CN112287364A - 数据共享方法、装置、系统、介质及电子设备 - Google Patents

Abstract

本公开实施例提供了一种数据共享方法、装置、系统、介质和电子设备，涉及计算机技术领域，应用于数据交换平台，该数据共享方法包括：使用服务调用者的第一私钥对接收的服务调用者的请求数据进行解密；将解密后的所述请求数据中的第一部分数据使用服务提供者的第二公钥加密后发送给服务提供者；接收服务提供者发送的所述请求数据对应的响应数据；使用服务提供者的第二私钥对所述响应数据进行解密；将解密后的所述响应数据使用所述第一公钥加密后发送给服务调用者。本公开实施例的技术方案可以降低数据共享过程中敏感信息泄漏的风险。

Description

数据共享方法、装置、系统、介质及电子设备

技术领域

本公开涉及计算机技术领域，具体而言，涉及一种数据共享方法、装置、系统、计算机可读存储介质及电子设备。

背景技术

随着信息技术的发展，数据逐渐资产化，成为资产要素。同时，个人数据隐私安全也日益凸显重要性。

在金融科技领域以及其它涉及个人隐私信息等敏感信息交换的场景中，金融系统等敏感信息持有方与各行业中广泛分布的大数据企业系统之间进行服务调用和数据传输时，不可避免地涉及到传输和加工这部分敏感信息。随着个人隐私保护的发展，公民个人隐私意识以及政策法规方面对企业、机构处理敏感信息等隐私数据方面提出了很高的要求和很强的约束。

相关技术中，在信息共享过程中，双方明文传输将存在数据泄露风险。若双方加密传输，使得接收方在解密后仍可以还原数据明文，则存在数据泄露风险。若发送方传输加密后数据，则存在数据不可用的风险。若接收方持有发送方密钥，也同样存在数据泄露风险。

为保护具有敏感性、隐私性的数据，在服务调用时希望在满足业务中数据可用性的基础上，数据接收方接收到去标识化后的数据，使得数据接收方无法通过接收到的新信息还原出隐私数据明文。

企业信息化系统在享受大数据便利的同时，不可避免地将面对隐私数据在共享过程中的安全问题。由于系统跨域一或多个主体，数据共享的参与方对于己方数据在跨出本域之后，对方能否有效避免数据泄露风险，缺乏信任机制保障。因此，在数据资产化+数据隐私保护升级的行业趋势下，如何实现数据共享的参与各方信任的数据共享，从而既能保证数据可用，又可以有效避免敏感信息泄露，成为亟待解决的技术难题。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开实施例的目的在于提供一种数据共享方法、装置、系统、计算机可读存储介质及电子设备，进而至少在一定程度上降低数据共享过程中的敏感信息泄漏的风险。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

根据本公开实施例的第一方面，提供了一种数据共享方法，应用于数据交换平台，所述数据共享方法包括：使用服务调用者的第一私钥对接收的所述服务调用者的请求数据进行解密，其中，所述请求数据中的第一部分数据经由所述服务调用者使用第一公钥加密，所述第一私钥和所述第一公钥为预配置的所述服务调用者的密钥对；将解密后的所述请求数据中的第一部分数据使用服务提供者的第二公钥加密后发送给所述服务提供者；接收所述服务提供者发送的所述请求数据对应的响应数据，其中，所述响应数据由所述服务提供者根据使用所述第二公钥加密后的所述请求数据中的第一部分数据在所述服务提供者的数据库中查询第二部分数据得到；所述第一部分数据和第二部分数据之间一一映射；使用所述服务提供者的第二私钥对所述响应数据进行解密，其中，所述第二私钥和所述第二公钥为预配置的所述服务提供者的密钥对；将解密后的所述响应数据使用所述第一公钥加密后发送给所述服务调用者。

在一些实施例中，所述服务提供者的数据库中的第二部分数据为第一部分数据经服务提供者的第二公钥加密后的加密表达。

在一些实施例中，所述数据共享方法还包括：接收服务参与者的接入请求，其中，所述服务参与者包括所述服务调用者和所述服务提供者；为所述服务参与者分配密钥对并将所述密钥对存储，所述密钥对包括公钥和私钥；将所述服务参与者的公钥和接入成功通知发送给对应的所述服务参与者。

在一些实施例中，为所述服务参与者分配密钥对，包括：采用以下任一种算法或其它同类的对称加密算法、非对称加密算法、消息摘要算法，为所述服务参与者分配密钥对：MD5、MD5+Salt、RSA、DSA、SM2、SM4、AES、SM3、SM3+Salt、Sha1、Sha1+Salt、Sha256、Sha256+Salt。

在一些实施例中，在使用服务调用者的第一私钥对接收的所述服务调用者的请求数据进行解密后将解密后的请求数据保存到内存保护区域；在使用所述服务提供者的第二私钥对所述响应数据进行解密后将解密后的响应数据保存到内存保护区域；所述内存保护区域设有访问权限控制其数据输入和数据输出。

在一些实施例中，所述解密后的请求数据和/或响应数据在内存保护区域中瞬时存储。

据本公开实施例的第二方面，提供了一种数据共享装置，应用于数据交换平台，所述数据共享装置包括：第一解密单元，用于使用服务调用者的第一私钥对接收的所述服务调用者的请求数据进行解密，其中，所述请求数据中的第一部分数据经由所述服务调用者使用第一公钥加密，所述第一私钥和所述第一公钥为预配置的所述服务调用者的密钥对；第一加密发送单元，用于将解密后的所述请求数据中的第一部分数据使用服务提供者的第二公钥加密后发送给所述服务提供者；接收单元，用于接收所述服务提供者发送的所述请求数据对应的响应数据，其中，所述响应数据由所述服务提供者根据使用所述第二公钥加密后的所述请求数据中的第一部分数据在所述服务提供者的数据库中进行查询第二部分数据得到，所述第一部分数据和第二部分数据之间一一映射；第二解密单元，用于使用服务提供者的第二私钥对所述响应数据进行解密，其中，所述第二私钥和所述第二公钥为预配置的所述服务提供者的密钥对；第二加密发送单元，用于将解密后的所述响应数据使用所述第一公钥加密后发送给所述服务调用者。

据本公开实施例的第三方面，提供了一种数据共享系统，包括数据交换平台，以及与所述数据交换平台通信连接的服务提供者和服务调用者，其中，所述数据交换平台配置有上述实施例中第二方面所述的数据共享装置。

据本公开实施例的第四方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如上述实施例中第一方面所述的数据共享方法。

根据本公开实施例的第五方面，提供了一种电子设备，包括：一个或多个处理器；存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上述实施例中第一方面所述的数据共享方法。

本公开实施例提供的技术方案可以包括以下有益效果：

在本公开的一些实施例所提供的技术方案中，在请求阶段将服务调用者的请求数据解密为明文，再使用服务提供者的密钥将明文加密，在响应阶段将服务提供者的响应数据解密为明文，再使用服务调用者的密钥将明文加密，其中，加解密过程仅针对数据的第一数据部分和第二数据部分等敏感信息部分进行，在解密-明文-加密中，明文不能被服务提供者或者服务调用者获取，从而实现了整体数据的可用不可见，降低了数据传输过程中数据泄漏的风险。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1示意性示出了根据本公开一种实施例的数据共享方法的流程图；

图2示意性示出了根据本公开一种实施例的第三方与服务参与者进行交互的示意图；

图3示意性示出了根据本公开另一种实施例的数据共享方法的流程图；

图4示意性示出了根据本公开另一种实施例的第三方与服务参与者进行交互的示意图；

图5示意性示出了根据本公开又一种实施例的第三方与服务参与者进行交互的示意图；

图6a示意性示出了根据本公开又一种实施例的数据共享方法的流程图；

图6b示意性示出了根据本公开又一种实施例的数据共享方法的流程图；

图7示意性示出了根据本公开一种实施例的数据共享装置的方框图；

图8示意性示出了适于用来实现本公开实施例的电子设备的计算机系统的结构图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施例中。在下面的描述中，提供许多具体细节从而给出对本公开的实施例的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而没有特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知方法、装置、实现或者操作以避免模糊本公开的各方面。

附图中所示的方框图仅仅是功能实体，不一定必须与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

附图中所示的流程图仅是示例性说明，不是必须包括所有的内容和操作/步骤，也不是必须按所描述的顺序执行。例如，有的操作/步骤还可以分解，而有的操作/步骤可以合并或部分合并，因此实际执行的顺序有可能根据实际情况改变。

相关技术中，明文是数据的原始格式。密文是将明文经过一定的加密计算转换后得到的格式数据。

除了直接明文传输之外，一种常用方法为采用散列方法对明文进行单向加密，形成散列码。例如，通过MD5、SHA1、SHA256对个人数据进行加密，形成唯一标识符传输给数据接收方。这种单向加密方法可以通过撞库技术破解。

受保护数据是个人隐私数据或者其它不希望公开的数据。

可见性是指受保护数据直接或借助一定技术条件对人可见、可复制、可传播。可用不可见是指借助一定技术条件，实现对数据的可供业务使用，但数据不可见。在本发明实施例中，可用不可见特指对于受保护数据的对人不可见。例如，对于个人隐私数据，即通过受处理后的数据，不可还原个人敏感信息等隐私数据主体。

在互联网金融科技领域，针对数据输出敏感的参与方，一般对持有的己方数据有较强的保护要求，在与外部系统交互时，期望在不直接传输个人敏感信息的前提下使用大数据服务。举个场景例子，某银行访问某大数据公司的在线服务，输入表征某个人的编号及附加信息，获得与该编号关联的个人风控评估分数。如果双方通过交换密钥，能够实现数据发送端加密、接收端解密，即允许接收端还原数据明文，但对于数据发送者来说，当己方数据被对方持有后，数据便脱离己方系统域的监控和保护，在这种交互条件下，无法保证己方数据不被他方滥用、泄露。现有条件下，缺乏“可信”机制让己方相信脱离系统域的己方数据不存在泄露、滥用风险。

例如，数据在不同企业不同系统间流转时，金融信息系统的数据交换、联合建模、联防联控等场景中，涉及到敏感信息交换且对需要对信息进行保护以防止泄露的跨系统间调用时，则需要解决对于对方接触和处理明文数据的技术的“信任”问题。

为降低个人金融信息等隐私数据在明文传输过程中发生数据泄露对数据主体造成权益侵害的风险，可以在数据在不同企业不同系统间流转时，在数据发送方和接收方之间建立“信任”：使得数据接收方接收到去标识化后的数据，数据接收方无法将提供的经加密后的隐私数据进行还原，并识别出特定个人。保障数据接收方避免数据滥用、泄露问题，并且为数据持有方建立对此的技术信任。这样，就可以实现服务在多方交互时的数据的“可用不可见”。

基于此，本发明提出一种数据共享方法和装置，以实现数据可用不可见的目的。

具体地，本发明实施例可以通过构建一个独立的第三方数据交换平台(即数据交换平台)，服务调用者和服务提供者与该数据交换平台通信连接，服务调用者通过数据交换平台从服务提供者获取服务，使得原有的服务交互双方，将数据直接地进行两两交换的模式，变成了通过第三方进行中转的模式，且在第三方的服务器中对数据进行“解密-明文-再加密”的数据加工处理，使得服务提供者接收到的数据为加密后的数据。在“解密-明文-再加密”的数据转换过程中，通过约束条件使中间环节产生中的明文数据仅在第三方的内存中瞬时存在，而无任何持久化存储或输出至网络接收装置。综合整个处理过程，对于服务调用者、第三方(即数据交换平台)、服务提供者这所有的参与者来说，数据最终可用，但流转环节明文均不可见。这样，就解决了数据接收方易产生的数据滥用、泄露问题，并且为数据持有方建立对此的技术信任。

图1示意性示出了本公开的示例性实施方式的一种数据共享方法。本公开实施例提供的方法可以由任意具备计算机处理能力的电子设备执行，例如终端设备和/或服务器。本公开实施例提供的数据共享方法应用于数据交换平台，参考图1，本公开实施例提供的数据共享方法可以包括以下步骤：

如图1所示，本发明实施例的数据共享方法包括：

步骤S102，使用服务调用者的第一私钥对接收的服务调用者的请求数据中的第一部分数据进行解密，其中，请求数据经由服务调用者使用第一公钥加密，所述第一私钥和所述第一公钥为预配置的所述服务调用者的密钥对；

步骤S104，将解密后的请求数据中的第一部分数据使用提供者的第二公钥加密后发送给服务提供者；

步骤S106，接收服务提供者发送的请求数据对应的响应数据，其中，所述响应数据由所述服务提供者根据使用所述第二公钥加密后的所述请求数据中的第一部分数据在所述服务提供者的数据库中进行查询第二部分数据得到；第一部分数据和第二部分数据之间一一映射；

步骤S108，使用服务提供者的第二私钥对响应数据进行解密，其中，所述第二私钥和所述第二公钥为预配置的所述服务提供者的密钥对；

步骤S110，将解密后的响应数据使用第一公钥加密后发送给服务调用者。

其中，请求数据指的是服务器调用请求时的数据。响应数据是指服务器调用返回时的数据。第一部分数据和第二部分数据可以为隐私数据，请求数据中的第一部分数据之外的数据在传输过程中无需加密。服务提供者的数据库中的第二部分数据为第一部分数据经服务提供者的第二公钥加密后的加密表达。进一步，所述第二部分数据为第一部分数据经过服务提供者的第二公钥加密后的密文表达。如此，第三方采用服务提供者的第二公钥加密后的请求数据中的第一部分数据实际上就是该服务提供者数据库中的第二数据，进而实现第一部分数据和第二部分数据的一一映射以进行查询。

在本发明实施例中，所述数据共享方法由所述服务调用者和所述服务提供者之外的第三方的服务器执行，在数据共享过程先通过服务调用者的私钥将请求数据解密成明文，并将明文保存于第三方的受CPU保护的内存隔离区域中，再通过服务提供者公钥将明文加密。完成该转换过程后，第三方的服务器立即释放明文所在的内存隔离区域。转换过程期间，第三方的服务器保护明文仅由转换程序访问，无法复制到任何持久化介质上或传输到第三方的服务器外部。这样，就实现了请求数据的可用不可见。

在本公开示例性实施例中，第三方是独立于数据调用者和数据提供者的，可以为数据交互双方提供对数据的加密、解密操作，以实现数据对服务参与者(包括服务调用者和所述服务提供者)可用不可见。

为进一步提高数据安全性，第三方的服务器中预留隔离的内存区域作为内存保护区域，实现第三方对数据不可见。具体的，可在处理器预留内存PRM，CPU保护PRM免受所有非法内存访问，包括内核、虚拟机管理程序访问，以及来自外围设备的DMA访问。

在本发明的一实施例中，所述使用服务调用者的第一私钥对接收的所述服务调用者的请求数据进行解密在内存保护区域内进行，且解密后请求数据保存到内存保护区域。如下表1所示，受保护数据的明文对服务调用者和服务提供者均可用不可见，对第三方不可见。

表1数据的可用和可见情况

受保护数据明文	服务调用者	第三方	服务提供者
				可用性	可用	——	可用
可见性	不可见	不可见	不可见

在本发明实施例中，数据经过去标识化处理后(加密处理后)，以接收方可理解的方式到达数据接收方。通过去标识化处理手段，接收方无法在不借助第三方的情况下还原明文的隐私数据。通过受CPU保护的内存隔离技术手段，达到第三方对明文数据不可见。同时第三方作为中转平台，不需要使用数据。对于数据发送方，未直接向数据接收方直接传输原始明文数据。综上，对于数据发送方、接收方、第三方来说，均不构成数据泄露风险。

在使用服务调用者的第一私钥对接收的所述服务调用者的请求数据进行解密后将解密后的请求数据保存到内存保护区域，在使用所述服务提供者的第二私钥对所述响应数据进行解密后将解密后的响应数据保存到内存保护区域。这些所述解密后的请求数据和响应数据在内存保护区域中瞬时存储。

具体地，存储在内存保护区域中的所述请求数据和所述响应数据为明文数据。在发送数据之前，所述数据共享方法还包括：从所述内存保护区域读取所述明文数据并加密。

所述明文数据在所述内存保护区域中瞬时保存并在使用完毕后自动消失。第三方不可见指的是受保护数据的明文仅内存瞬时可见，在使用完毕后，受保护数据的明文将随着系统断电或程序内存自动垃圾回收而消失。明文存储在第三方的内存隔离区域(即内存保护区域)内，内存保护区域设有访问权限控制其数据输入和数据输出，内存保护区域中存储的数据正常是无法读取的，除非使用特殊的技术手段和特殊的账号权限。这样，就实现了数据在第三方的可用不可见。

因而，本发明实施例的技术方案具备对人不可见、不持久化即不留存、不可复制、无可传播的特性。

第三方可以保障服务参与者各方之间的数据可用不可见。不留存、再加密，构成了“可信”的两大信任基石。

本发明实施例使用“解密-明文-再加密”模式，于第三方的受CPU保护的内存隔离区域中，在请求阶段，先将请求数据使用服务调用者的私钥解密成明文，再通过服务提供者的公钥对明文进行加密；在响应阶段，先将响应数据使用服务提供者的私钥解密成明文，再通过服务调用者的公钥对明文进行加密。

在本发明实施例中，明文仅在中间计算环节存在于一块受CPU保护的内存隔离区域中，并非持久化存储，也不向第三方外部传输数据。

如图2所示，本发明实施例中，第三方210为必不可少的核心系统，服务调用者220、服务提供者230均为参与者的角色。

第三方数据交换平台可以通过包含可信计算环境211的可信云平台实现。可信计算环境即Trusted Execution Environment，简称TEE。可信计算环境211的中央处理器2111保护中间态的明文数据不留存，即数据流转环节中的输入、输出数据不会持久化于任何存储介质上或传输至可信计算环境外部。第三方将仅提供对输入数据的解密成明文、再加密运算，形成数据后输出。中间计算环节所形成的明文仅在计算机系统内存中瞬时存在，不会持久化留存在计算机系统中。为确保中间态明文数据不留存，将通过第三方的中央处理器保护下的中间态的明文数据在内存保护区域2112内完成计算。

在本发明实施例中，服务参与者包括服务调用者和服务提供者。在步骤S102之前，服务参与者申请接入第三方，第三方的服务器对服务参与者的接入申请进行处理。具体地，如图3所示，服务参与者接入第三方的步骤包括：

步骤S301，服务器接收服务参与者的接入请求。

步骤S302，为服务参与者分配密钥对并将密钥对存储，密钥对包括公钥和私钥。

步骤S302，将服务参与者的公钥和接入成功通知发送给对应的服务参与者。

这样，服务器就实现了将服务参与者接入第三方。

如图3所示，第三方还包括密钥管理模块212、加解密模块213、权限管理模块214、网络防火墙215、嗅探模块216和审计模块217。

第三方中的密钥管理模块212为服务参与者分配密钥对，以解决服务参与者接入第三方的问题。

密钥管理模块根据职能可以分为密钥创建模块、密钥存储模块、密钥访问控制模块。密钥创建模块从密钥管理模块支持的加解密算法中选择合适自己的算法类型进行密钥对创建。密钥管理模块为服务参与者分配唯一的密钥对，并存储于密钥存储模块中。密钥访问控制模块对密钥的访问进行严格的访问控制。

具体地，密钥创建模块可以采用以下任一种算法或其它同类的对称加密算法、非对称加密算法、消息摘要算法，为服务参与者分配密钥对：MD5、MD5+Salt、RSA、DSA、SM2、SM4、AES、SM3、SM3+Salt、Sha1、Sha1+Salt、Sha256、Sha256+Salt。

如图4所示，在服务参与者241、服务参与者242、服务参与者243申请接入第三方210，第三方210为服务参与者1、服务参与者2、服务参与者i分别创建密钥对：参与者1密钥对KP1、参与者2密钥对KP2、参与者i密钥对KPi。

为服务提供者分配密钥对之后，如图2所示，服务调用者密钥对2113和服务提供者密钥对2114均存储在内存保护区域2112中。服务调用者220接收服务调用者公钥221并存储。服务提供者230接收服务提供者公钥231并存储。

在步骤S102之前，还需要查询第三方中预配置的服务调用者的密钥对的第一公钥和第一私钥，第一公钥即服务调用者公钥，第一私钥即服务调用者私钥。

在步骤S102中，服务器对接收到的服务调用者发送的请求数据进行解密时，需要应用加解密模块。

加解密模块213用于运行加解密运算，其具备高可用、高性能、可扩展的分布式系统，可以提供稳定、连续的高性能加解密运算服务，并且计算中间环节的数据可以做到不留存。

在步骤S104之前，还需要查询第三方中预配置的服务提供者的密钥对的第二公钥和第二私钥，第二公钥即服务提供者公钥，第二私钥即服务提供者私钥。

为了保证数据传输的安全，可以使用网络防火墙215和权限管理模块214进行网络连接请求和访问权限的校验。

具体地，可以通过网络防火墙对网络连接请求进行校验。通过网络防火墙，将第三方内部网络与外部网络之间传输的数据包和连接方式按照指定的安全策略，对其进行检查来决定网络之间的通信是否被允许，达到保护内部网络的信息不受外部非授权用户的访问和过滤不良信息的目的。

所有第三方内部网络和外部网络之间传输的数据必须通过防火墙，只有被授权的合法数据及防火墙系统中安全策略允许的数据可通过防火墙。

网络防火墙本身需要不受各种攻击的影响，还可以使用现代密码技术等信息安全技术对网络连接请求进行校验。此外，网络防火墙还可以对网络存取和访问进行监控审计。

例如，可以构建IP白名单机制，为每一个接入第三方的服务参与方设立IP注册准入机制，对来源IP非法的访问直接拒绝。当HTTP/HTTPS访问通过网络防火墙到达第三方的服务器后，在L7层再进行二次拦截，显式匹配存放在数据库中的IP白名单，对于非法来源的请求予以拒绝。

此外，服务器还对对服务参与方的访问进行权限校验，并且对加密和解密的密钥访问进行权限校验，以严格过滤非法访问请求和非法访问。

具体地，本发明实施例可以保证通信双方无需交换密钥，服务提供者不直接传输明文数据，并使得接收方得到可用但对明文不可见的数据，实现了在己方数据不达到对方域的情况下，完成业务服务调用。

本发明通过中间平台，对外提供高性能、高可用的加解密计算系统，将原本双方两两交换密钥、加解密传输数据的过程，封闭在独立的第三方上，服务的提供者(caller)和服务调用者(callee)双方在通过该平台的“解密-明文-加密”模式进行传输数据，保证数据在双方传输的过程中数据可用而不可见，实现该目的。

第三方具有可信性。让所有参与者都“可信”地接受其“可用不可见”技术。这对第三方本身的独立性、数据保护安全提出了严格要求。通过第三方的密钥管理模块、权限管理模块、网络防火墙安全管理模块，有效实现数据的“可用不可见”。

第三方需要具有可靠性。这要求第三方的加解密服务器具备高性能、高可用性。下文将描述实现加解密服务器性能、高可用性的关键措施。

第三方具有不持久性。在第三方的中间计算环节，第三方CPU保护中间态的明文数据不留存，即数据流转环节中的输入、输出数据不会持久化于任何存储介质上或传输至第三方外部。第三方将仅提供对输入数据的解密成明文、再加密运算，形成数据后输出。中间计算环节所形成的明文仅在计算机系统内存中瞬时存在，且不会持久化留存在计算机系统中。

为确保中间态明文数据不留存，将通过第三方的CPU保护下中间态的明文数据在内存保护区域内完成计算。并借助辅助手段，通过嗅探模块对持久层和网路层进行嗅探，通过审计模块对操作记录进行审计。

嗅探模块216可以监控存储空间变动和网络输出，并在存储空间变动异常或网络输出异常时，生成告警信号。具体地，嗅探模块通过多维度度量(Metric)定义、度量监控、规则触发、告警、日志等子模块协同配合，对存储介质的空间异动、网络输出流量进行嗅探、监控、核验。一般情况下，第三方系统一经启动，除计算所必要的存储空间、网络带宽占用之外，磁盘空间使用量、磁盘空间增长率、网络输出流量，将受到严密监控，超过预设阈值会触发告警，并将告警发送给告警订阅方。这里，订阅方包括但不限于第三方、接入方系统等相关方。

为确保中间态明文数据不留存，还可以通过审计模块217进行审计。具体地，通过审计，可以将第三方系统运行期间所产生的输入概要、输出概要、操作日志等工作日记记录，生成审计报告。

在本发明实施例中，第三方对服务调用者和服务提供者分别创建密钥对，并将公钥、私钥配置于第三方中。同时将各自公钥分配给各方：服务调用者持有服务调用者的公钥。服务提供者持有服务提供者的公钥。

服务调用者调用服务提供者的服务前，首先通过调用者公钥将参数加密为第一类密文。然后由服务调用者向第三方发起服务调用请求。第三方将接收到的第一类密文，在第三方中通过调用者私钥将第一类密文解密为明文形式的数据，该明文格式数据在第三方的内存中瞬时存在，无法由第三方以外的程序进行读取，并随着会话过程结束，清除这部分内存。之后，第三方通过服务提供者的公钥将明文格式数据加密为第二类密文形式的数据。最后，第三方将请求以及第二类密文形式的数据转发给服务提供者。完成一次单向的服务请求调用会话。

其中，服务提供者根据请求数据在服务提供者的数据库中查询与请求数据匹配的响应数据。

第一部分数据和第二部分数据一一映射。具体的，在所述服务提供者的数据库中的第二部分数据为第一部分数据经服务提供者的第二公钥加密后的加密表达。

需要说明的是，第一部分数据和第二部分数据一一映射也可以采用增加转换协议的方式进行数据转换实现，具体的：

所述服务提供者的数据库中的第二部分数据可以为第三方可解读的第一转换协议进行格式转换过的数据。也可以为第三方不可解读的第二转换协议进行格式转换过的数据。

在服务提供者数据库中的第二部分数据为使用所述第三方可解读的第一转换协议进行格式转换过的数据时，所述服务提供者在进行查询时使用的所述请求数据包括经由所第三方或者所述服务提供者使用所述第一转换协议进行过格式转换；在所述服务提供者发送的所述响应数据被所述第三方使用第二私钥进行解密之前，所述响应数据被所述服务提供者或者所述第三方使用所述第一转换协议进行格式转换过。

在服务提供者数据库中的数据为使用所述第三方不可解读的第二转换协议进行格式转换过的数据时，所述服务提供者在进行查询时使用的所述请求数据经由所述服务提供者使用所述第二转换协议进行过格式转换；在所述服务提供者发送的所述响应数据被所述第三方使用第二私钥进行解密之前，所述响应数据被所述服务提供者使用所述第二转换协议进行格式转换过。

实施例一

一个完整的服务调用流程的处理步骤分为两个阶段，即请求阶段和响应阶段。如图6a所示，请求阶段的处理步骤如下：

步骤S611，服务调用者向第三方发送第一类密文形式的请求数据。服务调用者的加密过程如图2中的标号为001的箭头所示。

步骤S612，第三方获取请求数据。

步骤S613，第三方查询数据库中预配置的服务调用者私钥。

步骤S614，第三方使用服务调用者私钥对第一类密文形式的请求数据运行解密计算得到明文形式的请求数据。第三方的解密过程如图2中的标号为002的箭头所示。

步骤S615，第三方将明文形式的请求数据存储到内存保护区域。

步骤S616，第三方查询数据库中预配置的服务提供者私钥。

步骤S617，第三方使用服务提供者公钥对明文形式的请求数据运行加密计算得到第二类密文形式的请求数据。第三方的加密过程如图2中的标号为003的箭头所示。

步骤S618，第三方将第二类密文形式的请求数据发送给服务提供者。其数据的传输过程如图2中的标号为004的箭头所示。

步骤S619，服务提供者获取经第三方处理后的服务调用者的请求数据。

如图6b所示，响应阶段的处理步骤如下：

步骤S621，服务提供者向第三方发送第二类密文形式的响应数据。服务提供者的加密过程如图2中的标号为005的箭头所示。

步骤S622，第三方获取响应数据。

步骤S623，第三方查询数据库中预配置的服务提供者私钥。

步骤S624，第三方使用服务提供者私钥运行对第二类密文形式的响应数据进行解密计算得到明文形式的响应数据。第三方的解密过程如图2中的标号为006的箭头所示。

步骤S625，第三方将明文形式的响应数据存储到在内存保护区域。

步骤S626，第三方查询数据库中预配置的服务调用者私钥。

步骤S627，第三方使用服务提供者公钥运行对第二类密文形式的响应数据进行加密计算得到第一类密文形式的响应数据。第三方的加密过程如图2中的标号为007的箭头所示。

步骤S628，第三方将第一类密文形式的响应数据发送给服务提供者。其数据的传输过程如图2中的标号为004的箭头所示。

步骤S629，服务提供者获取经第三方处理后的服务提供者的响应数据。

本发明实施例通过为服务提供者系统与服务调用者系统之间搭建一个独立的第三方，使之成为具备可信特征的数据中转平台。通过“解密-明文-再加密”数据转换过程，其中中间状态的明文数据托管于第三方中的受CPU保护的内存保护区域中，使得对方在无法知晓明文的情况下，得到一个数据接收方可接受的数据密文。实现对隐私数据的可用不可见。

服务的调用者将隐私数据进行加密后，传输至可信执行环境中，然后在CPU的访问保护下，在内存中分配一块保护区域，通过可信运行环境，在封闭、加密的内存可信执行环境中，确保程序和明文数据无法泄露，实现第三方对明文数据不可见。

做为中转平台，第三方不需要使用数据。第三方向下游传递经再加密后的数据。数据经过上述处理后，以服务提供者可接受的密文方式到达数据接收方。服务的提供者仅根据加密后的数据进行内部处理，并且无法在不借助第三方的情况下还原明文隐私数据。

综上，对于服务调用者、服务提供者、第三方来说，可以实现数据传输过程中的可用但不可见，这将显著的降低跨域传输中数据泄露风险，并为参与各方之间建立数据交互的“信任”。

实施例二

在一种由服务调用者A、第三方和服务提供者B组成的系统中，第三方为服务调用者A和服务提供者B分配密钥对，保存服务调用者A和服务提供者B的密钥对，并将服务调用者A的公钥发送给服务调用者A，将服务提供者B的公钥发送给和服务提供者B。

这样，第三方持有服务调用者A的公钥和私钥，服务调用者A持有服务调用者A的公钥。第三方持有服务提供者B的公钥和私钥，服务提供者B持有服务提供者B的公钥。在由服务调用者A、第三方和服务提供者B组成的系统中，服务调用者A欲向服务提供者B请求对象C的信用数据。以下以服务请求阶段和服务响应阶段中的数据传输过程为例对本发明实施例的技术方案进行描述。

在服务请求阶段，服务调用者A将对象C的身份标识ID0和请求服务内容作为请求数据的内容。

在本公开实施例中，数据加密可以仅针对敏感信息部分进行，其余部分可以明文传输。这里，仅需要对对象C的身份标识ID0进行加密，请求数据的其它内容不需要加密。

服务调用者A将对象C的身份标识ID0和请求服务内容使用服务调用者A的公钥A1将加密形成请求数据D1发送给第三方，请求数据D1包括请求服务内容和服务调用者A将对象C的身份标识ID0使用服务调用者A的公钥加密后形成的身份标识IDA。

需要说明，服务调用者A也可以仅将对象C的身份标识ID0使用服务调用者A的公钥A1将加密，并将加密得到的身份标识IDA和请求服务内容合并形成请求数据D1发送给第三方。

第三方使用服务调用者A的私钥A2解密请求数据D1，得到的明文数据的对象C的身份标识ID0和请求服务内容，并将该明文数据使用服务提供者B的公钥再次加密后形成请求数据D2发送给服务提供者B，请求数据D2包括第三方将对象C的身份标识ID0使用服务提供者B的公钥加密后形成的身份标识IDB和请求服务内容。

这里，仅需要对对象C的身份标识ID0进行再次加密，请求数据的其它内容不需要再次加密。

这样，通过第三方的处理，对象C的身份标识ID0这一敏感信息部分将不会被明文传输，从而保证了数据的安全。因为服务提供者B并不拥有服务提供者B的私钥，因此，服务提供者B无法对接收到的数据进行解密，即服务提供者B无法获取明文。服务提供者B在自己的系统中使用对象C的身份标识IDB和请求服务内容可以进行信息匹配，即可得到请求服务的响应内容，从而保证了对象C的身份标识ID0的数据安全。

在自身的数据库中获取身份标识IDB对应的相关数据后，服务提供者B将这些身份标识IDB对应的相关数据或者将身份标识IDB对应的相关数据进行处理后作为响应内容。

在服务响应阶段，服务提供者B将对象C的身份标识IDB和使用服务提供者B的公钥加密后的请求服务的响应内容作为响应数据D3发送给第三方。进一步，考虑加解密效率，响应内容中仅有敏感信息部分被加密。

第三方使用服务提供者B的私钥解密响应数据D3，得到的明文数据的对象C的身份标识ID0和请求服务的响应内容，并将该明文数据使用服务调用者A的公钥再次加密后形成响应数据D4发送给服务调用者A，响应数据D4包括对象C的身份标识IDA和请求服务的响应内容。

需要强调，因为服务调用者A并不拥有服务调用者A的私钥A1，因此，服务调用者A无法对接收到的数据进行解密，因此，响应数据D4中的响应内容不加密，否则，服务调用者无法获取数据明文。

需要说明的是，考虑到实际业务场景，服务调用者提供的响应内容在所属的身份标识被加密的情况下，也可以直接将查询到的响应内容发送给第三方，无需进行加密。

本公开实施例的数据共享方法中，在请求阶段将服务调用者的请求数据解密为明文，再使用服务提供者的密钥将明文加密，在响应阶段将服务提供者的响应数据解密为明文，再使用服务调用者的密钥将明文加密，其中，加解密过程仅针对数据的第一数据部分和第二数据部分等敏感信息部分进行，在解密-明文-加密中，明文仅瞬时保存在内存保护区域中，不能被服务提供者获取，从而实现了整体数据的可用不可见，降低了数据传输过程中数据泄漏的风险。

以下介绍本公开的装置实施例，可以用于执行本公开上述的数据共享方法。如图7所示，根据本公开实施例提供的一种数据共享装置700可以包括：

第一解密单元702，用于使用服务调用者的第一私钥对接收的服务调用者的请求数据进行解密，其中，请求数据中的第一部分数据经由服务调用者使用第一公钥加密，所述第一私钥和所述第一公钥为预配置的所述服务调用者的密钥对。

第一加密发送单元704，用于将解密后的请求数据使用服务提供者的第二公钥加密后发送给服务提供者。

接收单元706，用于接收服务提供者发送的请求数据对应的响应数据，其中，所述响应数据由所述服务提供者根据使用所述第二公钥加密后的所述请求数据在所述服务提供者的数据库中查询第二部分数据得到，所述第一部分数据和第二部分数据之间一一映射。

第二解密单元708，用于使用服务提供者的第二私钥对响应数据进行解密，其中，所述第二私钥和所述第二公钥为预配置的所述服务提供者的密钥对。

第二加密发送单元710，用于将解密后的响应数据使用第一公钥加密后发送给服务调用者。

由于本公开的示例实施例的数据共享装置的各个功能模块与上述数据共享方法的示例实施例的步骤对应，因此对于本公开装置实施例中未披露的细节，请参照本公开上述的数据共享方法的实施例。

本公开实施例的数据共享装置中，在请求阶段将服务调用者的请求数据解密为明文，再使用服务提供者的密钥将明文加密，在响应阶段将服务提供者的响应数据解密为明文，再使用服务调用者的密钥将明文加密，其中，加解密过程仅针对数据的第一数据部分和第二数据部分等敏感信息部分进行，在解密-明文-加密中，明文仅瞬时保存在内存保护区域中，不能被服务提供者获取，从而实现了整体数据的可用不可见，降低了数据传输过程中数据泄漏的风险。

下面参考图8，其示出了适于用来实现本公开实施例的电子设备的计算机系统800的结构示意图。图8示出的电子设备的计算机系统800仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图8所示，计算机系统800包括中央处理单元(CPU)801，其可以根据存储在只读存储器(ROM)802中的程序或者从存储部分808加载到随机访问存储器(RAM)803中的程序而执行各种适当的动作和处理。在RAM 803中，还存储有系统操作所需的各种程序和数据。CPU801、ROM 802以及RAM 803通过总线804彼此相连。输入/输出(I/O)接口805也连接至总线804。

以下部件连接至I/O接口805：包括键盘、鼠标等的输入部分806；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分807；包括硬盘等的存储部分808；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分809。通信部分809经由诸如因特网的网络执行通信处理。驱动器810也根据需要连接至I/O接口805。可拆卸介质811，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器810上，以便于从其上读出的计算机程序根据需要被安装入存储部分808。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分809从网络上被下载和安装，和/或从可拆卸介质811被安装。在该计算机程序被中央处理单元(CPU)801执行时，执行本申请的系统中限定的上述功能。

需要说明的是，本公开所示的计算机可读存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读存储介质，该计算机可读存储介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本公开实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现，所描述的单元也可以设置在处理器中。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被一个该电子设备执行时，使得该电子设备实现如上述实施例中所述的数据共享方法。

例如，所述的电子设备可以实现如图1中所示的各个步骤。

又如，所述的电子设备可以实现如图3、图6a和图6b所示的各个步骤。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、触控终端、或者网络设备等)执行根据本公开实施方式的方法。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (10)

1.一种数据共享方法，其特征在于，应用于数据交换平台，所述数据共享方法包括：

使用服务调用者的第一私钥对接收的所述服务调用者的请求数据进行解密，其中，所述请求数据中的第一部分数据经由所述服务调用者使用第一公钥加密，所述第一私钥和所述第一公钥为预配置的所述服务调用者的密钥对；

将解密后的所述请求数据中的第一部分数据使用服务提供者的第二公钥加密后发送给所述服务提供者；

接收所述服务提供者发送的所述请求数据对应的响应数据，其中，所述响应数据由所述服务提供者根据使用所述第二公钥加密后的所述请求数据中的第一部分数据在所述服务提供者的数据库中查询第二部分数据得到；所述第一部分数据和第二部分数据之间一一映射；

使用所述服务提供者的第二私钥对所述响应数据进行解密，其中，所述第二私钥和所述第二公钥为预配置的所述服务提供者的密钥对；

将解密后的所述响应数据使用所述第一公钥加密后发送给所述服务调用者。

2.根据权利要求1所述的数据共享方法，其特征在于，所述服务提供者的数据库中的第二部分数据为第一部分数据经服务提供者的第二公钥加密后的加密表达。

3.根据权利要求1所述的数据共享方法，其特征在于，所述数据共享方法还包括：

接收服务参与者的接入请求，其中，所述服务参与者包括所述服务调用者和所述服务提供者；

为所述服务参与者分配密钥对并将所述密钥对存储，所述密钥对包括公钥和私钥；

将所述服务参与者的公钥和接入成功通知发送给对应的所述服务参与者。

4.根据权利要求3所述的数据共享方法，其特征在于，为所述服务参与者分配密钥对，包括：

采用以下任一种算法或其它同类的对称加密算法、非对称加密算法、消息摘要算法，为所述服务参与者分配密钥对：

MD5、MD5+Salt、RSA、DSA、SM2、SM4、AES、SM3、SM3+Salt、Sha1、Sha1+Salt、Sha256、Sha256+Salt。

5.根据权利要求2所述的数据共享方法，其特征在于，包括：

在内存保护区域使用服务调用者的第一私钥对接收的所述服务调用者的请求数据进行解密，并将解密后的请求数据保存到内存保护区域；

在内存保护区域使用所述服务提供者的第二私钥对所述响应数据进行解密，并将解密后的响应数据保存到内存保护区域；

所述内存保护区域设有访问权限控制其数据输入和数据输出。

6.根据权利要求5所述的数据共享方法，其特征在于，所述解密后的请求数据和/或响应数据在内存保护区域中瞬时存储。

7.一种数据共享装置，其特征在于，应用于数据交换平台，所述数据共享装置包括：

第一解密单元，用于使用服务调用者的第一私钥对接收的所述服务调用者的请求数据进行解密，其中，所述请求数据中的第一部分数据经由所述服务调用者使用第一公钥加密，所述第一私钥和所述第一公钥为预配置的所述服务调用者的密钥对；

第一加密发送单元，用于将解密后的所述请求数据中的第一部分数据使用服务提供者的第二公钥加密后发送给所述服务提供者；

接收单元，用于接收所述服务提供者发送的所述请求数据对应的响应数据，其中，所述响应数据由所述服务提供者根据使用所述第二公钥加密后的所述请求数据中的第一部分数据在所述服务提供者的数据库中进行查询第二部分数据得到，所述第一部分数据和第二部分数据之间一一映射；

第二解密单元，用于使用服务提供者的第二私钥对所述响应数据进行解密，其中，所述第二私钥和所述第二公钥为预配置的所述服务提供者的密钥对；

第二加密发送单元，用于将解密后的所述响应数据使用所述第一公钥加密后发送给所述服务调用者。

8.一种数据共享系统，其特征在于，包括数据交换平台，以及与所述数据交换平台通信连接的服务提供者和服务调用者，其中，所述数据交换平台配置有如权利要求7所述的数据共享装置。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1至6中任一项所述的数据共享方法。

10.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1至6中任一项所述的数据共享方法。

Images