【技术实现步骤摘要】
本专利技术涉及信息安全，尤其涉及一种基于自带密钥(byok)和后量子密码学(pqc)的数据加密方法及系统。
技术介绍
1、即时通信(instant messaging，简称im)已成为现代社会不可或缺的沟通工具，承载着海量的用户信息和隐私数据。为了保护这些敏感信息，现有的im系统通常采用传输层安全性协议(transport layer security，tls)对传输中的数据进行加密，使用对称加密算法，例如高级加密标准(advanced encryption standard，aes)，对静态数据进行加密，并使用密钥管理系统(key management service，简称kms)来管理密钥。
2、然而，随着量子计算技术的发展，现有的tls协议握手过程以及依赖于现有的公钥密码体制的kms系统都将面临被攻破的风险，im数据在传输和存储过程中将失去安全保障。
3、并且，现有的kms直接用主密钥加密数据，并通过将主密钥安全存储在硬件安全模块(hardware security module，简称hsm)中来对主密钥进行保护，从而保护数据。因此，一旦主密钥泄露，所有使用该主密钥加密的数据都将面临安全威胁。因此，需要一种更加安全的密钥管理方案，即使主密钥泄露，也能最大限度地减少数据泄露的风险。
4、此外，现有的密钥管理系统通常是自行生成密钥，用户无法自主选择或生成密钥，也无法对密钥的生命周期进行管理，这限制了用户对自身数据安全的掌控能力。在一些对数据安全要求极高的场景下，例如涉及商业机密或国家安全的通
5、为了提升用户对密钥的控制能力，减少数据泄露的风险，并应对量子计算带来的安全挑战，迫切需要一种更安全可靠的im数据加密方案。
6、需说明的是，上述内容主要是为了解释技术背景，而非对现有技术的认定或归类。因此，除非明确标明或引用的现有技术文献，否则
技术介绍
部分的内容不能直接被认定为现有技术。
技术实现思路
1、为解决上述问题，本专利技术提出了一种基于byok和pqc算法的im数据处理方法。
2、根据第一方面，本专利技术提供一种数据处理方法，所述方法由硬件安全模块hsm执行，其特征在于，包括以下步骤：
3、获取服务端发起的数据加密请求，其中包括由客户端提供的需要加密的数据。
4、使用本地生成的数据密钥加密所述数据，得到数据密文。
5、使用主密钥加密所述数据密钥，得到密钥密文；所述主密钥是利用所述客户端提供的密钥材料byok而预先生成。
6、向所述服务端返回数据密文和密钥密文。
7、在一些实施例中，在获取服务端发起的数据加密请求前，所述方法还包括：
8、获取所述客户端提供的所述byok。
9、利用所述byok生成所述主密钥，并安全存储所述主密钥。
10、在一些实施例中，在向所述服务端返回数据密文和密钥密文后，所述方法还包括：
11、获取服务端发起的数据解密请求，其中包括所述数据密文和所述密钥密文。
12、使用所述主密钥解密所述密钥密文，得到所述数据密钥。
13、使用所述数据密钥解密数据密文，得到所述数据。
14、向服务端返回所述数据。
15、根据第二方面，本专利技术提供一种数据处理方法，所述方法在客户端执行，其特征在于，包括以下步骤：
16、响应于用户的触发，生成密钥材料byok。
17、向硬件安全模块hsm提供所述byok，使得所述hsm利用所述byok生成主密钥。
18、向服务端提供需要加密的数据，使得所述服务端向所述hsm发起包含该数据的数据加密请求，并接收所述hsm返回的数据密文和密钥密文；所述数据密文由所述hsm使用本地生成的数据密钥加密所述数据而得到，所述密钥密文由所述hsm使用主密钥加密所述数据密钥而得到。
19、在一些实施例中，在向服务端提供需要加密的数据后，所述在客户端执行的方法还包括：
20、向所述服务端发起数据查看请求，使得所述服务端向所述hsm发起包含所述数据密文和所述密钥密文的数据解密请求，并接收所述hsm返回的所述数据；所述数据由hsm使用所述数据密钥解密数据密文得到，所述数据密钥由所述hsm使用所述主密钥解密所述密钥密文得到。
21、接收所述服务端返回的数据。
22、在一些实施例中，生成密钥材料byok后，向hsm提供所述byok前，所述在客户端执行的方法还包括：
23、与密钥管理服务kms使用pqc算法协商共享密钥。
24、使用所述共享密钥加密byok材料，并将其发送给kms，使得kms使用共享密钥解密加密后的byok材料，将解密得到的byok材料安全传送给hsm。
25、根据第三方面，本专利技术提供一种数据处理方法，所述方法由服务端执行，其特征在于，包括以下步骤：
26、接收客户端提供的需要加密的数据；
27、向hsm发起数据加密请求，其中包括所述需要加密的数据。
28、接收hsm返回的数据密文和密钥密文，将其存储在数据库中。
29、所述数据密文由所述hsm使用本地生成的数据密钥加密所述数据而得到，所述密钥密文由所述hsm使用主密钥加密所述数据密钥而得到，所述主密钥由所述hsm利用所述客户端提供的密钥材料byok而预先生成，并安全存储。
30、在一些实施例中，在将数据密文和密钥密文存储在数据库中后，所述由服务端执行的方法还包括：
31、响应于从客户端接收的数据查看请求，向hsm发起数据解密请求，其中包括从数据库获得的所述数据密文和所述密钥密文。
32、接收hsm返回的所述数据，所述数据由hsm使用所述数据密钥解密所述数据密文得到，所述数据密钥由所述hsm使用所述主密钥解密所述密钥密文得到。
33、根据第一至三方面之任一所述的数据处理方法，可应用于即时通信im业务，其中所述服务端为im服务端，所述客户端为im客户端。
34、根据第四方面，本专利技术提供一种数据处理系统，包括：
35、客户端，用于向服务端提供需要加密的数据。
36、所述服务端，用于根据所述需要加密的数据，向硬件安全模块hsm发起数据加密请求。
37、所述hsm，用于使用本地生成的数据密钥，加密所述数据加密请求中包含的所述数据，得到数据密文；以及，使用主密钥加密所述数据密钥，得到密钥密文；所述主密钥是利用所述客户端提供的密钥材料byok而预先生成。
38、所述服务端还用于从所述hsm接收所述数据密文和密钥密文。
39、根据第五方面，本专利技术提供一种数据处理装置，该装置集成于硬件安全模块hsm，包括以下功能模块：
40、加密请求获取模块，配置为获取服务本文档来自技高网...
【技术保护点】
1.一种数据处理方法，所述方法由硬件安全模块HSM执行，其特征在于，包括以下步骤：
2.根据权利要求1所述的方法，其特征在于，在获取服务端发起的数据加密请求前，所述方法还包括：
3.根据权利要求1所述的方法，其特征在于，在向所述服务端返回数据密文和密钥密文后，所述方法还包括：
4.一种数据处理方法，所述方法在客户端执行，其特征在于，包括以下步骤：
5.根据权利要求4所述的方法，其特征在于，在向服务端提供需要加密的数据后，所述方法还包括：
6.根据权利要求4所述的方法，其特征在于，生成密钥材料BYOK后，向HSM提供所述BYOK前，所述方法还包括：
7.一种数据处理方法，所述方法由服务端执行，其特征在于，包括以下步骤：
8.根据权利要求7所述的方法，其特征在于，在将数据密文和密钥密文存储在数据库中后，所述方法还包括：
9.根据权利要求1-8之任一所述的方法，其特征在于，所述方法应用于即时通信IM业务，所述服务端为IM服务端，所述客户端为IM客户端。
10.一种数据处理系统，包
...【技术特征摘要】
1.一种数据处理方法，所述方法由硬件安全模块hsm执行，其特征在于，包括以下步骤：
2.根据权利要求1所述的方法，其特征在于，在获取服务端发起的数据加密请求前，所述方法还包括：
3.根据权利要求1所述的方法，其特征在于，在向所述服务端返回数据密文和密钥密文后，所述方法还包括：
4.一种数据处理方法，所述方法在客户端执行，其特征在于，包括以下步骤：
5.根据权利要求4所述的方法，其特征在于，在向服务端提供需要加密的数据后，所述方法还包括：
【专利技术属性】
技术研发人员：冯凯，黄蕾蕾，
申请(专利权)人：正则量子北京技术有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。