RU2754967C1

RU2754967C1 - Method of transferring anonymous data to an untrusted party

Info

Publication number: RU2754967C1
Application number: RU2020120432A
Authority: RU
Inventors: Антон Сергеевич Лапушкин; Дмитрий Владимирович Шмойлов; Андрей Владимирович Ладиков; Андрей Анатольевич Ефремов
Original assignee: Акционерное общество "Лаборатория Касперского"
Priority date: 2020-06-19
Filing date: 2020-06-19
Publication date: 2021-09-08

Abstract

FIELD: information technology.SUBSTANCE: invention relates to a method for providing anonymity when routing data in a client-server architecture. According to the method, the data structure is divided on the client side. The data structure is intended to be sent to the server. The data structure is divided into a substructure containing critical data (hereinafter referred to as CD); a substructure not containing CD. The primary transformation of the data substructure containing the CD is carried out on the client side without the possibility of reverse transformation of the data by an anonymization device. After that the data including a substructure that does not contain CD and the transformed substructure of data containing CD are sent to the node with the device of anonymization. The node with the device of anonymization is not on the same Intranet with the server or the client. Secondary transformation of each received substructure of data containing CD is carried out by the anonymization device without the possibility of reverse transformation on the server or the client side. The data substructures are transferred from the anonymization device to the server.EFFECT: invention ensures the anonymity of sending critical data to the server.10 cl, 1 tbl, 19 dwg

Description

Область техникиTechnology area

Изобретение относится к способам обеспечения анонимности при маршрутизации данных в клиент-серверной архитектуре.The invention relates to methods for providing anonymity when routing data in a client-server architecture.

Уровень техникиState of the art

Изменения законодательства в мире (например, в РФ подписан закон, согласно которому персональные данные россиян, используемые онлайн-сервисами, должны храниться на территории России, в Швейцарии для банков требуется, чтобы данные пользователей также не покидали территорию юрисдикции федерального правительства, в ряде стран персональные данные запрещается хранить в открытом виде) заставляют специалистов по информационной безопасности искать новые способы управления данными, уходящими от персональных электронных устройств. При этом разрабатываемые решения не должны усложнять работу пользователей компьютерных систем и работать для пользователей максимально прозрачно.Changes in legislation in the world (for example, in the Russian Federation a law has been signed according to which the personal data of Russians used by online services must be stored on the territory of Russia, in Switzerland it is required for banks that user data also does not leave the territory of the jurisdiction of the federal government; data must not be stored in the clear) force information security professionals to look for new ways to manage data leaving personal electronic devices. At the same time, the developed solutions should not complicate the work of users of computer systems and work for users as transparently as possible.

С введением в действие Общего регламента по защите данных (англ. The General Data Protection Regulation, сокр. GDPR) количество персональных данных хранимых в сетевой инфраструктуре на стороне различных сервисов и получаемых от пользователей становится минимальным. При этом необходимо обеспечить распределенное хранение и обработку данных, получаемых от пользователя без потери их уникальности.With the introduction of the General Data Protection Regulation (GDPR), the amount of personal data stored in the network infrastructure on the side of various services and received from users becomes minimal. At the same time, it is necessary to provide distributed storage and processing of data received from the user without losing their uniqueness.

Указанные причины вызывают сложности при внедрении облачной инфраструктуры в корпоративном и частном секторе, в результате на рынке появляются технические решения, позволяющие учитывать требования законодательства. Например, публикации:These reasons cause difficulties in the implementation of cloud infrastructure in the corporate and private sector, as a result, technical solutions appear on the market that allow taking into account the requirements of the legislation. For example, publications:

• US 20122866 описывает способ хранения данных в облачных хранилищах, в котором любой файл от устройства пользователя поступает на прокси-сервер, на котором шифруется и передается в облачное хранилище;• US 20122866 describes a method of storing data in cloud storage, in which any file from the user's device goes to a proxy server, where it is encrypted and transferred to the cloud storage;

• US 8739265 описывает способ обфускации и извлечения данных, где данные содержащие конфиденциальные данные, отправляемые с устройства, перехватываются, изменяются и передаются далее в облачное хранилище. При этом изменяются не все данные, а определенные в соответствии с правилами, установленными в сети, и эти данные могут не передаваться в облако, а извлекаться и сохранятся локально, а передаваться будут поп sensitive data и токен вместо извлеченных данных;• US 8739265 describes a method for obfuscating and extracting data, where data containing confidential data sent from a device is intercepted, modified and transferred further to the cloud storage. At the same time, not all data is changed, but determined in accordance with the rules set in the network, and this data may not be transferred to the cloud, but extracted and stored locally, and pop sensitive data and a token will be transferred instead of the extracted data;

• US 8601598 описывает технологию безопасного хранения данных в облачном хранилище, в которой данные, поступающие в облачное хранилище от устройств с установленным агентом, шифруются открытым ключом, при этом само хранилище может быть разделено в зависимости от типов данных и пользователей, использующих хранилище.• US 8601598 describes a technology for secure storage of data in cloud storage, in which data entering the cloud storage from devices with an agent installed is encrypted with a public key, while the storage itself can be divided depending on the types of data and users using the storage.

На основании анализа существующего уровня техники становится ясно, что описанные средства требуют установки на устройстве пользователя дополнительного агента, что затрудняет работу пользователя с удаленным сервером и делает взаимодействие непрозрачным. В другом случае, где агент не устанавливается, осуществляется тотальное шифрование исходящих данных без учета содержимого, что также неудобно и создает дополнительную нагрузку. Расположению клиента и сервера также не уделяется должного внимания. Требуется решение, которое будет способно решить указанные недостатки.Based on the analysis of the state of the art, it becomes clear that the described means require the installation of an additional agent on the user's device, which makes it difficult for the user to work with the remote server and makes the interaction opaque. In another case, where the agent is not installed, total encryption of outgoing data is performed without taking into account the content, which is also inconvenient and creates an additional load. The location of the client and server is also overlooked. A solution is required that will be able to solve the indicated disadvantages.

Раскрытие изобретенияDisclosure of invention

Настоящее изобретение предназначено для отправки данных в клиент-серверной архитектуре с обеспечением анонимности передаваемых данных и без потери полноты и репрезентативности информации, необходимых серверу для анализа и построения статистики.The present invention is intended for sending data in a client-server architecture with ensuring the anonymity of the transmitted data and without losing the completeness and representativeness of the information required by the server for analyzing and building statistics.

Технический результат настоящего изобретения заключается в обеспечении отправки критических данных на сервер.The technical result of the present invention is to provide sending critical data to the server.

Объектом настоящего изобретения является способ отправки критических данных на сервер, в котором разделяют на клиенте структуру данных, предназначенную для отправки серверу на подструктуру, содержащую критические данные (далее КД) и подструктуру, не содержащую КД. Подструктуру, содержащую КД, дополнительно разделяют на клиенте, по меньшей мере, на две подструктуры и отправляют полученные подструктуры последовательно на сервер через узел со средством преобразования, подструктуру, не содержащую КД, отправляют непосредственно на сервер в обход узла со средством преобразования. После получения подструктур их объединяют на сервере в единую структуру данных. Критические данные - это данные, в отношении которых закон государства, в юрисдикции которого находится клиент, или уполномоченный субъект накладывает ограничения на сбор, хранение, доступ, распространение и обработку. Критическими данными могут быть конфиденциальные данные ~ любые данные, охраняемые законом государства, в юрисдикции которого находится клиент, в частном случае такими данными являются персональные данные или специальные категории в терминологии GDPR или ФЗ РФ №152 от 27.07.2006.The object of the present invention is a method for sending critical data to a server, in which a data structure is divided on a client to be sent to a server on a substructure containing critical data (hereinafter DC) and a substructure that does not contain DC. The substructure containing the CD is additionally divided on the client into at least two substructures and the resulting substructures are sent sequentially to the server through the node with the transformation means, the substructure not containing the CD is sent directly to the server, bypassing the node with the transformation means. After receiving the substructures, they are combined on the server into a single data structure. Critical data is data in respect of which the law of the state in the jurisdiction of which the client is located or an authorized entity imposes restrictions on the collection, storage, access, distribution and processing. Critical data can be confidential data ~ any data protected by the law of the state in whose jurisdiction the client is located, in a particular case, such data are personal data or special categories in the terminology of the GDPR or the Federal Law of the Russian Federation No. 152 dated 27.07.2006.

Узел сети со средством преобразования может быть расположен в региональной сети отличной от региональной сети, в которой расположен сервер, и не находиться в одном Интранете с сервером или клиентом, также региональная сеть узла сети со средством преобразования и региональная сеть сервера могут располагаться в разных юрисдикциях. Региональная сеть может одновременно являться национальной сетью.The host with the transformer can be located in a regional network different from the regional network in which the server is located, and not be on the same Intranet with the server or client, and the regional network of the host with the transformer and the regional network of the server can be located in different jurisdictions. A regional network can simultaneously be a national network.

Средством преобразования узла преобразуют каждую подструктуру данных, проходящую через него, где преобразование может осуществляться последовательно по мере прохождения подструктур, также в частном случае оригинальная и преобразованная подструктура после преобразования на узле не сохраняются. В частном случае средство преобразования является средством анонимизации, само преобразование может осуществляться посредством шифрования.Each substructure of data passing through it is transformed by means of a node transformation, where the transformation can be carried out sequentially as the substructures are traversed; also, in a particular case, the original and transformed substructure are not saved on the node after transformation. In a particular case, the conversion tool is an anonymization tool; the conversion itself can be carried out by means of encryption.

В частном случае данные подструктуры, не содержащей КД, преобразуют средством преобразования с использованием методов ассиметричного шифрования, где открытый ключ передают клиенту, а закрытый ключ сохраняют на сервере.In a particular case, the data of the substructure, which does not contain the CD, is transformed by a conversion means using asymmetric encryption methods, where the public key is transmitted to the client, and the private key is stored on the server.

В другом частном случае осуществляют первичное преобразование подструктур данных на клиенте без возможности обратного преобразования данных средством преобразования, а средством преобразования осуществляют вторичное преобразование проходящей подструктуры данных без возможности обратного преобразования на сервере или клиенте.In another particular case, the primary transformation of the data substructures is carried out on the client without the possibility of reverse transformation of the data by the transformation means, and the transformation means performs the secondary transformation of the passing data substructure without the possibility of the inverse transformation on the server or client.

Краткое описание чертежейBrief Description of Drawings

Сопровождающие чертежи включены для обеспечения дополнительного понимания изобретения и составляют часть описания, показывают варианты осуществления изобретения и совместно с описанием необходимы для объяснения признаков изобретения.The accompanying drawings are included to provide a further understanding of the invention and form part of the description, show embodiments of the invention, and together with the description are necessary to explain the features of the invention.

Фиг. 1 - изображает систему маршрутизации данных в клиент-серверной архитектуре.FIG. 1 - depicts a data routing system in a client-server architecture.

Фиг. 2 - изображает вариант способа маршрутизации данных в клиент-серверной архитектуре с разделением структуры данных на подструктуры клиентом.FIG. 2 shows a variant of a method for routing data in a client-server architecture with dividing the data structure into substructures by the client.

Фиг. 3 - изображает вариант способа маршрутизации данных в клиент-серверной архитектуре при выполнении запроса с выделением в структуре данных подструктур средством анонимизации.FIG. 3 depicts a variant of the method for routing data in a client-server architecture when executing a request with the allocation of substructures in the data structure by means of anonymization.

Фиг. 4 - изображает вариант способа маршрутизации данных в клиент-серверной архитектуре с выделением в структуре данных подструктур клиентом.FIG. 4 depicts a variant of the method for routing data in a client-server architecture with the allocation of substructures in the data structure by the client.

Фиг. 5 - изображает вариант способа маршрутизации данных в клиент-серверной архитектуре при выполнении запроса с разделением структуры данных на подструктуры клиентом.FIG. 5 shows a variant of a method for routing data in a client-server architecture when executing a request with dividing the data structure into substructures by the client.

Фиг. 6а - изображает пример осуществления способа маршрутизации данных в клиент-серверной архитектуре при отправке данных (для построения статистики) с разделением структуры данных на подструктуры клиентом.FIG. 6a shows an example of an implementation of a method for routing data in a client-server architecture when sending data (for building statistics) with dividing the data structure into substructures by the client.

Фиг. 6б - изображает пример осуществления способа маршрутизации данных в клиент-серверной архитектуре при обнаружении целевой атаки на клиента на основании собранной информации способом по Фиг. 6а.FIG. 6b shows an example of a method for routing data in a client-server architecture upon detection of a targeted attack on a client based on the collected information by the method of FIG. 6a.

Фиг. 7 - изображает пример осуществления способа маршрутизации данных в клиент-серверной архитектуре при выполнении запроса с выделением в структуре данных подструктур средством анонимизации.FIG. 7 shows an example of an implementation of a method for routing data in a client-server architecture when executing a request with the allocation of substructures in the data structure by means of anonymization.

Фиг. 8 - изображает пример осуществления способа маршрутизации данных в клиент-серверной архитектуре с выделением в структуре данных подструктур клиентом.FIG. 8 depicts an example of an implementation of a method for routing data in a client-server architecture with the allocation of substructures in the data structure by the client.

Фиг. 9 - изображает пример осуществления способа маршрутизации данных в клиент-серверной архитектуры при выполнении запроса с разделением структуры данных на подструктуры клиентом.FIG. 9 shows an example of an implementation of a method for routing data in a client-server architecture when executing a request with dividing a data structure into substructures by a client.

Фиг. 10 - изображает систему анонимного обмена данными в клиент-серверной архитектуре.FIG. 10 depicts an anonymous data exchange system in a client-server architecture.

Фиг. 11 - изображает вариант способа обмена данными в клиент-серверной архитектуре, который используется для получения данных от клиентов для построения статистики на стороне сервера.FIG. 11 depicts a variant of a data exchange method in a client-server architecture, which is used to receive data from clients for building statistics on the server side.

Фиг. 12 - изображает вариант способа обмена данными, который используется при выполнении запроса клиента к серверу.FIG. 12 depicts a variant of the data exchange method used when making a client request to a server.

Фиг. 13 - изображает пример осуществления способа обмена данными, при выполнении запроса клиента к серверу.FIG. 13 depicts an example of the implementation of the method of data exchange when performing a client request to the server.

Фиг. 13а - изображает пример осуществления способа обмена данными, при выполнении запроса клиента к серверу в асинхронном режиме.FIG. 13a depicts an example of the implementation of the method of data exchange when executing a client request to the server in asynchronous mode.

Фиг. 14 - изображает вариант способа передачи критических данных в клиент-серверной архитектуре.FIG. 14 depicts an embodiment of a method for transmitting critical data in a client-server architecture.

Фиг.14а - изображает пример осуществления способа передачи критических данных в клиент-серверной архитектуре.14a shows an example of a method for transmitting critical data in a client-server architecture.

Фиг. 15 - изображает пример компьютерной системы общего назначения.FIG. 15 depicts an example of a general purpose computer system.

Осуществление изобретенияImplementation of the invention

На Фиг. 1 изображена система маршрутизации данных между клиентом и сервером. Система включает клиент, сервер, узел сети со средством анонимизации. Сервер является частью облачной инфраструктуры (на фигуре не изображена), а клиент - это устройство пользователя. Узел со средством анонимизации расположен в региональной сети¹ (¹ Географически рассредоточенная сеть, коммуникационными средствами объединяющая в единое целое компьютеры в разных пунктах, совокупность региональных сетей образует глобальную сеть.) отличной от региональной сети, в которой расположен сервер² (² Это позволяет располагать элементы системы в независимых юрисдикциях) и, не находится в одном Интранете³ (³ ГОСТ Ρ ИСО 9241-151-2014) с сервером или клиентом. При этом в рамках данного изобретения разные региональные сети не только географически разнесены, но и находятся в разных юрисдикциях, поэтому, очевидно, в рамках данного изобретения разными региональными сетями могут быть в том числе, сети объединяющие узлы стран (национальные сети). Например, из Фиг. 1:FIG. 1 depicts a data routing system between a client and a server. The system includes a client, a server, a network node with an anonymization tool. The server is part of the cloud infrastructure (not shown) and the client is the user's device. The node with the anonymization means located in the regional network ¹ ⁽¹ geographically dispersed network, communication means integrates computers in different locations, a plurality of regional networks forming a global network.) Other than the regional network, wherein the server machine ² ⁽² This allows the positioning elements systems in independent jurisdictions) and is not in the same Intranet ³ ( ³ GOST Ρ ISO 9241-151-2014) with a server or client. Moreover, within the framework of this invention, different regional networks are not only geographically dispersed, but also located in different jurisdictions, therefore, obviously, within the framework of this invention, different regional networks can be, among other things, networks that unite nodes of countries (national networks). For example, from FIG. 1:

• региональная сеть 1 - сеть США;• regional network 1 - US network;

• региональная сеть 2 - сеть Германии/ЕС;• regional network 2 - Germany / EU network;

• региональная сеть 3 - сеть Российской Федерации.• regional network 3 - the network of the Russian Federation.

Глобальная сеть по Фиг. 1 это совокупность всех региональных сетей - мировая сеть - Интернет. В терминологии GDPR, например, региональная сеть РФ, в которой расположен сервер, будет считаться региональной сетью третьей страны.The global network of FIG. 1 is a collection of all regional networks - the world network - the Internet. In GDPR terminology, for example, the regional network of the Russian Federation in which the server is located will be considered the regional network of a third country.

В частном случае региональная сеть узла со средством анонимизации отлична также и от региональной сети клиента. Стрелки на Фиг. 1 отходят от сети, а не от клиента, так как в общем случае виден внешний IP-адрес за счет функционирования технологий сокрытий внутренних адресов, в частности: Proxy, NAT.In a particular case, the regional network of the node with the means of anonymization is also different from the regional network of the client. The arrows in FIG. 1 depart from the network, and not from the client, since in the general case the external IP address is visible due to the functioning of technologies for hiding internal addresses, in particular: Proxy, NAT.

Клиент содержит средство модификации, предназначенное для разделения структур данных (которые формируются для отправки от клиента серверу) на подструктуры и выбора маршрута для полученных подструктур. Критерии разделения структуры данных на подструктуры могут быть различными, одним из таких критериев является наличие персональных данных (англ. Personal Identification Information) или их специальных категорий (по терминологии GDPR), при котором структура данных разделяется таким образом, что одна подструктура содержит персональные данные (далее ПДн, англ. PII) или их специальные категории, другая подструктура включает данные, не являющиеся персональными. Отношение данных к персональным определяется, например, законодательством страны, в юрисдикции которой находится пользователь, использующий устройство, являющееся в описываемой системе клиентом. Другими словами, по местоположению источника данных. Другим более общим критерием является наличие критических данных. К критическим данным (англ. critical data) относят данные, в отношении которых закон или уполномоченный субъект накладывает ограничения на сбор, хранение, доступ, распространение и обработку. Эти данные, как правило, чувствительны к разглашению, распространению, утечке, так как возникновение этих событий приводит к нарушению прав и охраняемых законом интересов субъектов и предусматривает ответственность для субъектов допустивших нарушения правил сбора, хранения, доступа, обработки предъявляемым к таким данным. Частным случаем критических данных являются конфиденциальные данные⁴ (⁴ или конфиденциальной информации, в рамках данной заявки конфиденциальные данные и конфиденциальная информация синонимы) (англ. sensitive data). Под конфиденциальными данными понимаются данные, которые охраняются в соответствии с законодательством страны, в юрисдикции которой находится пользователь, использующий устройство, являющееся в описываемой системе клиентом. К конфиденциальным данным в частном случае относятся персональные данные (ПДн) и данные содержащие:The client contains a modification tool designed to divide the data structures (which are formed to be sent from the client to the server) into substructures and select a route for the received substructures. The criteria for dividing the data structure into substructures can be different, one of these criteria is the presence of personal data (Personal Identification Information) or their special categories (in GDPR terminology), in which the data structure is divided in such a way that one substructure contains personal data ( hereinafter PD, English PII) or their special categories, another substructure includes data that is not personal. The relationship of data to personal is determined, for example, by the legislation of the country in the jurisdiction of which the user is using the device, which is the client in the described system. In other words, by the location of the data source. Another more general criterion is the availability of critical data. Critical data refers to data in respect of which the law or an authorized entity imposes restrictions on the collection, storage, access, distribution and processing. These data, as a rule, are sensitive to disclosure, distribution, leakage, since the occurrence of these events leads to a violation of the rights and legally protected interests of subjects and provides for liability for subjects who have violated the rules for collecting, storing, accessing, processing such data. A special case of critical data is confidential data ⁴ ( ⁴ or confidential information, within the framework of this application, confidential data and confidential information are synonyms) (English sensitive data). Confidential data means data that is protected in accordance with the legislation of the country in the jurisdiction of which the user is using the device, which is the client in the described system. In a particular case, confidential data includes personal data (PD) and data containing:

• коммерческую тайну;• commercial secrets;

• налоговую тайну;• tax secrets;

•банковскую тайну;• bank secrecy;

• врачебную тайну;• medical confidentiality;

• нотариальную тайну;• notarial secret;

• адвокатскую тайну;• attorney-client privilege;

• аудиторскую тайну;• audit secrecy;

• тайну связи;• communication secrecy;

• тайну страхования;• secrecy of insurance;

• тайну завещания;• secret of the will;

• тайну усыновления;• secret of adoption;

• тайну исповеди;• the secret of confession;

• тайну следствия;• secrecy of the investigation;

• тайну судопроизводства;• secrecy of legal proceedings;

• сведения о защищаемых лицах• information about protected persons

• государственную тайну.• state secrets.

Средство анонимизации предназначено для преобразования и обратного преобразования подструктур, маршрут которых проходит через узел со средством анонимизации. Под преобразованием подструктур в частном случае понимают преобразование данных, которые содержит подструктура. В частном случае способами преобразования данных подструктур являются:The anonymizer is designed to transform and reverse transform substructures that route through the node with the anonymizer. In a special case, transformation of substructures is understood as the transformation of data that contains a substructure. In a particular case, the methods for transforming these substructures are:

• квантование;• quantization;

• сортировка;• sorting;

• слияние (склеивание);• merging (gluing);

• группировка;• grouping;

• настройка набора данных;• setting up a dataset;

• табличная подстановка значений;• table substitution of values;

• вычисляемые значения;• calculated values;

• кодирование данных;• data coding;

• шифрование;• encryption;

• нормализация (масштабирование).• normalization (scaling).

Некоторые виды преобразования могут применяться не только к отдельным данным в подструктуре, но и к подструктуре в целом, например, токенизация и/или шифрование. При этом преобразование в частном случае осуществляется без возможности обратного преобразования⁵ (⁵ под обратным преобразованием понимается преобразование, позволяющее восстановить исходную форму объекта преобразования (данных, подструктуры) до преобразования) любыми средствами кроме средства анонимизации узла. Под преобразованием в общем случае понимается отображение (функция) множества в себя, или другими словами, преобразованиями называют отображения, переводящие некоторое множество в другое множество⁶ (⁶ Математический энциклопедический словарь. - М., 1988. - С.487).Some types of transformations can be applied not only to individual data in the substructure, but also to the substructure as a whole, for example, tokenization and / or encryption. In this case, the transformation in a particular case is carried out without the possibility of the inverse transformation ⁵ ( ⁵ under the inverse transformation is understood the transformation that allows you to restore the original form of the transformation object (data, substructure) before transformation) by any means other than the means of anonymizing the node. In the general case, a transformation means a mapping (function) of a set into itself, or in other words, transformations are called mappings that transfer a set to another set ⁶ ( ⁶ Mathematical Encyclopedic Dictionary. - M., 1988. - P.487).

Подструктура от одного и того же клиента средством анонимизации может преобразовываться одним и тем же способом или разными способами. Если преобразование осуществляется одним и тем же способом, то преобразованная подструктура или данные подструктуры от одного и того же клиента будут выглядеть идентично, в противном случае будут отличаться и построить статистику по одному клиенту (выполнить профилирование) будет невозможно.A substructure from the same client can be transformed by the anonymization tool in the same way or in different ways. If the transformation is carried out in the same way, then the transformed substructure or substructure data from the same client will look identical, otherwise they will be different and it will be impossible to build statistics for one client (profiling).

Сервер содержит средство объединения, предназначенное для объединения разделенной на клиенте структуры данных. Объединение возможно осуществить, например, на основании уникальных идентификаторов, которые присваиваются каждой подструктуре при разделении и идентичны для подструктур одной структуры. Средство объединения получает подструктуры, приходящие к серверу по разным сетевым маршрутам, и объединяет в структуру. Структура, очевидно, будет отлична от оригинальной, разделенной на клиенте, по причине того, что подструктуры, прошедшие через узел со средством анонимизации, будут преобразованы упомянутым средством. Полученная структура может сохраняться в базе данных (на фигурах не указана).The server contains a federator for combining a client-partitioned data structure. The union can be carried out, for example, on the basis of unique identifiers that are assigned to each substructure during division and are identical for substructures of one structure. The combiner receives substructures coming to the server via different network routes and combines them into a structure. The structure, obviously, will be different from the original, split on the client, because the substructures passing through the node with the anonymizer will be transformed by the said tool. The resulting structure can be stored in a database (not shown in the figures).

В частном случае средство анонимизации получает от клиента структуру, не разделенную на подструктуры средством модификации клиента (например, структуру запроса к серверу), в таком случае для передачи серверу средство анонимизации выделяет в полученной структуре подструктуры, содержащие ПДн, и осуществляет преобразование данных подструктур, примеры указаны ниже.In a particular case, the anonymization tool receives from the client a structure that is not divided into substructures by the client modification tool (for example, the structure of a request to the server), in this case, for transmission to the server, the anonymization tool selects substructures containing PD in the received structure and converts the substructures data, examples are listed below.

Описанная система используется для анонимизации запросов, отправляемых серверу и ответов на эти запросы, отправляемых клиенту, а также для получения данных от клиентов, которые используются для построения статистики. На Фиг. 2 изображен способ маршрутизации данных в клиент-серверной архитектуре, который в частном случае используется для получения данных от клиентов для построения статистики. На этапе 200 средством модификации разделяют структуру, предназначенную для отправки серверу в соответствии с критериями, одним из таких критериев может являться наличие ПДн в структуре, в результате разделения получают подструктуру, содержащую ПДн (на Фиг. 2 для примера это подструктура 1) и не содержащую ПДн (на Фиг. 2 это, соответственно, подструктура 2). Здесь и далее для примера в качестве критерия будет использоваться наличие ПДн, а не наличие критических или конфиденциальных данных, хотя что справедливо для ПДн, справедливо и для критических или конфиденциальных данных в общем в примерах осуществления изобретения, в рамках данной заявки. В частном случае подструктур первого и второго вида может быть больше чем одна, как и критериев по которым осуществляется разделение. На этапе 210 средство модификации отправляет полученные подструктуры серверу, при этом отправка осуществляется по разным маршрутам (маршрут А и маршрут В), где один из маршрутов включает узел сети со средством анонимизации (маршрут А), расположенный в региональной сети отличной от сети, которой расположен сервер и, не находящийся в одном Интранете с сервером или клиентом. Когда одна из подструктур, предназначенная для отправки серверу, содержит ПДн, она направляется к серверу через узел со средством анонимизации (маршрут А). Далее на этапе 220 подструктуры, проходящие через узел со средством анонимизации, преобразуются указанным средством и передаются далее серверу (этап 221) в преобразованном виде. В общем случае подструктуры от одного и того же клиента в разные моменты времени преобразуются различно (например ID Клиента ->AnonymizedID1 ≠ AnonymizedID2 ≠ AnonymizedID3 и т.д.), это относится ко всем примерам, но в частном случае, когда для некоторых систем безопасности необходимо накопить информацию (построить статистику) по определенному клиенту для подструктуры от одного и того же клиента, преобразование будет идентично (например ID Клиента ->AnonymizedID1=AnonymizedID2=AnonymizedID3 и т.д.). В заключении на этапе 230 полученные от клиента подструктуры объединяются в структуру (Структура’). Очевидно, что итоговая структура (Структура’) отличается от исходной, так как, по меньшей мере, одна подструктура был преобразована средством анонимизации. Итоговая структура в базе данных и будет использоваться средствами инфраструктуры⁷ (⁷ Средства и база данных на данной фигуре не указаны. Отдельные элементы инфраструктуры, такие как средство обработки запроса и средство обнаружения атаки указаны на других фигурах) на стороне сервера. Преобразование подструктур и/или данных подструктур средством анонимизации выполняется способом, исключающим возможность обратного преобразования подструктур и/или данных подструктур любыми средствами, отличными от средств узла сети со средством анонимизации.The described system is used to anonymize requests sent to the server and responses to these requests sent to the client, as well as to receive data from clients that are used to build statistics. FIG. 2 shows a method for routing data in a client-server architecture, which in a particular case is used to receive data from clients to build statistics. At step 200, the modifier separates the structure to be sent to the server in accordance with the criteria, one of such criteria may be the presence of PD in the structure, as a result of the separation, a substructure is obtained containing PD (in Fig. 2, for example, this is a substructure 1) and not containing PD (in Fig. 2, this is, respectively, substructure 2). Hereinafter, for example, the presence of PD will be used as a criterion, and not the presence of critical or confidential data, although what is true for PD is also true for critical or confidential data in general in the examples of the invention, within the framework of this application. In a particular case, there can be more than one substructures of the first and second types, as well as the criteria by which the separation is carried out. At step 210, the modifier sends the received substructures to the server, while sending is carried out along different routes (route A and route B), where one of the routes includes a network node with an anonymization means (route A) located in a regional network different from the network that is located a server that is not on the same Intranet as a server or client. When one of the substructures intended to be sent to the server contains PD, it is sent to the server through a node with an anonymization tool (route A). Next, at step 220, the substructures passing through the node with the anonymization means are transformed by the specified means and transmitted further to the server (step 221) in the transformed form. In general, substructures from the same client at different times are transformed differently (for example, Client ID -> AnonymizedID1 ≠ AnonymizedID2 ≠ AnonymizedID3, etc.), this applies to all examples, but in a particular case, when for some security systems it is necessary to accumulate information (build statistics) on a specific client for a substructure from the same client, the conversion will be identical (for example, Client ID -> AnonymizedID1 = AnonymizedID2 = AnonymizedID3, etc.). Finally, at step 230, the sub-structures received from the client are combined into a structure (Structure '). Obviously, the final structure (Structure ') is different from the original one, since at least one substructure has been transformed by the anonymization tool. The resulting structure is in the database and will be used by infrastructure ⁷ ( ⁷ Tools and database are not shown in this figure. Individual infrastructure elements such as request processing and attack detection are shown in other figures) on the server side. Transformation of substructures and / or data of substructures by means of anonymization is performed in a way that excludes the possibility of reverse transformation of substructures and / or data of substructures by any means other than means of a host with an anonymization means.

На Фиг. 3 изображен способ маршрутизации, который в частном случае используется при выполнении запроса клиента к серверу. На этапе 300 сформированный на клиенте запрос отправляют средством модификации от клиента к серверу, при этом маршрут включает узел сети со средством анонимизации, расположенный в региональной сети отличной от сети, которой расположен сервер и, не находящийся в одном Интранете с сервером или клиентом. В частном случае часть данных запроса (не содержащая конфиденциальные данные) может быть преобразована средством модификации на клиенте, при этом преобразование может быть выполнено таким образом, чтобы средством анонимизации было невозможно выполнить обратное преобразование (этап 311 на Фиг. 4) и обратное преобразование возможно выполнить только средствами сервера (этап 325 на Фиг. 4)⁸ (⁸ такую возможность может предоставить в частности асимметричное шифрование, когда клиент имеет открытый ключ, а сервер закрытый ключ). Далее на этапе 310 средством анонимизации выделяют в структуре данных запроса, предназначенной для отправки серверу, подструктуры, в соответствии с критериями, одним из таких критериев может являться наличие ПДн, в результате выделения получают подструктуру, содержащую ПДн (на Фиг. 3, по аналогии с предыдущим примером, это подструктура 1) и не содержащую ПДн (на Фиг. 3 это подструктура 2). На этапе 320 средством анонимизации осуществляют преобразование⁹ (⁹ если не указано иное при использовании понятия преобразование понимается именно прямое преобразование) (прямое преобразование из оригинальных к преобразованным) подструктуры данных (и/или данных в подструктуре), содержащей ПДн, средством анонимизации и полученную структуру данных запроса с преобразованной подструктурой, содержащей ПДн, отправляют серверу (этап 321). На полученный запрос сервером на этапе 330 формируют ответ, средством обработки запроса. При этом, в отношении тех данных запроса, которые в частном случае могли быть преобразованы клиентом сервер выполняет предварительно обратное преобразование (этап 325 на Фиг. 4). Структура данных ответа на запрос, в нашем примере с ПДн содержит подструктуры:FIG. 3 shows the routing method, which is used in a particular case when making a request from a client to a server. At step 300, the request generated on the client is sent by the modifier from the client to the server, and the route includes a network node with an anonymization tool located in a regional network different from the network that the server is located on and not on the same Intranet with the server or client. In a particular case, a part of the request data (not containing confidential data) can be transformed by a modification means on the client, and the transformation can be performed in such a way that the anonymizing means cannot perform the inverse transformation (step 311 in Fig. 4) and the inverse transformation can be performed only by means of the server (step 325 in Fig. 4) ⁸ ( ⁸ such a possibility can be provided in particular by asymmetric encryption, when the client has a public key, and the server has a private key). Next, at step 310, the anonymization means in the request data structure intended to be sent to the server, the substructures, in accordance with the criteria, one of such criteria may be the presence of PD, as a result of the selection, a substructure containing PD is obtained (in Fig. 3, by analogy with the previous example, this is a substructure 1) and does not contain PD (in Fig. 3 it is a substructure 2). At step 320, the anonymization means transform ⁹ ( ⁹ unless otherwise indicated when using the concept of transformation, it is the direct transformation that is understood) (direct transformation from the original to the transformed) data substructure (and / or data in the substructure) containing PD, the anonymization means and the resulting structure request data with the transformed substructure containing the PD is sent to the server (step 321). To the received request by the server at step 330, a response is generated by the request processing means. In this case, with respect to those request data that in a particular case could be transformed by the client, the server performs a preliminary reverse transformation (step 325 in Fig. 4). The data structure of the response to the request, in our example with PD, contains substructures:

• содержащие ПДн преобразованные средством анонимизации (подструктура 1’, извлеченная из структуры запроса);• containing PD converted by means of anonymization (substructure 1 ', extracted from the request structure);

• не содержащие ПДн (подструктура 3, содержащая тело ответа на запрос или полезную нагрузку ответа¹⁰ (¹⁰ от англ. Payload).• not containing PD (substructure 3, containing the body of the response to the request or the payload of the response ¹⁰ ( ¹⁰ from the English Payload).

При этом данные, не содержащие ПДн (подструктура 3), могут быть преобразованы (прямое преобразование) без возможности обратного преобразования средством анонимизации (подструктура 3’) это осуществляется на этапе 340. Обратное преобразование этих данных может быть выполнено только средством модификации клиента¹¹ (¹¹ такую возможность может предоставить, в частности, асимметричное шифрование, где сервер имеет открытый ключ, а клиент закрытый ключ), на этапе 350 отправляют полученную структуру данных ответа на запрос от сервера узлу сети со средством анонимизации. Средством анонимизации на этапе 360 осуществляют обратное преобразование подструктур данных ответа на запрос, содержащих ПДн (подструктура 1’). Обратное преобразование выполняют в отношении тех данных, которые были преобразованы на этапе 320 (обратное преобразование из преобразованных данных к оригинальным данным, содержащимися в запросе от клиента изначально). Полученную структуру данных перенаправляют клиенту (этап 370) и средством модификации клиента на этапе 380 осуществляют обратное преобразование подструктур данных ответа на запрос, не содержащих ПДн, преобразованных сервером на этапе 340.In this case, data that does not contain PD (substructure 3) can be transformed (direct transformation) without the possibility of reverse transformation by means of anonymization (substructure 3 '), this is done at step 340. The reverse transformation of this data can be performed only by means of modification of the client ¹¹ ( ¹¹ such a possibility can be provided, in particular, by asymmetric encryption, where the server has a public key, and the client has a private key), at step 350, the received data structure of the response to a request from the server is sent to a network node with an anonymization means. By means of anonymization, at step 360, the inverse transformation of the substructures of the response data containing PDs (substructure 1 ') is performed. The inverse transformation is performed on the data that was transformed in step 320 (inverse transformation from the transformed data to the original data contained in the request from the client initially). The resulting data structure is redirected to the client (step 370), and the client modification means, in step 380, inversely transforms the substructures of the request response data that do not contain PDs converted by the server in step 340.

Фиг. 4 изображает вариант способа, изображенного на Фиг. 3, но в этом варианте этап 310 по выделению подструктур осуществляют не средством анонимизации, а средством модификации клиента, с последующим преобразованием подструктуры на этапе 311. Где по аналогии с вариантом на Фиг. 3 преобразованию подвергают подструктуру, не содержащую ПДн (подструктура 2). Поэтому этап 300’ на Фиг. 4 отличается от аналогичного этапа 300 способа на Фиг. 3 тем, что передают не оригинальную структуру данных запроса узлу со средством анонимизации, а преобразованную, после выполнения этапов 310 и 311. Соответственно в данном варианте добавляется этап 325, где выполняют предварительно обратное преобразование подструктуры (в нашем примере это подструктура 2', не содержащая ПДн) преобразованной на этапе 311, прежде чем выполнить этап 330.FIG. 4 depicts a variant of the method shown in FIG. 3, but in this embodiment, the step 310 for extracting the substructures is performed not by the anonymization means, but by the client modification means, followed by the transformation of the substructure in step 311. Where, by analogy with the embodiment in FIG. 3, a substructure that does not contain PD is subjected to transformation (substructure 2). Therefore, step 300 'in FIG. 4 differs from the analogous step 300 of the method in FIG. 3 in that they transfer not the original request data structure to the node with the anonymization means, but the transformed one, after executing steps 310 and 311. Accordingly, in this embodiment, step 325 is added, where a preliminary inverse transformation of the substructure is performed (in our example, this is a substructure 2 'that does not contain PD) converted in step 311 before performing step 330.

Фиг. 5 изображает вариант способа маршрутизации данных в клиент-серверной архитектуре, в которой этапы с 200 по 230 аналогичны этапам способа, изображенного на Фиг. 2, а этапы с 300 по 380 аналогичны этапам способа, изображенного на Фиг. 3. В частном случае подструктура 2 перед отправкой напрямую серверу может быть предварительно преобразована, по аналогии с шагом 311 на Фиг. 4, тогда в изображении способа помимо этапа 311 добавляется этап 325.FIG. 5 depicts an embodiment of a method for routing data in a client-server architecture in which steps 200 through 230 are similar to the steps of the method shown in FIG. 2, and steps 300 through 380 are similar to the steps of the method shown in FIG. 3. In a particular case, the substructure 2 can be pre-transformed before being sent directly to the server, by analogy with step 311 in FIG. 4, then step 325 is added in the method image in addition to step 311.

В частном случае во всех реализациях способа, изображенных на Фиг. 3 - Фиг. 5, структура данных, отправляемая клиенту узлом со средством анонимизации на этапе 370 не содержит подструктуры данных с ПДн (в наших примерах это подструктура 1). Данную подструктуру необходимо сохранять до этого этапа, чтобы определить адресата ответа, далее в частном случае в ней нет необходимости.In a particular case, in all implementations of the method shown in FIG. 3 to FIG. 5, the data structure sent to the client by the node with the anonymization tool at block 370 does not contain a substructure of data with PD (in our examples, this is substructure 1). This substructure must be saved up to this stage in order to determine the addressee of the response, then, in a particular case, it is not necessary.

Фиг. 6а изображает пример работы способа, изображенного на Фиг.2. Устройство с клиентом подключено к системе удаленного детектирования целевых атак, находящейся на стороне сервера, поэтому от клиента необходимо: получать информацию об обнаруженных в разное время файлах с вредоносным кодом (вредоносных файлах) и на основании полученной информации строить статистику (часто в соответствии с национальным законодательством о персональных данных это еще необходимо делать анонимно). При обнаружении нескольких определенных вредоносных файлов¹² (¹² информация о которых получена от клиента) на сервере делают вывод обнаружении целевой атаки на клиента.FIG. 6a shows an example of the operation of the method shown in FIG. 2. The device with the client is connected to a remote detection system for targeted attacks located on the server side, so the client must: receive information about files with malicious code (malicious files) detected at different times and build statistics based on the information received (often in accordance with national legislation about personal data, this still needs to be done anonymously). Upon detection of several specific malicious files ¹² ( ¹² information about which was received from the client), the server concludes that a targeted attack on the client has been detected.

Для отправки серверу информации об обнаруженном вредоносном файле (в рассматриваемом примере информация о файле это MD5 файла) формируют структуру данных, которая включает ID клиента и MD5 обнаруженного вредоносного файла. На этапе 200 средство модификации разделяет сформированную структуру, предназначенную для отправки серверу на подструктуры, в результате разделения получают подструктуру, содержащую ID клиента и подструктуру, содержащую MD5 файла, чтобы понимать, частью какой структуры являются подструктуры им присваивается идентификатор (на фигуре идентификатор отмечен как StructureID). На этапе 210 средство модификации клиента отправляет полученные подструктуры серверу, при этом отправка осуществляется по разным маршрутам (маршруту А и маршруту В), где один из маршрутов (маршрут А) включает узел сети со средством анонимизации, расположенный в региональной сети отличной от сети, которой расположен сервер и, не находящийся в одном Интранете с сервером или клиентом. Подструктура, содержащая ID клиента, направляется к серверу через узел со средством анонимизации (маршрут А). На этапе 220 средством анонимизации осуществляют преобразование ID клиента, где ID клиента сохраняется на узле, а в подструктуре его замещает токен AnonymizedID (в частном случае ID Клиента может быть зашифрован). Полученную подструктуру, отправляют серверу (этап 221). В заключении на этапе 230 полученные от клиента подструктуры объединяются в структуру. Очевидно, что итоговая структура отличается от исходной, так как, по меньшей мере, одна подструктура был преобразована средством анонимизации. Итоговая структура сохраняется на сервере (или в любой базе данных инфраструктуры к которой принадлежит сервер) и будет использоваться сервером для накопления информации (на фигуре обозначена как STATISTICS) по клиенту от которого получена структура. На этапе 240 накопленная информация будет использоваться средством обнаружения атак и если средством будет обнаружена атака, то на этапе 250 средством сформируют структуру содержащую подструктуру с AnonymizedID и подструктуру, содержащую информацию об атаке (на фигуре обозначена как AttackID), полученная структура будет направлена клиенту для уведомления об атаке.To send information about the detected malicious file to the server (in this example, the information about the file is the MD5 file), a data structure is formed that includes the client ID and MD5 of the detected malicious file. At step 200, the modifier divides the generated structure to be sent to the server into substructures, as a result of the division, a substructure containing the client ID and a substructure containing the MD5 of the file is obtained in order to understand which structure the substructures are part of, they are assigned an identifier (in the figure, the identifier is marked as StructureID ). At step 210, the client modifier sends the received substructures to the server, while sending is carried out along different routes (route A and route B), where one of the routes (route A) includes a network node with an anonymization means located in a regional network different from the network, which the server is located and is not on the same Intranet with the server or client. The substructure containing the client ID is routed to the server via the anonymizer node (route A). At step 220, the anonymization means transforms the client ID, where the client ID is stored on the node, and the AnonymizedID token replaces it in the substructure (in the particular case, the Client ID can be encrypted). The resulting substructure is sent to the server (step 221). Finally, at step 230, the sub-structures received from the client are merged into a structure. Obviously, the resulting structure is different from the original, since at least one substructure has been transformed by the anonymization tool. The resulting structure is stored on the server (or in any database of the infrastructure to which the server belongs) and will be used by the server to accumulate information (in the figure it is designated as STATISTICS) about the client from which the structure was received. At step 240, the accumulated information will be used by the attack detection tool, and if the tool detects an attack, then at step 250, the tool will form a structure containing a substructure with AnonymizedID and a substructure containing information about the attack (denoted as AttackID in the figure), the resulting structure will be sent to the client for notification about the attack.

Пример способа отправки изображен на Фиг. 6б, этапы с 340 по 380 аналогичны этапам из примера, изображенного на Фиг. 8. В частном случае информация об атаке может не преобразовываться, а отправляться в открытом виде, тогда в примере будут отсутствовать этапы 340 и 380.An example of a sending method is shown in FIG. 6b, steps 340 through 380 are similar to steps from the example shown in FIG. 8. In a special case, the information about the attack may not be transformed, but sent in the clear, then in the example steps 340 and 380 will be absent.

На Фиг. 7 изображен другой пример работы описанного изобретения. На устройстве с клиентом обнаружен новый файл, который необходимо проверить на наличие вредоносного кода средствами сервера. Для этого необходимо отправить серверу информацию о файле, в рассматриваемом примере это MD5 файла, для этого клиент формирует структуру запроса. Для того чтобы серверу знать кому отправлять ответ в структуру данных запроса вставляется ID клиента, таким образом структура данных запроса включает ID клиента и MD5 файла. На этапе 300 сформированный на клиенте запрос отправляется средством модификации к серверу, при этом маршрут включает узел сети со средством анонимизации, расположенный в региональной сети отличной от сети, которой расположен сервер и, не находящийся в одном Интранете с сервером или клиентом. Далее на этапе 310 средством анонимизации выделяют в структуре, предназначенной для отправки серверу, подструктуры, в результате выделения получают подструктуру, содержащую ID клиента и подструктуру, содержащую MD5 файла. На этапе 320 средством анонимизации осуществляют преобразование ID клиента, где ID клиента сохраняется на узле, а в подструктуре его замещает токен AnonymizedID (в частном случае ID клиента может быть зашифрован). Полученную структуру данных запроса с преобразованной подструктурой, отправляют серверу (этап 321). На полученный запрос на этапе 330 формируют ответ средством обработки запроса сервера. Средство обработки запроса извлекает из структуры MD5 файла и выдает вердикт, например, BAD (файл вредоносный). Структура данных ответа на запрос содержит подструктуры:FIG. 7 depicts another example of the operation of the described invention. A new file has been found on the device with the client, which must be scanned for malicious code by means of the server. To do this, it is necessary to send the server information about the file, in this example it is the MD5 file, for this the client forms the request structure. In order for the server to know who to send the response to, the client ID is inserted into the request data structure, so the request data structure includes the client ID and the MD5 file. At step 300, the request generated on the client is sent by the modifier to the server, and the route includes a network node with an anonymization tool located in a regional network different from the network on which the server is located and not on the same Intranet with the server or client. Next, at step 310, the anonymizing means extracts substructures in the structure to be sent to the server, and as a result of the selection, a substructure containing the client ID and a substructure containing the MD5 of the file are obtained. At step 320, the anonymization means transforms the client ID, where the client ID is stored on the node, and the AnonymizedID token replaces it in the substructure (in the particular case, the client ID can be encrypted). The resulting query data structure with the transformed substructure is sent to the server (step 321). To the received request, at step 330, a response is generated by the server request processing means. The request processing tool extracts the MD5 file from the structure and issues a verdict, for example, BAD (file malicious). The request response data structure contains substructures:

• содержащую токен AnonymizedID (или зашифрованный средством анонимизации ID клиента);• containing the AnonymizedID token (or the client's ID encrypted by means of anonymization);

• содержащую вердикт для файла (MD5-BAD).• containing the verdict for the file (MD5-BAD).

При этом вердикт на этапе 340 преобразуют средствами сервера без возможности обратного преобразования средством анонимизации, например, зашифровав открытым ключом (на фигуре преобразованный вердикт отмечен как EncryptedVer), закрытый ключ хранится на клиенте и обратное преобразование может быть выполнено только средством модификации клиента. На этапе 350 отправляют полученную структуру данных ответа на запрос от сервера узлу сети со средством анонимизации. Средством анонимизации на этапе 360 осуществляют обратное преобразование подструктуры данных ответа на запрос, содержащую токен AnonymizedID, средством анонимизации, где в случае с токеном, токен заменяется на сохраненный ранее ID клиента, в случае если ID клиента был зашифрован, то он расшифровывается. Таким образом преобразование выполняют в отношении тех данных, которые были преобразованы на этапе 320. Полученную структуру данных перенаправляют клиенту (этап 370) и средством модификации клиента на этапе 380 осуществляют обратное преобразование вердикта, преобразованного сервером на этапе 340, в нашем случае расшифровывают при помощи закрытого ключа. В частном случае AnonymizedID для одного и того же ID Клиента, но в разных отправках будут отличаться.In this case, the verdict at step 340 is transformed by the server's means without the possibility of reverse transformation by means of anonymization, for example, by encrypting it with the public key (in the figure, the transformed verdict is marked as EncryptedVer), the private key is stored on the client and the reverse transformation can only be performed by the client modification means. At step 350, the received data structure of the response to the request from the server is sent to the network node with the anonymization tool. By means of anonymization, at step 360, the substructure of the response to the request containing the AnonymizedID token is reversely transformed by the means of anonymization, where, in the case of a token, the token is replaced with the previously stored client ID; if the client ID was encrypted, it is decrypted. Thus, the transformation is performed with respect to the data that was transformed at step 320. The resulting data structure is redirected to the client (step 370) and the client modification means at step 380 reverse-transform the verdict converted by the server at step 340, in our case, decrypt using a private key. In a particular case, AnonymizedID for the same Client ID, but in different shipments will be different.

Фиг. 8 изображает вариант примера, изображенного на Фиг. 7, в этом варианте этап 310 по выделению подструктур осуществляет не средство анонимизации, а средство модификации клиента с последующим преобразование подструктуры, хранящей информацию о файле (MD5 файла) путем шифрования открытым ключом (на фигуре преобразованная информация о файле отмечена как EncryptedMD5) закрытый ключ хранится на сервере и обратное преобразование может быть выполнено только на сервере. Таким образом этап 300’ примера на Фиг. 8 отличается от аналогичного этапа примера на Фиг.7 тем, что передают не оригинальную структуру запроса узлу со средством анонимизации, а преобразованную, после выполнения этапов 310 и 311. Соответственно поэтому добавляется этап 325, где выполняется предварительно, прежде чем выполнить этап 330, обратное преобразование зашифрованной информации о файле путем ее расшифровки при помощи закрытого ключа.FIG. 8 depicts a variant of the example shown in FIG. 7, in this embodiment, the step 310 for extracting substructures is performed not by means of anonymization, but by means of modification of the client, followed by transformation of the substructure storing information about the file (MD5 of the file) by encryption with the public key (in the figure, the transformed information about the file is marked as EncryptedMD5), the private key is stored on the server and the reverse conversion can only be done on the server. Thus, step 300 'of the example in FIG. 8 differs from the analogous step of the example in FIG. 7 in that not the original structure of the request is transmitted to the node with the anonymization means, but the transformed one after the execution of steps 310 and 311. Accordingly, therefore, step 325 is added, where the reverse is performed before converting encrypted file information by decrypting it using a private key.

Фиг. 9 изображает пример маршрутизации данных в клиент-серверной архитектуре, в котором этапы с 200 по 230 аналогичны этапам примера, изображенного на Фиг. 6а, а этапы с 330 по 380 аналогичны этапам примера, изображенного на Фиг. 7. В частном случае информация о файле перед отправкой напрямую серверу может быть предварительно преобразована, по аналогии с этапом 311 в примере Фиг. 8, тогда в примере помимо этапа 311 добавляется этап 325.FIG. 9 depicts an example of routing data in a client-server architecture in which steps 200 through 230 are similar to those of the example depicted in FIG. 6a, and steps 330 through 380 are similar to those of the example shown in FIG. 7. In a particular case, the information about the file can be pre-transformed before being sent directly to the server, by analogy with step 311 in the example of FIG. 8, then in the example block 325 is added in addition to block 311.

Средство модификации клиента перехватывает структуры, предназначенные для отправки серверу, разделяет эти структуры в соответствии с установленными правилами и выбирает маршруты для этих подструктур также в соответствии с правилами. Правила, по которым работает средство модификации, устанавливаются в частном случае действующим законодательством государства, в юрисдикции которого функционирует устройство с клиентом (источник). Поэтому для применения правил средство модификации клиента определяет местоположение устройства (источника), тип данных в сформированной структуре, назначение структуры (тип передачи: запрос или статистика¹³) (¹³ отправление данных серверу для построения на стороне сервера статистики), местоположение приемника данных и на основании этого в соответствии с правилами выбирает маршрут для данных, вариант разделения и способ преобразования на клиенте. Вариант формализованных правил представлен в Таблице 1, где способ:The client modification tool intercepts the structures intended to be sent to the server, separates these structures in accordance with the established rules, and selects routes for these substructures also in accordance with the rules. The rules according to which the modification tool works are established in a particular case by the current legislation of the state in whose jurisdiction the device with the client operates (source). Therefore, to apply the rules, the client modification tool determines the location of the device (source), the type of data in the generated structure, the purpose of the structure (transmission type: request or statistics ¹³ ) ( ¹³ sending data to the server for building statistics on the server side), the location of the data receiver and based on This, in accordance with the rules, selects the route for the data, the splitting option and the conversion method on the client. A variant of formalized rules is presented in Table 1, where the method:

• 1 - разделение структуры на клиенте (см. Фиг. 2);• 1 - division of the structure on the client (see Fig. 2);

• 2 - выделение структуры на узле со средством анонимизации (см. Фиг. 3);• 2 - selection of a structure on a node with an anonymization tool (see Fig. 3);

• 3 - выделение структуры на клиенте (см. Фиг. 4).• 3 - selection of the structure on the client (see Fig. 4).

Правила, как указывалось выше, могут задаваться требованиями законодательства (например, GDPR) и как любая правовая норма включает гипотезу и диспозицию, что на алгоритмическом языке соответствует конструкции если-то. Таким образом, указанная таблица формализует правило видаThe rules, as mentioned above, can be set by legal requirements (for example, GDPR) and, like any legal norm, includes a hypothesis and disposition, which in algorithmic language corresponds to the if-then construction. Thus, the above table formalizes a rule of the form

ЕСЛИ [тип, источник, приемник, персональные данные (есть/нет)] ТО [способ, местонахождение узла анонимизации, способ преобразования для данных].IF [type, source, destination, personal data (yes / no)] THEN [method, location of the anonymization node, conversion method for data].

Например, тип передачи - запрос, источник (клиент) Германия, приемник (сервер) РФ, структура содержит персональные данные. В соответствии с правилами средству модификации необходимо выделить подструктуру с ПДн на клиенте (как на этапе 310 Фиг. 4 - способ 2) и отправить через США, подструктуру без ПДн зашифровать открытым ключом (как этапе 311 на Фиг. 4), персональные данные преобразовать средством анонимизации посредством шифрованияFor example, the type of transmission is request, source (client) Germany, receiver (server) RF, the structure contains personal data. In accordance with the rules, the modifier needs to select the substructure with PD on the client (as in step 310 of Fig. 4 - method 2) and send via the USA, encrypt the substructure without PD with a public key (as in step 311 in Fig. 4), transform the personal data by means of anonymization through encryption

В другом варианте реализации к системе, изображенной на Фиг. 1 добавляется узел сети со средством хранения, система с указанным узлом изображен на Фиг. 10. Узел сети со средством хранения расположен в региональной сети отличной от региональной сети, в которой расположен сервер и не находится в одном Интранете с сервером или клиентом. В частном случае узел сети со средством хранения может находиться в одной региональной сети с узлом сети со средством анонимизации, такая сеть на Фиг. 10 указана как региональная сеть N. Назначение узла сети со средством хранения скрывать внешний IP адрес клиента от сервера и снимать нагрузку с узла, на котором располагается средство анонимизации, так как объем траффика, идущего через узел со средством анонимизации сокращается. Узел сети со средством хранения является промежуточным хранилищем для данных, которыми обменивается клиент с сервером, бытовым аналогом данного узла является абонентский ящик (англ. post office box).In another implementation, the system depicted in FIG. 1, a network node with storage means is added, the system with this node is shown in FIG. 10. The host with the storage medium is located in a regional network different from the regional network in which the server is located and is not on the same Intranet with the server or client. In a particular case, a network node with a storage means can be located in the same regional network with a network node with an anonymization tool, such a network in FIG. 10 is indicated as a regional network N. The purpose of the network node with the storage facility is to hide the client's external IP address from the server and take the load off the node where the anonymization facility is located, since the volume of traffic going through the node with the anonymization facility is reduced. A network node with a storage facility is an intermediate storage for data exchanged between a client and a server; the household analogue of this node is a post office box.

Система, изображенная на Фиг. 10 используется для анонимного обмена данными между клиентом и сервером, в том числе для отправки данных от клиентов, которые используются для построения статистики и для клиент-серверного взаимодействия типа - «запрос-ответ». На Фиг. 11 изображен способ анонимного обмена данными между клиентом и сервером, который в частном случае используется для получения данных от клиентов для построения статистики на стороне сервера. Этапы 200, 221, 220, 230 аналогичны этапам, изображенным на Фиг. 2. От аналогичного отличается этап 210’ и добавляется этап 222. На Фиг. 2 маршрут В лежал напрямую от клиента к серверу, в описываемой реализации данный маршрут разрывается, и клиентом подструктура 2 отправляется не серверу, а узлу со средством хранения. Далее на этапе 222 данная подструктура будет получена сервером. Инициатором отправки данной подструктуры серверу на этапе 222 может являться как сам узел со средством хранения, так и сервера, который по требованию загрузит подструктуру 2, когда по маршруту А получит подструктуру 1’ с идентификатором подструктуры 2, сохраненной узлом сети со средством хранения.The system depicted in FIG. 10 is used for anonymous data exchange between a client and a server, including for sending data from clients, which are used to build statistics and for client-server interaction of the "request-response" type. FIG. 11 depicts a method of anonymous data exchange between a client and a server, which in a particular case is used to receive data from clients for building statistics on the server side. Steps 200, 221, 220, 230 are similar to those shown in FIG. 2. Step 210 'differs from analogous and step 222 is added. In FIG. 2 route B lay directly from the client to the server, in the described implementation this route is broken, and the client sends substructure 2 not to the server, but to the node with the storage means. Next, at step 222, this substructure will be received by the server. The initiator of sending this substructure to the server at step 222 can be either the node with the storage medium itself, or the server, which will load the substructure 2 on demand when it receives the substructure 1 'along the route A with the identifier of the substructure 2 stored by the network node with the storage medium.

На Фиг. 12 изображен способ обмена данными, который в частном случае используется при выполнении запроса клиента к серверу. Этапы 200, 221, 220, 230 аналогичны этапам, изображенным на Фиг. 2, этапы 210% 222 аналогичны этапам, изображенным на Фиг. 11, этап 330 аналогичен этому же этапу на Фиг. 3. Таким образом отправка запроса серверу аналогична отправке данных серверу для построения статистики изображенной на Фиг. 11, отличия заключаются от всего описанного ранее в том, как отправляется ответ, подготовленный на этапе 330. Структура ответа на запрос, сформированная на этапе 330 разбивается на по меньшей мере две подструктуры на этапе 331:FIG. 12 shows a method of data exchange, which is used in a particular case when making a request from a client to a server. Steps 200, 221, 220, 230 are similar to those shown in FIG. 2, steps 210% 222 are similar to those shown in FIG. 11, step 330 is similar to the same step in FIG. 3. Thus, sending a request to the server is similar to sending data to the server to build statistics shown in FIG. 11, the difference from everything previously described is how the response prepared in step 330 is sent. The structure of the response to the request generated in step 330 is split into at least two sub-structures in step 331:

• содержащую ПДн преобразованные средством анонимизации (подструктура Г, извлеченная из структуры запроса);• containing PD converted by means of anonymization (substructure Г, extracted from the request structure);

• не содержащую ПДн (подструктура 3, содержащая тело ответа на запрос или полезную нагрузку ответа).• not containing PD (substructure 3, containing the body of the response to the request or the payload of the response).

На этапе 350а подструктура, содержащая ПДн отправляется от сервера узлу со средством анонимизации, где на этапе 360 будет выполнено преобразование обратное преобразованию выполненному на этапе 220. А подструктура, не содержащая ПДн (на Фиг. 12 подструктура 3), на этапе 350б отправляется узлу сети со средством хранения. Далее подструктура, не содержащая ПДн, будет передана клиенту на этапе 371. Варианты, по каким клиент получает подструктуру на этапе 371, могут быть отличны. Если этап 350а осуществляется, то после преобразования на этапе 360 узел со средством анонимизации отправит нотификацию (уведомление) клиенту на этапе 370а о том, что ответ готов, клиент после этого обратится к узлу со средством хранения и получит подструктуру, не содержащую ПДн, от узла со средством хранения. Нотификация на этапе 370а может содержать, например, уникальный идентификатор присвоенный подструктуре 3 в процессе разделения структуры ответа на запрос на этапе 331, подструктуру с таким идентификатором клиент и запросит у узла сети со средством хранения. В частном случае этапы 350а, 360, 370а могут не выполняться. В этом случае идентификатор, присваиваемый подструктурам в процессе разделения на этапе 200 будет аналогичен идентификатору, присваиваемому на этапе 331 и клиент на этапе 371 получит подструктуру 3, периодически опрашивая узел со средством хранения на предмет поступления туда подструктуры с соответствующим идентификатором. Если этапы 350а, 360, 370а не выполняются, структура ответа на запрос тождественна подструктуре, не содержащей ПДн (подструктура 3), которой присвоен уникальный идентификатор. В другом частном случае узел со средством хранения самостоятельно отправляет на этапе 371 подструктуру 3 клиенту, в этом случае используется идентификатор сессии (сеанса), которая была установлена между клиентом и узлом со средством хранения для выполнения этапа 210, в данном случае уникальный идентификатор, присваиваемый подструктурам на этапах 200 и 331 равны и равны они идентификатору сессии. В этом случае, когда узел получит подструктуру 3 на этапе 350б, он прочитает идентификатор подструктуры 3 и переправит ее клиенту, сессия с которым имеет тот же самый идентификатор, главным условием осуществления данного варианта является удерживание сессии между клиентом и узлом со средством хранения до конца обмена данными между клиентом и сервером при выполнении запроса и отправки ответа.At step 350a, the substructure containing PD is sent from the server to the node with the anonymization means, where at step 360, the inverse transformation will be performed to the transformation performed at step 220. And the substructure that does not contain PD (substructure 3 in Fig. 12) is sent to the network node at step 350b with storage facility. Further, the substructure that does not contain PD will be transferred to the client at block 371. The options for which the client receives the substructure at block 371 may be different. If step 350a is carried out, then after transformation at step 360, the node with the anonymization means will send a notification (notification) to the client at step 370a that the response is ready, the client will then contact the node with the storage means and receive a substructure that does not contain PD from the node with storage facility. The notification at step 370a may contain, for example, a unique identifier assigned to the substructure 3 in the process of dividing the structure of the response to the request at step 331, the substructure with such an identifier will be requested by the client from the network node with the storage means. In a particular case, steps 350a, 360, 370a may not be performed. In this case, the identifier assigned to the substructures during the partitioning process at step 200 will be similar to the identifier assigned at step 331, and the client at step 371 will receive the substructure 3, periodically polling the node with the storage means for substructures with the corresponding identifier. If steps 350a, 360, 370a are not performed, the structure of the response to the request is identical to the substructure not containing PD (substructure 3), which is assigned a unique identifier. In another special case, the node with the storage means independently sends in step 371 the substructure 3 to the client, in this case the identifier of the session (session) that was established between the client and the node with the storage means to perform step 210 is used, in this case a unique identifier assigned to the substructures in steps 200 and 331 are equal and equal to they are the session ID. In this case, when the node receives the substructure 3 at step 350b, it will read the identifier of the substructure 3 and forward it to the client, the session with which has the same identifier, the main condition for implementing this option is to keep the session between the client and the node with the storage medium until the end of the exchange. data between client and server when making a request and sending a response.

В частном случае, схема, описанная на Фиг. 12 может работать в асинхронном режиме, в этом случае этап 330 осуществляется без выполнения этапа 230, используются данные подструктуры 2 и полученная подструктура 3, минуя этап 331, отправляется узлу со средством хранения (этап 350б). Этап 230 будет выполнен независимо от этапа 330. Такой режим повышает скорость реакции сервера и используется в том случае, когда для обработки запроса необходимы только данные содержащиеся в подструктуре, не содержащей КД. Объединение подструктур (этап 230) в таких случаях необходимо лишь для построения статистики, как в примере, изображенном на Фиг. 12а.In a particular case, the circuit described in FIG. 12 can operate in asynchronous mode, in which case step 330 is performed without step 230, the data of substructure 2 is used and the resulting substructure 3, bypassing step 331, is sent to the node with the storage means (step 350b). Step 230 will be performed independently of step 330. This mode improves the server responsiveness and is used when only the data contained in the substructure containing no CD is needed to process the request. Combining the substructures (block 230) in such cases is only necessary to construct statistics, as in the example shown in FIG. 12a.

На Фиг. 13 изображен пример использования способа, изображенного на Фиг. 12, для получения вердикта (опасный/вредоносны или безопасный) для файла, обнаруженного на клиенте, от сервера. Для отправки серверу информации об обнаруженном файле (в рассматриваемом примере информация о файле это MD5 файла) формируют структуру данных, которая включает ID клиента и MD5 обнаруженного файла. На этапе 200 средство модификации разделяет сформированную структуру, предназначенную для отправки серверу на подструктуры, в результате разделения получают подструктуру, содержащую ID клиента и подструктуру, содержащую MD5 файла, чтобы понимать частью какой структуры являются подструктуры, им присваивается идентификатор (на фигуре идентификатор отмечен как StructureID). На этапе 210 средство модификации клиента отправляет полученные подструктуры. Отправка осуществляется по разным маршрутам (маршруту А и маршруту В) и разным приемникам. По маршруту А подструктура отправляется серверу, при этом маршрут А включает узел сети со средством анонимизации, расположенный в региональной сети отличной от сети, которой расположен сервер и, не находящийся в одном Интранете с сервером или клиентом. Подструктура, содержащая ID клиента, направляется к серверу через узел со средством анонимизации (маршрут А). По маршруту В подструктуру отправляют узлу сети со средством хранения, расположенному в региональной сети отличной от сети, которой расположен сервер и, не находящийся в одном Интранете с сервером или клиентом. Подструктура, содержащая MD5 файла, направляется узлу сети со средством хранения (маршрут В). На этапе 220 средством анонимизации осуществляют преобразование ID клиента, где ID клиента сохраняется на узле, а в подструктуре его замещает токен AnonymizedID (в частном случае ID Клиента может быть зашифрован). Полученную подструктуру, отправляют серверу (этап 221). На этапе 222 подструктура с MD5 файла будет получена сервером. Если способ осуществляется в синхронном режиме, то на этапе 230 подструктуры, полученные сервером на этапе 221 и этапе 222, будут объединены и на этапе 330 будет обработан запрос. В нашем примере MD5 будет проверен по базе вредоносных и безопасных файлов и по результатам проверки получат вердикт и сформируют ответ на запрос (в приведенном примере файл оказался вредоносным - MD5-BAD). Сформированный ответ на запрос разделяют на этапе 331 на две подструктуры, в результате разделения получают подструктуру, содержащую ID клиента и подструктуру, содержащую вердикт (MD5), чтобы понимать, частью какой структуры являются подструктуры им присваивается идентификатор (на фигуре идентификатор отмечен как StructureID), в частном случае идентификатор может быть идентичен идентификатору, присвоенному подструктурам на этапе 200. На этапе 350б подструктуру с вердиктом отправляют узлу сети со средством хранения, который либо пересылает подструктуру клиенту на этапе 371 (если StructureID соответствует ID сессии между узлом и клиентом, установленной на этапе 210), либо сохраняет до востребования. Востребована указанная подструктура может быть клиентом в случае получения им нотификации от узла со средством анонимизации получаемой клиентов в результате выполнения этапов 350а, 360, 370а. Либо клиент постоянно опрашивает узел сети со средством хранения на предмет наличия у узла подструктуры ответа (в данном случае StructureID присвоенные подструктурам на этапах 200 и 331 должны быть идентичны). На этапе 372 клиент обрабатывает ответ. Если способ выполняется в асинхронном режиме (Фиг. 13а), то этап 230 и этап 330 выполняются независимо, StructureID на этапе 330 не изменяется и идентичен StructureID на этапе 200, а в частном случае равен ID сессии между клиентом и узлом со средством хранения этапа 210, в рамках которой также будет осуществлена передача подструктуры на этапе 371.FIG. 13 shows an example of using the method shown in FIG. 12 to receive a verdict (dangerous / malicious or safe) for a file found on the client from the server. To send information about the detected file to the server (in this example, the information about the file is the MD5 of the file), a data structure is formed that includes the client ID and MD5 of the detected file. At step 200, the modifier divides the generated structure to be sent to the server into substructures, as a result of the division, a substructure containing the client ID and a substructure containing the MD5 of the file is obtained, in order to understand which structure the substructures are part of, they are assigned an identifier (in the figure, the identifier is marked as StructureID ). At block 210, the client modifier sends the received substructures. Sending is carried out on different routes (route A and route B) and different receivers. Along route A, the substructure is sent to the server, while route A includes a network node with an anonymization tool located in a regional network different from the network where the server is located and not on the same Intranet with the server or client. The substructure containing the client ID is routed to the server via the anonymizer node (route A). Along the route B, the substructure is sent to a network node with a storage facility located in a regional network different from the network on which the server is located and not on the same Intranet with the server or client. The substructure containing the MD5 file is directed to the host with the storage medium (route B). At step 220, the anonymization means transforms the client ID, where the client ID is stored on the node, and the AnonymizedID token replaces it in the substructure (in the particular case, the Client ID can be encrypted). The resulting substructure is sent to the server (step 221). At block 222, the substructure with the MD5 file will be received by the server. If the method is performed synchronously, then at step 230, the substructures received by the server at step 221 and step 222 will be merged and at step 330 the request will be processed. In our example, MD5 will be scanned against the database of malicious and safe files and, based on the results of the scan, they will receive a verdict and form a response to the request (in the given example, the file turned out to be malicious - MD5-BAD). The generated response to the request is divided at step 331 into two substructures, as a result of the division, a substructure containing the client ID and a substructure containing the verdict (MD5) is obtained in order to understand which structure the substructures are part of, they are assigned an identifier (in the figure, the identifier is marked as StructureID), in a particular case, the identifier may be identical to the identifier assigned to the substructures in step 200. In step 350b, the substructure with the verdict is sent to the host with the storage medium, which either sends the substructure to the client in step 371 (if the StructureID matches the session ID between the node and the client set in step 210), or keeps it on demand. The specified substructure may be in demand by the client in case he receives a notification from a node with a means of anonymization received by clients as a result of performing steps 350a, 360, 370a. Alternatively, the client continually polls the host with the storage facility to see if the host has a response substructure (in this case, the StructureID assigned to the substructures in steps 200 and 331 should be identical). At block 372, the client processes the response. If the method is performed in an asynchronous mode (Fig. 13a), then step 230 and step 330 are performed independently, the StructureID in step 330 does not change and is identical to the StructureID in step 200, and in the particular case is equal to the session ID between the client and the node with the storage means of step 210 , within which the substructure transfer will also be carried out at block 371.

Заявленное изобретение позволяет децентрализовать данные идущие от клиента, что обеспечивает анонимность для пользователя, устройство которого является клиентом, данные, которыми обменивается клиент с сервером невозможно связать с клиентом при доступе к серверу. Часть данных известна только серверу, часть только узлу сети со средством анонимизации и без одновременного доступа к этим компонентам системы невозможно деанонимизировать данные, а невозможность одновременного доступа к компонентам, в том числе и государственными структурами, обеспечивается распределением компонентов системы по различным региональным сетям, отличных как по географическому признаку, так и по признаку территориальной юрисдикции. Также заявленное изобретение при использовании узла со средством хранения позволяет скрыть внешний IP адрес клиента от сервера (сервер забирает подструктуру не напрямую от клиента, а через узел со средством хранения), а также снизить нагрузку на узел со средством анонимизации.The claimed invention allows to decentralize the data coming from the client, which provides anonymity for the user, whose device is a client, the data exchanged between the client and the server cannot be associated with the client when accessing the server. Part of the data is known only to the server, part only to a network node with an anonymization tool and without simultaneous access to these system components it is impossible to deanonymize the data, and the impossibility of simultaneous access to components, including government agencies, is ensured by the distribution of system components across various regional networks, different as on a geographical basis, and on the basis of territorial jurisdiction. Also, the claimed invention, when using a node with a storage facility, makes it possible to hide the client's external IP address from the server (the server picks up the substructure not directly from the client, but through the node with the storage facility), and also to reduce the load on the node with the anonymization facility.

В некоторых случаях после того, как структура данных разделена на две подструктуры данных, одна из которых содержит конфиденциальные данные, появляется необходимость дополнительного разделения данной подструктуры. Это в частном случае делается тогда, когда данные являются критическими, только находясь совместно, например, IP-адрес и временная метка совместно являются персональными данными, разделив подструктуру, в которой содержится данная связка на подструктуру с IP адресом и подструктуру с временной меткой данные утрачивают свойство персональное и могут обрабатываться узлом, который не имеет возможности эти структуры объединить, без ограничений, накладываемых законодательство на обработку критических (в данном случае персональных) данных. Но в таком случае усложняется механизм передачи данных на сервер. На Фиг. 14 изображен способ передачи критических данных в клиент-серверной архитектуре, который в частном случае используется для получения данных от клиентов для построения статистики. На этапе 200 средством модификации разделяют структуру, предназначенную для отправки серверу в соответствии с критериями, одним из таких критериев может являться наличие критических (например, конфиденциальных, в том числе персональных) данных в структуре, в результате разделения получают подструктуру, содержащую критические данные (на Фиг. 14 для примера это подструктура 1) и не содержащую таких данных (на Фиг. 14 это, соответственно, подструктура 2). На этапе 201 средством модификации дополнительно разделяют подструктуру, содержащую критические данные, на по меньшей мере две подструктуры (на Фиг. 14 для примера это подструктура 3 и подструктура 4). На этапе 210 средство модификации отправляет подструктуру 2 серверу по маршруту В. На этапе 211 подструктуры, полученные при разделении подструктуры, содержащей критические данные, последовательно отправляют по другому маршруту, отличному от маршрута В, где альтернативный маршрут включает узел сети со средством преобразования (в примере на Фиг. 14 это маршрут А), и расположенный в частном случае в региональной сети отличной от сети, которой расположен сервер и, не находящийся в одном Интранете с сервером или клиентом. Далее на этапе 220 подструктуры, проходящие через узел со средством преобразования, преобразуются указанным средством и передаются далее серверу (этап 223) в преобразованном виде. В общем случае подструктуры от одного и того же клиента в разные моменты времени преобразуются различно (например ID Клиента ->AnonymizedID1 ≠ AnonymizedID2 ≠ AnonymizedID3 и т.д.), это относится ко всем примерам, но в частном случае, когда для некоторых систем безопасности необходимо накопить информацию (построить статистику) по определенному клиенту для подструктуры от одного и того же клиента, преобразование будет идентично (например ID Клиента ->AnonymizedID1=AnonymizedID2=AnonymizedID3 и т.д.). В заключении на этапе 230 полученные от клиента подструктуры объединяются в структуру (Структура’). Очевидно, что итоговая структура (Структура’) отличается от исходной, так как, по меньшей мере две подструктуры были преобразованы средством анонимизации. Итоговая структура в базе данных и будет использоваться средствами инфраструктуры¹⁴ (¹⁴ Средства и база данных на данной фигуре не указаны. Отдельные элементы инфраструктуры, такие как средство обработки запроса и средство обнаружения атаки указаны на других фигурах) на стороне сервера, например при построении профиля. Преобразование подструктур и/или данных подструктур средством преобразования выполняется способом, исключающим возможность обратного преобразования подструктур и/или данных подструктур любыми средствами, отличными от средств узла сети со средством преобразования.In some cases, after the data structure is divided into two data substructures, one of which contains confidential data, it becomes necessary to further separate this substructure. This is done in a particular case when the data is critical, only being together, for example, the IP address and the timestamp together are personal data, dividing the substructure that contains this link into a substructure with an IP address and a substructure with a timestamp, the data loses its property personal and can be processed by a node that does not have the ability to combine these structures, without the restrictions imposed by legislation on the processing of critical (in this case, personal) data. But in this case, the mechanism for transferring data to the server becomes more complicated. FIG. 14 depicts a method for transmitting critical data in a client-server architecture, which in a particular case is used to receive data from clients for building statistics. At step 200, the modifier separates the structure to be sent to the server in accordance with the criteria, one of such criteria may be the presence of critical (for example, confidential, including personal) data in the structure, as a result of the division, a substructure containing critical data (on Fig. 14, for example, is a substructure 1) and does not contain such data (in Fig. 14 it is, respectively, a substructure 2). In step 201, the modifier further divides the substructure containing the critical data into at least two substructures (in Fig. 14, for example, these are substructure 3 and substructure 4). In step 210, the modifier sends the substructure 2 to the server along route B. In step 211, the substructures obtained by dividing the substructure containing critical data are sequentially sent along a different route than route B, where the alternative route includes a network node with a transformation means (in the example in Fig. 14 this is a route A), and located in a particular case in a regional network, different from the network that hosts the server and is not on the same Intranet with the server or client. Further, at step 220, the substructures passing through the node with the transforming means are transformed by the said means and transmitted further to the server (step 223) in the transformed form. In general, substructures from the same client at different times are transformed differently (for example, Client ID -> AnonymizedID1 ≠ AnonymizedID2 ≠ AnonymizedID3, etc.), this applies to all examples, but in a particular case, when for some security systems it is necessary to accumulate information (build statistics) on a specific client for a substructure from the same client, the conversion will be identical (for example, Client ID -> AnonymizedID1 = AnonymizedID2 = AnonymizedID3, etc.). Finally, at step 230, the sub-structures received from the client are combined into a structure (Structure '). Obviously, the final structure (Structure ') is different from the original one, since at least two substructures have been transformed by the anonymization tool. The resulting structure in the database will be used by infrastructure tools ¹⁴ ( ¹⁴ Tools and database are not shown in this figure. Individual infrastructure elements, such as request processing tool and attack detection tool are shown in other figures) on the server side, for example, when building a profile. The transformation of substructures and / or data of substructures by means of transformation is performed in a way that excludes the possibility of reverse transformation of substructures and / or data of substructures by any means other than means of a host with a means of transformation.

На Фиг. 14а показан пример осуществления способа передачи критических данных. На клиенте формируется структура для отправки на сервер, структура содержит IP адрес клиента, временную метку (англ. TimeStamp) и MD5 некоторого файла. На этапе 200 средством модификации разделяют структуру, предназначенную для отправки серверу, в результате разделения получают: подструктуру, содержащую IP адрес и временную метку, и подструктуру, которая содержит MD5 файла. На этапе 201 средством модификации дополнительно разделяют подструктуру, содержащую IP адрес и временную метку на две подструктуры (на Фиг.14а это подструктура с IP адресом и подструктура с временной меткой). Чтобы понимать, с какой подструктурой, содержащей MD5, связаны подструктура IP и подструктура TimeStamp им присваиваются идентификаторы (на фигуре идентификаторы отмечены как StructureID1, StructureID2) и эти же идентификаторы помещаются в подструктуру MD5. На этапе 210 средство модификации отправляет подструктуру с MD5 серверу по маршруту В, а на этапе 211 последовательно отправляют подструктуру с IP адресом и подструктуру с временной меткой по другому маршруту, отличному от маршрута В, где альтернативный маршрут включает узел сети со средством преобразования (в примере на Фиг. 14а это маршрут А), где узел со средством преобразования расположен в частном случае в региональной сети отличной от сети, в которой расположен сервер и, не находящийся в одном Интранете с сервером или клиентом. Далее на этапе 220 подструктура с IP адресом и подструктура с временной меткой преобразуются и передаются далее серверу (этап 223) в преобразованном виде. Преобразование осуществляется по мере получения подструктур. В заключении на этапе 230 полученные от клиента подструктуры объединяются в структуру, которая содержит преобразованный IP адрес, преобразованную временную метку и MD5.FIG. 14a shows an exemplary embodiment of a method for transmitting critical data. On the client, a structure is formed to send to the server, the structure contains the client's IP address, timestamp (English TimeStamp) and MD5 of a file. In step 200, the modifier separates the structure to be sent to the server, and as a result of the division, a substructure containing the IP address and timestamp and a substructure containing the MD5 of the file are obtained. In step 201, the modifier further divides the substructure containing the IP address and the timestamp into two substructures (in Fig. 14a, these are the substructure with the IP address and the substructure with the timestamp). To understand which substructure containing MD5 the IP substructure is associated with and the TimeStamp substructure they are assigned identifiers (in the figure, identifiers are marked as StructureID1, StructureID2) and the same identifiers are placed in the MD5 substructure. At step 210, the modifier sends the substructure with MD5 to the server along route B, and at step 211, the substructure with the IP address and the substructure with the timestamp are sequentially sent along a route other than route B, where the alternative route includes a host with a transform tool (in the example in Fig. 14a, this is route A), where the node with the transforming means is located in a particular case in a regional network different from the network in which the server is located and not on the same Intranet with the server or client. Next, in step 220, the substructure with the IP address and the substructure with the timestamp are transformed and transmitted further to the server (step 223) in the transformed form. The transformation is carried out as substructures are received. Finally, at step 230, the subframes received from the client are combined into a structure that contains the translated IP address, the translated timestamp, and MD5.

Под средством модификации, средством анонимизации, средством объединения, средством обработки запроса, средством обнаружения атаки, средством хранения в настоящем изобретении понимаются реальные устройства, системы, компоненты, группа компонентов, реализованные с использованием аппаратных средств, таких как интегральные микросхемы (англ. application-specific integrated circuit, ASIC) или программируемой вентильной матрицы (англ. field-programmable gate array, FPGA) или, например, в виде комбинации программных и аппаратных средств, таких как микропроцессорная система и набор программных инструкций, а также на нейроморфных чипах {англ. neurosynaptic chips) Функциональность указанных средств может быть реализована исключительно аппаратными средствами, а также в виде комбинации, где часть функциональности реализована программными средствами, а часть аппаратными. В некоторых вариантах реализации средства могут быть исполнены на процессоре компьютера общего назначения (например, который изображен на Фиг. 15). Базы данных могут быть реализованы всеми возможными способами и содержаться как на одном физическом носителе, так и на разных, располагаться как локально, так и удаленно.Modification tool, anonymization tool, combiner, request processing tool, attack detection tool, storage tool in the present invention means real devices, systems, components, a group of components implemented using hardware such as application-specific integrated circuit, ASIC) or field-programmable gate array (FPGA) or, for example, in the form of a combination of software and hardware, such as a microprocessor system and a set of software instructions, as well as neuromorphic chips {eng. neurosynaptic chips) The functionality of these tools can be implemented exclusively by hardware, as well as in the form of a combination, where part of the functionality is implemented by software, and part by hardware. In some implementations, the tools may be executed on a processor of a general purpose computer (eg, as depicted in FIG. 15). Databases can be implemented in all possible ways and contained both on one physical medium, and on different ones, located both locally and remotely.

Фиг. 15 представляет пример компьютерной системы общего назначения, персональный компьютер или сервер 20, содержащий центральный процессор 21, системную память 22 и системную шину 23, которая содержит разные системные компоненты, в том числе память, связанную с центральным процессором 21. Системная шина 23 реализована, как любая известная из уровня техники шинная структура, содержащая в свою очередь память шины или контроллер памяти шины, периферийную шину и локальную шину, которая способна взаимодействовать с любой другой шинной архитектурой. Системная память содержит постоянное запоминающее устройство (ПЗУ) 24, память с произвольным доступом (ОЗУ) 25. Основная система ввода/вывода (BIOS) 26, содержит основные процедуры, которые обеспечивают передачу информации между элементами персонального компьютера 20, например, в момент загрузки операционной системы с использованием ПЗУ 24.FIG. 15 represents an example of a general-purpose computer system, a personal computer or server 20, comprising a central processing unit 21, a system memory 22, and a system bus 23 that contains various system components, including memory associated with the central processing unit 21. The system bus 23 is implemented as any bus structure known from the prior art, which in turn contains a bus memory or a bus memory controller, a peripheral bus and a local bus that is capable of interfacing with any other bus architecture. System memory contains read-only memory (ROM) 24, random access memory (RAM) 25. The main input / output system (BIOS) 26 contains basic procedures that transfer information between the elements of the personal computer 20, for example, at the time of loading the operating room. systems using ROM 24.

Персональный компьютер 20 в свою очередь содержит жесткий диск 27 для чтения и записи данных, привод магнитных дисков 28 для чтения и записи на сменные магнитные диски 29 и оптический привод 30 для чтения и записи на сменные оптические диски 31, такие как CD-ROM, DVD-ROM и иные оптические носители информации. Жесткий диск 27, привод магнитных дисков 28, оптический привод 30 соединены с системной шиной 23 через интерфейс жесткого диска 32, интерфейс магнитных дисков 33 и интерфейс оптического привода 34 соответственно. Приводы и соответствующие компьютерные носители информации представляют собой энергонезависимые средства хранения компьютерных инструкций, структур данных, программных модулей и прочих данных персонального компьютера 20.The personal computer 20, in turn, contains a hard disk 27 for reading and writing data, a magnetic disk drive 28 for reading and writing to removable magnetic disks 29 and an optical drive 30 for reading and writing to removable optical disks 31, such as CD-ROM, DVD -ROM and other optical media. The hard disk 27, the magnetic disk drive 28, and the optical drive 30 are connected to the system bus 23 through the hard disk interface 32, the magnetic disk interface 33, and the optical drive interface 34, respectively. Drives and corresponding computer storage media are non-volatile storage media for computer instructions, data structures, program modules and other data of a personal computer 20.

Настоящее описание раскрывает реализацию системы, которая использует жесткий диск 27, сменный магнитный диск 29 и сменный оптический диск 31, но следует понимать, что возможно применение иных типов компьютерных носителей информации 56, которые способны хранить данные в доступной для чтения компьютером форме (твердотельные накопители, флеш карты памяти, цифровые диски, память с произвольным доступом (ОЗУ) и т.п.), которые подключены к системной шине 23 через контроллер 55.The present description discloses an implementation of a system that uses a hard disk 27, a removable magnetic disk 29 and a removable optical disk 31, but it should be understood that other types of computer storage media 56 are possible that are capable of storing data in a computer readable form (solid state drives, flash memory cards, digital disks, random access memory (RAM), etc.), which are connected to the system bus 23 through the controller 55.

Компьютер 20 имеет файловую систему 36, где хранится записанная операционная система 35, а также дополнительные программные приложения 37, другие программные модули 38 и данные программ 39. Пользователь имеет возможность вводить команды и информацию в персональный компьютер 20 посредством устройств ввода (клавиатуры 40, манипулятора «мышь» 42). Могут использоваться другие устройства ввода (не отображены): микрофон, джойстик, игровая консоль, сканнер и т.п. Подобные устройства ввода по своему обычаю подключают к компьютерной системе 20 через последовательный порт 46, который в свою очередь подсоединен к системной шине, но могут быть подключены иным способом, например, при помощи параллельного порта, игрового порта или универсальной последовательной шины (USB). Монитор 47 или иной тип устройства отображения также подсоединен к системной шине 23 через интерфейс, такой как видеоадаптер 48. В дополнение к монитору 47, персональный компьютер может быть оснащен другими периферийными устройствами вывода (не отображены), например, колонками, принтером и т.п.Computer 20 has a file system 36, where the recorded operating system 35 is stored, as well as additional software applications 37, other program modules 38 and program data 39. The user has the ability to enter commands and information into the personal computer 20 through input devices (keyboard 40, manipulator " mouse "42). Other input devices may be used (not shown): microphone, joystick, game console, scanner, etc. Such input devices are conventionally connected to the computer system 20 through a serial port 46, which in turn is connected to the system bus, but can be connected in another way, for example, using a parallel port, a game port, or a universal serial bus (USB). A monitor 47 or other type of display device is also connected to the system bus 23 via an interface such as a video adapter 48. In addition to the monitor 47, the personal computer may be equipped with other peripheral output devices (not displayed), such as speakers, a printer, etc. ...

Персональный компьютер 20 способен работать в сетевом окружении, при этом используется сетевое соединение с другим или несколькими удаленными компьютерами 49. Удаленный компьютер (или компьютеры) 49 являются такими же персональными компьютерами или серверами, которые имеют большинство или все упомянутые элементы, отмеченные ранее при описании существа персонального компьютера 20, представленного на Фиг. 14. В вычислительной сети могут присутствовать также и другие устройства, например, маршрутизаторы, сетевые станции, пиринговые устройства или иные сетевые узлы.The personal computer 20 is capable of operating in a networked environment using a network connection with other or more remote computers 49. The remote computer (or computers) 49 are the same personal computers or servers that have most or all of the elements mentioned earlier in the description of the entity. the personal computer 20 shown in FIG. 14. In a computer network, there may also be other devices, such as routers, network stations, peer-to-peer devices, or other network nodes.

Сетевые соединения могут образовывать локальную вычислительную сеть (LAN) 50 и глобальную вычислительную сеть (WAN). Такие сети применяются в корпоративных компьютерных сетях, внутренних сетях компаний и, как правило, имеют доступ к сети Интернет. В LAN- или WAN-сетях персональный компьютер 20 подключен к локальной сети 50 через сетевой адаптер или сетевой интерфейс 51. При использовании сетей персональный компьютер 20 может использовать модем 54 или иные средства обеспечения связи с глобальной вычислительной сетью, такой как Интернет. Модем 54, который является внутренним или внешним устройством, подключен к системной шине 23 посредством последовательного порта 46. Следует уточнить, что сетевые соединения являются лишь примерными и не обязаны отображать точную конфигурацию сети, т.е. в действительности существуют иные способы установления соединения техническими средствами связи одного компьютера с другим.Network connections can form a local area network (LAN) 50 and a wide area network (WAN). Such networks are used in corporate computer networks, internal networks of companies and, as a rule, have access to the Internet. In LAN or WAN networks, personal computer 20 is connected to local network 50 via a network adapter or network interface 51. When using networks, personal computer 20 may use a modem 54 or other means of providing communication with a wide area network, such as the Internet. Modem 54, which is an internal or external device, is connected to the system bus 23 via a serial port 46. It should be noted that the network connections are only exemplary and are not required to reflect the exact configuration of the network, i. E. in fact, there are other ways of establishing a connection by technical means of communication of one computer with another.

В заключение следует отметить, что приведенные в описании сведения являются примерами, которые не ограничивают объем настоящего изобретения, определенного формулой. Специалисту в данной области становится понятным, что могут существовать и другие варианты осуществления настоящего изобретения, согласующиеся с сущностью и объемом настоящего изобретения.In conclusion, it should be noted that the information given in the description are examples, which do not limit the scope of the present invention defined by the claims. One skilled in the art will appreciate that there may be other embodiments of the present invention consistent with the spirit and scope of the present invention.

Claims

1. A method of transferring a data structure containing critical data to a server, in which:

a) share on the client a data structure intended to be sent to the server to:

- a substructure containing critical data (hereinafter CA);

- a substructure that does not contain CD;

b) carry out the primary transformation of the data substructure containing the CD on the client without the possibility of reverse transformation of the data by means of anonymization;

c) sending data to the node with the means of anonymization, which includes a substructure that does not contain a CA and a transformed substructure of data containing a CA, where the node with the means of anonymization is not on the same Intranet with the server or client;

d) by means of anonymization, the secondary transformation of each received data substructure containing CD is carried out without the possibility of reverse transformation on the server or client;

e) transfer data substructures from the anonymization tool to the server.

2. A method according to claim 1, in which critical data is data in respect of which the law of the state in whose jurisdiction the client is located, or an authorized entity imposes restrictions on the collection, storage, access, distribution and processing.

3. The method according to claim 1, in which the original and transformed data substructures after transformation are not saved at the node.

4. The method of claim 1, wherein the conversion is performed by encryption.

5. The method according to claim 1, in which critical data is personal data or their special categories in the terminology of the GDPR.

6. The method according to claim 1, in which the CD is confidential data ~ any data protected by the law of the state in the jurisdiction of which the client is located.

7. The method according to claim 6, in which personal data is also confidential data.

8. The method according to claim 1, wherein the network node with the anonymization means is located in a regional network different from the regional network in which the server is located.

9. The method according to claim 8, wherein the regional network of the network node with the anonymization means and the regional network of the server are located in different jurisdictions.

10. The method of claim 8, wherein the regional network is simultaneously a national network.