CN109698839B - 一种基于非对称算法的脱敏数据比对方法及装置 - Google Patents

一种基于非对称算法的脱敏数据比对方法及装置 Download PDF

Info

Publication number
CN109698839B
CN109698839B CN201910130651.5A CN201910130651A CN109698839B CN 109698839 B CN109698839 B CN 109698839B CN 201910130651 A CN201910130651 A CN 201910130651A CN 109698839 B CN109698839 B CN 109698839B
Authority
CN
China
Prior art keywords
data
desensitization
encryption
algorithm
asymmetric
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910130651.5A
Other languages
English (en)
Other versions
CN109698839A (zh
Inventor
龚超
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hunan Zhiyuan Shutong Technology Co ltd
Original Assignee
Hunan Zhiyuan Shutong Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hunan Zhiyuan Shutong Technology Co ltd filed Critical Hunan Zhiyuan Shutong Technology Co ltd
Priority to CN201910130651.5A priority Critical patent/CN109698839B/zh
Publication of CN109698839A publication Critical patent/CN109698839A/zh
Application granted granted Critical
Publication of CN109698839B publication Critical patent/CN109698839B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于非对称算法的脱敏数据比对方法和装置，本发明首先对源数据使用事先破坏的非对称密钥进行非对称算法加密，使得加密后的数据不仅是无法被解密的，而且因为加密过程依赖特定的加密硬件，使得加密后的数据无法通过大规模枚举、碰撞等手段进行暴力还原，而在进行数据比对时，则先将待比对数据进行相同的加密处理，之后再将处理后的待比对数据在基准数据中进行比对，这种比对方法，使得黑客即使通过不法手段盗取了完整的脱敏基准数据，也没有任何技术手段获取源基准数据的真实内容，从而从根本上保障了源基准数据的保密性，进而可以将各种保密数据应用到更多需要进行及时数据比对的信息化场景。

Description

一种基于非对称算法的脱敏数据比对方法及装置
技术领域
本发明涉及数据安全领域，尤其涉及涉密数据、隐私数据、敏感数据等不能被公布、泄露的保密数据，在被作为数据比对应用的基准数据时，基于数据安全考虑必须对基准数据进行不可逆脱敏处理的前提下进行数据精确比对的方法。
背景技术
在信息化数据应用领域，保密数据因其安全敏感性，在应用方面始终存在较大制约，即使是基于保密数据进行简单比对的需求，也因为安全等级划分的要求导致实施比对的过程困难重重、效率低下，在很多应用场景比对过程完全无法满足实战的实时性要求，保密数据比对价值大打折扣。
目前保密数据比对以两种模式为主：一种是由数据源管理单位提供统一的查询服务(集中服务模式)；另一种是数据源管理单位将数据进行字段脱敏之后，分批交由比对需求方自行比对(脱敏导出模式)。
集中服务模式的问题在于，来自于各个比对需求方的比对负载集中在一个服务节点，对服务的负载能力和稳定性要求较高，更重要的是，应用数据往往来自安全网域之外，流量大、实时性要求高，而经过复杂的安全链路到集中服务进行比对的过程，在流量和响应速度上往往很难满足实际应用要求。同时，集中服务模式还有一个严重缺陷就是，一旦集中服务出现故障，所有依赖集中服务进行比对的系统都会受到影响。
脱敏导出模式的主要问题在安全方面，经过字段脱敏的保密数据，虽然已经去除了比较敏感的部分内容，但其关键字段终究还是存在脱离安全环境的可能，例如：人员相关信息，即使脱敏后仅保留人员编号和类型两个字段，也依然存在通过其他非保密信息还原部分数据的可能性。虽然可以要求这种脱敏数据也必须在安全环境下被应用，但技术上并没有切实可行的方案确保其不脱离安全环境，也就是说很难对字段脱敏以后的数据进行有效的管理。
综上所述，数据比对的现状，保密数据管理方出于安全考虑无法降低对保密数据比对应用的安全要求，同时大量数据比对应用场景的需求又受限于效率、流量和应用环境安全现状限制，无法充分的完成数据比对，从而极大的制约了数据比对业务的广泛应用。
如果能够确保作为比对基准数据的脱敏数据的绝对安全，则可以从根本上解决数据比对领域保密数据安全要求与比对应用效率需求之间的矛盾，使各类保密数据在各种应用场景中实现安全、高效的数据比对。
发明内容
本发明的目的在于提供一种基于非对称算法的脱敏数据比对方法及装置，从而解决现有数据比对应用领域中的比对基准数据安全以及数据比对效率问题。
为了实现上述目的，本发明采用的技术方案如下：
一种基于非对称算法的脱敏数据比对方法，包括如下步骤：
S1.对批量数据逐条采用采用非对称加密算法加密生成脱敏基准数据；非对称加密算法加密过程使用加密硬件内置的密钥完成，且非对称加密算法密钥对的两组密钥中的其中一组事先已经被销毁；
S2.将待比对数据采用与S1步骤完全相同的方法进行处理，生成加密数据；
S3.将加密数据在脱敏基准数据中进行比对查找，最终获得数据比对结果。
进一步的改进，所述非对称加密算法包括但不限于RSA算法和SM2算法。
进一步的改进，所述加密硬件为具备使用内置密钥完成数据加密功能的电子装置，包括但不限于密码卡、加密SIM卡、加密SD卡和集成加密芯片。加密密钥使用加密硬件内置的非对称加密算法密钥，且非对称加密算法密钥对的两组密钥中的其中一组事先已经被销毁。
一种基于非对称算法的脱敏数据比对装置，包括通过非对称加密算法进行数据处理及数据比对的智能设备，智能设备安装或集成有使用内置密钥进行非对称加密算法加密的硬件；批量数据逐条在智能设备上被硬件的非对称加密算法加密生成脱敏基准数据；待比对数据经过与批量数据相同的非对称加密算法处理后生成加密数据；智能设备对脱敏基准数据和加密数据比对得到比对结果。
进一步的改进，所述智能设备包括智能设备A和智能设备B，智能设备A和智能设备B分别安装或集成有具有相同内置密钥进行非对称加密算法加密的硬件；智能设备A用于对批量数据采用非对称算法生成脱敏基准数据；脱敏基准数据从智能设备A传递到智能设备B；智能设备B接收待对比数据，智能设备B使用智能设备A完全相同的方法处理待对比数据生成加密数据；智能设备B对脱敏基准数据和加密数据进行比对生成比对结果。
进一步的改进，所述智能设备A连接内部安全网络，智能设备B连接外部网络；智能设备A的脱敏基准数据向智能设备B单向传输。
进一步的改进，所述智能设备A通过网络或硬盘或U盘向智能设备B传输脱敏基准数据。
可以将非对称加密算法分开在各自独立的计算机、服务器或其他计算设备上实施，中间通过网络或者移动存贮介质单向传递经过处理得到脱敏基准数据。这样一来，对于比对步骤的计算机、服务器或其他计算设备而言，比对基准数据的源数据从来没有存在过，相关的管理人员也根本接触不到源数据，能更进一步的保障源数据的安全，但前提是独立计算机、服务器或其他计算设备上加密卡内须内置相同的前述步骤所需非对称加密密钥。
本发明的有益效果是：本发明首先将用作比对基准数据的源数据逐条采用已经被事先破坏的非对称密钥，基于加密卡进行加密运算，使得加密后的数据不仅是无法被解密的，而且因为加密过程依赖特定的加密卡，使得加密后的数据无法通过大规模枚举、碰撞等手段进行暴力还原。而在进行数据比对时，则先将待比对数据进行相同的加密处理，之后再将处理后的待比对数据在基准数据中进行比对。这种数据安全的比对方法，使得黑客即使通过不法手段盗取了完整的脱敏基准数据，也没有任何技术手段获取源基准数据的真实内容，从而从根本上保障了源基准数据的保密性，进而可以将各种保密数据应用到更多需要进行及时数据比对的信息化场景。
附图说明
图1是本发明流程示意图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施方式仅仅用以解释本发明，并不用于限定本发明。
如图1所示，本发明实施例提供了一种基于非对称算法的脱敏数据比对方法，包括如下步骤：
S1，对批量源数据逐条采用非对称加密算法加密得到脱敏基准数据，加密运算通过加密卡完成，且加密密钥使用加密卡内置密钥，且该非对称加密算法密钥对的两组密钥中的其中一组事先已经被销毁；
S2，将S1步骤所得脱敏基准数据留存作为数据比对的脱敏基准数据待用；
S3，将待比对数据采用与S1步骤所述相同的非对称加密算法进行加密，加密运算通过加密卡完成，且加密密钥使用加密卡内置密钥，且该非对称加密算法密钥对的两组密钥中的其中一组事先已经被销毁，且该密钥与S1步骤所述密钥相同；
S4，将S3步骤所得加密数据在S3步骤所留存的脱敏基准数据中进行比对查找，最终获得数据比对结果；
可以对S1步骤所得脱敏基准数据进行排序，以便于提高后续数据比对的执行效率。
可以将S1、S2两个步骤与S3、S4两个步骤分开在各自独立的计算机、服务器或其他计算设备上实施，中间通过网络或者移动存贮介质单向传递经过S1、S2两个步骤处理所得的脱敏基准数据。这样一来，对于实施S3、S4两个步骤的计算机、服务器或其他计算设备而言，比对基准数据的源数据从来没有存在过，相关的管理人员也根本接触不到源数据，能更进一步的保障源数据的安全，但前提是独立计算机、服务器或其他计算设备上加密卡内须内置相同的前述S1及S3步骤所需非对称加密密钥。
以上实现步骤中，在源数据内容发生变化需要重新按照本发明所述一种基于非对称算法的脱敏数据比对方法进行处理时，可以重复按照S1、S2所述步骤进行相应数据处理；在有若干待比对数据需要进行数据比对时，可以重复按照S3、S4所述步骤进行相应处理，进行反复的数据比对。
上述方法中，包括关键的两个部分：对批量源数据逐条采用经事先破坏的非对称密钥通过加密卡进行加密、比对时对待比对数据进行与源数据相同的加密处理。其中对源数据的加密可以采用RSA算法，加密卡可以任选符合安全要求的商用加密卡，具体实施可以采用C/C++语言。
实施过程中，首先确定源数据中关键字段，关键字段具有唯一性，如：身份证号码、机动车号牌号码、防伪序列码等。如果源数据中包含非关键保密字段，则对非关键保密字段进行常规脱敏处理，常规脱敏处理包括：代号化、残缺化、丢弃等。
实施过程中，依照前述S1步骤所述，逐条对批量源数据中的关键字段内容进行2048位RSA私钥加密运算，获得相应的加密编码数据。RSA加密运算通过加密卡完成，且采用加密卡内置密钥，且该内置密钥事先已经将其公钥丢弃或破坏，致使加密数据即使是使用该特定加密卡，也无法进行解密获得加密前的原数据，保证了数据的机密性。
根据非对称算法的特征可知，在密钥对其中一组密钥被破坏或丢失时，用另一组密钥加密的数据是无法进行解密获得原数据的。而采用暴力破解方式，目前尚无使用高位数密钥的破解案例，理论上按现有的计算机运算能力发展，短期内也无法实现高位数密钥加密数据的暴力破解，因此可以认为采用上述方法进行加密处理后的数据是不可逆的。
另外，由于上述加密过程使用加密卡内置密钥，在脱离特定加密卡支持的环境下，无法根据加密前数据的特征进行枚举碰撞，因此，经由上述过程处理而得的加密数据，在理论上没有任何方法可以还原，其脱敏方法是一种完全不可逆的脱敏方法。
实施过程中，为了确保源数据的安全，在完成上述对源数据实施的处理以后，不保留源数据和任何中间数据，仅依照前述S2步骤所述，保存处理后的结果数据(即源数据关键字段内容的脱敏数据)和根据具体业务需要与结果数据相关联的非关键字段内容，作为后续实施数据比对的基准数据。
实施过程中，为了提高后续数据比对的执行效率，在获得完整的不可逆脱敏数据之后对数据进行排序处理。
实施过程中，当需要在源数据中进行特定数据的比对时，将待比对的目标数据按照前述S3步骤所述，进行相同非对称加密处理，得到待比对数据的不可逆脱敏数据，然后按照S4步骤所述，在前述过程中得到的源数据的脱敏数据中进行比对查找，如果比对查找没有结果，表示一次数据比对没有命中，如果比对查找有结果，表示一次数据比对命中了，如果命中的脱敏数据存在相关联的非关键字段数据，则这些非关键字段数据即为比对结果，如果命中的脱敏数据不存在相关联的非关键字段数据，则命中本身即为比对结果。
通过采用本发明公开的上述技术方案，得到了如下有益的效果：本发明实施例提供的使用已经被事先破坏的非对称密钥，基于加密卡进行加密运算，使得加密后的数据不仅是无法被解密的，而且因为加密过程依赖特定的加密卡，使得加密后的数据无法通过大规模枚举、碰撞等手段进行暴力还原。而在进行数据比对时，则先将待比对数据进行相同的加密处理，之后再将处理后的待比对数据在基准数据中进行比对。这种数据安全的比对方法，使得黑客即使通过不法手段盗取了完整的脱敏基准数据，也没有任何技术手段获取基准数据的真实内容，从而从根本上保障了基准数据的保密性，进而可以将各种保密数据应用到更多需要进行及时数据比对的信息化场景。
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims (3)

1.一种基于非对称算法的脱敏数据比对方法，其特征在于，包括如下步骤：
S1. 对批量数据逐条采用非对称加密算法加密生成脱敏基准数据；非对称加密算法加密过程使用加密硬件内置的密钥完成，且非对称加密算法密钥对的两组密钥中的其中一组事先已经被销毁；
S2. 将待比对数据采用与S1步骤完全相同的方法进行处理，生成加密数据；
S3. 将加密数据在脱敏基准数据中进行比对查找，最终获得数据比对结果。
2.如权利要求1所述的基于非对称算法的脱敏数据比对方法，其特征在于，所述非对称加密算法包括但不限于RSA算法和SM2算法。
3.如权利要求1所述的基于非对称算法的脱敏数据比对方法，其特征在于，所述硬件为具备使用内置密钥完成数据加密功能的电子装置，包括但不限于密码卡、加密SIM卡、加密SD卡和集成加密芯片。
CN201910130651.5A 2019-02-21 2019-02-21 一种基于非对称算法的脱敏数据比对方法及装置 Active CN109698839B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910130651.5A CN109698839B (zh) 2019-02-21 2019-02-21 一种基于非对称算法的脱敏数据比对方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910130651.5A CN109698839B (zh) 2019-02-21 2019-02-21 一种基于非对称算法的脱敏数据比对方法及装置

Publications (2)

Publication Number Publication Date
CN109698839A CN109698839A (zh) 2019-04-30
CN109698839B true CN109698839B (zh) 2021-07-06

Family

ID=66233466

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910130651.5A Active CN109698839B (zh) 2019-02-21 2019-02-21 一种基于非对称算法的脱敏数据比对方法及装置

Country Status (1)

Country Link
CN (1) CN109698839B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111884795B (zh) * 2020-07-21 2022-09-13 湖南创星科技股份有限公司 一种医疗信息数据脱敏保密、还原的方法及系统
CN111859438A (zh) * 2020-07-31 2020-10-30 上海观安信息技术股份有限公司 一种指定长度的可逆脱敏加密算法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104009842A (zh) * 2014-05-15 2014-08-27 华南理工大学 基于des、rsa加密算法及脆弱数字水印的通信数据加解密方法
CN104038336A (zh) * 2014-06-20 2014-09-10 上海动联信息技术股份有限公司 一种基于3des的数据加密方法
CN104866775A (zh) * 2015-06-12 2015-08-26 四川友联信息技术有限公司 一种金融数据的漂白方法
CN109335906A (zh) * 2018-08-01 2019-02-15 苏州汇川技术有限公司 校验方法、电梯控制设备以及电梯外围设备

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10397194B2 (en) * 2016-07-12 2019-08-27 Ebay Inc. Dynamic transmission of encrypted data
CN108446571A (zh) * 2018-03-22 2018-08-24 安徽八六物联科技有限公司 一种大数据脱敏方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104009842A (zh) * 2014-05-15 2014-08-27 华南理工大学 基于des、rsa加密算法及脆弱数字水印的通信数据加解密方法
CN104038336A (zh) * 2014-06-20 2014-09-10 上海动联信息技术股份有限公司 一种基于3des的数据加密方法
CN104866775A (zh) * 2015-06-12 2015-08-26 四川友联信息技术有限公司 一种金融数据的漂白方法
CN109335906A (zh) * 2018-08-01 2019-02-15 苏州汇川技术有限公司 校验方法、电梯控制设备以及电梯外围设备

Also Published As

Publication number Publication date
CN109698839A (zh) 2019-04-30

Similar Documents

Publication Publication Date Title
CN110324143B (zh) 数据传输方法、电子设备及存储介质
Liang et al. A mutual security authentication method for RFID-PUF circuit based on deep learning
US9219722B2 (en) Unclonable ID based chip-to-chip communication
CN110969431B (zh) 区块链数字币私钥的安全托管方法、设备和系统
CN113691502B (zh) 通信方法、装置、网关服务器、客户端及存储介质
CN112565265B (zh) 物联网终端设备间的认证方法、认证系统及通讯方法
CN113378148A (zh) 一种基于区块链的物联网设备身份认证系统及方法
CN109698839B (zh) 一种基于非对称算法的脱敏数据比对方法及装置
CN110225014B (zh) 基于指纹集中下发式的物联网设备身份认证方法
US20190354697A1 (en) System and method for securing data in a storage medium
CN106992978A (zh) 网络安全管理方法及服务器
CN110572392A (zh) 一种基于Hyperledger网络的身份认证方法
CN101127062A (zh) 电子钥匙与计算机之间实现绑定功能的方法
CN117318941A (zh) 基于车内网的预置密钥分发方法、系统、终端及存储介质
CN110210199B (zh) 基于指纹采集与识别的物联网设备身份认证方法
CN114095165B (zh) 密钥更新方法、服务端设备、客户端设备及存储介质
CN114553557B (zh) 密钥调用方法、装置、计算机设备和存储介质
CN115776375A (zh) 基于Shamir门限人脸信息识别加密认证和数据安全传输的方法
CN111885069B (zh) 一种计算机网络安全系统
CN114117471A (zh) 机密数据管理方法、电子设备、存储介质及程序产品
CN109871714A (zh) 一种实现不可逆脱敏的数据比对方法及装置
Wang et al. Internet of vehicles based on TrustZone and optimized RSA
CN114374519B (zh) 一种数据传输的方法、系统及设备
CN114844695B (zh) 基于区块链的业务数据流转方法、系统及相关设备
CN115544583B (zh) 一种服务器密码机的数据处理方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant