CN106161006B

CN106161006B - 一种数字加密算法

Info

Publication number: CN106161006B
Application number: CN201510157182.8A
Authority: CN
Inventors: 汪风珍
Original assignee: Individual
Current assignee: Hunan Hanzhou Intelligent Technology Co., Ltd.
Priority date: 2015-04-06
Filing date: 2015-04-06
Publication date: 2020-11-17
Anticipated expiration: 2035-04-06
Also published as: CN106161006A; CN106161006B8

Abstract

数字加密算法是利用连接变量连接到同类字段或同类数据表，对源数据进行加密，此加密方法需要硬件数据参与，通过多次加密以及扩充加密数据来使密码复杂，这种密码最大的特点是加密的数据未能全部保存，从而使服务器端的破解非常困难。

Description

一种数字加密算法

技术领域

本发明属于数字加密技术。

背景技术

下面先介绍常用的数字加密算法的大致情况：

我们常常所说的密码实际是口令(password)，密码可以理解成一种难度很高的翻译，它是将能被识别的文本翻译成难以识别的文本，口令和数字证书是特殊的密码，过去所使用的电报报文才是真正的密码，它是将中文转换成四位数字编号，每个数字的长短信号值不同，利用这些长短信号发送和接收，接收之后，再通过数字编号查找对应的中文，通过人工翻译成原文，大众电报的数字编号并非是秘密，所以大众电报报文加密性能很差，除了电报报文，还有密码发报机，密码发报机的原理相对复杂，密码发报机一般用作军事用途，但在强大的高性能计算机面前，窃密机构截获到密码电文之后，也很难保证不被破获，而数字证书是一种电子身份证明，通常数字证书是一个不变的加密数据，我们所使用的密码，口令以及数字证书为了安全，已经很少采用明文数据了，都采用了加密数据，加密数据都是利用程序设定一个加密协议，即通过一定的算法保障加密解密的一致性以方便验证，常用的加密算法有哈希算法，非对称算法，生物密码的模糊算法以及量子密码等，MD5算法就是对一组或一个具体的数据获得一个唯一的哈希值，哈希算法的缺点是很明显的，如果没有动态数据参与加密运算，那么加密的结果是不会改变的，从技术原理上看，仅仅依靠用户输入的密码，没有动态数据参与，无论加密过程多么复杂，一旦源代码泄露，都难逃被大面积破解的命运，道理很简单，掌握了源代码，密码破解者就可以采用输入密码获得加密结果，而网站需要面对数量众多的终端，对所有的终端必须采取相同的通信协议，否则，就可能甲终端能通过验证，而乙终端又通不过，一般网站的MD5 密码就是这种，现代人需要掌握的密码太多，可能在不同的场合使用相同的密码，黑客不会放弃这个良机，利用某网站破解的密码破解同一人的其他密码，像12306网站不久前就曾宣称出现这种情况，但这种情况并非无计可施，一般手机用户都有内存卡，电脑用户有U盘，将内存卡或U盘数据用于密码，不同的网站可以依据URL地址指定不同的数据连接，这样，即使用户输入的密码是相同的，最终密码也不相同，一种是硬件式的，需要硬件和人工输入结合，比方说U 盾和IC 卡密码，它们大多数时候是基于非对称密钥算法的，还有一种是生物密码，也就是利用人体某些器官或组织的一些特殊结构终身具有一定的稳定性和单一性，这种特殊结构能够被计算机系统读取的验证码，比方说指纹或虹膜，这类密码的缺点是密码所有人无法主动修改，欠缺能动性，而且服务器存贮的数据与待检验的数据并不完全一致，需要利用模糊算法通过比较获得答案，模糊算法很耗系统资源，目前的服务器系统很难承担大量的指纹请求验证，多用于本地验证，而量子密码是目前保密性能最好的密码，，量子密码目前仅中美掌握，没有用于民用，量子密码是点点发射，其传输距离有限，加之设备昂贵，暂时的技术很难用于银行卡，网站的终端用户离使用量子发射也很遥远。

MD5 是一种唯一的信息散列值算法，它是一种不可逆的哈希加密算法，MD5 对一个具体的原始密码有一个唯一的对应加密值，这为词典或暴力破解法提供了便利，尤其银行卡密码本身并不是很复杂，破解MD5 密码也相对比较容易。

非对称算法主要是利用公钥(publickey) 与(privatekey) 私钥算法，也就是公钥加密则私钥解密，私钥加密则公钥解密，公钥与私钥是一一对应的而且只使用一次，非对称算法从理论上比MD5 算法的安全性要高，但是，非对称算法解密比较耗时，相比同类MD5算法，非对称算法甚至比MD5算法慢1000倍，而且IC 卡或U-key 本身是一个微型计算机系统，像中国发行的PBOC卡自身带有CPU，由于IC卡或U-key被迫打开外置物理端口，黑客可以利用这个物理端口恶意编写病毒程序，通过柜员机系统传播病毒或进行破坏活动，如果说网上银行利用U盾相比其他方法还安全一些，但是，自动运行的柜员机打开物理端口，假如黑客不是通过盗取客户资金，而是直接指令柜员机吐钱，通过修改系统数据库平账，那么，可能银行在很长时间内也很难发觉，但磁条卡黑客就没有办法实现这一点，从这个角度看，IC卡未必比磁条卡更加安全。

发明内容

发明目的：设计一种基于硬件提供部分数据的加密算法，加大密码和口令或数字证书的破解难度。

技术方案：这种加密算法至少需要两方提供加密数据，这两方数据是人工输入的数据和硬件数据，硬件难以提供加密需要的全部数据或数据需要服务器端提供的，依据加密需要，前者可以由计算机终端或服务器端提供，后者需要服务器端提供，只能由服务器提供的动态数据用于数字证书，这里的硬件是可以与计算机终端分离的数据存贮介质，数据存贮介质提供的数据可以被计算机终端读取，设计动态加密或设计通过硬件数据更改加密数据的，则需要加密数据有可读写数据，通过更改可读写数据完成加密，或者设计程序在数据验证完成后自动更新可读写数据，完成新加密过程，然后将新加密数据存贮，只读可视数据在抵达消费者手中之前最好利用油漆或涂层这些物理方法进行遮盖，其加密采用扩充，叠加，动态源数据导入和数据缺失保存加密方法完成，加密具体由引进源数据，截取数据，进制转换，数据重组，字符转码，字符串替代和数据缺失保存组成，加密过程并不是孤立的，可以在加密过程中引用别的加密步骤结合加密，每一步加密过程都可以利用数据连接变量连接到对应的数据表或同类字段完成，最后一步的加密顺序不能变更，其中的缺失算法和数据缺失保存是可选加密方法。

扩充是加密的源数据可以依需要增加字符长度，叠加加密是部分加密方法可以以加密后的数据作为源数据再行加密，叠加加密算法也可以适用于其他一些加密算法，例如MD5算法，将加密后的MD5值作为源数据再行加密，数据缺失保存是缺失源和加密缺失符不保存，硬件的连接变量中缺失的字符为缺失源，而加密后的结果的缺失字符称为加密缺失符，人工输入的密码或者是服务器端返回的数据作为连接变量连接到同类字段或同类数据表，改变输入密码值或者是服务器端发回的数据改变，则引进的源数据随即改变，就是动态引进源数据，动态数字证书的加密解密需要使用服务器端返回的动态数据，进行动态加密和电子身份验证，硬件存贮介质是指能存贮电子数据、磁条数据以及印刷、打印、手写、扫描的一切能够被计算机系统识别并能正确读取，调用这些信息的物理部件。

有益效果：这种设计可以适用于任何能读取硬件数据的计算机系统，采用的扩充叠加加密算法技术由于需要提供几方数据，只要有一方数据没有被他人知晓，就能保证数据安全，由于扩充叠加加密的数据可以依需要扩充参与加密的数据和通过多次加密，加大了逆向破解的难度，不光可以应用于密码，也可以应用于数字证书和口令，特别是中文或其他非数字或字母语言文档的加密和解密，在一些比较严格的计算机工作领域，可以将机器码作为数据进行绑定，与服务器进行通信时需要解码的机器码正确才能顺利工作，由于本设计也可以基于磁条卡提供的数据来加密，磁条卡卡片费用低廉且不能传播病毒，对自动运行的柜员机系统有利。

具体实施方式：本说明书论述的实施方式介绍了实施本专利的一般的过程，但实施本专利并不一定需要完全遵循这里描述的过程，它仅是实施本专利的一个特例。

名词解释：源数据，严格说来，连接变量，用户输入的密码等也是源数据，但本说明书的源数据是狭义上的定义，仅指被加密的数据，例如通过磁条卡6组连接变量导入的6组数据，这6组数据才是源数据，其他的不是源数据，为了加密需要，源数据的字符都比较多，字符太少，加密的强度不够，

数据与字符，字符串，在计算机和电信技术中，一个字符是一个单位的字形、类字形单位或符号的基本信息，字符串是一组字符的集合，而数据的定义相对广泛，数据就是数值，也就是我们通过观察、实验或计算得出的结果，数据有很多种，最简单的就是数字，数据也可以是文字、图像、声音等，本说明书中字符转码，是因为转码虽然也是成组进行的，但转码过程是以字符为单位进行，但字符串替换是以几个字符为单位进行的，替换前后的字符数不一定是相同的。

数据表和记录，字段，数据表就是数据的保存单元，要调用数据，需要连接数据表，指定连接字段和ID号，才可以定位记录，本说明书没有指明的部分亦包含这些连接步骤，ID号是数据表中默认的记录编号，是不可以更改的，而一条数据就是一条记录，但是也可以使用其他字段数据定位记录，将其他字段的数据作为类似记录编号使用，这些字段的数据可以自由设计，通过改变连接字段，从而达到数据变换的目的，

加密过程，加密由导入源数据，截取数据，进制转换，字符转码，数据重组，字符串替代和数据缺失存贮完成，除了第一步和最后一步外，其他的加密过程顺序可以变更，可以不采用最后一步加密过程，字符串替代这一步需要替代字符串字符位数相同，否则进行数据重组有困难，但字符串替代这一步设计替代字符串字符位数相同并没有必要，而且降低了加密要求，一般需设计在倒数第二步进行。

同类数据表和同类字段，同类数据表就是字段结构，数据类型，字段名称和记录条数都相同，而数据表名称由公共名称和连接变量名两部分组成的多个数据表，同类数据表的字段中有记录编号字段和需要引用或导出数据的字段，记录编号字段中的数据与连接变量对应，默认是ID号，而同类字段的定义和连接原理大致类似，同类字段是字段名称由公共名称和连接变量名两部分组成的多个字段，这些字段记录条数相同，只是排列次序不同，这些记录作为其他需要引用或导出数据的记录编号，同类字段和同类数据表都是通过连接变量对应完成连接，连接变量用来和需要导出或引用的数据进行两步变量对应，即先变量对应到同类字段或同类数据表，再变量对应到记录编号，由记录编号对应到需要导出或引用的数据，连接变量可以由程序指定获取位置直接获取，也可以是加密过程的中间数据经过一定的编程方法从而符合连接要求，编程处理时需要注意，数据表的连接变量数据的集合数需要和同类数据表的数量相同，记录连接变量的集合数需要和记录条数相同，同类字段的相关连接变量亦须如此，例如，同类数据表有10个，那么，数据表连接变量数据也只能是10个，少于10，则会出现死数据表，多于10 ，则会出现空连接，都是不允许的，一般中间数据很难直接应用，需要进行变换，比较常用的方法是利用取余函数，将中间数据先转换成纯数字数据，在MOD(Number，divisor)中，只需要将divisor的值设定为同类数据表的个数或记录的条数或同类字段的总数即可，就可以分别获得能应用的变量数据，通过取余函数获得的值是0到（divisor-1），假如divisor值是10，取余数的集合就是0到9，据此，数据表名称中连接变量名的集合最好也是0到9，采用一一对应的方法连接，但这不是必须的，变量数据如果不是连续的，也可以利用函数LOOKUP或类似的方法实现，例如LOOKUP(MOD(A2,10),{0,1,2,3,4,5,6,7,8,9},{"F","D","C","B","A","23","17","6","9","4"})，在同类字段的数据连接方面，例如同类字段1的记录编号2305和同类字段2的记录编号4753，对应的导出字段其数据为98011，如果现在连接到同类字段1，连接变量数据为2305，则导出数据98011，如果连接到同类字段2，连接变量数据同样为2305，则需要查找2305对应的记录，导出的数据并非是98011，在加密的过程中，只要指定第一次加密的连接变量，从连接数据表到连接数据都实现唯一连接，那么，必然会获得一个唯一的结果，以唯一的结果作为源数据，只要控制连接变量或连接变量从源数据中获取，由于源数据具有唯一性，，也势必会获得一个唯一的结果，以此进行多次加密也就是叠加加密，上述原理同样可以适用其他加密方法，例如MD5加密，可以将加密后的MD5数据作为源数据，再次进行MD5加密，由于MD5有唯一的信息散列值，叠加加密可以加大从加密数据存贮端进行破解的难度，同类数据表和同类字段可以应用于任何一步加密过程，后面的说明不再详细描述，同类字段和同类数据表功能有些类似，但二者功能有侧重，例如源数据需要的数据条数比较多，比方10000条记录，每条记录50字节，加上4位ID号，总数据是54万字节，如果是10个同类数据表，则总字节是540万，如果利用同类字段，只有90万字节，有明显的优势，但是，字符串替代表记录编号位数不一定是确定的，替代字符串的位数也很少，而且位数可以不相同，以4位替代为例，总记录数只有256条，字节数很少，同类数据表更加灵活，从而有优势。

引进源数据，一种是直接引进，即通过数据输入设备被计算机系统直接引进，扫描，键盘输入，手写板输入，读取磁条信息是直接引进，一种是间接引进，间接引进是由简单数据获得复杂数据，磁条数据或机器码，服务器返回的数据不是很复杂时，用于加密，其加密强度不是很好，就可以利用间接引进，例如，利用磁条数据引进计算机终端的数据，磁条的数据分为几组，而计算机终端的所有源数据存贮在数据表中，从获得的磁条数据和计算机终端的源数据的记录编号进行对应或者利用同类字段中的记录编号进行对应，就能获得对应的几组源数据，这里需要注意，源数据组数比较庞大，利用同类数据表，则数据库也很庞大，不建议采用同类数据表，因此利用同类字段，将用户输入的密码作为同类字段的连接变量，比较常见的低存贮容量的数据存贮介质是磁条或明文字符以及条形码，二维码数据，硬件存贮介质的连接变量和计算机终端的源数据记录编号是对应的，它们的数据比较简单，通过二者对应，导出计算机终端的源数据，对于大容量的存贮介质，可以由硬件存贮介质提供同类字段数据和源数据以及连接变量数据，同类字段的数据是记录编号，由用户输入的密码确定同类字段的连接，然后再利用连接变量数据对应同类字段中的记录编号，导出记录编号对应的源数据，进入下一步加密流程。

只要源数据设计复杂，就可以由简单数据获得复杂数据，在升级时，只需要将源数据进行升级，例如将字符扩充，而保持磁条数据和记录编号或同类字段中的记录编号依旧不变即可，例如磁条数据两组连接变量为6302，1958，则查找记录编号6302,1958对应的数据或者同类字段中的记录编号6302，1958对应的数据，引进即可，这里需要注意，源数据需要一定的组数，加密过程才会复杂，以银行卡磁条卡为例，RW磁道设计6组4位数字是不成问题的，它们的取值范围是0000到9999，如果源数据有10000组，记录编号是0000到9999与之对应，那么，密码数据组合就是亿亿亿种，即10000的6次方。

截取数据，在截取字符的函数中，需要三个元素，即待截取字符，截取的位数和截取的起始位置，源数据是待截取字符，而截取的长度是指定，截取的起始位置值是将用户输入的密码，机器码，或服务器端返回的数据拆分成几个之后都加1，拆分的个数需要和计划导入的源数据的组数相同，以MID(text，start_num，num_chars)函数通过银行卡密码截取为例，其中text表示待截取字符也就是源数据，num_chars表示截取的位数，start_num即表示截取的起始位置，num_chars可以指定，需要升级时，只需要将源数据位数改变，并重新指定num_chars值，例如将num_chars值由10位指定成20位，则截取的字符由10位变成20位，这就是扩充算法，而start_num值可以将银行卡输入密码的6个数字进行分拆，将其拆分的值加1，作为start_num值截取字符即可，拆分方法比较多，示例MID(password,1,1) ，MID(password,2,1)， MID(password,3,1)， MID(password,4,1) ，MID(password,5,1)， MID(password,6,1)，即将6位password值变成了6位单独的字符，例如,源数据的6组中第一组记为text1，利用MID(text1，MID(password,1,1)+1，20)，就可以以密码password的第一位数字加1的位置开始截取text1，截取20位，截取字符的目的是将简单数据混杂在复杂数据中，例如，在银行卡密码的设计过程中，通过这一步，将密码混杂在源数据中，引进6组源数据后，text值就是源数据，而start_num值就是MID(password，A，1)+1值，A是密码字符的位置，这样，就可以获得6组新数据，它们是截取了从第1位到第10位中的一个位数开始的num_chars值长度的数据，例如，密码拆分后的数据为6，就表示从第7位开始截取，num_chars值为20，就表示截取的位数为20，在一个简单密码000000和复杂密码658973中，二者的意义分别表示前者是从6个源数据的第1位开始截取，而后者表示从6个源数据的第7位，第6位，第9位，第10位，第8位，第4位开始截取，与密码的复杂程度无关，只要密码输入人员没有将硬件提供给别人，并同时让别人看到密码输入动作，单单从存贮的密码进行破解时，二者的破解难度是没有区别的，在这一步过程中，每一个源数据存在10个子数据，也就是密码组合数增加了一百万倍。

进制转换：如果有需要，可以将任何一种数据转换成另一种进制的数据，在低进制数据转换成高进制数据的过程中，由于高进制数据需要更多的基本元素表示，这里的基本元素就是类似10进制的0到9这10个数字，可以将比较简单的数据变成复杂的数据，同时缩短了数据长度，比方说纯数字数据变成数字和字母混合的数据，有时候，需要将复杂数据变成简单数据或者将非数字数据转换成数字数据，比方说机器码一般是数字和字母混合数据，而汉字是非数字数据，在GB2312标准中，可以直接引用汉字的区位码，将其转换成数字数据，或者将GB2312标准的文本理解成7445进制的数字（7445包含非汉字符号），据此将中文文档进行加密或应用于数字证书，将中文文本理解成7445进制，转换成10进制，其数据庞大得惊人，以5位数为例，转换成10进制，位数达20位，最高值是2.2873E+19，再转换成62进制数据，也就是转换成数字和字母混合数据即可，加密不使用负数数据，因此，进位和10进制数据一样，也是进制数的一次方，二次方，三次方等依次递增，转换后的数据位数达不到程序设计需要的位数时，用0补足高位数，例如转换后的10进制数据为123，而需要的位数是5位，就在高位上加0为00123补足5位，大部分人接触英文字母和数字比较多，示例是62进制和10进制转换，用阿拉伯数字0 到9 表示0 到9，字母的小写a 到z 表示10 到35，字母的大写A 到Z 表示36 到61 ，亦可以有其他的指定方案，后面部分讲述的数字或字母的本位码，转码算法也遵循同样的规律，例如将62进制数据A6bJ9转换成10进制数据为36*62⁴+6*62³+11*62²+45*62+9=533423147，是9位数。

字符转码：字符转码是利用字符转码算法实现的，用一个字符或一组字符通过转码算法获得另一个字符或一组字符的方法就是字符转码，无论是单个字符还是一组字符，转码都是一一转码，只是后者是同时转换几个字符，单一字符的转码意义是不大的，所以是字符组进行转码，字符组转码需要转码算法指令集和转码表共同实现，示例是设计四种数字与字母的转码算法，命名为ABCD 算法，转码算法遵循以下规律：

1：不同的源码相同的算法转换之后结果是不能相同的；

2：同一源码的几种算法的转换结果互相也不能相同；

3：转码的结果不能与源码相同；

4：转码要设置几种转码算法，以强化密码的组合复杂性，

示例是以数字和字母的本位码为基础条件进行转换的，数字0 到9 的本位码分别是数字0 到9 ，小写字母a 到z 的本位码分别是数字10 到35 ；大写字母A 到Z 的本位码分别是数字36 到61 ，

在ABCD 算法中，其中第1 算法，第2 算法，第3 算法是以本位码为基础进行的数学运算，但是第4 算法经过人工调整，没有什么算法规律，

第1 算法：数字或字母的本位码加该本位码后的第2 位奇数就是此数字或字母的转码算法，结果≥ 62 的，就减62，记载其本位码对应的数字或字母；

第2 算法：数字或字母的本位码加该本位码后第13 位奇数就是此数字或字母的B转码算法，结果≥ 62 的，就减62，记载其本位码对应的数字或字母；

第3算法：数字或字母的本位码加30 就是该数字或字母的转码算法，结果≥ 62的，就减62，记载其本位码对应的数字或字母；

第4 算法：第4算法部分遵循数字或字母的本位码加该本位码后的第3 个偶数就是该数字或字母的转码算法，结果≥ 62 的，就减62，为了防止数据相同性冲突，做了部分位置调整，记载其本位码对应的数字或字母，从它的设计原理可以知道，转码前后的每一个数字和字母都不会相同，这是一个最基本的设计要点，调用时，第1 算法，第2算法，第3算法都可以直接使用数据表调用，也可以使用数学运算换算，但是，第4 算法经过了人工调整，需要使用数据表调用，也可以设计其他的转码算法，示例的转码算法利用了同类字段进行算法的ABCD排序，

转码算法指令集：待转码的每个字符作为源码，需要指令转码方向才能获得正确的结果，指令集的数据和待转码的数据存在对应关系，即一个指令字符对应一个待转码字符，经过指令规则转换成另外一个字符，例如，指令集数据为BACC，待转码数据为1234，就是将1234的四个数据分别执行B算法，A算法，C算法，C算法。

重排字符位置，重排字符位置由字符长度分割表和排列位置指令集完成，将组合后的数据按指定的字符长度进行分割，指定分割长度的表就是字符长度分割表，合成过程中改变密码排列次序的表就是排列位置指令集，将所有的密码数据组合形成一个长数据，利用字符长度分割表分割成几部分，字符长度分割表分割后，段号一般是默认的，也就是从左到右从1开始依次递加，再利用排列位置指令集对已经分割的数据进行重新排序，字符长度分割表和排列位置指令集的数据位数具有对应性，也就是被分割成几段，那么重新排序的也是相应数量，而且排列位置指令集既不能出现相同的段号数，也不能出现没有的段号或已有的段号没有出现，字符长度分割表确定值的总数不能大于字符长度，否则会出现错误，字符长度分割表有一个不确定值，例如需要分割的字符长度是49，分割表的数据是52#93，698#9，#就是不确定值，在52#93中，分割是按照5位，2位，30位，9位和3位进行，#是30即49-5-2-9-3=30，处于第3段，在698#9中，分割是按照6位，9位，8位，17位和9位进行，#是17，处于第4段，即49-6-9-8-9=17，这里可以看出，用数字表示时，数字只有0到9，字符太长时，很难符合要求，最好采用62进制表示，由于#在一些电子设备中不是很常用，而0表示0位分割无意义，所以一般情况下可以将0列为不确定值，例如，上述52#93也可以是52093表示。

替代字符串，替代字符串是将字符中的部分字符用别的字符替代的一种加密技术，替代可以是单个替代，也可以是字符串替代，较优的设计方案是字符串替代，替代利用字符替代表完成，字符替代表数据分为记录编号和替代字符串，记录编号出现的字符就是需要替代的字符，例如记录编号出现5，A，b，6，就是将要替代的数据中所有的5，A，b，6字符都抽取出来，进行分组，分组后的字符位数需要与记录编号位数一致，最后一组没有相应的位数时，可以放弃替代或指定增加位数，例如指定第一个字符叠加到符合位数，查找字符替代表中与之对应的记录编号，确定替代字符串，由于抽取出来的几个字符原位置是不相同的，需要确定插入位置，较常见的方法是将抽取出来的几个字符转换成10进制数据，利用取余函数确定，例如，余数加1为几，就在第几个字符的原位置插入，将其他字符的空格清除，获得新数据，字符替代表的记录编号设计需要注意，记录编号需要列举所有可能出现的组合，否则可能出现运算错误，3位替代时，需要27组，也就是3的三次方，4位替代时，记录编号就需要256组，是4的4次方，如果是5位就是5的5次方，已经高达3125组，所以替代的字符数需要适中，数据表数据太庞大和太小都不妥当，替代数据不应太长，否则有可能被长数据查找到字符替代表，4位替代时，替代数据只需要256组，用英文大小写字母和数字表示时，一位和两位就足够了，如此短的数据替代，便没有办法通过查找替代字符串反向查找到字符替代表，不允许出现加密过程或加密数据不存在的字符，这也是为了防止通过替代字符串查找到字符替代表，原因很简单，假如某个字符只在某个数据表中出现，一下子就能查找到，只要是加密过程或加密数据存在的字符都可以作为替代字符，即使是替代的原数据字符也可以出现，例如，替换5，A，b，6这四个字符，那么，替代数据中仍旧允许出现5，A，b，6，由于替代的字符位数不等，所以最终密码的位数是不确定的，替代字符可以采用叠加加密方法多次加密，设计多份字符替代表，通过多个变量连接数据完成多次加密，例如变量数据2356，6987，3075，9837，8863，5534，将6组数据分别除以字符替代表的总数，连接到对应的数据表依次完成替代，也就是先通过2356连接到对应的数据表完成替代，又以替代后的数据作为源数据，用第2组数据连接到对应的数据表完成替代，依次类推，字符替代表与同类数据表有一点区别，就是不同的表记录编号可以是不同的，是指记录编号位数也可以不同，例如，表1是替代5，A，b，6，表2是替代c，8，H，k，或者表1完成3位字符替代，表2完成的是4位字符替代，因为程序是设计通过检索记录编号的位数和字符，确定替代的字符和分组位数，在程序设计中，字符转码，进制转换和截取字符以获得固定长度的数据为佳，而字符替代完成后，数据长度不确定，这给重排字符位置这一步加密过程的字符长度分割表的编制工作带来困难，字符长度分割表的不确定长度值虽然取值比较随意，但也不能出现负值，也就是其他确定长度值的总数不能大于数据的位数，为此，字符替代这一步需要在其他步骤之后，数据缺失保存之前，否则设计有难度。

缺失算法：由连接变量引进源数据时，连接变量往往有几组，连接变量分成几组，相应的引进的源数据也有几组，连接变量组数太少，密码容易破解，如果连接变量未能记录完全，那么，依据该数据的值域，也就是该数据可能出现的值，依次加密，也能获得和加密结果一致的值，而计算可能需要的次数与缺失的值的多少有关，缺失值越多时，可能需要的计算次数越多，例如，缺失一组数据ABCD，ABCD的取值范围都是0到9，那么，从0000到9999，始终都可以找到匹配值，假如源数据是6639，则从0000运算到6639，就会获得结果，在这个过程中，最多需要10000次运算，而对于加密的结果，如果数据记录同样不全，但这种不全的数据位置能够由运算时获取，在依次加密进行比对时，实际上加密的结果被不全的这几个字符分割成了几段，运算的结果需要和这几段数据全部吻合，如果加密后的数据位数很长，那么，出现相同密码的可能性也微乎其微，由于数据记录不全，从记录的密码进行破解几乎没有可能，缺失算法的缺失值不能太复杂，否则迟迟获不到结果，缺失算法的缺点是和非对称算法一样很耗时，没有必要，可以不采用，

数据缺失保存：数据缺失保存是指加密后的最终数据和硬件连接变量数据存贮不全，缺失部分字符，对于缺失的数据的保存和验证，利用缺失算法完成，为了方便描述，缺失的硬件连接变量数据称为缺失源，而加密后的结果的缺失字符称为加密缺失符，缺失需要有限制条件，缺失源需要指明原数据的值域和字符长度，而加密缺失符需要限制字符位置，加密缺失符的位置限制由缺失源所在的连接变量确定，也就是连接变量限制加密缺失符的位置后，将连接变量数据的字符全部或部分删除作为缺失源，这种限制是加密运算过程的一部分，缺失数据保存的前提是加密后的数据的字符长度不能太短，否则，出现同密码的机会增大，缺失数据保存由于保存的数据字符不全，是很难从保存的数据破解的，例如，下文中的示例，177个字符缺失2个字符，则密码排列组合是177*88*3844为59874144种，，即从1加到176，每位字符取值都是62种，但是，缺失算法验证很耗时间，缺失的数据不能太复杂，加密缺失符和缺失源的字符，以2至三个为宜，缺失字符只有1个，则缺失意义也不大，缺失验证和非对称算法一样，运算时间应该控制在普通加密算法的1000倍左右，例如：6组连接变量数据2356，6987，35，9837，8863，5534：程序需要指明连接变量数据35所在的组存在2个缺失源字符，缺失源的字符值域为0到9，缺失源和已经存在的字符位置不确定，据此，计算机最多经过1200次运算，就可以将所有的情况枚举完毕，也就是35**，3*5*，3**5，*3*5，*35*，**35，53**，5*3*，5**3，*5*3，*53*，**53，其中*就是缺失源字符，加密运算的最后一步就是缺失算法，以便确定出缺失源和加密缺失符的位置，依旧以上述数据为例，连接变量数据是2356，6987，5803，9837，8863，5534 ，随机取一组数字，例如以其中的5803除以加密后的结果的字符长度，余数加1即为其中一个加密缺失符的位置，例如，加密后的字符总长度为177，5803/177，余数加1为140，也就是第140个字符为加密缺失符，第二个加密缺失符的确定，5803这一组不参与，将5803除以剩下的字符组数，这里是5组，余数加1为4，也就是第4组数据8863确定第2个缺失加密符的位置，8863/177，余数加1为14，也就是第14个字符为加密缺失符，将这两个字符删除，重新组合成175个字符长度的数据，存贮，并将5803两个字符删除，最终存贮的是35，通过上述方法计算出两个加密缺失符是同一位置时，只取一位加密缺失符，另一位加密缺失符通过这位加密缺失符确定，例如，连接变量数据2356，6987，5803，9837，5980，5534，通过上述方法计算时，都指向第140位字符，假如140位字符是9，那么，将位数加9再加1也就是150位为加密缺失符，，只所以加1是防止0出现程序错误，加法出现空值时，则执行减法，例如176位为9，数据没有186位，则执行减法也就是166位为加密缺失符，字符是英文等字母或其他非数字符号的，通过规则转换成数字字符，再执行即可，确定运算次数有多种方法，例如指定是3位缺失源，取值是0到9，如1***，1的位置确定，或者是635*，5*98，669*，缺失源的取值是0到9，那么，这两种方法都是最高运算1000次，就不再一一列举了，

与其他加密步骤的结合，加密缺失符可以引进别的加密步骤，例如，加密后的结果是62进制数据，将其按组转换，例如10个62进制数据转换成2进制数据，不再补齐高位，这样就会获得字符长度不等的二进制数据，转换之后，将其组合成长数据，再确定加密缺失符的位置，将结果再按照几个一组再转换成62进制数据，经过这样一步，示例177位62进制只有177*88种位置关系，而转换成2进制数据，位置关系更加复杂，因为62进制数据用2进制表示具有更多的字符。

通过数据缺失保存，实际是将加密结果分割成了长度不确定的几段，然后计算机通过可能存在的缺失源值不停的运算，直到运算到结果完全相符，从理论上，加密缺失算法也存在相同的可能，也就是几段字符长度完全相符，而加密缺失值却不相同，那么，计算机判断这两种情况密码是相符的，而实际情况是并不相符，实际上MD5算法和指纹密码也存在同样的情况，据山东大学王小云教授的研究成果，MD5算法并非是唯一的值，关键是相同的值出现的概率，指纹密码可以出现亿分之一的相同率，由于这种密码是动态密码，数据变换比较快，所以数据相同的漏洞很难有什么用武之地，这也是本算法强调加密结果的字符长度不能太短的原因，字符长度太短，则出现相同的可能性就很大了。

动态数字证书：动态数字证书和普通加密并没有大的不同，不同的是，通过身份验证后，由服务器返回动态数据，并更新证书，将更新后的数字证书以可读写的方式存贮，下次使用时，服务器即返回存贮的动态数据，供身份验证，验证通过后，再次发送新的动态数据供再次验证使用，在身份验证页面，用户名不需要由用户输入，而是由服务器返回的数据自动解码用户名，没有用户名，则密码无法输入，用户名错误的，也容易被发现，这样防止钓鱼网站，也能防止一些键盘记录软件记录用户名和密码，防范一些Active X控件漏洞，对于一些重要的数据存贮介质，比方U盾，其驱动软件程序设计自动检测地址栏的地址，地址栏地址与U盾功能无关的或者退出相应功能的页面时，U盾执行弹出功能，比方说工行U盾，没有进入工行页面或者退出工行页面，U盾都执行弹出功能，无法使用，以防长时间连接电脑增加病毒感染的风险。

附图说明：

图1是加密流程示意图：其中A 表示数据表，B表示计算机终端源数据，C表示数字证书，D表示硬件存贮的源数据，E硬件连接变量，F表示用户输入的密码，G表示机器码，1，2，3，4表示导出后的源数据，5，6，7，8表示用户密码、机器码或服务器端返回的数据被分拆成数个字符，9，10，11，12表示同类数据表，13，14，15，16表示同类字段，19，20，21，22表示截取字符，进制转换，字符转码，数据重组，23表示字符替代，24表示缺失算法，25表示数据缺失保存或保存，26表示服务器返回的数据，箭头表示数据导入导出的方向或加密流程的方向，双箭头表示加密过程的先后顺序可以更换，1，2，3，4的横线表示数据既可以合并，也可以单独成组进入下一步，F数据返回D，26数据返回B，其中F和26数据也是作为数据连接变量返回的，F，G，26均可以作为变量连接数据，并且都可以连接B和D的同类数据表或同类字段，图示未能全部表示。

图2是同类字段和同类数据表连接示意图，，其中字段1，字段2，字段3，字段4就是同类字段，而数据表1，数据表2，数据表3，数据表4就是同类数据表，1，2，3，4就是同类字段或同类数据表名称中的连接变量，箭头表示数据导入导出的方向或加密流程的方向，图示表示将连接变量69038除以同类字段或同类数据表的数量，余数加1为几就连接对应的同类字段或同类数据表，再将连接变量除以记录数，余数加1为几或者利用对应关系连接数据编号，图示是用余数01234对应ABCDE，并导出该数据编号对应的数据。

图3是转码表：其中黑粗线区域是同类字段，粗线斜体字表示源码，使用时需要注意，例如用连接变量13使用此表，则转码从上往下依次是C，A，B，D，其他同理。

图4是62进制和10进制数据转换表，例如62进制的S的数值转换成10进制是54，而进制数需要数字和权值相乘，10进制百位上的5，其数值是5，权值是100，所以是500，而62进制的第三位的5，数值是5，权值是3844，所以62进制的500是10进制的19220，其他类推。

图5是转码流程图：图示是源码15869和23697互相控制进行转码，箭头表示数据导入导出的方向或加密的流程方向。

图6是导入源数据和截取字符示意图，连接变量是硬件存贮介质中的数据，先通过用户密码作为同类字段的连接变量，字段1，字段2，字段3，字段4是同类字段，硬件连接变量是连接到字段3的对应数据，箭头表示数据导入导出的方向或流程方向，用户密码被分成单个字符，作为导出数据的截取函数的开始元素截取源数据，源数据的括号就是表示截取的部分，图示是截取10位，机器码和服务器端返回的数据连接和导出源数据以及截取字符原理类似，不再图示说明。

Claims

1.一种数字加密算法，其特征是：数字加密算法至少需要两方提供加密数据，这两方数据是人工输入的数据和硬件数据，依据加密需要，硬件难以提供加密需要的全部数据时，由计算机终端或服务器端提供，数据需要服务器端提供的，由服务器端提供，只能由服务器提供的动态数据用于数字证书，所述的硬件是指与计算机终端分离的数据存贮介质，数据存贮介质提供的数据被计算机终端读取，设计动态加密或设计通过硬件数据更改加密数据的，则需要加密数据有可读写数据，通过更改可读写数据完成加密，或者设计程序在数据验证完成后自动更新可读写数据，完成新加密过程，然后将新加密数据存储，人眼可见的数据在抵达消费者手中之前利用油漆或涂层进行遮盖，数字加密算法加密采用扩充、叠加、动态源数据导入和数据缺失保存加密方法完成，加密具体由引进源数据，截取数据，进制转换，数据重组，字符转码，字符串替代和数据缺失保存组成，每一步加密过程均能够利用数据连接变量连接到对应的数据表或同类字段完成，最后一步的加密顺序不能变更，所述的缺失算法和数据缺失保存是可选加密方法，加密的源数据依需要增加字符长度就是扩充，以加密后的数据作为源数据再行加密就是叠加加密，人工输入的密码或者是服务器端返回的数据作为连接变量连接到同类字段或同类数据表，改变输入密码值或者是服务器端发回的数据改变，则引进的源数据随即改变，就是动态引进源数据，

所述的同类数据表就是字段结构、数据类型、字段名称和记录条数都相同，而数据表名称由公共名称和连接变量名两部分组成的多个数据表，同类数据表的字段中有记录编号字段和需要引用或导出数据的字段，记录编号字段中的数据与连接变量对应，默认是 ID 号，同类字段是字段名称由公共名称和连接变量名两部分组成的多个字段，同类字段记录条数相同，只是排列次序不同，同类字段记录作为需要引用或导出数据的记录编号，同类字段和同类数据表都是通过连接变量对应完成连接，连接变量用来和需要导出或引用的数据进行两步变量对应，即先变量对应到同类字段或同类数据表，再变量对应到记录编号，由记录编号对应到需要导出或引用的数据，连接变量由程序指定获取位置直接获取，或者是加密过程的中间数据经过一定的编程方法从而符合连接要求，编程处理时需要注意，数据表的连接变量数据的集合数需要和同类数据表的数量相同，记录连接变量的集合数需要和记录条数相同，同类字段的相关连接变量亦须如此。

2.依据权利要求1所述的数字加密算法，所述的引进源数据其特征是：引进源数据，一种是直接引进，即通过数据输入设备被计算机系统直接引进，所述的直接引进是指扫描、键盘输入、手写板输入、读取磁条信息，一种是间接引进，所述的间接引进是由数据连接变量引进数据，数据连接变量分为几组，而计算机终端的所有源数据存贮在数据表中，数据连接变量和计算机终端的源数据的记录编号进行对应或者利用同类字段中的记录编号进行对应，就能获得对应的几组源数据，对于大容量的存贮介质，由硬件存贮介质提供同类字段数据和源数据以及变量数据连接，同类字段的数据是记录编号，由用户输入的密码确定同类字段的连接，然后再利用数据连接变量对应同类字段中的记录编号，导出记录编号对应的源数据。

3.依据权利要求 1 所述的数字加密算法，其特征是：在截取字符的函数中，需要三个元素，即待截取字符，截取的位数和截取的起始位置，源数据是待截取字符，而截取的长度是指定，截取的起始位置值是将用户输入的密码、机器码，或服务器端返回的数据拆分成几个之后都加1，拆分的个数需要和计划导入的源数据的组数相同。

4.依据权利要求 1 所述的数字加密算法，其特征是：进制转换是将任何一种数据转换成另一种进制的数据，进制转换的过程是相互的，进制转换将任何字符作为进制的基本元素，加密不使用负数数据，进位和正数 10 进制数据一样，也是进制数的一次方、二次方、三次方依次递增，转换后的数据位数达不到程序设计需要的位数时，用 0 补足高位数，为了方便编程和加密，采用的是数字和字母混合的62进制，汉字利用区位码转换成10进制，再转换成62进制。

5.依据权利要求 1 所述的数字加密算法，其特征是：字符转码是利用字符转码算法实现的，用一个字符或一组字符通过转码算法获得另一个字符或一组字符的方法就是字符转码，字符转码是字符组进行转码，字符组转码需要转码算法指令集和转码表共同实现，转码算法遵循以下规律：

1：不同的源码相同的算法转换之后结果是不能相同的；

2：同一源码的几种算法的转换结果互相也不能相同；

3：转码的结果不能与源码相同；

4：转码要设置几种转码算法，以强化密码的组合复杂性，

转码算法利用了同类字段或同类数据表进行转码算法排序，

转码算法指令集：待转码的每个字符作为源码，需要指令转码方向才能获得正确的结果，指令集的数据和待转码的数据存在对应关系，即一个指令字符对应一个待转码字符，经过指令规则转换成另外一个字符。

6.依据权利要求 1 所述的数字加密算法，其特征是：重排字符位置由字符长度分割表和排列位置指令集完成，将组合后的数据按指定的字符长度进行分割，指定分割长度的表就是字符长度分割表，合成过程中改变密码排列次序的表就是排列位置指令集，将所有的密码数据组合形成一个长数据，利用字符长度分割表分割成几部分，字符长度分割表分割后，再利用排列位置指令集对已经分割的数据进行重新排序，字符长度分割表和排列位置指令集表的数据位数具有对应性，字符长度分割表有一个不确定值，将确定长度的值分割完毕后，剩下的就由不确定值所在的位置分割，字符长度分割表和排列位置指令集的数据位数具有对应性，也就是被分割成几段，那么重新排序的也是相应数量，而且排列位置指令集既不能出现相同的段号数，也不能出现没有的段号或已有的段号没有出现，字符长度分割表确定值的总数不能大于字符长度。

7.依据权利要求 1 所述的数字加密算法，其特征是：替代字符串是将字符中的部分字符用别的字符替代的一种加密技术，替代是单个字符替代，或者是字符串替代，替代利用字符替代表完成，字符替代表数据分为记录编号和替代字符串，记录编号出现的字符就是需要替代的字符，程序将需要替代的字符都抽取出来，进行分组，分组后的字符位数需要与记录编号位数一致，最后一组没有相应的位数时，放弃替代或指定增加位数，查找字符替代表中与之对应的记录编号，确定替代字符串，由于抽取出来的几个字符原位置是不相同的，需要确定插入位置并将其他字符的原位置空格清除，字符替代表的记录编号设计需要注意，记录编号需要列举所有可能出现的组合，替代的字符数需要适中，不允许出现加密过程或加密数据不存在的字符，只要是加密数据存在的字符都能够作为替代字符，即使是替代的原数据字符也允许出现，字符替代表不同的表记录编号是不同或相同的，不同的表不要求记录编号的位数相同。

8.依据权利要求 1 所述的数字加密算法，其特征是：缺失分为缺失源和加密缺失符，缺失的硬件连接变量为缺失源，而加密后的结果的缺失字符称为加密缺失符，缺失源需要指明原数据的值域和字符长度，加密缺失符需要限制字符位置，加密缺失符的位置限制由缺失源所在的连接变量确定，也就是连接变量限制加密缺失符的位置后，将连接变量数据的字符全部或部分删除作为缺失源，加密缺失符是2至3个，加密缺失符的字符位置由缺失源所在的数据确定，数据变量连接除以加密后的数据位数，余数加 1 为几，所在位置的字符即为加密缺失符，然后利用这个连接变量数据锁定另一个连接变量数据后，将其剔除，利用另一个变量连接数据限制第二个加密缺失符位置，二者位置一致时，利用第一个加密缺失符确定第二个加密缺失符，加密缺失符的加密将加密结果的高进制数据转换成低进制数据，再确定加密缺失符位置，再将结果转换成高进制数据保存。

9.依据权利要求1所述的数字加密算法，其特征是：动态数字证书通过身份验证后，由服务器返回动态数据，并更新证书，将更新后的数字证书以可读写的方式存贮，下次使用时，服务器即返回存贮的动态数据，供身份验证，验证通过后，再次发送新的动态数据供再次验证使用，在身份验证页面，用户名不需要由用户输入，而是由服务器返回的数据自动解码用户名，没有用户名，则密码无法输入。