CN113438254A - 一种云环境上密文数据的分布式分类方法及系统 - Google Patents

Abstract

本发明涉及数据加密传输及分类技术领域，具体涉及一种云环境上密文数据的分布式分类方法及系统：数据拥有者将本地数据D的数据本身进行加密，得到[D]，并上传云服务器；用户向数据拥有者发送数据分类请求，数据拥有者认证用户身份信息后，向用户发送数据分类授权许可；用户收到授权后，对待分类数据d加密处理为[d]，然后将[d]发送给云服务器；云服务器协同外包计算服务器对加密的待分类数据[d]和数据拥有者上传的数据[D]进行分布式分类计算，得到加密的待分类数据[d]的分类结果；云服务器将加密的待分类数据[d]的分类结果发送给用户，用户对结果进行解密。本发明能够在数据加密的基础上，对数据进行分类，提高了安全性。

Description

一种云环境上密文数据的分布式分类方法及系统

技术领域

本发明涉及数据加密传输及分类技术领域，具体涉及一种云环境上密文数据的分布式分类方法及系统。

背景技术

现阶段，越来越多的用户和企业选择将自己的数据存储及业务计算外包到云服务器中，并由其代为存储和计算，以节省数据存储开销和系统维护开支。然而，尽管云存储的效率大大提高，由于云服务提供商引起的安全隐患，安全事故经常发生。因此，人们往往选择对存储在云端的数据进行加密处理。然而，加密后的数据失去了其原有的特性，当人们想对数据进行分类时，往往会很困难。因此，如何在保证数据隐私的前提下，对密文数据进行有效的分类计算，则需要技术手段得以实现。

专利CN110190946A公开了一种基于同态加密的隐私保护多机构数据分类方法，首先，使用者生成训练数据的筛选条件发送给计算中心；计算中心利用同态加密算法生成加密参数发送给各家数据提供机构；各家数据提供机构对标注有分类标签的本地数据进行筛选，得到训练数据，根据加密参数利用同态加密算法生成各自的公钥和私钥，通过公钥加密训练数据发送给计算中心；计算中心与各家数据提供机构共同执行同态加密下的逻辑回归分析，得到数据分类模型发送给使用者；使用者将待分类数据输入数据分类模型得到分类结果。本发明在实际应用中具有更高的安全性，既有效保护了个人隐私，又避免了数据提供机构可能产生的利益损失，在很大程度上促进了多机构数据分析的开展。但是其仍存在如下问题：

1、没有考虑到对存储在云环境中的密文数据进行分类。专利CN110190946A是一个多方机构利用中心节点计算中心进行一个安全多方的数据分类方案，数据实际上还停留在本地，并没有上传至云环境，使得待测试的数据样本有限，对实际应用有所制约；

2、专利CN110190946A进行密文数据分类时，利用了中间方实体“计算中心”，却并未对其与各实体间进行消息认证，缺乏可信性，导致数据的隐私可能被泄露；

3、专利CN110190946A在进行数据分类计算时，在实体内部直接进行计算，由于实体本身计算能力有限，面对大量的密文计算存在效率不高的问题，缺乏实用性。

发明内容

为了解决上述技术问题，本发明提供了一种云环境上密文数据的分布式分类方法及系统，在保护了数据的安全性的同时，对用户数据进行了有效分类。

本发明是这样实现的，提供一种云环境上密文数据的分布式分类方法，包括如下步骤：

1）数据拥有者将本地数据D的数据本身进行加密，得到[D]，并上传到云服务器；

2）用户向数据拥有者发送数据分类请求，数据拥有者认证用户身份信息后，向用户发送数据分类授权许可；

3）用户收到数据分类授权许可后，对用户自己的待分类数据d加密处理为[d]，然后将加密的待分类数据[d]发送给云服务器；

4）云服务器接收到加密的待分类数据[d]后，协同外包计算服务器对加密的待分类数据[d]和步骤1）中数据拥有者上传的对本地数据D的数据本身加密后的数据[D]进行分布式分类计算，得到加密的待分类数据[d]的分类结果；

5）云服务器将加密的待分类数据[d]的分类结果发送给用户，用户对结果进行解密，得到待分类数据d的分类结果。

优选地，所述步骤1）中，数据拥有者首先要生成密钥，密钥包括：

数据拥有者的公钥pk _D 、数据拥有者的私钥sk _D 、用户的公钥pk _U 、用户的私钥sk _U 、数据拥有者和用户的联合公钥PK、数据拥有者和用户的对称密钥K，其中，PK=pk _D ·pk _U 。

进一步优选，所述步骤1）中，数据拥有者对数据本身进行加密的加密方法为同态加密方法，数据拥有者还对本地数据D的数据类别进行加密，对数据类别进行加密的方法为对称加密方法，具体为：

设本地数据D为数据集D={x⁽¹⁾,x⁽²⁾,…,x^(m)}，即数据共m条，每条数据x均为n维向量，数据拥有者对数据类别进行加密时，利用数据拥有者和用户的对称密钥K加密，得到[iD]；数据拥有者对数据本身加密时，对每一维数据利用数据拥有者的公钥pk _D 加密，得到加密后的数据[D]，将[iD]和 [D]上传至云服务器。

进一步优选，所述步骤2）中，用户在向数据拥有者发送数据分类请求时，首先用自己的私钥sk _U 和哈希函数H对个人身份信息ID、待分类数据d和时间戳TS生成签名Sig=Enc _skU (H(TS‖ID‖d))，并将Sig‖TS‖ID‖d发送给数据拥有者，数据拥有者在接收到信息后，验证ID和TS的有效性，验证完毕后，利用用户的公钥pk _U 验证签名。

进一步优选，所述步骤2）中，数据拥有者认证用户身份信息后，向用户发送数据拥有者的私钥sk _D ，用户对待分类数据d利用数据拥有者的公钥pk _D 加密，得到加密的待分类数据[d]，将加密的待分类数据[d]发送给云服务器。

进一步优选，所述步骤4）中，当云服务器接收到用户发来的加密的待分类数据[d]时，协同外包计算服务器，对加密的待分类数据[d]和对本地数据D的对数据本身加密后的数据[D]进行分类计算的步骤如下：

401）设对本地数据D的数据本身加密后的数据[D]中每一条数据的维度和加密的待分类数据[d]的维度均为2；

402）云服务器和外包计算服务器利用数据拥有者的公钥pk _D 、数据拥有者和用户的联合公钥PK计算一个安全乘法协议，即对[D]中的数据[D ₁ ]和[d]相乘再加密，得到[D ₁ ·d] _pkD 与[D ₁ ·d] _PK ，[D ₁ ·d] _PK = Enc([D ₁ ·d] _pkD ) _PK ；

403）云服务器和外包计算服务器利用数据拥有者的公钥pk _D 计算单密钥下的平方协议，得到 [（D ₁ -d）²] _pkD =[[D ₁ ]²-2[D ₁ ·d]+[d]²] _pkD ；

404）云服务器和外包计算服务器利用数据拥有者和用户的联合公钥PK进一步计算一个联合公钥下的平方协议，即得到[（D ₁ -d）²] _PK = Enc[[(D ₁ -d) ²] _pkD ] _PK ；

405）云服务器和外包计算服务器对加密的待分类数据[d]、对本地数据D的数据本身加密后的数据[D]中的数据[D ₁ ]和[D ₂ ]，利用步骤402）中的安全乘法协议、步骤403）中的单密钥下的平方协议、步骤404）中的联合公钥下的平方协议，首先得出[（D ₁ -d）²] _PK 与[（D ₂ - d）²] _PK ，接下来计算[M ₁ ] _PK =[（D ₁ -d）²] _PK ·[（D ₂ -d）²] _PK ，计算完成。

进一步优选，所述步骤5）包括如下步骤：

501）云服务器将计算结果[M ₁ ] _PK 发送给用户，用户利用数据拥有者的私钥sk _D 、用户的私钥sk _U 分别对[M ₁ ] _PK 进行解密，得到M ₁ ；

502）云服务器和外包计算服务器对加密的待分类数据[d]和对本地数据D的数据本身加密后的数据[D]中的每一条数据重复所述步骤402）-步骤405），得到每一个M _i ，从而得到M ₁ ,…, M _i 中最多的加密类别[id´]；

503）用户利用数据拥有者和用户的对称密钥K对[id´]进行解密，得到id´，即为待分类数据d的分类结果。

本发明还提供一种云环境上密文数据的分布式分类系统，包括：

本地数据加密单元，用于对数据拥有者本身的本地数据进行加密并上传；

用户信息发送请求单元，用于向数据拥有者发送用户的身份信息和数据分类请求；

身份认证单元，用于接收用户信息，对用户的身份进行认证，并将认证结果和分类授权反馈给用户；

待分类数据加密解密单元，用于对用户的待分类数据进行分类前的加密、上传和分类后的解密；

云服务器，用于对加密后的数据拥有者本身的本地数据和加密后的用户的待分类数据进行存储和计算，并将计算结果发送给用户；

外包计算服务器，用于辅助云服务器，对加密后的数据拥有者本身的本地数据和加密后的用户的待分类数据进行分类计算。

与现有技术相比，本发明的优点在于：

1、本发明提供的密文数据分类流程完全被保护：

数据拥有者首先将数据本身与数据类别分别用不同方式加密存储在云服务器中，保护了云中数据的隐私；当执行数据分类操作前，用户需要通过数据拥有者进行认证，保证了分类用户的可信性；当执行数据分类操作时，用户将数据加密并上传至云服务器，保护了待分类数据的隐私；当云服务器接收数据后，云服务器协同一个外包计算服务器共同进行密文计算，得出加密后的分类结果，既保证了结果的隐私性，同时保证了计算效率；最后云服务器将加密后的结果返回给用户，用户只需解密等轻量级计算即可得到分类结果。综上所述，该密文数据分类流程在保证了云中及待分类数据隐私的同时，在相对高效率的时间得出分类结果，具有可行性，可被完全保护；

2、采用高效的同态加密算法以及利用一个计算能力很强的外包计算服务器与云服务器进行分布式协同密文计算，保证了计算的效率，能够以低开销的对密文数据做出分类。

附图说明

下面结合附图及实施方式对本发明作进一步详细的说明：

图1为本发明提供的方法流程图；

图2为本发明提供的系统结构图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，下面结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用于解释本发明，并不用于限定本发明。

在本发明中，包括四个实体，数据拥有者、云服务器、用户和外包计算服务器，具体的，参考图1，一种云环境上密文数据的分布式分类方法，包括如下步骤：

1）数据拥有者将本地数据D的数据本身进行加密，得到[D]，并上传到云服务器；

优选地，数据拥有者在将本地数据D上传到云服务器后，首先要生成密钥，密钥包括：

数据拥有者的公钥pk _D 、数据拥有者的私钥sk _D 、用户的公钥pk _U 、用户的私钥sk _U 、数据拥有者和用户的联合公钥PK、数据拥有者和用户的对称密钥K，其中，PK=pk _D ·pk _U 。

优选地，密钥生成方法为Paillier算法。

优选地，数据拥有者对本地数据的加密还包括对数据类别进行加密，对数据本身进行加密的加密方法为同态加密方法，对数据类别进行加密的方法为对称加密方法，具体为：

设本地数据D为数据集D={x⁽¹⁾,x⁽²⁾,…,x^(m)}，即数据共m条，每条数据x均为n维向量，数据拥有者对数据类别进行加密时，利用数据拥有者和用户的对称密钥K加密，得到[iD]；数据拥有者对数据本身加密时，对每一维数据利用数据拥有者的公钥pk _D 加密，得到加密后的数据[D]，将[iD]和 [D]上传至云服务器。

在云服务器中，[iD]代表了不同的数据类别，即数据在云服务器中，根据[iD]首先进行分类存储，数据以数据类别：数据本身的形式存储在云服务器中。

2）用户向数据拥有者发送数据分类请求，数据拥有者认证用户身份信息后，向用户发送数据分类授权许可；

优选地，用户在向数据拥有者发送数据分类请求时，首先用自己的私钥sk _U 和哈希函数H对个人身份信息ID、待分类数据d和时间戳TS生成签名Sig=Enc _skU (H(TS‖ID‖d))，并将Sig‖TS‖ID‖d发送给数据拥有者，数据拥有者在接收到信息后，验证ID和TS的有效性，验证完毕后，利用用户的公钥pk _U 验证签名。

优选地，数据拥有者认证用户身份信息后，向用户发送数据拥有者的私钥sk _D ，用户对待分类数据d利用数据拥有者的公钥pk _D 加密，得到[d]，将[d]发送给云服务器。

3）用户收到数据分类授权许可后，对用户自己的待分类数据d加密处理为[d]，然后将加密的待分类数据[d]发送给云服务器；

4）云服务器接收到加密的待分类数据[d]后，协同外包计算服务器对加密的待分类数据[d]和数据拥有者上传的对本地数据D的数据本身加密后的数据[D]进行分布式分类计算，得到加密的待分类数据[d]的分类结果；

优选地，当云服务器接收到用户发来的加密的待分类数据[d]时，协同外包计算服务器，对加密的待分类数据[d]和对本地数据D的数据本身加密后的数据[D]进行分类计算的步骤如下：

401）设对本地数据D的数据本身加密后的数据[D]中每一条数据的维度和加密的待分类数据[d]的维度均为2；

402）云服务器和外包计算服务器利用数据拥有者的公钥pk _D 、数据拥有者和用户的联合公钥PK计算一个安全乘法协议，即对[D]中的数据[D ₁ ]和[d]相乘再加密，得到[D ₁ ·d] _pkD 与[D ₁ ·d] _PK ，[D ₁ ·d] _PK = Enc([D ₁ ·d] _pkD ) _PK ；

403）云服务器和外包计算服务器利用数据拥有者的公钥pk _D 计算单密钥下的平方协议，得到 [（D ₁ -d）²] _pkD =[[D ₁ ]²-2[D ₁ ·d]+[d]²] _pkD ；

404）云服务器和外包计算服务器利用数据拥有者和用户的联合公钥PK进一步计算一个联合公钥下的平方协议，即得到[（D ₁ -d）²] _PK = Enc[[(D ₁ -d) ²] _pkD ] _PK ；

405）云服务器和外包计算服务器对加密的待分类数据[d]、对本地数据D的数据本身加密后的数据[D]中的数据[D ₁ ]和[D ₂ ]，利用步骤402）中的安全乘法协议、步骤403）中的单密钥下的平方协议、步骤404）中的联合公钥下的平方协议，首先得出[（D ₁ -d）²] _PK 与[（D ₂ - d）²] _PK ，接下来计算[M ₁ ] _PK =[（D ₁ -d）²] _PK ·[（D ₂ -d）²] _PK ，计算完成。

5）云服务器将加密的待分类数据[d]的分类结果发送给用户，用户对结果进行解密，得到待分类数据d的分类结果。

优选地，步骤5）包括如下步骤：

501）云服务器将计算结果[M ₁ ] _PK 发送给用户，用户利用数据拥有者的私钥sk _D 、用户的私钥sk _U 分别对[M ₁ ] _PK 进行解密，得到M ₁ ；

502）云服务器和外包计算服务器对加密的待分类数据[d]和对本地数据D的数据本身加密后的数据[D]中的每一条数据重复所述步骤402）-步骤405），得到每一个M _i ，从而得到M ₁ ,…, M _i 中最多的加密类别[id´]；

503）用户利用数据拥有者和用户的对称密钥K对[id´]进行解密，得到id´，即为待分类数据d的分类结果。

参考图2，一种云环境上密文数据的分布式分类系统，包括：

本地数据加密单元，用于对数据拥有者本身的本地数据进行加密并上传；

用户信息发送请求单元，用于向数据拥有者发送用户的身份信息和数据分类请求；

身份认证单元，用于接收用户信息，对用户的身份进行认证，并将认证结果和分类授权反馈给用户；

待分类数据加密解密单元，用于对用户的待分类数据进行分类前的加密、上传和分类后的解密；

云服务器，用于对加密后的数据拥有者本身的本地数据和加密后的用户的待分类数据进行存储和计算，并将计算结果发送给用户；

外包计算服务器，用于辅助云服务器，对加密后的数据拥有者本身的本地数据和加密后的用户的待分类数据进行分类计算。

实施例、

涉及密文文本分类的问题：许多文本数据无法第一时间对它进行分类（可能由于概念比较模糊），为了能够对文本进行分类，需要将其与大数据文本做计算。然而许多文本不便于公开其明文数据，于是可以对待分类文本使用筛选出的高频词语作为特征项，选出的高频词个数代表这个文本的特征向量维数。例如选出N个词W1，W2，W3……WN，一篇文章中当存在W1这个词时，在W1所代表的维度下记下特征值（一般用tf-idf算法），不存在就记0。将这个向量与存储在云中的密文数据作本方案的计算，得到分类结果。

上面结合附图对本发明的实施方式做了详细说明，但是本发明并不限于上述实施方式，在本领域普通技术人员所具备的知识范围内，还可以在不脱离本发明宗旨的前提下作出各种变化。

Claims (8)

1.一种云环境上密文数据的分布式分类方法，其特征在于，包括如下步骤：

1）数据拥有者将本地数据D的数据本身进行加密，得到[D]，并上传到云服务器；

2）用户向数据拥有者发送数据分类请求，数据拥有者认证用户身份信息后，向用户发送数据分类授权许可；

3）用户收到数据分类授权许可后，对用户自己的待分类数据d加密处理为[d]，然后将加密的待分类数据[d]发送给云服务器；

4）云服务器接收到加密的待分类数据[d]后，协同外包计算服务器对加密的待分类数据[d]和步骤1）中数据拥有者上传的对本地数据D的数据本身加密后的数据[D]进行分布式分类计算，得到加密的待分类数据[d]的分类结果；

5）云服务器将加密的待分类数据[d]的分类结果发送给用户，用户对结果进行解密，得到待分类数据d的分类结果。

2.根据权利要求1所述的云环境上密文数据的分布式分类方法，其特征在于，所述步骤1）中，数据拥有者首先要生成密钥，密钥包括：

数据拥有者的公钥pk _D 、数据拥有者的私钥sk _D 、用户的公钥pk _U 、用户的私钥sk _U 、数据拥有者和用户的联合公钥PK、数据拥有者和用户的对称密钥K，其中，PK=pk _D ·pk _U 。

3.根据权利要求2所述的云环境上密文数据的分布式分类方法，其特征在于，所述步骤1）中，数据拥有者对数据本身进行加密的加密方法为同态加密方法，数据拥有者还对本地数据D的数据类别进行加密，对数据类别进行加密的方法为对称加密方法，具体为：

设本地数据D为数据集D={x⁽¹⁾,x⁽²⁾,…,x^(m)}，即数据共m条，每条数据x均为n维向量，数据拥有者对数据类别进行加密时，利用数据拥有者和用户的对称密钥K加密，得到[iD]；数据拥有者对数据本身加密时，对每一维数据利用数据拥有者的公钥pk _D 加密，得到加密后的数据[D]，将[iD]和 [D]上传至云服务器。

4.根据权利要求2所述的云环境上密文数据的分布式分类方法，其特征在于，所述步骤2）中，用户在向数据拥有者发送数据分类请求时，首先用自己的私钥sk _U 和哈希函数H对个人身份信息ID、待分类数据d和时间戳TS生成签名Sig=Enc _skU (H(TS‖ID‖d))，并将Sig‖TS‖ID‖d发送给数据拥有者，数据拥有者在接收到信息后，验证ID和TS的有效性，验证完毕后，利用用户的公钥pk _U 验证签名。

5.根据权利要求2所述的云环境上密文数据的分布式分类方法，其特征在于，所述步骤2）中，数据拥有者认证用户身份信息后，向用户发送数据拥有者的私钥sk _D ，用户对待分类数据d利用数据拥有者的公钥pk _D 加密，得到[d]，将[d]发送给云服务器。

6.根据权利要求2所述的云环境上密文数据的分布式分类方法，其特征在于，所述步骤4）中，当云服务器接收到用户发来的加密的待分类数据[d]时，协同外包计算服务器，对加密的待分类数据[d]和对本地数据D的数据本身加密后的数据[D]进行分类计算的步骤如下：

401）设对本地数据D的数据本身加密后的数据[D]中每一条数据的维度和加密的待分类数据[d]的维度均为2；

402）云服务器和外包计算服务器利用数据拥有者的公钥pk _D 、数据拥有者和用户的联合公钥PK计算一个安全乘法协议，即对[D]中的数据[D ₁ ]和[d]相乘再加密，得到[D ₁ ·d] _pkD 与[D ₁ ·d] _PK ，[D ₁ ·d] _PK = Enc([D ₁ ·d] _pkD ) _PK ；

403）云服务器和外包计算服务器利用数据拥有者的公钥pk _D 计算单密钥下的平方协议，得到 [（D ₁ -d）²] _pkD =[[D ₁ ]²-2[D ₁ ·d]+[d]²] _pkD ；

404）云服务器和外包计算服务器利用数据拥有者和用户的联合公钥PK进一步计算一个联合公钥下的平方协议，即得到[（D ₁ -d）²] _PK = Enc[[(D ₁ -d) ²] _pkD ] _PK ；

405）云服务器和外包计算服务器对加密的待分类数据[d]、对本地数据D的数据本身加密后的数据[D]中的数据[D ₁ ]和[D ₂ ]，利用步骤402）中的安全乘法协议、步骤403）中的单密钥下的平方协议、步骤404）中的联合公钥下的平方协议，首先得出[（D ₁ -d）²] _PK 与[（D ₂ -d）²] _PK ，接下来计算[M ₁ ] _PK =[（D ₁ -d）²] _PK ·[（D ₂ -d）²] _PK ，计算完成。

7.根据权利要求6所述的云环境上密文数据的分布式分类方法，其特征在于，所述步骤5）包括如下步骤：

501）云服务器将计算结果[M ₁ ] _PK 发送给用户，用户利用数据拥有者的私钥sk _D 、用户的私钥sk _U 分别对[M ₁ ] _PK 进行解密，得到M ₁ ；

502）云服务器和外包计算服务器对加密的待分类数据[d]和对本地数据D的数据本身加密后的数据[D]中的每一条数据重复所述步骤402）-步骤405），得到每一个M _i ，从而得到M ₁ ,…, M _i 中最多的加密类别[id´]；

503）用户利用数据拥有者和用户的对称密钥K对[id´]进行解密，得到id´，即为待分类数据d的分类结果。

8.一种云环境上密文数据的分布式分类系统，其特征在于，包括：

本地数据加密单元，用于对数据拥有者本身的本地数据进行加密并上传；

用户信息发送请求单元，用于向数据拥有者发送用户的身份信息和数据分类请求；

身份认证单元，用于接收用户信息，对用户的身份进行认证，并将认证结果和分类授权反馈给用户；

待分类数据加密解密单元，用于对用户的待分类数据进行分类前的加密、上传和分类后的解密；

云服务器，用于对加密后的数据拥有者本身的本地数据和加密后的用户的待分类数据进行存储和计算，并将计算结果发送给用户；

外包计算服务器，用于辅助云服务器，对加密后的数据拥有者本身的本地数据和加密后的用户的待分类数据进行分类计算。

Images