一种基于企业数据要素安全管理的数据加密方法及系统与流程

本发明涉及数据安全，特别是一种基于企业数据要素安全管理的数据加密方法及系统。

背景技术：

1、随着数据要素市场化配置与企业数据资产化进程的持续推进，面向企业数据要素安全管理的数据加密技术，已由传统的边界隔离式保护逐步演进为面向数据全生命周期的内生安全保护机制。现有相关技术通常采用数字证书认证、口令校验、对称加密与非对称密钥封装相结合的方式，对结构化数据对象中的敏感字段实施保护；同时，为支持跨主体共享、分角色访问和用途约束管理，部分方案进一步引入属性基加密、访问控制策略建模、代理重加密以及链上审计等技术，以期实现数据“可用不可见”、授权可验证以及流转过程可记录的安全治理目标。

2、然而，现有技术在企业数据要素流通场景下仍普遍存在以下不足：一方面，既有方案多侧重于静态身份认证或粗粒度访问控制，难以将请求主体身份、用途限制、业务关联关系及授权有效状态进行统一联动校验，导致授权依据与真实业务关系之间的耦合度不足，难以满足高可信、细粒度的数据使用控制需求；另一方面，当出现主体变更、用途变更、再共享范围调整或授权失效等情形时，不少方案仍需对原始密文或整体数据对象执行重新加密，更新代价较高，且容易造成策略迁移复杂、密钥管理负担加重及审计链条割裂，不利于企业数据要素在动态流转环境中的安全、连续与可追溯使用。

技术实现思路

1、鉴于上述现有存在的问题，提出了本发明。

2、因此，本发明提供了一种基于企业数据要素安全管理的数据加密方法解决企业数据要素流通过程中细粒度授权加密难以动态更新且审计可追溯性不足的问题。

3、为解决上述技术问题，本发明提供如下技术方案：

4、第一方面，本发明提供了一种基于企业数据要素安全管理的数据加密方法，其包括，

5、对数据调用请求携带的零知识证明信息进行校验，对一次性口令进行核验，对请求主体证书的有效状态进行核验，并对业务关联凭证执行一致性比对，并对一致性比对未通过的请求发起签名授权确认，得到授权上下文；

6、依据授权上下文定位关键数据单元并编译访问控制策略，将访问控制策略转换为访问树和线性秘密共享结构访问矩阵，得到加密描述结果；

7、对加密描述结果中的关键数据单元进行数值定点化处理、数据密钥生成、对称加密和隐藏策略的密文策略属性基密钥封装，并进行关键字段替换和数字签名，得到签名数据包；

8、当签名数据包出现主体变更、用途变更、再共享范围缩减、授权到期和业务关联失效情况之一时，重构访问树和线性秘密共享结构访问矩阵，并利用基于线性秘密共享结构的密文策略属性基代理重加密进行字段密钥封装层和策略索引转换，得到策略更新数据包；

9、对策略更新数据包进行签名校验、属性私钥解封、关键数据单元恢复、数值精度还原和哈希链审计固化，得到目标数据对象受控解密审计结果。

10、作为本发明所述基于企业数据要素安全管理的数据加密方法的一种优选方案，其中：所述得到授权上下文，具体包括：

11、接收数据使用方提交的请求主体证书、零知识证明信息、一次性口令、用途说明、目标数据集标识和业务关联凭证，对零知识证明信息执行校验，对一次性口令进行核验，对请求主体证书的有效期状态、吊销状态和签发状态进行核验，形成身份认证结果；

12、对业务关联凭证摘要、历史协议摘要、授权单摘要和业务流水摘要与请求主体标识执行一致性比对，形成关联校验结果；

13、对比对未通过的请求，通过向数据控制方发送并接收授权确认单的签名确认结果；

14、整合身份认证结果、关联校验结果和签名确认结果为授权上下文。

15、作为本发明所述基于企业数据要素安全管理的数据加密方法的一种优选方案，其中：所述定位关键数据单元是指根据授权上下文中的主体身份信息、用途限制信息、授权有效信息和目标数据集标识，从对应数据目录、字段字典和字段标签清单中确定关键数据单元，形成包含字段标识、字段位置、字段类型、精度标识以及字段组标识的关键数据单元定位结果。

16、作为本发明所述基于企业数据要素安全管理的数据加密方法的一种优选方案，其中：所述得到加密描述结果，具体包括：

17、提取授权上下文中的主体身份信息、用途限制信息、授权有效信息以及关键数据单元定位结果中的字段标识、字段位置和精度标识，配置为包含主体属性、用途说明、保存期限、解密时限、再共享限制和可访问范围的访问控制策略；

18、解析访问控制策略中的属性条件和逻辑关系，构建访问树，并对访问树进行节点展开和关系映射，配置访问矩阵行标识和属性标识，形成线性秘密共享结构访问矩阵，并为访问控制策略分配策略索引并提取策略摘要作为策略校验信息；

19、将关键数据单元定位结果、访问树、线性秘密共享结构访问矩阵、策略索引和策略校验信息组织为加密描述结果。

20、作为本发明所述基于企业数据要素安全管理的数据加密方法的一种优选方案，其中：所述对加密描述结果中的关键数据单元进行数值定点化处理、数据密钥生成和对称加密，具体包括：

21、读取加密描述结果中的关键数据单元清单，对数值型关键数据单元检测小数位数并转换为定点整数，形成数值处理结果；

22、按照关键数据单元定位结果中的字段组标识对关键数据单元进行分组，生成数据密钥组；

23、通过数据密钥组中的数据密钥，对数值处理结果中的关键数据单元逐项执行对称加密，形成字段密文；

24、将字段密文、数值处理结果中的小数位信息、字段位置、策略索引和密钥版本整理为待封装数据包。

25、作为本发明所述基于企业数据要素安全管理的数据加密方法的一种优选方案，其中：所述进行关键字段替换和数字签名，具体包括：

26、调取加密描述结果中的访问树和线性秘密共享结构访问矩阵，对数据密钥组中的数据密钥进行隐藏策略的密文策略属性基密钥封装，形成字段密钥封装结果；

27、使用字段密文替换目标数据对象中的关键字段明文值，形成字段替换结果；

28、将字段密钥封装结果、字段密文、小数位信息、字段位置、策略索引和密钥版本组织为待签名数据包并执行数字签名，形成签名数据包。

29、作为本发明所述基于企业数据要素安全管理的数据加密方法的一种优选方案，其中：所述重构访问树和线性秘密共享结构访问矩阵，具体包括：

30、对签名数据包持续进行主体变更、用途变更、再共享范围缩减、授权到期和业务关联失效检测，形成更新触发结果；

31、提取更新触发结果对应的请求主体标识、用途说明和目标数据集标识，重新发起签名授权确认，形成最新授权上下文；

32、提取最新授权上下文中的主体属性、用途说明、授权有效信息和可访问范围，重新配置为更新访问控制策略；

33、解析更新访问控制策略中的属性条件和逻辑关系，重构访问树，并对重构的访问树进行节点展开和关系映射，重构线性秘密共享结构访问矩阵，并将签名数据包中已有的访问树和线性秘密共享结构访问矩阵分别作为旧访问树和旧线性秘密共享结构访问矩阵。

34、作为本发明所述基于企业数据要素安全管理的数据加密方法的一种优选方案，其中：所述字段密钥封装层和策略索引转换，具体包括：

35、提取签名数据包中的字段密钥封装层、字段密文主体、字段位置、小数位信息、旧策略索引和旧线性秘密共享结构访问矩阵，并调取重构的线性秘密共享结构访问矩阵；

36、对旧线性秘密共享结构访问矩阵和重构的线性秘密共享结构访问矩阵进行属性项比对和访问关系比对，区分保留属性项、移除属性项和新增属性项，形成策略转换关系；

37、按照策略转换关系执行基于线性秘密共享结构的密文策略属性基代理重加密处理，对字段密钥封装层中的保留属性项对应封装分量执行转换、对移除属性项对应封装分量执行撤销、对新增属性项对应封装分量执行补充，形成封装层转换结果；

38、调整旧策略索引对应的策略标识和访问关系标识，形成更新策略索引，并将封装层转换结果和更新策略索引替换至签名数据包中，记录更新时刻标识，形成策略更新数据包。

39、作为本发明所述基于企业数据要素安全管理的数据加密方法的一种优选方案，其中：所述得到目标数据对象受控解密审计结果，具体包括：

40、调用数据提供方公钥对策略更新数据包进行签名校验，形成签名校验结果；

41、当签名校验结果为通过时，利用接收方持有的属性私钥，对策略更新数据包中的字段密钥封装层进行解封，得到数据密钥；

42、通过数据密钥对策略更新数据包中的字段密文主体逐项进行解密，并按照字段位置恢复关键数据单元；

43、对恢复后的数值型关键数据单元，按照策略更新数据包中的小数位信息进行数值精度还原，回填至目标数据对象的对应字段位置；

44、提取主体身份摘要、业务关联凭证摘要、策略索引、密钥版本、更新时刻标识和解密结果摘要，按照时间顺序构成哈希链审计记录，并将审计摘要固化至联盟链，形成目标数据对象受控解密审计结果。

45、第二方面，本发明提供了一种基于企业数据要素安全管理的数据加密系统，包括，

46、请求认证模块，对数据调用请求携带的零知识证明信息进行校验，对一次性口令进行核验，对请求主体证书的有效状态进行核验，并对业务关联凭证执行一致性比对，并对一致性比对未通过的请求发起签名授权确认，得到授权上下文；

47、策略转换模块，依据授权上下文定位关键数据单元并编译访问控制策略，将访问控制策略转换为访问树和线性秘密共享结构访问矩阵，得到加密描述结果；

48、分层加密模块，对加密描述结果中的关键数据单元进行数值定点化处理、数据密钥生成、对称加密和隐藏策略的密文策略属性基密钥封装，并进行关键字段替换和数字签名，得到签名数据包；

49、策略更新模块，当签名数据包出现主体变更、用途变更、再共享范围缩减、授权到期和业务关联失效情况之一时，重构访问树和线性秘密共享结构访问矩阵，并利用基于线性秘密共享结构的密文策略属性基代理重加密进行字段密钥封装层和策略索引转换，得到策略更新数据包；

50、解密审计模块，对策略更新数据包进行签名校验、属性私钥解封、关键数据单元恢复、数值精度还原和哈希链审计固化，得到目标数据对象受控解密审计结果。

51、本发明有益效果为：通过对零知识证明信息、一次性口令、请求主体证书状态以及业务关联凭证的一致性进行联合校验，并在必要时引入签名授权确认机制，能够将身份真实性、业务关联真实性与授权合法性进行一体化绑定，从源头提升授权上下文的可信度。依据授权上下文对关键数据单元进行精确定位，并将访问控制策略转换为访问树及线性秘密共享结构访问矩阵，从而实现面向主体属性、用途、期限及再共享限制的细粒度加密控制，同时借助隐藏策略的密文策略属性基封装，降低策略内容外泄风险；通过对关键字段执行数值定点化、分组密钥生成和对称加密，可兼顾结构化数据的加密效率与数值恢复精度；利用基于线性秘密共享结构的密文策略属性基代理重加密，仅对字段密钥封装层及策略索引进行转换，无需对原始字段明文或整体密文重复处理，显著降低动态授权更新的计算与管理开销。