27、基于ABE的ICN内容访问控制方案解析

基于ABE的ICN内容访问控制方案解析

1. 引言

信息中心网络（ICN）是一种全新的网络架构，旨在克服基于IP的网络架构的弱点。与传统网络建立通信主机之间的连接不同，ICN聚焦于网络中传输的内容（即数据）。在ICN里，如何定位和访问所需内容至关重要。部分现有解决方案借助名称解析服务来解析内容名称，这与DNS服务类似；其他方案则基于按名称路由的机制，将内容名称视为类似使用IP地址的现有路由协议。

ICN中的内容副本可在不同位置缓存，一旦内容发布，就脱离了所有者的直接控制。因此，对分布式内容副本实施访问控制策略在ICN中极为关键。基于属性的加密（ABE）是在这种环境中实施此类控制机制的可行方法，它能将访问策略嵌入内容，而不依赖缓存提供的安全机制。然而，在ICN中应用ABE面临两大挑战：从管理角度看，以分布式方式管理属性十分复杂；从隐私保护角度看，与传统网络不同，ICN中实施的内容访问策略对所有用户公开，所以希望未授权的内容查看者无法获取访问策略。

为解决这些问题，提出了一种用于ICN的隐私保护访问控制方案及其相应的属性管理解决方案，该方案与现有的基于扁平名称的ICN架构兼容。

2. ICN架构概述

传统网络方案中，网络实体若要访问信息内容，需依据网络路由协议定位并连接到提供该服务的服务器，信息与服务器位置紧密关联，网络围绕内容消费者和提供者之间的连接构建，连接状态是网络的重要因素。

随着大部分网络流量为视频共享，多种ICN架构应运而生。在ICN架构中，网络核心从消费者 - 服务器连接转变为消费者 - 内容连接。网络不再识别内容所有者的地址，而是识别分散在网络中的真实内容副本。消费者无需知晓内容副本的位置（即内容所有者的IP地址），而是通过内容名称找到内容副本。内容所有者发布的内容可通过网络缓存复制并分发到整个网络，网络缓存通常是专门用于存储的服务器或具有有限存储能力的普通网络实体，这种设计能更高效地将内容交付给消费者。

然而，ICN的高效设计也给内容缓存和检索带来了安全挑战，传统访问控制机制难以在这种环境中实施，因为内容所有者和消费者没有直接连接，所有者无法控制分布式网络缓存。为对内容实施访问控制，虽已提出多种框架，但大多需要额外的权威机构或安全通信通道来认证每个内容消费者，过于依赖传统控制方案，在实践中效率不高，尤其在移动ICN环境中。因此，通过加密方法实施数据访问控制来保护内容是更自然的选择，只要设计得当，只有拥有适当加密密钥的合法用户才能访问数据内容。

3. 方案主要贡献

• 属性排名和访问权限管理 ：能够对属性进行排名并管理访问权限，可灵活构建现实场景中的数据访问策略，同时内容访问策略得到保密保存，即使不合格的消费者勾结也无法推导数据访问策略。
• 命名方案 ：为ICN网络提出一种命名方案，将灵活的属性管理解决方案与隐私保护访问策略相结合。
• 降低开销 ：显著降低潜在消费者确定其访问内容资格的计算和通信开销。

4. 相关工作

4.1 ICN解决方案

方案名称	部署位置	命名方式	内容检索方式	特点
组合广播与基于内容的（CBCB）路由	应用层	-	消费者以属性组合形式广播兴趣，兴趣在网络中传播，路由器根据谓词更新接口相关兴趣，内容传输时与谓词比较确定转发接口	基于发布/订阅方案发布内容
面向数据的网络架构（DONA）	IP层之上	P: L，P为所有者公钥的哈希，L为所有者分配的唯一标签	所有者发布时将内容注册到名称解析系统，消费者使用该系统查找最近的内容副本，系统返回内容副本或内容位置的IP地址	-
信息网络（NetInf）	-	类似DONA，但使用单独的公/私钥对生成摘要	使用多级分布式哈希表（DHT）进行名称解析，内容所有者需在DHT的三个级别注册内容，内容查找从最低级别向上进行，不成功则使用专用解析系统辅助	-
发布 - 订阅互联网技术（PURSUIT）	-	类似DONA	检索内容位置的结构不同，涉及拓扑信息和负载平衡，使用布隆过滤器进行源导向路由将内容副本转发给消费者	-
命名数据网络（NDN）	-	名称由多个组件组成，可为可读字符串或内容摘要	使用名称执行类似当前基于IP的路由过程，名称表维护名称前缀和相应接口或数据，内容请求的响应可以是内容本身	旨在替代IP而非作为IP之上的层

部分研究致力于将NDN应用于移动网络环境，现有移动ICN研究主要集中在底层网络机制，在高层机制（如访问控制）方面，传统ICN和移动ICN除了底层网络相关因素（如移动性和移动相关延迟）外，差异不大。

目前的ICN解决方案在网络效率和安全方面有所关注，但内容访问控制和内容隐私问题未得到很好解决。例如，有独立的访问控制体系通过中继方（RP）连接到ICN结构，由访问控制提供者（ACP）创建和执行访问策略，但消费者获取内容需要更多网络交互；还有方案将文件分块与“掩护”内容混合后发布，虽一定程度满足安全和隐私要求，但过程复杂，且安全通道要求在许多ICN应用场景中难以满足。

4.2 ABE方案

ABE方案源于基于身份的加密（IBE），旨在使用用户ID作为非对称加密的公钥。此后，J. Bethencourt等人引入了密文策略ABE（CP - ABE）方案，该方案根据用户的现实身份和角色为其分配一组属性，每个属性对应一个私钥组件。加密者构建指定密文成功解密条件的策略，该策略与密文一起以明文形式传输，不具备满意属性组合的用户无法解密密文。此方案能为单个消息提供访问控制，内容所有者可指定所需的属性组合而无需了解接收者的密钥凭证，且对勾结攻击者具有安全性。

然而，原始的CP - ABE方案不太适合ICN场景，因为其策略以明文传输。在传统网络中，用户访问前需认证，但在ICN中内容发布后所有者无法控制，任何能访问密文的网络用户都能获取策略，攻击者可据此推断消息的敏感性和涉及的用户身份，进而针对高价值用户进行攻击。

为将策略隐藏在密文中，提出了一些方案，攻击者即使执行解密过程也无法获取策略信息，但这些方案为保证安全牺牲了效率，解密方需进行大量计算。为节省不合格用户的计算资源，有方案逐步暴露策略属性，使解密方在某一步失败时可停止解密，但会暴露导致解密失败的属性，且仅支持与门操作，限制了策略的灵活性。

为进行属性管理，有人提出基于双线性映射的区间比较加密方案，本文采用区间比较的思想并应用于隐藏策略的基于属性的加密算法。相比之下，本文提出的方案允许使用或门，更具灵活性，且不合格节点无法获取策略中其不具备的任何属性信息。

5. 系统与模型

在典型的ICN系统中，有内容所有者、内容消费者和内容缓存三种角色，它们可由同一网络实体同时担任。以医疗保健为例，内容所有者可以是患者，内容消费者可以是护士或医生，内容缓存是存储加密内容的服务器。

在ICN网络中，用户通过名称搜索服务（NSS）获取内容名称，再通过基于名称的路由（NR）系统根据名称获取内容。此外，系统还包括一个可信第三方（TTP），它为网络设置基于属性的访问控制（ABAC）和基于属性的加密（ABE）相关的公共参数，并帮助为实体分配和管理属性。

在该方案中，每个网络实体都关联一个唯一标识符（UID）和一组属性，UID可视为特殊属性。

下面是ICN系统角色交互的mermaid流程图：

graph LR
    A[内容所有者] -->|发布内容| B[内容缓存]
    C[内容消费者] -->|获取内容名称| D[NSS]
    C -->|根据名称请求内容| E[NR系统]
    E -->|查找内容| B
    B -->|返回内容| C

6. ABE - 基于的ICN命名方案

该方案的核心是基于ABE的命名方案，它受ABE方案的启发，仅需在网络中增加一个可信第三方（TTP），并能无缝集成到现有的扁平名称ICN架构中。

具体操作步骤如下：
1. 属性分配 ：在TTP的帮助下，根据网络实体的真实身份为其分配一组属性。例如，在医疗保健场景中，患者可能具有“患者”属性，护士具有“护士”属性，医生具有“医生”属性等。
2. 访问控制策略制定 ：内容的访问控制策略基于属性的与（AND）和或（OR）操作组合。比如，对于某些敏感的患者病历内容，访问策略可以设定为“医生 AND 主治医生”。
3. 策略嵌入 ：该策略根据内容名称而非内容本身来执行。也就是说，在内容名称中嵌入访问控制策略的相关信息。
4. 隐私保护 ：为内容访问策略提供隐私保护，只有合法的内容消费者才能获取部分加密策略并解密密文内容。例如，通过加密算法将策略信息隐藏在内容名称中，非法用户即使获取了内容名称也无法解析出策略。
5. 资格识别 ：用户能够在实际访问和处理数据内容之前，通过加密名称识别其访问内容的资格。例如，用户可以根据自己持有的属性与加密名称中的策略信息进行比对，判断自己是否有访问权限。
6. 属性比较 ：为支持本体在属性管理中的应用，该方案允许属性之间的比较，从而对属性进行排名并关联不同的权限。例如，“医生”属性的权限高于“护士”属性。

7. 性能评估与安全分析

7.1 性能评估

性能评估主要关注该方案在计算和通信方面的开销。通过对比传统方案，该方案显著降低了潜在消费者确定其访问内容资格的计算和通信开销。具体体现在以下几个方面：
- 计算开销 ：由于采用了更高效的加密算法和策略嵌入方式，减少了不必要的计算步骤。例如，在属性比较和权限判断时，使用了优化的算法，降低了计算复杂度。
- 通信开销 ：消费者在获取内容时，无需进行大量的网络交互来验证权限。通过加密名称中的策略信息，消费者可以在本地进行初步的权限判断，减少了与服务器的通信次数。

7.2 安全分析

安全分析主要考虑该方案在面对各种攻击时的安全性。该方案具有以下安全特性：
- 策略保密 ：内容访问策略得到保密保存，即使不合格的消费者勾结也无法推导数据访问策略。攻击者无法从加密名称中获取策略信息，从而保护了内容的敏感性。
- 抗攻击能力 ：对常见的攻击（如勾结攻击、窃听攻击等）具有较强的抵抗能力。例如，在面对窃听攻击时，由于策略信息是加密的，攻击者无法获取有价值的信息。

8. 总结

本文提出的基于ABE的ICN内容访问控制方案，通过将灵活的属性管理解决方案与隐私保护访问策略相结合，解决了ICN架构中内容访问控制和隐私保护的难题。该方案具有以下优点：
1. 灵活性 ：能够对属性进行排名和管理访问权限，可根据不同的现实场景灵活构建数据访问策略。
2. 兼容性 ：与现有的基于扁平名称的ICN架构兼容，无需对现有网络架构进行大规模改造。
3. 高效性 ：显著降低了潜在消费者确定其访问内容资格的计算和通信开销，提高了系统的性能。
4. 安全性 ：为内容访问策略提供了隐私保护，有效抵御各种攻击，保障了内容的安全。

以下是该方案优点的总结表格：
| 优点 | 描述 |
| ---- | ---- |
| 灵活性 | 可灵活构建数据访问策略 |
| 兼容性 | 与现有ICN架构兼容 |
| 高效性 | 降低计算和通信开销 |
| 安全性 | 保护策略隐私，抵御攻击 |

未来，随着ICN技术的不断发展，该方案有望在更多的领域得到应用，如智能医疗、物联网等，为这些领域的数据安全和隐私保护提供有力支持。

下面是该方案整体流程的mermaid流程图：

graph LR
    A[TTP] -->|属性分配| B[网络实体]
    C[内容所有者] -->|制定策略| D[内容名称]
    D -->|嵌入策略| E[加密内容名称]
    F[内容消费者] -->|获取名称| E
    F -->|判断资格| G{是否有资格}
    G -- 是 --> H[访问内容]
    G -- 否 --> I[无访问权限]