用于安全存储数据的数据存储服务器和客户端设备的制作方法

技术特征：
1.一种客户端设备(110)，其特征在于，所述客户端设备(110)包括处理器(111)，所述处理器(111)用于：获取包括多个明文数据元素(200b)的数据(125a)，其中，所述多个明文数据元素(200b)中的每个数据元素在范围的多个子范围中的一个子范围内，所述多个子范围中的每个子范围由子范围标识符(200a)标识；使用第一加密密钥(115a)对所述多个明文数据元素(200b)进行加密，以得到多个密文数据元素(210a)；将包括所述多个密文数据元素(210a)的所述数据(125a)发送给数据存储服务器(120)，以将所述数据(125a)存储在所述数据存储服务器(120)的数据库(125)中；对于所述多个子范围中的每个子范围，使用第二加密密钥(115a)对子范围数据桶(220b)进行加密，其中，每个子范围数据桶(220b)包括所述相应子范围内的明文数据元素(200b)和对应的密文数据元素(210a)；对于所述多个子范围中的每个子范围，将相应的加密子范围数据桶(220b)和相应子范围标识符(200a)的消息摘要或者相应的加密子范围数据桶(220b)和相应子范围标识符(200a)的基于消息验证码(message authentication code，mac)密钥(115b)的mac(220a)发送给所述数据存储服务器(120)，以将所述多个加密子范围数据桶(220b)和所述子范围标识符(200a)的多个消息摘要或mac(220a)存储在所述数据存储服务器(120)的所述数据库(125)中。2.根据权利要求1所述的客户端设备(110)，其特征在于，所述处理器(111)还用于从远程密钥管理服务器(130)获取所述第一加密密钥(115a)、所述第二加密密钥(115a)和所述mac密钥(115b)中的至少一个的加密版本，其中，所述加密的第一加密密钥(115a)、所述加密的第二加密密钥(115a)和所述加密的mac密钥(115b)中的至少一个是使用客户端设备主密钥进行加密的。3.根据权利要求1或2所述的客户端设备(110)，其特征在于，所述处理器(111)还用于将所述第一加密密钥(115a)的标识符与包括所述多个密文数据元素(210a)的所述数据(125a)一起发送给所述数据存储服务器(120)，以根据所述第一加密密钥(115a)的所述标识符将所述数据(125a)存储在所述数据存储服务器(120)的所述数据库(125)中。4.根据权利要求3所述的客户端设备(110)，其特征在于，所述处理器(111)还用于将所述加密的第一加密密钥(115a)、所述加密的第二加密密钥(115a)和所述加密的mac密钥(115b)中的至少一个发送给所述数据存储服务器(120)。5.根据上述权利要求中任一项所述的客户端设备(110)，其特征在于，为了处理对存储在所述数据存储服务器(120)的所述数据库(125)中的包括所述多个密文数据元素(210a)的所述数据(125a)的查询，所述处理器(111)用于：确定由所述查询限定的查询范围所覆盖的子范围的子范围标识符，以得到所述多个子范围标识符(200a)的子集；根据所述多个子范围标识符(200a)的子集内的一个或多个子范围标识符的消息摘要或mac，从所述数据存储服务器(120)的所述数据库(125)中获取所述多个加密数据桶(220b)中的一个或多个数据桶；使用所述第二加密密钥(115b)对所述一个或多个加密数据桶(220b)进行解密，以得到
每个加密数据桶(220b)的多对明文数据元素和密文数据元素中的一对或多对；根据所述一个或多个密文数据元素，获取存储在所述数据存储服务器(120)的所述数据库(125)中的所述数据(125a)。6.根据权利要求5所述的客户端设备(110)，其特征在于，所述处理器(111)还用于根据所述明文数据元素(200b)检查相应的数据元素是否在所述查询范围内。7.根据上述权利要求中任一项所述的客户端设备(110)，其特征在于，所述处理器(111)还用于根据随机加密方案或确定性加密方案使用所述第一加密密钥(115a)对所述明文数据元素(200b)进行加密。8.根据上述权利要求中任一项所述的客户端设备(110)，其特征在于，所述第一加密密钥(115a)和所述第二加密密钥(115a)是相同的加密密钥(115a)。9.根据上述权利要求中任一项所述的客户端设备(110)，其特征在于，所述mac是基于哈希的消息验证码(hash-based message authentication code，hmac)。10.一种用于操作客户端设备(110)的方法(700)，其特征在于，所述方法(700)包括：获取(701)包括多个明文数据元素(200b)的数据(125a)，其中，所述多个明文数据元素(200b)中的每个数据元素在范围的多个子范围中的一个子范围内，所述多个子范围中的每个子范围由子范围标识符(200a)标识；使用第一加密密钥(115a)对所述多个明文数据元素(200b)进行加密(703)，以得到多个密文数据元素(210a)；将包括所述多个密文数据元素(210a)的所述数据(125a)发送(705)给数据存储服务器(120)，以将所述数据(125a)存储在所述数据存储服务器(120)的数据库(125)中；对于所述多个子范围中的每个子范围，使用第二加密密钥(115a)对子范围数据桶(220b)进行加密(707)，其中，每个子范围数据桶(220b)包括所述相应子范围内的明文数据元素和对应的密文数据元素；对于所述多个子范围中的每个子范围，将相应的加密子范围数据桶(220b)和相应子范围标识符的消息摘要或者相应的加密子范围数据桶(220b)和相应子范围标识符的基于消息验证码(message authentication code，mac)密钥(115b)的mac(220a)发送(709)给所述数据存储服务器(120)，以将所述多个加密子范围数据桶(220b)和所述子范围标识符的多个消息摘要或mac(220a)存储在所述数据存储服务器(120)的所述数据库(125)中。11.一种数据存储服务器(120)，其特征在于，所述数据存储服务器(120)包括处理器(121)，所述处理器(121)用于：从客户端设备(110)接收数据(125a)，其中，所述数据(125a)包括根据多个明文数据元素(200b)使用第一加密密钥(115a)进行加密的多个密文数据元素(210a)，所述多个明文数据元素(200b)中的每个数据元素在范围的多个子范围中的一个子范围内，所述多个子范围中的每个子范围由子范围标识符(200a)标识；对于所述多个子范围中的每个子范围，接收使用第二加密密钥(115a)进行加密的加密子范围数据桶(220b)和相应子范围标识符(200a)的消息摘要或者使用第二加密密钥(115a)进行加密的加密子范围数据桶(220b)和相应子范围标识符(200a)的基于消息验证码(message authentication code，mac)密钥(115b)的mac(220a)；将所述多个加密子范围数据桶(220b)和所述子范围标识符(200a)的多个消息摘要或
mac(220a)存储在所述数据存储服务器(120)的数据库(125)中，其中，每个加密子范围数据桶(220b)包括所述相应子范围内的明文数据元素(200b)和对应的密文数据元素(210a)。12.根据权利要求11所述的数据存储服务器(120)，其特征在于，所述处理器(121)还用于将包括所述多个密文数据元素(210a)的所述数据(125)存储在在所述数据库(125)的第一表(210)中，以及将所述多个加密子范围数据桶(220b)和所述子范围标识符(200a)的多个消息摘要或mac(220a)存储在所述数据库(125)的第二表(220)中。13.根据权利要求12所述的数据存储服务器(120)，其特征在于，所述处理器(121)还用于将所述多个密文数据元素(210a)存储在所述数据库(125)的所述第一表(210)的一列中。14.根据权利要求11至13中任一项所述的数据存储服务器(120)，其特征在于，所述处理器(121)还用于从所述客户端设备(110)接收所述第一加密密钥(115a)的标识符和包括所述多个密文数据元素(210a)的所述数据(125a)，以及根据所述第一加密密钥(115a)的所述标识符将所述数据(125a)存储在所述数据库(125)中。15.根据权利要求11至14中任一项所述的数据存储服务器(120)，其特征在于，所述处理器(121)还用于从所述客户端设备(110)接收所述加密的第一加密密钥(115a)、所述加密的第二加密密钥(115a)和所述加密的mac密钥(115b)中的至少一个。16.根据权利要求11至15中任一项所述的数据存储服务器(120)，其特征在于，为了处理对存储在所述数据库(125)中的包括所述多个密文数据元素(210a)的所述数据的查询，所述处理器(121)还用于：根据从所述客户端设备(110)接收的一个或多个子范围标识符(200a)的一个或多个消息摘要或mac(220a)，选择存储在所述数据库(125)中的多个加密数据桶(220b)中的一个或多个数据桶；将从所述多个加密数据桶(220b)中选择的一个或多个数据桶发送给所述客户端设备(110)；根据从所述客户端设备(110)接收的一个或多个密文数据元素，查询存储在所述数据库(125)中的所述数据。17.根据权利要求11至16中任一项所述的数据存储服务器(120)，其特征在于，所述第一加密密钥(115a)和所述第二加密密钥(115a)是相同的加密密钥(115a)。18.根据权利要求11至17中任一项所述的数据存储服务器(120)，其特征在于，所述mac是基于哈希的消息认证码(hash-based message authentication code，hmac)。19.一种用于操作数据存储服务器(120)的方法(800)，其特征在于，所述方法(800)包括：从客户端设备(110)接收(801)数据(125a)，其中，所述数据(125a)包括根据多个明文数据元素(200b)使用第一加密密钥(115a)进行加密的多个密文数据元素(210a)，所述多个明文数据元素(200b)中的每个数据元素在范围的多个子范围中的一个子范围内，所述多个子范围中的每个子范围由子范围标识符(200a)标识；对于所述多个子范围中的每个子范围，接收(803)使用第二加密密钥(115a)进行加密的加密子范围数据桶(220b)和相应子范围标识符(200a)的消息摘要或者使用第二加密密钥(115a)进行加密的加密子范围数据桶(220b)和相应子范围标识符(200a)的基于消息验证码(message authentication code，mac)密钥(115b)的mac(220a)；
将所述多个加密子范围数据桶(220b)和所述子范围标识符(200a)的多个消息摘要或mac(220a)存储(805)在所述数据存储服务器(120)的数据库(125)中，其中，每个加密子范围数据桶(220b)包括所述相应子范围内的明文数据元素(200b)和对应的密文数据元素(210a)。20.一种包括计算机可读存储介质的计算机程序产品，其特征在于，所述计算机可读存储介质用于存储程序代码，当所述程序代码由计算机或处理器执行时，使得所述计算机或所述处理器执行根据权利要求10所述的方法(700)。21.一种包括计算机可读存储介质的计算机程序产品，其特征在于，所述计算机可读存储介质用于存储程序代码，当所述程序代码由计算机或处理器执行时，使得所述计算机或所述处理器执行根据权利要求19所述的方法(800)。

技术总结
本发明涉及一种用于将数据(125a)存储在数据存储服务器(120)的数据库(125)中的客户端设备(110)。所述数据包括数据元素，每个数据元素在范围的由子范围标识符标识的子范围内。所述客户端设备用于：对所述数据元素进行加密，并且将包括密文数据元素的所述数据发送给所述服务器。所述客户端设备还用于：对于每个子范围，对子范围数据桶进行加密，其中，每个子范围数据桶包括所述相应子范围内的数据元素和对应的密文数据元素。此外，所述客户端设备用于：对于每个子范围，将相应的加密子范围数据桶和相应子范围标识符的消息摘要或者相应的加密子范围数据桶和相应子范围标识符的消息验证码(message authentication code，MAC)发送给所述服务器，以存储在所述数据库中。以存储在所述数据库中。以存储在所述数据库中。


技术研发人员：谢
受保护的技术使用者：华为技术有限公司
技术研发日：2020.06.29
技术公布日：2023/2/3