CN112106323B - 用于存储和读取不信任环境中的存储设备上的数据的方法 - Google Patents

Abstract

本发明涉及一种用于存储和读取不信任的环境中的存储设备上的数据的方法，所述数据被分配给树结构的数据节点。

Description

用于存储和读取不信任环境中的存储设备上的数据的方法

技术领域

本发明涉及一种用于存储和读取不信任的环境中的存储设备上的数据的方法。

背景技术

由于使用的所有密钥是计算到的并且不是随机生成的，因此，可以使用所谓的依赖密钥模型，例如密钥导出算法(KDA)，来实现“不存储”密钥的目的。然而，该方法与有效引用系统的目的相悖，因为当权限被撤销(主动撤销)时需要对所有被引用的数据元素进行完全重加密。

这种性能问题将通过懒惰撤销方法来解决。懒惰撤销是用于当前云存储系统的关键需求，尤其是在用户组共享非常大量的数据的情况下。与主动撤销方法不同，在主动撤销方法中，在基于客户端的加密方法中撤销数据之后，必须先将所有数据下载到客户端，用新密钥加密，并且将重加密的数据上传回到服务器上，在懒惰撤销方法中，仅在数据更改时才必须对数据重加密，在这种情况下，无论如何都需要重加密。

因此，懒惰撤销代表一种折中方案，在该折中方案中，假如数据没有更改，则先前访问加密数据的人继续访问该数据。

在懒惰撤销下保证了安全，因为除非更改，否则数据继续由当前加密保护，并且新的或更改后的数据利用新密钥被加密，且所述密钥被分发给即使针对其他人撤销访问后仍继续具有权限访问所述数据的用户。

然而，在当前的现有技术中，懒惰撤销方法与KDA相悖，因为它会中断从条目密钥开始的密钥的级联(在KDA中，每个下级密钥都是用其前身来计算到的，而在懒惰撤销下，元素可以具有分发到其的几个密钥，因此密钥计算不再是唯一的)。因此，在懒惰撤销方法下，必须存储和分发所有使用的密钥(导致独立密钥模型)，这与不存储任何密钥的目的相悖。

在现有技术下的折中方案是Atallah、Frikken和Blanton的密钥管理方法(及其变体)，其中在独立密钥模型下，通过针对每个元素引入公共辅助值来替代对所有方分发密钥的需求，因此所述值根据父密钥的哈希减去节点密钥的值来计算。以类似的方法通过从父密钥的哈希减去辅助密钥的哈希来计算节点密钥。然而在这种情况下，必须为每一个元素存储公共辅助密钥，因此辅助密钥的丢失将导致所有下级节点密钥的丢失。这与实现安全且容错的引用系统的目的相悖。

懒惰撤销的另一个主要缺点是：密钥管理(密钥生成和分发)需要在长期内有相当大的处理器功率，并且由于存储密钥的需求而具有高的开销。为了实现本发明的目的，对于每个单独的数据元素可以使用独立可互换的密钥，每个单独的密钥必须在懒惰撤销方法下存储。在数据也将与第三方共享的情况下，甚至将必须(例如，利用第三方的公共RSA密钥)加密该密钥。因此，例如，当与三方共享数据时，有必要存储4个加密密钥(利用客户端自己的密钥加密一次，然后利用第三方的公共密钥中的每个加密一次)。如果我们假定一种具有大量数据和用户的系统，由于密钥管理的开销和复杂性，就清楚为什么在单独元素基础上的懒惰撤销无法在实践中应用——否则，将需要像所描述的那样针对每个数据节点和用户存储和分发特定的密钥，并且每次添加或特别是撤销用户时，都要对此进行实施。这不可实现用于每个元素的有效引用系统的目的。

为了使其可应用在实践中，必须减少所需的存储密钥的数量。在现有技术中，这是通过聚集权限组(例如，目录中的文件)内的数据来实现的，因此，同一个权限组内的所有数据可以通过同一个密钥加密。每个权限组必须能够独立于用于其他权限组的密钥来替代其密钥。这种独立性意味着不再需要在从第三方撤销权限之后立即重加密权限组内的数据，而代替的是足以递归地标记(领域的术语为“脏标识”)树(例如，子目录和文件)上的元素。这意味着系统只检查在数据存储(更改、添加)时是否设置了该标记(并且如果是，必须针对该权限组生成新密钥并将该新密钥分发给所有授权的第三方)或是否足以使用当前密钥(如果未设置“脏标识”)。一旦利用新密钥加密数据，就针对该权限组移除脏标识。

这仍然留下了分发问题(尽管针对较少的密钥)，系统不再能够引用单独的数据项，而是只能引用权限组(例如，目录、数据室)。此外，因为该方法可能意味着每个权限组有几个密钥，因此对于组内的每一个元素(例如，文件)，必须对用于该元素的密钥创建引用。

这可以通过现有技术中将2个列表分配给权限组来实现。其中之一是密钥列表，在该密钥列表中，在各个权限组中使用的所有密钥以未加密的形式存储；并且，第二个是引用列表，在该引用列表中，权限组的所有元素(文件)与用于加密元素的密钥的链接一起存储。

为了优化存储和计算，所述密钥列表可以通过现有技术中的加密链接来实现，例如：

A)通过哈希列表，由此在每种情况下，当前密钥计算为

新密钥＝安全哈希(先前的密钥，“Salt”)(NeuerSchlüssel＝Sicherer-Hash(VorhergehenderSchlüssel,“Salt”))。

在这种情况下，通过基于单个起点的哈希的级联，来生成具有预设数量的元素(密钥)的列表。通常通过字符(称为“salt”)的随机序列来补充计算，以增加计算的熵。该级联的列表的结果之一是：可以分发该列表上的任意元素(密钥)，包括其位置，并将其用于计算后继元素(密钥)。然而，因为安全哈希函数是单向函数，因此不可能使用它来计算从起点起的先前的密钥。当需要新密钥时，先前的元素(密钥)，也就是说，当前元素(密钥)之前的元素必须由已经计算出足够长度哈希列表的人公开。

因此，在这样的列表中，必须针对所有者存储列表中的最后一个条目(或必须可使用秘密信息来计算它)，从该最后一个条目可以计算出所有先前的密钥。这里，列表中的最后一个元素对应于第一密钥，倒数第二个元素对应于第二密钥，等等。

因此，只需要存储单个密钥来访问的优点，是以需要预设长度为代价得到的。如果长度设置得太低，则可能没有足够可用的密钥；如果长度设置得太高，则这可能会导致长的不必要的计算时间，因为计算将从涉及的最后一个元素开始(例如，如果长度设置为一百万，但是当前只有3个密钥，则所有密钥将必须从第一百万个条目开始向下计算到第三个密钥)。针对这个原因，这个选项实际上从未使用。

B)作为密钥列表，由此当前密钥不是使用哈希函数而是通过对称或非对称加密来计算到的，使得当前密钥＝AES_解密(当前密钥，后继者密钥)(AktuellerSchlüssel＝AES_decrypt(AktuellerSchlüssel,Nachfolge-Schlüssel))(例如，参见美国专利7203317B2)。

在这种情况下，列表的长度不是从开始设置的，并且可以在任何时候扩展。每一个相应的当前密钥都是通过其后继者(用户限定的)密钥来加密的。然而，与哈希列表相反，必须针对每个节点存储条目(用户限定的后继者密钥)。

这意味着对于同一个数据存在多个当前密钥，并且必须针对这些当前密钥中的每一个当前密钥存储基本密钥。此外，必须确保使用的所有密钥对于每一个节点和授权方是存在的，这就引起了具有容错的问题。

此外，直到确保密钥不再用于加密数据才可以丢弃密钥。密钥存储和分发的开销和复杂性由此提高。

因此，需要新的方法来解决上述问题和缺点，并实现开始时所描述的目的。这种新的方法利用了现有方法，但通过新的工艺步骤对其进行优化和补充，从而产生了本发明。

发明内容

本发明的目的是提供一种性能优化的安全分层引用系统，例如以实现加密文件系统(CFS)，在该加密文件系统中，文件或其他数据被存储在不信任的环境上的加密树结构中。这通过使用自适应密码访问控制(ACAC)来操作，其中使用密钥来加密在客户端(用户)侧的数据。所有所述密钥(除了条目密钥之外)不应被存储而应被计算，并且用于引用系统中的每个元素(例如，文件、记载、注释)以确保读/写权限的专用对称密钥可以以元素级别被分发给所选定的第三方并且在需要时主动撤销(共享/撤销)。

由此，该参考系统替代了传统的访问控制和认证方法，并且由于在单独元素基础上的对称密钥，不仅能够实现有效的、容错的访问，而且特别地，还能够实现主动移除单独元素的可能性。

出于效率的原因，懒惰撤销方法被用于加密，即，不是在用户被撤销之后立即生成新密钥，而是仅在存储数据时生成新密钥。

附图说明

图1示出现有技术中用于懒惰撤销的密钥和引用列表的示例。

图2示出根据本发明的方法的示例性实施例的核心组件。

图3示出根据本发明的方法的、用于对密钥管理添加易失性数据节点密钥列表的实施例。

图4示出根据本发明的方法的、用于添加用于引用和重新计算索引和密钥的非易失性数据节点密钥参数列表的实施例。

图5示出用于实施根据本发明的方法中限定的生成步骤的实施例。

图6描述根据本发明的方法的、用于对数据节点参数列表的压缩存储的方法。

图7展示用于图6的图例。

图8描述根据根据本发明的方法的实施例。

具体实施方式

为了在懒惰撤销方法下简化密钥管理和最小化密钥的存储的目的，在本发明中，数据节点密钥从父数据节点和其他数据节点的数据节点密钥导出。然而，因为懒惰撤销可能引起子节点具有比父节点更旧的密钥，因此需要正确地记录哪一个版本的父节点是当前的。

因为父数据节点密钥可以独立更改，因此本发明的主要方面是维护针对每个数据节点的临时(易失性)数据节点密钥列表，在该临时数据节点密钥列表中，记录了分发给相应密钥的密钥索引。在该列表中，分配给数据节点的密钥存储在编号的列表中，由此列表中的最后一个条目对应于当前密钥。

还需要记录用于针对每个密钥生成每个数据节点的父数据节点密钥。这是根据本发明的、利用(非易失性的，即，存储的)数据节点密钥参数列表来实现的，在该数据节点密钥参数列表中，子密钥的索引和父密钥的索引相链接。

这可以用于发现针对每个子数据节点的、与存储的父索引相关的密钥(从而揭示了用于计算子节点的密钥的秘密)。

只有通过结合这两个列表才有可能使用并扩展主动撤销的优点(每个数据节点计算单个当前数据节点密钥以进行加密和解密，而不需要永久存储密钥)，并且将其与懒惰撤销(仅在存储时重加密数据)的优点相结合。这通过级联的密钥计算替代了密钥存储和分发的当前实践。这种组合在现有技术中是未知的，且对于本领域普通技术人员并不显而易见。

因为数据节点密钥包括先前使用的父数据节点的、用于生成的数据节点密钥中的(至少)一个，所以有必要跟踪从根到用于存储的数据节点的树的路径，以识别一点——在该点处父数据节点具有比用作用于生成当前数据节点密钥的基础的父数据节点密钥更当前的数据节点密钥，并且根据需求更新密钥和索引，以及用新密钥加密数据。这确保了在存储分配给数据节点的数据之前，已经更新了沿该路径的所有父数据节点的所有密钥和索引，并因此利用有效的当前密钥(被撤销的用户不拥有该有效的当前密钥)对数据进行加密。

方法的新增价值

KDA(使用父节点的密钥而不是存储所有密钥来进行密钥计算)和懒惰撤销(由于仅加密更改的数据导致的效率增益)的优点的组合，同时解决了现有技术中与其相关的缺点。

·对(主动)撤销下的所有数据节点重加密的需求被懒惰撤销方法所替代。

·与懒惰撤销(由此一个节点可以包含许多元素)一样，仅有一个当前计算的密钥，而不是每个节点要求多个密钥。

·在当前现有技术的常规实践中使用的“脏标识”被匹配步骤所替代，以检查当前父密钥是否与非易失性列表中记录的父密钥相同。不相同的索引对应脏标识。

·本方法满足了懒惰撤销的所有需求，其区别特征在于，在树(而不是每个密钥)中只必须存储一个条目密钥。此外，该方法允许针对树的每个节点保留单个专用密钥，使得例如可以用不同的密钥加密每个文件。

·与当前通常实践中的懒惰撤销方法相比，简化了数据编程和开销，因为不需要递归地将受权限的撤销影响的所有数据节点(目录/文件/...)标记为“脏”或从列表选择特定的数据节点密钥以便解密可用的数据节点。

由此实现的简化和效率增益实现了用于在单独元素基础上的加密的可扩展解决方案，这不永久地存储任何密钥并且极大地简化了密钥管理。它还实现了在单独元素基础上的权限的主动撤销。

Claims (5)

1.一种用于存储和读取不信任的环境中的存储设备上的数据的方法，其中所述数据被分配给树结构的数据节点，

并且其中每个数据节点具有数据节点标识，所述数据节点标识相对于所述数据节点的兄弟数据节点清楚地识别所述数据节点，

并且其中每个数据节点具有一个当前数据节点密钥，

并且其中存在根数据节点，对于所述根数据节点，手动指定至少一个数据节点密钥，

并且其中所有子数据节点基于包括当前父数据节点密钥的所述根数据节点，来递归地计算所有所述子数据节点的当前数据节点密钥，

并且其中在将数据存储在所述存储设备上之前，利用与所述数据相关的数据节点的当前数据节点密钥来对所述数据进行加密，

并且其中在所述存储设备上读取所述数据之后利用所述当前数据节点密钥来加密所述数据，

其特征在于，

限定数据节点密钥生成步骤，所述数据节点密钥生成步骤能够任意次数地、时间独立地应用于每个数据节点，并且其中当所述数据节点密钥生成步骤应用于数据节点时，

针对所述数据节点生成新数据节点密钥索引，

通过将所述新数据节点密钥索引匹配于安全哈希函数的结果来计算数据节点密钥并将所述数据节点密钥设置为所述当前数据节点密钥，所述安全哈希函数至少应用于所述数据节点的所述数据节点标识、所述新数据节点密钥索引和所述父数据节点的所述当前数据节点密钥，

并且创建/扩展易失性数据节点密钥列表，所述易失性数据节点密钥列表包含数据节点密钥索引列和数据节点密钥列，其中，将所述新数据节点密钥索引和先前计算的数据节点密钥插入在所述易失性数据节点密钥列表的末尾处，并且所述先前计算的数据节点密钥成为所述当前数据节点密钥，

并且针对所述数据节点创建/扩展非易失性数据节点密钥参数列表，所述非易失性数据节点密钥参数列表包含数据节点索引列和父数据节点索引列，其中在所述非易失性数据节点密钥参数列表的所述末尾处，将所述数据节点的所述新数据节点密钥索引插入到所述数据节点索引列中，且将来自所述父数据节点的所述数据节点密钥参数列表的最后一个数据节点密钥索引插入到所述父数据节点索引列中，使得仅永久存储公共索引而非秘密密钥，所述公共索引作为用于密钥的代理，

在存储数据节点的数据前，

识别从所述根数据节点到所述数据节点的、所述树结构中的路径，并且从所述根数据节点的第一子数据节点开始，逐个数据节点地跟踪识别的所述路径，

并且比较数据节点和所述数据节点的父数据节点的非易失性数据节点密钥参数列表中的最后一个条目，

并且只要来自数据节点的所述父数据节点索引列的所述最后一个条目不与来自所述数据节点的父数据节点的数据节点密钥参数列表的、在所述数据节点处的以及在所述路径上的后继数据节点处的数据节点索引列中的最后一个条目相同时，

经历先前限定的数据节点密钥生成步骤，

并且使用与所述数据相关的所述数据节点的所述当前数据节点密钥来加密所述数据节点的所述数据，

并且存储分配给所述数据节点的所述非易失性数据节点密钥参数列表。

2.根据权利要求1所述的方法，其特征在于，所述非易失性数据节点密钥参数列表的顺序行编号用作数据节点的数据节点密钥索引，其中新数据节点密钥索引通过将当前最后一行编号加一来计算，

并且因为所述非易失性数据节点密钥参数列表是基于顺序编号的，因此免除了在所述非易失性数据节点密钥参数列表中存储所述数据节点索引列的需求。

3.根据权利要求2所述的方法，其特征在于，将所述数据节点密钥参数列表转换为压缩数据节点密钥参数列表，并且只将所述压缩数据节点密钥参数列表存储在非易失性存储设备中，其中将所述数据节点密钥参数列表内的区域组合，使得具有相同条目的区域和具有顺序条目的区域分别由所述压缩数据节点密钥参数列表中对应的值来表示。

4.根据权利要求2或3所述的方法，其特征在于，将所述数据节点密钥参数列表转换为压缩数据节点密钥参数列表，并且只将所述压缩数据节点密钥参数列表存储在非易失性存储设备中，其中将编号0设置为当前匹配索引，并且将所述数据节点密钥参数列表中的第一父数据节点索引设置为下一个匹配索引，将值1设置为当前匹配间隔，并且将值0设置为当前匹配间隔计数器，

并且限定匹配步骤，在所述匹配步骤中，计算所述下一个匹配索引和所述当前匹配索引之间的差，并且

如果计算的所述差等于所述当前匹配间隔，

将所述当前匹配间隔计数器增加值1，

如果计算的所述差不等于所述当前匹配间隔并且大于1，

并且只要所述当前匹配间隔计数器大于0，则将所述当前匹配间隔计数器附加到所述压缩数据节点密钥参数列表中的最后位置，

给所述差添加负号并且将所述负号附加在所述压缩数据节点密钥参数列表的末尾处，

并且将所述当前匹配间隔设置为值1，且将所述当前匹配间隔计数器设置为0，

如果计算的所述差不等于所述当前匹配间隔并且小于或等于1，

将所述当前匹配间隔计数器附加到所述压缩数据节点密钥参数列表中的所述最后位置，

将所述当前匹配间隔根据所述当前匹配间隔的值更改成0或1，并且将所述当前匹配间隔计数器设置为1，

并且此后，先前的所述下一个匹配索引成为当前匹配索引，并且

紧随现在的所述当前匹配索引的所述父数据节点索引成为所述下一个匹配索引，

并且只要所述当前匹配间隔计数器大于0，就将匹配步骤应用于每个当前匹配索引和下一个匹配索引，直到所述当前匹配索引对应于最后一个所述父数据节点索引，并且通过将所述当前匹配间隔计数器附加到所述压缩数据节点密钥参数列表中的所述最后位置。

5.根据权利要求1所述的方法，其特征在于，对于所述根数据节点，通过根据访问数据的计算来手动指定所述至少一个数据节点密钥。