CN115391795A - 数据处理方法、相关设备及介质 - Google Patents

Abstract

本申请实施例公开了数据处理方法、相关设备及介质，可应用于数据安全领域。其中方法包括：获取目标数据以及目标数据对应的密钥材料，根据密钥材料确定加密密钥，并利用加密密钥对目标数据进行加密，得到目标数据对应的密文数据，然后根据密文数据、密钥材料生成加密信息，并将加密信息下发至业务节点。采用本申请实施例，有助于提高下发至业务节点的目标数据的安全性。本申请实施例可以应用于云安全技术领域中，比如对目标数据进行加密的服务器可以为云服务器。本申请实施例还可以应用于区块链领域中，比如本申请实施例中涉及的加密信息可存储至区块链的节点中。

Description

数据处理方法、相关设备及介质

技术领域

本申请涉及数据安全技术领域，尤其涉及一种数据处理方法、相关设备及介质。

背景技术

随着计算机技术的大力发展，数据安全称为一个重要课题。比如在容器编排的过程中，服务器通常会将一些重要数据进行加密，以密文数据的形式存储至存储区域中，但是在将重要数据下发(部署)至业务节点时，以明文数据的形式进行下发，若业务节点被入侵，则容易导致业务节点中存储的重要信息泄露。由此可见，如何保证下发至业务节点的重要数据的安全性是一个亟待解决的问题。

发明内容

本申请实施例提供了一种数据处理方法、相关设备及介质，有助于提高下发至业务节点的目标数据的安全性。

一方面，本申请实施例提供了一种数据处理方法，该方法包括：

获取目标数据以及所述目标数据对应的密钥材料；

根据所述密钥材料确定加密密钥，并利用所述加密密钥对所述目标数据进行加密，得到所述目标数据对应的密文数据；

根据所述密文数据、所述密钥材料生成加密信息，并将所述加密信息下发至业务节点。

另一方面，本申请实施例提供了另一种数据处理方法，该方法包括：

接收服务器下发的针对目标数据的加密信息；

当接收到针对所述目标数据的解密请求时，解析所述加密信息，得到所述目标数据对应的密文数据、密钥材料；

根据所述密钥材料确定加密密钥；

根据所述加密密钥对所述密文数据进行解密，得到所述目标数据对应的明文数据。

又一方面，本申请实施例提供了一种数据处理装置，该装置包括：

获取单元，用于获取目标数据以及所述目标数据对应的密钥材料；

处理单元，用于根据所述密钥材料确定加密密钥，并利用所述加密密钥对所述目标数据进行加密，得到所述目标数据对应的密文数据；

所述处理单元，还用于根据所述密文数据、所述密钥材料生成加密信息，并将所述加密信息下发至业务节点。

又一方面，本申请实施例提供了一种数据处理装置，该装置包括：

接收单元，用于接收服务器下发的针对目标数据的加密信息；

处理单元，用于当接收到针对所述目标数据的解密请求时，解析所述加密信息，得到所述目标数据对应的密文数据、密钥材料；

所述处理单元，还用于根据所述密钥材料确定加密密钥；

所述处理单元，还用于根据所述加密密钥对所述密文数据进行解密，得到所述目标数据对应的明文数据。

又一方面，本申请实施例提供了一种服务器，其特征在于，所述服务器包括处理器和存储器，所述处理器与所述存储器相互连接，其中，所述存储器用于存储计算机程序指令，所述处理器被配置用于执行如下步骤：

获取目标数据以及所述目标数据对应的密钥材料；

根据所述密钥材料确定加密密钥，并利用所述加密密钥对所述目标数据进行加密，得到所述目标数据对应的密文数据；

根据所述密文数据、所述密钥材料生成加密信息，并将所述加密信息下发至业务节点。

又一方面，本申请实施例提供了一种业务节点，其特征在于，所述业务节点包括处理器和存储器，所述处理器与所述存储器相互连接，其中，所述存储器用于存储计算机程序指令，所述处理器被配置用于执行如下步骤：

接收服务器下发的针对目标数据的加密信息；

当接收到针对所述目标数据的解密请求时，解析所述加密信息，得到所述目标数据对应的密文数据、密钥材料；

根据所述密钥材料确定加密密钥；

根据所述加密密钥对所述密文数据进行解密，得到所述目标数据对应的明文数据。

又一方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序指令，所述计算机程序指令被处理器执行时，用于执行任一方面的方法。

本申请实施例可通过获取目标数据以及目标数据对应的密钥材料，根据密钥材料确定加密密钥，并利用加密密钥对目标数据进行加密，得到目标数据对应的密文数据，然后根据密文数据、密钥材料生成加密信息，并将加密信息下发至业务节点，以实现将密文数据和密钥材料下发至业务节点，由此对目标数据、加密密钥以及生成加密密钥的密钥材料进行保护，由此可以提高下发至业务节点的目标数据的安全性。

附图说明

为了更清楚地说明本申请实施例技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的一种容器编排系统的结构示意图；

图2是本申请实施例提供的一种数据处理方法的流程示意图；

图3是本申请实施例提供的数据加密方法的流程示意图；

图4是本申请实施例提供的另一种数据处理方法的流程示意图；

图5是本申请实施例提供的数据解密方法的流程示意图；

图6是本申请实施例提供的一种容器编排系统的效果示意图；

图7是本申请实施例提供的一种数据处理装置的结构示意图；

图8是本申请实施例提供的另一种数据处理装置的结构示意图；

图9是本申请实施例提供的一种服务器的结构示意图；

图10是本申请实施例提供的一种业务节点的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

本申请实施例提出一种数据处理方案，能够根据密钥材料生成对加密密钥，然后根据加密密钥对目标数据进行加密得到目标数据对应的密文数据，并且将密文数据以及生成加密密钥的密钥材料下发至业务节点。通过本方案能够对下发至业务节点的目标数据进行保护，同时也能够对加密目标数据的密钥进行保护，由此可以减少在业务节点中泄露目标数据的几率，提高下发至业务节点的目标数据的安全性，实现安全管理。

在一种可能的实施方式中，本申请方案可以应用于一种容器编排系统中，请参见图1，图1是本申请实施例提供的一种容器编排系统的结构示意图。如图1所示，该容器编排系统可以包括服务器和业务节点。该服务器能够接收针对目标数据的加密请求，并根据密钥材料确定加密密钥后，根据加密密钥对目标数据进行加密，得到目标数据对应的密文数据，进而可根据密文数据、密钥材料生成加密信息，将加密信息下发至业务节点。可选的，该服务器也可以被称为服务端、服务节点、控制节点或其余名称，本申请不做限定。该服务器能够调度管理整个系统，实现容器的部署和管理等功能。该业务节点能够接收服务器下发的针对目标数据的加密信息，并在接收到针对目标数据的解密请求时，通过解析该加密信息，得到该目标数据对应的密文数据、密钥材料，进而可根据密钥材料确定加密密钥，并根据加密密钥对密文数据进行解密，得到目标数据对应的明文数据。可选的，该业务节点也可以称为租户节点、运行节点、Node、业务设备、业务处理设备或其余名称等等，本申请不做限定。该业务节点上能够运行业务容器。

可选的，上述服务器可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、CDN、以及大数据和人工智能平台等基础云计算服务的云服务器，此处不做限制。上述业务节点可以是物理主机，也可以是虚拟机(VM)，或者还可以为其余业务设备，此处不做限制。

在一种可能的实施方式中，本申请还可以应用于云技术领域，如可具体应用于云安全(Cloud Security)技术领域中，云安全是指基于云计算商业模式应用的安全软件、硬件、用户、机构、安全云平台的总称。云安全融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，并发送到服务端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。云安全主要研究方向包括：1.云计算安全，主要研究如何保障云自身及云上各种应用的安全，包括云计算机系统安全、用户数据的安全存储与隔离、用户接入认证、信息传输安全、网络攻击防护、合规审计等；2.安全基础设施的云化，主要研究如何采用云计算新建与整合安全基础设施资源，优化安全防护机制，包括通过云计算技术构建超大规模安全事件、信息采集与处理平台，实现对海量信息的采集与关联分析，提升全网安全事件把控能力及风险控制能力；3.云安全服务，主要研究各种基于云计算平台为用户提供的安全服务，如防病毒服务等。比如，本申请可以通过云服务器对目标数据记性加密，得到加密信息，然后将该加密信息下发至业务节点中。

在一种可能的实施方式中，本申请实施例还可以应用于区块链领域中，本申请的技术方案可以应用于区块链领域，区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链(Blockchain)，本质上是一个去中心化的数据库，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一批次网络交易的信息，用于验证其信息的有效性(防伪)和生成下一个区块。可选的，本申请涉及的数据如密钥材料、密文数据、加密信息等中的一种或多种可存储区块链中。例如，可以将比如将本申请实施例中涉及的加密信息存储至区块链的节点中，以便于在下发目标数据的加密信息时，从区块链的节点中获取加密信息，由于区块链中的数据不可篡改，从而保证该加密信息的准确性。

可以理解，上述场景仅是作为示例，并不构成对于本申请实施例提供的技术方案的应用场景的限定，本申请的技术方案还可应用于其他场景。例如，本领域普通技术人员可知，随着系统架构的演变和新业务场景的出现，本申请实施例提供的技术方案对于类似的技术问题，同样适用。

基于上述的描述，本申请实施例提出一种数据处理方法。请参见图2，图2是本申请实施例提供的一种数据处理方法的流程示意图。该方法可以应用于上述服务器中，由上述服务器执行。该方法可以包括步骤S201-S203。

S201、获取目标数据以及目标数据对应的密钥材料。

其中，该目标数据可以为需要进行加密的数据。例如，可以为通过传输层安全(Transport Layer Security，TLS)协议进行通信的私钥；又如，服务器中存储的配置文件(如数据库的用户名和密码)，此处不一一列举。可选的，该目标数据可以为在容器编排过程中需要进行加密的数据，比如，通过TLS实现服务器与业务节点之间通信时的私钥，又如，部署至的业务节点的敏感信息，如业务配置信息、敏感凭据等等。该密钥材料可以为用于生成加密密钥的一段字符串或这一个包含字符串信息的文件，此处不做限制。该容器(Container)可以理解为一组受到资源限制，彼此间相互隔离的进程，可选的，该容器可以为云原生可移植容器，此处不做限制，云原生可移植容器用于指示既可以运行在本地服务器也可以运行在云环境中的可以移植的容器。

在一种可能的实施方式中，在确定目标数据之前，可以接收用户针对存入服务器的部分或全部数据进行的加密标记，以便于确定需要加密的数据，则确定目标数据可以包括以下步骤：检测加密标记，将加密标记对应的数据确定为目标数据。该加密标记可以为用户在进行数据配置时，确定是否对数据进行加密的标记。例如，用户在配置业务数据时，确定对数据库A的用户名和密码进行加密，并添加了加密标记，则服务器会将数据库A的用户名和密码确定为目标数据，以便于后续对目标数据进行加密。

在一种可能的实施方式中，该密钥材料可以由用户自行定义并注册。具体的，用户可以通过服务器的密钥材料注册接口将定制的密钥材料注册到服务器中，并在检测到密钥材料注册成功后，将密钥材料保存至存储区域中。例如，通过密钥材料注册接口(如RegisteKeyMaterial接口)对密钥材料进行注册，该RegisteKeyMaterial接口可以包括以下参数：密钥材料名称(如KeyMaterialName)、密钥材料内容(如KeyMaterialContent)。该密钥材料名称用于指示密钥材料的名称，以便于密钥导出函数对密钥材料进行调用。可选的，该密钥材料名称可以为string类型对象。该密钥材料内容用于指示密钥材料的具体内容，如密钥材料包含的字符串。可选的，该密钥材料内容可以表示为字节数组byte[]。该密钥材料注册接口可以返回true/false以便于服务器判断密钥材料是或否注册成功，例如，若返回false则表示密钥材料注册失败，若返回true则表示密钥材料注册成功，则将注册的密钥材料保存至存储区域中。

S202、根据密钥材料确定加密密钥，并利用加密密钥对目标数据进行加密，得到目标数据对应的密文数据。

其中，该加密密钥可以为对目标数据进行加密的信息，如一串字符串，可选的，该加密密钥可以根据密钥材料进行计算得到，如通过密钥导出函数(Key derivationfunction)进行计算得到。该目标数据对应的密文数据用于指示对目标数据进行加密后得到的数据，换句话说就是，将目标数据通过加密密钥进行加密后，目标数据的内容转换为与目标数据不同的字符串，从而不能直接识别目标数据的内容，需要对加密后的数据进行解密，减少数据泄露的风险。

在一种可能的实施方式中，根据密钥材料确定加密密钥还可以包括以下步骤：确定密钥导出参数信息，该密钥导出参数信息可以包括以下一项或多项：盐值、密钥长度、迭代次数。进而可利用密钥材料以及密钥导出参数信息确定加密密钥，比如可以调用密钥材料以及密钥导出参数信息，依照密钥导出函数计算出加密密钥。其中，该盐值为在加密过程中添加的一个随机值，如可以通过随机数生成器生成一个安全随机数。该密钥长度用于指示生成的加密密钥的长度。该密钥长度可以为正整数，可选的，该密钥长度可以由用户自定义，一般可以为32的整数倍。该迭代次数可以为指示在通过密钥导出函数计算加密密钥时，重复计算依照密钥材料和盐值生成字符串的次数。例如，通过密钥材料和盐值生成一个字符串后，再将该字符串作为新的盐值与密钥材料生成新的字符串，以此类推进行迭代计算，可以将最后一次计算得到的字符串作为加密密钥，则若需要计算M次字符串，则将迭代次数记为M次。显然，迭代次数越多最终计算得到的加密密钥破解时难度越大，所以迭代次数可以设置为大于5000次的数值，但也不应设置过大，以免在正常业务流程中解密时消耗太多时间。

可选的，该迭代次数可以根据目标数据的重要等级、目标数据对应的容器标识等信息确定出。例如，目标数据的重要等级越高，迭代次数可以设置为越大，反之，迭代次数可以设置为越小。又如，目标数据对应的部署容器的容器标识指示容器优先级越高，迭代次数可以设置为越大，反之，迭代次数可以设置为越小。迭代次数和目标数据的重要等级的对应关系，或者，迭代次数和目标数据对应的容器标识的优先级的对应关系，或者，迭代次数和目标数据的重要等级、目标数据对应的容器标识的优先级三者之间的对应关系，均可预先设置得到，本申请不做限定。

例如，通过pbkdf2(Password-Based Key Derivation Function)函数生成加密密钥，该pbkdf2函数可以包括以下参数：密钥材料名称(如KeyMaterialName)、盐值(如Salt)、迭代次数(如Itercount)、密钥长度(如Length)，即该密钥导出函数可以表示为pbkdf2(KeyMaterialName，Salt，Itercount，Length)，服务器可以通过密钥材料名获取该密钥材料名称对应的密钥材料内容，该密钥材料内容即为一种上述的密钥材料，从而根据盐值(Salt)和密钥材料内容确定一个字符串U1，然后将U1作为新的盐值与密钥材料内容确定一个新的字符串U2，以此类推，在计算迭代次数(Itercount)指示的计算次数后，得到字符串Ui，则将Ui确定为加密密钥，该加密密钥的长度的为密钥长度(Length)。

在一种可能的实施方式中，利用加密密钥对目标数据进行加密可以对目标数据进行对称加密(也可称为私钥加密)，如DES算法、RC算法、AES算法等等。对称加密可以是指加密与解密时采用相同加密密钥的方式，若想解密密文数据得到明文数据，则需要使用加密时的加密密钥及相同算法的逆算法对密文进行解密，才能使其恢复成可读明文数据。

例如，采用AES 256CBC模式根据加密密钥对目标数据加密时，需要以下参数：加密密钥(encryptkey)、加密向量(Iv)。该加密密钥即为步骤S202中生成的加密密钥，该加密向量为一组随机数，可以通过安全随机数生成器生成，从而可以根据加密密钥与加密向量生成目标数据对应的密文数据。由于引入了随机数加密向量，提高了不知道加密向量的入侵者破解密文数据的难度，从而提高的安全性。

S203、根据密文数据、密钥材料生成加密信息，并将加密信息下发至业务节点。

其中，该加密信息可以包括密文数据和密钥材料的信息，以便于在解密密文数据时，根据密钥材料生成加密密钥，然后通过加密密钥对密文数据进行解密。此处不根据密文数据和加密密钥生成加密信息，从而可以实现对加密密钥的保护。若直接根据加密密钥生成加密信息，可能很容易根据加密密钥对密文数据进行解密，相当于上述密文数据的加密是无效的，保护作用较差。

在一种可能的实施方式中，根据密文数据、密钥材料生成加密信息可以是根据密文数据、密钥材料进行密钥混淆处理，以得到加密信息。例如，根据密文数据、密钥材料生成加密信息该可以包括以下步骤：对密文数据、密钥材料进行编码，得到密文数据编码、密钥材料编码；依照拼接规则对密文数据编码、密钥材料编码进行拼接，得到加密信息。对密文数据和密钥材料进行编码可以采用Base64或URL编码等编码方式，此处不做限制。该拼接规则可以用于指示密文数据编码、密钥材料编码进行拼接时拼接的位置信息，还可以用于指示密文数据编码、密钥材料编码进行拼接时每种编码对应的位数信息，如可以将加密信息拼接为：加密信息＝base64(密文数据)|base64(密钥材料)，或者加密信息＝base64(密文数据)|base64(密钥材料)，此处不做限制，该base64(密文数据)或base64(密钥材料)用于指示通过base64的编码方式分别对密文数据和密钥材料进行编码后的数据。上述对密文数据和密文材料进行编码和拼接也可以称为密钥混淆，由此可以去除密文数据和密钥材料中的不可见字符，还可以减少入侵者直接根据密文数据和密钥材料的命名获取信息的几率，减少密文数据被破解的几率，提高安全性。

在一种可能的实施方式中，还可以根据生成加密密钥的过程中的必要信息与密文数据、密钥材料生成加密信息，该必要信息可以包括生成加密密钥时的密钥导出参数信息，还可以包括根据加密密钥生成密文数据时的加密向量，此处不做限制。则根据密文数据、密钥材料生成加密信息该可以包括以下步骤：分别对密文数据、密钥材料、必要信息进行编码，得到密文数据编码、密钥材料编码、必要信息编码；依照拼接规则对密文数据编码、密钥材料编码、必要信息编码进行拼接，得到加密信息。例如，可以对密文数据、密钥材料、加密向量和盐值分别进行编码，得到密文数据编码、密钥材料编码、加密向量编码和盐值编码，然后对密文数据编码、密钥材料编码、加密向量编码和盐值编码依照拼接规则进行拼接，如可以将加密信息拼接为：加密信息＝base64(密文数据)|base64(加密向量)|base64(密钥材料)|base64(盐值)，或加密信息＝base64(加密向量)|base64(密文数据)|base64(密钥材料)|base64(盐值)，或加密信息＝base64(盐值)|base64(密文数据)|base64(密钥材料)|base64(加密向量)，此处不做限制，该base64(密文数据)、base64(密钥材料)、base64(盐值)或base64(加密向量)用于指示通过base64的编码方式分别对密文数据、密钥材料、盐值或加密向量进行编码后的数据。以便于后续从密文信息中获取上述相关信息(如密文数据、密钥材料、必要信息)，从而进行解密。

在一种可能的实施方式中，可以将获取的加密信息存储至存储区域，如存储至etcd数据库中，以便于后续对目标数据进行部署时获取目标数据的加密信息，则将加密信息下发至业务节点，可以包括以下步骤：接收针对业务节点的容器编排指令，从存储区域中获取目标数据对应的加密信息；根据容器编排指令将目标数据的加密信息下发至业务节点。该针对业务节点的容器编排指令用于指示服务器接收到的部署或管理该业务节点中的容器的指令，可以指令可以是用户发起的针对业务节点中的容器的部署或管理的指令，也可以是根据业务节点反馈的信息确定对业务节点中的容器进行部署或管理的指令，此处不做限制。显然，该容器编排指令可以指示将服务器的一些数据下发至业务节点，若需要下发至业务节点中的数据中包含目标数据，则从存储区域中获取目标数据对应的加密信息，以便于在将目标数据下发至业务节点时，实现对目标数据的保护。服务器依照容器编排指令将数据下发至业务节点可以通过服务器中的接口服务组件将加密信息连同容器编排指令指示下发的其他数据一起下发至业务节点，以供业务节点调用。可选的，该服务器可以为容器编排工具对应的服务器，容器编排是指自动化容器的部署、管理、扩展和联网，从而为需要部署和管理成百上千个

容器和主机的企业提供便利，该容器编排工具可以为kubernetes，mesos，swarm等，此处不做限制。

在一种可能的实施方式中，服务器还可以采用白盒加密的加密方法，生成目标数据对应的密文数据。白盒加密也属于一种对称加密方法，能够将加密密钥与加密算法进行结合，生成一个加密表和解密表，并且对加密表和解密表中的信息进行混淆。该加密表用于对目标数据进行加密，该解密表用于对目标数据对应的密文数据进行解密。因此，服务器可以通过查找加密表对目标数据进行加密，得到密文数据，然后对密文数据以及加密密钥进行混淆(如进行编码和拼接)，从而生成加密信息，将加密信息下发至业务节点，以便于业务节点根据解密信息进行解密。

此处以通过用Kubernetes(简称k8s)容器编排工具的服务器对需要加密的数据进行加密为例，对服务器的加密流程进行阐述。请参见图3，图3是本申请实施例提供的数据加密方法的流程示意图。可以理解的是，可以对服务器的程序或进程进行划分，得到平台服务组件、加密服务组件、接口服务组件(API server)、部署服务组件等模块。平台服务组件可以通过密钥材料注册接口(如RegisteKeyMaterial接口)接收到用户的密钥材料注册指令，将密钥材料注册到加密服务组件中(步骤301)；若加密服务组件接收到平台服务组件针对密钥材料的注册请求，则对密钥材料进行保存(步骤302)；然后平台服务组件在处理数据的时候，识别出哪些信息需要进行加密，若不需要加密，则凭条服务组件直接对该不需要加密的数据进行存储(步骤304)，若需要加密，则确定该需要加密的数据为目标数据(步骤305)，然后平台服务组件向加密服务组件发送加密请求，该加密请求中可以包括加密需要的参数，如密钥材料、目标数据等；加密服务组件在接收到针对目标数据的加密请求后，确定密钥到处函数需要的参数(如密钥材料、盐值、迭代次数、密钥长度等)，根据密钥导出函数(如pbkdf2函数)确定出加密密钥(步骤306)；然后调用该加密密钥对目标数据进行加密，如通过AES 256CBC对目标数据进行加密，从而得到目标数据对应的密文数据(步骤307)；再对密文数据、密钥材料以及其他必要信息进行编码和拼接，也称密钥混淆，从而得到最终的加密信息(步骤308)；加密服务组件将该加密信息返回至平台服务组件；平台服务组件获取加密服务组件的发送的加密信息(步骤309)，并对该加密信息进行存储；服务调用接口将服务平台中的加密信息或者不需要加密的数据存储至存储区域，该存储区域可以是Kubernetes(简称k8s)容器编排工具默认的ETCD存储系统，也可以是其他存储区域，此处不做限制；当接收到用户发起的容器编排指令(或称为容器部署请求)时，部署服务组件启动部署流程，从存储区域中获取需要部署的数据可以包括目标数据的加密信息，也可以不包括目标数据)，即步骤3011，将需要部署的数据下发至业务节点中(步骤3012)。

本申请实施例获取目标数据以及目标数据对应的密钥材料，根据密钥材料确定加密密钥，并利用加密密钥对目标数据进行加密，得到目标数据对应的密文数据，然后根据密文数据、密钥材料生成加密信息，并将加密信息下发至业务节点，以实现将密文数据和密钥材料下发至业务节点，由此对目标数据、加密密钥以及生成加密密钥的密钥材料进行保护，由此可以提高下发至业务节点的目标数据的安全性。

请参见图4，图4是本申请实施例提供的另一种数据处理方法的流程示意图。该方法可以应用于上述业务节点中，比如由上述业务节点如物理主机或虚拟机执行。该方法可以包括步骤S401-S404。

S401、接收服务器下发的针对目标数据的加密信息。

其中，该服务器可以为执行图2所示数据处理方法的服务器。该目标数据的加密信息用于指示目标数据对应的密文数据的信息以及目标数据加密时采用的密钥材料的信息。该加密信息的获取方式可以参照步骤S203，此处不做赘述。

可选的，业务节点在接收到服务器下发的加密信息后，可以将该加密信息保存至业务节点对应的存储区域中，以便于后续需要调用目标数据时，从该存储区域中获取目标数据的加密信息，从而根据该加密信息进行解密得到目标数据对应的明文数据。

S402、当接收到针对目标数据的解密请求时，解析加密信息，得到目标数据对应的密文数据、密钥材料。

其中，该解密请求用于指示业务节点启动某个需要获取加密信息对应的目标数据的程序时发起的请求，业务节点响应于该针对目标数据的解密请求，对加密信息进行解析，得到密文数据及密钥材料，可以理解的是，解析加密信息的过程相当于上述步骤S203中根据密文数据、密钥材料生成加密信息的逆向过程，也就是说步骤S203依据密文数据、密钥材料生成加密信息，步骤S402依照加密信息获取密文数据、密钥材料。

在一种可能的实施方式中，若生成加密信息的过程为：对密文数据、密钥材料进行编码，得到密文数据编码、密钥材料编码；依照拼接规则对密文数据编码、密钥材料编码进行拼接，得到加密信息。则对应的，解析加密信息得到密文数据和密钥材料的过程可以包括以下步骤：依照拼接规则解析加密信息，得到密文数据编码、密钥材料编码；对密文数据编码、密钥材料编码进行解码，得到密文数据、密钥材料。其中，该拼接规则与服务器生成加密信息时的拼接规则相对应，对密文数据和密钥材料的解码规则也与服务器生成加密信息时的编码规则相对应。例如，若服务器生成的加密信息为加密信息＝base64(密文数据)|base64(密钥材料)，则在解析加密信息时，分别获取base64(密文数据)和base64(密钥材料)指示的长度的字符串作为密文数据编码和密钥材料编码，然后依照base64的编码方式对该密文数据编码和密钥材料编码得到密文数据和密钥材料。

在一种可能的实施方式中，若生成加密信息的过程为：分别对密文数据、密钥材料、必要信息进行编码，得到密文数据编码、密钥材料编码、必要信息编码；依照拼接规则对密文数据编码、密钥材料编码、必要信息编码进行拼接，得到加密信息。则对应的，解析加密信息得到密文数据和密钥材料的过程可以包括以下步骤：依照拼接规则解析加密信息，得到密文数据编码、密钥材料编码以及必要信息编码；对密文数据编码、密钥材料编以及必要信息编码进行解码，得到密文数据、密钥材料以及必要信息。其中，该拼接规则与服务器生成加密信息时的拼接规则相对应，对密文数据和密钥材料的解码规则也与服务器生成加密信息时的编码规则相对应。例如，若服务器生成的加密信息为：加密信息＝base64(密文数据)|base64(加密向量)|base64(密钥材料)|base64(盐值)，则在解析加密信息时，分别获取base64(密文数据)、base64(加密向量)、base64(密钥材料)以及base64(盐值)指示的长度的字符串作为密文数据编码、加密向量编码、密钥材料编码以及盐值编码，然后依照base64的编码方式对该密文数据编码和密钥材料编码得到密文数据、密钥材料、加密向量以及盐值。

S403、根据密钥材料确定加密密钥。

其中，该根据密钥材料确定加密密钥的步骤可以参照步骤S202中根据密钥材料确定加密密钥的步骤，此处不做赘述，在业务节点对加密信息进行解密的过程中确定加密密钥的方法，应与服务器计算机密密钥时的参数及计算方法一致。

具体的，在一种可能的实施方式中，根据密钥材料确定加密密钥可以包括以下步骤：确定密钥导出参数信息，密钥导出参数信息可以包括以下一项或多项：盐值、密钥长度、迭代次数；该密钥导出参数信息与服务器计算加密密钥时的密钥导出参数信息相匹配；利用密钥材料以及密钥导出参数信息计算出加密密钥。其中，该密钥导出参数信息可以通过步骤S402中从加密信息中获取，如从加密信息中解析得到盐值，该密钥到处参数信息也可以为服务器与业务节点约定好的数值，如密钥长度或迭代次数，可以理解的是，若密钥长度或迭代次数在每次对需要加密的数据进行加密时可以不同，则服务器在生成加密信息时还可以根据迭代次数或密钥长度生成加密信息，那么对应的，业务节点在解密过程中，还可以通过解析加密信息得到迭代次数或密钥长度。依照密钥导出函数(如pbkdf2)计算出加密密钥的步骤可以参照步骤S202，此处不做赘述。

S404、根据加密密钥对密文数据进行解密，得到目标数据对应的明文数据。

其中，该目标数据对应的明文数据用于指示对目标数据解密后的得到的数据，可以理解的是，该目标数据对应的明文数据也可以为目标数据的具体内容，此处与目标数据对应的密文数据进行区分，在一些场景中，也可以直接称目标数据对应的明文数据为目标数据。根据加密密钥对密文数据进行解密可以为根据密钥材料确定密文数据的逆过程，生成密文数据和解密密文数据应采用同一种加密方式，如均采用AES 256CBC方式。

此处以通过用Kubernetes(简称k8s)容器编排工具对应的业务节点对目标数据的加密信息进行解密为例，对业务节点的解密流程进行阐述。请参见图5，图5是本申请实施例提供的数据解密方法的流程示意图。可以理解的是，可以对业务节点的程序或进程进行划分，得到解密组件、管控组件(Kubelet)、应用后台等模块。管控组件或应用后台在启动某个需要获取加密信息对应的目标数据的程序时发起的请求时，从业务节点的存储区域中获取从服务器下发的加密信息(步骤501)，并将该加密信息发送给解密组件；解密组件在接收到针对目标数据的加密信息后，根据与对目标数据加密时相匹配的拼接规则以及编码方式对加密信息进行解析，得到密文数据、密钥材料、盐值、加密向量等信息(步骤502)；从而调用于加密时相匹配的密钥导出函数确定加密密钥(步骤503)；再根据生成的加密密钥以及加密向量对密文数据进行解密，得到目标数据对应的明文数据(步骤504)，并将获取的明文数据返回至管控组件或应用后台；管控组件或应用后台获取目标数据对应的明文数据(步骤505)，然后依照该目标数据对应的明文数据进行业务处理(步骤506)。

在一种可能的实施方式中，此处以通过用Kubernetes(简称k8s)容器编排工具进行容器编排时，对服务器对目标数据进行加密、业务节点对加密信息的进行解密的流程进行阐述。请参见图6，图6是本申请实施例提供的一种容器编排系统的效果示意图，可以包括服务器以及一个或多个业务节点。该服务器中可以包括多个模块，如平台服务组件、加密服务组件、接口服务组件(API server)、部署服务组件等模块，该各模块在进行加密时的加密流程可以参照图3所示的流程，此处不做赘述；该业务节点中可以包括解密组件、管控组件(Kubelet)、应用后台等模块，该业务节点中的各个模块在进行解密时的解密流程可以参照图5所示的流程，此处不做赘述。例如，业务节点1中具有应用1的后台，当业务节点1需要访问业务节点2中的应用1的某个数据库时，需要具有该数据库的用户名和密码，显然该用户名和密码是需要记性加密的数据，则服务器在将用户名和密码下发至业务节点时是对该用户名和密码进行加密的，也就是下发的该用户名和密码(即目标数据)的加密信息，则业务节点需要对该加密信息进行解密，得到明文数据的用户名和密码，才能访问该数据库，从而大大提升了访问数据库的安全性，减少信息泄露的几率。

本申请实施例接收服务器下发的针对目标数据的加密信息；当接收到针对目标数据的解密请求时，解析加密信息，得到目标数据对应的密文数据、密钥材料；根据密钥材料确定加密密钥；根据加密密钥对密文数据进行解密，得到目标数据对应的明文数据，由此对目标数据的加密信息进行解密，得到目标数据的明文数据，从而可以提高业务节点中的目标数据的安全性。

请参见图7，图7是本申请实施例提供的一种数据处理装置的结构示意图。可选的，该数据处理装置可以设置于服务器中。如图7所示，本实施例中所描述的数据处理装置可以包括：

获取单元701，用于获取目标数据以及所述目标数据对应的密钥材料；

处理单元702，用于根据所述密钥材料确定加密密钥，并利用所述加密密钥对所述目标数据进行加密，得到所述目标数据对应的密文数据；

所述处理单元702，还用于根据所述密文数据、所述密钥材料生成加密信息，并将所述加密信息下发至业务节点。

在一种实现方式中，所述处理单元702，具体用于：

对所述密文数据、所述密钥材料进行编码，得到密文数据编码、密钥材料编码；

依照拼接规则对所述密文数据编码、所述密钥材料编码进行拼接，得到加密信息。

在一种实现方式中，所述处理单元702，具体用于：

确定密钥导出参数信息，所述密钥导出参数信息可以包括以下一项或多项：盐值、密钥长度、迭代次数；

利用所述密钥材料以及所述密钥导出参数信息计算出加密密钥。

在一种实现方式中，所述目标数据为容器编排过程中的数据，所述处理单元702，还用于将所述加密信息存储至存储区域；所述处理单元702，具体用于：接收针对所述业务节点的容器编排指令，从所述存储区域中获取所述目标数据对应的加密信息；

根据所述容器编排指令将所述目标数据的加密信息下发至所述业务节点。

可以理解，本申请实施例中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。本申请实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

请参见图8，图8是本申请实施例提供的另一种数据处理装置的结构示意图。可选的，该数据处理装置可以设置于业务节点中。如图8所示，本实施例中所描述的数据处理装置可以包括：

接收单元801，用于接收服务器下发的针对目标数据的加密信息；

处理单元802，用于当接收到针对所述目标数据的解密请求时，解析所述加密信息，得到所述目标数据对应的密文数据、密钥材料；

所述处理单元802，还用于根据所述密钥材料确定加密密钥；

所述处理单元802，还用于根据所述加密密钥对所述密文数据进行解密，得到所述目标数据对应的明文数据。

在一种实现方式中，所述处理单元802，具体用于：

依照拼接规则解析所述加密信息，得到密文数据编码、密钥材料编码；

对所述密文数据编码、所述密钥材料编码进行解码，得到密文数据、密钥材料。

在一种实现方式中，所述处理单元802，具体用于：

确定密钥导出参数信息，所述密钥导出参数信息可以包括以下一项或多项：盐值、密钥长度、迭代次数；所述密钥导出参数信息与所述服务器计算加密密钥时的密钥导出参数信息相匹配；

利用所述密钥材料以及所述密钥导出参数信息计算出加密密钥。

可以理解，本申请实施例中对单元的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。本申请实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

请参见图9，图9是本申请实施例提供的一种服务器的结构示意图。本实施例中所描述的服务器，包括：处理器901、存储器902。可选的，该服务器还可包括网络接口903或供电模块等结构。上述处理器901、存储器902以及网络接口903之间可以交互数据。

上述处理器901可以是中央处理单元(Central Processing Unit，CPU)，该处理器还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

上述存储器902可以包括只读存储器和随机存取存储器，并向处理器901提供程序指令和数据。存储器902的一部分还可以包括非易失性随机存取存储器。其中，所述处理器901调用所述程序指令时用于执行：

获取目标数据以及所述目标数据对应的密钥材料；

根据所述密钥材料确定加密密钥，并利用所述加密密钥对所述目标数据进行加密，得到所述目标数据对应的密文数据；

根据所述密文数据、所述密钥材料生成加密信息，并将所述加密信息下发至业务节点。

在一种实现方式中，所述处理器901，具体用于：

对所述密文数据、所述密钥材料进行编码，得到密文数据编码、密钥材料编码；

依照拼接规则对所述密文数据编码、所述密钥材料编码进行拼接，得到加密信息。

在一种实现方式中，所述处理器901，具体用于：

确定密钥导出参数信息，所述密钥导出参数信息可以包括以下一项或多项：盐值、密钥长度、迭代次数；

利用所述密钥材料以及所述密钥导出参数信息计算出加密密钥。

在一种实现方式中，所述目标数据为容器编排过程中的数据，所述处理器901，还用于将所述加密信息存储至存储区域；所述处理器901，具体用于：接收针对所述业务节点的容器编排指令，从所述存储区域中获取所述目标数据对应的加密信息；

根据所述容器编排指令将所述目标数据的加密信息下发至所述业务节点。

请参见图10，图10是本申请实施例提供的一种业务节点的结构示意图。本实施例中所描述的业务节点，包括：处理器1001、存储器1002。可选的，该业务节点还可包括网络接口1003或供电模块等结构。上述处理器1001、存储器1002以及网络接口1003之间可以交互数据。

上述处理器1001可以是中央处理单元(Central Processing Unit，CPU)，该处理器还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

上述存储器1002可以包括只读存储器和随机存取存储器，并向处理器1001提供程序指令和数据。存储器1002的一部分还可以包括非易失性随机存取存储器。其中，所述处理器1001调用所述程序指令时用于执行：

接收服务器下发的针对目标数据的加密信息；

当接收到针对所述目标数据的解密请求时，解析所述加密信息，得到所述目标数据对应的密文数据、密钥材料；

根据所述密钥材料确定加密密钥；

根据所述加密密钥对所述密文数据进行解密，得到所述目标数据对应的明文数据。

在一种实现方式中，所述处理器1001，具体用于：

依照拼接规则解析所述加密信息，得到密文数据编码、密钥材料编码；

对所述密文数据编码、所述密钥材料编码进行解码，得到密文数据、密钥材料。

在一种实现方式中，所述处理器1001，具体用于：

确定密钥导出参数信息，所述密钥导出参数信息可以包括以下一项或多项：盐值、密钥长度、迭代次数；所述密钥导出参数信息与所述服务器计算加密密钥时的密钥导出参数信息相匹配；

利用所述密钥材料以及所述密钥导出参数信息计算出加密密钥。

本申请实施例还提供了一种计算机存储介质，该计算机存储介质中存储有程序指令，所述程序执行时可包括如图2或者图4对应实施例中的数据处理方法的部分或全部步骤。

需要说明的是，对于前述的各个方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某一些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

本申请实施例还提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。服务器的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该服务器执行上述各方法的实施例中所执行的步骤。

在本文中提及的“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于计算机存储介质中，该计算机存储介质可以为计算机可读存储介质，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

以上对本申请实施例所提供的数据处理方法、相关设备及介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种数据处理方法，其特征在于，包括：

获取目标数据以及所述目标数据对应的密钥材料；

根据所述密钥材料确定加密密钥，并利用所述加密密钥对所述目标数据进行加密，得到所述目标数据对应的密文数据；

根据所述密文数据、所述密钥材料生成加密信息，并将所述加密信息下发至业务节点。

2.根据权利要求1所述方法，其特征在于，所述根据所述密文数据、所述密钥材料生成加密信息，包括：

对所述密文数据、所述密钥材料进行编码，得到密文数据编码、密钥材料编码；

依照拼接规则对所述密文数据编码、所述密钥材料编码进行拼接，得到加密信息。

3.根据权利要求1所述方法，其特征在于，所述根据所述密钥材料确定加密密钥，包括：

确定密钥导出参数信息，所述密钥导出参数信息可以包括以下一项或多项：盐值、密钥长度、迭代次数；

利用所述密钥材料以及所述密钥导出参数信息计算出加密密钥。

4.根据权利要求1-3任一项所述方法，其特征在于，所述目标数据为容器编排过程中的数据；所述方法还包括：

将所述加密信息存储至存储区域；

将所述加密信息下发至业务节点，包括：

接收针对所述业务节点的容器编排指令，从所述存储区域中获取所述目标数据对应的加密信息；

根据所述容器编排指令将所述目标数据的加密信息下发至所述业务节点。

5.一种数据处理方法，其特征在于，包括：

接收服务器下发的针对目标数据的加密信息；

当接收到针对所述目标数据的解密请求时，解析所述加密信息，得到所述目标数据对应的密文数据、密钥材料；

根据所述密钥材料确定加密密钥；

根据所述加密密钥对所述密文数据进行解密，得到所述目标数据对应的明文数据。

6.根据权利要求5所述方法，其特征在于，所述解析所述加密信息，得到所述目标数据对应的密文数据、密钥材料，包括：

依照拼接规则解析所述加密信息，得到密文数据编码、密钥材料编码；

对所述密文数据编码、所述密钥材料编码进行解码，得到密文数据、密钥材料。

7.根据权利要求5所述方法，其特征在于，所述根据所述密钥材料确定加密密钥，包括：

确定密钥导出参数信息，所述密钥导出参数信息可以包括以下一项或多项：盐值、密钥长度、迭代次数；所述密钥导出参数信息与所述服务器计算加密密钥时的密钥导出参数信息相匹配；

利用所述密钥材料以及所述密钥导出参数信息计算出加密密钥。

8.一种服务器，其特征在于，包括处理器和存储器，所述处理器与所述存储器相互连接，其中，所述存储器用于存储计算机程序指令，所述处理器被配置用于执行所述程序指令，实现如权利要求1-4任一项所述的方法。

9.一种业务节点，其特征在于，包括处理器和存储器，所述处理器与所述存储器相互连接，其中，所述存储器用于存储计算机程序指令，所述处理器被配置用于执行所述程序指令，实现如权利要求5-7任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序指令，所述计算机程序指令被处理器执行时，用于执行如权利要求1-7任一项所述的方法。

Images