享方法，还包括基于多云共识的共识机制Raft更新区块，当系统中有用户发起的新提案时，由于当前区块链的记账权由领导者节点掌握，跟随者节点具体工作；其中，所述区块更新，包括：
(1)跟随者节点将提案行为发送给领导者节点；
(2)领导者节点验证证书的数字签名，校验通过后将收到的数字证书和操作类型打包成区块，并把该区块向所有跟随者节点广播；
(3)跟随者节点验证区块内容后向领导者节点返回响应；
(4)领导者节点在收获超过一半的节点响应后，通知所有跟随者节点确认写入该区块，跟随者节点再通知各自域内节点更新区块链，完成账本更新。
CN202110263820.XA 2021-03-11 2021-03-11 一种数据跨域安全共享系统及方法 Active CN113132103B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110263820.XA CN113132103B (zh) 2021-03-11 2021-03-11 一种数据跨域安全共享系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110263820.XA CN113132103B (zh) 2021-03-11 2021-03-11 一种数据跨域安全共享系统及方法

Publications (2)

Publication Number Publication Date
CN113132103A CN113132103A (zh) 2021-07-16
CN113132103B true CN113132103B (zh) 2022-07-12

Family

ID=76773208

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110263820.XA Active CN113132103B (zh) 2021-03-11 2021-03-11 一种数据跨域安全共享系统及方法

Country Status (1)

Country Link
CN (1) CN113132103B (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114239044B (zh) * 2021-10-18 2024-09-03 国网内蒙古东部电力有限公司 一种去中心化的可追溯共享访问系统
CN114124548B (zh) * 2021-11-26 2024-01-26 中通服咨询设计研究院有限公司 一种基于边缘计算的数据跨域流动安全的方法
CN114065265B (zh) * 2021-11-29 2024-04-16 重庆邮电大学 基于区块链技术的细粒度云存储访问控制方法、系统及设备
CN113918981B (zh) * 2021-12-14 2022-03-08 苏州浪潮智能科技有限公司 一种基于属性的加密方法及系统
CN114338814B (zh) * 2022-03-03 2022-06-28 广州卓远虚拟现实科技有限公司 基于区块链的数据共享处理方法及系统
CN114598535B (zh) * 2022-03-14 2023-12-15 太原科技大学 基于云计算多授权中心的cp-abe代理重加密方法
CN114650184B (zh) * 2022-04-15 2023-05-26 四川中电启明星信息技术有限公司 一种基于信任度的Docker进程安全访问控制方法
CN114640473A (zh) * 2022-05-18 2022-06-17 山东省计算中心（国家超级计算济南中心） 基于区块链和abac的跨数据中心访问控制方法和系统
CN115065679B (zh) * 2022-06-02 2024-06-07 湖南天河国云科技有限公司 基于区块链的电子健康档案共享模型、方法、系统和介质
CN115426136B (zh) * 2022-08-12 2024-04-16 中国人民解放军战略支援部队信息工程大学 基于区块链的跨域访问控制方法及系统
CN115396229B (zh) * 2022-09-01 2024-02-20 西安电子科技大学 一种基于区块链的跨域资源隔离共享系统
CN115714669B (zh) * 2022-10-20 2024-02-06 云南师范大学 一种区块链下基于purh-cp-abe的隐私数据跨域共享方法
CN117294465B (zh) * 2023-08-11 2024-06-07 广州大学 一种基于跨域通信的属性加密系统及方法
CN116992494B (zh) * 2023-09-27 2023-12-08 四川启明芯智能科技有限公司 一种用于景区数据流通的安全保护方法、设备和介质
CN117896180B (zh) * 2024-03-14 2024-05-28 贵州梦福网络技术有限公司 一种以属性基加密技术为基础的多系统组网方法及其智能设备、存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107995197A (zh) * 2017-12-04 2018-05-04 中国电子科技集团公司第三十研究所 一种实现跨管理域身份和权限信息共享的方法
CN109559124A (zh) * 2018-12-17 2019-04-02 重庆大学 一种基于区块链的云数据安全共享方法
KR20200032412A (ko) * 2018-09-18 2020-03-26 이화여자대학교 산학협력단 블록체인 기반의 데이터 공유 방법, 이를 수행하기 위한 클라우드 서버 및 이를 포함하는 데이터 공유 시스템

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10951398B2 (en) * 2018-05-03 2021-03-16 Avaya Inc. Regulating communication comprising access to protected data
CN109450856B (zh) * 2018-10-12 2021-09-28 西安电子科技大学 基于区块链的数据链信息流转控制系统及方法
CN110636500B (zh) * 2019-08-27 2022-04-05 西安电子科技大学 支持跨域数据共享的访问控制系统及方法、无线通信系统
CN111555885B (zh) * 2020-03-18 2021-11-30 西安电子科技大学 一种可信身份认证方法、系统、存储介质、云计算终端
CN112235252B (zh) * 2020-09-21 2023-02-07 西安电子科技大学 基于区块链的安全识别方法、安全识别系统及存储介质

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107995197A (zh) * 2017-12-04 2018-05-04 中国电子科技集团公司第三十研究所 一种实现跨管理域身份和权限信息共享的方法
KR20200032412A (ko) * 2018-09-18 2020-03-26 이화여자대학교 산학협력단 블록체인 기반의 데이터 공유 방법, 이를 수행하기 위한 클라우드 서버 및 이를 포함하는 데이터 공유 시스템
CN109559124A (zh) * 2018-12-17 2019-04-02 重庆大学 一种基于区块链的云数据安全共享方法

Also Published As

Publication number Publication date
CN113132103A (zh) 2021-07-16

Similar Documents

Publication Publication Date Title
CN113132103B (zh) 一种数据跨域安全共享系统及方法
CN114513533B (zh) 一种分类分级健身健康大数据共享系统及方法
CN109492419B (zh) 用于获取区块链中的数据的方法、装置及存储介质
WO2020143470A1 (zh) 发放数字证书的方法、数字证书颁发中心和介质
US9813241B2 (en) Encrypted file storage
Yan et al. Heterogeneous data storage management with deduplication in cloud computing
US20190312877A1 (en) Block chain mining method, device, and node apparatus
CN109120639A (zh) 一种基于区块链的数据云存储加密方法及系统
Namasudra et al. Data accessing based on the popularity value for cloud computing
CN114239046A (zh) 数据共享方法
WO2021242709A1 (en) Method, apparatus, and computer-readable medium for secured data transfer over a decentrlaized computer network
CN114826652A (zh) 一种基于双区块链的可溯源访问控制方法
Wu et al. Secure personal health records sharing based on blockchain and IPFS
Gao et al. Blockchain based secure IoT data sharing framework for SDN-enabled smart communities
Fugkeaw Achieving privacy and security in multi-owner data outsourcing
CN112926082A (zh) 一种基于区块链的信息处理方法及装置
CN111008855A (zh) 一种基于改进代理重加密的追溯数据访问控制方法
Bacis et al. Access control management for secure cloud storage
CN107302524A (zh) 一种云计算环境下的密文数据共享系统
EP3817320A1 (en) Blockchain-based system for issuing and validating certificates
CN117457133A (zh) 支持动态访问的去中心化电子病历共享方法及系统
Sayler et al. Custos: Increasing security with secret storage as a service
CN114124392B (zh) 支持访问控制的数据可控流通方法、系统、设备和介质
Alston Attribute-based encryption for attribute-based authentication, authorization, storage, and transmission in distributed storage systems
Piechotta et al. A secure dynamic collaboration environment in a cloud context

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20230329

Address after: Building 28 and 29, Tian'an Digital City, No.88 Chunyang Road, Chengyang District, Qingdao City, Shandong Province

Patentee after: Qingdao Institute of computing technology Xi'an University of Electronic Science and technology

Address before: 710071 Xi'an Electronic and Science University, 2 Taibai South Road, Shaanxi, Xi'an

Patentee before: XIDIAN University

TR01 Transfer of patent right