一种基于动态属性权限的群组密钥协商方法技术

本发明专利技术提出了一种基于动态属性权限的群组密钥协商方法，步骤为：初始化移动边缘网络域内的协议参数，生成云服务器、边缘服务器和终端的公/私钥对，云服务器向终端分发属性权限，边缘服务器计算群组密钥因子发送给参与群组密钥协商的终端，终端进行身份及权限验证后计算群组加密和解密密钥；如果终端想要加入更高层级的群组或者终端受到惩罚，云服务器发放或回收权限并向所属域的边缘服务器发送更新信息。本发明专利技术支持动态属性权限更新，参与群组密钥协商终端可以随时退出群组或者权限变更，群组密钥的计算做相应的变更；结合区块链技术，由边缘服务器将信息以交易的形式形成区块并链接在联盟区块链中，使得协商过程更加灵活、高效和安全。高效和安全。高效和安全。

【技术实现步骤摘要】
一种基于动态属性权限的群组密钥协商方法


[0001]本专利技术涉及群组密钥协商的
，尤其涉及一种基于动态属性权限的群组密钥协商方法。

技术介绍

[0002]在当代人们工作和生活的过程中产生了海量的数据传输和频繁的资源交换，给信息安全领域提出了新的挑战。云计算可以提供海量存储以及可扩展的可靠性服务，而边缘计算十分敏捷，具有低时延、高带宽的特点。边云协同则可以继承两者的优点，因此，边云协同成为了当前的发展趋势，能够很好的应用在对网络低时延高带宽要求苛刻的各类场景业务中。在群组数据传输过程中，如何有效地保护终端的隐私性、各终端之间交换信息的保密性以及通信的安全性成为现在研究的热点话题。
[0003]群组密钥协商(GKA)技术是解决该问题的关键技术之一，该技术通过建立一条安全高效的通信信道，能够为群组实体提供可靠的数据传输服务，其应用领域十分广泛，如军事、医疗、教育等方面，因此群组密钥协商技术具有重要的研究意义。但是，随着科学的进步与新型技术的诞生，目前群组密钥协商技术面临着新的挑战，如在庞大规模的数据交换的过程中，终端隐私泄露问题、多群组通信过程中权限更新复杂问题以及终端成员的能耗受限问题等。针对上述问题，本专利技术提出了边云协同场景中基于动态属性权限的群组密钥协商协议，能够为边云协同环境中的组成员建立一条安全的通信信道，而且支持终端跨域参与群组密钥协商。
[0004]目前，针对边云协同场景中基于动态属性权限的群组密钥协商的研究尚未出现，一系列的挑战性问题有待解决。

技术实现思路

[0005]针对现有群组密钥协商方法在数据交换中终端隐私容易泄露，终端参与多群组通信的需求以及终端的能耗受限的技术问题，本专利技术提出一种基于动态属性权限的群组密钥协商方法，能够为边云协同环境中的组成员建立一条安全的通信信道，而且支持终端跨域参与群组密钥协商。
[0006]为了达到上述目的，本专利技术的技术方案是这样实现的：一种基于动态属性权限的群组密钥协商方法，其步骤如下：
[0007]步骤一：云服务器CS、边缘服务器以及终端与认证中心CA通信进行密钥自证实，获取合法的公私密钥对；
[0008]步骤二：各终端进行隐藏属性的身份认证并获取属性权值，各边缘服务器获得所有的边缘属性权值；云服务器CS根据各终端和各边缘服务器的IP划分管理域，将属性权限形成区块链链接在联盟区块链中；
[0009]步骤三：群组密钥协商计算群组加密密钥和群组解密密钥；
[0010]步骤四：权限升级使终端加入更高层级的群组
[0011]41)想要加入更高层级群组的终端，根据属性权值计算签名和哈希值I，并将申请属性权限所需的信息发送给云服务器CS；
[0012]42)云服务器CS收到终端发送的消息后，在信息平台中查询信息并计算哈希值II，并与收到的哈希值I对比，若相等，边缘服务器根据属性序列号找到对应的边缘属性权值，验证终端的身份和属性权值，如果验证成立，云服务器CS查询区块链并计算新属性的属性权限，并发送给终端和终端所在域的边缘服务器；
[0013]43)终端收到消息后计算一个新的属性权值；
[0014]44)边缘服务器收到消息后，边缘服务器将消息包含的信息和终端的属性权限以交易的形式写入一个新的区块I并链接在联盟区块链中，然后对信息公示平台进行更新；
[0015]步骤五：终端受到惩罚时，撤销终端的属性权值，更新其它具有该属性权值的终端的属性权值集合；
[0016]51)云服务器CS查询边云系统网络中其他终端列表，并选择一个随机数，计算新的属性权限发送给边云协同网络中的每一个终端和对应的边缘服务器；
[0017]52)终端和边缘服务器收到消息后，分别计算获得一个新的属性权值；
[0018]53)边缘服务器将包括新的属性权值的信息以交易的形式写入一个新的区块并链接在联盟区块链中，然后对信息公示平台进行更新。
[0019]优选地，还包括步骤六：终端建立安全信道将消息发送给群组内其他终端，且
[0020]加密的方法为：终端选择一个随机数并利用群组解密密钥计算参数和密文信息，然后在群组内广播包括参数和密文信息的消息密文；
[0021]解密的方法为：群组内其他终端收到消息密文后，使用协商出的解密密钥解密出明文。
[0022]优选地，所述密钥自证实的方法为：认证中心CA运行系统密钥生成算法生成公钥PG和主密钥MSK；收到认证中心CA广播的公钥PG和主密钥MSK后，云服务器CS、边缘服务器或终端随机选取一个正整数作为私钥，并计算公钥和证实密钥所需的中间变量，然后将证实的中间变量和公钥发送给认证中心CA；收到云服务器CS、边缘服务器或终端的消息后，认证中心CA验证公钥和身份标识的对应关系，如果验证通过，认证中心CA公布云服务器CS、边缘服务器或终端的公钥；
[0023]云服务器CS生成的公私密钥对为(pk
cs
,sk
cs
)，边云协同网络中的第i个边缘服务器ES
i
的公私密钥对为(pk
ESi
,sk
ESi
)，第i个边缘管理域的第j个终端u
i,j
的公私密钥对为其中，pk
cs
,sk
cs
分别表示云服务器的公钥和私钥，pk
ESi
,sk
ESi
分别表示边缘服务器ES
i
的公钥和私钥，分别表示终端u
i,j
的公钥和私钥，且1≤i≤N,1≤j≤n,N为边缘服务器的总数，n为每个边缘管理域中终端的总数。
[0024]优选地，所述步骤二的实现方法为：
[0025]1)云服务器CS根据系统的有序属性集合随机为每个属性选择一个对应的属性参数，然后广播系统的有序属性集及对应的属性序列号；
[0026]2)收到云服务器CS广播的系统的有序属性集后，终端随机选择一个正整数并通过云服务器的公钥和属性计算认证自己属性所需的中间参数和中间签名，然后将属性中间参数及中间签名发送给云服务器CS；
[0027]3)云服务器CS接收到终端发送的消息后，计算验证属性所需的属性中间变量并确定终端所具有的有序属性，云服务器CS计算哈希值并验证终端的中间签名，如果验证通过，云服务器CS根据终端的有序属性对应的属性参数计算终端的属性权限和属性签名并将属性权限和属性签名一起发送给终端；
[0028]4)收到云服务器CS的消息后，终端验证云服务器CS的属性权限和属性签名，如果验证通过，终端计算属性权值；
[0029]5)各边缘服务器根据步骤1)
‑
4)获得所有的边缘属性权限；
[0030]6)云服务器CS根据各终端和各边缘服务器的IP划分管理域，并将边缘服务器所属的终端的注册信息发送给对应的边缘服务器；边缘服务器将注册信息以交易的形式形成区块并链接在联盟区块链中，同时对信息公示平台进行更新。
[0031]优选地，本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于动态属性权限的群组密钥协商方法，其特征在于，其步骤如下：步骤一：云服务器CS、边缘服务器以及终端与认证中心CA通信进行密钥自证实，获取合法的公私密钥对；步骤二：各终端进行隐藏属性的身份认证并获取属性权值，各边缘服务器获得所有的边缘属性权值；云服务器CS根据各终端和各边缘服务器的IP划分管理域，将属性权限形成区块链链接在联盟区块链中；步骤三：群组密钥协商计算群组加密密钥和群组解密密钥；步骤四：权限升级使终端加入更高层级的群组41)想要加入更高层级群组的终端，根据属性权值计算签名和哈希值I，并将申请属性权限所需的信息发送给云服务器CS；42)云服务器CS收到终端发送的消息后，在信息平台中查询信息并计算哈希值II，并与收到的哈希值I对比，若相等，边缘服务器根据属性序列号找到对应的边缘属性权值，验证终端的身份和属性权值，如果验证成立，云服务器CS查询区块链并计算新属性的属性权限，并发送给终端和终端所在域的边缘服务器；43)终端收到消息后计算一个新的属性权值；44)边缘服务器收到消息后，边缘服务器将消息包含的信息和终端的属性权限以交易的形式写入一个新的区块I并链接在联盟区块链中，然后对信息公示平台进行更新；步骤五：终端受到惩罚时，撤销终端的属性权值，更新其它具有该属性权值的终端的属性权值集合；51)云服务器CS查询边云系统网络中其他终端列表，并选择一个随机数，计算新的属性权限发送给边云协同网络中的每一个终端和对应的边缘服务器；52)终端和边缘服务器收到消息后，分别计算获得一个新的属性权值；53)边缘服务器将包括新的属性权值的信息以交易的形式写入一个新的区块并链接在联盟区块链中，然后对信息公示平台进行更新。2.根据权利要求1所述的基于动态属性权限的群组密钥协商方法，其特征在于，还包括步骤六：终端建立安全信道将消息发送给群组内其他终端，且加密的方法为：终端选择一个随机数并利用群组解密密钥计算参数和密文信息，然后在群组内广播包括参数和密文信息的消息密文；解密的方法为：群组内其他终端收到消息密文后，使用协商出的解密密钥解密出明文。3.根据权利要求1或2所述的基于动态属性权限的群组密钥协商方法，其特征在于，所述密钥自证实的方法为：认证中心CA运行系统密钥生成算法生成公钥PG和主密钥MSK；收到认证中心CA广播的公钥PG和主密钥MSK后，云服务器CS、边缘服务器或终端随机选取一个正整数作为私钥，并计算公钥和证实密钥所需的中间变量，然后将证实的中间变量和公钥发送给认证中心CA；收到云服务器CS、边缘服务器或终端的消息后，认证中心CA验证公钥和身份标识的对应关系，如果验证通过，认证中心CA公布云服务器CS、边缘服务器或终端的公钥；云服务器CS生成的公私密钥对为(pk
cs
,sk
cs
)，边云协同网络中的第i个边缘服务器ES
i
的公私密钥对为(pk
ESi
,sk
ESi
)，第i个边缘管理域的第j个终端u
i,j
的公私密钥对为
其中，pk
cs
,sk
cs
分别表示云服务器的公钥和私钥，pk
ESi
,sk
ESi
分别表示边缘服务器ES
i
的公钥和私钥，分别表示终端u
i,j
的公钥和私钥，且1≤i≤N,1≤j≤n,N为边缘服务器的总数，n为每个边缘管理域中终端的总数。4.根据权利要求3所述的基于动态属性权限的群组密钥协商方法，其特征在于，所述步骤二的实现方法为：1)云服务器CS根据系统的有序属性集合随机为每个属性选择一个对应的属性参数，然后广播系统的有序属性集及对应的属性序列号；2)收到云服务器CS广播的系统的有序属性集后，终端随机选择一个正整数并通过云服务器的公钥和属性计算认证自己属性所需的中间参数和中间签名，然后将属性中间参数及中间签名发送给云服务器CS；3)云服务器CS接收到终端发送的消息后，计算验证属性所需的属性中间变量并确定终端所具有的有序属性，云服务器CS计算哈希值并验证终端的中间签名，如果验证通过，云服务器CS根据终端的有序属性对应的属性参数计算终端的属性权限和属性签名并将属性权限和属性签名一起发送给终端；4)收到云服务器CS的消息后，终端验证云服务器CS的属性权限和属性签名，如果验证通过，终端计算属性权值；5)各边缘服务器根据步骤1)
‑
4)获得所有的边缘属性权限；6)云服务器CS根据各终端和各边缘服务器的IP划分管理域，并将边缘服务器所属的终端的注册信息发送给对应的边缘服务器；边缘服务器将注册信息以交易的形式形成区块并链接在联盟区块链中，同时对信息公示平台进行更新。5.根据权利要求4所述的基于动态属性权限的群组密钥协商方法，其特征在于，所述终端u
i,j
的注册信息包括属性权限集合终端的有序属性集合对应的属性序列号集合(S1,S2,...,S
t
)、公钥身份标识和IP地址边缘服务器ES
i
形成区块的消息为其中，为终端u
i,j
的第t个属性对应的属性权限，S
t
为终端u
i,j
的第t个属性对应的属性序列号，L
i,j
为终端u
i,j
在属性认证过程中所需要的中间参数，表示交易的时间戳；且1≤t≤T，T为系统的有序属性集合中属性的个数；终端u
i,j
的属性权值组成的集合为的属性权值组成的集合为为终端u
i,j
的属性attr
i,j,t
对应的属性权值；边缘服务器ES
i
的边缘属性权值组成的集合为其中，表示边缘服务器ES
i
的第T个属性的属性权值；b
T
为第T个属性Attr
T
对应的属性参数，g1为加法群G1的生成元，为抗碰撞的哈希函数，表示阶为q的正整数集。6.根据权利要求4或5所述的基于动态属性权限的群组密钥协商方法，其特征在于，所述步骤三的实现方法为：31)群组密钥协商发起者u
i,τ
广播具有属性权限集或者子集为属性权限集
的终端进行群组密钥协商，发起者u
i,τ
计算参与群组密钥协商需要的属性哈希值设属性权限集对应的属性哈希值的集合为发起者u
i,τ
将群组密钥协商具有属性哈希值及其身份信息的消息广播到边缘协同网络上；其中，1≤τ≤n，为发起者u
i,τ
的第t个属性attr
i,τ,t
对应的属性权限，表示群组密钥协商发起者u
i,τ
的第t个属性的属性哈希值；为抗碰撞的哈希函数，表示阶为q的正整数集；32)其它任意的终端u
i,j
及边缘服务器ES
i
收到发起者u
i,τ
发起的群组密钥协商的消息后，分别根据自己的属性计算属性哈希值并与发起者u
i,τ
广播的属性哈希值进行对比，如果有，则终端u
i,j
判定自己有权限参与群组密钥协商；其中，1≤j≤n，为终端u
i,j
的第t个属性attr
i,j,t
的哈希值；33)有权限参与群组密钥协商的任意的终端u
i,j
和发起者u
i,τ

【专利技术属性】
技术研发人员：张启坤，刘梦琪，王颖，朱亮，张煜之，王锐芳，袁俊岭，李健勇，
申请(专利权)人：郑州轻工业大学，
类型：发明
国别省市：