CN115550010B - 一种基于区块链的关键环境访问控制方法 - Google Patents

Abstract

本发明公开了一种基于区块链的关键环境访问控制方法，通过将区块链和智能合约技术应用于数据要素交易等关键环境时实施的访问控制方法，解决了数据要素市场访问控制要求的多功能性的需求，同时对于数据要素市场建设方面存在的数据产权存在界定困难、个人隐私保护与数据开放的矛盾、数据流通共享存在障碍也有极大的改善，可以促进数据要素平台的建设并获得成本效益。

Description

一种基于区块链的关键环境访问控制方法

技术领域

本发明涉及区块链技术领域，尤其涉及一种基于区块链的关键环境访问控制方法。

背景技术

近年来，数据已经成为新型生产要素或战略资源，数据要素治理更是一个复杂的治理体系。当前，数据要素市场已进入快速发展阶段，在数据要素市场化的有序、合规发展大体系下，数据交易市场再次活跃起来，一大批数据要素市场正在计划搭建，但在数据确权、隐私保护、流通交易等方面仍存在诸多问题。

在数据要素市场需要明确数据确权和隐私保护的关键环境中，不仅要求管理信息的存储、分发和可用性，而且还需要对访问数据实施严格的保护措施。而常规的访问控制的解决方案是基于IAM(Identity and Access Management，即身份识别与访问管理)的安全控制机制，具有单点登录、身份认证管理、基于策略的集中式授权和审计、动态授权、企业可管理性等功能。基于IAM的解决方案在各种企业数字化系统中运行良好，但它不太适合数据要素市场的一些关键环境的应用场景。通常情况下，强身份验证是实现成功授权过程的先决条件，然而在数据要素交易等多功能生态系统中，许多数据确权的参与者在授权过程之前往往是完全未知的。

目前，基于属性的访问控制作为一种访问控制方法逐步开始盛行。与其他方法相比，基于属性的访问控制的关键区别在于属性的使用。一个属性表示为一个标签值元组，它可以用来表征主体、客体和环境。因此，策略和决策基于给定时间的属性值(而不仅仅是身份)。因此，基于属性的访问控制可以支持上下文感知策略。尽管如此，对于独立系统，属性定义似乎不是问题，并且在多域联邦的情况下，它可能会以双重方式混淆。首先，属性的标签可能在每个数据供应单元或域中定义不同；其次，可能的值可能在不同的尺度上表示。因此，需要对属性进行标准化定义。

另外，最近几年业界一些人尝试将零知识证明(Zero Knowledge Proof，简称ZKP)技术结合区块链技术，用于用户的身份认证和访问控制等业务领域。从技术上来看，这无疑具备一定的技术先进性。然而，ZKP技术属于间接证明技术，当前的ZKP技术还不够完善，一方面是ZKP技术无论是从理论上还是实践上，都无法做到100％身份认证保证，即使出错的概率非常低，也不能保证其声明100％有效；另一方面，ZKP技术实现身份认证需要大量的计算，对算力要求很高，这无疑增加了交互的延迟和实现的成本。所以在实践上，ZKP技术更多地应用于不暴露自身信息的信息交换场景。

数据要素市场访问控制要求的多功能性，比如用户在做数据分析时需要能够随时访问系统，在访问政府开放数据时甚至无需事先注册。此外，同一个用户可能会根据他(她)所处的环境承担完全不同的角色。因此，传统的访问控制方法无法满足这些要求。因此，使用单个唯一身份将每个潜在的利益相关者注册到中央身份管理服务也是不可行的，这可能会导致单点故障问题或在横向扩展方面面临较大的挑战。

在过去的几十年中，业界已经提出了多种访问控制的解决方案，其中得到广泛使用的方案包括强制访问控制、自主访问控制和基于角色的访问控制；但是这些方法不太适应数据要素市场的一些关键环境的应用场景的访问控制要求；数据要素市场由大量异构设备组成，并且在多功能环境中运行，其访问控制决策需要考虑上下文信息与访问控制实体所在或运行的主体、客体和环境有关。

发明内容

本发明的目的就在于为了解决上述问题而提供一种基于区块链的关键环境访问控制方法，满足数据要素市场访问控制要求的多功能性的需求，同时对于数据要素市场建设方面存在的数据产权存在界定困难、个人隐私保护与数据开放的矛盾、数据流通共享存在障碍等问题也有极大的改善。

本发明通过以下技术方案来实现上述目的：

一种基于区块链的关键环境访问控制方法，包括以下步骤：

步骤101：用户向要素平台发起对资源的访问请求；

步骤102：要素平台根据请求的资源，检索资源拥有者的属性；

步骤103：检查相关智能合约是否有效；

若相关智能合约无效，则拒绝访问；若相关智能合约有效，则转入步骤104；

步骤104：取回策略智能合约的元数据，检查权利与责任；

步骤105：检查是否需要上下文数据；

若需要，则进行下一步；若不需要，则跳转到步骤7；

步骤106：从数据湖的数据管道取回上下文数据；

步骤107：对策略智能合约进行计算；

步骤108：要素平台检查是否禁止访问；

若是，则拒绝访问；若不是，则进入下一步；

步骤109：开始访问会话，获取数据；

用户建立访问会话，获取其请求的数据。

进一步方案为，所述步骤101中，所述的要素平台是采用了区块链技术和智能合约技术构建的去中心化平台；

所述的用户是指数据需求方，为购买数据或使用数据的一方。

进一步方案为，所述步骤102中，数据要素平台根据上一步用户发起的请求信息，得到用户所需的资源相关信息；然后在智能合约通道中发起信息检索请求，检索资源拥有者的属性；

其中，资源拥有者的属性包括一个框架和一组边界条件，客体、主体、操作和规则用于在这些边界条件上组合起来生成和执行访问控制决策；

或使用访问控制列表等机制来提取那些允许访问客体的身份标识，若主体提供的身份凭证与ACL中保存的身份凭证匹配，则会授予该主体访问该客体的权限。

进一步方案为，所述步骤103中，所述的相关智能合约包括资源持有者智能合约、策略智能合约、决策引擎智能合约；

当需要评估决策时，决策引擎智能合约由通道中的策略管理节点执行，作为去中心化实现的策略决策节点，以可验证的凭据的形式接收包括请求的资源、操作和所有用户属性的事务。

进一步方案为，所述步骤104中，所述的策略智能合约的元数据包含以下内容：由可以作为元组向下钻取的关系形成的策略类，定义操作条件的义务；

所述的权利与责任包括允许访问项、访问条件、禁止条件、数据脱敏条件、数据脱敏措施。

进一步方案为，所述步骤105中，根据上一步取回策略智能合约的元数据，判断是否需要访问控制实体相关的对象和环境的上下文信息。

进一步方案为，所述步骤106中，所述的数据湖是数据要素平台的存储后端；

所述的数据湖是指用于以原生格式存储大量原始、细粒度数据的中央存储库。

进一步方案为，所述的数据湖为数据交易市场提供了集中式存储功能，而且通过数据管道对接多个数据提供方；

所述的数据管道分为两类：一类用于对接外部第三方数据提供方使用；另一类用于数据要素平台内部智能合约通道中的各个节点使用。

进一步方案为，所述步骤107中，对策略智能合约进行计算，评估用户的请求，以决定是否有足够的权利访问资源。

进一步方案为，所述步骤108中，数据要素平台检查运营的设置，查看是否针对特定用户访问特定数据集设置了禁止策略，以决定是允许访问还是禁止访问；

所述的运营的设置，是数据要素平台的运营人员根据实际的运营情况以及上级指示做出的限制设置。

本发明的有益效果在于：

本发明的一种基于区块链的关键环境访问控制方法，解决了数据要素市场访问控制要求的多功能性的需求，同时对于数据要素市场建设方面存在的数据产权存在界定困难、个人隐私保护与数据开放的矛盾、数据流通共享存在障碍也有极大的改善，可以促进数据要素平台的建设并获得成本效益。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要实用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将对本发明的技术方案进行详细的描述。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施方式，都属于本发明所保护的范围。

在任一实施例中，如图1所示，本发明的一种基于区块链的关键环境访问控制方法，包括：

步骤101：用户向要素平台发起对资源的访问请求；

所述的要素平台是采用了区块链技术和智能合约技术构建的一个去中心化平台；

所述的用户是指数据需求方，也即购买数据或使用数据的一方。

步骤102：要素平台根据请求的资源，检索资源拥有者的属性；

数据要素平台根据上一步用户发起的请求信息，得到用户所需的资源相关信息，然后在智能合约通道中发起信息检索请求，检索资源拥有者的属性；

其中，资源拥有者的属性包括一个框架和一组边界条件，客体、主体、操作和规则可以在这些边界条件上组合起来生成和执行访问控制决策。

更进一步地，可以使用访问控制列表等机制来提取那些允许访问客体的身份标识。若主体提供的身份凭证与ACL中保存的身份凭证匹配，则会授予该主体访问该客体的权限。

步骤103：检查相关智能合约是否有效；

若相关智能合约无效，则拒绝访问；若相关智能合约有效，则转入步骤104；

所述的相关智能合约包括资源持有者智能合约、策略智能合约、决策引擎智能合约；

所述的资源持有者智能合约(ROSC，Resource Owner Smart Contract)，ROSC智能合约是为所选用户资源内容存储属性值以及提供资源有效负载的唯一位置的方法。ROSC智能合约被认为是定义资源的存在和有效性的协议，为了预防隐私问题，本智能合约中并不从未存储有关资源内容的元数据信息。

所述的策略智能合约(PSC，Policy Smart Contract)，PSC智能合约由数据所有权人自己在第一次需要声明访问控制策略时生成，每一个数据所有权人都各有一个PSC智能合约。它包含一组策略类，其中包括适当的关系以形成特定类型或资源集的策略，这些资源不是直接引用而是由包含的容器(属性)间接定义。

所述的决策引擎智能合约(DESC，Decision Engine Smart Contract)，当数据所有权人需要添加、编辑或删除任何策略类时，就需要此决策引擎智能合约，其用于通过调用与呈现的数据确权所有者身份相关的PSC智能合约和相对应请求资源的ROSC智能合约来获取属性以此达成访问控制决策。

更进一步地，当需要评估决策时，DESC智能合约由通道中的策略管理节点执行。具体来说，作为去中心化实现的策略决策节点，以可验证的凭据的形式接收包括请求的资源、操作和所有用户属性的事务。为了确定访问决策，策略决策节点需要评估策略类的组合以及获取整个访问请求上下文(所需的资源属性和环境属性)。

步骤104：取回策略智能合约的元数据，检查权利与责任；

所述的策略智能合约的元数据包含以下内容：由可以作为元组向下钻取的关系形成的策略类，定义操作条件的义务，例如环境属性值，需要匹配以允许访问，以及禁止包含特权当某些条件适用且无法以其他方式描述时的例外情况。

所述的权利与责任包括允许访问项、访问条件、禁止条件、数据脱敏条件、数据脱敏措施等内容。

步骤105：检查是否需要上下文数据；

若需要，则进行下一步；若不需要，则跳转到步骤7；

根据上一步取回策略智能合约的元数据，判断是否需要访问控制实体相关的对象和环境的上下文信息。

步骤106：从数据湖的数据管道取回上下文数据；

所述的数据湖是数据要素平台的存储后端。

更进一步地，所述的数据湖是指用于以原生格式存储大量原始、细粒度数据的中央存储库，其是一个包含结构化数据、半结构化数据和非结构化数据的单一存储库，数据湖用于没有固定存储、没有文件类型限制并且强调灵活格式存储以供将来使用的情况。

更进一步地，所述的数据湖为数据交易市场提供了集中式存储功能，而且可以通过数据管道对接多个数据提供方。

所述的数据管道分为两类：一类用于对接外部第三方数据提供方使用；另一类用于数据要素平台内部智能合约通道中的各个节点使用。

步骤107：对策略智能合约进行计算；

根据上述步骤的相关信息，对策略智能合约进行计算，评估用户的请求，以决定是否有足够的权利访问资源。

步骤108：要素平台检查是否禁止访问；

若是，则拒绝访问；若不是，则进入下一步；

数据要素平台检查运营的设置，查看是否针对特定用户访问特定数据集设置了禁止策略，以决定是允许访问还是禁止访问；

所述的运营设置，是数据要素平台的运营人员根据实际的运营情况以及上级指示做出的人为限制的设置。

步骤109：开始访问会话，获取数据；

用户建立访问会话，获取其请求的数据。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。另外需要说明的是，在上述具体实施方式中所描述的各个具体技术特征，在不矛盾的情况下，可以通过任何合适的方式进行组合，为了避免不必要的重复，本发明对各种可能的组合方式不再另行说明。此外，本发明的各种不同的实施方式之间也可以进行任意组合，只要其不违背本发明的思想，其同样应当视为本发明所公开的内容。

Claims (7)

1.一种基于区块链的关键环境访问控制方法，其特征在于，包括以下步骤：

步骤101：用户向要素平台发起对资源的访问请求；

步骤102：要素平台根据请求的资源，检索资源拥有者的属性；所述步骤102中，数据要素平台根据上一步用户发起的请求信息，得到用户所需的资源相关信息；然后在智能合约通道中发起信息检索请求，检索资源拥有者的属性；

其中，资源拥有者的属性包括一个框架和一组边界条件，客体、主体、操作和规则用于在这些边界条件上组合起来生成和执行访问控制决策；

或使用访问控制列表等机制来提取那些允许访问客体的身份标识，若主体提供的身份凭证与ACL中保存的身份凭证匹配，则会授予该主体访问该客体的权限；

步骤103：检查相关智能合约是否有效；

若相关智能合约无效，则拒绝访问；若相关智能合约有效，则转入步骤104；所述步骤103中，所述的相关智能合约包括资源持有者智能合约、策略智能合约、决策引擎智能合约；

当需要评估决策时，决策引擎智能合约由通道中的策略管理节点执行，作为去中心化实现的策略决策节点，以可验证的凭据的形式接收包括请求的资源、操作和所有用户属性的事务；

步骤104：取回策略智能合约的元数据，检查权利与责任；所述步骤104中，所述的策略智能合约的元数据包含以下内容：由可以作为元组向下钻取的关系形成的策略类，定义操作条件的义务；

所述的权利与责任包括允许访问项、访问条件、禁止条件、数据脱敏条件、数据脱敏措施；

步骤105：检查是否需要上下文数据；

若需要，则进行下一步；若不需要，则跳转到步骤7；

步骤106：从数据湖的数据管道取回上下文数据；

步骤107：对策略智能合约进行计算；

步骤108：要素平台检查是否禁止访问；

若是，则拒绝访问；若不是，则进入下一步；

步骤109：开始访问会话，获取数据；

用户建立访问会话，获取其请求的数据。

2.如权利要求1所述的一种基于区块链的关键环境访问控制方法，其特征在于，所述步骤101中，所述的要素平台是采用了区块链技术和智能合约技术构建的去中心化平台；

所述的用户是指数据需求方，为购买数据或使用数据的一方。

3.如权利要求1所述的一种基于区块链的关键环境访问控制方法，其特征在于，所述步骤105中，根据上一步取回策略智能合约的元数据，判断是否需要访问控制实体相关的对象和环境的上下文信息。

4.如权利要求1所述的一种基于区块链的关键环境访问控制方法，其特征在于，所述步骤106中，所述的数据湖是数据要素平台的存储后端；

所述的数据湖是指用于以原生格式存储大量原始、细粒度数据的中央存储库。

5.如权利要求1或4任一项所述的一种基于区块链的关键环境访问控制方法，其特征在于，所述的数据湖为数据交易市场提供了集中式存储功能，而且通过数据管道对接多个数据提供方；

所述的数据管道分为两类：一类用于对接外部第三方数据提供方使用；另一类用于数据要素平台内部智能合约通道中的各个节点使用。

6.如权利要求1所述的一种基于区块链的关键环境访问控制方法，其特征在于，所述步骤107中，对策略智能合约进行计算，评估用户的请求，以决定是否有足够的权利访问资源。

7.如权利要求1所述的一种基于区块链的关键环境访问控制方法，其特征在于，所述步骤108中，数据要素平台检查运营的设置，查看是否针对特定用户访问特定数据集设置了禁止策略，以决定是允许访问还是禁止访问；

所述的运营的设置，是数据要素平台的运营人员根据实际的运营情况以及上级指示做出的限制设置。