CN104202166A - 一种erp***数据加密方法 - Google Patents

Abstract

为了降低对现有技术中硬件加密狗的依赖度，本发明提供了一种ERP***数据加密方法，包括：对源数据进行第一加密，得到第一加密数据；对第一加密数据进行封装，产生第一数据包；为数据请求端生成随机数，该随机数小于数据请求端在有效生命周期内操作的次数；对所述随机数进行第二加密，得到第二加密数据；获得请求端在对应所述随机数的主操作请求密钥；对所述请求密钥进行第三加密，得到第三加密数据；对所述第二加密数据和第三加密数据进行封装，得到第二数据包；发送第二数据包和第一数据包给请求端。该方法减少了硬件加密狗的使用频次，降低了硬件加密狗损坏或遗失给ERP***造成的不便。

Description

一种erp***数据加密方法

技术领域

本发明涉及信息安全领域，更具体地说，涉及一种erp***数据加密方法。

背景技术

当今社会已经进入信息化、数字化时代，数字数据和数字通信已经成为人们日常生活中不可分割的一部分，电子商务技术的发展和日趋成熟，ERP(Enterprise Resource Planning，企业资源计划)***的应用也越来越普及。

ERP***是一个高度集成的***，数据在各业务子***之间高度共享，且共享数据的数据量随着业务量的攀升而呈几何数量级增长，子***增加和复杂化的趋势也使各子***之间的逻辑关系越来越复杂。这就会使数据资源的安全性面临比较大的困难。

÷这些资源不但对组织机构具有巨大的价值，而且也涉及到最终用户的利益。随着技术环境和应用环境的改变，特别是熟悉计算机技术的人越来越多，各种攻击技术、破解技术以及攻击工具和破解工具通过网络广泛传播的情况下***的安全性缺点显露无疑。

现有技术中，越来越多的ERP***放弃了仅采用软件算法进行加密的做法，而转为广泛使用硬件(例如，加密狗、USB-Key等)与软件结合的方式进行密级检定和安全防范。例如，申请号为201410007398.1的中国专利申请公开了一种能够应用于ERP***中作为网上分销订单管理子***的加密方式，该子***包括***登录模块，所述***登录模块上连接有加密狗驱动安装模块、登录***模块、初始设置模块，所述登录***模块上连接有***管理模块、采购管理模块、收货管理模块、回款管理模块，所述初始设置模块上连接有分销商维护模块、用户管理模块、属性维护模块、料号维护模块、单据编码维护模块、料号折扣率维护模块、客户资料维护模块。该加密方式采用B2M模式、Ajax技术，通过加密狗认证。但是，这种方式的密级程度较高，且硬件依赖性过高。一旦发生硬件损坏或丢失，将造成数据流的瓶颈，甚至严重影响整个ERP***的正常运转，具有给企业造成风险的潜在危机。

发明内容

为了解决现有技术中存在的上述不足，本发明提供了一种ERP***数据加密方法。本发明的目的是在保证ERP***数据安全性的前提下，尽量减少加密狗的使用次数，从而降低对现有技术中硬件加密狗的依赖度。为了实现上述目的，本发明提供了如下方案：

一种ERP***数据加密方法，包括如下步骤：

(1)对源数据进行第一加密，得到第一加密数据；

(2)对第一加密数据进行封装，产生第一数据包；

(3)为数据请求端生成随机数，该随机数小于数据请求端在有效生命周期内操作的次数；

(4)对所述随机数进行第二加密，得到第二加密数据；

(5)获得请求端在对应所述随机数的主操作请求密钥；

(6)对所述请求密钥进行第三加密，得到第三加密数据；

(7)对所述第二加密数据和第三加密数据进行封装，得到第二数据包；

(8)发送第二数据包和第一数据包给请求端。

进一步地，所述方法在步骤(1)之前还包括：请求端的第一数据通信设备生成本次请求的累计操作序号以及该序号对应的从操作请求密钥；当第一数据通信设备比较该从操作请求密钥与该主操作请求密钥后且比较结果为一致时，产生第一加密的解密密钥。

进一步地，所述第一加密、第二加密和第三加密分别采用彼此不同的加密算法。

进一步地，当所述据通信设备未保存此前的从操作请求密钥时，采用第二数据通信设备替换所述第一数据通信设备，并由第二数据通信设备向源数据发送端发送初始化请求。

进一步地，所述方法还包括：当收到请求端发送的初始化请求时，将请求端的第二数据通信设备验证信息进行第四加密，得到第四加密数据；以及将第四加密数据进行封装，得到第三数据包，并向请求端发送第三数据包。

进一步地，所述第二数据通信设备验证信息为请求端第二数据通信设备的固件MAC地址。

进一步地，请求端利用第二数据通信设备对源数据发送端发送的第三数据包进行拆封，并在不进行解密的情况下比较第四加密数据和第二数据通信设备验证信息是否一致，如果一致，对第一数据通信设备进行数据重置，并产生第一加密的解密密钥。

进一步地，所述第二数据通信设备为硬件加密狗。

进一步地，所述第一数据通信设备可以是手机。

进一步地，所述第二加密和第三加密均与第四加密采用的加密算法不同。

本发明的有益效果如下：通过将硬件加密狗等硬件加密设备的作用进行特别的设定，使之仅在日常解密时作为备用解密设备，从而减少了硬件加密狗的使用频次，降低了硬件加密狗损坏或遗失给ERP***造成的不便。

附图说明

图1示出了根据本发明的优选实施例的数据源发送端的数据加密流程图。

具体实施方式

下面将结合附图详细说明本发明的一个优选实施例。

如图1所示，在本发明的一个优选实施例中，ERP***数据加密方法包括如下步骤：

步骤101：对源数据进行第一加密，得到第一加密数据。该加密方法可被应用于数据源发送端。这种发送端具体来讲可以被设置于计算机服务器端，并与数据请求端进行通信。本发明中，数据请求端可以是ERP***中的任意一个子***，也可以是ERP***中任何一台业务终端。

在本发明的一个优选的实施例中，根据请求信息，首先从数据库中获取希望获得的原始数据作为源数据。然后进行WAP2加密处理。加密的密钥可以根据预设的参数选定为128位或256位。

步骤102：对第一加密数据进行封装，产生第一数据包。在现有技术中，数据访问模块并不做任何处理。但数据访问模块中往往包含一些保密信息，例如数据服务器链接地址、服务器用户名、登陆密码、数据访问策略等，可以将用户访问加密数据使用的数据访问模块封装为加密数据访问接口，对数据访问接口中的内容进行保护，防止由于环境弱安全问题，数据访问模块遭人窃取、破译而导致泄密。

在封装时，可以采用Java作为封装工具，将访问加密数据使用的数据访问模块封装为Java归档文件Jar包形式的加密数据访问接口。

步骤103：为数据请求端生成随机数，该随机数小于数据请求端在有效生命周期内操作的次数。

在该步骤中，随机数为自然数。“有效生命周期”是指数据请求端在正常使用第一数据通信设备期间的时间。除了以下列举的情况外，其他情形均视为该第一数据通信设备正在正常使用期间(下述情况仅为列举，并非穷举)：

1)该第一数据通信设备遗失；

2)该第一数据通信设备损坏，以至无法正常发挥其通信和数据验证等功能；

3)该第一数据通信设备中的特定业务数据(例如，可以被保存在第一数据通信设备的特定文件夹或特定存储区域或特定存储介质中)被清空或删改；

4)当第一数据通信设备未保存此前的从操作请求密钥时，即由于各种原因造成第一数据通信设备中不存在任何以往的从操作请求密钥时。

凡是发生上述情形之一者，该第一数据通信设备则被认为当前未在有效生命周期，需要依靠第二数据通信设备对其自身进行重置。

本发明中，默认的情况是数据请求端在此次访问源数据之前，使用手机等数据通信设备进行过数据请求。此前的数据请求业务的类型可以与本次的不同，但不管相同或者不同，请求次数的累计值均分别在数据请求端和源数据发送端记录。例如，此前进行过2次请求ERP物流子***中某部门的业务数据，包括：本年度上半年日均物流单数、前一年度上半年日均物流单数，则此时的“数据请求端在有效生命周期内操作的次数”等于2。若发生重置，则该“数据请求端在有效生命周期内操作的次数”被默认置为“0”，并随即在向源数据发送端发送数据请求信息时被设置为“1”。

步骤104：对所述随机数进行第二加密，得到第二加密数据。这里的加密可以与此前的加密算法相同，也可以与此前的加密算法不同。在本发明的优选实施例中，该第二加密算法采用现有技术中人工神经网络为基础的数据散列加密算法。

步骤105：获得请求端在对应所述随机数的主操作请求密钥。

根据本发明的另一个优选实施例，根据上面的协议，数据请求端的每次数据请求或业务请求具有相应的“次数”属性；而且，在上述步骤101之前，数据请求端还将请求端发出请求时的时间、地理坐标等信息加以记录，并将这些记录所得的信息作为主操作请求密钥。该密钥在数据请求端发送数据请求的同时被记录在该数据请求端的第一数据通信设备中，并与该次请求对应的“次数”进行关联，形成一一对应的关系。此外，该记录所得的信息还被随着请求信息一起发送给源数据发送端，被源数据发送端记录。被记录在第一数据通信设备中的上述记录所得的信息被称为从操作请求密钥，二被发送到源数据发送端的上述记录所得的信息被称为主操作请求密钥。

在源数据发送端，上述记录所得的信息被设置为只读属性，即不可修改或删除。以供ERP***中的各业务端(即潜在的数据请求端)在进行数据访问时提供匹配的密钥比较基准。

步骤106：对所述请求密钥进行第三加密，得到第三加密数据。本优选实施例中，步骤106的加密算法同样采用人工神经网络为基础的数据散列加密算法，且与上述第二加密时采用的散列加密算法相同。

步骤107：对所述第二加密数据和第三加密数据进行封装，得到第二数据包。在本发明的一个优选的实施例中，该步骤106和107具体包括：

1)获取待加密Jar包；

2)获取类Class字节数组：根据后缀名分析待加密Jar包中的类文件，读取待加密Jar包中的类文件，并写入类字节数组，将待加密Jar包中的各个类文件的类名与对应的类字节数组以数据类型或其集合的形式保存。加载Jar包，生成文件压缩流，分析Jar包中的文件，找到所有以“.class”格式结尾的类文件，并读取类文件内容，写入字节数组，并以〈.class类名，字节数组〉的Map形式保存；

3)加密Class字节数组：利用预置的加密算法加密各个类文件对应的类字节数组；预置的加密算法包括人工神经网络为基础的数据散列加密算法。当然，也可以采用高级加密标准AES加密算法，或用户自定义加密算法，还可以采用256比特密钥的AES算法对Class字节数组进行加密处理；

4)生成加密Jar包：初始化类文件流和Jar包压缩流，将加密后的类字节数组内容写回至类文件流，再将所有得到的类文件流写入至Jar包压缩流，以Jar包形式存储，生成Jar包形式的加密数据访问接口。具体的，可以是初始化.class文件流和Jar包压缩流，将加密后的Class字节数组内容写回至.class文件流，然后再将所有得到的.class文件流写入至Jar包压缩流，最后以Jar包形式存储。

步骤108：发送第二数据包和第一数据包给请求端。源数据发送端与数据请求端之间的通信可以时有线通信，例如通过以太网或光纤通信网；也可以是无线通信，例如根据IEEE802.11、IEEE802.15和IEEE802.16等标准的无线通信网络。

数据请求端收到源数据发送端发送来的数据后，首先进行主操作请求密钥和从操作请求密钥进行比对。在上述的实施例中，第一数据包和第二数据包被同时发送到数据请求端。数据请求端在收到第一数据包和第二数据包后，首先拆封第二数据包，并将其中的主操作请求密钥与第一数据通信设备中的从操作请求密钥进行比较。在比较结果一致之前，不对第一数据包进行任何处理。如果比较结果为一致时，则激活第一数据通信设备中存储的关于第一加密的解密密钥产生算法，将主操作请求密钥作为输入参数，产生第一加密的解密密钥。在上述解密密钥产生算法中包括了向源数据发送端发送请求第一数据包的准予请求，此时再从源数据发送端发送上述第一数据包，并在数据请求端接收、拆封并利用所产生的解密密钥对已经拆封的第一数据包进行解密，得到源数据。

在另一个优选的实施例中，在源数据发送端发送数据时，首先发送第二数据包，而暂不发送第一数据包。数据请求端先将第二数据包中记录的信息进行拆封，得到主操作请求密钥，然后将之与第一数据通信设备中的从操作请求密钥进行比较。在比较结果一致之前，不对第一数据包进行任何处理。如果比较结果为一致时，则激活第一数据通信设备中存储的关于第一加密的解密密钥产生算法，将主操作请求密钥作为输入参数，产生第一加密的解密密钥。在上述解密密钥产生算法中包括了向源数据发送端发送请求第一数据包的准予请求。数据源发送端查询到此前已经发送过第一数据包，则忽略该准予请求而不再次向数据请求端发送第一数据包。然后，在数据请求端接收、拆封并利用所产生的解密密钥对已经拆封的第一数据包进行解密，得到源数据。

不论在上述哪种情形的实施例中，本领域技术人员应当注意的是：上述准予请求采用高级封装(例如在应用层封装)的方式，不同于一般通信协议中由于网络环境故障而产生的数据包重发请求。数据源发送端查询到此前并未响应于该准予请求而发送第一数据包，则此时向该数据请求端发送第一数据包。另外，本发明中，“数据包”不同于本领域通常对于“按照通信协议传输的数据单位”的含义，而是泛指数据请求端待接收的全部数据，其中可能包括一个或多个本领域常用含义上的“数据包”。再有需要说明的一点是，多数情况下，数据请求端具有多个“从操作请求密钥”。这时，进行上述“比较”时，实际上是在这多个“从操作请求密钥”中查找“主操作请求密钥”，如果找到则认为比较结果“一致”，否则认为比较结果“不一致”。

当发生前述数据请求端未在“有效生命周期”的情形时，采用第二数据通信设备替换所述第一数据通信设备，并由第二数据通信设备向源数据发送端发送初始化请求。在本发明的优选实施例中，第二数据通信设备采用硬件加密狗。而所述第一数据通信设备可以是手机。

此时，根据本发明的实施例，当收到请求端发送的初始化请求时，源数据发送端将请求端的第二数据通信设备验证信息进行第四加密，得到第四加密数据，再将第四加密数据进行封装，得到第三数据包，并向请求端发送第三数据包。在一个优选实施例中，第二数据通信设备验证信息为请求端第二数据通信设备的固件MAC地址。

请求端利用第二数据通信设备对源数据发送端发送的第三数据包进行拆封，并在不进行解密的情况下比较第四加密数据和第二数据通信设备验证信息是否一致，如果一致，对第一数据通信设备进行数据重置，激活第一数据通信设备中存储的关于第一加密的解密密钥产生算法，将主操作请求密钥作为输入参数，产生第一加密的解密密钥。

本领域技术人员应当清楚的是，根据本发明的上述或另外的实施例，所述第一加密、第二加密和第三加密分别采用彼此不同的加密算法。在其他的实施例中，所述第二加密和第三加密均与第四加密采用的加密算法不同。再或者，上述各个加密算法是否相同可以由本领域技术人员任意或根据实际使用情况进行设置。

以上对本发明所提供的一种安全访问数据的方法及装置，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种ERP***数据加密方法，其特征在于，包括如下步骤：

(1)对源数据进行第一加密，得到第一加密数据；

(2)对第一加密数据进行封装，产生第一数据包；

(3)为数据请求端生成随机数，该随机数小于数据请求端在有效生命周期内操作的次数；

(4)对所述随机数进行第二加密，得到第二加密数据；

(5)获得请求端在对应所述随机数的主操作请求密钥；

(6)对所述请求密钥进行第三加密，得到第三加密数据；

(7)对所述第二加密数据和第三加密数据进行封装，得到第二数据包；

(8)发送第二数据包和第一数据包给请求端。

2.根据权利要求1所述的方法，其特征在于，所述方法在步骤(1)之前还包括：请求端的第一数据通信设备生成本次请求的累计操作序号以及该序号对应的从操作请求密钥；当第一数据通信设备比较该从操作请求密钥与该主操作请求密钥后且比较结果为一致时，产生第一加密的解密密钥。

3.根据权利要求1所述的方法，其特征在于，所述第一加密、第二加密和第三加密分别采用彼此不同的加密算法。

4.根据权利要求1所述的方法，其特征在于，当所述据通信设备未保存此前的从操作请求密钥时，采用第二数据通信设备替换所述第一数据通信设备，并由第二数据通信设备向源数据发送端发送初始化请求。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：当收到请求端发送的初始化请求时，将请求端的第二数据通信设备验证信息进行第四加密，得到第四加密数据；以及将第四加密数据进行封装，得到第三数据包，并向请求端发送第三数据包。

6.根据权利要求1所述的方法，其特征在于，所述第二数据通信设备验证信息为请求端第二数据通信设备的固件MAC地址。

7.根据权利要求1所述的方法，其特征在于，请求端利用第二数据通信设备对源数据发送端发送的第三数据包进行拆封，并在不进行解密的情况下比较第四加密数据和第二数据通信设备验证信息是否一致，如果一致，对第一数据通信设备进行数据重置，并产生第一加密的解密密钥。

8.根据权利要求4-6之一所述的方法，其特征在于，所述第二数据通信设备为硬件加密狗。

9.根据权利要求1所述的方法，其特征在于，所述第一数据通信设备可以是手机。

10.根据权利要求1-3之一所述的方法，其特征在于，所述第二加密和第三加密均与第四加密采用的加密算法不同。