CN110602147B - 一种基于云平台的数据加密安全存储方法、系统和存储介质 - Google Patents

一种基于云平台的数据加密安全存储方法、系统和存储介质 Download PDF

Info

Publication number
CN110602147B
CN110602147B CN201910951585.8A CN201910951585A CN110602147B CN 110602147 B CN110602147 B CN 110602147B CN 201910951585 A CN201910951585 A CN 201910951585A CN 110602147 B CN110602147 B CN 110602147B
Authority
CN
China
Prior art keywords
storage
node
cloud platform
storage node
nodes
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910951585.8A
Other languages
English (en)
Other versions
CN110602147A (zh
Inventor
吴新胜
吴文伟
王宜太
梁天习
张松
唐章伟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
HEFEI ZHONGKE SHENGU TECHNOLOGY DEVELOPMENT Co.,Ltd.
Original Assignee
Hefei Zhongke Shengu Technology Development Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hefei Zhongke Shengu Technology Development Co ltd filed Critical Hefei Zhongke Shengu Technology Development Co ltd
Priority to CN201910951585.8A priority Critical patent/CN110602147B/zh
Publication of CN110602147A publication Critical patent/CN110602147A/zh
Application granted granted Critical
Publication of CN110602147B publication Critical patent/CN110602147B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)

Abstract

本发明涉及数据安全术领域，公开了一种基于云平台的数据加密安全存储方法、系统和存储介质，所述方法包括原始数据分割，密钥分发系统和服务器存储群的建立，存储节点权重的计算、原始数据文件和单位文件的存储，以及主存储节点或副本存储节点异常时的数据重建，并匹配设置了存储系统，本发明减少了资源的过度供给，可以快速并行的从存储故障中恢复，可以达到存储和负载的有效平衡，降低了密钥泄露带来的不可预知的安全威胁，具有良好的安全与隐私保护特性，保证了数据存储的安全性和抗风险性。

Description

一种基于云平台的数据加密安全存储方法、系统和存储介质
技术领域
本发明涉及数据安全术领域，具体涉及一种基于云平台的数据加密安全存储方法、系统和存储介质。
背景技术
现在，计算机在各个领域都得到了深入应用，各行各业都使用计算机来存储和处理各种数据，而数据库是计算机领域中最常见的数据存储设施，常常用来存储重要的数据。但是，众所周知，由于各种原因，数据库可能会出现故障，甚至完全被损毁，从而导致数据丢失；因而现在在设计重要的数据库系统时，通常都会考虑对数据库进行备份，以便在数据库丢失数据后，可以使用备份恢复数据库。同时随着信息化、大数据以及互联网等技术的快速发展，数据的存储在各行各业都愈加重要。例如，数据存储涉及公司内部涉密数据的存储，医疗机构病人病例信息的存储，营业厅客户信息的存储以及学校信息的存储等，可以说数据的存储无处不在。随着互联网技术的发展，对数据存储的并发性要求越来越高，原来的集中式数据存储由于价格和性能等各方面的原因，已越来越不能满足需要。
现有技术中，一种常见的方法是在异地对原数据库进行完全备份，一旦原数据库损坏，则从完全备份中恢复到原数据库，这个方式的缺点是在恢复时，整个系统需要暂停运行，并且恢复速度很慢。另一种方法是使用多台服务器进行镜像备份，如果一台出现故障，则使用其他服务器进行恢复，但是，一般情况下，一台机器对外提供的数据吞吐量是有限的，如果采用这种机器镜像即几台机器上的数据完全一致的方式，修复大数据量的数据库时耗时也会很长，如果还需要同时考虑到提供正常服务，则修复的时间还会大大增加。
此外对于数据存储的安全性和抗供给性能也越来越受到重视，因此亟需解决。
发明内容
针对现有技术的不足，本发明提供一种基于云平台的数据加密安全存储方法，用解决背景技术中的问题。
本发明解决技术问题采用如下技术方案：
本发明提供了一种基于云平台的数据加密安全存储方法，包括以下步骤：
用户终端对原始数据文件F分割为N个单位文件f1……fN；
用户终端通过云平台与N+1个服务器建立连接，将N+1个服务器作为密钥服务器节点汇同云平台和用户终端构建密钥分发系统，同时将N+1个服务器作为存储节点构建所述原始数据文件F的服务器存储群；
所述密钥分发系统基于可验证SM2门限密码方案建立，生成并执行密钥分发，各密钥服务器节点获得并存储对应的密钥份额；
对原始数据文件F和N个单位文件f1……fN分别进行加密；
读取各存储节点的存储占比、当前负载和带宽，综合加权赋予各存储节点权重，具体为：
W＝Load×λ1+Storage×λ2+Bandwidth×λ3
其中Storage为存储节点内的数据存储占比、Load为存储节点的负载、Bandwidth为存储节点带宽，λ1、λ2、λ3分别为三项指标的比例系数；
选择当前权重最低节点作为主存储节点，其余节点作为副本存储节点，将原始数据文件F送入所述主存储节点，将N个单位文件f1……fN分别送入副本存储节点；
当主存储节点出现异常时执行：
计算所有副本存储节点的权重，选择当前权重最低节点作为重建主存储节点，读取其他副本存储节点中存储的单位文件，解密重建原始数据文件F；
删除副本存储节点和重建主存储节点中的N个单位文件f1……fN；
重建密钥分发系统；
将重建后的原始数据文件F分割为N-1个单位文件f'1……f'N-1；
对原始数据文件F和N-1个单位文件f'1……f'N-1分别进行加密并送入剩余N-1个副本存储节点；
当副本存储节点出现异常时执行：
读取副本存储节点异常个数M；
重建密钥分发系统；
将主存储节点上的原始数据文件F分割为N-M个单位文件f'1……f'N-M；
对原始数据文件F和N-M个单位文件f'1……f'N-M分别进行加密送入剩余N-M个副本存储节点；
删除副本存储节点中存储的原单位文件。
优选地，所述密钥分发系统执行密码分发具体包括：
将生成的完整密钥分发至各密钥服务器节点加密存储；
云平台提供与门限密码方案无关的数据通信；
各密钥服务器节点通过云平台传输份额计算参数以及验证参数；
用户终端提供可视化签署应用。
优选地，所述λ1、λ2、λ3取值分别为0.2、0.5和0.3。
优选地，所述存储节点负载Load通过以下方式得到：
计算服务器存储群整体平均负载Loadw，并读取最高负载LoadH和最低负载LoadL将各存储节点的实际负载LoadT与平均负载Loadw代入公式：
Figure BDA0002225929790000031
即得该存储节点负载；
所述数据存储占比为该存储节点已存储数据量占节点全部存储空间的比例。
优选地，当多个节点的权重相同且均为最低值时，采用一致性随机算法选择主存储节点。
优选地，所述用户终端对原始数据文件F分割为N个单位文件f1……fN具体包括：
采用纠删码或者喷泉码算法对原始数据进行编码，并将原始数据分割成N个数据片段，根据数据片段的大小和类型采用哈希算法的得到存储编号，生成N个单位文件f1……fN。
优选地，所述用户终端用于界面引导，接收用户输入，向服务器发送服务请求，并显示处理结果，其通过云平台与N+1个服务器建立连接具体包括：
用户终端认证准入：采用包括密码、语音、虹膜、视频、指纹、笔迹、印章中的一种或几种认证方法，配置唯一身份标识符，执行用户终端准入；
建立与N+1个服务器数据连接，读取各服务器路径；
根据所述存储编号实现单位文件和副本存储节点的一一映射；
对原始数据文件设置连接密钥，用于匹配搜寻对应服务器存储群信息，所述信息包括各存储节点的地址和编号，所述连接密钥设置服务时以PIN码验证界面进行展示，所述PIN码只作为保存和更新连接密钥时使用，不参与连接密钥生成计算。
优选地，所述主存储节点出现异常或者副本存储节点出现异常时，计算正常副本存储节点个数T，若T低于预设阈值，则执行新增服务器操作，具体包括：
新增服务器N-T个，将新增服务器与原正常副本存储节点共同组建密钥分发系统和服务器存储群，依次执行后续的密钥分发和单位文件存储步骤；
原正常副本存储节点接收到新送入的单位文件后，删除存储的原单位文件。
本发明还提供一种基于云平台的数据加密安全存储系统，包括：
用户终端；
云平台；
服务器模块；
所述用户终端执行对原始数据文件F分割为N个单位文件f1……fN，并通过云平台与服务器模块中的N+1个服务器建立连接，将N+1个服务器作为密钥服务器节点汇同云平台和用户终端构建密钥分发系统，同时将N+1个服务器作为存储节点构建所述原始数据文件F的服务器存储群；
密钥分发系统基于可验证SM2门限密码方案建立，生成并执行密钥分发，将生成的完整密钥分发至各密钥服务器节点加密存储；
云平台提供与门限密码方案无关的数据通信；
各密钥服务器节点通过云平台传输份额计算参数以及验证参数；
用户终端提供可视化签署应用；
对原始数据文件F和N个单位文件f1……fN分别进行加密；
读取各存储节点的存储占比、当前负载和带宽，综合加权赋予各存储节点权重，具体为：
W＝Load×λ1+Storage×λ2+Bandwidth×λ3
其中Storage为存储节点内的数据存储占比、Load为存储节点的负载、Bandwidth为存储节点带宽，λ1、λ2、λ3分别为三项指标的比例系数；
选择当前权重最低节点作为主存储节点，其余节点作为副本存储节点，将原始数据文件F送入所述主存储节点，将N个单位文件f1……fN分别送入副本存储节点；
当主存储节点出现异常时执行：
计算所有副本存储节点的权重，选择当前权重最低节点作为重建主存储节点，读取其他副本存储节点中存储的单位文件，解密重建原始数据文件F；
删除副本存储节点和重建主存储节点中的N个单位文件f1……fN；
重建密钥分发系统；
将重建后的原始数据文件F分割为N-1个单位文件f'1……f'N-1；
对原始数据文件F和N-1个单位文件f'1……f'N-1分别进行加密并送入剩余N-1个副本存储节点；
当副本存储节点出现异常时执行：
读取副本存储节点异常个数M；
重建密钥分发系统；
将主存储节点上的原始数据文件F分割为N-M个单位文件f'1……f'N-M；
对原始数据文件F和N-M个单位文件f'1……f'N-M分别进行加密送入剩余N-M个副本存储节点；
删除副本存储节点中存储的原单位文件。
本发明还提供一种存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行如前述的基于云平台的数据加密安全存储方法的步骤
与现有技术相比，本发明具有如下的有益效果：
本发明将原始数据分割成若干单位文件，基于云平台传输采用主存储节点和副本存储节点分布存储数据，一方面可以保证数据的安全性，在出现服务器节点故障时，能够重建数据，多重保险，另一方面避免了现有技术中完整副本带来存储开销过大的弊端，此外采用节点权重的赋予提高了放置或者重建过程中存储和负载的优异的平衡，实现了数据存储的均匀性，在数据重建过程去中心化操作有效降低了资源的不平衡，达到了系统资源和网络资源的最优化的均衡使用；
本发明创造性的在此基础上配套使用服务器存储群建立密钥分发系统，在产生突发情况下例如服务器或者丢失部分密钥份额时仍然可以使用加密服务，同时可以对用户终端以及服务器端相互传输的份额正确性进行校验，避免恶意参与者带来的安全威胁，将存储节点与密钥服务器创造性的结合在一起，实现了数据存储的抗风险性和私密性的有效统一，
本发明提供的系统同时实现了存储的迁移、扩容和重建，提高了整个存储系统的容错能力，提高了数据的安全性，解决了数据高效自动修复的问题。
关于本发明相对于现有技术，其他突出的实质性特点和显著的进步在实施例部分进一步详细介绍。
附图说明
通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：
图1为本发明的一种基于云平台的数据加密安全存储方法的流程示意图；
图2为本发明的一种基于云平台的数据加密安全存储系统的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
需要说明的是，在说明书及权利要求书当中使用了某些名称来指称特定组件。应当理解，本领域普通技术人员可能会用不同名称来指称同一个组件。本申请说明书及权利要求书并不以名称的差异作为区分组件的方式，而是以组件在功能上的实质性差异作为区分组件的准则。如在本申请说明书和权利要求书中所使用的“包含”或“包括”为一开放式用语，其应解释为“包含但不限定于”或“包括但不限定于”。具体实施方式部分所描述的实施例为本发明的较佳实施例，并非用以限定本发明的范围。
此外，所属技术领域的技术人员知道，本发明的各个方面可以实现为系统、方法或计算机程序产品。因此，本发明的各个方面可以具体实现为软硬件结合的形式，这里可以统称为“电路”、“模块”或“系统”。此外，在一些实施例中，本发明的各个方面还可以实现为在一个或多个微控制器可读介质中的计算机程序产品的形式，该微控制器可读介质中包含微控制器可读的程序代码。
实施例1
请参考图1，本实施例的一种基于云平台的数据加密安全存储方法，包括以下步骤：
用户终端对原始数据文件F分割为N个单位文件f1……fN，具体包括：
采用纠删码或者喷泉码算法对原始数据进行编码，并将原始数据分割成N个数据片段，根据数据片段的大小和类型采用哈希算法的得到存储编号，生成N个单位文件f1……fN；
用户终端通过云平台与N+1个服务器建立连接，将N+1个服务器作为密钥服务器节点汇同云平台和用户终端构建密钥分发系统，同时将N+1个服务器作为存储节点构建所述原始数据文件F的服务器存储群；
密钥分发系统基于可验证SM2门限密码方案建立，生成并执行密钥分发，密钥分发系统执行密码分发具体包括：
将生成的完整密钥分发至各密钥服务器节点加密存储；
云平台提供与门限密码方案无关的数据通信；
各密钥服务器节点通过云平台传输份额计算参数以及验证参数；
用户终端提供可视化签署应用；
各密钥服务器节点获得并存储对应的密钥份额；
对原始数据文件F和N个单位文件f1……fN分别进行加密；
读取各存储节点的存储占比、当前负载和带宽，综合加权赋予各存储节点权重，具体为：
W＝Load×λ1+Storage×λ2+Bandwidth×λ3
其中Storage为存储节点内的数据存储占比、Load为存储节点的负载、Bandwidth为存储节点带宽，λ1、λ2、λ3分别为三项指标的比例系数；在本实施例中λ1、λ2、λ3取值分别为0.2、0.5和0.3；
在本实施例中的存储节点负载Load通过以下方式得到：
计算服务器存储群整体平均负载Loadw，并读取最高负载LoadH和最低负载LoadL将各存储节点的实际负载LoadT与平均负载Loadw代入公式：
Figure BDA0002225929790000071
即得该存储节点负载；
数据存储占比为该存储节点已存储数据量占节点全部存储空间的比例；
选择当前权重最低节点作为主存储节点，其余节点作为副本存储节点，将原始数据文件F送入所述主存储节点，将N个单位文件f1……fN分别送入副本存储节点；
当主存储节点出现异常时执行：
计算所有副本存储节点的权重，选择当前权重最低节点作为重建主存储节点，当多个节点的权重相同且均为最低值时，采用一致性随机算法选择主存储节点；读取其他副本存储节点中存储的单位文件，解密重建原始数据文件F；
删除副本存储节点和重建主存储节点中的N个单位文件f1……fN；
重建密钥分发系统；
将重建后的原始数据文件F分割为N-1个单位文件f'1……f'N-1；
对原始数据文件F和N-1个单位文件f'1……f'N-1分别进行加密并送入剩余N-1个副本存储节点；
当副本存储节点出现异常时执行：
读取副本存储节点异常个数M；
重建密钥分发系统；
将主存储节点上的原始数据文件F分割为N-M个单位文件f'1……f'N-M；
对原始数据文件F和N-M个单位文件f'1……f'N-M分别进行加密送入剩余N-M个副本存储节点；
删除副本存储节点中存储的原单位文件。
本实施例中的用户终端用于界面引导，接收用户输入，向服务器发送服务请求，并显示处理结果，其通过云平台与N+1个服务器建立连接具体包括：
用户终端认证准入：采用包括密码、语音、虹膜、视频、指纹、笔迹、印章中的一种或几种认证方法，配置唯一身份标识符，执行用户终端准入；
建立与N+1个服务器数据连接，读取各服务器路径；
根据所述存储编号实现单位文件和副本存储节点的一一映射；
对原始数据文件设置连接密钥，用于匹配搜寻对应服务器存储群信息，所述信息包括各存储节点的地址和编号，所述连接密钥设置服务时以PIN码验证界面进行展示，所述PIN码只作为保存和更新连接密钥时使用，不参与连接密钥生成计算。
在本实施例中主存储节点出现异常或者副本存储节点出现异常时，计算正常副本存储节点个数T，若T低于预设阈值，则执行新增服务器操作，具体包括：
新增服务器N-T个，将新增服务器与原正常副本存储节点共同组建密钥分发系统和服务器存储群，依次执行后续的密钥分发和单位文件存储步骤；
原正常副本存储节点接收到新送入的单位文件后，删除存储的原单位文件。
实施例2
请参照图2，本实施例提供一种基于云平台的数据加密安全存储系统，包括：
用户终端；
云平台；
服务器模块；
用户终端执行对原始数据文件F分割为N个单位文件f1……fN，并通过云平台与服务器模块中的N+1个服务器建立连接，将N+1个服务器作为密钥服务器节点汇同云平台和用户终端构建密钥分发系统，同时将N+1个服务器作为存储节点构建所述原始数据文件F的服务器存储群；
密钥分发系统基于可验证SM2门限密码方案建立，生成并执行密钥分发，将生成的完整密钥分发至各密钥服务器节点加密存储；
云平台提供与门限密码方案无关的数据通信；
各密钥服务器节点通过云平台传输份额计算参数以及验证参数；
用户终端提供可视化签署应用；
对原始数据文件F和N个单位文件f1……fN分别进行加密；
读取各存储节点的存储占比、当前负载和带宽，综合加权赋予各存储节点权重，具体为：
W＝Load×λ1+Storage×λ2+Bandwidth×λ3
其中Storage为存储节点内的数据存储占比、Load为存储节点的负载、Bandwidth为存储节点带宽，λ1、λ2、λ3分别为三项指标的比例系数；
选择当前权重最低节点作为主存储节点，其余节点作为副本存储节点，将原始数据文件F送入所述主存储节点，将N个单位文件f1……fN分别送入副本存储节点；
当主存储节点出现异常时执行：
计算所有副本存储节点的权重，选择当前权重最低节点作为重建主存储节点，读取其他副本存储节点中存储的单位文件，解密重建原始数据文件F；
删除副本存储节点和重建主存储节点中的N个单位文件f1……fN；
重建密钥分发系统；
将重建后的原始数据文件F分割为N-1个单位文件f'1……f'N-1；
对原始数据文件F和N-1个单位文件f'1……f'N-1分别进行加密并送入剩余N-1个副本存储节点；
当副本存储节点出现异常时执行：
读取副本存储节点异常个数M；
重建密钥分发系统；
将主存储节点上的原始数据文件F分割为N-M个单位文件f'1……f'N-M；
对原始数据文件F和N-M个单位文件f'1……f'N-M分别进行加密送入剩余N-M个副本存储节点；
删除副本存储节点中存储的原单位文件。
本实施例中密钥分发系统执行密码分发具体包括：
将生成的完整密钥分发至各密钥服务器节点加密存储；
云平台提供与门限密码方案无关的数据通信；
各密钥服务器节点通过云平台传输份额计算参数以及验证参数；
用户终端提供可视化签署应用。
本实施例中λ1、λ2、λ3取值分别为0.2、0.5和0.3。
本实施例中存储节点负载Load通过以下方式得到：
计算服务器存储群整体平均负载Loadw，并读取最高负载LoadH和最低负载LoadL将各存储节点的实际负载LoadT与平均负载Loadw代入公式：
Figure BDA0002225929790000101
即得该存储节点负载；
所述数据存储占比为该存储节点已存储数据量占节点全部存储空间的比例。
本实施例中当多个节点的权重相同且均为最低值时，采用一致性随机算法选择主存储节点。
本实施例中用户终端对原始数据文件F分割为N个单位文件f1……fN具体包括：
采用纠删码或者喷泉码算法对原始数据进行编码，并将原始数据分割成N个数据片段，根据数据片段的大小和类型采用哈希算法的得到存储编号，生成N个单位文件f1……fN。
7、根据权利要求6所述的一种基于云平台的数据加密安全存储方法，其特征在于，所述用户终端用于界面引导，接收用户输入，向服务器发送服务请求，并显示处理结果，其通过云平台与N+1个服务器建立连接具体包括：
用户终端认证准入：采用包括密码、语音、虹膜、视频、指纹、笔迹、印章中的一种或几种认证方法，配置唯一身份标识符，执行用户终端准入；
建立与N+1个服务器数据连接，读取各服务器路径；
根据所述存储编号实现单位文件和副本存储节点的一一映射；
对原始数据文件设置连接密钥，用于匹配搜寻对应服务器存储群信息，所述信息包括各存储节点的地址和编号，所述连接密钥设置服务时以PIN码验证界面进行展示，所述PIN码只作为保存和更新连接密钥时使用，不参与连接密钥生成计算。
本实施例中主存储节点出现异常或者副本存储节点出现异常时，计算正常副本存储节点个数T，若T低于预设阈值，则执行新增服务器操作，具体包括：
新增服务器N-T个，将新增服务器与原正常副本存储节点共同组建密钥分发系统和服务器存储群，依次执行后续的密钥分发和单位文件存储步骤；
原正常副本存储节点接收到新送入的单位文件后，删除存储的原单位文件。
实施例3
本实施例提供一种存储介质，存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行如实施例1所述的基于云平台的数据加密安全存储方法的步骤。
本发明的一种基于云平台的数据加密安全存储方法、系统和存储介质减少了资源的过度供给，可以快速并行的从存储故障中恢复，可以达到存储和负载的有效平衡，降低了密钥泄露带来的不可预知的安全威胁，具有良好的安全与隐私保护特性，保证了数据存储的安全性和抗风险性。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方。或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。
而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)。随机存取存储器(RAM，Random，Access，Memory)、磁碟或者光盘等各种可以存储程序校验码的介质。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。
对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。
此外，应当理解，虽然本说明书按照实施方式加以描述，但并非每个实施方式仅包含一个独立的技术方案，说明书的这种叙述方式仅仅是为清楚起见，本领域技术人员应当将说明书作为一个整体，各实施例中的技术方案也可以经适当组合，形成本领域技术人员可以理解的其他实施方式。

Claims (10)

1.一种基于云平台的数据加密安全存储方法，其特征在于，包括以下步骤：
用户终端对原始数据文件F分割为N个单位文件f1……fN；
用户终端通过云平台与N+1个服务器建立连接，将N+1个服务器作为密钥服务器节点汇同云平台和用户终端构建密钥分发系统，同时将N+1个服务器作为存储节点构建所述原始数据文件F的服务器存储群；
所述密钥分发系统基于可验证SM2门限密码方案建立，生成并执行密钥分发，各密钥服务器节点获得并存储对应的密钥份额；
对原始数据文件F和N个单位文件f1……fN分别进行加密；
读取各存储节点的存储占比、当前负载和带宽，综合加权赋予各存储节点权重，具体为：
W＝Load×λ1+Storage×λ2+Bandwidth×λ3
其中Storage为存储节点内的数据存储占比、Load为存储节点的负载、Bandwidth为存储节点带宽，λ1、λ2、λ3分别为三项指标的比例系数；
选择当前权重最低节点作为主存储节点，其余节点作为副本存储节点，将原始数据文件F送入所述主存储节点，将N个单位文件f1……fN分别送入副本存储节点；
当主存储节点出现异常时执行：
计算所有副本存储节点的权重，选择当前权重最低节点作为重建主存储节点，读取其他副本存储节点中存储的单位文件，解密重建原始数据文件F；
删除副本存储节点和重建主存储节点中的N个单位文件f1……fN；
重建密钥分发系统；
将重建后的原始数据文件F分割为N-1个单位文件f'1……f'N-1；
对原始数据文件F和N-1个单位文件f'1……f'N-1分别进行加密并送入剩余N-1个副本存储节点；
当副本存储节点出现异常时执行：
读取副本存储节点异常个数M；
重建密钥分发系统；
将主存储节点上的原始数据文件F分割为N-M个单位文件f'1……f'N-M；
对原始数据文件F和N-M个单位文件f'1……f'N-M分别进行加密送入剩余N-M个副本存储节点；
删除副本存储节点中存储的原单位文件。
2.根据权利要求1所述的一种基于云平台的数据加密安全存储方法，其特征在于，所述密钥分发系统执行密码分发具体包括：
将生成的完整密钥分发至各密钥服务器节点加密存储；
云平台提供与门限密码方案无关的数据通信；
各密钥服务器节点通过云平台传输份额计算参数以及验证参数；
用户终端提供可视化签署应用。
3.根据权利要求1所述的一种基于云平台的数据加密安全存储方法，其特征在于，所述λ1、λ2、λ3取值分别为0.2、0.5和0.3。
4.根据权利要求1所述的一种基于云平台的数据加密安全存储方法，其特征在于，所述存储节点负载Load通过以下方式得到：
计算服务器存储群整体平均负载Loadw，并读取最高负载LoadH和最低负载LoadL将各存储节点的实际负载LoadT与平均负载Loadw代入公式：
Figure FDA0002225929780000021
即得该存储节点负载；
所述数据存储占比为该存储节点已存储数据量占节点全部存储空间的比例。
5.根据权利要求1所述的一种基于云平台的数据加密安全存储方法，其特征在于，当多个节点的权重相同且均为最低值时，采用一致性随机算法选择主存储节点。
6.根据权利要求1所述的一种基于云平台的数据加密安全存储方法，其特征在于，所述用户终端对原始数据文件F分割为N个单位文件f1……fN具体包括：
采用纠删码或者喷泉码算法对原始数据进行编码，并将原始数据分割成N个数据片段，根据数据片段的大小和类型采用哈希算法的得到存储编号，生成N个单位文件f1……fN。
7.根据权利要求6所述的一种基于云平台的数据加密安全存储方法，其特征在于，所述用户终端用于界面引导，接收用户输入，向服务器发送服务请求，并显示处理结果，其通过云平台与N+1个服务器建立连接具体包括：
用户终端认证准入：采用包括密码、语音、虹膜、视频、指纹、笔迹、印章中的一种或几种认证方法，配置唯一身份标识符，执行用户终端准入；
建立与N+1个服务器数据连接，读取各服务器路径；
根据所述存储编号实现单位文件和副本存储节点的一一映射；
对原始数据文件设置连接密钥，用于匹配搜寻对应服务器存储群信息，所述信息包括各存储节点的地址和编号，所述连接密钥设置服务时以PIN码验证界面进行展示，所述PIN码只作为保存和更新连接密钥时使用，不参与连接密钥生成计算。
8.根据权利要求1所述的一种基于云平台的数据加密安全存储方法，其特征在于，所述主存储节点出现异常或者副本存储节点出现异常时，计算正常副本存储节点个数T，若T低于预设阈值，则执行新增服务器操作，具体包括：
新增服务器N-T个，将新增服务器与原正常副本存储节点共同组建密钥分发系统和服务器存储群，依次执行后续的密钥分发和单位文件存储步骤；
原正常副本存储节点接收到新送入的单位文件后，删除存储的原单位文件。
9.一种基于云平台的数据加密安全存储系统，其特征在于，包括：
用户终端；
云平台；
服务器模块；
所述用户终端执行对原始数据文件F分割为N个单位文件f1……fN，并通过云平台与服务器模块中的N+1个服务器建立连接，将N+1个服务器作为密钥服务器节点汇同云平台和用户终端构建密钥分发系统，同时将N+1个服务器作为存储节点构建所述原始数据文件F的服务器存储群；
密钥分发系统基于可验证SM2门限密码方案建立，生成并执行密钥分发，将生成的完整密钥分发至各密钥服务器节点加密存储；
云平台提供与门限密码方案无关的数据通信；
各密钥服务器节点通过云平台传输份额计算参数以及验证参数；
用户终端提供可视化签署应用；
对原始数据文件F和N个单位文件f1……fN分别进行加密；
读取各存储节点的存储占比、当前负载和带宽，综合加权赋予各存储节点权重，具体为：
W＝Load×λ1+Storage×λ2+Bandwidth×λ3
其中Storage为存储节点内的数据存储占比、Load为存储节点的负载、Bandwidth为存储节点带宽，λ1、λ2、λ3分别为三项指标的比例系数；
选择当前权重最低节点作为主存储节点，其余节点作为副本存储节点，将原始数据文件F送入所述主存储节点，将N个单位文件f1……fN分别送入副本存储节点；
当主存储节点出现异常时执行：
计算所有副本存储节点的权重，选择当前权重最低节点作为重建主存储节点，读取其他副本存储节点中存储的单位文件，解密重建原始数据文件F；
删除副本存储节点和重建主存储节点中的N个单位文件f1……fN；
重建密钥分发系统；
将重建后的原始数据文件F分割为N-1个单位文件f'1……f'N-1；
对原始数据文件F和N-1个单位文件f'1……f'N-1分别进行加密并送入剩余N-1个副本存储节点；
当副本存储节点出现异常时执行：
读取副本存储节点异常个数M；
重建密钥分发系统；
将主存储节点上的原始数据文件F分割为N-M个单位文件f'1……f'N-M；
对原始数据文件F和N-M个单位文件f'1……f'N-M分别进行加密送入剩余N-M个副本存储节点；
删除副本存储节点中存储的原单位文件。
10.一种存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器运行时执行如权利要求1至8任一项所述的基于云平台的数据加密安全存储方法的步骤。
CN201910951585.8A 2019-10-09 2019-10-09 一种基于云平台的数据加密安全存储方法、系统和存储介质 Active CN110602147B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910951585.8A CN110602147B (zh) 2019-10-09 2019-10-09 一种基于云平台的数据加密安全存储方法、系统和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910951585.8A CN110602147B (zh) 2019-10-09 2019-10-09 一种基于云平台的数据加密安全存储方法、系统和存储介质

Publications (2)

Publication Number Publication Date
CN110602147A CN110602147A (zh) 2019-12-20
CN110602147B true CN110602147B (zh) 2021-07-30

Family

ID=68865765

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910951585.8A Active CN110602147B (zh) 2019-10-09 2019-10-09 一种基于云平台的数据加密安全存储方法、系统和存储介质

Country Status (1)

Country Link
CN (1) CN110602147B (zh)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111010408B (zh) * 2020-01-06 2022-02-11 中国银联股份有限公司 一种分布式加密和解密方法及系统
CN112235104B (zh) * 2020-10-23 2022-12-23 苏州浪潮智能科技有限公司 一种数据加密传输方法、系统、终端及存储介质
CN113268449A (zh) * 2021-03-03 2021-08-17 浪潮云信息技术股份公司 一种基于对象存储的分布式文件迁移方法及系统
CN113259092A (zh) * 2021-04-04 2021-08-13 余绍祥 一种文档分布式加密系统
CN113204774B (zh) * 2021-04-29 2021-11-26 北京连山科技股份有限公司 基于多云环境下的一种快速数据安全保护方法
CN113672174B (zh) * 2021-08-03 2024-05-07 中移（杭州）信息技术有限公司 数据重构方法、设备、存储介质及装置
CN113949713A (zh) * 2021-10-15 2022-01-18 佳缘科技股份有限公司 一种基于数据漂移的动态存储方法、存储介质和计算机设备
CN114826614B (zh) * 2022-04-22 2024-02-23 安天科技集团股份有限公司 一种可认证密码库文件分布式存储方法、装置和电子设备
CN115085900B (zh) * 2022-08-22 2022-11-29 四川汉唐云分布式存储技术有限公司 一种基于分布式存储的同态加密方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104580395A (zh) * 2014-12-22 2015-04-29 西安电子科技大学 一种基于现存云存储平台的多云协同存储中间件系统
CN106100832A (zh) * 2016-06-12 2016-11-09 广东工业大学 一种云存储数据去重中基于收敛加密的密钥管理方法
CN108810063A (zh) * 2017-11-21 2018-11-13 北京大学深圳研究生院 一种多云存储环境下数据的安全分发和修复方法、系统及介质

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104580395A (zh) * 2014-12-22 2015-04-29 西安电子科技大学 一种基于现存云存储平台的多云协同存储中间件系统
CN106100832A (zh) * 2016-06-12 2016-11-09 广东工业大学 一种云存储数据去重中基于收敛加密的密钥管理方法
CN108810063A (zh) * 2017-11-21 2018-11-13 北京大学深圳研究生院 一种多云存储环境下数据的安全分发和修复方法、系统及介质

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
Privacy Preserving and Dynamic Audit Service for Secure Cloud Storage;Jaaruti Patil;Sangita Chaudhari;《2018 International Conference on Smart City and Emerging Technology (ICSCET)》;20180105;全文 *
数据安全存储的分片策略模型研究;张洪; 路松峰; 赵友桥; 胥永康; 胡和平;《计算机工程与应用》;20120930;全文 *

Also Published As

Publication number Publication date
CN110602147A (zh) 2019-12-20

Similar Documents

Publication Publication Date Title
CN110602147B (zh) 一种基于云平台的数据加密安全存储方法、系统和存储介质
US11256558B1 (en) Prioritized data rebuilding in a dispersed storage network based on consistency requirements
US10467096B2 (en) Securely storing data in a dispersed storage network
US10372357B2 (en) Securely recovering stored data in a dispersed storage network
CN102170440B (zh) 适用于存储云间数据安全迁移的方法
US20100063911A1 (en) Billing system for information dispersal system
WO2007120437A2 (en) Metadata management system for an information dispersed storage system
CN105071936A (zh) 用于安全数据共享的系统和方法
JP2021528883A (ja) 符号化ブロックチェーンデータのインデックス化および復元
CN111611623B (zh) 一种隐私数据处理方法和装置
CN116249999A (zh) 用于区块链网络的共识服务
US20190004727A1 (en) Using a namespace to augment de-duplication
US20190005261A1 (en) Secure shared vault with encrypted private indices
US10650160B2 (en) Enhancing security for multiple storage configurations
Gopal et al. Evaluating RC-interconnect using moment-matching approximations
US20190311139A1 (en) Securely storing data in an elastically scalable dispersed storage network
US20230350918A1 (en) Storage Network for Rebuilding Encoded Data Slices and Processing System for Use Therewith
Selvi et al. An Analysis of Data Replication Issues and Strategies on Cloud Storage System
US10506045B2 (en) Memory access using deterministic function and secure seed
US20180089020A1 (en) Managing rebuilding performance in a dispersed storage network
US10594793B2 (en) Read-prepare requests to multiple memories
US20190007380A1 (en) De-duplication of data streams
CN110912688A (zh) 基于联盟链的抗量子计算私钥备份、挂失及恢复方法及系统
US11782789B2 (en) Encoding data and associated metadata in a storage network
US11418580B2 (en) Selective generation of secure signatures in a distributed storage network

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right

Effective date of registration: 20210713

Address after: 230088 China (Anhui) pilot Free Trade Zone, Hefei City, Anhui Province

Applicant after: HEFEI ZHONGKE SHENGU TECHNOLOGY DEVELOPMENT Co.,Ltd.

Address before: 230000 building 19, zhenhuiyuan community, Binhu Century City, Ziyun Road, Baohe District, Hefei City, Anhui Province

Applicant before: Wu Xinsheng

TA01 Transfer of patent application right
GR01 Patent grant
GR01 Patent grant