CN113032802B - 一种数据安全存储方法及系统 - Google Patents

Abstract

本发明公开了一种数据安全存储方法及系统，该方法包括：获取待存储数据、与待存储数据对应的第一用户账户信息和第一用户特征信息；基于第一用户特征信息，获得第一特征值；采用第一密钥对待存储数据进行加密，获得第一加密密文；通过非对称加密算法利用第二密钥对第一密钥进行加密，获得第二加密密文；将第一加密密文、第二密钥与第一用户账户信息关联存储；将第二加密密文与第一特征值关联存储。本发明的数据安全存储系统的第一用户特征信息相当于私钥，将私钥与第二加密密文关联存储，相当于将第二加密密文和第二密钥存放物理上相互隔离的设备上，获得其中任何一个数据都不能泄密，这种物理隔离的存储方式，提高数据存储的安全性。

Description

一种数据安全存储方法及系统

技术领域

本发明属于互联网技术领域，更具体地，涉及一种数据安全存储方法及系统。

背景技术

大多数的基于互联网的应用，其数据都存储在数据库服务器中。对于其中的一些敏感数据，如果使用明文存储容易造成用户的信息泄漏，为用户和公司带来极大的损失。

一种常见的方式是将其中的敏感字段进行加密，并将加密使用的密钥存放在特定的位置。具有权限访问的用户使用简单的操作即可获取该部分数据，使数据存在泄漏的安全隐患。一些方法对密钥进行二次加密，并将二次加密密钥存储在服务器上，这样在一定程度上可使得数据的安全性提高，但由于都存储在服务器端，一旦对应的模块被破解，仍存在泄漏的风险。

因此，特别需要一种能防止密钥泄露，确保安全的数据存储方法。

发明内容

本发明的目的是提出一种能防止密钥泄露，确保安全的数据存储方法。

为了实现上述目的，本发明提供一种数据安全存储方法，包括：获取待存储数据、与所述待存储数据对应的第一用户账户信息和第一用户特征信息；基于所述第一用户特征信息，获得第一特征值；采用第一密钥对所述待存储数据进行加密，获得第一加密密文；通过非对称加密算法利用第二密钥对所述第一密钥进行加密，获得第二加密密文；将所述第一加密密文、第二密钥与所述第一用户账户信息关联存储；将所述第二加密密文与所述第一特征值关联存储。

优选的，接收读取数据请求后，获取与所述读取数据请求对应的第二用户账户信息和第二用户特征信息；基于所述第二用户特征信息，获得第二特征值；分别比较所述第二用户账户信息与第一用户账户信息及第二特征值与第一特征值；根据比较结果，获取第一加密密文、第二密钥和第二加密密文。

优选的，所述根据比较结果，获取第一加密密文、第二密钥和第二加密密文包括：当所述第二用户账户信息与所述第一用户账户信息相同且所述第二特征值与所述第一特征值相同时，根据所述第一用户账户信息获取所述第一加密密文和第二密钥，根据所所述第一特征值获取所述第二加密密文。

优选的，采用第二密钥对所述第二加密密文进行解密，获得第一密钥；采用所述第一密钥对所述第一加密密文进行解密，获得明文数据。

优选的，所述第一用户特征信息和第二用户特征信息均包括指纹或虹膜信息。

第二方面，本发明提供一种数据安全存储系统，包括：客户端，所述客户端用于发送待存储数据；特征采集装置，所述特征采集装置用于获取与所述待存储数据对应的第一用户特征信息，根据所述第一用户特征信息，计算获得第一特征值；服务器，所述服务器分别与所述客户端和所述特征采集装置连接，所述服务器获取所述待存储数据、与所述待存储数据对应的第一用户账户信息和所述第一特征值后，采用第一密钥对所述待存储数据进行加密，获得第一加密密文，采用第二密钥对所述第一密钥进行加密，获得第二加密密文，将所述第一加密密文、第二密钥与所述第一用户账户信息关联发送至第一数据库，将所述第二加密密文与所述第一特征值关联发送至所述第一数据库；所述第一数据库，所述第一数据库与所述服务器连接，将所述第一加密密文、第二密钥与所述第一用户账户信息关联存储，将所述第二加密密文与所述第一特征值关联存储。

优选的，所述服务器从所述客户端获取读取数据请求和与所述读取数据请求对应的第二用户账户信息后，从所述特征采集装置获取与所述读取数据请求对应的第二特征值；分别比较所述第二用户账户信息与第一用户账户信息及第二特征值与第一特征值；根据比较结果，获取第一加密密文、第二密钥和第二加密密文。

优选的，所述特征采集装置获取与所述读取数据请求对应的第二用户特征信息，根据所述第二用户特征信息，计算获得与所述读取数据请求对应的第二特征值。

优选的，所述根据比较结果，获取第一加密密文、第二密钥和第二加密密文包括：当所述第二用户账户信息与所述第一用户账户信息相同且所述第二特征值与所述第一特征值相同时，根据所述第一用户账户信息从所述第一数据库获取所述第一加密密文和第二密钥，根据所述第一特征值从所述第一数据库获取所述第二加密密文。

优选的，所述服务器采用第二密钥对所述第二加密密文进行解密，获得第一密钥；采用所述第一密钥对所述第一加密密文进行解密，获得明文数据。

本发明的有益效果在于：本发明的一种数据安全存储方法使用第一密钥对待存储数据加密获得第一加密密文，采用第二密钥的私钥对第一密钥进行加密，获得第二加密密文，基于第一用户特征信息获得第一特征值，将第一加密密文、第二密钥与第一用户账户信息关联存储；将第二加密密文与第一特征值关联存储。第一用户特征信息相当于私钥，将私钥与第二加密密文关联存储，相当于将第二加密密文和第二密钥存放物理上相互隔离的设备上，获得其中任何一个数据都不能泄密，这种物理隔离的存储方式，提高数据存储的安全性。

本发明的方法具有其它的特性和优点，这些特性和优点从并入本文中的附图和随后的具体实施例中将是显而易见的，或者将在并入本文中的附图和随后的具体实施例中进行详细陈述，这些附图和具体实施例共同用于解释本发明的特定原理。

附图说明

通过结合附图对本发明示例性实施方式进行更详细的描述，本发明的上述以及其它目的、特征和优势将变得更加明显，其中，在本发明示例性实施方式中，相同的参考标号通常代表相同部件。

图1示出了根据本发明的一个实施例的一种数据安全存储方法的流程图。

图2示出了根据本发明的一个实施例的一种数据安全存储系统的框图。

附图说明

102、客户端；104、特征采集装置；106、服务器；108、第一数据库。

具体实施方式

下面将更详细地描述本发明的优选实施方式。虽然以下描述了本发明的优选实施方式，然而应该理解，可以以各种形式实现本发明而不应被这里阐述的实施方式所限制。相反，提供这些实施方式是为了使本发明更加透彻和完整，并且能够将本发明的范围完整地传达给本领域的技术人员。

根据本发明的一种数据安全存储方法，包括：获取待存储数据、与待存储数据对应的第一用户账户信息和第一用户特征信息；基于第一用户特征信息，获得第一特征值；采用第一密钥对待存储数据进行加密，获得第一加密密文；通过非对称加密算法利用第二密钥对第一密钥进行加密，获得第二加密密文；将第一加密密文、第二密钥与第一用户账户信息关联存储；将第二加密密文与第一特征值关联存储。

具体的，数据安全存储方法采用第一密钥对待存储数据的敏感信息进行加密，使用第一密钥后的数据密文及未加密字段统称为第一加密密文，采用第二密钥的私钥利用非对称加密方法对第一密钥进行加密，将加密后的数据称为第二加密密文，基于第一用户特征信息获得第一特征值，将第一加密密文、第二密钥与第一用户账户信息关联存储；将第二加密密文与第一特征值关联存储。第一用户特征信息相当于用户的私钥，将私钥与第二加密密文关联存储，相当于将第二加密密文和第二密钥存放物理上相互隔离的设备上。

根据示例性的实施方式，数据安全存储方法相当于将第二加密密文和第二密钥存放物理上相互隔离的设备上，获得其中任何一个数据都不能泄密，这种物理隔离的存储方式，提高数据存储的安全性。

作为优选方案，接收读取数据请求后，获取与读取数据请求对应的第二用户账户信息和第二用户特征信息；基于第二用户特征信息，获得第二特征值；分别比较第二用户账户信息与第一用户账户信息及第二特征值与第一特征值；根据比较结果，获取第一加密密文、第二密钥和第二加密密文。

作为优选方案，根据比较结果，获取第一加密密文、第二密钥和第二加密密文包括：当第二用户账户信息与第一用户账户信息相同且第二特征值与第一特征值相同时，根据第一用户账户信息获取第一加密密文和第二密钥，根据所第一特征值获取第二加密密文。

具体的，只有当第二特征值和第二用户账号同时与上传信息时的第一特征值和第一用户账户信息对应时，此时的第一加密密文、第二密钥、第二加密密文才是同属一组对应的信息。此时可由第二密钥、第二加密密文解密得第一密钥，并用第一密钥第一加密密文的加密字段解密。

作为优选方案，采用第二密钥对第二加密密文进行解密，获得第一密钥；采用第一密钥对第一加密密文进行解密，获得明文数据。

作为优选方案，第一用户特征信息和第二用户特征信息均包括指纹或虹膜信息。

具体的，第一用户特征信息和第二用户特征信息为表征用户的唯一性特征，如指纹、虹膜信息等数据。

第二方面，本发明提供一种数据安全存储系统，包括：客户端，客户端用于发送待存储数据；特征采集装置，特征采集装置用于获取与待存储数据对应的第一用户特征信息，根据第一用户特征信息，计算获得第一特征值；服务器，服务器分别与客户端和特征采集装置连接，服务器获取待存储数据、与待存储数据对应的第一用户账户信息和第一特征值后，采用第一密钥对待存储数据进行加密，获得第一加密密文，采用第二密钥对第一密钥进行加密，获得第二加密密文，将第一加密密文、第二密钥与第一用户账户信息关联发送至第一数据库，将第二加密密文与第一特征值关联发送至第一数据库；第一数据库，第一数据库与服务器连接，将第一加密密文、第二密钥与第一用户账户信息关联存储，将第二加密密文与第一特征值关联存储。

具体的，数据安全存储系统采用第一密钥对待存储数据的敏感信息进行加密，使用第一密钥后的数据密文及未加密字段统称为第一加密密文，采用第二密钥的私钥利用非对称加密方法对第一密钥进行加密，将加密后的数据称为第二加密密文，基于第一用户特征信息获得第一特征值，将第一加密密文、第二密钥与第一用户账户信息关联存储；将第二加密密文与第一特征值关联存储。第一用户特征信息相当于用户的私钥，将私钥与第二加密密文关联存储，相当于将第二加密密文和第二密钥存放物理上相互隔离的设备上。

根据示例性的实施方式，数据安全存储系统相当于将第二加密密文和第二密钥存放物理上相互隔离的设备上，获得其中任何一个数据都不能泄密，这种物理隔离的存储方式，提高数据存储的安全性。

作为优选方案，服务器从客户端获取读取数据请求和与读取数据请求对应的第二用户账户信息后，从特征采集装置获取与读取数据请求对应的第二特征值；分别比较第二用户账户信息与第一用户账户信息及第二特征值与第一特征值；根据比较结果，获取第一加密密文、第二密钥和第二加密密文。

作为优选方案，根据比较结果，获取第一加密密文、第二密钥和第二加密密文包括：当第二用户账户信息与第一用户账户信息相同且第二特征值与第一特征值相同时，根据第一用户账户信息从第一数据库获取第一加密密文和第二密钥，根据第一特征值从第一数据库获取第二加密密文。

具体的，只有当第二特征值和第二用户账号同时与上传信息时的第一特征值和第一用户账户信息对应时，此时的第一加密密文、第二密钥、第二加密密文才是同属一组对应的信息。此时可由第二密钥、第二加密密文解密得第一密钥，并用第一密钥第一加密密文的加密字段解密。

作为优选方案，特征采集装置获取与读取数据请求对应的第二用户特征信息，根据第二用户特征信息，计算获得与读取数据请求对应的第二特征值。

具体的，当用户想读取数据库的信息时，发送读取数据请求，特征采集装置采集与发送读取数据请求的用户对应的特征信息，根据该特征信息计算获得第二特征值。

作为优选方案，服务器采用第二密钥对第二加密密文进行解密，获得第一密钥；采用第一密钥对第一加密密文进行解密，获得明文数据。

实施例一

图1示出了根据本发明的一个实施例的一种数据安全存储方法的流程图。

如图1所示，该数据安全存储方法，包括：

步骤1：获取待存储数据、与待存储数据对应的第一用户账户信息和第一用户特征信息；

步骤2：基于第一用户特征信息，获得第一特征值；

步骤3：采用第一密钥对待存储数据进行加密，获得第一加密密文；

步骤4：通过非对称加密算法利用第二密钥对第一密钥进行加密，获得第二加密密文；

步骤5：将第一加密密文、第二密钥与第一用户账户信息关联存储；将第二加密密文与第一特征值关联存储。

其中，接收读取数据请求后，获取与读取数据请求对应的第二用户账户信息和第二用户特征信息；基于第二用户特征信息，获得第二特征值；分别比较第二用户账户信息与第一用户账户信息及第二特征值与第一特征值；根据比较结果，获取第一加密密文、第二密钥和第二加密密文。

其中，根据比较结果，获取第一加密密文、第二密钥和第二加密密文包括：当第二用户账户信息与第一用户账户信息相同且第二特征值与第一特征值相同时，根据第一用户账户信息获取第一加密密文和第二密钥，根据所第一特征值获取第二加密密文。

其中，采用第二密钥对第二加密密文进行解密，获得第一密钥；采用第一密钥对第一加密密文进行解密，获得明文数据。

其中，第一用户特征信息和第二用户特征信息均包括指纹或虹膜信息。

实施例二

图2示出了根据本发明的一个实施例的一种数据安全存储系统的框图。

如图2所示，该数据安全存储系统，包括：

客户端102，客户端102用于发送待存储数据；

特征采集装置104，特征采集装置104用于获取与待存储数据对应的第一用户特征信息，根据第一用户特征信息，计算获得第一特征值；

服务器106，服务器106分别与客户端102和特征采集装置104连接，服务器106获取待存储数据、与待存储数据对应的第一用户账户信息和第一特征值后，采用第一密钥对待存储数据进行加密，获得第一加密密文，采用第二密钥对第一密钥进行加密，获得第二加密密文，将第一加密密文、第二密钥与第一用户账户信息关联发送至第一数据库108，将第二加密密文与第一特征值关联发送至第一数据库108；第一数据库108，第一数据库108与服务器106连接，将第一加密密文、第二密钥与第一用户账户信息关联存储，将第二加密密文与第一特征值关联存储。

其中，服务器106从客户端102获取读取数据请求和与读取数据请求对应的第二用户账户信息后，从特征采集装置104获取与读取数据请求对应的第二特征值；分别比较第二用户账户信息与第一用户账户信息及第二特征值与第一特征值；根据比较结果，获取第一加密密文、第二密钥和第二加密密文。

其中，特征采集装置104获取与读取数据请求对应的第二用户特征信息，根据第二用户特征信息，计算获得与读取数据请求对应的第二特征值。

其中，根据比较结果，获取第一加密密文、第二密钥和第二加密密文包括：当第二用户账户信息与第一用户账户信息相同且第二特征值与第一特征值相同时，根据第一用户账户信息从第一数据库获取第一加密密文和第二密钥，根据第一特征值从第一数据库获取第二加密密文。

其中，服务器106采用第二密钥对第二加密密文进行解密，获得第一密钥；采用第一密钥对第一加密密文进行解密，获得明文数据。

具体的，在图2中，该数据安全存储系统包含四个部分：客户端102、服务器106、第一数据库108和特征采集装置104。用户导入敏感数据时，通过特征采集装置104采集用户的唯一性特征，如指纹信息、虹膜信息等数据，经过计算提取特征值S。我们用第一密钥K_A对敏感数据加密，加密后的信息统称为第一密文D_A。再使用第二密钥K_B对K_A进行加密，加密后的信息为第二密文D_B，K_B、D_A、D_B和S均存储在第一数据库中。其中，D_A、K_B与用户信息关联存储，D_B和S关联储存。此时需要注意，我们并未在系统中存入用户账号信息与特征值S的关系，即从系统的任何地方都无法通过D_B和S找到其对应的D_A。解密过程如下：当用户需要获取数据时，仍需要提供如指纹信息、虹膜等数据信息，系统再次根据此信息计算出对应的S值，并根据S值获取对应的D_B。同时，根据用户信息可以获得D_A和K_B。只有当S和用户账号同时与上传信息时对应，此时的D_A、K_B、D_B才是同属一组对应的信息。此时可由K_B、D_B解密得子密钥K_A，并用K_A对D_A的加密字段解密，最后将相应的信息返回给客户端102。如果S和用户账号不对应，则无法解密出有效数据。这种方案为同一个账号多个不同S特征(一个人用不同的手指存放不同的信息)或同一S不同账号(一个人为自己创建了多个账号)提供了可行性，使得用户数据的管理和储存显得更具灵活性。

以上已经描述了本发明的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。

Claims (10)

1.一种数据安全存储方法，其特征在于，包括：

获取待存储数据、与所述待存储数据对应的第一用户账户信息和第一用户特征信息；

基于所述第一用户特征信息，获得第一特征值；

采用第一密钥对所述待存储数据进行加密，获得第一加密密文；

通过非对称加密算法利用第二密钥对所述第一密钥进行加密，获得第二加密密文；

将所述第一加密密文、第二密钥与所述第一用户账户信息关联存储；

将所述第二加密密文与所述第一特征值关联存储。

2.根据权利要求1所述的数据安全存储方法，其特征在于，接收读取数据请求后，获取与所述读取数据请求对应的第二用户账户信息和第二用户特征信息；

基于所述第二用户特征信息，获得第二特征值；

分别比较所述第二用户账户信息与第一用户账户信息及第二特征值与第一特征值；

根据比较结果，获取第一加密密文、第二密钥和第二加密密文。

3.根据权利要求2所述的数据安全存储方法，其特征在于，所述根据比较结果，获取第一加密密文、第二密钥和第二加密密文包括：当所述第二用户账户信息与所述第一用户账户信息相同且所述第二特征值与所述第一特征值相同时，根据所述第一用户账户信息获取所述第一加密密文和第二密钥，根据所所述第一特征值获取所述第二加密密文。

4.根据权利要求3所述的数据安全存储方法，其特征在于，还包括：

采用第二密钥对所述第二加密密文进行解密，获得第一密钥；

采用所述第一密钥对所述第一加密密文进行解密，获得明文数据。

5.根据权利要求2所述的数据安全存储方法，其特征在于，所述第一用户特征信息和第二用户特征信息均包括指纹或虹膜信息。

6.一种数据安全存储系统，其特征在于，包括：

客户端，所述客户端用于发送待存储数据；

特征采集装置，所述特征采集装置用于获取与所述待存储数据对应的第一用户特征信息，根据所述第一用户特征信息，计算获得第一特征值；

服务器，所述服务器分别与所述客户端和所述特征采集装置连接，所述服务器获取所述待存储数据、与所述待存储数据对应的第一用户账户信息和所述第一特征值后，采用第一密钥对所述待存储数据进行加密，获得第一加密密文，采用第二密钥对所述第一密钥进行加密，获得第二加密密文，将所述第一加密密文、第二密钥与所述第一用户账户信息关联发送至第一数据库，将所述第二加密密文与所述第一特征值关联发送至所述第一数据库；

所述第一数据库，所述第一数据库与所述服务器连接，将所述第一加密密文、第二密钥与所述第一用户账户信息关联存储，将所述第二加密密文与所述第一特征值关联存储。

7.根据权利要求6所述的数据安全存储系统，其特征在于，所述服务器从所述客户端获取读取数据请求和与所述读取数据请求对应的第二用户账户信息后，从所述特征采集装置获取与所述读取数据请求对应的第二特征值；

分别比较所述第二用户账户信息与第一用户账户信息及第二特征值与第一特征值；

根据比较结果，获取第一加密密文、第二密钥和第二加密密文。

8.根据权利要求7所述的数据安全存储系统，其特征在于，所述特征采集装置获取与所述读取数据请求对应的第二用户特征信息，根据所述第二用户特征信息，计算获得与所述读取数据请求对应的第二特征值。

9.根据权利要求8所述的数据安全存储系统，其特征在于，所述根据比较结果，获取第一加密密文、第二密钥和第二加密密文包括：当所述第二用户账户信息与所述第一用户账户信息相同且所述第二特征值与所述第一特征值相同时，根据所述第一用户账户信息从所述第一数据库获取所述第一加密密文和第二密钥，根据所述第一特征值从所述第一数据库获取所述第二加密密文。

10.根据权利要求9所述的数据安全存储系统，其特征在于，还包括：

所述服务器采用第二密钥对所述第二加密密文进行解密，获得第一密钥；

采用所述第一密钥对所述第一加密密文进行解密，获得明文数据。