CN114282175A - 一种分布式的数据加解密的方法 - Google Patents

Abstract

本发明提供了一种分布式的数据加解密的方法。所述方法是，一个完整的业务过程中所有的明文，被安排在两类业务终端‑主业务终端和加密业务终端‑上呈现。主业务终端同加密业务终端之间，没有任何的电气连接。加密业务终端或无任何网络功能或在作业过程中网络功能被关闭。数据进入加密业务终端只有键盘、摄像头、短信三种方式中的一种或多种方式。数据从加密业务终端输出只有屏幕输出这一种方式。多主业务终端和/或多加密业务终端可构成一个业务过程控制链。所述方法是目前业内唯一一个在客户端可有效对抗各种利用操作系统、应用系统的安全漏洞、后门，以盗取整个业务过程中的全部明文为目的或实施远程遥控的攻击的防御方案。

Description

一种分布式的数据加解密的方法

技术领域

本发明涉及一种分布式的数据加解密的方法。

背景技术

数据加密是计算机行业保证数据安全的常规技术手段。但在以下应用场景下，所有被处理的数据都会明文方式出现在处理这些数据的信息终端上。而这些业务过程中的呈现的明文，就会成为网络安全的攻击方的攻击目标，成为影响整个业务过程安全的安全隐患。

场景1：文件录入/阅读。

在文件的录入和阅读阶段，正在被录入或被阅读的文件，必然是以明文状态出现在录入或阅读的信息终端上。

对于一个被病毒入侵的信息终端而言，明文就意味则泄密。

对于一个由多人协同录入的大型文件，泄密的风险会随着录入人员的增加而增加。

场景2：网络应用的登录环节

在进行网络应用登录时，输入的登录终端的登录账号、密码，总会在某一时刻以明文的方式呈现在登录终端。病毒的入侵、操作系统、应用系统的漏洞、后门，都会造成这些敏感信息的泄露。

这个场景还有如下几个行业痛点：

痛点1：记住登录用户名、密码。

在网络应用全面渗透人们的工作、生活的方方面面今天，一个网民最少要有2、30个网络应用。这就意味着他需要记住最少2、30个与之相对应的登录账号、密码。

一方面各种专业的科普式的宣传和号召式是，密码最好选择位数足够长且包含各种特殊符号的强密码，最好要一个应用一个密码。另一个方面就是对于绝大多数的网民而言，在没有超强记忆力加持的情况下，又不得不采用弱密码，且一个弱密码对应多个网络应用。第三个方面就是提供网络应用的服务器，不断遭受各种各样的撞库攻击。而在各种AI能力加持下，服务器的抵御撞库攻击的能力也越来越弱。

痛点2：在越来越多的网络应用账号为手机号码的今天，攻击方只要在AI的驱动下，猜测登录密码即可。这就对服务器提出了一个新要求，既服务器首先要对进行登录操作的人，进行一个测试，以判断进行登录操作的“人”是“生物人”还是“机器人”。目前这一测试，主要通过填写各种各样的验证码来实现。

但这种验证码测试方法的出现，并未起到太长久的有效作用，究其原因就是，验证码太复杂，首先被“考倒”是“生物人”而非机器人。验证码太简单，通过AI训练的机器人，很快就可以达到普通“生物人”的识别能力。更何况攻击方还有拦截验证码并转发到第三方，由“生物人”解读验证码这一终极杀手武器可以使用。

场景3：诈骗攻击

诈骗攻击是目前实施网络攻击的各种方法中，一类很重要也很常见的攻击方法。而无法有效抵御诈骗攻击的主要原因就是：

原因1：对于绝大多数的网民而言，他们是无法抵抗各种各样设计的攻击套路。

原因2：攻击方可以通过各种技术手段进行攻击，从而获取验证码，特别是以明文方式存在的验证码。

验证短信是所有验证码中，最常见且应用范围最广的验证码。在网银这一高价值的网络应用中，验证短信承担了重要的验证角色，并承担了相当大一部分的验证工作。而短信嗅探攻击，则是一种专门针对为获得处于明文状态下的短信验证码而设计的攻击方式。。这一攻击方式已经出现多年，业内至今尚未找到有效的解决办法。

对于这种呈现在多应用场景、多业务过程中的核心敏感数据因处于明文状态而产生的泄露或或因此而引起的攻击，至今业内也没有一个有效的应对方案。

发明内容

为解决这种在多应用场景、多业务过程中普遍存在的核心敏感数据因处于明文状态而产生的泄露或因此而引起的攻击，本发明提供了专为解决以上问题的分布式的数据加解密的方法。

所述的方法是：

在一个业务过程中需要呈现的全部明文，将被分布在两类业务终端上出现。这两类业务终端分别是：主业务终端和加密业务终端。在整个的业务过程中，两类终端最少各有一台。这两类终端之间，没有任何的直接电气连接，以确保在任何时候，一个完整的业务过程中的所有数据的明文，都不会全部出现在同一类业务终端上。

所述的加密业务终端具有以下两种技术特征中的一种：

技术特征1：

所述的加密业务终端没有任何的网络功能。数据进入所述终端的方式只有键盘输入和/或摄像头输入。所述终端的数据输出只有屏幕显示这唯一的一种方式。

技术特征2：

所述的加密业务终端具有受限的网络功能。所述的受限的网络功能的技术特征是，在所述的加密业务终端进行加/解密的作业过程中，所述终端的网络功能需全部关闭。数据进入所述终端的方式是以下三种方式中的一种或多种。方式1：键盘输入。方式2：摄像头输入。方式3：短信输入。所述终端的数据输出只有屏幕显示这唯一的一种方式。

所述方法的优点是：

优点1：采用所述方法的网络应用，可以在不增加额外预算的情况下，轻松构建一条全业务过程的安全控制链。

在本发明的多主业务终端和/或多加密业务终端模式下，可构成一个由相关业务过程操作人员共同参与的业务过程控制链。传统的各种被业内普遍认可安全极高的各种“链”，都是由多台具有特定功能的信息终端共同参与下完成构建。而在本发明的多主业务终端和/或多加密业务终端模式下，加密终端的操作人，也参与到控制“链”的构建过程中。这将使由本发明所述方法构成的控制链，具有更高等级的安全度。

所述方法是目前业内唯一一个在客户端可有效对抗各种利用操作系统、应用系统的安全漏洞、后门，以盗取整个业务过程中的全部明文为目的或实施远程遥控的攻击的防御方案。

优点2：大大降低了信息终端防御病毒的技术门槛。

整个业务过程的明文，被分布在两类终端上呈现，就使得任何一个入侵到主业务终端的病毒，都无法接触到整个业务过程的全部明文。

主业务终端和加密业务终端的无直接电气连接，加密业务终端的无网络特性或受限网络特性，数据进出加密业务终端技术特性，这三大技术特征，在提高整体业务过程数据安全度的同时，大大降低了终端防御病毒的技术门槛。

优点3：大大降低了病毒的攻击效果。

对于一个以盗取明文为目的的病毒而言，一个业务过程中的所有明文，永远都不会在同一类终端上呈现。这就使得入侵到主业务终端或加密业务终端的病毒，永远都只能获得部分的明文。

对于入侵到具有技术特征1的加密业务终端的病毒而言，具有极小的机会，送出其盗取到的明文数据。

对于入侵到具有技术特征2的加密业务终端的病毒而言，通过短信或在非加密工作时间可能开放的网络功能，送出其盗取的明文，就意味着入侵行为的暴露。

不论是那种技术特征的加密业务终端，所有的无论是利用现有还是未来发现的操作系统、应用系统的安全漏洞或后门，发起的远程控制攻击，都将永远失效。

优点4：大大降低了对绝大多数普通网民记忆力的要求。

在网络应用无处不在的当下，对于绝大多数的网民而言，需要记住2、30个不同的网络应用的登录账号、密码，是一个非常稀松平常的事。而如何有效的记忆、管理这些功能各异的网络应用，对绝大多数的普通网民而言，对其记忆力提出了相当高的要求，很多人不得不采用弱密码，一个密码涵盖多个应用的下下策。

加密业务终端的技术特征，在保证安全的前提下，使得多种网络应用的登录账号、密码共存于一个加密业务终端，在技术上成为可能。这就使得绝大多数的记忆力有限的普通网民，在加密业务终端的加持下，可以采用超长位数的登录账号、密码和一个应用一个登录账号、密码的最强安全策略。

优先5：大大减轻了网络应用服务器识别登录人身份和防御撞库攻击的压力。

对于今天的网络应用，由AI操控的机器人撞库攻击，是一个永远的噩梦。对于采用本发明所述的方法，进行登录操作的网络应用，则自然规避了由AI操控的机器人撞库攻击。

优点6：对于一份文件的录入/阅读，进行分辨率更高的精细化的分级安全管理，在技术上成为了可能。

目前对于一份文件的录入/阅读，只能进行整篇文件的密级安全管理，无法做到一份文件内部的内容/数据的分级安全管理。这种文件内部的内容/数据的分级安全管理，对于一份大型的需要多人、多部门协同完成的录入或共享的文件尤为重要。

优点7：大大减轻了网络应用供应商特别是移动应用供应商的客户端应用程序的安全防护压力。

传统的网络安全架构下，网络应用供应商特别是移动应用供应商的客户端应用程序，在设计时，必须要考虑必要的安全机制，以保护核心敏感数据的安全。同时还必须不断的升级以维持必要的安全强度。定期的安全机制应用程序的升级，电脑端、手机端的敏感数据输入的专用安全键盘，就是这类工作的最直接的体现。

采用本发明的技术方案的网络应用，以上工作就都不需要了。在加密业务终端上的明文敏感数据的输入，屏幕上的密文输出，主业务终端上的密文键盘输入或摄像头输入。同时解决了，专用安全键盘、安全机制应用程序、验证码（测试操作者是“生物人”还是“机器人”）需要解决的问题。而这种解决，是一劳永逸的解决。而加密业务终端的网络特性，又一劳永逸的解决了操作系统、应用系统可能出现的远程操控的安全漏洞。网络应用供应商特别是移动应用供应商为对抗这类漏洞的资源，将永远清零。

本发明是业内首次给出了解决此类问题的技术方案。

附图说明

图1：典型的服务器、网络、主业务终端、加密业务终端的分布、连接示意图。

图2：传统的服务器、网络、业务终端连接示意图。

具体实施方式

图1是典型的服务器、网络、主业务终端、加密业务终端的分布、连接示意图。

在图1的示意图中，无论承载的是什么业务过程，都可以保证，整个业务过程中的全部明文，只会在服务器端出现。在网络、主业务终端、加密业务终端的任意节点，都不可能出现整个业务过程的全部明文。这就使得以盗取整个业务过程的全部明文为目的的攻击方，无论是利用操作系统、应用系统的安全漏洞，还是操作系统、应用系统刻意保留的“后门”，入侵到网络、主业务终端、加密业务终端，都无法获得整个业务过程的全部明文。

图2是传统的服务器、网络、业务终端连接示意图。

在图2的示意图中，无论承载着什么业务，整个业务过程中的全部明文，除了服务器外，最有可能出现在业务终端处，而它也是各种攻击手段的重点攻击目标。对一个业务过程中的全部明文的保护/盗取，有两个重要战场，一个是服务器，一个是业务终端。而业务终端是防护相对薄弱的地方。

下面结合具体实施例对本发明内容进行详细说明。

实施例1：文件录入/阅读的安全等级的分级管理。

多年前整个社会的日常办公过程就以信息化、电脑化。这就必然伴随这大量的文件录入/阅读的业务过程。

在传统的文件录入/阅读设备连接示意图中（图2），录入人员分别在“业务终端1”或“业务终端n”上完成文件的录入。在此结构下，网络和业务终端，都有可能是病毒的入侵点和保密数据明文的泄露点。文件规模越大、文件系统越复杂，安全防护的压力也越大。在这个模型下，最大的安全隐患来自于录入人员之间、业务终端之间，无法做到有效的高强度的安全隔离。特别是业务终端之间。工作人员的一次不经意的非安全举动，就有可能使得一个严密的安全防护，出现破口。

文件的阅读，就目前现有技术而言，也只能做到整篇文件的加密管理。现在还无法做到文件内的数据/内容的分级管理。这种整篇文件一个密级的安全管理模式已经无法适应当前的安全管理模型的需求。

现实中，一份有安全密级的加密文件完全有可肯能在多个部门中的多个业务过程中，被多个安全等级的人，因不同的工作目的而需要被阅读。一个安全等级的整篇文件的安全管理模式，显然无法适应这种多安全密级的阅读模式。

图1为承载本发明所述方法的文件录入/阅读设备连接示意图。

每个录入人员，都有一个专有的“加密业务终端”。录入文件时，不需要采取特别安全措施的录入数据，在“主业务终端”上完成录入。需要加密的数据，明文输入在“加密业务终端”输入完成，加密后的数据，通过加密业务终端的屏幕输出。输出的加密数据，通过“主业务终端”上的键盘或摄像头完成输入。

在所述的录入过程中，可轻松实现录入人员之间的人员安全隔离和录入设备的安全隔离。

对于一个如图2结构的、由多人构成的大型的录入网络而言，防止病毒入侵总是压力最大的一个业务环节。

对于一个如图1结构、由多人构成的大型录入网络而言，入侵到这种网络结构的病毒，无论其如何努力，总无法获取录入文件的全部明文。

文件录入完成后，上传到服务器，服务器在绝对安全的数据环境中，对所有的文件内容，按需要重新进行文件的数据安全等级规划，从而实现一份文件内部的数据的多安全等级的分级保护。这种一份文件内部数据的多安全等级的分级保护，完全可以满足一份文件被多安全密级的人阅读的安全需求，从而实现等保2.0技术规范所要求的核心敏感数据最小泄露原则的要求。

阅读这种被多安全密级划分保护的文件时，每个阅读人员，只能阅读与其安全等级相匹配保密内容。进行阅读时，在主业务终端上只能呈现出无法阅读的加密信息，可阅读的加密信息，只能由阅读者通过键盘或摄像头，输入到加密业务终端上，对应的明文在加密业务终端的屏幕上显示。

图1架构的文件录入/阅读模式，同传统的图2架构的文件录入/阅读模式相比，最大的优势在于，在图1架构下，参与文录入/阅读模式的人越多，整个文件的安全度就越高。同时如果发生部分数据的泄露，很容易追踪到泄密人员。而在传统的图2的架构下，参与文录入/阅读模式的人越多，整个文件的安全度就越差。一旦发生数据泄露，很难追踪到泄密人员，特别是发生部分数据的泄露时，追踪到泄密人员基本上就是一个不可能完成的任务。

实施例2：网络应用的登录。

图2为传统的网络应用终端结构示意图。

在这种传统的网络结构上进行登录操作时，用户进行登录时，需在业务终端上，以明文方式输入登录账号、密码。在各种网络应用全面渗透到百姓生活的方方面面的今天，一个最普通的网民需要记住2、30个登录账号、密码是一件极为稀松平常的事，记住几十、上百个的登录账号、密码也不鲜见。对他们而言，不得不采用弱密码，且一个弱密码涵盖多个网络应用的下下策。

弱密码的大范围使用，登录账号的手机号码话，使得被AI赋能的撞库攻击大量发生。这对网络应用供应商而言，为保护安全，其首要的任务是，服务器在处理登录业务时，首先要进行验证码测试，以区分此时进行登录操作的操作人，是自然人还是机器人。从最终的实际效果看，验证码的区分效果，随着时间的推移而越来越差。

在图1的网络架构下，网络应用的登录过程有两种基本模型。

模型1：

登录人员在加密业务终端上，明文输入登录账号、密码。加密业务终端将登录账号、密码对应的密文显示在屏幕上，登录人员通过主业务终端的键盘或摄像头将加密业务终端显示屏上的密文输入主业务终端。

模型2；

登录人员在加密业务终端上，明文输入登录账号、密码，服务器将验证码以短信方式发到加密业务终端。加密业务终端将登录账号、密码、验证短信一起生成对应的密文显示在屏幕上，登录人员通过主业务终端的键盘或摄像头将加密业务终端显示屏上的密文输入主业务终端。

无论是哪种业务模型，都可以解决业内的几个长期无法解决的业务痛点。

痛点1：普通网民无法记忆大量的登录账号、密码，特别是超长度的密码。

在加密业务终端的算力、存储力的加持下，任何一个普通网民，管理、掌控成百上千个超长长度的登录账号、密码，都不会有任何问题。

痛点2：服务器端无法准确区分登录操作的实施人是自然人还是机器人。

无论是模型1还是模型2，更亦或是其他登录过程模型，就必然是一个自然人来操作的基于超长长度的登录账号、密码的登录行为。这些技术特征，都足以“杀死”任何试图模仿自然人登录行为的机器人。

痛点3：对于绝大多数的普通网民，特别是安全防护知识欠缺的广大普通网民而言，如何进行安全的上网行为，始终是一个头疼的事。而这恰恰是攻击方一个重要且有效的攻击点。

对于使用那些采用本发明所述的方法进行登录操作的网络应用的那些普通网民而言，管好加密业务终端，不用加密业务终端上网，不进行加密业务终端的任何网络连接，就是最为有效的安全策略。这一简单而实用的安全策略，可以有效抵抗所有现在以及未来以盗取敏感数据明文为目的的攻击方法。而且越是欠缺网络安全知识、网络操作技能低的人，他们的加密业务终端就越安全。而在图2所示的传统结构下，那些欠缺网络安全知识、网络操作技能低的人恰恰则是各种网络安全攻击的最大受害人群。

三大行业痛点的解除，将会大大降低网络应用供应商在主业务终端处的为保障登录终端安全而投入的资源。

实施例3：如果构建加密业务终端。

加密业务终端的构建是本发明所述技术方案得以实施并达成方案目的的关键。

加密业务终端需要具备的两种技术特征是非常容易达成的。一台含摄像头并被拔除网卡的普通电脑，一部没有安装手机SIM卡、不打开WIFI或蓝牙的智能手机，就构成了符合技术特征1的加密业务终端。一台包含摄像头、移动数据模块单元并被拔除网卡的普通电脑，一部安装手机SIM卡、不打开数据流量、WIFI、蓝牙的智能手机，就构成了符合技术特征2的加密业务终端。

更近一步，两台或两台以上的加密业务终端还可以构成一个混合型的加密业务终端。从而实现在混合型的加密终端上完成的加密/解密任务的多种安全控制模式。这种多种安全控制模式，包括但不限于多人单地/多地控制模式，单人唯一地点控制模式。

其中，所述的多人单地/多地控制模式就是构成混合型的加密业务终端的加密业务终端分别被不同的人所掌控。其中一台或多台被固定在一个或多个固定场所。从而保证在混合型的加密终端上完成的加密/解密任务是在一个或多个固定场所上，在全部相关人员都参与的情况下完成。

所述的单人唯一地点控制模式就是构成混合型的加密业务终端的多个加密业务终端，被一个人掌控，但其中最少一台被固定在某一固定场所。这就可以保证在所述混合型的加密业务终端上完成的加密/解密任务，只能由唯一的一个人在一个固定的场所完成。

从实施例1、实施例2、实施例3中可以看出，对于在本发明所述技术方案上完成的网络应用供应商而言，最大的优点就是，不在需要对为保障终端侧的核心敏感数据投入太多的资源。在图2架构下每个网络应用，都会在用户端的终端上在正常的业务程序之外，还配置一个安全模块。而这个安全模块还要适时的根据整个网络安全生态的变化（如最近有出现了什么样的安全漏洞或病毒）而不断的更新。但即便是这样，也依然无法阻止病毒的攻击和其他同装一台终端的网络应用对用户的网络应用核心敏感数据的非法盗取。

在图1架构下每个网络应用，其核心敏感书可按需要安装在一台或多台加密业务终端上。加密业务终端的无网络的技术特性或受限网络功能的技术特性，使得网络应用供应商，不再需要投入太多的资源关注整个网络安全生态的相关情况，也不需要在部署在加密业务终端上的应用软件投入太多关于网络安全的相关资源。

对于网络安全知识、技能有限的广大普通网民而言，确保加密业务终端不连接网络这一简单的安全策略，就足以保证其加密业务终端上核心敏感数据的安全。

对于网络安全的攻击方而言，当下行之有效的攻击方法，如利用操作系统、应用系统上的漏洞、后门，甚至利用人性弱点而设计的攻击方法，在加密业务终端的无网络功能或受限的网络功能技术特性面前，都将失效。特别是对于采用二维码或条码作为输入/输出加密业务终端数据的网络应用而言，任何的欺骗攻击都将失效。

实施例4：图1架构下的网银（个人版）操作流程。

个人网银是广大网民可直接使用的、具有最高安全等级的民用网络应用。

目前，业内通行的三大安全策略是：1）Ukey或密码键盘。2）验证短信。3）人脸识别。这三种策略各有各的软肋和不可克服的弊端。

Ukey或密码键盘，固然安全度最高，但不方便。特别是对于多手机网银的用户而言更是如此。在现实中，经常可见带2-3个手机的人，但极少看见带2-3个或以上Ukey或密码键盘的人。

被短信嗅探、欺骗攻击（骗取验证码）、盗号病毒（盗取验证码）攻破的验证短信防护的案件，更是多如牛毛。业内至今没有找到根本的解决之道。

对于人脸识别，AI驱动的仿真软件，可以用一张2D的图片，制作处惟妙惟肖、活灵活现的3D视频流。这种视频流足以骗过任何商用的人脸识别软件。利用仿真软件骗过人脸识别，在技术上已经不是问题。

所有网银还有一个共同的安全漏洞，那就是少于5千的转账不需要以上验证。这一漏洞，对于攻击方而言，23:59:50转一笔4999,而后在0:0:10再转一笔4999，也是一种常用的攻击方式，可获得极高的攻击收益。

图1架构下的网银（个人版）的操作路程如下：

第一阶段：下载加密业务终端专用软件。

第一步：在手机1上下载网银的加密业务终端专用软件，使手机1成为网银专用加密业务终端。

第二步：在手机网银专用加密业务终端上，设置登录账号的二维码。该二维码除了包含登录账号、扰码外，还可包含安装手机的IMEI号、安装在该手机上的手机SIM卡的ICCID码。以实现登录账号同加密业务终端的硬绑定。

第二阶段：使用。

使用情景1：登录

第一步，用户手机1上，点击启动加密业务终端专用软件。在主业务终端上启动主业务终端侧的网银软件。

第二步，加密业务终端专用软件提示用户关闭所有网络功能，并对手机1是否在线进行检查。在线则提示用户关闭网络功能，直至用户关闭所有的网络功能。

第三步，用户点击账号按钮，加密业务终端专用软件弹出登录账号的二维码，用户将手机屏幕对准主业务终端上的摄像头，完成登录信息的输入。服务器推送登录验证二维码到主业务终端、发送登录验证短信到手机1，用户用手机1摄像头读入登录验证二维码，加密业务终端专用软件根据收到的验证短信、登录验证二维码、手机的IMEI号、安装在该手机上的手机SIM卡的ICCID码生成加密业务终端侧的登录验证二维码。用户将手机屏幕对准主业务终端上的摄像头。服务器将收到的登录账号的二维码、登录验证二维码进行验证，验证通过，准许登录；验证不通过，拒绝登录。

使用情景2：转账

第一步，登录。

第二步，用户在加密业务终端专用软件填写转账出账号，转账金额，转入银行、账号等转账信息。加密业务终端专用软件生成密文的转账信息二维码。

第三步，用户在主业务终端上点击转账按钮，并通过摄像头输入转账信息密文的二维码。

第四步，服务器将转账信息密文的二维码解密，并用解码后的部分明文，生成验证明文、验证密文二维码，推送到主业务终端上。用户对验证明文进行验证，验证通过将验证密文由摄像头输入加密业务终端。加密业务终端专用软件对验证密文二维码进行解码、验证。而后将验证结果、加密业务终端验证明文，生成验证密文二维码，显示在加密业务终端的显示屏上。

第五步，用户将验证明文的验证结果、加密业务终端的显示屏上输出的加密业务终端的验证结果密文二维码，通过主业务终端推送到服务器。服务器通过对收到的验证信息的验证结果，进行转账或拒绝转账。

从以上的实施例中，可以看到，同传统的登录方式、转账方式相比，登录网银的账号同手机号码、银行账号，完全无关。这就完全避免了以银行账号、手机号码为切入点的社会工程学的对银行账号的攻击。在整个业务过程中，加密密文的二维码显示方式，又可以完全避免了任何的此前行之有效的技术攻击（如短信嗅探）和诈骗攻击（如各种借口骗取验证码）。

实施例5：图1架构下的企业对公账户的转账操作流程。

图1 架构下的企业对公账户的转账操作流程如下：

第一步，转账人在主业务终端1上完成转账信息的输入。转账信息包括，但不限于支付账户、转账金额、收款账户、转账用途、转账操作人等信息。完成第一步的人，即可以是企业的财会人员，也可以是银行柜台的工作人员。

第二步，服务器收到主业务终端1上传的转账信息后，将收到的转账信息，以验证短信的方式发到企业预留的转账监控人的手机上。短信中包含此次转账业务的验证码。企业的转账监控人，即可以是一人，也可以是多人。

第三步，企业的转账监控人收到验证短信后，对此次转账进行验证，验证通过，则将验证码输入其持有的加密业务终端n，而后将加密业务终端n生成的同意或拒绝本次转账业务密文验证二维码输入到主业务终端n上。服务器将收到的全部本次转账业务密文验证二维码进行解码、验证，完成本次转账或拒绝本次验证。

图2架构下的传统的企业对公账户的转账操作，有两种基本方式。

方式1：Ukey管理下的企业网银（企业版）转账操作。

方式2：企业财会人员，在银行柜台进行的转账操作。

本实施例中的图1架构下的企业对公账户的转账方式，则可以在转账机制上杜绝以上安全漏洞。

实施例6：复合型主业务终端和加密业务终端的构建

在一个主业务终端和一个加密业务终端上完成的整个业务过程，被称之为单终端业务模型。在两个或两个以上的主业务终端或加密业务终端上完成的整个业务过程，被称之为复合型终端业务模型。

复合型终端业务模型的基本模型是：

模型1：一个加密业务终端，对应两个主业务终端。

模型2：两个加密业务终端，对应一个主业务终端。

模型3：两个加密业务终端，对应两个主业务终端。

更为复杂的复合型终端业务模型，皆可从以上三种基本模型中扩展开来。以适应更为复杂、更为安全的应用层的安全需要。而这种扩展，对业内的工程技术人员而言，有很多的现成方案，用于完成所需的扩展。这些扩展，最终的表现为一个业务过程，被安排在多人、多地、多终端上完成。这就构成了一种控制链。当参与控制链的人员、设备线型增多时，这个业务过程的安全度就将称指数型增加。这种控制链无疑可有效对抗任何利用操作系统、应用系统上的安全漏洞甚至后门，对一个完整的业务过程的数据进行跟踪、盗取，进而劫持登录ID等各种攻击方式。

为有效抵御攻击方在图1中的网络空间对整个业务过程的数据（不论是加密数据还是明文）进行拦截，对于具有两个或两个以上主业务终端的业务模型而言，还可参考《文件碎片化公网安全传输方法》（申请号：2019100844934）中所述的方案，在主业务终端同服务器之间、多个加密业务终端之间，建立多条通过不同通讯介质、不同通讯运营商连接而成的通讯信道，并将加密业务终端屏幕输出的数据，碎片化后，输入到不同的主业务终端上，从而使得攻击方，无法拦截全部的通讯数据，追踪参与控制链的全部的业务设备和人员。

本发明所述的分布式的数据加解密的方法，在多主业务终端和/或多加密业务终端模式下，可构成一个业务过程控制链。所述方法是目前业内唯一一个在客户端可有效对抗各种利用操作系统、应用系统的安全漏洞、后门，以盗取整个业务过程中的全部明文为目的或实施远程遥控的攻击的防御方案。

Claims (1)

1.一种分布式的数据加解密的方法，其特征在于：在一个业务过程中需要呈现的全部明文，被分布在两类业务终端上出现；这两类业务终端分别是，主业务终端和加密业务终端；在整个的业务过程中，这两类终端中，每一种业务终端最少各有一台；这两类终端之间，没有任何的直接电气连接；在一个完整的业务过程中的全部数据的明文，都不会全部出现在同一类业务终端上；所述的加密业务终端具有以下两种技术特征中的一种：

技术特征1：

所述的加密业务终端没有任何的网络功能；数据进入所述终端的方式只有键盘输入和/或摄像头输入；所述终端的数据输出只有屏幕显示这唯一的一种方式；

技术特征2：

所述的加密业务终端具有受限的网络功能；所述的受限的网络功能的技术特征是，在所述的加密业务终端进行加/解密的作业过程中，所述终端的网络功能需全部关闭；数据进入所述终端的方式是以下三种方式中的一种或多种；方式1：键盘输入；方式2：摄像头输入；方式3：短信输入；所述终端的数据输出只有屏幕显示这唯一的一种方式。

Images