CN112929172A - 基于密钥库动态加密数据的系统、方法及装置 - Google Patents

Abstract

本发明公开了一种基于密钥库动态加密数据的系统、方法及装置，可用于信息安全领域，该系统包括：应用间服务器、密钥库服务器、多个渠道应用服务器，以及与每个渠道应用服务器交互的终端；密钥库服务器用于针对不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据，配置数据加密规则，根据数据加密规则生成相应的加密程序和密钥文件；应用间服务器用于根据各个渠道应用服务器的数据处理请求，从密钥库服务器下载相应的加密程序和密钥文件，对应用数据执行加密或解密处理；渠道应用服务器用于根据终端的数据处理请求，从密钥库服务器下载相应的加密程序和密钥文件，对应用数据执行加密或解密处理。本发明能够提升系统安全性。

Description

基于密钥库动态加密数据的系统、方法及装置

技术领域

本发明涉及信息安全领域，尤其涉及一种基于密钥库动态加密数据的系统、方法及装置。

背景技术

本部分旨在为权利要求书中陈述的本发明实施例提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

在银行系统中常常需要使用密钥对一些敏感信息(例如，用户账号密码、系统管理密码)进行安全加密，传统的密钥管理方式，在加密数据时存在如下几方面的问题：

①由于密钥记录信息固化在程序代码中，当需更改密钥时需要重新发布程序代码，导致应用灵活度较低。

②上下游应用涉及密钥制作、更新等人工操作，在项目上线时容易出现遗漏，导致交易报错，问题分析难度较大。

③由于应用的密钥转换过程(加解密操作)在同一应用内执行，导致安全性较低。

针对上述问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例中提供了一种基于密钥库动态加密数据的系统，用以解决现有技术中将密钥记录信息固化在程序代码中的密钥管理方法，存在灵活性差、容易出错且安全性低的技术问题，该系统包括：应用间服务器、密钥库服务器、多个渠道应用服务器，以及与每个渠道应用服务器交互的终端；其中，密钥库服务器，用于配置数据加密规则，根据数据加密规则生成相应的加密程序和密钥文件，数据加密规则用于对如下应用数据执行加解密处理：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；应用间服务器，与密钥库服务器和各个渠道应用服务器分别通信，用于根据各个渠道应用服务器的数据处理请求，从密钥库服务器下载相应的加密程序和密钥文件，对应用数据执行加密或解密处理；渠道应用服务器，与密钥库服务器通信，用于接收来自终端的数据处理请求，根据终端的数据处理请求，从密钥库服务器下载相应的加密程序和密钥文件，对应用数据执行加密或解密处理。

本发明实施例中还提供了一种基于密钥库动态加密数据的方法，用以解决现有技术中将密钥记录信息固化在程序代码中的密钥管理方法，存在灵活性差、容易出错且安全性低的技术问题，该方法包括：配置数据加密规则，数据加密规则用于对如下应用数据执行加解密处理：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；根据数据加密规则生成相应的加密程序和密钥文件；根据应用间服务器或各个渠道应用服务器的数据处理请求，向应用间服务器或各个渠道应用服务器下发相应的加密程序和密钥文件，使得应用间服务器或各个渠道应用服务器根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理。

本发明实施例中还提供了一种基于密钥库动态加密数据的方法，用以解决现有技术中将密钥记录信息固化在程序代码中的密钥管理方法，存在灵活性差、容易出错且安全性低的技术问题，该方法包括：接收来自终端的数据处理请求；将接收到的数据处理请求直接发送至密钥库服务器或经应用间服务器发送至密钥库服务器，其中，密钥库服务器上存储有对应用数据执行加密或解密处理的加密程序和密钥文件，应用数据包括：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；接收密钥库服务器下发的加密程序和密钥文件；根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理；将数据加解密结果，发送至终端。

本发明实施例中还提供了一种基于密钥库动态加密数据的装置，用以解决现有技术中将密钥记录信息固化在程序代码中的密钥管理方法，存在灵活性差、容易出错且安全性低的技术问题，该装置包括：数据加密规则配置模块，用于配置数据加密规则，数据加密规则用于对如下应用数据执行加解密处理：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；密钥生成模块，用于根据数据加密规则生成相应的加密程序和密钥文件；密钥下发模块，用于根据应用间服务器或各个渠道应用服务器的数据处理请求，向应用间服务器或各个渠道应用服务器下发相应的加密程序和密钥文件，使得应用间服务器或各个渠道应用服务器根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理。

本发明实施例中还提供了一种基于密钥库动态加密数据的装置，用以解决现有技术中将密钥记录信息固化在程序代码中的密钥管理方法，存在灵活性差、容易出错且安全性低的技术问题，该装置包括：数据请求模块，用于接收来自终端的数据处理请求；密钥请求模块，用于将接收到的数据处理请求直接发送至密钥库服务器或经应用间服务器发送至密钥库服务器，其中，密钥库服务器上存储有对应用数据执行加密或解密处理的加密程序和密钥文件，应用数据包括：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；密钥下载模块，用于接收密钥库服务器下发的加密程序和密钥文件；第二数据加解密模块，并根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理；数据加解密结果返回模块，用于将数据加解密结果，发送至终端。

本发明实施例中还提供了一种计算机设备，用以解决现有技术中将密钥记录信息固化在程序代码中的密钥管理方法，存在灵活性差、容易出错且安全性低的技术问题，该计算机设备包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现上述基于密钥库动态加密数据的方法。

本发明实施例中还提供了一种计算机可读存储介质，用以解决现有技术中将密钥记录信息固化在程序代码中的密钥管理方法，存在灵活性差、容易出错且安全性低的技术问题，该计算机可读存储介质存储有执行上述基于密钥库动态加密数据的方法的计算机程序。

本发明实施例中，针对不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据，根据应用需求，在密钥库服务器中，灵活配置数据加密规则，并根据配置的数据加密规则生成相应的加密程序和密钥文件，以便应用间服务器或各个渠道应用服务器根据终端的数据处理请求，从密钥库服务器下载相应的加密程序和密钥文件，对应用中敏感数据执行加密或解密处理，能够实现动态加密数据的目的，提升系统安全性、减少运维成本，降低项目复杂度。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1为本发明实施例中提供的一种基于密钥库动态加密数据的系统示意图；

图2为本发明实施例中提供的一种密钥库服务器的组成模块示意图；

图3为本发明实施例中提供的一种密钥创建过程格式变化示意图；

图4为本发明实施例中提供的一种基于密钥库动态加密数据的方法流程图；

图5为本发明实施例中提供的一种基于密钥库动态加密数据的装置示意图；

图6为本发明实施例中提供的又一种基于密钥库动态加密数据的方法流程图；

图7为本发明实施例中提供的又一种基于密钥库动态加密数据的装置示意图；

图8为本发明实施例中提供的一种银行客户账户密码的动态加密流程图；

图9为本发明实施例中提供的一种计算机设备示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

本发明实施例中提供了一种基于密钥库动态加密数据的系统，可以用于但不限于各种银行系统应用(包括但不限于柜面应用、自助应用、电子银行等渠道应用)，有效解决银行系统柜面、自助以及电子银行等渠道生成密钥、交接密钥、管理密钥以及使用密钥加密账户密码等问题，有效节省应用制作密钥的繁琐过程，能够提升账户密码等敏感信息的安全性，也为上下游应用在项目上线过程的密钥交接提供便利。

图1为本发明实施例中提供的一种基于密钥库动态加密数据的系统示意图，如图1所示，该系统包括：应用间服务器1、密钥库服务器2、多个渠道应用服务器3，以及与每个渠道应用服务器3交互的终端4。

其中，密钥库服务器2，用于配置数据加密规则，根据数据加密规则生成相应的加密程序和密钥文件，数据加密规则用于对如下应用数据执行加解密处理：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据。

应用间服务器1，与密钥库服务器2和各个渠道应用服务器3分别通信，用于根据各个渠道应用服务器3的数据处理请求，从密钥库服务器2下载相应的加密程序和密钥文件，对应用数据执行加密或解密处理。

渠道应用服务器3，与密钥库服务器2通信，用于接收来自终端4的数据处理请求，根据终端4的数据处理请求，从密钥库服务器2下载相应的加密程序和密钥文件，对应用数据执行加密或解密处理。

本发明实施例中的待加密的应用数据可以是但不限于应用内或应用间传输的各种账户密码、系统管理密码等敏感数据。

需要说明的是，本发明实施例中的渠道应用服务器3可以是银行柜面、自助终端、电子银行等渠道的应用服务器。可根据银行应用需求，在密钥库服务器2中配置加密算法、自定义应用加密规则、应用间协议号等参数信息，根据录入信息自动生成密钥、自动管理密钥，对敏感信息(例如，账户密码)进行安全加密，为应用提供加密程序、密钥文件等资源下载，兼容各种银行系统，提升系统安全性，减少应用运维成本、缩短项目开发时间。

在具体实施时，由应用间服务器1接收渠道应用服务器3发送的数据，对数据进行检验和处理，并将确认结果返回给渠道应用服务器3。应用间服务器3可以根据应用的需求，从密钥库服务器2下载加密软件包和密钥文件。应用间服务器1和渠道应用服务器3交互协议在密钥库服务器2中配置。密钥库服务器2接收应用间服务器1和渠道应用服务器3发送的数据，对数据进行加解密处理，通过配置信息生成应用加密规则和密钥文件。渠道应用服务器3接收终端4请求的数据，对于需要加密处理或密钥转换的信息发送给密钥库服务器2处理，接收密钥库服务器2返回的数据后，再对数据进行加工处理，发送给平台或主机应用处理。应用服务器3还可以从密钥库服务器2下载加密软件包和密钥文件，用于应用开发，兼容银行系统旧环境。终端4，是连接各渠道应用的客户端或设备，可以是自助渠道的自助设备，或电子银行渠道的移动设备、个人电脑，或柜面渠道的业务终端，业务终端可以连接密码键盘、芯片卡读卡器和身份证阅读器等设备，或登陆其它平台系统的客户端。终端4通过银行内部网络或互联网将客户信息、账户密码等敏感信息加密后，发送至渠道应用服务器3进行处理，交互过程中敏感信息的加密采用3DES、SM4、AES等对称加密算法和SM2、RSA等非对称加密算法。

在一个实施例中，如图2所示，本发明实施例中提供的密钥库服务器2具体包括：配置模块21，用于配置应用密钥参数信息，并根据配置的应用密钥参数信息，生成相应的密钥记录信息；处理模块22，用于根据密钥记录信息，查询相应的加密程序和密钥文件，对应用数据执行加密或解密处理；扫描模块23，用于动态更新应用数据的密钥记录信息。

如图2所示，上述配置模块21可具体包括：参数录入单元211，用于录入配置的应用密钥参数信息；密钥创建单元212，用于根据录入的应用密钥参数信息，创建密钥记录信息；第一记录更新单元213，用于保存密钥记录信息。

在具体实施时，参数录入单元211负责在应用间进行数据交互前，将两个应用的参数信息提前配置到系统中，参数的记录信息包含密钥名称、主应用名称、关联应用名称、应用间协议、密钥更新周期、加密算法、密钥分量等关键字段，对于两个以上的应用，应用间可配置多条记录信息；密钥创建单元212负责将参数录入单元录入的密钥分量等信息，根据密钥创建规则自动生成密钥实体；第一记录更新单元213负责将密钥实体、下次更新日期等关键信息保存到系统中。

可选地，本发明实施例中录入的应用密钥参数信息可包括：密钥名称、第一应用名称、第二应用名称、应用间协议信息、密钥更新周期、加密算法的索引信息、密钥分量；本发明实施例中生成的密钥记录信息可具体包括：密钥名称、密钥实体、第一应用名称、第二应用名称、应用间协议信息、密钥更新周期、加密算法的索引信息、密钥创建日期、密钥修改日期、密钥下次更新日期；其中，第一应用为创建密钥的主应用(即牵头申请创建密钥)，第二应用为与主应用交互的关联应用。

图3为本发明实施例中提供的一种密钥创建过程格式变化示意图，如图3所示，根据录入的应用密钥参数信息(图标31所示为应用密钥参数信息的组成格式)，创建一个对应的密钥记录信息(图标32所示为密钥记录信息的组成格式)。其中，应用密钥参数信息可包含密钥名称、主应用名称、关联应用名称、应用间协议、密钥更新周期、加密算法的索引信息(例如，加密算法序号)、创建日期、修改日期、下次更新日期等关键信息；密钥记录信息可包含密钥名称、密钥实体、主应用名称、关联应用名称、应用间协议、密钥更新周期、加密算法的索引信息(例如，加密算法序号)、密钥创建日期、密钥修改日期、密钥下次更新日期等关键信息。

在具体实施时，密钥名称是根据银行技术规范定义英文名称；主应用名称可通过英文名表示；关联应用名称可通过英文名表示；应用间协议由协议和序号组成，协议可包含接口、设备或项目编号等信息，或其它应用间约定好的关键信息。对于同一类型的协议，可增加序号以区分不同协议，序号由三位数字组成，即001～999；密钥更新周期为系统自动更新密钥的周期，周期可设置为年、月、周、日，或某个具体的时间；加密算法即应用间加密使用的对称或非对称算法，通过算法英文名称表示，若涉及多个加密算法，算法之间通过分号隔开，例如，“DES；SM4”，同时也代表加密的顺序。系统加密算法除支持常用的算法外，还支持应用自定义的加密算法；密钥分量由应用双方选择输入，格式为“密钥分量1；密钥分量2；...；密钥分量N”，当应用选择不输入时，系统根据主应用名称、关联应用名称和系统随机数等信息自动生成密钥分量。

需要说明的是，密钥记录信息中的主应用名称、关联应用名称、应用间协议字段信息用于应用请求数据加密时的作为查询条件；密钥实体是存储密钥信息的字段，系统对主应用名称、关联应用名称、应用间协议、密钥更新周期、密钥分量的值进行判断，若字段值不足位，则系统自动补位，计算的字段值中，最长的字段值若不足8位，则自动补齐至8位，若超过8位不足16位的，则自动补齐至16位，以8的倍数自动补全计算字段的位数，并与系统随机数计算得出密钥值，对密钥值执行base64编码，为增强密钥的安全性，base64编码后密钥值需要补位后再保存在系统中，保证只能密钥库服务器2才有权限处理；密钥更新周期即更新密钥实体的周期；加密顺序是根据加密算法字段中算法字段串，按分隔符计算得出算法名称和个数，再结合算法表(详见表1)生成加密顺序的值，例如加密算法名称字符串为“SM4；自定义算法名称1”，则生成的加密顺序值为“04M”，其中加密算法序号和算法名称可根据应用要求定义；创建日期为生成密钥记录的时间；修改日期为更新密钥实体的时间；下次更新日期为按密钥更新周期计算生成的下一次更新密钥实体的时间。

表1加密算法表

如图2所示，上述处理模块22可具体包括：数据接收单元221，用于接收来自渠道应用服务器或应用间服务器的数据处理请求；数据处理单元222，用于根据数据处理请求，执行相应的数据处理；数据发送单元223，用于将数据处理结果发送至渠道应用服务器或应用间服务器。

在具体实施时，数据接收单元负责接收渠道应用服务器3或应用间服务器1发送的数据，数据请求类型包括验签、加密、密钥转换、生成摘要信息、下载加密程序和下载密钥文件等，数据接收单元根据数据请求类型对数据进行拆包加工，并将加工后的数据发送给数据处理单元；数据处理单元根据验签、加密、密钥转换、生成摘要信息等不同请求类型，对数据进行相应处理；数据发送单元将数据处理单元的处理结果重新组装成报文，并发送给渠道应用服务器3或应用间服务器1。

如图2所示，上述扫描模块23可具体包括：记录扫描单元231，用于扫描应用数据的密钥记录信息；第二记录更新单元232，用于更新应用数据的密钥记录信息；日志保存单元233，用于保存更新密钥记录信息的日志信息。

在具体实施时，记录扫描单元231负责自动扫描需要按周期更新密钥的记录信息，记录信息关键字段包含密钥名称、密钥实体、主应用名称、关联应用名称、应用间协议、密钥更新周期、创建日期、修改日期、下次更新日期等字段，并筛选出下次更新日期字段的日期为当天的记录；第二记录更新单元232负责自动更新密钥实体字段的内容，并根据密钥更新周期，将下次更新日期调整为下一次更新的时间，修改日期修改为当天的时间，密钥更新周期可以为年、月、周、日或某个具体的时间；日志保存单元233负责对记录信息的更新，需将日志信息保存在系统中，存储介质可使用MySQL等数据库，或文件系统。

基于同一发明构思，本发明实施例中还提供了一种基于密钥库动态加密数据的方法，可以应用但不限于图1所示的密钥库服务器2。

图4为本发明实施例中提供的又一种基于密钥库动态加密数据的方法流程图，如图4所示，该方法包括如下步骤：

S401，配置数据加密规则，数据加密规则用于对如下应用数据执行加解密处理：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；

S402，根据数据加密规则生成相应的加密程序和密钥文件；

S403，根据应用间服务器或各个渠道应用服务器的数据处理请求，向应用间服务器或各个渠道应用服务器下发相应的加密程序和密钥文件，使得应用间服务器或各个渠道应用服务器根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理。

在一个实施例中，本发明实施例中提供的基于密钥库动态加密数据的方法还可以包括如下步骤：配置应用密钥参数信息，并根据配置的应用密钥参数信息，生成相应的密钥记录信息；根据密钥记录信息，查询相应的加密程序和密钥文件，对应用数据执行加密或解密处理；动态更新应用数据的密钥记录信息。

在一个实施例中，本发明实施例中提供的基于密钥库动态加密数据的方法还可以包括如下步骤：录入配置的应用密钥参数信息；根据录入的应用密钥参数信息，创建密钥记录信息；保存密钥记录信息。

在一个实施例中，本发明实施例中提供的基于密钥库动态加密数据的方法还可以包括如下步骤：接收来自渠道应用服务器或应用间服务器的数据处理请求；根据数据处理请求，执行相应的数据处理；将数据处理结果发送至渠道应用服务器或应用间服务器。

在一个实施例中，本发明实施例中提供的基于密钥库动态加密数据的方法还可以包括如下步骤：扫描应用数据的密钥记录信息；更新应用数据的密钥记录信息；保存更新密钥记录信息的日志信息。

基于同一发明构思，本发明实施例中还提供了一种基于密钥库动态加密数据的装置，如下面的实施例所述。由于该装置解决问题的原理与图5所示的基于密钥库动态加密数据的方法相似，因此该装置的实施可以参见上述方法的实施，重复之处不再赘述。

图5为本发明实施例中提供的一种基于密钥库动态加密数据的装置示意图，如图5所示，该装置包括：数据加密规则配置模块51、密钥生成模块52和密钥下发模块53。

其中，数据加密规则配置模块51，用于配置数据加密规则，数据加密规则用于对如下应用数据执行加解密处理：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；密钥生成模块52，用于根据数据加密规则生成相应的加密程序和密钥文件；密钥下发模块53，用于根据应用间服务器或各个渠道应用服务器的数据处理请求，向应用间服务器或各个渠道应用服务器下发相应的加密程序和密钥文件，使得应用间服务器或各个渠道应用服务器根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理。

在一个实施例中，如图5所示，本发明实施例中提供的基于密钥库动态加密数据的装置还可以包括：密钥配置模块54，用于配置应用密钥参数信息，并根据配置的应用密钥参数信息，生成相应的密钥记录信息；第一数据加解密模块55，用于根据密钥记录信息，查询相应的加密程序和密钥文件，对应用数据执行加密或解密处理；密钥更新模块56，用于动态更新应用数据的密钥记录信息。

基于同一发明构思，本发明实施例中还提供了一种基于密钥库动态加密数据的方法，可以应用但不限于图1所示的渠道应用服务器3。

图6为本发明实施例中提供的又一种基于密钥库动态加密数据的方法流程图，如图6所示，该方法包括如下步骤：

S601，接收来自终端的数据处理请求；

S602，将接收到的数据处理请求直接发送至密钥库服务器或经应用间服务器发送至密钥库服务器，其中，密钥库服务器上存储有对应用数据执行加密或解密处理的加密程序和密钥文件，应用数据包括：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；

S603，接收密钥库服务器下发的加密程序和密钥文件；

S604，根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理；

S605，将数据加解密结果，发送至终端。

可选地，本发明实施例中的数据处理请求用于请求执行如下任意一种数据处理操作：验签、加密、密钥转换、生成摘要信息、下载加密程序和下载密钥文件。

本发明实施例中，通过预先配置加密算法、数据加密规则、应用间协议号等信息，能够根据当前接收到的数据处理请求，自动生成密钥、自动管理密钥，对敏感信息进行安全加密。

基于同一发明构思，本发明实施例中还提供了一种基于密钥库动态加密数据的装置，如下面的实施例所述。由于该装置解决问题的原理与图6所示的基于密钥库动态加密数据的方法相似，因此该装置的实施可以参见上述方法的实施，重复之处不再赘述。

图7为本发明实施例中提供的又一种基于密钥库动态加密数据的装置示意图，如图7所示，该装置包括：数据请求模块71、密钥请求模块72、密钥下载模块73、第二数据加解密模块74和数据加解密结果返回模块75。

其中，数据请求模块71，用于接收来自终端的数据处理请求；密钥请求模块72，用于将接收到的数据处理请求直接发送至密钥库服务器或经应用间服务器发送至密钥库服务器，其中，密钥库服务器上存储有对应用数据执行加密或解密处理的加密程序和密钥文件，应用数据包括：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；密钥下载模块73，用于接收密钥库服务器下发的加密程序和密钥文件；第二数据加解密模块74，并根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理；数据加解密结果返回模块75，用于将数据加解密结果，发送至终端。

下面，以银行客户账户密码动态加密为例，对本发明实施例进行详细说明。

假设主应用名称为F-ABC，关联应用名称为F-IJK，使用三个密钥进行交互，两个用于应用内，另一个用于应用间。如图8所示，包括：

S801，根据应用配置信息生成密钥：在进行应用间数据交互前，在密钥库服务器2配置模块21的参数录入单元中配置如下应用密钥参数信息，详见表2，其中work-key和primaty-key两条记录的密钥主要用于应用内部加密，因此关联应用名称与主应用名称一致，记为F-ABC。配置模块21密钥创建单元根据主应用名称、关联应用名称、应用间协议、密钥更新周期、密钥分量的值进行计算，由于各字段值的位数不足8位，系统自动对各个字段补齐至8位，同时系统再产生8位的随机数，最后以补齐全8位的主应用名称、关联应用名称、应用间协议、密钥更新周期、密钥分量和8位系统随机数进行与、或、非运算，生成密钥实体，对于不同应用，补位规则可根据应用需求进行配置，应用间互不影响。加密顺序字段值根据录入的加密算法，并结合算法表1生成相应的加密序号，例如加密算法sm4对应的加密顺序为02，加密算法null对应的加密顺序为null，表示这个密钥在密钥库服务器2上不用于加解密数据，加密算法ABC_1对应的加密顺序为M，ABC_1为自定义的加密算法，由于创建和生成记录的时间为同一天，因此记为2020-11-10，work-key和primaty-key记录的密钥更新周期为month，下次更新日期则为2020-12-10，keyboard-key记录的密钥更新周期为week，下次更新日期则为2020-11-17，最后work-key、primaty-key、keyboard-key生成的密钥记录详见表3。

表2应用密钥参数信息

表3密钥记录信息

S802，用户终端向应用请求密钥并下载到设备：终端4向渠道应用服务器3请求下载primaty-key密钥，请求的报文数据中包含密钥名称、主应用名称、关联应用名称、应用间协议和请求类型等关键字段，记为(primaty-key，F-ABC，F-ABC，primatykey,下载)，应用服务器3接收请求信息后对报文进行重新加工，向密钥库服务器2发送数据，密钥库服务器2处理模块22的数据接收单元获取数据后，判断报文的请求类型为“下载”，并通知处理模块22的数据处理单元应用需要下载密钥，处理模块22的数据处理单元将primaty-key，F-ABC，F-ABC，primatykey作为查询条件，在数据库中搜索相关记录，找到记录后将密钥实体字符串值kn+1ri9U41Q＝2rMkSjlmW+c＝按原请求路径返回终端4，终端4获取到密钥值后对其解密并根据终端4与设备的交互规则，将primaty-key的密钥设置到设备中，设备包括柜面渠道的密钥键盘、双屏等设备，自助设备的密码键盘、电子签名模块等设备，电子银行渠道的手机、PAD等设备。同样，终端4向渠道应用服务器3请求下载work-key密钥，并根据终端4与设备的交互规则，将work-key密钥设置到各渠道对应的设备中，对于客户输入的账户密码，可使用work-key密钥对其进行加密处理，由于设备使用的是硬加密，应用可以指定规则，例如密钥键盘可以采用国密算法SM4对客户账户密码进行加密。

对于表3的记录，密钥库服务器2的扫描模块23的记录扫描单元自动定时进行扫描，系统筛选出记录中存在下次更新日期等于当天日期的记录，生产需要密钥更新的结果集，并将结果集传递给扫描模块23记录更新单元，扫描模块23记录更新单元遍历结果集中的记录，每次取出每条记录的主应用名称、关联应用名称、应用间协议、密钥更新周期、密钥分量并生成系统随机数，将参数传递给配置模块21密钥创建单元，密钥创建单元重新生成密钥实体，配置模块21的第一记录更新单元将更新密钥的日志保存到系统后，并将执行结果返回给扫描模块23的第二记录更新单元，扫描模块23日志保存单元将扫描模块更新日志保存到系统中。

S803，主应用向密钥库请求密钥交换：终端4向自助设备发送指令，要求客户在自助设备的密钥键盘输入银行卡密码，设备端采用work-key密钥并使用国密算法SM4对银行卡密码进行加密，并将银行卡密码加密密文(假如为K)上送至终端4。终端4向渠道应用服务器3发送验证客户银行卡密码是否正确的请求，请求报文包含(K，work-key)，渠道应用服务器3接收到数据后，重新对数据加工处理，并生成work-key和应用间密钥交换的信息，生成报文数据为(K，解密，work-key，F-ABC，F-ABC，workkey,keyboard-key，F-ABC，F-IJK，keyboardkey，密钥交换)，并向密钥库服务器2发送请求，密钥库服务器2处理模块22数据接收单元对报文进行预处理，判断其请求类型为密钥交换，并将参数传递给处理模块22数据处理单元，数据处理单元根据(work-key，F-ABC，F-ABC，workkey)信息从表3查询得到work-key的密钥为wiBHXpUUL/s＝2rMkSjlmW+c＝，加密顺序为02，再查询表1，再得到算法为SM4，再根据请求参数“解密”，将密文K解密为明文L，在表3中查询(keyboard-key，F-ABC，F-IJK，keyboardkey)得到keyboard-key的密钥实体QduykNVsvDY＝2rMkSjlmW+c＝，和加密顺序M，再查询表1，再得到算法为ABC_1,系统对明文L使用密钥QduykNVsvDY＝2rMkSjlmW+c＝，采用算法ABC_1对进行加密，得到新的密文，数据加密过程在机器内存中进行。处理模块22数据发送单元对密文重新封装，并将结果返回到渠道应用服务器3。渠道应用服务器3接收到新密文后，再与客户信息、银行卡信息和人脸图像等信息组成新的报文向应用间服务器1发送请求，应用间服务器1可以是平台应用服务器或主机服务器。

S804，关联应用检验交换密文：假如应用间服务器1是主机服务器，当接收到渠道应用服务器3发送的请求后，按主机应用F-IJK与平台应用F-ABC约定的加解密规则，对银行卡密码的密文进行解密，再按主机对密码的校验规则进行校验，生成校验结果，一般情况下为提升主机和平台的交互效率，分别会在主机应用F-IJK和平台应用F-ABC环境部署两份密钥。

S805，交易结束：应用间服务器1将银行卡密码的校验结果返回给渠道应用服务器3，并原路返回终端4，终端4向设备发送指令，提示客户输入的银行卡密码是否正确，客户根据提示进行下一步操作。

基于同一发明构思，本发明实施例中还提供了一种计算机设备，用以解决现有技术中将密钥记录信息固化在程序代码中的密钥管理方法，存在灵活性差、容易出错且安全性低的技术问题，图9为本发明实施例中提供的一种计算机设备示意图，如图9所示，该计算机设备90包括存储器901、处理器902及存储在存储器901上并可在处理器902上运行的计算机程序，处理器902执行计算机程序时实现上述基于密钥库动态加密数据的方法。

基于同一发明构思，本发明实施例中还提供了一种计算机可读存储介质，用以解决现有技术中将密钥记录信息固化在程序代码中的密钥管理方法，存在灵活性差、容易出错且安全性低的技术问题，该计算机可读存储介质存储有执行上述基于密钥库动态加密数据的方法的计算机程序。

综上所述，本发明实施例中提供了一种基于密钥库动态加密数据的方法、装置、计算机设备及计算机可读存储介质，针对不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据，根据应用需求，在密钥库服务器中，灵活配置数据加密规则，并根据配置的数据加密规则生成相应的加密程序和密钥文件，以便应用间服务器或各个渠道应用服务器根据终端的数据处理请求，从密钥库服务器下载相应的加密程序和密钥文件，对应用中敏感数据执行加密或解密处理，能够实现动态加密数据的目的，提升系统安全性、减少运维成本，降低项目复杂度。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (15)

1.一种基于密钥库动态加密数据的系统，其特征在于，包括：应用间服务器、密钥库服务器、多个渠道应用服务器，以及与每个渠道应用服务器交互的终端；

其中，所述密钥库服务器，用于配置数据加密规则，根据所述数据加密规则生成相应的加密程序和密钥文件，所述数据加密规则用于对如下应用数据执行加解密处理：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；

所述应用间服务器，与所述密钥库服务器和各个渠道应用服务器分别通信，用于根据各个渠道应用服务器的数据处理请求，从所述密钥库服务器下载相应的加密程序和密钥文件，对应用数据执行加密或解密处理；

所述渠道应用服务器，与所述密钥库服务器通信，用于接收来自终端的数据处理请求，根据终端的数据处理请求，从所述密钥库服务器下载相应的加密程序和密钥文件，对应用数据执行加密或解密处理。

2.如权利要求1所述的系统，其特征在于，所述密钥库服务器包括：

配置模块，用于配置应用密钥参数信息，并根据配置的应用密钥参数信息，生成相应的密钥记录信息；

处理模块，用于根据所述密钥记录信息，查询相应的加密程序和密钥文件，对应用数据执行加密或解密处理；

扫描模块，用于动态更新应用数据的密钥记录信息。

3.如权利要求2所述的系统，其特征在于，所述配置模块包括：

参数录入单元，用于录入配置的应用密钥参数信息；

密钥创建单元，用于根据录入的应用密钥参数信息，创建密钥记录信息；

第一记录更新单元，用于保存密钥记录信息。

4.如权利要求2所述的系统，其特征在于，所述处理模块包括：

数据接收单元，用于接收来自渠道应用服务器或应用间服务器的数据处理请求；

数据处理单元，用于根据所述数据处理请求，执行相应的数据处理；

数据发送单元，用于将数据处理结果发送至渠道应用服务器或应用间服务器。

5.如权利要求2所述的系统，其特征在于，所述扫描模块包括：

记录扫描单元，用于扫描应用数据的密钥记录信息；

第二记录更新单元，用于更新应用数据的密钥记录信息；

日志保存单元，用于保存更新密钥记录信息的日志信息。

6.一种基于密钥库动态加密数据的方法，其特征在于，应用于密钥库服务器，该方法包括：

配置数据加密规则，所述数据加密规则用于对如下应用数据执行加解密处理：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；

根据所述数据加密规则生成相应的加密程序和密钥文件；

根据应用间服务器或各个渠道应用服务器的数据处理请求，向应用间服务器或各个渠道应用服务器下发相应的加密程序和密钥文件，使得应用间服务器或各个渠道应用服务器根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理。

7.如权利要求6所述的方法，其特征在于，所述方法还包括：

配置应用密钥参数信息，并根据配置的应用密钥参数信息，生成相应的密钥记录信息；

根据所述密钥记录信息，查询相应的加密程序和密钥文件，对应用数据执行加密或解密处理；

动态更新应用数据的密钥记录信息。

8.如权利要求7所述的方法，其特征在于，所述应用密钥参数信息包括：密钥名称、第一应用名称、第二应用名称、应用间协议信息、密钥更新周期、加密算法的索引信息、密钥分量；所述密钥记录信息包括：密钥名称、密钥实体、第一应用名称、第二应用名称、应用间协议信息、密钥更新周期、加密算法的索引信息、密钥创建日期、密钥修改日期、密钥下次更新日期；其中，第一应用为创建密钥的主应用，第二应用为与主应用交互的关联应用。

9.一种基于密钥库动态加密数据的方法，其特征在于，应用于渠道应用服务器，该方法包括：

接收来自终端的数据处理请求；

将接收到的数据处理请求直接发送至密钥库服务器或经应用间服务器发送至密钥库服务器，其中，所述密钥库服务器上存储有对应用数据执行加密或解密处理的加密程序和密钥文件，所述应用数据包括：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；

接收所述密钥库服务器下发的加密程序和密钥文件；

根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理；

将数据加解密结果，发送至所述终端。

10.如权利要求9所述的方法，其特征在于，所述数据处理请求用于请求执行如下任意一种数据处理操作：验签、加密、密钥转换、生成摘要信息、下载加密程序和下载密钥文件。

11.一种基于密钥库动态加密数据的装置，其特征在于，包括：

数据加密规则配置模块，用于配置数据加密规则，所述数据加密规则用于对如下应用数据执行加解密处理：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；

密钥生成模块，用于根据所述数据加密规则生成相应的加密程序和密钥文件；

密钥下发模块，用于根据应用间服务器或各个渠道应用服务器的数据处理请求，向应用间服务器或各个渠道应用服务器下发相应的加密程序和密钥文件，使得应用间服务器或各个渠道应用服务器根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理。

12.如权利要求11所述的装置，其特征在于，所述装置还包括：

密钥配置模块，用于配置应用密钥参数信息，并根据配置的应用密钥参数信息，生成相应的密钥记录信息；

第一数据加解密模块，用于根据所述密钥记录信息，查询相应的加密程序和密钥文件，对应用数据执行加密或解密处理；

密钥更新模块，用于动态更新应用数据的密钥记录信息。

13.一种基于密钥库动态加密数据的装置，其特征在于，包括：

数据请求模块，用于接收来自终端的数据处理请求；

密钥请求模块，用于将接收到的数据处理请求直接发送至密钥库服务器或经应用间服务器发送至密钥库服务器，其中，所述密钥库服务器上存储有对应用数据执行加密或解密处理的加密程序和密钥文件，所述应用数据包括：不同渠道应用服务器间交互的数据、同一渠道应用服务器内交互的数据；

密钥下载模块，用于接收所述密钥库服务器下发的加密程序和密钥文件；

第二数据加解密模块，并根据接收到的加密程序和密钥文件，对应用数据执行加密或解密处理；

数据加解密结果返回模块，用于将数据加解密结果，发送至所述终端。

14.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求6至10任一项所述基于密钥库动态加密数据的方法。

15.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有执行权利要求6至10任一项所述基于密钥库动态加密数据的方法的计算机程序。

Images