CN103327002B - 基于属性的云存储访问控制系统 - Google Patents

Abstract

本发明提出了一种基于属性的云存储访问控制系统。该系统包括安全令牌单元(1)、主体信息管理单元(2)、访问控制单元(3)、属性基加解密单元(4)和云存储单元(5)；安全令牌单元(1)实现身份认证、令牌分发、令牌验证功能；主体信息管理单元(2)实现生成用户私钥，存储用户属性信息、用户私钥和访问控制策略加密后的对称密钥功能；访问控制单元(3)实现基于属性的访问控制功能，以及用户定制访问控制策略的功能；属性基加解密单元(4)实现文件的加解密功能，以及用访问控制的策略和用户私钥分别加解密对称密钥的功能；云存储单元(5)，实现明文和密文的存储功能。本发明具有细粒度、实时、动态、可扩展和安全等优点，可用于实现云存储环境下的访问控制。

Description

基于属性的云存储访问控制系统

技术领域

本发明属于网络与信息安全技术领域，涉及数据访问控制技术，具体说是一种在XACML框架下引入基于属性的加密的云存储访问控制系统，对数据提供访问控制并保证数据的机密性。

背景技术

云存储是近两年来崛起的一项新兴的云服务，用户可以随时随地接入互联网，使用手持移动终端或PC机，以非常快捷的速度存取自己的个人文件，因此得到了广泛的支持和应用。但是在使用便利的同时，云存储也引起了用户对数据安全和隐私保护安全性的广泛担忧。2009年亚马逊，Google，LinkUp等多家著名云存储服务商都出现过用户数据和隐私泄露的安全问题，并造成了严重的后果；2011年索尼“泄密门”再次给云存储安全敲响警钟。2012年中国云计算安全调查分析报告显示79％的用户仍然不愿意将敏感数据存到云环境下。安全隐患已成为云存储大规模普及的重要障碍，如何保护用户隐私和敏感数据的机密性已成为云存储亟需解决的首要安全问题。

基于属性的密码体制自2005年开始研究，其发展了传统的基于身份密码体制关于身份的概念，将身份看作是一系列属性的集合。美国学者Sahai与Waters第一次提出了基于模糊身份加密，将生物学特性直接作为身份信息应用于基于身份的加密方案中，Sahai在论文中引入了属性的概念。2007年，Bethencourt等人提出了密文策略的基于属性的加密方案：CP‐ABE，Ciphertext‐PolicyAttribute‐BasedEncryption，在该方案中将用户的身份表示为一个属性的集合，而加密数据则与访问控制结构相关联，用户是否能解密，取决于密文所关联的属性集合和用户身份对应的访问控制结构是否匹配。

基于上述密码体制采用了密文策略的基于属性的访问控制系统，可以提供结合基于属性的访问控制策略的数据加密，但实际应用中不是所有数据都需要加密存储，当数据量很大时，直接加解密数据开销大，访问控制系统性能低，因此，现有的密文策略的基于属性的访问控制解决方案还不能在保证用户数据和隐私安全的基础上提供细粒度的、动态的、可扩展、高效的访问控制。

XACML(eXtensibleAccessControlMarkupLanguage)是OASIS(OrganizationfortheAdvancementofStructuredInformationStandards)提出的描述策略和访问控制的语言，基于XACML实现的访问控制系统框架应用于web服务可提供细粒度的、动态的、可扩展、高效ABAC(AttributeBasedAccessControl)，但不能提供对用户隐私数据的加密保护。

发明内容

本发明的目的在于针对上述已有技术的不足，提出了一种基于属性的云存储访控制系统，不仅能为敏感数据和非敏感数据提供细粒度的、动态的、可扩展的、高效的安全访问控制，而且能够保证敏感数据的机密性。

本发明的技术方案是这样实现的：

一.技术原理

本发明将基于密文策略的ABAC与通过XACML实现的ABAC相结合，通过共用属性集和策略集实现对明文和密文的访问控制。由于这两者实现ABAC的核心都是实体的属性集，和策略集，因此很容易将两者结合，构建云存储访问控制系统。本发明使用XACML实现的ABAC机制对访问所有的明文或密文数据的请求进行访问控制，使用基于密文策略的ABAC机制对加密敏感数据的对称密钥的获取进行访问控制，只有满足访问控制策略中相应属性的用户才能解密加密明文的对称密钥进而得到明文，防止了对称密钥的泄漏，从而提高敏感数据的安全性。

二.系统组成

根据上述原理，本发明基于属性的云存储访问控制系统，包括：安全令牌服务单元1、主体信息管理单元2、访问控制单元3、属性基加解密单元4和云存储单元5，其特征在于：

所述的主体信息管理单元2，用于生成用户私钥，存储和管理用户属性信息、用户私钥和用访问控制策略加密后的对称密钥；

所述的访问控制单元3，包括：

令牌提取验证模块31，用于提取用户请求中的令牌，并向安全令牌服务单元1验证令牌，若令牌验证成功则将得到的用户身份信息和用户请求发送给访问决策模块32；若令牌验证失败则向用户发送令牌验证失败响应；

访问决策模块32，根据从令牌提取验证模块31得到的用户身份信息，对主体信息管理单元2进行检索，得到用户的属性信息；根据从令牌提取验证模块31得到的用户请求中要访问的资源信息对策略存储模块35进行检索，得到对应资源的访问控制策略信息，若用户属性符合访问控制策略则授权访问，若不符合则不授权；以决策结果、用户请求信息、用户身份信息为参数，调用决策执行模块33；

决策执行模块33，用于根据访问决策模块32的决策结果和请求信息，以及请求信息中的结构化的访问控制策略，分别完成数据读写、调用属性基加解密单元4进行数据加解密、调用策略生成模块34生成访问控制策略文件这三种功能；

策略生成模块34，用于将请求信息中以字符串组织的结构化访问控制策略，转化为以可扩展的访问控制标记语言XACML描述的访问控制策略文件，并存储到策略存储模块35中；

策略存储模块35，用于存储访问控制策略文件；

所述的属性基加解密单元4，包括：

对称加解密模块41，用于生成对称密钥，并用对称密钥加密明文，解密密文；

属性基加密模块42，通过请求中的结构化访问控制策略，运行CP‐ABE加密算法对对称密钥进行加密，得到访问控制策略加密后的对称密钥并存储到主体信息管理单元2中；

属性基解密模块43，根据身份用户信息对主体信息管理单元2进行检索，得到用户私钥和策略加密后的对称密钥，使用用户私钥运行CP‐ABE解密算法对策略加密后的对称密钥进行解密得到对称密钥；

所述的云存储单元5，用于存储经属性基加解密单元4加密过的密文或未经加密直接由访问控制单元3存储的明文，并且在文件索引信息中标示文件是否经过加密。

上述的基于属性的云存储访问控制系统，其特征在于决策执行模块33，包括：

执行判断模块331,用于根据决策结果、用户请求信息和用户身份信息，判断是否调用文件上传下载模块332、策略生成模块34和属性基加解密单元4，并给用户返回响应；当决策结果为授权访问时，则调用文件上传下载模块332上传或下载文件并给用户返回授权响应，若为非授权则给用户返回非授权响应；当请求信息中存在带结构化的访问控制策略时，则调用策略生成模块34生成访问控制策略文件；当用户请求信息为上传文件请求并指定需要加密时，则调用属性基加解密单元4加密上传文件；当用户请求信息为下载文件请求并且请求的文件是已加密文件时，则调用属性基加解密单元4解密下载文件：

文件上传下载模块332，用于接收用户文件，向云存储单元5写入文件，并从云存储单元5读取文件，向用户发送文件。

上述基于属性的云存储访问控制系统，其特征在于安全令牌单元1，包括：

身份认证模块11，用于认证用户发送的认证请求中的身份信息，并给认证成功的用户分发访问令牌，该身份信息由用户名，密码组成或者是第三方认证的身份证书；

令牌验证模块12，用于响应访问控制单元3发送的令牌验证请求，若验证成功则返回令牌持有者的信息，若不成功则返回令牌验证失败响应。

上述的基于属性的云存储访问控制系统，其特征在于主体信息管理单元2，包括：

用户私钥生成模块21，根据主体信息存储模块23中的用户属性，使用基于属性的加密算法CP‐ABE生成用户私钥并存储在主体信息存储模块23；

属性监测模块22，用于监测主体信息存储模块23中用户属性值的改变，若用户属性改变则调用用户私钥生成模块21更新用户私钥；

主体信息存储模块23，用于存储用户属性信息、用户私钥和用访问控制策略加密后的对称密钥。

本发明具有如下优点：

1)本发明是一个集令牌认证、基于属性的访问控制和属性基加解密为一体的云安全访问控制系统，是云环境下保护用户数据的一整套系统；

2)本发明由于将基于密文策略的ABAC与通过XACML实现的ABAC结合，实现了用户属性信息和策略信息的共用，只有符合访问控制策略的用户才能解密得到对称密钥，并最终得到密文，实现了访问控制和加密存储的联动，增加了入侵者获取用户存储信息的难度；

3)本发明由于在执行访问控制功能时使用了用户的属性信息，实现了基于属性的访问控制，相比于传统的基于角色的访问控制有了细粒度、实时、动态、可扩展的优点，非常适合在大型分布式环境下部署；

4)本发明由于在用户访问请求信息中可以指定访问控制策略控制用户数据的访问，实现了用户指定访问控制策略的功能，用户指定的访问控制策略不仅用于访问控制策略文件的生成，而且用于加密对称密钥，使户对可以定制访问控制策略和加密策略，完全掌握私密数据的安全，增加了使用的灵活性，易用性；

5)本发明由于在用户的访问请求信息可以指定数据是否需要加密，实现了用户指定是否加密数据的功能，实现了不同用户对敏感数据和非敏感数据的不同安全需求，也便于商业化定制；

6)本发明由于各个服务单元相互独立，各单元可以单独提供服务，也可以同其他安全系统协同工作，易于配置部署，安全性高，灵活快速，且功能实用，在云环境下能够提供可靠的安全访问控制和加密存储保障。

附图说明

图1是本发明的系统整体结构图；

图2是本发明的安全令牌单元结构图；

图3是本发明的主体信息管理单元结构图；

图4是本发明的访问控制单元结构图；

图5是本发明的决策执行模块结构图；

图6是本发明的属性基加解密单元结构图。

具体实施方式

以下参照附图对本发明做进一步详细说明：

参照图1，本发明包含五个单元：安全令牌服务单元1、主体信息管理单元2、访问控制单元3、属性基加解密单元4和云存储单元5。其中：

安全令牌服务单元1，一是接收用户发送身份认证请求，若认证用户身份成功则给用户返回令牌响应，若认证不成功则给用户返回认证失败响应；二是接收访问控制单元3的令牌验证请求，若令牌验证有效发则送令牌对应的用户身份信息给访问控制单元3，若令牌验证无效则发送令牌验证无效响应给访问控制单元3。

主体信息管理单元2，给访问控制单元3提供用户属性信息，给属性基加解密单元4提供用户私钥和策略加密后的对称密钥。

访问控制单元3，接收用户访问请求，向安全令牌服务单元1验证用户令牌，若令牌验证失败，给用户发送令牌验证无效响应，若令牌验证成功则从安全令牌服务单元1得到用户身份信息；通过用户身份信息向主体信息管理单元2检索并得到用户属性信息；根据用户属性信息和访问控制单元内通过访问请求目标查找到的访问控制策略，决定访问请求是否授权，若授权则给用户发送授权响应并执行授权操作，包括生成访问控制策略、调用属性基加解密单元4加解密数据和上传或下载用户文件到云存储单元5。

属性基加解密单元4，在用户上传的文件需要加密时，加密用户文件；在用户下载的文件需要解密时，解密用户文件。

云存储单元5，对访问控制单元3发送的明文或密文进行存储。

上述五个单元结构及工作原理如下：

参照图2，所述的安全令牌服务单元1，包括：身份认证模块11和令牌验证模块12。其中：身份认证模块11，在用户向安全令牌服务单元1发送身份认证请求时，通过认证请求中的用户名，密码或第三方证书对用户进行身份认证，如果认证成功，则给用户分发令牌；如果认证失败，则返回认证失败响应；令牌验证模块12，在访问控制单元2向安全令牌服务单元1发送令牌验证请求时，验证令牌是否有效，若有效则返回令牌持有者信息，若无效则返回令牌验证无效响应。

参照图3，所述的主体信息管理单元2，包括：用户私钥生成模块21、属性监测模块22和主体信息存储模块23。其中：用户私钥生成模块21，根据主体信息存储模块23中的用户属性，使用基于属性的加密算法CP‐ABE为每个用户生成用户私钥并存储在主体信息存储模块23；属性监测模块22，监测主体信息存储模块23中用户属性值的改变，若用户属性改变则调用用户私钥生成模块21更新用户私钥；主体信息存储模块23，存储用户属性信息、用户私钥和用访问控制策略加密后的对称密钥。

参照图4，所述的访问控制单元3，包括：令牌提取验证模块31、访问决策模块32、决策执行模块33、策略生成模块34和策略存储模块35。其中：

令牌提取验证模块31，提取用户请求中的令牌，向安全令牌服务单元1验证令牌，若令牌验证成功则将得到的用户身份信息和用户请求发送给访问决策模块32，若不成功则给用户发送令牌验证失败响应。

访问决策模块32，一是根据从令牌提取验证模块31得到的用户身份信息，对主体信息管理单元2进行检索，得到用户的属性信息；二是根据从令牌提取验证模块31得到的用户请求中要访问的资源信息对策略存储模块35进行检索，得到对应资源的访问控制策略信息，若用户属性符合访问控制策略则授权访问，若不符合则不授权；三是以决策结果、用户请求信息、用户身份信息为参数，调用决策执行模块33工作。

决策执行模块33，根据访问决策模块32的决策结果和请求信息，以及请求信息中的结构化的访问控制策略，分别完成数据读写、调用属性基加解密单元4进行数据加解密、调用策略生成模块34生成访问控制策略文件这三种功能。该决策执行模块33包括执行判断模块331和文件上传下载模块332，如图5所示。

该执行判断模块331，根据决策结果、用户请求信息和用户身份信息，判断是否调用文件上传下载模块332、策略生成模块34和属性基加解密单元4，并给用户返回响应；当决策结果为授权访问时，则调用文件上传下载模块332上传或下载文件并给用户返回授权响应，若为非授权则给用户返回非授权响应；当请求信息中存在带结构化的访问控制策略时，则调用策略生成模块34生成访问控制策略文件；当用户请求信息为上传文件请求并指定需要加密时，则调用属性基加解密单元4加密上传文件；当用户请求信息为下载文件请求并且请求的文件是已加密文件时，则调用属性基加解密单元4解密下载文件；

该文件上传下载模块332，在用户上传文件时接收用户文件，向云存储单元5写入文件，用户下载文件时从云存储单元5读取文件，向用户发送文件。

策略生成模块34，将请求信息中以字符串组织的结构化访问控制策略，转化为以可扩展的访问控制标记语言XACML描述的访问控制策略文件，并存储到策略存储模块35中；

参照图6，所述的属性基加解密单元4，包括：对称加解密模块41、属性基加密模块42和属性基解密模块43。其中：

对称加解密模块41，生成对称密钥，并用对称密钥加密明文，解密密文；

属性基加密模块42，通过请求中的结构化访问控制策略，运行CP‐ABE加密算法对对称加解密模块41生成的对称密钥进行加密，得到访问控制策略加密后的对称密钥并存储到主体信息管理单元2中；

属性基解密模块43，根据用户身份信息对主体信息管理单元2进行检索，得到用户私钥和策略加密后的对称密钥，使用用户私钥运行CP‐ABE解密算法对访问控制策略加密后的对称密钥进行解密得到对称密钥。

以上描述仅是本发明的一个具体实例，并不构成对本发明的任何限制，显然对于本领域的专业人员来说，在了解本发明的内容和原理后，都可能在不背离本发明原理、结构的情况下，进行形式和细节上的各种修正和改变，但是这些基于本发明思想的修正和改变仍在本发明的权利要求保护范围之内。

Claims (3)

1.一种基于属性的云存储访问控制系统，包括安全令牌服务单元(1)、主体信息管理单元(2)、访问控制单元(3)、属性基加解密单元(4)和云存储单元(5)，其特征在于：

所述的主体信息管理单元(2)，用于生成用户私钥，存储和管理用户属性信息、用户私钥和用访问控制策略加密过的对称密钥；

所述的访问控制单元(3)，包括：

令牌提取验证模块(31)，用于提取用户请求中的令牌，并向安全令牌服务单元(1)验证令牌，若令牌验证成功则将得到的用户身份信息和用户请求发送给访问决策模块，若令牌验证失败则向用户发送令牌验证失败响应；

访问决策模块(32)，根据从令牌提取验证模块得到的用户身份信息，对主体信息管理单元进行检索，得到用户的属性信息；根据从令牌提取验证模块得到的用户请求中要访问的资源信息对策略存储模块进行检索，得到对应资源的访问控制策略信息，若用户属性符合访问控制策略则授权访问，若不符合则不授权；以决策结果、用户请求信息、用户身份信息为参数，调用决策执行模块；

决策执行模块(33)，用于根据访问决策模块的决策结果和请求信息，以及请求信息中的结构化的访问控制策略，分别完成数据读写、调用属性基加解密单元进行数据加解密、调用策略生成模块生成访问控制策略文件这三种功能；

策略生成模块(34)，用于将请求信息中以字符串组织的结构化访问控制策略，转化为以可扩展的访问控制标记语言XACML描述的访问控制策略文件，并存储到策略存储模块中；

策略存储模块(35)，用于存储访问控制策略文件；

所述的属性基加解密单元(4)，包括：

对称加解密模块(41)，用于生成对称密钥，并用对称密钥加密明文，解密密文；

属性基加密模块(42)，通过请求中的结构化访问控制策略，运行基于属性的CP-ABE加密算法对对称密钥进行加密，得到访问控制策略加密后的对称密钥并存储到主体信息管理单元(2)中；

属性基解密模块(43)，根据身份用户信息对主体信息管理单元进行检索，得到用户私钥和策略加密后的对称密钥，使用用户私钥运行基于属性的CP-ABE解密算法对策略加密后的对称密钥进行解密得到对称密钥；

所述的云存储单元(5)，用于存储经属性基加解密单元加密过的密文或未经加密直接由访问控制单元存储的明文，并在文件索引信息中标示文件是否经过加密；

所述决策执行模块(33)，包括：

执行判断模块(331),用于根据决策结果、用户请求信息和用户身份信息，判断是否调用文件上传下载模块、策略生成模块和属性基加解密单元，并给用户返回响应；当决策结果为授权访问时，则调用文件上传下载模块上传或下载文件并给用户返回授权响应，若为非授权则给用户返回非授权响应；当请求信息中存在结构化的访问控制策略时，则调用策略生成模块生成访问控制策略文件；当用户请求信息为上传文件请求并指定需要加密时，则调用属性基加解密单元加密上传文件；当用户请求信息为下载文件请求并且请求的文件是已加密文件时，则调用属性基加解密单元解密下载文件；

文件上传下载模块(332)，用于接收用户文件，向云存储单元写入文件，并从云存储单元读取文件，向用户发送文件。

2.根据权利要求1所述的基于属性的云存储访问控制系统，其特征在于安全令牌单元(1)，包括：

身份认证模块(11)，用于认证用户发送的认证请求中的身份信息，并给认证成功的用户分发访问令牌，该身份信息由用户名，密码组成或者是第三方认证的身份证书；

令牌验证模块(12)，用于响应访问控制单元发送的令牌验证请求，若验证成功则返回令牌持有者的信息，若不成功则返回令牌验证失败响应。

3.根据权利要求1所述的基于属性的云存储访问控制系统，其特征在于主体信息管理单元(2)，包括：

用户私钥生成模块(21)，根据主体信息存储模块中的用户属性，使用基于属性的CP-ABE加密算法生成用户私钥并存储在主体信息存储模块；

属性监测模块(22)，用于监测主体信息存储模块中用户属性值的改变，若用户属性改变则调用用户私钥生成模块更新用户私钥；

主体信息存储模块(23)，用于存储用户属性信息、用户私钥和用访问控制策略加密后的对称密钥。