据，用户选取未使用的离线 标签，生成要发送文件块的在线标签，向云服务提供商发送插入数据请求，云服务提供商收 到插入请求并验证通过后，在相应位置插入数据并计算新的根节点并将新节点及其辅助验 证信息发送给用户，用户验证后向第=方审计者发送新根节点和其签名，第=方审计者验 证签名有效后更新根节点；设Ui要在文件F1的第j块mU后插入文件块m?，具体如下：
[0106] DUi选取未使用的离线标签Tf，对叫生成在线标签IT，向CSP发送插入请求 '尸二:^,/，",_.7;"".77八I表示插入。
[0107]2)CSP收到r后，验证巧是否是对m#的有效离线/在线签名，如果验证有 效，在m,,i后插入m#，在叶结点片,巧7)后插入巧巧:"），增加新的离/在线标签巧f，擇，生 成新的根节点rooti'，向Ui发送件../，^,7,27"，〇"。;,，:巧鴻7。
[010引3)11基于冷/，好;巧7^生成旧根节点1'001：1，如果}/巧此知。叫）=7化/￡'，基于 材。，r,:，r/;7计算新的根节点僻如?，如果贈二腳r,，Ui生成签名。,.。。,,,=况饼 向TPA发送口**丐'、.root/ ;否则向CSP发送FALSE。
[010引 4)TPA验证"邱是否是root/的合法签名，若合法则TPA把根节点更新为root/， 无效则输出FALSE。
[0110] 5)若CSP收到FALSE,则撤销对文件的插入。
[01U] 步骤9 :删除数据：若用户需要删除原文件中的某些数据，用户向云服务提供商发 送删除文件块的请求，云服务提供商收到插入请求并验证通过后，删除对应的叶节点并计 算新的根节点并将新节点及其辅助验证信息发送给用户，用户验证后向第=方审计者发送 新根节点和其签名，第=方审计者验证签名有效后更新根节点。设Ui要将文件F1的第j块 mj,i删除，具体如下：
[011引DUi向CSP发送删除请求「=值J)，D表示删除。
[0113] 2)CSP收到r后，如果验证有效，CSP删除m,,i和对应的叶结点，生成新的根节点 root/，向Ui发送（A./，r/;*，口,.。叫，''化如 ^。
[0114] ：3)Ui基于生成旧根节点rooti，如果^"巧挑知。。=规投E，基于AJi 计算新的根节点《>蹄，如果/'OW/ =row,'，Ui生成签名征=况SmA, 0'〇如饼向TPA发送 口柏泌,'，root/ ;否则向CSP发送FALSE。
[0115] 4)TPA验证是否有效，若有效TPA把根节点更新为root/，无效则输出FALSE。
[0116] 5)若CSP收到FALSE,则撤销对文件的删除。
【主权项】
1. 一种云环境下低性能设备适用的具有隐私保护的公开审计方法，涉及到如下实体： 可信机构TA、云服务提供商CSP、第三方审计者TPA和用户，其特征在于，该方法包括下列步 骤： (1) 系统设置步骤 可信机构TA生成其公私钥对（msk，mpk);并为系统设置全局参数 (GnGaP, e, g，h, 而、G2和 GT是阶为 p 的乘法循环群；8是61的生成元，11是62的生成元；eWGz-GTS双线性映射；哈希函数心、H 2满足 H1: {0, 1}、ZP、H2:GT- ZP，ZP表示阶为p的整数域 表示安全的 签名方案； (2) 用户设置步骤 对于每一个用户4，可信机构为其签发证书，同时，用户选取私钥（Xi，yi，sski)，并生成 其对应的公钥（f^dbspki)，其中（ssl^spki)是用于安全签名方案的公私钥对； (3) 离线标签生成步骤 用户选取队组随机数{w r丄与用户私钥Xl和公钥f i计算产生离线标签，用户将 元组i.存储在本地；(4) 在线标签生成步骤 用户将被上传的文件分成η块；对于每块文件，用户选取 中未使 用的元组，并使用私钥算得出该文件块的在线标签用户使用哈希函数氏计算每 个?Ι的哈希值；用户以所有77丨的哈希值为叶子节点构建Merkle哈希树，并计算其根节点 r〇〇t1;用户使用安全签名算法计算其对根节点root 签名；用户将文件、以及所有文件块 的在线标签和离线标签发送给云服务提供商，同时将文件名、文件块数、根节点^的^口根 节点的签名发送给第三方审计者； (5) 审计步骤 为了验证用户A的文件？1是否完整，第三方审计者向云服务提供商发送审计挑战；云 服务提供商使用文件h计算得出挑战回应，并发送给第三方审计者；第三方审计者根据他 所存储的文件h的哈希树的根节点验证云服务提供商挑战回应是否合法，若合法则说明用 户A的文件Fi是完整的； (6) 批审计步骤 若第三方审计者收到来自多个用户的多个审计任务，第三方审计者可同时将这些任务 的挑战发给云服务提供商，云服务提供商做出挑战回应，第三方审计者可以对所有回应进 行批验证； (7) 修改数据步骤 若用户需要修改原文件的某些数据，用户选取未使用的离线标签，并生成新的在线标 签，并向云服务提供商发送修改文件请求，云服务提供商收到修改请求并验证通过后，更新 相应数据信息并计算新的根节点并将新节点及其辅助验证信息发送给用户，用户验证后向 第三方审计者发送新根节点和其签名，第三方审计者验证签名有效后更新根节点； (8) 插入数据步骤 若用户需要在原文件中插入新的数据，用户选取未使用的离线标签，生成要发送文件 块的在线标签，向云服务提供商发送插入数据请求，云服务提供商收到插入请求并验证通 过后，在相应位置插入数据并计算新的根节点并将新节点及其辅助验证信息发送给用户， 用户验证后向第三方审计者发送新根节点和其签名，第三方审计者验证签名有效后更新根 节点； (9)删除数据步骤 若用户需要删除原文件中的某些数据，用户向云服务提供商发送删除文件块的请求， 云服务提供商收到插入请求并验证通过后，删除对应的叶节点并计算新的根节点并将新节 点及其辅助验证信息发送给用户，用户验证后向第三方审计者发送新根节点和其签名，第 三方审计者验证签名有效后更新根节点。2. 根据权利要求1所述的方法，其特征在于，所述步骤（3)中，离线标签生成过程如 下： 1) 1^随机选取B丨组随机数{w u, ruh E {1,...,B1}，计算元组{^丨二w uXi, Ru= r uxj 2) 计算离线标签3) ?把元组存储在本地。3. 根据权利要求1所述的方法，其特征在于，所述步骤（4)中，在线标签生成过程如 下： 1) 首先将Fi分成η澳，分别记作加山e {1,...,nl}，其中Z p; 2) 1^从丨选取未使用过的元组，表示为元组3) 计算在线标签( η) ; - % )乃+ r,广4. 根据权利要求1所述的方法，其特征在于，所述步骤（5)中，审计过程如下： 1) 假设TPA要挑战的文件名为namei，文件块的下标为J = {Sl，. . .，sj，那么TPA选取 一组随机数2. TPA 向 CSP 发送审计挑战 chal = (namei, {(j, ')} .j e ;); 3. CSP收到审计挑战，计算中间值和挑战回应的一部分 4) 为了防止TPA从挑战回应中恢复出数据信息，CSP采用盲化因子u e Zp进行盲化操 作； 计算U = e(fi，山广和μ = U+H2(U) μ '，U和μ分别作为挑战回应的一部分；CSP将作为挑战回应发送给ΤΡΑ，其中A u为辅助验证信息； 5. TPA收到挑战回应，由^^和///?χυ,α计算出新根节点/ι^,，并验证其是否与TPA 存储的根节点root:相等，若相等，则计算中间值γ = H2(U)、中间值；之后再 验证等式IT* ^是否成立，若等式成立则说明1^在CSP的相应数据是完 整的。5. 根据权利要求1所述的方法，其特征在于，所述步骤(6)中，批审计过程如下： 1) 丁?4选取一组文件名{]^11161}^{1,...,|(}，要挑战的块的下标1={8 1，...，8(:}，一组随 机数2. TPA向CSP发送审计挑战chal = ({nameJi E {1,...,K}，J, V)，K为发送审计要求的用户 数； 3. CSP收到审计挑战，计算中间值 和挑战回应的一部分 ' 1 e {1，· · ·，K}; 4. CSP选择盲化因子Ule Z p，计算中间值Ui+Hjul I山I I V) μ /，U和μ :分别作为挑战回应的一部分； 5. CSP将.....幻，的作为挑战回应发送给TPA ; 6. TPA收到挑战回应，由辅助验证信息Δ ^和计算出新根节 点/_，若则计算验i正等式是否成立，若等式成立，说明被审计的数据都是完整的，否则 说明至少一个用户的数据不是完整的。6. 根据权利要求2所述的方法，其特征在于，离线标签不依赖文件即可由用户生成。7. 根据权利要求3所述的方法，其特征在于，在线标签在用户上传文件时由用户依据 文件信息生成。8. 根据权利要求1所述的方法，其特征在于，所述步骤（7)、（8)和（9)中，修改、插入 或删除数据时，用户只需针对要修改的文件块计算新的离线/在线标签，计算新的根节点 及其签名并发送给TPA。
【专利摘要】本发明公开了一种云环境下低性能设备适用的具有隐私保护的公开审计方法，该方法包括：系统设置步骤；用户设置步骤；离线标签生成步骤；在线标签生成步骤；审计步骤；批审计步骤；修改数据步骤；插入数据步骤；删除数据步骤。本发明的特点：用户端计算开销较小；满足隐私保护的需求；支持数据动态性；对第三方审计者提供了批审计的方法。
【IPC分类】H04L29/06, H04L29/08
【公开号】CN105338004
【申请号】CN201510932959
【发明人】张磊, 李江涛, 董哲明
【申请人】华东师范大学
【公开日】2016年2月17日
【申请日】2015年12月15日