[发明专利]一种基于属性的强制访问控制方法

说明书

本发明公开了一种基于属性的强制访问控制方法，该方法中数据消费者设备根据待加密文件的个数、待加密文件的信息和每个待加密文件的密级定义访问树，并在访问树中预先设定转换节点以实现不同数据消费者属性集的转换，通过预先设定级别节点以完成在同一棵访问树上对多个不同密级的待加密文件的加密，适用于各云加密密文共享和存储；数据消费者设备下载加密密文后，当数据消费者的属性满足访问树的结构，且数据消费者安全等级大于等于加密密文的密级，则通过从授权机构获取的数据消费者私钥对下载的加密密文解密，保证了云加密密文的访问安全性，通过引入数据消费者属性集,以使数据消费者设备得到的数据消费者私钥具有层次结构,更具有通用性。

技术领域

本发明涉及数据访问技术领域，具体涉及一种基于属性的强制访问控制方法。

背景技术

云计算的发展为人们带来便利,人们无需购买硬件资源,而是对远程资源进行租用从而达到存储大量数据消费者数据的目的，但为保障数据的隐私性,数据消费者需要在将数据上传到公有云之前对数据进行加密。为了加密密文的安全存储和共享,近年来,对公有云中数据的访问控制得到充分研究。基于属性加密(ABE)被认为是一种有效的方案,其可以实现对数据的细粒度访问控制,还可实现灵活的数据共享。ABE可分为密钥策略基于属性加密(KP-ABE)和加密密文策略基于属性加密(CP-ABE),其访问结构分别隐藏在密钥和加密密文中。KP-ABE方案适合应用在付费电视、视频点播等系统。CP-ABE方案适用于访问控制类业务,如电子医疗健康记录访问、社交网站访问等系统,即CP-ABE更适合运用在公有云的加密密文存储和共享环境中。

然而许多场景中,一些文件可能存在不同的秘密等级,而数据消费者也被划分不同的安全等级,只有等级匹配的数据消费者才能对文件进行解密，并且在对某个文件进行访问控制时,其对应的访问树可能正好是另外一个文件的子树,或者其子树可能是另外一个文件的访问树。例如,在企业或组织机构中,一些重要的文件/文档是按属性加密并由多个数据消费者共享的,但这些文件规定部分数据消费者可以解密而部分数据消费者不能解密,换句话说具有同样属性的数据消费者可能拥有不同的安全等级,高安全等级数据消费者可解密低安全等级文件,反之不然。目前的CP-ABE方案只能实现在一个访问树中加密一个文件,而无法实现加密多个不同密级文件的功能。

发明内容

本发明要解决的技术问题是目前的CP-ABE方案只能实现在一个访问树中加密一个文件,而无法实现加密多个不同密级文件的功能，因此，本发明提供一种基于属性的强制访问控制方法，以实现在一个访问树中加密多个不同密级文件的功能。

本发明通过下述技术方案实现：

一种基于属性的强制访问控制方法，包括：

授权机构，通过对系统初始化参数进行计算得到系统公钥和系统主密钥，并从数据消费者设备中获取数据消费者身份信息和数据消费者属性集；基于所述系统公钥、所述系统主密钥和所述数据消费者属性集计算每一数据消费者身份信息对应的数据消费者私钥；将所述系统公钥发送给数据拥有者设备，并根据数据消费者身份信息将对应的数据消费者私钥发送给对应的数据消费者设备；

数据拥有者设备，从所述授权机构获取系统公钥，并根据待加密文件的个数、待加密文件的信息和每个待加密文件的密级定义访问树；基于所述访问树通过所述系统公钥对所述待加密文件进行加密处理，得到加密密文并发送给云服务提供商进行存储；

所述数据消费者设备，从所述云服务提供商中下载加密密文，并从数据消费者身份信息中获取数据消费者安全等级，当所述数据消费者安全等级大于等于所述访问树中加密密文的密级，且所述数据消费者设备的属性满足所述访问树的结构，则通过获取的数据消费者私钥对所述加密密文解密得到解密后的明文，否则无法解密。

进一步地，所述系统初始化参数包括哈希函数H,双线性映射e,群G₀和所述群G₀的生成元g,p阶素数域Z_p；