具有细粒度访问控制的隐藏关键词可搜索加密方案

针对现有的可搜索加密算法在多用户环境中密钥管理难度大并且缺乏细粒度访问控制机制的问题,利用基于密文策略的属性加密机制(CP-ABE, ciphertext-policy attribute based encryption)实现了对隐藏关键词可搜索加密方案的细粒度访问控制。数据拥有者可以为其在第三方服务器中存储的加密指定灵活的访问策略,只有自身属性满足该访问策略的用户才有权限对数据进行检索和解密。同时还能够实现对用户的增加与撤销。安全性分析表明方案不仅可以有效地防止隐私数据的泄露,还可以隐藏关键词的信息,使得第三方服务器在提供检索功能的同时无法窃取用户的任何敏感信息。方案的效率分析表明,该系统的检索效率仅为数十微秒,适合在大型应用系统中使用。     

支持临时解密授权的密文策略属性加密方案

属性加密是在云环境下实现细粒度访问控制的有效工具,但同类方案并未较好地解决数据所有者的隐私保护和解密权限临时授权问题。文章将属性代理重加密技术与Nishide等的属性加密方案相结合,提出同时支持访问策略隐藏和解密权限临时授权的密文策略属性加密方案。此外,文章利用新方案解决了医疗云环境下属性访问控制系统的构造问题。安全性分析表明,新的属性加密方案并未破坏底层方案的安全性,而且不会向代理服务器泄露数据所有者的解密私钥。     

访问控制模型研究进展及发展趋势

 访问控制的任务是保证信息资源不被非法使用和访问,冲突检测与消解主要解决不同信息系统安全策略不统一的问题.随着计算机和网络通信技术的发展,先后出现了自主访问控制模型、强制访问控制模型、基于角色的访问控制模型、基于任务的访问控制模型、面向分布式和跨域的访问控制模型、与时空相关的访问控制模型以及基于安全属性的访问控制模型等访问控制模型.本文从理论和应用研究两个角度分析和总结了现有访问控制技术、访问控制策略冲突检测与消解方法的研究现状,提出了目前访问控制模型及其冲突检测与消解研究在面向信息物理社会的泛在网络互联环境中存在的问题,并给出了细粒度多级安全的访问控制模型及其策略可伸缩调整方法的发展趋势.     

基于密文策略属性加密的广电监管数据共享系统

本文设计了一种基于密文策略属性加密（CP-ABE,Ciphertext-Policy Attribute-Based Encryption）的云存储数据共享系统，用于对广电监测监管数据进行加密存储和有条件访问，有效解决了云端数据安全共享和细粒度访问控制的问题，满足防止非法访问及信息泄露的安全需求。     

基于零信任的动态访问控制技术研究

传统的访问控制技术不能有效满足泛在接入的移动接入需求,提出一种基于零信任的动态访问控制技术。该技术通过持续监控大规模访问主体行为,结合主体行为、任务类型、服务、资源类型和网络安全状态对用户进行动态信任评估并根据信任值对访问主体进行动态授权,从而提高系统对恶意行为的识别率,提升企业数据资源的安全性。仿真表明,该方法能够适应访问主体在持续访问控制方案下的细粒度访问控制和动态授权管理,提升移动办公等应用的安全性。     

基于区块链且支持数据共享的密文策略隐藏访问控制方案

传统的属性基加密方案虽然实现了一对多的访问控制，但仍存在单点故障、效率低下、不支持数据共享以及隐私泄露等挑战。针对以上问题，提出了一种基于区块链且支持数据共享的密文策略隐藏访问控制方案。利用素数阶双线性群和正负号与门访问结构，实现细粒度访问控制的同时避免了用户属性值的泄露；结合以太坊和星际文件系统解决了用户属性撤销问题和云存储模型中的单点故障问题，通过代理重加密的方法实现了数据共享。基于困难问题假设，证明了所提方案的安全性。仿真实验结果表明，所提方案在实现策略隐藏的同时具有较高的效率。     

具有隐私保护的细粒度智能家居远程数据安全更新方案

针对现存智能家居软件更新方案中存在的粗粒度访问控制、单点服务失效、用户解密效率低下等问题,该文提出一种具有隐私保护的细粒度智能家居远程数据安全更新方案。该方案通过属性基加密技术实现了细粒度访问控制,并结合区块链和星际文件系统(IPFS)技术对数据进行存储。通过对访问策略进行隐藏,构造出一种策略隐藏的密文策略基于属性加密(CP-ABE)算法,进一步保护了用户的隐私。此外,通过设计面向轻量级用户的外包解密算法,所提方案有效减轻了轻量级用户的计算负担,并结合区块链和智能合约技术实现了外包解密过程的公平支付。最后,基于判定的双线性迪菲赫尔曼 (DBDH)假设,证明了所提方案是选择明文攻击下的不可区分 (IND-CPA)安全的。仿真实验结果表明,所提方案与现有方案相比终端用户解密成本和通信开销明显降低。     

基于属性的k次匿名大数据中心访问控制方案

在研究信息服务中心云存储用户的隐私保护问题时,基于属性的加密方案是一种前景看好的解决途径,它有效满足了匿名访问和数据加密等要求。然而,基于属性的加密方案只适用于对云存储服务中加密数据的认证访问。在云计算服务访问控制的环境中,部署这一方案是不切实际的。文章研究大数据中心云存储匿名访问控制的安全需求,介绍基于属性的访问控制方案构成,设计基于属性的k次匿名访问控制安全模型,描述方案的基本原理,给出方案的工作流程,并对方案的安全性和效率进行分析。     

保护用户隐私的数据加密与安全存储方案

文中提出了一套保护用户隐私的数据加密与安全存储方案,选择了适合的加密算法和密钥管理方案。通过对比分析不同加密算法的安全性和效率,最终选择了AES 256,RSA等加密算法,并设计了三级密钥管理方案,实现了对密钥的安全存储和分发。在数据存储方面,以eMMC存储器为存储介质,实现了基于角色和权限的访问控制机制,确保用户只能访问其被授权的数据。     

基于雾计算的权重OBDD访问结构属性密码体制研究

基于密文策略的属性密码体制在云存储中对于实现数据的安全分享和细粒度访问控制起到了关键性的作用,但基于密文策略的属性密码体制存在效率低、访问策略不灵活以及单一属性授权中心带来的单点失效威胁问题.对此,提出基于雾计算的权重有序二叉决策图(Ordered Binary Decision Diagram,OBDD)访问结构的属性密码体制.首先,所提方案把大部分运算外包给雾节点,有效地降低了用户端的计算开销;其次,采用多属性授权中心的方式以防止单点失效威胁;最后,所提方案采用基于权重的OBDD访问结构,不仅能由权重设置阈值以表达任何的布尔函数值,还能同时支持访问结构中属性的正负值的表达.安全性分析和性能分析结果表明,所提方案在判定性双线性Diffie-Hellman(DBDH)问题下满足选择明文安全,并且比其他方案更高效,具有使用价值.     

云计算的服务安全体系结构和访问控制模型

Security is a key problem for the development of Cloud Computing. A common service security architecture is a basic abstract to support security research work. The authorization ability in the service security faces more complex and variable users and environment. Based on the multidimensional views , the service security architecture is described on three dimensions of service security requirement integrating security attributes and service layers . An attribute-based dynamic access control model is presented to detail the relationships among subjects , objects , roles , attributes , context and extra factors further. The model uses dynamic control policies to support the multiple roles and flexible authority. At last, access control and policies execution mechanism were studied as the implementation suggestion.     

ASPE: attribute-based secure policy enforcement in vehicular ad hoc networks

Vehicular ad hoc networks (VANETs) are usually operated among vehicles moving at high speeds, and thus their communication relations can be changed frequently. In such a highly dynamic environment, establishing trust among vehicles is difficult. To solve this problem, we propose a flexible, secure and decentralized attribute based secure key management framework for VANETs. Our solution is based on attribute based encryption (ABE) to construct an attribute based security policy enforcement (ASPE) framework. ASPE considers various road situations as attributes. These attributes are used as encryption keys to secure the transmitted data. ASPE is flexible in that it can dynamically change encryption keys depending on the VANET situations. At the same time, ASPE naturally incorporates data access control policies on the transmitted data. ASPE provides an integrated solution to involve data access control, key management, security policy enforcement, and secure group formation in highly dynamic vehicular communication environments. Our performance evaluations show that ASPE is efficient and it can handle large amount of data encryption/decryption flows in VANETs.     

基于分类概念格的动态策略存取模型

分析了策略系统存储模型在判断策略问条件变量值的相交性方面存在的不足,研究了概念格结构在该方面的优势,提出了基于分类概念格的动态策略存取模型,利用策略属性值之间的偏序关系,将动态策略仓库组织为概念格.设计了基于概念格的策略冲突检测算法,用超概念一子概念查找操作代替属性值相交性判断,缩减了冲突检测空间,提高了冲突检测效率.分析了算法的性能,通过仿真验证了算法的有效性.     

基于属性的安全增强云存储访问控制方案

为了保证云存储中用户数据和隐私的安全,提出了一种基于属性的安全增强云存储访问控制方案。通过共用属性集,将基于属性的加密体制(ABE)与XACML框架有机结合,在XACML框架上实现细粒度的基于属性的访问控制并由ABE保证数据的机密性。考虑到数据量很大时ABE的效率较低,因此,云存储中海量敏感数据的机密性用对称密码体制实现,ABE仅用于保护数据量较小的对称密钥。实验分析表明,该方案不仅能保证用户数据和隐私的机密性,而且性能优于其他同类系统。     

面向多维数字媒体的访问控制机制

在多维数字媒体场景中,用户期望利用环境、时态等因素实现访问权限的自我约束。针对该需求,综合环境、时态、角色定义授权属性,提出面向多维数字媒体的访问控制机制,该机制定义用户—授权属性分配关系和授权属性—访问权限分配关系,根据用户的ID、属性信息、所处环境和时态、角色,用户—授权属性分配关系为用户分配相应授权属性;根据用户所赋予的授权属性,授权属性—访问权限分配关系为用户分配相应访问权限。引入约束条件,用户通过设置约束条件进行访问权限的自我约束,实现访问权限随环境、时态、角色等因素的变化而动态缩减。使用Z符号对该机制进行形式化描述,通过实例分析验证其可行性,与现有工作的比较表明所提机制支持最小权限、职责分离、数据抽象等安全原则,支持访问权限的动态缩减。     

云环境下基于属性加密体制算法加速方案

云计算为租户提供存储、计算和网络服务，数据安全保护和租户间的数据共享与访问控制是其必不可少的能力。基于属性的加密体制是一种一对多的加密体制，可以根据用户属性实现细粒度访问控制，适用于云计算环境多租户数据共享。但现有的基于属性加密体制的算法效率较低，难以在实际环境中应用。分析了基于属性的加密体制的两种类型及其应用场景，提出一个基于属性加密体制算法的加速方案。通过实验表明，提出的方案可提高基于属性加密体制的密钥生成算法、加密算法和解密算法的效率。     

面向多级安全的结构化文档描述模型

面向多要素访问控制和多级安全需求,为了解决网络环境的开放性、多样化所带来的安全问题,基于现有的结构化文档描述模型及访问控制模型,提出了一种面向多级安全的结构化文档描述模型和描述方法,并给出安全属性的描述结构及其对应的可扩展标识语言（XML）实例,最后对提出的模型进行了安全性分析。     

面向敏感数据共享环境下的融合访问控制机制

为解决敏感数据共享应用中的数据分发问题和提高数据共享的安全性,将属性基加密机制和使用控制技术相结合,提出一种融合访问控制机制。该机制一方面采用属性基加密机制保证了数据在存储和分发过程中的机密性,通过灵活且可扩展的访问控制策略控制敏感数据的共享范围;另一方面,通过使用控制技术实现对用户的权限控制,防止合法用户对敏感数据进行非法操作,解决共享用户中的权限滥用问题。最后,对机制的安全性和性能进行了分析,显著地降低了服务端的工作负荷,并通过实验测试了该机制的有效性。