[发明专利]基于密钥分片的数据细粒度访问控制方法

说明书

技术领域

本发明属于信息安全技术领域，特别涉及一种数据访问控制方法，可用于云存储服务中，多用户访问共享数据的场景下，数据拥有者定义访问用户对共享数据的细粒度访问控制。

背景技术

随着互联网和云计算技术的兴起，在分布开放的环境当中进行数据共享的需求与日俱增。云存储是云计算体系当中重要的基础服务设施，云存储以高可靠、低成本和便捷性对存储服务实现了革新。与此同时，云环境中数据安全问题也成为云计算用户所担心的一个核心问题。

云计算用户将数据存储在云端，从而失去了对数据的控制，任何对于数据的访问控制都需要完全依赖云服务提供商CSP，这是用户所担心的。因为CSP可能为了商业利益，不遵循或者有意绕过云存储平台访问控制机制，获取用户有价值的信息。

在这种CSP不完全可信的情况下，为了保护数据的隐私性，引入密文机制的访问控制是非常有必要的。使用传统的对称密钥机制和非对称密钥机制实现访问控制是可行的，但是其访问控制粒度粗，并且授权缺乏灵活性。因此，如何对云端用户数据进行细粒度的访问控制成为当今一个热门研究问题。

Sahai和Waters在基于身份的加密IBE机制的基础上提出了基于属性的加密ABE机制。在ABE机制中，数据拥有者仅需根据属性加密数据，无需关注用户群组成的数量与身份，降低了数据加密开销并保护了用户隐私，并且只有符合密文属性访问结构要求的群组成员才能解密，保证了数据机密性。更重要的是，ABE机制支持灵活的访问控制策略，可以实现属性的与、或、非和门限操作。现有的ABE机制大致可以分为两类：基于密钥策略的KP-ABE机制和基于密文策略的CP-ABE机制。

KP-ABE机制中，用户密钥与访问控制策略相关，密文与一组属性集合相关，只有这组属性满足用户访问结构，用户才能解密密文。KP-ABE机制有以下特点：访问控制的主动权在访问用户；访问用户规定对接收消息的要求，适用于查询类的应用，如付费电视系统、视频点播系统等。

CP-ABE机制中，密文与访问控制策略相关，数据拥有者会给访问用户分配一组属性，用户密钥与这组属性相关，只有这组属性满足访问控制结构用户才能解密密文。CP-ABE有以下特点：访问控制的主动权在数据拥有者；数据拥有者规定访问密文的策略，适合访问控制类应用，如社交网站的访问等。

在实际应用中，用户群组可能面临着成员或者属性的频繁变更，这就引入了如何有效的撤销用户或者撤销属性的问题，这也是采用ABE机制进行云端用户数据进行细粒度的访问控制所必须解决的问题。

Shucheng Yu，Cong Wang，Kui Ren和Wenjing Lou等人在《Achieving Secure，Scalable，and Fine-grained Data Access Control in Cloud Computing》一文中提出了一种采用KP-ABE和代理重加密相结合的方法实现了细粒度访问控制下用户和属性的有效撤销，该文章发表在计算机通信国际会议INFOCOM2010上，其主要思想是：先用对称加密算法对原始数据进行加密，再用KP-ABE对数据加密密钥进行加密，从而实现对数据密钥的细粒度访问控制。当系统中有用户撤销操作时，将不可避免地要对数据密钥进行重加密，并且要对访问用户进行属性密钥的更新和重新分发。这种方法存在以下问题：

1)在整个方法过程当中，数据加密密钥并没有更新，即原始数据没有重新加密，将安全隐患。

2)在用户端，访问用户通过解密一次密文，就可以恢复原始的数据密钥，由于存在的安全隐患将导致该用户即使被撤销了访问权限，仍然可以利用一次恢复的数据密钥解密原始密文。

发明内容

本发明的目的在于针对上述已有技术的不足，提出一种基于密钥分片的数据细粒度访问控制方法，以保证数据的访问安全性。

本发明的技术方案是这样实现的：

一.技术原理：

为了解决“云端共享数据细粒度访问控制”场景中的安全问题，本发明采用基于属性的加密机制实现的细粒度访问控制，并利用属性密钥分片实现共享数据安全保护。

该方案包括两个部分：