數據安全的保護方法、服務器、主機及系統(tǒng)的制作方法
【專利摘要】本發(fā)明公開了一種數據安全的保護方法、服務器、主機及系統(tǒng)，由服務器生成唯一對應于該服務器的云特征值，并對主機需要的數據加密密鑰進行綁定生成數據加密密鑰密文，然后將數據加密密鑰密文和云特征值發(fā)送至主機，主機使用該云特征值對密文進行解密，以獲取分配給用戶的數據加密密鑰，使得用戶數據都是以云特征值為基礎進行安全性防護，提高了數據安全性。
【專利說明】數據安全的保護方法、服務器、主機及系統(tǒng)
【技術領域】
[0001]本發(fā)明涉及數據處理領域，尤其涉及一種數據安全的保護方法、服務器、主機及系統(tǒng)。
【背景技術】
[0002]云計算是計算模型的一次重要革新，通過將各種互聯(lián)的計算資源進行有效整合并實現多層次的虛擬化與抽象，云計算有效地將大規(guī)模的計算資源以可靠服務的形式提供給用戶，從而將用戶從復雜的底層硬件邏輯、軟件棧以及網絡協(xié)議解放出來。
[0003]云用戶將數據托管到云環(huán)境之后，對放置在云環(huán)境中的數據并沒有實際的控制權，因此需要云加密供應商對云環(huán)境中的數據安全進行保護。有些云加密供應商使用Web代理服務器在數據傳輸的路上對數據進行加密，有些云加密供應商則對在平臺運行的應用程序進行加密，而另外有一些云加密供應商則側重于在加密云存儲中的數據或加密業(yè)務服務。
[0004]在實現數據安全保護的過程中，通常都以密鑰的形式對數據進行安全保護。一些云加密供應商將密鑰保存在數據相同的云環(huán)境中，一些云加密供應商則將密鑰外包給第三方，還有一些云加密供應商讓云用戶自己管理密鑰。
[0005]但是，現有技術中至少存在如下問題:無法保證云加密供應商為云用戶提供的密鑰的安全性，因此，依靠密鑰來加密的云環(huán)境中的數據在傳輸和使用過程中就容易被破解和泄漏。

【發(fā)明內容】

[0006]本發(fā)明的實施例提供一種數據安全的保護方法、服務器、主機及系統(tǒng)，保證云環(huán)境中的數據能夠安全地進行傳輸。
[0007]為達到上述目的，本發(fā)明實施例采用如下技術方案:
[0008]第一方面，本發(fā)明實施例提供了一種服務器，包括:
[0009]硬件密碼模塊，用于生成云特征值，所述云特征值與所述服務器唯一對應；以及用于根據所述云特征值，對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文；
[0010]云特征值管理模塊，用于控制所述硬件密碼模塊生成所述云特征值；
[0011]云特征值遷移模塊，用于將所述云特征值遷移至所述服務器管理的所有主機；
[0012]密鑰管理模塊，用于為主機各自服務的用戶分別分配數據加密密鑰；以及用于將數據加密密鑰密文分別發(fā)送至相應的主機。
[0013]結合第一方面，在第一種可能的實現方式中，所述密鑰管理模塊還用于將所述數據加密密鑰密文分別發(fā)送至相應的用戶設備；
[0014]或者，用于將所述數據加密密鑰密文分別發(fā)送至磁盤加密代理設備。
[0015]結合第一方面或第一方面的第一種可能的實現方式，在第二種可能的實現方式中，所述硬件密碼模塊為可信平臺模塊TPM或可信加密模塊TCM。[0016]第二方面，本發(fā)明實施例提供了一種主機，包括:
[0017]云特征值遷移模塊，用于獲取云特征值，所述云特征值與管理所述主機的服務器唯一對應；
[0018]硬件密碼模塊，用于獲取數據加密密鑰密文；以及用于根據云特征值對所述數據加密密鑰密文進行解綁定，得到所述數據加密密鑰，所述數據加密密鑰為所述服務器為所述主機服務的用戶分配的數據加密密鑰；
[0019]數據加解密模塊，用于根據所述數據加密密鑰對所述主機管理的用戶數據進行加密和解密處理。
[0020]結合第二方面，在第一種可能的實現方式中，所述硬件密碼模塊，還用于存儲所述云特征值和數據加密密鑰密文。
[0021]結合第二方面的第一種可能的實現方式，在第二種可能的實現方式中，所述硬件密碼模塊具體用于直接從所述管理主機的服務器獲取所述數據加密密鑰密文；
[0022]或者，用于接收用戶設備發(fā)送的所述數據加密密鑰密文；
[0023]或者，用于接收磁盤加密代理設備發(fā)送的所述數據加密密鑰密文。
[0024]結合第二方面的第二種可能的實現方式，在第三種可能的實現方式中，所述硬件密碼模塊為可信平臺模塊TPM或可信加密模塊TCM。
[0025]第三方面，本發(fā)明實施例提供了一種數據安全的保護方法，包括:
[0026]服務器生成云特征值，并將所述云特征值遷移至所述服務器管理的所有主機，所述云特征值與所述服務器唯一對應；
[0027]所述服務器為主機各自服務的用戶分別分配數據加密密鑰；
[0028]所述服務器根據所述云特征值，對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文，并將數據加密密鑰密文分別發(fā)送至相應的主機。
[0029]結合第三方面，在第一種可能的實現方式中，所述將數據加密密鑰密文分別發(fā)送至相應的主機包括:
[0030]直接將數據加密密鑰密文分別發(fā)送至相應的主機；
[0031]或者，將數據加密密鑰密文發(fā)送至相應的用戶設備，通過所述用戶設備將所述加密密鑰密文發(fā)送至為所述用戶設備服務的主機；
[0032]或者，將數據加密密鑰密文發(fā)送至磁盤加密代理設備，通過所述磁盤加密代理設備將所述加密密鑰密文發(fā)送至所述主機。
[0033]結合第三方面的第二種可能的實現方式，在第三種可能的實現方式中，所述服務器生成云特征值包括:
[0034]所述服務器根據存儲在所述服務器內部的硬件密碼模塊中的存儲根密鑰，生成所述云特征值，所述硬件密碼模塊為可信平臺模塊TPM或可信加密模塊TCM。
[0035]結合第三方面，在第四種可能的實現方式中，所述服務器根據所述云特征值對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文包括:
[0036]所述服務器將所述云特征值設置為所述服務器的平臺配置信息；
[0037]所述服務器根據所述平臺配置信息，對所述所有數據加密密鑰進行加密處理，得到數據加密密鑰密文。
[0038]結合第三方面或第三方面的前四種可能的實現方式中，所述云特征值為可遷移密鑰。
[0039]第四方面，本發(fā)明實施例提供了一種數據安全的保護方法，包括:
[0040]主機獲取云特征值和數據加密密鑰密文，所述云特征值與管理所述主機的服務器唯一對應；
[0041]所述主機根據云特征值對所述數據加密密鑰密文進行解綁定，得到數據加密密鑰，所述數據加密密鑰為所述服務器為所述主機服務的用戶分配的數據加密密鑰；
[0042]所述主機根據所述數據加密密鑰對所述主機管理的用戶數據進行加密和解密處理。
[0043]結合第四方面，在第一種可能的實現方式中，所述主機獲取云特征值包括:
[0044]所述主機接收管理所述主機的服務器遷移至所述主機的云特征值。
[0045]結合第四方面，在第二種可能的實現方式中，所述主機獲取數據加密密鑰密文包括:
[0046]直接從管理所述主機的服務器獲取所述數據加密密鑰密文；
[0047]或者，接收用戶設備發(fā)送的所述數據加密密鑰密文；
[0048]或者，接收磁盤加密代理設備發(fā)送的所述數據加密密鑰密文。
[0049]結合第四方面或第四方面的前兩種可能的實現方式，在第三種可能的實現方式中，所述主機使用云特征值對所述數據加密密鑰密文進行解綁定包括:
[0050]將所述云特征值設置為所述主機的平臺配置信息；
[0051]根據所述平臺配置信息，對所述數據加密密鑰密文進行解密處理。
[0052]結合第四方面或第四方面的前三種可能的實現方式，在第三種可能的實現方式中，在主機獲取云特征值和數據加密密鑰密文之后，包括:
[0053]將所述云特征值和數據加密密鑰存密文儲在所述主機內部的硬件密碼模塊中，所述硬件密碼模塊為可信平臺模塊TPM或可信加密模塊TCM。
[0054]第五方面，本發(fā)明實施例提供了一種數據安全的保護系統(tǒng)，包括:
[0055]服務器，用于生成云特征值，并將所述云特征值遷移至所述服務器管理的所有主機，所述云特征值與所述服務器唯一對應；為主機各自服務的用戶分別分配數據加密密鑰；根據所述云特征值，對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文，并將數據加密密鑰密文分別發(fā)送至相應的主機；
[0056]主機，用于獲取云特征值和數據加密密鑰密文；根據云特征值對所述數據加密密鑰密文進行解綁定，得到數據加密密鑰；根據所述數據加密密鑰對所述主機管理的用戶數據進行加密和解密處理。
[0057]本發(fā)明實施例提供的一種數據安全的保護方法、服務器、主機及系統(tǒng)，由服務器生成唯一對應于該服務器的云特征值，并對主機需要的數據加密密鑰進行綁定生成數據加密密鑰密文，然后將數據加密密鑰密文和云特征值發(fā)送至主機，主機使用該云特征值對密文進行解密，以獲取分配給用戶的數據加密密鑰，使得用戶數據都是以云特征值為基礎進行安全性防護，若加密后的數據發(fā)生泄漏到其它數據環(huán)境中，由于沒有相應的云特征值，也就無法解密數據加密密鑰，也就無法獲取到真實的數據，極大地提高了數據安全性。
【專利附圖】

【附圖說明】[0058]為了更清楚地說明本發(fā)明實施例或現有技術中的技術方案，下面將對實施例或現有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實施例。
[0059]圖1為本發(fā)明實施例提供的一種數據安全的保護方法流程圖；
[0060]圖2為本發(fā)明實施例提供的對數據加密密鑰進行綁定處理的方法流程圖；
[0061]圖3為本發(fā)明實施例提供的另一種數據安全的保護方法流程圖；
[0062]圖4為本發(fā)明實施例提供的另一種數據安全的保護方法流程圖；
[0063]圖5為本發(fā)明實施例提供的一種數據安全的保護系統(tǒng)的組成框圖；
[0064]圖6為本發(fā)明實施例提供的一種服務器的組成框圖；
[0065]圖7為本發(fā)明實施例提供的一種主機的組成框圖；
[0066]圖8為本發(fā)明實施例提供的另一種服務器的組成框圖；
[0067]圖9為本發(fā)明實施例提供的另一種主機的組成框圖。
【具體實施方式】
[0068]下面將結合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例。
[0069]本發(fā)明實施例提供了一種數據安全的保護方法，可應用于云服務系統(tǒng)，該云服務系統(tǒng)用于管理用戶數據的存儲和傳輸，主要包括服務器和若干個主機，每個主機上可同時運行多個虛擬機，用來為盡可能多的用戶提供服務。
[0070]參照圖1，由服務器側實現的方法包括:
[0071]101、生成云特征值，并將所述云特征值遷移至服務器管理的所有主機。
[0072]其中，所述云特征值與所述服務器唯一對應，云特征值的生成方式可根據存儲在所述服務器內部的硬件密碼模塊中的存儲根密鑰，生成所述云特征值，所述硬件密碼模塊為可信平臺模塊(Trusted Platform Module,簡稱TPM)或可信加密模塊(TrustedCryptography Module,簡稱 TCM)。
[0073]需要說明的是，該存儲根密鑰(Storage Root Key，簡稱SRK)為硬件密碼模塊內部的參數，唯一存在且無法被硬件密碼模塊外的人或設備獲取到。其作為一級密鑰(也稱主密鑰)，存儲在安全區(qū)域中，用它對二級密鑰信息加密生成二級密鑰。依次類推，形成以SRK為根節(jié)點的分層密鑰樹結構，在此樹形結構中，父節(jié)點加密保護子節(jié)點。在分層密鑰樹中，葉子節(jié)點是各種數據加密密鑰和實現數據簽名密鑰。而云特征值就是從分層密鑰樹中除SRK外的密鑰中選取的一個可遷移的密鑰，選取方法可以按照預設規(guī)則進行選取或隨機選取。
[0074]密鑰的生成在實際實現中可以通過服務器的管理人員通過規(guī)定好的機器操作指令控制TPM或TCM等硬件密碼模塊來生成密鑰，并且該流程符合可信計算組織(TrustedComputing Group,簡稱TCG)的標準化規(guī)定。
[0075]在本實施例中，基于TCG的標準化規(guī)定并以硬件密碼模塊為TPM為例描述所述云特征值生成的具體步驟，包括:
[0076]通過TPM驅動向TPM發(fā)送TPM_0SAP命令，該命令帶有存儲根密鑰的授權信息，用于請求TPM認證對存儲根密鑰的使用授權；TPM授權認證通過后，再向TPM發(fā)送TPM_CreateffrapKey命令請求創(chuàng)建待遷移的新密鑰，并且需要從分層密鑰樹指定一個父密鑰，該父密鑰用于封裝待遷移的新密鑰；此時，TPM的RSA引擎會創(chuàng)建一個新的RSA密鑰，并為新密鑰設置授權信息，再用父密鑰對其加密。此時，新創(chuàng)建的RSA密鑰即為云特征值。
[0077]在本實施例中，基于TCG的標準化規(guī)定并以硬件密碼模塊為TPM為例描述所述云特征值遷移的具體步驟，包括:
[0078]服務器的TPM所有者對主機的TPM的遷移保護密鑰公鑰授權生成授權塊，該授權塊表示允許服務器的TPM將云特征值遷移至主機的TPM，并以該遷移保護密鑰公鑰為父密鑰；服務器的TPM用戶使用授權塊創(chuàng)建遷移塊，該遷移塊包含用遷移保護密鑰公鑰加密的待遷移密鑰數據塊；主機的TPM收到遷移塊，將遷移塊轉換為受主機TPM保護的加密塊，然后可以用密鑰加載命令TPM_Load_Key加載被遷移的云特征值。
[0079]102、為主機各自服務的用戶分別分配數據加密密鑰。
[0080]其中，數據加密密鑰的分配方法可根據用戶的歸屬信息進行具體設置，例如，屬于同一個企業(yè)的用戶可以僅分配一個數據加密密鑰，也就是說，在同一個企業(yè)的用戶都可以使用同樣的數據加密密鑰訪問和傳輸數據，這樣可以加強數據共享的效果。而對于不同企業(yè)的用戶則為了實現信息的隔離，則需要設置不同的數據加密密鑰。
[0081]103、根據所述云特征值，對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文，并將數據加密密鑰密文分別發(fā)送至相應的主機。
[0082]其中，綁定處理的方法可參照如圖2所示的方法流程，包括:
[0083]1031、將所述云特征值設置為所述服務器的平臺配置信息。
[0084]值得說明的是，由于本發(fā)明旨在將云特征值作為由同一服務器管理的云環(huán)境以與其它數據環(huán)境相隔離，鑒于TPM或TCM的綁定方式需要平臺配置信息，故將云特征值作為平臺配置信息，用于標識云環(huán)境的身份與其它數據環(huán)境不同。
[0085]1032、根據所述平臺配置信息，對所述所有數據加密密鑰進行加密處理，得到數據加密密鑰密文。
[0086]值得說明的是，該方法流程需要在服務器的硬件密碼模塊中實現，根據硬件密碼模塊的實現方式不同，例如使用TPM實現或TCM實現，其具體的加密算法也不同，但整體流程均可參照TCG規(guī)定的標準流程實現，而平臺配置信息就是該流程中的一個必要參數。
[0087]其中，所述將數據加密密鑰密文分別發(fā)送至相應的主機的實現方法根據實際需要的不同可以通過以下三種方式實現，包括:
[0088]第一種實現方式:直接將數據加密密鑰密文分別發(fā)送至相應的主機。
[0089]此時，要求主機可直接存儲數據加密密鑰密文。
[0090]第二種實現方式:將數據加密密鑰密文發(fā)送至相應的用戶設備，通過所述用戶設備將所述加密密鑰密文發(fā)送至為所述用戶設備服務的主機。
[0091]其中，用戶設備可以為USB Key等用于加密、鑒權的設備。
[0092]第三種實現方式:將數據加密密鑰密文發(fā)送至磁盤加密代理設備，通過所述磁盤加密代理設備將所述加密密鑰密文發(fā)送至所述主機。
[0093]其中，所述磁盤加密代理設備一般為除服務器、主機和用戶設備外的第三方加密設備，專門用于對特定設備的數據進行加密。
[0094]在本實施例中，在服務器中生成唯一對應于該服務器的云特征值，并用云特征值對分配給用戶的數據加密密鑰進行加密，使得用戶數據都是以云特征值為基礎進行安全性防護，若加密后的數據發(fā)生泄漏到其它數據環(huán)境中，由于沒有相應的云特征值，也就無法解密數據加密密鑰，也就無法獲取到真實的數據，極大地提高了數據安全性。
[0095]參照圖3，由主機側實現的方法包括:
[0096]201、獲取云特征值和數據加密密鑰密文。
[0097]其中，所述云特征值與管理所述主機的服務器唯一對應，其具體描述可參見步驟101中的相關描述。
[0098]在本實施例中，所述數據加密密鑰密文一般由服務器在其內部的硬件密碼模塊中根據云特征值對為各個用戶分配的數據加密密鑰進行加密(即綁定處理)后得到的加密結果。
[0099]值得說明的是，為保證云特征值在主機側的安全性，獲取到的云特征值一般都需要存儲在主機中的硬件密碼模塊中，包括TPM或TCM等硬件設備。而數據加密密鑰密文可以存儲在主機中的硬件密碼模塊或者是硬盤中。
[0100]另外，值得說明的是，根據實際需要的不同，所述主機獲取數據加密密鑰密文的方法也不盡相同，本發(fā)明實施例提供了以下三種方式，包括；
[0101]第一種方式:直接從管理主機的服務器獲取所述數據加密密鑰密文。
[0102]此時，要求主機可直接存儲數據加密密鑰密文。
[0103]第二種方式:接收用戶設備發(fā)送的所述數據加密密鑰密文。
[0104]其中，所述用戶設備可以為USB Key等用于加密、鑒權的設備。
[0105]第三種方式:接收磁盤加密代理設備發(fā)送的所述數據加密密鑰密文。
[0106]其中，所述磁盤加密代理設備一般為除服務器、主機和用戶設備外的第三方加密設備，專門用于對特定設備的數據進行加密。
[0107]202、根據云特征值對所述數據加密密鑰密文進行解綁定，得到數據加密密鑰。
[0108]其中，在步驟202的解綁定流程與步驟103中的綁定流程相對應，其具體實現方式可參照步驟103描述的步驟進行逆向操作實現。具體包括:將所述云特征值設置為所述主機的平臺配置信息；根據所述平臺配置信息，對所述數據加密密鑰密文進行解密處理。
[0109]203、根據所述數據加密密鑰對所述主機管理的用戶數據進行加密和解密處理。
[0110]值得說明的是，在本發(fā)明實施例中需要進行加密的用戶數據包括存儲在物理硬盤中的用戶數據、主機內部中虛擬機和虛擬機之間的互相傳輸的用戶數據以及不同主機之間虛擬機和虛擬機之間的互相傳輸的用戶數據；需要進行解密的數據包括在主機內部需要提交給用戶進行使用的數據。
[0111]在本實施例中，獲取由服務器生成的唯一對應于該服務器的云特征值以及用于數據加解密的密鑰密文，并用云特征值對密文進行解密，以獲取分配給用戶的數據加密密鑰，使得用戶數據都是以云特征值為基礎進行安全性防護，若加密后的數據發(fā)生泄漏到其它數據環(huán)境中，由于沒有相應的云特征值，也就無法解密數據加密密鑰，也就無法獲取到真實的數據，極大地提高了數據安全性。
[0112]在具體實現本發(fā)明提供的技術方案的過程中，可將本實施例應用于云環(huán)境中，此時服務器可以設置云服務器，則在云環(huán)境中上述流程的具體實現方法可參照圖4所示，包括:[0113]301、云管理員執(zhí)行操作控制云服務器中的硬件密碼模塊對云特征值進行初始化，產生的云特征值保存在云管理服務器中。
[0114]為增強數據安全性，云管理員可周期性刷新云特征值。
[0115]302、云管理員執(zhí)行操作控制云服務器中的密鑰管理模塊生成數據加密密鑰。
[0116]303、云服務器利用硬件密碼模塊和云特征值對所述數據加密密鑰進行綁定，生成數據加密密鑰密文。
[0117]此時，無論何種設備，都必須在擁有硬件密碼模塊并獲得云特征值的條件下，才能解綁定所述數據加密密鑰密文得到數據加密密鑰進行使用。在云計算基礎架構的安裝部署階段，云管理員執(zhí)行操作生成數據加密密鑰，并使用云特征值對該密鑰進行加密保護，產生的密鑰保存在云管理服務器中?？芍芷谛运⑿聰祿用苊荑€，以增強數據安全性。
[0118]當新的主機加入到云基礎架構中時，云管理服務器自動將保存的云特征值遷移到該主機中，遷移過程可利用TCG標準中規(guī)定的協(xié)商機制，以保證遷移過程的安全性。
[0119]304、云服務器按照普通的密鑰管理流程發(fā)放數據加密密鑰密文。
[0120]例如，服務器將數據加密密鑰密文發(fā)放到用戶持有的USB Key中，或者，發(fā)放到主機內設的虛擬機的磁盤加密代理中。
[0121]305、主機接收到云特征值和數據加密密鑰密文，使用云特征值解除對密鑰的綁定，然后使用該密鑰對虛擬機內的數據進行加解密。
[0122]其中，數據加密功能可以由虛擬機內的磁盤加密或文件加密代理提供，也可以由位于虛擬機管理器的透明加解密功能提供。如果在虛擬機管理器提供透明加解密功能，則可實現保存到存儲和發(fā)送到網絡上的數據都是密文，虛擬機用戶使用時內存中的數據都是明文。
[0123]在本實施例中，由服務器生成唯一對應于該服務器的云特征值，并使用該云特征值對主機需要的數據加密密鑰進行綁定生成數據加密密鑰密文,然后將該數據加密密鑰密文和云特征值發(fā)送至主機，主機使用該云特征值對密文進行解密，以獲取分配給用戶的數據加密密鑰，使得用戶數據都是以云特征值為基礎進行安全性防護，若加密后的數據發(fā)生泄漏到其它數據環(huán)境中，由于沒有相應的云特征值，也就無法解密數據加密密鑰，也就無法獲取到真實的數據，極大地提高了數據安全性。
[0124]本發(fā)明另一實施例提供了一種數據安全的保護系統(tǒng)，如圖5所示，包括一服務器41和至少一個主機42，可以用于實現上述如圖1至圖4所示的服務器側和主機側的所有方法流程。
[0125]參照圖6，本實施例提供的服務器包括:硬件密碼模塊411、云特征值管理模塊412、云特征值遷移模塊413、密鑰管理模塊414。
[0126]其中，所述硬件密碼模塊411用于生成云特征值，所述云特征值與所述服務器唯一對應；以及用于根據所述云特征值，對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文。
[0127]所述云特征值管理模塊412，用于控制硬件密碼模塊411生成所述云特征值。
[0128]所述云特征值遷移模塊413，用于將所述云特征值遷移至所述服務器管理的所有主機。
[0129]所述密鑰管理模塊414用于為主機各自服務的用戶分別分配數據加密密鑰；以及用于將數據加密密鑰密文分別發(fā)送至相應的主機。
[0130]其中，所述密鑰管理模塊414還用于將所述數據加密密鑰密文分別發(fā)送至相應的用戶設備；或者，用于將所述數據加密密鑰密文分別發(fā)送至磁盤加密代理設備。
[0131]其中，所述硬件密碼模塊411的功能可由可信平臺模塊TPM或可信加密模塊TCM來實現。
[0132]參照圖7，本實施例提供的主機包括:包括云特征值遷移模塊421、硬件密碼模塊422、數據加解密模塊423。
[0133]其中，所述云特征值遷移模塊421，用于獲取云特征值，所述云特征值與管理所述主機的服務器唯一對應。
[0134]所述硬件密碼模塊422，用于獲取數據加密密鑰密文；以及用于根據云特征值對所述數據加密密鑰密文進行解綁定，得到數據加密密鑰，所述數據加密密鑰為所述服務器為所述主機服務的用戶分配的數據加密密鑰。
[0135]所述數據加解密模塊423，用于根據所述數據加密密鑰對所述主機管理的用戶數據進行加密和解密處理。
[0136]其中，所述硬件密碼模塊422還用于存儲所述云特征值和數據加密密鑰密文。
[0137]所述硬件密碼模塊422具體用于直接從所述管理主機的服務器獲取所述數據加密密鑰密文；或者，用于接收用戶設備發(fā)送的所述數據加密密鑰密文；或者，用于接收磁盤加密代理設備發(fā)送的所述數據加密密鑰密文。
[0138]其中，所述硬件密碼模塊422為可信平臺模塊TPM或可信加密模塊TCM。
[0139]在本實施例中，由服務器生成唯一對應于該服務器的云特征值，并使用該云特征值對主機需要的數據加密密鑰進行綁定生成數據加密密鑰密文,然后將該數據加密密鑰密文和云特征值發(fā)送至主機，主機使用該云特征值對密文進行解密，以獲取分配給用戶的數據加密密鑰，使得用戶數據都是以云特征值為基礎進行安全性防護，若加密后的數據發(fā)生泄漏到其它數據環(huán)境中，由于沒有相應的云特征值，也就無法解密數據加密密鑰，也就無法獲取到真實的數據，極大地提高了數據安全性。
[0140]本發(fā)明又一實施例提供了一種服務器，如圖8所示，包括至少一個中央處理器51，存儲器52和硬件密碼模塊53，該存儲器52被配置有代碼，所述中央處理器51可以調用存儲器52中的代碼，并通過與硬件密碼模塊53之間的通信來實現如圖1至圖5所示的服務器側方法流程，服務器內的所有單元可通過總線進行通信。
[0141]其中，所述硬件密碼模塊53用于生成云特征值，所述云特征值與所述服務器唯一對應；以及用于根據所述云特征值，對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文。
[0142]所述中央處理器51，用于控制硬件密碼模塊53生成所述云特征值；將所述云特征值遷移至所述服務器管理的所有主機；為主機各自服務的用戶分別分配數據加密密鑰；以及用于將數據加密密鑰密文分別發(fā)送至相應的主機。
[0143]其中，所述存儲器52還用于存儲數據加密密鑰密文。
[0144]所述中央處理器51，還用于將所述數據加密密鑰密文分別發(fā)送至相應的用戶設備；或者，用于將所述數據加密密鑰密文分別發(fā)送至磁盤加密代理設備。
[0145]其中，所述硬件密碼模塊53的功能可由可信平臺模塊TPM或可信加密模塊TCM來實現。
[0146]本發(fā)明實施例還提供了一種主機，如圖9所示，包括至少一個中央處理器61，存儲器62和硬件密碼模塊63，該存儲器62被配置有代碼，所述中央處理器61可以調用存儲器62中的代碼，并通過與硬件密碼模塊63之間的通信來實現如圖1至圖5所示的主機側方法流程，主機內的所有單元可通過總線進行通信。
[0147]其中，所述中央處理器61，用于獲取云特征值，所述云特征值與管理所述主機的服務器唯一對應；根據數據加密密鑰對所述主機管理的用戶數據進行加密和解密處理。
[0148]所述硬件密碼模塊63，用于獲取數據加密密鑰密文；以及用于根據云特征值對所述數據加密密鑰密文進行解綁定，得到所述數據加密密鑰，所述數據加密密鑰為所述服務器為所述主機服務的用戶分配的數據加密密鑰。
[0149]其中，所述硬件密碼模塊63還用于存儲所述云特征值和數據加密密鑰密文。
[0150]其中，所述硬件密碼模塊63具體用于直接從所述管理主機的服務器獲取所述數據加密密鑰密文；或者，用于接收用戶設備發(fā)送的所述數據加密密鑰密文；或者，用于接收磁盤加密代理設備發(fā)送的所述數據加密密鑰密文。
[0151]在本實施例中，由服務器生成唯一對應于該服務器的云特征值，并使用該云特征值對主機需要的數據加密密鑰進行綁定生成數據加密密鑰密文,然后將該數據加密密鑰密文和云特征值發(fā)送至主機，主機使用該云特征值對密文進行解密，以獲取分配給用戶的數據加密密鑰，使得用戶數據都是以云特征值為基礎進行安全性防護，若加密后的數據發(fā)生泄漏到其它數據環(huán)境中，由于沒有相應的云特征值，也就無法解密數據加密密鑰，也就無法獲取到真實的數據，極大地提高了數據安全性。
[0152]通過以上的實施方式的描述，所屬領域的技術人員可以清楚地了解到本發(fā)明可借助軟件加必需的通用硬件的方式來實現，當然也可以通過硬件，但很多情況下前者是更佳的實施方式。基于這樣的理解，本發(fā)明的技術方案本質上或者說對現有技術做出貢獻的部分可以以軟件產品的形式體現出來，該計算機軟件產品存儲在可讀取的存儲介質中，如計算機的軟盤，硬盤或光盤等，包括若干指令用以使得一臺計算機設備(可以是個人計算機，服務器，或者網絡設備等)執(zhí)行本發(fā)明各個實施例所述的方法。
[0153]以上所述，僅為本發(fā)明的【具體實施方式】，但本發(fā)明的保護范圍并不局限于此，任何熟悉本【技術領域】的技術人員在本發(fā)明揭露的技術范圍內，可輕易想到變化或替換，都應涵蓋在本發(fā)明的保護范圍之內。因此，本發(fā)明的保護范圍應以所述權利要求的保護范圍為準。
【權利要求】
1.一種服務器，其特征在于，包括: 硬件密碼模塊，用于生成云特征值，所述云特征值與所述服務器唯一對應；以及用于根據所述云特征值，對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文； 云特征值管理模塊，用于控制所述硬件密碼模塊生成所述云特征值； 云特征值遷移模塊，用于將所述云特征值遷移至所述服務器管理的所有主機； 密鑰管理模塊，用于為主機各自服務的用戶分別分配數據加密密鑰以及用于將數據加密密鑰密文分別發(fā)送至相應的主機。
2.根據權利要求1所述的服務器，其特征在于，所述密鑰管理模塊還用于將所述數據加密密鑰密文分別發(fā)送至相應的用戶設備； 或者，用于將所述數據加密密鑰密文分別發(fā)送至磁盤加密代理設備。
3.根據權利要求1或2所述的服務器，其特征在于，所述硬件密碼模塊為可信平臺模塊TPM或可信加密模塊TCM。
4.一種主機，其特征在于，包括: 云特征值遷移模塊，用于獲取云特征值，所述云特征值與管理所述主機的服務器唯一對應； 硬件密碼模塊，用于獲取數據加密密鑰密文；以及用于根據所述云特征值對所述數據加密密鑰密文進行解綁定，得到數據加密密鑰，所述數據加密密鑰為所述服務器為所述主機服務的用戶分配的數據加密密鑰； 數據加解密模塊，用于根據所述數據加密密鑰對所述主機管理的用戶數據進行加密和解密處理。
5.根據權利要求4所述的主機，其特征在于，所述硬件密碼模塊，還用于存儲所述云特征值和數據加密密鑰密文。
6.根據權利要求4所述的主機，其特征在于，所述硬件密碼模塊具體用于直接從所述管理主機的服務器獲取所述數據加密密鑰密文； 或者，用于接收用戶設備發(fā)送的所述數據加密密鑰密文； 或者，用于接收磁盤加密代理設備發(fā)送的所述數據加密密鑰密文。
7.根據權利要求4-6任一項所述的主機，其特征在于，所述硬件密碼模塊為可信平臺模塊TPM或可信加密模塊TCM。
8.一種數據安全的保護方法，其特征在于，包括: 服務器生成云特征值，并將所述云特征值遷移至所述服務器管理的所有主機，所述云特征值與所述服務器唯一對應； 所述服務器為主機各自服務的用戶分別分配數據加密密鑰； 所述服務器根據所述云特征值，對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文，并將所述數據加密密鑰密文分別發(fā)送至相應的主機。
9.根據權利要求8所述的方法，其特征在于，所述將所述數據加密密鑰密文分別發(fā)送至相應的主機包括: 直接將所述數據加密密鑰密文分別發(fā)送至相應的主機； 或者，將所述數據加密密鑰密文發(fā)送至相應的用戶設備，通過所述用戶設備將所述加密密鑰密文發(fā)送至為所述用戶設備服務的主機；或者，將所述數據加密密鑰密文發(fā)送至磁盤加密代理設備，通過所述磁盤加密代理設備將所述加密密鑰密文發(fā)送至所述主機。
10.根據權利要求8所述的方法，其特征在于，所述服務器生成云特征值包括: 所述服務器根據存儲在所述服務器內部的硬件密碼模塊中的存儲根密鑰，生成所述云特征值，所述硬件密碼模塊為可信平臺模塊TPM或可信加密模塊TCM。
11.根據權利要求8所述的方法，其特征在于，所述服務器根據所述云特征值對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文包括: 所述服務器將所述云特征值設置為所述服務器的平臺配置信息； 所述服務器根據所述平臺配置信息，對所述所有數據加密密鑰進行加密處理，得到數據加密密鑰密文。
12.根據權利要求8-11任意一項所述的方法，其特征在于，所述云特征值為可遷移密鑰。
13.一種數據安全的保護方法，其特征在于，包括: 主機獲取云特征值和數據加密密鑰密文，所述云特征值與管理所述主機的服務器唯一對應； 所述主機根據云特征值對所述數據加密密鑰密文進行解綁定，得到數據加密密鑰，所述數據加密密鑰為所述服務器為所述主機服務的用戶分配的數據加密密鑰； 所述主機根據所述數據加密密鑰對所述主機管理的用戶數據進行加密和解密處理。
14.根據權利要求13所述的方法，其特征在于，所述主機獲取云特征值包括: 所述主機接收管理所述主機的服務器遷移至所述主機的云特征值。
15.根據權利要求13所述的方法，其特征在于，所述主機獲取數據加密密鑰密文包括: 直接從管理所述主機的服務器獲取所述數據加密密鑰密文； 或者，接收用戶設備發(fā)送的所述數據加密密鑰密文； 或者，接收磁盤加密代理設備發(fā)送的所述數據加密密鑰密文。
16.根據權利要求13-15任意一項所述的方法，其特征在于，所述主機使用云特征值對所述數據加密密鑰密文進行解綁定包括: 將所述云特征值設置為所述主機的平臺配置信息； 根據所述平臺配置信息，對所述數據加密密鑰密文進行解密處理。
17.根據權利要求16所述的方法，其特征在于，在主機獲取云特征值之后，包括: 將所述云特征值存儲在所述主機內部的硬件密碼模塊中，所述硬件密碼模塊為可信平臺模塊TPM或可信加密模塊TCM。
18.一種數據安全的保護系統(tǒng)，其特征在于，包括: 服務器，用于生成云特征值，并將所述云特征值遷移至所述服務器管理的所有主機，所述云特征值與所述服務器唯一對應；為主機各自服務的用戶分別分配數據加密密鑰；根據所述云特征值，對所有數據加密密鑰進行綁定處理，得到數據加密密鑰密文，并將所述數據加密密鑰密文分別發(fā)送至相應的主機； 主機，用于獲取所述云特征值和數據加密密鑰密文；根據所述云特征值對所述數據加密密鑰密文進行解綁定，得到數據加密密鑰；根據所述數據加密密鑰對所述主機管理的用戶數據進行加密和解密處理。
【文檔編號】H04L9/08GK103534976SQ201380000798
【公開日】2014年1月22日 申請日期:2013年6月5日 優(yōu)先權日:2013年6月5日
【發(fā)明者】施迅, 葉思海 申請人:華為技術有限公司