推荐星级：

改进的物联网感知层访问控制策略

更新时间：2019-12-24 06:58:10 大小：1M 上传用户：xiaohei1810 查看TA发布的资源 标签：物联网 下载积分：1分评价赚积分（如何评价?）打赏收藏评论(0) 举报

资料介绍

针对当前物联网感知层中海量终端节点访问控制策略可适应性以及运行效率的不足,提出一种高效的访问控制策略.一方面,该策略采用基于属性的访问控制(ABAC)机制,规范了ABAC形式化定义,给出了物联网感知层下的访问控制策略框架,实现了更加细粒度的授权;另一方面,该策略采用了一种改进的密文策略基于属性加密(CP-ABE)算法,引入了析取范式结构,用DNF树替代传统CP-ABE算法中AND/OR访问树结构,有效地简化了计算,提高了系统运行效率.通过实验分析,该策略相比传统的访问控制方法减少了系统的时间开销,在物联网环境下更具适应性和优越性.

部分文件列表

文件名	大小
改进的物联网感知层访问控制策略.pdf	1M

立即下载

【关注视频号领20积分】【关注公众号立即送20积分】

部分页面预览

（完整内容请下载后查看）

43—1258／TP

计算机工程与科学

第37卷第7期2015年7月

ISSN 1007—130X

V01．37，No．7．Jul．2015

Computer Engineering&Science

文章编号：1007一t30X(2015)07—1265—07

改进的物联网感知层访问控制策略。

蔡

婷1，陈昌志1，欧阳凯2，周敬利2

(1．重庆邮电大学移通学院计算机系，重庆401520；2．华中科技大学计算机学院，湖北武汉430074)

摘要：针对当前物联网感知层中海量终端节点访问控制策略可适应性以及运行效率的不足，提出一

种高效的访问控制策略。一方面，该策略采用基于属性的访问控制(ABAC)机制，规范了ABAC形式化

定义，给出了物联网感知层下的访问控制策略框架，实现了更加细粒度的授权；另一方面，该策略采用了一

种改进的密文策略基于属性加密(CP—ABE)算法，引入了析取范式结构，用DNF树替代传统CP—ABE算

法中AND／OR访问树结构，有效地简化了计算，提高了系统运行效率。通过实验分析，该策略相比传统

的访问控带j方法减少了系统的时间开销，在物联网环境下更具适应性和优越性。

关键词：物联网；感知层；ABAC；访问控制；CP—ABE；策略

中图分类号：TP309．2

文献标志码：A

doi：10．3969／j．issn．1007—130X．2015．07．007

access control

for

IoT

improved

strategy

perceptual layer

CAI

Kai2，ZHOU

Jing—li2

Tin91，CHEN Chang—zhil，OUYANG

Mobile Telecommunications。

(1．Department

Computer，College

of Posts and

Chongqing University

Telecommunications，Chongqing 401520；

of Science and

Technology，Wuhan430074，China)

2．College

Computer，Huazhong University

to the massive terminal nodes in the Internet of

traditional access

Abstract：DHe

control

Things(IoT)，the

confront

and

improving adaptability efficiency．Therefore，we present

strategies

challenges

strategy．Based

an access control frame for the

efficient access control

on ABAC

mechanism。we formalize the formal definition of

perceptual layer

achieves

by using

fine—

ABAC，and

loT，which

design

introduce

_disjunctive normal form structure

authorization．Moreover，we

grained

improved

CP—ABE

the access tree structure in the traditional CP-ABE _{algorithm，which}effec—

algorithm

replace

the calculation and

the

of the

system．Evaluation

demon—

experiments

tively simplifies

improves

control

efficiency

reduces the time cost of the

strate that

daptability

access

the

has better a—

proposed

strategy

in the loT environment than the

system，and

and

traditional

superiority

strategies．

words：Internet

Key

Things(IoT)；perceptual layer；ABAC；access control；CP—ABE；strategy

现实物品和互联网络通过各种信息传感设备连接

起来，进行信息交换和通信，以达到对物品的识别、

定位、跟踪、监控和管理目的。目前物联网的定义

引言

随着计算机、互联网、移动通信技术的不断发

展，物联网作为一种新生代的信息技术产业，已经

成为当前世界新一轮经济和科技发展的战略制高

点Ⅲ。物联网的具体含义是指按照约定的协议，把

和范畴已经从因特网的计算机一计算机、人一计算

机、人一人之间的交互进一步延伸和扩展到物一物之

间的信息交换和信息处理[2]。按照物联网的网络

架构可以在逻辑上将其分为感知层、传输层和处理

*收稿日期：2014—10—17；修回日期：2014—11-26

基金项目：重庆市本科高校“三特行动计划”特色专业建设项目(渝教高(2013)49号)；重庆市教委科学技术研究项目(KJl402002)

通信地址：401520重庆市合川区重庆邮电大学移通学院计算机系

of Mobile

of Posts and

Telecommunications，

Address：Department

Computer，College

401520，P．R．China

Telecommunications，Chongqing University

Hechuan

District，Chongqing

万方数据

1266

Computer Engineering&Science计算机工程与科学2015，37(7)

层，其中，由射频识别(RFID)、红外线、GPS、传感

器等技术构成的物联网感知层是主要的研究热点，

也是物联网发展面临的主要挑战之一[3~5]。

2物联网环境下的ABAC策略

感知层包含海量的由RFID标签和感应器连

入物联网的终端节点，利用RFID、蓝牙、红外等短

距离传输技术采集周边信息，经由无线传感网进行

数据传输，并为用户提供相应的数据访问叩]。物联

网技术迎来高速发展契机的同时，也面临着诸多的

技术难题。首先，随着物联网规模的壮大，众多不

同功能、不同接口、不同控制方式的终端促使物联

网节点类型呈现多样化趋势，这些异构的终端节点

加大了物联网感知层节点管理和访问控制的复杂

性。且由于感知节点提供的数据类型往往只允许

用户访问或拒绝访问，因此传统的访问控制策略并

不适合物联网环境[7‘8]。其二，密码机制作为一项

重要的安全防范技术被物联网系统广泛采用。然

而，物联网是一个“物物相连”的网络，其感知节点

可以是任何物品，各种节点智能程度差异较大，许

多节点并不具备较强的计算能力。因此，物联网中

的加密算法不仅要满足数据的机密性要求，还要充

分考虑算法进行加密和解密计算的时间开销。寻

求高效、灵活的访问控制策略能够很好地改善或解

决以上两个技术问题。目前学术界针对访问控制

策略已经展开了大量的研究，先后提出了诸如

DAC、MAC、RBACE9|、DBACEl 、ABAC(Attribute

在分布式这种开放的网络环境中，传统的基于

角色的访问控制(RBAC)表现出极大的不适应

性"]。对物联网而言，感知层分布着海量异构节

点，传统的基于角色一用户的授权方式会导致角色

表变得庞大、复杂，缺乏灵活性和可扩展性。基于

属性的访问控制ABAC针对目前分布式环境下的

细粒度访问控制和大规模用户动态扩展问题，提出

基于实体的属性进行授权，通过对主体、客体、权限

和环境属性的统一建模，实施授权访问控制约

束口“。为此，本文考虑将ABAC访问控制机制引

入物联网中，利用其在分布式网络中的适应性，构

造出一种物联网环境的ABAC访问控制方法。

2．1

ABAC模型的形式化定义

目前，ABAC还没有统一的形式化定义。本

文尝试对ABAC形式化定义如下：

定义1 ABAC授权访问控制关系可以抽象

化为四元组(S，R，P，E)，其中S表示主体，R表

示资源，P表示权限，E表示环境，且分别由主体

属性SA、客体属性RA、权限属性PA和环境属

性EA所确定。

定义2实体属性ATTR是描述实体固有特

征的变量，可以抽象化为一个二元组

ATTR(att frame，att value)，其中att name和

art—zalue分别表示属性名称和属性取值。并且定

义主体属性表示为S。(1 k K)，资源属性表示

为R，。(1 m M)，操作属性表示为P。(1 t

T)，环境属性表示为E。(1 竹 N)。

Based Access

Contr01)口妇等多种访问控制模型以

Attribute—Based

及KP—ABE(Key—Policy

Encryp—

Attribute—

tion)‘121和CP—ABE(Ciphertext—Policy

Based

Encryption)[1胡等经典的数据加密算法，为

解决该问题提供了思路。随着物联网技术的兴起，

学术界对于物联网感知层的安全研究主要是对现

有工作进行扩展，如基于偏序关系的分层多用户访

定义3

ATTR(S)、ATTR(r)、ATTR(P)、

ATTR(P)分别表示主体S、资源R、操作P、环境E

的属性赋值关系，则有：ATTR(S)一(SA。，SA。，

，SAK)SSAl× SA2× X SAK；ATTR(r)一

(RAl，RA2，，RAM) RAl× RA2× × RAM；

A丁丁R(P)一(PA。，PA2，，PAr) PAl× PA2×

× PA丁；A丁TR(e)一(EAl，EA2，，EAN)

EAl× EA2× × EAN。

6I、基于

问控制口“、无线传感网络中的密钥管理口5J

属性的访问控制机制口7。1叼以及安全的路由算法和

有效的容错机制～20’21|。但是，鲜有工作涉及对物

联网环境提出的基于多种安全防范措施融合的解

决策略。

本文在物联网感知层的安全技术的范畴内展

开了研究，提出了一种基于物联网感知层的细粒

度、安全并且高效的访问控制策略。该策略基于

ABAC访问控制模型，利用改进的CP—ABE算法

为数据的细粒度访问控制提供加密方案，减少了访

问控制的时间开销，提高了系统的性能。最后进行

了访问控制策略的效率测试实验，仿真数据验证了

改进方案的可行性和性能优势。

定义4属性谓词以p用来约束特定属性名称

rt—mme对应的att—value取值范围。ABAC中

采用相关的属性谓词对主体S、资源R、环境E进

行约束，记为：SAP—sap】^sap2 A ^sapt，

2^ A

RAP—rapl^rap

rap。，EAP—eapl^

eap。八 ^eap。，其中SAP表示主体属性谓词，

RAP表示资源属性谓词，EAP表示环境属性谓

万方数据

1267

蔡

婷等：改进的物联网感知层访问控制策略

词。

多且复杂，简单的门限方案并不能实现灵活的访问

控制，故本文考虑将访问决策树应用在物联网中。

基于访问树的加密机制主要有密钥策略的基于属

性加密机制KP—ABE和密文策略的基于属性加密

机制CP—ABE[12’”]。其中，CP—ABE是Bethen—

定义5 ABAC的访问控制策略规则用布尔

函数来描述，一条访问控制规则对应于一个基于

S、R、P、E的布尔函数，用于判断一个主体S能否

在环境E下对资源R进行P操作。

Rule：Call

court

access(S，R，P，E)一厂(ATTR(s)，

J等人[2胡基于属性加密(ABE)机制提出的，

ATTR(，．)，ATTR(声)，ATTR(P))，函数根据各参

数的返回值进行判断。其中，f(ATTR(s)，

ATTR(r)，ATTR(p)，ATTR(P))的返回值集合

为{permit，deny，unknown}，如果返回true，

POE(印)一permit，表示允许访问；如果返回

false，POE(po)一deny，表示拒绝访问；其他异常

情况时，POE(po)一unknown，表示访问请求无法

判定。

因其加密的主动权在服务器端而比KP—ABE策略

具有更强的灵活性，更适合大规模分布式网络的访

问控制，故本文选取CP—ABE算法为访问控制策

略中的加密方案。然而，CP—ABE算法中存在大量

基于椭圆曲线的公钥计算，解密过程中繁琐的双线

性对运算直接影响到算法的运行效率，尤其对一些

高敏感度的资源，算法中访问树的叶节点粒度将变

得无比庞大，大大加重了物联网节点的计算负担。

因此，本文提出一种改进的CP-ABE算法，通过引

Normal

2．2

ABAC策略框架

入析取范式DNF(Disjunctive

Form)结

ABAC访问控制模型将环境变量纳入其中，

能够很好地解决物联网应用中外界环境对于访问

控制的制约问题。本文在传统ABAC框架模

型[2胡的基础上定义了如图1所示扩展框架。

构，用DNF访问树替代传统CP—ABE的访问树结

构，以减少加解密过程中双线对计算次数，为物联

网感知层提供一种安全且轻量级的访问控制策略。

access request

access

3．1相关概念

定义6(属性) 假设所有属性的集合为S且

S一{S。，S：，，S。)，那么每个用户属性A则可以

表示成s的一个非空子集：A {S，，s：，，S。)，

N个属性可以鉴别2～个用户。

Structure))

Point

定义7(访问结构AS(Access

访

AA：Attnbute

L)eClslOri

Authority PDP：Pohcy

ARR：Attribute-based resource

Requirement

问结构AS是全集{S。，S。，，S。)的一个非空子

集，AS[2(s，’5z’ ～”’／黟。AS代表一个属性判断

EnforcementPoint

PEP：Policy

PA：Policy Authority

Extended framework of ABAC IoT

Figure

条件，用于抽象属性匹配模式，包含于AS集合中

的属性集称为可授权集，不包含在AS集合中的属

性集称为非授权集。

图1 物联网环境下扩展的ABAC框架

图1反映了物联网环境下ABAC的授权策略：

(1)用户发出访问请求，系统依据用户所持公

钥验证用户身份是否合法；

Structure))

定义8(门限结构TS(Threshold

门限结构是指一个逻辑运算单元的结构，以基础

(￡，行)门限结构为例，其中靠表示该门限可以有竹

个输入，节点具备的属性￡(t 行)代表限定能否通

过该门限的阈值。

(2)身份验证通过，发送访问请求信息到策略

执行点(PEP)，PEP依据属性权威(AA)的相关记

录，建立请求主体的基于属性的访问请求(ARR)

并传递给策略判决点(PDP)；

Tree))

定义9(访问树AT(Access

用来描

(3)结合策略机构(PA)中判决策略，由PDP

对ARR进行判决并将结果反馈给PEP；

(4)PEP依据反馈结果执行是否授权主体对

资源的访问，并告知请求用户。

述访问结构AS的访问树AT是(￡，行)门限结构的

扩展。在AT中，叶子节点用来表示属性值，内部

节点用来表示具体的关系函数，例如AND(卵of

押)、OR(1

of，z)以及以of m(优>胛)门限函数等。

其实现过程是：AT中每个节点对应定义一个多项

式，节点遍历方式遵循树的先序遍历规则。

定义10(析取范式DNF) 用连词V把几个

3改进的CP-ABE策略

安全可靠的密码机制是保证访问控制机制顺

公式连接起来所构成的公式叫做析取。在布尔逻

利实施的关键。由于物联网节点的异构性、属性繁

万方数据

全部评论(0)

暂无评论

评论赚积分>>

上传资源上传优质资源有赏金

改进的物联网感知层访问控制策略

资料介绍

部分文件列表

部分页面预览

相关下载

全部评论(0)

热门标签

最新上传

热门下载

推荐下载

专栏首页