[發(fā)明專利]一種云數(shù)據(jù)庫加密方法、系統(tǒng)及裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 201310393464.9
• 申請(qǐng)日: 2013-09-03
• 公開（公告）號(hào): CN104426973A
• 公開（公告）日: 2015-03-18
• 發(fā)明（設(shè)計(jì)）人: 侯長江;劉斐;柏洪濤;任蘭芳;王靜;左敏;劉芳
• 申請(qǐng)（專利權(quán)）人: 中國移動(dòng)通信集團(tuán)公司
• 主分類號(hào): H04L29/08
• 分類號(hào): H04L29/08;H04L9/32;G06F17/30
• 代理公司: 北京德琦知識(shí)產(chǎn)權(quán)代理有限公司 11018
• 代理人: 閻敏;宋志強(qiáng)

技術(shù)領(lǐng)域

本發(fā)明涉及云數(shù)據(jù)庫技術(shù)領(lǐng)域，尤其涉及一種云數(shù)據(jù)庫加密方法、系統(tǒng)及裝置。

背景技術(shù)

數(shù)據(jù)庫系統(tǒng)是企業(yè)信息系統(tǒng)的核心之一，隨著云計(jì)算技術(shù)的發(fā)展，傳統(tǒng)上部署在本地網(wǎng)絡(luò)環(huán)境中的單機(jī)數(shù)據(jù)庫和分布式數(shù)據(jù)庫正逐漸向部署在數(shù)據(jù)中心的云數(shù)據(jù)庫遷移。相對(duì)于傳統(tǒng)的數(shù)據(jù)庫系統(tǒng)，云數(shù)據(jù)庫具有高可擴(kuò)展性和高可用性的特點(diǎn)，能夠滿足電信、金融等需要大規(guī)模存儲(chǔ)和大規(guī)模數(shù)據(jù)處理的領(lǐng)域的應(yīng)用，并降低客戶的成本。由于數(shù)據(jù)庫系統(tǒng)中存儲(chǔ)的大量結(jié)構(gòu)化數(shù)據(jù)（即數(shù)據(jù)表），如企業(yè)的財(cái)務(wù)數(shù)據(jù)、企業(yè)客戶關(guān)系數(shù)據(jù)、醫(yī)療機(jī)構(gòu)的病例檔案等，具有高價(jià)值和高敏感性，為了保證企業(yè)數(shù)據(jù)安全，在遷移至第三方的云數(shù)據(jù)庫時(shí)需要對(duì)敏感數(shù)據(jù)進(jìn)行加密以抵御可能來自數(shù)據(jù)中心內(nèi)部和外部的各種安全威脅。

云數(shù)據(jù)庫是一種新的云計(jì)算服務(wù)，與對(duì)象存儲(chǔ)等云存儲(chǔ)服務(wù)模式不同。首先，傳統(tǒng)的對(duì)象云存儲(chǔ)服務(wù)中存儲(chǔ)的數(shù)據(jù)為非結(jié)構(gòu)化數(shù)據(jù)，例如二進(jìn)制數(shù)據(jù)文件；而云數(shù)據(jù)庫主要存儲(chǔ)結(jié)構(gòu)化數(shù)據(jù)，特別是包括大量的數(shù)值型數(shù)據(jù)。更重要的區(qū)別是，云數(shù)據(jù)庫要為客戶同時(shí)提供對(duì)結(jié)構(gòu)化數(shù)據(jù)的存儲(chǔ)服務(wù)以及對(duì)結(jié)構(gòu)化數(shù)據(jù)的處理服務(wù)，而對(duì)象云存儲(chǔ)服務(wù)則不涉及對(duì)加密數(shù)據(jù)的計(jì)算需求。傳統(tǒng)的數(shù)據(jù)加密方案，如高級(jí)加密標(biāo)準(zhǔn)（AES，Advanced?Encryption?Standard）分組加密算法不適用于云數(shù)據(jù)庫，因?yàn)榻?jīng)過加密后的密文數(shù)據(jù)不支持任何計(jì)算，客戶必須將數(shù)據(jù)下載到本地解密后才能夠進(jìn)行計(jì)算。

通過對(duì)國內(nèi)外發(fā)明專利和相關(guān)技術(shù)進(jìn)行檢索，我們將已存在且與本發(fā)明相關(guān)性較高的技術(shù)總結(jié)為三類，分別是：本地?cái)?shù)據(jù)庫加密方案，麻省理工大學(xué)的CryptDB方案和CipherCloud公司的云數(shù)據(jù)庫加密網(wǎng)關(guān)：

本地?cái)?shù)據(jù)庫加密方案主要是對(duì)存儲(chǔ)在磁盤上的數(shù)據(jù)進(jìn)行加密，加密的數(shù)據(jù)在讀入內(nèi)存后解密，并對(duì)解密后的數(shù)據(jù)進(jìn)行操作和計(jì)算。通過本地?cái)?shù)據(jù)庫加密，所有存儲(chǔ)在磁盤上的數(shù)據(jù)都是加密的。本地?cái)?shù)據(jù)庫加密方案不能用于保護(hù)云數(shù)據(jù)庫安全，這是因?yàn)榧词箤⒈镜財(cái)?shù)據(jù)加密方案應(yīng)用于云數(shù)據(jù)庫，數(shù)據(jù)也會(huì)在云數(shù)據(jù)庫中的內(nèi)存中解密，而云數(shù)據(jù)庫的內(nèi)存中也是不安全的，容易遭受來自于云服務(wù)內(nèi)部的攻擊。

麻省理工大學(xué)的CryptDB云數(shù)據(jù)庫加密方案主要采用對(duì)稱加密，不區(qū)分?jǐn)?shù)據(jù)上傳者和數(shù)據(jù)申請(qǐng)者，兩者合為一體，都擁有能夠解密數(shù)據(jù)的密鑰，只要有一個(gè)數(shù)據(jù)上傳者的終端系統(tǒng)被攻破，整個(gè)系統(tǒng)的安全性就遭到破壞，因此該方案的安全性較低。并且，該方案只能夠進(jìn)行密文的加法操作。

CipherCloud公司的云數(shù)據(jù)加密網(wǎng)關(guān)技術(shù)中包括一種對(duì)云數(shù)據(jù)庫進(jìn)行加密的技術(shù)方案，其方案主要特征為對(duì)稱加密方案和數(shù)據(jù)標(biāo)記技術(shù)，并且沒有信息表明該方案支持對(duì)數(shù)值型加密數(shù)據(jù)的計(jì)算。

可見，現(xiàn)有的云數(shù)據(jù)庫加密技術(shù)的安全性較低，并且不能支持?jǐn)?shù)值型加密數(shù)據(jù)的多種運(yùn)算。

發(fā)明內(nèi)容

本發(fā)明提供了一種云數(shù)據(jù)庫加密方法，能夠提高云數(shù)據(jù)庫的安全性，并且支持?jǐn)?shù)值型加密數(shù)據(jù)的多種運(yùn)算。

本發(fā)明還提供了一種云數(shù)據(jù)庫加密系統(tǒng)及用于云數(shù)據(jù)庫加密的裝置，能夠提高云數(shù)據(jù)庫的安全性，并且支持?jǐn)?shù)值型加密數(shù)據(jù)的多種運(yùn)算。

本發(fā)明的技術(shù)方案是這樣實(shí)現(xiàn)的：

一種云數(shù)據(jù)庫加密方法，包括：

數(shù)據(jù)上傳客戶端接收來自數(shù)據(jù)申請(qǐng)客戶端的一個(gè)以上密鑰對(duì)中的公鑰，所述密鑰對(duì)由數(shù)據(jù)申請(qǐng)客戶端生成，且對(duì)應(yīng)不同的計(jì)算種類；

數(shù)據(jù)上傳客戶端對(duì)數(shù)據(jù)明文進(jìn)行預(yù)處理，并根據(jù)可能進(jìn)行的計(jì)算種類，采用對(duì)應(yīng)的密鑰對(duì)中的公鑰對(duì)預(yù)處理后的數(shù)據(jù)明文進(jìn)行加密，得到數(shù)據(jù)密文，將所述數(shù)據(jù)密文及其對(duì)應(yīng)的數(shù)據(jù)明文的預(yù)處理方式發(fā)送至云數(shù)據(jù)庫。

一種云數(shù)據(jù)庫加密系統(tǒng)，包括：

數(shù)據(jù)申請(qǐng)客戶端，用于生成一個(gè)以上密鑰對(duì)，將密鑰對(duì)中的公鑰發(fā)送至數(shù)據(jù)上傳客戶端；所述密鑰對(duì)對(duì)應(yīng)不同的計(jì)算種類；

數(shù)據(jù)上傳客戶端，用于對(duì)數(shù)據(jù)明文進(jìn)行預(yù)處理，并根據(jù)可能進(jìn)行的計(jì)算種類，采用對(duì)應(yīng)的密鑰對(duì)中的公鑰對(duì)預(yù)處理后的數(shù)據(jù)明文進(jìn)行加密，得到數(shù)據(jù)密文，將所述數(shù)據(jù)密文及其對(duì)應(yīng)的數(shù)據(jù)明文的預(yù)處理方式發(fā)送至云數(shù)據(jù)庫；

云數(shù)據(jù)庫，用于保存所述數(shù)據(jù)密文及其對(duì)應(yīng)的數(shù)據(jù)明文的預(yù)處理方式。

一種用于云數(shù)據(jù)庫加密的數(shù)據(jù)申請(qǐng)客戶端，包括：

密碼生成模塊，用于生成一個(gè)以上密鑰對(duì)，將密鑰對(duì)中的公鑰發(fā)送至數(shù)據(jù)上傳客戶端，并將所述密鑰對(duì)發(fā)送至重加密代理；所述密鑰對(duì)對(duì)應(yīng)不同的計(jì)算種類；

密文計(jì)算請(qǐng)求模塊，用于向云數(shù)據(jù)庫發(fā)送密文計(jì)算請(qǐng)求，所述密文計(jì)算請(qǐng)求包含計(jì)算數(shù)據(jù)和針對(duì)數(shù)據(jù)明文的計(jì)算公式；所述計(jì)算數(shù)據(jù)為數(shù)據(jù)密文及預(yù)處理方式在云數(shù)據(jù)庫中的位置信息，或者，所述計(jì)算數(shù)據(jù)為數(shù)據(jù)密文以及預(yù)處理方式；