一种实现数据监管与使用方溯源的方法及系统

摘要

本发明提供了一种实现数据监管与使用方溯源的方法及系统，包括以下步骤：S1、在密钥系统中为每个用户提供唯一的身份认证信息；S2、被管理业务系统通过密钥系统，对数据进行加密；S3、在密钥系统中为被管理业务系统用户赋予数据访问权限；S4、被管理业务系统向密钥系统获取该用户对应的数据加解密密钥；S5、密钥系统实时记录用户的每次密钥请求事件并进行用户标识；S6、数据泄露时，通过密钥系统提取出操作此数据的用户标识，完成溯源。本发明所述的一种实现数据监管与使用方溯源的方法及系统，通过第三方监管溯源，对于数据的安全性增强，确保网络数据的完整性、可用性和保密性，不受到信息泄漏和非法篡改的安全威胁影响。

权利要求

1.一种实现数据监管与使用方溯源的方法，其特征在于包括以下步骤：S1、在密钥系统中，映射出与被管理业务系统一致的用户体系，并为每个用户提供唯一的身份认证信息；

S2、被管理业务系统通过密钥系统，对被管理业务系统的内部数据进行加密；

S3、在密钥系统中为映射的被管理业务系统用户赋予数据访问权限；

S4、所述被管理业务系统对被管理业务系统的内部数据进行访问时，向密钥系统获取用户数据对应的加解密密钥；

S5、所述密钥系统实时记录用户的每次密钥请求事件并进行用户标识；

S6、所述被管理业务系统的内部数据泄露时，通过密钥系统提取出操作被管理业务系统的内部数据的用户标识，完成溯源。

2.根据权利要求1所述的一种实现数据监管与使用方溯源的方法，其特征在于：所述步骤S2中的被管理业务系统的内部数据包括被管理业务系统中的符号、文字、数字、语音、图像、视频、文件。

3.根据权利要求1所述的一种实现数据监管与使用方溯源的方法，其特征在于：所述步骤S2中被管理业务系统通过密钥系统的加解密模块进行加密。

4.根据权利要求1所述的一种实现数据监管与使用方溯源的方法，其特征在于：所述步骤S3中数据访问权限是通过密钥系统判断是否为用户生成数据加解密密钥来实现。

5.根据权利要求1所述的一种实现数据监管与使用方溯源的方法，其特征在于：所述步骤S4中只有用户对应数据进行读写时，密钥系统才会通过加解密模块为用户提供用户正在进行读写数据对应的加解密密钥。

6.根据权利要求1所述的一种实现数据监管与使用方溯源的方法，其特征在于：所述步骤S5中密钥请求事件通过密钥系统的数据记录模块进行记录的。

7.根据权利要求1所述的一种实现数据监管与使用方溯源的方法，其特征在于：所述步骤S5中用户标识，通过密钥系统的加解密模块为被管理业务系统的内部数据注入用户标识。

8.根据权利要求1所述的一种实现数据监管与使用方溯源的方法，其特征在于：所述步骤S6中通过密钥系统提取出操作被管理业务系统的内部数据的用户标识，完成溯源的过程具体如下：数据泄漏时，密钥系统通过扫描被泄漏的数据内容，找到密钥系统内嵌隐藏在被泄漏数据内部的特征码来定位和提取用户标识，从而完成溯源。

9.一种应用于权利要求1至8任一所述的实现数据监管与使用方溯源的方法的系统，其特征在于：包括被管理业务系统、服务端通讯安全模块、密钥系统；

密钥系统包括身份管理模块、数据记录模块、数据保护模块、数据分块安全模块、加解密模块、密钥模块；

服务端通讯安全模块与密钥系统建立安全通讯后，身份管理模块通过服务端通讯安全模块提供的安全通道与密钥系统进行用户身份认证，认证成功后，密钥系统为本次用户认证生成用户身份令牌，用户使用身份令牌通过数据保护模块访问被管业务理系统的数据，数据保护模块通过用户身份令牌和被访问数据，通过数据分块安全模块来确定加解密使用的密钥组，并通过密钥模块申请对应的加解密密钥，数据记录模块记录密钥申请的信息，加解密模块、密钥模块对数据保护模块内的解密数据进行加解密；

所述服务端通讯安全模块用于被管理业务系统与密钥系统之间的通讯安全；

所述身份管理模块用于被管理业务系统建立用户体系并为用户颁发独立的身份密钥，认证用户身份；

所述数据记录模块用于记录用户对密钥的使用，来对数据使用方溯源；

所述数据分块安全模块用于对数据进行分块；

所述数据保护模块用于对数据保护，保护方式包括：数据分块由工作密钥进行加密；驱动密钥模块对工作密钥定期更新；每个数据分块间工作密钥不相同；数据分块安全模块设置为开启或停止方式，开启时会通过当前用户身份向密钥系统动态获取被访问数据分块的工作密钥，停止时旁路所有数据加解密动作，上下透传数据；

所述加解密模块用于对数据分块安全模块的数据或文件进行全部或部分加密；

所述密钥模块用于生成数据加解密密钥，为工作密钥生成轮换密钥。

说明书

一种实现数据监管与使用方溯源的方法及系统

技术领域

[0001] 本发明属于数据安全领域，尤其是涉及一种实现数据监管与使用方溯源的方法及系统。

背景技术

[0002] 随着大数据时代的到来，各行业数据规模呈TB级增长，拥有高价值数据源的企业在大数据产业链中占有至关重要的核心地位。在实现大数据集中后，如何确保网络数据的
完整性、可用性和保密性，不受到信息泄漏和非法篡改的安全威胁影响，已成为政府机构、
事业单位信息化健康发展所要考虑的核心问题。

发明内容

[0003] 有鉴于此，本发明旨在提出一种实现数据监管与使用方溯源的方法及系统，以解决现有技术上数据以明文方式落地存储带来的安全风险，和在数据使用过程中无法提供第
三方监管溯源的安全缺陷。

[0004] 为达到上述目的，本发明的技术方案是这样实现的：

[0005] 一种实现数据监管与使用方溯源的方法，包括以下步骤：

[0006] S1、在密钥系统中，映射出与被管理业务系统一致的用户体系，并为每个用户提供唯一的身份认证信息；

[0007] S2、被管理业务系统通过密钥系统，对被管理业务系统的内部数据进行加密；

[0008] S3、在密钥系统中为映射的被管理业务系统用户赋予数据访问权限；

[0009] S4、所述被管理业务系统对被管理业务系统的内部数据进行访问时，向密钥系统获取该用户数据对应的加解密密钥；

[0010] S5、所述密钥系统实时记录用户的每次密钥请求事件并进行用户标识；

[0011] S6、所述被管理业务系统的内部数据泄露时，通过密钥系统提取出操作被管理业务系统的内部数据的用户标识，完成溯源。

[0012] 进一步的，所述步骤S2中的被管理业务系统的内部数据包括被管理业务系统中的符号、文字、数字、语音、图像、视频、文件。

[0013] 进一步的，所述步骤S2中被管理业务系统通过密钥系统的加解密模块进行加密。

[0014] 进一步的，所述步骤S3中数据访问权限是通过密钥系统判断是否为用户生成数据加解密密钥来实现。

[0015] 进一步的，所述步骤S4中只有用户对应数据进行读写时，密钥系统才会通过加解密模块为用户提供用户正在进行读写数据对应的加解密密钥。

[0016] 进一步的，步骤S5中密钥请求事件通过密钥系统的数据记录模块进行记录的。

[0017] 进一步的，所述步骤S5中用户标识，通过密钥系统的加解密模块为被管理业务系统的内部数据注入用户标识。

[0018] 进一步的，所述步骤S6中通过密钥系统提取出操作被管理业务系统的内部数据的用户标识，完成溯源的过程具体如下：数据泄漏时，密钥系统通过扫描被泄漏的数据内容，
找到密钥系统内嵌隐藏在被泄漏数据内部的特征码来定位和提取用户标识，从而完成溯
源。

[0019] 一种用于实现数据监管与使用方溯源方法的系统，包括被管理业务系统、服务端通讯安全模块、密钥系统；

[0020] 密钥系统包括身份管理模块、数据记录模块、数据保护模块、数据分块安全模块、加解密模块、密钥模块；

[0021] 服务端通讯安全模块与密钥系统建立安全通讯后，身份管理模块通过服务端通讯安全模块提供的安全通道与密钥系统进行用户身份认证，认证成功后，密钥系统为本次用
户认证生成用户身份令牌，用户使用身份令牌通过数据保护模块访问被管理业务系统的数
据，数据保护模块通过用户身份令牌和被访问数据，通过数据分块安全模块来确定加解密
使用的密钥组，并通过密钥模块申请对应的加解密密钥，数据记录模块记录密钥申请的信
息，加解密模块、密钥模块对数据保护模块内的解密数据进行加解密；

[0022] 所述服务端通讯安全模块用于被管理业务系统与密钥系统之间的通讯安全；

[0023] 身份管理模块用于被管理业务系统建立用户体系并为用户颁发独立的身份密钥，认证用户身份；

[0024] 数据记录模块用于记录用户对密钥的使用，来对数据使用方溯源；

[0025] 数据分块安全模块用于对数据进行分块；

[0026] 数据保护模块用于对数据保护，保护方式包括：数据分块由工作密钥进行加密；驱动密钥模块对工作密钥定期更新；每个数据分块间工作密钥不相同；数据分块安全模块设
置为开启或停止方式，开启时会通过当前用户身份向密钥系统动态获取被访问数据分块的
工作密钥，停止时旁路所有数据加解密动作，上下透传数据；

[0027] 加解密模块用于对数据分块安全模块的数据或文件进行全部或部分加密；

[0028] 密钥模块用于生成数据加解密密钥，为工作密钥生成轮换密钥。

[0029] 相对于现有技术，本发明所述的一种实现数据监管与使用方溯源的方法及系统具有以下有益效果：

[0030] 本发明所述的一种实现数据监管与使用方溯源的方法及系统，通过第三方监管溯源，对于数据的安全性增强，对于数据的保护更加到位，确保网络数据的完整性、可用性和
保密性，不受到信息泄漏和非法篡改的安全威胁影响；在信息泄露时，可通过泄露信息内隐
藏的用户标识来对信息者泄露溯源。

附图说明

[0031] 构成本发明的一部分的附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

[0032] 图1为本发明实施例所述的一种通过密钥系统实现数据监管的方法流程示意图；

[0033] 图2为本发明实施例所述的一种通过密钥系统实现数据使用方溯源的方法流程示意图。

具体实施方式

[0034] 需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

[0035] 在本发明的描述中，需要理解的是，术语“中心”、“纵向”、“横向”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”、“内”、“外”等指示的方位或位置关系为
基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗
示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对
本发明的限制。此外，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相
对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”等的特征可
以明示或者隐含地包括一个或者更多个该特征。在本发明的描述中，除非另有说明，“多个”
的含义是两个或两个以上。

[0036] 在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可
以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是
两个元件内部的连通。对于本领域的普通技术人员而言，可以通过具体情况理解上述术语
在本发明中的具体含义。

[0037] 下面将参考附图并结合实施例来详细说明本发明。

[0038] 一种实现数据监管与使用方溯源的方法，包括以下步骤：

[0039] S1、在密钥系统中，映射出与被管理业务系统一致的用户体系，并为每个用户提供唯一的身份认证信息；

[0040] S2、被管理业务系统通过密钥系统，对被管理业务系统的内部数据进行加密；

[0041] S3、在密钥系统中为映射的被管理业务系统用户赋予数据访问权限；

[0042] S4、所述被管理业务系统对被管理业务系统的内部数据进行访问时，向密钥系统获取该用户数据对应的加解密密钥；

[0043] S5、所述密钥系统实时记录用户的每次密钥请求事件并进行用户标识；

[0044] S6、所述被管理业务系统的内部数据泄露时，通过密钥系统提取出操作被管理业务系统的内部数据的用户标识，完成溯源。

[0045] 进一步的，所述步骤S2中的被管理业务系统的内部数据包括被管理业务系统中的符号、文字、数字、语音、图像、视频、文件。

[0046] 进一步的，所述步骤S2中被管理业务系统通过密钥系统的加解密模块进行加密。

[0047] 进一步的，所述步骤S3中数据访问权限是通过密钥系统判断是否为用户生成数据加解密密钥来实现。

[0048] 进一步的，所述步骤S4中只有用户对应数据进行读写时，密钥系统才会通过加解密模块为用户提供用户正在进行读写数据对应的加解密密钥。

[0049] 进一步的，步骤S5中密钥请求事件通过密钥系统的数据记录模块进行记录的。

[0050] 进一步的，所述步骤S5中用户标识，通过密钥系统的加解密模块为被管理业务系统的内部数据注入用户标识。

[0051] 进一步的，所述步骤S6中通过密钥系统提取出操作被管理业务系统的内部数据的用户标识，完成溯源的过程具体如下：数据泄漏时，密钥系统通过扫描被泄漏的数据内容，
找到密钥系统内嵌隐藏在被泄漏数据内部的特征码来定位和提取用户标识，从而完成溯
源。

[0052] 一种用于实现数据监管与使用方溯源方法的系统，包括被管理业务系统、服务端通讯安全模块、密钥系统；

[0053] 密钥系统包括身份管理模块、数据记录模块、数据保护模块、数据分块安全模块、加解密模块、密钥模块；

[0054] 服务端通讯安全模块与密钥系统建立安全通讯后，身份管理模块通过服务端通讯安全模块提供的安全通道与密钥系统进行用户身份认证，认证成功后，密钥系统为本次用
户认证生成用户身份令牌，用户使用身份令牌通过数据保护模块访问被管理业务系统的数
据，数据保护模块通过用户身份令牌和被访问数据，通过数据分块安全模块来确定加解密
使用的密钥组，并通过密钥模块申请对应的加解密密钥，数据记录模块记录密钥申请的信
息，加解密模块、密钥模块对数据保护模块内的解密数据进行加解密；

[0055] 所述服务端通讯安全模块用于被管理业务系统与密钥系统之间的通讯安全；

[0056] 身份管理模块用于被管理业务系统建立用户体系并为用户颁发独立的身份密钥，认证用户身份；

[0057] 数据记录模块用于记录用户对密钥的使用，来对数据使用方溯源；

[0058] 数据分块安全模块用于对数据进行分块；

[0059] 数据保护模块用于对数据保护，保护方式包括：数据分块由工作密钥进行加密；驱动密钥模块对工作密钥定期更新；每个数据分块间工作密钥不相同；数据分块安全模块设
置为开启或停止方式，开启时会通过当前用户身份向密钥系统动态获取被访问数据分块的
工作密钥，停止时旁路所有数据加解密动作，上下透传数据；

[0060] 加解密模块用于对数据分块安全模块的数据或文件进行全部或部分加密；

[0061] 密钥模块用于生成数据加解密密钥，为工作密钥生成轮换密钥 。

[0062] 一种实现数据监管与使用方溯源的方法，包括两种方法流程具体如下：

[0063] 如图1所示，一种通过密钥系统实现数据监管的方法流程，具体包括以下步骤：

[0064] S101：在密钥系统中，映射出与被管理业务系统一致的用户体系，并为每个用户提供唯一的身份认证信息。

[0065] S102：被管理业务系统通过密钥管理系统提供的数据加密功能或模块，为现有数据或文件进行全部或部分加密。

[0066] S103：在密钥系统中为映射的被管理业务系统用户赋予数据访问权限，只有用户有对应数据的访问权限时，密钥系统才会为用户提供该数据对应的加解密密钥。

[0067] S104：在被管理的业务系统对数据进行读写时，需要通过密钥系统提供的加解密模块向密钥系统获取该用户对应的数据加解密密钥。

[0068] S105：被管理业务系统的数据通过密钥系统完成加解密后，交于用户使用。

[0069] 如图2所示，一种通过密钥系统实现数据使用方溯源的方法流程，具体包括以下步骤：

[0070] S201：在密钥系统中，映射出与被管理的应用系统一致的用户体系，并为每个用户提供唯一的身份认证信息；

[0071] S202：在被管理的业务系统对数据进行读写时，需要通过密钥系统提供的数据加解密功能或模块，向密钥系统获取该用户对应的数据加解密密钥；

[0072] S203：密钥系统实时记录用户的每一次密钥请求事件；

[0073] S204：在密钥系统提供的加解密功能或模块中，可为被加密的数据注入操作此数据的用户标识信息；

[0074] S205：密钥系统可审计用户对每一笔数据的操作，并在数据泄露时，通过密钥系统提供的相应算法从泄露的数据中提取出操作被管理业务系统的内部数据的用户标识。

[0075] 具体实施例如下：

[0076] 1.系统注册：

[0077] 1)密钥系统为被管理业务系统提供管理认证接口，被管理业务系统管理员在密钥系统中为被管理业务系统的身份信息进行注册；

[0078] 2)被管理业务系统向密钥系统提供用户认证接口；

[0079] 3)被管理业务系统提供给密钥系统的用户认证接口，需要集成密钥系统提供的服务端通讯安全模块。

[0080] 2.用户注册和登录：

[0081] 1)将被管理业务系统的用户登录操作由密钥系统接管，密钥系统转发用户登录请求至被管理业务系统的登录接口，由此获得用户名，并通过被管理业务系统的登录返回信
息确定用户的合法性；

[0082] 2)在被管理业务系统登录接口返回用户有效时，密钥系统在本系统内查询用户是否存在，如果用户不存在为新用户注册；

[0083] a)为用户生成密钥系统中唯一的用户标识符（在用户获取数据时，密钥系统将用户识别码嵌入到用户获取的数据中，用以在数据中标记使用此数据的用户）；

[0084] b)用户独立的身份证书；

[0085] c)为用户创建默认权限信息。如果用户已存在于密钥系统中时，密钥系统则判断用户登录密钥系统成功，并按照配置的权限为用户提供数据分块的加解密密钥。

[0086] 3.数据分块加密：

[0087] 1)被管理业务系统集成密钥系统提供的数据分块安全模块，并在需要被保护的数据接口中调用数据分块安全模块提供的数据保护API；

[0088] 2)被管理业务系统管理员在密钥系统中维护被加密的数据分块安全模块：

[0089] a)为用户赋予数据分块密钥权限(提供密钥、不提供密钥)；

[0090] b)为数据分块安全模块生成独立的数据加解密对称密钥。

[0091] 4.被管理业务系统内流转数据的保护方式：

[0092] 1）数据分块由工作密钥进行加密；

[0093] 2）工作密钥可以定期更新；

[0094] 3）每个数据分块间工作密钥不相同；

[0095] 4） 数据分块安全模块可设置为开启/停止，开启时会通过当前用户身份向密钥系统动态获取被访问数据分块的工作密钥，停止时会旁路所有数据加解密动作，上下透传数
据。

[0096] 5.数据分块安全模块业务系统导出文件的保护：

[0097] 1）文件的特定位置加入用户识别码。

[0098] 6.审计与溯源：

[0099] 1）密钥系统实时记录用户对数据分块的每一次密钥请求；

[0100] 2）在文件泄漏后，通过密钥系统提供的提取工具，提取出导出此文件的用户识别码。

[0101] 7．服务端通讯安全模块：

[0102] 1.通过SSL双向证书认证建立通讯通道，在此通道中协商双方数据加密的对称密钥；

[0103] 2.建立非SSL通道进行数据传输，传输的数据使用第一步中协商的对称密钥加密（提高数据通讯性能）；

[0104] 3.通过可配置的策略通过第一步协商更换数据加密的对称密钥。

[0105] 8. 数据分块安全模块：

[0106] 1.被管理业务系统在数据存储前调用数据分块安全模块的存储加密接口，将数据加密后写入存储介质；

[0107] 2.被管理业务系统从读取存储介质中的数据后，被管理业务系统调用数据分块安全模块的存储解密接口，对数据解密后进行使用；

[0108] 3.被管理业务系统向用户提供数据时，被管理业务系统调用数据分块安全模块提供的用户数据隔离接口（传入数据和用户标识），通过用户数据隔离接口加密后的数据，只
有对应用户方能解密使用。

[0109] 9.文件溯源：

[0110] 1.按照文件格式分析出文件中附加数据段，并向附加数据段写入经过密钥系统混淆和签名后的文件数据校验和下载文件的用户识别码；

[0111] 2.文件头中写入文件溯源的步骤1中密钥系统混淆和签名数据在文件中的位置；

[0112] 3.密钥系统的提取工具，分析文件后，提取出文件校验数据和下载文件的用户标识，以回溯文件来源。

[0113] 以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。