專利名稱：一種實現(xiàn)支持細(xì)粒度訪問控制的加密方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種在分布式環(huán)境下，針對文件共享及安全存儲的要求，提出的一種靈活的、細(xì)粒度的訪問控制方法，主要通過擴(kuò)展原基于屬性的加密算法的擴(kuò)展樹來實現(xiàn)細(xì)粒度的訪問控制。
背景技術(shù)：
在分布式環(huán)境中，尤其是在云計算的服務(wù)模型中，用戶數(shù)據(jù)集中后，保證運營服務(wù)提供商內(nèi)部的安全管理和訪問控制機(jī)制符合用戶的安全需求，避免分布式環(huán)境中多用戶共同存在或共享數(shù)據(jù)帶來的潛在風(fēng)險，是分布式環(huán)境中面臨的安全挑戰(zhàn)。目前，數(shù)據(jù)中心對數(shù)據(jù)的保護(hù)主要通過兩種方式訪問控制和加密。常用的訪問控制方式有自主訪問控制策略(DAC)、強制訪問控制策略(MAC)或基于角色的訪問控制策略 (RBAC)等。在系統(tǒng)運轉(zhuǎn)良好的情況下，一個設(shè)計良好的訪問控制系統(tǒng)，可以防止用戶或惡意軟件對數(shù)據(jù)的非法訪問，而一旦系統(tǒng)被非法入侵或控制，這些訪問控制系統(tǒng)將失效。為了彌補訪問控制技術(shù)的不足，加密是保護(hù)數(shù)據(jù)不被非法訪問的另一常用技術(shù)。然而，常規(guī)的加密技術(shù)包括對稱加密技術(shù)和公鑰加密技術(shù)都只能對文件進(jìn)行單調(diào)的加密，在分布式環(huán)境中密鑰的分發(fā)與管理較為復(fù)雜，而且不能實現(xiàn)訪問控制技術(shù)所具有的靈活控制功能。近來提出的基于屬性的加密體制(ABE)可以實現(xiàn)基于加密算法的訪問控制，無需負(fù)載的密鑰管理及密鑰分發(fā)機(jī)制，但是基于屬性加密算法只能夠支持與、或和門限運算，不能實現(xiàn)細(xì)粒度的訪問控制，且擴(kuò)展性差。

發(fā)明內(nèi)容
本發(fā)明的技術(shù)解決的問題克服現(xiàn)有技術(shù)的不足，通過擴(kuò)展密文策略的基于屬性加密算法中的訪問控制結(jié)構(gòu)，使其具有豐富的訪問控制運算能力，從而實現(xiàn)細(xì)粒度的、靈活的訪問控制。本發(fā)明的技術(shù)解決方案一種實現(xiàn)支持細(xì)粒度訪問控制的加密方法，其特征在于以下方面(1)通過添加虛擬葉子節(jié)點來實現(xiàn)運算符擴(kuò)展原密文策略的基于屬性的加密算法中訪問控制結(jié)構(gòu)的設(shè)計基于門限秘密共享體制，其訪問控制結(jié)構(gòu)為一棵訪問控制樹，如

圖1所示。訪問控制樹中節(jié)點包括閾值k和子節(jié)點數(shù)num兩個屬性，其中0 < k < num。本發(fā)明使用k < 0的范圍表示擴(kuò)展屬性節(jié)點，k表示運算標(biāo)識符，對應(yīng)于特定的運算(或函數(shù))，擴(kuò)展屬性的葉子節(jié)點為一個或多個屬性與屬性值對，如圖2所示。擴(kuò)展屬性節(jié)點相當(dāng)于原來方案中的葉子節(jié)點，而〈屬性名，屬性值〉 對，相當(dāng)于k指代的函數(shù)所需的輸入?yún)?shù)。函數(shù)的輸出對應(yīng)于擴(kuò)展屬性節(jié)點的屬性值。(2)密鑰生成中心(PKG)負(fù)責(zé)用戶擴(kuò)展屬性的驗證原密文策略的基于屬性的加密算法中，PKG負(fù)責(zé)公開參數(shù)分發(fā)、私鑰生成功能外、 和用戶屬性提取的功能，在本擴(kuò)展方案中，PKG除了以上功能，還負(fù)責(zé)根據(jù)擴(kuò)展的運算標(biāo)識符，使用對應(yīng)的運算函數(shù)對用戶提供的擴(kuò)展屬性進(jìn)行動態(tài)驗證。(3)擴(kuò)展運算函數(shù)的格式及已擴(kuò)展的訪問控制運算擴(kuò)展運算對應(yīng)的函數(shù)具有一下原型f: (attrbute_name, attribute, value, . . .) ^ Requred Attribute | Empyte String。胃巾 1 ^= ^fg.f < M 個生名，屬性值 > 對，函數(shù)的返回值為確定的字符串。擴(kuò)展的運算包括匹配函數(shù)和邏輯運算符。具體如下:<，>，<，>，in—range，regex_matchb、邏輯運算符Not其中，<、>、彡和彡為算術(shù)比較運算符；irurange為驗證參數(shù)是否在一定范圍內(nèi)的函數(shù)；regexjiiatch為正則表達(dá)式匹配函數(shù)，正則表達(dá)式使用Java正則表達(dá)式的標(biāo)準(zhǔn)格式。擴(kuò)展的運算函數(shù)具體定義如下
權(quán)利要求
1. 一種實現(xiàn)支持細(xì)粒度訪問控制的加密方法，其特征如下(1)通過添加虛擬葉子節(jié)點來實現(xiàn)運算符擴(kuò)展原密文策略的基于屬性的加密體制中訪問控制結(jié)構(gòu)的設(shè)計基于門限秘密共享體制，其訪問控制結(jié)構(gòu)為一棵訪問控制樹，訪問控制樹中節(jié)點包括閾值k和子節(jié)點數(shù)num兩個屬性， 其中0 < k彡num，使用k < 0的范圍表示擴(kuò)展屬性節(jié)點，k表示運算標(biāo)識符，對應(yīng)于特定的運算或函數(shù)；擴(kuò)展屬性的葉子節(jié)點為一個或多個屬性與屬性值對，擴(kuò)展屬性節(jié)點相當(dāng)于密文策略的基于屬性的加密體制中的葉子節(jié)點，而〈屬性名，屬性值〉相當(dāng)于k指代的函數(shù)所需的輸入?yún)?shù)，函數(shù)的輸出對應(yīng)于擴(kuò)展屬性節(jié)點的屬性值；(2)密鑰生成中心PKG負(fù)責(zé)用戶擴(kuò)展屬性的驗證PKG具有公開參數(shù)分發(fā)、私鑰生成和用戶擴(kuò)展屬性提取的功能，同時，PKG還負(fù)責(zé)根據(jù)擴(kuò)展的運算標(biāo)識符，使用對應(yīng)的運算函數(shù)對用戶提供的擴(kuò)展屬性進(jìn)行動態(tài)驗證；(3)擴(kuò)展運算函數(shù)的格式及已擴(kuò)展的訪問控制運算擴(kuò)展運算對應(yīng)的函數(shù)具有以下原型f :(attribute_name，attribute, value. . .) — Requred Attribute | Empty String,< Mft^, M性值〉對，函數(shù)的返回值為確定的字符串；擴(kuò)展的運算包括匹配函數(shù)和邏輯運算符，具體如下a.251O ,H in_range, regex_match ；b.邏輯運算符=Not；其中，<、>、<和彡為算術(shù)比較運算符；in_range為驗證參數(shù)是否在一定范圍內(nèi)的函數(shù)；regexjiiatch為正則表達(dá)式匹配函數(shù)，正則表達(dá)式使用Java正則表達(dá)式的標(biāo)準(zhǔn)格式；(4)密文解密及私鑰獲取過程執(zhí)行解密算法須取得針對密文中已擴(kuò)展的訪問控制樹的私鑰，其過程如下從訪問控制樹中提取運算函數(shù)標(biāo)志符k，和存儲于虛擬葉子節(jié)點中的 < 屬性名，屬性值 > 對，將它們和用戶身份信息發(fā)送到密鑰生成中心，密鑰生成中心生成對應(yīng)的私鑰并返回給用戶；密鑰生成中心生成私鑰的過程如下密鑰生成中心首先驗證用戶身份，如果身份驗證沒有通過則拒絕該請求；通過身份驗證后，密鑰生成中心根據(jù)用戶提交的運算標(biāo)識符確定對應(yīng)的訪問控制運算函數(shù)，然后密鑰生成中心從用戶屬性信息用戶具有的屬性集S，運行該函數(shù)獲取對應(yīng)的輸出，如果輸出不為空則將該擴(kuò)展屬性添加到屬性集S中；當(dāng)用戶提交的所有擴(kuò)展屬性驗證都被執(zhí)行后，以屬性集S為輸入運行密文策略的基于屬性的加密算法中密鑰生成算法生成私鑰。
全文摘要
一種實現(xiàn)支持細(xì)粒度訪問控制的加密方法，基于屬性的加密體制中訪問控制結(jié)構(gòu)為一棵訪問控制樹，使用k＜0的范圍表示擴(kuò)展屬性節(jié)點，k表示運算標(biāo)識符，對應(yīng)于特定的運算(或函數(shù))；k＜0的葉子節(jié)點稱為擴(kuò)展屬性的葉子節(jié)點，這類節(jié)點的子節(jié)點為一個或多個屬性與屬性值對。子節(jié)點中數(shù)據(jù)為與運算標(biāo)識符k對應(yīng)的運算函數(shù)所需的輸入?yún)?shù)。函數(shù)的輸出對應(yīng)于擴(kuò)展屬性節(jié)點的屬性值，擴(kuò)展的運算包括匹配函數(shù)和邏輯運算符。本發(fā)明使基于屬性加密算法支持豐富的運算，使改進(jìn)后基于屬性的加密算法具有靈活的、細(xì)粒度的訪問控制能力。
文檔編號H04L29/06GK102244660SQ201110193448
公開日2011年11月16日 申請日期2011年7月12日 優(yōu)先權(quán)日2011年7月12日
發(fā)明者張然, 李未, 牛虹婷, 郎波, 高昊 申請人:北京航空航天大學(xué)