CN108023732A - 一种数据保护方法、装置、设备和存储介质 - Google Patents

一种数据保护方法、装置、设备和存储介质 Download PDF

Info

Publication number
CN108023732A
CN108023732A CN201711349808.0A CN201711349808A CN108023732A CN 108023732 A CN108023732 A CN 108023732A CN 201711349808 A CN201711349808 A CN 201711349808A CN 108023732 A CN108023732 A CN 108023732A
Authority
CN
China
Prior art keywords
data
business datum
tamper
timestamp
signature
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201711349808.0A
Other languages
English (en)
Other versions
CN108023732B (zh
Inventor
孙吉平
钟灵剑
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Senseshield Technology Co Ltd
Original Assignee
Beijing Senseshield Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Senseshield Technology Co Ltd filed Critical Beijing Senseshield Technology Co Ltd
Priority to CN201711349808.0A priority Critical patent/CN108023732B/zh
Publication of CN108023732A publication Critical patent/CN108023732A/zh
Application granted granted Critical
Publication of CN108023732B publication Critical patent/CN108023732B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3297—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving time stamps, e.g. generation of time stamps
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2151—Time stamp

Abstract

本发明公开了一种数据保护方法、装置、设备和存储介质。获取客户端向数据库发送的业务数据变动请求；根据所述业务数据变动请求获取第一业务数据和业务数据变动时间戳；通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据；获取客户端向数据库发送的业务数据查询请求；根据所述业务数据查询请求获取第二业务数据和所述防篡改数据；根据所述防篡改数据对所述第二业务数据进行验签；若验证通过，则返回所述第二业务数据。本发明实施例的技术方案解决了服务端的应用程序无法及时确认业务数据是否安全的问题，达到了及时确认业务数据是否安全，提高数据安全性，降低损失的效果。

Description

一种数据保护方法、装置、设备和存储介质
技术领域
本发明实施例涉及网络安全技术，尤其涉及一种数据保护方法、装置、设备和存储介质。
背景技术
随着计算机技术的不断发展和网络的普及，信息技术已经延伸到我们工作和生活的各个角落。在信息技术之中，存储的大量数据是各个系统功能实现的主要依据。当数据出现错误的时候，带来的影响是非常严重的，如果数据遭受破坏和篡改，那么损失是难以估量的。
现有技术中，服务端的应用程序直接对数据库中的业务数据进行数据插入、数据更新和数据查询等操作。
在现有技术中，由于服务端的应用程序对数据库中的业务数据直接进行操作，当非正常途径的数据插入和修改导致数据库的业务数据被篡改时，例如，数据库服务器被攻破，数据库管理员或开发人员对数据库的业务数据进行误操作等，服务端的应用程序无法及时确认业务数据是否安全，并且无法在业务数据被篡改后，采取应对措施以降低损失。
发明内容
有鉴于此，本发明提供一种数据保护方法、装置、设备和存储介质，以实现及时确认业务数据是否安全，提高数据安全性，降低损失。
第一方面，本发明实施例提供了一种数据保护方法，包括：
获取客户端向数据库发送的业务数据变动请求；
根据所述业务数据变动请求获取第一业务数据和业务数据变动时间戳；
通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据；
获取客户端向数据库发送的业务数据查询请求；
根据所述业务数据查询请求获取第二业务数据和所述防篡改数据；
根据所述防篡改数据对所述第二业务数据，进行验签；
若验证通过，则返回所述第二业务数据。
进一步的，所述通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据，包括：
根据第一预设规则对所述第一业务数据和所述业务数据变动时间戳进行组合作为第一签名原文数据；
将所述第一签名原文数据发送至所述加密机，以使所述加密机通过私钥对所述第一签名原文数据进行签名，生成签名数据；
获取所述签名数据，根据第二预设规则对所述签名数据和所述业务数据变动时间戳进行组合作为防篡改数据；
将所述第一业务数据和所述防篡改数据存储至数据库。
进一步的，所述根据所述防篡改数据对所述第二业务数据，进行验签，包括：
获取所述第二业务数据和所述防篡改数据；
通过所述防篡改数据，获取所述签名数据和所述业务数据变动时间戳；
根据第一预设规则对所述第二业务数据和所述业务数据变动时间戳进行组合作为第二签名原文数据；
通过公钥对所述签名数据和所述第二签名原文数据进行验签。
进一步的，所述根据所述防篡改数据对所述第二业务数据进行验签，还包括：
若验证未通过，则返回数据非法通知。
进一步的，所述业务数据变动请求包括下述至少一项：业务数据插入请求和业务数据更新请求。
第二方面，本发明实施例还提供了一种数据保护装置，包括：
请求获取模块，用于获取客户端向数据库发送的业务数据变动请求；
第一数据获取模块，用于根据所述业务数据变动请求获取第一业务数据和业务数据变动时间戳；
数据生成模块，用于通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据；
数据查询模块，用于获取客户端向数据库发送的业务数据查询请求；
第二数据获取模块，用于根据所述业务数据查询请求获取第二业务数据和所述防篡改数据；
签名验证模块，用于根据所述防篡改数据对所述第二业务数据进行验签；
数据返回模块，用于若验证通过，则返回所述第二业务数据。
进一步的，所述数据生成模块包括：
第一数据组合单元，用于根据第一预设规则对所述第一业务数据和所述业务数据变动时间戳进行组合作为第一签名原文数据；
签名单元，用于将所述第一签名原文数据发送至所述加密机，以使所述加密机通过私钥对所述第一签名原文数据进行签名，生成签名数据；
第二数据组合单元，用于获取所述签名数据，根据第二预设规则对所述签名数据和所述业务数据变动时间戳进行组合作为防篡改数据；
数据存储单元，用于将所述第一业务数据和所述防篡改数据存储至数据库。
进一步的，所述签名验证模块包括：
数据获取单元，用于通过所述防篡改数据，获取所述签名数据和所述业务数据变动时间戳；
数据组合单元，用于根据第一预设规则对所述第二业务数据和所述业务数据变动时间戳进行组合作为第二签名原文数据；
签名验证单元，用于通过公钥对所述签名数据和所述第二签名原文数据进行验签。
第三方面，本发明实施例还提供了一种数据保护设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现本发明实施例所述的数据保护方法。
第四方面，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明实施例所述的数据保护方法。
上述提供的数据保护方法、装置、设备和存储介质，获取客户端发送的业务数据变动请求，通过加密机对第一业务数据和业务数据变动时间戳进行签名，并生成防篡改数据；在获取客户端发送的业务数据查询请求后，根据所述防篡改数据对第二业务数据进行验签；验证通过后，返回第二业务数据，解决了服务端的应用程序无法及时确认业务数据是否安全的问题，达到了及时确认业务数据是否安全，提高数据安全性，降低损失的效果。
附图说明
图1为本发明实施例一提供的一种数据保护方法的流程图；
图2为本发明实施例二提供的一种数据保护方法的流程图；
图3为本发明实施例三提供的一种数据保护装置的结构示意图；
图4为本发明实施例四提供的一种数据保护设备的结构示意图。
具体实施方式
下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。
实施例一
图1为本发明实施例一提供的一种数据保护方法的流程图，本实施例可适用于对数据进行保护的情况，该方法可以由数据保护装置来执行，所述装置由软件和/或硬件来执行，并一般可集成在数据保护设备中。数据保护设备包括但不限定于计算机等。参考图1，其具体包括如下步骤：
步骤110、获取客户端向数据库发送的业务数据变动请求。
其中，全部数据存储在数据库中的数据表中。数据库中包含至少一个数据表。根据业务需求，需要进行保护和防篡改的数据为业务数据。服务端的应用程序，通过访问数据库，对数据库中的数据进行操作以实现相应的功能。其中，客户端通过发送业务数据变动请求，对数据库中的业务数据进行数据插入、数据更新等操作。具体的，通过中间件拦截所有的业务数据变动请求，从而获取业务数据变动请求，然后在中间件中完成数据防篡改操作。
可选的，所述业务数据变动请求包括下述至少一项：业务数据插入请求和业务数据更新请求。
步骤120、根据所述业务数据变动请求获取第一业务数据和业务数据变动时间戳。
其中，服务端的应用程序输入的业务数据变动请求中包含的业务数据为第一业务数据。获取业务数据变动请求后，从业务数据变动请求提取第一业务数据，并获取当前时间戳，作为业务数据变动时间戳。时间戳是一份能够表示一份数据在一个特定时间点已经存在的完整的可验证的数据。时间戳的提出主要是为用户提供一份电子证据，以证明用户的某些数据的产生时间。
步骤130、通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据。
其中，具体的，将第一业务数据和业务数据变动时间戳两组单独的数据，组合为一组用于进行签名的数据。通过应用程序编程接口将数据发送至加密机。加密机通过留存在加密机的不可导出区中的私钥按照预设签名算法对数据进行签名，生成签名数据。生成签名数据后，通过应用程序编程接口获取签名数据。然后将签名数据和业务数据变动时间戳两组单独的数据，组合为一组数据作为防篡改数据。将第一业务数据和防篡改数据存储至数据库中的对应位置。防篡改数据是用于对业务数据安全进行验证的数据。
预设签名算法包括下述至少一项：RSA签名算法、Rabin签名算法和数字签名标准(Digital Signature Standard，DSS)签名算法。
其中，加密机是通过国家商用密码主管部门鉴定并批准使用的国内自主开发的主机加密设备，加密机和主机之间使用传输控制协议/因特网互联协议(TransmissionControl Protocol/Internet Protocol，TCP/IP)通信，所以加密机对主机的类型和主机操作系统无任何特殊的要求。加密机的硬件加密部件主要的功能是实现各种密码算法，安全保存密钥。加密机通过密钥管理菜单来管理主机加密机的密钥，管理密钥管理员和操作员的口令卡。加密机的后台进程接收来自前台应用程序编程接口的信息，为应用系统提供加密、数字签名等安全服务。
可选的，在数据表中创建一个字段用于存放防篡改数据，假设该字段命名为field_anti，该字段定义为blob格式(字节流)，前4个字节用于存放防篡改数据中的时间戳，第4字节之后的数据为防篡改数据中的签名数据。
采用数字签名，可以确认以下两点：第一，信息是由签名者发送的；第二，信息自签发后到收到为止未曾作过任何修改。这样签名就可用来防止电子信息因易被修改而有人作伪，或冒用别人名义发送信息。或发出(收到)信件后又加以否认等情况发生。因此，根据业务数据变动请求获取第一业务数据和业务数据变动时间戳，通过加密机对第一业务数据和业务数据变动时间戳进行签名，对业务数据进行保护，防止业务数据被篡改。
步骤140、获取客户端向数据库发送的业务数据查询请求。
其中，当客户端根据业务需求对数据库中的业务数据进行数据查询操作时，服务端的应用程序通过预设的通讯接口发送业务数据查询请求。获取业务数据查询请求，根据业务数据查询请求进行进一步操作。
步骤150、根据所述业务数据查询请求获取第二业务数据和所述防篡改数据。
其中，在数据防篡改操作阶段，生成防篡改数据后，将第一业务数据存储至数据库中的对应位置，作为第二业务数据。中间件获取业务数据变动请求后，根据业务数据查询请求从数据库中提取第二业务数据和防篡改数据。
步骤160、根据所述防篡改数据对所述第二业务数据，进行验签。
其中，从防篡改数据中提取签名数据和业务数据变动时间戳。将第二业务数据和业务数据变动时间戳两组单独的数据，组合为一组用于进行验签的数据。按照预设验证算法对签名数据和数据进行验签操作。验证通过，确认第二业务数据是由签名者发送的，确认第二业务数据自签发后到查询为止未曾作过任何修改，第二业务数据是安全的，未被篡改；若验证未通过，第二业务数据是不安全的，可能存在非正常途径的数据插入和修改，导致数据库的业务数据被篡改。
步骤170、若验证通过，则返回所述第二业务数据。
其中，验证通过，可以确认第二业务数据是由签名者发送的，可以确认第二业务数据自签发后到查询为止未曾作过任何修改，第二业务数据是安全的，未被篡改，根据业务数据查询请求返回所述第二业务数据，以使客户端根据第二业务数据进行进一步操作。
可选的，根据所述防篡改数据对所述第二业务数据进行验签还包括：
若验证未通过，则返回数据非法通知。
其中，验证未通过，说明可能存在非正常途径的数据插入和修改，导致数据库的第二业务数据被篡改，则返回数据非法通知，以使服务端的应用程序在第二业务数据被篡改后，采取应对措施以降低损失。
本实施例提供的一种数据保护方法，获取客户端发送的业务数据变动请求，通过加密机对第一业务数据和业务数据变动时间戳进行签名，并生成防篡改数据；在获取客户端发送的业务数据查询请求后，根据所述防篡改数据对第二业务数据进行验签；验证通过后，返回第二业务数据，解决了服务端的应用程序无法及时确认业务数据是否安全的问题，达到了及时确认业务数据是否安全，提高数据安全性，降低损失的效果。
实施例二
图2为本发明实施例二提供的一种数据保护方法的流程图，本实施例在上述各实施例的基础上进行具体化。如图2所示，该方法具体包括：
步骤201、获取客户端向数据库发送的业务数据变动请求。
步骤202、根据所述业务数据变动请求获取第一业务数据和业务数据变动时间戳。
其中，时间戳是指格林威治时间1970年01月01日00时00分00秒(北京时间1970年01月01日08时00分00秒)起至现在的总秒数。根据业务数据变动请求获取业务数据变动时间戳，则业务数据变动时间戳是指格林威治时间1970年01月01日00时00分00秒(北京时间1970年01月01日08时00分00秒)起至获取业务数据变动请求的总秒数，为用户提供一份电子证据，以证明当前业务数据变动请求的产生时间。
步骤203、根据第一预设规则对所述第一业务数据和所述业务数据变动时间戳进行组合作为第一签名原文数据。
其中，根据业务数据变动发生时间获取业务数据变动时间戳后，获取第一业务数据，然后根据第一预设规则将第一业务数据和业务数据变动时间戳两组单独的数据，组合为一组数据作为第一签名原文数据。第一签名原文数据是用于进行签名的数据。
步骤204、将所述第一签名原文数据发送至所述加密机，以使所述加密机通过私钥对所述第一签名原文数据进行签名，生成签名数据。
其中，通过应用程序编程接口将第一签名原文数据发送至所述加密机。加密机通过留存在加密机的不可导出区中的私钥按照预设签名算法对签名原文数据进行签名，生成签名数据。预设签名算法包括下述至少一项：RSA签名算法、Rabin签名算法和数字签名标准(Digital Signature Standard，DSS)签名算法。
可选的，在系统初始化的时候，生成的私钥和对应的公钥，然后对生成的私钥和对应的公钥进行存储，用于对系统中所有数据库中的业务数据进行数据保护。具体的，通过应用程序编程接口向加密机发送业务数据加密请求。加密机接收到业务数据加密请求后，生成私钥和公钥。私钥留存在加密机的不可导出区中，保证私钥的安全，使得外部无法通过私钥伪造签名数据。通过应用程序编程接口获取公钥，并存储至预设位置，用于进行验签。
步骤205、获取所述签名数据，根据第二预设规则对所述签名数据和所述业务数据变动时间戳进行组合作为防篡改数据。
其中，加密机通过留存在加密机的不可导出区中的私钥按照预设签名算法对第一签名原文数据进行签名，生成签名数据后，通过应用程序编程接口获取签名数据。然后根据第二预设规则将签名数据和业务数据变动时间戳两组单独的数据，组合为一组数据作为防篡改数据。防篡改数据是用于对业务数据安全进行验证的数据。
步骤206、将所述第一业务数据和所述防篡改数据存储至数据库。
其中，将第一业务数据和防篡改数据存储至数据库中的对应位置。具体的，在数据库中创建一个对应的数据表。数据表用于存储第一业务数据和防篡改数据。数据表中有用于存储第一业务数据和防篡改数据的字段。例如，数据表table_a中，字段field_anti用于存放防篡改数据，该字段定义为blob格式(字节流)，前4个字节用于存储防篡改数据中的时间戳，第4字节之后的数据为防篡改数据中的签名数据。将防篡改数据存储至字段field_anti。数据表中，字段field_1、字段field_2和字段field_3用于存储第一业务数据。将数据表table_a的第一业务数据存储至字段field_1、字段field_2和字段field_3，将数据表table_a的防篡改数据存储至字段field_anti。
步骤207、获取客户端向数据库发送的业务数据查询请求。
步骤208、根据所述业务数据查询请求获取第二业务数据和所述防篡改数据。
步骤209、通过所述防篡改数据，获取所述签名数据和所述业务数据变动时间戳。
其中，防篡改数据是根据第二预设规则将签名数据和业务数据变动时间戳两组单独的数据，组合而成的一组数据，可以从防篡改数据中，获取签名数据和业务数据变动时间戳。例如，字段field_anti中存放防篡改数据，前4个字节存储防篡改数据中的时间戳，第4字节之后的数据为防篡改数据中的签名数据。提取防篡改数据的前4个字节即可得到业务数据变动时间戳。提取防篡改数据的第4字节之后的数据，即可得到签名数据。
步骤210、根据第一预设规则对所述第二业务数据和所述业务数据变动时间戳进行组合作为第二签名原文数据。
其中，根据第一预设规则将第二业务数据和业务数据变动时间戳两组单独的数据，组合为一组数据作为第二签名原文数据。第二签名原文数据用于进行验签。
步骤211、通过公钥对所述签名数据和所述第二签名原文数据进行验签。
其中，按照预设验证算法，通过所述公钥对所述签名数据和所述第二签名原文数据进行验签。预设验证算法包括下述至少一项：RSA验证算法、Rabin验证算法和DSS验证算法。
步骤212、若验证通过，则返回所述业务数据。
本实施例提供的一种数据保护方法，获取业务数据变动请求，通过将第一签名原文数据发送至加密机后，利用私钥进行签名，生成签名数据；在获取业务数据查询请求后，通过公钥对签名数据和第二签名原文数据进行验签；验证通过后，返回第二业务数据，解决了服务端的应用程序无法及时确认业务数据是否安全的问题，达到了及时确认业务数据是否安全，提高数据安全性，降低损失的效果。
实施例三
图3为本发明实施例三提供的一种数据保护装置的结构示意图，本实施例可适用于对数据进行保护的情况，如图3所示，所述装置包括：
请求获取模块310、第一数据获取模块320、数据生成模块330、数据查询模块340、第二数据获取模块350、签名验证模块360和数据返回模块370。
其中，请求获取模块310，用于获取客户端向数据库发送的业务数据变动请求；第一数据获取模块320，用于根据所述业务数据变动请求获取第一业务数据和业务数据变动时间戳；数据生成模块330，用于通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据；数据查询模块340，用于获取客户端向数据库发送的业务数据查询请求；第二数据获取模块350，用于根据所述业务数据查询请求获取第二业务数据和所述防篡改数据；签名验证模块360，用于根据所述防篡改数据对所述第二业务数据进行验签；数据返回模块370，用于若验证通过，则返回所述第二业务数据。
本实施例提供的一种数据保护装置，获取客户端发送的业务数据变动请求，通过加密机对第一业务数据和业务数据变动时间戳进行签名，并生成防篡改数据；在获取客户端发送的业务数据查询请求后，根据所述防篡改数据对第二业务数据进行验签；验证通过后，返回第二业务数据，解决了服务端的应用程序无法及时确认业务数据是否安全的问题，达到了及时确认业务数据是否安全，提高数据安全性，降低损失的效果。
在上述各实施例的基础上，数据生成模块330可以包括：
第一数据组合单元，用于根据第一预设规则对所述第一业务数据和所述业务数据变动时间戳进行组合作为第一签名原文数据；
签名单元，用于将所述第一签名原文数据发送至所述加密机，以使所述加密机通过私钥对所述第一签名原文数据进行签名，生成签名数据；
第二数据组合单元，用于获取所述签名数据，根据第二预设规则对所述签名数据和所述业务数据变动时间戳进行组合作为防篡改数据；
数据存储单元，用于将所述第一业务数据和所述防篡改数据存储至数据库。
在上述各实施例的基础上，签名验证模块360可以包括：
数据获取单元，用于通过所述防篡改数据，获取所述签名数据和所述业务数据变动时间戳；
数据组合单元，用于根据第一预设规则对所述第二业务数据和所述业务数据变动时间戳进行组合作为第二签名原文数据；
签名验证单元，用于通过公钥对所述签名数据和所述第二签名原文数据进行验签。
在上述各实施例的基础上，签名验证模块360还可以包括：
通知返回单元，用于若验证未通过，则返回数据非法通知。
在上述各实施例的基础上，所述业务数据变动请求包括下述至少一项：业务数据插入请求和业务数据更新请求。
本发明实施例所提供的数据保护装置可执行本发明任意实施例所提供的数据保护方法，具备执行方法相应的功能模块和有益效果。
实施例四
图4为本发明实施例四提供的一种数据保护设备的结构示意图。图4示出了适于用来实现本发明实施方式的示例性数据保护设备412的框图。图4显示的数据保护设备412仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图4所示，数据保护设备412以通用计算设备的形式表现。数据保护设备412的组件可以包括但不限于：一个或者多个处理器或者处理单元416，系统存储器428，连接不同系统组件(包括系统存储器428和处理单元416)的总线418。
总线418表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。
数据保护设备412典型地包括多种计算机系统可读介质。这些介质可以是任何能够被数据保护设备412访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。
系统存储器428可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)430和/或高速缓存存储器432。数据保护设备412可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统434可以用于读写不可移动的、非易失性磁介质(图4未显示，通常称为“硬盘驱动器”)。尽管图4中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM,DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线418相连。存储器428可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。
具有一组(至少一个)程序模块442的程序/实用工具440，可以存储在例如存储器428中，这样的程序模块442包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。
数据保护设备412也可以与一个或多个外部设备414(例如键盘、指向设备、显示器424等)通信，还可与一个或者多个使得用户能与该数据保护设备412交互的设备通信，和/或与使得该数据保护设备412能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口422进行。并且，数据保护设备412还可以通过网络适配器420与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器420通过总线418与数据保护设备412的其它模块通信。应当明白，尽管图中未示出，可以结合数据保护设备412使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
处理单元416通过运行存储在系统存储428中的程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的数据保护方法。
也即，所述处理单元416执行所述程序时实现：获取客户端向数据库发送的业务数据变动请求；根据所述业务数据变动请求获取第一业务数据和业务数据变动时间戳；通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据；获取客户端向数据库发送的业务数据查询请求；根据所述业务数据查询请求获取第二业务数据和所述防篡改数据；根据所述防篡改数据对所述第二业务数据进行验签；若验证通过，则返回所述第二业务数据。
实施例五
本发明实施例五还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现本发明实施例所述的数据保护方法。
本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。
可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种数据保护方法，其特征在于，包括：
获取客户端向数据库发送的业务数据变动请求；
根据所述业务数据变动请求获取第一业务数据和业务数据变动时间戳；
通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据；
获取客户端向数据库发送的业务数据查询请求；
根据所述业务数据查询请求获取第二业务数据和所述防篡改数据；
根据所述防篡改数据对所述第二业务数据进行验签；
若验证通过，则返回所述第二业务数据。
2.根据权利要求1所述的方法，其特征在于，所述通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据，包括：
根据第一预设规则对所述第一业务数据和所述业务数据变动时间戳进行组合作为第一签名原文数据；
将所述第一签名原文数据发送至所述加密机，以使所述加密机通过私钥对所述第一签名原文数据进行签名，生成签名数据；
获取所述签名数据，根据第二预设规则对所述签名数据和所述业务数据变动时间戳进行组合作为防篡改数据；
将所述第一业务数据和所述防篡改数据存储至数据库。
3.根据权利要求1或2所述的方法，其特征在于，所述根据所述防篡改数据对所述第二业务数据进行验签，包括：
通过所述防篡改数据，获取所述签名数据和所述业务数据变动时间戳；
根据第一预设规则对所述第二业务数据和所述业务数据变动时间戳进行组合作为第二签名原文数据；
通过公钥对所述签名数据和所述第二签名原文数据进行验签。
4.根据权利要求3所述的方法，其特征在于，根据所述防篡改数据对所述第二业务数据进行验签，还包括：
若验证未通过，则返回数据非法通知。
5.根据权利要求1所述的方法，其特征在于，所述业务数据变动请求包括下述至少一项：业务数据插入请求和业务数据更新请求。
6.一种数据保护装置，其特征在于，包括：
请求获取模块，用于获取客户端向数据库发送的业务数据变动请求；
第一数据获取模块，用于根据所述业务数据变动请求获取第一业务数据和业务数据变动时间戳；
数据生成模块，用于通过加密机对所述第一业务数据和所述业务数据变动时间戳进行签名，并生成防篡改数据；
数据查询模块，用于获取客户端向数据库发送的业务数据查询请求；
第二数据获取模块，用于根据所述业务数据查询请求获取第二业务数据和所述防篡改数据；
签名验证模块，用于根据所述防篡改数据对所述第二业务数据进行验签；
数据返回模块，用于若验证通过，则返回所述第二业务数据。
7.根据权利要求6所述的装置，其特征在于，所述数据生成模块包括：
第一数据组合单元，用于根据第一预设规则对所述第一业务数据和所述业务数据变动时间戳进行组合作为第一签名原文数据；
签名单元，用于将所述第一签名原文数据发送至所述加密机，以使所述加密机通过私钥对所述第一签名原文数据进行签名，生成签名数据；
第二数据组合单元，用于获取所述签名数据，根据第二预设规则对所述签名数据和所述业务数据变动时间戳进行组合作为防篡改数据；
数据存储单元，用于将所述第一业务数据和所述防篡改数据存储至数据库。
8.根据权利要求6或7所述的装置，其特征在于，所述签名验证模块包括：
数据获取单元，用于通过所述防篡改数据，获取所述签名数据和所述业务数据变动时间戳；
数据组合单元，用于根据第一预设规则对所述第二业务数据和所述业务数据变动时间戳进行组合作为第二签名原文数据；
签名验证单元，用于通过公钥对所述签名数据和所述第二签名原文数据进行验签。
9.一种数据保护设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-5中任一所述的数据保护方法。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-5中任一所述的数据保护方法。
CN201711349808.0A 2017-12-15 2017-12-15 一种数据保护方法、装置、设备和存储介质 Active CN108023732B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201711349808.0A CN108023732B (zh) 2017-12-15 2017-12-15 一种数据保护方法、装置、设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711349808.0A CN108023732B (zh) 2017-12-15 2017-12-15 一种数据保护方法、装置、设备和存储介质

Publications (2)

Publication Number Publication Date
CN108023732A true CN108023732A (zh) 2018-05-11
CN108023732B CN108023732B (zh) 2020-02-14

Family

ID=62073748

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711349808.0A Active CN108023732B (zh) 2017-12-15 2017-12-15 一种数据保护方法、装置、设备和存储介质

Country Status (1)

Country Link
CN (1) CN108023732B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109254893A (zh) * 2018-08-20 2019-01-22 彩讯科技股份有限公司 一种业务数据稽核方法、装置、服务器和存储介质
CN109409472A (zh) * 2018-08-24 2019-03-01 阿里巴巴集团控股有限公司 二维码生成方法、数据处理方法、装置及服务器
CN109886011A (zh) * 2018-12-28 2019-06-14 北京思源互联科技有限公司 一种安全防护方法和装置

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1841255A (zh) * 2005-03-30 2006-10-04 侯方勇 保护数据存储的机密性与完整性的方法和装置
CN101278298A (zh) * 2005-10-05 2008-10-01 国际商业机器公司 执行数据对象从源到目标的信任保持迁移的系统和方法
CN101295387A (zh) * 2007-04-23 2008-10-29 北京数字证书认证中心有限公司 一种实现网上交易数据电文的方法
CN104123488A (zh) * 2014-08-14 2014-10-29 北京网秦天下科技有限公司 应用程序的验证方法和装置
CN105429945A (zh) * 2015-10-29 2016-03-23 深圳市元征科技股份有限公司 一种数据传输的方法、装置及系统
WO2016118359A1 (en) * 2015-01-22 2016-07-28 Alibaba Group Holding Limited Method, apparatus, and system for quantum key distribution
CN106330452A (zh) * 2016-08-13 2017-01-11 深圳市樊溪电子有限公司 一种用于区块链的安全网络附加装置及方法
US20170164193A1 (en) * 2015-12-04 2017-06-08 Samsara Authentication of a gateway device in a sensor network

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1841255A (zh) * 2005-03-30 2006-10-04 侯方勇 保护数据存储的机密性与完整性的方法和装置
CN101278298A (zh) * 2005-10-05 2008-10-01 国际商业机器公司 执行数据对象从源到目标的信任保持迁移的系统和方法
CN101295387A (zh) * 2007-04-23 2008-10-29 北京数字证书认证中心有限公司 一种实现网上交易数据电文的方法
CN104123488A (zh) * 2014-08-14 2014-10-29 北京网秦天下科技有限公司 应用程序的验证方法和装置
WO2016118359A1 (en) * 2015-01-22 2016-07-28 Alibaba Group Holding Limited Method, apparatus, and system for quantum key distribution
CN105429945A (zh) * 2015-10-29 2016-03-23 深圳市元征科技股份有限公司 一种数据传输的方法、装置及系统
US20170164193A1 (en) * 2015-12-04 2017-06-08 Samsara Authentication of a gateway device in a sensor network
CN106330452A (zh) * 2016-08-13 2017-01-11 深圳市樊溪电子有限公司 一种用于区块链的安全网络附加装置及方法

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109254893A (zh) * 2018-08-20 2019-01-22 彩讯科技股份有限公司 一种业务数据稽核方法、装置、服务器和存储介质
CN109409472A (zh) * 2018-08-24 2019-03-01 阿里巴巴集团控股有限公司 二维码生成方法、数据处理方法、装置及服务器
US10992481B2 (en) 2018-08-24 2021-04-27 Advanced New Technologies Co., Ltd. Two-dimensional code generation method, apparatus, data processing method, apparatus, and server
CN109409472B (zh) * 2018-08-24 2022-11-22 创新先进技术有限公司 二维码生成方法、数据处理方法、装置及服务器
CN109886011A (zh) * 2018-12-28 2019-06-14 北京思源互联科技有限公司 一种安全防护方法和装置
CN109886011B (zh) * 2018-12-28 2021-02-12 北京思源理想控股集团有限公司 一种安全防护方法和装置

Also Published As

Publication number Publication date
CN108023732B (zh) 2020-02-14

Similar Documents

Publication Publication Date Title
US20220191012A1 (en) Methods For Splitting and Recovering Key, Program Product, Storage Medium, and System
CN104871098B (zh) 控制系统、程序发送装置、认证服务器、程序保护方法、程序发送方法
US20100098246A1 (en) Smart card based encryption key and password generation and management
CN106575342A (zh) 包括关系数据库的内核程序、以及用于执行所述程序的方法和装置
US20240152895A1 (en) System and method for secure detokenization
CN112104627B (zh) 基于区块链的数据传输方法、装置、电子设备及存储介质
CN107871081A (zh) 一种计算机信息安全系统
CN108062461A (zh) 一种软件授权方法、装置及系统
CN107317683A (zh) 一种电子证照的双向验证方法及装置
CN103117862B (zh) 用openssl的X.509数字证书验证Java证书的方法
CN108023732A (zh) 一种数据保护方法、装置、设备和存储介质
JP7223067B2 (ja) ユーザリクエストを処理するための方法、装置、電子機器、コンピュータ可読記憶媒体及びコンピュータプロブラム
CN108882030A (zh) 一种基于时域信息的监控视频分级加解密方法和系统
CN107040520A (zh) 一种云计算数据共享系统及方法
CN108256339A (zh) 一种基于二维码对电子发票信息进行保护的方法及系统
CN107133512A (zh) Pos终端控制方法和装置
JP2003163662A (ja) 航空機保守用ペーパレスレコード
CN101118639A (zh) 安全电子人口普查系统
CN112865965B (zh) 一种基于量子密钥的列车业务数据处理方法及系统
CN114372242A (zh) 密文数据的处理方法、权限管理服务器和解密服务器
CN106529216B (zh) 一种基于公共存储平台的软件授权系统及软件授权方法
CN110601836B (zh) 密钥获取方法、装置、服务器和介质
CN103577771A (zh) 一种基于磁盘加密的虚拟桌面数据防泄漏保护技术
CN113868699A (zh) 一种基于UKey的个人信息保护方法与系统
CN113987561A (zh) 一种基于可信执行环境的隐私数据分级方法、系统及终端

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP01 Change in the name or title of a patent holder

Address after: 100193 5th floor 510, No. 5 Building, East Yard, No. 10 Wangdong Road, Northwest Haidian District, Beijing

Patentee after: Beijing Shendun Technology Co.,Ltd.

Address before: 100193 5th floor 510, No. 5 Building, East Yard, No. 10 Wangdong Road, Northwest Haidian District, Beijing

Patentee before: BEIJING SENSESHIELD TECHNOLOGY Co.,Ltd.

CP01 Change in the name or title of a patent holder