一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法
【專利摘要】本發(fā)明涉及一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法，屬于資源訪問【技術(shù)領(lǐng)域】；本發(fā)明將數(shù)據(jù)擁有者上傳的文件分為控制字段和密文字段，將密文字段存儲在云端物理節(jié)點，由云服務(wù)器保存控制字段，并由云服務(wù)器代理進(jìn)行介入控制，對網(wǎng)絡(luò)資源合理分配，減輕數(shù)據(jù)擁有者的負(fù)擔(dān)，在接入權(quán)限重定向的過程中只需局部更新控制列表即可，將每個全局唯一文件編號標(biāo)識符和全局唯一用戶身份標(biāo)識符相關(guān)聯(lián)，并綁定用戶的操作權(quán)限，做到細(xì)粒度的接入控制，對上傳的身份-權(quán)限-密文列表進(jìn)行加密處理，保證用戶信息和文件信息的機(jī)密性和完整性，在第三方云平臺降低了信息泄露的風(fēng)險。
【專利說明】一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法，屬于資源訪問【技術(shù)領(lǐng)域】。
【背景技術(shù)】
[0002]傳統(tǒng)接入控制方式需要構(gòu)建數(shù)據(jù)庫存放用戶身份-密碼關(guān)系列表，但云計算中心是“第三方，半可信”的。如果將這些數(shù)據(jù)庫暴露在云平臺中，被攻陷的風(fēng)險會增加，大量的用戶身份一旦被竊取、篡改、刪除，會造成不可估量的損失。與此同時，云計算允許大量用戶同時在線進(jìn)行文件存取操作，如果不對用戶接入進(jìn)行細(xì)粒度控制，可能會造成文件的誤讀、誤刪、信息泄密等情況的發(fā)生。
[0003]若DO (Data Owner，數(shù)據(jù)擁有者)保持一直在線的狀態(tài)，可對文件進(jìn)行細(xì)粒度的安全接入控制以及用戶權(quán)限的實時更新，但這樣開銷過大:一方面，DO的主機(jī)可能會受到通信狀況的影響而無法保持一直在線的狀態(tài)；另一方面，DO對文件管理進(jìn)行權(quán)限重定向的過程牽涉大量的密鑰更新和分發(fā)工作，全部由主機(jī)完成會消耗大量的資源并有可能造成節(jié)點的擁塞。因此，云平臺的接入控制需要一種策略，既能減輕DO的負(fù)擔(dān)，同時也可以保證用戶接入的安全和訪問權(quán)限的細(xì)粒度控制。這種控制不僅僅針對用戶身份和權(quán)限，還需要對文件的編號和相關(guān)接入操作進(jìn)行細(xì)粒度劃分。此外，當(dāng)DO需要改變用戶的權(quán)限或者文件的權(quán)限時，在重定向過程中的粒度也應(yīng)當(dāng)能控制在逐個UID(User Identity,全局唯一用戶身份標(biāo)識符)和FID (File Identity，全局唯一文件編號標(biāo)識符)的范圍內(nèi)。
[0004]2013年華中科技大學(xué)申報了《一種云存儲中的數(shù)據(jù)細(xì)粒度訪問控制方法》，在該方案中，DO對文件進(jìn)行分塊并根據(jù)訪問控制策略制定文件塊的外部訪問策略及內(nèi)部訪問策略，可信第三方根據(jù)屬性密碼機(jī)制生成公鑰及主密鑰，DO使用對稱密碼機(jī)制對文件塊進(jìn)行加密處理，使用屬性密鑰機(jī)制對對稱密鑰進(jìn)行加密處理，并將文件塊密文及密鑰密文發(fā)送到云端，DO和可信第三方使用屬性密碼機(jī)制對用戶進(jìn)行授權(quán)，對用戶的每一個屬性，均生成一個屬性密鑰和一個經(jīng)屬性加密函數(shù)處理的屬性，DO向可信第三方發(fā)送用戶權(quán)限變更聲明，可信第三方根據(jù)用戶權(quán)限變更聲明判斷是為用戶增加還是刪除權(quán)限。該方案融合了屬性加密和代理重加密方案，一定程度上滿足了云平臺接入的細(xì)粒度接入控制需求。然而，由于用戶屬性具有固有性和不唯一性，且不同用戶可能擁有多個相同屬性，在細(xì)粒度接入的過程中面臨著權(quán)限劃分不清的問題。在權(quán)限撤銷的過程中，對某個用戶屬性的撤銷會牽涉到其它具有該屬性的合法用戶，撤銷的代銷較大，不適合普適云環(huán)境。而本發(fā)明能夠很好地解決上面的問題。

【發(fā)明內(nèi)容】

[0005]本發(fā)明目的在于提出一種既能減輕DO的負(fù)擔(dān)，又能保證用戶接入的安全和訪問權(quán)限的細(xì)粒度控制的基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法。
[0006]本發(fā)明解決其技術(shù)問題所采取的技術(shù)方案是:一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法，包括如下步驟:
[0007]步驟一:注冊
[0008](I)用戶將自身的身份在數(shù)據(jù)屬主處登記，數(shù)據(jù)擁有者通過安全信道為每個合法用戶編號并返回一個全局唯一用戶身份標(biāo)識符，所述全局唯一用戶身份標(biāo)識符全局唯一證明用戶的身份，每個合法用戶通過公鑰算法產(chǎn)生公鑰/私鑰，并通過公鑰基礎(chǔ)設(shè)施與云服務(wù)器交換彼此公鑰；
[0009](2)數(shù)據(jù)擁有者將文件編號分配全局唯一文件編號標(biāo)識符，并根據(jù)用戶身份劃分用戶操作權(quán)限，將合法用戶的全局唯一文件編號標(biāo)識符及相關(guān)相關(guān)操作權(quán)限寫入對應(yīng)全局唯一文件編號標(biāo)識符下，并計算全局唯一用戶身份標(biāo)識符和全局唯一文件編號標(biāo)識符的摘要，并將所述全局唯一用戶身份標(biāo)識符可授權(quán)接入的全局唯一文件編號標(biāo)識符值返回給該用戶；
[0010](3)數(shù)據(jù)擁有者產(chǎn)生一些列公鑰私鑰對，將所需上傳的文件用公鑰加密，并將其解密的私鑰用用戶的公鑰加密，連同文件、全局唯一用戶身份標(biāo)識符\全局唯一文件編號標(biāo)識符的摘要一同生成身份-權(quán)限-密文控制表，通過安全信道發(fā)送給云服務(wù)器；
[0011](4)云服務(wù)器將用戶上傳的數(shù)據(jù)用自身公鑰加密，將密文字段上傳至云端，服務(wù)器端保留其控制字段；
[0012]步驟二:鑒權(quán)
[0013](I)用戶向服務(wù)器發(fā)送請求，利用本地主機(jī)計算全局唯一文件編號標(biāo)識符和全局唯一用戶身份標(biāo)識符的摘要；用戶在請求階段蓋上即間戳和隨機(jī)數(shù)防止重放攻擊；用戶將以上所有信息用云服務(wù)器的公鑰加密后傳送；
[0014](2)云服務(wù)器接收到的請求包進(jìn)行解密，首先判斷其現(xiàn)時數(shù)和時間戳是否過期，如若過期則判定為重放信息，直接丟棄該請求包不予處理；將收到的全局唯一文件編號標(biāo)識符、全局唯一用戶身份標(biāo)識符摘要與控制字段中的值進(jìn)行比對；若該組合存在，即判定為合法請求，否則，則拒絕提供云服務(wù)；云服務(wù)器將云端的資料用自身密鑰解密，并發(fā)送給用戶；
[0015](3)用戶接收到從云服務(wù)器發(fā)送來的文件后，用自身的私鑰恢復(fù)出解密密文的私鑰，再使用其解密密文，用戶根據(jù)自身的權(quán)限可對明文文件做相應(yīng)的操作；
[0016]步驟三:權(quán)限重定向
[0017]將用戶的接入權(quán)限分為3個級別為讀操作、寫操作、執(zhí)行操作，其默認(rèn)權(quán)限大小為執(zhí)行操作 > 寫操作 > 讀操作；
[0018]當(dāng)數(shù)據(jù)擁有者需要對文件或者用戶的權(quán)限進(jìn)行重定向時，包括以下步驟:
[0019](I)當(dāng)數(shù)據(jù)擁有者需要對某個文件進(jìn)行刪除操作時，只需將其全局唯一文件編號標(biāo)識符在控制列表中刪除即可，更新之后將其表格上傳至云服務(wù)器；
[0020](2)當(dāng)數(shù)據(jù)擁有者需要對某個用戶的全部權(quán)限進(jìn)行撤銷時，只需將其全局唯一用戶身份標(biāo)識符在控制列表中刪除即可，更新之后將其表格上傳至云服務(wù)器；
[0021](3)當(dāng)數(shù)據(jù)擁有者需要對某個用戶的權(quán)限進(jìn)行重定向時，數(shù)據(jù)擁有者首先將該用戶的全局唯一用戶身份標(biāo)識符從原先的權(quán)限列表中刪除，接著找到需要重定向的文件，并將用戶的操作權(quán)限連同該用戶的全局唯一用戶身份標(biāo)識符和操作權(quán)限一起寫入全局唯一文件編號標(biāo)識符下。[0022]本發(fā)明是將密文與用戶身份權(quán)限相綁定，由數(shù)據(jù)擁有者制定接入控制策略，同時將身份-權(quán)限-密文表格加密后上傳，由云服務(wù)器代理進(jìn)行接入控制。
[0023]本發(fā)明上述步驟三的權(quán)限重定向階段，數(shù)據(jù)擁有者可以針對特定用戶的權(quán)限變更直接對身份-權(quán)限-密文表的控制字段進(jìn)行修改。
[0024]有益效果:
[0025]1、本發(fā)明根據(jù)文件級別對接入用戶的身份以及操作權(quán)限進(jìn)行了細(xì)粒度劃分，在權(quán)限重定向的過程中代價較小，操作性強(qiáng)，適合普適的云計算環(huán)境。
[0026]2、針對云平臺第三方半可信的特點，對存儲在云服務(wù)器的用戶和文件信息進(jìn)行了加密，既保證了用戶和文件信息不會泄露給云服務(wù)器，又不會影響云服務(wù)器對細(xì)粒度接入流程的控制，在信息挖掘的過程中保護(hù)了用戶隱私。
[0027]3、為了減輕DO主機(jī)和網(wǎng)絡(luò)負(fù)擔(dān)，避免發(fā)生通信瓶頸，將具體的接入控制工作代理至云服務(wù)器，DO只需制定接入控制方法即可，在更改接入方法的過程中代價也相對較小。
[0028]4、對接入權(quán)限的劃分不僅精確到每個用戶、每個文件，還定位到了不同用戶針對不同文件的每個操作層面上，粒度更加細(xì)致。且所有用戶信息和文件信息在網(wǎng)絡(luò)傳遞過程中都是以明文信息出現(xiàn)，可以保持信息的高機(jī)密性。
【專利附圖】

【附圖說明】
[0029]圖1為本發(fā)明的系統(tǒng)結(jié)構(gòu)示意圖。
[0030]圖2為本發(fā)明的方法流程圖。
【具體實施方式】
[0031]以下結(jié)合說明書附圖對本發(fā)明創(chuàng)造作進(jìn)一步的詳細(xì)說明。
[0032]如圖1和圖2所示，本實施例的一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法，本發(fā)明的系統(tǒng)由云端、云服務(wù)器、用戶和DO四個功能實體組成。其中，DO是云端數(shù)據(jù)的上傳者和資源屬，對文件進(jìn)行加密并制定相關(guān)的接入策略。用戶是云端數(shù)據(jù)的共享者，對文件有著讀、寫、執(zhí)行的訪問權(quán)限，但這些權(quán)限需要在DO處登記后才可獲得。云服務(wù)器承擔(dān)著重要的任務(wù)，它存儲著由DO上傳的身份-權(quán)限-密文表，既是DO接入控制的代理商，又是云計算存儲的服務(wù)商。云端是由計算機(jī)集群組成的物理節(jié)點，僅僅具有存儲的功倉泛。
[0033]本發(fā)明注冊過程包括如下步驟:
[0034]步驟一:用戶將自身的身份在數(shù)據(jù)屬主處登記，DO通過安全信道為每個合法用戶編號并返回一個WD。每個合法用戶通過公鑰算法產(chǎn)生Kupu (公鑰)/Kupr (私鑰)，并通過PKI (公鑰基礎(chǔ)設(shè)施)與云服務(wù)器交換彼此公鑰。
[0035]步驟二:D0將文件編號分配全局唯一 FID，并根據(jù)用戶身份劃分用戶操作權(quán)限(讀，寫，執(zhí)行)，將合法用戶的UID及相關(guān)操作權(quán)限寫入對應(yīng)FID下，并計算UID和FID的摘要，并將該UID可授權(quán)接入的FID值返回給該用戶。
[0036]步驟三:D0產(chǎn)生一系列Kfpu (文件的公鑰，由DO頒發(fā)，用來加密文件)和Kfpr (文件的私鑰，由DO頒發(fā)，用來解密文件)。DO將所需上傳的文件用Kfpu加密，并將其解密的Kfpr用用戶的Kupu加密，連同文件、UID\FID的摘要一同生成身份-權(quán)限-密文控制表如表1所示，通過安全信道發(fā)送給云服務(wù)器。計算nD，F(xiàn)ID摘要的主要目的是防止用戶信息在第三方云平臺泄露。即計算:E(Kupu, Kfpr) I E(Kfpr, plaintext) | (η = 1...η)H(fidn, uidn, r\w\e)。
[0037]表1:身份-權(quán)限-密文控制表
【權(quán)利要求】
1.一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法，其特征在于，所述方法包括如下步驟: 步驟一:注冊； (1)用戶將自身的身份在數(shù)據(jù)屬主處登記，數(shù)據(jù)擁有者通過安全信道為每個合法用戶編號并返回一個全局唯一用戶身份標(biāo)識符，所述全局唯一用戶身份標(biāo)識符全局唯一證明用戶的身份，每個合法用戶通過公鑰算法產(chǎn)生公鑰/私鑰，并通過公鑰基礎(chǔ)設(shè)施與云服務(wù)器交換彼此公鑰； (2)數(shù)據(jù)擁有者將文件編號分配全局唯一文件編號標(biāo)識符，并根據(jù)用戶身份劃分用戶操作權(quán)限，將合法用戶的全局唯一文件編號標(biāo)識符及相關(guān)相關(guān)操作權(quán)限寫入對應(yīng)全局唯一文件編號標(biāo)識符下，并計算全局唯一用戶身份標(biāo)識符和全局唯一文件編號標(biāo)識符的摘要，并將所述全局唯一用戶身份標(biāo)識符可授權(quán)接入的全局唯一文件編號標(biāo)識符值返回給該用戶； (3)數(shù)據(jù)擁有者產(chǎn)生一些列公鑰私鑰對，將所需上傳的文件用公鑰加密，并將其解密的私鑰用用戶的公鑰加密，連同文件、全局唯一用戶身份標(biāo)識符\全局唯一文件編號標(biāo)識符的摘要一同生成身份-權(quán)限-密文控制表，通過安全信道發(fā)送給云服務(wù)器； (4)云服務(wù)器將用戶上傳的數(shù)據(jù)用自身公鑰加密，將密文字段上傳至云端，服務(wù)器端保留其控制字段； 步驟二:鑒權(quán)； (1)用戶向服務(wù)器發(fā)送請求，利用本地主機(jī)計算全局唯一文件編號標(biāo)識符和全局唯一用戶身份標(biāo)識符的摘要；用戶在請求階段蓋上即刻的時間戳和隨機(jī)數(shù)防止重放攻擊；用戶將以上所有信息用云服務(wù)器的公鑰加密后傳送； (2)云服務(wù)器接收到的請求包進(jìn)行解密，首先判斷其現(xiàn)時數(shù)和時間戳是否過期，如若過期則判定為重放信息，直接丟棄該請求包不予處理；將收到的全局唯一文件編號標(biāo)識符、全局唯一用戶身份標(biāo)識符摘要與控制字段中的值進(jìn)行比對；若該組合存在，即判定為合法請求，否則，則拒絕提供云服務(wù)；云服務(wù)器將云端的資料用自身密鑰解密，并發(fā)送給用戶； (3)用戶接收到從云服務(wù)器發(fā)送來的文件后，用自身的私鑰恢復(fù)出解密密文的私鑰，再使用其解密密文，用戶根據(jù)自身的權(quán)限可對明文文件做相應(yīng)的操作； 步驟三:權(quán)限重定向； 將用戶的接入權(quán)限分為3個級別為讀操作、寫操作、執(zhí)行操作，所述權(quán)限默認(rèn)大小為執(zhí)行操作 > 寫操作 > 讀操作； 當(dāng)數(shù)據(jù)擁有者需要對文件或者用戶的權(quán)限進(jìn)行重定向時，包括如下步驟: (1)當(dāng)數(shù)據(jù)擁有者需要對某個文件進(jìn)行刪除操作時，只需將其全局唯一文件編號標(biāo)識符在控制列表中刪除即可，更新之后將其表格上傳至云服務(wù)器； (2)當(dāng)數(shù)據(jù)擁有者需要對某個用戶的全部權(quán)限進(jìn)行撤銷時，只需將其全局唯一用戶身份標(biāo)識符在控制列表中刪除即可，更新之后將其表格上傳至云服務(wù)器； (3)當(dāng)數(shù)據(jù)擁有者需要對某個用戶的權(quán)限進(jìn)行重定向時，數(shù)據(jù)擁有者首先將該用戶的全局唯一用戶身份標(biāo)識符從原先的權(quán)限列表中刪除，接著找到需要重定向的文件，并將用戶的操作權(quán)限連同該用戶的全局唯一用戶身份標(biāo)識符和操作權(quán)限一起寫入全局唯一文件編號標(biāo)識符下。
2.根據(jù)權(quán)利要求1所述的一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法，其特征在于:所述方法還包括，將密文與用戶身份權(quán)限相綁定，由數(shù)據(jù)擁有者制定接入控制策略，同時將身份-權(quán)限-密文表格加密后上傳，由云服務(wù)器代理進(jìn)行接入控制。
3.根據(jù)權(quán)利要求1所述的一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法，其特征在于:所述步驟三的權(quán)限重定向階段，數(shù)據(jù)擁有者針對特定用戶的權(quán)限變更直接對身份-權(quán)限-密文表的控制字段進(jìn)行修改。
4.根據(jù)權(quán)利要求1所述的一種基于用戶身份能力的細(xì)粒度云平臺安全接入控制方法，其特征在于:所述方法的系統(tǒng)由云端、云服務(wù)器、用戶和數(shù)據(jù)擁有者四個功能實體組成；數(shù)據(jù)擁有者是云端數(shù)據(jù)的上傳者和資源屬，對文件進(jìn)行加密并制定相關(guān)的接入策略；用戶是云端數(shù)據(jù)的共享者，對文件有著讀、寫、執(zhí)行的訪問權(quán)限，所述權(quán)限需要在數(shù)據(jù)擁有者處登記后才可獲得；云服務(wù)器存儲著由數(shù)據(jù)擁有者上傳的身份-權(quán)限-密文表，既是數(shù)據(jù)擁有者接入控制的代理商，又是云計算存儲的服務(wù)商；云端是由計算機(jī)集群組成的物理節(jié)點。
【文檔編號】H04L29/08GK104009987SQ201410217439
【公開日】2014年8月27日 申請日期:2014年5月21日 優(yōu)先權(quán)日:2014年5月21日
【發(fā)明者】孫知信, 洪漢舒, 宮婧 申請人:南京郵電大學(xué)