CN111177769A - 一种隐私数据保护的名单查询方法及相关的名单查询系统 - Google Patents

Abstract

本说明书实施例提供一种隐私数据保护的名单查询方法及相关的名单查询系统。方法包括：加入目标名单查询服务的第一成员设备向数据平台发起目标名单查询服务的查询请求，查询请求携带有第一成员设备基于第一私钥加密的待查询对象信息。数据平台将待查询对象信息发送至加入目标查询服务的至少一个第二成员设备，以得到经第一成员设备的第一私钥和第二成员设备的第二私钥双重加密的待查询对象信息。数据平台基于双重加密的待查询对象信息，对目标名单查询服务的名单数据进行命中查询，并向第一成员设备反馈结果。名单数据包括有经第一私钥和第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

Description

一种隐私数据保护的名单查询方法及相关的名单查询系统

技术领域

本文件涉及信息安全技术领域，尤其涉及一种隐私数据保护的名单查询方法及相关的名单查询系统。

背景技术

随着信息技术的飞速发展，业务决策越来越依赖于用户信息收集和共享。然而，这也引起大量的关于个人隐私被泄漏的问题。例如，一个机构向另外的机构提供查询接口，用以查询被查询者是否在名单中，这样的名单是由一类具有相同特性的个人群体构成，比如会员、黑名单等。常规的查询接口需要提供被查询者的个人标识信息PII(PersonallyIdentifiable Information)，以黑名单为例，提供的个人标识信息可以是身份证号码、手机号码或手机设备唯一识别码等。在查询过程中，即便被查询者不在名单之中，服务方也会得到被查询者的个人身份信息，同时，还泄漏了查询方的查询提议。

面对隐私泄露如此严峻的形势，当前有必要提出一种对敏感信息和查询意图提供隐私保护的名单查询方案。

发明内容

本说明书实施例目的是提供一种隐私数据保护的名单查询方法及相关的名单查询系统，能够在对敏感信息和查询意图提供隐私保护的前提下，实现名单查询。

为了实现上述目的，本说明书实施例是这样实现的：

第一方面，提供一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第一成员设备向数据平台发起针对所述目标名单查询服务的查询请求，所述查询请求携带有经所述第一成员设备基于所述第一成员设备的第一私钥加密的待查询对象信息；

所述数据平台将所述待查询对象信息发送至加入所述目标查询服务的至少一个第二成员设备；

接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述数据平台基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

第二方面，提供一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第一成员设备向数据平台发起针对所述目标名单查询服务的查询请求，所述查询请求携带有经所述第一成员设备基于所述第一成员设备的第一私钥加密的待查询对象信息，从而使得所述数据平台将所述待查询对象信息发送至加入所述目标查询服务的至少一个第二成员设备，以得到第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述第一成员接收所述数据平台发送的命中查询结果，所述命中查询结果是所述数据平台基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询获得的，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

第三方面，提供一种隐私数据保护的名单查询方法，包括：

数据平台接收加入目标名单查询服务的第一成员设备发起的针对所述目标名单查询服务的查询请求，所述查询请求携带有经所述第一成员设备基于所述第一成员设备的第一私钥加密的待查询对象信息；

所述数据平台将所述待查询对象信息发送至加入所述目标查询服务的至少一个第二成员设备，接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述数据平台基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

第四方面，提供一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第二成员设备接收数据平台发送的经所述第一成员设备的第一私钥加密的待查询对象信息，其中，所述待查询对象信息是所述第一成员设备通过针对所述目标名单查询服务的查询请求发送给所述数据平台的；

所述第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台，使得基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

第五方面，提供一种隐私数据保护的名单查询系统，包括提供目标查询服务的数据平台，以及，加入目标查询服务的第一成员设备和至少一个第二成员设备；其中，

第一成员设备向数据平台发起针对所述目标名单查询服务的查询请求，所述查询请求携带有经所述第一成员设备基于所述第一成员设备的第一私钥加密的待查询对象信息；

所述数据平台将所述待查询对象信息发送至加入至少一个第二成员设备；

接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述数据平台基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

第六方面，提供一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第一成员设备向数据平台发起针对所述目标名单查询服务的查询请求，所述查询请求携带有明文的待查询对象信息；

所述数据平台基于所述数据平台的平台私钥对所述待查询对象信息进行加密后，并发送至加入所述目标查询服务的至少一个第二成员设备；

接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述数据平台和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述数据平台基于所述数据平台和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述数据平台的平台私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

第七方面，提供一种隐私数据保护的名单查询方法，包括：

数据平台接收加入目标名单查询服务的第一成员设备发起的针对所述目标名单查询服务的查询请求，所述查询请求携带有明文的待查询对象信息；

所述数据平台基于所述数据平台的平台私钥对所述待查询对象信息进行加密后，并发送至加入所述目标查询服务的至少一个第二成员设备，使得接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述数据平台和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台;

所述数据平台基于所述数据平台和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述数据平台的平台私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

第八方面，提供一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第二成员设备接收数据平台发送的经所述数据平台的平台私钥加密的待查询对象信息，其中，所述待查询对象信息是所述第一成员设备通过针对所述目标名单查询服务的查询请求发送给所述数据平台的；

所述第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述数据平台和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台，使得基于所述数据平台和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述数据平台的平台私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

第九方面，提供一种隐私数据保护的名单查询系统，包括提供目标查询服务的数据平台，以及，加入目标查询服务的第一成员设备和至少一个第二成员设备；其中，

第一成员设备向数据平台发起针对所述目标名单查询服务的查询请求，所述查询请求携带有明文的待查询对象信息；

所述数据平台基于所述数据平台的平台私钥对所述待查询对象信息进行加密后，并发送至至少一个第二成员设备；

接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述数据平台和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述数据平台基于所述数据平台和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述数据平台的平台私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

本说明书实施例的方案在名单查询方和名单提供方中间引入数据平台。一方面，数据平台保存的名单数据由名单提供方和名单查询方进行双重加密，避免了名单数据中的可查询对象信息被数据平台暴露，保护了名单提供方的敏感信息的隐私；另一方面，需要进行名单查询的待查询对象信息先经名单查询方加密后通过数据平台转发给名单提供方，由名单提供方进行再次加密，从而能够对基于双重加密的待查询对象信息对名单数据进行命中查询，避免了待查询对象信息暴露给数据平台暴露和数据查询方，从而保护了名单查询方的查询意图。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书实施例中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本说明书实施例提供的名单查询方法的第一种流程示意图。

图2为本说明书实施例提供的名单查询方法的第二种流程示意图。

图3为本说明书实施例提供的名单查询方法的第三种流程示意图。

图4为本说明书实施例提供的名单查询系统的第一种结构示意图。

图5为本说明书实施例提供的名单查询方法的第四种流程示意图。

图6为本说明书实施例提供的名单查询方法的第五种流程示意图。

图7为本说明书实施例提供的名单查询方法的第六种流程示意图。

图8为本说明书实施例提供的名单查询系统的第二种结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。

如前所述，在目前的名单查询方案中，查询方需要将待查询对象信息（一般是待查询对象的标识信息）提供给被查询方，从而导致待查询对象的敏感信息以及查询方的查询意图被暴露，无法对查询隐私进行保护。

为此，本文件旨在提出一种对待查询对象的敏感信息和查询方的查询意图均能提供隐私保护的名单查询方案。

图1是本说明书实施例隐私数据保护的名单查询方法的流程图。图1所示的方法可以由下文相对应的系统执行，包括：

步骤S102，加入目标名单查询服务的第一成员设备向数据平台发起针对目标名单查询服务的查询请求，查询请求携带有经第一成员设备基于第一成员设备的第一私钥加密的待查询对象信息。

其中，服务指数据平台可以提供不同的名单查询服务，比如黑名单查询服务会员名单查询服务等等，这里本文不作具体限定。

在本说明书实施例中，第一成员设备表示名单查询方设备。第一成员设备可以向数据平台提供待查询对象信息，以确定待查询对象信息是否属于数据平台记录的名单数据。其中，待查询对象信息可以但不限于是待查询对象的标识信息，例如身份证号、手机号码和手机设备唯一识别码等等。

在本步骤中，第一成员设备通过第一私钥对待查询对象信息进行加密后，可以避免将自己的查询意图以及待查询对象的敏感信息暴露给数据平台。

步骤S104，数据平台将待查询对象信息发送至加入目标查询服务的至少一个第二成员设备。

在本说明书实施例中，第二成员设备表示名单提供方设备。也就是说，针对目标名单查询服务，第二成员设备向第一成员设备共享自己的名单数据。

其中，名单数据包含有可查询对象信息，可查询对象信息与上文的待查询对象信息相对应，属于同样的信息维度。因此，作为示例性介绍，可查询对象信息可以但不限于包括可查询对象的身份证号、手机号码和手机设备唯一识别码等等。

具体地，在目标名单查询服务的名单数据中，第二成员设备基于第二私钥对自己的名单数据中的可查询对象信息进行加密后发送给数据平台，再由数据平台转发给第一成员设备。第一成员设备使用第一私钥对第二成员设备提供的名单数据中的可查询对象信息进行二次加密，以将获得的经第一成员设备和第二成员设备双重加密的可查询对象信息发送至数据平台，由数据平台进行存储。在该设计下，第二成员设备共享的名单数据中具体的可查询对象信息只有第二成员设备自己才可以进行解密，从而保证了第二成员设备的私有数据的隐私安全。

应理解，本说明书实施例的方案中，加入目标名单查询服务的成员设备通过数据平台可以共享自己的名单数据，也可以利用其他成员设备的名单数据进行查询。也就是说，第一成员设备也可以作为名单提供方，向第二成员设备提供自己的名单数据。第二成员设备也可以作为名单查询方，利用第一成员设备的名单数据进行名单查询。

步骤S106，接收到待查询对象信息的第二成员设备基于第二成员设备的第二私钥对待查询对象信息进行加密，以将得到第一成员设备和第二成员设备双重加密的待查询对象信息发送至数据平台。

应理解，本步骤是为了使待查询对象信息可以与第二成员设备提供的名单数据中的可查询对象信息一样，经过第二成员设备和第一成员设备的双重加密，从而后续可以基于待查询对象信息对第二成员设备提供的名单数据进行命中查询。

步骤S108，数据平台基于第一成员设备和第二成员设备双重加密的待查询对象信息，对目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至第一成员设备，其中，名单数据包括有经第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

其中，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同是指：同一数据先经第一成员设备加密再经第二成员设备加密的结果与先经第二成员设备加密再经第一成员设备加密的结果一致。因此，本步骤中，当数据平台的名单数据中出现了与待查询对象信息一致的可查询对象信息，则表示待查询对象信息命中了数据平台的名单。

在上述基础之上，为了进一步实现更好的隐私保护，数据平台的名单数据可以置乱记录可查询对象信息，从而保证名单数据中的可查询对象信息在加密前后无法一一对应。其中，置乱步骤可以由数据平台、第一成员对象和第二成员对象中的任意一者或多者执行，本文不作具体限定。

此外，还应理解的是，针对目标名单查询服务，其他成员设备也可以通过数据平台向第一成员设备共享自己的名单数据，由于原理相同，本文不再举例赘述。

基于图1所示的名单查询方法，本说明书实施例的方案在名单查询方和名单提供方中间引入数据平台。一方面，数据平台保存的名单数据由名单提供方和名单查询方进行双重加密，避免了名单数据中的可查询对象信息被数据平台暴露，保护了名单提供方的敏感信息的隐私；另一方面，需要进行名单查询的待查询对象信息先经名单查询方加密后通过数据平台转发给名单提供方，由名单提供方进行再次加密，从而能够对基于双重加密的待查询对象信息对名单数据进行命中查询，避免了待查询对象信息暴露给数据平台暴露和数据查询方，从而保护了名单查询方的查询意图。

此外，在上述方案中，目标名单查询服务也可以添加新的成员设备。为了方便数据平台为新增的成员设备构建双重加密的可查询对象信息，本说明书实施例中，数据平台可以构建目标数据库，用于所有由名单提供方基于名单提供方的私钥进行单词加密后的可查询对象信息后。

其中，数据平台在获得第二成员设备针对所述目标名单查询服务提供的基于第二私钥加密的可查询对象信息后，可以将该第二成员设备提供的可查询对象信息后与目标名单查询服务关联存储至目标数据库中。在目标查询服务添加第三成员设备后，数据平台将目标数据库中第二成员设备针对目标名单查询服务提供的基于第二私钥加密的可查询对象信息发送至第三成员设备。第三成员设备基于第三成员设备的第三私钥对数据平台发送的可查询对象信息进行加密，以将得到第三成员设备和第二成员设备双重加密的可查询对象信息发送至数据平台。之后，述数据平台将第三成员设备和第二成员设备双重加密的可查询对象信息添加至目标名单查询服务的名单数据中，使得后续第三成员设备也可以向数据平台发起针对目标名单查询服务的查询请求。

此外，本说明书实施例的数据平台还可以提供明文数据的查询服务。即，数据平台存储有第二成员设备提供的与第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息相关的脱敏数据。数据平台在提供目标名单查询服务同时，还可以查询与双重加密后的所述待查询对象标识匹配的脱敏数据，并将查询获得的脱敏数据明文提供至第一成员设备。

需要说明的是，本说明书实施例不对脱敏数据作具体限定。作为示例性介绍，脱敏数据可以用于对可查询对象进入名单数据作进一步说明。比如，当名单数据为黑名单时，可查询对象的脱敏数据可以包括可查询对象进入黑名单的时间这类不会暴露可查询对象身份的信息。

下面结合实际的应用场景对本说明书实施例的隐私数据保护的名单查询方法进行详细介绍。

在本应用场景中，数据平台提供风险名单查询服务，参与风险名单查询业务中的所有机构均通过数据平台实现风险名单的共享。

首先，通过离线对可共享的风险名单进行加密计算，以上传至数据平台。这里可以使用椭圆曲线算法实现。椭圆曲线算法满足一个性质：同样的数据，使用私钥1加密后再由私钥2加密，得到的加密信息等同于使用私钥2加密后再由私钥1加密。简而言之，在私钥确定的情况下，加密顺序并不会改变加密结果。

其中，如图2所示，椭圆曲线算法的离线计算的过程如下：

名单提供机构可以将自己的风险名单中的可查询对象信息转换为椭圆曲线算法的定义域，例如使用256bit的哈希值对可查询对象信息进行表示。之后，再使用私钥对哈希值进行curve25519加密。

之后，名单提供机构将本地私钥加密后的风险名单发送至数据平台，由数据平台将风险名单进一步转发给风险名单查询服务的其他参与机构。

其他参与机构再基于相同椭圆曲线算法，对风险名单进行私钥加密，得到双重加密的风险名单，并将双重加密的风险名单反馈给数据平台，由数据平台进行存储。其中，数据平台可以使用hbase数据库存储双重加密的风险名单，从而利用hbase数据库的功能提供实时的风险名单查询服务。

此外，数据平台还可以将名单提供机构单重进行私钥加密的风险名单进行单独保存，以在风险名单查询服务添加新的机构时，可以直接将名单提供机构单重私钥加密的风险名单发送给新增机构，以获得新增机构和单提供机构双重加密的风险名单。具体地，由于没有实时性的硬性要求，数据平台可以使用维护成本较低的hdfs数据库存储名单提供机构单重进行私钥加密的风险名单。

上述离线计算的流程可以动态执行，即，数据平台可以对hbase数据库中经双重私钥加密的风险名单以及hdfs数据库中经风险名单提供机构单次私钥加密的风险名单进行定期更新。

之后，通过实时计算实现风险名单查询。其中，如图3所示，实时计算进的流程如下：

名单查询机构使用椭圆曲线算法，对待查询对象信息进行私钥加密。

名单查询机构向数据平台发送查询请求，查询请求携带有由名单查询机构单重私钥加密的待查询对象信息。

数据平台将单重私钥加密的待查询对象信息发送给名单提供机构，由其他参与方基于自己的私钥进行再次加密，得到经名单查询机构和名单提供机构双重加密的待查询对象信息。之后，名单提供机构将双重加密的待查询对象信息反馈给数据平台。

进一步地，数据平台基于获得的双重加密的待查询对象信息，对hbase数据库的风险名单进行命中查询。若查询命中，则表示待查询对象属于风险名单，数据平台向查询机构反馈“是”的结果，反之，则反馈“否”的结果。

以上是对本说明书实施例的方法的介绍。应理解，在不脱离本文上述原理基础之上，还可以进行适当的变化，这些变化也应视为本说明书实施例的保护范围。

比如，数据平台的名单数据中的可查询对象信息还可以经多方成员设备进行私钥加密。这里，假设名单数据包括有经第一成员设备的第一私钥、第二成员设备的第二私钥以及其他成员设备的其他私钥多方加密的可查询对象信息，则所述数据平台可以通过串行方式，将第一成员设备基于第一私钥加密的待查询对象信息隐私发送给第二成员设备和其他成员设备以进行多重加密，得到经第一成员设备的第一私钥、第二成员设备的第二私钥以及其他成员设备的其他私钥多重加密的所述待查询对象信息；之后，所述数据平台基于多重加密的待查询对象信息，对目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈给第一成员设备。

与上述方法相对应地，如图4所示，本说明书实施例还提供一种隐私数据保护的名单查询系统400，包括：提供目标查询服务的数据平台410，以及，加入目标查询服务的第一成员设备420和至少一个第二成员设备430。其中：

第一成员设备420可以向数据平台410发起针对所述目标名单查询服务的查询请求，所述查询请求携带有经所述第一成员设备420基于所述第一成员设备420的第一私钥加密的待查询对象信息。之后，数据平台410将所述待查询对象信息发送至加入至少一个第二成员设备420，使得接收到所述待查询对象信息的第二成员设备420可以基于所述第二成员设备420的第二私钥对所述待查询对象信息进行加密，以将得到所述第一成员设备420和所述第二成员设备420双重加密的所述待查询对象信息发送至所述数据平台410。然后，由数据平台410基于所述第一成员设备420和所述第二成员设备420双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备420。

本说明书实施例图4的名单查询系统在名单查询方和名单提供方中间引入数据平台。一方面，数据平台保存的名单数据由名单提供方和名单查询方进行双重加密，避免了名单数据中的可查询对象信息被数据平台暴露，保护了名单提供方的敏感信息的隐私；另一方面，需要进行名单查询的待查询对象信息先经名单查询方加密后通过数据平台转发给名单提供方，由名单提供方进行再次加密，从而能够对基于双重加密的待查询对象信息对名单数据进行命中查询，避免了待查询对象信息暴露给数据平台暴露和数据查询方，从而保护了名单查询方的查询意图。

可选地，所述名单数据中的至少一部分经所述第一成员设备420的第一私钥和第二成员设备430的第二私钥双重加密后的可查询对象信息属于第二成员设备430提供的私有数据，并由第二成员设备430基于第二私钥加密后通过所述数据平台发送给所述第一成员设备420，再由所述第一成员设备420基于第一私钥加密后提供给所述数据平台410。

可选地，所述数据平台410在获得第二成员设备430针对所述目标名单查询服务提供的基于第二私钥加密的可查询对象信息后，将该第二成员设备320提供的可查询对象信息后与所述目标名单查询服务关联存储至目标数据库中；

所述数据平台410在所述目标查询服务添加第三成员设备后，将所述目标数据库中第二成员设备420针对所述目标名单查询服务提供的基于第二私钥加密的可查询对象信息发送至所述第三成员设备；

所述第三成员设备基于所述第三成员设备的第三私钥对所述数据平台410发送的可查询对象信息进行加密，以将得到所述第三成员设备和所述第二成员设备430双重加密的所述可查询对象信息发送至所述数据平台410；

所述数据平台410将所述第三成员设备和所述第二成员设备430双重加密的可查询对象信息添加至所述目标名单查询服务的名单数据中。

可选地，所述名单数据中的至少一部分经所述第一成员设备420的第一私钥和第二成员设备430的第二私钥双重加密后的可查询对象信息属于所述第一成员设备420提供的私有数据，并由所述第一成员设备420基于第一私钥加密后通过所述数据平台410发送给第二成员设备430，再由第二成员设备430基于第二私钥加密后提供给所述数据平台410。

其中，第一成员设备420的第一私钥包括：查询方私钥和服务方私钥。所述第一成员设备420使用所述查询方私钥对待查询对象信息进行加密，并使用所述服务方私钥对第一成员设备针对所述目标名单查询服务提供的可询对象信息进行加密。

可选地，所述名单数据还包括有经第一成员设备420的第一私钥、第二成员设备430的第二私钥以及其他成员设备的其他私钥多方加密的可查询对象信息；

所述数据平台410还可以通过串行方式，将第一成员设备420基于第一私钥加密的待查询对象信息隐私发送给第二成员设备430和其他成员设备以进行多重加密，得到经第一成员设备420的第一私钥、第二成员设备430的第二私钥以及其他成员设备的其他私钥多重加密的所述待查询对象信息。所述数据平台410基于多重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备420。

可选地，所述目标名单查询服务协议约定使用椭圆曲线算法所述对待查询对象信息和可查询对象信息进行加密。

可选地，所述数据平台410还存储有第二成员设备430提供的与所述第一成员设备420的第一私钥和第二成员设备430的第二私钥双重加密后的可查询对象信息相关的脱敏数据；

所述数据平台410还可以查询与所述双重加密后的所述待查询对象标识匹配的脱敏数据，并提供至所述第一成员设备420。

可选地，所述名单数据置乱记录可查询对象信息。

显然，本说明书实施例图4的名单查询系统可以作为上述图1所示的名单查询方法的执行主体，因此能够实现名单查询方法在图1至图3所实现的功能。由于原理相同，本文不再赘述。

此外，本说明书实施例还提供一种明文方式的隐私数据保护的名单查询方法，同样能够对待查询对象的敏感信息和查询方的查询意图提供隐私保护。

图5是本说明书实施例明文方式的名单查询方法的流程图。图5所示的方法可以由下文相对应的系统执行，包括：

步骤S502，加入目标名单查询服务的第一成员设备向数据平台发起针对目标名单查询服务的查询请求，查询请求携带有明文的待查询对象信息；

步骤S504，数据平台基于数据平台的平台私钥对待查询对象信息进行加密后，并发送至加入目标查询服务的至少一个第二成员设备。

步骤S506，接收到待查询对象信息的第二成员设备基第二成员设备的第二私钥对待查询对象信息进行加密，以将得到数据平台和第二成员设备双重加密的待查询对象信息发送至数据平台。

步骤S508，数据平台基于数据平台和第二成员设备双重加密的所述待查询对象信息，对目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，名单数据包括有经数据平台的平台私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

其中，在目标名单查询服务的名单数据中，第二成员设备基于第二私钥对自己的名单数据中的可查询对象信息进行加密后发送给数据平台，再由数据平台转使用平台私钥对第二成员设备提供的名单数据中的可查询对象信息进行二次加密，以将获得的经数据平台和第二成员设备双重加密的可查询对象信息进行存储。在该设计下，第二成员设备共享的名单数据中具体的可查询对象信息只有第二成员设备自己才可以进行解密，而数据平台虽然进行存储但无法获知具体信息，从而保证了第二成员设备的私有数据的隐私安全。

基于图5所示的名单查询方法，本说明书实施例的方案在名单查询方和名单提供方中间引入数据平台。一方面，数据平台保存的名单数据由名单提供方和数据平台进行双重的私钥加密，避免了名单数据中的可查询对象信息暴露给数据平台，保护了名单提供方的私有信息的隐私；另一方面，在查询过程中，待查询对象信息通过数据平台加密后发给名单提供方进行再次加密，从而基于双重加密的待查询对象信息对名单数据进行命中查询，对于名单查询方来讲，并不知道具体的待查询对象信息，同时对于数据平台来讲，在不知道名单数据的具体用途的情况下，也无法仅通过命中查询结果推侧出名单查询方的查询意图。

下面结合实际的应用场景对本说明书实施例图5的名单查询方法进行详细介绍。

在本应用场景中，数据平台提供风险名单查询服务，参与风险名单查询业务中的所有机构均通过数据平台实现风险名单的共享。

首先，通过离线对可共享的风险名单进行加密计算，以上传至数据平台。这里可以使用椭圆曲线算法实现。椭圆曲线算法满足一个性质：同样的数据，使用私钥1加密后再由私钥2加密，得到的加密信息等同于使用私钥2加密后再由私钥1加密。简而言之，在私钥确定的情况下，加密顺序并不会改变加密结果。

其中，如图6所示，椭圆曲线算法的离线计算的过程如下：

名单提供机构可以将自己的风险名单中的可查询对象信息转换为椭圆曲线算法的定义域，例如使用256bit的哈希值对可查询对象信息进行表示。之后，再使用私钥对哈希值进行curve25519加密。

之后，名单提供机构将本地私钥加密后的风险名单发送至数据平台，由数据平台再基于相同椭圆曲线算法，对风险名单进行私钥加密，得到双重加密的风险名单，并将双重加密的风险名单进行存储。其中，数据平台可以使用hbase数据库存储双重加密的风险名单，从而利用hbase数据库的功能提供实时的风险名单查询服务。

上述离线计算的流程可以动态执行，即，数据平台可以对hbase数据库中经双重私钥加密的风险名单以及hdfs数据库中经风险名单提供机构单次私钥加密的风险名单进行定期更新。

之后，通过实时计算实现风险名单查询。其中，如图7所示，实时计算进的流程如下：

名单查询机构向数据平台发送查询请求，查询请求携带有明文的待查询对象信息。这里需要说明的是，数据平台是知道待查询对象信息的，但后续并不知道查询对象信息命中的是哪个名单数据，因此在不知道名单数据的用途的前提下，无法推测名单查询机的查询意图。

数据平台基于自己的私钥，对待查询对象信息进行加密，并将经数据平台单次私钥加密的待查询对象信息发送给名单提供机构。

名单提供机构对数据平台发送的待查询对象信息进行私钥加密，得到经数据平台和名单提供机构双重加密的待查询对象信息。之后，名单提供机构将双重加密的待查询对象信息反馈给数据平台。

进一步地，数据平台基于获得的双重加密的待查询对象信息，对hbase数据库的风险名单进行命中查询。若查询命中，则表示待查询对象属于风险名单，数据平台向查询机构反馈“是”的结果，反之，则反馈“否”的结果。

以上是对本说明书实施例的方法的介绍。应理解，在不脱离本文上述原理基础之上，还可以进行适当的变化，这些变化也应视为本说明书实施例的保护范围。

与上述图5所示的方法相对应地，本说明书实施例还提供一种隐私数据保护的名单查询系统。图8是名单查询系统800的结构示意图，包括：提供目标查询服务的数据平台810，以及，加入目标查询服务的第一成员设备820和至少一个第二成员设备830。其中：

第一成员设备820向数据平台810发起针对所述目标名单查询服务的查询请求，所述查询请求携带有明文的待查询对象信息；

所述数据平台810基于所述数据平台810的平台私钥对所述待查询对象信息进行加密后，并发送至至少一个第二成员设备830；

接收到所述待查询对象信息的第二成员设备830基于所述第二成员设备830的第二私钥对所述待查询对象信息进行加密，以将得到所述数据平台810和所述第二成员设备830双重加密的所述待查询对象信息发送至所述数据平台810；

所述数据平台810基于所述数据平台810和所述第二成员设备830双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备820，其中，所述名单数据包括有经所述数据平台810的平台私钥和第二成员设备830的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

本说明书实施例图6的名单查询系统在本说明书实施例的方案在名单查询方和名单提供方中间引入数据平台。一方面，数据平台保存的名单数据由名单提供方和数据平台进行双重的私钥加密，避免了名单数据中的可查询对象信息暴露给数据平台，保护了名单提供方的私有信息的隐私；另一方面，在查询过程中，待查询对象信息通过数据平台加密后发给名单提供方进行再次加密，从而基于双重加密的待查询对象信息对名单数据进行命中查询，对于名单查询方来讲，并不知道具体的待查询对象信息，同时对于数据平台来讲，在不知道名单数据的具体用途的情况下，也无法仅通过命中查询结果推侧出名单查询方的查询意图。

显然，本说明书实施例图6的名单查询系统可以作为上述图4所示的名单查询方法的执行主体，因此能够实现名单查询方法在图4所实现的功能。由于原理相同，本文不再赘述。

本领域技术人员应明白，本说明书的实施例可提供为方法、系统或计算机程序产品。因此，本说明书可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

以上仅为本说明书的实施例而已，并不用于限制本说明书。对于本领域技术人员来说，本说明书可以有各种更改和变化。凡在本说明书的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本说明书的权利要求范围之内。此外，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本文件的保护范围。

Claims (17)

1.一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第一成员设备向数据平台发起针对所述目标名单查询服务的查询请求，所述查询请求携带有经所述第一成员设备基于所述第一成员设备的第一私钥加密的待查询对象信息；

所述数据平台将所述待查询对象信息发送至加入所述目标查询服务的至少一个第二成员设备；

接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述数据平台基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

2.根据权利要求1所述的方法，

所述名单数据中的至少一部分经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息属于第二成员设备提供的私有数据，并由第二成员设备基于第二私钥加密后通过所述数据平台发送给所述第一成员设备，再由所述第一成员设备基于第一私钥加密后提供给所述数据平台。

3.根据权利要求2所述的方法， 还包括：

所述数据平台在获得第二成员设备针对所述目标名单查询服务提供的基于第二私钥加密的可查询对象信息后，将该第二成员设备提供的可查询对象信息后与所述目标名单查询服务关联存储至目标数据库中；

所述数据平台在所述目标查询服务添加第三成员设备后，将所述目标数据库中第二成员设备针对所述目标名单查询服务提供的基于第二私钥加密的可查询对象信息发送至所述第三成员设备；

所述第三成员设备基于所述第三成员设备的第三私钥对所述数据平台发送的可查询对象信息进行加密，以将得到所述第三成员设备和所述第二成员设备双重加密的所述可查询对象信息发送至所述数据平台；

所述数据平台将所述第三成员设备和所述第二成员设备双重加密的可查询对象信息添加至所述目标名单查询服务的名单数据中。

4.根据权利要求1所述的方法，

所述名单数据中的至少一部分经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息属于所述第一成员设备提供的私有数据，并由所述第一成员设备基于第一私钥加密后通过所述数据平台发送给第二成员设备，再由第二成员设备基于第二私钥加密后提供给所述数据平台。

5.根据权利要求4所述的方法，

第一成员设备的第一私钥包括：查询方私钥和服务方私钥，其中，所述第一成员设备使用所述查询方私钥对待查询对象信息进行加密，并使用所述服务方私钥对第一成员设备针对所述目标名单查询服务提供的可询对象信息进行加密。

6.根据权利要求1-5中任一项所述的方法，

所述名单数据还包括有经第一成员设备的第一私钥、第二成员设备的第二私钥以及其他成员设备的其他私钥多方加密的可查询对象信息；

所述方法还包括：

所述数据平台通过串行方式，将第一成员设备基于第一私钥加密的待查询对象信息隐私发送给第二成员设备和其他成员设备以进行多重加密，得到经第一成员设备的第一私钥、第二成员设备的第二私钥以及其他成员设备的其他私钥多重加密的所述待查询对象信息；

所述数据平台基于多重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备。

7.根据权利要求1-5中任一项所述的方法，

所述目标名单查询服务协议约定使用椭圆曲线算法所述对待查询对象信息和可查询对象信息进行加密。

8.根据权利要求1-5中任一项所述的方法，

所述数据平台还存储有第二成员设备提供的与所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息相关的脱敏数据；

所述方法还包括：

所述数据平台查询与所述双重加密后的所述待查询对象标识匹配的脱敏数据，并提供至所述第一成员设备。

9.根据权利要求1-5中任一项所述的方法，

所述名单数据置乱记录可查询对象信息。

10.一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第一成员设备向数据平台发起针对所述目标名单查询服务的查询请求，所述查询请求携带有经所述第一成员设备基于所述第一成员设备的第一私钥加密的待查询对象信息，从而使得所述数据平台将所述待查询对象信息发送至加入所述目标查询服务的至少一个第二成员设备，以得到第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述第一成员接收所述数据平台发送的命中查询结果，所述命中查询结果是所述数据平台基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询获得的，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

11.一种隐私数据保护的名单查询方法，包括：

数据平台接收加入目标名单查询服务的第一成员设备发起的针对所述目标名单查询服务的查询请求，所述查询请求携带有经所述第一成员设备基于所述第一成员设备的第一私钥加密的待查询对象信息；

所述数据平台将所述待查询对象信息发送至加入所述目标查询服务的至少一个第二成员设备，接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述数据平台基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

12.一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第二成员设备接收数据平台发送的经所述第一成员设备的第一私钥加密的待查询对象信息，其中，所述待查询对象信息是所述第一成员设备通过针对所述目标名单查询服务的查询请求发送给所述数据平台的；

所述第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台，使得基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

13.一种名单查询系统中的第二成员设备，所述第二成员设备加入有目标查询服务，包括：

接收模块，接收数据平台发送的经所述第一成员设备的第一私钥加密的待查询对象信息，其中，所述待查询对象信息是所述第一成员设备通过针对所述目标名单查询服务的查询请求发送给所述数据平台的；

加密模块，基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台，使得得数据平台基于所述第一成员设备和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述第一成员设备的第一私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，第一私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

14.一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第一成员设备向数据平台发起针对所述目标名单查询服务的查询请求，所述查询请求携带有明文的待查询对象信息；

所述数据平台基于所述数据平台的平台私钥对所述待查询对象信息进行加密后，并发送至加入所述目标查询服务的至少一个第二成员设备；

接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述数据平台和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述数据平台基于所述数据平台和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述数据平台的平台私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

15.一种隐私数据保护的名单查询方法，包括：

数据平台接收加入目标名单查询服务的第一成员设备发起的针对所述目标名单查询服务的查询请求，所述查询请求携带有明文的待查询对象信息；

所述数据平台基于所述数据平台的平台私钥对所述待查询对象信息进行加密后，并发送至加入所述目标查询服务的至少一个第二成员设备，使得接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述数据平台和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台;

所述数据平台基于所述数据平台和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述数据平台的平台私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

16.一种隐私数据保护的名单查询方法，包括：

加入目标名单查询服务的第二成员设备接收数据平台发送的经所述数据平台的平台私钥加密的待查询对象信息，其中，所述待查询对象信息是所述第一成员设备通过针对所述目标名单查询服务的查询请求发送给所述数据平台的；

所述第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述数据平台和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台，使得基于所述数据平台和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述数据平台的平台私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

17.一种隐私数据保护的名单查询系统，包括提供目标查询服务的数据平台，以及，加入目标查询服务的第一成员设备和至少一个第二成员设备；其中，

第一成员设备向数据平台发起针对所述目标名单查询服务的查询请求，所述查询请求携带有明文的待查询对象信息；

所述数据平台基于所述数据平台的平台私钥对所述待查询对象信息进行加密后，并发送至至少一个第二成员设备；

接收到所述待查询对象信息的第二成员设备基于所述第二成员设备的第二私钥对所述待查询对象信息进行加密，以将得到所述数据平台和所述第二成员设备双重加密的所述待查询对象信息发送至所述数据平台；

所述数据平台基于所述数据平台和所述第二成员设备双重加密的所述待查询对象信息，对所述目标名单查询服务的名单数据进行命中查询，并将得到的命中查询结果反馈至所述第一成员设备，其中，所述名单数据包括有经所述数据平台的平台私钥和第二成员设备的第二私钥双重加密后的可查询对象信息，平台私钥和第二私钥在不同双重加密顺序下对相同内容的加密结果相同。

Images