支持撤销外包可验证多授权中心访问控制方法、云服务器技术

本发明专利技术属于以协议为特征的技术领域，公开了一种支持撤销外包可验证多授权中心访问控制方法、云服务器，包括：系统初始化，包括全局认证中心以及其他授权中心的初始化；授权中心为用户分配属性集，并为其生成解密所需的密钥；数据拥有者对文件进行加密，其中加密过程包括外包加密，外包结果的验证以及数据拥有者的最终加密；用户向云服务商发出文件访问请求，该过程包括云服务商外包解密，外包结果的验证以及用户的最终解密；撤销系统中的某些用户或某些属性。本发明专利技术具有系统访问效率高、计算开销较低、支持动态的用户权限管理等优点，可用于云存储中保障用户的隐私数据安全，降低用户的计算开销，以及动态的管理系统中用户的权限。

Support for revocation outsourcing verifiable multi center access control method, cloud server

The invention belongs to the technical field characterized by protocol, and discloses a verifiable multi-authorization center access control method and cloud server supporting revocation outsourcing, including system initialization, including initialization of global authentication center and other authorization centers, authorization center allocating attribute sets for users and generating decryption Center for them. The required key; the data owner encrypts the file, in which the encryption process includes outsourcing encryption, the verification of outsourcing results and the final encryption of the data owner; the user sends a file access request to the cloud service provider, which includes the cloud service provider outsourcing decryption, the verification of outsourcing results and the final decryption of the user; the withdrawal process. Some users or some attributes in the pin system. The invention has the advantages of high system access efficiency, low computational overhead, and supporting dynamic user rights management, and can be used for protecting user's privacy data security in cloud storage, reducing user's computational overhead, and user rights in dynamic management system.

【技术实现步骤摘要】
支持撤销外包可验证多授权中心访问控制方法、云服务器
本专利技术属于以协议为特征的
，尤其涉及一种支持撤销外包可验证多授权中心访问控制方法、云服务器。
技术介绍
目前，业内常用的现有技术是这样的：随着信息技术的不断发展，人们的生活得到了巨大的改善。其中，云计算的发展势头迅猛，引起了人们的广泛关注。云计算是一个具有庞大计算能力和存储能力的实体，是网络存储、虚拟化、负载均衡、分布式计算、并行计算、效用计算等传统计算技术和网络技术发展相结合的产物。它的强大之处在于，其可将计算资源通过网络动态的分发给用户。同时，用户也可将自身的数据或资源存储在云服务器中，或将一些复杂的计算任务外包给云服务商。通过这种方式，用户将不再受地理位置以及有限的计算资源的限制，此外，复杂的计算任务可以部署在远端的分布式计算机上，将计算边缘化，极大的提高了计算的效率。云存储是从云计算概念衍生和发展起来的一种数据外包服务技术，是指通过集群应用、网络技术或分布式文件系统等功能，将网络中大量各种不同类型的存储设备通过应用软件集合起来协同工作共同对外提供数据，其拥有低成本、易于使用的接口和高可扩展性的优势。对用户来说，将自身的敏感数据存储在云端并不是十分安全的。云服务商不是完全可信的，其可能由于利益与非法用户勾结，从而泄露用户的数据。数据的安全性和缺乏控制性是阻碍云存储发展的最大障碍。访问控制能够保证只有授权用户才能访问敏感数据，被认为是解决云存储安全问题的重要手段。然而传统的访问控制方案存在很多问题，它无法应用于更细粒度更灵活的访问控制环境，且需要有可信实体实施访问控制策略。基于属性加密的访问控制方案能够解决上述问题，被认为是一种适合应用于云存储环境中保护数据安全的访问控制技术。基于属性的加密机制是在基于身份的加密机制上发展而来的。2005年，Sahai和Waters最先提出了属性基加密(ABE)的概念。相比于传统的公钥加密，它是一种支持一对多的更加灵活的加密机制。在属性基加密系统中，将原来表示用户身份的标识扩展为一系列属性，密文和用户的密钥分别由访问控制策略和可描述的属性集合来标识。通过引入访问结构，可以保证只有属性集满足访问策略的用户才能成功解密密文。基于属性的加密机制极大的降低了用户加解密的计算开销，可以保证数据的机密性，适合应用于分布式环境下用户数量众多的情况。基于属性的加密分为两类：(1)密文策略的属性加密(CP-ABE)：在密文策略的属性加密中，密文对应于访问控制策略，即一个加密者定义一个控制策略和一些属性，其中，这个策略用来加密密文，这些属性用来描述用户的密钥；(2)密钥策略的属性加密(KP-ABE)：在密钥策略的属性加密中，密钥对应于访问控制策略，其加密过程与密文策略的加密过程相反。尽管KP-ABE与CP-ABE均能实现细粒度的访问控制，但是CP-ABE可以使数据拥有者决定具体的访问控制策略，因此CP-ABE被视为云存储中最合适的数据访问控制方案。在CP-ABE方案中，系统中的每个合法用户都被赋予了一定的属性，根据每个用户的属性集，来生成每个用户的密钥。数据拥有者先将数据明文用对称密钥加密，然后将该密钥用公钥加密方法加密，且在公钥加密的过程中，包含一个访问结构T。若某用户想要解密密文，其属性必须满足该访问结构T。数据拥有者通过设定访问结构T，来实施其访问控制策略。现有的CP-ABE方案大多基于一个授权中心，所有的密钥都由该授权中心管理和颁发。然而，在实际应用中用户可能拥有来自多个授权中心授予的属性，数据拥有者可能也会将数据共享给其他授权中心管理的用户。例如，在医疗云系统中，病人可能会将他们的病历数据共享给医生和研究人员，而医生这一属性是由医疗机构授予的，研究人员这一属性由研究所授予，他们来自不同的属性域，因此，多授权中心的CP-ABE方案更适用于云存储系统中。在属性基加密系统中，加密和解密阶段的计算开销也是不小的。将过程中的部分计算外包给云服务商是个不错的选择。然而，云服务商并不是完全可信的，它可能仅仅进行部分计算，返回一个中间值，或者故意给返回一个错误的结果。因此，提出一种能够验证云服务商的计算结果的方法，显得尤为重要。此外，基于属性加密的访问控制技术也会带来极大的管理负担，尤其是撤销问题一直比较棘手。一方面，由于云存储系统中用户数量较为庞大，用户可能会频繁的更换。此外，用户的属性也可能会经常变更。用户可能会被授予某些新属性，也可能会被撤销一些当前属性，他对数据的访问权限也会随之变更。另一方面，当需要撤销某个用户的权限时，需要对涉及到的密文进行重加密，重加密之后的文件不能再被之前的密钥解密，所以其他受到影响的用户需要升级密钥才能解密，这使得每个用户之间不再独立，彼此互相干扰。此外，若权限撤销频繁的话，其计算负担也会很大，属性的动态性增加了密钥更新的开销和难度。大多数现有技术都不够高效，不支持云存储系统中灵活的用户和属性的撤销，因此，提出一种支持撤销外包可验证多授权中心访问控制方法很有必要。综上所述，现有技术存在的问题是：现有技术都不够高效，不支持云存储系统中灵活的用户和属性的撤销；计算复杂度高，开销大，撤销困难。解决上述技术问题的难度和意义：基于属性加密的访问控制技术也会带来极大的管理负担，尤其是撤销问题一直比较棘手。一方面，由于云存储系统中用户数量较为庞大，用户可能会频繁的更换。此外，用户的属性也可能会经常变更。用户可能会被授予某些新属性，也可能会被撤销一些当前属性，他对数据的访问权限也会随之变更。另一方面，当需要撤销某个用户的权限时，需要对涉及到的密文进行重加密，重加密之后的文件不能再被之前的密钥解密，所以其他受到影响的用户需要升级密钥才能解密，这使得每个用户之间不再独立，彼此互相干扰。此外，若权限撤销频繁的话，其计算负担也会很大，属性的动态性增加了密钥更新的开销和难度。
技术实现思路
针对现有技术存在的问题，本专利技术提供了一种支持撤销外包可验证多授权中心访问控制方法、云服务器。本专利技术是这样实现的，一种支持撤销外包可验证多授权中心访问控制方法，所述支持撤销外包可验证多授权中心访问控制方法包括：全局认证中心CA及其他授权中心AA的初始化，为系统中所有授权中心和用户分配相应的身份标识，生成全局公共参数以及加密所需的密钥；授权中心为用户分配属性集，并生成解密所需的密钥；数据拥有者对文件进行加密；用户向云服务商发出文件访问请求；撤销系统中的某些用户或某些属性。进一步，所述密钥包括：存储在云端用来完成部分解密的代理密钥和由用户自己保管的用来完成最终解密的用户私钥；加密过程包括由云服务商进行部分的加密计算，并将生成的密文发送给数据拥有者，数据拥有者再完成最终的加密；加密完成后，将密文上传至云服务商进行存储；云服务商收到请求后，使用存储在云端的用户的代理密钥对文件进行部分解密，并将该部分解密的密文发送给用户；收到密文后，用户再使用自己的私钥进行解密，只有属性满足访问策略的用户才能成功解密密文；当发生用户撤销时，数据拥有者将撤销用户的身份标识发送给云服务商，云服务商查找代理密钥列表，并删除该用户的代理密钥，失去了代理密钥，用户则无法解密从而恢复明文；发生属性撤销时，数据拥有者需重加密密文，同时授权中心需更新系统中其他非撤销用户的本文档来自技高网...

【技术保护点】
1.一种支持撤销外包可验证多授权中心访问控制方法，其特征在于，所述支持撤销外包可验证多授权中心访问控制方法包括：全局认证中心CA及其他授权中心AA的初始化，为系统中所有授权中心和用户分配相应的身份标识，生成全局公共参数以及加密所需的密钥；授权中心为用户分配属性集，并生成解密所需的密钥；数据拥有者对文件进行加密；用户向云服务商发出文件访问请求；撤销系统中的某些用户或某些属性。

【技术特征摘要】
1.一种支持撤销外包可验证多授权中心访问控制方法，其特征在于，所述支持撤销外包可验证多授权中心访问控制方法包括：全局认证中心CA及其他授权中心AA的初始化，为系统中所有授权中心和用户分配相应的身份标识，生成全局公共参数以及加密所需的密钥；授权中心为用户分配属性集，并生成解密所需的密钥；数据拥有者对文件进行加密；用户向云服务商发出文件访问请求；撤销系统中的某些用户或某些属性。2.如权利要求1所述的支持撤销外包可验证多授权中心访问控制方法，其特征在于，所述密钥包括：存储在云端用来完成部分解密的代理密钥和由用户自己保管的用来完成最终解密的用户私钥；加密过程包括由云服务商进行部分的加密计算，并将生成的密文发送给数据拥有者，数据拥有者再完成最终的加密；加密完成后，将密文上传至云服务商进行存储；云服务商收到请求后，使用存储在云端的用户的代理密钥对文件进行部分解密，并将该部分解密的密文发送给用户；收到密文后，用户再使用自己的私钥进行解密，只有属性满足访问策略的用户才能成功解密密文；当发生用户撤销时，数据拥有者将撤销用户的身份标识发送给云服务商，云服务商查找代理密钥列表，并删除该用户的代理密钥，失去了代理密钥，用户则无法解密从而恢复明文；发生属性撤销时，数据拥有者需重加密密文，同时授权中心需更新系统中其他非撤销用户的密钥；密文重加密以及密钥更新的部分工作外包给云服务商完成。3.如权利要求1所述的支持撤销外包可验证多授权中心访问控制方法，其特征在于，所述初始化具体包括：(1)CA初始化，CA首先选取一个系统安全参数λ和一个属性域U，然后挑选三个阶为p的乘法循环群G1，G2和GT，g1，g2为G1，G2的生成元，双线性映射为e:G1×G2→GT，并选择两个哈希函数H:{0,1}*→Zp，F:GT→Zp；CA再选择一个随机数a∈Zp，最后生成全局公共参数：CA会为系统中每个合法的授权中心颁发一个全局唯一的身份标识aid，为每个合法用户颁发一个全局唯一的身份标识uid；(2)AA初始化，AAaid管理的属性集定义为相关的授权中心集合定义为IA；AAaid首先选择两个随机数αaid,βaid∈Zp，对于属性集中的每个属性xk，AAaid都随机选择一个唯一的版本号vk，最后计算属性公钥、授权中心公钥、授权中心私钥如下：4.如权利要求1所述的支持撤销外包可验证多授权中心访问控制方法，其特征在于，授权中心为用户分配属性集，并生成解密所需的密钥具体包括：(1)AAaid首先为每个合法用户分配相应的属性集Suid,aid，然后为每个用户选择一个全局唯一的随机数zuid∈Zp，作为用户私钥，计算用户的代理密钥和用户私钥如下：SKuid＝zuid；(2)生成的代理密钥{PxKuid,aid}将被发送给云服务商存储，云服务商执行LPxK＝LPxK∪{uid,PxKuid,aid}，将用户的代理密钥添加至代理密钥列表LPxK中，用户私钥SKuid则发送给相应的用户，由用户自己保管。5.如权利要求1所述的支持撤销外包可验证多授权中心访问控制方法，其特征在于，数据拥有者对文件进行加密具体包括：(1)云服务商首先选择一个随机数s′∈Zp，对于i∈{1,…,l}，都随机选择λi′,γi′∈Zp，计算密文如下：输出部分加密的密文CTout＝{s′,C0,(Ci...

【专利技术属性】
技术研发人员：樊凯，王俊雄，许辉岳，潘强，李晖，
申请(专利权)人：西安电子科技大学，
类型：发明
国别省市：陕西,61