基于区块链的云上数据访问控制模型研究

区块链和基于密文策略的属性加密(Ciphertext Policy Attribute Based Encryption, CP-ABE)相结合的方案已经被广泛应用于云上共享数据的访问控制,但是这些方案中数据用户的隐私保护问题并未得到妥善解决。一些研究引入分布式多属性授权中心的基于属性的签名方案(Distributed Multi-Authority Attribute Based Signature, DMA-ABS)来保护数据用户的隐私,但当数据用户多次访问数据时需要进行重复的权限验证,这会带来多余的时间消耗问题。并且,在数据用户的属性和访问控制策略保持相对稳定的情况下,数据用户无限制地重复访问共享数据,会导致系统过载,影响正常的请求处理。这可能会引起云端数据的泄露,给云端数据的安全带来隐患。为了解决这些问题,文中提出了一个基于区块链的云上个人隐私数据访问控制方案。该方案首先将智能合约和多属性授权中心的CP-ABE方案结合,实现了云上个人隐私数据的细粒度访问控制,并引入DMA-ABS方案完成了对数据用户的匿名性身份验证,保护了数据用户的身份隐私;其次,基于比特币UTXO(Unspe...     

基于CP-ABE算法的区块链数据访问控制方案

与公有链不同,联盟区块链超级账本Fabric额外集成了成员管理服务机制,能够提供基于通道层面的数据隔离保护。但这种数据隔离保护机制在通道内同步的仍是明文数据,因此存在一定程度的数据泄露风险。另外,基于通道的数据访问控制在一些细粒度隐私保护场景下也不适用。为了解决上述提及的联盟链超级账本中存在的数据隐私安全问题,提出了一种基于CP-ABE算法的区块链数据访问控制方案。结合超级账本中原有的Fabric-CA模块,提出的方案在实现用户级细粒度安全访问控制区块链数据的同时,还能够实现对CP-ABE方案中用户属性密钥的安全分发。对该方案进行的安全分析表明,该方案实现了ABE用户属性私钥安全分发和数据隐私性保护的安全性目标,性能分析部分也说明了所提方案具有良好的可用性。     

基于区块链和密文属性加密的访问控制方案

随着数字社会的到来,使得数据成为了重要的生产要素,为了充分释放数据要素价值,作为数据安全共享的访问控制技术是实现数据安全应用与治理的关键。因此,围绕分布式架构下密文及密钥的安全性问题提出了一种基于区块链的密文访问控制方案。该方案利用密文生成算法与验证合约实现外包密文存储的真实性与完整性验证;设计了基于安全多方计算的属性密码,实现了用户私钥的链下安全多方计算并确保了私钥的唯一性,极大缓解了单属性权威的计算压力,可有效保护用户属性隐私、避免单点故障;定义了格式化的事务数据结构,实现了访问控制的全过程追责。通过安全性分析、性能分析和实验仿真分析表明,该方案在安全性和性能上均满足通用区块链的需求,为数据开放共享提供了一种通用的区块链访问控制方案。     

基于区块链的电网可信分布式身份认证系统

基于区块链的身份认证系统大多基于公有区块链平台,本质上仍是传统的中心式身份管理和验证方式,难以满足微电网中可信接入、细粒度访问控制等需求。因此,基于 FISCO BCOS 联盟区块链技术,设计了一个支持多中心的分布式身份认证系统,提出了基于 DID 的身份管理协议,实现了用户身份的自主控制;研究了微网中终端节点的分布式可信接入技术,设计了基于零知识证明的隐私保护凭证,为用户和上层应用构建一个公开透明可信的底层身份架构,满足了不同的隐私安全场景下用户身份的可信可验证的需求,实现了实体身份的自主控制、细粒度访问控制和可信数据交换。通过系统实验和性能分析证明了所设计系统的可用性和有效性。     

基于属性加密的区块链组织交易可控可监管隐私保护方案北大核心CSCD

区块链技术具有广泛的应用前景,金融行业、供应链和数字资产等领域已实现广泛部署。但在实际应用中,由于区块链数据是公开的,在某些情况下可能会泄露隐私信息,区块链中的隐私保护仍然存在一些挑战。在以组织为单位的区块链系统中,为满足组织内或组织间的合作,在隐私保护的同时需要对交易内容进行访问控制,实现可控的隐私保护。然而在保护用户隐私的同时,区块链也需要进行监管,以保护数据的合法性和安全性。为此,文章提出一种基于属性加密的区块链多组织交易可控可监管隐私保护方案。该方案不依赖特定的隐私保护方法,使用属性基加密对隐私保护陷门进行访问控制,可以作为一个独立的模块使用。该方案允许交易组织自行控制隐私保护的范围,同时监管部门可以根据不同的交易组织分配不同的监管者。实验分析表明,该方案实现了区块链中多组织交易的可控隐私保护和多监管者分级监管,同时具有较高的安全性和较好的性能。     

基于区块链和策略分级的访问控制模型

为应对当前访问控制动态变化、策略合约安全性以及策略检索效率的需求,以属性访问控制模型(ABAC)为基础,提出一种基于区块链和策略分级访问控制模型BP-ABAC。结合ABAC和区块链技术,使访问控制策略通过智能合约的方式储存在区块链,合约中对访问控制策略进行策略分级;用户根据等级评估获得相应策略集的访问权限;当请求属性和策略集中的策略相匹配时,获得访问资源权限。实验结果表明,该模型实现了对不同用户访问权限控制和提高访问控制的效率与灵活性,加强了访问控制策略的安全性和隐私性。     

基于区块链的多权限属性隐藏电子病历共享方案

现阶段,不同医院之间没有数据交换共享,容易形成数据孤岛。同时,区域医疗数据含有大量患者的敏感信息,这些数据的公开获取、共享及流通会导致恶意篡改、窃取、滥用与所有权丢失,从而泄露患者隐私。由于庞大的医疗数据量以及医疗数据的非结构化,一些具有较强针对性的恶意攻击更加难以防范与追责,如对医疗数据的窃取、篡改、勒索等恶意攻击。针对以上问题,提出一种基于区块链的多权限属性隐藏电子病历共享方案,以实现共享电子病历的细粒度访问的同时,保证患者隐私安全。引入多授权属性加密（MA-ABE）算法,利用多权限机构管理分散属性,同时通过哈希函数来识别不同用户,可以有效抵抗不同权限用户之间的共谋攻击;利用线性秘密共享方案（LSSS）实现属性的部分隐藏,将属性分为属性名与属性值两部分,以保护属性隐私;结合区块链公开透明、不易篡改等特性,设计访问策略可更新算法,基于访问策略更新算法追加策略区块,将新的访问策略上传至区块链中形成策略可更新溯源链,在隐藏策略条件下实现分布式和可信赖的访问控制管理,同时实现数据隐私保护和用户行为的可追溯。通过安全性证明和实验分析,所提方案能在有效保护属性隐私的同时,降低计算开销。     

基于区块链的能源数据访问控制方法

针对能源互联网跨企业、跨部门的数据共享过程中存在的能源数据易篡改、泄密、数据所有权争议的问题,结合区块链可追溯、难以篡改等特点,提出一种基于区块链多链架构的能源数据访问控制方法,在保护用户隐私的同时实现了能源数据跨企业、跨部门的访问控制。该方法中采用监管链与多数据链相结合的方式保护了数据的隐私,提高了可扩展性;使用链上存储数据摘要、链下存储原始数据的方式缓解了区块链的存储压力;通过支持外包的多授权属性加密技术实现了对能源数据的细粒度访问控制。实验仿真结果表明,所提方法的区块链网络具有可用性而且该方法中支持外包的多授权属性加密技术在功能性及计算花销方面具有优势,因此所提方法可以在保护用户隐私的同时实现能源数据的细粒度访问控制。     

可监管的区块链交易隐私保护方案

为了解决区块链交易中兼具隐私保护和监管功能的问题,提出一种可监管的区块链交易隐私保护方案。通过采用概率公钥加密算法实现区块链交易用户真实身份的隐藏,利用承诺方案和零知识证明技术实现交易金额的隐私保护,并保证交易的合法性验证,借助基于身份的加密体制实现监管机构对区块链交易的监督,并且监管机构无须存储用户的真实身份和密钥信息,大幅降低存储计算和密钥管理压力。该方案不依赖具体的共识机制,可作为独立模块应用在现有区块链技术中,具有简单和实用的特点,在数字资产、金融科技和能源交易等领域中具有广泛的应用价值。     

基于区块链的工业控制系统角色委派访问控制机制

IT和OT的融合模糊了工业控制系统"网络边界"的概念,细粒度的访问控制策略是保障工业企业网络安全的基石.基于角色委派的访问控制机制可把域中用户对网络资源的访问权限委派给其他域的用户或企业合作伙伴,这样为企业员工或企业合作伙伴远程访问企业网络资源提供了便利.然而,这种便利可能增加工业控制系统的攻击面.区块链技术固有的去中心化、防篡改、可审计等特征可以成为基于角色委派访问控制管理的基础架构,因而提出了基于区块链技术的角色委派访问控制方案(Delegatable Role-Based Access Control,DRBAC).DRBAC包括用户角色管理及委派、访问控制、监控机制等几个重要组件,并基于智能合约实现该方案,DRBAC的目的是保证每个网络连接必须受到细粒度访问控制策略的保护.最后,通过搭建本地私有区块链网络测试分析了DRBAC的正确性、可行性和开销.     

可监管匿名认证方案

随着互联网中隐私保护技术的发展,身份认证已成为保护计算机系统和数据安全的一道重要屏障.然而,信息技术的快速发展使传统身份认证手段暴露出一些弊端,例如,区块链技术的兴起对身份认证提出了更高的要求,在认证身份的同时需要保护用户的身份隐私等.采用匿名认证技术可解决用户身份隐私泄露的问题,但目前大多数方案未考虑可监管的问题,一旦用户出现不诚信行为,很难进行追责,因此,需要在匿名认证过程中建立监管机制.针对以上问题和需求,主要设计了一种可监管的匿名认证方案,通过匿名证书的方式确定用户的资源访问权限和使用权限,同时,用户在出示证书时可选择性地出示属性,确保用户的隐私信息不过度暴露;此外,方案中引入监管机制,可信中心（CA）对匿名认证过程进行监管,一旦出现欺诈行为,可对相关责任人进行追责.该方案主要采用安全的密码学算法构建,并通过了安全性的分析证明,能够高效实现可监管的匿名身份认证,适宜在区块链（联盟链）和其他具有匿名认证需求和可监管需求的系统中使用.     

基于以太坊区块链的公平可搜索加密方案

传统的对称可搜索加密解决了云存储中加密数据的检索问题,但是没有考虑到检索的公平性问题,即用户在支付了服务费后服务器没有返回检索结果或返回错误的检索结果的情况。随着区块链的出现,基于比特币的对称可搜索加密方案被提出,但是比特币系统的交易周期长,且比特币的脚本语言不是图灵完备的,不能适用于更多的场景。因此提出基于以太坊区块链和智能合约的对称可搜索加密方案,在保证数据隐私性的同时,解决了检索的公平性问题。安全性和性能分析结果表明该方案是可行的。     

基于雾节点的分布式属性基加密方案

为解决云存储中对用户访问数据权限划分笼统、细粒度化控制访问权限受限以及单授权机构中存在的单点失效问题,提出基于雾节点的分布式密文策略属性基加密方案。将数据的部分解密运算外包给雾节点,减少终端用户的计算开销,并由不同的属性授权机构为用户生成属性密钥,以适用于细粒度的访问控制要求,使用全局身份将属于特定用户的各种属性进行“捆绑”,防止各属性机构间的共谋攻击,同时引入权重属性简化访问结构,节省系统的存储空间。实验结果表明,基于判定性q-parallel BDHE问题证明了该方案的安全性,与基于区块链的多授权机构访问控制方案和mHealth中可追踪多授权机构基于属性的访问控制方案相比,该方案终端用户在解密阶段具有更小的计算开销。     

Accountable attribute-based authentication with fine-grained access control and its application to crowdsourcing

We introduce a new notion called accountable attribute-based authentication with fine-grained access control (AccABA), which achieves (i) fine-grained access control that prevents ineligible users from authenticating; (ii) anonymity such that no one can recognize the identity of a user; (iii) public accountability, i.e., as long as a user authenticates two different messages, the corresponding authentications will be easily identified and linked, and anyone can reveal the user’s identity without any help from a trusted third party. Then, we formalize the security requirements in terms of unforgeability, anonymity, linkability and traceability, and give a generic construction to fulfill these requirements. Based on AccABA, we further present the first attribute-based, fair, anonymous and publicly traceable crowdsourcing scheme on blockchain, which is designed to filter qualified workers to participate in tasks, and ensures the fairness of the competition between workers, and finally balances the tension between anonymity and accountability.     

基于CP-ABE和区块链的时间锁加密电子投票方案

现有电子投票系统无法同时满足投票数据隐私性、投票者之间的公平性、投票者资格控制的灵活性、投票结果的精准性、投票结果的延时公布等多元应用需求。针对上述问题,提出了一种基于CP-ABE和区块链的时间锁加密电子投票方案。该方案综合考虑了电子投票在实际场景中的多元应用需求,通过结合CP-ABE算法和Fabric技术,将属性加密后的投票链接数据存入区块链账本,满足属性策略的投票用户才能访问其链接,实现了灵活控制投票资格的机制,从而保证能获取针对不同用户群体属性的精确投票结果;基于改进的时间锁加密方案将投票数据进行加密上链,在预计投票结果公布之前为投票数据的机密性提供了保障,避免恶意节点造成合谋攻击问题,同时实现了投票结果延时公布的功能。实验从用户属性限制、投票链接获取、投票数据上链,以及投票结果延时这四个方面验证所提方案的有效性。系统测试结果表明,该方案可以有效地控制投票资格,符合属性策略的投票用户能成功获取投票链接并发送至区块链存储,同时为投票数据的机密性提供了保障。通过性能分析、安全性分析以及对比分析表明了该方案的可行性。     

可编辑且可追责的区块链方案

随着区块链所承载信息种类和应用场景的不断增加,出于信息监管、隐私保护、数据更新等方面的目的,需要对记录在区块链上的数据进行删除、更新等操作。针对这些需求,基于公开可验证秘密共享、零知识证明、变色龙哈希等技术,本文提出了一个可编辑且可追责的区块链方案。在本方案中,变色龙哈希函数将替换原始区块链中的哈希函数,由领导者将变色龙哈希的陷门密钥通过公开可验证秘密共享分发给多个用户,从而避免由某一方独自持有陷门密钥所带来的中心化问题。持有密钥份额的用户将验证网络中出现的编辑请求,并对编辑请求进行投票。当大多数用户同意进行编辑时,将通过哈希排序的方式在用户中选举出编辑者,编辑者将恢复出变色龙哈希密钥进而进行编辑。为了实现编辑过程的可追责性,全体用户都可以对编辑后的内容进行验证,监管方可以实现相关责任方的追责。本方案还通过零知识证明技术,实现了在密钥分发与验证追责阶段,可以验证密钥份额正确性。安全性分析表明方案满足陷门安全性、可编辑性、可追责性,且陷门子密钥分发时不需要经过秘密通道。仿真实验结果表明,在系统参数已经生成完毕的情况下,方案的运行时间均为毫秒量级。而参数生成算法仅执行一次,而且可以预先执行,因此参数生成算法对方案的整体运行效率影响不大,本方案依然具有较好的运行效率。     

A novel logistics data privacy protection method based on blockchain

This paper is dedicated to investigating the application of blockchain in e-commerce logistics. In the traditional logistics system, the protection mechanism of complete logistics information is not perfect and the privacy of users is leaked. Although access control can ensure the confidentiality of data to some extent, the traditional centralized access control is difficult to adapt to the access control needs of the e-commerce logistics environment. On this basis, a novel access control scheme for logistics data is proposed. It combines the membership in Hyperledger and ciphertext-policy attribute-based encryption and ensures the security of the user’s private key with the membership in Hyperledger instead of the traditional key distribution center. Finally, an experimental test and verification results on Hyperledger Fabric show the feasibility of the scheme.

     

Secure cloud file sharing scheme using blockchain and attribute-based encryption

This paper presents a novel collaboration scheme for secure cloud file sharing using blockchain and attribute-based encryption(ABE). Blockchain enables us to implement access control as a smart contract between data owner and users. Each data owner creates its own smart contract where in a data user can request to access a specific file by registering a transaction. In response transaction, the data owner sends the required credential to the user thereby enabling her/him to decrypt the intended file on the cloud storage. This scheme is decentralized, fault tolerant and secured against DoS attacks. The cipher-key, which is used for file encryption, is embedded into a set of coefficients of a polynomial so-called access polynomial. It is attached to the encrypted file on the cloud storage as a metadata. The data user can restore the cipher-key by means of the credential receiving in response transaction and access polynomial. The data owner uses ABE scheme in response transaction to impose her/him access policy to the file as well as preserving user anonymity. This scheme supports fast revocation of the user access by means of updating the access polynomial coefficients and without any communication overhead to non-revoked users. Through formal verification, we show that the scheme is secure in terms of secrecy of credential information and authentication of participants. Finally, the evaluation results show that our scheme is scalable with acceptable performance up to 20,000 users.