[发明专利]一种云数据机密性保护和访问控制的方法

权利要求书

1.一种云数据机密性保护和访问控制的方法，其特征在于，其具体实现过程为：

一、用户在使用云服务提供商CSP的云服务前，注册为云服务的合法用户，这里的用户包括数据所有者和数据使用者；其中

所述云服务提供商是指通过基于虚拟化技术实现计算、存储、网络资源复用方式，遵从服务水平协议SLA，为云用户提供弹性可租用的云服务；根据协议对被托管数据依据云服务提供商的安全措施提供安全性、可用性保障；

数据所有者为数据的属主，根据对称密码机制密钥策略和数据安全要求，生成自己的数据加密密钥对被托管数据文件进行加密，并将密文上传到云计算环境的服务器中存储；

数据使用者为请求访问被托管密文的云用户，必须先向域权威提出访问请求并经过域权威验证通过后，才能访问数据；

二、数据上传：

数据所有者通过加密算法将数据文件进行加密得到密钥密文SKCT；

数据所有者设置访问控制策略，并将上述数据上传给属性权威，认证中心鉴别该数据所有者的合法身份后，属性权威允许数据所有者的数据上传请求，其中属性权威为云计算环境中的所有实体签发属性，保存用户属性，提供属性管理功能，根据主体属性、客体属性和环境属性和访问控制策略进行访问控制；认证中心为云计算环境中的所有实体信任的可信第三方，提供数字证书生命周期管理、维护证书和证书撤销列表CRL、身份鉴别功能，上述数字证书生命周期包括签发、更新、撤销过程；

数据所有者将密钥密文SKCT、数据文件属性、数据文件的访问控制策略传送给属性权限，属性权威保存数据文件属性、数据文件访问控制策略到属性库和策略库中，将密钥密文SKCT安全存储；

数据所有者将数据文件密文CT发送给云服务提供商CSP的服务器保存；

三、数据访问：数据使用者提出访问请求，认证权威鉴别其身份合法后，属性权威验证其访问权限并为其分发属性密钥，并将密钥密文SKCT发送给数据使用者；数据使用者对SKCT解密后从云服务提供商获得数据文件，完成对数据文件的访问。

2.根据权利要求1所述的一种云数据机密性保护和访问控制的方法，其特征在于，所述用户注册过程为：用户在注册时，提交身份证明材料、用户属性信息；在验证用户及用户注册请求后，认证中心为用户分配身份标识ID，并签发相应的数字证书，以标识用户身份和身份鉴别；属性权威为用户签发属性集，将用户属性保存到属性库中，并分配属性密钥。

3.根据权利要求1所述的一种云数据机密性保护和访问控制的方法，其特征在于，所述密钥密文SKCT的获取过程为：数据所有者在客户端根据数据文件的安全重要性，采用相对应的密钥策略生成对称加密密钥SK，然后使用对称加密算法AES和密码模式，对数据文件进行加密得到数据文件密文CT，数据所有者使用属性权威为其分配的属性密钥加密数据加密密钥，得到密钥密文SKCT。

4.根据权利要求3所述的一种云数据机密性保护和访问控制的方法，其特征在于，所述数据上传过程为：根据密文策略的基于属性的加密机制，数据所有者制定数据文件的访问控制策略；数据所有者发送数据上传请求给属性权威，在认证中心鉴别数据所有者的合法身份后，属性权威允许数据所有者的数据上传请求。

5.根据权利要求1所述的一种云数据机密性保护和访问控制的方法，其特征在于，所述数据访问的详细过程为：当数据使用者要求访问云服务提供商的数据文件时，向属性权威提出数据访问请求；在认证权威鉴别其身份合法性后，属性权威通过对数据使用者属性、被访问数据文件属性、环境属性以及相关的访问控制策略进行验证，判断数据使用者是否具有该数据文件的访问权限；验证通过后，属性权威为数据使用者分发属性密钥，并将密钥密文SKCT发送给数据使用者；数据使用者接收到属性密钥和密钥密文SKCT后，使用属性密钥解密密钥密文后得到数据文件的对称加密密钥，然后解密从云服务提供商获得的数据文件密文CT，进而完成对数据文件的访问。