基于CP-ABE的訪問(wèn)控制研究

        (4)解密算法輸入系統(tǒng)公共參數(shù)PK、用訪問(wèn)結(jié)構(gòu)A加密的密文CT，及對(duì)應(yīng)于屬性集合S的解密密鑰KS。如果屬性集合S滿足訪問(wèn)結(jié)構(gòu)T，則輸出消息M。

　　CP-ABE訪問(wèn)控制設(shè)計(jì)

　　屬性集合的表達(dá)

　　將授權(quán)管理基礎(chǔ)設(shè)施(Privilege Management Infrastructure，PMI)應(yīng)用到設(shè)計(jì)方案中，利用PMI的屬性證書(shū)(Attribute Certificate，AC)來(lái)描述CP-ABE中的屬性集合，并支持分布式、可授權(quán)、可推導(dǎo)等特性，支持屬性授權(quán)能力應(yīng)遵守約束限制，完全適用于分布和開(kāi)放的網(wǎng)絡(luò)應(yīng)用環(huán)境。

　　用戶通過(guò)屬性來(lái)描述，用屬性證書(shū)AC作為用戶屬性的憑證。屬性證書(shū)AC根據(jù)用戶提交的描述信息生成，并采用頒發(fā)者的IBE私鑰簽名。AC采用國(guó)際標(biāo)準(zhǔn)的X.509 V4證書(shū)格式及抽象語(yǔ)法符號(hào)(Abstract Syntax Notation One，ANS.1)的編碼格式來(lái)描述。

　　訪問(wèn)結(jié)構(gòu)的表達(dá)

　　利用可擴(kuò)展的標(biāo)記語(yǔ)言(eXtensible Markup Language，XML)文檔記錄CP-ABE中的訪問(wèn)結(jié)構(gòu)。信息發(fā)布者定義能夠共享信息的用戶。由授權(quán)用戶應(yīng)該滿足的條件形成的XML文檔，經(jīng)加密后，再存儲(chǔ)到屬性描述符證書(shū)(Attribute Descriptor Certificate，ADC)中。

　　訪問(wèn)結(jié)構(gòu)的安全性處理

　　訪問(wèn)結(jié)構(gòu)決定了哪些是授權(quán)用戶，哪些是非授權(quán)用戶，所以一旦訪問(wèn)結(jié)構(gòu)被竊取，整個(gè)的訪問(wèn)控制就失去了意義。為了保證訪問(wèn)結(jié)構(gòu)的安全，方案對(duì)描述訪問(wèn)結(jié)構(gòu)的XML文件加以防護(hù)，利用發(fā)布人的私鑰簽名、系統(tǒng)的公鑰加密，保證訪問(wèn)結(jié)構(gòu)XML文件的不可抵賴性與不被篡改，保證傳輸中不被竊取。

　　利用屬性描述符證書(shū)ADC來(lái)存儲(chǔ)最后形成的XML訪問(wèn)結(jié)構(gòu)文件，即將文件內(nèi)容拷貝到ADC的擴(kuò)展域PrivilegePolicyIdentifier屬性值中。

　　訪問(wèn)控制模型

　　方案采用可擴(kuò)展訪問(wèn)控制標(biāo)記語(yǔ)言(eXtensible Access Control Markup Language，XACML)來(lái)構(gòu)建訪問(wèn)控制模型。XACML是一種基于屬性訪問(wèn)控制模型的策略描述語(yǔ)言及協(xié)議棧，它采用樹(shù)狀分層嵌套結(jié)構(gòu)定義訪問(wèn)權(quán)限。

　　屬性描述符證書(shū)ADC中存儲(chǔ)的訪問(wèn)結(jié)構(gòu)是訪問(wèn)控制策略的主要組成部分，除此之外，訪問(wèn)控制策略還包括環(huán)境和策略約束等條件，這些以XACML策略文件的方式存儲(chǔ)，納入XACML控制模型來(lái)處理。

　　基于XACML的訪問(wèn)控制模型如圖1所示。

　　方案應(yīng)用

　　文中的方案在筆者單位開(kāi)發(fā)的項(xiàng)目《嬰幼兒在線專家診斷系統(tǒng)》和《基于PMI的內(nèi)網(wǎng)安全系統(tǒng)》加以應(yīng)用。這兩個(gè)項(xiàng)目分別受到《基于Windows Mobile的移動(dòng)終端安全技術(shù)研究》、《PMI多訪問(wèn)控制機(jī)制的細(xì)粒度授權(quán)服務(wù)系統(tǒng)》與《河北省食品安全協(xié)調(diào)指揮系統(tǒng)》的資助。其中，《嬰幼兒在線專家診斷系統(tǒng)》利用該方案使得嬰幼兒發(fā)育信息只對(duì)特定人群可見(jiàn)，且特定人群只須滿足某種條件，而不必具體地一一指定，避免了因?yàn)椴荒芰信e共享人群而帶來(lái)的信息難以共享的問(wèn)題。而《基于PMI的內(nèi)網(wǎng)安全系統(tǒng)》利用該方案進(jìn)行訪問(wèn)控制，避免了原方案在采用PKI進(jìn)行信息共享時(shí)，信息提供者需要先列出所有共享用戶，再實(shí)行一對(duì)一加密，而導(dǎo)致的加密次數(shù)多、共享延遲、用戶隱私被侵犯等問(wèn)題。

　　結(jié)束語(yǔ)

　　本文通過(guò)分析基于公鑰的傳統(tǒng)加密機(jī)制在訪問(wèn)控制中面臨的困境，以及CP-ABE所具有的種種優(yōu)點(diǎn)，建立了基于CP-ABE的訪問(wèn)控制方式。通過(guò)實(shí)際應(yīng)用表明，該方案在保證訪問(wèn)控制安全性與用戶隱私的前提下，對(duì)共享數(shù)據(jù)進(jìn)行細(xì)粒度的訪問(wèn)控制，降低了共享處理的開(kāi)銷和加密次數(shù)，從而進(jìn)一步證明了該方案的正確性與優(yōu)越性。作為下一步工作，可以針對(duì)網(wǎng)格計(jì)算、云計(jì)算等大規(guī)模分布式網(wǎng)絡(luò)應(yīng)用環(huán)境下的數(shù)據(jù)隔離及身份驗(yàn)證、授權(quán)、訪問(wèn)控制和審計(jì)等安全問(wèn)題進(jìn)行有針對(duì)性的優(yōu)化、擴(kuò)展研究，使該方案能夠在安全性、時(shí)間復(fù)雜度上表現(xiàn)出更好的性能。

　　參考文獻(xiàn)：

　　[1]A. Sahai, B. Waters. Fuzzy identity based encryption: Advances in Cryptology- EUROCRYPT 2005, 2005[C]. Aarhus, Denmark: Springer, 2005:457-473
　　[2]V.Goyal, O.Pandey, A.Sahai and B.Waters. Attribute-based encryption for fine-grained access control of encrypted data, 2006: Proceedings of the 13th ACM conference on Computer and communications security, 2006[C]. Alexandria, VA, USA, 2006: 89-98
　　[3]J.Bethencourt, A.Sahai, B.Waters. Ciphertext-policy attribute-based encryption, 2007: 2007 IEEE Symposium on Security and Privacy[C]. Oakland, California, USA. 2007:321-334
　　[4]L. Cheung, C. Newport. Porvably secure ciphertext policy ABE, 2007: Proceedings of the 14th ACM Conference on Computer and Communications Security[C]. Alexandria, VA, USA, 2007:456-465
　　[5]V. Goyal, A. Jain, O. Pandey. A. Sahai, Bounded ciphertext policy attribute based encryption, 2008: 35th International Colloquium on Automata, Languages and Programming[C]. Reukjavik, Iceland: Springer, 2008: 579-591
　　[6]B. Waters. Ciphertext-policy attribute- based encryption: An expressive, efficient, and provably secure realization. 2010-12-20. http://eprint.iacr.org/2008/290