CN113360925A - 电力信息物理系统中可信数据的存储和访问方法及系统 - Google Patents
电力信息物理系统中可信数据的存储和访问方法及系统 Download PDFInfo
- Publication number
- CN113360925A CN113360925A CN202110626857.4A CN202110626857A CN113360925A CN 113360925 A CN113360925 A CN 113360925A CN 202110626857 A CN202110626857 A CN 202110626857A CN 113360925 A CN113360925 A CN 113360925A
- Authority
- CN
- China
- Prior art keywords
- data
- attribute
- ciphertext
- key
- user
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 54
- 238000011217 control strategy Methods 0.000 claims abstract description 58
- 238000013475 authorization Methods 0.000 claims abstract description 40
- 238000003860 storage Methods 0.000 claims abstract description 29
- 238000004422 calculation algorithm Methods 0.000 claims abstract description 24
- 238000013507 mapping Methods 0.000 claims description 16
- 125000004122 cyclic group Chemical group 0.000 claims description 3
- 230000005611 electricity Effects 0.000 claims 1
- 238000004891 communication Methods 0.000 abstract description 7
- 238000013500 data storage Methods 0.000 abstract description 4
- 230000008569 process Effects 0.000 description 15
- 238000010586 diagram Methods 0.000 description 11
- 238000004590 computer program Methods 0.000 description 7
- 230000006870 function Effects 0.000 description 7
- 238000012545 processing Methods 0.000 description 6
- 238000004364 calculation method Methods 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 5
- 230000007246 mechanism Effects 0.000 description 4
- 230000009471 action Effects 0.000 description 3
- 230000004927 fusion Effects 0.000 description 3
- 102100022144 Achaete-scute homolog 2 Human genes 0.000 description 2
- 101000901109 Homo sapiens Achaete-scute homolog 2 Proteins 0.000 description 2
- 238000009826 distribution Methods 0.000 description 2
- 238000005457 optimization Methods 0.000 description 2
- 102100022142 Achaete-scute homolog 1 Human genes 0.000 description 1
- 101000901099 Homo sapiens Achaete-scute homolog 1 Proteins 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 238000010668 complexation reaction Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000005265 energy consumption Methods 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000005055 memory storage Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000012946 outsourcing Methods 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/602—Providing cryptographic facilities or services
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
- G06Q50/06—Energy or water supply
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Business, Economics & Management (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- Physics & Mathematics (AREA)
- Economics (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- General Health & Medical Sciences (AREA)
- Public Health (AREA)
- Bioethics (AREA)
- Water Supply & Treatment (AREA)
- Human Resources & Organizations (AREA)
- Marketing (AREA)
- Primary Health Care (AREA)
- Strategic Management (AREA)
- Tourism & Hospitality (AREA)
- General Business, Economics & Management (AREA)
- Storage Device Security (AREA)
Abstract
本发明提供一种电力信息物理系统中可信数据的存储和访问方法及系统，存储的访问时多授权中心合作生成密钥，认证简单，抗攻击能力高，通信开销小；所述存储方法系统，基于区块链和对称加密算法对数据存储进行优化；数据在存储时就进行加密，并编辑数据访问控制策略，密文存储在数据库，本身不上链；区块链中仅存储访问控制策略和数据的引用地址；所述访问方法及系统，通过电力信息物理系统中各CPS节点灵活自定义用户访问控制策略，用户属性密钥的生成由多个授权中心共同生成，实现分布式属性密钥生成，既能解决单一授权中心面临的攻击风险太高的问题，亦能减轻多授权中心面临的通信开销过高，负担过重的问题。
Description
技术领域
本发明涉及数据的访问控制技术领域，具体为电力信息物理系统中可信数据的存储和访问方法及系统。
背景技术
信息物理融合系统(Cyber-Physical System，CPS)是一个将感知传输、计算处理、决策控制等信息与控制技术深度融合到物理实体系统中，通过计算过程对物理过程进行感知和控制，实现信息空间与物理世界无缝结合的工程系统。CPS广泛应用于能源、电力、交通、物流等重要行业，称为支撑引领能源电力变革的核心技术体系。智能电网和能源互联网都是典型的信息物理融合系统，而随着它们的发展，信息环节对物理系统的影响问题将更加突出。信息环节的可信性、可靠性等问题可能导致物理系统的运行风险，影响现代电力系统的正常运行。因此，电力信息物理融合系统中，面向不同设备(或用户)角色的CPS节点数据的可信存储和访问需求，亟需一个可靠的认证授权和可信的数据存储、访问控制方法。
发明内容
针对现有技术中存在的问题，本发明提供一种电力信息物理系统中可信数据的存储和访问方法及系统，存储压力小，安全性高，访问时认证简单，抗攻击能力高，通信开销小。
本发明是通过以下技术方案来实现：
电力信息物理系统中节点可信数据的存储方法，包括，
接收主授权中心初始化产生的主密钥和公共参数；
根据数据允许访问者的属性，制定数据的访问控制策略树；
对数据明文计算生成哈希值；
随机生成对称加密密钥，对数据明文进行对称加密后得到数据密文和密文索引地址；
根据访问控制策略树、主密钥和公共参数，对密文索引地址和对称加密密钥进行属性加密，得到属性加密密文；
将属性加密密文、访问控制策略树和数据明文的哈希值存储至区块链；同时，生成该数据与链上数据的映射关系并存储；完成电力信息物理系统中数据的可信存储。
优选的，所述接收主授权中心初始化产生的主密钥和公共参数，具体包括如下：
1)根据安全参数λ生成不低于阈值的大素数p，选择2个位阶为p的乘法循环群G和GT，群G的生成元为g，得到双线性映射e:G×G→GT，选取哈希函数H(·)，用于将用户的属性序号映射到群G；
2)第i个授权中心CAi选择一个T-1阶多项式fi(x)＝ci0+ci1x+…+ci(T-1)xT-1，得到CAi计算秘密值fi(j)，其中j＝1,…,T-1，并将其发送给j个授权中心CAj，j≠i；
3)定义参与密钥生成的T个授权中心联合生成的随机秘密值为
其中，S代表参与密钥生成的T个授权中心集合，
由此得到系统主密钥mk＝gs；
4)选择一个n-1阶多项式h(x)＝b0+b1x+bjxj+…+bn-1xn-1，计算
其中，j＝0,1…，n-1；n为授权中心的个数；
5)计算参数
生成参数Z＝e(modg1)；
6)得到公共参数{p,g,g1,Z,G,GT,H,n,T}。
优选的，所述对数据明文计算生成哈希值，具体包括：
当CPS节点缓冲区的数据达到阈值，对明文执行HASHA3-512算法，生成哈希值hash1。
优选的，所述随机生成对称加密密钥，对数据明文进行对称加密后得到数据密文和密文索引地址，具体包括：
当CPS节点缓冲区的数据达到阈值，利用Rijndael对称加密算法随机生成对称加密密钥，对数据明文加密后得到密文；
将密文放入底层数据库中，并且得到密文在底层数据库中的索引地址。
优选的，所述根据控制策略树和公共参数，对密文索引地址和对称加密密钥进行属性加密时，采用CP-ABE加密算法。
电力信息物理系统中可信数据的存储系统，包括，
接收模块，用于接收主授权中心初始化产生的主密钥和公共参数；
访问控制策略树生成模块，用于根据数据允许访问者的属性，制定数据的访问控制策略树；
数字摘要模块，用于对数据明文计算生成哈希值；
加密模块，用于随机生成对称加密密钥，对数据明文进行对称加密后得到数据密文和密文索引地址；
属性加密模块，用于根据访问控制策略树、主密钥和公共参数，对密文索引地址和对称加密密钥进行属性加密，得到属性加密密文；
数据上链模块，用于将属性加密密文、访问控制策略树和数据明文的哈希值存储至区块链；同时，CPS节点生成该数据与链上数据的映射关系并存储；完成电力信息物理系统中数据的可信存储。
电力信息物理系统中可信数据的用户访问方法，包括，
向主授权中心发送真实身份信息；
根据接收的多个单属性私钥，计算用户的属性私钥；所述的单属性私钥由包括主授权中心的多个授权中心分别根据所述真实身份信息得到；
根据节点提供的链上数据位置从区块链上获取属性加密密文及访问控制策略树；
若用户属性不满足访问控制策略树，则终止访问；
若用户属性满足访问控制策略树，则利用公共参数和用户的属性私钥对属性加密密文进行解密，得到密文索引地址与对称加密密钥；
依据密文索引地址访问对应的数据密文，再利用对称加密密钥对所述数据密文进行解密得到数据明文，并通过哈希值对比验证数据明文的完整性，完成用户对节点中可信数据的访问。
优选的，所述的单属性私钥由包括主授权中心的多个授权中心分别根据所述真实身份信息得到，具体包括：
每个授权中心根据公共参数和主授权中心广播的用户属性集，按照CP-ABE密钥生成算法计算用户对应每个授权中心的单属性私钥，将单属性私钥通过安全信道发送给用户；所述用户属性集与用户真实身份信息对应。
进一步，所述利用公共参数和用户的属性私钥对属性加密密文进行解密，得到密文索引地址与对称加密密钥，具体包括：
依据公共参数和用户的属性私钥，执行CP-ABE解密运算，对属性加密密文进行解密，得到密文索引地址与对称加密密钥。
电力信息物理系统中可信数据的用户访问系统，包括，
发送模块，用于向主授权中心发送真实身份信息；
密钥生成模块，用于根据接收的多个单属性私钥，计算用户的属性私钥；所述的单属性私钥由包括主授权中心的多个授权中心分别根据所述真实身份信息得到；
访问模块，用于根据节点提供的链上数据位置从区块链上获取属性加密密文及访问控制策略树；
若用户属性不满足访问控制策略树，则终止访问；
若用户属性满足访问控制策略树，则利用公共参数和用户的属性私钥对属性加密密文进行解密，得到密文索引地址与对称加密密钥；
解密模块，用于依据密文索引地址访问对应的数据密文，再利用对称加密密钥对所述数据密文进行解密得到数据明文，并通过哈希值对比验证数据明文的完整性。
与现有技术相比，本发明具有以下有益的技术效果：
本发明电力信息物理系统中可信数据的存储方法系统，基于区块链和对称加密算法对数据存储进行优化；数据在存储时就进行加密，并编辑数据访问控制策略，密文存储在数据库，本身不上链；区块链中仅存储访问控制策略和数据的引用地址，减轻区块链系统的存储压力，及区块链系统的存储瓶颈；为后续的访问提供可信数据基础和快捷的访问基础。
本发明电力信息物理系统中可信数据的访问方法及系统，通过电力信息物理系统中各CPS节点灵活自定义用户访问控制策略，用户属性密钥的生成由多个授权中心共同生成，实现分布式属性密钥生成，既能解决单一授权中心面临的攻击风险太高的问题，亦能减轻多授权中心面临的通信开销过高，负担过重的问题。本发明很好地完成数据共享存在的隐私和安全问题，实现数据的细粒度访问控制，满足电力CPS系统对数据可信存储与访问的需求。
附图说明
图1为本发明实例中所述可信数据的存储流程示意图。
图2为本发明实例中所述区块头和区块体的结构组成示意图。
图3为本发明实例中所述可信数据的访问流程示意图。
具体实施方式
下面结合具体的实施例对本发明做进一步的详细说明，所述是对本发明的解释而不是限定。
目前能源数据的存储与计算大多采用集中式架构，容易形成“数据孤岛”问题。能源数据共享的前提是必须保证数据安全与可信，区块链这种去中心化、不可篡改、可追溯、多方共同维护的分布式数据库为数据的安全共享提供了一种可靠的解决方案。但随着数据的不断增加，区块链的存储空间成为其限制条件，故存储优化是区块链技术面临的一个重要挑战。另一方面，集中式存储架构还导致CPS系统中的CPS节点对数据失去控制权，故需要加强CPS节点对数据的控制权，由节点自身决定其他用户(或节点)是否有权访问数据。2005年提出的属性基加密(Attribute-Based Encryption，ABE)能为数据的隐私保护与访问控制的融合提供支持。ABE是公钥密码学与基于身份的密码学的一种拓展，不仅能执行细粒度访问控制，还能实现一对多的加密访问控制机制。ABE可分为密钥策略属性加密(Key-Policy ABE，KP-ABE)和密文策略属性加密(Ciphertext-Policy，CP-ABE)两种。其中KP-ABE将密文对应于属性集合，密钥对应于访问结构，解密当且仅当属性集合中的属性能够满足此访问结构；CP-ABE将密文对应于访问结构，密钥对应于属性集合，解密当且仅当属性集合中的属性能满足此访问结构。两者的适用场景不同，KP-ABE中密文用与其相关的属性加密后存放于服务器上，当允许用户得到某些数据时，就分配一个特定的访问结构给用户，较适合查询类的应用，如付费视频、日志加密管理等。应用于智能电网中，现有技术中使用KP-ABE实现安全定向广播的访问控制，由控制中心使用KP-ABE向特定的用户组广播单个加密消息，目标组成员各自使用定义好的密钥策略来解密。这种方案的缺点是不适合细粒度的数据访问，且由于控制中心需要为每个用户生成密钥，导致密钥数量巨大，不具有用户撤销的能力。
CP-ABE适用于每个用户设置的属性从属性机构中获得密钥，加密者根据自己的意愿制定对数据的访问控制，灵活性强，非常适合于访问控制类的应用，如云存储和细粒度共享等，且在智能电网中也有广泛应用。现有技术中公开的针对物联网中计算能力和能耗受限的设备，提出了一种基于属性的访问控制方案，将每个设备用一组预先定义的属性来描述，并在区块链上记录属性的分布，利用简单的签名和哈希操作简化控制协议，对数据的访问控制能力较弱。还公开提出了一种基于区块链和CP-ABE的动态访问控制策略，引入时间属性实现数据的动态访问，只有在规定的时间内且属性满足访问控制策略的用户才能访问数据。类似地，中国专利CN109871668A公开了一种智能电网中基于属性密码的认证、授权和访问控制方法，将访问时长嵌入访问结构中，生成具有时限的授权票据，支持控制中心离线的访问控制。这些方法主要关注用户身份认证和数据的访问控制方法，缺乏对数据的存储及其优化的方法，且这些ABE方案都属于单授权中心，密钥的生成与分发完全由一个可信的授权中心承担，从而使得授权中心面临攻击风险过高和负担过重的问题。
多授权中心的ABE方案由多个授权中心共同完成用户私钥的生成，属性被相互独立的多个授权中心管理，提高了系统的安全性。现有技术中一方面针对能源互联网跨企业、跨部门之间的数据共享中存在的能源数据易篡改、泄密、数据所有权争议问题，利用支持外包的多授权属性加密技术对数据设置访问策略进行细粒度访问控制，缓解用户的解密开销。另一方面提出一种基于属性的多授权中心身份认证方案，采用分布式密钥生成技术实现用户属性私钥的门限生成机制，可以抵抗来自多个授权中心的合谋攻击，但是N个授权中心间相互循环认证导致系统复杂度高且通信开销大。综合来看，上述多授权中心的ABE方案中，需要多个授权中心管控所有用户的属性，多个授权中心一起合作产生系统参数的过程复杂，且增加了多个授权机构之间的通信开销。
本发明电力信息物理系统中可信数据的存储和访问方法及系统，基于区块链和属性加密，解决电力信息物理系统中的数据存储优化和单一授权中心面临攻击风险太高和负担太重的认证问题；数据存储时进行加密，并编辑数据访问控制策略，密文存储在数据库，区块链中仅存储访问策略和对数据的引用，解决区块链系统的存储瓶颈；数据访问时，设计轻量级去中心化的多授权ABE方案，用户属性密钥由多个随机选择的授权中心共同生成，实现分布式属性秘钥生成，解决单一授权中心面临攻击风险太高和负担过重问题。解决了数据共享存在的隐私和安全问题，实现数据的细粒度访问控制，满足电力CPS系统对数据可信存储与访问的需求。
本实例中提供一种电力信息物理系统中节点可信数据的存储方法，包括，接收主授权中心初始化产生的主密钥和公共参数；
根据数据允许访问者的属性，制定数据的访问控制策略树；
对数据明文计算生成哈希值；
随机生成对称加密密钥，对数据明文进行对称加密后得到数据密文和密文索引地址；
根据访问控制策略树、主密钥和公共参数，对密文索引地址和对称加密密钥进行属性加密，得到属性加密密文；
将属性加密密文、访问控制策略树和数据明文的哈希值存储至区块链；同时，生成该数据与链上数据的映射关系并存储；完成电力信息物理系统中数据的可信存储。
所述的存储方法以CPS节点为执行对象，本优选实例中，其包括如下步骤，
(1)初始化：根据安全参数λ，由主授权中心执行初始化，产生主密钥mk和公共参数parm；
(2)加密数据：当CPS节点缓冲区的数据达到阈值，CPS节点利用密钥生成算法随机生成对称加密密钥skey，数据经过对称加密计算后得到密文cph，cph放入数据库A，密文在数据库A中的索引地址为Addr。对称加密算法可以表示为：SEnc(D(d1,d2,d3,…,dn),skey)→cph。其中，cph为数据块的密文，D(d1,d2,d3,…,dn)代表长度为n的数据块。
(3)生成访问控制树：CPS节点根据允许访问者的属性及允许访问的用户属性，制定数据访问控制策略树，只有用户的属性满足访问控制策略树，才能成功访问该文件。生成访问控制数可以表示为：StrGen(SU)→Tcom。
(4)数字摘要：CPS节点对数据明文执行HASH512算法，生成哈希值hash1。
(5)属性加密：CPS节点根据访问控制策略树、主密钥和公共参数对密文索引地址及对称密钥sk进行属性加密，执行CP-ABE加密算法，可以表示为：AEnclosed(Addr,skey,mk,para,Tcom)→enckey。
(6)数据上链：CPS节点将enckey、访问控制策略树、数据明文的哈希值hash1存储至区块链。同时，CPS节点生成该数据与链上数据的映射关系，将其放入数据库B。
具体实现步骤，如图1所示，包括，
(1)主授权中心CA*执行初始化，输入安全参数λ产生公共参数parm和主密钥mk。具体包括：
1)根据安全参数λ生成不低于120bit的大素数p，选择2个位阶为p的乘法循环群G和GT，g是群G的生成元，双线性映射e:G×G→GT，选取哈希函数H(·)，用于将用户的属性序号映射到群G，n为授权中心的个数。本优选实例中，阈值取值为120bit。
2)第i个授权中心CAi选择一个T-1阶多项式fi(x)＝ci0+ci1x+…+ci(T-1)xT-1，CAi计算秘密值fi(j)，其中j＝1,…,T-1，并将其发送给j个授权中心CAj，j≠i。
3)定义参与密钥生成的T个授权中心联合生成的随机秘密值为
其中，S代表参与密钥生成的T个授权中心，
由此，可以得到系统主密钥mk＝gs。
4)主授权中心CA*选择一个n-1阶多项式
h(x)＝b0+b1x+bjxj+…+bn-1xn-1，
计算
其中，j＝0,1…，n-1。
5)CA*计算参数
生成参数Z＝e(modg1)。
6)得到公共参数{p,g,g1,Z,G,GT,H,n,T}。
(2)主授权中心CA*向数据拥有者CPS节点发送公共参数parm和主密钥mk。
(3)主授权中心CA*向其它授权中心广播公共参数parm和主密钥mk。
(4)CPS节点根据数据允许访问者的属性，制定数据访问控制策略树，只有访问者的属性满足访问控制策略树，才能成功访问该文件。生成访问控制数可以表示为：StrGen(SU)→Tcom。
(5)CPS节点创建一个160位以内的口令，利用SHA2-224算法生成对称加密密钥skey。
(6)当CPS节点缓冲区的数据达到阈值，节点利用Rijndael算法对明文加密后得到密文对称加密算法可以表示为：
SEnc(D(d1,d2,d3,…,dn),skey)→cph。其中，cph为数据块的密文，D(d1,d2,d3,…,dn)代表长度为n的数据块。
(7)CPS节点将密文存入数据库A。
(8)数据库A向CPS节点返回密文在数据库中的索引地址Addr。
(9)当CPS节点缓冲区的数据达到阈值，CPS节点对明文执行SHA3-512算法，生成哈希值hash1。
(10)CPS节点根据访问控制树、主密钥和公共参数对密文索引地址及对称密钥skey和索引地址Addr进行属性加密，执行CP-ABE加密算法，可以表示为：AEnclosed(Addr,skey,mk,para,Tcom)→enckey。
(11)CPS节点将enckey、访问控制树、明文的哈希值hash1存储至区块链。区块头和区块体的结构如图2所示。
(12)CPS节点生成数据库A存储数据与链上数据的映射关系,将映射关系存入数据库B。
对应本实例中还提供一种电力信息物理系统中可信数据的存储系统，包括，
接收模块，用于接收主授权中心初始化产生的主密钥和公共参数；
访问控制策略树生成模块，用于根据数据允许访问者的属性，制定数据的访问控制策略树；
数字摘要模块，用于对数据明文计算生成哈希值；
加密模块，用于随机生成对称加密密钥，对数据明文进行对称加密后得到数据密文和密文索引地址；
属性加密模块，用于根据访问控制策略树、主密钥和公共参数，对密文索引地址和对称加密密钥进行属性加密，得到属性加密密文；
数据上链模块，用于将属性加密密文、访问控制策略树和数据明文的哈希值存储至区块链；同时，CPS节点生成该数据与链上数据的映射关系并存储；完成电力信息物理系统中数据的可信存储。
本实例中提供一种电力信息物理系统中可信数据的用户访问方法，包括，
向主授权中心发送真实身份信息；
根据接收的多个单属性私钥，计算用户的属性私钥；所述的单属性私钥由包括主授权中心的多个授权中心分别根据所述真实身份信息得到；
根据节点提供的链上数据位置从区块链上获取属性加密密文及访问控制策略树；
若用户属性不满足访问控制策略树，则终止访问；
若用户属性满足访问控制策略树，则利用公共参数和用户的属性私钥对属性加密密文进行解密，得到密文索引地址与对称加密密钥；
依据密文索引地址访问对应的数据密文，再利用对称加密密钥对所述数据密文进行解密得到数据明文，并通过哈希值对比验证数据明文的完整性，完成用户对节点中可信数据的访问。
所述的访问方法以CPS节点为执行对象，本优选实例中，其包括如下步骤，
(1)身份注册：数据访问者向主授权中心CA*提出注册申请，获取其真实身份信息对应的标识UID及属性集合SU，CA*向其它授权中心CA广播用户的属性集SU。授权中心的个数为n，T为用户属性密钥生成的门限值。
(2)密钥生成：每个CA根据注册者属性集SU、公共参数parm，按照CP-ABE密钥生成算法计算其单属性私钥，将其通过安全信道发送给用户。数据访问者收到T个CA发来的单属性私钥后，计算其用户的属性私钥SK。
(3)访问属性密文：数据访问者通过查询数据库B，获取与待访问数据相互映射的链上数据位置，从区块链上获取数据索引地址Addr和对称加密密钥skey的属性加密密文enckey。
(4)解密属性密文：若该访问者属性不满足访问控制策略树，则无法得到对称加密密钥skey和数据地址索引Addr，也就无法访问和解密数据。若该访问者属性满足访问控制策略树，则其依据公共参数、用户的属性私钥SK，执行CP-ABE解密运算，对属性加密密文enckey进行解密，得到密文索引地址Addr与对称加密密钥skey，可以至底层数据库访问该密文。CP-ABE解密可以表示为：ADec(parm,mk,SK,enckey)→Addr,skey。
(5)解密数据密文：访问者依据Addr访问数据库A中的密文，再利用skey对密文进行解密，解密过程可以表示为：SDec(cph,skey)＝D(d1,d2,d3,…,dn)。
(6)验证数据完整性：计算解密后数据明文的SHA3-512哈希值，与链上获取的明文哈希值作对比，验证数据的完整性。
具体实现步骤，如图3所示，包括，
(1)数据访问者即用户向主授权中心CA*提出注册申请。
(2)主授权中心CA*向数据访问者返回其真实身份信息对应的标识UID及属性集合SU，以及主授权中心CA*初始化后得到公共参数parm和主密钥mk。
(3)主授权中心CA*向其它授权中心广播数据访问者的UID及属性集SU。
(4)各个授权中心根据访问者的属性集公共参数parm，按照CP-ABE密钥生成算法计算其第u个属性的私钥sk-u，设属性集SU中的属性个数为M,定义集合Φ＝{1，2，…M}，则u∈Φ。将其通过安全信道发送给数据访问者。其中，安全信道是指授权中心和数据访问者之间先建立会话密钥再传输数据。为属性u∈SU生成属性密钥的过程为：
1)第i个授权中心CAi选择一个随机值τiu∈Zp,其中，Zp为模p剩余类，p为公共参数中的素数p；
2)第i个授权中心CAi选择一个T-1阶多项式fi(x)＝ci0+ci1x+…+ci(T-1)xT-1；
3)计算
其中，H(·)代表哈希函数，用于将属性序号映射到群G，
4)将
通过安全信道发送给用户。
(5)数据访问者从收到的属性密钥中随机选择T个，并利用多授权中心的密钥生成算法计算出该第u个属性的用户的属性密钥SK-u。SK-u的生成过程为：
1)计算
2)计算
3)得到第u个属性的私钥SK-u＝(du0,du1)。
(6)重复步骤(4)-(5)，直到生成属性集SU中所有属性的属性密钥，将其记作SK。
(7)数据访问者根据待访问的数据特征查询数据库B，数据库B向数据访问者返回与访问数据对应的链上数据位置。
(8)数据访问者查询区块链，并从中得到数据索引地址Addr和对称加密密钥skey的属性加密密文enckey，以及访问控制策略树、明文数据的哈希值hash1。
(9)若数据访问者属性满足访问控制策略树，则其依据公共参数、主密钥mk、用户的属性私钥SK，执行CP-ABE解密运算，对属性加密密文enckey进行解密，得到密文索引地址Addr与对称加密密钥skey，CP-ABE解密可以表示为：ADec(parm,SK,enckey)→Addr,skey。
(10)数据访问者根据密文索引地址Addr至数据库A访问该密文，获取密文cph。
(11)数据访问者根据对称加密密钥skey，对密文cph执行Rijndael解密算法，得到数据明文D，解密过程可以表示为：SDec(cph,skey)＝D(d1,d2,d3,…,dn)。
数据访问者利用SHA512算法计算数据明文的HASH值，结果记作hash2，将hash2与链上hash1做对比，验证数据的完整性。
对应本实例中还提供一种电力信息物理系统中可信数据的用户访问系统，包括，
发送模块，用于向主授权中心发送真实身份信息；
密钥生成模块，用于根据接收的多个单属性私钥，计算用户的属性私钥；所述的单属性私钥由包括主授权中心的多个授权中心分别根据所述真实身份信息得到；
访问模块，用于根据节点提供的链上数据位置从区块链上获取属性加密密文及访问控制策略树；
若用户属性不满足访问控制策略树，则终止访问；
若用户属性满足访问控制策略树，则利用公共参数和用户的属性私钥对属性加密密文进行解密，得到密文索引地址与对称加密密钥；
解密模块，用于依据密文索引地址访问对应的数据密文，再利用对称加密密钥对所述数据密文进行解密得到数据明文，并通过哈希值对比验证数据明文的完整性。
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
本发明可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、元件、数据结构等等。也可以在分布式计算环境中实践本发明，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。
在本发明中，“模块”、“装置”、“系统”等指应用于计算机的相关实体，如硬件、硬件和软件的组合、软件或执行中的软件等。详细地说，例如，元件可以、但不限于是运行于处理器的过程、处理器、对象、可执行元件、执行线程、程序和/或计算机。还有，运行于服务器上的应用程序或脚本程序、服务器都可以是元件。一个或多个元件可在执行的过程和/或线程中，并且元件可以在一台计算机上本地化和/或分布在两台或多台计算机之间，并可以由各种计算机可读介质运行。元件还可以根据具有一个或多个数据包的信号，例如，来自一个与本地系统、分布式系统中另一元件交互的，和/或在因特网的网络通过信号与其它系统交互的数据的信号通过本地和/或远程过程来进行通信。
最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”，不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。
Claims (10)
1.电力信息物理系统中节点可信数据的存储方法，其特征在于，包括，
接收主授权中心初始化产生的主密钥和公共参数；
根据数据允许访问者的属性，制定数据的访问控制策略树；
对数据明文计算生成哈希值；
随机生成对称加密密钥，对数据明文进行对称加密后得到数据密文和密文索引地址；
根据访问控制策略树、主密钥和公共参数，对密文索引地址和对称加密密钥进行属性加密，得到属性加密密文；
将属性加密密文、访问控制策略树和数据明文的哈希值存储至区块链；同时，生成该数据与链上数据的映射关系并存储；完成电力信息物理系统中数据的可信存储。
2.根据权利要求1所述的电力信息物理系统中可信数据的存储方法，其特征在于，所述接收主授权中心初始化产生的主密钥和公共参数，具体包括如下：
1)根据安全参数λ生成不低于阈值的大素数p，选择2个位阶为p的乘法循环群G和GT，群G的生成元为g，得到双线性映射e:G×G→GT，选取哈希函数H(·)，用于将用户的属性序号映射到群G；
2)第i个授权中心CAi选择一个T-1阶多项式fi(x)＝ci0+ci1x+…+ci(T-1)xT-1，得到CAi计算秘密值fi(j)，其中j＝1,…,T-1，并将其发送给j个授权中心CAj，j≠i；
3)定义参与密钥生成的T个授权中心联合生成的随机秘密值为
其中，S代表参与密钥生成的T个授权中心集合，
由此得到系统主密钥mk＝gs；
4)选择一个n-1阶多项式h(x)＝b0+b1x+bjxj+…+bn-1xn-1，计算
其中，j＝0,1…，n-1；n为授权中心的个数；
5)计算参数
生成参数Z＝e(modg1)；
6)得到公共参数{p,g,g1,Z,G,GT,H,n,T}。
3.根据权利要求1所述的电力信息物理系统中可信数据的存储方法，其特征在于，所述对数据明文计算生成哈希值，具体包括：
当CPS节点缓冲区的数据达到阈值，对明文执行HASHA3-512算法，生成哈希值hash1。
4.根据权利要求1所述的电力信息物理系统中可信数据的存储方法，其特征在于，所述随机生成对称加密密钥，对数据明文进行对称加密后得到数据密文和密文索引地址，具体包括：
当CPS节点缓冲区的数据达到阈值，利用Rijndael对称加密算法随机生成对称加密密钥，对数据明文加密后得到密文；
将密文放入底层数据库中，并且得到密文在底层数据库中的索引地址。
5.根据权利要求1所述的电力信息物理系统中可信数据的存储方法，其特征在于，所述根据控制策略树和公共参数，对密文索引地址和对称加密密钥进行属性加密时，采用CP-ABE加密算法。
6.电力信息物理系统中可信数据的存储系统，其特征在于，包括，
接收模块，用于接收主授权中心初始化产生的主密钥和公共参数；
访问控制策略树生成模块，用于根据数据允许访问者的属性，制定数据的访问控制策略树；
数字摘要模块，用于对数据明文计算生成哈希值；
加密模块，用于随机生成对称加密密钥，对数据明文进行对称加密后得到数据密文和密文索引地址；
属性加密模块，用于根据访问控制策略树、主密钥和公共参数，对密文索引地址和对称加密密钥进行属性加密，得到属性加密密文；
数据上链模块，用于将属性加密密文、访问控制策略树和数据明文的哈希值存储至区块链；同时，CPS节点生成该数据与链上数据的映射关系并存储；完成电力信息物理系统中数据的可信存储。
7.电力信息物理系统中可信数据的用户访问方法，其特征在于，包括，
向主授权中心发送真实身份信息；
根据接收的多个单属性私钥，计算用户的属性私钥；所述单属性私钥由包括主授权中心的多个授权中心分别根据所述真实身份信息得到；
根据节点提供的链上数据位置从区块链上获取属性加密密文及访问控制策略树；
若用户属性不满足访问控制策略树，则终止访问；
若用户属性满足访问控制策略树，则利用公共参数和用户的属性私钥对属性加密密文进行解密，得到密文索引地址与对称加密密钥；
依据密文索引地址访问对应的数据密文，再利用对称加密密钥对所述数据密文进行解密得到数据明文，并通过哈希值对比验证数据明文的完整性，完成用户对节点中可信数据的访问。
8.根据权利要求7所述的电力信息物理系统中可信数据的用户访问方法，其特征在于，所述的单属性私钥由包括主授权中心的多个授权中心分别根据所述真实身份信息得到，具体包括：
每个授权中心根据公共参数和主授权中心广播的用户属性集，按照CP-ABE密钥生成算法计算用户对应每个授权中心的单属性私钥，将单属性私钥通过安全信道发送给用户；所述用户属性集与用户真实身份信息对应。
9.根据权利要求8所述的电力信息物理系统中可信数据的用户访问方法，其特征在于，所述利用公共参数和用户的属性私钥对属性加密密文进行解密，得到密文索引地址与对称加密密钥，具体包括：
依据公共参数和用户的属性私钥，执行CP-ABE解密运算，对属性加密密文进行解密，得到密文索引地址与对称加密密钥。
10.电力信息物理系统中可信数据的用户访问系统，其特征在于，包括，
发送模块，用于向主授权中心发送真实身份信息；
密钥生成模块，用于根据接收的多个单属性私钥，计算用户的属性私钥；所述的单属性私钥由包括主授权中心的多个授权中心分别根据所述真实身份信息得到；
访问模块，用于根据节点提供的链上数据位置从区块链上获取属性加密密文及访问控制策略树；
若用户属性不满足访问控制策略树，则终止访问；
若用户属性满足访问控制策略树，则利用公共参数和用户的属性私钥对属性加密密文进行解密，得到密文索引地址与对称加密密钥；
解密模块，用于依据密文索引地址访问对应的数据密文，再利用对称加密密钥对所述数据密文进行解密得到数据明文，并通过哈希值对比验证数据明文的完整性。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110626857.4A CN113360925B (zh) | 2021-06-04 | 2021-06-04 | 电力信息物理系统中可信数据的存储和访问方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110626857.4A CN113360925B (zh) | 2021-06-04 | 2021-06-04 | 电力信息物理系统中可信数据的存储和访问方法及系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN113360925A true CN113360925A (zh) | 2021-09-07 |
| CN113360925B CN113360925B (zh) | 2024-04-30 |
Family
ID=77532476
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202110626857.4A Active CN113360925B (zh) | 2021-06-04 | 2021-06-04 | 电力信息物理系统中可信数据的存储和访问方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113360925B (zh) |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114050929A (zh) * | 2021-11-10 | 2022-02-15 | 北京安天网络安全技术有限公司 | 一种基于属性加密的多方安全通信方法、设备及介质 |
| CN114710370A (zh) * | 2022-06-08 | 2022-07-05 | 山东省计算中心（国家超级计算济南中心） | 基于雾区块链和属性加密的细粒度访问控制方法及系统 |
| CN114826652A (zh) * | 2022-03-10 | 2022-07-29 | 南京邮电大学 | 一种基于双区块链的可溯源访问控制方法 |
| CN116155619A (zh) * | 2023-04-04 | 2023-05-23 | 江西农业大学 | 数据处理方法、数据请求端、数据拥有端及数据处理装置 |
| CN116723002A (zh) * | 2023-05-06 | 2023-09-08 | 国网浙江省电力有限公司 | 基于态势感知的电力报告智能加密方法 |
| CN116805078A (zh) * | 2023-06-14 | 2023-09-26 | 深圳市易联锋达科技有限公司 | 一种基于大数据的物流信息平台数据智能管理系统及方法 |
| CN117097566A (zh) * | 2023-10-18 | 2023-11-21 | 江西农业大学 | 加权属性代理重加密信息细粒度访问控制系统及方法 |
| CN117251859A (zh) * | 2023-03-15 | 2023-12-19 | 桂林电子科技大学 | 一种基于区块链地理信息数据共享系统及方法 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109768987A (zh) * | 2019-02-26 | 2019-05-17 | 重庆邮电大学 | 一种基于区块链的数据文件安全隐私存储和分享方法 |
| CN109951498A (zh) * | 2019-04-18 | 2019-06-28 | 中央财经大学 | 一种基于密文策略属性加密的区块链访问控制方法及装置 |
| CN111245861A (zh) * | 2020-02-07 | 2020-06-05 | 上海应用技术大学 | 电力数据存储和共享方法 |
| CN112019591A (zh) * | 2020-07-09 | 2020-12-01 | 南京邮电大学 | 一种基于区块链的云数据共享方法 |
| CN112039880A (zh) * | 2020-08-30 | 2020-12-04 | 河南大学 | 基于区块链分布式外包的双重策略访问控制方法 |
-
2021
- 2021-06-04 CN CN202110626857.4A patent/CN113360925B/zh active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109768987A (zh) * | 2019-02-26 | 2019-05-17 | 重庆邮电大学 | 一种基于区块链的数据文件安全隐私存储和分享方法 |
| CN109951498A (zh) * | 2019-04-18 | 2019-06-28 | 中央财经大学 | 一种基于密文策略属性加密的区块链访问控制方法及装置 |
| CN111245861A (zh) * | 2020-02-07 | 2020-06-05 | 上海应用技术大学 | 电力数据存储和共享方法 |
| CN112019591A (zh) * | 2020-07-09 | 2020-12-01 | 南京邮电大学 | 一种基于区块链的云数据共享方法 |
| CN112039880A (zh) * | 2020-08-30 | 2020-12-04 | 河南大学 | 基于区块链分布式外包的双重策略访问控制方法 |
Cited By (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114050929A (zh) * | 2021-11-10 | 2022-02-15 | 北京安天网络安全技术有限公司 | 一种基于属性加密的多方安全通信方法、设备及介质 |
| CN114826652A (zh) * | 2022-03-10 | 2022-07-29 | 南京邮电大学 | 一种基于双区块链的可溯源访问控制方法 |
| CN114710370A (zh) * | 2022-06-08 | 2022-07-05 | 山东省计算中心（国家超级计算济南中心） | 基于雾区块链和属性加密的细粒度访问控制方法及系统 |
| CN117251859A (zh) * | 2023-03-15 | 2023-12-19 | 桂林电子科技大学 | 一种基于区块链地理信息数据共享系统及方法 |
| CN116155619A (zh) * | 2023-04-04 | 2023-05-23 | 江西农业大学 | 数据处理方法、数据请求端、数据拥有端及数据处理装置 |
| CN116155619B (zh) * | 2023-04-04 | 2023-07-07 | 江西农业大学 | 数据处理方法、数据请求端、数据拥有端及数据处理装置 |
| CN116723002A (zh) * | 2023-05-06 | 2023-09-08 | 国网浙江省电力有限公司 | 基于态势感知的电力报告智能加密方法 |
| CN116723002B (zh) * | 2023-05-06 | 2023-12-15 | 国网浙江省电力有限公司 | 基于态势感知的电力报告智能加密方法 |
| CN116805078A (zh) * | 2023-06-14 | 2023-09-26 | 深圳市易联锋达科技有限公司 | 一种基于大数据的物流信息平台数据智能管理系统及方法 |
| CN117097566A (zh) * | 2023-10-18 | 2023-11-21 | 江西农业大学 | 加权属性代理重加密信息细粒度访问控制系统及方法 |
| CN117097566B (zh) * | 2023-10-18 | 2024-01-26 | 江西农业大学 | 加权属性代理重加密信息细粒度访问控制系统及方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN113360925B (zh) | 2024-04-30 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN113360925B (zh) | 电力信息物理系统中可信数据的存储和访问方法及系统 | |
| Feng et al. | Efficient and secure data sharing for 5G flying drones: A blockchain-enabled approach | |
| CN111130757B (zh) | 一种基于区块链的多云cp-abe访问控制方法 | |
| Yang et al. | An efficient and fine-grained big data access control scheme with privacy-preserving policy | |
| CN110855671B (zh) | 一种可信计算方法和系统 | |
| CN109145612B (zh) | 基于区块链实现防数据篡改、用户共谋的云数据共享方法 | |
| CN112152778B (zh) | 一种节点管理方法、装置、及电子设备 | |
| WO2014114080A1 (zh) | 数据加密保护方法及系统 | |
| Lu et al. | A Fine‐Grained IoT Data Access Control Scheme Combining Attribute‐Based Encryption and Blockchain | |
| Liang et al. | Novel private data access control scheme suitable for mobile edge computing | |
| CN113204757A (zh) | 一种信息交互方法、装置和系统 | |
| CN113643134A (zh) | 基于多密钥同态加密的物联网区块链交易方法及系统 | |
| Jamal et al. | Reliable access control for mobile cloud computing (MCC) with cache-aware scheduling | |
| Zhang et al. | Cerberus: Privacy-preserving computation in edge computing | |
| CN111294793A (zh) | 一种无线传感网中身份认证的数据隐私保护方法 | |
| CN111444268A (zh) | 一种基于区块链的数据加密方法 | |
| CN114268482A (zh) | 一种基于属性布隆过滤器的快速策略检索方法 | |
| CN116208330A (zh) | 一种基于量子加密的工业互联网云边协同数据安全传输方法及系统 | |
| Kavuri et al. | An improved integrated hash and attributed based encryption model on high dimensional data in cloud environment | |
| Chen et al. | A multi-authority attribute-based encryption scheme with pre-decryption | |
| Hahn et al. | Verifiable outsourced decryption of encrypted data from heterogeneous trust networks | |
| Mathew et al. | Intelligent edge security with dynamic task offloading in fog environment | |
| Hammami et al. | Security issues in cloud computing and associated alleviation approaches | |
| CN111193701A (zh) | 一种网络设备数据融合方法 | |
| Geng et al. | A trusted data storage and access control scheme for power cps combining blockchain and attribute-based encryption |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |