[發(fā)明專利]一種分布式加密和解密方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202010010464.6
• 申請(qǐng)日: 2020-01-06
• 公開(kāi)（公告）號(hào): CN111010408B
• 公開(kāi)（公告）日: 2022-02-11
• 發(fā)明（設(shè)計(jì)）人: 錢唯;冀乃庚;弓祎斌;李勇攀;晁超;賈喜平
• 申請(qǐng)（專利權(quán)）人: 中國(guó)銀聯(lián)股份有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 北京市中倫律師事務(wù)所 11410
• 代理人: 趙瑞

本發(fā)明提供了一種利用分布式集群加密數(shù)據(jù)的方法，包括：(1)客戶端向所述分布式集群中的一節(jié)點(diǎn)發(fā)送加密需求；(2)所述節(jié)點(diǎn)基于所述加密需求確定數(shù)據(jù)秘鑰、至少一個(gè)加密算法和所述數(shù)據(jù)的分片數(shù)，并將所述數(shù)據(jù)秘鑰發(fā)送至所述客戶端；(3)所述客戶端利用所述數(shù)據(jù)秘鑰將所述數(shù)據(jù)發(fā)送至所述節(jié)點(diǎn)；(4)所述節(jié)點(diǎn)基于所述分片數(shù)將所述數(shù)據(jù)的至少一個(gè)分片、所述數(shù)據(jù)秘鑰和所述至少一個(gè)加密算法分發(fā)到所述分布式集群中的至少一個(gè)節(jié)點(diǎn)中；和(5)所述至少一個(gè)節(jié)點(diǎn)基于所述數(shù)據(jù)秘鑰和在所述至少一個(gè)加密算法中選擇的任一個(gè)加密算法加密所述至少一個(gè)分片，以得到被加密的至少一個(gè)分片。

技術(shù)領(lǐng)域

本發(fā)明涉及數(shù)據(jù)加密領(lǐng)域，尤其涉及一種分布式加密和解密方法及系統(tǒng)。

背景技術(shù)

在數(shù)據(jù)加密領(lǐng)域，本領(lǐng)域技術(shù)人員始終在探尋更優(yōu)良的加密方案。

一種現(xiàn)有的加密方案是硬件設(shè)備加解密方案。敏感數(shù)據(jù)由加密機(jī)進(jìn)行加解密，加密后的敏感數(shù)據(jù)存儲(chǔ)在加密機(jī)中。在需要敏感數(shù)據(jù)時(shí)，可以通過(guò)固定的指令訪問(wèn)加密機(jī)并獲取敏感數(shù)據(jù)。該方案的缺點(diǎn)在于加密機(jī)的采購(gòu)和維護(hù)成本高，并且可用性和可擴(kuò)展性不強(qiáng)。

另一種現(xiàn)有的加密方案是單機(jī)程序加解密方案。可以通過(guò)指定的加密算法和預(yù)先生成好的秘鑰對(duì)敏感數(shù)據(jù)進(jìn)行加密，密文和秘鑰都存放在本地(如本地文件系統(tǒng)、數(shù)據(jù)庫(kù)或NFS文件系統(tǒng)等)。這種方案的缺點(diǎn)在于秘鑰和密文均在本地存儲(chǔ)，一旦系統(tǒng)被入侵就容易被盜取。這種單機(jī)加密并在本地存儲(chǔ)的方案還帶來(lái)數(shù)據(jù)可用性的風(fēng)險(xiǎn)(例如敏感數(shù)據(jù)丟失或損壞)。

第三種現(xiàn)有的加密方案是分布式加解密方案。該方案可以通過(guò)一個(gè)分布式集群將明文的分片分布在多個(gè)節(jié)點(diǎn)中，從而可以在多個(gè)節(jié)點(diǎn)中對(duì)分片進(jìn)行加解密和存儲(chǔ)操作，進(jìn)而改進(jìn)了利用單機(jī)程序加解密方案所存在的安全性和可用性問(wèn)題。這種方案的缺點(diǎn)在于：(1)由于多個(gè)分片采用相同的秘鑰和加密算法進(jìn)行加解密，因此如果其中某個(gè)分片被破解將會(huì)極大地增加其他分片被破解的風(fēng)險(xiǎn)；(2)加密功能比較單一，沒(méi)有考慮不同的敏感級(jí)別和加密開(kāi)銷，無(wú)法根據(jù)加密需求個(gè)性化地選擇加密算法、秘鑰長(zhǎng)度、分片數(shù)等。

發(fā)明內(nèi)容

在一方面，本發(fā)明提供了一種利用分布式集群加密數(shù)據(jù)的方法，包括：(1)客戶端向所述分布式集群中的一節(jié)點(diǎn)發(fā)送加密需求；(2)所述節(jié)點(diǎn)基于所述加密需求確定數(shù)據(jù)秘鑰、至少一個(gè)加密算法和所述數(shù)據(jù)的分片數(shù)，并將所述數(shù)據(jù)秘鑰發(fā)送至所述客戶端；(3)所述客戶端利用所述數(shù)據(jù)秘鑰將所述數(shù)據(jù)發(fā)送至所述節(jié)點(diǎn)；(4)所述節(jié)點(diǎn)基于所述分片數(shù)將所述數(shù)據(jù)的至少一個(gè)分片、所述數(shù)據(jù)秘鑰和所述至少一個(gè)加密算法分發(fā)到所述分布式集群中的至少一個(gè)節(jié)點(diǎn)中；和(5)所述至少一個(gè)節(jié)點(diǎn)基于所述數(shù)據(jù)秘鑰和在所述至少一個(gè)加密算法中選擇的任一個(gè)加密算法加密所述至少一個(gè)分片，以得到被加密的至少一個(gè)分片。

本發(fā)明提供了一種利用分布式集群加密數(shù)據(jù)的系統(tǒng)，包括：客戶端；和分布式集群，其中，所述客戶端能夠向所述分布式集群中的一節(jié)點(diǎn)發(fā)送加密需求，所述節(jié)點(diǎn)能夠基于所述加密需求確定數(shù)據(jù)秘鑰、至少一個(gè)加密算法和所述數(shù)據(jù)的分片數(shù)，并將所述數(shù)據(jù)秘鑰發(fā)送至所述客戶端，所述客戶端能夠利用所述數(shù)據(jù)秘鑰將所述數(shù)據(jù)發(fā)送至所述節(jié)點(diǎn)，所述節(jié)點(diǎn)能夠基于所述分片數(shù)將所述數(shù)據(jù)的至少一個(gè)分片、所述數(shù)據(jù)秘鑰和所述至少一個(gè)加密算法分發(fā)到所述分布式集群中的至少一個(gè)節(jié)點(diǎn)中，所述至少一個(gè)節(jié)點(diǎn)能夠基于所述數(shù)據(jù)秘鑰和在所述至少一個(gè)加密算法中選擇的任一個(gè)加密算法加密所述至少一個(gè)分片，以得到被加密的至少一個(gè)分片。

在另一方面，本發(fā)明提供了一種利用分布式集群解密數(shù)據(jù)的方法，包括：(1)客戶端向所述分布式集群中的一節(jié)點(diǎn)發(fā)送數(shù)據(jù)秘鑰和映射文件；(2)所述節(jié)點(diǎn)基于所述映射文件查找存儲(chǔ)所述數(shù)據(jù)的被加密的至少一個(gè)分片的至少一個(gè)節(jié)點(diǎn)，并向所述至少一個(gè)節(jié)點(diǎn)分發(fā)所述數(shù)據(jù)秘鑰和所述映射文件；(3)所述至少一個(gè)節(jié)點(diǎn)基于所述映射文件查找加密所述被加密的至少一個(gè)分片的至少一個(gè)加密算法，基于所述至少一個(gè)加密算法和所述數(shù)據(jù)秘鑰解密所述被加密的至少一個(gè)分片以得到經(jīng)解密的至少一個(gè)分片，并將所述經(jīng)解密的至少一個(gè)分片發(fā)送至所述節(jié)點(diǎn)；(4)所述節(jié)點(diǎn)合并所述經(jīng)解密的至少一個(gè)分片以得到所述數(shù)據(jù)，并將所述數(shù)據(jù)發(fā)送至所述客戶端。