CN108600160A - 一种工业控制中通信协议安全管理系统 - Google Patents

一种工业控制中通信协议安全管理系统 Download PDF

Info

Publication number
CN108600160A
CN108600160A CN201810195473.XA CN201810195473A CN108600160A CN 108600160 A CN108600160 A CN 108600160A CN 201810195473 A CN201810195473 A CN 201810195473A CN 108600160 A CN108600160 A CN 108600160A
Authority
CN
China
Prior art keywords
user
cloud server
file
data
privately owned
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201810195473.XA
Other languages
English (en)
Inventor
黄飞飞
潘科
焦文丽
马传龙
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Priority to CN201810195473.XA priority Critical patent/CN108600160A/zh
Publication of CN108600160A publication Critical patent/CN108600160A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明属于信息处理技术领域，公开了一种工业控制中通信协议安全管理系统，所述系统包括云服务器、私有云服务器以及多个拥有不同权限的用户。本发明引入了混合云体系架构，为用户权限分配的私钥不再直接发送给用户，而是由一个私有云服务器来存储和管理；而另一方面，用户向私有云服务器发送请求才能得到文件令牌。这样，本发明解决了上述问题并提供了更高的安全性；另一方面，本发明亦可以对可预测其信息的文件保障其安全性。

Description

一种工业控制中通信协议安全管理系统
技术领域
本发明属于信息处理技术领域，尤其涉及一种工业控制中通信协议安全管理系统。
背景技术
目前，业内常用的现有技术是这样的：
工业大数据是智能制造的核心技术和推动力，利用数据来了解和解决可见的问题；利用数据来分析和预测不可见的问题；从数据中挖掘新的知识，再利用知识去重新定义问题，使得可见或不可见的问题都可以在制造系统中避免。因此工业大数据的挖掘是大数据分析的基础。
由于工业控制系统对实时性的要求很高，如果要求控制设备在正常操作的同时记录、采集和报告所有的操作过程会给控制设备带来复杂的配置、运算负荷和存储压力，这些造成对整个控制系统的实时性的负面影响。但是工业控制流程的优化又需要实际运行操作的具体数据对整个工业控制系统全盘优化，特别是需要在第一时间发现系统运行出现的任何问题和潜在的信息安全隐患都需要详实的生产过程的运行数据。
云计算可以通过互联网向用户提供看似无限的虚拟化的资源服务，并且在此过程中隐藏了平台和具体的实现细节。如今的云服务提供商可以花费较低的成本来提供高度可用的存储服务和大规模并行化的计算资源。随着云计算技术的普及，越来越多的数据被集中起来由有指定权限的用户所共享
如今的云存储服务面临着一个严峻的挑战，就是如何在数据大规模增长的情况下实现对这些数据的有效管理。为了实现云计算环境中数据管理的可伸缩性，重复数据删除技术吸引了越来越多的关注。重复数据删除技术是一种特殊的数据压缩技术，它用于删除在云计算中相同数据的重复的副本。该技术用于提高存储利用率，并且可以应用在网络数据传输过程中减少必要的传输字节。与对相同的数据保存多个副本不同，重复数据删除技术对相同数据只保留一个物理副本并将其它与此相同的数据指向该副本。虽然重复数据删除技术带来了很多好处，但是来自内部或外部的安全威胁对于用户敏感数据的安全性和隐私性的影响，也是需要考虑问题。虽然传统的加密方案可以提供数据保密性，但是与重复数据删除系统存在不兼容的问题。
具体来说，在传统加密方案中，不同的用户用各自不同的密钥来加密自己的数据，因此，来自不同用户的相同数据有着不同的密文形式，这使得重复数据的删除难以实现。收敛加密提供了一个可行的方法来实现重复数据删除。它在加/解密一个数据副本时用的是一个收敛的密钥，该密钥通过计算该数据副本内容的加密的哈希值产生。在密钥生成和数据加密之后，用户保留该密钥并且将密文发送到云中。由于采用的是确定性加密，所以相同的数据副本将产生相同的收敛密钥和相同的密文。
为了防止未经授权的访问，需要用一个安全的可证明数据拥有协议提供一个证据来证明用户真的拥有和出现重复副本的那个文件。证明之后，服务器将为这些具有相同文件的用户各自分派一个指针，而用户并不需要上传该相同的文件。用户可以利用服务器提供的指针来下载加密过的文件，该文件只能由相应的数据拥有者利用收敛密钥进行解密。因此，收敛加密技术可以让云实现对密文的重复数据删除，并且可以通过提供所有权证明来避免未经授权的用户对文件的访问。然而，以前的重复数据删除系统不支持分级权限的重复性检查，但是这类重复性检查在许多应用中却是十分重要的。例如，在一个公司中，许多不同的权限将被分配给员工。为了节约成本和有效的管理，数据将被转移到公共云中的存储服务器提供商(云服务器)，也同样使用重复数据删除技术来对相同的文件仅保存一个文件副本。而且，出于隐私性的考虑，一些文件将被加密并且仅允许一些具有指定权限的用户进行重复检查，从而实现访问控制。
传统的重复数据删除系统是基于收敛特性的，虽然它在一定程度上为数据提供了保密性，但它并不支持不同权限的副本检查。换句话说，在基于收敛性加密技术的重复数据删除系统中，不考虑有关差分授权的问题。这是因为数据去重和不同权限的副本检查本来是互相矛盾的。
为了证明现有技术的不足，本发明人首先利用前述的令牌发生器TagGen(F,kp)来设计一个这样的重复数据删除系统。假设系统中有n个用户，他们权限的集合为对中的每一个p都选择一个kp，对于一个拥有权限的集合PU的用户U，他将被分配一个密钥集{kpξ}Pξ∈PU。
文件上传：设想一个拥有权限集合PU的数据拥有者U想要上传文件F并将该文件与拥有权限集的用户共享，而且对每一个p∈PF，用户计算并向公共云存储服务提供商(云服务器)发送文件令牌φF，kp＝TagGen(F,kp)
如果在云服务器中发现了重复的副本，用户将进行对该文件的所有权的证明，若验证通过，用户将被分配一个指针，表示允许对该文件进行访问。
如果没有找到重复的副本，用户将利用收敛密钥kf＝KeyGenCE(F)计算加密文件CF＝EncCE(kF,F)并上传(CF，{φF，kp})到云服务器，其中，收敛密钥存储在用户本地。
文件检索：假设某用户希望下载文件F，首先向云服务器发送文件名和下载请求。云服务器接收到文件名及请求之后先验证该用户是否有权限下载文件F。如果验证失败，云服务器将返回给用户一个请求被拒绝，下载失败的信息。如果验证成功，云服务器将返回给用户相应的密文CF。用户接收到CF之后利用本地存储的密钥kF解密出原始文件F。
根据上述方法构建这样一个带有授权机制的重复数据删除系统存在一些严重的安全问题：
首先，每一个用户将根据其自身权限得到私钥集标记为PU。用户可以利用这个私钥集来生成文件令牌用于重复性检查。但是，在文件上传过程中，用户需要计算要与其它拥有权限PF的用户共享的文件令牌。为了生成这些令牌，用户需要知道PF的私钥，也就是说PF只能从PU中选取。这种限制使得带有授权机制的重复数据删除系统无法得到广泛的应用和限制。
其次，上述重复数据删除系统无法抵御由用户发起的共谋攻击。因为具有相同权限的用户会得到相同的私钥。所以，用户有可能合谋为新的权限P*产生特权私钥集，而该权限P*并不属于参与合谋的用户中的任何一个人。例如，一个拥有权限集的用户与另个一拥有权限集的用户合谋产生新的权限集
综上所述，现有技术存在的问题是：
现有技术中，这种结构本身就存在易受暴力破解的威胁，暴力破解的文件将被解密为已知文件。所以，该重复数据删除系统无法保护指定的文件。一个关键的原因就是传统的收敛性加密系统只能保护非确定性文件的语义
解决上述技术问题的难度和意义：
本发明的重复数据删除系统能够支持带有授权的重复性检查。在本发明中，引入了混合云体系架构，具体的说，为用户权限分配的私钥不再直接发送给用户，而是由一个私有云服务器来存储和管理；而另一方面，用户向私有云服务器发送请求才能得到文件令牌。这样，本发明解决了上述问题并提供了更高的安全性。
发明内容
针对现有技术存在的问题，本发明提供了一种工业控制中通信协议安全管理系统。
本发明是这样实现的，一种工业控制中通信协议安全管理系统，包括云服务器、私有云服务器以及多个拥有不同权限的用户，
所述用户向所述云服务器上传文件和/或数据并与其他用户共享；
所述用户在所述私有云服务器进行用户的身份证明；
所述身份证明通过后，所述私有云服务器在其存储的列表中搜索所述用户的相应权限；否则，返回户在所述私有云服务器进行用户的身份证明；同时，所述用户向所述私有云服务器发送请求文件令牌；
所述用户获得所述文件对应用户权限的令牌并发送至所述云服务器，所述云服务器收到所述文件令牌后向所述用户返回签名；
所述用户向所述私有云服务器发送所述文件和/或数据的权限集以及所述签名；
所述私有云服务器验证所述签名，通过后，所述私有云服务器将对每一个文件和/或数据权限集计算文件令牌并返回至所述用户；
所述用户使用收敛密钥计算加密的文件和/或数据并向所述云服务器上传密文和访问策略。
进一步，所述用户获得所述文件令牌并发送至所述云服务器，当发现存在重复副本时，还包括：
所述用户与所述云服务器同时验证所述文件和/或数据的所有权；
通过所有权验证后，所述云服务器向所述用户分配一个所述文件和/或数据的指针，并向所述用户返回签名；
所述用户向所述私有云服务器发送所述文件和/或数据的权限集以及所述签名；
所述私有云服务器验证所述签名，通过后，所述私有云服务器将对每一个用户所不具备的文件权限计算得出文件令牌并返回至所述用户；
所述用户将所述文件和/或数据的文件令牌上传至所述私有云服务器，并设置所述文件和/或数据的权限集。
进一步，工业控制中通信协议安全管理系统，包括云服务器、私有云服务器以及多个拥有不同权限的用户：
所述用户向所述云服务器上传文件和/或数据并与其他用户共享；
所述用户在所述私有云服务器进行用户的身份证明并将哈希函数发送至所述私有云服务器；
所述身份证明通过后，对所有满足条件的文件标签集将被给返回至用户；
所述用户收到标签后，将发送至与其交互的所述云服务器，所述云服务器收到所述标签后，将返回签名；
所述用户将所述签名与所述文件和/或数据权限集发送至所述私有云服务器以请求上传文件和/或数据；
所述私有云服务器接收所述请求后验证所述签名，通过后，所述私有云服务器计算文件令牌，并将计算的结果将返回给所述用户；
所述用户计算对所述文件和/或数据的加密密文、密钥的加密密文以及文件标签上传。
进一步，当发现存在重复副本时，还包括所述用户与所述云服务器同时验证所述文件和/或数据的所有权，验证通过后，所述用户将被分配一个所述文件和/或数据的指针。
本发明一种基于不同权限的重复数据删除的系统，所述系统包括云服务器、私有云服务器以及多个拥有不同权限的用户。
所述系统为混合云体系架构。
进一步，所述私有云服务器用于存储和管理为所述用户权限分配的私钥，以及与所述用户上传的文件和/或数据对应的文件令牌。
综上所述，本发明的优点及积极效果为：
本发明使用了工业控制中通信协议安全管理系统的混合云体系架构，提供了更高的安全性；本发明可以对工业控制中通信协议安全管理系统可预测其信息的文件保障其安全性。
附图说明
图1是本发明实施例提供的工业控制中通信协议安全管理系统示意图。
图中：1、云服务器；2、私有云服务器；3、拥有不同权限的用户。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
本发明为一种基于不同权限的重复数据删除的系统，包括云服务器1、私有云服务器2以及多个拥有不同权限的用户3。
所述系统为混合云体系架构。
进一步，所述私有云服务器用于存储和管理为所述用户权限分配的私钥，以及与所述用户上传的文件和/或数据对应的文件令牌。
本发明实施例提供的一种工业控制中通信协议安全管理系统，还包括云服务器、私有云服务器以及多个拥有不同权限的用户，所述方法包括以下步骤：
所述用户向所述云服务器上传文件和/或数据并与其他用户共享；
所述用户在所述私有云服务器进行用户的身份证明；
所述身份证明通过后，所述私有云服务器在其存储的列表中搜索所述用户的相应权限；否则，返回S2；同时，所述用户向所述私有云服务器发送请求文件令牌；
所述用户获得所述文件令牌并发送至所述云服务器，所述云服务器收到所述文件令牌后向所述用户返回签名；
所述用户向所述私有云服务器发送所述文件和/或数据的权限集以及所述签名；
所述私有云服务器验证所述签名，通过后，所述私有云服务器将对每一个文件和/或数据权限集计算并返回至所述用户；
所述用户使用收敛密钥计算加密的文件和/或数据并向所述云服务器上传和PF。
进一步，所述用户获得所述文件令牌并发送至所述云服务器，当发现存在重复副本时，还包括：
所述用户与所述云服务器同时验证所述文件和/或数据的所有权；
通过所有权验证后，所述云服务器向所述用户分配一个所述文件和/或数据的指针，并向所述用户返回签名；
所述用户向所述私有云服务器发送所述文件和/或数据的权限集以及所述签名；
所述私有云服务器验证所述签名，通过后，所述私有云服务器将对每一个pj∈PF-PU计算并返回至所述用户；其中，PU是数据拥有者之前在重复校验云服务器做查重询问时,已经由私有云服务器计算过，因此后面私有云服务器就不需要再计算Pu(请修改为PU)。因而只需要计算他不具备的文件权限Pf的部分，也就是Pf-PU。
所述用户将所述文件和/或数据的文件令牌上传至所述私有云服务器，并设置所述文件和/或数据的权限集。
根据上述方法，其具体实施例如下：
实施例一
先定义一个二元关系R＝{(p,p')}如下，给定两个权限p和p'，并当且仅当R(p,p')＝1时，p和p'是匹配的。
系统设置：假设系统中有n个用户，他们权限的集合为对每一个选择一个对称的密钥密钥的集合将被发送到私有云中。另外，还定义一种身份识别协议Π＝(Proof,Verify)，Proof跟Verify分别表示用于证明和验证的算法。还有，假设每一个用户U还拥有一个秘密密钥skU用于和服务器一起做身份识别。假设用户U拥有权限集PU，同时还启动PoW协议“POW”来为文件所有权做出证明。私有云服务器将维持一个表格，它存储了每个用户的公开信息pkU和相应的权限集PU。存储服务器的文件存储系统将被设置为⊥
文件上传：假设一个数据拥有者想要上传一个文件F并将该文件与拥有的权限属于PF＝{pj}的其它用户共享。数据拥有者需要在云服务器中进行重复性检查之前先于私有云进行一个交互。准确的说，数据拥有者需要做一个身份认证来证明与私钥sk的一致性。如果验证通过，私有云服务器将在其存储的列表里找到该数据拥有者相应的权限PU。该用户计算φF＝TagGen(F)并将它发送给私有云服务器，私有云服务器将对每一个符合R(p,pτ)＝1的pτ，返回给用户一个信息其中，p∈PU。然后，用户将与云服务器交互，向云服务器发送文件令牌
如果发现了重复副本，用户需要与云服务器同时运行PoW协议“POW”来证明对文件的所有权。如果所有权验证通过，用户将被非配一个该文件的指针。同时，将返回一个来自云服务器的证明，该证明可以是基于和时间戳的签名。然后，用户向私有云服务器发送关于文件F权限集PF＝{pj}和上述签名。在接收到该请求之后，私有云服务器首先向云服务器验证上述签名，如果验证通过，私有云服务器将对每一个pj∈PF-PU计算并返回给用户。用户也同时也将这些文件F的令牌上传到私有云服务器，然后该文件的权限集将被设置为pF。
如果没有发现重复副本，云服务器也将返回一个证明，该证明也是一个基于和时间戳的签名。用户向私有云服务器发送关于文件F权限集PF＝{pj}和上述签名。在接收到该请求之后，私有云服务器首先向云服务器验证上述签名，如果验证通过，私有云服务器将对每一个pj∈PF计算并返回给用户。最后，用户将利用收敛密钥kF＝KeyGenCE(F)计算加密的文件CF＝EncCE(kF,F)并上传和PF。
文件过滤：用户像之前第一次尝试中的那样来下载他自己的文件。也就是在收到来自云服务器的加密数据之后，用户可以用收敛密钥kF来解密出最原始的文件。
对本发明进一步改进，使其可抵御暴力破解带来的威胁：
工业控制中通信协议安全管理系统，包括云服务器、私有云服务器以及多个拥有不同权限的用户，所述方法包括以下步骤：
所述用户向所述云服务器上传文件和/或数据并与其他用户共享；
所述用户在所述私有云服务器进行用户的身份证明并将所述H(F)发送至所述私有云服务器；
所述身份证明通过后，对所有满足R(p,pτ)＝1的pτ的两个文件标签集和将被反馈给用户；
所述用户收到标签和后，将发送至与其交互的所述云服务器，所述云服务器收到所述标签后，将返回签名；
所述用户将所述签名与所述文件和/或数据权限集发送至所述私有云服务器以请求上传文件和/或数据；
所述私有云服务器接收所述请求后验证所述签名，通过后，所述私有云服务器对每一个pj∈P计算和并将计算的结果将返回给所述用户；
所述用户计算对所述文件和/或数据的加密CF＝EncSE(k,F)，用户上传
进一步，当发现存在重复副本时，还包括所述用户与所述云服务器同时验证所述所述文件和/或数据的所有权，验证通过后，所述用户将被分配一个所述文件和/或数据的指针。
根据上述改进方法，其具体实施例如下：
实施例二
在传统的收敛加密算法中，为了支持重复数据检查，密钥是通过文件F利用某种加密哈希函数kF＝H(F)得到的。为了避免生成确定性密钥，本发明中，文件F的加密密钥kF会在私钥云服务器和权限密钥kp的辅助下生成。加密密钥可以看做是其中H0,H,H2都是加密哈希函数。文件F将用另一个密钥k加密，k将被用密钥kF,p加密。这样，私有云服务器和云服务器都无法解密密文。此外，这对云服务器来说是一种基于对称加密的语义安全性。对云服务器来说文件是不可预知的，所以它也是语义安全的。为简单描述起见，下面用哈希函数来对它实例化，细节描述如下：
系统设置：定义权限集对每一个选择一个对称的密钥保存在私有云中，同时，依然定义一个身份识别协议Π＝(Proof,Verify)。对所有权POW的证明将由哈希函数H,H0,H1,H2来进行实例化，对这些哈希函数我们将在下文进行展示。私有云服务器会维持一个存储有每个用户的身份和相应权限的表格。
文件上传：假设一个拥有权限p的数据拥有者想要上传文件F并和其它的权限属于集合P＝{pj}的用户进行分享。数据拥有者将进行验证并将H(F)发送到私有云服务器。如果验证通过，对所有满足R(p,pτ)＝1的pτ的两个文件标签集和将被反馈给用户，用户接收到标签和后，将与云服务器交互并将此二标签发送给云服务器。如果发现了重复数据副本，用户需要与云服务器一起运行PoW协议POWF来证明对该文件的所有权，若果验证通过，用户将被分配一个该文件的指针。若没有发现重复的数据副本，云服务器将返回一个证明，该证明就是一个基于φ'F,p和时间戳的签名。用户将该证明与权限集P＝{pj}发送给私有云服务器以请求上传文件。私有云服务器接收到请求后首先验证签名，如果验证通过，私有云服务器将对每一个pj∈P计算和计算的结果将返回给用户。最后，用户计算对文件的加密CF＝EncSE(k,F)，其中k是一个随机密钥，它将在系统中用对称加密算法被中的每一个密钥加密到密文中。最终，用户上传
文件过滤：对于文件检索的过程就像我们前述的检索过程是一样的。假设用户想要下载文件F，用户必须先用自己的密钥加密并获得k，然后用k来解密文件F。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用全部或部分地以计算机程序产品的形式实现，所述计算机程序产品包括一个或多个计算机指令。在计算机上加载或执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输)。所述计算机可读取存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘SolidState Disk(SSD))等。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种工业控制中通信协议安全管理系统，其特征在于，所述工业控制中通信协议安全管理系统，包括云服务器、私有云服务器以及多个拥有不同权限的用户；
所述用户向所述云服务器上传文件和/或数据并与其他用户共享；
所述用户在所述私有云服务器进行用户的身份证明；
所述身份证明通过后，所述私有云服务器在其存储的列表中搜索所述用户的相应权限；否则，返回用户在所述私有云服务器进行用户的身份证明；同时，所述用户向所述私有云服务器发送请求文件令牌；
所述用户获得所述文件对应用户权限的令牌并发送至所述云服务器，所述云服务器收到所述文件令牌后向所述用户返回签名；
所述用户向所述私有云服务器发送所述文件和/或数据的权限集以及所述签名；
所述私有云服务器验证所述签名，通过后，所述私有云服务器将对每一个文件和/或数据权限集计算文件令牌并返回至所述用户；
所述用户使用收敛密钥计算加密的文件和/或数据并向所述云服务器上传密文和访问策略。
2.如权利要求1所述的工业控制中通信协议安全管理系统，其特征在于，所述用户获得所述文件令牌并发送至所述云服务器，当发现存在重复副本时，
所述用户与所述云服务器同时验证所述文件和/或数据的所有权；
通过所有权验证后，所述云服务器向所述用户分配一个所述文件和/或数据的指针，并向所述用户返回签名；
所述用户向所述私有云服务器发送所述文件和/或数据的权限集以及所述签名；
所述私有云服务器验证所述签名，通过后，所述私有云服务器将对每一个用户所不具备的文件权限计算得出文件令牌并返回至所述用户；
所述用户将所述文件和/或数据的文件令牌上传至所述私有云服务器，并设置所述文件和/或数据的权限集。
3.如权利要求1所述的工业控制中通信协议安全管理系统，其特征在于，所述的工业控制中通信协议安全管理系统还包括：
所述用户向所述云服务器上传文件和/或数据并与其他用户共享；
所述用户在所述私有云服务器进行用户的身份证明并将哈希函数发送至所述私有云服务器；
所述身份证明通过后，对所有满足条件的文件标签集将被给返回至用户；
所述用户收到标签后，将发送至与其交互的所述云服务器，所述云服务器收到所述标签后，将返回签名；
所述用户将所述签名与所述文件和/或数据权限集发送至所述私有云服务器以请求上传文件和/或数据；
所述私有云服务器接收所述请求后验证所述签名，通过后，所述私有云服务器计算文件令牌，并将计算的结果将返回给所述用户；
所述用户计算对所述文件和/或数据的加密密文、密钥的加密密文以及文件标签上传；
当发现存在重复副本时，还包括所述用户与所述云服务器同时验证所述所述文件和/或数据的所有权，验证通过后，所述用户将被分配一个所述文件和/或数据的指针。
4.一种如权利要求1所述的工业控制中通信协议安全管理系统的基于不同权限的重复数据删除的系统，其特征在于，所述系统包括云服务器、私有云服务器以及多个拥有不同权限的用户；
所述系统为混合云体系架构；
所述私有云服务器用于存储和管理为所述用户权限分配的私钥，以及与所述用户上传的文件和/或数据对应的文件令牌。
5.一种搭载有实现权利要求1～4任意一项所述工业控制中通信协议安全管理系统的信息数据处理终端。
CN201810195473.XA 2018-03-09 2018-03-09 一种工业控制中通信协议安全管理系统 Pending CN108600160A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810195473.XA CN108600160A (zh) 2018-03-09 2018-03-09 一种工业控制中通信协议安全管理系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810195473.XA CN108600160A (zh) 2018-03-09 2018-03-09 一种工业控制中通信协议安全管理系统

Publications (1)

Publication Number Publication Date
CN108600160A true CN108600160A (zh) 2018-09-28

Family

ID=63625854

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810195473.XA Pending CN108600160A (zh) 2018-03-09 2018-03-09 一种工业控制中通信协议安全管理系统

Country Status (1)

Country Link
CN (1) CN108600160A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110460566A (zh) * 2019-06-26 2019-11-15 北京广利核系统工程有限公司 基于令牌的工业网络数据防篡改方法和系统
CN115049356A (zh) * 2022-05-23 2022-09-13 中国人民解放军火箭军工程大学 一种基于对象所有权动态分配与时效限制的协同操作并发冲突控制方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103780607A (zh) * 2014-01-13 2014-05-07 西安电子科技大学 基于不同权限的重复数据删除的方法及其系统
CN105939191A (zh) * 2016-07-08 2016-09-14 南京理工大学 一种云存储中密文数据的客户端安全去重方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103780607A (zh) * 2014-01-13 2014-05-07 西安电子科技大学 基于不同权限的重复数据删除的方法及其系统
CN105939191A (zh) * 2016-07-08 2016-09-14 南京理工大学 一种云存储中密文数据的客户端安全去重方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110460566A (zh) * 2019-06-26 2019-11-15 北京广利核系统工程有限公司 基于令牌的工业网络数据防篡改方法和系统
CN115049356A (zh) * 2022-05-23 2022-09-13 中国人民解放军火箭军工程大学 一种基于对象所有权动态分配与时效限制的协同操作并发冲突控制方法
CN115049356B (zh) * 2022-05-23 2023-09-29 中国人民解放军火箭军工程大学 一种基于对象所有权动态分配与时效限制的协同操作并发冲突控制方法

Similar Documents

Publication Publication Date Title
Zhang et al. Attribute-based access control for smart cities: A smart-contract-driven framework
WO2019214211A1 (zh) 基于区块链的用户数据授权方法、介质、装置和计算设备
CN103780607B (zh) 基于不同权限的重复数据删除的方法
US9088538B2 (en) Secure network storage
US8914632B1 (en) Use of access control lists in the automated management of encryption keys
Yong et al. Secure cloud storage based on cryptographic techniques
CN105378649A (zh) 多权限数据安全和访问
JP2012518330A (ja) 高信頼なクラウド・コンピューティングおよびクラウド・サービスのフレームワーク
US20150205973A1 (en) Method and apparatus for providing data sharing
Kumbhare et al. Designing a secure storage repository for sharing scientific datasets using public clouds
Nair et al. Blockchain‐Based Decentralized Cloud Solutions for Data Transfer
CN108600160A (zh) 一种工业控制中通信协议安全管理系统
Sharma et al. Blockchain-based distributed application for multimedia system using Hyperledger Fabric
Sevis et al. Survey on data integrity in cloud
Sandhia et al. Multi-authority-based file hierarchy hidden CP-ABE scheme for cloud security
Piechotta et al. A secure dynamic collaboration environment in a cloud context
CN107786662A (zh) 一种高效率的通信信息处理方法
Liu et al. A fusion data security protection scheme for sensitive E-documents in the open network environment
Silambarasan et al. Attribute-based convergent encryption key management for secure deduplication in cloud
Thota et al. Split key management framework for Open Stack Swift object storage cloud
Hoffmann et al. Towards an architecture for end-to-end-encrypted file synchronization systems
Xu et al. A multi-client dynamic searchable symmetric encryption system with physical deletion
Go et al. Dual server-based secure data-storage system for cloud storage
Raja et al. An enhanced study on cloud data services using security technologies
Zhang et al. BC-SSES: Secure Storage Extension and Sharing Method for Blockchain

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20180928

WD01 Invention patent application deemed withdrawn after publication