CN113449345A - 一种由微处理器实现的用于保护数据的方法及系统 - Google Patents

Abstract

一种由微处理器实现的用于保护数据的方法，从用户接收认证串作为输入，用于认证所述用户访问应用；在认证时从所述用户获得所述数据以用于保护所述数据，其中所述保护包括加密所述数据，加密生成加密数据和私钥；将所述认证串与所述私钥相关联以生成第一安全密钥；将所述加密数据存储在数据文件中，其中所述第一安全密钥与所述加密数据一起存储在所述数据文件内；以及由所述微处理器将所述数据文件传输到与用于加密所述数据文件的所述应用程序相关联的应用程序服务器，所述数据文件的所述加密产生第二安全密钥。

Description

一种由微处理器实现的用于保护数据的方法及系统

技术领域

本发明涉及一种数据安全方法及系统。

背景技术

今天的数字世界，每天在通信网络上生成、存储和传输大量数据。数据可以包括机密信息，例如信用卡号、联系号码、财务详细资料、个人信息，商业信息，以及技术信息。因此，使用各种数据安全方法来降低未授权数据访问和使用的可能性。加密或密码术是一种这样的方法，其有助于保护存储在系统中的数据或传输中的数据。加密的使用使得能够以称为密文的形式转换数据，例如明文，该密文不能被未授权用户容易地读取。当需要时，密文可以通过解密被转换成原始明文。

通常，加密是通过使用密码算法来实现的，该密码算法实质上是数学函数。诸如对称和非对称算法的常用密码算法需要知道被称为密钥的可变信息以解密密文。这些密钥或者通过单独的信道被传送到预期的接收者，或者已经作为私钥与预期的用户一起存在。私钥的持有者将能够解密加密的数据。由于可能存在攻击私钥的尝试，因此承载者在处理私钥时需要小心，从而对加密数据造成安全威胁。

发明内容

本申请描述了用于通过基于用户输入的数据加密来保护数据的系统和方法。在本发明的一个方面，该方法可以包括从用户接收认证串以认证对应用的访问。在对用户进行成功的认证时，从用户获得要保护的数据。然后，通过加密来保护所获得的数据，这导致生成私钥。然后将私钥与认证串相关联以形成第一安全密钥。第一安全密钥与加密数据一起存储在数据文件中。然后，将数据文件传送到与应用相关联的服务器。服务器中的数据文件被进一步加密以生成第二安全密钥。

所述系统和方法可以在各种通信设备中实现，诸如膝上型计算机、平板计算机、服务器、数据库和智能电话。尽管这里的描述是参考某些通信设备，但是该系统和方法可以在其它电子设备中实现，虽然有一些变化，如本领域技术人员将理解的。传统上，为了保护数据，数据的加密通过对称或非对称加密算法机制来实现。对称加密机制涉及生成单个私钥，该私钥被传送给想要访问加密信息的用户。非对称加密机制涉及通过公共密钥加密数据，并且加密的数据可以由预期的接收者通过对应于公共密钥的私有密钥来解密。然而，上述加密方法很慢，并且受到不同的安全性疏忽。例如，非对称加密机制涉及不同用户之间的通信，以共享用于对加密消息进行解密的私钥。这种通信可以在网络上发生，并且可能是不安全的，这可能导致私钥的公开。此外，这种在不安全网络上传送私钥的做法易于发生数据盗用和不道德的黑客攻击，这可能危及加密数据的安全性。此外，密码算法也可能受到黑客的攻击，例如暴力攻击，其中黑客可以尝试用于解密受保护的数据的密钥的所有可能的组合。不同类型的密码算法提供不同强度的数据安全性。两种最流行的加密算法是高级加密标准(AES)和Rivest、Shamir和Adleman(RSA)。AES是具有固定密钥长度的对称算法。RSA是一种可以用于加密和数字签名的公钥或不对称算法。DSA(数字签名算法)是另一种流行的公钥算法，其仅用于数字签名。利用这些算法中的任何一种，通过用强力攻击猜测密钥来破解加密消息的相对难度与密钥的长度成正比。例如，如果密钥是40位长，则可能的密钥(240)的总数约为110十亿。给定现代计算机的计算能力，该值通常被认为是不适当的。此外，私钥在传输中被公开或丢失的风险仍然存在，因此它不是完全的证明保护。由于产生公私密钥匹配的计算能力的增加，以及随着数据盗窃和非法黑客攻击威胁的增加，正在开发用于数据保护的附加安全加密机制。由于加密机制中的安全性以密钥为中心，开发具有增强安全性的过程的方式之一是增加密钥的强度，并且当密钥在运输中或在系统中时保护密钥不受数据盗窃或黑客攻击。

公开了用于通过基于用户输入的加密来保护数据的各种实现、系统和方法。数据可以是电子邮件、文本文件、数据表、电子表格、多媒体数据等的形式。此外，数据可以保存在通信设备上，例如计算机，PDA、移动电话、膝上型计算机、平板计算机、服务器和数据库。在一个实施例中，用户可以通过提供认证串来访问在通信设备上配置的应用。认证串可以被理解为用于认证用户并允许访问应用的输入。认证串可便于认证用户以访问应用。在一种实现方式中，认证串可以是用户的登录凭证，其用于访问应用。或者，认证串可以是用于访问通信设备的密码。在一个实现中，认证串可以是系统生成的口令。一旦被访问，用户就可以通过加密来选择用于保护的数据。在一种实现中，用户可以手动输入数据，诸如电子邮件应用中的文本，通过配置在通信设备上的应用程序进行加密。显然，可以从任何其它存储设备，诸如闪存驱动器、移动电话、硬盘驱动器、光盘、服务器和通信设备的主机，检索要加密的数据。或者，可以从数据中选择性地挑选数据集以在通信设备中进行加密。例如，可以通过本领域公知的技术将数据从不同的数据文件导出到一个公共数据文件。这种公共数据文件将包含本主题要保护的所有数据。然后，通信设备可以将待加密的数据存储在其存储器中。通信设备可以加密数据，这导致生成私钥。此外，可以使用非对称加密技术来加密数据。例如，应用程序可以使用RSA算法来加密数据，以便生成公钥和私钥的组合。或者，加密可以通过对称加密技术来完成。在一个实现中，应用使用AES对称算法来加密数据。

此外，由于加密而生成的私钥然后与认证串相关联以在通信设备中生成第一安全密钥。在一个实现中，将私钥与认证串级联以生成第一安全密钥。在另一实现中，私钥和认证串可以被置换以生成第一安全密钥。例如，私钥的字符和认证串的字符可以被线性组合以形成第一安全密钥。此后，加密数据和第一安全密钥可以存储在公共数据文件中。例如，第一安全密钥被附加到包含加密数据的数据文件。或者，将第一安全密钥与包含加密数据的数据文件合并。

加入的方法，将包含加密数据和第一安全密钥的数据文件上载到服务器。服务器可以位于远程或本地。一旦被传送到服务器，数据文件就被进一步加密以增强安全性，从而生成第二安全密钥。第二安全密钥可以被理解为可以作为RSA加密算法的结果而生成的私钥。在一个实现中，使用非对称加密技术来生成第二安全密钥。在另一实现中，安全密钥由对称加密机制生成。因此，加密的数据文件与第二安全密钥一起被存储在服务器处。此外，用户可以借助于诸如通信设备之类的设备来访问加密的数据文件。用户可以提供用于访问服务器的输入。输入可以是用于访问服务器的用户证书。可以理解，用户可以通过应用程序访问服务器。一旦被访问，用户可以提供用于访问加密的数据文件的第二安全密钥。服务器可以将从用户接收的第二安全密钥与存储在服务器内的第二安全密钥进行匹配，以验证用户的真实性。如果用户提供的第二安全密钥与存储在服务器中的第二安全密钥匹配，则可以在通信设备上下载加密的数据文件。

加密数据文件可以包括加密数据和第一安全密钥。为了解密数据，用户可能需要提供第一安全密钥，该第一安全密钥利用存储在加密数据文件内的第一安全密钥得到验证。在成功验证之后，加密的数据文件被解密并下载到通信设备。因此，本发明主题通过提供数据的双重加密而有助于保护数据。通过组合认证串和私钥来生成第一安全密钥可以确保保护数据免受黑客的侵害。本主题还提供了防止从网络中窃取私钥的安全性，这损害了数据的安全性。而且，本发明主题确保第一安全密钥不会丢失，并且服务器中的黑客不容易追踪，因为第一安全密钥和加密数据不位于单独的文件中。将结合以下附图更详细地描述本主题的这些和其它优点。尽管所描述的用于基于用户输入的加密的系统和方法的各方面可以在任何数量的不同计算系统中实现，环境和/或配置，在以下示例性系统的上下文中描述实施例。

附图说明

图1示出了根据本主题的实施例的基于用户输入的数据安全系统的网络环境实现；

图2示出了根据本发明主题的实施例的基于用户输入的数据安全系统；

图3示出了用于在服务器中上传加密数据的同时基于用户输入的数据加密的方法，依照本主题的实施例；

图4示出了根据本发明主题的实施例的用于对通过基于用户输入的加密而保护的数据进行解密的方法。

具体实施方式

图1示出了根据本发明主题的实施例的实现数据安全系统102的网络环境100。在网络环境100中，数据安全系统102连接到网络104。此外，一伺服器106及一或多个通讯装置108-1，108-2，...108，108-N，数据安全系统102也可以实现为连接到网络104的任何计算设备。在一个示例中，数据安全系统102可以被实现为大型计算机、工作站、个人计算机、多处理器系统、膝上型计算机、网络计算机、小型计算机、服务器等。此外，数据安全系统102可以包括多个服务器，以便为用户执行镜像任务，从而减轻拥塞或最小化流量。此外，数据安全系统102可以通过网络104连接到通信装置108。客户机设备108的示例包括但不限于个人计算机、智能电话、PDA和膝上型计算机。通信设备108和数据安全系统102之间的通信链路通过期望形式的连接来实现，例如，经由拨号调制解调器连接、电缆链路、数字用户线(DSL)、无线或卫星链路、或任何其他合适形式的通信。在一个实现中，数据安全系统102可以被提供在通信设备108的内部。以这种方式，数据安全系统102的功能可以与通信装置108的功能一起提供。

一个实施例，数据安全系统102可以与存储装置连接，例如闪存驱动器、硬盘驱动器、电话存储器、服务器和大型机。在另一个实施方式中，数据安全系统102可以包括从所述存储设备接收的数据。

此外，网络104可以是无线网络、有线网络或其组合。网络104还可以是单独的网络或许多这样的单独网络的集合，这些单独网络彼此互连并且用作单个大型网络，例如因特网或内联网。网络104可以被实现为不同类型的网络之一，诸如内联网、局域网(LAN)、广域网(WAN)、因特网等。网络104可以是专用网络或共享网络，其表示使用各种协议(例如，蓝牙、超文本传输协议(HTTP)、传输控制协议/因特网协议(TCP/IP)等)来彼此通信的不同类型的网络的关联。此外，网络104可以包括网络设备，例如网络交换机、集线器、路由器、主机总线适配器(HBA)，用于提供数据安全系统102和通信装置108之间的链路。网络104内的网络设备可以通过通信链路与数据安全系统102和通信设备108交互。在一个实现中，数据安全系统102可以包括输入模块110和加密模块112。输入模块110被配置成接收用于访问在数据安全系统102上配置的应用的用户输入。可以基于认证串来认证用户。在一个实现中，认证串可以是登录凭证，诸如用户的个人信息。在另一实现中，认证串可以是提供给用户用于认证的系统生成的串。一旦被访问，用户可以选择要保护的数据。在一个实现中，用户可以手动地将数据输入到数据安全系统102中，加密模块112被配置为在数据安全系统102中对数据进行加密。可以理解，数据安全系统102可以通过任何公知的加密技术来加密数据。数据的加密可以导致生成私钥。加密模块112还可以被配置为基于私钥和认证串的组合来生成第一安全密钥。另外，加密数据和第一安全密钥可以一起保存在数据文件中。然后，可以将数据文件上传到服务器106以进一步加密。此外，服务器106包括服务器加密模块114，其可以被配置成加密来自数据安全系统102的上传的数据文件。数据文件的加密可以导致生成可以被称为第二安全密钥的另一私有密钥。在一种实现方式中，加密的数据文件和第二安全密钥被保存在服务器106中。在与图2相关联的详细描述中提供了关于数据加密的进一步细节。

图2示出了根据本发明主题的实施例的用于基于用户输入来保护数据的数据安全系统102。在所述实施例中，数据安全系统102包括一个或多个处理器202、接口204和耦合到处理器202的存储器206。处理器202可以是单个处理单元或多个单元，并且可以被实现为一个或多个微处理器、微型计算机、微控制器、数字信号处理器、中央处理单元、状态机、逻辑电路和/或基于操作指令操纵信号的任何设备。除了其它能力之外，处理器202被配置为获取和执行存储在存储器206中的计算机可读指令和数据。接口204可以包括各种软件和硬件接口，例如，用于外围设备(诸如键盘、小键盘、USB接口、鼠标、外部存储器等)的接口。此外，接口204可以使数据安全系统102能够与网络环境100中的其他计算设备通信，诸如服务器106、外围设备、web服务器和外部数据储存库。接口204可以便于在各种各样的协议和网络(诸如包括有线网络(例如LAN、电缆等)的网络和无线网络(例如WLAN、蜂窝、卫星等))内的多个通信。存储器206可以包括本领域已知的任何非瞬态计算机可读介质，例如，易失性存储器，例如静态随机存取存储器(SRAM)和动态随机存取存储器(DRAM)，和/或非易失性存储器，例如只读存储器(ROM)、可擦除可编程ROM、闪存、硬盘、光盘和磁带。数据安全系统102还可以包括模块208和数据210。模块208包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等。在一个实现中，(一个或多个)模块208包括输入模块110、加密模块112、解密模块212和(一个或多个)其他模块214。其它模块214可包括补充数据安全系统102的应用程序和功能的程序或编码指令。另一方面，数据210尤其用作存储由一个或多个模块208处理、接收和生成的数据的储存库。数据210包括例如，输入数据216，加密数据218、解密数据220和其他数据222。其它数据222包括作为执行模块208中的一个或多个模块的结果而生成的数据。在实现中，输入模块110可被配置成从用户接收输入以认证用户访问应用。用户接收的输入可以被称为认证串。认证串可以包括字符、数字、字母及其组合。一旦被认证，用户就可以访问应用程序并输入需要保护的数据。在一实现中，用户可从不同的源选择数据集。数据安全系统102可以使用对称或非对称加密算法来加密数据。输入模块110还可以被配置为将认证串存储为输入数据216。

此外，加密模块112可以被配置为接收用于加密的数据并且在通信设备108内对其进行加密。在一实现中，加密模块112可加密由用户输入或上传的数据。例如，加密模块112可以通过RSA加密算法对用户输入或上载的数据进行加密。如将理解的，在加密时，可以生成解密和访问加密数据所需的私钥。数据安全系统102可以向私钥提供安全性，使得私钥不能被黑客获取。因此，加密模块112可以将私钥与认证串相关联以生成第一安全密钥。在一个实现中，将私钥与认证串级联以生成第一安全密钥。或者，在认证串和私钥中使用的字母、数字或字符的任何可能的组合可以被用于生成第一安全密钥。第一安全密钥可以充当加密算法的已知字符串。已知的字符串可以被理解为由用户提供给加密算法的输入，该加密算法可能是数据解密所需要的。

一种实现方式，加密模块112可以将加密数据和第一安全密钥存储在通信设备108中的数据文件内。这可以便于保护第一安全密钥不丢失或损坏。加密模块112还可以被配置为将第一安全密钥和第二安全密钥存储为加密数据218。此外，加密模块112可以被配置为将数据文件上载到服务器106.RAs参考图1提到，服务器106可以包括服务器加密模块114。当数据文件从通信设备108被上传到服务器106时，服务器加密模块114可以加密数据文件以生成另一私钥。另一私钥可以被称为第二安全密钥。第二安全密钥可以有助于对加密的数据文件进行解密。显然，第二加密发生在服务器106处，因此第二安全密钥也可以存储在服务器106中。此外，数据安全系统102的解密模块212可以被配置成对服务器106上保存的加密数据文件进行解密。解密模块212可以验证任何试图访问应用程序的用户。解密模块212可以通过将用户提供的用于访问应用的输入与存储在服务器106中的输入进行比较来验证用户。在验证用户之后，解密模块212可以向服务器发送用于解密加密数据的请求。解密模块212可以从用户接收第二安全密钥。可以对照保存在服务器106中的第二安全密钥来验证第二安全密钥。在成功验证后，加密的数据文件被下载到用户设备，用户可以通过该用户设备与服务器106通信。对于本领域技术人员来说，显然用户设备是通信设备108。如上所述，在成功验证第二安全密钥时，用户设备接收加密的数据文件。

如上所述的，这样下载的加密数据文件可以包括加密数据和第一安全密钥。然后，可以使用第一安全密钥来解密数据文件中的加密数据。因此，用户提供第一安全密钥，其是认证串和私有密钥的组合。解密模块212还可以被配置为将解密的内容作为解密的数据220存储在用户设备上。本领域技术人员将容易理解，加密模块112和解密模块212可以由不同设备上的两个不同用户来执行。例如，第一用户可以使用加密模块112加密第一数据文件，而第二用户可以同时解密涉及解密模块212的第二数据文件。，本主题通过将私钥与认证串组合来便于保护数据以及私钥。图3示出了根据本主题的实施例的用于通过基于用户的加密来保护数据的方法300。方法300可以以若干不同方式在各种计算系统中实现。例如方法300，在此描述，可以使用如上所述的数据安全系统102和服务器106来实现。方法300可完全或部分地在计算机可执行指令的一般上下文中描述。通常，计算机可执行指令可以包括执行特定功能或实现特定抽象数据类型的例程、程序、对象、组件、数据结构、过程、模块、函数等。本领域技术人员将容易地认识到，该方法的步骤可以由编程的计算机执行。在此，一些实施例还旨在覆盖程序存储设备，例如数字数据存储介质，其是机器或计算机可读的并且编码机器可执行或计算机可执行的指令程序，其中所述指令执行所描述的方法300的一些或所有步骤。描述方法300的顺序不旨在被解释为限制，并且任何数量的所描述的方法框可以按任何顺序组合以实现该方法或替换方法。另外，在不脱离本文所述主题的精神和范围的情况下，可以从方法中删除一些单独的框。此外，可以以任何合适的硬件、软件、固件或其组合来实现这些方法。将理解，即使参考通信设备108和服务器106描述了方法300，但是该描述也可以扩展到其他系统。

块302，例如通过输入模块110从用户接收输入，用于验证应用的用户。该输入可以被称为认证串。认证串可以促进用户访问在用户设备上配置的应用。在一个实现中，认证串可被保存在应用中以访问应用。可替换地，可以通过由数据安全系统102生成的字符串将认证字符串提供给用户。认证串还可以是由用户选择的文本串，并且由字母、字符、数字和本领域技术人员容易理解的其他替换组成。

在成功认证用户之后，用户可以访问应用。在框304，例如通过输入模块110从用户获得要保护的数据。在一个实现中，用户可以手动地将数据输入到应用中。可替换地，数据可以从保存在数据安全系统102的存储器206中的若干数据文件中选择。在一种实现方式中，数据可以从可以连接到数据安全系统102的各种其他存储器设备获取。例如，诸如闪存驱动器、硬盘驱动器、具有存储器的移动电话、光盘、平板电脑、智能电话、大型机和服务器的存储器设备可以用于将数据传输到数据安全系统102。

块306，使用加密模块112在数据安全系统102中对所选择的数据进行加密。数据的加密导致私钥的生成。在一个实现中，使用非对称加密技术来完成数据的加密。在另一实现中，使用对称加密技术来完成加密。在一个实现中，数据的加密从一批不同的数据文件发生，数据从该批不同的数据文件被导出到公共数据文件以用于加密。或者，来自多个文件的数据可被合并在一个数据文件中。

块308，可以将私钥与认证串相关联以生成第一安全密钥。第一安全密钥可以充当加密算法的已知字符串。私钥可以与用户提供的认证串连接以生成第一安全密钥。或者，可以将认证串中使用的字符与所生成的私钥的字符组合以生成第一安全密钥。

块310，加密数据和第一安全密钥可以由加密模块112存储在数据文件中。然后，可以将包含加密数据和第一安全密钥的数据文件存储到服务器106。

块312，可以进一步加密存储到服务器106的数据文件以生成第二安全密钥。第二安全密钥可以被理解为用于对加密的数据文件进行解密的私有密钥。在一种实现方式中，第二安全密钥可以通过对称加密算法生成。在另一实现中，安全密钥由非对称加密算法生成。加密的数据文件与第二安全密钥一起随后被保存在服务器106中。图4示出了根据本主题的一个实施例的用于检索存储在服务器106上的数据的方法400。方法400可以以若于不同方式在各种计算系统中实现。例如，如上所述，可以使用数据安全系统102来实现这里描述的方法400。方法400可以完全地或部分地在计算机可执行指令的一般上下文中描述。通常，计算机可执行指令可以包括例程、程序、对象、组件、数据结构、过程、模块、函数等，其执行特定功能或实现特定抽象数据类型。本领域技术人员将容易地认识到，该方法的步骤可以由编程的计算机执行。在此，一些实施例还旨在覆盖程序存储设备，例如数字数据存储介质，其是机器或计算机可读的并且对机器可执行或计算机可执行的指令程序进行编码，其中所述指令执行所述方法400的一些或所有步骤。描述方法400的顺序不应被解释为限制，并且任何数量的所述方法框可以任何顺序组合以实现该方法或替换方法。另外，在不脱离本文所述主题的精神和范围的情况下，可以从方法中删除一些单独的框。此外，这些方法可以用任何合适的硬件、软件、固件或其组合来实现。可以理解，即使方法400是参考数据安全系统102和服务器106来描述的，该描述也可扩展到其它系统。

对于本领域技术人员来说是显而易见的：尽管这里描述的方法通常参考数据安全系统102，但是它可以同样地扩展到物理上不同或远离数据安全系统102的任何其他设备，其中发生了数据的加密和向服务器106的上传。例如，这里描述的方法400可以在与数据安全系统102分开放置的设备中实现。本领域技术人员还将认识到，具有所配置的模块208的任何设备都能够用于本文所描述的方法300和400，并且可以基于特定情况来使用。

块402，可以接收来自用户的输入以用于认证用户。如关于图3所提到的，输入模块110可以被配置为接收输入。此外，可以认证用户以访问服务器106。将理解，服务器106可以是应用服务器。

在框404，输入模块110可以从用户获得第二安全密钥。输入模块110可以通过将用户接收到的第二安全密钥与存储在服务器106中的第二安全密钥进行比较来验证用户。在成功验证后，加密的数据文件可以下载到用户用于与数据安全系统102通信的设备上。在方框406，解密模块212可以向用户请求第一安全密钥。如前所述，第一安全密钥可以包括认证串和私有密钥的组合。可以将用户提供的第一安全密钥与存储在加密数据文件中的第一安全密钥进行比较。

块408，在成功验证第一安全密钥之后，可以解密加密的数据文件以便下载到诸如通信设备108的用户设备上。尽管已经用结构特征和/或方法专用的语言描述了用于基于用户输入的加密的系统和方法的实现，但是应当理解，所附权利要求书不必限于所描述的具体特征或方法。相反，这些具体特征和方法是作为用于基于用户输入的加密的系统和方法的示例实现来公开的。

Claims (10)

1.一种由微处理器实现的用于保护数据的方法，所述方法包括：从用户接收认证串作为输入，用于认证所述用户访问应用；在认证时从所述用户获得所述数据以用于保护所述数据，其中所述保护包括加密所述数据，加密生成加密数据和私钥；将所述认证串与所述私钥相关联以生成第一安全密钥；将所述加密数据存储在数据文件中，其中所述第一安全密钥与所述加密数据一起存储在所述数据文件内；以及由所述微处理器将所述数据文件传输到与用于加密所述数据文件的所述应用程序相关联的应用程序服务器，所述数据文件的所述加密产生第二安全密钥；还包括对所述加密的数据文件进行解密，其中所述解密包括：从用户接收第二安全密钥，用于解密加密的数据文件；接收用于解密存在于所述解密数据文件中的所述加密数据的所述第一安全密钥；以及下载解密的数据。

2.根据权利要求1所述的方法，其中所述认证串包括所述用户的登录凭证。

3.如权利要求1所述的方法，其特征在于，其中所述关联包括将所述认证串与所述私钥级联以生成所述第一安全密钥。

4.如权利要求1所述的方法，其中，通过对称和非对称加密技术之一来执行加密。

5.一种数据安全系统，包括：处理器；输入模块，其耦合到所述处理器，所述输入模块经配置以：从用户接收用于认证所述用户访问应用的认证串，其中，所述应用被配置在所述数据安全系统上；以及在认证时，从用户获得要保护的数据；以及加密模块，其耦合到所述处理器，所述加密模块经配置以：对从用户接收的数据进行加密，其中加密生成加密数据和私钥；将所述认证串与所述私钥相关联以生成第一安全密钥；将所述经加密的数据存储在数据文件中，其中，所述第一安全密钥与所述加密数据一起存储在所述数据文件内；以及将数据文件传送到与用于加密数据文件的应用相关联的应用服务器，数据文件的加密生成第二安全密钥。

6.如权利要求5所述的数据安全系统，其特征在于，还包括耦合到所述处理器的解密模块，所述解密模块被配置成：接收所述第二安全密钥作为用户输入以认证所述用户，其中成功的认证导致数据文件的解密；下载解密的数据文件；以及通过提供第一安全密钥来解密经解密的数据文件中的数据。

7.如权利要求6所述的数据安全系统，其中所述解密模块还被配置成使用登录凭证来认证所述用户以访问所述应用服务器。

8.如权利要求5所述的数据安全系统，其特征在于，其中，所述加密模块被配置为通过将所述认证串与所述私钥级联来进行关联以生成所述第一安全密钥。

9.一种非暂时性计算机可读介质，其上包含用于执行方法的计算机程序，所述方法包括：从用户接收认证串作为输入，用于认证所述用户访问应用；在认证时从所述用户获得数据以用于保护所述数据，其中所述保护包括加密所述数据，加密生成加密数据和私钥；将所述认证串与所述私钥相关联以生成第一安全密钥；将所述加密数据存储在数据文件中，其中所述第一安全密钥与所述加密数据一起存储在所述数据文件内；以及将数据文件传送到与用于加密数据文件的应用相关联的应用服务器，数据文件的加密生成第二安全密钥。

10.根据权利要求9所述的非暂时性计算机可读介质，还包括对所述加密的数据文件进行解密，其中所述解密包括：从用户接收第二安全密钥，用于解密加密的数据文件；接收用于解密存在于所述解密数据文件中的所述加密数据的所述第一安全密钥；以及下载解密的数据。

Images