CN104995632A - 隐私保护数据库系统 - Google Patents

Abstract

一种数据库系统，包括服务器、索引服务器和客户端。在一个实施例中，所述服务器随机地排列数据库记录的顺序。所述服务器通过生成与每个已排列的数据库记录相对应的随机的加密密钥，向所述索引服务器提供加密密钥数组。所述服务器用与每个已排列的数据库记录对应的加密密钥加密每个已排列的数据库记录。所述索引服务器计算和加密每个加密密钥和对应的随机掩码的和，并且发送已排列的被掩码的密钥数组至所述服务器。所述索引服务器向所述客户端提供加密的数据库记录和对应于所述加密的记录的掩码和密钥。所述客户端发送所述掩码和密钥的加密的和至所述服务器。所述服务器用公共密钥解密所述被掩码的密钥并发送所述解密的密钥至所述客户端。然后所述客户端恢复所述记录密钥并解密所述记录。

Description

隐私保护数据库系统

在由情报先进研究计划署(IARPA)给予的合同编号D11PC20194下由政府支持做出本发明。政府对该专利具有特定的权力。

技术领域

本公开一般涉及安全存储和信息检索领域。

背景技术

有时当客户端从数据库检索数据时，有必要使得被检索的数据和查询本身对于中间的实体——例如，服务器和，如果有的话，任何辅助的服务设备来说——是不可见的(即被隐藏)。已经设计出多个方法以从服务器屏蔽数据，然而需忍受，例如巨大的计算开销。此外，现有的方案不能充分地保护客户查询免于被检查(inspection)，因而给恶意的实体提供了确定提供给客户端的信息的机会。

因此，需要能够解决上述的缺陷的方案以提供从数据库的改进的数据安全检索。

发明内容

在一个实施例中，本公开提供一种数据库服务器。该服务器包括处理器和存储器。存储器能够由处理器访问并且包括多个数据库记录。处理器被配置以在网络上与索引服务器通信，所述索引服务器例如辅助的非协作(noncolluding)服务器。处理器被配置以至少伪伪随机地排列数据库记录的顺序，从而生成已排列的数据库。处理器可生成与每个已排列的数据库记录相对应的至少伪随机的加密密钥，从而产生加密的密钥数组。可使用与每个已排列的数据库记录相对应的加密密钥对其加密。处理器被配置以将已排列的数据库记录和至少伪随机的加密密钥存储在存储器中。

在数据库服务器的任意实施例中，处理器被进一步配置以生成公私密钥对，并且使用该密钥对——例如，公共密钥——同态地加密每个伪随机加密密钥。在任意实施例中，处理器可被进一步配置以接收可能被掩码的加密密钥数组，并且解密和存储已解密的加密密钥。在任意实施例中，处理器可被配置以解密从索引服务器接收的已加密的密钥并且发送生成的已解密的密钥，例如至客户端。在任意实施例中，处理器可被配置以发送已排列的数据库和已解密的密钥数组至辅助的非协作服务器。

在另一实施例中，本公开提供数据库索引服务器。该索引服务器包括处理器和能够由处理器访问的存储器。存储器包括由处理器执行以在处理器和客户端以及数据库服务器之间的网络上提供通信的程序指令。处理器被配置以接收加密密钥数组，其可能是加密的。处理器可生成与所述数组中的每一个密钥相对应的至少伪随机的掩码。处理器可计算和加密每个加密密钥和与该密钥对应的掩码的和。

在索引服务器的任意实施例中，处理器可被进一步配置以至少伪随机地排列所述已加密的和的序列以生成已排列的被掩码的密钥数组。在一些实施例中，所述和被同态地加密。在任意实施例中，处理器被进一步配置以从数据库服务器接收数据记录的数组。在此类实施例中，处理器被进一步配置以从客户端接收记录编号，并且返回与数据编号对应的数据记录和掩码至客户端。在索引服务器的任意实施例中，数据记录数组的每个记录都可能是加密的。

另一实施例提供数据库客户端。客户端包括处理器和存储器。存储器可被处理器访问并且包括能够由处理器执行以从索引服务器接收数据库记录、掩码和对应的密钥的程序指令。处理器被配置以计算和加密所述密钥与所述掩码的和，并且发送所述已加密的和至数据库服务器。

在数据库客户端的任意实施例中，密钥可以使被掩码的密钥，并且处理器可被进一步配置以从服务器接收与被掩码的密钥对应的已解密的密钥。在任何此类实施例中，处理器可被进一步配置以从接收到的已解密的密钥中减去掩码。在任何此类实施例中，处理器被进一步配置以使用已解密的密钥解密接收到的数据库记录。

另一实施例提供了操作数据库服务器的方法。所述方法包括至少伪随机地排列由服务器存储的数据库记录的顺序。生成对应于每一个已排列的数据库记录的至少伪随机的加密密钥。使用与每一个已排列的数据库记录对应的加密密钥加密所述每个已排列的数据库记录。

另一实施例提供了操作数据库索引服务器的方法。所述方法包括接收加密密钥数组，其可能是被加密的。生成对应于数组中的每个密钥的至少伪随机的掩码。计算每个加密密钥与对应于该密钥的掩码的已加密的和。

而另一实施例提供了操作数据库客户端的方法。所述方法包括向索引服务器查询对应于记录编号的数据库记录、掩码和密钥。计算和加密所述密钥和所述掩码的和。所述加密的和被提供至数据库服务器。

本发明的附加方面部分将部分地在具体实施方式、图表和后续的任意权利要求中陈述，并且部分地从具体实施方式中推出，或通过本发明的实践中得知。应理解上述的一般描述和随后的具体实施方式都仅仅是示例性和解释性的，并且并非公开作为对本发明的限制。

附图说明

本发明更完整的理解可通过参考随后的详细描述并结合附图获得，其中：

图1示出了包括经由通信网络耦合通信的服务器(S)、索引服务器(IS)和客户端(C)；

图2-4分别示出了例如如图1所示的服务器、索引服务器和客户端的功能块；

图5示出了在图1中的服务器和索引服务器的一个实施例的操作，例如，用于设置图1中的服务器和索引服务器以响应于查询向客户端安全地提供数据；

图6和图7示出了图1的服务器、索引服务器和客户端的第一实施例操作，例如向客户端安全地提供数据；

图8示出了图1中的服务器和索引服务器的另一实施例操作，例如以用于设置图1中的服务器和索引服务器；以及

图9和图10示出了图1中的服务器、索引服务器和客户端的第二实施例操作，例如，向客户端安全地提供数据。

具体实施方式

本公开针对，例如，通过服务器的数据库记录安全检索。在一些传统安全数据库系统中，数据库服务器被实现为两个非协作实体，服务器S和索引服务器IS。在此类实施例中，服务器为数据库的所有者。索引服务器可被认为是，例如，辅助的非协作服务器。在设置阶段期间，服务器将数据库的每一行加密并且将所述加密发送至索引服务器。当客户端C查询索引服务器持有的已加密的数据库时，索引服务器回复正确的(已加密的)行，并且要求服务器发送解密密钥至客户端。然而，因为服务器知道被发送至服务器的密钥，客户端查询不是严格私密的，有可能向恶意实体提供了拦截查询数据的机会。

改进此类传统的系统的安全性的一些尝试需要计算资源，其可能昂贵或者甚至是过高的。例如一个已提出的方案使用大小为n²的同态加密矩阵，其中n为数据库记录的数目。在此类实现中，索引服务器使用新的密钥再加密(re-encrypt)所述n个记录中以每一个，所述实现需要n²个加密操作。对于多于中等数目(modest number)的数据库记录，这样的解决方案可超过数据库系统的实际计算限制。因此需要替代的解决方案。

发明者发现在安全数据库系统中的查询的安全性可通过例如在本文中描述的实施例中公开的设置阶段中的分配和操纵解密密钥来加以改进。简单地但非限制性的来说，在一个实施例中，服务器向非协作索引服务器提供已排列并且已加密的数据库以及对应的加密/解密密钥数组。此处非协作服务器被定义为辅助服务器，其存储和搜索所述已加密的数据库。客户端向索引服务器查询数据库记录。索引服务器以已加密的形式返回被请求的记录，连同对应的解密密钥和对应的掩码值至客户端。然后客户端将所述掩码值加至所述密钥，加密所述和并且将其发送至服务器。然后服务器返回未加密的被掩码的密钥，客户端使用其解密先前从索引服务器接收的已加密的记录。仅客户端有足够的信息来确定被请求的数据库记录的值。因为索引服务器拥有的是已加密的数据库的已排列副本，所以查询对于索引服务器是隐藏的。因此索引服务器不知道未被排列的数据库中的哪个记录被返回。因为服务器返回的密钥是被掩码的，所以服务器也不知道未被排列的数据库中的哪个记录被返回。因此服务器不能够将被掩码的密钥与服务器用来加密数据库的特定行的密钥相关联。因此安全数据库系统可提供记录的安全检索。此外，描述的实施例以与n成比例服务数据库查询。在包括1E8个记录的数据库中，本发明的实施例因此可提供n²/n的效率提高，或在该示例中1E8的效率提高。

图1示出了依据无限制实施例的系统100，其可操作以例如提供数据的安全存储和检索。系统100包括系统110，其依次包括服务器(S)200和索引服务器(IS)300。客户端(C)400可与系统110通信以检索数据库条目。客户端400、服务器200和索引服务器300可经由网络120来通信。网络120可以是有线的、无线的或光纤连接的任意组合，例如因特网。服务器200和索引服务器300可为物理并列的或彼此远离的。在一些实施例中，服务器200、索引服务器300和客户端400经由因特网通信。

图2示出了服务器200的一个示例性实施例。服务器200包括处理器(CPU)210、存储器220和网络接口230。存储器220可包括例如RAM、ROM和磁盘储存器的任意组合以支持此处所描述的功能。存储器220可包括处理器210可访问和执行的指令。存储器220还可包括数据库记录，例如数据条目的数组，其可根据请求提供给客户端400。存储器220还包括例如100GB或更多的RAM以支持数据库功能。网络接口230可包括与索引服务器300和客户端400通信的功能。例如网络接口230可被配置以通过TCP/IP或类似的标准经由网络120通信。

图3示出了索引服务器的一个示例性实施例。索引服务器300可包括类似于就服务器200所描述的功能模块。例如，索引服务器300可包括处理器310、存储器320和网络接口330。存储器320能够由处理器310访问和执行的指令以及容纳下述多种数据结构和由客户端400请求的数据访问的存储空间。

图4示出了客户端400的实施例。客户端400可再次包括类似于服务器200和索引服务器300的功能模块的模块，例如处理器410、存储器420和网络接口430。存储器220包括能够由处理器400访问和执行的指令。客户端400可以是例如，个人计算机、移动计算设备(例如)、智能手机、工作站或大型计算机系统。

图5示出了第一实施例中初始化服务器200和索引服务器300以向客户端400提供安全数据检索的方面。初始化数据库的方法500开始于步骤S05，其中服务器200生成公私密钥对k_pp并且发送公共密钥至客户端400。假定服务器200已经包括记录R[i]＝R[1]，R[2]，R[3]，…的数据库，在步骤S10中，服务器200至少伪随机地排列数据库记录的顺序以产生已排列的数据库R[π_i]。换句话说，数据库数组的记录R[i]被映射至新的数据库数组，其中用从{i}的集合中至少伪随机地选择出的已排列的索引π_i替换记录索引i。此处，术语“至少伪随机地”反映了生成“随机”值的计算方法内在地包括一定的确定程度，但是可有效地与随机生成的值不易区分。在下文中，计算和数值集合可能被描述为“随机”且未加限制，然而应认识到这些计算或集合可能仅仅是伪随机的。

在步骤S15中，服务器200生成随机的密钥数组k_r[π_i]。该数组包括与已排列的数据库R[π_i]的每个记录相关联的随机密钥值k_r。在步骤S20中，服务器200通过使用与R[π_i]的每个值相关联的密钥值k_r[π_i]加密R[π_i]的每个值来生成加密的数据库数组E[π_i]。在步骤S25中，服务器200使用密钥对k_pp的公共密钥加密k_r[π_i]的每个成员以生成已加密的密钥数组。在优选的实施例中，所述加密是同态的。同态加密(HE)的示例为Paillier密码系统。HE在多个实施例中的使用详情如下。已加密的密钥数组是指k_r,HE[π_i]未加限制的反映该实施例。在步骤S30中，服务器200传输已加密的数据库数组E[π_i]和已加密的密钥数组k_r,HE[π_i]至索引服务器300。在步骤IS05中，索引服务器300存储数组E[π_i]和k_r,HE[π_i]。

一旦完成步骤IS05，系统100的设置阶段就完成了。由于使用了已描述的操作生成E[π_i]，服务器200没有足够的信息来确定E[π_i]数组的内容。更详细地说，由服务器200存储的R[i]数据库数组以不同于由索引服务器300存储的E[π_i]数组被索引，使得这些数组之间的关系对服务器200和索引服务器300中的每一个是隐藏的。但是，如下列描述，客户端400可仅使用其自身已知的信息来确定已加密的数据库记录的值，从而提供相对于传统的安全数据库系统来说更安全的系统100。

现参考图6和7，描述由客户端400从系统100安全检索数据的第一实施例。图6提供了客户端400和服务器200之间的信息交换以及客户端400和索引服务器300之间的信息交换的高层描述。图7呈现了方法700，其提供了由服务器200、索引服务器300和客户端执行以响应当前实施例中的数据库查询的操作的更详细的描述。

参考图7，在步骤C05中，客户端400发送查询至索引服务器300以用于特定的记录n。该步骤在图6中对应于从客户端400至索引服务器300的第一通信。响应于该查询，在步骤IS10(图7)中，索引服务器发送E[n]和k_r,HE[n]至客户端400。该步骤在图6中对应于从索引服务器300至客户单400的第二通信。

继续参考图7，在步骤C10中客户端400为已排列的数据库的每个条目生成随机的掩码值。在步骤C15中客户端400形成至服务器200的请求以解密密钥k_r[n]。但为了阻止服务器200确定密钥值，客户端400首先通过添加在步骤C10中生成的对应的掩码值来掩码密钥的值。由于在步骤S10(图5)中的密钥的同态加密，这是可行的。因此，在第一子步骤C20中，客户端400使用先前从服务器200接收的公共密钥执行k_r,HE[n]和掩码[n]的和的同态加密。如相关领域的技术人员所知的，同态加密的属性使得能够添加例如掩码[n]的偏移至已加密的k_r,HE[n]值并加密该结果以使得随后可通过减去掩码[n]来恢复k_r[n]值而无需第一解密已加密的和，例如在下列描述的步骤C30中。在子步骤C25中，客户端400传输k_m,HE[n]至服务器200。该步骤对应于图6中从客户端400至服务器200的第三通信。

k_m,HE[n]值的传输服务于发起至服务器200的请求以解密k_m,HE[n]来生成被掩码的密钥k_m[n]。在步骤S35(图7)中服务器200使用k_pp——例如k_pp的私有密钥——来解密k_m,HE[n]以恢复k_m[n]。由于该值仍被掩码，服务器200不知道对应的k_r[n]的值。在步骤S40中服务器200发送k_m[n]至客户端200。该步骤在图6中作为从服务器200至客户端400的第四通信被示出。

在步骤C30(图7)中客户端400从k_m[n]减去掩码[n]从而恢复k_r[n]。在步骤C35中客户端400使用k_r[n]解密E[n]来获取R[n]。

在前述的实施例中，因为仅客户端400拥有已加密的数据E[n]和掩码[n]值，仅客户端能够恢复需要的值k_r[n]以解密E[n]。此外，来自R[i]数组的R[π_i]数组的排列保证了服务器200不能够确定客户端400试图恢复的数据库记录。用这样的方式，客户端400能够安全地恢复R[n]的值，例如服务器200或索引服务器300不能够确定客户端400所检索的数据。

图8-9示出了系统100的操作的第二实施例。图8提供了方法800，其描述了图5中示出的数据库设置方法500的实施例的替代选择。图9和图10分别提供了方法1000的高层的和详细的描述。在该实施例中，索引服务器300执行先前在方法700中由客户端400执行的同态操作。此类操作可减小客户端400与服务器200以及索引服务器300在线所需要的时间，但是有时以额外的离线处理为代价。

参考图8，步骤S05-S03和IS05如先前参考图5所描述的。方法800在步骤IS05之前提供步骤IS15，其中索引服务器300生成对应于每个数据库记录的随机掩码值掩码[π_i]，例如如先前参考步骤C10(图7)所描述的。在步骤IS05中，索引服务器300如先前所描述地存储数组E[π_i]和k_r,HE[π_i]。在步骤IS20中，索引服务器300使用k_pp的公共密钥为每个数据库记录计算k_r,HE[π_i](例如使用k_pp的公共密钥的k_r,HE[π_i])和掩码[π_i]的和的同态加密，所述和为指定的k_m,HE[π_i]。在步骤IS25中，索引服务器300随机地排列k_m,HE[π_i]的顺序并且发送值的已排列的数组至服务器200。在步骤S45中，服务器200使用k_pp的私有密钥解密已排列的掩码数组并且存储结果值。

参考图10，方法1000包括先前描述的步骤C05，其中客户端400向索引服务器300查询已加密的记录n。该查询在图9中被示为从客户端400至索引服务器300的第一通信。步骤IS30中的索引服务器300发送E[n]和掩码[n]至客户端400。在步骤IS35中索引服务器300发送E[n]和掩码[n]至客户端400。该步骤对应于图9中客户端400和索引服务器300之间的第二通信。在步骤IS50中，索引服务器300发送已排列的索引π_i至服务器200。该步骤对应于图9中从索引服务器300至服务器200的第三通信。在步骤S55中服务器200将已排列的索引与对应的已排列的掩码数组的值相关联，并且在步骤C55中发送所述对应的值k_m[π_i]至客户端400。该传输在图9中被示为从服务器200至客户端400的第四通信。如先前在步骤C30中描述的，客户端400从k_m[n]中减去掩码[n]从而恢复k_r[n]，并且在步骤C35中客户端400使用k_r[n]解密E[n]以获取R[n]。

注意在已描述的实施例中，服务器200、索引服务器300和客户端400的操作未被限制为所描述的顺序。在其他实施例中所描述的操作的步骤可以是另一种顺序或可以被组合或被分开。在一些实施例中，在不离开本公开范围的情况下，一些示出的步骤可被移除或添加。

虽然本发明的多个实施例已在附图中示出并在上述具体实施方式中被描述，应理解本发明并非受限制为所述已公开的实施例，而是在不背离本发明的情况下能够被各种重组、修改和替换，本发明如由下列权利要求陈述和限定。

Claims (15)

1.一种数据库服务器，包括：

处理器；

能够由所述处理器访问并且包括多个数据库记录的存储器，

其中所述处理器被配置以：

至少伪随机地排列所述数据库记录的顺序，从而产生已排列的数据库；

生成与每个已排列的数据库记录相对应的至少伪随机的加密密钥，从而产生加密密钥数组；

用与每个已排列的数据库记录相对应的加密密钥加密每个已排列的数据库记录；以及

将所述已排列的数据库记录和所述至少伪随机的加密密钥存储在所述存储器中。

2.如权利要求1所述的服务器，进一步包括网络接口，其被配置以在所述处理器和索引服务器和客户端之间的网络上提供通信。

3.如权利要求1所述的服务器，其中所述处理器被进一步配置以生成公私密钥对并且使用所述公私密钥对对所述伪随机的加密密钥中的每一个进行同态地加密。

4.如权利要求1所述的服务器，其中所述处理器被进一步配置以接收加密密钥的数组，并且解密和存储所述加密密钥。

5.如权利要求1所述的服务器，其中所述处理器被进一步配置以解密已接收的被掩码的密钥并且传送生成的已解密的密钥。

6.如权利要求1所述的服务器，其中所述处理器被进一步配置以将所述已排列的数据库和所述加密密钥数组发送至辅助的非协作服务器。

7.一种数据库索引服务器，包括：

处理器；

能够由所述处理器访问的存储器，所述存储器包括能够由所述处理器执行的程序指令以：

接收已加密的加密密钥的密钥数组；

生成包括至少伪随机的掩码的掩码数组，每个伪随机的掩码与所述密钥数组的成员相对应；以及

为所述密钥数组的每个加密密钥计算该加密密钥和所述相对应的掩码的和；以及

加密每个和。

8.如权利要求7所述的索引服务器，其中所述处理器被进一步配置以至少伪随机地排列所述已加密的和的顺序以产生被掩码的加密密钥的已排列的数组。

9.如权利要求7所述的索引服务器，其中所述和被同态地加密。

10.如权利要求7所述的索引服务器，其中所述处理器被进一步配置以从数据库服务器接收数据记录数组。

11.如权利要求10所述的索引服务器，其中所述处理器被进一步配置以从客户端接收记录编号，并且将与所述记录编号对应的数据记录和掩码返回至所述客户端。

12.一种数据库客户端，包括：

处理器；

能够由所述处理器访问的存储器，所述存储器包括能够由所述处理器执行的程序指令以：

从索引服务器接收与记录编号对应的数据库记录、掩码和密钥；

计算所述密钥和所述掩码的和；

加密所述和；以及

将所述已加密的和发送至数据库服务器。

13.如权利要求12所述的数据库客户端，其中所述密钥是被掩码的密钥，并且所述处理器被进一步配置以从所述服务器接收与所述被掩码的密钥对应的已解密的密钥。

14.如权利要求13所述的数据库客户端，其中所述处理器被进一步配置以从所述已接收的已解密的密钥中减去所述掩码。

15.如权利要求13所述的数据库客户端，其中所述处理器被进一步配置以使用所述已解密的密钥解密所述已接收的数据库记录。