CN104361489A - 一种敏感信息的标识化***及其方法 - Google Patents

Abstract

本发明涉及信息安全领域，尤其涉及一种信息的标识化***及其方法，包括：交易平台，用于获取敏感信息，同时形成并发送交易请求；网关，与交易平台连接，为交易平台接入支付平台提供接入口；支付平台，与网关连接，用于实现交易请求的支付；密钥管理平台，与支付平台连接，管理和分配交易平台的密钥信息；第一FPE加密机，与网关连接，用于实现交易请求中的敏感信息的标识化；第二FPE加密机，与密钥管理平台连接，用于实现标识化后的敏感信息的解密。本发明以密钥管理平台为中心，将密钥分发给各个交易平台，同时使用FPE对敏感信息进行加密，保障了敏感信息在传输过程中数据长度不发生改变，同时确保了敏感信息的安全。

Description

一种敏感信息的标识化***及其方法

技术领域

本发明涉及信息安全领域，尤其涉及一种信息的标识化***及其方法。

背景技术

随着计算机技术和网络技术的飞速发展，数据库信息的安全问题日益严重，如2011年末中国互联网发生的大量敏感信息的泄露事件，其根本的原因就在于这些信息多以明文形式存储，存在着重大的安全隐患。

尤其是目前，网上支付的普及，其作为电子商务的基础，电子支付的普遍应用推动了电子商务的快速发展，但是在整个支付过程中也带来了个人敏感信息特别是银行卡信息泄露的问题。

在实际应用中,对信用***、身份证号等敏感数据进行加密非常必要,然而使用传统分组密码通常会扩展数据,使数据长度和类型发生变化,需要修改数据库结构或应用程序来适应这些变化,成本非常高；另外，传统的信息标识化方法中以口令管理器为中心，这需要建立集中的口令服务器，采用集中部署，采购相关设备，投入大量的成本。

发明内容

针对传统的分组密码会对数据进行扩展，是数据长度和类型发生改变的问题，本发明以密钥管理平台为中心，将密钥分发给各个交易平台，同时使用FPE对敏感信息进行加密，保障了敏感信息在传输过程中数据长度不发生改变，同时确保了敏感信息的安全。

本发明提供的敏感信息的标识化***及方法，技术方案如下：

一种敏感信息的标识化***，包括：

交易平台，网关，支付平台，密钥管理平台，第一FPE(Format PreservingEncryption，格式保留加密)加密机，以及第二FPE加密机，其中，

所述交易平台，用于获取所述敏感信息，同时形成并发送交易请求；

所述网关，与所述交易平台连接，为所述交易平台接入所述支付平台提供接入口；

所述支付平台，与所述网关连接，用于实现所述交易请求的支付；

所述密钥管理平台，与所述支付平台连接，管理和分配所述交易平台的密钥信息；

所述第一FPE加密机，与所述网关连接，用于实现所述交易请求中的敏感信息的标识化；

所述第二FPE加密机，与所述密钥管理平台连接，用于实现标识化后的敏感信息的解密。

格式保留加密式一种对称密码，要求密文与明文具有相同的格式。对于数据库敏感信息的格式保留加密，需要保证密文满足数据库对于数据格式的约束，主要包括：数据不能被扩充，即当加密N位的数字时，必须输出另外一个N位数字；数据类型不能被改变；数据必须能被确定性地加密，对于数据库中作为主键或者索引字段的数据，其被加密后将被保留其所在的列作为主键或者索引的特征；以及加解密过程可逆。

优选地，所述网关为所述交易平台的支付网关或所述支付平台的在线网关。

网关(Gateway)又称网间连接器、协议转换器。网关在网络层以上实现网络互连，是最复杂的网络互连设备，仅用于两个高层协议不同的网络互连。网关既可以用于广域网互连，也可以用于局域网互连。网关是一种充当转换重任的计算机***或设备。在使用不同的通信协议、数据格式或语言，甚至体系结构完全不同的两种***之间，网关是一个翻译器。与网桥只是简单地传达信息不同，网关对收到的信息要重新打包，以适应目的***的需求。

网关实质上是一个网络通向其他网络的IP地址。比如有网络A和网络B，网络A的IP地址范围为“192.168.1.1～192.168.1.254”，子网掩码为255.255.255.0；网络B的IP地址范围为“192.168.2.1～192.168.2.254”，子网掩码为255.255.255.0。在没有路由器的情况下，两个网络之间是不能进行TCP/IP通信的，即使是两个网络连接在同一台交换机(或集线器)上，TCP/IP协议也会根据子网掩码(255.255.255.0)判定两个网络中的主机处在不同的网络里。而要实现这两个网络之间的通信，则必须通过网关。如果网络A中的主机发现数据包的目的主机不在本地网络中，就把数据包转发给它自己的网关，再由网关转发给网络B的网关，网络B的网关再转发给网络B的某个主机(如附图所示)。网络A向网络B转发数据包的过程。

所以说，只有设置好网关的IP地址，TCP/IP协议才能实现不同网络之间的相互通信。那么这个IP地址是哪台机器的IP地址呢？网关的IP地址是具有路由功能的设备的IP地址，具有路由功能的设备有路由器、启用了路由协议的服务器(实质上相当于一台路由器)、代理服务器(也相当于一台路由器)。

在和Novell NetWare网络交互操作的上下文中，网关在Windows网络中使用的服务器信息块(SMB)协议以及NetWare网络使用的NetWare核心协议(NCP)之间起着桥梁的作用。网关也被称为IP路由器。

优选地，所述敏感信息包括用于唯一标识用户的信息和支付***。

一种敏感信息的标识化方法，应用于上述敏感信息的标识化***，其特征在于，包括以下步骤：

S1所述交易平台获取所述敏感信息，形成并发送所述交易请求；

S2所述网关接收所述支付请求，同时将所述支付请求发送至所述第一FPE加密机；

S3所述第一FPE加密机实现所述支付请求中的所述敏感信息的标识化，形成新的交易请求；

S4所述支付平台获取所述新的交易请求，同时将请求发送至所述密钥管理平台；

S5所述密钥管理平台将所述新的支付请求发送至所述第二EPF加密机进行解密；

S6发送所述解密信息至所述支付平台实现所述交易请求的交易。

优选地，其特征在于：在实现所述交易平台的交易之前，所述交易平台在所述标识化***中进行注册，且获取所述密钥管理平台发送的加密密钥和初始向量，完成所述交易平台的注册；且在所述第一FPE加密机中存储所述初始向量，解密密钥，FPE加密密钥，以及数据格式；在密钥管理平台中存储与所述交易平台注册信息关联的所述敏感信息的密文，所述初始向量，以及所述数据格式。

具体地，易平台与第一FPE加密机之间通讯要经过公网传输，所以采了非对称算法加密，交易请求首先在交易平台中使用公钥加密，即上述加密密钥，其在交易平台注册的过程中形成；随后在第一FPE加密机内通过交易平台的私钥去解密，即上述第一FPE加密机中的解密密钥，用FPE加密密钥对解密出来的信息再用标识化加密算法FPE加密。

优选地，在步骤S1中具体包括：

S11所述交易平台获取包含所述敏感信息的交易信息，形成所述交易请求；

S12在交易平台中使用所述加密密钥实现所述交易请求的加密生成加密信息；

S13所述交易平台将所述加密信息发出去。

优选地，所述交易请求包括所述敏感信息和所述交易平台注册信息。

优选地，在步骤S3中具体包括：

S31所述第一FPE加密机接收所述加密信息；

S32所述第一FPE加密机使用所述解密密钥和初始向量实现所述加密信息的解密，获取所述敏感信息；

S33所述第一FPE加密机使用所述初始向量，所述FPE加密密钥，以及所述数据格式实现所述敏感信息的标识化形成密文，同时形成新的交易请求；

S34所述第一FPE加密机将所述交易请求发送出去。

优选地，在步骤S5中具体包括：

S51所述密钥管理平台根据接收到的所述密文信息获取与所述密文关联的所述初始向量，所述数据格式，以及存储在所述密钥管理平台中的密文信息；

S52所述密钥管理平台将接收到所述密文信息与存储的密文信息进行比对，实现所述密文信息的确认；

S53若比对成功，则所述密钥管理平台将所述初始向量和所述数据格式，以及接收的所述密文一起发送至所述第二FPE加密机；

S53所述第二FPE加密机实现所述密文的解密得到敏感信息；

S54所述第二FPE加密机将所述敏感信息发送至所述支付平台，实现所述交易请求的支付。

本发明提供的敏感信息的标识化***及方法，其有益效果在于：

1.本发明的敏感信息的标识化***中使用FPE对敏感信息进行加密，保障了在整个通信过程中敏感信息的数据长度不发生改变，同时确保了敏感信息的安全；且在本发明中，只要根据加密密钥和初始向量，即可实现敏感信息的加密，生成口令信息，确保生成的口令信息唯一的对应于交易平台；

2.本发明中以密钥管理平台为中心，将密钥下发给各个交易平台，各个交易平台使用FPE加密相应的敏感信息，实现***的分布布置，相较于传统的***，在改动较小的同时达到了成本更低的效果。

附图说明

下面结合附图和具体实施方式对本发明作进一步详细说明：

图1为本发明中敏感信息的标识化***的结构示意图；

图2为本发明中敏感信息的标识化方法的流程示意图。

具体实施方式

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面结合附图和实施例对本发明进行具体的描述。下面描述中的附图仅仅是本发明的一些实施例。对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

如图1所示，本发明提供了一种敏感信息的标识化***，具体包括：交易平台，网关，支付平台，密钥管理平台，第一FPE加密机，以及第二FPE加密机。

具体地，交易平台，用于获取敏感信息，同时形成并发送交易请求。在实际应用中，交易平台包括电商平台，如京东、淘宝，苏宁等。且交易平台在使用本发明的***进行交易之前，要在密钥管理平台中进行注册，注册的信息包括：商户名称，组织构代码，法人证件及联系方式等，则密钥管理平台为交易平台分配加密用的加密密钥及初始向量，同时将交易平台与初始向量等信息的关联存储在密钥管理平台。进一步的，交易平台中的加密密钥，如果交易可以请求进行定期更换。特别地，本发明对交易平台的具体形式，交易平台注册信息的具体形式都不做具体限定，只要其能实现本发明的目的，都包括在本发明的内容中。

进一步的，为了保障信息在传输过程的安全性能，在交易平台注册的过程中，密钥管理平台还会相应的分配安全控件对数据加密时所用的证书。特别地，交易平台与第一FPE加密机之间通讯要经过公网传输，所以采了非对称算法加密，交易平台在密钥管理平台进行注册的过程中生成公钥和私钥，其中，公钥用于加密交易平台中的交易请求，同时公钥打包进入安全控件；私钥用于解密私钥存储于第一FPE加密机。

网关，与交易平台连接，为交易平台接入支付平台提供接入口。进一步地，在本发明中，网关为交易平台的支付网关或支付平台的在线网关，即本发明提供的***，包括了两种支付方式，用户即可以选择通过使用交易平台的支付网关与支付平台通信连接，也可以选择通过支付平台的在线网关与支付平台通信连接。具体地，支付平台的在线网关包括银联或银行的在先支付网关；交易平台的支付网关，可以是，如支付宝等。

支付平台，与网关连接，用于实现交易请求的支付，即实现支付请求的清算。具体地，本发明中的支付平台包括银行的清算***，即接收交易平台发送的交易请求，包括交易金额、交易***等信息实现清算过程。

密钥管理平台，与支付平台连接，管理和分配交易平台的密钥信息。在实际应用中，除了负责管理和分配密钥信息，还包括密钥的维护。存储交易平台注册信息相关联的加密密钥，敏感信息的密文，初始向量，证书等信息。特别地，在本发明中，密钥管理平台中分发给各个交易平台的密钥是通过加密机等硬件产生的随机数，当然，本发明对FPE加密密钥的生成形式不做限定，只要其能实现本发明的目的，都包括在本发明的内容中。

第一FPE加密机，与网关连接，用于实现交易请求中的敏感信息的标识化。在实际应用中，在使用之前，即***的初始化过程中，需要对加密机进行配置，包括存储密钥管理平台分发给商户导入了交易平台解密密钥(即私钥)的证书，用于给敏感信息加密的FPE加密密钥、初始向量、以及数据格式等信息。特别地，这里说的FPE加密密钥为加密机的生成的安全的随机数，当然，本发明对FPE加密密钥的生成形式不做限定，只要其能实现本发明的目的，都包括在本发明的内容中。

进一步地，上述敏感信息包括用于唯一标识用户的信息和支付***等，如SSN号(Social Security Number社会安全号)。

本发明还提供了一种敏感信息的标识化方法，应用于上述敏感信息的标识化***，包括以下步骤：

S1交易平台获取敏感信息，形成并发送交易请求；

S2网关接收支付请求，同时将支付请求发送至第一FPE加密机；

S3第一FPE加密机实现支付请求中的敏感信息的标识化，形成新的交易请求；

S4支付平台获取新的交易请求，同时将请求发送至密钥管理平台；

S5密钥管理平台将新的支付请求发送至第二EPF加密机进行解密；

S6发送解密信息至支付平台实现交易请求的交易。

具体的，在实现交易平台的交易之前，交易平台在标识化***中进行注册，且获取密钥管理平台发送的加密密钥和初始向量，完成交易平台的注册；且在第一FPE加密机中存储初始向量，解密密钥，FPE加密密钥，以及数据格式；在密钥管理平台中存储与交易平台注册信息关联的敏感信息的密文，初始向量，以及数据格式。

进一步地，在步骤S1，交易平台获取敏感信息，形成并发送交易请求中具体包括：

S11交易平台获取包含敏感信息的交易信息，形成交易请求。特别地，这里说的敏感信息，包括交易过程中要使用到的***，身份证信息等；交易请求包括敏感信息和交易平台注册信息，即交易请求信息除了包括敏感信息，还包括交易平台机构信息等。

S12在交易平台中使用加密密钥实现交易请求的加密生成加密信息。特别地，为了进一步保障信息在传输过程中的安全，本发明中还使用相应的安全控件和证书实现数据的加密，特别地，本发明描述的安全控件，包括是一种浏览器按全控件包括在IE中安装的OCX安全控件。

S13交易平台将加密信息发出去。

进一步地，在步骤S3，第一FPE加密机实现支付请求中的敏感信息的标识化，形成新的交易请求中，具体包括：

S31第一FPE加密机接收加密信息；

S32第一FPE加密机使用解密密钥和初始向量实现加密信息的解密，获取敏感信息。特别地，若交易平台中使用了安全控件和证书对数据进行了加密，则在第一FPE加密机中使用相应的存储在内部的证书对其进行解密。

S33第一FPE加密机使用初始向量，FPE加密密钥，以及数据格式实现敏感信息的标识化形成密文，同时形成新的交易请求。具体地，一般来说，对敏感信息进行加密，在中间部加密，头尾4位会相应的保留，例如：SSN为74123456 7890 0000，则经过FPE加密后的密文为7412 3423 3526 0000，随后再将加密后的信息发送至第二FPE进行解密。

S34第一FPE加密机将交易请求发送出去。

进一步地，在步骤S5中，密钥管理平台将新的支付请求发送至第二EPF加密机进行解密具体包括：

S51密钥管理平台根据接收到的密文信息获取与密文关联的初始向量，数据格式，以及存储在密钥管理平台中的密文信息。具体地，密钥管理平台在接收到密文之后，即根据接收到的密文在内部存储的关联表中进行查找，同时找到其他相关的信息，如果没有找到，则说明密文在传输的过程中被篡改过，则终止交易。

S52密钥管理平台将接收到密文信息与存储的密文信息进行比对，实现密文信息的确认；

S53若比对成功，则密钥管理平台将初始向量和数据格式，以及接收的密文一起发送至第二FPE加密机；若比对失败，则终止交易。

S53第二FPE加密机实现密文的解密得到敏感信息；

S54第二FPE加密机将敏感信息发送至支付平台，实现交易请求的支付。支付平台中的清算***即根据解密出来的敏感信息，如***，金额等信息进行清算。清算结束之后，将清算结果发送至交易平台中，供用户进行确认。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所做任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种敏感信息的标识化***，其特征在于，包括：

交易平台，网关，支付平台，密钥管理平台，第一FPE加密机，以及第二FPE加密机，其中，

所述交易平台，用于获取所述敏感信息，同时形成并发送交易请求；

所述网关，与所述交易平台连接，为所述交易平台接入所述支付平台提供接入口；

所述支付平台，与所述网关连接，用于实现所述交易请求的支付；

所述密钥管理平台，与所述支付平台连接，管理和分配所述交易平台的密钥信息；

所述第一FPE加密机，与所述网关连接，用于实现所述交易请求中的敏感信息的标识化；

所述第二FPE加密机，与所述密钥管理平台连接，用于实现标识化后的敏感信息的解密。

2.如权利要求1所述敏感信息的标识化***，其特征在于：所述网关为所述交易平台的支付网关或所述支付平台的在线网关。

3.如权利要求1所述敏感信息的标识化***，其特征在于：所述敏感信息包括用于唯一标识用户的信息和支付***。

4.一种敏感信息的标识化方法，应用于如权利要求1-3任一所述敏感信息的标识化***，其特征在于，包括以下步骤：

S1所述交易平台获取所述敏感信息，形成并发送所述交易请求；

S2所述网关接收所述支付请求，同时将所述支付请求发送至所述第一FPE加密机；

S3所述第一FPE加密机实现所述支付请求中的所述敏感信息的标识化，形成新的交易请求；

S4所述支付平台获取所述新的交易请求，同时将请求发送至所述密钥管理平台；

S5所述密钥管理平台将所述新的支付请求发送至所述第二EPF加密机进行解密；

S6发送所述解密信息至所述支付平台实现所述交易请求的交易。

5.如权利要求4所述敏感信息的标识化方法，其特征在于：

在实现所述交易平台的交易之前，所述交易平台在所述标识化***中进行注册，且获取所述密钥管理平台发送的加密密钥和初始向量，完成所述交易平台的注册；且在所述第一FPE加密机中存储所述初始向量，解密密钥，FPE加密密钥，以及数据格式；在密钥管理平台中存储与所述交易平台注册信息关联的所述敏感信息的密文，所述初始向量，以及所述数据格式。

6.如权利要求5所述敏感信息的标识化方法，其特征在于，在步骤S1中具体包括：

S11所述交易平台获取包含所述敏感信息的交易信息，形成所述交易请求；

S12在交易平台中使用所述加密密钥实现所述交易请求的加密生成加密信息；

S13所述交易平台将所述加密信息发出去。

7.如权利要求6所述敏感信息的标识化方法，其特征在于：所述交易请求包括所述敏感信息和所述交易平台注册信息。

8.如权利要求6所述敏感信息的标识化***，其特征在于，在步骤S3中具体包括：

S31所述第一FPE加密机接收所述加密信息；

S32所述第一FPE加密机使用所述解密密钥和初始向量实现所述加密信息的解密，获取所述敏感信息；

S33所述第一FPE加密机使用所述初始向量，所述FPE加密密钥，以及所述数据格式实现所述敏感信息的标识化形成密文，同时形成新的交易请求；

S34所述第一FPE加密机将所述交易请求发送出去。

9.如权利要求利要求8所述敏感信息的标识化方法，其特征在于，在步骤S5中具体包括：

S51所述密钥管理平台根据接收到的所述密文信息获取与所述密文关联的所述初始向量，所述数据格式，以及存储在所述密钥管理平台中的密文信息；

S52所述密钥管理平台将接收到所述密文信息与存储的密文信息进行比对，实现所述密文信息的确认；

S53若比对成功，则所述密钥管理平台将所述初始向量和所述数据格式，以及接收的所述密文一起发送至所述第二FPE加密机；

S53所述第二FPE加密机实现所述密文的解密得到敏感信息；

S54所述第二FPE加密机将所述敏感信息发送至所述支付平台，实现所述交易请求的支付。