CN108234436A - 一种基于OpenStack 对象存储的加密方法和系统 - Google Patents

Abstract

本发明涉及一种基于OpenStack对象存储的加密方法，所述方法包括如下步骤：对每个文件分别进行加密并产生各自的密钥，密钥以密文的形式保存在安全元数据中；从第三方认证中心获得用户的公私钥对；使用Redis缓存技术上传文件到OpenStack对象存储或从OpenStack对象存储下载文件。本发明解决了现有OpenStack对象存储中数据存储存在安全隐患的问题，采用的加密方案提高了OpenStack对象存储的安全等级，为用户提供更为安全的平台服务。

Description

一种基于OpenStack对象存储的加密方法和系统

技术领域

本发明涉及云计算领域，特别涉及一种基于OpenStack对象存储的加密方法和系统。

背景技术

随着云计算技术的蓬勃发展，OpenStack是该领域最火的开源云系统，作为公有云和私有云的共同技术基础，OpenStack不但可以提供基础平台层的服务，而且能够实现统一的云管理平台自动化。OpenStack是一个开源的项目集合,是一个全球协作开发的面向公有云和私有云的标准laaS云平台操作系统，具有良好的可扩展性和可靠的云部署方案。目前OpenStack有众多的版本，随着新版本的发放，功能越来越完善，其系统的稳定性也大幅度提高。服务供应商、中小企业以及政府部门等都可以使用OpenStack来构建自己需要的可灵活伸缩的云计算平台。OpenStack可通过四个核心项目组件来定义：计算服务模块(ComputeService),对象存储服务模块(Object Storage Service),镜像服务模块(Image Service)和网络模块(Networking Service)。

其中对象存储模块为Swift。Swift最初是由Rackspace云计算服务托管公司开发的高可用的分布式对象存储服务项目，该模块主要为Nova提供虚拟机镜像的存储服务。Swift构建在廉价标准的硬件存储基础设施之上，不需要采用磁盘冗余阵列(RAID)等技术，它通过在软件层面上引入数据冗余技术和数据一致性散列技术(Consistent Hashing)，较少地牺牲一定的数据一致性从而达到数据的高可用性和存储的可伸缩性。Swift同时支持多租户模式以及容器和对象读写操作，非常适合解决互联网中非结构化数据的存储问题。

Swift的存储架构采用了对称和面向资源的分布式方式。它的所有组件都可扩展，为了避免因点故障而影响整个系统的运转，它的通信方式使用能够显著提高系统吞吐能力和缩短系统响应时间的非阻塞式的I/O模式。

由于swift对象存储的数据都以明文存储，导致用户数据遭到攻击，造成用户数据泄露或数据篡改等问题。

发明内容

鉴于上述问题，提出了本发明，以便提供一种克服上述问题或至少部分地解决上述问题的一种基于OpenStack对象存储的加密方法和系统。

根据本发明的一个方面，提供一种基于OpenStack对象存储的加密方法，所述方法包括如下步骤：

对每个文件分别进行加密并产生各自的密钥，密钥以密文的形式保存在安全元数据中；从第三方认证中心获得用户的公私钥对；

使用Redis缓存技术上传文件到OpenStack对象存储或从OpenStack对象存储下载文件。

进一步的，所述加密采用对称加密方法，所述每个文件各有一个加密密钥；所述第三方认证中心为CA认证中心。

进一步的，所述加密的具体过程包括：将文件的哈希值作为该加密文件的密钥，随后，用户端向第三方认证中心获取所有有权访问此加密文件的所有用户的公钥，并使用这些公钥对文件密钥进行分别加密，然后将获得的密钥文件放到各个用户对应的安全元数据中的访问控制列表中。

进一步的，所述安全元数据包括文件所有者信息，文件名哈希值，加密算法，哈希算法和访问控制列表。

进一步的，将用户的UUID作为Redis缓存技术的key，将对应的文件元数据和用户的公钥作为Redis缓存技术的value。

进一步的，当用户查找文件或者上传文件时，首先从Redis查找该用户的信息，如果没有找到，则把该用户的UUID和文件生成的元数据和用户的公钥放到Redis中；如果找到，则使用O(1)的时间复杂度找到该文件对应的信息。

进一步的，当从用户端上传文件到OpenStack对象存储时，包括如下步骤：

用户端调用基于OpenStack的加密系统计算哈希值的API，并向该接口传入文件的路径和用户选择的哈希算法，计算出上传文件的哈希值；

用户端调用基于OpenStack的加密系统的数据文件加密的API，并向该接口传入用户选择的加密算法和从上一步骤中获得的哈希值，加密用户上传的文件，生成文件密文；

用户端将哈希算法、加密算法、文件哈希值、上传文件的用户名和公钥，作为参数，调用基于OpenStack的加密系统的元数据服务接口，生成安全元数据；

用户端将用户的UUID作为key，上一步骤产生的安全元数据作为value，存储到Redis服务中；

用户端将上传文件生成的文件密文和安全元数据上传至OpenStack的对象存储中。

进一步的，当用户从OpenStack对象存储下载文件到用户端时，包括如下步骤：

1)对象存储服务器收到用户下载文件请求后，调用Redis服务器的接口，查看该文件的对应的信息，如果没有该文件的数据则执行步骤2)，否则，发送文件信息至用户端，执行步骤3)；

2)调用对象存储服务器的接口，获取到下载文件的加密方法、哈希算法以及该文对应的元数据信息，并将这些数据发送到用户端，并将用户UUID作为key，获取的安全元数据信息作为value存储到Redis服务器中；

3)用户端调用加密系统的解密接口，并将传入用户的私钥和获取的元数据，解密出该文件的哈希值；

4)用户端将步骤3)获取的哈希值和步骤1)或者步骤2)获取到的哈希算法，解密出该文件的数据明文；

5)用户端进行该文件的完整性校验工作。

进一步的，所述方法还使用懒惰权限撤销技术，用于取消权限的用户访问文件的过程。

根据本发明的另一方面，还提供一种基于OpenStack对象存储的加密系统，包括：

加密模块，用于对每个文件分别进行加密并产生各自的密钥，密钥以密文的形式保存在安全元数据中；从第三方认证中心获得用户的公私钥对；

Redis服务模块，用于使用Redis缓存技术上传文件到OpenStack对象存储或从OpenStack对象存储下载文件；

懒惰权限撤销模块，用于取消权限的用户访问文件的过程。

本发明解决了现有OpenStack对象存储中数据存储存在安全隐患的问题，采用的加密方案提高了OpenStack对象存储的安全等级，为用户提供更为安全的平台服务。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一种实施例的一种基于OpenStack对象存储的加密方法的流程示意图。

图2为本发明一种实施例的上传文件到OpenStack对象存储的流程示意图。

图3为本发明一种实施例的从OpenStack对象存储下载文件的流程示意图。

具体实施方式

为便于对本发明实施例的理解，下面将结合附图以几个具体实施例为例作进一步的解释说明，且各个实施例并不构成对本发明实施例的限定。

如图1所示，一种基于OpenStack对象存储的加密方法，所述方法包括如下步骤：

步骤S110，对每个文件分别进行加密并产生各自的密钥，密钥以密文的形式保存在安全元数据中；从第三方认证中心获得用户的公私钥对。本发明的文件加密采用对称加密方法，能够提高加密速度。密钥采用分散式的密钥管理，即每个文件各有一个加密密钥，可杜绝所有文件使用统一加密密钥被破解后，造成所有用户数据泄露的可能性。第三方认证中心优选为CA认证中心，用户的公私钥对由第三方的CA认证中心负责生成并进行管理。CA(Certificate Authority)认证,是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥合法性的检验责任。CA中心为每个使用公开密钥的用户发放一个数字证书，数字证书的作用是证明证书中列出的用户合法拥有证书中列出的公开密钥。CA机构的数字签名使得攻击者不能伪造和篡改证书。CA是证书的签发机构,它是PKI的核心。CA是负责签发证书、认证证书、管理已颁发证书的机关。它要制定政策和具体步骤来验证、识别用户身份，并对用户证书进行签名，以确保证书持有者的身份和公钥的拥有权。数字证书在用户公钥后附加了用户信息及CA的签名。公钥是密钥对的一部分，另一部分是私钥。公钥公之于众，谁都可以使用。私钥只有自己知道,由公钥加密的信息只能由与之相对应的私钥解密。本发明给出的加密方案，配合CA认证中心，可提高OpenStack对象存储的安全等级。

具体的，将文件的哈希值作为该加密文件的密钥，随后，用户端向第三方认证中心获取所有有权访问此加密文件的所有用户的公钥，并使用这些公钥对文件密钥进行分别加密，然后将获得的密钥文件放到各个用户对应的安全元数据中的访问控制列表中。安全元数据用于记录文件的安全属性信息，当用户上传新文件到对象存储中，就会生成该文件对应的安全元数据(简称文件元数据)，安全元数据包括：文件所有者信息，文件名哈希值，加密算法，哈希算法和访问控制列表等。使用第三方的认证的密钥管理，不仅可以保证用户的公私钥安全性，还可以有效防止用户密钥的丢失。

步骤S120，使用Redis缓存技术上传文件到OpenStack对象存储或从OpenStack对象存储下载文件。为了提高系统效率，减少服务器加密系统的性能开销，本发明采用了Redis缓存技术。Redis是一个高性能的key-value数据库，为了保证效率，数据都是缓存在内存中。用户的UUID(Universally Unique Identifier，通用唯一识别码)是key，对应的文件元数据和用户的公钥作为value。所以当用户查找文件或者上传文件时，首先从Redis查找该用户的信息，如果没有发现，那么把该用户的UUID和文件生成的元数据和用户的公钥放到Redis中。如果找到，可以使用O(1)的时间复杂度找到该文件对应的信息，大大提高了系统的效率。

具体的，如图2所示，从用户端上传文件到OpenStack对象存储时，包括如下步骤：

步骤S210，用户端调用基于OpenStack的加密系统计算哈希值(hash值)的API(Application Program Interface，应用程序接口)，并向该接口传入文件的路径和用户选择的哈希(hash)算法，计算出上传文件的哈希值。

步骤S220，用户端调用基于OpenStack的加密系统的数据文件加密的API，并向该接口传入用户选择的加密算法和步骤S210中获得的哈希值，加密用户上传的文件，生成文件密文。

步骤S230，用户端将哈希算法、加密算法、文件哈希值、上传文件的用户名和公钥，作为参数，调用基于OpenStack的加密系统的元数据服务接口，生成安全元数据。

步骤S240，用户端将用户的UUID作为key，步骤S230产生的安全元数据作为value，存储到Redis服务中。

步骤S250，用户端将上传文件生成的文件密文和安全元数据上传至OpenStack的对象存储中。

如图3所示，用户从OpenStack对象存储下载文件到用户端时，包括如下步骤：

步骤S310，对象存储服务器收到用户下载文件请求后，调用Redis服务器的接口，查看该文件的对应的信息，如果没有该文件的数据则执行步骤S320，否则，发送文件信息至用户端，执行步骤S330。

步骤S320，调用对象存储服务器的接口，获取到下载文件的加密方法、哈希算法以及该文对应的元数据信息，并将这些数据发送到用户端，并将用户UUID作为key，获取的安全元数据信息作为value存储到Redis服务器中。

步骤S330，用户端调用加密系统的解密接口，并将传入用户的私钥和获取的元数据，解密出该文件的哈希值。

步骤S340，用户端将步骤S330获取的哈希值和步骤S310或者步骤S320获取到的哈希算法，解密出该文件的数据明文。

步骤S350，用户端进行该文件的完整性校验工作。

作为上述实施例的进一步改进，本发明的一种基于OpenStack对象存储的加密方法还使用懒惰权限撤销技术，用于取消权限的用户访问文件的过程。当用户被撤销访问文件权限时，系统就需要重新生成文件密钥，并用新密钥对文件的内容重新加密，防止该用户继续访问文件内容。但是，系统生成密钥并重新加密文件所带来的性能开销是巨大的。所以，采用懒惰权限撤销后，当文件内容发生改变才重新加密，如果没有改变，就不重新加密，这样，用户也只能看到文件更新之前的数据。

本发明主要是针对OpenStack对象存储的数据容易出现数据攻击、数据泄露、数据篡改和明文存储等问题，提出了一种加密的安全系统和方法，为用户数据提供了私密性和完整性保护。同时，采用了高效的密钥管理方法和缓存技术，保证了数据加密解密的速度和效率。

通过上述实施例可以看出，本发明具有下述优点：

首先通过采用第三方认证系统，加强了系统的权威性。第三方认证系统优选的CA认证不仅为用户提供公私钥对，其密钥管理系统还可以有效的保证用户密钥的安全性和完整性。

其次采用了分散密钥管理方法加强了密钥的安全性，用户不必担心文件的加密文件丢失或者破解后，对所有文件的泄露和攻击。

最后采用了Redis元数据缓存技术和懒惰权限撤销技术提高了系统的运行效率，并且加密系统具有较低的耦合性，均采用调用API的方式，使OpenStack对象存储比较方便的进行接口的调用。整个系统大部分密码学计算工作和完整性校验都在用户端完成，对于整个对象存储的性能影响较低。

基于上述原理，根据本发明的另一方面，还提供一种基于OpenStack对象存储的加密系统，由于原理与上述系统一致，因此不再赘述，仅作简单描述。一种基于OpenStack对象存储的加密系统，包括：

加密模块，用于对每个文件分别进行加密并产生各自的密钥，密钥以密文的形式保存在安全元数据中；从第三方认证中心获得用户的公私钥对；

Redis服务模块，用于使用Redis缓存技术上传文件到OpenStack对象存储或从OpenStack对象存储下载文件。

进一步的，还包括懒惰权限撤销模块，用于取消权限的用户访问文件的过程。

本发明在对象存储中采用加密系统，即使数据泄露，攻击者也无法获取数据明文，有效的保证了数据的安全性，完整性。同时该发明利用的Redis缓存技术，减少了数据加密密钥和解密密钥的获取时间，提高了系统的整体运行效率。总之，采用OpenStack对象存储加密系统和方法，有效的保证了用户的数据安全性、可靠性和完整性。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块流程并不一定是实施本发明所必须的。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (10)

1.一种基于OpenStack对象存储的加密方法，所述方法包括如下步骤：

对每个文件分别进行加密并产生各自的密钥，密钥以密文的形式保存在安全元数据中；从第三方认证中心获得用户的公私钥对；

使用Redis缓存技术上传文件到OpenStack对象存储或从OpenStack对象存储下载文件。

2.如权利要求1所述的一种基于OpenStack对象存储的加密方法，其特征在于：所述加密采用对称加密方法，所述每个文件各有一个加密密钥；所述第三方认证中心为CA认证中心。

3.如权利要求1所述的一种基于OpenStack对象存储的加密方法，其特征在于，所述加密的具体过程包括：将文件的哈希值作为该加密文件的密钥，随后，用户端向第三方认证中心获取所有有权访问此加密文件的所有用户的公钥，并使用这些公钥对文件密钥进行分别加密，然后将获得的密钥文件放到各个用户对应的安全元数据中的访问控制列表中。

4.如权利要求3所述的一种基于OpenStack对象存储的加密方法，其特征在于：所述安全元数据包括文件所有者信息，文件名哈希值，加密算法，哈希算法和访问控制列表。

5.如权利要求1所述的一种基于OpenStack对象存储的加密方法，其特征在于：将用户的UUID作为Redis缓存技术的key，将对应的文件元数据和用户的公钥作为Redis缓存技术的value。

6.如权利要求1所述的一种基于OpenStack对象存储的加密方法，其特征在于：当用户查找文件或者上传文件时，首先从Redis查找该用户的信息，如果没有找到，则把该用户的UUID和文件生成的元数据和用户的公钥放到Redis中；如果找到，则使用O(1)的时间复杂度找到该文件对应的信息。

7.如权利要求1所述的一种基于OpenStack对象存储的加密方法，其特征在于，当从用户端上传文件到OpenStack对象存储时，包括如下步骤：

用户端调用基于OpenStack的加密系统计算哈希值的API，并向该接口传入文件的路径和用户选择的哈希算法，计算出上传文件的哈希值；

用户端调用基于OpenStack的加密系统的数据文件加密的API，并向该接口传入用户选择的加密算法和从上一步骤中获得的哈希值，加密用户上传的文件，生成文件密文；

用户端将哈希算法、加密算法、文件哈希值、上传文件的用户名和公钥，作为参数，调用基于OpenStack的加密系统的元数据服务接口，生成安全元数据；

用户端将用户的UUID作为key，上一步骤产生的安全元数据作为value，存储到Redis服务中；

用户端将上传文件生成的文件密文和安全元数据上传至OpenStack的对象存储中。

8.如权利要求1所述的一种基于OpenStack对象存储的加密方法，其特征在于，当用户从OpenStack对象存储下载文件到用户端时，包括如下步骤：

1)对象存储服务器收到用户下载文件请求后，调用Redis服务器的接口，查看该文件的对应的信息，如果没有该文件的数据则执行步骤2)，否则，发送文件信息至用户端，执行步骤3)；

2)调用对象存储服务器的接口，获取到下载文件的加密方法、哈希算法以及该文对应的元数据信息，并将这些数据发送到用户端，并将用户UUID作为key，获取的安全元数据信息作为value存储到Redis服务器中；

3)用户端调用加密系统的解密接口，并将传入用户的私钥和获取的元数据，解密出该文件的哈希值；

4)用户端将步骤3)获取的哈希值和步骤1)或者步骤2)获取到的哈希算法，解密出该文件的数据明文；

5)用户端进行该文件的完整性校验工作。

9.如权利要求1所述的一种基于OpenStack对象存储的加密方法，其特征在于：所述方法还使用懒惰权限撤销技术，用于取消权限的用户访问文件的过程。

10.一种基于OpenStack对象存储的加密系统，包括：

加密模块，用于对每个文件分别进行加密并产生各自的密钥，密钥以密文的形式保存在安全元数据中；从第三方认证中心获得用户的公私钥对；

Redis服务模块，用于使用Redis缓存技术上传文件到OpenStack对象存储或从OpenStack对象存储下载文件；

懒惰权限撤销模块，用于取消权限的用户访问文件的过程。