面向边缘计算的属性加密方案

传统云环境下的属性加密方案在判定用户访问权限时通常仅依据年龄和职业等用户常规属性,而忽视了访问时间和位置的约束问题。为较好满足边缘计算的实时性和移动性需求,提出一种支持时间与位置约束的多授权外包属性加密方案。通过将时间域与位置域信息同时引入属性加密过程,实现更细粒度的访问控制。采用多授权机构共同管理属性信息,解决单授权机构的性能瓶颈问题,满足用户跨域访问需求。针对边缘计算中移动终端资源受限问题,将大部分解密计算外包至边缘节点,减轻移动终端设备负担。分析结果表明,在边缘计算环境下,该方案以较低的计算和存储开销实现了具有时间和位置约束的访问控制,并且可有效保障用户数据安全。     

一种面向社交网络的细粒度密文访问控制方案

针对社交网络的隐私保护问题,采用属性基加密算法,提出一种安全、高效、细粒度的社交网络访问控制方案,并建立社交网络体系结构。通过引入线性秘密共享方案构造访问控制策略,实现灵活的访问控制结构,利用重加密技术,将部分重加密工作转移给社交网络平台执行,在保证用户数据安全的前提下,降低用户的计算代价,通过分析非授权成员与授权成员之间的关系,判定非授权成员的访问权限,进而实现访问权限的传递,并分析方案的安全性和有效性。分析结果表明,与现有基于加密技术的隐私保护方案相比,该方案能提高访问结构的表达能力和解密效率。     

基于CP-ABE的隐藏属性外包解密访问控制

传统的属性基加密方案中数据拥有者将访问结构和密文保存在一起,于是用户收到密文消息的同时也收到了访问结构,但访问结构本身就可能包含数据拥有者的隐私信息。本文提出一种基于密文策略属性基加密(Ciphertext-Policy Attribute-Based Encryption, CP-ABE)的隐藏属性外包解密访问控制方案。该方案既能隐藏数据拥有者制定的访问控制策略中的属性,同时将计算密集型解密操作交给代理服务器完成,又能保证未经授权的属性授权中心或代理服务器不能独自解密共享的加密数据。     

信息系统中基于角色的访问控制

在一个企业级信息系统中,用户访问信息系统中资源的管理是一个复杂问题,直接对用户授权的管理模式不能适应企业的发展。文中讨论了基于角色的访问控制管理方式和ORACLE数据库管理系统的安全性策略,分析了信息系统中访问控制管理的需求,提出了对信息系统应用功能访问和数据库访问的分开控制管理,通过应用系统角色建立数据库用户和应用系统功能之间的关联,从而构成信息系统的访问控制管理策略。给出了基于角色的访问控制实现,并应用于设备信息管理系统中,实现了用户访问控制动态管理。     

云存储环境下基于时释性加密的CP-ABE方案

云存储是未来存储业务的发展方向,数据安全是云存储客户的首要关切.密文策略属性加密(CP-ABE)算法允许数据拥有者将访问策略嵌入密文中,并结合数据访问者的密钥实施访问控制,特别适合云存储环境,但CP-ABE不支持与时间相关的访问控制.本文提出基于时释性加密的CP-ABE方案,通过在CP-ABE中融入时释性加密(TRE)机制来实现带有时间控制的密文共享,允许数据拥有者基于用户属性和访问时间制定更加灵活的访问策略.论文通过安全分析表明,该方案能够抵抗来自用户、云存储平台和授权机构的非法访问、非法用户的串谋攻击以及选择明文攻击.     

信息系统中基于角色的访问控制

在一个企业级信息系统中,用户访问信息系统中资源的管理是一个复杂问题,直接对用户授权的管理模式不能适应企业的发展.文中讨论了基于角色的访问控制管理方式和ORACLE数据库管理系统的安全性策略,分析了信息系统中访问控制管理的需求,提出了对信息系统应用功能访问和数据库访问的分开控制管理,通过应用系统角色建立数据库用户和应用系统功能之间的关联,从而构成信息系统的访问控制管理策略.给出了基于角色的访问控制实现,并应用于设备信息管理系统中,实现了用户访问控制动态管理.     

车联网环境下基于多策略访问树的安全访问控制算法

车联网环境下传统的资源访问控制技术效率较低且存在安全隐患。因此，提出了一种创新性多策略访问树算法的资源访问控制方案。该方案将传统的单策略访问树改进为多策略访问树，实现多级策略制定，有效提高策略访问效率，实现对资源的细粒度访问。同时，通过引入拉格朗日多项式秘密值恢复机制，将秘密值与授权令牌结合，解决了车联网访问控制授权的安全性问题。通过安全性分析证明了所提方案具有身份匿名性和消息不可否认性；性能分析的结果表明，与其他方案相比，该方案采用了多策略访问树存储策略，在策略执行系统中的存储开销较小；且随着该方案的策略匹配效率提高，计算开销明显变小，说明了该方案适用于在车联网环境下的安全、高效的资源访问控制。     

外包数据库中组密钥的动态管理

外包数据库在信息系统外包服务中变得越来越重要,如何动态高效的进行密钥管理成为当务之急。。通过分析现有方案的不足和缺陷,提出了一种新的分组密钥管理方案,使各个用户在授权访问数据库期间不用更新自己的密钥就可以一直访问到最新的数据。分析表明,新的方案可高效的实现用户密钥的动态更新,是一个安全可靠的密钥管理方案。     

社交网络中具有可传递性的细粒度访问控制方案

针对社交网络中隐私保护的需求,基于属性基加密(ABE)算法,提出了一种权限可传递性的细粒度访问控制方案。在方案中通过属性的设置实现了社交网络成员不同粒度的刻画,为细粒度加密和访问提供了基础;同时在方案中引入了代理服务器,对非授权成员与授权成员之间的关系进行分析,从而判定非授权成员的访问权限。若该成员可以获得访问权限,密钥生成中心依据授权成员的属性为其生成解密密钥,进而实现访问权限的传递性。与其他基于访问控制或加密技术的隐私保护方案相比,所提方案将对数据的访问控制和加密保护相统一,在实现数据加密的同时,提供细粒度的访问控制;并结合社交网络的特点实现了访问权限的传递性。     

高效且可验证的多授权机构属性基加密方案

移动云计算对于移动应用程序来说是一种革命性的计算模式,其原理是把数据存储及计算能力从移动终端设备转移到资源丰富及计算能力强的云服务器.但是这种转移也引起了一些安全问题,例如,数据的安全存储、细粒度访问控制及用户的匿名性.虽然已有的多授权机构属性基加密云存储数据的访问控制方案,可以实现云存储数据的保密性及细粒度访问控制;但其在加密和解密阶段要花费很大的计算开销,不适合直接应用于电力资源有限的移动设备;另外,虽然可以通过外包解密的方式,减少解密计算的开销,但其通常是把解密外包给不完全可信的第三方,其并不能完全保证解密的正确性.针对以上挑战,本文提出了一种高效的可验证的多授权机构属性基加密方案,该方案不仅可以降低加密解密的计算开销,同时可以验证外包解密的正确性并且保护用户隐私.最后,安全分析和仿真实验表明了方案的安全性和高效性.     

Access control based privacy preserving secure data sharing with hidden access policies in cloud

Attribute-based encryption is a promising solution to the access control based data sharing in the cloud. In this scheme, access policies are being sent in plaintext form which discloses the user privacy and data privacy. Once the ciphertext has been shared among the set of authorized users they would be able to decrypt the ciphertext. Whenever the authorized users are acting as malicious users, they may alter the data and further encrypt and outsource the modified data. It may adversely affect the data owner. In the existing attribute-based encryption scheme, data owner’s authenticity cannot be verified. In order to resolve these problems, we are proposing a novel idea to anonymize the access policy and a signature scheme to verify the authenticity of data as well as that of the data owner. Anonymized access policy never discloses the privacy. The signature scheme is able to detect the insider attack on attribute-based encryption scheme. The proposed system is secure against indistinguishable chosen-ciphertext attack. It is a provably secure and existentially unforgeable access control based data sharing method in the public cloud.     

标准模型下高效的基于身份匿名广播加密方案

针对现实中广播加密的安全问题,提出一种标准模型下高效的基于身份匿名广播加密方案。匿名广播加密中广播者加密数据通过广播信道发送给用户,其中只有授权用户能够解密获得数据,同时任何人不能分辨出加密数据是发送给哪个用户的,从而保护了接收者用户的隐私。所提方案利用双系统加密技术,基于合数阶双线性群提出。同时,该方案基于静态假设,在标准模型中证明方案是选择明文安全的,密文和密钥取得了固定长度。和对比方案相比,所提方案密钥长度仅需2个群元素,同时方案满足匿名性。     

一种实现一般电路的密钥策略的属性加密方案

属性加密方案中引入访问结构,实现了用户对密文的细粒度的访问控制.任意访问结构都可通过一般电路来实现,因此,设计实现一般电路访问结构的属性加密方案是该领域的研究热点和难点.Garg等基于多线性映射首次提出了实现一般电路访问结构的属性加密方案,但该方案支持的电路是受限的,电路结点只能逐层输出,系统中实现的访问结构的电路深度都是固定值l.为了解决电路受限的问题,本文提出了一种实现一般电路的密钥策略的属性加密方案.在私钥生成算法中,通过对电路进行等价转换,引入转换密钥,实现了任意深度大于1,小于等于l的电路访问结构;将电路中非叶子节点的密钥与该节点的两个输入节点的深度相关,实现了节点的跨层输入.本文基于k-多线性判定性Diffie-Hellman（K-MDDH）假设证明了该方案具有选择安全性.     

基于多授权中心属性基加密的多域云访问控制方案

针对多授权属性基加密方案的合谋攻击和多域共享数据问题,提出了一种基于多授权中心属性基加密的多域云访问控制方案。中央认证机构不参与用户私钥的生成过程,有效避免了用户与授权机构之间的联合攻击;通过线性秘密共享方案和代理重加密技术,云服务器对上传的数据文件进行重加密,实现了单域和多域用户数据的共享。分析结果表明,新方案在用户私钥生成和文件加/解密上具有较高的性能,并在q parallel BDHE假设下是自适应性安全的。     

Hierarchical attribute-based encryption and scalable user revocation for sharing data in cloud servers

With rapid development of cloud computing, more and more enterprises will outsource their sensitive data for sharing in a cloud. To keep the shared data confidential against untrusted cloud service providers (CSPs), a natural way is to store only the encrypted data in a cloud. The key problems of this approach include establishing access control for the encrypted data, and revoking the access rights from users when they are no longer authorized to access the encrypted data. This paper aims to solve both problems. First, we propose a hierarchical attribute-based encryption scheme (HABE) by combining a hierarchical identity-based encryption (HIBE) system and a ciphertext-policy attribute-based encryption (CP-ABE) system, so as to provide not only fine-grained access control, but also full delegation and high performance. Then, we propose a scalable revocation scheme by applying proxy re-encryption (PRE) and lazy re-encryption (LRE) to the HABE scheme, so as to efficiently revoke access rights from users.     

一种支持分级用户访问的文件分层CP-ABE方案

文件分层的密文策略基于属性的加密（FH-CP-ABE）方案实现了同一访问策略的多层次文件加密,节省了加解密的计算开销和密文的存储开销.然而,目前的文件分层CP-ABE方案不支持分级用户访问,且存在越权访问的问题.为此,提出一种支持分级用户访问的文件分层CP-ABE方案.在所提方案中,通过构造分级用户访问树,并重新构造密文子项以支持分级用户的访问需求,同时消除用户进行越权访问的可能性.安全性分析表明,所提方案能够抵御选择明文攻击.理论分析和实验分析均表明,与相关方案相比,所提方案在计算和存储方面具有更高的效率.     

支持用户撤销的可验证密文检索方案

为解决恶意云服务器可能发送错误或者伪造的查询结果给用户,且授权用户可能在检索完成之后将密钥信息私自发送给非授权用户的问题,构造了一种支持用户撤销的可验证密文检索方案。首先,利用加密算法对用户文档加密、对关键词签名;其次,运用搜索算法对需要检索的文档进行检索;最后,运用验证算法和用户撤销算法对检索结果进行验证,以及对未检索文档进行再一次加密保护。分析结果表明,所提方案能够在保证数据完整性的前提下完成精确检索,且通过重加密机制实现了用户撤销,保证了系统的安全性,该方案满足不可区分性选择关键词攻击（IND-CKA）安全。     

Secure key management scheme for dynamic hierarchical access control based on ECC

An access control mechanism in a user hierarchy is used to provide the management of sensitive information for authorized users. The users and their own information can be organized into a number of disjoint sets of security classes according to their responsibilities. Each security class in a user hierarchy is assigned an encryption key and can derive the encryption keys of all lower security classes according to predefined partially ordered relation. In 2006, Jeng and Wang proposed an efficient key management scheme based on elliptic curve cryptosystems. This paper, however, pointed out that Jeng-Wang scheme is vulnerable to the so-called compromising attack that the secret keys of some security classes can be compromised by any adversary if some public information modified. We further proposed a secure key management scheme based on elliptic curve cryptosystems to eliminate the pointed out the security leak and provide better security requirements. As compared with Jeng and Wang's scheme (Jeng and Wang, 2006), the proposed scheme has the following properties. (i) It is simple to execute the key generation and key derivation phases. (ii) It is easily to address dynamic access control when a security class is added into or deleted from the hierarchy. (iii) It is secure against some potential attacks. (iv) The required storage of the public/secret parameters is constant.     

基于CP—ABE访问控制系统的设计与实现

在访问控制中,传统公钥加密由于其需要对接收群体的每个成员用其公钥加密,再分发,因此需要获取接收群体中每个成员的身份。但是,在分布式应用中,却难以一次获取接收群体的规模与成员身份。如果列举用户身份,则会损害用户隐私。基于密文策略的属性加密体制（CP—ABE）,由于其广播式的、授权人通过满足某些条件就能确定的特点,避免了由于必须获取这些信息而引出的数据安全问题。于是,文中给出了一种基于CP—ABE的混合加密访问控制系统的设计与实现方案。通过实际项目的成功应用,证明了该方案的可行性与优越性。     

高效完全可验证外包解密属性基加密方案

属性基加密虽然能够很好地保护用户的数据安全,但是用户解密的计算代价随着访问结构的复杂性而线性增加。外包解密技术的提出使得用户只需要很少的开销就能够解密得到明文。然而,外包解密技术是将大量的解密操作交由云服务器来处理,而云服务器通常被认为是半可信的。因此,对云服务器部分解密得到的转换密文进行正确性验证是很有必要的。本文提出一种高效的完全可验证外包解密属性基加密方案,使得授权用户以及非授权用户都能够实现转换密文正确性的验证。 