[发明专利]一种云存储中支持数据共享的分层访问控制系统及方法

权利要求书

1.一种云存储中支持数据共享的分层访问控制方法，其特征在于，所述云存储中支持数据共享的分层访问控制方法包括：可信授权中心生成系统秘密信息和公共信息，并向用户公开系统公共信息；可信授权中心根据用户群组等级结构，基于密钥聚合方法生成每个用户群组的密钥并分发给所有对应用户；用户利用任意目标用户群组的系统公共信息对拟分享的数据进行加密，并上传存储至云服务器中；合法用户获取云服务器中存储的密文数据，利用用户群组密钥对数据进行解密；当需要撤销某个用户的访问权限时，可信授权中心和云服务器进行系统更新和重新加密过程；

所述云存储中支持数据共享的分层访问控制方法包括以下步骤：

(1)可信授权中心运行系统建立算法Setup(1^λ,G)，输入安全参数1^λ和用户群组等级结构G，生成不对外公开的随机数α、不对外公开的表示n个用户群组的系统参数{γ_i}、n个用户群组的身份{id_i}、公共矩阵M和系统公共参数param，并公开用户群组身份{id_i}、公共矩阵M和系统公共参数param；

(2)可信授权中心为系统中每一个用户群组生成并分发密钥，运行密钥生成算法KeyGen(G,param,i,γ_i)，输入用户群组等级结构G、系统公共参数param、拟分发密钥的用户群组序号i及其对应的系统参数γ_i，生成用户群组i的密钥K_i，并分发给用户群组i中的所有用户；

(3)任意用户拟向目标用户群组k分享文件DataFile时，采用混合加密的方法，随机生成一个对称加密密钥DEK，并将文件用对称加密算法加密为{DataFile}_DEK，运行加密算法Encrypt(param,DEK,k,id_k)，输入系统公共参数param、拟分享文件的对称加密密钥DEK、目标用户群组序号k及其身份id_k，得到密文C_DEK，并将密文头部(k,C_DEK)和密文主体{DataFile}_DEK上传存储至云服务器中；

(4)用户群组i中的用户u从云服务器中获取目标用户群组为k的密文头部(k,C_DEK)和密文主体{DataFile}_DEK，运行解密算法Decrypt(G,M,param,i,K_i,(k,C_DEK))，输入用户群组等级结构G、公共矩阵M、系统公共参数param、用户u所在群组的序号i和及其对应的密钥K_i以及密文头部(k,C_DEK)，若用户群组k为用户群组i及其下属群组，则可解密得到对称密钥DEK，进而采用对称密码算法解密得到DataFile，否则无法解密；

(5)当需要将用户群组l中的某一用户v移出该群组时，即该用户不再拥有群组l及其下属用户群组的等级访问权限，可信授权中心运行更新算法Update(α,{γ_i},param,l)更新撤销用户所在群组l及其所有下属用户群组的密钥，输入不公开的随机数α、表示n个用户群组的不公开参数{γ_i}、系统公共参数param和拟撤销用户v所在群组序号l，生成新的公共矩阵M′以及用户群组l及其所有下属用户群组新的系统参数{γ_q′}不向任何人公开、新的身份{id_q′}、新的密钥{K_q′}和每个用户群组的重新加密令牌{TK_q}，公开新的M′和{id_q′}，向用户群组l及其所有下属用户群组中的用户分发新的{K_q′}，并将重新加密令牌(q,TK_q)发送给云服务器；

云服务器对涉及到的每个用户群组即用户群组l及其所有下属用户群组中的每个密文数据分别运行重新加密算法ReEncrypt((q,C_DEK),TK_q)，输入密文头部(q,C_DEK)及其对应的重新加密令牌TK_q，生成新的密文头部(q,C_DEK′)并在云服务器中进行更新。