[发明专利]基于数据分级分类的数据存储系统及数据库透明加解密方法

说明书

本发明提供了基于数据分级分类的数据存储系统及数据库透明加解密方法，涉及数据安全技术领域，数据存储系统包括加解密数据库和本地业务数据库；加解密数据库用于存储敏感度高于或等于预设等级的业务数据的密文以及与所述密文对应的明文掩码；所述业务数据的明文、密文和明文掩码一一对应；本地业务数据库用于存储所述明文掩码以及敏感度低于预设等级的业务数据的明文。本发明采取了密文单独存放于其他数据库中的策略，本地的业务数据库被攻击也不会导致密文的泄漏，提高了数据的安全性；同时，还采取了敏感字段分级策略，通过数据分级重点保护高密保级别的数据，有效的提高数据库加密的针对性。

技术领域

本发明涉及数据安全技术领域，特别是涉及基于数据分级分类的数据存储系统及数据库透明加解密方法。

背景技术

数据往往是信息系统中最核心的资产，数据的丢失、损坏或泄露很可能会给企业或个人带来难以估量的损失，对其中的敏感信息进行加密是数据安全防护中最核心的手段之一。

目前主流的数据库加密可大致分为四类：应用系统加密、前置代理加密、后置代理加密、透明数据加密、文件系统加密以及磁盘加密。其中，透明数据加解密由于有着兼容性强，不影响应用系统以及独立的独立的权限控制体系等优点被广泛的使用。

现有的透明数据加密方式为：当数据由数据库共享内存写入到数据文件时对其进行加密；当数据由数据文件读取到数据库共享内存时对其进行解密。数据在硬盘上是密文，在内存中是明文。任何合法且有权限的数据库用户都可以访问和处理加密表中的数据。

上述数据库透明数据加密方式存在以下缺陷：

1、由于加密后的密文数据储存于本地磁盘中，一旦加密的密钥泄露，攻击者可将本地磁盘中的数据全盘拷贝后进行解密，数据任有泄露的风险。

2、传统的透明数据加密会对所有写入的敏感数据段进行加密，其中包括低敏感度低信息，造成时间和数据库资源的浪费。

发明内容

本发明针对现有透明加密方法的缺陷，提出基于数据分级分类的数据存储系统及数据库透明加解密方法，采用先将数据按敏感类型进行分类，再对其中敏感度较高的数据进行单独加密的方法节约系统的时间资源；同时通过引入安全代理服务，采用将密文存放于单独的安全数据库中的方法，达到提高破解数据难度，保护用户敏感数据的目的。

为了达到上述目的，本发明采用以下技术方案：

一方面，本发明提供了一种基于数据分级分类的数据存储系统，所述系统包括加解密数据库和本地业务数据库；

所述加解密数据库用于存储敏感度高于或等于预设等级的业务数据的密文以及与所述密文对应的明文掩码；所述业务数据的明文、密文和明文掩码一一对应；

所述本地业务数据库用于存储所述明文掩码以及敏感度低于预设等级的业务数据的明文。

进一步地，业务数据的敏感度等级按照以下方式确定：

获取业务数据中包括的敏感字段；

根据所述敏感字段的敏感度对所述业务数据进行分类，得到所述业务数据的敏感度等级。

进一步地，所述敏感度等级从高到低包括：绝密、机密、秘密、内部公开和外部公开。

进一步地，所述预设等级为秘密。

进一步地，所述明文掩码为所述业务数据中各个敏感字段的明文掩码；每个敏感字段的明文掩码符合所述敏感字段的有效明文规则。

进一步地，所述敏感字段的明文掩码包括：第一预设数位的原始明文数据和第二预设数位的经加密处理后的明文掩码数据。

另一方面，本发明还提供了一种基于数据分级分类的数据库透明加密方法，应用于上述数据存储系统，所述方法包括：