基于属性加密的组合文档安全自毁方案

admin管理员组

文章数量:1534563

2024年4月28日发(作者：)

第２期

２０１４年２月

电　　子　　学　　报

ＡＣＴＡＥＬＥＣＴＲＯＮＩＣＡＳＩＮＩＣＡ

Ｖｏｌ．４２　Ｎｏ．２

Ｆｅｂ．　２０１４

基于属性加密的组合文档安全自毁方案

２２２

熊金波

１，

，姚志强

１，

，马建峰

１，

，李凤华

３

，刘西蒙

２

，李　琦

２

（１．福建师范大学软件学院，福建福州３５０１０８；２．西安电子科技大学计算机学院，陕西西安７１００７１；

３．中国科学院信息工程研究所信息安全国家重点实验室，北京１０００９３）

　　摘　要：　为保护组合文档全生命周期的隐私安全，提出了一种基于属性加密的组合文档安全自毁方案．该方案

引入多级安全思想创建新的组合文档结构，采用访问密钥加密组合文档内容、基于属性的加密算法加密访问密钥，两

者的密文经过一系列算法提取和变换后获得密文分量和封装自毁对象，分别存储在两个分布式哈希表网络和云服务

器中．当组合文档过期后，该网络节点将自动丢弃所存密文分量，使得原始组合文档密文和访问密钥不可恢复，从而实

现安全自毁．安全分析表明，该方案既能抵抗传统的密码分析或蛮力攻击，又能抵抗分布式哈希表网络的Ｓｙｂｉｌ攻击．

关键词：　组合文档；隐私安全；基于属性的加密；安全自毁；分布式哈希表网络

中图分类号：　ＴＰ３０９　　　文献标识码：　Ａ　　　文章编号：　０３７２－２１１２（２０１４）０２－０３６６－１１

电子学报ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｅｊｏｕｒｎａｌ．ｏｒｇ．ｃｎ　ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．０３７２－２１１２．２０１４．０２．０２４

ＡＳｅｃｕｒｅＳｅｌｆ－ＤｅｓｔｒｕｃｔｉｏｎＳｃｈｅｍｅｆｏｒＣｏｍｐｏｓｉｔｅＤｏｃｕｍｅｎｔｓ

ｗｉｔｈＡｔｔｒｉｂｕｔｅＢａｓｅｄＥｎｃｒｙｐｔｉｏｎ

（１．ＦａｃｕｌｔｙｏｆＳｏｆｔｗａｒｅ，ＦｕｊｉａｎＮｏｒｍａｌＵｎｉｖｅｒｓｉｔｙ，Ｆｕｚｈｏｕ，Ｆｕｊｉａｎ３５０１０８，Ｃｈｉｎａ；２．ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ，ＸｉｄｉａｎＵｎｉｖｅｒｓｉｔｙ，

Ｘｉ’ａｎ，Ｓｈａａｎｘｉ７１００７１，Ｃｈｉｎａ；３．ＳｔａｔｅＫｅｙＬａｂｏｒａｔｏｒｙｏｆＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ，ＩｎｓｔｉｔｕｔｅｏｆＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇ，ＣｈｉｎｅｓｅＡｃａｄｅｍｙｏｆ

Ｓｃｉｅｎｃｅｓ，Ｂｅｉｊｉｎｇ１０００９３，Ｃｈｉｎａ）

２２２

ＸＩＯＮＧＪｉｎ－ｂｏ

１，

，ＹＡＯＺｈｉ－ｑｉａｎｇ

１，

，ＭＡＪｉａｎ－ｆｅｎｇ

１，

，ＬＩＦｅｎｇ－ｈｕａ

３

，ＬＩＵＸｉ－ｍｅｎｇ

２

，ＬＩＱｉ

２

Ａｂｓｔｒａｃｔ：　Ｉｎｏｒｄｅｒｔｏｐｒｏｔｅｃｔｔｈｅｃｏｎｆｉｄｅｎｔｉａｌｉｔｙａｎｄｐｒｉｖａｃｙｓｅｃｕｒｉｔｙｏｆｔｈｅｃｏｍｐｏｓｉｔｅｄｏｃｕｍｅｎｔｓｗｉｔｈｉｎｔｈｅｗｈｏｌｅｌｉｆｅｃｙｃｌｅ，

ｗｅｌｅｖｅｒａｇｅａｔｔｒｉｂｕｔｅ－ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ（ＡＢＥ）ａｌｇｏｒｉｔｈｍｔｏｐｒｏｐｏｓｅａｓｅｃｕｒｅｓｅｌｆ－ｄｅｓｔｒｕｃｔｉｏｎｓｃｈｅｍｅｆｏｒｃｏｍｐｏｓｉｔｅｄｏｃｕｍｅｎｔｓ，ｒｅ－

ｆｅｒｒｅｄｔｏａｓＳｅｌｆＤｏｃ．Ｗｅｆｉｒｓｔｌｙｓｅｔｕｐａｎｅｗｃｏｍｐｏｓｉｔｅｄｏｃｕｍｅｎｔｓｔｒｕｃｔｕｒｅｂｙｅｍｐｌｏｙｉｎｇｔｈｅｉｄｅａｏｆｍｕｌｔｉｌｅｖｅｌｓｅｃｕｒｉｔｙ，ａｎｄｔｈｅｎ，

ｕｓｅａｎａｃｃｅｓｓｋｅｙｔｏｅｎｃｒｙｐｔｔｈｅｃｏｍｐｏｓｉｔｅｄｏｃｕｍｅｎｔａｎｄｔｈｅＡＢＥａｌｇｏｒｉｔｈｍｔｏｅｎｃｒｙｐｔｔｈｅａｃｃｅｓｓｋｅｙ．Ａｆｔｅｒａｓｅｒｉｅｓｏｆａｌｇｏｒｉｔｈｍｓ

ｆｏｒｅｘｔｒａｃｔｉｎｇａｎｄｔｒａｎｓｆｏｒｍｉｎｇｆｒｏｍｔｈｅｔｗｏｃｉｐｈｅｒｔｅｘｔｓ，ｗｅｏｂｔａｉｎｃｉｐｈｅｒｔｅｘｔｓｈａｒｅｓａｎｄｅｎｃａｐｓｕｌａｔｅｄｓｅｌｆ－ｄｅｓｔｒｕｃｔｉｏｎｏｂｊｅｃｔ，ｂｏｔｈｏｆ

ｗｈｉｃｈａｒｅｓｔｏｒｅｄｉｎｔｏｔｗｏｄｉｓｔｒｉｂｕｔｅｄｈａｓｈｔａｂｌｅ（ＤＨＴ）ｎｅｔｗｏｒｋｓａｎｄｃｌｏｕｄｓｅｒｖｅｒｓｒｅｓｐｅｃｔｉｖｅｌｙ．ＮｏｄｅｓｉｎｔｈｅＤＨＴｎｅｔｗｏｒｋｓｗｉｌｌ

ｓｅｌｆ－ｄｉｓｃａｒｄｔｈｅｃｉｐｈｅｒｔｅｘｔｓｈａｒｅｓｐｅｒｉｏｄｉｃａｌｌｙ，ｓｏｔｈｅｏｒｉｇｉｎａｌｃｉｐｈｅｒｔｅｘｔａｎｄａｃｃｅｓｓｋｅｙａｒｅｕｎｒｅｃｏｖｅｒａｂｌｅａｆｔｅｒｔｈｅｅｘｐｉｒａｔｉｏｎｔｉｍｅ，

ａｎｄｔｈｅｆｕｎｃｔｉｏｎｏｆｓｅｃｕｒｅｓｅｌｆ－ｄｅｓｔｒｕｃｔｉｏｎｉｓａｃｈｉｅｖｅｄ．Ｃｏｍｐａｒｅｄｗｉｔｈｅｘｉｓｔｉｎｇｓｃｈｅｍｅｓ，ｔｈｅｓｅｃｕｒｉｔｙａｎａｌｙｓｅｓｉｎｄｉｃａｔｅｔｈａｔＳｅｌｆＤｏｃ

ｓｃｈｅｍｅｉｓａｂｌｅｔｏｒｅｓｉｓｔｔｈｅｔｒａｄｉｔｉｏｎａｌｃｒｙｐｔｏａｎａｌｙｓｉｓｏｒｂｒｕｔｅ－ｆｏｒｃｅａｔｔａｃｋ，ａｎｄｔｈｅＳｙｂｉｌａｔｔａｃｋｓｆｒｏｍｔｈｅＤＨＴｎｅｔｗｏｒｋｓ．

Ｋｅｙｗｏｒｄｓ：　ｃｏｍｐｏｓｉｔｅｄｏｃｕｍｅｎｔ；ｐｒｉｖａｃｙｓｅｃｕｒｉｔｙ；ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ；ｓｅｃｕｒｅｓｅｌｆ－ｄｅｓｔｒｕｃｔｉｏｎ；ＤＨＴｎｅｔｗｏｒｋ

１　引言

　　云计算技术和新兴服务的迅速发展，促使文档的概

念发生巨大转变．传统基于单个文件、单一格式的文档，

如Ｗｅｂ页面、ＰＤＦ文档、图像文件、视／音频片断、Ｗｏｒｄ

文档、Ｅｘｃｅｌ表格和ＣＡＪ／ＫＤＨ文档等，不再适应云服务

［１］

对多样化格式、多种类型文档组合服务的新需求

．

而组合文档是云服务环境中承载云服务和复杂工

收稿日期：２０１３－０７－１５；修回日期：２０１３－１１－０９；责任编辑：覃怀银

作流的数据载体．如国际项目联合申请、国际医疗联合

会诊服务等，都需要创建和管理复杂的项目组合文档和

医疗组合文档．不再像传统单一文件参与者仅属于单一

的安全环境，这类组合文档以工作流的方式存在和处

理，其参与者分布在全球范围，导致组合文档的处理需

［２］

要跨越多个安全域且传递在不安全的信道中

．此外，

组合文档通常包含不同类型的隐私信息，如商业竞争分

析、新产品定价战略、知识产权和个人电子健康记录等．

基金项目：长江学者和创新团队发展计划（Ｎｏ．ＩＲＴ１０７８）；国家自然基金委员会－广东联合基金重点基金（Ｎｏ．Ｕ１１３５００２）；国家自然科学基金

（Ｎｏ．６１３７００７８，Ｎｏ．６１１７０２５１）；国家科技重大专项（Ｎｏ．２０１１ＺＸ０３００５－００２）；国家８６３高技术研究发展计划（Ｎｏ．２０１２ＡＡ０１３１０２）

第　２　期熊金波：基于属性加密的组合文档安全自毁方案

３６７

这些隐私信息具有不同的安全级别，分属于组合文档

的不同部分，在各个工作流步骤中被不同的参与者处

理．可公开发布的组合文档（ＰｕｂｌｉｃｌｙＰｏｓｔｅｄＣｏｍｐｏｓｉｔｅ

［２，３］

Ｄｏｃｕｍｅｎｔｓ，ＰＰＣＤ）

是近年提出的一种新型组合文档

结构和机制，支持多工作流参与者的处理，能够跨越多

个不同的安全域并传递在非安全信道中．文献［２］采用

ＰＫＩ方案和文献［３］采用基于身份的加密机制（Ｉｄｅｎｔｉｔｙ－

ＢａｓｅｄＥｎｃｒｙｐｔｉｏｎ，ＩＢＥ）均在一定程度上实现了ＰＰＣＤ文

［４］

档工作流处理过程中隐私信息的安全访问

．以上特

征使得ＰＰＣＤ适合于云服务环境中组合文档工作流的

Ｓｙｂｉｌ跳跃攻击；同时，采用ＲＳＡ加密对称密钥以抵抗

Ｓｙｂｉｌ嗅探攻击．然而，Ｖａｎｉｓｈ系统和ＳａｆｅＶａｎｉｓｈ方案均将

完整的密文保存在云端，存在可能的蛮力攻击和密码

分析攻击．Ｘｉｏｎｇ等人在ＳＳＤＤ的基础上提出ＩＳＤＳ方案，

利用ＩＢＥ加密对称密钥后既能扩展密钥分量的长度以

抵抗Ｓｙｂｉｌ跳跃攻击，又能抵抗Ｓｙｂｉｌ嗅探攻击，但存在

［５］

身份隐私泄露的风险

．综上所述，以上方案均存在不

同程度的局限性：①均需要“封装对象在过期之前未受

攻击”的理想假设；②大多数方案仅采用对称加密算法

而面临复杂的密钥分发和密钥管理问题；③在隐私信

创建和处理．

然而，在ＰＰＣＤ工作流处理结束后，组合文档中隐

私信息的安全保护往往被忽视，文献［２，３］均未论及这

一问题．而隐私信息在过期后被泄漏能够给个人或单

位带来严重后果．因此，保护组合文档过期后的隐私信

息安全极其重要

［５］

．最便捷的方式是直接删除这些包

含隐私信息的组合文档．然而，从本地或Ｗｅｂ页面中删

除存储在云服务器中的组合文档并不能实现真正删

除

［６］

Ｄｒｏｐｂｏｘ

．研究人员证实

和Ｗｏｒｄ

、Ｂｏｘ

文档等

和ＳｕｇａｒＳｙｎｃ

，可以通过智能手机完全恢复出从

［７］

．

中删除的图片、音频文件、ＰＤＦ

因此，安全删除云端数据极具挑战性，最先研究该

问题的是文件确保删除

［８，９］

，描述了一个能支持本地文

件过期后确保删除的系统．Ｔａｎｇ等人对其进行扩展，在

已有云计算基础设施上构建了一个安全覆盖云存储系

统

［１０，１１］

，能支持灵活的文件访问策略且确保满足策略

的文件安全删除．以上文献均属于集中式解决方案，需

要额外指令或操作才能达到文件确保删除

数据自毁的

Ｇｅａｍｂａｓｕ

．

Ｖａｎｉｓｈ

等人提出了一种无需人工干预实现敏感

系统

［６］

，将加密敏感数据的对称密

钥经过秘密共享处理后将密钥分量分发到分布式哈希

表（ＤｉｓｔｒｉｂｕｔｅｄＨａｓｈＴａｂｌｅ，ＤＨＴ）网络中，利用该网络节点

数据自更新功能丢弃所存密钥分量使得原始密钥不可

恢复，从而敏感数据密文不能被解密和访问，实现该意

义上的数据自毁

ＤＤ方案

．Ｗａｎｇ等人改进Ｖａｎｉｓｈ系统并提出ＳＳ－

［１２］

，将密钥和提取的部分密文一起分发到ＤＨＴ

网络中，从而提高方案的安全性．王等人在Ｖａｎｉｓｈ系统

的基础上提出一种云环境中的数据确定性删除方

法

［１３］

，采用密钥派生树组织并管理密钥，以有效提高密

钥管理效率．

ＤＨＴ

然而，Ｗｏｌｃｈｏｋ等人指出

足够多的密钥分量以重构解密密钥

网络存在Ｓｙｂｉｌ攻击，敌手在过期之前能够获取到

，Ｖａｎｉｓｈ系统采用的Ｖｕｚｅ

［１４］

．同样的，文献

［６，１２，１３］等方案均易遭受这类攻击．针对该问题，Ｚｅｎｇ

等人提出ＳａｆｅＶａｎｉｓｈ方案

［１５］

，在密钥分量中增加随机值

以扩展分量的长度，从而抵抗Ｖａｎｉｓｈ系统

［６］

中存在的

息有效期内，不能提供多级安全和细粒度访问控制

［１６］

；

④虽能达到敏感数据或文件的确保删除，但方案本身

易遭受攻击．

为了解决以上问题，保护组合文档在生命周期内

（组合文档工作流处理过程中）和过期后（使用价值结

束）的隐私信息安全，本文创新组合文档的设计思路，

结合基于属性的加密（Ａｔｔｒｉｂｕｔｅ－ＢａｓｅｄＥｎｃｒｙｐｔｉｏｎ，ＡＢＥ）和

大规模分散的ＤＨＴ网络提出基于属性加密的组合文档

安全自毁方案，简称ＳｅｌｆＤｏｃ方案．其贡献主要体现在：

（１）融合多级安全思想，将组合文档的组件划分安

全等级，相同安全等级的组件共享同一个对称密钥

［１６］

．

相比原ＰＰＣＤ而言，减少了对称密钥的数量，简化了复

杂的密钥管理；改进了原有ＰＰＣＤ结构，减小组合文档

工作流在云端服务器的存储开销，节约成本．

（２）采用ＡＢＥ算法，无需为工作流参与者颁发证

书，能够缓解ＳａｆｅＶａｎｉｓｈ方案

［１５］

中使用ＰＫＣ而导致复杂

的证书更新与密钥管理问题；在组合文档生命周期内，

提供细粒度访问控制．

（３）不需要理想化假设的前提下，采用两个ＤＨＴ网

络分别存储不同的密文分量信息，确保当组合文档过

期后实现自毁的同时达到系统安全，不仅能够抵抗过

期后的传统密码分析和蛮力攻击，过期前的ＤＨＴ网络

跳跃和嗅探等Ｓｙｂｉｌ攻击，还可任意时刻抵抗这二者的

同时攻击．

２　预备知识

２畅１　ＰＰＣＤ技术概述

云服务环境中，包含不同隐私信息的复杂组合文

档工作流的处理需要ＰＰＣＤ技术，以支持组合文档的安

全创建与管理

［２，３］

ｔａｂｌｅ

ｔｅｎｔ－ｐａｒｔｓ

）

ＰＰＣＤ

，密钥映射记录

的结构由

．

［３］

（

３

ｋｅｙ

部分顺序组成

－ｍａｐｅｎｔｒｉｅｓ）和内容部分

：记录表（ｅｎｔｒｙ

（ｃｏｎ

－

－

（１）内容部分

）

．

．ＰＰＣＤ由多个内容部分组成，每个部

分都可能由不同的参与者处理，对应不同的访问密钥．

（２）密钥映射记录．该记录是参与者访问密钥到内

３６８

　　电　　子　　学　　报２０１４年

容部分的映射，访问密钥是内容部分密钥（加密、解密、

签名和验证４个密钥，其中加密和解密一般采用对称密

钥）的子集．一旦获取记录中的访问密钥，参与者即可

解密对应的内容部分．每条密钥映射记录均有记录名．

（３）记录表．每个参与者都有对应的记录条目，该

条目用于快速识别和定位对应的密钥映射记录名．

ＰＰＣＤ工作流在工作步骤中，一旦被某个参与者接

收，参与者便从记录表中查找并解密自己的条目，即可

找到对应的密钥映射记录名，并从中获取文档名和访

问密钥．解密对应文档并在处理完成后对文档加密并

２畅４　ＤＨＴ网络概述

ＤＨＴ网络是一种实现查询、存储、检索和管理数据

［１９，２０］

的全球规模分布式对等网络

．现有Ｉｎｔｅｒｎｅｔ中存在

多种实用的ＤＨＴ网络，典型代表有Ｖｕｚｅ、ＣＡＮ和ＯｐｅｎＤ－

ＨＴ等．以上ＤＨＴ网络都具备如下特征，适合于构造

ＳｅｌｆＤｏｃ方案：

时刻ＤＨＴ网络中的部分节点动态退出导致部分密文分

量不可用，依据门限秘密共享方案的冗余性，只需要获

取到任意大于等于ｄ个密文分量就可以恢复出原始密

文．

签名

构以节约存储开销和成本

ＳｅｌｆＤｏｃ

，然后传递给下一个流程的参与者

方案在ＰＰＣＤ的基础上

，并减少密钥的数量以简化

，简化了

．

ＰＰＣＤ的结

复杂的密钥管理问题．

２畅２　

由Ｓａｈａｉ

ＡＢＥ

ＡＢＥ

和

是一种典型的公钥密码方案

基础

Ｗａｔｅｒｓ在２００５年欧密会上提出的模糊身份

，最早的ＡＢＥ是

加密方案

［１７］

．与ＩＢＥ方案中的身份标识符为一个字符

串不同，在ＡＢＥ方案中，标识符为一组描述性属性的集

合．系统中每个属性用Ｈａｓｈ函数映射到Ｚ

倡

ｑ

　中，密文和

用户密钥都与属性关联．ＡＢＥ支持基于属性的门限策

略，使用属性集合

ω

解密由属性集合

ω

倡

加密消息的密

文，当且仅当属性集合

ω

与

ω

倡

中重叠的属性个数大于

或等于某个门限阈值ｄ时，能够成功解密．

授权中心Ａｕｔｈｏｒｉｔｙ先发布系统公钥，系统公钥与属

性集

ω

倡

关联，公钥长度与

ω

倡

中属性数目线性相关，公

钥用于加密消息，并规定门限参数ｄ．授权中心依据用

户提供的属性集

ω

为用户创建私钥，属性集

ω

关联一

个随机的ｄ－１阶的多项式ｑ（ｘ）并规定ｑ（０）＝ｙ．对于

用户的解密过程，系统首先判断｜

ω

∩

ω

倡

｜辰ｄ是否成

立，如果成立，则任选｜

ω

∩

ω

倡

｜中ｄ个属性，即可由关

联的多项式ｑ（ｘ）通过拉格朗日插值法恢复出加密密

钥，从而解密出明文消息．

在ＳｅｌｆＤｏｃ方案中，利用ＡＢＥ加密密钥映射记录名

和访问密钥

ＤＨＴ

２畅３　

网络中，

，

以抵抗

经过相关处理产生密文分量并分发到

Ｓｙｂｉｌ攻击．

Ｓ分解成

Ｓｈａｍｉｒ

门限秘密共享

ｎ

提出门限秘密共享方案

个分量：Ｓ

ｉ

，…

，将需要共享的秘密

１

，Ｓ

２

，…，Ｓ

Ｓ

ｎ

．从这些分量中

提取任意大于等于ｄ个Ｓ

ｉ

，能够恢复出原始秘密Ｓ；反

之不能．该方案称之为（ｄ，ｎ）门限秘密共享

［１８］

．

在ＳｅｌｆＤｏｃ方案中，密钥映射记录名的密文属性分

量被分发到ＤＨＴ网络中；此外，访问密钥经过ＡＢＥ加密

后的密文属性分量和提取出的部分组合文档密文一起

产生密文分量被分发到另一个ＤＨＴ网络中．即使某个

（１）可用性．ＤＨＴ网络支持可靠的分布式存储，节

点中所存数据在一定期限内确保可用．可用性是ＤＨＴ

网络用于构造ＳｅｌｆＤｏｃ方案的基础．

（２）节点定时自动更新．每隔一定的时间期限，节

点会自动丢弃原有数据以保存新数据．该功能使得节

点中存储的密文分量在过期后能够自动丢弃而不可恢

复，为ＳｅｌｆＤｏｃ安全自毁提供实现机制．

（３）大规模且全球分布．Ｆａｌｋｎｅｒ等指出在Ｖｕｚｅ网络

中同时在线的活动节点超过百万个，且全球分布超过

１９０

Ｄｏｃ

个国家

［２０］

．这种完全分散的ＤＨＴ网络能够为Ｓｅｌｆ－

３　

方案提供健壮的抗攻击能力

需求、假设和模型

．

　　为了实现ＳｅｌｆＤｏｃ方案，首先给出一个新的数据结

构

ｓｔｒｕｃｔｉｎｇ

，称为组合文档自毁对象（ＣｏｍｐｏｓｉｔｅｄｏｃｕｍｅｎｔｓＳｅｌｆ－ｄｅ

档密文并阻止泄露给任意非授权第三方

Ｏｂｊｅｃｔ，ＣＳＯ），ＣＳＯ封装包含隐私信息的组合文

－

．

３畅１　

ＳｅｌｆＤｏｃ

设计需求

（１）组合文档工作流生命周期内的可用性和可控

方案应该满足如下设计需求：

性．在组合文档工作流各步骤处理过程中，ＣＳＯ的隐私

内容对工作流参与者是可用的；同时，需要实现不同参

与者访问不同安全等级的文档组件，达到细粒度访问

控制．

（２）过期后自毁．ＣＳＯ必须在过期后能够自动销毁

而无需人干预．ＳｅｌｆＤｏｃ方案提供前向安全，即便敌手在

过期前获得完整的ＣＳＯ副本和所有相关解密密钥，一

旦过期ＣＳＯ便对任何人不可读，包括工作流创建者和

参与者，从而对组合文档机密性和隐私提供全生命周

期安全保护．

（３）简单高效的密钥管理机制．现有方案仅采用对

称加密算法，容易导致复杂的密钥管理问题，ＳｅｌｆＤｏｃ方

案应具有简单高效的密钥管理机制．

（４）能够抵抗各种攻击．ＳｅｌｆＤｏｃ方案要求不仅能够

抵抗传统的密码分析和蛮力攻击

Ｓｙｂｉｌ攻击，还能够抵抗以上两种类型的同时攻击

，以及ＤＨＴ网络的

．

第　２　期熊金波：基于属性加密的组合文档安全自毁方案

３６９

３畅２　方案假设

为了满足ＳｅｌｆＤｏｃ方案的设计需求，在文献［６，１２］

的基础上做出如下安全假设：

（１）组合文档工作流具有时效性．ＳｅｌｆＤｏｃ方案用于

保护组合文档中隐私信息的安全，该隐私信息只有在

有限的时间范围内对参与者有效和可用．

（２）网络连接．工作流创建者和参与者都可以连接

到Ｉｎｔｅｒｎｅｔ，以便能够与授权机构、云服务器和ＤＨＴ网络

进行交互，实现生命周期内相关密钥和密文的分发和

提取，以及提交与获取ＣＳＯ．

３畅４　攻击模型

ＳｅｌｆＤｏｃ方案的安全目标是确保经过预定义的时间

段后，存储在云服务器中的ＣＳＯ能够安全自毁．由假设

（３）可知，在ＳｅｌｆＤｏｃ方案中，能够访问相同ＣＳＯ的组合

文档创建者和参与者之间相互信任．

在ＳｅｌｆＤｏｃ攻击模型中，潜在敌手可以分为三类：一

类是在组合文档工作流过期后攻击ＣＳＯ，如云服务器能

提供ＣＳＯ以支持法院命令或传票、恶意攻击ＣＳＯ或不

潜在敌手：可能分别攻击ＣＳＯ或ＤＨＴ网络，或者同

时发起攻击的非授权实体．

（３）授权机构、工作流创建者和参与者可信．授权

机构是可信服务器，是ＡＢＥ的核心组件，负责产生系统

公共参数和生成ＡＢＥ公／私钥．工作流创建者和参与者

是可信的，不会主动泄露或备份ＣＳＯ或相关密钥数据．

（４）云服务器是不安全的．云服务器在提供存储服

务的同时，可能存储多个ＣＳＯ的备份，或者泄露给非授

权实体

３畅３　系统模型

．

体，分别为

ＳｅｌｆＤｏｃ

：

方案的系统模型如图

组合文档工作流创建者

１所示

、云服务器

，包含

、授权机

６个实

构、工作流参与者、ＤＨＴ网络和潜在敌手．

组合文档工作流创建者：创建者将包含隐私信息

的组合文档封装成ＣＳＯ，并发送到云端服务器存储；并

产生密文分量分发到ＤＨＴ网络中．

云服务器：负责存储工作流创建者封装的ＣＳＯ，并

确保只有经过认证的工作流参与者才能访问ＣＳＯ．

授权机构：负责系统所需的公共参数和支持ＡＢＥ

密钥的产生和处理．

工作流参与者：组合文档创建者指定的参与工作

流处理的隐私信息共享者．不同的参与者参与不同的

工作流步骤，拥有不同的访问权限，处理不同的文档组

件．

并在过期后自动丢弃节点中的密文分量使得原始密文

ＤＨＴ网络：ＤＨＴ网络中的节点负责存储密文分量，

和解密密钥不可恢复．

小心泄露

ＤＨＴ

存的密文分量

网络本身

；一类是在组合文档工作流生命周期内攻击

，如

ＤＨＴ网络，试图同时获得封装的密文和密文分量

；一类是在任意时刻

Ｓｙｂｉｌ攻击，收集ＤＨＴ

，同时攻击

网络节点中保

ＣＳＯ

４　ＳｅｌｆＤｏｃ方案构造

．

和

　　ＳｅｌｆＤｏｃ方案将多级安全思想、ＡＢＥ、ＤＨＴ网络与组

合文档工作流相结合，提供组合文档使用期限内的细

粒度访问控制和过期后的安全自毁，实现全生命周期

保护组合文档隐私安全．

在新组合文档结构的基础上，首先概述ＳｅｌｆＤｏｃ方

案，然后从算法层面和系统层面分别描述ＳｅｌｆＤｏｃ方案

的具体构造．ＳｅｌｆＤｏｃ方案中基本的符号及其描述如表１

所示．

表１　ＳｅｌｆＤｏｃ方案符号及其描述

符号描述

ｐ组合文档组件的明文

Ｃ组合文档密文

Ａ

ｋ

访问密钥，包含对称密钥ｋ

Ｎ，ｄ密文分量个数及门限值

ｕ，ｖ每次提取的ｂｉｔ数量及提取次数

ψ

系统公开参数

素数阶为ｑ的双线性群

ｐｕｋ

Ｇ

１

，Ｇ

２

，ｍｓｋ，ｐｒｋ系统公钥，主密钥和参与者私钥

α

密钥映射记录名

χ

ｐａｒｔ

，

χ

ｕｓｅｒ

文档组件属性集，参与者属性集

Ｋ

ｉ

参与者ＡＢＥ私钥分量

Ｃ

α

，Ｃ

ＫＭ

α

和Ａ

ｋ

经过ＡＢＥ加密的密文

Ｒ，Ｌ分发索引

Ｅ

ｉ

从第ｉ个文档组件中提取的值

Ｃ

Ｅｘｔｒａ

，Ｃ

ＣＳＯ

Ｓ

提取密文和封装密文

ＣＳ

ＣＳＯ

密文分量

组合文档自毁对象

３７０

　　电　　子　　学　　报２０１４年

４畅１　组合文档新结构

首先，将组合文档依据工作流的现实需要分割成

多个组件，每个组件由共享相同访问控制策略的一个

或多个单独的文档或片断组成．

然后，依据每个组件中所包含信息的隐私程度的

不同而分为多个安全等级，如图２所示．在一个组合文

档工作流中，具有相同安全等级的不同组件共享同一

个对称密钥ｋ．与原有ＰＰＣＤ结构相比，新结构可以减少

对称密钥的数量和管理开销．

４畅２　ＳｅｌｆＤｏｃ方案概述

ＳｅｌｆＤｏｃ方案的工作原理如图３所示，主要分为加

密（箭头向下）和解密（箭头向上）两个过程．

（１）加密过程

首先，依据组合文档新结构，使用ＡＢＥ加密

α

得到

ｊ

Ｃ

α

，将Ｃ

α

中的属性分量｛Ｃ

α

ｉ

＝Ｔ

ｉ

｝

ｉ∈

χ

结合分发索引Ｒ

ｐａｒｔ

分发到第一个ＤＨＴ网络中，封装密文Ｃ

α

和Ｒ构成元组

＜Ｒ，Ｃ

α

＞存于授权中心．

然后，对Ｃ进行提取操作，将Ｃ变为Ｃ

Ｅｘｔｒａ

＋Ｃ

ＣＳＯ

；

′

ｓ

′

′

将Ｃ

ＫＭ

中的Ｃ

ＫＭ

存于密钥映射记录中，将Ｃ

ＫＭ

中的属性

分量｛Ｃ

ＫＭｉ

＝Ｔ

ｉ

｝

ｉ∈

生密文分量Ｓ

ＣＳ

，并结合分发索引Ｌ将Ｓ

ＣＳ

分发到另外

一个ＤＨＴ网络中．

最后，将Ｃ

ＣＳＯ

和分发索引Ｌ一起封装为ＣＳＯ，将其

存储到云服务器中．

（２）解密过程

该过程是工作流参与者在组合文档工作流生命周

期内访问组合文档的过程，是加密过程的逆过程．

首先，参与者提交属性集

χ

ｕｓｅｒ

，授权中心认证参与

者之后判断如下条件是否成立：｜

χ

ｐａｒｔ

∩

χ

ｕｓｅｒ

｜辰ｄ．如果

成立，参与者从授权中心获取到元组＜Ｒ，Ｃ

α

＞，提取出

Ｒ并从第一个ＤＨＴ网络中收集足够多的属性分量

ｊ

｛Ｃ

ｉ

＝Ｔ

ｉ

｝

ｉ∈

χ

；再从授权中心获得ＡＢＥ私钥后即可解

ｐａｒｔ

χ

ｐａｒｔ

和Ｃ

Ｅｘｔｒａ

构造拉格朗日多项式并产

在一个工作流步骤中，每个参与者可能对多个组

件执行操作，需拥有对各组件操作的访问权限（只读或

读写）所对应的访问密钥Ａ

ｋ

（包含加密密钥ｋ和可能的

签名／校验密钥）．Ａ

ｋ

由工作流步骤对应文档组件的属

性集

χ

ｐａｒｔ

加密并存储于密钥映射记录中，每个参与者都

有一条对应步骤的密钥映射记录．然后，产生一个随机

值作为该记录的记录名

α

．最后添加随机的伪记录名以

模糊化实际参与者数量．

由Ａ

ｋ

加密各文档组件的组合文档密文Ｃ和密钥

映射记录组成新的组合文档结构．与原有ＰＰＣＤ结构相

比，新结构减少了记录表部分，从而减小了组合文档存

储和管理开销．

′

密Ｃ

，得到记录名

α

．

然后，参与者从云服务器中获取到ＣＳＯ，从中提取

到Ｌ和Ｃ

ＣＳＯ

，依据Ｌ从第二个ＤＨＴ网络中收集足够多

的密文分量Ｓ

ＣＳ

，利用拉格朗日插值法重构出Ｃ

Ｅｘｔｒａ

和

Ｃ

ＫＭｉ

，将Ｃ

Ｅｘｔｒａ

和Ｃ

ＣＳＯ

还原为原始密文Ｃ．

最后，利用

α

便可从密钥映射记录中找到对应的

′

α

第　２　期熊金波：基于属性加密的组合文档安全自毁方案

３７１

条目，将得到的属性分量Ｃ

ＫＭｉ

和密钥映射记录中保存

的Ｃ

ＫＭ

合并为Ｃ

ＫＭ

，再用ＡＢＥ私钥解密Ｃ

ＫＭ

得到记录中

的访问密钥Ａ

ｋ

，从而获得其中的ｋ解密原始密文Ｃ，最

终获得需要访问的组合文档明文．

组合文档工作流一旦过期，则ＤＨＴ网络将分别自

动删除节点中保存的属性分量和密文分量，因而无法

重构出原始密文Ｃ、Ｃ

ＫＭ

和

α

，进而组合文档不可读，实

现安全自毁．

′

由于每次提取的ｂｉｔ数ｕ是个变量，同一个组合文

档工作流或不同工作流的不同步骤都可以选取不同的

值，因此可以避免由于参与者不慎泄露Ｃ

Ｅｘｔｒａ

给敌手时，

敌手在过期后能够获得完整的Ｃ．

从密文Ｃ中提取出Ｃ

Ｅｘｔｒａ

后，剩下部分为封装密文

Ｃ

ＣＳＯ

．

（５）ＰｏｌｙＧｅｎｅｒ（

ψ

，Ｃ

Ｅｘｔｒａ

，Ｃ

ＫＭｉ

）→Ｑ

ｉ

（ｘ）

给定系统参数

ψ

、密文Ｃ

Ｅｘｔｒａ

和属性分量Ｃ

ＫＭｉ

，首先

将Ｃ

ＫＭｉ

等分成ｄ块Ｃ

ＫＭｉ

＝（ｃ

０

，ｃ

１

，…，ｃ

ｄ－１

），算法联合

Ｃ

Ｅｘｔｒａ

和Ｃ

ＫＭｉ

产生ｖ＋１个ｄ－１阶的拉格朗日多项式如

４畅３　ＳｅｌｆＤｏｃ方案算法描述

算法层面主要完成由系统层面调用的底层算法的

具体实现，主要包含以下多项式时间算法：

（１）Ｓｅｔｕｐ（

κ

）

系统建立时，给定安全参数

κ

，算法产生密文分量个

数ｎ，门限值ｄ，每次提取的ｂｉｔ数量ｕ，提取的次数ｖ和

一个对称加密算法ＳＥ；此外，还产生２个加法循环群Ｇ

１

和乘法循环群Ｇ

２

，均为素数阶ｑ，以及ｅ：Ｇ

１

×Ｇ

１

→Ｇ

２

，其

中

ＳＥ

Ｇ

，Ｇ

１

的生成元为ｇ，则系统公开参数为

ψ

＝（ｎ，ｋ，ｕ，ｖ，

１

，Ｇ

２

，ｇ，ｑ，ｅ）．系统定义拉格朗日系数Δ

ｉ，ｓ

∈Ｚ

ｐ

和Ｚ１０

ｐ

上元素集合Ｓ，有：

Δ

ｉ，ｓ

（ｘ）＝

ｘ－

，对于

ｊ

ｉ

ｊ∈Ｓ

朝

，ｊ≠ｉ

ｉ－ｊ

．

组合文档工作流创建者依据每个工作流步骤对应

文档组件定义属性集

χ

集合中属性个数ｍ，从Ｚ

ｐａｒｔ

ｐ

中随机选择

，将其提交给授权机构

ｔ

，依据

１

，ｔ

２

，…．，ｔ

ｍ

和

ｙ，授权机构向创建者发布系统公钥ｐｕｋ为（Ｔ

１

＝ｇ

ｔ

１

，…，

Ｔ

ｍ

＝ｇ

ｔ

ｍ

，Ｙ＝ｅ（ｇ，ｇ）

ｙ

），保留主密钥ｍｓｋ为（ｔ

１

，ｔ

２

，…，

ｔ

ｍ

，ｙ）．

（２）ＳＥ（

ψ

，ｋ，ｐ）→Ｃ

给定系统参数

，加密算法

ｐａｒｔ

ｐ并经过签名后变为密文

ψ

ＳＥ加密组合文档组件

Ｃ

汇总构成组合文档密文Ｃ．

ｐａｒｔ

，所有Ｎ个组件加密完后

（３）Ｅｎｃｒｙｐｔ（

ψ

，

χ

ｐａｒｔ

，Ａ

ｋ

／

α

）→Ｃ

创建者为每个步骤的参与者定义相关组件的访问

ＫＭ

／Ｃ

α

密钥Ａ

ｋ

，算法选取一个随机值Ｚ

ｐ

，采用

χ

Ｃ，ｇ）

ｐａｒｔ

ＫＭ

＝（

χ

ｐａｒｔ

，Ｃ

ＫＭ

＝Ａ

ｋ

·ｅ（ｇ

，｛Ｃ

ＫＭｉ

＝Ｔ

ｉ

｝

加密Ａ

ｋ

为

′

ｙｓｓ

ｉ∈

χ

ｐａｒｔ

）．

同时，选取另一个随机值ｊ，采用

χ

射记录名

α

为Ｃ

α

＝（

′

ｐａｒｔ

加密密钥映

ｙｊ

ｊ

χ

ｐａｒｔ

，Ｃ

α

＝

α

·ｅ（ｇ，ｇ），

｛Ｃ

α

ｉ

＝Ｔ

ｉ

｝

ｉ∈

χ

ｐａｒｔ

）．

（４）Ｅｘｔｒａｃｔ（

ψ

，Ｃ）→（Ｃ

给定组合文档密文Ｃ

Ｅｘｔｒａ

和系统参数

，Ｃ

ＣＳＯ

）

ψ

，对于ｉ＝１，２，

…，ｖ（ｖ＜Ｎ），算法依次从第１个组件中提取数据Ｅ

１

＝

［１，ｕ·ｄ］，从第２个组件中提取Ｅ

２

＝［ｕ·ｄ＋１，ｕ·ｄ·２］，

从第ｉ个组件中提取Ｅ

ｉ

＝［ｕ·ｄ·（ｉ－１）＋１，ｕ·ｄ·ｉ］，从

第ｖ个组件中提取Ｅ

ｖ

Ｃ

＝（Ｅ

＝［ｕ·ｄ·（ｖ－１）＋１，ｕ·ｄ·ｖ］，则

Ｅｘｔｒａ

１

，Ｅ

２

，…，Ｅ

ｖ

），这里Ｅ

ｉ

＝（Ｅ

［ｉ］［０］

，Ｅ

［ｉ］［１］

，…，

Ｅ

［ｉ］［ｄ－１］

）．

下：

Ｑ

１

（ｘ）＝Ｅ

［１］［ｄ－１］

ｘ

ｄ－１

＋Ｅ

［１］［ｄ－２］

ｘ

ｄ－２

＋…＋Ｅ

［１］［０］

，

…

Ｑ

ｉ

（ｘ）＝Ｅ

［ｉ］［ｄ－１］

ｘ

ｄ－１

＋Ｅ

［ｉ］［ｄ－２］

ｘ

ｄ－２

＋…＋Ｅ

［ｉ］［０］

，

…

Ｑ

ｖ

（ｘ）＝Ｅ

［ｖ］［ｄ－１］

ｘ

ｄ－１

＋Ｅ

［ｖ］［ｄ－２］

ｘ

ｄ－２

＋…＋Ｅ

［ｖ］［０］

，

Ｑ

ｖ＋１

（ｘ）＝ｃ

ｄ－１

ｘ

ｄ－１

＋ｃ

ｄ－２

ｘ

ｄ－２

＋…＋ｃ

１

ｘ＋ｃ

０

．

（６）ＣｉｐｈｅｒＳｈａｒｅｓＧｅｎｅｒ（

ψ

，Ｑ

ｉ

（ｘ））→Ｓ

给定系统参数

ＣＳ

ψ

和以上ｖ＋１个拉格朗日多项式，

算法随机选择ｎ个大于１的自然数ｘ

１

，…，ｘ

ｉ

，…，ｘ

ｎ

，然

后计算密文分量Ｓ

），…，Ｑ

ＣＳ

ｖ＋

＝

１

（

（

ｘ

ｃ

ｓ１

，…，ｃ

ｓｎ

），其中ｃ

ｓｉ

＝（ｘ

ｉ

Ｑ），Ｑ

，

１

（ｘ

ｉ

２

（ｘ

ｉｉ

））．

（７）ＣｉｐｈｅｒＳｈａｒｅｓＤｉｓｔｒｉ（Ｌ，Ｓ

ＣＳ

）→＜ｌ

ｉ

，ｃ

ｓｉ

＞

给定密文分量Ｓ

Ｌ作为安全伪随机数产生器的种子

ＣＳ

后，算法随机选择一个分发索引

，生成ｎ个分发索

引ｌ

１

，ｌ

２

，…，ｌ

ｎ

．对于

ｃ

ｉ＝１，…，ｎ，密文分量关联索引并

产生ｎ个元组＜ｌ

ｉ

，

ｓｉ

＞，然后将所有元组分发到ｌ

ｉ

对

应的ＤＨＴ网络节点保存．

（８）Ｅｎｃａｐｓｕｌａｔｅ（

ψ

，Ｌ，Ｃ

给定系统参数

ＣＳＯ

ψ

、分发索引

）→ＣＳＯ

Ｌ和密文Ｃ

入，算法将其封装成组合文档自毁对象ＣＳＯ

ＣＳＯ

，并将其保

作为输

存到云服务器中．

（９）Ｄｅｃａｐｓｕｌａｔｅ（ＣＳＯ）→（Ｌ，Ｃ

在组合文档工作流生命周期范围内

ＣＳＯ

）

，参与者经过

身份认证后，从云服务器获得相应的ＣＳＯ，算法解封装

并获得分发索引Ｌ和密文Ｃ

（１０）ＥｘｔｒａｃｔＳｈａｒｅｓ（

ＣＳＯ

ψ

，Ｌ）→（

．

Ｃ

给定分发索引Ｌ作为安全伪随机数产生器的种

Ｅｘｔｒａ

，Ｃ

ＫＭｉ

）

子，产生并提取ｌ

１

，ｌ

２

，…，ｌ

ｎ

中大于等于ｋ个索引值，从

第二个ＤＨＴ网络中获得大于等于ｄ个密文分量ｃ

ｓｉ

，利

用拉格朗日插值法重构

Ｃ

Ｅｘｔｒａ

和

和

Ｃ

ｖ＋１个多项式，最终恢复出

Ｃ

ＥｘｔｒａＫＭｉ

（１１）

Ｃ

ＣＳＯ

．而从算法（９）中获得了密文Ｃ

ＣＳＯ

，组合

ＰｒｉＫｅｙＧｅｒ

即可重构出组合文档原始密文

（

χ

Ｃ．

在一个工作流步骤中

ｕｓｅｒ

）→ｐｒｋ

，参与者向授权中心提交属

３７２

　　电　　子　　学　　报

′

２０１４年

性集

χ

ｕｓｅｒ

，授权中心随机选择一个ｄ－１阶的拉格朗日

多项式ｑ（ｘ）并规定ｑ（０）＝ｙ．则参与者私钥ｐｒｋ由私钥

ｑ（ｉ）／ｔ

分量（Ｋ

ｉ

）

ｉ∈

χ

组成，其中橙ｉ∈

χ

ｕｓｅｒ

，Ｋ

ｉ

＝ｇ

．

ｉ

问密钥Ａ

ｋ

获得Ｃ

ＫＭ

．分解Ｃ

ＫＭ

为Ｃ

ＫＭ

和属性分量

｛Ｃ

ＫＭｉ

＝Ｔ

ｉ

｝

ｉ∈

ｓ

χ

ｐａｒｔ

（１２）Ｄｅｃｒｙｐｔ（

ψ

，

χ

ｕｓｅｒ

，Ｃ

α

／Ｃ

ＫＭ

）→

α

／Ａ

ｋ

在一个工作流步骤中，参与者提交属性集

χ

ｕｓｅｒ

，授

权中心认证参与者之后判断如下条件是否成立：｜

χ

ｐａｒｔ

∩

χ

ｕｓｅｒ

｜辰ｄ．如果成立，则任选集合Ｄ＝｜

χ

ｐａｒｔ

∩

χ

ｕｓｅｒ

｜中

的ｄ个属性，再由Ｃ

α

中的分量｛Ｃ

ｉ

＝Ｔ

ｉ

｝

ｉ∈

ｊ

ｕｓｅｒ

１阶的多项式ｑ（ｘ）通过拉格朗日插值法可以重构出ｅ

χ

ｐａｒｔ

，关联ｄ－

生随机值作为记录名

α

并添加一些伪记录名．创建者

为每个步骤执行上述算法后即可依据新的组合文档结

构创建完整的组合文档工作流．

（３）密钥映射记录名的处理

创建者在创建组合文档工作流时为每个参与者和

对应的工作流步骤创建一条密钥映射记录，其记录名

作如下处理：

，将Ｃ

ＫＭ

存于密钥映射记录中，系统产

′

（ｇ，ｇ）

ｙｊ

如下：

ｉ

∏

∈

Ｄ

（ｅ（Ｋ

ｉ

，Ｃ

ｉ

））

Δ

ｉ，Ｓ（０）

　　＝

ｉ

∏

∈

Ｄ

（ｅ（ｇ

ｑ（ｉ）／ｔ

ｉ

，ｇ

ｔ

ｉ

ｊ

））

Δ

ｉ，Ｓ（０）

　　＝

ｉ

∏

∈

（ｅ（ｇ，ｇ）

ｑ（ｉ）ｊ

Ｄ

）

Δ

ｉ，Ｓ（０）

　　＝ｅ（ｇ，ｇ）

ｑ（０）ｊ

　　＝ｅ（ｇ，ｇ）

ｙｊ

．

因此，算法可以解密出密钥映射记录名为：

　　Ｃ

α

′

／

ｉ

∏

∈

Ｄ

（ｅ（Ｋ

ｉ

，Ｃ

ｉ

））

Δ

ｉ，Ｓ（０）

　　＝Ｃ

′

α

／ｅ（ｇ，ｇ）

ｙｊ

　　＝

α

·ｅ（ｇ，ｇ）

ｙｊ

／ｅ（ｇ，ｇ）

ｙｊ

　　＝

α

．

同理，获得Ｃ

记录中的Ｃ

ＫＭ

′

，获得完整密文

ＫＭｉ

和密钥映射记录后

Ｃ

ＫＭ

，利用

，

ＡＢＥ

将Ｃ

ＫＭｉ

合并到

可以解密Ｃ

（１３）ＤＥ

ＫＭ

（

ψ

，得到参与者的访问密钥

，Ａ

ｋ

，Ｃ

给定系统参数

ｐａｒｔ

Ａ

ｋ

．

解密算法

Ｃ

ψ

、访问密钥

）→ｐ

Ａ

ｋ

和组合文档密文

ｐａｒｔ

明文

，解密算法

ｐ，以供参与者处理

ＤＥ可以验证和解密

．

Ｃ

ｐａｒｔ

为组合文档的

在设计上述算法的基础上，下面描述ＳｅｌｆＤｏｃ方案

系统层面的功能与操作．

４畅４　ＳｅｌｆＤｏｃ方案系统描述

系统层面通过调用算法层面的各多项式时间算法

描述ＳｅｌｆＤｏｃ方案高级操作的功能与实现，主要包含以

下几个阶段：

（１）系统建立

给定安全参数

κ

，调用系统建立算法（Ｓｅｔｕｐ）产生系

统所需的公共参数、随机对称密钥ｋ和支持ＡＢＥ所需

的公钥ｐｕｋ和主密钥ｍｓｋ．

（２）组合文档工作流建立

组合文档工作流创建者首先分割组合文档为若干

组件，并划分安全等级，明确工作流各步骤及对应文档

组件属性集

Ｃ

，调用

χ

ｐａｒｔ

ｐａｒｔ

；然后ＡＢＥ

，调用算法

加密算法

（ＳＥ

（

）

Ｅｎｃｒｙｐｔ

加密组件

）加密参与者访

ｐ获得密文

首先，调用ＡＢＥ加密算法（Ｅｎｃｒｙｐｔ）加密

α

得到Ｃ

α

，

结合ＤＨＴ网络的分发索引Ｒ调用密文分量分发算法

（ＣｉｐｈｅｒＳｈａｒｅｓＤｉｓｔｒｉ）将Ｃ

α

中的属性分量｛Ｃ

α

ｉ

＝Ｔ

ｊ

ｉ

｝

ｉ∈

χ

分发到第一个ＤＨＴ网络中；然后，Ｃ

α

中封装密文Ｃ

′

ｐａｒｔ

α

和

Ｒ构成元组＜Ｒ，Ｃ

α

′

＞存于授权中心．

（４）组合文档密文的处理

创建者获得组合文档密文Ｃ，为Ｃ

对Ｃ作如下处理：

ｐａｒｔ

的集合，需要

首先，调用提取算法（Ｅｘｔｒａｃｔ）从Ｃ的每个Ｃ

取出部分密文信息，组成提取密文Ｃ

ｐａｒｔ

中提

装密文Ｃ

Ｅｘｔｒａ

（５）密文分量的处理

ＣＳＯ

．

，剩余部分为封

在组合文档工作流创建阶段可以获得Ｃ

Ｃ

ＫＭｉ

Ｅｘｔｒａ

，结合

－１阶拉格朗日多项式

并调用多项式产生算法

Ｑ

ｉ

（ｘ

（

）

ＰｏｌｙＧｅｎｅｒ

．

）构建ｖ＋１个ｄ

再调用密文分量产生算法（ＣｉｐｈｅｒＳｈａｒｅｓＧｅｎｅｒ）产生

密文分量Ｓ

分解成元组

ＣＳ

＜

，该算法结合

ｌ

ｉ

，ｃ

ｓｉ

＞并保存到另一个

ＤＨＴ网络分发索引

ＤＨＴ网络的节点

Ｌ将Ｓ

ＣＳ

中．

（６）ＣＳＯ封装

在获得Ｃ

ＣＳＯ

、分发索引Ｌ和公共参数

ψ

后，创建者

可以调用封装算法（Ｅｎｃａｐｓｕｌａｔｅ）将Ｃ

后将该ＣＳＯ存储到云服务器中．

ＣＳＯ

封装为ＣＳＯ，然

值得注意的是，ＳｅｌｆＤｏｃ方案中，实际存储到云服务

器的组合文档工作流为ＣＳＯ，相比原ＰＰＣＤ而言，存储

空间要小得多．因此，ＳｅｌｆＤｏｃ能节省存储开销，节约成

本．

（７）生命周期内的细粒度访问控制

在组合文档工作流生命周期内，参与者通过身份

认证后，执行如下处理：

首先，将

χ

｜

ｕｓｅｒ

χ

提交给授权中心，授权中心判断条件

组

ｐａｒｔ

＜Ｒ

∩

χ

，Ｃ

ｕｓｅｒ

′

｜辰ｄ是否成立，如果成立，则返回相应的元

α

＞给参与者，参与者依据Ｒ从第一个ＤＨＴ网

络中获取足够多的分量｛Ｃ

ｉ

＝Ｔ

ｉ

ｊ

｝

ｉ∈

χ

得完整密文Ｃ

ｐａｒｔ

，结合Ｃ

α

′

可以获

α

．授权中心调用私钥产生算法（ＰｒｉＫｅｙＧｅｒ）

第　２　期熊金波：基于属性加密的组合文档安全自毁方案

３７３

ＤＨＴ网络中获得足够多的密文分量Ｓ

ＣＳ

，采用拉格朗日

插值法重构出Ｃ

ＫＭｉ

和Ｃ

Ｅｘｔｒａ

．此时，组合Ｃ

ＣＳＯ

和Ｃ

Ｅｘｔｒａ

可以

恢复出原始密文Ｃ，合并Ｃ

ＫＭ

和Ｃ

ＫＭｉ

构成完整密文

Ｃ

ＫＭ

．

′

获得参与者的ＡＢＥ私钥ｐｒｋ，调用解密ＡＢＥ解密算法

（Ｄｅｃｒｙｐｔ），最终得到密钥映射记录名

α

，并获得记录中

′

保存的Ｃ

ＫＭ

．

然后，参与者从云服务器中获得ＣＳＯ，调用解封装

算法（Ｄｅｃａｐｓｕｌａｔｅ）解封装ＣＳＯ得到分发索引Ｌ和密文

Ｃ

ＣＳＯ

．依据Ｌ和提取分量算法（ＥｘｔｒａｃｔＳｈａｒｅｓ）从第二个

５畅１　ＤＨＴ网络安全性分析

Ｖａｎｉｓｈ

［６］

指出，ＤＨＴ网络的体系结构和特性使得敌

手在过期之前从ＤＨＴ网络中获取密钥分量具有挑战

性，并且在ＶｕｚｅＤＨＴ网络中做了相关实验证实了存储

试图获取到足够多的密文分量；一种是在ＣＳＯ过期后，

采用传统的攻击手段攻击ＣＳＯ；一种是在ＣＳＯ封装后的

任意时刻，同时攻击ＣＳＯ和ＤＨＴ网络并试图恢复出组

合文档的隐私信息．因此，本节从ＤＨＴ网络的安全性、

算法安全性和系统安全性三个方面对以上三种攻击途

径进行安全性分析．

最后，结合记录名

α

、Ｃ

合文档．利用获得的ＡＢＥ私钥

ＫＭ

和原始密文

ｐｒｋ解密Ｃ

Ｃ即为原组

钥Ａ

，从而调用解密算法ＤＥ解密出相应的组合文档组

ＫＭ

ｋ

获得访问密

件的明文ｐ．通过以上方法不同参与者访问不同步骤中

不同安全级别的组合文档组件，实现组合文档生命周

期内的细粒度访问控制．

参与者处理完该步骤的组合文档后，加密相关组

件然后签名．再封装成ＣＳＯ后存储到云端服务器中，以

便下一步骤的参与者访问．

（８）过期后的组合文档安全自毁

当组合文档工作流完成所有步骤的处理，并超过

一定的预定义时间期限后，ＳｅｌｆＤｏｃ将利用ＤＨＴ网络节

点数据的自动更新功能丢弃所存的密钥分量，从而无

法获得

α

、Ｃ

毁．

ＫＭ

和原始密文Ｃ，以实现组合文档安全自

则节点数据的自动更新周期默认为

ＳｅｌｆＤｏｃ的两个ＤＨＴ网络若采用

８

Ｖｕｚｅ

小时

ＤＨＴ

，能够满足一

网络

［６］

，

般组合文档工作流的处理需要．当组合文档工作流的

处理时间较长时，可采用如下方法延长组合文档自毁

时间期限．

当接近ＤＨＴ网络节点默认更新周期时，创建者重

新选取随机变量，构造新的密文分量Ｓ

′

分发索引Ｌ

′

和Ｒ

′

，将新的Ｓ

′

ＣＳ

，再重新选择

点中，则组合文档自毁时间可以延长一个周期

ＣＳ

分发到新的ＤＨＴ

．

网络节

如此循

环，可以实现ＤＨＴ网络默认周期整数倍的组合文档自

毁时间期限设定．

５　ＳｅｌｆＤｏｃ方案安全性分析

　　在方案［５，６，１２，１５］中主要考虑追溯性攻击，均假

设敌手不是实时的，存储在服务器中的封装对象在生

命周期内不受攻击．而在云服务环境中，云服务器中存

储的ＣＳＯ在过期前也可能存在攻击．因此，已有方案的

假设过于理想化，在ＳｅｌｆＤｏｃ方案中，不需要该假设，主

要考虑三种类型的攻击，其中前两者与已有方案相似：

一种是在ＣＳＯ的生命周期内，对ＤＨＴ网络实施攻击，以

嗅探攻击

ＤＨＴ

、查询嗅探攻击和标准ＤＨＴ攻击都不能从

此为依据

网络中获得足够多的分量以恢复出原始密钥

ＤＨＴ

，文献

．以

文，从而也能抵抗

网络中获得足够多的分量以恢复出密钥与部分密

［１２］表示ＳＳＤＤ方案中敌手也不能从

ＤＨＴ网络的各种攻击．

然而，文献［１４］和ＳａｆｅＶａｎｉｓｈ

［１５］

均通过分析和相关

实验证实Ｖａｎｉｓｈ系统存在ＤＨＴ网络的Ｓｙｂｉｌ攻击，从而

证明

Ｖａｎｉｓｈ

Ｖａｎｉｓｈ系统是不安全的．文献［１４］的结论得到了

［１２］

不安全的

系统团队的认可，由此可以推论出ＳＳＤＤ

也是

和嗅探

ＤＨＴ

（ｓｎｉｆｆｉｎｇ

网络的

．

）攻击两种

Ｓｙｂｉｌ攻击主要分为跳跃

．

（ｈｏｐｐｉｎｇ）攻击

Ｖａｎｉｓｈ

（１）跳跃攻击

［６］

存在跳跃攻击，其分发到ＤＨＴ网络的密钥

分量一般为１６～５１字节，定长且较短，在隐私数据生命

周期内很容易被Ｓｙｂｉｌ敌手通过跳跃的方式获取到足够

多的密钥分量并保存起来，在过期之后恢复出密钥以

解密并获得隐私数据．

［１５］

增加密钥分量的长度而有效抵抗跳跃攻击

ＳａｆｅＶａｎｉｓｈ

通过在密钥分量中增加一些随机值以

；ＳＳＤＤ

［１２］

通

过将部分密文和密钥一起产生密钥分量分发到ＤＨＴ网

络中，也可以增加密钥分量的长度在一定程度上抵抗

跳跃攻击；ＩＳＤＳ

［５］

采用ＩＢＥ加密对称密钥，其密钥密文

结合部分文档密文一起产生混合密文分量分发到ＤＨＴ

网络中

络中

ＳｅｌｆＤｏｃ

，能增加密文分量的长度

，由于Ｃ

将

ＫＭ

Ｃ

，从而抵抗跳跃攻击．

ＫＭｉ

ｉ

性个数的增加呈线性增长

是ＡＢＥ

结合

加密后的属性分量

Ｃ

Ｅｘｔｒａ

一起分发到第二个ＤＨＴ网

，相比Ｖａｎｉｓｈ

［６］

和

，其长度随属

ＳＳＤＤ

［１２］

的

对称密钥要长的多，从而显著增加了密文分量的长度．

因此，ＳｅｌｆＤｏｃ能有效抵抗跳跃攻击．

（２）嗅探攻击

ＳＳＤＤ

在隐私数据的生命周期内，敌手可以从Ｖａｎｉｓｈ

［６］

和

［１２］

的ＤＨＴ网络中嗅探出足够多的密钥分量以重

构出解密密钥

ＤＳ

，因此存在嗅探攻击．ＳａｆｅＶａｎｉｓｈ

［１５］

和ＩＳ－

［５］

分别采用公钥密码技术的ＲＳＡ和ＩＢＥ加密对称密

３７４

　　电　　子　　学　　报２０１４年

钥后，产生密钥分量和混合密文分量并分发到ＤＨＴ网

络节点中．这两种方案中，即使敌手从ＤＨＴ网络中嗅探

到足够多的分量，也没有相应的ＲＳＡ或ＩＢＥ私钥，不能

解密出原始对称密钥，因而能够抵抗Ｓｙｂｉｌ嗅探攻击．然

而，由于ＳａｆｅＶａｎｉｓｈ基于ＰＫＣ方案，因此存在复杂的公／

私钥和证书管理问题．

ＳｅｌｆＤｏｃ采用ＡＢＥ加密Ａ

ｋ

得到密文Ｃ

ＫＭ

，然后将

Ｃ

ＫＭ

中的Ｃ

ＫＭｉ

结合Ｃ

Ｅｘｔｒａ

构造拉格朗日多项式并产生Ｓ

ＣＳ

后再将其分发到第二个ＤＨＴ网络中．即使敌手从ＤＨＴ

网络中获得Ｓ

ＣＳ

，没有ＡＢＥ私钥也不可能恢复出Ｃ

ＫＭ

，

从云端获得了ＶＤＯ或ＤＤＯ，也不可能尝试出可能的解

密密钥，从而可以抵抗蛮力攻击．同样的，ＳｅｌｆＤｏｃ采用

提取算法将组合文档原始密文提取成Ｃ

Ｅｘｔｒａ

和Ｃ

ＣＳＯ

，并

将密文Ｃ

ＫＭ

中的Ｃ

ＫＭｉ

与Ｃ

Ｅｘｔｒａ

一起经过变换产生密文分

量并分发到ＤＨＴ网络中，而Ｃ

ＣＳＯ

被封装成ＣＳＯ并存储

在云服务器中．因此，要实现蛮力攻击，获得原始组合

文档密文Ｃ的唯一方式是从ＤＨＴ网络中获得完整的密

文分量Ｃ

ＫＭｉ

和Ｃ

Ｅｘｔｒａ

，攻击的难度与密钥空间有关．在

ＳｅｌｆＤｏｃ中，密钥空间与Ｃ

ＫＭｉ

和Ｃ

Ｅｘｔｒａ

的长度相关，明显大

于ＳＳＤＤ的密钥分量．另一方面，即使敌手从云服务器

从而无法获得Ａ

ｋ

．因此，ＳｅｌｆＤｏｃ能够有效抵抗Ｓｙｂｉｌ嗅

探攻击．相比ＳａｆｅＶａｎｉｓｈ、ＩＳＤＳ和ＳｅｌｆＤｏｃ均不需要预先

产生所有用户的公／私钥对，也不需要颁发用户的公钥

证书，因而不存在复杂的证书和密钥管理问题．

此外，ＳｅｌｆＤｏｃ中还使用了另一个ＤＨＴ网络以保存

密钥映射记录名的属性分量，只有同时从这两个ＤＨＴ

网络中获得正确的分量信息，才能恢复出原始的密文

和相关密钥，才能正常访问相关组合文档．而要同时攻

破两个

５

ＳｅｌｆＤｏｃ

畅２　ＳｅｌｆＤｏｃ

能够有效抵抗

ＤＨＴ网络，将给敌手带来更大的挑战

方案算法安全性分析

ＤＨＴ网络的Ｓｙｂｉｌ攻击．

．因此，

在ＳｅｌｆＤｏｃ中，不仅组合文档各组件是加密的，其密

文也是经过提取的，而且加密和签名验证的Ａ

ｋ

也是经

过ＡＢＥ加密的，Ａ

ｋ

的密文分量Ｃ

文都是经过构造拉格朗日多项式并产生密文分量等处

ＫＭｉ

和部分组合文档密

理的．因此，没有完整的密文信息是不可能重构出原始

访问密钥和组合文档密文的，也是不可能恢复出原始

组合文档明文的

［２１］

作流过期之后存在对

ＳｅｌｆＤｏｃ算法安全性方面

．

ＣＳＯ的传统攻击

，主要体现在组合文档工

，主要分为蛮力

攻击和密码分析攻击．

（１）蛮力攻击

蛮力攻击的工作原理是，基于完整密文及密钥空

间大小持续尝试所有可能的解密密钥．Ｖａｎｉｓｈ

［６］

采用对

称密钥加密敏感数据，其密文保存在网络中或云服务

器，由文献［１２］分析可知，敌手可以获得完整的密文，且

对称密钥的密钥空间较小，因此，在计算能力允许的情

Ｖａｎｉｓｈ

况下，有可能试探出解密密钥而存在蛮力攻击．Ｓａｆｅ－

［１５］

的设计着重在于增加密钥分量的长度及采用

公钥系统加密对称密钥并分发到ＤＨＴ网络以抵抗ＤＨＴ

网络的

Ｖａｎｉｓｈ

力攻击

系统的方法

Ｓｙｂｉｌ攻击．该方案在封装ＶＤＯ时仍然采用原

．

，由上述分析可知，该方案也存在蛮

ＶＤＯ

然而

和ＤＤＯ

，ＳＳＤＤ

［１２］

是经过处理之后的不完整密文

和ＩＳＤＳ

［５］

由于封装并存储在云端的

，即使敌手

获得了

ＳｅｌｆＤｏｃ

ＣＳＯ，解封装后的Ｃ

ＣＳＯ

也是不完整的密文

（２）

比

密码分析攻击

ＳＳＤＤ更能有效抵抗蛮力攻击．

．因此，

传统的密码分析攻击的前提也需要获得完整的原

始密文．有上述分析可知，只有在Ｖａｎｉｓｈ和ＳａｆｅＶａｎｉｓｈ

中，敌手才能获得完整的密文．因此，他们可能存在密

码分析攻击．而在方案ＳＳＤＤ、ＩＳＤＳ和ＳｅｌｆＤｏｃ中，封装并

５

存储在云端的密文均不完整

畅３　ＳｅｌｆＤｏｃ方案系统安全性分析

，可以抵抗密码分析攻击．

ＩＳＤＳ

上述分析可知，Ｖａｎｉｓｈ

［６］

、ＳａｆｅＶａｎｉｓｈ

［１５］

、ＳＳＤＤ

［１２］

和

［５］

仅考虑前两种类型的攻击，ＳｅｌｆＤｏｃ都能够抵抗．

下面考虑一种强类型的攻击：即ＣＳＯ封装后的任意时

刻，同时遭受对ＣＳＯ的传统攻击和对ＤＨＴ网络的Ｓｙｂｉｌ

攻击．由５畅１节分析可知，ＳｅｌｆＤｏｃ中，敌手在ＣＳＯ的生

命周期内，能够抵抗ＤＨＴ网络的Ｓｙｂｉｌ跳跃和嗅探攻

击，且同时攻破的两个ＤＨＴ网络分别获得正确的密文

分量是困难的；即使同时攻击云服务器并获得ＣＳＯ，也

不能恢复出原始密文和相关密钥信息，最终无法获得

组合文档的明文．因此，ＳｅｌｆＤｏｃ能够同时抵抗这两种类

型的攻击，达到系统整体安全．

以上各方案抵抗攻击的能力比较汇总于表２所示．

综上所述，Ｖａｎｉｓｈ

［６］

由于存在ＤＨＴ网络的Ｓｙｂｉｌ攻

击、可能的蛮力攻击和密码分析攻击，是不安全的方

案；ＳａｆｅＶａｎｉｓｈ

［１５］

能够抵抗ＤＨＴ网络的Ｓｙｂｉｌ攻击，但可

能存在蛮力攻击和密码分析攻击而变得不安全

ＤＤ

；ＳＳ－

［１２］

能够抵抗跳跃攻击、蛮力攻击和密码分析攻击，

但可能存在嗅探攻击，从ＤＨＴ网络中获得足够的密钥

和密文分量而重构出原始密文，从而获得敏感数据原

文，因此，该方案也不是足够安全的；ＩＳＤＳ

［５］

能够抵抗以

上两种类型的攻击；然而，以上方案均基于“封装对象

在过期之前未受攻击”的理想假设，且不能抵抗第三种

类型的同时攻．ＳｅｌｆＤｏｃ不需要该前提假设也能实现组

合文档生命周期内的细粒度访问控制和过期后的安全

自毁

ＤＨＴ

攻击

网路的

，并具有简单高效的密钥管理机制

，还能抵抗第三种类型的同时攻击

Ｓｙｂｉｌ攻击，又能抵抗蛮力攻击和密码分析

；且既能抵抗

，因而是安全的

第　２　期

［５］

熊金波：基于属性加密的组合文档安全自毁方案

３７５

方案．此外，在ＩＳＤＳ中，由于组合文档创建者需要知

道所有参与者的身份信息，存在可能的身份隐私泄露

问题，而ＳｅｌｆＤｏｃ利用属性集合实现对称密钥的加密，有

效地保护了参与者的身份隐私，是比ＩＳＤＳ更优的解决

方案．在ＳｅｌｆＤｏｃ中，还可以引入权重属性基加密机

［２２］

制

，将组合文档属性集和参与者属性集中的属性赋

予不同的权值，除了满足门限约束外，还需满足属性的

权重条件才能从授权中心获得ＡＢＥ私钥，以解密出密

钥映射记录名和访问密钥，实现组合文档生命周期内

更细粒度的访问控制策略．

［Ａ］．Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ１１ｔｈＡＣＭｓｙｍｐｏｓｉｕｍｏｎＤｏｃｕｍｅｎｔ

Ｅｎｇｉｎｅｅｒｉｎｇ［Ｃ］．ＮｅｗＹｏｒｋ：ＡＣＭ，２０１１．２６９－２７２．

［２］ＢＡＬＩＮＳＫＹＨ，ＳＩＭＳＫＥＳＪ．Ｄｉｆｆｅｒｅｎｔｉａｌａｃｃｅｓｓｆｏｒｐｕｂｌｉｃｌｙ－

ｐｏｓｔｅｄｃｏｍｐｏｓｉｔｅｄｏｃｕｍｅｎｔｓｗｉｔｈｍｕｌｔｉｐｌｅｗｏｒｋｆｌｏｗｐａｒｔｉｃｉ－

ｐａｎｔｓ［Ａ］．Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ１０ｔｈＡＣＭＳｙｍｐｏｓｉｕｍｏｎＤｏｃｕ－

ｍｅｎｔＥｎｇｉｎｅｅｒｉｎｇ［Ｃ］．ＮｅｗＹｏｒｋ：ＡＣＭ，２０１０．１１５－１２４．

［３］ＢＡＬＩＮＳＫＹＨ，ＣＨＥＮＬＱ，ＳＩＭＳＫＥＳＪ．Ｐｕｂｌｉｃｌｙｐｏｓｔｅｄｃｏｍ－

ｐｏｓｉｔｅｄｏｃｕｍｅｎｔｓｗｉｔｈｉｄｅｎｔｉｔｙｂａｓｅｄｅｎｃｒｙｐｔｉｏｎ［Ａ］．Ｐｒｏｃｅｅｄ－

ｉｎｇｓｏｆｔｈｅ１１ｔｈＡＣＭＳｙｍｐｏｓｉｕｍｏｎＤｏｃｕｍｅｎｔＥｎｇｉｎｅｅｒｉｎｇ

［Ｃ］．ＮｅｗＹｏｒｋ：ＡＣＭ，２０１１．２３９－２４８．

表２　各方案抵抗攻击能力比较

攻击类型

ＤＨＴ网络攻击传统攻击

方案跳跃攻击嗅探攻击蛮力攻击密码分析

同时攻击

Ｖａｎｉｓｈ

［６］

不能抵抗不能抵抗不能抵抗不能抵抗不能抵抗

ＳａｆｅＶａｎｉｓｈ

［１５］

能够抵抗能够抵抗不能抵抗不能抵抗不能抵抗

ＳＳＤＤ

［１２］

能够抵抗不能抵抗能够抵抗能够抵抗不能抵抗

［５］

能够抵抗能够抵抗能够抵抗能够抵抗不能抵抗

ＳｅｌｆＤｏｃ

ＩＳＤＳ

能够抵抗能够抵抗能够抵抗能够抵抗能够抵抗

６　结论

　　在云服务环境中，组合文档工作流将发挥重要作

用．包含隐私信息的组合文档工作流在处理结束后的

隐私信息保护机制往往被研究者们忽视．本文提出了

一种ＳｅｌｆＤｏｃ方案，引入多级安全思想创新组合文档结

构，将基于属性的加密机制和ＤＨＴ网络融合到组合文

档工作流的设计和处理中，以实现组合文档生命周期

内的细粒度访问控制，以及过期后的安全自毁，从而为

组合文档提供全生命周期隐私保护

ＳｅｌｆＤｏｃ

类型的攻击

方案不需要理想的前提假设

．安全性分析表明

，是安全的解决方案．

，且能够抵抗三种

，

本文是组合文档过期后隐私保护的初步研究成

果，是属性加密机制和隐私保护研究领域的扩展，为进

一步的研究提供思路．下一步工作的重点为：（１）在云

计算开源软件ＯｐｅｎＳｔａｃｋ的分布式存储Ｓｗｉｆｔ平台

［２３］

上，

引入主动存储对象

Ｓｗｉｆｔ

统，实现

中，开发一个云服务环境中组合文档安全自毁系

，将ＣＳＯ设计成主动对象存储在

ＳｅｌｆＤｏｃ方案中ＣＳＯ在云端的安全删除；（２）基

于Ｐａｉｒｉｎｇ－ＢａｓｅｄＣｒｙｐｔｏｇｒａｐｈｙＬｉｂｒａｒｙ平台

［２４］

，在密文策略

属性基加密工具集

［２５］

的基础上对ＳｅｌｆＤｏｃ方案中的多

项式时间算法进行仿真实验，测试该方案的计算开销

和执行效率，并与已有方案进行性能对比分析与评价．

　　致谢　感谢匿名评审专家给本文提出的改进意

见．

参考文献

［１］ＢＡＬＩＮＳＫＹＨ，ＳＩＭＳＫＥＳＪ．Ｓｅｃｕｒｅｄｏｃｕｍｅｎｔｅｎｇｉｎｅｅｒｉｎｇ

［４］李凤华，苏

本文标签： 文档组合密钥密文方案