17] 本发明的目的在于，提供一种基于角色的分级分类访问的授权管理方法，它可以 有效解决现有技术中存在的问题，尤其是数据库数据和终端文件的明文存储导致敏感信息 泄露、电网数据的明文传输导致数据在网络中传输时很容易被泄露以及弱身份认证容易导 致未授权访问的问题。
[0018] 为解决上述技术问题，本发明采用如下的技术方案：一种基于角色的分级分类访 问的授权管理方法，包括以下步骤：
[0019] SI.初始化：假设信息系统中共有n+1个数据类，m个用户，建立加密密钥层次树， 并计算索引主密钥Kj和类密钥1^，其中，I < j < t，t+l < n，t、j为主索引节点，t+1、 x、η为主索引节点下的叶子节点；
[0020] S2.数据加密：加密器根据数据的密级生成数据类Cx的加密密钥Kx, s，利用该加密 密钥Kx,s对数据类(^的临时表进行加密，其中C x表示位于主索引节点j下叶子节点的数据 类；
[0021] S3.用户注册：可信中心验证访问数据的用户Di是否满足注册系统的条件， 若满足，则加密器计算用户主密钥&,，可信中心颁发包含该用户主密钥4?及信息
【主权项】
1. 一种基于角色的分级分类访问的授权管理方法，其特征在于，包括以下步骤：
51. 初始化：假设信息系统中共有n+1个数据类，m个用户，建立加密密钥层次树，并计 算索引主密钥Kj和类密钥1^，其中，1彡j彡t，t+l彡x彡n，t、j为主索引节点，t+l、x、n 为主索引节点下的叶子节点；
52. 数据加密：加密器根据数据的密级生成数据类Cx的加密密钥Kx，s，利用该加密密钥 Kx，s对数据类(^进行加密，其中Cx表示位于主索引节点j下叶子节点的数据类；
53. 用户注册：可信中心验证访问数据的用户Di是否满足注册系统的条件， 若满足，则加密器计算用户主密钥&，可信中心颁发包含该用户主密钥及信息
的系统身份证书给用户Di作为访问系统的身份凭证，其中，PXq为用 户公钥；
54. 访问请求：可信中心验证用户系统身份证书，若通过验证，则为用户Di颁发包 含用户密级、授予的角色及授予的数据类标识信息的访问证书；
55. 解密：可信中心验证所述的访问证书，若存在偏序关系即实现用户以在 密级权限内访问数据类Ck中的数据。
2. 根据权利要求1所述的基于角色的分级分类访问的授权管理方法，其特征在于，步 骤S1中，通过以下方法计算索引主密钥&和类密钥Kx: (1) 加密器随机选择整数IV、两个带密钥的HMACHK( ?)和77a_.(_)，运行多项式时间群 生成算法产生群G，并选择一个抗碰撞哈希函数H' :{0，1}* -G，其中，K为系统访 问主密钥，Kx为安全类Cx的类密钥； (2) 通过以下公式计算索引主密钥和类密钥：
其中，CIDj为主索引节点的类标识；CIDX为主索引节点j下叶子节点的类标识。
3. 根据权利要求1或2所述的基于角色的分级分类访问的授权管理方法，其特征在于， 步骤S2中所述的加密器根据数据的密级生成数据类Cx的加密密钥Kx，s，具体通过以下公式 计算获得：Kx，s=Hk(Kx| |VBte))，其中，Kx为类密钥，VBte)为密级s的值。
4. 根据权利要求3所述的基于角色的分级分类访问的授权管理方法，其特征在于，通 过密级树获得所述的密级值VMs)。
5. 根据权利要求4所述的基于角色的分级分类访问的授权管理方法，其特征在于，步 骤S3中所述的计算用户主密钥夂A包括以下步骤： (1) 建立解密密钥层次树：动态的在加密密钥层次树中的根节点和第二层主索引节点 之间增加用户节点，与用户节点相关联的密钥即用户主密钥夂A; (2) 计算用户主密钥
6. 根据权利要求4或5所述的基于角色的分级分类访问的授权管理方法，其特征在于， 步骤S4中所述的可信中心验证用户系统身份证书，若通过验证，则为用户D#页发包含 用户密级、授予的角色及授予的数据类标识信息的访问证书具体包括： (1) 可信中心验证用户以的系统身份证书，同时搜索访问控制策略，若用户Di的访问 请求符合任一项访问控制策略，则可信中心抽取相应叶子节点的标识集合^^..仏)}，其中 乃为第r个被抽取的关于关键词I的索引节点； (2) 加密器在密级树中寻找中间节点，并计算这些中间节点的密级值Vu; (3) 可信中心为用户Di颁发访问证书，所述的访问证书中包含附有可信中心签名的信 息
，其中s为数据的密级或用户的密级， !VU}为满二叉子树根节点的密级值集合，(7^,.仏)}为根据访问控制策略授予用户 Di访问 的叶子节点数据类的标识的集合，为用户〇,的公钥。
7. 根据权利要求6所述的基于角色的分级分类访问的授权管理方法，其特征在于，步 骤S5中所述的可信中心验证所述的访问证书，若存在偏序关系G ，即实现用户仏在 密级权限内访问数据类Ck中的数据具体包括： (1)用户Djij用自己的私钥从访问证书中抽取值 ⑵用户据自己的密级，从访问证书抽取值V°，...，VU和 (3) 计算密级值VBte)和解密密钥Kk，s; (4) 用户据自己的密级s，利用解密密钥K13解密属于数据类Ck中的数据。
8. 根据权利要求7所述的基于角色的分级分类访问的授权管理方法，其特征在于，通 过以下方法计算解密密钥Kk，s: Kk，s=HK(Kk| |VBte))，其中，M ?气A，所述的&为用户主密钥。
9. 根据权利要求3~8任一项所述的基于角色的分级分类访问的授权管理方法，其特 征在于，SG{S〇，sl，S2，s3}表示数据类的密级，其中8〇、81、82、83分别为公共数据、内部 数据、敏感数据、高敏感数据。
10. 根据权利要求9所述的基于角色的分级分类访问的授权管理方法，其特征在于，采 用国密SM1算法对高敏感数据进行加密，采用AES-128加密算法或国密SM4算法对敏感数 据进行加密，采用轻量级PRESENT-80算法对内部数据进行加密。
【专利摘要】本发明公开了一种基于角色的分级分类访问的授权管理方法，包括以下步骤：S1.初始化：假设信息系统中共有n+1个数据类，m个用户，建立加密密钥层次树，并计算索引主密钥Kj和类密钥Kx；S2.数据加密；S3.用户注册；S4.访问请求；S5.解密。本发明制定了基于角色的分级分类授权模型，该模型利用基于角色的层次密钥管理方案，根据用户的角色和级别授予用户访问指定数据的权限，从而达到了更加细粒度的访问控制的目的，有效解决了弱身份认证导致的未授权访问问题，同时有效保护了系统内信息资源的隐私性；另外，本发明利用一种对用户不可见的访问路径来隐藏系统内层次数据结构的中间节点，从而进一步防止了系统内敏感信息的泄露。
【IPC分类】H04L29-06, H04L9-32
【公开号】CN104780175
【申请号】CN201510202801
【发明人】陈锐忠, 李伟清, 邹洪, 黄巨涛, 赵延帅, 李皓, 彭泽武, 冯歆尧, 林泽鑫, 唐亮亮
【申请人】广东电网有限责任公司信息中心
【公开日】2015年7月15日
【申请日】2015年4月24日