一種基于自主可控?cái)?shù)據(jù)庫(kù)的安全加密方法及系統(tǒng)的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及信息安全領(lǐng)域，尤其涉及一種自主可控?cái)?shù)據(jù)庫(kù)安全加密技術(shù)。
【背景技術(shù)】
[0002]隨著信息技術(shù)的在廣泛的運(yùn)用，越來越多的信息系統(tǒng)的數(shù)據(jù)在不斷的被泄密。主要原因之一是通過各種手段對(duì)數(shù)據(jù)庫(kù)的攻擊導(dǎo)致數(shù)據(jù)的泄密。
[0003]因此如何以技術(shù)手段保障數(shù)據(jù)庫(kù)的安全是一個(gè)亟待解決的問題。同時(shí)數(shù)據(jù)庫(kù)的加密可以增加攻擊者的破解成本，如果破解不了加密數(shù)據(jù)，非法獲取的數(shù)據(jù)庫(kù)的數(shù)據(jù)是無(wú)用數(shù)據(jù)。因此對(duì)數(shù)據(jù)庫(kù)的數(shù)據(jù)進(jìn)行加密是非常有必要的。

【發(fā)明內(nèi)容】

[0004]本發(fā)明要解決的技術(shù)問題是，針對(duì)現(xiàn)有數(shù)據(jù)泄密，提供一種在數(shù)據(jù)庫(kù)服務(wù)器上面的數(shù)據(jù)庫(kù)的安全加密技術(shù)，解決數(shù)據(jù)庫(kù)的數(shù)據(jù)的泄密問題。本發(fā)明采用的AES 256位加密技術(shù)對(duì)數(shù)據(jù)庫(kù)服務(wù)器端的數(shù)據(jù)庫(kù)管理系統(tǒng)(DBMS)的內(nèi)核進(jìn)行的數(shù)據(jù)透明加密，并使用RSA非對(duì)稱的加密算法對(duì)AES的加解密的密鑰進(jìn)行加解密。
[0005]本法發(fā)明通過在數(shù)據(jù)管理系統(tǒng)中植入加密的模塊(加密保險(xiǎn)箱)來實(shí)現(xiàn)數(shù)據(jù)庫(kù)的內(nèi)核加密。該加密保險(xiǎn)箱的基本功能如下:
[0006]功能1:身份認(rèn)證和訪問控制功能，用戶只有通過身份認(rèn)證才能訪問加密保險(xiǎn)箱，對(duì)數(shù)據(jù)進(jìn)行加密，非法用戶是不能訪問加密保險(xiǎn)箱對(duì)數(shù)據(jù)進(jìn)行訪問；
[0007]功能2:創(chuàng)建加密表空間功能，對(duì)通過身份認(rèn)證的用戶可以創(chuàng)建信任的安全路徑和文件夾，建立加密表空間，創(chuàng)建的時(shí)候強(qiáng)制選擇加密選項(xiàng)，系統(tǒng)默認(rèn)了 AES256的加密算法進(jìn)行加密，把即將加密的文件放在統(tǒng)一的路徑，對(duì)創(chuàng)建的空間采用訪問控制，沒有通過身份認(rèn)證的用戶，即使是操作系統(tǒng)的最高權(quán)限的管理員和數(shù)據(jù)庫(kù)的最高管理員都無(wú)法訪問該加密空間的數(shù)據(jù)，他們不能使用編輯器和SQL語(yǔ)句進(jìn)行查看數(shù)據(jù)，必選是通過認(rèn)證的合法用戶；
[0008]功能3:存儲(chǔ)和加密AES的加密密鑰，加密保險(xiǎn)里面存儲(chǔ)了通過AES算法對(duì)數(shù)據(jù)進(jìn)行加解密的密鑰，可以根據(jù)用戶的密碼屬性，并使用RAS算法對(duì)AES加解密的密鑰進(jìn)行加解密；
[0009]功能4:動(dòng)態(tài)數(shù)據(jù)屏蔽，可以根據(jù)用戶的密碼屬性，根據(jù)在數(shù)據(jù)庫(kù)的表的列對(duì)數(shù)據(jù)庫(kù)的敏感的列的級(jí)別數(shù)據(jù)進(jìn)行轉(zhuǎn)換屏蔽，這個(gè)只是做簡(jiǎn)單的置換，防止數(shù)據(jù)被合法用戶訪問時(shí)泄密。
[0010]進(jìn)一步地，該加密保險(xiǎn)箱具有支持文件加密功能，用戶可以自主選擇需要加密的文件，對(duì)文件進(jìn)行加密；
[0011]進(jìn)一步地，該加密保險(xiǎn)箱支持屬性密碼，可以根據(jù)用戶的需要設(shè)置密碼的屬性，符合屬性的用戶可以訪問數(shù)據(jù)庫(kù)的相關(guān)的表，不符合屬性的用戶不能訪問相關(guān)的數(shù)據(jù)庫(kù)的相關(guān)表，從而實(shí)現(xiàn)數(shù)據(jù)庫(kù)的表級(jí)別的安全。
[0012]作為本發(fā)明的進(jìn)一步改進(jìn)，功能I的身份認(rèn)證支持兩類認(rèn)證方式:
[0013]a.支持動(dòng)態(tài)口令牌的雙因子認(rèn)證子模塊，
[0014]b.支持用戶自主設(shè)置賬戶密碼但設(shè)置強(qiáng)口令的安全策略的子模塊；
[0015]作為本發(fā)明的進(jìn)一步改進(jìn)，功能I中的身份認(rèn)證的加密算法是RSA算法。
【附圖說明】
[0016]附圖為加密保險(xiǎn)箱的整體示意圖。
【具體實(shí)施方式】
[0017]以下結(jié)合附圖及實(shí)施例，對(duì)本發(fā)明進(jìn)行進(jìn)一步詳細(xì)說明。應(yīng)當(dāng)理解為，此處所描述的實(shí)例僅用以解釋本發(fā)明，并不用于限定本發(fā)明。
[0018]現(xiàn)有的加密技術(shù)是基于公司自主研發(fā)的面向企業(yè)級(jí)應(yīng)用的分析型數(shù)據(jù)庫(kù)管理軟件(POWER-DB)，該軟件是以先進(jìn)的開源數(shù)據(jù)庫(kù)PostgreSQL為核心進(jìn)行二次開發(fā)和封裝而成，集成易學(xué)、易用、好用的管理界面和輔助工具，滿足電力行業(yè)對(duì)數(shù)據(jù)庫(kù)軟件產(chǎn)品要求的穩(wěn)定性、安全性和簡(jiǎn)敏性。在保證管理軟件的安全性、高可用性和擴(kuò)展性的同時(shí)，開發(fā)團(tuán)隊(duì)盡量降低軟件的整體成本，增強(qiáng)軟件的易用性。該數(shù)據(jù)庫(kù)管理軟件根據(jù)處理流程以及功能劃分，將管理系統(tǒng)劃分為連接管理系統(tǒng)、編譯執(zhí)行系統(tǒng)、存儲(chǔ)管理系統(tǒng)、事務(wù)管理系統(tǒng)、系統(tǒng)表五大部分組成。本法發(fā)明通過在POWER-DB DBMS中植入加密的模塊(加密保險(xiǎn)箱)來實(shí)現(xiàn)數(shù)據(jù)庫(kù)的內(nèi)核加密。此發(fā)明加密功能強(qiáng)，不影響數(shù)據(jù)庫(kù)管理系統(tǒng)(DBMS)正常使用，實(shí)現(xiàn)機(jī)密技術(shù)和數(shù)據(jù)庫(kù)管理系統(tǒng)完美無(wú)縫的結(jié)合。
[0019]采用用的是C語(yǔ)言編寫的代碼，方式流程如下:
[0020]1.先進(jìn)行身份認(rèn)證登錄
[0021]對(duì)用戶的身份進(jìn)行認(rèn)證，支持兩類認(rèn)證方式:一:支持動(dòng)態(tài)口令牌的雙因子認(rèn)證子模塊，二:支持用戶自主設(shè)置賬戶密碼但設(shè)置強(qiáng)口令的安全策略的子模塊。只有通過用戶認(rèn)證的用戶才能訪問加密保險(xiǎn)箱，操作系統(tǒng)和數(shù)據(jù)庫(kù)管理員賬戶不能訪問數(shù)據(jù)庫(kù)里面的數(shù)據(jù)。
[0022]2.設(shè)置屬性密碼
[0023]對(duì)登錄的用戶設(shè)置屬性密碼的規(guī)則，只有符合該屬性的用戶才能訪問相關(guān)文件。
[0024]3.創(chuàng)建加密表空間
[0025]對(duì)通過身份認(rèn)證的用戶可以創(chuàng)建信任的安全路徑和文件夾，建立加密表空間，創(chuàng)建的時(shí)候強(qiáng)制選擇加密選項(xiàng)，系統(tǒng)默認(rèn)了 AES256的加密算法進(jìn)行加密，把即將加密的文件放在統(tǒng)一的路徑，對(duì)創(chuàng)建的空間采用訪問控制；設(shè)置該文件的屬性密碼，例如:根據(jù)部門來設(shè)置屬性密碼，登錄用戶根據(jù)部門來訪問不同的文件。
[0026]4.動(dòng)態(tài)數(shù)據(jù)屏蔽
[0027]設(shè)置屬性密碼，可以根據(jù)在數(shù)據(jù)庫(kù)的表的原始數(shù)據(jù)的列級(jí)別數(shù)據(jù)進(jìn)行轉(zhuǎn)換屏蔽，這個(gè)只是做簡(jiǎn)單的置換，防止數(shù)據(jù)被合法用戶訪問時(shí)泄密明文數(shù)據(jù)。
[0028]5.加密屏蔽數(shù)據(jù)
[0029]把經(jīng)過屏蔽的數(shù)據(jù)文件填加密保險(xiǎn)里面，通過AES算法對(duì)數(shù)據(jù)進(jìn)行加密，
[0030]6.存儲(chǔ)加密AES的密鑰[0031 ] 存儲(chǔ)通過AES算法對(duì)數(shù)據(jù)進(jìn)行加解密的密鑰，并使用RAS算法對(duì)AES加解密的密鑰進(jìn)行加密，并設(shè)置該AES密鑰加密文件的屬性密碼。
[0032]7.RAS算法解密AES的密鑰
[0033]先判斷用戶的密碼的屬性，符合屬性密碼的用戶對(duì)該AES密鑰的加密文件進(jìn)行RAS解密，獲得AES的解密密鑰。
[0034]8.AES解密數(shù)據(jù)
[0035]使用獲得AES密鑰，對(duì)加密的數(shù)據(jù)進(jìn)行AES解密。
[0036]9.解屏蔽數(shù)據(jù)返回給用戶
[0037]先判斷屬性密碼，如果是滿足的該密碼的屬性的用戶可以對(duì)通過AES解密的屏蔽的數(shù)據(jù)進(jìn)行解屏蔽之后，返回給用戶。
[0038]對(duì)于本發(fā)明所屬技術(shù)領(lǐng)域的普通技術(shù)人員來說，在不脫離本發(fā)明構(gòu)思及精神的前提下，通過若干簡(jiǎn)單推演或替換，都應(yīng)視為屬于本發(fā)明的保護(hù)范圍。
【主權(quán)項(xiàng)】
1.一種基于自主可控?cái)?shù)據(jù)庫(kù)的安全加密系統(tǒng)，其特征在于: 在數(shù)據(jù)管理系統(tǒng)中植入加密保險(xiǎn)箱進(jìn)行加密，該加密保險(xiǎn)箱有以下功能: 功能1:身份認(rèn)證和訪問控制功能，用戶只有通過身份認(rèn)證才能訪問加密保險(xiǎn)箱，對(duì)數(shù)據(jù)進(jìn)行加密，非法用戶是不能訪問加密保險(xiǎn)箱對(duì)數(shù)據(jù)進(jìn)行訪問； 功能2:創(chuàng)建加密表空間功能，對(duì)通過身份認(rèn)證的用戶可以創(chuàng)建信任的安全路徑和文件夾，建立加密表空間，創(chuàng)建的時(shí)候強(qiáng)制選擇加密選項(xiàng)，系統(tǒng)默認(rèn)了 AES256的加密算法進(jìn)行加密，把即將加密的文件放在統(tǒng)一的路徑，對(duì)創(chuàng)建的空間采用訪問控制，沒有通過身份認(rèn)證的用戶，即使是操作系統(tǒng)的最高權(quán)限的管理員和數(shù)據(jù)庫(kù)的最高管理員都無(wú)法訪問該加密空間的數(shù)據(jù)，他們不能使用編輯器和SQL語(yǔ)句進(jìn)行查看數(shù)據(jù)，必選是通過認(rèn)證的合法用戶； 功能3:存儲(chǔ)和加密AES的加密密鑰，加密保險(xiǎn)里面存儲(chǔ)了通過AES算法對(duì)數(shù)據(jù)進(jìn)行加解密的密鑰，可以根據(jù)用戶的密碼屬性，并使用RAS算法對(duì)AES加解密的密鑰進(jìn)行加解密； 功能4:動(dòng)態(tài)數(shù)據(jù)屏蔽，可以根據(jù)用戶的密碼屬性，根據(jù)在數(shù)據(jù)庫(kù)的表的列對(duì)數(shù)據(jù)庫(kù)的敏感的列的級(jí)別數(shù)據(jù)進(jìn)行轉(zhuǎn)換屏蔽，這個(gè)只是做簡(jiǎn)單的置換，防止數(shù)據(jù)被合法用戶訪問時(shí)泄密。2.根據(jù)權(quán)利要求1所述的一種基于自主可控?cái)?shù)據(jù)庫(kù)的安全加密系統(tǒng)，其特征在于:該加密保險(xiǎn)箱具有支持文件加密功能，用戶可以自主選擇需要加密的文件，對(duì)文件進(jìn)行加密。3.根據(jù)權(quán)利要求1所述的一種基于自主可控?cái)?shù)據(jù)庫(kù)的安全加密系統(tǒng)，其特征在于:該加密保險(xiǎn)箱支持屬性密碼，可以根據(jù)用戶的需要設(shè)置密碼的屬性，符合屬性的用戶可以訪問數(shù)據(jù)庫(kù)的相關(guān)的表，不符合屬性的用戶不能訪問相關(guān)的數(shù)據(jù)庫(kù)的相關(guān)表，從而實(shí)現(xiàn)數(shù)據(jù)庫(kù)的表級(jí)別的安全。4.根據(jù)權(quán)利要求1所述的一種基于自主可控?cái)?shù)據(jù)庫(kù)的安全加密系統(tǒng)，其特征在于:功能I的身份認(rèn)證支持兩類認(rèn)證方式:a.支持動(dòng)態(tài)口令牌的雙因子認(rèn)證子模塊；b.支持用戶自主設(shè)置賬戶密碼但設(shè)置強(qiáng)口令的安全策略的子模塊。5.根據(jù)權(quán)利要求4所述的一種基于自主可控?cái)?shù)據(jù)庫(kù)的安全加密系統(tǒng)，其特征在于:功能I中的身份認(rèn)證的加密算法是RSA算法。6.—種基于自主可控?cái)?shù)據(jù)庫(kù)的安全加密方法，其特征在于: 該方法依次包含以下步驟:步驟1.先進(jìn)行身份認(rèn)證登錄；步驟2.設(shè)置屬性密碼；步驟.3.創(chuàng)建加密表空間；步驟4.動(dòng)態(tài)數(shù)據(jù)屏蔽；步驟5.加密屏蔽數(shù)據(jù)；步驟6.存儲(chǔ)加密AES的密鑰；步驟7.RAS算法解密AES的密鑰；步驟8.AES解密數(shù)據(jù)；步驟9.解屏蔽數(shù)據(jù)返回給用戶。
【專利摘要】本發(fā)明提供一種基于自主可控?cái)?shù)據(jù)庫(kù)的安全加密方法及系統(tǒng)，本發(fā)明主要是在數(shù)據(jù)管理系統(tǒng)中植入加密保險(xiǎn)箱來實(shí)現(xiàn)數(shù)據(jù)庫(kù)的內(nèi)核加密。采用透明的屬性密碼加解密技術(shù)，原始數(shù)據(jù)的敏感關(guān)鍵詞采用屏蔽技術(shù)，數(shù)據(jù)部分采用AES算法進(jìn)行對(duì)稱式加解密，AES的密鑰采用RAS加密算法對(duì)密鑰進(jìn)行非對(duì)稱式的加解密。這種加密方法功能強(qiáng)，不影響數(shù)據(jù)庫(kù)管理系統(tǒng)(DBMS)正常使用，實(shí)現(xiàn)機(jī)密技術(shù)和數(shù)據(jù)庫(kù)管理系統(tǒng)完美無(wú)縫的結(jié)合。
【IPC分類】G06F21/62
【公開號(hào)】CN105160272
【申請(qǐng)?zhí)枴緾N201510540658
【發(fā)明人】繆燕, 王艷, 邢艷, 李海, 呂志來, 張學(xué)深
【申請(qǐng)人】國(guó)家電網(wǎng)公司, 北京許繼電氣有限公司
【公開日】2015年12月16日
【申請(qǐng)日】2015年8月28日