WO2013166751A1 - 一种云存储安全控制的方法 - Google Patents

一种云存储安全控制的方法 Download PDF

Info

Publication number
WO2013166751A1
WO2013166751A1 PCT/CN2012/075864 CN2012075864W WO2013166751A1 WO 2013166751 A1 WO2013166751 A1 WO 2013166751A1 CN 2012075864 W CN2012075864 W CN 2012075864W WO 2013166751 A1 WO2013166751 A1 WO 2013166751A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
key
password
master key
master
Prior art date
Application number
PCT/CN2012/075864
Other languages
English (en)
French (fr)
Inventor
金友兵
王东临
Original Assignee
天津书生投资有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 天津书生投资有限公司 filed Critical 天津书生投资有限公司
Publication of WO2013166751A1 publication Critical patent/WO2013166751A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Definitions

  • the present invention relates to the field of cloud storage, and in particular, to a method for cloud storage security control. Background technique
  • the embodiment of the invention provides a cloud storage security control method to ensure the security of the cloud storage key.
  • the master key is used to decrypt the user key, and the new user password is used to encrypt the user key;
  • the user key ciphertext encrypted by the original user password is updated with the user key ciphertext encrypted by the new user password.
  • the cloud storage security system provided by the embodiment of the present invention can ensure the security of the user key, that is, even the background administrator cannot access the plaintext of the user key, thereby ensuring the security of the cloud storage.
  • FIG. 1 is a flowchart of a cloud storage security control method according to an embodiment of the present invention. detailed description
  • a user password is set.
  • the system's password file or password field stores a summary value of the original user's password.
  • the user password entered by the user is converted to a digest value, and then the user input user password digest value is compared to the user password digest value stored in the system's password file or password field. If the two are the same, the user password is correct and the user is allowed to log in.
  • the system After the user logs in, for the security of the cloud storage, the system must distribute the key for the user, such as a public-private key pair. To ensure the security of the user key, a cloud storage security is provided in an embodiment of the present invention.
  • the method of control as shown in FIG. 1, the method includes the following steps:
  • Step 101 encrypt the key issued to each user by using the user password and the master key, and save the two key ciphertexts;
  • Step 102 When the user password is lost, decrypt the user key ciphertext by using the master key, and encrypt the user key by using the new user password;
  • Step 103 Update the user key ciphertext encrypted by the original user password with the user key ciphertext encrypted by the new user password.
  • the user's password is used to decrypt the key file, and the decrypted plaintext key is placed in the temporary buffer area or stored in the server memory.
  • the temporary key file is deleted. This allows the user to be online, because the decrypted key is only temporarily stored in memory, and the service provider back-end personnel cannot obtain the plaintext key.
  • the security of the master key is an important factor in the security of the entire system.
  • the master key In order to ensure the security of the master key, the master key is placed in the master key server.
  • unauthorized users In addition to using physical means to ensure the security of the master key server, unauthorized users are not allowed to invoke the master key service. Device.
  • the user In order to prevent the unauthorized user from calling the master key server, the user can call only during the session validity period, or the user needs to input the user password again before accessing the master key server.
  • the master key server has at least two functions: one is to return a key ciphertext encrypted by the master key according to a plaintext user key; the second is based on a new user password and a master The key ciphertext of the key encryption, which returns the key ciphertext encrypted with the new user password.
  • the master key leaks under extreme conditions, the master key is reset and all users' keys are re-encrypted with the new master key.
  • the security of the user key can be ensured, and even the background administrator cannot access the plaintext of the user key, thereby ensuring the security of the cloud storage.

Abstract

本发明实施例公开了一种云存储安全控制的方法，以保证云存储密钥的安全性。该方法包括：利用用户口令和主密钥分别对发放给每个用户的密钥进行加密，保存两份密钥密文；当用户口令丢失时，利用主密钥解密用户密钥，并利用新的用户口令加密用户密钥；利用新的用户口令加密的用户密钥密文更新原有用户口令加密的用户密钥密文。

Description

一种云存储安全控制的方法 技术领域
本发明涉及云存储领域， 特别涉及一种云存储安全控制的方法。 背景技术
随着科技的发展， 云存储已经越来越成为一种趋势， 各种云存储技术层 出不穷， 为了保证云存储数据的安全， 通常会利用各种加密方法来保证数据 的安全性， 但如何保证密钥的安全性又成为云存储安全的一个新问题。 发明内容
本发明实施例提供了一种云存储安全控制方法，以保证云存储密钥的安 全性。
本发明实施例提供的一种云存储安全控制的方法， 包括：
利用用户口令和主密钥分别对发放给每个用户的密钥进行加密，保存两 份密钥密文；
当用户口令丟失时， 利用主密钥解密用户密钥， 并利用新的用户口令加 密用户密钥；
利用新的用户口令加密的用户密钥密文更新原有用户口令加密的用户 密钥密文。
利用本发明实施例提供的云存储安全系统， 可以保证用户密钥的安全 性， 即即使是后台管理员也无法接入用户密钥的明文， 保证了云存储的安全 性。 附图说明
图 1为本发明实施例所述的一种云存储安全控制方法的流程图。 具体实施方式
以下结合附图及实施例， 对本发明进行进一步详细说明。 应当理解， 此 处所描述的具体实施例仅仅用于解释本发明， 并不用于限定本发明。
在本发明实施例提供的云存储安全控制方法中， 当用户注册后， 都会设 置一个用户口令。 系统的口令文件或者口令字段存储的是原始用户口令的摘 要值。 当用户登录时， 将用户输入的用户口令转换为摘要值， 然后将用户输 入用户口令摘要值与系统的口令文件或口令字段存储的用户口令摘要值进 行对比。 如果两者相同， 则说明用户口令正确， 允许用户登录。
当用户登录后，出于云存储安全性的需要，系统一定会为用户分发密钥， 比如公私钥对， 为了保证用户密钥的安全性， 在本发明一实施例提供的一种 云存储安全控制的方法， 如图 1所示， 该方法包括如下步骤：
步骤 101 : 利用用户口令和主密钥分别对发放给每个用户的密钥进行加 密， 保存两份密钥密文；
步骤 102: 当用户口令丟失时， 利用主密钥解密用户密钥密文， 并利用 新的用户口令加密用户密钥；
步骤 103: 利用新的用户口令加密的用户密钥密文更新原有用户口令加 密的用户密钥密文。
利用本发明实施例提供的技术方案， 当用户不在线时， 服务提供商后台 人员也无法获得明文密钥。
当用户登录时， 利用用户口令解密密钥文件， 将解密得到的明文密钥放 在临时緩存区， 或者存放到服务器内存中。 当用户退出登录， 或者 session 超时， 删除临时的密钥文件。 这样既使用户在线， 因为解密的密钥仅临时存 储在内存中， 服务提供商后台人员也无法获得明文密钥。
在本发明实施例中，主密钥的安全性则为整个系统安全性的一种重要因 素。 为了保证主密钥的安全性， 将主密钥放置在主密钥服务器中， 除了用物 理手段来保证主密钥服务器的安全外，不经授权的用户不得调用主密钥服务 器。 为了防止非授权用户调用主密钥服务器， 只有在 session有效期间内， 用户才可以调用，或者用户需要再次输入其用户口令后才可以访问主密钥服 务器。
从以上描述可知， 主密钥服务器至少具有两个功能： 一是根据一个明文 的用户密钥， 返回一个经主密钥加密的密钥密文； 二是根据一个新的用户口 令和一个经主密钥加密的密钥密文， 返回用新用户口令加密的密钥密文。
如果主密钥在极端情况下泄漏， 则重置主密钥， 并利用新的主密钥对所 有用户的密钥进行重新加密。
利用本发明实施例提供的云存储安全系统， 可以保证用户密钥的安全 性， 即使后台管理员也无法接入用户密钥的明文， 保证了云存储的安全性。
以上所述仅为本发明的较佳实施例而已， 并不用以限制本发明， 凡在本 发明的精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在 本发明的保护范围之内。

Claims

权利要求
1、 一种云存储安全控制的方法， 其特征在于， 包括：
利用用户口令和主密钥分别对发放给每个用户的密钥进行加密，保存两 份密钥密文；
当用户口令丟失时， 利用主密钥解密用户密钥， 并利用新的用户口令加 密用户密钥；
利用新的用户口令加密的用户密钥密文更新原有用户口令加密的用户 密钥密文。
2、 如权利要求 1所述的方法， 其特征在于， 所述主密钥位于主密钥服 务器中。
3、 如权利要求 2所述的方法， 其特征在于， 所述主密钥服务器具有根 据一个明文的用户密钥， 返回一个经主密钥加密的密钥密文的功能， 和 /或； 居一个新的用户口令和一个经主密钥加密的密钥密文，返回用新用户口令 加密的密钥密文的功能。
4、 如权利要求 1所述的方法， 其特征在于， 当所述主密钥泄漏时， 所 述方法进一步包括：
重置主密钥；
利用新的主密钥对所有用户的密钥进行重新加密；
用新的主密钥加密的用户密钥密文更新原有主密钥加密的用户密钥密 文。
5、 如权利要求 1所述的方法， 其特征在于， 进一步包括：
在系统的口令文件或者口令字段存储用户口令的摘要值；
当用户登录时， 将用户输入的用户口令转换为摘要值， 然后将用户输入 用户口令摘要值与系统的口令文件或口令字段存储的用户口令摘要值进行 对比；
如果两者相同， 则说明用户口令正确， 允许用户登录。
6、 如权利要求 1至 5任一所述的方法， 其特征在于， 进一步包括： 当 用户登录时， 利用用户口令解密密钥文件， 将解密得到的明文密钥放在临时 緩存区， 或者存放到服务器内存中。
7、 如权利要求 6所述的方法， 其特征在于， 进一步包括： 当用户退出 登录， 或者 session超时， 删除临时的密钥文件。
PCT/CN2012/075864 2012-05-09 2012-05-22 一种云存储安全控制的方法 WO2013166751A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210140964.7A CN103391187B (zh) 2012-05-09 2012-05-09 一种云存储安全控制的方法
CN201210140964.7 2012-05-09

Publications (1)

Publication Number Publication Date
WO2013166751A1 true WO2013166751A1 (zh) 2013-11-14

Family

ID=49535352

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/075864 WO2013166751A1 (zh) 2012-05-09 2012-05-22 一种云存储安全控制的方法

Country Status (2)

Country Link
CN (1) CN103391187B (zh)
WO (1) WO2013166751A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103236934B (zh) * 2013-05-17 2016-09-21 天津书生云科技有限公司 一种云存储安全控制的方法
CN107426223B (zh) * 2017-08-01 2020-06-05 中国工商银行股份有限公司 云文档加密及解密方法、加密及解密装置、以及处理系统
CN114697007B (zh) * 2020-12-29 2024-01-16 华为技术有限公司 一种密钥管理的方法、相应装置及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101465727A (zh) * 2008-12-17 2009-06-24 成都市华为赛门铁克科技有限公司 一种保证通信安全的方法、网络设备、装置和通信系统
CN102270182A (zh) * 2011-07-04 2011-12-07 济南伟利迅半导体有限公司 基于同步用户和主机认证的加密可移动存储设备
CN102422590A (zh) * 2009-05-12 2012-04-18 赛贝斯股份有限公司 数据库中加密密钥的保护

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6694025B1 (en) * 1999-06-02 2004-02-17 Koninklijke Philips Electronics N.V. Method and apparatus for secure distribution of public/private key pairs

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101465727A (zh) * 2008-12-17 2009-06-24 成都市华为赛门铁克科技有限公司 一种保证通信安全的方法、网络设备、装置和通信系统
CN102422590A (zh) * 2009-05-12 2012-04-18 赛贝斯股份有限公司 数据库中加密密钥的保护
CN102270182A (zh) * 2011-07-04 2011-12-07 济南伟利迅半导体有限公司 基于同步用户和主机认证的加密可移动存储设备

Also Published As

Publication number Publication date
CN103391187A (zh) 2013-11-13
CN103391187B (zh) 2016-12-14

Similar Documents

Publication Publication Date Title
CN105027130B (zh) 延迟数据访问
US9342701B1 (en) Digital rights management system and methods for provisioning content to an intelligent storage
US9805350B2 (en) System and method for providing access of digital contents to offline DRM users
US20180234403A1 (en) Data owner restricted secure key distribution
CN105122265B (zh) 数据安全服务系统
WO2006135897A3 (en) Proxy authentication network
KR20130039354A (ko) Ｄｂｍｓ 및 데이터베이스에서 암호화 방법
CN101924739A (zh) 一种软件证书及私钥的加密存储并找回的方法
US20240039709A1 (en) Method and apparatus for sharing encrypted data, and device and readable medium
US10726104B2 (en) Secure document management
WO2013166751A1 (zh) 一种云存储安全控制的方法
CN105208017B (zh) 一种存储器信息获取方法
JP2012156809A (ja) コンテンツ配信システム、携帯通信端末装置、及び閲覧制御プログラム
WO2015045512A1 (ja) データ暗号化装置、データ暗号化プログラム及びデータ暗号化方法
JP2011227673A (ja) ファイル管理システム、ストレージサーバ、クライアント、ファイル管理方法およびプログラム
JP2012156809A5 (zh)
Ren et al. Limited times of data access based on SGX in cloud storage
CN105959266A (zh) 一种文件打开权限管理方法
JP2008035449A (ja) 自己復号ファイルによるデータ配布方法および該方法を用いた情報処理システム
KR20210143846A (ko) 암호화 시스템들
TWI590069B (zh) Application of data encryption and decryption in the cloud computing environment to share mechanisms and rights management methods
CN110650152B (zh) 一种支持动态密钥更新的云端数据完整性验证方法
Vanitha et al. Data sharing: Efficient distributed accountability in cloud using third party auditor
Huang et al. A novel revocable personal health record scheme using outsourced CP-ABE
JP2006014182A5 (zh)

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12876317

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12876317

Country of ref document: EP

Kind code of ref document: A1