[发明专利]基于证书链的分布式数据安全共享方法及系统

权利要求书

1.一种基于证书链的分布式数据安全共享方法，其特征在于：它包括如下步骤：

S1：对分布式数据进行分级，赋予访问不同级别数据的用户角色，将访问权限与角色绑定，实现用户对数据的访问控制；

S2：基于证书链模型，在各子节点对用户进行角色划分，用户通过分配角色获取访问权限；

S3：使用数字证书赋予用户角色身份，用户向云中心节点申请数字证书，并使用子节点证书对用户数字证书签名；具体方法为：

S3.1、用户向所属子节点提交个人信息；

S3.2、子节点审核用户提交的个人信息，验证通过后子节点赋予用户角色身份，将用户个人信息和赋予的用户角色身份进行数字签名后发送给云中心节点的证书认证中心（简称CA）；否则，返回到步骤S3.1；

S3.3、云中心节点的CA收到子节点发送的信息后，进行数据签名验证，保证数据没有被篡改，验证通过后，向密钥管理中心（简称KMC）申请用户密钥，签发用户数字证书，数字证书中包含了用户的个人信息，用户所拥有的角色，用户公钥，并使用CA证书进行签名，将用户证书与用户私钥进行签名后发送给对应的子节点；否则，返回到步骤S3.2；

S3.4、子节点收到云中心节点CA发回的用户证书和用户私钥后，进行数据签名验证，验证通过后，使用子节点证书对用户证书进行签名，再将用户证书与用户私钥发送给对应的用户；否则，返回到步骤S3.3；

S4：用户向云中心节点申请数据访问，上传用户数字证书，在云中心节点验证用户的访问权限，验证通过后，访问相关数据；具体方法为：

S4.1、用户登录系统，输入用户名与密码，并上传用户拥有的证书；

若用户没有证书，则首先需要向CA申请证书；

S4.2、用户登录成功后，向云中心节点申请需要访问的数据；

S4.3、云中心节点的CA验证用户的访问权限；

首先，证书验证模块通过用户证书上的CA签名，验证用户证书是否由CA签发，解决用户与云中心节点之间的信任问题，确保用户的合法性；然后，权限验证模块使用用户证书上的子节点的签名确定用户所属的子节点，在角色权限数据库中查找用户所属子节点的角色权限划分，验证用户是否有对应的数据访问权限；

如果用户权限验证失败，则返回到步骤S4.2；如果验证通过，则执行步骤S4.4；

S4.4、加密/解密中心的解密模块首先对用户访问的数据先进行解密，加密模块使用用户证书中的公钥对数据进行加密后发送给用户，保证了数据储存的安全以及数据传输的安全；

同时，用户的访问申请将由用户访问信息记录中心进行记录，以供用户访问追溯使用。

2.根据权利要求1所述的基于证书链的分布式数据安全共享方法，其特征在于：所述步骤S2基于证书链模型，在各子节点对用户进行角色划分的具体方法为：

S2.1、云中心节点将各子节点拥有的数据权限告知子节点，并将分配给各子节点的数据权限保存在数据库中；

S2.2、各子节点进行角色权限的划分，将划分的结果保存在云中心节点数据库中；

如果子节点的业务复杂，子节点可以将持续划分角色的权限再下发给子节点下的下级节点；权限下发给下级节点后，仍可以根据实际的需求再进行权限下发，形成一种链式的角色划分体系；

S2.3、若数据权限需要进行更新，则重复步骤S2.1，步骤S2.2操作。