CN106254324A - 一种存储文件的加密方法及装置 - Google Patents

Abstract

本发明公开了一种存储文件的加密方法及装置，包括：利用文件密钥对存储文件进行对称加密，得到加密文件，并将加密文件上传至文件存储服务器；获取针对存储文件被授权的每个用户的用户公钥；利用每个用户公钥分别对文件密钥进行非对称加密，得到对应的加密密钥，并将加密密钥上传至密钥存储服务器。由此，当用户需要获取存储文件时，需要利用自身的私钥对加密后的文件密钥进行解密，进而利用文件密钥对加密后的存储文件进行解密，最终获得存储文件。本申请中不存在将用于对文件加密的密码告知被授权用户的过程，因此，避免了在密码传输过程中被非法用户截取进而获取对应文件的情况发生，即，本申请公开的上述技术方案大大提高了文件的安全性。

Description

一种存储文件的加密方法及装置

技术领域

本发明涉及数据存储技术领域，更具体地说，涉及一种存储文件的加密方法及装置。

背景技术

随着互联网的普及，用户有越来越多的文件都是存储在服务商的服务器上，比如百度云盘、阿里云服务器等。而对于一些机密文件，用户通常不希望非授权的第三方用户(包括提供存储服务的服务商)看到文件内容。因此，需要对文件进行加密。

目前服务商提供的存储服务提供的方案通常是使用一个通用密码对文件进行加密，然后将这个密码通知所有有权查看文件的用户。但是，在将密码通知所有用户的过程中，如果密码被非法用户截取，其就可利用密码获取文件，因此，这种加密方式的安全性较低。

综上所述，现有技术中对存储于第三方存储服务器上的文件进行加密的技术方案存在安全性较低的问题。

发明内容

本发明的目的是提供一种存储文件的加密方法及装置，以解决现有技术中对存储于第三方存储服务器上的文件进行加密的技术方案存在的安全性较低的问题。

为了实现上述目的，本发明提供如下技术方案：

一种存储文件的加密方法，包括：

利用文件密钥对存储文件进行对称加密，得到加密文件，并将所述加密文件上传至文件存储服务器；

获取针对所述存储文件被授权的每个用户的用户公钥；

利用每个所述用户公钥分别对所述文件密钥进行非对称加密，得到对应的加密密钥，并将所述加密密钥上传至密钥存储服务器。

优选的，还包括：

当需要获取所述存储文件时，由所述文件存储服务器中获取所述加密文件并由所述密钥存储服务器中获取本地对应的本地加密密钥；

利用预先获取的本地用户私钥对所述加密密钥进行解密，得到所述文件密钥，并利用所述文件密钥对所述加密文件进行解密，得到所述存储文件。

优选的，获取所述加密文件及所述本地加密密钥，包括：

由关系数据库中获取所述加密文件的文件标识符、文件位置信息及所述本地加密密钥的密钥标识符及密钥位置信息；

依据所述文件标识符及所述文件位置信息由所述文件存储服务器中获取所述加密文件，依据所述密钥标识符及所述密钥位置信息由所述密钥存储服务器中获取对应的本地加密密钥。

优选的，获取针对所述存储文件被授权的每个用户的用户公钥，包括：

由所述关系数据库中获取针对所述存储文件被授权的每个用户的用户信息，并由公钥存储服务器中获取与所述用户信息对应的用户公钥。

优选的，获取所述加密文件、所述本地加密密钥、所述文件标识符、所述文件位置信息、所述密钥标识符及所述密钥位置信息，包括：

发送文件获取请求至所述文件存储服务器，发送密钥获取请求至所述密钥存储服务器，发送信息获取请求至所述关系数据库，并在所述文件存储服务器、所述密钥存储服务器及所述关系数据库允许对应请求后获取对应数据信息。

优选的，还包括：

预先获取所述本地用户私钥，并利用用户私钥口令对所述本地用户私钥进行加密及存储。

优选的，还包括：

接收授权用户增加请求，由所述密钥存储服务器中获取本地对应的本地加密密钥；

利用预先获取的本地用户私钥对所述本地加密密钥进行解密，得到所述文件密钥；

利用所述授权用户增加请求对应的用户的用户公钥对所述文件密钥进行非对称加密，得到对应的加密密钥，并将该加密密钥存储至密钥存储服务器中。

优选的，还包括：

接收授权用户删除请求，并发送数据删除请求至所述密钥存储服务器及所述关系数据库，将所述密钥存储服务器中与所述授权用户删除请求对应的用户的加密密钥及该加密密钥在所述关系数据库中存储的对应信息进行删除。

优选的，获取所述文件密钥，包括：

随机生成所述文件密钥。

一种存储文件的加密装置，包括：

文件处理模块，用于利用文件密钥对存储文件进行对称加密，得到加密文件，并将所述加密文件上传至文件存储服务器；

公钥获取模块，用于获取针对所述存储文件被授权的每个用户的用户公钥；

密钥处理模块，用于利用每个所述用户公钥分别对所述文件密钥进行非对称加密，得到对应的加密密钥，并将所述加密密钥上传至密钥存储服务器。

本发明提供了一种存储文件的加密方法及装置，包括：利用文件密钥对存储文件进行对称加密，得到加密文件，并将所述加密文件上传至文件存储服务器；获取针对所述存储文件被授权的每个用户的用户公钥；利用每个所述用户公钥分别对所述文件密钥进行非对称加密，得到对应的加密密钥，并将所述加密密钥上传至密钥存储服务器。本申请通过上述技术特征，首先利用文件密钥对存储文件进行加密，进而利用被授权的用户的用户公钥对文件密钥进行加密，由此，当用户需要获取存储文件时，需要利用自身的私钥对加密后的文件密钥进行解密，进而利用文件密钥对加密后的存储文件进行解密，最终获得存储文件。与现有技术相比，本申请中不存在将用于对文件加密的密码告知被授权用户的过程，因此，避免了在密码传输过程中被非法用户截取进而获取对应文件的情况发生，即，本申请公开的上述技术方案大大提高了文件的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种存储文件的加密方法的流程图；

图2为本发明实施例提供的一种存储文件的加密装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1，其示出了本发明实施例提供的一种存储文件的加密方法的流程图，可以包括以下步骤：

S11：利用文件密钥对存储文件进行对称加密，得到加密文件，并将加密文件上传至文件存储服务器。

需要说明的是，本发明实施例提供的一种存储文件的加密方法的执行主语可以是用户端，也可以是通过用户信任的代理服务器。其中，对称加密即用同一个密钥作为加密密钥及解密密钥的加密方式，如AES等。

S12：获取针对存储文件被授权的每个用户的用户公钥。

其中，针对存储文件被授权的用户即为被允许获取存储文件的用户，具体来说，获取被允许获取存储文件的用户的用户公钥，以利用每个用户公钥分别对文件密钥进行加密。

S13：利用每个用户公钥分别对文件密钥进行非对称加密，得到对应的加密密钥，并将加密密钥上传至密钥存储服务器。

非对称加密为利用一个密钥进行加密，并用另一个密钥进行解密的加密方式，如RSA等。本申请中，利用用户公钥对文件密钥进行加密后，需要利用对应的用户私钥才可以对加密后的文件密钥，即加密密钥进行解密进而得到文件密钥。其中，将加密密钥上传至密钥存储服务器可以是将每个用户对应的加密密钥依次上传至密钥存储服务器，也可以是将全部加密密钥合并，作为一个密钥文件存储至密钥存储服务器，均在本发明的保护范围之内。

当用户将存储文件存储于第三方存储服务器中时，出于文件内容安全的考虑，需要对存储文件进行加密，本申请通过上述技术特征，首先利用文件密钥对存储文件进行加密，进而利用被授权的用户的用户公钥对文件密钥进行加密，由此，当用户需要获取存储文件时，需要利用自身的用户私钥对加密后的文件密钥进行解密，进而利用文件密钥对加密后的存储文件进行解密，最终获得存储文件。与现有技术相比，本申请中不存在将用于对文件加密的密码告知被授权用户的过程，因此，避免了在密码传输过程中被非法用户截取进而获取对应文件的情况发生，即，本申请公开的上述技术方案大大提高了文件的安全性。

具体来说，本申请中需要利用用户私钥对对应加密密钥进行解密，进而对存储文件进行解密，其中，用户公钥可以公开，因为即使其他用户获知了用户公钥也无法获取存储文件，因此，大大增强了文件安全性。同时，本申请中仅需利用非对称加密对文件密钥进行加密，而对于存储文件的解密是通过对称加密实现的，且对称加密的优点在于加解密速度较快，即使是对于数据量较大的文件，而非对称加密的优点在于安全性较高，但是对于数据量较大的文件的加解密速度较慢，因此，通过本申请公开的上述技术特征，对于数据量较大的存储文件的加解密通过速度较快的对称加密实现，而对于数据量较小的文件密钥通过安全性较高的非对称加密实现，由此，保证了在加解密速度较高的同时提高了数据安全性。

另外，本申请中将加密密钥及加密文件用不同的服务器进行存储，由此，能够进一步保证数据安全性，具体来说，用户需要访问上述两个服务器才可获取到加密文件及加密密钥，相对于用户访问一个服务器即可获取上述信息增加了信息获取难度，进而增强了数据安全性。

其中，对于文件密钥的生成可以按照某种预先设定的规则生成，也可以随机生成，即获取文件密钥，可以包括：随机生成文件密钥。由此，文件密钥的生成并无任何规律可循，进一步增强了数据安全性。

本发明实施例提供的一种存储文件的加密方法，还可以包括：

当需要获取存储文件时，由文件存储服务器中获取加密文件并由密钥存储服务器中获取本地对应的本地加密密钥；

利用预先获取的本地用户私钥对加密密钥进行解密，得到文件密钥，并利用文件密钥对加密文件进行解密，得到存储文件。

需要说明的是，当需要获取存储文件时，需要获取加密文件以及本地加密密钥，其中，由于密钥存储服务器中存储的加密密钥是与每个被授权的用户相对应的，本申请中实现上述步骤的主语，即用户端或者通过用户信任的代理服务器为上传存储文件的终端，因此，其也为被授权用户；本地加密密钥即为本申请实现上述步骤的主语所对应的加密密钥，而本地用户私钥为本申请实现上述步骤的主语所对应的用户私钥。通过上述步骤可以实现对于存储文件的顺利获取。需要说明的是，本申请实施例中的主语适用于每个上传文件或者说被授权的用户端等装置。

本发明实施例提供的一种存储文件的加密方法，获取加密文件及本地加密密钥，可以包括：

由关系数据库中获取加密文件的文件标识符、文件位置信息及本地加密密钥的密钥标识符及密钥位置信息；

依据文件标识符及文件位置信息由文件存储服务器中获取加密文件，依据密钥标识符及密钥位置信息由密钥存储服务器中获取对应的本地加密密钥。

需要说明的是，文件标识符为对存储文件进行加密后生成的与加密文件对应的唯一标识符，密钥标识符为与加密密钥对应的唯一标识符，文件位置信息为加密文件在文件存储服务器中的位置对应信息，密钥位置信息为加密密钥在密钥存储服务器中的位置对应信息，具体来说，如果加密密钥为单独存储的，密钥位置信息为该加密密钥的位置对应信息，如果加密密钥包括于密钥加密文件中进行存储的，密钥位置信息为密钥加密文件的位置对应信息及该加密密钥在密钥加密文件中的位置对应信息。

另外，在将加密文件上传至文件存储服务器时，可以以文件标识符作为其名称进行存储，由此，文件存储服务器上的加密文件不包含任何对于人来说的可读信息(如有意义的文件名等)，而存储文件的相关信息(原始文件名、文件描述等)都是存储在上述关系数据库里，因此，上述任何一方出现泄漏，都不会导致用户文件内容的泄漏，从而进一步增强了数据安全性。

需要说明的是，本发明实施例提供的一种存储文件的加密方法，获取针对存储文件被授权的每个用户的用户公钥，可以包括：

由关系数据库中获取针对存储文件被授权的每个用户的用户信息，并由公钥存储服务器中获取与用户信息对应的用户公钥。

可以将用户的用户信息及其与文件的授权关系存储至关系数据库中。而用户公钥可以存储在独立的公钥存储服务器中，且用户公钥可以是公开的，不需要加密存储。

而获取加密文件、本地加密密钥、文件标识符、文件位置信息、密钥标识符及密钥位置信息，可以包括：

发送文件获取请求至文件存储服务器，发送密钥获取请求至密钥存储服务器，发送信息获取请求至关系数据库，并在文件存储服务器、密钥存储服务器及关系数据库允许对应请求后获取对应数据信息。

具体来说，发送文件获取请求至文件存储服务器，文件存储服务器依据文件获取请求中携带的信息确定是否允许其获取加密文件，密钥获取请求及信息获取请求的原理与上述文件获取请求的原理一致，而上述请求可以通过携带与对应终端预先约定的代码来获得对应终端的允许，还可以采用其他方式，均在本发明的保护范围之内。由此，进一步增强了上述服务器及数据库中数据的安全性。并且，将加密文件等信息采用分布式存储管理模式，任一部分的泄漏不会造成文件内容的泄漏，保证了数据安全性。

本发明实施例提供的一种存储文件的加密方法，还可以包括：

预先获取本地用户私钥，并利用用户私钥口令对本地用户私钥进行加密及存储。

需要说明的是，如果本发明实施例提供的上述方法的主语为用户端，则用户端可以利用预先设定的用户私钥口令对本地用户私钥进行加密，防止非法用户对本地用户私钥的获取，而上述用户私钥口令的获取具体可以是要求用户进行输入得到的。如果本发明实施例提供的上述方法的主语为通过用户信任的代理服务器，则代理服务器利用预先获取的用户设定的用户私钥口令或者向用户端询问得到的用户私钥口令对本地用户私钥进行加密。从而，通过增强本地用户私钥的安全性，进一步增强了文件安全性。

本发明实施例提供的一种存储文件的加密方法，还可以包括：

接收授权用户增加请求，由密钥存储服务器中获取本地对应的本地加密密钥；

利用预先获取的本地用户私钥对本地加密密钥进行解密，得到文件密钥；

利用授权用户增加请求对应的用户的用户公钥对文件密钥进行非对称加密，得到对应的加密密钥，并将该加密密钥存储至密钥存储服务器中。

由此，无需对存储文件重新进行加密，而是只需要将新增加的用户的用户公钥对文件密钥加密后得到对应加密密钥，并将其存储至密钥存储服务器中即可。由于未涉及到存储文件的重新加密及上传，大大减小了计算量和网络流量。

本发明实施例提供的一种存储文件的加密方法，还可以包括：

接收授权用户删除请求，并发送数据删除请求至密钥存储服务器及关系数据库，将密钥存储服务器中与授权用户删除请求对应的用户的加密密钥及该加密密钥在关系数据库中存储的对应信息进行删除。

对应的，当需要收回对某个用户的授权时，只需将该用户对应的加密密钥及该加密密钥在关系数据库中存储的对应信息，如密钥位置信息及密钥标识符等进行删除即可，由此，管理简便，工作效率高。可以理解的是，当任一信息发生变化时，均需要依据变化的信息更新存储在关系数据库中的信息。

与上述方法相对应，本发明实施例还提供了一种存储文件的加密装置，如图2所示，可以包括：

文件处理模块11，用于利用文件密钥对存储文件进行对称加密，得到加密文件，并将加密文件上传至文件存储服务器；

公钥获取模块12，用于获取针对存储文件被授权的每个用户的用户公钥；

密钥处理模块13，用于利用每个用户公钥分别对文件密钥进行非对称加密，得到对应的加密密钥，并将加密密钥上传至密钥存储服务器。

本发明实施例提供的一种存储文件的加密装置，还可以包括：

文件获取模块，用于：当需要获取存储文件时，由文件存储服务器中获取加密文件并由密钥存储服务器中获取本地对应的本地加密密钥；利用预先获取的本地用户私钥对加密密钥进行解密，得到文件密钥，并利用文件密钥对加密文件进行解密，得到存储文件。

本发明实施例提供的一种存储文件的加密装置，文件获取模块包括：

文件获取单元，用于：由关系数据库中获取加密文件的文件标识符、文件位置信息及本地加密密钥的密钥标识符及密钥位置信息；依据文件标识符及文件位置信息由文件存储服务器中获取加密文件，依据密钥标识符及密钥位置信息由密钥存储服务器中获取对应的本地加密密钥。

本发明实施例提供的一种存储文件的加密装置，获取单元可以包括：

文件获取子单元，用于：发送文件获取请求至文件存储服务器，发送密钥获取请求至密钥存储服务器，发送信息获取请求至关系数据库，并在文件存储服务器、密钥存储服务器及关系数据库允许对应请求后获取对应数据信息。

本发明实施例提供的一种存储文件的加密装置，公钥获取模块可以包括：

公钥获取单元，用于：由关系数据库中获取被授权的每个用户的用户信息，并由公钥存储服务器中获取与用户信息对应的用户公钥。

本发明实施例提供的一种存储文件的加密装置，还可以包括：

加密模块，用于：预先获取本地用户私钥，并利用用户私钥口令对本地用户私钥进行加密及存储。

本发明实施例提供的一种存储文件的加密装置，还可以包括：

授权用户增加模块，用于：接收授权用户增加请求，由密钥存储服务器中获取本地对应的本地加密密钥；利用预先获取的本地用户私钥对本地加密密钥进行解密，得到文件密钥；利用授权用户增加请求对应的用户的用户公钥对文件密钥进行非对称加密，得到对应的加密密钥，并将该加密密钥存储至密钥存储服务器中。

本发明实施例提供的一种存储文件的加密装置，还可以包括：

授权用户删除模块，用于：接收授权用户删除请求，并发送数据删除请求至密钥存储服务器及关系数据库，将密钥存储服务器中与授权用户删除请求对应的用户的加密密钥及该加密密钥在关系数据库中存储的对应信息进行删除。

本发明实施例提供的一种存储文件的加密装置，还包括：

密钥生成模块，用于：随机生成文件密钥。

本发明实施例提供的一种存储文件的加密装置中相关部分的说明请参见本发明实施例提供的一种存储文件的加密方法中对应部分的详细说明，在此不再赘述。

对所公开的实施例的上述说明，使本领域技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种存储文件的加密方法，其特征在于，包括：

利用文件密钥对存储文件进行对称加密，得到加密文件，并将所述加密文件上传至文件存储服务器；

获取针对所述存储文件被授权的每个用户的用户公钥；

利用每个所述用户公钥分别对所述文件密钥进行非对称加密，得到对应的加密密钥，并将所述加密密钥上传至密钥存储服务器。

2.根据权利要求1所述的方法，其特征在于，还包括：

当需要获取所述存储文件时，由所述文件存储服务器中获取所述加密文件并由所述密钥存储服务器中获取本地对应的本地加密密钥；

利用预先获取的本地用户私钥对所述加密密钥进行解密，得到所述文件密钥，并利用所述文件密钥对所述加密文件进行解密，得到所述存储文件。

3.根据权利要求2所述的方法，其特征在于，获取所述加密文件及所述本地加密密钥，包括：

由关系数据库中获取所述加密文件的文件标识符、文件位置信息及所述本地加密密钥的密钥标识符及密钥位置信息；

依据所述文件标识符及所述文件位置信息由所述文件存储服务器中获取所述加密文件，依据所述密钥标识符及所述密钥位置信息由所述密钥存储服务器中获取对应的本地加密密钥。

4.根据权利要求3所述的方法，其特征在于，获取针对所述存储文件被授权的每个用户的用户公钥，包括：

由所述关系数据库中获取针对所述存储文件被授权的每个用户的用户信息，并由公钥存储服务器中获取与所述用户信息对应的用户公钥。

5.根据权利要求3所述的方法，其特征在于，获取所述加密文件、所述本地加密密钥、所述文件标识符、所述文件位置信息、所述密钥标识符及所述密钥位置信息，包括：

发送文件获取请求至所述文件存储服务器，发送密钥获取请求至所述密钥存储服务器，发送信息获取请求至所述关系数据库，并在所述文件存储服务器、所述密钥存储服务器及所述关系数据库允许对应请求后获取对应数据信息。

6.根据权利要求2所述的方法，其特征在于，还包括：

预先获取所述本地用户私钥，并利用用户私钥口令对所述本地用户私钥进行加密及存储。

7.根据权利要求2所述的方法，其特征在于，还包括：

接收授权用户增加请求，由所述密钥存储服务器中获取本地对应的本地加密密钥；

利用预先获取的本地用户私钥对所述本地加密密钥进行解密，得到所述文件密钥；

利用所述授权用户增加请求对应的用户的用户公钥对所述文件密钥进行非对称加密，得到对应的加密密钥，并将该加密密钥存储至密钥存储服务器中。

8.根据权利要求7所述的方法，其特征在于，还包括：

接收授权用户删除请求，并发送数据删除请求至所述密钥存储服务器及所述关系数据库，将所述密钥存储服务器中与所述授权用户删除请求对应的用户的加密密钥及该加密密钥在所述关系数据库中存储的对应信息进行删除。

9.根据权利要求8所述的方法，其特征在于，获取所述文件密钥，包括：

随机生成所述文件密钥。

10.一种存储文件的加密装置，其特征在于，包括：

文件处理模块，用于利用文件密钥对存储文件进行对称加密，得到加密文件，并将所述加密文件上传至文件存储服务器；

公钥获取模块，用于获取针对所述存储文件被授权的每个用户的用户公钥；

密钥处理模块，用于利用每个所述用户公钥分别对所述文件密钥进行非对称加密，得到对应的加密密钥，并将所述加密密钥上传至密钥存储服务器。