[发明专利]用于数据安全的系统、方法和计算机程序产品

权利要求书

1.一种计算机实施的方法，包括：

利用至少一个处理器在存储器中存储与多个公钥(PK₁、PK₂、…PK_n)相关联的多个密码(C₁、C₂、…C_n)，其中所述多个密码(C₁、C₂、…C_n)包括利用密钥加密密钥(KEK)进行加密的多个秘密密钥(SK₁、SK₂、…SK_n)，并且其中所述多个秘密密钥(SK₁、SK₂、…SK_n)对应于所述多个公钥(PK₁、PK₂、…PK_n)；

利用至少一个处理器接收数据组块(M_i)用于加密；

利用至少一个处理器基于散列函数(H)、所述多个公钥(PK₁、PK₂、…PK_n)中的公钥(PK_i)和随机数(R)而生成数据加密密钥(DEK)；

利用至少一个处理器利用所述DEK对所述数据组块(M_i)进行加密，以生成已加密数据组块(C_Mi)；

利用至少一个处理器生成包括所述多个密码(C₁、C₂、…C_n)中的对应于所述多个公钥(PK₁、PK₂、…PK_n)中的所述公钥(PK_i)的密码(C_i)和密钥封装数据的报头(Hdr)；

利用至少一个处理器在数据库中存储包括所述报头(Hdr)和所述已加密数据组块(C_Mi)的密文(CT)；

利用至少一个处理器接收对所述密文(CT)进行解密的请求；

响应于接收到对所述密文(CT)进行解密的请求，利用至少一个处理器向硬件安全模块(HSM)提供所述密码(C_i)；

利用至少一个处理器从所述HSM接收所述多个秘密密钥(SK₁、SK₂、…SK_n)中的对应于所述多个公钥(PK₁、PK₂、…PK_n)中的所述公钥(PK_i)的秘密密钥(SK_i)，所述公钥用以生成用于生成所述已加密数据组块(C_Mi)的所述DEK；

利用至少一个处理器基于从所述HSM接收到的所述秘密密钥(SK_i)和所述密钥封装数据而导出用于生成所述已加密数据组块(C_Mi)的所述DEK；以及

利用至少一个处理器提供所导出DEK用于对所述已加密数据组块(C_Mi)进行解密，以获得所述数据组块(M_i)。