[發(fā)明專利]基于證書鏈的分布式數(shù)據(jù)安全共享方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202010710360.6
• 申請日: 2020-07-22
• 公開（公告）號: CN111885154B
• 公開（公告）日: 2021-10-29
• 發(fā)明（設(shè)計）人: 蘇放;楊舒;段成睿;姚宇星
• 申請（專利權(quán)）人: 北京郵電大學(xué)
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06
• 代理公司: 北京北新智誠知識產(chǎn)權(quán)代理有限公司 11100
• 代理人: 趙郁軍

1.一種基于證書鏈的分布式數(shù)據(jù)安全共享方法，其特征在于：它包括如下步驟：

S1：對分布式數(shù)據(jù)進行分級，賦予訪問不同級別數(shù)據(jù)的用戶角色，將訪問權(quán)限與角色綁定，實現(xiàn)用戶對數(shù)據(jù)的訪問控制；

S2：基于證書鏈模型，在各子節(jié)點對用戶進行角色劃分，用戶通過分配角色獲取訪問權(quán)限；

S3：使用數(shù)字證書賦予用戶角色身份，用戶向云中心節(jié)點申請數(shù)字證書，并使用子節(jié)點證書對用戶數(shù)字證書簽名；具體方法為：

S3.1、用戶向所屬子節(jié)點提交個人信息；

S3.2、子節(jié)點審核用戶提交的個人信息，驗證通過后子節(jié)點賦予用戶角色身份，將用戶個人信息和賦予的用戶角色身份進行數(shù)字簽名后發(fā)送給云中心節(jié)點的證書認證中心（簡稱CA）；否則，返回到步驟S3.1；

S3.3、云中心節(jié)點的CA收到子節(jié)點發(fā)送的信息后，進行數(shù)據(jù)簽名驗證，保證數(shù)據(jù)沒有被篡改，驗證通過后，向密鑰管理中心（簡稱KMC）申請用戶密鑰，簽發(fā)用戶數(shù)字證書，數(shù)字證書中包含了用戶的個人信息，用戶所擁有的角色，用戶公鑰，并使用CA證書進行簽名，將用戶證書與用戶私鑰進行簽名后發(fā)送給對應(yīng)的子節(jié)點；否則，返回到步驟S3.2；

S3.4、子節(jié)點收到云中心節(jié)點CA發(fā)回的用戶證書和用戶私鑰后，進行數(shù)據(jù)簽名驗證，驗證通過后，使用子節(jié)點證書對用戶證書進行簽名，再將用戶證書與用戶私鑰發(fā)送給對應(yīng)的用戶；否則，返回到步驟S3.3；

S4：用戶向云中心節(jié)點申請數(shù)據(jù)訪問，上傳用戶數(shù)字證書，在云中心節(jié)點驗證用戶的訪問權(quán)限，驗證通過后，訪問相關(guān)數(shù)據(jù)；具體方法為：

S4.1、用戶登錄系統(tǒng)，輸入用戶名與密碼，并上傳用戶擁有的證書；

若用戶沒有證書，則首先需要向CA申請證書；

S4.2、用戶登錄成功后，向云中心節(jié)點申請需要訪問的數(shù)據(jù)；

S4.3、云中心節(jié)點的CA驗證用戶的訪問權(quán)限；

首先，證書驗證模塊通過用戶證書上的CA簽名，驗證用戶證書是否由CA簽發(fā)，解決用戶與云中心節(jié)點之間的信任問題，確保用戶的合法性；然后，權(quán)限驗證模塊使用用戶證書上的子節(jié)點的簽名確定用戶所屬的子節(jié)點，在角色權(quán)限數(shù)據(jù)庫中查找用戶所屬子節(jié)點的角色權(quán)限劃分，驗證用戶是否有對應(yīng)的數(shù)據(jù)訪問權(quán)限；

如果用戶權(quán)限驗證失敗，則返回到步驟S4.2；如果驗證通過，則執(zhí)行步驟S4.4；

S4.4、加密/解密中心的解密模塊首先對用戶訪問的數(shù)據(jù)先進行解密，加密模塊使用用戶證書中的公鑰對數(shù)據(jù)進行加密后發(fā)送給用戶，保證了數(shù)據(jù)儲存的安全以及數(shù)據(jù)傳輸?shù)陌踩?/p>

同時，用戶的訪問申請將由用戶訪問信息記錄中心進行記錄，以供用戶訪問追溯使用。

2.根據(jù)權(quán)利要求1所述的基于證書鏈的分布式數(shù)據(jù)安全共享方法，其特征在于：所述步驟S2基于證書鏈模型，在各子節(jié)點對用戶進行角色劃分的具體方法為：

S2.1、云中心節(jié)點將各子節(jié)點擁有的數(shù)據(jù)權(quán)限告知子節(jié)點，并將分配給各子節(jié)點的數(shù)據(jù)權(quán)限保存在數(shù)據(jù)庫中；

S2.2、各子節(jié)點進行角色權(quán)限的劃分，將劃分的結(jié)果保存在云中心節(jié)點數(shù)據(jù)庫中；

如果子節(jié)點的業(yè)務(wù)復(fù)雜，子節(jié)點可以將持續(xù)劃分角色的權(quán)限再下發(fā)給子節(jié)點下的下級節(jié)點；權(quán)限下發(fā)給下級節(jié)點后，仍可以根據(jù)實際的需求再進行權(quán)限下發(fā)，形成一種鏈式的角色劃分體系；

S2.3、若數(shù)據(jù)權(quán)限需要進行更新，則重復(fù)步驟S2.1，步驟S2.2操作。