[發明專利]一種云存儲中的數據細粒度訪問控制方法

有效

• 申請號: 201310084280.4
• 申請日: 2013-03-15
• 公開（公告）號: CN103179114A
• 公開（公告）日: 2013-06-26
• 發明（設計）人: 李瑞軒;沈成林;何亨;辜希武;李玉華;韓洪木;葉威
• 申請（專利權）人: 華中科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 華中科技大學專利中心 42201
• 代理人: 朱仁玲

1.一種云存儲中的數據細粒度訪問控制方法，其特征在于，包括以下步驟：

步驟1.數據擁有者對文件進行分塊并根據訪問控制策略制定文件塊的外部訪問策略及內部訪問策略，可信第三方根據屬性密碼機制生成公鑰及主密鑰，將公鑰發送給數據擁有者，并將主密鑰自己保留；

步驟2.數據擁有者使用對稱密碼機制對文件塊進行加密處理，使用屬性密鑰機制對對稱密鑰進行加密處理，并將文件塊密文及密鑰密文發送到云端；

步驟3.數據擁有者和可信第三方使用屬性密碼機制對用戶進行授權，對用戶的每一個屬性，均生成一個屬性密鑰和一個經屬性加密函數處理的屬性；

步驟4.數據擁有者向可信第三方發送用戶權限變更聲明，可信第三方根據用戶權限變更聲明判斷是為用戶增加還是刪除權限，如果是為用戶增加權限，則可信第三方向用戶發放屬性及屬性密鑰，如果是為用戶刪除屬性，則可信第三方生成重加密密鑰發送給云端，由云端更新外部訪問控制策略及對稱密鑰密文；

步驟5.用戶向云端發送文件訪問請求，云端根據外部訪問控制策略對其做初步訪問控制，并將文件包發送給合法用戶，用戶根據屬性密碼機制解密對稱密鑰密文，以進一步解密文件塊。

2.根據權利要求1所述的數據細粒度訪問控制方法，其特征在于，步驟1具體包括以下子步驟：

1.1數據擁有者選擇需要上傳的文件，對文件進行分塊，形成文件塊，并根據系統中的屬性制定文件塊的訪問控制策略；

1.2數據擁有者提取各個文件塊的訪問控制策略中的公共部分，將其作為外部訪問控制策略，各文件塊的訪問控制策略中剩余的部分作為各個文件塊的內部訪問控制策略；

1.3數據擁有者向可信第三方發送公鑰申請，公鑰申請中包含數據擁有者的身份信息；

1.4可信第三方接收來自數據擁有者的公鑰申請，并根據屬性密碼機制為數據擁有者生成公鑰PK及主密鑰MK，且不同數據擁有者的公鑰及主密鑰互不相同；

1.5可信第三方將生成的公鑰PK發送給數據擁有者；

1.6數據擁有者接收并保存公鑰PK。

3.根據權利要求1所述的數據細粒度訪問控制方法，其特征在于，步驟2具體包括以下子步驟：

2.1數據擁有者根據文件塊數目，利用對稱密碼機制隨機生成對應數目的對稱密鑰，并利用對稱密鑰對數據塊進行加密生成密文，每個數據塊的加密密鑰不同；

2.2數據擁有者將公鑰PK、數據塊的內部訪問控制策略及對稱密鑰作為輸入、采用屬性密碼機制對對稱密鑰進行加密，以生成對稱密鑰密文；

2.3數據擁有者對外部訪問控制策略中的屬性進行屬性加密函數處理；

2.4數據擁有者將步驟（2.1）中生成的數據塊密文、步驟（2.2）中生成的對應的對稱密鑰密文、步驟（2.3）中生成的經屬性加密函數處理后的外部訪問控制策略作為一個數據包，整體上傳至云端；

2.5云端接收并存儲來自數據擁有者的數據包。

4.根據權利要求1所述的數據細粒度訪問控制方法，其特征在于，步驟3具體包括以下子步驟：

3.1判斷登錄進入系統的用戶是否是首次登錄用戶，如果該用戶是首次登錄用戶，轉步驟（3.2）；如果該用戶不是首次登錄用戶，轉步驟（3.8）；

3.2用戶向數據擁有者發送授權申請；

3.3數據擁有者接收用戶授權申請，根據用戶授權申請為用戶指定屬性，根據指定的屬性生成用戶授權聲明，并將用戶授權聲明發送至可信第三方；

3.4可信第三方接收用戶授權申請，在用戶屬性信息表中加入用戶的屬性信息，將步驟（1.3）中生成的主密鑰、用戶的屬性作為輸入，采用屬性密碼機制為用戶生成屬性密鑰；

3.5可信第三方將用戶的屬性使用屬性加密函數處理；

3.6可信第三方將步驟（3.4）中生成的屬性密鑰及步驟（3.5）中經屬性加密函數處理后的屬性發送給用戶；

3.7用戶接收并保存屬性密鑰及加密后的屬性；

3.8用戶向可信第三方發送權限更新申請；

3.9可信第三方根據權限更新申請檢查該用戶是否有需要更新的屬性，如果有需要更新的屬性，轉步驟（3.10），否則轉步驟（3.12）；

3.10可信第三方將用戶需要更新的屬性密鑰及經過屬性加密函數處理的更新屬性發送該用戶；

3.11用戶接收并保存屬性密鑰及加密后的屬性；

3.12可信第三方發送消息給用戶，通知用戶沒有需要更新的屬性。