CN113946863A

CN113946863A - 数据加密存储方法、***、设备及存储介质

Info

Publication number: CN113946863A
Application number: CN202111203423.XA
Authority: CN
Inventors: 张连营; 张宏斌; 陈胜男; 顾思宇; 黄嘉骏
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2021-10-15
Filing date: 2021-10-15
Publication date: 2022-01-18

Abstract

本发明提供了一种数据加密存储方法、***、设备及存储介质，所述方法包括步骤：服务器获取与待加密数据相关联的原始特征信息；客户端基于当前用户持有的私钥，生成用户标识信息，并将所述用户标识信息发送至所述服务器；所述服务器接收到所述用户标识信息后，基于所述原始特征信息和所述用户标识信息，生成加密密钥；所述服务器利用所述加密密钥对所述待加密数据进行加密，得到密文数据，并存储所述密文数据；本申请有利于提高用户数据的安全性。

Description

数据加密存储方法、***、设备及存储介质

技术领域

本发明涉及数据加密技术领域，具体地说，涉及一种数据加密存储方法、***、设备及存储介质。

背景技术

现有的存储加密服务器在对对称密钥进行加密和解密时，通常只利用单一的物理硬件特征，比如利用加密卡生成的主密钥，作为参数进行密码运算，在数据加解密过程中对用户透明。这种情况下，只要攻击者获得了用户操作***权限登录***，就能对加密后的密文数据进行解密，获得敏感数据，导致用户数据的安全性无法得到保证。

发明内容

针对现有技术中的问题，本发明的目的在于提供一种数据加密存储方法、***、设备及存储介质，解决现有的对称密钥加密方法无法保证用户数据的安全性的问题。

为实现上述目的，本发明提供了一种数据加密存储方法，所述方法包括以下步骤：

服务器获取与待加密数据相关联的原始特征信息；

客户端基于当前用户持有的私钥，生成用户标识信息，并将所述用户标识信息发送至所述服务器；

所述服务器接收到所述用户标识信息后，基于所述原始特征信息和所述用户标识信息，生成加密密钥；

所述服务器利用所述加密密钥对所述待加密数据进行加密，得到密文数据，并存储所述密文数据。

可选地，所述原始特征信息包括磁盘卷特征信息，所述磁盘卷特征信息与所述待加密数据加密后在存储介质中的存储区域的编号相对应。

可选地，所述原始特征信息包括第一密钥，所述第一密钥通过预设加密设备生成。

可选地，所述方法还包括步骤：

所述服务器获取与所述密文数据相关联的所述原始特征信息；

所述客户端基于当前用户持有的私钥，生成所述用户标识信息，并将所述用户标识信息发送至所述服务器；

所述服务器接收到所述用户标识信息后，基于所述原始特征信息和所述用户标识信息，生成解密密钥；

所述服务器基于所述解密密钥对所述密文数据进行解密，得到明文数据；并将所述明文数据发送至所述客户端。

可选地，在所述服务器获取与待加密数据相关联的原始特征信息的步骤之前，所述方法还包括：

服务器接收到客户端发送的数据存储指令。

可选地，所述原始特征信息包括磁盘卷特征信息；

所述服务器获取与所述密文数据相关联的所述原始特征信息，包括：

服务器获取所述密文数据的存储区域，根据所述存储区域得到与所述密文数据相关联的磁盘卷特征信息。

可选地，在所述服务器获取与所述密文数据相关联的所述原始特征信息的步骤之前，所述方法还包括：

所述服务器接收到所述客户端发送的数据读取指令。

可选地，所述客户端基于当前用户持有的私钥，生成用户标识信息的步骤，包括：

客户端基于第一预设加密算法对当前用户持有的私钥进行加密，生成用户标识信息；

所述服务器接收到所述用户标识信息后，基于所述原始特征信息和所述用户标识信息，生成加密密钥的步骤，包括：

所述服务器基于第二预设加密算法对所述原始特征信息和所述用户标识信息进行加密，生成加密密钥；

所述第一预设加密算法和所述第二预设加密算法均为对称加密算法。

本发明还提供了一种数据加密存储***，用于实现上述数据加密存储方法，所述***包括：

原始特征信息获取模块，服务器获取与待加密数据相关联的原始特征信息；

用户标识信息生成模块，客户端基于当前用户持有的私钥，生成用户标识信息，并将所述用户标识信息发送至所述服务器；

加密密钥生成模块，所述服务器接收到所述用户标识信息后，基于所述原始特征信息和所述用户标识信息，生成加密密钥；

数据加密模块，所述服务器利用所述加密密钥对所述待加密数据进行加密，得到密文数据，并存储所述密文数据。

本发明还提供了一种数据加密存储设备，包括：

处理器；

存储器，其中存储有所述处理器的可执行程序；

其中，所述处理器配置为经由执行所述可执行程序来执行上述任意一项数据加密存储方法的步骤。

本发明还提供了一种计算机可读存储介质，用于存储程序，所述程序被处理器执行时实现上述任意一项数据加密存储方法的步骤。

本发明与现有技术相比，具有以下优点及突出性效果：

本发明提供的数据加密存储方法、***、设备及存储介质通过将原始特征信息和用户标识信息组合进行加密运算，生成加密密钥，区别于现有技术中仅利用单一的硬件特征信息进行加密，即使攻击者获得了用户操作***权限，也无法获得敏感数据，保证了用户数据的安全性。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显。

图1为本发明一实施例公开的一种数据加密存储方法的示意图；

图2为本发明另一实施例公开的一种数据加密存储方法的示意图；

图3为本发明一实施例公开的数据加密存储方法的流程示意图；

图4为本发明另一实施例公开的数据加密存储方法中数据解密流程示意图；

图5为本发明一实施例公开的一种数据加密存储***的结构示意图；

图6为本发明另一实施例公开的一种数据加密存储***的结构示意图；

图7为本发明一实施例公开的一种数据加密存储设备的结构示意图；

图8为本发明一实施例公开的一种计算机可读存储介质的结构示意图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的实施方式。相反，提供这些实施方式使得本发明将全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。在图中相同的附图标记表示相同或类似的结构，因而将省略对它们的重复描述。

如图1所示，本发明一实施例公开了一种数据加密存储方法，该方法包括以下步骤：

S110，服务器获取与待加密数据相关联的原始特征信息。本实施例中，上述原始特征信息包括多个物理硬件特征信息。上述物理硬件特征信息可以为磁盘卷特征信息或加密卡生成的主密钥等。本申请对此不作限制。磁盘卷特征信息与上述待加密数据加密后在存储介质中的存储区域的编号相对应。磁盘卷特征信息可以包含有磁盘卷标号等信息。其中，上述服务器可以为存储加密服务器。上述存储介质可以为硬盘。磁盘卷特征信息也可以与存储区域的其他属性特征信息相对应。存储介质中的存储区域的编号可以为硬盘中磁道或者扇区的预设编号。本申请对此不作限制。

S120，客户端基于当前用户持有的私钥，生成用户标识信息，并将上述用户标识信息发送至上述服务器。具体而言，客户端将当前用户持有的私钥作为第一预设加密算法的输入，经过加密运算即可得到上述用户标识信息。用户标识信息可以为多个十进制数字组成的序列号。比如，客户端对当前用户带有私钥的证书进行加密运算，得到UPIN。UPIN即为上述用户标识信息。

其中，上述第一预设加密算法可以为对称加密算法，比如SM3算法。本申请对上述第一预设加密算法以及对称加密算法的类型均不作限制。

S130，上述服务器接收到上述用户标识信息后，基于上述原始特征信息和上述用户标识信息，生成加密密钥。具体而言，将上述原始特征信息和上述用户标识信息作为第二预设加密算法的输入，经过加密运算即可生成加密密钥。其中，上述第二预设加密算法可以为对称加密算法，比如SM4算法。本申请对上述第二预设加密算法以及对称加密算法的类型均不作限制。

本申请利用多个物理硬件特征信息与用户标识信息组合进行加密运算，而不是单一的物理硬件特征信息，这样加密后的密文数据安全性更高。即使在攻击者获得了用户操作***权限，破解获得敏感数据的难度会增加。

S140，上述服务器利用上述加密密钥对上述待加密数据进行加密，得到密文数据，并存储上述密文数据。具体来说，服务器将上述加密密钥和上述待加密数据作为第三预设加密算法的输入，经过加密运算即可得到密文数据。上述密文数据存储于该服务器中。其中，上述第三预设加密算法可以为对称加密算法，比如SM4算法。当上述原始特征信息包含磁盘卷特征信息时，该步骤中将加密后的密文数据存储于磁盘卷特征信息对应的存储区域。

本申请的另一实施例公开了另一种数据加密存储方法。该方法在上述实施例的基础上，上述原始特征信息包括磁盘卷特征信息和第一密钥。上述磁盘卷特征信息与上述待加密数据加密后在存储介质中的存储区域的编号相对应。上述第一密钥通过预设加密设备生成。比如，预设加密设备可以为加密卡，第一密钥可以为加密卡生成的主密钥。

如图2所示，本申请的另一实施例公开了另一种数据加密存储方法。该方法在上述实施例的基础上，还包括步骤：

S160，上述服务器获取与上述密文数据相关联的原始特征信息。其中，该步骤中的原始特征信息与步骤S110中的原始特征信息相同。

在本申请的另一实施例中，上述原始特征信息包括磁盘卷特征信息。服务器获取上述密文数据的存储区域，根据上述存储区域得到与上述密文数据相关联的磁盘卷特征信息。

在本申请的另一实施例中，上述原始特征信息可以包括第一密钥，上述第一密钥通过预设加密设备生成。比如，预设加密设备可以为硬件加密卡，第一密钥可以为加密卡生成的主密钥。

S170，上述客户端基于当前用户持有的私钥，生成用户标识信息，并将上述用户标识信息发送至上述服务器。其中，该步骤中的用户私钥和步骤S120中的私钥相同。该步骤中的用户标识信息和步骤S120中的用户标识信息相同。

S180，上述服务器接收到上述用户标识信息后，基于上述原始特征信息和上述用户标识信息，生成解密密钥。具体而言，将原始特征信息和上述用户标识信息作为上述第二预设加密算法的输入，经过运算即可得到上述解密密钥。

S190，上述服务器基于上述解密密钥对上述密文数据进行解密，得到明文数据；并将上述明文数据发送至上述客户端。具体而言，将上述密文数据和解密密钥作为上述第三预设加密算法的输入，经过解密运算即可得到明文数据。

在本申请的另一实施例中，公开了另一种数据加密存储方法。该方法在上述实施例的基础上，在步骤S110之前，还包括步骤：

S100，服务器接收到客户端发送的数据存储指令。也即，仅在服务器接收到数据存储指令之后，才开始获取上述与待加密数据相关联的原始特征信息。本申请不需要设置独立的发送指令服务器和加密服务器，利用加密存储服务器与客户端通信，即可实现所有流程，节省了服务器资源，利于降低服务器成本。

在本申请的另一实施例中，公开了另一种数据加密存储方法。该方法在上述实施例的基础上，在步骤S160之前，还包括步骤：

S150，上述服务器接收到上述客户端发送的数据读取指令。也即，仅在服务器接收到数据读取指令之后，才开始获取上述与密文数据相关联的原始特征信息。

如图3所示，本申请的另一实施例公开了另一种数据加密存储方法。具体而言，当与当前用户101对应的客户端开始向存储加密服务器发送指令执行步骤S201：写操作，也即开始向存储加密服务器写入明文数据102时，客户端基于当前用户101持有的私钥103，执行步骤S202：第一加密运算，生成UPIN106即用户标识信息。MON104即存储加密服务器管理中心对用户的UPIN106进行加载，存储加密服务器的内核加解密层调用加密卡生成第一密钥107，然后该内核加解密层调用上述第一密钥107、磁盘卷特征信息105和UPIN106执行步骤S203：第二加密运算，得到加密密钥108。存储加密服务器基于加密密钥108对明文数据102执行步骤S204：第三加密运算，得到密文数据109，并将该密文数据109保存到该服务器的硬盘里。

如图4所示，本申请的另一实施例公开了一种数据加密存储方法中数据解密流程。当当前用户101需要读取数据时，那么与当前用户101对应的客户端开始向存储加密服务器发送指令执行步骤S210：从硬盘读数据。此时若存储加密服务器不存在上述加密密钥108，那么客户端基于当前用户101持有的私钥103，执行步骤S202：第一加密运算，生成UPIN106即用户标识信息。MON104即存储加密服务器管理中心对用户的UPIN106进行加载，存储加密服务器的内核加解密层调用加密卡生成第一密钥107，然后该内核加解密层调用上述第一密钥107、磁盘卷特征信息105和UPIN106执行步骤S203：第二加密运算，得到解密密钥110。存储加密服务器基于步骤S210从硬盘读取到密文数据109，然后基于解密密钥110对密文数据109执行步骤S211：解密运算，得到明文数据102，并对明文数据102执行步骤S212：返回给客户端，供用户使用。

需要说明的是，本申请中公开的上述所有实施例可以进行自由组合，组合后得到的技术方案也在本申请的保护范围之内。

如图5所示，本发明一实施例还公开了一种数据加密存储***3，该***包括：

原始特征信息获取模块31，服务器获取与待加密数据相关联的原始特征信息。

用户标识信息生成模块32，客户端基于当前用户持有的私钥，生成用户标识信息，并将所述用户标识信息发送至所述服务器。

加密密钥生成模块33，所述服务器接收到所述用户标识信息后，基于所述原始特征信息和所述用户标识信息，生成加密密钥。

数据加密模块34，所述服务器利用所述加密密钥对所述待加密数据进行加密，得到密文数据，并存储所述密文数据。

如图6所示，本发明另一实施例还公开了一种数据加密存储***4，该***在上述实施例的基础上，还包括：

第一参数获取模块36，所述服务器获取与所述密文数据相关联的所述原始特征信息。

第二参数获取模块37，所述客户端基于当前用户持有的私钥，生成所述用户标识信息，并将所述用户标识信息发送至所述服务器。

解密密钥生成模块38，所述服务器接收到所述用户标识信息后，基于所述原始特征信息和所述用户标识信息，生成解密密钥。

数据解密模块39，所述服务器基于所述解密密钥对所述密文数据进行解密，得到明文数据；并将所述明文数据发送至所述客户端。

可以理解的是，本发明的数据加密存储***还包括其他支持数据加密存储***运行的现有功能模块。图5和图6显示的数据加密存储***仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

本实施例中的数据加密存储***用于实现上述的数据加密存储的方法，因此对于数据加密存储***的具体实施步骤可以参照上述对数据加密存储的方法的描述，此处不再赘述。

本发明一实施例还公开了一种数据加密存储设备，包括处理器和存储器，其中存储器存储有所述处理器的可执行程序；处理器配置为经由执行可执行程序来执行上述数据加密存储方法中的步骤。图7是本发明公开的数据加密存储设备的结构示意图。下面参照图7来描述根据本发明的这种实施方式的电子设备600。图7显示的电子设备600仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图7所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：至少一个处理单元610、至少一个存储单元620、连接不同平台组件(包括存储单元620和处理单元610)的总线630、显示单元640等。

其中，存储单元存储有程序代码，程序代码可以被处理单元610执行，使得处理单元610执行本说明书上述数据加密存储方法部分中描述的根据本发明各种示例性实施方式的步骤。例如，处理单元610可以执行如图1中所示的步骤。

存储单元620可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)6201和/或高速缓存存储单元6202，还可以进一步包括只读存储单元(ROM)6203。

存储单元620还可以包括具有一组(至少一个)程序模块6205的程序/实用工具6204，这样的程序模块6205包括但不限于：操作***、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线630可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、***总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

电子设备600也可以与一个或多个外部设备700(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备600交互的设备通信，和/或与使得该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，电子设备600还可以通过网络适配器660与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器660可以通过总线630与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID***、磁带驱动器以及数据备份存储平台等。

本发明还公开了一种计算机可读存储介质，用于存储程序，所述程序被执行时实现上述数据加密存储方法中的步骤。在一些可能的实施方式中，本发明的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述数据加密存储方法中描述的根据本发明各种示例性实施方式的步骤。

如上所示，该实施例的计算机可读存储介质的程序在执行时，通过将原始特征信息和用户标识信息组合进行加密运算，生成加密密钥，即使攻击者获得了用户操作***权限，也无法获得敏感数据，保证了用户数据的安全性。

图8是本发明的计算机可读存储介质的结构示意图。参考图8所示，描述了根据本发明的实施方式的用于实现上述方法的程序产品800，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。

程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

本发明实施例提供的数据加密存储方法、***、设备及存储介质通过将原始特征信息和用户标识信息组合进行加密运算，生成加密密钥，区别于现有技术中仅利用单一的硬件特征信息进行加密，即使攻击者获得了用户操作***权限，也无法获得敏感数据，保证了用户数据的安全性。

以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims

1.一种数据加密存储方法，其特征在于，包括以下步骤：

服务器获取与待加密数据相关联的原始特征信息；

2.如权利要求1所述的数据加密存储方法，其特征在于，所述原始特征信息包括磁盘卷特征信息，所述磁盘卷特征信息与所述待加密数据加密后在存储介质中的存储区域的编号相对应。

3.如权利要求1或2所述的数据加密存储方法，其特征在于，所述原始特征信息包括第一密钥，所述第一密钥通过预设加密设备生成。

4.如权利要求1所述的数据加密存储方法，其特征在于，所述方法还包括步骤：

5.如权利要求1所述的数据加密存储方法，其特征在于，在所述服务器获取与待加密数据相关联的原始特征信息的步骤之前，所述方法还包括：

服务器接收到客户端发送的数据存储指令。

6.如权利要求4所述的数据加密存储方法，其特征在于，所述原始特征信息包括磁盘卷特征信息；

7.如权利要求4或6所述的数据加密存储方法，其特征在于，所述原始特征信息包括第一密钥，所述第一密钥通过预设加密设备生成。

8.如权利要求4所述的数据加密存储方法，其特征在于，在所述服务器获取与所述密文数据相关联的所述原始特征信息的步骤之前，所述方法还包括：

所述服务器接收到所述客户端发送的数据读取指令。

9.如权利要求1所述的数据加密存储方法，其特征在于，所述客户端基于当前用户持有的私钥，生成用户标识信息的步骤，包括：

10.一种数据加密存储***，用于实现如权利要求1所述的数据加密存储方法，其特征在于，所述***包括：

11.一种数据加密存储设备，其特征在于，包括：

处理器；

存储器，其中存储有所述处理器的可执行程序；

其中，所述处理器配置为经由执行所述可执行程序来执行权利要求1至9中任意一项所述数据加密存储方法的步骤。

12.一种计算机可读存储介质，用于存储程序，其特征在于，所述程序被处理器执行时实现权利要求1至9中任意一项所述数据加密存储方法的步骤。