CN113761594B - 一种基于身份的三方可认证密钥协商和数据共享方法 - Google Patents

Abstract

本发明公开了一种基于身份的三方可认证密钥协商系统和数据共享方法，涉及数据加密传输领域，包括：数据分享端；检查数据请求端的授权真实性并根据数据请求端请求的文件标识符为所述文件生成唯一的三方可认证会话密钥加密文件；访问控制端；数据请求端，用于：向访问控制端发送获取特定文件的请求；将来自访问控制端的加密因子作为授权向数据分享端请求特定文件；根据加密因子生成三方可认证的会话密钥解密特定文件密文。本发明结合基于身份的签名技术以及安全哈希链技术实现了对每个共享的文件生成唯一的三方可认证的会话密钥，实现了通信过程中的完美前向安全和后向安全，可以抵御中间人攻击并且没有增加额外的通信开销。

Description

一种基于身份的三方可认证密钥协商和数据共享方法

技术领域

本发明涉及数据加密传输的完美前向安全和后向安全领域，具体地，涉及一种基于身份的三方可认证密钥协商系统和数据共享方法。

背景技术

在过去二十年中，信息数字化和计算机技能、技术方面的进步，以及立法框架适应数字空间的调整，使数据能够以前所未有的规模更快地共享。然而数据共享还收到很多方面的制约。比如数据的可用性和质量还有待提高，以及如今存储、处理和传输数据的成本偏高。随着移动无线网络的快速发展，越来越多的智能移动设备终端得到普及，移动互联网得到了极大地发展。然而智能移动设备终端资源有限，不适用于大规模存储数据，但由于移动网络的便捷性，适当地提高通信开销是可以接受的。

有研究报告表明，越来越多地研究提出将移动设备的数据托管到云服务器进行存储，移动设备端与云服务器规定访问策略或访问控制权限，从而让移动设备端充当访问控制的角色以控制数据托管节点在向第三方共享自己的数据时能够保护自己的安全隐私。

发明内容

本发明的目的是提供一种基于身份的三方可认证密钥协商系统和数据共享方法，该基于身份的三方可认证密钥协商系统和数据共享方法可以提高会话密钥的安全性以抵御中间人攻击；可以在不增加通信开销的前提下根据文件的数量来生成相同数量的会话密钥以进行分别加密；由于每个密钥相互独立，能够实现通信过程的完美前向安全和后向安全，可以抵御中间人攻击并且没有增加额外的通信开销。

为了实现上述目的，本发明提供了一种基于身份的三方可认证密钥协商系统，所述基于身份的三方可认证密钥协商系统包括：数据分享端，用于：存储与访问控制端有关的文件原始数据；与所述访问控制端协商会话密钥以安全传输数据；使用所协商的会话密钥的过程量和哈希函数来生成与文件数量相同的第一加密因子并为每一个文件匹配一个第一加密因子；检查数据请求端的授权真实性并根据所述数据请求端请求的文件标识符为所述文件生成唯一的三方可认证会话密钥加密文件；所述访问控制端，用于：与所述数据分享端协商会话密钥；使用所协商的会话密钥的过程量生成秘密值并安全存储；根据所述文件标识符调用哈希函数对所述秘密值哈希生成唯一的第二加密因子作为对所述数据请求端的授权；所述数据请求端，用于：向所述访问控制端发送获取特定文件的请求；将来自所述访问控制端的第二加密因子作为授权以向所述数据分享端请求共享特定文件；根据所述加密因子生成三方可认证的会话密钥解密所述特定文件的密文。

优选地，所述数据分享端还用于将所述文件原始数据分配标识符，并为每个文件匹配唯一的第一加密因子，在分享该文件时为每个文件生成唯一的加密密钥；

所述访问控制端还用于在所述数据请求端申请访问特定文件时，根据文件标识符生成对应的第二加密因子作为对所述数据请求端的授权，使所述数据请求端可以根据授权生成特定文件的唯一解密密钥。

另外，本发明还提供一种基于可认证密钥协商的数据共享方法，使用上述的基于身份的三方可认证密钥协商系统，所述基于可认证密钥协商的数据共享方法包括：

初始化所述三方可认证密钥协商系统；

生成所述数据分享端、数据请求端和访问控制端各自的长期密钥；

所述数据分享端和访问控制端协商可认证会话密钥并确定文件标识符；

所述数据分享端对所述可认证会话密钥的过程量哈希得到与文件数量相同的第一加密因子；

所述访问控制端和数据请求端协商可认证会话密钥，并根据所述数据请求端的申请生成特定的第二加密因子发送给数据请求端；

所述数据请求端将所述第二加密因子作为授权向所述数据分享端请求特定文件；

所述数据分享端验证所述数据请求端授权合法性并为所述特定文件生成唯一加密密钥进行加密；以及

所述数据请求端根据第二加密因子生成所述特定文件对应的解密密钥以对所述特定文件的密文进行解密，完成数据共享；

其中，所述数据请求端、数据分享端和访问控制端能够独立生成三方会话密钥，以实现上述三者之间的共享数据。

优选地，所述初始化所述三方可认证密钥协商系统包括：

配置一个大素数q，私钥生成中心选择一个双线性对e:G₁×G₁→G_T，其中，G₁是阶数为q的加法Gap Diffie-Hellman循环群，P是循环群G₁的一个生成元，G_T是阶数为q的乘法循环群；所述私钥生成中心选择一个秘密值作为PKG的主私钥，并计算P_pub＝sP作为主公钥，计算g＝e(P,P)；选择以下七个Hash函数：

H₀:

H₁:{0,1}^*→G₁

H₂:

H₃:G₂→G₁×{0,1}^*，

H_α:G₁→{0,1}^k，其中k表示长度

H_β:

H:{0,1}^*→{0,1}^l，其中l表示字串长度；

初始化公共参数为：

param＝(G₁,G₂,e,q,g,P,P_pub,H₀,H₁,H₂,H₃,H_α,H_β,H)；

并且，所述生成所述数据分享端，数据请求端和访问控制端各自的长期密钥包括：

将所述数据分享端、数据请求端和访问控制端统一记为端U；

所述端U将自身的身份标识符ID_U通过安全信道提交给所述私钥生成中心请求生成对应的私钥；

所述私钥生成中心根据所述身份标识符ID_U计算Q_U＝H₁(ID_U)，S_U＝sQ_U。所述私钥生成中心将S_U通过安全信道发给所述端U；

所述端U使用(Q_U,S_U)来生成基于身份的可认证会话密钥以及生成和验证基于身份的数字签名并将自己的身份标识符ID_U向其他端公开。

并且，所述数据分享端和访问控制端协商可认证会话密钥并确定文件标识符包括：

访问控制端C使用数据分享端A的身份标识符ID_A计算K_CA＝e(S_C,Q_A)，选择随机数并计算T_c1＝c₁P和T_c2＝c₂P，将(T_c1,T_c2)传送给所述数据分享端A；

所述数据分享端A收到来自所述访问控制端C的(T_c1,T_c2)后，将与所述访问控制端相关的文件进行编号使每一个文件对应有唯一的标识符；使用所述访问控制端C的身份标识符ID_C计算K_AC＝e(S_A,Q_C)，选择随机数和/>并计算T_a1＝a₁P和T_a1＝a₁P，将(T_a1,T_a2)传送给所述访问控制端C，所述数据分享端A计算出与所述访问控制端C本次会话的可认证对称密钥sk_AC＝H(ID_C||ID_A||a₁T_c1||a₂T_c2||K_AC||T_c1||T_c2||T_a1||T_a2)，并将所述文件数量j以及所述文件标识符{1,2,...,j}加密发送给所述访问控制端C；

所述访问控制端C收到来自所述数据分享端A的(T_a1,T_a2)后计算出本次会话的可认证对称密钥sk_CA＝H(ID_C||ID_A||c₁T_a1||c₂T_a2||K_CA||T_c1||T_c2||T_a1||T_a2)，并用所述可认证对称密钥sk_CA解密出文件数量j以及所述文件标识符{1,2,...,j}并存储。

优选地，所述数据分享端对所述可认证会话密钥的过程量哈希得到与文件数量相同的第一加密因子包括：

所述数据分享端A根据所述会话密钥的过程量(T_c1,T_c2)生成s_α＝a₂T_c1和s_β＝a₁T_c2；

所述数据分享端A根据文件总数j调用哈希函数H_β生成一条长为j+1的β哈希链，初始值为s_β，其中

所述数据分享端A再调用哈希函数H_α生成一条长为j+1的α哈希链并在生成过程中逆序地插入β哈希链的中间值，初始值为s_α，其中

所述数据分享端A将得到的分别匹配到标识符为{1,2,...,j}的文件中。

优选地，所述访问控制端和数据请求端协商可认证会话密钥，并根据所述数据请求端的申请生成特定的第二加密因子发送给数据请求端包括：

所述数据请求端B使用所述访问控制端C的身份标识符ID_C计算K_BC＝e(S_B,Q_C)，选择随机数并计算T_b＝bP，将T_b和针对标识符为j的文件对应的请求request(j)传送给所述访问控制端C；

所述访问控制端C收到来自所述数据请求端B的T_b和请求request(j)后，使用所述数据请求端B的身份标识符ID_B计算K_CB＝e(S_C,Q_B)，计算出与所述数据请求端B本次会话的可认证对称密钥sk_CB＝H(ID_B||ID_C||c₁T_b||K_CB||T_b||T_c1)；

所述访问控制端C计算Q′_A＝H₀(ID_A)、Q′_B＝H₀(ID_B)，并根据所述文件标识符j生成对应第二加密因子和/>

所述访问控制端C将第二加密因子δ_C和用可认证对称密钥sk_CB加密后连同T_c1传送给所述数据请求端B；

所述数据请求端B收到来自所述病访问控制端C的T_c1后计算出本次会话的可认证对称密钥sk_BC＝H(ID_B||ID_C||bT_c1||K_BC||T_b||T_c1)，并用所述可认证对称密钥sk_BC解密出第二加密因子δ_C和

优选地，所述数据请求端将所述第二加密因子作为授权向所述数据分享端请求特定文件包括：

所述数据请求端B计算根据请求request(j)生成m＝(T_b||requst(j))，计算g_b＝g^b，/>U_B＝bQ_B，h＝H₂(m||U_B)，V_B＝(b+h)S_B，并将(δ_CB,U_B,V_B,N)发送给所述数据分享端A。

优选地，所述数据分享端验证所述数据请求端授权合法性并为所述特定文件生成唯一加密密钥进行加密包括：

所述数据分享端A根据(δ_CB,U_B,V_B,N)和所述数据请求端B的身份标识符ID_B计算Q′_B＝H₀(ID_B)，Q′_A＝H₀(ID_A),g_b'＝e(T_c1+Q′_AP+Q′_BP,δ_CB)，h'＝H₂(m'||U_B)，检查e(P,V_B)＝e(P_pub,U_B+h′Q_B)等式是否成立，当所述e(P,V_B)＝e(P_pub,U_B+h′Q_B)等式成立时，证明所述数据请求端B拥有来自所述访问控制端C的合法授权；

所述数据分享端A根据m'中的T_b计算K_AB＝e(S_A,Q_B)，生成关于标识符为j的文件的加密密钥sk_AB＝H(ID_B||ID_A||a₁T_b||K_AB-C||K_AB||T_b||T_a1)并对所述标识符为j的文件加密，将T_a1和加密后的文件密文发送给所述数据请求端B。

优选地，所述数据请求端根据第二加密因子生成所述特定文件对应的解密密钥以对所述特定文件的密文进行解密，完成数据共享包括：

所述数据请求端B收到来自所述数据分享端A的T_a1后，使用所述数据分享端A的身份标识符ID_A计算K_BA＝e(S_B,Q_A)和生成与数据分享端A的会话密钥sk_BA＝H(ID_B||ID_A||bT_a1||K_BA-C||K_BA||T_b||T_a1)，并用sk_BA解密出文件原始数据，完成数据共享。

优选地，所述数据请求端、数据分享端和访问控制端通过下述方式独立生成三方会话密钥：

所述数据请求端B计算K_BCA＝e(T_c1,T_a1)^b，三方会话密钥sk_BCA＝H(ID_A||ID_B||ID_C||K_BCA||T_a1||T_b||T_c1)；

所述数据分享端A计算三方会话密钥sk_ABC＝H(ID_A||ID_B||ID_C||K_ABC||T_a1||T_b||T_c1)；

所述访问控制端C计算三方会话密钥sk_CAB＝H(ID_A||ID_B||ID_C||K_CAB||T_a1||T_b||T_c1)；

其中，sk_BCA＝sk_ABC＝sk_CAB。根据上述技术方案，本发明通过结合基于身份的数字签名(IBS)算法和基于身份的可认证密钥协商(IBAKA)技术实现了数据的安全传输。本发明采用了利用双哈希链反向叠加的加密因子产生对称密钥，不仅实现了每个文件的细粒度访问控制，还实现了通信的完美前向安全和后向安全。本发明提高了数据共享的安全性，符合当下5G移动互联网背景下数据共享的发展趋势。

本发明的其他特征和优点将在随后的具体实施方式部分予以详细说明。

附图说明

附图是用来提供对本发明的进一步理解，并且构成说明书的一部分，与下面的具体实施方式一起用于解释本发明，但并不构成对本发明的限制。在附图中：

图1是说明本发明的一种基于身份的三方可认证密钥协商系统的交互框图；

图2是说明本发明的一种基于身份的三方可认证密钥协商系统的模块框图；以及

图3是说明本发明的一种基于可认证密钥协商的数据共享方法的流程图。

具体实施方式

以下结合附图对本发明的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明，并不用于限制本发明。

实施例1

图1是本发明实施例1所提供的一种基于身份的三方可认证密钥协商系统的模块交互框图，如图1、2所示，所述基于身份的三方可认证密钥协商系统包括：

数据分享端，用于：

存储与访问控制端有关的文件原始数据；

与访问控制端协商会话密钥以安全传输数据；

使用协商会话密钥的过程量以及哈希函数来生成与文件数量相同的加密因子并为每一个文件匹配一个加密因子；

检查数据请求端的授权真实性并根据数据请求端请求的文件标识符为所述文件生成唯一的三方可认证会话密钥加密文件；

访问控制端，用于：

与数据分享端协商会话密钥；

使用协商会话密钥的过程量生成秘密值并安全存储；

根据文件标识符调用哈希函数对秘密值进行哈希生成唯一的加密因子作为对数据请求端的授权；

数据请求端，用于：

向访问控制端发送获取特定文件的请求；

将来自访问控制端的加密因子作为授权向数据分享端请求特定文件；

根据加密因子生成三方可认证的会话密钥解密特定文件密文。

优选地，所述数据分享端用于根据文件数量生成等量的加密因子并在共享文件的时候生成对应的加密密钥实现细粒度访问控制：所述访问控制端用于将加密因子当做授权来实现对特定文件的访问控制；所述数据请求端用于在得到授权后，根据授权中的加密因子恢复出解密秘钥从而获取文件明文。

总结来看，数据分享端与访问控制端协商基于身份的会话密钥，利用会话密钥协商的过程量以及两个安全的哈希函数生成一条长度与文件数量匹配的哈希链，从而为每个文件分配一个唯一的加密因子；访问控制端根据文件数量生成相同的加密因子，当有来自数据请求端关于特定文件的访问申请时，访问控制端根据文件的标识符生成对应的加密因子作为授权发送给所述数据请求者；数据请求端根据授权向数据分享端发出关于特定文件的访问申请；所述数据分享端验证数据请求端的授权合法性并生成唯一的密钥加密文件，随后将文件传给数据请求端；数据请求端根据加密因子生成对应的解密密钥还原出文件的明文。本发明实现了每个文件的细粒度访问控制，还实现了通信的完美前向安全和后向安全。

实施例2

在实施例1中，公开了一种基于身份的三方可认证密钥协商系统，对于该系统的建立以及使用该系统来实现基于可认证密钥协商的数据共享方法，需要通过下述的方法来实现，如图3所示，建立并使用上述的基于身份的三方可认证密钥协商系统来实现所述基于可认证密钥协商的数据共享方法包括：

S301，初始化所述三方可认证密钥协商系统；

S302，生成所述数据分享端，数据请求端和访问控制端的长期密钥；

S303，所述数据分享端和访问控制端协商可认证会话密钥并确定文件标识符；

S304，所述数据分享端对所述会话密钥的过程量哈希得到与文件数量相同的加密因子；

S305，所述访问控制端和数据请求端协商可认证会话密钥，并根据所述数据请求端的申请生成特定的加密因子发送给数据请求端；

S306，所述数据请求端将所得加密因子作为授权向数据分享端请求特定文件；

S307，所述数据分享端验证所述数据请求端授权合法性并为特定文件生成唯一加密密钥进行加密；以及

S308，所述数据请求端根据加密因子生成特定文件的解密密钥对所述文件密文进行解密，完成数据共享；

其中，所述数据请求端，数据分享端和访问控制端在必要时可以独立生成三方会话密钥，在三者之间安全地共享数据而不用额外增加一轮通信。

优选地，S301，初始化所述三方可认证密钥协商系统包括：

S3011，配置一个大素数q，私钥生成中心(PKG)选择一个双线性对e:G₁×G₁→G_T，其中，G₁是阶数为q的加法Gap Diffie-Hellman循环群，P是循环群G₁的一个生成元，G_T是阶数为q的乘法循环群；

S3012，PKG选择一个秘密值作为PKG的主私钥，并计算P_pub＝sP作为主公钥，计算g＝e(P,P)。

S3013，选择以下七个Hash函数：

H₀:

H₁:{0,1}^*→G₁

H₂:

H₃:G₂→G₁×{0,1}^*，

H_α:G₁→{0,1}^k，其中k表示长度

H_β:

H:{0,1}^*→{0,1}^l，其中l表示字串长度；

S3014，初始化的公共参数为：

param＝(G₁,G₂,e,q,g,P,P_pub,H₀,H₁,H₂,H₃,H_α,H_β,H)。

优选地，S302，生成所述数据分享端，数据请求端和访问控制端的长期密钥包括：

S3021，不失一般性地将所述数据分享端，数据请求端和访问控制端统一记为端U。

S3022，端U将自己的身份标识符ID_U通过安全信道提交给私钥生成中心PKG请求生成对应的私钥。PKG根据ID_U计算Q_U＝H₁(ID_U)，S_U＝sQ_U。PKG将S_U通过安全信道发给U；

S3023，所述端U使用(Q_U,S_U)来和其他端协商基于身份的可认证会话密钥以及生成和验证基于身份的数字签名并将自己的身份标识符ID_U向其他端公开。实际上其他端就是代指所有参与这个系统的实体。

优选地，S303，所述数据分享端和访问控制端协商可认证会话密钥并确定文件标识符包括：

S3031，所述访问控制端C使用所述数据分享端A的身份标识符ID_A计算K_CA＝e(S_C,Q_A)，选择随机数并计算T_c1＝c₁P和T_c2＝c₂P，将(T_c1,T_c2)传送给所述数据分享端A；

S3032，所述数据分享端A收到来自所述访问控制端C的(T_c1,T_c2)后，将与访问控制端相关的文件编号使每个文件得到唯一的标识符；使用所述访问控制端C的身份标识符ID_C计算K_AC＝e(S_A,Q_C)，选择随机数和/>并计算T_a1＝a₁P和T_a1＝a₁P，将(T_a1,T_a2)传送给所述访问控制端C，数据分享端A计算出与访问控制端C本次会话的可认证对称密钥sk_AC＝H(ID_C||ID_A||a₁T_c1||a₂T_c2||K_AC||T_c1||T_c2||T_a1||T_a2)，并将所述文件数量j以及所述文件标识符{1,2,...,j}加密发送给访问控制端；

S3033，所述访问控制端C收到来自所述病数据分享端A的(T_a1,T_a2)后计算出本次会话的可认证对称密钥sk_CA＝H(ID_C||ID_A||c₁T_a1||c₂T_a2||K_CA||T_c1||T_c2||T_a1||T_a2)，并用sk_CA解密出文件数量j以及所述文件标识符{1,2,...,j}并安全存储在本地。

优选地，S304，所述数据分享端对所述会话密钥的过程量哈希得到与文件数量相同的加密因子包括：

S3041，所述数据分享端A根据会话密钥的过程量(T_c1,T_c2)生成s_α＝a₂T_c1和s_β＝a₁T_c2；

S3042，所述数据分享端A根据文件总数j调用哈希函数H_β生成一条长为j+1的β哈希链，初始值为s_β，其中

S3043，所述数据分享端A再调用哈希函数H_α生成一条长为j+1的α哈希链并在生成过程中逆序地插入β哈希链的中间值，初始值为s_α，其中

S3044，所述数据分享端A将得到的分别匹配到标识符为{1,2,...,j}的文件。

优选地，S305，所述访问控制端和数据请求端协商可认证会话密钥，并根据所述数据请求端的申请生成特定的加密因子发送给数据请求端包括：

S3051，所述数据请求端B使用所述访问控制端C的身份标识符ID_C计算K_BC＝e(S_B,Q_C)，选择随机数并计算T_b＝bP，将T_b以及对标识符为j的文件的请求request(j)传送给所述访问控制端C；

S3052，所述访问控制端C收到来自所述数据请求端B的T_b和request(j)后，使用所述数据请求端B的身份标识符ID_B计算K_CB＝e(S_C,Q_B)，计算出与数据请求端B本次会话的可认证对称密钥sk_CB＝H(ID_B||ID_C||c₁T_b||K_CB||T_b||T_c1)；

S3053，所述访问控制端C计算Q′_A＝H₀(ID_A)，Q′_B＝H₀(ID_B)，并根据所述文件标识符j生成对应加密因子和/>

S3054，所述访问控制端C将加密因子δ_C和用sk_CB加密后连同将T_c1传送给所述数据请求端B；

S3055，所述数据请求端B收到来自所述病访问控制端C的T_c1后计算出本次会话的可认证对称密钥sk_BC＝H(ID_B||ID_C||bT_c1||K_BC||T_b||T_c1)，并用sk_BC解密出δ_C和

优选地，S306，所述数据请求端将所得加密因子作为授权向数据分享端请求特定文件包括：

S3061，所述数据请求端B计算根据request(j)生成m＝(T_b||requst(j))，计算g_b＝g^b，/>U_B＝bQ_B，h＝H₂(m||U_B)，V_B＝(b+h)S_B，将(δ_CB,U_B,V_B,N)发送给所述数据分享端A。

优选地，S307，所述数据分享端验证所述数据请求端授权合法性并为特定文件生成唯一加密密钥进行加密包括：

S3071，所述数据分享端A根据(δ_CB,U_B,V_B,N)以及所述数据请求端B的身份标识符ID_B计算Q′_B＝H₀(ID_B)，Q′_A＝H₀(ID_A),g_b'＝e(T_c1+Q′_AP+Q′_BP,δ_CB)，h'＝H₂(m'||U_B)，检查e(P,V_B)＝e(P_pub,U_B+h′Q_B)是否成立，当等式成立时，证明所述数据请求端B拥有来自所述访问控制端C的合法授权；

S3072，所述数据分享端A根据m'中的T_b计算K_AB＝e(S_A,Q_B)，生成关于标识符为j的文件的加密密钥sk_AB＝H(ID_B||ID_A||a₁T_b||K_AB-C||K_AB||T_b||T_a1)并对所述标识符为j的文件加密，将T_a1和文件密文发送给所述数据请求端B。

优选地，S308，所述数据请求端根据加密因子生成特定文件的解密密钥对所述文件密文进行解密，完成数据共享包括：

S3081，所述数据请求端B收到来自所述数据分享端A的T_a1后，使用所述数据分享端A的身份标识符ID_A计算K_BA＝e(S_B,Q_A)和生成与数据分享端A的会话密钥sk_BA＝H(ID_B||ID_A||bT_a1||K_BA-C||K_BA||T_b||T_a1)，并用sk_BA解密出文件原始数据，完成数据共享。

优选地，所述数据请求端，数据分享端和访问控制端在必要时可以独立生成三方会话密钥，在三者之间安全地共享数据而不用额外增加一轮通信包括：

所述数据请求端B计算K_BCA＝e(T_c1,T_a1)^b，三方会话密钥sk_BCA＝H(ID_A||ID_B||ID_C||K_BCA||T_a1||T_b||T_c1)；

所述数据分享端A计算三方会话密钥sk_ABC＝H(ID_A||ID_B||ID_C||K_ABC||T_a1||T_b||T_c1)；

所述访问控制端C计算三方会话密钥sk_CAB＝H(ID_A||ID_B||ID_C||K_CAB||T_a1||T_b||T_c1)；

S3094，三者在没有增加通信开销的前提下安全地生成了相同的对称密钥sk_BCA＝sk_ABC＝sk_CAB。

其中，实施例2包含了对于所述实施例1中基于身份的三方可认证密钥协商系统的生成方法以及整个数据的共享方法，其生成建立过程与共享是同步执行的，也可先建立后实现共享。

举例而言，访问控制端可以是一个智能手机C，C的持有人使用云服务将自己拍摄的摄影作品上传到云服务器A存储以缓解智能手机C的存储压力；智能手机C和云服务器A协商会话密钥传输照片，并根据照片传输的时间先后为每个照片文件分配标识符；智能手机C和云服务器A都使用两者协商会话密钥的过程量来生成与照片数量相同的加密因子；当有第三方机构B想要使用C拍摄的摄影作品原始数据时，便向C申请访问该作品的原始数据；智能手机C如果同意分享便根据照片的标识符生成对应的加密因子作为授权发送给B；B将授权信息以及请求信息发给云服务器A，当A验证B的授权合法时，A将根据该摄影作品的标识符找到对应的加密因子并生成唯一的加密密钥加密该摄影作品并传送给B；B根据授权生成对应的解密密钥还原出该摄影作品的原始数据，完成数据共享。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种基于身份的三方可认证密钥协商系统，其特征在于，所述基于身份的三方可认证密钥协商系统包括：

数据分享端，用于：

存储与访问控制端有关的文件原始数据；

与所述访问控制端协商会话密钥以安全传输数据；

使用所协商的会话密钥的过程量和哈希函数来生成与文件数量相同的第一加密因子并为每一个文件匹配一个第一加密因子；

其中，初始化所述三方可认证密钥协商系统包括：

配置一个大素数q，私钥生成中心选择一个双线性对e：G₁×G₁→G_T，其中，G₁是阶数为q的加法Gap Diffie-Hellman循环群，P是循环群G₁的一个生成元，G_T是阶数为q的乘法循环群；所述私钥生成中心选择一个秘密值作为PKG的主私钥，并计算P_pub＝sP作为主公钥，计算g＝e(P,P)；选择以下七个Hash函数：

H₀:

H₁:{0,1}^*→G₁

H₂:

H₃:G₂→G₁×{0,1}^*，

H_α:G₁→{0,1}^k，其中k表示长度

H_β:

H:{0,1}^*→{0,1}^l，其中l表示字串长度；

初始化公共参数为：

param＝(G₁,G₂,e,q,g,P,P_pub,H₀,H₁,H₂,H₃,H_α,H_β,H)；

其中，

生成所述数据分享端，数据请求端和访问控制端各自的长期密钥包括：

将所述数据分享端、数据请求端和访问控制端统一记为端U；

所述端U将自身的身份标识符ID_U通过安全信道提交给所述私钥生成中心请求生成对应的私钥；

所述私钥生成中心根据所述身份标识符ID_U计算Q_U＝H₁(ID_U)，S_U＝sQ_U；所述私钥生成中心将S_U通过安全信道发给所述端U；

所述端U使用(Q_U,S_U)来生成基于身份的可认证会话密钥以及生成和验证基于身份的数字签名并将自己的身份标识符ID_U向其他端公开；

并且，所述数据分享端和访问控制端协商可认证会话密钥并确定文件标识符包括：

访问控制端C使用数据分享端A的身份标识符ID_A计算K_CA＝e(S_C,Q_A)，选择随机数并计算T_c1＝c₁P和T_c2＝c₂P，将(T_c1,T_c2)传送给所述数据分享端A；

所述数据分享端A收到来自所述访问控制端C的(T_c1,T_c2)后，将与所述访问控制端相关的文件进行编号使每一个文件对应有唯一的标识符；使用所述访问控制端C的身份标识符ID_C计算K_AC＝e(S_A,Q_C)，选择随机数和/>并计算T_a1＝a₁P和T_a1＝a₁P，将(T_a1,T_a2)传送给所述访问控制端C，所述数据分享端A计算出与所述访问控制端C本次会话的可认证对称密钥sk_AC＝H(ID_C||ID_A||a₁T_c1||a₂T_c2||K_AC||T_c1||T_c2||T_a1||T_a2)，并将所述文件数量j以及所述文件标识符{1,2,...,j}加密发送给所述访问控制端C；

所述访问控制端C收到来自所述数据分享端A的(T_a1,T_a2)后计算出本次会话的可认证对称密钥sk_CA＝H(ID_C||ID_A||c₁T_a1||c₂T_a2||K_CA||T_c1||T_c2||T_a1||T_a2)，并用所述可认证对称密钥sk_CA解密出文件数量j以及所述文件标识符{1,2,...,j}并存储；

所述数据分享端对所述可认证会话密钥的过程量哈希得到与文件数量相同的第一加密因子包括：

所述数据分享端A根据所述会话密钥的过程量(T_c1,T_c2)生成s_α＝a₂T_c1和s_β＝a₁T_c2；

所述数据分享端A根据文件总数j调用哈希函数H_β生成一条长为j+1的β哈希链，初始值为s_β，其中

所述数据分享端A再调用哈希函数H_α生成一条长为j+1的α哈希链并在生成过程中逆序地插入β哈希链的中间值，初始值为s_α，其中

所述数据分享端A将得到的分别匹配到标识符为{1,2,...,j}的文件中；

检查数据请求端的授权真实性并根据所述数据请求端请求的文件标识符为所述文件生成唯一的三方可认证会话密钥加密文件；

所述访问控制端，用于：

与所述数据分享端协商会话密钥；

使用所协商的会话密钥的过程量生成秘密值并安全存储；

根据所述文件标识符调用哈希函数对所述秘密值哈希生成唯一的第二加密因子作为对所述数据请求端的授权；

所述数据请求端，用于：

向所述访问控制端发送获取特定文件的请求；

将来自所述访问控制端的第二加密因子作为授权以向所述数据分享端请求共享特定文件；

根据所述加密因子生成三方可认证的会话密钥解密所述特定文件的密文。

2.根据权利要求1所述的基于身份的三方可认证密钥协商系统，其特征在于，所述数据分享端还用于将所述文件原始数据分配标识符，并为每个文件匹配唯一的第一加密因子，在分享该文件时为每个文件生成唯一的加密密钥；

所述访问控制端还用于在所述数据请求端申请访问特定文件时，根据文件标识符生成对应的第二加密因子作为对所述数据请求端的授权，使所述数据请求端可以根据授权生成特定文件的唯一解密密钥。

3.一种基于可认证密钥协商的数据共享方法，其特征在于，使用权利要求1或2所述的基于身份的三方可认证密钥协商系统，所述基于可认证密钥协商的数据共享方法包括：

初始化所述三方可认证密钥协商系统；

生成所述数据分享端、数据请求端和访问控制端各自的长期密钥；

所述数据分享端和访问控制端协商可认证会话密钥并确定文件标识符；

所述数据分享端对所述可认证会话密钥的过程量哈希得到与文件数量相同的第一加密因子；

所述访问控制端和数据请求端协商可认证会话密钥，并根据所述数据请求端的申请生成特定的第二加密因子发送给数据请求端；

所述数据请求端将所述第二加密因子作为授权向所述数据分享端请求特定文件；

所述数据分享端验证所述数据请求端授权合法性并为所述特定文件生成唯一加密密钥进行加密；以及

所述数据请求端根据第二加密因子生成所述特定文件对应的解密密钥以对所述特定文件的密文进行解密，完成数据共享；

其中，所述数据请求端、数据分享端和访问控制端能够独立生成三方会话密钥，以实现上述三方之间的共享数据。

4.根据权利要求3所述的基于可认证密钥协商的数据共享方法，其特征在于，所述初始化所述三方可认证密钥协商系统包括：

配置一个大素数q，私钥生成中心选择一个双线性对e：G₁×G₁→G_T，其中，G₁是阶数为q的加法Gap Diffie-Hellman循环群，P是循环群G₁的一个生成元，G_T是阶数为q的乘法循环群；所述私钥生成中心选择一个秘密值作为PKG的主私钥，并计算P_pub＝sP作为主公钥，计算g＝e(P,P)；选择以下七个Hash函数：

H₀:

H₁:{0,1}^*→G₁

H₂:

H₃:G₂→G₁×{0,1}^*，

H_α:G₁→{0,1}^k，其中k表示长度

H_β:

H:{0,1}^*→{0,1}^l，其中l表示字串长度；

初始化公共参数为：

param＝(G₁,G₂,e,q,g,P,P_pub,H₀,H₁,H₂,H₃,H_α,H_β,H)；

并且，生成所述数据分享端，数据请求端和访问控制端各自的长期密钥包括：

将所述数据分享端、数据请求端和访问控制端统一记为端U；

所述端U将自身的身份标识符ID_U通过安全信道提交给所述私钥生成中心请求生成对应的私钥；

所述私钥生成中心根据所述身份标识符ID_U计算Q_U＝H₁(ID_U)，S_U＝sQ_U；所述私钥生成中心将S_U通过安全信道发给所述端U；

所述端U使用(Q_U,S_U)来生成基于身份的可认证会话密钥以及生成和验证基于身份的数字签名并将自己的身份标识符ID_U向其他端公开；

并且，所述数据分享端和访问控制端协商可认证会话密钥并确定文件标识符包括：

访问控制端C使用数据分享端A的身份标识符ID_A计算K_CA＝e(S_C,Q_A)，选择随机数并计算T_c1＝c₁P和T_c2＝c₂P，将(T_c1,T_c2)传送给所述数据分享端A；

所述数据分享端A收到来自所述访问控制端C的(T_c1,T_c2)后，将与所述访问控制端相关的文件进行编号使每一个文件对应有唯一的标识符；使用所述访问控制端C的身份标识符ID_C计算K_AC＝e(S_A,Q_C)，选择随机数和/>并计算T_a1＝a₁P和T_a1＝a₁P，将(T_a1,T_a2)传送给所述访问控制端C，所述数据分享端A计算出与所述访问控制端C本次会话的可认证对称密钥sk_AC＝H(ID_C||ID_A||a₁T_c1||a₂T_c2||K_AC||T_c1||T_c2||T_a1||T_a2)，并将所述文件数量j以及所述文件标识符{1,2,...,j}加密发送给所述访问控制端C；

所述访问控制端C收到来自所述数据分享端A的(T_a1,T_a2)后计算出本次会话的可认证对称密钥sk_CA＝H(ID_C||ID_A||c₁T_a1||c₂T_a2||K_CA||T_c1||T_c2||T_a1||T_a2)，并用所述可认证对称密钥sk_CA解密出文件数量j以及所述文件标识符{1,2,...,j}并存储。

5.根据权利要求4所述的基于可认证密钥协商的数据共享方法，其特征在于，所述数据分享端对所述可认证会话密钥的过程量哈希得到与文件数量相同的第一加密因子包括：

所述数据分享端A根据所述会话密钥的过程量(T_c1,T_c2)生成s_α＝a₂T_c1和s_β＝a₁T_c2；

所述数据分享端A根据文件总数j调用哈希函数H_β生成一条长为j+1的β哈希链，初始值为s_β，其中

所述数据分享端A再调用哈希函数H_α生成一条长为j+1的α哈希链并在生成过程中逆序地插入β哈希链的中间值，初始值为s_α，其中

所述数据分享端A将得到的分别匹配到标识符为{1,2,...,j}的文件中。

6.根据权利要求5所述的基于可认证密钥协商的数据共享方法，其特征在于，所述访问控制端和数据请求端协商可认证会话密钥，并根据所述数据请求端的申请生成特定的第二加密因子发送给数据请求端包括：

所述数据请求端B使用所述访问控制端C的身份标识符ID_C计算K_BC＝e(S_B,Q_C)，选择随机数并计算T_b＝bP，将T_b和针对标识符为j的文件对应的请求request(j)传送给所述访问控制端C；

所述访问控制端C收到来自所述数据请求端B的T_b和请求request(j)后，使用所述数据请求端B的身份标识符ID_B计算K_CB＝e(S_C,Q_B)，计算出与所述数据请求端B本次会话的可认证对称密钥sk_CB＝H(ID_B||ID_C||c₁T_b||K_CB||T_b||T_c1)；

所述访问控制端C计算Q′_A＝H₀(ID_A)、Q′_B＝H₀(ID_B)，并根据所述文件标识符j生成对应第二加密因子和/>

所述访问控制端C将第二加密因子δ_C和用可认证对称密钥sk_CB加密后连同T_c1传送给所述数据请求端B；

所述数据请求端B收到来自所述访问控制端C的T_c1后计算出本次会话的可认证对称密钥sk_BC＝H(ID_B||ID_C||bT_c1||K_BC||T_b||T_c1)，并用所述可认证对称密钥sk_BC解密出第二加密因子δ_C和

7.根据权利要求6所述的基于可认证密钥协商的数据共享方法，其特征在于，所述数据请求端将所述第二加密因子作为授权向所述数据分享端请求特定文件包括：

所述数据请求端B计算根据请求request(j)生成m＝(T_b||requst(j))，计算g_b＝g^b，/>U_B＝bQ_B，h＝H₂(m||U_B)，V_B＝(b+h)S_B，并将(δ_CB,U_B,V_B,N)发送给所述数据分享端A。

8.根据权利要求7所述的基于可认证密钥协商的数据共享方法，其特征在于，所述数据分享端验证所述数据请求端授权合法性并为所述特定文件生成唯一加密密钥进行加密包括：

所述数据分享端A根据(δ_CB,U_B,V_B,N)和所述数据请求端B的身份标识符ID_B计算Q′_B＝H₀(ID_B)，Q′_A＝H₀(ID_A),g_b'＝e(T_c1+Q′_AP+Q′_BP,δ_CB)，h'＝H₂(m'||U_B)，检查e(P,V_B)＝e(P_pub,U_B+h′Q_B)等式是否成立，当所述e(P,V_B)＝e(P_pub,U_B+h′Q_B)等式成立时，证明所述数据请求端B拥有来自所述访问控制端C的合法授权；

所述数据分享端A根据m'中的T_b计算K_AB＝e(S_A,Q_B)，生成关于标识符为j的文件的加密密钥sk_AB＝H(ID_B||ID_A||a₁T_b||K_AB-C||K_AB||T_b||T_a1)并对所述标识符为j的文件加密，将T_a1和加密后的文件密文发送给所述数据请求端B。

9.根据权利要求8所述的基于可认证密钥协商的数据共享方法，其特征在于，所述数据请求端根据第二加密因子生成所述特定文件对应的解密密钥以对所述特定文件的密文进行解密，完成数据共享包括：

所述数据请求端B收到来自所述数据分享端A的T_a1后，使用所述数据分享端A的身份标识符ID_A计算K_BA＝e(S_B,Q_A)和生成与数据分享端A的会话密钥sk_BA＝H(ID_B||ID_A||bT_a1||K_BA-C||K_BA||T_b||T_a1)，并用sk_BA解密出文件原始数据，完成数据共享。

10.根据权利要求9所述的基于可认证密钥协商的数据共享方法，其特征在于，所述数据请求端、数据分享端和访问控制端通过下述方式独立生成三方会话密钥：

所述数据请求端B计算K_BCA＝e(T_c1,T_a1)^b，三方会话密钥sk_BCA＝H(ID_A||ID_B||ID_C||K_BCA||T_a1||T_b||T_c1)；

所述数据分享端A计算三方会话密钥sk_ABC＝H(ID_A||ID_B||ID_C||K_ABC||T_a1||T_b||T_c1)；

所述访问控制端C计算三方会话密钥sk_CAB＝H(ID_A||ID_B||ID_C||K_CAB||T_a1||T_b||T_c1)；

其中，sk_BCA＝sk_ABC＝sk_CAB。