技术领域
[0001] 本
发明涉及一种安全可信的数据托管方法，尤其涉及一种客户端向
云端托管数据时可以防止双方在数据
泄漏发生时互相抵赖的方法，主要应用于云环境下的客户端与云端的安全数据交互。
背景技术
[0002] 在企业里，当数据所有者想要把数据交给一个代理时，会面临数据被代理方泄露的
风险。比如：企业自己采集的用于
机器学习的大批量图片集，想利用云服务商的计算资源进行模型训练，但是图片集被服务商低价卖给了竞争者；类似的，公司一般会有几个合作方，某些项目需要共享公司内部数据给合作方，而合作方发生了数据泄露。这种数据泄露在世界各地不同行业会以各种情况发生，但并不存在一劳永逸的防范措施。而随着
大数据概念的兴起，人们纷纷认识到了数据就是资本，脱离自己掌控的数据将给企业带来一系列的商业风险，所以数据资产的管理和数据泄露的追踪，成为了各个公司急需提升的重要能
力。
[0003] 目前，已经有一些防范云端数据泄漏的方法，大体分为两类：一种基于密文，一种基于明文。
[0004] 基于密文的技术采用同态加密
算法，这种技术可以保障数据即使泄露也无法令对方得到有效信息，但是会在托管计算的全程占用大量CPU和磁盘资源。
[0005] 基于明文的数据泄露追踪技术包括标记式
水印算法、信息传输决策点技术、诚信机制水印技术、便携式数据绑定技术和流模型算法等。
[0006] 近年提出的数据泄露追踪技术采取一种新的数据分配策略，把不同的数据集托管给不同的代理，实现了不改变原有数据的前提下检测数据由哪个代理方泄露。主流的泄露追踪技术主要包括过失模型、影子模型、数据看守技术等。
[0007] 然而，上述基于明文的方案都仅仅从数据拥有者
角度考虑如何检测数据的泄露，没考虑到代理方是否会认可数据拥有者的检测结果，因为数据拥有者有可能伪造泄露而去讹诈代理方。
发明内容
[0008] 本发明技术解决问题：针对客户端将数据委托给云端且明文不敏感的情形，提供一种安全可信的数据托管方法，它所保障的是双方都无法作伪抵赖，即数据拥有者不能故意散布数据而去找云端索赔，而云端泄露数据也可以被数据拥有者检测，以增强客户端与云端之间的信任度，便于云计算服务的推广。
[0009] 本发明技术方案：主要利用全同态加密算法的特性，通过数据交互将云服务方的签名嵌入在客户端的数据中，协议在执行阶段双方所获得的对方信息都是经过加密处理的，这意味着双方无法非法利用对方的信息，从而数据泄露时可以证明数据泄露者身份。
[0010] 本发明采用以下技术方案实现：
[0011] 一种安全可信的数据托管方法，包括：客户端数据上传流程、客户端数据下载流程、客户端追责流程。其中，客户端数据上传流程为客户将数据上传到云端
服务器，在上传流程中云端服务器的签名会以只有客户端知道的方式嵌入到数据中，客户端追责流程用于发生数据泄漏时客户端对云端服务器进行追责，客户端数据下载流程则用于客户端从云端下载自己的数据，在下载流程中云端服务器嵌入在数据中的签名会被去除；
[0012] 所述客户端数据上传流程如下：
[0013] (1)客户端先根据云端服务器方签名字节数对原文件做随机字节冗余，然后向云端服务器发送用CL对称加密算法加密后的冗余文件密文、原文件哈希值以及原文件加密后密文的哈希值；
[0014] (2)云端服务器在收到客户端发送的冗余文件密文、原文件哈希值以及原文件加密后密文的哈希值后，对冗余文件密文进行全同态加密生成冗余文件密文的全同态密文，然后根据原文件哈希值生成签名信息，再用相同的全同态加密算法加密该签名信息得到签名信息的全同态密文，然后和0、1的全同态密文一同发给客户端；
[0015] (3)客户端收到云端服务器发来的经全同态加密后的冗余文件密文和签名信息后，根据(1)中对冗余文件加密所采用的密钥，按位用0、1的全同态密文合成一个密钥的全同态密文，并利用全同态加密的特性，在冗余文件密文的全同态密文上执行CL算法解密操作得到冗余文件的全同态密文，然后对冗余文件的全同态密文进行操作，利用其冗余嵌入水印：将云端服务器全同态加密后的签名信息混杂到明文数据中，从而得到嵌入了云端服务器水印的原文件的全同态密文，并把它发给云端服务器；
[0016] (4)最后由云端服务器将收到的全同态密文解密，得到已经嵌入了云端服务器水印的原文件，并存储在云端；
[0017] 所述客户端数据下载流程如下：
[0018] (1)云端服务器将携带自己签名信息的文件进行全同态加密后，和0、1的全同态密文一起发送给客户端；
[0019] (2)客户端根据留存的冗余信息将对应位的密文删除，即可得到原文件的全同态密文，再根据0、1的全同态密文组合得到密钥的全同态密文，通过对全同态密文进行操作在密文下用密钥对原文件进行CL对称加密算法加密；
[0020] (3)云端服务器对全同态密文进行全同态解密，得到原文件经客户端CL加密后的密文，并发送给客户端；
[0021] (4)客户端自己执行CL解密算法得到原文件；
[0022] 所述客户端追责取证的流程如下：
[0023] (1)客户端首先
定位到云端服务器泄露的含水印的文件；
[0024] (2)客户端根据冗余信息提取数据中的冗余位，并与冗余信息进行异或操作提取出水印。最后利用云端RSA公钥验证结果即可作为追责的证据。
[0025] 所述客户端数据上传流程的步骤(1)中，客户端先根据云端服务器方签名字节数对原文件做随机字节冗余，并对冗余处理后的文件进行加密，既保护了原文件，又为嵌入云端服务器水印预留了
位置。
[0026] 所述客户端数据上传流程的步骤(2)中，云端服务器将自己生成的文件签名信息和收到的冗余文件密文分别用全同态密码算法进行加密，保护自己的签名信息。
[0027] 所述客户端数据上传流程的步骤(3)中，客户端在冗余文件密文的全同态密文上执行解密操作得到冗余文件的全同态密文，然后对冗余文件的全同态密文进行操作，利用其冗余在全同态密文下嵌入云端服务器的水印。
[0028] 所述客户端数据上传流程的步骤(4)中，云端服务器对全同态密文进行全同态解密，得到已经嵌入了云端服务器水印的原文件。
[0029] 所述客户端数据上传流程中，云端服务器无法拿到客户端不含其签名水印的原文件，因此存储在云端的服务器的客户文件一旦泄露，客户就可以根据嵌入在文件中的云端服务器签名水印追究其责任；客户端无法拿到云端服务器的对文件的签名信息明文，从而不可能诬告云端服务器泄露其文件。
[0031] 本发明具有在数据泄露追责时，防止双方互相抵赖的特性。这是因为客户端可以在不知道云端签名明文信息的情况下将其混入原文件，并在泄露追责时可以验证其有效性，且云端也无法获取到原文件的明文。所以，如果检测到的泄露文件为原文件明文，即是客户端方发生的泄露，如果检测到的泄露文件中找到了云端的签名，则为云端发生的泄露。
附图说明
[0032] 图1是本发明方案架构图；
[0033] 图2是本发明中数据发布者和代理方的数据上传交换模型；
[0034] 图3是本发明中数据发布者和代理方的数据下载交换模型；
[0035] 图4是本发明中客户端数据上传
流程图；
[0036] 图5是本发明中云端数据上传流程图；
[0037] 图6是本发明中客户端数据下载流程图；
[0038] 图7是云端数据下载流程图；
[0039] 图8是追责取证流程图。
具体实施方式
[0040] 如图1所示，本发明采用以下技术方案实现，以Dis代表客户端，以Ag代表云端服务器。
[0041] 如图2所示，客户端数据上传流程如下：
[0042] (1)Dis先根据Ag方签名字节数对原文件做随机字节冗余RDis(M)，冗余位置字节的值设为0，然后向Ag发送CL加密后的冗余文件CLDis(RDis(M))，文件哈希值HDis(M)和HDis(CLDis(M))。
[0043] (2)Ag向Dis发送数据，Ag在收到经过CL加密的数据集后，对该密文进行全同态加密，即FHEAg(CLDis(RDis(M)))，然后根据HDis(M)生成签名信息DigAg(HDis(M))，再用相同的全同态加密算法加密签名信息得到FHEAg(DigAg(HDis(M)))，然后和FHEAg(1)、FHEAg(0)一同发送给Dis。
[0044] (3)Dis收到Ag发来的全同态加密的密文和签名后，根据CL算法的密钥，按位用FHEAg(1)、FHEAg(0)合成一个FHEAg(KEYCL)，利用全同态加密的特性，在密文上操作对自己的CL算法进行解密，得到FHEAg(RDis(M))，然后利用冗余嵌入水印在密文上操作：M′＝MIXDis(RDis(M),DigAg(HDis(M)))，具体方法是利用全同态加密的密文操作，将DigAg(HDis(M)))的每个字节的密文与RDis(M)中的冗余字节分别进行异或操作，将Ag方加密的水印信息混杂到明文数据集中，从而得到FHEAg(M′)，发送给Ag。
[0045] (4)最后由Ag将自己的全同态加密解开，得到M′，即已经掺杂了Ag方签名信息的明文数据集。
[0046] 以上(1)中的随机字节冗余，可以按签名的字节数来做出冗余量，然后随机生成冗余信息在原文中的插入位置，然后随机生成冗余信息，按随机位置插入原文，保留冗余信息及其位置。CL加密是一种按位处理的对称加密算法，用于保证原文件不被Ag获取，可自行根据实际情况替换。HDis(M)给Ag的签名函数提供参数，HDis(CLDis(M))用以作为后续的验证信息。
[0047] 以上(2)中的FHEAg(1)、FHEAg(0)就是对数字0和1的全同态加密，用以给Dis将文件按位拼装成全同态的密文形态，便于后续的同态操作。由于全同态的密文空间很大，所以Dis仅凭FHEAg(1)、FHEAg(0)无法破解Ag的全同态加密算法。
[0048] 以上(3)中的同态CL解密，由于全同态算法的明文空间是[0,1]，即模2空间，所以只需执行密文间的大数加法即可得到执行明文间“异或”的结果。同理，可以用同样的方式完成水印的同态嵌入。
[0049] 以上(4)中，Ag无法获取水印嵌入位置，所以无法有效去除水印。同样可以给水印信息再加以抗破坏的冗余，做到令Ag破坏水印即等同于原文件信息无效化即可。如果检测到数据泄露，根据自己留存的随机冗余信息在对应位提取出其RSA签名信息，再根据其公钥得到签名内容H(M)即可作为证据。
[0050] 如图3所示，客户端数据下载流程如下：
[0051] (1)Ag将携带自己签名信息的文件进行全同态加密FHEAg(M′)和FHEAg(1)、FHEAg(0)一起发送给Dis。
[0052] (2)Dis根据留存的冗余信息将对应位的密文删除，即可得到FHEAg(M)，再根据FHEAg(1)、FHEAg(0)组合得到密钥FHEAg(KEYCL)，在密文下进行CL加密得到FHEAg(CLDis(M))发送给Ag。
[0053] (3)Ag解密得到CLDis(M)发送给Dis。
[0054] (4)Dis自己执行CL解密算法得到M。
[0055] 以上(4)中，Ag可以计算HDis(CLDis(M))，与之前Dis所发送的数据做对比，验证Dis是否将水印完全去除。
[0056] 如图4、图5所示，客户端和目标
应用服务器安装协议的服务程序。每次客户端上传文件时的流程如下：
[0057] 在上传过程中，云端首先将签名尺寸信息发送给每一个客户端。然后，每当收到客户端的数据上传
请求时，云端接受数据并对其连同签名一起执行FHE加密算法，将结果和0、1的全同态密文一起发送给客户端。最后，当再次接收到客户端传回的数据时，云端对该数据执行FHE解密算法，即可得到嵌入云端签名信息的明文。
[0058] 在上传过程中，客户端首先和云端进行一次通信，确认其签名的尺寸，然后根据收到的数据生成留给水印嵌入的冗余信息，包括内容和在文件中位置，然后将冗余信息添加到源文件中保存冗余文件。
[0059] 之后对冗余文件进行CL算法加密，将加密后的密文发送给云端。此时需要等待云端对该密文进行FHE算法加密，并返回双重加密密文、签名的FHE算法加密密文和0、1的全同态密文。
[0060] 接收到数据后，根据0、1的全同态密文按位对CL算法的密钥完成FHE算法加密。然后对密文和密钥进行模加同态操作，该操作等同于CL算法的解密，由此得到单重FHE算法加密文件。以此文件和签名密文进行模加同态操作，完成水印嵌入，最后发送给云端。
[0061] 如图6，图7所示，每次客户端下载文件时的流程如下：
[0062] 在下载过程中，客户端先提起下载请求，然后从云端接收到经过FHE算法加密的数据和0、1的全同态密文。之后，客户端根据之前的冗余位信息，直接将对应位置的数据剔除，即得到了源明文的FHE算法密文文件。然后，客户端根据0、1的全同态密文按位将CL算法密钥组合成FHE算法的密文形式，与接收到的密文进行模加同态操作，该操作相当于CL算法的加密，然后将双重密文发送给云端。最后，从云端接收到单重CL算法密文，在客户端解密即可得到源文件。
[0063] 在下载过程中，云端在接到客户端的下载请求后，首先进行全同态算法初始化并加密带水印的明文，和0、1的全同态密文一起发给客户端。之后，对接受到客户端发来的双重密文执行FHE解密算法。最后，根据解密后文件的哈希值来验证是否将己方签名信息去除，若已经去除，则将数据发送给客户端。
[0064] 如图8所示，追责取证的流程如下：
[0065] 在追责时，客户端首先定位到保存的冗余信息文件，然后根据冗余信息提取数据中的冗余位，并与冗余信息进行异或操作提取出水印。最后利用云端RSA公钥验证结果即可作为证据。
[0066] 提供以上
实施例仅仅是为了描述本发明的目的，而并非要限制本发明的范围。本发明的范围由所附
权利要求限定。不脱离本发明的精神和原理而做出的各种等同替换和
修改，均应涵盖在本发明的范围之内。
