[发明专利]基于数据属性授权的数据安全保护方法、存储介质及终端

说明书

本发明属于属性授权、数据及文件保护、金融安全、数据安全及物联网安全技术领域，公开了一种基于数据属性授权的数据安全保护方法、存储介质及终端，由TEE产生签名公私钥，并上送公钥和数字信封密钥给可信密钥管理系统；产生随机密钥作为工作密钥，基于随机密钥采用国密算法对数据块进行加密；根据属性和标识密钥还原出随机密钥，解密数据块；根据解密后的数据块判断是否有管理权限，如果存在管理权限，则再次授权给授权方。本发明能够满足多方或多级数据共享、细粒度授权与数据保护，可用于物联网终端与实体间数据共享、细粒度权限控制和数据保护、云环境下文件的细粒度授权、二次分发及数据安全保护工作场景。

技术领域

本发明属于属性授权、数据及文件保护、金融安全、数据安全及物联网安全技术领域，尤其涉及一种基于数据属性授权的数据安全保护方法、存储介质及终端。

背景技术

目前，随着互联网、移动互联网技术、物联网和应用发展，不同实体间数据共享场景下需提供数据细粒度授权、二次分发及数据保密。例如：所属机构在联盟链上进行多方或多级数据共享，所属机构甲对写入的数据块进行加密保护，密文数据需要共享授权给多方，只有被授权的所属机构乙用户才可以解密该数据。所属机构乙可以二次或者多次授权给所属机构丙用户或者其他用户，所属机构丙用户或者其他用户在获得授权后也可解密该数据。

目前常用的数据安全分享的做法是：

1)采用对称或非对称的算法进行数据加密，此方式使用于点对点加密传输，或者多人密钥共享的场景，难以实现二次授权和分发操作；

2)使用集中的文件管控系统进行统一的授权访问控制，一但文件或数据落地后便难以进行控制分发控制和隐私保护；

3)采用数字信封的国际通用算法进行保护，难以实现二次分发授权控制并满足国密算法的安全合规。

综合现行的安全方案均难以满足数据的细粒度授权、隐私保护及二次授权的数据共享操作。因此，亟需一种新的数据安全保护方法。

通过上述分析，现有技术存在的问题及缺陷为：

(1)采用对称或非对称的算法进行数据加密的方法，难以实现二次授权和分发操作。

(2)使用集中的文件管控系统进行统一的授权访问控制的方法，一但文件或数据落地后便难以进行控制分发控制和隐私保护。

(3)采用数字信封的国际通用算法进行保护，难以实现二次分发授权控制并满足国密算法的安全合规。

(4)综合现行的安全方案均难以满足数据的细粒度授权、隐私保护及二次授权的数据共享操作。

解决以上问题及缺陷的难度为：

(1)实现一对多的细粒度授权和访问控制；

(2)如何解决数据的共享及二次分发的问题；

(3)满足国内相关的法律法规，尤其是算法合规；

解决以上问题及缺陷的意义为：

(1)解决不同场景下数据的授权和控制；

(2)提供数据共享和二次分发的数据防护，满足业务所需；

(3)满足算法的安全合规。

发明内容

针对现有技术存在的问题，本发明提供了一种基于数据属性授权的数据安全保护方法、存储介质及终端，尤其涉及一种采用数据属性进行细粒度授权、融合国密算法对数据隐私保护和二次分发的数据保护方法。TEE为可信执行环境本发明是这样实现的，一种基于数据属性授权的数据安全保护方法，包括：