CN112953930A - 一种云存储数据的处理方法、装置及计算机*** - Google Patents

一种云存储数据的处理方法、装置及计算机*** Download PDF

Info

Publication number
CN112953930A
CN112953930A CN202110178479.8A CN202110178479A CN112953930A CN 112953930 A CN112953930 A CN 112953930A CN 202110178479 A CN202110178479 A CN 202110178479A CN 112953930 A CN112953930 A CN 112953930A
Authority
CN
China
Prior art keywords
data
user
signature
identity
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202110178479.8A
Other languages
English (en)
Inventor
程威
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Suning Group Co ltd
Original Assignee
Suning Group Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Suning Group Co ltd filed Critical Suning Group Co ltd
Priority to CN202110178479.8A priority Critical patent/CN112953930A/zh
Publication of CN112953930A publication Critical patent/CN112953930A/zh
Priority to PCT/CN2021/131747 priority patent/WO2022170810A1/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本申请公开了一种云存储数据的处理方法、装置及计算机***，方法包括接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；根据所述第一用户的公钥对所述签名进行验证；当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户，云平台可根据每一数据标识对应的访问策略确定可访问数据标识对应的数据的用户，避免了现有技术中生成新的访问结构并加密存储会占用大量存储空间并消耗计算资源的问题。

Description

一种云存储数据的处理方法、装置及计算机***
技术领域
本发明涉及数据处理领域，尤其涉及一种云存储数据的处理方法、装置及计算机***。
背景技术
现有技术中，云存储平台对存储数据的细粒度访问控制主要采用的技术为属性基加密，主要根据CP/KP-ABE加密算法使用访问控制属性集合来进行自主访问控制。例如，基于CP-ABE算法的数据加密和分享等流程包括：
初始化：密钥中心(KGC)根据秘密参数、属性全集产生公开参数PK与主密钥MK，并将PK公开给所有用户；
生成密钥：密钥中心根据每一用户的属性集合ABi，利用MK、PK生成用户私钥SKi，安全传递给各用户；
数据加密：密钥中心根据待存储的明文数据对应的访问控制策略，确定可获取该数据的用户的属性集，根据属性集生成访问结构AC；根据AC及PK对明文数据进行加密；
用户解密：用户从数据平台获取加密数据，当该用户的属性集合ABn∈AC时，该用户即可使用自身的密钥SKn以及PK对加密数据进行解密，以获得明文数据。
然而，基于上述现有技术，当数据需要动态分享时，该数据对应的访问控制策略需要常常被更新，这就导致需要生成新的访问结构AC并加密存储，造成了存储空间的浪费。
发明内容
为了解决现有技术的不足，本发明的主要目的在于提供一种云存储数据的处理方法、装置及计算机***，以解决现有技术的上述技术问题。
为了达到上述目的，第一方面本发明提供了一种云存储数据的处理方法，所述方法包括：
接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
根据所述第一用户的公钥对所述签名进行验证；
当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
在一些实施例中，所述方法包括：
接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；
根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
在一些实施例中，所述当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户包括：
根据所述待获取数据对应的加密级别，确定所述待获取数据是否为加密数据；
当是加密数据时，根据所述待获取数据对应的第一重加密密钥对所述待获取数据进行重加密；
将重加密的所述待获取数据返回给所述第一用户，以便所述第一用户根据所述第一用户的私钥解密所述重加密的待获取数据并获得明文的所述待获取数据。
在一些实施例中，所述方法包括：
接收第三用户发送的数据分享请求，所述数据分享请求包括所述第三用户的签名及待分享数据的数据标识及目标访问策略；
根据所述第三用户的公钥对所述第三用户的签名进行验证，当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识。
在一些实施例中，所述方法包括：
接收第四用户发送的私钥更新请求，所述更新请求包括所述第四用户的原身份标识、更新的身份标识及第一原始签名，所述第一原始签名根据所述第四用户的原私钥生成；
根据所述第四用户的公钥验证所述第四用户的签名，当验证通过时，根据所述更新的身份标识生成更新的私钥和公钥并将更新的私钥返回给所述第四用户；
接收所述第四用户返回的第二原始签名、更新签名及第二重加密密钥，所述第二原始签名根据所述第四用户的原私钥生成，所述更新签名根据所述更新的私钥生成；
根据更新前的公钥验证所述第二原始签名并根据更新后的公钥验证所述更新签名；
当均验证通过时，将存储的所述第四用户的身份标识更新为所述更新的身份标识，并根据所述第二重加密密钥对所述第四用户存储的加密数据进行重加密。
在一些实施例中，所述当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别包括：
查询存储数据库中是否存在与所述待存储数据相同的数据；
当存在时，将所述第二用户的身份标识记录至所述相同的数据对应的拥有者记录；
当不存在时，生成所述待存储数据的备份并将所述待存储数据及所述备份存储至存储数据库。
在一些实施例中，所述当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识包括：
当验证通过时，获取所述待分享数据的拥有者记录及历史访问策略；
当所述第三用户的身份标识属于所述拥有者记录或历史访问策略时，存储所述待分享数据的访问策略以便后续根据所述目标访问策略和所述历史访问策略确定可访问所述待分享数据的身份标识。
第二方面，本申请提供了一种云存储数据的处理装置，所述装置包括：
接收模块，用于接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；及当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
验证模块，用于根据所述第一用户的公钥对所述签名进行验证；
返回模块，用于当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
在一些实施例中，所述接收模块还可用于接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；
所述验证模块还可用于根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
第三方面，本申请提供了一种计算机***，所述***包括：
一个或多个处理器；
以及与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如下操作：
接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
根据所述第一用户的公钥对所述签名进行验证；
当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
本发明实现的有益效果为：
本申请提供了一种云存储数据的处理方法，包括接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；根据所述第一用户的公钥对所述签名进行验证；当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户，云平台可根据每一数据标识对应的访问策略确定可访问数据标识对应的数据的用户，当数据需要被分享给其他用户时可以直接修改相应的访问策略中存储的可访问数据的身份标识，避免了现有技术中生成新的访问结构AC并加密存储占用大量存储空间并消耗计算资源，且相较于现有技术中基于属性的访问控制可以更细粒度地管理每一数据的访问权限，提升了处理效率。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本申请实施例提供的云存储架构图；
图2是本申请实施例提供的方法流程图；
图3是本申请实施例提供的装置结构图；
图4是本申请实施例提供的计算机***结构图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如背景技术所述，现有技术中对云平台的存储数据主要采用基于属性基的访问控制方法，在每次数据的访问权限发生更改时都需要重新生成相应的访问结构并加密，造成了存储空间和计算资源的浪费。
为解决上述技术问题，本申请提出了一种云存储数据的处理方法，云平台可根据每一数据标识对应的访问策略确定可访问数据标识对应的数据的用户，当数据需要被分享给其他用户时可以直接修改相应的访问策略中存储的可访问数据的身份标识，避免了现有技术中生成新的访问结构AC并加密存储占用大量存储空间并消耗计算资源，且相较于现有技术中基于属性的访问控制可以更细粒度地管理每一数据的访问权限，提升了处理效率。
实施例一
具体的，可建立如图1所示的云存储平台，其中KGC可独立部署于可信第三方服务器，用于管理密钥。云存储平台具有大量的租户即用户，用户可将自身的服务器产生的数据等待存储的数据经由云存储平台的网关存储至云存储平台的存储服务器这种。
初始化时，用户可将自身的IDi上传至KGC。KGC验证idi是云存储平台的合法用户后可使用CIBPRE细粒度基于身份控制的代理重加密算法，根据每一用户的IDi为每一用户生成私钥ski及公钥pki，存储每一用户对应的公钥并将用户的私钥ski通过安全加密通道线上传输或通过线下邮寄等方式送达至对应的用户。其中，每一用户的ID都是唯一的。
用户在获得了密钥后，可以通过调用云存储网关将数据上传至云存储平台。所述上传过程包括：
A1、用户A向云存储平台发送数据上传请求；
所述上传请求中包括待上传数据。当待上传数据是明文时，上传请求中包括明文数据m1、用户A的签名signm1(ska，m1|IDa|D)、用户A的身份标识即IDa以及数据敏感级别D，其中签名signm1(ska，m1|IDa|D)是根据ecc等非对称签名算法使用用户A的私钥ska对m1、IDa、D中的至少一个签名后生成的签名结果值。其中，当待上传数据是明文时，数据敏感级别D的值可以为1。
当待上传数据是密文时，上传请求中包括密文数据c1、用户A的签名signc1(ska，c1|IDa|D)、用户A的身份标识IDa以及数据敏感级别D，其中签名signc1(ska，c1|IDa|D)是根据ecc等非对称签名算法使用用户A的私钥ska对c1、IDa、D中的至少一个签名后生成的签名结果值。其中，当待上传数据是明文时，数据敏感级别D的值可以为0。密文数据是根据CIBPRE加密算法，使用用户A的私钥对原始的待上传数据m1及签名signm1加密后生成的加密数据。
A2、云存储网关对上传请求的签名进行校验，当校验通过后存储待上传数据、签名、身份标识IDa以及数据敏感级别D，并返回待上传数据对应的数据标识oid；
具体的，云存储网关可根据用户A的公钥对签名进行校验。
其中，为了避免相同数据的重复存储，云存储网关在校验通过后可将待上传数据与存储服务器中已存储的数据进行匹配，当已存储的数据中存在与待上传数据相同的数据时，可直接将该相同的数据的拥有者记录中增加用户A，以节省存储空间。
当已存储数据中不存在与待上传数据相同的数据时，可根据待上传数据声场三份备份数据进行冗余存储，其中存储服务器对每一份备份数据都按照存储逻辑磁盘块分片存储，存储到多个物理设备，以减少数据整体损坏的风险并提高存储空间利用率。
用户A可从云存储平台获取自身已上传的数据，所述获取的过程包括：
A3、向云存储平台发送数据获取请求；
该数据获取请求中包括签名sign(ska，rands||oid||timestamp)及待获取数据的数据标识oid。其中中签名sign(ska，rands||oid||timestamp)是根据ecc等非对称签名算法使用用户A的私钥ska对rands、oid、timestamp中的至少一个签名后生成的签名结果值，rands是随机字符串，timestamp为时间戳。
A4、根据用户A的公钥对签名进行校验，当校验通过时从存储服务器中获取数据标识对应的完整的数据副本并返回给用户A。
当返回的数据是密文数据时，用户A可使用私钥对其进行解密，得到明文数据及签名signm1。用户A可使用自身的公钥对签名signm1进行校验，当校验通过后可确定获取的数据是存储的原始数据，以防止数据被篡改。
当用户A需要将数据分享给用户B时，数据分享的过程包括：
B1、用户A向云存储网关发送数据分享请求；
当待分享数据是密文数据时，分享请求包括访问控制策略集合group1(S1，oid-g1，rk1，D)及签名sign2(ska，rands||group1||timestamp)，其中访问控制策略集合group1(S1，oid-g1，rk1，D)包括待分享数据的数据标识集合oid-g1、可访问集合oid-g1的用户对应的身份标识ID的集合S1、重加密密钥rk1及数据敏感级别D。其中，重加密密钥rk1是利用CIBPRE广播代理重加密算法的RK算法生成的。
当待分享数据是明文数据时，分享请求包括访问控制策略集合group1(S1，oid-g1，D)及签名sign2(ska，rands||group1||timestamp)，其中访问控制策略集合group1(S1，oid-g1，rk1，D)包括待分享数据的数据标识集合oid-g1、可访问集合oid-g1的用户对应的身份标识ID的集合S1及数据敏感级别D。
签名sign2(ska，rands||group1||timestamp)是根据ecc等非对称签名算法使用用户A的私钥ska对rands、group1及timestamp中的至少一个签名后生成的签名结果值，rands是随机字符串，timestamp为时间戳。
B2、云存储网关根据用户A的公钥对签名进行验证，当验证通过时将访问控制策略集合group1存储在策略数据库中以便后续调用。
优选的，云存储网关可首先查询数据标识集合oid-g1对应的所有数据分别的拥有者记录以及策略数据库中已有的访问控制策略集合，然后确定用户A的ID是否记录在拥有者记录或已有的访问控制策略集合中。当存在记录时，再进行签名的验证。
当用户B需要获取用户A分享的数据时，获取过程包括：
C1、用户B向云存储网关发送数据获取请求；
获取请求中包括用户B的签名sign3(skb，rands||oid-g||IDb||timestamp)、待获取数据的数据标识集合oid-g及用户B的身份标识IDb。其中sign3(skb，rands||oid-g||IDb||timestamp)是根据ecc等非对称签名算法使用用户B的私钥skb对rands、数据标识集合oid-g、身份标识IDb及数据敏感级别D中的至少一个签名后生成的签名结果值。
C2、根据用户B的公钥验证用户B的签名，当验证通过后获取待获取数据的数据标识集合oid-g对应的所有数据的拥有者记录，当拥有者记录中包括用户B时，将对应的所有数据返回给用户B；
C3、当不包括用户B时，获取数据标识集合oid-g对应的所有数据的访问控制策略集合并确定访问控制策略中是否包含用户B；
具体的，可首先从访问策略缓存库中获取对应的访问策略集合，当访问策略缓存库中不存在该对应的访问策略集合时，可从访问策略数据库中获取访问策略集合。
访问策略缓存库中用于存储预设时间段内曾被命中过的访问策略。具体的，当从访问策略数据库中获取到对应的访问控制策略集合后，可以获取的访问控制策略集合存储到访问策略缓存库中。所述预设时间段可以是任意时间长度，优选为5分钟。
C4、当访问控制策略集合中包括用户B时，根据待获取数据的数据敏感级别确定待获取数据是否为密文数据；
具体的，当待获取数据有多个时，对应的访问控制策略集合包含的访问控制策略也可能有多个。当所有的访问控制策略都包括用户B时，用户B可以获取到所有的待获取数据；当有部分访问控制策略包括用户B但其余的不包括时，用户B可以获取到对应的访问控制策略包括用户B的待获取数据。
具体的，当数据敏感级别为1时，说明数据为明文数据。当为0时，数据为密文数据。
C5、当待获取数据为密文数据时，使用对应的重加密密钥对密文数据进行重加密并将重加密后的数据返回给用户B；
C6、用户B使用私钥skb对重加密的数据进行解密，获得明文的待获取数据及签名signm1；
用户B可根据用户A的公钥对签名signm1进行验证，以确保资源的完整性。
当待获取数据是明文数据时，云存储平台可以直接将明文数据发送给用户。
上述分享和获取过程实现了密文数据的秘密分享，云存储无法获取到密文信息的内容，且各用户间进行加密数据的分享时不需要进行密钥协商的交互过程。
当用户A的私钥需要更换时，公私钥的重新生成及数据的重新加密过程包括：
D1、用户A向云存储平台发送私钥生成请求；
所述私钥生成请求中包括用户A的签名signID(ska，rands|IDa|IDa’|timestamp)、随机数rands、时间戳timestamp、原身份标识IDa、更新后的身份标识IDa’。
D2、根据用户A的公钥校验签名，当校验通过后，根据更新的身份标识Ida’生成用户A的更新后的公钥及私钥ska’，并将私钥通过安全加密通道线上传输或通过线下邮寄等方式送达至用户A；
D3、用户A根据原私钥生成原始签名sign’(ska，rands|IDa|IDa’|timestamp)，根据更新后的私钥生成更新签名sign2’(ska’，rands|IDa|IDa’|timestamp)并上传至云存储平台；
D4、云存储平台根据原公钥验证原始签名sign’，根据更新后的密钥验证更新签名sign2’；
当均验证通过时，将记录中用户A的身份标识更新为更新后的身份标识IDa’，并利用重加密算法将用户A存储的数据进行重加密，以便用户A可使用更新后的私钥对数据进行解密。
实施例二
对应上述实施例，本申请提供了一种云存储数据的处理方法，如图2所示，所述方法包括：
210、接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
具体的，本申请中第一用户、第二用户、第三用户及第四用户可以是云存储平台的任意用户，第一用户、第二用户、第三用户及第四用户可以是不同的用户，也可以是同一个用户，本申请对此不加限定。
220、根据所述第一用户的公钥对所述签名进行验证；
230、当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
240、当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
优选的，所述方法包括：
250、接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；
251、根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
优选的，所述当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户：
252、根据所述待获取数据对应的加密级别，确定所述待获取数据是否为加密数据；
253、当是加密数据时，根据所述待获取数据对应的第一重加密密钥对所述待获取数据进行重加密；
254、将重加密的所述待获取数据返回给所述第一用户，以便所述第一用户根据所述第一用户的私钥解密所述重加密的待获取数据并获得明文的所述待获取数据。
优选的，所述当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别包括：
255、查询存储数据库中是否存在与所述待存储数据相同的数据；
256、当存在时，将所述第二用户的身份标识记录至所述相同的数据对应的拥有者记录；
257、当不存在时，生成所述待存储数据的备份并将所述待存储数据及所述备份存储至存储数据库。
优选的，所述方法包括：
260、接收第三用户发送的数据分享请求，所述数据分享请求包括所述第三用户的签名及待分享数据的数据标识及目标访问策略；
261、根据所述第三用户的公钥对所述第三用户的签名进行验证，当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识。
优选的，所述当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识包括：
262、当验证通过时，获取所述待分享数据的拥有者记录及历史访问策略；
263、当所述第三用户的身份标识属于所述拥有者记录或历史访问策略时，存储所述待分享数据的访问策略以便后续根据所述目标访问策略和所述历史访问策略确定可访问所述待分享数据的身份标识。
优选的，所述方法包括：
270、接收第四用户发送的私钥更新请求，所述更新请求包括所述第四用户的原身份标识、更新的身份标识及第一原始签名，所述第一原始签名根据所述第四用户的原私钥生成；
271、根据所述第四用户的公钥验证所述第四用户的签名，当验证通过时，根据所述更新的身份标识生成更新的私钥和公钥并将更新的私钥返回给所述第四用户；
272、接收所述第四用户返回的第二原始签名、更新签名及第二重加密密钥，所述第二原始签名根据所述第四用户的原私钥生成，所述更新签名根据所述更新的私钥生成；
273、根据更新前的公钥验证所述第二原始签名并根据更新后的公钥验证所述更新签名；
274、当均验证通过时，将存储的所述第四用户的身份标识更新为所述更新的身份标识，并根据所述第二重加密密钥对所述第四用户存储的加密数据进行重加密。
实施例三
对应上述实施例，本申请提供了一种云存储数据的处理装置，如图3所示，所述装置包括：
接收模块310，用于接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；及当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
验证模块320，用于根据所述第一用户的公钥对所述签名进行验证；
返回模块330，用于当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
优选的，所述接收模块310还可用于接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；所述验证模块320还可用于根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
优选的，所述返回模块330还可用于根据所述待获取数据对应的加密级别，确定所述待获取数据是否为加密数据；当是加密数据时，根据所述待获取数据对应的第一重加密密钥对所述待获取数据进行重加密；将重加密的所述待获取数据返回给所述第一用户，以便所述第一用户根据所述第一用户的私钥解密所述重加密的待获取数据并获得明文的所述待获取数据。
优选的，所述接收模块310还可用于接收第三用户发送的数据分享请求，所述数据分享请求包括所述第三用户的签名及待分享数据的数据标识及目标访问策略；所述验证模块320还可用于根据所述第三用户的公钥对所述第三用户的签名进行验证；所述装置还包括存储模块，用于当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识。
优选的，所述接收模块310还可用于接收第四用户发送的私钥更新请求，所述更新请求包括所述第四用户的原身份标识、更新的身份标识及第一原始签名，所述第一原始签名根据所述第四用户的原私钥生成及接收所述第四用户返回的第二原始签名、更新签名及第二重加密密钥，所述第二原始签名根据所述第四用户的原私钥生成，所述更新签名根据所述更新的私钥生成；所述验证模块320还可用于根据所述第四用户的公钥验证所述第四用户的签名及根据更新前的公钥验证所述第二原始签名并根据更新后的公钥验证所述更新签名；所述返回模块330还可用于当验证通过时，根据所述更新的身份标识生成更新的私钥和公钥并将更新的私钥返回给所述第四用户，所述存储模块还可用于当均验证通过时，将存储的所述第四用户的身份标识更新为所述更新的身份标识，并根据所述第二重加密密钥对所述第四用户存储的加密数据进行重加密。
优选的，所述存储模块还可用于查询存储数据库中是否存在与所述待存储数据相同的数据；当存在时，将所述第二用户的身份标识记录至所述相同的数据对应的拥有者记录；当不存在时，生成所述待存储数据的备份并将所述待存储数据及所述备份存储至存储数据库。
优选的，所述存储模块还可用于当验证通过时，获取所述待分享数据的拥有者记录及历史访问策略；当所述第三用户的身份标识属于所述拥有者记录或历史访问策略时，存储所述待分享数据的访问策略以便后续根据所述目标访问策略和所述历史访问策略确定可访问所述待分享数据的身份标识。
实施例四
对应上述方法、设备及***，本申请实施例四提供一种计算机***，包括：一个或多个处理器；以及与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如下操作：
接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
根据所述第一用户的公钥对所述签名进行验证；
当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
其中，图4示例性的展示出了计算机***的架构，具体可以包括处理器1510，视频显示适配器1511，磁盘驱动器1512，输入/输出接口1513，网络接口1514，以及存储器1520。上述处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，与存储器1520之间可以通过通信总线1530进行通信连接。
其中，处理器1510可以采用通用的CPU(Central Processing Unit，中央处理器)、微处理器、应用专用集成电路(Application Specific Integrated Circuit，ASIC)、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本申请所提供的技术方案。
存储器1520可以采用ROM(Read Only Memory，只读存储器)、RAM(Random AccessMemory，随机存取存储器)、静态存储设备，动态存储设备等形式实现。存储器1520可以存储用于控制计算机***1500运行的操作***1521，用于控制计算机***1500的低级别操作的基本输入输出***(BIOS)1522。另外，还可以存储网页浏览器1523，数据存储管理1524，以及图标字体处理***1525等等。上述图标字体处理***1525就可以是本申请实施例中具体实现前述各步骤操作的应用程序。总之，在通过软件或者固件来实现本申请所提供的技术方案时，相关的程序代码保存在存储器1520中，并由处理器1510来调用执行。输入/输出接口1513用于连接输入/输出模块，以实现信息输入及输出。输入输出/模块可以作为组件配置在设备中(图中未示出)，也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。
网络接口1514用于连接通信模块(图中未示出)，以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式(例如USB、网线等)实现通信，也可以通过无线方式(例如移动网络、WIFI、蓝牙等)实现通信。
总线1530包括一通路，在设备的各个组件(例如处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，与存储器1520)之间传输信息。
另外，该计算机***1500还可以从虚拟资源对象领取条件信息数据库1541中获得具体领取条件的信息，以用于进行条件判断，等等。
需要说明的是，尽管上述设备仅示出了处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，存储器1520，总线1530等，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本申请方案所必需的组件，而不必包含图中所示的全部组件。
通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，云服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于***或***实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的***及***实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种云存储数据的处理方法，其特征在于，所述方法包括：
接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
根据所述第一用户的公钥对所述签名进行验证；
当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
2.根据权利要求1所述的方法，其特征在于，所述方法包括：
接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；
根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
3.根据权利要求2所述的方法，其特征在于，所述当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户包括：
根据所述待获取数据对应的加密级别，确定所述待获取数据是否为加密数据；
当是加密数据时，根据所述待获取数据对应的第一重加密密钥对所述待获取数据进行重加密；
将重加密的所述待获取数据返回给所述第一用户，以便所述第一用户根据所述第一用户的私钥解密所述重加密的待获取数据并获得明文的所述待获取数据。
4.根据权利要求1-3任一所述的方法，其特征在于，所述方法包括：
接收第三用户发送的数据分享请求，所述数据分享请求包括所述第三用户的签名及待分享数据的数据标识及目标访问策略；
根据所述第三用户的公钥对所述第三用户的签名进行验证，当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识。
5.根据权利要求1-3任一所述的方法，其特征在于，所述方法包括：
接收第四用户发送的私钥更新请求，所述更新请求包括所述第四用户的原身份标识、更新的身份标识及第一原始签名，所述第一原始签名根据所述第四用户的原私钥生成；
根据所述第四用户的公钥验证所述第四用户的签名，当验证通过时，根据所述更新的身份标识生成更新的私钥和公钥并将更新的私钥返回给所述第四用户；
接收所述第四用户返回的第二原始签名、更新签名及第二重加密密钥，所述第二原始签名根据所述第四用户的原私钥生成，所述更新签名根据所述更新的私钥生成；
根据更新前的公钥验证所述第二原始签名并根据更新后的公钥验证所述更新签名；
当均验证通过时，将存储的所述第四用户的身份标识更新为所述更新的身份标识，并根据所述第二重加密密钥对所述第四用户存储的加密数据进行重加密。
6.根据权利要求2或3所述的方法，其特征在于，所述当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别包括：
查询存储数据库中是否存在与所述待存储数据相同的数据；
当存在时，将所述第二用户的身份标识记录至所述相同的数据对应的拥有者记录；
当不存在时，生成所述待存储数据的备份并将所述待存储数据及所述备份存储至存储数据库。
7.根据权利要求4所述的方法，其特征在于，所述当验证通过时，存储所述目标访问策略以便后续根据所述目标访问策略确定可访问所述待分享数据的身份标识包括：
当验证通过时，获取所述待分享数据的拥有者记录及历史访问策略；
当所述第三用户的身份标识属于所述拥有者记录或历史访问策略时，存储所述待分享数据的访问策略以便后续根据所述目标访问策略和所述历史访问策略确定可访问所述待分享数据的身份标识。
8.一种云存储数据的处理装置，其特征在于，所述装置包括：
接收模块，用于接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；及当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
验证模块，用于根据所述第一用户的公钥对所述签名进行验证；
返回模块，用于当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
9.根据权利要求8所述的装置，其特征在于，所述接收模块还可用于接收第二用户发送的数据上传请求，所述数据上传请求包括待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别；
所述验证模块还可用于根据所述第二用户的公钥对第二用户的签名进行验证，当验证通过时，存储所述待存储数据、所述第二用户的签名及身份标识、所述待存储数据的加密级别。
10.一种计算机***，其特征在于，所述***包括：
一个或多个处理器；
以及与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如下操作：
接收第一用户发送的数据获取请求，所述数据获取请求包括所述第一用户的身份标识、签名及待获取数据对应的数据标识，所述签名根据所述第一用户的私钥生成；
根据所述第一用户的公钥对所述签名进行验证；
当验证通过时，获取所述数据标识对应的访问策略，所述访问策略包括预设的可访问所述待获取数据的身份标识；
当所述对应的访问策略包括所述第一用户的身份标识时，将所述待获取数据返回给所述第一用户。
CN202110178479.8A 2021-02-09 2021-02-09 一种云存储数据的处理方法、装置及计算机*** Pending CN112953930A (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN202110178479.8A CN112953930A (zh) 2021-02-09 2021-02-09 一种云存储数据的处理方法、装置及计算机***
PCT/CN2021/131747 WO2022170810A1 (zh) 2021-02-09 2021-11-19 一种云存储数据的处理方法、装置及计算机***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110178479.8A CN112953930A (zh) 2021-02-09 2021-02-09 一种云存储数据的处理方法、装置及计算机***

Publications (1)

Publication Number Publication Date
CN112953930A true CN112953930A (zh) 2021-06-11

Family

ID=76244786

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110178479.8A Pending CN112953930A (zh) 2021-02-09 2021-02-09 一种云存储数据的处理方法、装置及计算机***

Country Status (2)

Country Link
CN (1) CN112953930A (zh)
WO (1) WO2022170810A1 (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113254986A (zh) * 2021-07-16 2021-08-13 深圳市永兴元科技股份有限公司 数据处理方法、装置及计算机可读存储介质
CN113821818A (zh) * 2021-11-19 2021-12-21 国网浙江省电力有限公司 基于标识管理的中台访问隔阻方法、装置及存储介质
CN114567477A (zh) * 2022-02-24 2022-05-31 特赞（上海）信息科技有限公司 一种多方协同的权限管理方法、装置、终端及存储介质
WO2022170810A1 (zh) * 2021-02-09 2022-08-18 苏宁易购集团股份有限公司 一种云存储数据的处理方法、装置及计算机***
CN115378659A (zh) * 2022-07-28 2022-11-22 中国电子科技集团公司第三十研究所 基于用户身份的高可靠文件加密和细粒度访问控制方法
CN116599647A (zh) * 2023-06-29 2023-08-15 中国电信股份有限公司 信息处理方法、服务节点、区块链网络和存储介质

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115603865B (zh) * 2022-12-13 2023-03-14 广东广宇科技发展有限公司 一种基于云存储的大数据快速传输方法
CN116938594B (zh) * 2023-09-08 2024-03-22 数盾信息科技股份有限公司 一种基于高速加密技术的多层次身份验证***
CN117454396B (zh) * 2023-10-24 2024-07-05 深圳市马博士网络科技有限公司 一种私有云***的强制访问控制***及方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104980477A (zh) * 2014-04-14 2015-10-14 航天信息股份有限公司 云存储环境下的数据访问控制方法和***
CN108563788A (zh) * 2018-04-27 2018-09-21 腾讯科技（深圳）有限公司 基于区块链的数据查询方法、装置、服务器及存储介质

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102055730B (zh) * 2009-11-02 2013-09-11 华为终端有限公司 云处理***、云处理方法和云计算代理装置
US9166791B2 (en) * 2013-11-20 2015-10-20 At&T Intellectual Property I, L.P. Method and apparatus for user identity verification
CN108462568B (zh) * 2018-02-11 2021-08-06 西安电子科技大学 一种基于区块链的安全文件存储和共享方法、云存储***
CN111031037A (zh) * 2019-12-12 2020-04-17 北京金山云网络技术有限公司 用于对象存储服务的鉴权方法、装置及电子设备
CN112953930A (zh) * 2021-02-09 2021-06-11 苏宁易购集团股份有限公司 一种云存储数据的处理方法、装置及计算机***

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104980477A (zh) * 2014-04-14 2015-10-14 航天信息股份有限公司 云存储环境下的数据访问控制方法和***
CN108563788A (zh) * 2018-04-27 2018-09-21 腾讯科技（深圳）有限公司 基于区块链的数据查询方法、装置、服务器及存储介质

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022170810A1 (zh) * 2021-02-09 2022-08-18 苏宁易购集团股份有限公司 一种云存储数据的处理方法、装置及计算机***
CN113254986A (zh) * 2021-07-16 2021-08-13 深圳市永兴元科技股份有限公司 数据处理方法、装置及计算机可读存储介质
CN113254986B (zh) * 2021-07-16 2021-10-15 深圳市永兴元科技股份有限公司 数据处理方法、装置及计算机可读存储介质
CN113821818A (zh) * 2021-11-19 2021-12-21 国网浙江省电力有限公司 基于标识管理的中台访问隔阻方法、装置及存储介质
CN113821818B (zh) * 2021-11-19 2022-02-08 国网浙江省电力有限公司 基于标识管理的中台访问隔阻方法、装置及存储介质
CN114567477A (zh) * 2022-02-24 2022-05-31 特赞（上海）信息科技有限公司 一种多方协同的权限管理方法、装置、终端及存储介质
CN114567477B (zh) * 2022-02-24 2024-03-22 特赞（上海）信息科技有限公司 一种多方协同的权限管理方法、装置、终端及存储介质
CN115378659A (zh) * 2022-07-28 2022-11-22 中国电子科技集团公司第三十研究所 基于用户身份的高可靠文件加密和细粒度访问控制方法
CN115378659B (zh) * 2022-07-28 2024-04-16 中国电子科技集团公司第三十研究所 基于用户身份的高可靠文件加密和细粒度访问控制方法
CN116599647A (zh) * 2023-06-29 2023-08-15 中国电信股份有限公司 信息处理方法、服务节点、区块链网络和存储介质
CN116599647B (zh) * 2023-06-29 2023-09-29 中国电信股份有限公司 信息处理方法、服务节点、区块链网络和存储介质

Also Published As

Publication number Publication date
WO2022170810A1 (zh) 2022-08-18

Similar Documents

Publication Publication Date Title
CN112953930A (zh) 一种云存储数据的处理方法、装置及计算机***
EP4120114A1 (en) Data processing method and apparatus, smart device and storage medium
CN111708991B (zh) 服务的授权方法、装置、计算机设备和存储介质
US9813414B2 (en) Password-based management of encrypted files
EP3404891A1 (en) Method and system for distributing digital content in peer-to-peer network
CN102404314B (zh) 远程资源单点登录
CN102427442B (zh) 组合请求相关元数据和元数据内容
US8997198B1 (en) Techniques for securing a centralized metadata distributed filesystem
JP5735978B2 (ja) 暗号ファイル・システムへの安全ケルベロス化アクセス
JP5522307B2 (ja) 仮想機械によるソフトウェアテストを用いた電子ネットワークにおけるクライアントシステムの遠隔保守のためのシステム及び方法
US10423791B2 (en) Enabling offline restart of shielded virtual machines using key caching
US9893896B1 (en) System and method for remote storage auditing
US20070061566A1 (en) Tokencode Exchanges for Peripheral Authentication
US20240187393A1 (en) Network resource access control methods and systems using transactional artifacts
US20120254622A1 (en) Secure Access to Electronic Devices
US10454910B2 (en) Management apparatus, computer program product, system, device, method, information processing apparatus, and server
WO2008035450A1 (fr) Authentification par un identifiant ponctuel
CN111131336B (zh) 多方授权场景下的资源访问方法、装置、设备及存储介质
JP4787080B2 (ja) 分散情報共有方法および端末装置
MX2014010310A (es) Sistema de gestion de datos de identidad para produccion de alto volumen de datos de identidad especificos del producto.
US11368291B2 (en) Mutually authenticated adaptive management interfaces for interaction with sensitive infrastructure
CN110912892B (zh) 一种证书管理方法、装置、电子设备及存储介质
CN117240625A (zh) 一种涉及防篡改的数据处理方法、装置及电子设备
CN110851851B (zh) 一种块链式账本中的权限管理方法、装置及设备
US20230244797A1 (en) Data processing method and apparatus, electronic device, and medium

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20210611

RJ01 Rejection of invention patent application after publication