CN107437992A - 安全数据存储系统及方法 - Google Patents

安全数据存储系统及方法 Download PDF

Info

Publication number
CN107437992A
CN107437992A CN201610356130.8A CN201610356130A CN107437992A CN 107437992 A CN107437992 A CN 107437992A CN 201610356130 A CN201610356130 A CN 201610356130A CN 107437992 A CN107437992 A CN 107437992A
Authority
CN
China
Prior art keywords
data
user
encryption
user data
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201610356130.8A
Other languages
English (en)
Inventor
聂际敏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Priority to CN201610356130.8A priority Critical patent/CN107437992A/zh
Publication of CN107437992A publication Critical patent/CN107437992A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0852—Quantum cryptography
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Electromagnetism (AREA)
  • Theoretical Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种与量子通信技术相结合的数据存储系统及方法，用于提供具有量子保密级别的安全的数据管理。

Description

安全数据存储系统及方法
技术领域
本发明涉及一种安全数据存储系统及方法，更具体地涉及采用量子通信技术的安全数据存储系统及方法。
背景技术
目前，诸如银行、电信、电子商务等各行各业均设置有相应的数据中心，用于存储包括用户信息在内的各种数据。为了保证所存储的数据的安全，目前普遍采用包括构建防火墙在内的各种防护措施。然后，这些措施总是存在被黑客攻破防护的危险性，一旦防护措施被攻破，则数据中心的数据则有可能被窃取，从而造成不可挽回的损失。因此，如何保证数据中心所保存的数据的安全性，这一直是一个具有挑战性的问题。
量子通信技术是基于量子信息学发展起来的一项新兴的通信技术，其中通过操纵和传送量子比特的方法进行量子密钥的分发，从而在两地之间建立一串任意长度的相同随机数，使用该随机数通过“一次一密”的方式加密经典信息。量子保密通信有物理学基本原理作保证，故可以作为最有力的保密通信手段，受到了广泛关注。
针对现有数据存储系统在数据安全性方面存在的上述不足，本发明提出了一种与量子通信技术结合的新型数据存储系统及方法，以借助量子通信技术的高度保密性改善和保证数据存储系统的安全性，消除现有数据存储管理技术中固有的易受攻击的漏洞。
发明内容
本发明提出了一种与量子通信技术相结合的数据存储系统及方法，以便提供具有量子保密级别的安全的数据管理。
在本发明的一个方面，提供了一种安全的数据存储系统，其可以包括用户端、数据中心、量子信道及公开数据传输信道。其中，所述数据中心包括存储管理模块，用于以加密的方式对用户数据进行存储及读取，且不保存有用户数据的加密密钥。所述用户端用于存储用户数据的加密密钥。
所述数据存储系统可以被设置成，当所述用户端登录所述数据中心时，借助所述量子信道在所述用户端和所述数据中心处产生相同的随机量子密钥。
所述用户端可以被设置成将所述随机量子密钥与保存于所述用户端内的用户数据的加密密钥进行第一加密运算，并且将所述第一加密运算的结果经所述公开数据传输信道发送给所述数据中心。
所述存储管理模块可以包括加解密模块，所述加解密模块被设置成当接收到来自所述用户端的第一加密运算结果时，利用在所述数据中心处产生的所述随机量子密钥对来自所述用户端的第一加密运算结果进行第一解密运算，从而获得所述用户数据的加密密钥，用于对用户数据进行加/解密操作。
所述存储管理模块还可以被设置成当所述用户端退出登陆时，将所述用户数据的加密密钥释放。
进一步地，所述数据中心可以包括管理层、一个或多个物理层、以及数据存储介质。其中，所述管理层用于对所述一个或多个物理层进行监视及配置。所述一个或多个物理层中的每一个上可以建立有一个或多个虚拟机，在所述虚拟机上可以安装有包括用户应用在内的操作系统，且所述存储管理模块以所述虚拟机的形式实现。所述数据存储介质用于存储经加密的用户数据。
可替换地，所述数据中心可以包括管理层、一个或多个物理层、数据存储介质。其中，所述管理层用于对所述一个或多个物理层进行监视及配置。所述一个或多个物理层中的每一个上建立有一个或多个虚拟机，在所述虚拟机上安装有包括用户应用在内的操作系统。所述数据存储介质用于存储经加密的用户数据。所述加解密模块由硬件形式实现，其用于与所述物理层形成物理连接以对所述用户数据进行加/解密操作。进一步地，所述加解密模块可以被设置成对于外部只允许进行数据的读取操作。
进一步地，所述存储管理模块中的加解密模块可以被设置成，当所述操作系统中的用户应用发出读取所述用户数据的指令时，所述解密模块在接收到所述数据读取指令后，从所述数据存储介质中读取加密的用户数据，且基于所述获取的用户数据加密密钥对所述读取的加密用户数据进行第二解密运算，并将所解密的用户数据提供给所述用户应用。
所述存储管理模块中的加解密模块还可以进一步被设置成，当所述操作系统中的用户应用发出存储所述用户数据的指令时，所述加解密模块在接收到所述数据存储指令后，基于所述获取的用户数据加密密钥对待存储的未加密数据进行第二加密运算，且将所加密的用户数据存储在所述数据存储介质中。其中，所述第一加密运算和第一解密运算可以为异或运算。
更进一步地，所述用户端可以为便携式设备，诸如U盾。
本发明的另一个方面提供了一种安全的数据存储方法，用于由用户端向数据中心进行用户数据的读取和/或存储，其中所述用户端存储有用户数据的加密密钥，所述数据中心以加密的方式存储有用户数据且不保存有用户数据的加密密钥。
根据本发明的数据存储方法，当所述用户端登录所述数据中心时，借助量子信道在所述用户端和所述数据中心处产生相同的随机量子密钥；在所述用户端内将所述随机量子密钥与所述用户数据的加密密钥进行第一加密运算，并且将所述第一加密运算的结果经公开数据传输信道发送给所述数据中心；在所述数据中心内将所述随机量子密钥对所述第一加密运算结果进行第一解密运算，从而获得所述用户数据的加密密钥，用于对用户数据进行解密读和/或加密写操作；当所述用户端退出登陆时，将所述用户数据的加密密钥释放。
进一步地，所述数据中心内的用于获得所述用户数据的加密密钥的第一解密运算及所述对用户数据的解密读和/或加密操作可以由虚拟机或者独立设置的硬件来进行。其中，第一加密运算和第一解密运算可以为异或运算。
优选地，所述硬件可以被设置为对于外部只允许进行数据的读取操作。所述虚拟机可以有多个，且可以通过管理层进行监控及配置。
附图说明
图1示出了根据本发明的数据存储系统的结构示意图。
图2示出了根据本发明的数据中心的结构框架图。
具体实施方式
下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。
如图1所示，根据本发明的数据存储系统可以主要包括用户端、数据中心、量子信道及公开数据传输信道。
在本发明中，用户端可以为由用户控制的任何终端设备，诸如便携式设备，例如U盾等，其被设置成存储用于所述用户的数据的加密密钥。数据中心可以是任何用于对用户数据进行存储和/或管理的设备，其被设置成以加密的方式对用户数据进行文件存储和/或数据库存储，且不保存有用户数据的加密密钥。
当用户端被接入数据网络并登陆数据中心时，首先基于已知的量子密钥分发技术借助量子信道在用户端和数据中心处产生相同的随机量子密钥。随后，用户端将所产生的随机量子密钥与其内保存的用户数据的加密密钥进行异或运算，从而利用随机量子密钥对用户数据的加密密钥进行加密处理。接着，用户端将经随机量子密钥加密的用户数据加密密钥通过公开数据传输信道传输至数据中心的数据网络。
在数据中心处，数据网络经从公开数据传输信道接收到的、经随机量子密钥加密的用户数据加密密钥传输至数据中心的存储管理模块。在该存储管理模块中，利用在数据中心处生成的相同的随机量子密钥对在用户端形成的经随机量子密钥加密的用户数据加密密钥再次进行异或运算，从而获得该用户端中存储的用户数据加密密钥。在获得用户数据加密密钥之后，存储管理模块则可以在设置于其中的加解密模块中利用该用户数据加密密钥在数据中心中对该用户的数据进行解密读或加密写等数据操作。
在用户端要退出登陆时，数据中心的存储管理模块将用户数据的加密密钥释放，保证数据中心不保存有任何密钥信息。
在本发明中，对于用户数据加密密钥的加解密运算而言，异或运算是一种优选的运算方式，本领域技术人员可以认识到，其也可以采用其他任何合适的加解密算法。
图2示出了根据本发明的数据中心的框架示意图。如图所示，数据中心可以包括管理层、一个或多个物理层及数据存储介质，管理层、物理层及数据存储介质之间通过数据网络相互连接。其中，管理层用于对各个物理层进行配置、监视及管理。每个物理层上可以建立有一个或多个虚拟机以形成虚拟层，在虚拟层上可以安装各种操作系统，诸如windows或者linux等，以提供各种用户应用。用户数据以加密的方式存储在数据存储介质中。
包括加解密模块的存储管理模块可以配置在虚拟机中，并且执行随机量子密钥与由用户端发送的经随机量子密钥加密的用户数据加密密钥的再次异或运算，即解密运算，从而获得该用户端中存储的用户数据加密密钥。当操作系统中的应用发出读取用户数据的指令时，虚拟层中的加解密模块在接收到该数据读取指令后，从请求数据相对应的数据存储介质中读取加密的用户数据，并且基于所获取的用户数据加密密钥对所读取的加密用户数据进行解密运算，最终将已解密的用户数据提供给相应应用。类似地，当操作系统中的应用发出存储用户数据的指令时，虚拟层中的加解密模块在接收到该数据存储指令后，基于所获取的用户数据加密密钥对待存储的未加密数据进行加密运算，最终将已加密的用户数据存储在相应的数据存储介质中。因此，在根据本发明的数据中心中，通过将包括加解密模块的存储管理模块在虚拟层中实现，使得无需在应用层对用户应用进行修改即可实现诸如数据加解密等数据存储管理功能，提供安全的数据存储及管理。
此外，由于采用了在物理层上设置虚拟机结构，且可以通过管理层在远程直接对各个物理层上的虚拟机进行配置、监视及管理，使得当操作中心中某个物理层出现故障时，管理层可以立即监测到该故障且在另一物理层上恢复与故障物理层相同的配置，由该另一物理层执行与故障物理层的功能和任务，而无需进行本地操作，从而实现操作中心的自动故障监控及恢复，有效地保证了操作中心的正常运行。
在本发明的一个替换实施方式中，可以将储存管理模块中的加解密模块以硬件形式来实现，其中该硬件可以被设置为在其内进行用户数据的加密密钥的获取及用户数据的加解密运算，且对于外部只允许进行数据的读取操作，从而借助硬件配置消除了经外部非法攻击获得用于用户数据加解密运算的用户数据加密密钥的可能。
根据本发明的数据存储系统及方法，保证只有在用户端被接入数据网络且对数据中心进行了登陆及数据操作的有限时间内才会在数据中心出现用户数据加密密钥信息，这使得企图通过破解数据中心而获得用户数据加密密钥、进而得到解密的用户数据的可能性变得微乎其微；同时，巧妙地利用了量子通信技术中随机量子密钥的不可破解性的特点，在将用户端存储的用户数据加密密钥传送给数据中心时利用随机量子密钥对用户数据加密密钥进行加密，有效保证了用户数据加密密钥在数据传输过程中的保密性。借助上述两个方面的结合，能够有效地保证了即使在数据中心的防护措施被攻破的情况下，也不能从数据中心中获得有用的数据，从而极大地改善了数据存储和/或管理系统的安全性能。另外，由于在数据中心采用了管理层、物理层及数据存储介质三层布局，以及在物理层上设置虚拟机来实现存储管理模块的结构，使得在本发明的数据存储系统中，能够在无需对用户应用进行修改的情况下方便有效地实现加解密运算以及故障的自动监控和恢复，极大地改善了整个系统的应用性，有利于其在工业上的实施及应用。
以上所述仅是本发明的实施方式，应该指出对于本领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本发明的保护范围。

Claims (10)

1.一种安全的数据存储系统，其特征在于，所述数据存储系统包括用户端、数据中心、量子信道及公开数据传输信道；
所述数据中心包括存储管理模块，用于以加密的方式对用户数据进行存储及读取，且不保存有用户数据的加密密钥；
所述用户端用于存储用户数据的加密密钥；其中
所述数据存储系统被设置成，当所述用户端登录所述数据中心时，借助所述量子信道在所述用户端和所述数据中心处产生相同的随机量子密钥；
所述用户端被设置成将所述随机量子密钥与保存于所述用户端内的用户数据的加密密钥进行第一加密运算，并且将所述第一加密运算的结果经所述公开数据传输信道发送给所述数据中心；
所述存储管理模块包括加解密模块，所述加解密模块被设置成当接收到来自所述用户端的第一加密运算结果时，利用在所述数据中心处产生的所述随机量子密钥对来自所述用户端的第一加密运算结果进行第一解密运算，从而获得所述用户数据的加密密钥，用于对用户数据进行加/解密操作；
所述数据中心的存储管理模块还被设置成，当所述用户端退出登陆时，将所述用户数据的加密密钥释放。
2.如权利要求1所述的数据存储系统，其特征在于，所述数据中心包括管理层、一个或多个物理层、以及数据存储介质；其中，
所述管理层用于对所述一个或多个物理层进行监视及配置；
所述一个或多个物理层中的每一个上建立有一个或多个虚拟机，在所述虚拟机上安装有包括用户应用在内的操作系统，且所述存储管理模块以所述虚拟机的形式实现；
所述数据存储介质用于存储经加密的用户数据。
3.如权利要求1所述的数据存储系统，其特征在于，所述数据中心包括管理层、一个或多个物理层、数据存储介质；其中，
所述管理层用于对所述一个或多个物理层进行监视及配置；
所述一个或多个物理层中的每一个上建立有一个或多个虚拟机，在所述虚拟机上安装有包括用户应用在内的操作系统；
所述数据存储介质用于存储经加密的用户数据；其中，
所述加解密模块由硬件形式实现，其用于与所述物理层形成物理连接以对所述用户数据进行加解/密操作。
4.如权利要求3所述的数据存储系统，其特征在于，所述加解密模块被设置成对于外部只允许进行数据的读取操作。
5.如权利要求2-4中任一项所述的数据存储系统，其特征在于，所述存储管理模块中的加解密模块被设置成，当所述操作系统中的用户应用发出读取所述用户数据的指令时，所述解密模块在接收到所述数据读取指令后，从所述数据存储介质中读取加密的用户数据，且基于所述获取的用户数据加密密钥对所述读取的加密用户数据进行第二解密运算，并将所解密的用户数据提供给所述用户应用。
6.如权利要求5所述的数据存储系统，其特征在于，所述存储管理模块中的加解密模块还被设置成，当所述操作系统中的用户应用发出存储所述用户数据的指令时，所述加解密模块在接收到所述数据存储指令后，基于所述获取的用户数据加密密钥对待存储的未加密数据进行第二加密运算，且将所加密的用户数据存储在所述数据存储介质中。
7.如权利要求6所述的数据存储系统，其特征在于，所述第一加密运算和所述第一解密运算为异或运算。
8.一种安全的数据存储方法，用于由用户端向数据中心进行用户数据的读取和/或存储，其特征在于，所述用户端存储有用户数据的加密密钥，所述数据中心以加密的方式存储有用户数据且不保存有用户数据的加密密钥；
当所述用户端登录所述数据中心时，借助量子信道在所述用户端和所述数据中心处产生相同的随机量子密钥；
在所述用户端内将所述随机量子密钥与所述用户数据的加密密钥进行第一加密运算，并且将所述第一加密运算的结果经公开数据传输信道发送给所述数据中心；
在所述数据中心内将所述随机量子密钥对所述第一加密运算结果进行第一解密运算，从而获得所述用户数据的加密密钥，用于对用户数据进行解密读和/或加密写操作；
当所述用户端退出登陆时，将所述用户数据的加密密钥释放。
9.如权利要求8所述的数据存储方法，其特征在于，所述数据中心内的用于获得所述用户数据的加密密钥的所述第一解密运算及所述对用户数据的解密读和/或加密操作由虚拟机或者独立设置的硬件来进行。
10.如权利要求9所述的数据存储方法，其特征在于，所述第一加密运算和所述第一解密运算为异或运算。
CN201610356130.8A 2016-05-26 2016-05-26 安全数据存储系统及方法 Pending CN107437992A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201610356130.8A CN107437992A (zh) 2016-05-26 2016-05-26 安全数据存储系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610356130.8A CN107437992A (zh) 2016-05-26 2016-05-26 安全数据存储系统及方法

Publications (1)

Publication Number Publication Date
CN107437992A true CN107437992A (zh) 2017-12-05

Family

ID=60454287

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610356130.8A Pending CN107437992A (zh) 2016-05-26 2016-05-26 安全数据存储系统及方法

Country Status (1)

Country Link
CN (1) CN107437992A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109560920A (zh) * 2018-07-02 2019-04-02 安徽安申信息科技有限责任公司 一种基于量子加密和解密的存储系统

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102130769A (zh) * 2011-03-10 2011-07-20 北京邮电大学 一种用于量子密钥分配请求控制与自动实现的模型和方法
CN102724215A (zh) * 2012-07-07 2012-10-10 成都国腾实业集团有限公司 基于用户登录密码安全存放用户密钥并提高云平台数据安全的方法
CN102739689A (zh) * 2012-07-16 2012-10-17 四川师范大学 一种用于云存储系统的文件数据传输装置和方法
CN102916806A (zh) * 2011-08-05 2013-02-06 塞莱斯系统集成公司 密码密钥分配系统
US8638942B2 (en) * 2008-04-22 2014-01-28 Nec Corporation Method and system for managing shared random numbers in secret communication network
CN104283680A (zh) * 2013-07-05 2015-01-14 腾讯科技（深圳）有限公司 一种数据传输的方法、客户端、服务器及其系统
CN105378749A (zh) * 2013-05-20 2016-03-02 微软技术许可有限责任公司 在计算设备上针对组织的数据保护

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8638942B2 (en) * 2008-04-22 2014-01-28 Nec Corporation Method and system for managing shared random numbers in secret communication network
CN102130769A (zh) * 2011-03-10 2011-07-20 北京邮电大学 一种用于量子密钥分配请求控制与自动实现的模型和方法
CN102916806A (zh) * 2011-08-05 2013-02-06 塞莱斯系统集成公司 密码密钥分配系统
CN102724215A (zh) * 2012-07-07 2012-10-10 成都国腾实业集团有限公司 基于用户登录密码安全存放用户密钥并提高云平台数据安全的方法
CN102739689A (zh) * 2012-07-16 2012-10-17 四川师范大学 一种用于云存储系统的文件数据传输装置和方法
CN105378749A (zh) * 2013-05-20 2016-03-02 微软技术许可有限责任公司 在计算设备上针对组织的数据保护
CN104283680A (zh) * 2013-07-05 2015-01-14 腾讯科技（深圳）有限公司 一种数据传输的方法、客户端、服务器及其系统

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109560920A (zh) * 2018-07-02 2019-04-02 安徽安申信息科技有限责任公司 一种基于量子加密和解密的存储系统

Similar Documents

Publication Publication Date Title
CN106330868B (zh) 一种高速网络加密存贮密钥管理系统及方法
JP6952189B2 (ja) キーリモートストレージに基盤する暗号化データ記憶システム及び方法
EP2697931B1 (en) Qkd key management system
EP3286867B1 (en) Method, apparatus, and system for cloud-based encryption machine key injection
US11063754B2 (en) Systems, devices, and methods for hybrid secret sharing
WO2013026086A1 (en) Virtual zeroisation system and method
CN101441601B (zh) 一种硬盘ata指令的加密传输的方法及系统
CN104468562B (zh) 一种面向移动应用透明的数据安全保护便携式终端
CN102567688B (zh) 一种安卓操作系统上的文件保密系统及其保密方法
CN101465727B (zh) 一种保证通信安全的方法、网络设备、装置和通信系统
CN103440462A (zh) 一种提高安全微处理器安全保密性能的嵌入式控制方法
CN111143870A (zh) 一种分布式加密存储装置、系统及加解密方法
KR101033475B1 (ko) 효율적인 개인정보 유통경로의 안전관리를 위한 개인 정보 보호 장치 및 방법
CN103944721A (zh) 一种基于web的保护终端数据安全的方法和装置
CN103164661A (zh) 用于对终端中的数据进行管理的装置及方法
CN106257859A (zh) 一种密码使用方法
CN107437992A (zh) 安全数据存储系统及方法
CN111190694A (zh) 一种基于鲲鹏平台的虚拟化安全加固方法及装置
CN115118751A (zh) 一种基于区块链的监管系统、方法、设备和介质
CN101478538B (zh) 管理安全设备的存储方法、装置或系统
CN114173303A (zh) Ctcs-3级列控系统车地会话密钥生成方法和系统
EP3337083A1 (en) Method for secure management of secrets in a hierarchical multi-tenant environment
JP5605452B2 (ja) 通信装置
CN104598843A (zh) 一种加密ssd认证方法
CN110535632A (zh) 基于非对称密钥池对和dh协议的量子通信服务站aka密钥协商方法和系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20171205

RJ01 Rejection of invention patent application after publication