CN117294465B - 一种基于跨域通信的属性加密系统及方法 - Google Patents

Abstract

本发明属于数据安全技术领域，公开了一种基于跨域通信的属性加密系统及方法，该系统包括跨域协商模块、跨域设置模块、跨域加密模块和跨域取证模块，其中，跨域协商模块主要实现跨域请求认证和跨域属性授权模式协商；跨域设置模块主要包括全局设置和授权设置；跨域加密模块主要实现跨域密钥生成和跨域加解密功能；跨域取证模块主要实现跨域追踪取证，信任划分和策略更新功能。本发明系统用于实现基于跨域通信的属性加密方法，设计了跨域授权模式协商、跨域设置、跨域加解密和跨域取证机制，在大规模动态化的数据跨域访问场景中。本发明提供系统及方法可以灵活地应对各种不同的安全需求，提高数据跨域访问的效率、可拓展性和安全性。

Description

一种基于跨域通信的属性加密系统及方法

技术领域

本发明属于数据安全技术领域，具体涉及一种基于跨域通信的属性加密系统及方法。

背景技术

在云计算、大数据的应用已十分常见，这些场景中通常需要在不同的安全域之间共享数据来实现信息通信与合作。在不同域间进行安全的数据共享需要跨域数据加密技术，因此，跨域数据加密是必要的。首先，跨域数据加密能够保护数据隐私，随着数据共享的需求越来越大，不同机构之间需要共享敏感数据，但是数据又不能被随意泄露。因此，跨域数据加密技术可以实现在数据共享的同时，保护数据的隐私和机密性。其次，该技术避免数据被篡改，在数据传输过程中，数据可能会被篡改，导致数据的准确性和完整性受到破坏。跨域数据加密技术可以确保数据在传输过程中不被篡改，从而保证数据的完整性。再次，跨域数据加密技术可以实现数据权限控制，即只有获得特定权限的用户才能够访问和使用特定数据，这可以保证数据的安全性和机密性。而后，跨域数据加密技术可以实现对加密数据的计算，而不需要将数据解密，这可以避免数据泄露的风险。由此可见，跨域数据加密技术可以帮助不同机构之间共享敏感数据，同时保护数据的隐私和机密性，并实现数据的完整性和权限控制，从而在保证数据安全的同时促进数据共享和合作。

由于数据需要在不同的安全域之间传输和共享，因此传统的数据加密技术不能直接使用。目前的跨域数据加密技术主要通过引入属性加密技术来解决跨域数据共享中的访问控制问题。属性加密技术(attribute-based encryption，简称：ABE)是一种基于属性的访问控制技术，它可以根据用户所拥有的属性来对加密数据进行访问控制。与传统的基于身份的加密技术不同，属性加密不需要事先确定用户的身份，而是通过判断用户是否满足指定的属性来决定是否允许访问加密数据。它允许数据发送者对数据进行加密并指定访问策略，只有满足访问策略中的所有属性的用户才能解密数据。它的特点是密钥生成过程中使用访问策略来生成私钥，可以控制访问策略的复杂度和属性的个数，可以对访问策略加密，使数据接收者无法得知访问策略的内容。这种技术在跨域数据共享中特别有用，因为它可以根据用户的属性控制对数据的访问，而不需要在不同的安全域之间传输用户的身份信息。通过使用属性加密技术，可以根据用户的属性来实现具有细粒度，灵活性和可拓展性的访问控制。目前，尽管对于上述属性加密的方法，在互联网场景下的访问控制机制中被广泛研究，但在跨域交互场景下的研究依然有所欠缺。

现有技术存在如下不足：

跨域数据访问的可拓展性差。传统的属性加密方法无法满足在数据跨域访问场景中有多权限中心的情况，在这种情况下不同的属性权限被多个管理者授权。在跨域数据访问场景中通常有多个授权中心协同管理属性和策略，以保证数据的安全性和可访问性。而传统的属性加密方法只适用于单授权中心模式，无法适应在跨域数据访问场景的多授权中心模式或者混合模式时的数据访问需求，其可拓展性和适用性差。跨域数据访问的可拓展性差会影响到数据的可靠性和安全性，还会增加数据管理和维护的困难。此外，跨域数据访问的场景中，需要考虑不同安全域和边界的安全性和互通性。而传统的属性加密方法无法实现在跨越不同安全域的数据访问过程中的安全性保障和可拓展性。

跨域访问取证困难。传统的属性加密机制在数据跨域访问场景下，由于没有实现追踪溯源功能，会给跨域访问的安全性带来一定的风险。在跨域场景中，用户请求量通常比较大，且用户可能处于不同的安全域，访问策略和管理也相对复杂。如果跨域访问发生了恶意用户篡改或盗取数据的安全问题，这时需要通过追踪用户的密钥滥用行为、定位恶意用户等方式进行取证，并及时采取措施防止类似问题的再次发生。传统的属性加密机制没有实现跨域访问数据的追踪溯源功能，这意味着无法对跨域访问的安全问题进行有效的取证和定位，从而增加了跨域访问的安全风险。因此，为了提高跨域访问的安全性，在设计跨域数据加密方案时，需要考虑如何实现追踪取证功能。

跨域访问效率低。传统的属性加密方法通常没有对用户进行信任划分，这意味着在跨域访问场景中，系统需要进行复杂的协商、认证和密钥分发等操作来确保访问的安全性和正确性。这些过程需要涉及多个授权中心、用户和服务器之间的通信和交互，增加了跨域访问的复杂度和难度，降低了跨域访问的效率。

对于跨域访问场景中的多授权中心、多用户、多属性权限等复杂情况，传统的属性加密方法没有对用户进行信任划分，没有简化对用户的跨域协商，属性认证，密钥分发等操作，难以提供简便高效的解决方案。这增加了系统的开销，导致跨域访问效率低和性能下降。

发明内容

本发明的目的是提出一种新的基于跨域通信的属性加密系统及方法，通过设计跨域授权模式协商、跨域设置、跨域加解密和跨域取证机制，在大规模动态化的数据跨域访问场景中，可以灵活地应对各种不同的安全需求，提高数据跨域访问的效率、可拓展性和安全性。

为了达到上述目的，本发明提供如下的技术方案：

一种基于跨域通信的属性加密系统，其包括：跨域协商模块、跨域设置模块、跨域加密模块和跨域取证模块；

所述跨域协商模块用于实现跨域请求认证和跨域属性授权模式协商；

所述跨域设置模块用于设置全局设置算法和授权算法；

所述跨域加密模块包括跨域密钥生成组件和跨域加解密组件，用于实现跨域密钥生成和跨域加解密功能；

所述跨域取证模块用于实现跨域追踪取证，信任划分和策略更新功能。

进一步地，所述跨域请求认证包括数据用户对数据拥有所在域发送跨域请求信息。

进一步地，所述跨域属性授权模式协商具体包括：数据拥有所在域对跨域请求进行认证，并返回数据拥有所在域的属性权限中心的模式；所述跨域属性授权模式协商包括数据拥有者依据接收到的属性权限管理信息，向数据拥有者所在域的多权限中心发送认证请求，多权限中心将认证跨域用户及用户属性并返回信息。

进一步地，所述全局设置算法具体包括：输入一个安全参数，输出一个全局公共参数，并将所述全局公共参数分配给所有的参与实体，即所述所有的参与实体的加解密相关计算与所述公共参数相关；

所述授权算法具体包括：可信第三方设置算法和属性权限中心设置算法；

所述可信第三方设置算法由第三方运行带有签名的密钥生成算法，并生成与公共参数和相应的主密钥，其中所述公共参数只提供给属性权限中心使用；

所述属性权限中心算法由每个属性权限中心管理它的属性集合和全局参数作为输入，获取属性权限中心的公钥和属性权限中心的主密钥,每个属性权限中心还拥有一个二叉树，在所述二叉树中，每个节点都与一个不同的加密密钥相关联，每个叶节点都由一个用户标记。

进一步地，所述跨域密钥生成组件包括属性密钥生成算法和可信密钥生成算法，通过运行所述可信密钥生成算法，可信第三方会向数据用户发出与身份相关的密钥，然后，每个属性权限中心AA运行属性密钥生成算法，给数据用户发出属性相关的密钥；

可信第三方主要验证属性权限中心和数据用户，并为每个属性权限中心和数据用户发放相应id，通过用户id将具有相同权限id的属性密钥连接成属性密钥串，实现基于多权限中心的属性加解密；

所述可信密钥生成算法输入数据用户的用户id，生成解密密钥，与用户的用户id相关的私钥和公钥，私钥用于解密，公钥用于属性权限中心生成与属性相关的密钥；

所述属性密钥生成算法通过输入与用户相关联的属性、公共参数、主密钥和属性权限中心生成的公钥和密钥，经过属性权限中心的运算，如果属性权限中心的公钥无效则输出⊥，如果有效，则生成对应于属性集的数据用户的私钥，向用户发送属性信息，并将该用户与所述属性权限中心的属性二叉树关联起来。

进一步地，所述跨域加解密组件由跨域属性加密和跨域解密两个算法组成；

所述跨域加密算法获取消息M，访问策略，公共参数和属性权限中心的公钥集，生成密文CT，其中访问策略是由数据拥有者制定的一个LSSS矩阵，将每行与属性关联起来；

所述跨域解密算法对所述密文CT通过用属性解密密钥和可信密钥解密进行解密操作，并且如果属性集合满足嵌入在密文CT中的访问策略，则成功获取消息M，否则，输出⊥。

进一步地，所述跨域追踪取证具体包括：对用户使用密钥进行完整性检查，监控和记录跨域用户密钥使用情况，对恶意用户进行取证，上报至数据拥有域管理员，管理员撤销对恶意用户的属性认证和属性权限，发送信息至跨域中心，在跨域中心中将获得该用户及源域的信息，跨域中心撤销对恶意用户的所有跨域认证信息，并将信息发送至数据用户源域管理员，用于发现和定位恶意用户，并及时取消恶意用户认证信息及权限，防止类似安全问题的再次发生。

进一步地，所述跨域追踪取证还包括：

所述信任划分，具体包括：用户信用划分通过由跨域访问系统根据用户在系统中的历史行为生成，包括对系统数据资源的访问频率、对数据的访问情况、对访问规则的遵守情况、解密数据的时长，将用户的信任度量化并分级，从而方便跨域访问系统对用户进行信任划分和管理；

进一步地，所述跨域追踪取证还包括：

所述策略更新功能，具体包括：数据所有者可以更改密文访问策略，所述访问策略更新包括该算法中数据拥有者输入全局参数GP、一组公钥和消息M，旧的访问策略和新的访问策略，获取策略更新密钥，并将其发送至云服务商。

一种基于跨域通信的属性加密方法，其包括如下步骤：

S201：首先进行跨域请求认证和跨域属性授权模式协商，然后依据协商结果进行跨域访问初始化设置；

S202：用户判断数据拥有者所在域的属性授权模式；

S203：如果数据拥有者域是多属性权限中心模式，则加载跨域属性加密模块的跨域属性密钥生成组件，调用可信密钥生成算法和属性密钥生成算法，来获取用户的可信密钥和属性密钥串，两个密钥同时组成跨域数据的解密密钥，如果数据拥有者域是单授权模式，则只调用属性密钥生成算法生成解密密钥；

S204：数据拥有者通过属性信息制定访问策略，对数据进行加密操作，并将密文存储至云服务提供商；

S205：数据用户依据认证的自身的属性信息，从属性权限中心和可信第三方获得的解密密钥对CSP的数据资源进行解密，如果用户的属性集合满足嵌入在密文中的访问策略，则成功获取明文消息，否则，输出⊥，并将信息存储至访问记录；

S206：通过跨域取证方法，对用户使用的密钥进行完整性检查，依据使用的密钥定位到用户id，完成对用户的取证，如果不通过完整性算法检测则将信息记录，并发送信息至授权中心，及时取消恶意用户认证的信息及权限；

S207：记录用户的访问情况及解密情况，对用户进行信任划分，维护信任名单，如果是信任度高的用户再次访问资源时简化属性认证和属性授权的步骤，如果用户信任度低于阈值，则发送用户相关信息至跨域中心和属性授权中心；

S208：数据拥有者可以自发或依据授权中心的信息，更新访问控制策略，来防止数据被恶意用户窃取。

本发明的有益技术效果至少在于以下几点：

1)实现基于跨域通信的属性加密，提高跨域通信的可拓展性

本发明对不同安全域的数据针对不同属性进行加密保护，满足跨域通信更加灵活、安全，且适用于多种不同的场景的需求。通过本发明的数据保护方法，对数据传输过程中的敏感信息得到了有效的保护，防止了未授权的访问、窃取或篡改等恶意行为的发生。本发明方法不仅可以提高数据传输的安全性，也可以为数据的跨域访问提供更多的可靠性和灵活性。同时，本发明也具有较高的可扩展性，可以快速适应新的安全需求和应用场景。

2)解决跨域访问取证困难问题，提高跨域数据通信的安全性

本发明设计了一个高效的跨域取证机制，可以及时发现和记录跨域访问的安全事件，并提供详细的取证数据，以便追溯和防范类似事件的再次发生。解决了跨域访问取证困难的问题，以提高跨域数据通信的安全性。同时，它还提供了高强度的跨域属性加密机制，确保跨域通信的数据隐私和完整性，并针对多授权中心场景生成属性密钥串和第三方认证，从而进一步提高跨域数据通信的安全性。

3)实现对用户的信任划分和策略更新功能，提高跨域数据通信的效率

本发明实现了对用户的信任划分和策略更新功能，将用户划分为不同信任级别，并动态更新策略以适应不断变化的跨域数据通信场景。这样的设计不仅提高了跨域数据通信的效率，同时还可以减轻用户认证和授权的负担，降低用户认证和授权的时间和成本。此外，该功能还可以减少对非可信用户的访问，从而提高跨域数据通信的安全性。

附图说明

利用附图对本发明作进一步说明，但附图中的实施例不构成对本发明的任何限制，对于本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据以下附图获得其它的附图。

图1为本发明实施例基于跨域通信的属性加密系统的模块组成结构示意图。

图2为本发明实施例基于跨域通信的属性加密方法流程示意图。

图3为本发明实施例基于跨域通信的属性加密部署示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能理解为对本发明的限制。

实施例一：

本发明实施例提供的基于跨域通信的属性加密系统，如图1所示，其包括：跨域协商模块、跨域设置模块、跨域加密模块和跨域取证模块；

其中，1)跨域协商模块主要实现跨域请求认证和跨域属性授权模式协商；2)跨域设置模块主要包括全局设置和授权设置；3)跨域加密模块主要实现跨域密钥生成和跨域加解密功能；4)跨域取证模块主要实现跨域追踪取证，信任划分和策略更新功能。

具体地，1)跨域协商模块：

1.1)跨域请求认证：数据用户对数据拥有域发送跨域请求信息，数据拥有域对跨域请求进行认证，并返回数据拥有域的属性权限中心的模式。

1.2)跨域属性授权模式协商：数据拥有者依据接收到的属性权限管理信息，向数据拥有者域的多权限中心发送认证请求。多权限中心将认证跨域用户及用户属性并返回信息。

2)跨域设置模块：

2.1)全局设置算法：输入一个安全参数，输出一个全局公共参数(GP)作为输出，并将公共参数(GP)分配给所有的参与实体，即所有实体的加解密相关计算与公共参数相关。

2.2)授权设置算法：由可信第三方设置算法和属性权限中心设置算法组成，可信第三方设置算法由第三方(TP)运行带有签名的密钥生成算法，并生成与公共参数(SPK)和相应的主密钥(SMK)，其中公共参数(SPK)只提供给属性权限中心(AAs)使用；属性权限中心算法由每个AAs管理它的属性集合和全局参数(GP)作为输入，获取AAs的公钥和AAs的主密钥,此外，每个AAs还拥有一个二叉树(TREEf)。在TREEf中，每个节点都与一个不同的加密密钥相关联，每个叶节点都由一个用户(uid)标记。

3)跨域属性加密模块：

3.1)跨域密钥生成组件：包括属性密钥生成算法和可信密钥生成算法，通过运行可信密钥生成算法，可信第三方(TP)会向数据用户发出与身份相关的密钥，然后，每个属性权限中心AA运行属性密钥生成算法，给数据用户发出属性相关的密钥。第三方主要验证属性权限中心(AAs)和数据用户，并为每个AAs和数据用户发放相应id，通过用户id(uid)将具有相同权限id(aid)的属性密钥连接成属性密钥串，实现基于多权限中心的属性加解密。

可信密钥生成算法输入数据用户的uid，生成解密密钥，与用户uid相关的私钥和公钥，私钥(CSK)用于解密，公钥用于AAs生成与属性相关的密钥。

属性密钥生成算法通过输入与用户相关联的属性，公共参数，主密钥和属性权限中心生成的公钥和密钥，经过AAs的运算，如果属性权限中心的公钥无效则输出⊥，如果有效，则生成对应于属性集的数据用户的私钥(ASK)，向用户发送属性信息，并将该用户与AAs的属性二叉树(TREEf)关联起来，该算法主要功能是生成密钥组件。

3.2)跨域加解密组件：该组件由跨域属性加密和解密两个算法组成。跨域加密算法获取消息M，访问策略，公共参数和AAs的公钥集，来生成密文CT。其中访问策略是由数据拥有者制定的一个LSSS矩阵，将每行与属性关联起来。跨域解密算法对密文CT通过用属性解密密钥(ASK)和可信密钥解密(CSK)进行解密操作，并且如果属性集合满足嵌入在密文CT中的访问策略，则成功获取明文消息M，否则，输出⊥。

4)跨域取证模块：

4.1)跨域追踪取证：对用户使用密钥进行完整性检查，监控和记录跨域用户密钥使用情况，对恶意用户进行取证，上报至数据拥有域管理员，管理员撤销对恶意用户的属性认证和属性权限，发送信息至跨域中心，在跨域中心中将获得该用户及源域的信息，跨域中心撤销对恶意用户的所有跨域认证信息，并将信息发送至数据用户源域管理员，以发现和定位恶意用户，并及时取消恶意用户认证信息及权限，防止类似安全问题的再次发生。

4.2)用户信用划分：用户信用划分通过由跨域访问系统根据用户在系统中的历史行为生成，包括对系统数据资源的访问频率、对数据的访问情况、对访问规则的遵守情况、解密数据的时长等等。将用户的信任度量化并分级，从而方便跨域访问系统对用户进行信任划分和管理。

4.3)访问策略更新：数据所有者可以更改密文访问策略，策略更新包括该算法中数据拥有者输入全局参数GP、一组公钥和加密信息(M)，旧的访问策略和新的访问策略，获取策略更新密钥，并将其发送至云服务商(CSP)。该算法由CSP执行，它采用密文(CT)，更新密钥作为输入，并生成更新的密文(CT*)。

实施例二：

本发明实施例提供基于跨域通信的属性加密系统方法，其基于实施例提供的系统，流程如图2所示，具体步骤如下：

S201：首先进行跨域请求认证和跨域属性授权模式协商，然后依据协商结果进行跨域访问初始化设置。

S202：用户判断数据拥有者所在域的属性授权模式。

S203：如果数据拥有者域是多属性权限中心模式，则加载跨域属性加密模块的跨域属性密钥生成组件，调用可信密钥生成算法和属性密钥生成算法，来获取用户的可信密钥和属性密钥串，两个密钥同时组成跨域数据的解密密钥。如果数据拥有者域是单授权模式，则只调用属性密钥生成算法生成解密密钥。

S204：数据拥有者通过属性信息制定访问策略，对数据进行加密操作，并将密文(CT)存储至云服务提供商(CSP)。

S205：数据用户依据认证的自身的属性信息，从属性权限中心(AAs)和可信第三方(TP)获得的解密密钥对CSP的数据资源进行解密。如果用户的属性集合满足嵌入在密文(CT)中的访问策略，则成功获取明文消息(M)，否则，输出⊥，并将信息存储至访问记录。

S206：通过跨域取证方法，对用户使用的密钥进行完整性检查，依据使用的密钥定位到用户id(uid)，完成对用户的取证。如果不通过完整性算法检测则将信息记录，并发送信息至授权中心，及时取消恶意用户认证的信息及权限。

S207：记录用户的访问情况及解密情况，对用户进行信任划分，维护信任名单。如果是信任度高的用户再次访问资源时简化属性认证和属性授权的步骤，如果用户信任度低于阈值，则发送用户相关信息至跨域中心和属性授权中心。

S208：数据拥有者可以自发或依据授权中心的信息，更新访问控制策略，来防止数据被恶意用户窃取。

实施例三：

如图3所示，提供基于跨域通信的属性加密系统部署及运行方法的具体实施例，其是一个多授权中心的的跨域通信场景，数据消费者DC访问数据拥有者DO在云上存储的数据信息，其中数据拥有者和数据消费者在不同的安全管理域中，该跨域通信模型可以运用到云计算、物联网、金融行业和工业互联网等场景下，跨域通信的具体部署和运行流程如下：

首先，数据消费者(DC)与数据拥有域发送跨域请求协商授权模式，然后，初始化设置算法包括全局设置和授权设置，全局设置算法是以一个安全参数α作为输入，以全局公共参数(GP)作为输出，并将公共参数(GP)分配给所有的参与实体，即所有实体的加解密相关计算与公共参数相关。授权设置算法输入程序标识符和公共参数，每个属性权限中心生成相应的公钥(PK)和私钥(CSK)。其次，属性密钥生成算法通过输入公共参数、主密钥和属性权限中心生成的公钥和密钥，来生成对应于属性集的数据使用者的私钥(ASK)，该算法主要功能是生成密钥组件。然后，加密算法中针对访问策略加密消息生成一个密文(CT),解密算法主要通过属性私钥(ASK)、中心私钥(CSK)和公共参数(GP)，生成满足访问策略的解密消息，如果不满足访问策略则无法解密。其中加密算法由数据所有者(DO)执行，并将密文上传到云服务提供商(CSP)。数据消费者(DC)运行解密算法来访问存储在CSP中的数据。再次，密钥完整性算法输入公共参数和密钥，输出为1或空，如果通过完整性检查算法输出1。否则输出空。该算法保证一个密钥在解密过程中的完整性，检查密钥是否能够解密。然后，策略更新算法输入公共参数(GP)、PK、加密信息和新旧两个访问控制策略，生成更新密钥，并通过CSP将密文CT和更新密钥作为输入，输出更新后的密文。该算法通过DO调用策略更新算法更改密文的访问控制策略。再次，取证算法通过获取相关数据消费者(DC)的解密密钥、公密钥和GP,来输出可疑用户信息(DID)。该算法结合密钥完整性算法来检测可能暴露解密密钥的恶意用户，如果密钥通过完整性检测则系统可以从密钥中提取身份标识。最后，对DC相关的访问进行记录，并对通过访问信息对DC进行信任等级的划分，如果DC是可信任用户，则DC的后续访问可以简化跨域认证和属性认证等的过程。如果DC是不可信用户则通知多属性权限中心、跨域中心及可信第三方撤销对DC的认证结果和属性权限。

综上所述，本发明上述实施例基于设计的跨域授权模式协商、跨域设置、跨域加解密和跨域取证机制，实现了基于跨域通信的属性加密方法，在大规模动态化的数据跨域访问场景中，本发明的方法可以灵活地应对各种不同的安全需求，提高数据跨域访问的效率、可拓展性和安全性。本发明技术关键突破点如下：

1)本发明设计的跨域授权模式协商机制，该机制基于多授权中心，对跨域授权模式进行协商，确定跨域访问的授权方式，提高了跨域访问的可拓展性。该机制还可以自适应地调整授权模式，以适应不同的跨域场景，保证跨域访问的安全性和高效性。

2)本发明设计的跨域属性加密机制，包括跨域设置模块、跨域密钥生成模块、跨域加解密模块，保障在不同域间数据通信的安全性。跨域密钥生成模块可以根据不同的加密需求和授权中心生成相应的密钥串，以保护跨域通信的机密性和完整性。跨域加解密模块提供了可靠的加密和解密算法，可以在跨域通信过程中对数据进行加密和解密，确保数据的安全性。本发明的跨域属性加密机制还实现了第三方认证，这使得跨域通信更加安全可靠。

3)本发明设计的跨域取证机制，取证定位恶意用户，并记录跨域用户的访问信息。本发明还设计了信任划分方法，维护跨域用户的信任名单，以此来简化跨域用户认证、用户属性认证的过程，提高跨域通信的效率。本发明还设计了更改访问控制策略的方法，数据拥有者管理数据并及时修改策略以防恶意窃取数据。

本发明的系统与方法相互配合，用于共同实现基于跨域通信的属性加密，通过跨域授权模式协商、跨域设置、跨域加解密和跨域取证机制，在大规模动态化的数据跨域访问场景中，可以灵活地应对各种不同的安全需求，提高数据跨域访问的效率、可拓展性和安全性。

尽管已经示出和描述了本发明的实施例，本领域技术人员可以理解：在不脱离本发明的原理和宗旨的情况下可以对这些实施例进行多种变化、修改、替换和变形，本发明的范围由权利要求及其等同物限定。

Claims (8)

1.一种基于跨域通信的属性加密系统，其特征在于，其包括：

跨域协商模块、跨域设置模块、跨域加密模块和跨域取证模块；

所述跨域协商模块用于实现跨域请求认证和跨域属性授权模式协商；所述跨域请求认证包括数据用户对数据拥有所在域发送跨域请求信息；所述跨域属性授权模式协商具体包括：数据拥有所在域对跨域请求进行认证，并返回数据拥有所在域的属性权限中心的模式；所述跨域属性授权模式协商包括数据拥有者依据接收到的属性权限管理信息，向数据拥有者所在域的多权限中心发送认证请求，多权限中心将认证跨域用户及用户属性并返回信息；

所述跨域设置模块用于设置全局设置算法和授权算法；

所述跨域加密模块包括跨域密钥生成组件和跨域加解密组件，用于实现跨域密钥生成和跨域加解密功能；

所述跨域取证模块用于实现跨域追踪取证，信任划分和策略更新功能。

2.根据权利要求1所述的基于跨域通信的属性加密系统，其特征在于，所述全局设置算法具体包括：输入一个安全参数，输出一个全局公共参数，并将所述全局公共参数分配给所有的参与实体，即所述所有的参与实体的加解密相关计算与所述公共参数相关；所述授权算法具体包括：可信第三方设置算法和属性权限中心设置算法；所述可信第三方设置算法由第三方运行带有签名的密钥生成算法，并生成与公共参数和相应的主密钥，其中所述公共参数只提供给属性权限中心使用；所述属性权限中心设置算法由每个属性权限中心管理它的属性集合和全局参数作为输入，获取属性权限中心的公钥和属性权限中心的主密钥,每个属性权限中心还拥有一个二叉树，在所述二叉树中，每个节点都与一个不同的加密密钥相关联，每个叶节点都由一个用户标记。

3.根据权利要求2所述的基于跨域通信的属性加密系统，其特征在于，所述跨域密钥生成组件包括属性密钥生成算法和可信密钥生成算法，通过运行所述可信密钥生成算法，可信第三方会向数据用户发出与身份相关的密钥，然后，每个属性权限中心AA运行属性密钥生成算法，给数据用户发出属性相关的密钥；可信第三方主要验证属性权限中心和数据用户，并为每个属性权限中心和数据用户发放相应id，通过用户id将具有相同权限id的属性密钥连接成属性密钥串，实现基于多权限中心的属性加解密；所述可信密钥生成算法输入数据用户的用户id，生成解密密钥，与用户的用户id相关的私钥和公钥，私钥用于解密，公钥用于属性权限中心生成与属性相关的密钥；所述属性密钥生成算法通过输入与用户相关联的属性、公共参数、主密钥和属性权限中心生成的公钥和密钥，经过属性权限中心的运算，如果属性权限中心的公钥无效则输出⊥，如果有效，则生成对应于属性集的数据用户的私钥，向用户发送属性信息，并将该用户与所述属性权限中心的属性二叉树关联起来。

4.根据权利要求2所述的基于跨域通信的属性加密系统，其特征在于，所述跨域加解密组件由跨域属性加密和跨域解密两个算法组成；所述跨域属性加密算法获取消息M，访问策略，公共参数和属性权限中心的公钥集，生成密文CT，其中访问策略是由数据拥有者制定的一个LSSS矩阵，将每行与属性关联起来；所述跨域解密算法对所述密文CT通过用属性解密密钥和可信密钥解密进行解密操作，并且如果属性集合满足嵌入在密文CT中的访问策略，则成功获取消息M，否则，输出无效符号。

5.根据权利要求4所述的基于跨域通信的属性加密系统，其特征在于，所述跨域追踪取证具体包括：对用户使用密钥进行完整性检查，监控和记录跨域用户密钥使用情况，对恶意用户进行取证，上报至数据拥有域管理员，管理员撤销对恶意用户的属性认证和属性权限，发送信息至跨域中心，在跨域中心中将获得该用户及源域的信息，跨域中心撤销对恶意用户的所有跨域认证信息，并将信息发送至数据用户源域管理员，用于发现和定位恶意用户，并及时取消恶意用户认证信息及权限，防止类似安全问题的再次发生。

6.根据权利要求5所述的基于跨域通信的属性加密系统，其特征在于，所述跨域追踪取证还包括：所述信任划分，具体包括：用户信用划分通过由跨域访问系统根据用户在系统中的历史行为生成，包括对系统数据资源的访问频率、对数据的访问情况、对访问规则的遵守情况、解密数据的时长，将用户的信任度量化并分级，从而方便跨域访问系统对用户进行信任划分和管理。

7.根据权利要求5所述的基于跨域通信的属性加密系统，其特征在于，所述跨域追踪取证还包括：所述策略更新功能，具体包括：数据所有者可以更改密文访问策略，所述访问策略更新包括数据拥有者输入全局参数GP、一组公钥和消息M，旧的访问策略和新的访问策略，获取策略更新密钥，并将其发送至云服务商。

8.一种基于跨域通信的属性加密方法，其特征在于，其包括如下步骤：

S201：首先进行跨域请求认证和跨域属性授权模式协商，然后依据协商结果进行跨域访问初始化设置；

S202：用户判断数据拥有者所在域的属性授权模式；

S203：如果数据拥有者域是多属性权限中心模式，则加载跨域属性加密模块的跨域属性密钥生成组件，调用可信密钥生成算法和属性密钥生成算法，来获取用户的可信密钥和属性密钥串，两个密钥同时组成跨域数据的解密密钥，如果数据拥有者域是单授权模式，则只调用属性密钥生成算法生成解密密钥；

S204：数据拥有者通过属性信息制定访问策略，对数据进行加密操作，并将密文存储至云服务提供商；

S205：数据用户依据认证的自身的属性信息，从属性权限中心和可信第三方获得的解密密钥对CSP的数据资源进行解密，如果用户的属性集合满足嵌入在密文中的访问策略，则成功获取明文消息，否则，输出无效符号，并将信息存储至访问记录；

S206：通过跨域取证方法，对用户使用的密钥进行完整性检查，依据使用的密钥定位到用户id，完成对用户的取证，如果不通过完整性算法检测则将信息记录，并发送信息至授权中心，及时取消恶意用户认证的信息及权限；

S207：记录用户的访问情况及解密情况，对用户进行信任划分，维护信任名单，如果是信任度高的用户再次访问资源时简化属性认证和属性授权的步骤，如果用户信任度低于阈值，则发送用户相关信息至跨域中心和属性授权中心；

S208：数据拥有者可以自发或依据授权中心的信息，更新访问控制策略，来防止数据被恶意用户窃取。