CN102413159A - 一种面向网络化操作系统的可信任在线存储系统 - Google Patents

Abstract

本发明设计一种面向网络化操作系统的可信任在线存储系统，属于计算机数据存储技术领域，主要解决的问题是：典型的网络化操作系统中，用户将数据放置到平台提供商的在线存储系统中，会失去对数据的直接控制。本发明的主要目的是在典型的网络化操作系统中建立一种可信任机制，使用户可以放心地将数据存储到平台提供商的基础设施中。本专利设计了一种基于亚马逊S3存储服务接口的可信任在线存储系统。系统分为三层：对象存储系统、可信文件系统服务端和可信文件系统客户端。在可信系统客户端之外的任何组件都无法获取文件的明文，或者对文件进行篡改而不被发现。只要用户客户端是可信的，整个系统就是可信的，而客户端由用户负责保证其可信。

Description

一种面向网络化操作系统的可信任在线存储系统

技术领域

本发明属于计算机数据存储技术领域，主要解决在典型的网络化操作系统中，用户将数据放置到平台提供商的在线存储系统中，而失去对数据的直接控制，因此如何建立一种可信任的机制，使用户可信任将数据存储到平台提供商的基础设施中。 

缩略语和关键术语定义 

●PT(Plaintext)：明文 

文件的原始内容，与密文相对 

●CT(Ciphertext)：密文 

明文经过对称加密之后的产物 

●Digest：摘要 

对密文应用哈希算法后得到的产物 

●OSS(object Storage System)：对象存储系统 

一种提供对象存储服务的系统，其主要功能是：将文件直接进行存储，每一个文件对应一个唯一的ID(标识符)，本文中的可信任存储系统需要依靠对象存储系统作为基础设施 

●File：文件 

它是本文提出的可信任存储系统的各种操作的操作对象，本系统的主要功能就是对文件进行创建、修改、删除、读取、链接。 

可信任存储系统中的每个文件对应于对象存储系统中的两个文件：一个为文件内容，一个为文件摘要 

文件主要分成三类：只读文件、可写文件和目录文件 

只读文件：创建之后就不可以进行修改，只可以读取 

可修改文件：一种创建之后可以进行修改的文件 

目录文件：一种创建之后可以修改的文件，它是一种由定长记录组成的文件，文件中每一个记录代表一个目录或者文件，每个记录的结构如图1，只读文件的记录具有特殊性：它只存在R-Cap(读能力)，它的W-Cap部分对应空数据，没有实际意义。 

对每个用户来说，他所存储的文件被组织成一种有向图(图2)。这是基于层次目录 结构的传统文件系统的一种变种，变化在于：①在我们的存储系统中，从父目录可以导航到子目录，但是子目录默认不可以导航到父目录，除非子目录中明确包含指向父目录的链接。②允许循环链接，即两个目录指向对方，或者多个目录构成环状引用。 

本系统中的每一个文件都对应于对象存储系统中的两个文件：一个为文件内容，一个为文件摘要。 

每一个文件对应一个文件名，文件名在文件创建时由用户指定 

每一个文件对应一个或两个Cap(图3)：每一个只读文件对应一个R-Cap(图4)，每一个可修改文件和每一个目录文件对应一个R-Cap和一个W-Cap(图5) 

●Cap(Capability)：访问权限 

它是一个字符串，它包含了访问一个文件所需的各种信息，它分为两类：R-Cap(只读权限，提供对特定文件的读权限)和W-Cap(读写权限，提供对特定文件的读写权限)，它的结构如图3，图中各部分的含义如下： 

Capability类型前缀--一个字母，取值范围为r或w，r表示此Capability为R-Cap(读能力)，w表示此Capability为W-Cap(写能力) 

文件类型--一个字母，取值范围为i，m，d，i表示此文件为不可修改文件，m代表此文件为可修改文件，d代表此文件为目录文件，目录文件本质上也是一种可修改文件，但是它有一些额外的特性：它是一种由定长记录组成的文件，文件中每一个记录的结构如图12，由三部分构成：文件名(用户创建文件时指定)，R-Cap，W-Cap(用父目录的写Key对称加密后存放) 

标识符--在整个对象存储系统中具有唯一性，它与对象存储系统中的文件一一对应，他是调用对象存储系统中的各项操作时必须提供的参数 

文件标识符--是一种标识符，它所对应的文件为本文介绍的可信任存储系统中的文件内容的密文 

摘要标识符--是一种标识符，它所对应的文件为本文介绍的可信任存储系统中的文件内容摘要的密文 

读Key--是一种对称加密密钥，它被用来对文件内容进行加密和解密 

写Key--是一种非对称加密的私钥，他被用来对文件内容的摘要进行加密 

用户公钥/私钥对--每个用户被创建时系统随机生成的一对非对称加密的钥对，一个用户有且只有一对，并且不同用户的用户公钥/私钥对不同 

签名公钥/私钥对--是一种非对称加密的钥对，其中的私钥被用来对文件内容的摘要的明文进行加密，公钥被用来对文件内容的摘要的密文进行解密。对于只读文件，签名公钥/私钥对就是用户公钥/私钥对，签名公钥对应于R-Cap中的签名公钥；对于可修改文件和目录文件，签名公钥/私钥对在文件被创建时由系统随机生成，称作文件公钥/私钥对，它与文件一一对应，其中的签名私钥对应于文件W-Cap中的写Key，签名公钥对应于文件Cap中的签名公钥 

分隔符--用来分隔Capability的各个部分，可以使用任何可打印的特殊字符，这种特殊字符不在上述的任何部分中出现 

背景技术

网络化操作系统通过把用网络连接的大规模计算资源进行统一管理和调度，构成一个计算资源池向用户提供按需收费的服务。它具有数据安全可靠、客户端需求低、能够轻松共享数据等优点。作为一种新型计算模型，网络化操作系统受到了工业界和学术界的广泛关注，越来越多的机构和个人选择以它作为基础设施搭建分布式IT平台。 

网络化操作系统的一个重要组成部分是分布式存储系统。其采用可扩展的系统结构，利用多台存储服务器分担存储负荷，利用位置服务器定位存储信息，它不但提高了系统的可靠性、可用性和存取效率，还易于扩展。现在已经有若干服务商提供各类在线数据存储服务，如Amazon S3、Nirvanix CloudNAS以及Microsoft SkyDrive。以Amazon S3为例，它按照每个月类似租金的形式进行服务付费，同时用户还需要为相应的网络流量进行付费；此外，它使用REST(Representational State Transfer)和简单对象访问协议(SOAP)等标准接口，用户可以通过这些接口访问到相应的存储服务。但是这些分布式存储系统要求用户将数据存储在远端服务器上，这样的话，用户便会失去对数据的直接控制。为了使用户放心地将隐私数据，尤其是涉密的商业数据存储到自己的系统中，服务提供商必须要取得用户的信任。虽然现有的这些分布式存储系统提供了一些可信机制，但建立这些可信机制的前提是：用户授权服务提供商对数据进行存储、修改等操作。在此前提下，这些可信机制无法有效地避免服务提供商对这些权利进行滥用，即现有的在线存储系统存在不可信任因素，这些不可信因素可分为以下三点： 

(1)在大部分系统中，系统管理员可以操作所有用户的文件，他们可能出于贪婪或好奇心而窃取或修改用户的隐私数据； 

(2)在数据共享过程中，系统的错误配置以及管理员的操作失误等都有可能将用户的明文数据直接暴露给其他人； 

(3)系统无法验证用户数据的完整性，即使用户的数据被修改，用户也有可能不会发现。 

以上不可信因素大大降低了用户上述在线存储系统的信任。因此，设计一种不依赖于 存储服务提供商的可信任机制有重要意义。本专利针对以上不可信因素，设计了一种基于亚马逊S3存储服务接口来实现的可信任存储系统。系统分为三层，其中：对象存储系统负责对文件密文和签名摘要进行实际的I/O操作，是系统的最底层，可以采用现有的任何云存储系统；可信文件系统服务端负责执行用户对文件密文和签名摘要的I/O操作；可信文件系统客户端负责对根目录进行管理，对文件密文进行加解密，生成签名摘要，以及组装文件操作的http请求。在可信系统客户端之外的任何组件都不能获取文件的明文，或者对文件进行篡改而不被发现，只要用户客户端是可信的，整个系统就是可信的。而客户端运行在用户自己的电脑上，用户负责保证其可信。 

发明内容

本专利设计一种面向网络化操作系统的可信任在线存储系统。 

一、系统的层次结构： 

系统的层次结构由三部分构成，如图1所示： 

在系统各功能的流程中，将可信任文件系统服务端和可信任文件系统客户端总称为“系统”或“可信任文件系统” 

1、对象存储系统，提供文件存储服务 

此系统所提供的功能为： 

●创建/修改文件：把用户提供的数据按照指定的文件名存储到分布式操作系统的存储设备中 

●删除文件：把用户提供的标识符所对应的文件从分布式操作系统的存储设备中删除 

●获取文件：把用户提供的标识符所对应的文件从分布式操作系统的存储设备中取出，并提供给用户 

2、可信任文件系统服务端，提供用户管理以及文件I/O操作、文件共享等功能此系统的功能为： 

●用户管理：负责用户的登录、鉴权、添加、删除等等操作，只有合法用户才能使用可信任文件系统的功能 

●用户通信：负责用户之间的安全通信，当用户之间通过可信系统传输信息时，系统服务端将消息使用发送方的用户公钥进行加密，从而保证通信内容的保密性 

●文件I/O：执行用户从用户界面发送的对文件的创建、修改、删除、读取、链接的命令。它把用户对可信任存储系统中的三类文件的读写操作翻译为对对象存储系统中的文件的读写操作，并执行这些操作。 

●文件共享：调用用户通信模块将要共享文件的capability从共享源用户传输到共享目的用户 

3、可信任文件系统客户端，提供访问系统的UI(用户接口)，用户通过这个接口，通过 URL来使用系统功能 

此系统的功能为： 

●根目录管理：保管用户根目录的读、写capability 

●用户公钥/私钥管理：保管与用户一一对应的一个用户公钥/私钥对 

●密钥生成：负责随机生成各种系统所需的对称/非对称密钥，一切密钥都在可信任文件系统客户端生成，服务端不负责生成。 

二、主要流程 

1.用户管理 

1>创建用户(图6) 

4)管理员登陆系统后通过可信系统用户界面访问url： 

http://系统地址/admin/createUser/用户名 

其中，用户名只能包含英文字母和数字，并且以英文字母开头 

5)可信任文件系统为用户创建一个根目录，内容为空，目录文件名为用户名， 

创建流程同下一部分中的“创建文件”，文件类型为“目录” 

6)可信任文件系统将根目录的公钥私钥对，写capability，读capability保存在系统客户端，并把根目录的公钥作为“用户公钥”，根目录的私钥作为“用户私钥”。 

2.读写文件(图7) 

1>创建文件 

1)用户登录后通过可信系统用户界面中的表单上传文件并访问url 

http://系统url/create/文件类型/父目录写capability/要创建的文件名/(注：文件类型包括：只读，可修改，目录) 

2)获取父目录： 

a)系统从父目录写Capability中得到父目录标识符，并用它访问对象存储系统，得到加密后的父目录对象 

b)系统使用父目录写Capability中的写Key得到的读Key对加密后的父目录对象进行解密，得到父目录明文 

3)如果文件类型为只读文件，则执行以下流程a)，否则，执行流程b) 

a)创建只读文件 

i.得到用户公钥和用户私钥，相应地作为签名公钥和签名私钥 

ii.随机生成一个对称加密密钥，作为读Key 

iii.用读key对文件内容进行对称加密，得到文件密文 

iv.对文件密文做摘要 

v.用签名私钥对摘要进行非对称加密 

vi.保存文件和摘要：随机生成两个唯一的标识符，用它们作为参数访问对 象存储系统，分别保存文件密文和摘要密文 

vii.生成文件的读Capability 

viii.在父目录中增加一条新记录，文件名为用户所输入的文件名，读Capability为上一步所生成的，写Capability留空，然后保存父目录内容(参见修改文件流程)。 

b)创建可修改文件或目录 

i.随机生成一个非对称公钥/私钥对，相应地作为签名公钥和签名私钥 

ii.随机生成一个对称加密密钥，作为读Key 

iii.用读key对文件内容进行对称加密，得到文件密文 

iv.对文件密文做摘要 

v.用签名私钥对摘要进行非对称加密 

vi.保存文件和摘要：随机生成两个唯一的标识符，用它们作为参数访问对象存储系统，分别保存文件密文和摘要密文 

vii.生成文件的读Capability和写Capability，将签名私钥作为写Key 

viii.在父目录中增加一条新记录，文件名为用户所输入的文件名，读Capability和写Capability为上一步所生成的，然后保存父目录内容(参见修改文件流程)。 

2>修改文件(图8) 

7)用户登录后通过可信系统用户界面中的表单上传文件并访问url 

http://系统url/modify/要修改的文件的写capability/ 

8)对写key应用哈希算法，得到读key 

9)读取文件，并验证文件完整性：系统从要修改的文件的写Capability中得到写Key和签名公钥，验证它们是否属于一对非对称加密公钥私钥对，然后系统从写Capability得到对象标识符和摘要标识符，用它们访问对象存储系统，得到文件密文和签名后的文件摘要，将签名后的文件摘要用签名公钥进行解密，得到摘要1，系统对文件密文应用哈希算法得到摘要2，比较摘要1和摘要2是否相等。 

10)用读key作为对称加密密钥把文件内容加密 

11)对将加密后的内容应用哈希算法，然后把得到的摘要用签名私钥进行非对称加密 

12)从写Capability中得到文件标识符，以这个标识符访问对象存储服务接口以保存加密后的文件内容 

13)从写Capability中得到摘要标识符，以这个标识符访问对象存储服务接口以保存签名后的摘要内容 

3>读取文件(图9) 

10)用户登录后通过可信系统用户界面访问url 

http://系统url/retrieve/文件capability/ 

11)从文件capability中得到文件类型，文件类型为只读，则跳转到3)，否则，跳转到4 

12)如果文件capability类型为写capability则跳到结束，为读capability则跳到5) 

13)如果文件capability类型为写capability则跳到6)，为读capability则跳到5) 

14)验证文件读Capability的正确性：系统从读Capability得到摘要标识符，用它访问对象存储系统，得到签名后的文件摘要，将签名后的文件摘要用签名公钥进行解密，得到摘要1，系统对文件密文应用哈希算法得到摘要2，比较摘要1和摘要2是否相等。若Capability不正确则跳到结束，正确则跳到7) 

15)验证文件写Capability的正确性：系统从文件的写Capability中得到写Key和签名公钥，验证它们是否属于一对非对称加密公钥私钥对。系统从写Capability得到对象标识符和摘要标识符，用它们访问对象存储系统，得到文件密文和签名后的文件摘要，将签名后的文件摘要用签名公钥进行解密，得到摘要1，系统对文件密文应用哈希算法得到摘要2，比较摘要1和摘要2是否相等。若Capability不正确则跳到结束，正确则跳到7) 

16)系统从文件Capability中得到文件标识符，并用它访问对象存储系统，得到文件密文 

17)系统使用从文件Capability中得到的读Key(读capability中直接得到，写capability先得到写Key，再对写Key应用哈希算法得到读Key)对加密后的文件对象进行解密，得到文件明文 

18)如果文件类型为目录文件，则跳到10)，否则，跳到14) 

19)从目录中读取所有的记录 

20)如果Capability为写Capability，则跳转到13)，否则跳转到12) 

21)提取每条记录中的文件名，读Capability，文件类型，并以对用户友好的方式呈现给用户，然后结束 

22)提取每条记录中的文件名，加密后的写Capability，文件类型，将写Capability用目录的写Capability进行解密，并把这三项内容以对用户友好的方式呈现给用户，然后结束 

23)将文件明文以对用户友好的方式呈现给用户，然后结束 

4>删除文件(图10) 

1)用户登录后通过可信系统用户界面访问url 

http://系统url/delete/父目录写capability/要删除的文件的文件名/(注：文件类型包括：只读，可修改，目录) 

2)系统从父目录写Capability中得到父目录标识符，并用它访问对象存储系统，得到加密后的父目录对象 

3)系统使用父目录写Capability中的写Key得到的读Key对加密后的父目录对象进行解密，得到父目录明文 

4)根据文件名在目录中进行查找，找到文件名对应的capability(写或读均可) 

5)如果文件类型为目录，则跳到6)，否则跳到7) 

6)对目录中的每个文件执行“删除文件”流程 

7)从capability中找到此文件及其摘要的标识符，用它访问对象存储系统，删除相应的文件对象和摘要对象 

8)删除此文件在父目录明文中的相应记录，然后保存新的父目录内容，流程详见“修改文件” 

3.把文件共享给别人(图8)(链接文件的流程为此流程中最后两步) 

1)共享源用户登录后通过可信系统用户界面访问url： 

http://系统url/share/共享目的用户名/要共享文件capability/ 

2)系统把要共享的文件的capability用共享源用户的capability做非对称加密，然后用共享目的用户的签名公钥进行非对称加密后，向共享目的用户发送一个通知，内容包含此两次加密后的要共享文件capability 

3)共享目的用户接收到capability后先使用自己的用私钥解密，然后用源用户的公钥解密，得到capability 

4)共享目的用户登录后通过可信系统用户界面访问url： 

http://系统url/getshare/目标目录capability/要共享文件capability/共享后的文件名 

5)系统从目标目录写Capability中得到父目录标识符，并用它访问对象存储系统，得到加密后的父目录文件 

6)系统使用父目录写Capability中的写Key得到的读Key对加密后的父目录对象进行解密，得到父目录明文 

7)如果共享文件capability类型为写capability，则计算出读capability 

8)在父目录明文中加入一条记录，文件名为“共享后的文件名”，capability为上一步所得 

附图说明

图1为系统的层次结构 

图2为可信任文件系统层次结构的典型示例 

图3为Capability的结构 

图4为只读文件中各对象之间的关系 

图5为可修改文件或目录中各对象之间的关系 

图6为创建用户的流程 

图7为创建文件的流程 

图8为修改文件的流程 

图9为读取文件的流程 

图10为删除文件的流程 

图11为共享文件的流程 

图12为目录文件记录的结构。 

Claims (5)

1.设计一种基于亚马逊S3存储服务接口的可信任在线存储系统。如图1所示，系统分为三层，其中：对象存储系统负责对文件密文和签名摘要进行实际的I/O操作，是系统的最底层，可以采用现有的任何云存储系统；可信文件系统服务端负责执行用户对文件密文和签名摘要的I/O操作；可信文件系统客户端负责对根目录进行管理，对文件密文进行加解密，生成签名摘要，以及组装文件操作的http请求。在可信系统客户端之外的任何组件都不能获取文件的明文，或者对文件进行篡改而不被发现，只要用户客户端是可信的，整个系统就是可信的。而客户端运行在用户自己的电脑上，用户负责保证其可信。

2.如权利要求1所述，可信任在线存储系统从3个主要业务操作保证系统的可信任性，分别是：(1)用户管理；(2)读写文件；(3)分享文件。

3.如权利要求2所述，创建用户的流程如图6所示，说明如下：

1)管理员登陆系统后通过可信系统用户界面访问url：

http://系统地址/admin/createUser/用户名

2)可信任文件系统为用户创建一个根目录

3)可信任文件系统将根目录的公钥私钥对，写capability，读capability保存在系统客户端，并把根目录的公钥作为“用户公钥”，根目录的私钥作为“用户私钥”。

4.如权利要求2所述，读取文件的流程如图9所示，说明如下：

1)用户登录后从文件capability中得到文件类型，文件类型为只读，则跳转到3)，否则，跳转到4)

2)如果文件capability类型为写capability，则跳到结束；若为读capability，则跳转到5)

3)验证文件读Capability的正确性：系统从读Capability得到摘要标识符，用它访问对象存储系统，得到签名后的文件摘要，将签名后的文件摘要用签名公钥进行解密，得到摘要1，系统对文件密文应用哈希算法得到摘要2，比较摘要1和摘要2是否相等。若Capability不正确则跳到结束，正确则跳到7)

4)验证文件写Capability的正确性：系统从文件的写Capability中得到写Key和签名公钥，验证它们是否属于一对非对称加密公钥私钥对。系统从写Capability得到对象标识符和摘要标识符，用它们访问对象存储系统，得到文件密文和签名后的文件摘要，将签名后的文件摘要用签名公钥进行解密，得到摘要1，系统对文件密文应用哈希算法得到摘要2，比较摘要1和摘要2是否相等。若Capability不正确则跳到结束，正确则跳到7)

5)系统从文件Capability中得到文件标识符，并用它访问对象存储系统，得到文件密文 

6)系统使用从文件Capability中得到的读Key(读capability中直接得到，写capability先得到写Key，再对写Key应用哈希算法得到读Key)对加密后的文件对象进行解密，得到文件明文

7)从目录中读取所有的记录

8)提取每条记录中的文件名，读Capability，文件类型，并以对用户友好的方式呈现给用户，然后结束

9)提取每条记录中的文件名，加密后的写Capability，文件类型，将写Capability用目录的写Capability进行解密，并把这三项内容以对用户友好的方式呈现给用户，然后结束

5.如权利要求2所述，写文件的流程如图8所示，说明如下：

1)用户登录后通过可信系统用户界面中的表单上传文件并访问url

http://系统url/modify/要修改的文件的写capability/

2)读取文件，并验证文件完整性

3)用读key作为对称加密密钥把文件内容加密

4)对将加密后的内容应用哈希算法，然后把得到的摘要用签名私钥进行非对称加密

5)从写Capability中得到文件标识符，以这个标识符访问对象存储服务接口以保存加密后的文件内容

6)从写Capability中得到摘要标识符，以这个标识符访问对象存储服务接口以保存签名后的摘要内容。 

Images