基于云计算和可信计算的信息安全大数据资源访问控制系统的制作方法
【专利摘要】本发明公开了基于云计算和可信计算的信息安全大数据资源访问控制系统，该系统架构是在具有保护性功能、认证和完整性度量等特征基础上构建一种可信度访问机制和可信关系传递机制，进而建立一个从数据存储到信息安全管理，再到信息安全访问的可信链，其包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70。本发明基于可信计算和云计算技术，设计了信息安全管理模块20、基于可信的密钥生成模块40、基于可信的加密模块50和基于可信的解密模块60，实现了信息安全大数据资源的快速安全访问，增加了系统的安全性和可信性。
【专利说明】
基于云计算和可信计算的信息安全大数据资源访问控制系统
技术领域
[0001] 本发明涉及大数据领域，具体涉及基于云计算和可信计算的信息安全大数据资源 访问控制系统。
【背景技术】
[0002] 云计算是一种可以更有效地利用计算资源为用户提供各种数据服务的新型计算 模式，其将大量的计算资源、存储资源和软件资源链接在一起，运用虚拟技术，为用户提供 可定制的计算、存储和应用服务，避免用户自身繁重的基础设施的构建和维护。然而，集中 管理的云计算中心将成为黑客攻击的重点目标，由于前所未有的开放性与复杂性，其安全 性面临着比以往更为严峻的考验，云计算的大数据资源访问控制是云计算安全问题的核 心，访问控制是实现信息安全大数据资源机密性和进行隐私保护的重要手段。
[0003] 有关可信计算的概念，在IS0/IEC 15408标准中给出了以下定义：一个可信的组 件、操作或过程的行为在任意操作条件下是可预测的，并能很好地抵抗应用程序软件、病毒 以及一定的物理干扰造成的破坏。可信计算的基本思路是在硬件平台上引入安全芯片（可 信平台模块)来提高终端系统的安全性，也就是说在每个终端平台上植入一个信任根，让计 算机从BIOS到操作系统内核层，再到应用层都构建信任关系；以此为基础，扩大到网络上， 建立相应的信任链，从而进入计算机免疫时代。当终端受到攻击时，可实现自我保护、自我 管理和自我恢复。可信计算是在计算和通信系统中广泛使用基于硬件安全模块支持下的可 信计算平台，以提高系统整体的安全性，可信计算为行为安全而生，行为安全应该包括:行 为的机密性、行为的完整性、行为的真实性等特征。可信计算包括5个核心的概念，即：密钥、 安全输入输出、储存器屏蔽等，其中密钥的运用是可信系统的重中之重，基于密钥算法进行 数据储存和传输，是整个可信安全防护系统的基础保障。不同的密钥算法，衍生了不一样的 可信度安全系统。另外，在可信计算技术的运用中，采用基于属性的密文策略访问控制方案 进行资源数据的安全保护，该种方案可以由用户属主来定义自己的访问策略，更适用于云 存储环境下共享数据的访问控制，然而该方案存在加密方案在云存储环境下用户属主与普 通用户加解密计算开销大，访问控制灵活性带来的云存储服务模块管理复杂等问题。
【发明内容】
[0004] 针对上述问题，本发明提供基于云计算和可信计算的信息安全大数据资源访问控 制系统
[0005] 本发明的目的采用以下技术方案来实现：
[0006] 基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模 块、信息安全管理模块、大数据服务模块、基于可信的密钥生成模块、基于可信的加密模块、 基于可信的解密模块和用户接入模块：
[0007] (1)云存储服务模块，用于为访问用户提供数据存储服务，其以云存储对数据进行 保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户 访问云存储服务模块的数据管理器；
[0008] (2)信息安全管理模块，用于根据已验证的信息管理经验对信息安全进行管理，包 括风险评估模块和风险控制模块：
[0009] 所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
[0010] 1)定义信息的风险态势值R:
[0011] R = PXZXff
[0012]式中，p为信息受到攻击的概率，z为信息的重要性，w为信息受到破坏产生的威胁 度；
[0013] 2)设某信息i的风险态势值时间序列为姐={以1)，以2)，…，Xl(n)}，xdt)表示信 息i在时刻t的态势值，n为设定的总小时数，t = l，2,…，n;
[0014] 3)风险态势从信息i传播到信息j的传播时间用t表示，序列1与化在时间t下的时 间相关系数为Pij(T):
[0016] 在确定Eltx/Ct + T)，+ T)的情况下能够计算出时 间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
[0017] 所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的 风险等级，对应采取不同的安全策略对风险进行管理；
[0018] (3)大数据服务模块，用于对信息安全大数据资源进行分类管理，在信息安全管理 模块对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对 其进行分类，并建立目录实行分类管理；
[0019] (4)基于可信的密钥生成模块，用于在可信的安全网络环境下，生成系统初始的公 开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块分发系统公 开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块的请求下参与云存储服 务模块与用户接入模块接入的访问用户之间的共享会话密钥的协商;所述基于可信的密钥 生成模块包括初始化子模块和密钥生成子模块：
[0020] 1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
[0021] PK={a，b = sa，e(s，s)e}
[0022] MK={a,sp}
[0023]其中，aj是两个随机数且a，PGZp，Zp为模p的整数群;s为p阶的双线性群Gi的生成 元；
[0024] 2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户 私钥生成单元用于为访问用户生成对应的私钥SK:
[0025] SK = (D = s^+r)a,V(p； G 5: DL = sr = s^.D^ ==
[0026] 其中，S为用户属性的集合，为每个用户随机选择r G Zp，为每个属性軌? € S选择ri GZP；
[0027] 所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储 服务模块和访问用户间的共享会话密钥，具体为:所述云存储服务模块将自己的身份及访 问用户的身份发送给基于可信的加密模块，基于可信的加密模块向云存储服务模块发送一 个第一公钥证书，云存储服务模块进而为访问用户生成一个会话密钥，并用自身的秘密钥 和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通 发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
[0028] (5)基于可信的加密模块，用于在可信的安全网络环境下，对用户属主客户端上的 明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后 存储到所述云存储服务模块10;
[0029] (6)基于可信的解密模块，用于在可信的安全网络环境下，将云存储服务模块上的 封装好的三重加密密文解密得到明文信息，包括：
[0030] 1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文 时对用户组属性密钥进行解密，解密时由云存储服务模块返回所述封装好的三重加密密文 及其对应的消息头，利用共享会话密钥K gs解密得到用户组属性密钥fc%:
[0031] ^ =
[0032] 2)三重加密密文解密子模块，用于对三重加密密文C%进行解密；
[0033] 3)密钥密文解密子模块，用于对密钥密文C/进行解密：
[0034] 4)密文解密子模块，用于对密文Cm进行解密；
[0035] (7)用户接入模块，用于实现访问用户向云存储服务模块发送访问请求以及读取 云存储服务模块上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的 访问策略时，能够通过基于可信的解密模块解密得到明文信息;若访问用户拥有的属性集 合不满足访问策略，则需要用户输入指纹进行身份验证;若访问用户的属性集合和身份验 证均无效，则无法完成请求访问。
[0036] 优选地，所述基于可信的加密模块包括：
[0037] 1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
[0038] 所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥1进 行加密，得到密文Cm:
[0039] 所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥心进 行加密，得到密钥密文(：/ :
[0040] Q = (r, C = Km e(s,s)^tC = Sa(f,Vx eX\Cx= = W(<px)^c〇))
[0041 ]其中，1'表示所述访问策略树，任意选取(1￡21)且9 = 口\(0)，乂表示所有访问策略树的 所有叶子节点的集合;#0^)是自定义的一个公开映射函数；
[0042]所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块为每一个 用户组属性61随机选择一个用户组属性密钥e 为每一个用户组属性 Gl建立三重加 密密文C%，并利用所述共享会话密钥来加密用户组属性密钥，进而得到对应于三重加 密密文C%的一个消息头Hdr :
[0043] C"m = (j, C = Km e(s, syi(1, C = sai!, Vx G X: Cx = sp^°\ C'x = (W(^x)Pi(0))/v>x)
[0044] H(ir = (Vx e X:
[0045] 式中，Kgs表示共享会话密钥。
[0046] 本发明的有益效果为：
[0047] 1、基于大数据技术和可信技术，设计了信息安全管理模块、基于可信的密钥生成 模块、基于可信的加密模块和基于可信的解密模块，实现了信息安全大数据资源的快速安 全访问，增加了系统的安全性和可信性;设置信息安全管理模块，能够对信息安全大数据的 质量得意保证，确保数据的准确性；
[0048] 2、设置大数据服务模块，便于数据资源的管理和索引；设置的基于可信的加密模 块在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密，得到三重加密密 文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服务模块，并设置 相应的基于可信的解密模块，不仅能实现细粒度访问控制，还能有效减轻用户属主与用户 加密、解密的计算开销；
[0049] 3、设置的密钥生成子模块与基于可信的加密模块结合，保证了数据的机密性、并 具有抗串谋攻击性和前后向安全性；用户属主可定义自己的访问策略树，对于用户及其属 性变更都能够灵活且细粒度地支持。
【附图说明】
[0050] 利用附图对本发明作进一步说明，但附图中的实施例不构成对本发明的任何限 制，对于本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据以下附图获得 其它的附图。
[0051 ]图1、图2是本发明各模块的连接示意图；
[0052]图2是本发明的原理示意图。
[0053] 附图标记：
[0054]云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密钥生 成模块40、基于可信的加密模块50、基于可信的解密模块60、用户接入模块70。
【具体实施方式】
[0055]结合以下实施例对本发明作进一步描述。
[0056]实施例1:如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控 制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密 钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70:
[0057] (1)云存储服务模块10,用于为访问用户提供数据存储服务，其以云存储对数据进 行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用 户访问云存储服务模块10的数据管理器；
[0058] (2)信息安全管理模块20,用于根据已验证的信息管理经验对信息安全进行管理， 包括风险评估模块和风险控制模块：
[0059] 所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
[0060] 1)定义信息的风险态势值R:
[0061] R = PXZXff
[0062]式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁 度；
[0063] 2)设某信息i的风险态势值时间序列为MiilxdlhxiU)，…，Xl(n)}， Xl(t)表示信 息i在时刻t的态势值，n为设定的总小时数，t = l，2,…，n;
[0064] 3)风险态势从信息i传播到信息j的传播时间用t表示，序列1与化在时间t下的时 间相关系数为Pij(T):
[0065] C 以⑴ I^y(t + T) PU ⑴=, 2 i 2 JSK [沾)-Asg.Wt)] x JsG [味 + T) - + T)]
[0066] 在确定T、Efj1巧(t + T). EtZxKOxyt + T)的诂况卜能够计算出时 间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
[0067] 所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的 风险等级，对应采取不同的安全策略对风险进行管理；
[0068] (3)大数据服务模块30,用于对信息安全大数据资源进行分类管理，在信息安全管 理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方 法对其进行分类，并建立目录实行分类管理；
[0069] (4)基于可信的密钥生成模块40,用于在可信的安全网络环境下，生成系统初始的 公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系 统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云 存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商;所述基于 可信的密钥生成模块40包括初始化子模块和密钥生成子模块：
[0070] 1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
[0071] PK={a，b = sa，e(s，s)e}
[0072] MK={a,sP}
[0073]其中，aj是两个随机数且a，PGZp，Zp为模p的整数群;s为p阶的双线性群Gi的生成 元；
[0074] 2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户 私钥生成单元用于为访问用户生成对应的私钥SK:
[0075] SK = (D = s^+r)ay<pi G S: Dt = sr W(<p,)rsD/ = sr\D；' = H((pL)u)
[0076] 其中，S为用户属性的集合，为每个用户随机选择rGZp，为每个属性釣选择ri GZP；
[0077] 所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储 服务模块10和访问用户间的共享会话密钥，具体为:所述云存储服务模块10将自己的身份 及访问用户的身份发送给基于可信的加密模块50,基于可信的加密模块50向云存储服务模 块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用 自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一 公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
[0078] (5)基于可信的加密模块50,用于在可信的安全网络环境下，对用户属主客户端上 的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装 后存储到所述云存储服务模块10;
[0079] (6)基于可信的解密模块60,用于将云存储服务模块10上的封装好的三重加密密 文解密得到明文信息，包括：
[0080] 1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文 时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密 文及其对应的消息头，利用共享会话密钥k gs解密得到用户组属性密钥fc%:
[0081] =
[0082] 2)三重加密密文解密子模块，用于对三重加密密文C%进行解密；
[0083] 3)密钥密文解密子模块，用于对密钥密文C/进行解密：
[0084] 4)密文解密子模块，用于对密文Cm进行解密；
[0085] (7)用户接入模块70,用于实现访问用户向云存储服务模块10发送访问请求以及 读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文 对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息;若访问用户拥有 的属性集合不满足访问策略，则需要用户输入指纹进行身份验证;若访问用户的属性集合 和身份验证均无效，则无法完成请求访问。
[0086]其中，所述基于可信的加密模块50包括：
[0087] 1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
[0088] 所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥1进 行加密，得到密文Cm:
[0089] 所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥心进 行加密，得到密钥密文(：/ :
[0090] C；n = (T, C = Km- e{s, sf<lt C = s：mtVx EX:Cx = s^(Q\ Cx =
[0091 ]其中，T表示所述访问策略树，任意选取qGZ^qipJO)，X表示所有访问策略树的 所有叶子节点的集合；是自定义的一个公开映射函数；
[0092] 所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一 个用户组属性G:随机选择一个用户组属性密钥&_￡0 5，为每一个用户组属性61建立三重 加密密文C%，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重 加密密文C%的一个消息头Hdr :
[0093] C'L = (r, C = Km e(s, s)'5' f = s叫,V'r G G = spZ〇), Ci = (/-'((^)口.加
[0094] Hdr = (yx E X-.{Ek/]s(Kpx)})
[0095]式中，kgs表示共享会话密钥。
[0096]在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保 证，确保数据的准确性;设置大数据服务模块30,便于数据资源的管理和索引；设置的基于 可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密， 得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服 务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减 轻用户属主与用户加密、解密的计算开销;设置的密钥生成子模块与基于可信的加密模块 50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性;用户属主可定义自己 的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持;设定总小时数n=12， 数据安全性提高了 50 %，计算开销减小了 20 %。
[0097]实施例2:如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控 制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密 钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70:
[0098] (1)云存储服务模块10,用于为访问用户提供数据存储服务，其以云存储对数据进 行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用 户访问云存储服务模块10的数据管理器；
[0099] (2)信息安全管理模块20,用于根据已验证的信息管理经验对信息安全进行管理， 包括风险评估模块和风险控制模块：
[0100] 所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
[0101] 1)定义信息的风险态势值R:
[0102] R = PXZXff
[0103]式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁 度；
[0104] 2)设某信息i的风险态势值时间序列为MiilxdlhxiU)，…，Xl(n)}， Xl(t)表示信 息i在时刻t的态势值，n为设定的总小时数，t = l，2,…，n;
[0105] 3)风险态势从信息i传播到信息j的传播时间用t表示，序列1与化在时间t下的时 间相关系数为Pij(T):
[0107] 在确定T、+ T) < EG私 间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
[0108] 所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的 风险等级，对应采取不同的安全策略对风险进行管理；
[0109] (3)大数据服务模块30,用于对信息安全大数据资源进行分类管理，在信息安全管 理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方 法对其进行分类，并建立目录实行分类管理；
[0110] (4)基于可信的密钥生成模块40,用于在可信的安全网络环境下，生成系统初始的 公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系 统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云 存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商;所述基于 可信的密钥生成模块40包括初始化子模块和密钥生成子模块： 1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
[0112] PK={a，b = sa，e(s，s)e}
[0113] MK={a,sp}
[0114]其中，aj是两个随机数且a，0GZp，Zp为模p的整数群;s为p阶的双线性群Gi的生成 元；
[0115] 2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户 私钥生成单元用于为访问用户生成对应的私钥SK:
[0116] SK = (D = s("+r)a, V叭 e S: /)，= sr = s' /);' =
[0117] 其中，S为用户属性的集合，为每个用户随机选择rGZp，为每个属性奶es选择ri GZP;
[0118] 所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储 服务模块10和访问用户间的共享会话密钥，具体为:所述云存储服务模块10将自己的身份 及访问用户的身份发送给基于可信的加密模块50,基于可信的加密模块50向云存储服务模 块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用 自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一 公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
[0119] (5)基于可信的加密模块50,用于在可信的安全网络环境下，对用户属主客户端上 的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装 后存储到所述云存储服务模块10;
[0120] (6)基于可信的解密模块60,用于将云存储服务模块10上的封装好的三重加密密 文解密得到明文信息，包括：
[0121] 1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文 时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密 文及其对应的消息头，利用共享会话密钥k gs解密得到用户组属性密钥fcfc:
[0122] kfpx - E：kMS
[0123] 2)三重加密密文解密子模块，用于对三重加密密文C%进行解密；
[0124] 3)密钥密文解密子模块，用于对密钥密文C/进行解密：
[0125] 4)密文解密子模块，用于对密文Cm进行解密；
[0126] (7)用户接入模块70,用于实现访问用户向云存储服务模块10发送访问请求以及 读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文 对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息;若访问用户拥有 的属性集合不满足访问策略，则需要用户输入指纹进行身份验证;若访问用户的属性集合 和身份验证均无效，则无法完成请求访问。
[0127] 所述基于可信的加密模块50包括：
[0128] 1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
[0129] 所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥1进 行加密，得到密文Cm:
[0130] 所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥心进 行加密，得到密钥密文(：/ :
[0131] C = (T, C = e(s, s)^!, C = sU(i, Vx G X: Cx = s^(0), C'x = W(<pT)^(0))
[0132]其中，T表示所述访问策略树，任意选取qGZ^qzpJO)，X表示所有访问策略树的 所有叶子节点的集合;是自定义的一个公开映射函数；
[0133] 所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一 个用户组属性61随机选择一个用户组属性密钥为每一个用户组属性6 1建立三重 加密密文C%，并利用所述共享会话密钥来加密用户组属性密钥fc?px，进而得到对应于三重 加密密文C%的一个消息头Hdr :
[0134] C"m - (r,C - e(s,syil,(： = saq,Vx G X: Cx - spx(0),C^ - (H((pxyx{a))km^
[0135] Hdr = [Vx E X^E^Xk^)})
[0136] 式中，kgs表示共享会话密钥。
[0137] 在此实施例中：设置信息安全管理模块20,能够对信息安全大数据的质量得意保 证，确保数据的准确性;设置大数据服务模块30,便于数据资源的管理和索引；设置的基于 可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密， 得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服 务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减 轻用户属主与用户加密、解密的计算开销;设置的密钥生成子模块与基于可信的加密模块 50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性;用户属主可定义自己 的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持;设定总小时数n = 8,数 据安全性提高了 45 %，计算开销减小了 25 %。
[0138] 实施例3:如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控 制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密 钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70:
[0139] (1)云存储服务模块10,用于为访问用户提供数据存储服务，其以云存储对数据进 行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用 户访问云存储服务模块10的数据管理器；
[0140] (2)信息安全管理模块20,用于根据已验证的信息管理经验对信息安全进行管理， 包括风险评估模块和风险控制模块：
[0141]所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
[0142] 1)定义信息的风险态势值R:
[0143] R = PXZXff
[0144] 式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁 度；
[0145] 2)设某信息i的风险态势值时间序列为MiilxdlhxiU)，…，Xl(n)}， Xl(t)表示信 息i在时刻t的态势值，n为设定的总小时数，t = l，2,…，n;
[0146] 3)风险态势从信息i传播到信息j的传播时间用t表示，序列1与化在时间t下的时 间相关系数为Pij(T):
[0148] 在确定T、EUA(t)，Efjx/Ct + i：)，+ 的情况下能够计算出时 间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
[0149] 所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的 风险等级，对应采取不同的安全策略对风险进行管理；
[0150] (3)大数据服务模块30,用于对信息安全大数据资源进行分类管理，在信息安全管 理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方 法对其进行分类，并建立目录实行分类管理；
[0151] (4)基于可信的密钥生成模块40,用于在可信的安全网络环境下，生成系统初始的 公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系 统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云 存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商;所述基于 可信的密钥生成模块40包括初始化子模块和密钥生成子模块：
[0152] 1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
[0153] PK={a，b = sa，e(s，s)e}
[0154] MK={a,sp}
[0155] 其中，aj是两个随机数且a，0GZp，Zp为模p的整数群;s为p阶的双线性群Gi的生成 元；
[0156] 2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户 私钥生成单元用于为访问用户生成对应的私钥SK:
[0157] SK = [P = s(/5Hr)a,Ve/9j G S: Dl = sr = sri,D\' = H{(pdu)
[0158] 其中，S为用户属性的集合，为每个用户随机选择rGZp，为每个属性奶eS:选择ri GZP；
[0159] 所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储 服务模块10和访问用户间的共享会话密钥，具体为:所述云存储服务模块10将自己的身份 及访问用户的身份发送给基于可信的加密模块50,基于可信的加密模块50向云存储服务模 块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用 自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一 公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
[0160] (5)基于可信的加密模块50,用于在可信的安全网络环境下，对用户属主客户端上 的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装 后存储到所述云存储服务模块10;
[0161] (6)基于可信的解密模块60,用于将云存储服务模块10上的封装好的三重加密密 文解密得到明文信息，包括：
[0162] 1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文 时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密 文及其对应的消息头，利用共享会话密钥k gs解密得到用户组属性密钥&办：
[0163] - bkfis ^kas(k<Px))
[0164] 2)三重加密密文解密子模块，用于对三重加密密文C%进行解密；
[0165] 3)密钥密文解密子模块，用于对密钥密文C/进行解密：
[0166] 4)密文解密子模块，用于对密文Cm进行解密；
[0167] (7)用户接入模块70,用于实现访问用户向云存储服务模块10发送访问请求以及 读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文 对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息;若访问用户拥有 的属性集合不满足访问策略，则需要用户输入指纹进行身份验证;若访问用户的属性集合 和身份验证均无效，则无法完成请求访问。
[0168] 其中，所述基于可信的加密模块50包括：
[0169] 1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
[0170] 所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥1进 行加密，得到密文Cm:
[0171] 所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥心进 行加密，得到密钥密文(：/ :
[0172] C = {T,C = e{s,sy(i,C = Vx G Cx = s^{0),C!x = W(<px)fe(0))
[0173]其中，T表示所述访问策略树，任意选取qGZ^qzpJO)，X表示所有访问策略树的 所有叶子节点的集合;是自定义的一个公开映射函数；
[0174] 所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一 个用户组属性61随机选择一个用户组属性密钥为每一个用户组属性以建立三重 加密密文C%，并利用所述共享会话密钥来加密用户组属性密钥/￡&，进而得到对应于三重 加密密文C%的一个消息头Hdr :
[0175] = {t,C = e(s, syja-, C = sa%￥x ￡ 1:CX = sP^, C^ =： (0(^)^(〇))^")
[0176] Hctr = {yx E X\^Ekijs(ktpJ^j
[0177] 式中，kgs表示共享会话密钥。
[0178]在此实施例中：设置信息安全管理模块20,能够对信息安全大数据的质量得意保 证，确保数据的准确性;设置大数据服务模块30,便于数据资源的管理和索引；设置的基于 可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密， 得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服 务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减 轻用户属主与用户加密、解密的计算开销;设置的密钥生成子模块与基于可信的加密模块 50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性;用户属主可定义自己 的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持;设定总小时数n=15， 数据安全性提高了 40 %，计算开销减小了 30 %。
[0179]实施例4:如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控 制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密 钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70:
[0180] (1)云存储服务模块10,用于为访问用户提供数据存储服务，其以云存储对数据进 行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用 户访问云存储服务模块10的数据管理器；
[0181] (2)信息安全管理模块20,用于根据已验证的信息管理经验对信息安全进行管理， 包括风险评估模块和风险控制模块：
[0182] 所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
[0183] 1)定义信息的风险态势值R:
[0184] R = PXZXff
[0185] 式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁 度；
[0186] 2)设某信息i的风险态势值时间序列为MiilxdlhxiU)，…，Xl(n)}， Xl(t)表示信 息i在时刻t的态势值，n为设定的总小时数，t = l，2,…，n;
[0187] 3)风险态势从信息i传播到信息j的传播时间用t表示，序列1与化在时间t下的时 间相关系数为Pij(T):
[0189] 在确定t、办)，Sg勺(t + T)，Eg*办)+ t)的情况下能够计算出时 间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
[0190] 所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的 风险等级，对应采取不同的安全策略对风险进行管理；
[0191] (3)大数据服务模块30,用于对信息安全大数据资源进行分类管理，在信息安全管 理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方 法对其进行分类，并建立目录实行分类管理；
[0192] (4)基于可信的密钥生成模块40,用于在可信的安全网络环境下，生成系统初始的 公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系 统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云 存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商;所述基于 可信的密钥生成模块40包括初始化子模块和密钥生成子模块：
[0193] 1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
[0194] PK={a，b = sa，e(s，s)e}
[0195] MK={a,sp}
[0196] 其中，aj是两个随机数且a，0GZp，Zp为模p的整数群;s为p阶的双线性群Gi的生成 元；
[0197] 2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户 私钥生成单元用于为访问用户生成对应的私钥SK:
[0198] SK = (D =S^+r)a,y(pi G 5: D, - sr = s^,D\! =
[0199] 其中，S为用户属性的集合，为每个用户随机选择rGZp，为每个属性队选择ri GZP；
[0200] 所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储 服务模块10和访问用户间的共享会话密钥，具体为:所述云存储服务模块10将自己的身份 及访问用户的身份发送给基于可信的加密模块50,基于可信的加密模块50向云存储服务模 块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用 自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一 公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
[0201] (5)基于可信的加密模块50,用于在可信的安全网络环境下，对用户属主客户端上 的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装 后存储到所述云存储服务模块10;
[0202] (6)基于可信的解密模块60,用于将云存储服务模块10上的封装好的三重加密密 文解密得到明文信息，包括：
[0203] 1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文 时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密 文及其对应的消息头，利用共享会话密钥kgs解密得到用户组属性密钥&_:
[0204 ] k：(fix ~ Eka$ (^Ekgs {kVx ) j
[0205] 2)三重加密密文解密子模块，用于对三重加密密文C〃m进行解密；
[0206] 3)密钥密文解密子模块，用于对密钥密文C/进行解密：
[0207] 4)密文解密子模块，用于对密文Cm进行解密；
[0208] (7)用户接入模块70,用于实现访问用户向云存储服务模块10发送访问请求以及 读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文 对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息;若访问用户拥有 的属性集合不满足访问策略，则需要用户输入指纹进行身份验证;若访问用户的属性集合 和身份验证均无效，则无法完成请求访问。
[0209] 其中，所述基于可信的加密模块50包括：
[0210] 1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
[0211] 所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥1进 行加密，得到密文Cm:
[0212] 所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥心进 行加密，得到密钥密文(：/ :
[0213] = {T, C = Km e(s, C = Gx = , C'x = H (q>xy^m)
[0214]其中，T表示所述访问策略树，任意选取qGZ%q = px(0)，X表示所有访问策略树的 所有叶子节点的集合;是自定义的一个公开映射函数；
[0215] 所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一 个用户组属性61随机选择一个用户组属性密钥E ZP，为每一个用户组属性(^建立三重 加密密文C%，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重 加密密文C%的一个消息头Hdr :
[0216] C'm = \J\ C = Km- e{s, syiq, C = suq, Vx G X: Cx = sPx(0), C'x = (H((pxyxi〇))kiPx^
[0217] Hdr = (Vx E X-.^Xk^)})
[0218]式中，kgs表示共享会话密钥。
[0219]在此实施例中：设置信息安全管理模块20,能够对信息安全大数据的质量得意保 证，确保数据的准确性;设置大数据服务模块30,便于数据资源的管理和索引；设置的基于 可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密， 得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服 务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减 轻用户属主与用户加密、解密的计算开销;设置的密钥生成子模块与基于可信的加密模块 50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性;用户属主可定义自己 的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持;设定总小时数n=10， 数据安全性提高了 35 %，计算开销减小了 35 %。
[0220]实施例5:如图1、图2所示的基于云计算和可信计算的信息安全大数据资源访问控 制系统，包括云存储服务模块10、信息安全管理模块20、大数据服务模块30、基于可信的密 钥生成模块40、基于可信的加密模块50、基于可信的解密模块60和用户接入模块70:
[0221] (1)云存储服务模块10,用于为访问用户提供数据存储服务，其以云存储对数据进 行保护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用 户访问云存储服务模块10的数据管理器；
[0222] (2)信息安全管理模块20,用于根据已验证的信息管理经验对信息安全进行管理， 包括风险评估模块和风险控制模块：
[0223] 所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为：
[0224] 1)定义信息的风险态势值R:
[0225] R = PXZXff
[0226] 式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁 度；
[0227] 2)设某信息i的风险态势值时间序列为MiilxdlhxiU)，…，Xl(n)}， Xl(t)表示信 息i在时刻t的态势值，n为设定的总小时数，t = l，2,…，n;
[0228] 3)风险态势从信息i传播到信息j的传播时间用t表示，序列1与化在时间t下的时 间相关系数为Pij(T):
[0230] 在确定^^^域办没二^^ +办^:^竭的呼^: +为的情况下能够计算出时 间相关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测；
[0231] 所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的 风险等级，对应采取不同的安全策略对风险进行管理；
[0232] (3)大数据服务模块30,用于对信息安全大数据资源进行分类管理，在信息安全管 理模块20对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方 法对其进行分类，并建立目录实行分类管理；
[0233] (4)基于可信的密钥生成模块40,用于在可信的安全网络环境下，生成系统初始的 公开参数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块50分发系 统公开参数，且为每个访问用户生成对应的私钥，并在云存储服务模块10的请求下参与云 存储服务模块10与用户接入模块70接入的访问用户之间的共享会话密钥的协商;所述基于 可信的密钥生成模块40包括初始化子模块和密钥生成子模块：
[0234] 1)初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为：
[0235] PK={a，b = sa，e(s，s)e}
[0236] MK={a,sp}
[0237] 其中，aj是两个随机数且a，0GZp，Zp为模p的整数群;s为p阶的双线性群Gi的生成 元；
[0238] 2)密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户 私钥生成单元用于为访问用户生成对应的私钥SK:
[0239] SK = (D = ES-.Dt= sr = sri,D-' = H〇p：)a)
[0240] 其中，S为用户属性的集合，为每个用户随机选择r G Zp，为每个属性灼E S选择ri GZP;
[0241] 所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储 服务模块10和访问用户间的共享会话密钥，具体为:所述云存储服务模块10将自己的身份 及访问用户的身份发送给基于可信的加密模块50,基于可信的加密模块50向云存储服务模 块10发送一个第一公钥证书，云存储服务模块10进而为访问用户生成一个会话密钥，并用 自身的秘密钥和公开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一 公钥证书一通发送给访问用户，所述秘密钥和公开钥利用系统公开参数生成；
[0242] (5)基于可信的加密模块50,用于在可信的安全网络环境下，对用户属主客户端上 的明文进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装 后存储到所述云存储服务模块10;
[0243] (6)基于可信的解密模块60,用于将云存储服务模块10上的封装好的三重加密密 文解密得到明文信息，包括：
[0244] 1)用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文 时对用户组属性密钥进行解密，解密时由云存储服务模块10返回所述封装好的三重加密密 文及其对应的消息头，利用共享会话密钥kgs解密得到用户组属性密钥
[0245] kVx = Ekgs
[0246] 2)三重加密密文解密子模块，用于对三重加密密文C%进行解密；
[0247] 3)密钥密文解密子模块，用于对密钥密文C/进行解密：
[0248] 4)密文解密子模块，用于对密文Cm进行解密；
[0249] (7)用户接入模块70,用于实现访问用户向云存储服务模块10发送访问请求以及 读取云存储服务模块10上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文 对应的访问策略时，能够通过基于可信的解密模块60解密得到明文信息;若访问用户拥有 的属性集合不满足访问策略，则需要用户输入指纹进行身份验证;若访问用户的属性集合 和身份验证均无效，则无法完成请求访问。
[0250]其中，所述基于可信的加密模块50包括：
[0251 ] 1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元；
[0252] 所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥1进 行加密，得到密文Cm:
[0253] 所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥心进 行加密，得到密钥密文(：/ :
[0254] C& = (T,C = Km - e(s,s)如{ = sL!('',Vx e X: Cx = sPZ'fZ = H((px)h(0))
[0255] 其中，T表示所述访问策略树，任意选取qGZ^qzpJO)，X表示所有访问策略树的 所有叶子节点的集合;#0^):是自定义的一个公开映射函数；
[0256] 所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块10为每一 个用户组属性61随机选择一个用户组属性密钥为每一个用户组属性6 1建立三重 加密密文C%，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重 加密密文C%的一个消息头Hdr :
[0257] C% = (r,C = Km e{s,s)^,C = sa^Vx ex-. Cx = s^{)\Cx = {H{(pxy^S))k<Px)
[0258] Hdr = (vx e
[0259]式中，kgs表示共享会话密钥。
[0260]在此实施例中：设置信息安全管理模块20，能够对信息安全大数据的质量得意保 证，确保数据的准确性;设置大数据服务模块30,便于数据资源的管理和索引；设置的基于 可信的加密模块50在可信的安全网络环境下，对用户属主客户端上的明文进行三重加密， 得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储到所述云存储服 务模块10，并设置相应的基于可信的解密模块60，不仅能实现细粒度访问控制，还能有效减 轻用户属主与用户加密、解密的计算开销;设置的密钥生成子模块与基于可信的加密模块 50结合，保证了数据的机密性、并具有抗串谋攻击性和前后向安全性;用户属主可定义自己 的访问策略树，对于用户及其属性变更都能够灵活且细粒度地支持;设定总小时数n = 24， 数据安全性提高了 30 %，计算开销减小了 40 %。
[0261]最后应当说明的是，以上实施例仅用以说明本发明的技术方案，而非对本发明保 护范围的限制，尽管参照较佳实施例对本发明作了详细地说明，本领域的普通技术人员应 当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实 质和范围。
【主权项】
1.基于云计算和可信计算的信息安全大数据资源访问控制系统，包括云存储服务模 块、信息安全管理模块、大数据服务模块、基于可信的密钥生成模块、基于可信的加密模块、 基于可信的解密模块和用户接入模块： (1) 云存储服务模块，用于为访问用户提供数据存储服务，其以云存储对数据进行保 护，确保数据不会被随意获取，包括用于存储数据的云存储服务器和用于控制外部用户访 问云存储服务模块的数据管理器； (2) 信息安全管理模块，用于根据已验证的信息管理经验对信息安全进行管理，包括风 险评估t吴块和风险控制t吴块： 所述风险评估模块从风险的时序性和传播性入手，对风险进行预测，具体为： 1) 定义信息的风险态势值R: R=PXZXff 式中，P为信息受到攻击的概率，Z为信息的重要性，W为信息受到破坏产生的威胁度； 2) 设某信息i的风险态势值时间序列为1={^(1)，^(2)，一，^(1〇}，^(〇表示信息1 在时刻t的态势值，η为设定的总小时数，t = l，2,…，η; 3) 风险态势从信息i传播到信息j的传播时间用τ表示，序列1与化在时间τ下的时间相 关系数为PijO):I 在确定τ、Σ〇(?)，S〇7(t + τ)，Συ A⑴X/(t + τ)的情况下能够计算出时间相 关系数，时间相关系数能够反映风险态势值的在信息之间传播，完成风险预测； 所述风险控制模块对风险进行分级管理，风险态势值根据梯度阈值划分为不同的风险 等级，对应采取不同的安全策略对风险进行管理； (3) 大数据服务模块，用于对信息安全大数据资源进行分类管理，在信息安全管理模块 对信息进行分级管理的前提下，对于每一风险等级的信息，采用K-means聚类的方法对其进 行分类，并建立目录实行分类管理； (4) 基于可信的密钥生成模块，用于在可信的安全网络环境下，生成系统初始的公开参 数和主密钥，当接收到访问用户发出的请求时，其为基于可信的加密模块分发系统公开参 数，且为每个访问用户生成对应的私钥，并在云存储服务模块的请求下参与云存储服务模 块与用户接入模块接入的访问用户之间的共享会话密钥的协商;所述基于可信的密钥生成 模块包括初始化子模块和密钥生成子模块： 1) 初始化子模块，用于生成系统初始的公开参数PK和主密钥MK，具体为： PK={a，b = sa，e(s，s)e} MK={a，se} 其中，α，β是两个随机数且α，βεΖρ，Ζρ为模p的整数群;s为p阶的双线性群&的生成元； 2) 密钥生成子模块，包括用户私钥生成单元和共享会话密钥生成单元，所述用户私钥 生成单元用于为访问用户生成对应的私钥SK:其中，S为用户属性的集合，为每个用户随机选择rGZp，为每个属性钓es选择riez p; 所述共享会话密钥生成单元用于采用公钥加密体制及密钥协商协议生成云存储服务 模块和访问用户间的共享会话密钥，具体为:所述云存储服务模块将自己的身份及访问用 户的身份发送给基于可信的加密模块，基于可信的加密模块向云存储服务模块发送一个第 一公钥证书，云存储服务模块进而为访问用户生成一个会话密钥，并用自身的秘密钥和公 开钥加密后，连同与秘密钥对应的第二公钥证书及与公开钥对应的第一公钥证书一通发送 给访问用户，所述秘密钥和公开钥利用系统公开参数生成； (5) 基于可信的加密模块，用于在可信的安全网络环境下，对用户属主客户端上的明文 进行三重加密，得到三重加密密文，并采用数字信封技术对三重加密密文进行封装后存储 到所述云存储服务模块； (6) 基于可信的解密模块，用于在可信的安全网络环境下，将云存储服务模块上的封装 好的三重加密密文解密得到明文信息，包括： 1) 用户组属性密钥解密子模块，用于在访问用户访问所述封装好的三重加密密文时对 用户组属性密钥进行解密，解密时由云存储服务模块返回所述封装好的三重加密密文及其 对应的消息头，利用共享会话密钥k gs解密得到用户组属性密钥^^:2) 三重加密密文解密子模块，用于对三重加密密文C〃m进行解密； 3) 密钥密文解密子模块，用于对密钥密文C/进行解密： 4) 密文解密子模块，用于对密文Cm进行解密； (7) 用户接入模块，用于实现访问用户向云存储服务模块发送访问请求以及读取云存 储服务模块上的密文，若访问用户拥有的属性集合满足封装好的三重加密密文对应的访问 策略时，能够通过基于可信的解密模块解密得到明文信息;若访问用户拥有的属性集合不 满足访问策略，则需要用户输入指纹进行身份验证;若访问用户的属性集合和身份验证均 无效，则无法完成请求访问。2.根据权利要求1所述的基于云计算和可信计算的信息安全大数据资源访问控制系 统，其特征在于，所述基于可信的加密模块包括： 1)三重加密子模块，包括依次连接的明文加密单元、密钥加密单元和重加密单元； 所述明文加密单元用于对需要存储的明文m采用由用户属主选取的对称密钥Km进行加 密，得到密文Cm: 所述密钥加密单元用于采用由用户属主定义的访问策略树对所述对称密钥Km进行加其中，T表示所述访问策略树，任意选取q e 21)且9 = px(0)，X表示所有访问策略树的所有 叶子节点的集合;是自定义的一个公开映射函数； 所述重加密单元对所述密钥密文进行加密，加密时所述云存储服务模块为每一个用户 组属性61随机选择一个用户组属性密钥e ΖΡ，为每一个用户组属性61建立三重加密密 文C〃m，并利用所述共享会话密钥来加密用户组属性密钥进而得到对应于三重加密密 文C〃m的一个消息头Hdr:式中，kgs表示共享会话密钥。
【文档编号】H04L9/08GK105959111SQ201610520590
【公开日】2016年9月21日
【申请日】2016年7月1日
【发明人】陈祖斌, 谢铭, 胡继军, 翁小云, 袁勇, 邓戈锋, 莫英红, 谢菁, 张鹏, 唐玲丽, 黄连月, 郑俊明, 曾明霏, 杭聪, 宋骏豪
【申请人】何钟柱