[發(fā)明專利]一種基于密鑰派生的數(shù)據(jù)存儲(chǔ)和訪問(wèn)控制方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201611186235.X
• 申請(qǐng)日: 2016-12-20
• 公開(kāi)（公告）號(hào): CN106941482B
• 公開(kāi)（公告）日: 2020-01-03
• 發(fā)明（設(shè)計(jì)）人: 薛開(kāi)平;石雋;陳煒鏗;李威;洪佩琳
• 申請(qǐng)（專利權(quán)）人: 中國(guó)科學(xué)技術(shù)大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L9/32;H04L9/06
• 代理公司: 11260 北京凱特來(lái)知識(shí)產(chǎn)權(quán)代理有限公司
• 代理人: 鄭立明;陳亮

本發(fā)明公開(kāi)了一種基于密鑰派生的數(shù)據(jù)存儲(chǔ)和訪問(wèn)控制方法，首先數(shù)據(jù)擁有者根據(jù)所要上傳文件M的訪問(wèn)權(quán)限需求生成進(jìn)行屬性加密所需的屬性集合{A₁,A₂,...,A_n}和訪問(wèn)策略A；經(jīng)過(guò)加密處理后上傳所述密文CT到云服務(wù)器進(jìn)行存儲(chǔ)；云服務(wù)器生成N個(gè)隨機(jī)字符串{S₁,S₂,...,S_N}，采用對(duì)稱加密算法以為對(duì)稱密鑰分別加密該N個(gè)隨機(jī)字符串；當(dāng)其他用戶需要獲取所述云服務(wù)器存儲(chǔ)的文件M時(shí)，云服務(wù)器和該提出請(qǐng)求的用戶完成挑戰(zhàn)?應(yīng)答過(guò)程；將所述用戶所請(qǐng)求文件M對(duì)應(yīng)密文CT中的數(shù)據(jù)密文E_K(M)發(fā)送給所述用戶；用戶采用隨機(jī)會(huì)話密鑰K解密E_K(M)，得到所需要的文件M。利用上述方法可以有效的對(duì)特定用戶的訪問(wèn)權(quán)限進(jìn)行判斷，避免惡意用戶對(duì)云存儲(chǔ)文件的非法下載，有效保證了云服務(wù)器自身及所存儲(chǔ)數(shù)據(jù)的安全性，防止云端資源的消耗。

技術(shù)領(lǐng)域

本發(fā)明涉及云數(shù)據(jù)存儲(chǔ)技術(shù)領(lǐng)域，尤其涉及一種基于密鑰派生的數(shù)據(jù)存儲(chǔ)和訪問(wèn)控制方法。

背景技術(shù)

目前，在云存儲(chǔ)環(huán)境中，出于經(jīng)濟(jì)以及便利的考慮，用戶將自己的數(shù)據(jù)外包到云服務(wù)器中，為了保護(hù)用戶數(shù)據(jù)的機(jī)密性和隱私性，訪問(wèn)控制是不可缺少的保護(hù)手段。然而由于用戶并不能夠完全的信任云服務(wù)器提供商，因此傳統(tǒng)的訪問(wèn)控制手段并不能夠很好的應(yīng)用到云存儲(chǔ)環(huán)境中。為了解決這一問(wèn)題，基于屬性的加密方案(ABE)被引入到云存儲(chǔ)中，ABE使得數(shù)據(jù)擁有者能夠直接對(duì)自己的數(shù)據(jù)進(jìn)行訪問(wèn)控制，是一種有效的用戶側(cè)訪問(wèn)控制手段。其中，策略與密文相關(guān)的基于屬性的加密方案(CP-ABE)被認(rèn)為是最適合在云存儲(chǔ)中實(shí)現(xiàn)訪問(wèn)控制的手段之一。

然而由于缺乏相應(yīng)的可兼容的云端訪問(wèn)控制策略，CP-ABE還是很難被直接部署到實(shí)際的公有云環(huán)境中。在目前的云端訪問(wèn)控制方案中，云服務(wù)器總是被假設(shè)為完全可信的，因此這些方案很難做到與CP-ABE方案相互兼容。由于缺乏相應(yīng)的云端訪問(wèn)控制，在基于CP-ABE的訪問(wèn)控制方案中，云服務(wù)器始終暴露在多種安全威脅當(dāng)中，其中最重要的安全威脅之一就是拒絕服務(wù)攻擊(DoS/DDoS)，惡意的用戶可以無(wú)限制的下載云服務(wù)器上其他用戶共享的文件，從而消耗云服務(wù)器上的各種資源，使得云服務(wù)器不能夠正常的工作；除此之外，由于缺乏云端訪問(wèn)控制，惡意的用戶通過(guò)下載大量的文件，可以進(jìn)行有關(guān)密文分析的攻擊，威脅用戶數(shù)據(jù)的機(jī)密性。

發(fā)明內(nèi)容

本發(fā)明的目的是提供一種基于密鑰派生的數(shù)據(jù)存儲(chǔ)和訪問(wèn)控制方法，利用該方法，云服務(wù)器可以有效的對(duì)特定用戶的訪問(wèn)權(quán)限進(jìn)行判斷，避免惡意用戶對(duì)云存儲(chǔ)文件的非法下載，有效保證了云服務(wù)器自身及所存儲(chǔ)數(shù)據(jù)的安全性，同時(shí)不會(huì)對(duì)數(shù)據(jù)擁有者帶來(lái)過(guò)多額外的開(kāi)銷(xiāo)。

一種基于密鑰派生的數(shù)據(jù)存儲(chǔ)和訪問(wèn)控制方法，所述方法包括：

步驟1、數(shù)據(jù)擁有者根據(jù)所要上傳文件M的訪問(wèn)權(quán)限需求生成進(jìn)行屬性加密所需的屬性集合{A₁,A₂,...,A_n}和訪問(wèn)策略A；

步驟2、所述數(shù)據(jù)擁有者生成隨機(jī)會(huì)話密鑰K，采用對(duì)稱加密算法對(duì)文件M進(jìn)行加密處理，并根據(jù)所述訪問(wèn)策略A采用屬性加密方法對(duì)所述隨機(jī)會(huì)話密鑰K進(jìn)行加密；

步驟3、所述數(shù)據(jù)擁有者選取安全哈希算法計(jì)算隨機(jī)會(huì)話密鑰K的哈希值將密文記為并上傳所述密文CT到云服務(wù)器進(jìn)行存儲(chǔ)；

步驟4、所述云服務(wù)器生成N個(gè)隨機(jī)字符串{S₁,S₂,...,S_N}，采用對(duì)稱加密算法以為對(duì)稱密鑰分別加密該N個(gè)隨機(jī)字符串，得到(i∈[1,N])，并更新密文為

步驟5、當(dāng)其他用戶需要獲取所述云服務(wù)器存儲(chǔ)的文件M時(shí)，所述云服務(wù)器和該提出請(qǐng)求的用戶完成挑戰(zhàn)-應(yīng)答過(guò)程，在所述用戶獲取文件M之前驗(yàn)證該用戶對(duì)文件的訪問(wèn)權(quán)限；