一種基于時(shí)變參數(shù)的多類型屬性加密方案

黃衛(wèi) 楊文遠(yuǎn)

在半可信云環(huán)境中，個(gè)人和企業(yè)可將數(shù)據(jù)的存儲(chǔ)、計(jì)算等任務(wù)外包給云服務(wù)提供商（CSP），以更好的專注于自身的業(yè)務(wù)領(lǐng)域，不再受固定的物理位置和有限的計(jì)算資源限制。CSP作為專業(yè)的管理實(shí)體，同樣面臨來(lái)自內(nèi)外部的多重威脅，云安全事件時(shí)有發(fā)生?？梢哉f(shuō)，云端數(shù)據(jù)內(nèi)容的保護(hù)本質(zhì)上并不是絕對(duì)安全的，目前學(xué)者們已討論過(guò)有諸多應(yīng)對(duì)加密方案，各有其優(yōu)勢(shì)。

基于屬性的加密（ABE）作為一種適用于云存儲(chǔ)的優(yōu)秀加密方案，它可以實(shí)現(xiàn)一對(duì)多的加密，能提供靈活且細(xì)粒度的訪問(wèn)控制，保證存放在服務(wù)器上數(shù)據(jù)的機(jī)密性，但現(xiàn)有的ABE方案研究仍然有一些不足之處。首先是用戶屬性有時(shí)是動(dòng)態(tài)變化的，遠(yuǎn)程辦公用戶的位置通常不確定，如果將物理位置作為屬性信息，則隨之產(chǎn)生如何解密云端密文，參與用戶的位置信息可能被泄露等問(wèn)題。再如，屬性密鑰及策略的安全更新問(wèn)題，安全性能若頻繁更新，將增加大量的計(jì)算和存儲(chǔ)開(kāi)銷，這些計(jì)算開(kāi)銷現(xiàn)今通常外包給三方，兩者安全性問(wèn)題更加不容忽視；在密文策略屬性加密（CP-ABE）方案中的訪問(wèn)策略以明文形式嵌入在密文中，如果攻擊者以選擇密文攻擊方式，可能暴露用戶的一些敏感信息，或是縮小了攻擊者的目標(biāo)范圍。

針對(duì)上述問(wèn)題，本文從密鑰的產(chǎn)生出發(fā)，首先從用戶配置文件中識(shí)別任意用戶的詳細(xì)授權(quán)信息，通過(guò)維護(hù)不同用戶的用戶資料，形成屬性列表，并產(chǎn)生與之對(duì)應(yīng)的密鑰和訪問(wèn)權(quán)限，最終訪問(wèn)結(jié)構(gòu)的生成面向授權(quán)用戶而非所有用戶。為了避免用戶密鑰在數(shù)據(jù)流被捕獲，由屬性、公鑰等輸入?yún)?shù)生成的密鑰要求是不能固定的。針對(duì)這一問(wèn)題，本文提出了一種基于動(dòng)態(tài)時(shí)變參數(shù)的，多類型訪問(wèn)結(jié)構(gòu)下的屬性加密方案，該方案在不同時(shí)間窗口中執(zhí)行的用戶配置文件對(duì)用戶集生成一個(gè)分類結(jié)構(gòu)。由于不同屬性產(chǎn)生的密鑰隨時(shí)間而變化，因此分類方式也是動(dòng)態(tài)的，有效改善了云環(huán)境中數(shù)據(jù)安全管理的性能。

根據(jù)ABE應(yīng)用的一般場(chǎng)景，屬性加密形成密文由一系列屬性決定，假定這一系列屬性由N個(gè)用戶提供，輸入公鑰PK，與之形成了K個(gè)用戶密鑰，記為KS。若將整個(gè)密鑰集KS分配給N個(gè)用戶必然將增加系統(tǒng)開(kāi)銷。針對(duì)這一問(wèn)題，通過(guò)代表用戶個(gè)人資料的配置文件，生成用戶。在系統(tǒng)密鑰分發(fā)或更新過(guò)程中，應(yīng)增加抗攻擊者捕獲復(fù)雜性，這里設(shè)計(jì)一個(gè)動(dòng)態(tài)時(shí)間的密鑰生成和分發(fā)方法，為每個(gè)時(shí)間窗口生成分類結(jié)構(gòu)用于加強(qiáng)云安全性，如圖1所示。

分類結(jié)構(gòu)以文件形式保存并維護(hù)不同的鑒權(quán)方案和密鑰，對(duì)于單個(gè)用戶而言，通過(guò)分配定義好的分類選項(xiàng)，使用某一時(shí)間窗口的特定方案來(lái)處理用戶請(qǐng)求，以及密鑰分發(fā)給用戶。

根據(jù)維護(hù)的配置文件生成任意用戶的分類結(jié)構(gòu)，并構(gòu)建引入時(shí)變參數(shù)的屬性加密體系。通過(guò)鑒別用戶訪問(wèn)權(quán)限，驗(yàn)證用戶是否可以訪問(wèn)相關(guān)云服務(wù)。下一步，由請(qǐng)求處理器驗(yàn)證提交的數(shù)據(jù)是否可信，如果用戶通過(guò)信任評(píng)估，則將其數(shù)據(jù)交給加解密過(guò)程，以便對(duì)云端的數(shù)據(jù)進(jìn)行操作。圖 2顯示了時(shí)變多類型下的體系結(jié)構(gòu)和組件。

解密過(guò)程是從密文轉(zhuǎn)換成明文，某種意義上說(shuō)也是執(zhí)行加密的逆向過(guò)程。這里使用式（1）識(shí)別出標(biāo)識(shí)的密鑰集，根據(jù)式（3）得知填充大小和方案，再截?cái)嗵畛涞臄?shù)據(jù)，然后使用用戶密鑰解密以生成原始數(shù)據(jù)。

（三）動(dòng)態(tài)分類生成器

屬性加密被認(rèn)為是解決云安全性問(wèn)題的有效辦法之一，其中包含對(duì)數(shù)據(jù)進(jìn)行加密時(shí)所使用的一組訪問(wèn)策略，針對(duì)訪問(wèn)策略安全性保護(hù)問(wèn)題，本文提出一種基于時(shí)變參數(shù)的多類型屬性加密方案，在不同的時(shí)間窗口中采用多類型結(jié)構(gòu)進(jìn)行加密，算法支持屬性和相關(guān)密鑰的分類，分類的內(nèi)容能在每個(gè)時(shí)間窗口中動(dòng)態(tài)變化，以很好防止數(shù)據(jù)捕獲的安全性。

該方法根據(jù)屬性配置文件和服務(wù)配置文件等生成用戶分類，其中包含了相關(guān)用戶有權(quán)訪問(wèn)的服務(wù)和屬性的信息。在調(diào)整用戶數(shù)、服務(wù)類型、屬性數(shù)、算法、設(shè)計(jì)語(yǔ)言等參數(shù)后，并加以時(shí)間窗口變化的權(quán)值向量。通過(guò)應(yīng)用測(cè)試發(fā)現(xiàn)，方案還可以將時(shí)間復(fù)雜度降低到21秒鐘，并將吞吐量性能提高到92%，有效提升了數(shù)據(jù)加密的安全性和執(zhí)行效率，在數(shù)據(jù)完整性管理和機(jī)密性上較以往的方案都有所改進(jìn)。

作者單位：南昌航空大學(xué)科技學(xué)院（共青城）