CN117201124A - 一种数据加密方法、装置、计算机设备及存储介质 - Google Patents

Abstract

本申请公开了一种数据加密方法、装置、计算机设备及存储介质，属于大数据技术领域和产险金融技术领域。本申请通过判断客户端请求数据的数据类型，其中，数据类型包括敏感数据和非敏感数据，当客户端请求数据的数据类型为敏感数据时，从代理服务器中获取第一对称秘钥，从应用服务器中获取第二对称秘钥，通过第一对称秘钥对客户端请求数据进行加密，再利用第二对称秘钥对加密数据进行二次加密，输出二次加密结果。本申请还涉及区块链技术领域，客户端请求数据可以存储在区块链节点上。本申请通过采用双重对称秘钥来对敏感数据进行二次加密，可以确保在数据传输过程中敏感数据的私密性和完整性，保障敏感数据的安全。

Description

一种数据加密方法、装置、计算机设备及存储介质

技术领域

本申请属于大数据技术领域和金融科技领域，具体涉及一种数据加密方法、装置、计算机设备及存储介质。

背景技术

在保险业务中，保险企业需要确保在传输敏感数据时的数据安全性，例如客户的个人身份信息、保单数据和理赔记录等，为了保护这些敏感数据的机密性和完整性，通常在传输层使用HTTPS进行传输层加密，然而仅仅依靠传输层加密无法完全消除具有证书授权的代理查看明文数据的风险。

目前，为了解决敏感数据的机密性和完整性的问题，一些企业采用了简单的异或运算或Base64编码来进行二次加密，然而这些方法并不是真正的密码学加密，而是一种简单的混淆技术，容易被有经验的攻击者破解。另一种常见的方式是使用固定硬编码的密钥进行二次加密，但这种方法存在密钥泄露的风险，如果客户端密钥被攻击者获取，就会导致所有的数据都无法得到保护。

发明内容

本申请实施例的目的在于提出一种数据加密方法、装置、计算机设备及存储介质，以解决现有二次加密方案存在的破解简单，容易导致敏感数据泄露的技术问题。

为了解决上述技术问题，本申请实施例提供一种数据加密方法，采用了如下所述的技术方案：

一种数据加密方法，包括：

接收数据加密指令，判断客户端请求数据的数据类型，其中，所述数据类型包括敏感数据和非敏感数据；

当所述客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，其中，通过组合所述客户端生成的第一随机数、第三随机数以及所述代理服务器生成的第二随机数得到所述第一对称秘钥；

通过所述第一对称秘钥对所述客户端请求数据进行加密，得到第一加密数据；

利用所述第二对称秘钥对所述第一加密数据进行二次加密，得到第二加密数据；

将所述第二加密数据作为所述客户端请求数据的加密结果，并输出所述第二加密数据。

进一步地，在所述当所述客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥之前，还包括：

获取客户端请求，并将所述客户端请求发送至所述代理服务器，其中，所述客户端请求至少包括客户端生成的所述第一随机数；

获取所述代理服务器生成的所述第二随机数，并将所述第二随机数发送至所述客户端；

获取所述客户端生成的所述第三随机数，并在所述客户端中组合所述第一随机数、所述第二随机数和所述第三随机数，生成所述第一对称秘钥；

将所述第三随机数发送至所述代理服务器，并在所述代理服务器中组合所述第一随机数、所述第二随机数和所述第三随机数，生成所述第一对称秘钥；

所述客户端生成所述第二对称秘钥，并将所述第二对称秘钥发送至所述应用服务器。

进一步地，在所述获取所述代理服务器生成的第二随机数，并将所述第二随机数发送至所述客户端之后，还包括：

获取所述代理服务器的签发证书，得到第一签发证书，其中，所述第一签发证书包括第一数字签名和第一公钥；

将所述第一签发证书从所述代理服务器发送至所述客户端；

在所述客户端中，使用所述第一公钥对所述第一数字签名进行解密，并根据第一数字签名解密结果对所述第一数字签名进行有效性检验。

进一步地，所述将所述第三随机数发送至所述代理服务器，具体包括：

当所述第一数字签名通过所述有效性检验后，获取所述第三随机数，并通过所述第一公钥对所述第三随机数进行加密，得到第一加密结果；

将所述第一加密结果发送至所述代理服务器，并获取所述代理服务器中的第一私钥，其中，所述第一私钥与所述第一公钥相互对应；

利用所述第一私钥对所述第一加密结果进行解密，得到所述第三随机数。

进一步地，在所述客户端生成所述第二对称秘钥，并将所述第二对称秘钥发送至所述应用服务器之前，还包括：

获取所述应用服务器的签发证书，得到第二签发证书，其中，所述第二签发证书包括第二数字签名和第二公钥；

将所述第二签发证书从所述应用服务器发送至所述客户端；

在所述客户端中，使用所述第二公钥对所述第二数字签名进行解密，并根据第二数字签名解密结果对所述第二数字签名进行有效性检验。

进一步地，所述客户端生成所述第二对称秘钥，并将所述第二对称秘钥发送至所述应用服务器，具体包括：

当所述第二数字签名通过所述有效性检验后，获取所述第二对称秘钥，并通过所述第二公钥对所述第二对称秘钥进行加密，得到第二加密结果；

将所述第二加密结果发送至所述应用服务器，并获取所述应用服务器中的第二私钥，其中，所述第二私钥与所述第二公钥相互对应；

利用所述第二私钥对所述第二加密结果进行解密，得到所述第二对称秘钥。

进一步地，在所述接收数据加密指令，判断客户端请求数据的数据类型之后，还包括：

当所述客户端请求数据的数据类型为非敏感数据时，从所述代理服务器中获取所述第一对称秘钥；

通过所述第一对称秘钥对所述客户端请求数据进行加密，得到第一加密数据；

将所述第一加密数据作为所述客户端请求数据的加密结果，并输出所述第一加密数据。

为了解决上述技术问题，本申请实施例还提供一种数据加密装置，采用了如下所述的技术方案：

一种数据加密装置，包括：

请求类型判断模块，用于接收数据加密指令，判断客户端请求数据的数据类型，其中，所述数据类型包括敏感数据和非敏感数据；

对称秘钥获取模块，用于当所述客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，其中，通过组合所述客户端生成的第一随机数、第三随机数以及所述代理服务器生成的第二随机数得到所述第一对称秘钥；

第一数据加密模块，用于通过所述第一对称秘钥对所述客户端请求数据进行加密，得到第一加密数据；

第二数据加密模块，用于利用所述第二对称秘钥对所述第一加密数据进行二次加密，得到第二加密数据；

加密数据输出模块，用于将所述第二加密数据作为所述客户端请求数据的加密结果，并输出所述第二加密数据。

为了解决上述技术问题，本申请实施例还提供一种计算机设备，采用了如下所述的技术方案：

一种计算机设备，包括存储器和处理器，所述存储器中存储有计算机可读指令，所述处理器执行所述计算机可读指令时实现如上述任一项所述的数据加密方法的步骤。

为了解决上述技术问题，本申请实施例还提供一种计算机可读存储介质，采用了如下所述的技术方案：

一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机可读指令，所述计算机可读指令被处理器执行时实现如上述中任一项所述的数据加密方法的步骤。

与现有技术相比，本申请实施例主要有以下有益效果：

本申请公开了一种数据加密方法、装置、计算机设备及存储介质，属于大数据技术领域和产险金融技术领域。接收数据加密指令，判断客户端请求数据的数据类型，其中，数据类型包括敏感数据和非敏感数据，当客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据，利用第二对称秘钥对第一加密数据进行二次加密，得到第二加密数据，将第二加密数据作为客户端请求数据的加密结果，并输出第二加密数据。本申请先对客户端请求数据的数据类型进行判断，当客户端请求数据的数据类型为敏感数据时，本申请通过采用双重对称秘钥来对敏感数据进行二次加密，可以确保在数据传输过程中敏感数据的私密性和完整性，并且通过随机数的方式分别在客户端和代理服务器中生成对称秘钥，避免秘钥传输，防止秘钥泄露，进一步保障敏感数据的安全。此外，当客户端请求数据的数据类型为非敏感数据时，本申请仅通过单重加密的方式对非敏感数据进行加密传输，保证非敏感数据的私密性和完整性，同时降低加密对数据传输性能的影响。

附图说明

为了更清楚地说明本申请中的方案，下面将对本申请实施例描述中所需要使用的附图作一个简单介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了本申请可以应用于其中的示例性系统架构图；

图2示出了根据本申请的数据加密方法的一个实施例的流程图；

图3示出了根据本申请的数据加密装置的一个实施例的结构示意图；

图4示出了根据本申请的计算机设备的一个实施例的结构示意图。

具体实施方式

除非另有定义，本文所使用的所有的技术和科学术语与属于本申请的技术领域的技术人员通常理解的含义相同；本文中在申请的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本申请；本申请的说明书和权利要求书及上述附图说明中的术语“包括”和“具有”以及它们的任何变形，意图在于覆盖不排他的包含。本申请的说明书和权利要求书或上述附图中的术语“第一”、“第二”等是用于区别不同对象，而不是用于描述特定顺序。

在本文中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域技术人员显式地和隐式地理解的是，本文所描述的实施例可以与其它实施例相结合。

为了使本技术领域的人员更好地理解本申请方案，下面将结合附图，对本申请实施例中的技术方案进行清楚、完整地描述。

如图1所示，系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如网页浏览器应用、购物类应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、电子书阅读器、MP3播放器(Moving Picture ExpertsGroup Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving PictureExperts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对终端设备101、102、103上显示的页面提供支持的后台服务器，服务器可以是独立的服务器，也可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、内容分发网络(Content Delivery Network，CDN)、以及大数据和人工智能平台等基础云计算服务的云服务器。

需要说明的是，本申请实施例所提供的数据加密方法一般由服务器执行，相应地，数据加密装置一般设置于服务器中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

继续参考图2，示出了根据本申请的数据加密方法的一个实施例的流程图。本申请实施例可以基于人工智能技术对相关的数据进行获取和处理。其中，人工智能(ArtificialIntelligence，AI)是利用数字计算机或者数字计算机控制的机器模拟、延伸和扩展人的智能，感知环境、获取知识并使用知识获得最佳结果的理论、方法、技术及应用系统。

人工智能基础技术一般包括如传感器、专用人工智能芯片、云计算、分布式存储、大数据处理技术、操作/交互系统、机电一体化等技术。人工智能软件技术主要包括计算机视觉技术、机器人技术、生物识别技术、语音处理技术、自然语言处理技术以及机器学习/深度学习等几大方向。

目前，为了解决敏感数据的机密性和完整性的问题，一些企业采用了简单的异或运算或Base64编码来进行二次加密，然而这些方法并不是真正的密码学加密，而是一种简单的混淆技术，容易被有经验的攻击者破解。另一种常见的方式是使用固定硬编码的密钥进行二次加密，但这种方法存在密钥泄露的风险，如果客户端密钥被攻击者获取，就会导致所有的数据都无法得到保护。

为了解决上述技术问题，本申请先对客户端请求数据的数据类型进行判断，当客户端请求数据的数据类型为敏感数据时，本申请通过采用双重对称秘钥来对敏感数据进行二次加密，可以确保在数据传输过程中敏感数据的私密性和完整性，并且通过组合客户端生成的随机数和代理服务器生成随机数的方式生成对称秘钥，防止秘钥泄露，进一步保障敏感数据的安全。此外，当客户端请求数据的数据类型为非敏感数据时，本申请仅通过单重加密的方式对非敏感数据进行加密传输，保证非敏感数据的私密性和完整性，同时降低加密对数据传输性能的影响。

所述的数据加密方法，包括以下步骤：

S201，接收数据加密指令，判断客户端请求数据的数据类型，其中，数据类型包括敏感数据和非敏感数据。

在本实施例中，本申请针对不同客户端请求数据的数据类型，采用不同的数据加密方案进行处理，其中，数据类型包括敏感数据和非敏感数据，敏感数据例如客户个人身份信息、客户保单信息、理赔资料、交易记录等等，非敏感数据例如保险产品信息、保险市场数据、市场分析报告等等。

在进行产险金融数据传输处理时，针对敏感数据采用双重对称秘钥来对敏感数据进行二次加密，可以确保在数据传输过程中敏感数据的私密性和完整性，保障敏感数据的安全，针对非敏感数据通过单重加密的方式进行加密传输，保证非敏感数据的私密性和完整性，同时降低加密对数据传输性能的影响。

S202，当客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，其中，通过组合客户端生成的第一随机数、第三随机数以及代理服务器生成的第二随机数得到第一对称秘钥。

在本实施例中，当客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，其中，分别在客户端和代理服务器中通过组合客户端生成的第一随机数、第三随机数以及代理服务器生成的第二随机数的方式得到第一对称秘钥，通过这种方式生成秘钥可以防止秘钥泄露，进一步保障敏感数据的安全。当客户端请求数据的数据类型为敏感数据时，使用两个对称秘钥来对敏感数据进行双重加密，提高敏感数据传输时的安全保障。

进一步地，在当客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥之前，还包括：

获取客户端请求，并将客户端请求发送至代理服务器，其中，客户端请求至少包括客户端生成的第一随机数；

获取代理服务器生成的第二随机数，并将第二随机数发送至客户端；

获取客户端生成的第三随机数，并在客户端中组合第一随机数、第二随机数和第三随机数，生成第一对称秘钥；

将第三随机数发送至代理服务器，并在代理服务器中组合第一随机数、第二随机数和第三随机数，生成第一对称秘钥；

客户端生成第二对称秘钥，并将第二对称秘钥发送至应用服务器。

在本实施例中，本申请的第一对称秘钥是通过随机数组合的方式来生成的。具体来说，由客户端生成的随机数1(ClientRandom)，并将随机数1(ClientRandom)发送给代理服务器进行存储，同时代理服务器也会生成随机数2(serverRandom)，并将随机数2(serverRandom)发送给客户端存储。客户端接收到随机数2(serverRandom)后，再次生成随机数3(pre_master_key)，并客户端将随机数1(ClientRandom)、随机数2(serverRandom)和随机数3(pre_master_key)组合，生成第一对称秘钥，同时客户端将随机数3(pre_master_key)发送到代理服务器，以同样的随机数组合方式在代理服务器中组合这3个随机数3，生成同样的第一对称秘钥。在客户端和代理服务器之间进行数据通信时，第一对称秘钥用于对需要传输的数据进行加密。

需要说明的是，在客户端和应用服务器生成第二对称秘钥时，也可以采用上述对称秘钥生成方法来实现第二对称秘钥的生成，或者采用密码学哈希函数、密码学伪随机数生成器等方式生成第二对称秘钥，在客户端和应用服务器之间进行数据通信时，第二对称秘钥用于对需要传输的数据进行加密。

随机数1(ClientRandom)由客户端生成的随机数，在客户端发起握手时包含在请求中，随机数1用于多种目的，包括生成会话密钥和生成握手过程中的随机值。随机数2(ServerRandom)由服务端生成的随机数，在服务端响应客户端请求时包含在响应中，随机数2与随机数1类似，用于生成会话密钥和握手过程中的随机值。随机数3(Pre-Master Key)客户端生成的随机数，在生成会话密钥时使用，客户端生成随机数3后，使用服务端的公钥对其进行加密，并将加密结果发送给服务端，随机数3的目的是确保只有服务端能够解密它，以生成与客户端一致的会话密钥。随机数1和随机数2用于生成会话密钥和握手过程中的随机值，而随机数3用于与服务端一致地生成会话密钥，这些随机数在TLS握手过程中发挥着重要的作用，确保了通信的安全性和保密性。

进一步地，在获取代理服务器生成的第二随机数，并将第二随机数发送至客户端之后，还包括：

获取代理服务器的签发证书，得到第一签发证书，其中，第一签发证书包括第一数字签名和第一公钥；

将第一签发证书从代理服务器发送至客户端；

在客户端中，使用第一公钥对第一数字签名进行解密，并根据第一数字签名解密结果对第一数字签名进行有效性检验。

在本实施例中，代理服务器应该具有相应的权威性和信任度，以确保其签发证书是可靠和有效的，因此需要对代理服务器进行权威性和信任度检测。具体来说，获取代理服务器的签发证书，得到第一签发证书，其中，第一签发证书包括第一数字签名和第一公钥，将第一签发证书从代理服务器发送至客户端，在客户端中，使用第一公钥对第一数字签名进行解密，并根据第一数字签名解密结果对第一数字签名进行有效性检验。

代理服务器首先生成一对非对称密钥，包括第一公钥和第一私钥，第一私钥需要妥善保管在代理服务器中，代理服务器使用第一私钥生成一个证书签发请求CSR，其中包含代理服务器的标识信息和第一公钥，然后代理服务器将生成的CSR提交给一个受信任的证书颁发机构(CA)，如商业CA或自签名CA，证书颁发机构CA验证代理服务器的身份和信息，并对第一公钥进行数字签名，生成代理服务器的签发证书，即第一签发证书，代理服务器从CA处获取签发证书，该签发证书包含了代理服务器的公钥、标识信息和CA数字签名，代理服务器配置该签发证书，用于与客户端建立加密连接。

进一步地，将第三随机数发送至代理服务器，具体包括：

当第一数字签名通过有效性检验后，获取第三随机数，并通过第一公钥对第三随机数进行加密，得到第一加密结果；

将第一加密结果发送至代理服务器，并获取代理服务器中的第一私钥，其中，第一私钥与第一公钥相互对应；

利用第一私钥对第一加密结果进行解密，得到第三随机数。

在本实施例中，当第一数字签名通过有效性检验后，获取第三随机数，并通过第一公钥对第三随机数进行加密，得到第一加密结果，将第一加密结果发送至代理服务器，并获取代理服务器中的第一私钥，其中，第一私钥与第一公钥相互对应，利用第一私钥对第一加密结果进行解密，得到第三随机数。

在上述实施例中，在生成第一对称秘钥时，需要在客户端和代理服务器之间传输随机数，为了保证传输的随机数的安全性，以及保证生成第一对称秘钥的安全性，本申请在进行随机数传输之前，还额外使用非对称秘钥来对随机数进行加密传输，保证随机数的私密性和完整性，进一步提升敏感数据传输的安全。

需要说明的是，客户端请求还包括TLS版本号和客户端支持的加密套件。客户端在请求中指定TLS的版本号，用于告知服务端它支持的TLS协议版本，这是为了确保客户端和服务端可以使用兼容的TLS版本进行通信，服务端会根据客户端请求的TLS版本号选择适当的TLS协议版本来建立安全连接。加密套件是指一组密码算法和密钥协商机制的集合，用于在TLS握手过程中协商加密参数，客户端在请求中列出它所支持的加密套件列表，其中包括加密算法、密钥交换算法、数字签名算法等，服务端在收到请求后，会从客户端提供的加密套件列表中选择一个适合的套件，作为双方建立加密连接的参数。

在上述实施例中，通过TLS版本号和客户端支持的加密套件，客户端和服务端可以协商出一个双方都支持的TLS协议版本和加密参数，使得双方能够建立起安全的加密连接，并确保在通信过程中进行加密和身份验证。同时这种灵活性也允许客户端和服务端在支持更高级别的加密算法和安全性时进行升级。

进一步地，在客户端生成第二对称秘钥，并将第二对称秘钥发送至应用服务器之前，还包括：

获取应用服务器的签发证书，得到第二签发证书，其中，第二签发证书包括第二数字签名和第二公钥；

将第二签发证书从应用服务器发送至客户端；

在客户端中，使用第二公钥对第二数字签名进行解密，并根据第二数字签名解密结果对第二数字签名进行有效性检验。

在本实施例中，应用服务器应该具有相应的权威性和信任度，以确保其签发证书是可靠和有效的，因此需要对应用服务器进行权威性和信任度检测。具体来说，获取应用服务器的签发证书，得到第二签发证书，其中，第二签发证书包括第二数字签名和第二公钥，将第二签发证书从应用服务器发送至客户端，在客户端中，使用第二公钥对第二数字签名进行解密，并根据第二数字签名解密结果对第二数字签名进行有效性检验。

应用服务器首先生成一对非对称密钥，包括第二公钥和第二私钥，第二私钥需要妥善保管在应用服务器中，应用服务器使用第二私钥生成一个证书签发请求CSR，其中包含应用服务器的标识信息和第二公钥，然后应用服务器将生成的CSR提交给一个受信任的证书颁发机构CA，证书颁发机构CA验证应用服务器的身份和信息，并对第二公钥进行数字签名，生成应用服务器的签发证书，即第二签发证书，应用服务器从CA处获取签发证书，该签发证书包含了应用服务器的公钥、标识信息和CA数字签名，应用服务器配置该签发证书，用于与客户端建立加密连接。

进一步地，客户端生成第二对称秘钥，并将第二对称秘钥发送至应用服务器，具体包括：

当第二数字签名通过有效性检验后，获取第二对称秘钥，并通过第二公钥对第二对称秘钥进行加密，得到第二加密结果；

将第二加密结果发送至应用服务器，并获取应用服务器中的第二私钥，其中，第二私钥与第二公钥相互对应；

利用第二私钥对第二加密结果进行解密，得到第二对称秘钥。

在本实施例中，当第二数字签名通过有效性检验后，获取第二对称秘钥，并通过第二公钥，第二对称秘钥进行加密，得到第二加密结果，将第二加密结果发送至应用服务器，并获取应用服务器中的第二私钥，其中，第二私钥与第二公钥相互对应，利用第二私钥对第二加密结果进行解密，得到第二对称秘钥。

在上述实施例中，在进行第二对称秘钥的传输时，为了保证传输的第二对称秘钥的安全性，本申请在进行第二对称秘钥传输之前，还额外使用非对称秘钥来对第二对称秘钥进行加密传输，保证第二对称秘钥的私密性和完整性，进一步提升敏感数据传输的安全。本申请在采用双重对称秘钥来对敏感数据进行二次加密基础上，在第一对称秘钥以及第二对称秘钥的生成阶段，利用两次非对称秘钥来保障第一对称秘钥以及第二对称秘钥的私密性和完整性，进一步地提高了敏感数据传输的安全性。

S203，通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据。

在本实施例中，通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据，通过第一次对称加密，完成了对敏感数据的第一重加密处理。

S204，利用第二对称秘钥对第一加密数据进行二次加密，得到第二加密数据。

在本实施例中，利用第二对称秘钥对第一加密数据进行二次加密，得到第二加密数据，通过第二次对称加密，完成了对敏感数据的双重加密处理，能够确保在数据传输过程中敏感数据的私密性和完整性，保障敏感数据的安全。

S205，将第二加密数据作为客户端请求数据的加密结果，并输出第二加密数据。

在本实施例中，将第二加密数据作为客户端请求数据的加密结果，并输出第二加密数据，被加密的敏感数据可以通过网络进行安全传输，同时保持敏感数据的安全性。

进一步地，在接收数据加密指令，判断客户端请求数据的数据类型之后，还包括：

S206，当客户端请求数据的数据类型为非敏感数据时，从代理服务器中获取第一对称秘钥；

S203，通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据；

S207，将第一加密数据作为客户端请求数据的加密结果，并输出第一加密数据。

在本实施例中，当客户端请求数据的数据类型为非敏感数据时，仅需从代理服务器中获取第一对称秘钥，通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据，完成非敏感数据的单重加密，并将第一加密数据作为客户端请求数据的加密结果，并输出第一加密数据。

在上述实施例中，当客户端请求数据的数据类型为非敏感数据时，本申请仅通过单重加密的方式对非敏感数据进行加密传输，保证非敏感数据的私密性和完整性，同时降低加密对数据传输性能的影响。

在上述实施例中，本申请公开了一种数据加密方法，属于大数据技术领域和产险金融技术领域。接收数据加密指令，判断客户端请求数据的数据类型，其中，数据类型包括敏感数据和非敏感数据，当客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据，利用第二对称秘钥对第一加密数据进行二次加密，得到第二加密数据，将第二加密数据作为客户端请求数据的加密结果，并输出第二加密数据。本申请先对客户端请求数据的数据类型进行判断，当客户端请求数据的数据类型为敏感数据时，本申请通过采用双重对称秘钥来对敏感数据进行二次加密，可以确保在数据传输过程中敏感数据的私密性和完整性，并且通过随机数的方式分别在客户端和代理服务器中生成对称秘钥，避免秘钥传输，防止秘钥泄露，进一步保障敏感数据的安全。此外，当客户端请求数据的数据类型为非敏感数据时，本申请仅通过单重加密的方式对非敏感数据进行加密传输，保证非敏感数据的私密性和完整性，同时降低加密对数据传输性能的影响。

在本实施例中，数据加密方法运行于其上的电子设备(例如图1所示的服务器)可以通过有线连接方式或者无线连接方式接收指令或者获取数据。需要指出的是，上述无线连接方式可以包括但不限于3G/4G连接、WiFi连接、蓝牙连接、WiMAX连接、Zigbee连接、UWB(ultra wideband)连接、以及其他现在已知或将来开发的无线连接方式。

需要强调的是，为进一步保证上述客户端请求数据的私密和安全性，上述客户端请求数据还可以存储于一区块链的节点中。

本申请所指区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链(Blockchain)，本质上是一个去中心化的数据库，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一批次网络交易的信息，用于验证其信息的有效性(防伪)和生成下一个区块。区块链可以包括区块链底层平台、平台产品服务层以及应用服务层等。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机可读指令来指令相关的硬件来完成，该计算机可读指令可存储于一计算机可读取存储介质中，该计算机可读指令在执行时，可包括如上述各方法的实施例的流程。其中，前述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)等非易失性存储介质，或随机存储记忆体(Random Access Memory，RAM)等。

应该理解的是，虽然附图的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，其可以以其他的顺序执行。而且，附图的流程图中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，其执行顺序也不必然是依次进行，而是可以与其他步骤或者其他步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

进一步参考图3，作为对上述图2所示方法的实现，本申请提供了一种数据加密装置的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图3所示，本实施例所述的数据加密装置300，包括：

请求类型判断模块301，用于接收数据加密指令，判断客户端请求数据的数据类型，其中，数据类型包括敏感数据和非敏感数据；

第一对称秘钥获取模块302，用于当客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，其中，通过组合客户端生成的第一随机数、第三随机数以及代理服务器生成的第二随机数得到第一对称秘钥；

第一数据加密模块303，用于通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据；

第二数据加密模块304，用于利用第二对称秘钥对第一加密数据进行二次加密，得到第二加密数据；

第一加密数据输出模块305，用于将第二加密数据作为客户端请求数据的加密结果，并输出第二加密数据。

进一步地，数据加密装置300还包括：

第一数据发送模块，用于获取客户端请求，并将客户端请求发送至代理服务器，其中，客户端请求至少包括客户端生成的第一随机数；

第二数据发送模块，用于获取代理服务器生成的第二随机数，并将第二随机数发送至客户端；

第一秘钥生成模块，用于获取客户端生成的第三随机数，并在客户端中组合第一随机数、第二随机数和第三随机数，生成第一对称秘钥；

第三数据发送模块，用于将第三随机数发送至代理服务器，并在代理服务器中组合第一随机数、第二随机数和第三随机数，生成第一对称秘钥；

第二秘钥生成模块，用于客户端生成第二对称秘钥，并将第二对称秘钥发送至应用服务器。

进一步地，数据加密装置300还包括：

第一签发证书模块，用于获取代理服务器的签发证书，得到第一签发证书，其中，第一签发证书包括第一数字签名和第一公钥；

第一证书发送模块，用于将第一签发证书从代理服务器发送至客户端；

第一有效性检验模块，用于在客户端中，使用第一公钥对第一数字签名进行解密，并根据第一数字签名解密结果对第一数字签名进行有效性检验。

进一步地，第三数据发送模块具体包括：

第一加密单元，用于当第一数字签名通过有效性检验后，获取第三随机数，并通过第一公钥对第三随机数进行加密，得到第一加密结果；

第一私钥获取单元，用于将第一加密结果发送至代理服务器，并获取代理服务器中的第一私钥，其中，第一私钥与第一公钥相互对应；

第一解密单元，用于利用第一私钥对第一加密结果进行解密，得到第三随机数。

进一步地，数据加密装置300还包括：

第二签发证书模块，用于获取应用服务器的签发证书，得到第二签发证书，其中，第二签发证书包括第二数字签名和第二公钥；

第二证书发送模块，用于将第二签发证书从应用服务器发送至客户端；

第二有效性检验模块，用于在客户端中，使用第二公钥对第二数字签名进行解密，并根据第二数字签名解密结果对第二数字签名进行有效性检验。

进一步地，第二秘钥生成模块具体包括：

第二加密单元，用于当第二数字签名通过有效性检验后，获取第二对称秘钥，并通过第二公钥对第二对称秘钥进行加密，得到第二加密结果；

第二私钥获取单元，用于将第二加密结果发送至应用服务器，并获取应用服务器中的第二私钥，其中，第二私钥与第二公钥相互对应；

第二解密单元，用于利用第二私钥对第二加密结果进行解密，得到第二对称秘钥。

进一步地，数据加密装置300还包括：

第二对称秘钥获取模块306，用于当客户端请求数据的数据类型为非敏感数据时，从代理服务器中获取第一对称秘钥；

数据单重加密模块307，用于通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据；

第二加密数据输出模块308，用于将第一加密数据作为客户端请求数据的加密结果，并输出第一加密数据。

在上述实施例中，本申请公开了一种数据加密装置，属于大数据技术领域和产险金融技术领域。接收数据加密指令，判断客户端请求数据的数据类型，其中，数据类型包括敏感数据和非敏感数据，当客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据，利用第二对称秘钥对第一加密数据进行二次加密，得到第二加密数据，将第二加密数据作为客户端请求数据的加密结果，并输出第二加密数据。本申请先对客户端请求数据的数据类型进行判断，当客户端请求数据的数据类型为敏感数据时，本申请通过采用双重对称秘钥来对敏感数据进行二次加密，可以确保在数据传输过程中敏感数据的私密性和完整性，并且通过随机数的方式分别在客户端和代理服务器中生成对称秘钥，避免秘钥传输，防止秘钥泄露，进一步保障敏感数据的安全。此外，当客户端请求数据的数据类型为非敏感数据时，本申请仅通过单重加密的方式对非敏感数据进行加密传输，保证非敏感数据的私密性和完整性，同时降低加密对数据传输性能的影响。

为解决上述技术问题，本申请实施例还提供计算机设备。具体请参阅图4，图4为本实施例计算机设备基本结构框图。

所述计算机设备4包括通过系统总线相互通信连接存储器41、处理器42、网络接口43。需要指出的是，图中仅示出了具有组件41-43的计算机设备4，但是应理解的是，并不要求实施所有示出的组件，可以替代的实施更多或者更少的组件。其中，本技术领域技术人员可以理解，这里的计算机设备是一种能够按照事先设定或存储的指令，自动进行数值计算和/或信息处理的设备，其硬件包括但不限于微处理器、专用集成电路(ApplicationSpecific Integrated Circuit，ASIC)、可编程门阵列(Field－Programmable GateArray，FPGA)、数字处理器(Digital Signal Processor，DSP)、嵌入式设备等。

所述计算机设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述计算机设备可以与用户通过键盘、鼠标、遥控器、触摸板或声控设备等方式进行人机交互。

所述存储器41至少包括一种类型的可读存储介质，所述可读存储介质包括闪存、硬盘、多媒体卡、卡型存储器(例如，SD或DX存储器等)、随机访问存储器(RAM)、静态随机访问存储器(SRAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、可编程只读存储器(PROM)、磁性存储器、磁盘、光盘等。在一些实施例中，所述存储器41可以是所述计算机设备4的内部存储单元，例如该计算机设备4的硬盘或内存。在另一些实施例中，所述存储器41也可以是所述计算机设备4的外部存储设备，例如该计算机设备4上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(FlashCard)等。当然，所述存储器41还可以既包括所述计算机设备4的内部存储单元也包括其外部存储设备。本实施例中，所述存储器41通常用于存储安装于所述计算机设备4的操作系统和各类应用软件，例如数据加密方法的计算机可读指令等。此外，所述存储器41还可以用于暂时地存储已经输出或者将要输出的各类数据。

所述处理器42在一些实施例中可以是中央处理器(Central Processing Unit，CPU)、控制器、微控制器、微处理器、或其他数据处理芯片。该处理器42通常用于控制所述计算机设备4的总体操作。本实施例中，所述处理器42用于运行所述存储器41中存储的计算机可读指令或者处理数据，例如运行所述数据加密方法的计算机可读指令。

所述网络接口43可包括无线网络接口或有线网络接口，该网络接口43通常用于在所述计算机设备4与其他电子设备之间建立通信连接。

在上述实施例中，本申请公开了一种计算机设备，属于大数据技术领域和产险金融技术领域。接收数据加密指令，判断客户端请求数据的数据类型，其中，数据类型包括敏感数据和非敏感数据，当客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据，利用第二对称秘钥对第一加密数据进行二次加密，得到第二加密数据，将第二加密数据作为客户端请求数据的加密结果，并输出第二加密数据。本申请先对客户端请求数据的数据类型进行判断，当客户端请求数据的数据类型为敏感数据时，本申请通过采用双重对称秘钥来对敏感数据进行二次加密，可以确保在数据传输过程中敏感数据的私密性和完整性，并且通过随机数的方式分别在客户端和代理服务器中生成对称秘钥，避免秘钥传输，防止秘钥泄露，进一步保障敏感数据的安全。此外，当客户端请求数据的数据类型为非敏感数据时，本申请仅通过单重加密的方式对非敏感数据进行加密传输，保证非敏感数据的私密性和完整性，同时降低加密对数据传输性能的影响。

本申请还提供了另一种实施方式，即提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机可读指令，所述计算机可读指令可被至少一个处理器执行，以使所述至少一个处理器执行如上述的数据加密方法的步骤。

在上述实施例中，本申请公开了一种计算机可读存储介质，属于大数据技术领域和产险金融技术领域。接收数据加密指令，判断客户端请求数据的数据类型，其中，数据类型包括敏感数据和非敏感数据，当客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，通过第一对称秘钥对客户端请求数据进行加密，得到第一加密数据，利用第二对称秘钥对第一加密数据进行二次加密，得到第二加密数据，将第二加密数据作为客户端请求数据的加密结果，并输出第二加密数据。本申请先对客户端请求数据的数据类型进行判断，当客户端请求数据的数据类型为敏感数据时，本申请通过采用双重对称秘钥来对敏感数据进行二次加密，可以确保在数据传输过程中敏感数据的私密性和完整性，并且通过随机数的方式分别在客户端和代理服务器中生成对称秘钥，避免秘钥传输，防止秘钥泄露，进一步保障敏感数据的安全。此外，当客户端请求数据的数据类型为非敏感数据时，本申请仅通过单重加密的方式对非敏感数据进行加密传输，保证非敏感数据的私密性和完整性，同时降低加密对数据传输性能的影响。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本申请各个实施例所述的方法。

本申请可用于众多通用或专用的计算机系统环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器系统、基于微处理器的系统、置顶盒、可编程的消费电子设备、网络PC、小型计算机、大型计算机、包括以上任何系统或设备的分布式计算环境等等。本申请可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本申请，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

显然，以上所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例，附图中给出了本申请的较佳实施例，但并不限制本申请的专利范围。本申请可以以许多不同的形式来实现，相反地，提供这些实施例的目的是使对本申请的公开内容的理解更加透彻全面。尽管参照前述实施例对本申请进行了详细的说明，对于本领域的技术人员来而言，其依然可以对前述各具体实施方式所记载的技术方案进行修改，或者对其中部分技术特征进行等效替换。凡是利用本申请说明书及附图内容所做的等效结构，直接或间接运用在其他相关的技术领域，均同理在本申请专利保护范围之内。

Claims (10)

1.一种数据加密方法，其特征在于，包括：

接收数据加密指令，判断客户端请求数据的数据类型，其中，所述数据类型包括敏感数据和非敏感数据；

当所述客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，其中，通过组合所述客户端生成的第一随机数、第三随机数以及所述代理服务器生成的第二随机数得到所述第一对称秘钥；

通过所述第一对称秘钥对所述客户端请求数据进行加密，得到第一加密数据；

利用所述第二对称秘钥对所述第一加密数据进行二次加密，得到第二加密数据；

将所述第二加密数据作为所述客户端请求数据的加密结果，并输出所述第二加密数据。

2.如权利要求1所述的数据加密方法，其特征在于，在所述当所述客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥之前，还包括：

获取客户端请求，并将所述客户端请求发送至所述代理服务器，其中，所述客户端请求至少包括客户端生成的所述第一随机数；

获取所述代理服务器生成的所述第二随机数，并将所述第二随机数发送至所述客户端；

获取所述客户端生成的所述第三随机数，并在所述客户端中组合所述第一随机数、所述第二随机数和所述第三随机数，生成所述第一对称秘钥；

将所述第三随机数发送至所述代理服务器，并在所述代理服务器中组合所述第一随机数、所述第二随机数和所述第三随机数，生成所述第一对称秘钥；

所述客户端生成所述第二对称秘钥，并将所述第二对称秘钥发送至所述应用服务器。

3.如权利要求2所述的数据加密方法，其特征在于，在所述获取所述代理服务器生成的第二随机数，并将所述第二随机数发送至所述客户端之后，还包括：

获取所述代理服务器的签发证书，得到第一签发证书，其中，所述第一签发证书包括第一数字签名和第一公钥；

将所述第一签发证书从所述代理服务器发送至所述客户端；

在所述客户端中，使用所述第一公钥对所述第一数字签名进行解密，并根据第一数字签名解密结果对所述第一数字签名进行有效性检验。

4.如权利要求3所述的数据加密方法，其特征在于，所述将所述第三随机数发送至所述代理服务器，具体包括：

当所述第一数字签名通过所述有效性检验后，获取所述第三随机数，并通过所述第一公钥对所述第三随机数进行加密，得到第一加密结果；

将所述第一加密结果发送至所述代理服务器，并获取所述代理服务器中的第一私钥，其中，所述第一私钥与所述第一公钥相互对应；

利用所述第一私钥对所述第一加密结果进行解密，得到所述第三随机数。

5.如权利要求2所述的数据加密方法，其特征在于，在所述客户端生成所述第二对称秘钥，并将所述第二对称秘钥发送至所述应用服务器之前，还包括：

获取所述应用服务器的签发证书，得到第二签发证书，其中，所述第二签发证书包括第二数字签名和第二公钥；

将所述第二签发证书从所述应用服务器发送至所述客户端；

在所述客户端中，使用所述第二公钥对所述第二数字签名进行解密，并根据第二数字签名解密结果对所述第二数字签名进行有效性检验。

6.如权利要求5所述的数据加密方法，其特征在于，所述客户端生成所述第二对称秘钥，并将所述第二对称秘钥发送至所述应用服务器，具体包括：

当所述第二数字签名通过所述有效性检验后，获取所述第二对称秘钥，并通过所述第二公钥对所述第二对称秘钥进行加密，得到第二加密结果；

将所述第二加密结果发送至所述应用服务器，并获取所述应用服务器中的第二私钥，其中，所述第二私钥与所述第二公钥相互对应；

利用所述第二私钥对所述第二加密结果进行解密，得到所述第二对称秘钥。

7.如权利要求1至6任意一项所述的数据加密方法，其特征在于，在所述接收数据加密指令，判断客户端请求数据的数据类型之后，还包括：

当所述客户端请求数据的数据类型为非敏感数据时，从所述代理服务器中获取所述第一对称秘钥；

通过所述第一对称秘钥对所述客户端请求数据进行加密，得到第一加密数据；

将所述第一加密数据作为所述客户端请求数据的加密结果，并输出所述第一加密数据。

8.一种数据加密装置，其特征在于，包括：

请求类型判断模块，用于接收数据加密指令，判断客户端请求数据的数据类型，其中，所述数据类型包括敏感数据和非敏感数据；

对称秘钥获取模块，用于当所述客户端请求数据的数据类型为敏感数据时，从预设的代理服务器中获取第一对称秘钥，以及从应用服务器中获取第二对称秘钥，其中，通过组合所述客户端生成的第一随机数、第三随机数以及所述代理服务器生成的第二随机数得到所述第一对称秘钥；

第一数据加密模块，用于通过所述第一对称秘钥对所述客户端请求数据进行加密，得到第一加密数据；

第二数据加密模块，用于利用所述第二对称秘钥对所述第一加密数据进行二次加密，得到第二加密数据；

加密数据输出模块，用于将所述第二加密数据作为所述客户端请求数据的加密结果，并输出所述第二加密数据。

9.一种计算机设备，其特征在于，包括存储器和处理器，所述存储器中存储有计算机可读指令，所述处理器执行所述计算机可读指令时实现如权利要求1至7中任一项所述的数据加密方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机可读指令，所述计算机可读指令被处理器执行时实现如权利要求1至7中任一项所述的数据加密方法的步骤。