一种电子产品码的访问控制系统及其访问控制方法
【专利摘要】本发明属于物联网信息安全【技术领域】，提供了一种电子产品码的访问控制系统及其访问控制方法。该系统及其访问控制方法应用了基于第三方的可撤销属性加密技术，将表征物品信息的电子产品码信息以密文形式存储，并通过在仲裁机中设置属性撤销列表来控制标签阅读器的解密权限，实现了对电子产品码信息的密文访问控制，弥补了当前电子产品码识别系统在隐私保护方面的不足。同时，由于是以属性作为访问控制的基本单元，因此该访问控制系统可实现细粒度访问控制，可阻止任何非授权标签阅读器对物品信息的非法访问，有效保障了存储在EPCIS中物品信息的隐私性。
【专利说明】—种电子产品码的访问控制系统及其访问控制方法
【技术领域】
[0001]本发明属于物联网信息安全【技术领域】，尤其涉及一种电子产品码的访问控制系统及其访问控制方法。
【背景技术】
[0002]电子产品码(Electronic Product Code, EPC)是一种采用射频电子标签为载体，借助互联网实现信息传递的物品识别代码。在射频电子标签上仅载有EPC，而对EPC的解析则需通过识别系统完成。
[0003]图1示出了现有技术提供的电子产品码的识别系统。首先，标签阅读器扫描贴在物品上的载有电子产品码的标签，提取该标签上存储的EPC，并发送给中间件；中间件在对EPC进行处理后,通过互联网提交给对象名称解析服务器(Object Name Service, 0NS)；0NS查找存放此EPC的电子产品码信息系统(Electronic Product Code Information System,EPCIS)的地址，并通过中间件向标签阅读器返回EPCIS地址；标签阅读器之后根据此地址访问EPCIS，并获取存储在EPCIS中的物品信息。
[0004]该电子产品码的识别系统通过射频识别技术将物品纳入到网络之中，标签阅读器通过网络可随时任意地访问物品信息，其开放性在带来极大便利的同时，使得EPCIS中存储的物品信息极易遭受窃取、篡改、删除等攻击。
【发明内容】
[0005]本发明实施例的目的在于提供一种电子产品码的访问控制系统，旨在解决现有的电子产品码的识别系统中，标签阅读器通过网络可随时任意地访问物品信息，使得EPCIS中存储的物品信息极易遭受窃取、篡改、删除等攻击的问题。
[0006]本发明实施例是这样实现的，一种电子产品码的访问控制系统，所述系统包括:
[0007]注册机，用于建立公共参数和主私钥，并在接收到注册请求且所述注册请求满足条件时，输出第一私钥和第二私钥；
[0008]电子产品码信息系统，用于存储电子产品码信息的密文以及对应密钥的密文，并在接收到标签信息访问请求后，将所述电子产品码信息的密文以及所述对应密钥的密文的一部分作为第一密文发送，并将所述对应密钥的密文的另一部分作为第二密文发送；
[0009]标签阅读器，用于向所述注册机发送所述注册请求，接收所述第一私钥并存储，之后扫描载有电子产品码的标签，向所述电子产品码信息系统发送所述标签信息访问请求，并接收所述电子产品码信息系统发送的所述第一密文，之后接收中间结果，并利用所述中间结果、所述第一私钥和所述第一密文解密得到所述电子产品信息码信息；
[0010]仲裁机，用于存储表征所述标签阅读器的设备识别码及其对应属性之间对应关系的属性撤销列表，接收所述注册机输出的所述第二私钥，接收所述电子产品码信息系统发送的所述第二密文及所述标签阅读器的设备识别码，并通过查找所述属性撤销列表而识别到所述标签阅读器的现有属性满足访问结构时，根据所述第二私钥和第二密文生成并返回所述中间结果给所述标签阅读器。
[0011]本发明实施例的另一目的在于提供ー种如上所述的电子产品码的访问控制系统的访问控制方法，所述方法包括以下步骤:
[0012]S1:注册机建立公共參数和主私钥；
[0013]S2:标签阅读器向所述注册机发出注册请求，若所述注册机确认所述注册请求满足要求，则生成第一私钥和第二私钥，并将所述第一私钥发送给所述标签阅读器，将所述第ニ私钥发送给仲裁机；
[0014]S3:所述标签阅读器扫描载有电子产品码的标签，向电子产品码信息系统发送标签信息访问请求；
[0015]S4:所述电子产品码信息系统在接收到所述标签信息访问请求后，将电子产品码信息的密文以及对应密钥的密文的一部分作为第一密文发送给标签阅读器，并将标签阅读器的设备识别码、以及所述对应密钥的密文的另一部分作为第二密文发送给所述仲裁机；
[0016]S5:当所述仲裁机通过查找属性撤销列表，识别到所述标签阅读器的现有属性满足访问结构时，根据所述第二私钥和所述第二密文生成并返回中间结果给所述标签阅读器；
[0017]S6:所述标签阅读器利用所述中间结果、所述第一私钥和所述第一密文解密得到电子产品信息码信息。
[0018]本发明提出的电子产品码的访问控制系统及其访问控制方法应用了基于第三方的可撤销属性加密技术，将表征物品信息的电子产品码信息以密文形式存储，并通过在仲裁机中设置属性撤销列表来控制标签阅读器的解密权限，实现了对电子产品码信息的密文访问控制，弥补了当前电子产品码识别系统在隐私保护方面的不足。同吋，由于是以属性作为访问控制的基本単元，因此该访问控制系统可实现细粒度访问控制，可阻止任何非授权标签阅读器对物品信息的非法访问，有效保障了存储在EPCIS中物品信息的隐私性。
【专利附图】
【附图说明】
[0019]图1是现有技术提供的电子产品码的识别系统的结构图；
[0020]图2是本发明实施例一提供的电子产品码的访问控制系统的结构图；
[0021]图3是本发明实施例ニ提供的电子产品码的访问控制系统的结构图；
[0022]图4是本发明实施例三提供的电子产品码的访问控制系统的访问控制方法的流程图；
[0023]图5是本发明实施例四提供的电子产品码的访问控制系统的访问控制方法的流程图。
【具体实施方式】
[0024]为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进ー步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
[0025]为了解决现有技术存在的问题，本发明提出了一种通过访问权限管理保护系统信息安全性的电子产品码的访问控制系统，该系统应用了基于第三方的可撤销属性加密技术，并对现有的基于第三方的可撤销属性加密技术在安全性和执行效率方面进行了改进。
[0026]实施例一
[0027]图2示出了本发明实施例一提供的电子产品码的访问控制系统的结构，为了便于说明，仅不出了与本发明实施例一相关的部分。
[0028]本发明实施例一中，电子产品码的访问控制系统包括:注册机14，用于建立公共参数和主私钥，并在接收到注册请求且注册请求满足条件时，输出第一私钥和第二私钥；电子产品码信息系统12，用于存储电子产品码信息的密文以及对应密钥的密文，并在接收到标签信息访问请求后，将电子产品码信息的密文以及对应密钥的密文的一部分作为第一密文发送，并将对应密钥的密文的另一部分作为第二密文发送；标签阅读器11，用于向注册机14发送注册请求，接收第一私钥并存储，之后扫描载有电子产品码的标签，向电子产品码信息系统12发送标签信息访问请求，并接收电子产品码信息系统12发送的第一密文，之后接收中间结果，并利用中间结果、第一私钥和第一密文解密得到电子产品信息码信息；仲裁机13，用于存储表征标签阅读器11的设备识别码及其对应属性之间对应关系的属性撤销列表，接收注册机14输出的第二私钥，接收电子产品码信息系统12发送的第二密文及标签阅读器11的设备识别码，并通过查找属性撤销列表而识别到标签阅读器11的现有属性满足访问结构时，根据第二私钥和第二密文生成并返回中间结果给标签阅读器11。其中，电子产品码信息是指电子产品码所携带的物品的详细信息。
[0029]本发明实施例一提供的电子产品码的访问控制系统应用了基于第三方的可撤销属性加密技术，将表征物品信息的电子产品码信息以密文形式存储，并通过在仲裁机13中设置属性撤销列表来控制标签阅读器11的解密权限，实现了对电子产品码信息的密文访问控制，弥补了当前电子产品码识别系统在隐私保护方面的不足。同时，由于是以属性作为访问控制的基本单元，因此该访问控制系统可实现细粒度访问控制，可阻止任何非授权标签阅读器对物品信息的非法访问，有效保障了存储在EPCIS中物品信息的隐私性。
[0030]实施例二
[0031]图3示出了本发明实施例二提供的电子产品码的访问控制系统的结构，为了便于说明，仅不出了与本发明实施例二相关的部分。
[0032]与实施例一不同，本发明实施例二中，电子产品码的访问控制系统还包括:加密单元15，用于采用加密算法随机产生密钥，并对电子产品码信息进行加密，得到电子产品码信息的密文，之后根据预设的电子产品码信息的访问结构，生成电子产品码信息对应密钥的密文，并将电子产品码信息的密文以及对应密钥的密文存储到电子产品码信息系统12中。
[0033]实施例三
[0034]图4示出了本发明实施例三提供的、实施例一或实施例二所述的电子产品码的访问控制系统的访问控制方法的流程图。
[0035]本发明实施例三中，电子产品码的访问控制系统的访问控制方法包括:
[0036]步骤S1:注册机建立公共参数和主私钥。步骤SI进一步可包括以下步骤:
[0037]Sll:设置安全参数入。
[0038]S12:定义阶为素数P的第一乘法群Gtl和第二乘法群G1，得到第一乘法群Gtl的生成元g，并定义双线性映射e = GtlX Gtl — Gp
[0039]S13:设置属性空间A= {a” a2,——，an}，对于该属性空间中每一属性Bi e A,随机选取ら二Z;,，并计算I] =g
[0040]S14:随机选取,并计算 u=ge、w=e (g, g) °。
[0041]S15:建立公共參数/^ わ={g,?, w,e,G0,G，以及主私钥 msk={ga}。
[0042]步骤S2:标签阅读器向注册机发出注册请求，若注册机确认该注册请求满足要求，则生成第一私钥和第二私钥，并将第一私钥发送给标签阅读器，将第二私钥发送给仲裁机。步骤S2进ー步可包括以下步骤:
[0043]S21:标签阅读器向注册机发出注册请求，该注册请求至少包括标签阅读器的设备识别码id及其属性集Aid。
[0044]S22:? A,gA吋，注册机确认该注册请求满足要求，则注册机随机选择Uid ，并计算vA , = 、skid ' = gauu'd。同时对于用户的每一属性Bi G Aid,注册机计算
/ =T
[0045]S23:注册机将第一私钥[SkidNaiGkb^skidi]发送给标签阅读器，并将第二私钥skid’发送给仲裁机。
[0046]步骤S3:标签阅读器扫描载有电子产品码的标签，向电子产品码信息系统发送标签信息访问请求。
[0047]步骤S4:电子产品码信息系统在接收到标签信息访问请求后，将电子产品码信息的密文Ek(m)以及对应密钥的密文的一部分作为第一密文发送给标签阅读器，并将标签阅读器的设备识别码id、以及对应密钥的密文的另一部分作为第二密文发送给仲裁机。
[0048]步骤S5:当仲裁机通过 查找属性撤销列表，识别到标签阅读器的现有属性满足访问结构时，根据第二私钥和第二密文生成并返回中间结果给标签阅读器。当仲裁机识别到标签阅读器的现有属性不满足访问结构时，返回错误标识FALSE给标签阅读器。
[0049]本发明实施例三中，属性撤销列表用于表征标签阅读器11的设备识别码及其对应属性之间对应关系，以方便对标签阅读器11进行权限管理，该属性用以表征载有电子产品码的标签所贴附于的商品的信息，例如，当载有电子产品码的标签贴附于某品牌洗发水时，该属性可以包括日化类、洗发水、XX品牌等。例如，当某ー标签阅读器11被撤销时，设定属性撤销列表中与该标签阅读器11对应的全部属性为已撤销；当标某ー签阅读器11的某一属性被撤销时，设定属性撤销列表中该标签阅读器11的该属性为已撤销；当系统中某一属性被撤销时，设定属性撤销列表中各标签阅读器11的该属性为已撤销。
[0050]步骤S6:标签阅读器利用中间结果、第一私钥和第一密文解密得到电子产品信息石马イ目息。
[0051]实施例四
[0052]图5示出了本发明实施例四提供的、实施例一或实施例二所述的电子产品码的访问控制系统的访问控制方法的流程图。
[0053]与实施例三不同，在实施例四中，电子产品码的访问控制系统的访问控制方法在步骤SI之前还包括:[0054]步骤SO :采用加密算法随机产生密钥，并对电子产品码信息进行加密，得到电子 产品码信息的密文，之后根据预设的电子产品码信息的访问结构，生成电子产品码信息对 应密钥的密文，并将电子产品码信息的密文以及对应密钥的密文存储到电子产品码信息系 统中。步骤so进一步可包括以下步骤：
[0055]S01 :采用高级加密标准（Advanced Encryption Standard, AES)加密算法随机产 生密钥k，并对电子产品码信息m进行加密，得到电子产品码信息的密文Ek (m)。
[0056]S02 :假设预设的电子产品码信息的访问结构r，该访问结构树的根节点值为S。 若需表达逻辑与的关系，且该访问结构树的子节点个数为n，则定义任意的n-1个子节点值
分别为随机数
【权利要求】
1.一种电子产品码的访问控制系统，其特征在于，所述系统包括: 注册机，用于建立公共参数和主私钥，并在接收到注册请求且所述注册请求满足条件时，输出第一私钥和第二私钥； 电子产品码信息系统，用于存储电子产品码信息的密文以及对应密钥的密文，并在接收到标签信息访问请求后，将所述电子产品码信息的密文以及所述对应密钥的密文的一部分作为第一密文发送，并将所述对应密钥的密文的另一部分作为第二密文发送； 标签阅读器，用于向所述注册机发送所述注册请求，接收所述第一私钥并存储，之后扫描载有电子产品码的标签，向所述电子产品码信息系统发送所述标签信息访问请求，并接收所述电子产品码信息系统发送的所述第一密文，之后接收中间结果，并利用所述中间结果、所述第一私钥和所述第一密文解密得到所述电子产品信息码信息； 仲裁机，用于存储表征所述标签阅读器的设备识别码及其对应属性之间对应关系的属性撤销列表，接收所述注册机输出的所述第二私钥，接收所述电子产品码信息系统发送的所述第二密文及所述标签阅读器的设备识别码，并通过查找所述属性撤销列表而识别到所述标签阅读器的现有属性满足访问结构时，根据所述第二私钥和第二密文生成并返回所述中间结果给所述标签阅读器。
2.如权利要求1所述的电子产品码的访问控制系统，其特征在于，所述系统还包括: 加密单元，用于采用加密算法随机产生密钥，并对所述电子产品码信息进行加密，得到所述电子产品码信息的密文，之后根据预设的所述电子产品码信息的访问结构，生成所述电子产品码信息对应密钥的密文，并将所述电子产品码信息的密文以及所述对应密钥的密文存储到所述电子产品码信息系统中。
3.—种如权利要求1或2任一项所述的电子产品码的访问控制系统的访问控制方法，其特征在于，所述方法包括以下步骤: S1:注册机建立公共參数和主私钥； S2:标签阅读器向所述注册机发出注册请求，若所述注册机确认所述注册请求满足要求，则生成第一私钥和第二私钥，并将所述第一私钥发送给所述标签阅读器，将所述第二私钥发送给仲裁机； S3:所述标签阅读器扫描载有电子产品码的标签，向电子产品码信息系统发送标签信息访问请求； S4:所述电子产品码信息系统在接收到所述标签信息访问请求后，将电子产品码信息的密文以及对应密钥的密文的一部分作为第一密文发送给标签阅读器，并将标签阅读器的设备识别码、以及所述对应密钥的密文的另一部分作为第二密文发送给所述仲裁机； S5:当所述仲裁机通过查找属性撤销列表，识别到所述标签阅读器的现有属性满足访问结构时，根据所述第二私钥和所述第二密文生成并返回中间结果给所述标签阅读器； S6:所述标签阅读器利用所述中间结果、所述第一私钥和所述第一密文解密得到电子广品ィ目息码ィ目息。
4.如权利要求3所述的电子产品码的访问控制系统的访问控制方法，其特征在于，在所述的步骤之前，所述方法还包括以下步骤: SO:采用加密算法随机产生密钥，并对电子产品码信息进行加密，得到所述电子产品码信息的密文，之后根据预设的所述电子产品码信息的访问结构，生成所述电子产品码信息对应密钥的密文，并将所述电子产品码信息的密文以及所述对应密钥的密文存储到所述电子产品码信息系统中。
5.如权利要求4所述的电子产品码的访问控制系统的访问控制方法，其特征在于，所述步骤SI包括以下步骤: 511:设置安全参数λ ; 512:定义阶为素数P的第一乘法群Gtl和第二乘法群G1，得到所述第一乘法群Gtl的生成元g，并定义双线性映射e = Gtl X Gtl^G1 ；513:设置属性空间A=Ia1, a2,——，an}，对于所述属性空间中每一属性Bi e A,随机选 514:随机选取 α,βιΖ'，并计算 u=ge、w=e (g, g) α ；515:建立公共参数= |g.m'G0,G丨.！7；丨;_丨丨，以及主私钥msk={g°}。
6.如权利要求5所述的电子产品码的访问控制系统的访问控制方法，其特征在于，所述步骤S2包括以下步骤: 521:所述标签阅读器向所述注册机发出注册请求，所述注册请求至少包括所述标签阅读器的设备识别码id及其属性集Aid ；522:当A;(/ e A时，所述注册机确认所述注册请求满足要求，则所述注册机随机选择Ujl ，并计算skid = gu'd、skid，= gauu,i ,对于用户的每一属性Si e Aid,所述注册机计算Skl = T；'id ；523:所述注册机将第一私钥eA; 发送给所述标签阅读器，并将第二私钥skid’发送给所述仲裁机。
7.如权利要求6所述的电子产品码的访问控制系统的访问控制方法，其特征在于，所述步骤SO包括以下步骤: 501:采用AES加密算法随机产生密钥k，并对电子产品码信息m进行加密，得到电子产品码信息的密文Ek(Hl); 502:若预设的电子产品码信息的访问结构gamma，所述访问结构树的根节点值为s，则当需表达逻辑与的关系，且所述访问结构树的子节点个数为η时，定义任意的η-1个子节点值分别为随机数=，第η个子节点值为Sn =s-X:: Sj mod p，当需表达逻辑或的关系时，定义所述访问结构树的各子节点值为s，若所述访问结构树的叶节点属性结合为Ar，则生成所述密钥k的密文{CC’，Vai eAr:?)，其中:C=kws，c' =gs,Vu e Ar:Ct= u'Trs ； 503:将所述电子产品码信息的密文Ek(m)以及所述对应密钥的密文{C，C’，Va, e Ar: C,}存储到所述电子产品码信息系统中。
8.如权利要求7所述的电子产品码的访问控制系统的访问控制方法，其特征在于，所述步骤S5包括以下步骤:`551:当所述仲裁机识别到所述标签阅读器的现有属性满足访问结构时，根据所述第二私钥skid’和所述第二密文C’生成中间结果Ct，表示为:CT=e(skid，，C，)； `552:所述仲裁机将所述中间结果CT=e(skid’，C’)返回给所述标签阅读器。
9.如权利要求8所述的电子产品码的访问控制系统的访问控制方法，其特征在于，所述步骤S6包括以下步骤:561:所述标签阅读器在有限时间内找到访问结构r的最小属性集Aid’，以满足
【文档编号】H04L9/14GK103501223SQ201310436525
【公开日】2014年1月8日 申请日期:2013年9月22日 优先权日:2013年9月22日
【发明者】喻建平, 张鹏, 刘宏伟, 刘军 申请人:深圳大学