本發(fā)明涉及數(shù)據(jù)加密領(lǐng)域，更具體的，涉及一種云存儲系統(tǒng)中的加密方法和系統(tǒng)。

背景技術(shù)：

如今技術(shù)發(fā)展越來越快，基于云存儲和文件共享的使用變得越來越廣泛，所以確保上傳和/或下載數(shù)據(jù)的安全性和隱私性，同時降低終端消費者和企業(yè)的成本已經(jīng)變得越來越重要。降低成本的一個工具是通過虛擬化和在云服務(wù)中引入多租戶，即提供“公共云”來提高服務(wù)器和空間利用率。然而，當多個用戶在公共云中交換和共享數(shù)據(jù)時，用戶之間安全地傳送數(shù)據(jù)的技術(shù)需求逐漸增加。

安全套接字層ssl主要用于加密通過公共云發(fā)送的數(shù)據(jù)。然而，使用ssl的話，終端管理需要發(fā)出私鑰的單獨的證書，從而對終端上的證書管理造成負擔。此外，關(guān)鍵數(shù)據(jù)傳輸過程中的安全性可能無法保證。當在多個用戶之間共享大量文件時，密鑰管理可能變得十分復(fù)雜。此外，云存儲的效率可能會降低，因為由于多個用戶可能使用不同的加密密鑰可以對相同的數(shù)據(jù)進行多次加密。不僅如此，這對計算資源造成了更大的壓力，而且當使用不同的密鑰加密相同的數(shù)據(jù)時，它會產(chǎn)生不同的加密文件。所以如何設(shè)計一種新的云計算存儲中的加密算法是目前亟不可待要解決的。

技術(shù)實現(xiàn)要素：

本發(fā)明旨在至少解決現(xiàn)有技術(shù)中存在的技術(shù)問題之一。

為此，本發(fā)明的目的在于，設(shè)計一種云存儲系統(tǒng)中的加密方法，使得數(shù)據(jù)加密更加便捷和安全，并且能提高計算資源的有效利用，不需要進行復(fù)雜的密鑰的管理。

為實現(xiàn)上述目的，本發(fā)明提供了一種云存儲系統(tǒng)中的加密方法，所述加密方法包括：

從用戶接收多個數(shù)據(jù)；

在與云存儲系統(tǒng)分離的加密服務(wù)器處，通過使用具有層次結(jié)構(gòu)的加密密鑰對與多個加密數(shù)據(jù)之間具有相對應(yīng)關(guān)系的加密密鑰的層級進行加密，其中所述多個加密數(shù)據(jù)被存儲在云存儲系統(tǒng)中；

其中，在目錄結(jié)構(gòu)中配置了至少兩個以上的數(shù)據(jù)，加密密鑰的層次結(jié)構(gòu)對應(yīng)于目錄結(jié)構(gòu)；

所述加密密鑰是基于由所述加密服務(wù)器接收到的密鑰導(dǎo)出信息以無狀態(tài)方式生成的，所述密鑰導(dǎo)出信息包括關(guān)于密鑰導(dǎo)出功能的信息，所述密鑰導(dǎo)出功能信息被配置為基于根密鑰確定加密密鑰，以及目錄路徑，所述根密鑰是加密密鑰層次結(jié)構(gòu)頂部的密鑰。

具體的，根據(jù)每個從用戶接收到的數(shù)據(jù)的訪問策略來確定所述多個加密數(shù)據(jù)之間的關(guān)系。

具體的，當至少兩個或更多數(shù)據(jù)具有相同的訪問策略時，通過使用相同的加密密鑰來加密兩個或多個數(shù)據(jù)。

具體的，每個目錄中的所有數(shù)據(jù)具有相同的訪問策略，并且通過使用相同的加密密鑰進行加密。

具體的，若用戶傳輸相同的數(shù)據(jù)至云存儲系統(tǒng)以進行加密和存儲，都使用相同的加密密鑰來加密相同的數(shù)據(jù)，。

具體的，所述密鑰導(dǎo)出信息還包括輔助信息，其包括目錄路徑，加密密鑰的有效期，具有訪問權(quán)限的用戶組的名稱，策略標識id和統(tǒng)一資源中的至少一個用于查找策略id的標識符uri。

具體的，所述有效期存儲在云存儲服務(wù)器處，并且在所述加密密鑰到期時，所述云存儲服務(wù)器進行報警操作，并更新所述加密密鑰。

本發(fā)明另一方面還提供一種云存儲系統(tǒng)，包括：

加密服務(wù)器，用以通過使用具有層次結(jié)構(gòu)的加密密鑰來加密多個數(shù)據(jù)，所述加密密鑰的層級與所述多個加密數(shù)據(jù)之間的關(guān)系相對應(yīng);

云存儲服務(wù)器，用以存儲多個加密數(shù)據(jù)；

其中，在目錄結(jié)構(gòu)中配置了至少兩個以上的數(shù)據(jù)，加密密鑰的層次結(jié)構(gòu)對應(yīng)于目錄結(jié)構(gòu)；

所述加密密鑰是基于由所述加密服務(wù)器接收到的密鑰導(dǎo)出信息以無狀態(tài)方式生成的，所述密鑰導(dǎo)出信息包括關(guān)于密鑰導(dǎo)出功能的信息，所述密鑰導(dǎo)出功能信息被配置為基于根密鑰確定加密密鑰，以及目錄路徑，所述根密鑰是加密密鑰層次結(jié)構(gòu)頂部的密鑰。

更具體的，根據(jù)每個從用戶接收到的數(shù)據(jù)的訪問策略來確定所述多個加密數(shù)據(jù)之間的關(guān)系。

更具體的，其特征在于，當至少兩個或更多數(shù)據(jù)具有相同的訪問策略時，通過使用相同的加密密鑰來加密兩個或多個數(shù)據(jù)。

通過本發(fā)明的一種云存儲系統(tǒng)中的加密方法，使得數(shù)據(jù)加密更加便捷和安全，并且能提高計算資源的有效利用，不需要進行復(fù)雜的密鑰的管理。在不增加計算資源的基礎(chǔ)上，能夠?qū)崿F(xiàn)安全的數(shù)據(jù)加密操作。

附圖說明

圖1示出了本發(fā)明云存儲系統(tǒng)的框圖；

圖2示出了本發(fā)明實施例的文件目錄結(jié)構(gòu)和加密文件方法的示意圖；

圖3示出了本發(fā)明實施例的用于解釋文件目錄結(jié)構(gòu)和加密文件方法的示意圖；

圖4示出了本發(fā)明基于id管理的密鑰管理系統(tǒng)的框圖；

圖5示出了本發(fā)明實施例的認證和私鑰發(fā)行的方法的流程圖；

圖6示出了本發(fā)明一種云存儲系統(tǒng)中的加密方法的流程圖。

具體實施方式

為了能夠更清楚地理解本發(fā)明的上述目的、特征和優(yōu)點，下面結(jié)合附圖和具體實施方式對本發(fā)明進行進一步的詳細描述。需要說明的是，在不沖突的情況下，本申請的實施例及實施例中的特征可以相互組合。

在下面的描述中闡述了很多具體細節(jié)以便于充分理解本發(fā)明，但是，本發(fā)明還可以采用其他不同于在此描述的方式來實施，因此，本發(fā)明的保護范圍并不受下面公開的具體實施例的限制。

如圖1所示，基于云存儲系統(tǒng)100包括加密提供商102，認證服務(wù)器104，許可證服務(wù)器106，云存儲服務(wù)器110，第一終端112和第二終端114。

第一終端112的用戶可以將數(shù)據(jù)存儲在云存儲服務(wù)器110中以供用戶使用或與其他用戶（例如，第二終端114的用戶）共享。為此，第一終端112可以建立安全的鏈接（例如，使用安全套接字層（ssl）保護的超文本傳輸協(xié)議安全（https）鏈路）與加密服務(wù)器102發(fā)送并發(fā)送第一終端112的用戶想要存儲在云上的數(shù)據(jù)，到加密服務(wù)器102進行加密。在這種情況下，第一終端112可以通過http會話與云存儲服務(wù)器110的統(tǒng)一資源標識符（uri）聯(lián)系，并且該會話可以被重定向到加密服務(wù)器102。這里，加密服務(wù)器102可以由一個不同于云提供商的安全提供商提供。

加密服務(wù)器102加密從第一終端112發(fā)送的數(shù)據(jù)。加密服務(wù)器102根據(jù)例如用戶和/或云提供商的預(yù)定義的訪問控制策略（即，訪問策略）執(zhí)行加密。在本實施例中，用戶的訪問策略可以基于對應(yīng)于（例如，映射到）云存儲服務(wù)器110中的數(shù)據(jù)的目錄結(jié)構(gòu)的密鑰層級。

參考圖2，如圖2所示，存儲在云存儲服務(wù)器110中的數(shù)據(jù)可以具有用于包括根節(jié)點，根節(jié)點下的第一級目錄d1（即，目錄d11，d12和d13）的文件的目錄結(jié)構(gòu)，第二級在第一級目錄d1下的目錄d2（即，目錄d21，d22和d23）以及第二級目錄d2下的第三級目錄d3（即，目錄d31，d32和d33）。

通常，使用相同內(nèi)容加密密鑰（cek）加密的一組對象和/或文件可被稱為均勻策略組（hpg）。在本實施例中，hpg是基于目錄結(jié)構(gòu)的。具體來說，最低級目錄是所有文件由相同的訪問控制策略（例如，所有文件屬于同一項目的目錄，僅由該項目的團隊成員訪問）的目錄。換句話說，如果用戶有權(quán)看到此目錄中的一個文件，則用戶可以看到目錄中的所有文件。這允許加密系統(tǒng)使用映射到目錄的相同密鑰（kdir）對目錄內(nèi)的所有文件進行加密，同時允許身份驗證和許可系統(tǒng)以類似的，均勻的方式處理目錄中的所有文件的訪問控制和密鑰管理。該目錄級別可以被稱為均勻級別目錄（hld）。

例如，參考圖2，第三級目錄d33中的所有文件可以由相同的訪問控制策略控制。換句話說，當用戶被授權(quán)看到第三級目錄d33中的文件1，文件2或文件3中的一個時，用戶可以看到第三級別內(nèi)的所有文件1，文件2和文件3目錄d33。因此，可以使用相同的密鑰（內(nèi)容加密密鑰）kdir來加密同一目錄內(nèi)的所有文件。在這種情況下，密鑰管理過程可以采用對應(yīng)于或映射到目錄結(jié)構(gòu)的密鑰層次。也就是說，目錄中的所有文件可以由類似的，均勻的密鑰管理方案或策略來控制。例如，可以通過使用生成或獲得的根密鑰kr來生成用于加密整個目錄的內(nèi)容加密密鑰kdir作為用于加密根節(jié)點的唯一密鑰，目錄的路徑和目錄的密鑰導(dǎo)出策略用戶，如下面將進一步詳細描述的。

在多個用戶基于預(yù)定義的訪問控制策略訪問文件的情況下，使用根據(jù)本實施例的密鑰層級的加密方法可以由基于云的存儲系統(tǒng)100來實現(xiàn)。此外，無論使用哪個用戶數(shù)據(jù)，只要數(shù)據(jù)鏈接到目錄，該文件將以與存儲在同一目錄中的其他數(shù)據(jù)相同的算法和相同的加密密鑰進行加密。也就是說，同一目錄中的加密數(shù)據(jù)具有唯一的簽名，即使數(shù)據(jù)由多個用戶存儲，也可以通過由云存儲服務(wù)器實現(xiàn)的重復(fù)數(shù)據(jù)刪除算法有效地檢測數(shù)據(jù)的所有副本。因此，可以提高效率來進行重復(fù)數(shù)據(jù)刪除。

圖3示出了本發(fā)明另一實施例的文件的目錄結(jié)構(gòu)和加密文件的方法的圖。

如圖3所示，第三級目錄的文件1和文件2由策略1控制，而文件3由策略2控制。因此，可以根據(jù)例如加密策略以不同的方式加密同一目錄中的文件的元數(shù)據(jù)中的字段。在這種情況下，可以通過使用用于加密相應(yīng)目錄的加密密鑰kdir和控制特定文件的策略來生成用于加密目錄內(nèi)的特定文件的內(nèi)容加密密鑰kfile。

盡管上面描述了基于與目錄結(jié)構(gòu)相對應(yīng)的訪問策略來執(zhí)行訪問控制，但是一個或多個其他實施例并不限于此。例如，在一實施例中，位于不同目錄中的多個對象和/或文件可以在同一策略下進行控制。在這種情況下，可以用相同的密鑰來加密多個對象和/或文件。例如，企業(yè)可以將文件存儲在云存儲服務(wù)器110中，并允許企業(yè)的雇員，客戶和業(yè)務(wù)伙伴基于預(yù)定義的訪問控制策略訪問文件。

現(xiàn)在再回到圖1，加密服務(wù)器102可以以無狀態(tài)的方式獲得內(nèi)容加密密鑰。例如，加密服務(wù)器102可以使用基于表示狀態(tài)轉(zhuǎn)移（rest）的指令，以密鑰導(dǎo)出策略的形式接收訪問策略。在這種情況下，第一終端112可以建立表示狀態(tài)轉(zhuǎn)移（rest）請求，其包括對于包括密鑰導(dǎo)出策略，根密鑰kr和密鑰導(dǎo)出函數(shù)中的至少一個的密鑰導(dǎo)出信息的資源的uri引用。根據(jù)另一實施例，加密服務(wù)器102可以通過接收密鑰導(dǎo)出功能并且在由加密服務(wù)器102存儲的根密鑰上實現(xiàn)密鑰導(dǎo)出功能，以無狀態(tài)的方式獲得內(nèi)容加密密鑰。密鑰導(dǎo)出函數(shù)是加密函數(shù)關(guān)鍵派生信息的參數(shù)。由uri指示的資源還可以包括諸如對應(yīng)的目錄路徑（或數(shù)據(jù)所屬的策略組）的其他信息以及用戶的授權(quán)參數(shù)。例如，用戶的授權(quán)參數(shù)可以由同構(gòu)策略組來定義。密鑰導(dǎo)出信息可以存儲在許可證服務(wù)器106處，并且加密服務(wù)器102可以通過連接到許可證服務(wù)器106來獲得密鑰導(dǎo)出信息。根據(jù)接收到的密鑰導(dǎo)出信息，加密服務(wù)器102確定。這里，可以提供加密服務(wù)器102和許可證服務(wù)器106之間的接口來獲取資源?？梢允褂胕nternet協(xié)議安全（ipsec）或使用ssl來保護接口。

密鑰導(dǎo)出信息還可以包括輔助信息，例如有效期，用于限制對特定用戶組的訪問控制的組名，以及用于定位特定策略文檔（或加密策略）的策略id/uri字段，其是為文件生成并用于重新創(chuàng)建用于解密加密對象的內(nèi)容加密密鑰cek的元數(shù)據(jù)的一部分。有效期是允許許可證服務(wù)器106在預(yù)定時間段或必要時更換加密密鑰的參數(shù)。例如，加密密鑰可以每月更改一次?？梢葬槍Υ鎯υ谠拼鎯Ψ?wù)器100的數(shù)據(jù)目錄提供有效期。云存儲服務(wù)器100可以為加密服務(wù)器102和許可證服務(wù)器106設(shè)置警報，以通知加密服務(wù)器102和許可證服務(wù)器有效期即將到期。當有效期到期時，相應(yīng)目錄內(nèi)的所有文件可以用新的加密密鑰重新加密。在這種情況下，云存儲服務(wù)器110可以將相應(yīng)目錄中的數(shù)據(jù)發(fā)送到加密服務(wù)器102以進行重新加密。以這種方式，云存儲服務(wù)器110可以避免關(guān)于存儲的數(shù)據(jù)的隱私問題的責任。當重新加密數(shù)據(jù)時，第二終端114可以由認證服務(wù)器104再次認證，并且接收關(guān)于更新的加密密鑰的公開密鑰。

作為示例，內(nèi)容加密密鑰（kdir）可以根據(jù)以下等式1獲得：

kdir=kdf（kroot,path|kdf輔助信息）

其中kdf（密鑰導(dǎo)出函數(shù)）是用于括號內(nèi)的參數(shù)的加密函數(shù)，kroot是根密鑰。

在執(zhí)行加密之后，加密服務(wù)器102將加密的數(shù)據(jù)連同相應(yīng)的元數(shù)據(jù)一起發(fā)送到云存儲服務(wù)器110.云存儲服務(wù)器110基于所提供的元數(shù)據(jù)將加密的數(shù)據(jù)與元數(shù)據(jù)一起存儲在特定的位置，該元數(shù)據(jù)可以包括加密政策字段。

認證服務(wù)器104是用于對第二終端114的用戶進行用戶認證的服務(wù)器，其嘗試訪問第一終端112（或第一終端112）的用戶存儲的數(shù)據(jù)云存儲服務(wù)器110。在本實施例中，認證服務(wù)器104可以包括第二終端114的用戶的id和密碼，并且通過例如https內(nèi)的密碼認證算法認證第二終端114。

當?shù)诙K端114的用戶被認證時，認證服務(wù)器104向許可證服務(wù)器106提供包括用戶id的認證令牌auth_token。

認證令牌auth_token可以通過使用在認證服務(wù)器104和許可證服務(wù)器106之間共享的密鑰進行加密。在備選實施例中，當在認證服務(wù)器104和許可證之間建立安全通道時，認證令牌auth_token可能不被加密，在這種情況下，認證令牌auth_token可以包括認證服務(wù)器104在令牌auth_token上執(zhí)行的簽名。通過使用認證令牌auth_token，許可證服務(wù)器106可以確定是否允許或允許從云存儲服務(wù)器110請求內(nèi)容的用戶訪問內(nèi)容。

根據(jù)另一示例性實施例，認證服務(wù)器104不是生成認證令牌auth_token，而是可以通過認證服務(wù)器104和許可證服務(wù)器106之間的安全信道來驗證用戶對許可證服務(wù)器106的認證。

當用戶是企業(yè)用戶時，企業(yè)用戶可能想要管理自己的密鑰。在這種情況下，可以使用企業(yè)策略（例如，目錄結(jié)構(gòu)，授權(quán)策略等）來配置專用加密服務(wù)器以相應(yīng)地應(yīng)用加密。例如，企業(yè)策略可能具有映射相應(yīng)訪問策略的層次結(jié)構(gòu)。根據(jù)本實施例，同一目錄內(nèi)的所有文件可具有相同的訪問策略。在這種情況下，企業(yè)策略的層次結(jié)構(gòu)可能對應(yīng)于目錄結(jié)構(gòu)。

當加密服務(wù)器102在多個用戶之間共享時，例如，當加密服務(wù)器102由安全提供商或云提供商提供時，可以使用基于rest的指令將訪問策略傳送到加密服務(wù)器102，使得加密服務(wù)器102以無狀態(tài)的方式獲得內(nèi)容加密密鑰。

許可證服務(wù)器106基于認證服務(wù)器104的認證結(jié)果（例如，基于認證令牌auth_token）來確定請求存儲在云存儲服務(wù)器110中的數(shù)據(jù)的第二終端114是否被授權(quán)訪問內(nèi)容從認證服務(wù)器104提供）。當確定第二終端114被授權(quán)訪問數(shù)據(jù)時，許可證服務(wù)器106生成允許用戶訪問內(nèi)容的許可證。許可證可以包括加密的內(nèi)容加密密鑰，其被加密以使用用戶所屬的用戶或用戶組唯一的密鑰加密密鑰向第二終端114的用戶發(fā)送。在本實施例中，可以使用基于身份的密碼術(shù)（ibc）來加密內(nèi)容加密密鑰。因此，只允許第二終端114的用戶使用ibc公鑰。此外，許可證還可以包括可以包括有效期，用戶的id等的票證（ls-ticket），如將在下面更詳細描述的。或者，票證可以使用由認證服務(wù)器104發(fā)出的認證令牌auth_token。以這種方式，可以保護用戶的隱私。

基于云存儲系統(tǒng)100還可以包括與許可證服務(wù)器共同定位或與許可證服務(wù)器分離的私鑰生成器（參見圖4）以向用戶終端提供私鑰。私鑰生成器是在其安全存儲器中存儲多個系統(tǒng)范圍的秘密的實體，并且基于他們的身份（id）和公共密鑰（pub）來計算授權(quán)用戶的私鑰。因此，用戶可以引用私鑰生成器，接收私鑰來解密以ibc加密格式發(fā)送給他們的任何數(shù)據(jù)信息（例如，解密加密的內(nèi)容加密密鑰）。

認證服務(wù)器104是用于對第二終端114的用戶執(zhí)行用戶認證的服務(wù)器，其嘗試訪問存儲在云存儲服務(wù)器110中的數(shù)據(jù)。在示例性實施例中，認證服務(wù)器104可以通過，例如，針對第二終端114的用戶的基于id的密碼認證密鑰交換（i-pake）。下面進一步說明認證服務(wù)器104的認證處理。此外，當?shù)诙K端114的用戶被認證時，認證服務(wù)器104向許可證服務(wù)器106發(fā)送終端id或用戶id。認證服務(wù)器104可以包括用于認證id的單獨的硬件安全模塊（hsm）使用i-pake的第二終端114的用戶的密碼。

當從認證服務(wù)器104發(fā)送用戶id時，許可證服務(wù)器106生成與用戶id相對應(yīng)的公開密鑰。在示例性實施例中，在生成公鑰之前，許可證服務(wù)器106可以引用認證服務(wù)器104生成的認證令牌auth_token來確定第二終端114是否被授權(quán)訪問內(nèi)容。當?shù)诙K端114被授權(quán)時，許可證服務(wù)器106可以生成對應(yīng)于例如用戶id（當使用ibc時）的公共密鑰。本實施例不限于此，并且可以從其他方式（例如，當使用rsa時）獲得第二終端114的用戶的公開密鑰。公鑰可以是使用基于身份（id）的加密（ibc）生成的密鑰加密密鑰。換句話說，公鑰用于加密內(nèi)容加密密鑰（cek），從而創(chuàng)建直接為第二終端114的用戶生成的cek的加密版本。然后，第二終端114的用戶需要獲得私鑰對應(yīng)于該公鑰，以便能夠解密cek，然后解密加密的對象的數(shù)據(jù)。

私鑰生成器116生成與第二終端114的用戶id相對應(yīng)的專用密鑰，并將生成的專用密鑰提供給認證服務(wù)器104.盡管描述了私鑰生成器116連接到許可證服務(wù)器106，使得生成的私鑰通過許可證服務(wù)器106被提供給第二終端114。例如，根據(jù)另一示例性實施例，私鑰生成器116可以將生成的私鑰直接發(fā)送到終端114。

公共參數(shù)服務(wù)器108是在使用ibc加密時，由許可證服務(wù)器106存儲和管理用于加密內(nèi)容加密密鑰的公共參數(shù)的服務(wù)器。許可證服務(wù)器106內(nèi)的加密強度可以由公共參數(shù)服務(wù)器108提供的一組參數(shù)確定。

圖5示出了本發(fā)明實施例的認證和私鑰發(fā)行的方法的流程圖。

如圖5，在操作310中，從第二終端114接收對存儲在云存儲服務(wù)器110中的數(shù)據(jù)的請求。在操作320中，認證服務(wù)器104可以通過使用第二終端的用戶的id和密碼進行認證當?shù)诙K端114由認證服務(wù)器104認證時，認證服務(wù)器104生成包括用戶id的認證令牌auth_token，并將認證令牌auth_token發(fā)送到許可證服務(wù)器106.認證令牌auth_token還可以包括用戶的密碼或用戶密碼的功能。用戶密碼的功能可以在密碼對用戶保持私有并且從許可證服務(wù)器106隱藏時使用。

當許可證服務(wù)器106接收到認證令牌auth_token時，許可證服務(wù)器106可以參考認證服務(wù)器104生成的認證令牌auth_token來確定第二終端114是否被授權(quán)訪問內(nèi)容。當?shù)诙K端114被授權(quán)時，許可證服務(wù)器106在操作330中生成用于基于用戶id訪問數(shù)據(jù)的公共密鑰。

在操作340中，基于公開密鑰和/或元數(shù)據(jù)計算私鑰，并發(fā)送給第二終端114。具體地，私鑰生成器116通過使用公鑰或者公鑰生成與用戶id相對應(yīng)的私鑰auth_token內(nèi)的信息或許可證的機票內(nèi)的信息。這里，私鑰生成器116可以參考認證服務(wù)器104生成的認證令牌auth_token來確定第二終端114是否被授權(quán)通過從專用密鑰生成器116接收專用密鑰來訪問對象。第二終端114可以解密通過使用私鑰存儲在云存儲服務(wù)器110中的數(shù)據(jù)。

圖6示出了本發(fā)明一種云存儲系統(tǒng)中的加密方法的流程圖。

如圖6所示，本發(fā)明提供了一種云存儲系統(tǒng)中的加密方法，本領(lǐng)域技術(shù)人員應(yīng)知道本方法是基于本發(fā)明上述描述的內(nèi)容。所述加密方法包括：

從用戶接收多個數(shù)據(jù)；

在與云存儲系統(tǒng)分離的加密服務(wù)器處，通過使用具有層次結(jié)構(gòu)的加密密鑰對與多個加密數(shù)據(jù)之間具有相對應(yīng)關(guān)系的加密密鑰的層級進行加密，其中所述多個加密數(shù)據(jù)被存儲在云存儲系統(tǒng)中；

其中，在目錄結(jié)構(gòu)中配置了至少兩個以上的數(shù)據(jù)，加密密鑰的層次結(jié)構(gòu)對應(yīng)于目錄結(jié)構(gòu)；

所述加密密鑰是基于由所述加密服務(wù)器接收到的密鑰導(dǎo)出信息以無狀態(tài)方式生成的，所述密鑰導(dǎo)出信息包括關(guān)于密鑰導(dǎo)出功能的信息，所述密鑰導(dǎo)出功能信息被配置為基于根密鑰確定加密密鑰，以及目錄路徑，所述根密鑰是加密密鑰層次結(jié)構(gòu)頂部的密鑰。

具體的，根據(jù)每個從用戶接收到的數(shù)據(jù)的訪問策略來確定所述多個加密數(shù)據(jù)之間的關(guān)系。

具體的，當至少兩個或更多數(shù)據(jù)具有相同的訪問策略時，通過使用相同的加密密鑰來加密兩個或多個數(shù)據(jù)。

具體的，每個目錄中的所有數(shù)據(jù)具有相同的訪問策略，并且通過使用相同的加密密鑰進行加密。

具體的，若用戶傳輸相同的數(shù)據(jù)至云存儲系統(tǒng)以進行加密和存儲，都使用相同的加密密鑰來加密相同的數(shù)據(jù)，。

具體的，所述密鑰導(dǎo)出信息還包括輔助信息，其包括目錄路徑，加密密鑰的有效期，具有訪問權(quán)限的用戶組的名稱，策略標識id和統(tǒng)一資源中的至少一個用于查找策略id的標識符uri。

具體的，所述有效期存儲在云存儲服務(wù)器處，并且在所述加密密鑰到期時，所述云存儲服務(wù)器進行報警操作，并更新所述加密密鑰。

本發(fā)明另一方面還提供一種云存儲系統(tǒng)，包括：

加密服務(wù)器，用以通過使用具有層次結(jié)構(gòu)的加密密鑰來加密多個數(shù)據(jù)，所述加密密鑰的層級與所述多個加密數(shù)據(jù)之間的關(guān)系相對應(yīng);

云存儲服務(wù)器，用以存儲多個加密數(shù)據(jù)；

其中，在目錄結(jié)構(gòu)中配置了至少兩個以上的數(shù)據(jù)，加密密鑰的層次結(jié)構(gòu)對應(yīng)于目錄結(jié)構(gòu)；

所述加密密鑰是基于由所述加密服務(wù)器接收到的密鑰導(dǎo)出信息以無狀態(tài)方式生成的，所述密鑰導(dǎo)出信息包括關(guān)于密鑰導(dǎo)出功能的信息，所述密鑰導(dǎo)出功能信息被配置為基于根密鑰確定加密密鑰，以及目錄路徑，所述根密鑰是加密密鑰層次結(jié)構(gòu)頂部的密鑰。

更具體的，根據(jù)每個從用戶接收到的數(shù)據(jù)的訪問策略來確定所述多個加密數(shù)據(jù)之間的關(guān)系。

更具體的，其特征在于，當至少兩個或更多數(shù)據(jù)具有相同的訪問策略時，通過使用相同的加密密鑰來加密兩個或多個數(shù)據(jù)。

本領(lǐng)域技術(shù)人員應(yīng)當知道本發(fā)明所描述的云存儲系統(tǒng)是基于本發(fā)明的方法的，并且其每個模塊或每個單元所實現(xiàn)的功能都是基于本發(fā)明的方法，并且是一一對應(yīng)的，所以此處針對本發(fā)明的系統(tǒng)不再一一贅述。

應(yīng)理解，說明書通篇中提到的“一個實施例”或“一實施例”意味著與實施例有關(guān)的特定特征、結(jié)構(gòu)或特性包括在本發(fā)明的至少一個實施例中。因此，在整個說明書各處出現(xiàn)的“在一個實施例中”或“在一實施例中”未必一定指相同的實施例。此外，這些特定的特征、結(jié)構(gòu)或特性可以任意適合的方式結(jié)合在一個或多個實施例中。應(yīng)理解，在本發(fā)明的各種實施例中，上述各過程的序號的大小并不意味著執(zhí)行順序的先后，各過程的執(zhí)行順序應(yīng)以其功能和內(nèi)在邏輯確定，而不應(yīng)對本發(fā)明實施例的實施過程構(gòu)成任何限定。上述本發(fā)明實施例序號僅僅為了描述，不代表實施例的優(yōu)劣。

需要說明的是，在本文中，術(shù)語“包括”、“包含”或者其任何其他變體意在涵蓋非排他性的包含，從而使得包括一系列要素的過程、方法、物品或者裝置不僅包括那些要素，而且還包括沒有明確列出的其他要素，或者是還包括為這種過程、方法、物品或者裝置所固有的要素。在沒有更多限制的情況下，由語句“包括一個……”限定的要素，并不排除在包括該要素的過程、方法、物品或者裝置中還存在另外的相同要素。

在本申請所提供的幾個實施例中，應(yīng)該理解到，所揭露的設(shè)備和方法，可以通過其它的方式實現(xiàn)。以上所描述的設(shè)備實施例僅僅是示意性的，例如，所述單元的劃分，僅僅為一種邏輯功能劃分，實際實現(xiàn)時可以有另外的劃分方式，如：多個單元或組件可以結(jié)合，或可以集成到另一個系統(tǒng)，或一些特征可以忽略，或不執(zhí)行。另外，所顯示或討論的各組成部分相互之間的耦合、或直接耦合、或通信連接可以是通過一些接口，設(shè)備或單元的間接耦合或通信連接，可以是電性的、機械的或其它形式的。

上述作為分離部件說明的單元可以是、或也可以不是物理上分開的，作為單元顯示的部件可以是、或也可以不是物理單元；既可以位于一個地方，也可以分布到多個網(wǎng)絡(luò)單元上；可以根據(jù)實際的需要選擇其中的部分或全部單元來實現(xiàn)本實施例方案的目的。

另外，在本發(fā)明各實施例中的各功能單元可以全部集成在一個處理單元中，也可以是各單元分別單獨作為一個單元，也可以兩個或兩個以上單元集成在一個單元中；上述集成的單元既可以采用硬件的形式實現(xiàn)，也可以采用硬件加軟件功能單元的形式實現(xiàn)。

本領(lǐng)域普通技術(shù)人員可以理解：實現(xiàn)上述方法實施例的全部或部分步驟可以通過程序指令相關(guān)的硬件來完成，前述的程序可以存儲于計算機可讀取存儲介質(zhì)中，該程序在執(zhí)行時，執(zhí)行包括上述方法實施例的步驟；而前述的存儲介質(zhì)包括：移動存儲設(shè)備、只讀存儲器（readonlymemory，rom）、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。

或者，本發(fā)明上述集成的單元如果以軟件功能模塊的形式實現(xiàn)并作為獨立的產(chǎn)品銷售或使用時，也可以存儲在一個計算機可讀取存儲介質(zhì)中?；谶@樣的理解，本發(fā)明實施例的技術(shù)方案本質(zhì)上或者說對現(xiàn)有技術(shù)做出貢獻的部分可以以軟件產(chǎn)品的形式體現(xiàn)出來，該計算機軟件產(chǎn)品存儲在一個存儲介質(zhì)中，包括若干指令用以使得一臺計算機設(shè)備（可以是個人計算機、服務(wù)器、或者網(wǎng)絡(luò)設(shè)備等）執(zhí)行本發(fā)明各個實施例所述方法的全部或部分。而前述的存儲介質(zhì)包括：移動存儲設(shè)備、rom、磁碟或者光盤等各種可以存儲程序代碼的介質(zhì)。

以上所述，僅為本發(fā)明的具體實施方式，但本發(fā)明的保護范圍并不局限于此，任何熟悉本技術(shù)領(lǐng)域的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，可輕易想到變化或替換，都應(yīng)涵蓋在本發(fā)明的保護范圍之內(nèi)。因此，本發(fā)明的保護范圍應(yīng)以所述權(quán)利要求的保護范圍為準。