CN112448937B - 一种数权保护方法、系统和装置 - Google Patents

一种数权保护方法、系统和装置 Download PDF

Info

Publication number
CN112448937B
CN112448937B CN201910834410.9A CN201910834410A CN112448937B CN 112448937 B CN112448937 B CN 112448937B CN 201910834410 A CN201910834410 A CN 201910834410A CN 112448937 B CN112448937 B CN 112448937B
Authority
CN
China
Prior art keywords
digital
controlled
rights
control
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910834410.9A
Other languages
English (en)
Other versions
CN112448937A (zh
Inventor
丁爱民
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Priority to CN201910834410.9A priority Critical patent/CN112448937B/zh
Publication of CN112448937A publication Critical patent/CN112448937A/zh
Application granted granted Critical
Publication of CN112448937B publication Critical patent/CN112448937B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/101—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying security measures for digital rights management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/06—Protocols specially adapted for file transfer, e.g. file transfer protocol [FTP]

Abstract

本发明公开了一种数权保护方法、系统和装置，方法包括：数权主体作为施控主体通过数权控制台设定数权保护策略；数权控制台将数权保护策略发布到受控对象；受控对象执行数权保护策略。数权主体分为不同的角色，每个角色按照自身需要设置数权保护策略。受控对象执行数权保护策略，将数权客体编码为受控PDU；受控PDU都是保密的数据编码，采用的保密编码算法包括秘密分割算法、数据加密算法。所述系统由数权控制台、数权控制器、控制消息、数权主体、数权客体的通信载体等组成，所述装置包括数权控制台和数权控制器。本发明保护了数权主体对数权客体的控制权，使得数权主体能够按照数权保护策略在信源、信道和信宿对数据客体进行控制。

Description

一种数权保护方法、系统和装置
技术领域
本发明涉及数据安全领域，具体来说，涉及一种数权保护方法、系统和装置。
背景技术
数权是指有一定规律或价值的信息编码集合在全生命周期治理过程中所产生的权利，涉及个人隐私、数据产权、国家主权等权益。数权主体是特定权利人，包含数据所指向的特定对象以及该数据的收集、存储、传输、处理者（包含自然人、法人、非法人组织等），数权客体是数权涉及的有一定规律或价值的数据集合。数权的内容主要包括控制权、使用权、收益权和共享权。控制权是指数权主体对数权客体所享有的支配权，使数权客体处于数权主体合法控制之下，使得数权主体拥有了自由行使、不受他人干涉的合法控制数据客体的权利；使用权是指数权主体利用数权客体实现相应利益的权利；收益权是数权主体使用、共享数权客体而获得收益的权利；共享权是数权主体对数权客体进行最终消费与分享的权利。数权保护，是指数权主体对数权客体所享有的完全支配权，使数权客体处于数权主体合法控制之下，使得数权主体拥有了自由行使、不受他人干涉的合法控制数据客体的权利。数权保护的本质是数权主体对数权客体的控制，为了保障数权主体的权益，数权主体作为施控者，影响和支配数权客体全生命周期所涉及受控对象，包括信源、信道、信宿、编码器、译码器等计算、存储、传输方面的软硬件设施。
信源、信道、信宿、编码器、译码器之间通过协议数据单元PDU（Protocol DataUnit）传输信息，所述PDU是指对等层次之间传递的数据单位。物理层的 PDU是数据位（bit），数据链路层的 PDU是数据帧（frame），网络层的PDU是数据包（packet），传输层的PDU是数据段（segment），其他更高层次的PDU是报文（message）。
随着大数据、云计算、移动互联网、物联网、人工智能等技术的发展，数据交易市场在逐步形成，围绕隐私数据保护、数据版权保护等方面的数权保护需求迫切。在数据的全生命周期治理过程中会产生诸多权利义务问题，涉及个人隐私、数据产权、国家主权等权益。从数据到数权是人类迈向数字文明的时代产物与必然趋势。
“没有网络安全就没有国家安全”，网络安全等级保护制度已上升到法律高度，并在法律层面确立了其在网络安全领域的基础和核心地位。2017年6月1日，《中华人民共和国网络安全法》正式实施，其中，第21条规定“国家实行网络安全等级保护制度”，要求“网络运营者应当按照网络安全等级保护制度要求，履行安全保护义务”。“等保2.0”是以《中华人民共和国网络安全法》为依据，将《GB/T22239-2008 信息安全技术 信息系统安全等级保护基本要求》、《GB/T 22240-2008信息安全技术 信息系统安全等级保护定级指南》等一系列信息安全等级保护标准2008 版本的标准及其配套政策文件（习惯称为“等保1.0”），进行修订后形成的新一代网络安全等级保护制度。其中，基于原国家标准GB/T 22239-2008的内容，形成新的网络安全等级保护基本要求标准GB/T 22239-2019，已于2019年5月10日发布，2019年12月1日正式执行。“等保2.0”对于基础信息网络、云计算平台、大数据平台等支撑类网络，应根据其承载或将要承载的等级保护对象的重要程度确定其安全保护等级，原则上应不低于其承载的等级保护对象的安全保护等级，其中大数据安全保护等级不低于第三级；关键信息基础设施需要达到不低于第三级安全要求。
信息是对客观世界中各种事物的运动状态和变化的反映，是客观事物之间相互联系和相互作用的表征，表现的是客观事物运动状态和变化的实质内容。信息是事物及其属性标识的集合，是确定性的增加。信息论是研究信息的基本性质及度量方法，研究信息的获取、传输、存储和处理的一般规律的科学。信息是物质和能量在空间和时间上分布的不均匀程度，或者说信息是关于事物运动的状态和规律。消息是能被人们感觉器官感知的客观物质和主观思维的运动状态或存在状态。通信系统中形式上传输的是消息，实质上传输的是信息，消息中包含信息，消息是信息的载体。信息论将广义通信系统分成五个部分：
（1）信源。信源是产生消息和消息序列的源。
（2）编码器。编码就是把消息变成适合在信道传输的物理量，这种物理量称为信号，编码器可分为信源编码器、信道编码器。
（3）信道。信道是消息传递的通道，是将消息进行传输、存储和处理的媒介。
（4）译码器。译码就是把信道输出的已迭加了干扰的编码信号进行反变换，变成信宿能够接受的消息。译码器也可分成信源译码器和信道译码器。
（5）信宿。信宿是消息传送的对象，即接受消息的人或机器。
自从1948 年诺伯特·维纳发表了著名的《控制论——关于在动物和机器中控制和通讯的科学》一书以来，控制论的思想和方法已经渗透到了几乎所有的自然科学和社会科学领域。控制是指为了“改善”某个或某些对象的功能，需要获得并使用信息，以这种信息为基础而选出的加于该对象的作用。控制是施控者影响和支配受控者的行为过程，一种有目的的活动。施控主体采取一定的策略手段作用于受控对象，力求使其行为状态发生合乎目标的变化，从现在的实有状态转变为期望的未来状态。
美国科学家香农(Shannon)和韦弗(Weaver)为解决机器间信息互换于 1949 年在他们所著的《Mathematical Theory ofCommunication》一书中, 提出了对传播学界产生重要影响的传播系统模式, 这一模式被学界称为“香农模式”。该模式很好地解释了机器之间的信息互换, 为基于计算机和 Internet 的现代信息交流提供了理论依据, 但是没有考虑“反馈”环节, 在解释传播过程的时候没有考虑到诸多信源、信宿的影响因素。施拉姆在香农传播模式中加入反馈环节，并强调只有信息发出者（信源）与信息接受者（信宿）的经验领域有重叠的共同经验部分, 传播才能完成, 这就是香农-施拉姆模式。香农-施拉姆模式包括信源、编码、信道、译码、信宿、噪音和反馈七个元素，该模式体现了传播活动的信源——信宿之间的互动, 认为信源发出信号是基于自身的经验范围。信源基于自己的经验领域，把要传递的信息按照一定的规则进行编码转变为信号，发送给信宿。信宿接收到信源发送的信号后在自己的经验领域内按照相同的规则把得到的信号进行译码，还原为信息。信源的经验领域和信宿的经验领域必须有交叠的部分，传播才能成功；如果信源和信宿的经验领域没有任何交叠的部分，则传播就会失败。当有效的传播过程发生之后，信宿获得了新的信息。信宿获得信息后，把自己获得信息的情况返回给信源。信源得到信宿的反馈信息后，才能确定自己发送的信息是否被完全、正确地接收和理解了，并据此决定是否进一步改进其传播活动。基于控制论和信息论发展出的信息技术包括信息的产生、检测、交换、存储、传输、处理、显示、识别、提取、控制和利用等多个环节。但是，信息论主要是在信息传播过程中为消除噪音引入的反馈控制机制。
信息技术中的控制技术，以及1960年之后发展形成的信息安全理论和技术，都存在巨大的缺陷：缺乏数权保护，尤其是缺乏数权主体作为施控者，通过施控主体影响和支配受控对象的行为过程的数据控制。
发明内容
从数据到数权是人类迈向数字文明的时代产物与必然趋势，但当前缺乏数权保护技术，针对这一问题，本发明提出一种数权保护方法、系统和装置，保护了数权主体对数权客体的控制权，使得数权主体能够按照数权保护策略在信源、信道和信宿对数据客体进行控制。
第一方面，本发明提供了一种数权保护方法，包括：
数权主体作为施控主体通过数权控制台设定数权保护策略；所述数权保护策略，是指数权保护属性标识的集合。
数权控制台将数权保护策略发布到受控对象；所述受控对象包括L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，其中，L、M、N、K都是自然数，并且（L+M+N+K）>0；
受控对象执行数权保护策略。
优选的，所述数权主体分为不同的角色，每个角色按照自身需要设置数权保护策略。所述数权控制台或者是由多个不同的数权主体共用，或者是由单个角色的数权主体专用。所述数权保护策略包括数权客体控制策略和受控对象控制策略，其中，数权客体控制策略对数权客体进行控制，受控对象控制策略对受控对象进行控制。数权保护策略包含的控制属性参数包括秘密分割控制属性参数、数据加密控制属性参数、安全隔离控制属性参数、访问控制控制属性参数。
优选的，所述L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，每个受控对象执行数权保护策略的方式包括：
所述信源编码受控对象按照接收到的数权保护策略，或者将数权客体编码为信源受控PDU，或者对数权客体编码不进行处理；
所述信道编码受控对象按照接收到的数权保护策略，或者将信源受控PDU编码为信道受控PDU，或者对信源受控PDU编码不进行处理；
所述信道译码受控对象按照接收到的数权保护策略，或者将信道受控PDU译码为信源受控PDU，或者将信道受控PDU译码为信源受控PDU后转码为信宿受控PDU，或者对信道受控PDU编码不进行处理；
所述信宿译码受控对象按照接收到的数权保护策略，或者将信源受控PDU和信宿受控PDU译码为数权客体，或者对信源受控PDU编码不进行处理；
优选的，所述L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，构成一种多信道数权保护方式，所述多信道数权保护方式包括：
L个信源编码受控对象将数权客体按照数权保护策略分割编码为M个信源受控PDU；
M个信道编码受控对象将M个信源受控PDU按照数权保护策略编码为N个信道受控PDU，交由N个信道进行传输、存储和处理；
N个信道译码受控对象分别接入到N个信道，每个信道上串联了1个信道译码受控对象，每个信道译码受控对象将所在信道的信道受控PDU按照数权保护策略进行译码后，再次编码，N个信道译码受控对象最终编码形成K个信宿受控PDU；
K个信宿译码受控对象按照数权保护策略对K个信宿受控PDU进行译码，按照数权保护策略的要求输出数权客体译码编码，所述数权客体译码编码或者是数权客体，或者是根据数权保护策略要求输出的异常反馈编码。所述异常反馈编码或者是出错信息编码，或者是数权宣示提示信息编码，或者是用于引诱非授权人员出错的欺骗性信息编码。
优选的，所述信源受控PDU、信道受控PDU、信宿受控PDU都是保密的数据编码，采用的保密编码算法包括秘密分割算法、数据加密算法。
优选的，所述L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，每个受控对象或者将数权保护策略与数权客体组合成为一个整体进行编码；或者将数权保护策略身份标识与数权客体的身份标识组合成为一个整体进行编码；或者将数权保护策略身份标识与数据客体组合成为一个整体进行编码；或者将数权保护策略与数权客体身份标识组合成为一个整体进行编码。
第二方面，本发明提供了一种数权保护系统，包括：
所述数权保护系统由数权控制台、数权控制器、控制消息、数权主体、数权客体的通信载体等组成，其中：
数权控制台，是数权主体作为施控主体设定数权保护策略的管理控制单元；
数权控制器，是接收并执行数权保护策略的受控对象；
控制消息，是数权控制台向数权控制器发送的包含数权保护策略的数据编码；
数权主体，拥有所述数权保护系统的控制权，是数权控制台的用户；
数权客体的通信载体，包括数权客体通信过程中涉及的信源、信源编码器、信道编码器、信道、信道译码器、信宿译码器、信宿，承载数权客体通信全过程，是数权控制器的用户；
所述数权保护系统分为控制管理层、控制执行层、通信承载层等三层，其中：
控制管理层包含数权主体、数权控制台、控制消息，控制管理层实现的功能为：数权主体通过数权控制台设定和管理数权保护策略，封装成控制消息，发布到控制执行层的数权控制器；
控制执行层包含所有的数权控制器，控制管理层实现的功能为：从控制管理层接收控制消息，从控制消息中译码出数权保护策略并执行该数权保护策略；
通信承载层包含数权客体的全部通信载体，通信承载层实现的功能为：在控制执行层的数权控制器的控制下，完成数权客体从信源到信宿的通信过程。
所述控制管理层与通信承载层相互分离，控制管理层和通信承载层都可独立运行；
所述控制执行层的数权控制器通过串联的方式接入到通信承载层，能够阻断通信承载层的通信过程。
所述的一种数权保护系统，可按照如下方式，用于网络安全等级保护：
数权主体是等级保护对象的安全管理责任人；
数权控制台部署在安全管理中心；
数权控制器或者部署在安全计算环境中，或者部署在安全区域边界中，或者既部署在安全计算环境中又部署在安全区域边界中，其中：
部署在安全计算环境中的数权控制器采用密码技术保证重要数据在存储过程中的保密性，采取密码技术防止虚拟机镜像、快照中可能存在的敏感资源被非法访问，支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程；在安全计算环境中的数权控制器部署在存储设施对外服务的网络边界处，用于接管存储设施，对计算设施或者虚拟机监视器提供存储服务。
部署在安全区域边界中的数权控制器采用密码技术保证重要数据在传输过程中的保密性，具体部署在计算区域边界和终端区域边界，用于采用密码技术保证重要数据在传输过程的数据保密性。
第三方面，本发明提供了一种数权保护装置，包括：
数权控制台、数权控制器。
数权控制台是数权主体作为施控主体设定数权保护策略的管理控制单元，将数权保护策略编码为数权控制消息，向数权控制器推送，并从数权控制器获取数权保护策略的执行结果；
数权控制器是执行数权保护策略的受控对象，从数权控制台接收数权控制消息，解码出数权控制消息所含的数权保护策略并予以执行，将执行结果记录到系统日志或者反馈到数权控制台。
本发明的有益效果：1）本发明提供了一种数权保护方法、系统和装置，实现了数权主体对数权客体的排他性控制；2）本发明支持在多网传输、多云存储等技术应用场景下的数权保护；3）本发明支持综合应用秘密分割、数据加密、安全隔离、访问控制等数据安全技术，具备数权保护颗粒度细、安全强度高、可用技术手段多的优点；4）本发明支持了数权保护的管理和执行相互分离，提高了系统稳定性和降低运维难度；5）本发明支持数据编码变换和访问控制通道阻断两种数权保护策略实现方式，提高了数权保护策略执行的可靠性。6）本发明满足了大数据、云计算、移动互联网、物联网、人工智能等技术应用过程中的数权保护需求；满足了数据交易、隐私数据保护、数据版权保护等应用场景下的数权保护需求。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明实施例一种数权保护方法流程图；
图2是本发明实施例一种数权保护系统示意图；
图3是本发明实施例一种数权保护装置示意图；
图4为本发明应用实例一种多信道数权保护流程图；
图5为本发明应用实例一种数权保护远程文件共享系统示意图；
图6为本发明应用实例一种存储设施边界保护装置示意图；
图7为本发明应用实例一种“等保2.0”数权保护系统示意图；
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，是本发明实施例一种数权保护方法流程图，所述方法包括：
101、数权主体作为施控主体通过数权控制台设定数权保护策略；
102、数权控制台将数权保护策略发布到受控对象；所述受控对象包括L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，其中，L、M、N、K都是自然数，并且（L+M+N+K）>0；
103、受控对象执行数权保护策略。
优选的，所述数权主体分为不同的角色，每个角色按照自身需要设置数权保护策略。所述数权控制台或者是由多个不同的数权主体共用，或者是由单个角色的数权主体专用。所述数权保护策略包括数权客体控制策略和受控对象控制策略，其中，数权客体控制策略对数权客体进行控制，受控对象控制策略对受控对象进行控制。数权保护策略包含的控制属性参数包括秘密分割控制属性参数、数据加密控制属性参数、安全隔离控制属性参数、访问控制控制属性参数。
优选的，所述L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，每个受控对象执行数权保护策略的方式包括：
所述信源编码受控对象按照接收到的数权保护策略，或者将数权客体编码为信源受控PDU，或者对数权客体编码不进行处理；
所述信道编码受控对象按照接收到的数权保护策略，或者将信源受控PDU编码为信道受控PDU，或者对信源受控PDU编码不进行处理；
所述信道译码受控对象按照接收到的数权保护策略，或者将信道受控PDU译码为信源受控PDU，或者将信道受控PDU译码为信源受控PDU后转码为信宿受控PDU，或者对信道受控PDU编码不进行处理；
所述信宿译码受控对象按照接收到的数权保护策略，或者将信源受控PDU和信宿受控PDU译码为数权客体，或者对信源受控PDU编码不进行处理；
优选的，所述L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，构成一种多信道数权保护方式，所述多信道数权保护方式包括：
L个信源编码受控对象将数权客体按照数权保护策略分割编码为M个信源受控PDU；
M个信道编码受控对象将M个信源受控PDU按照数权保护策略编码为N个信道受控PDU，交由N个信道进行传输、存储和处理；
N个信道译码受控对象分别接入到N个信道，每个信道上串联了1个信道译码受控对象，每个信道译码受控对象将所在信道的信道受控PDU按照数权保护策略进行译码后，再次编码，N个信道译码受控对象最终编码形成K个信宿受控PDU；
K个信宿译码受控对象按照数权保护策略对K个信宿受控PDU进行译码，按照数权保护策略的要求输出数权客体译码编码，所述数权客体译码编码或者是数权客体，或者是根据数权保护策略要求输出的异常反馈编码。所述异常反馈编码或者是出错信息编码，或者是数权宣示提示信息编码，或者是用于引诱非授权人员出错的欺骗性信息编码。
优选的，所述信源受控PDU、信道受控PDU、信宿受控PDU都是保密的数据编码，采用的保密编码算法包括秘密分割算法、数据加密算法。
优选的，所述L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，每个受控对象或者将数权保护策略与数权客体组合成为一个整体进行编码；或者将数权保护策略身份标识与数权客体的身份标识组合成为一个整体进行编码；或者将数权保护策略身份标识与数据客体组合成为一个整体进行编码；或者将数权保护策略与数权客体身份标识组合成为一个整体进行编码。
如图2所示，为本发明实施例一种数权保护系统示意图，所述系统包括：
数权控制台、数权控制器、控制消息、数权主体、数权客体的通信载体组成，其中：
数权控制台，是数权主体作为施控主体设定数权保护策略的管理控制单元；
数权控制器，是接收并执行数权保护策略的受控对象；
控制消息，是数权控制台向数权控制器发送的包含数权保护策略的数据编码；
数权主体，拥有所述数权保护系统的控制权，是数权控制台的用户；
数权客体的通信载体，包括数权客体通信过程中涉及的信源、信源编码器、信道编码器、信道、信道译码器、信宿译码器、信宿，承载数权客体通信全过程，是数权控制器的用户；
所述数权保护系统分为控制管理层、控制执行层、通信承载层等三层，其中：
控制管理层包含数权主体、数权控制台、控制消息，控制管理层实现的功能为：数权主体通过数权控制台设定和管理数权保护策略，封装成控制消息，发布到控制执行层的数权控制器；
控制执行层包含所有的数权控制器，控制管理层实现的功能为：从控制管理层接收控制消息，从控制消息中译码出数权保护策略并执行该数权保护策略；
通信承载层包含数权客体的全部通信载体，通信承载层实现的功能为：在控制执行层的数权控制器的控制下，完成数权客体从信源到信宿的通信过程。
所述控制管理层与通信承载层相互分离，控制管理层和通信承载层都可独立运行；
所述控制执行层的数权控制器通过串联的方式接入到通信承载层，能够阻断通信承载层的通信过程。
如图3所示，为本发明实施例一种数权保护装置示意图，所述装置包括：
数权控制台、数权控制器。
数权控制台是数权主体作为施控主体设定数权保护策略的管理控制单元，将数权保护策略编码为数权控制消息，向数权控制器推送，并从数权控制器获取数权保护策略的执行结果；
数权控制器是执行数权保护策略的受控对象，从数权控制台接收数权控制消息，解码出数权控制消息所含的数权保护策略并予以执行，将执行结果记录到系统日志或者反馈到数权控制台。
优选的，数权保护策略支持综合应用秘密分割、数据加密、安全隔离、访问控制等数据安全技术；
优选的，数权保护策略支持数据编码变换和访问控制通道阻断两种数权保护策略实现方式；
上述实施例具有如下有益效果：
1、实现了数权主体对数权客体的排他性控制；
2、支持综合应用秘密分割、数据加密、安全隔离、访问控制等数据安全技术，具备数权保护颗粒度细、安全强度高、可用技术手段多的优点；
3、支持数权保护的管理和执行相互分离，提高了系统稳定性和降低运维难度；
4、支持数据编码变换和访问控制通道阻断两种数权保护策略实现方式，提高了数权保护策略执行的可靠性。
5、满足了大数据、云计算、移动互联网、物联网、人工智能等技术应用过程中的数权保护需求；满足了数据交易、隐私数据保护、数据版权保护等应用场景下的数权保护需求。
以下通过应用实例对本发明上述实施例进行详细说明：
如图4所示，为本发明应用实例一种多信道数权保护流程图，包括：
41、设定数权保护策略。数权主体设定数权客体的控制属性标识，这些控制属性标识用于确保数权主体采用数据加密、秘密分割、安全隔离等数据安全技术实现对数权客体的排他性控制。
42、信源数据分割加密。信源数据包括数权客体的消息内容和数权保护策略两部分，对信源数据采用秘密分割技术和数据加密技术，将信源数据编码为保密消息；对于多信道数权保护，L个信源编码受控对象将数权客体按照数权保护策略分割编码为M个信源受控PDU。
43、信道数据安全隔离。根据数权保护策略的数权客体属性标识的不同，在保密消息进行传输、存储和处理的媒介上，不同数权客体属性标识的保密消息相互隔离传输、隔离存储和隔离处理；对于多信道数权保护，M个信道编码受控对象将M个信源受控PDU按照数权保护策略编码为N个信道受控PDU，交由N个信道进行传输、存储和处理；
N个信道译码受控对象分别接入到N个信道，每个信道上串联了1个信道译码受控对象，每个信道译码受控对象将所在信道的信道受控PDU按照数权保护策略进行编码后，形成K个信宿受控PDU；
44、信宿数权控制。信宿方从一个或者多个信道上获取一个或者多个保密消息，聚齐保密消息后，解码出数权保护策略，然后根据数权保护策略决定是否解码出数权客体的消息内容以及是否输出正确的消息内容；对于多信道数权保护，K个信宿译码受控对象按照数权保护策略对K个信宿受控PDU进行译码，按照数权保护策略的要求输出数权客体译码编码，所述数权客体译码编码或者是数权客体，或者是根据数权保护策略要求输出的异常反馈编码。所述异常反馈编码或者是出错信息编码，或者是数权宣示提示信息编码，或者是用于引诱非授权人员出错的欺骗性信息编码。
上述实施例具备如下有益效果：
1、提供了一种多信道数权保护技术解决方案，提供了数据所有权人在数据传输、存储、处理、应用等各个环节的对数据进行控制的方法，保障了数据所有权人对数据的绝对控制权；
2、综合了秘密分割、数据加密、安全隔离、访问控制等数据安全技术，具备数据安全保护颗粒度细、安全强度高、可用技术手段多的优点；
3、支持采用秘密分割技术，将数据分成多个保密的子秘密数据，分别通过多个不同的网络传输，分别存储在多个不同存储设备上，由多个运维人员分别管理，从技术上实现了多员管理的安全机制，建立了角色分工、职责分离、运维分管、安全分治且任一单方无法泄密的安全技术保障体系。
4、支持在多网传输、多云存储等技术应用场景下的数权保护；
如图5所示，为本发明应用实例一种数权保护远程文件共享系统示意图，包括：数权控制台、信源分割加密网关、共享文件上传器、第一上传网络、第一存储设施、第一下载网络、第二上传网络、第二存储设施、第二下载网络、信宿分割加密网关、共享文件阅读器。
第一方面，在信源部署数权控制台、共享文件上传器、信源分割加密网关。
数权控制台是数权主体作为施控主体设置数权保护策略的管理控制单元。数权主体在数权控制台上设置数权保护策略如下：秘密分割算法=异或门限方案；分割输出的子秘密数量=2；秘密分享门限数量=0；分割前数据加密属性集合={是，SM1，密码1，密码1}；分割后子秘密数据1加密属性集合={子秘密数据1，加密，SM1，密码2，密码2}；分割后子秘密数据2加密属性集合={子秘密数据2，不加密，无，无，无}；分割后子秘密数据1数据传输网络属性集合={子秘密数据1，第一上传网络，HTTP协议}；分割后子秘密数据2数据传输网络属性集合={子秘密数据2，第二上传网络，HTTP协议}；分割后子秘密数据1数据存储设施属性集合={子秘密数据1，第一存储设施，FTP协议，IP地址1}；分割后子秘密数据2数据存储设施属性集合={子秘密数据2，第二存储设施，FTP协议，IP地址2}；数权主体属性集合={张三，用户名1，密码1}；数权客体使用人属性集合={李四，用户名2，密码2，可读，可写，可执行}；数权客体时间控制属性=无；数权客体空间控制属性=无；
共享文件上传器是数权主体将共享文件上传到信源分割加密安全网关的工具软件；
信源分割加密安全网关将接受的共享数据文件按照数权保护策略的属性标识，将共享数据文件采用SM1算法和密码1进行加密，所得密文采用异或门限算法分割为2个子秘密数据；对第一个子秘密数据采用SM1算法进行加密，加密密码为密码2；第一个子秘密数据加密后，通过第一上传网络，采用FTP协议，存储到IP地址1所在的第一存储设施上；第二个子秘密数据不再加密，直接通过第二上传网络，采用FTP协议，存储到IP地址2所在的第二存储设施上。
第二方面，在信宿部署信宿分割加密网关和共享文件阅读器。
共享文件下载阅读人员使用共享文件阅读器阅读共享数据文件的内容。
共享文件阅读器通过信宿分割加密网关下载共享数据文件。
信宿分割加密网关执行数权保护策略的访问控制策略属性标识的数权客体控制要求，包括：根据共享文件阅读器提供的数权客体阅读人员账号信息，判断数权客体阅读人员是否是数权主体，如果是数权主体，则拥有该数权客体全部的权限，如果不是数权主体，则根据数权客体使用人属性集合进行用户身份认证和授权。对于身份认证和授权未通过的数权客体阅读人员，信宿分割加密网关拒绝解码出共享数据文件内容；对于身份认证和授权未通过的数权客体阅读人员，信宿分割加密网关解码出共享数据文件内容，并将共享数据文件内容和数权客体访问权限反馈给共享文件阅读器。
共享文件阅读器从信宿分割加密网关下载共享数据文件内容和数权客体访问权限后，执行数权客体访问权限。
上述实施例具备如下有益效果：
1、提供了一种数权保护文件共享系统，数据所有权人通过数权控制台设置数权保护策略，实现了对数据上传、存储、下载阅读的全程控制。
2、共享数据文件从信源采用了加密和秘密分割两种数据保密措施，其数据保密强度高于单一的数据加密或者秘密分割；共享数据文件分割后在网络上传输，网络传输的数据信息残缺，可传不可见，传输防监听。
3、共享数据文件分割后在存储设施上存储，每个存储设施上的数据信息残缺，可存不可见，存储防泄漏。
4、共享数据文件在阅读时，通过信宿分割加密网关解码，信宿不存储完整的共享数据文件，可用不可见，应用防扩散。
图6为本发明应用实例一种存储设施边界保护装置示意图，所述存储设施边界保护装置由数权控制台、网络存储服务单元、身份鉴别与授权单元、存储数据分割加密单元、存储设施挂载单元组成；
所述存储设施边界保护装置分为控制管理层和控制执行层；控制管理层包括数权控制台；控制执行层包括网络存储服务单元、存储数据分割加密单元、身份鉴别与授权单元、存储设施挂载单元；
所述存储设施边界保护装置的接入在信道和信宿编解码器之间，接入方式是：控制管理层并联接入，控制执行层串联接入；
所述存储设施边界保护装置通过网络存储服务单元对信源提供数据输入输出接口，数据接口协议支持NFS、SMB/CIFS、ISCSI、FCP、FCIP、FCOE协议；
所述存储设施边界保护装置通过存储设施挂载单元对存储设施提供数据输入输出接口，数据接口协议支持NFS、SMB/CIFS、ISCSI、FCP、FCIP、FCOE协议；
存储数据分割加密单元支持的加密算法包括国密算法SM1、国密算法SM2、国密算法SM3、国密算法SM4、国密算法SM9、加密算法AES、加密算法DES、加密算法RSA。
上述实施例具备如下有益效果：
1、提供了一种存储设施数据控制系统，为数权主体对数权客体的存储设施边界安全保护提供了一套完整的技术解决方案，保障了数权主体对数权客体的存储安全控制，通过该装置实现了数权主体对数权客体的排他性控制，提高了存储设施数据控制系统的易用性；
2、存储设施边界保护装置采用了加密和秘密分割两种数据保密措施，其数据保密强度高于单一的数据加密或者秘密分割；
3、存储设施边界保护装置采用了秘密分割技术，在秘密分割过程中，将数据加密使用的密码数据也一并编码到待分割数据中，规避了密钥管理，降低了管理运维成本；
4、存储设施边界保护装置分为控制管理层和控制执行层，控制管理层采用并联接入，控制执行层串联接入，实现了数权保护的管理和执行相互分离，提高了存储设施边界保护装置的稳定性，降低了存储设施边界保护装置的运维复杂性，降低了运维工作难度。
图7为本发明应用实例一种“等保2.0”数权保护系统示意图；所述“等保2.0”数权保护系统，包括：
与数权保护有关的数权客体的通信载体包括部署在安全计算环境的存储设施、加密机、计算设施、用户业务系统、安全区域边界的计算安全区域边界设施、终端区域边界设施、安全通信网络设施、安全管理中心设施；
数权保护系统其他构件包括：
数权主体是等级保护对象的安全管理责任人；
数权控制台部署在安全管理中心；
数权控制器分为存储数权控制器和传输数权控制器，其中：
所述存储数权控制器采用密码技术保证重要数据在存储过程中的保密性，采取密码技术防止虚拟机镜像、快照中可能存在的敏感资源被非法访问，支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程；存储数权控制器部署在在安全计算环境中，部署位置在存储设施对外服务的网络边界处；存储数权控制器接管存储设施，对计算设施或者虚拟机监视器提供存储服务。
所述传输数权控制器采用密码技术保证重要数据在传输过程中的保密性；传输数权控制器部署在计算区域边界和终端区域边界，用于采用密码技术保证系统设计文档、鉴别数据、重要业务数据和重要个人信息等在传输过程的数据保密性。
上述实施例具备如下有益效果：
1、“等保2.0”数权保护系统是“等保2.0”数据保密性通用安全要求和云计算安全扩展要求的一种实现方案，能够满足GB/T22239-2019《信息安全技术网络安全等级保护基本要求》，对于重要数据的保密性提出了安全通用要求和云计算安全扩展要求；其中，重要数据包括但不限于鉴别数据、业务数据、个人信息、系统设计文档以及业务应用系统、数据库管理系统、中间件、系统管理软件及系统设计文档、数据安全保护系统、终端和服务器等设备中的操作系统及网络设备和安全设备中的重要配置数据。
2、“等保2.0”数权保护系统实现了防止网络数据泄漏或者被窃取，满足网络安全法和网络安全等级保护条例关于实施国家网络安全等级保护制度，建立网络安全等级保护工作责任制、落实责任追究制度的技术要求；
3、“等保2.0”数权保护系统可满足GB∕T 28448-2019《信息安全技术网络安全等级保护测评要求》的以下评测单元指标要求：传输保密性测评单元（L3-CES1-27）、存储保密性测评单元（L3-CES1-28）、虚拟机镜像和快照敏感资源保密性测评单元（L3-CES2-09）、云服务客户密钥自主管理测评单元（L3-CES2-13）；
4、可满足GB∕T 28448-2019《信息安全技术网络安全等级保护测评要求》云服务客户密钥管理解决方案总体要求。
以上仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。
应该明白，公开的过程中的步骤的特定顺序或层次是示例性方法的实例。基于设计偏好，应该理解，过程中的步骤的特定顺序或层次可以在不脱离本公开的保护范围的情况下得到重新安排。所附的方法权利要求以示例性的顺序给出了各种步骤的要素，并且不是要限于所述的特定顺序或层次。
在上述的详细描述中，各种特征一起组合在单个的实施方案中，以简化本公开。不应该将这种公开方法解释为反映了这样的意图，即，所要求保护的主题的实施方案需要比清楚地在每个权利要求中所陈述的特征更多的特征。相反，如所附的权利要求书所反映的那样，本发明处于比所公开的单个实施方案的全部特征少的状态。因此，所附的权利要求书特此清楚地被并入详细描述中，其中每项权利要求独自作为本发明单独的优选实施方案。
为使本领域内的任何技术人员能够实现或者使用本发明，上面对所公开实施例进行了描述。对于本领域技术人员来说；这些实施例的各种修改方式都是显而易见的，并且本文定义的一般原理也可以在不脱离本公开的精神和保护范围的基础上适用于其它实施例。因此，本公开并不限于本文给出的实施例，而是与本申请公开的原理和新颖性特征的最广范围相一致。
上文的描述包括一个或多个实施例的举例。当然，为了描述上述实施例而描述部件或方法的所有可能的结合是不可能的，但是本领域普通技术人员应该认识到，各个实施例可以做进一步的组合和排列。因此，本文中描述的实施例旨在涵盖落入所附权利要求书的保护范围内的所有这样的改变、修改和变型。此外，就说明书或权利要求书中使用的术语“包含”，该词的涵盖方式类似于术语“包括”，就如同“包括，”在权利要求中用作衔接词所解释的那样。此外，使用在权利要求书的说明书中的任何一个术语“或者”是要表示“非排它性的或者”。
本领域技术人员还可以了解到本发明实施例列出的各种说明性逻辑块（illustrative logical block），单元，和步骤可以通过电子硬件、电脑软件，或两者的结合进行实现。为清楚展示硬件和软件的可替换性（interchangeability），上述的各种说明性部件（illustrative components），单元和步骤已经通用地描述了它们的功能。这样的功能是通过硬件还是软件来实现取决于特定的应用和整个系统的设计要求。本领域技术人员可以对于每种特定的应用，可以使用各种方法实现所述的功能，但这种实现不应被理解为超出本发明实施例保护的范围。
本发明实施例中所描述的各种说明性的逻辑块，或单元都可以通过通用处理器，数字信号处理器，专用集成电路（ASIC），现场可编程门阵列或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实现或操作所描述的功能。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实现。
本发明实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软件模块、或者这两者的结合。软件模块可以存储于RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动磁盘、CD-ROM或本领域中其它任意形式的存储媒介中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可以设置于ASIC中，ASIC可以设置于云服务客户终端中。可选地，处理器和存储媒介也可以设置于云服务客户终端中的不同的部件中。
在一个或多个示例性的设计中，本发明实施例所描述的上述功能可以在硬件、软件、固件或这三者的任意组合来实现。如果在软件中实现，这些功能可以存储与电脑可读的媒介上，或以一个或多个指令或代码形式传输于电脑可读的媒介上。电脑可读媒介包括电脑存储媒介和便于使得让电脑程序从一个地方转移到其它地方的通信媒介。存储媒介可以是任何通用或特殊电脑可以接入访问的可用媒体。例如，这样的电脑可读媒体可以包括但不限于RAM、ROM、EEPROM、CD-ROM或其它光盘存储、磁盘存储或其它磁性存储装置，或其它任何可以用于承载或存储以指令或数据结构和其它可被通用或特殊电脑、或通用或特殊处理器读取形式的程序代码的媒介。此外，任何连接都可以被适当地定义为电脑可读媒介，例如，如果软件是从一个网站站点、服务器或其它远程资源通过一个同轴电缆、光纤电缆、双绞线、数字云服务客户线（DSL）或以例如红外、无线和微波等无线方式传输的也被包含在所定义的电脑可读媒介中。所述的碟片（disk）和磁盘（disc）包括压缩磁盘、镭射盘、光盘、DVD、软盘和蓝光光盘，磁盘通常以磁性复制数据，而碟片通常以激光进行光学复制数据。上述的组合也可以包含在电脑可读媒介中。
以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种数权保护方法，其特征在于，包括：
数权主体作为施控主体通过数权控制台设定数权保护策略；所述数权保护策略，是指数权保护属性标识的集合；
数权控制台将数权保护策略发布到受控对象；所述受控对象包括L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象和K个信宿译码受控对象，其中，L、M、N、K都是自然数，并且(L+M+N+K)>0；
受控对象执行数权保护策略；
受控对象执行数权保护策略的方式包括：
所述信源编码受控对象按照接收到的数权保护策略，或者将数权客体编码为信源受控PDU，或者对数权客体编码不进行处理；
所述信道编码受控对象按照接收到的数权保护策略，或者将信源受控PDU编码为信道受控PDU，或者对信源受控PDU编码不进行处理；
所述信道译码受控对象按照接收到的数权保护策略，或者将信道受控PDU译码为信源受控PDU，或者将信道受控PDU译码为信源受控PDU后转码为信宿受控PDU，或者对信道受控PDU编码不进行处理；
所述信宿译码受控对象按照接收到的数权保护策略，或者将信源受控PDU和信宿受控PDU译码为数权客体，或者对信源受控PDU编码不进行处理；
所述数权是指有一定规律或价值的信息编码集合在全生命周期治理过程中所产生的权利，涉及个人隐私、数据产权或国家主权权益；
所述数权主体是权利人，包含数据所指向的对象以及该数据的收集、存储、传输或处理者，处理者包含自然人、法人、非法人组织；
数权保护策略包含的控制属性参数包括秘密分割控制属性参数、数据加密控制属性参数、安全隔离控制属性参数或访问控制控制属性参数。
2.根据权利要求1所述的一种数权保护方法，其特征在于，所述数权主体分为不同的角色，每个角色按照自身需要设置数权保护策略，所述数权控制台或者是由多个不同的数权主体共用，或者是由单个角色的数权主体专用，所述数权保护策略包括针对数权客体和针对受控对象的控制策略；
所述数权客体是数权涉及的有一定规律或价值的数据集合。
3.根据权利要求1所述的一种数权保护方法，其特征在于，所述L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，构成一种多信道数权保护方式，所述多信道数权保护方式包括：
L个信源编码受控对象将数权客体按照数权保护策略分割编码为M个信源受控PDU；
M个信道编码受控对象将M个信源受控PDU按照数权保护策略编码为N个信道受控PDU，交由N个信道进行传输、存储和处理；
N个信道译码受控对象分别接入到N个信道，每个信道上串联了1个信道译码受控对象，每个信道译码受控对象将所在信道的信道受控PDU按照数权保护策略进行译码后，再次编码，N个信道译码受控对象最终编码形成K个信宿受控PDU；
K个信宿译码受控对象按照数权保护策略对K个信宿受控PDU进行译码，按照数权保护策略的要求输出数权客体译码编码，所述数权客体译码编码或者是数权客体，或者是根据数权保护策略要求输出的异常反馈编码，所述异常反馈编码或者是出错信息编码，或者是数权宣示提示信息编码，或者是用于引诱非授权人员出错的欺骗性信息编码。
4.根据权利要求3所述的一种数权保护方法，其特征在于，所述信源受控PDU、信道受控PDU、信宿受控PDU都是保密的数据编码，采用的保密编码算法包括秘密分割算法、数据加密算法。
5.根据权利要求1所述的一种数权保护方法，其特征在于，所述L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象、K个信宿译码受控对象，每个受控对象或者将数权保护策略与数权客体组合成为一个整体进行编码；或者将数权保护策略身份标识与数权客体的身份标识组合成为一个整体进行编码；或者将数权保护策略身份标识与数据客体组合成为一个整体进行编码；或者将数权保护策略与数权客体身份标识组合成为一个整体进行编码。
6.一种数权保护系统，其特征包括：
所述数权保护系统由数权控制台、数权控制器、数权主体和数权客体的通信载体组成，其中：
数权控制台，是数权主体作为施控主体设定数权保护策略的管理控制单元；
数权控制器，是接收并执行数权保护策略的受控对象；
控制消息，是数权控制台向数权控制器发送的包含数权保护策略的数据编码；
数权主体，拥有所述数权保护系统的控制权，是数权控制台的用户；
数权客体的通信载体，包括数权客体通信过程中涉及的信源、信源编码器、信道编码器、信道、信道译码器、信宿译码器、信宿，承载数权客体通信全过程，是数权控制器的用户；
数权控制台将数权保护策略发布到受控对象；所述受控对象包括L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象和K个信宿译码受控对象，其中，L、M、N、K都是自然数，并且(L+M+N+K)>0；
所述数权保护系统分为控制管理层、控制执行层和通信承载层三层，其中：
控制管理层包含数权主体和数权控制台，控制管理层实现的功能为：数权主体通过数权控制台设定和管理数权保护策略，封装成控制消息，发布到控制执行层的数权控制器；
控制执行层包含所有的数权控制器，控制执行层实现的功能为从控制管理层接收控制消息，从控制消息中译码出数权保护策略并执行该数权保护策略；
控制执行层执行数权保护策略的方式包括：
所述信源编码受控对象按照接收到的数权保护策略，或者将数权客体编码为信源受控PDU，或者对数权客体编码不进行处理；
所述信道编码受控对象按照接收到的数权保护策略，或者将信源受控PDU编码为信道受控PDU，或者对信源受控PDU编码不进行处理；
所述信道译码受控对象按照接收到的数权保护策略，或者将信道受控PDU译码为信源受控PDU，或者将信道受控PDU译码为信源受控PDU后转码为信宿受控PDU，或者对信道受控PDU编码不进行处理；
所述信宿译码受控对象按照接收到的数权保护策略，或者将信源受控PDU和信宿受控PDU译码为数权客体，或者对信源受控PDU编码不进行处理；
通信承载层包含数权客体的全部通信载体，通信承载层实现的功能为在控制执行层的数权控制器的控制下，完成数权客体从信源到信宿的通信过程；
所述控制管理层与通信承载层相互分离，控制管理层和通信承载层都可独立运行；
所述控制执行层的数权控制器通过串联的方式接入到通信承载层，能够阻断通信承载层的通信过程；
所述数权是指有一定规律或价值的信息编码集合在全生命周期治理过程中所产生的权利，涉及个人隐私、数据产权或国家主权权益；
所述数权主体是权利人，包含数据所指向的对象以及该数据的收集、存储、传输或处理者，处理者包含自然人、法人、非法人组织；
所述数权客体是数权涉及的有一定规律或价值的数据集合；
所述受控对象包括L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象和K个信宿译码受控对象，其中，L、M、N、K都是自然数，并且(L+M+N+K)>0；
所述数权保护策略，是指数权保护属性标识的集合；
数权保护策略包含的控制属性参数包括秘密分割控制属性参数、数据加密控制属性参数、安全隔离控制属性参数或访问控制控制属性参数。
7.根据权利要求6所述的一种数权保护系统，用于网络安全等级保护，其特征在于，
数权主体是等级保护对象的安全管理责任人；
数权控制台部署在安全管理中心；
数权控制器或者部署在安全计算环境中，或者部署在安全区域边界中，或者既部署在安全计算环境中又部署在安全区域边界中，其中：
部署在安全计算环境中的数权控制器采用密码技术保证重要数据在存储过程中的保密性，采取密码技术防止虚拟机镜像、快照中可能存在的敏感资源被非法访问，支持云服务客户部署密钥管理解决方案，保证云服务客户自行实现数据的加解密过程；在安全计算环境中的数权控制器部署在存储设施对外服务的网络边界处，用于接管存储设施，对计算设施或者虚拟机监视器提供存储服务；
部署在安全区域边界中的数权控制器采用密码技术保证重要数据在传输过程中的保密性，具体部署在计算区域边界和终端区域边界，用于采用密码技术保证重要数据在传输过程的数据保密性。
8.一种数权保护装置，其特征包括：
所述数权保护装置由数权控制台、数权控制器组成；
数权控制台是数权主体作为施控主体设定数权保护策略的管理控制单元，将数权保护策略编码为数权控制消息，向数权控制器推送，并从数权控制器获取数权保护策略的执行结果；
数权控制台将数权保护策略发布到受控对象；所述受控对象包括L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象和K个信宿译码受控对象，其中，L、M、N、K都是自然数，并且(L+M+N+K)>0；
数权控制器是执行数权保护策略的受控对象，从数权控制台接收数权控制消息，解码出数权控制消息所含的数权保护策略并予以执行，将执行结果记录到系统日志或者反馈到数权控制台；
数权控制器执行数权保护策略的方式包括：
所述信源编码受控对象按照接收到的数权保护策略，或者将数权客体编码为信源受控PDU，或者对数权客体编码不进行处理；
所述信道编码受控对象按照接收到的数权保护策略，或者将信源受控PDU编码为信道受控PDU，或者对信源受控PDU编码不进行处理；
所述信道译码受控对象按照接收到的数权保护策略，或者将信道受控PDU译码为信源受控PDU，或者将信道受控PDU译码为信源受控PDU后转码为信宿受控PDU，或者对信道受控PDU编码不进行处理；
所述信宿译码受控对象按照接收到的数权保护策略，或者将信源受控PDU和信宿受控PDU译码为数权客体，或者对信源受控PDU编码不进行处理；
所述数权是指有一定规律或价值的信息编码集合在全生命周期治理过程中所产生的权利，涉及个人隐私、数据产权或国家主权权益；
所述数权主体是权利人，包含数据所指向的对象以及该数据的收集、存储、传输或处理者，处理者包含自然人、法人、非法人组织；
所述受控对象包括L个信源编码受控对象、M个信道编码受控对象、N个信道译码受控对象和K个信宿译码受控对象，其中，L、M、N、K都是自然数，并且(L+M+N+K)>0；
所述数权保护策略，是指数权保护属性标识的集合；
数权保护策略包含的控制属性参数包括秘密分割控制属性参数、数据加密控制属性参数、安全隔离控制属性参数或访问控制控制属性参数。
9.根据权利要求8所述的一种数权保护装置，其特征在于，所述数权保护装置用于存储设施边界保护，形成一种存储设施边界保护装置，所述存储设施边界保护装置由数权控制台、网络存储服务单元、身份鉴别与授权单元、存储数据分割加密单元、存储设施挂载单元组成；
所述存储设施边界保护装置分为控制管理层和控制执行层；控制管理层包括数权控制台；控制执行层包括网络存储服务单元、存储数据分割加密单元、身份鉴别与授权单元、存储设施挂载单元；
所述存储设施边界保护装置的接入在信道和信宿编解码器之间，接入方式是：控制管理层并联接入，控制执行层串联接入；
所述存储设施边界保护装置通过网络存储服务单元对信源提供数据输入输出接口，数据接口协议支持NFS、SMB/CIFS、ISCSI、FCP、FCIP、FCOE协议；
所述存储设施边界保护装置通过存储设施挂载单元对存储设施提供数据输入输出接口，数据接口协议支持NFS、SMB/CIFS、ISCSI、FCP、FCIP、FCOE协议；
存储数据分割加密单元支持的加密算法包括国密算法SM1、国密算法SM2、国密算法SM3、国密算法SM4、国密算法SM9、加密算法AES、加密算法DES、加密算法RSA。
CN201910834410.9A 2019-09-05 2019-09-05 一种数权保护方法、系统和装置 Active CN112448937B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910834410.9A CN112448937B (zh) 2019-09-05 2019-09-05 一种数权保护方法、系统和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910834410.9A CN112448937B (zh) 2019-09-05 2019-09-05 一种数权保护方法、系统和装置

Publications (2)

Publication Number Publication Date
CN112448937A CN112448937A (zh) 2021-03-05
CN112448937B true CN112448937B (zh) 2023-09-01

Family

ID=74733064

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910834410.9A Active CN112448937B (zh) 2019-09-05 2019-09-05 一种数权保护方法、系统和装置

Country Status (1)

Country Link
CN (1) CN112448937B (zh)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1443421A (zh) * 2000-05-22 2003-09-17 Nds有限公司 广播网上安全数字内容传送系统和方法
CN101518025A (zh) * 2006-09-20 2009-08-26 诺基亚西门子通信有限责任两合公司 用于在电信网络中安全分发内容的装置和方法
CN104378386A (zh) * 2014-12-09 2015-02-25 浪潮电子信息产业股份有限公司 一种云数据机密性保护和访问控制的方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7886318B2 (en) * 2007-06-22 2011-02-08 Morega Systems Inc. Set top box with digital rights management for multiple devices and methods for use therewith

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1443421A (zh) * 2000-05-22 2003-09-17 Nds有限公司 广播网上安全数字内容传送系统和方法
CN101518025A (zh) * 2006-09-20 2009-08-26 诺基亚西门子通信有限责任两合公司 用于在电信网络中安全分发内容的装置和方法
CN104378386A (zh) * 2014-12-09 2015-02-25 浪潮电子信息产业股份有限公司 一种云数据机密性保护和访问控制的方法

Also Published As

Publication number Publication date
CN112448937A (zh) 2021-03-05

Similar Documents

Publication Publication Date Title
US10523707B2 (en) Secure transport channel using multiple cipher suites
Sicari et al. Security, privacy and trust in Internet of Things: The road ahead
US9407437B1 (en) Secure initialization vector generation
US20200204527A1 (en) Secure telecommunications and transactional platform
US8590052B2 (en) Enabling granular discretionary access control for data stored in a cloud computing environment
US11615323B2 (en) Cyphergenics-based verifications of blockchains
CN107920081B (zh) 登录认证方法及装置
Altulyan et al. A unified framework for data integrity protection in people-centric smart cities
RU2638639C1 (ru) Кодер, декодер и способ кодирования и шифрования входных данных
GB2533279B (en) Secure media player
JP2005534104A (ja) セキュアネットワークファイルアクセス制御システム
CN108600268B (zh) 一种应用于非授信认证的加密解密方法及非授信认证系统
US20170272455A1 (en) Routing Systems and Methods
WO2018209138A1 (en) Secure telecommunications and transactional platform
CN112448937B (zh) 一种数权保护方法、系统和装置
US11050719B2 (en) Systems and methods for controlling email access
Lu et al. Research on information steganography based on network data stream
US20200119919A1 (en) Electronic device authentication managing apparatus
KR20150107062A (ko) 클라우드 서비스를 이용하는 데이터 통신 장치 및 그것의 데이터 처리 방법
KR100803357B1 (ko) 데이터베이스 보안 장치 및 방법
KR20240002666A (ko) 메신저 서비스를 제공하기 위한 방법, 시스템 및 비일시성의 컴퓨터 판독 가능한 기록 매체
WO2020188421A1 (en) Low delay content disarm and reconstruction (cdr) of live streaming video
CN111917688A (zh) 一种通过云平台传输加密数据的方法、装置和系统
US11508155B2 (en) Methods, systems, apparatuses, and devices for facilitating managing incidents occurring in areas monitored by low data-rate monitoring devices using the low data-rate monitoring devices
EP3662640B1 (en) Data communication with devices having no direct access or only restricted access to communication networks

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant