CN115422570B - 一种分布式存储的数据处理方法及系统 - Google Patents

一种分布式存储的数据处理方法及系统 Download PDF

Info

Publication number
CN115422570B
CN115422570B CN202211382268.7A CN202211382268A CN115422570B CN 115422570 B CN115422570 B CN 115422570B CN 202211382268 A CN202211382268 A CN 202211382268A CN 115422570 B CN115422570 B CN 115422570B
Authority
CN
China
Prior art keywords
key
encryption key
file
data
data encryption
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202211382268.7A
Other languages
English (en)
Other versions
CN115422570A (zh
Inventor
朱云
李元骅
可为
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Shudun Information Technology Co ltd
Original Assignee
Beijing Shudun Information Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Shudun Information Technology Co ltd filed Critical Beijing Shudun Information Technology Co ltd
Priority to CN202211382268.7A priority Critical patent/CN115422570B/zh
Publication of CN115422570A publication Critical patent/CN115422570A/zh
Application granted granted Critical
Publication of CN115422570B publication Critical patent/CN115422570B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/27—Replication, distribution or synchronisation of data between databases or within a distributed database system; Distributed database system architectures therefor
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供一种分布式存储的数据处理方法及系统，所述方法包括：接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求；从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，得到解密后的数据加密密钥，将所述解密后的数据加密密钥反馈所述客户端，使得所述客户端的加解密模块根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件，将所述加密数据文件存储于数据节点。本发明的方案实现了分布式大数据存储加密的安全性。

Description

一种分布式存储的数据处理方法及系统
技术领域
本发明涉及计算机信息处理技术领域，特别是指一种分布式存储的数据处理方法及系统。
背景技术
伴随着云计算、大数据、物联网、人工智能等信息技术的快速发展和传统产业数字化的转型，数据量呈现几何级增长，传统的关系数据存储方式已经越来越不能满足海量数据的存储需求，为了解决海量数据的存储，出现了一些基于分布式的大数据存储方案，现有技术中的分布式的大数据存储方案无法保证数据的安全性。
发明内容
本发明提供一种分布式存储的数据处理方法及系统。实现了分布式大数据存储加密的安全性。
为解决上述技术问题，本发明的技术方案如下：
一种分布式存储的数据处理方法，应用于大数据加密存储领域的密钥管理系统，所述方法包括：
接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求；
从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；
根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，得到解密后的数据加密密钥，将所述解密后的数据加密密钥反馈所述客户端，使得所述客户端的加解密模块根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件，将所述加密数据文件存储于数据节点。
可选的，接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求，包括：
通过文件目录管理节点接收客户端发送的创建文件请求；
根据所述创建文件请求创建密文数据加密密钥；
从所述关系型密钥库获取第二加密区密钥；
根据所述第二加密区密钥，生成目标密文数据加密密钥；
将所述目标密文数据加密密钥通过所述文件目录管理节点发送客户端；
接收客户端根据所述目标密文数据加密密钥，发送的数据加密密钥的解密请求。
可选的，分布式存储的数据处理方法，还包括：
接收分布式存储的客户端发送的目标密文数据加密密钥；
从所述关系型密钥库，获取第三加密区密钥；
根据所述第三加密区密钥，解密所述目标密文数据加密密钥，得到数据加密密钥；
将所述数据加密密钥发送客户端，使得所述客户端利用所述数据加密密钥通过加密引擎调用目标解密算法对从数据节点获取的加密数据文件进行解密，得到解密后的数据文件。
可选的，所述目标密文数据加密密钥是，客户端向文件目录管理节点发送读文件请求，并由文件目录管理节点将加密数据文件的目标密文数据加密密钥返回给客户端。
可选的，所述目标加密算法和所述目标解密算法均是：密码算法SM2、密码算法SM3、密码算法SM4、软算法、服务器密码机和密码服务平台的密码算法中的至少一种。
本发明的实施例还提供一种分布式存储的数据处理方法，应用于客户端，所述方法包括：
向分布式存储的密钥管理系统发送目标密文数据加密密钥的解密请求；
接收密钥管理系统从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，发送的解密后的数据加密密钥；
根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件；
将所述加密数据文件存储于数据节点。
可选的，分布式存储的数据处理方法，还包括：
向分布式存储的密钥管理系统发送目标密文数据加密密钥；
接收密钥管理系统从所述关系型密钥库，获取第三加密区密钥根据所述第三加密区密钥，解密所述目标密文数据加密密钥，发送的数据加密密钥；
利用所述数据加密密钥通过加密引擎调用目标解密算法对从数据节点获取的加密数据文件进行解密，得到解密后的数据文件。
本发明的实施例还提供一种密钥管理系统，包括：
收发模块，用于接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求；
处理模块，用于从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，得到解密后的数据加密密钥，将所述解密后的数据加密密钥反馈所述客户端，使得所述客户端的加解密模块根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件，将所述加密数据文件存储于数据节点。
本发明的实施例还提供一种客户端，包括：
收发模块，向分布式存储的密钥管理系统发送目标密文数据加密密钥的解密请求；接收密钥管理系统从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，发送的解密后的数据加密密钥；
处理模块，用于根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件；将所述加密数据文件存储于数据节点。
本发明的实施例还提供一种计算机可读存储介质，存储指令，当所述指令在计算机上运行时，使得计算机执行如上所述的方法。
本发明的上述方案至少包括以下有益效果：
通过接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求；从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，得到解密后的数据加密密钥，将所述解密后的数据加密密钥反馈所述客户端，使得所述客户端的加解密模块根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件，将所述加密数据文件存储于数据节点，实现了分布式大数据存储加密的安全性。
附图说明
图1是本发明实施例的密钥管理系统侧的分布式存储的数据处理方法的流程示意图；
图2是本发明实施例的密钥管理系统的数据调用流程示意图；
图3是本发明实施例的客户端的加解密模块的加密组件的调用流程示意图；
图4是本发明实施例的写文件流程示意图；
图5是本发明实施例的读文件流程示意图；
图6是本发明实施例的客户端侧的分布式存储的数据处理方法示意图；
图7是本发明实施例的密钥管理系统的模块示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
如图1所示，本发明的实施例提供一种分布式存储的数据处理方法，应用于密钥管理系统，所述方法包括：
步骤11，接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求；
步骤12，从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；
步骤13，根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，得到解密后的数据加密密钥，将所述解密后的数据加密密钥反馈所述客户端，使得所述客户端的加解密模块根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件，将所述加密数据文件存储于数据节点。
该实施例中，分布式存储的系统架构如图2和图3所示，客户端包括：文件存储接口，用于将数据文件存储于数据节点或者从数据节点中读取；密钥生成获取模块，用于与密钥管理系统进行交互，从而获得相应的数据加密密钥；加密解密模块用于利用数据加密密钥对数据文件进行加密或者对从数据节点中读取的数据文件进行解密等；
本发明的实施例中，密钥管理系统对身份认证、权限管理和密钥管理进行协同，从多维度对系统进行安全防护，密钥在安全硬件中产生，可以在硬件和/或密钥数据库中保存；具体的，加密解密模块通过密码接口模块可以调用加密引擎，调用相应的加解密算法，具体可以调用软算法、服务器密码机和密码服务平台的密码算法中的至少一种；其中，国密模块如密码算法SM2、密码算法SM3、密码算法SM4、密码算法SM3，软算法；同时，兼容国际算法（RSA、AES、SHA系列算法）服务器密码机为硬件加密设备，密服密管平台可以是加解密算法的相应设备和/或软件的集成平台。
通过从服务端获取当前设置采取的算法，以及所使用的算法以及引擎类型等参数信息。从服务端返回的信息保存在内存中，可供后续接口调用时使用，从而提高性能。
使用何种加密引擎、使用何种算法以及加密模式，都可以在后台管理系统进行设置，默认采用调用服务器密码机，算法采用SM4/CTR/NOPADDING。init()函数访问后台管理系统的地址在配置文件中进行配置。
本发明的一可选的实施例中，步骤11可以包括：
步骤111，通过文件目录管理节点接收客户端发送的创建文件请求；
步骤112，根据所述创建文件请求创建密文数据加密密钥；
步骤113，从所述关系型密钥库获取第二加密区密钥；
步骤114，根据所述第二加密区密钥，生成目标密文数据加密密钥；
步骤115，将所述目标密文数据加密密钥通过所述文件目录管理节点发送客户端；
步骤116，接收客户端根据所述目标密文数据加密密钥，发送的数据加密密钥的解密请求。
具体的写文件的流程如图4所示：
步骤41，客户端通过分布式文件交互，向文件目录管理节点（NameNode）发送创建文件请求；
步骤42，文件目录管理节点请求密钥管理系统（KMS）创建加密数据加密密钥EDEK；
步骤43，密钥管理系统（KMS）从关系型密钥库请求加密区密钥EZK，生成新的加密数据加密密钥EDEK；
步骤44，关系型密钥库返回EZK信息；
步骤45，密钥管理系统KMS将新生成的加密数据加密密钥EDEK返回给文件目录管理节点；文件目录管理节点将EDEK作为该文件元数据的扩展属性保存。
步骤46，文件目录管理节点返回EDEK给客户端；
步骤47，客户端接收EDEK，并向KMS请求解密后的密钥DEK；
步骤48，密钥管理系统向关系型密钥库请求该EDEK的EZK信息;
步骤49，关系型密钥库返回EZK信息；
步骤491，密钥管理系统用EZK对EDEK进行解密，并将解密后的DEK反馈给客户端；
步骤492，客户端利用DEK对数据文件进行加密，之后上传到数据节点（DataNode），这里的数据节点中存储的为加密数据文件；
步骤493数据节点返回写入成功应答。
这里，数据节点中的每个数据文件都使用唯一的数据加密密钥（data encryptionkey，DEK）进行加密，明文DEK被区域级加密密钥EZK加密：
加密区密钥（encryption zone key，EZK）加密成加密的数据加密密钥（encryptedDEK，EDEK）。
DEK不被永久保存，EDEK作为指定文件文件目录管理节点的元数据中的扩展属性永久保存。
KMS：负责生成加密密钥（EZK和DEK）、与密钥服务器通信以及解密EDEK。KMS通过密钥提供接口（KeyProvider）与密钥服务器进行通信。
本发明的一可选的实施例中，分布式存储的数据处理方法，还可以包括：
步骤21，接收分布式存储的客户端发送的目标密文数据加密密钥；
步骤22，从所述关系型密钥库，获取第三加密区密钥；
步骤23，根据所述第三加密区密钥，解密所述目标密文数据加密密钥，得到数据加密密钥；
步骤24，将所述数据加密密钥发送客户端，使得所述客户端利用所述数据加密密钥通过加密引擎调用目标解密算法对从数据节点获取的加密数据文件进行解密，得到解密后的数据文件。
这里，所述目标密文数据加密密钥是，客户端向文件目录管理节点发送读文件请求，并由文件目录管理节点将加密数据文件的目标密文数据加密密钥返回给客户端。
本发明的一可选的实施例中，所述目标加密算法和所述目标解密算法均是：密码算法SM4、密码算法SM3、软算法、服务器密码机和密码服务平台的密码算法中的至少一种。
具体的读文件的流程如图5所示，
步骤51，客户端向文件目录管理节点（NameNode）发送读文件请求；
步骤52，文件目录管理节点将加密数据文件的EDEK返回给客户端；
步骤53，客户端将EDEK发送给密钥管理系统（KMS）；
步骤54，密钥管理系统发送获取EZK请求到关系型密钥库；
步骤55，关系型密钥库返回对应的EZK，KMS收到EZK后解密EDEK得到DEK；
步骤56，密钥管理系统将DEK返回给客户端；
步骤57，客户端读取加密数据块并利用DEK解密。
本发明的上述实施例中，密钥管理系统的实现以及密钥管理系统为密码机、统一密服平台下发密钥以及密钥的管理遵循相关标准，在此不再进行单独说明。通过上述实施例所述的方案，可以实现大数据分布式存储加密的安全性和合规性。
如图6所示，本发明的实施例还提供一种分布式存储的数据处理方法，应用于客户端，所述方法包括：
步骤61，向分布式存储的密钥管理系统发送目标密文数据加密密钥的解密请求；
步骤62，接收密钥管理系统从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，发送的解密后的数据加密密钥；
步骤63，根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件；
步骤64，将所述加密数据文件存储于数据节点。
本发明的一可选的实施例中，向分布式存储的密钥管理系统发送目标密文数据加密密钥的解密请求，包括：
向文件目录管理节点发送创建文件请求；使得文件目录管理节点根据所述创建文件请求创建密文数据加密密钥；发送给密钥管理系统，由密钥管理系统从所述关系型密钥库获取第二加密区密钥；根据所述第二加密区密钥，生成目标密文数据加密密钥；
通过所述文件目录管理节点接收将密钥管理系统发送的所述目标密文数据加密密钥；
根据所述目标密文数据加密密钥，向密钥管理系统发送数据加密密钥的解密请求。
本发明的一可选的实施例中，分布式存储的数据处理方法，还包括：
步骤64，向分布式存储的密钥管理系统发送目标密文数据加密密钥；
步骤65，接收密钥管理系统从所述关系型密钥库，获取第三加密区密钥根据所述第三加密区密钥，解密所述目标密文数据加密密钥，发送的数据加密密钥；
步骤66，利用所述数据加密密钥通过加密引擎调用目标解密算法对从数据节点获取的加密数据文件进行解密，得到解密后的数据文件。
所述目标密文数据加密密钥是，客户端向文件目录管理节点发送读文件请求，并由文件目录管理节点将加密数据文件的目标密文数据加密密钥返回给客户端。
需要说明的是，该客户端侧的方法是与上述密钥管理系统相应的客户端，上述密钥管理系统侧的方法的所有实现方式均适用于该客户端侧的方法的实施例中，也能达到相同的技术效果。
如图7所示，本发明的实施例还提供一种密钥管理系统70，包括：
收发模块71，用于接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求；
处理模块72，用于从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，得到解密后的数据加密密钥，将所述解密后的数据加密密钥反馈所述客户端，使得所述客户端的加解密模块根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件，将所述加密数据文件存储于数据节点。
可选的，接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求，包括：
通过文件目录管理节点接收客户端发送的创建文件请求；
根据所述创建文件请求创建密文数据加密密钥；
从所述关系型密钥库获取第二加密区密钥；
根据所述第二加密区密钥，生成目标密文数据加密密钥；
将所述目标密文数据加密密钥通过所述文件目录管理节点发送客户端；
接收客户端根据所述目标密文数据加密密钥，发送的数据加密密钥的解密请求。
可选的，所述收发模块还用于：
接收分布式存储的客户端发送的目标密文数据加密密钥；
从所述关系型密钥库，获取第三加密区密钥；
根据所述第三加密区密钥，解密所述目标密文数据加密密钥，得到数据加密密钥；
将所述数据加密密钥发送客户端，使得所述客户端利用所述数据加密密钥通过加密引擎调用目标解密算法对从数据节点获取的加密数据文件进行解密，得到解密后的数据文件。
可选的，所述目标密文数据加密密钥是，客户端向文件目录管理节点发送读文件请求，并由文件目录管理节点将加密数据文件的目标密文数据加密密钥返回给客户端。
可选的，所述目标加密算法和所述目标解密算法均是：密码算法SM4、密码算法SM3、软算法、服务器密码机和密码服务平台的密码算法中的至少一种。
需要说明的是，该密钥管理系统是与上述密钥管理系统侧的方法相应的，上述密钥管理系统侧的方法的所有实现方式均适用于该密钥管理系统的实施例中，也能达到相同的技术效果。
本发明的实施例还提供一种客户端，包括：
收发模块，向分布式存储的密钥管理系统发送目标密文数据加密密钥的解密请求；接收密钥管理系统从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，发送的解密后的数据加密密钥；
处理模块，用于根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件；将所述加密数据文件存储于数据节点。
需要说明的是，该客户端是与上述客户端侧的方法相应的，上述客户端侧的方法的所有实现方式均适用于该客户端的实施例中，也能达到相同的技术效果。
本发明的实施例还提供一种计算机可读存储介质，存储指令，当所述指令在计算机上运行时，使得计算机执行如上所述的方法。上述各方法实施例中的所有实现方式均适用于该实施例中，也能达到相同的技术效果。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本发明所提供的实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
此外，需要指出的是，在本发明的装置和方法中，显然，各部件或各步骤是可以分解和/或重新组合的。这些分解和/或重新组合应视为本发明的等效方案。并且，执行上述系列处理的步骤可以自然地按照说明的顺序按时间顺序执行，但是并不需要一定按照时间顺序执行，某些步骤可以并行或彼此独立地执行。对本领域的普通技术人员而言，能够理解本发明的方法和装置的全部或者任何步骤或者部件，可以在任何计算装置（包括处理器、存储介质等）或者计算装置的网络中，以硬件、固件、软件或者它们的组合加以实现，这是本领域普通技术人员在阅读了本发明的说明的情况下运用他们的基本编程技能就能实现的。
因此，本发明的目的还可以通过在任何计算装置上运行一个程序或者一组程序来实现。所述计算装置可以是公知的通用装置。因此，本发明的目的也可 以仅仅通过提供包含实现所述方法或者装置的程序代码的程序产品来实现。也就是说，这样的程序产品也构成本发明，并且存储有这样的程序产品的存储介质也构成本发明。显然，所述存储介质可以是任何公知的存储介质或者将来所开发出来的任何存储介质。还需要指出的是，在本发明的装置和方法中，显然，各部件或各步骤是可以分解和/或重新组合的。这些分解和/或重新组合应视为本发明的等效方案。并且，执行上述系列处理的步骤可以自然地按照说明的顺序按时间顺序执行，但是并不需要一定按照时间顺序执行。某些步骤可以并行或彼此独立地执行。
以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (6)

1.一种分布式存储的数据处理方法，其特征在于，应用于密钥管理系统，所述方法包括：
接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求；
从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；明文数据加密密钥被加密区密钥加密；
根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，得到解密后的数据加密密钥，将所述解密后的数据加密密钥反馈所述客户端，使得所述客户端的加解密模块根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件，将所述加密数据文件存储于数据节点；所述数据节点中的每个数据文件都使用唯一的数据加密密钥进行加密；
其中，接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求，包括：
通过文件目录管理节点接收客户端发送的创建文件请求；
根据所述创建文件请求创建密文数据加密密钥；
从所述关系型密钥库获取第二加密区密钥；
根据所述密文数据加密密钥和所述第二加密区密钥，生成目标密文数据加密密钥；
将所述目标密文数据加密密钥通过所述文件目录管理节点发送客户端；所述文件目录管理节点保存所述目标密文数据加密密钥；
接收客户端根据所述目标密文数据加密密钥，发送的数据加密密钥的解密请求；
在客户端向文件目录管理节点发送读文件请求，并由文件目录管理节点将加密数据文件的目标密文数据加密密钥返回给客户端后，接收分布式存储的客户端发送的目标密文数据加密密钥；
从所述关系型密钥库，获取第三加密区密钥；
根据所述第三加密区密钥，解密所述目标密文数据加密密钥，得到数据加密密钥；
将所述数据加密密钥发送客户端，使得所述客户端利用所述数据加密密钥通过加密引擎调用目标解密算法对从数据节点获取的加密数据文件进行解密，得到解密后的数据文件。
2.根据权利要求1所述的分布式存储的数据处理方法，其特征在于，所述目标加密算法和所述目标解密算法均是：密码算法SM2、密码算法SM3、密码算法SM4、软算法、服务器密码机和密码服务平台的密码算法中的至少一种。
3.一种分布式存储的数据处理方法，其特征在于，应用于客户端，所述方法包括：
向文件目录管理节点发送创建文件请求；由所述文件目录管理节点将所述创建文件请求发送至分布式存储的密钥管理系统，由所述密钥管理系统根据所述创建文件请求创建密文数据加密密钥；从所述关系型密钥库获取第二加密区密钥；根据所述密文数据加密密钥和所述第二加密区密钥，生成目标密文数据加密密钥；将所述目标密文数据加密密钥通过所述文件目录管理节点发送客户端；所述文件目录管理节点保存所述目标密文数据加密密钥；
根据所述目标密文数据加密密钥，向分布式存储的密钥管理系统发送目标密文数据加密密钥的解密请求；
接收密钥管理系统从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥，根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，发送的解密后的数据加密密钥；明文数据加密密钥被加密区密钥加密；
根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件；
将所述加密数据文件存储于数据节点；
在客户端向文件目录管理节点发送读文件请求，并由文件目录管理节点将加密数据文件的目标密文数据加密密钥返回给客户端后，向分布式存储的密钥管理系统发送目标密文数据加密密钥；
接收密钥管理系统从所述关系型密钥库，获取第三加密区密钥根据所述第三加密区密钥，解密所述目标密文数据加密密钥，发送的数据加密密钥；
利用所述数据加密密钥通过加密引擎调用目标解密算法对从数据节点获取的加密数据文件进行解密，得到解密后的数据文件。
4.一种密钥管理系统，其特征在于，包括：
收发模块，用于接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求；
处理模块，用于从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；明文数据加密密钥被加密区密钥加密；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，得到解密后的数据加密密钥，将所述解密后的数据加密密钥反馈所述客户端，使得所述客户端的加解密模块根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件，将所述加密数据文件存储于数据节点；所述数据节点中的每个数据文件都使用唯一的数据加密密钥进行加密；
其中，接收分布式存储的客户端发送的目标密文数据加密密钥的解密请求，包括：
通过文件目录管理节点接收客户端发送的创建文件请求；
根据所述创建文件请求创建密文数据加密密钥；
从所述关系型密钥库获取第二加密区密钥；
根据所述密文数据加密密钥和所述第二加密区密钥，生成目标密文数据加密密钥；
将所述目标密文数据加密密钥通过所述文件目录管理节点发送客户端；
接收客户端根据所述目标密文数据加密密钥，发送的数据加密密钥的解密请求；
所述处理模块还用于在客户端向文件目录管理节点发送读文件请求，并由文件目录管理节点将加密数据文件的目标密文数据加密密钥返回给客户端后，接收分布式存储的客户端发送的目标密文数据加密密钥；
从所述关系型密钥库，获取第三加密区密钥；
根据所述第三加密区密钥，解密所述目标密文数据加密密钥，得到数据加密密钥；
将所述数据加密密钥发送客户端，使得所述客户端利用所述数据加密密钥通过加密引擎调用目标解密算法对从数据节点读取的加密数据文件进行解密，得到解密后的数据文件。
5.一种客户端，其特征在于，包括：
收发模块，用于向文件目录管理节点发送创建文件请求；由所述文件目录管理节点将所述创建文件请求发送至分布式存储的密钥管理系统，由所述密钥管理系统根据所述创建文件请求创建密文数据加密密钥；从所述关系型密钥库获取第二加密区密钥；根据所述密文数据加密密钥和所述第二加密区密钥，生成目标密文数据加密密钥；将所述目标密文数据加密密钥通过所述文件目录管理节点发送客户端；根据所述目标密文数据加密密钥，向分布式存储的密钥管理系统发送目标密文数据加密密钥的解密请求；接收密钥管理系统从关系型密钥库中，获取所述目标密文数据加密密钥的第一加密区密钥；明文数据加密密钥被加密区密钥加密；根据所述第一加密区密钥对所述目标密文数据加密密钥进行解密后，发送的解密后的数据加密密钥；
处理模块，用于根据所述数据加密密钥通过加密引擎调用目标加密算法对数据文件进行加密，得到加密数据文件；将所述加密数据文件存储于数据节点；
所述收发模块还用于在客户端向文件目录管理节点发送读文件请求，并由文件目录管理节点将加密数据文件的目标密文数据加密密钥返回给客户端后，向分布式存储的密钥管理系统发送目标密文数据加密密钥；接收密钥管理系统从所述关系型密钥库，获取第三加密区密钥根据所述第三加密区密钥，解密所述目标密文数据加密密钥，发送的数据加密密钥；
所述处理模块还用于利用所述数据加密密钥通过加密引擎调用目标解密算法对从数据节点获取的加密数据文件进行解密，得到解密后的数据文件。
6.一种计算机可读存储介质，其特征在于，存储指令，当所述指令在计算机上运行时，使得计算机执行如权利要求1至2任一项所述的方法或者如权利要求3所述的方法。
CN202211382268.7A 2022-11-07 2022-11-07 一种分布式存储的数据处理方法及系统 Active CN115422570B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211382268.7A CN115422570B (zh) 2022-11-07 2022-11-07 一种分布式存储的数据处理方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211382268.7A CN115422570B (zh) 2022-11-07 2022-11-07 一种分布式存储的数据处理方法及系统

Publications (2)

Publication Number Publication Date
CN115422570A CN115422570A (zh) 2022-12-02
CN115422570B true CN115422570B (zh) 2023-02-03

Family

ID=84208164

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211382268.7A Active CN115422570B (zh) 2022-11-07 2022-11-07 一种分布式存储的数据处理方法及系统

Country Status (1)

Country Link
CN (1) CN115422570B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116915510B (zh) * 2023-09-13 2023-12-01 北京数盾信息科技有限公司 一种基于高速加密算法的分布式存储系统
CN117278342B (zh) * 2023-11-23 2024-03-01 数字苏州建设有限公司 一种多环境Hadoop KMS代理服务方法及系统

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10298555B2 (en) * 2014-04-04 2019-05-21 Zettaset, Inc. Securing files under the semi-trusted user threat model using per-file key encryption
CN109104433A (zh) * 2018-09-28 2018-12-28 方信息科技（上海）有限公司 一种分布式加密存储系统
CN111143870B (zh) * 2019-12-30 2022-05-13 兴唐通信科技有限公司 一种分布式加密存储装置、系统及加解密方法
CN111565107B (zh) * 2020-07-14 2020-11-27 腾讯科技（深圳）有限公司 基于云服务平台的密钥处理方法、装置和计算机设备

Also Published As

Publication number Publication date
CN115422570A (zh) 2022-12-02

Similar Documents

Publication Publication Date Title
CN112929172B (zh) 基于密钥库动态加密数据的系统、方法及装置
CN108123800B (zh) 密钥管理方法、装置、计算机设备及存储介质
CN115422570B (zh) 一种分布式存储的数据处理方法及系统
KR101371608B1 (ko) Ｄｂｍｓ 및 데이터베이스에서 암호화 방법
US20120170740A1 (en) Content protection apparatus and content encryption and decryption apparatus using white-box encryption table
US20150363609A1 (en) Information Processing Method and Apparatus, Information Retrieval Method and Apparatus, User Terminal, and Server
US20040010699A1 (en) Secure data management techniques
CN103731432A (zh) 一种支持多用户的可搜索加密系统及方法
US20130185569A1 (en) Data protection system and method based on cloud storage
CN111274599A (zh) 一种基于区块链的数据共享方法及相关装置
US11128452B2 (en) Encrypted data sharing with a hierarchical key structure
CN108809936B (zh) 一种基于混合加密算法的智能移动终端身份验证方法及其实现系统
CN110740038B (zh) 区块链及其通信方法、网关、通信系统和存储介质
US20220209945A1 (en) Method and device for storing encrypted data
CN103236934A (zh) 一种云存储安全控制的方法
CN112685786A (zh) 一种金融数据加密、解密方法、系统、设备及存储介质
CN114500069A (zh) 一种电子合同的存储及共享的方法与系统
CN112787822B (zh) 一种大属性集下的基于sm9的属性加密方法及系统
CN111917711B (zh) 数据访问方法、装置、计算机设备和存储介质
CN112528309A (zh) 一种数据存储加密和解密的方法及其装置
US20160148021A1 (en) Systems and Methods for Trading of Text based Data Representation
CN110750326B (zh) 一种虚拟机的磁盘加解密方法以及系统
CN114866317B (zh) 多方的数据安全计算方法、装置、电子设备和存储介质
KR101812311B1 (ko) 사용자 단말 및 속성 재암호 기반의 사용자 단말 데이터 공유 방법
Mahmoud et al. Encryption based on multilevel security for relational database EBMSR

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP02 Change in the address of a patent holder
CP02 Change in the address of a patent holder

Address after: 100000 901, Floor 9, Building 7, Yard 8, BAIC Museum East Road, Fengtai District, Beijing

Patentee after: BEIJING SHUDUN INFORMATION TECHNOLOGY CO.,LTD.

Address before: 100094 room 101-502, 5th floor, building 10, yard 3, fengxiu Middle Road, Haidian District, Beijing

Patentee before: BEIJING SHUDUN INFORMATION TECHNOLOGY CO.,LTD.