[发明专利]用于数据安全的系统、方法和计算机程序产品

说明书

用于数据安全的系统、方法和计算机程序产品：在存储器中存储与多个公钥相关联的多个密码，所述多个密码包括利用密钥加密密钥进行加密的多个秘密密钥，且所述多个秘密密钥对应于所述多个公钥；接收数据组块用于加密；基于散列函数、所述多个公钥中的公钥和随机数而生成数据加密密钥；利用所述数据加密密钥对所述数据组块进行加密，以生成已加密数据组块；生成包括所述多个密码中的对应于所述多个公钥中的所述公钥的密码和密钥封装数据的报头；并且在数据库中存储包括所述报头和所述已加密数据组块的密文。

技术领域

本公开涉及数据安全，且在一些非限制性实施例或方面中涉及具有一次性令牌解密的可扩展数据安全服务。

背景技术

硬件安全模块(HSM)为一种物理计算装置，其保护并管理数字密钥，执行数字签名的加密和解密函数、强认证和其它密码函数。硬件安全模块包含用于执行密码运算、嵌入具有多种物理安全措施的封装中的一个或多个安全的密码处理器芯片，所述密码处理器芯片赋予所述硬件安全模块一定程度的防篡改性。

数据安全服务可使用HSM来保护交易和文件。然而，数据安全服务使用HSM来保护交易和文件可能相对昂贵且难以扩展和维护。

发明内容

因此，提供了用于数据安全的改进的系统、装置、产品、设备和/或方法。

根据一些非限制性实施例或方面，提供了方法、系统和计算机程序产品，所述方法、系统和计算机程序产品：在存储器中存储与多个公钥(PK₁、PK₂、…PK_n)相关联的多个密码(C₁、C₂、…C_n)，其中所述多个密码(C₁、C₂、…C_n)包括利用密钥加密密钥(KEK)进行加密的多个秘密密钥(SK₁、SK₂、…SK_n)，并且其中所述多个秘密密钥(SK₁、SK₂、…SK_n)对应于所述多个公钥(PK₁、PK₂、…PK_n)；接收数据组块(M_i)用于加密；基于散列函数(H)、所述多个公钥(PK₁、PK₂、…PK_n)中的公钥(PK_i)和随机数(R)而生成数据加密密钥(DEK)；利用所述DEK对所述数据组块(M_i)进行加密，以生成已加密数据组块(CM_i)；生成包括所述多个密码(C₁、C₂、…C_n)中的对应于所述多个公钥(PK₁、PK₂、…PK_n)中的所述公钥(PK_i)的密码(C_i)和密钥封装数据的报头(Hdr)；在数据库中存储包括所述报头(Hdr)和所述已加密数据组块(C_Mi)的密文(CT)；接收对所述密文(CT)进行解密的请求；响应于接收到对所述密文(CT)进行解密的请求，向硬件安全模块(HSM)提供所述密码(C_i)；从所述HSM接收所述多个秘密密钥(SK₁、SK₂、…SK_n)中的对应于所述多个公钥(PK₁、PK₂、…PK_n)中的所述公钥(PK_i)的秘密密钥(SK_i)，所述公钥用以生成用于生成所述已加密数据组块(C_Mi)的所述DEK；基于从所述HSM接收到的所述秘密密钥(SK_i)和所述密钥封装数据而导出用于生成所述已加密数据组块(C_Mi)的所述DEK；并且提供所导出DEK用于对所述已加密数据组块(C_Mi)进行解密，以获得所述数据组块(M_i)。