CN103780622B - 一种面向云存储的数据分类加密方法 - Google Patents

Abstract

一种面向云存储的数据分类加密方法，属于计算机存储安全领域，解决现有数据加密方法不识别数据内容，对所有数据采用单一加密算法，导致存在的计算量大，效率低下的问题。本发明顺序包括：(1)构建安全特征库步骤、(2)数据分类步骤、(3)数据按类加密步骤和(4)数据存储步骤。本发明只对涉及隐私需要高安全保护的那部分数据采用高安全性的加密算法，而对于占大部分的一般数据采用安全性较低、计算复杂度较低的加密算法，在对隐私数据进行高安全性保护的同时，降低了加密的计算量，提高了效率。

Description

一种面向云存储的数据分类加密方法

技术领域

本发明属于计算机存储安全领域，具体涉及一种面向云存储的数据分类加密方法。

背景技术

当今社会，数据呈现“爆炸性”增长，各种视频音频数据以及社交网络和智能终端设备产生的社交视频图片数据量大大超出了一般用户的本地存储容量。购买存储设备来满足数据增长的需要给用户带来了沉重的经济负担。

云存储的发展，使得用户可以将数据从本地存储转移到云存储，帮助用户减少存储设备的投入。另外，云存储具有容量大，可灵活扩展，可随时随地访问等优点为用户带来了极大的便捷。因此越来越多的用户开始选择云存储，将大量的数据存储到云存储中。

云存储在为用户降低存储成本和提高存储效率的同时，也带来安全问题。用户不希望数据被他人读取，避免泄露隐私信息，所以需要保护数据的机密性和安全性。数据加密是一种最直接的保护数据安全的方法，用户在将数据传输到云存储之前，先对数据进行加密，让后将加密后的密文数据传输到云存储进行存储。通过数据加密，用户既使用了云存储的优点，又保护了数据的安全性。

现有应用于云存储的数据加密方法一般对所有数据使用同一个加密算法和密钥，不分析数据的内容，所有数据等同对待，见S.Kamara and K.Lauter.Cryptographic cloud storage.In Proc.Workshop Real-Life CryptographicProtocols and Standardization(RLCPS)，pages136-149，2010。如果一大块数据中，只有某几个数据段包含了银行账号、身份信息，而其它绝大部分都是不涉及隐私的一般数据，对那些占绝大部分的一般数据进行高安全性的加密保护是没有必要的。

对于云存储具有数据量巨大、数据类型繁多等特点，数据加密保护策略的效率显得尤为重要。在进行数据加密保护时，如果不加区分，对所有数据等同对待，选择同样的加密策略和密钥必然会导致计算开销过大，这样数据加密保护措施带来的性能损失令人难以接受。因此，面向云存储的数据加密策略需要能够对数据进行安全级别识别，对不同安全级别的数据采用不同的加密算法和不同强度的加密密钥进行加密，这样可以避免对不需要强安全保护的数据进行复杂的加密计算，降低计算开销，提高数据加密保护策略的效率。

发明内容

本发明提供一种面向云存储的数据分类加密方法，解决现有数据加密方法不识别数据内容，对所有数据采用单一加密算法，导致存在的计算量大，效率低下的问题。

本发明所提供的一种面向云存储的数据分类加密方法，顺序包括构建安全特征库步骤、数据分类步骤、数据按类加密步骤和数据存储步骤，其特征在于：

(1)构建安全特征库步骤：

用户在本地构建安全特征库，安全特征库包括多条安全特征，每条安全特征的格式为“[安全级别]：[数据模式]”；

其中安全级别从小到大依次分别为一般级别、敏感级别、秘密级别，各安全级别具有对应的数据模式：

一般级别对应的数据模式为图片的文件扩展名、视频文件的文件扩展名或音频文件的文件扩展名，包括jpg、bmp、jpeg、rmvb、avi；

敏感级别对应的数据模式为涉及隐私信息的正则表达式，包括对应身份证号码的正则表达式“[＼d{15}$|^＼d{18}$|^＼d{17}(＼d|X|x)$”、对应国内电话号码和手机号码的正则表达式“^＼d{3}-＼d{8}$|^＼d{4}-＼d{7}$|^1[3-8]＼d{9}$”、对应电子邮件地址的正则表达式“^＼w+([-+.]＼w+)*@＼w+([-.]＼w+)*＼.＼w+([-.]＼w+)*$”；

秘密级别对应的数据模式为涉及人身财产安全的关键词，包括“银行账户”、“密码”、“交易记录”；

(2)数据分类步骤：

建立分段索引表并将待存储数据划分为多个数据段，根据安全特征库对每个数据段进行安全级别识别，并在分段索引表的相应条目中标记相应的安全级别；

(3)数据按类加密步骤：

读取各数据段及其相应的安全级别，根据不同的安全级别选择相应的加密算法和密钥，对相应数据段加密，同时在分段索引表的相应条目中记录每个数据段所使用的加密算法和密钥；

(4)数据存储步骤：

连接云存储服务器，将加密后的数据文件传输到云存储服务器中进行存储，将分段索引表、各数据段所使用的加密算法和密钥存储在本地设备上。

所述的数据分类加密方法，所述数据分类步骤可以包括下述子步骤：

(2.1)建立分段索引表并将待存储数据划分为数据段，分段索引表由多个条目组成，每一条目对应一个数据段，各条目所包括的字段为：开始位置、长度、安全级别、加密算法名称、加密密钥，分别用于记录数据段的开始位置、长度、安全级别、对应的加密算法名称、加密密钥，其中，开始位置、长度在对数据分段后填入；安全级别留待在后续子步骤中标记；加密算法名称、加密密钥留待在数据按类加密步骤中填入；

将待存储数据划分为数据段时，根据等长度进行分段或者以文件的自然段为单位进行分段；

(2.2)按顺序读取一个数据段；

(2.3)查找分段索引表，检查在对应该数据段的条目中是否已经标记安全级别，是则转子步骤(2.2)，否则进行子步骤(2.4)；

(2.4)在对应该数据段的条目中，将安全级别标记为一般级别；

(2.5)顺序将该数据段内的数据与安全特征库中各条安全特征的数据模式逐条进行比较，判断该数据段内是否存在与某条安全特征的数据模式相同的数据，是则转子步骤(2.6)，否则转子步骤(2.8)；

(2.6)判断包含所述数据模式的安全特征对应的安全级别是否大于当前数据段的安全级别，是则转子步骤(2.7)，否则转子步骤(2.5)；

(2.7)在对应该数据段的条目中，将当前数据段的安全级别更新标记为所述安全特征所对应的安全级别，然后判断当前条目中的安全级别是否为秘密级别，是则转子步骤(2.8)；否则转子步骤(2.5)；

(2.8)判断是否还有未标记安全级别的数据段，是则转子步骤(2.2)，否则进行步骤(3)。

所述的数据分类加密方法，所述数据按类加密步骤可以包括下述子步骤：

(3.1)按顺序读取一个数据段，查找分段索引表，获得该数据段对应条目的安全级别；

(3.2)根据数据段的安全级别，选择相应的加密算法和密钥对该数据段进行加密：

安全级别为一般级别，使用BlowFish加密算法、使用128位密钥对该数据段加密，并将所使用的加密算法和密钥填入分段索引表的相应条目中；

安全级别为敏感级别，使用AES加密算法、使用128位密钥对该数据段加密，并将所使用的加密算法和密钥填入分段索引表的相应条目中；

安全级别为秘密级别，使用AES加密算法、256位密钥对该数据段加密，并将所使用的加密算法和密钥填入分段索引表的相应条目中；

(3.3)继续读取下一个数据段，按照子步骤(3.2)进行加密，直至所有数据段都加密完毕，进行步骤(4)。

本发明构建安全特征库，根据安全特征库对待加密的数据段进行分类，对不同安全级别的数据段采用不同安全性的加密算法和加密密钥进行加密保护，最后将加密后的数据传输到云存储端进行存储，加密算法和密钥信息存储在本地存储设备。

一般级别的数据段所需的加密保护措施最弱，选用计算速度最快的BlowFish加密算法，使用128位密钥，对该类数据段加密；

敏感级别的数据需要较强的加密保护措施，使用AES加密算法，使用128位密钥，对该类数据段加密；

秘密级别的数据需要的加密保护措施最强，使用AES加密算法，256位密钥，对该类数据段加密；

BlowFish是一种计算速度非常快的加密算法，在同等条件下，使用128位密钥的BlowFish加密算法的加密速度是使用128位密钥的AES加密算法的6倍以上，而AES是一种安全性极高的加密算法，可以使用128位、192位、256位三种不同长度的密钥，密钥越长安全性越高，但计算速度也越慢，综合考虑加密效率和安全性，对敏感级别的数据使用128位密钥，对秘密级别的数据使用256位密钥，不同加密算法的性能比较见Diaa Salama Abd Elminaam，Hatem Mohamed Abdual Kader，and Mohiy Mohamed Hadhoud.Evaluating ThePerformance of Symmetric Encryption Algorithms.International Journalof Network Security，Vol.10，No.3，PP.213-219，May2010。

本发明只对涉及隐私需要高安全保护的那部分数据采用高安全性的加密算法，而对于占大部分的一般级别的数据采用计算复杂度较低的加密算法，在对隐私数据进行高安全性保护的同时，降低了加密的计算量，提高了效率。

附图说明

图1为本发明的流程示意图；

图2为数据分类步骤流程示意图。

具体实施方式

以下结合附图和实施例对本发明进一步说明。

如图1所示，本发明顺序包括构建安全特征库步骤、数据分类步骤、数据按类加密步骤和数据存储步骤。

图2所示为数据分类步骤。

本发明的实施例，对一个操作系统备份文件进行加密，操作系统备份文件包含了操作系统数据和用户数据，其中操作系统数据包括操作系统软件数据，系统配置数据等，用户数据包括用户存储在系统中的各种数据；该实施例顺序包括构建安全特征库步骤、数据分类步骤、数据按类加密步骤和数据存储步骤：

(1)构建安全特征库步骤：

用户在本地构建安全特征库，安全特征库包括多条安全特征，每条安全特征的格式为“[安全级别]：[数据模式]”；

包含11条安全特征：[L1]：[jpg]、[L1]：[bmp]、[L1]：[jpeg]、[L1]：[rmvb]、[L1]：[avi]、[L2]：[^＼d{3}-＼d{8}$|^＼d{4}-＼d{7}$|^1[3-8]＼d{9}$]、[L2]：[^＼d{15}$|^＼d{18}$|^＼d{17}(＼d|X|x)$]、[L2]：[^＼w+([-+.]＼w+)*@＼w+([-.]＼w+)*＼.＼w+([-.]＼w+)*$]、[L3]：[银行账户]、[L3]：[密码]、[L3]：[交易记录]，其中L1、L2和L3分别表示一般级别、敏感级别和秘密级别；

(2)数据分类步骤：

建立分段索引表并将待存储数据划分为多个数据段，根据安全特征库对每个数据段进行安全级别识别，并在分段索引表的相应条目中标记相应的安全级别；包括下述子步骤：

(2.1)建立分段索引表并将操作系统备份文件以1MB等长度划分为数据段，分段索引表每一条目对应一个数据段，各条目数据结构为{start，length，level，scheme，key}，分别表示下述字段：开始位置、长度、安全级别、加密算法名称、加密密钥，分段过程中分别将每个数据段的开始位置、长度填入分段索引表中对应的条目的start字段和length字段，此时level字段、scheme字段和key字段的值为空值；

(2.2)按顺序读取一个数据段；

(2.3)查找分段索引表，检查在对应该数据段的条目中是否已经标记安全级别，是则转子步骤(2.2)，否则进行子步骤(2.4)；

(2.4)将该数据段的当前安全级别设置为一般级别，level＝L1；

(2.5)顺序将该数据段内的数据与安全特征库中各条安全特征的数据模式逐条进行比较，判断该数据段内是否存在与某条安全特征的数据模式相同的数据，是则转子步骤(2.6)，否则转子步骤(2.8)；例如数据段中包含用户的手机号码，则会与安全特征[L2]：[^＼d{3}-＼d{8}$|^＼d{4}-＼d{7}$|^1[3-8]＼d{9}$]的数据模式匹配；

(2.6)判断包含所述数据模式的安全特征对应的安全级别是否大于当前数据段的安全级别，是则转子步骤(2.7)，否则转子步骤(2.5)；

假设包含相同数据模式的安全特征为[Li]：[xxx]，判断Li是否大于level，是则转子步骤(2.7)，否则转子步骤(2.5)；

(2.7)在对应该数据段的条目中，将当前数据段的安全级别更新标记为所述安全特征所对应的安全级别，即level＝Li，然后判断当前条目中的安全级别是否为秘密级别L3，是则转子步骤(2.8)；否则转子步骤(2.5)；

(2.8)判断是否还有未标记安全级别的数据段，是则转子步骤(2.2)，否则进行步骤(3)；

(3)数据按类加密步骤，包括下述子步骤：

(3.1)按顺序读取一个数据段，查找分段索引表，获得该数据段对应条目的level字段的值；

(3.2)根据数据段的安全级别，选择相应的加密算法和密钥进行加密：

当level字段的值为L1时，使用BlowFish加密算法、使用128位密钥对该数据段加密，并将所使用的加密算法名称和密钥填入分段索引表的相应条目中的scheme字段和key字段；

当level字段的值为L2时，使用AES加密算法、使用128位密钥对该数据段加密，并将所使用的加密算法名称和密钥填入分段索引表的相应条目中的scheme字段和key字段；

当level字段的值为L3时，使用AES加密算法、256位密钥对该数据段加密，并将所使用的加密算法名称和密钥填入分段索引表的相应条目中的scheme字段和key字段；

(3.3)继续读取下一个数据段，按照子步骤(3.2)进行加密，直至所有数据段都加密完毕，进行步骤(4)；

(4)数据存储步骤：连接云存储服务器，将加密后的数据文件传输到云存储服务器中进行存储，将分段索引表、各数据段所使用的加密算法存储在本地设备上。

操作系统备份文件很大，一般都超过1GB，但其中需要重点加密保护的涉及隐私和秘密的数据一般都在用户数据部分，而且数据量比较小。使用本发明的数据分类加密方法，操作系统备份文件中站绝大部分的系统数据和普通的用户数据会被标记为一般级别，使用高速的BlowFish算法和128位密钥加密，占小部分的涉及隐私的数据和秘密数据分别被标记为隐私级别和秘密级别，分别使用AES算法，128位密钥和AES算法，256位密钥进行加密，在保持数据高安全性的同时，降低了加密的计算量，提高了整体加密效率。

Claims (2)

1.一种面向云存储的数据分类加密方法，该方法依次包括构建安全特征库步骤、数据分类步骤、数据按类加密步骤和数据存储步骤，其特征在于：

(1)构建安全特征库步骤：

用户在本地构建安全特征库，该安全特征库包括多条安全特征，每条安全特征的格式为“[安全级别]：[数据模式]”；

其中安全级别从小到大依次分别为一般级别、敏感级别、秘密级别，各安全级别具有对应的数据模式，其中：

所述一般级别对应的数据模式为图片的文件扩展名、视频文件的文件扩展名或音频文件的文件扩展名，包括jpg、bmp、jpeg、rmvb、avi；

所述敏感级别对应的数据模式为涉及隐私信息的正则表达式，包括对应身份证号码的正则表达式“^\d{15}$|^\d{18}$|^\d{17}(\d|X|x)$”、对应国内电话号码和手机号码的正则表达式“^\d{3}-\d{8}$|^\d{4}-\d{7}$|^1[3-8]\d{9}$”、对应电子邮件地址的正则表达式“^\w+([-+.]\w+)*@\w+([-.]\w+)*\.\w+([-.]\w+)*$”；

所述秘密级别对应的数据模式为涉及人身财产安全的关键词，包括“银行账户”、“密码”、“交易记录”；

(2)数据分类步骤：

建立分段索引表并将待存储数据划分为多个数据段，根据步骤(1)所构建的所述安全特征库对每个数据段进行安全级别识别，并在所述分段索引表的相应条目中标记相应的安全级别；

(3)数据按类加密步骤：

读取各数据段及其相应的安全级别，根据不同的安全级别选择相应的加密算法和密钥，对相应数据段加密，同时在所述分段索引表的相应条目中记录每个数据段所使用的加密算法和密钥，其中所述加密的过程具体如下：

当安全级别为一般级别时，使用BlowFish加密算法、使用128位密钥对该数据段加密，并将所使用的加密算法和密钥填入所述分段索引表的相应条目中；

当安全级别为敏感级别时，使用AES加密算法、使用128位密钥对该数据段加密，并将所使用的加密算法和密钥填入所述分段索引表的相应条目中；

当安全级别为秘密级别时，使用AES加密算法、256位密钥对该数据段加密，并将所使用的加密算法和密钥填入所述分段索引表的相应条目中；

(4)数据存储步骤：

连接云存储服务器，将加密后的数据文件传输到该云存储服务器中进行存储，将所述分段索引表、各数据段所使用的加密算法和密钥存储在本地设备上。

2.如权利要求1所述的数据分类加密方法，其特征在于，所述数据分类步骤包括下述子步骤：

(2.1)建立分段索引表并将待存储数据划分为数据段，分段索引表由多个条目组成，每一条目对应一个数据段，各条目所包括的字段为：开始位置、长度、安全级别、加密算法名称、加密密钥，分别用于记录数据段的开始位置、长度、安全级别、对应的加密算法名称、加密密钥，其中，所述开始位置、所述长度在对数据分段后填入；所述安全级别留待在后续子步骤中标记；所述加密算法名称、所述加密密钥留待在数据按类加密步骤中填入；

将待存储数据划分为数据段时，根据等长度为单位进行分段；

(2.2)按顺序读取一个数据段；

(2.3)查找所述分段索引表，检查在对应该数据段的条目中是否已经标记安全级别，是则转子步骤(2.2)，否则进行子步骤(2.4)；

(2.4)在对应该数据段的条目中，将安全级别标记为一般级别；

(2.5)顺序将该数据段内的数据与所述安全特征库中各条安全特征的数据模式逐条进行比较，判断该数据段内是否存在与某条安全特征的数据模式相同的数据，是则转子步骤(2.6)，否则转子步骤(2.8)；

(2.6)判断包含所述数据模式的安全特征对应的安全级别是否大于当前数据段的安全级别，是则转子步骤(2.7)，否则转子步骤(2.5)；

(2.7)在对应该数据段的条目中，将当前数据段的安全级别更新标记为所述安全特征所对应的安全级别，然后判断当前条目中的安全级别是否为秘密级别，是则转子步骤(2.8)；否则转子步骤(2.5)；

(2.8)判断是否还有未标记安全级别的数据段，是则转子步骤(2.2)，否则进行步骤(3)。