基于安全策略的动态加密技术研究

张伯雍，何泾沙

（北京工业大学 软件学院，北京　100124）

基于安全策略的动态加密技术研究

张伯雍，何泾沙

（北京工业大学 软件学院，北京100124）

对数据进行加密是一种保证数据安全性的有效措施，但现有的数据加密方式一般是选定某种加密算法，用该加密算法对数据进行全文加密。而不同终端设备的性能存在很大差异，移动终端设备如智能手机受其体积限制，计算能力和能源供给都十分有限，难以承受全文加密的计算量和能源开销。因此提出了一种动态选择加密方法，动态的选择加密算法对部分数据进行加密，并在该方法的基础上提出了基于安全策略的数据加密传输方案。在保证较高安全强度前提下，降低了加密开销提高了加密效率。

数据加密；动态选择；部分加密；安全策略

使用适当的安全技术对移动终端上的个人数据进行处理十分必要。数据加密技术是最基本的安全技术，主要用于保证数据在存储和传输过程中的保密性。不同的加密算法具有不同的密码强度和执行效率［1-2］，在特定的应用场景中可以根据安全性需求等因素选择不同的加密算法，但传统的应用方式往往是确定了一种加密算法后，就使用该种加密算法对需要保护的数据进行全文加密。这种方式的优点是能最大限度实现所选加密算法的数据加密强度。而当数据量较大时，对数据进行全文加密操作的开销也会随之加大。对于电池能源、计算能力等资源有限的移动终端设备，这种全文加密方式会造成过重的负担［3］。

文中提出一种动态加密方法，动态选择加密算法和部分数据进行加密，在满足安全需求的前提下，提高加密效率降低加密开销，并给出了一种基于安全策略的数据加密传输应用方式。本文剩余部分结构如下，第二节介绍了一些现有的高效加密方法，第三节描述本文提出的动态选择加密方法，第四节介绍了基于安全策略的具体应用方案，实验结果及分析在第五节给出，最后给出全文总结。

1　相关研究

在 多媒体数据加密研究领域，已经有学者提出了一些选择性加密方法。所谓选择性加密即选择被加密数据中的一部分进行加密形成密文，未选择部分保持为明文。理想情况下应选择被加密数据中最重要的部分进行加密。但由于不同种类数据文件的特征和格式差异很大，目前还没有通用的方法能实现这个目标。因此现有研究主要针对特定格式的文件，研究对象主要是多媒体数据文件，基于特定文件的编码方法，筛选出编码过程中对编解码效果有较大影响的相关参数进行加密。如：陈勇、沙爱军提出了一种使用AES数据加密算法对MPEG-4视频进行部分加密的方法［4］。利用AES的OFB模式对MPEG-4中I-VOP的DC差分系数和P-VOP、B-VOP中的intra块DC差分系数进行加密；葛龙、廉士国等人提出了一种基于参数敏感性的MP3音频选择加密方案［5］，选择性的将MP3音频帧内的比例因子和比特分配信息两种重要参数进行加密；邓绍江、李艳涛等人针对JPEG2000图像小波变换后重要信息集中在小波系数的低频部分的特点，选择性的对这部分数据进行加密，达到减小加密量并保证较好加密效果的目的［6］。

2　动态数据加密方法

2.1加密数据的选择

以往的多媒体数据选择性加密技术均以某种特定格式数据作为研究对象，通过对作用于编码过程的参数进行分析，筛选出重要参数进行加密，从而达到既减小数据加密总量又保证较好加密效果的目的。但对于索引图像、真色彩图像、YUV图像原始数据和纯文本等数据类型，由于其未经特殊压缩编码，不具有复杂的编码格式，因此无法应用以往的选择性加密方法对这类数据进行加密。本文以位图图像为例针对此类数据进行了研究和分析。

位图文件的结构主要包含4部分：

1）文件信息头：文件类型、文件大小和位平面字节流起始位置信息；

2）图像信息头：图像宽、高、色深、位平面字节流长度、分辨率等信息；

3）调色板数据结构：用来表达RGB颜色值的结构体数组，个数由图像色深确定；

4）位图数据：每一像素的调色板索引值或直接表示每一像素的RGB颜色值。

通过对位图文件的数据结构分析，可以看出文件信息头和位图信息头包含了解读位图文件所需的一些基本参数，此类参数的取值较为固定，即使完全删去也可以很轻松的重构，所以加密文件信息头和位图信息头没有意义。而后面的调色板数据和位图数据则包含了解读所有像素的全部信息。其中位图数据是文件中长度最长同时也是最为重要的数据段，位图数据中的每一个字节都可以表示称二进制数。从微观角度出发可以从每个字节中抽取1位，将一张位图图像分解为8个位平面图，原图和分解后的8张位平面图效果如图1所示。

图1　位平面分解图Fig.1　Bit plane decomposition figure

由分解结果可见，位图数据在被解读时每一字节中的各个比特位对图像重构的贡献程度不同。其中最高位对图像重构贡献最大，而后依次降低，即高位数据包含的信息较为丰富。因此，虽然此类数据不具备前文所述多媒体数据的复杂编码格式，但经过从微观角度的分析，同样可以对数据中不同部分做出重要性等级的区分。以此为依据，就可以根据不同的安全策略，在数据全文中动态选择其中一部分数据进行加密。

2.2动态加密流程

1）分析待加密原文，根据重要性等级对原文进行划分，按重要性排序；确定可用的数据加密算法集，可根据密码强度或执行速度进行排序

2）根据安全级别需求和执行效率需求，选出M和E的子集

3）为每种选择的加密算法提供密钥，执行加密操作

4）加密完成，重组为完整密文

图2　动态加密流程Fig.2　Dynamic encryption process

3　基于安全策略的动态数据加密方案

在前文提出的动态数据加密方法基础上，本节给出了一种基于安全策略的动态数据加密方案。假设有通信双方A、B需要经过不安全的开放网络传输一份未经压缩编码的无损位图数据。数据请求方B设备计算能力有限难以承受全文加密后数据解密的计算开销，且首次请求数据时不具有最高质量数据的请求权限（例如B前期只拥有低质量数据的使用权限）。之后B通过正常渠道获得了数据的完全权限（例如B通过付费获得了数据的完全权限），第二次请求相同数据。

如图3、4所示加密传输方案可以简述为：首次传输时加密数据的高m+n位，对高m位和次高n位分别采用不同的加密算法和密钥进行加密，根据接受者当前权限只将高m位的加密方式和密钥交付给接收方，接收方可部分解密获得低质量数据；接收方获得完全权限后第二次请求数据时，才将次高n为的加密方式和密钥交付给接收方。

方案分析

1）数据加密全过程中只对部分数据加密，其中采用较高密码强度的AES算法加密原数据中最重要部分，采用较高执行速度的RC4算法加密原数据中次重要部分。大大提高了执行效率，同时保证了较好的加密强度和效果；

2）首次加密传输过程就完成了所有数据的交付，资源所有者A收到请求时，不需要对原数据进行处理来生成不同质量版本的数据，只在交付密钥和加密方式时有所保留即可控制被交付数据的质量；且基于首次加密传输的方法，第二次加密传输过程中，A、B双方无需进行数据资源的传输，仅交互极少量的密钥和加密方式即可完成任务。

图3　初次数据加密传输流程Fig.3　Initial data encryption and transmission process

图4　第二次数据加密传输流程Fig.4　The second time of data encryption and transmission process

4　实验结果

应用单一加密算法的传统全文加密实验：（测试文件：lena，512*512pixel，263，222字节）

图5　全文加解密Fig.5　Full encryption and decryption

基于安全策略的动态数据加密试验：

由实验结果可见，本方案仅加密数据总量中最重要的25%剩余部分保持为明文。与全文加密相比加密效果降低幅度很小（图5左2、图6左2），加密时间与AES全文加密相比缩短了84%、与RC4全文加密相比缩短了45%，此外还提供了对部分解密的数据质量进行控制的功能（图6右2）。

图6　动态加解密Fig.6　Dynamic encryption and decryption

表1　全文/动态加解密效率Tab.1 Full and dynamic encryption/decryption efficiency

5　结束语

对数据进行加密是保证数据在存储和传输过程中安全性的主要手段，然而当数据量较大时全文加密的方式会带来较大的计算资源、能源消耗和时间开销。但现有的选择性加密方法大多格式依赖性过强，无法应用于不具有复杂编码格式的无损原始数据。本文对此类数据进行了研究，通过位平面分解的方法区分出数据中重要性不同的部分，提出了一种采用多种密码算法对数据进行动态加密的方法，并在该方法的基础上提出了一种基于安全策略的数据加密传输方案。实验证明本方法既保证了较好的加密效果，同时显著提高了加密效率。

［1］Weerasinghe T D B.Secrecy and performance analysis of symmetric key encryption algorithms［J］.International Journal of Information and Network Security（IJINS），2012，1（2）:77-87.

［2］Nadeem A，Javed M Y.A Performance Comparison of Data Encryption Algorithms［J］.Information and Communication Technologies，2005.ICICT 2005.First International Conferenceon，2005:84-89.

［3］毛宇.面向移动云计算的数据安全保护技术研究 ［D］.广州：广东工业大学，2013.

［4］陈勇，沙爱军.AES在MPEG-4视频加密中的应用［J］.电力系统通信，2006，27（2）:54-58.

［5］葛龙，廉士国，孙金生，等.基于参数敏感性的MP3音频选择加密方案［J］.计算机应用研究，2006，10:122-127.

［6］邓绍江，李艳涛，张岱固，等.一种基于混沌的JPEG2000图像加密算法［J］.计算机科学，2009，36（5）:273-275.

Research on dynamic encryption based on security policy

ZHANG Bo-yong，HE Jing-sha
（School of Software Engineering，Beijing University of Technology，Beijing 100124，China）

Data encryption is an effective measure to ensure the data security.However，the traditional way is to choose an encryption algorithm，then using this algorithm to encrypt the whole data.There is a big difference in performance of different terminal devices.Mobile devices such as smart phone due to size restrictions，computing power and energy supply is very limited，cannot afford the full encryption computation and energy overhead.Therefore，this paper presents a dynamic selective encryption method.Dynamically select encryption algorithm to encrypt part of the data.And proposed a data encryption transmission scheme based on security policy on the basis of the method.Both to ensure a high security strength，while reducing the encryption overhead and improves the encryption efficiency.

data encryption；dynamic selection；partial encryption；security policy

TN918

A

1674－6236（2016）05-0019-03

2015-03-27稿件编号：201503395

张伯雍（1986—），男，北京人，硕士研究生。研究方向：软件工程理论、技术与应用。