一种基于规则冗余消除的加密环境中访问控制方法技术

一种基于规则冗余消除的加密环境中访问控制方法，在密文构造中，先根据叶子节点属性确定各个叶子的秘密，再按树结构自叶子往上构造非叶子节点的秘密，从而确定所有节点的秘密，然后递归构造防止冗余计算出现；本发明专利技术在基于属性基加密的云存储访问控制场景下，实现了根据访问控制规则构造密文时，对冗余数据和计算的消除，达到减少计算与存储开销的目的；与现有技术相比，其优点在于：一是极大了减少了加解密过程中的计算开销与存储开销；二是他是一个通用的解决方案，可以适用于不同种类的属性基加密方案。

【技术实现步骤摘要】
一种基于规则冗余消除的加密环境中访问控制方法
本专利技术属于互联网
和数据安全
，尤其涉及用户为了与不完全可信云服务进行数据交互的场景，为一种基于规则冗余消除的加密环境中访问控制方法，在4over6接入网过渡网络场景中通过利用NETCONF协议，使得网络运营商能够远程配置过渡设备中转发策略表项。
技术介绍
随着互联网的高速发展，用户数据越来越多，云服务变得越来越重要，越来越多的用户选择把自己的数据放到云端进行存储。而云端作为不受自己控制的第三方服务器，安全和隐私不容易得到保障。大部分云服务是半可信云服务，它们会提供正确的服务逻辑，但与此同时可能偷看用户数据，并泄露隐私。在这种情况下，以加密形式把数据存到云上是未来的发展趋势，而在这种基础上，如何继续提供往常的服务成为了新的问题。访问控制是云存储服务中常见的一个服务，针对加密数据的访问控制问题，Waters等人提出了属性基加密技术，密文的属性基加密技术中，每个用户将会被分配到若干个属性，一份数据上传时将会定义一个由各个属性组成的访问控制规则，数据将基于该规则进行加密并上传。用户下载数据之后，当且仅当用户自身的属性与访问规则符合时，才能正确地解密该数据，以此达到访问控制的目的。具体而言，属性基加密包含以下几个部分。属性认证机构：属性认证机构是一个可信的权威机构，属于PKI基础设施，它会根据具体选取的属性基方案，生成合适的参数，并针对系统中的属性集合生成公钥，供数据拥有者加密使用。同时它针对每一个不同用户的属性集合，生成每个用户对应的私钥，供访问者解密数据使用。云服务器：云服务器提供数据的上传和下载功能，被认为是半可信的，亦即，云服务器会忠实地按照规定的流程执行上传与下载，但是它可能把用户的数据泄露给攻击者，因此上传上来的数据本身需保证机密性，但不需要防篡改。数据拥有者：数据拥有者是希望把数据分享出去的用户，他首先读取属性认证机构的公钥，然后对于他的每一份数据，他将设定一个访问控制规则，然后根据方案规定的算法执行加密，然后把加密后的密文上传到云服务器。数据用户：数据用户是要读取拥有者分享出来的数据的用户，他们首先会从属性认证机构拿到他们的属性对应的私钥，当他们需要读取数据时，将从云服务器上下载拥有者上传的数据，然后将密文根据对应的规则通过自己的私钥进行解密，当且仅当用户的属性集合符合访问控制规则时，用户才能解密该数据。图1表示了该框架的整体工作流程，在该框架下，属性基加密主要包含以下几个关键算法：系统初始化：算法由属性认证机构在最初执行，输入为属性全集U，输出为U对应的公钥PK与主密钥MK，其中公钥PK会公开给系统中所有成员，主密钥MK为属性认证机构的私密信息，需保证安全性。图中步骤(1)即调用初始化算法后，把系统公钥发给数据拥有者。密钥生成：算法由属性认证机构执行，输入为某一个用户的属性集合S与初始化过程中生成的主密钥MK，输出为属性集S对应用户私钥SK，该算法在某用户加入系统中，属性认证机构分配密钥时执行，然后SK将被私下发送给对应用户，用户需保证SK的机密性。步骤(2)中属性认证机构根据数据用户的属性集合生成私钥，然后发给用户。加密：加密算法由数据拥有者执行，输入为公钥PK，待加密消息M与访问控制规则A，输出为密文CT。步骤(3)中，数据拥有者通过执行此算法把M按照他设定的规则A进行加密，得到密文CT之后，将它上传到云服务器供其他用户访问。解密：解密算法由数据用户执行，输入为密文CT，公钥PK及用户私钥SK。步骤(4)中，数据用户从云服务器上把数据拥有者上传的密文下载下来，然后通过公开信息及自己的私钥尝试对密文CT进行解密，算法需保证当且仅当私钥SK对应的属性集合S满足密文CT对应的访问控制规则A时，算法才能正确解密该数据得到原始明文M。通过以上的结构，一个完整的访问控制系统即可以搭建起来，数据拥有者可将数据正确地按照规则分享给其他用户。在属性基加密技术中，加解密算法的具体构造方案为：对于一个访问控制规则(AANDB)OR(CANDDANDE)，方案将首先构造出一个秘密s。根据规则具体的表达，s将被拆分成多个子秘密，对应了规则中的每一个条目(A、B、C、D、E)，使得满足条件的几行子秘密正好可以重新构造s。最后，各个子秘密将分别使用每行对应的属性相关的公钥进行加密，组成最终的密文。对于每一组待加密数据与访问控制规则，他都会单独构造一个秘密并构造出相应的密文，而密文数据量较大，在待加密数据较多时，会产生巨大的存储开销，计算的时候亦会产生巨大的计算开销。
技术实现思路
为了克服上述现有技术的缺点，本专利技术的目的在于提供一种基于规则冗余消除的加密环境中访问控制方法，针对有较多份数据待加密的情况下，使用合适的方法找出访问控制规则当中的冗余部分，并重新设计加解密算法，消除密文存储和计算中的冗余，从而达到减少存储及计算开销的目的。为了实现上述目的，本专利技术采用的技术方案是：一种基于规则冗余消除的加密环境中访问控制方法，在密文构造中，先根据叶子节点属性确定各个叶子的秘密，再按树结构自叶子往上构造非叶子节点的秘密，从而确定所有节点的秘密，然后递归构造防止冗余计算出现。在确定各个叶子的秘密之前，可先执行访问控制树结构调整算法，将输入的访问控制规则对应的访问控制树调整为统一的结构，以防止相同表达能力的访问控制结构被判定为不相同，保证判定的准确性。所述控制树结构调整算法是从访问控制树根节点开始执行的递归算法，包括如下步骤：步骤1：判定当前输入节点N(最初为根节点)是否为AND节点或OR节点，如果不是，转步骤5；步骤2：初始化孩子节点集合S为空集，待测试节点集合S’为当前输入节点N的所有孩子节点；步骤3：循环访问待测试节点集合S’中的节点N’，若节点类型与当前输入节点N相同，则将N’的所有孩子节点加入待测试节点集合S’中，否则直接将N’放入孩子节点集合S；步骤4：为当前节点N与孩子节点集合S中的所有节点建立父子关系，使得集合S中所有节点均成为N的孩子节点；步骤5：对当前节点的所有孩子节点递归调用本算法。所述根据叶子节点属性确定各个叶子的秘密的方法是根据叶子节点属性随机选取一些秘密，然后赋给叶子节点，具体包括以下两个步骤：步骤1.取出全部属性集合，针对每一个属性，随机选取一个数值作为它的秘密，第i个属性得到秘密s[i]；步骤2.遍历访问控制树的所有叶子节点，对于节点N，将N的属性对应的秘密赋值给N，亦即，假设N的属性为A(N)，则s[N]＝s[A(N)]。在叶子节点秘密确定后，执行非叶子节点秘密构造算法，使非叶子节点将通过递归的方式自叶子往根构造各个节点的秘密，最终生成每一个文件的秘密，即对应访问控制树的根秘密。所述非叶子节点秘密构造算法为从根节点开始的递归算法，包括如下步骤：步骤1：调用冗余判定算法，若当前输入节点N是已出现的冗余节点，则直接访问对应的秘密，否则转步骤2；步骤2：递归对所有N的所有孩子节点调用节点秘密构造算法，得到每个孩子节点的秘密；步骤3：若当前输入节点N为AND节点，直接使用拉格朗日插值法生成当前节点的秘密，转步骤5，否则转步骤4；步骤4：当前输入节点N非AND节点，则首先随机选取一个秘密作为N的秘密值，并用拉格朗日插值计算出对应的各个子节点本文档来自技高网...

【技术保护点】
一种基于规则冗余消除的加密环境中高效访问控制方法，其特征在于，在密文构造中，先根据叶子节点属性确定各个叶子的秘密，再按树结构自叶子往上构造非叶子节点的秘密，从而确定所有节点的秘密，然后递归构造防止冗余计算出现。

【技术特征摘要】
1.一种基于规则冗余消除的加密环境中访问控制方法，在密文构造中，先根据叶子节点属性确定各个叶子的秘密，再按树结构自叶子往上构造非叶子节点的秘密，从而确定所有节点的秘密，然后递归构造防止冗余计算出现，所述根据叶子节点属性确定各个叶子的秘密的方法是根据叶子节点属性随机选取一些秘密，然后赋给叶子节点，具体包括以下两个步骤：步骤1.取出全部属性集合，针对每一个属性，随机选取一个数值作为它的秘密，第i个属性得到秘密s[i]；步骤2.遍历访问控制树的所有叶子节点，对于节点N，将N的属性对应的秘密赋值给N，亦即，假设N的属性为A(N)，则s[N]＝s[A(N)]；在叶子节点秘密确定后，执行非叶子节点秘密构造算法，使非叶子节点将通过递归的方式自叶子往根构造各个节点的秘密，最终生成每一个文件的秘密，即对应访问控制树的根秘密；其特征在于，所述非叶子节点秘密构造算法为从根节点开始的递归算法，包括如下步骤：步骤1：调用冗余判定算法，若当前输入节点N是已出现的冗余节点，则直接访问对应的秘密，否则转步骤2；步骤2：递归对所有N的所有孩子节点调用节点秘密构造算法，得到每个孩子节点的秘密；步骤3：若当前输入节点N为AND节点，直接使用拉格朗日插值法生成当前节点的秘密，转步骤5，否则转步骤4；步骤4：当前输入节点N非AND节点，则首先随机选取一个秘密作为N的秘密值，并用拉格朗日插值计算出对应的各个子节点的新秘密，对每个子节点，生成额外信息，维护子节点本身的秘密与刚生成的新秘密之间的联系，保存该额外信息；步骤5：将当前输入节点N及它对应的秘密存入冗余哈希表。2.根据权利要求1所述基于规则冗余消除的加密环境中访问控制方法，其特征在于，在确定各个叶子的秘密之前，先执行访问控制树结构调整算法，将输入的访问控制规则对应的访问控制树调整为统一的结构，以防止相同表达能力的访问控制结构被判定为不相同，保证判定的准确性。3.根据权利要求2所述基于规则冗余消除的加密环境中访问控制方法，其特征在于，所述访问...

【专利技术属性】
技术研发人员：崔勇，唐翯祎，吴建平，任奎，翁健，
申请(专利权)人：清华大学，暨南大学，
类型：发明
国别省市：北京;11