CP?ABE及云計算技術下的數據訪問控制實現策略

摘 要： 隨著計算機技術的快速發展，數據安全和訪問控制成為云計算研究的重要問題。已有的解決方案采用披露加密數據的方法，但這些方法為數據擁有者帶來大量的計算開銷，也面臨設計用戶吊銷機制的問題。因此，使用CP?ABE安全機制解決數據擁有者計算開銷大、在線時間長等問題，從而為云數據管理員提供相應的加密訪問控制策略，有助于未來云管理從建設向使用交付過程。借助CP?ABE?R吊銷機制能有效解決用戶吊銷問題，有效解決其他有關機制在云計算環境下重新加密復雜和計算量大的問題。

關鍵詞： CP?ABE； 云計算技術； 數據訪問控制； 控制策略

中圖分類號： TN911?34 文獻標識碼： A 文章編號： 1004?373X（2016）14?0092?03

Implementation strategy of data access control based on

CP?ABE and cloud computing technology

WANG Meng

（Engineering Training Center， Inner Mongolia University of Science and Technology， Baotou 014010， China）

Abstract： With the rapid development of computer technology， data security and access control have become the important problems of cloud computing research. The method of encrypt data disclosure is adopted in the existing solutions， but the method brings about a lot of computational overhead to the data owners， the design user is also faced with the problem of revocation mechanism. Therefore， the CP?ABE （cipertext?policy attribute?based encryption） security mechanism is used to solve the problems of computational overhead and long time online of data owners， thus the corresponding access control strategy is provided for the cloud data encryption administrators， which is helpful to the future cloud management turning from construction to application delivery. The CP?ABE ? R suspension mechanism can effectively solve the problem of user revocation. It effectively solve the problems of anew encrypt complex and large amount of calculation for other related mechanisms in cloud computing environment.

Keywords： CP?ABE； cloud computing technology； data access control； control strategy

傳統訪問控制系統一般假定數據擁有者和服務器存儲數據均處在同一個可信域內。但是，云計算環境下這種假設不成立，因數據擁有者無法保障云服務器一直處在可信賴狀態，從而引發云計算安全相關的問題。 云計算是計算機和互聯網技術相互融合的產物，云計算技術的應用，能更多地采用低成本獲取頂尖信息技術與服務，這一創新模式給信息產業帶來重要變革。文中提出采用CP?ABE（Cipertext?policy attribute?based encryption）加密算法創建云計算技術數據訪問控制方案，有利于解決云計算中外部數據出現的保密、計算開銷等問題，建立完善的吊銷機制，提供更加便于實施、安全的方案。

1 簡述CP?ABE定義及算法

1.1 CP?ABE的定義

假設P={P1，P2，…，Pn}表示所有屬性集合，則每一個用戶屬性A作為P的非空子集，A[?]{P1，P2，…，Pn}，那么，N個屬性用來鑒別2N個用戶[1]。訪問結構作為T全集{P1，P2，…，Pn}的非空子集，[T?2{P1，P2，…，Pn}＼{Φ}]。T表示一個屬性判斷條件，在T中屬性集合稱作授權集，不在T中屬性集合稱作非授權集。

訪問結構樹：用于描述某個訪問結構，結構樹某個葉節點表示一個屬性項，每一個內部節點表示某個門關系，表示為AND（n of n），OR（1 of n），n of m（m>n）。CP?ABE用戶屬性能否解密訪問控制結構T加密簡圖如圖1所示。

1.2 CP?ABE算法的步驟

CP?ABE算法的主要步驟如下：Setup能夠生成主密碼鑰匙Mk、公開參數Pk。CT=Encrypt（Pk，M，T），采用Pk、結構T，加密數據明文（M）和密文（CT）。Sk=KeyGen（Mk，A），采用Mk與用戶屬性集A組成用戶私鑰Sk，采用私鑰Sk對密文CT進行解碼，獲得明文M。

2 設計基于CP?ABE的訪問控制模型

云計算作為新型的網絡應用模式，能確保用戶遠程存儲并根據需要隨時訪問云上數據。

云計算把大量的計算資源、存儲信息與軟件資源進行有機鏈接，形成巨大的共享虛擬資源池，為遠程計算機用戶提供相對應的服務。通常情況下，RTU多數據進行收集并發送至SCADA/EMA，SCADA/EMA主要包括控制和數據中心兩個部分[2]。訪問控制體系結構如圖2所示，該控制體系主要包括控制中心、數據中心、用戶User、RTU四個部分，具體分工如下：控制中心（CC）主要負責分發用戶私鑰；RTU將收集的數據發送至數據中心，且RTU具有創建、刪除、更新數據文件的功能，其他用戶只能讀取權限；數據中心（DataCentre）分布在各個地域，主要由數據管理者和數據庫兩個部分組成，管理者忠實地運行程序及其相關的訪問協議，但可能會對部分內容產生好奇，數據庫負責對相應的數據文件進行存儲[3]；User在達到訪問條件后方可訪問有關數據文件。

3 云計算環境下實現CP?ABE訪問控制方案

屬性加密訪問控制提供了比較靈活的方法，便于完成數據擁有者對數據加密時集成數據訪問策略。

3.1 建立系統及新文件

文中提出在CP?ABE基礎上實現云計算環境下數據安全訪問機制設計如下：

數據擁有者DO明確屬性集U，最大屬性規模數Nmax，求出密鑰更新的節點及吊銷節點在訪問中的具體路徑Path（Uid），采用Setup算法，初始化算法選定P階雙線性群G，隨之生成元素g，假設屬性可以用Zp中的元素表示，選擇兩個隨機的數字[a，a∈Zp]，最后在系統中發布公鑰參數Pk、主密鑰Mk。

將文件上傳至云服務器前，數據擁有者對數據文件展開以下處理：

首先，將文件在云端的存儲格式定為（FID，{CT（t），（M，p）}，E，RL，UI），FID表示文件的惟一標示，E作為文件密文形式，RL表示用戶吊銷列表，UI表示密鑰更新的各項信息，CT（t）表示訪問權限密文形式。對整個文件設置惟一的id，隨機選定一個相互對稱的密鑰DEK，并對數據文件實施加密處理。將文件定義為某個訪問結構（M，p），并把DEK采用CP?ABE展開加密，如：CT（t）=Encypt（Pk，（M，p），DEK，t），t表示加密過程的時間戳，最后，把數據文件上傳至云端實施存儲。云服務器對數據文件進行存儲和管理過程中，能有效維護數據擁有者提供的用戶列表（UL），包含RL信息、有效狀態。

3.2 授權新用戶

新用戶進入登陸系統時，數據擁有者DO必須借助對申請新用戶實施驗證，應完成以下處理：

首先，要為新用戶設定惟一的標識符和屬性集S[?]U，形成一個安全密鑰KeyGen（Uid，S，Mk），密鑰產生算法需檢驗該Uid是否在過去使用過，若曾經使用需確定S是不是與以前使用的相同，若相同應輸出一個與原來相同的密鑰。如果沒有使用過，但S不相同，必須重新設定Uid，便于用戶在吊銷書上選定沒有使用的葉節點并把Uid與其進行綁定處理。

采用Epuusr表示使用用戶公鑰加密數據元組合（Pk，Sk，S，[δ0，（Pk，Sk，S）]），把數據元組使用云服務公鑰進行加密，并發送至云服務器。云服務器數據擁有者發來數據元組，采用自身的私鑰解密。檢驗[δ0，（Pk，Sk，S）]是否有效，若有效對用戶列表進行更新，存儲用戶Uid的有效狀態。待Epuusn轉發至其他用戶后，用戶先用私鑰解密數據元組，驗簽完成后接收數據（Pk，Sk，S）當作系統公鑰、用戶安全密鑰、訪問屬性集合展開管理。

3.3 吊銷用戶操作步驟

傳統CP?ABE機制內，如果用戶在初建時期從系統管理員處獲取訪問憑證，這種訪問權利不會因用戶認識變動或其他違規操作而被禁止時開展相對應的變更[4]。如此一來，如果發現系統原來的有效用戶存在危害系統的情況，ABE并未設置任何吊銷機制，系統管理員不得不重新建立系統，對于類似云計算這樣的系統必須管理大量用戶的應用環境，這為管理人員帶來重大的難題。因此，吊銷機制應在建立系統初期就加入設計中，并非作為補充措施進行設置，這會導致較大的通信開銷和計算。 在CP?ABE基礎上設計的吊銷機制必須將以下方面考慮其中：

（1） 系統管理員只可把用戶的安全密鑰關聯至不同的屬性集上，不要關聯至單個特性表征上；

（2） 因已經吊銷的用戶與未吊銷用戶存在共享的相同屬性特征，因此，系統因防范不同吊銷用戶之間共謀攻擊的情況[5]；

（3） 基于CP?ABE機制，個體用戶采用多個通用屬性描述，基于屬性集的吊銷機制無法準確定位到具體吊銷用戶上。

通過上述分析對吊銷機制展開設計：數據擁有者DO嚴格按照用戶管理規則，變更用戶設定訪問權限，對用戶進行吊銷時，實施以下操作：

求解密鑰更新節點KUN（RL，t）與吊銷節點在訪問樹路徑Path（Uid），DO更新用戶的吊銷列表RL。DO在用戶管理規劃基礎上，使用時間戳和吊銷列表RL進行輸入，采用密鑰更新算法獲取更新的UI信息。采用新時間戳t將DEK借助（M，p）實施重新加密，CT（t）表示密文。DO把數據元組借助云服務器實施加密處理后發送至云服務器。云服務器端對DO發來的消息進行解碼，云服務器對（RL，UI，CT（t））的有效性進行驗證，及時更新UL用戶狀態信息和存儲信息[6]RL，CT（t），UI。

3.4 文件訪問處理步驟

用戶向云服務器提交訪問申請后，云服務展開如下操作：

首先，云服務器向檢驗用戶有效性，通過驗證的用戶，把請求訪問文件F=（FID，{CT（t），（M，p）}，G，RL，UI）發送給用戶[F，δCSP，P]。用戶接收云服務器發出的請求文件后，進一步驗證文件是否完整。驗證完成后，從文件內提取CT（t），（M，p）等一系列信息，結合用戶Sk參數，借助Dencypt（CT（t），Sk，UI）算法對獲取文件加密密鑰。用戶采用DEK密鑰解密E獲得原文件訪問權。

3.5 方案安全性分析

基于CP?ABE算法訪問控制方案中，數據訪問者依據掌握的密鑰信息對加密存儲數據實施訪問操作。

（1） 數據訪問權限安全性分析。如果服務提供商處于不可信云環境中，不讓服務提供商和數據加密密鑰管理，完全通過數據所有者對其他用戶實施訪問授權，極大訪問權限管理的安全性[7]。

（2） 加密密鑰安全性分析。使用混合加密體制，采用對稱加密鑰加密數據保障加密的高效性，借助公鑰密體制展開加密處理，提升加密密鑰不會遭受非法用戶侵入。

4 結 語

總之，在云計算環境下根據CP?ABE設計訪問控制方案，有利于解決云計算環境下普遍出現的問題，借助CP?ABE實現機制展開討論，驗證設計方案的安全性和完整性，深入分析該方案在云環境下用戶吊銷及新用戶登錄等方面的實現。

參考文獻

[1] 張令芬.FC SAN中交換機端口安全策略的設計與實現[J].現代電子技術，2015，38（7）：73?76.

[2] 王冠，范紅，杜大海.云存儲訪問控制方案的安全性分析與改進[J].計算機應用，2014，34（2）：373?376.

[3] 李偉偉，張濤，林為民，等.電力系統終端敏感數據保護研究與設計[J].現代電子技術，2013，36（15）：112?114.

[4] 楊庚，王東陽，張婷，等.云計算環境中基于屬性的多權威訪問控制方法[J].南京郵電大學學報（自然科學版），2014，34（2）：1?9.

[5] 陳燕俐，宋玲玲，楊庚.基于CP?ABE和SD的高效云計算訪問控制方案[J].計算機科學，2014，41（9）：152?157.

[6] 韓同欣，丁建元.基于動態重加密的云計算存儲平臺權限撤銷優化機制[J].科學技術與工程，2015，15（20）：108?115.

[7] 溫昱暉，陳廣勇，趙勁濤，等.基于CP?ABE在云計算中實現數據訪問控制的方案[J].重慶郵電大學學報（自然科學版），2013，25（5）：658?664.

[8] 周明快.基于CP?ABE的云計算改進屬性加密安全訪問控制策略設計[J].計算機測量與控制，2015，23（1）：297?299.