一種可信云存儲(chǔ)環(huán)境下的密鑰管理方法、裝置和系統(tǒng)的制作方法
【專利摘要】本發(fā)明實(shí)施例提供一種可信云存儲(chǔ)環(huán)境下的密鑰管理方法、裝置和系統(tǒng)，以對(duì)用戶間的數(shù)據(jù)訪問進(jìn)行安全授權(quán)并精簡(jiǎn)和高效管理全局?jǐn)?shù)據(jù)密鑰。所述方法包括：可信客戶端生成訪問授權(quán)策略；可信客戶端使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行加密后，向云存儲(chǔ)服務(wù)器發(fā)布加密的數(shù)據(jù)和訪問授權(quán)策略，以使云存儲(chǔ)服務(wù)器根據(jù)加密的數(shù)據(jù)和訪問授權(quán)策略構(gòu)建密鑰推導(dǎo)圖；根據(jù)密鑰推導(dǎo)圖，可信客戶端與云存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰和安全分發(fā)所述生成的密鑰。由于密鑰推導(dǎo)圖是云存儲(chǔ)服務(wù)器構(gòu)建，避免了由可信客戶端承擔(dān)密鑰推導(dǎo)圖處理等龐大的計(jì)算和存儲(chǔ)任務(wù)，提高了密鑰管理執(zhí)行上的效率，另一方面，有效減少密鑰推導(dǎo)關(guān)系的冗余，減輕系統(tǒng)和用戶在傳輸和存儲(chǔ)方面的密鑰管理代價(jià)。
【專利說明】-種可信云存儲(chǔ)環(huán)境下的密鑰管理方法、裝置和系統(tǒng)

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及可信數(shù)據(jù)管理領(lǐng)域，尤其涉及一種可信云存儲(chǔ)環(huán)境下的密鑰管理方 法、裝置和系統(tǒng)。

【背景技術(shù)】
[0002] 可信云存儲(chǔ)即數(shù)據(jù)貢獻(xiàn)者在本地可信前端對(duì)數(shù)據(jù)加密處理以后再外包給云存儲(chǔ) 服務(wù)提供商（Cloud Storage Provider, CSP)進(jìn)行存儲(chǔ)、管理和維護(hù)，當(dāng)用戶訪問數(shù)據(jù)時(shí)，首 先從CSP所在的云端獲得需要的密文數(shù)據(jù)，再在可信前端進(jìn)行解密從而獲得明文數(shù)據(jù)。在 可信云存儲(chǔ)環(huán)境下，數(shù)據(jù)密鑰是數(shù)據(jù)安全的重要保障，因此用戶必須在本地執(zhí)行數(shù)據(jù)密鑰 的生成和再生成。數(shù)據(jù)貢獻(xiàn)者授權(quán)其他用戶訪問數(shù)據(jù)，本質(zhì)上是進(jìn)行數(shù)據(jù)密鑰的授權(quán)共享。 而為了能夠?qū)Σ煌脩魣?zhí)行有選擇性的數(shù)據(jù)授權(quán)訪問，不同的數(shù)據(jù)需要采用不同的密鑰加 密。如此，數(shù)據(jù)密鑰量將隨著系統(tǒng)數(shù)據(jù)量的增加而迅速增多，而用戶則會(huì)因?yàn)樾枰踩莆?大量數(shù)據(jù)密鑰而承受巨大的負(fù)擔(dān)。另一方面，可信云存儲(chǔ)環(huán)境下的數(shù)據(jù)外包不僅僅是針對(duì) 單一數(shù)據(jù)貢獻(xiàn)者模式，還包括多數(shù)據(jù)貢獻(xiàn)者模式。對(duì)于多數(shù)據(jù)貢獻(xiàn)者模式，系統(tǒng)任何用戶都 可以作為數(shù)據(jù)貢獻(xiàn)者將數(shù)據(jù)外包給云端一側(cè)的CSP，且任何用戶間都可以進(jìn)行相互的數(shù)據(jù) 訪問授權(quán)，與此同時(shí)，任何用戶也可以在權(quán)限范圍內(nèi)進(jìn)行數(shù)據(jù)訪問權(quán)限的轉(zhuǎn)授以及數(shù)據(jù)或 數(shù)據(jù)密鑰的更新。
[0003] 對(duì)如何在具有多數(shù)據(jù)貢獻(xiàn)者和復(fù)雜數(shù)據(jù)訪問授權(quán)的可信云存儲(chǔ)環(huán)境下即多數(shù)據(jù) 貢獻(xiàn)者模式下進(jìn)行更高效、安全的密鑰管理，如果仍然采用單一數(shù)據(jù)貢獻(xiàn)者模式下的密鑰 管理方法，則顯然是無能為力。這是因?yàn)椋绻?jiǎn)單采用單一數(shù)據(jù)貢獻(xiàn)者模式下的密鑰管理 方法，以每個(gè)數(shù)據(jù)貢獻(xiàn)者為中心獨(dú)立管理自己所發(fā)布數(shù)據(jù)的密鑰，必然導(dǎo)致系統(tǒng)全局?jǐn)?shù)據(jù) 密鑰的冗余及其數(shù)量的迅速增長(zhǎng)，進(jìn)而致使全局用戶必須安全傳輸和存儲(chǔ)的密鑰量陡增， 加大系統(tǒng)及用戶的密鑰管理代價(jià)和密鑰管理安全風(fēng)險(xiǎn)。由于在可信云存儲(chǔ)環(huán)境中，數(shù)據(jù)密 鑰是數(shù)據(jù)安全的重要保障，而密鑰的生成和再生成、密鑰的授權(quán)共享、密鑰的選擇性分發(fā)等 操作會(huì)隨著用戶數(shù)據(jù)的增長(zhǎng)而面臨越來越多的問題和挑戰(zhàn)，因此，一套安全、高效而且靈活 支持訪問授權(quán)控制的密鑰管理機(jī)制將在可信云存儲(chǔ)環(huán)境中起到至關(guān)重要的作用。
[0004] 為了解決上述技術(shù)問題，現(xiàn)有技術(shù)提供的一種方法是基于邏輯層次圖（Logical Hierarchical Graph, LHG)的密鑰推導(dǎo)機(jī)制，通過基于圖結(jié)構(gòu)的密鑰推導(dǎo)減少需要用戶安 全傳輸和存儲(chǔ)的密鑰量。并在此方法基礎(chǔ)上，利用給密鑰節(jié)點(diǎn)附加權(quán)重可以進(jìn)一步對(duì)LHG 機(jī)制中密鑰推導(dǎo)路徑進(jìn)行優(yōu)化。
[0005] 然而，上述現(xiàn)有技術(shù)提供的方法仍然僅僅著眼于單用戶模式下的安全數(shù)據(jù)外包， 其所謂的優(yōu)化無不是以加重用戶的密鑰傳輸和存儲(chǔ)負(fù)擔(dān)為代價(jià)。對(duì)于可信云存儲(chǔ)環(huán)境下的 多數(shù)據(jù)貢獻(xiàn)者模式，上述現(xiàn)有技術(shù)提供的方法無法支持在用戶間相互的安全數(shù)據(jù)訪問授權(quán) 以及用戶在權(quán)限范圍內(nèi)進(jìn)行數(shù)據(jù)訪問權(quán)限的轉(zhuǎn)授等功能的前提下保證全局?jǐn)?shù)據(jù)密鑰的精 簡(jiǎn)和高效管理。


【發(fā)明內(nèi)容】

[0006] 本發(fā)明實(shí)施例提供一種可信云存儲(chǔ)環(huán)境下的密鑰管理方法、裝置和系統(tǒng)，以對(duì)用 戶間的數(shù)據(jù)訪問進(jìn)行安全授權(quán)并精簡(jiǎn)和高效管理全局?jǐn)?shù)據(jù)密鑰。
[0007] 本發(fā)明實(shí)施例提供一種可信云存儲(chǔ)環(huán)境下的密鑰管理方法，所述方法包括：可信 客戶端生成訪問授權(quán)策略；所述可信客戶端使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行加密后，向云存儲(chǔ)服 務(wù)器發(fā)布所述加密的數(shù)據(jù)和所述訪問授權(quán)策略，以使所述云存儲(chǔ)服務(wù)器根據(jù)所述加密的數(shù) 據(jù)和所述訪問授權(quán)策略構(gòu)建密鑰推導(dǎo)圖；根據(jù)所述密鑰推導(dǎo)圖，所述可信客戶端與所述云 存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰和安全分發(fā)所述生成的密鑰。
[0008] 本發(fā)明另一實(shí)施例提供一種可信云存儲(chǔ)環(huán)境下的密鑰管理方法，所述方法包括： 根據(jù)可信客戶端發(fā)布的訪問授權(quán)策略和使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行加密后得到的加密數(shù)據(jù)， 生成全局用戶訪問授權(quán)策略；根據(jù)所述全局用戶訪問授權(quán)策略，從云存儲(chǔ)系統(tǒng)用戶中選取 系統(tǒng)密鑰管理者用戶群；根據(jù)所述系統(tǒng)密鑰管理者用戶群和全局用戶訪問授權(quán)策略，構(gòu)建 密鑰推導(dǎo)圖，以使所述可信客戶端根據(jù)所述密鑰推導(dǎo)圖與所述云存儲(chǔ)服務(wù)器交互進(jìn)行生成 密鑰和安全分發(fā)所述生成的密鑰。
[0009] 本發(fā)明另一實(shí)施例提供一種可信云存儲(chǔ)環(huán)境下的密鑰管理裝置，所述裝置包括： 訪問授權(quán)策略生成模塊，用于生成訪問授權(quán)策略；發(fā)布模塊，用于使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行 加密后，向云存儲(chǔ)服務(wù)器發(fā)布所述加密的數(shù)據(jù)和所述訪問授權(quán)策略，以使所述云存儲(chǔ)服務(wù) 器根據(jù)所述加密的數(shù)據(jù)和所述訪問授權(quán)策略構(gòu)建密鑰推導(dǎo)圖；密鑰生成分發(fā)模塊，用于根 據(jù)所述密鑰推導(dǎo)圖，所述可信客戶端與所述云存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰和安全分發(fā)所 述生成的密鑰。
[0010] 本發(fā)明另一實(shí)施例提供一種可信云存儲(chǔ)環(huán)境下的密鑰管理裝置，所述裝置包括： 第一生成模塊，用于根據(jù)可信客戶端發(fā)布的訪問授權(quán)策略和使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行加密 后得到的加密數(shù)據(jù)，生成全局用戶訪問授權(quán)策略；選取模塊，用于根據(jù)所述全局用戶訪問授 權(quán)策略，從云存儲(chǔ)系統(tǒng)用戶中選取系統(tǒng)密鑰管理者用戶群；密鑰推導(dǎo)圖構(gòu)建模塊，用于根據(jù) 所述系統(tǒng)密鑰管理者用戶群和全局用戶訪問授權(quán)策略，構(gòu)建密鑰推導(dǎo)圖，以使所述可信客 戶端根據(jù)所述密鑰推導(dǎo)圖與所述云存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰和安全分發(fā)所述生成的 密鑰。
[0011] 從上述本發(fā)明實(shí)施例可知，可信客戶端根據(jù)云存儲(chǔ)服務(wù)器構(gòu)建的密鑰推導(dǎo)圖，只 負(fù)責(zé)密鑰值的生成、安全分發(fā)和極少量密鑰的安全傳輸和儲(chǔ)存，而不承擔(dān)密鑰推導(dǎo)圖的生 成等龐大的處理任務(wù)。與現(xiàn)有技術(shù)相比，一方面，由于密鑰推導(dǎo)圖是云存儲(chǔ)服務(wù)器構(gòu)建，避 免了由可信客戶端承擔(dān)密鑰推導(dǎo)圖處理等龐大的計(jì)算和存儲(chǔ)任務(wù)這一缺陷，提高了密鑰管 理執(zhí)行上的效率，另一方面，由于密鑰推導(dǎo)圖是基于全局邏輯層次圖構(gòu)建，因此，實(shí)現(xiàn)了系 統(tǒng)全局用戶的安全訪問控制，并能夠有效減少密鑰推導(dǎo)關(guān)系的冗余，從而減輕系統(tǒng)和用戶 在傳輸和存儲(chǔ)方面的密鑰管理代價(jià)。

【專利附圖】

【附圖說明】
[0012] 為了更清楚地說明本發(fā)明實(shí)施例的技術(shù)方案，下面將對(duì)現(xiàn)有技術(shù)或?qū)嵤├枋鲋?所需要使用的附圖作簡(jiǎn)單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實(shí) 施例，對(duì)于本領(lǐng)域技術(shù)人員來講，還可以如這些附圖獲得其他的附圖。
[0013] 圖1是本發(fā)明實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理方法流程示意圖；
[0014] 圖2是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理方法流程示意圖；
[0015] 圖3是本發(fā)明實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0016] 圖4是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0017] 圖5是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0018] 圖6_a是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖； [0019] 圖6_b是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0020] 圖6-c是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0021] 圖7是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0022] 圖8是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0023] 圖9是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0024] 圖10是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0025] 圖ΙΙ-a是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0026] 圖ΙΙ-b是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0027] 圖11-c是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0028] 圖ΙΙ-d是本發(fā)明另一實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理裝置結(jié)構(gòu)示意圖；
[0029] 圖12是本發(fā)明實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理系統(tǒng)結(jié)構(gòu)示意圖。

【具體實(shí)施方式】
[0030] 下面將結(jié)合本發(fā)明實(shí)施例中的附圖，對(duì)本發(fā)明實(shí)施例中的技術(shù)方案進(jìn)行清楚、完 整地描述，顯然，所描述的實(shí)施例僅僅是本發(fā)明一部分實(shí)施例，而不是全部的實(shí)施例?；?本發(fā)明中的實(shí)施例，本領(lǐng)域技術(shù)人員所獲得的所有其他實(shí)施例，都屬于本發(fā)明保護(hù)的范圍。
[0031] 請(qǐng)參閱附圖1，是本發(fā)明實(shí)施例提供的可信云存儲(chǔ)環(huán)境下的密鑰管理方法流程示 意圖，其執(zhí)行主體可以是可信云存儲(chǔ)系統(tǒng)中的客戶端，即可信客戶端。附圖1示例的可信云 存儲(chǔ)環(huán)境下的密鑰管理方法主要包括步驟S101、步驟S102和步驟S103,詳細(xì)說明如下 ：
[0032] S101，可信客戶端生成訪問授權(quán)策略。
[0033] 可信云存儲(chǔ)環(huán)境下，所謂的"用戶"是云存儲(chǔ)系統(tǒng)用戶，也是對(duì)在可信客戶端一切 操作行為的執(zhí)行者的統(tǒng)稱。在本發(fā)明實(shí)施例中，云存儲(chǔ)系統(tǒng)用戶的幾個(gè)重要角色是數(shù)據(jù)貢 獻(xiàn)者、數(shù)據(jù)加密者和密鑰管理者等，其中，數(shù)據(jù)貢獻(xiàn)者是數(shù)據(jù)的發(fā)布人，數(shù)據(jù)加密者則屬于 數(shù)據(jù)貢獻(xiàn)者或是可以更新數(shù)據(jù)的用戶，密鑰管理者負(fù)責(zé)密鑰值的生成和分發(fā)，任何密鑰管 理者是擁有某數(shù)據(jù)訪問權(quán)限的用戶，但不一定是該數(shù)據(jù)的發(fā)布人即數(shù)據(jù)貢獻(xiàn)者。如前所述， 生成密鑰以及使用密鑰對(duì)其所發(fā)布的數(shù)據(jù)進(jìn)行加密等在可信客戶端完成，因此，在本發(fā)明實(shí) 施例中，可信客戶端的行為可以視為是數(shù)據(jù)貢獻(xiàn)者、數(shù)據(jù)加密者和/或密鑰管理者的行為，或 者，數(shù)據(jù)貢獻(xiàn)者、數(shù)據(jù)加密者和/或密鑰管理者的行為也可以視為是可信客戶端的行為。在本 發(fā)明實(shí)施例中，數(shù)據(jù)貢獻(xiàn)者在發(fā)布數(shù)據(jù)時(shí)對(duì)數(shù)據(jù)執(zhí)行選擇性訪問授權(quán)，并通過訪問控制表描 述具體的訪問授權(quán)策略，這就是可信客戶端生成訪問授權(quán)策略，其中，訪問控制表的每一行是 每個(gè)云存儲(chǔ)系統(tǒng)用戶，也包括數(shù)據(jù)貢獻(xiàn)者自身，每一列為數(shù)據(jù)貢獻(xiàn)者發(fā)布的各個(gè)數(shù)據(jù)。若某行 對(duì)應(yīng)的云存儲(chǔ)系統(tǒng)用戶擁有對(duì)某列對(duì)應(yīng)數(shù)據(jù)的訪問權(quán)限，則該行該列對(duì)應(yīng)的數(shù)據(jù)取值為1， 否則取值為〇,表Ι-a是本發(fā)明提供的云存儲(chǔ)系統(tǒng)用戶A的訪問控制表的示例。
[0034]
[0035] 表 l_a

【權(quán)利要求】
1. 一種可信云存儲(chǔ)環(huán)境下的密鑰管理方法，其特征在于，所述方法包括： 可信客戶端生成訪問授權(quán)策略； 所述可信客戶端使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行加密后，向云存儲(chǔ)服務(wù)器發(fā)布所述加密的數(shù) 據(jù)和所述訪問授權(quán)策略，以使所述云存儲(chǔ)服務(wù)器根據(jù)所述加密的數(shù)據(jù)和所述訪問授權(quán)策略 構(gòu)建密鑰推導(dǎo)圖； 所述可信客戶端根據(jù)所述密鑰推導(dǎo)圖與所述云存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰和安全 分發(fā)所述生成的密鑰。
2. 如權(quán)利要求1所述的方法，其特征在于，所述可信客戶端根據(jù)所述密鑰推導(dǎo)圖與所 述云存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰和安全分發(fā)所述生成的密鑰包括： 根據(jù)所述密鑰推導(dǎo)圖，采用加鹽哈希函數(shù)隨機(jī)生成節(jié)點(diǎn)層次為2的節(jié)點(diǎn)唯一密鑰值； 將所述唯一密鑰值采用安全傳輸方式傳輸至所述節(jié)點(diǎn)層次為2的節(jié)點(diǎn)蘊(yùn)含的另一用 戶。
3. 如權(quán)利要求1所述的方法，其特征在于，所述可信客戶端根據(jù)所述密鑰推導(dǎo)圖與所 述云存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰和安全分發(fā)所述生成的密鑰包括： 所述可信客戶端接收所述云存儲(chǔ)服務(wù)器為密鑰管理者所管理節(jié)點(diǎn)Vi生成的公開標(biāo)簽 值Vi. para，所述節(jié)點(diǎn)Vi是密鑰推導(dǎo)圖中節(jié)點(diǎn)層次大于2的節(jié)點(diǎn)；
所述可信客戶端根據(jù)所述公開標(biāo)簽值Vi. para和密鑰推導(dǎo)圖，采用加鹽哈希函數(shù)隨機(jī) 生成所述節(jié)點(diǎn)Vi的唯一密鑰值Vi. key ; 所述可信客戶端使用所述節(jié)點(diǎn)Vi的唯一密鑰值和所述節(jié)點(diǎn)Vi的父親節(jié)點(diǎn)的密鑰值
為所述節(jié)點(diǎn)Vi每一條邊計(jì)算密鑰推導(dǎo)關(guān)系值token ; 所述可信客戶端將所述密鑰推導(dǎo)關(guān)系值token提交至所述云存儲(chǔ)服務(wù)器，以使所述云 存儲(chǔ)服務(wù)器更新密鑰推導(dǎo)關(guān)系值集合T后發(fā)布，所述T= {token (Vi, Vj) | token (Vi, Vj)=Vj. key ? h (vj. key, Vj. para),
，所述e ￡為節(jié)點(diǎn)Vi到節(jié)點(diǎn)Vj的單向密鑰 推導(dǎo)關(guān)系，所述token (Vi, Vj)為所述節(jié)點(diǎn)Vi到節(jié)點(diǎn)Vj的單向密鑰推導(dǎo)關(guān)系值，所述h (Vp key, Vj. para)是Vj. para和所述Vp key的單向哈希函數(shù)，所述Vj. para是所述云存儲(chǔ)服務(wù) 器為密鑰管理者管理的節(jié)點(diǎn)Vj生成的公開標(biāo)簽值。
4. 如權(quán)利要求1至3任意一項(xiàng)所述的方法，其特征在于，所述可信客戶端與所述云存儲(chǔ) 服務(wù)器交互進(jìn)行生成密鑰和安全分發(fā)所述生成的密鑰之后還包括： 所述可信客戶端根據(jù)一級(jí)密鑰和所述密鑰推導(dǎo)圖或者根據(jù)由密鑰管理者共享的二級(jí) 密鑰和所述密鑰推導(dǎo)圖，獲取所發(fā)布數(shù)據(jù)的所有密鑰值； 所述可信客戶端根據(jù)所述一級(jí)密鑰和所發(fā)布數(shù)據(jù)的所有密鑰值，生成所發(fā)布數(shù)據(jù)的轉(zhuǎn) 換密鑰后提交至所述云存儲(chǔ)服務(wù)器，以使所述云存儲(chǔ)服務(wù)器利用轉(zhuǎn)換密鑰對(duì)所述所發(fā)布數(shù) 據(jù)進(jìn)行密鑰更新。
5. -種可信云存儲(chǔ)環(huán)境下的密鑰管理方法，其特征在于，所述方法包括： 根據(jù)可信客戶端發(fā)布的訪問授權(quán)策略和加密數(shù)據(jù)，生成全局用戶訪問授權(quán)策略，所述 加密數(shù)據(jù)是所述可信客戶端使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行加密后得到的加密數(shù)據(jù)； 根據(jù)所述全局用戶訪問授權(quán)策略，從云存儲(chǔ)系統(tǒng)用戶中選取系統(tǒng)密鑰管理者用戶群； 根據(jù)所述系統(tǒng)密鑰管理者用戶群和全局用戶訪問授權(quán)策略，構(gòu)建密鑰推導(dǎo)圖，以使所 述可信客戶端根據(jù)所述密鑰推導(dǎo)圖與所述云存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰和安全分發(fā)所 述生成的密鑰。
6. 如權(quán)利要求5所述的方法，其特征在于，所述根據(jù)所述全局用戶訪問授權(quán)策略，從云 存儲(chǔ)系統(tǒng)用戶中選取系統(tǒng)密鑰管理者用戶群包括： 根據(jù)所述全局用戶訪問授權(quán)策略，獲取所有云存儲(chǔ)系統(tǒng)用戶的數(shù)據(jù)訪問能力； 根據(jù)所述所有云存儲(chǔ)系統(tǒng)用戶的數(shù)據(jù)訪問能力，從所述云存儲(chǔ)系統(tǒng)用戶中選取能夠共 同擁有系統(tǒng)所有數(shù)據(jù)密鑰訪問權(quán)限并執(zhí)行所有密鑰的管理的最少用戶集作為所述系統(tǒng)密 鑰管理者用戶群。
7. 如權(quán)利要求6所述的方法，其特征在于，所述根據(jù)所述所有云存儲(chǔ)系統(tǒng)用戶的數(shù)據(jù) 訪問能力，從所述云存儲(chǔ)系統(tǒng)用戶中選取能夠共同擁有系統(tǒng)所有數(shù)據(jù)密鑰訪問權(quán)限并執(zhí)行 所有密鑰的管理的最少用戶集作為所述系統(tǒng)密鑰管理者用戶群包括： 根據(jù)所述所有云存儲(chǔ)系統(tǒng)用戶的數(shù)據(jù)訪問能力，從數(shù)據(jù)訪問集cap (U)中選取覆蓋整 個(gè)數(shù)據(jù)集D中個(gè)數(shù)最多的集合C，所述capOX^IcapiX) & e U}，所述C={Ci | CiZcapi^)}， 所述U為所有云存儲(chǔ)系統(tǒng)用戶的集合構(gòu)成的用戶集； 使用貪心算法逐個(gè)處理Ci，將滿足條件的Ci對(duì)應(yīng)的用戶Ui添加至密鑰管理者集合R， 所述密鑰管理者集合R為所述系統(tǒng)密鑰管理者用戶群； 從所述cap (U)中選取覆蓋剩余數(shù)據(jù)集中數(shù)據(jù)個(gè)數(shù)最多的集合，逐個(gè)執(zhí)行處理； 依次迭代，直至所述密鑰管理者集合R中所有用戶u的cap (u)的并集覆蓋所述整個(gè)數(shù) 據(jù)集D。
8. 如權(quán)利要求5所述的方法，其特征在于，所述根據(jù)所述系統(tǒng)密鑰管理者用戶群和全 局用戶訪問授權(quán)策略，構(gòu)建密鑰推導(dǎo)圖包括： 根據(jù)所述全局用戶訪問授權(quán)策略，獲取所有數(shù)據(jù)的訪問控制表； 根據(jù)所述訪問控制表和系統(tǒng)密鑰管理者用戶群，生成所述密鑰推導(dǎo)圖的初始節(jié)點(diǎn)集； 按照所述初始節(jié)點(diǎn)集中節(jié)點(diǎn)層次的升序自頂向下一次為每個(gè)節(jié)點(diǎn)v尋找滿足密鑰推 導(dǎo)條件的所有父親節(jié)點(diǎn)，所述節(jié)點(diǎn)v是所述初始節(jié)點(diǎn)集中除根節(jié)點(diǎn)之外的任意節(jié)點(diǎn)； 構(gòu)建所述節(jié)點(diǎn)v與節(jié)點(diǎn)v的父親節(jié)點(diǎn)之間的邊，以此更新所述密鑰推導(dǎo)圖中的節(jié)點(diǎn)集 合V和邊集合E。
9. 如權(quán)利要求5至8任意一項(xiàng)所述的方法，其特征在于，所述根據(jù)所述系統(tǒng)密鑰管理者 用戶群和全局用戶訪問授權(quán)策略，構(gòu)建密鑰推導(dǎo)圖之后還包括： 接收所發(fā)布數(shù)據(jù)的轉(zhuǎn)換密鑰，所述轉(zhuǎn)換密鑰根據(jù)一級(jí)密鑰和所發(fā)布數(shù)據(jù)的所有密鑰值 生成； 利用轉(zhuǎn)換密鑰對(duì)所述所發(fā)布數(shù)據(jù)進(jìn)行密鑰更新。
10. -種可信云存儲(chǔ)環(huán)境下的密鑰管理裝置，其特征在于，所述裝置包括： 訪問授權(quán)策略生成模塊，用于生成訪問授權(quán)策略； 發(fā)布模塊，用于使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行加密后，向云存儲(chǔ)服務(wù)器發(fā)布加密的數(shù)據(jù)和 所述訪問授權(quán)策略，以使所述云存儲(chǔ)服務(wù)器根據(jù)所述加密的數(shù)據(jù)和所述訪問授權(quán)策略構(gòu)建 密鑰推導(dǎo)圖； 密鑰生成分發(fā)模塊，用于根據(jù)所述密鑰推導(dǎo)圖與所述云存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰 和安全分發(fā)所述生成的密鑰。
11. 如權(quán)利要求10所述的裝置，其特征在于，所述密鑰生成分發(fā)模塊包括： 第一密鑰值生成單元，用于根據(jù)所述密鑰推導(dǎo)圖，采用加鹽哈希函數(shù)隨機(jī)生成節(jié)點(diǎn)層 次為2的節(jié)點(diǎn)唯一密鑰值； 安全傳輸單元，用于將所述唯一密鑰值采用安全傳輸方式傳輸至所述節(jié)點(diǎn)層次為2的 節(jié)點(diǎn)蘊(yùn)含的另一用戶。
12. 如權(quán)利要求10所述的裝置，其特征在于，所述密鑰生成分發(fā)模塊包括： 接收單元，用于接收所述云存儲(chǔ)服務(wù)器為密鑰管理者所管理節(jié)點(diǎn)Vi生成的公開標(biāo)簽值 Vi. para，所述節(jié)點(diǎn)Vi是密鑰推導(dǎo)圖中節(jié)點(diǎn)層次大于2的節(jié)點(diǎn)； 第二密鑰值生成單元，用于根據(jù)所述公開標(biāo)簽值Vi. para和密鑰推導(dǎo)圖，采用加鹽哈希 函數(shù)隨機(jī)生成所述節(jié)點(diǎn)Vi的唯一密鑰值Vi. key ; 計(jì)算單元，用于使用所述節(jié)點(diǎn)Vi的唯一密鑰值\和所述節(jié)點(diǎn)Vi的父親節(jié)點(diǎn)的密鑰值 為所述節(jié)點(diǎn)Vi每一條邊計(jì)算密鑰推導(dǎo)關(guān)系值token ; 提交單元，用于將所述密鑰推導(dǎo)關(guān)系值token提交至所述云存儲(chǔ)服務(wù)器，以使所述云 存儲(chǔ)服務(wù)器更新密鑰推導(dǎo)關(guān)系值集合T后發(fā)布，所述T= {token (Vi, Vj) | token (Vi, ν」)=ν』. key ? h (v^ key, Vj. para),
為節(jié)點(diǎn)Vi到節(jié)點(diǎn)v』的單向密鑰 推導(dǎo)關(guān)系，所述token (Vi, Vj)為所述節(jié)點(diǎn)Vi到節(jié)點(diǎn)Vj的單向密鑰推導(dǎo)關(guān)系值，所述h (Vp key, Vj. para)是Vj. para和所述Vp key的單向哈希函數(shù)，所述Vj. para是所述云存儲(chǔ)服務(wù) 器為密鑰管理者管理的節(jié)點(diǎn)Vj生成的公開標(biāo)簽值。
13. 如權(quán)利要求10至12任意一項(xiàng)所述的裝置，其特征在于，所述裝置還包括： 獲取模塊，用于根據(jù)一級(jí)密鑰和所述密鑰推導(dǎo)圖或者根據(jù)由密鑰管理者共享的二級(jí)密 鑰和所述密鑰推導(dǎo)圖，獲取所發(fā)布數(shù)據(jù)的所有密鑰值； 轉(zhuǎn)換密鑰生成模塊，用于根據(jù)所述一級(jí)密鑰和所發(fā)布數(shù)據(jù)的所有密鑰值，生成所發(fā)布 數(shù)據(jù)的轉(zhuǎn)換密鑰后提交至所述云存儲(chǔ)服務(wù)器，以使所述云存儲(chǔ)服務(wù)器利用轉(zhuǎn)換密鑰對(duì)所述 所發(fā)布數(shù)據(jù)進(jìn)行密鑰更新。
14. 一種可信云存儲(chǔ)環(huán)境下的密鑰管理裝置，其特征在于，所述裝置包括： 第一生成模塊，用于根據(jù)可信客戶端發(fā)布的訪問授權(quán)策略和加密數(shù)據(jù)，生成全局用戶 訪問授權(quán)策略，所述加密數(shù)據(jù)是所述可信客戶端使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行加密后得到的加 密數(shù)據(jù)； 選取模塊，用于根據(jù)所述全局用戶訪問授權(quán)策略，從云存儲(chǔ)系統(tǒng)用戶中選取系統(tǒng)密鑰 管理者用戶群； 密鑰推導(dǎo)圖構(gòu)建模塊，用于根據(jù)所述系統(tǒng)密鑰管理者用戶群和全局用戶訪問授權(quán)策 略，構(gòu)建密鑰推導(dǎo)圖，以使所述可信客戶端根據(jù)所述密鑰推導(dǎo)圖與云存儲(chǔ)服務(wù)器交互進(jìn)行 生成密鑰和安全分發(fā)所述生成的密鑰。
15. 如權(quán)利要求14所述的裝置，其特征在于，所述選取模塊包括： 獲取子模塊，用于根據(jù)所述全局用戶訪問授權(quán)策略，獲取所有云存儲(chǔ)系統(tǒng)用戶的數(shù)據(jù) 訪問能力； 選取子模塊，用于根據(jù)所述所有云存儲(chǔ)系統(tǒng)用戶的數(shù)據(jù)訪問能力，從所述云存儲(chǔ)系統(tǒng) 用戶中選取能夠共同擁有系統(tǒng)所有數(shù)據(jù)密鑰訪問權(quán)限并執(zhí)行所有密鑰的管理的最少用戶 集作為所述系統(tǒng)密鑰管理者用戶群。
16. 如權(quán)利要求15所述的裝置，其特征在于，所述選取子模塊包括： 集合選取單元，用于根據(jù)所述所有云存儲(chǔ)系統(tǒng)用戶的數(shù)據(jù)訪問能力，從數(shù)據(jù)訪問集 cap(U)中選取覆蓋整個(gè)數(shù)據(jù)集D中個(gè)數(shù)最多的集合C，所述Cap(U) = {cap(Ui) |Ui e U}，所 述C= {Ci I Ci=cap (Ui)}，所述U為所有云存儲(chǔ)云存儲(chǔ)系統(tǒng)用戶的集合構(gòu)成的用戶集； 算法處理單元，用于使用貪心算法逐個(gè)處理Ci，將滿足條件的Ci對(duì)應(yīng)的用戶Ui添加至 密鑰管理者集合R，所述密鑰管理者集合R為所述系統(tǒng)密鑰管理者用戶群； 處理單元，用于從所述cap(U)中選取覆蓋剩余數(shù)據(jù)集中數(shù)據(jù)個(gè)數(shù)最多的集合，逐個(gè)執(zhí) 行處理； 迭代單元，用于依次迭代，直至所述密鑰管理者集合R中所有用戶u的cap (u)的并集 覆蓋所述整個(gè)數(shù)據(jù)集D。
17. 如權(quán)利要求14所述的裝置，其特征在于，所述密鑰推導(dǎo)圖構(gòu)建模塊包括： 訪問控制表獲取單元，用于根據(jù)所述全局用戶訪問授權(quán)策略，獲取所有數(shù)據(jù)的訪問控 制表； 初始節(jié)點(diǎn)集生成單元，用于根據(jù)所述訪問控制表和系統(tǒng)密鑰管理者用戶群，生成所述 密鑰推導(dǎo)圖的初始節(jié)點(diǎn)集； 父節(jié)點(diǎn)搜索單元，用于按照所述初始節(jié)點(diǎn)集中節(jié)點(diǎn)層次的升序自頂向下一次為每個(gè)節(jié) 點(diǎn)V尋找滿足密鑰推導(dǎo)條件的所有父親節(jié)點(diǎn)，所述節(jié)點(diǎn)V是所述初始節(jié)點(diǎn)集中除根節(jié)點(diǎn)之 外的任意節(jié)點(diǎn)； 構(gòu)建單元，用于構(gòu)建所述節(jié)點(diǎn)V與節(jié)點(diǎn)V的父親節(jié)點(diǎn)之間的邊，以此更新所述密鑰推導(dǎo) 圖中的節(jié)點(diǎn)集合V和邊集合E。
18. 如權(quán)利要求14至17任意一項(xiàng)所述的裝置，其特征在于，所述裝置還包括： 接收模塊，用于接收所發(fā)布數(shù)據(jù)的轉(zhuǎn)換密鑰，所述轉(zhuǎn)換密鑰根據(jù)一級(jí)密鑰和所發(fā)布數(shù) 據(jù)的所有密鑰值生成； 密鑰更新模塊，用于利用轉(zhuǎn)換密鑰對(duì)所述所發(fā)布數(shù)據(jù)進(jìn)行密鑰更新。
19. 一種可信云存儲(chǔ)環(huán)境下的密鑰管理系統(tǒng)，其特征在于，所述系統(tǒng)包括可信客戶端和 云存儲(chǔ)服務(wù)器； 所述可信客戶端，用于生成訪問授權(quán)策略，使用一級(jí)密鑰對(duì)數(shù)據(jù)進(jìn)行加密后，向所述云 存儲(chǔ)服務(wù)器發(fā)布所述加密的數(shù)據(jù)和所述訪問授權(quán)策略以使所述云存儲(chǔ)服務(wù)器根據(jù)所述加 密的數(shù)據(jù)和所述訪問授權(quán)策略構(gòu)建密鑰推導(dǎo)圖，根據(jù)所述密鑰推導(dǎo)圖，與所述云存儲(chǔ)服務(wù) 器交互進(jìn)行生成密鑰和安全分發(fā)所述生成的密鑰； 所述云存儲(chǔ)服務(wù)器，用于根據(jù)所述可信客戶端發(fā)布的訪問授權(quán)策略和使用一級(jí)密鑰對(duì) 數(shù)據(jù)進(jìn)行加密后得到的加密數(shù)據(jù)，生成全局用戶訪問授權(quán)策略，根據(jù)所述全局用戶訪問授 權(quán)策略，從云存儲(chǔ)系統(tǒng)用戶中選取系統(tǒng)密鑰管理者用戶群，根據(jù)所述系統(tǒng)密鑰管理者用戶 群和全局用戶訪問授權(quán)策略，構(gòu)建密鑰推導(dǎo)圖，以使所述可信客戶端根據(jù)所述密鑰推導(dǎo)圖 與所述云存儲(chǔ)服務(wù)器交互進(jìn)行生成密鑰和安全分發(fā)所述生成的密鑰。
【文檔編號(hào)】H04L9/00GK104144048SQ201310172480
【公開日】2014年11月12日 申請(qǐng)日期:2013年5月10日 優(yōu)先權(quán)日:2013年5月10日
【發(fā)明者】彭智勇, 程芳權(quán), 宋偉 申請(qǐng)人:華為技術(shù)有限公司, 武漢大學(xué)