[发明专利]一种云存储系统的安全访问方法

摘要

一种云存储系统的安全访问方法，属于计算机存储技术和信息安全技术领域，解决现有安全访问方法存在的密钥管理和分发复杂的问题。本发明包括客户端进程、认证端进程和存储端进程，客户端基于属性密码机制为每个用户生成主密钥和公开参数；认证端装载用户属性库、文件属性库和属性密钥库；本发明通过明确的用户、文件和文件操作类型的属性构成访问控制字符串来决定用户对文件访问权限，这样能够解决复杂云存储系统中的细粒度访问控制和大规模用户动态扩展问题，极大程度地减少了云存储系统的访问控制开销为存储系统安全访问提供更加灵活有效更加安全的访问控制机制。

主权项

一种云存储系统的安全访问方法，包括客户端进程、认证端进程和存储端进程，客户端基于属性密码机制为每个用户生成唯一的主密钥和公开参数；认证端装载用户属性库、文件属性库和属性密钥库，用户属性库记录各用户的所有用户信息，包括用户ID；文件属性库记录各文件的所有文件信息，文件信息由该文件所有的属性信息、该文件所有的原子字符串和该文件所有的密钥编号构成，文件属性信息包括文件名和文件属主，密钥编号用于作为关键字在属性密钥库内查找属性密钥；属性密钥库保存各文件的所有密钥编号及其对应的属性密钥；原子字符串、属性密钥和密钥编号一一对应；其特征在于：A.所述客户端进程，包括下述步骤：(A1)客户端启动；连接认证端，连接存储端，转步骤(A2)；(A2)等待用户发起登录请求，接收到用户登录请求后，向认证端递交用户登录请求，然后判断认证端是否返回用户属性，是则允许用户登陆，转步骤(A3)；否则拒绝用户登录客户端，转步骤(A2)；用户属性包括用户ID；(A3)等待用户发起服务请求，接收到用户服务请求后，判断服务请求类型：文件操作请求，转步骤(A4)；权限操作请求，转步骤(A17)；所述服务请求分为文件操作请求和权限操作请求，文件操作请求又分为创建文件请求、读文件请求、写文件请求和删除文件请求；权限操作请求包括文件属性、主密钥、公开参数和访问控制字符串；创建文件请求包括文件属性、主密钥、公开参数和访问控制字符串；(A4)判断文件操作请求类型：创建文件请求转步骤(A5)；读、写文件请求，转步骤(A9)；删除文件请求，转步骤(A15)；(A5)找出访问控制字符串的原子字符串集合；使用主密钥和公开参数， 采用属性密码机制分别为每个原子字符串生成一把属性密钥；向认证端递交权限管理请求；然后判断认证端返回的信息是否为用户验证结果，是则缓存该用户验证结果，转步骤(A6)；否则向用户发送创建文件失败信息，转步骤(A3)；权限管理请求包括用户属性，文件属性、原子字符串和属性密钥；用户验证结果包括属性组合和属性密钥；(A6)客户端为待创建文件随机生成对称密钥和完整性校验密钥，使用对称密钥和待创建文件作为输入，采用对称密码机制加密待创建文件得到加密文件；使用完整性校验密钥和加密文件作为输入，采用哈希函数进行加密得到签名文件；转步骤(A7)；(A7)客户端使用公开参数和访问控制字符串，采用属性密码机制对对称密钥和完整性校验密钥加密后，并与公开参数拼接，得到文件共享密钥，转步骤(A8)；(A8)将文件包和创建文件请求一起发送到存储端；判断存储端返回的信息是否为创建文件完成信息，是则向用户返回创建文件成功信息，删除该用户验证结果，转步骤(A3)；否则向用户返回创建文件失败信息，删除该用户验证结果，转步骤(A3)；其中，文件包包括加密文件、签名文件和文件共享密钥；用户验证结果包括属性密钥和属性组合；(A9)向认证端递交权限验证请求，然后判断认证端是否返回用户验证结果，是则缓存该用户验证结果，转步骤(A10)；否则禁止用户的文件操作请求，转步骤(A3)；权限验证请求包括用户属性、文件属性和文件操作类型，文件属性包括文件名，文件操作类型分为创建文件、读文件、写文件和删除文件；(A10)向存储端发送文件操作请求，等待存储端返回的信息；然后判断存储端返回信息类型：文件包，则转步骤(A11)；拒绝访问信息，则向用户发送禁止服务信息，转步骤(A3)；查找失败信息，则向用户返回查找错 误信息，转步骤(A3)；存储端返回信息分为文件包、拒绝访问信息和查找失败信息；(A11)使用公开参数和属性密钥，采用属性密码机制对文件包中的文件共享密钥解密，得到加密文件的对称密钥和完整性校验密钥；然后使用完整性校验密钥对加密文件再加密得到重加密文件，比较重加密文件和签名文件是否相同，是则转步骤(A12)；否则转步骤(A10)；(A12)使用对称密钥解密加密文件，得到原文件；判断文件操作请求是否为读文件请求，是则向用户返回原文件，转步骤(A3)；否则向用户返回原文件，转步骤(A13)；(A13)等待用户对原文件写入数据，用户写入数据后形成修改后文件，使用对称密钥对修改后文件加密得到新加密文件，然后使用完整性校验密钥对新加密文件加密得到新签名文件，新加密文件、新签名文件和文件共享密钥构成新文件包；向存储端发送新文件包和文件操作请求，转步骤(A14)；(A14)等待存储端返回信息，判断存储端返回信息是否为写文件完成信息，是则向用户返回写文件成功信息，删除该用户验证结果，转步骤(A3)；否则向用户返回写文件失败信息，删除该用户验证结果，转步骤(A3)；(A15)向认证端递交权限验证请求，然后判断认证端是否返回用户验证结果，是则缓存该用户验证结果，转步骤(A16)；否则禁止用户的文件操作请求，转步骤(A3)；(A16)向存储端发送删除文件请求，等待存储端返回的信息；接收到存储端返回的信息，然后判断返回的信息是否删除文件完成信息，是则向用户返回删除文件成功信息，删除该用户验证结果，转步骤(A3)；否则返回向用户返回删除文件失败信息，删除该用户验证结果，转步骤(A3)；(A17)找出访问控制字符串的原子字符串集合；使用主密钥MK和公开参数PK，采用属性密码机制分别为每个原子字符串生成一把属性密钥；向认证端递交权限管理请求，等待认证端返回的信息；接收到认证端返 回的信息，判断认证端返回的信息是否用户验证结果，是则缓存该用户验证结果，转步骤(A18)；否则向用户发送权限操作失败信息，转步骤(A3)；(A18)由客户端生成写文件请求；以下过程同步骤(A10)至(A12)，区别仅在于将步骤(A12)中转步骤(A13)改变为转步骤(A19)；(A19)客户端为文件重新生成一把新对称密钥，使用新对称密钥对原文件加密得到新加密文件，然后使用完整性校验密钥对新加密文件加密得到新签名文件；使用公开参数和访问控制字符串，采用属性密码机制对新对称密钥和新完整性校验密钥加密后，并与公开参数拼接，得到新文件共享密钥；新加密文件、新签名文件和新文件共享密钥构成更新文件包；将更新文件包和文件操作请求一起发送到存储端；判断存储端返回的信息是否为写文件完成信息，是则向用户返回权限管理成功信息，删除该用户验证结果，转步骤(A3)；否则向用户返回权限管理失败信息，删除该用户验证结果，转步骤(A3)；B.所述认证端进程包括下述步骤：(B1)认证端启动；分别连接客户端和存储端，转步骤(B2)；(B2)等待客户端的服务请求；接收到客户端递交的服务请求后，判断服务请求的类型，用户登录请求转步骤(B3)；权限验证请求转步骤(B4)；权限管理请求转步骤(B9)；(B3)判断用户登录请求是否合法，是则向客户端返回用户属性，否则向客户端返回拒绝登陆信息；转步骤(B2)；(B4)使用权限验证请求中的用户属性查找用户属性库得到用户信息，使用权限验证请求中的文件属性查找文件属性库得到文件信息，转步骤(B5)；(B5)在文件信息中查找是否存在满足条件的原子字符串；是则使用首次满足条件的原子字符串对应的密钥编号，查找属性密钥库得到属性密钥，转步骤(B6)；否则向客户端返回拒绝访问信息，转步骤(B2)；所述满足条 件的原子字符串是指：将用户信息和权限验证请求中的文件操作类型构成一个集合，当该集合中的文件操作类型是原子字符串中文件访问权限的子集，并且原子字符串中除了文件访问权限外，其他属性值都是集合的一个子集；(B6)判断文件操作类型是否为删除文件，是则转步骤(B7)；否则转步骤(B8)；(B7)将文件信息中的文件名和原子字符串连接作为属性组合，将属性组合和属性密钥构成用户验证结果发送给客户端；然后通过文件信息中所有的密钥编号删除属性密钥库中对应的属性密钥，再从文件属性库删除该文件信息，转步骤(B2)；(B8)将文件信息中的文件名和原子字符串连接作为属性组合，将属性组合和属性密钥构成用户验证结果发送给客户端；转步骤(B2)；(B9)通过权限管理请求中的用户属性查找用户属性库得到用户信息；通过文件属性查找文件属性库，判断是否存在对应的文件信息，是则转步骤(B10)；否则属性密钥库为权限管理请求中的每一把属性密钥生成唯一的密钥编号，并连同对应的属性密钥一起更新到属性密钥库；然后将用户属性、文件属性、所有的原子字符串和对应的密钥编号形成文件信息，并将文件信息更新到文件属性库；转步骤(B8)；(B10)根据用户信息和文件信息来判断用户是否文件的属主，是则转步骤(B11)；否则向客户端返回拒绝修改信息，转步骤(B2)；(B11)使用文件信息中的所有密钥编号来删除属性密钥库中对应的属性密钥，并删除文件属性库中对应的文件信息；然后属性密钥库为权限管理请求中的每一把属性密钥生成唯一的密钥编号，并连同对应的属性密钥一起更新到属性密钥库；然后将用户属性、文件属性、所有的原子字符串和对应的密钥编号形成新的文件信息，并将该文件信息更新到文件属性库；转步骤(B8)；C.所述存储端进程包括下述步骤：(C1)存储端启动；分别连接客户端和认证端，转步骤(C2)；(C2)等待客户端的文件操作请求；接收到客户端递交的文件操作请求后，判断文件操作请求的类型，创建文件请求，转步骤(C3)；读文件请求，转步骤(C4)；写文件请求，转步骤(C5)；删除文件请求，转步骤(C8)；(C3)使用创建文件请求中的文件名查找文件，判断文件是否存在，是则向客户端返回创建文件失败信息，转步骤(C2)；否则存储随同创建文件请求的文件包，并向客户端返回创建文件完成信息，转步骤(C2)；(C4)使用读文件请求中的文件名查找文件，判断文件是否存在，是则向客户端返回文件对应的文件包；否则向客户端返回读文件失败信息，转步骤(C2)；(C5)使用写文件请求中的文件名查找文件，判断文件是否存在，是则向客户端返回文件对应的文件包，转步骤(C6)；否则向客户端返回写文件失败信息，转步骤(C2)；(C6)等待客户端发送的文件包和写文件请求；接收到客户端发送的文件包和写文件请求，转步骤(C7)；(C7)删除文件对应的文件包，存储客户端发送的文件包；然后判断存储是否成功，是则向客户端返回写文件完成信息，转步骤(C2)；否则向客户端返回写文件失败信息，转步骤(C2)；(C8)使用删除文件请求中的文件名查找文件，判断文件是否存在，是则删除文件对应的文件包，返回删除文件完成信息，转步骤(C2)；否则返回文件不存在信息，转步骤(C2)。