CN1525684B - 由不同用户对数据进行加密和解密的方法 - Google Patents

Abstract

本发明涉及一种由不同用户对数据进行加密和解密的方法，其中，为用户分配一个用于对数据进行加密和解密的数据钥匙。此外，本发明还涉及一种实施该方法的数据处理装置(31)以及一种存储介质，在该介质中存储有用于在该数据处理装置中执行所述方法的信息。按照本发明，在第一步骤(3)中进行一个用于确定用户身份的安全询问。在第二步骤(19)中根据该安全询问的结果分配一个该用户不能看到的数据钥匙。其中，可以将同一数据钥匙分配给不同的用户，例如可以分配为一个共同用户组(13)的用户。

Description

由不同用户对数据进行加密和解密的方法

技术领域

本发明涉及一种由不同用户对数据进行加密和解密的方法。此外，本发明还涉及一种实施该方法的数据处理装置以及一种存储介质，在这种介质中存储有用于执行该方法的信息，如计算机程序。

背景技术

电子数据和通信路径对保护数据免受不希望的数据访问提出了越来越多的要求。但是，同时又要保证对数据进行尽可能简单、方便和低廉的访问的可能性。特别是，由于越来越多的相互联网和经常是很多不同用户可以得到对特定数据的物理入口，使得基于电子或软件的、有效的控制和保护机制变得不再可靠。

为使可以由多方访问的数据免受未授权的数据访问而进行的有效保护起到了重要的角色。公知的有许多在使用对称或非对称数据钥匙条件下的加密机制，其中，在非对称钥匙系统基础上工作的如PGP的加密程序应该属于最可靠和最容易使用的，并因此传播最为广泛。对称和非对称钥匙系统都是基于使用至少一个单独的数据钥匙，该数据钥匙仅仅允许授权的用户使用来为其数据进行加密和解密。应该尽可能有效地防止未授权的用户得到该单独的数据钥匙。

保护电子数据免受未授权的访问在关于个人数据(例如地址或者客户数据)、在财政领域中的数据、特别是在健康事业中的数据中起到特别重要的作用。在最严格地要求数据安全的健康事业中数据保护规定要求，对数据的每个使用者明确地进行识别和验证。在此，验证意味着，根据对用户的识别而承认对该用户的验证，且只有被验证的用户才可以得到对所调用数据的访问。该验证功能在健康事业中也被称为“访问控制(accesscontrol)”。

在安全性重要的数据应用中，例如在远程医疗或者在家庭护理系统中除了验证外，还要求在通过基本上不安全的通信通道的每次通信中和在每次存储安全性重要的数据时进行一种加密。在使用加密的数据时可能出现，多个不同的用户应该可以访问数据。这种情况可以是：由银行职员对客户数据进行管理，在人事部门的人员数据，在开发队伍中对数据的共同使用，或者在健康事业中的、可供主治医生小组或者特定范围医疗专业人员访问的数据。这里存在这样的问题，即由一个特定用户利用其单独的数据钥匙加密的数据，可能无法由另外一个用户利用另外一个单独的数据钥匙进行解密。

为了使得特定用户圈可以访问所有待使用的加密数据，通常的做法是告知所有用户为此所需要的数据钥匙。这种将钥匙告知所有用户圈导致了对于数据安全性非常严重的问题，因为必须同时告知多个有关人员的钥匙，并且因为，由于对安全技术上起作用的数据钥匙的记忆很差，将这些数据钥匙以不适当的方式保存并非是不常见的，例如将其记在办公桌抽屉中的笔记本上。此外，对于钥匙的中心管理需要采用钥匙本，既所谓的密码本，该密码本的被窃取的可能性产生了另外一个不安全的因素。

发明内容

本发明要解决的技术问题是，对用于多个不同用户使用共同加密数据的数据钥匙的管理进行简化。

按照本发明，上述技术问题是解决通过一种由不同用户对数据进行加密和解密的方法、一种实施该方法的数据处理装置以及一种存储介质实现的。

本发明的一方面提供了一种由不同用户对数据进行加密和解密的方法，其中为用户分配一个用于对数据进行加密和解密的数据钥匙，其中，在第一步骤中进行一个用于确定用户身份的安全询问，在第二步骤中根据该安全询问的结果分配一个该用户不能看到的数据钥匙，并且可以将同一数据钥匙分配给不同的用户。

本发明的另一方面提供一种对数据进行加密和解密的数据处理装置，通过该装置可以为用户分配一个用于对数据进行加密和解密的数据钥匙，其中，所述数据处理装置具有一个安全询问装置，通过该安全询问装置可以进行一个用于确定用户身份的安全询问，通过所述数据处理装置可以根据该安全询问的结果为用户分配一个该用户不能看到的数据钥匙，并且通过所述数据处理装置可以将同一数据钥匙分配给不同的用户。

本发明基于这样的认知，即，对公用数据加密和解密的能力不是针对个人的，而是针对分组的。因此，共同使用加密数据的每个用户不再是别为个人，而是其所属的组。

本发明的一个基本思路是，不为共同使用加密数据的人员分配一个用于访问数据的单独的数据钥匙。而是，根据这些人员与一个用户组的属性而为其分配一个共同的用户组数据钥匙。该用户组的所有成员可以在使用该用户组数据钥匙的条件下共同对待使用数据进行加密以及解密。该数据钥匙是自动分配的而不通知用户，即，用户得不到关于实际产生该数据钥匙的知识。因此，用户不需要记忆该数据钥匙就可以进行通信。由此排除了常规钥匙系统中的重要不安全因素。

此外，由此带来了另一个的优点，即，在一个用户组的人员组成改变时不需要改变数据钥匙。特别是如果一个人离开了该用户组，则不需要引入一个新的数据钥匙，因为该人没有关于建立该数据钥匙的知识，这种知识在退出组后可能以某种方式被滥用。取而代之的是，当其试图访问数据时简单地不再被分配给一个有效的数据钥匙。

另外，用户组数据钥匙的自动分配使得可以任意复杂地设置和任意经常地更换该数据钥匙。加密系统负责自动地对加密的数据存量进行重新加密，即，利用旧数据钥匙进行解密、利用新数据钥匙重新进行加密，并在时间上将按重新加密确定的新用户组数据钥匙分配给用户。由此，省略了在新数据钥匙通信中和在确定其引入时刻时的各种开销，由此排除了对于加密系统的安全的其它危险。

在本发明的一个优选的结构中，在所述安全询问中询问用户的生物数据。

在本发明的另外一个优选的结构中，在所述安全询问中询问一个对于用户各不相同的电子和/或机械钥匙。

在本发明的另外一个优选的结构中，可以通过将在所述安全询问中获得的数据与一个数据钥匙存储器中的内容进行比较确定待分配的数据钥匙。

在本发明的另外一个优选的结构中，可以通过一个数据远程连接装置实现在所述安全询问中获得的数据与所述数据钥匙存储器中内容的比较。

在本发明的另外一个优选的结构中，可以同时为一个用户分配多个数据钥匙。

在本发明的另外一个优选的结构中，所述数据是医疗上重要的数据，所述用户是一个医疗机构中的医疗专业人士，而所述用户组是对应于医疗专业人士内部的工作分组和/或对应于专业责任而构成的。

在本发明的另外一个优选的结构中，由所述安全询问装置可以询问用户的生物数据或者询问一个对于用户各不相同的电子和/或机械钥匙。

在本发明的另外一个优选的结构中，所述数据处理装置可以访问一个数据钥匙存储器，以便通过将在所述安全询问中获得的数据与所述数据钥匙存储器中的内容进行比较确定待分配的数据钥匙。

在本发明的另外一个优选的结构中，所述数据钥匙存储器与所述数据处理装置远离地设置，而所述数据处理装置通过一个数据远程连接装置访问该数据钥匙存储器。

在本发明的另外一个优选的结构中，所述数据处理装置是一个用来处理医疗上重要数据的医疗工作站。

附图说明

下面结合附图对本发明的实施方式作进一步说明，图中，

图1是具有实施本发明所需要的方法步骤的流程图，

图2表示适合于实施本发明的系统结构。

具体实施方式

图1示出了实施本发明所需要的方法步骤。在步骤1开始该方法时应该进行一个需要使用加密程序对数据进行加密和解密的数据访问。在步骤3启动该加密程序。根据应用的不同该加密程序的启动可以由用户本身或者由应用程序自动开始。

在步骤5进行一个安全询问，借助于该安全询问应该将用户识别为真实存在的个人。为此，询问用户的个人独有的、必须满足所有对数据安全要求的数据。优选地通过采集诸如指纹或者眼球虹膜的结构的、特有的和尽可能可靠防止欺骗的生物学数据进行该安全询问。此外，存在这样的可能性，即，可以通过电子芯片卡或者电子或机械钥匙指明用户。

在步骤7中加密程序调用一个用户数据库。在该用户数据库中存放这样的信息，借助于这些信息可以根据在步骤5的安全询问中确定的数据识别该用户。

在步骤9中，加密程序根据来自安全询问的数据和对用户数据库调用的数据确定该用户身份。在确定该用户身份中，防止欺骗的可靠性程度基本上取决于在步骤5中安全询问的防止欺骗的可靠性以及用户数据库的数据安全。

在步骤11中，加密程序调用一个用户组数据库。该用户组数据库包含允许根据前面获得的用户身份为该用户配置一个用户组的数据。即，该用户组数据库包含关于权限相同组的信息。这种组例如可以是：医疗专业人员组成的门诊团队、财政机构中的成员、人事部门或者研究团队的同事。所有这些组意味着，它们使用同一针对人员或对象的、安全性重要的数据工作，这种数据尽管必须为所有团队成员所获得，但是不允许被其它范围所调用。

组的属性要么是针对对象给出的，即出于特定用户的需要、可以利用特定数据存量进行处理，要么是针对主题给出的，即根据每个用户的分层权限以及保密分级，按照运行中的设定基本允许访问特定安全水平上的数据。此外，一个用户可以属于多个用户组，这些用户组例如表示该用户同时参与工作的不同的门诊团队。在这种情况下，该用户可以自动地访问许多不同的数据存量。

在步骤15中，加密程序调用一个数据钥匙数据库。该数据钥匙数据库包含了这样的信息，即，这些信息使得可以为特定的用户或者用户组分配一定的数据钥匙。

在步骤17中，加密程序从上面确定的用户组和数据钥匙数据库的数据中获得待分配的数据钥匙。

在步骤19中，加密程序为每个用户分配一个或多个数据钥匙。这种过程的进行对于用户是不可见的，因为加密程序可以直接将所确定的一个或多个数据钥匙用于对应用数据进行加密和解密。尤其是，用户得不到关于建立所分配的数据钥匙的信息。即，一个或多个数据钥匙的分配是在安全询问的结果中自动进行的，且对于用户是察觉不到的。

在步骤21中加密程序执行所要求的加密操作，即，其对数据进行加密或者解密以便供该用户或者供一个由该用户启动的应用程序使用。在步骤23中结束整个加密过程，而用户再次从该加密系统中注销。

用于实施本发明的方法是在使用三个不同数据库的基础上描述的：一个用户数据库、一个用户组数据库和一个数据钥匙数据库。这三个数据库代表了必须在加密方法进行中参与的信息的逻辑分配。首先必须在安全询问的结果中识别用户，其次必须为识别出的用户分配一个用户组，以及第三必须获得该用户组所属的数据钥匙。

三个数据库的使用赋予了该加密系统一种具有最大可能灵活性的、模块化的结构。在这三个数据库中的每个中可以随时独立于其它两个数据库进行变动。在用户数据库中可以定期地改变用于识别用户的、安全性重要的数据。在用户组数据库中可以进行组的变动，即改变共同使用数据存量的人员，这种改变反映单个人对于用户组的属性的实际改变。在数据钥匙数据库中可以经常改变数据钥匙，以便提高系统的安全。与此相关的是要求对数据存量进行重新加密，即，利用旧钥匙进行解密和利用新引进的数据钥匙重新进行加密。

尽管具有三个数据库的模块化结构正确地代表了实际的逻辑设置，自然也可以代之以使用两个或者仅仅一个数据库系统。

在图2中示出了一个可以用于执行本发明方法的电子数据处理装置31。该数据处理装置31包括一个键盘33或一个其它输入设备以及一个显示器35。根据不同的应用也可以处理声学的输入和输出信号。输入和输出设备的类型和规模对于本发明的实施并不重要。数据处理装置31可以访问一个优选地用于存储加密的应用数据的应用数据存储器37。该电子数据处理装置既可以是医疗工作站，例如一个所谓的形态(Modalitaet)，又可以是任何其它的显示器工作站，例如银行的终端。

数据处理装置31与一个用于确定识别每个用户的数据的安全询问装置39连接。该安全询问装置39可以是一个读出用户专有芯片卡的芯片卡阅读器。它也可以是一个需要用户专有钥匙的机械或者电子锁。它特别可以是一个用于确定用户生物数据的传感器，它例如采集用户眼球虹膜的结构、用户指纹或者其语言的频谱。在安全询问时应用生物数据具有这样的优点，即，不必使用用户可能丢失或者被盗走的钥匙或卡。此外，生物数据的防欺骗的可靠性要比其它钥匙系统高。

数据处理装置31另外可以访问用户数据存储器41，该存储器含有用于根据安全询问装置39确定的数据识别用户的信息。这些数据使得该系统可以将各用户识别为真实存在的人。

此外，数据处理装置31可以访问一个用户组数据库43，该存储器含有可以据以确定用户和用户组之间配置的数据。通过调用这些数据，系统可以确定，前面识别出的用户属于哪个或哪些用户组。

此外，数据处理装置31可以访问一个数据钥匙数据库45，该存储器含有可以据以找出为用户和用户组分配数据钥匙的数据。显然，数据钥匙数据存储器包含迄今系统的安全性重要的数据，因为其包含了所有可以对在应用数据存储器37中的数据进行解码的数据钥匙。

对于数据钥匙数据库45适用特别的安全要求，这些要求使得该数据存储器的远距离设置、中心地构成有意义。为此目的数据处理装置31通过一个数据远程连接装置47访问该数据钥匙数据库45。数据钥匙数据库45的远程提供使得一方面可以将其与数据处理装置31分开，并由此与可能的其它可以与数据处理装置31联网的数据处理装置分开。另一方面这使得可以专门为数据钥匙数据库45设置更为严格的安全防护，例如采用特别限制的防火墙。

根据不同的安全防护，数据远程连接装置47可以使用一个保护的或者未保护的通信通道。此外，数据远程连接装置47的通信通道可以是完全禁用的，并且仅仅根据由安全询问装置39进行的安全询问的结果开启；为此可以例如使用一个电话的调制解调器连接。

根据利用数据处理装置进行的工作的不同组织可以将不同的数据存储器37，41，43，45全部分开或者部分或完全地综合。在放弃利用单个数据存储器的模块化结构和放弃远距离设置数据钥匙数据库45的条件下，例如可以将所有重要的数据存放在数据处理装置31唯一的一个本地存储器中，例如其硬盘。另一方面，可以例如将用户组数据库43放置在一个负责组织工作流程和形成用户组的管理部门，反之，将数据钥匙数据库45放置在一个负责实施和实现加密系统的信息技术部门，最后，将用户数据存储器41设置在一个负责个人数据的证件部门，该部门负责采集和验证关于个人的标志数据和安全数据。

重要的仅仅是，在用于实施本发明的电子数据处理装置上，通过安全询问装置39的安全询问不对允许的、加密系统用来对用户数据进行加密和解密的数据钥匙做出结论。这种分开构成了可以分配一个用于对数据进行加密和解密的数据钥匙的基础，该数据钥匙直接嵌入到用户的访问，而不为用户可见。取而代之的是，用户通过一个在系统上唯一的登录过程自动地得到一个或多个为其小组属性定义的数据钥匙，以便访问加密数据。

Claims (11)

1.一种由不同用户对数据进行加密和解密的方法，其中为用户分配一个用于对数据进行加密和解密的数据钥匙，其中，在第一步骤(3)中进行一个用于确定用户身份的安全询问，在第二步骤(19)中根据该安全询问的结果通过访问单独的数据钥匙存储器自动地分配一个该用户不能看到的数据钥匙，并且可以将同一数据钥匙分配给不同的用户，

其中，可以通过将在所述安全询问中确定的数据与一个数据钥匙存储器(45)中的内容进行比较确定待分配的数据钥匙，

其中，所述在所述安全询问中确定的数据与所述数据钥匙存储器(45)中内容的比较通过一个数据远程连接装置(47)实现，

-所述数据钥匙存储器(45)不同于应用数据存储器(37)，

-由数据处理装置(31)来执行数据的访问、加密和解密，其中只有所述数据处理装置(31)能够访问所述应用数据(37)，

-应用数据被存储在所述应用数据存储器(37)中，而数据钥匙被存储在所述数据钥匙存储器(45)中，

-用户只有通过所述数据处理装置(31)才能访问应用数据，

-其中，所述应用数据存储器(37)存储了应用数据，并且

-所述数据处理装置(31)具有安全询问装置(39)并且与所述数据钥匙存储器(45)分开；只有通过所述数据远程连接装置(47)并且只有当安全询问的结果允许访问所述数据钥匙存储器(45)时，才能访问所述数据钥匙存储器(45)。

2.根据权利要求1所述的方法，其特征在于，在所述安全询问中询问用户的生物数据。

3.根据权利要求1所述的方法，其特征在于，在所述安全询问中询问一个对于用户各不相同的电子和/或机械钥匙。

4.根据权利要求1至3中任何一项所述的方法，其特征在于，可以同时为一个用户分配多个数据钥匙。

5.根据权利要求1至3中任何一项所述的方法，其特征在于，所述数据是医疗上重要的数据，所述用户是一个医疗机构中的医疗专业人士。

6.根据权利要求1所述的方法，其特征在于，所述应用数据为加密的应用数据。

7.一种对数据进行加密和解密的数据处理装置(31)，通过该装置可以为用户分配一个用于对数据进行加密和解密的数据钥匙，其特征在于，所述数据处理装置(31)具有一个安全询问装置(39)，通过该安全询问装置可以进行一个用于确定用户身份的安全询问，通过所述数据处理装置(31)可以根据该安全询问的结果通过访问单独的数据钥匙存储器为用户自动地分配一个该用户不能看到的数据钥匙，并且通过所述数据处理装置(31)可以将同一数据钥匙分配给不同的用户，

其中，所述数据处理装置(31)可以访问一个数据钥匙存储器(45)，以便通过将在所述安全询问中获得的数据与所述数据钥匙存储器(45)中的内容进行比较确定待分配的数据钥匙，

其中，所述数据钥匙存储器(45)与所述数据处理装置(31)远离地设置，而所述数据处理装置(31)通过一个数据远程连接装置(47)访问该数据钥匙存储器(45)，

-所述数据钥匙存储器(45)不同于应用数据存储器(37)，

-由所述数据处理装置(31)来执行数据的访问、加密和解密，其中只有所述数据处理装置(31)能够访问所述应用数据(37)，

-应用数据被存储在所述应用数据存储器(37)中，而数据钥匙被存储在所述数据钥匙存储器(45)中，

-用户只有通过所述数据处理装置(31)才能访问应用数据，

-其中，所述应用数据存储器(37)存储了应用数据，并且

-所述数据处理装置(31)与所述数据钥匙存储器(45)分开；只有通过所述数据远程连接装置(47)并且只有当安全询问的结果允许访问所述数据钥匙存储器(45)时，才能访问所述数据钥匙存储器(45)。

8.根据权利要求7所述的数据处理装置(31)，其特征在于，由所述安全询问装置(39)询问用户的生物数据。

9.根据权利要求7所述的数据处理装置(31)，其特征在于，由所述安全询问装置(39)询问一个对于用户各不相同的电子和/或机械钥匙。

10.根据权利要求7至9中任何一项所述的数据处理装置(31)，其特征在于，所述数据处理装置(31)是一个用来处理医疗上重要数据的医疗工作站。

11.根据权利要求7所述的数据处理装置(31)，其特征在于，所述应用数据为加密的应用数据。

Images