云计算中基于属性和定长密文的访问控制方法

随着云计算应用的增加,安全问题引起了人们的高度重视。由于云计算环境的分布式和不可信等特征,数据属主有时需要对数据加密后再托管云存储,如何实现非可信环境中加密数据的访问控制是云计算技术和应用需要解决的问题。文中提出一种基于属性和固定密文长度的层次化访问控制方法,该方案将密文长度和双线性对计算量限制在固定值,具有较高的效率,并且引入层次化授权结构,减少了单一授权的负担和风险,实现了高效、精细、可扩展的访问控制。同时证明了该方案在判定性q-BDHE假设下具有CCA2安全性。     

云计算中基于属性和定长密文的访问控制方法

随着云计算应用的增加,安全问题引起了人们的高度重视。由于云计算环境的分布式和不可信等特征,数据属主有时需要对数据加密后再托管云存储,如何实现非可信环境中加密数据的访问控制是云计算技术和应用需要解决的问题。文中提出一种基于属性和固定密文长度的层次化访问控制方法,该方案将密文长度和双线性对计算量限制在固定值,具有较高的效率,并且引入层次化授权结构,减少了单一授权的负担和风险,实现了高效、精细、可扩展的访问控制。同时证明了该方案在判定性q-BDHE假设下具有CCA2安全性。     

企业云存储数据的加密与密文全文检索研究

将密文规则的基于属性加密技术同Lucene全文索引技术相结合,提出适合云存储中密文数据全文检索的方法;针对云存储的特点改进了密文规则的基于属性加密技术.给出了设置在企业端的私有安全模型,并基于Lucene全文索引引擎以及改进的密文规则的基于属性加密方案开发设计了密文全文检索服务和数据加密与访问控制服务.在Eucalyptus云平台上实现了该安全模型的主要服务模块.该安全模型较好地解决了企业数据云存储的机密性与密文全文检索问题.     

云环境中层次化的轻量级访问控制方案

属性基加密能够实现密文数据的细粒度访问控制,有效地解决云环境中的数据共享问题。针对计算能力受限设备难以高效地完成属性基加密过程中大量计算的问题,提出一种云环境中层次化的轻量级访问控制方案。该方案通过引入虚拟属性和双密钥将大部分耗时的加解密计算安全地转移至云服务器,并对访问结构进行优化。数据分享者对访问结构具有层次关系的多份数据只需加密一次,同时数据请求者可以根据其属性解密部分或全部密文。安全性分析和性能评估表明该方案能够实现云环境中高效和细粒度的密文数据访问控制,使得用户端计算开销显著降低,且在整个执行过程中不会造成数据泄露。     

对象云存储中分类分级数据的访问控制方法

随着云计算技术的广泛应用,云存储中数据的安全性、易管理性面临着新的挑战.对象云存储系统是一种新型的数据存储云计算体系结构,通常用来存储具有分类分级特点的非结构化数据.在云服务不可信的前提下,如何实现对云存储中大量具有分类分级特点资源的细粒度访问控制机制,保障云存储中数据不被非法访问是云计算技术中亟需解决的问题.对近些年来国内外学者的成果进行研究,发现现有的方案并不能有效应对这种新问题.本文利用强制访问控制、属性基加密、对象存储各自的优势,并结合分类分级的属性特点,提出了一个基于安全标记对象存储访问控制模型.同时给出了CGAC算法和其安全证明,将分类分级特点的属性层级支配关系嵌入ABE机制中,生成固定长度的密文.该算法不仅访问控制策略灵活,具有层次化授权结构,还可以友好的与对象存储元数据管理机制结合.通过理论效率分析和实验系统实现,验证了所提出方案计算、通信开销都相对较小,具有很高的实际意义.     

云计算中基于密文策略属性基加密的数据访问控制协议

云计算提供一种新兴的数据交互模式,实现了用户数据的远程存储、共享和计算。由于云计算的系统复杂性、网络开放性、资源集中性以及数据敏感性等特点,使得用户与云服务器的交互过程面临着严峻的安全威胁,成为云计算安全领域亟待解决的关键问题。文章首先介绍了云计算系统的系统组件、信任模型和攻击模型,针对云计算系统中的数据安全访问问题,提出了基于密文策略属性基加密的访问控制协议。该协议利用切比雪夫映射的半群特性实现了用户身份的合法性认证,并设计轻量级的属性加密算法实现用户数据的可靠性授权。同时,该协议主要引入身份认证、访问控制和前向安全性机制,实现用户身份真实性认证和数据可靠性访问。通过协议存储需求分析,表明该协议在数据属性集和密钥存储方面具有固定的存储空间需求,避免海量数据交互中用户存储空间的线性增长。通过分析,表明该协议具有较强的可靠性、灵活性和扩展性,适应于云环境中大规模数据交互的应用场景。     

高效可撤销的雾协同云访问控制方案

密文策略属性加密技术在实现基于云存储的物联网系统中数据细粒度访问控制的同时,也带来了用户与属性的撤销问题。然而,在现有的访问控制方案中,基于时间的方案往往撤销并不即时,基于第三方的方案通常需要大量重加密密文,效率较低且开销较大。为此,基于RSA密钥管理机制提出了一种高效的支持用户与属性即时撤销的访问控制方案,固定了密钥与密文的长度,借助雾节点实现了用户撤销,同时将部分加解密工作从用户端卸载到临近的雾节点,降低了用户端的计算负担。基于aMSE-DDH假设的安全性分析结果表明,方案能够抵抗选择密文攻击。通过理论分析和实验仿真表明,所提方案能够为用户属性变更频繁且资源有限的应用场景提供高效的访问控制。     

云计算环境下基于属性和信任的RBAC模型研究

基于角色的访问控制（Role-Based Access Control,RBAC）是一种经典的访问控制模型,其将用户与权限通过角色关联起来,使得访问控制更加灵活并易于管理。然而,在云计算环境中,RBAC会出现用户权限滥用和访问控制粒度较粗等安全问题。为解决以上问题,提出一种基于属性（Attribute）和信任（Trust）的RBAC模型,即ATRBAC。ATRBAC采用基于密文策略属性基加密（CP-ABE）的思想和信任评估的方法,一方面,为用户授予一个包含信任值属性的属性集合,另一方面,为角色嵌入一种包含信任阈值的访问结构。只有当用户属性集合匹配角色访问结构时,用户才可以获得角色及对应的权限。实验结果表明,ATRBAC模型能够实现动态授权、权限自动化授予以及更细粒度的访问控制,增强了云环境下数据资源的安全性。     

一种面向云存储的高效动态密文访问控制方法的安全性分析与改进

为解决云计算环境下文件共享的安全问题,Hong等人[1]提出了一种基于CP-ABE(Ciphertext-policy attributed-based encrtption)密文策略的动态密文访问控制方法 HCRE,将访问控制结构转移到云端,实现高效的共享访问控制。针对该方案在用户访问权限撤销过程中存在严重的安全漏洞,通过给出实际的攻击案例不但指出该漏洞所在,而且分析其成因,并结合代理重加密提出一种新的改进方案。其在继承HCRE方案优点的同时,还弥补了安全漏洞,且在权限撤销阶段更具效率。     

云数据安全存储技术

云计算因具有资源利用率高、节约成本等诸多优点而将成为未来的主流计算模式.然而,包括隐私保护在内的数据安全存储问题却成为云计算推广的巨大障碍.该文首先列举了云计算在数据安全上面临的主要挑战,指出了云计算的租用商业模式和其采用的两种关键技术——虚拟化技术和多租户技术是云存储存在诸多安全问题甚至安全悖论的根本原因.从加密存储、安全审计和密文访问控制3个方面对云数据安全存储的最新研究进展分别进行了评述.在加密存储上,介绍了云数据安全存储框架和主要的安全存储技术;在安全审计上,分析了外包数据安全审计,特别是公开审计面临的主要难题,介绍了包括云数据在内的外包数据完整性公开证明的主要模型和方法,并指出了它们的优势和不足;在云密文的访问控制上,详述了基于属性的云密文访问控制方法,并指出了这些方法的优劣.最后指出了云数据安全存储研究面临的主要问题并预测了相关研究的未来发展趋势.     

Hierarchical attribute-based encryption and scalable user revocation for sharing data in cloud servers

With rapid development of cloud computing, more and more enterprises will outsource their sensitive data for sharing in a cloud. To keep the shared data confidential against untrusted cloud service providers (CSPs), a natural way is to store only the encrypted data in a cloud. The key problems of this approach include establishing access control for the encrypted data, and revoking the access rights from users when they are no longer authorized to access the encrypted data. This paper aims to solve both problems. First, we propose a hierarchical attribute-based encryption scheme (HABE) by combining a hierarchical identity-based encryption (HIBE) system and a ciphertext-policy attribute-based encryption (CP-ABE) system, so as to provide not only fine-grained access control, but also full delegation and high performance. Then, we propose a scalable revocation scheme by applying proxy re-encryption (PRE) and lazy re-encryption (LRE) to the HABE scheme, so as to efficiently revoke access rights from users.     

基于扩展属性基功能加密的有效外包计算

针对目前属性基加密（ABE）方案存在的主要问题,即访问策略功能单一的问题和密文的大小和解密时间随着访问公式的复杂性增加而增长的问题,提出了有效外包计算的多功能ABE方案。首先,通过对敏感数据的细粒度访问控制,实现了不同功能加密系统;然后,利用云服务器巨大的计算能力进行部分解密计算,将满足访问策略的用户属性密文转化为一个（常量大小） ElGamal类型的密文;同时通过有效的验证方法保证外包运算的正确性。理论分析结果表明,与传统属性基功能加密方案相比,所提方案用户端的解密计算降低至一次指数运算和一次对运算,该方案在不增加传输量的情况下,为用户节省了大量带宽和解密时间。     

区块链上基于云辅助的属性基可搜索加密方案

可搜索加密技术在不解密的情况下搜索加密数据.针对现有的可搜索加密技术没有考虑数据用户细粒度搜索权限的问题,以及现有的可搜索加密方案中因云存储的集中化对数据安全和隐私保护带来的问题,提出了区块链上基于云辅助的属性基可搜索加密方案.该方案利用可搜索加密技术实现加密数据在区块链上的安全搜索,利用基于属性的加密技术实现数据的细粒度访问控制,利用区块链不可篡改的特性确保关键字密文的安全.在该方案中属性基加密技术用来加密关键字,区块链上存储关键字密文,云服务器上存储关键字密文和数据密文.基于困难问题假设,证明该方案能够保证关键字密文和陷门的安全性.数值实验结果表明:该方案在密钥生成阶段、陷门生成阶段、关键字搜索阶段具有较高的效率.     

Flexible CP-ABE Based Access Control on Encrypted Data for Mobile Users in Hybrid Cloud System

In hybrid cloud computing, encrypted data access control can provide a fine-grained access method for organizations to enact policies closer to organizational policies. This paper presents an improved CP-ABE (ciphertext-policy attribute-based encryption) scheme to construct an encrypted data access control solution that is suitable for mobile users in hybrid cloud system. In our improvement, we split the original decryption keys into a control key, a secret key and a set of transformation keys. The private cloud managed by the organization administrator takes charge of updating the transformation keys using the control key. It helps to handle the situation of flexible access management and attribute alteration. Meanwhile, the mobile user’s single secret key remains unchanged as well as the ciphertext even if the data user’s attribute has been revoked. In addition, we modify the access control list through adding the attributes with corresponding control key and transformation keys so as to manage user privileges depending upon the system version. Finally, the analysis shows that our scheme is secure, flexible and efficient to be applied in mobile hybrid cloud computing.     

Secure and efficient data collaboration with hierarchical attribute-based encryption in cloud computing

With the increasing trend of outsourcing data to the cloud for efficient data storage, secure data collaboration service including data read and write in cloud computing is urgently required. However, it introduces many new challenges toward data security. The key issue is how to afford secure write operation on ciphertext collaboratively, and the other issues include difficulty in key management and heavy computation overhead on user since cooperative users may read and write data using any device. In this paper, we propose a secure and efficient data collaboration scheme, in which fine-grained access control of ciphertext and secure data writing operation can be afforded based on attribute-based encryption (ABE) and attribute-based signature (ABS) respectively. In order to relieve the attribute authority from heavy key management burden, our scheme employs a full delegation mechanism based on hierarchical attribute-based encryption (HABE). Further, we also propose a partial decryption and signing construction by delegating most of the computation overhead on user to cloud service provider. The security and performance analysis show that our scheme is secure and efficient.     

云环境下基于属性的多关键字可搜索加密方案

可搜索加密技术可在不解密数据密文的同时实现密文关键字的检索,很好地保护了数据存储方的隐私.针对目前大多数可搜索加密方案无法支持用户自定义搜索策略的问题,提出了一种安全、高效、可支持任意表达的基于属性可搜索加密方案.该方案首先基于LSSS搜索结构,支持任意合取、析取或单调布尔表达式的多关键字搜索策略,用户使用私钥为LSS...     

基于区块链的多关键字细粒度可搜索加密方案

密文策略下基于属性的关键字搜索(CP-ABKS)技术可以对加密的数据实现细粒度控制和检索。现有CP-ABKS方案较少考虑云服务器的恶意行为和搜索过程的公平支付,且通常只支持单关键字密文检索。对此,文章提出基于区块链的多关键字细粒度可搜索加密方案。利用密文策略下基于属性的加密技术满足多用户检索,实现了细粒度访问控制和访问策略隐藏。结合区块链技术避免了恶意云服务器对索引的篡改,使用智能合约保障了用户和数据拥有者之间的公平支付。此外,文章方案还实现了多关键字检索,且无需第三方验证实体就可以保证用户得到正确的检索结果。安全性分析表明文中方案能够保证关键字和访问策略的不可区分性,并通过性能评估验证了该方案在保证效率的同时具有更优的功能。