CN112417511B - 基于Handle标识解析数据权限控制的方法 - Google Patents

基于Handle标识解析数据权限控制的方法 Download PDF

Info

Publication number
CN112417511B
CN112417511B CN202011474901.6A CN202011474901A CN112417511B CN 112417511 B CN112417511 B CN 112417511B CN 202011474901 A CN202011474901 A CN 202011474901A CN 112417511 B CN112417511 B CN 112417511B
Authority
CN
China
Prior art keywords
data
platform
enterprise node
client
access token
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202011474901.6A
Other languages
English (en)
Other versions
CN112417511A (zh
Inventor
陈虎
卢仁谦
周光勇
刘相池
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Chongqing Humi Network Technology Co Ltd
Original Assignee
Chongqing Humi Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Chongqing Humi Network Technology Co Ltd filed Critical Chongqing Humi Network Technology Co Ltd
Priority to CN202011474901.6A priority Critical patent/CN112417511B/zh
Publication of CN112417511A publication Critical patent/CN112417511A/zh
Application granted granted Critical
Publication of CN112417511B publication Critical patent/CN112417511B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/629—Protecting access to data via a platform, e.g. using keys or access control rules to features or functions of an application
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • G06F21/6254—Protecting personal data, e.g. for financial or medical purposes by anonymising data, e.g. decorrelating personal data from the owner's identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0414—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden during transmission, i.e. party's identity is protected against eavesdropping, e.g. by using temporary identifiers, but is known to the other party or parties involved in the communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Automation & Control Theory (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了基于Handle标识解析数据权限控制的方法，包括如下步骤：平台向企业节点分配客户端ID及客户端秘钥，并分配客户端ID对应的API接口的访问权限；企业节点通过客户端ID及客户端秘钥向平台申请访问令牌；企业节点向平台发出访问API接口的请求时，将访问令牌置于请求头中；平台获取请求头中访问令牌，校验发送访问令牌的企业节点是否在平台注册，若是，校验访问令牌是否处于有效时间内，若是，校验访问令牌对应的客户端ID是否具有访问所述API接口的访问权限，若是，则允许企业节点访问所述API接口。本发明中企业节点将标识数据通过平台开放接口接入时，需要对接入的企业节点进行身份识别，保障了平台安全，同时也保障企业数据不受攻击。

Description

基于Handle标识解析数据权限控制的方法
技术领域
本发明涉及工业互联网标识解析体系技术领域，具体涉及基于Handle标识解析数据权限控制的方法。
背景技术
工业互联网标识解析体系是工业互联网重要的网络基础设施，是支撑工业互联网互联互通的神经枢纽，其体系结构包含国根节点、国家顶级节点、二级标识解析节点、公共递归解析节点以及企业节点。
相关的数据按照其属性或特征，可以分为四大类：设备数据、业务系统数据、知识库数据、用户个人数据。根据数据敏感程度的不同，可将数据分为一般数据、重要数据和敏感数据三种。数据涉及数据采集、传输、存储、处理等各个环节。随着企业数据由少量、单一、单向向大量、多维、双向转变，数据体量不断增大、种类不断增多、结构日趋复杂，并出现数据在企业内部与外部网络之间的双向流动共享。由此带来的安全风险主要包括数据泄露、非授权分析、用户个人信息泄露等。
因此，如何保证数据安全、避免数据泄露成为了本领域技术人员急需解决的问题。
发明内容
针对上述现有技术的不足，本发明实际解决的问题包括：如何保证数据安全、避免数据泄露。
本发明采用了如下的技术方案：
基于Handle标识解析数据权限控制的方法，包括如下步骤：
S1、企业节点在平台注册，平台向企业节点分配客户端ID及客户端秘钥，并分配客户端ID对应的API接口的访问权限；
S2、企业节点访问API接口时，通过客户端ID及客户端秘钥向平台申请访问令牌，平台基于申请生成具有一定有效时间的访问令牌；
S3、企业节点向平台发出访问API接口的请求时，将访问令牌置于请求头中；
S4、平台获取请求头中访问令牌，校验发送访问令牌的企业节点是否在平台注册，若是，校验访问令牌是否处于有效时间内，若是，校验访问令牌对应的客户端ID是否具有访问所述API接口的访问权限，若是，则允许企业节点访问所述API接口。
优选地，企业节点与平台之间传输数据时，将数据按自然排序或约定格式组合后拼接上企业节点对应的客户端ID，用客户端秘钥作为密码使用DES方式加密得到加密字符串再进行传输。
优选地，企业节点通过平台存储数据时，所述基于Handle标识解析数据权限控制的方法还包括：
S5、企业节点设置待存储数据的权限项，根据不同的权限项可将数据分为公开数据和非公开数据；
S6、平台基于存储数据的不同的权限项，将公开数据进行标识注册，将非公开数据存储到对应的数据库中。
优选地，企业节点通过平台获取数据时，所述基于Handle标识解析数据权限控制的方法还包括：
S7、企业节点向平台发送数据获取请求；
S8、平台基于数据获取请求调用对应的公开数据，并查找对应的数据库，判断企业节点是否具有获取数据的权限，若是，则从数据库中调用对应的非公开数据，将所有调用的数据合并后发送至企业节点。
优选地，平台向企业节点发送数据时，对隐私数据进行脱敏。
综上所述，本发明与现有技术相比，具有以下优点：
1、企业节点将标识数据通过平台开放接口接入时，需要对接入的企业节点进行身份识别，保障了平台安全，同时也保障企业数据不受攻击。
2、通过对传输的数据进行加密，保证网络传输数据的机密性、完整性和可用性，实现企业节点与平台之间的数据安全传输。
3、当平台中存储的隐私需要从平台中输出或与第三方应用进行共享时，在输出或共享前对这些数据进行脱敏处理。脱敏应采取不可恢复的手段，避免数据分析方通过其他手段对敏感数据复原，达到数据按权限存储和访问，避免用户隐私信息泄露。
附图说明
为了使发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步的详细描述，其中：
图1是本发明公开的基于Handle标识解析数据权限控制的方法的一种具体实施方式的流程图；
图2是本发明公开的基于Handle标识解析数据权限控制的方法中企业节点存储数据和获取数据的流程图。
具体实施方式
下面结合附图对本发明作进一步的详细说明。
如图1所示，为本发明公开的基于Handle标识解析数据权限控制的方法的一种具体实施方式的流程图，包括如下步骤：
S1、企业节点在平台注册，平台向企业节点分配客户端ID及客户端秘钥，并分配客户端ID对应的API接口的访问权限；
企业节点在平台注册并申请标识解析前缀后，由平台分配唯一的客户端ID(ClientId)和客户端秘钥(ClientSecret)，并对该客户端ID分配API范围的访问权限。
S2、企业节点访问API接口时，通过客户端ID及客户端秘钥向平台申请访问令牌，平台基于申请生成具有一定有效时间的访问令牌；
在企业节点访问API接口时，首先通过ClientId和ClientSecret向平台申请访问令牌，平台在生成访问令牌时对该令牌赋值有效时间，企业节点在该有效期内可以重复使用令牌访问，令牌失效后需要向平台重新获取。
S3、企业节点向平台发出访问API接口的请求时，将访问令牌置于请求头中；
S4、平台获取请求头中访问令牌，校验发送访问令牌的企业节点是否在平台注册，若是，校验访问令牌是否处于有效时间内，若是，校验访问令牌对应的客户端ID是否具有访问所述API接口的访问权限，若是，则允许企业节点访问所述API接口。
平台接收到企业节点访问接口请求时，通过OAuth2认证技术将令牌进行转换，首先校验令牌持有者是否在平台存在，再校验令牌是否失效，最后校验令牌的访问范围是否可以访问该接口，若上述都通过后才会放行继续进行下一步的处理。
本发明中，企业节点将将标识数据通过平台的开放接口接入时，首先需要对接入的企业节点进行身份识别，这样可以保证平台安全，同时也保障企业节点数据不受攻击。
具体实施时，企业节点与平台之间传输数据时，将数据按自然排序或约定格式组合后拼接上企业节点对应的客户端ID，用客户端秘钥作为密码使用DES方式加密得到加密字符串再进行传输。
在企业节点通过开放接口注册、解析标识时，为保障数据安全，企业请求时需要将数据进行加密传输，平台接收到数据后再进行解密处理。在身份分配获得的ClientId和ClientSecret后，将需要传输的数据按自然排序或约定格式组合后拼接上客户端ID，用ClientSecret作为密码使用DES方式加密得到加密字符串再进行传输，同时利用SSL+HTTP协议进行加密传输，保证网络传输数据的机密性、完整性和可用性，实现企业节点与平台之间的数据安全传输。
具体实施时，企业节点通过平台存储数据时，所述基于Handle标识解析数据权限控制的方法还包括：
S5、企业节点设置待存储数据的权限项，根据不同的权限项可将数据分为公开数据和非公开数据；
S6、平台基于存储数据的不同的权限项，将公开数据进行标识注册，将非公开数据存储到对应的数据库中。
根据数据涉及的业务，企业存储的数据中，有些数据能够公开在标识解析体系中，有的数据则需要特定的角色才能访问，同时因为工业互联网标识的数据在标识注册时会一并存储并共享在标识解析体系中，因此，为了使特定的数据只有具有特定权限的用户才能访问，所以不能将所有数据都进行标识注册。企业节点在存储数据之前，可以先设置待存储数据的权限项，将数据分为公开数据和非公开数据，其中，非公开数据中，再设置能够访问各非公开数据用户群体，根据能够访问的用户群体的不同，将非公开数据存储到不同的数据库中。本发明中，将未设置权限的公开数据可连同标识编码一起注册到国家顶级节点，需要角色权限才能访问的非公开数据则存储在平台MongoDB数据库中。
具体实施时，企业节点通过平台获取数据时，所述基于Handle标识解析数据权限控制的方法还包括：
S7、企业节点向平台发送数据获取请求；
S8、平台基于数据获取请求调用对应的公开数据，并查找对应的数据库，判断企业节点是否具有获取数据的权限，若是，则从数据库中调用对应的非公开数据，将所有调用的数据合并后发送至企业节点。
完成上述根据角色权限进行数据拆分存储，保证了受保护数据不会在标识解析体系中公开访问，且是企业使用者可以自主控制和设置，保证了功能的灵活性和数据保密性。最后在对标识进行解析的时候，首先从国家标识解析节点中获取标识的公开数据，然后根据企业在平台上的数据权限配置获取访问者角色所拥有的数据权限，从平台MongoDB数据库中获取非公开的数据，将两部分数据进行合并得到完整的标识数据。
具体实施时，平台向企业节点发送数据时，对隐私数据进行脱敏。
此外，本发明中，为了避免用户隐私信息泄露，在发送给企业节点数据时，对每项数据进行智能判断(如手机号、身份证、姓名等隐私信息)，在输出或共享前对这些数据进行不可恢复的脱敏处理，达到数据按权限存储和访问，智能判断及不可恢复的脱敏处理为现有技术，在此不再赘述。
最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管通过参照本发明的优选实施例已经对本发明进行了描述，但本领域的普通技术人员应当理解，可以在形式上和细节上对其作出各种各样的改变，而不偏离所附权利要求书所限定的本发明的精神和范围。

Claims (3)

1.基于Handle标识解析数据权限控制的方法，其特征在于，包括如下步骤：
S1、企业节点在平台注册，平台向企业节点分配客户端ID及客户端秘钥，并分配客户端ID对应的API接口的访问权限；
S2、企业节点访问API接口时，通过客户端ID及客户端秘钥向平台申请访问令牌，平台基于申请生成具有一定有效时间的访问令牌；
S3、企业节点向平台发出访问API接口的请求时，将访问令牌置于请求头中；
S4、平台获取请求头中访问令牌，校验发送访问令牌的企业节点是否在平台注册，若是，校验访问令牌是否处于有效时间内，若是，校验访问令牌对应的客户端ID是否具有访问所述API接口的访问权限，若是，则允许企业节点访问所述API接口；
S5、企业节点设置待存储数据的权限项，根据不同的权限项可将数据分为公开数据和非公开数据；
S6、平台基于存储数据的不同的权限项，将公开数据进行标识注册，将非公开数据存储到对应的数据库中；其中，非公开数据中，设置能够访问各非公开数据用户群体，根据能够访问的用户群体的不同，将非公开数据存储到不同的数据库中；
S7、企业节点向平台发送数据获取请求；
S8、平台基于数据获取请求调用对应的公开数据，并查找对应的数据库，判断企业节点是否具有获取数据的权限，若是，则从数据库中调用对应的非公开数据，将所有调用的数据合并后发送至企业节点。
2.如权利要求1所述的Handle标识解析数据权限控制的方法，其特征在于，企业节点与平台之间传输数据时，将数据按自然排序或约定格式组合后拼接上企业节点对应的客户端ID，用客户端秘钥作为密码使用DES方式加密得到加密字符串再进行传输。
3.如权利要求1所述的Handle标识解析数据权限控制的方法，其特征在于，平台向企业节点发送数据时，对隐私数据进行脱敏。
CN202011474901.6A 2020-12-15 2020-12-15 基于Handle标识解析数据权限控制的方法 Active CN112417511B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011474901.6A CN112417511B (zh) 2020-12-15 2020-12-15 基于Handle标识解析数据权限控制的方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011474901.6A CN112417511B (zh) 2020-12-15 2020-12-15 基于Handle标识解析数据权限控制的方法

Publications (2)

Publication Number Publication Date
CN112417511A CN112417511A (zh) 2021-02-26
CN112417511B true CN112417511B (zh) 2022-02-22

Family

ID=74776195

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011474901.6A Active CN112417511B (zh) 2020-12-15 2020-12-15 基于Handle标识解析数据权限控制的方法

Country Status (1)

Country Link
CN (1) CN112417511B (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113810376B (zh) * 2021-08-17 2023-04-07 航天云网数据研究院(广东)有限公司 工业互联网标识的可信解析方法、系统、电子设备及介质
CN113779525B (zh) * 2021-09-14 2024-05-03 码客工场工业科技(北京)有限公司 一种基于角色的Handle系统差异化解析方法
CN114218412B (zh) * 2022-02-22 2022-06-17 中汽数据(天津)有限公司 基于工业互联网标识解析的汽车供应链图像标识解析方法
CN114448732B (zh) * 2022-04-08 2022-06-21 中国信息通信研究院 标识隐私数据网络传输的保护方法和装置、介质、设备
CN115834514A (zh) * 2022-11-17 2023-03-21 华人运通(上海)云计算科技有限公司 安全获取企业微信开放接口数据的方法、系统及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110912700A (zh) * 2019-11-13 2020-03-24 上汽大通汽车有限公司 基于jwt的分布式系统安全认证方法
CN111865920A (zh) * 2020-06-18 2020-10-30 多加网络科技(北京)有限公司 一种网关认证和身份鉴权的平台及其方法
CN111935078A (zh) * 2020-06-23 2020-11-13 深圳奥联信息安全技术有限公司 一种基于句柄的开放认证方法、装置及系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11074364B2 (en) * 2018-12-20 2021-07-27 Microsoft Technology Licensing, Llc Confidential data security

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110912700A (zh) * 2019-11-13 2020-03-24 上汽大通汽车有限公司 基于jwt的分布式系统安全认证方法
CN111865920A (zh) * 2020-06-18 2020-10-30 多加网络科技(北京)有限公司 一种网关认证和身份鉴权的平台及其方法
CN111935078A (zh) * 2020-06-23 2020-11-13 深圳奥联信息安全技术有限公司 一种基于句柄的开放认证方法、装置及系统

Also Published As

Publication number Publication date
CN112417511A (zh) 2021-02-26

Similar Documents

Publication Publication Date Title
CN112417511B (zh) 基于Handle标识解析数据权限控制的方法
US11805131B2 (en) Methods and systems for virtual file storage and encryption
CN111488598B (zh) 访问控制方法、装置、计算机设备和存储介质
CN111783075B (zh) 基于密钥的权限管理方法、装置、介质及电子设备
US7305562B1 (en) System, method and computer program product for an authentication management infrastructure
US20030005333A1 (en) System and method for access control
CN105074713A (zh) 用于当连接至网络时识别安全应用程序的系统和方法
CN112511599B (zh) 一种基于区块链的人防数据共享系统及方法
US8977857B1 (en) System and method for granting access to protected information on a remote server
JP2013050992A (ja) バイオメトリックデバイスを用いて企業リソースへのアクセスを可能にするシステム、方法およびコンピュータプログラム製品
JP2006500657A (ja) セキュリティポリシーの維持及び配信をサポートするためのサーバー、コンピュータメモリ、及び方法
CN105516059B (zh) 一种资源访问控制方法和装置
Oh et al. Development of IoT security component for interoperability
US20220131868A1 (en) Indirect Service-To-Service Role Mapping Systems and Methods
CN109829271B (zh) 鉴权方法及相关产品
CN111274569A (zh) 统一登录认证的研发运维集成系统及其登录认证方法
Zhonghua et al. Smart contracts attribute-based access control model for security & privacy of IoT system using blockchain and edge computing
CN111614687A (zh) 一种身份验证方法、系统及相关装置
WO2001065375A1 (en) System, method and computer program product for an authentication management infrastructure
CN110968881A (zh) 一种基于人工智能的系统认证及数据加密方法
CN113127841B (zh) 远程管理软件用户的方法、装置、设备及存储介质
CN115514523A (zh) 一种基于零信任体系的数据安全访问系统、方法、装置及介质
Deshmukh et al. Secure fine-grained data access control over multiple cloud server based healthcare applications
JP6965885B2 (ja) 情報処理装置、情報処理方法、及び、プログラム
Ozha Kerberos: An Authentication Protocol

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant