CN103701592A - 数据截取和加解密的方法及系统 - Google Patents

Abstract

本发明公开了一种数据截取和加解密的方法，从客户端到服务端传输数据时将敏感数据加密后再离开内网，从服务端到客户端传输数据时在进入内网后将加密后的数据解密以得到敏感数据。为此，本发明还公开了数据截取和加解密的系统。本发明可以保障政府、企业等涉及到敏感数据的内网用户对敏感数据的保护和管控要求，具有极强的安全性。

Description

数据截取和加解密的方法及系统

技术领域

本申请涉及一种从内网向外网的数据传输过程中，截取敏感数据并将敏感数据加密后继续向外网传输的方法；以及相应地从外网向内网的数据传输过程中，在加密的数据进入内网后将其解密为敏感数据的方法。

背景技术

内网是指政府、企业、或其他机构所建设的专有的计算机网络。外网是指公共的计算机网络，即互联网。现代社会信息交流日益频繁，数据在内、外网之间的双向传输非常普遍。以云计算服务为例，用户会把大量的数据保存在云端，如何保证数据在传输过程中，以及保存在云端的数据安全，是用户非常关注的问题。现在云服务提供商常提供SSL或VPN等方式来保证传输的安全性，也有云服务提供商提供加密存储等安全措施。然而，这些传输和存储的安全机制是由云服务提供商提供的，甚至最关键的加密密钥也可能由云服务提供商保存，这种由外网的服务商提供的安全解决方案很难让内网的用户真正放心。

如何让涉及到敏感数据的内网用户可以在保护敏感数据的前提下，正常地使用诸如云计算网络等涉及到内、外网之间数据传输的网络服务，就成为亟待解决的一大难题。

发明内容

本申请所要解决的技术问题是提供一种数据截取和加解密的方法，可以解决上述技术难题。为此，本申请还要提供一种数据截取和加解密的系统。

为解决上述技术问题，本申请数据截取和加解密的方法为：

从客户端到服务端传输数据时包括如下步骤：

第a1步，截获从客户端发往服务端的数据包；

第a2步，从截获的数据包中查找需要加密的数据项，称为原数据项；如果未找到任何原数据项，则将截获的数据包直接发给服务端；如果找到一个或多个原数据项，则进入第a3步；

第a3步，针对每一个原数据项，将其加密后作为标签值；在每一个标签值前、后分别加上前缀和后缀，形成一个标签；用每一个标签替换每一个原数据项；

将截获的数据包中的所有原数据项都用标签替换后，生成替换数据包；

第a4步，格式化替换数据包；

第a5步，将替换数据包发给服务端；

从服务端到客户端传输数据时包括如下步骤：

第b1步，截获从服务端发往客户端的数据包；

第b2步，从截获的数据包中查找标签；如果未找到任何标签，则将截获的数据包直接发给客户端；如果找到一个或多个标签，则进入第b3步；

第b3步，针对每一个标签，对标签值解密后得到相应的原数据项；用每一个原数据项替换每一个标签；

将截获的数据包中的所有标签都用原数据项替换后，生成还原数据包；

第b4步，格式化还原数据包；

第b5步，将还原数据包发送至客户端。

本申请数据截取和加解密的系统包括

——截取模块，截获从客户端发往服务端的数据包、以及从服务端发往客户端的数据包；

——解析模块，在截获的从客户端发往服务端的数据包中查找需要加密的数据项，称为原数据项，在截获的从服务端发往客户端的数据包中查找标签；

——直通传输模块，如果在截获的从客户端发往服务端的数据包中未找到原数据项，则将截获的数据包发给服务端；如果在截获的从服务端发往客户端的数据包中未找到标签，则将截获的数据包发给客户端；

——加密模块，将原数据项加密后作为标签值；

——标签封装模块，在标签值前、后分别加上前缀和后缀，形成一个标签；

——解密模块，对标签值解密后得到相应的原数据项；

——替换模块，如果在截获的从客户端发往服务端的数据包中找到一个或多个原数据项，则将所有原数据项都用标签替换后，生成替换数据包；如果在截获的从服务端发往客户端的数据包中找到一个或多个标签，则将所有标签都用原数据项替换后，生成还原数据包；

——文本格式化模块，根据截获的从客户端发往服务端的数据包中的各个原数据项所对应的标签的大小属性修改替换数据包的大小属性，根据截获的从服务端发往客户端的数据包中的各个标签所对应的原数据项的大小属性修改还原数据包的大小属性；

——转换传输模块，如果在截获的从客户端发往服务端的数据包中找到一个或多个原数据项，则将替换数据包发给服务端；如果在截获的从服务端发往客户端的数据包中找到一个或多个标签，则将还原数据包发给客户端。

本申请数据截取和加解密的方法及系统可以保障政府、企业等涉及到敏感数据的内网用户对敏感数据的保护和管控要求，同时又能正常地使用诸如云计算等涉及到内、外网之间数据传输的网络服务。这样既可以促进政府、企业等内网用户的信息化应用，又能够促使网络服务业得到蓬勃发展。

此外，本申请将原数据项加密后进行替换，根据加密的标签值无法破解得到原数据项，加密数据的算法都由用户自己决定，加密数据的密钥都是由用户自己管理，这样安全性更强，用户更放心，从而对于敏感数据的流向具有完全的管控能力。

附图说明

图1是本申请数据截取和加解密的方法的第一实施例的流程图（对上行数据的处理）；

图2是本申请数据截取和加解密的方法的第一实施例的流程图（对下行数据的处理）；

图3是本申请数据截取和加解密系统的第一实施例的结构示意图；

图4是本申请数据截取和加解密的方法的第二实施例的流程图（对上行数据的处理）；

图5是本申请数据截取和加解密系统的第二实施例的结构示意图。

具体实施方式

本申请数据截取和加解密的方法包括对上行数据的处理、对下行数据的处理两部分。所述上行数据是指从客户端到服务端的数据，所述下行数据是指从服务端到客户端的数据。并且，客户端是在内网中，服务端是在外网中。在数据离开内网前，首先要加密，只有用户自己才能解开。

请参阅图1，本申请对于上行数据的截取和加密的方法的第一实施例包括如下步骤：

第a1步，截获从客户端发往服务端的数据包；

第a2步，从截获的数据包中查找需要加密的数据项，即原数据项；如果未找到任何原数据项，则将截获的数据包直接发给服务端；如果找到一个或多个原数据项，则进入第a3步；

第a3步，针对每一个原数据项，对该原数据项加密后作为标签值；在每一个标签值前、后分别加上前缀和后缀，形成一个标签；用每一个标签替换每一个原数据项；

截获的数据包通常由需要加密的数据项（原数据项）和无需加密的数据项共两部分组成；将截获的数据包中的所有原数据项都用标签替换后，而无需加密的数据项均保留不变，生成替换数据包；

第a4步，格式化替换数据包；

第a5步，将替换数据包发给服务端。

所述方法第a2步中，为了从截获的数据包中查找需要加密的数据项，首先根据传输协议的不同（每种传输协议都有相应的数据结构）将截获的数据包分解为多个数据项，然后通过查询数据项属性字典与分解的各个数据项比对，确定哪些是需要加密的数据项，哪些是无需加密的数据项。所述数据项属性字典预先保存了需要加密的数据项（原数据项）的属性，从而可以根据各个数据项的属性判断是否属于原数据项。

所述方法第a3步中，每个标签都由前缀、标签值、后缀这三部分组成。标签值是加密后的原数据项，因而无法根据标签值推算出原数据项。在该第一实施例中，所有标签的前缀均相同或具有统一特征，所有标签的后缀也均相同或具有统一特征。前缀、后缀均有区别于原数据项的明显特征，且其长度是可变、可配置的。优选地，对原数据项可以采用多种加密算法，不同加密算法所得到的标签值以不同的前缀和/或后缀加以区分。相应地在对标签值解密时，可以根据前缀和/或后缀的不同得知采用的加密算法，从而采用相应的解密算法。

所述方法第a4步中，对替换数据包的格式化是指根据原数据项所对应的标签的大小属性修改替换数据包的大小属性。这是因为截获的数据包本身有大小的属性，其中的每个数据项也有大小的属性，截获的数据包的大小等于所有数据项的大小之和。如果直接用标签代替原数据项，每个标签的大小（长度，以位或字节为单位）不一定完全和原数据项一致。为确保替换数据包的大小等于原数据项所对应标签的大小与无需加密的数据项的大小之和，必须对替换数据包进行格式化处理才不会在传输中出现混乱。

请参阅图2，本申请对于下行数据的截取和解密的方法的第一实施例包括如下步骤：

第b1步，截获从服务端发往客户端的数据包；

第b2步，从截获的数据包中查找标签；如果未找到任何标签，则将截获的数据包直接发给客户端；如果找到一个或多个标签，则进入第b3步；

第b3步，针对每一个标签提取出标签值，对该标签值解密后得到原数据项；用每一个原数据项替换每一个标签；

截获的数据包通常由标签和无需加密的数据项共两部分组成；将截获的数据包中的所有标签都用格式化后的原数据项替换后，而无需加密的数据项均保留不变，生成还原数据包；

第b4步，格式化还原数据包；

第b5步，将还原数据包发送至客户端。

所述方法第b2步中，为了从截获的数据包中查找标签，首先根据传输协议的不同将截获的数据包分解为多个数据项，然后通过标签的前缀和后缀所具有的特征确定哪些是标签，哪些是无需加密的数据项。

所述方法第b4步中，对还原数据包的格式化是指根据标签所对应的原数据项的大小属性修改还原数据包的大小属性。这是因为截获的数据包本身有大小的属性，其中的每个数据项也有大小的属性，截获的数据包的大小等于所有数据项的大小之和。如果直接用原数据项代替标签，每个原数据项的大小（长度，以位或字节为单位）不一定完全和标签一致。为确保还原数据包的大小等于标签所对应的原数据项的大小与无需加密的数据项的大小之和，必须对还原数据包进行格式化处理才不会在传输中出现混乱。

请参阅图3，本申请数据截取和加解密系统的第一实施例包括

——截取模块，截获从客户端发往服务端的数据包（即上行数据包，图3中以实线表示）、以及从服务端发往客户端的数据包（即下行数据包，图3中以虚线表示）；

——解析模块，在截获的上行数据包中查找需要加密的数据项（原数据项），在截获的下行数据包中查找标签；

——直通传输模块，如果在截获的上行数据包中未找到原数据项，则将截获的上行数据包直接发给服务端；如果在截获的下行数据包中未找到标签，则将截获的下行数据包直接发给客户端；

——加密模块，将原数据项加密后作为标签值；

——标签封装模块，在标签值前、后分别加上前缀和后缀，形成一个标签；

——解密模块，在标签中提取出标签值，对标签值解密后得到相应的原数据项；

——替换模块，如果在截获的上行数据包中找到一个或多个原数据项，则将所有原数据项都用标签替换后，生成替换数据包；如果在截获的下行数据包中找到一个或多个标签，则将所有标签都用原数据项替换后，生成还原数据包；

——文本格式化模块，根据截获的上行数据包中的各个原数据项所对应的标签的大小属性修改替换数据包的大小属性，根据截获的下行数据包中的各个标签所对应的原数据项的大小属性修改还原数据包的大小属性；

——转换传输模块，如果在截获的上行数据包中找到一个或多个原数据项，则将替换数据包发给服务端；如果在截获的下行数据包中找到一个或多个标签，则将还原数据包发给客户端。

本申请数据截取和加解密系统可以有多种实现方式。例如，该系统可以是一台计算机，部署在客户端与服务端之间，并且与客户端同属内网。又如，该系统可以是一个连接在客户端的计算机配件，诸如U盘之类。再如，该系统可以是客户端上面的纯软件系统，无须增加任何硬件。无论何种实时方式，该系统都必须部署在内网中。显然在该系统中保存有加密算法和解密算法以及相应的密钥。

请参阅图4，这是本申请对于上行数据的截取和加解密的方法的第二实施例。与第一实施例相比的区别仅在于第a3步，将原数据项分为不同类型；针对每一个原数据项，对原数据项的内容进行加密后作为标签值，在每一个标签值前、后分别加上前缀和后缀，形成一个标签；用每一个标签替换每一个原数据项；将截获的数据包中的所有原数据项都用标签替换后，生成替换数据包。

作为一个示例，可将原数据项分为两种不同类型：一般型、顺序型。任何原数据项的内容都要加密后作为标签值。一般型的原数据项所对应的标签值前、后分别加上一般的前缀、后缀。针对顺序型的原数据项，在每一个标签值前增加顺序型前缀，在每一个标签值后增加后缀，形成一个标签。

该第二实施例中，将原数据项分为两种不同类型。在其他实施例中，对原数据项的分类可以更少或更多。但同一类型的原数据项所对应的标签中的前缀相同或具有统一特征、后缀相同或具有统一特征；不同类型的原数据项所对应的标签中的前缀不同，后缀可以相同或不同。

如果原数据项是电子邮件地址，则以标签仅替换之前的内容，和之后的部分保留不变，以便于服务端识别出这是电子邮件地址。

某些原数据项之间是具有顺序关系的，例如按姓氏拼音或笔画排序的多个姓名，此时这多个姓名就属于顺序型原数据项。如果简单地用一般前缀+加密的顺序型原数据项（标签值）+一般后缀组成的标签替换这些姓名，那么顺序型原数据项之间的排序关系就无法用标签体现出来。因此本申请为顺序型的原数据项设计了顺序型前缀+加密的顺序型原数据项（标签值）+一般后缀的标签加以替换，此时原来的排序关系可以由顺序型前缀加以体现。而顺序型的原数据项仍以标签值来一一对应，从而充分保证了数据的安全性。例如，可以用Ziv-Lempel压缩算法形成顺序前缀。该算法并不安全，较容易通过字典攻击等方式破解出原始数据。本申请将顺序型原数据项的开头的一部分按照Ziv-Lempel压缩算法进行压缩，形成顺序型前缀。这样即便根据这些顺序前缀破解出原始数据，也只是顺序型原数据项的开头的一部分，而不会泄漏顺序型原数据项的全部内容。然而也由于只是采用了顺序型原数据项的一部分，使得标签的排序可能与顺序型原数据项的排序不完全相同，而只是近似。

优选地，在使用相同的算法加密时，所有替换一般型原数据项的标签中的前缀均相同、后缀也均相同。在使用不同的算法加密时，前缀和/或后缀则具有明显不缺。所有替换顺序型原数据项的标签中的后缀均相同，前缀虽不同但具有统一的特征（例如顺序前缀开头具有一段统一的便于识别、又与其他数据不易混淆的字符）。但两种不同类型的原数据项所对应的标签中的前缀各不相同；后缀可以相同或者也各不相同。这样既便于从截获的下行数据包中分辨哪些是标签、哪些是无需加密的数据项，还便于分辨原数据项的类型以及使用的加密算法。

本申请对于上行数据的截取和加密的方法的第一实施例中，所有原数据项不加分类地用同一种格式（一般前缀+加密值+一般后缀）的标签加以替换。而在第二实施例中，将原数据项分为两种类型，并采用两种不同格式的前缀。这便保留了顺序型原数据项的排序关系，可作为第一实施例的优化方案。

本申请对于下行数据的截取和解密的方法的第二实施例与图2所示的第一实施例大体相同。只是在第b3步中，针对每一个标签提取出标签值，对该标签值解密后得到原数据项；用每一个原数据项替换每一个标签；将截获的数据包中的所有标签都用格式化后的原数据项替换后，生成还原数据包。

请参阅图5，本申请数据截取和加解密系统的第二实施例包括

——截取模块，截获上行数据包（图5中以实线表示）、以及下行数据包（图5中以虚线表示）；

——解析模块，在截获的上行数据包中查找原数据项，在截获的下行数据包中查找标签；

——直通传输模块，如果在截获的上行数据包中未找到原数据项，则将截获的上行数据包直接发给服务端；如果在截获的下行数据包中未找到标签，则将截获的下行数据包直接发给客户端；

——原数据项分类模块，将原数据项分为不同类型；

——加密模块，将原数据项的内容加密后作为标签值；

——标签封装模块，为一般型的原数据项对应的标签值前、后分别加上前缀和后缀，形成一个标签；为顺序型原数据项对应的标签值前加上顺序前缀、标签值后加上后缀，形成一个标签；

——解密模块，从标签中提取出标签值，对标签值解密后得到相应的原数据项；

——替换模块，如果在截获的上行数据包中找到一个或多个原数据项，则将所有原数据项都用标签替换后，生成替换数据包；如果在截获的下行数据包中找到一个或多个标签，则将所有标签都用原数据项替换后，生成还原数据包；

——文本格式化模块，根据截获的上行数据包中的各个原数据项所对应标签的大小属性修改替换数据包的大小属性，根据截获的下行数据包中的各个标签所对应的原数据项的大小属性修改还原数据包的大小属性；

——转换传输模块，如果在截获的上行数据包中找到一个或多个原数据项，则将替换数据包发给服务端；如果在截获的下行数据包中找到一个或多个标签，则将还原数据包发给客户端。

本申请数据截取和加解密系统的第二实施例与第一实施例相比，增加了原数据项分类模块，修改了标签封装模块的职能，从而适用于本申请数据截取和加解密方法的第二实施例。

本申请数据截取和加解密的方法用于拦截并识别客户端发往服务端的敏感数据（原数据项），并用加密后的标签替换这些敏感数据。同时拦截并识别服务端发往客户端的标签，并将标签解密后得到原数据项。本申请支持截获任意传输协议的数据，例如TCP、UDP、http、ftp、smtp、pop3等。

以上仅为本申请的优选实施例，并不用于限定本申请。对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (9)

1.一种数据截取和加解密的方法，其特征是，

从客户端到服务端传输数据时包括如下步骤：

第a1步，截获从客户端发往服务端的数据包；

第a2步，从截获的数据包中查找需要加密的数据项，称为原数据项；如果未找到任何原数据项，则将截获的数据包直接发给服务端；如果找到一个或多个原数据项，则进入第a3步；

第a3步，针对每一个原数据项，将其加密后作为标签值；在每一个标签值前、后分别加上前缀和后缀，形成一个标签；用每一个标签替换每一个原数据项；

将截获的数据包中的所有原数据项都用标签替换后，生成替换数据包；

第a4步，格式化替换数据包；

第a5步，将替换数据包发给服务端；

从服务端到客户端传输数据时包括如下步骤：

第b1步，截获从服务端发往客户端的数据包；

第b2步，从截获的数据包中查找标签；如果未找到任何标签，则将截获的数据包直接发给客户端；如果找到一个或多个标签，则进入第b3步；

第b3步，针对每一个标签将其标签值解密后得到相应的原数据项；用每一个原数据项替换每一个标签；

将截获的数据包中的所有标签都用原数据项替换后，生成还原数据包；

第b4步，格式化还原数据包；

第b5步，将还原数据包发送至客户端。

2.根据权利要求1所述的数据截取和加解密的方法，其特征是，所述方法第a2步中，先根据传输协议将截获的数据包分解为多个数据项，然后通过查询数据项属性字典与分解的数据项比对，确定哪些是原数据项，哪些是无需加密的数据项；

所述数据项属性字典预先保存了原数据项的属性；

所述方法第b2步中，先根据传输协议将截获的数据包分解为多个数据项，然后通过标签的前缀和后缀确定哪些是标签，哪些是无需加密的数据项。

3.根据权利要求1所述的数据截取和加解密的方法，其特征是，

所述方法第a4步中，格式化替换数据包是指根据标签的大小属性修改替换数据包的大小属性；

所述方法第b4步中，格式化还原数据包是指根据原数据项的大小属性修改还原数据包的大小属性。

4.根据权利要求1所述的数据截取和加解密的方法，其特征是，所述方法第a3步中，所有前缀相同或具有统一特征，所有后缀相同或具有统一特征。

5.根据权利要求1所述的数据截取和加解密的方法，其特征是，所述方法第a3步中，采用多种加密算法，同一种加密算法得到的标签值的所有前缀相同或具有统一特征，或者所有后缀相同或具有统一特征；不同加密算法得到的标签值的前缀和/或后缀不同。

6.根据权利要求1所述的数据截取和加解密的方法，其特征是，所述方法第a3步中，还将原数据项分为不同类型，同一类型的原数据项所对应的标签中的前缀相同或具有统一特征、后缀相同或具有统一特征；不同类型的原数据项所对应的标签中的前缀不同。

7.一种数据截取和加解密的系统，其特征是，包括：

——截取模块，截获从客户端发往服务端的数据包、以及从服务端发往客户端的数据包；

——解析模块，在截获的从客户端发往服务端的数据包中查找需要加密的数据项，称为原数据项，在截获的从服务端发往客户端的数据包中查找标签；

——直通传输模块，如果在截获的从客户端发往服务端的数据包中未找到原数据项，则将截获的数据包发给服务端；如果在截获的从服务端发往客户端的数据包中未找到标签，则将截获的数据包发给客户端；

——加密模块，将原数据项加密后作为标签值；

——标签封装模块，在标签值前、后分别加上前缀和后缀，形成一个标签；

——解密模块，对标签值解密后得到相应的原数据项；

——替换模块，如果在截获的从客户端发往服务端的数据包中找到一个或多个原数据项，则将所有原数据项都用标签替换后，生成替换数据包；如果在截获的从服务端发往客户端的数据包中找到一个或多个标签，则将所有标签都用原数据项替换后，生成还原数据包；

——文本格式化模块，根据截获的从客户端发往服务端的数据包中的各个原数据项所对应的标签的大小属性修改替换数据包的大小属性，根据截获的从服务端发往客户端的数据包中的各个标签所对应的原数据项的大小属性修改还原数据包的大小属性；

——转换传输模块，如果在截获的从客户端发往服务端的数据包中找到一个或多个原数据项，则将替换数据包发给服务端；如果在截获的从服务端发往客户端的数据包中找到一个或多个标签，则将还原数据包发给客户端。

8.根据权利要求7所述的数据截取和加解密的系统，其特征是，

新增原数据项分类模块，将原数据项分为不同类型。

9.根据权利要求7或8所述的数据截取和加解密的系统，其特征是，所述数据截取和转换的系统是一台计算机，部署在客户端与服务端之间，并且与客户端同属内网；

或者，所述数据截取和加解密的系统是一个连接在客户端的计算机配件；

或者，所述数据截取和加解密的系统是客户端上面的纯软件系统。

Images