基于智能合约的分布式安全动态访问控制方法

本发明涉及数据处理，尤其涉及一种基于智能合约的分布式安全动态访问控制方法。

背景技术：

1、物联网设备被广泛应用于智能城市、智能医学、智能交通等促进人们生活的领域，产生大量的数据。

2、然而，由于物联网的移动性、有限的性能和分布式部署，传统的访问控制方法无法支持物联网环境中数据的访问控制进程的安全性。大多数传统物联网设备都基于云服务器，可以提供第三方服务来存储私有敏感数据。这种类型的数据集中存储对于不可信的第三方和云服务器的单点故障存在重大的安全风险。传统的访问控制模型是用于封闭环境中的粗粒度控制，但并不适用于开放的物联网环境。区块链去中心化、不可篡改的优点为数据的价值转移提供了载体，应用于包括访问控制在内的各个领域。

技术实现思路

1、本发明提供一种基于智能合约的分布式安全动态访问控制方法，用以解决现有技术中的缺陷，实现了结合了去中心化存储方案ipfs、区块链和基于属性的访问控制技术，既实现了安全共享数据，又缓解区块链的存储压力。

2、本发明提供一种基于智能合约的分布式安全动态访问控制方法，应用于基于智能合约的分布式安全动态访问控制系统，所述基于智能合约的分布式安全动态访问控制系统包括：可信授权机构tca、数据拥有者do、数据访问者du、区块链bc和星际文件系统ipfs，所述方法包括：

3、do将数据的密文以及数据哈希存储至ipfs中，并获取所述ipfs返回的存储地址，将所述存储地址作为数据资源，其中，所述密文是所述do根据tca发送的公共参数以及主密钥对所述数据加密得到的；

4、所述do通过在bc中部署的智能合约将所述数据资源存储至bc中；

5、所述bc在接收到du对所述数据资源的访问请求时，在通过所述智能合约判定所述du具备访问权限的情况下，所述bc将所述数据资源返回给所述du；

6、所述du通过所述数据资源从所述ipfs中获取所述数据的密文以及所述数据哈希；

7、所述du通过从所述tca获取的解密密钥对所述数据的密文进行解密，其中，在确保所述du具备访问权限的情况下，所述tca与所述du之间通过轻量化无证书认证协议传递所述解密密钥。

8、根据本发明提供的一种基于智能合约的分布式安全动态访问控制方法，所述智能合约包括访问策略制定合约apdc、数据资源管理合约drmc、访问策略管理合约apmc以及数据访问控制合约dacc，所述方法还包括：

9、所述bc在接收到所述du对所述数据资源的访问请求时，所述bc中部署的dacc根据所述du的属性集调用所述bc中部署的apmc提供的所述du的属性集关联的访问控制策略，以判断所述du的访问权限；

10、在判定所述du具备访问权限的情况下，所述dacc调用所述bc中部署的drmc将所述数据资源返回给所述du；

11、其中，所述do通过apdc定义各类属性的所述数据资源的访问控制策略，并通过数据拥有者标识和所述数据资源的数据标识生成的键值创建与所述数据资源的访问控制策略的映射关联。

12、根据本发明提供的一种基于智能合约的分布式安全动态访问控制方法，所述bc中部署的dacc根据所述du的属性集调用所述bc中部署的apmc提供的所述du的属性集关联的访问控制策略，以判断所述du的访问权限，包括：

13、所述bc中部署的dacc调用所述apmc，以判断是否存在所述数据资源的访问控制策略；

14、在存在所述数据资源的访问控制策略的情况下，所述dacc判断当前所述du的访问请求与上一次所述du的访问请求之间的时间间隔是否大于预设阈值；

15、在所述时间间隔大于预设阈值的访问控制策略的情况下，所述dacc根据所述数据资源的访问控制策略判断所述du是否被允许对所述数据资源执行所述访问请求对应的操作；

16、在所述du被允许对所述数据资源执行所述访问请求对应的操作的情况下，所述dacc判断所述du的访问时间是否超过所述数据资源的访问控制策略中所规定的时间；

17、在所述du的访问时间未超过所述数据资源的访问控制策略中所规定的时间的情况下，所述dacc判断所述du的访问请求中的第一数据拥有者属性与所述du的访问请求对应的所述do的第二数据拥有者属性是否一致；

18、在所述du的访问请求中的第一数据拥有者属性与所述du的访问请求对应的所述do的第二数据拥有者属性一致的情况下，所述dacc判定所述du具备访问权限。

19、根据本发明提供的一种基于智能合约的分布式安全动态访问控制方法，所述bc中部署的dacc调用所述apmc，以判断是否存在所述数据资源的访问控制策略，包括：

20、所述bc中部署的dacc根据所述du的访问请求中的待访问的数据拥有者标识和待访问的数据资源的数据标识，确定待访问的数据资源的键值；

21、所述dacc根据所述待访问的数据资源的键值，调用所述apmc判断是否存在所述数据资源的访问控制策略。

22、根据本发明提供的一种基于智能合约的分布式安全动态访问控制方法，所述dacc判断当前所述du的访问请求与上一次所述du的访问请求之间的时间间隔是否大于预设阈值，之后还包括：

23、在所述时间间隔不大于预设阈值的访问控制策略的情况下，在错误行为列表中记录当前所述du的访问请求对应的错误行为，并根据所述错误行为列表中所记录的所述du的历史错误行为，确定对所述du的行为限制。

24、根据本发明提供的一种基于智能合约的分布式安全动态访问控制方法，所述确保所述du具备访问权限包括：

25、所述du向所述tca发送访问凭证，所述访问凭证包括数据拥有者标识、所述数据资源的数据标识、数据使用者标识、所述数据资源的数据哈希以及所述du标识的数据哈希；

26、所述tca根据所述du发送的所述访问凭证确保所述du具备访问权限。

27、根据本发明提供的一种基于智能合约的分布式安全动态访问控制方法，所述tca根据所述du发送的所述访问凭证确保所述du具备访问权限之后，还包括：

28、所述tca根据主密钥、系统私钥以及公共参数，获取所述数据资源的解密密钥。

29、根据本发明提供的一种基于智能合约的分布式安全动态访问控制方法，所述tca与所述du之间通过轻量化无证书认证协议传递所述解密密钥，包括：

30、所述tca根据所述du的身份标识、所述du的公钥以及所述tca的私钥生成所述解密密钥对应的消息密文，并将所述消息密文发送给所述du；

31、所述du根据所述tca的身份标识、所述tca的公钥以及所述du的私钥从所述消息密文中解密出所述解密密钥，并接收所述解密密钥。

32、根据本发明提供的一种基于智能合约的分布式安全动态访问控制方法，所述方法还包括：

33、所述tca初始化，生成公共参数、主密钥以及系统密钥。

34、根据本发明提供的一种基于智能合约的分布式安全动态访问控制方法，所述tca初始化，之后还包括：

35、所述do在所述tca中注册后，所述tca将所述公共参数以及所述主密钥发送给所述do；以及，

36、所述du在所述tca中注册后，所述tca将所述公共参数以及所述主密钥发送给所述du。

37、本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述基于智能合约的分布式安全动态访问控制方法。

38、本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述基于智能合约的分布式安全动态访问控制方法。

39、本发明还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上述任一种所述基于智能合约的分布式安全动态访问控制方法。

40、本发明提供的基于智能合约的分布式安全动态访问控制方法，do将数据的密文以及数据哈希存储至ipfs中，并获取ipfs返回的存储地址，将存储地址作为数据资源，其中，密文是do根据tca发送的公共参数以及主密钥对数据资源加密得到的；do通过在bc中部署的智能合约将数据资源存储至bc中；bc在接收到du对数据资源的访问请求时，在通过智能合约判定du具备访问权限的情况下，bc将数据资源返回给du；du通过数据资源从ipfs中获取数据的密文以及数据哈希；du通过从tca获取的解密密钥对数据的密文进行解密，其中，在确保du具备访问权限的情况下，tca与du之间通过轻量化无证书认证协议传递解密密钥。本发明通过存储在区块链网络中的请求记录、响应记录和访问记录，对数据的访问控制策略进行管理，并采用ipfs技术缓解区块链的存储压力。此外，还提出了一种轻量化无证书认证方案，对数据访问者的身份和访问权限进行链下验证，数据访问者只有同时通过可信授权机构和区块链的授权才能获得数据，实现了数据的双重保护。通过结合去中心化存储方案ipfs、区块链和基于属性的访问控制技术，既实现了安全共享数据，又缓解区块链的存储压力。