[发明专利]一种云存储中支持数据共享的分层访问控制系统及方法

说明书

本发明属于通过一个平台保护数据存取访问的技术领域，公开了一种云存储中支持数据共享的分层访问控制系统及方法，包括：可信授权中心生成系统秘密信息和公共信息，并向用户公开系统公共信息；可信授权中心根据用户群组等级结构，基于密钥聚合方法生成每个用户群组的密钥并分发给所有对应用户；用户利用任意目标用户群组的系统公共信息对拟分享的数据进行加密，并上传存储至云服务器中；合法用户获取云服务器中存储的密文数据，利用用户群组密钥对数据进行解密；当需要撤销某个用户的访问权限时，可信授权中心和云服务器进行系统更新和重新加密过程。本发明面向云存储环境实现了公钥密码体制下支持灵活数据安全共享且无需密钥推导过程的分层访问控制。

技术领域

本发明属于通过一个平台保护数据存取访问的技术领域，尤其涉及一种云存储中支持数据共享的分层访问控制系统及方法。

背景技术

目前，业内常用的现有技术是这样的：云计算是一种新的计算模式，它基于动态可伸缩的虚拟化技术，将计算作为一种资源，通过互联网向资源有限的用户提供按需的计算服务。随着网络空间中数据量的爆炸式增长，数据的存储问题变得愈发棘手。云存储服务作为云计算技术的延伸，提供了数据的外包存储解决方案。云服务提供商利用云存储服务器向用户提供数据存储资源与相关管理服务。用户通过支付一定的费用购买存储服务，并将相关数据在云服务器上进行外包存储。同机构或个人用户自己部署存储设备与管理软件的方式相比，这一外包存储模式具有成本较低、按需选择、管理方便、随处访问等优势。然而，用户的外包存储数据可能含有敏感信息，如政府的机密文件、企业的商业数据和个人的医疗信息等等，因此云存储模式在给用户带来便利的同时，也会对用户存储在云端的数据带来安全威胁。一旦用户将数据上传至云服务器，其只能以远程操作的方式对外包存储数据进行访问与处理。这样，用户很可能会丧失外包存储数据的自主控制权。另外，除了恶意的攻击者以外，云服务提供商也可能会受利益的驱使在半可信模式下工作，即云服务提供商严格执行协议的规定，但通过与用户的交互最大程度地获取用户的隐私信息。因此，用户应该对数据进行加密并以密文的形式存储在云服务器上以保证数据信息不被泄露给未经授权的用户，如何保证多个用户在云存储模式下进行数据的安全共享和访问控制成为了一个亟待解决的问题。现有的云存储数据安全共享与访问控制方案一般基于属性基加密(ABE)技术，即根据用户的身份为其分配一组特定的属性，并为具有不同访问权限要求的文件数据制定不同的访问控制策略，只有属性满足文件访问控制策略要求的用户才能对文件进行解密。然而，在一些常见的云存储现实应用场景下，如企业云、政务云等，用户是以层级结构的方式进行组织的，即不同用户分属于不同的用户组，而用户组之间具有等级关系，高等级用户具有访问其下属用户数据的权限，而低等级用户无法访问高等级用户的数据。针对分层场景下的数据访问控制问题首先提出了一种基于密码学的解决方案，将用户集合之间的层级结构描述为安全类之间的偏序集关系，利用数论中的若干定理基于对称密码体制给出了一种防止共谋的等级密钥管理方案，但该方案存在随着用户层次结构广度和深度的增大而密钥大小迅速增大的问题，不适合扩展到大规模复杂结构中。基于单向函数思想提出了一种树形结构下的分层访问控制实现方案，方案中不同的用户拥有单个固定大小的密钥。后来提出了一种外包数据的多用户安全访问控制方案，该方案面向的用户等级结构类型为树型，并且采用了基于单向函数的密钥推导方法，其不足之处是各个用户需要存储多个对称加密密钥。一种动态等级密钥管理方案将安全类之间的偏序关系表示为有向图的形式，通过对图中的节点和边都赋予特定的公开信息，利用哈希函数实现任意高等级类到其后代低等级类的密钥推导过程。目前的分层访问控制方法大多基于对称密码体制，用户通常只可能拥有自己和下属用户的对称密钥，因此无法使用除此之外其他用户的密钥对拟分享数据进行加密，以在云存储中向这些用户分享对方可解密的密文数据。

综上所述，现有技术存在的问题是：在基于对称密码体制的分层访问控制方法中，用户通常无法向其他任意用户分享对方可解密的密文数据，不太适用于云存储数据安全共享场景。