CN115765977A - 一种数据安全存储的方法及终端 - Google Patents

Abstract

本发明公开了一种数据安全存储的方法及终端，将待存储数据的关键字进行卷积式加密，得到第一分布式密文，提取第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换被提取部分，得到第二分布式密文，因此此时原密文已被修改，根据卷积式加密原理，只要前面的密文数据有一点点的变化，就会导致后面的密文数据经解密算法解密后与原始明文完全不同。接收客户端发送的第一公钥，使用第一公钥对数据块进行加密，得到第一密文块并发送至客户端，因此客户端中存有密文的部分信息，若没有客户端参与是无法解密出关键字段的，因此关键敏感字段信息分成两片，实行分布式存储，客户端保留其中一份，能够使用户参与数据安全存储的过程。

Description

一种数据安全存储的方法及终端

技术领域

本发明涉及数据存储技术领域，特别涉及一种数据安全存储的方法及终端。

背景技术

一般对关键敏感字段的存储保护，要么采用加密存储方案，要么采用数据分布式存储方案。对于前者，加密保护在系统端实现，客户端无法感知，也无法确定数据是否安全可控；对于后者，如果数据分配均匀，则对客户端而言存储量偏大，如果不均匀分配，减少客户端的存储量，则服务端的数据量能被大概率解读，安全又不能得到保障。

因此目前的数据安全存储都是在系统服务端实现的，对客户端而言感觉不到区别。如果让一部分数据分布在客户端，则又会面临数据量的问题以及数据存储安全的问题。

发明内容

本发明所要解决的技术问题是：提供一种数据安全存储的方法及终端，能够在用户参与数据存储时，提高数据存储的安全性。

为了解决上述技术问题，本发明采用的技术方案为：

一种数据安全存储的方法，包括步骤：

将待存储数据的关键字段进行卷积式加密，得到第一分布式密文；

提取所述第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换每一个密文中被提取字节的部分，得到第二分布式密文；

接收客户端的安全存储装置生成的第一公钥，使用所述第一公钥对所述数据块进行加密，得到第一密文块；

将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中。

为了解决上述技术问题，本发明采用的另一种技术方案为：

一种数据安全存储的终端，包括存储器、处理器以及存储在所述存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

将待存储数据的关键字段进行卷积式加密，得到第一分布式密文；

提取所述第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换每一个密文中被提取字节的部分，得到第二分布式密文；

接收客户端的安全存储装置生成的第一公钥，使用所述第一公钥对所述数据块进行加密，得到第一密文块；

将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中。

本发明的有益效果在于：将待存储数据的关键字进行卷积式加密，得到第一分布式密文，提取第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换被提取部分，得到第二分布式密文，因此此时原密文已被修改，根据卷积式加密原理，只要前面的密文数据有一点点的变化，就会导致后面的密文数据经解密算法解密后与原始明文完全不同。接收客户端发送的第一公钥，使用第一公钥对数据块进行加密，得到第一密文块并发送至客户端，因此客户端中存有密文的部分信息，若没有客户端参与是无法解密出关键字段的，因此关键敏感字段信息分成两片，实行分布式存储，客户端保留其中一份，能够使用户参与数据安全存储的过程。

附图说明

图1为本发明实施例的一种数据安全存储的方法的流程图；

图2为本发明实施例的一种数据安全存储的终端的示意图；

图3为本发明实施例的一种数据安全存储的方法的卷积式加密流程图；

图4为本发明实施例的一种数据安全存储的方法的数据存储流程图；

图5为本发明实施例的一种数据安全存储的方法的数据读取流程图；

标号说明：

1、一种数据安全存储的终端；2、存储器；3、处理器。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以说明。

请参照图1，本发明实施例提供了一种数据安全存储的方法，包括步骤：

将待存储数据的关键字段进行卷积式加密，得到第一分布式密文；

提取所述第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换每一个密文中被提取字节的部分，得到第二分布式密文；

接收客户端的安全存储装置生成的第一公钥，使用所述第一公钥对所述数据块进行加密，得到第一密文块；

将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中。

从上述描述可知，本发明的有益效果在于：将待存储数据的关键字进行卷积式加密，得到第一分布式密文，提取第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换被提取部分，得到第二分布式密文，因此此时原密文已被修改，根据卷积式加密原理，只要前面的密文数据有一点点的变化，就会导致后面的密文数据经解密算法解密后与原始明文完全不同。接收客户端发送的第一公钥，使用第一公钥对数据块进行加密，得到第一密文块并发送至客户端，因此客户端中存有密文的部分信息，若没有客户端参与是无法解密出关键字段的，因此关键敏感字段信息分成两片，实行分布式存储，客户端保留其中一份，能够使用户参与数据安全存储的过程。

进一步地，将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中之后包括：

生成非对称密钥对，将所述非对称密钥对中的第二公钥发送至客户端，以使得所述客户端将第一密文块使用第一私钥解密得到数据块之后，将解密得到的数据块用所述第二公钥进行加密，得到第二密文块；

接收所述客户端发送的所述第二密文块，并使用非对称密钥对中的第二私钥解密所述第二密文块，得到所述数据块；

使用所述数据块进行第一分布式密文的恢复。

由上述描述可知，通过生成第二个密钥对，能够在传输过程中进行数据块的加解密，防止数据传输过程中攻击者截获、窃听和修改。

进一步地，使用所述数据块进行第一分布式密文的恢复包括：

根据每一个密文的预设字节的位置，顺序用所述数据块替换第二分布式密文对应的预设字节。

由上述描述可知，根据每一个密文的预设字节位置，按顺序替换第二分布式密文的预设字节，从而还原出第一分布式密文。

进一步地，使用所述数据块进行第一分布式密文的恢复之后包括：

对所述第一分布式密文进行解密，得到所述解密后的关键字段，所述解密后的关键字段中包括所述关键字段的使用期限，若所述解密后的关键字段的使用期限已到期，则销毁所述解密后的关键字段。

由上述描述可知，在解密出关键字段后，需要在预设的使用期限内使用关键字段，过期后即可销毁，能够提高数据存储的安全性。

进一步地，所述将待存储数据的关键字段进行卷积式加密，得到第一分布式密文包括：

对待存储数据的关键字段进行明文分组，将初始向量加密得到第一加密信息后，将所述第一加密信息与第一明文进行异或计算，得到第一密文；

将第一密文加密得到第二加密信息后，将所述第二加密信息与第二明文进行异或计算，得到第二密文，直至加密信息与最后一个明文进行异或计算，得到最后一个密文；

根据所有异或计算出的密文，得到第一分布式密文。

由上述描述可知，通过卷积式加密的方法，进行明文分组，并通过层层递进的方式加密得到各个密文，只要其中任一数据被篡改，最后都无法得到相同的密文。

请参照图2，本发明另一实施例提供了一种数据安全存储的终端，包括存储器、处理器以及存储在所述存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

将待存储数据的关键字段进行卷积式加密，得到第一分布式密文；

提取所述第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换每一个密文中被提取字节的部分，得到第二分布式密文；

接收客户端的安全存储装置生成的第一公钥，使用所述第一公钥对所述数据块进行加密，得到第一密文块；

将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中。

从上述描述可知，本发明的有益效果在于：将待存储数据的关键字进行卷积式加密，得到第一分布式密文，提取第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换被提取部分，得到第二分布式密文，因此此时原密文已被修改，根据卷积式加密原理，只要前面的密文数据有一点点的变化，就会导致后面的密文数据经解密算法解密后与原始明文完全不同。接收客户端发送的第一公钥，使用第一公钥对数据块进行加密，得到第一密文块并发送至客户端，因此客户端中存有密文的部分信息，若没有客户端参与是无法解密出关键字段的，因此关键敏感字段信息分成两片，实行分布式存储，客户端保留其中一份，能够使用户参与数据安全存储的过程。

进一步地，将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中之后包括：

生成非对称密钥对，将所述非对称密钥对中的第二公钥发送至客户端，以使得所述客户端将第一密文块使用第一私钥解密得到数据块之后，将解密得到的数据块用所述第二公钥进行加密，得到第二密文块；

接收所述客户端发送的所述第二密文块，并使用非对称密钥对中的第二私钥解密所述第二密文块，得到所述数据块；

使用所述数据块进行第一分布式密文的恢复。

由上述描述可知，通过生成第二个密钥对，能够在传输过程中进行数据块的加解密，防止数据传输过程中攻击者截获、窃听和修改。

进一步地，使用所述数据块进行第一分布式密文的恢复包括：

根据每一个密文的预设字节的位置，顺序用所述数据块替换第二分布式密文对应的预设字节。

由上述描述可知，根据每一个密文的预设字节位置，按顺序替换第二分布式密文的预设字节，从而还原出第一分布式密文。

进一步地，使用所述数据块进行第一分布式密文的恢复之后包括：

对所述第一分布式密文进行解密，得到所述解密后的关键字段，所述解密后的关键字段中包括所述关键字段的使用期限，若所述解密后的关键字段的使用期限已到期，则销毁所述解密后的关键字段。

由上述描述可知，在解密出关键字段后，需要在预设的使用期限内使用关键字段，过期后即可销毁，能够提高数据存储的安全性。

进一步地，所述将待存储数据的关键字段进行卷积式加密，得到第一分布式密文包括：

对待存储数据的关键字段进行明文分组，将初始向量加密得到第一加密信息后，将所述第一加密信息与第一明文进行异或计算，得到第一密文；

将第一密文加密得到第二加密信息后，将所述第二加密信息与第二明文进行异或计算，得到第二密文，直至加密信息与最后一个明文进行异或计算，得到最后一个密文；

根据所有异或计算出的密文，得到第一分布式密文。

由上述描述可知，通过卷积式加密的方法，进行明文分组，并通过层层递进的方式加密得到各个密文，只要其中任一数据被篡改，最后都无法得到相同的密文。

本发明上述的一种数据安全存储的方法及终端，适用于对敏感的关键字段的安全存储，以下通过具体的实施方式进行说明：

实施例一

请参照图1、图4和图5，一种数据安全存储的方法，包括步骤：

S1、将待存储数据的关键字段进行卷积式加密，得到第一分布式密文。

具体的，对待存储数据的关键字段进行明文分组，将初始向量加密得到第一加密信息后，将所述第一加密信息与第一明文进行异或计算，得到第一密文；

将第一密文加密得到第二加密信息后，将所述第二加密信息与第二明文进行异或计算，得到第二密文，直至加密信息与最后一个明文进行异或计算，得到最后一个密文；

根据所有异或计算出的密文，得到第一分布式密文。

其中，卷积加密时先在有效数据前加入固定长度的随机数，再使用对称密钥算法，如SM4、AES等，进行卷积式加密运算。

在本实施例中，请参照图3，系统端利用安全加密设备对关键敏感字段进行对称密钥CFB模式加密，CFB加密模式中，IV为初始向量，Px为明文分组，Cx为密文分组。其加密方式类似卷积，用初始值IV作为种子，加密后与明文的第一块异或得第一块密文，密文再作为下一次加密的数据源，加密后再与明文的第二块异或，得到第二块密文，以此类推，直至所有明文都加密完成。

因此只要改变IV中任意几个字节，则同样的Px加密得到的Cx会完全不同。同样的，也无法从Cx中解密出Px来。

S2、提取所述第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换每一个密文中被提取字节的部分，得到第二分布式密文。

本实施例中，提取每一个密文的前2-8个字节，形成数据块N，而第一分布式密文中对应的原字节用随机数替换，从而得到修改后的第二分布式密文。

其中，预设字节的特点为：少量、固定位置。第一分布式密文可能为KB甚至MB级别，相对第一分布式密文而言提取的预设字节很少，一般只需2-64个字节，且提取的位置一般都靠近第一密文的头部。

譬如：预设的字节提取位置为1、3、7、11、13……，尽量设置在密文头部区域，并具有较为随机的间隔。

S3、接收客户端的安全存储装置生成的第一公钥，使用所述第一公钥对所述数据块进行加密，得到第一密文块。

具体的，客户端通过安全存储装置(UKey)产生非对称密钥对，将公钥发送到系统端，系统端利用安全加密设备对数据块N用公钥加密形成密文块S1。

S4、将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中。

S5、生成非对称密钥对，将所述非对称密钥对中的第二公钥发送至客户端，以使得所述客户端将第一密文块使用第一私钥解密得到数据块之后，将解密得到的数据块用所述第二公钥进行加密，得到第二密文块。

具体的，系统端通过安全加密设备产生非对称密钥对，将公钥发送到客户端，客户端在UKey内部用第二公钥加密数据块N形成密文块S2。

S6、接收所述客户端发送的所述第二密文块，并使用非对称密钥对中的第二私钥解密所述第二密文块，得到所述数据块。

S7、使用所述数据块进行第一分布式密文的恢复。

具体的，根据每一个密文的预设字节的位置，顺序用所述数据块替换第二分布式密文对应的预设字节。

在本实施例中，从数据库中读取第二分布式密文，并存储到内存中系统端提取数据块N内的字节，在内存中替换第二分布式密文的预设字节，放回各关键敏感字段密文的头部；

S8、对所述第一分布式密文进行解密，得到所述解密后的关键字段，所述解密后的关键字段中包括所述关键字段的使用期限，若所述解密后的关键字段的使用期限已到期，则销毁所述解密后的关键字段。

具体的，系统端利用安全加密设备对关键敏感字段进行对称密钥CFB模式解密，系统端解密得到的关键敏感字段置于内存中使用，过期销毁。

因此，选用CFB解密模式，具有卷积的效果，只需改变前面若干字节，即可改变后面所有的密文。因此用户只需掌控极少量数据，即可保证大部分的数据不被破解。通过定制的UKey，专用于保存用户端的数据小分片，能有效防范各种窃取手段；并且UKey内的数据块，无论写入还是读出，都采用公钥加密保护，可有效防范传输线路上的窃取。

实施例二

请参照图2，一种数据安全存储的终端1，包括存储器2、处理器3以及存储在所述存储器2上并可在处理器3上运行的计算机程序，所述处理器3执行所述计算机程序时实现实施例一的一种数据安全存储的方法的各个步骤。

综上所述，本发明提供的一种数据安全存储的方法及终端，将待存储数据的关键字进行卷积式加密，得到第一分布式密文，提取第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换被提取部分，得到第二分布式密文，因此此时原密文已被修改，根据卷积式加密原理，只要前面的密文数据有一点点的变化，就会导致后面的密文数据经解密算法解密后与原始明文完全不同。接收客户端发送的第一公钥，使用第一公钥对数据块进行加密，得到第一密文块并发送至客户端，因此客户端中存有密文的部分信息，若没有客户端参与是无法解密出关键字段的，尽管数据分片大小不均，加密算法仍然可以保证即使是数据多的那边也无法还原出原始数据，因此关键敏感字段信息分成两片，实行分布式存储，客户端保留其中一份，能够使用户参与数据安全存储的过程。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种数据安全存储的方法，其特征在于，包括步骤：

将待存储数据的关键字段进行卷积式加密，得到第一分布式密文；

提取所述第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换每一个密文中被提取字节的部分，得到第二分布式密文；

接收客户端的安全存储装置生成的第一公钥，使用所述第一公钥对所述数据块进行加密，得到第一密文块；

将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中。

2.根据权利要求1所述的一种数据安全存储的方法，其特征在于，将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中之后包括：

生成非对称密钥对，将所述非对称密钥对中的第二公钥发送至客户端，以使得所述客户端将第一密文块使用第一私钥解密得到数据块之后，将解密得到的数据块用所述第二公钥进行加密，得到第二密文块；

接收所述客户端发送的所述第二密文块，并使用非对称密钥对中的第二私钥解密所述第二密文块，得到所述数据块；

使用所述数据块进行第一分布式密文的恢复。

3.根据权利要求2所述的一种数据安全存储的方法，其特征在于，使用所述数据块进行第一分布式密文的恢复包括：

根据每一个密文的预设字节的位置，顺序用所述数据块替换第二分布式密文对应的预设字节。

4.根据权利要求2所述的一种数据安全存储的方法，其特征在于，使用所述数据块进行第一分布式密文的恢复之后包括：

对所述第一分布式密文进行解密，得到所述解密后的关键字段，所述解密后的关键字段中包括所述关键字段的使用期限，若所述解密后的关键字段的使用期限已到期，则销毁所述解密后的关键字段。

5.根据权利要求1至4任一项所述的一种数据安全存储的方法，其特征在于，所述将待存储数据的关键字段进行卷积式加密，得到第一分布式密文包括：

对待存储数据的关键字段进行明文分组，将初始向量加密得到第一加密信息后，将所述第一加密信息与第一明文进行异或计算，得到第一密文；

将第一密文加密得到第二加密信息后，将所述第二加密信息与第二明文进行异或计算，得到第二密文，直至加密信息与最后一个明文进行异或计算，得到最后一个密文；

根据所有异或计算出的密文，得到第一分布式密文。

6.一种数据安全存储的终端，包括存储器、处理器以及存储在所述存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现以下步骤：

将待存储数据的关键字段进行卷积式加密，得到第一分布式密文；

提取所述第一分布式密文中每一个密文的预设字节，组成数据块，并用随机数替换每一个密文中被提取字节的部分，得到第二分布式密文；

接收客户端的安全存储装置生成的第一公钥，使用所述第一公钥对所述数据块进行加密，得到第一密文块；

将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中。

7.根据权利要求6所述的一种数据安全存储的终端，其特征在于，将所述第一密文块发送至客户端，并存储至所述客户端的安全存储装置中之后包括：

生成非对称密钥对，将所述非对称密钥对中的第二公钥发送至客户端，以使得所述客户端将第一密文块使用第一私钥解密得到数据块之后，将解密得到的数据块用所述第二公钥进行加密，得到第二密文块；

接收所述客户端发送的所述第二密文块，并使用非对称密钥对中的第二私钥解密所述第二密文块，得到所述数据块；

使用所述数据块进行第一分布式密文的恢复。

8.根据权利要求7所述的一种数据安全存储的终端，其特征在于，使用所述数据块进行第一分布式密文的恢复包括：

根据每一个密文的预设字节的位置，顺序用所述数据块替换第二分布式密文对应的预设字节。

9.根据权利要求7所述的一种数据安全存储的终端，其特征在于，使用所述数据块进行第一分布式密文的恢复之后包括：

对所述第一分布式密文进行解密，得到所述解密后的关键字段，所述解密后的关键字段中包括所述关键字段的使用期限，若所述解密后的关键字段的使用期限已到期，则销毁所述解密后的关键字段。

10.根据权利要求6至9任一项所述的一种数据安全存储的终端，其特征在于，所述将待存储数据的关键字段进行卷积式加密，得到第一分布式密文包括：

对待存储数据的关键字段进行明文分组，将初始向量加密得到第一加密信息后，将所述第一加密信息与第一明文进行异或计算，得到第一密文；

将第一密文加密得到第二加密信息后，将所述第二加密信息与第二明文进行异或计算，得到第二密文，直至加密信息与最后一个明文进行异或计算，得到最后一个密文；

根据所有异或计算出的密文，得到第一分布式密文。

Images