WO2014180416A1 - 一种上传文件到云存储系统的方法、下载方法及装置 - Google Patents

一种上传文件到云存储系统的方法、下载方法及装置 Download PDF

Info

Publication number
WO2014180416A1
WO2014180416A1 PCT/CN2014/078943 CN2014078943W WO2014180416A1 WO 2014180416 A1 WO2014180416 A1 WO 2014180416A1 CN 2014078943 W CN2014078943 W CN 2014078943W WO 2014180416 A1 WO2014180416 A1 WO 2014180416A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
key
cloud storage
storage system
security
Prior art date
Application number
PCT/CN2014/078943
Other languages
English (en)
French (fr)
Inventor
周苏静
陈小华
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to EP14794751.9A priority Critical patent/EP3035641A4/en
Publication of WO2014180416A1 publication Critical patent/WO2014180416A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]

Definitions

  • the present invention relates to the technical field of uploading files to a cloud storage system, and in particular, to a method, a downloading method and a device for uploading files to a cloud storage system.
  • cloud storage environment With the rapid development of cloud storage, more and more people or services have begun to choose to use cloud storage environment to store their own data. Users of cloud storage can upload their files to the cloud storage environment and provide them by cloud storage services. The vendor manages and specifies that other users have access to their files, thereby enabling file sharing.
  • the cloud storage environment has caused the data owner to lose complete control over the data, which makes the security of the data face a series of threats, such as: Denying the use of large-scale botnets to store users in the "cloud” Malicious attacks, theft, illegal use, etc. of private information have a variety of means.
  • the various systems and applications that make up the "cloud” still face the threat of viruses, trojans and other malware that are faced in traditional stand-alone or intranet environments. If sensitive data (including economic documents, personal medical records) is stored in a cloud storage environment controlled by others, these problems will become more serious as the number of users sharing storage increases. Therefore, systems based on cloud storage services have a very urgent need for security mechanisms.
  • the technical problem to be solved by the embodiments of the present invention is to provide a method, a downloading method, and a device for uploading a file to a cloud storage system, and solving the problem of poor data storage security in the cloud storage system in the related art.
  • a method for uploading files to a cloud storage system, applied to a client including:
  • the step of generating a file key includes:
  • the file key is generated based on the pre-generated user key and file information.
  • the file information includes: a file name extracted from the original data file, a file identifier, and a recent tampering time.
  • the raw data file is securely processed according to the file key, and the step of generating the secure data file includes:
  • Part or all of the original data file is encrypted, and/or the original data file is integrity protected.
  • the encryption key used for encrypting part or all of the content of the original data file is: the file key or the first derivative key derived according to the file key;
  • the key used to perform integrity protection processing on the original data file is: the file key or a second derived key derived from the file key.
  • the method further includes:
  • a method of downloading files from a cloud storage system including:
  • the method further includes:
  • the related file information includes: a security metadata file.
  • the security metadata file includes one of a file identifier, a file owner identifier, a file name, a recent modification time, a security processing time, a random information, a security parameter, and an access control list.
  • a file identifier e.g., a file name
  • a file owner identifier e.g., a file owner identifier
  • a file name e.g., a file name
  • a recent modification time e.g., a recent modification time
  • a security processing time e.g., a random information
  • a security parameter e.g., a password, and a password
  • an access control list e.g., a file name, e.g., a file name
  • a recent modification time e.g., a file name
  • a security processing time e.g., a file name
  • a recent modification time e.g., a file name
  • a security processing time e.
  • the step of performing security analysis processing on the security data file according to the file key includes:
  • An apparatus for uploading a file to a cloud storage system is applied to a client, and includes a first generation module, a first processing module, and an uploading module, where:
  • the first generating module is configured to: generate a file key
  • the first processing module is configured to: perform security processing on the original data file according to the file key to generate a security data file;
  • the uploading module is configured to: send the security data file to a cloud storage system.
  • An apparatus for downloading a file from a cloud storage system comprising: a downloading module, a second generating module, and a second processing module, wherein:
  • the downloading module is configured to: receive a security data file sent by the cloud storage system according to the download request;
  • the second generating module is configured to: generate a file key
  • the second processing module is configured to: perform security analysis processing on the security data file according to the file key.
  • the user when the user uploads the data file, the user first generates a file key, and then performs security processing on the original data file according to the file key to generate a security data file, and then secures the file.
  • Data files are sent to the cloud storage system for storage. It provides end-to-end confidentiality and integrity protection for users' data stored in cloud storage, and solves the problem of poor data storage security in cloud storage systems in related technologies.
  • FIG. 1 is a flowchart of a method for uploading a file to a cloud storage system according to an embodiment of the present invention
  • FIG. 2 is a flowchart of a method for downloading a file from a cloud storage according to an embodiment of the present invention
  • FIG. 3 is a structural diagram of a security metadata file according to an embodiment of the present invention.
  • FIG. 4 is a structural diagram of an apparatus for uploading a file to a cloud storage system according to an embodiment of the present invention
  • FIG. 5 is a structural diagram of an apparatus for downloading a file from a cloud storage according to an embodiment of the present invention.
  • the method for uploading a file to the cloud storage system in the embodiment of the present invention provides end-to-end confidentiality and integrity protection for the data stored in the cloud storage by the user, and solves the poor security of data storage in the cloud storage system in the related art. The problem.
  • a method for uploading a file to a cloud storage system is applied to a client, including:
  • Step 101 Generate a file key.
  • Step 102 Perform security processing on the original data file according to the file key to generate a security data file.
  • Step 103 Send the security data file to a cloud storage system.
  • the user when the user uploads the data file, the user first generates a file key, and then performs security processing on the original data file according to the file key to generate a security data file, and then secures the file.
  • Data files are sent to the cloud storage system for storage. It provides end-to-end confidentiality and integrity protection for users' data stored in cloud storage, and solves the problem of poor data storage security in cloud storage systems in related technologies.
  • the file key is generated according to the pre-generated user key and at least the file information.
  • the following specific embodiments are used to illustrate examples and not limitation:
  • the file key according to a user key, file information, and a client Obtained user information, such as user name, user ID, current time generation;
  • the file key is generated according to a user key, file information, and user information obtained by the client, such as a user name, a user identifier, and random information generated by the client itself.
  • the file information includes but is not limited to: a file name extracted from the original data file, a file identifier, and an optional recent tampering time.
  • the user information may be a user name, a user identifier, etc., and is not exemplified herein.
  • the information input by the user may be password information.
  • the raw data file is securely processed according to the file key, and the step of generating the secure data file includes:
  • Part or all of the original data file is encrypted, and/or the original data file is integrity protected.
  • the encryption key used for encrypting part or all of the content of the original data file is: the file key or the first derivative key derived according to the file key; and the original data
  • the key used by the file for integrity protection processing is: the file key or a second derived key derived from the file key.
  • the method for uploading a file to the cloud storage system in the embodiment of the present invention may further include: transmitting information for generating the file key other than the user key to the cloud storage system.
  • the file key is generated according to the user key generated in advance by the client and the file information extracted from the original data file; wherein the file information, and the generated file
  • the user information, current time, random information, etc. used in the key can be saved and transmitted in the form of files;
  • an embodiment of the present invention further provides a method for downloading a file from a cloud storage system, including:
  • Step 201 Receive a security data file that is sent by the cloud storage system according to the download request.
  • Step 202 Generate a file key.
  • Step 203 Perform security analysis processing on the security data file according to the file key.
  • the user when a user downloads a file from a cloud storage system, the user first receives a security data file sent by the cloud storage system according to the download request, and then generates a file key, and then secures the file according to the file key.
  • the data file is processed for security analysis. It solves the problem of poor data storage security in cloud storage systems.
  • the related file information includes: a security metadata file.
  • the security metadata file may include one or more of a file identifier, a file owner identifier, a file name, a recent modification time, a security processing time, random information, a security parameter, and an access control list.
  • the security metadata file includes a file identifier, a file owner identifier, a file name, a recent modification time, a security processing time, a random information, a security parameter, and an access control list, but the figure 3
  • the example shown is only an example of a secure metadata file.
  • the content and format of the secure metadata file are not limited to the content and format shown in FIG. 3.
  • the security metadata file may also include: file name, file identifier, file Owner identification, last modification time, security processing time, random information, security parameters, and access control list; the security metadata file may further include other content.
  • the information contained in the secure metadata file can be used to generate a file key.
  • the security processing time is the current time when the file key is generated according to the original data file for security processing.
  • the security parameters are public parameters that are needed for security processing and security analysis processing.
  • the security parameter can be a parameter of the cryptosystem of the discrete logarithm problem Discrete Logarithm Problem, including but not limited to the discrete logarithm problem on the Finite field and the discrete logarithm problem on the Elliptic Curve . Where random information is used to increase the generation The randomness of the file key.
  • the security parameter includes a sequence p of a group and a generator g of the group, the random information is gy, y is a random number of 1 to p-1, the user key is X, and x is a one-way
  • KDF After inputting information such as FileInfo, UserInfo, TimeInfo, Secret, etc., where FileInfo is the file information including the file name, file identifier and/or the latest modification time, UserInfo is the user information, Timelnfo is the current time, Secret
  • KDF is a cryptographically secure hash function (such as SHA2) or a key derivation function, and the generated file key is gyx.
  • the access control list is used to record access rights of the original data file, and may include a user name and an ACL entry for identifying a user having access rights.
  • the ACL entry includes the protected file key.
  • the protection process may be the encryption of the file key, or may be the manner described in the following specific embodiments:
  • the ACL entry is (gz) yx, where gz is the public key corresponding to the user IDz. , z is the private key corresponding to the user IDz, after receiving the security metadata file containing the ACL item, the user can recover the file key gyx according to the private key z, and then receive the security according to the file key pair.
  • the data file is processed for security analysis.
  • step 202 the step of generating a file key is specifically:
  • Generating the file key according to the pre-generated user key and at least file information for example, generating the user according to the pre-generated user key and file information, and the obtained user information, the current time, and the random information generated by the client itself.
  • the file key is
  • the step of performing security analysis processing on the security data file according to the file key includes:
  • the key used for decrypting part or all of the content of the secure data file may be a different key than the key used for integrity protection check processing of the secure data file.
  • the method for downloading files from the cloud storage system in the embodiment of the present invention provides end-to-end confidentiality and integrity protection for the user, and solves the poor security of data storage in the cloud storage system in the related art. The problem.
  • an embodiment of the present invention further provides an apparatus for uploading a file to a cloud storage system, which is applied to a client, and includes:
  • the first generation module 401 is configured to: generate a file key
  • the first processing module 402 is configured to: perform security processing on the original data file according to the file key to generate a security data file;
  • the upload module 403 is configured to: send the secure data file to the cloud storage system.
  • the first generation module 401 may be configured to: generate the file key according to a user key and at least file information.
  • the file key is generated based on the pre-generated user key and file information, as well as the obtained user information, the current time, and the random information generated by the client itself.
  • the file information includes but is not limited to: a file name extracted from the original data file, a file identifier, and an optional recent tampering time.
  • the first processing module 402 is configured to: encrypt part or all of the original data file, and/or perform integrity protection processing on the original data file.
  • the encryption key used for encrypting part or all of the content of the original data file is: the file key or the first derivative key derived according to the file key; and the original data file
  • the key used to perform the integrity protection process is: the file key or a second derived key derived from the file key.
  • the first derivative key and the second derivative key may be different keys.
  • the uploading module may be further configured to: further send information for generating a file key other than the user key to the cloud storage system.
  • the device for uploading a file to the cloud storage system in the embodiment of the present invention is a device corresponding to the method for uploading a file to the cloud storage system, and all the implementation manners of the foregoing methods are applicable to the embodiment of the device, and can also achieve the following: It provides end-to-end confidentiality and integrity protection for users, and solves the problem of poor data storage security in cloud storage systems in related technologies.
  • an embodiment of the present invention further provides an apparatus for downloading a file from a cloud storage system.
  • an apparatus for downloading a file from a cloud storage system include:
  • the downloading module 501 is configured to: receive a security data file sent by the cloud storage system according to the download request;
  • the second generation module 502 is configured to: generate a file key
  • the second processing module 503 is configured to: perform security analysis processing on the security data file according to the file key.
  • the downloading module 501 is further configured to: receive related file information sent by the cloud storage system according to the download request.
  • the second generation module 502 is configured to: generate the file key according to a pre-generated user key and at least file information.
  • the file key is generated based on the pre-generated user key and file information, and the obtained user information, the current time, and the random information generated by the client itself.
  • the second processing module 503 is configured to: decrypt part or all of the content of the secure data file, and/or perform integrity protection check processing on the secure data file.
  • the key used for decrypting part or all of the content of the secure data file and the key used for performing integrity protection check processing on the secure data file may be different keys.
  • the device for downloading files from the cloud storage in the embodiment of the present invention provides end-to-end confidentiality and integrity protection for the user, and solves the problem of poor data storage security in the cloud storage system in the related art.
  • the device for downloading a file from the cloud storage system is a device corresponding to the foregoing downloading method, and all the implementation manners in the foregoing downloading method embodiment are applicable to the embodiment of the downloading device, and can also achieve the same. Technical effects.
  • the method for uploading a file to a cloud storage system in the embodiment of the present invention the user uploading data on the client
  • the file key is generated first, and then the original data file is processed securely according to the file key to generate a secure data file, and then the secure data file is sent to the cloud storage system for storage. It provides end-to-end confidentiality and integrity protection for users' data stored in cloud storage, and solves the problem of poor data storage security in cloud storage systems in related technologies. Therefore, the present invention has strong industrial applicability.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

一种上传文件到云存储系统的方法、下载方法及装置，该上传文件到云存储系统的方法应用于客户端，包括：生成文件密钥；根据所述文件密钥对原始数据文件进行安全处理，生成安全数据文件；将所述安全数据文件发送给云存储系统。上述技术方案为用户存放在云存储系统中的数据提供了端到端的机密性与完整性保护，解决了云存储系统中数据存储安全性较差的问题。

Description

一种上传文件到云存储系统的方法、 下载方法及装置
技术领域
本发明涉及上传文件到云存储系统的技术领域， 特别涉及一种上传文件 到云存储系统的方法、 下载方法及装置。
背景技术
随着云存储的迅猛发展， 越来越多的人或服务开始选择使用云存储环境 来存放自己的资料，云存储的使用者可以将自己的文件上传到云存储环境中， 由云存储服务提供商进行管理， 并指定其他用户对其文件具有访问权限， 从 而实现文件的共享。
但是， 云存储环境让数据的拥有者失去了对数据的完全控制， 这使得数 据的安全性面临着一系列的威胁， 例如： 利用大规模僵尸网络进行的拒绝服 存放在 "云" 中的用户隐私信息的恶意攻击、 窃取、 非法利用等， 手段花样 繁多。 除此以外， 组成 "云" 的各种系统和应用依然要面对在传统的单机或 者内网环境中所面临的各种病毒、 木马和其它恶意软件的威胁。 如果把敏感 数据（包括： 经济类文档， 个人医疗记录）存放在由他人控制的云存储环境 中， 随着共享存储的使用者增多， 这些问题将变得越发严重。 因此， 基于云 存储服务的系统对安全机制有着十分迫切的需求。
发明内容
本发明实施例要解决的技术问题是提供一种上传文件到云存储系统的方 法、 下载方法及装置， 解决相关技术中云存储系统中数据存储安全性较差的 问题。
为解决上述技术问题， 釆用如下技术方案：
一种上传文件到云存储系统的方法， 应用于客户端， 包括：
生成文件密钥； 根据所述文件密钥对原始数据文件进行安全处理， 生成安全数据文件； 将所述安全数据文件发送给云存储系统。
可选地， 所述生成文件密钥的步骤包括：
才艮据预先生成的用户密钥和文件信息， 生成所述文件密钥。
可选地， 所述文件信息包括： 从原始数据文件中提取的文件名、 文件标 识以及最近爹改时间。
可选地， 根据所述文件密钥对原始数据文件进行安全处理， 生成安全数 据文件的步骤包括：
对所述原始数据文件的部分或全部内容进行加密， 和 /或对所述原始数据 文件进行完整性保护处理。
可选地， 所述对原始数据文件的部分或者全部内容进行加密所釆用的加 密密钥是： 所述文件密钥或者根据所述文件密钥导出的第一派生密钥；
对所述原始数据文件进行完整性保护处理所用到的密钥是： 所述文件密 钥或者根据所述文件密钥导出的第二派生密钥。
可选地， 还包括：
将除所述用户密钥之外的用于产生文件密钥的信息发送给云存储系统。
一种从云存储系统下载文件的方法， 包括：
接收云存储系统根据下载请求发送的安全数据文件；
生成文件密钥；
根据所述文件密钥对所述安全数据文件进行安全分析处理。
可选地， 还包括：
接收所述云存储系统根据下载请求发送的相关文件信息。
可选地， 所述相关文件信息包括： 安全元数据文件。
可选地， 所述安全元数据文件包括文件标识、 文件所有者标识、 文件名、 最近修改时间、 安全处理时间、 随机信息、 安全参数和访问控制列表中的一 个或多个。
可选地， 根据所述文件密钥对所述安全数据文件进行安全分析处理的步 骤包括：
对安全数据文件进行部分或全部内容的解密， 和 /或对所述安全数据文件 进行完整性保护校验处理。
一种上传文件到云存储系统的装置，应用于客户端， 包括第一生成模块、 第一处理模块和上传模块， 其中：
所述第一生成模块设置成： 生成文件密钥；
所述第一处理模块设置成： 根据所述文件密钥对原始数据文件进行安全 处理， 生成安全数据文件；
所述上传模块设置成： 将所述安全数据文件发送给云存储系统。
一种从云存储系统下载文件的装置， 包括下载模块、 第二生成模块和第 二处理模块， 其中：
所述下载模块设置成： 接收所述云存储系统根据下载请求发送的安全数 据文件；
所述第二生成模块设置成： 生成文件密钥；
所述第二处理模块设置成： 根据所述文件密钥对所述安全数据文件进行 安全分析处理。
上述技术方案的有益效果如下：
本发明实施例的上传文件到云存储系统的方法， 用户在客户端上传数据 文件时， 先生成文件密钥， 然后根据文件密钥对原始数据文件进行安全处理， 生成安全数据文件， 再将安全数据文件发送到云存储系统进行存储。 为用户 存放在云存储中的数据提供了端到端的机密性与完整性保护， 解决了相关技 术中云存储系统中数据存储安全性较差的问题。 附图概述
图 1为本发明实施例的上传文件到云存储系统的方法的流程图； 图 2为本发明实施例的从云存储下载文件的方法的流程图；
图 3为本发明实施例的一种安全元数据文件的结构图；
图 4为本发明实施例的上传文件到云存储系统的装置的结构图； 图 5为本发明实施例的从云存储下载文件的装置的结构图。
本发明的较佳实施方式
下面将结合附图及具体实施例进行详细描述。
本发明实施例的上传文件到云存储系统的方法， 为用户存放在云存储中 的数据提供了端到端的机密性与完整性保护， 解决了相关技术中云存储系统 中数据存储安全性较差的问题。
如图 1所示， 本发明实施例的上传文件到云存储系统的方法， 应用于客 户端， 包括：
步骤 101 , 生成文件密钥；
步骤 102 , 根据所述文件密钥对原始数据文件进行安全处理， 生成安全 数据文件；
步骤 103 , 将所述安全数据文件发送给云存储系统。
本发明实施例的上传文件到云存储系统的方法， 用户在客户端上传数据 文件时， 先生成文件密钥， 然后根据文件密钥对原始数据文件进行安全处理， 生成安全数据文件， 再将安全数据文件发送到云存储系统进行存储。 为用户 存放在云存储中的数据提供了端到端的机密性与完整性保护， 解决了相关技 术中云存储系统中数据存储安全性较差的问题。
上述步骤 101 中， 文件密钥才艮据预先生成的用户密钥和至少文件信息生 成， 以下具体实施例， 用于说明举例而非限制：
一种具体实施例， 所述文件密钥， 根据用户密钥、 文件信息以及客户端 获得的用户信息， 如用户名、 用户标识， 当前时间生成；
一种具体实施例， 所述文件密钥， 根据用户密钥、 文件信息以及客户端 获得的用户信息， 如用户名、 用户标识， 客户端自己生成的随机信息等生 成。
其中， 所述文件信息包括但不限于： 从原始数据文件中提取的文件名、 文件标识 , 以及可选的最近爹改时间。
本发明的具体实施例中， 用户信息可以是用户名、 用户标识等， 在此不 ——举例。 其中， 用户输入的信息可以是口令信息。
上述步骤 102中， 根据所述文件密钥对原始数据文件进行安全处理， 生 成安全数据文件的步骤包括：
对所述原始数据文件的部分或全部内容进行加密， 和 /或对所述原始数据 文件进行完整性保护处理。
具体的， 所述对原始数据文件的部分或者全部内容进行加密所釆用的加 密密钥是： 所述文件密钥或者根据所述文件密钥导出的第一派生密钥； 对所 述原始数据文件进行完整性保护处理所用到的密钥是： 所述文件密钥或者根 据所述文件密钥导出的第二派生密钥。
本发明实施例的上传文件到云存储系统的方法， 还可以进一步包括： 将除所述用户密钥之外的用于产生文件密钥的信息发送给云存储系统。 下面对本发明的具体实施例说明如下：
当用户在客户端上传文件到云存储系统时， 先根据预先由客户端生成的 用户密钥和从原始数据文件中提取的文件信息生成文件密钥； 其中， 所述文 件信息， 以及上述生成文件密钥时所釆用的用户信息、 当前时间、 随机信息 等， 均可以文件的形式保存和传输；
然后根据文件密钥对原始数据文件的部分或全部内容进行加密， 和 /或完 整性保护处理； 加密和完整性保护使用的密钥可以是不一样的； 加密和完整 性保护的处理顺序不限制， 可以先加密， 再对密文进行完整性保护； 也可以 先对原始数据文件进行完整性保护， 再进行加密。
最后将安全数据文件和除用户密钥外用于产生文件密钥的信息发送给云 存储系统， 从而提高数据存储的安全性。
如图 2所示，本发明的实施例还提供一种从云存储系统下载文件的方法， 包括：
步骤 201 , 接收云存储系统根据下载请求发送的安全数据文件； 步骤 202, 生成文件密钥；
步骤 203 , 根据所述文件密钥对所述安全数据文件进行安全分析处理。 本发明实施例的从云存储系统下载文件的方法， 用户从云存储系统下载 文件时， 先接收云存储系统根据下载请求发送的安全数据文件， 然后生成文 件密钥， 再根据文件密钥对安全数据文件进行安全分析处理。 解决了云存储 系统中数据存储安全性较差的问题。
本发明实施例的从云存储系统下载文件的方法， 还包括：
接收所述云存储系统根据下载请求发送的相关文件信息。
其中， 所述相关文件信息包括： 安全元数据文件。 具体的， 所述安全元 数据文件可以包括文件标识、 文件所有者标识、 文件名、 最近修改时间、 安 全处理时间、 随机信息、 安全参数和访问控制列表中的一个或几个。 如图 3 所示的一种具体实施例， 安全元数据文件包括文件标识、 文件所有者标识、 文件名、 最近修改时间、 安全处理时间、 随机信息、 安全参数和访问控制列 表， 但该图 3所示的仅为安全元数据文件的一种举例， 安全元数据文件的内 容和格式并不仅限于图 3所示的内容和格式，如安全元数据文件也可以包括： 文件名、 文件标识、 文件所有者标识、 最近修改时间、 安全处理时间、 随机 信息、 安全参数和访问控制列表； 安全元数据文件也可以进一步包括其它的 内容。
本发明的具体实施例中， 安全元数据文件包含的信息可用于生成文件密 钥。 其中， 安全处理时间是根据原始数据文件生成文件密钥以进行安全处理 的当前时间。 其中， 安全参数是安全处理和安全分析处理时需要用到的公开 参数。 具体的， 安全参数可以 于离散对数问题 Discrete Logarithm Problem 的密码体制的参数， 包括但不限于有限域（ Finite field )上的离散对数问题和 椭圓曲线（Elliptic Curve )上的离散对数问题。 其中， 随机信息用于增加生成 的文件密钥的随机性。
一种具体实施例， 安全参数包括群（Group ) 的阶 p和该群的生成元 g, 随机信息为 gy, y为 1到 p-1的随机数， 用户密钥为 X, x为单向函数 KDF 在输入 Filelnfo、 UserInfo、 TimeInfo、 Secret等信息后的输出， 其中， Filelnfo 为包括文件名、 文件标识和 /或最近修改时间等信息的文件信息， Userlnfo为 用户信息， Timelnfo为当前时间， Secret为用户密钥， KDF为密码学安全的 哈希函数（如 SHA2 )或者密钥导出函数， 则生成的文件密钥为 gyx。
本发明的具体实施例中， 访问控制列表用来记录原始数据文件的访问权 限， 可以包括用来标识具有访问权限的用户的用户名和 ACL项。 其中， ACL 项包括经过保护处理的文件密钥， 所述保护处理可以是对文件密钥的加密， 也可以是如下具体实施例所述的方式：
假定用户 IDz为访问控制列表中记录的一具有某文件访问权限的用户， 所述安全数据文件的文件密钥为上述 gyx, 则 ACL项为 （gz ) yx, 其中 gz为 对应用户 IDz的公钥， z是对应用户 IDz的私钥，则该用户在收到包含该 ACL 项的安全元数据文件后，可根据私钥 z恢复出文件密钥 gyx, 然后再根据文件 密钥对接收到的安全数据文件进行安全分析处理。
上述步骤 202中， 生成文件密钥的步骤具体为：
根据预先生成的用户密钥和至少文件信息， 生成所述文件密钥； 例如根 据预先生成的用户密钥和文件信息， 以及获得的用户信息、 当前时间以及客 户端自己生成的随机信息， 生成所述文件密钥。
上述步骤 203中， 根据所述文件密钥对所述安全数据文件进行安全分析 处理的步骤包括：
对安全数据文件进行部分或全部内容的解密， 和 /或对所述安全数据文件 进行完整性保护校验处理。 其中， 对安全数据文件进行部分或者全部内容的 解密所釆用的密钥与对所述安全数据文件进行完整性保护校验处理所釆用的 密钥可以是不同的密钥。
本发明实施例的从云存储系统下载文件的方法， 为用户提供了端到端的 机密性与完整性保护， 解决了相关技术中云存储系统中数据存储安全性较差 的问题。
如图 4所示，本发明的实施例还提供一种上传文件到云存储系统的装置， 应用于客户端， 包括：
第一生成模块 401设置成： 生成文件密钥；
第一处理模块 402设置成： 根据所述文件密钥对原始数据文件进行安全 处理， 生成安全数据文件；
上传模块 403设置成： 将所述安全数据文件发送给云存储系统。
其中， 该实施例中， 上述第一生成模块 401是可以设置成： 根据预先生 成的用户密钥和至少文件信息， 生成所述文件密钥。 例如才艮据预先生成的用 户密钥和文件信息， 以及获得的用户信息、 当前时间以及客户端自己生成的 随机信息， 生成所述文件密钥。
其中， 所述文件信息包括但不限于： 从原始数据文件中提取的文件名、 文件标识 , 以及可选的最近爹改时间。
可选地， 上述第一处理模块 402是设置成： 对所述原始数据文件的部分 或全部内容进行加密， 和 /或对所述原始数据文件进行完整性保护处理。
其中， 所述对原始数据文件的部分或者全部内容进行加密所釆用的加密 密钥是： 所述文件密钥或者根据所述文件密钥导出的第一派生密钥； 对所述 原始数据文件进行完整性保护处理所用到的密钥是： 所述文件密钥或者根据 所述文件密钥导出的第二派生密钥。 其中， 所述第一派生密钥与所述第二派 生密钥可以是不同的密钥。
本发明实施例的上传文件到云存储系统的装置， 所述上传模块还可以设 置成： 进一步将除所述用户密钥之外的用于产生文件密钥的信息发送给云存 储系统。
本发明实施例的上传文件到云存储系统的装置是与上述上传文件到云存 储系统的方法对应的装置， 上述方法中的所有实现方式均适用于该装置的实 施例中， 也同样能达到： 为用户提供了端到端的机密性与完整性保护， 解决 了相关技术中云存储系统中数据存储安全性较差的问题。
如图 5所示，本发明的实施例还提供一种从云存储系统下载文件的装置， 包括：
下载模块 501设置成： 接收所述云存储系统根据下载请求发送的安全数 据文件；
第二生成模块 502设置成： 生成文件密钥；
第二处理模块 503设置成： 根据所述文件密钥对所述安全数据文件进行 安全分析处理。
其中， 在上述下载装置中， 所述下载模块 501还设置成： 接收所述云存 储系统根据下载请求发送的相关文件信息。
另外， 上述第二生成模块 502设置成： 根据预先生成的用户密钥和至少 文件信息， 生成所述文件密钥。 例如才艮据预先生成的用户密钥和文件信息， 以及获得的用户信息、 当前时间以及客户端自己生成的随机信息， 生成所述 文件密钥。
上述第二处理模块 503是设置成： 对安全数据文件进行部分或全部内容 的解密， 和 /或对所述安全数据文件进行完整性保护校验处理。 其中， 对安全 数据文件进行部分或者全部内容的解密所釆用的密钥与对所述安全数据文件 进行完整性保护校验处理所釆用的密钥可以是不同的密钥。
本发明实施例的从云存储下载文件的装置， 为用户提供了端到端的机密 性与完整性保护， 解决了相关技术中云存储系统中数据存储安全性较差的问 题。
需要说明的是， 该从云存储系统下载文件的装置是与上述下载方法相对 应的装置， 其中上述下载方法实施例中所有实现方式均适用于该下载装置的 实施例中， 也能达到同样的技术效果。
以上所述是本发明的优选实施方式， 应当指出， 对于本技术领域的普通 技术人员来说， 在不脱离本发明所述原理的前提下， 还可以作出若干改进和 润饰， 这些改进和润饰也应视为本发明的保护范围。
工业实用性
本发明实施例的上传文件到云存储系统的方法， 用户在客户端上传数据 文件时， 先生成文件密钥， 然后根据文件密钥对原始数据文件进行安全处理， 生成安全数据文件， 再将安全数据文件发送到云存储系统进行存储。 为用户 存放在云存储中的数据提供了端到端的机密性与完整性保护， 解决了相关技 术中云存储系统中数据存储安全性较差的问题。 因此本发明具有很强的工业 实用性。

Claims

权 利 要 求 书
1. 一种上传文件到云存储系统的方法， 应用于客户端， 包括：
生成文件密钥；
根据所述文件密钥对原始数据文件进行安全处理， 生成安全数据文件； 将所述安全数据文件发送给云存储系统。
2. 根据权利要求 1所述的上传文件到云存储系统的方法， 其中， 所述生 成文件密钥的步骤包括：
才艮据预先生成的用户密钥和文件信息， 生成所述文件密钥。
3. 根据权利要求 2所述的上传文件到云存储系统的方法， 其中， 所述文 件信息包括： 从原始数据文件中提取的文件名、 文件标识以及最近修改时间。
4. 根据权利要求 1所述的上传文件到云存储系统的方法， 其中， 根据所 述文件密钥对原始数据文件进行安全处理， 生成安全数据文件的步骤包括： 对所述原始数据文件的部分或全部内容进行加密， 和 /或对所述原始数据 文件进行完整性保护处理。
5. 根据权利要求 4所述的上传文件到云存储系统的方法， 其中： 所述对原始数据文件的部分或者全部内容进行加密所釆用的加密密钥 是： 所述文件密钥或者根据所述文件密钥导出的第一派生密钥；
对所述原始数据文件进行完整性保护处理所用到的密钥是： 所述文件密 钥或者根据所述文件密钥导出的第二派生密钥。
6. 根据权利要求 1所述的上传文件到云存储系统的方法， 还包括： 将除所述用户密钥之外的用于产生文件密钥的信息发送给云存储系统。
7. 一种从云存储系统下载文件的方法， 包括：
接收云存储系统根据下载请求发送的安全数据文件；
生成文件密钥；
根据所述文件密钥对所述安全数据文件进行安全分析处理。
8. 根据权利要求 7所述的从云存储系统下载文件的方法， 还包括： 接收所述云存储系统根据下载请求发送的相关文件信息。
9. 根据权利要求 8所述的从云存储系统下载文件的方法， 其中， 所述相 关文件信息包括： 安全元数据文件。
10. 根据权利要求 9所述的从云存储系统下载文件的方法， 其中， 所述 安全元数据文件包括文件标识、 文件所有者标识、 文件名、 最近修改时间、 安全处理时间、 随机信息、 安全参数和访问控制列表中的一个或多个。
11. 根据权利要求 7所述的从云存储系统下载文件的方法， 其中， 根据 所述文件密钥对所述安全数据文件进行安全分析处理的步骤包括：
对安全数据文件进行部分或全部内容的解密， 和 /或对所述安全数据文件 进行完整性保护校验处理。
12. 一种上传文件到云存储系统的装置， 应用于客户端， 包括第一生成 模块、 第一处理模块和上传模块， 其中：
所述第一生成模块设置成： 生成文件密钥；
所述第一处理模块设置成： 根据所述文件密钥对原始数据文件进行安全 处理， 生成安全数据文件；
所述上传模块设置成： 将所述安全数据文件发送给云存储系统。
13. 一种从云存储系统下载文件的装置， 包括下载模块、 第二生成模块 和第二处理模块， 其中：
所述下载模块设置成： 接收所述云存储系统根据下载请求发送的安全数 据文件；
所述第二生成模块设置成： 生成文件密钥；
所述第二处理模块设置成： 根据所述文件密钥对所述安全数据文件进行 安全分析处理。
PCT/CN2014/078943 2013-09-18 2014-05-30 一种上传文件到云存储系统的方法、下载方法及装置 WO2014180416A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
EP14794751.9A EP3035641A4 (en) 2013-09-18 2014-05-30 METHOD FOR UPLOADING A FILE ON A CLOUD STORAGE SYSTEM, DOWNLOAD PROCESS AND DEVICE

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310430510.8 2013-09-18
CN201310430510.8A CN104468664A (zh) 2013-09-18 2013-09-18 一种上传文件到云存储系统的方法、下载方法及装置

Publications (1)

Publication Number Publication Date
WO2014180416A1 true WO2014180416A1 (zh) 2014-11-13

Family

ID=51866796

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/078943 WO2014180416A1 (zh) 2013-09-18 2014-05-30 一种上传文件到云存储系统的方法、下载方法及装置

Country Status (3)

Country Link
EP (1) EP3035641A4 (zh)
CN (1) CN104468664A (zh)
WO (1) WO2014180416A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105025041A (zh) * 2015-08-25 2015-11-04 北京百度网讯科技有限公司 文件上传的方法、装置和系统
CN110046506A (zh) * 2017-12-27 2019-07-23 三星电子株式会社 存储设备和包括存储设备的存储系统及使用其进行操作的方法
EP3441903A4 (en) * 2015-10-14 2019-10-23 Digital Arts Inc. ACCESS MANAGEMENT SYSTEM, FILE ACCESS SYSTEM, ENCRYPTION DEVICE AND PROGRAM
CN113420300A (zh) * 2021-06-21 2021-09-21 福建天晴数码有限公司 一种检测和防御文件上传漏洞的方法及系统
CN115484353A (zh) * 2021-06-16 2022-12-16 中移动信息技术有限公司 适用于水印图片的处理方法、电子设备及存储介质

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10887371B2 (en) 2015-09-14 2021-01-05 Google Llc Systems and methods for content storage and retrieval
CN105357202A (zh) * 2015-11-12 2016-02-24 中国电子科技网络信息安全有限公司 云平台用户密钥管理装置及管理方法
CN106060099A (zh) * 2016-08-15 2016-10-26 北京奇虎科技有限公司 数据访问方法、装置及系统
CN107154945A (zh) * 2017-05-31 2017-09-12 中南大学 一种基于纠删码的多云碎片化安全存储方法及系统
CN107704769A (zh) * 2017-09-21 2018-02-16 北京奇安信科技有限公司 一种基于标记化文件的数据迁移方法及装置
CN109145602B (zh) * 2018-07-06 2020-06-02 成都亚信网络安全产业技术研究院有限公司 一种勒索软件攻击的防护方法及装置
US11184423B2 (en) 2018-10-24 2021-11-23 Microsoft Technology Licensing, Llc Offloading upload processing of a file in a distributed system using a key that includes a hash created using attribute(s) of a requestor and/or the file
CN109922142B (zh) * 2019-02-21 2022-04-19 创新先进技术有限公司 一种文件下载方法、装置及系统
CN111865891B (zh) * 2019-12-31 2023-08-15 北京嘀嘀无限科技发展有限公司 一种数据传输方法、用户端、电子设备及可读存储介质
CN113553611A (zh) * 2020-04-26 2021-10-26 中国电信股份有限公司 文件加密存储方法和系统、用户终端、云平台和存储介质
CN113918981B (zh) * 2021-12-14 2022-03-08 苏州浪潮智能科技有限公司 一种基于属性的加密方法及系统
CN115378659B (zh) * 2022-07-28 2024-04-16 中国电子科技集团公司第三十研究所 基于用户身份的高可靠文件加密和细粒度访问控制方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110289310A1 (en) * 2010-05-20 2011-11-24 Selgas Thomas D Cloud computing appliance
CN102685148A (zh) * 2012-05-31 2012-09-19 清华大学 一种云存储环境下的安全网盘系统的实现方法
CN102946440A (zh) * 2012-12-04 2013-02-27 乐视致新电子科技（天津）有限公司 一种基于云存储技术的自动云同步与恢复系统
CN103259762A (zh) * 2012-02-16 2013-08-21 中兴通讯股份有限公司 一种基于云存储的文件加密、解密方法及系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8452957B2 (en) * 2010-04-27 2013-05-28 Telefonaktiebolaget L M Ericsson (Publ) Method and nodes for providing secure access to cloud computing for mobile users
CN103051664B (zh) * 2012-08-14 2016-04-27 深圳市朗科科技股份有限公司 一种云存储系统的文件管理方法、装置及该云存储系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110289310A1 (en) * 2010-05-20 2011-11-24 Selgas Thomas D Cloud computing appliance
CN103259762A (zh) * 2012-02-16 2013-08-21 中兴通讯股份有限公司 一种基于云存储的文件加密、解密方法及系统
CN102685148A (zh) * 2012-05-31 2012-09-19 清华大学 一种云存储环境下的安全网盘系统的实现方法
CN102946440A (zh) * 2012-12-04 2013-02-27 乐视致新电子科技（天津）有限公司 一种基于云存储技术的自动云同步与恢复系统

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105025041A (zh) * 2015-08-25 2015-11-04 北京百度网讯科技有限公司 文件上传的方法、装置和系统
EP3441903A4 (en) * 2015-10-14 2019-10-23 Digital Arts Inc. ACCESS MANAGEMENT SYSTEM, FILE ACCESS SYSTEM, ENCRYPTION DEVICE AND PROGRAM
CN110046506A (zh) * 2017-12-27 2019-07-23 三星电子株式会社 存储设备和包括存储设备的存储系统及使用其进行操作的方法
CN115484353A (zh) * 2021-06-16 2022-12-16 中移动信息技术有限公司 适用于水印图片的处理方法、电子设备及存储介质
CN113420300A (zh) * 2021-06-21 2021-09-21 福建天晴数码有限公司 一种检测和防御文件上传漏洞的方法及系统
CN113420300B (zh) * 2021-06-21 2023-09-08 福建天晴数码有限公司 一种检测和防御文件上传漏洞的方法及系统

Also Published As

Publication number Publication date
EP3035641A4 (en) 2016-08-31
EP3035641A1 (en) 2016-06-22
CN104468664A (zh) 2015-03-25

Similar Documents

Publication Publication Date Title
WO2014180416A1 (zh) 一种上传文件到云存储系统的方法、下载方法及装置
EP3291481B1 (en) Decrypting encrypted data on an electronic device
Keelveedhi et al. {DupLESS}:{Server-Aided} encryption for deduplicated storage
CN108418796B (zh) 云数据多副本完整性验证及关联删除的方法、云存储系统
US9852300B2 (en) Secure audit logging
EP3149651A2 (en) System and method for secure review of audit logs
US10897362B2 (en) De-duplication of encrypted data
CN107453880B (zh) 一种云数据安全存储方法和系统
CN103427998A (zh) 一种面向互联网数据分发的身份验证和数据加密方法
WO2022154843A1 (en) Systems and methods for encrypted content management
US11444761B2 (en) Data protection and recovery systems and methods
Manthiramoorthy et al. Comparing several encrypted cloud storage platforms
CA2891610C (en) Agent for providing security cloud service and security token device for security cloud service
Pujar et al. Survey on data integrity and verification for cloud storage
CN105871858A (zh) 一种保证数据安全的方法及系统
Hussien et al. Scheme for ensuring data security on cloud data storage in a semi-trusted third party auditor
Mohammed et al. Secure third party auditor (tpa) for ensuring data integrity in fog computing
Neela et al. A Hybrid Cryptography Technique with Blockchain for Data Integrity and Confidentiality in Cloud Computing
Nandini et al. Implementation of hybrid cloud approach for secure authorized deduplication
Pritha et al. Deduplication based storage and retrieval of data from cloud environment
US20220360429A1 (en) Location-key encryption system
Shah et al. Third party public auditing scheme for security in cloud storage
Bharali et al. Secure Files Storage in Cloud using Hybrid Cryptography
Xuan An End-to-End Encryption Solution for Enterprise Content Applications
Ramesh KL Neela

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14794751

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2014794751

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE