區塊鏈技術在訪問控制的研究進展

吳曉暉 黃昌軍 吳夢蝶 陳石

摘 要：傳統的訪問控制技術是通過管理策略和權限，設置了用戶對信息數據的訪問能力及范圍，從而保證信息資源不被惡意非法地使用和訪問。目前信息環境中訪問控制技術被廣泛使用，但仍存在一些需要第三方認證、低效率等問題。區塊鏈技術作為一種新技術，可以有效地解決傳統訪問控制技術存在的問題。本文介紹了訪問控制技術的研究現狀和問題，結合區塊鏈技術的發展，簡述了區塊鏈技術的特性以及當前區塊鏈技術在訪問控制的應用，最后指出未來區塊鏈技術在訪問控制應用中的可以改進的地方及其發展方向。

關鍵詞：訪問控制;區塊鏈;第三方認證

隨著信息技術的發展，數據量越來越龐大，已進入了大數據時代。為了有效地保護數據的安全，訪問控制技術是首當其沖的手段。但傳統的訪問控制技術存在一定缺點，它需要引入第三方認證，效率低下。最初網絡環境不成熟，數據的流動性低，因此傳統的訪問控制能夠滿足當時的數據管理。目前分布式網絡環境，信息數據量大、流動性強，對數據的管理和保護提出了更高的要求。

區塊鏈是近幾年最為火熱的技術。區塊鏈技術因其特點使它具有去中心化，不需第三方機構以及信息不可篡改，隱私保護能力強等優點，使區塊鏈技術可以在眾多領域應用，例如物聯網、政府、醫院等。故區塊鏈可以解決傳統訪問控制的缺點。因此本文介紹了訪問控制技術，區塊鏈技術以及基于區塊鏈技術在訪問控制的研究進展和未來的發展。

1 訪問控制簡介

目前對信息、數據等資源進行保護的重要手段之一是訪問控制技術[1]。訪問控制主要是通過對訪問用戶的權限進行分配和管理來管理用戶可進行的操作行為。傳統訪問控制目的是保證信息資源不被惡意非法地使用和訪問。它主要包括主體、客體（資源）、權限三部分，其中主體可以是用戶或程序，客體（資源）是信息系統中的數據等，權限是主體（用戶）對客體（資源）的操作行為。

20世紀70年代訪問控制被提出后得到廣泛關注和發展，在傳統的訪問控制技術發展上被廣泛使用的訪問控制策略有三種：一是自主訪問控制，其主體具有自主性，主體可以決定是否將客體訪問權限權限授權給其他主體。因此自主訪問控制方式權限的可傳遞性和安全性較差。二是強制訪問控制，它主要注重保護系統的機密性，它所有的權限集中管理，不存在授權給其他主體的問題。但是權限集中管理實現復雜，管理難度大。三是基于角色的訪問控制，它引入角色，將權限與角色相關聯，通過賦予用戶角色來管理用戶的權限。在此基礎上訪問控制進行了大量的改進和發展，并提出了一些新的模型，如：引入屬性的基于屬性的訪問控制模型（ABAC）、基于行為的訪問控制、基于任務的訪問控制模型將任務作為授權依據、引入信用度的基于信用度的訪問控制模型和基于角色和屬性混合的訪問控制等。這些模型都需要第三方中心機構，如果第三方機構出現問題，就會造成整個訪問控制策略的不可靠，出現安全問題，甚至數據泄露。

2 區塊鏈技術概述

2.1 區塊鏈的簡介

區塊鏈沒有明確的定義，但根據2016年白皮書區塊鏈技術可描述為：區塊鏈技術是眾多技術融合的一種新技術，它的數據結構是一種按照時間順序將數據塊組合成的鏈式結構，并以密碼學方式保護數據不可被篡改、不可偽造的分布式賬本[2]。因區塊鏈是鏈式結構，它分為區塊頭和區塊體兩部分，區塊頭主要有前一區塊鏈的Hash值、時間戳和Merkle樹等信息，區塊體主要是交易信息。

2.2 區塊鏈的特性及應用價值

區塊鏈框架主要由數據層、網絡層、共識層、智能合約層和應用層共五層構成。這五層每層分別包括不同的技術決定了區塊鏈所有的特性。數據層主要進行數據的存儲和管理，就是區塊鏈的數據結構，包括哈希函數、時間戳、Merkles樹、數字簽名、非對稱加密技術等，使其在數據保護方面具有不可篡改，可溯源性，完整性。網絡層進行數據的傳輸及交易，包括P2P等技術，使區塊鏈具有分布式特性。共識層包括共識機制、激勵機制和發行機制等，保證分布式數據的一致性。智能合約層通過虛擬機等技術構造出適合用戶進行交易、創建、存儲數據等操作的智能合約框架，不需要第三方機構，實現去中心化。應用層讓區塊鏈可以和各種應用場景連接，提供了可編程的接口。

區塊鏈的特性使它在眾多的領域有良好的應用價值。第一，不可篡改，可溯源性;在金融的信用記錄，教育醫療的信息記錄等領域的應用。第二，分布式數據，去中心化;在訪問控制中對數據的保護和管理，增加了效率，降低了流通成本。第三，區塊鏈可以和云計算、大數據、物聯網等技術緊密相結合，解決很多信息安全問題。

3 區塊鏈在訪問控制中的應用

目前已有一些區塊鏈在訪問控制中的研究成果。王棟等人[3]提出了基于區塊鏈的訪問控制模型，分析了基于區塊鏈訪問控制的優點：克服了傳統的訪問控制系統存在中心化系統的缺點，提高隱秘性，降低成本，增強效率。劉雪貞等人[4]將區塊鏈與基于屬性的訪問控制模型結合，防止了客體資源被惡意訪問的情況。

目前基于區塊鏈技術的訪問控制方面的研究主要是基于交易進行策略、權限的管理和基于智能合約的訪問控制這兩大方面。在基于策略、權限的管理方面，Damiano[5]利用區塊鏈交易技術對ABAC模型進行擴展，通過交易來進行訪問控制策略的管理，替代了傳統的關系型數據庫存儲策略。Zyskind[6]提出了使用用戶公鑰和服務公鑰共同對權限進行管理，實現了更細粒度的權限管理策略。FairAccess[7]將比特幣中Wallet概念引入到訪問控制策略中，實現了由用戶驅動且更透明的訪問控制策略。這三種策略在公有鏈上的性能比較見下表。

在基于智能合約的訪問控制方面，最具代表性的是MedRec框架[8]的提出，該框架將智能合約與訪問控制相結合，實現了權限的自動化管理。在醫療環境下可以對不同組織的分布式醫療數據進行整合和權限管理。在此模型基礎上有提出了MSDN框架[9]，采用代理重加密的方法對醫療數據進行訪問控制。這兩種策略相比較，MSDN框架在計算開銷方面更低。

4 結論

本文介紹一些區塊鏈技術在訪問控制中的應用，雖然區塊鏈技術性能解決了傳統訪問控制需要第三方認證、低效率等缺點，在訪問控制方面得到了很好的應用。但是也因區塊鏈的一些特性存在安全性問題，例如：目前大數據和區塊鏈的快速發展，會產生大量的數據，對訪問控制策略更新以及權限的更新提出了很大的挑戰，而區塊鏈在交易記錄上有具有不可撤銷性，對訪問控制策略的更新以及權限的更新帶來影響，進一步加大了訪問控制策略及權限的難度，如何解決這一問題值得研究;另外在區塊鏈上所有的交易信息，策略以及權限信息是透明的，容易被非法分子惡意攻擊，如何避免惡意攻擊，需要研究有效的方法進行保護等。

參考文獻：

[1]李昊，張敏，馮登國，等.大數據訪問控制研究[J].計算機學報，2017（01）：72-91.

[2]華為區塊鏈技術開發團隊.《區塊鏈技術及應用》[J].當代廣西，2019（23）.

[3]王棟，張云龍，馬斌.基于區塊鏈的訪問控制技術探索[J].價值工程，2020，039（014）：227-228.

[4]劉雪貞，孫從翔.基于區塊鏈技術的安全訪問控制機制[J].信息與電腦，2020，032（007）：191-193.

[5]Damiano Di Francesco Maesa，Paolo Mori，Laura Ricci.Blockchain Based Access Control[J].2017.

[6]Zyskind G，Zekrifa D M S，Alex P，et al.Decentralizing Privacy：Using Blockchain to Protect Personal Data[C].IEEE Security & Privacy Workshops.IEEE，2015.

[7]Aafaf Ouaddah，Anas Abou Elkalam，Abdellah Ait Ouahman.FairAccess：a new Blockchain-based access control framework for the Internet of Things[J].Security and Communication Networks，2017.

[8]Azaria A，Ekblaw A，Vieira T，et al.[IEEE 2016 2nd International Conference on Open and Big Data（OBD）-Vienna，Austria（2016.8.22-2016.8.24）]2016 2nd International Conference on Open and Big Data（OBD）-MedRec：Using Blockchain for Medical Data Access and Permission Management[J].2016：25-30.

[9]Xue T F，Fu Q C，Wang C，et al.A Medical Data Sharing Model via Blockchain[J].Zidonghua Xuebao/Acta Automatica Sinica，2017，43（9）：1555-1562.