CN110460563A - 数据加密、解密方法及装置、系统、可读介质和电子设备 - Google Patents

Abstract

本发明公开了一种数据加密、解密方法及装置、系统、可读介质和电子设备，应用于大数据存储系统，涉及数据安全技术领域。该数据加密方法包括：获取待写入数据表的目标数据；从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息；根据所述标识信息确定对所述目标数据进行加密的密钥管理服务；调用所述密钥管理服务对所述目标数据进行加密。本公开可以使得大数据存储系统能够支持多种密钥管理服务，针对不同的数据，按需进行密钥管理服务的自由切换，以实现不同数据保密等级的加密过程。

Description

数据加密、解密方法及装置、系统、可读介质和电子设备

技术领域

本公开涉及数据安全技术领域，具体而言，涉及一种数据加密方法、数据解密方法、数据加密装置、数据解密装置、数据加密系统、数据解密系统、计算机可读介质和电子设备。

背景技术

目前，用户对数据安全的关注越来越多，众多行业对数据的安全性要求也越来越高，对行业数据进行数据加密，已经是当前各行各业最普遍的需求。在大数据存储领域，以HDFS(Hadoop Distributed File System，Hadoop分布式文件系统)为例，通常采用的是KMS(Key Management Server，密钥管理服务)来实现数据加密功能。

然而，一方面，现有的大数据存储系统仅可以支持单种KMS服务，也就是说，多种形式或密保等级不同的KMS服务，在实际使用时只能采用其中一种；另一方面，密钥的存储介质通常是文件，即把密钥保存到文件中，这样可能会造成安全性低的问题。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开的目的在于提供一种数据加密方法、数据解密方法、数据加密装置、数据解密装置、数据加密系统、数据解密系统、计算机可读介质和电子设备，进而至少在一定程度上克服由于相关技术的限制和缺陷而导致的一个或者多个问题。

根据本公开的一个方面，提供一种数据加密方法，应用于大数据存储系统，包括：获取待写入数据表的目标数据；从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息；根据所述标识信息确定对所述目标数据进行加密的密钥管理服务；调用所述密钥管理服务对所述目标数据进行加密。

可选地，所述数据加密方法还包括：针对每一密钥管理服务，分配与各密钥管理服务唯一对应的标识信息，并构建密钥管理服务与标识信息对应关系的配置文件；其中，根据标识信息确定唯一对应的密钥管理服务的url地址。

可选地，所述数据加密方法还包括：如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

可选地，调用所述密钥管理服务对所述目标数据进行加密包括：采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密；其中，所述数据密钥存储在与所述密钥管理服务的加密等级匹配的密钥存储介质中。

可选地，采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密包括：获取所述密钥管理服务响应于客户端发送的主密钥而生成的数据密钥明文；采用所述数据密钥明文对所述目标数据进行加密。

根据本公开的一个方面，提供一种数据解密方法，应用于大数据存储系统，包括：获取数据表中经加密的目标数据和经加密的数据密钥；从所述目标数据所在数据表的自定义属性中获取对所述目标数据进行解密的密钥管理服务的标识信息；根据所述标识信息确定对所述目标数据进行解密的密钥管理服务；采用所述密钥管理服务对所述数据密钥进行解密，以得到数据密钥明文；采用所述数据密钥明文对所述目标数据进行解密。

可选地，数据解密方法还包括：针对每一密钥管理服务，分配与各密钥管理服务唯一对应的标识信息，并构建密钥管理服务与标识信息对应关系的配置文件；其中，根据标识信息确定唯一对应的密钥管理服务的url地址。

可选地，数据解密方法还包括：如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

根据本公开的一个方面，提供一种数据加密装置，应用于大数据存储系统，包括：数据获取模块，用于获取待写入数据表的目标数据；标识获取模块，用于从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息；服务确定模块，用于根据所述标识信息确定对所述目标数据进行加密的密钥管理服务；数据加密模块，用于调用所述密钥管理服务对所述目标数据进行加密。

可选地，数据加密装置还包括配置文件构建模块，用于针对每一密钥管理服务，分配与各密钥管理服务唯一对应的标识信息，并构建密钥管理服务与标识信息对应关系的配置文件；其中，根据标识信息确定唯一对应的密钥管理服务的url地址。

可选地，数据加密装置还包括服务启用模块、服务停用模块和服务移除模块中的一个或多个。

具体的，服务启用模块用于如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；服务停用模块用于如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；服务移除模块用于如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

可选地，数据加密模块包括：数据加密单元，用于采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密；其中，所述数据密钥存储在与所述密钥管理服务的加密等级匹配的密钥存储介质中。

具体的，采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密包括：获取所述密钥管理服务响应于客户端发送的主密钥而生成的数据密钥明文；采用所述数据密钥明文对所述目标数据进行加密。

根据本公开的一个方面，提供一种数据解密装置，应用于大数据存储系统，包括：数据获取模块，用于获取数据表中经加密的目标数据和经加密的数据密钥；标识获取模块，用于从所述目标数据所在数据表的自定义属性中，获取对所述目标数据进行解密的密钥管理服务的标识信息；服务确定模块，用于根据所述标识信息确定对所述目标数据进行解密的密钥管理服务；密钥解密模块，用于采用所述密钥管理服务对所述数据密钥进行解密，以得到数据密钥明文；数据解密模块，用于采用所述数据密钥明文对所述目标数据进行解密。

根据本公开的一个方面，提供一种数据加密系统，应用于大数据存储系统，包括客户端、加密服务器和路由服务器；其中：客户端，用于将待写入数据表的目标数据发送至加密服务器；加密服务器，用于获取所述目标数据；从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息；将所述标识信息发送至所述路由服务器；借助于所述路由服务器调用所述密钥管理服务对所述目标数据进行加密；路由服务器，用于确定所述标识信息对应的密钥管理服务。

可选地，所述路由服务器配置有密钥管理服务与标识信息对应关系的配置文件；其中，所述路由服务器根据标识信息确定唯一对应的密钥管理服务的url地址。

可选地，所述路由服务器还用于：如果如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

可选地，所述加密服务器调用所述密钥管理服务对所述目标数据进行加密包括：所述加密服务器采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密；其中，所述数据密钥存储在与所述密钥管理服务的加密等级匹配的密钥存储介质中。

可选地，所述数据密钥由所述密钥管理服务响应于客户端发送的主密钥而生成。

可选地，客户端可以判断用户是否首次使用一密钥管理服务，如果是，则客户端可以创建主密钥。

根据本公开的一个方面，提供一种数据解密系统，应用于大数据存储系统，包括客户端、解密服务器和路由服务器；其中：客户端，用于向解密服务器发送目标数据解密请求；解密服务器，用于响应所述目标数据解密请求获取数据表中经加密的目标数据和经加密的数据密钥；从所述数据表的自定义属性中获取对所述目标数据进行解密的密钥管理服务的标识信息；借助于所述路由服务器调用所述密钥管理服务对所述数据密钥进行解密，以得到数据密钥明文；采用所述数据密钥明文对所述目标数据进行解密；路由服务器，用于确定所述标识信息对应的密钥管理服务。

根据本公开的一个方面，提供一种存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如上述任意一项所述的数据加密方法或如上所述的数据解密方法。

根据本公开的一个方面，提供一种电子设备，包括：处理器；以及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行如上述任意一项所述的数据加密方法或如上所述的数据解密方法。

在本公开的一些实施例所提供的技术方案中，在数据加密的过程中，通过标识信息确定对目标数据进行加密的密钥管理服务，不同的标识信息对应不同的密钥管理服务，使得大数据存储系统可以支持多种密钥管理服务，也就是说，通过本公开的数据加密方法，大数据存储系统可以根据不同数据的加密需求实现不同加密等级的数据加密过程。另外，在数据解密的过程中，通过从加密数据的数据表的自定义属性中获取对该加密数据进行解密的密钥管理服务的标识信息，根据该标识信息确定出密钥管理服务，采用密钥管理服务对数据密钥进行解密，得到数据密钥明文，采用数据密钥明文对加密数据进行解，由此，本公开的数据解密方法可以根据不同数据的加密等级分别进行解密，实现了大数据存储系统中可以提供多种解密方法的目的。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示出了一些技术的信封加密过程的示意图；

图2示出了一些技术的与信息加密对应的解密过程的示意图；

图3示意性示出了根据本公开的示例性实施方式的数据加密方法的流程图；

图4示意性示出了根据本公开的示例性实施方式的数据解密方法的流程图；

图5示意性示出了根据本公开的示例性实施方式的数据加密装置的方框图；

图6示意性示出了根据本公开的示例性实施方式的另一数据加密装置的方框图；

图7示意性示出了根据本公开的示例性实施方式的再一数据加密装置的方框图；

图8示意性示出了根据本公开的示例性实施方式的数据加密模块的方框图；

图9示意性示出了根据本公开的示例性实施方式的数据解密装置的方框图；

图10示意性示出了根据本公开的示例性实施方式的数据加密系统的方框图；

图11示意性示出了根据本公开的示例性实施方式的数据解密系统的方框图；

图12示出了根据本公开的示例性实施方式的存储介质的示意图；以及

图13示意性示出了根据本公开的示例性实施方式的电子设备的方框图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略所述特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本公开的各方面变得模糊。

此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的步骤。例如，有的步骤还可以分解，而有的步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

KMS是一个java web应用程序，可以运行在Hadoop中预先配置的tomacat(一种web应用服务器)服务中，数据的加密解密由存储系统的客户端完成(如hadoop中的dfsClient)，密钥由KMS服务管理。此外，HDFS已有的加密功能是提供一套标准的kmsprovider api，支持KMS服务生成密钥、加密数据密钥、解密数据密钥等一整套功能。

下面提及的加密可以是信封加密(Envelope Encryption)，信封加密意指将加密数据的数据密钥封入信封中存储、专递、使用，不再使用主密钥直接对数据进行加解密操作。在这种情况下，KMS服务使用主密钥来产生、解密数据密钥，然后使用数据密钥对数据进行加密。

图1描述了一些技术的加密过程。具体的，客户端可以创建主密钥，KMS服务响应客户端发送的主密钥产生数据密钥，使用该数据密钥对明文数据进行加密，并可以将加密后的数据写入存储单元中。

图2描述了一些技术的解密过程，具体的，客户端读取数据，KMS服务生成解密数据密钥，利用解密数据密钥对加密数据进行解密，以得到明文数据。

在大数据存储系统中，往往仅可以支持单种KMS服务，而对于处理不同保密等级的场景，目前没有较好的方式。鉴于此，本公开提供了一种数据加密方法。

图3示意性示出了本公开的示例性实施方式的数据加密方法。参考图3，所述数据加密方法可以包括以下步骤：

S32.获取待写入数据表的目标数据。

在本公开的示例性实施方式中，目标数据可以是由客户端生成的待写入数据库中数据表的数据。例如，目标数据可以是客户端实时生成的，也可以是预先在客户端存储的，然后响应于用户发送的保存指令而发送至数据表的数据。本公开对目标数据的产生时间、格式类型、数据大小均不作特殊限定。

另外，服务器可以根据目标数据的重要级别确定目标数据要写入的数据表。具体的，服务器可以对发送目标数据的客户端ID分析，以确定客户端是否为重要客户端，进而确定该客户端生成的目标数据是否为重要数据。也就是说，数据库可以包括针对不同保密级别数据的多个数据表，服务器可以根据目标数据的重要性确定对应要写入的数据表。

此外，本公开所述的目标数据写入数据表还可以包括：目标数据数据可以随机写入某一数据表中。

S34.从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息。

数据表的自定义属性中包含对存储在该表内的数据进行加密的密钥管理服务的标识信息。该标识信息可以以各种形式实现，以确保与密钥管理服务构成一一对应的关系。

当服务器发现存在要写入数据表的数据时，服务器可以获取该标识信息。

S36.根据所述标识信息确定对所述目标数据进行加密的密钥管理服务。

在本公开的示例性实施方式中，针对每一密钥管理服务，可以分配与各密钥管理服务唯一对应的标识信息，并根据密钥管理服务与标识信息的对应关系构建一配置文件。

在服务器获取标识信息后，可以通过查询该配置文件获知标识信息唯一对应的密钥管理服务。具体的，服务器可以根据标识信息确定出唯一对应的密钥管理服务的url(uniform resource locator，统一资源定位符)地址。

此外，密钥管理服务可以由开发人员自行开发，例如，开发人员可以通过Hadoopkms rest api自行完成密钥管理服务的配置。另外，本公开还可以采用现有的由第三方提供的密钥管理服务。

本公开所采用的每一密钥管理服务可以被同时部署在多个服务节点上，例如，可以采用nginx路由到各个服务节点上，由此，可以增强密钥管理服务的处理能力。

根据本公开的一个实施例，在配置完密钥管理服务后，本公开还可以包括对配置的密钥管理服务进行启用的方案，应当理解的是，未启用的密钥管理服务不能提供服务。具体的，开发人员或运维人员可以向服务器发送目标服务启用指令，服务器在收到该目标服务启用指令后启用配置文件中的目标密钥管理服务。在本实施例中，目标密钥管理服务为待启用的密钥管理服务。

根据本公开的另一实施例，本公开还可以包括对密钥管理服务进行停用的方案。具体的，开发人员或运维人员可以向服务器发送目标服务停用指令，服务器在收到该目标服务停用指令后停用配置文件中的目标密钥管理服务。容易理解的是，在本实施例中，目标密钥管理服务为待停用的密钥管理服务。

根据本公开的另一实施例，本公开还可以包括移除密钥管理服务的方案。具体的，开发人员或运维人员可以向服务器发送目标服务器移除指令，服务器在收到该目标服务移除指令后将目标密钥管理服务从配置文件中移除。容易理解的是，在本实施例中，目标密钥管理服务器为待移除的密钥管理服务。

根据本公开的另一实施例，本公开还包括新增密钥管理服务的方案。具体的，开发人员或运维人员可以向服务器发送新增密钥管理服务的请求，服务器将新增的密钥管理服务添加到配置文件中。

此外，配置文件中可以以key-value的方式实现标识信息与密钥管理服务的对应。例如，key为标识信息，value为对应的密钥管理服务的url值。

S38.调用所述密钥管理服务对所述目标数据进行加密。

根据本公开的一些实施例，在步骤S36后，服务器确定出了对目标数据进行加密的密钥管理服务的url地址，服务器可以根据该url地址调用密钥管理服务，以对目标数据进行加密。

具体的，服务器可以采用该密钥管理服务生成的数据密钥对目标数据进行加密。其中，密钥管理服务的加密等级不同，数据密钥的存储介质不同。例如，针对加密等级由低到高的多个密钥管理服务，可以分别采用文件、数据库、加密机等不同的介质来保存数据密钥。

对于数据密钥的生成过程，可以采用主密钥触发的方式，也就是说，密钥管理服务可以响应于客户端发送的主密钥而生成数据密钥。另外，客户端可以判断用户是否首次使用一密钥管理服务，如果是，则客户端可以创建主密钥。

在本公开的示例性实施方式的数据加密方法中，一方面，通过标识信息确定对目标数据进行加密的密钥管理服务，不同的标识信息对应不同的密钥管理服务，使得大数据存储系统可以支持多种密钥管理服务，也就是说，通过本公开的数据加密方法，大数据存储系统可以实现不同加密等级的数据加密过程；另一方面，本公开可以对密钥管理服务进行启用、停用、移除操作并增加新的密钥管理服务，大大提高了大数据存储系统的加密灵活性。

进一步的，本示例实施方式中还提供了一种数据解密方法。参考图4，数据解密方法可以包括以下步骤：

S40.获取数据表中经加密的目标数据和经加密的数据密钥。

在本公开的示例性实施方式中，客户端可以向服务器发送目标数据解密请求。该目标数据解密请求包含与待解密的目标数据相关的信息，以便服务器可以响应该目标数据解密请求从数据表中获取该目标数据以及与该目标数据对应的经加密的数据密钥。可以理解的是，该经加密的数据密钥可以是对该目标数据进行加密的数据密钥明文对应的数据密钥密文。

S42.从所述数据表的自定义属性中获取对所述目标数据进行解密的密钥管理服务的标识信息。

S44.根据所述标识信息确定对所述目标数据进行解密的密钥管理服务。

步骤S42和步骤S44分别与上述数据加密方法中的步骤S34和步骤S36类似，在此不再赘述。

S46.采用所述密钥管理服务对所述数据密钥进行解密，以得到数据密钥明文。

应当理解的是，此处所述的密钥管理服务即是对目标数据进行加密时采用的密钥管理服务。通过该密钥管理服务，可以确定出与加密的数据密钥密文对应的数据密钥明文。

S48.采用所述数据密钥明文对所述目标数据进行解密。

步骤S48中采用数据密钥明文对目标数据进行解密的过程可以与现有技术的数据解密过程相同，在此不再赘述。

根据本公开的一个实施例，数据解密方法还包括：针对每一密钥管理服务，分配与各密钥管理服务唯一对应的标识信息，并构建密钥管理服务与标识信息对应关系的配置文件；其中，根据标识信息确定唯一对应的密钥管理服务的url地址。

根据本公开的一个实施例，如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

在本公开的示例性实施方式的数据解密方法中可以根据不同数据的加密等级分别进行解密，实现了大数据存储系统中可以提供多种解密方法的目的。

应当注意，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

进一步的，本示例实施方式中还提供了一种数据加密装置，该数据加密装置应用于大数据存储系统。

图5示意性示出了本公开的示例性实施方式的数据加密装置的方框图。参考图5，根据本公开的示例性实施方式的数据加密装置5可以包括数据获取模块51，标识获取模块53、服务确定模块55和数据加密模块57。

具体的，数据获取模块51可以用于获取待写入数据表的目标数据；标识获取模块53可以用于从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息；服务确定模块55可以用于根据所述标识信息确定对所述目标数据进行加密的密钥管理服务；数据加密模块57可以用于调用所述密钥管理服务对所述目标数据进行加密。

根据本公开的示例性实施例，参考图6，相比于数据加密装置5，数据加密装置6除包括数据获取模块51，标识获取模块53、服务确定模块55和数据加密模块57外，还可以包括配置文件构建模块61。

具体的，配置文件构建模块61可以用于针对每一密钥管理服务，分配与各密钥管理服务唯一对应的标识信息，并构建密钥管理服务与标识信息对应关系的配置文件；其中，根据标识信息确定唯一对应的密钥管理服务的url地址。

根据本公开的示例性实施例，参考图7，相比于数据加密装置6，数据加密装置7除包括数据获取模块51，标识获取模块53、服务确定模块55、数据加密模块57和配置文件构建模块61外，还可以包括服务启用模块71、服务停用模块73和服务移除模块75中的一个或多个。

具体的，服务启用模块71用于如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；服务停用模块73用于如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；服务移除模块75用于如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

根据本公开的示例性实施例，参考图8，数据加密模块57可以包括数据加密单元801。

具体的，数据加密单元801可以用于采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密；其中，所述数据密钥存储在与所述密钥管理服务的加密等级匹配的密钥存储介质中。

其中，采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密包括：获取所述密钥管理服务响应于客户端发送的主密钥而生成的数据密钥明文；采用所述数据密钥明文对所述目标数据进行加密。

在本公开的示例性实施方式的数据加密装置中，一方面，通过标识信息确定对目标数据进行加密的密钥管理服务，不同的标识信息对应不同的密钥管理服务，使得大数据存储系统可以支持多种密钥管理服务，也就是说，通过本公开的数据加密方法，大数据存储系统可以实现不同加密等级的数据加密过程；另一方面，本公开可以对密钥管理服务进行启用、停用、移除操作并增加新的密钥管理服务，大大提高了大数据存储系统的加密灵活性。

进一步的，本示例实施方式中还提供了一种数据解密装置，该数据解密装置应用于大数据存储系统。

图9示意性示出了本公开的示例性实施方式的数据解密装置的方框图。参考图9，根据本公开的示例性实施方式的数据解密装置9可以包括数据获取模块91、标识获取模块93、服务确定模块95、密钥解密模块97和数据解密模块99。

具体的，数据获取模块91可以用于获取数据表中经加密的目标数据和经加密的数据密钥；标识获取模块93可以用于从所述目标数据所在数据表的自定义属性中，获取对所述目标数据进行解密的密钥管理服务的标识信息；服务确定模块95可以用于根据所述标识信息确定对所述目标数据进行解密的密钥管理服务；密钥解密模块97可以用于采用所述密钥管理服务对所述数据密钥进行解密，以得到数据密钥明文；数据解密模块99可以用于采用所述数据密钥明文对所述目标数据进行解密。

在本公开的示例性实施方式的数据解密装置中，可以根据不同数据的加密等级分别进行解密，实现了大数据存储系统中可以提供多种解密方法的目的。

由于本发明实施方式的程序运行性能分析装置的各个功能模块与上述方法发明实施方式中相同，因此在此不再赘述。

进一步的，本示例实施方式中还提供了一种数据加密系统，应用于大数据存储系统。参考图10，数据加密系统可以包括客户端101、加密服务器103和路由服务器105。

具体的，客户端101可以用于将待写入数据表的目标数据发送至加密服务器；加密服务器103可以用于获取所述目标数据；从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息；将所述标识信息发送至所述路由服务器105；借助于所述路由服务器105调用所述密钥管理服务对所述目标数据进行加密；路由服务器105可以用于确定所述标识信息对应的密钥管理服务。

根据本公开的示例性实施例，路由服务器105可以配置有密钥管理服务与标识信息对应关系的配置文件；其中，路由服务器105可以根据标识信息确定唯一对应的密钥管理服务的url地址。

根据本公开的示例性实施例，路由服务器105还用于：如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

根据本公开的示例性实施例，加密服务器103调用所述密钥管理服务对所述目标数据进行加密包括：加密服务器103采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密；其中，所述数据密钥存储在与所述密钥管理服务的加密等级匹配的密钥存储介质中。

根据本公开的示例性实施例，数据密钥由所述密钥管理服务响应于客户端发送的主密钥而生成。

根据本公开的示例性实施例，客户端101可以判断用户是否首次使用一密钥管理服务，如果是，则客户端可以创建主密钥。

进一步的，本示例实施方式中还提供了一种数据解密系统，应用于大数据存储系统。参考图11，数据解密系统可以包括客户端111、解密服务器113和路由服务器115。

具体的，客户端111可以用于向解密服务器发送目标数据解密请求；解密服务器113可以用于响应所述目标数据解密请求获取数据表中经加密的目标数据和经加密的数据密钥；从所述数据表的自定义属性中获取对所述目标数据进行解密的密钥管理服务的标识信息；借助于所述路由服务器调用所述密钥管理服务对所述数据密钥进行解密，以得到数据密钥明文；采用所述数据密钥明文对所述目标数据进行解密；路由服务器115可以用于确定所述标识信息对应的密钥管理服务。

根据本公开的示例性实施例，路由服务器115可以配置有密钥管理服务与标识信息对应关系的配置文件；其中，所述路由服务器根据标识信息确定唯一对应的密钥管理服务的url地址。

根据本公开的示例性实施例，路由服务器115还用于：如果如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

在本公开的示例性实施例中，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。

参考图12所示，描述了根据本发明的实施方式的用于实现上述方法的程序产品1200，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

在本公开的示例性实施例中，还提供了一种能够实现上述方法的电子设备。

所属技术领域的技术人员能够理解，本发明的各个方面可以实现为系统、方法或程序产品。因此，本发明的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

下面参照图13来描述根据本发明的这种实施方式的电子设备1300。图13显示的电子设备1300仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图13所示，电子设备1300以通用计算设备的形式表现。电子设备1300的组件可以包括但不限于：上述至少一个处理单元1310、上述至少一个存储单元1320、连接不同系统组件(包括存储单元1320和处理单元1310)的总线1330、显示单元1340。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元1310执行，使得所述处理单元1310执行本说明书上述“示例性方法”部分中描述的根据本发明各种示例性实施方式的步骤。例如，所述处理单元1310可以执行如图3所示的数据加密方法或如图4所示的数据解密方法。

存储单元1320可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)13201和/或高速缓存存储单元13202，还可以进一步包括只读存储单元(ROM)13203。

存储单元1320还可以包括具有一组(至少一个)程序模块13205的程序/实用工具13204，这样的程序模块13205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线1330可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备1300也可以与一个或多个外部设备1400(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备1300交互的设备通信，和/或与使得该电子设备1300能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口1350进行。并且，电子设备1300还可以通过网络适配器1360与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器1360通过总线1330与电子设备1300的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备1300使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

此外，上述附图仅是根据本发明示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其他实施例。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限。

Claims (16)

1.一种数据加密方法，应用于大数据存储系统，其特征在于，包括：

获取待写入数据表的目标数据；

从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息；

根据所述标识信息确定对所述目标数据进行加密的密钥管理服务；

调用所述密钥管理服务对所述目标数据进行加密。

2.根据权利要求1所述的数据加密方法，其特征在于，所述数据加密方法还包括：

针对每一密钥管理服务，分配与各密钥管理服务唯一对应的标识信息，并构建密钥管理服务与标识信息对应关系的配置文件；

其中，根据标识信息确定唯一对应的密钥管理服务的url地址。

3.根据权利要求2所述的数据加密方法，其特征在于，所述数据加密方法还包括：

如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；

如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；

如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

4.根据权利要求1所述的数据加密方法，其特征在于，调用所述密钥管理服务对所述目标数据进行加密包括：

采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密；

其中，所述数据密钥存储在与所述密钥管理服务的加密等级匹配的密钥存储介质中。

5.根据权利要求4所述的数据加密方法，其特征在于，采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密包括：

获取所述密钥管理服务响应于客户端发送的主密钥而生成的数据密钥明文；

采用所述数据密钥明文对所述目标数据进行加密。

6.一种数据解密方法，应用于大数据存储系统，其特征在于，包括：

获取数据表中经加密的目标数据和经加密的数据密钥；

从所述数据表的自定义属性中获取对所述目标数据进行解密的密钥管理服务的标识信息；

根据所述标识信息确定对所述目标数据进行解密的密钥管理服务；

采用所述密钥管理服务对所述数据密钥进行解密，以得到数据密钥明文；

采用所述数据密钥明文对所述目标数据进行解密。

7.一种数据加密装置，应用于大数据存储系统，其特征在于，包括：

数据获取模块，用于获取待写入数据表的目标数据；

标识获取模块，用于从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息；

服务确定模块，用于根据所述标识信息确定对所述目标数据进行加密的密钥管理服务；

数据加密模块，用于调用所述密钥管理服务对所述目标数据进行加密。

8.一种数据解密装置，应用于大数据存储系统，其特征在于，包括：

数据获取模块，用于获取数据表中经加密的目标数据和经加密的数据密钥；

标识获取模块，用于从所述目标数据所在数据表的自定义属性中，获取对所述目标数据进行解密的密钥管理服务的标识信息；

服务确定模块，用于根据所述标识信息确定对所述目标数据进行解密的密钥管理服务；

密钥解密模块，用于采用所述密钥管理服务对所述数据密钥进行解密，以得到数据密钥明文；

数据解密模块，用于采用所述数据密钥明文对所述目标数据进行解密。

9.一种数据加密系统，应用于大数据存储系统，其特征在于，包括客户端、加密服务器和路由服务器；其中：

客户端，用于将待写入数据表的目标数据发送至加密服务器；

加密服务器，用于获取所述目标数据；从所述数据表的自定义属性中获取对所述目标数据进行加密的密钥管理服务的标识信息；将所述标识信息发送至所述路由服务器；借助于所述路由服务器调用所述密钥管理服务对所述目标数据进行加密；

路由服务器，用于确定所述标识信息对应的密钥管理服务。

10.根据权利要求9所述的数据加密系统，其特征在于，所述路由服务器配置有密钥管理服务与标识信息对应关系的配置文件；

其中，所述路由服务器根据标识信息确定唯一对应的密钥管理服务的url地址。

11.根据权利要求10所述的数据加密系统，其特征在于，所述路由服务器还用于：

如果如果接收到目标服务启用指令，则启用所述配置文件中的目标密钥管理服务；

如果接收到目标服务停用指令，则停用所述配置文件中的目标密钥管理服务；

如果接收到目标服务移除指令，则将目标密钥管理服务从所述配置文件中移除。

12.根据权利要求9所述的数据加密系统，其特征在于，所述加密服务器调用所述密钥管理服务对所述目标数据进行加密包括：

所述加密服务器采用所述密钥管理服务生成的数据密钥对所述目标数据进行加密；

其中，所述数据密钥存储在与所述密钥管理服务的加密等级匹配的密钥存储介质中。

13.根据权利要求12所述的数据加密系统，其特征在于，所述数据密钥由所述密钥管理服务响应于客户端发送的主密钥而生成。

14.一种数据解密系统，应用于大数据存储系统，其特征在于，包括客户端、解密服务器和路由服务器；其中：

客户端，用于向解密服务器发送目标数据解密请求；

解密服务器，用于响应所述目标数据解密请求获取数据表中经加密的目标数据和经加密的数据密钥；从所述数据表的自定义属性中获取对所述目标数据进行解密的密钥管理服务的标识信息；借助于所述路由服务器调用所述密钥管理服务对所述数据密钥进行解密，以得到数据密钥明文；采用所述数据密钥明文对所述目标数据进行解密；

路由服务器，用于确定所述标识信息对应的密钥管理服务。

15.一种存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5中任一项所述的数据加密方法或如权利要求6所述的数据解密方法。

16.一种电子设备，其特征在于，包括：

处理器；以及

存储器，用于存储所述处理器的可执行指令；

其中，所述处理器配置为经由执行所述可执行指令来执行如权利要求1至5中任一项所述的数据加密方法或如权利要求6所述的数据解密方法。