CN113392413A

CN113392413A - 一种数据安全存储方法、装置、系统和存储介质

Info

Publication number: CN113392413A
Application number: CN202110578610.XA
Authority: CN
Inventors: 施建龙
Original assignee: Yici Netlink Hangzhou Technology Co ltd
Current assignee: Yici Netlink Hangzhou Technology Co ltd
Priority date: 2021-05-26
Filing date: 2021-05-26
Publication date: 2021-09-14

Abstract

本申请公开了一种数据安全存储方法、装置、系统和存储介质，该方法包括：当接收到请求方发送的数据存储请求时，校验请求方的身份验证信息；若校验通过，则与请求方协商密钥，生成目标密钥；当请求方利用目标密钥对目标存储数据进行加密后，接收加密后的目标存储数据，并存储加密后的目标存储数据。该方法能够在可信通信的基础上，既实现了双方通信的通信可信性，又能够实现数据的安全存储，同时提高了数据的安全传输存储速率，避免了相关技术中仅能够实现通信双方的可信通信，并不能实现数据的安全存储，或是为了实现数据的安全存储，导致必须提高算力成本，同时降低了传输速率较高的缺陷。

Description

一种数据安全存储方法、装置、系统和存储介质

技术领域

本申请涉技术领域，特别涉及一种数据安全存储方法、装置、系统、电子设备和计算机可读存储介质。

背景技术

如今网络安全技术已经成为网络环境中的一项必不可少的关键技术，任何网站、产品、设备的设计都会针对安全进行细致考究，在当前网络通讯的场景下，一般的安全技术都是考虑如何防止网络设备被攻击，进而保护网络通信背后的数据。

相关技术中，为了保证双方的通信可信度，采用可信通信协议进行数据传输，但是标准的可信通信协议仅能够实现通信双方的通讯可靠性，并不能实现数据的安全存储，例如，发送方仅利用可信通信协议发送存储数据，但是并不关心后续的数据存储问题，存在数据存储可能为明文的情况；或者在标准的安全通信协议下，通常通讯设备对想要存储的数据进行加密得到加密数据，发送给存储设备，存储设备会首先将加密数据进行解密(标准安全通信协议解决的是数据如何从一端安全的传输到另一端，整个协议是被标准封装的，因此调用方一般是不会去修改标准封装，导致数据存储前已经被解密或者数据传输后交给存储体的应用程序处理)，然后在存储端再进行加密存储，算力成本较高，且数据传输速率相对较低。

发明内容

本申请的目的是提供一种数据安全存储方法、装置、系统、电子设备和计算机可读存储介质，能够在可信通信的基础上，既实现了双方通信的通信可信性，又能够实现数据的安全存储，同时提高了数据的安全传输存储速率。其具体方案如下：

第一方面，本申请公开了一种数据安全存储方法，应用于存储设备，包括：

当接收到请求方发送的数据存储请求时，校验所述请求方的身份验证信息；

若校验通过，则与所述请求方协商密钥，生成目标密钥；

当所述请求方利用所述目标密钥对目标存储数据进行加密后，接收加密后的目标存储数据，并存储所述加密后的目标存储数据。

可选的，在所述存储所述加密后的目标存储数据之后，还包括：

利用预先约定的用户密钥对所述目标密钥进行加密，生成加密目标密钥，并存储所述加密目标密钥。

可选的，在所述与所述请求方协商密钥，生成目标密钥之前，还包括：

当接收到所述请求方发送的验证所述存储设备是否真实的请求时，所述存储设备发送验证数据至所述请求方；

当所述请求方根据所述验证数据确定所述存储设备真实时，执行所述与所述请求方协商密钥，生成目标密钥的步骤。

可选的，所述与所述请求方协商密钥，生成目标密钥，包括：

与所述请求方协商对称密钥，生成对称密钥，并将所述对称密钥作为所述目标密钥。

利用ECDH算法协商对称密钥，生成目标对称密钥，并将所述目标对称密钥作为所述目标密钥。

可选的，在所述与所述请求方协商密钥，生成目标密钥之后，还包括：

与所述请求方利用密钥派生算法进行协商，生成所述目标密钥的派生密钥。

第二方面，本申请公开了一种数据安全存储装置，应用于存储设备，包括：

校验模块，用于当接收到请求方发送的数据存储请求时，校验所述请求方的身份验证信息；

生成模块，用于若校验通过，则与所述请求方协商密钥，生成目标密钥；

存储模块，用于当所述请求方利用所述目标密钥对目标存储数据进行加密后，接收加密后的目标存储数据，并存储所述加密后的目标存储数据。

第三方面，本申请公开了一种数据安全存储系统，包括：

通讯设备，用于发送数据存储请求至存储设备，与所述存储设备协商密钥；利用生成的目标密钥对目标存储数据进行加密，将得到的加密后的目标存储数据发送至所述存储设备；

所述存储设备，用于执行如上述数据安全存储方法的步骤。

第四方面，本申请公开了一种电子设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如上述数据安全存储方法的步骤。

第五方面，本申请公开了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述数据安全存储方法的步骤。

本申请提供一种数据安全存储方法，应用于存储设备，包括：当接收到请求方发送的数据存储请求时，校验所述请求方的身份验证信息；若校验通过，则与所述请求方协商密钥，生成目标密钥；当所述请求方利用所述目标密钥对目标存储数据进行加密后，接收加密后的目标存储数据，并存储所述加密后的目标存储数据。

可见，本申请中在能够在可信通信协议的基础上，实现存储数据的安全可信存储，并且由于存储设备在接收到请求方发送的加密后的目标存储数据后，直接将该加密的目标存储数据存储起来，并未进行解密，即存储设备方减少了一次解密过程，能够有效提高数据的安全传输存储的速率，避免了相关技术中仅能够实现通信双方的可信通信，并不能实现数据的安全存储，或是为了实现数据的安全存储，采用标准通讯协议，导致算力成本较高，且数据传输速率相对较低的缺陷，本申请能够在可信通信的基础上，既实现了双方通信的通信可信性，又能够实现数据的安全存储，同时提高了数据的安全传输存储速率。本申请同时还提供了一种数据安全存储装置、系统、电子设备和计算机可读存储介质，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例所提供的一种数据安全存储方法的流程图；

图2为本申请实施例所提供的一种通信设备与存储设备的交互示意图；

图3为本申请实施例所提供的一种数据安全存储装置的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

当前在网络环境中，要么采用通讯安全手段来加强设备、产品、网络被攻破的成本，要么提高设备算力，在通信网络后再进行安全加密数据，同时配套各类安全加密设备实现数据的加密(这种方式通常还需要很多的专业人员维护才能保证数据正常)；还有，为了不保证双方的通信可信度，采用可信通信协议进行数据传输，但是标准的可信通信协议仅能够实现通信双方的通讯可靠性，并不能实现数据的安全存储。以上方式在算力有限且成本规划有限的情况下，完全无法达到。基于上述技术问题，本实施例提供一种数据安全存储方法，能够在可信通信的基础上，既实现了双方通信的通信可信性，又能够实现数据的安全存储，同时提高了数据的安全传输存储速率，具体请参考图1，图1为本申请实施例所提供的一种数据安全存储方法的流程图，具体包括：

S101、当接收到请求方发送的数据存储请求时，校验请求方的身份验证信息。

本实施例的执行主体为存储设备。本实施例并不限定存储设备的具体设备，可以是手机，可以是服务器，还可以是其他类型的存储设备。同样的，本实施例也不限定请求方的具体对象，可以是手机，可以是电脑，还可以是其他存储设备。本实施例是在可信通信协议的基础上进行的数据安全存储，当接收到请求方发送的数据存储请求时，存储设备校验请求方的身份验证信息。若校验通过时，才执行步骤S102；否则，不执行后续步骤，还可以发送拒绝该请求方的数据存储请求的信息。本实施例并不限定数据存储请求的具体内容，可以包含想要存储的数据，或者为单纯的数据存储触发指令，可根据实际情况进行设定。本实施例并不限定身份验证信息的具体内容，根据具体的验证方式而定，例如，若采用第三方证书机构颁发证书(可以是请求方与存储设备的制造者，请求方和存储设备都信任第三方证书机构)的方式，那么身份验证信息可以是第三方认证证书；若采用短信验证码的方式，那么身份验证信息可以是输入获取到的短信验证码。

S102、若校验通过，则与请求方协商密钥，生成目标密钥。

本实施例中当存储设备校验请求方的身份验证信息通过后，即可与请求方进行密钥协商。可以理解的是，本实施例中可以仅采用单向认证，即仅进行存储设备校验请求方的过程，还可以采用双方认证的方式，即存储设备验证请求方的身份信息，请求方还进行验证存储设备是否真实的过程。

在一种具体的实施例中，为了有效提高通信可靠性，本实施例中在与请求方协商密钥，生成目标密钥之前，还可以包括：

当接收到请求方发送的验证存储设备是否真实的请求时，存储设备发送验证数据至请求方；

当请求方根据验证数据确定存储设备真实时，执行与请求方协商密钥，生成目标密钥的步骤。

即本实施例在存储设备校验请求方的身份验证信息通过后，请求方还发送验证存储设备是否真实的请求，存储设备接收到该请求时，发送验证数据给请求方。同样的，本实施例也不限定验证数据的具体内容，可根据具体的双向认证的方式而定。当请求方根据接收到的验证数据确定存储设备真实可靠时，才执行与请求方协商密钥，生成目标密钥的步骤。即本实施例通过双向认证的方式，即在存储设备验证请求方的身份验证信息通过后，请求方还验证了存储设备是否真实，能够有效提高通信可靠性。

本实施例并不限定请求方与存储设备进行密钥协商的密钥类型，可以是协商对称密钥，也可以是非对称密钥，只要能够实现加解密即可。在一种具体的实施例中，为了提高数据传输的效率，本实施例中与请求方协商密钥，生成目标密钥，可以包括：

与请求方协商对称密钥，生成对称密钥，并将对称密钥作为目标密钥。

即本实施例中请求方与存储设备进行对称密钥协商，即利用可信途径相互约定对称密钥实现双方的加密通讯，生成了对称密钥，该对称密钥作为目标密钥。

本实施例也不限定对称密钥协商的具体算法。在一种具体的实施例中，与请求方协商密钥，生成目标密钥，可以包括：

利用ECDH算法协商对称密钥，生成目标对称密钥，并将目标对称密钥作为目标密钥。

即本实施例中采用ECDH算法(elliptic curves Diffie-Hellman，密钥协商算法)协商对称密钥，直接可信验证后通过可信证书加密方式发送随机数等方式。

进一步的，为了有效提高数据存储的安全性，本实施例在与请求方协商密钥，生成目标密钥之后，还可以包括：

与请求方利用密钥派生算法进行协商，生成目标密钥的派生密钥。

可以理解的是，在请求方与存储设备进行一次数据交互，协商生成了对称密钥，例如对称密钥C，后续双方每交互一次，各自可以利用密钥派生算法通过对称密钥C派生对称密钥D、E、F等，这样做的好处是即使某一次交互被破解，黑客只能知道破解后的交互内容，破解前的内容看不到，能够有效提高数据存储的安全性。本实施例并不限定具体的密钥派生算法，可以是KDF算法(key derivate function)，还可以是其他类型的密钥派生算法。

S103、当请求方利用目标密钥对目标存储数据进行加密后，接收加密后的目标存储数据，并存储加密后的目标存储数据。

当请求方与存储设备进行密钥协商，生成了目标密钥后，请求方即可利用该目标密钥对想要存储的数据即目标存储数据进行加密，然后存储设备接收该加密后的目标存储数据，并进行存储。

在一种具体的实施例中，为了进一步提高数据的加密特性，本实施例在存储加密后的目标存储数据之后，还可以包括：

利用预先约定的用户密钥对目标密钥进行加密，生成加密目标密钥，并存储加密目标密钥。

本实施例中存储设备利用预先约定的用户密钥对双方协商生成的目标密钥进行加密。本实施例中的预先约定的用户密钥为请求方与存储设备商定的额外的用户密钥，可以是在请求方登录存储设备时生成得到，也可以是其他方式。可以理解的是，预先约定的用户密钥会一直存储在存储设备的内存中，不会在存储设备中以数据形式落盘，因为以数据形式存储存储设备一旦断电或者重启会该用户密钥就会消失。本实施例中利用预先约定的用户密钥对目标密钥进行加密，若需要使用存储设备中的数据，必须要经过可信的用户输入特定的即预先约定的用户密钥才能实现数据的可用，恶意个人即使是盗取存储设备并将存储体直接拿出来读取也是读到密文数据。本实施例并不限定用户密钥对目标密钥进行加密生成的加密目标密钥的具体位置，可以是与加密后的目标存储数据放在一起，也可以分开放置，只要能够找到该加密目标密钥即可。本实施例采用用户密钥将协商密钥进行加密与数据一同保存，保证数据的加密特性(单纯拿到存储设备无法解密数据)，同时保证数据只能由拥有者即请求方解密。

基于上述技术方案，本实施例在能够在可信通信协议的基础上，实现存储数据的安全可信存储，并且由于存储设备在接收到请求方发送的加密后的目标存储数据后，直接将该加密的目标存储数据存储起来，并未进行解密，即存储设备方减少了一次解密过程，能够有效提高数据的安全传输存储的速率。

以下提出一种具体的可信通信协议下的数据安全存储方法。实现了直接从数据保护进行辐射分析，进而利用可信通信的安全通讯模式，在不增加当前通用安全协议算力要求下实现数据在存储前直接被加密的方法，进而在后续的使用中，即使设备、产品或者网站等被直接攻破后，即使拿到存储的数据也是无法直接获得数据明文，进而实现保护数据。

在可信通信协议下，通讯必然存在两方及以上角色，假设存在可信安全通讯双方为A和B，A和B可以是通讯设备，存储设备等。若A为通讯设备，B为存储设备，A需要将数据以通讯方式存储到B(非直接拷贝方式)中进行保存，在不增加安全通讯的算力和成本情况下，实现存储到B中的数据完全可信加密，即使拿到存储设备B，导出来的数据也是加密密文，对于恶意人员来说并无用处。图2为本实施例提供的一种通信设备与存储设备的交互示意图，以下为具体步骤：

1、A希望将数据存储到B中，A首先发送要存储数据的信令给B；即对应请求方(A)发送数据存储请求至存储设备(B)；

2、B收到A的存储信令即数据存储请求，需要确认A的身份，可采用第三方证书机构颁发证书的方式实现；

3、A按照要求发送自己的验证数据给B，B验证A的信息是否可信，不可信，B拒绝A的存储需求；

4、A同时要求验证B是否真实，A同样要求B发送验证其自身的验证数据；

5、B按照要求发送验证数据给A，A验证B的信息是否可信，若不可信，A不再继续发送要存储的数据即目标存储数据；

6、在可信通信前提下，相关技术的通讯方式是利用可信途径相互约定对称密钥实现双方的加密通讯，本实施例将该部分相互约定对称密钥的逻辑(通常是安全协议的一部分)挪到具体业务逻辑中，由业务逻辑实现A和B协商，对称密钥C即目标密钥(比如ECDH算法协商，直接可信验证后通过可信证书加密方式发送随机数等方式)；

7、业务逻辑上协商对称密钥C后，A通过协商的对称密钥C直接将数据X即目标存储数据进行加密得到X’，并传输给B；

8、相关技术中B会通过协商的对称密钥C解密A传输的数据密文X’，然后交付给上层业务进行上层逻辑处理；而本实施例中的B将收到的加密数据X’直接存储到B的存储体中，并不解密该数据；

9、A与B在其他业务逻辑中会商定额外的用户密钥a即预先约定的用户密钥，用户密钥a一直保存在B的内存中，用户密钥a不会在B中以数据形式落盘(一旦断电或者重启会消失)；B通过其他逻辑商议的用户密钥a将上述协商的对称密钥C进行加密得到加密密钥的密文C’即加密目标密钥；

10、B同时会将加密密钥的密文C’以特定格式与加密数据X’保存在一起，完成数据存储。

通过上述步骤，实现了数据存储全为密文，即存储在B中的数据都是经过加密的密文数据；同时将协商密钥C加密后以特定格式与密文数据保存在一块；若需要使用存储设备B中的数据，必须要经过可信的用户输入特定的用户密钥a才能实现数据的可用，恶意个人即使是盗取设备并将存储体直接拿出来读取也是读到密文数据；通过将常用的安全通讯协议即可信通信协议的加密过程挪到业务层，并且在接收方处去除解密环节，加入加密协商密钥保存的方式实现了不增加算力即实现存储数据的加密需求。

基于上述技术方案，移除了通用安全协议对称加密环节，将其加入到业务层，保持发送数据端的基本逻辑不变，去除存储端解密能力，从实际效果看减少了一次存储端的数据解密过程(当然有增加一步协商密钥的加密过程，但是密钥大小本身远小于数据大小)，同样的安全传输过程速度会更快；并且增加了协商密钥的持久化能力(与数据共同存在消失)，通常协商密钥一次交互完成后就会丢弃这个协商密钥；采用用户密钥将该协商密钥进行加密与数据一同保存，保证数据的加密特性(单纯拿到存储设备无法解密数据)，同时保证数据可以由拥有者即通信设备A解密。

下面对本申请实施例提供的一种数据安全存储装置进行介绍，下文描述的数据安全存储装置与上文描述的数据安全存储方法可相互对应参照，相关模块均设置于中，参考图3，图3为本申请实施例所提供的一种数据安全存储装置的结构示意图，包括：

在一些具体的实施例中，具体包括：

校验模块301，用于当接收到请求方发送的数据存储请求时，校验请求方的身份验证信息；

生成模块302，用于若校验通过，则与请求方协商密钥，生成目标密钥；

存储模块303，用于当请求方利用目标密钥对目标存储数据进行加密后，接收加密后的目标存储数据，并存储加密后的目标存储数据。

在一些具体的实施例中，还包括：

加密目标密钥模块，用于利用预先约定的用户密钥对目标密钥进行加密，生成加密目标密钥并存储设备存储加密目标密钥。

在一些具体的实施例中，还包括：

验证模块，用于当接收到请求方发送的验证存储设备是否真实的请求时，存储设备发送验证数据至请求方；

第一生成单元，用于当请求方根据验证数据确定存储设备真实时，执行与请求方协商密钥，生成目标密钥的步骤。

在一些具体的实施例中，生成模块302，包括：

第二生成单元，用于与请求方协商对称密钥，生成对称密钥，并将对称密钥作为目标密钥。

在一些具体的实施例中，生成模块302，包括：

第三生成单元，用于利用ECDH算法协商对称密钥，生成目标对称密钥，并将目标对称密钥作为目标密钥。

在一些具体的实施例中，还包括：

派生密钥模块，用于与请求方利用密钥派生算法进行协商，生成目标密钥的派生密钥。

由于数据安全存储装置部分的实施例与数据安全存储方法部分的实施例相互对应，因此数据安全存储装置部分的实施例请参见数据安全存储方法部分的实施例的描述，这里暂不赘述。

本申请还公开一种数据安全存储系统，包括：

通讯设备，用于发送数据存储请求至存储设备，与存储设备协商密钥；利用生成的目标密钥对目标存储数据进行加密，将得到的加密后的目标存储数据发送至存储设备；

存储设备，用于执行如上述数据安全存储方法的步骤。

由于数据安全存储系统部分的实施例与数据安全存储方法部分的实施例相互对应，因此数据安全存储系统部分的实施例请参见数据安全存储方法部分的实施例的描述，这里暂不赘述。

下面对本申请实施例提供的一种电子设备进行介绍，下文描述的电子设备与上文描述的数据安全存储方法可相互对应参照。

本申请还公开一种电子设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行计算机程序时实现如上述数据安全存储方法的步骤。

由于电子设备部分的实施例与数据安全存储方法部分的实施例相互对应，因此电子设备部分的实施例请参见数据安全存储方法部分的实施例的描述，这里暂不赘述。

下面对本申请实施例提供的一种计算机可读存储介质进行介绍，下文描述的计算机可读存储介质与上文描述的数据安全存储方法可相互对应参照。

本申请还公开一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现如上述数据安全存储方法的步骤。

由于计算机可读存储介质部分的实施例与数据安全存储方法部分的实施例相互对应，因此计算机可读存储介质部分的实施例请参见数据安全存储方法部分的实施例的描述，这里暂不赘述。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本申请所提供的一种数据安全存储方法、装置、系统、电子设备及计算机可读存储介质进行了详细介绍。本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

Claims

1.一种数据安全存储方法，其特征在于，应用于存储设备，包括：

若校验通过，则与所述请求方协商密钥，生成目标密钥；

2.根据权利要求1所述的数据安全存储方法，其特征在于，在所述存储所述加密后的目标存储数据之后，还包括：

3.根据权利要求1所述的数据安全存储方法，其特征在于，在所述与所述请求方协商密钥，生成目标密钥之前，还包括：

4.根据权利要求1所述的数据安全存储方法，其特征在于，所述与所述请求方协商密钥，生成目标密钥，包括：

5.根据权利要求4所述的数据安全存储方法，其特征在于，所述与所述请求方协商密钥，生成目标密钥，包括：

6.根据权利要求1至5任一项所述的数据安全存储方法，其特征在于，在所述与所述请求方协商密钥，生成目标密钥之后，还包括：

7.一种数据安全存储装置，其特征在于，应用于存储设备，包括：

8.一种数据安全存储系统，其特征在于，包括：

所述存储设备，用于执行如权利要求1至6任一项所述数据安全存储方法的步骤。

9.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至6任一项所述数据安全存储方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述数据安全存储方法的步骤。