[发明专利]一种数据库数据加密系统和方法

说明书

技术领域

本发明涉及信息安全技术领域，特别是涉及一种数据库数据加密系统和方法。 

背景技术

通常地，数据加密有两种不同情况，一种是通信数据的加密，另一种是存储数据的加密，而存储数据通常利用数据库进行加密。序列密码只能用于通信数据的加密，不能用于存储数据的加密，因为对数据库中的不同文件要用不同密钥加密才行，而密钥是秘密变量，很难处理，因此，对数据库中的存储数据一般用分组密码进行加密。 

分组加密也叫“块加密”(bloc cipher)，一个分组明码在一个分组密码的作用下变换成一个分组的密码。他冲破了序列密码(即流密码：stream cipher)的传统操作方式，不再逐比特(bit)或逐字进行加密操作，而将一个分组作为基本的加密单位。 

一个分组可以是64比特或者256比特不等，称为分组宽度。 

分组密码的另一个特点是对不同的明文分组可以用相同的密钥加密，因此其密钥管理非常方便。这在序列密码中是做不到的，因为序列密码要求每次的加密都不能重复使用相同的密钥，而这给密钥管理带来很大不便。 

由于分组密码是以“块”为单位运算的，因此一个比特的错误可能导致一个分组的错误扩散。相比之下，序列密码则是一个比特的错误只能导致一个比特的错误，他不引起错误扩散，但是其一比特的失步，却引起整个通信的失败。 

20世纪70年代，分组密码已经出现，便引起广泛的注意，并得到了广泛的应用。于是相继出现了各种分组加密体制，其中最有名的有DES、AES加密算法等，并已成为国际标准。 

根据存储数据的不同，数据库分为文献库和关系库，文献库是数据仓库，而关系库所存储的数据则是表格类数据。表格有横行和纵行构成，横行称为记 录，纵行称为字段。因此一个记录是由多个字段构成的，各字段的长度不同，称为段长。如果选用分组加密体制对各个字段加密，那么当段长小于分组宽度，或段长不是分组宽度的倍数时，加密后的段长会发生变化，一个段长至少是一个分组宽度或它的倍数。 

现有技术中的关系数据库加密技术存在以下缺陷： 

1)数据经加密后，段长不能保持不变。现有的密码体制，如AES、DES体制，其密码宽度是固定的，因而当对长度小于密码宽度的数据进行加密时，产生数据的扩展，改变原数据结构。例如性别字段，一个字节就可以表示男或者女，或者两个字节可以用汉字表示“男”或“女”，经加密后段长不能保持一个字节或者两个字节。 

2)ASK码经加密后，不能做到既可以是不可显的二进制数据，也可以是可显的ASK码。 

发明内容

本发明目的在于提供一种数据库数据加密系统和方法，其能够有效地保护数据库中数据的安全。 

为实现本发明目的而提供的一种数据库数据加密系统，包括： 

模Q非线性反馈移位寄存器，置换表置换模块，代替表变换模块，以及运算模块，其中： 

所述模Q非线性反馈移位寄存器，用于以给定密钥为初值，进行非线性反馈，其反馈数值经预设的代替表的代替变换，连续生成18个状态的派生密钥，在分组密码各圈加解密运算中运用； 

所述置换表置换模块，用于以字节为单位变换； 

所述代替变换模块用于以字节为单位进行代替； 

所述运算模块，用于将数据库中的数据按字节进行扩展或者集中，进行横向累加，在所述模Q非线性反馈移位寄存器代替变换出的派生密钥指示下，进行置换和代替运算，完成数据库数据加解密。 

所述的数据库数据加密系统，还可以包括库密钥管理模块，用于对库内所用库密钥、目录密钥、表密钥以及记录密钥、字段密钥进行管理。 

为实现本发明目的还提供一种数据库数据加密方法，包括下列步骤： 

步骤A，模Q非线性反馈移位寄存器以给定密钥为初值，进行非线性反馈，其反馈数据经预设代替表的代替变换，连续生成18个状态的派生密钥，在分组密码各圈加解密运算中运用； 

步骤B，将数据库中的数据按字节进行扩展或者集中，进行横向累加，在模Q非线性反馈移位寄存器代替变换出的派生密钥指示下，进行置换和代替运算，完成数据库数据加解密。