CN111090622A - 基于动态加密rbac模型的云存储信息处理系统及方法 - Google Patents

基于动态加密rbac模型的云存储信息处理系统及方法 Download PDF

Info

Publication number
CN111090622A
CN111090622A CN201910995686.5A CN201910995686A CN111090622A CN 111090622 A CN111090622 A CN 111090622A CN 201910995686 A CN201910995686 A CN 201910995686A CN 111090622 A CN111090622 A CN 111090622A
Authority
CN
China
Prior art keywords
file
user
role
key
cloud storage
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910995686.5A
Other languages
English (en)
Other versions
CN111090622B (zh
Inventor
沈玉龙
崔志浩
李腾
何嘉洪
康晓宇
景玉
刘家继
何怡
许王哲
何昶辉
王博
赵迪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xidian University
Original Assignee
Xidian University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xidian University filed Critical Xidian University
Priority to CN201910995686.5A priority Critical patent/CN111090622B/zh
Publication of CN111090622A publication Critical patent/CN111090622A/zh
Application granted granted Critical
Publication of CN111090622B publication Critical patent/CN111090622B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/16—File or folder operations, e.g. details of user interfaces specifically adapted to file systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/17—Details of further file system functions
    • G06F16/172—Caching, prefetching or hoarding of files
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0847—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving identity based encryption [IBE] schemes
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Human Computer Interaction (AREA)
  • Storage Device Security (AREA)

Abstract

本发明属于云存储技术领域，公开了一种基于动态加密RBAC模型的云存储信息处理系统及方法，通过网络与云存储平台连接的用于用户认证、角色认证、文件的操作和管理、文件权限分享和数据在线预览编辑的用户端；用于身份认证和文件访问控制的安全管理组件；与客户端连接的用于数据加解密、密钥管理、文件数据存储和用户操作日志的云存储服务器；用于提供文件在线预览与编辑服务的在线协作服务器。本发明基于动态加密的RBAC模型，能够提供合理有效的访问控制功能，访问控制策略动态加密，切实有效地保证数据的可靠，保护数据隐私；同时提供文档在线协作功能，避免文档多版本冗余分散管理困难，方便私有云内企业组织和个人的使用。

Description

基于动态加密RBAC模型的云存储信息处理系统及方法
技术领域
本发明属于云存储技术领域，尤其涉及一种基于动态加密RBAC模型的云存储信息处理系统及方法。
背景技术
近年来，云存储得到了广泛的应用，在使用便利的同时，云存储也引起了用户对云存储数据安全和隐私保护安全性的的广泛担忧。Google、Microsoft等多家云存储服务商都出现过用户数据和隐私泄露的安全问题，保护用户隐私和敏感数据的机密性已成为云存储的重要安全问题。
数据的访问控制是云存储中保护数据机密性的重要环节。当前针对访问控制的研究大部分建立在静态模型的场景中，其中策略库很少发生变化，并不能代表真实的访问控制系统，同时密钥管理和撤销会给云存储系统带来大量的实际开销。传统的访问控制技术一般基于服务器可信的条件，对于组织或团体来说，公共的云存储环境由于其自身特性，并不具备可信条件，同时会存在以下问题：
(1)企业团体文件数据管控不便。当某个团体组织数据量巨大或者涉及的管理面太多时，公有云存储条件下不能很好地对文件进行统一的集中管理控制，容易造成数据流出泄露和管理混乱冗余分散等问题。
(2)数据的存取无法达到最优时间。数据存储在单一的云存储提供商，如果网络产生波动或拥塞，会造成存取速度过慢，用户的网络服务质量会明显下降。
(3)数据隐私和安全性无法得到保障。由于运维成本及计算资源等因素，存储在公共云存储平台的数据可以被云存储提供商管理员直接查看，存在被完全窥视的可能，同时数据泄露问题层出不穷，用户和团体的数据隐私无法保证。
(4)数据无法在线编辑与同步。当前大部分云存储提供商不支持在线编辑与同步功能，给企业团体内部文件的及时更新与版本控制带来不便。
综上所述，现有技术存在的问题是：
(1)现有的云存储信息处理方法存在企业团体文件数据管控不便，不能对文件进行统一的集中管理控制，容易造成数据流出泄露和管理混乱冗余分散等问题。
(2)现有的云存储信息处理方法存在数据的存取无法达到最优时间，造成存取速度过慢，用户的网络服务质量明显下降。
(3)现有的云存储信息处理方法存在数据隐私和安全性无法得到保障，存在被完全窥视的可能，同时数据泄露问题层出不穷，用户和团体的数据隐私无法保证。
(4)现有的云存储信息处理方法存在数据无法在线编辑与同步，用户编辑文件后不能及时的进行文件同步，给企业团体内部文件的及时更新与版本控制带来不便。
解决上述技术问题的意义：
通过解决上述问题，一种基于动态加密RBAC模型的云存储信息处理系统及方法，能够提供合理有效的访问控制功能，访问控制策略动态加密，切实有效地保证数据的可靠，保护数据隐私；同时提供文档在线协作功能，避免文档多版本冗余分散管理困难，方便私有云内企业组织和个人的使用。
发明内容
针对现有技术存在的问题，本发明提供了一种基于动态加密RBAC模型的云存储信息处理系统及方法。
本发明是这样实现的，一种基于动态加密RBAC模型的云存储信息处理系统，所述基于动态加密RBAC模型的云存储信息处理系统包括：
通过网络与云存储平台连接的用于用户认证、角色认证、文件的操作和管理、文件权限分享和数据在线预览编辑的用户端；
用于身份认证和文件访问控制的安全管理组件；
与客户端连接的用于数据加解密、密钥管理、文件数据存储和用户操作日志的云存储服务器；
用于提供文件在线预览与编辑服务的在线协作服务器。
进一步，所述用户端包括用于用户身份和角色认证、管理员身份认证的认证单元，用于根据用户操作要求对文件进行上传、下载、修改、分享、删除等管理动作的操作管理单元，用于根据不同的权限需求，将不同的权限分发到分享文件的权限分享单元，用于用户在线预览编辑的在线协作单元。
进一步，所述安全管理组件包括用于对用户端发起的认证请求进行认证以确认身份合法性的身份认证单元、用于对用户端发起的修改文件请求进行权限判定以确认用户权限合法性的访问控制单元。
进一步，所述访问控制单元基于RBAC模型，按用户不同职责划分角色统一进行权限管理，通过RK表、FK表保存访问控制策略，通过F表保存文件信息，其中RK表保存用户与其角色密钥之间的关系，FK表保存角色权限、角色与文件密钥之间的关系。
进一步，所述云存储服务器包括数据加解密单元、用于数据加解密和身份认证的密钥生成和管理分发单元、用于加密文件存储的数据存储单元以及用于记录用户在云存储服务器的所有操作的日志单元。
本发明的另一目的在于提供一种运行所述基于动态加密RBAC模型的云存储信息处理系统的基于动态加密RBAC模型的云存储信息处理方法，所述基于动态加密RBAC模型的云存储信息处理方法包括以下步骤：
第一步，用户注册，用户注册成功后用户身份信息u会加入用户表，同时作为用户的公钥，由位于云存储服务器的密钥生成单元根据用户身份信息生成相应的解密私钥ku和签名私钥su，通过可信信道分发给用户；
第二步，配置角色，管理员配置角色信息，将角色信息加入角色表，同时作为角色的公钥，由位于云存储服务器的密钥生成单元根据角色信息生成相应的解密密钥k(r，v)和签名私钥s(r，v),对属于该角色的所有用户配置用户角色映射关系
Figure BDA0002239647710000041
发送到安全管理组件；
其中u为用户身份信息，(r，vr)为角色信息，
Figure BDA0002239647710000042
为以u为密钥利用IBE加密角色解密密钥k(r，v)和签名私钥s(r，v)，
Figure BDA0002239647710000043
为用于用户认证的管理员签名；
第三步，配置权限，由位于云存储服务器的密钥生成单元生成对称密钥k，使用对称密钥算法加密文件f，生成文件信息表，其中
Figure BDA0002239647710000044
为有权访问文件的角色签名；
Figure BDA0002239647710000045
管理员为有权访问文件的角色配置读写权限RW或读权限R，使用角色公钥(r，vr)加密文件解密密钥k，生成角色文件映射关系发送到安全管理组件；
Figure BDA0002239647710000046
第四步，文件的读取与修改，由安全管理组件认证用户合法身份以及判断用户权限，当用户认证通过以及具有所需权限时，通过在线协作服务武器提供的在线预览与编辑功能，进行文件的读取与修改。
进一步，所述基于动态加密RBAC模型的云存储信息处理方法的文件读取从用户发起请求开始，到读取文件或拒绝访问结束，具体读取流程如下：
步骤一，用户发起读取文件请求；
步骤二，系统判断请求读取的文件是否存在，若不存在，流程结束；若文件存在，转到步骤三；
步骤三，系统对用户身份进行验证，若用户身份非法，则文件拒绝访问，流程结束；若用户身份合法，转步骤四；
步骤四，系统从RK关系表获取用户当前某一角色；
步骤五，系统从FK关系表判断该角色是否具有访问请求文件的权限，若该角色没有权限，转步骤六；若该角色具有权限，转步骤七；
步骤六，判断用户是否还所属其他角色，若用户还具有其他角色，转步骤四；若用户没有其他角色，则文件拒绝访问，流程结束；
步骤七，通过使用用户私钥ku，解密获得RK表中加密保存的角色私钥k(r，v)；
步骤八，通过使用角色私钥k(r，v)，解密获得FK表中加密保存的文件密钥k；
步骤九，通过使用文件解密密钥k，解密获取读取文件，结束。
进一步，所述基于动态加密RBAC模型的云存储信息处理方法的文件修改从用户发起请求开始，到旧文件被新文件替换结束，具体修改文件流程如下：
步骤一，用户发起读取文件请求；
步骤二，系统对用户身份进行验证，若用户身份非法，则文件拒绝访问，流程结束；若用户身份合法，转步骤三。；
步骤三，系统从RK关系表获取用户当前某一角色；
步骤四，系统从FK关系表判断该角色是否具有修改请求文件的权限，若该角色没有权限，转步骤五；若该角色具有权限，转步骤六；
步骤五，判断用户是否还所属其他角色，若用户还具有其他角色，转步骤三；若用户没有其他角色，则文件拒绝访问，流程结束；
步骤六，通过使用用户私钥ku，解密获得RK表中加密保存的角色私钥k(r，v)；
步骤七，通过使用角色私钥k(r，v)，解密获得FK表中加密保存的文件密钥k；
步骤八，用户修改文件并使用文件密钥k对文件重新加密，发送到安全管理组件；
步骤九，安全管理组件验证用户签名确定用户身份，若验证不通过，则拒绝文件修改操作；若验证通过，则用新的加密文件替换旧加密文件，同时更新文件版本信息，结束。
进一步，所述基于动态加密RBAC模型的云存储信息处理方法的访问控制策略、用户与角色、角色与文件关系都会发生动态更新，具体更新流程如下：
步骤一，用户撤销，密钥生成中心更新角色解密密钥k(r，v+1)和签名私钥s(r，v+1)；
步骤二，对除撤销用户外的其他用户u′，更新RK表为：
Figure BDA0002239647710000061
步骤三，获取当前文件密钥k，更新FK表为：
Figure BDA0002239647710000062
步骤四，密钥生成中心通过密钥生成算法生成新的文件密钥k′；
步骤五，用角色加密密钥加密新文件密钥k′，生成新的FK关系表：
Figure BDA0002239647710000063
步骤六，更新用户表和文件表中的角色和文件版本信息v，删除撤销用户前的旧关系表RK,FK；
步骤七，判断下次文件操作，若为读取操作，按照文件读取流程读取文件，其中，使用FK表内旧密钥k解密读取文件；若为修改操作，按照文件修改流程写入文件，其中在对修改文件重新加密时，使用FK’中新文件密钥k′，替换旧文件。
本发明的另一目的在于提供一种应用所述基于动态加密RBAC模型的云存储信息处理方法的云存储控制系统。
综上所述，本发明的优点及积极效果为：本发明基于动态加密的RBAC模型，能够提供合理有效的访问控制功能，访问控制策略动态加密，切实有效地保证数据的可靠，保护数据隐私；同时提供文档在线协作功能，避免文档多版本冗余分散管理困难，方便私有云内企业组织和个人的使用。本发明采用的动态加密RBAC模型，使用IBE对文件密钥加密保存，同时支持用户、角色和文件的动态更新，保证对文件数据访问操作的合法性。
附图说明
图1是本发明实施例提供的基于动态加密RBAC模型的云存储信息处理系统的结构示意图。
图2是本发明实施例提供的基于动态加密RBAC模型的云存储信息处理方法流程图。
图3是本发明实施例提供的基于动态加密RBAC模型的云存储信息处理方法实现流程图。
图4是本发明实施例提供的综合私有云系统的RBAC核心设计图。
图5是本发明实施例提供的综合私有云系统的IBE加密系统图。
图6是本发明实施例提供的综合私有云系统的IBS认证签名系统图。
图7是本发明实施例提供的综合私有云系统的文件读取流程图。
图8是本发明实施例提供的综合私有云系统的文件修改流程图。
图9是本发明实施例提供的综合私有云系统的访问控制策略动态更新流程图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
针对现有技术存在的问题，本发明提供了一种基于动态加密RBAC模型的云存储信息处理系统及方法，下面结合附图对本发明作详细的描述。
如图1所示，本发明实施例提供的基于动态加密RBAC模型的云存储信息处理系统包括：
通过网络与云存储平台连接的用于用户认证、角色认证、文件的操作和管理、文件权限分享和数据在线预览编辑的用户端。
用于身份认证和文件访问控制的安全管理组件。
与客户端连接的用于数据加解密、密钥管理、文件数据存储和用户操作日志的云存储服务器；
还包括用于提供文件在线预览与编辑服务的在线协作服务器。
用户端包括用于用户身份和角色认证、管理员身份认证的认证单元，用于根据用户操作要求对文件进行上传、下载、修改、分享、删除等管理动作的操作管理单元，用于根据不同的权限需求，将不同的权限分发到分享文件的权限分享单元，用于用户在线预览编辑的在线协作单元。
安全管理组件包括用于对用户端发起的认证请求进行认证以确认身份合法性的身份认证单元、用于对用户端发起的修改文件请求进行权限判定以确认用户权限合法性的访问控制单元。访问控制单元基于角色的访问控制模型(RBAC模型)，按用户不同职责划分角色统一进行权限管理。
云存储服务器包括数据加解密单元、用于数据加解密和身份认证的密钥生成和管理分发单元、用于加密文件存储的数据存储单元以及用于记录用户在云存储服务器的所有操作的日志单元。
安全管理组件、云存储服务和在线协作服务可部署在同一服务器，也可分担服务器压力进行分布式部署。
如图2所示，本发明实施例提供的基于动态加密RBAC模型的云存储信息处理方法包括以下步骤：
S201：用户注册，用户注册成功后用户身份信息u会加入用户表，同时作为用户的公钥，由位于云存储服务器的密钥生成单元根据用户身份信息生成相应的解密私钥和签名私钥，通过可信信道分发给用户；
S202：配置角色，管理员配置角色信息，将角色信息加入角色表，同时作为角色的公钥，由位于云存储服务器的密钥生成单元根据角色信息生成相应的解密密钥和签名私钥，对属于该角色的所有用户配置用户角色映射关系发送到安全管理组件；
S203：配置权限，管理员为有权访问文件的角色配置读写权限RW或读权限R，使用角色公钥加密文件解密密钥k，生成角色文件映射关系发送到安全管理组件；
S204：文件的读取与修改，当用户认证通过以及具有所需权限时，即可通过在线协作服务武器提供的在线预览与编辑功能，进行文件的读取与修改。
下面结合附图对本发明的技术方案作进一步的描述。
图3是本发明的综合私有云的工作流程图。本私有云具体工作流程如下：
步骤一，用户注册。用户注册成功后用户身份信息u会加入用户表，同时作为用户的公钥，由位于云存储服务器的密钥生成单元根据用户身份信息生成相应的解密私钥ku和签名私钥su，通过可信信道分发给用户。
步骤二，配置角色。管理员配置角色信息，将角色信息(包括角色身份r和角色版本rv)加入角色表，同时作为角色的公钥，由位于云存储服务器的密钥生成单元根据角色信息生成相应的解密密钥k(r，v)和签名私钥s(r，v),对属于该角色的所有用户配置用户角色映射关系
Figure BDA0002239647710000091
发送到安全管理组件。
其中u为用户身份信息，(r，vr)为角色信息，
Figure BDA0002239647710000092
为以u为密钥利用IBE加密角色解密密钥k(r，v)和签名私钥s(r，v)，
Figure BDA0002239647710000093
为用于用户认证的管理员签名。
步骤三，配置权限。由位于云存储服务器的密钥生成单元生成对称密钥k，使用对称密钥算法加密文件f，生成文件信息表。其中
Figure BDA0002239647710000094
为有权访问文件的角色签名。
Figure BDA0002239647710000095
管理员为有权访问文件的角色配置读写权限RW或读权限R，使用角色公钥(r，vr)加密文件解密密钥k，生成角色文件映射关系发送到安全管理组件。
Figure BDA0002239647710000096
步骤四，文件的读取与修改。由安全管理组件认证用户合法身份以及判断用户权限，当用户认证通过以及具有所需权限时，即可通过在线协作服务武器提供的在线预览与编辑功能，进行文件的读取与修改。
图4是本发明的综合私有云系统的RBAC核心设计图。如图4所示，在RBAC中，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限，这样就实现了用户和权限的隔离，权限包括对象文件和具体操作。会话是动态的概念，用户必须通过会话才可以设置角色，是用户与激活的角色之间的映射关系。角色可依新的需求和系统的合并而赋予新的权限，而权限也可根据需要而从某角色中回收。
图5和图6是本发明的综合私有云系统的IBE加密系统图和IBS签名系统图。如图5和图6所示，IBE加密和IBS签名方案不需要交换公私钥，可以确保任何一对用户能够安全的交流并且可以验证双方的签名。用户可以直接选择名字或其他可以识别用户身份的信息作为公钥，私钥由密钥生成中心根据自己的主密钥和用户公钥进行计算生成。产生用于用户加密和签名的密钥ku和su，用于角色加密和签名的密钥k(r，v)和s(r，v)。
图7是本发明的综合私有云系统的文件读取流程图。如图7所示，文件读取流程图从用户发起请求开始，到读取文件或拒绝访问结束，具体读取流程如下：
步骤一，用户发起读取文件请求。
步骤二，系统判断请求读取的文件是否存在，若不存在，流程结束；若文件存在，转到步骤三。
步骤三，系统对用户身份进行验证，若用户身份非法，则文件拒绝访问，流程结束；若用户身份合法，转步骤四。
步骤四，系统从RK关系表获取用户当前某一角色。
步骤五，系统从FK关系表判断该角色是否具有访问请求文件的权限，若该角色没有权限，转步骤六；若该角色具有权限，转步骤七。
步骤六，判断用户是否还所属其他角色，若用户还具有其他角色，转步骤四；若用户没有其他角色，则文件拒绝访问，流程结束。
步骤七，通过使用用户私钥ku，解密获得RK表中加密保存的角色私钥k(r，v)。
步骤八，通过使用角色私钥k(r，v)，解密获得FK表中加密保存的文件密钥k。
步骤九，通过使用文件解密密钥k，解密获取读取文件。流程结束。
图8是本发明的综合私有云系统的文件修改流程图。如图8所示，文件修改流程图从用户发起请求开始，到旧文件被新文件替换结束，具体修改文件流程如下：
步骤一，用户发起读取文件请求。
步骤二，系统对用户身份进行验证，若用户身份非法，则文件拒绝访问，流程结束；若用户身份合法，转步骤三。
步骤三，系统从RK关系表获取用户当前某一角色。
步骤四，系统从FK关系表判断该角色是否具有修改请求文件的权限，若该角色没有权限，转步骤五；若该角色具有权限，转步骤六。
步骤五，判断用户是否还所属其他角色，若用户还具有其他角色，转步骤三；若用户没有其他角色，则文件拒绝访问，流程结束。
步骤六，通过使用用户私钥ku，解密获得RK表中加密保存的角色私钥k(r，v)。
步骤七，通过使用角色私钥k(r，v)，解密获得FK表中加密保存的文件密钥k。
步骤八，用户修改文件并使用文件密钥k对文件重新加密，发送到安全管理组件。
步骤九，安全管理组件验证用户签名确定用户身份，若验证不通过，则拒绝文件修改操作；若验证通过，则用新的加密文件替换旧加密文件，同时更新文件版本信息，流程结束。
图9是本发明的综合私有云系统的访问控制策略动态更新流程图。如图9所示，以用户撤销为例，访问控制策略、用户与角色、角色与文件关系都会发生动态更新，具体更新流程如下：
步骤一，用户撤销，密钥生成中心更新角色解密密钥k(r，v+1)和签名私钥s(r，v+1)。
步骤二，对除撤销用户外的其他用户u′，更新RK表为：
Figure BDA0002239647710000111
步骤三，获取当前文件密钥k，更新FK表为：
Figure BDA0002239647710000112
步骤四，密钥生成中心通过密钥生成算法生成新的文件密钥k′。
步骤五，用角色加密密钥加密新文件密钥k′，生成新的FK关系表：
Figure BDA0002239647710000121
步骤六，更新用户表和文件表中的角色和文件版本信息v，删除撤销用户前的旧关系表RK,FK。
步骤七，判断下次文件操作，若为读取操作，按照图7所示文件读取流程读取文件，其中，使用FK表内旧密钥k解密读取文件；若为修改操作，按照图8所示文件修改流程写入文件，其中在对修改文件重新加密时，使用FK’中新文件密钥k′，替换旧文件。
综上，综合私有云存储系统基于动态加密的RBAC模型，能够提供合理有效的访问控制功能，访问控制策略动态加密，切实有效地保证数据的可靠，保护数据隐私；同时提供文档在线协作功能，避免文档多版本冗余分散管理困难，方便私有云内企业组织和个人的使用。本发明综合考虑私有云当前实际需求，提出了综合私有云系统基础架构，给出了具体的基于RBAC的访问控制实现方法，结合了在线协作机制，有效地保证了私有云内数据的安全性。
以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于动态加密RBAC模型的云存储信息处理系统，其特征在于，所述基于动态加密RBAC模型的云存储信息处理系统包括：
通过网络与云存储平台连接的用于用户认证、角色认证、文件的操作和管理、文件权限分享和数据在线预览编辑的用户端；
用于身份认证和文件访问控制的安全管理组件；
与客户端连接的用于数据加解密、密钥管理、文件数据存储和用户操作日志的云存储服务器；
用于提供文件在线预览与编辑服务的在线协作服务器。
2.如权利要求1所述的基于动态加密RBAC模型的云存储信息处理系统，其特征在于，所述用户端包括用于用户身份和角色认证、管理员身份认证的认证单元，用于根据用户操作要求对文件进行上传、下载、修改、分享、删除等管理动作的操作管理单元，用于根据不同的权限需求，将不同的权限分发到分享文件的权限分享单元，用于用户在线预览编辑的在线协作单元。
3.如权利要求1所述的基于动态加密RBAC模型的云存储信息处理系统，其特征在于，所述安全管理组件包括用于对用户端发起的认证请求进行认证以确认身份合法性的身份认证单元、用于对用户端发起的修改文件请求进行权限判定以确认用户权限合法性的访问控制单元。
4.如权利要求1所述的基于动态加密RBAC模型的云存储信息处理系统，其特征在于，所述访问控制单元基于RBAC模型，按用户不同职责划分角色统一进行权限管理，通过RK表、FK表保存访问控制策略，通过F表保存文件信息，其中RK表保存用户与其角色密钥之间的关系，FK表保存角色权限、角色与文件密钥之间的关系。
5.如权利要求1所述的基于动态加密RBAC模型的云存储信息处理系统，其特征在于，所述云存储服务器包括数据加解密单元、用于数据加解密和身份认证的密钥生成和管理分发单元、用于加密文件存储的数据存储单元以及用于记录用户在云存储服务器的所有操作的日志单元。
6.一种运行权利要求1所述基于动态加密RBAC模型的云存储信息处理系统的基于动态加密RBAC模型的云存储信息处理方法，其特征在于，所述基于动态加密RBAC模型的云存储信息处理方法包括以下步骤：
第一步，用户注册，用户注册成功后用户身份信息u会加入用户表，同时作为用户的公钥，由位于云存储服务器的密钥生成单元根据用户身份信息生成相应的解密私钥ku和签名私钥su，通过可信信道分发给用户；
第二步，配置角色，管理员配置角色信息，将角色信息加入角色表，同时作为角色的公钥，由位于云存储服务器的密钥生成单元根据角色信息生成相应的解密密钥k(r，v)和签名私钥s(r，v),对属于该角色的所有用户配置用户角色映射关系
Figure FDA0002239647700000021
发送到安全管理组件；
其中u为用户身份信息，(r，vr)为角色信息，
Figure FDA0002239647700000022
为以u为密钥利用IBE加密角色解密密钥k(r，v)和签名私钥s(r，v)，
Figure FDA0002239647700000023
为用于用户认证的管理员签名；
第三步，配置权限，由位于云存储服务器的密钥生成单元生成对称密钥k，使用对称密钥算法加密文件f，生成文件信息表，其中
Figure FDA0002239647700000024
为有权访问文件的角色签名；
Figure FDA0002239647700000025
管理员为有权访问文件的角色配置读写权限RW或读权限R，使用角色公钥(r，vr)加密文件解密密钥k，生成角色文件映射关系发送到安全管理组件；
Figure FDA0002239647700000026
第四步，文件的读取与修改，由安全管理组件认证用户合法身份以及判断用户权限，当用户认证通过以及具有所需权限时，通过在线协作服务武器提供的在线预览与编辑功能，进行文件的读取与修改。
7.如权利要求6所述的基于动态加密RBAC模型的云存储信息处理方法，其特征在于，所述基于动态加密RBAC模型的云存储信息处理方法的文件读取从用户发起请求开始，到读取文件或拒绝访问结束，具体读取流程如下：
步骤一，用户发起读取文件请求；
步骤二，系统判断请求读取的文件是否存在，若不存在，流程结束；若文件存在，转到步骤三；
步骤三，系统对用户身份进行验证，若用户身份非法，则文件拒绝访问，流程结束；若用户身份合法，转步骤四；
步骤四，系统从RK关系表获取用户当前某一角色；
步骤五，系统从FK关系表判断该角色是否具有访问请求文件的权限，若该角色没有权限，转步骤六；若该角色具有权限，转步骤七；
步骤六，判断用户是否还所属其他角色，若用户还具有其他角色，转步骤四；若用户没有其他角色，则文件拒绝访问，流程结束；
步骤七，通过使用用户私钥ku，解密获得RK表中加密保存的角色私钥k(r，v)；
步骤八，通过使用角色私钥k(r，v)，解密获得FK表中加密保存的文件密钥k；
步骤九，通过使用文件解密密钥k，解密获取读取文件，结束。
8.如权利要求6所述的基于动态加密RBAC模型的云存储信息处理方法，其特征在于，所述基于动态加密RBAC模型的云存储信息处理方法的文件修改从用户发起请求开始，到旧文件被新文件替换结束，具体修改文件流程如下：
步骤一，用户发起读取文件请求；
步骤二，系统对用户身份进行验证，若用户身份非法，则文件拒绝访问，流程结束；若用户身份合法，转步骤三；
步骤三，系统从RK关系表获取用户当前某一角色；
步骤四，系统从FK关系表判断该角色是否具有修改请求文件的权限，若该角色没有权限，转步骤五；若该角色具有权限，转步骤六；
步骤五，判断用户是否还所属其他角色，若用户还具有其他角色，转步骤三；若用户没有其他角色，则文件拒绝访问，流程结束；
步骤六，通过使用用户私钥ku，解密获得RK表中加密保存的角色私钥k(r，v)；
步骤七，通过使用角色私钥k(r，v)，解密获得FK表中加密保存的文件密钥k；
步骤八，用户修改文件并使用文件密钥k对文件重新加密，发送到安全管理组件；
步骤九，安全管理组件验证用户签名确定用户身份，若验证不通过，则拒绝文件修改操作；若验证通过，则用新的加密文件替换旧加密文件，同时更新文件版本信息，结束。
9.如权利要求6所述的基于动态加密RBAC模型的云存储信息处理方法，其特征在于，所述基于动态加密RBAC模型的云存储信息处理方法的访问控制策略、用户与角色、角色与文件关系都会发生动态更新，具体更新流程如下：
步骤一，用户撤销，密钥生成中心更新角色解密密钥k(r，v+1)和签名私钥s(r，v+1)；
步骤二，对除撤销用户外的其他用户u′，更新RK表为：
Figure FDA0002239647700000041
步骤三，获取当前文件密钥k，更新FK表为：
Figure FDA0002239647700000042
步骤四，密钥生成中心通过密钥生成算法生成新的文件密钥k′；
步骤五，用角色加密密钥加密新文件密钥k′，生成新的FK关系表：
Figure FDA0002239647700000043
步骤六，更新用户表和文件表中的角色和文件版本信息v，删除撤销用户前的旧关系表RK,FK；
步骤七，判断下次文件操作，若为读取操作，按照文件读取流程读取文件，其中，使用FK表内旧密钥k解密读取文件；若为修改操作，按照文件修改流程写入文件，其中在对修改文件重新加密时，使用FK’中新文件密钥k′，替换旧文件。
10.一种应用权利要求6～9任意一项所述基于动态加密RBAC模型的云存储信息处理方法的云存储控制系统。
CN201910995686.5A 2019-10-18 2019-10-18 基于动态加密rbac模型的云存储信息处理系统及方法 Active CN111090622B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910995686.5A CN111090622B (zh) 2019-10-18 2019-10-18 基于动态加密rbac模型的云存储信息处理系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910995686.5A CN111090622B (zh) 2019-10-18 2019-10-18 基于动态加密rbac模型的云存储信息处理系统及方法

Publications (2)

Publication Number Publication Date
CN111090622A true CN111090622A (zh) 2020-05-01
CN111090622B CN111090622B (zh) 2023-06-06

Family

ID=70393001

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910995686.5A Active CN111090622B (zh) 2019-10-18 2019-10-18 基于动态加密rbac模型的云存储信息处理系统及方法

Country Status (1)

Country Link
CN (1) CN111090622B (zh)

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111970126A (zh) * 2020-08-31 2020-11-20 北京书生网络技术有限公司 密钥管理方法及装置
CN112039665A (zh) * 2020-08-31 2020-12-04 北京书生网络技术有限公司 一种密钥管理方法及装置
CN112134701A (zh) * 2020-09-24 2020-12-25 西安电子科技大学 敏感关键字可否认编辑加密方法
CN112162952A (zh) * 2020-10-10 2021-01-01 中国科学院深圳先进技术研究院 一种基于dna存储的增量信息管理方法和设备
CN112632007A (zh) * 2020-12-23 2021-04-09 平安银行股份有限公司 一种日志存储及提取方法、装置、设备及存储介质
CN112769784A (zh) * 2020-12-29 2021-05-07 北京明朝万达科技股份有限公司 文本的处理方法和装置、计算机可读存储介质及处理器
CN112968877A (zh) * 2021-01-30 2021-06-15 深圳市心和未来教育科技有限公司 一种兼容多终端编辑器
CN113055171A (zh) * 2021-03-30 2021-06-29 西安电子科技大学 基于的区块链的日志安全解析及存储方法
CN113098893A (zh) * 2021-04-20 2021-07-09 西安交通大学 基于密码学构造的不可信云端动态访问控制机制实现方法
CN113343253A (zh) * 2021-05-28 2021-09-03 赵飞 一种基于加密和认证机制的文件管理系统
CN114124422A (zh) * 2020-08-31 2022-03-01 北京书生网络技术有限公司 一种密钥管理方法及装置
CN114124395A (zh) * 2020-08-31 2022-03-01 北京书生网络技术有限公司 密钥管理方法及装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150046971A1 (en) * 2011-10-27 2015-02-12 Intellectual Discovery Co., Ltd. Method and system for access control in cloud computing service
CN109818757A (zh) * 2019-03-18 2019-05-28 广东工业大学 云存储数据访问控制方法、属性证书颁发方法及系统

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150046971A1 (en) * 2011-10-27 2015-02-12 Intellectual Discovery Co., Ltd. Method and system for access control in cloud computing service
CN109818757A (zh) * 2019-03-18 2019-05-28 广东工业大学 云存储数据访问控制方法、属性证书颁发方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
李莉等: "共享文件加密存储分级访问控制方案的实现", 《网络与信息安全学报》 *

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114124422A (zh) * 2020-08-31 2022-03-01 北京书生网络技术有限公司 一种密钥管理方法及装置
CN112039665A (zh) * 2020-08-31 2020-12-04 北京书生网络技术有限公司 一种密钥管理方法及装置
CN111970126A (zh) * 2020-08-31 2020-11-20 北京书生网络技术有限公司 密钥管理方法及装置
CN114124395B (zh) * 2020-08-31 2024-04-12 北京书生网络技术有限公司 密钥管理方法及装置
CN114124422B (zh) * 2020-08-31 2023-09-12 北京书生网络技术有限公司 一种密钥管理方法及装置
CN114124395A (zh) * 2020-08-31 2022-03-01 北京书生网络技术有限公司 密钥管理方法及装置
CN112134701A (zh) * 2020-09-24 2020-12-25 西安电子科技大学 敏感关键字可否认编辑加密方法
CN112134701B (zh) * 2020-09-24 2021-07-20 西安电子科技大学 敏感关键字可否认编辑加密方法
CN112162952A (zh) * 2020-10-10 2021-01-01 中国科学院深圳先进技术研究院 一种基于dna存储的增量信息管理方法和设备
CN112162952B (zh) * 2020-10-10 2023-11-03 中国科学院深圳先进技术研究院 一种基于dna存储的增量信息管理方法和设备
CN112632007A (zh) * 2020-12-23 2021-04-09 平安银行股份有限公司 一种日志存储及提取方法、装置、设备及存储介质
CN112632007B (zh) * 2020-12-23 2023-07-28 平安银行股份有限公司 一种日志存储及提取方法、装置、设备及存储介质
CN112769784A (zh) * 2020-12-29 2021-05-07 北京明朝万达科技股份有限公司 文本的处理方法和装置、计算机可读存储介质及处理器
CN112968877A (zh) * 2021-01-30 2021-06-15 深圳市心和未来教育科技有限公司 一种兼容多终端编辑器
CN113055171B (zh) * 2021-03-30 2022-05-31 西安电子科技大学 基于的区块链的日志安全解析及存储方法
CN113055171A (zh) * 2021-03-30 2021-06-29 西安电子科技大学 基于的区块链的日志安全解析及存储方法
CN113098893A (zh) * 2021-04-20 2021-07-09 西安交通大学 基于密码学构造的不可信云端动态访问控制机制实现方法
CN113343253A (zh) * 2021-05-28 2021-09-03 赵飞 一种基于加密和认证机制的文件管理系统
CN113343253B (zh) * 2021-05-28 2024-04-16 湖南哥禄安科技有限公司 一种基于加密和认证机制的文件管理系统

Also Published As

Publication number Publication date
CN111090622B (zh) 2023-06-06

Similar Documents

Publication Publication Date Title
CN111090622B (zh) 基于动态加密rbac模型的云存储信息处理系统及方法
US11074357B2 (en) Integration of a block chain, managing group authority and access in an enterprise environment
US11108753B2 (en) Securing files using per-file key encryption
US9805210B2 (en) Encryption-based data access management
US9667416B1 (en) Protecting master encryption keys in a distributed computing environment
EP3398073B1 (en) Securely storing and distributing sensitive data in a cloud-based application
JP3640338B2 (ja) 安全な電子データ格納、取出しシステムおよび方法
CN109948322B (zh) 本地化加密防护的个人云存储数据保险箱装置及方法
US20140019753A1 (en) Cloud key management
CN104023085A (zh) 一种基于增量同步的安全云存储系统
CN106533693B (zh) 轨道车辆监控检修系统的接入方法和装置
US20240039709A1 (en) Method and apparatus for sharing encrypted data, and device and readable medium
WO2022148182A1 (zh) 一种密钥管理方法及相关设备
US20220058283A1 (en) Digital Storage and Data Transport System
CN113992702B (zh) 一种ceph分布式文件系统存储国密加固方法及系统
CN108494724B (zh) 基于多授权机构属性加密算法的云存储加密系统
CN113901507B (zh) 一种多参与方的资源处理方法及隐私计算系统
CN118709166A (zh) 一种基于全周期管理的文档信息安全管理系统
CN117675383A (zh) 针对网络化协同设计的数据传输架构及数据传输方法
Zeidler et al. Privacy-preserving Data Sharing in Portable Clouds.
Kowalski CRYPTOBOX V2.
WO2005084177A2 (en) Secure data management system with mobile data management capability

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant