CN116842540A - 一种数据安全管理方法、装置、计算机设备及存储介质 - Google Patents

Abstract

本申请公开一种数据安全管理方法、装置、计算机设备及存储介质，属于大数据和金融技术领域。本申请通过将待加密数据从数据发送方的客户端发送至数据库环境中的加密插件，使用加密秘钥对待加密数据进行加密，并将密文数据从加密插件发送至数据库进行数据存储；当接收数据请求指令时，对数据请求方的身份进行核验，并在数据库中查找请求数据，对请求数据进行解密，并将得到的明文数据传送至数据请求方的客户端。此外，本申请还涉及区块链技术，待加密数据可存储于区块链中。本申请通过在数据库环境下部署加密插件，实现秘钥管理和数据加密管理，使得客户端应用程序的改造量可以大大减少，又能节省客户端的网络带宽，同时数据安全性也能得到保障。

Description

一种数据安全管理方法、装置、计算机设备及存储介质

技术领域

本申请属于大数据及金融技术领域，具体涉及一种数据安全管理方法、装置、计算机设备及存储介质。

背景技术

在保险金融管理领域，数据安全存储显得尤为重要。目前很对保险领域对于数据安全存储的做法是采用客户端加密的方案，在客户端嵌入SDK，当客户端插入或更新数据的时候计算敏感字段的密文和摘要，并将敏感字段的密文和摘要发送到数据库存储，对于敏感字段，在数据库增加两个附属存储字段，即密文(Cipher)，摘要(Hash)，当需要查询数据的时候，数据库将密文返回客户端，客户端解密获得明文数据。

但是要应有上述加密方案，客户端应用的程序改造量较大，对于每一个敏感字段相关的代码都要去改造，在每一个敏感字段相关的代码插入加密程序，对应了庞大的项目改造工作量巨大。而且这个加密方案的密文传输数据量也较大，加密后形成的报文往往比正常报文大很多，占用客户端的网络带宽。此外，SDK保存在客户端中，安全性相对较低，容易出现被盗风险。

发明内容

本申请实施例的目的在于提出一种数据安全管理方法、装置、计算机设备及存储介质，以解决现有客户端加密方案存在的程序改造量较大、密文传输数据量较大和SDK安全性较低的问题。

为了解决上述技术问题，本申请实施例提供一种数据安全管理方法，采用了如下所述的技术方案：

一种数据安全管理方法，包括：

接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件；

在所述加密插件中生成所述待加密数据的加密秘钥，并使用所述加密秘钥对所述待加密数据进行加密，生成密文数据；

将所述密文数据从所述加密插件发送至数据库进行数据存储；

接收数据请求指令，对所述数据请求方的身份进行核验；

当所述数据请求方通过所述身份进行核验后，在所述数据库中查找所述数据请求指令对应的请求数据；

生成所述请求数据的解密秘钥，通过所述解密秘钥对所述请求数据进行解密，并将解密得到的明文数据传送至所述数据请求方的客户端。

进一步地，在所述接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装的加密插件之前，还包括：

获取加密插件，并对所述加密插件进行参数配置，其中，所述参数配置至少包括设置证书、设置密钥、选择加密算法；

对完成参数配置的加密插件进行测试；

将测试完成的所述加密插件部署到所述数据库环境中。

进一步地，所述接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件，具体包括：

接收所述数据存储指令，并对所述数据发送方的身份进行核验；

当所述数据发送方通过所述身份进行核验后，连接所述数据发送方的客户端和所述加密插件；

将所述待加密数据从数据发送方的客户端发送至所述加密插件。

进一步地，所述在所述加密插件中生成所述待加密数据的加密秘钥，并使用所述加密秘钥对所述待加密数据进行加密，生成密文数据，具体包括：

基于预设的秘钥配置服务器生成所述待加密数据的加密秘钥；

将所述待加密数据的加密秘钥发送至加密插件；

在所述加密插件中使用所述加密秘钥和预设的加密算法对所述待加密数据进行加密，生成密文数据。

进一步地，所述加密秘钥为对称秘钥或非对称秘钥，所述基于预设的秘钥配置服务器生成所述待加密数据的加密秘钥，具体包括：

基于所述秘钥配置服务器和预设的对称加密算法生成所述对称秘钥；或

基于所述秘钥配置服务器和预设的非对称加密算法生成所述非对称秘钥。

进一步地，在所述将所述待加密数据的加密秘钥发送至加密插件之后，还包括：

定时查询所述秘钥配置服务器，监测所述加密秘钥对应的秘钥配置信息；

当所述秘钥配置信息更新时，对所述加密秘钥进行同步更新。

进一步地，所述接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件之前，还包括：

部署可信执行环境的应用程序，并对所述可信执行环境的应用程序进行测试；

将所述数据发送方的客户端、所述数据请求方的客户端和所述数据库部署到测试完成的所述可信执行环境中。

为了解决上述技术问题，本申请实施例还提供一种数据安全管理装置，采用了如下所述的技术方案：

一种数据安全管理装置，包括：

存储指令模块，用于接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件；

数据加密模块，用于在所述加密插件中生成所述待加密数据的加密秘钥，并使用所述加密秘钥对所述待加密数据进行加密，生成密文数据；

数据存储模块，用于将所述密文数据从所述加密插件发送至数据库进行数据存储；

数据请求模块，用于接收数据请求指令，对所述数据请求方的身份进行核验；

身份核验模块，用于当所述数据请求方通过所述身份进行核验后，在所述数据库中查找所述数据请求指令对应的请求数据；

数据解密模块，用于生成所述请求数据的解密秘钥，通过所述解密秘钥对所述请求数据进行解密，并将解密得到的明文数据传送至所述数据请求方的客户端。

为了解决上述技术问题，本申请实施例还提供一种计算机设备，采用了如下所述的技术方案：

一种计算机设备，包括存储器和处理器，所述存储器中存储有计算机可读指令，所述处理器执行所述计算机可读指令时实现如上述任一项所述的数据安全管理方法的步骤。

为了解决上述技术问题，本申请实施例还提供一种计算机可读存储介质，采用了如下所述的技术方案：

一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机可读指令，所述计算机可读指令被处理器执行时实现如上述中任一项所述的数据安全管理方法的步骤。

与现有技术相比，本申请实施例主要有以下有益效果：

本申请公开一种数据安全管理方法、装置、计算机设备及存储介质，属于大数据技术领域。本申请通过接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件，在加密插件中生成待加密数据的加密秘钥，并使用加密秘钥对待加密数据进行加密，生成密文数据，将密文数据从加密插件发送至数据库进行数据存储，接收数据请求指令，对数据请求方的身份进行核验，当数据请求方通过身份进行核验后，在数据库中查找数据请求指令对应的请求数据，生成请求数据的解密秘钥，通过解密秘钥对请求数据进行解密，并将解密得到的明文数据传送至数据请求方的客户端。本申请的技术方案可以应用于保险等领域下的金融管理系统，如保险信息管理系统，通过在这些系统的数据库环境下部署加密插件，实现秘钥管理和数据加密管理，使得客户端应用程序的改造量可以大大减少，又能节省客户端的网络带宽，同时数据安全性也能得到保障。此外，本申请还将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中，以进一步确保数据传输的机密性和完整性。

附图说明

为了更清楚地说明本申请中的方案，下面将对本申请实施例描述中所需要使用的附图作一个简单介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了本申请可以应用于其中的示例性系统架构图；

图2示出了根据本申请的数据安全管理方法的一个实施例的流程图；

图3示出了根据本申请的数据安全管理装置的一个实施例的结构示意图；

图4示出了根据本申请的计算机设备的一个实施例的结构示意图。

具体实施方式

除非另有定义，本文所使用的所有的技术和科学术语与属于本申请的技术领域的技术人员通常理解的含义相同；本文中在申请的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本申请；本申请的说明书和权利要求书及上述附图说明中的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。本申请的说明书和权利要求书或上述附图中的术语“第一”、“第二”等是用于区别不同对象，而不是用于描述特定顺序。

在本文中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域技术人员显式地和隐式地理解的是，本文所描述的实施例可以与其它实施例相结合。

为了使本技术领域的人员更好地理解本申请方案，下面将结合附图，对本申请实施例中的技术方案进行清楚、完整地描述。

如图1所示，系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如网页浏览器应用、购物类应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、电子书阅读器、MP3播放器(Moving Picture ExpertsGroup Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving PictureExperts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对终端设备101、102、103上显示的页面提供支持的后台服务器，服务器可以是独立的服务器，也可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、内容分发网络(Content Delivery Network，CDN)、以及大数据和人工智能平台等基础云计算服务的云服务器。

需要说明的是，本申请实施例所提供的数据安全管理方法一般由服务器执行，相应地，数据安全管理装置一般设置于服务器中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

继续参考图2，示出了根据本申请的数据安全管理方法的一个实施例的流程图。本申请实施例可以基于人工智能技术对相关的数据进行获取和处理。其中，人工智能(Artificial Intelligence，AI)是利用数字计算机或者数字计算机控制的机器模拟、延伸和扩展人的智能，感知环境、获取知识并使用知识获得最佳结果的理论、方法、技术及应用系统。

人工智能基础技术一般包括如传感器、专用人工智能芯片、云计算、分布式存储、大数据处理技术、操作/交互系统、机电一体化等技术。人工智能软件技术主要包括计算机视觉技术、机器人技术、生物识别技术、语音处理技术、自然语言处理技术以及机器学习/深度学习等几大方向。

现有的基于客户端加密的数据管理方案，在客户端应用的程序上改造量较大，对于每一个敏感字段相关的代码都要去改造，在每一个敏感字段相关的代码插入加密程序，对应了庞大的项目改造工作量巨大。而且这个加密方案的密文传输数据量也较大，加密后形成的报文往往比正常报文大很多，占用客户端的网络带宽。此外，SDK保存在客户端中，安全性相对较低，容易出现被盗风险。

为了解决上述技术问题，本申请公开一种数据安全管理方法、装置、计算机设备及存储介质，属于大数据技术领域，本申请通过在数据库环境下部署加密插件，实现秘钥管理和数据加密管理，使得客户端应用程序的改造量可以大大减少，又能节省客户端的网络带宽，同时数据安全性也能得到保障。此外，本申请还将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中，以进一步确保数据传输的机密性和完整性。

所述的数据安全管理方法，包括以下步骤：

S201，接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件。

其中，加密插件是一种专门用于加密和解密数据的软件或硬件组件，它通常实现了一系列安全协议和加密算法，并提供了可靠的随机数生成器和密钥管理功能。使用加密插件可以将加密过程从客户端转移到服务器端，从而减少客户端应用程序的改造量，提高加密效率和安全性。

在上述实施例中，服务器接收数据存储指令后，将待加密数据从数据发送方的客户端发送至数据库环境中的加密插件，加密插件需要预先部署到数据库环境，以便接收从数据发送方的客户端上传的数据。待加密数据可以系统中的个人敏感信息，例如，保险公司都拥有客户信息管理系统，待加密数据可以是客户信息管理系统中的姓名、身份证号、电话号码等字段信息，在进行数据传输时，需要预先对这些个人敏感信息进行加密，以保证敏感信息的安全性。

进一步地，在接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装的加密插件之前，还包括：

获取加密插件，并对加密插件进行参数配置，其中，参数配置至少包括设置证书、设置密钥、选择加密算法；

对完成参数配置的加密插件进行测试；

将测试完成的加密插件部署到数据库环境中。

在上述实施例中，加密插件需要预先部署到数据库环境中。具体来说，需要根据具体的需求和场景选择合适的加密插件，例如OpenSSL、Bouncy Castle等，然后在服务器上安装选择的加密插件，可以通过操作系统的包管理器进行安装，也可以从官方网站下载源代码编译安装，根据具体需求对加密插件进行配置，例如设置证书、密钥、加密算法等参数，将加密插件集成到服务器应用程序中，可以通过编写代码或者使用现有的库进行集成，编写测试用例，对集成的加密插件进行测试，包括加密、解密、数字签名等功能的测试，在完成测试后，将集成了加密插件的应用程序部署到生产环境中，确保加密插件能够正常工作。

在部署加密插件时，需要注意以下几点：

选择合适的加密算法：应根据具体的需求选择合适的加密算法，例如对称加密、非对称加密、哈希算法等。

管理密钥和证书：应注意管理密钥和证书的安全，避免密钥和证书泄露导致加密数据被破解。

配置合理的加密参数：应根据具体需求配置合理的加密参数，避免因加密参数设置不当导致加密强度不够。

测试加密插件：应在部署到生产环境之前进行充分的测试，确保加密插件能够正常工作，避免出现故障影响业务。

进一步地，接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件之前，还包括：

部署可信执行环境的应用程序，并对可信执行环境的应用程序进行测试；

将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中。

可信执行环境是一种安全的计算环境，它提供了安全隔离、加密保护、代码完整性验证等功能，可以保护应用程序免受恶意攻击和数据泄露的威胁。在可信执行环境中，应用程序和数据可以被加密保护，只有经过授权的用户才能访问。

在本实施例中，选择可信执行环境(TEE)的实现方案，如Intel SGX或ARMTrustZone等，在选择方案时需要考虑硬件、软件、生态环境等多方面因素，并且需要根据实际需求进行评估和测试，测试完成后部署TEE应用程序，将编写好的TEE应用程序部署到服务器端，保证硬件设备和软件环境的兼容性，并进行安全评估和监控。

在上述实施例中，本申请通过将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中，以进一步确保数据传输的机密性和完整性。

进一步地，接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件，具体包括：

接收数据存储指令，并对数据发送方的身份进行核验；

当数据发送方通过身份进行核验后，连接数据发送方的客户端和加密插件；

将待加密数据从数据发送方的客户端发送至加密插件。

在本实施例中，当接收数据存储指令，并对数据发送方的身份进行核验，从数据存储指令获取数据发送方的身份信息，并将数据发送方的身份信息与预设的权限配置信息进行比对，当识别出数据发送方拥有连接加密插件的权限时，将数据发送方的客户端和加密插件进行通信连接，将待加密数据从数据发送方的客户端发送至加密插件，由于数据发送方的客户端和加密插件都部署在可信执行环境(TEE)上，因此，可以保证该阶段数据传输的安全。

S202，在加密插件中生成待加密数据的加密秘钥，并使用加密秘钥对待加密数据进行加密，生成密文数据。

在本实施例中，在加密插件中生成待加密数据的加密秘钥，并在加密插件中使用加密秘钥对待加密数据进行加密，生成密文数据。

进一步地，在加密插件中生成待加密数据的加密秘钥，并使用加密秘钥对待加密数据进行加密，生成密文数据，具体包括：

基于预设的秘钥配置服务器生成待加密数据的加密秘钥；

将待加密数据的加密秘钥发送至加密插件；

在加密插件中使用加密秘钥和预设的加密算法对待加密数据进行加密，生成密文数据。

在本实施例中，秘钥配置服务器根据待加密数据和数据发送方的客户端信息生成秘钥配置信息，根据钥配置信息和预设的加密算法生成待加密数据的加密秘钥，将待加密数据的加密秘钥发送至加密插件，供加密插件使用，在加密插件中使用加密秘钥和预设的加密算法对待加密数据进行加密，生成密文数据。

进一步地，加密秘钥为对称秘钥或非对称秘钥，基于预设的秘钥配置服务器生成待加密数据的加密秘钥，具体包括：

基于秘钥配置服务器和预设的对称加密算法生成对称秘钥；或

基于秘钥配置服务器和预设的非对称加密算法生成非对称秘钥。

在本实施例中，加密秘钥为对称秘钥或非对称秘钥，服务器首先确定加密算法，比如常见的对称加密算法如AES，DES等，或者非对称加密算法如RSA等，生成秘钥对(对于非对称加密算法)，或者生成一个随机密钥(对于对称加密算法)，将生成的秘对或者随机密钥存储在的加密插件中，确定访问秘钥的权限，只有具备相应权限的用户才能访问秘钥，确保秘钥的安全性，并定期更换秘钥，以进一步提高加密安全性。

进一步地，在将待加密数据的加密秘钥发送至加密插件之后，还包括：

定时查询秘钥配置服务器，监测加密秘钥对应的秘钥配置信息；

当秘钥配置信息更新时，对加密秘钥进行同步更新。

在本实施例中，定时查询秘钥配置服务器，监测加密秘钥对应的秘钥配置信息，当秘钥配置信息更新时，对加密秘钥进行同步更新，通过定期查询秘钥配置服务器，判断秘钥是否更新，通过定期更换秘钥，提高数据加密安全性。

具体来说，加密模块在启动时向秘钥配置服务器请求配置信息，获取到最新的秘钥版本号和秘钥生成算法等信息，并保存在本地，加密模块在运行过程中定时向秘钥配置服务器查询最新的秘钥版本号和秘钥生成算法等信息，如果秘钥版本号有更新，则加密模块会重新请求获取最新的加密秘钥，加密模块将其保存在本地，并更新秘钥版本号，以备下次查询时使用。

S203，将密文数据从加密插件发送至数据库进行数据存储。

在本实施例中，在加密插件中完成将待加密数据的加密后，将生成的密文数据从加密插件发送至数据库进行数据存储，以保障数据安全。

在上述实施例中，本申请的技术方案可以应用于保险等领域下的金融管理系统，如保险信息管理系统，通过在这些系统的数据库环境下部署加密插件，实现秘钥管理和数据加密管理，使得客户端应用程序的改造量可以大大减少，又能节省客户端的网络带宽，同时数据安全性也能得到保障。此外，本申请还将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中，以进一步确保数据传输的机密性和完整性。

在本申请一种具体的实施例中，一般而言，保险公司都拥有客户信息管理系统，存储着客户的个人敏感信息，例如姓名、身份证号、电话号码等，为了保证这些信息的安全，保险公司会对客户个人敏感信息进行加密存储。保险公司可以将服务器端部署了可信执行环境，并在数据库中部署加密插件，以实现秘钥管理和数据加密管理，实现基于可信执行环境和加密插件联合的加密方案，这样即使数据库被攻击，获取了数据库中的密文，也无法通过简单的解密方式获取到明文数据，保障数据安全。同时通过部署加密插件使得数据加密过程从客户端中剥离出来，由加密插件执行数据加密，客户端只需提供原始数据，使得客户端应用程序的改造量可以大大减少，又能节省客户端的网络带宽。

S204，接收数据请求指令，对数据请求方的身份进行核验。

在本实施例中，当服务器接收到数据请求指令时，解析数据请求指令，获取数据请求方的身份信息，将数据请求方的身份信息与预设的数据请求权限信息进行比对，如果数据请求权限信息中记录有数据请求方信息，则身份进行核验通过，允许数据请求方查看数据；如果数据请求权限信息中没有数据请求方信息，则身份进行核验不通过，禁止数据请求方查看数据。

在本实施例中，数据安全管理方法运行于其上的电子设备(例如图1所示的服务器)可以通过有线连接方式或者无线连接方式接收数据请求指令或接收数据存储指令。需要指出的是，上述无线连接方式可以包括但不限于3G/4G连接、WiFi连接、蓝牙连接、WiMAX连接、Zigbee连接、UWB(ultra wideband)连接、以及其他现在已知或将来开发的无线连接方式。

S205，当数据请求方通过身份进行核验后，在数据库中查找数据请求指令对应的请求数据。

在上述实施例中，当数据请求方通过身份进行核验后，在数据库中查找数据请求指令对应的请求数据，请求数据为存储在数据库中的数据请求指令对应的加密数据。

S206，生成请求数据的解密秘钥，通过解密秘钥对请求数据进行解密，并将解密得到的明文数据传送至数据请求方的客户端。

在上述实施例中，服务器生成生成请求数据的解密秘钥，通过解密秘钥对请求数据进行解密，并将解密得到的明文数据传送至数据请求方的客户端。

在上述实施例中，本申请公开一种数据安全管理方法，属于大数据技术领域。本申请通过接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件，在加密插件中生成待加密数据的加密秘钥，并使用加密秘钥对待加密数据进行加密，生成密文数据，将密文数据从加密插件发送至数据库进行数据存储，接收数据请求指令，对数据请求方的身份进行核验，当数据请求方通过身份进行核验后，在数据库中查找数据请求指令对应的请求数据，生成请求数据的解密秘钥，通过解密秘钥对请求数据进行解密，并将解密得到的明文数据传送至数据请求方的客户端。本申请通过在数据库环境下部署加密插件，实现秘钥管理和数据加密管理，使得客户端应用程序的改造量可以大大减少，又能节省客户端的网络带宽，同时数据安全性也能得到保障。此外，本申请还将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中，以进一步确保数据传输的机密性和完整性。

需要强调的是，为进一步保证上述待加密数据的私密和安全性，上述待加密数据还可以存储于一区块链的节点中。

本申请所指区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链(Blockchain)，本质上是一个去中心化的数据库，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一批次网络交易的信息，用于验证其信息的有效性(防伪)和生成下一个区块。区块链可以包括区块链底层平台、平台产品服务层以及应用服务层等。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机可读指令来指令相关的硬件来完成，该计算机可读指令可存储于一计算机可读取存储介质中，该计算机可读指令在执行时，可包括如上述各方法的实施例的流程。其中，前述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)等非易失性存储介质，或随机存储记忆体(Random Access Memory，RAM)等。

应该理解的是，虽然附图的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，其可以以其他的顺序执行。而且，附图的流程图中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，其执行顺序也不必然是依次进行，而是可以与其他步骤或者其他步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

进一步参考图3，作为对上述图2所示方法的实现，本申请提供了一种数据安全管理装置的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图3所示，本实施例所述的数据安全管理装置300包括：

存储指令模块301，用于接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件；

数据加密模块302，用于在加密插件中生成待加密数据的加密秘钥，并使用加密秘钥对待加密数据进行加密，生成密文数据；

数据存储模块303，用于将密文数据从加密插件发送至数据库进行数据存储；

数据请求模块304，用于接收数据请求指令，对数据请求方的身份进行核验；

身份核验模块305，用于当数据请求方通过身份进行核验后，在数据库中查找数据请求指令对应的请求数据；

数据解密模块306，用于生成请求数据的解密秘钥，通过解密秘钥对请求数据进行解密，并将解密得到的明文数据传送至数据请求方的客户端。

进一步地，数据安全管理装置300还包括：

加密插件配置模块，用于获取加密插件，并对加密插件进行参数配置，其中，参数配置至少包括设置证书、设置密钥、选择加密算法；

加密插件测试模块，用于对完成参数配置的加密插件进行测试；

加密插件部署模块，用于将测试完成的加密插件部署到数据库环境中。

进一步地，存储指令模块301具体包括：

发送方身份核验单元，用于接收数据存储指令，并对数据发送方的身份进行核验；

客户端连接单元，用于当数据发送方通过身份进行核验后，连接数据发送方的客户端和加密插件；

原始数据传输单元，用于将待加密数据从数据发送方的客户端发送至加密插件。

进一步地，数据加密模块302具体包括：

秘钥生成单元，用于基于预设的秘钥配置服务器生成待加密数据的加密秘钥；

秘钥存储单元，用于将待加密数据的加密秘钥发送至加密插件；

数据加密单元，用于在加密插件中使用加密秘钥和预设的加密算法对待加密数据进行加密，生成密文数据。

进一步地，秘钥生成单元具体包括：

对称秘钥生成子单元，用于基于秘钥配置服务器和预设的对称加密算法生成对称秘钥；或

非对称秘钥生成子单元，用于基于秘钥配置服务器和预设的非对称加密算法生成非对称秘钥。

进一步地，数据加密模块302还包括：

定时监控单元，用于定时查询秘钥配置服务器，监测加密秘钥对应的秘钥配置信息；

秘钥更新单元，用于当秘钥配置信息更新时，对加密秘钥进行同步更新。

进一步地，数据安全管理装置300还包括：

可信执行测试模块，用于部署可信执行环境的应用程序，并对可信执行环境的应用程序进行测试；

可信执行部署模块，用于将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中。

在上述实施例中，本申请公开一种数据安全管理装置，属于大数据技术领域。本申请通过接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件，在加密插件中生成待加密数据的加密秘钥，并使用加密秘钥对待加密数据进行加密，生成密文数据，将密文数据从加密插件发送至数据库进行数据存储，接收数据请求指令，对数据请求方的身份进行核验，当数据请求方通过身份进行核验后，在数据库中查找数据请求指令对应的请求数据，生成请求数据的解密秘钥，通过解密秘钥对请求数据进行解密，并将解密得到的明文数据传送至数据请求方的客户端。本申请通过在数据库环境下部署加密插件，实现秘钥管理和数据加密管理，使得客户端应用程序的改造量可以大大减少，又能节省客户端的网络带宽，同时数据安全性也能得到保障。此外，本申请还将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中，以进一步确保数据传输的机密性和完整性。

为解决上述技术问题，本申请实施例还提供计算机设备。具体请参阅图4，图4为本实施例计算机设备基本结构框图。

所述计算机设备4包括通过系统总线相互通信连接存储器41、处理器42、网络接口43。需要指出的是，图中仅示出了具有组件41-43的计算机设备4，但是应理解的是，并不要求实施所有示出的组件，可以替代的实施更多或者更少的组件。其中，本技术领域技术人员可以理解，这里的计算机设备是一种能够按照事先设定或存储的指令，自动进行数值计算和/或信息处理的设备，其硬件包括但不限于微处理器、专用集成电路(ApplicationSpecific Integrated Circuit，ASIC)、可编程门阵列(Field－Programmable GateArray，FPGA)、数字处理器(Digital Signal Processor，DSP)、嵌入式设备等。

所述计算机设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述计算机设备可以与用户通过键盘、鼠标、遥控器、触摸板或声控设备等方式进行人机交互。

所述存储器41至少包括一种类型的可读存储介质，所述可读存储介质包括闪存、硬盘、多媒体卡、卡型存储器(例如，SD或DX存储器等)、随机访问存储器(RAM)、静态随机访问存储器(SRAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、可编程只读存储器(PROM)、磁性存储器、磁盘、光盘等。在一些实施例中，所述存储器41可以是所述计算机设备4的内部存储单元，例如该计算机设备4的硬盘或内存。在另一些实施例中，所述存储器41也可以是所述计算机设备4的外部存储设备，例如该计算机设备4上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(FlashCard)等。当然，所述存储器41还可以既包括所述计算机设备4的内部存储单元也包括其外部存储设备。本实施例中，所述存储器41通常用于存储安装于所述计算机设备4的操作系统和各类应用软件，例如数据安全管理方法的计算机可读指令等。此外，所述存储器41还可以用于暂时地存储已经输出或者将要输出的各类数据。

所述处理器42在一些实施例中可以是中央处理器(Central Processing Unit，CPU)、控制器、微控制器、微处理器、或其他数据处理芯片。该处理器42通常用于控制所述计算机设备4的总体操作。本实施例中，所述处理器42用于运行所述存储器41中存储的计算机可读指令或者处理数据，例如运行所述数据安全管理方法的计算机可读指令。

所述网络接口43可包括无线网络接口或有线网络接口，该网络接口43通常用于在所述计算机设备4与其他电子设备之间建立通信连接。

在上述实施例中，本申请公开一种计算机设备，属于大数据技术领域。本申请通过接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件，在加密插件中生成待加密数据的加密秘钥，并使用加密秘钥对待加密数据进行加密，生成密文数据，将密文数据从加密插件发送至数据库进行数据存储，接收数据请求指令，对数据请求方的身份进行核验，当数据请求方通过身份进行核验后，在数据库中查找数据请求指令对应的请求数据，生成请求数据的解密秘钥，通过解密秘钥对请求数据进行解密，并将解密得到的明文数据传送至数据请求方的客户端。本申请通过在数据库环境下部署加密插件，实现秘钥管理和数据加密管理，使得客户端应用程序的改造量可以大大减少，又能节省客户端的网络带宽，同时数据安全性也能得到保障。此外，本申请还将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中，以进一步确保数据传输的机密性和完整性。

本申请还提供了另一种实施方式，即提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可读指令，所述计算机可读指令可被至少一个处理器执行，以使所述至少一个处理器执行如上述的数据安全管理方法的步骤。

在上述实施例中，本申请公开一种存储介质，属于大数据技术领域。本申请通过接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件，在加密插件中生成待加密数据的加密秘钥，并使用加密秘钥对待加密数据进行加密，生成密文数据，将密文数据从加密插件发送至数据库进行数据存储，接收数据请求指令，对数据请求方的身份进行核验，当数据请求方通过身份进行核验后，在数据库中查找数据请求指令对应的请求数据，生成请求数据的解密秘钥，通过解密秘钥对请求数据进行解密，并将解密得到的明文数据传送至数据请求方的客户端。本申请通过在数据库环境下部署加密插件，实现秘钥管理和数据加密管理，使得客户端应用程序的改造量可以大大减少，又能节省客户端的网络带宽，同时数据安全性也能得到保障。此外，本申请还将数据发送方的客户端、数据请求方的客户端和数据库部署到测试完成的可信执行环境中，以进一步确保数据传输的机密性和完整性。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本申请各个实施例所述的方法。

本申请可用于众多通用或专用的计算机系统环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器系统、基于微处理器的系统、置顶盒、可编程的消费电子设备、网络PC、小型计算机、大型计算机、包括以上任何系统或设备的分布式计算环境等等。本申请可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本申请，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

显然，以上所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例，附图中给出了本申请的较佳实施例，但并不限制本申请的专利范围。本申请可以以许多不同的形式来实现，相反地，提供这些实施例的目的是使对本申请的公开内容的理解更加透彻全面。尽管参照前述实施例对本申请进行了详细的说明，对于本领域的技术人员来而言，其依然可以对前述各具体实施方式所记载的技术方案进行修改，或者对其中部分技术特征进行等效替换。凡是利用本申请说明书及附图内容所做的等效结构，直接或间接运用在其他相关的技术领域，均同理在本申请专利保护范围之内。

Claims (10)

1.一种数据安全管理方法，其特征在于，包括：

接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件；

在所述加密插件中生成所述待加密数据的加密秘钥，并使用所述加密秘钥对所述待加密数据进行加密，生成密文数据；

将所述密文数据从所述加密插件发送至数据库进行数据存储；

接收数据请求指令，对所述数据请求方的身份进行核验；

当所述数据请求方通过所述身份进行核验后，在所述数据库中查找所述数据请求指令对应的请求数据；

生成所述请求数据的解密秘钥，通过所述解密秘钥对所述请求数据进行解密，并将解密得到的明文数据传送至所述数据请求方的客户端。

2.如权利要求1所述的数据安全管理方法，其特征在于，在所述接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装的加密插件之前，还包括：

获取加密插件，并对所述加密插件进行参数配置，其中，所述参数配置至少包括设置证书、设置密钥、选择加密算法；

对完成参数配置的加密插件进行测试；

将测试完成的所述加密插件部署到所述数据库环境中。

3.如权利要求1所述的数据安全管理方法，其特征在于，所述接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件，具体包括：

接收所述数据存储指令，并对所述数据发送方的身份进行核验；

当所述数据发送方通过所述身份进行核验后，连接所述数据发送方的客户端和所述加密插件；

将所述待加密数据从数据发送方的客户端发送至所述加密插件。

4.如权利要求1所述的数据安全管理方法，其特征在于，所述在所述加密插件中生成所述待加密数据的加密秘钥，并使用所述加密秘钥对所述待加密数据进行加密，生成密文数据，具体包括：

基于预设的秘钥配置服务器生成所述待加密数据的加密秘钥；

将所述待加密数据的加密秘钥发送至加密插件；

在所述加密插件中使用所述加密秘钥和预设的加密算法对所述待加密数据进行加密，生成密文数据。

5.如权利要求4所述的数据安全管理方法，其特征在于，所述加密秘钥为对称秘钥或非对称秘钥，所述基于预设的秘钥配置服务器生成所述待加密数据的加密秘钥，具体包括：

基于所述秘钥配置服务器和预设的对称加密算法生成所述对称秘钥；或

基于所述秘钥配置服务器和预设的非对称加密算法生成所述非对称秘钥。

6.如权利要求4所述的数据安全管理方法，其特征在于，在所述将所述待加密数据的加密秘钥发送至加密插件之后，还包括：

定时查询所述秘钥配置服务器，监测所述加密秘钥对应的秘钥配置信息；

当所述秘钥配置信息更新时，对所述加密秘钥进行同步更新。

7.如权利要求1至6任意一项所述的数据安全管理方法，其特征在于，所述接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件之前，还包括：

部署可信执行环境的应用程序，并对所述可信执行环境的应用程序进行测试；

将所述数据发送方的客户端、所述数据请求方的客户端和所述数据库部署到测试完成的所述可信执行环境中。

8.一种数据安全管理装置，其特征在于，包括：

存储指令模块，用于接收数据存储指令，将待加密数据从数据发送方的客户端发送至预先安装在数据库环境中的加密插件；

数据加密模块，用于在所述加密插件中生成所述待加密数据的加密秘钥，并使用所述加密秘钥对所述待加密数据进行加密，生成密文数据；

数据存储模块，用于将所述密文数据从所述加密插件发送至数据库进行数据存储；

数据请求模块，用于接收数据请求指令，对所述数据请求方的身份进行核验；

身份核验模块，用于当所述数据请求方通过所述身份进行核验后，在所述数据库中查找所述数据请求指令对应的请求数据；

数据解密模块，用于生成所述请求数据的解密秘钥，通过所述解密秘钥对所述请求数据进行解密，并将解密得到的明文数据传送至所述数据请求方的客户端。

9.一种计算机设备，其特征在于，包括存储器和处理器，所述存储器中存储有计算机可读指令，所述处理器执行所述计算机可读指令时实现如权利要求1至7中任一项所述的数据安全管理方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机可读指令，所述计算机可读指令被处理器执行时实现如权利要求1至7中任一项所述的数据安全管理方法的步骤。