CN112199723A - Pki系统、pki控制方法以及数据安全系统 - Google Patents

Pki系统、pki控制方法以及数据安全系统 Download PDF

Info

Publication number
CN112199723A
CN112199723A CN202011108193.4A CN202011108193A CN112199723A CN 112199723 A CN112199723 A CN 112199723A CN 202011108193 A CN202011108193 A CN 202011108193A CN 112199723 A CN112199723 A CN 112199723A
Authority
CN
China
Prior art keywords
desensitization
key
pki
information
interface
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202011108193.4A
Other languages
English (en)
Inventor
林建明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Wuyu Technology Co ltd
Original Assignee
Shenzhen Wuyu Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Wuyu Technology Co ltd filed Critical Shenzhen Wuyu Technology Co ltd
Priority to CN202011108193.4A priority Critical patent/CN112199723A/zh
Publication of CN112199723A publication Critical patent/CN112199723A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/62Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6227Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database where protection concerns the structure of data, e.g. records, types, queries
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/62Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245Protecting personal data, e.g. for financial or medical purposes

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Medical Informatics (AREA)
  • Storage Device Security (AREA)

Abstract

本发明揭示了一种PKI系统、PKI控制方法以及数据安全系统,所述PKI系统包括:脱敏生成服务模块,用以提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;脱敏数据库服务模块,用以通过可视化的web页面提供脱敏规则保存、修改以及查询的接口;脱敏服务管理模块,用以允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息;统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。本发明提出的PKI系统、PKI控制方法以及数据安全系统,可有效保护用户信息。

Description

PKI系统、PKI控制方法以及数据安全系统
技术领域
本发明属于软件安全技术领域,涉及一种秘钥管理系统,尤其涉及一种PKI系统、PKI控制方法以及数据安全系统。
背景技术
公钥基础设施(PKI)是一个包括硬件、软件、人员、策略和规程的集合,用来实现基于公钥密码体制的密钥和证书的产生、管理、存储、分发和撤销等功能。PKI体系是计算机软硬件、权威机构及应用系统的结合。它为实施电子商务、电子政务、办公自动化等提供了基本的安全服务,从而使那些彼此不认识或距离很远的用户能通过信任链安全地交流。
密钥管理系统负责维护密钥的管理(rsa、aes、md5等等);基础框架提供拉取密钥信息的服务,并对使用方做到透明,物理数据库存储的敏感信息无感知的加密后入库,系统内部使用的时候做到无感知的解密。敏感数据使用mybats插件的扩展技术来处理加解密。
现今,大数据时代到来,同时也带来了隐私、敏感信息保护方面的棘手难题。如何在实现数据高效共享、分析挖掘的同时,保护敏感及隐私信息不被泄露越来越重要。《网络安全法》中规定未经被搜集者同意,不得向他人提供个人信息,但是经过处理无法识别特定个人且不能复原的除外;《等保》、分保行业监管单位(银监要求)合规性要求符合。对极少数复杂的sql语句无法准确识别相应的隐私字段,做相应的处理。
有鉴于此,如今迫切需要设计一种新的密钥管理系统,以便克服现有密钥管理系统存在的上述至少部分缺陷。
发明内容
本发明提供一种PKI系统、PKI控制方法以及数据安全系统,可有效保护用户信息;可以对隐私数据比如身份证、姓名等信息自动执行加密存储,防止隐私泄露。
为解决上述技术问题,根据本发明的一个方面,采用如下技术方案:
一种PKI系统,所述PKI系统包括:
脱敏生成服务模块,用以提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务模块,用以通过可视化的web页面提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理模块,用以允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息;统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
根据本发明的另一个方面,采用如下技术方案:一种PKI系统,所述PKI系统包括:
脱敏生成服务模块,用以提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务模块,用以提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理模块,用以允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息。
作为本发明的一种实施方式,所述脱敏数据库服务模块用以通过可视化的web页面提供脱敏规则保存、修改以及查询的接口。
作为本发明的一种实施方式,统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
根据本发明的又一个方面,采用如下技术方案:一种PKI控制方法,所述PKI控制方法包括:
脱敏生成服务步骤;提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务步骤;通过可视化的web页面提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理步骤;允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息;统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
根据本发明的又一个方面,采用如下技术方案:一种PKI控制方法,所述PKI控制方法包括:
脱敏生成服务步骤;提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务步骤;提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理步骤;允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息。
作为本发明的一种实施方式,所述脱敏数据库服务步骤中,通过可视化的web页面提供脱敏规则保存、修改以及查询的接口。
作为本发明的一种实施方式,所述脱敏服务管理步骤中,统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
根据本发明的又一个方面,采用如下技术方案:一种数据安全系统,所述数据安全系统包括PKI系统及cif系统,所述PKI系统连接所述cif系统;
所述PKI系统包括:
脱敏生成服务模块,用以提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务模块,用以通过可视化的web页面提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理模块,用以允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息;统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证;
所述cif系统从PKI系统获取密钥id,根据密钥id和客户号获取非对称密钥私钥以及对称密钥,做完参数校验之后使用aes算法对敏感字段加密作为密文以及使用hmac加密敏感字段作为索引,每个敏感字段需要相应的增加一个索引字段;密文后面追加设定位数版本号,表示使用某个版本号的密钥加密,后期更换密钥后能识别用哪个密钥来解密;然后执行查询或者插入,如果为查询请求,返回密文结果不做处理直接返回到前置层;
前置层收到返回密文后,解析设定位数的版本号,从PKI系统根据密钥id和客户号以及版本号获取非对称密钥私钥以及对称密钥,使用对称密钥对加密字段解密,返回明文到APP端。
作为本发明的一种实施方式,内部系统rpc调用过程中从前置层到cif系统敏感字段需要进行掩码配置;
大数据使用cannal或者sqoop同步数据的时候对加密字段进行解密后同步,保持对之前的查询不受影响;查询使用mysql proxy在mysql协议上去动态的处理解密和脱敏操作。
本发明的有益效果在于:本发明提出的PKI系统、PKI控制方法以及数据安全系统,可有效保护用户信息。本发明可以对隐私数据比如身份证、姓名等信息自动执行加密存储,防止隐私泄露。
附图说明
图1为本发明一实施例中PKI系统的组成示意图。
图2为本发明一实施例中PKI控制方法的流程图。
具体实施方式
下面结合附图详细说明本发明的优选实施例。
为了进一步理解本发明,下面结合实施例对本发明优选实施方案进行描述,但是应当理解,这些描述只是为进一步说明本发明的特征和优点,而不是对本发明权利要求的限制。
该部分的描述只针对几个典型的实施例,本发明并不仅局限于实施例描述的范围。相同或相近的现有技术手段与实施例中的一些技术特征进行相互替换也在本发明描述和保护的范围内。
本发明揭示了一种PKI系统,图1为本发明一实施例中PKI系统的组成示意图;请参阅图1,所述PKI系统包括:脱敏生成服务模块1、脱敏数据库服务模块2及脱敏服务管理模块3。
脱敏生成服务模块1用以提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息。
脱敏数据库服务模块2用以提供脱敏规则保存、修改以及查询的接口。在本发明的一实施例中,所述脱敏数据库服务模块2用以通过可视化的web页面提供脱敏规则保存、修改以及查询的接口。
脱敏服务管理模块3用以允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息。在本发明的一实施例中,脱敏服务管理模块3还用以统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
本发明可以对各种不同的sql语句进行分析,自动识别隐私字段,并使用相应的脱敏规则进行脱敏操作,保护用户隐私数据,脱敏规则通过调用密钥服务提供的rpc-api接口鉴权后拉取相关的脱敏规则。
本发明还揭示一种PKI控制方法,所述PKI控制方法包括:
【步骤S1】脱敏生成服务步骤;提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息。
【步骤S2】脱敏数据库服务步骤;提供脱敏规则保存、修改以及查询的接口。在一实施例中,通过可视化的web页面提供脱敏规则保存、修改以及查询的接口。
【步骤S3】脱敏服务管理步骤;允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息。在一实施例中,所述脱敏服务管理步骤进一步包括:统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
本发明进一步揭示一种数据安全系统,所述数据安全系统包括PKI系统及cif系统,所述PKI系统连接所述cif系统。所述PKI系统的组成可以参阅以上实施例的描述。
所述cif系统从PKI系统获取密钥id,根据密钥id和客户号获取非对称密钥私钥以及对称密钥,做完参数校验之后使用aes算法对敏感字段加密作为密文以及使用hmac加密敏感字段作为索引,每个敏感字段需要相应的增加一个索引字段;密文后面追加设定位数版本号,表示使用某个版本号的密钥加密,后期更换密钥后能识别用哪个密钥来解密;然后执行查询或者插入,如果为查询请求,返回密文结果不做处理直接返回到前置层。前置层收到返回密文后,解析设定位数的版本号,从PKI系统根据密钥id和客户号以及版本号获取非对称密钥私钥以及对称密钥,使用对称密钥对加密字段解密,返回明文到APP端。
在本发明的一实施例中,内部系统rpc调用过程中从前置层到cif系统敏感字段需要进行掩码配置。大数据使用cannal或者sqoop同步数据的时候对加密字段进行解密后同步,保持对之前的查询不受影响;查询(如使用Syslog分析器查询)使用mysql proxy(或者开源的Atlas)在mysql协议上去动态的处理解密和脱敏操作。
综上所述,本发明提出的PKI系统、PKI控制方法以及数据安全系统,可有效保护用户信息。本发明可以对隐私数据比如身份证、姓名等信息自动执行加密存储,防止隐私泄露。
以上所述实施例的各技术特征可以进行任意的组合,为使描述简洁,未对上述实施例中的各个技术特征所有可能的组合都进行描述,然而,只要这些技术特征的组合不存在矛盾,都应当认为是本说明书记载的范围。
这里本发明的描述和应用是说明性的,并非想将本发明的范围限制在上述实施例中。实施例中所涉及的效果或优点可因多种因素干扰而可能不能在实施例中体现,对于效果或优点的描述不用于对实施例进行限制。这里所披露的实施例的变形和改变是可能的,对于那些本领域的普通技术人员来说实施例的替换和等效的各种部件是公知的。本领域技术人员应该清楚的是,在不脱离本发明的精神或本质特征的情况下,本发明可以以其它形式、结构、布置、比例,以及用其它组件、材料和部件来实现。在不脱离本发明范围和精神的情况下,可以对这里所披露的实施例进行其它变形和改变。

Claims (10)

1.一种PKI系统,其特征在于,所述PKI系统包括:
脱敏生成服务模块,用以提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务模块,用以通过可视化的web页面提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理模块,用以允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息;统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
2.一种PKI系统,其特征在于,所述PKI系统包括:
脱敏生成服务模块,用以提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务模块,用以提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理模块,用以允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息。
3.根据权利要求2所述的PKI系统,其特征在于:
所述脱敏数据库服务模块用以通过可视化的web页面提供脱敏规则保存、修改以及查询的接口。
4.根据权利要求2所述的PKI系统,其特征在于:
统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
5.一种PKI控制方法,其特征在于,所述PKI控制方法包括:
脱敏生成服务步骤;提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务步骤;通过可视化的web页面提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理步骤;允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息;统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
6.一种PKI控制方法,其特征在于,所述PKI控制方法包括:
脱敏生成服务步骤;提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务步骤;提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理步骤;允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息。
7.根据权利要求6所述的PKI控制方法,其特征在于:
所述脱敏数据库服务步骤中,通过可视化的web页面提供脱敏规则保存、修改以及查询的接口。
8.根据权利要求6所述的PKI控制方法,其特征在于:
所述脱敏服务管理步骤中,统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证。
9.一种数据安全系统,其特征在于,所述数据安全系统包括PKI系统及cif系统,所述PKI系统连接所述cif系统;
所述PKI系统包括:
脱敏生成服务模块,用以提供获取脱敏规则接口,根据脱敏id获取脱敏规则信息;
脱敏数据库服务模块,用以通过可视化的web页面提供脱敏规则保存、修改以及查询的接口;
脱敏服务管理模块,用以允许操作人员在前台新录入脱敏规则信息以及修改已存在的脱敏信息;统一配置子系统ssl签名认证,使用rsa算法生成公钥和私钥,每个子系统启动拉取密钥信息的时候都需要使用公钥进行认证;
所述cif系统从PKI系统获取密钥id,根据密钥id和客户号获取非对称密钥私钥以及对称密钥,做完参数校验之后使用aes算法对敏感字段加密作为密文以及使用hmac加密敏感字段作为索引,每个敏感字段需要相应的增加一个索引字段;密文后面追加设定位数版本号,表示使用某个版本号的密钥加密,后期更换密钥后能识别用哪个密钥来解密;然后执行查询或者插入,如果为查询请求,返回密文结果不做处理直接返回到前置层;
前置层收到返回密文后,解析设定位数的版本号,从PKI系统根据密钥id和客户号以及版本号获取非对称密钥私钥以及对称密钥,使用对称密钥对加密字段解密,返回明文到APP端。
10.根据权利要求9所述的数据安全系统,其特征在于:
内部系统rpc调用过程中从前置层到cif系统敏感字段需要进行掩码配置;
大数据使用cannal或者sqoop同步数据的时候对加密字段进行解密后同步,保持对之前的查询不受影响;查询使用mysql proxy在mysql协议上去动态的处理解密和脱敏操作。
CN202011108193.4A 2020-10-16 2020-10-16 Pki系统、pki控制方法以及数据安全系统 Pending CN112199723A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011108193.4A CN112199723A (zh) 2020-10-16 2020-10-16 Pki系统、pki控制方法以及数据安全系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011108193.4A CN112199723A (zh) 2020-10-16 2020-10-16 Pki系统、pki控制方法以及数据安全系统

Publications (1)

Publication Number Publication Date
CN112199723A true CN112199723A (zh) 2021-01-08

Family

ID=74009671

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011108193.4A Pending CN112199723A (zh) 2020-10-16 2020-10-16 Pki系统、pki控制方法以及数据安全系统

Country Status (1)

Country Link
CN (1) CN112199723A (zh)

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102811123A (zh) * 2011-05-30 2012-12-05 三星Sds株式会社 基于身份的加密方法和设备
CN107005564A (zh) * 2015-01-05 2017-08-01 华为技术有限公司 一种信息传输方法、设备及系统
CN107766741A (zh) * 2017-10-23 2018-03-06 中恒华瑞(北京)信息技术有限公司 数据脱敏系统和方法
CN108769024A (zh) * 2018-05-30 2018-11-06 中国电子信息产业集团有限公司第六研究所 一种数据获取方法及多数据运营商协商服务系统
CN110348239A (zh) * 2019-06-13 2019-10-18 平安普惠企业管理有限公司 脱敏规则配置方法以及数据脱敏方法、系统、计算机设备
CN110892673A (zh) * 2017-08-18 2020-03-17 乔纳蒂克斯公司 安全硬件签名以及相关方法和应用
CN111222167A (zh) * 2020-04-23 2020-06-02 同方股份有限公司 一种基于区块链和显式授权机制下的隐私数据访问方法

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102811123A (zh) * 2011-05-30 2012-12-05 三星Sds株式会社 基于身份的加密方法和设备
CN107005564A (zh) * 2015-01-05 2017-08-01 华为技术有限公司 一种信息传输方法、设备及系统
CN110892673A (zh) * 2017-08-18 2020-03-17 乔纳蒂克斯公司 安全硬件签名以及相关方法和应用
CN107766741A (zh) * 2017-10-23 2018-03-06 中恒华瑞(北京)信息技术有限公司 数据脱敏系统和方法
CN108769024A (zh) * 2018-05-30 2018-11-06 中国电子信息产业集团有限公司第六研究所 一种数据获取方法及多数据运营商协商服务系统
CN110348239A (zh) * 2019-06-13 2019-10-18 平安普惠企业管理有限公司 脱敏规则配置方法以及数据脱敏方法、系统、计算机设备
CN111222167A (zh) * 2020-04-23 2020-06-02 同方股份有限公司 一种基于区块链和显式授权机制下的隐私数据访问方法

Similar Documents

Publication Publication Date Title
CN112929172B (zh) 基于密钥库动态加密数据的系统、方法及装置
JP6941183B2 (ja) データのトークン化
CN108900533B (zh) 一种共享数据隐私保护方法、系统、终端及介质
CN111680324B (zh) 用于区块链的凭证验证方法、管理方法以及签发方法
JP5679018B2 (ja) データベース暗号化システムと方法及びプログラム
JP6048414B2 (ja) データベース装置と方法及びプログラム
US8447983B1 (en) Token exchange
US11546348B2 (en) Data service system
WO2019024230A1 (zh) 信息加密解密方法、装置、计算机设备和存储介质
CN113849847B (zh) 用于对敏感数据进行加密和解密的方法、设备和介质
CN111737720B (zh) 数据处理方法、装置及电子设备
CN109347839B (zh) 集中式密码管理方法、装置、电子设备及计算机存储介质
CN114024710A (zh) 一种数据传输方法、装置、系统及设备
CN111274611A (zh) 数据脱敏方法、装置及计算机可读存储介质
CN111884986B (zh) 一种数据加密处理方法、装置及存储介质
US11601258B2 (en) Selector derived encryption systems and methods
Björkqvist et al. Design and implementation of a key-lifecycle management system
WO2023160420A1 (zh) 群组消息加密方法、装置、设备和存储介质
WO2019120038A1 (zh) 数据加密存储
CN116527709A (zh) 结合量子密钥和区块链的电子病历安全共享系统及方法
CN113824553A (zh) 密钥管理方法、装置及系统
WO2021170049A1 (zh) 一种访问行为的记录方法、装置
CN114398623A (zh) 一种安全策略的确定方法
CN111507706A (zh) 数据浏览、存储的方法、装置、计算机设备以及存储介质
CN112187767A (zh) 基于区块链的多方合同共识系统、方法及介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination