面向云存储服务平台的访问控制系统及其访问控制方法
【技术领域】
[0001] 本发明属于云存储服务技术领域，尤其涉及一种面向云存储服务平台、特别是亚 马逊S3云存储服务平台的访问控制系统及其访问控制方法。
【背景技术】
[0002] 在云存储服务平台中，由于采用数据远程托管技术，云存储服务提供商是数据的 物理拥有者，与数据属主并不在同一个信任域中。云存储服务提供商管理着多个用户及其 资源，当用户跨边界访问其它用户资源时，需要采用一定的访问控制策略来控制对数据和 服务的访问。但实际中，由于云存储服务平台是采用虚拟化存储技术，云存储服务同底层硬 件环境之间是松耦合的，不同用户的数据间缺乏固定不变的安全边界，由此增加了在云存 储服务平台对数据实施访问控制的难度。
[0003] 现有技术中，虽然数据属主可对其上传的用户数据的读/写属性进行设置，例如 将读/写属性设置为公有读/私有写或公有读/公有写，以在一定程度上限制数据的读写 权限，但由于用户数据仍旧是以明文形式存储在云存储服务平台上的，缺乏有效的隐私保 护机制，不能有效抵御非法用户的访问而使得用户数据泄露。
【发明内容】
[0004] 本发明实施例的目的在于提供一种面向云存储服务平台的访问控制系统，旨在解 决现有的云存储服务平台是以明文形式存储用户数据，隐私性和安全性差的问题。
[0005] 本发明实施例是这样实现的，一种面向云存储服务平台的访问控制系统，所述系 统包括：
[0006] 由授权中心运行的管理端，用于生成系统公共参数并上传至云存储服务器，生成 用户私钥并秘密分发至数据属主和共享用户，用基于权重属性加密机制产生需上传数据的 第一部分密文；
[0007] 由数据属主和共享用户运行的客户端，用基于权重属性加密机制产生需上传数据 的第二部分密文，结合所述第一部分密文、所述第二部分密文和所述需上传数据生成最终 密文并将所述最终密文作为共享数据上传至所述云存储服务平台，还用于从所述云存储服 务平台下载公共参数和共享数据，并利用所述公共参数和对应的用户私钥对下载的所述共 享数据进行解密。
[0008] 本发明实施例的另一目的在于提供一种如上所述的面向云存储服务平台的访问 控制系统的访问控制方法，所述方法包括以下步骤：
[0009] 授权中心运行管理端，生成公共参数与主私钥，并将所述公共参数上传至云存储 服务平台。
[0010] 数据属主运行客户端，向所述授权中心请求授权并发出数据上传请求信息；
[0011] 所述授权中心运行管理端，核实所述数据属主身份并结合所述主私钥生成对应的 用户私钥，根据所述数据上传请求信息，基于权重属性加密机制产生需上传数据的第一部 分密文，将对应的用户私钥和第一部分密文发送给所述数据属主；
[0012] 所述数据属主基于权重属性加密机制产生所述需上传数据的第二部分密文；
[0013] 所述数据属主结合所述第一部分密文、所述第二部分密文生成最终密文并将所述 最终密文作为共享数据上传至所述云存储服务平台；
[0014] 共享用户运行客户端，向所述授权中心请求授权；
[0015] 所述授权中心运行管理端，核实所述共享用户身份并结合所述主私钥生成对应的 用户私钥，将对应的用户私钥发送给所述共享用户；
[0016] 所述共享用户运行客户端，从所述云存储服务平台下载所述公共参数和所述共享 数据，并利用所述公共参数和对应的用户私钥对下载的所述共享数据进行解密。
[0017] 本发明实施例提供的面向云存储服务平台的访问控制系统及其访问控制方法中， 授权中心和数据属主是基于权重属性加密机制，将需上传的用户数据加密后存储到云存储 服务平台上的，因而可对云存储服务平台上的共享数据实现有效的隐私保护，提高了云存 储服务的安全性。同时，由于将用户的属性与权重相结合，实现了用户属性的分级管理，使 得相同属性不同级别的用户具有不同的访问权限。另外，该系统采用了密文分割方法，即由 授权中心和数据属主分别产生部分密文，通过授权中心密文控制用户访问权限，通过数据 属主密文制定访问控制策略，当用户的属性发生变化时，只需授权中心更新自己部分的密 文，即可实现对用户访问权限的实时撤销。
【附图说明】
[0018]图1是本发明提供的面向云存储服务平台的访问控制系统的结构图；
[0019] 图2是本发明提供的面向云存储服务平台的访问控制系统的访问控制方法的流 程图。
【具体实施方式】
[0020] 为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对 本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并 不用于限定本发明。
[0021] 为了解决现有技术存在的问题，本发明提出的面向云存储服务平台的访问控制系 统及其访问控制方法是基于权重属性加密机制，将需上传的用户数据加密后存储到云存储 服务平台上的。
[0022] 图1示出了本发明提供的面向云存储服务平台的访问控制系统的结构，为了便于 说明，仅示出了与本发明相关的部分。
[0023] 本发明提供的面向云存储服务平台的访问控制系统包括：由授权中心运行的管理 端11，用于生成系统公共参数并上传至云存储服务器，生成用户私钥并秘密分发至数据属 主和共享用户，用基于权重属性加密机制产生需上传数据的第一部分密文；由数据属主和 共享用户运行的客户端12,用基于权重属性加密机制产生需上传数据的第二部分密文，结 合第一部分密文、第二部分密文和需上传数据生成最终密文并将最终密文作为共享数据上 传至云存储服务平台，还用于从云存储服务平台下载公共参数和共享数据，并利用公共参 数和对应的用户私钥对下载的共享数据进行解密。
[0024] 本发明中，数据属主、共享用户分别是客户端12的运行主体，授权中心是管理端 11的运行主体。其中，数据属主是指云存储服务平台上共享数据的提供方，共享用户是指从 云存储服务平台下载共享数据方，授权中心是指除数据属主和共享用户之外、与云存储服 务平台交互的可信第三方。应当理解，定义数据属主与共享用户的目的是为了区别运行客 户端12的主体在系统某次运行过程中的功能是上传数据或下载数据，因而在系统某次运 行过程中的数据属主可以是另一次运行过程中的共享用户，同样地，在系统某次运行过程 中的共享用户可以是另一次运行过程中的数据属主。
[0025] 本发明中，管理端11还可用于对用户的基本信息进行维护，提供用户增加、删除、 查找等功能，并可修改属性、权重等用户信息。客户端12还可用于根据用户提供的身份信 息和授权中心分发的登录信息引导用户登录系统。
[0026] 本发明中，当云存储服务平台是亚马逊S3云存储服务平台时，管理端11与客户端 12可分别通过亚马逊官方提供的aws-java-sdk接口，实现与亚马逊S3云存储服务平台之 间的通f目。
[0027] 本发明的面向云存储服务平台的访问控制系统的工作原理是：系统建立后，授权 中心运行管理端11，生成公共参数与主私钥，并将公共参数上传至云存储服务平台。当第一 用户需要上传共享数据时，数据属主运行客户端12,第一用户根据自身的身份信息和登录 信息从数据属主登录客户端12。之后，授权中心根据该数据属主的属性，基于权重属性加密 机制产生需上传数据的第一部分密文，将第一部分密文发送给该数据属主。数据属主产生 需上传数据的第二部分密文，之后结合第一部分密文、第二部分密文生成最终密文并将最 终密文作为共享数据上传至云存储服务平台。当第二用户从云存储服务平台读取第一用户 上传的共享数据时，共享用户运行客户端12,第二用户根据自身的身份信息和登录信息从 共享用户登录客户端12。之后，共享用户获取用户私钥，从云存储服务平台下载公共参数和 共享数据，并利用公共参数和对应的用户私钥对下载的共享数据进行解密，若共享用户的 属性未被授权中心撤销并符合数据属主制定的访问控制策略，则该共享用户可成功解密该 共享数据。
[0028] 本发明提供的面向云存储服务平台的访问控制系统中，授权中心和数据属主是基 于权重属性加密机制，将需上传的用户数据加密后存储到云存储服务平台上的，因而可对 云存储服务平台上的共享数据实现有效的隐私保护，提高了云存储服务的安全性。同时，由 于将用户的属性与权重相结合，实现了用户属性的分级管理，使得相同属性不同级别的用 户具有不同的访问权限，该属性是用以描述用户的信息要素，例如校园网中的学生具有院 系、学生类别、年级、专业