一种数据访问控制方法及系统的制作方法
【专利摘要】本发明适用于云计算【技术领域】，提供了一种数据访问控制方法及系统，所述方法包括：第三方生成各层次的密钥，并将生成的所述密钥发送给对应层次的客户端；所述客户端通过接收到的密钥对待上传云端服务器的数据进行加密，并将加密后的数据上传至云端服务器。本发明在提高云端服务器数据安全的同时，简化了云端服务器数据访问控制中的密钥管理，降低了计算开销，提高了云端服务器数据访问的效率。
【专利说明】一种数据访问控制方法及系统
【技术领域】
[0001]本发明属于云计算【技术领域】，尤其涉及一种数据访问控制方法及系统。
【背景技术】
[0002]从云计算诞生，安全性一直是企业实施云计算首要考虑的问题之一。访问控制是实现用户数据机密性和进行隐私保护的重要手段。在云存储系统中的服务器应假设为是不可信的，用户不愿意将核心机密信息放到云存储系统中，即使是密文数据，用户也会担心被非授权用户读取或弓I用，这使得云存储服务应用的发展受到了限制。
[0003]现有密文策略的基于属性的加密(Ciphertext-policy Attribute-BasedEncryption, CP-ABE)方案将用户的身份表示为一个属性的集合，加密后的数据(密文数据)与数据的访问控制结构相关联。一个用户能否访问这份数据，取决于该用户的属性集合是否能与访问控制结构相匹配。在采用CP-ABE实现云存储的数据访问控制时，由于用户的属性间存在层次关系，导致数据的访问结构复杂。同时每个用户能够访问的数据都采用CP-ABE机制来实现数据的访问，会导致计算开销较大。
【发明内容】
[0004]本发明实施例在于提供一种数据访问控制方法，以解决现有技术在访问云服务端数据时，计算开销较大的问题。
[0005]本发明实施例的第一方面，提供一种数据访问控制方法，所述方法包括:
[0006]第三方生成各层次的密钥，并将生成的所述密钥发送给对应层次的客户端；
[0007]所述客户端通过接收到的密钥对待上传云端服务器的数据进行加密，并将加密后的数据上传至云端服务器。
[0008]本发明实施例的第二方面，提供一种数据访问控制系统，所述系统包括:
[0009]第三方、客户端以及云服务端；
[0010]所述第三方，用于生成各层次的密钥，并将生成的所述密钥发送给对应层次的客户端；
[0011]所述客户端，用于通过接收到的密钥对待上传云端服务器的数据进行加密，并将加密后的数据上传至云端服务器。
[0012]本发明实施例与现有技术相比存在的有益效果是:本发明实施例通过可信的第三方生成不同层次的密钥，并将生成的所述密钥发送给对应层次的客户端，以使得客户端通过接收到的密钥对待上传云端服务器的数据进行加密。本发明实施例在提高云端服务器数据安全的同时，简化了云端服务器数据访问控制中的密钥管理，降低了计算开销，提高了云端服务器数据访问的效率，具有较强的易用性和实用性。
【专利附图】
【附图说明】
[0013]为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
[0014]图1是本发明第一实施例提供的数据访问控制系统所适用的应用场景图；
[0015]图2是本发明第二实施例提供的数据访问控制方法的实现流程图。
【具体实施方式】
[0016]为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
[0017]为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。
[0018]实施例一:
[0019]图1示出了本发明第一实施例提供的数据访问控制系统所适用的应用场景，为了便于说明，仅示出了与本发明实施例相关的部分。
[0020]如图1所示，该数据访问控制系统包括多个用户终端1、云端服务端2以及第三方
3。所述多个用户终端1、云端服务端2以及第三方3之间通过有线或者无线的方式连接通?目。
[0021]其中，所述用户终端I可以是手机、平板电脑、计算机等。
[0022]所述云端服务端2和第三方3可以是单一的服务器，也可以为由几个功能服务器共同组成的服务器端。
[0023]在一个多权限或多层次的组织结构中(如在医院中，包括院长，科室主任，主任医生，主治医生等；在企业中，包括总经理，部门主管，项目经理，工程师等)，不同权限或层次的用户可以解密不同等级的数据密文而获得相关的信息。在采用CP-ABE实现云存储的数据访问控制时，由于用户的属性间存在层次关系，导致数据的访问结构复杂。同时每个用户能够访问的数据都采用CP-ABE机制来实现数据的访问，会导致计算开销较大。为解决上述问题，具体实施如下:
[0024]所述第三方3基于层次访问控制模型生成各层次的密钥(包括公钥和私钥)，并将生成的所述密钥发送给对应层次的用户终端I。所述用户终端I通过接收到的密钥对待上传云端服务器2的数据进行加密，并将加密后的数据上传至云端服务器2。
[0025]其中，所述系统至少包括第一层次(权限较高的层次)和第二层次(权限较低的层次)，对应层次的用户终端I包括第一层次的用户终端11和第二层次的用户终端12。
[0026]较佳的，本实施例在所述用户终端I通过接收到的密钥对待上传云端服务器2的数据进行加密之前，还包括:
[0027]所述第三方3根据第二层次用户终端12的属性生成对应的属性密钥(包括公钥和私钥)，并将所述属性密钥发送给所述第二层次用户终端12 ；
[0028]其中，所述第二层次用户终端12通过接收到的密钥对待上传云端服务器2的数据进行加密，并将加密后的数据上传至云端服务器2具体包括:
[0029]所述第二层次用户终端12通过接收到的密钥对待上传云端服务器2的数据进行加密，并通过所述属性密钥对该密钥进行加密，将加密后的数据以及加密后的密钥一起上传至云端服务器2。
[0030]进一步的，本实施例还包括:
[0031]所述第二层次用户终端12从所述云端服务器2下载所述加密的数据以及加密的密钥后，通过所述属性密钥解密所述加密的密钥，得到对称密钥，再通过所述对称密钥对所述加密的数据进行解密以供用户终端12所在用户查看。
[0032]进一步的，所述第一层次用户终端11从所述云端服务器2下载所述加密的数据后，通过所述密钥对所述加密的数据进行解密以供用户终端11所在用户查看。
[0033]需要说明的是，所述公钥与私钥是一对，如果用公钥对数据进行加密，只有用对应的私钥才能解密；如果用私钥对数据进行加密，那么只有用对应的公钥才能解密。
[0034]本实施例在基于CP-ABE的基础上(即对云端服务器的数据进行精细划分，构建不同的数据的访问结构)，结合层次访问控制模型，提出了一种面向云端服务端的高效数据访问控制方案，本方案能构造更加简单高效的数据密文访问结构(即第一层次和第二层次)，同时简化了数据访问控制中的密钥管理，降低了计算开销，在保持CP-ABE优良特性的基础上，实现了类似基于角色的数据访问控制机制。
[0035]进一步的，用户终端I对待上传云端服务器2的数据进行加密之前，还包括:
[0036]用户终端I接收启动数据访问控制功能的信息。
[0037]其中，所述启动数据访问控制功能的信息包括用户发出的启动数据访问控制功能的指令，或者根据预设的时间间隔产生的启动数据访问控制功能的触发信息。
[0038]在本实施例中，所述启动数据访问控制功能的指令可以优选为:在监测到用户在用户终端I上的触摸动作为两点触摸且滑动轨迹为纵向相对滑动后，判断两触摸点纵向相对滑动的位移是否同时大于预设的第一阈值、所述两触摸点最终落点的距离差是否小于预设的第二阈值、且所述两触摸点滑动的速度是否同时大于预设的第三阈值；或者在监测到所述触摸动作为两点触摸且所述滑动轨迹为相反方向滑动后，判断两触摸点相反方向滑动的位移是否同时大于预设的第一阈值、所述两触摸点最终落点的距离差是否大于预设的第四阈值、且所述两触摸点滑动的速度是否同时大于预设的第三阈值，若是(即上述三个条件判断结果都为“是”)，则判定为启动数据访问控制功能的指令；若否(上述三个条件的判断结果至少有一个为“否”)，则不执行，结束当前操作。
[0039]本实施例提供的应用场景只用于解释本发明，并不限定本发明的保护范围。
[0040]实施例二:
[0041]图2示出了第二施例提供的数据访问控制方法的实现流程，该方法过程详述如下:
[0042]在步骤S201中，第三方生成各层次的密钥，并将生成的所述密钥发送给对应层次的客户端。
[0043]在本实施例中，所述第三方为可信(经过安全认证)的第三方。所述第三方具体基于层次访问控制模型生成各层次的密钥(包括公钥和私钥)，并将生成的所述密钥发送给对应层次的客户端。
[0044]其中，本实施例至少包括第一层次(权限较高的层次)和第二层次(权限较低的层次)，对应层次的用户终端包括第一层次的用户终端和第二层次的用户终端。具体层次的划分可根据实际需求调整，本实施例对此不进行限制。[0045]为了使得多层次的用户之间可以通过层次密钥派生的方法来实现多层次的数据访问，如让高权限的用户能够访问低权限用户能够访问的数据，本实施例所述第一层次的密钥可以生成第二层次的密钥，即第二层次客户端访问数据的密钥可由第一层次客户端的密钥派生。
[0046]在步骤S202中，客户端通过接收到的密钥对待上传云端服务器的数据进行加密，并将加密后的数据上传至云端服务器。
[0047]具体的是，通过对称加密算法对所述待上传云端服务器的数据进行加密。
[0048]进一步的，本实施例在所述客户端通过接收到的密钥对待上传云端服务器的数据进行加密之前，还包括:
[0049]所述第三方根据第二层次客户端的属性(包括对应的权限、可访问的数据等)生成对应的属性密钥(包括公钥和私钥)，并将所述属性密钥发送给所述第二层次客户端。
[0050]较佳的，所述客户端通过接收到的密钥对待上传云端服务器的数据进行加密，并将加密后的数据上传至云端服务器具体包括:
[0051]所述第二层次客户端通过接收到的密钥对待上传云端服务器的数据进行加密，并通过所述属性密钥对该密钥进行加密，将加密后的数据以及加密后的密钥一起上传至云端服务器。
[0052]具体的是，通过对称加密算法对所述密钥进行加密。
[0053]进一步的，本实施例还包括:
[0054]所述第二层次客户端从所述云端服务器下载所述加密的数据以及加密的密钥后，通过所述属性密钥解密所述加密的密钥，得到对称密钥，再通过所述对称密钥对所述加密的数据进行解密以供终端所在用户查看。
[0055]进一步的，所述第一层次客户端从所述云端服务器下载所述加密的数据后，通过所述密钥对所述加密的数据进行解密以供终端所在用户查看。
[0056]在本实施例中，第一层次客户端拥有一个密钥(包括公钥、私钥)；第二层次客户端拥有两个密钥。第一层次客户端通过所述密钥中的私钥或公钥对待上传云端服务器的数据进行加密获得数据密文，并通过所述公钥或私钥解密得到数据原文；对于第二层次客户端，则需要根据其属性密钥先解密所述密钥密文，并通过解密所述密钥密文得到的对称密钥解密数据密文，从而获得数据原文。
[0057]综上所述，本发明实施例通过可信的第三方生成不同层次的密钥，并将生成的所述密钥发送给对应层次的客户端，以使得客户端通过接收到的密钥对待上传云端服务器的数据进行加密。本发明实施例在提高云端服务器数据安全的同时，简化了云端服务器数据访问控制中的密钥管理，降低了计算开销，提高了云端服务器数据访问的效率，具有较强的易用性和实用性。
[0058]本领域普通技术人员还可以理解，实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以在存储于一计算机可读取存储介质中，所述的存储介质，包括R0M/RAM、磁盘、光盘等。
[0059]以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属【技术领域】的普通技术人员来说，在不脱离本发明构思的前提下做出若干等同替代或明显变型，而且性能或用途相同，都应当视为属于本发明由所提交的权利要求书确定的专利保护范围。
【权利要求】
1.一种数据访问控制方法，其特征在于，所述方法包括: 第三方生成各层次的密钥，并将生成的所述密钥发送给对应层次的客户端； 所述客户端通过接收到的密钥对待上传云端服务器的数据进行加密，并将加密后的数据上传至云端服务器。
2.如权利要求1所述的方法，其特征在于，所述方法至少包括第一层次和第二层次。
3.如权利要求2所述的方法，其特征在于，在所述客户端通过接收到的密钥对待上传云端服务器的数据进行加密之前，还包括: 所述第三方根据第二层次客户端的属性生成对应的属性密钥，并将所述属性密钥发送给所述第二层次客户端； 所述客户端通过接收到的密钥对待上传云端服务器的数据进行加密，并将加密后的数据上传至云端服务器具体包括: 所述第二层次客户端通过接收到的密钥对待上传云端服务器的数据进行加密，并通过所述属性密钥对该密钥进行加密，将加密后的数据以及加密后的密钥一起上传至云端服务器。
4.如权利要求3所述的方法，其特征在于，所述方法还包括: 所述第二层次客户端从所述云端服务器下载所述加密的数据以及加密的密钥后，通过所述属性密钥解密所述加密的密钥，得到对称密钥，再通过所述对称密钥对所述加密的数据进行解密以供终端所在用户查看。
5.如权利要求2所述的方法，其特征在于，所述方法还包括: 第一层次客户端从所述云端服务器下载所述加密的数据后，通过所述密钥对所述加密的数据进行解密以供终端所在用户查看。
6.一种数据访问控制系统，其特征在于，所述系统包括: 第三方、客户端以及云服务端； 所述第三方，用于生成各层次的密钥，并将生成的所述密钥发送给对应层次的客户端; 所述客户端，用于通过接收到的密钥对待上传云端服务器的数据进行加密，并将加密后的数据上传至云端服务器。
7.如权利要求6所述的系统，其特征在于，所述系统至少包括第一层次和第二层次。
8.如权利要求7所述的系统，其特征在于，所述第三方还用于，根据第二层次客户端的属性生成对应的属性密钥，并将所述属性密钥发送给所述第二层次客户端； 所述第二层次客户端，用于通过接收到的密钥对待上传云端服务器的数据进行加密，并通过所述属性密钥对该密钥进行加密，将加密后的数据以及加密后的密钥一起上传至云端服务器。
9.如权利要求8所述的系统，其特征在于，所述第二层次客户端，还用于从所述云端服务器下载所述加密的数据以及加密的密钥后，通过所述属性密钥解密所述加密的密钥，得到对称密钥，再通过所述对称密钥对所述加密的数据进行解密以供终端所在用户查看。
10.如权利要求7所述的系统，其特征在于，所述第一层次客户端，还用于从所述云端服务器下载所述加密的数据后，通过所述密钥对所述加密的数据进行解密以供终端所在用户查看。
【文档编号】H04L29/08GK103746798SQ201310684938
【公开日】2014年4月23日 申请日期:2013年12月12日 优先权日:2013年12月12日
【发明者】刘进, 须成忠, 孙婧, 喻之斌 申请人:中国科学院深圳先进技术研究院