[發明專利]一種基于OpenStack 對象存儲的加密方法和系統

在審

• 申請號: 201611202568.7
• 申請日: 2016-12-22
• 公開（公告）號: CN108234436A
• 公開（公告）日: 2018-06-29
• 發明（設計）人: 張先強;林文輝;高哲;張浩
• 申請（專利權）人: 航天信息股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京工信聯合知識產權代理有限公司 11266
• 代理人: 郭一斐

1.一種基于OpenStack對象存儲的加密方法，所述方法包括如下步驟：

對每個文件分別進行加密并產生各自的密鑰，密鑰以密文的形式保存在安全元數據中；從第三方認證中心獲得用戶的公私鑰對；

使用Redis緩存技術上傳文件到OpenStack對象存儲或從OpenStack對象存儲下載文件。

2.如權利要求1所述的一種基于OpenStack對象存儲的加密方法，其特征在于：所述加密采用對稱加密方法，所述每個文件各有一個加密密鑰；所述第三方認證中心為CA認證中心。

3.如權利要求1所述的一種基于OpenStack對象存儲的加密方法，其特征在于，所述加密的具體過程包括：將文件的哈希值作為該加密文件的密鑰，隨后，用戶端向第三方認證中心獲取所有有權訪問此加密文件的所有用戶的公鑰，并使用這些公鑰對文件密鑰進行分別加密，然后將獲得的密鑰文件放到各個用戶對應的安全元數據中的訪問控制列表中。

4.如權利要求3所述的一種基于OpenStack對象存儲的加密方法，其特征在于：所述安全元數據包括文件所有者信息，文件名哈希值，加密算法，哈希算法和訪問控制列表。

5.如權利要求1所述的一種基于OpenStack對象存儲的加密方法，其特征在于：將用戶的UUID作為Redis緩存技術的key，將對應的文件元數據和用戶的公鑰作為Redis緩存技術的value。

6.如權利要求1所述的一種基于OpenStack對象存儲的加密方法，其特征在于：當用戶查找文件或者上傳文件時，首先從Redis查找該用戶的信息，如果沒有找到，則把該用戶的UUID和文件生成的元數據和用戶的公鑰放到Redis中；如果找到，則使用O(1)的時間復雜度找到該文件對應的信息。

7.如權利要求1所述的一種基于OpenStack對象存儲的加密方法，其特征在于，當從用戶端上傳文件到OpenStack對象存儲時，包括如下步驟：

用戶端調用基于OpenStack的加密系統計算哈希值的API，并向該接口傳入文件的路徑和用戶選擇的哈希算法，計算出上傳文件的哈希值；

用戶端調用基于OpenStack的加密系統的數據文件加密的API，并向該接口傳入用戶選擇的加密算法和從上一步驟中獲得的哈希值，加密用戶上傳的文件，生成文件密文；

用戶端將哈希算法、加密算法、文件哈希值、上傳文件的用戶名和公鑰，作為參數，調用基于OpenStack的加密系統的元數據服務接口，生成安全元數據；

用戶端將用戶的UUID作為key，上一步驟產生的安全元數據作為value，存儲到Redis服務中；

用戶端將上傳文件生成的文件密文和安全元數據上傳至OpenStack的對象存儲中。

8.如權利要求1所述的一種基于OpenStack對象存儲的加密方法，其特征在于，當用戶從OpenStack對象存儲下載文件到用戶端時，包括如下步驟：

1)對象存儲服務器收到用戶下載文件請求后，調用Redis服務器的接口，查看該文件的對應的信息，如果沒有該文件的數據則執行步驟2)，否則，發送文件信息至用戶端，執行步驟3)；

2)調用對象存儲服務器的接口，獲取到下載文件的加密方法、哈希算法以及該文對應的元數據信息，并將這些數據發送到用戶端，并將用戶UUID作為key，獲取的安全元數據信息作為value存儲到Redis服務器中；

3)用戶端調用加密系統的解密接口，并將傳入用戶的私鑰和獲取的元數據，解密出該文件的哈希值；

4)用戶端將步驟3)獲取的哈希值和步驟1)或者步驟2)獲取到的哈希算法，解密出該文件的數據明文；

5)用戶端進行該文件的完整性校驗工作。

9.如權利要求1所述的一種基于OpenStack對象存儲的加密方法，其特征在于：所述方法還使用懶惰權限撤銷技術，用于取消權限的用戶訪問文件的過程。

10.一種基于OpenStack對象存儲的加密系統，包括：

加密模塊，用于對每個文件分別進行加密并產生各自的密鑰，密鑰以密文的形式保存在安全元數據中；從第三方認證中心獲得用戶的公私鑰對；

Redis服務模塊，用于使用Redis緩存技術上傳文件到OpenStack對象存儲或從OpenStack對象存儲下載文件；

懶惰權限撤銷模塊，用于取消權限的用戶訪問文件的過程。