CN110188545B - 一种基于链式数据库的数据加密方法及装置 - Google Patents

Abstract

本发明公开一种基于链式数据库加密、解密方法及装置，可以获得待加密的各数据；针对每个数据，根据预先存储的根密钥和该数据的数据标识，使用单向函数计算得到该数据对应的密钥；使用该数据对应的密钥对该数据进行加密，得到该数据对应的加密数据,对数据进行加密，通过单向函数生成流通密钥，且可以继续根据流通密钥生成流通信息加密密钥，对流通信息进行加密，根据流通信息加密密钥再生成下一个流通密钥。也就是以链式连环单向生成密钥的方式，对数据进行加密，利用链式数据库不可篡改不可伪造的特性，对数据进行加密和存储，使得数据有很高的保密性。

Description

一种基于链式数据库的数据加密方法及装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种数据的加密方法及装置、以及一种安全数据的解密方法及装置。

背景技术

信息存储和加密是非常重要的一环，链式数据库是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。狭义的链式数据库是一种数据结 构，按照时间顺序将数据区块先后链接起来，并以密码学算法保证以这种方式存储的 数据不可篡改和不可伪造，且可以方便地进行验证；广义的链式数据库技术则是指包 括这种数据结构以及点对点(P2P)网络、共识机制等一系列技术所构成的技术体系的总 称。

链式数据库的优势之一就在于能够在决策权高度分散的去中心化系统中使得各个 节点高效的针对区块数据的有效性达成共识。

随着互联网信息的发展，大部分权威数据保存在中心服务器。而这些数据可能被篡改，中心服务器被攻击、钓鱼网站的潜在威胁等等，数据信息认证的可靠性越来越 低。目前有各种数据库的应用，其主要解决的问题是数据入库。销售API接口，提供 企业入库服务。其主要问题是，一、企业需要费用，提供接口任意数据都可以入库， 不能保证数据的权威性。二、提供详细的查询信息，不能保证数据隐私性。

发明内容

针对上述技术问题，具体到传统的加密服务中，将密钥值与密文数据之间进行直接联系，而为了去除这种直连的关系，本领域技术人员对此做出了改进，即将密钥与 密文数据之间加入索引映射，而传统的加密方法的本质实际与此类似，因此现有技术 中存在如下技术问题有待解决，一、根密钥的存储问题；二、数据标识的安全问题。

本发明旨在至少解决现有技术中存在的技术问题。为此，公开一种基于链式数据库加密、解密方法及装置，可以获得待加密的各数据；针对每个数据，根据预先存储 的根密钥和该数据的数据标识，使用单向函数计算得到该数据对应的密钥；使用该数 据对应的密钥对该数据进行加密，得到该数据对应的加密数据,对数据进行加密，通过 单向函数生成流通密钥，且可以继续根据流通密钥生成流通信息加密密钥，对流通信 息进行加密，根据流通信息加密密钥再生成下一个流通密钥。也就是以链式连环单向 生成密钥的方式，对数据进行加密，利用链式数据库不可篡改不可伪造的特性，对数 据进行加密和存储，使得数据有很高的保密性。

为了实现上述目的，本发明采取的技术方案为：一种数据加密方法，包括：获得 待加密的各数据；针对每个数据，根据预先存储的根密钥和该数据的数据标识，使用 单向函数计算得到该数据对应的密钥；使用该数据对应的密钥对该数据进行加密，得 到该数据对应的加密数据，其中，预先存储的根密钥为存储于链式数据库中，根据根 密码信息通过单向加密函数计算单向生成与根密码信息对应的加密密钥，根据生成的 加密密钥，生成根密码查询标识，根据根密码查询标识，从链式数据库中读取根密码 的加密数据。

更进一步地，其中对根密码信息加密的单向函数不同于数据存储加密的单向函数， 根据根密码信息的加密密钥对根密码的加密数据进行解密，获得根密码。

更进一步地，所述加密数据与子节点一一对应，数据解密请求中包含的所述数据标识为数据结构任意子节点相对于所述数据结构的根节点的路径信息，所述数据结构 为链式或树形。

更进一步地，所述生成根密码查询标识，根据根密码查询标识，从链式数据库中读取根密码的加密数据，包括：更新链式数据库信息，记录节点获取根密码查询标识， 所述密码查询标识包括哈希值hash；发起一次函数计算请求，得到与该次函数计算相 对应的加密密钥；将所述加密密钥和查询标识组合一起，构成一个根密码记录数据； 该节点向除该节点以外的其他所有记录节点广播所述根密码记录数据；该记录节点将 所述根密码记录数据打包形成区块；所述区块被所有记录节点接受，完成一次函数计 算。

更进一步地，所述链式数据库的节点根据用户的设置部署，包括检测链式数据库系统节点部署网络信息、节点数、节点部署系统环境。

本发明还公开了一种数据加密装置，包括：数据获得模块，获得待加密的各数据；函数模块，针对每个数据，根据预先存储的根密钥和该数据的数据标识，使用单向函 数计算得到该数据对应的密钥；加密模块，通过使用该数据对应的密钥对该数据进行 加密，得到该数据对应的加密数据，加密模块进一步包括链式数据库构建模块和标识 生成模块，其中链式数据库构建模块，构建链式数据库，并预先存储的根密钥为存储 于链式数据库中，根密码函数加密模块，根据根密码信息通过单向加密函数计算单向 生成与根密码信息对应的加密密钥，标识生成模块，根据生成的加密密钥，生成根密 码查询标识，根据根密码查询标识，从链式数据库中读取根密码的加密数据，还原模 块，其中对根密码信息加密的单向函数不同于数据存储加密的单向函数，根据根密码 信息的加密密钥对根密码的加密数据进行解密，获得根密码。

本发明进一步公开了一种电子设备，其特征在于，包括：处理器；以及，存储器， 用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指 令来执行上述的数据加密方法。

本发明还公开了一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现上述的数据加密方法。

附图说明

从以下结合附图的描述可以进一步理解本发明。图中的部件不一定按比例绘制，而是将重点放在示出实施例的原理上。在图中，在不同的视图中，相同的附图标记指 定对应的部分。

图1是本发明的一种数据加密方法的流程图；

图2是本发明一种实施例的加密数据取回的流程图。

图3是一种数据加密装置的模块图。

具体实施方式

实施例一

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。请参考图1，其示出了本发明实施例提供的一种数据加密方 法的流程图。

如图1所示的一种数据加密方法，包括：获得待加密的各数据；针对每个数据， 根据预先存储的根密钥和该数据的数据标识，使用单向函数计算得到该数据对应的密 钥；使用该数据对应的密钥对该数据进行加密，得到该数据对应的加密数据，其中， 预先存储的根密钥为存储于链式数据库中，根据根密码信息通过单向加密函数计算单 向生成与根密码信息对应的加密密钥，根据生成的加密密钥，生成根密码查询标识， 根据根密码查询标识，从链式数据库中读取根密码的加密数据，其中对根密码信息加 密的单向函数不同于数据存储加密的单向函数，根据根密码信息的加密密钥对根密码 的加密数据进行解密，获得根密码。

优选地，所述加密数据与子节点一一对应，数据解密请求中包含的所述数据标识为数据结构任意子节点相对于所述数据结构的根节点的路径信息，所述数据结构为链 式或树形。

通过分层数据存储体系，使数据安全性更高，并且不会造成网络堵塞，通过将根密码与加密数据分离，去除密钥服务器在加密过程中的中心化。

具体的，哈希值是一段数据唯一且极其紧凑的数值表示形式。如果散列一段明文而且哪怕只更改该段落的一个字母，随后的哈希都将产生不同的值。要找到散列为同 一个值的两个不同的输入，在计算上来说基本上是不可能的。消息身份验证代码(MAC) 哈希函数通常与数字签名一起用于对数据进行签名，而消息检测代码(MDC)哈希函数则 用于数据完整性。

每个用户的哈希值数据都存放在自己的用户库上，每隔第一预设时间将用户库上的哈希值数据构造成一颗默库树，并计算该默库树的根散列，将根散列存放至锚定库 区块中。

默库树，即Merkle可信树，是为了解决多重一次签名中的认证问题而产生的，Merkle可信树结构具有一次签名大量认证的优点，在认证方面具有显著的优势。如今，Merkle可信树的树形结构已经被广泛应用到了信息安全的各个领域，比如证书撤销、 源组播认证、群密钥协商等等。并且基于Merkle可信树的数字签名方案在安全性上仅 仅依赖于哈希函数的安全性，且不需要太多的理论假设，这使得基于Merkle可信树 的数字签名更加安全、实用。

实施例二

参考图2，其示出了本实施例的加密数据取回的流程图，一种数据加密方法，包括：获得待加密的各数据；针对每个数据，根据预先存储的根密钥和该数据的数据标 识，使用单向函数计算得到该数据对应的密钥；使用该数据对应的密钥对该数据进行 加密，得到该数据对应的加密数据，其中，预先存储的根密钥为存储于链式数据库中， 根据根密码信息通过单向加密函数计算单向生成与根密码信息对应的加密密钥，根据 生成的加密密钥，生成根密码查询标识，根据根密码查询标识，从链式数据库中读取 根密码的加密数据，其中对根密码信息加密的单向函数不同于数据存储加密的单向函 数，根据根密码信息的加密密钥对根密码的加密数据进行解密，获得根密码。

优选地，所述加密数据与子节点一一对应，数据解密请求中包含的所述数据标识为数据结构任意子节点相对于所述数据结构的根节点的路径信息，所述数据结构为链 式或树形。

优选地，更新链式数据库信息，记录节点获取根密码查询标识，所述密码查询标识包括哈希值hash；发起一次函数计算请求，得到与该次函数计算相对应的加密密钥； 将所述加密密钥和查询标识组合一起，构成一个根密码记录数据；该节点向除该节点 以外的其他所有记录节点广播所述根密码记录数据；该记录节点将所述根密码记录数 据打包形成区块；所述区块被所有记录节点接受，完成一次函数计算。

优选地，所述链式数据库的节点根据用户的设置部署，包括检测链式数据库系统节点部署网络信息、节点数、节点部署系统环境。

由该实施例所保存的根密码具有去中心化特性的同时，由于保存于库中的多个节点，其可控的具有高冗余性，有效的避免了根密码存储的易失问题。

加密数据可选地存储于公共数据库，例如链式数据库中的公共数据库。

实施例三

如图3的加密装置的结构模块图所示，本实施例提供一种数据加密的装置，通过各功能模块实现数据的加密，综上所述，利用链式数据库防篡改特性，数据一旦入库， 不能修改，保证数据的唯一可靠性。将加密数据存储于公共数据库时，权威机构提供 数据源，为数据提供真实保障，操作员直接记录到库中，防止操作员篡改数据，入库 数据利用私钥加密、签名，利用公钥验证签名，保证数据的完整性和安全性。

一种数据加密装置，包括：数据获得模块，获得待加密的各数据；函数模块，针 对每个数据，根据预先存储的根密钥和该数据的数据标识，使用单向函数计算得到该 数据对应的密钥；加密模块，通过使用该数据对应的密钥对该数据进行加密，得到该 数据对应的加密数据；链式数据库构建模块，构建链式数据库，并预先存储的根密钥 为存储于链式数据库中，根密码函数加密模块，根据根密码信息通过单向加密函数计 算单向生成与根密码信息对应的加密密钥；标识生成模块，根据生成的加密密钥，生 成根密码查询标识，根据根密码查询标识，从链式数据库中读取根密码的加密数据， 还原模块，其中对根密码信息加密的单向函数不同于数据存储加密的单向函数，根据 根密码信息的加密密钥对根密码的加密数据进行解密，获得根密码。

该实施例使用Crypto组件随机生成私钥，并用Ecxrypto组件生成该私钥的公钥。生成密钥对的示例代码如下：

var crypto＝require("crypto")；

var eccrypto＝require("eccrypto")；

var privateKey＝crypto.randomBytes(32)；

var publicKey＝eccrypto.getPublic(privateKey)；

实施例三采用ECDSA算法完成交易信息的签名和验证。签名时，先对数据进行hash256运算，然后调用Eccrypto组件的sign方法进行签名，示例代码如下：

var msg＝crypto.createHash("sha256").updata(data).digest()；

eccrypto.sign(privateKey,msg).then(function(signature){

console.log(signature)；

})；

验证时，调用Eccrypto组件的verify方法完成交易数据校验，示例代码如下：

eccrypto.verify(publicKey,msg,signature).then(function(){

console.log("Verify success")；

}).catch(function(){

console.log("Verify failed")；

})；

实施例三公开的加密装置，通过将数据库表通过在库中通过单向函数进行存储来替代。

一个单向函数是满足下列条件的函数：它将一个定义域映射到值域，使得每个函数值有唯一的原象，同时还要满足下列条件：函数值计算很容易，而逆运算是不可行 的。单向函数可以包括对于任何输入计算输出，但已知输出却无法确定输入，也可以 包括通过单向散列函数的方式，对数据生成加密密钥。单向散列函数，又称单向Hash 函数、杂凑函数，用于把任意长的输入消息串变化成固定长的输出串且由输出串难以 得到输入串的一种函数。其结果为，在无法获取到加密密钥的情况下，无法确定出生 产加密密钥。其中，加密密钥由pincode表示，单向函数由hash表示，根据产品唯一 暗码单向生成的生产加密密钥由key生产加密表示，则有key生产加密＝ hash(pincode)的表达方式。

将根节点作为输入节点；将所述输入节点对应的密钥和所述序列中所述输入节点的下一个节点相对于所述输入节点的路径信息输入到单向函数，计算得到所述下一个 节点对应的密钥；判断所述下一个节点是否是该叶子节点；若是，则将计算得到的密 钥作为该叶子节点对应的密钥；否则，将所述下一个节点重新作为输入节点，继续计 算所述序列中输入节点的下一个节点对应的密钥，直至得到该叶子节点对应的密钥为 止，客户端取回与加密内容有关的密文。在实施例中，该密文包括加密的种子信息 PREP.pk(FwK_seed||BwK_seed))、加密的内容(如EK(content))、第一散列计数值i、 和第二散列计数值j，其中加密的内容使用内容密钥K加密，其中K是根据使用哈希 函数h对前向哈希链散列i次而得到的第i个前向哈希链值(FwK)、根据使用h对反向 哈希链散列j次而得到的第j个反向哈希链值(BwK)而产生的。

在链式数据库中存储散列计数，散列计数是使用单向函数对前向哈希链进行散列的次数，其中每次使用单向函数对前向哈希链进行散列，散列计数的值就更新一次； 存储第二散列计数，第二散列计数是从所述远程设备接收到反向哈希链值的次数，其 中每次从远程设备接收到新的反向哈希链值，所述第二散列计数的值就更新一次；提 供加密内容、第一散列计数的当前值、第二散列计数的当前值到链式数据库；每次使 用所述单向函数对所述前向哈希链进行散列，就更新所述第一散列计数，依此对单向 函数的计数追踪，针对每个数据，根据预先存储的根密钥和该数据的数据标识，使用 单向函数计算得到该数据对应的密钥；所述的单向函数为本领域技术人员可以理解的 公钥密码学的基础理论函数，依上述。

至于对数据库进行具体配置，采用合适的访问控制策略防止恶意节点接入和监听网络，在数据库中，只有内部用户才能维护链式数据库数据，针对数据库的节点进行 实时检测，对恶意节点进行屏蔽操作。

在实施例三中，通过构建数据库的方法，将根密码存储于数据库中，通过单向函数进行加密，使用者可以通过配置数据库中的协议实现对根密码使用提取等操作的记 录，由于其具有不可篡改的特性，即使被非法入侵获得根密码，其非法的操作行为会 被记录，非法入侵者也会被记录身份，有效的保护了数据的安全。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他 性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素， 而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设 备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素， 并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施 例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算 机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机 程序产品的形式。

虽然上面已经参考各种实施例描述了本发明，但是应当理解，在不脱离本发明的范围的情况下，可以进行许多改变和修改。因此，其旨在上述详细描述被认为是例示 性的而非限制性的，并且应当理解，以下权利要求(包括所有等同物)旨在限定本发明 的精神和范围。以上这些实施例应理解为仅用于说明本发明而不用于限制本发明的保 护范围。在阅读了本发明的记载的内容之后，技术人员可以对本发明作各种改动或修 改，这些等效变化和修饰同样落入本发明权利要求所限定的范围。

Claims (4)

1.一种数据加密方法，包括：

获得待加密的各数据；

针对每个数据，根据预先存储的根密码和该数据的数据标识，使用单向函数计算得到该数据对应的密钥；

使用该数据对应的密钥对该数据进行加密，得到该数据对应的加密数据，其中，

预先存储的根密码为存储于链式数据库中，根据根密码信息通过单向加密函数计算单向生成与根密码信息对应的加密密钥，根据生成的加密密钥，生成根密码查询标识，根据根密码查询标识，从链式数据库中读取根密码的加密数据；其中

对根密码信息加密的单向函数不同于数据存储加密的单向函数，根据根密码信息的加密密钥对根密码的加密数据进行解密，获得根密码；

所述加密数据与子节点一一对应，数据解密请求中包含的所述数据标识为数据结构任意子节点相对于所述数据结构的根节点的路径信息，所述数据结构为链式或树形；

所述生成根密码查询标识，根据根密码查询标识，从链式数据库中读取根密码的加密数据，包括：更新链式数据库信息，记录节点获取根密码查询标识，所述密码查询标识包括哈希值hash；发起一次函数计算请求，得到与该次函数计算相对应的加密密钥；将所述加密密钥和查询标识组合一起，构成一个根密码记录数据；该节点向除该节点以外的其他所有记录节点广播所述根密码记录数据；该记录节点将所述根密码记录数据打包形成区块；所述区块被所有记录节点接受，完成一次函数计算；所述链式数据库的节点根据用户的设置部署，包括检测链式数据库系统节点部署网络信息、节点数、节点部署系统环境；

其中，每个用户的哈希值数据都存放在自己的用户库上，每隔第一预设时间将用户库上 的哈希值数据构造成一颗默库树，并计算该默库树的根散列，将根散列存放至锚定库区块中。

2.一种数据加密装置，包括：

数据获得模块，获得待加密的各数据；

函数模块，针对每个数据，根据预先存储的根密码和该数据的数据标识，使用单向函数计算得到该数据对应的密钥；

加密模块，通过使用该数据对应的密钥对该数据进行加密，得到该数据对应的加密数据，加密模块进一步包括链式数据库构建模块和标识生成模块，其中

链式数据库构建模块，构建链式数据库，并预先存储的根密码为存储于链式数据库中，根密码函数加密模块，根据根密码信息通过单向加密函数计算单向生成与根密码信息对应的加密密钥，

标识生成模块，根据生成的加密密钥，生成根密码查询标识，根据根密码查询标识，从链式数据库中读取根密码的加密数据，还原模块，其中对根密码信息加密的单向函数不同于数据存储加密的单向函数，根据根密码信息的加密密钥对根密码的加密数据进行解密，获得根密码；其中

单向函数满足下列条件：它将一个定义域映射到值域，使得每个函数值有唯一的原象，同时还要满足下列条件：函数值计算很容易，而逆运算是不可行的；单向函数包括对于任何输入计算输出，但已知输出却无法确定输入，还包括通过单向散列函数的方式，对数据生成加密密钥；单向散列函数，又称单向Hash函数、杂凑函数，用于把任意长的输入消息串变化成固定长的输出串且由输出串难以得到输入串的一种函数；其结果为，在无法获取到加密密钥的情况下，无法确定出生产加密密钥；其中，加密密钥由pincode表示，单向函数由hash表示，根据产品唯一暗码单向生成的生产加密密钥由key生产加密表示，则有key生产加密＝hash(pincode)的表达方式；

将根节点作为输入节点；将所述输入节点对应的密钥和序列中所述输入节点的下一个节点相对于所述输入节点的路径信息输入到单向函数，计算得到所述下一个节点对应的密钥；判断所述下一个节点是否是叶子节点；若是，则将计算得到的密钥作为该叶子节点对应的密钥；否则，将所述下一个节点重新作为输入节点，继续计算所述序列中输入节点的下一个节点对应的密钥，直至得到该叶子节点对应的密钥为止，客户端取回与加密内容有关的密文；该密文包括加密的种子信息、加密的内容、第一散列计数值i、和第二散列计数值j，其中加密的内容使用内容密钥K加密，其中K是根据使用哈希函数h对前向哈希链散列i次而得到的第i个前向哈希链值、根据使用h对反向哈希链散列j次而得到的第j个反向哈希链值而产生的；

在链式数据库中存储散列计数，散列计数是使用单向函数对前向哈希链进行散列的次数，其中每次使用单向函数对前向哈希链进行散列，散列计数的值就更新一次；存储第二散列计数，第二散列计数是从远程设备接收到反向哈希链值的次数，其中每次从远程设备接收到新的反向哈希链值，所述第二散列计数的值就更新一次；提供加密内容、第一散列计数的当前值、第二散列计数的当前值到链式数据库；每次使用所述单向函数对所述前向哈希链进行散列，就更新所述第一散列计数，依此对单向函数的计数追踪，针对每个数据，根据预先存储的根密码和该数据的数据标识，使用单向函数计算得到该数据对应的密钥。

3.一种电子设备，其特征在于，包括：

处理器；以及，

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1所述的数据加密方法。

4.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1所述的数据加密方法。

Images