WO2022170810A1 - 一种云存储数据的处理方法、装置及计算机系统 - Google Patents
一种云存储数据的处理方法、装置及计算机系统 Download PDFInfo
- Publication number
- WO2022170810A1 WO2022170810A1 PCT/CN2021/131747 CN2021131747W WO2022170810A1 WO 2022170810 A1 WO2022170810 A1 WO 2022170810A1 CN 2021131747 W CN2021131747 W CN 2021131747W WO 2022170810 A1 WO2022170810 A1 WO 2022170810A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- data
- user
- signature
- identity
- access policy
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims abstract description 44
- 238000012545 processing Methods 0.000 title claims abstract description 19
- 238000012795 verification Methods 0.000 claims abstract description 57
- 230000035945 sensitivity Effects 0.000 description 10
- 230000008569 process Effects 0.000 description 9
- 238000004891 communication Methods 0.000 description 6
- 238000010586 diagram Methods 0.000 description 3
- 238000007726 management method Methods 0.000 description 2
- 239000002699 waste material Substances 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 239000013256 coordination polymer Substances 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 230000007812 deficiency Effects 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 230000002452 interceptive effect Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
- 230000001172 regenerating effect Effects 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
- H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
Definitions
- the invention relates to the field of data processing, in particular to a method, device and computer system for processing cloud storage data.
- the cloud storage platform mainly uses attribute-based encryption for fine-grained access control of stored data, and uses access control attribute sets to perform autonomous access control mainly according to the CP/KP-ABE encryption algorithm.
- processes such as data encryption and sharing based on the CP-ABE algorithm include:
- KGC Key Center
- the key center uses MK and PK to generate the user's private key SKi according to the attribute set AB i of each user, and securely transmit it to each user;
- the key center determines the attribute set of the user who can obtain the data according to the access control policy corresponding to the plaintext data to be stored, and generates the access structure AC according to the attribute set; the plaintext data is encrypted according to the AC and PK;
- the user obtains encrypted data from the data platform.
- the user's attribute set AB n ⁇ AC the user can decrypt the encrypted data with his own key SK n and PK to obtain plaintext data.
- the main purpose of the present invention is to provide a method, device and computer system for processing cloud storage data, so as to solve the above technical problems of the prior art.
- the present invention provides a method for processing cloud storage data, the method comprising:
- the access policy corresponding to the data identifier is acquired, and the access policy includes a preset identifier that can access the data to be acquired;
- the data to be acquired is returned to the first user.
- the method includes:
- the data upload request includes the data to be stored, the signature and identity of the second user, and the encryption level of the data to be stored;
- the signature of the second user is verified according to the public key of the second user, and when the verification is passed, the data to be stored, the signature and identity of the second user, and the encryption level of the data to be stored are stored.
- returning the to-be-obtained data to the first user includes:
- the encryption level corresponding to the data to be obtained determine whether the data to be obtained is encrypted data
- the method includes:
- the signature of the third user is verified according to the public key of the third user, and when the verification is passed, the target access policy is stored so as to subsequently determine the identity identifier that can access the data to be shared according to the target access policy .
- the method includes:
- the second original signature is verified according to the public key before the update and the updated signature is verified according to the updated public key;
- the stored identity of the fourth user is updated to the updated identity, and the encrypted data stored by the fourth user is re-encrypted according to the second re-encryption key.
- storing the data to be stored, the signature and identity of the second user, and the encryption level of the data to be stored include:
- a backup of the data to be stored is generated and the data to be stored and the backup are stored in a storage database.
- storing the target access policy so as to subsequently determine the identity identifier that can access the data to be shared according to the target access policy includes:
- the access policy of the data to be shared is stored, so that the access policy of the data to be shared can be subsequently determined according to the target access policy and the historical access policy.
- the identity of the shared data is stored, so that the access policy of the data to be shared can be subsequently determined according to the target access policy and the historical access policy.
- the present application provides a processing device for cloud storage data, the device comprising:
- a receiving module configured to receive a data acquisition request sent by a first user, where the data acquisition request includes an identity identifier of the first user, a signature, and a data identifier corresponding to the data to be acquired, and the signature is based on the first user's data. generating a private key; and when the verification is passed, acquiring an access policy corresponding to the data identifier, where the access policy includes a preset identifier that can access the data to be acquired;
- a verification module configured to verify the signature according to the public key of the first user
- a returning module configured to return the data to be acquired to the first user when the corresponding access policy includes the identity of the first user.
- the receiving module may be further configured to receive a data upload request sent by a second user, where the data upload request includes the data to be stored, the signature and identity of the second user, and the identity of the data to be stored. encryption level;
- the verification module can also be used to verify the signature of the second user according to the public key of the second user, and when the verification is passed, store the data to be stored, the signature and identity of the second user, the The encryption level of the data to be stored.
- the application provides a computer system, the system includes:
- processors one or more processors
- a memory associated with the one or more processors the memory is used to store program instructions, and the program instructions, when read and executed by the one or more processors, perform the following operations:
- the access policy corresponding to the data identifier is acquired, and the access policy includes a preset identifier that can access the data to be acquired;
- the data to be acquired is returned to the first user.
- the present application provides a method for processing cloud storage data, which includes receiving a data acquisition request sent by a first user, where the data acquisition request includes the first user's identity identifier, signature, and a data identifier corresponding to the data to be acquired.
- the signature is generated according to the private key of the first user; the signature is verified according to the public key of the first user; when the verification is passed, the access policy corresponding to the data identifier is obtained, and the access policy includes a predetermined
- the identity identifier that can access the data to be acquired; when the corresponding access policy includes the identity identifier of the first user, the data to be acquired is returned to the first user, and the cloud platform can be based on each
- the access policy corresponding to a data identifier determines the user who can access the data corresponding to the data identifier.
- the identifier of the accessible data stored in the corresponding access policy can be directly modified, avoiding the need for the prior art.
- Generating a new access structure AC and encrypting storage takes up a lot of storage space and consumes computing resources, and compared with the attribute-based access control in the prior art, the access rights of each data can be managed in a finer granularity, and the processing efficiency is improved.
- Fig. 1 is a cloud storage architecture diagram provided by an embodiment of the present application
- FIG. 3 is a structural diagram of a device provided by an embodiment of the present application.
- FIG. 4 is a structural diagram of a computer system provided by an embodiment of the present application.
- the storage data of the cloud platform mainly adopts the attribute-based access control method, and every time the access authority of the data changes, the corresponding access structure needs to be regenerated and encrypted, resulting in storage problems. Waste of space and computing resources.
- the present application proposes a method for processing data stored in the cloud.
- the cloud platform can determine the users who can access the data corresponding to the data identifier according to the access policy corresponding to each data identifier, and when the data needs to be shared with other users. can directly modify the identity of the accessible data stored in the corresponding access policy, avoid generating a new access structure AC and encrypting storage in the prior art to occupy a large amount of storage space and consume computing resources, and compared with the prior art Attribute-based access control can manage the access rights of each data in a more fine-grained manner, improving processing efficiency.
- a cloud storage platform as shown in FIG. 1 can be established, in which KGC can be independently deployed on a trusted third-party server for key management.
- the cloud storage platform has a large number of tenants, that is, users. Users can store the data generated by their own servers and wait to be stored to the storage server of the cloud storage platform via the gateway of the cloud storage platform.
- KGC CIBPRE's fine-grained identity control-based proxy re-encryption algorithm to generate private key ski and public key pk i for each user according to each user's ID i , and store each user's ID i .
- a user's corresponding public key and the user's private key ski are transmitted online through a secure encrypted channel or delivered to the corresponding user by offline mailing. Among them, the ID of each user is unique.
- the uploading process includes:
- User A sends a data upload request to the cloud storage platform
- the upload request includes data to be uploaded.
- the upload request includes plaintext data m1, user A's signature sign m1 (sk a , m 1
- D) is a signature result value generated by signing at least one of m1, ID a and D with the private key sk a of user A according to an asymmetric signature algorithm such as ecc.
- the value of the data sensitivity level D may be 1.
- the upload request includes ciphertext data c1, user A's signature signc1 (ska, c1
- the value of the data sensitivity level D may be 0.
- the ciphertext data is encrypted data generated by encrypting the original data to be uploaded m1 and the signature sign m1 using the private key of user A according to the CIBPRE encryption algorithm.
- the cloud storage gateway verifies the signature of the upload request, stores the data to be uploaded, the signature, the identity ID a and the data sensitivity level D after the verification is passed, and returns the data ID oid corresponding to the data to be uploaded;
- the cloud storage gateway can verify the signature according to user A's public key.
- the cloud storage gateway can match the data to be uploaded with the data stored in the storage server after the verification is passed.
- the stored data contains the same data as the data to be uploaded, User A can be directly added to the owner record of the same data to save storage space.
- redundant storage can be performed according to the three backup data of the sound field of the data to be uploaded.
- User A can obtain the data uploaded by itself from the cloud storage platform, and the obtaining process includes:
- the data acquisition request includes the signature sign (ska, rands
- the signature sign (ska, rands
- user A can use the private key to decrypt it to obtain plaintext data and signature sign m1 .
- User A can use its own public key to verify the signature sign m1 , and when the verification is passed, it can be determined that the acquired data is the original stored data, so as to prevent the data from being tampered with.
- the process of data sharing includes:
- User A sends a data sharing request to the cloud storage gateway
- the sharing request includes the access control policy set group1 (S1, oid-g1, rk1, D) and the signature sign2 (ska, rands
- the re-encryption key rk1 is generated by using the RK algorithm of the CIBPRE broadcast proxy re-encryption algorithm.
- the sharing request includes the access control policy set group1 (S1, oid-g1, D) and the signature sign2 (ska, rands
- the access control policy set group1 S1, oid-g1, D
- the signature sign2 ska, rands
- the signature sign2 (ska, rands
- the cloud storage gateway verifies the signature according to the public key of user A, and when the verification passes, stores the access control policy set group1 in the policy database for subsequent invocation.
- the cloud storage gateway can first query the respective owner records of all data corresponding to the data identification set oid-g1 and the existing access control policy set in the policy database, and then determine whether the ID of user A is recorded in the owner record or has been Some access control policy sets. When there is a record, the verification of the signature is performed again.
- the obtaining process includes:
- User B sends a data acquisition request to the cloud storage gateway
- the acquisition request includes user B's signature sign3 (skb, rands
- sign3 (skb, rands
- the corresponding access policy set may be obtained from the access policy cache library first, and when the corresponding access policy set does not exist in the access policy cache library, the access policy set may be acquired from the access policy database.
- the access policy cache library is used to store access policies that have been hit within a preset time period. Specifically, after the corresponding access control policy set is acquired from the access policy database, the acquired access control policy set is stored in the access policy cache library.
- the preset time period may be any length of time, preferably 5 minutes.
- the corresponding access control policy set when there are multiple data to be acquired, there may also be multiple access control policies included in the corresponding access control policy set.
- all access control policies include user B
- user B can obtain all the data to be obtained; when some access control policies include user B but others do not, user B can obtain the corresponding access control policies including User B's data to be acquired.
- the data sensitivity level is 1, it indicates that the data is plaintext data. When it is 0, the data is ciphertext data.
- User B uses the private key sk b to decrypt the re-encrypted data to obtain the plaintext data to be obtained and the signature sign m1 ;
- User B can verify the signature sign m1 according to user A's public key to ensure the integrity of the resource.
- the cloud storage platform can directly send the plaintext data to the user.
- the above sharing and obtaining process realizes the secret sharing of ciphertext data, the cloud storage cannot obtain the content of ciphertext information, and the interactive process of key negotiation is not required when sharing encrypted data among users.
- the process of regenerating the public and private keys and re-encrypting the data includes:
- the private key generation request includes user A's signature signID (ska, rands
- User A generates the original signature sign' (ska, rands
- the cloud storage platform verifies the original signature sign' according to the original public key, and updates the signature sign2' according to the updated key verification;
- the present application provides a method for processing cloud storage data, as shown in FIG. 2 , the method includes:
- 210 Receive a data acquisition request sent by a first user, where the data acquisition request includes an identity identifier of the first user, a signature, and a data identifier corresponding to the data to be acquired, and the signature is generated according to the private key of the first user. ;
- the first user, the second user, the third user and the fourth user in this application may be any user of the cloud storage platform, and the first user, the second user, the third user and the fourth user may be different users , or the same user, which is not limited in this application.
- the corresponding access policy includes the identity identifier of the first user, return the data to be acquired to the first user.
- the method includes:
- the corresponding access policy includes the identity of the first user, returning the to-be-obtained data to the first user:
- storing the data to be stored, the signature and identity of the second user, and the encryption level of the data to be stored include:
- the method includes:
- 260 Receive a data sharing request sent by a third user, where the data sharing request includes a signature of the third user, a data identification of the data to be shared, and a target access policy;
- storing the target access policy so as to subsequently determine the identity identifier that can access the data to be shared according to the target access policy includes:
- the method includes:
- the present application provides a processing device for cloud storage data, as shown in FIG. 3 , the device includes:
- the receiving module 310 is configured to receive a data acquisition request sent by a first user, where the data acquisition request includes an identity identifier of the first user, a signature, and a data identifier corresponding to the data to be acquired, and the signature is based on the first user. and when the verification is passed, obtain the access policy corresponding to the data identifier, and the access policy includes a preset identifier that can access the data to be acquired;
- a verification module 320 configured to verify the signature according to the public key of the first user
- Returning module 330 configured to return the to-be-obtained data to the first user when the corresponding access policy includes the identity of the first user.
- the receiving module 310 is further configured to receive a data upload request sent by a second user, where the data upload request includes the data to be stored, the signature and identity of the second user, and the encryption level of the data to be stored
- the verification module 320 can also be used to verify the signature of the second user according to the public key of the second user, and when the verification is passed, store the data to be stored, the signature and the identity of the second user, The encryption level of the data to be stored.
- the returning module 330 is further configured to determine whether the data to be obtained is encrypted data according to the encryption level corresponding to the data to be obtained; if it is encrypted data, according to the first encryption level corresponding to the data to be obtained
- the encryption key re-encrypts the to-be-obtained data; returns the re-encrypted to-be-obtained data to the first user, so that the first user can decrypt the re-encrypted data according to the first user's private key the data to be obtained and obtain the data to be obtained in plaintext.
- the receiving module 310 is further configured to receive a data sharing request sent by a third user, where the data sharing request includes the signature of the third user, the data identification of the data to be shared, and the target access policy; the verification module 320 can also be used to verify the signature of the third user according to the public key of the third user; the device further includes a storage module for storing the target access policy when the verification passes The target access policy determines the identities that can access the data to be shared.
- the receiving module 310 is further configured to receive a private key update request sent by a fourth user, where the update request includes the original identity of the fourth user, the updated identity and the first original signature, the first An original signature is generated according to the original private key of the fourth user, and a second original signature, an updated signature and a second re-encryption key returned by the fourth user are generated and received, and the second original signature is based on the fourth user
- the original private key is generated, and the updated signature is generated according to the updated private key
- the verification module 320 can also be used to verify the signature of the fourth user according to the public key of the fourth user and to verify the signature of the fourth user according to the public key before the update.
- the second original signature is verified by the key and the updated signature is verified according to the updated public key; the return module 330 can also be used to generate an updated private key and public key according to the updated identity when the verification is passed. Return the updated private key to the fourth user, and the storage module can also be used to update the stored identity of the fourth user to the updated identity when all verifications are passed, and according to the The second re-encryption key re-encrypts the encrypted data stored by the fourth user.
- the storage module can also be used to query whether the same data exists in the storage database as the to-be-stored data; if there is, record the identity of the second user to the owner corresponding to the same data record; when it does not exist, generate a backup of the to-be-stored data and store the to-be-stored data and the backup into a storage database.
- the storage module can also be used to obtain the owner record and historical access policy of the data to be shared when the verification is passed; when the identity of the third user belongs to the owner record or historical access policy , and store the access policy of the data to be shared so as to subsequently determine the identity identifier that can access the data to be shared according to the target access policy and the historical access policy.
- Embodiment 4 of the present application provides a computer system, including: one or more processors; and a memory associated with the one or more processors, where the memory is used to store program instructions , when the program instructions are read and executed by the one or more processors, the following operations are performed:
- the access policy corresponding to the data identifier is acquired, and the access policy includes a preset identifier that can access the data to be acquired;
- the data to be acquired is returned to the first user.
- FIG. 4 exemplarily shows the architecture of the computer system, which may specifically include a processor 1510 , a video display adapter 1511 , a disk drive 1512 , an input/output interface 1513 , a network interface 1514 , and a memory 1520 .
- the processor 1510 , the video display adapter 1511 , the disk drive 1512 , the input/output interface 1513 , and the network interface 1514 , and the memory 1520 may be communicatively connected through the communication bus 1530 .
- the processor 1510 may be implemented by a general-purpose CPU (Central Processing Unit, central processing unit), a microprocessor, an application specific integrated circuit (Application Specific Integrated Circuit, ASIC), or one or more integrated circuits, etc. Execute relevant programs to realize the technical solutions provided by this application.
- a general-purpose CPU Central Processing Unit, central processing unit
- a microprocessor central processing unit
- ASIC Application Specific Integrated Circuit
- the memory 1520 may be implemented in the form of a ROM (Read Only Memory, read-only memory), a RAM (Random Access Memory, random access memory), a static storage device, a dynamic storage device, and the like.
- the memory 1520 may store an operating system 1521 for controlling the operation of the computer system 1500 , and a basic input output system (BIOS) 1522 for controlling the low-level operations of the computer system 1500 .
- BIOS basic input output system
- a web browser 1523, a data storage management 1524, an icon font processing system 1525, and the like may also be stored.
- the above-mentioned icon font processing system 1525 may be an application program that specifically implements the operations of the foregoing steps in this embodiment of the present application.
- the input/output interface 1513 is used for connecting input/output modules to realize information input and output.
- the input/output/module can be configured in the device as a component (not shown in the figure), or can be externally connected to the device to provide corresponding functions.
- the input device may include a keyboard, a mouse, a touch screen, a microphone, various sensors, etc.
- the output device may include a display, a speaker, a vibrator, an indicator light, and the like.
- the network interface 1514 is used to connect a communication module (not shown in the figure), so as to realize the communication interaction between the device and other devices.
- the communication module can implement communication through wired means (such as USB, network cable, etc.), or can implement communication through wireless means (such as mobile network, WIFI, Bluetooth, etc.).
- Bus 1530 includes a path that transfers information between the various components of the device (eg, processor 1510, video display adapter 1511, disk drive 1512, input/output interface 1513, network interface 1514, and memory 1520).
- processor 1510 processor 1510, video display adapter 1511, disk drive 1512, input/output interface 1513, network interface 1514, and memory 1520.
- the computer system 1500 can also obtain the information of the specific collection conditions from the virtual resource object collection condition information database 1541, so as to be used for condition judgment, and so on.
- the above device only shows the processor 1510, the video display adapter 1511, the disk drive 1512, the input/output interface 1513, the network interface 1514, the memory 1520, the bus 1530, etc., in the specific implementation process, the A device may also include other components necessary for proper operation.
- the above-mentioned device may also include only the necessary components to realize the solution of the present application, instead of all the components shown in the figures.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Storage Device Security (AREA)
Abstract
本申请公开了一种云存储数据的处理方法、装置及计算机系统，方法包括接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；根据所述第一用户的公钥对所述签名进行验证；当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户，云平台可根据每一数据标识对应的访问策略确定可访问数据标识对应的数据的用户，避免了现有技术中生成新的访问结构并加密存储会占用大量存储空间并消耗计算资源的问题。
Description
本发明涉及数据处理领域，尤其涉及一种云存储数据的处理方法、装置及计算机系统。
现有技术中，云存储平台对存储数据的细粒度访问控制主要采用的技术为属性基加密，主要根据CP/KP-ABE加密算法使用访问控制属性集合来进行自主访问控制。例如，基于CP-ABE算法的数据加密和分享等流程包括：
初始化：密钥中心（KGC）根据秘密参数、属性全集产生公开参数PK与主密钥MK，并将PK公开给所有用户；
生成密钥：密钥中心根据每一用户的属性集合AB
i，利用MK、PK生成用户私钥SKi，安全传递给各用户；
数据加密：密钥中心根据待存储的明文数据对应的访问控制策略，确定可获取该数据的用户的属性集，根据属性集生成访问结构AC；根据AC及PK对明文数据进行加密；
用户解密：用户从数据平台获取加密数据，当该用户的属性集合AB
n∈AC时，该用户即可使用自身的密钥SK
n以及PK对加密数据进行解密，以获得明文数据。
基于上述现有技术，当数据需要动态分享时，该数据对应的访问控制策略需要常常被更新，这就导致需要生成新的访问结构AC并加密存储，造成了存储空间的浪费。
为了解决现有技术的不足，本发明的主要目的在于提供一种云存储数据的处理方法、装置及计算机系统，以解决现有技术的上述技术问题。
为了达到上述目的，第一方面本发明提供了一种云存储数据的处理方法，所述方法包括：
接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
根据所述第一用户的公钥对所述签名进行验证；
当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
在一些实施例中，所述方法包括：
接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；
根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
在一些实施例中，所述当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户包括：
根据所述待获取数据对应的加密级别，确定所述待获取数据是否为加密数据；
当是加密数据时，根据所述待获取数据对应的第一重加密密钥对所述待获取数据进行重加密；
将重加密的所述待获取数据返回给所述第一用户，以便所述第一用户根据所述第一用户的私钥解密所述重加密的待获取数据并获得明文的所述待获取数据。
在一些实施例中，所述方法包括：
接收第三用户发送的数据分享请求，所述数据分享请求包括所述第三用户的签名及待分享数据的数据标识及目标访问策略；
根据所述第三用户的公钥对所述第三用户的签名进行验证，当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识。
在一些实施例中，所述方法包括：
接收第四用户发送的私钥更新请求，所述更新请求包括所述第四用户的原身份标识、更新的身份标识及第一原始签名，所述第一原始签名根据所述第四用户的原私钥生成；
根据所述第四用户的公钥验证所述第四用户的签名，当验证通过时，根据所述更新的身份标识生成更新的私钥和公钥并将更新的私钥返回给所述第四用户；
接收所述第四用户返回的第二原始签名、更新签名及第二重加密密钥，所述第二原始签名根据所述第四用户的原私钥生成，所述更新签名根据所述更新的私钥生成；
根据更新前的公钥验证所述第二原始签名并根据更新后的公钥验证所述更新签名；
当均验证通过时，将存储的所述第四用户的身份标识更新为所述更新的身份标识，并根据所述第二重加密密钥对所述第四用户存储的加密数据进行重加密。
在一些实施例中，所述当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别包括：
查询存储数据库中是否存在与所述待存储数据相同的数据；
当存在时，将所述第二用户的身份标识记录至所述相同的数据对应的拥有者记录；
当不存在时，生成所述待存储数据的备份并将所述待存储数据及所述备份存储至存储数据库。
在一些实施例中，所述当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识包括：
当验证通过时，获取所述待分享数据的拥有者记录及历史访问策略；
当所述第三用户的身份标识属于所述拥有者记录或历史访问策略时，存储所述待分享数据的访问策略以便后续根据所述目标访问策略和所述历史访问策略确定可访问所述待分享数据的身份标识。
第二方面，本申请提供了一种云存储数据的处理装置，所述装置包括：
接收模块，用于接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；及当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
验证模块，用于根据所述第一用户的公钥对所述签名进行验证；
返回模块，用于当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
在一些实施例中，所述接收模块还可用于接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；
所述验证模块还可用于根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
第三方面，本申请提供了一种计算机系统，所述系统包括：
一个或多个处理器；
以及与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如下操作：
接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
根据所述第一用户的公钥对所述签名进行验证；
当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
本申请提供了一种云存储数据的处理方法，包括接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；根据所述第一用户的公钥对所述签名进行验证；当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户，云平台可根据每一数据标识对应的访问策略确定可访问数据标识对应的数据的用户，当数据需要被分享给其他用户时可以直接修改相应的访问策略中存储的可访问数据的身份标识，避免了现有技术中生成新的访问结构AC并加密存储占用大量存储空间并消耗计算资源，且相较于现有技术中基于属性的访问控制可以更细粒度地管理每一数据的访问权限，提升了处理效率。
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本申请实施例提供的云存储架构图；
图2是本申请实施例提供的方法流程图；
图3是本申请实施例提供的装置结构图；
图4是本申请实施例提供的计算机系统结构图。
为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如背景技术所述，现有技术中对云平台的存储数据主要采用基于属性基的访问控制方法，在每次数据的访问权限发生更改时都需要重新生成相应的访问结构并加密，造成了存储空间和计算资源的浪费。
为解决上述技术问题，本申请提出了一种云存储数据的处理方法，云平台可根据每一数据标识对应的访问策略确定可访问数据标识对应的数据的用户，当数据需要被分享给其他用户时可以直接修改相应的访问策略中存储的可访问数据的身份标识，避免了现有技术中生成新的访问结构AC并加密存储占用大量存储空间并消耗计算资源，且相较于现有技术中基于属性的访问控制可以更细粒度地管理每一数据的访问权限，提升了处理效率。
实施例一
具体的，可建立如图1所示的云存储平台，其中KGC可独立部署于可信第三方服务器，用于管理密钥。云存储平台具有大量的租户即用户，用户可将自身的服务器产生的数据等待存储的数据经由云存储平台的网关存储至云存储平台的存储服务器这种。
初始化时，用户可将自身的ID
i上传至KGC。KGC验证id
i是云存储平台的合法用户后可使用CIBPRE细粒度基于身份控制的代理重加密算法，根据每一用户的ID
i为每一用户生成私钥sk
i及公钥pk
i，存储每一用户对应的公钥并将用户的私钥sk
i通过安全加密通道线上传输或通过线下邮寄等方式送达至对应的用户。其中，每一用户的ID都是唯一的。
用户在获得了密钥后，可以通过调用云存储网关将数据上传至云存储平台。所述上传过程包括：
A1、用户A向云存储平台发送数据上传请求；
所述上传请求中包括待上传数据。当待上传数据是明文时，上传请求中包括明文数据m1、用户A的签名sign
m1（sk
a，m
1｜ID
a｜D）、用户A的身份标识即ID
a以及数据敏感级别D，其中签名sign
m1（sk
a，m
1｜ID
a｜D）是根据ecc等非对称签名算法使用用户A的私钥sk
a对m1、ID
a、D中的至少一个签名后生成的签名结果值。其中，当待上传数据是明文时，数据敏感级别D的值可以为1。
当待上传数据是密文时，上传请求中包括密文数据c1、用户A的签名signc1（ska，c1｜IDa｜D）、用户A的身份标识ID
a以及数据敏感级别D，其中签名sign
c1（sk
a，c
1｜ID
a｜D）是根据ecc等非对称签名算法使用用户A的私钥sk
a对c1、ID
a、D中的至少一个签名后生成的签名结果值。其中，当待上传数据是明文时，数据敏感级别D的值可以为0。密文数据是根据CIBPRE加密算法，使用用户A的私钥对原始的待上传数据m1及签名sign
m1加密后生成的加密数据。
A2、云存储网关对上传请求的签名进行校验，当校验通过后存储待上传数据、签名、身份标识ID
a以及数据敏感级别D，并返回待上传数据对应的数据标识oid；
具体的，云存储网关可根据用户A的公钥对签名进行校验。
其中，为了避免相同数据的重复存储，云存储网关在校验通过后可将待上传数据与存储服务器中已存储的数据进行匹配，当已存储的数据中存在与待上传数据相同的数据时，可直接将该相同的数据的拥有者记录中增加用户A，以节省存储空间。
当已存储数据中不存在与待上传数据相同的数据时，可根据待上传数据声场三份备份数据进行冗余存储，其中存储服务器对每一份备份数据都按照存储逻辑磁盘块分片存储，存储到多个物理设备，以减少数据整体损坏的风险并提高存储空间利用率。
用户A可从云存储平台获取自身已上传的数据，所述获取的过程包括：
A3、向云存储平台发送数据获取请求；
该数据获取请求中包括签名sign（ska，rands||oid||timestamp）及待获取数据的数据标识oid。其中中签名sign（ska，rands||oid||timestamp）是根据ecc等非对称签名算法使用用户A的私钥sk
a对rands、oid、timestamp中的至少一个签名后生成的签名结果值，rands是随机字符串，timestamp为时间戳。
A4、根据用户A的公钥对签名进行校验，当校验通过时从存储服务器中获取数据标识对应的完整的数据副本并返回给用户A。
当返回的数据是密文数据时，用户A可使用私钥对其进行解密，得到明文数据及签名sign
m1。用户A可使用自身的公钥对签名sign
m1进行校验，当校验通过后可确定获取的数据是存储的原始数据，以防止数据被篡改。
当用户A需要将数据分享给用户B时，数据分享的过程包括：
B1、用户A向云存储网关发送数据分享请求；
当待分享数据是密文数据时，分享请求包括访问控制策略集合group1（S1，oid-g1，rk1，D）及签名sign2（ska，rands||group1||timestamp），其中访问控制策略集合group1（S1，oid-g1，rk1，D）包括待分享数据的数据标识集合oid-g1、可访问集合oid-g1的用户对应的身份标识ID的集合S1、重加密密钥rk1及数据敏感级别D。其中，重加密密钥rk1是利用CIBPRE广播代理重加密算法的RK算法生成的。
当待分享数据是明文数据时，分享请求包括访问控制策略集合group1（S1，oid-g1，D）及签名sign2（ska，rands||group1||timestamp），其中访问控制策略集合group1（S1，oid-g1，rk1，D）包括待分享数据的数据标识集合oid-g1、可访问集合oid-g1的用户对应的身份标识ID的集合S1及数据敏感级别D。
签名sign2（ska，rands||group1||timestamp）是根据ecc等非对称签名算法使用用户A的私钥sk
a对rands、group1及 timestamp中的至少一个签名后生成的签名结果值，rands是随机字符串，timestamp为时间戳。
B2、云存储网关根据用户A的公钥对签名进行验证，当验证通过时将访问控制策略集合group1存储在策略数据库中以便后续调用。
优选的，云存储网关可首先查询数据标识集合oid-g1对应的所有数据分别的拥有者记录以及策略数据库中已有的访问控制策略集合，然后确定用户A的ID是否记录在拥有者记录或已有的访问控制策略集合中。当存在记录时，再进行签名的验证。
当用户B需要获取用户A分享的数据时，获取过程包括：
C1、用户B向云存储网关发送数据获取请求；
获取请求中包括用户B的签名sign3（skb，rands||oid-g||ID
b||timestamp）、待获取数据的数据标识集合oid-g及用户B的身份标识ID
b。其中sign3（skb，rands||oid-g||ID
b||timestamp）是根据ecc等非对称签名算法使用用户B的私钥sk
b对rands、数据标识集合oid-g、身份标识ID
b及数据敏感级别D中的至少一个签名后生成的签名结果值。
C2、根据用户B的公钥验证用户B的签名，当验证通过后获取待获取数据的数据标识集合oid-g对应的所有数据的拥有者记录，当拥有者记录中包括用户B时，将对应的所有数据返回给用户B；
C3、当不包括用户B时，获取数据标识集合oid-g对应的所有数据的访问控制策略集合并确定访问控制策略中是否包含用户B；
具体的，可首先从访问策略缓存库中获取对应的访问策略集合，当访问策略缓存库中不存在该对应的访问策略集合时，可从访问策略数据库中获取访问策略集合。
访问策略缓存库中用于存储预设时间段内曾被命中过的访问策略。具体的，当从访问策略数据库中获取到对应的访问控制策略集合后，可以获取的访问控制策略集合存储到访问策略缓存库中。所述预设时间段可以是任意时间长度，优选为5分钟。
C4、当访问控制策略集合中包括用户B时，根据待获取数据的数据敏感级别确定待获取数据是否为密文数据；
具体的，当待获取数据有多个时，对应的访问控制策略集合包含的访问控制策略也可能有多个。当所有的访问控制策略都包括用户B时，用户B可以获取到所有的待获取数据；当有部分访问控制策略包括用户B但其余的不包括时，用户B可以获取到对应的访问控制策略包括用户B的待获取数据。
具体的，当数据敏感级别为1时，说明数据为明文数据。当为0时，数据为密文数据。
C5、当待获取数据为密文数据时，使用对应的重加密密钥对密文数据进行重加密并将重加密后的数据返回给用户B；
C6、用户B使用私钥sk
b对重加密的数据进行解密，获得明文的待获取数据及签名sign
m1；
用户B可根据用户A的公钥对签名sign
m1进行验证，以确保资源的完整性。
当待获取数据是明文数据时，云存储平台可以直接将明文数据发送给用户。
上述分享和获取过程实现了密文数据的秘密分享，云存储无法获取到密文信息的内容，且各用户间进行加密数据的分享时不需要进行密钥协商的交互过程。
当用户A的私钥需要更换时，公私钥的重新生成及数据的重新加密过程包括：
D1、用户A向云存储平台发送私钥生成请求；
所述私钥生成请求中包括用户A的签名signID（ska，rands|IDa|IDa’|timestamp）、随机数rands、时间戳timestamp、原身份标识ID
a、更新后的身份标识ID
a
’。
D2、根据用户A的公钥校验签名，当校验通过后，根据更新的身份标识Id
a
’生成用户A的更新后的公钥及私钥sk
a
’，并将私钥通过安全加密通道线上传输或通过线下邮寄等方式送达至用户A；
D3、用户A根据原私钥生成原始签名sign’（ska，rands|IDa|IDa’|timestamp），根据更新后的私钥生成更新签名sign2’（sk
a
’，rands|IDa|IDa’|timestamp）并上传至云存储平台；
D4、云存储平台根据原公钥验证原始签名sign’，根据更新后的密钥验证更新签名sign2’；
当均验证通过时，将记录中用户A的身份标识更新为更新后的身份标识IDa’，并利用重加密算法将用户A存储的数据进行重加密，以便用户A可使用更新后的私钥对数据进行解密。
实施例二
对应上述实施例，本申请提供了一种云存储数据的处理方法，如图2所示，所述方法包括：
210、接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
具体的，本申请中第一用户、第二用户、第三用户及第四用户可以是云存储平台的任意用户，第一用户、第二用户、第三用户及第四用户可以是不同的用户，也可以是同一个用户，本申请对此不加限定。
220、根据所述第一用户的公钥对所述签名进行验证；
230、当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
240、当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
优选的，所述方法包括：
250、接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；
251、根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
优选的，所述当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户：
252、根据所述待获取数据对应的加密级别，确定所述待获取数据是否为加密数据；
253、当是加密数据时，根据所述待获取数据对应的第一重加密密钥对所述待获取数据进行重加密；
254、将重加密的所述待获取数据返回给所述第一用户，以便所述第一用户根据所述第一用户的私钥解密所述重加密的待获取数据并获得明文的所述待获取数据。
优选的，所述当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别包括：
255、查询存储数据库中是否存在与所述待存储数据相同的数据；
256、当存在时，将所述第二用户的身份标识记录至所述相同的数据对应的拥有者记录；
257、当不存在时，生成所述待存储数据的备份并将所述待存储数据及所述备份存储至存储数据库。
优选的，所述方法包括：
260、接收第三用户发送的数据分享请求，所述数据分享请求包括所述第三用户的签名及待分享数据的数据标识及目标访问策略；
261、根据所述第三用户的公钥对所述第三用户的签名进行验证，当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识。
优选的，所述当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识包括：
262、当验证通过时，获取所述待分享数据的拥有者记录及历史访问策略；
263、当所述第三用户的身份标识属于所述拥有者记录或历史访问策略时，存储所述待分享数据的访问策略以便后续根据所述目标访问策略和所述历史访问策略确定可访问所述待分享数据的身份标识。
优选的，所述方法包括：
270、接收第四用户发送的私钥更新请求，所述更新请求包括所述第四用户的原身份标识、更新的身份标识及第一原始签名，所述第一原始签名根据所述第四用户的原私钥生成；
271、根据所述第四用户的公钥验证所述第四用户的签名，当验证通过时，根据所述更新的身份标识生成更新的私钥和公钥并将更新的私钥返回给所述第四用户；
272、接收所述第四用户返回的第二原始签名、更新签名及第二重加密密钥，所述第二原始签名根据所述第四用户的原私钥生成，所述更新签名根据所述更新的私钥生成；
273、根据更新前的公钥验证所述第二原始签名并根据更新后的公钥验证所述更新签名；
274、当均验证通过时，将存储的所述第四用户的身份标识更新为所述更新的身份标识，并根据所述第二重加密密钥对所述第四用户存储的加密数据进行重加密。
实施例三
对应上述实施例，本申请提供了一种云存储数据的处理装置，如图3所示，所述装置包括：
接收模块310，用于接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；及当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
验证模块320，用于根据所述第一用户的公钥对所述签名进行验证；
返回模块330，用于当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
优选的，所述接收模块310还可用于接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；所述验证模块320还可用于根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
优选的，所述返回模块330还可用于根据所述待获取数据对应的加密级别，确定所述待获取数据是否为加密数据；当是加密数据时，根据所述待获取数据对应的第一重加密密钥对所述待获取数据进行重加密；将重加密的所述待获取数据返回给所述第一用户，以便所述第一用户根据所述第一用户的私钥解密所述重加密的待获取数据并获得明文的所述待获取数据。
优选的，所述接收模块310还可用于接收第三用户发送的数据分享请求，所述数据分享请求包括所述第三用户的签名及待分享数据的数据标识及目标访问策略；所述验证模块320还可用于根据所述第三用户的公钥对所述第三用户的签名进行验证；所述装置还包括存储模块，用于当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识。
优选的，所述接收模块310还可用于接收第四用户发送的私钥更新请求，所述更新请求包括所述第四用户的原身份标识、更新的身份标识及第一原始签名，所述第一原始签名根据所述第四用户的原私钥生成及接收所述第四用户返回的第二原始签名、更新签名及第二重加密密钥，所述第二原始签名根据所述第四用户的原私钥生成，所述更新签名根据所述更新的私钥生成；所述验证模块320还可用于根据所述第四用户的公钥验证所述第四用户的签名及根据更新前的公钥验证所述第二原始签名并根据更新后的公钥验证所述更新签名；所述返回模块330还可用于当验证通过时，根据所述更新的身份标识生成更新的私钥和公钥并将更新的私钥返回给所述第四用户，所述存储模块还可用于当均验证通过时，将存储的所述第四用户的身份标识更新为所述更新的身份标识，并根据所述第二重加密密钥对所述第四用户存储的加密数据进行重加密。
优选的，所述存储模块还可用于查询存储数据库中是否存在与所述待存储数据相同的数据；当存在时，将所述第二用户的身份标识记录至所述相同的数据对应的拥有者记录；当不存在时，生成所述待存储数据的备份并将所述待存储数据及所述备份存储至存储数据库。
优选的，所述存储模块还可用于当验证通过时，获取所述待分享数据的拥有者记录及历史访问策略；当所述第三用户的身份标识属于所述拥有者记录或历史访问策略时，存储所述待分享数据的访问策略以便后续根据所述目标访问策略和所述历史访问策略确定可访问所述待分享数据的身份标识。
实施例四
对应上述方法、设备及系统，本申请实施例四提供一种计算机系统，包括： 一个或多个处理器；以及与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如下操作：
接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
根据所述第一用户的公钥对所述签名进行验证；
当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
其中，图4示例性的展示出了计算机系统的架构，具体可以包括处理器1510，视频显示适配器1511，磁盘驱动器1512，输入/输出接口1513，网络接口1514，以及存储器1520。上述处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，与存储器1520之间可以通过通信总线1530进行通信连接。
其中，处理器1510可以采用通用的CPU（Central Processing Unit，中央处理器）、微处理器、应用专用集成电路（Application Specific Integrated Circuit，ASIC）、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本申请所提供的技术方案。
存储器1520可以采用ROM（Read Only Memory，只读存储器）、RAM（Random Access Memory，随机存取存储器）、静态存储设备，动态存储设备等形式实现。存储器1520可以存储用于控制计算机系统1500运行的操作系统1521，用于控制计算机系统1500的低级别操作的基本输入输出系统(BIOS)1522。另外，还可以存储网页浏览器1523，数据存储管理1524，以及图标字体处理系统1525等等。上述图标字体处理系统1525就可以是本申请实施例中具体实现前述各步骤操作的应用程序。总之，在通过软件或者固件来实现本申请所提供的技术方案时，相关的程序代码保存在存储器1520中，并由处理器1510来调用执行。 输入/输出接口1513用于连接输入/输出模块，以实现信息输入及输出。输入输出/模块可以作为组件配置在设备中（图中未示出），也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。
网络接口1514用于连接通信模块（图中未示出），以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式（例如USB、网线等）实现通信，也可以通过无线方式（例如移动网络、WIFI、蓝牙等）实现通信。
总线1530包括一通路，在设备的各个组件（例如处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，与存储器1520）之间传输信息。
另外，该计算机系统1500还可以从虚拟资源对象领取条件信息数据库1541中获得具体领取条件的信息，以用于进行条件判断，等等。
需要说明的是，尽管上述设备仅示出了处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，存储器1520，总线1530等，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本申请方案所必需的组件，而不必包含图中所示的全部组件。
通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，云服务器，或者网络设备等）执行本申请各个实施例或者实施例的某些部分所述的方法。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的系统及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。
Claims (10)
- 一种云存储数据的处理方法，其特征在于，所述方法包括：接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；根据所述第一用户的公钥对所述签名进行验证；当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
- 根据权利要求1所述的方法，其特征在于，所述方法包括：接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
- 根据权利要求2所述的方法，其特征在于，所述当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户包括：根据所述待获取数据对应的加密级别，确定所述待获取数据是否为加密数据；当是加密数据时，根据所述待获取数据对应的第一重加密密钥对所述待获取数据进行重加密；将重加密的所述待获取数据返回给所述第一用户，以便所述第一用户根据所述第一用户的私钥解密所述重加密的待获取数据并获得明文的所述待获取数据。
- 根据权利要求1-3任一所述的方法，其特征在于，所述方法包括：接收第三用户发送的数据分享请求，所述数据分享请求包括所述第三用户的签名及待分享数据的数据标识及目标访问策略；根据所述第三用户的公钥对所述第三用户的签名进行验证，当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识。
- 根据权利要求1-3任一所述的方法，其特征在于，所述方法包括：接收第四用户发送的私钥更新请求，所述更新请求包括所述第四用户的原身份标识、更新的身份标识及第一原始签名，所述第一原始签名根据所述第四用户的原私钥生成；根据所述第四用户的公钥验证所述第四用户的签名，当验证通过时，根据所述更新的身份标识生成更新的私钥和公钥并将更新的私钥返回给所述第四用户；接收所述第四用户返回的第二原始签名、更新签名及第二重加密密钥，所述第二原始签名根据所述第四用户的原私钥生成，所述更新签名根据所述更新的私钥生成；根据更新前的公钥验证所述第二原始签名并根据更新后的公钥验证所述更新签名；当均验证通过时，将存储的所述第四用户的身份标识更新为所述更新的身份标识，并根据所述第二重加密密钥对所述第四用户存储的加密数据进行重加密。
- 根据权利要求2或3所述的方法，其特征在于，所述当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别包括：查询存储数据库中是否存在与所述待存储数据相同的数据；当存在时，将所述第二用户的身份标识记录至所述相同的数据对应的拥有者记录；当不存在时，生成所述待存储数据的备份并将所述待存储数据及所述备份存储至存储数据库。
- 根据权利要求4所述的方法，其特征在于，所述当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识包括：当验证通过时，获取所述待分享数据的拥有者记录及历史访问策略；当所述第三用户的身份标识属于所述拥有者记录或历史访问策略时，存储所述待分享数据的访问策略以便后续根据所述目标访问策略和所述历史访问策略确定可访问所述待分享数据的身份标识。
- 一种云存储数据的处理装置，其特征在于，所述装置包括：接收模块，用于接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；及当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；验证模块，用于根据所述第一用户的公钥对所述签名进行验证；返回模块，用于当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
- 根据权利要求8所述的装置，其特征在于，所述接收模块还可用于接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；所述验证模块还可用于根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
- 一种计算机系统，其特征在于，所述系统包括：一个或多个处理器；以及与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如下操作：接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；根据所述第一用户的公钥对所述签名进行验证；当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110178479.8 | 2021-02-09 | ||
| CN202110178479.8A CN112953930A (zh) | 2021-02-09 | 2021-02-09 | 一种云存储数据的处理方法、装置及计算机系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| WO2022170810A1 true WO2022170810A1 (zh) | 2022-08-18 |
Family
ID=76244786
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| PCT/CN2021/131747 WO2022170810A1 (zh) | 2021-02-09 | 2021-11-19 | 一种云存储数据的处理方法、装置及计算机系统 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN112953930A (zh) |
| WO (1) | WO2022170810A1 (zh) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115603865A (zh) * | 2022-12-13 | 2023-01-13 | 广东广宇科技发展有限公司（Cn） | 一种基于云存储的大数据快速传输方法 |
| CN116938594A (zh) * | 2023-09-08 | 2023-10-24 | 北京数盾信息科技有限公司 | 一种基于高速加密技术的多层次身份验证系统 |
| CN117454396A (zh) * | 2023-10-24 | 2024-01-26 | 深圳市马博士网络科技有限公司 | 一种私有云系统的强制访问控制系统及方法 |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN112953930A (zh) * | 2021-02-09 | 2021-06-11 | 苏宁易购集团股份有限公司 | 一种云存储数据的处理方法、装置及计算机系统 |
| CN113254986B (zh) * | 2021-07-16 | 2021-10-15 | 深圳市永兴元科技股份有限公司 | 数据处理方法、装置及计算机可读存储介质 |
| CN113821818B (zh) * | 2021-11-19 | 2022-02-08 | 国网浙江省电力有限公司 | 基于标识管理的中台访问隔阻方法、装置及存储介质 |
| CN114567477B (zh) * | 2022-02-24 | 2024-03-22 | 特赞（上海）信息科技有限公司 | 一种多方协同的权限管理方法、装置、终端及存储介质 |
| CN115378659B (zh) * | 2022-07-28 | 2024-04-16 | 中国电子科技集团公司第三十研究所 | 基于用户身份的高可靠文件加密和细粒度访问控制方法 |
| CN116599647B (zh) * | 2023-06-29 | 2023-09-29 | 中国电信股份有限公司 | 信息处理方法、服务节点、区块链网络和存储介质 |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102055730A (zh) * | 2009-11-02 | 2011-05-11 | 华为终端有限公司 | 云处理系统、云处理方法和云计算代理装置 |
| US20150139418A1 (en) * | 2013-11-20 | 2015-05-21 | At&T Intellectual Property I, L.P. | Method and Apparatus for User Identity Verification |
| CN104980477A (zh) * | 2014-04-14 | 2015-10-14 | 航天信息股份有限公司 | 云存储环境下的数据访问控制方法和系统 |
| CN108462568A (zh) * | 2018-02-11 | 2018-08-28 | 西安电子科技大学 | 一种基于区块链的安全文件存储和共享方法 |
| CN111031037A (zh) * | 2019-12-12 | 2020-04-17 | 北京金山云网络技术有限公司 | 用于对象存储服务的鉴权方法、装置及电子设备 |
| CN112953930A (zh) * | 2021-02-09 | 2021-06-11 | 苏宁易购集团股份有限公司 | 一种云存储数据的处理方法、装置及计算机系统 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108563788B (zh) * | 2018-04-27 | 2023-05-23 | 腾讯科技（深圳）有限公司 | 基于区块链的数据查询方法、装置、服务器及存储介质 |
-
2021
- 2021-02-09 CN CN202110178479.8A patent/CN112953930A/zh active Pending
- 2021-11-19 WO PCT/CN2021/131747 patent/WO2022170810A1/zh active Application Filing
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102055730A (zh) * | 2009-11-02 | 2011-05-11 | 华为终端有限公司 | 云处理系统、云处理方法和云计算代理装置 |
| US20150139418A1 (en) * | 2013-11-20 | 2015-05-21 | At&T Intellectual Property I, L.P. | Method and Apparatus for User Identity Verification |
| CN104980477A (zh) * | 2014-04-14 | 2015-10-14 | 航天信息股份有限公司 | 云存储环境下的数据访问控制方法和系统 |
| CN108462568A (zh) * | 2018-02-11 | 2018-08-28 | 西安电子科技大学 | 一种基于区块链的安全文件存储和共享方法 |
| CN111031037A (zh) * | 2019-12-12 | 2020-04-17 | 北京金山云网络技术有限公司 | 用于对象存储服务的鉴权方法、装置及电子设备 |
| CN112953930A (zh) * | 2021-02-09 | 2021-06-11 | 苏宁易购集团股份有限公司 | 一种云存储数据的处理方法、装置及计算机系统 |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN115603865A (zh) * | 2022-12-13 | 2023-01-13 | 广东广宇科技发展有限公司（Cn） | 一种基于云存储的大数据快速传输方法 |
| CN115603865B (zh) * | 2022-12-13 | 2023-03-14 | 广东广宇科技发展有限公司 | 一种基于云存储的大数据快速传输方法 |
| CN116938594A (zh) * | 2023-09-08 | 2023-10-24 | 北京数盾信息科技有限公司 | 一种基于高速加密技术的多层次身份验证系统 |
| CN116938594B (zh) * | 2023-09-08 | 2024-03-22 | 数盾信息科技股份有限公司 | 一种基于高速加密技术的多层次身份验证系统 |
| CN117454396A (zh) * | 2023-10-24 | 2024-01-26 | 深圳市马博士网络科技有限公司 | 一种私有云系统的强制访问控制系统及方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN112953930A (zh) | 2021-06-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| WO2022170810A1 (zh) | 一种云存储数据的处理方法、装置及计算机系统 | |
| EP3404891B1 (en) | Method and system for distributing digital content in peer-to-peer network | |
| US20230023857A1 (en) | Data processing method and apparatus, intelligent device, and storage medium | |
| WO2021184975A1 (zh) | 链上数据的链下隐私计算方法及装置 | |
| US9998464B2 (en) | Storage device security system | |
| US9098318B2 (en) | Computational asset identification without predetermined identifiers | |
| WO2019214211A1 (zh) | 基于区块链的用户数据授权方法、介质、装置和计算设备 | |
| CN102427442B (zh) | 组合请求相关元数据和元数据内容 | |
| US8997198B1 (en) | Techniques for securing a centralized metadata distributed filesystem | |
| US9825932B2 (en) | Storage system and method of storing and managing data | |
| US9165158B2 (en) | Encryption key management using distributed storage of encryption-key fragments | |
| EP1509827B1 (en) | Validation of inclusion of a platform within a data center | |
| CN102404314B (zh) | 远程资源单点登录 | |
| WO2018032379A1 (zh) | 一种用于区块链的非信任远程交易文件安全存储系统 | |
| US20150312243A1 (en) | Storage system and method of storing and managing data | |
| US11140140B2 (en) | Virtual cryptographic module with load balancer and cryptographic module fleet | |
| WO2020042822A1 (zh) | 密码运算、创建工作密钥的方法、密码服务平台及设备 | |
| WO2011050703A1 (zh) | 云处理系统、云处理方法和云计算代理装置 | |
| US20130227077A1 (en) | Identity data management system for high volume production of product-specific identity data | |
| US11258601B1 (en) | Systems and methods for distributed digital rights management with decentralized key management | |
| CN103401894A (zh) | 一种b/s架构的流媒体drm云服务系统及实现方法 | |
| US20230231850A1 (en) | Integration of Third-Party Encryption Key Managers with Cloud Services | |
| US20230244797A1 (en) | Data processing method and apparatus, electronic device, and medium | |
| CN110851851B (zh) | 一种块链式账本中的权限管理方法、装置及设备 | |
| US11252138B2 (en) | Redundant device locking key management system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| 121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 21925457 Country of ref document: EP Kind code of ref document: A1 |
|
| NENP | Non-entry into the national phase |
Ref country code: DE |
|
| 122 | Ep: pct application non-entry in european phase |
Ref document number: 21925457 Country of ref document: EP Kind code of ref document: A1 |