CN113783836B - 基于区块链和ibe算法的物联网数据访问控制方法及系统 - Google Patents

基于区块链和ibe算法的物联网数据访问控制方法及系统 Download PDF

Info

Publication number
CN113783836B
CN113783836B CN202110879593.3A CN202110879593A CN113783836B CN 113783836 B CN113783836 B CN 113783836B CN 202110879593 A CN202110879593 A CN 202110879593A CN 113783836 B CN113783836 B CN 113783836B
Authority
CN
China
Prior art keywords
data
internet
things
private key
blockchain
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110879593.3A
Other languages
English (en)
Other versions
CN113783836A (zh
Inventor
季一木
肖小英
刘尚东
陈飞
宋一波
梁公豪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nanjing University of Posts and Telecommunications
Original Assignee
Nanjing University of Posts and Telecommunications
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nanjing University of Posts and Telecommunications filed Critical Nanjing University of Posts and Telecommunications
Priority to CN202110879593.3A priority Critical patent/CN113783836B/zh
Publication of CN113783836A publication Critical patent/CN113783836A/zh
Application granted granted Critical
Publication of CN113783836B publication Critical patent/CN113783836B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1095—Replication or mirroring of data, e.g. scheduling or transport for data synchronisation between network nodes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Abstract

本发明公开了一种基于区块链和IBE算法的物联网数据访问控制方法及系统，私钥生成中心PKG进行系统初始化；构建联盟链；物联网设备采集数据进行加密后得到密文并发送到物联网网关；由物联网网关将密文发送到物联网系统云平台或本地数据库进行存储；生成密文对应的哈希值，并将密文标识和对应哈希值的键值对存储在区块链中；私钥生成中心生成私钥；数据请求者在区块链上发起数据请求交易，区块链上部署的访问控制合约验证数据请求合法性，验证通过后由私钥生成中心与数据请求者建立安全连接共享私钥，数据请求者应用IBE解密算法，对加密数据进行解密获得请求数据；本发明能够实现物联网环境下安全可信的细粒度访问控制，满足保密性、完整性和可用性。

Description

基于区块链和IBE算法的物联网数据访问控制方法及系统
技术领域
本发明涉及一种基于区块链和IBE算法的物联网数据访问控制方法及系统，解决物联网系统中存在的数据访问控制问题，属于网络空间安全技术领域。
背景技术
随着信息技术的飞速发展和生产生活的诸多需求，除了传统的计算机和手机之外，越来越多的感知设备和智能终端接入网络收集和共享数据，物联网设备在日常生活中的应用变得越来越普遍。作为互联网的延伸，物联网已成为继计算机和互联网之后世界信息产业发展的第三次浪潮。
由于通信和网络技术(如Wi-Fi、ZigBee和蓝牙)的飞速发展，如今越来越多的对象(如传感器、执行器和智能设备)连接到互联网，物理对象无处不在的互连显著加快了物联网中的数据收集、聚合和共享，使物联网成为智能医疗、智能交通、家庭自动化等各种有前途应用的最基本架构之一。但是，对手可以通过非法访问物联网设备提供的资源(例如数据、服务、存储单元和计算单元)，在物联网系统中产生安全问题。物联网中包含大量的个人隐私数据一旦泄露，会给用户带来巨大的损失。在这种情况下，大量用户的个人隐私数据被直接暴露。迫切需要采取安全措施，以尽量减少各种网络攻击手段带来的不良影响。
作为保障物联网安全必不可少的重要技术手段之一，访问控制可以根据条件限制用户能够直接执行哪些操作，阻止可能破坏系统安全的活动从而保护系统安全。任何有效的访问控制方案都应满足保密性(防止未经授权的数据泄露)、完整性(防止未经授权数据修改数据)和可用性(确保合法用户根据需要访问数据)。由于物联网设备数量巨大且自身数据有限，如果直接将互联网中的访问控制方案应用于物联网中，可能会出现策略判决效率低、策略权限管理效率低下、安全性不足、缺乏灵活性等问题。
中国专利CN201910280490.8一种基于区块链的物联网数据共享方法及系统，利用区块链去中心化的特征，分散了提供服务的节点，降低了单点故障风险，但该申请未涉及如何在物联网系统的数据采集过程保障数据传输安全性的内容。
因此，在本发明中主要针对不同物联网系统间数据共享场景提出一种安全、高效和细粒度的数据访问控制方法。
发明内容
针对不同物联网系统间存在大量数据流通需求，考虑到物联网设备数量巨大且自身数据有限，本发明的目的是提供一种基于区块链和IBE算法的物联网数据访问控制方法及系统，能够障数据传输安全性，并基于区块链智能合约和IBE算法实现访问控制，解决现有技术中存在的策略判决效率低、策略权限管理效率低下、安全性不足、缺乏灵活性的问题。
本发明的技术解决方案是：
一种基于区块链和IBE算法的物联网数据访问控制方法，包括以下步骤，
S1、私钥生成中心PKG进行系统初始化，生成系统参数params和主密钥s，公开系统参数，主密钥s保存在私钥生成中心PKG中；
S2、由私钥生成中心PKG、证书颁发机构CA和各个物联网系统管理中心作为联盟节点，共同构建联盟链，其中，联盟节点负责pBFT共识算法，将交易打包成区块；
S3、物联网设备采集数据，运行IBE加密算法对要发送的数据进行加密后得到密文c，将计算得到的密文c发送到物联网网关；
S4、物联网网关汇集异构物联网设备发送的密文，将这些密文转换为标准协议后进行发送，在数据发送前对数据进行过滤和预处理，预处理完成后，由物联网网关将密文发送到物联网系统云平台或本地数据库进行存储；
S5、物联网系统云平台或本地数据库运行SHA256算法生成密文对应的哈希值：hash＝SHA256(c)，并将密文标识ID和对应哈希值的键值对<ID,hash>存储在区块链中；私钥生成中心PKG同步区块链上存储的密文标识和对应哈希值的键值对<ID,hash>，运行密钥提取算法，生成私钥dID。
S6、数据请求者在区块链上注册节点，发起数据请求交易，根据链上部署的访问控制合约审核该数据请求，验证条件满足后自动执行数据授权相关操作，由数据所属物联网系统对应的私钥生成中心PKG将私钥加密发送给数据请求者；
S7、数据请求者从区块链上获取请求数据的密文标识和对应哈希值的键值对，从云平台或物联网系统本地数据库获取密文，利用密文摘要值验证密文正确性；最后根据私钥，利用解密算法Decrypt(c,ID,dID,params)＝m对密文进行解密，获得请求数据。
进一步地，步骤S1中，对于质数q＞3，选择k比特的质数p满足p＝2mod 3和p＝6q-1；设G1是由生成元P生成的p阶加法循环群，G2是p阶乘法循环群，双线性映射e：G1×G1→G2，选取两个哈希函数H1：{0，1}*→G1，H2：G2→{0，1}n，其中n表示消息空间的长度；私钥生成中心PKG选取随机数s∈Zp *作为主密钥，然后计算公钥Ppub＝sP；最后，公开系统参数params＝{G1，G2，n，p，e，P，Ppub，H1，H2}。
进一步地，步骤S2中，私钥生成中心PKG、证书颁发机构CA和各个物联网系统管理中心在构建联盟链之前需要经过身份审核，审核过程借助可信第三方认定或机构间的相互验证实现；经过审核的机构加入到联盟链网络，获得可发送交易的公私钥；区块链账户地址由ECDSA公钥计算得来，对ECDSA公钥的16进制表示计算keccak-256sum哈希，取计算结果的后20字节的16进制表示作为账户地址；通过协商节点证书、IP、端口号完成联盟链系统配置，并在本地维护系统配置文件夹；联盟链构建完成后，机构信息会存储在联盟链上，用于联盟链上操作追溯到相关机构。
进一步地，步骤S3中，运行IBE加密算法对要发送的数据进行加密后得到密文，具体为，随机选取r∈Zp *，计算V＝rP，
Figure GDA0004097206970000031
Figure GDA0004097206970000032
其中，r为随机选取的质数，P为加法循环群G1的生成元，哈希函数H2：G2→{0，1}n，gID＝e(QID，Ppub)，PKG公钥Ppub＝sP，QID＝H1(ID)，最后得到密文c＝(V，W)。
进一步地，步骤S5中，PKG同步区块链上存储的<ID，hash>，从中获取密文标识ID，将ID∈{0，1}*转化为阶为q的点QID＝H1(ID)，私钥dID＝sQID。
进一步地，步骤S6中，私钥生成中心PKG将私钥发送给通过审核获得授权的数据请求者，具体为，
S61、数据请求者在区块链上注册账户，数据请求节点启动，加载初始配置，区块链系统配置模块将系统配置信息返回给数据请求节点；
S62、数据请求生成证书请求文件，发送给证书节点，加载证书，与证书节点交换验证证书，初始化SSL/TLS连接；
S63、证书节点返回SSL/TLS实例；
S64、数据请求节点使用SSL/TLS实例、P2P节点连接列表和CA黑名单初始化P2P连接；
S65、私钥生成中心PKG返回P2P实例，与数据请求节点建立P2P连接；
S66、私钥生成中心PKG用会话密钥加密发送私钥给数据请求节点。
进一步地，步骤S7中，数据请求者从区块链上读取密文标识和对应哈希值的键值对<ID,hash>，获得密文c和私钥后，首先运行SHA256算法验证密文正确性：SHA256(c)＝hash？验证成功后计算
Figure GDA0004097206970000041
得到明文，获得请求数据。
一种使用上述任一项所述基于区块链和IBE算法的物联网数据访问控制方法的物联网数据访问控制系统，包括数据采集模块、数据存储模块和区块链系统模块，
数据采集模块：包括物联网设备和物联网网关，物联网设备负责采集数据，并利用IBE算法对数据进行加密后发送；物联网网关负责在不同的IoT设备和网络之间建立连接；
数据存储模块：包括物联网系统本地数据库和云平台，本地数据库和云平台接收并存储物联网设备发送的加密数据，并将加密数据的索引和哈希值上传到区块链系统中；
区块链系统模块：包括多个物联网系统管理中心、证书颁发机构CA和私钥生成中心PKG作为联盟节点构建的联盟链以及作为普通节点发起数据访问请求的用户；联盟节点需要参与区块链的共识过程，打包区块，验证区块；普通节点不参与区块链的共识过程。
进一步地，区块链系统模块中，普通节点用于实时获取区块链上的数据，区块链上的节点拥有独立且唯一的公私钥对，发起交易时使用其私钥进行签名，接收方通过公钥验签知道交易具体是由哪个账户发出；证书颁发机构CA负责颁发数字证书和管理公钥证书，确保用户收到用于有效身份验证的唯一证书；私钥生成中心PKG负责生成系统参数，根据用户提供的身份信息生成私钥并通过安全信道发送给用户。
本发明的有益效果是：该种基于区块链和IBE算法的物联网数据访问控制方法及系统，能够实现物联网环境下安全、高效和细粒度的数据访问控制，通过应用区块链技术，由相关物联网系统共同决策完成访问控制权限的授予，避免了集中式实体授权可能造成的单点故障问题。通过应用IBE算法对物联网终端数据加密可以有效防范节点复制攻击、节点俘获攻击、消息篡改攻击等主动攻击手段，真正实现端到端安全。该方法及系统，通过利用区块链上部署的访问控制合约结合IBE算法提供加密数据的解密权限完成访问权限的授予，实现物联网环境下安全可信的细粒度访问控制，满足保密性、完整性和可用性。应用区块链技术在不同物联网系统间构建高效安全的数据访问控制机制，打破不同物联网系统以及异构物联网设备间数据传输的壁垒和限制，真正实现数据共享安全可信。
附图说明
图1是本发明实施例基于区块链和IBE算法的物联网数据访问控制系统的说明示意图。
图2实施例中私钥加密发送的流程示意图。
具体实施方式
下面结合附图和具体实施例，进一步阐明本发明，应理解这些实例仅用于说明本发明而不用于限制本发明的范围，在阅读了本发明之后，本领域技术人员对本发明的各种等价形式的修改均落于本申请所附权利要求所限定的范围。
实施例
实施例提供一种基于区块链和IBE算法的物联网数据访问控制方法及系统，物联网系统管理中心、证书颁发机构CA、私钥生成中心PKG作为联盟节点构建联盟链共同完成数据访问控制决策，实现安全可信的数据授权与共享。应用IBE加密算法对物联网系统数据采集模块的通信链路进行加密加固，保障数据传输过程安全、可信。用户发起数据访问交易，区块链上部署的访问控制合约验证数据请求合法性，链上联盟节点达成共识决定授予用户权限后，由PKG(Private Key Generator，私钥生成中心)与用户建立安全连接共享数据私钥。应用IBE解密算法，利用私钥对加密数据进行解密获得请求数据实现数据的细粒度控制。
一种基于区块链和IBE算法的物联网数据访问控制方法，包括以下步骤，
S1、私钥生成中心PKG进行系统初始化，生成系统参数params和主密钥s，公开系统参数，主密钥s保存在私钥生成中心PKG中。
步骤S1中，对于质数q＞3，选择k比特的质数p满足p＝2mod 3和p＝6q-1；设G1是由生成元P生成的p阶加法循环群，G2是p阶乘法循环群，双线性映射e：G1×G1→G2，选取两个哈希函数H1：{0，1}*→G1，H2：G2→{0，1}n，其中n表示消息空间的长度；私钥生成中心PKG选取随机数s∈Zp *作为主密钥，然后计算公钥Ppub＝sP；最后，公开系统参数params＝{G1，G2，n，p，e，P，Ppub，H1，H2}。
S2、由私钥生成中心PKG、证书颁发机构CA和各个物联网系统管理中心作为联盟节点，共同构建联盟链，其中，联盟节点负责pBFT共识算法，将交易打包成区块。
步骤S2中，私钥生成中心PKG、证书颁发机构CA和各个物联网系统管理中心在构建联盟链之前需要经过身份审核，审核过程借助可信第三方认定或机构间的相互验证实现；经过审核的机构加入到联盟链网络，获得可发送交易的公私钥；区块链账户地址由ECDSA公钥计算得来，对ECDSA公钥的16进制表示计算keccak-256sum哈希，取计算结果的后20字节的16进制表示作为账户地址；通过协商节点证书、IP、端口号完成联盟链系统配置，并在本地维护系统配置文件夹；联盟链构建完成后，机构信息会存储在联盟链上，用于联盟链上操作追溯到相关机构。
S3、物联网设备采集数据，运行IBE加密算法对要发送的数据进行加密后得到密文c，将计算得到的密文c发送到物联网网关；
步骤S3中，运行IBE加密算法对要发送的数据进行加密后得到密文，具体为，随机选取r∈Zp *，计算V＝rP，
Figure GDA0004097206970000061
其中，P为加法循环群G1的生成元，哈希函数H2：G2→{0，1}n，gID＝e(QID，Ppub)，PKG公钥Ppub＝sP，QID＝H1(ID)，最后得到密文c＝(V，W)。
S4、物联网网关汇集异构物联网设备发送的密文，将这些密文转换为标准协议后进行发送，在数据发送前对数据进行过滤和预处理，预处理完成后，由物联网网关将密文发送到物联网系统云平台或本地数据库进行存储；
S5、物联网系统云平台或本地数据库运行SHA256算法生成密文对应的哈希值：hash＝SHA256(c)，并将密文标识ID和对应哈希值的键值对<ID，hash>存储在区块链中；私钥生成中心PKG同步区块链上存储的密文标识和对应哈希值的键值对<ID，hash>，运行密钥提取算法，生成私钥dID。
步骤S5中，PKG同步区块链上存储的<ID，hash>，从中获取密文标识ID，将ID∈{0，1}*转化为阶为q的点QID＝H1(ID)，私钥dID＝sQID。
S6、数据请求者在区块链上注册节点，发起数据请求交易，根据链上部署的访问控制合约审核该数据请求，验证条件满足后自动执行数据授权相关操作，由数据所属物联网系统对应的私钥生成中心PKG将私钥加密发送给数据请求者。
如图2所示：
S61、数据请求者在区块链上注册账户，数据请求节点启动，加载初始配置，区块链系统配置模块将系统配置信息返回给数据请求节点；
S62、数据请求生成证书请求文件，发送给证书节点，加载证书，与证书节点交换验证证书，初始化SSL/TLS连接；
S63、证书节点返回SSL/TLS实例；
S64、数据请求节点使用SSL/TLS实例、P2P节点连接列表和CA黑名单初始化P2P连接；
S65、私钥生成中心PKG返回P2P实例，与数据请求节点建立P2P连接；
S66、私钥生成中心PKG用会话密钥加密发送私钥给数据请求节点。
S7、数据请求者从区块链上获取请求数据的密文标识和对应哈希值的键值对，从云平台或物联网系统本地数据库获取密文，利用密文摘要值验证密文正确性；最后根据私钥，利用解密算法Decrypt(c，ID，dID，params)＝m对密文进行解密，获得请求数据。
步骤S7中，数据请求者从区块链上读取密文标识和对应哈希值的键值对<ID，hash>，获得密文c和私钥后，首先运行SHA256算法验证密文正确性：SHA256(c)＝hash？验证成功后计算
Figure GDA0004097206970000071
得到明文，获得请求数据。
该种基于区块链和IBE算法的物联网数据访问控制方法，通过应用区块链技术，由物联网系统共同决策完成访问控制权限的授予，避免了集中式实体授权可能造成的单点故障问题。通过应用IBE加密算法对物联网终端数据加密可以有效防范节点复制攻击、节点俘获攻击、消息篡改攻击等主动攻击手段，真正实现物联网系统中数据传输的端到端安全。利用区块链上部署的访问控制合约结合IBE解密算法提供加密数据的解密权限，为物联网系统提供一种安全可信、满足动态性、轻量级的细粒度访问控制方法。
如图1所示，实施例还提供一种使用上述任一项所述基于区块链和IBE算法的物联网数据访问控制方法的物联网数据访问控制系统，包括数据采集模块、数据存储模块、区块链系统模块。
数据采集模块：包括各种物联网设备和物联网网关。物联网设备负责采集数据，并利用IBE算法对数据进行加密后发送；物联网网关负责在不同的IoT设备和网络之间建立连接。
数据存储模块：包括物联网系统本地数据库和云平台，本地数据库和云平台接收并存储物联网设备发送的加密数据，并将加密数据的索引和哈希值上传到区块链系统中。
区块链系统模块：包括各种物联网系统、CA、PKG作为联盟节点构建的联盟链、访问控制合约以及作为普通节点发起数据访问请求的用户。联盟节点需要参与区块链的共识过程，打包区块，验证区块；普通节点不参与区块链共识过程。
区块链系统模块中，普通节点能够实时获取区块链上的数据，区块链上的节点拥有独立且唯一的公私钥对，发起交易时使用其私钥进行签名，接收方可通过公钥验签知道交易具体是由哪个账户发出。
证书颁发机构CA：一个可信的第三方实体，负责颁发数字证书和管理公钥证书，确保用户收到用于有效身份验证的唯一证书。
私钥生成中心PKG：一个可信第三方实体，负责生成系统参数，根据用户提供的身份信息生成私钥并通过安全信道发送给用户。
该种基于区块链和IBE算法的物联网数据访问控制方法及系统，联盟链上的节点共同完成数据访问控制决策，避免集中式实体授权可能造成的单点故障问题，确保数据授权与共享过程的安全可信。应用IBE加密算法对物联网系统数据采集模块的通信链路进行加密加固，确保数据传输过程安全、可信。用户发起数据访问交易，区块链上部署的访问控制合约验证数据请求合法性，验证通过后由私钥生成中心与用户建立安全连接共享数据私钥，实现数据的细粒度访问控制。用户应用IBE解密算法，对加密数据进行解密获得请求数据。
该种基于区块链和IBE算法的物联网数据访问控制方法及系统，在物联网设备发送数据时引入IBE算法，无需管理和维护大量物联网设备证书，因此能够节约计算和存储资源，非常适合应用于设备数量庞大、资源受限的物联网环境。
相对于现有技术，该种基于区块链和IBE算法的物联网数据访问控制方法及系统，具有如下优势：
(1)由相关物联网系统、CA、PKG作为联盟节点共同构建联盟链，通过共识机制共同决策完成访问控制权限的授予，避免了物联网访问控制方案普遍存在的中心化问题即集中式实体授权可能造成系统单点故障问题。
(2)通过利用IBE算法对物联网终端数据加密可以有效防范节点复制攻击、节点俘获攻击、消息篡改攻击等主动攻击手段，真正实现端到端安全(包括数据的机密性、完整性和访问控制)。
(3)采用IBE算法简化物联网系统数据采集模块中公钥基础设施对公钥证书的管理，直接利用能够唯一标识物联网设备的数据作为公钥加密物联网设备采集的数据，除去了传统公钥加密方案中公钥基础设施认证和管理用户证书的过程，无需申请证书，也不用查询和验证证书，节约了大量计算资源和存储资源。相比传统公钥基础设施具有突出的优势，非常适合应用于设备数量庞大、设备资源受限的物联网环境。
(4)应用IBE算法，通过提供加密数据的解密权限，结合区块链上部署的访问控制合约可以实现数据的细粒度访问控制。
(5)联盟链采用pBFT共识算法，意味着交易可以达成一致和最终确定，而无需进多次确认。在将事务记录在块中后，无需等待来确保事务是安全的。与工作证明共识机制不同，pBFT无需耗费大量算力就可以实现共识。pBFT要求对记录进行签名投票来做出集体决策，可以激励pBFT系统中的每个节点，降低矿工的奖励差异。
(6)区块链是一个分布式数据库，其中数据块以点对点网络上的链表形式存储，具有去中心化、可回溯、不可篡改的特点。利用区块链技术存储数据，从根本上防止了恶意的入侵者以及内部人员的非法访问。
(7)基于Merkle Tree的数据结构保证了区块链数据不可被篡改，由区块链智能合约执行的访问控制会被永久存储在区块链上，不能更改或删除。由于其不可变性，可以通过回溯交易对历史访问控制过程进行审计。
(8)区块链上的数据公开可查询，这在多方信息共享系统中有着重要作用。策略的透明建立起了用户对系统安全的信任，避免“后门”问题。权限透明且不会被篡改，使通信双方可以在无须第三方背书的情况下建立起信任机制，简化了交易流程，降低了信任成本。
(9)应用支持多种通信协议的物联网网关，汇集不同物联网设备收集到的数据，将这些数据转换为标准协议后进行发送，打破属于不同物联网系统的异构物联网设备间的协议壁垒和限制，真正实现数据共享安全可信，具有较高的研究意义。在数据发送前对数据进行过滤和预处理，以减少传输、处理和存储要求。
以上所述仅是本发明的优选实施方式，应当指出：对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (6)

1.一种基于区块链和IBE算法的物联网数据访问控制方法，其特征在于：包括以下步骤，
S1、私钥生成中心PKG进行系统初始化，生成系统参数params和主密钥s，公开系统参数params，主密钥s保存在私钥生成中心PKG中；步骤S1中，对于质数q＞3，选择k比特的质数p满足p＝2mod 3和p＝6q-1；设G1是由生成元P生成的p阶加法循环群，G2是p阶乘法循环群，双线性映射e：G1×G1→G2，选取两个哈希函数H1：{0，1}*→G1，H2：G2→{0，1}n，其中n表示消息空间的长度；私钥生成中心PKG选取随机数s∈Zp *作为主密钥，然后计算公钥Ppub＝sP；最后，公开系统参数params＝{G1，G2，n，p，e，P，Ppub，H1，H2}；
S2、由私钥生成中心PKG、证书颁发机构CA和各个物联网系统管理中心作为联盟节点，共同构建联盟链，其中，联盟节点负责pBFT共识算法，将交易打包成区块；
S3、物联网设备采集数据，将设备标识字符串和时间戳拼接成的字符串作为密文标识ID，运行IBE加密算法对要发送的数据进行加密后得到密文c，将计算得到的密文c发送到物联网网关；步骤S3中，运行IBE加密算法对要发送的数据进行加密后得到密文，具体为，随机选取r∈Zp *，计算V＝rP，
Figure FDA0004097206960000011
Figure FDA0004097206960000012
其中，r为随机选取的质数，P为加法循环群G1的生成元，哈希函数H2：G2→{0，1}n，gID＝e(QID，Ppub)，PKG公钥Ppub＝sP，QID＝H1(ID)，最后得到密文c＝(V，W)；
S4、物联网网关汇集异构物联网设备发送的密文，将这些密文转换为标准协议后进行发送，在数据发送前对数据进行过滤和预处理，预处理完成后，由物联网网关将密文发送到物联网系统云平台或本地数据库进行存储；
S5、物联网系统云平台或本地数据库运行SHA256算法生成密文对应的哈希值：hash＝SHA256(c)，并将密文标识ID和对应哈希值的键值对<ID，hash>存储在区块链中；私钥生成中心PKG同步区块链上存储的密文标识和对应哈希值的键值对<ID，hash>，运行密钥提取算法，生成私钥dID；步骤S5中，私钥生成中心PKG同步区块链上存储的<ID，hash>，从中获取密文标识ID，将ID∈{0，1}*转化为阶为q的点QID＝H1(ID)，私钥dID＝sQID；
S6、数据请求者在区块链上注册节点，发起数据请求交易，根据链上部署的访问控制合约审核该数据请求，验证条件满足后自动执行数据授权相关操作，由数据所属物联网系统对应的私钥生成中心PKG将私钥加密发送给数据请求者；
S7、数据请求者从区块链上获取请求数据的密文标识和对应哈希值的键值对，从云平台或物联网系统本地数据库获取密文，利用密文摘要值验证密文正确性；最后根据私钥dID，利用解密算法Decrypt(c，ID，dID，params)＝m对密文进行解密，获得请求数据。
2.如权利要求1所述的基于区块链和IBE算法的物联网数据访问控制方法，其特征在于：步骤S2中，私钥生成中心PKG、证书颁发机构CA和各个物联网系统管理中心在构建联盟链之前需要经过身份审核，审核过程借助可信第三方认定或机构间的相互验证实现；经过审核的机构加入到联盟链网络，获得可发送交易的公私钥；区块链账户地址由ECDSA公钥计算得来，对ECDSA公钥的16进制表示计算keccak-256sum哈希，取计算结果的后20字节的16进制表示作为账户地址；通过协商节点证书、IP、端口号完成联盟链系统配置，并在本地维护系统配置文件夹；联盟链构建完成后，机构信息会存储在联盟链上，用于联盟链上操作追溯到相关机构。
3.如权利要求1所述的基于区块链和IBE算法的物联网数据访问控制方法，其特征在于：步骤S6中，私钥生成中心PKG将私钥发送给通过审核获得授权的数据请求者，具体为，
S61、数据请求者在区块链上注册账户，数据请求节点启动，加载初始配置，区块链系统配置模块将系统配置信息返回给数据请求节点；
S62、数据请求生成证书请求文件，发送给证书节点，加载证书，与证书节点交换验证证书，初始化SSL/TLS连接；
S63、证书节点返回SSL/TLS实例；
S64、数据请求节点使用SSL/TLS实例、P2P节点连接列表和CA黑名单初始化P2P连接；
S65、私钥生成中心PKG返回P2P实例，与数据请求节点建立P2P连接；
S66、私钥生成中心PKG用会话密钥加密发送私钥给数据请求节点。
4.如权利要求1所述的基于区块链和IBE算法的物联网数据访问控制方法，其特征在于：步骤S7中，数据请求者从区块链上读取密文标识和对应哈希值的键值对<ID，hash>，获得密文c和私钥后，首先运行SHA256算法验证密文正确性：SHA256(c)＝hash？验证成功后计算
Figure FDA0004097206960000031
得到明文，获得请求数据。
5.一种使用权利要求1-4任一项所述基于区块链和IBE算法的物联网数据访问控制方法的物联网数据访问控制系统，其特征在于：包括数据采集模块、数据存储模块和区块链系统模块，
数据采集模块：包括物联网设备和物联网网关，物联网设备负责采集数据，并利用IBE算法对数据进行加密后发送；物联网网关负责在不同的IoT设备和网络之间建立连接；
数据存储模块：包括物联网系统本地数据库和云平台，本地数据库和云平台接收并存储物联网设备发送的加密数据，并将加密数据的索引和哈希值上传到区块链系统中；
区块链系统模块：包括多个物联网系统管理中心、证书颁发机构CA和私钥生成中心PKG作为联盟节点构建的联盟链以及作为普通节点发起数据访问请求的用户；联盟节点需要参与区块链的共识过程，打包区块，验证区块；普通节点不参与区块链的共识过程。
6.如权利要求5所述的物联网数据访问控制系统，其特征在于：区块链系统模块中，普通节点用于实时获取区块链上的数据，区块链上的节点拥有独立且唯一的公私钥对，发起交易时使用其私钥进行签名，接收方通过公钥验签知道交易具体是由哪个账户发出；证书颁发机构CA负责颁发数字证书和管理公钥证书，确保用户收到用于有效身份验证的唯一证书；私钥生成中心PKG负责生成系统参数，根据用户提供的身份信息生成私钥并通过安全信道发送给用户。
CN202110879593.3A 2021-08-02 2021-08-02 基于区块链和ibe算法的物联网数据访问控制方法及系统 Active CN113783836B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110879593.3A CN113783836B (zh) 2021-08-02 2021-08-02 基于区块链和ibe算法的物联网数据访问控制方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110879593.3A CN113783836B (zh) 2021-08-02 2021-08-02 基于区块链和ibe算法的物联网数据访问控制方法及系统

Publications (2)

Publication Number Publication Date
CN113783836A CN113783836A (zh) 2021-12-10
CN113783836B true CN113783836B (zh) 2023-06-20

Family

ID=78836529

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110879593.3A Active CN113783836B (zh) 2021-08-02 2021-08-02 基于区块链和ibe算法的物联网数据访问控制方法及系统

Country Status (1)

Country Link
CN (1) CN113783836B (zh)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114268798A (zh) * 2021-12-17 2022-04-01 广州先聚智能科技有限公司 基于5g的流媒体的物联应用系统
CN114465714B (zh) * 2021-12-23 2023-06-20 杭州溪塔科技有限公司 联盟链中的节点配置方法及系统
CN114679319B (zh) * 2022-03-25 2023-08-18 南京邮电大学 基于区块链的分布式数据同步加密方法
CN114826607B (zh) * 2022-04-02 2024-04-19 中国科学院信息工程研究所 基于区块链的边缘计算节点压缩方法及轻量级存储系统
CN114553604B (zh) * 2022-04-26 2022-07-08 南京邮电大学 一种物联网终端节点访问控制方法
CN114697048B (zh) * 2022-06-01 2022-08-26 天津市普迅电力信息技术有限公司 基于区块链的碳排放数据共享方法和系统
CN115296838B (zh) * 2022-06-24 2023-09-26 北京中科金财科技股份有限公司 基于区块链的数据共享方法、系统及存储介质
CN115118486A (zh) * 2022-06-24 2022-09-27 蚂蚁区块链科技(上海)有限公司 物联网系统、以及基于区块链获取数据的方法和装置
CN115589303B (zh) * 2022-07-11 2024-02-27 昆明理工大学 基于sm9算法和跨链技术的数据共享与隐私保护方法
CN114884753B (zh) * 2022-07-11 2022-09-30 成都信息工程大学 一种应用于工业互联网云服务平台的数据访问处理方法
CN115174076B (zh) * 2022-07-25 2024-04-12 广东科学技术职业学院 基于联盟链技术的私有寻踪及边缘计算网络的构建方法
CN115529168B (zh) * 2022-09-16 2023-08-04 上海蜂高科技有限公司 一种基于机器人与区块链多点操控加密系统
CN115733688B (zh) * 2022-11-18 2024-03-26 四川启睿克科技有限公司 基于分布式数字身份的物联网设备离线认证方法
CN115549932B (zh) * 2022-12-06 2023-05-02 信联科技(南京)有限公司 一种面向海量异构物联网终端的安全接入系统及接入方法
CN115914316B (zh) * 2023-03-14 2023-06-06 深圳中集智能科技有限公司 区块链的物流数据传输方法及可信物联网系统
CN116506123B (zh) * 2023-06-27 2023-09-15 广州信安数据有限公司 基于公约协议的多主体数据共同体构建方法、介质及系统

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019093963A1 (zh) * 2017-11-10 2019-05-16 华为国际有限公司 基于异构身份的交互系统及方法

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104991534A (zh) * 2015-06-12 2015-10-21 上海米开罗那机电技术有限公司 一种基于物联网的远程监控及操作设备的系统
CN110300102A (zh) * 2019-06-17 2019-10-01 中电科大数据研究院有限公司 一种基于区块链的物联网安全接入系统及方法
GB2589636A (en) * 2019-12-06 2021-06-09 Nchain Holdings Ltd Identity-based public-key generation protocol
CN111464490A (zh) * 2020-02-24 2020-07-28 浙江工业大学 一种面向物联网终端管控的轻量级区块链网关及方法
CN113193953B (zh) * 2021-04-16 2022-09-02 南通大学 一种基于区块链的多权威属性基加密方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2019093963A1 (zh) * 2017-11-10 2019-05-16 华为国际有限公司 基于异构身份的交互系统及方法

Also Published As

Publication number Publication date
CN113783836A (zh) 2021-12-10

Similar Documents

Publication Publication Date Title
CN113783836B (zh) 基于区块链和ibe算法的物联网数据访问控制方法及系统
CN111083131B (zh) 一种用于电力物联网感知终端轻量级身份认证的方法
CN112073379B (zh) 一种基于边缘计算的轻量级物联网安全密钥协商方法
CN111639361B (zh) 一种区块链密钥管理方法、多人共同签名方法及电子装置
CN112953727B (zh) 一种面向物联网的设备匿名身份认证方法及系统
Zhao et al. A novel mutual authentication scheme for Internet of Things
JP5513482B2 (ja) ネットワーク内のステーション分散識別方法
CN110959163B (zh) 能够在多个存储节点上安全存储大型区块链的计算机实现的系统和方法
Jia et al. A Blockchain-Assisted Privacy-Aware Authentication scheme for internet of medical things
JP2000511382A (ja) 第１のコンピュータユニットと第２のコンピュータユニットの間の暗号化キー管理方法
CN105610773A (zh) 一种电能表远程抄表的通讯加密方法
CN110020524A (zh) 一种基于智能卡的双向认证方法
CN114036539A (zh) 基于区块链的安全可审计物联网数据共享系统及方法
CN111935213A (zh) 一种基于分布式的可信认证虚拟组网系统及方法
CN111416712B (zh) 基于多个移动设备的量子保密通信身份认证系统及方法
Srikanth et al. An efficient Key Agreement and Authentication Scheme (KAAS) with enhanced security control for IIoT systems
CN114710275A (zh) 物联网环境下基于区块链的跨域认证和密钥协商方法
CN114024698A (zh) 一种基于国密算法的配电物联网业务安全交互方法及系统
CN116599659B (zh) 无证书身份认证与密钥协商方法以及系统
CN106230840B (zh) 一种高安全性的口令认证方法
KR20080005344A (ko) 인증서버가 사용자단말기를 인증하는 시스템
CN113676330B (zh) 一种基于二级密钥的数字证书申请系统及方法
KR20070035342A (ko) 패스워드 기반의 경량화된 상호 인증 방법
Lin et al. Research on authentication and key negotiation based on smart water environment
CN112069487B (zh) 一种基于物联网的智能设备网络通讯安全实现方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant