CN110352413B

CN110352413B - 一种基于策略的实时数据文件访问控制方法与系统

Info

Publication number: CN110352413B
Application number: CN201880014572.1A
Authority: CN
Inventors: 于俊
Original assignee: Individual
Current assignee: Individual
Priority date: 2017-03-16
Filing date: 2018-03-07
Publication date: 2023-05-16
Anticipated expiration: 2038-03-07
Also published as: EP3596612A1; WO2018169745A1; US20180268159A1; EP3596612A4; CN110352413A

Abstract

本发明提供了一种用于网络环境中的文件内容保护和基于策略的访问控制的方法和系统。它包括在端点计算设备上运行的端点模块和在密钥存储服务器上运行的密钥存储模块。创建和使用文件的端点计算设备生成内容加密密钥和独特文件标识符(UFI)，每个文件都有不同的加密密钥和独特文件标识符(UFI)。使用内容密钥对文件进行加密，并将UFI附加到加密文件以创建受保护文件。耦合的UFI和内容密钥被发送到要存储的密钥存储服务器。为了访问受保护文件，端点模块读取UFI并将其发送到密钥存储区，密钥存储区以与该UFI相关联的策略的评估结果决定访问权，如果授予访问权限，则发送内容密钥，以便解密该文件。

Description

一种基于策略的实时数据文件访问控制方法与系统

相关申请的引用

本申请要求于2017年3月17日提交的申请号为62/472,562，标题为“提供文件的安全存储和允许基于策略的访问控制的新系统和软件申请”的临时申请公开的发明。在此要求美国法典35条第119(e)款美国临时申请的保护，并且上述申请通过引用加入至本文中。

技术领域

本发明涉及信息安全和访问控制领域。更具体地，本发明涉及通过加密和实时评估分配给文件的访问策略来进行文件访问控制，当可以用独特文件标识符标识文件时。本发明还涉及在计算机网络环境中识别和跟踪对文件的所有副本的访问的领域。

背景技术

未经授权访问数据文件已成为对企业、组织、政府和个人隐私的重大威胁。与此同时，世界变得比以往任何时候都更紧密地联系在一起，文件共享呈指数级增长。控制谁可以访问文件以及何时可以访问文件的能力已经成为网络安全的中心，但是缺乏平衡共享和访问控制的解决方案。加密已经被用来保护文件的内容，让用户可以控制谁可以访问文件，但是它也使得文件共享变得困难。一种方法是在一组用户之间使用共享密钥；另一种方法是将权限文件附加到加密文件，并依赖打开该文件的应用程序来执行该权限。这两种方法都在文件加密时预定义了访问权限。当文件被加密并共享后，很难更改权限。例如，与组外的人共享一个文件意味着必须提供共享密钥，从而允许组外的人访问由组密钥保护的所有文件。这些缺点使得文件加密的适应范围非常有限。但是，使用将预定义权限附加到文件的方法，权限更改只会影响具有已修改权限的文件的单个副本，而不会影响在更改之前生成的同一文件的其他副本，因为这些副本仍将附加旧权限。

发明内容

在网络环境中，数据文件通常有多个副本，而每个副本通常存在不同用户的各自设备上。然而，给与拥有这些设备的用户对该文件副本的拥有权，导致了许多文件副本不安全。本发明提供了一种解决不安全文件问题的方法，将独特文件标识符(UFI)附加到原始文件以及由此产生的文件的每个副本，以迫使用户或应用程序在每次使用UFI从中央服务器中访问该文件时寻求权限。中央服务器评估与UFI关联的访问策略，并在适当时提供权限。可以有多种方法确保用户或应用程序在打开文件之前寻求权限，本发明使用加密方案，并且只有在授予适当访问权限时，用户才能从中央服务器，也称为密钥存储服务器，获取解密密钥。

为解决上述技术问题，本发明采用以下技术方案：

一种网络环境中的计算机系统的基于策略的实时数据文件访问控制方法，所述方法通过独特字符串、数字、精心编制的属性、或文件属性组合识别分布式计算机网络环境中的数据文件，并对所述文件实施预设置的操作应用；该方法包括以下组件和步骤：

通过计算机网络连接到至少一个存储模块的计算机设备上的端点模块，所述端点模块具有以下性能特点:

a)读取数据文件，并计算或从其他设备获取独特字符串，或使用文件属性的组合作为所述文件的独特文件标识符，所述独特文件标记符记为UFI，

b)将UFI存储到所述数据文件中，采用的方法具体包括：将UFI附加到所述数据文件开始段中，或使UFI成为文件名的一部分或全部，或当UFI不只使用文件属性时，将UFI写入单独的元文件中，并将UFI与所述数据文件结合创建单一的存档文件，和

c)将所述UFI及任何耦合数据发送至存储模块中，和

所述存储模块具有以下性能特点；

a)从端点模块接收UFI和耦合项,确认UFI在UFI数据库和与UFI连接的所有其他存储模块中的唯一性；

b)存储UFI及耦合数据，和

c)处理来自端点模块请求中与UFI唯一链接的操作项的请求，和

d)将来自以上操作项的结果发送到请求端点模块；和

所述端点模块通过计算机网络连接到至少一个存储模块的计算机设备上，所述端点模块具有以下性能特点:

a)读取文件的UFI并使用所述UFI请求来自存储模块的操作项

b)接收来自存储模块的操作结果，和

c)将操作结果应用于与所述UFI链接的文件。

作为对上述技术方案的进一步改进：

所述方法还包括通过从UFI连接的所有存储模块中查询UFI的存在与否来确认UFI的唯一性。

当UFI不是仅使用文件属性时，端点模块进一步将UFI附加到数据文件上，以便UFI可以与所述数据文件一起移动，并允许具有本地文件读取权的任何用户通过文件系统获取。

存储模块进一步包括接口，所述接口用于接受和应用与所述UFI相关联的动作项的变更，并存储操作项与特定UFI的链接，以便在给定特定UFI时，能够可靠地检索操作项。

作为一个总的发明构思，本发明提供一种分布式网络环境中的基于策略的实时数据文件访问控制系统，只有在满足分配给文件的访问策略后才授权访问该文件，包括:

1.1通过计算机网络连接到至少一个密钥存储服务器的多个端点计算设备，包括执行以下步骤的加密计算机代码:

a)生成加密密钥并使用它们对文件进行加密，和

b)采用伪随机字符串、数字或文件属性的组合获取或生成一个独特文件标识符，并通过查询所连接的所有存储模块或由所述文件存储模块计算或分配来确定UFI的唯一性，所述独特文件标识符记为UFI，和

c)将该UFI附加于加密文件，UFI无需该文件解密密钥的协助即可在特定文件中检索，和

d)将UFI和耦合密钥发送到密钥存储服务器，和

e)从所述端点计算设备中删除加密密钥；

1.2多个密钥存储服务器，所述密钥存储服务器是通过计算机网络连接与其他计算设备连接的计算设备，包括执行以下步骤的存储计算机代码:

a)处理来自具有耦合密钥和UFI的端点计算设备的请求，存储UFI及其耦合加密密钥，和

b)处理来自端点计算设备的、至少具有目标数据文件的UFI的文件访问请求，

c)通过评估附加于所述UFI的访问策略来计算访问权限，并在授予权限的情况下检索与所述UFI相耦合的密钥，和

d)向请求的计算设备发送权限和加密/解密密钥；

1.3通过计算机网络连接到所有密钥存储服务器的多个端点计算设备，包括执行以下步骤的解密计算机代码:

a)开启加密文件并提取UFI，和

b)代表授权用户向所有密钥存储模块发送包含UFI的请求，和

c)在获得权限后接收密匙，和

d)解密文件，向特定用户显示真实内容，以便特定用户以与从密钥存储服务器获得的用户权限级别相匹配的方式使用。

优选地，端点计算设备还包括处理器、网络接口卡、存储器和非临时存储器，该非临时存储器包含执行下列一项或多项任务的程序指令：

a)生成加密密钥并使用加密密钥对文件进行加密，

b)使用伪随机字符串或数字或该文件属性的组合，从设备获取或生成特定文件的独特文件标识符，并通过查询所连接的所有存储模块来确认所提议的UFI的唯一性，

c)在UFI不包含该特定加密文件的文件属性时，附加UFI，使得在无需特定文件的密钥的情况下检索，

d)将UFI和密钥发送到密钥存储服务器，

e)从内存器和存储器中删除加密密钥，

f)打开加密文件并提取UFI，

g)代表用户向所有密钥存储模块发送包含UFI的访问请求，

h)从密钥存储模块接收密钥和权限，

i)解密文件，以向特定用户显示真实内容，以便特定用户以与从密钥存储服务器获得的用户权限级别相匹配的方式使用。

作为对上述技术方案的进一步改进：

优选地，密钥存储服务器设备还包括处理器、网络接口卡、存储器和非临时存储器，非临时存储器包含执行下列一项或多项任务的程序指令：

a)处理来自含有耦合密钥和UFI的端点计算设备的请求，

b)存储UFI及相关的加密密钥，

c)处理具有至少一个UFI且来自端点计算设备的目标数据文件的文件访问请求，

d)通过评估附于UFI的访问策略，计算访问权限，并在授予权限的情况下，检索与所述UFI耦合的密钥

e)向请求的计算设备发送权限级别和加密/解密密钥，和

f)接收并存储与UFI耦合的访问策略。

优选地，UFI可以是在所有密钥存储器中唯一的伪随机字符串、数字或文件属性的组合，并且在分配到特定文件之前，通过查询所有密钥存储器中UFI的存在性来进一步加强UFI唯一性。

优选地，端点计算设备进一步包括使用随机生成的对称或非对称密钥来解密文件的方法，和加密和解密特定文件所需的密钥将被发送到与所述文件的UFI相耦合的密钥存储器。

优选地，密钥存储服务器还包括方法，该方法通过与存储在密钥存储服务器上的UFI的独特链接来存储和分配一组访问策略到文件，并且当端点计算设备代表用户请求访问时，可以使用链接的访问策略来决定用户的访问权限。

优选地，密钥存储服务器还包括方法，该方法在给定时间内对给定用户可以访问的文件数量施加限制；当策略请求访问的文件数量过多时，系统可以执行策略设置的动作，包括在一段时间内停止授予特定用户访问权限。

附图说明

图1显示了本发明可实现的计算设备的框图。

图2A显示了在创建受保护文件时加密文件并将UFI附加到文件的过程的示意图。

图2B显示了从受保护文件中分离UFI并解密该文件以恢复其内容的过程的示意图。

图3A和3B显示了本发明在网络环境中端点模块和密钥存储模块的系统实现以及它们之间的消息流的框图。

图4A显示了创建具有受保护文件的加密的过程，以及在密钥存储区中附加和存储UFI，以便能够分配访问策略的流程图。

图4B和4C显示了访问受保护文件的过程的流程图，包括分离UFI、从密钥存储获得许可和解密密钥，以及如果授予许可，将该文件解密到其原始内容。

为了简单明了地说明，图中所示的要素不一定是按比例绘制的。例如，为了清晰起见，其中一些元素的尺寸相对于其他元素可能被放大了。此外，在认为适当的情况下，可在附图之间重复参考编号，以表明相应或类似的特征。

在以下详细说明中，列出了许多具体细节，以便对本发明提供透彻的理解。然而，本领域的技术人员将理解，本发明可以在没有这些具体细节的情况下实施。在其他情况下，未详细描述众所周知的方法、过程和组件，以避免使本发明模糊不清。

具体实施方式

如图1所示，示出了本发明中可实现的计算机系统100。计算机系统100可以是服务器、终端点设备或其组合，并且可以通过网络连接到其他基于计算机的资源。计算机系统100适于存储和/或执行程序代码，并且包括至少一个中央处理器103，通过总线系统105直接或间接地耦合到存储器元件。存储器元件可以包括在程序代码实际执行期间使用的本地存储器、大容量存储器和高速缓存存储器，它们提供至少一些程序代码的临时存储器，以减少在执行期间必须从大容量存储器中检索代码的次数。

存储器元件可以包括只读存储器(ROM)101和随机存取存储器(RAM)102形式的系统存储器，包括可以存储在ROM 101中的基本输入输出系统(BIOS)110的系统预引导代码。运行时可执行系统软件代码可以存储在RAM 102中，包括操作系统113代码。与操作系统113相关联或包括在操作系统113中的文件系统112可执行代码也可以在运行时存储在RAM 102中。软件应用程序114代码可以在运行时存储在RAM 102中，并通过应用编程接口(APIs)与操作系统113和文件系统112接合。

计算机系统100还包括非易失性存储介质111，例如包括磁盘硬盘驱动器或固态磁盘驱动器的主存储器和包括磁、固态、光盘驱动器和USB存储设备的二级存储器。驱动器及其相关的计算机可读介质为计算机系统100提供计算机可执行指令、数据结构、程序模块和数据文件的非易失性存储。软件应用程序114和文件存储在非易失性存储介质111上，并且在运行时被加载到随机存取存储器102中。

计算机系统100可以在网络环境中使用通过网络适配器109与一个或多个远程计算机的逻辑连接来操作，该网络适配器109可以有线，使用有线作为介质107和/或使用射频108的无线。显示设备106还通过接口，例如视频适配器104，连接到总线系统105。

文件系统112通过设备驱动程序以与非易失性存储介质111通信，并管理其上的文件。文件系统112通常包括用于存储、引用、共享和保护文件、访问文件数据和维护文件完整性的方法。文件系统112和相关联的操作系统113之间可能没有明确的区别。由文件系统112执行的任何处理可以由操作系统113执行。

文件系统112可以包含普通文件117，和附带UFI 116的受保护文件205。受保护文件205可以被加密保护，但是UFI 116不会被加密，并且可以通过有读取权限的终端模块获得。相对于磁盘或文件系统112加密，单个文件加密的一些优势在于:

1.文件在任何时候都处在被保护状态，可以有效的防止未授权用户或黑客获取文件内容。

2.每一个文件由一个单独的密钥加密，因此大规模信息被盗的风险被最小化。

3.文件可以很容易地在目标用户之间复制和共享，无需额外的工作并且文件仍然被保护。

4.增量备份和修订控制可以通过单独的文件来完成。

单个文件加密是理想的，也会带来密钥管理的问题，当文件在用户之间和不同设备上复制和共享时。图2A示出了本发明在加密文件时端点模块301的操作的示例加密方法200。此方法在创建文件的端点计算设备上运行。用对称密钥201，也称为内容密钥，对普通文件117进行加密，以产生加密文件203。同时，一个伪随机字符串被创建并被证明是跨域独特的。此字符串称为独特文件标识符(UFI)116。UFI 116然后被附加到加密文件203，通过进程204创建加密的且具有附带UFI 116的受保护文件205。然后，UFI 116和内容密钥201被发送到要存储的同一计算机网络上的密钥存储服务器。

使用对称加密算法是因为与使用非对称密钥密码相比，对大量数据进行加密和解密所需的时间相对较少。所使用的对称加密算法将根据硬件和软件支持的不同而有所不同，以获得更好的性能和最大的安全性。

这里选择了一个伪随机字符串作为UFI 116，因为它具有随机性，并且易于实现。此方法适用于大规模域，但也可以将数字或精心编制的文件属性组合用作UFI 116，只要能够保证预定义域中每个文件都有不同的UFI 116。也可以使用随机数生成器或借助文件的一个或多个属性来计算UFI 116，以尽量减少冲突的可能性。

图2B示出了在解密文件时端点模块301的操作的示例解密方法210。进程208从受保护文件205中读取UFI 116，并从受保护文件205中分离出UFI 116，以创建没有UFI 116的加密文件203。进程208使用UFI 116通过计算机网络从其中一个密钥存储服务器中获得文件访问权限和内容密钥201。如果授权，则进程208检索加密文件203的内容密钥201。加密文件203由具有内容密钥201的进程209解密以创建临时普通文件117，然后应用程序可以使用该文件。

临时普通文件117可通过几种方法进行保护。如果应用程序支持，则文件可能被读入内存中的缓冲区，如果文件过大，则溢出到硬盘驱动器。否则，可以将其放置在加密的缓存文件系统112上，并对其进行访问监视。当文件不再被访问时，它可被删除。如果该文件具有写入权限并且进行了更改，则使用具有相同内容密钥201和UFI 116的加密方法200对临时普通文件117进行加密，以创建新的受保护文件205，该文件随后被复制到现有受保护文件205上，如果正在使用修订控制，则作为新版本签入。

图3A和3B，系统实现的框图说明了网络环境中的多个端点模块301和密钥存储模块309。端点计算设备300和320通常是计算机系统100的计算设备，计算设备将端点模块301作为应用程序或作为文件系统112的一部分来运行，以管理存储在非易失性存储介质111上的受保护文件205。尽管图中显示了端点计算设备300和320上的不同进程，但任何端点模块301都能够同时处理这两个进程。端点计算设备300和320彼此独立地操作，并且在这里被用于演示存在于网络环境中的多个端点计算设备。在这种环境中，所有设备，包括端点计算设备和密钥存储服务器，都通过计算机网络314相互连接以交换信息。

密钥存储服务器，如密钥存储设备330和340，通常是将密钥存储模块309作为应用程序运行的计算设备。服务器使用可以是关系数据库、其他类型的数据库系统或普通文件的数据存储设备313，用来存储UFI 116和内容密钥201以及访问策略。数据312存储于确定性关系中，确保任何给定的UFI 116仅与可用于加密和解密附带所述UFI 116的文件的、唯一的内容密钥相关联。任何给定的UFI 116也只与分配给附带所述UFI 116的该文件的策略相关联。密钥存储设备330和340可以彼此具有不同的关系，这取决于系统设计，该系统设计包括彼此的镜像，以获得高可用性，或者处理不同的端点计算设备集以扩展容量。密钥存储设备330和340用于演示多个密钥存储服务器的设计，因为密钥存储服务器的数量不限于两个。只要保持UFI 116和内容加密密钥201之间的确定性关系以及UFI 116与其访问策略之间的确定性关系，就可以有尽可能多的互连密钥存储服务器。

端点计算设备300说明了创建新的受保护文件205的过程。该过程由端点模块301的应用程序处理，也可以将相同的过程集成到文件系统112中，并在保存指定文件时自动执行该过程。端点模块301还可以处理端点计算设备300中演示的解密处理。端点模块301包括通信方法302和保护方法303。通信方法302通过连接到计算机网络314的网络接口109与包括密钥存储设备330和340的多个密钥存储服务器通信，该网络接口可以是有线的，也可以是无线的。端点计算设备和密钥存储服务器之间的所有通信都经过加密，以保护内容。它执行的任务包括用户注册和认证，通过进程307发送UFI 116和加密密钥201，以及进程308检索权限和密钥。保护方法304执行与文件相关的任务，包括处理UFI 116的进程204和206、加密方法200和解密方法210对文件的内容进行加密和解密以及在不再需要临时普通文件时删除临时普通文件。

通过端点计算设备300演示，普通文件117被指定为受保护文件205。端点模块301通过通信方法302使用密钥服务器对用户和端点计算设备300进行验证。也可以通过使用现有的用户和设备管理基础设施，包括Microsoft Windows域和Active Directory，来实现验证。这里没有详细讨论该过程，因为它不是本发明的核心，并且足够本领域人员可实现相同过程。端点模块301调用保护方法303，以使用随机数生成器生成被提议的UFI 116和内容加密密钥201。提议的UFI 116连同内容密钥201和访问策略306随后被传递到通信方法302，通信方法302将提议的UFI 116连同内容密钥201和访问策略306发送到密钥存储设备330和340，以询问提议UFI 116的存在性。在UFI 116已经存在于任何一个密钥存储服务器的情况下，密钥存储服务器将提议的UFI 116存在性的响应发回端点模块301的通信方法302，保护方法304生成新提议的UFI 116并重复确认过程。如果密钥存储服务器响应没有存在提议的UFI 116，则保护方法304接受提议的UFI 116作为该文件的永久UFI 116。保护方法303使用内容密钥201对普通文件117进行加密，以通过过程202生成加密文件203，并使用过程204将永久UFI 116附加到加密文件203，以创建受保护文件205。然后，通信方法302将UFI 116和文件内容密钥201的部署的确认发送到多个密钥存储设备330。选定的密钥存储设备330在其数据库或类似数据结构中存储耦合的UFI 116和文件内容密钥201，以及多个耦合的UFI116和访问策略306，以创建确定性关系，确保每当提供UFI 116时，每次检索都获取相同的内容密钥201和相同的访问策略集。

受保护文件205的图解显示，UFI 116成为加密文件203的开始段的－部分。附加外部UFI 116的其他方法包括将其用作文件名的全部或部分，或将其写入单独的元文件中，并将所述元文件与加密文件203捆绑以创建存档文件。

本实施例使用伪随机字符串作为UFI 116，其可以以一个或多个文件属性作为输入来计算，或者由随机数发生器创建，而不使用任何文件属性。创建UFI 116还有其他方法，包括增量编号、精心编制的文件名或包括时间戳、文件大小和文件名在内的文件属性的组合。虽然使用文件属性的方法并不总是可靠的，因为文件属性可以随时更改，但是文件属性可以在小型环境中被管理为唯一，因此可以用作UFI 116。如果只将文件属性用作UFI 116，则不再需要将UFI 116附加到该文件。

端点计算设备320说明了当要访问受保护文件205时，执行打开文件内容的处理的端点模块301。为了发起请求，用户必须具有对受保护文件205的读取权限。在用户认证过程之后，保护方法304从受保护文件205读取UFI 116，并通过进程205将UFI 116传递给通信方法302。通信方法302通过进程308向多个密钥存储设备330和340发送包含UFI 116的权限请求和内容密钥201的请求。当授予读取权限时，它接收来自密钥存储服务器340的具有权限的响应和可能的内容密钥201。如果授予了权限并且获得了内容密钥201，则保护方法从受保护文件205中去掉UFI 116附件，并通过进程208将具有内容密钥201的文件解密成普通文件117，该普通文件被放置到存储器或由应用程序114打开的安全缓存临时存储器中。

本发明的另一实施例可以存档以使用分离的元文件来存储UFI 116和/或内容密钥201。元文件可以用公钥加密，用于解密元文件的耦合私钥可以存储在密钥存储服务器中。与UFI 116相耦合的访问策略存储在密钥存储服务器上。在这种设计中，在身份验证成功之后，端点模块301将加密的元文件发送到密钥存储服务器。密钥存储服务器使用私钥解密文件，读取UFI 116，找到与UFI 116相关联的访问策略，评估访问策略，并将内容密钥201和UFI 116发回到端点模块301，以允许解密文件，如果修改内容并授予写权限，则创建受保护文件205的新版本。此实施例的优点是易于恢复内容密钥，最大的缺点是单点漏洞：私钥。元文件私钥的丢失将导致规避域中所有受保护文件205不再可以被打开。

保护方法监视对普通文件117的访问。如果应用程序114关闭文件117，则保护方法根据密钥存储服务器授予的权限以及文件117是否进行了更改来关闭文件117。如果权限是只读的，保护方法将删除文件117。如果授予写入权限而且普通文件117进行了更改，则保护方法加密普通文件并附加UFI 116以创建受保护文件205的新版本，然后移除普通文件117。如果不使用修订控制，则保护方法将受保护文件205替换为新创建的副本，或者如果存在修订控制，则将最新副本存储为新版本。

附图3B显示在网络环境中存在的多个密钥存储设备330和340。密钥存储设备330和340通常是作为应用程序和数据存储设备313运行密钥存储模块309的计算设备。运行在所有密钥存储设备330和340上的密钥存储模块应用程序在功能上是相似的，但存储在密钥存储服务器上的数据可能是不同的。一些密钥存储服务器可以使用相同的数据312，这些数据312作为彼此高可用性的备份。而另一些密钥存储库可以存储不同的数据312集，以便为不同的UFI 116集提供服务。此功能可用于扩展可能受保护的文件数。

密钥存储模块309包含3个方法：通信方法302、权限策略方法310和数据存储方法311。通信方法302在同一网络上与端点计算设备模块和其他密钥存储模块309通信。它使用密钥存储服务器的网络接口109，该网络接口通过电线或无线电频率连接到计算机网络314。该通信方法302对所有通信进行加密。数据存储方法311使用权限策略方法310与数据存储设备313通信。存储在存储设备上的数据312集包括耦合的UFI 116和内容密钥以及耦合的UFI 116和访问策略，并且它可以扩展到包括用于安全检查和审计的其他数据。权限策略方法310使用数据存储方法311来检索访问策略。它还根据访问策略的要求使用通信方法302从其他网络设备收集信息，并评估访问策略，如果授予读取权限，则向通信方法302提供具有权限的响应和内容密钥。通信方法302将响应发送到请求访问的端点模块301。

有多个密钥存储服务器积极地服务于相同的域。这些密钥存储服务器被划分为为请求的不同功能提供服务，或可以按用户或端点计算设备或UFI 116划分，因此，对于给定的请求，任何UFI 116只能由一个活动密钥存储模块309提供服务，尽管相同的UFI 116可以存储在多个备份密钥存储服务器上。

具有权限的用户，包括文件所有者、组管理器和策略管理员，可以随时修改访问策略。端点模块301可通过保护方法304用于此目的。一旦策略被密钥存储服务器接受，它们将对共享相同UFI 116的文件的所有物理副本的未来访问请求生效。端点模块301不需要具有对实际受保护文件205的访问权来创建或更改策略，只要它知道受保护文件205的UFI 116。

附图4A的流程图400显示由端点模块301发起的创建受保护文件205的过程。进程启动，即步骤401，端点模块301找到要保护的文件，即步骤402。端点模块检查文件是否有UFI 116，即步骤403。如果该文件附加了UFI 116，则该文件已受到保护，因此端点模块301将继续查找下一个文件，即步骤402。如果没有找到UFI 116，端点模块301将生成内容加密密钥，即步骤404。用户为文件设置初始访问策略，即步骤405。端点模块301计算提议的UFI116，即步骤406，端点模块301通过网络连接501向密钥存储器发送提议的UFI 116和内容密钥201、访问策略306，并等待响应，即步骤407。

密钥存储模块309启动并等待请求，即步骤413。密钥存储模块接收提议的UFI116，即步骤414，并搜索其记录是否存在提议的UFI 116，即步骤415。如果任何一个密钥存储模块309具有相同的提议的UFI 116，即步骤416，就会产生无效UFI 116的响应，即步骤418。如果没有一个密钥存储模块309具有相同的UFI 116，则密钥存储模块309将耦合的UFI116和密钥存储到存储设备中，即步骤417，并创建有效UFI的响应，即步骤418。响应通过网络501发送回端点模块301。该过程在密钥存储模块309处结束。

端点模块301检查来自密钥存储模块309的响应，即步骤408。如果响应是无效的UFI 116，端点模块301返回生成新提议的UFI 116，即步骤406，并将其发送到密钥存储，即步骤407；该过程一直持续到密钥存储服务器以有效的UFI 116响应，即步骤408。一旦该UFI116被密钥存储模块309验证，端点模块301加密文件，即步骤409，并将UFI 116附加到加密文件203，即步骤410，以创建受保护文件205。从存储器中删除内容密钥，即步骤411，并且将受保护的文件放置到文件系统112中以用于存储，即步骤412。进程在端点模块301结束。

附图4B和4C给出了解密保护文件并通过应用程序显示其内容的过程流程图。过程450从端点模块301开始，即步骤401。端点模块301找到要打开的受保护文件205，即步骤419。端点模块301确定解密间隔计时器是否已过期，即步骤420，如果尚未过期，则等待其过期。解密计时器旨在限制单个用户可以解密的文件数量，并用于限制信息大量丢失的损害。它是根据组织策略和用户的历史工作记录来设置的。当在给定的时间框架内解密更多文件，它会变得更长，在没有新的解密请求的一段时间后重置。如果计时器过期，端点模块301从受保护文件205读取UFI 116，即步骤421，并将UFI 116发送到密钥存储以请求权限和内容密钥，即步骤422。请求通过网络503发送到密钥存储模块309，端点模块301等待响应。

存储模块启动并等待请求，即步骤413，如图4C所示。它接收来自端点模块301的请求，即步骤431。密钥存储模块309查询存储设备以获得与UFI 116相耦合的访问策略，即步骤432。它获取需要的信息，即步骤433，并评估访问策略，即步骤434。如果请求不符合读取权限，则密钥模块构造一个“无权访问”的响应，即步骤435。在授予读权限或更多权限的情况下，即步骤435，密钥存储检索耦合内容密钥，即步骤436，并构造具有权限的响应和内容密钥，即步骤437。响应通过网络504发送到端点模块301。密钥存储模块309进程结束。

端点模块301接收来自密钥存储模块309的响应并检查响应，即步骤423。如果响应为“无权访问”，端点模块301将保持受保护文件205不变，并找到要解密的下一个文件，即步骤419。如果来自密钥存储模块309的权限是最低限度的读取并且存在内容密钥，则端点模块301用内容密钥解密文件并将普通文件放入临时高速缓存文件夹，即步骤424。它根据密钥存储模块309响应设置普通文件的读写权限，即步骤425。然后，端点模块301基于用户选择或系统设置启动应用程序，并指示应用程序打开普通文件，即步骤426。端点模块301不断检查是否普通文件正在被应用程序访问，即步骤427。如果是，它什么也不做，并再次检查。当端点模块301检测到应用程序不再访问普通文件时，它会检查文件内容是否已更改，即步骤428。这只有在用户被授予写权限时才会发生，因为由于在即步骤425的权限设置，如果没有写权限，普通文件是不可写的。如果文件已更改，端点模块301将加密普通文件，并附加UFI 116来创建受保护文件205的新版本，并使用它将现有的受保护文件205替换为最新版本，即步骤429。在加密或未进行更改后，将删除临时普通文件，即步骤430。端点模块301进程结束。

相对于现有技术而言，本发明优势现在应当很容易确定。例如，它提供了一种方法来管理文件权限，而不受文件物理位置和属性，如文件名、路径和版本，的更改，并允许权限策略的更改而实时地对都所有的副本生效。

本发明采取计算机程序产品的形式，该计算机程序可从计算机可用或可读介质访问，提供供计算机或任何指令执行系统使用或与计算机或任何指令执行系统有关的程序代码。出于描述的目的，计算机可用或可读介质可以是能够包含、存储、通信、传播或传输程序以供指令执行系统、设备或设备使用或与之相关的任何设备。

介质可以是电子、磁性、光学、电磁、红外或半导体系统(或设备或装置)或传播介质。计算机可读介质的例子包括半导体或固态存储器、磁带、可移动计算机磁盘、随机存取存储器(RAM)、只读存储器(ROM)、硬磁盘和光盘。当前的光盘例子包括光盘只读存储器(CD-ROM)、光盘读/写(CD-R/W)和DVD。

本发明的实施例仅说明本发明的原理的应用。此处提及所示实施例的细节并不是要限制权利要求的范围。以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims

1.一种分布式网络环境中的基于策略的实时数据文件访问控制系统，只有在满足分配给文件的访问策略后才授权访问该文件，其特征在于:

a）生成加密密钥并使用加密密钥对文件进行加密，和

b）采用伪随机字符串、数字或文件属性的组合获取或生成一个独特文件标识符，并通过查询所连接的所有存储模块或由文件存储模块计算或分配来确定UFI的唯一性，所述独特文件标识符记为UFI，和

c）将该UFI附加于加密文件，UFI无需文件解密密钥的协助即可在特定文件中检索，和

d）将UFI和耦合密钥发送到密钥存储服务器，和

e）从所述端点计算设备中删除加密密钥；

a）处理来自具有耦合密钥和UFI的端点计算设备的请求，存储UFI及其耦合加密密钥，和

b）处理来自端点计算设备的、至少具有目标数据文件的UFI的文件访问请求，

c）通过评估附加于所述UFI的访问策略来计算访问权限，并在授予权限的情况下检索与所述UFI相耦合的密钥，和

d）向请求的计算设备发送权限和加密/解密密钥；

a）开启加密文件并提取UFI，和

b）代表授权用户向所有密钥存储模块发送包含UFI的请求，和

c）在获得权限后接收密钥，和

d）解密文件，向用户显示真实内容，以便用户以与从密钥存储服务器获得的用户权限级别相匹配的方式使用。

2.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：端点计算设备还包括处理器、网络接口卡、存储器和非临时存储器，该非临时存储器包含执行下列一项或多项任务的程序指令：

a）生成加密密钥并使用加密密钥对文件进行加密，

b）使用伪随机字符串或数字或该文件属性的组合，从设备获取或生成文件的独特文件标识符，并通过查询所连接的所有存储模块来确认所提议的UFI的唯一性，

c）在UFI不包含该加密文件的文件属性时，附加UFI，使得在无需文件的密钥的情况下检索，

d）将UFI和密钥发送到密钥存储服务器，

e）从内存器和存储器中删除加密密钥，

f）打开加密文件并提取UFI，

g）代表用户向所有密钥存储模块发送包含UFI的访问请求，

h）从密钥存储模块接收密钥和权限，

i）解密文件，以向用户显示真实内容，以便用户以与从密钥存储服务器获得的用户权限级别相匹配的方式使用。

3.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：密钥存储服务器还包括处理器、网络接口卡、存储器和非临时存储器，非临时存储器包含执行下列一项或多项任务的程序指令：

a）处理来自含有耦合密钥和UFI的端点计算设备的请求，

b）存储UFI及相关的加密密钥，

c）处理具有至少一个UFI且来自端点计算设备的目标数据文件的文件访问请求，

d）通过评估附于UFI的访问策略，计算访问权限，并在授予权限的情况下，检索与所述UFI耦合的密钥，

e）向请求的计算设备发送权限级别和加密/解密密钥，和

f）接收并存储与UFI耦合的访问策略。

4.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：UFI是在所有密钥存储服务器中唯一的伪随机字符串、数字或文件属性的组合，并且在分配到文件之前，通过查询所有密钥存储服务器中UFI的存在性来进一步加强UFI唯一性。

5.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：端点计算设备进一步包括使用随机生成的对称或非对称密钥来解密文件的方法，和加密和解密文件所需的密钥将被发送到与所述文件的UFI相耦合的密钥存储器。

6.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：密钥存储服务器还包括方法，该方法通过与存储在密钥存储服务器上的UFI的独特链接来存储和分配一组访问策略到文件，并且当端点计算设备代表用户请求访问时，使用链接的访问策略来决定用户的访问权限。

7.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：密钥存储服务器还包括方法，该方法在给定时间内对给定用户访问的文件数量施加限制；当策略请求访问的文件数量过多时，系统执行策略设置的动作，包括在一段时间内停止授予用户访问权限。