CN1889426B - 一种实现网络安全存储与访问的方法及系统 - Google Patents

Abstract

本发明公开了一种实现网络安全存储与访问的方法，预先配置密钥装置，所述密钥装置中存有用户身份的标识信息，服务器端根据该用户身份的标识信息生成相应的文件包，并保存所述用户身份标识信息；该方法进一步包括以下步骤：a.在密钥装置接入客户端时，客户端将所述密钥装置中用户身份的标识信息发送给服务器，由服务器对接收到的用户身份标识进行验证；b.客户端在服务器验证通过后，将服务器中与该用户相关的文件包映射到本客户端；c.客户端对映射到本客户端的文件包中的信息进行处理，并将处理后的信息发送到服务器中的文件包。本发明同时还公开了一种实现网络安全存储与访问的系统。本发明实现了通过服务器对用户数据的安全存储及访问。

Description

一种实现网络安全存储与访问的方法及系统

技术领域

本发明涉及计算机安全技术领域，更确切地说是涉及一种实现网络安全存储与访问的方法及系统。

背景技术

随着社会的不断发展、进步，各个行业的竞争也日益激烈。如何在激烈的竞争环境中降低成本、提高工作效率成为每个企业所追求的目标之一。

比如，目前几乎所有公司都需要为员工配备计算机，但实际上并不是每个员工每天都需要使用计算机，对于公司中的销售人员来说更是如此，他们只是偶尔回到公司才会使用计算机。鉴于这种情况，为提高计算机的使用效率以降低成本，企业往往会为4～5个员工配备一台计算机。这样，如果公司中有20人的话，则只需配备4～5台公用的计算机就可以满足一般的办公要求了。

但如果为多个员工配置一台计算机，则可能会出现使用同一台计算机的两个或两个以上的员工都需要在公司使用计算机，但另外一台计算机却没有人用的情况。这种情况下，其中一人要想使用空闲的计算机，则必须将自己的数据拷贝到该空闲计算机上，或者将自己的数据设置为共享文件，显然实际操作起来非常麻烦，并且数据的安全也得不到保障，比如在数据传输过程中很有可能会出现泄密的问题。

为此，许多公司建立了用于存储员工数据文件的服务器，以便每个员工可以使用任意一台计算机获取自身存储在服务器上的数据。但这种方案同样存在安全性问题：对于一般传统的数据目录共享方式来说，服务器上存储的用户数据是未加密的，攻击者可以通过攻击服务器取走数据原文，从而给用户和公司带来严重的损失。另外，目前的这种方式在将数据通过网络存储到服务器上时，还可能会出现网络传输过程中的泄密问题。

发明内容

有鉴于此，本发明所要解决的主要问题在于提供一种实现网络安全存储与访问的方法，以使用户可以通过计算机安全、方便地访问服务器。

本发明同时还提供了一种实现网络安全存储与访问的系统。

为解决上述问题，本发明提供了以下技术方案：

本发明的一种实现网络安全存储与访问的方法，预先配置密钥装置，所述密钥装置中存有用户身份的标识信息，服务器端根据该用户身份的标识信息生成相应的文件包，并保存所述用户身份标识信息；该方法进一步包括以下步骤：

a.在密钥装置接入客户端时，客户端将所述密钥装置中用户身份的标识信息发送给服务器，由服务器对接收到的用户身份标识进行验证；

b.客户端在服务器验证通过后，将服务器中与该用户相关的文件包映射到本客户端；判断用户的访问是否针对服务器中与该用户相关的文件包，如果是，则执行步骤c；

c.客户端对映射到本客户端的文件包中的信息进行处理，并将处理后的信息发送到服务器中的文件包。

所述密钥装置中保存的用户身份标识信息为公钥。

所述服务器端根据用户身份的标识信息生成相应的文件包、并保存所述用户身份标识信息的步骤包括：根据用户身份的标识信息生成相应的文件包，为该文件包分配对称密钥，并用该对称密钥对文件包进行加密，之后用所述公钥为对称密钥加密，并保存所述文件包、用户的公钥以及加密的对称密钥；

步骤b中，所述客户端将与用户相关的文件包映射到本客户端包括：客户端从服务器获取加密的对称密钥，并通过解密处理获取加密前的对称密钥，之后从服务器下载与用户相关的文件包，并利用获取的对称密钥对该文件包进行解密处理，然后将解密后的文件包映射到本客户端；

步骤c中，所述客户端将处理后的信息发送到服务器中的文件包为：客户端对处理后的信息用步骤b所获取的对称密钥进行加密，并将加密后的信息发送到所述文件包中。

所述步骤b中，所述客户端通过解密处理获取加密前的对称密钥为：

客户端从密钥装置中获取公钥，并通过该公钥对加密的对称密钥进行解密处理；

或者将该加密的对称密钥发送给密钥装置，由该密钥装置利用自身保存的公钥对该加密的对称密钥进行解密处理。

所述密钥装置中进一步存有私钥；

步骤b中，所述客户端通过解密处理获取加密前的对称密钥为：

客户端从密钥装置中获取私钥，并通过该私钥对加密的对称密钥解密处理；

或者由客户端将加密的对称密钥发送给密钥装置，由密钥装置通过所述私钥对该加密的对称密钥进行解密获取加密前的对称密钥，并将所述对称密钥发送给客户端。

所述步骤a中，所述服务器对接收到的用户身份标识进行验证包括：客户端将所述公钥发送给服务器，服务器判断自身保存的用户身份标识信息中是否存有该公钥，如果有，则确定验证通过，否则，确定验证未通过。

所述密钥装置中进一步存有私钥；

步骤a中，所述服务器在确定验证通过之前，进一步包括：

a1.服务器生成一个长数字，用所述公钥对该长数字进行加密，并将加密后的长数字传输给客户端；

a2.客户端通过密钥装置中的私钥对该加密后的长数字进行解密，得到相应的长数字，用私钥生成该长数字的签名，之后将该签名发送给服务器；

a3.服务器用所述公钥验证该签名是否正确，如果正确，则确定验证通过；否则，确定验证未通过。

所述步骤b中，客户端将服务器中的相关文件包映射到本客户端为：将服务器中的相关文件包映射为本客户端中的虚拟磁盘；

步骤c中，所述客户端对映射到本客户端的文件包中的信息进行处理包括：通过该虚拟磁盘的驱动程序对所述信息进行处理。

所述步骤c之后进一步包括：在密钥装置与客户端分离后，通知服务器关闭映射到本客户端的文件包。

本发明的一种实现网络安全存储与访问的系统，该系统包括密钥装置、客户端和服务器，其中，

密钥装置中存有用户身份的标识信息，用于将自身保存的用户身份标识信息发送到服务器；

客户端，用于在密钥装置接入时，通过服务器对所述密钥装置中的用户身份标识进行验证，以及在服务器验证通过后，将服务器中与该用户相关的文件包映射到本客户端，并判断用户的访问是否针对服务器中与该用户相关的文件包，如果是，则对该文件包中的信息进行处理；

服务器，用于保存用户身份标识信息、为用户分配相应的文件包，对密钥装置中的用户身份标识信息进行验证，以及在验证通过后，将相应文件包中的信息发送给客户端。

所述客户端进一步用于将服务器中与该用户相关的文件包在本客户端中映射为虚拟磁盘或虚拟目录；

所述客户端中包括用户身份标识确认模块、访问控制模块及网络虚拟驱动模块，其中，

用户身份标识确认模块，用于将所述密钥装置中的用户身份标识发送到服务器，并接收服务器返回的验证信息，以及将验证信息发送给访问控制模块；

访问控制模块，用于在接收到验证通过信息后，将接收到的针对虚拟磁盘或虚拟目录的访问请求发送到网络虚拟驱动模块；

网络虚拟驱动模块，用于根据所述访问请求获取服务器的相应文件包中的信息，以及对该信息进行相应的处理。

所述服务器中保存的文件包为加密后的文件包；

所述网络虚拟驱动模块中进一步包括：加解密模块，用于对从虚拟磁盘中读出的数据进行解密运算，以及对写入虚拟磁盘中的数据进行加密运算。

所述服务器中包括用户信息存储模块以及用户身份标识验证模块，其中，

用户信息存储模块，用于保存用户身份标识信息，以及为用户分配相应的文件包；

用户身份标识验证模块，用于对密钥装置中的用户身份标识信息进行验证，将验证信息发送给客户端，以及在验证通过后，将相应文件包中的信息发送给客户端。

所述用户信息存储模块进一步用于生成对称密钥，并用该对称密钥对文件包进行加密，以及将对称密钥发送给客户端；

所述客户端进一步用于通过所述对称密钥对从文件包中读出的信息进行解密处理，以及对写入文件包中的信息进行加密处理。

本发明方案预先配置存有用户身份标识信息的密钥装置，服务器根据该用户身份标识信息生成相应的文件包，并保存所述用户身份标识信息，之后在密钥装置插入客户端后，客户端通过服务器对该密钥装置中的用户身份标识信息进行验证，并在验证通过后将相应的文件包映射到本客户端，客户端则根据用户的需求对该文件包中的信息进行处理，并将处理后的信息发送到服务器的相应文件包中，实现了用户通过不同终端对服务器中的信息进行读取操作，且由于服务器在支持读取操作之前，需要对用户的密钥装置进行验证，因此安全性较好。

并且本发明方案只需要用户将密钥装置在服务器中做一次设置，之后即可通过任意一台与该服务器连接的客户端对服务器中的相应文件包进行读写操作。并且在用户操作结束后，只需要拔出密钥装置，客户端就会自动关闭该加密的文件，即使其他人在此PC上登录也无法看到该用户的文档。

另外，本发明方案还可以对服务器中的文件包用对称密钥进行加密，并通过用户的身份标识信息对对称密钥进行加密传输，进一步保证了数据传输及存取的安全性。

本发明方案所采用的密钥运算可以是对称密钥运算，也可以是非对称密钥运算，还可以是其他的密钥运算，并且这些密钥运算可以在客户端完成，也可以在密钥装置中完成，即本发明方案提供了多种实现密钥运算的方式。

附图说明

图1为本发明方案的实现流程图；

图2为本发明方案中具体实施例的逻辑实现示意图；

图3为本发明方案的系统结构图。

具体实施方式

本发明方案如图1所示，对应以下步骤：

步骤101、预先配置密钥装置。

该密钥装置中存有用于身份识别的用户身份标识信息。该标识信息可以是公钥。

步骤102、服务器端保存该密钥装置中的用户身份标识信息，并在服务器端生成与该用户身份标识信息对应的文件包。为保证安全性，该用户身份标识信息及相应的文件包均需分开保存。

为实现对文件包中信息的加密传输，可以由服务器为每个文件包分配一个对称密钥，并用该对称密钥对文件包进行加密。为保证客户端能获取对称密钥、且该对称密钥不会被其他客户端获取，还可以用公钥对相应的对称密钥进行加密处理，并保存该加密的对称密钥。当然，服务器也可以根据需要删除所保存的公钥及相应的信息。

另外，该对称密钥还可以由密钥装置分配，并将该对称密钥发送给服务器，服务器则可以根据该对称密钥对文件包进行加密处理。其中，为保证对称密钥的安全性，可以由密钥装置将该对称密钥用公钥加密，并将加密后的对称密钥发送给服务器，服务器则根据该公钥对对称密钥进行解密。

步骤103、在密钥装置接入客户端时，客户端将所述密钥装置中用户身份的标识信息发送给服务器，由服务器对接收到的用户身份标识进行验证。

如果客户端只是将诸如公钥之类的用户身份标识信息发送给服务器，则服务器可以判断自身保存的用户身份标识信息中是否存在客户端发送来的标识信息，如果存在，则认为验证通过；否则，认为验证未通过。

当然，如果密钥装置中的用户身份标识信息为公钥，并且该密钥装置中还保存了私钥，则服务器还可以在确定自身保存了该用户的身份标识信息后，生成一个长数字，用该公钥对长数字进行加密，并将加密后的长数字传输给客户端；客户端则通过密钥装置中的私钥对该加密后的长数字进行解密，得到相应的长数字，并用该私钥生成该长数字的签名，之后将该签名发送给服务器；服务器则用相应的公钥验证该签名是否正确，如果正确，则确定验证通过，否则，确定验证未通过。

步骤104、客户端在服务器验证通过后，将服务器中与该用户相关的文件包映射到本客户端。

如果步骤102中生成的文件包被对称密钥加密了，则客户端在将服务器中的相关文件包映射到本客户端时，还需要获取相应的对称密钥，之后通过对称密钥对文件包中的信息进行解密处理，然后将解密后的文件包映射到本客户端。之后，用户即可对该文件包中的数据进行读取、修改、保存等操作。客户机则将修改后的数据重新用对称密钥进行加密，并发送给服务器。

对于获取对称密钥来说，如果服务器对该对称密钥作了加密处理，则客户端还需要对该对称密钥进行解密处理。如果是采用对称加密算法，则客户端可以是直接从密钥装置中获取公钥，并用该公钥对该对称密钥进行解密处理；或者是将加密的对称密钥发送给密钥装置，由密钥装置利用自身保存的公钥对该对称密钥进行解密处理。如果是采用非对称加密算法，则需要密钥装置中保存私钥，客户端可以直接从密钥装置中获取私钥，并用该私钥进行解密处理；或者将该对称密钥发送给密钥装置，由密钥装置利用自身保存的私钥对该对称密钥进行解密处理。

该步骤中，将文件包映射到客户端，可以是映射为一个目录，也可以是映射为一个磁盘。不管是映射为目录还是磁盘，其都是虚拟的，也即客户端实际并不存在该目录或磁盘，因此，需要通过客户端中的相应虚拟驱动程序来获取该目录或磁盘中的信息，也即由虚拟驱动程序与服务器交互，获取服务器中相应文件包中的信息。

以映射为一个磁盘为例，本发明方案需要在客户端的硬盘设备对象的上层或下层设置一个过滤器，通过该过滤器对客户端中的原有硬磁盘进行约束，即通过该过滤器判断用户的访问是针对原有的硬磁盘还是针对虚拟磁盘的，如果是针对虚拟磁盘，则需要启动相应的虚拟磁盘驱动程序，并通过该虚拟磁盘驱动程序生成相应的访问请求，之后由客户端中的网络服务将该访问请求映射成服务器中特定文件包中特定位置的数据的访问。

步骤105、客户端对映射到本客户端的文件包中的信息进行读写等处理，并将处理后的信息发送到服务器中的文件包。

本步骤中，客户端对相应的信息进行读写，需要通过相应的映射驱动程序从服务器中读写信息。

通过上述步骤即可实现网络的安全存储和访问。

图2为本发明基于公钥和私钥实现用户文件包设置及访问的逻辑示意图。

另外，如果密钥装置被从客户端中拔出，则客户端需要通知服务器关闭其映射到本客户端的文件包。

由以上描述可以看出，本发明提供的方案所对应的系统包括密钥装置、客户端以及服务器，如图3所示。

其中，密钥装置中需要保存用户身份标识信息，该用户身份标识信息可以为公钥。该密钥装置中还可以进一步保存私钥，如前所述，该私钥用于通过非对称加密运算获取对称密钥，以及用于服务器端更为严格的验证等。密钥装置还可以具有计算、密钥生成功能等，因此该密钥装置除了需要有一个独立的存储空间外，还需要有能够计算的芯片。密钥装置所具有的功能如前所述，在此不再赘述。密钥装置可以具有USB口，并通过USB口与PC交互。

对于客户端来说，通常是将服务器端的文件包在本地映射为虚拟磁盘或虚拟目录。为实现对该虚拟磁盘或虚拟目录的访问，客户端通常需要包括用户身份标识确认模块、访问控制模块及网络虚拟驱动模块。其中，用户身份标识确认模块用于将所述密钥装置中的用户身份标识发送到服务器，并且接收服务器返回的验证信息，以及将验证信息发送到访问控制模块；访问控制模块，用于接收针对虚拟磁盘的访问请求，并在接收到服务器端的验证通过信息后，将该访问请求发送到网络虚拟驱动模块；网络虚拟驱动模块，用于根据所述访问请求对服务器的相应文件包中的信息进行显示。

由于用户通常需要对虚拟磁盘或虚拟目录中的信息进行读写等操作，因此，网络虚拟驱动模块中可以进一步设置网络读写模块，由该模块对服务器中文件包里的数据进行读写处理。另外，由于服务器中保存的文件包通常为加密后的文件包，因此网络虚拟驱动模块中还需要加解密模块，由该加解密模块对网络读写模块读取到的数据进行解密处理，并对网络读写模块写入的数据进行加密处理。

对于服务器来说，其至少需要包括用户信息存储模块及用户身份标识验证模块，其中，用户信息存储模块用于保存用户身份标识信息，以及为该用户分配的文件包；用户身份标识验证模块，用于对密钥装置中的用户身份标识信息进行验证，并将验证信息发送给客户端，以及在验证通过后，将相应文件包中的信息发送给客户端。对于服务器来说，其还可以具有对称密钥的生成功能、根据对称密钥对文件包进行加密并将对称密钥发送给客户端，及用公钥为对称密钥加密等功能，这些功能都可以设置在用户信息存储模块中。

以上所述仅为本发明方案的较佳实施例，并不用以限定本发明的保护范围。

Claims (14)

1.一种实现网络安全存储与访问的方法，其特征在于，预先配置密钥装置，所述密钥装置中存有用户身份的标识信息，服务器端根据该用户身份的标识信息生成相应的文件包，并保存所述用户身份标识信息；该方法进一步包括以下步骤：

a.在密钥装置接入客户端时，客户端将所述密钥装置中用户身份的标识信息发送给服务器，由服务器对接收到的用户身份标识进行验证；

b.客户端在服务器验证通过后，将服务器中与该用户相关的文件包映射到本客户端；判断用户的访问是否针对服务器中与该用户相关的文件包，如果是，则执行步骤c；

c.客户端对映射到本客户端的文件包中的信息进行处理，并将处理后的信息发送到服务器中的文件包。

2.根据权利要求1所述的方法，其特征在于，所述密钥装置中保存的用户身份标识信息为公钥。

3.根据权利要求2所述的方法，其特征在于，所述服务器端根据用户身份的标识信息生成相应的文件包、并保存所述用户身份标识信息的步骤包括：根据用户身份的标识信息生成相应的文件包，为该文件包分配对称密钥，并用该对称密钥对文件包进行加密，之后用所述公钥为对称密钥加密，并保存所述文件包、用户的公钥以及加密的对称密钥；

步骤b中，所述客户端将与用户相关的文件包映射到本客户端包括：客户端从服务器获取加密的对称密钥，并通过解密处理获取加密前的对称密钥，之后从服务器下载与用户相关的文件包，并利用获取的对称密钥对该文件包进行解密处理，然后将解密后的文件包映射到本客户端；

步骤c中，所述客户端将处理后的信息发送到服务器中的文件包为：客户端对处理后的信息用步骤b所获取的对称密钥进行加密，并将加密后的信息发送到所述服务器中的文件包中。

4.根据权利要求3所述的方法，其特征在于所述步骤b中，所述客户端通过解密处理获取加密前的对称密钥为：

客户端从密钥装置中获取公钥，并通过该公钥对加密的对称密钥进行解密处理；

或者将该加密的对称密钥发送给密钥装置，由该密钥装置利用自身保存的公钥对该加密的对称密钥进行解密处理。

5.根据权利要求3所述的方法，其特征在于，所述密钥装置中进一步存有私钥；

步骤b中，所述客户端通过解密处理获取加密前的对称密钥为：

客户端从密钥装置中获取私钥，并通过该私钥对加密的对称密钥解密处理；

或者由客户端将加密的对称密钥发送给密钥装置，由密钥装置通过所述私钥对该加密的对称密钥进行解密获取加密前的对称密钥，并将所述对称密钥发送给客户端。

6.根据权利要求2所述的方法，其特征在于所述步骤a中，所述服务器对接收到的用户身份标识进行验证包括：客户端将所述公钥发送给服务器，服务器判断自身保存的用户身份标识信息中是否存有该公钥，如果有，则确定验证通过，否则，确定验证未通过。

7.根据权利要求6所述的方法，其特征在于，所述密钥装置中进一步存有私钥；

步骤a中，所述服务器在确定验证通过之前，进一步包括：

a1.服务器生成一个长数字，用所述公钥对该长数字进行加密，并将加密后的长数字传输给客户端；

a2.客户端通过密钥装置中的私钥对该加密后的长数字进行解密，得到相应的长数字，用私钥生成该长数字的签名，之后将该签名发送给服务器；

a3.服务器用所述公钥验证该签名是否正确，如果正确，则确定验证通过；否则，确定验证未通过。

8.根据权利要求1所述的方法，其特征在于所述步骤b中，客户端将服务器中的相关文件包映射到本客户端为：将服务器中的相关文件包映射为本客户端中的虚拟磁盘；

步骤c中，所述客户端对映射到本客户端的文件包中的信息进行处理包括：通过该虚拟磁盘的驱动程序对所述信息进行处理。

9.根据权利要求1所述的方法，其特征在于，所述步骤c之后进一步包括：在密钥装置与客户端分离后，通知服务器关闭映射到本客户端的文件包。

10.一种实现网络安全存储与访问的系统，其特征在于，该系统包括密钥装置、客户端和服务器，其中，

密钥装置中存有用户身份的标识信息，用于将自身保存的用户身份标识信息发送到服务器；

客户端，用于在密钥装置接入时，通过服务器对所述密钥装置中的用户身份标识进行验证，以及在服务器验证通过后，将服务器中与该用户相关的文件包映射到本客户端，并判断用户的访问是否针对服务器中与该用户相关的文件包，如果是，则对该客户端中的文件包中的信息进行处理；

服务器，用于保存用户身份标识信息、为用户分配相应的文件包，对密钥装置中的用户身份标识信息进行验证，以及在验证通过后，将相应文件包中的信息发送给客户端。

11.根据权利要求10所述的系统，其特征在于，所述客户端进一步用于将服务器中与该用户相关的文件包在本客户端中映射为虚拟磁盘或虚拟目录；

所述客户端中包括用户身份标识确认模块、访问控制模块及网络虚拟驱动模块，其中，

用户身份标识确认模块，用于将所述密钥装置中的用户身份标识发送到服务器，并接收服务器返回的验证信息，以及将验证信息发送给访问控制模块；

访问控制模块，用于在接收到验证通过信息后，将接收到的针对虚拟磁盘或虚拟目录的访问请求发送到网络虚拟驱动模块；

网络虚拟驱动模块，用于根据所述访问请求获取服务器的相应文件包中的信息，以及对该信息进行相应的处理。

12.根据权利要求11所述的系统，其特征在于，所述服务器中保存的文件包为加密后的文件包；

所述网络虚拟驱动模块中进一步包括：加解密模块，用于对从虚拟磁盘中读出的数据进行解密运算，以及对写入虚拟磁盘中的数据进行加密运算。

13.根据权利要求10所述的系统，其特征在于，所述服务器中包括用户信息存储模块以及用户身份标识验证模块，其中，

用户信息存储模块，用于保存用户身份标识信息，以及为用户分配相应的文件包；

用户身份标识验证模块，用于对密钥装置中的用户身份标识信息进行验证，将验证信息发送给客户端，以及在验证通过后，将相应文件包中的信息发送给客户端。

14.根据权利要求13所述的系统，其特征在于，所述用户信息存储模块进一步用于生成对称密钥，并用该对称密钥对文件包进行加密，以及将对称密钥发送给客户端；

所述客户端进一步用于通过所述对称密钥对从文件包中读出的信息进行解密处理，以及对写入文件包中的信息进行加密处理。

Images