[发明专利]一种基于策略的实时数据文件访问控制方法与系统

权利要求书

1.一种分布式网络环境中的基于策略的实时数据文件访问控制系统，只有在满足分配给文件的访问策略后才授权访问该文件，其特征在于:

1.1通过计算机网络连接到至少一个密钥存储服务器的多个端点计算设备，包括执行以下步骤的加密计算机代码:

a）生成加密密钥并使用加密密钥对文件进行加密，和

b）采用伪随机字符串、数字或文件属性的组合获取或生成一个独特文件标识符，并通过查询所连接的所有存储模块或由文件存储模块计算或分配来确定UFI的唯一性，所述独特文件标识符记为UFI，和

c）将该UFI附加于加密文件，UFI无需文件解密密钥的协助即可在特定文件中检索，和

d）将UFI和耦合密钥发送到密钥存储服务器，和

e）从所述端点计算设备中删除加密密钥；

1.2多个密钥存储服务器，所述密钥存储服务器是通过计算机网络连接与其他计算设备连接的计算设备，包括执行以下步骤的存储计算机代码:

a）处理来自具有耦合密钥和UFI的端点计算设备的请求，存储UFI及其耦合加密密钥，和

b）处理来自端点计算设备的、至少具有目标数据文件的UFI的文件访问请求，

c）通过评估附加于所述UFI的访问策略来计算访问权限，并在授予权限的情况下检索与所述UFI相耦合的密钥，和

d）向请求的计算设备发送权限和加密/解密密钥；

1.3通过计算机网络连接到所有密钥存储服务器的多个端点计算设备，包括执行以下步骤的解密计算机代码:

a）开启加密文件并提取UFI，和

b）代表授权用户向所有密钥存储模块发送包含UFI的请求，和

c）在获得权限后接收密钥，和

d）解密文件，向用户显示真实内容，以便用户以与从密钥存储服务器获得的用户权限级别相匹配的方式使用。

2.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：端点计算设备还包括处理器、网络接口卡、存储器和非临时存储器，该非临时存储器包含执行下列一项或多项任务的程序指令：

a）生成加密密钥并使用加密密钥对文件进行加密，

b）使用伪随机字符串或数字或该文件属性的组合，从设备获取或生成文件的独特文件标识符，并通过查询所连接的所有存储模块来确认所提议的UFI的唯一性，

c）在UFI不包含该加密文件的文件属性时，附加UFI，使得在无需文件的密钥的情况下检索，

d）将UFI和密钥发送到密钥存储服务器，

e）从内存器和存储器中删除加密密钥，

f）打开加密文件并提取UFI，

g）代表用户向所有密钥存储模块发送包含UFI的访问请求，

h）从密钥存储模块接收密钥和权限，

i）解密文件，以向用户显示真实内容，以便用户以与从密钥存储服务器获得的用户权限级别相匹配的方式使用。

3.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：密钥存储服务器还包括处理器、网络接口卡、存储器和非临时存储器，非临时存储器包含执行下列一项或多项任务的程序指令：

a）处理来自含有耦合密钥和UFI的端点计算设备的请求，

b）存储UFI及相关的加密密钥，

c）处理具有至少一个UFI且来自端点计算设备的目标数据文件的文件访问请求，

d）通过评估附于UFI的访问策略，计算访问权限，并在授予权限的情况下，检索与所述UFI耦合的密钥，

e）向请求的计算设备发送权限级别和加密/解密密钥，和

f）接收并存储与UFI耦合的访问策略。

4.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：UFI是在所有密钥存储服务器中唯一的伪随机字符串、数字或文件属性的组合，并且在分配到文件之前，通过查询所有密钥存储服务器中UFI的存在性来进一步加强UFI唯一性。

5.根据权利要求1所述的基于策略的实时数据文件访问控制系统，其特征在于：端点计算设备进一步包括使用随机生成的对称或非对称密钥来解密文件的方法，和加密和解密文件所需的密钥将被发送到与所述文件的UFI相耦合的密钥存储器。