CN110198217A - 一种面向数据资源分块存储的用户安全访问结构及方法 - Google Patents

一种面向数据资源分块存储的用户安全访问结构及方法 Download PDF

Info

Publication number
CN110198217A
CN110198217A CN201910421091.9A CN201910421091A CN110198217A CN 110198217 A CN110198217 A CN 110198217A CN 201910421091 A CN201910421091 A CN 201910421091A CN 110198217 A CN110198217 A CN 110198217A
Authority
CN
China
Prior art keywords
user
virtual machine
data block
private key
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910421091.9A
Other languages
English (en)
Other versions
CN110198217B (zh
Inventor
李运发
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou Dianzi University
Original Assignee
Hangzhou Dianzi University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou Dianzi University filed Critical Hangzhou Dianzi University
Priority to CN201910421091.9A priority Critical patent/CN110198217B/zh
Publication of CN110198217A publication Critical patent/CN110198217A/zh
Application granted granted Critical
Publication of CN110198217B publication Critical patent/CN110198217B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3252—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using DSA or related signature schemes, e.g. elliptic based signatures, ElGamal or Schnorr schemes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computer And Data Communications (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开一种面向数据资源分块存储的用户安全访问结构及方法。结构包括云服务器和用户，云服务器包括：虚拟机管理器和若干虚拟机。方法包括用户的数据资源需求申请；虚拟机管理器对用户身份的认证；虚拟机管理器对用户所需的数据资源进行检索,并将检索结果信息向用户进行发送；用户对检索结果信息进行接收；用户根据接收的检索结果信息进行数据块公钥和数据块私钥的参数信息的产生；用户将数据块私钥的参数信息向虚拟机管理器进行传输；虚拟机管理器向虚拟机传输用户发送的私钥参数信息和传输命令；虚拟机中数据块私钥的产生；虚拟机中数据块的签名与传输；用户对签名数据块的接收与认证；用户对数据块的合并。使合法用户更加安全访问资源。

Description

一种面向数据资源分块存储的用户安全访问结构及方法
技术领域
本发明属于云服务器中数据资源存储的安全服务领域，具体涉一种面向数据资源分块存储的用户安全访问结构及方法。
背景技术
物联网与云存储技术的结合导致了云计算中数据资源的迅猛增长。越来越多的传感器数据被传输到云服务器并通过云服务器向用户提供数据服务。与此同时，非法用户对云端数据资源的破坏、窃取和伪装也在不断增加。在此情况下，在云服务器中，合法用户对数据资源的使用所面临的安全威胁也更加严重。
为了维护云服务器端数据资源的安全，在传感数据被存储到云服务器的时候，人们都采用分块存储的方式，即将数据资源分割存储，存储在云服务器中不同的虚拟空间。在向用户提供服务时，通过不同的虚拟机将分块的数据源传输给用户，向用户提供相应的服务。
虽然分割存储能够在一定程度上维护数据资源在云服务器中的安全，但是，随着数据资源的不断丰富和发展，用户数量急剧攀升，用户的各种行为(如数据挖掘、数据搜索等)对数据资源的安全性造成影响，使得数据资源遭泄密的可能性大大加强。同时，非法用户通过网络攻击获取数据资源的手段和方式不断更新，其行为越来越诡秘，对其数据资源的安全威胁越来越大。在此状况下，存储在云服务器里的数据资源就无法避免被非法操作、窃取和伪装的问题。这些问题的存在，使得合法用户对云服务器所提供的数据资源充满了疑惑，难以相信云服务器所提供的数据资源是真实的和安全的。
针对上述问题和矛盾，在遵循数据资源分块存储和云服务器虚拟服务的机制上，将首先构建面向数据资源分块存储的用户安全访问的结构模型。在此基础上，构建面向数据资源分块存储的用户安全访问的实现过程。最后，针对用户安全访问的实现过程需要，提出了数据块的公钥产生算法、数据块的私钥产生与跟新算法、数据块的签名算法、数据块的签名验证算法。建立了面向数据资源分块存储的用户安全访问的签名认证算法。通过这种面向数据资源分块存储的用户安全访问的结构模型和签名认证算法，能够确保合法用户能够安全、有效的访问云服务器中分块存储的数据资源。
发明内容
鉴于上述问题的存在，本发明提供了一种面向数据资源分块存储的用户安全访问结构及方法，及其目的就是在云服务器中，针对数据资源的分块存储方式，在用户访问云服务器中的数据资源的过程中，为用户提供一种安全有效的访问方法，使用户能够安全、有效的访问云服务器中分块存储的数据资源，为云服务器的虚拟服务提供安全支持，它涉及面向数据资源分块存储的用户安全访问的结构模型和签名认证算法。为此，构建了面向数据资源分块存储的用户安全访问的结构模型和签名认证算法。其中，面向数据资源分块存储的用户安全访问的结构模型包括：面向数据资源分块存储的用户安全访问的结构模型图和面向数据资源分块存储的用户安全访问的实现过程；面向数据资源分块存储的用户安全访问的签名认证算法包括：数据块的公钥产生算法、数据块的私钥产生与跟新算法、数据块的签名算法、数据块的签名验证算法。
通过这种面向数据资源分块存储的用户安全访问的结构模型和签名认证算法，在云服务器中实现了合法用户对分块存储的数据资源的安全访问。
面向数据资源分块存储的用户安全访问的结构，包括云服务器和用户两部分，其特征在于所述的云服务器包括：虚拟机管理器和若干虚拟机，所述虚拟机管理器用于对虚拟机进行管理、对用户身份进行验证、接收用户发送来的信息、对用户的访问申请提供检索和服务、向虚拟机传输用户发送的私钥的参数信息；所述虚拟机用于存储分块的数据资源、接收虚拟机管理器发送来的私钥的参数信息、产生私钥，向用户进行数据信息的签名和发送、接收虚拟机管理器发送来的命令；所述用户向虚拟机管理器发送数据资源需求申请、接收虚拟机管理器发送来的检索信息、向虚拟机管理器发送私钥的参数信息、产生公钥、接收虚拟机发送来的签名信息、对接收的签名信息进行认证、对通过认证的数据信息进行合并，所述云服务器包含用户所需的所有数据资源块，且分别存储于不同的虚拟机中，虚拟机管理器、虚拟机和用户之间的信息传输都遵循SSL或TLS协议。
一种基于面向数据资源分块存储的用户安全访问结构的访问方法，包括(1)用户的数据资源需求申请；(2)虚拟机管理器对用户身份的认证；(3)虚拟机管理器对用户所需的数据资源进行检索,并将检索结果信息向用户进行发送；(4)用户对检索结果信息进行接收；(5)用户根据接收的检索结果信息进行数据块公钥和数据块私钥的参数信息的产生；(6)用户将数据块私钥的参数信息向虚拟机管理器进行传输；(7)虚拟机管理器向虚拟机传输用户发送的私钥参数信息和传输命令；(8)虚拟机中数据块私钥的产生；(9)虚拟机中数据块的签名与传输；(10)用户对签名数据块的接收与认证；(11)用户对数据块的合并。
进一步的，所述的安全访问方法具体步骤如下：
第一步：用户首先根据椭圆型曲线加密方法产生一个公钥PK(U)和相应的私钥SK(U)；然后，再使用私钥SK(U)将所需的数据资源DB和自己的身份信息ID(U)进行签名，即(DB||ID(U))SK(U)；然后，将签名消息(DB||ID(U))SK(U)发送给云服务器的虚拟机管理器；
第二步：虚拟机管理器在接收到用户发送来的签名消息后使用用户的公钥PK(U)对签名消息(DB||ID(U))SK(U)进行认证；如果认证成功，则转到第三步，否则，显示“申请认证失败”，则转到第十七步；
第三步：虚拟机管理器在自己的数据资源存储数据库中检索用户所需的数据资源DB，确定其数据资源的分块状况(n)和每个数据块在虚拟机(VMi)中的存储，i∈{1,2,3,...,n}；
第四步：虚拟机管理器根据椭圆型曲线加密方法，产生一个公钥PK(VMM)和相应的私钥SK(VMM)；然后，使用公钥PK(VMM)对数据资源的分块状况(n)、数据块(DBi)和数据块(DBi)在虚拟机(VMi)的存储信息(即DBi＜VMi)进行加密，再将其加密文件(n||DBi||(DBi＜VMi))PK(VMM)经SSL或TLS发送用户。
第五步：用户在接收到加密文件(n||DBi||(DBi＜VMi))PK(VMM)后，向虚拟机管理器申请私钥SK(VMM)；
第六步：虚拟机管理器在接收到用户的私钥申请后，将私钥SK(VMM)经SSL或TLS发送用户；
第七步：用户在接收到虚拟机管理器发送的私钥SK(VMM)后，对接收的加密文件(n||DBi||(DBi＜VMi))PK(VMM)进行解密；
第八步：用户对加密文件(n||DBi||(DBi＜VMi))PK(VMM)进行解密后，根据数据资源的分块状况(n)、数据块(DBi)和数据块(DBi)在虚拟机(VMi)的存储信息，产生所有数据块的公钥PK(DB)和数据块私钥的参数信息ξ，ψ和N；然后，经SSL或TLS将数据块私钥的参数信息ξ、ψ、N传输给云服务器上的虚拟机管理器；
第九步：虚拟机管理器在接收到数据块(DBi)私钥的参数信息ξ，ψ和N后，分别向虚拟机VMi(i∈{1,2,3,...,n})传输ti,1、ψ、N和传输命令；
第十步：虚拟机VMi(i∈{1,2,3,...,n})在接收到ti,1、ψ和N后，计算数据块(DBi)在初始时段(即t＝1阶段)的私钥；
第十一步：虚拟机VMi根据时间的不断变化，计算数据块(DBi)在当下时段的私钥，即t＝i阶段，i∈{1,2,3,...,n}；
第十二步：虚拟机VMi根据虚拟机管理器发送来的传输命令，将所需发送数据块DBi进行签名，并将签名信息传输给用户；
第十三步：用户接收虚拟机VMi发送来的签名消息并对签名消息进行验证，如果验证成功，则转第十四步，否则，则转第十二步；
第十四步：用户接收虚拟机VMi发送来的接收数据块DBi并保存；
第十五步：用户判断数据块DBi是否接收完毕，如果是，则转第十六步，否则，则转第十步；
第十六步：用户合并所有数据块DBi即DB＝(DB1||DB2||...||DBn)，其中i∈{1,2,3,...,n}；
第十七步：结束。
进一步的，所述的签名认证算法主要包括(1)数据块的公钥产生算法；(2)数据块的私钥产生与跟新算法；(3)数据块的签名算法；(4)数据块的签名验证算法；所述第八步采用数据块的公钥产生算法产生所有数据块的公钥PK(DB)和数据块私钥的参数信息ξ，ψ和N；所述第十步中采用的数据块的私钥产生与跟新算法计算数据块(DBi)在初始时段(即t＝1阶段)的私钥；所述第十一步中，采用数据块的私钥产生与跟新算法计算数据块(DBi)在当下时段(即t＝i阶段，i∈{1,2,3,...,n})的私钥。
进一步的，所述的数据块的公钥产生算法中，用户为每个数据块产生一个相同的公钥，在此算法中，为每个数据块产生私钥的一些参数，虚拟机在接收到这些私钥参数时能够产生私钥，并能根据时间段的不同进行私钥的更新，所述的数据块的公钥产生算法具体方法如下：
步骤11：用户随机选择两个比较大的素数P和Q并计算P和Q的乘积，即N＝P*Q；
步骤12：用户计算并随机选择一个模N的的生成元R1，即
步骤13：用户确定所需数据资源在云服务器上的分块块数n，并随机选择一个比较大的整数L，计算A＝L2，使其n＜A；
步骤14：用户在区间[A，2A)之间随机选择一个整数ai即ai∈[A，2A)，且i∈{1,2,3,...,n}，并使ai与互素，n＜A，ai与aj互素，即gcd(ai,aj)＝1，其中，i∈{1,2,3,...,n}，j∈{1,2,3,...,n}，i≠j；
步骤15：：用户随机选择一个比较大的整数T，并计算B1＝A(1+(i-1)/T)，B2＝A(1+i/T)，其中1≤i≤T；
步骤16：用户在区间[B1，B2)之间随机选择一个整数bi即bi∈[B1，B2)，且i∈{1,2,3,...,k}，k≤T，并使bi与互素，bi与bj互素，即gcd(bi,bj)＝1，其中，i∈{1,2,3,...,k}，j∈{1,2,3,...,k}，i≠j；
步骤17：用户计算
步骤18：用户计算其中1≤i≤n；
步骤19：用户计算并将PK(DB)作为所有数据块DBi的公钥，其中1≤i≤n；
步骤110：用户分别将数据块的私钥的参数信息ξ＝{t1,1||t2,1||t3,1||...||ti,1||...||tn,1}，ψ＝{b1||b2||...||bj||...||bT}和N经SSL或TLS传输给云服务器上的虚拟机管理器。
步骤111：结束。
进一步的，所述的数据块的私钥产生与跟新算法中，虚拟机管理器接收用户发送来的数据块私钥的参数信息并能将这些信息传输给相应的虚拟机；虚拟机在接收到虚拟机管理器发送来的这些私钥参数信息时能够产生私钥，并能根据时间段的不同进行私钥的更新。
进一步的，所述的数据块的私钥产生与跟新算法具体步骤如下：
步骤21：虚拟机管理器接收用户传输来的数据块的私钥的参数信息ξ＝{t1,1||t2,1||t3,1||...||ti,1||...||tn,1}，ψ＝{b1||b2||...||bj||...||bT}和N；
步骤22：虚拟机管理器在接收用户传输来的数据块的私钥的参数信息ξ＝{t1,1||t2,1||t3,1||...||ti,1||...||tn,1}，ψ＝{b1||b2||...||bj||...||bT}和N后，分别向虚拟机VMi(i∈{1,2,3,...,n})传输ti,1、ψ＝{b1||b2||...||bj||...||bT}和N；
步骤23：虚拟机VMi(i∈{1,2,3,...,n})在接收到数据块的私钥的参数信息ti,1、ψ＝{b1||b2||...||bj||...||bT}和N后，计算
步骤24：在t＝1阶段，虚拟机VMi(i∈{1,2,3,...,n})产生数据块DBi的私钥SKi,1(DBi)＝{i||1||αi||b1||Si,1||ti,2||ψ}；
步骤25：在t＝j阶段，j∈{1,2,3,...,k-1}，k≤T，虚拟机VMi(i∈{1,2,3,...,n})产生自己的私钥SKi,j(DBi)＝{i||j||αi||bj||Si,j||ti,j+1||ψ}，其中
步骤26：在t＝j+1阶段，j+1∈{1,2,3,...,k}，k≤T，虚拟机VMi(i∈{1,2,3,...,n})产生跟新自己的私钥SKi,j+1(DBi)＝{i||j||αi||bj+1||Si,j+1||ti,j+2||ψ}，
步骤27：结束。
进一步的，所述的数据块的签名算法中，虚拟机接收虚拟机管理器发送的传输命令并在不同的时间阶段根据私钥的更新对数据块进行相应的数字签名；所述的数据块的签名算法具体步骤如下：
假设在虚拟机VMi上的数据块DBi需要传输给合法用户，虚拟机在接收到虚拟机管理器发送了的传输命令后，将对数据块DBi进行如下的操作
步骤31：在t＝j阶段，j∈{1,2,3,...,k}，k≤T，虚拟机VMi(i∈{1,2,3,...,n})随机选择一个模N的的生成元R2，即
步骤32：虚拟机VMi计算
步骤33：虚拟机VMi计算
步骤34：虚拟机VMi对数据块DBi进行签名，即
步骤35：虚拟机VMi将签名消息传输给用户。
进一步的，所述的签名验证算法中，用户一方面能够接收各虚拟机传输来的签名信息并能使用唯一公钥对不同虚拟机传输来的不同签名信息进行签名验证，另一方面能够对签名验证通过的数据块信息进行合并。
进一步的，所述的签名验证算法具体步骤如下：
步骤41：用户接收虚拟机VMi发送来的签名消息i∈{1,2,3,...,n}；
步骤42：用户使用签名消息进行计算并判断下面等式f＝0modN是否成立，如果成立，则转到步骤43，否则，转到步骤41；
步骤43：用户使用数据块公钥和签名消息进行计算
步骤44：用户判断等式是否成立，如果成立，则转到步骤45，否则，转到步骤41；
步骤45：合法用户保存DBi并判定所有数据块是否接受完毕，如果是，转到步骤46，如果不是，转到步骤41。
步骤46：合法用户合并所有数据块DBi，即DB＝(DB1||DB2||...||DBn)；
步骤47：结束。
总之，面向数据资源分块存储的用户安全访问方法具有以下优点及其效果：
1、采用了新的面向数据资源分块存储的用户安全访问的结构模型
本结构模型在遵循数据资源分块存储和虚拟服务的机制的基础上，将模型划分成两个部分：即云服务器和用户两部分。而在云服务器中，除了虚拟化出来的虚拟机外，还增加了虚拟机管理器，其目的是为了增强用户身份验证的安全性，增加用户所需数据资源检索的方便性、增加对虚拟机管理的方便性。
2、采用了新的面向数据资源分块存储的用户安全访问的实现过程
本实现过程包含用户对数据资源的需求申请、虚拟机管理器对用户身份的认证、虚拟机管理器对用户所需的数据资源的检索、数据块公钥的产生、用户向虚拟机管理器发送产生私钥的参数信息、虚拟机管理器向各虚拟机传输相应的产生私钥的参数信息、数据块私钥的产生与更新、数据块的签名与发送、签名数据块的接收与认证、数据块的合并等。这种实现过程增加了用户与虚拟机管理器的身份认证、减少了用户与各虚拟机之间的认证，从而大大减少了用户与虚拟机的身份认证过程，从而大大提高了认证效率。同时，在这种实现过程中，数据块私钥的产生与更新、数据块的签名与发送都是各虚拟机通过本发明的签名认证算法实现的，从而减少了用户与各虚拟机之间的通信开销。
3、采用了新的数据块的公钥产生算法
在本发明的数据块的公钥产生算法中，用户为每个数据块产生一个相同的公钥，减少了公钥的计算量，也减少了公钥在不同阶段的更新量。在此算法中，为每个数据块产生私钥的一些参数，虚拟机在接收到这些私钥参数时能够产生私钥，并能根据时间段的不同进行私钥的更新。这种将私钥的产生置于各虚拟机并使每个数据块的私钥各不同相同的方法一方面能够增加数据块传输的安全性，另一方面也能增加用户数据认证的准确性。
4、采用了新的数据块的私钥产生与跟新算法
在本发明的数据块的私钥产生与跟新算法中，虚拟机管理器能够接收用户发送来的数据块私钥的参数信息并能将这些信息传输给相应的虚拟机。虚拟机在接收到虚拟机管理器发送来的这些私钥参数信息时能够产生私钥，并能根据时间段的不同进行私钥的更新，这一方面保证了私钥在不同阶段的安全性，另一方面也保证了私钥签名时的安全性。
5、采用了新的数据块的签名算法
在本发明的数据块的签名算法能在不同的时间阶段能够根据私钥的更新对数据块进行相应的数字签名，这一方面保证了新加入的用户难以获取前一阶段传输的数据，另一方面也增加了新退出的用户获取后一阶段传输数据的难度，从而能够更有效的保护数据资源的安全。
6、采用了新的数据块的签名验证算法
在本发明的数据块的签名验证算法一方面让用户能够接收各虚拟机传输来的签名信息并能使用唯一公钥对不同虚拟机传输来的不同签名信息进行签名验证，另一方面让用户能够对签名验证通过的数据块信息进行合并，从而保证了数据资源的安全性和完整性。
附图说明
图1面向数据资源分块存储的用户安全访问的结构模型图；
图2面向数据资源分块存储的用户安全访问的实现过程图。
具体实施方式
下面结合附图对本发明作进一步说明。
本发明的面向数据资源分块存储的用户安全访问方法，包括：面向数据资源分块存储的用户安全访问的结构模型和签名认证算法。而面向数据资源分块存储的用户安全访问的结构模型型如图1所示，主要包括云服务器和用户两部分。而在云服务器中，则包括：虚拟机管理器、虚拟机1、虚拟机2、….虚拟机n。其中，虚拟机管理器的主要作用是：对虚拟机进行管理、对用户身份进行验证、接收用户发送来的信息、对用户的访问申请提供检索和服务、向虚拟机传输用户发送的密钥信息；虚拟机的主要作用是：存储分块的数据资源、接收虚拟机管理器发送来的密钥信息、产生私钥，向用户进行数据信息的签名和发送、接收虚拟机管理器发送来的命令；用户的主要作用是：向虚拟机管理器发送数据资源需求申请、接收虚拟机管理器发送来的检索信息、向虚拟机管理器发送密钥信息、产生公钥、向虚拟机发送申请、接收虚拟机发送来的签名信息、对接收的签名信息进行认证、对通过认证的数据信息进行合并。在此签名认证的结构模型中，约定云服务器包含用户所需的所有数据资源块，且分别存储于不同的虚拟机中，虚拟机管理器、虚拟机和用户之间的信息传输都遵循SSL(Secure socket layer)或TLS(Transport later security)协议。
用户安全访问的过程包括：(1)用户的数据资源需求申请；(2)虚拟机管理器对用户身份的认证；(3)虚拟机管理器对用户所需的数据资源进行检索,并将检索结果信息向用户进行发送；(4)用户对检索结果信息进行接收；(5)用户根据接收的检索结果信息进行数据块公钥和数据块私钥的参数信息的产生；(6)用户将数据块私钥的参数信息向虚拟机管理器进行传输；(7)虚拟机管理器向虚拟机传输用户发送的私钥参数信息和传输命令；(8)虚拟机中数据块私钥的产生；(9)虚拟机中数据块的签名与传输；(10)用户对签名数据块的接收与认证；(11)用户对数据块的合并。
其中，用户主要负责向虚拟机管理器发送数据资源需求申请、负责接收虚拟机管理器发送来的数据资源的检索信息、负责产生数据块的公钥和数据块的私钥参数信息、负责向虚拟机管理器发送数据块的私钥参数信息、负责接收虚拟机发送来的数据块的签名信息、负责签名数据块的签名认证和合并。虚拟机管理器主要负责虚拟机的管理、负责用户的身份认证、负责接收用户传输来的信息、负责向虚拟机传输用户发送的数据块的私钥参数信息、负责用户所需的数据资源的检索和发送。虚拟机主要负责存储分块的数据资源、负责接收虚拟机管理器发送来的命令和数据块的私钥参数信息、负责私钥的产生，负责数据块的签名和发送。
本发明的用户安全访问方法的实现过程如图2所示，可以描述如下：
第一步：用户首先根据椭圆型曲线加密方法产生一个公钥PK(U)和相应的私钥SK(U)。然后，再使用私钥SK(U)将所需的数据资源DB和自己的身份信息ID(U)进行签名，即(DB||ID(U))SK(U)；然后，将签名消息(DB||ID(U))SK(U)发送给云服务器的虚拟机管理器。
第二步：虚拟机管理器在接收到用户发送来的签名消息后使用用户的公钥PK(U)对签名消息(DB||ID(U))SK(U)进行认证。如果认证成功，则转到第三步，否则，显示“申请认证失败”，则转到第十七步。
第三步：虚拟机管理器在自己的数据资源存储数据库中检索用户所需的数据资源DB，确定其数据资源的分块状况(n)和每个数据块在虚拟机(VMi)(这里i∈{1,2,3,...,n})中的存储。
第四步：虚拟机管理器根据椭圆型曲线加密方法，产生一个公钥PK(VMM)和相应的私钥SK(VMM)。然后，使用公钥PK(VMM)对数据资源的分块状况(n)、数据块(DBi)和数据块(DBi)在虚拟机(VMi)的存储信息(即DBi＜VMi)进行加密，再将其加密文件(n||DBi||(DBi＜VMi))PK(VMM)经SSL或TLS发送用户。
第五步：用户在接收到加密文件(n||DBi||(DBi＜VMi))PK(VMM)后，向虚拟机管理器申请私钥SK(VMM)。
第六步：虚拟机管理器在接收到用户的私钥申请后，将私钥SK(VMM)经SSL或TLS发送用户。
第七步：用户在接收到虚拟机管理器发送的私钥SK(VMM)后，对接收的加密文件(n||DBi||(DBi＜VMi))PK(VMM)进行解密。
第八步：用户对加密文件(n||DBi||(DBi＜VMi))PK(VMM)进行解密后，根据数据资源的分块状况(n)、数据块(DBi)和数据块(DBi)在虚拟机(VMi)的存储信息，采用本发明的数据块的公钥产生算法产生所有数据块的公钥PK(DB)和数据块私钥的参数信息ξ，ψ和N。然后，经SSL或TLS将数据块私钥的参数信息ξ、ψ、N传输给云服务器上的虚拟机管理器。
第九步：虚拟机管理器在接收到数据块(DBi)私钥的参数信息ξ，ψ和N后，分别向虚拟机VMi(i∈{1,2,3,...,n})传输ti,1、ψ、N和传输命令。
第十步：虚拟机VMi(i∈{1,2,3,...,n})在接收到ti,1、ψ和N后，采用本发明的数据块的私钥产生与跟新算法计算数据块(DBi)在初始时段(即t＝1阶段)的私钥。
第十一步：虚拟机VMi根据时间的不断变化，采用本发明的数据块的私钥产生与跟新算法计算数据块(DBi)在当下时段(即t＝i阶段，i∈{1,2,3,...,n})的私钥。
第十二步：虚拟机VMi根据虚拟机管理器发送来的传输命令，将所需发送数据块DBi进行签名，并将签名信息传输给用户。
第十三步：用户接收虚拟机VMi发送来的签名消息并对签名消息进行验证，如果验证成功，则转第十四步，否则，则转第十二步。
第十四步：用户接收虚拟机VMi发送来的接收数据块DBi并保存。
第十五步：用户判断数据块DBi是否接收完毕？如果是，则转第十六步，否则，则转第十步。
第十六步：用户合并所有数据块DBi(i∈{1,2,3,...,n})即DB＝(DB1||DB2||...||DBn)。
第十七步：结束。
从数据资源分块存储和云服务器虚拟服务的机制上，本数据资源分块存储的用户安全访问的签名认证算法的主要发明包括:(1)数据块的公钥产生算法；(2)数据块的私钥产生与跟新算法；(3)数据块的签名算法；(4)数据块的签名验证算法。
算法1：数据块的公钥产生算法
为了解决上述问题，在本发明的数据块的公钥产生算法中，用户为每个数据块产生一个相同的公钥，从而减少了公钥的计算量，也减少了公钥在不同阶段的更新量。在此算法中，为每个数据块产生私钥的一些参数，虚拟机在接收到这些私钥参数时能够产生私钥，并能根据时间段的不同进行私钥的更新。这种将私钥的产生置于各虚拟机并使每个数据块的私钥各不同相同的方法一方面能够增加数据块传输的安全性，另一方面也能增加用户数据认证的准确性。
步骤11：用户随机选择两个比较大的素数P和Q并计算P和Q的乘积，即N＝P*Q。
步骤12：用户计算并随机选择一个模N的的生成元R1，即
步骤13：用户确定所需数据资源在云服务器上的分块块数n，并随机选择一个比较大的整数L，计算A＝L2，使其n＜A。
步骤14：用户在区间[A，2A)之间随机选择一个整数ai(即ai∈[A，2A)，且i∈{1,2,3,...,n}，n＜A)并使ai与互素，ai与aj互素(即gcd(ai,aj)＝1，其中，i∈{1,2,3,...,n}，j∈{1,2,3,...,n}，i≠j)。
步骤15：用户随机选择一个比较大的整数T，并计算B1＝A(1+(i-1)/T)，B2＝A(1+i/T)(这里1≤i≤T)。
步骤16：用户在区间[B1，B2)之间随机选择一个整数bi(即bi∈[B1，B2)，且i∈{1,2,3,...,k}，k≤T)并使bi与互素，bi与bj互素(即gcd(bi,bj)＝1，其中，i∈{1,2,3,...,k}，j∈{1,2,3,...,k}，i≠j)。
步骤17：用户计算
步骤18：用户计算(这里1≤i≤n)。
步骤19：用户计算并将PK(DB)作为所有数据块DBi的公钥(这里1≤i≤n)。
步骤110：用户分别将数据块的私钥的参数信息ξ＝{t1,1||t2,1||t3,1||...||ti,1||...||tn,1}，ψ＝{b1||b2||...||bj||...||bT}和N经SSL或TLS传输给云服务器上的虚拟机管理器。
步骤111：结束。
算法2：数据块的私钥产生与跟新算法
为了解决上述问题，在本发明的数据块的私钥产生与跟新算法中，虚拟机管理器能够接收用户发送来的数据块私钥的参数信息并能将这些信息传输给相应的虚拟机。虚拟机在接收到虚拟机管理器发送来的这些私钥参数信息时能够产生私钥，并能根据时间段的不同进行私钥的更新，这一方面保证了私钥在不同阶段的安全性，另一方面也保证了私钥签名时的安全性。
步骤21：虚拟机管理器接收用户传输来的数据块的私钥的参数信息ξ＝{t1,1||t2,1||t3,1||...||ti,1||...||tn,1}，ψ＝{b1||b2||...||bj||...||bT}和N。
步骤22：虚拟机管理器在接收用户传输来的数据块的私钥的参数信息ξ＝{t1,1||t2,1||t3,1||...||ti,1||...||tn,1}，ψ＝{b1||b2||...||bj||...||bT}和N后，分别向虚拟机VMi(i∈{1,2,3,...,n})传输ti,1、ψ＝{b1||b2||...||bj||...||bT}和N。
步骤23：虚拟机VMi(i∈{1,2,3,...,n})在接收到数据块的私钥的参数信息ti,1、ψ＝{b1||b2||...||bj||...||bT}和N后，计算
步骤24：在t＝1阶段，虚拟机VMi(i∈{1,2,3,...,n})产生数据块DBi的私钥SKi,1(DBi)＝{i||1||αi||b1||Si,1||ti,2||ψ}。
步骤25：在t＝j(这里j∈{1,2,3,...,k-1}，k≤T)阶段，虚拟机VMi(i∈{1,2,3,...,n})产生自己的私钥SKi,j(DBi)＝{i||j||αi||bj||Si,j||ti,j+1||ψ}(这里
步骤26：在t＝j+1(这里j+1∈{1,2,3,...,k}，k≤T)阶段，虚拟机VMi(i∈{1,2,3,...,n})产生跟新自己的私钥SKi,j+1(DBi)＝{i||j||αi||bj+1||Si,j+1||ti,j+2||ψ}(这里
步骤27：结束。
算法3：数据块的签名算法
为了解决上述问题，在本发明的数据块的签名算法中，虚拟机能够接收虚拟机管理器发送的传输命令并在不同的时间阶段能够根据私钥的更新对数据块进行相应的数字签名，这一方面保证了新加入的用户难以获取前一阶段传输的数据，另一方面也增加了新退出的用户获取后一阶段传输数据的难度，从而能够更有效的保护数据资源的安全。
假设在虚拟机VMi上的数据块DBi需要传输给合法用户，虚拟机在接收到虚拟机管理器发送了的传输命令后，将对数据块DBi进行如下的操作：
步骤31：在t＝j(这里j∈{1,2,3,...,k}，k≤T)阶段，虚拟机VMi(i∈{1,2,3,...,n})随机选择一个模N的的生成元R2，即
步骤32：虚拟机VMi计算
步骤33：虚拟机VMi计算
步骤34：虚拟机VMi对数据块DBi进行签名，即
步骤35：虚拟机VMi将签名消息传输给用户。
算法4：数据块的签名验证算法
在本发明的数据块的签名验证算法中，用户一方面能够接收各虚拟机传输来的签名信息并能使用唯一公钥对不同虚拟机传输来的不同签名信息进行签名验证，另一方面能够对签名验证通过的数据块信息进行合并，从而保证了数据资源的安全性和完整性。
步骤41：用户接收虚拟机VMi发送来的签名消息(这里i∈{1,2,3,...,n}，n＜A)。
步骤42：用户使用签名消息进行计算并判断下面等式f＝0modN是否成立？如果成立，则转到步骤43，否则，转到步骤41。
步骤43：用户使用数据块公钥和签名消息进行计算
步骤44：用户判断等式是否成立？如果成立，则转到步骤45，否则，转到步骤41。
步骤45：合法用户保存DBi并判定所有数据块是否接受完毕，如果是，转到步骤46，如果不是，转到步骤41。
步骤46：合法用户合并所有数据块DBi，即DB＝(DB1||DB2||...||DBn)
步骤47：结束。

Claims (10)

1.面向数据资源分块存储的用户安全访问的结构，包括云服务器和用户两部分，其特征在于所述的云服务器包括：虚拟机管理器和若干虚拟机，所述虚拟机管理器用于对虚拟机进行管理、对用户身份进行验证、接收用户发送来的信息、对用户的访问申请提供检索和服务、向虚拟机传输用户发送的私钥的参数信息；所述虚拟机用于存储分块的数据资源、接收虚拟机管理器发送来的私钥的参数信息、产生私钥，向用户进行数据信息的签名和发送、接收虚拟机管理器发送来的命令；所述用户向虚拟机管理器发送数据资源需求申请、接收虚拟机管理器发送来的检索信息、向虚拟机管理器发送私钥的参数信息、产生公钥、接收虚拟机发送来的签名信息、对接收的签名信息进行认证、对通过认证的数据信息进行合并，所述云服务器包含用户所需的所有数据资源块，且分别存储于不同的虚拟机中，虚拟机管理器、虚拟机和用户之间的信息传输都遵循SSL或TLS协议。
2.一种基于权利要求1所述的面向数据资源分块存储的用户安全访问结构的访问方法，其特征在于包括(1)用户的数据资源需求申请；(2)虚拟机管理器对用户身份的认证；(3)虚拟机管理器对用户所需的数据资源进行检索,并将检索结果信息向用户进行发送；(4)用户对检索结果信息进行接收；(5)用户根据接收的检索结果信息进行数据块公钥和数据块私钥的参数信息的产生；(6)用户将数据块私钥的参数信息向虚拟机管理器进行传输；(7)虚拟机管理器向虚拟机传输用户发送的私钥参数信息和传输命令；(8)虚拟机中数据块私钥的产生；(9)虚拟机中数据块的签名与传输；(10)用户对签名数据块的接收与认证；(11)用户对数据块的合并。
3.根据权利要求2所述的一种面向数据资源分块存储的用户安全访问方法，其特征在于具体方法如下：
第一步：用户首先根据椭圆型曲线加密方法产生一个公钥PK(U)和相应的私钥SK(U)；然后，再使用私钥SK(U)将所需的数据资源DB和自己的身份信息ID(U)进行签名，即(DB||ID(U))SK(U)；然后，将签名消息(DB||ID(U))SK(U)发送给云服务器的虚拟机管理器；
第二步：虚拟机管理器在接收到用户发送来的签名消息后使用用户的公钥PK(U)对签名消息(DB||ID(U))SK(U)进行认证；如果认证成功，则转到第三步，否则，显示“申请认证失败”，则转到第十七步；
第三步：虚拟机管理器在自己的数据资源存储数据库中检索用户所需的数据资源DB，确定其数据资源的分块状况(n)和每个数据块在虚拟机(VMi)中的存储，其中i∈{1,2,3,...,n}；
第四步：虚拟机管理器根据椭圆型曲线加密方法，产生一个公钥PK(VMM)和相应的私钥SK(VMM)；然后，使用公钥PK(VMM)对数据资源的分块状况(n)、数据块(DBi)和数据块(DBi)在虚拟机(VMi)的存储信息(即)进行加密，再将其加密文件经SSL或TLS发送用户；
第五步：用户在接收到加密文件后，向虚拟机管理器申请私钥SK(VMM)；
第六步：虚拟机管理器在接收到用户的私钥申请后，将私钥SK(VMM)经SSL或TLS发送用户；
第七步：用户在接收到虚拟机管理器发送的私钥SK(VMM)后，对接收的加密文件进行解密；
第八步：用户对加密文件进行解密后，根据数据资源的分块状况(n)、数据块(DBi)和数据块(DBi)在虚拟机(VMi)的存储信息，产生所有数据块的公钥PK(DB)和数据块私钥的参数信息ξ，ψ和N；然后，经SSL或TLS将数据块私钥的参数信息ξ、ψ、N传输给云服务器上的虚拟机管理器；
第九步：虚拟机管理器在接收到数据块(DBi)私钥的参数信息ξ，ψ和N后，分别向虚拟机VMi(i∈{1,2,3,...,n})传输ti,1、ψ、N和传输命令；
第十步：虚拟机VMi(i∈{1,2,3,...,n})在接收到ti,1、ψ和N后，计算数据块(DBi)在初始时段(即t＝1阶段)的私钥；
第十一步：虚拟机VMi根据时间的不断变化，计算数据块(DBi)在当下时段(即t＝i阶段，i∈{1,2,3,...,n})的私钥；
第十二步：虚拟机VMi根据虚拟机管理器发送来的传输命令，将所需发送数据块DBi进行签名，并将签名信息传输给用户；
第十三步：用户接收虚拟机VMi发送来的签名消息并对签名消息进行验证，如果验证成功，则转第十四步，否则，则转第十二步；
第十四步：用户接收虚拟机VMi发送来的接收数据块DBi并保存；
第十五步：用户判断数据块DBi是否接收完毕，如果是，则转第十六步，否则，则转第十步；
第十六步：用户合并所有数据块DBi(i∈{1,2,3,...,n})即DB＝(DB1||DB2||...||DBn)；
第十七步：结束。
4.根据权利要求3所述的一种面向数据资源分块存储的用户安全访问方法，其特征在于所述的签名认证算法主要包括(1)数据块的公钥产生算法；(2)数据块的私钥产生与跟新算法；(3)数据块的签名算法；(4)数据块的签名验证算法；所述第八步采用数据块的公钥产生算法产生所有数据块的公钥PK(DB)和数据块私钥的参数信息ξ，ψ和N；所述第十步中采用的数据块的私钥产生与跟新算法计算数据块(DBi)在初始时段(即t＝1阶段)的私钥；所述第十一步中，采用数据块的私钥产生与跟新算法计算数据块(DBi)在当下时段(即t＝i阶段，i∈{1,2,3,...,n})的私钥。
5.根据权利要求4所述的一种面向数据资源分块存储的用户安全访问方法，其特征在于所述的数据块的公钥产生算法中，用户为每个数据块产生一个相同的公钥，在此算法中，为每个数据块产生私钥的一些参数，虚拟机在接收到这些私钥参数时能够产生私钥，并能根据时间段的不同进行私钥的更新，所述的数据块的公钥产生算法具体方法如下：
步骤11：用户随机选择两个比较大的素数P和Q并计算P和Q的乘积，即N＝P*Q；
步骤12：用户计算并随机选择一个模N的的生成元R1，即
步骤13：用户确定所需数据资源在云服务器上的分块块数n，并随机选择一个比较大的整数L，计算A＝L2，使其n＜A；
步骤14：用户在区间[A，2A)之间随机选择一个整数ai，即ai∈[A，2A)，且i∈{1,2,3,...,n}，n＜A，并使ai与互素，ai与aj互素，即gcd(ai,aj)＝1，其中，i∈{1,2,3,...,n}，j∈{1,2,3,...,n}，i≠j；
步骤15：：用户随机选择一个比较大的整数T，并计算B1＝A(1+(i-1)/T)，B2＝A(1+i/T)，1≤i≤T；
步骤16：用户在区间[B1，B2)之间随机选择一个整数bi，即bi∈[B1，B2)，且i∈{1,2,3,...,k}，k≤T，并使bi与互素，bi与bj互素，即gcd(bi,bj)＝1，其中，i∈{1,2,3,...,k}，j∈{1,2,3,...,k}，i≠j；
步骤17：用户计算
步骤18：用户计算
步骤19：用户计算并将PK(DB)作为所有数据块DBi的公钥，1≤i≤n；
步骤110：用户分别将数据块的私钥的参数信息ξ＝{t1,1||t2,1||t3,1||...||ti,1||...||tn,1}，ψ＝{b1||b2||...||bj||...||bT}和N经SSL或TLS传输给云服务器上的虚拟机管理器。
步骤111：结束。
6.根据权利要求4所述的一种面向数据资源分块存储的用户安全访问方法，其特征在于所述的数据块的私钥产生与跟新算法中，虚拟机管理器接收用户发送来的数据块私钥的参数信息并能将这些信息传输给相应的虚拟机；虚拟机在接收到虚拟机管理器发送来的这些私钥参数信息时能够产生私钥，并能根据时间段的不同进行私钥的更新。
7.根据权利要求6所述的一种面向数据资源分块存储的用户安全访问方法，其特征在于所述的数据块的私钥产生与跟新算法具体步骤如下：
步骤21：虚拟机管理器接收用户传输来的数据块的私钥的参数信息ξ＝{t1,1||t2,1||t3,1||...||ti,1||...||tn,1}，ψ＝{b1||b2||...||bj||...||bT}和N；
步骤22：虚拟机管理器在接收用户传输来的数据块的私钥的参数信息ξ＝{t1,1||t2,1||t3,1||...||ti,1||...||tn,1}，ψ＝{b1||b2||...||bj||...||bT}和N后，分别向虚拟机VMi(i∈{1,2,3,...,n})传输ti,1、ψ＝{b1||b2||...||bj||...||bT}和N；
步骤23：虚拟机VMi(i∈{1,2,3,...,n})在接收到数据块的私钥的参数信息ti,1、ψ＝{b1||b2||...||bj||...||bT}和N后，计算
步骤24：在t＝1阶段，虚拟机VMi产生数据块DBi的私钥SKi,1(DBi)＝{i||1||αi||b1||Si,1||ti,2||ψ}，其中i∈{1,2,3,...,n}；
步骤25：在t＝j阶段，j∈{1,2,3,...,k-1}，k≤T，虚拟机VMi产生自己的私钥SKi,j(DBi)＝{i||j||αi||bj||Si,j||ti,j+1||ψ}，其中i∈{1,2,3,...,n}，
步骤26：在t＝j+1阶段，j+1∈{1,2,3,...,k}，k≤T，虚拟机VMi产生跟新自己的私钥SKi,j+1(DBi)＝{i||j||αi||bj+1||Si,j+1||ti,j+2||ψ}，i∈{1,2,3,...,n}，
步骤27：结束。
8.根据权利要求4所述的一种面向数据资源分块存储的用户安全访问方法，其特征在于所述的数据块的签名算法中，虚拟机接收虚拟机管理器发送的传输命令并在不同的时间阶段根据私钥的更新对数据块进行相应的数字签名；所述的数据块的签名算法具体步骤如下：
假设在虚拟机VMi上的数据块DBi需要传输给合法用户，虚拟机在接收到虚拟机管理器发送了的传输命令后，将对数据块DBi进行如下的操作：
步骤31：在t＝j阶段，j∈{1,2,3,...,k}，k≤T，虚拟机VMi随机选择一个模N的的生成元R2，即其中i∈{1,2,3,...,n}；
步骤32：虚拟机VMi计算
步骤33：虚拟机VMi计算
步骤34：虚拟机VMi对数据块DBi进行签名，即
步骤35：虚拟机VMi将签名消息传输给用户。
9.根据权利要求4所述的一种面向数据资源分块存储的用户安全访问方法，其特征在于所述的签名验证算法中，用户一方面能够接收各虚拟机传输来的签名信息并能使用唯一公钥对不同虚拟机传输来的不同签名信息进行签名验证，另一方面能够对签名验证通过的数据块信息进行合并。
10.根据权利要求9所述的一种面向数据资源分块存储的用户安全访问方法，其特征在于所述的签名验证算法具体步骤如下：
步骤41：用户接收虚拟机VMi发送来的签名消息
步骤42：用户使用签名消息进行计算并判断下面等式f＝0modN是否成立，如果成立，则转到步骤43，否则，转到步骤41；
步骤43：用户使用数据块公钥和签名消息进行计算
步骤44：用户判断等式是否成立，如果成立，则转到步骤45，否则，转到步骤41；
步骤45：合法用户保存DBi并判定所有数据块是否接受完毕，如果是，转到步骤46，如果不是，转到步骤41。
步骤46：合法用户合并所有数据块DBi，即DB＝(DB1||DB2||...||DBn)；
步骤47：结束。
CN201910421091.9A 2019-05-20 2019-05-20 一种面向数据资源分块存储的用户安全访问结构及方法 Active CN110198217B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910421091.9A CN110198217B (zh) 2019-05-20 2019-05-20 一种面向数据资源分块存储的用户安全访问结构及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910421091.9A CN110198217B (zh) 2019-05-20 2019-05-20 一种面向数据资源分块存储的用户安全访问结构及方法

Publications (2)

Publication Number Publication Date
CN110198217A true CN110198217A (zh) 2019-09-03
CN110198217B CN110198217B (zh) 2022-06-24

Family

ID=67751497

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910421091.9A Active CN110198217B (zh) 2019-05-20 2019-05-20 一种面向数据资源分块存储的用户安全访问结构及方法

Country Status (1)

Country Link
CN (1) CN110198217B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114553478A (zh) * 2022-01-13 2022-05-27 成都储迅科技有限责任公司 一种基于国密的云服务器访问固态硬盘的安全系统和方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104767745A (zh) * 2015-03-26 2015-07-08 浪潮集团有限公司 一种云端数据安全保护方法
CN106357701A (zh) * 2016-11-25 2017-01-25 西安电子科技大学 云存储中数据的完整性验证方法
US9935772B1 (en) * 2016-02-19 2018-04-03 Vijay K Madisetti Methods and systems for operating secure digital management aware applications
CN109510826A (zh) * 2018-11-16 2019-03-22 中国人民解放军战略支援部队信息工程大学 基于可更新加密的安全可靠云存储方法及装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104767745A (zh) * 2015-03-26 2015-07-08 浪潮集团有限公司 一种云端数据安全保护方法
US9935772B1 (en) * 2016-02-19 2018-04-03 Vijay K Madisetti Methods and systems for operating secure digital management aware applications
CN106357701A (zh) * 2016-11-25 2017-01-25 西安电子科技大学 云存储中数据的完整性验证方法
CN109510826A (zh) * 2018-11-16 2019-03-22 中国人民解放军战略支援部队信息工程大学 基于可更新加密的安全可靠云存储方法及装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114553478A (zh) * 2022-01-13 2022-05-27 成都储迅科技有限责任公司 一种基于国密的云服务器访问固态硬盘的安全系统和方法

Also Published As

Publication number Publication date
CN110198217B (zh) 2022-06-24

Similar Documents

Publication Publication Date Title
CN109309565B (zh) 一种安全认证的方法及装置
CN106961336B (zh) 一种基于sm2算法的密钥分量托管方法和系统
CN114726643B (zh) 云平台上的数据存储、访问方法及装置
CN113489585B (zh) 终端设备的身份认证方法、系统、存储介质、电子设备
CN106411528B (zh) 一种基于隐式证书的轻量级认证密钥协商方法
CN110069918B (zh) 一种基于区块链技术的高效双因子跨域认证方法
CN109983466A (zh) 一种基于区块链的账户管理系统以及管理方法、存储介质
EP0661845B1 (en) System and method for message authentication in a non-malleable public-key cryptosystem
CN107465689A (zh) 云环境下的虚拟可信平台模块的密钥管理系统及方法
CN112565265B (zh) 物联网终端设备间的认证方法、认证系统及通讯方法
CN103546567A (zh) 一种可信云计算环境中无证书跨域认证方法
CN109243020A (zh) 一种基于无证书的智能锁身份认证方法
CN106789032A (zh) 服务器与移动设备间秘密共享的单一口令三方认证方法
CN103780393A (zh) 一种面向多安全等级的虚拟桌面安全认证系统及方法
JP2009272671A (ja) 秘匿認証システム
CN111416715A (zh) 基于秘密共享的量子保密通信身份认证系统及方法
CN110505055A (zh) 基于非对称密钥池对和密钥卡的外网接入身份认证方法和系统
CN108632251A (zh) 基于云计算数据服务的可信认证方法及其加密算法
CN111416712B (zh) 基于多个移动设备的量子保密通信身份认证系统及方法
CN106657002A (zh) 一种新型防撞库关联时间多密码的身份认证方法
CN104184736B (zh) 一种实现安全云计算的方法和系统
CN110519222A (zh) 基于一次性非对称密钥对和密钥卡的外网接入身份认证方法和系统
CN102291396A (zh) 可信平台远程证明的匿名认证算法
CN110198217A (zh) 一种面向数据资源分块存储的用户安全访问结构及方法
CN111245609B (zh) 基于秘密共享和随机数的量子保密通信密钥分发和协商系统及其方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant