摘 要： 隨著計(jì)算機(jī)技術(shù)的快速發(fā)展，數(shù)據(jù)安全和訪問控制成為云計(jì)算研究的重要問題。已有的解決方案采用披露加密數(shù)據(jù)的方法，但這些方法為數(shù)據(jù)擁有者帶來大量的計(jì)算開銷，也面臨設(shè)計(jì)用戶吊銷機(jī)制的問題。因此，使用CP?ABE安全機(jī)制解決數(shù)據(jù)擁有者計(jì)算開銷大、在線時(shí)間長等問題，從而為云數(shù)據(jù)管理員提供相應(yīng)的加密訪問控制策略，有助于未來云管理從建設(shè)向使用交付過程。借助CP?ABE?R吊銷機(jī)制能有效解決用戶吊銷問題，有效解決其他有關(guān)機(jī)制在云計(jì)算環(huán)境下重新加密復(fù)雜和計(jì)算量大的問題。

關(guān)鍵詞： CP?ABE； 云計(jì)算技術(shù)； 數(shù)據(jù)訪問控制； 控制策略

中圖分類號(hào)： TN911?34 文獻(xiàn)標(biāo)識(shí)碼： A 文章編號(hào)： 1004?373X（2016）14?0092?03

Implementation strategy of data access control based on

CP?ABE and cloud computing technology

WANG Meng

（Engineering Training Center， Inner Mongolia University of Science and Technology， Baotou 014010， China）

Abstract： With the rapid development of computer technology， data security and access control have become the important problems of cloud computing research. The method of encrypt data disclosure is adopted in the existing solutions， but the method brings about a lot of computational overhead to the data owners， the design user is also faced with the problem of revocation mechanism. Therefore， the CP?ABE （cipertext?policy attribute?based encryption） security mechanism is used to solve the problems of computational overhead and long time online of data owners， thus the corresponding access control strategy is provided for the cloud data encryption administrators， which is helpful to the future cloud management turning from construction to application delivery. The CP?ABE ? R suspension mechanism can effectively solve the problem of user revocation. It effectively solve the problems of anew encrypt complex and large amount of calculation for other related mechanisms in cloud computing environment.

Keywords： CP?ABE； cloud computing technology； data access control； control strategy

傳統(tǒng)訪問控制系統(tǒng)一般假定數(shù)據(jù)擁有者和服務(wù)器存儲(chǔ)數(shù)據(jù)均處在同一個(gè)可信域內(nèi)。但是，云計(jì)算環(huán)境下這種假設(shè)不成立，因數(shù)據(jù)擁有者無法保障云服務(wù)器一直處在可信賴狀態(tài)，從而引發(fā)云計(jì)算安全相關(guān)的問題。 云計(jì)算是計(jì)算機(jī)和互聯(lián)網(wǎng)技術(shù)相互融合的產(chǎn)物，云計(jì)算技術(shù)的應(yīng)用，能更多地采用低成本獲取頂尖信息技術(shù)與服務(wù)，這一創(chuàng)新模式給信息產(chǎn)業(yè)帶來重要變革。文中提出采用CP?ABE（Cipertext?policy attribute?based encryption）加密算法創(chuàng)建云計(jì)算技術(shù)數(shù)據(jù)訪問控制方案，有利于解決云計(jì)算中外部數(shù)據(jù)出現(xiàn)的保密、計(jì)算開銷等問題，建立完善的吊銷機(jī)制，提供更加便于實(shí)施、安全的方案。

1 簡述CP?ABE定義及算法

1.1 CP?ABE的定義

假設(shè)P={P1，P2，…，Pn}表示所有屬性集合，則每一個(gè)用戶屬性A作為P的非空子集，A[?]{P1，P2，…，Pn}，那么，N個(gè)屬性用來鑒別2N個(gè)用戶[1]。訪問結(jié)構(gòu)作為T全集{P1，P2，…，Pn}的非空子集，[T?2{P1，P2，…，Pn}＼{Φ}]。T表示一個(gè)屬性判斷條件，在T中屬性集合稱作授權(quán)集，不在T中屬性集合稱作非授權(quán)集。

訪問結(jié)構(gòu)樹：用于描述某個(gè)訪問結(jié)構(gòu)，結(jié)構(gòu)樹某個(gè)葉節(jié)點(diǎn)表示一個(gè)屬性項(xiàng)，每一個(gè)內(nèi)部節(jié)點(diǎn)表示某個(gè)門關(guān)系，表示為AND（n of n），OR（1 of n），n of m（m>n）。CP?ABE用戶屬性能否解密訪問控制結(jié)構(gòu)T加密簡圖如圖1所示。

1.2 CP?ABE算法的步驟

CP?ABE算法的主要步驟如下：Setup能夠生成主密碼鑰匙Mk、公開參數(shù)Pk。CT=Encrypt（Pk，M，T），采用Pk、結(jié)構(gòu)T，加密數(shù)據(jù)明文（M）和密文（CT）。Sk=KeyGen（Mk，A），采用Mk與用戶屬性集A組成用戶私鑰Sk，采用私鑰Sk對(duì)密文CT進(jìn)行解碼，獲得明文M。

2 設(shè)計(jì)基于CP?ABE的訪問控制模型

云計(jì)算作為新型的網(wǎng)絡(luò)應(yīng)用模式，能確保用戶遠(yuǎn)程存儲(chǔ)并根據(jù)需要隨時(shí)訪問云上數(shù)據(jù)。

云計(jì)算把大量的計(jì)算資源、存儲(chǔ)信息與軟件資源進(jìn)行有機(jī)鏈接，形成巨大的共享虛擬資源池，為遠(yuǎn)程計(jì)算機(jī)用戶提供相對(duì)應(yīng)的服務(wù)。通常情況下，RTU多數(shù)據(jù)進(jìn)行收集并發(fā)送至SCADA/EMA，SCADA/EMA主要包括控制和數(shù)據(jù)中心兩個(gè)部分[2]。訪問控制體系結(jié)構(gòu)如圖2所示，該控制體系主要包括控制中心、數(shù)據(jù)中心、用戶User、RTU四個(gè)部分，具體分工如下：控制中心（CC）主要負(fù)責(zé)分發(fā)用戶私鑰；RTU將收集的數(shù)據(jù)發(fā)送至數(shù)據(jù)中心，且RTU具有創(chuàng)建、刪除、更新數(shù)據(jù)文件的功能，其他用戶只能讀取權(quán)限；數(shù)據(jù)中心（DataCentre）分布在各個(gè)地域，主要由數(shù)據(jù)管理者和數(shù)據(jù)庫兩個(gè)部分組成，管理者忠實(shí)地運(yùn)行程序及其相關(guān)的訪問協(xié)議，但可能會(huì)對(duì)部分內(nèi)容產(chǎn)生好奇，數(shù)據(jù)庫負(fù)責(zé)對(duì)相應(yīng)的數(shù)據(jù)文件進(jìn)行存儲(chǔ)[3]；User在達(dá)到訪問條件后方可訪問有關(guān)數(shù)據(jù)文件。

3 云計(jì)算環(huán)境下實(shí)現(xiàn)CP?ABE訪問控制方案

屬性加密訪問控制提供了比較靈活的方法，便于完成數(shù)據(jù)擁有者對(duì)數(shù)據(jù)加密時(shí)集成數(shù)據(jù)訪問策略。

3.1 建立系統(tǒng)及新文件

文中提出在CP?ABE基礎(chǔ)上實(shí)現(xiàn)云計(jì)算環(huán)境下數(shù)據(jù)安全訪問機(jī)制設(shè)計(jì)如下：

數(shù)據(jù)擁有者DO明確屬性集U，最大屬性規(guī)模數(shù)Nmax，求出密鑰更新的節(jié)點(diǎn)及吊銷節(jié)點(diǎn)在訪問中的具體路徑Path（Uid），采用Setup算法，初始化算法選定P階雙線性群G，隨之生成元素g，假設(shè)屬性可以用Zp中的元素表示，選擇兩個(gè)隨機(jī)的數(shù)字[a，a∈Zp]，最后在系統(tǒng)中發(fā)布公鑰參數(shù)Pk、主密鑰Mk。

將文件上傳至云服務(wù)器前，數(shù)據(jù)擁有者對(duì)數(shù)據(jù)文件展開以下處理：

首先，將文件在云端的存儲(chǔ)格式定為（FID，{CT（t），（M，p）}，E，RL，UI），F(xiàn)ID表示文件的惟一標(biāo)示，E作為文件密文形式，RL表示用戶吊銷列表，UI表示密鑰更新的各項(xiàng)信息，CT（t）表示訪問權(quán)限密文形式。對(duì)整個(gè)文件設(shè)置惟一的id，隨機(jī)選定一個(gè)相互對(duì)稱的密鑰DEK，并對(duì)數(shù)據(jù)文件實(shí)施加密處理。將文件定義為某個(gè)訪問結(jié)構(gòu)（M，p），并把DEK采用CP?ABE展開加密，如：CT（t）=Encypt（Pk，（M，p），DEK，t），t表示加密過程的時(shí)間戳，最后，把數(shù)據(jù)文件上傳至云端實(shí)施存儲(chǔ)。云服務(wù)器對(duì)數(shù)據(jù)文件進(jìn)行存儲(chǔ)和管理過程中，能有效維護(hù)數(shù)據(jù)擁有者提供的用戶列表（UL），包含RL信息、有效狀態(tài)。

3.2 授權(quán)新用戶

新用戶進(jìn)入登陸系統(tǒng)時(shí)，數(shù)據(jù)擁有者DO必須借助對(duì)申請(qǐng)新用戶實(shí)施驗(yàn)證，應(yīng)完成以下處理：

首先，要為新用戶設(shè)定惟一的標(biāo)識(shí)符和屬性集S[?]U，形成一個(gè)安全密鑰KeyGen（Uid，S，Mk），密鑰產(chǎn)生算法需檢驗(yàn)該Uid是否在過去使用過，若曾經(jīng)使用需確定S是不是與以前使用的相同，若相同應(yīng)輸出一個(gè)與原來相同的密鑰。如果沒有使用過，但S不相同，必須重新設(shè)定Uid，便于用戶在吊銷書上選定沒有使用的葉節(jié)點(diǎn)并把Uid與其進(jìn)行綁定處理。

采用Epuusr表示使用用戶公鑰加密數(shù)據(jù)元組合（Pk，Sk，S，[δ0，（Pk，Sk，S）]），把數(shù)據(jù)元組使用云服務(wù)公鑰進(jìn)行加密，并發(fā)送至云服務(wù)器。云服務(wù)器數(shù)據(jù)擁有者發(fā)來數(shù)據(jù)元組，采用自身的私鑰解密。檢驗(yàn)[δ0，（Pk，Sk，S）]是否有效，若有效對(duì)用戶列表進(jìn)行更新，存儲(chǔ)用戶Uid的有效狀態(tài)。待Epuusn轉(zhuǎn)發(fā)至其他用戶后，用戶先用私鑰解密數(shù)據(jù)元組，驗(yàn)簽完成后接收數(shù)據(jù)（Pk，Sk，S）當(dāng)作系統(tǒng)公鑰、用戶安全密鑰、訪問屬性集合展開管理。

3.3 吊銷用戶操作步驟

傳統(tǒng)CP?ABE機(jī)制內(nèi)，如果用戶在初建時(shí)期從系統(tǒng)管理員處獲取訪問憑證，這種訪問權(quán)利不會(huì)因用戶認(rèn)識(shí)變動(dòng)或其他違規(guī)操作而被禁止時(shí)開展相對(duì)應(yīng)的變更[4]。如此一來，如果發(fā)現(xiàn)系統(tǒng)原來的有效用戶存在危害系統(tǒng)的情況，ABE并未設(shè)置任何吊銷機(jī)制，系統(tǒng)管理員不得不重新建立系統(tǒng)，對(duì)于類似云計(jì)算這樣的系統(tǒng)必須管理大量用戶的應(yīng)用環(huán)境，這為管理人員帶來重大的難題。因此，吊銷機(jī)制應(yīng)在建立系統(tǒng)初期就加入設(shè)計(jì)中，并非作為補(bǔ)充措施進(jìn)行設(shè)置，這會(huì)導(dǎo)致較大的通信開銷和計(jì)算。 在CP?ABE基礎(chǔ)上設(shè)計(jì)的吊銷機(jī)制必須將以下方面考慮其中：

（1） 系統(tǒng)管理員只可把用戶的安全密鑰關(guān)聯(lián)至不同的屬性集上，不要關(guān)聯(lián)至單個(gè)特性表征上；

（2） 因已經(jīng)吊銷的用戶與未吊銷用戶存在共享的相同屬性特征，因此，系統(tǒng)因防范不同吊銷用戶之間共謀攻擊的情況[5]；

（3） 基于CP?ABE機(jī)制，個(gè)體用戶采用多個(gè)通用屬性描述，基于屬性集的吊銷機(jī)制無法準(zhǔn)確定位到具體吊銷用戶上。

通過上述分析對(duì)吊銷機(jī)制展開設(shè)計(jì)：數(shù)據(jù)擁有者DO嚴(yán)格按照用戶管理規(guī)則，變更用戶設(shè)定訪問權(quán)限，對(duì)用戶進(jìn)行吊銷時(shí)，實(shí)施以下操作：

求解密鑰更新節(jié)點(diǎn)KUN（RL，t）與吊銷節(jié)點(diǎn)在訪問樹路徑Path（Uid），DO更新用戶的吊銷列表RL。DO在用戶管理規(guī)劃基礎(chǔ)上，使用時(shí)間戳和吊銷列表RL進(jìn)行輸入，采用密鑰更新算法獲取更新的UI信息。采用新時(shí)間戳t將DEK借助（M，p）實(shí)施重新加密，CT（t）表示密文。DO把數(shù)據(jù)元組借助云服務(wù)器實(shí)施加密處理后發(fā)送至云服務(wù)器。云服務(wù)器端對(duì)DO發(fā)來的消息進(jìn)行解碼，云服務(wù)器對(duì)（RL，UI，CT（t））的有效性進(jìn)行驗(yàn)證，及時(shí)更新UL用戶狀態(tài)信息和存儲(chǔ)信息[6]RL，CT（t），UI。

3.4 文件訪問處理步驟

用戶向云服務(wù)器提交訪問申請(qǐng)后，云服務(wù)展開如下操作：

首先，云服務(wù)器向檢驗(yàn)用戶有效性，通過驗(yàn)證的用戶，把請(qǐng)求訪問文件F=（FID，{CT（t），（M，p）}，G，RL，UI）發(fā)送給用戶[F，δCSP，P]。用戶接收云服務(wù)器發(fā)出的請(qǐng)求文件后，進(jìn)一步驗(yàn)證文件是否完整。驗(yàn)證完成后，從文件內(nèi)提取CT（t），（M，p）等一系列信息，結(jié)合用戶Sk參數(shù)，借助Dencypt（CT（t），Sk，UI）算法對(duì)獲取文件加密密鑰。用戶采用DEK密鑰解密E獲得原文件訪問權(quán)。

3.5 方案安全性分析

基于CP?ABE算法訪問控制方案中，數(shù)據(jù)訪問者依據(jù)掌握的密鑰信息對(duì)加密存儲(chǔ)數(shù)據(jù)實(shí)施訪問操作。

（1） 數(shù)據(jù)訪問權(quán)限安全性分析。如果服務(wù)提供商處于不可信云環(huán)境中，不讓服務(wù)提供商和數(shù)據(jù)加密密鑰管理，完全通過數(shù)據(jù)所有者對(duì)其他用戶實(shí)施訪問授權(quán)，極大訪問權(quán)限管理的安全性[7]。

（2） 加密密鑰安全性分析。使用混合加密體制，采用對(duì)稱加密鑰加密數(shù)據(jù)保障加密的高效性，借助公鑰密體制展開加密處理，提升加密密鑰不會(huì)遭受非法用戶侵入。

4 結(jié) 語

總之，在云計(jì)算環(huán)境下根據(jù)CP?ABE設(shè)計(jì)訪問控制方案，有利于解決云計(jì)算環(huán)境下普遍出現(xiàn)的問題，借助CP?ABE實(shí)現(xiàn)機(jī)制展開討論，驗(yàn)證設(shè)計(jì)方案的安全性和完整性，深入分析該方案在云環(huán)境下用戶吊銷及新用戶登錄等方面的實(shí)現(xiàn)。

參考文獻(xiàn)

[1] 張令芬.FC SAN中交換機(jī)端口安全策略的設(shè)計(jì)與實(shí)現(xiàn)[J].現(xiàn)代電子技術(shù)，2015，38（7）：73?76.

[2] 王冠，范紅，杜大海.云存儲(chǔ)訪問控制方案的安全性分析與改進(jìn)[J].計(jì)算機(jī)應(yīng)用，2014，34（2）：373?376.

[3] 李偉偉，張濤，林為民，等.電力系統(tǒng)終端敏感數(shù)據(jù)保護(hù)研究與設(shè)計(jì)[J].現(xiàn)代電子技術(shù)，2013，36（15）：112?114.

[4] 楊庚，王東陽，張婷，等.云計(jì)算環(huán)境中基于屬性的多權(quán)威訪問控制方法[J].南京郵電大學(xué)學(xué)報(bào)（自然科學(xué)版），2014，34（2）：1?9.

[5] 陳燕俐，宋玲玲，楊庚.基于CP?ABE和SD的高效云計(jì)算訪問控制方案[J].計(jì)算機(jī)科學(xué)，2014，41（9）：152?157.

[6] 韓同欣，丁建元.基于動(dòng)態(tài)重加密的云計(jì)算存儲(chǔ)平臺(tái)權(quán)限撤銷優(yōu)化機(jī)制[J].科學(xué)技術(shù)與工程，2015，15（20）：108?115.

[7] 溫昱暉，陳廣勇，趙勁濤，等.基于CP?ABE在云計(jì)算中實(shí)現(xiàn)數(shù)據(jù)訪問控制的方案[J].重慶郵電大學(xué)學(xué)報(bào)（自然科學(xué)版），2013，25（5）：658?664.

[8] 周明快.基于CP?ABE的云計(jì)算改進(jìn)屬性加密安全訪問控制策略設(shè)計(jì)[J].計(jì)算機(jī)測量與控制，2015，23（1）：297?299.