[發明專利]基于標識的跨云安全認證系統和方法

有效

• 申請號: 201810414126.1
• 申請日: 2018-05-03
• 公開（公告）號: CN108667616B
• 公開（公告）日: 2021-05-04
• 發明（設計）人: 馬文平;趙茭茭
• 申請（專利權）人: 西安電子科技大學
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/08;H04L9/30
• 代理公司: 陜西電子工業專利中心 61205
• 代理人: 程曉霞;王品華

1.一種基于標識的跨云安全認證系統，涉及有認證中心、云間認證代理、云服務提供商以及云域內的用戶，認證中心主要負責為每個云域頒發數字證書；云間認證代理對各個云域的證書實現管理；當用戶加入云域的時候，需要向云服務提供商提供安全認證的標識信息，云域內用戶以及云服務提供商均擁有各自的標識信息，通過認證雙方信息發送及驗證，實現共享密鑰的協商和認證，其特征在于，云域為基于標識的層次模型，在云域的層次模型中，其最上層數據雙向連接云間安全代理，最底層數據雙向連接的是云域中的用戶，層次模型自上向下第一層(level-1)是根KGC(KGC_r)，代表每個云域，是云信賴的權威根，將每個云域內的安全參數發送給云間認證代理，第二層(level-2)是子根KGC(KGC_c)，為其云域內的用戶分配分層標識，子根分布有多個節點，運用共享密鑰技術，組成環結構，每個節點對應于云服務提供商；底層(level-3)是用戶層，在基于標識的層次模型中，每個云內用戶都有唯一的身份標識，該標識是用戶加入云服務時注冊的可分辨名稱(DN)，保證云內用戶身份信息的唯一性；在云域的層次模型中，每一層的身份標識由自己的身份標識及以各上層標識共同組成，上層的身份信息由下層實體進行驗證及其保護；

所述云間安全代理，一是進行認證中心頒發的數字證書的管理，二是保存各個云域內由根KGC_r生成的系統公開參數，實現系統中各個云域之間信息的傳輸；

所述云域層次模型子根的共享密鑰環結構中，有n個節點，n≥0的正整數，門限值為k，0≤k≤n，子根KGC一旦受到攻擊者的惡意攻擊，子密鑰個數必須達到門限值或者門限值以上，也就是說攻擊者必須攻擊至少k個子密鑰才有可能獲得主密鑰，任何門限值以下個子密鑰都無法恢復主密鑰，因為k以下個方程式是不能夠解開未知數為k的方程組的，而且攻擊者即使能夠偽造出k個子密鑰，也必須完全保證這k個子密鑰全部正確，保護主密鑰的安全和系統安全性。

2.一種基于標識的跨云安全認證方法，是在權利要求1所述的基于標識的跨云安全認證系統上實現，其特征在于，包括有以下步驟：

步驟一：根據跨云安全認證系統，設計用戶與云服務提供商各自的公私鑰對；

1.1)系統建立Setup：根據基于標識的跨云安全認證系統，設置根KGC的公私鑰對，以此來建立系統，執行系統初始化；根KGC通過產生一個隨機數s作為系統主密鑰，并根據公鑰生成算法生成向所有用戶公開的相對應的公鑰，主密鑰s可由根KGC保存，根KGC的公私鑰對設置完成，系統就已建立，也實現了系統的初始化；

1.2)共享密鑰設置Shared Secret Set：主要是進行子根KGC的設置，子根是環形結構，子根上有多個節點，子根上接根KGC，下直接接用戶；

1.3)公私鑰對生成Private and Public Key Extract：主要用來生成用戶及云服務提供商的公私鑰對；

步驟二：發送及驗證消息Send and Verify Message：發送及驗證消息是由用戶和云服務提供商互相完成，雙方分別發送認證消息，并且獲取來自對方的驗證；實現認證雙方的標識認證，包括以下幾個步驟：

2.1)用戶對子根KGC發送消息：用戶通過自己的公私鑰對，利用自己的匿名身份標識，生成對應的簽名，然后發送認證消息給KGC；

2.2)子根KGC對用戶驗證消息：子根KGC收到用戶的認證消息后，通過雙線性對映射實現驗證KGC對用戶的身份認證；

2.3)子根KGC對用戶發送消息：子根KGC通過自己的公私鑰對，生成對應的簽名，然后發送認證消息給用戶；

2.4)用戶對子根KGC驗證消息：用戶收到子根KGC的認證消息后，通過雙線性對映射實現驗證用戶對子根KGC的身份認證；

步驟三：密鑰協商Key-Aggrement：密鑰協商是由協商密鑰的雙方來完成的，在開放式云服務環境下，多個云域之間建立一個秘密的會話密鑰來實現跨云域的認證，這種方式被稱為密鑰協商；密鑰協商分別輸入各自的標識信息、公私鑰對，輸出一個協商密鑰，實現認證雙方的標識認證；實現認證雙方的標識認證，包括以下幾個步驟：

2.1)用戶對子根KGC發送消息：用戶通過自己的公私鑰對，利用自己的匿名身份標識，生成對應的簽名，然后發送認證消息給KGC；

2.2)子根KGC對用戶驗證消息：子根KGC收到用戶的認證消息后，通過雙線性對映射實現驗證KGC對用戶的身份認證；

2.3)子根KGC對用戶發送消息：子根KGC通過自己的公私鑰對，生成對應的簽名，然后發送認證消息給用戶；

2.4)用戶對子根KGC驗證消息：用戶收到子根KGC的認證消息后，通過雙線性對映射實現驗證用戶對子根KGC的身份認證。