[发明专利]一种跨域匿名资源共享平台及其实现方法

权利要求书

1.一种跨域匿名资源共享方法，其特征在于，该方法基于跨域匿名资源共享平台实现，所述跨域匿名资源共享平台包括匿名身份认证模块、资源上传模块、访问控制模块；

匿名身份认证模块：包括属性统一定义机构、属性权威、服务提供方和用户；

属性统一定义机构：该机构用以保证属性权威的可信任；一是负责为每个应用域的属性权威生成公钥证书并管理公钥证书库；二是建立一个全局的属性定义库，属性定义库是数据库，包括了各应用域中属性权威的属性信息库，属性信息库包含了该属性权威可用的属性和属性值空间；

属性权威：向属性统一定义机构申请公钥证书以及需要的属性信息，从属性信息库中查询属性并为用户颁发及管理属性证书，并提供证书相关信息的查询功能；

服务提供方：接收用户发起的身份认证请求，负责验证用户提交属性证书的有效性，匿名验证用户身份的合法性；

用户：向域内属性权威申请属性证书，发起匿名身份认证请求；

资源上传模块：系统管理员可以制定策略模板，信息上传者可以制定策略并上传资源；

访问控制模块：包括策略实施点、策略决策点和策略存储点；

策略实施点，接收本地授权请求，并重新创建XACML格式的请求，发送给策略决策点，若策略决策点返回的决策信息为拒绝，则拒绝访问者的请求，若为允许，则返回请求的资源；

策略决策点，接收策略实施点的XACML请求，从属性库检索需要的属性，从策略存储点检索跟请求匹配的策略，根据策略和访问请求中的各实体属性，决定是否允许访问请求，将决策结果返回给策略实施点；其中，属性库是指存储用户属性的数据库；

策略存储点，用于存储本域的访问策略；

跨域匿名资源共享方法包括以下步骤：

(1)匿名身份认证，完成属性注册；各应用域的属性权威向属性统一定义机构申请公钥证书，以及申请所需的属性信息；用户公钥证书采用X.509标准，公钥证书包含版本信息，序列号，签名算法，发行机构名称，有效期，持有者名称，持有者公钥，签名信息；用户公钥证书相当于用户在网络中的身份证，公钥证书最主要功能是实现了用户身份与用户公钥的绑定，而这种绑定的真实性是通过证书发行机构的签名来保证的；属性统一定义机构审核属性权威的资料并生成公钥证书，根据属性权威所提交的公钥证书，建立和管理属性信息库；属性统一定义机构包含的属性定义库是一个数据库服务器，包括了各个域的属性定义库，同时每个域的属性定义库又包含具体AA的属性信息库；AA的属性信息库包含了可用的属性名和属性值空间，属性值空间是指属性值的取值范围；AA给用户生成属性证书时，需要从属性信息库查找合适的属性；属性权威根据用户公钥证书，查询属性信息库中的可用属性给用户颁发属性证书；属性证书采用X.509标准，属性证书包含版本信息，序列号，签名算法，发行机构名称，有效期，持有者名称，属性信息，签名信息；其中，属性信息由属性名和属性值组成；属性证书主要实现了用户和属性的绑定，一般通过证书上的持有者名称(holder)字段来跟公钥证书进行绑定，这里采用holder字段的objectDigestInfo选项来保证用户的匿名性；用户提交属性证书给服务提供方，服务提供方匿名验证之后，在本域注册用户属性；

匿名身份认证过程涉及属性统一定义机构(AUD)、属性权威(AA)、用户(User)、服务提供方(SP)，其中，E_A(M)表示用A的公钥加密M，D_A(M)表示用A的私钥解密M，Hash(M)表示计算M的哈希值，Sign_A(M)表示用A的私钥对M签名，AC.Holder为属性证书的holder字段，PKC为公钥证书，AC为属性证书，匿名认证过程包括：

(1.1)AA审核用户PKC的有效性和完整性；验证通过之后，AA为该User生成AC发布于属性证书库，同时AA随机生成一对公私钥(SK,PK)和一个随机数KEY，可以将PK、AC序列号以web服务页面的形式供开放查询；

(1.2)AA计算KEY的哈希值Hash(KEY)，置于AC的holder字段，AC.holder＝Hash(KEY)，AC的颁发者字段设置为AA的公钥(由AUD生成)，对SK用User的公钥加密后并签名Sign_AA(E_User(SK))，连同AC一起发送给User；

(1.3)User验证AA签名检查AC的正确性，并提取holder字段的Hash(KEY)；用自己的私钥解密得到SK，SK＝D_User(E_User(SK))，用SK对Hash(KEY)签名之后连同自己的AC一起发送给SP，向SP发起匿名认证请求；

(1.4)SP接收到AC后，首先根据AC的issuer字段的AA公钥向AUD发起查询请求，检查AUD的公钥证书库中是否存在AA公钥证书相关信息，如果存在则说明由该AA颁发的AC是可信任的；根据AA公钥证书查找到具体的AA相关信息以及属性证书库所在地址；用AA公钥验证签名判断AC的正确性，检查AC的有效日期；

(1.5)SP接收到SK签名的Hash(KEY)，并获取AC中holder字段的值Hash(KEY)，在该AA的属性证书库中根据AC序列号查询对应的PK；用PK验证SK的签名是否正确，如果正确说明User是AC和SK的拥有者，即User是合法用户，AC上的属性信息是经过认证的；

(1.6)SP根据匿名认证结果向用户返回验证结果信息，如果认证成功就在SP的属性库中注册用户的属性，否则返回User认证失败消息；

(2)上传资源制定策略，信息资源上传者可以通过两种方法为所上传资源制定策略，一是先从策略模板库中选择一个策略模板，再选择相应的属性值，完成策略制定；二是从属性统一定机构的属性定义库选择系列属性限定，完成策略制定；

(3)请求访问资源，用户对某个应用域的资源发起访问请求；访问控制模块中，策略实施点接收到访问请求，将请求转化成以XACML描述的标准请求，发送给策略决策点；策略决策点接收策略实施点的标准请求，从本域的策略存储点检索所需的合适策略，根据策略和访问请求中各实体属性，决定是否允许请求；将决策结果返回给策略实施点；策略实施点根据策略决策点返回的决策结果，做出相应的应答返回给访问者，返回所请求资源或者拒绝该请求。