CN202455386U - 一种用于云存储的安全系统 - Google Patents

Abstract

本实用新型涉及一种用于云存储的安全系统，包括认证服务器、应用接口API、云盾服务器、云盾辅助模块和云盾终端，其中认证服务器用于即经配置的CA服务器，负责数字证书的颁发，验证工作；应用接口API：应用编程接口，提供给其他云存储应用系统接入本系统的接口；云盾服务器包括了除CA认证之外的其他认证系统；云盾辅助模块用以配合云盾终端和云盾服务器工作；云盾终端以硬件形式向用户提供，用于确认用户的合法身份。本实用新型有益的效果是：解决了云存储系统中用户对数据安全、数据主权、数据隐私的疑虑和安全诉求。通过”PKI认证”+“生物特征识别认证”+“其他认证方式”的模式，将身份认证的依据转化为数据主权人的生物特征。

Description

一种用于云存储的安全系统

技术领域

本实用新型涉及信息安全技术和云计算安全领域，尤其是一种用于云存储的安全系统。

背景技术

继个人计算机变革、互联网变革之后，云计算被看作第三次IT浪潮，是中国战略性新兴产业的重要组成部分。它将带来生活、生产方式和商业模式的根本性改变，成为当前全社会关注的热点。

云存储是在云计算概念上延伸出来的一个新概念，它是指通过集群应用、网格技术或分布式文件系统等功能，将网络中大量各种不同类型的存储设备通过应用软件集合起来协同工作，共同对外提供数据存储和业务访问功能的一个系统。

云存储承诺将满足未来出现的大量的存储需求，而且要以非常好的性价比实现这个目的。那么从根本上来说，云存储技术是一种实用型服务，它可以为众多用户提供一个通过网络访问的共享存储池。存储云是可以调整的，它们可以很轻松地扩展或根据客户需求定制。云存储对使用者来讲，不是指某一个具体的设备，而是指一个由许许多多个存储设备和服务器所构成的集合体。使用者使用云存储，并不是使用某一个存储设备，而是使用整个云存储系统带来的一种数据访问服务。所以严格来讲，云存储不是存储，而是一种服务。

云存储作为一种在线存储服务，数据处于其他人控制的服务器上，因此数据安全变得至关重要，调查数据显示，无论是政府、企业还是个人，都把数据安全、隐私保护、数据主权等作为核心关注。可以说，未来云存储的普及关键就在于安全。

目前针对云存储安全技术，大多延续大型服务器的安全技术，用以保证服务器的可靠性，例如防火墙、服务器加密机等，但因为在存储云中你的数据会与别人的数据位于同一个磁盘，所以加密的做法很重要。而服务器、密匙、加密算法都为服务商掌握，用户的数据主权受运营商限制，用户存在对数据安全的担心，限制了云存储的发展，因此需要一套基于用户主权的数据安全的系统，并结合PKI体系对用户的身份认证和访问进行管理。

国内专利：201110088300.6公开了一种基于云计算加密存储服务的控制系统，该专利利用植入加密处理芯片的存储卡，基于该存储卡移动终端实现交互数据均为加密数据，密匙由用户控制，有效解决了移动终端个人数据的加密问题，一定程度上保证书了个人数据安全，但由于该方案基于数据存储在加密存储卡上，输入用户口令与密匙有被截取的风险。同时一旦存储卡遗失或被盗，如同时遗忘密匙，数据将无法还原。

国内专利：201110029138.0公开了一种云计算数据安全支持平台，该专利通过安全云客户端将数据加密后上传云存储系统，同时密匙通过对元信息提取获得，理论上完成了对个人数据的加密和保护，同时不用用户输入密匙防止了密匙的截取，但实际上，密匙的提取方法和加解密算法(未声明算法)仍然只有运营商掌握，无法从根本上保证用户的数据安全和隐私安全。

国内专利：201010564668.0公开了一种基于OTP的云存储数据存储方法、装置及系统。该专利通过OTP获取真随机密匙，对明文加密发送至云存储数据中心，完成对个人数据的保护。但专利中未解释密匙的存放问题，密匙存在被截取的风险，而且OTP算法和密匙生成算法均为运营商掌握，无法从根本上保证用户的数据安全和隐私安全。

现有技术的问题：1.数据主权问题：现有系统，所有安全机制，包括身份认证机制，数据加解密算法，各类密钥密匙，硬件数据保护机制，都为运营商或服务商所掌握。用户无法主动保护自己的数据安全，用户的数据主权诉求得不到满足。2.身份认证方式相对简单且单一，现有的云存储系统，一般采取密码口令认证，安全一点的采用OTP动态密令认证体系，这类认证方式安全级别低，而且很难保证密码容易被盗取或截获，也无法认证是本人操作，因此无法从根本上解决对存储数据的安全保护，无法应对未来用户对云计算云存储高安全的需求。

总结来说，仅靠现有的数据安全性、完整性保护方法无法满足云存储中用户对数据安全、数据主权、隐私保护的需求，迫切需要一种适用云存储环境的用户个人数据安全保护的系统，为云存储系统的用户提供可信赖的个人数据安全方案。

实用新型内容

本实用新型的目的正是要解决上述技术存在的不足，而提供一种用于云存储的安全系统。

针对现有云存储系统的安全缺陷，针对用户对数据主权、数据隐私性等方面的诉求。本套安全系统通过独有的云盾终端设备，使用但不限于PKI体系+生物特征识别认证的方式，利用私钥和生物特征的特性，保证所有操作为用户本人授权，其次加入数据在线加解密的功能，加解密算法，密匙等存放于云盾终端设备内，即使服务商也无法单方解密该数据，结合以上两点，从而解决了用户对数据安全、数据主权，隐私保护方面的疑虑和诉求。

本实用新型解决其技术问题采用的技术方案：这种用于云存储的安全系统，包括认证服务器、应用接口API、云盾服务器、云盾辅助模块和云盾终端，其中认证服务器用于即经配置的CA服务器，负责数字证书的颁发，验证工作；应用接口API：应用编程接口，提供给其他云存储应用系统接入本系统的接口；云盾服务器包括了除CA认证之外的其他认证系统；云盾辅助模块用以配合云盾终端和云盾服务器工作；云盾终端以硬件形式向用户提供，用于确认用户的合法身份。

所述的其他认证系统包括指纹认证服务器、OTP认证服务器和辅助口令认证服务器。

所述云盾终端的硬件包括PKI体系模块、辅助因子模块、加解密模块、保护模块。

本实用新型有益的效果是：本发明解决了云存储系统中用户对数据安全、数据主权、数据隐私的疑虑和安全诉求。通过”PKI认证”+“生物特征识别认证”+“其他认证方式”的模式，将身份认证的依据转化为数据主权人的生物特征，而非由云存储运营商所掌握。同时利用硬件流加密技术，对数据进行主动加密，脱离硬件后，其他机构(包括运营商)无法解密。从而从根本上解决用户在云存储使用中对数据安全的担心。

附图说明

图1为网络结构拓扑示意图；

图2为系统身份认证方式组成；

图3为身份认证系统示意图

图4为系统的主要功能框图；

图5为系统服务器部分示意图；

图6为中间件结构示意图；

图7为客户端程序部分示意图；

图8为认证原理示意图。

具体实施方式

下面结合附图和实施例对本实用新型作进一步说明：

如图1所示，这种用于云存储的安全系统，包括认证服务器、应用接口API、云盾服务器、云盾辅助模块和云盾终端，其中认证服务器提供严格的身份认证，保证上网用户根据业务系统的授权来访问系统资源，这里主要指CA认证中心；即经配置的CA服务器，负责数字证书的颁发，验证工作；应用接口API：应用编程接口，提供给其他云存储应用系统接入本系统的接口；云盾服务器包括了除CA认证之外的其他认证系统，例如指纹认证服务器、OTP认证服务器、辅助口令认证服务器等等；云盾辅助模块：根据应用环境不同，需要一套配套的辅助软件，用以配合云盾终端和云盾服务器工作；云盾终端以硬件形式向用户提供，用于确认用户的合法身份。

认证服务器具体说明：认证服务器计划采用现在流行的公钥认证体系，公钥认证体系是基于C A中心的认证体系，主要定义在工ITU-TX.509协议中。X.509是定义目录服务建议X.500系列的一部分，其核心是建立存放每个用户的公钥证书的目录(仓库)。用户公钥证书由可信赖的C A创建，并由C A或用户存放于目录中。认证服务器即经配置的CA服务器，负责数字证书的颁发，验证等工作。

应用接口API：便于应用服务器调用身份认证服务的及其他系统功能的接口函数，还有内部不同服务间的接口等。因为现有的CA中心已经拥有一套独立的体系，因此这里单独作为一个模块，未来可自己搭建，也可使用第三方提供的CA中心，提供系统安全性及公众认可度。

云盾服务器具体说明：要实现双因子认证，至少要提供两个认证要素，数字证书是一个，另一个我们计划采用云盾服务器来完成。云盾服务器拥有除CA之外的多种认证手段，例如静态密码、OTP、生物特征、usbkey、智能卡等等，支持这些需要相关的服务，就必须搭建云盾服务器，云盾服务器中包括生物特征认证服务器、OTP认证服务器，智能卡认证服务器等等，未来还将支持能多的身份认证方式。云盾服务器是与认证服务器协同工作的，只有两边身份认证都满足的前提下，才进行授权。CA服务器可选择自己创建或使用第三方，云盾服务器计划必须自主搭建，这样综合就可以形成多种商业模式

云盾辅助模块：提供一些在PC桌面或移动终端(手机)本地的一些辅助功能，以配合云盾终端和云盾服务器工作。

云盾终端：该设备拥有包括OTP、USBKEY、生物特征、智能卡、密码等认证手段，符合PKI体系，能够存储私钥或数字证书，内置各种需要的密码算法。硬件支持数据加密功能，支持高速加密数据文件，保证数据的完整性，安全性。云盾终端硬件包含四大模块，包括PKI体系模块、辅助因子模块、加解密模块、保护模块。其中，PKI是身份认证的基础，辅助因子模块是身份认证的辅助。

系统主要实现包括基于本人的身份认证和自主的数据加解密功能，系统身份认证方式组成，如图2所示。

身份认证系统示意图如图3所示。

步骤1：客户端向中间层发送认证信息

步骤2：中间层解析信息并向认证中心发送认证请求

步骤3：认证中心向中间层反馈认证结果

步骤4：中间层向客户端发送认证结果，并根据认证结果执行相应操作

主要功能框图如图4所示。

1.基于用户的云安全系统机制：身份认证的密钥、特征，均由用户自己保存或自身提供，且具有不可复制的特性。

2.生物识别身份认证：利用包括指纹识别在内的生物特征作为身份认证的依据，保证了本人认证，从而提高了数据安全与数据主权。

3.权利分配系统：利用PKI技术、生物特征认证、OTP密令认证、智能卡认证、usbkey认证等多因子认证方式，通过不同的认证组合和认证级别，体现不同等级的权利权限。

4.数据流加密：系统采用的云盾终端设备可独立对数据进行加解密操作，包括私钥、加解密算法，加解密机制在内的信息都存于终端内，数据加密采用硬件加密，高安全，防截取。脱离终端设备文件无法解密，保证数据主权安全。

服务器部分的示意图如图5所示。

1.架设配置CA服务器，

2.云盾服务器：主要完成一些辅助因子认证的处理工作，例如指纹认证、OTP认证、智能卡认证等的处理工作。指纹处理中心，即指纹认证服务器是本系统的重点，以通过人体本身的特征特性，保证本人。

3.数据库服务器，主要是整个系统数据的存放，包括用户信息，权限列表，数字证书、指纹的关联索引等等。

3.1.1.6中间件部分，如图6所示

主要目的是，实现认证的跨平台处理，中间件独立存在，接收应用端发来的信息，并向认证端认证信息，数据全程采用一定的加密机制，主要模块组成由上图所示。

面向认证端，能够根据应用端发来的信息，自动判断认证逻辑，协调CA服务器与云盾服务器的任务。

面向应用端，为各种平台应用提供接口，根据应用平台不通，实现不同的业务逻辑。

认证中心管理模块：采取web形式，实现跨平台操作，并向其他系统提供一些管理接口。

认证逻辑处理控制：处理认证相关操作的系统逻辑。

功能逻辑处理控制：处理非认证相关的操作系统逻辑。

内部标准接口：对外设计的标准接口程序。

客户端程序部分示意图如图7所示：

提供一些在PC桌面或移动终端(手机)本地的一些辅助功能，以配合云盾终端和云盾服务器工作。

登陆控制模块：提供一些登陆认证方面的辅助工作

应用权限控制模块：可对一些硬件、软件及特殊文件进行认证权限保护的功能

数据安全模块：本地数据加解密及管理，推送的功能，数据自主加密，与云存储系统的协同。

日志模块：一些操作日志的记录和管理

认证原理如图8所示：

步骤1：用户请求认证/登陆

步骤2：应用服务器请求认证服务器对客户的身份的合法性和真实性进行认证；

步骤3：认证服务器向终端发起认证，用户终端弹出身份认证对话框或提示认证过程；

步骤4：用户根据提示，进行相关身份认证操作(例如：生物识别认证-输入指纹；

OTP认证-输入OTP密码；USBKEY-插入KEY+输入密码等)

步骤5：用户终端将认证信息通过网络传输给认证服务器；

步骤6：认证服务器调用客户信息，结合云盾服务器进行生物特征/OTP/密码等认证因素比对，判别客户身份的合法性和真实性；

步骤7：认证服务器将认证结果报告给应用服务器；

步骤8：应用服务器根据客户身份的合法性和真实性反馈给客户终端，并决定可以提供服务或拒绝服务。

数据安全功能：

主要包括数据加解密功能、数据加密推送、文件粉碎功能、密钥保护及恢复。

数据流加解密功能：

通过云盾终端设备，对数据经行硬件加解密功能，终端通过内部保存的私钥，利用内置的加解密算法，例如AES、DES/3DES等，对数据流经行加解密，并且使用算法和加密程度要求可选，支持常规国际标准算法和国密算法。支持全加密，部分加密，索引加密等功能。支持一些权限的设置，例如删除文件时，需要授权，或者进入该模块时需要重新认证，离开时及时注销等等细节。

数据加密推送功能：

将数据加密后，可通过事先约定的协议接口，推送至相应的云存储服务器。

文件粉碎功能：

将文件彻底删除的工具，而不是将数据仅仅去除索引，使用某些工具后仍能复原。

密钥保护及恢复功能：

云盾需保证加密密钥的安全；系统需保证在云盾遗失情况下能够通过一定人工认证的方式恢复密钥。

本实用新型：1.在云存储，甚至未来其他云计算应用中，充分体现了用户主权，用户数据安全、数据隐私、数据主权等权利得到明显提升。2.使用的多级的安全保护机制，包括数据本身的保护，用户可自主进行加解密，而非运营商的被动加密；使用了国际上最安全，使用最广的PKI认证体系进行认证，相比简单的口令式认证方式安全性大大提高；同时加入了基于本人指纹的生物特征身份认证，保证了本人，在安全性进一步大大提升的同时，很好的体现了用户主权。

术语解释：

云存储：是在云计算(cloud computing)概念上延伸和发展出来的一个新的概念，是指通过集群应用、网格技术或分布式文件系统等功能，将网络中大量各种不同类型的存储设备通过应用软件集合起来协同工作，共同对外提供数据存储和业务访问功能的一个系统。云计算：是一种基于互联网的计算方式，通过这种方式，共享的软硬件资源和信息可以按需提供给计算机和其他设备。整个运行方式很像电网。

数据安全：这里指的是数据本身的安全，主要是指采用现代密码算法对数据进行主动保护，如数据保密、数据完整性、双向强身份认证等。

PKI(Public Key Infrastructure)：即″公钥基础设施″，是一种遵循既定标准的密钥管理平台，它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系，简单来说，PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心，也是电子商务的关键和基础技术。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。

多因子认证：本方案中的多因子认证是指“数字证书认证”+“其他身份认证方式(包括以指纹为例的生物特征识别认证、OTP密令认证等)”。数字证书被存储在终端设备中。数字证书由可信任的CA中心发放，终端设备由可信任的安全管理机构发放。发放设备的同时将数字证书下载到终端设备中，并且采集用户生物特征及其他信息。

OTP：全称叫One-time Password，也称动态口令，是根据专门的算法每隔60秒生成一个与时间相关的、不可预测的随机数字组合，每个口令只能使用一次。

生物认证：又称生物识别，是通过计算机利用人体所固有的生理特征或行为特征来进行个人身份鉴定。常用的生物特征包括脸像、虹膜、指纹、掌纹、声音、笔迹等，许多国家将其作为重大基础战略技术加以研究。美国通过立法明确要求在国家安全领域采用这一技术。国际民用航空组织日前也要求其所属188个成员国和地区从2004年底开始将生物特征加入个人护照中，以确认身份。

除上述实施例外，本实用新型还可以有其他实施方式。凡采用等同替换或等效变换形成的技术方案，均落在本实用新型要求的保护范围。

Claims (3)

1.一种用于云存储的安全系统，其特征在于：包括认证服务器、应用接口API、云盾服务器、云盾辅助模块和云盾终端，其中认证服务器即经配置的CA服务器，负责数字证书的颁发，验证工作；应用接口API：应用编程接口，提供给其他云存储应用系统接入本系统的接口；云盾服务器包括了除CA认证之外的其他认证系统；云盾辅助模块用以配合云盾终端和云盾服务器工作；云盾终端以硬件形式向用户提供，用于确认用户的合法身份。

2.根据权利要求1所述的用于云存储的安全系统，其特征在于：所述的其他认证系统包括指纹认证服务器、OTP认证服务器和辅助口令认证服务器。

3.根据权利要求1所述的用于云存储的安全系统，其特征在于：所述云盾终端的硬件包括PKI体系模块、辅助因子模块、加解密模块、保护模块。

Images