一种云存储服务平台的访问控制系统及其访问控制方法
【技术领域】
[0001] 本发明属于云服务信息安全领域，尤其设及一种云存储服务平台的访问控制系统 及其访问控制方法。
【背景技术】
[0002] 在云存储服务平台中，由于采用数据远程托管技术，云服务提供商是数据的物理 拥有者，却与数据属主并不在同一个信任域中。云存储服务提供商管理着多个用户及其资 源，当用户跨边界访问其它用户资源时，需要采用一定的访问控制策略来控制对数据和服 务的访问。但实际中，由于云存储服务平台是采用虚拟化存储技术，云存储服务同底层硬件 环境之间是松禪合的，不同用户的数据间缺乏固定不变的安全边界，由此增加了在云存储 服务平台对数据实施访问控制的难度。
[0003] 现有技术中，虽然数据属主可对其上传的用户数据的读/写属性进行设置，例如 将读/写属性设置为公有读/私有写或公有读/公有写，W在一定程度上限制数据的读写 权限，但由于用户数据仍旧是W明文形式存储在云存储服务平台上的，缺乏有效的隐私保 护机制，不能有效抵御非法用户的访问而使得用户数据泄露。
【发明内容】
[0004] 本发明实施例的目的在于提供一种云存储服务平台的访问控制系统，旨在解决现 有的云存储服务平台W明文形式存储用户数据，隐私性和安全性差的问题。
[0005] 本发明实施例是该样实现的，一种云存储服务平台的访问控制系统，所述系统包 括：
[0006] 认证中屯、，用于生成全局公钥、全局主密钥、用户公钥，之后将所述全局公钥上传 到云端；
[0007] 至少一个属性授权机构，用于管理各自的属性集合，并生成机构公钥和机构密钥， 之后将所述机构公钥上传到所述云端，还用于根据每一用户提交的属性列表，利用所述全 局公钥、所述用户公钥、所述机构密钥生成与用户对应的用户私钥；
[0008] 用户终端，用于从所述云端下载所述机构公钥和所述全局公钥，并结合所述属性 授权机构生成的对应的所述用户私钥，实现用户数据的加密上传或共享数据的解密下载。
[0009] 本发明实施例的另一目的在于提供一种如上所述的云存储服务平台的访问控制 系统的访问控制方法，所述方法包括W下步骤：
[0010] 认证中屯、注册各用户终端和各属性授权机构，并生成全局公钥、全局主密钥、用户 公钥，之后将全局公钥上传到云端，将所述用户公钥发送给相应的属性授权机构，所述全局 主密钥由所述认证中屯、保存；
[0011] 属性授权机构管理各自的属性集合，并生成机构公钥和机构密钥，之后将所述机 构公钥上传到所述云端，所述机构密钥由所述属性授权机构保存；
[0012] 用户终端登录系统后，从所述云端下载所述机构公钥和所述全局公钥，并向相应 的属性授权机构发出用户私钥获取请求和属性列表；
[0013] 所述相应的属性授权机构接收到所述用户私钥获取请求后，根据所述属性列表， 利用所述全局公钥、所述用户公钥、所述机构密钥生成与用户对应的用户私钥，并发送给相 应的用户终端；
[0014] 用户终端根据所述机构公钥、所述全局公钥和所述用户私钥，实现用户数据的加 密上传或共享数据的解密下载。
[0015] 本发明实施例提出的云存储服务平台的访问控制系统及其访问控制方法是基于 权重属性加密机制，采用多机构属性基加密技术，将需上传的用户数据加密后存储到云存 储服务平台上的，因而可对云存储服务平台上的共享数据实现有效的隐私保护，提高了云 存储服务的安全性。同时，由于将用户的属性与权重相结合，实现了用户属性的分级管理， 使得相同属性不同级别的用户具有不同的访问权限，从而在保证安全性的同时还实现了更 加灵活而细致的访问控制。另外，该系统和方法采用多机构属性基加密技术，避免了单个认 证中屯、权力过于集中的问题，进一步提高了数据存储的安全性。该系统和方法特别适合部 署在0SS平台，可切实保障用户存储在0SS平台数据的机密性，同时可对数据共享范围实施 细粒度访问控制。
【附图说明】
[0016] 图1是本发明提供的云存储服务平台的访问控制系统的结构图；
[0017] 图2是本发明提供的云存储服务平台的访问控制系统的访问控制方法的流程图。
【具体实施方式】
[001引为了使本发明的目的、技术方案及优点更加清楚明白，W下结合附图及实施例，对 本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用W解释本发明，并 不用于限定本发明。
[0019] 为了解决现有技术存在的问题，本发明提出的云存储服务平台的访问控制系统及 其访问控制方法是基于权重属性加密机制，采用多机构属性基加密技术，将需上传的用户 数据加密后存储到云存储服务平台上的。
[0020] 图1是本发明提供的云存储服务平台的访问控制系统的结构，为了便于说明，仅 示出了与本发明相关的部分。
[0021] 详细地，本发明提供的云存储服务平台的访问控制系统包括；认证中屯、1，用于生 成全局公钥、全局主密钥、用户公钥，之后将全局公钥上传到云端，全局主密钥由认证中屯、1 自己保存；至少一个属性授权机构2,用于管理各自的属性集合，并生成机构公钥和机构密 钥，之后将机构公钥上传到云端，机构密钥由属性授权机构2自己保存，还用于根据每一用 户提交的属性列表，利用全局公钥、用户公钥、机构密钥生成与用户对应的用户私钥；用户 终端3,用于从云端下载机构公钥和全局公钥，并结合属性授权机构2生成的对应的用户私 钥，实现用户数据的加密上传或共享数据的解密下载。
[0022] 本发明中，用户终端3可进一步区分为数据属主和共享用户。其中，数据属主是数 据文件的所有者，可W创建、更新、删除数据，同时希望将用户数据加密后上传至云端W实 现数据共享；共享用户是希望从云端下载共享数据的一方。
[0023] 应当理解，定义数据属主与共享用户的目的是为了区别用户终端3在系统某次运 行过程中的功能是上传数据或下载数据，因而在系统某次运行过程中的数据属主可W是另 一次运行过程中的共享用户，同样地，在系统某次运行过程中的共享用户可W是另一次运 行过程中的数据属主。
[0024] 本发明中，认证中屯、1和属性授权机构2均属于授权机构，该授权机构是指除用户 终端3之外、与云端交互的另一方，主要完成最终用户私钥的分发、用户注册、信息和最终 用户私钥的管理工作，同时，还负责对用户的属性信息进行相应的动态管理，例如，对用户 或其属性的动态更新、添加或删除等。
[0025] 本发明中，云端即云服务提供商或称数据共享中屯、，其一直在线并提供用户数据 存储服务。
[0026] 本发明中，当云端是阿里云计算有限公司对外提供的开放存储服务的pen StorageService,OS巧平台时，云端与用户终端3、属性授权机构2和认证中屯、1之间是通 过阿里云计算有限公司提供的0SS平台的开发接口aliyun-sdk-oss-2. 0. 0.jar实现通信 的。
[0027] 此外，本发明中，认证中屯、1还用于接受各用户终端3和各属性授权机构2的注 册，用户终端3和属性授权机构2根据注册获得的登录信息登录系统。
[0028] 本发明的云存储服务平台的访问控制系统的工作原理是：
[0029] 系统建立后，认证中屯、1注册各用户终端3和各属性授权机构2,并且生成全局公 钥、全局主密钥、用户公钥，之后将全局公钥上传到云端，将用户公钥发送给相应的属性授 权机构2。之后，各属性授权机构2管理各自的属性集合，即设定各自管理的属性集合中的 属性值及其权重值，并生成机构公钥和机构密钥，之后将机构公钥上传到云端。其中，属性 集合例如可W是校园网中的学生院系、学生类别、年级、专业等属性，教师具有院系、职称、 教龄等属性的集合。
[0030] 用户终端3根据注册获得的登录信息登录系统，之后从云端下载机构公钥和全局 公钥，并向相应的属性授权机构2发出用户私钥获取请求和属性列表。相应的属性授权机 构2在接收到用户私钥获取请求后，根据属性列表，利用全局公钥、用户公钥、机构密钥生 成与用户对应的用户私钥，W文件的方式通过FTP发送给对应的用户终端3。用户终端2在 获取到机构公钥、全局公钥和用户私钥后，便可根据需求执行加密上传或解密下载的操作。
[0031] 当用户终端2作为数据属主向云端上传用户数据时，用户终端2根据全局公钥、参 与加密的所有属性授权机构2的集合、对应的机构公钥的集合、W及访问控制策略，对输入 的明文进行加密，并将加密得到的密文上传至云端W供其它用户下载。
[0032] 当用户终端2作为共享用户而共享云端存储的数据时，用户终端2从云端下载共 享数据，之后根据全局公钥和用户私钥，对下载的共享数据进行解密，若用户终端2的属性 未被撤销并符合数据属主制定的访问控制策略，则可W成功解密共享数据。
[0033] 图2示出了本发明提供的云存储服务平台的访问控制系统的访问控制方法的流 程，包括W下步骤：
[0034]S1;认证中屯、注册各用户终端和各属性授权机构，并生成全局公钥、全局主密钥、 用户公钥，之后将全局公钥上传到云端，将用户公钥发送给相应的属性授权机构，全局主密 钥由认证中屯、保存。其中的全局主密钥即整个系统的主密钥，
[00巧]进一步地，步骤SI又可包括；
[0036] 步骤S11 ;认证中屯、选择阶为素