[發明專利]一種基于ABE的云存儲數據安全共享實現方法

在審

• 申請號: 201710207696.9
• 申請日: 2017-03-31
• 公開（公告）號: CN106790312A
• 公開（公告）日: 2017-05-31
• 發明（設計）人: 孫大軍;元河清;朱書杉
• 申請（專利權）人: 山東超越數控電子有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 濟南金迪知識產權代理有限公司37219
• 代理人: 楊樹云

技術領域

本發明涉及一種基于ABE的云存儲數據安全共享實現方法，屬于云存儲安全保密領域。

背景技術

云計算系統借助虛擬機化技術來實現資源的動態分配、彈性部署，虛擬化技術通過對硬件資源的抽象封裝實現了系統級的隔離，為不同安全等級的應用和服務提供了互不影響的運行環境，也為系統安全監控軟件部署提供了有利條件。云存儲是在云計算的基礎上實現的具有彈性伸縮能力的存儲服務，當用戶上傳自身明文數據到云存儲系統時，明文數據可能會被云存儲服務商或者其他惡意用戶篡改或破壞；當用戶上傳自身密文數據到云存儲系統時，這種方式不利于數據的共享。

中國專利文獻CN103747279A公開了一種云存儲共享編碼視頻加密與訪問控制策略更新方法，該方法是在編碼視頻數據上載到云中之前，將編碼視頻數據分為關鍵數據和非關鍵數據；對關鍵數據采用CP-ABE進行加密，加密后密文關聯了訪問控制策略，規定了具有哪些屬性的用戶能夠訪問本視頻；當更新訪問控制策略時，只需要從云中取回關鍵數據包解密后用新的訪問控制策略重新加密；但是，該專利中數據訪問者提供個人屬性時是明文傳輸的，明文傳輸容易受到破壞。

發明內容

針對現有技術的不足，本發明提供了一種基于ABE的云存儲數據安全共享實現方法；

本發明解決了現有技術中密文數據的共享問題，能夠提供云存儲數據的細粒度訪問控制，用于多租戶的安全數據共享。

術語解釋：

ABE，Attribute-Based Encryption，基于屬性加密或屬性基加密；

PKG，Private-Key-Generator，私鑰生成器；

A_C-CP，訪問策略；

A_u，個人屬性；

PK，Public Key，公鑰；

SK，Secret Key，私鑰；

本發明的技術方案為：

一種基于ABE的云存儲數據安全共享實現方法，包括：

A、加密發送方上傳的數據

當用戶上傳數據M至云存儲系統后，構建對應數據M的訪問策略A_C-CP，調用Encrypt(PK,M,A_C-CP)：C，生成密文數據C；

B、用戶訪問數據

當用戶訪問數據M時，向PKG提供該用戶的屬性，用戶的屬性，例如，中國、山東、濟南等；由數據M的發送方發送數據M對應的訪問策略A_C-CP，PKG判斷用戶的屬性是否滿足訪問策略A_C-CP，如果滿足，由PKG下發密文數據C的公鑰、私鑰，用戶讀取數據M的內容，否則，用戶不能讀取數據M的內容。

本專利采用屬性的簽名證書向PKG提供屬性的方式，這種方式有效地防止惡意用戶偽造證書。發送屬性證書以后由PKG負責驗證，驗證通過以后，下發云存儲數據的解密密鑰，從而實現發送方數據的細粒度訪問控制及共享，并且這種方法也能夠實現加密與訪問控制的融合。

根據本發明優選的，所述步驟A，包括：采用對稱加密算法對上傳至云存儲系統的數據M進行加密。

加密密鑰由基于存儲加密系統保護，當用戶要訪問數據時，通過基于存儲加密系統獲取對稱加密的密鑰，然后解密相關數據，這個過程在此不詳述。

根據本發明優選的，所述對稱加密算法為DES。

根據本發明優選的，云存儲系統提供數據上傳接口，發送方借助該數據上傳接口完成數據的加密上傳。

根據本發明優選的，所述數據上傳接口的型號為S3Rest API。

根據本發明優選的，所述步驟B，包括：

訪問策略A_C-CP為訪問結構控制樹，PKG判斷用戶的屬性是否滿足該訪問結構控制樹的訪問控制結構，即用戶的屬性參與訪問結構控制樹，如果運算結果為True，則滿足，由PKG下發與用戶訪問的數據M相關的公鑰PK、私鑰SK，用戶讀取數據M的內容，如果運算結果為Flase，則不滿足，用戶不能讀取數據M的內容。

本發明的有益效果為：

1、本發明采用屬性的簽名證書來實現用戶屬性的傳遞，有效地防止用戶屬性為惡意篡改，導致用戶無法正常使用云存儲服務；并且，這種方式可以有效防止非法用戶偽造證書，從而防止惡意用戶非法訪問云存儲服務。