CN100514343C - 数据管理方法及系统 - Google Patents

Abstract

提供一种数据管理系统、数据管理方法及其程序，即使变更用户侧终端也能把密钥安全地交接给新的用户侧终端。在更换用户侧终端(10)时，从旧用户侧终端向用户管理服务器(12)发送密钥和安全号码。在用户管理服务器(12)中使用安全号码将密钥加密，将该密钥与保管号码一起存储在用户管理数据库(14)中，向旧用户侧终端发送保管号码。旧用户侧终端显示保管号码并告知用户，删除存储在IC卡(20)中的密钥。然后，当从新用户侧终端向用户管理服务器(12)发送所述保管号码和安全号码时，用户管理服务器(12)利用接收的保管号码从用户管理数据库(14)获取密钥，使用安全号码进行解密。解密后的密钥被发送给新用户侧终端，存储在IC卡(20)中。

Description

数据管理方法及系统

技术领域

本发明涉及提高了安全性的数据管理系统、数据管理方法及其程序。

背景技术

以往，提出了各种预约管理系统、结算系统等，这些系统中采用如下的结构：使用者预先在服务提供侧的服务器等上登记姓名、住址、信用卡号码、密码等用户信息，根据这些用户信息接受预定的服务。

例如，下述专利文献1公开了一种预约方法和预约系统，当使用内置有IC卡等的移动通信终端预约旅馆设施等时，可以在所预约的期间，使用该移动通信终端进行所预约的旅馆设施的上锁/开锁及费用支付等。

【专利文献1】日本特开2002—183563号

但是，在上述现有技术中，把接受服务所需的使用者的用户信息全部登记在服务提供侧的服务器等上，并在他人可以访问的状态下进行保存，存在安全性问题。因此，虽然考虑了使用预定的密钥将用户信息加密，并把该密钥只保存在用户侧终端的存储介质上，但在通过购买更换等而变更了用户侧终端时，存在密钥丢失的问题。

发明内容

本发明就是鉴于上述课题而提出的，其目的在于，提供一种数据管理系统、数据管理方法及其程序，即使变更用户侧终端也能够把密钥安全地交接给新的用户侧终端。

根据本发明的第一侧面，一种计算机可读取的存储介质。存储了可由计算机执行并且指示数据管理功能的实施的程序。该功能包括：从第1用户侧终端接收密钥；将所述密钥加密；发布针对所述密钥的第1保管号码；把所述加密后的密钥与所述第1保管号码对应起来，登记所述加密后的密钥；把所述第1保管号码发送给第1用户侧终端；在从第2用户侧终端发送的第2保管号码与所述第1保管号码一致时，将所述已登记并加密的密钥解密，把所述已解密的密钥发送给第2用户侧终端。

另外，所述功能还可以包括：在进行所述加密前，从所述第1用户侧终端接收安全号码；从第2用户侧终端接收安全号码。可以使用从第1用户侧终端发送的所述安全号码进行所述密钥的加密。可以使用从第2用户侧终端发送的所述安全号码进行所述已登记并加密的密钥的解密。

并且，所述功能还可以包括在向第2用户侧终端发送了所述已解密的密钥后，删除所述登记的密钥。

另外，根据本发明的第2侧面，一种数据管理方法，包括：从第1用户侧终端接收存储在该第1用户侧终端中的密钥；将所述密钥加密；发布针对所述密钥的第1保管号码；把所述加密后的密钥与所述第1保管号码对应起来，把所述加密后的密钥登记在用户管理数据库中；把所述第1保管号码发送给第1用户侧终端；在从第2用户侧终端发送的第2保管号码与所述第1保管号码一致时，将所述已登记并加密的密钥解密，把已解密的所述密钥发送给第2用户侧终端。

所述数据管理方法还可以包括：在进行所述加密前，从所述第1用户侧终端接收安全号码；从第2用户侧终端接收安全号码。可以使用从第1用户侧终端发送的所述安全号码进行从第1用户侧终端接收的所述密钥的加密。可以使用从第2用户侧终端发送的所述安全号码进行所述已登记并加密的密钥的解密。

所述数据管理方法进一步在向第1用户侧终端发送了第1保管号码后，从第1用户侧终端删除存储于第1用户侧终端中的所述密钥。

所述数据管理方法进一步在向第2用户侧终端发送了所述已解密的密钥后，从用户管理数据库删除已解密的所述密钥。

根据本发明的第3侧面，一种数据管理系统，具有：接收部，其从第1用户侧终端接收存储在该第1用户侧终端中的密钥；加密部，其将所述密钥加密；发布部，其发布针对所述密钥的第1保管号码；登记管理部，其把所述加密后的密钥与所述第1保管号码对应起来，同时把所述加密后的密钥登记在用户管理数据库中；发送部，其把所述第1保管号码发送给第1用户侧终端；和解密部，其在从第2用户侧终端发送的第2保管号码与所述第1保管号码一致时，将所述已登记并加密的密钥解密，把已解密的所述密钥发送给第2用户侧终端。

所述接收部可以从所述第1用户侧终端接收安全号码，并且从第2用户侧终端接收安全号码。所述加密部可以使用从第1用户侧终端发送的所述安全号码将从第1用户侧终端接收的所述密钥加密。加密部可以使用从第2用户侧终端发送的所述安全号码将所述已登记并加密的密钥解密。

另外，所述数据管理系统还可以具有删除部，该删除部在发送部向第1用户侧终端发送了第1保管号码后，从第1用户侧终端删除存储于第1用户侧终端中的所述密钥。

另外，所述数据管理系统还可以具有删除部，在向第2用户侧终端发送了所述已解密的密钥后，该删除部从用户管理数据库删除已解密的所述密钥。

根据本发明，将密钥加密并与保管号码一起登记在用户管理数据库中，在从新的用户侧终端发送了保管号码和安全号码时，使用安全号码对加密后的密钥进行解密并发送给新的用户侧终端，所以能够把密钥安全地交接给新的用户侧终端。

附图说明

图1是本发明的数据管理系统的一个实施方式的结构图。

图2是图1所示的用户侧终端的结构的框图。

图3是图1所示的用户管理服务器的结构的框图。

图4是图1所示的数据访问终端的结构的框图。

图5是表示利用图4所示的显示装置显示数据时的结构示例图。

图6是表示用户侧终端更换时的旧用户侧终端的动作流程的图。

图7是表示从旧用户侧终端发送了安全号码和密钥时的用户管理服务器的动作流程的图。

图8是表示用户侧终端更换时的新用户侧终端的动作流程的图。

图9是表示从新用户侧终端发送了保管号码和安全号码时的用户管理服务器的动作流程的图。

符号说明

10 用户侧终端；12 用户管理服务器；14 用户管理数据库；16 数据访问终端；18 数据库；20 IC卡；22 读卡器；24、52 显示控制部；26、46 输入输出控制部；28 通信控制部；29、45 判定部；30 显示部；32 操作部；34 卡部；36 通信部；38 密钥生成部；40 加密部；41、50 解密部；42 用户识别符生成部；44 登记管理部；48 信息获取部；56 显示装置；58 屏幕。

具体实施方式

以下，参照附图说明实施本发明的最佳方式(以下称为实施方式)。

图1示出了本发明的数据管理系统的一个实施方式的结构图。在图1中，数据管理系统包括用户侧终端10、用户管理服务器12、用户管理数据库14、数据访问终端16和数据库18。

用户在从数据库18获取所期望的数据时，首先从用户侧终端10向用户管理服务器12发送姓名、住址、密码、照片等用户信息。作为这种用户侧终端10，例如可以使用内置有浏览器并可以连接到因特网的便携电话等。

在用户管理服务器12中生成用于对从用户侧终端10发送的用户信息的全部或一部分进行加密的密钥，使用该密钥对所述用户信息的全部或一部分进行加密。并且，使用哈希(hash)函数由所述密钥求出哈希值，把该哈希值用作用户识别符。全部或部分加密后的用户信息与作为所述用户识别符的哈希值成组地存储登记在用户管理数据库14中。另外，把所述密钥和哈希值从用户管理服务器12发送给用户侧终端10，在用户侧终端10中存储在作为本发明的存储介质的IC卡20中。作为这种IC卡20，虽然没有特别限定，但优选使用例如非接触式的IC卡。另外，作为所述用户识别符不限于哈希值，只要是能够根据密钥利用单向性函数进行计算的值即可。

当用户使与数据访问终端16连接的读卡器22读取存储在所述IC卡20中的数据时，数据访问终端16使用从IC卡20读出的哈希值，从用户管理数据库14获取和与该读出的哈希值一致的哈希值相组合的用户信息。由于该用户信息被全部或部分加密，所以数据访问终端16使用从IC卡20读出的密钥对用户信息中的加密后的部分进行解密。数据访问终端16使用该解密后的用户信息访问数据库18，读出和与该用户信息一致的用户信息相组合的数据。由此，用户可以取出所期望的数据。

另外，在数据库18中，预先将预定的用户信息与文件、图像、动态图像、声音等数据相组合并存储，只有已经通过该用户信息而得到认证的用户才能获取所述数据。另外，也具有数据的追加、删除、检索等功能。

如上所述，用户如果不依据预先登记在数据库18中的用户信息就不能从数据库18取出数据，利用每次向用户管理数据库14进行登记时动态生成的密钥对该用户信息进行加密。并且，在用户信息的解密中使用的密钥只存储在用户持有的IC卡20中。因此，除了持有IC卡20的用户以外的人员不能从数据库18取出数据，可以提高数据管理系统的安全性。另外，因为在每次登记用户信息时动态地生成所述密钥，所以即使在泄露了密钥的情况下，只要再次向用户管理服务器12发送用户信息，即可生成不同的密钥。因此，以后也能够安全地使用该终端。

在以上所述的数据管理系统中，当由于购买更换等而更换了用户侧终端10时，从旧用户侧终端将存储在IC卡20中的密钥与用户所确定的安全号码一起发送给用户管理服务器12。

在用户管理服务器12中，使用安全号码对从旧用户侧终端发送的密钥进行加密。然后，用户管理服务器12生成保管号码，将加密后的密钥与保管号码一起存储登记在用户管理数据库14中。并且，保管号码被发送给旧用户侧终端。

旧用户侧终端显示从用户管理服务器12发送的保管号码以告知用户，并删除存储在IC卡20中的密钥。

接着，用户把用户侧终端10变更为新用户侧终端，然后从新用户侧终端向用户管理服务器12发送所述保管号码和安全号码。

用户管理服务器12获取和与所接收的保管号码一致的保管号码一起存储在用户管理数据库14中的加密后的密钥，使用安全号码进行解密。解密后的密钥被发送给新用户侧终端。

在新用户侧终端中，把所接收的密钥存储在IC卡20中，并将该情况通知用户管理服务器12。在用户管理服务器12中，当接收到该通知时，删除存储在用户管理数据库14中的加密后的密钥和保管号码。

如上所述，存储在旧用户侧终端的IC卡20中的密钥被删除，在新用户侧终端的IC卡20中存储密钥。并且，在临时把密钥存储在用户管理数据库14中时，将该密钥加密。因此，能够从旧用户侧终端向新用户侧终端安全地交接密钥。另外，旧用户侧终端相当于本发明的第1用户侧终端，新用户侧终端相当于本发明的第2用户侧终端。

图2表示所述用户侧终端10的结构框图。在图2中，用户侧终端10包括显示控制部24、输入输出控制部26、通信控制部28、判定部29、显示部30、操作部32和卡部34。另外，卡部34也可以外置。

显示控制部24控制在显示部30上显示用于从用户获取用户信息的用户界面(UI)的动作。用户根据显示部30的显示内容，通过由按钮等构成的操作部32输入预定的数据、动作指示等。并且，卡部34是用于将所述IC卡20插入、读写IC卡20的内容的装置，例如执行所述密钥和哈希值的写入、密钥的删除等。输入输出控制部26控制操作部32和卡部34的数据的输入输出。并且，通信控制部28控制与用户管理服务器12的通信，进行所述用户信息、密钥、哈希值、密钥的保管号码等的交换。判定部29在更换用户侧终端10时判定用户管理服务器12中的密钥的解密是否成功、是否已输入继续执行IC卡20的密钥写入处理的指示等。

图3表示所述用户管理服务器12的结构框图。在图3中，用户管理服务器12包括通信部36、密钥生成部38、加密部40、解密部41、用户识别符生成部42和登记管理部44、判定部45，与用户管理数据库14连接。

通信部36控制与用户侧终端10的通信，进行所述用户信息、密钥、哈希值、密钥的保管号码等的交换。密钥生成部38在每次登记用户信息时动态地生成用于对从用户侧终端10发送的用户信息的全部或一部分进行加密的密钥。另外，加密部40使用所生成的密钥执行用户信息的加密。可以对用户信息中的需要加密的一部分进行该加密，也可以对全部信息进行该加密。另外，在更换用户侧终端10时，加密部40使用安全号码执行密钥的加密。用户识别符生成部42生成用户识别符，如上所述，优选构成为使用哈希函数生成密钥的哈希值，并把其作为用户识别符。登记管理部44控制把加密后的用户信息与作为用户识别符的哈希值成组地存储在用户管理数据库14中的动作。另外，登记管理部44还在更换用户侧终端10时生成密钥的保管号码。判定部45执行在数据库18中是否存储了与预定的用户信息对应的数据等的判定。另外，判定部45还在更换用户侧终端10时进行加密后的密钥的解密是否成功的判定。在更换用户侧终端10时，解密部41在从新用户侧终端接收到安全号码和保管号码时，获取和与所接收的保管号码一致的保管号码一起存储在用户管理数据库14中的加密后的密钥，使用安全号码进行解密。

图4表示所述数据访问终端16的结构框图。在图4中，数据访问终端16包括输入输出控制部46、信息获取部48、解密部50、显示控制部52、操作部54和读卡器22，与用户管理数据库14、显示装置56和数据库18连接。

读卡器22从所述IC卡20读出密钥和哈希值。操作部54例如由触摸面板等构成，用户可以输入预定的动作指示、数据等。输入输出控制部46控制读卡器22和操作部54的动作指示、数据等的输入输出。信息获取部48从用户管理数据库14获取和与从IC卡20读出的作为用户识别符的哈希值一致的哈希值相组合的用户信息。解密部50使用从IC卡20读出的密钥，对从用户管理数据库14获取的用户信息中的加密部分进行解密。另外，信息获取部48从数据库18获取和与解密后的用户信息一致的用户信息组合存储的数据。显示控制部52根据来自操作部54的输入，使显示装置56显示从数据库18获取的数据。该显示装置56例如可以是投影仪，在预定的屏幕上显示所述数据。

图5表示利用所述显示装置56显示数据时的结构示例。在图5中，如上面所述，根据来自由触摸面板等构成的所述操作部54的指示，数据访问终端16从数据库18获取的数据通过显示控制部52从作为显示装置56的投影仪被投影到屏幕58上。另外，在图5中，示出了投影仪和屏幕为反射型显示方式的情况，但也可以是利用投影仪从屏幕背后投影的透射型显示方式。

图6示出了更换用户侧终端10时的旧用户侧终端的动作流程。在图6中，输入输出控制部26通过卡部34从IC卡20读出密钥(S1)。然后，获取由用户确定、从操作部32输入的安全号码(S2)。然后，通信控制部28向用户管理服务器12发送所述安全号码和密钥(S3)。

在用户管理服务器12中对从旧用户侧终端发送的密钥进行加密，并临时存储在用户管理数据库14中，然后将保管号码发送给旧用户侧终端，因而旧用户侧终端接收该保管号码(S4)。

在旧用户侧终端，显示控制部24在显示部30上显示所接收的保管号码(S5)，输入输出控制部26使卡部34执行存储在IC卡20中的密钥的删除(S6)。以上结束了旧用户侧终端在终端更换时的动作。

图7示出了从旧用户侧终端发送了安全号码和密钥时的用户管理服务器12的动作流程。在图7中，当通信部36接收到安全号码和密钥时(S10)，加密部40使用安全号码将密钥加密(S11)。此时，登记管理部44生成保管号码(S12)，并将保管号码和加密后的密钥一起临时存储保管在用户管理数据库14中(S13)。然后，通过通信部36向旧用户侧终端发送保管号码(S14)。以上结束了用户管理服务器12在从旧用户侧终端发送了安全号码和密钥时的动作。

图8示出了更换用户侧终端10时的新用户侧终端的动作流程。在图8中，用户从操作部32输入在旧用户侧终端的显示部30上显示的保管号码和自己所确定的安全号码，从而新用户侧终端的输入输出控制部26取得这些数据(S20)。

通信控制部28将所获取的保管号码和安全号码发送给用户管理服务器12(S21)。在用户管理服务器12中使用所接收的安全号码对密钥进行解密，由于把是否正确实施了该解密的情况通知给新用户侧终端，所以新用户侧终端的判定部29根据该通知判定用户管理服务器12中的密钥的解密是否成功(S22)。当解密成功时，从用户管理服务器12接收解密后的密钥(S23)，输入输出控制部26使卡部34将该密钥写入IC卡20中(S24)，结束新用户侧终端上的处理。此时，由通信控制部28对用户管理服务器12进行已将密钥写入到IC卡20中的意旨的通知。另外，当解密成功时，用户管理服务器12也可以不进行解密成功的通知，而将解密后的密钥发送给新用户侧终端。该情况下，判定部29根据密钥的接收而判断为所述解密已成功。

并且，在S22中，当判定为解密不成功时，显示控制部24在显示部30上显示该情况。用户从操作部32输入是否继续执行密钥的写入处理的指示。当输入了继续执行指示时(S25)，重复自S20起的步骤。当输入了结束指示时(S25)，结束新用户侧终端上的处理。

图9示出了从新用户侧终端发送了保管号码和安全号码时的用户管理服务器12的动作流程。在图9中，当通信部36接收到保管号码和安全号码时(S30)，登记管理部44从用户管理数据库14获取和与所接收的保管号码一致的保管号码一起存储的加密后的密钥(S31)。由于所获取的密钥已被加密，所以解密部41使用从新用户侧终端接收的安全号码进行解密(S32)。

判定部45判定是否正确进行了所述解密(S33)。可以根据与密钥一起加密的保管号码是否被正确解密来判定密钥的解密是否成功。当正确进行了解密时，将该情况以及解密后的密钥发送给新用户侧终端(S34)。此时，当从新用户侧终端接收到已把密钥写入到IC卡20中的通知时，判定部45判定为已在新用户侧终端中成功地写入了密钥(S35)，登记管理部44删除与保管号码一起临时存储在用户管理数据库14中的密钥(S36)。并且，当未正确进行解密时，向新用户侧终端发送解密失败的通知(S37)。该情况下，不发送密钥。

以上，结束了从新用户侧终端发送了保管号码和安全号码时的用户管理服务器12的处理。

Claims (8)

1.一种数据管理方法，

从第1用户侧终端接收存储在该第1用户侧终端中的密钥；

将所述密钥加密；

发布针对所述密钥的第1保管号码；

把所述加密后的密钥与所述第1保管号码对应起来，把所述加密后的密钥登记在用户管理数据库中；

把所述第1保管号码发送给第1用户侧终端；和

在从第2用户侧终端发送的第2保管号码与所述第1保管号码一致时，将所述已登记并加密的密钥解密，把已解密的所述密钥发送给第2用户侧终端。

2.根据权利要求1所述的数据管理方法，进一步：

在进行所述加密前，从所述第1用户侧终端接收安全号码；

从第2用户侧终端接收安全号码；

使用从第1用户侧终端发送的所述安全号码进行从第1用户侧终端接收的所述密钥的加密；

使用从第2用户侧终端发送的所述安全号码进行所述已登记并加密的密钥的解密。

3.根据权利要求1或2所述的数据管理方法，进一步，在向第1用户侧终端发送了第1保管号码后，从第1用户侧终端删除存储于第1用户侧终端中的所述密钥。

4.根据权利要求1或2所述的数据管理方法，进一步，在向第2用户侧终端发送了所述已解密的密钥后，从用户管理数据库删除已解密的所述密钥。

5.一种数据管理系统，具有：

接收部，其从第1用户侧终端接收存储在该第1用户侧终端中的密钥；

加密部，其将所述密钥加密；

发布部，其发布针对所述密钥的第1保管号码；

登记管理部，其把所述加密后的密钥与所述第1保管号码对应起来，同时把所述加密后的密钥登记在用户管理数据库中；

发送部，其把所述第1保管号码发送给第1用户侧终端；和

解密部，其在从第2用户侧终端发送的第2保管号码与所述第1保管号码一致时，将所述已登记并加密的密钥解密，把已解密的所述密钥发送给第2用户侧终端。

6.根据权利要求5所述的数据管理系统，

所述接收部从所述第1用户侧终端接收安全号码，并且从第2用户侧终端接收安全号码，

所述加密部使用从第1用户侧终端发送的所述安全号码将从第1用户侧终端接收的所述密钥加密，

加密部使用从第2用户侧终端发送的所述安全号码将所述已登记并加密的密钥解密。

7.根据权利要求5或6所述的数据管理系统，

还具有删除部，该删除部在发送部向第1用户侧终端发送了第1保管号码后，从第1用户侧终端删除存储于第1用户侧终端中的所述密钥。

8.根据权利要求5或6所述的数据管理系统，

还具有删除部，在向第2用户侧终端发送了所述已解密的密钥后，该删除部从用户管理数据库删除已解密的所述密钥。

Images