CN114726646A - 一种基于智能配电终端的属性访问控制系统和方法 - Google Patents

一种基于智能配电终端的属性访问控制系统和方法 Download PDF

Info

Publication number
CN114726646A
CN114726646A CN202210495876.2A CN202210495876A CN114726646A CN 114726646 A CN114726646 A CN 114726646A CN 202210495876 A CN202210495876 A CN 202210495876A CN 114726646 A CN114726646 A CN 114726646A
Authority
CN
China
Prior art keywords
attribute
data
power distribution
ciphertext
intelligent power
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
CN202210495876.2A
Other languages
English (en)
Inventor
宋春晓
张恩准
李大伟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nanjing Institute of Technology
Original Assignee
Nanjing Institute of Technology
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nanjing Institute of Technology filed Critical Nanjing Institute of Technology
Priority to CN202210495876.2A priority Critical patent/CN114726646A/zh
Publication of CN114726646A publication Critical patent/CN114726646A/zh
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Algebra (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种基于智能配电终端的属性访问控制系统和方法，所述系统智能配电终端、安全网关、配电子站等边缘服务器、配电主站以及数据用户；所述方法包括以下几个步骤：系统初始化、数据外包加密、属性策略分配以及密钥外包解密。本发明利用椭圆曲线的标量积操作替代传统基于计算外包的属性方案中复杂的双线性配对算法，在降低智能配电终端自身计算开销的同时，提高了属性加密方案的计算效率；通过利用LSSS访问矩阵对加密的属性分配属性策略，使智能配电终端实现了细颗粒度的访问控制。

Description

一种基于智能配电终端的属性访问控制系统和方法
技术领域
本发明属于配电网数据安全技术领域，具体涉及一种基于智能配电终端的属性访问控制系统和方法。
背景技术
智能配电网向异构智能终端多样化、安全防护边界模糊化、安全接入需求多样化转型过程中，越来越多的智能配电终端接入到配电网络中。与传统配电终端相比，智能配电终端将原本分散的二次电路元器件整合到小型断路器中，把原本复杂的互感器、多功能表、主控器、接触器等模块集成化，建立了端-云协同机制。对下实现数据全采集、全管控，对上与配电主站实时交换关键运行数据，实现端-云之间关键信息交互、基础数据共享。采集数据更加多样化，可以接入普通网络、安装应用软件，功能更加全面，因此更容易遭到恶意攻击和控制，对电力系统的影响更加广泛。
配电智能终端作为智能电网中终端数据采集单元和底层控制单元，一旦遭到恶意攻击和控制，轻则造成采集数据不可靠、个别用户断电及隐私泄漏，重则影响统一调度管理、造成系统决策分析错误及大面积断电事故。因此保障智能终端数据的完整性、可用性和机密性，加强智能配电终端的数据安全防护对维持电力系统安全稳定运行具有重大意义。
在对智能配电网进行安全检查时发现，点多面广的智能配电终端由于明文数据存储、计算开销匮乏等问题，使得终端数据的安全防护存在一定漏洞。主要表现在以下方面：
(1)智能配电终端存在自身计算能力与数据加密需求冲突的问题
随着接入智能配电网的异构终端设备增加，数据采集量与日俱增，智能配电终端受自身计算资源的限制，不能承载数据加密算法所需的计算开销，大量智能配电终端设备存在数据加密能力不足。海量的数据也导致配电主站对信息处理识别能力降低，无法有效筛选识别出信息漏洞，针对智能配电终端计算资源有限的特点，利用计算外包的加密方式来保障数据安全的需求越来越强烈。
(2)智能配电终端存在数据缺乏细颗粒度的访问控制问题
智能配电终端的访问控制模式多为静态的、粗颗粒度，没有对访问的申请、批准和撤销的全过程进行有效的控制，也很难适应基于计算外包的这种复杂、动态的分布式计算环境。攻击者以终端访问控制存在的漏洞为跳板，与主站或其他智能配电终端进行连接，窃取敏感的信息，如遥测、遥信、遥控以及操作系统用户口令、数据库口令、远程主站控制口令等相关信息，非法用户获得访问批准和操作控制命令。
发明内容
本发明所要解决的技术问题是针对上述现有技术的不足，提供一种基于智能配电终端的属性访问控制系统和方法。通过加解密外包，优化属性加密算法以及设置访问结构矩阵，确保智能终端数据的完整性、可用性和机密性，解决了目前智能配电终端自身计算能力不足和属性加密方法缺乏细颗粒度的访问控制问题。
为实现上述技术目的，本发明采取的技术方案为：
一种基于智能配电终端的属性访问控制系统，所述系统包括智能配电终端DO、安全网关AA、边缘服务器、配电主站CSP以及数据用户；
所述智能配电终端DO，用于上传主站的遥测、遥信信息采集类业务以及下发终端的遥控命令，可加密密文，并将加密后数据上传至配电主站CSP进行安全共享；
所述安全网关AA，用于生成系统公钥和系统主私钥，同时管控用户私钥分发；
所述边缘服务器，用于作为中间层汇聚终端信息，根据功能分为加密代理服务器EA、解密代理服务器DA以及密钥生成代理服务器KGA1和KGA2；
所述配电主站CSP，用于为智能配电终端DO提供数据存储服务；
所述数据用户，用于根据访问策略访问智能配电终端存储在配电主站CSP中的密文数据资源。
一种基于智能配电终端的属性访问控制方法，包括以下步骤：
步骤1：基于安全网关AA进行系统初始化；
步骤2：基于智能配电终端DO进行数据外包加密；
步骤3：基于边缘服务器进行属性策略分配；
步骤4：基于数据用户DU进行密钥外包解密。
为优化上述技术方案，采取的具体措施还包括：
上述的系统初始化步骤为：
步骤1.1：安全网关AA确定系统公共参数PP＝{GF(q)，G，E，R，A，H}，并通过输入的安全参数k，选择q阶有限域GF(q)；
其中，E是q阶有限域GF(q)内的一个椭圆曲线；
G是椭圆曲线E上大素数r阶循环子群的生成元；
H为哈希函数；
A为全局属性集合；
R为非对称加密算法
选择哈希函数
Figure BDA0003633141080000031
将全局唯一标识GID映射到
Figure BDA0003633141080000032
中，Zr为r阶素数域；
定义全局属性集合A＝{a1，a2，...，an}；
其中a1，a2，...，an为系统管理的n种不同的属性，这些属性由安全网关进行统一管理；
步骤1.2：安全网关对其管理的多个属性i生成随机常数yi，安全参数ki，ki∈Zr；
生成系统公钥PK＝{yiG，kiG，i∈AA}，系统主密钥MSK＝{yi，ki，i∈AA}；
其中，系统公钥PK是公开的，主密钥MSK是保密的。
上述的数据外包加密步骤为：
步骤2.1：智能配电终端DO使用对称加密算法E对明文数据M进行加密，随机生成加密密钥ck1和数据密文
Figure BDA0003633141080000033
发送给配电子站进行加密代理服务器EA；
步骤2.2：加密代理首先解密数据密文CTDATA分配数据属性i，并调用非对称加密算法R进行非对称加密生成第二密钥对mk2＝(msk2，mpk2)和属性密文
Figure BDA0003633141080000034
然后计算数据验证信息HCT’＝H(CT’DATA)，H为哈希函数；
步骤2.3：加密代理服务器EA使用系统公钥PK对哈希值HCT，进行非对称加密R，生成数字签名，并将带有数字签名的属性密文CT’DATA发送给配电子站的两个密钥生成代理服务器KGA1、KGA2，将属性密钥发送给配电主站CSP存储。
上述的属性策略分配步骤为：
步骤3.1：密钥生成代理服务器KGA1和KGA2分别接收属性密文CT’DATA并根据数字签名确认属性密文的唯一的编号DATAID，根据安全网关提供的属性策略对属性密文进行筛选、分类和加密，将生成的属性策略密文CT”DATA1和CT”DATA2发送给智能配电终端DO；
步骤3.2：若KGA1和KGA2发送的两份属性策略密文CT”DATA1和CT”DATA2内容一致，智能配电终端DO接收该属性策略密文CT”DATA，发送给配电主站CSP，并存储在配电主站CSP数据库，将解密密钥DSK发送配电子站的解密代理服务器DA；
若两份属性策略密文CT”DATA1和CT”DATA2内容不一致，智能配电终端DO拒绝接受，返回给KGA1和KGA2重新加密。
上述的步骤3.1中，属性策略密文CT”DATA生成步骤为：
步骤3.1.1：KGA1和KGA2分别定义一个LSSS访问结构矩阵(∧，ρ)，以限制特定属性的用户才可以访问数据资源，其中访问结构矩阵LSSS(∧，ρ)：∧为1*m的访问矩阵，ρ(x)为访问矩阵∧第x行对应的属性；
步骤3.1.2：将第二密钥对mk2映射到曲线上的一点，随机选取随机常数s，计算部分密文C’0＝mk2+sG，s∈Zr，随机选取常数v2，...，vm，u2，...，um，构成
Figure BDA0003633141080000041
与
Figure BDA0003633141080000042
并且计算加密矩阵
Figure BDA0003633141080000043
其中x∈[1，1]，∧x为访问矩阵∧的第x行，选取随机常数γx∈Zr，计算部分密文：
C’1，x＝λxG+γxyρ(x)G，C2，x＝γxG，C3，x＝wxG+γxkρ(x)G，ρ(x)∈属性，其中yρ(x)、kρ(x)指的是上述属性所对应的yi、ki；
步骤3.1.3：生成属性策略密文CT”DATA＝{({(∧，ρ)，C’0，CT’DATA，HCT，{C1，x，C2，x，C3，x}x∈[1，1]}；
步骤3.2中，判断KGA1和KGA2发送的两份属性策略密文CT”DATA1和CT”DATA2内容是否一致的步骤为：
对KGA1和KGA2发送的两份属性策略密文CT”DATA1和CT”DATA2分别利用哈希函数生成数据摘要H”CT1和H”CT2，若H”CT1＝H”CT2，则说明KGA1和KGA2两个密钥代理机构加密的密文内容一致，没有被删减或篡改，其真实有效，否则说明数据在外包加密过程中被篡改或删减；
步骤3.2中，所述属性策略密文CT”DATA的密钥生成步骤为：
安全网关AA和KGA1和KGA2执行密钥生成算法，输入公共参数PP、用户常规属性集SLi，GID，全局统一标识GID以及主密钥MSK，安全网关AA为智能配电终端DO数据的属性分配属性策略；
KGA1和KGA2分别为为属性i进行对称加密，生成属性密钥USKi，GID＝yi+H(GID)ki，并将属性i记录在与全局统一标识GID身份对应的属性列表中；
步骤3.2中，属性策略密文CT”DATA的解密密钥DSK生成步骤为：
解密密钥DSK由配电子站解密代理DA代理保存，其中SKi，GID为身份标识GID数据用户DU申请属性i的解密私钥，其公式为：
DSK＝z，SKi，GID＝USKi，GID＝yi+H(GID)ki+z，i∈属性。
上述的密钥外包解密步骤为：
步骤4.1：数据用户DU将自身的访问策略CT’ABE通过系统公钥PK生成访问策略密文CT”ABE，并向智能配电终端DO申请数据访问请求；
步骤4.2：智能配电终端DO解密访问策略密文CT”ABE，将访问策略CT’ABE发送给配电主站CSP，配电主站CSP遍历数据库中的属性策略密文CT”DATA，将访问策略CT’ABE对应的属性策略密文CT”DATA发送给配电子站的解密代理服务器DA；
步骤4.3：配电子站的解密代理服务器DA解密属性策略密文CT”DATA生成属性密文CT’DATA，并对应的属性密文CT’DATA发送给配电主站CSP；
步骤4.4：配电主站CSP通过数字签名判断发送的属性策略密文CT”DATA和属性密文CT’DATA是否一致，若一致向数据用户DU发送属性密文CT’DATA及其密钥，解密获得访问数据；否则配电子站的解密代理DA需重新解密属性密文CT’DATA。
上述的步骤4.2中，智能配电终端DO解密访问策略密文CT”ABE公式为：
安全网关AA根据数据用户DU的访问策略集S生成访问策略集合X＝{x|ρ(x)∈S}，如果数据用户DU的访问策略x能够满足访问结构，那么在规定的时间内可以找到常数集{cx∈Zr}x∈X，使得∑x∈X cx∧x＝ε＝(1，0，...，0)，即∑x∈X cxλx＝s且∑x∈X cxωx＝0，计算解密密文
CT”ABE＝C1，x-C2，xSKρ(x)，GID+C3，xH(GID)。
上述的步骤4.3中，配电子站的解密代理服务器DA解密属性策略密文CT”DATA的公式为：
CT”DATA＝C”x＝C1，x-C2，xSKρ(x)，GID+C3，xH(GID)
＝λxG+γxyρ(x)G-(yi+H(GID)ki+z)γxG+H(GID)(ωxG+γxkρ(x)G)；
＝λxG+H(GID)ωxG+zγxG
将解密结果发送给配电主站CSP。
上述的步骤4.4中，数据用户DU解密获得访问数据的步骤为：
配电主站CSP将对应的访问控制数据CTX＝{CT’x、DSKx}x∈X发送给数据用户DUx；
数据用户DUx得到访问控制数据CTX后只需要少量数据计算便可获得明文。
本发明具有以下有益效果：
1.考虑到智能配电终端自身计算开销有限问题，本发明将复杂的加解密过程外包给配电子站等边缘代理，并采用两个密钥生成代理同时进行加密处理，在保证智能配电终端数据加密安全的基础上，减轻了智能配电终端自身的计算负担；
2.考虑到智能配电终端的数据存储能力不足问题，本发明利用云存储知识，结合配电网特点，提出了一种配电主站代存储加密数据的方案；
3.为了减少数据用户的访问时延，本发明利用椭圆曲线的标量积操作替代CP-ABE方案中复杂的双线性配对算法，通过降低算法自身的计算量，提高了加解密效率，减少数据用户的访问时延；
4.根据智能终端特点，本发明制定了一种基于外包计算的轻量级属性访问控制方案，通过利用LSSS访问矩阵对加密的属性分配属性策略，实现了细颗粒度的访问控制。
附图说明
图1是本发明基于智能配电终端的属性访问控制方法的流程图；
图2是本发明基于智能配电终端的属性访问控制系统模型图。
具体实施方式
以下结合附图对本发明的实施例作进一步详细描述。
参见图1-2，本发明一种基于智能配电终端的属性访问控制系统，包含智能配电终端、安全网关、配电子站等边缘服务器、配电主站以及数据用户5个实体，具体的：
(1)智能配电终端DO：上传主站的遥测、遥信等信息采集类业务以及下发终端的遥控命令，数据的实际属主，可加密密文，为较少本地计算开销和存储资源，将数据加密后上传至配电主站CSP并进行安全共享。
(2)安全网关AA：一个完全可信任的属性权威管理机构，主要负责生成系统公钥和系统主私钥，同时管控用户私钥分发等工作。
(3)配电子站等边缘服务器(EA、KGA1和KGA2、DA)：作为中间层汇聚终端信息，根据功能分为加密代理、加密代理以及密钥生成代理。另外，通过雇佣两个独立的密钥生成代理进行私钥预处理，保证了在服务过程中安全可靠，且不能根据获取信息推导出明文数据。
(4)配电主站CSP：为智能配电终端提供数据存储服务，减轻智能配电终端DO的本地存储负担。
(5)数据用户DU：可以根据访问策略访问智能配电终端存储在配电主站中的密文数据资源。
本发明一种基于智能配电终端的属性访问控制方法，包括以下步骤：
步骤1：系统初始化
安全网关AA确定系统公共参数PP＝{GF(q)，G，E，R，A，H}，并通过输入的安全参数k，选择q阶有限域GF(q)，E是q阶有限域GF(q)内的一个椭圆曲线，G是椭圆曲线E上大素数r阶循环子群的生成元，选择哈希函数
Figure BDA0003633141080000061
将全局唯一标识GID映射到
Figure BDA0003633141080000062
中，Zr为r阶素数域，定义全局属性集合A＝{a1，a2，...，an}，其中a1，a2，...，an为系统管理的n种不同的属性，这些属性由安全网关AA进行统一管理。安全网关AA对其管理的多个属性i生成随机常数yi，安全参数ki，ki∈Zr；生成系统公钥PK＝{yiG，kiG，i∈AA}，系统主密钥MSK＝{yi，ki，i∈AA}。其中，系统公钥PK是公开的，主密钥MSK是保密的。
步骤2：数据外包加密
步骤2.1：智能配电终端DO使用对称加密算法E对明文数据M进行加密，随机生成加密密钥ck1和数据密文
Figure BDA0003633141080000071
发送给配电子站进行加密代理EA；
步骤2.2：加密代理首先解密数据密文CTDATA分配数据属性i，并调用非对称加密算法R进行非对称加密生成第二密钥对mk2＝(msk2，mpk2)和属性密文
Figure BDA0003633141080000072
然后计算数据验证信息HCT’＝H(CT’DATA)，H为哈希函数；
步骤2.3：加密代理使用系统公钥PK对哈希值HCT’进行非对称加密R，生成数字签名，并将带有数字签名的属性密文CT’DATA发送给配电子站的两个密钥生成代理KGA1、KGA2，将属性密钥发送给配电主站CSP存储。
步骤3：属性策略分配
步骤3.1：KGA1和KGA2分别接收属性密文CT’DATA并根据数字签名确认属性密文的唯一的编号DATAID，根据安全网关提供的属性策略对属性密文进行筛选、分类和加密，将生成的属性策略密文CT”DATA1和CT”DATA2发送给智能配电终端DO；
进一步地，属性策略密文CT”DATA生成过程为：
步骤3.1.1：KGA1和KGA2分别定义一个LSSS访问结构矩阵(∧，ρ)，限制特定属性的用户才可以访问数据资源，其中访问结构矩阵LSSS(∧，ρ)：∧为1*m的访问矩阵，ρ(x)为访问矩阵∧第x行对应的属性；
步骤3.1.2：将第二密钥对mk2映射到曲线上的一点，随机选取随机常数s，计算部分密文C’0＝mk2+sG，s∈Zr，随机选取常数v2，...，vm，u2，...，um，构成
Figure BDA0003633141080000073
与
Figure BDA0003633141080000074
并且计算加密矩阵
Figure BDA0003633141080000075
其中x∈[1，1]，∧x为访间矩阵∧的第x行，选取随机常数γx∈Zr，计算部分密文：
C’1，x＝λxG+γxyρ(x)G，C2，x＝γxG，C3，x＝wxG+γxkρ(x)G，ρ(x)∈属性，其中yρ(x)、kρ(x)指的是上述属性所对应的yi、ki。
步骤3.1.3：最后生成属性策略密文CT”DATA＝{(∧，p)，C’0，CT’DATA，HCT，{C1，x，C2，x，C3，x}x∈[1，1]}；
步骤3.2：若KGA1和KGA2发送的两份属性策略密文CT”DATA1和CT”DATA2内容一致，智能配电终端DO接收该属性策略密文CT”DATA，发送给配电主站CSP，并存储在配电主站CSP数据库，将解密密钥发送配电子站的解密代理DA；若两份属性策略密文CT”DATA1和CT”DATA2内容不一致，智能配电终端DO拒绝接受，返回给KGA1和KGA2重新加密。
进一步地，属性策略密文CT”DATA1和CT”DATA2判别的步骤为：
对KGA1和KGA2发送的两份属性策略密文CT”DATA1和CT”DATA2分别利用哈希函数生成数据摘要H”CT1和H”CT2，若H”CT1＝H”CT2，则说明KGA1和KGA2两个密钥代理机构加密的密文真实有效，否则说明数据在外包加密过程中被篡改或删减。
进一步地，解密密钥DSK的生成过程为：
解密密钥DSK由配电子站解密代理DA代理保存，其中SKi，GID为身份标识GID数据用户DU申请属性i的解密私钥，其公式为：
DSK＝z，SKi，GID＝USKi，GID＝yi+H(GID)ki+z，i∈属性。
进一步地，属性策略密文CT”DATA的密钥生成步骤为：
1)安全网关AA和KGA1和KGA2执行密钥生成算法，输入公共参数PP、用户常规属性集SLi，GID，全局统一标识GID以及主密钥MSK，安全网关AA为智能配电终端DO数据的属性分配属性策略；
2)KGA1和KGA2分别为为属性i进行对称加密，生成属性密钥USKi，GID＝yi+H(GID)ki，
并将属性i记录在与全局统一标识GID身份对应的属性列表中。
步骤4：密钥外包解密
步骤4.1：数据用户DU将自身的访问策略CT’ABE通过系统公钥PK生成访问策略密文CT”ABE，并向智能配电终端DO申请数据访问请求；
步骤4.2：智能配电终端DO解密访问策略密文CT”ABE，将访问策略CT’ABE发送给配电主站CSP，配电主站CSP遍历数据库中的属性策略密文CT”DATA，将访问策略CT’ABE对应的属性策略密文CT”DATA发送给配电子站的解密代理DA；
进一步地，智能配电终端DO解密访问策略密文CT”ABE步骤为：
安全网关AA根据数据用户DU的访问策略集S生成访问策略集合X＝{x|ρ(x)∈S}，如果数据用户DU的访问策略x能够满足访问结构，那么在规定的时间内可以找到常数集{cx∈Zr}x∈X，使得∑x∈Xcs∧x＝ε＝(1，0，...，0)，即∑x∈X cxλx＝s且∑x∈X cxωx＝0，计算解密密文
CT”ABE＝C1，x-C2，xSKρ(x)，GID+C3，xH(GID)。
步骤4.3：配电子站的解密代理DA解密属性策略密文CT”DATA生成属性密文CT’DATA，并对应的属性密文CT’DATA发送给配电主站CSP；
进一步地，配电子站的解密代理DA解密属性策略密文CT”DATA公式为：
CT”DATA＝C”x＝C1，x-C2，xSKρ(x)，GID+C3，xH(GID)
＝λxG+γxyρ(x)G-(yi+H(GID)ki+z)γxG+H(GID)(ωxG+γxkρ(x)G)；
＝λxG+H(GID)ωxG+zγxG
步骤4.4：配电主站CSP通过数字签名判断发送的属性策略密文CT”DATA和属性密文CT’DATA是否一致，若一致向数据用户DU发送属性密文CT’DATA及其密钥，解密获得访问数据；否则配电子站的解密代理DA需重新解密属性密文CT’DATA。
进一步地，数据用户DU解密访问数据的步骤为：
配电主站CSP将对应的访问控制数据CTX＝{CT’x、DSKx}x∈X发送给数据用户DUx；
数据用户DUx得到访问控制数据CTX后只需要少量数据计算便可获得明文。
以上仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，应视为本发明的保护范围。

Claims (10)

1.一种基于智能配电终端的属性访问控制系统，其特征在于，所述系统包括智能配电终端DO、安全网关AA、边缘服务器、配电主站CSP以及数据用户DU；
所述智能配电终端DO，用于上传主站的遥测、遥信信息采集类业务以及下发终端的遥控命令，可加密密文，并将加密后数据上传至配电主站CSP进行安全共享；
所述安全网关AA，用于生成系统公钥和系统主私钥，同时管控用户私钥分发；
所述边缘服务器，用于作为中间层汇聚终端信息，根据功能分为加密代理服务器EA、解密代理服务器DA以及密钥生成代理服务器KGA1和KGA2；
所述配电主站CSP，用于为智能配电终端DO提供数据存储服务；
所述数据用户DU，用于根据访问策略访问智能配电终端存储在配电主站CSP中的密文数据资源。
2.基于权利要求1所述的一种基于智能配电终端的属性访问控制系统的一种基于智能配电终端的属性访问控制方法，其特征在于，包括以下步骤：
步骤1：基于安全网关AA进行系统初始化；
步骤2：基于智能配电终端DO进行数据外包加密；
步骤3：基于边缘服务器进行属性策略分配；
步骤4：基于数据用户DU进行密钥外包解密。
3.根据权利要求2所述的一种基于智能配电终端的属性访问控制方法，其特征在于，所述系统初始化步骤为：
步骤1.1：安全网关AA确定系统公共参数PP＝{GF(q)，G，E，R，A，H}，并通过输入的安全参数k，选择q阶有限域GF(q)；
其中，E是q阶有限域GF(q)内的一个椭圆曲线；
G是椭圆曲线E上大素数r阶循环子群的生成元；
H为哈希函数；
A为全局属性集合；
R为非对称加密算法；
选择哈希函数H：
Figure FDA0003633141070000011
将全局唯一标识GID映射到
Figure FDA0003633141070000012
中，Zr为r阶素数域；
定义全局属性集合A＝{a1，a2，...，an}；
其中a1，a2，...，an为系统管理的n种不同的属性，这些属性由安全网关进行统一管理；
步骤1.2：安全网关对其管理的多个属性i生成随机常数yi，安全参数ki，ki∈Zr；
生成系统公钥PK＝{yiG，kiG，i∈AA}，系统主密钥MSK＝{yi，ki，i∈AA}；
其中，系统公钥PK是公开的，主密钥MSK是保密的。
4.根据权利要求2所述的一种基于智能配电终端的属性访问控制方法，其特征在于，所述数据外包加密步骤为：
步骤2.1：智能配电终端DO使用对称加密算法E对明文数据M进行加密，随机生成加密密钥ck1和数据密文
Figure FDA0003633141070000022
发送给配电子站进行加密代理服务器EA；
步骤2.2：加密代理首先解密数据密文CTDATA分配数据属性i，并调用非对称加密算法R进行非对称加密生成第二密钥对mk2＝(msk2，mpk2)和属性密文
Figure FDA0003633141070000023
然后计算数据验证信息HCT′＝H(CT′DATA)，H为哈希函数；
步骤2.3：加密代理服务器EA使用系统公钥PK对哈希值HCT′进行非对称加密R，生成数字签名，并将带有数字签名的属性密文CT′DATA发送给配电子站的两个密钥生成代理服务器KGA1、KGA2，将属性密钥发送给配电主站CSP存储。
5.根据权利要求2所述的一种基于智能配电终端的属性访问控制方法，其特征在于，所述属性策略分配步骤为：
步骤3.1：密钥生成代理服务器KGA1和KGA2分别接收属性密文CT’DATA并根据数字签名确认属性密文的唯一的编号DATAID，根据安全网关提供的属性策略对属性密文进行筛选、分类和加密，将生成的属性策略密文CT″DATA1和CT″DATA2发送给智能配电终端DO；
步骤3.2：若KGA1和KGA2发送的两份属性策略密文CT″DATA1和CT″DATA2内容一致，智能配电终端DO接收该属性策略密文CT″DATA，发送给配电主站CSP，并存储在配电主站CSP数据库，将解密密钥DSK发送配电子站的解密代理服务器DA；
若两份属性策略密文CT″DATA1和CT″DATA2内容不一致，智能配电终端DO拒绝接受，返回给KGA1和KGA2重新加密。
6.根据权利要求5所述的一种基于智能配电终端的属性访问控制方法，其特征在于，所述步骤3.1中，属性策略密文CT″DATA生成步骤为：
步骤3.1.1：KGA1和KGA2分别定义一个LSSS访问结构矩阵(∧，ρ)，以限制特定属性的用户才可以访问数据资源，其中LSSS访问结构矩阵(∧，ρ)：∧为1*m的访问矩阵，ρ(x)为访间矩阵∧第x行对应的属性；
步骤3.1.2：将第二密钥对mk2映射到曲线上的一点，随机选取随机常数s，计算部分密文C′0＝mk2+sG，s∈Zr，随机选取常数v2，...，vm，u2，...，um，构成
Figure FDA0003633141070000021
与
Figure FDA0003633141070000031
并且计算加密矩阵
Figure FDA0003633141070000032
其中x∈[1，1]，∧x为访问矩阵∧的第x行，选取随机常数γx∈Zr，计算部分密文：
C′1，x＝λxG+γxyρ(x)G，C2，x＝γxG，C3，x＝wxG+γxkρ(x)G，ρ(x)∈属性，其中yρ(x)、kρ(x)指的是上述属性所对应的yi、ki；
步骤3.1.3：生成属性策略密文CT″DATA＝{(∧，ρ)，C′0，CT′DATA，HCT，{C1，x，C2，x，C3，x}x∈[1，1]}；
步骤3.2中，判断KGA1和KGA2发送的两份属性策略密文CT″DATA1和CT″DATA2内容是否一致的步骤为：
对KGA1和KGA2发送的两份属性策略密文CT″DATA1和CT″DATA2分别利用哈希函数生成数据摘要H″CT1和H″CT2，若H″CT1＝H″CT2，则说明KGA1和KGA2两个密钥代理机构加密的密文内容一致，没有被删减或篡改，其真实有效，否则说明数据在外包加密过程中被篡改或删减；
步骤3.2中，所述属性策略密文CT″DATA的密钥生成步骤为：
安全网关AA和KGA1和KGA2执行密钥生成算法，输入公共参数PP、用户常规属性集SLi，GID，全局统一标识GID以及主密钥MSK，安全网关AA为智能配电终端DO数据的属性分配属性策略；
KGA1和KGA2分别为为属性i进行对称加密，生成属性密钥USKi，GID＝yi+H(GID)ki，并将属性i记录在与全局统一标识GID身份对应的属性列表中；
步骤3.2中，属性策略密文CT″DATA的解密密钥DSK生成步骤为：
解密密钥DSK由配电子站解密代理DA代理保存，其中SKi，GID为身份标识GID数据用户DU申请属性i的解密私钥，其公式为：
DSK＝z，SKi，GID＝USKi，GID＝yi+H(GID)ki+z，i∈属性。
7.根据权利要求2所述的一种基于智能配电终端的属性访问控制方法，其特征在于，所述密钥外包解密步骤为：
步骤4.1：数据用户DU将自身的访问策略CT′ABE通过系统公钥PK生成访问策略密文CT″ABE，并向智能配电终端DO申请数据访问请求；
步骤4.2：智能配电终端DO解密访问策略密文CT″ABE，将访间策略CT′ABE发送给配电主站CSP，配电主站CSP遍历数据库中的属性策略密文CT″DATA，将访问策略CT′ABE对应的属性策略密文CT″DATA发送给配电子站的解密代理服务器DA；
步骤4.3：配电子站的解密代理服务器DA解密属性策略密文CT″DATA生成属性密文CT′DATA，并对应的属性密文CT′DATA发送给配电主站CSP；
步骤4.4：配电主站CSP通过数字签名判断发送的属性策略密文CT″DATA和属性密文CT′DATA是否一致，若一致向数据用户DU发送属性密文CT′DATA及其密钥，解密获得访问数据；否则配电子站的解密代理DA需重新解密属性密文CT′DATA。
8.根据权利要求7所述的一种基于智能配电终端的属性访问控制方法，其特征在于，所述步骤4.2中，智能配电终端DO解密访问策略密文CT″ABE公式为：
安全网关AA根据数据用户DU的访问策略集S生成访问策略集合X＝{x|ρ(x)∈S}，如果数据用户DU的访问策略x能够满足访问结构，那么在规定的时间内可以找到常数集{cx∈Zr}x∈X，使得∑x∈xcx∧x＝ε＝(1，0，...，0)，即∑x∈Xcxλx＝s且∑x∈Xcxωx＝0，计算解密密文CT″ABE＝C1，x-C2，xSKρ(x)，GID+C3，xH(GID)。
9.根据权利要求7所述的一种基于智能配电终端的属性访问控制方法，其特征在于，所述步骤4.3中，配电子站的解密代理服务器DA解密属性策略密文CT″DATA的公式为：
CT″DATA＝C″x＝C1，x-C2，xSKρ(x)，GID+C3，xH(GID)
＝λxG+γxyρ(x)G-(yi+H(GID)ki+z)γxG+H(GID)(ωxG+γxkρ(x)G)；
＝λxG+H(GID)ωxG+zγxG
将解密结果发送给配电主站CSP。
10.根据权利要求7所述的一种基于智能配电终端的属性访问控制方法，其特征在于，步骤4.4中，数据用户DU解密获得访问数据的步骤为：
配电主站CSP将对应的访问控制数据CTX＝{CT′x、DSKx}x∈X发送给数据用户DUx；
数据用户DUx得到访问控制数据CTX后只需要少量数据计算便可获得明文Mx。
CN202210495876.2A 2022-05-09 2022-05-09 一种基于智能配电终端的属性访问控制系统和方法 Withdrawn CN114726646A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210495876.2A CN114726646A (zh) 2022-05-09 2022-05-09 一种基于智能配电终端的属性访问控制系统和方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210495876.2A CN114726646A (zh) 2022-05-09 2022-05-09 一种基于智能配电终端的属性访问控制系统和方法

Publications (1)

Publication Number Publication Date
CN114726646A true CN114726646A (zh) 2022-07-08

Family

ID=82231634

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210495876.2A Withdrawn CN114726646A (zh) 2022-05-09 2022-05-09 一种基于智能配电终端的属性访问控制系统和方法

Country Status (1)

Country Link
CN (1) CN114726646A (zh)

Similar Documents

Publication Publication Date Title
US11397829B2 (en) Method for handling privacy data
CN109559124B (zh) 一种基于区块链的云数据安全共享方法
CN109040045B (zh) 一种基于密文策略属性基加密的云存储访问控制方法
CN102655508B (zh) 云环境下的用户隐私数据保护方法
Moffat et al. A survey on ciphertext-policy attribute-based encryption (CP-ABE) approaches to data security on mobile devices and its application to IoT
CN111191288A (zh) 一种基于代理重加密的区块链数据访问权限控制方法
CN111343001A (zh) 一种基于区块链的社交数据共享系统
Pradeep et al. An efficient framework for sharing a file in a secure manner using asymmetric key distribution management in cloud environment
CN104901942A (zh) 一种基于属性加密的分布式访问控制方法
CN103957109A (zh) 一种云数据隐私保护安全重加密方法
CN113360944B (zh) 一种电力物联网的动态访问控制系统与方法
CN108833393A (zh) 一种基于雾计算的可撤销数据共享方法
CN108418784A (zh) 一种基于属性密码的分布式跨域授权和访问控制方法
CN105656859A (zh) 税控设备软件安全在线升级方法及系统
CN112532580B (zh) 一种基于区块链及代理重加密的数据传输方法及系统
CN114036539A (zh) 基于区块链的安全可审计物联网数据共享系统及方法
CN114679340B (zh) 一种文件共享方法、系统、设备及可读存储介质
Ford et al. Secure and efficient protection of consumer privacy in advanced metering infrastructure supporting fine-grained data analysis
CN110611571A (zh) 一种基于雾的智能电网系统的可撤销访问控制方法
CN107302524A (zh) 一种云计算环境下的密文数据共享系统
CN111444268A (zh) 一种基于区块链的数据加密方法
CN110933052A (zh) 一种边缘环境基于时间域的加密及其策略更新方法
CN108763944A (zh) 雾计算中安全可撤销多中心大属性域属性基加密方法
CN113486082A (zh) 一种基于区块链的外包数据访问控制系统
Zhang et al. Smart grid data access control scheme based on blockchain

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WW01 Invention patent application withdrawn after publication

Application publication date: 20220708

WW01 Invention patent application withdrawn after publication