面向云存储服务平台的访问控制系统及其访问控制方法.docx
PATEXPLaRER专利探索者-全球创新始于探索面向云存储服务平台的访问控制系统及其访问控制方法申请号-：CN.2申请日：20150612申请（专利权）人：深圳大学地址：广东省深圳市南山区南海大道3688号发明人：张鹏,喻建平,刘宏伟，王平主分类号：H04L29/06公开（公告）号：CNB公开（公告）日：20171208代理机构：深圳市恒申知识产权事务所（普通合伙）代理人：I陈健(19)中华人民共和国国家知识产权局(12)发明专利(10)授权公告号CNB(45)授权公告日20171208(21)申请号CM2(22)申请日20150612(71)申请人深圳大学地址广东省深圳市南山区南海大道3688号(72)发明人张鹏，喻建平，刘宏伟,王平(74)专利代理机构深圳市恒申知识产权事务所(普通合伙)代理人陈健(54)发明名称面向云存储服务平台的访问控制系统及其访问控制方法(57)摘要本发明属于云存储服务技术领域，提供了一种面向云存储服务平台的访问控制系统及其访问控制方法。该方法及系统中，授权中心和数据属主是基于权重属性加密机制，将需上传的用户数据加密后存储到云存储服务平台上的，因而可对云存储服务平台上的共享数据实现有效的隐私保护，提高了云存储服务的安全性。同时，由于将用户的属性与权重相结合，实现了用户属性的分级管理，使得相同属性不同级别的用户具有不同的访问权限。另外，由授权中心和数据属主分别产生部分密文，通过授权中心密文控制用户访问权限，通过数据属主密文制定访问控制策略，当用户的属性发生变化时，只需授权中心更新自己部分的密文，即可实现对用户访问权限的实时撤销。权利要求书1.-种面向云存储服务平台的访问控制系统，其特征在于，所述系统包括:由授权中心运行的管理端，用于生成系统公共参数并上传至云存储服务平台，生成用户私钥并秘密分发至数据属主和共享用户，用基于权重属性加密机制产生需上传数据的第一部分密文，并将所述第一部分密文发送给数据属主:由数据属主和共享用户运行的客户端，用基于权重属性加密机制产生需上传数据的第二部分密文，结合所述第一部分密文、所述第二部分密文和所述需上传数据生成最终密文并将所述最终密文作为共享数据上传至所述云存储服务平台，还用于从所述云存储服务平台下载公共参数和共享数据，并利用所述公共参数和对应的用户私钥对下载的所述共享数据进行解密。2.如权利要求1所述的面向云存储服务平台的访问控制系统，其特征在于，所述管理端还用于对用户的基本信息进行维护；所述客户端还用于根据用户提供的身份信息和所述授权中心分发的登录信息引导用户登录系统。3.如权利要求1所述的面向云存储服务平台的访问控制系统，其特征在于，所述云存储服务平台是亚马逊S3云存储服务平台。4.一种如权利要求1至3任一项所述的面向云存储服务平台的访问控制系统的访问控制方法，其特征在于，所述方法包括以下步骤：授权中心运行管理端，生成公共参数与主私钥，将公共参数上传至云存储服务平台；数据属主运行客户端，向授权中心请求授权并发出数据上传请求信息；授权中心运行管理端，核实所述数据属主身份并结合所述主私钥生成对应的用户私钥，根据所述数据上传请求信息，基于权重属性加密机制产生需上传数据的第一部分密文，将对应的用户私钥和所述第一部分密文发送给数据属主：所述数据属主基于权重属性加密机制产生所述需上传数据的第二部分密文：所述数据属主结合所述第一部分密文、所述第二部分密文生成最终密文并将所述最终密文作为共享数据上传至所述云存储服务平台；共享用户运行客户端，向授权中心请求授权：授权中心运行管理端，核实所述共享用户身份并结合所述主私钥生成对应的用户私钥，将对应的用户私钥发送给所述共享用户：共享用户运行客户端，从所述云存储服务平台下载所述公共参数和所述共享数据,并利用对应的用户私钥对下载的所述共享数据进行解密。5.如权利要求4所述的面向云存储服务平台的访问控制系统的访问控制方法，其特征在于，所述生成公共参数与主私钥的步骤具体为：C:Gg×G(),GT,%尸纥，r输入安全参数，构造阶为素数P、生成元为g的双线性群定义双线性映射定义属性空间U=U1,Um,所述属性空间U中每个属性的最小权重为1、与每个属性分别一一对应的最大权重为Ll,Lm,同时选取随机数计算公共参数PK和主私钥MK分别为：PK=GO,g,h=g,e(g,g)MK=ga,B.6.如权利要求5所述的面向云存储服务平台的访问控制系统的访问控制方法，其特征在于，所述结合所述主私例生成对应的用户私钥的步骤具体为：2述主私钥MK权重属性jGS选择随机数并设置权重后生成用户私钥SK为"U)''YjWS输入所权重属性集定义哈希函数之后为每一用户选择随机数之后为每<mrow> <mi>S<mi> <mi>K<mi> <mo>=<mo> <mo><mo> <mi>D<mi> <mo>=<mo> <msup> <mi>g<mi> <mfrac> <mrow> <mo>(<mo> <mi>α</mi> <mo>+<mo> <mi>r<mi> <mo>)<mo> <mrow> <mi>beta;<mi> <mfrac> <msup> <mo>, <mo> <mo>&ForAl1;<mo> <mi>j<mi> <mo>∈<mo> <mi>S<mi> <mo>:</mo> <msub> <mi>D<mi> <mi>j<mi> <msub> <mo>=<mo> <msup> <mi>g<mi> <mi>r<mi><msup><mo>CenterDot;<mo><mi>H<mi><msup><mrow><mo>(<mo><mi>j<mi><mo>)<mo></mrow><mrow><msub><mi>r<mi><mi>j<mi><msub><msubsup><mi>ω</mi><mi>j<mi><mo>′</mo><msubsup><mrow><msup><mo>,<mo><msubsup><mi>D<mi><mi>j<mi><mo>fiprime;<mo><msubsup><mo>=<mo><msup><mi>g<mi><msub><mi>r<mi><mi>j<mi><msub><msup><mo>,<mo><msubsup><mi>D<mi><mi>j<mi><mrow><mo>′<mo><mo>′</mo><mrow><msubsup><mo>=<mo><msup><mi>g<mi><msubsup><mi>ω</mi><mi>j<mi><mo>prime;<mo><msubsup><msup><mo><mo><mo>.<mo><mrow>7.如权利要求6所述的面向云存储服务平台的访问控制系统的访问控制方法，其特征在于，所述基于权重属性加密机制产生需上传数据的第一部分密文的步骤具体为:构造第 一授权结构树并根据所述公共参数PK和所述第一授权结构树计算得到第一部分密文 CTl,所述第一部分密文CTl表示为：CT=Me=e(g,g)"',G=力VUWU:&=g%叫CS=(也(")产®,.,Cj=(0"(")JgSl£2p，其中，随机选择U表示所述第一授权结构树中叶子节点的集合，属性uGU,3U表示所述授权中心设置属性U的最小权重值，Lu表示所述授权中心设置属性U的最大权重值，qu(O)表示属性U所对应的属性值。8.如权利要求7所述的面向云存储服务平台的访问控制系统的访问控制方法，其特征在于，所述第二部分密文CT2表示为：7C=e(g.gfG=/产,其中，随机选择Y表示第二授权结构树中叶子节点的集合，属性yeY,3y表示所述数据属主设置属性y的最小权重值，Ly表示所述数据属主设置属性y的最大权重值，qy(O)表示属性y所对应的属性值，31表示属性y的当前权重。9.如权利要求8所述的面向云存储服务平台的访问控制系统的访问控制方法，其特征在于，若所述需上传数据为M、则所述最终密文CT表示为：%7C=Me(g,gF叫C=妙C=ZlZcvg0Cv=H(att(y)w'CT=<VyeYh卜>ve(a>"4M=g("(y)%"V"wU:C.=g"叫CF=V(M(U)MW,4,=9"(")"®。10.如权利要求9所述的面向云存储服务平台的访问控制系统的访问控制方法:其特征在于，所述利用对应的用户私钥对下载的所述共享数据进行解密的步骤包括以下步骤：A21：输入共享数据CT、对应的用户私钥SK、以及第一授权结构树和第二授权结构树中的一个节点X；A22：若共享用户的权重属性满足所述第一授权结构树则所述第一部分密文对应的第一解码信息Al为:4=e(g,g)叫；<mrow><msub><mi>A<mi><mn>l<mn><msub><mo>=<mo><mi>e<mi><msup><mrow><mo>(<mo><mi>g<mi><mo>,<mo><mi>g<mi><mo>)<mo><mrow><mrow><msub><mi>rs<mi><mn>l<mn><msub></mrow><msup><mo><mo></mrow>A23；若共享用户的权重属性满足所述第二授权结构树则所述第二部分密文对应的第二解码信息A2为：4=e(g,g)'"<mrow><msub><mi>A<mi><mn>2<mn><msub><mo>=<mo><mi>e<mi><msup><mrow><mo>(<mo><mi>g<mi><mo>,<mo><mi>g<mi><mo>)<mo><mrow><mrow><msub><11)i>rs<mi><mn>2<mn><msub><mrow><msup><mo><mo><mrow>A24：结合所述第一解码信息Al和所述第二解码信息A2得到明文M,表示为：-44Ge(g,gVfMg,g严c(GG,O)始俨,gSM)e(g,g+s<mrow><mfrac><mrow><mover><mi>C<mi><mo><mo><mover><mo>·<mo><msub><mi>A<mi><mn>l<mn><msub><mo>feCenterDot;<mo><msub><mi>A<mi><mn>2<mn><msub><mrow><mrow><mi>e<mi><mrow><mo>(<mo><msub><mi>C<mi><mn>l<mn><msub><mo>·<mo><msub><mi>C<mi><mn>2<mn><msub><mo>,<mo><mi>D<mi><mo>)<mo></mrow><mrow><mfrac><mo>=<mo><mfrac><mrow><mover><mi>C<mi><mo><mo><mover><mo>feCenterDot;<mo><mi>e<mi><msup><mrow><mo>(<mo><mi>g<mi><mo>,<mo><mi>g<m><mo>)<mo><mrow><mrow><mi>r<mi><mrow><mo>(<mo><msub><mi>s<mi><mn>l<mn><msub><mo>+<mo><msub><mi>s<mi><mn>2<mn><msub><mo>)<mo><mrow><mrow><msup></mrow><mrow><mi>e<mi><mrow><mo>(<mo><msup><mi>h<mi><msub><mi>s<mi><mn>l<mn><msub><msup><mo>feCenterDot;<mo><msup><mi>h<mi><msub><mi>s<mi><mn>2<mn><msub><msup><mo>,<mo><msup><mi>g<mi><mrow><mo>(<mo><mi>fialpha;<mi><mo>+<mo><mi>r<mi><mo>)<mo><mo><mo><mi>½bcta;<mi><mrow><msup><mo>)<mo><mrow><mrow><mfrac><mo>=<mo><mfrac><mrow><mover><mi>C<mi><mo><mo><mover><mo>·<mo><mi>e<mi><msu><mrow><mo>(<mo><mi>g<mi><mo>,<mo><mi>g<mi><mo>)<mo><mrow><mrow><mi>r<mi><mrow><mo>(<mo><msub><mi>s<mi><mn>l<mn><msub><mo>+<mo><msub><mi>s<mi><mn>2<mn><msub><mo>)<mo></mrow><mrow><msup></mrow><mrow><mi>e<mi><msup><mrow><mo>(<mo><mi>g<mi><mo>,<mo><mi>g<mi><mo>)<mo><mrow><mrow><mo>(<mo><msub><mi>s<mi><mn>l<mn><msub><mo>÷<mo><msub><mi>s<mi><mn>2<mn><msub><mo>)<mo><mo>(<mo><mi>α</mi><mo>+<mo><mi>r<mi><mo>)<mo></mrow><msup><mrow><mfrac><mo>=<mo><mi>M<mi><mo>.<mo><mrow>3说明书面向云存储服务平台的访问控制系统及其访问控制方法技术领域本发明属于云存储服务技术领域，尤其涉及一种面向云存储服务平台、特别是亚马逊S3云存储服务平台的访问控制系统及其访问控制方法。背景技术在云存储服务平台中，由于采用数据远程托管技术，云存储服务提供商是数据的物理拥有者，与数据属主并不在同一个信任域中。云存储服务提供商管理着多个用户及其资源，当用户跨边界访问其它用户资源时，需要采用一定的访问控制策略来控制对数据和服务的访问。但实际中，由于云存储服务平台是采用虚拟化存储技术，云存储服务同底层硬件环境之间是松耦合的，不同用户的数据间缺乏固定不变的安全边界,由此增加了在云存储服务平台对数据实施访问控制的难度。现有技术中，虽然数据属主可对其上传的用户数据的读/写属性进行设置，例如将读/写属性设置为公有读/私有写或公有读/公有写，以在一定程度上限制数据的读写权限，但由于用户数据仍旧是以明文形式存储在云存储服务平台上的，缺乏有效的隐私保护机制，不能有效抵御非法用户的访问而使得用户数据泄露。发明内容本发明实施例的目的在于提供一种面向云存储服务平台的访问控制系统，旨在解决现有的云存储服务平台是以明文形式存储用户数据，隐私性和安全性差的问题。本发明实施例是这样实现的，一种面向云存储服务平台的访问控制系统，所述系统包括：由授权中心运行的管理端，用于生成系统公共参数并上传至云存储服务器，生成用户私钥并秘密分发至数据属主和共享用户，用基于权重属性加密机制产生需上传数据的第一部分密文；由数据属主和共享用户运行的客户端，用基于权重属性加密机制产生需上传数据的第二部分密文，结合所述第一部分密文、所述第二部分密文和所述需上传数据生成最终密文并将所述最终密文作为共享数据上传至所述云存储服务平台，还用于从所述云存储服务平台下载公共参数和共享数据，并利用所述公共参数和对应的用户私钥对下载的所述共享数据进行解密。本发明实施例的另一目的在于提供一种如上所述的面向云存储服务平台的访问控制系统的访问控制方法，所述方法包括以下步骤：授权中心运行管理端，生成公共参数与主私钥，并将所述公共参数上传至云存储服务平台。数据属主运行客户端，向所述授权中心请求授权并发出数据上传请求信息；所述授权中心运行管理端，核实所述数据属主身份并结合所述主私钥生成对应的用户私钥，根据所述数据上传请求信息，基于权重属性加密机制产生需上传数据的第一部分密文，将对应的用户私钥和第一部分密文发送给所述数据属主；所述数据属主基于权重属性加密机制产生所述需上传数据的第二部分密文：所述数据属主结合所述第一部分密文、所述第二部分密文生成最终密文并将所述最终密文作为共享数据上传至所述云存储服务平台；共享用户运行客户端，向所述授权中心请求授权；所述授权中心运行管理端，核实所述共享用户身份并结合所述主私钥生成对应的用户私钥，将对应的用户私钥发送给所述共享用户；所述共享用户运行客户端，从所述云存储服务平台下载所述公共参数和所述共享数据，并利用所述公共参数和对应的用户私钥对下载的所述共享数据进行解密。本发明实施例提供的面向云存储服务平台的访问控制系统及其访问控制方法中，授权中心和数据属主是基于权重属性加密机制，将需上传的用户数据加密后存储到云存储服务平台上的，因而可对云存储服务平台上的共享数据实现有效的隐私保护，提高了云存储服务的安全性。同时，由于将用户的属性与权重相结合，实现了用户属性的分级管理，使得相同属性不同级别的用户具有不同的访问权限。另外，该系统采用了密文分割方法，即由授权中心和数据属主分别产生部分密文，通过授权中心密文控制用户访问权限，通过数据属主密文制定访问控制策略，当用户的属性发生变化时，只需授权中心更新自己部分的密文，即可实现对用户访问权限的实时撤销。附图说明图1是本发明提供的面向云存储服务平台的访问控制系统的结构图；图2是本发明提供的面向云存储服务平台的访问控制系统的访问控制方法的流程图"具体实施方式为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。为了解决现有技术存在的问题，本发明提出的面向云存储服务平台的访问控制系统及其访问控制方法是基于权重属性加密机制，将需上传的用户数据加密后存储到云存储服务平台上的。图1示出了本发明提供的面向云存储服务平台的访问控制系统的结构，为了便于说明，仅示出了与本发明相关的部分。本发明提供的面向云存储服务平台的访问控制系统包括：由授权中心运行的管理端11,用于生成系统公共参数并上传至云存储服务器，生成用户私钥并秘密分发至数据属主和共享用户，用基于权重属性加密机制产生需上传数据的第一部分密文；由数据属主和共享用户运行的客户端12,用基于权重属性加密机制产生需上传数据的第二部分密文，结合第一部分密文、第二部分密文和需上传数据生成最终密文并将最终密文作为共享数据上传至云存储服务平台，还用于从云存储服务平台下载公共参数和共享数据，并利用公共参数和对应的用户私钥对下载的共享数据进行解密。本发明中，数据属主、共享用户分别是客户端12的运行主体，授权中心是管理端11的运行主体。其中，数据属主是指云存储服务平台上共享数据的提供方，共享用户是指从云存储服务平台下载共享数据方，授权中心是指除数据属主和共享用户之外、与云存储服务平台交互的可信第三方。应当理解，定义数据属主与共享用户的目的是为了区别运行客户端12的主体在系统某次运行过程中的功能是上传数据或下载数据,因而在系统某次运行过程中的数据属主可以是另一次运行过程中的共享用户，同样地,在系统某次运行过程中的共享用户可以是另一次运行过程中的数据属主。本发明中，管理端11还可用于对用户的基本信息进行维护，提供用户增加、删除、查找等功能，并可修改属性、权重等用户信息。客户端12还可用于根据用户提供的身份信息和授权中心分发的登录信息引导用户登录系统。本发明中，当云存储服务平台是亚马逊S3云存储服务平台时，管理端11与客户端12可分别通过亚马逊官方提供的aws-java-sdk接口，实现与亚马逊S3云存储服务平台之间的通信。本发明的面向云存储服务平台的访问控制系统的工作原理是：系统建立后，授权中心运行管理端11,生成公共参数与主私钥，并将公共参数上传至云存储服务平台。当第一用户需要上传共享数据时，数据属主运行客户端12,第一用户根据自身的身份信息和登录信息从数据属主登录客户端12。之后，授权中心根据该数据属主的属性，基于权重属性加密机制产生需上传数据的第一部分密文，将第一部分密文发送给该数据属主。数据属主产生需上传数据的第二部分密文，之后结合第一部分密文、第二部分密文生成最终密文并将最终密文作为共享数据上传至云存储服务平台。当第二用户从云存储服务平台读取第一用户上传的共享数据时，共享用户运行客户端12,第二用户根据自身的身份信息和登录信息从共享用户登录客户端12。之后，共享用户获取用户私例，从云存储服务平台下载公共参数和共享数据，并利用公共参数和对应的用户私钥对下载的共享数据进行解密，若共享用户的属性未被授权中心撤销并符合数据属主制定的访问控制策略，则该共享用户可成功解密该共享数据。本发明提供的面向云存储服务平台的访问控制系统中，授权中心和数据属主是基于权重属性加密机制，将需上传的用户数据加密后存储到云存储服务平台上的，因而可对云存储服务平台上的共享数据实现有效的隐私保护，提高了云存储服务的安全性。同时，由于将用户的属性与权重相结合，实现了用户属性的分级管理，使得相同属性不同级别的用户具有不同的访问权限，该属性是用以描述用户的信息要素，例如校园网中的学生具有院系、学生类别、年级、专业等属性，教师具有院系、职称、教龄等属性，从而在保证安全性的同时还实现了更加灵活而细致的访问控制。另外，该系统采用了密文分割方法，即由授权中心和数据属主分别产生部分密文，通过授权中心密文控制用户访问权限，通过数据属主密文制定访问控制策略，当用户的属性发生变化时，只需授权中心更新自己部分的密文，即可实现对用户访问权限的实时撤销。图2示出了本发明提供的面向云存储服务平台的访问控制系统的访问控制方法的流程，包括以下步骤：S1：授权中心运行管理端，生成公共参数与主私钥，将公共参数上传至云存储服务平台。进一步地，生成公共参数与主私钥的步骤（即系统初始化的步骤）具体可以为：GXG)-ky)a>3eZp夕输入安全参数A,构造阶为素数p、生成元为g的双线性群定义双线性映射e:定义属性空间U=Ul,Um,属性空间U中每个属性的最小权重为1、与每个属性分别一一对应的最大权重为Ll,Lm,同时选取随机数计算公共参数PK和主私钥MK分别为：PK=(GO,g,h=g,e(g,g)MK=ga,S2：数据属主运行客户端，向授权中心请求授权并发出数据上传请求信息、。S3：授权中心运行管理端，核实数据属主身份并结合主私钥生成对应的用户私钥,根据数据上传请求信息，基于权重属性加密机制产生需上传数据的第一部分密文，将对应的用户私钥和第一部分密文发送给数据属主。ScU,0-。0,尸W2，厂2/P进-一步地，结合主私钥生成对应的用户私钥的步骤(即密钥生成的步骤)具体可以为：输入主私钥MK,定义一权重属性集定义哈希函数H:之后为每一用户选择随机数之后为每一权重属性jGS选择随机数并设置权重,j.之后生成用户私钥SK为：(y),'SK=Q=g丁,V/wS:乌=g(/尸,O=g。,O=g">进一步地，基于权重属性加密机制产生需上传数据的第一部分密文的步骤（即力口密的步骤）具体可以为：构造第一授权结构树并根据公共参数PK和第一授权结构树计算得到第一部分密文。SlW2p?其中，记第一授权结构树的节点X的门限值为kx,为每一节点选择多项式qx,多项式的度dx=kxT,若节点X是叶子节点，则有dx=O。则第一授权结构树的构造方法为：从根节点R开始，随机选择设定qR(O)=Sl,随机选择dR个子节点来完整定义多项式qR;对于其它节点x，设定qx(0)=qparent(index(x),随机选择dx个子节点来完整定义多项式qx。则第一部分密文CTl可表示为：.,C1=e(g,g)',C1=*1,=¾MU:C=g吗J=(“®严叫.人ll(att(u)lw中，U表示第一授权结构树中叶子节点的集合，属性uU,u表示授权中心设置属性U的最小权重值，Lu表示授权中心设置属性U的最大权重值，qu(O)表示属性U所对应的属性值(也为当输入为0时多项式的输出值)。S4：数据属主基于权重属性加密机制产生需上传数据的第二部分密文。 本发明中，该步骤具体可以是：构造第二授权结构树并根据公共参数PK和第二授权结构树计算得到第二部分密文。 晶w同样地,记第二授权结构树的树形结构中的节点X的门限值为kx,为每一节点选择多项式qx,多项式的度dx=kxT,若节点X是叶子节点，则有dx=O。则第二授权结构树的构造方法为：从根节点R开始，随机选择设定qR(0)=s2,随机选择dR个子节点来完整定义多项式qR;对于其它节点x，设定qx(0)=qparent(index(x),随机选择dx个子节点来完整定义多项式qx。则第二部分密文CT2可表示为：7,C=e（g,g）叫C=抬,Cy=g吗C；="（OftOO产"）y5卜/（吗也国=8%./（叫#严。5其中，Y表示第二授权结构树中叶子节点的集合，属性yGY,3y表示数据属主设置属性y的最小权重值，Ly表示数据属主设贪属性y的最大权重值，qy(O)表示属性y所对应的属性值，31表示属性y的当前权重。S5：数据属主结合第一部分密文、第二部分密文生成最终密文并将最终密文作为共享数据上传至云存储服务平台。若需上传数据(即：明文)为M、则结合第一部分密文CT1、第二部分密文CT2生成的最终密文CT可表示为：-,7C=Me(g,gfh叫C=AG=/.cy=g<=w(r>1C=VyeY:,二J>"同切国=."(也®广叱叫V"WU:Q=g%叫Ca=H(att(u)Clll=H(ail(u)S6：共享用户运行客户端，向授权中心请求授权。S7：授权中心运行管理端，核实共享用户身份并结合主私钥生成对应的用户私钥,将对应的用户私钥发送给共享用户.其中，结合主私钥生成对应的用户私钥与步骤S3中密钥生成的步骤相同，不赘述。S8：共享用户运行客户端，从云存储服务平台下载公共参数和共享数据，并利用对应的用户私钥对下载的共享数据进行解密。进一步地，利用公共参数和对应的用户私钥对下载的共享数据进行解密的步骤可包括以下步骤：SSI：输入共享数据CT、对应的用户私钥SK、以及第一授权结构树或第二授权结构树中的一个节点X。S82：若共享用户的权重属性满足第一授权结构树则计算中间参数Ai为：4=DeciyptNode(CZSK,X)-(2C)I(OC)e(g'H(<r,g%(°)e(g'；,H(a(x)%(°)=e(g,g严°)(if=e)之后得到第一部分密文对应的第一解码信息Al为：A=DeCryPtNode(CT,SK,Rj=e(g,g)rgM'=e(gg其中，X是输入的节点，i是节点X所对应的属性值即i=att(x),i是共享用户拥有输入的节点X的权重值，3i，是授权中心拥有输入的节点X的最小权重值。_.本发明中，共享用户的权重属性是否满足第一授权结构树是指：a.若输入的节点X是叶子节点，如果iGS且3i与3i',则认为共享用户的权重属性满足第一授权结构树如果或iS且i<i,则认为共享用户的权重属性不'满足第一授权结构树b.若输入的节点X是非叶子节点，节点X下的所有节点集合为z,则当z中有至少一组节点满足阈值条件时，则认为共享用户的权重属性满足第一授权结构树而当口中的每一组节点均不满足阈值条件时，则认为共享用户的权重属性不满足第一授权结构树而若共享用户的权重属性不满足第一授权结构树则返回null。S83：若共享用户的权重属性满足第二授权结构树且共享用户拥有输入的节点X的权重值3i与数据属主拥有输入的节点X的最小权重值3i”相等，则计算中间参数Bi为：/.e（DiC）B1=DeCrVPiNQde（CT、SK,x）昔旦"（炉"项）0位，3心）叫/）e(gVM(炉"制"e(g"(i严。)=e(g,g)"o'(if<yi=j共享用户的权重属性满足第二授权结构树且共享用户拥有输入的节点X的权重值i大于数据属主拥有输入的节点X的最小权重值3i”，则计算中间参数Ki和中间参数Bi为:Ki=e(bi,Di-Kl)=e(g",g%("(r)广w叫g"")=e(g,"(。"(.叫产°肌*(ifi=例)=e(g,"(i)"司6j=DeCryPtNOdeCT,SK,“一e(2C)e(,c)e(gJ"(ig%)e(gr',H(tt(x)y'yKi_e(g'，g“°)M(i)jg%)eHif-K,e(g,g 产 °)e(q),g"°)e(gJli-Ki"°)e("(i),g广加e(H(i),g产同(ifl=例)之后得到第二部分密文对应的第二解码信息A2为:A2=DecyptNode(CT,SK,R2)=e(g,g)rge(g,g)',i.本发明中，共享用户的权重属性是否满足第二授权结构树是指：a.若输入的节点X是叶子节点，3i”是数据属主拥有输入的节点X的最小权重值，如果iGS,且3i23i”，则认为共享用户的权重属性满足第二授权结构树如果或iGS且3iV3i”，则认为共享用户的权重属性不满足第二授权结构树b.若输入的节点X是非叶子节点，节点X下的所有节点集合为z,则当z中有至少一组节点满足阈值条件时，则认为共享用户的权重属性满足第二授权结构树而当z中的每一组节点均不满足阈值条件时，则认为共享用户的权重属性不满足第二授权结构树而若共享用户的权重属性不满足第二授权结构树则返回nu11oS84：结合第一解码信息和第二解码信息得到明文M,表示为：乙 e（g，g 严 M）=MCA1-A2_Ce(gig)e(G二C2,D)7(3俨,g("M)以下对上述面向云存储服务平台的访问控制系统的访问控制方法的安全性进行分析：1、在直接攻击下的安全性：MM)=e(g.g)<f"=e(gg产"e(g.g严'J若攻击者的属性不满足访问结构树，同时它想对下载的共享数据解密，则必须能够计算出耍建立这样的配对，敌手只能利用己知的信息，即包含的部分私钥D=g(a+r)/B和包含Sl和s2的密文和建立配对：要得到必须己知而敌手在不满足访问结构树和时无法获得正确的密钥，计算不出该值。因此，敌手不能解密。2、抗共谋安全性：该方法中包含了用户的密钥生成算法，解密时，系统先运行该算法为用户分配随机数r,生成用户的部分私钥D=g(a+r)/B。在解密算法中，参数D=g(。+r)/B被植入了随机值，不同的用户不能合谋恢复消息。以下对上述面向云存储服务平台的访问控制系统的访问控制方法的效率进行分析:aM设和表示群上的指数或者乘法运算，Ce表示双线性对运算，表示有限域上模素数P整数群，n表示系统中属性的个数，S'表示满足授权方定义的访问结构最少的属性集合，是加密方设置与密文相关的属性集合，表示授权方设置与密文相关的属性集合，是用户U的属性集合，i表示系统中属性i的最大权重，是密文中加密方设置属性i的权重,是系统中用户U拥有属性i的权重，表示密文中授权方设置属性i的权重。L*是元素在*上的比特长度，1*1是元素在*上的个数。如下表示出了上述方法与现有的访问控制方法BSW07和CP-WABE之间的比较分析：方法BSW07CP-WABE本发明公钥长度33%口叫+2)"+2q+G,%主私钥长度%+G密钥长度*14Mj)14hGlAl*D4.工长度(2t*O¼*2值+2)1G(mfTMl*AG:(明一叫+"l4*1q一加密计算量(21人一Il)G.2G2(2T+3)4G.+2%仃：(叫-q+)4+CT2(-,+l)4*,+2C,解宙计算量2Cr÷(2S÷2>GrJ(«.*)4C,÷(25+I)C,cr,:2|ACj2(S+2>Grc3cr+2(5÷wr撤绪机制时间微不可撤箱密文分朝从上表对比分析可以看出：D权重机制方面：本发明与CP-WABE方案引入了权重的概念，实现了属性的分级处理，可以完成更加细致的访问控制。然而，密文长度与加解密时间与权重等级有关系，与未实现权重的BSW07方案相比，增加了一定通信与计算消耗。2）撤销机制方面：CP-WABE不具备撤销能力，BSW07方案通过时间戳实现可撤销，本发明采用密文分割的方式实现可撤销。当属性发生变更时，授权中心只需要更新自己部分的密文，即可实现对用户权限的实时撤销。总体来说，本发明即实现了属性分级处理，也引入了新的可撤销机制，同时运算性能比较突出，运算能力分配合理。本发明提供的面向云存储服务平台的访问控制系统及其访问控制方法中，授权中心和数据属主是基于权重属性加密机制，将需上传的用户数据加密后存储到云存储服务平台上的，因而可对云存储服
