CN115484031A - 基于sgx的无可信第三方云存储密文去重方法及系统 - Google Patents

基于sgx的无可信第三方云存储密文去重方法及系统 Download PDF

Info

Publication number
CN115484031A
CN115484031A CN202211108177.4A CN202211108177A CN115484031A CN 115484031 A CN115484031 A CN 115484031A CN 202211108177 A CN202211108177 A CN 202211108177A CN 115484031 A CN115484031 A CN 115484031A
Authority
CN
China
Prior art keywords
data
cloud storage
key
integrity
encryption key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202211108177.4A
Other languages
English (en)
Other versions
CN115484031B (zh
Inventor
胡程瑜
郭山清
唐朋
李利民
杨书飞
刘永志
秦桂云
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shandong University
Original Assignee
Shandong University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shandong University filed Critical Shandong University
Priority to CN202211108177.4A priority Critical patent/CN115484031B/zh
Publication of CN115484031A publication Critical patent/CN115484031A/zh
Application granted granted Critical
Publication of CN115484031B publication Critical patent/CN115484031B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本公开提供了基于SGX的无可信第三方云存储密文去重方法及系统，云数据密文去重技术领域，获取数据的短哈希值，利用短哈希值进行匹配，判断数据是否可能已经存在云存储中；利用外包数据完整性远程审计方案生成数据完整性认证集合，上传数据密文、经过主密钥加密的数据加密密钥和完整性认证集合，并利用SGX的密封机制密封数据加密密钥和数据完整性验证密钥，实现数据首次上传过程；基于数据完整性校验，利用与SGX提供的Enclave建立的可信通道来获取数据加密密钥并使用自己的主密钥加密数据加密密钥，上传给云服务器进行存储或执行数据首次上传过程。不同的数据采用不同的数据加密密钥，同时基于使用主密钥加密数据加密密钥的方法，具有较高的安全性和实用性。

Description

基于SGX的无可信第三方云存储密文去重方法及系统
技术领域
本公开涉及云数据密文去重技术领域，具体涉及基于SGX的无可信第三方云存储密文去重方法及系统。
背景技术
本部分的陈述仅仅是提供了与本公开相关的背景技术信息，不必然构成在先技术。
大规模云存储系统往往面临两个需求：一方面系统需要通过数据去重技术节省存储空间；另一方面，为了数据的安全存储，用户希望将自己的数据加密。但是去重和数据加密的目标是相互矛盾的。由于不同的用户随机选取的密钥不同，相同的明文数据被加密成不同的密文，这使得云存储服务器无法判断经过传统满足语义安全的加密算法加密的两个密文数据是否是由相同的明文数据加密得到的，因此传统的明文去重方法无法应用于云中密文数据。发明人发现现有技术中存在以下技术问题：
(1)由于通过数据明文获取数据加密密钥，现有的基于收敛加密或消息锁定加密的密文去重方法与系统无法满足语义安全，容易受到离线暴力攻击。
(2)已有的满足语义安全的密文去重方法与系统大多需要一个可信第三方负责分发数据加密密钥，但可信第三方在现实应用中难以部署，且易成为系统瓶颈。
(3)已有的无需可信第三方的满足语义安全的密文去重方法与系统大多通过会话密钥交换协议来获取数据上传者的数据加密密钥，这要求拥有数据所有权的部分其他用户在线；或者通过多个密钥管理服务器，借助秘密共享机制管理数据的加密密钥；或者需要限定一个用户群，系统的实用性较差。
发明内容
本公开为了解决上述问题，提出了基于SGX的无可信第三方云存储密文去重方法及系统，其利用IntelSGX提供的可信容器Enclave与上传数据的用户执行数据完整性证明协议，根据完整性验证结果将原始数据加密密钥发送给后续上传用户，无需可信第三方，支持客户端利用语义安全加密算法加密数据，为了避免密钥分发可能带来的安全性问题，对于不同的数据采用不同的数据加密密钥，为了避免客户端用户管理众多的数据加密密钥，对每一个客户端用户分配一个主密钥，可以提供更强的安全性和实用性。
根据一些实施例，本公开采用如下技术方案：
基于SGX的无可信第三方云存储密文去重方法，包括：
获取数据的短哈希值，利用所述短哈希值进行匹配，判断数据是否可能已经存在云存储中；
利用外包数据完整性远程审计方案生成数据完整性认证集合，上传数据密文、使用上传者的主密钥加密的数据加密密钥密文和完整性认证集合，并利用SGX的密封机制密封数据加密密钥和数据完整性验证密钥，实现数据首次上传过程；
基于数据完整性校验，利用与SGX提供的Enclave建立的可信通道来获取数据加密密钥或执行数据首次上传过程。
进一步的，若所述短哈希值不匹配，即数据肯定不存在云存储中，则生成上传数据明文的完整性认证集合，将密文数据、用数据首次上传者的主密钥加密之后的数据加密密钥以及数据的完整性认证集合上传至云存储服务器，并将数据加密密钥和完整性验证密钥通过服务器上的SGX进行数据密封，完成数据首次上传过程。
进一步的，若所述短哈希值匹配，即数据可能已存在云存储中，则服务器向后续上传者发起挑战，后续上传者通过挑战生成数据完整性证明，并利用服务器上的SGX提供的Enclave校验数据完整性。
其中，若数据完整性校验通过，即说明待传数据确实存在云存储中，则Enclave获取服务器上密封的数据加密密钥进行解密封，并将解密封之后的密钥通过可信通道发给数据后续上传者，使用数据后续上传者的主密钥加密数据加密密钥，将其上传给云服务器存储；若数据完整性校验未通过，即说明待传数据并未存在云存储中，则执行数据首次上传过程。
进一步的，使用任意的安全的外包数据完整性远程审计方案Audit的密钥生成算法来生成用于完整性校验的密钥。
进一步的，使用任意的满足语义安全的对称加密算法。
进一步的，完整性验证协议包含完整性证明生成和完整性校验。
根据另一些实施例，本公开采用如下技术方案：
基于SGX的无可信第三方云存储密文去重系统，包括数据上传者和云存储服务器；
所述数据上传者，用于将获取的短哈希值发送给所述云存储服务器，所述云存储服务器利用所述短哈希值进行匹配，判断数据是否可能已经存在云存储中；
所述数据上传者包括数据首次上传者和数据后续上传者，所述数据首次上传者利用外包数据完整性远程审计方案生成数据完整性认证集合，上传数据密文、使用自己的主密钥加密的数据加密密钥密文和完整性认证集合，并利用SGX的密封机制密封数据加密密钥和数据完整性验证密钥，实现数据首次上传过程；
所述数据后续上传者用于基于数据完整性校验，利用与SGX提供的Enclave建立的可信通道来获取数据加密密钥并使用自己的主密钥加密数据加密密钥，上传至云服务器进行存储或执行数据首次上传过程。
进一步的，在所述云存储服务器中，若所述短哈希值不匹配，即数据肯定不存在云存储中，则数据首次上传者生成上传数据明文的完整性认证集合，将密文数据、用数据首次上传者的主密钥加密之后的数据加密密钥以及数据的完整性认证集合上传给云存储服务器，并将数据加密密钥和完整性验证密钥通过服务器上的SGX进行数据密封，完成数据首次上传过程。
进一步的，若所述短哈希值匹配，即数据可能已存在云存储中，则服务器向后续上传者发起挑战，后续上传者通过挑战生成数据完整性证明，并利用服务器上的SGX提供的Enclave校验数据完整性，若数据完整性校验通过，即说明待传数据确实存在云存储中，则Enclave获取服务器上密封的数据加密密钥进行解密封，并将解密封之后的密钥通过可信通道发给数据后续上传者，后续上传者使用自己的主密钥加密数据加密密钥，将其上传给云服务器存储；若数据完整性校验未通过，即说明待传数据并未存在云存储中，则执行数据首次上传过程。
与现有技术相比，本公开的有益效果为：
本公开的方法支持客户端利用安全性更高的语义安全的加密算法对数据进行加密，可以避免敌手通过离线暴力攻击猜测数据明文，保证数据的机密性，具有更强的安全性。
本公开的方法不依赖可信第三方进行数据加密密钥的分发，也不要求其他之前上传过相同数据的用户在线与新的数据上传者执行会话密钥交换协议来安全地分发数据加密密钥，而是采用Intel SGX的远程认证机制和密封机制解决数据加密密钥的安全分发问题，具有更高的实用性。由于无需限定用户集，不需要可信中心为用户集合中的用户预先生成用于分发加密密钥的辅助信息，因此可以避免云存储服务器与其他用户合谋的问题。
本公开的方法支持客户端使用不同的数据加密密钥加密不同的数据，可以避免密钥分发带来的安全性问题。同时，每个客户端用户拥有一个主密钥，用来加密数据加密密钥，减轻了客户端用户管理众多数据加密密钥的负担，具有更强的安全性和实用性。
附图说明
构成本公开的一部分的说明书附图用来提供对本公开的进一步理解，本公开的示意性实施例及其说明用于解释本公开，并不构成对本公开的不当限定。
图1是本公开实施例的基于SGX的满足语义安全的无可信第三方云存储密文去重方法流程图；
图2是本公开实施例的短哈希值和数据密文以及相应的标签值等数据的索引；
图3是本公开实施例的验证与解密封功能示意图；
图4是本公开实施例的云服务器生成挑战功能示意图；
图5是本公开实施例的基于SGX的满足语义安全的无可信第三方云存储密文去重系统结构示意图。
具体实施方式：
下面结合附图与实施例对本公开作进一步说明。
应该指出，以下详细说明都是例示性的，旨在对本公开提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本公开所属技术领域的普通技术人员通常理解的相同含义。
需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本公开的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。
实施例1
本公开的一种实施例中提供了一种基于Intel SGX的无可信第三方云存储密文去重方法，如图1所示，具体包括以下步骤：
获取数据的短哈希值，利用所述短哈希值进行匹配，判断数据是否可能已经存在云存储中；
利用外包数据完整性远程审计方案生成数据完整性认证集合，上传数据密文、数据加密密钥密文和完整性认证集合，并利用SGX的密封机制密封数据加密密钥和数据完整性验证密钥，实现数据首次上传过程；
基于数据完整性校验，利用与SGX提供的Enclave建立的可信通道来获取数据加密密钥或执行数据首次上传过程。
具体的，获取数据的短哈希值，数据上传者将数据的短哈希值发送给云存储服务器，云存储服务器在已有数据短哈希值表中搜索该短哈希值，若能匹配到该短哈希值，则说明数据可能已经存在云存储中，否则说明数据尚未存储在云存储中。
若所述短哈希值不匹配，即数据肯定不存在云存储中，则生成上传数据明文的完整性认证集合，将密文数据、用数据首次上传者的主密钥加密之后的数据加密密钥以及数据的完整性认证集合进行上传至云存储服务器，并将数据加密密钥和完整性验证密钥通过服务器上的SGX进行数据密封，完成数据首次上传过程。
若所述短哈希值匹配，即数据可能已存在云存储中，则服务器向后续上传者发起挑战，后续上传者通过挑战生成数据完整性证明，并利用服务器上的SGX提供的Enclave校验数据完整性。若数据完整性校验通过，即说明待传数据确实存在云存储中，则Enclave获取服务器上密封的数据加密密钥进行解密封，并将解密封之后的密钥通过可信通道发给数据后续上传者，后续上传者使用自己的主密钥加密数据加密密钥，将其上传给云服务器存储；若数据完整性校验未通过，即说明待传数据并未存在云存储中，则执行数据首次上传过程。
进一步的，数据首次上传者利用外包数据完整性远程审计方案Audit的密钥生成算法生成的密钥，使用外包数据完整性远程审计方案Audit的认证集合生成算法来生成待上传数据的完整性认证信息。
其中，所使用的外包数据完整性远程审计方案Audit包括如下算法：
密钥生成：用户生成用于完整性验证的密钥信息；
认证集合生成：对数据文件F分块并求取分块的哈希值，得到F＝{m1,……,mn}，生成数据F的认证集合Φ；
完整性验证协议，包含如下两个算法：
i)完整性证明生成：设数据F的认证集合为Φ,挑战Chal＝{{(si,vi)}i∈{1,..,c}，sigma},其中si∈{1，…，n},j＝1，…，c。则根据Chal以及数据F＝{m1,……,mn}生成数据F的完整性证明P；
ii)完整性校验：利用完整性验证密钥和挑战Chal对完整性证明P进行校验，如果校验通过则说明外包数据被云存储完整的保存，在去重中即说明上传者想要上传的数据与服务器上已经存在的某些数据一致；否则说明外包数据已被破坏，在去重中即说明上传者想要上传的数据与服务器上已经存在的数据不一致。
作为一种实施例，可以使用任意的安全的外包数据完整远程审计方案Audit的密钥生成算法来生成用于完整性校验的密钥；
作为一种实施例，可以使用任意的满足语义安全的对称加密算法。
Enclave的验证和解密封模块的功能如图3所示,输入挑战Chal、数据完整性证明P,首先验证数据完整性证明P，如果证明P验证通过，则从云服务器上获取密封的数据加密密钥进行解密封，利用与上传者建立的可信通道将数据加密密钥进行分发。
云服务器生成挑战如图4所示，选择1到n中的一个整数c，使用随机数生成算法生成挑战数据块索引{si}i＝1,…,c和数据块权重系数{v1,…,vc}，构造挑战Q＝{(si,vi)}i∈{1,…c}，根据Q从数据的完整性认证集合找到对应的认证Auth，根据认证集合和Q生成服务器端的挑战集合Chal＝{Q，sigma}，输出挑战集合Chal。
其中，生成挑战Chal的过程如下：
利用随机数生成算法生成数据块索引I＝{s1,…,sc}，即si＝random()％n+1,利用随机数生成算法生成数据块权重系数{v1,…,vc}，即，vi＝random()，利用认证Auth和Q生成挑战Chal＝{Q，sigma}。
数据的首次上传者选择加密密钥，利用满足语义安全的对称加密算法对待上传数据进行加密；
数据上传者首先利用短哈希值判断待上传数据是否已存在云存储服务器上，如果不存在，则上传者执行如下步骤：
步骤1.1：生成并上传数据的完整性认证集合；
步骤1.2：选择加密密钥K并对上传数据进行加密；
步骤1.3：将数据密文上传给云存储服务器；
步骤1.4：使用用户主密钥对加密密钥K进行加密；
步骤1.5：将密钥密文上传给云存储服务器；
步骤1.6：将加密密钥K，Audit方案中的完整性验证密钥通过SGX进行数据密封，存储在云服务器上；
步骤1.7：云存储服务器建立短哈希值和数据密文以及相应的拥有者/标签信息的索引，索引如图2所示，完成数据上传过程。
在一个或多个实施例中，数据上传者在完成上传步骤后，删除本地存储的外包数据文件。
如果该短哈希值存在，则数据可能已经被其他用户上传过，云存储服务器按照索引找到该短哈希值对应的文件的标签信息，执行如下步骤：
步骤2.1：上传者建立与云服务器上的Enclave的可信通道，对该短哈希值对应的所有文件执行如下操作；
步骤2.2：云服务器根据文件的标签信息生成挑战Chal，将Chal中的Q输出给上传者；
步骤2.3：上传者利用自己的文件数据和Q并使用Audit方案中的完整性证明生成算法生成数据的完整性证明P，将证明P作为输入通过可信通道发送给Enclave；
步骤2.4：Enclave利用完整性校验验证P能否通过挑战Chal，若校验通过，则说明上传者确实拥有该挑战对应的完整的数据文件，Enclave从云服务获取密封之后的数据加密密钥进行解密封，并将数据加密密钥通过可信通道发给上传者，完成上传过程，跳到步骤2.5；若完整性校验不通过，则说明上传者并不拥有该挑战对应的完整的数据文件，跳到步骤2.2，执行下一个文件的完整性验证；若对该短哈希值对应的所有文件，完整性校验均未通过，则说明上传者本次要上传的数据之前并未被其他用户上传，只是短哈希值与之前的某些数据文件相同，跳到步骤1.1，执行数据上传，不再执行步骤2.5。
步骤2.5：上传者利用自己的主密钥加密数据加密密钥，并将密钥密文上传给云服务器存储。数据的后续上传者无需真正上传数据。
实施例2
本公开的一种实施例中提供了一种基于Intel SGX的无可信第三方云存储密文去重系统，包括数据上传者和云存储服务器；
所述数据上传者，用于将获取的短哈希值发送给所述云存储服务器，所述云存储服务器利用所述短哈希值进行匹配，判断数据是否可能已经存在云存储中；
所述数据上传者包括数据首次上传者和数据后续上传者，所述数据首次者利用外包数据完整性远程审计方案生成数据完整性认证集合，上传数据密文，使用自己的主密钥加密的数据加密密钥密文和完整性认证集合，并利用SGX的密封机制密封加密密钥和数据完整性验证密钥，实现数据首次上传过程；
所述数据后续上传者用于基于数据完整性校验，利用与SGX提供的Enclave建立的可信通道来获取数据加密密钥并使用自己的主密钥加密数据加密密钥，上传给云服务器进行存储或执行数据首次上传过程。
在所述云存储服务器中，若所述短哈希值不匹配，即数据肯定不存在云存储中，则数据首次上传者生成上传数据明文的完整性认证集合，将密文数据、用数据首次上传者的主密钥加密之后的数据加密密钥以及数据的完整性认证集合上传给云存储服务器，并将数据加密密钥和完整性验证密钥通过服务器上的SGX进行数据密封，完成数据首次上传过程。
若所述短哈希值匹配，即数据可能已存在云存储中，则服务器向后续上传者发起挑战，后续上传者通过挑战生成数据完整性证明，并利用服务器上的SGX提供的Enclave校验数据完整性，若数据完整性校验通过，即说明待传数据确实存在云存储中，则Enclave获取服务器上密封的数据加密密钥进行解密封，并将解密封之后的密钥通过可信通道发给数据后续上传者，后续上传者使用自己的主密钥加密数据加密密钥，将其上传给云服务器存储；若数据完整性校验未通过，即说明待传数据并未存在云存储中，则执行数据首次上传过程。
作为一种实施例，本公开的一种基于Intel SGX的无可信第三方云存储密文去重系统具体执行实施例1中方法所述的任一步骤。
本公开是参照根据本公开实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
上述虽然结合附图对本公开的具体实施方式进行了描述，但并非对本公开保护范围的限制，所属领域技术人员应该明白，在本公开的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本公开的保护范围以内。

Claims (10)

1.基于SGX的无可信第三方云存储密文去重方法，其特征在于，包括：
获取数据的短哈希值，利用所述短哈希值进行匹配，判断数据是否可能已经存在云存储中；
利用外包数据完整性远程审计方案生成数据完整性认证集合，上传数据密文、使用上传者的主密钥加密数据加密密钥密文和完整性认证集合，并利用SGX的密封机制密封数据加密密钥和数据完整性验证密钥，实现数据首次上传过程；
基于数据完整性校验，利用与SGX提供的Enclave建立的可信通道来获取数据加密密钥并使用上传者的主密钥加密数据加密密钥，上传给云服务器进行存储或执行数据首次上传过程。
2.如权利要求1所述的基于SGX的无可信第三方云存储密文去重方法，其特征在于，若所述短哈希值不匹配，即数据肯定不存在云存储中，则生成上传数据明文的完整性认证集合，将密文数据用数据首次上传者的主密钥加密之后的数据加密密钥以及数据的完整性认证集合进行上传至云存储服务器，并将数据加密密钥和完整性验证密钥通过服务器上的SGX进行数据密封，完成数据首次上传过程。
3.如权利要求1所述的基于SGX的无可信第三方云存储密文去重方法，其特征在于，数据的上传者都有一个主密钥，并使用自己的主密钥加密数据加密密钥进行存储。
4.如权利要求1所述的基于SGX的无可信第三方云存储密文去重方法，其特征在于，若所述短哈希值匹配，即数据可能已存在云存储中，则服务器向后续上传者发起挑战，后续上传者通过挑战生成数据完整性证明，并利用服务器上的SGX提供的Enclave校验数据完整性。
5.如权利要求4所述的基于SGX的无可信第三方云存储密文去重方法，其特征在于，若数据完整性校验通过，即说明待传数据确实存在云存储中，则Enclave获取服务器上密封的数据加密密钥进行解密封，并将解密封之后的密钥通过可信通道发给数据后续上传者，使用数据后续上传者的主密钥加密数据加密密钥，将其上传给云服务器存储；若数据完整性校验未通过，即说明待传数据并未存在云存储中，则执行数据首次上传过程。
6.如权利要求1所述的基于SGX的无可信第三方云存储密文去重方法，其特征在于，可使用任意的完整性验证远程审计方案Audit，使用Audit的密钥生成算法生成用于完整性校验的密钥；完整性验证协议包含完整性证明生成和完整性校验。
7.如权利要求1所述的基于SGX的无可信第三方云存储密文去重方法，其特征在于，可使用任意的满足语义安全的对称加密算法。
8.基于SGX的无可信第三方云存储密文去重系统，其特征在于，包括数据上传者和云存储服务器；
所述数据上传者，用于将获取的短哈希值发送给所述云存储服务器，所述云存储服务器利用所述短哈希值进行匹配，判断数据是否可能已经存在云存储中；
所述数据上传者包括数据首次上传者和数据后续上传者，所述数据首次者利用外包数据完整性远程审计方案生成数据完整性认证集合，上传数据密文、使用上传者主密钥加密的数据加密密钥密文和完整性认证集合，并利用SGX的密封机制密封数据加密密钥和数据完整性验证密钥，实现数据首次上传过程；
所述数据后续上传者用于基于数据完整性校验，利用与SGX提供的Enclave建立的可信通道来获取数据加密密钥并使用上传者的主密钥加密数据加密密钥，上传给云服务器进行存储或执行数据首次上传过程。
9.如权利要求8所述的基于SGX的无可信第三方云存储密文去重系统，其特征在于，在所述云存储服务器中，若所述短哈希值不匹配，即数据肯定不存在云存储中，则数据首次上传者生成上传数据明文的完整性认证集合，将密文数据、用数据首次上传者的主密钥加密之后的数据加密密钥以及数据的完整性认证集合上传给云存储服务器，并将数据加密密钥和完整性验证密钥通过服务器上的SGX进行数据密封，完成数据首次上传过程。
10.如权利要求8所述的基于SGX的无可信第三方云存储密文去重系统，其特征在于，若所述短哈希值匹配，即数据可能已存在云存储中，则服务器向后续上传者发起挑战，后续上传者通过挑战生成数据完整性证明，并利用服务器上的SGX提供的Enclave校验数据完整性，若数据完整性校验通过，即说明待传数据确实存在云存储中，则Enclave获取服务器上密封的数据加密密钥进行解密封，并将解密封之后的密钥通过可信通道发给数据后续上传者，后续上传者使用自己的主密钥加密数据加密密钥，将其上传给云服务器存储；若数据完整性校验未通过，即说明待传数据并未存在云存储中，则执行数据首次上传过程。
CN202211108177.4A 2022-09-13 2022-09-13 基于sgx的无可信第三方云存储密文去重方法及系统 Active CN115484031B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211108177.4A CN115484031B (zh) 2022-09-13 2022-09-13 基于sgx的无可信第三方云存储密文去重方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211108177.4A CN115484031B (zh) 2022-09-13 2022-09-13 基于sgx的无可信第三方云存储密文去重方法及系统

Publications (2)

Publication Number Publication Date
CN115484031A true CN115484031A (zh) 2022-12-16
CN115484031B CN115484031B (zh) 2024-03-08

Family

ID=84424011

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211108177.4A Active CN115484031B (zh) 2022-09-13 2022-09-13 基于sgx的无可信第三方云存储密文去重方法及系统

Country Status (1)

Country Link
CN (1) CN115484031B (zh)

Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109101822A (zh) * 2018-07-10 2018-12-28 西安交通大学 一种解决多方计算中数据隐私泄露问题的方法
US20200153623A1 (en) * 2018-11-09 2020-05-14 Microsoft Technology Licensing, Llc Trusted key diversity on cloud edge devices
WO2020098377A1 (zh) * 2018-11-16 2020-05-22 阿里巴巴集团控股有限公司 可信应用程序的远程证明方法及装置、电子设备
US10715339B1 (en) * 2019-04-26 2020-07-14 Alibaba Group Holding Limited Distributed key management for trusted execution environments
CN111859467A (zh) * 2020-07-23 2020-10-30 中国工商银行股份有限公司 一种基于sgx的云数据完整性审计方法及装置
CN112532380A (zh) * 2020-11-12 2021-03-19 北京工业大学 一种基于sgx技术的云存储数据确定性删除方法
CN113037477A (zh) * 2021-03-08 2021-06-25 北京工业大学 一种基于Intel SGX的Kerberos安全增强方法
WO2021184962A1 (zh) * 2020-03-18 2021-09-23 支付宝(杭州)信息技术有限公司 生成共享合约密钥的方法及装置
CN113656818A (zh) * 2021-08-17 2021-11-16 山东大学 满足语义安全的无可信第三方云存储密文去重方法与系统
CN114006741A (zh) * 2021-10-27 2022-02-01 杭州弦冰科技有限公司 Intel SGX可信服务集群化安全部署的实现方法及系统
CN114518850A (zh) * 2022-02-23 2022-05-20 云链网科技(广东)有限公司 一种基于可信执行保护的先重删除后加密的安全重删除存储系统
CN115001744A (zh) * 2022-04-27 2022-09-02 中国科学院信息工程研究所 一种云平台数据完整性验证方法及系统

Patent Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109101822A (zh) * 2018-07-10 2018-12-28 西安交通大学 一种解决多方计算中数据隐私泄露问题的方法
US20200153623A1 (en) * 2018-11-09 2020-05-14 Microsoft Technology Licensing, Llc Trusted key diversity on cloud edge devices
WO2020098377A1 (zh) * 2018-11-16 2020-05-22 阿里巴巴集团控股有限公司 可信应用程序的远程证明方法及装置、电子设备
US10715339B1 (en) * 2019-04-26 2020-07-14 Alibaba Group Holding Limited Distributed key management for trusted execution environments
WO2021184962A1 (zh) * 2020-03-18 2021-09-23 支付宝(杭州)信息技术有限公司 生成共享合约密钥的方法及装置
CN111859467A (zh) * 2020-07-23 2020-10-30 中国工商银行股份有限公司 一种基于sgx的云数据完整性审计方法及装置
CN112532380A (zh) * 2020-11-12 2021-03-19 北京工业大学 一种基于sgx技术的云存储数据确定性删除方法
CN113037477A (zh) * 2021-03-08 2021-06-25 北京工业大学 一种基于Intel SGX的Kerberos安全增强方法
CN113656818A (zh) * 2021-08-17 2021-11-16 山东大学 满足语义安全的无可信第三方云存储密文去重方法与系统
CN114006741A (zh) * 2021-10-27 2022-02-01 杭州弦冰科技有限公司 Intel SGX可信服务集群化安全部署的实现方法及系统
CN114518850A (zh) * 2022-02-23 2022-05-20 云链网科技(广东)有限公司 一种基于可信执行保护的先重删除后加密的安全重删除存储系统
CN115001744A (zh) * 2022-04-27 2022-09-02 中国科学院信息工程研究所 一种云平台数据完整性验证方法及系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
庄锡钊;: "云环境下物联网数据安全去重技术研究", 卫星电视与宽带多媒体, no. 05, 5 March 2020 (2020-03-05) *
王冠;梁世豪;: "基于SGX的Hadoop KMS安全增强方案", 信息安全研究, no. 06, 5 June 2019 (2019-06-05) *

Also Published As

Publication number Publication date
CN115484031B (zh) 2024-03-08

Similar Documents

Publication Publication Date Title
CN111130757B (zh) 一种基于区块链的多云cp-abe访问控制方法
CN107800688B (zh) 一种基于收敛加密的云端数据去重和完整性审计方法
CN109309565B (zh) 一种安全认证的方法及装置
Kaaniche et al. A secure client side deduplication scheme in cloud storage environments
CN110677487B (zh) 一种支持隐私和完整性保护的外包数据去重云存储方法
CN106453612B (zh) 一种数据存储与共享系统
WO2022199290A1 (zh) 多方安全计算
WO2017145010A1 (en) Secure multiparty loss resistant storage and transfer of cryptographic keys for blockchain based systems in conjunction with a wallet management system
CN113162752B (zh) 基于混合同态加密的数据处理方法和装置
CN109543434B (zh) 区块链信息加密方法、解密方法、存储方法及装置
WO2013139079A1 (zh) 一种存储方法、系统和装置
CN108809633B (zh) 一种身份认证的方法、装置及系统
CN108768613A (zh) 一种基于多种加密算法的密文口令校验方法
US20190044922A1 (en) Symmetric key identity systems and methods
CN109976948A (zh) 一种私密信息备份方法及恢复方法和系统
CN104767766A (zh) 一种Web Service接口验证方法、Web Service服务器、客户端
Pardeshi et al. Improving data integrity for data storage security in cloud computing
CN110581829A (zh) 通信方法及装置
GB2488753A (en) Encrypted communication
Suryawanshi et al. Improving data storage security in cloud environment using public auditing and threshold cryptography scheme
Hussien et al. Scheme for ensuring data security on cloud data storage in a semi-trusted third party auditor
CN113656818B (zh) 满足语义安全的无可信第三方云存储密文去重方法与系统
CN110851804A (zh) 一种基于电子合同的联盟链身份认证方式
Dang Recommendation for existing application-specific key derivation functions
CN115484031B (zh) 基于sgx的无可信第三方云存储密文去重方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant