[发明专利]一种基于策略的实时数据文件访问控制方法与系统

说明书

本发明提供了一种用于网络环境中的文件内容保护和基于策略的访问控制的方法和系统。它包括在端点计算设备上运行的端点模块和在密钥存储服务器上运行的密钥存储模块。创建和使用文件的端点计算设备生成内容加密密钥和独特文件标识符(UFI)，每个文件都有不同的加密密钥和独特文件标识符(UFI)。使用内容密钥对文件进行加密，并将UFI附加到加密文件以创建受保护文件。耦合的UFI和内容密钥被发送到要存储的密钥存储服务器。为了访问受保护文件，端点模块读取UFI并将其发送到密钥存储区，密钥存储区以与该UFI相关联的策略的评估结果决定访问权，如果授予访问权限，则发送内容密钥，以便解密该文件。

相关申请的引用

本申请要求于2017年3月17日提交的申请号为62/472,562，标题为“提供文件的安全存储和允许基于策略的访问控制的新系统和软件申请”的临时申请公开的发明。在此要求美国法典35条第119(e)款美国临时申请的保护，并且上述申请通过引用加入至本文中。

技术领域

本发明涉及信息安全和访问控制领域。更具体地，本发明涉及通过加密和实时评估分配给文件的访问策略来进行文件访问控制，当可以用独特文件标识符标识文件时。本发明还涉及在计算机网络环境中识别和跟踪对文件的所有副本的访问的领域。

背景技术

未经授权访问数据文件已成为对企业、组织、政府和个人隐私的重大威胁。与此同时，世界变得比以往任何时候都更紧密地联系在一起，文件共享呈指数级增长。控制谁可以访问文件以及何时可以访问文件的能力已经成为网络安全的中心，但是缺乏平衡共享和访问控制的解决方案。加密已经被用来保护文件的内容，让用户可以控制谁可以访问文件，但是它也使得文件共享变得困难。一种方法是在一组用户之间使用共享密钥；另一种方法是将权限文件附加到加密文件，并依赖打开该文件的应用程序来执行该权限。这两种方法都在文件加密时预定义了访问权限。当文件被加密并共享后，很难更改权限。例如，与组外的人共享一个文件意味着必须提供共享密钥，从而允许组外的人访问由组密钥保护的所有文件。这些缺点使得文件加密的适应范围非常有限。但是，使用将预定义权限附加到文件的方法，权限更改只会影响具有已修改权限的文件的单个副本，而不会影响在更改之前生成的同一文件的其他副本，因为这些副本仍将附加旧权限。

发明内容

在网络环境中，数据文件通常有多个副本，而每个副本通常存在不同用户的各自设备上。然而，给与拥有这些设备的用户对该文件副本的拥有权，导致了许多文件副本不安全。本发明提供了一种解决不安全文件问题的方法，将独特文件标识符(UFI)附加到原始文件以及由此产生的文件的每个副本，以迫使用户或应用程序在每次使用UFI从中央服务器中访问该文件时寻求权限。中央服务器评估与UFI关联的访问策略，并在适当时提供权限。可以有多种方法确保用户或应用程序在打开文件之前寻求权限，本发明使用加密方案，并且只有在授予适当访问权限时，用户才能从中央服务器，也称为密钥存储服务器，获取解密密钥。

为解决上述技术问题，本发明采用以下技术方案：

一种网络环境中的计算机系统的基于策略的实时数据文件访问控制方法，所述方法通过独特字符串、数字、精心编制的属性、或文件属性组合识别分布式计算机网络环境中的数据文件，并对所述文件实施预设置的操作应用；该方法包括以下组件和步骤：

通过计算机网络连接到至少一个存储模块的计算机设备上的端点模块，所述端点模块具有以下性能特点:

a)读取数据文件，并计算或从其他设备获取独特字符串，或使用文件属性的组合作为所述文件的独特文件标识符，所述独特文件标记符记为UFI，

b)将UFI存储到所述数据文件中，采用的方法具体包括：将UFI附加到所述数据文件开始段中，或使UFI成为文件名的一部分或全部，或当UFI不只使用文件属性时，将UFI写入单独的元文件中，并将UFI与所述数据文件结合创建单一的存档文件，和

c)将所述UFI及任何耦合数据发送至存储模块中，和