基于CP-ABE的云存储数据访问控制方案研究_朱莉.pdf

第11卷 第1期Vol.11,No.1CBZYJY2023年1月收稿日期：2022-03-22基金项目：渤海船舶职业学院 2022 年度立项课题作者简介：朱莉（1975），女，辽宁锦州人，高级实验师，硕士，研究方向：计算机科学与技术、计算机实训教学。Research on Cloud Storage Data Access Control Scheme Based on CP-ABE基于CP-ABE的云存储数据访问控制方案研究摘要：随着云计算的飞速发展，对云存储的数据安全性有了更高要求。基于 CP-ABE 的访问控制方案适用于云存储的场景，结合云存储数据的机密性、完整性和抗击合谋性等因素提出 3 种基于 CP-ABE 的改进访问控制方案：分层密钥管理方案解决密钥泄露问题并提高系统的运算效率；可追踪密钥方案能够追踪并确定泄露密钥的用户身份；结合区块链方案能够保障访问控制策略的完整性，防止非法用户对数据的篡改。优化方案从不同角度提高了云存储数据访问控制的高效性及安全性。关键词：CP-ABE；云存储数据；访问控制方案中图分类号：TP309文献标识码：A文章编号：2095-5928（2023）01-74-04渤海船舶职业学院，辽宁 兴城 125105朱莉ZHU LiBohai Shipbuilding Vocational College,Xingcheng 125105,ChinaAbstract:With the rapid development of cloud computing,the data security of cloud storage has higherrequirements.The access control scheme based on CP-ABE is applicable to the cloud storage scenario.Threeimproved access control schemes based on CP-ABE are proposed in combination with the confidentiality,integrityand collusion resistance of cloud storage data.Hierarchical key management scheme solves the key disclosure problemand improves the operational efficiency of the system.The traceable key scheme can track and determine the useridentity of the compromised key.Combining the blockchain scheme can ensure the integrity of the access controlstrategy and prevent illegal users from tampering with data.The optimization scheme improves the efficiency andsecurity of cloud storage data access control from different perspectives.Key words:CP-ABE;cloud storage data;access control scheme随着云计算技术的迅速发展，云计算产业规模不断扩大。云存储作为云计算的重要组成之一，其实质是通过协作式存储，以应用程序或服务接口的形式为用户提供各种类型的数据存储与访问服务，具有成本低廉、易于扩展、操作便捷、按量计费等优点，同时也面临更大的安全威胁。云存储环境是一个动态的分布式系统，用户失去了对数据的控制权，而云服务器并不完全可信，非授权访问、篡改用户数据、泄露用户隐私等安全问题层出不穷，如何发展访问控制技术、实施安全防护策略保障数据的机密性与可靠性，给云存储系统的访问控制研究提出了新的挑战。1基本CP-ABE方案原理访问控制技术中的密文策略属性基加密（CP-ABE）方案，通过对密文的访问控制来实现对数据的访问控制，使密钥与属性集合相关联，将访问策略嵌入密文当中，只有当密文属性与访问策略相匹配时，用户才能成功获取解密密钥，具有灵活性、安全性和高效性，适合云存储中大量动态变化的数据，用户数量大且解密方不固综合研究Comprehensive Study船 舶 职 业 教 育SHIPBUILDING VOCATIONAL EDUCATIONDOI:10.16850/ki.21-1590/g4.2023.01.02574第11卷第1期Vol.11,No.1CBZYJY2023年1月定、细粒度访问的环境，可以有效保障云服务器中的数据安全1。1.1 基本 CP-ABE 系统模型基本的 CP-ABE 系统模型由四部分组成：可信授权中心、数据拥有者、用户及云服务提供商。授权中心是完全可信的，负责生成属性密钥，包括系统公钥和用户私钥，对属性进行分发授权；数据拥有者是不可信的，具有数据的操作权，负责根据属性集合制定相应的访问控制策略和数据共享需求对数据进行等级加密，并将密文上传给云服务提供商；用户是可信的，从可信授权中心获取属性密钥，从服务提供商处获取密文，不会主动泄露密钥，当属性匹配访问控制策略时解密密文；服务提供商是半可信的，遵守服务水平协议为用户提供存储服务，可能会主动获取用户的隐私数据，也可能受到被动攻击泄露用户密钥，基本 CP-ABE 系统模型如图 1 所示。图1基本CP-ABE访问控制系统模型1.2 基本算法设置 CP-ABE 属性基加密方案包括 4 个算法步骤2，如表 1 所示。表1 CP-ABE的算法步骤大部分 CP-ABE 算法具有很强的安全性，属性撤销时大量的数据需要重新加密、解密和分配权限，造成云服务器计算效率低下；基本CP-ABE 方案属性以明文的形式存储在云端，一般通过隐藏属性值方式保护访问控制策略，或者将访问策略使用多值与门来表示，在加密时转换成访问树的方式进行完全访问控制策略隐藏3，但无法实现对密钥的追踪；引入外包解密的CP-ABE 访问控制方案中，云服务提供商可能因为利益篡改数据。针对以上问题，需要进一步探索 CP-ABE 的改进方案，提升云存储的安全性、机密性和高效性。2基于CP-ABE改进的访问控制方案2.1 分层密钥管理方案分层密钥管理是指在加密时对密钥与明文分两层进行管理，解决密钥泄漏问题。方案模型中加入属性授权中心，它是完全可信的，对用户的属性授权并生成附加密钥版本的密钥。算法实施流程分为 5 个步骤：第一，密钥生成。可信授权中心生成系统公钥和主密钥，并发送给属性授权中心，可信授权中心生成属性授权中心公钥和私钥，并为用户提供全局公钥和私钥。第二，加密。数据拥有者向可信授权中心申请数据操作权限，在下层对数据明文加密得到密文 Cm，密钥不同生成的用户权限也不相同，上层对密钥内容加密得到密文 Cn，数据拥有者将Cm 和 Cn 一同发送给云服务提供商，具体情况如图 2 所示。图2分层密钥管理方式加密阶段示意图第三，解密。用户通过全局私钥向属性授权中心申请密钥，确定用户属性后将私钥以及私钥版本发送给用户，合法用户从可信授权中心下载Cn 和 Cm，如果私钥与 Cn 匹配，解密得到密钥算法私钥生成（Keygen）数据解密（Decrypt）步骤4执行者用户可信授权中心312授权初始化（Setup）数据加密（Encrypt）可信授权中心数 据 拥有者输入输出授权中心主密钥和属性集合请求并输出用户属性私钥系统公钥、加密的数据和用户属性私钥如属性集合与密文访问策略匹配，可以解密并输出原始数据全局公共安全参数和属性空间与用户空间大小授权中心主密钥和系统公钥，将系统公钥发送给数据提供者主密钥、系统公钥、需加密的文件数据与访问控制策略加密后的数据存放到云服务器Comprehensive Study综合研究基于 CP-ABE 的云存储数据访问控制方案研究CP-ABE 加密数据密文 Cm密钥内容对称加密数据明文云服务提供商自定义访问策略密钥明文密钥密文 Cn75第11卷 第1期Vol.11,No.1CBZYJY2023年1月内容，再根据密钥内容解密 Cm 得到数据明文，非法用户没有权限访问数据。第四，属性撤销。当用户属性发生改变时，通过撤销用户的某些属性禁止用户的非法访问。首先由可信授权中心更新用户的属性集合，并将参数发送给属性授权中心，再一次计算密钥版本再发送给云服务提供商计算私钥，旧私钥失效，用户使用新的私钥解密。第五，授权改写。由属性授权中心更改用户属性集合，数据拥有者生成授权控制参数对发给用户，包括读取和写入数据的权限，得到新的密文后改写授权。分层密钥管理的优点：对数据明文和密钥形成双层保护，上层和下层的加密算法选择灵活，加密解密效率高；非法用户无法获取密钥，有效防止密钥的泄露；按用户要求实现细粒度访问控制，进行授权改写；只有获取到新版本密钥的合法用户才能实现属性撤销的操作，提高了系统的隐私性和运算效率。2.2 可追踪密钥方案在采用一棵访问树实现访问策略完全隐藏，且不影响加解密效率的基础上，加入完全可信的身份认证中心和追踪算法来追踪密钥4，算法实施流程分为 4 个步骤：第一，在使用云服务提供商的服务之前，身份认证中心要求数据拥有者和用户注册并进行身份合法性验证，数据拥有者在请求服务时，输入唯一的身份标识和密码进行验证。第二，身份认证中心确认其合法后，数据拥有者根据属性集合设置相关的访问策略和对应的数据安全需求，采用初始化算法、密钥生成算法和加密算法对数据进行加密并在云服务器中保存密文。第三，当用户提出访问数据的要求后，由身份认证中心确定其身份的合法性，属性授权中心检查其是否具有相应权限，有权限则发放私钥，若数据使用者的属性与访问控制策略匹配，就可以利用私钥，采用解密算法对密文进行解密生成明文信息，实现对数据的正常访问。第四，通过属性权威中心，数据拥有者可以验证用户私钥是否为合法有效的密钥，并采用追踪算法进行追踪，根据私钥中包含的追踪因子在追踪列表中进行查找，查找成功输出追踪因子所对应的身份标识 ID 追踪用户身份，查找失败说明密钥非法或用户没有注册。可追踪密钥方案优点：每个数据拥有者和用户都具有唯一的身份 ID 和密码，在访问数据前进行身份的验证，提高了非法攻击的难度，降低数据被非法获取的风险。根据用户私钥在追踪列表中查找追踪因子，可以追踪并确定泄露密钥的用户身份 ID，解决非法用户合谋攻击的问题。2.3 结合区块链方案区块链技术具有集体维护、去中心化和安全可信等特点，结合其不可篡改性可以保证云服务提供商的服务5。云服务提供商负责存储用户的数据和访问控制策略并代理密钥，加入联盟链成员实体，负责根据共享数据的要求制定访问控制策略，发送和接收共享的加密数据，算法实施流程分为 4 个步骤：第一，可信授权中心输入安全参数，输出全局公共参数进行初始化；属性授权中心输入全局公共参数和注册用户全局唯一身份标识，输出公私钥对、属性集合和属性公钥进行初始化；联盟链成员输入安全参数，输出联盟链成员签名公私钥对进行初始化；云服务提供商输入安全参数，输出签名公私钥对进行初始化，各个公钥都需要在可信授权中心验证。第二，属性授权中心输入全局公共参数、属性授权中心密钥、属性公钥集和身份标识，输出用户和解密密钥。联盟链成员输入全局公共参数、相关属性授权中心的公钥、相关属性集和需加密的数据，输出访问控制策略、密文及明文哈希值。第三，云服务提供商输入明文哈希值和访问控制策略并输出签名，联盟链成员收到签名进行验证，如不正确则产生错误报告，如正确打包签名并生成交易。第四，云服务提供商将全局公共参数和用户船舶职业教育综合研究Comprehensive Study76第11卷第1期Vol.11,No.1CBZYJY2023年1月代理密钥