[發(fā)明專(zhuān)利]一種云環(huán)境下輕量級(jí)的細(xì)粒度訪問(wèn)控制方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201310138434.3
• 申請(qǐng)日: 2013-04-19
• 公開(kāi)（公告）號(hào): CN103227789A
• 公開(kāi)（公告）日: 2013-07-31
• 發(fā)明（設(shè)計(jì)）人: 彭智勇;程芳權(quán);王書(shū)林;宋偉
• 申請(qǐng)（專(zhuān)利權(quán)）人: 武漢大學(xué)
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L29/08
• 代理公司: 武漢科皓知識(shí)產(chǎn)權(quán)代理事務(wù)所(特殊普通合伙) 42222
• 代理人: 張火春

1.一種云環(huán)境下輕量級(jí)的細(xì)粒度訪問(wèn)控制方法，其特征在于，包括以下步驟：

步驟1：上傳數(shù)據(jù)及初始化，其實(shí)現(xiàn)方式為：

一方面，數(shù)據(jù)擁有者通過(guò)自己的公鑰本地加密所要上傳的明文數(shù)據(jù)，得到密文數(shù)據(jù)；然后將所述的密文數(shù)據(jù)上傳至云端；

另一方面，根據(jù)數(shù)據(jù)擁有者的訪問(wèn)控制需求，構(gòu)造相應(yīng)的權(quán)限控制節(jié)點(diǎn)層；

步驟2：數(shù)據(jù)的授權(quán)，其實(shí)現(xiàn)方式包括如下步驟：

步驟2.1：確定授權(quán)數(shù)據(jù)，針對(duì)每個(gè)所要授權(quán)的數(shù)據(jù)，生成一個(gè)對(duì)應(yīng)的數(shù)據(jù)鏡像，如果所述的數(shù)據(jù)需要被多次授權(quán)，則相應(yīng)生成多個(gè)鏡像，所述的數(shù)據(jù)擁有者為所述的每個(gè)鏡像生成一個(gè)公私鑰對(duì)；

步驟2.2：計(jì)算所述的數(shù)據(jù)與其鏡像之間的代理重加密密鑰，存儲(chǔ)在云端；

步驟2.3：計(jì)算會(huì)話密鑰，對(duì)于每一個(gè)被授權(quán)用戶(hù)，所述的數(shù)據(jù)擁有者通過(guò)自己的私鑰與所述的授權(quán)用戶(hù)的公鑰及公開(kāi)參數(shù)構(gòu)造出一個(gè)會(huì)話密鑰，所述的用戶(hù)指一個(gè)單用戶(hù)或者一個(gè)用戶(hù)群組；

步驟2.4：通過(guò)所述的會(huì)話密鑰對(duì)所述的鏡像的私鑰進(jìn)行加密，將加密后的密文存儲(chǔ)于所述的權(quán)限控制節(jié)點(diǎn)，同時(shí)更新所述的權(quán)限控制節(jié)點(diǎn)中所述的授權(quán)用戶(hù)信息；

步驟3：數(shù)據(jù)的讀?。?/p>

所述的用戶(hù)請(qǐng)求讀取所述的某個(gè)數(shù)據(jù)，系統(tǒng)首先根據(jù)所述的權(quán)限控制節(jié)點(diǎn)判斷所述的當(dāng)前用戶(hù)是否擁有該數(shù)據(jù)訪問(wèn)權(quán)限，如果有，則將所述的用戶(hù)請(qǐng)求的數(shù)據(jù)經(jīng)過(guò)鏡像的重加密以及其權(quán)限控制節(jié)點(diǎn)中加密的鏡像私鑰發(fā)送給所述的用戶(hù)，所述的用戶(hù)在客戶(hù)端則通過(guò)第一輪解密獲得所述的鏡像私鑰，然后利用該私鑰進(jìn)行第二輪解密并最終獲得所述的明文數(shù)據(jù)；否則，拒絕所述的用戶(hù)請(qǐng)求；

步驟4：授權(quán)撤銷(xiāo)：

所述的被授權(quán)用戶(hù)被請(qǐng)求撤銷(xiāo)授權(quán)，系統(tǒng)判斷所述的被授權(quán)用戶(hù)與所述的數(shù)據(jù)之間是否存在訪問(wèn)路徑，如果不存在，拒絕所述的請(qǐng)求；如果存在，系統(tǒng)判斷所述的權(quán)限控制節(jié)點(diǎn)是否存在該用戶(hù)信息，如果有：

如果所述的數(shù)據(jù)只對(duì)應(yīng)一個(gè)鏡像，則直接從云端刪除該數(shù)據(jù)鏡像，并清空其權(quán)限控制節(jié)點(diǎn)信息；

如果所述的數(shù)據(jù)只對(duì)應(yīng)一個(gè)鏡像，但是只針對(duì)部分用戶(hù)執(zhí)行授權(quán)撤銷(xiāo)，則首先清空權(quán)限控制節(jié)點(diǎn)中的對(duì)應(yīng)用戶(hù)信息，其次對(duì)當(dāng)前鏡像重新生成公私鑰對(duì)，并生成以該公私鑰對(duì)為目標(biāo)的重加密密鑰，以及加密處理其私鑰，最后更新權(quán)限控制節(jié)點(diǎn)中的用戶(hù)授權(quán)信息為加密后的鏡像私鑰；

如果所述的數(shù)據(jù)對(duì)應(yīng)于多個(gè)鏡像，且需要對(duì)所有鏡像執(zhí)行授權(quán)撤銷(xiāo)，則刪除對(duì)應(yīng)鏡像，并更新權(quán)限控制節(jié)點(diǎn)中的被授權(quán)用戶(hù)信息；

如果所述的數(shù)據(jù)對(duì)應(yīng)于多個(gè)鏡像，但是執(zhí)行多鏡像中部分用戶(hù)的授權(quán)撤銷(xiāo)，則針對(duì)相關(guān)的每一個(gè)鏡像，首先清空權(quán)限控制節(jié)點(diǎn)中的對(duì)應(yīng)用戶(hù)信息，其次對(duì)當(dāng)前鏡像重新生成公私鑰對(duì)，并生成以該公私鑰對(duì)為目標(biāo)的重加密密鑰，以及加密處理其私鑰，最后更新權(quán)限控制節(jié)點(diǎn)中的用戶(hù)授權(quán)信息為加密后的鏡像私鑰；

否則，拒絕所述的請(qǐng)求；

步驟5：數(shù)據(jù)更新，當(dāng)對(duì)云端的某些所述的數(shù)據(jù)進(jìn)行更新后，

如果是對(duì)其訪問(wèn)授權(quán)保持不變，則不執(zhí)行任何操作；

如果需要撤銷(xiāo)某些所述的授權(quán)，則按照所述的步驟4中的授權(quán)撤銷(xiāo)執(zhí)行；

如果需要新增訪問(wèn)授權(quán)，則按照所述的步驟2中的數(shù)據(jù)授權(quán)執(zhí)行。

2.根據(jù)權(quán)利要求1所述的云環(huán)境下輕量級(jí)的細(xì)粒度訪問(wèn)控制方法，其特征在于：步驟1中所述的構(gòu)造相應(yīng)的權(quán)限控制節(jié)點(diǎn)層，所述的每個(gè)節(jié)點(diǎn)被賦予被授權(quán)用戶(hù)的相關(guān)信息。

3.根據(jù)權(quán)利要求1所述的云環(huán)境下輕量級(jí)的細(xì)粒度訪問(wèn)控制方法，其特征在于：隨著系統(tǒng)的運(yùn)行，以及權(quán)限的變更，可以對(duì)所述的權(quán)限控制節(jié)點(diǎn)進(jìn)行動(dòng)態(tài)更新。