CN103535007A - 分布式网络的管理认证 - Google Patents

分布式网络的管理认证 Download PDF

Info

Publication number
CN103535007A
CN103535007A CN201280016443.9A CN201280016443A CN103535007A CN 103535007 A CN103535007 A CN 103535007A CN 201280016443 A CN201280016443 A CN 201280016443A CN 103535007 A CN103535007 A CN 103535007A
Authority
CN
China
Prior art keywords
network
data
user
administrator
identifier
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201280016443.9A
Other languages
English (en)
Other versions
CN103535007B (zh
Inventor
大卫·欧文
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
MAIDSAFE NET LTD.
Original Assignee
Xi Gemoyide Solution Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xi Gemoyide Solution Co Ltd filed Critical Xi Gemoyide Solution Co Ltd
Publication of CN103535007A publication Critical patent/CN103535007A/zh
Application granted granted Critical
Publication of CN103535007B publication Critical patent/CN103535007B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/313—User authentication using a call-back technique via a telephone network
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G06F21/46—Structures or tools for the administration of authentication by designing passwords or checking the strength of passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/27—Replication, distribution or synchronisation of data between databases or within a distributed database system; Distributed database system architectures therefor
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2117—User registration
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2145—Inheriting rights or properties, e.g., propagation of permissions or restrictions within a hierarchy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/24—Key scheduling, i.e. generating round keys or sub-keys for block encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

一种认证计算机网络（10）包括：至少一个管理员用户（12）；多个下级用户（14）；以及访问控制装置，该访问控制装置适于允许管理员用户控制一个或更多个下级用户对认证计算机网络的访问，其中，认证计算机网络被设置为在分布式网络（100）上或分布式网络（100）内的重叠网。

Description

分布式网络的管理认证
技术领域
本发明涉及对网络上的用户的认证进行管理的方法和设备。具体地但不排他地，本发明涉及控制用户对对等、分散的或无服务器的网络（下文中称为分布式网络）的访问。
背景技术
计算机网络可以根据在网络的单元或节点之间存在的功能关系进行分类。两个主要的例子是客户机-服务器模型和对等架构。客户机-服务器模型可以设置认证网络，在该认证网络中一个或更多个用户比其它网络用户的地位更高，并且控制其它网络用户。在对等网络中，通常每个用户可以同时作为客户机和服务器二者，并且每个用户都有相同的责任和地位。
重叠网是建立在另一个网络之上的虚拟计算机网络。重叠网的节点由虚拟链路或逻辑链路连接，每一个链路都对应于底层网络中的路径。
分布式网络相对于服务器-客户机网络有许多优点，例如为了安全和便于访问允许数据跨越多个位置分布。此外，在服务器-客户机网络中，当同时向给定的服务器发出请求的客户的数目增加时，该服务器会变得过载。与此相反，当节点增加时，分布式网络的聚合带宽实际上增加了。此外，加入关键的服务器故障，不能满足客户的请求，然而在分布式网络中资源通常分布在许多节点中。
作为另一个例子，GB1021312.2公开了一种可以在对等网络上设置的分布式文件系统（DFS），DFS与在服务器-客户机网络上设置的常规的DFS相比具有许多优点。
然而，服务器-客户机网络仍然是优选和最常用的，尤其是在企业环境下。这往往是由于在对用户的认证和保持控制上的感知优势。人们普遍认为难以或者不可能对分布式网络上的用户进行适当的认证和控制。
对用户的认证处理可以用于提供对网络的访问。该访问可以在取决于由认证处理确定的用户或者节点的一定的级别或者权限设置下。通常由拥有或者管理认证网络的认证第三方或者由相关资源例如服务器来授权访问。
所有已知的对分布式的或者共享的服务的访问进行授权的认证方法都要求有服务器或者某种形式的认证控制。服务器通常用作人们在获得对网络的访问之前连接的登录实体。此外，已知的认证方法通常要求通常在服务器上以列表或者类似形式存储的任意用户名或者密码的容器，而它们易受攻击。
发明内容
期望提供提供认证控制并且仍然具备分布式网络的一个或者更多个优点的网络。期望提供用于对用户对网络例如分布式网络的访问进行管理的改进的方法或者设备。期望提供不要求使用服务器或者存储用户身份数据的用于对用户对网络的访问进行管理的方法或者设备。
在本说明书中，单独使用术语“密钥”是相对于DHT（分布式哈希表）的“密钥，值”对中的密钥而使用的。加密的私有密钥和公有密钥将被称为私有密钥和公有密钥。
根据本发明提供有一种认证计算机网络，包括：
至少一个管理员用户；
多个下级用户；以及
访问控制装置，所述访问控制装置适于允许所述管理员用户控制一个或更多个下级用户对所述认证计算机网络的访问，
其中，所述认证计算机网络被设置为在分布式网络上或分布式网络内的重叠网。
访问控制装置可以包括对认证网络进行访问所需要的用户验证数据。用户验证数据可以由管理员用户生成并且能够从管理员用户向下级用户传送。
生成的用户验证数据可以由管理员用户撤销。生成的用户验证数据可以通过管理员用户删除至少一部分用户验证数据来撤销。
用户验证数据可以包括分配给下级用户的用户标识符和用户名。用户验证数据可以包括密码。访问控制装置可以配置为采用密钥导出函数来加强密码。
访问控制装置可以配置为从用户标识符和用户名导出盐值。访问控制装置可以配置为使用用户名和盐值的连结（concatenation）来生成唯一标识符。该连结可以被散列。
访问控制装置可以配置为生成用户账户数据。用户账户数据可以被加密。
生成的用户验证数据可以由管理员用户进行数字签名。生成的用户验证数据可以被认证网络外部的第三方联合签名。第三方可以包括系统提供商。
用户验证数据可以存储在分布式网络上。用户验证数据可以存储在认证网络上。
用户验证数据可以被加密。用户验证数据可以是使用在管理员用户和下级用户之间共享的密钥对进行加密的。
用户验证数据也可以由认证网络外部的第三方例如系统提供商进行联合签名。
访问控制装置可以配置为向下级用户分配能够公开传播的身份。
访问控制装置可以包括可选的用户输入装置。可选的用户输入装置可以包括用户能够访问的设备，例如手机。
用户标识符可以对应于移动装置的电话号码或类似物。访问控制装置可以适于当用户请求对网络进行访问时向手机传送消息。消息可以被加密。
访问控制装置可以适于从设备接收答复消息以对用户进行认证。移动装置可以包括用于接收已发送的消息并且发送答复消息的应用。
认证网络可以配置为提供允许在网络上存储数据的分布式文件系统，所述数据包括以层次结构布置的多个目录和文件。
存储的数据可以包括分布式文件系统的子目录的数据。存储的数据可以包括提供存储的数据的至少一个位置的数据映射。
访问控制装置可以配置为向子目录分配标识符并且向子目录的父目录分配标识符。数据映射可以使用子目录标识符和父目录标识符二者进行加密。加密的数据映射可以使用至少部分的子目录标识符作为密钥进行存储。
使用子目录标识符和父目录标识符可以访问子目录的存储数据。子目录的存储数据可以包括使用子目录标识符和孙目录标识符可访问的一个或更多个孙目录。
存储的数据可以包括提供孙目录的存储数据的至少一个位置的第二数据映射。可以给孙目录分配标识符。第二数据映射可以使用子目录标识符和孙目录标识符二者进行加密。加密的第二数据映射可以使用至少部分的孙目录标识符作为密钥进行存储。孙目录标识符可以根据子目录数据导出。
认证网络可以配置为将要保存的至少一个数据元素分割成多个数据块。可以将至少一个数据块存储在网络上与其它数据块不同的位置。每个数据块在存储到网络上之前可以被加密。
至少一个数据元素可以包括管理员用户验证数据。管理员用户验证数据的至少一个数据块可以存储在网络上不同的位置，每个不同的位置可以对应于特定的下级用户。
使用少于管理员用户验证数据的全部数据块的数据块可以重构管理员用户验证数据。认证网络可以采用密钥共享方案，使得特定数量的用户可以重构管理员用户验证数据。
附图说明
现在参考附图，仅通过示例的方式对本发明的实施例进行描述，在附图中：
图1示出了分布式网络和重叠的认证网络；以及
图2示出了层次文件结构的图解表示。
具体实施方式
图1示出了包括若干个节点102或者设备的分布式网络100，例如对等网络。根据分布式网络100的协议，每一个节点102具有相同的责任和地位。
重叠在分布式网络100上的是包括管理员用户12和若干个下级用户14的认证网络10。在图1中，分布式网络100具有比认证网络10更多数量的用户，但是用户的数量可以是相等的。
尽管管理员用户12和每一个下级用户14都是分布式网络100的成员，并且在该网络上具有相等的地位，但是管理员用户12在认证网络10上具有更重要的作用和地位。
具体地，认证网络10配置为给管理员用户12提供允许管理员用户12对下级用户14对认证网络10的访问进行控制的访问控制装置。
为了加入认证网络10，必须为新用户创建账户，并且该账户创建处理自动创建服从认证网络10的规则的新的下级用户14。
为了创建账户，首先给新用户分配用户标识符。接着向用户要求两项输入：用户名和密码。用户名由系统选择而不是由用户选择，并且用户不能更改用户名。该用户名不是用于在网络10上进行传播或者联系其它用户的名称，而是选择了另一个名称来用于此用途。这里可以使用密钥导出函数例如PBKDF2来加强任何使用的密码密钥。
从用户标识符和用户名或者单独输入可以导出盐值（salt）。这个动作以可重复的方式完成以使得管理员用户12可以随时重新创建盐值。为了生成唯一标识符，用户名和盐值的连结被散列。
为了确保标识符是唯一的，系统尝试根据相当于唯一标识符的地址或者密钥来检索数据。如果该尝试产生出“假（false）”结果，则该标识符是唯一的。
创建了账户数据并且该数据指明会话数据，例如用户详细信息或者指向进一步数据的索引。使用保存着随机串的访问分组将该账户分组加密并且存储在认证网络10上。访问分组被加密并且存储在认证网络10上对应于唯一标识符的地址处。可以使用管理员用户12和下级用户14之间共享的密钥对进行加密。
当用户14希望登录认证网络10时，使用用户名和盐值将随机串导出并且解密。然后，使用随机串、用户名和盐值将账户分组导出并且解密。
账户分组和访问分组形成对认证网络10进行访问所需要的用户验证数据。用户验证数据由管理员用户12生成并且向下级用户14传输。用户验证数据由保存了数据备份的管理员用户12进行签名。这允许管理员用户12定位用户验证数据，并且如果需要的话，能够删除该数据以撤销对认证网络10的访问。
用户验证数据也可以由认证网络外部的第三方例如软件供应商进行联合签名。
在注销的过程中，生成新的随机串，并且在删除旧的账户分组的同时使用新的随机串存储新的账户分组。此外，使用新的随机串删除访问分组。
为了创建可公开传播的身份，管理员用户12可以为下级用户14创建密钥对。由管理员的私有密钥签名的公有密钥的散列存储在网络10上。这也是用户14的标识符。管理员用户12创建可传播的身份（例如UserOrg），并且由管理员的私有密钥签名的散列存储在网络10上。这是下级用户14的联系地址并且可由管理员用户12撤销。
当有来自可传播的身份的任何通信时，可以检查存储的信息以确保标识符仍然有效。
访问控制装置可以包括可选的用户输入装置。这是为了对抗例如使用按键记录器、肩窥攻击或类似手段进行未经授权的检测或者对用户输入的内容例如用户名和密码的盗窃行为。可选的用户输入装置可以包括移动装置，例如手机。用户标识符或者可传播的身份可以映射到手机的电话号码。
访问控制装置可以在用户请求对网络进行访问时向移动装置传送加密的消息。移动装置可以包括用于接收已发送消息并且发送答复消息的应用。答复消息对用户进行认证。因此，使用用户所拥有的（手机）以及用户所知道的（用户名/密码），对用户进行验证。
通过引用合并到本文中的GB1021312.2公开了可以设置在对等网络上的分布式文件系统（DFS）。本发明的认证网络10可以配置为设置重叠在分布式网络100上以允许在认证网络10上存储数据的DFS（或者可以配置为在分布式网络100上设置数据存储）。
存储的数据可以包括以常规的层次结构30布置的目录和文件。管理员用户12可以创建根目录或者父目录32。对于一个或更多个下级用户14可用的数据可以包括DFS的一个或更多个子目录34（或者孙目录36等）的数据。数据包括提供存储数据的位置的数据映射。该根目录或者父目录可以是对于下级用户不可改变的。
另外，管理人员可以已经创建了允许管理人员向其中添加用户不能改变的信息的下级用户只读目录。
访问控制装置给子目录34分配标识符并且给子目录34的父目录32分配标识符。使用子目录标识符和父目录标识符二者对数据映射进行加密，然后使用部分的子目录标识符作为密钥对数据映射进行存储。
对数据映射的解密以及因此对子目录32中的存储数据进行访问，因此需要子目录标识符和父目录标识符二者。然而，不能够从数据映射或者存储数据中导出父目录标识符。此外，只使用子目录标识符和父目录标识符不能对父目录32的存储数据进行访问。
使用子目录标识符和父目录标识符可以访问子目录34的存储数据。类似地，子目录34的存储数据可以包括配置为使用子目录标识符和孙目录标识符可以访问的一个或更多个孙目录36。
第二数据映射提供孙目录的存储数据的位置。向孙目录36分配标识符，并且使用子目录标识符和孙目录标识符二者对第二数据映射进行加密。使用孙目录标识符作为密钥对加密的第二数据映射进行存储。可以从子目录数据中导出孙目录标识符。
因此，下级用户14可以使用子目录标识符和父目录标识符访问任何孙目录36的数据。的确，下级用户14可以使用子目录标识符和父目录标识符访问存储的目录以及下级目录的多层以及子目录34下的关联数据。下级用户14可以向下或者向上穿越这些层但是不能访问子目录34之上的层。
因此，管理员用户12具有对DFS的认证控制，并且只有这个用户12可以访问包括父目录32的全部层。下级用户14可以创建新的下级目录和/或添加文件，但是管理员用户12总是可以访问这些新的下级目录和文件。
要存储的数据元素可以被分割成各种数据块。这些数据块可以被加密，然后被存储在网络10的不同的位置处。
这些数据元素中的至少一个数据元素可以包括管理员用户的验证数据。管理员用户验证数据的不同的数据块可以存储在网络10的不同的位置处，每一个不同的位置对应于特定的下级用户14。
由于管理员用户12具有广泛的控制并且没有与之等同的其它用户，因此可以提供保护措施作为备份。可以使用密钥共享方案例如沙米尔方案（Shamir's scheme）。管理员用户12可以选择若干个可信的下级用户14（例如在企业组织里地位高的人）并且与这些用户中的每一个用户共享管理员用户验证数据的数据块。如果必要的话，可以使用少于全部的例如大多数共享的数据块来重构管理员用户验证数据。
上述实施例提供重叠在分布式网络100上并且提供访问控制允许管理员用户控制由下级用户14对认证网络10的访问的认证网络10。
在另一个实施例中，认证网络10可以配置为生成回退账户分组或者用户验证数据。由于对于任何系统，账户数据的序列化和存储操作都可能失败，导致检索时的不可读的数据。这会影响对系统上的用户数据的访问。为了减少这个风险，可以保存用户验证数据的回退备份以能够在当前版本不能被存储或者被错误地生成的情况下恢复至前一个版本。如同主访问分组一样，回退访问分组可以包含可以被加密的随机串。
如前所述，为了确保标识符是唯一的，系统尝试根据相当于唯一标识符的地址或者密钥检索数据。如果该尝试产生出“假（false）”结果，则该标识符是唯一的。对回退访问分组做相同的检查。生成了随机串并且制成了回退备份。
初始地，访问分组中的随机串是相同的，因此指向相同的（唯一的）账户分组。只有当更新账户分组时才保存回退分组。
在登录时，如果可以检索到账户分组，则使用与之前相同的处理。如果检索尝试失败，则使用回退分组。
在注销时，使用新的随机串对访问分组进行更新，并且使用旧的随机串对回退访问分组进行更新。然后，使用新的随机串更新账户分组，并且删除旧的账户分组。
不更新之前的账户分组。而是将回退访问分组重新定向到之前的账户分组并且将正常的访问分组定向到新账户分组。删除之前的回退账户分组。这阻止了对解密访问分组的慢强力攻击，因为等到可以获得明文随机串的时候，该随机串是作废的。
虽然在上文中对本发明的特定实施例进行了描述，但是要理解的是偏离所述实施例仍然可以落入本发明的范围内。

Claims (46)

1.一种认证计算机网络，包括：
至少一个管理员用户；
多个下级用户；以及
访问控制装置，所述访问控制装置适于允许所述管理员用户控制一个或更多个下级用户对所述认证计算机网络的访问，
其中，所述认证计算机网络被设置为在分布式网络上或分布式网络内的重叠网。
2.根据权利要求1所述的网络，其中，所述访问控制装置包括对所述认证网络进行访问所需要的用户验证数据。
3.根据权利要求2所述的网络，其中，所述用户验证数据能够由所述管理员用户生成并且能够从所述管理员用户向所述下级用户传送。
4.根据权利要求2或3所述的网络，其中，所述用户验证数据能够由所述管理员用户撤销。
5.根据权利要求4所述的网络，其中，所述用户验证数据能够通过所述管理员用户删除至少一部分所述用户验证数据来撤销。
6.根据权利要求2至5中任一项所述的网络，其中，所述用户验证数据包括分配给所述下级用户的用户标识符和用户名。
7.根据权利要求2至6中任一项所述的网络，其中，所述用户验证数据包括密码，并且其中，所述访问控制装置配置为采用密钥导出函数来加强所述密码。
8.根据权利要求6所述的网络，其中，所述访问控制装置配置为从所述用户标识符和所述用户名导出盐值。
9.根据权利要求8所述的网络，其中，所述访问控制装置配置为使用所述用户名和所述盐值的组合来生成唯一标识符。
10.根据权利要求9所述的网络，其中，所述组合被散列。
11.根据前述权利要求中任一项所述的网络，其中，所述访问控制装置配置为生成用户账户数据。
12.根据权利要求11所述的网络，其中，所述用户账户数据被加密。
13.根据权利要求11或12所述的网络，其中，所述用户账户数据被扰乱。
14.根据权利要求2至13中任一项所述的网络，其中，所述用户验证数据被所述管理员用户数字签名。
15.根据权利要求14所述的网络，其中，所述用户验证数据被所述认证网络外部的第三方联合签名。
16.根据权利要求2至15中任一项所述的网络，其中，所述用户验证数据能够存储在所述分布式网络上。
17.根据权利要求2至15中任一项所述的网络，其中，所述用户验证数据能够存储在所述认证网络上。
18.根据权利要求2至17中任一项所述的网络，其中，所述用户验证数据被加密。
19.根据权利要求18所述的网络，其中，所述用户验证数据是使用在所述管理员用户和所述下级用户之间共享的密钥对进行加密的。
20.根据前述权利要求中任一项所述的网络，其中，所述访问控制装置配置为向所述下级用户分配能够公开传播的身份。
21.根据前述权利要求中任一项所述的网络，其中，所述访问控制装置包括可选的用户输入装置。
22.根据权利要求21所述的网络，其中，所述可选的用户输入装置包括所述用户能够访问的附加设备。
23.根据权利要求22所述的网络，其中，所述用户标识符对应于所述设备的唯一标识符。
24.根据权利要求22或23所述的网络，其中，所述访问控制装置适于当所述用户请求对所述网络进行访问时向所述设备传送消息。
25.根据权利要求24所述的网络，其中，所述消息被加密。
26.根据权利要求24或25所述的网络，其中，所述访问控制装置适于从所述设备接收答复消息以对所述用户进行认证。
27.根据权利要求26所述的网络，其中，所述设备包括用于接收已发送的消息并且发送所述答复消息的应用。
28.根据前述权利要求中任一项所述的网络，其中，所述认证网络配置为提供允许在网络上存储数据的分布式文件系统，所述数据包括以层次结构布置的多个目录和文件。
29.根据权利要求28所述的网络，其中，所存储的数据包括所述分布式文件系统的子目录的数据。
30.根据权利要求28或29所述的网络，其中，所存储的数据包括提供所存储的数据的至少一个位置的数据映射。
31.根据权利要求29或30所述的网络，其中，所述访问控制装置配置为向所述子目录分配标识符并且向所述子目录的父目录分配标识符。
32.根据权利要求31所述的网络，其中，所述数据映射是使用所述子目录标识符和所述父目录标识符二者进行加密的。
33.根据权利要求32所述的网络，其中，所加密的数据映射是使用至少部分的所述子目录标识符作为密钥来存储的。
34.根据权利要求31至33中任一项所述的网络，其中，使用所述子目录标识符和所述父目录标识符能够访问所述子目录的所存储的数据。
35.根据权利要求31至34中任一项所述的网络，其中，所述子目录的所存储的数据包括使用所述子目录标识符和孙目录标识符能够访问的一个或更多个孙目录。
36.根据权利要求31至35中任一项所述的网络，其中，所存储的数据包括提供所述孙目录的所存储的数据的所述至少一个位置的第二数据映射。
37.根据权利要求36所述的网络，其中，向所述孙目录分配标识符，并且其中，所述第二数据映射是使用所述子目录标识符和所述孙目录标识符二者进行加密的。
38.根据权利要求37所述的网络，其中，所加密的第二数据映射是使用至少部分的所述孙目录标识符作为所述密钥来存储的。
39.根据权利要求37或38所述的网络，其中，所述孙目录标识符能够从子目录数据导出。
40.根据前述权利要求中任一项所述的网络，其中，所述认证网络配置为将要存储的至少一个数据元素分割成多个数据块。
41.根据权利要求40所述的网络，其中，至少一个数据块存储在所述网络上的与其它所述数据块不同的位置处。
42.根据权利要求40或41所述的网络，其中，每个数据块在存储到所述网络上之前被加密。
43.根据权利要求40至42中任一项所述的网络，其中，所述至少一个数据元素包括所述管理员用户验证数据。
44.根据权利要求43所述的网络，其中，所述管理员用户验证数据的至少一个数据块存储在所述网络上的不同位置处，每个所述不同位置对应于特定的下级用户。
45.根据权利要求44所述的网络，其中，使用少于所述管理员用户验证数据的全部数据块的数据块能够重构所述管理员用户验证数据。
46.根据权利要求45所述的网络，其中，所述认证网络采用密钥共享方案，使得特定数量的用户能够重构所述管理员用户验证数据。
CN201280016443.9A 2011-03-29 2012-03-29 分布式网络的管理认证 Expired - Fee Related CN103535007B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
GB1105242.0 2011-03-29
GB1105242.0A GB2489676A (en) 2011-03-29 2011-03-29 Overlay network comprising management node controlling access of subordinate nodes
PCT/GB2012/050696 WO2012131369A1 (en) 2011-03-29 2012-03-29 Managed authentication on a distributed network

Publications (2)

Publication Number Publication Date
CN103535007A true CN103535007A (zh) 2014-01-22
CN103535007B CN103535007B (zh) 2017-10-27

Family

ID=44067536

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201280016443.9A Expired - Fee Related CN103535007B (zh) 2011-03-29 2012-03-29 分布式网络的管理认证

Country Status (5)

Country Link
US (1) US9485090B2 (zh)
EP (1) EP2692107B1 (zh)
CN (1) CN103535007B (zh)
GB (1) GB2489676A (zh)
WO (1) WO2012131369A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107870734A (zh) * 2016-09-27 2018-04-03 苏宁云商集团股份有限公司 一种分布式文件系统的交互方法及装置
CN112367160A (zh) * 2019-09-01 2021-02-12 成都量安区块链科技有限公司 一种虚拟量子链路服务方法与装置
CN117195296A (zh) * 2023-09-15 2023-12-08 山东硕为思大数据科技有限公司 一种基于互联网的企业数据信息化协同处理方法

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9473506B1 (en) * 2013-10-15 2016-10-18 Progress Software Corporation Secure file transfer and notification server
US9531678B1 (en) 2013-10-15 2016-12-27 Progress Software Corporation On-premises data access and firewall tunneling
EP3455998B1 (en) 2016-05-12 2021-09-01 Boland, Michael, J. Identity authentication and information exchange system and method
US10409654B2 (en) * 2017-07-13 2019-09-10 International Business Machines Corporation Facilitating event-driven processing using unikernels
US20190032534A1 (en) * 2017-07-25 2019-01-31 GM Global Technology Operations LLC Exhaust fluid tank provided with an exhaust system
US10616182B1 (en) 2017-11-30 2020-04-07 Progress Software Corporation Data access and firewall tunneling using a custom socket factory
CN112069263B (zh) * 2020-09-09 2023-08-25 上海万向区块链股份公司 基于区块链的流程数据审核方法、系统及介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008154627A1 (en) * 2007-06-12 2008-12-18 Syracuse University Role-based access control to computing resources in an inter-organizational community
WO2009133419A1 (en) * 2008-04-28 2009-11-05 Nokia Corporation Method, apparatus, and computer program product for providing a group based decentralized authorization mechanism
CN101627395A (zh) * 2006-12-01 2010-01-13 大卫·欧文 分布式网络系统

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR1378811A (fr) 1961-08-18 1964-11-20 Paroi comportant un dispositif pour la réflexion et l'absorption variables des rayonnements électromagnétiques
US6845387B1 (en) * 2000-04-07 2005-01-18 Advanced Digital Information Corporation Creating virtual private connections between end points across a SAN
US7206934B2 (en) * 2002-09-26 2007-04-17 Sun Microsystems, Inc. Distributed indexing of identity information in a peer-to-peer network
US8327436B2 (en) * 2002-10-25 2012-12-04 Randle William M Infrastructure architecture for secure network management with peer to peer functionality
EP2056563B1 (en) * 2007-11-05 2012-09-26 Alcatel Lucent Peer-to-peer network
US7899849B2 (en) * 2008-05-28 2011-03-01 Zscaler, Inc. Distributed security provisioning

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101627395A (zh) * 2006-12-01 2010-01-13 大卫·欧文 分布式网络系统
WO2008154627A1 (en) * 2007-06-12 2008-12-18 Syracuse University Role-based access control to computing resources in an inter-organizational community
WO2009133419A1 (en) * 2008-04-28 2009-11-05 Nokia Corporation Method, apparatus, and computer program product for providing a group based decentralized authorization mechanism

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"Trusted P2P computing environments with role-based access control";PARK J. S. ET AL.;《IET Information Security》;20071231;第1卷(第1期);第27-35页 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107870734A (zh) * 2016-09-27 2018-04-03 苏宁云商集团股份有限公司 一种分布式文件系统的交互方法及装置
CN112367160A (zh) * 2019-09-01 2021-02-12 成都量安区块链科技有限公司 一种虚拟量子链路服务方法与装置
CN112367160B (zh) * 2019-09-01 2023-09-26 成都量安区块链科技有限公司 一种虚拟量子链路服务方法与装置
CN117195296A (zh) * 2023-09-15 2023-12-08 山东硕为思大数据科技有限公司 一种基于互联网的企业数据信息化协同处理方法

Also Published As

Publication number Publication date
GB2489676A (en) 2012-10-10
US20150026474A1 (en) 2015-01-22
WO2012131369A1 (en) 2012-10-04
US9485090B2 (en) 2016-11-01
EP2692107A1 (en) 2014-02-05
EP2692107B1 (en) 2018-08-15
GB201105242D0 (en) 2011-05-11
CN103535007B (zh) 2017-10-27

Similar Documents

Publication Publication Date Title
CN108768988B (zh) 区块链访问控制方法、设备及计算机可读存储介质
CN103535007A (zh) 分布式网络的管理认证
Megouache et al. Ensuring user authentication and data integrity in multi-cloud environment
CN105103488B (zh) 借助相关联的数据的策略施行
CN102318262B (zh) 受信云计算和服务框架
CN1833398B (zh) 安全数据解析器方法和系统
CN105516110B (zh) 移动设备安全数据传送方法
CN103780607B (zh) 基于不同权限的重复数据删除的方法
CN107465681B (zh) 云计算大数据隐私保护方法
CN102546664A (zh) 用于分布式文件系统的用户与权限管理方法及系统
US10949556B2 (en) Method for encrypting data and a method for decrypting data
CN101321064A (zh) 一种基于数字证书技术的信息系统的访问控制方法及装置
AU2013312578A1 (en) Data security management system
CN107332858B (zh) 云数据存储方法
CN106992988A (zh) 一种跨域匿名资源共享平台及其实现方法
CN106533693B (zh) 轨道车辆监控检修系统的接入方法和装置
CN112861157A (zh) 一种基于去中心化身份和代理重加密的数据共享方法
CN105450750A (zh) 智能终端安全交互方法
CN101834853A (zh) 匿名资源共享方法和系统
CN106685919A (zh) 一种具有被动式动态密钥分发机制的安全云存储方法
JP4875781B1 (ja) データ分散保管システム
CN108632385A (zh) 基于时间序列的多叉树数据索引结构云存储隐私保护方法
CN104125230A (zh) 一种短信认证服务系统以及认证方法
EP3817320B1 (en) Blockchain-based system for issuing and validating certificates
AlQallaf Blockchain-based digital identity management scheme for field connected IoT devices

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20180226

Address after: El County, England

Patentee after: MAIDSAFE NET LTD.

Address before: El County, England

Patentee before: Xi Gemoyide solution Co., Ltd

CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20171027

Termination date: 20200329