CN105450669A - 一种面向数据的安全体系方法及系统 - Google Patents

Abstract

本发明公开了一种面向数据的安全体系方法及系统，包括：明确数据的权属；通过建立索引和搜索引擎，实现数据的管理和对应用提供服务；通过用数据生产者的私钥加密或签名来明确数据生产者，用数据所有者的公钥加密来明确数据所有者；数据授权，通过用数据使用者的公钥对数据进行加密来明确数据使用者，并对授权过程通过水印和数据注册中心进行记录和管理；对数据资源进行自适应管理；关联应用对数据的访问。本发明能有效解决和应对开放环境下的数据安全、数据权属、数据交易、数据共享、数据管理、数据隐私保护等问题和挑战；最大限度地保护数据安全和数据所有者的利益，具有较大的应用前景。

Description

一种面向数据的安全体系方法及系统

技术领域

本发明属于信息安全技术领域，尤其涉及一种面向数据的安全体系方法及系统。

背景技术

信息安全关乎国家安全、社会稳定、企业利益和个人隐私。环境的开放，数据的急剧扩张，人们对数据的依赖程度越来越高。由于数据集中存放、系统安全漏洞、数据越权访问等情况，使信息安全问题愈发突出。而随着数据时代的到来，也要求我们以新的数据体系结构去适应新的社会发展要求。

(1)开放环境下需要有新一代的数据安全解决方案。

我国政府提出的“互联网+”行动计划，要将移动互联网、云计算、大数据、物联网等作为我国新时期经济发展的重要推力，信息系统或应用体系所面临的环境更为开放，对数据和信息安全的要求更高。通常情况下，一个相对安全的信息系统或应用体系，是建立在一个相对封闭和安全的环境中，通过“门窗加固”等方式来保证这个封闭环境是安全的或可信的，更加强调的是网络空间安全、系统安全、环境安全和应用安全。虽然和外部交换信息时是通过数据加密或VPN通道来传输数据，但在这个相对“安全”的内部环境里，大多数数据却是处于“裸露”状态的。一旦有不速之客通过各种漏洞或非法获得权限进入到这个环境，“裸露”的数据就面临着极大的危险。一些数据中心所涉及的数据安全，多是指利用数据备份、数据灾备等技术来保障数据不丢失、不被破坏，但仍存在着越权访问等危险行为，造成数据和信息泄露的隐患。封闭环境下的安全方法在开放环境下的面临着极大的挑战，开放环境下的数据安全成为重要的研究课题。朱静波(2006年)提出了开放网络环境下数据的发布与管理，涉及了单向加密、新人凭证等属性概念。陈珂(2007年)较系统地了开放环境下敏感数据的安全问题。闫玺玺(2012年)提出了开放环境下敏感数据防泄露若干关键技术，其中主要涉及威胁模型、数据管理机制、可信执行、数据封装加密、秘钥保存等问题。刘逸敏(2012年)提出基于R-PAACEE模型的隐私分析算法，可以判断用户隐私，且该方法，对于结构化数据、日志数据、XML数据均有判断力，并且依据不同场景进行了实验分析。在开放环境下，除了网络安全和系统安全保障之外，还需要在安全的体系结构和安全的数据保护机制等方面有相应的举措。2012年，美国一些知名的数据管理领域的专家学者联合发布白皮书“ChallengesandOpportunitieswithBigData”，提出数据安全及系统架构问题的挑战。信息安全的核心就是数据的安全，开展面向数据和以数据为核心的数据安全体系研究是十分必要的。XiangrongXiao(2009年)在无线传感网络上的应用中对“面向数据的安全模型”进行过研究，但没有从面向数据的安全体系结构上开展研究。因此，需要有一种新的安全体系结构，即面向数据的安全体系结构，来应对这个挑战。

(2)信息社会和数据时代要求有更底层的体系结构来保证数据安全和数据的安全应用。

“互联网+”行动计划带给我们两点启示：一是以互联网为代表的信息技术集合由过去的行业性质，转变为了可以支撑其他行业发展的基础；二是只有互联网+数据，才能把传统行业加到互联网上去发展。

由于数据集中存放、系统安全漏洞、数据越权访问等情况，使信息安全问题愈发突出。

发明内容

本发明的目的在于提供一种面向数据的安全体系方法及系统，旨在解决由于数据集中存放、系统安全漏洞、数据越权访问等情况，使信息安全问题愈发突出的问题。

本发明是这样实现的，一种面向数据的安全体系方法，所述面向数据的安全体系方法包括：

明确数据的权属，即数据的生产者、数据的所有者和数据的使用者，对参与网络活动的人员进行注册和身份确认(见图2)；

通过建立索引和搜索引擎，实现数据的管理和对应用提供服务；

通过用数据生产者的私钥对数据签名来明确数据的生产者，用数据所有者的公钥对数据加密来明确数据的所有者，并实现数据的天生加密(见图3、图8)；

用数据所有者的私钥对数据解密后再用数据使用者(被授权人)的公钥对数据加密，实现数据授权使用；授权过程用所有者私钥加密，在数据注册中心进行记录和管理(见图4、图5、图9)；

对数据资源进行自适应管理，保证数据的唯一性和一致性，监管和处置数据的各种异常行为；

以水印的方式将数据生产者、所有者及授权给使用者的过程及时间戳记录下来，与原始数据一起进行加密管理(见图5、图9)；

关联应用对数据的访问，对各种应用提供支持，确定数据安全应用的环境，通过多种手段实现内存数据的安全保障和不被侵入窃取。

本发明的另一目的在于提供一种面向数据的安全体系的系统，所述面向数据的安全体系的系统包括：

CA用户认证模块，对参与网络活动的人员进行注册和身份确认；

DRC数据注册模块，对所有数据及人员进行注册和登记，并保存网络人员的公钥。通过分类、建立索引和搜索引擎，实现数据的管理、人员的管理和对应用提供服务；

PKI数据权属与加密呈现模块，明确数据的生产者、所有者和使用者；通过用数据生产者的私钥签名来明确数据的生产者，用数据所有者的公钥加密来明确数据的所有者，并实现数据的天生加密；

DAC数据授权使用模块，用数据所有者的私钥解密后再用数据使用者(被授权人)的公钥加密实现数据授权，授权过程通过水印和数据注册中心进行记录和管理；

DEC数据监管模块，对数据资源进行自适应管理，保证数据的唯一性和一致性，监管和处置数据的各种异常行为(例子见图7)；

DWR数字水印记录模块，以水印的方式将数据所有者及授权使用过程记录下来，与原始数据一起进行管理；

DAUs数据安全应用模块，关联应用对数据的访问，对各种应用提供支持，确定数据安全应用的环境，通过多种手段实现内存数据的安全保障和不被侵入窃取(例子见图6、图10)。

本发明的另一目的在于提供一种所述面向数据的安全体系方法的数据安全应用系统。

本发明的另一目的在于提供一种所述面向数据的安全体系方法的数据交易平台(例子见图12)。

本发明的另一目的在于提供一种所述面向数据的安全体系方法的数据隐私保护系统。

本发明的另一目的在于提供一种所述面向数据的安全体系方法的数字虚拟资产保护系统。

本发明提供的面向数据的安全体系方法及系统，针对大数据、云计算、移动互联网等开放环境下日益严峻的信息安全问题，特别是利用系统漏洞和越权访问造成的数据泄露等安全问题，提出了一种以数据为核心和面向数据的信息安全解决方案，即面向数据的安全体系结构(DOSA，DataOrientedSecurityArchitecture)；DOSA将通过网络用户身份认证、数据权属确立、数据注册、加密呈现，授权使用，水印记录、过程溯源、数据监管、安全应用等方法，建立一套开放环境下的数据安全体系，可以从数据的采集、管理、应用等层面上，最大限度地保护数据安全，在数据交易、数据存储、数据传输、数据应用、数据隐私保护、数字虚拟资产保护等方面，具有较大的应用前景。开放环境下信息安全问题集中体现在数据的安全上。本发明DOSA采用“面向数据和以数据为核心”的理念，建立数据与用户之间的权属关系，采用数据“天生加密，授权使用”方法，通过CA、DRC、DAC、DEC、PKI、DWR、DAUs等实现数据的安全管理和安全应用，建立从数据保护到授权应用的整套机制。基于DOSA的初步应用表明，面向数据的安全体系结构能有效解决和应对开放环境下数据的安全、数据所有权、数据交易、数据共享、数据管理、数据隐私保护、数字虚拟资产保护等问题和挑战。

从软件架构角度看，本发明技术强调以数据为核心和一切围绕数据来构建应用软件和系统软件，是未来数据社会的软件基础设施，是有序数据社会的技术支撑；从数据权属角度看，本发明技术明确网络人员身份与数据权属，区分数据生产者、数据所有者和数据使用者，明确了人和数据的关系、人和应用的关系，明确了数据需天生加密和授权使用的机制；从信息安全角度看，本发明技术从数据源头进行安全保护，实现数据天生加密，不论在存储时还是传输时都是加密状态，只有在安全的应用环境中才是解密状态，将过去的封闭环境下“门窗加固”的安全手段提升到“穿盔带甲”的安全方式，是一种互联网级别的开放环境下的数据安全解决方案；从信息共享角度看，本发明技术从机制上解决了数据权属问题，保障了数据所有者的利益；从技术上构建了不同部门和区域共同可访问的逻辑数据资源池，通过授权访问数据，是信息共享从机制到技术的完整解决方案；从应用系统角度看，本发明技术通过以数据注册中心构成的数据大平台，在其上生长碎片化的各种应用，是实现数据共享和应用可持续增长的数据应用生态系统；从软件工程角度看，本发明技术改变了过去面向业务软件工程开发方法的需求不可变更、开发周期长、维护复杂、生命周期短等弊端，是一种面向数据的增长型、灵活性和可持续的软件开发方法；从数据交易角度看，本发明技术是在确定数据所有者身份、保障数据所有者利益并保证数据安全的前提下，通过授权和过程记录来实现交易；从智慧城市角度看，本发明技术是各区域各部门数据资源的一种既可以自治又可以整合的数据路由器，可以实现跨区域、跨部门的数据共享和应用；从创新创业角度看，本发明技术是一种应用沉淀数据和数据生长应用的开放式的众创平台；从数据分析挖掘角度看，本发明技术是一种在原生数据之上可获得实时结果和多种算法共存的决策支持平台；从数据立法角度看，本发明技术是支持数据产权归属与界定、数据资产和用户隐私保护等的技术落地；从数据社会角度看，本发明技术是遵从数据特征和规律的、保障数据社会有序发展的基础技术支撑。

附图说明

图1是本发明实施例提供的面向数据的安全体系系统构成及数据、应用和人的关系示意图。

图2-11是本发明实施例提供的面向数据的安全体系方法流程图。其中：图2是CA中心与数据注册中心DRC实现人员身份认证示意图；图3是数据天生加密流程图；图4是数据使用授权申请流程图；图5是数据授权流程图；图6是数据使用流程图；图7是数据违规授权使用追踪流程图；图8是体量大的数据加密流程图；图9是体量大的数据授权流程图；图10是体量大的数据使用流程图；图11是数据所有者授权数据代理申请流程图。

图12是本发明实施实例提供的数据交易示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

本发明提出了面向数据的体系结构(DOA，Data_OrientedArchitecture)，来构建数据时代的底层架构，并试图去解决数据权属、信息共享、系统功能扩展、数据管理、大数据分析和挖掘支持、软件工程、信息安全、数据所有者利益保障等问题。本发明针对开放环境下数据安全性问题，进行了安全体系设计，引入了“面向数据”的技术架构，构建安全的数据访问机制；针对大数据、云计算、移动互联网等开放环境下日益严峻的信息安全问题，特别是利用系统漏洞和越权访问造成的数据泄露等安全问题，提出了一种以数据为核心和面向数据的信息安全解决方案，即面向数据的安全体系结构(DOSA，DataOrientedSecurityArchitecture)。

下面结合附图对本发明的应用原理作详细的描述。

如图1所示，本发明实施例的面向数据的安全体系系统主要包括：CA用户认证模块、DEC数据注册模块、PKI数据权属与加密呈现模块、DAC授权使用模块、DEC数据监管模块、DWR数字水印记录模块等。由此构成的安全体系系统可以明确数据所有者(DO，DataOwner)，并对应用用户(AU，ApplicationUser)提供授权和应用服务。

如图2-图11，本发明实施例的面向数据的安全体系方法通过上述模块说明如下：

CA用户认证模块，DOSA一个核心理念是要确定数据与用户的关系，需要明确数据的所有者(数据权人)。这就需要对参与网络活动的用户进行注册和身份确认。数据注册中心DRC要对所有用户进行登记注册，而用户身份则通过CA来进行认证。CA认证采用第三方CA认证中心，对网络用户颁发数字证书，即公钥和私钥。私钥以多种形式安全地发放到用户手中，公钥则存储在数据注册中心DRC(图2)。

DRC数据注册模块，数据注册中心(DRC)，是DOSA的核心部件，注册各种数据的属性信息，包括数据的安全属性、数据生产者、数据所有者等信息，以及网络人员的所有公钥。DRC用来构建逻辑的数据资源池，通过建立索引和搜索引擎，实现数据的管理和对应用提供服务(图2)。

PKI数据权属与加密呈现模块，一旦数据产生，要明确两件事情，一是要确认数据的生产者和数据的所有者(一般情况下生产者就是所有者，但有些情况下，两者不同)，二是要对产生的数据进行加密。数据的生产者，可以通过生产者的私钥对数据加密(或签名)来确定；数据的所有者，通过用所有者的公钥对数据加密来明确，同时实现了数据的天生加密，只有数据所有者才能解密使用(图3)。

DAC数据授权使用模块，数据权限中心(DAC)，是DOSA的关键部件，对数据进行授权管理。数据在生成、存储和传输时是加了密和不可使用的，而经过授权的用户在使用数据时才是解密和可访问的。数据授权，就是将数据的权属进行变更，也是数据解密和再加密的过程，即用数据所有者的私钥解密后再用数据使用者(被授权人)的公钥加密，授权过程通过水印和数据注册中心进行记录和管理(图4、图5)。对于体量较大的数据，采取的是对称密钥加密方法，授权只是对对称密钥进行(图8、图9、图10)。数据的使用和用户适合于网络安全的验证、授权和记账(AAA，Authorization，Authentication，Accounting)机制。

DEC数据监管模块，数据异常控制中心(DEC)，是DOSA的重要部件，对数据资源进行自适应管理，保证数据的唯一性和一致性，监管和处置数据的各种异常行为。例如，可以通过DEC，由代理者对违规使用数据者进行追踪和发现(图7)。

DWR数字水印记录模块，数字水印记录(DWR)以水印的方式将数据的主人及授权使用过程记录下来，与原始数据一起进行加密管理，便于数据的溯源、记账和数据的非授权使用取证(图7)。

DAUs数据安全应用模块，是DOSA的关键部件，关联应用对数据的访问，对各种应用提供支持。要确定数据安全应用的环境，一般考虑数据在内存中解密使用，要通过多种手段实现内存数据的安全保障和不被侵入窃取(图6)。

如果数据所有者需要有代理者替他行使数据授权职能，可以和代理者签署协议并实现数据授权(图11)。

本发明的工作原理：

本发明的面向数据的安全体系结构(DOSA，Data-OrientedSecurityArchitecture)旨在从架构角度对未来的数据安全体系进行全方位设计，包括数据的管理和应用等。DOSA是在面向数据的体系结构(DOA)基础之上，是面向数据和以数据为核心的关于数据的安全体系结构，构建起从数据保护到授权应用的整套机制。DOSA建立在云计算基础之上，以数据“天生加密、授权使用”为原则，对数据的属性进行注册和管理，实现数据的安全管理和安全应用。我国颁布的“电子签名法”，从法律和技术层面上，为面向数据的安全体系结构奠定了重要基础。“电子签名法”所依赖的CA和PKI技术，是面向数据的安全体系结构的基本数学保障。作为非物质社会的基本元素，数据应具有以下基本特征：广义数据的概念，数据是有生命和属性的，应具有身份属性、安全属性、时间和空间属性。广义的数据概念，是指凡是能够被注册中心注册登记的任何事物都称之为数据。明确数据拥有者身份，包括数据的主人(数据权人、数据所有者)、朋友(被授权人、数据使用者)、陌生人(未授权和待授权人)和敌人(不授权人、黑名单)。数据具有自保护功能，“穿戴盔甲”，以加密方式呈现，具有不同的加密级别和深度。数据的使用要经过授权。数据是独立于系统的，数据是应用的基础，不依赖于特定的硬件环境和软件环境，同一数据可以支撑不同的应用。为便于管理，将数据分成存储和传输时保持加密的“数据态”和在应用中授权使用时解密的“应用态”。数据只有在“应用态”时是处于解密状态，一旦完成应用或离开了应用环境，或是由应用产生了新的数据，数据应立即“变”为加密的“数据态”，充分保证数据的安全及使用的授权。“数据态”的数据，既适合于封闭环境，也适合于开放环境，而“应用态”的数据，仅适合于“封闭”环境。DOSA由以下主要部件构成：用户认证中心(CA，CertificateAuthority)，数据注册中心(DRC,DataRegisterCenter)，公共密钥基础设施(PKI，PublicKeyInfrastructure)，数据权限中心(DAC,DataAuthorityCenter)，数据异常控制中心(DEC,DataExceptionControlCenter)、数字水印记录中心(DigitalWatermarkRecord)以及数据应用单元(DAUs,DataApplicationUnits)等，来构成面向数据的安全体系结构，从数据管理、数据安全保障到安全应用的全过程管理(见图1)。其中AU(ApplicationUser)表示应用用户，DO(DataOwner)表示数据拥有者。

本发明的DOSA作为一种数据安全理念和机制，是要保证数据能够在数据和应用两个层面中都能做到安全、可靠以及便于管理和使用，既可以在传统的封闭环境下应用，增强数据的安全保护，又可以在开放环境下保护数据的安全和不被越权访问。目前有关信息安全、数据安全的理论和方法体系，有关网络授权、认证和计帐的AAA技术，有关CA技术、PKI技术、密钥体系、加解密技术，有关可信技术，以及不断发展的网络空间安全技术、系统安全技术、应用环境安全技术等，都能在DOSA框架下使用。

本发明在数据交易(数字虚拟资产保护及交易)平台和数据隐私保护应用：

(1)数据交易(数字虚拟资产保护及交易)平台：在建立数据资产所有权的基础上，通过数据加密呈现、授权交易、过程记录、价值评估、记账计费管理、水印溯源等，保障数据安全交易和数据拥有者利益(图12)。

(2)数据隐私保护：通过分析数据和隐私的特征，进行数据脱敏、数据所有权确认、数据加密、数据授权应用、数据安全应用、数据过程记录和溯源等，进行数据的隐私保护。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种面向数据的安全体系方法，其特征在于，所述面向数据的安全体系方法包括：

以数据为核心，通过身份认证和公共密钥基础设施，明确数据的生产者、所有者和使用者，由身份认证中心管理私钥，由数据注册中心管理公钥；

通过建立索引和搜索引擎，实现数据的管理和对应用提供服务；

通过用数据生产者的私钥加密或签名来明确数据生产者，通过用数据所有者的公钥加密来明确数据所有者，并实现数据的天生加密；

用数据所有者的私钥解密后再用数据使用者(被授权人)的公钥加密实现数据授权使用，授权过程通过水印和数据注册中心进行记录和管理；

通过数据注册中心记录数据的各种变化和应用情况，对数据资源进行自适应管理，保证数据的唯一性和一致性，监管和处置数据的各种异常行为；

以水印的方式将数据所有者及授权使用过程记录下来，与原始数据一起进行加密管理；

关联应用对数据的访问，对各种应用提供支持，确定数据安全应用的环境，通过多种手段实现内存数据的安全保障和不被侵入窃取。

2.一种面向数据的安全体系的系统，其特征在于，所述面向数据的安全体系的系统包括：

网络用户身份认证模块，对参与网络活动的人员进行注册和身份认证；

数据注册中心数据注册模块，对所有数据及人员进行注册和登记，通过建立索引和搜索引擎，实现数据的管理、人员的管理和对应用提供服务；

公共密钥基础设施数据权属与加密呈现模块，明确数据的生产者、所有者和使用者；通过用数据生产者的私钥加密或签名来明确数据生产者，用数据所有者的公钥加密来明确数据所有者，实现数据的天生加密；

DAC数据授权使用模块，用数据所有者的私钥解密后再用数据使用者(被授权人)的公钥加密实现数据授权，授权过程通过水印和数据注册中心进行记录和管理；

数据监管模块，对数据资源进行自适应管理，保证数据的唯一性和一致性，监管和处置数据的各种异常行为；

数字水印记录模块，以水印的方式将数据所有者及授权使用过程记录下来，与原始数据一起进行加密管理；

数据安全应用模块，关联应用对数据的访问，对各种应用提供支持，确定数据安全应用的环境，通过多种手段实现内存数据的安全保障和不被侵入窃取。

3.一种应用权利要求1所述面向数据的安全体系方法的数据安全应用系统。

4.一种应用权利要求1所述面向数据的安全体系方法的数据交易平台。

5.一种应用权利要求1所述面向数据的安全体系方法的数据隐私保护系统。

6.一种应用权利要求1所述的面向数据的安全体系方法的数字虚拟资产保护系统。