面向云存储数据的弹性访问控制方法研究

Access control on data outsourced by users in existing public clouds is not very flexible and efficient, and there still exists various risks of user privacy. This project proposes the concept of Elastic Access Control (EAC), addressing the security risks caused by the conflicts between data protection and data sharing, with an emphasis on the new cryptographic technologies for solving the challenges of access authorization for data stored in clouds and dynamic management of authorizations. This project aims at providing a method for users to dynamically adjust others’ access privileges to their outsourced data according to their data sharing requirements, and achieving an elastic access control protection that can be adjusted on-demand. First, the project introduces provable security theory and methodology, and proposes a novel EAC security formalization for complicated user environments, which constructs a solid theoretical foundation for secure EAC. Second, it presents the new cryptographic primitive of asymmetric authorization to cope with the challenge of authorizing different types of users to access data stored in clouds; it presents the new cryptographic primitive of collusion-resistant batch authorization to deal with the security and efficiency issues of access authorization for massive data; it also presents an enhanced outsourced-revocation method to eliminate all computations of non-revoked users during revocation process of dynamic management of authorizations. Finally, based on proposed security formalization and new cryptographic technologies, the project designs a secure EAC scheme and conducts formal security analysis and experimental evaluation. The research achievements of the project will innovate cryptography theory and improve security protections of cloud computing systems.

现有公有云缺少对用户外包数据灵活有效的访问控制，用户隐私仍面临诸多风险。本项目提出弹性访问控制（EAC）概念，解决数据安全需求和共享需求相冲突带来的安全风险，重点研究对存储数据的访问授权问题和对授权的动态管理问题，确保用户可根据数据共享需求动态调整其他用户对数据的访问权限，实现对数据可按需调节的弹性访问控制。首先，引入可证明安全理论和方法，提出面向复杂用户环境的EAC形式化安全模型，为EAC提供坚实的安全理论基础。然后，提出非对称授权方法，解决将加密数据的访问权限授予给不同类型用户的问题；提出抗合谋批授权方法，解决对海量数据生成访问授权的安全性和效率性问题；提出增强的外包撤销方法，使用户无需承担授权动态管理中访问授权撤销所需的任何开销。最后，基于EAC形式化模型和提出的新密码学方法，设计安全的EAC系统方案，并进行形式化安全证明和实验分析。本项目的实施将创新密码学理论，完善云安全体系。

近年来，云计算已经逐渐成为一项重要的基础设施，为各类应用提供计算和存储服务。随着云计算的推广普及，越来越多的数据被外包存储在云平台，以降低本地数据管理负担。然而，由于数据脱离了本地物理控制，用户存储在云平台的数据面临严重的暴露风险。对云存储数据实施访问控制是保护数据机密性的有效手段，但由于云平台的难以信任性以及云环境的复杂性，传统访问控制方法无法直接用于保护云存储数据安全。. 针对云计算环境下数据安全与隐私威胁，在本项目的资助下，项目组研究了面向云存储数据的弹性访问控制方法，从数据安全存储、数据访问授权、授权动态管理三方面开展了深入研究。在数据安全存储方面，提出了一种可更新混合加密技术，利用混合加密模式保护数据，并且支持混合密文更新，更好地保护了数据存储安全；在数据访问授权方面，提出了跨密码体制密文转换技术，支持从单接收者密文到多接收者密文以及从复杂密文到简单密文的转换，在保护数据机密性的同时实现了不同加密系统用户间的数据访问授权；在授权动态管理方面，提出了细粒度密文转换技术以及访问权限外包撤销技术，实现了对用户访问权限的灵活分配以及高效撤销。上述研究成果为云计算中安全、灵活、高效的数据访问控制提供了新的解决思想和方法。. 在该项目的资助下，项目组发表及录用论文15篇，其中SCI论文13篇，CCF-A类论文3篇；申请发明专利4项，已授权2项。有1位博士后顺利出站，1位博士研究生通过博士学位论文答辩，1位硕士研究生通过了硕士学位论文答辩。项目组参加了3次国际学术会议，邀请了加拿大、香港等国家和地区的海外学者到校进行学术交流。项目部分研究成果应用于医药医疗、工业制造、政务大数据等领域保护敏感数据安全，与企业的相关合作成果获得了中国产学研合作创新成果一等奖，取得了良好的经济和社会效益。