CN117749474A - 地址密文的存储方法和装置、存储介质及电子装置 - Google Patents

Abstract

本申请公开了一种地址密文的存储方法和装置、存储介质及电子装置，其中，上述方法包括：根据预设加密算法对数据信息进行加密运算，得到对称密钥；根据所述预设加密算法对所述对称密钥和所述数据信息再次进行加密运算，以生成所述数据信息对应的数据密文，并将所述数据密文传输至文件系统中；以及将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中，其中，所述第一数据请求对象为允许访问所述数据信息的对象；获取所述数据密文在所述文件系统中的存储地址，以根据所述存储地址和所述第一属性公钥确定所述存储地址对应的第一地址密文，并将所述第一地址密文存储至所述双区块链的数据链中。

Description

地址密文的存储方法和装置、存储介质及电子装置

技术领域

本申请涉及通信领域，具体而言，涉及一种地址密文的存储方法和装置、存储介质及电子装置。

背景技术

在现代数字化环境中，不断发生各种类型的数据安全问题和事件，可能导致数据泄露、信息盗窃、隐私侵犯以及其他潜在的威胁和风险。数据安全风险威胁包括互联网、企业、政府、医疗保健等各个领域的安全，对个人、组织和社会都带来了严重的影响。数据安全事件包括数据窃取丢失、数据篡改、数据泄露、数据滥用等等事件。

其中，在电信领域，可能会在以下环节产生数据安全风险：数据收集、数据存储、数据使用、数据加工、数据传输等等环节。其中，在数据存储环节的典型风险主要包括：数据未加密存储、数据库权限配置不足等等；在数据使用、数据加工环节的典型风险主要包括：系统应用越权访问或权限缺失、数据高频访问、数据批量访问等等。运营商作为电信领域的典型企业，更加需要注意数据安全风险。

目前，运营商内部关于用户上网的机盒配置信息，例如：带宽、用户身份定位等敏感信息的数据价值极高，属于重要数据。而运营商内部往往采用集中化的方式管理这些数据信息，存在数据信息权限管理不足、数据信息加密保护不足等的问题，数据信息泄露风险较高。传统的数据信息保护方法主要通过数据脱敏处理将数据信息存储至数据库，再设置白名单，即允许白名单内的人访问数据信息。但是，伴随着非法篡改获取数据信息的手段和渠道越来越多，传统的数据信息保护方法过于简单，通过人力设置访问权限的方法过于中心化，只对数据信息进行简单的脱敏处理无法保证数据信息的隐私性。

因此，现有技术中存在通过集中化管理数据信息并人工设置数据信息的访问权限的方式，导致的数据信息泄露风险较高的问题。

发明内容

本申请实施例提供了一种地址密文的存储方法和装置、存储介质及电子装置，以至少解决相关技术中，通过集中化管理数据信息并人工设置数据信息的访问权限的方式，导致的数据信息泄露风险较高的问题。

根据本申请实施例的一个实施例，提供了一种地址密文的存储方法，包括：根据预设加密算法对数据信息进行加密运算，得到对称密钥；根据所述预设加密算法对所述对称密钥和所述数据信息再次进行加密运算，以生成所述数据信息对应的数据密文，并将所述数据密文传输至文件系统中；以及将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中，其中，所述第一数据请求对象为允许访问所述数据信息的对象；获取所述数据密文在所述文件系统中的存储地址，以根据所述存储地址和所述第一属性公钥确定所述存储地址对应的第一地址密文，并将所述第一地址密文存储至所述双区块链的数据链中。

在一个示例性实施例中，在将所述第一地址密文存储至所述双区块链的数据链中之后，所述方法还包括：在接收到第二数据请求对象对所述数据信息的访问请求的情况下，将所述第二数据请求对象的身份证书与所述属性链中的所述第一属性公钥进行匹配；在匹配结果指示所述身份证书和所述第一属性公钥匹配成功的情况下，为所述第二数据请求者分配用于对所述第一地址密文进行解密的属性私钥；根据所述属性私钥和目标解密算法对所述数据链中的第一地址密文进行解密运算，以获取所述对称密钥和所述存储地址；根据所述存储地址获取所述文件系统中的所述数据密文，并根据所述对称密钥对所述数据密文进行解密，以获取所述数据信息。

在一个示例性实施例中，将所述第二数据请求对象的身份证书与所述属性链中的所述第一属性公钥进行匹配，包括：确定所述第二数据请求对象的多个属性，以根据所述第二数据请求对象的多个属性生成所述第二数据请求对象对应的第二属性集；在所述第一属性集包含所述第二属性集中的全部属性的情况下，确定所述身份证书和所述第一属性公钥匹配成功；在所述第二属性集中存在第一属性不属于所述第一属性集的情况下，确定所述身份证书和所述第一属性公钥匹配失败。

在一个示例性实施例中，在将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链之前，所述方法还包括：根据所述第一属性集中包含的多个属性，以及所述第一属性集中包含的多个属性的第一数量；根据所述第一属性集中包含的多个属性和所述第一数量确定第一访问策略；根据所述第一访问策略和所述对称密钥确定所述第一属性公钥。

在一个示例性实施例中，在将所述第一地址密文存储至所述双区块链的数据链中之后，所述方法还包括：在接收到第三数据请求对象对所述数据信息的访问请求的情况下，确定是否接收到恶意检测平台发出的预警，其中，所述恶意检测平台用于检测所述第三数据请求对象对所述数据信息的访问请求是否为恶意请求；在确定接收到所述预警的情况下，更改所述第一地址密文，以拦截所述第三数据请求对象对所述数据信息的访问请求。

在一个示例性实施例中，在将所述第一地址密文存储至所述双区块链的数据链中之后，所述方法还包括：在接收到第四数据请求对象对所述数据信息的访问请求，且确定所述第四数据请求对象对所述数据信息的访问请求为恶意请求的情况下，获取第三属性集中的多个属性，其中，所述第三属性集为所述第四数据请求对象的多个属性的集合；将所述第一属性集更新为第四属性集，以使所述第四属性集中存在至少一个不属于所述第三属性集的属性；根据所述第四属性集更改所述第一地址密文。

在一个示例性实施例中，根据所述第四属性集更改所述第一地址密文，包括：确定所述第四属性集对应的第二访问策略，并根据所述第二访问策略和所述对称密钥确定第二属性公钥；将所述第二属性公钥存储至所述属性链中，并删除所述属性链中保存的所述第一属性公钥；根据所述存储地址和所述第二属性公钥确定所述存储地址对应的第二地址密文；将所述第二地址密文存储至所述数据链中，并删除所述数据链中保存的所述第一地址密文。

根据本申请实施例的另一个实施例，还提供了一种地址密文的存储装置，包括：第一加密模块，用于根据预设加密算法对数据信息进行加密运算，得到对称密钥；第二加密模块，根据所述预设加密算法对所述对称密钥和所述数据信息再次进行加密运算，以生成所述数据信息对应的数据密文，并将所述数据密文传输至文件系统中；以及将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中，其中，所述第一数据请求对象为允许访问所述数据信息的对象；获取模块，用于获取所述数据密文在所述文件系统中的存储地址，以根据所述存储地址和所述第一属性公钥确定所述存储地址对应的第一地址密文，并将所述第一地址密文存储至所述双区块链的数据链中。

根据本申请实施例的又一方面，还提供了一种计算机可读的存储介质，该计算机可读的存储介质中存储有计算机程序，其中，该计算机程序被设置为运行时执行上述地址密文的存储方法。

根据本申请实施例的又一方面，还提供了一种电子装置，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其中，上述处理器通过计算机程序执行上述的地址密文的存储方法。

在本申请实施例中，根据预设加密算法对数据信息进行加密，得到对称密钥。根据预设解密算法对对称密钥和数据信息再次进行加密运算，以确定数据信息对应的数据密文，并将数据密文上传至文件系统中，以获取所数据密文在文件系统中的存储地址。根据存储地址和第一数据请求对象对应的第一属性公钥确定存储地址对应的第一地址密文。将第一属性公钥存储至双区块链的属性链中，并将地址密文存储至双区块链的数据链中。通过本申请，将第一地址密文和第一属性公钥进行分离，使得在第一数据请求对象与第一属性公钥成功匹配之前，第一数据请求对象无法访问数据链中的数据信息。通过上述技术方案，可以解决现有技术中通过集中化管理数据信息并人工设置数据信息的访问权限的方式，导致的数据信息泄露风险较高的问题。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是本申请实施例的一种地址密文的存储方法的计算机终端的硬件结构框图；

图2是根据本申请实施例的地址密文的存储方法的流程图；

图3是根据本申请的一个实施例的一种基于双区块链的配置信息访问控制系统示意图(一)；

图4是根据本申请的一个实施例的一种基于双区块链的配置信息访问控制系统示意图(二)；

图5是根据本申请的一个实施例的一种基于双区块链的配置信息访问控制方法的流程图；

图6是根据本申请实施例的一种地址密文的存储装置的结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

本申请实施例所提供的方法实施例可以在具有控制平台的计算机终端或者类似的运算装置中执行。以运行在计算机终端上为例，图1是本申请实施例的一种地址密文的存储方法的计算机终端的硬件结构框图。如图1所示，计算机终端可以包括一个或多个(图1中仅示出一个)处理器102(处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)和用于存储数据的存储器104，在一个示例性实施例中，上述计算机终端还可以包括用于通信功能的传输设备106以及输入输出设备108。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述计算机终端的结构造成限定。例如，计算机终端还可包括比图1中所示更多或者更少的组件，或者具有与图1所示等同功能或比图1所示功能更多的不同的配置。

存储器104可用于存储计算机程序，例如，应用软件的软件程序以及模块，如本申请实施例中的地址密文的存储方法对应的计算机程序，处理器102通过运行存储在存储器104内的计算机程序，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输设备106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端的通信供应商提供的无线网络。在一个实例中，传输设备106包括一个网络适配器(Network Interface Controller，简称为NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输设备106可以为射频(Radio Frequency，简称为RF)模块，其用于通过无线方式与互联网进行通讯。

在本实施例中提供了一种地址密文的存储方法，应用于上述具有控制平台的计算机终端，图2是根据本申请实施例的地址密文的存储方法的流程图，该流程包括如下步骤：

步骤S202，根据预设加密算法对数据信息进行加密运算，得到对称密钥；

其中，上述预设加密算法可以是对称加密算法。例如：国际数据加密算法(International Data Encryption Algorithm，简称为IDEA)、高级加密标准算法(Advanced Encryption Standard，简称为AES)等。

步骤S204，根据所述预设加密算法对所述对称密钥和所述数据信息再次进行加密运算，以生成所述数据信息对应的数据密文，并将所述数据密文传输至文件系统中；以及将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中，其中，所述第一数据请求对象为允许访问所述数据信息的对象；

根据与步骤S202中相同的预设解密算法对对称密钥和数据信息进行二次加密，生成数据信息对应的数据密文，并将数据密文传输至文件系统中。且将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中。

其中，上述文件系统可以是星际文件系统(Interplantary File System，简称为IPFS)。IPFS是一种分布式文件系统和点对点协议，主要用来存储主要的数据信息，用来减轻区块链的存储压力，解决区块链存储能力低下的问题。IPFS的目标是创建一个全球性的、去中心化的文件存储系统，进而可以通过数据信息的哈希地址(即本申请的存储地址)而不是传统的统一资源定位符(Uniform Resource Locator，简称为URL)来访问数据信息。

其中，上述双区块链(Dual Block chain)是一种区块链技术架构，通常用于改善区块链网络的性能、增强区块链网络的可扩展性和隐私性。双区块链涉及将一个区块链网络分成两个不同的链，通常称为主链(Main Chain)和侧链(Side Chain)。主链和侧链可以相互交互，但主链和侧链具有不同的功能和属性。主链通常是原始的区块链网络，主链具有高度的去中心化性质，安全性高，但主链可能存在性能和可扩展性方面的限制。主链上记录了所有交易和智能合约的完整历史。侧链是附加到主链上的辅助链，通常用于处理特定的任务或交易类型，提供更强的隐私保护等功能。上述属性链可以是双区块链的侧链。

其中，上述属性链作为一个不可以篡改、可追溯的分布式账本来保存步骤S204中的第一属性公钥，实现第一属性集中的属性相关信息和实际数据信息的分离。

步骤S206，获取所述数据密文在所述文件系统中的存储地址，以根据所述存储地址和所述第一属性公钥确定所述存储地址对应的第一地址密文，并将所述第一地址密文存储至所述双区块链的数据链中。

其中，上述数据链可以是上述双区块链的主链，数据链作为一个不可以篡改、可追溯的分布式账本来保存数据密文在文件系统中的存储地址对应的地址密文信息(即本申请的第一地址密文)。

通过上述步骤，根据预设加密算法对数据信息进行加密，得到对称密钥。根据预设解密算法对对称密钥和数据信息再次进行加密运算，以确定数据信息对应的数据密文，并将数据密文上传至文件系统中，以获取所数据密文在文件系统中的存储地址。根据存储地址和第一数据请求对象对应的第一属性公钥确定存储地址对应的第一地址密文。将第一属性公钥存储至双区块链的属性链中，并将地址密文存储至双区块链的数据链中。通过本申请，将第一地址密文和第一属性公钥进行分离，使得在第一数据请求对象与第一属性公钥成功匹配之前，第一数据请求对象无法访问数据链中的数据信息。通过上述技术方案，可以解决现有技术中通过集中化管理数据信息并人工设置数据信息的访问权限的方式，导致的数据信息泄露风险较高的问题。

在上述步骤S206之后，所述方法还包括：在接收到第二数据请求对象对所述数据信息的访问请求的情况下，将所述第二数据请求对象的身份证书与所述属性链中的所述第一属性公钥进行匹配；在匹配结果指示所述身份证书和所述第一属性公钥匹配成功的情况下，为所述第二数据请求者分配用于对所述第一地址密文进行解密的属性私钥；根据所述属性私钥和目标解密算法对所述数据链中的第一地址密文进行解密运算，以获取所述对称密钥和所述存储地址；根据所述存储地址获取所述文件系统中的所述数据密文，并根据所述对称密钥对所述数据密文进行解密，以获取所述数据信息。

其中，将所述第二数据请求对象的身份证书与所述属性链中的所述第一属性公钥进行匹配，包括：确定所述第二数据请求对象的多个属性，以根据所述第二数据请求对象的多个属性生成所述第二数据请求对象对应的第二属性集；在所述第一属性集包含所述第二属性集中的全部属性的情况下，确定所述身份证书和所述第一属性公钥匹配成功；在所述第二属性集中存在第一属性不属于所述第一属性集的情况下，确定所述身份证书和所述第一属性公钥匹配失败。

通过上述技术方案可知，在对数据信息进行加密之后，可以对数据信息进行解密，具体的：在接收到第二数据请求对象对数据信息的访问请求的情况下，需要确定第二数据请求对象的身份证书。可以通过向授权中心(也即数字证书，Certificate Authority，简称为CA)认证第二数据请求对象的身份信息，进而获得第二数据请求对象的身份证书。在获取身份证书之后，第二数据请求对象可以携带身份证书向属性授权机构(AttributeAuthority，简称为AA)请求获取第二数据请求对象的属性私钥。在向AA请求获取第二数据请求对象的属性私钥的过程中，需要为第二数据请求对象生成一个第二数据请求对象的第二属性集，在第一属性集包含第二属性集中的全部属性的情况下，确定第二属性集与第一属性集匹配成功，AA才会为第二数据请求对象颁发属性私钥。

举例说明上述第一属性集与第二属性集的匹配过程，假设第一属性集包括属性1、属性2、属性3，第二属性集包括属性1、属性2、属性4，在这种情况下，确定第二属性集中的属性4(即本申请的第一属性)不属于第一属性集，即确定第一属性集合第二属性集匹配失败。假设第一属性集包括属性1、属性3、属性5，第二属性集包括属性1、属性3、属性5，在这种情况下，确定第一属性集包含了第二属性集中的全部属性，即确定第一属性集和第二属性集匹配成功。

进一步的，根据AA颁发的属性私钥和目标解密算法对数据链中的第一地址密文进行解密运算，获取第一地址密文对应的存储地址，进而通过存储地址确定数据密文，再对数据密文进行解密，获取数据信息。

上述CA和AA均可以位于计算机终端的控制平台，其中，上述CA是一种数据文件，是系统中完全受信任的第三方授权中心。系统中所有AA和数据请求对象的注册由CA审核完成，并且CA负责为每个合法的AA颁发身份证书，但是CA不参与任何属性管理和任何属性密钥的生成。CA包含了与特定公共密钥(即本申请的属性公钥)相关联的信息，包括公共密钥本身以及与持有者(即本申请的数据请求对象)相关的身份信息。CA可以是公共密钥基础设施(PKI)的核心，用于建立信任和安全的通信。具体的，CA具有以下验证身份的作用，即验证数据请求对象(通常是个人、组织或设备)的身份，并将数据请求对象与数据请求对象的公共密钥相关联。

其中，上述AA是与数字身份验证和访问控制相关的安全领域中的一个重要的实体或系统，AA负责颁发和管理数据请求对象的属性信息，这些属性信息可以用于控制数据请求对象对资源的访问。属性授权机构通常与证书颁发机构一起用于建立安全访问控制的策略。

在步骤S204的将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链之前，所述方法还包括：根据所述第一属性集中包含的多个属性，以及所述第一属性集中包含的多个属性的第一数量；根据所述第一属性集中包含的多个属性和所述第一数量确定第一访问策略；根据所述第一访问策略和所述对称密钥确定所述第一属性公钥。

在将第一属性公钥存储至双区块链的属性链之前，还需要确定第一属性公钥。具体的：

可以根据第一属性集中包含的属性以及第一属性集的属性的第一数量确定第一访问策略。例如：假设第一属性集包含F1、F2、……、Fm，第一数量为m，则第一访问策略可以理解为P＝{F₁，F₂，…，F_m}。

在确定第一访问策略之后，可以根据第一访问策略和对称密钥以及系统公开参数确定第一属性公钥。具体的确定第一属性公钥的公式可以为：PK_A＝KeyGen(P，Key，PK)，其中，PK_A为第一属性公钥，P为第一访问策略，Key为对称密钥，PK为系统公开参数。

其中，系统公开参数属于全局公开信息，是指密码学协议或系统中使用的一组公共参数或设置，系统公开参数通常在协议的初始化阶段由权威实体生成并公开发布。系统公开参数对于确保协议的安全性和正确性非常重要，系统公开参数提供了必要的信息来执行安全的计算和通信。

其中，访问策略(Access Policy，简称为P)是在信息安全和访问控制领域中使用的一种规则集合，用于定义谁可以访问某个资源或执行特定操作，以及在什么条件下可以访问某个资源或执行特定操作。访问策略是确保系统和数据安全的关键组成部分，用于管理和限制数据请求对象(例如：用户、应用程序或实体)对系统资源(即本申请的数据信息)的访问。

可选的，在步骤S206的将所述第一地址密文存储至所述双区块链的数据链中之后，所述方法还包括：在接收到第三数据请求对象对所述数据信息的访问请求的情况下，确定是否接收到恶意检测平台发出的预警，其中，所述恶意检测平台用于检测所述第三数据请求对象对所述数据信息的访问请求是否为恶意请求；在确定接收到所述预警的情况下，更改所述第一地址密文，以拦截所述第三数据请求对象对所述数据信息的访问请求。

可以理解的是，在接收到第三数据请求对象对数据信息的访问请求的情况下，需要确定第三数据请求对象的访问请求是否为恶意请求。具体的：可以搭建恶意检测单元，用于对恶意访问数据行为进行检测预警。

具体的搭建过程可以是：通过在系统部署深度学习恶意模型学习恶意访问数据行为的特征，检测恶意访问数据行为。深度学习恶意模型能够通过不断更新训练好的参数实现模型的动态更新；在接收到恶意访问数据行为的预警后，需要对恶意行为进行拦截，进而对整个系统进行维护。

在接收到恶意检测平台发出的预警的情况下，则确定第三数据请求对象的访问请求是恶意请求，此时应该更改第一地址密文，以拦截第三数据请求对象的访问请求。

在步骤S206的将所述第一地址密文存储至所述双区块链的数据链中之后，所述方法还包括：在接收到第四数据请求对象对所述数据信息的访问请求，且确定所述第四数据请求对象对所述数据信息的访问请求为恶意请求的情况下，获取第三属性集中的多个属性，其中，所述第三属性集为所述第四数据请求对象的多个属性的集合；将所述第一属性集更新为第四属性集，以使所述第四属性集中存在至少一个不属于所述第三属性集的属性；根据所述第四属性集更改所述第一地址密文。

根据所述第四属性集更改所述第一地址密文，包括：确定所述第四属性集对应的第二访问策略，并根据所述第二访问策略和所述对称密钥确定第二属性公钥；将所述第二属性公钥存储至所述属性链中，并删除所述属性链中保存的所述第一属性公钥；根据所述存储地址和所述第二属性公钥确定所述存储地址对应的第二地址密文；将所述第二地址密文存储至所述数据链中，并删除所述数据链中保存的所述第一地址密文。

在确定接收到第四数据请求对象对数据信息的访问请求为恶意请求的情况下，需要更改第一地址密文，以拦截第四数据请求对象的访问请求。具体的：可以确定第四数据请求对象的第三属性集，根据第三属性集中包含的多个属性以及第三属性集的属性的第二数量确定第四属性集，以使第四属性集中存在至少一个不属于第三属性集的属性。进而通过第四属性集中包含的属性以及第四属性集中的属性的数量确定第二访问策略，第二访问策略与第一访问策略不一致。根据第二访问策略、对称密钥和系统公开参数确定第二属性公钥。进一步的，根据第二属性公钥和存储地址确定存储地址对应的第二地址密文。并分别删除属性链和数据链中保存的第一属性公钥和第一地址密文，将第二属性公钥和第二地址密文分别存储至属性链和数据链中。

也就是说，在确定接收到第四数据请求对象对数据信息的访问请求为恶意请求的情况下，需要将第一访问策略曾鑫为第二访问策略，进而根据更新后的访问策略更新属性公钥，进而根据更新后的属性公钥更新地址密文。在这种情况下，第四数据请求对象不能与更新后的第二属性公钥进行匹配，进而第四数据请求对象不能访问数据信息。

为了更好的理解上述地址密文的存储方法的过程，以下再结合可选实施例对上述地址密文的存储的实现方法流程进行说明，但不用于限定本申请实施例的技术方案。

本申请示例性实施例提供了一种基于双区块链的配置信息(即本申请的数据信息)访问控制系统及实现方法。

图3是根据本申请的一个实施例的一种基于双区块链的配置信息访问控制系统示意图(一)、图4是根据本申请一个实施例的一种基于双区块链的配置信息访问控制系统示意图(二)，如图3、4所示，基于双区块链的配置信息访问控制系统包括用户平台、数据平台、控制平台以及恶意检测单元，其中：

1)用户平台：用户平台用于图4中的数据拥有方(将拥有的配置信息进行有条件共享的实体，在本申请的一个实施例中数据拥有方为初始将配置信息上传到数据库的运营商内部的员工)和数据请求方(对配置信息进行请求访问的实体，在本申请的一个实施例中数据请求方为运营商内部需要查询配置信息的员工。即本申请的数据请求对象)的登录系统。可以用于进行用户登录、密码修改、用户资料查看等操作。用户平台仅面向于运营商内部成员使用，每个用户的账号均由运营商提供，而无需自己注册。用户登录系统后可以查看自己的个人信息，但是无法对个人账号和个人属性进行修改。用户可以通过密码修改功能对密码进行修改，在修改密码的过程中，需要同时通过原始密码和新密码进行验证才能修改成功。

2)数据平台：数据平台用于进行配置信息的存储，主要存储数据拥有方上传的配置信息，数据平台主要包括图4中的IPFS。在用户登录成功后，可以选择需要上传的配置信息，点击上传按钮进行配置信息的上传。

3)控制平台：控制平台用于进行访问控制、密钥生成、策略更新等操作，主要包括图4中的CA、AA、属性链和数据链。上传配置信息的用户(即数据拥有方)提前制定访问策略，访问策略主要设置身份、职位、部门等，通过控制平台内的AA生成属性公钥，用户通过密文策略属性基加密算法(Ciphertext-Policy Attribute-Based Encryption，简称为CP-ABE，CP-ABE是一种加密技术，CP-ABE允许在配置信息加密和解密过程中使用属性。具有特定属性的用户可以使用属性来获取加密或解密的密钥，从而能够加密或解密配置信息。使得配置信息的访问控制可以更加精细地基于属性，而不是仅依赖于传统的用户名和密码或角色)，基于属性公钥对数据存储地址进行属性基加密(在属性基加密过程中，用户和配置信息都被赋予一系列属性或标签，而不是传统的身份信息。这些属性可以是关于用户或数据的任何特征，例如：年龄、职位、地理位置等。用户和配置信息的属性之间建立了关联)，属性公钥被上传到属性链中，加密后的数据存储地址(即本申请的存储地址)上传到数据链中。

4)恶意检测单元：恶意检测单元为部署在系统的一个单元结构，用于对恶意访问数据的行为进行检测预警。

图5是根据本申请的一个实施例的一种基于双区块链的配置信息访问控制方法的流程图，应用于图3、图4的系统中，如图5所示：

步骤S501，CA初始化，生成PK和主密钥。具体的：

1)CA生成参数α，选取素数p，定义两个p阶的乘法循环群G₁和G₂；

2)G₁生成元g，并定义双线性映射e:G₁×G₁→G₂；

3)选取两个抗碰撞的哈希函数H₁：{0，1}^*→G₁和H_e：{0，1}^*×{0，1}^k→Z_P；

4)任意取β，γ，δ∈Z_P，计算h＝g^β，f＝g^γ，Y＝e(g，g)e(g，g)^δ；

5)输出全局系统公共参数为PK＝{G₁，G₂，g，H₁，H₂，h，f，Y}和主密钥为MK＝(β，γ)；

6)向全局系统公开PK和主密钥；

7)AA和用户向CA进行身份注册获得用户的身份证书，在这种情况下，AA被全局系统信任。

S502，生成对称密钥(Key)，并得到数据密文(CT_cm，即本申请的数据密文)，将CT_cm上传至IPFS(即本申请的文件系统)中进行存储。具体的：

数据拥有方对配置信息(接本申请的数据信息)通过对称加密算法(即本申请的预设加密算法)生成Key，然后通过对称加密算法对Key和配置信息进行加密，得到CT_cm，并将CT_cm上传至IPFS进行存储。

其中，IPFS启用分块机制，接收到加密上传的配置信息后，根据配置信息的容量对配置信息划分为块，当配置信息的大小在预设范围(可以根据实际情况进行定义，例如100M)以内可以直接将配置信息进行存储，在配置信息大小超过100M的情况下，可以对配置信息进行每100M为单位划分为数据块进行存储。

步骤S503，IPFS接收CT_cm并向数据拥有方返回URL_cm。数据拥有方提前制定访问策略(P)，通过P、Key以及PK生成属性公钥(PK_A，即本申请的第一属性公钥)。

步骤S504，获取URL_cm，根据URL_cm生成地址密文(CT，即本申请的第一地址密文)，将属性公钥存储至属性链中，将地址密文存储至数据链中。具体的：

数据拥有方接收到URL_cm之后，使用CP-ABE算法对URL_cm进行加密，并将属性公钥上传至属性链中。同时，使用CP-ABE算法对URL_cm进行加密，生成CT，并将CT上传到数据链中。其中，使用CP-ABE算法对URL_cm进行加密的过程包括：

1)数据拥有方制定自己的访问策略P＝{F₁，F₂，…，F_m}，访问策略中包含的是数据请求方(即本申请的第一数据请求对象)的属性信息，其中，m表示包含的属性数量；

2)通过P和Key以及PK生成属性公钥PK_A＝KeyGen(P，Key，PK)；

3)数据拥有方通过PK_A对URL_cm进行加密，生成地址密文CT＝Encrypt(ver，P，PK_A，PK)，其中，ver是当前的公钥版本号。

步骤S505，在对配置信息进行加密之后，还可以对数据信息进行解密。具体的：

1)数据请求方向CA认证身份信息，以获得身份证书，数据请求方携带身份证书向AA请求获得属性私钥(SK_A)。AA生成一个数据请求方的属性集(S，即本申请的第二属性集)，然后根据P判断S是否完全包含于P中的属性。如果S完全包含于P的属性，则为数据请求方颁发SK_A，表示为SK_A＝KeyGen(u.cert，PK，S)，其中，u.cert为身份证书；

2)数据请求方使用SK_A和解密算法对从数据链中获取的CT进行解密，以获得KEY和URL_cm；

3)数据请求方通过URL_cm访问IPFS，以获取CT_cm，并使用Key对CT_cm进行解密，以获得配置信息。

步骤S506，在数据拥有方对访问策略进行变更撤销某个属性的情况下，可以更新访问策略，并确定更新后的地址密文。具体的：

在数据拥有方对访问策略进行变更撤销某个属性的情况下，PK_A也会发生变更，即PK_A变为PK′_A重新上传到属性链中。为了防止属性被撤销的用户还能继续访问数据，地址密文CT会更新为CT′，重新上传到数据链中。AA初始分配的数据请求者的属性私钥会失效，数据请求者需要重新发起访问请求。

其中，地址密文的更新具体包括：

1)对公钥版本号进行更新：ver′＝ver+1，其中，ver′是更新后的公钥版本号。

2)根据新的属性以及PK和系统随机数生成新的访问策略P′＝ReGen(S，PK，k)；

3)根据新的访问策略确定新的属性公钥：PK′_A＝ReKeyGen(PK，P′，Key)；

4)将CT重新进行加密得到重新加密后的地址密文(CT′)，具体的：CT′＝Encrypt(ver′，P′，PK′_A，PK，CT_cm)。

根据上述技术方案，双区块链的数据链用来存储数据存储地址；属性链用来存储AA生成的属性公钥，属性链仅用来存储属性相关的内容，与数据内容区分开。也就是说，上述技术方案中使用数据链对数据存储地址进行存储，对数据实现了加密保护。使用属性链对属性公钥进行存储，将数据信息和属性信息进行分离，AA只与属性链发生交互，不与数据链交互，降低数据泄露的风险，有效防止数据的隐私泄露。同时，用户提出数据请求时对向CA注册身份，能够实现对用户信息的可追踪溯源。

图6是根据本申请实施例的一种地址密文的存储装置的结构框图，如图6所示，包括：

第一加密模块62，用于根据预设加密算法对数据信息进行加密运算，得到对称密钥；

第二加密模块64，根据所述预设加密算法对所述对称密钥和所述数据信息再次进行加密运算，以生成所述数据信息对应的数据密文，并将所述数据密文传输至文件系统中；以及将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中，其中，所述第一数据请求对象为允许访问所述数据信息的对象；

获取模块66，用于获取所述数据密文在所述文件系统中的存储地址，以根据所述存储地址和所述第一属性公钥确定所述存储地址对应的第一地址密文，并将所述第一地址密文存储至所述双区块链的数据链中。

通过上述装置，根据预设加密算法对数据信息进行加密，得到对称密钥。根据预设解密算法对对称密钥和数据信息再次进行加密运算，以确定数据信息对应的数据密文，并将数据密文上传至文件系统中，以获取所数据密文在文件系统中的存储地址。根据存储地址和第一数据请求对象对应的第一属性公钥确定存储地址对应的第一地址密文。将第一属性公钥存储至双区块链的属性链中，并将地址密文存储至双区块链的数据链中。通过本申请，将第一地址密文和第一属性公钥进行分离，使得在第一数据请求对象与第一属性公钥成功匹配之前，第一数据请求对象无法访问数据链中的数据信息。通过上述技术方案，可以解决现有技术中通过集中化管理数据信息并人工设置数据信息的访问权限的方式，导致的数据信息泄露风险较高的问题。

在一个示例性实施例中，所述装置还包括：解密模块，用于在接收到第二数据请求对象对所述数据信息的访问请求的情况下，将所述第二数据请求对象的身份证书与所述属性链中的所述第一属性公钥进行匹配；在匹配结果指示所述身份证书和所述第一属性公钥匹配成功的情况下，为所述第二数据请求者分配用于对所述第一地址密文进行解密的属性私钥；根据所述属性私钥和目标解密算法对所述数据链中的第一地址密文进行解密运算，以获取所述对称密钥和所述存储地址；根据所述存储地址获取所述文件系统中的所述数据密文，并根据所述对称密钥对所述数据密文进行解密，以获取所述数据信息。

在一个示例性实施例中，所述解密模块，还用于确定所述第二数据请求对象的多个属性，以根据所述第二数据请求对象的多个属性生成所述第二数据请求对象对应的第二属性集；在所述第一属性集包含所述第二属性集中的全部属性的情况下，确定所述身份证书和所述第一属性公钥匹配成功；在所述第二属性集中存在第一属性不属于所述第一属性集的情况下，确定所述身份证书和所述第一属性公钥匹配失败。

在一个示例性实施例中，所述第二加密模块64，还用于根据所述第一属性集中包含的多个属性，以及所述第一属性集中包含的多个属性的第一数量；根据所述第一属性集中包含的多个属性和所述第一数量确定第一访问策略；根据所述第一访问策略和所述对称密钥确定所述第一属性公钥。

在一个示例性实施例中，所述获取模块66，还用于在接收到第三数据请求对象对所述数据信息的访问请求的情况下，确定是否接收到恶意检测平台发出的预警，其中，所述恶意检测平台用于检测所述第三数据请求对象对所述数据信息的访问请求是否为恶意请求；在确定接收到所述预警的情况下，更改所述第一地址密文，以拦截所述第三数据请求对象对所述数据信息的访问请求。

在一个示例性实施例中，所述获取模块66，还用于在接收到第四数据请求对象对所述数据信息的访问请求，且确定所述第四数据请求对象对所述数据信息的访问请求为恶意请求的情况下，获取第三属性集中的多个属性，其中，所述第三属性集为所述第四数据请求对象的多个属性的集合；将所述第一属性集更新为第四属性集，以使所述第四属性集中存在至少一个不属于所述第三属性集的属性；根据所述第四属性集更改所述第一地址密文。

在一个示例性实施例中，所述获取模块66，还用于确定所述第四属性集对应的第二访问策略，并根据所述第二访问策略和所述对称密钥确定第二属性公钥；将所述第二属性公钥存储至所述属性链中，并删除所述属性链中保存的所述第一属性公钥；根据所述存储地址和所述第二属性公钥确定所述存储地址对应的第二地址密文；将所述第二地址密文存储至所述数据链中，并删除所述数据链中保存的所述第一地址密文。

本申请的实施例还提供了一种存储介质，该存储介质包括存储的程序，其中，上述程序运行时执行上述任一项的方法。

可选地，在本实施例中，上述存储介质可以被设置为存储用于执行以下步骤的程序代码：

S1，根据预设加密算法对数据信息进行加密运算，得到对称密钥；

S2，根据所述预设加密算法对所述对称密钥和所述数据信息再次进行加密运算，以生成所述数据信息对应的数据密文，并将所述数据密文传输至文件系统中；以及将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中，其中，所述第一数据请求对象为允许访问所述数据信息的对象；

S3，获取所述数据密文在所述文件系统中的存储地址，以根据所述存储地址和所述第一属性公钥确定所述存储地址对应的第一地址密文，并将所述第一地址密文存储至所述双区块链的数据链中。

本申请的实施例还提供了一种电子装置，包括存储器和处理器，该存储器中存储有计算机程序，该处理器被设置为运行计算机程序以执行上述任一项方法实施例中的步骤。

可选地，上述电子装置还可以包括传输设备以及输入输出设备，其中，该传输设备和上述处理器连接，该输入输出设备和上述处理器连接。

可选地，在本实施例中，上述处理器可以被设置为通过计算机程序执行以下步骤：

S1，根据预设加密算法对数据信息进行加密运算，得到对称密钥；

S2，根据所述预设加密算法对所述对称密钥和所述数据信息再次进行加密运算，以生成所述数据信息对应的数据密文，并将所述数据密文传输至文件系统中；以及将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中，其中，所述第一数据请求对象为允许访问所述数据信息的对象；

S3，获取所述数据密文在所述文件系统中的存储地址，以根据所述存储地址和所述第一属性公钥确定所述存储地址对应的第一地址密文，并将所述第一地址密文存储至所述双区块链的数据链中。

可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(Read-Only Memory，简称为ROM)、随机存取存储器(Random Access Memory，简称为RAM)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

可选地，本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，本实施例在此不再赘述。

显然，本领域的技术人员应该明白，上述的本申请的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本申请不限制于任何特定的硬件和软件结合。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种地址密文的存储方法，其特征在于，包括：

根据预设加密算法对数据信息进行加密运算，得到对称密钥；

根据所述预设加密算法对所述对称密钥和所述数据信息再次进行加密运算，以生成所述数据信息对应的数据密文，并将所述数据密文传输至文件系统中；以及将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中，其中，所述第一数据请求对象为允许访问所述数据信息的对象；

获取所述数据密文在所述文件系统中的存储地址，以根据所述存储地址和所述第一属性公钥确定所述存储地址对应的第一地址密文，并将所述第一地址密文存储至所述双区块链的数据链中。

2.根据权利要求1所述的方法，其特征在于，在将所述第一地址密文存储至所述双区块链的数据链中之后，所述方法还包括：

在接收到第二数据请求对象对所述数据信息的访问请求的情况下，将所述第二数据请求对象的身份证书与所述属性链中的所述第一属性公钥进行匹配；

在匹配结果指示所述身份证书和所述第一属性公钥匹配成功的情况下，为所述第二数据请求者分配用于对所述第一地址密文进行解密的属性私钥；

根据所述属性私钥和目标解密算法对所述数据链中的第一地址密文进行解密运算，以获取所述对称密钥和所述存储地址；

根据所述存储地址获取所述文件系统中的所述数据密文，并根据所述对称密钥对所述数据密文进行解密，以获取所述数据信息。

3.根据权利要求2所述的方法，其特征在于，将所述第二数据请求对象的身份证书与所述属性链中的所述第一属性公钥进行匹配，包括：

确定所述第二数据请求对象的多个属性，以根据所述第二数据请求对象的多个属性生成所述第二数据请求对象对应的第二属性集；

在所述第一属性集包含所述第二属性集中的全部属性的情况下，确定所述身份证书和所述第一属性公钥匹配成功；

在所述第二属性集中存在第一属性不属于所述第一属性集的情况下，确定所述身份证书和所述第一属性公钥匹配失败。

4.根据权利要求1所述的方法，其特征在于，在将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链之前，所述方法还包括：

根据所述第一属性集中包含的多个属性，以及所述第一属性集中包含的多个属性的第一数量；

根据所述第一属性集中包含的多个属性和所述第一数量确定第一访问策略；

根据所述第一访问策略和所述对称密钥确定所述第一属性公钥。

5.根据权利要求1所述的方法，其特征在于，在将所述第一地址密文存储至所述双区块链的数据链中之后，所述方法还包括：

在接收到第三数据请求对象对所述数据信息的访问请求的情况下，确定是否接收到恶意检测平台发出的预警，其中，所述恶意检测平台用于检测所述第三数据请求对象对所述数据信息的访问请求是否为恶意请求；

在确定接收到所述预警的情况下，更改所述第一地址密文，以拦截所述第三数据请求对象对所述数据信息的访问请求。

6.根据权利要求1所述的方法，其特征在于，在将所述第一地址密文存储至所述双区块链的数据链中之后，所述方法还包括：

在接收到第四数据请求对象对所述数据信息的访问请求，且确定所述第四数据请求对象对所述数据信息的访问请求为恶意请求的情况下，获取第三属性集中的多个属性，其中，所述第三属性集为所述第四数据请求对象的多个属性的集合；

将所述第一属性集更新为第四属性集，以使所述第四属性集中存在至少一个不属于所述第三属性集的属性；

根据所述第四属性集更改所述第一地址密文。

7.根据权利要求6所述的方法，其特征在于，根据所述第四属性集更改所述第一地址密文，包括：

确定所述第四属性集对应的第二访问策略，并根据所述第二访问策略和所述对称密钥确定第二属性公钥；

将所述第二属性公钥存储至所述属性链中，并删除所述属性链中保存的所述第一属性公钥；

根据所述存储地址和所述第二属性公钥确定所述存储地址对应的第二地址密文；

将所述第二地址密文存储至所述数据链中，并删除所述数据链中保存的所述第一地址密文。

8.一种地址密文的生成装置，其特征在于：

第一加密模块，用于根据预设加密算法对数据信息进行加密运算，得到对称密钥；

第二加密模块，根据所述预设加密算法对所述对称密钥和所述数据信息再次进行加密运算，以生成所述数据信息对应的数据密文，并将所述数据密文传输至文件系统中；以及将第一数据请求对象的第一属性集对应的第一属性公钥存储至双区块链的属性链中，其中，所述第一数据请求对象为允许访问所述数据信息的对象；

获取模块，用于获取所述数据密文在所述文件系统中的存储地址，以根据所述存储地址和所述第一属性公钥确定所述存储地址对应的第一地址密文，并将所述第一地址密文存储至所述双区块链的数据链中。

9.一种计算机可读的存储介质，其特征在于，所述计算机可读的存储介质包括存储的程序，其中，所述程序运行时执行上述权利要求1-7任一项中所述的方法。

10.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为通过所述计算机程序执行所述权利要求1-7任一项中所述的方法。