CN102483792B - 用于共享文档的方法和装置 - Google Patents

Abstract

一种用于在文档存储系统上安全地共享电子文档的方法。该方法包括：从创建用户处接收电子文档；生成对所述电子文档而言唯一的加密密钥；使用所述加密密钥对所述电子文档进行加密，以创建经过加密的电子文档；以及将所述经过加密的电子文档传送至文档库以便存储。该方法还包括以下步骤：标识用于唯一地标识所述经过加密的电子文档的存储位置的资源定位符；以及将所述加密密钥和所述资源定位符传送至所述创建用户。所述方法还包括：从请求用户处接收所述加密密钥和所述资源定位符；使用所述资源定位符从所述文档库中检索出所述经过加密的电子文档；使用所述加密密钥对所述经过加密的电子文档进行解密；以及将经过解密的电子文档传送至所述请求用户。

Description

用于共享文档的方法和装置

技术领域

本发明大体上涉及通信系统，更具体而言涉及用于在通信系统内共享电子文档的方法和装置。

背景技术

当在网络化的环境(无论是不安全的互联网还是专有内联网)中共享电子文档时，可能希望允许文档创建者仅仅与其他用户或设备中的选定组共享该文档。在电子文档包含私人信息或敏感信息时可能尤其希望这样的安全性。存在多种对试图获取对共享电子文档的访问权限的用户的身份(例如，用户名与密码组合以及公共/私人密钥组合)进行验证的方法。

采用这些多样化的安全方法，对于电子文档的创建者或管理者而言，维护安全凭证和/或将必要的凭证传送至需要对该电子文档的进行访问的那些用户通常是很麻烦的。另外，某些用户(例如系统管理员)可能具有对存储在集中式文档库中的所有文档的访问权限。这样的存储库通常用于共享电子文档，并且由某些用户用以维护技术环境所需的访问权限也可以被用来不适当地访问存储在该环境内的文档。

随着越来越多的电子文档进行远程存储并且通过各种服务来访问数据变得越来越重要，保护这些文档的内容并仅仅允许访问那些作者想要给予访问权限的文档将变得相应重要。

发明内容

本发明提供了用于安全地共享文档的方法和装置，该方法和装置基本上消除或减少了与以前的方法和系统有关的至少某些缺陷和问题。

根据一个实施方式，一种用于安全地共享文档存储系统上的电子文档的方法可以包括以下步骤：从创建用户处接收电子文档；生成对所述电子文档而言唯一的加密密钥；使用所述加密密钥对所述电子文档进行加密，以创建经过加密的电子文档；以及将所述经过加密的电子文档传送至文档库以便存储。所述方法还可以包括以下步骤：标识资源定位符，所述资源定位符被配置为唯一地标识所述经过加密的电子文档的存储位置；以及将所述加密密钥和所述资源定位符传送至所述创建用户。所述方法还可以包括以下步骤：从请求用户处接收所述加密密钥和所述资源定位符；使用所述资源定位符从所述文档库中检索出所述经过加密的电子文档；使用所述加密密钥对所述经过加密的电子文档进行解密；以及将所述经过解密的电子文档传送至所述请求用户。

本发明也提供了一种用于安全地共享电子文档的文档存储系统，该系统包括问责穹(accountabilityvault)。所述问责穹可以被配置为：从创建用户处接收电子文档；生成对所述电子文档而言唯一的加密密钥；使用所述加密密钥对所述电子文档进行加密，以创建经过加密的电子文档；以及将所述经过加密的电子文档传送至文档库以便存储。所述问责穹也可以被配置为：标识资源定位符；以及将所述加密密钥和所述资源定位符传送至所述创建用户。所述问责穹还可以被配置为：从请求用户处接收所述加密密钥和所述资源定位符；使用所述资源定位符从所述文档库中检索出所述经过加密的电子文档；使用所述加密密钥对所述经过加密的电子文档进行解密；以及将所述经过解密的电子文档传送至所述请求用户。

本发明的某些实施方式的技术优点包括在网络环境中提供在多个用户之间共享文档的安全措施。更具体来说，这种方法使得在文档存储系统内共享的文档的内容受到保护，以免被管理员和具有对文档存储系统的高级别访问权限的其他用户查看。另外，在确定哪些其他用户可以被授权对电子文档的内容进行访问时，给予该创建用户更强的灵活性和控制。根据以下附图、描述以及权利要求，其他技术优点对于本领域技术人员来说是非常显而易见的。而且，尽管以上已经列举了特定的优点，但是各种实施方式可以包括所列举的优点的全部或一些，或者可以不包括所列举的优点。

附图说明

为了更加完整地理解本发明及其优点，现结合附图参考以下说明，在附图中：

图1是根据本发明某些实施方式的电子文档共享系统的简化框图；

图2是例示根据本发明某些实施方式的文档存储系统的各种功能组件的简化框图；以及

图3是例示根据本发明某些实施方式的、用于在网络化环境中共享电子文档的示例方法的流程图。

具体实施方式

图1是根据本发明某些实施方式的电子文档共享系统100的简化框图。根据例示的实施方式，电子文档共享系统100包括多个用户106，该多个用户106与文档存储系统108进行通信并且与其他用户106进行通信。在一些实施方式中，文档存储系统108包括问责穹(accountabilityvault)102和文档库104。

在本发明中，“电子文档”或“文档”可以是电子文档共享系统100的用户106可能希望存储和/或与电子文档共享系统100的其他用户106共享的任何文件、多个文件、目标代码、可执行代码、数据记录或任何其他的电子记录的数据结构。例示的示例可以包括文本文件、电子表格、电子邮件、医疗记录、图像以及其他电子数据。另外，电子文档共享系统100的用户106可以是指充当最终用户的人或者是指由这样的人使用的、用以访问电子文档共享系统100的一个或多个设备，例如个人计算机、自动服务终端(kiosk)或者移动计算设备。

一般而言，电子文档共享系统100的组件可以安全地存储由用户106编辑的电子文档，使得该用户106和其他被授权的用户106可以在以后按照仅仅向被授权的用户提供正确的加密密钥并且不在文档存储系统108内存储该加密密钥的方式来访问该电子文档。用户106可以创建文档并经由诸如互联网或专有内联网的任何适当的网络将该文档传送至文档存储系统108。如以下参照图2更加详细地描述的，文档存储系统108的问责穹102接着可以使用适当的加密方案对该电子文档进行加密。一旦经过加密，该电子文档接着可以被存储在文档库104中。文档库104可以是适用于在网络化文档共享系统中使用的任何适当的数据库和/或数据库管理系统，例如Oracle数据库或IBM的DB2。

问责穹102还可以将用于该电子文档的加密密钥以及资源定位符传送给创建该文档的用户(“创建用户”)。创建用户可以是实际上创建该电子文档的用户106或者曾编辑过该文档或另外地曾获得过对该文档的访问权限并且现在希望在文档存储系统108上存储该文档的用户106。

资源定位符可以是与该电子文档相关联的、将会允许用户106对该电子文档进行定位或者请求对该电子文档的访问的参考。在一些实施方式中，文档存储系统108可以是支持网页的，其中存储在文档库104中的每个电子文档都被分配唯一的统一资源定位符(“URL”)。将这个URL输入到标准的网页浏览器中可以使得用户106请求对特定电子文档的访问。在一些实施方式中，加密密钥和资源定位符按照文本格式传送至用户106。按照这种方式的传送可以使得用户106与其他用户106以便利的方式共享这一信息。可以按照任何适当的格式(例如，电子邮件或者SMS)来在文档存储系统108和用户106之间或者在用户106与另一用户106之间传送该密钥和资源定位符。

在一些配置中，将资源定位符和加密密钥组合为单个传送行可能是最有效的。在其他配置中，将资源定位符和加密密钥分离为单独的传送可能被视为更加安全的。在那些偏好最大效率的配置中，诸如单个URL的单次传送可能是优选的。例如，传送至用户106的URL可以采取“位置+资源定位符+加密密钥”的形式。在诸如如上所述的支持网页的环境中，这种URL可以采取该例示的形式：

http://web_host/retrieve_document？doc_id＝1234&key＝19da301afe0231823

在这个例示的示例中，“web_host”可以是文档存储系统108的网络位置，“retrieve_document”可以是在文档存储系统108上可执行的、用以检索所希望的电子文档的过程的名称，“doc_id”可以是对所期望的电子文档而言唯一的资源定位符，“1234”可以是该资源定位符的值，“key”可以是由“retrieve_document”过程使用的加密密钥的标识，并且“19da301afe0231823”可以是对所期望的电子文档而言唯一的加密密钥的值。提供这个示例仅仅用以方便对图1的理解，并且这个示例决不应被解读为限制本发明的教导。

在其他实施方式中，当用户106在文档存储系统108上存储电子文档时，该用户106能够标识应当接收该资源定位符和加密密钥的其他用户106。在一些实施方式中，一旦被通知，问责穹102可以将该资源定位符和加密密钥直接传送至用户106先前已经标识过的其他用户106。这一传送可以采取和如上所述的去往用户106的传送相同的形式。

具有资源定位符和加密密钥的用户106可以在合适的时候与文档存储系统108进行通信，以试图检索出与该资源定位符和加密密钥相关联的电子文档。在一些实施方式中，问责穹102可以从用户106处接收资源定位符和加密密钥，从文档库104中检索出所标识的文档，并使用该加密密钥对该文档进行解密。一旦被解密，问责穹102可以将经过解密的文档传送至请求用户106。

重要的是，在所公开的实施方式中，除非需要对所存储的电子文档执行加密和解密，否则决不在文档存储系统108内存储加密密钥。这使得存储在文档存储系统108内的电子文档的内容的安全性得到改善。例如，文档存储系统108的管理员或者具有高级别特权的其他用户不能够读取存储在文档库104中的经过加密的电子文档。

图2是例示根据本发明某些实施方式的文档存储系统108的各种功能组件的简化框图。所例示的文档存储系统108可以包括问责穹102、文档库104、策略引擎106和审核引擎110。在一些实施方式中，文档存储系统108的各种组件可以是存储在计算机可读介质上并由文档存储系统108的处理器可执行的软件程序。为描述清楚起见，图2将这些组件描绘为单独的模块。在一些实施方式中，这些组件可以是独立的软件程序。但是，这些组件也可以是较大软件程序的或者被硬编码到计算机可读介质中的组件或子程序，和/或被配置为执行所期望的功能的软件模块的任何硬件。

如以上参照图1更加详细地描述的，问责穹102可以被配置为响应于来自用户106的传送而对电子文档进行加密和解密。在一些实施方式中，由问责穹102使用以创建加密密钥的加密算法可以是被配置为产生对该电子文档而言是唯一的并且是随机生成的加密密钥的任何加密算法。高级加密标准(AES)提供了这样的加密算法的公知的示例。

在一些实施方式中，经过加密的文档被存储在文档库104中。文档库104可以是适合在网络化文档共享系统(例如，Oracle数据库或IBM的DB2)中使用的任何适当的计算机可读存储器，例如，数据库和/或数据库管理系统。在一些实施方式中，用户106也可以预先定义可应用于特定电子文档的某些策略。这些策略例如可以定义可以访问该文档的一组用户106。通过拒绝来自可能已经错误地或者与该文档的创建者的意愿相违背地接收到该资源定位符和加密密钥的用户106的访问，这样的策略的添加可以有助于改善电子文档的内容的安全性。预先确定的策略也可以在用户106的某些预先定义的属性方面上对特定文档的访问进行限定，预先定义的属性例如是物理位置(例如，IP地址)、安装在请求机器上的某些软件(例如，严格的杀毒软件)、生物测定标识符或者用户106的任何其他适当的属性。

在一些实施方式中，文档存储系统108也可以包含审核引擎110。对于文档存储系统108的一些配置而言，按照尽可能安全的方式来存储电子文档可能是必需的或者期望的。为了避免对问责穹102的非有意的篡改，文档存储系统108的管理员可能希望对问责穹102执行周期性的审核。在一些实施方式中，这种审核可以包括将问责穹102在特定时间点上的状态(问责穹102的“快照(snapshot)”)与在较后时间点上取得的相似快照进行比较。如果在比较中出现不可接受的差异，则文档存储系统108可以传送表示可能已经出现篡改的错误消息。对于创建用户或请求用户而言，或者对于诸如文档存储系统108的管理员的某个其他用户106而言，这样的传送可能是预期的，或者该传送可以登记在电子文件或其他记录机制中。

在一些实施方式中，对问责穹102所取得的快照可以是表示问责穹102的当前状态的哈希值的形式。这样的一个或多个哈希值可以通过很多公知的方法获得。该哈希值可以被配置为表示关于问责穹102的特定部分(例如，加密密钥生成器)或整个问责穹102。可以接着对在多个时间点上取得的哈希值相互进行比较。在文档存储系统108的一些配置中，最适当的可以是生成在文档存储系统108的运行时间之前的第一哈希值作为控制值。在运行时间期间，可以生成第二哈希值，用于与这一控制值相比较。根据文档存储系统108的特定配置，第二哈希值可以按照规则的间隔获得。

图3是例示根据本发明某些实施方式的用于在网络化环境中共享电子文档的示例方法300的流程图。方法300包括传送文档，加密该文档，传送资源定位符和加密密钥，接收该资源定位符和加密密钥，解密该文档，以及传送该经过解密的文档。

根据一个实施方式，方法300优选地从步骤302开始。可以按照文档存储系统108的各种配置实现本发明的教导。就这点而言，方法300的优选初始化点以及构成方法300的步骤302-316的顺序可以取决于所选择的实现方式。另外，方法300的步骤可以按照除所例示的顺序以外的任何适当的顺序来执行。

在步骤302中，文档创建用户106创建用于在文档存储系统108中存储的电子文档。在一些实施方式中，创建用户106可以创建、编辑或者另外地修改电子文档。创建用户106接着可以单独地将该电子文档上传到文档存储系统108，或者在一些实施方式中将该电子文档直接保存到文档存储系统108。在接收到该文档以后，在步骤304中，文档存储系统108的问责穹102可以向文档分配加密密钥。在分配该加密密钥以后，方法300可以进行到步骤306，在该步骤中，问责穹102可以对所接收到的电子文档进行加密。在加密以后，方法300接着可以进行到步骤308，在该步骤中，如以上参照图1-图2更加详细地描述的，经过加密的文档被存储在文档库104中并且被分配资源定位符。方法300接着可以进行到步骤310，在该步骤中，该资源定位符和加密密钥被传送到用户106。在一些实施方式中，从文档存储系统108接收到该资源定位符和加密密钥的用户106可以是创建用户106或者是先前由创建用户106标识的其他用户106。在传送该资源定位符和加密密钥以后，方法300可以进行到步骤312。

在步骤312中，方法300可以从请求用户106处接收对存储在文档存储系统108中的电子文档的请求。这一请求可以包括电子文档的资源定位符以及解密该电子文档所需的加密密钥。在接收到这一请求以后，方法300可以进行到步骤314，在该步骤中，问责穹102可以从文档库104中检索出所请求的文档并使用所传送的加密密钥来对检索出的文档进行解密。如果该加密密钥不是用于所检索出的文档的正确的加密密钥，则解密过程将不会成功。如果解密过程成功(也就是说，针对所检索出的文档而言，该加密密钥是正确的)，则方法300可以进行到步骤316，在该步骤中，经解密的文档可以被传送至请求用户106。在将该经解密的文档传送至请求用户106以后，方法300可以终止。

尽管图3公开了针对方法300而要采取的特定数量的步骤，但是方法300可以采用比在图3中所描绘的那些步骤更多或者更少的步骤来执行。例如，在一些实施方式中，如以上参照图2更加详细地描述的，方法300可以包括审核问责穹102以确保其完整性的另外步骤。在其他实施方式中，如以上参照图1-图2更加详细地描述的，方法300可以包括涉及根据与文档相关联的预先确定的策略而对文档请求进行验证的一个或多个步骤。

另外，尽管图3公开了构成方法300的步骤的某个顺序，但是，构成方法300的步骤可以按照任何合适的顺序来完成。例如，在所示方法300的实施方式中，文档存储系统108在从请求用户106处接收到对文档的请求以后从文档库104中检索出经过加密的文档。在文档存储系统108接收到大量文档请求的一些配置中，聚合多个文档请求并同时对所有这些文档请求进行检索，同时在该事务期间执行该方法的其他步骤，可能是更加高效的。

通过使用本文中所公开的方法和系统，可以改善、减少或消除与维护存储在共享的文档库中的电子文档的内容的安全性和在各种用户106之间共享这些文档相关联的某些问题。例如，本文中所公开的方法和系统考虑到对各个存储的文档而言唯一的并且没有存储在文档存储系统108内的加密密钥，使得文档存储系统108的管理员和其他高级别用户不能访问该共享电子文档的内容。

Claims (16)

1.一种用于在文档存储系统上安全地共享电子文档的方法，该方法包括以下步骤：

生成对与创建用户相关联的电子文档而言唯一的加密密钥；

使用所述加密密钥对所述电子文档进行加密，以创建经过加密的电子文档；

将所述经过加密的电子文档传送至文档库，所述文档库被配置为存储所述经过加密的电子文档；

标识资源定位符，所述资源定位符被配置为唯一地标识所述经过加密的电子文档的存储位置；

将所述加密密钥和所述资源定位符传送至所述创建用户，以使得在传送所述加密密钥以后，没有所述加密密钥的记录保留在所述文档存储系统中；

从请求用户处接收所述加密密钥和所述资源定位符；

使用所述资源定位符从所述文档库中检索所述经过加密的电子文档；

使用所述加密密钥对所述经过加密的电子文档进行解密；和

将经过解密的电子文档传送至所述请求用户。

2.根据权利要求1所述的方法，其中，将所述加密密钥和所述资源定位符传送至所述创建用户包括：在单个URL中传送所述加密密钥和所述资源定位符二者。

3.根据权利要求1所述的方法，其中，将所述加密密钥和所述资源定位符传送至所述创建用户包括：按照文本格式传送。

4.根据权利要求1所述的方法，其中，将所述加密密钥和所述资源定位符传送至所述创建用户，以使得在传送所述加密密钥以后，没有所述加密密钥的记录保留在所述文档存储系统中包括：破坏先前由所述文档存储系统保留的所述加密密钥的任何副本。

5.根据权利要求1所述的方法，该方法还包括以下步骤：

从所述创建用户处接收预先定义的策略，所述策略包括限定所述请求用户是否可以访问所述电子文档的一个或多个属性；

将所述预先定义的策略应用到与所述请求用户相关联的所述一个或多个属性，以确定所述请求用户是否可以访问所述电子文档。

6.根据权利要求1所述的方法，该方法还包括：审核所述文档存储系统，以检测篡改。

7.根据权利要求6所述的方法，其中审核所述文档存储系统包括以下步骤：

保存所述文档存储系统的问责穹在运行时间之前的第一快照，所述问责穹被配置为响应于来自用户的传送对电子文档进行加密和解密；

保存所述问责穹在运行时间期间的第二快照；

将所述第一快照与所述第二快照进行比较；和

如果所述第一快照与所述第二快照不匹配，则传送错误消息。

8.根据权利要求7所述的方法，其中所述第一快照和所述第二快照包括与所述问责穹相关联的哈希值。

9.一种用于安全地共享电子文档的文档存储系统，该系统包括：

问责穹，该问责穹被配置为：

生成对与创建用户相关联的电子文档而言唯一的加密密钥；

使用所述加密密钥对所述电子文档进行加密，以创建经过加密的电子文档；

将所述经过加密的电子文档传送至可通信地耦接至所述问责穹的文档库，所述文档库被配置为存储所述经过加密的电子文档；

标识资源定位符，所述资源定位符被配置为唯一地标识所述经过加密的电子文档的存储位置；

将所述加密密钥和所述资源定位符传送至所述创建用户；

从请求用户处接收所述加密密钥和所述资源定位符；

使用所述资源定位符从所述文档库中检索所述经过加密的电子文档；

使用所述加密密钥对所述经过加密的电子文档进行解密；和

将经过解密的电子文档传送至所述请求用户。

10.根据权利要求9所述的系统，其中，所述问责穹还被配置为通过在单个URL中传送所述加密密钥和所述资源定位符二者来将所述加密密钥和所述资源定位符传送至所述创建用户。

11.根据权利要求9所述的系统，其中，所述问责穹还被配置为通过按照文本格式传送来向所述创建用户传送所述加密密钥和所述资源定位符。

12.根据权利要求9所述的系统，其中，所述问责穹还被配置为破坏由所述文档存储系统保留的所述加密密钥的任何副本。

13.根据权利要求9所述的系统，其中所述文档存储系统还包括：

策略引擎，该策略引擎被配置为：

从所述创建用户处接收预先定义的策略，所述策略包括限定所述请求用户是否可以访问所述电子文档的一个或多个属性；

将所述预先定义的策略应用到与所述请求用户相关联的所述一个或多个属性，以确定所述请求用户是否可以访问所述电子文档。

14.根据权利要求13所述的系统，其中所述文档存储系统还包括：

审核引擎，该审核引擎被配置为审核所述文档存储系统，以检测篡改。

15.根据权利要求14所述的系统，其中所述审核引擎还被配置为：

保存所述问责穹在运行时间之前的第一快照；

保存所述问责穹在运行时间期间的第二快照；

将所述第一快照与所述第二快照进行比较；和

如果所述第一快照与所述第二快照不匹配，则传送错误消息。

16.根据权利要求15所述的系统，其中所述第一快照和所述第二快照包括与所述问责穹相关联的哈希值。