[发明专利]一种云环境下轻量级的细粒度访问控制方法

说明书

技术领域

本发明属于安全云存储领域，特别是涉及到隐私数据轻量级、细粒度、灵活的数据访问控制方法。 

背景技术

云计算作为一种新的网络计算模型一经提出，便得到了学术界，工业界的极大关注。云存储服务以其特有的良好扩展性、便捷的部署以及低廉的成本迅速得到发展，无论学术界还是工业界都取得了显著的成果。 

尽管云存储服务在如此短的时间内取得如此多显著成果，但其在发展过程中所面临的问题依然制约着云存储的进一步发展，而目前公认的制约云存储服务发展的瓶颈便是数据安全问题，尽管目前有很多安全技术来保证数据安全，但大部分的技术更多关注的是来自外部的威胁，而针对云存储提供商的内部威胁并没有得到有效关注。 

目前的主要通过对数据的本地加解密技术来抵御来自云存储提供商的内部攻击。尽管目前的本地加解密技术有效的抵御了来自云服务提供商内部以及网络中的攻击，但却极大的影响了数据在不同用户之间的共享。尽管密钥协商机制可以解决密文数据的共享，但该机制会导致每次数据授权的高计算成本，以及无法有效的进行授权撤销或更新，而只能通过对数据重新加密的方式进行授权撤销或更新。 

针对当前的密文数据访问控制方法进行分析发现，当前的密文数据访问控制方法存在以下主要问题： 

1.在保证数据安全的前提，没有一个有效的机制来解决无副本的密文数据共享。 

2.目前的数据授权大部分都是基于静态的角色或者属性划分，无法针对数据进行灵活的，细粒度的数据授权。 

3.一旦对密文进行数据授权后，尤其是针对同一数据进行多次授权后，不能有效的针对数据进行授权撤销，目前大部分采用对数据进行重加密机制，大大加重了计算代价并且会导致其他可访问用户的密钥更换。 

发明内容

为解决上述问题，本发明提供了一种云环境下轻量级的细粒度访问控制方法，包括以下步骤： 

步骤1：上传数据及初始化，其实现方式为： 

一方面，数据拥有者通过自己的公钥本地加密所要上传的明文数据，得到密文数据；然 后将所述的密文数据上传至云端； 

另一方面，根据数据拥有者的访问控制需求，构造相应的权限控制节点层； 

步骤2：数据的授权，其实现方式包括如下步骤： 

步骤2.1：确定授权数据，针对每个所要授权的数据，生成一个对应的数据镜像，如果所述的数据需要被多次授权，则相应生成多个镜像，所述的数据拥有者为所述的每个镜像生成一个公私钥对； 

步骤2.2：计算所述的数据与其镜像之间的代理重加密密钥，存储在云端； 

步骤2.3：计算会话密钥，对于每一个被授权用户，所述的数据拥有者通过自己的私钥与所述的授权用户的公钥及公开参数构造出一个会话密钥，所述的用户指一个单用户或者一个用户群组； 

步骤2.4：通过所述的会话密钥对所述的镜像的私钥进行加密，将加密后的密文存储于所述的权限控制节点，同时更新所述的权限控制节点中所述的授权用户信息； 

步骤3：数据的读取： 

所述的用户请求读取所述的某个数据，系统首先根据所述的权限控制节点判断所述的当前用户是否拥有该数据访问权限，如果有，则将所述的用户请求的数据经过镜像的重加密以及其权限控制节点中加密的镜像私钥发送给所述的用户，所述的用户在客户端则通过第一轮解密获得所述的镜像私钥，然后利用该私钥进行第二轮解密并最终获得所述的明文数据；否则，拒绝所述的用户请求； 

步骤4：授权撤销： 

所述的被授权用户被请求撤销授权，系统判断所述的被授权用户与所述的数据之间是否存在访问路径，如果不存在，拒绝所述的请求；如果存在，系统判断所述的权限控制节点是否存在该用户信息，如果有： 

如果所述的数据只对应一个镜像，则直接从云端删除该数据镜像，并清空其权限控制节点信息； 

如果所述的数据只对应一个镜像，但是只针对部分用户执行授权撤销，则首先清空权限控制节点中的对应用户信息，其次对当前镜像重新生成公私钥对，并生成以该公私钥对为目标的重加密密钥，以及加密处理其私钥，最后更新权限控制节点中的用户授权信息为加密后的镜像私钥； 

如果所述的数据对应于多个镜像，且需要对所有镜像执行授权撤销，则删除对应镜像，并更新权限控制节点中的被授权用户信息；