基于云计算的属性加密访问控制研究

摘 要：随着云计算技术的发展，云服务在数据处理方面也得到了广泛的应用。在云计算环境下，云服务为数据管理提供了便利，同时也存在着数据安全和访问控制等方面的问题，保证数据安全性和机密性成为云服务的重要研究课题。文章对基于属性的加密机制进行了分析，提出了云计算环境下的基于密钥策略属性加密的云存储访问控制方案。

关键词：云计算；属性加密；访问控制；密钥机制

1 云计算环境下数据存储安全性分析

云计算是一种新计算机技术，把数据存储在云上面，形成一个强大的虚拟资源共享平台，通过云服务对数据进行统一管理。云服务对用户进行按需服务，用户可以随时对云计算资源中心的数据进行访问。云计算为人们的生活和工作带来了很多好处，但是云计算的系统也存在数据安全的问题，云服务提供商在提供给用户需要的数据的同时，也在不断地对用户的隐私数据进行挖掘，这样用户数据的安全隐私就会受到威胁，目前一些国家或者地区，云计算的数据安全事故也时有发生，云计算的数据安全性越来越受到人们的重视。数据访问控制作为系统保护的重要研究领域，在细粒度访问控制方面取得了一定的突破。本文在基于身份加密的基础之上提出了基于属性加密的访问控制方法，其具有细粒度的访问控制特性，云计算的数据共享性非常高，在云计算的环境下基于属性加密访问控制技术的应用，可以提高数据的安全性和机密性。云计算环境下基于属性加密访问控制的研究主要是通过新的加密机制的研究来提高云服务的质量，在未来的云存储中基于属性加密访问控制一定会得到广泛的应用。

2 基于属性加密算法分析与研究

双线性配对是基于属性加密算法中主要采用的算法，在密码学算法中可以增加计算的高效性。在基于属性加密算法中的安全模型中主要采用哈希函数，在现代密码学的信息安全设計中，哈希函数经常得到广泛的应用，在数据的数字签名和密钥学管理中，哈希函数作为主要的工具。在基于属性的加密算法安全模型中采用标准模型，标准模型是常用的安全模型，密码的安全性以基于安全假设的方案为依据，在安全假设没有被攻破前，密码的安全是攻不破的。安全假设方案的安全性和真实环境安全性是相近的，基于属性加密算法的安全标准模型如图1所示。

基于属性加密包括密钥策略、密文策略和授权机构多个方案。在基于属性的加密中用户和授权机构属于参与方，并且属性和用户私钥都是紧密结合的，基于属性加密方案对基于属性的门限访问策略是支持的，比如用户属性集和密文属性集之间交集的属性个数与系统设定的门限值一致时，用户才可以进行解密操作；比如一个计算机文件的集合包括{网络、安全、密码}3个子集，并且我们把计算机文件的门限值设置为2，那么用户的属性集要符合{网络、安全}这样的属性集才可以访问计算机文件，其他不符合要求的属性集不可以访问计算机文件。基于属性加密算法机制表达具有局限性，仅限于门限操作的表示，发送方不能规定访问策略。密文策略的基于属性加密机制和密钥策略的基于属性加密机制对复杂的访问结构都可以支持，密钥策略的基于属性加密机制中访问策略由接收方制定，系统密钥由授权机构公布，并生成相应的用户私钥，可以很好地对两者的关系进行控制。密文策略的基于属性加密机制中访问策略由发送方制定，系统密钥由授权机构公布，可以很好地对两者的密文解密进行控制，灵活地访问控制策略也增加了系统密钥在设计上的复杂性。

基于属性加密机制应用于策略比较简单的应用，基于密钥策略的属性加密（Key Policy Attributed Based Encryption，KP-ABE）适合应用于查询类的应用，基于密文策略的属性加密适合访问控制类的应用。基于多授权机构的属性加密方案中单方面的授权机构不能生成用户的私钥，用户的私钥要由多个授权机构分别生成，这一特点的应用使基于多授权机构的属性加密具有更大的应用价值，单方面的授权机构生成的用户私钥，会将管理不同属性集的机构密钥生成的过程交给其他的授权机构进行操作，这样生成的密钥安全性低，所以产生的属性权限内的密钥要由多个授权机构分别来进行管理，这样比较切合实际，生成密钥安全性也得到了保证。在基于多授权机构的属性加密方案中授权机构包括一个中央授权机构和任意个属性授权机构。中央授权机构的安全性问题是基于多授权机构的属性加密方案考虑的重要问题，在基于多授权机构的属性加密方案中保证每个授权机构独立工作互不干扰也是考虑的重点。

3 KP-ABE的云存储访问控制方案

云存储数据安全性要求非常高，对数据的细粒度访问控制和数据的机密性要求也越来越高。针对以上问题，本文提出来在云计算环境下KP-ABE的访问控制方案，通过可信任授权机构对用户访问结构和数据访问密钥进行管理，对文件的加密算法采用对称加密算法，通过代理重加密算法保证数据的安全性和机密性。KP-ABE的访问控制系统模型如图2所示，系统由用户、CSP和可信第三方授权（Third Authorization，TA）组成，用户具有数据拥有者和数据访问者的双重身份，TA和CSP是在线状态，工作流程是用户把自己的访问结构发送给TA，TA为用户生成系统的公钥。KP-ABE的访问控制适合对小型数据文件进行加密，用户通过对称加密密钥对数据文件进行加密得到数据密文，然后通过KP-ABE的访问控制对称加密得到密钥密文，用户作为数据访问者通过第三方授权机构生产的私钥，对密钥密文和文件数据密文进行解密，这样就可以对数据文件进行访问了。

KP-ABE的云存储访问控制方案的安全性分析，第三方授权机构是完全可以信任的，可以对用户的访问结构进行安全审核。数据机密性包括数据密文和密钥密文的机密性，基于KP-ABE的云存储访问控制方案主要是依据密钥密文的安全性进行设计的，第三方可信授权机构应用到基于KP-ABE的云存储访问控制方案中，可以对用户访问结构和用户大量的密码进行优化，并结合代理重加密技术，这样可以大大减少数据的计算量。云环境下基于密钥策略属性加密的访问控制方案中，用户要对大量的访问密钥进行维护，分配密钥的负担也较重，为了解决这个问题在可信第三方授权机构的基础之上提出了KP-ABE的云存储访问控制方案，通过可信第三方授权机构对用户的动态密钥进行统一管理，这样分发数据访问密钥的负担也减轻了，用户密钥存储的空间就减少了。

4 結语

云计算是一种动态计算和虚拟资源存储服务结合的计算模式，是世界计算机技术发展的重要方向。在访问云端存储的数据资源的时候，保证数据的机密性和数据的安全访问控制是云计算安全研究的重要课题。基于云计算的属性加密访问控制研究具有一定的研究意义和应用价值。

作者简介：刘秀彬（1970— ），女，辽宁营口，本科，高级讲师；研究方向：计算机技术。

[参考文献]

[1]刘西蒙，马建峰，熊金波，等.云计算环境下基于密文策略的权重属性加密方案[J].四川大学学报（工程科学版），2013（6）：21-26.

[2]刘西蒙，马建峰，熊金波，等.密文策略的权重属性基加密方案[J].西安交通大学学报，2013（8）：44-48.

[3]张浩军，范学辉.一种基于可信第三方的CP-ABE云存储访问控制[J].武汉大学学报（理学版），2013（2）：153-158.

Abstract： With the development of cloud computing， cloud services in data processing has also been widely used. In the cloud computing environment， cloud service provides a convenient data management. But there are data security and access control and other issues. To ensure data security and confidentiality has become an important research topic of cloud services. In this paper， based on the encryption mechanism of the properties are analyzed， and puts forward the cloud computing environment based on key policy attributes encrypted cloud storage access control scheme.

Key words： cloud computing； attribute encryption； access control； key mechanisms