[發明專利]一種大型合作網絡的訪問控制機制及其實現方法

有效

• 申請號: 201810253615.3
• 申請日: 2018-03-26
• 公開（公告）號: CN108600174B
• 公開（公告）日: 2020-07-28
• 發明（設計）人: 張選平;樊興;王嘉寅
• 申請（專利權）人: 西安交通大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 西安通大專利代理有限責任公司 61200
• 代理人: 高博

1.一種大型合作網絡訪問控制系統的實現方法，其特征在于，大型合作網絡訪問控制系統包括認證中心、網絡服務器、數據擁有者、數據傳播者和數據訪問者，認證中心用于生成系統運行參數，提供注冊、屬性管理和分配密鑰服務；網絡服務器用于為用戶提供數據服務；數據擁有者用于定義數據的訪問權限和傳播權限；當用戶滿足所述傳播權限時，則以數據傳播者的身份進行數據傳輸，數據訪問者用于從所述網絡服務器中獲取并訪問所述數據；所述數據采用兩階密文結構，由所述數據擁有者創建并由所述數據傳播者補充；所述密文結構對應的密文分兩步創建，第一步，對數據和數據簡介使用內容密鑰進行加密；第二步，使用訪問結構對內容密鑰進行加密；所述訪問結構包括數據訪問結構和數據目錄項訪問結構兩層，所述數據訪問者同時滿足所述數據的訪問結構和數據目錄項的訪問結構才能夠訪問所述數據，滿足所述數據目錄項訪問結構的所述數據傳播者能夠將數據傳輸給其他用戶；所述數據訪問結構由所述數據擁有者創建，使用訪問樹結構，樹中葉子節點代表的屬性要求在全局范圍內可識別；所述數據目錄項訪問結構包括傳播訪問結構和用戶自定義訪問結構；所述傳播訪問結構為一個析取范式，析取范式中的每個子句都是傳播路徑中一種可能的分支，存放本條傳播路徑的數據傳播者需要滿足的規則；所述用戶自定義訪問結構由所述數據擁有者創建，作為數據擁有者補充所述網絡服務器，用于圈定特殊的聯系人；所述認證中心將密鑰按屬性分為A、B、C三類屬性，所述A類屬性為用戶個體的固有屬性，全局可識別，被用于定義數據文件的訪問結構；所述B類屬性為所述網絡服務器定義的用于描述用戶間聯系的基本關系類型，全局可識別，被用于定義數據傳播的訪問結構；所述C類屬性為所述網絡服務器注冊時設定的每個用戶自由申請屬性的最大值，局部識別，被用于定義含有用戶特殊要求的訪問結構；每個所述屬性包括一個識別碼和隨機私鑰，所述識別碼用于在計算中所述屬性的快速查找，所述屬性隨機私鑰構成訪問結構和密文的基礎，將所述屬性的作用范圍添加到密鑰中和所述屬性隨機私鑰共同構成所述密鑰；所述密鑰采用u和v生成一個Boneh-Boyen-style類型的哈希函數其中，u為作用范圍，u和v都是隨機生成的群生成元，r為屬性私鑰，r_uid是為每個數據擁有者生成的隨機指數；包括以下步驟：

S1、系統初始化：認證中心建立算法CASetup(1^λ)生成系統參數SP，得到系統主密鑰SMK，建立屬性全域所述認證中心給屬性全域中的屬性分發私鑰其中，b_i是中的隨機變量，注冊在線社交網絡，用戶在所述認證中心中注冊得到電子身份和用戶公鑰/私鑰(UPK/USK)；

S2、密鑰生成：每個用戶從步驟S1所述認證中心處申請密鑰，所述認證中心收到所述用戶發送的請求后，依據屬性分類，運行KeyGen(SP,SMK,I,uid_owner,USK_accessor)算法，I為用戶權限的屬性集合，uid_owner為目標用戶數據擁有者的身份識別碼，USK_accessor為數據訪問者的私鑰，生成算法輸出訪問密鑰SK如下：

其中，D是使用隨機數加密后的用戶私鑰，j₁是集合I_A中的元素，j₂是集合I_B或I_C中的元素，I_A是用戶身為個體的固有屬性，I_B是由OSNs定義的用于描述用戶間聯系的基本關系類型，I_C是由用戶自由申請，由用戶私鑰和A類權限的公鑰生成，由用戶私鑰和B類權限的公鑰生成，包含數據所有者的uid的哈希值；

S3、數據加密：數據擁有者選擇隨機對稱密鑰作為內容密鑰運行對稱加密算法對DATA進行加密E_K(DATA)，將K分為兩份可以被傳播訪問結構和用戶自定義訪問結構共享的密鑰，依據密文結構，定義數據訪問結構加密密鑰K₁，傳播訪問結構加密K'₂，用戶自定義訪問結構加密K”₂，確定所述數據擁有者向在線社交網絡服務器提交的密文CT如下：

CT＝(CT_data＝AS₁,E_K(DATA),

其中，E_K是使用密鑰K對數據進行加密，CT_data是驗證訪問者數據訪問權限的密文，AS₁是數據訪問控制結構，具有全局可作用的性質，CT_item是驗證訪問者數據傳播權限的密文，AS₂是數據傳播控制結構，具有局部可做用的性質，AS₃是數據傳播者自定義的權限，是使用密鑰K₂對數據簡介進行加密，DS是數據Owner為數據傳播而定義的傳播策略；

S4、數據解密：包括解密傳播報文數據CT_item和解密原始報文數據CT_data兩個階段，每個階段包括驗證數據訪問結構和解密密文，驗證階段在所述在線社交網絡服務器端運行，輸出一個半解密后的密鑰結構給訪問者，由訪問者進行轉換后解密密文，在客戶端得到明文數據；

所述驗證數據訪問結構具體為：調用DecryptStruct(AS₁,SK)算法，SK為算法輸出訪問密鑰，如果數據訪問者滿足數據訪問控制結構AS₁定義的權限，得到密鑰K₁，計算加密數據的內容密鑰K₂為加密明文所使用的對稱密鑰，訪問者獲得數據擁有者共享的數據內容DATA＝D_K(E_K(DATA))，其中，D_K是使用密鑰K解密數據，E_K(DATA)是使用密鑰K加密后的數據；

S5、信息傳播：當用戶發起轉載數據的請求時，調用Diffuse(SP,DS,CT_item)算法生成數據傳播訪問結構和用戶自定義訪問結構，所述用戶將密文AS'＝(AS'₂,AS'₃)上傳到在線社交網絡的服務器中，AS'₂為數據傳播訪問結構，AS'₃為用戶自定義訪問結構，由服務端生成一條數據目錄項CT'_item，由所述在線社交網絡服務端和傳播者共同完成信息傳播操作；

當訪問者的密鑰滿足數據傳播結構定義的權限和用戶自定義的權限時，可以查看到所述數據的簡介，此時訪問者可以選擇成為傳播者；

當傳播下來的傳播策略DS還能夠為訪問者生成新的傳播訪問結構時，訪問者將被允許成為傳播者。