(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210977160.6 (22)申请日 2022.08.15 (71)申请人 北京师范大学 地址 100875 北京市海淀区新 街口外大街 19号 申请人 山东大学 (72)发明人 孙运传　石玉峰　 (74)专利代理 机构 北京万驰专利代理事务所 (普通合伙) 1610 6 专利代理师 王军 (51)Int.Cl. H04L 9/40(2022.01) H04L 9/06(2006.01) H04L 9/32(2006.01) (54)发明名称 一种基于零信任体系的数据安全访问系统、 方法、 装置及 介质 (57)摘要 本发明提供了一种基于零信任体系的数据 安全访问系统、 方法、 装置及介质， 包括数据源、 数据库、 可信数据代理、 零信任系统、 数据网关、 应用、 客户端， 基于用户数字身份标识， 数据身份 标识的思想， 实现了数据来源可溯， 数据使用者 可控； 数据传播可追溯； 在一定程度上实现了数 据生产、 数据存储、 到数据使用整个数据生命周 期链的可控、 可追溯。 权利要求书2页 说明书7页 附图4页 CN 115514523 A 2022.12.23 CN 115514523 A 1.一种基于零信任体系的数据安全访 问系统， 包括数据源、 数据库、 可信数据代理、 零 信任系统、 数据网关、 应用和 和客户端； 数据源提供 数据并存 储至数据库； 可信数据代理用于在用户或者数据源通过数据服务访问数据时， 接收数据服务然后向 零信任系统进 行用户或者数据源的权限鉴权， 在零信任系统确认用户或者数据源有权限访 问数据服务后反馈至可信数据代理， 可信数据代理放行数据服务访问请求， 将请求送到数 据网关； 所述零信任系统用于对用户、 数据源、 应用、 数据网关进行统一身份管理， 并为用户及 数据源生成数字身份标识和数字身份密钥； 所述数据网关是提供数据服务的系统， 在接收数据服务请求后， 和数据库进行交互， 完 成数据库的读、 写； 所述客户端通过应用进行业 务访问和数据的获取。 2.根据权利要求1所述的系统， 其特征还在于， 所述数据网关为存储的数据记录及文件 生成唯一数据身份标识， 所述数据身份标识与数据源的数字身份标识及数字身份密钥相关 联， 数据身份标识作为标签记录在数据 记录中， 同时将数据身份标识、 记录索引进 行安全存 储； 所述数据网关还 对存储的数据使用数据源或用户的身份密钥进行加密。 3.根据权利要求2所述的系统， 其特征还在于， 所述数据身份标识与 数据源的数字身份 标识及数字身份密钥关系如下： 数据身份标识＝(数据源数字身份标识|MD5(数据内容|数 据源数字身份密钥) )。 4.根据权利要求2所述的系统， 其特征还在于， 所述数据网关在用户或数据源读取数据 时， 包括两种读取 方式： 方式一： 用户或数据源携带令牌调用 “单人使用get文件 ”接口， 数据网关根据令牌获取 用户数字身份标识和数字身份密钥， 将数据使用数字身份密钥加密生成密文， 然后生成 hash值， 将hash值附加在 密文之后， 返回数据至客户端； 方式二： 用户或数据源携带令牌调用 “多人使用get文件 ”接口， 在客户端显示的界面输 入可共享使用的成员， 数据网关根据令牌获取用户或数据源数字身份标识和数字身份密 钥， 然后将数据使用数字身份密钥加密生成密文， 再根据待共享数据的成员列表依 次生成 与各成员相关 的hash值， 将hash值以列表形式附加在密文之后， 同时将用户或数据源的数 字身份标识附加在hash值的列表之后， 整理后的报文发送至客户端。 5.根据权利要求4所述的系统， 其特征还在于， 所述客户端嵌合沙箱， 同时客户端对文 件的数据身份标识进行校验， 校验成功后对文件进行解密， 解密后的文件以明文形式存储 在沙箱， 从数据网关读取 的源文件可以复制出客户端， 而解密后的明文文件无法从客户端 取出， 经过零信任系统认证后的用户可以在客户端打开文件查看内容。 6.一种基于零信任体系的数据安全访 问方法， 其应用于权利要求1 ‑5任一项所述的系 统， 所述方法包括以下步骤： S1： 用户启动客户端， 客户端访问零信任系统进行认证， 获得用户令牌； S2： 客户端携带用户令牌访问应用， 要求下 载数据文件， 选择 单人使用下 载； S3： 应用调用 “单人使用get文件 ”API服务接口， 进行 数据网关的API访问； S4： 经过可信数据代理核验权限通过后， 达到数据网关， 数据网关提取用户令牌， 根据权　利　要　求　书 1/2 页 2 CN 115514523 A 2令牌获取用户数字身份标识、 数字身份密钥； S5： 将数据进行基于用户数字身份秘钥密码加密， 生成密文， 然后根据用户数字身份标 识计算hash值， 将hash值附加在 密文之后， 返回处 理的数据至客户端； S6： 客户端接收数据后， 将文件下载存储到沙箱目录， 用客户端打开文件， 开始处理文 件： 客户端从零信任系统获取数字身份标识， 读取文件内容， 将尾部的hash值取出为 assertHashVal， 并去掉该内容得到数据内容content， 基于得到的数据内容content和用户 数字身份标识计算得到tmpHash， 如果as sertHashVal ＝tmpHash， 报文合法； S7： 客户端携带数字身份标识从零信任系统获得数字身份密钥， 使用数字身份密钥解 密， 获得明文 文件， 存在沙箱目录， 该明文 文件被客户端的沙箱保护， 无法拷贝出来； S8： 用户可以在客户端查看明文 文件， 如果 客户端更 换账号， 文件自动清除。 7.一种基于零信任体系的数据安全访 问方法， 其应用于权利要求1 ‑5任一项所述的系 统， 所述方法包括以下步骤： S1： 用户启动客户端， 客户端访问零信任系统进行认证， 获得用户令牌； S2： 客户端携带用户令牌访问应用， 要求下 载数据文件， 选择多人使用下 载； S3： 应用调用 “多人使用get文件 ”API服务接口， 进行 数据网关的API访问； S4： 经过可信数据代 理核验权限通过后， 达到数据网关， 数据网关展示页面让用户输入 可使用账号， 输入账号列表UserL ist； S5： 获取申请用户及UserList的各数字身份标识＝列表： IDKeyList， 获取申请用户数 字身份密钥＝； S6： 将数据进行基于数字身份密钥＝密码加密， 加密后内容为SecContent， 根据 IDKeyList计算hash值列表： hashValLi st， 将hashValLi st添加到SecContent后将申请用户 的数字身份标识添加到最后， 然后返回数据至客户端； S7： 客户端接收数据后， 将文件下载存储到沙箱目录， 用客户端打开文件， 开始处理文 件： 从文件尾部获取数字身份标识assertIDKey， 客户端从零信任系统获取数字身份标识 IDKey； 读取文件内容， 将尾部的hash值列表hashValList取出， 只剩下加密内容 Seccontent； 基于数据内容和用户数字身份标识计算tmpHash， 如果tmpHash在hash值列表 hashValList， 报文合法； S8： 客户端携带assertIDKey从零信任系统获得数字身份密钥， 使用数字身份秘钥解 密， 获得明文 文件， 存储在沙箱目录， 该明文 文件被客户端的沙箱保护， 无法拷贝出来； S9： 用户可以在客户端查看明文 文件， 如果 客户端更 换账号， 文件自动清除。 8.一种基于零信任体系的数据安全访问装置， 其特 征在于， 包括： 至少一个处 理器； 至少一个存 储器， 用于存 储至少一个程序； 当所述至少一个程序被至少一个处理器执行， 使得所述至少一个处理器实现如权利要 求6或7所述的数据安全访问方法。 9.一种计算机存储介质， 其中存储有处理器可执行的程序， 其特征在于， 所述处理器可 执行的程序在由所述处 理器执行时， 实现如权利要求6或7 所述的数据安全访问方法。权　利　要　求　书 2/2 页 3 CN 115514523 A 3