JP6416402B2

JP6416402B2 - クラウドストレージ方法及びシステム

Info

Publication number: JP6416402B2
Application number: JP2017535338A
Authority: JP
Inventors: 趙勇; 趙梅生; 武宏宇
Original assignee: クァンタムシーテックカンパニー，リミテッド
Priority date: 2015-05-05
Filing date: 2016-05-05
Publication date: 2018-10-31
Anticipated expiration: 2036-05-05
Also published as: CN106209739A; US20180351734A1; WO2016177332A1; JP2018500843A; EP3293934B1; EP3293934A4; CN106209739B; US10581599B2; EP3293934A1

Description

本出願は、２０１５年５月５日に、中国特許庁に出願された出願番号が２０１５１０２２５１１３．６であり、発明の名称が「クラウドストレージ方法及びシステム」である中国特許出願の優先権を主張するものであり、その全ての内容が本出願に引用される。

本発明は、クラウドストレージの技術分野に関し、特に、クラウドストレージ方法及びシステムに関する。

クラウドストレージは、データアクセスと管理を中心とするクラウド計算システムである。このシステムは次の二つの利点を有し、一つは、ユーザーがいつでも、どこでも、任意のネットワークが接続可能な装置を介してクラウドストレージに接続でき、非常に便利にデータのアクセス操作を可能にすることであり、もう一つは、ユーザーが地元へ投資してデータ中心あるいは専用リモートサイトを設立してデータをメンテナンスし管理する必要がなくなり、クラウドストレージを利用すれば、大量の低コストのストレージスペースを取得できることである。上記の二つの利点に基づいて、近年、クラウドストレージの技術が速く発展して、ますます多くのユーザーがクラウドストレージを使用することを選択している。

ユーザーは、クラウドストレージを利用する場合、一般的には、鍵によってデータを暗号化してから、クラウドサーバー側にアップロードする。ただし、ユーザーはユーザーファイルの暗号化の無条件のセキュリティを保証し難しくて、クラウドサーバー側と伝送路で同時にセキュリティリスクがある。従来技術では、悪意のある攻撃者が暗号化方式をクラックする難しさを増加するように、鍵を分割して処理する方法を多く採用することで、データセキュリティを高める。例えば、ユーザーは一つの暗号化デーのための鍵Ｋを、数学的アルゴリズムに基づいてＮ個の成分鍵に分割し、Ｎ個の成分鍵には一つのマスター成分鍵とＮ−１個の成分鍵とが含まれ、マスター成分鍵は他の各成分鍵の情報を持ち、そして、マスター成分鍵をクラウドストレージクライアントに送信して保存し、他の各成分鍵を異なるクラウドストレージサーバーにそれぞれ送信して保存し、ユーザーがオリジナル鍵Ｋでデータを復号化する必要がある場合、ユーザーは各クラウドストレージサーバーでの成分鍵を取得して、マスター成分鍵と結び合わせてオリジナル鍵Ｋを回復することができる。

しかしながら、上記の鍵を分割して処理する方法は、マスター成分鍵はクラウドストレージクライアントへ送信される時、成分鍵はクラウドストレージサーバーへ送信される時、悪意のある攻撃者に盗聴されやすくなり、そして、上記の方法は数学的アルゴリズムに基づくものとして、数学の進歩及びコンピュータ技術の飛躍的な発展に伴い、暗号化データのための鍵Ｋがクラックされやすくなり、最終には、クラウドストレージが重大なデータのセキュリティに直面することになる。

このような課題に鑑みて、本発明は、従来技術における鍵を分割して処理する方法において、マスター成分鍵はクラウドストレージクライアントへ送信される時、成分鍵はクラウドストレージサーバーへ送信される時、悪意のある攻撃者に盗聴されやすくなり、そして、上記の方法は数学的アルゴリズムに基づくものとして、数学の進歩及びコンピュータ技術の飛躍的な発展に伴い、暗号化データのための鍵Ｋがクラックされやすくなり、最終には、クラウドストレージが重大なデータのセキュリティに直面することになるという課題を解決できるクラウドストレージ方法及びシステムを提供する。

上記の目的を実現するために、本発明は次のような技術案を提供する。

クラウドストレージシステムの端末側であって、一つのクラウドストレージクライアントと、一つの鍵管理端末と、一つの量子鍵配送ＱＫＤシステムとを含む端末側に適用されるクラウドストレージ方法であって、前記ＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムは、量子ネットワークによって少なくとも一つの量子鍵を生成し、前記ＱＫＤシステムは、前記少なくとも一つの量子鍵を前記鍵管理端末に送信して保存し、前記クラウドストレージクライアントは、前記鍵管理端末から前記少なくとも一つの量子鍵を取得し、予め設定された暗号化アルゴリズムによって、前記少なくとも一つの量子鍵を処理して組み合わせ鍵を生成することを含む。

好ましくは、前記クラウドストレージクライアントは、前記鍵管理端末から前記少なくとも一つの量子鍵を取得し、予め設定された暗号化アルゴリズムによって、前記少なくとも一つの量子鍵を処理して組み合わせ鍵を生成した後、前記方法は、前記クラウドストレージクライアントは、前記組み合わせ鍵を利用して記憶待ちの平文データを暗号化して暗号文データを生成し、前記クラウドストレージクライアントは、前記暗号文データをクラウドサーバー側に送信して記憶し、前記端末側は、前記少なくとも一つの量子鍵及び前記組み合わせ鍵を削除することを、さらに含む。

好ましくは、前記方法は、前記クラウドストレージクライアントはクラウドサーバー側ヘ、前記暗号文データ及び前記少なくとも一つの量子鍵をダウンロードするように要求するためのダウンロード要求を送信し、前記クラウドストレージクライアントは、クラウドサーバー側からフィードバックされた前記暗号文データ及び前記少なくとも一つの量子鍵を受信し、前記クラウドストレージクライアントは、予め設定された暗号化アルゴリズムによって前記少なくとも一つの量子鍵を処理して前記組み合わせ鍵を生成し、前記クラウドストレージクライアントは、前記組み合わせ鍵を利用して前記暗号文データを復号化することを、さらに含む。

好ましくは、前記方法は、前記クラウドストレージクライアントは、クラウドサーバー側に前記少なくとも一つの量子鍵及び前記暗号文データを削除するように通知することを含む。

好ましくは、前記クラウドストレージクライアントは、前記組み合わせ鍵を利用して記憶待ちの平文データを暗号化して暗号文データを生成する前に、前記方法は、前記クラウドストレージクライアントは予めに前記記憶待ちの平文データにデータラベルを付与し、前記クラウドストレージクライアントは前記データラベルを前記少なくとも一つのクラウドサーバー側に送信することで、前記少なくとも一つのクラウドサーバー側に前記データラベルで前記少なくとも一つの量子鍵を識別させることを、さらに含む。

好ましくは、前記クラウドストレージクライアントはクラウドサーバー側から前記少なくとも一つの量子鍵をダウンロードすることは、具体的には、前記クラウドストレージクライアントは全てのクラウドサーバー側へ前記データラベルを送信し、前記クラウドストレージクライアントは前記データラベルで量子鍵を識別するクラウドサーバー側から送信された前記少なくとも一つの量子鍵を受信することを含む。

クラウドストレージシステムのクラウドサーバー側に適用されるクラウドストレージ方法であって、前記クラウドサーバー側は一つのクラウドストレージサーバーを含み、前記クラウドストレージサーバーは一つの鍵管理端末に接続し、前記鍵管理端末は一つの量子鍵配送ＱＫＤシステムに接続し、前記方法は、前記ＱＫＤシステムと少なくとも一つの端末側のＱＫＤシステムは、量子ネットワークによって少なくとも一つの量子鍵を生成し、前記ＱＫＤシステムは前記少なくとも一つの量子鍵を前記鍵管理端末に送信して保存することを含む。

好ましくは、前記方法は、前記クラウドストレージサーバーが端末側から送信された暗号文データを受信した後、前記暗号文データを保存することを、さらに含む。

好ましくは、前記方法は、前記クラウドストレージサーバーが端末側から送信された前記暗号文データ及び前記少なくとも一つの量子鍵をダウンロードするように要求するためのダウンロード要求を受信した後、前記暗号文データ及び前記少なくとも一つの量子鍵を端末側にフィードバックすることを、さらに含む。ここで、前記少なくとも一つの量子鍵は、前記少なくとも一つの量子鍵以外の他の、前記端末側に共有される量子鍵で暗号化し伝送するものである。

クラウドストレージシステムであって、量子ネットワークとクラシックネットワークを介して接続する、以上に記載のクラウドストレージ方法を実行するための少なくとも一つの端末側及び少なくとも一つのクラウドサーバー側を含む。

上記の技術案から分かるように、従来技術に比べると、本発明には、端末側のＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムは量子ネットワークによって少なくとも一つの量子鍵を生成し、クラウドストレージクライアントは予め設定された暗号化アルゴリズムによって少なくとも一つの量子鍵を処理して組み合わせ鍵を生成するクラウドストレージ方法及びシステムを開示している。上記方法によれば、量子鍵配送技術とクラウドストレージ技術とを組み合わせて、クラウドストレージにおける分散型特徴、及び量子鍵配送は大量の乱数鍵を生成しやすく且つ鍵が盗聴されにくい天然利点を利用することで、悪意のある攻撃者が量子鍵を取得できなくなり、ひいては、組み合わせ鍵をクラックできないようにして、クラウドストレージのデータセキュリティを極大に確保する。

本発明に係る実施例又は従来技術における技術案をより明確に説明するために、以下、実施例又は従来技術を記述するのに必要な図面を簡単に紹介する。明らかに、以下の記述に関する図面は本発明に係る実施例に過ぎず、当業者にとっては、創造的な労働をせず、提供された図面によって他の図面を取得できる。
本発明に係る実施例１に開示されているクラウドストレージ方法の具体的な概略フローチャートである。本発明に係る実施例２に開示されているクラウドストレージ方法の具体的な概略フローチャートである。本発明に係る実施例３に開示されているクラウドストレージ方法の具体的な概略フローチャートである。本発明に係る実施例４に開示されているクラウドストレージ方法の具体的な概略フローチャートである。本発明に係る実施例５に開示されているクラウドストレージシステムの具体的な構成概略図である。

以下、本発明に係る実施例における図面を組み合わせて、本発明に係る実施例における技術案を明確且つ完全に記述する。当然ながら、記述される実施例は単なる本発明の部分の実施例であり、全ての実施例ではない。本発明における実施例に基づいて、当業者は創造的な労働をせずに得た全ての他の実施例は、全部本発明の保護範囲に含まれる。

本発明の明細書、特許請求の範囲及び上記図面における「第１」、「第２」等の用語は類似する対象を区別するためのものであり、特定の順番或いは前後の順番を記述するために用いられる必要はない。このように使用される用語は、適切な状況では交換してもよく、これらは単なる本発明の実施例を記述する場合、同じ属性の対象を記述するとき採用する区別方式であると理解されたい。なお、用語の「含む」、「有する」及びそれらのいずれかの変形は、非排他的に含むことを覆うように意図することで、一連のユニットを含む過程、方法、システム、製品又はデバイスがそれらのユニットに限定される必要がなく、明確に挙げないもの或いはこれらの過程、方法、製品又はデバイスに固有の他のユニットを含むことができる。

背景技術から分かるように、従来技術において鍵を分割して処理する方法は、マスター成分鍵はクラウドストレージクライアントへ送信されるとき、成分鍵はクラウドストレージサーバーへ送信されるとき、悪意のある攻撃者に盗聴されやすく、そして、上記の方法は数学的アルゴリズムに基づくものとして、数学の進歩及びコンピュータ技術の飛躍的な発展に伴い、暗号化データのための鍵Ｋがクラックされやすくなり、最終には、クラウドストレージが重大なデータのセキュリティに直面することになる。

そのために、本発明には、端末側のＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムは量子ネットワークによって少なくとも一つの量子鍵を生成し、クラウドストレージクライアントは予め設定された暗号化アルゴリズムによって少なくとも一つの量子鍵を処理して組み合わせ鍵を生成するクラウドストレージ方法及びシステムが開示されている。上記方法によれば、量子鍵配送技術とクラウドストレージ技術とを組み合わせて、クラウドストレージにおける分散型特点及び量子鍵配送は大量の乱数鍵を生成しやすく且つ鍵が盗聴されにくい天然利点を利用することで、悪意のある攻撃者が量子鍵を取得できなくなり、ひいては、組み合わせ鍵をクラックできないようにして、クラウドストレージのデータセキュリティを極大に確保する。

以下、具体的な実施例に基づいて、本発明に開示されているクラウドストレージ方法及びシステムを詳しく説明する。

［実施例１］
図１を参照すると、本発明に係る実施例に開示されているクラウドストレージ方法の具体的な概略フローチャートである。この方法はクラウドストレージシステムの端末側に適用されるもので、前記端末側は一つのクラウドストレージクライアントと、一つの鍵管理端末と、一つの量子鍵配送（ＱｕａｎｔｕｍＫｅｙＤｉｓｔｒｉｂｕｔｉｏｎ，ＱＫＤ）システムとを含む。前記クラウドストレージクライアントは携帯電話でもよく、コンピュータや他の専用クラウドストレージクライアント等でもよい。このクラウドストレージクライアントは一つの鍵管理端末に接続し、前記鍵管理端末は一つのＱＫＤシステムに接続する。この場合、前記鍵管理端末と前記ＱＫＤシステムは互いに独立するものである。なお、前記鍵管理端末は前記ＱＫＤシステムに集積されてもよく、これに対し、本実施例では何の制限もしない。この方法は具体的に次のステップを含む。

Ｓ１０１：端末側のＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムは量子ネットワークによって少なくとも一つの量子鍵を生成する。

端末側はどのクラウドサーバー側又はどのいくつのクラウドサーバー側と量子鍵を生成するかを決定した後、自身のＱＫＤシステムと上記のどのクラウドサーバー側又はどのいくつクラウドサーバー側のＱＫＤシステムは量子ネットワークを介して量子鍵を生成する。

現在、量子鍵配送技術に基づいて既に大規模な量子ネットワークを構築できて、例えば、量子コントロールステーション、光スイッチ及び量子通信サーバーによって複数の量子鍵一体型送受信機（即ち、ＱＫＤシステム）の間の量子鍵の配送が実現される。本実施例では、上記量子ネットワークによって量子鍵を生成してよいが、他の形式の量子ネットワークによって量子鍵を生成してもよい。これに対して、本実施例では何の制限もしない。

Ｓ１０２：端末側のＱＫＤシステムは前記少なくとも一つの量子鍵を前記鍵管理端末に送信して保存する。

なお、端末側において自身のＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムが量子ネットワークによって少なくとも一つの量子鍵を生成した後、端末側は前記少なくとも一つの量子鍵を自身の鍵管理端末に記憶する必要がある。

Ｓ１０３：前記クラウドストレージクライアントは前記鍵管理端末から前記少なくとも一つの量子鍵を取得し、予め設定された暗号化アルゴリズムによって前記少なくとも一つの量子鍵を処理して組み合わせ鍵を生成する。

予め設定された暗号化アルゴリズムは、従来の例えば、排他的論理和（OR）、加算等の、各種の暗号化アルゴリズムでもよい。これに対して、本実施例では何の制限もしない。

本実施例には、端末側のＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムは量子ネットワークによって少なくとも一つの量子鍵を生成し、クラウドストレージクライアントは予め設定された暗号化アルゴリズムによって少なくとも一つの量子鍵を処理して組み合わせ鍵を生成するクラウドストレージ方法が開示されている。上記方法によれば、量子鍵配送技術とクラウドストレージ技術とを組み合わせて、クラウドストレージにおける分散型特点、及び量子鍵配送は大量の乱数鍵を生成しやすく且つ鍵が盗聴されにくい天然利点を利用することで、悪意のある攻撃者が量子鍵を取得できなくなり、ひいては、組み合わせ鍵をクラックできないようにして、クラウドストレージのデータセキュリティを極大に確保する。

［実施例２］
図２を参照すると、本発明に係る実施例２に開示されているクラウドストレージ方法の具体的な概略フローチャートである。この方法はクラウドストレージシステムの端末側に適用されるもので、前記端末側は、一つのクラウドストレージクライアントと、一つの鍵管理端末と、一つのＱＫＤシステムとを含む。前記クラウドストレージクライアントは、携帯電話でもよく、コンピュータや他の専用クラウドストレージクライアント等でもよい。このクラウドストレージクライアントは一つの鍵管理端末に接続し、前記鍵管理端末は一つのＱＫＤシステムに接続する。この場合、前記鍵管理端末と前記ＱＫＤシステムは互いに独立するものである。なお、前記鍵管理端末は前記ＱＫＤシステムに集積されてもよく、これに対し、本実施例では何の制限もしない。この方法は具体的に次のステップを含む。

Ｓ２０１：端末側のＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムは量子ネットワークによって少なくとも一つの量子鍵を生成する。

Ｓ２０２：端末側のＱＫＤシステムは前記少なくとも一つの量子鍵を前記鍵管理端末に送信して保存する。

Ｓ２０３：前記クラウドストレージクライアントは前記鍵管理端末から前記少なくとも一つの量子鍵を取得し、予め設定された暗号化アルゴリズムによって前記少なくとも一つの量子鍵を処理して組み合わせ鍵を生成する。

なお、本実施例におけるステップＳ２０１〜Ｓ２０３は、実施例１におけるステップＳ１０１〜Ｓ１０３と類似するステップであるため、本実施例において、繰り返し説明しない。詳しくは、実施例１における関連する記述を参照されたい。

Ｓ２０４：前記クラウドストレージクライアントは前記組み合わせ鍵を利用して記憶待ちの平文データを暗号化して暗号文データを生成する。

Ｓ２０５：前記クラウドストレージクライアントは前記暗号文データをクラウドサーバー側に送信して記憶する。

Ｓ２０６：端末側は前記少なくとも一つの量子鍵及び前記組み合わせ鍵を削除する。

なお、クラウドストレージクライアントにおいて暗号文データをクラウドサーバー側に送信して記憶した後、端末側のリソースを解放するように、その存在する端末側を制御或いは指示する対応部材に、少なくとも一つの量子鍵及び組み合わせ鍵を削除させる。

本実施例では、開示されたクラウドストレージ方法は、具体的には、如何に量子鍵によって組み合わせ鍵を生成するかとともに、組み合わせ鍵を利用してデータを暗号化してクラウドストレージを行うことを含み、組み合わせ鍵を利用してデータを暗号化して暗号化されたデータに対してクラウドストレージを行った後、端末側に保存されている少なくとも一つの量子鍵及び組み合わせ鍵を削除することで、端末側で本来、鍵を管理するためのリソースを解放して他の用途に用いて、ひいては、端末側のリソースの利用率を高めることができる。

［実施例３］
図３を参照すると、本発明に係る実施例３に開示されているクラウドストレージ方法の具体的な概略フローチャートである。この方法はクラウドストレージシステムの端末側に適用されるもので、前記端末側は、一つのクラウドストレージクライアントと、一つの鍵管理端末と、一つのＱＫＤシステムとを含む。前記クラウドストレージクライアントは、携帯電話でもよく、コンピュータや他の専用クラウドストレージクライアント等でもよい。このクラウドストレージクライアントは一つの鍵管理端末に接続し、前記鍵管理端末は一つのＱＫＤシステムに接続する。この場合、前記鍵管理端末と前記ＱＫＤシステムは互いに独立するものである。なお、前記鍵管理端末は前記ＱＫＤシステムに集積されてもよく、これに対し、本実施例では何の制限もしない。この方法は具体的に次のステップを含む。

Ｓ３０１：端末側のＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムは量子ネットワークによって少なくとも一つの量子鍵を生成する。

Ｓ３０２：端末側のＱＫＤシステムは前記少なくとも一つの量子鍵を前記鍵管理端末に送信して保存する。

Ｓ３０３：前記クラウドストレージクライアントは前記鍵管理端末から前記少なくとも一つの量子鍵を取得し、予め設定された暗号化アルゴリズムによって前記少なくとも一つの量子鍵を処理して組み合わせ鍵を生成する。

Ｓ３０４：前記クラウドストレージクライアントは前記組み合わせ鍵を利用して記憶待ちの平文データを暗号化して暗号文データを生成する。

選択的に、クラウドストレージクライアントは、予めに前記記憶待ちの平文データにデータラベルを付与してもよい。前記データラベルは記憶待ちの平文データの属性を表明できる情報、例えば、ファイル名を含む。これに対して、本実施例では何の制限もしない。そして、クラウドストレージクライアントは前記データラベルを前記少なくとも一つのクラウドサーバー側に送信することで、前記少なくとも一つのクラウドサーバー側に前記データラベルで前記少なくとも一つの量子鍵を識別させる。

Ｓ３０５：前記クラウドストレージクライアントは前記暗号文データをクラウドサーバー側に送信して記憶する。

Ｓ３０６：端末側は前記少なくとも一つの量子鍵及び前記組み合わせ鍵を削除する。

なお、本実施例におけるステップＳ３０１〜Ｓ３０６は、実施例２におけるステップＳ２０１〜Ｓ２０６と類似するステップであるため、本実施例において、繰り返し説明しない。詳しくは、実施例２における関連する記述を参照されたい。

Ｓ３０７：前記クラウドストレージクライアントはクラウドサーバー側ヘ前記暗号文データ及び前記少なくとも一つの量子鍵をダウンロードするように要求するためのダウンロード要求を送信する。

選択的に、クラウドストレージクライアントは前記少なくとも一つの量子鍵がどれらのクラウドサーバー側に記憶されているか分かっていなければ、全てのクラウドサーバー側ヘ前記データラベルを送信してもよい。あるクラウドサーバー側は前に当該データラベルを受信したことがあれば、当該データラベルで識別された量子鍵を端末側にフィードバックする。

Ｓ３０８：前記クラウドストレージクライアントはクラウドサーバー側からフィードバックされた前記暗号文データ及び前記少なくとも一つの量子鍵を受信する。

なお、クラウドサーバー側が上記した前記暗号文データ及び前記少なくとも一つの量子鍵をダウンロードするように要求するためのダウンロード要求を受信した後、前記暗号文データ及び前記少なくとも一つの量子鍵を端末側にフィードバックする。ここで、前記少なくとも一つの量子鍵は、クラウドサーバー側が前記少なくとも一つの量子鍵以外の他の、前記端末側に共有される量子鍵で暗号化して伝送されるものである。即ち、端末側はＱＫＤの安全チャンネルを介して各クラウドサーバー側に記憶されている前記少なくとも一つの量子鍵をダウンロードするため、悪意のある攻撃者が全てのデータチャンネルを傍受しても、鍵情報を取得できないので、平文データを取得できない。

さらになお、前記少なくとも一つの量子鍵には、前記少なくとも一つの量子鍵以外の他の、クラウドサーバー側と端末側との間に共有される量子鍵が含まれない。前記少なくとも一つの量子鍵は、組み合わせ鍵を生成することで記憶待ちの平文データを暗号化するためのものであるが、前記少なくとも一つの量子鍵以外の他の、クラウドサーバー側と端末側との間に共有される量子鍵は、端末側において前記少なくとも一つの量子鍵をダウンロードするとき前記少なくとも一つの量子鍵を暗号化するためのものである。前記少なくとも一つの量子鍵以外の他の、クラウドサーバー側と端末側との間に共有される量子鍵は、前記少なくとも一つの量子鍵と同時に生成されてもよく、端末側において前記少なくとも一つの量子鍵をダウンロードするとき生成されてもよい。これに対し、本実施例では何の制限もしない。

Ｓ３０９：前記クラウドストレージクライアントは予め設定された暗号化アルゴリズムによって前記少なくとも一つの量子鍵を処理して前記組み合わせ鍵を生成する。

Ｓ３１０：前記クラウドストレージクライアントは前記組み合わせ鍵を利用して前記暗号文データを復号化する。

なお、前記暗号文データを復号化した後、クラウドストレージクライアントはクラウドサーバー側に前記少なくとも一つの量子鍵及び前記暗号文データを削除するように通知してもよい。

本実施例では、開示されたクラウドストレージ方法は、具体的に、如何に量子鍵によって組み合わせ鍵を生成するか、如何に組み合わせ鍵によってデータを暗号化してクラウドストレージを行うか、及び如何にクラウドリードを行うかを含む。この方法は前の二つの実施例に比べると、より全面的である。組み合わせ鍵を利用してデータを暗号化し、暗号化されたデータをクラウドストレージを行った後、端末側に保存されている少なくとも一つの量子鍵及び組み合わせ鍵を削除することで、端末側で本来、管理するための鍵のリソースを解放して他の用途に用いて、ひいては、端末側のリソースの利用率を高めることができる。読み取りをする場合、直接にクラウドサーバー側から前記少なくとも一つの量子鍵を読み取り、そして、読み取る過程において、前記少なくとも一つの量子鍵以外の他の、クラウドサーバー側と端末側との間に共有される量子鍵で暗号化伝送するので、前記少なくとも一つの量子鍵が伝送する過程において傍受されにくいことを保証でき、ひいては、鍵の高度なセキュリティを保証できる。

［実施例４］
図４を参照すると、本発明に係る実施例４に開示されているクラウドストレージ方法の具体的な概略フローチャートである。この方法はクラウドストレージシステムのクラウドサーバー側に適用されるもので、前記クラウドサーバー側は一つのクラウドストレージサーバーを含み、前記クラウドストレージサーバーは一つの鍵管理端末に接続し、前記鍵管理端末は一つのＱＫＤシステムに接続する。前記方法は次のステップを含む。

Ｓ４０１：前記ＱＫＤシステムと少なくとも一つの端末側のＱＫＤシステムは量子ネットワークによって少なくとも一つの量子鍵を生成する。

Ｓ４０２：前記ＱＫＤシステムは前記少なくとも一つの量子鍵を前記鍵管理端末に送信して保存する。

なお、端末側が平文データを取得する必要があるとき、クラウドサーバー側の鍵管理端末から前記少なくとも一つの量子鍵を読み取って、暗号文データを復号化する。

前記クラウドストレージサーバーが端末側から送信された暗号文データを受信した後、前記暗号文データを保存する。

前記クラウドストレージサーバーが端末側から送信された前記暗号文データ及び前記少なくとも一つの量子鍵をダウンロードするように要求するためのダウンロード要求を受信した後、前記暗号文データ及び前記少なくとも一つの量子鍵を端末側にフィードバックする。ここで、前記少なくとも一つの量子鍵は、前記少なくとも一つの量子鍵以外の他の、前記端末側に共有される量子鍵で暗号化し伝送するものである。

［実施例５］
図５を参照すると、本発明に係る実施例５に開示されているクラウドストレージシステムの具体的な構成概略図である。

量子ネットワークとクラシックネットワークを介して接続する少なくとも一つのクラウドサーバー側ａ及び少なくとも一つの端末側ｂである。なお、前記端末側ｂは、実施例１〜実施例３のいずれかの一つの実施例に記載のクラウドストレージ方法を実行でき、前記クラウドサーバー側ａは実施例４に記載のクラウドストレージ方法を実行できる。

ただし、各クラウドサーバー側ａは一つのクラウドストレージサーバーと、一つの鍵管理端末と、一つのＱＫＤシステムとを含み、各端末側ｂは一つのクラウドストレージクライアントと、一つの鍵管理端末と、一つのＱＫＤシステムとを含む。具体的には、図５において、クラウドサーバー側ａがＮ個あり、端末側ｂが１つあり、第１目のクラウドサーバー側ａは一つのクラウドストレージサーバー−１と、一つの鍵管理端末−１と、一つのＱＫＤシステム−１とを含み、第２目のクラウドサーバー側ａは一つのクラウドストレージサーバー−２と、一つの鍵管理端末−２と、一つのＱＫＤシステム−２とを含み、第３目のクラウドサーバー側ａは一つのクラウドストレージサーバー−３と、一つの鍵管理端末−３と、一つのＱＫＤシステム−３とを含み、……、第Ｎ目のクラウドサーバー側ａは一つのクラウドストレージサーバー−Ｎと、一つの鍵管理端末−Ｎと、一つのＱＫＤシステム−Ｎとを含み、端末側ｂは一つのクラウドストレージクライアントと、一つの鍵管理端末−０と、一つのＱＫＤシステム−０とを含む。

なお、上記システムを利用してクラウドストレージの業務を行う場合、一つの端末側ｂのＱＫＤシステム（例えば、図５におけるＱＫＤシステム−０）と少なくとも一つのクラウドサーバー側ａ（例えば、図５における第１目〜第Ｎ目のクラウドサーバー側ａにおける一つ或いは複数）のＱＫＤシステムとの間では、前記量子ネットワークによって量子鍵を生成し、前記量子鍵は一つの端末側のＱＫＤシステムに接続する鍵管理端末、及び、少なくとも一つのクラウドサーバー側のＱＫＤシステムにそれぞれ接続する少なくとも一つの鍵管理端末にそれぞれ記憶されて、前記量子鍵は、予め設定された暗号化アルゴリズムによって処理して組み合わせ鍵を生成することで、記憶待ちの平文データを暗号化して暗号文データを生成するためのものである。前記量子鍵及び前記暗号文データの伝送は前記クラシックネットワークにより実行される。

図５におけるＱＫＤシステム−０とＱＫＤシステム−１との間には量子ネットワークによって量子鍵を生成することを例として、生成された量子鍵を鍵管理端末−０と鍵管理端末−１とにそれぞれ記憶する。

さらになお、ＱＫＤ技術は「ハイゼンベルグの不確定性原理」と「量子複製不可能定理」に基づいて、ビットごとの単一光子を使用して乱数を伝送する。これによって、送信端と接收端では、乱数鍵を生成し共有することができる。原理的には、ＱＫＤ過程に対するどんな盗聴でも必ず発見される。普通の光量子通信の方案を例として、量子情報は、単一光子の量子状態で運ばれる。単一光子は、光エネルギー変化の最小の単位であり、光を構成する最も基本的な単位であるともいえ、それ以上分割できず、盗聴者が光子を分割して情報を盗聴することができない。「量子複製不可能定理」は、未知の単一光子の状態が正確に複製できないと決定するので、盗聴者は光子状態を傍受して複製することによって情報を盗聴することもできない。「ハイゼンベルグの不確定性原理」は、未知の単一光子の状態への測定は必ずその状態を外乱することになると決定するので、通信者は、この点から盗聴を発見できる。そのため、一つの端末側ｂのＱＫＤシステム（図５におけるＱＫＤシステム−０）と少なくとも一つのクラウドサーバー側ａ（図５における第１目〜第Ｎ目のクラウドサーバー側ａにおける一つ或いは複数のクラウドサーバー側ａ）のＱＫＤシステムとの間では、前記量子ネットワークによって量子鍵を生成して無条件のセキュリティを備える。

本実施例には、量子ネットワークとクラシックネットワークによって接続する少なくとも一つのクラウドサーバー側及び少なくとも一つの端末側を含み、各クラウドサーバー側は一つのクラウドストレージサーバーと、一つの鍵管理端末と、一つのＱＫＤシステムとを含み、各端末側は一つのクラウドストレージクライアントと、一つの鍵管理端末と、一つのＱＫＤシステムとを含み、一つの端末側のＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムとの間では量子ネットワークによって量子鍵を生成し、量子鍵は、予め設定された暗号化アルゴリズムによって処理して組み合わせ鍵を生成して、記憶待ちの平文データを暗号化して暗号文データを生成するために使われる、クラウドストレージシステムが開示されている。上記システムによれば、量子鍵配送技術とクラウドストレージ技術とを組み合わせて、クラウドストレージにおける分散型特点、及び量子鍵配送は大量の乱数鍵を生成しやすい天然利点を利用することで、クラウドストレージのデータセキュリティを極大に確保する。

本発明に開示されたクラウドストレージ方法及びシステムは、クラウドサーバー側のリソース利点を十分に利用して、暗号化鍵を各クラウドサーバー側に分散して記憶するため、端末側は相応する鍵情報を保存する必要がない。また、これらのクラウドサーバー側はランダムに全国、ひいては世界のさまざまな場所に散在して、情報を傍受しようとする悪意のある攻撃者はこれらのクラウドサーバー側を探し出すほどの能力はなく、探し出したとしても、各クラウドサーバー側に全部情報を提供するように要求する権利がない。そして、複数の暗号化鍵を組み合わせる方法を採用して平文データを暗号化して、各暗号化鍵はＱＫＤ技術によって端末側と異なるクラウドサーバー側との間で独立して配送されるもので、各暗号化鍵はいずれも無条件のセキュリティを備えるので、暗号文データも無条件の安全までの高度なセキュリティを備えることができる。さらには、端末側はＱＫＤの安全チャンネルを介して各クラウドサーバー側に記憶された暗号化鍵をダウンロードし、悪意のある攻撃者が全てのデータチャンネルを傍受したとしても、鍵情報を取得できないので、平文データを取得できない。

本明細書において、各実施例ではプログレッシブ方式で記述し、各実施例が主に説明したのは、いずれも他の実施例との相違点であり、各実施例同士の同じ或いは類似な部分については互いに参照すればよい。実施例に開示された装置は、実施例に開示された方法に対応するため、簡単に記述しており、関連箇所については方法の部分の説明を参照すればよい。

また、なお、以上に記述した装置の実施例は単に概略的なものに過ぎない。なお、前記分離部材として説明されたユニットは物理的に分離するものでもよく、物理的に分離しないものでもよい。ユニットとして表示された部材は、物理的なユニットでもよく、物理的なユニットでなくてもよい。即ち、一箇所に位置されてもよく、或いは複数のネットワークユニットに配送してもよい。実際の必要に応じてその中の部分又は全部のモジュールを選択して本実施例の方案の目的を実現してもよい。また、本発明に提供された装置の実施例の図面において、モジュール同士の接続関係はそれらの間に通信接続を有することを示し、具体的には、一つ或いは複数の通信バス又は信号線として実現できる。当業者は創造的労働をせず、理解して実行できる。

以上の実施形態における記述によれば、当業者は本発明がソフトウェアと必要な一般的なハードウェアの態様で実現できることが明確に分かる。当然ながら、専用集積回路、専用ＣＰＵ、専用メモリ、専用素子等を含む専用ハードウェアで実現できる。一般的に、コンピュータプログラムで完成した機能は、いずれも対応するハードウェアで実現しやすい。そして、同一の機能を実現するための具体的なハードウェア構成は、さまざまなものでもよく、例えば、アナログ回路、デジタル回路或いは専用回路等を含む。しかしながら、本発明は、ソフトウェアプログラムで実現するほうが、最適な実施形態である場合が多い。このような理解によれば、本発明の技術案における実質上或いは従来技術に貢献する部分は、ソフトウェア製品の形式で表現できる。このコンピュータソフトウェア製品は、例えば、コンピュータのフロッピー（登録商標）、Ｕディスク、モバイルハードディスク、読み取り専用メモリ（ＲＯＭ，Ｒｅａｄ−ＯｎｌｙＭｅｍｏｒｙ）、ランダムアクセスメモリ（ＲＡＭ，ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）、ディスク或いはＣＤ等の、コンピュータの読取可能な記憶媒介に記憶される。いくつかの命令を含むことで、１台のコンピュータデバイス（パソコン、サーバー、或いはネットワークデバイス等でもよい）を本発明における各実施例に記載の方法を実行させるようにする。

以上により、以上の実施例は本発明の技術案を説明するためのもので、本発明を制限するものではない。上記実施例を参照して本発明を詳しく説明したが、当分野の普通の技術者は、本発明に係る各実施例の技術案を逸脱しない思想と範囲で、上記各実施例に記載の技術案を補正、又はその中の部分の技術特征を均等変更してもよいと理解される。

Claims

クラウドストレージシステムの端末側であって、一つのクラウドストレージクライアントと、一つの鍵管理端末と、一つの量子鍵配送ＱＫＤシステムとを含む端末側に適用されるクラウドストレージ方法であって、
前記ＱＫＤシステムと少なくとも一つのクラウドサーバー側のＱＫＤシステムは量子ネットワークによって少なくとも一つの量子鍵を生成し、
前記ＱＫＤシステムは前記少なくとも一つの量子鍵を前記鍵管理端末に送信して保存し、
前記クラウドストレージクライアントは前記鍵管理端末から前記少なくとも一つの量子鍵を取得し、予め設定された暗号化アルゴリズムによって、前記少なくとも一つの量子鍵を処理して組み合わせ鍵を生成し、
前記クラウドストレージクライアントは前記組み合わせ鍵を利用して記憶待ちの平文データを暗号化して暗号文データを生成し、
前記クラウドストレージクライアントは前記暗号文データをクラウドサーバー側に送信して記憶し、
前記端末側は前記少なくとも一つの量子鍵及び前記組み合わせ鍵を削除し、
前記クラウドストレージクライアントはクラウドサーバー側ヘ前記暗号文データ及び前記少なくとも一つの量子鍵をダウンロードするように要求するためのダウンロード要求を送信し、
前記クラウドストレージクライアントはクラウドサーバー側からフィードバックされた前記暗号文データ及び前記少なくとも一つの量子鍵を受信し、
前記クラウドストレージクライアントは予め設定された暗号化アルゴリズムによって、前記少なくとも一つの量子鍵を処理して前記組み合わせ鍵を生成し、
前記クラウドストレージクライアントは前記組み合わせ鍵を利用して前記暗号文データを復号化することを、含むことを特徴とするクラウドストレージ方法。
前記クラウドストレージクライアントはクラウドサーバー側に前記少なくとも一つの量子鍵及び前記暗号文データを削除するように通知することを、さらに含むことを特徴とする請求項１に記載のクラウドストレージ方法。
前記クラウドストレージクライアントは前記組み合わせ鍵を利用して記憶待ちの平文データを暗号化して暗号文データを生成する前に、
前記クラウドストレージクライアントは予めに前記記憶待ちの平文データにデータラベルを付与し、
前記クラウドストレージクライアントは前記データラベルを前記少なくとも一つのクラウドサーバー側に送信することで、前記少なくとも一つのクラウドサーバー側に前記データラベルで前記少なくとも一つの量子鍵を識別させることを、さらに含むことを特徴とする請求項１又は２に記載のクラウドストレージ方法。
前記クラウドストレージクライアントはクラウドサーバー側から前記少なくとも一つの量子鍵をダウンロードすることは、具体的には、
前記クラウドストレージクライアントは全てのクラウドサーバー側に前記データラベルを送信し、
前記クラウドストレージクライアントは、前記データラベルで量子鍵を識別するクラウドサーバー側から送信された前記少なくとも一つの量子鍵を受信することを含むことを特徴とする請求項３に記載のクラウドストレージ方法。
クラウドストレージシステムのクラウドサーバー側に適用されるクラウドストレージ方法であって、前記クラウドサーバー側は一つのクラウドストレージサーバーを含み、前記クラウドストレージサーバーは一つの鍵管理端末に接続し、前記鍵管理端末は一つの量子鍵配送ＱＫＤシステムに接続する前記クラウドストレージ方法において、
前記ＱＫＤシステムと少なくとも一つの端末側のＱＫＤシステムは量子ネットワークによって少なくとも一つの量子鍵を生成し、
前記ＱＫＤシステムは前記少なくとも一つの量子鍵を前記鍵管理端末に送信して保存し、
前記クラウドストレージサーバーが端末側から送信された暗号文データを受信した後、前記暗号文データを保存し、
前記クラウドストレージサーバーが端末側から送信された前記暗号文データ及び前記少なくとも一つの量子鍵をダウンロードするように要求するためのダウンロード要求を受信した後、前記暗号文データ及び前記少なくとも一つの量子鍵を端末側にフィードバックすることを、含み、
前記端末側から送信された前記暗号文データは、予め設定された暗号化アルゴリズムによって、少なくとも一つの量子鍵を処理して生成した組み合わせ鍵で平文データが暗号化された暗号文データであり、ダウンロード要求を受信した後、前記端末側にフィードバックする少なくとも一つの量子鍵は、組み合せ鍵の生成に用いた量子鍵に対応する量子鍵であることを特徴とするクラウドストレージ方法。
ダウンロード要求を受信した後、前記端末側にフィードバックする前記少なくとも一つの量子鍵は、当該少なくとも一つの量子鍵以外の他の、前記端末側に共有される量子鍵で暗号化し伝送するものであることを特徴とする請求項５に記載のクラウドストレージ方法。
量子ネットワークとクラシックネットワークとを介して接続される、請求項１から４のいずれか１項に記載のクラウドストレージ方法を実行するための少なくとも一つの端末側と、請求項５または６に記載のクラウドストレージ方法を実行するための少なくとも一つのクラウドサーバー側と、を含むことを特徴とするクラウドストレージシステム。