CN115495785A - 一种基于区块链策略管理的访问控制方法及系统 - Google Patents

Abstract

本发明涉及一种基于区块链策略管理的访问控制方法及系统，优先配置访问控制策略后对带有验证标签的存证数据执行上链操作，并使用智能合约判断数据请求是否满足访问控制策略，将数据所有者的数据基于属性、特征信息进行目录存证，并通过智能合约进行策略管理对用户的访问数据的进行存储并可以设置白名单来控制用户是否可以访问该数据，同时通过区块链实现对访问信息的溯源。

Description

一种基于区块链策略管理的访问控制方法及系统

技术领域

本发明涉及数据访问安全及区块链数据处理技术领域，尤其涉及一种基于区块链策略管理的访问控制方法及系统。

背景技术

功能服务的实现依赖于高效的数据访问反馈。为了保证数据安全，当前多会采用访问控制的方式对数据访问请求进行验证以确保访问安全。

现有技术下，访问控制机制大多通过集中授权点进行访问授权，特别是基于属性的访问控制。即通过将主体属性、资源属性和环境属性结合起来，按照它们与访问控制规则的匹配情况来确定是否允许访问，例如用户、环境、资源分别具有主体属性(比如姓名、身份、年龄)，即请求对某种资源执行某些动作的请求者，资源属性(比如资源名称、标识等)，环境属性(比如访问请求时的操作环境和上下文特征)。当用户向授权引擎请求资源时，授权引擎会根据已存储的主体属性、环境属性和资源属性以及策略对访问请求进行判断，策略以策略文件的形式存在，所有决策都要根据策略文件来进行；然后，授权引擎基于判断结果给出拒绝或者同意的结果给用户。

从属性访问授权过程可以看出，访问控制执行和决策过程授权引擎，这样的单一集中授权模式必然存在一些安全问题和性能问题。例如，如果授权引擎被收买或者攻击，对于同意授权访问控制结果，会返回一个否定的授权结果，反之亦然，甚至直接拒绝主体的访问请求；访问控制过程不透明、不可追踪，从所有者角度来看，其不能发现自己的资源被错误授权或过度授权，从而导致隐私泄露；同样，主体也无法发现错误的否定授权；整个访问过程无法实现追踪和溯源，对于错误的访问控制授权和访问执行，无法找到相关的参与主体。

由此可知，传统的访问控制机制大多通过集中授权点进行访问授权，存在单点失效导致整个控制系统失效以及性能瓶颈等问题，比如单点cpu、内存、存储会存在瓶颈，单点故障会导致系统整个不可用；还存在访问过程不可追踪和溯源等缺点。如何实现访问控制过程的去中心化、透明性、可溯源成为访问控制机制急需解决的问题。

发明内容

为解决现有技术的不足，本发明提出一种基于区块链策略管理的访问控制方法及系统，将数据所有者的数据基于属性、特征信息进行目录存证，并通过智能合约进行策略管理对用户的访问数据的进行存储并可以设置白名单来控制用户是否可以访问该数据，同时通过区块链实现对访问信息的溯源。

为实现以上目的，本发明所采用的技术方案包括：

一种基于区块链策略管理的访问控制方法，其特征在于，包括：

S1、配置访问控制策略，所述访问控制策略包括数据控制信息和数据访问限制信息；

S2、依据访问控制策略对源数据增加验证标签，形成存证数据；

S3、建立存证数据目录，并依据存证数据目录使用预设的上链设置项将存证数据执行上链操作；

S4、使用验证标签在链上建立对应存证数据的智能合约；

S5、依据获取的数据请求反馈对应的智能合约；

S6、使用智能合约判断数据请求是否满足访问控制策略，当判断数据请求不满足访问控制策略时，拒绝数据请求；

S7、当判断数据请求满足访问控制策略时，使用存证数据目录进一步判断对应的存证数据是否保存于链上，当判断对应的存证数据保存于链上时，使用链上的存证数据反馈数据请求；

S8、当判断对应的存证数据未保存于链上时，依据数据请求生成数据调取指令，并使用数据调取指令获取对应的存证数据反馈数据请求。

进一步地，所述存证数据目录包括存证数据关键特征和存证数据上链匹配特征值，所述存证数据上链匹配特征值包括存证数据体积；

所述上链设置项包括全量上链、数据索引上链和数据摘要哈希上链。

进一步地，所述依据存证数据目录使用预设的上链设置项将存证数据执行上链操作包括：

判断存证数据上链匹配特征值是否不大于第一预设阈值，当判断存证数据上链匹配特征值不大于第一预设阈值时，使用全量上链的上链设置项执行上链操作；

当判断存证数据上链匹配特征值大于第一预设阈值时，进一步判断存证数据上链匹配特征值是否不大于第二预设阈值，当判断存证数据上链匹配特征值不大于第二预设阈值时，使用数据索引上链的上链设置项执行上链操作；

当判断存证数据上链匹配特征值大于第二预设阈值时，使用数据摘要哈希上链的上链设置项执行上链操作。

进一步地，所述步骤S2还包括：

在所述验证标签中加入访问白名单，所述访问白名单包括不设限制的数据请求对象。

进一步地，所述步骤S6还包括：

判断数据请求是否匹配访问白名单，当判断数据请求匹配访问白名单时，不使用智能合约判断数据请求直接认定数据请求满足访问控制策略；

当判断数据请求不匹配访问白名单时，使用智能合约判断数据请求是否满足访问控制策略。

进一步地，所述方法还包括：

更改访问控制策略对应调整数据请求反馈执行。

本发明还涉及一种基于区块链策略管理的访问控制系统，其特征在于，包括：

访问控制策略管理模块，用于配置和修改访问控制策略；

本地存证数据管理模块，用于依据访问控制策略对源数据增加验证标签，形成存证数据并建立存证数据目录；

区块链管理模块，用于执行存证数据执行上链操作并建立对应存证数据的智能合约；

数据请求判断模块，用于使用智能合约判断数据请求是否满足访问控制策略；

数据请求反馈模块，用于使用链上的存证数据反馈数据请求，或，依据数据请求生成数据调取指令，并使用数据调取指令获取对应的存证数据反馈数据请求。

本发明还涉及一种计算机可读存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述的方法。

本发明还涉及一种电子设备，其特征在于，包括处理器和存储器；

所述存储器，用于存储访问控制策略和存证数据目录；

所述处理器，用于通过调用访问控制策略和存证数据目录，执行上述的方法。

本发明还涉及一种计算机程序产品，包括计算机程序和/或指令，其特征在于，该计算机程序和/或指令被处理器执行时实现上述方法的步骤。

本发明的有益效果为：

采用本发明所述基于区块链策略管理的访问控制方法及系统，将数据所有者的数据基于属性、特征信息进行目录存证，并通过智能合约进行策略管理对用户的访问数据的进行存储并可以设置白名单来控制用户是否可以访问该数据，系统更加灵活、智能，同时通过区块链实现对访问信息的溯源，访问起止时间、访问请求、访问策略、访问授权签名、访问日志等信息存储在区块链中，有效防止了非法授权、拒绝访问请求、开放权限失误等安全问题。另一方面，数据直接从所有者到需求者，无第三方，相对比基于属性加密的访问控制策略，进一步增加数据的安全性，并提高了访问性能，访问过程的永久存证，实现了访问全程可追溯。

附图说明

图1为本发明基于区块链策略管理的访问控制方法流程示意图。

图2为本发明基于区块链策略管理的访问控制系统结构示意图。

具体实施方式

为了更清楚的理解本发明的内容，将结合附图和实施例详细说明。

区块链由于去中心化、透明性、不可篡改等优点，被广泛应用在物联网、云计算、大数据等不同场景，用来实现数据的安全性和隐私性。访问控制是保证数据安全的一种有效手段，传统的访问控制采用中心授权，存在单点失效以及性能瓶颈等问题，同时传统访问控制存在访问过程不透明、不可追踪和溯源等缺点，已有不少方案将区块链技术应用到访问控制中。而访问控制策略的评估通过传统的访问控制系统实现。智能合约是部署在区块链上的计算机程序，当满足必要条件时，以去中心化的方式自动执行某些功能。

本发明第一方面涉及一种步骤流程如图1所示的基于区块链策略管理的访问控制方法，包括：

S1、配置访问控制策略，所述访问控制策略包括数据控制信息和数据访问限制信息。

优选的，为便于后续执行对应判断验证和数据请求执行，可以以智能合约形式存储访问数据的规则，该策略包含数据所有者为数据访问者设置的可以访问哪些数据的权限以及访问方法。

S2、依据访问控制策略对源数据增加验证标签，形成存证数据。

特别是优选的，可以在所述验证标签中加入访问白名单，所述访问白名单包括不设限制的数据请求对象。

类似于访问控制策略，也可以以智能合约形式存储数据，数据包含数据索引、部分完整数据以及摘要hash，并主要用于数据需求者通过平台获取数据所有者的数据。

数据所有者针对数据的属性、密级(密级指对秘密等级进行划分)设置对应的访问控制策略，该策略可以被存储到区块链上，与用户的身份信息、数据目录信息进行绑定(建立用户与数据的对应关系)。所有者可以为数据访问控制策略设置白名单(该名单设置哪些用户可以进行访问，来进行对用户访问的控制，不在名单中的用户无法访问)，只有满足身份要求的需求者才可以进行访问数据，还可以为需求者提供补充其他证明的通道，为需求者增加访问数据的机会。数据的机密性可能会因环境发生变化，数据持有者可以及时更新数据的机密性，与之对应的是数据的访问控制策略也会发生变化，系统允许数据持有者及时更新数据的访问控制策略，以满足访问需求。区块链存储的访问控制策略(即用户访问数据的规则)通过智能合约来描述与控制访问数据的规则，并将该智能合约部署到区块链上。

S3、建立存证数据目录，并依据存证数据目录使用预设的上链设置项将存证数据执行上链操作。所述存证数据目录包括存证数据关键特征和存证数据上链匹配特征值，所述存证数据上链匹配特征值包括存证数据体积。

对应的，上链设置项包括全量上链、数据索引上链和数据摘要哈希上链。具体执行过程中，首先判断存证数据上链匹配特征值是否不大于第一预设阈值，当判断存证数据上链匹配特征值不大于第一预设阈值时，使用全量上链的上链设置项执行上链操作；当判断存证数据上链匹配特征值大于第一预设阈值时，进一步判断存证数据上链匹配特征值是否不大于第二预设阈值，当判断存证数据上链匹配特征值不大于第二预设阈值时，使用数据索引上链的上链设置项执行上链操作；当判断存证数据上链匹配特征值大于第二预设阈值时，使用数据摘要哈希上链的上链设置项执行上链操作。

数据所有者在本地或信任的服务器中存储原始数据，选择数据的关键特征作为数据目录(数据量小时存储全量数据，数据量大时以数据索引或者摘要hash进行存储)将选择好的数据上传至溯源平台中，通过合约接口调用的方式将数据存储到区块链中。

S4、使用验证标签在链上建立对应存证数据的智能合约。

为了加强对数据所有者的身份安全性，目录模块中的摘要哈希与身份信息进行绑定存储，比如，由数据所有者进行绑定(建立用户与数据的对应关系)，区块链数据访问控制溯源平台将绑定信息存于链上，数据需求者依据绑定的值进行查询数据。可以通过用户身份查找到对应的数据目录，或通过数据目录也可以查找到数据所有者。

S5、依据获取的数据请求反馈对应的智能合约。

具体的，数据需求者根据数据目录查找要访问的数据，向系统发送访问请求。系统收到访问请求后，根据请求中的数据特点、属性确定数据所有者，进而查询到区块链上的访问控制策略，通过智能合约自动执行该策略。

一般情况下，策略类型包含两种类型，一种是无条件访问，另一种是有条件限制类。无条件访问数据，即需求者发送请求后，系统将为用户发送访问凭证和数据源，访问凭证是由区块链数据访问控制溯源平台为需求者颁发的访问授权签名，颁发方式为：系统利用加密算法生成访问凭证,访问凭证保存到系统中，用户访问区块链数据访问控制溯源平台通过访问凭证的方式访问，最终区块链数据访问控制溯源平台通过请求智能合约接口返回用户请求的数据。为确保访问过程可追溯，系统将产生访问请求、访问授权的日志和访问凭证存储到区块链上。如果是条件访问，访问控制智能合约首先判定需求者的身份，如果该用户的身份在数据访问的白名单中，则区块链数据访问控制追溯平台为需求者颁发访问授权签名，并自动将数据源推送给需求者。如果需求者不在白名单中，数据持有者需要根据数据的特征属性和密级要求，让需求者提供必要的说明文件和证明文件，说明文件比如访问数据的用途、环境、时间、数据量等，证明文件比如上级部门或其他部门批复的数据访问需求。特别是密级较高的数据，如何取保数据的有效的传递信息是关键，确保安全、可信访问数据。针对密级要求较高有权限要求的访问需求时，在对需求者的身份进行校验后，数据持有者根据需求者的访问请求，为需求者开放访问权限。无论上面提到哪种方式，都需要对访问请求、凭证、证明材料、授权说明等内容进行存证。

S6、使用智能合约判断数据请求是否满足访问控制策略，当判断数据请求不满足访问控制策略时，拒绝数据请求。

当存在访问白名单时，优选的首先判断数据请求是否匹配访问白名单，当判断数据请求匹配访问白名单时，不使用智能合约判断数据请求直接认定数据请求满足访问控制策略；当判断数据请求不匹配访问白名单时，使用智能合约判断数据请求是否满足访问控制策略。

S7、当判断数据请求满足访问控制策略时，使用存证数据目录进一步判断对应的存证数据是否保存于链上，当判断对应的存证数据保存于链上时，使用链上的存证数据反馈数据请求。

验证访问凭证通过后，将数据发送给数据需求者。同时数据需求者的访问起止时间、访问请求、访问策略、访问授权签名、访问日志等信息存储到区块链上。

S8、当判断对应的存证数据未保存于链上时，依据数据请求生成数据调取指令，并使用数据调取指令获取对应的存证数据反馈数据请求。数据需求者通过访问凭证进行获取数据后的访问记录会被记录，后续可以通过访问时间进行排序，对这些访问记录进行依次溯源。

在使用上述方法时，可以通过更改访问控制策略便捷的对应调整数据请求反馈执行。

本发明另一方面还涉及一种基于区块链策略管理的访问控制系统，其结构如图2所示，包括：

访问控制策略管理模块，用于配置和修改访问控制策略；

本地存证数据管理模块，用于依据访问控制策略对源数据增加验证标签，形成存证数据并建立存证数据目录；

区块链管理模块，用于执行存证数据执行上链操作并建立对应存证数据的智能合约；

数据请求判断模块，用于使用智能合约判断数据请求是否满足访问控制策略；

数据请求反馈模块，用于使用链上的存证数据反馈数据请求，或，依据数据请求生成数据调取指令，并使用数据调取指令获取对应的存证数据反馈数据请求。

通过使用该系统，能够执行上述的运算处理方法并实现对应的技术效果。

本发明的实施例还提供能够实现上述实施例中的方法中全部步骤的一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例中的方法的全部步骤。

本发明的实施例还提供一种用于执行上述方法的电子设备，作为该方法的实现装置，所述电子设备至少具备有处理器和存储器，特别是该存储器上存储有执行方法所需的数据和相关的计算机程序，例如访问控制策略和存证数据目录等，并通过由处理器调用存储器中的数据、程序执行实现方法的全部步骤，并获得对应的技术效果。

优选的，该电子设备可以包含有总线架构，总线可以包括任意数量的互联的总线和桥，总线将包括由一个或多个处理器和存储器的各种电路链接在一起。总线还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口在总线和接收器和发送器之间提供接口。接收器和发送器可以是同一个元件，即收发机，提供用于在传输介质上与各种其他系统通信的单元。处理器负责管理总线和通常的处理，而存储器可以被用于存储处理器在执行操作时所使用的数据。

额外的，所述电子设备还可以进一步包括通信模块、输入单元、音频处理器、显示器、电源等部件。其所采用的处理器(或称为控制器、操作控件)可以包括微处理器或其他处理器装置和/或逻辑装置，该处理器接收输入并控制电子设备的各个部件的操作；存储器可以是缓存器、闪存、硬驱、可移动介质、易失性存储器、非易失性存储器或其它合适装置中的一种或更多种，可储存上述有关的数据信息，此外还可存储执行有关信息的程序，并且处理器可执行该存储器存储的该程序，以实现信息存储或处理等；输入单元用于向处理器提供输入，例如可以为按键或触摸输入装置；电源用于向电子设备提供电力；显示器用于进行图像和文字等显示对象的显示，例如可为LCD显示器。通信模块即为经由天线发送和接收信号的发送机/接收机。通信模块(发送机/接收机)耦合到处理器，以提供输入信号和接收输出信号，这可以和常规移动通信终端的情况相同。基于不同的通信技术，在同一电子设备中，可以设置有多个通信模块，如蜂窝网络模块、蓝牙模块和/或无线局域网模块等。通信模块(发送机/接收机)还经由音频处理器耦合到扬声器和麦克风，以经由扬声器提供音频输出，并接收来自麦克风的音频输入，从而实现通常的电信功能。音频处理器可以包括任何合适的缓冲器、解码器、放大器等。另外，音频处理器还耦合到中央处理器，从而使得可以通过麦克风能够在本机上录音，且使得可以通过扬声器来播放本机上存储的声音。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的系统。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令系统的制造品，该指令系统实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

以上所述仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换等都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims (10)

1.一种基于区块链策略管理的访问控制方法，其特征在于，包括：

S1、配置访问控制策略，所述访问控制策略包括数据控制信息和数据访问限制信息；

S2、依据访问控制策略对源数据增加验证标签，形成存证数据；

S3、建立存证数据目录，并依据存证数据目录使用预设的上链设置项将存证数据执行上链操作；

S4、使用验证标签在链上建立对应存证数据的智能合约；

S5、依据获取的数据请求反馈对应的智能合约；

S6、使用智能合约判断数据请求是否满足访问控制策略，当判断数据请求不满足访问控制策略时，拒绝数据请求；

S7、当判断数据请求满足访问控制策略时，使用存证数据目录进一步判断对应的存证数据是否保存于链上，当判断对应的存证数据保存于链上时，使用链上的存证数据反馈数据请求；

S8、当判断对应的存证数据未保存于链上时，依据数据请求生成数据调取指令，并使用数据调取指令获取对应的存证数据反馈数据请求。

2.如权利要求1所述的方法，其特征在于，所述存证数据目录包括存证数据关键特征和存证数据上链匹配特征值，所述存证数据上链匹配特征值包括存证数据体积；

所述上链设置项包括全量上链、数据索引上链和数据摘要哈希上链。

3.如权利要求2所述的方法，其特征在于，所述依据存证数据目录使用预设的上链设置项将存证数据执行上链操作包括：

判断存证数据上链匹配特征值是否不大于第一预设阈值，当判断存证数据上链匹配特征值不大于第一预设阈值时，使用全量上链的上链设置项执行上链操作；

当判断存证数据上链匹配特征值大于第一预设阈值时，进一步判断存证数据上链匹配特征值是否不大于第二预设阈值，当判断存证数据上链匹配特征值不大于第二预设阈值时，使用数据索引上链的上链设置项执行上链操作；

当判断存证数据上链匹配特征值大于第二预设阈值时，使用数据摘要哈希上链的上链设置项执行上链操作。

4.如权利要求1所述的方法，其特征在于，所述步骤S2还包括：

在所述验证标签中加入访问白名单，所述访问白名单包括不设限制的数据请求对象。

5.如权利要求4所述的方法，其特征在于，所述步骤S6还包括：

判断数据请求是否匹配访问白名单，当判断数据请求匹配访问白名单时，不使用智能合约判断数据请求直接认定数据请求满足访问控制策略；

当判断数据请求不匹配访问白名单时，使用智能合约判断数据请求是否满足访问控制策略。

6.如权利要求1所述的方法，其特征在于，所述方法还包括：

更改访问控制策略对应调整数据请求反馈执行。

7.一种基于区块链策略管理的访问控制系统，其特征在于，包括：

访问控制策略管理模块，用于配置和修改访问控制策略；

本地存证数据管理模块，用于依据访问控制策略对源数据增加验证标签，形成存证数据并建立存证数据目录；

区块链管理模块，用于执行存证数据执行上链操作并建立对应存证数据的智能合约；

数据请求判断模块，用于使用智能合约判断数据请求是否满足访问控制策略；

数据请求反馈模块，用于使用链上的存证数据反馈数据请求，或，依据数据请求生成数据调取指令，并使用数据调取指令获取对应的存证数据反馈数据请求。

8.一种计算机可读存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法。

9.一种电子设备，其特征在于，包括处理器和存储器；

所述存储器，用于存储访问控制策略和存证数据目录；

所述处理器，用于通过调用访问控制策略和存证数据目录，执行权利要求1至6中任一项所述的方法。

10.一种计算机程序产品，包括计算机程序和/或指令，其特征在于，该计算机程序和/或指令被处理器执行时实现权利要求1至6中任一项所述方法的步骤。

Images