CN115514523A - 一种基于零信任体系的数据安全访问系统、方法、装置及介质 - Google Patents

一种基于零信任体系的数据安全访问系统、方法、装置及介质 Download PDF

Info

Publication number
CN115514523A
CN115514523A CN202210977160.6A CN202210977160A CN115514523A CN 115514523 A CN115514523 A CN 115514523A CN 202210977160 A CN202210977160 A CN 202210977160A CN 115514523 A CN115514523 A CN 115514523A
Authority
CN
China
Prior art keywords
data
client
user
file
digital identity
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210977160.6A
Other languages
English (en)
Inventor
孙运传
石玉峰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Normal University
Shandong University
Original Assignee
Beijing Normal University
Shandong University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Normal University, Shandong University filed Critical Beijing Normal University
Priority to CN202210977160.6A priority Critical patent/CN115514523A/zh
Publication of CN115514523A publication Critical patent/CN115514523A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供了一种基于零信任体系的数据安全访问系统、方法、装置及介质，包括数据源、数据库、可信数据代理、零信任系统、数据网关、应用、客户端，基于用户数字身份标识，数据身份标识的思想，实现了数据来源可溯，数据使用者可控；数据传播可追溯；在一定程度上实现了数据生产、数据存储、到数据使用整个数据生命周期链的可控、可追溯。

Description

一种基于零信任体系的数据安全访问系统、方法、装置及介质
技术领域
本发明属于信息网络数据安全技术领域，具体涉及一种基于零信任体系的数据安全访问系统、方法、装置及介质。
背景技术
随着互联网、人工智能的发展，当前网络体系进入了万物互联的时代，同时也进入大数据时代，数据量有了暴发式增长。大数据为我们的生活带来便利、带来生产力的同时，也带了数据隐私被非法分子窃取利用的风险。如何做好数据安全保护，是当今信息学界热门研究的一个重要课题。
零信任代表了新一代的网络安全防护理念，它的关键在于打破默认的“信任”，用一句通俗的话来概括，就是“持续验证，永不信任”。默认不信任企业网络内外的任何人、设备和系统，基于身份认证和授权重新构建访问控制的信任基础，从而确保身份可信、设备可信、应用可信和链路可信。当前基于零信任的数据安全，主要体现在个性化的数据安全访问控制上，可基于用户身份，对用户对数据的访问控制达到“数据表、字段”级，不同的人可以访问不同的数据表、字段。对数据定点传输和使用，一般采用公钥加密、私钥解密的方式，确保数据只能被拥有私钥的人使用。
但是当前的基于零信任体系的数据访问系统依然存在以下不足：(1)对数据的存储，没有记录数据源的身份信息，对数据源难以追溯，这样，在对非法数据、伪造数据进行追溯时，难以找到提供者进行追责；(2)虽然采用公私钥方案，可以实现数据的专人使用，但需要PKI基础设施，部署难，并且公私钥加密性能偏低低，成本高，并且用户体验差；(3)在公私钥加密方案情况下不能满足数据多人共享的使用情况。
发明内容
基于上述技术现状，本发明的目的在于提供一种基于零信任体系的数据安全访问系统、方法、装置及介质，基于用户数字身份标识，数据身份标识的思想，实现了数据来源可溯，数据使用者可控；数据传播可追溯；在一定程度上实现了数据生产、数据存储、到数据使用整个数据生命周期链的可控、可追溯。
本发明采用的技术方案如下：一种基于零信任体系的数据安全访问系统，包括数据源、数据库、可信数据代理、零信任系统、数据网关、应用、客户端，数据源通过可信数据代理提供数据到数据网关，最后存储至数据库；可信数据代理用于在用户或者数据源通过数据服务访问数据时，接收数据服务然后向零信任系统进行用户或者数据源的权限鉴权，在零信任系统确认用户或者数据源有权限访问数据服务后反馈至可信数据代理，可信数据代理放行数据服务访问请求，将请求送到数据网关；所述零信任系统用于对用户、数据源、应用、数据网关进行统一身份管理，并为用户及数据源生成数字身份标识和数字身份密钥；所述数据网关是提供数据服务的系统，在接收数据服务请求后，和数据库进行交互，完成数据库的读、写；所述客户端通过应用进行业务访问和数据的获取。
所述数据网关为存储的数据记录及文件生成唯一数据身份标识，所述数据身份标识与数据源的数字身份标识及数字身份密钥相关联，其中数据身份标识＝(数据源数字身份标识|MD5(数据内容|数据源数字身份密钥))，数据身份标识作为标签记录在数据记录中，同时将数据身份标识、记录索引进行安全存储；所述数据网关还对存储的数据使用数据源或用户的身份密钥进行加密。
为实现单人数据访问和多人共享数据访问的功能，所述数据网关在用户或数据源读取数据时，包括两种读取方式：
方式一：用户或数据源携带令牌调用“单人使用get文件”接口，数据网关根据令牌获取用户数字身份标识和数字身份密钥，将数据使用数字身份密钥加密生成密文，然后生成MD5哈希值，将哈希值附加在密文之后，返回数据至客户端；
方式二：用户或数据源携带令牌调用“多人使用get文件”接口，在客户端显示的界面输入可共享使用的成员，数据网关根据令牌获取用户或数据源数字身份标识和数字身份密钥，然后将数据使用数字身份密钥加密生成密文，再根据待共享数据的成员列表依次生成与各成员相关的MD5哈希值，将哈希值以列表形式附加在密文之后，同时将用户或数据源的数字身份标识附加在哈希值列表之后，整理后的报文发送至客户端。
所述客户端嵌合沙箱，同时客户端对文件的数据身份标识进行校验，校验成功后对文件进行解密，解密后的文件以明文形式存储在沙箱，从数据网关读取的源文件可以复制出客户端，而解密后的明文文件无法从客户端取出，经过零信任系统认证后的用户可以在客户端打开文件查看内容。
本发明还请求保护一种基于零信任体系的数据安全访问方法，其应用本申请所述的数据安全访问系统，所述方法包括单人访问数据和多人共享数据两种情况，其中单人访问数据包括以下步骤：
S1：用户启动客户端，客户端访问零信任系统进行认证，获得用户令牌；
S2：客户端携带用户令牌访问应用，要求下载数据文件，选择单人使用下载；
S3：应用调用“单人使用get文件”API服务接口，进行数据网关的API访问；
S4：经过可信数据代理核验权限通过后，达到数据网关，数据网关提取用户令牌，根据令牌获取用户数字身份标识IDKey、数字身份密钥IDSecKey；
S5：将数据进行基于IDSecKey密码加密，生成密文SecContent，然后计算hash值：hashVal＝MD5(SecContent|IDKey)，将hashVal附加在SecContent之后，返回处理的数据至客户端；
S6：客户端接收数据后，将文件下载存储到沙箱目录，用客户端打开文件，开始处理文件：客户端从零信任系统获取数字身份标识IDKey，读取文件内容，将尾部的hash值取出为assertHashVal，并去掉该内容得到数据内容content，计算tmpHash＝MD5(content|IDKey)，如果assertHashVal＝tmpHash，报文合法；
S7：客户端携带数字身份标识IDKey从零信任系统获得数字身份密钥IDSecKey，使用数字身份密钥IDKey解密，获得明文文件，存在沙箱目录，该明文文件被客户端的沙箱保护，无法拷贝出来；
S8：用户可以在客户端查看明文文件，如果客户端更换账号，文件自动清除。
上述数据安全访问方法在多人共享数据时包括以下步骤：
S1：用户启动客户端，客户端访问零信任系统进行认证，获得用户令牌；
S2：客户端携带用户令牌访问应用，要求下载数据文件，选择多人使用下载；
S3：应用调用“多人使用get文件”API服务接口，进行数据网关的API访问；
S4：经过可信数据代理核验权限通过后，达到数据网关，数据网关展示页面让用户输入可使用账号，输入账号列表UserList；
S5：获取申请用户及UserList的各数字身份标识IDKey列表：IDKeyList，获取申请用户数字身份密钥IDSecKey；
S6：将数据进行基于数字身份密钥IDSecKey密码加密，加密后内容为SecContent，根据IDKeyList计算hash值列表：hashValList＝(MD5(SecContent|IDKey_1,……,IDKey_i))，i表示可使用数据的账号排序，将hashValList添加到SecContent后将申请用户的数字身份标识添加到最后，然后返回数据至客户端；
S7：客户端接收数据后，将文件下载存储到沙箱目录，用客户端打开文件，开始处理文件：从文件尾部获取数字身份标识assertIDKey，客户端从零信任系统获取数字身份标识IDKey；读取文件内容，将尾部的hash列表hashList取出，只剩下加密内容Seccontent；计算tmpHash＝MD5(content|IDKey)，如果tmpHash在hashList，报文合法；
S8：客户端携带assertIDKey从零信任系统获得数字身份密钥IDSecKey，使用IDSecKey解密，获得明文文件，存储在沙箱目录，该明文文件被客户端的沙箱保护，无法拷贝出来；
S9：用户可以在客户端查看明文文件，如果客户端更换账号，文件自动清除。
为实现上述目的，本发明还提出了一种基于零信任体系的数据安全访问装置，包括：至少一个处理器；至少一个存储器，用于存储至少一个程序；当所述至少一个程序被至少一个处理器执行，使得所述至少一个处理器实现如上文所述的数据安全访问方法。
为实现上述目的，本发明还提出了一种计算机存储介质，其中存储有处理器可执行的程序，其特征在于，所述处理器可执行的程序在由所述处理器执行时，实现如上文所述的数据安全访问方法。
本发明技术方案的优势在于：
(1)为存储的数据，采用数据身份标识方式记录数据源，可以从存储的数据中，获取到数据来源，每条记录有自己的数据身份标识，一条记录一证、一文件一证，通过数据身份标识，可以及时查询到数据来源，可以及时识别出存储的文件、被用户取出使用的文件，可以对非法数据、伪造数据溯源，方便追责；
(2)对存储的数据，记录hash校验值，用于数据防篡改，及时发现数据是否被篡改；
(3)对存储的数据，可采用数据源的密钥进行加密，可以此保证数据存储者和使用者的一致性；
(4)本专利技术还解决了现有技术不能多人共享数据或多人共享时存在风险的问题，实现对用户授权获取的数据文件进行如下使用控制：数据文件只能被授权使用人使用；数据文件仅可以被指定的多人使用；数据文件可以传播，但无法使用，避免被非法获取的风险。
附图说明
图1是本发明基于零信任体系的数据安全访问系统的主要组网架构图；
图2是本发明基于零信任体系的数据安全访问系统的数据源存数据的流程图；
图3是本发明基于零信任体系的数据安全访问系统的单人数据访问处理流程图；
图4是本发明基于零信任体系的数据安全访问系统的多人数据访问处理流程图；
图中：1、数据源，2、客户端，3、应用，4、可信数据代理，5、零信任系统，6、数据网关，7、数据库。
具体实施方式
为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本申请，并不用于限定本申请。
需要说明的是，虽然在系统示意图中进行了功能模块划分，在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于系统中的模块划分，或流程图中的顺序执行所示出或描述的步骤。说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。
在后续的描述中，使用用于表示元件的诸如“模块”、“部件”或“单元”的后缀仅为了有利于本发明的说明，其本身没有特有的意义。因此，“模块”、“部件”或“单元”可以混合地使用。
如图1所示，是本发明基于零信任体系的数据安全访问系统的主要组网架构图，本发明的基于零信任体系的数据安全访问系统，包括数据源1、数据库7、可信数据代理4、零信任系统5、数据网关6、应用3、客户端2，数据源1通过可信数据代理4提供数据到数据网关6，最后存储至数据库7；所述可信数据代理4用于在用户或者数据源通过数据服务访问数据时，接收数据服务然后向零信任系统5进行用户或者数据源的权限鉴权，在零信任系统5确认用户或者数据源有权限访问数据服务(数据访问API)后反馈至可信数据代理4，可信数据代理4放行数据服务访问请求，将请求送到数据网关6；所述零信任系统5用于对用户、数据源、应用、数据网关进行统一身份管理，并为用户及数据源生成数字身份标识；所述数据网关6是提供数据服务的系统，在接收数据服务请求后，和数据库7进行交互，完成数据库7的读、写，提供数据服务API；所述客户端2通过应用3进行业务访问和数据的获取。
所述零信任系统为数据源、用户的注册提供支持，为其生成数字身份标识、数字身份密钥，通过数字身份标识标识其唯一身份，该唯一身份对应唯一身份密钥，同时支持数据源、用户的认证，认证通过为该数据源或用户颁发标识其认证身份的令牌token，在具体实施例中，token格式可如下构成：数字身份标识+(Function(账号名，创建时间，有效期))，另外，零信任系统支持数据源、用户访问数据服务的权限管理，为可信数据代理提供用户访问数据服务的鉴权。
所述数据网关为存储的数据记录、文件生成唯一数据身份标识，所述数据身份标识与数据源的数字身份标识及数字身份密钥相关联，以数据内容content为例，生成数据身份标识方式如下：数据身份标识＝(数据源数字身份标识|MD5(content|数据源数字身份密钥))。数据身份标识作为标签记录在数据记录中，同时将数据身份标识、记录索引进行安全存储(如加密存储、区块链存储)。所述数据网关还可以对存储的数据使用数据源或用户的身份密钥进行加密，确保数据源/用户存储的数据只有自己可用，禁止他人使用。
为实现单人数据访问和多人共享数据访问的功能，所述数据网关在用户或数据源读取数据时，支持两种读取方式：
(1)读取数据只为自己使用：S1、携带令牌token调用“单人使用get文件”接口；S2、数据网关根据token获取用户数字身份标识IDKey和数字身份密钥IDSecKey；S3、将数据使用IDSecKey加密生成密文SecContent，然后进行hash赋值hashVal＝MD5(SecContent|IDKey)，将hashVal附加在SecContent之后，送到用户客户端；
(2)读取数据为多人使用：S1、携带token调用“多人使用get文件”接口；S2、用户在数据显示界面输入可共享使用的成员(必须为注册成员)；S3、数据网关根据token获取用户数字身份标识IDKey和数字身份密钥IDSecKey；S4、将数据使用IDSecKey加密生成密文SecContent，然后根据可以查看的成员列表，例如：user1、user2、…、userk，依次生成分别与各成员相关的hash值，hashVali＝MD5(SecContent|useri_IDKey)，将hashVali以列表形式附加在SecContent之后；S5、在列表之后，附加申请用户的身份证IDKey；S6、整理后的报文发送到客户端。
所述客户端嵌合沙箱，数据不落地，从数据网关读取的源文件可以复制出客户端，而解密后的明文文件无法从客户端取出，同时客户端对文件的数据身份标识进行校验，校验成功后对文件进行解密，解密后的文件以明文形式存储在沙箱，经过零信任系统认证后的用户可以在客户端打开文件查看内容。
基于本发明的数据安全访问系统，为用户、数据源建立数字身份标识，通过数字身份标识可以查询出用户、数据源存储的数据，为数据建立与数字身份标识相关联的数据身份标识，一条记录一证、一文件一证，可以及时查询数据的来源，可以及时识别出存储的文件、被用户取出使用的文件、数据是否被篡改，且可以对非法数据、伪造数据溯源，方便追责。
下面结合流程图图2-图4对本发明数据源存数据的流程和数据访问流程进一步介绍如下：
参见图2，是本发明基于零信任体系的数据安全访问系统的数据源存数据的流程图，数据源在零信任系统注册，零信任系统为其生成并存储数字身份标识IDKey和数字身份密钥SecKey，数据源在零信任系统认证，获得包含有数字身份标识IDKey信息的身份token，然后数据源调用数据网关的数据服务API接口，携带token进行数据同步，经过可信数据代理核验权限通过后，达到数据网关，数据网关为数据生成数据身份标识，如果需要加密，则采用数据源的数字身份密钥SecKey加密，将数据身份标识以标签形式添加到记录，然后将数据身份标识信息、数据源或用户信息(包括账户名、数据源或用户数字身份标识、记录索引或文件索引)安全存储到数据库，如：加密存储、区块链存储；最后核验数据记录、文件是否被篡改：重新计算记录或文件的MD5 hash值，从数据身份标识库获取到该条记录的数据身份标识获得数据源数字身份标识，利用MD5 hash值、身份密钥、数据源数字身份标识计算数据身份标识，判断和加密存储的数据身份标识是否一致，若不一致，则数据记录、文件被篡改。
图3是本发明基于零信任体系的数据安全访问系统的单人数据访问处理流程图，数据读取及专人使用时包括如下步骤：
S1：用户启动客户端，客户端访问零信任系统进行认证，获得用户令牌token；
S2：客户端携带用户令牌token访问应用，要求下载数据文件，选择单人使用下载；
S3：应用调用“单人使用get文件”API服务接口，进行数据网关的API访问；
S4：经过可信数据代理核验权限通过后，达到数据网关，数据网关提取用户令牌token，根据token获取用户数字身份标识IDKey、数字身份密钥IDSecKey；
S5：将数据进行基于IDSecKey密码加密，生成密文SecContent，然后计算hash值：hashVal＝MD5(SecContent|IDKey)，将hashVal附加在SecContent之后，返回处理的数据至客户端；
S6：客户端接收数据后，将文件下载存储到沙箱目录，用客户端打开文件，开始处理文件：客户端从零信任系统获取数字身份标识IDKey，读取文件内容，将尾部的hash值取出为assertHashVal，并去掉该内容得到数据内容content，计算tmpHash＝MD5(content|IDKey)，如果assertHashVal＝tmpHash，报文合法；
S7：客户端携带数字身份标识IDKey从零信任系统获得数字身份密钥IDSecKey，使用数字身份密钥IDKey解密，获得明文文件，存在沙箱目录，该明文文件被客户端的沙箱保护，无法拷贝出来；
S8：用户可以在客户端查看明文文件，如果客户端更换账号，文件自动清除。
图4是本发明基于零信任体系的数据安全访问系统的多人数据访问处理流程图，需要多人共享数据时，包括如下步骤：
S1：用户启动客户端，客户端访问零信任系统进行认证，获得用户令牌token；
S2：客户端携带用户令牌token访问应用，要求下载数据文件，选择多人使用下载；
S3：应用调用“多人使用get文件”API服务接口，进行数据网关的API访问；
S4：经过可信数据代理核验权限通过后，达到数据网关，数据网关展示页面让用户输入可使用账号，输入账号列表UserList；
S5：获取申请用户及UserList的各数字身份标识IDKey列表：IDKeyList，获取申请用户数字身份密钥IDSecKey；
S6：将数据进行基于数字身份密钥IDSecKey密码加密，加密后内容为SecContent，根据IDKeyList计算hash值列表：hashValList＝(MD5(SecContent|IDKey_1,……,IDKey_i))，i表示可使用数据的账号，将hashValList添加到SecContent后将申请用户的数字身份标识添加到最后，然后返回数据至客户端；
S7：客户端接收数据后，将文件下载存储到沙箱目录，用客户端打开文件，开始处理文件：从文件尾部获取数字身份标识assertIDKey，客户端从零信任系统获取数字身份标识IDKey；读取文件内容，将尾部的hash列表hashList取出，只剩下加密内容Seccontent；计算tmpHash＝MD5(content|IDKey)，如果tmpHash在hashList，报文合法；
S8：客户端携带assertIDKey从零信任系统获得数字身份密钥IDSecKey，使用IDSecKey解密，获得明文文件，存储在沙箱目录，该明文文件被客户端的沙箱保护，无法拷贝出来；
S9：用户可以在客户端查看明文文件，如果客户端更换账号，文件自动清除。
本发明的技术方案，对于取出的数据文件，解密后可见的明文数据无法从客户端取出，实现明文数据的禁传播，密文可以传播，但只有经过零信任系统认证的用户在专用的客户端才可以打开。整个过程全部加密传输，加密密钥由零信任系统统一管理，确保密钥的安全，只有经过认证的可信用户才可以从零信任系统获取密钥解密，无论单人访问数据，还是多人共享数据，均能够满足功能要求且保证数据的安全。
结合本申请具体实施方式以及给予的实施例中内容可以看出，本申请的方法可以通过计算机程序指令存储或装载到计算机或其他可编程数据处理设备上，即可提供这些计算机程序指定到计算机或其他可编程数据处理设备上以产生一个机器，所述机器可执行指令实现流程图的一个流程或多个流程中指定的功能。
本申请的方法可以通过计算机程序指令存储或装载到计算机或其他可编程数据处理设备上，使得计算机或其他可编程数据处理设备通过读取指令执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程数据处理设备中执行指令提供用于实现流程图的一个流程或多个流程中指定的功能的步骤。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘solid state disk(SSD))等。

Claims (9)

1.一种基于零信任体系的数据安全访问系统，包括数据源、数据库、可信数据代理、零信任系统、数据网关、应用和和客户端；
数据源提供数据并存储至数据库；
可信数据代理用于在用户或者数据源通过数据服务访问数据时，接收数据服务然后向零信任系统进行用户或者数据源的权限鉴权，在零信任系统确认用户或者数据源有权限访问数据服务后反馈至可信数据代理，可信数据代理放行数据服务访问请求，将请求送到数据网关；
所述零信任系统用于对用户、数据源、应用、数据网关进行统一身份管理，并为用户及数据源生成数字身份标识和数字身份密钥；
所述数据网关是提供数据服务的系统，在接收数据服务请求后，和数据库进行交互，完成数据库的读、写；
所述客户端通过应用进行业务访问和数据的获取。
2.根据权利要求1所述的系统，其特征还在于，所述数据网关为存储的数据记录及文件生成唯一数据身份标识，所述数据身份标识与数据源的数字身份标识及数字身份密钥相关联，数据身份标识作为标签记录在数据记录中，同时将数据身份标识、记录索引进行安全存储；所述数据网关还对存储的数据使用数据源或用户的身份密钥进行加密。
3.根据权利要求2所述的系统，其特征还在于，所述数据身份标识与数据源的数字身份标识及数字身份密钥关系如下：数据身份标识＝(数据源数字身份标识|MD5(数据内容|数据源数字身份密钥))。
4.根据权利要求2所述的系统，其特征还在于，所述数据网关在用户或数据源读取数据时，包括两种读取方式：
方式一：用户或数据源携带令牌调用“单人使用get文件”接口，数据网关根据令牌获取用户数字身份标识和数字身份密钥，将数据使用数字身份密钥加密生成密文，然后生成hash值，将hash值附加在密文之后，返回数据至客户端；
方式二：用户或数据源携带令牌调用“多人使用get文件”接口，在客户端显示的界面输入可共享使用的成员，数据网关根据令牌获取用户或数据源数字身份标识和数字身份密钥，然后将数据使用数字身份密钥加密生成密文，再根据待共享数据的成员列表依次生成与各成员相关的hash值，将hash值以列表形式附加在密文之后，同时将用户或数据源的数字身份标识附加在hash值的列表之后，整理后的报文发送至客户端。
5.根据权利要求4所述的系统，其特征还在于，所述客户端嵌合沙箱，同时客户端对文件的数据身份标识进行校验，校验成功后对文件进行解密，解密后的文件以明文形式存储在沙箱，从数据网关读取的源文件可以复制出客户端，而解密后的明文文件无法从客户端取出，经过零信任系统认证后的用户可以在客户端打开文件查看内容。
6.一种基于零信任体系的数据安全访问方法，其应用于权利要求1-5任一项所述的系统，所述方法包括以下步骤：
S1：用户启动客户端，客户端访问零信任系统进行认证，获得用户令牌；
S2：客户端携带用户令牌访问应用，要求下载数据文件，选择单人使用下载；
S3：应用调用“单人使用get文件”API服务接口，进行数据网关的API访问；
S4：经过可信数据代理核验权限通过后，达到数据网关，数据网关提取用户令牌，根据令牌获取用户数字身份标识、数字身份密钥；
S5：将数据进行基于用户数字身份秘钥密码加密，生成密文，然后根据用户数字身份标识计算hash值，将hash值附加在密文之后，返回处理的数据至客户端；
S6：客户端接收数据后，将文件下载存储到沙箱目录，用客户端打开文件，开始处理文件：客户端从零信任系统获取数字身份标识，读取文件内容，将尾部的hash值取出为assertHashVal，并去掉该内容得到数据内容content，基于得到的数据内容content和用户数字身份标识计算得到tmpHash，如果assertHashVal＝tmpHash，报文合法；
S7：客户端携带数字身份标识从零信任系统获得数字身份密钥，使用数字身份密钥解密，获得明文文件，存在沙箱目录，该明文文件被客户端的沙箱保护，无法拷贝出来；
S8：用户可以在客户端查看明文文件，如果客户端更换账号，文件自动清除。
7.一种基于零信任体系的数据安全访问方法，其应用于权利要求1-5任一项所述的系统，所述方法包括以下步骤：
S1：用户启动客户端，客户端访问零信任系统进行认证，获得用户令牌；
S2：客户端携带用户令牌访问应用，要求下载数据文件，选择多人使用下载；
S3：应用调用“多人使用get文件”API服务接口，进行数据网关的API访问；
S4：经过可信数据代理核验权限通过后，达到数据网关，数据网关展示页面让用户输入可使用账号，输入账号列表UserList；
S5：获取申请用户及UserList的各数字身份标识＝列表：IDKeyList，获取申请用户数字身份密钥＝；
S6：将数据进行基于数字身份密钥＝密码加密，加密后内容为SecContent，根据IDKeyList计算hash值列表：hashValList，将hashValList添加到SecContent后将申请用户的数字身份标识添加到最后，然后返回数据至客户端；
S7：客户端接收数据后，将文件下载存储到沙箱目录，用客户端打开文件，开始处理文件：从文件尾部获取数字身份标识assertIDKey，客户端从零信任系统获取数字身份标识IDKey；读取文件内容，将尾部的hash值列表hashValList取出，只剩下加密内容Seccontent；基于数据内容和用户数字身份标识计算tmpHash，如果tmpHash在hash值列表hashValList，报文合法；
S8：客户端携带assertIDKey从零信任系统获得数字身份密钥，使用数字身份秘钥解密，获得明文文件，存储在沙箱目录，该明文文件被客户端的沙箱保护，无法拷贝出来；
S9：用户可以在客户端查看明文文件，如果客户端更换账号，文件自动清除。
8.一种基于零信任体系的数据安全访问装置，其特征在于，包括：
至少一个处理器；
至少一个存储器，用于存储至少一个程序；
当所述至少一个程序被至少一个处理器执行，使得所述至少一个处理器实现如权利要求6或7所述的数据安全访问方法。
9.一种计算机存储介质，其中存储有处理器可执行的程序，其特征在于，所述处理器可执行的程序在由所述处理器执行时，实现如权利要求6或7所述的数据安全访问方法。
CN202210977160.6A 2022-08-15 2022-08-15 一种基于零信任体系的数据安全访问系统、方法、装置及介质 Pending CN115514523A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210977160.6A CN115514523A (zh) 2022-08-15 2022-08-15 一种基于零信任体系的数据安全访问系统、方法、装置及介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210977160.6A CN115514523A (zh) 2022-08-15 2022-08-15 一种基于零信任体系的数据安全访问系统、方法、装置及介质

Publications (1)

Publication Number Publication Date
CN115514523A true CN115514523A (zh) 2022-12-23

Family

ID=84501044

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210977160.6A Pending CN115514523A (zh) 2022-08-15 2022-08-15 一种基于零信任体系的数据安全访问系统、方法、装置及介质

Country Status (1)

Country Link
CN (1) CN115514523A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117155651B (zh) * 2023-08-31 2024-03-12 金锐软件技术(杭州)有限公司 一种优化第三方系统接入java网关的方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117155651B (zh) * 2023-08-31 2024-03-12 金锐软件技术(杭州)有限公司 一种优化第三方系统接入java网关的方法

Similar Documents

Publication Publication Date Title
CN111783075B (zh) 基于密钥的权限管理方法、装置、介质及电子设备
US10002152B2 (en) Client computer for updating a database stored on a server via a network
US11025598B1 (en) Method and apparatus for managing encryption keys and encrypted electronic information on a network server
CN114513533A (zh) 一种分类分级健身健康大数据共享系统及方法
US7913311B2 (en) Methods and systems for providing access control to electronic data
US7320076B2 (en) Method and apparatus for a transaction-based secure storage file system
US8543827B2 (en) Methods and systems for providing access control to secured data
US8572372B2 (en) Method for selectively enabling access to file systems of mobile terminals
US9698974B2 (en) Method for creating asymmetrical cryptographic key pairs
CN110636043A (zh) 一种基于区块链的文件授权访问方法、装置及系统
JP2003228520A (ja) 保護電子データにオフラインでアクセスする方法及び装置
US11757877B1 (en) Decentralized application authentication
CN112511599B (zh) 一种基于区块链的人防数据共享系统及方法
CN107040520A (zh) 一种云计算数据共享系统及方法
CN115622792A (zh) 一种基于零信任的数据安全综合防护系统及方法
CN116090000A (zh) 文件安全管理方法、系统、设备、介质和程序产品
CN115811412A (zh) 一种通信方法、装置、sim卡、电子设备和终端设备
US12061706B2 (en) Encrypted file control
KR102131976B1 (ko) 사용자 단말 장치 및 이에 의한 개인 정보 제공 방법
CN115514523A (zh) 一种基于零信任体系的数据安全访问系统、方法、装置及介质
CN110807210B (zh) 一种信息处理方法、平台、系统及计算机存储介质
US8755521B2 (en) Security method and system for media playback devices
US11983284B2 (en) Consent management methods
CN115543361B (zh) 文件烧录方法、装置、电子设备和存储介质
CN109063458B (zh) 一种分层信息管理的终端安全方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination