CN111343202A - 一种基于私有云的物联网数据安全存储系统 - Google Patents

Abstract

本发明公开了一种基于私有云的物联网数据安全存储系统。该系统包括：设置在服务器上的物联网鉴权系统、私有云盒和设置在客户端的数据存取应用系统；物联网鉴权系统，用于生成多种会话密钥、客户端密钥和文件体密钥；用于建立客户端和私有云盒的绑定关系；还用于管理客户端用户权限；私有云盒，用于对客户端发送的文件经解密后使用预存密钥加密存储；用于使用预存密钥对存储文件解密后再使用客户端密钥加密,并发送至客户端；数据存取应用系统，用于向物联网鉴权系统申请与私有云盒的绑定；并申请获得多种会话密钥、客户端密钥和文件体密钥；用于将加密后的文件发送至私有云盒存储；还用于接收私有云盒发送的文件并解密处理得到该文件。

Description

一种基于私有云的物联网数据安全存储系统

技术领域

本发明涉及物联网数据安全存储技术领域，具体涉及一种基于私有云的物联网数据安全存储系统。

背景技术

现有技术一般是基于公有云的物联网数据安全存储，即将数据部署在某个统一的公有云内。如图1所示，设备都通过公共网络将数据存储再与公有云数据中心，以及公有云服务进行交互。在数据传输加密方面，如图2所示：上传数据时，先使用随机数发生器产生随机数R，云服务器根据随机数R生成加密密钥kp，加密模块使用秘钥把数据进行加密，并将加密后的数据、以及密钥kp由RSA公钥加密，数据存储模块将加密后的数据按不同的通信协议标准进行分类，存入云端数据存储设备中。在需要此数据时，再使用私钥解密。现有技术的公有云物联网数据安全存储系统组成如图3所示。

在加密领域有对称加密和非对称加密。以下对非对称加密算法进行解释。

非对称加密算法需要两个密钥：公开密钥（publickey:简称公钥）和私有密钥（privatekey：简称私钥）。公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。 非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将公钥公开，需要向甲方发送信息的其他角色(乙方)使用该密钥(甲方的公钥)对机密信息进行加密后再发送给甲方；甲方再用自己私钥对加密后的信息进行解密。甲方想要回复乙方时正好相反，使用乙方的公钥对数据进行加密，同理，乙方使用自己的私钥来进行解密。

另一方面，甲方可以使用自己的私钥对机密信息进行签名后再发送给乙方；乙方再用甲方的公钥对甲方发送回来的数据进行验签。甲方只能用其私钥解密由其公钥加密后的任何信息。 非对称加密算法的保密性比较好，它消除了最终用户交换密钥的需要。

非对称密码体制的特点：算法强度复杂、安全性依赖于算法与密钥但是由于其算法复杂，而使得加密解密速度没有对称加密解密的速度快。对称密码体制中只有一种密钥，并且是非公开的，如果要解密就得让对方知道密钥。所以保证其安全性就是保证密钥的安全，而非对称密钥体制有两种密钥，其中一个是公开的，这样就可以不需要像对称密码那样传输对方的密钥了。这样安全性就大了很多。

现有技术数据统一保存在公有服务器，存在以下问题：

1、业务受到公有云服务器带宽影响,如果大量视频或者监控类型数据同时通过公共网络，必然更容易造成数据阻塞；

2、公有服务器对于用户隐私的安全性和私密性的保护等级参差不齐，公有服务器难免出现安全漏洞，甚至还有存在服务提供商有未经用户授权滥用用户数据的可能，对用户个人数据安全带来了风险。

针对带宽问题，公有云服务器的流量全部都需要走服务器下行流量，带宽太大会造成大量数据传输流量费用，所以只能限制带宽流出来解决。

针对隐私安全问题，现有技术是将数据加密后统一保存在云服务器，云服务器拥有所有用户的存储数据，虽然用户之间数据难以互相获取到，但是云服务器本身却可以查看到所有人的数据。如果云服务器被攻破，或者被云服务器内部员工泄露，那么所有的用户数据将被全部泄露，目前用户隐私泄露的案例不在少数了。所以基于云服务器的物联网数据安全存储没法做到对用户实质性的隐私保证。

发明内容

本发明的目的在于克服现有技术缺陷，提出了一种基于私有云的物联网数据安全存储系统。

为了实现上述目的，本发明提出了一种基于私有云的物联网数据安全存储系统，所述系统包括：设置在服务器上的物联网鉴权系统、私有云盒和设置在客户端的数据存取应用系统；其中，

所述物联网鉴权系统，用于根据所述数据存取应用系统注册登录申请，生成密管会话密钥、业务会话密钥、云盒会话密钥和客户端密钥的公钥和私钥；用于根据所述数据存取应用系统的文件存储申请，生成文件体密钥；用于对与所述数据存取应用系统交互的消息内容进行数据检验；用于根据所述数据存取应用系统的绑定云盒申请，建立数据存取应用系统和私有云盒的绑定关系；还用于根据数据存取应用系统的注册登录申请，管理数据存取应用系统的用户权限；

所述私有云盒，用于接收所述物联网鉴权系统发送的客户端密钥的公钥和私钥；用于和绑定的客户端进行消息传输，通过使用云盒会话密钥对传输的消息进行加密和解密；用于对收到的客户端文件使用客户端密钥的私钥对文件头进行解密，再使用预存密钥对解密后的文件头进行加密存储，文件体不做处理直接存储；用于根据客户端读取文件的申请，提取相应文件，使用预存密钥对该文件的文件头进行解密，然后使用客户端密钥的公钥对解密后的文件头进行加密，将加密后的文件头以及文件体发送至数据存取应用系统；

所述数据存取应用系统，用于在首次使用时进行注册，完成登录账号和密码设置，将注册码及授权申请发送至物联网鉴权系统，向物联网鉴权系统申请与私有云盒的绑定；并申请获得密管会话密钥、业务会话密钥、云盒会话密钥以及客户端密钥的公钥和私钥；用于在使用前进行登录，将输入的登录账号和密码提交所述物联网鉴权系统验证；用于向所述物联网鉴权系统发送文件存储申请，并接收物联网鉴权系统发送的文件体密钥；用于使用客户端密钥的公钥和文件体密钥对待存储到私有云盒的文件进行加密,并将加密后的文件发送至私有云盒；还用于接收私有云盒发送的文件；使用客户端密钥的私钥和文件体密钥对文件进行解密，从而得到该文件。

作为上述系统的一种改进，所述物联网鉴权系统包括：密管服务模块、信令网关模块和业务处理模块；其中，

所述密管服务模块，用于根据客户端注册登录申请，生成密管会话密钥、业务会话密钥、云盒会话密钥和客户端密钥；还用于根据客户端文件存储申请，生成文件体密钥；其中，密管会话密钥用于对密管服务模块与客户端的交互消息进行加密和解密；业务会话密钥用于对业务处理模块与客户端的交互信息进行加密和解密；云盒会话密钥用于对客户端与私有云盒的交互信息进行加密和解密；客户端密钥用于在客户端与私有云盒传输文件时对文件头进行加密和解密；文件体密钥用于在客户端与私有云盒传输文件时对文件体进行加密和解密；

所述信令网关模块，用于保存密管服务模块生成的对应不同客户端的业务会话密钥；用于对业务处理模块与客户端的交互消息内容进行数据检验；还用于服务器与客户端、私有云盒进行交互时的消息传输；

所述业务处理模块，用于根据客户端的绑定云盒申请，建立客户端和私有云盒的绑定关系；还用于根据客户端的注册登录申请，管理客户端的用户权限。

作为上述系统的一种改进，所述密管会话密钥、业务会话密钥、云盒会话密钥和文件体密钥采用对称加密算法；客户端密钥采用非对称加密算法。

作为上述系统的一种改进，所述密管服务模块的具体实现过程为：

根据客户端提交的注册码及授权申请，采用加密算法生成密管会话密钥和密管用户ID号，并发送至客户端；

根据客户端提交的密管会话密钥和密管用户ID号，生成业务会话密钥发送至客户端，同时将业务会话密钥发送至信令网关模块；

根据所述信令网关模块对客户端提交的业务会话密钥的验证通过结果，以及所述业务处理模块对客户端提供的账号密码的验证通过结果，接收所述信令网关模块提交客户端的绑定云盒申请，将生成的云盒会话密钥、客户端密钥的公钥和私钥均发送至客户端和私有云盒；

根据客户端的文件存储申请，生成文件体密钥，发送至客户端。

作为上述系统的一种改进，所述信令网关模块的具体实现过程为：

接收并保存所述密管服务模块发送的业务会话密钥；

接收客户端使用业务会话密钥加密处理后的账号密码登录的申请，验证所述业务会话密钥的有效性，若该业务会话密钥有效，则将收到的账号密码发送至所述业务处理模块；否则，通知客户端重新获取业务会话密钥；

接收客户端的绑定云盒申请，向所述业务处理模块转发；并向所述密管服务模块申请生成云盒会话密钥、客户端密钥的公钥和私钥。

作为上述系统的一种改进，所述私有云盒包括：消息处理模块、文件接收模块、存储模块和文件发送模块；其中，

所述消息处理模块，用于接收物联网鉴权系统发送的客户端密钥的公钥和私钥；用于和绑定的客户端进行消息传输，通过使用云盒会话密钥对传输的消息进行加密和解密；

所述文件接收模块，用于使用客户端密钥的私钥对收到的客户端文件的文件头进行解密，将解密后的文件头以及文件体发送至所述存储模块；

所述存储模块，用于使用私有云盒的预存密钥对解密后的文件头进行加密存储，文件体不做处理直接存储；

所述文件发送模块，用于根据客户端读取文件的申请，从存储模块中提取相应文件，用私有云盒的预存密钥对该文件的文件头进行解密，使用客户端密钥的公钥对解密后的文件头进行加密，将加密后的文件头，以及文件体发送至客户端。

作为上述系统的一种改进，所述物联网数据存取应用系统包括：注册模块、登录模块、申请模块、发送处理模块和接收处理模块；其中，

所述注册模块，用于在首次使用时进行注册，完成登录账号和密码设置，将注册码及授权申请发送至所述物联网鉴权系统；向物联网鉴权系统申请与私有云盒的绑定；向物联网鉴权系统申请获得密管会话密钥、业务会话密钥、云盒会话密钥以及客户端密钥的公钥和私钥；

所述登录模块，用于在使用前进行登录，将输入的登录账号和密码提交物联网鉴权系统验证；

所述申请模块，用于向物联网鉴权系统发送文件存储申请，从而收到物联网鉴权系统发送的文件体密钥；用于向私有云盒发送文件读取申请；从而得到私有云盒发送的相应文件；

所述发送处理模块，用于使用客户端密钥的公钥和文件体密钥对待存储到私有云盒的文件进行加密；并将加密后的文件发送至私有云盒；

所述接收处理模块，用于接收私有云盒发送的文件；使用客户端密钥的私钥和文件体密钥对文件进行解密，从而得到该文件。

作为上述系统的一种改进，所述注册模块具体实现过程为：

步骤1）向物联网鉴权系统提交注册码及授权申请；

步骤2）接收物联网鉴权系统发送的密管会话密钥和密管用户ID号；

步骤3）发送密管会话密钥和密管用户ID号给物联网鉴权系统；

步骤4）接收物联网鉴权系统发送的业务会话密钥；

步骤5）使用业务会话密钥对登录账号及密码进行加密处理后，发送至物联网鉴权系统进行有效性验证；若有效性验证通过，则注册成功，否则转入步骤1）直至有效性验证通过。

作为上述系统的一种改进，所述发送处理模块的具体实现过程为：

读取待存储到私有云盒的文件的文件头；

将文件体密钥写入该文件的文件头；

使用客户端密钥的公钥对对文件头进行加密处理，得到加密后的文件头；

使用文件体密钥对该文件的文件体进行加密，得到加密后的文件体；

将加密后的文件头和文件体合成文件发送至私有云盒。

作为上述系统的一种改进，所述接收处理模块的具体实现过程为：

接收私有云盒发送的文件；

读取该文件的文件头，使用客户端密钥的私钥对文件头进行解密处理，得到解密后的文件头；

从文件头中提取文件体密钥；

读取该文件的文件体，使用文件体密钥对文件体进行解密，从而得到文件体。

与现有技术相比，本发明的优势在于：

1、本发明无需考虑带宽问题，数据流量大部分都通过本地局域网传输，或者点对点的方式传输，不经过公有云服务器，所以也不会对带宽有限制；

2、本发明由于不在同一个公有服务器，私有云的数据无法通过攻击某一个公有服务器而获取所有产品相关数据；

3、本发明将存储数据放到内部网络，配合私有云盒存储，可以更好的保障隐私保护；

4、本发明在数据传输层方面使用密管系统介入，让传输层更安全。

附图说明

图1是现有技术基于公有云的物联网数据存储系统原理图；

图2是现有技术基于公有云的数据传输加密流程示意图；

图3是现有技术基于公有云的数据存储系统架构图；

图4是本发明的基于私有云的物联网数据安全存储系统架构图；

图5是本发明实施例1物联网鉴权系统的密管密钥鉴权流程图；

图6是本发明实施例2的私有云盒和实施例3的物联网数据存取应用系统之间文件传输流程图；

图7是本发明实施例4的基于私有云的物联网数据安全存储系统组成图。

具体实施方式

现有技术采用将数据统一存储在公共服务器的物联网数据存储方法，而本发明将用户自己的数据各自保存在各自的家庭或者企业内，以此达到数据传输带宽限制问题，配置安全的密管系统，避免用户数据泄露造成的隐私泄露。

1. 针对带宽问题，本发明主要方案是将每个人的数据加密保存在私有云盒的硬盘内，服务器与客户端仅传输登录授权等很少量的非用户隐私数据。（使用私有云存储系统来解决）。

2. 针对隐私问题，首先将数据保存在自己家庭的私有云盒内，不泄露到公有服务器可以解决数据存储的安全问题，防止云服务器提供商对隐私数据的泄露。（使用私有云存储系统来解决）。

本发明主要核心技术关键点在于将物联网数据保存在用户侧的硬盘内，避免云服务侧的隐私泄露，系统架构如图4所示。

本发明包括部署在服务器上的物联网鉴权系统、私有云盒以及部署在客户端的数据存取应用系统，此外还包括第三方设备。

本发明中传输的文件包括文件头与文件体。

文件头用于：

1、定义文件类型：文本文件、视频或者图片；

2、定义文件属性：图片视频拍摄时间，以及一些自定义的属性(加密密钥保存在此部分中）；

3、定义文件编码方式：图片或视频编码方式，码率等，如果没有文件头的描述，视频与图片（即使被暴力破解出来）呈现出来的都是无法读取的内容。

本发明提供了多个密钥，具体包括：密管会话密钥、业务会话密钥、云盒会话密钥、客户端密钥和文件体密钥；其中，密管会话密钥、业务会话密钥、云盒会话密钥用于消息传递，采用对称加密算法；文件体密钥采用对称加密算法，每个文件一个，不会变化，由文件头内的非对称密钥保护；客户端密钥采用非对称加密算法，包括客户端密钥的公钥和私钥。非对称加密只用于文件头的加密。

将文件头进行非对称加密是为了更好的保护用户隐私数据，不直接将文件体加密是因为非对称加解速度还是比较慢，所以只加密头。这样既考虑效率也考虑的隐私的加密等级。

下面结合附图和实施例对本发明的技术方案进行详细的说明。

实施例1

本实施例提供了一种物联网鉴权系统，部署在服务器上，包括：密管服务模块、信令网关模块和业务处理模块。

密管服务模块：根据客户端注册登录申请，生成密管会话密钥、业务会话密钥、云盒会话密钥和客户端密钥；根据客户端文件存储申请，生成文件体密钥；其中，密管会话密钥，用于密管服务模块与客户端交互消息的加密和解密；业务会话密钥，用于业务处理模块与客户端交互信息的加密和解密；云盒会话密钥，用于客户端与私有云盒交互信息的加密和解密；客户端密钥，用于在客户端与私有云盒传输文件时对文件头的加密和解密；文件体密钥，用于在客户端与私有云盒传输文件时对文件体的加密和解密。密管密钥鉴权相关流程见图5所示。

需要说明的是：

每个设备有一个唯一的注册码，使用注册码与密管服务模块协商加密算法；

密管服务模块会产生一个密管会话密钥与密管user id，移动设备使用密管会话密钥+密管user id与密管服务模块继续操作，获取到信令网关模块的对称加密用的业务会话密钥，并下发非对称加密用的公钥与私钥给信令网关；

移动设备拿到业务会话密钥后，就使用此业务会话密钥通过信令网关与业务服务进行具体业务层面的操作。同时非对称加密的公钥会同步给移动设备，以便后续操作；

会话密钥过期后，要求设备重新提交注册码，获取相关会话密钥信息。

信令网关模块，主要用于保存密管的会话密钥，在业务服务器与其他设备交互时，会先对消息内容做数据检验。还用于服务器与客户端、私有云盒进行交互时的消息传输。

数据检验流程：使用TCP数据流的方式连接，数据流主要包消息体长度，消息内容（使用会话密钥加密），数据摘要（散列函数算法压缩消息内容）。在传递数据前会计算消息内容的数据摘要，然后将摘要与消息内容使用会话密钥进行加密，防止数据中途被截获，造成隐私内容泄露。接受端接收到后，各设备接受到数据后，使用会话密钥对消息内容进行解密，然后检查数据摘要与消息内容是否一致，防止数据被中途篡改。以下所有设备与业务服务进行数据传输均使用此加密协议。

业务处理模块，用于根据客户端的绑定云盒申请，建立客户端和私有云盒的绑定关系；用于根据客户端的注册登录申请，管理客户端的用户权限。该模块主要用于维护客户的账户以及账户之间关系数据，实现用户登录，用于与设备间关系绑定等功能。数据交互上采用TCP长连接的方式信令网关服务器交互，通过信令网关与密管服务模块、云盒、手机、第三方设备等进行交互。

实施例2

本实施例提供了一种私有云盒，该系统包括以下模块：消息处理模块、文件接收模块、存储模块和文件发送模块。

消息处理模块，用于接收所述鉴权系统发送的客户端密钥的公钥和私钥；用于和绑定的客户端进行消息传输，通过使用云盒会话密钥对传输的消息进行加密和解密。

文件接收模块，用于对收到的客户端文件使用客户端密钥的私钥对该文件的文件头进行解密；将解密后的文件头，以及文件体发送至所述存储模块。

存储模块，用于使用云盒预存密钥对解密后的文件头进行加密存储，文件体不做处理直接存储。

文件发送模块，用于根据客户端读取文件的申请，从存储模块中提取相应文件，用云盒预存密钥对该文件的文件头进行解密，使用客户端密钥的公钥对解密后的文件头进行加密，将加密后的文件头，以及文件体发送至客户端。

如图6所示，云盒和移动设备进行文件传输的流程图。

云盒与鉴权系统，云盒与信令网关模块，云盒与移动设备，云盒与第三方设备之间数据交互。交互方式是加密的TCP数据流，与不同设备交互，数据流内容加密方式有所不同。

云盒与鉴权系统密管模块间数据流内容使用协商的密管会话密钥进行加密。

在移动设备登录云盒时，鉴权系统的信令网关模块会生成一个云盒与移动设备使用的云盒会话密钥，并同步给云盒。移动设备使用此云盒会话密钥进行对称加密。

移动设备与云盒之间在登录后就可以直接通过点对点的TCP数据流，不再需要到网关做中转。由于直接是点对点连接，可以不受网关带宽影响，加快移动设备与云盒之间数据传输的速度。不通过网关也可以减少因网关被劫持产生的隐私泄露。

云盒与第三方设备之间数据传输跟云盒与移动设备的传输方式类似，只是传输载体可能不一样，比如有些短距离的设备可以直接使用蓝牙传输。

私有云盒存储模块（基于密文存储可明文访问的系统）：

包括支持Linux系统的CPU、内存、一个小容量存储单元（用于存储密钥信息）、一个可读写的数据存储设备（硬盘或者手机存储卡都可以）、对应电脑主板以及用户输入的鼠标键盘显示器等设备。此设备不限于电脑主机，也可使用支持Linux系统的嵌入式主板，将密钥保存在Linux系统所在的芯片的存储单元内。

该存储模块由三部分组成，包括pbox-Fs内核模块，pbox-Fs文件服务以及对应的pbox-Fs挂载工具。

pbox-Fs内核模块：实现了和VFS的对接，实现了一个能被用户空间进程打开的设备，当VFS发来文件操作请求之后，将请求通过设备传递给pbox-Fs文件服务，加解密通讯库在处理完请求后，将结果返回给pbox-Fs内核模块，内核模块再将其还原为Linux 内核需要的格式，并返回给VFS。

挂载工具：初始化时将/dev/pbox-fs挂载到指定目录(通常为/mnt/pbox-fs），当系统关闭时，将/dev/pbox-fs从指定目录卸载下来。

pbox-Fs文件服务：负责和pbox-Fs内核模块通信，接收来自/dev/pbox-fs的请求，数据进行读写时加密解密操作。

在Linux系统启动后，会进行pbox-Fs初始化，初始化包括一下几个步骤：

1.pbox-Fs内核模块实现了Linux虚拟文件系统（VFS）的标准接口，pbox-Fs内核模块使用这些接口在linux内核中注册pbox-Fs文件系统，将上述硬件设备中可读写数据存储设备的存储空间划分成一个磁盘分区，此分区对应一个设备文件/dev/pbox-fs。设备文件/dev/pbox-fs是内核里的pbox-Fs文件系统和用户态文件系统的通信媒介。用户态文件系统通过读取/dev/pbox-fs的内容，获取内核中pbox-Fs文件系统发来的请求；而内核中的pbox-Fs文件系统，则把请求写入/dev/pbox-fs，等待用户态文件系统处理；

2.pbox-Fs挂载工具挂载/dev/pbox-fs设备文件到用户空间的/mnt/pbox文件夹；

3.pbox-Fs文件服务注册文件处理函数，加解密方法，并创建后台服务进程，等待用户执行文件操作。

当设备内软件在/mnt/pbox-fs写入文件时，数据会经过虚拟文件系统传递给pbox-内核模块，pbox-内核模块将数据转交给pbox-Fs文件服务。然后pbox-Fs通讯服务使用加密算法，将明文与密钥加密成密文，传递给pbox-fs内核模块，让pbox-fs内核模块传递数据给Linux虚拟文件系统，调用Linux内核的写文件操作写入设备/dev/pbox-fs内；当用户需要读取/mnt/pbox-fs的文件时，使用加密算法与密钥解密成返回给pbox内核模块。

当用户读取文件时，Linux内核会将设备/dev/pbox-fs内密文内容传递消息给虚拟文件系统，经pbox-fs内核模块传递给pbox-Fs文件服务，使用密钥将数据解密出来，再传回给pbox-Fs内核模块，再返回给Linux内核，最后返回到设备内的软件。

通过以上操作，设备上的任何软件就可以在用户空间的/mnt/pbox文件夹内进行文件读写，在此设备中的所有软件看来，所有文件都是明文可访问状态。但是在存储设备中，所有数据都是已加密状态了。将此可读写存储设备放入其他电脑，由于数据保存时，做了加密处理，其他电脑任何软件均无法读取此密文内容。另外将此可读写设备放入本发明的另外一个设备，由于主板上只读设备的密钥不一致，加密的文件也无法正常读取。这样就可以实现让文件可以让第三方软件安全的明文访问到，并且存储的为密文内容。

此外，还有云盒TV端模块。云盒搭载的安卓系统，与TV之间使用HDMI连接，

这里简单地把TV当作一个显示器，主要用于显示用户上传的图片、视频资料，用户的定位、监控、监控等状态。

实施例3

本实施例提供一种物联网数据存取应用系统，部署在移动设备，特指客户的手机，平板等设备。鉴于移动设备触摸屏的操作便捷性，系统大部分的用户操作在移动设备上进行，如与云盒绑定直接扫描云盒上面二维码即可。上传资料也是从移动设备上面上传，由私有云盒保存，共享给其他移动设备。

该数据存取应用系统包括：注册模块、登录模块、申请模块、发送处理模块和接收处理模块。

注册模块，用于在首次使用时进行注册，完成登录账号和密码设置，将注册码及授权申请发送至鉴权系统；向鉴权系统申请与私有云盒的绑定；向鉴权系统申请获得密管会话密钥、业务会话密钥、云盒会话密钥以及客户端密钥的公钥和私钥。

登录模块，用于在使用前进行登录，将输入的登录账号和密码提交鉴权系统验证。

申请模块，用于向鉴权系统发送文件存储申请，从而收到鉴权系统发送的文件体密钥；用于向云盒发送文件读取申请；从而得到私有云盒发送的相应文件。

发送处理模块，用于通过使用客户端密钥的公钥和文件体密钥对待存储到私有云盒的文件进行加密；并将加密后的文件发送至私有云盒。

接收处理模块，用于接收私有云盒发送的文件；使用客户端密钥的私钥和文件体密钥对文件进行解密，从而得到该文件。

实施例4

本实施例提供的基于私有云的物联网数据安全存储系统包括：设置在服务器上的物联网鉴权系统、私有云盒和设置在移动终端的数据存取应用系统，以及第三方设备，如图7所示。

联网鉴权系统，用于根据数据存取应用系统注册登录申请，生成密管会话密钥、业务会话密钥、云盒会话密钥和客户端密钥的公钥和私钥；用于根据数据存取应用系统的文件存储申请，生成文件体密钥；用于对与数据存取应用系统交互的消息内容进行数据检验；用于根据数据存取应用系统的绑定云盒申请，建立数据存取应用系统和私有云盒的绑定关系；还用于根据数据存取应用系统的注册登录申请，管理数据存取应用系统的用户权限；

私有云盒，用于接收物联网鉴权系统发送的客户端密钥的公钥和私钥；用于和绑定的客户端进行消息传输，通过使用云盒会话密钥对传输的消息进行加密和解密；用于对收到的客户端文件使用客户端密钥的私钥对文件头进行解密，再使用预存密钥对解密后的文件头进行加密存储，文件体不做处理直接存储；用于根据客户端读取文件的申请，提取相应文件，使用预存密钥对该文件的文件头进行解密，然后使用客户端密钥的公钥对解密后的文件头进行加密，将加密后的文件头以及文件体发送至数据存取应用系统；

数据存取应用系统，用于在首次使用时进行注册，完成登录账号和密码设置，将注册码及授权申请发送至物联网鉴权系统，向物联网鉴权系统申请与私有云盒的绑定；并申请获得密管会话密钥、业务会话密钥、云盒会话密钥以及客户端密钥的公钥和私钥；用于在使用前进行登录，将输入的登录账号和密码提交物联网鉴权系统验证；用于向物联网鉴权系统发送文件存储申请，并接收物联网鉴权系统发送的文件体密钥；用于通过使用客户端密钥的公钥和文件体密钥对待存储到私有云盒的文件进行加密；并将加密后的文件发送至私有云盒；还用于接收私有云盒发送的文件；使用客户端密钥的私钥和文件体密钥对文件进行解密，从而得到该文件。

本实施例的硬件设备主要包括：

密管服务器：安装了提供数据加密的密钥更新；

分布式服务器：提供信令网关，业务服务；这两类服务器部署了物联网鉴权系统；

私有云盒：提供了密文存储可明文访问功能、以及云存储、相册、设备定位、健康数据监控等业务功能；

移动设备：安装了数据存取应用系统；

第三方设备：第三方设备是由用户使用，用于用户获取设备使用人（一般是自己家人）的定位，监控，健康状态，通过协议传输给云盒设备，在云盒上可以查看这些数据。同时云盒也会将公共的数据传递给移动设备，以便与云盒绑定的人可以查看此项数据。包括用于位置定位，摄像头监控，健康监控等外部数据获取的设备。

最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制。尽管参照实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，对本发明的技术方案进行修改或者等同替换，都不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (10)

1.一种基于私有云的物联网数据安全存储系统，其特征在于，所述系统包括：设置在服务器上的物联网鉴权系统、私有云盒和设置在客户端的数据存取应用系统；其中，

所述物联网鉴权系统，用于根据所述数据存取应用系统注册登录申请，生成密管会话密钥、业务会话密钥、云盒会话密钥和客户端密钥的公钥和私钥；用于根据所述数据存取应用系统的文件存储申请，生成文件体密钥；用于对与所述数据存取应用系统交互的消息内容进行数据检验；用于根据所述数据存取应用系统的绑定云盒申请，建立数据存取应用系统和私有云盒的绑定关系；还用于根据数据存取应用系统的注册登录申请，管理数据存取应用系统的用户权限；

所述私有云盒，用于接收所述物联网鉴权系统发送的客户端密钥的公钥和私钥；用于和绑定的客户端进行消息传输，通过使用云盒会话密钥对传输的消息进行加密和解密；用于对收到的客户端文件使用客户端密钥的私钥对文件头进行解密，再使用预存密钥对解密后的文件头进行加密存储，文件体不做处理直接存储；用于根据客户端读取文件的申请，提取相应文件，使用预存密钥对该文件的文件头进行解密，然后使用客户端密钥的公钥对解密后的文件头进行加密，将加密后的文件头以及文件体发送至数据存取应用系统；

所述数据存取应用系统，用于在首次使用时进行注册，完成登录账号和密码设置，将注册码及授权申请发送至物联网鉴权系统，向物联网鉴权系统申请与私有云盒的绑定；并申请获得密管会话密钥、业务会话密钥、云盒会话密钥以及客户端密钥的公钥和私钥；用于在使用前进行登录，将输入的登录账号和密码提交所述物联网鉴权系统验证；用于向所述物联网鉴权系统发送文件存储申请，并接收物联网鉴权系统发送的文件体密钥；用于使用客户端密钥的公钥和文件体密钥对待存储到私有云盒的文件进行加密，并将加密后的文件发送至私有云盒；还用于接收私有云盒发送的文件；使用客户端密钥的私钥和文件体密钥对文件进行解密，从而得到该文件。

2.根据权利要求1所述的基于私有云的物联网数据安全存储系统，其特征在于，所述物联网鉴权系统包括：密管服务模块、信令网关模块和业务处理模块；其中，

所述密管服务模块，用于根据客户端注册登录申请，生成密管会话密钥、业务会话密钥、云盒会话密钥和客户端密钥；还用于根据客户端文件存储申请，生成文件体密钥；其中，密管会话密钥用于对密管服务模块与客户端的交互消息进行加密和解密；业务会话密钥用于对业务处理模块与客户端的交互信息进行加密和解密；云盒会话密钥用于对客户端与私有云盒的交互信息进行加密和解密；客户端密钥用于在客户端与私有云盒传输文件时对文件头进行加密和解密；文件体密钥用于在客户端与私有云盒传输文件时对文件体进行加密和解密；

所述信令网关模块，用于保存密管服务模块生成的对应不同客户端的业务会话密钥；用于对业务处理模块与客户端的交互消息内容进行数据检验；还用于服务器与客户端、私有云盒进行交互时的消息传输；

所述业务处理模块，用于根据客户端的绑定云盒申请，建立客户端和私有云盒的绑定关系；还用于根据客户端的注册登录申请，管理客户端的用户权限。

3.根据权利要求2所述的基于私有云的物联网数据安全存储系统，其特征在于，所述密管会话密钥、业务会话密钥、云盒会话密钥和文件体密钥采用对称加密算法；客户端密钥采用非对称加密算法。

4.根据权利要求3所述的基于私有云的物联网数据安全存储系统，其特征在于，所述密管服务模块的具体实现过程为：

根据客户端提交的注册码及授权申请，采用加密算法生成密管会话密钥和密管用户ID号，并发送至客户端；

根据客户端提交的密管会话密钥和密管用户ID号，生成业务会话密钥发送至客户端，同时将业务会话密钥发送至信令网关模块；

根据所述信令网关模块对客户端提交的业务会话密钥的验证通过结果，以及所述业务处理模块对客户端提供的账号密码的验证通过结果，接收所述信令网关模块提交客户端的绑定云盒申请，将生成的云盒会话密钥、客户端密钥的公钥和私钥均发送至客户端和私有云盒；

根据客户端的文件存储申请，生成文件体密钥，发送至客户端。

5.根据权利要求4所述的基于私有云的物联网数据安全存储系统，其特征在于，所述信令网关模块的具体实现过程为：

接收并保存所述密管服务模块发送的业务会话密钥；

接收客户端使用业务会话密钥加密处理后的账号密码登录的申请，验证所述业务会话密钥的有效性，若该业务会话密钥有效，则将收到的账号密码发送至所述业务处理模块；否则，通知客户端重新获取业务会话密钥；

接收客户端的绑定云盒申请，向所述业务处理模块转发；并向所述密管服务模块申请生成云盒会话密钥、客户端密钥的公钥和私钥。

6.根据权利要求1所述的基于私有云的物联网数据安全存储系统，其特征在于，所述私有云盒包括：消息处理模块、文件接收模块、存储模块和文件发送模块；其中，

所述消息处理模块，用于接收物联网鉴权系统发送的客户端密钥的公钥和私钥；用于和绑定的客户端进行消息传输，通过使用云盒会话密钥对传输的消息进行加密和解密；

所述文件接收模块，用于使用客户端密钥的私钥对收到的客户端文件的文件头进行解密，将解密后的文件头以及文件体发送至所述存储模块；

所述存储模块，用于使用私有云盒的预存密钥对解密后的文件头进行加密存储，文件体不做处理直接存储；

所述文件发送模块，用于根据客户端读取文件的申请，从存储模块中提取相应文件，用私有云盒的预存密钥对该文件的文件头进行解密，使用客户端密钥的公钥对解密后的文件头进行加密，将加密后的文件头，以及文件体发送至客户端。

7.根据权利要求1所述的基于私有云的物联网数据安全存储系统，其特征在于，所述物联网数据存取应用系统包括：注册模块、登录模块、申请模块、发送处理模块和接收处理模块；其中，

所述注册模块，用于在首次使用时进行注册，完成登录账号和密码设置，将注册码及授权申请发送至所述物联网鉴权系统；向物联网鉴权系统申请与私有云盒的绑定；向物联网鉴权系统申请获得密管会话密钥、业务会话密钥、云盒会话密钥以及客户端密钥的公钥和私钥；

所述登录模块，用于在使用前进行登录，将输入的登录账号和密码提交物联网鉴权系统验证；

所述申请模块，用于向物联网鉴权系统发送文件存储申请，从而收到物联网鉴权系统发送的文件体密钥；用于向私有云盒发送文件读取申请；从而得到私有云盒发送的相应文件；

所述发送处理模块，用于使用客户端密钥的公钥和文件体密钥对待存储到私有云盒的文件进行加密；并将加密后的文件发送至私有云盒；

所述接收处理模块，用于接收私有云盒发送的文件；使用客户端密钥的私钥和文件体密钥对文件进行解密，从而得到该文件。

8.根据权利要求7所述的基于私有云的物联网数据安全存储系统，其特征在于，所述注册模块具体实现过程为：

步骤1）向物联网鉴权系统提交注册码及授权申请；

步骤2）接收物联网鉴权系统发送的密管会话密钥和密管用户ID号；

步骤3）发送密管会话密钥和密管用户ID号给物联网鉴权系统；

步骤4）接收物联网鉴权系统发送的业务会话密钥；

步骤5）使用业务会话密钥对登录账号及密码进行加密处理后，发送至物联网鉴权系统进行有效性验证；若有效性验证通过，则注册成功，否则转入步骤1）直至有效性验证通过。

9.根据权利要求8所述的基于私有云的物联网数据安全存储系统，其特征在于，所述发送处理模块的具体实现过程为：

读取待存储到私有云盒的文件的文件头；

将文件体密钥写入该文件的文件头；

使用客户端密钥的公钥对对文件头进行加密处理，得到加密后的文件头；

使用文件体密钥对该文件的文件体进行加密，得到加密后的文件体；

将加密后的文件头和文件体合成文件发送至私有云盒。

10.根据权利要求9所述的基于私有云的物联网数据安全存储系统，其特征在于，所述接收处理模块的具体实现过程为：

接收私有云盒发送的文件；

读取该文件的文件头，使用客户端密钥的私钥对文件头进行解密处理，得到解密后的文件头；

从文件头中提取文件体密钥；

读取该文件的文件体，使用文件体密钥对文件体进行解密，从而得到文件体。

Images