CN119203080A - 一种数据绑定的合规码方法和系统 - Google Patents

Abstract

本发明公开了一种数据绑定的合规码方法和系统，属于数据安全与信息隐藏领域，包括两个部分：水印嵌入和水印提取两个过程。所述的水印嵌入包括了：数据集准备、明文加密准备、使用AES算法对合规码加密以及嵌入数据库水印操作。水印提取阶段则是与嵌入操作大致相同，分为数据集准备、密文解密准备、使用AES算法对数据进行解密，从而得到水印数据。本方案解决了以数据库水印技术来实现将数据交易中数据与合规码进行绑定的操作。

Description

一种数据绑定的合规码方法和系统

技术领域

本发明涉及数据安全和信息隐藏领域，具体涉及了一种数据绑定的合规码方法和系统。

背景技术

随着计算机网络和大数据技术的快速发展，数据库成为政府、企业以及个人获取和传递信息的重要载体。但其在创建、传输和共享的过程中也带来了数据盗窃、非法复制和侵犯版权等问题。为了解决上述问题，数据库水印技术应运而生。

数据库水印技术主要是为了解决网络环境下数据库应用日益增多带来的数据窃取、非法拷贝等问题。随着计算机技术和网络技术的发展，数据库在网络上的应用越来越广泛，数据的价值性与变现能力导致数据黑灰产愈发猖獗。因此，人们开始关注信息数据库的版权保护，以防止数据库非法窃取者有机可乘，从而使数据库版权所有者遭受重大损失。

2002年，Agrawal等人首次提出了数据库水印技术。由于数据库数据量大但冗余小，需要对数据进行一定的正常操作等特点，不能将传统多媒体数字水印技术直接应用到数据库中。因此，必须研究数据库和数字水印技术的特点，开发一种满足数据库版权保护的水印技术，来解决数据库的版权保护问题。

近年来，数据库水印技术在安全需求驱动下，得到快速发展与应用。例如，鲁棒数据库水印主要用于数字版权保护和追踪溯源，脆弱数据库水印主要用于数据的完整性保护和认证。此外，还有无失真数据库水印、有失真数据库水印、可逆数据库水印等不同类型的数据库水印技术。

数据交易中的合规码，主要是指在数据交易过程中，为保证数据交易的合法性、安全性和有效性，所制定的一系列规则和标准。

随着数据价值的逐渐凸显，国家大力倡导和扶持数字经济发展，数据已经成为当今时代国家重要的基础性、战略性资源。2020年，我国正式将数据列为新型生产要素，高度重视数据市场的培育。数据交易，是促进数据流动、激发数据活力的关键环节，是加快建设数据要素市场的重点内容。

结合大数据应用场景，本发明选择以数据库水印技术来实现数据绑定操作。

发明内容

本发明所解决的技术问题在于提供一种数据绑定的合规码方法和系统，用于核验数据的违规缓存、违规出售和违规获取，数据可信度评估以及数据溯源。

本发明提供的基础方案：一种数据绑定的合规码方法，包括以下步骤：包括以下步骤：

S100：对数据库库的结构进行重构，建立属性拆分表、用户层级表以及密钥表；

S200：获取到合规码标签数据后，判断明文字节是否为16字节的倍数，当不为16字节的倍数时对明文字节进行填充，并通过加密算法进行加密，得到密文；

S300：选取加密算法对数据进行加密操作，嵌入到对应需要数据绑定的数据表中；

S400：获得加密操作的合规码数据后，对主外键进行重构；

S500：查找将目标数据库的对应数据表以及关联数据表，根据合规码加解密操作，将数据进行解密处理，得到合规码明文，根据属性拆分表所建立时的隐含规则所构建的主外键关系，找到本表所关联的数据表，从而得到本条合规码所绑定的数据本身，完成数据水印的提取及溯源操作。

进一步，所述S100包括以下步骤：

S110：新建立三个表，包括属性拆分表、用户层级表以及密钥表；

S120：属性拆分表用于将数据库中的各个需要进行绑定的数据表的属性进行一个汇总与拆分，使这些表适应多种规则；

S130：用户层级表则是用于通过K-Tree树状结构来系统的描述本数据库中的数据分发的层级关系；

S140：密钥表用于描述了对于存储数据使用者的名称、代号以及其对应的密钥和0-1属性表；

S150：在不改变该数据库几个表内的数据相互关系的前提下，将表的主外键进行变更，从而得到自己生成的对应主外键，在其之上施加对应的隐含规则来作为嵌入的水印信息。

进一步，S300包括以下步骤：

S310：通过AES对称加密算法来对数据进行一个加密操作；

S320：利用AES来对对应需要嵌入的合规码进行加密后，嵌入到对应需要数据绑定的数据表中；使用AES加密算法时，需要进行10轮循环加密操作，在一开始对明文进行轮密钥加操作后，进入第一轮操作，即字节代替，行移位，列混淆最后在轮密钥加，完成一轮后依次循环完成十轮后获得加工好的密文；

S330：解密操作就是加密操作的逆操作，且加解密所使用的密钥为同一个。

进一步，S400包括以下步骤：

S410：在获得加密操作后的合规码数据之后，将这些数据按顺序单独存放到一个数据表当中，然后利用第一步中根据隐含规则和相关算法自己构建的属性拆分表，将原本数据库当中对应需要进行绑定操作的数据表以该属性拆分表的形式来进行主外键的重构。

本方案的原理为：

1.准备数据集

（1）需要先对数据库的结构重新架构：需要在当前数据库中新建立三个表，即属性拆分表、用户层级表以及密钥表。属性拆分表是将数据库中的各个需要进行绑定的数据表的属性进行一个汇总与拆分，让这些表可以适应多种规则。主要作用是，考虑到一个表字段可能会很多，而对于不同的用户层级来说，只会有权限查看一部份字段的值，因此也只可能泄漏一部分的值，所以我们可以从一部分的值中去溯源回来。在附图表说明中，0代表未获得对应属性字段权限，1则是获得相关权限，而wm代表水印内容，即在wm所在方位来嵌入处理水印。

用户层级表则是可以通过K-Tree树状结构来系统的描述本数据库中的数据分发的层级关系。树中的节点数据存储的是每个数据使用人员的代号例如U1，U2等，而根节点代表分发的原始数据的拥有者，每一个子节点的父节点代表上一级的数据分发者。

密钥表则是描述了对于存储数据使用者的名称、代号以及他对应的密钥和0-1属性表。密钥示意表中最后一列表示该使用对象所具有的访问属性对应哪一个属性拆分表中的对象，从而继承他的访问权限。（2）需要准备好合规码标签数据和水印预架构。连接数据库，读取需要进行绑定的合规码源数据，即水印源。

在不改变该数据库几个表内的数据相互关系的前提下，将数据表的主外键进行变更，从而得到自己生成的对应主外键，在其之上施加对应的隐含规则来作为嵌入的水印信息。这样一旦数据泄露则可以通过提取的水印来追踪数据泄漏的源头。

2.明文加密准备

获取到合规码标签数据后，考虑到数据大小不一定是16字节的倍数，本方案选取的加密算法为AES128加密算法，如果明文字节数不满足为16字节的倍数，则需要进行填充操作。将明文加工处理好后则可以进行加密操作获得对应密文。

3.合规码加解密流程

选取一个合适的加密算法，此处我以AES对称加密算法来对数据进行一个加密操作。利用AES来对对应需要嵌入的合规码进行加密后，嵌入到对应需要数据绑定的数据表中。使用AES加密算法时，需要进行10轮循环加密操作，在一开始对明文进行轮密钥加操作后，进入第一轮操作，即字节代替，行移位，列混淆最后在轮密钥加，完成一轮后依次循环完成十轮后获得加工好的密文。而解密操作因为AES的对称性，他的解密操作就是加密操作的逆操作，且加解密所使用的密钥为同一个。

4.加密完成开始水印嵌入。

在获得加密操作后的合规码数据之后，将这些数据按顺序单独存放到一个数据表当中，然后利用第一步中根据隐含规则得到的属性拆分表，将原本数据库当中对应需要进行绑定操作的数据表以该属性拆分表的形式来进行主外键的重构，这样便可以将想嵌入的某一条合规码数据从单独存放的数据表当中，提取出来放到属性拆分表当中的对应位置，这样就实现了一条合规码的绑定嵌入。这样嵌入不会影响到原本数据表的数据关系，但是能利用表之间的主外键关系将属性拆分表和原表关联起来，从而实现水印功能。如果需要逐条进行大批量的绑定，则可以利用循环语句实现需求。

5.提取水印及数据溯源操作

在需要进行水印信息提取的时候，将目标数据库的对应数据表以及其所关联的属性拆分表找到，将所携带信息拿出。再根据基于合规码的加解密操作，将数据进行解密处理后，即可拿到合规码明文。根据属性拆分表所建立时的隐含规则所构建的主外键关系，找到本表所关联的数据表，从而得到本条合规码所绑定的数据本身，完成数据水印的提取及溯源操作。

本发明利用数据库水印的方法以及采用对称加密算法，设计出的一种数据绑定的合规码系统。该系统以结构化数据来作为数据库支撑，在交易的每个需要绑定的环节，通过把合规码标签数据以数据库水印形式与数据进行绑定，保护交易过程。

本发明利用数据库水印的方法以及采用对称加密算法，设计出的一种数据绑定的合规码系统。该系统以结构化数据来作为数据库支撑，在交易的每个需要绑定的环节，通过把合规码标签数据以数据库水印形式与数据进行绑定，保护交易过程。

本发明还提供一种数据绑定的合规码系统，包括数据库重构模块，用于对数据库库的结构进行重构，建立属性拆分表、用户层级表以及密钥表；

要求判定模块，用于获取到合规码标签数据后，判断明文字节是否为16字节的倍数，当不为16字节的倍数时对明文字节进行填充，并通过加密算法进行加密，得到密文；

嵌入操作模块，用于选取加密算法对数据进行加密操作，嵌入到对应需要数据绑定的数据表中；

主外键重构模块，用于获得加密操作的合规码数据后，对主外键进行重构；

数据提取溯源模块，用于查找将目标数据库的对应数据表以及关联数据表，根据合规码加解密操作，将数据进行解密处理，得到合规码明文，根据属性拆分表所建立时的隐含规则所构建的主外键关系，找到本表所关联的数据表，从而得到本条合规码所绑定的数据本身，完成数据水印的提取及溯源操作。

附图说明

图1为本发明一种数据绑定的合规码方法实施例的用户层级表示意图；

图2本发明一种数据绑定的合规码方法实施例的AES加密算法原理介绍图；

图3本发明一种数据绑定的合规码方法实施例的合规码加密流程介绍图；

图4本发明一种数据绑定的合规码方法实施例的数据绑定方法流程简介图。

具体实施方式

下面通过具体实施方式进一步详细说明：

实施例基本如附图1所示：一种数据绑定的合规码方法，包括以下步骤：

（1）数据库结构预架构。

在数据库中新构建出三个数据表，分别是：属性拆分表、用户层级表以及密钥表。三表如下所示：

表1 属性例表

表2属性拆分表例表

表3 密钥表示意表

属性拆分表是将数据库中的各个需要进行绑定的数据表的属性进行一个汇总与拆分，让这些表可以适应多种规则。主要作用是，考虑到一个表字段可能会很多，而对于不同的用户层级来说，只会有权限查看一部份字段的值，因此也只可能泄漏一部分的值，所以我们可以从一部分的值中去溯源回来。在附图表说明中，0代表未获得对应属性字段权限，1则是获得相关权限，而wm代表水印内容，即wm所在方位来嵌入处理水印。

用户层级表则是可以通过K-Tree树状结构来系统的描述本数据库中的数据分发的层级关系。树中的节点数据存储的是每个数据使用人员的代号例如U1，U2等，而根节点代表分发的原始数据的拥有者，每一个子节点的父节点代表上一级的数据分发者。

密钥表则是描述了对于存储数据使用者的名称、代号以及他对应的密钥和0-1属性表。密钥示意表中最后一列表示该使用对象所具有的访问属性对应哪一个属性拆分表中的对象，从而继承他的访问权限。

（2）准备合规码标签数据和水印预架构。

利用Java自带的函数库，可以实现将数据库中的目标数据即合规码提取出来，通过此方法可以得到需要进行绑定的合规码源数据，即水印源。

在不改变该数据库几个表内的数据相互关系的前提下，将表的主外键进行变更，从而得到自己生成的对应主外键，在其之上施加对应的隐含规则来作为嵌入的水印信息。这样一旦数据泄露则可以通过提取的水印来追踪数据泄漏的源头。对应数据库中，每一模块的数据之间的隐含规则，需要使用一定的算法来找出对应的规则。假设此次合规码涉及到的数据是购物篮数据，那么可以使用Apriori关联规则学习算法来找出隐含规则。找出之后则可以应用到数据库设计当中，以外键的形式来表示这种关系。基于以上步骤，则可以简单架构好数据库的表结构，最后本方法需要定期验证和检查所设计的规则，避免数据更新后规则是否能继续应用到该水印。

准备加密数据。

将合规码从数据库中提取出来，选取一组合规码数据作为水印明文，进行加密操作。

第二步，合规码加密准备

本发明采用加密算法来帮助合规码进行加密，算法选择AES算法，不使用统一的密码是为了防止攻击。

AES是高级加密标准，AES支持三种长度的密钥：128位，192位，256位。本方法采用AES128。

本发明采用AES128的原因如下：运算速度快、内存需求低、设计灵活、安全性高、易于并行计算。

a）填充

AES具有分组加密的特性，也就是在对明文进行加密的时候，不是将明文全部一起加密成一整段密文而是把明文拆分成一个个独立的明文块，每块长度为128bit。而明文块经过AES加密器的处理后，生成对应的一个个密文块，将密文块拼接后，则得到最终的加密结果。

但是如果明文长度不是128的倍数，则拆分后的明文块或许不能满足128bit的要求，这时候就需要对明文块进行填充（Padding）。填充模式分为三种，在这不做过多介绍，本发明采用默认的PKCS5Padding填充方法对明文，即合规码进行填充。

第三步，合规码加解密流程。

本加密算法涉及4种操作：字节替代（SubBytes）、行移位（ShiftRows）、列混淆（MixColumns）和轮密钥加（AddRoundKey），而解密算法的每一步则对应加密算法的每一步的逆操作。加解密中每一轮的密钥分别由一开始设定的种子密钥经过密钥扩展算法得到。算法中所涉及到的16字节的明文、密文和轮子密钥都以一个4x4的矩阵来表示出。

AddRoundKey （轮密钥加）：矩阵中的数据每一个字节都与该次的轮密钥（roundkey）做XOR（异或）运算；每个子密钥由密钥生成方案产生。我们选取一组合规码将之转变成一个明文矩阵P和事先设置好的一个轮密钥矩阵K，那么轮密钥加操作可以表示为：

其中，C是加密后获得的合规码的密文矩阵，表示按位异或操作。

SubBytes（字节替代）：通过非线性的替换函数（S盒），用查找表的方式把每个字节替换成对应的字节。此时将我们上一步获得的密文矩阵，即此步骤中的状态矩阵S，利用查找表的方式替换字节。替代操作可以表示为：

其中，是字节替代后的状态矩阵，是字节替代函数。

ShiftRows（行移位）:将矩阵中的每个横列进行循环式向左移位。将上一步处理过后的状态矩阵S进行行移位，那么行移位操作可以表示为：

其中，S'是行移位后的状态矩阵，是行移位函数。

如果我们将状态矩阵S的第i行和第j列的元素表示为S[i][j]，那么行移位操作可以用以下公式表示：

MixColumns （列混淆）:为了充分混合矩阵中各个直行的操作。将上一步获得的状态矩阵进行列混淆操作：

其中，是列混淆后的状态矩阵，是列混淆函数。

在图3中展示了循环此四个步骤进行数据加密的过程，从而获得对应合规码加密后的数据。

第四步，将密文嵌入到指定位置，完成水印

在获得加密操作后的合规码数据之后，将这些数据按顺序单独存放到一个数据表当中，这个表只作为中间存储使用，故没有其他格式要求。然后利用第一步中根据隐含规则和相关算法自己构建的属性拆分表，将原本数据库当中对应需要进行绑定操作的数据表以该属性拆分表的形式来进行主外键的重构，这样便可以将想嵌入的某一条合规码数据从单独存放的数据表当中，提取出来放到属性拆分表当中的对应位置，即表2例表当中的scope位置上，scope元组在属性拆分表中是新创建的元组，其他元组则是该属性拆分表利用隐含规则所关联的数据表的其他元组。这样就实现了一条合规码的绑定嵌入。这样嵌入不会影响到原本数据表的数据关系，但是能利用表之间的主外键关系将属性拆分表和原表关联起来，从而实现水印功能。如果需要逐条进行大批量的绑定，则可以利用一个循环语句即可实现。

在进行大规模的绑定的同时，需要在sql语句中提前使用？作为占位符，这样可以方便后期维护，防止注入式攻击。

第五步，提取水印及数据溯源操作

在需要进行水印信息提取的时候，将目标数据库的对应数据表以及其所关联的属性拆分表找到，然后在属性拆分表中的scope元组中，将所携带信息拿出。再根据第三步中基于合规码的加解密操作，因为本发明所使用的加密方法为AES加密方法，其解密步骤是加密步骤的逆向操作，如图3右侧所示。将数据进行解密处理后，即可拿到合规码明文。再根据属性拆分表所建立时的隐含规则所构建的主外键关系，找到本表所关联的数据表，从而得到本条合规码所绑定的数据本身，完成数据水印的提取及溯源操作。流程如图4所示。

在发明文档中因为嵌入与提取方法大致相同，故步骤说明加解密并为一点进行介绍，在最后附图进行说明。

本方案还提供 一种数据绑定的合规码系统，包括：

数据库重构模块，用于对数据库库的结构进行重构，建立属性拆分表、用户层级表以及密钥表；

要求判定模块，用于获取到合规码标签数据后，判断明文字节是否符合要求，当不符合要求时进行填充，并通过加密算法进行加密，得到密文；

嵌入操作模块，用于选取加密算法对数据进行加密操作，嵌入到对应需要数据绑定的数据表中；

主外键重构模块，用于获得加密操作的合规码数据后，对主外键进行重构；

数据提取溯源模块，用于查找将目标数据库的对应数据表以及关联数据表，根据合规码加解密操作，将数据进行解密处理，得到合规码明文，根据属性拆分表所建立时的隐含规则所构建的主外键关系，找到本表所关联的数据表，从而得到本条合规码所绑定的数据本身，完成数据水印的提取及溯源操作。

以上的仅是本发明的实施例，方案中公知的具体结构及特性等常识在此未作过多描述，所属领域普通技术人员知晓申请日或者优先权日之前发明所属技术领域所有的普通技术知识，能够获知该领域中所有的现有技术，并且具有应用该日期之前常规实验手段的能力，所属领域普通技术人员可以在本申请给出的启示下，结合自身能力完善并实施本方案，一些典型的公知结构或者公知方法不应当成为所属领域普通技术人员实施本申请的障碍。应当指出，对于本领域的技术人员来说，在不脱离本发明结构的前提下，还可以作出若干变形和改进，这些也应该视为本发明的保护范围，这些都不会影响本发明实施的效果和专利的实用性。本申请要求的保护范围应当以其权利要求的内容为准，说明书中的具体实施方式等记载可以用于解释权利要求的内容。

Claims (5)

1.一种数据绑定的合规码方法，其特征在于：包括以下步骤：

S100：对数据库库的结构进行重构，建立属性拆分表、用户层级表以及密钥表；

S200：获取到合规码标签数据后，判断明文字节是否为16字节的倍数，当不为16字节的倍数时对明文字节进行填充，并通过加密算法进行加密，得到密文；

S300：选取加密算法对数据进行加密操作，嵌入到对应需要数据绑定的数据表中；

S400：获得加密操作的合规码数据后，对主外键进行重构；

S500：查找将目标数据库的对应数据表以及关联数据表，根据合规码加解密操作，将数据进行解密处理，得到合规码明文，根据属性拆分表所建立时的隐含规则所构建的主外键关系，找到本表所关联的数据表，从而得到本条合规码所绑定的数据本身，完成数据水印的提取及溯源操作。

2.根据权利要求1所述的一种数据绑定的合规码方法，其特征在于：所述S100包括以下步骤：

S110：新建立三个表，包括属性拆分表、用户层级表以及密钥表；

S120：属性拆分表用于将数据库中的各个需要进行绑定的数据表的属性进行一个汇总与拆分，使这些表适应多种规则；

S130：用户层级表则是用于通过K-Tree树状结构来系统的描述本数据库中的数据分发的层级关系；

S140：密钥表用于描述了对于存储数据使用者的名称、代号以及其对应的密钥和0-1属性表；

S150：在不改变该数据库几个表内的数据相互关系的前提下，将表的主外键进行变更，从而得到自己生成的对应主外键，在其之上施加对应的隐含规则来作为嵌入的水印信息。

3.根据权利要求2所述的一种数据绑定的合规码方法，其特征在于：所述S300包括以下步骤：

S310：通过AES对称加密算法来对数据进行一个加密操作；

S320：利用AES来对对应需要嵌入的合规码进行加密后，嵌入到对应需要数据绑定的数据表中；使用AES加密算法时，需要进行10轮循环加密操作，在一开始对明文进行轮密钥加操作后，进入第一轮操作，即字节代替，行移位，列混淆最后在轮密钥加，完成一轮后依次循环完成十轮后获得加工好的密文；

S330：解密操作就是加密操作的逆操作，且加解密所使用的密钥为同一个。

4.根据权利要求3所述的一种数据绑定的合规码方法，其特征在于：所述S400包括以下步骤：

S410：在获得加密操作后的合规码数据之后，将这些数据按顺序单独存放到一个数据表当中，然后利用第一步中根据隐含规则和相关算法自己构建的属性拆分表，将原本数据库当中对应需要进行绑定操作的数据表以该属性拆分表的形式来进行主外键的重构。

5.一种数据绑定的合规码系统，其特征在于，包括：

数据库重构模块，用于对数据库库的结构进行重构，建立属性拆分表、用户层级表以及密钥表；

要求判定模块，用于获取到合规码标签数据后，判断明文字节是否为16字节的倍数，当不为16字节的倍数时对明文字节进行填充，并通过加密算法进行加密，得到密文；

嵌入操作模块，用于选取加密算法对数据进行加密操作，嵌入到对应需要数据绑定的数据表中；

主外键重构模块，用于获得加密操作的合规码数据后，对主外键进行重构；

数据提取溯源模块，用于查找将目标数据库的对应数据表以及关联数据表，根据合规码加解密操作，将数据进行解密处理，得到合规码明文，根据属性拆分表所建立时的隐含规则所构建的主外键关系，找到本表所关联的数据表，从而得到本条合规码所绑定的数据本身，完成数据水印的提取及溯源操作。