[發(fā)明專利]基于ODBC驅(qū)動代理的結(jié)構(gòu)化數(shù)據(jù)細(xì)粒度加解密的方法和系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202011584034.1
• 申請日: 2020-12-28
• 公開（公告）號: CN112580100B
• 公開（公告）日: 2022-06-10
• 發(fā)明（設(shè)計）人: 錢晶;桂陽;姜毅;白小勇
• 申請（專利權(quán)）人: 北京煉石網(wǎng)絡(luò)技術(shù)有限公司
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F21/60;G06F16/245
• 代理公司: 北京孚睿灣知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11474
• 代理人: 王冬杰

1.一種基于ODBC驅(qū)動代理的結(jié)構(gòu)化數(shù)據(jù)細(xì)粒度加解密的方法，其特征在于，其包括如下步驟：

S1、將數(shù)據(jù)攔截組件以插件的形式安裝在每個需要訪問數(shù)據(jù)庫的應(yīng)用中；

S2、重新啟動應(yīng)用程序，使得應(yīng)用程序能夠加載所述數(shù)據(jù)攔截組件；

S3、提取數(shù)據(jù)庫中敏感數(shù)據(jù)的元信息，并將元信息提交到數(shù)據(jù)加密管理組件存儲；所述敏感數(shù)據(jù)的元信息包括敏感數(shù)據(jù)所在的數(shù)據(jù)庫的庫信息、表信息、列信息及行信息；

S4、在所述數(shù)據(jù)加密管理組件中配置數(shù)據(jù)庫中敏感數(shù)據(jù)的加解密策略，所述敏感數(shù)據(jù)的加解密策略包括字段元信息、主密鑰ID、密鑰的派生因子、加密算法、加密初始化向量、脫敏算法、被加密數(shù)據(jù)的定位信息及具備使用原始敏感數(shù)據(jù)權(quán)限的實體信息；

S5、所述加解密策略通過所述數(shù)據(jù)加密管理組件推送或定時輪詢的方式，下發(fā)到所述數(shù)據(jù)攔截組件及遠(yuǎn)程數(shù)據(jù)加密設(shè)備上；

S6、將數(shù)據(jù)庫中的存量數(shù)據(jù)使用加解密策略里的加密方法執(zhí)行批量加密，一次性將原有的明文數(shù)據(jù)加密為密文；

S7、當(dāng)應(yīng)用對數(shù)據(jù)庫執(zhí)行操作時，所述數(shù)據(jù)攔截組件于應(yīng)用層攔截應(yīng)用系統(tǒng)對數(shù)據(jù)庫驅(qū)動訪問的操作，并將數(shù)據(jù)庫操作及實體信息作為指令發(fā)送至所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備；

S8、所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備在接收指令后，首先對數(shù)據(jù)庫的操作請求進(jìn)行語義分析，判斷數(shù)據(jù)庫操作對象是否為數(shù)據(jù)庫中的敏感數(shù)據(jù)，具體步驟如下：

S81、所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備首先取得策略中的主密鑰ID、密鑰派生因子通過網(wǎng)絡(luò)向所述數(shù)據(jù)加密管理組件請求派生并獲取加密密鑰；

S82、獲取加密密鑰后，所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備調(diào)用加密算法接口，向算法接口傳入加密密鑰、加密初始化向量和待加密敏感數(shù)據(jù)參數(shù)后進(jìn)行加密，并取得加密后的敏感數(shù)據(jù)；

S83、對操作請求進(jìn)行語義分析；

所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備對數(shù)據(jù)庫操作中的邏輯進(jìn)行拆分，從中區(qū)分出操作動作，包括插入、更新、刪除、查詢；以及操作的數(shù)據(jù)庫元信息，包括數(shù)據(jù)庫名稱、表名稱、字段名稱和操作的數(shù)據(jù)的值；

S84、對分析結(jié)果與敏感數(shù)據(jù)加解密策略進(jìn)行匹配；

所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備對數(shù)據(jù)庫操作進(jìn)行分析之后，通過對比數(shù)據(jù)庫操作中所操作數(shù)據(jù)的元信息和加解密策略中的敏感數(shù)據(jù)元信息是否匹配，判斷是否需要對數(shù)據(jù)的值進(jìn)行加密；

S85、當(dāng)數(shù)據(jù)庫操作中所操作數(shù)據(jù)的元信息與加解密策略中的敏感數(shù)據(jù)的元信息匹配時，判斷數(shù)據(jù)庫操作對象為數(shù)據(jù)庫中的敏感數(shù)據(jù)，當(dāng)數(shù)據(jù)庫操作對象為敏感數(shù)據(jù)時，將對敏感數(shù)據(jù)進(jìn)行加密；

S9、在所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備加密敏感數(shù)據(jù)后，將之前分析結(jié)果中明文狀態(tài)的敏感數(shù)據(jù)替換，將操作動作、操作數(shù)據(jù)的元信息和加密后的敏感數(shù)據(jù)組合為與原數(shù)據(jù)庫操作一致的新的數(shù)據(jù)庫操作發(fā)送給所述數(shù)據(jù)攔截組件；

S10、所述數(shù)據(jù)攔截組件將從所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備發(fā)回的加密敏感數(shù)據(jù)后的數(shù)據(jù)庫操作，通過調(diào)用ODBC接口將加密結(jié)果發(fā)送至數(shù)據(jù)庫引擎，并獲得數(shù)據(jù)庫引擎返回的結(jié)果集，然后將結(jié)果集發(fā)送至遠(yuǎn)程數(shù)據(jù)加密設(shè)備處理；

S11、所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備在接收指令后，通過還原其進(jìn)程中的上下文信息獲得實體信息，通過對比該實體信息和加解密策略中的具備使用原始敏感數(shù)據(jù)權(quán)限的實體信息是否匹配，判斷當(dāng)前操作實體是否具備使用原始敏感數(shù)據(jù)的權(quán)限；

S12、根據(jù)步驟S11的判斷結(jié)果，當(dāng)判斷數(shù)據(jù)庫操作是針對數(shù)據(jù)庫中的敏感數(shù)據(jù)并且實體具備使用原始敏感數(shù)據(jù)權(quán)限時，執(zhí)行步驟S13，否則執(zhí)行步驟S14；

S13、按照加解密策略對敏感數(shù)據(jù)的值進(jìn)行解密處理，在所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備取得解密后的明文狀態(tài)敏感數(shù)據(jù)后，將之前分析結(jié)果集中密文狀態(tài)的敏感數(shù)據(jù)替換為明文，將操作動作、操作數(shù)據(jù)的元信息和解密后的敏感數(shù)據(jù)組合為與原數(shù)據(jù)庫操作一致的新的數(shù)據(jù)庫操作發(fā)送給所述數(shù)據(jù)攔截組件；

S14、 按照加解密策略對敏感數(shù)據(jù)的值進(jìn)行解密處理，然后按照加解密策略對敏感數(shù)據(jù)的值進(jìn)行脫敏處理，在所述遠(yuǎn)程數(shù)據(jù)加密設(shè)備取得脫敏后的敏感數(shù)據(jù)后，將之前分析結(jié)果集中密文狀態(tài)的敏感數(shù)據(jù)替換為脫敏數(shù)據(jù)，將操作動作、操作數(shù)據(jù)的元信息和解密后的敏感數(shù)據(jù)組合為與原數(shù)據(jù)庫操作一致的新的數(shù)據(jù)庫操作發(fā)送給所述數(shù)據(jù)攔截組件；

S15、數(shù)據(jù)庫攔截組件將遠(yuǎn)程數(shù)據(jù)加密設(shè)備發(fā)回的數(shù)據(jù)返回應(yīng)用，加密結(jié)束。