[发明专利]一种数据安全防护方法和系统

说明书

本申请实施例提出了一种数据安全防护方法和系统，该方法应用于客户端设备，该方法包括：在用户进行登录操作时，生成对称密钥和非对称密钥；非对称密钥包括第一私钥；通过ReactNative框架的原生层实现使用内置公钥对对称密钥进行加密，得到第一密文，将第一密文发送给服务端设备；服务端设备用于通过内置私钥对第一密文进行解密，得到对称密钥；在接收到服务端设备发送的用户的登录成功信息后，接收用户的请求报文；通过ReactNative框架的原生层实现使用对称密钥加密用户的请求报文，得到加密后的请求报文，以及使用第一私钥对用户的请求报文进行签名，得到第一签名；将加密后的请求报文和第一签名发送至服务端设备。

技术领域

本申请涉及金融科技(Fintech)的云计算技术领域，尤其涉及一种数据安全防护方法和系统。

背景技术

随着计算机技术的发展，越来越多的技术应用在金融领域，传统金融业正在逐步向金融科技转变，但由于金融行业的安全性、实时性要求，也对技术提出了更高的要求。

相关技术中，参见图1A，客户端/服务器(Client/Server，C/S)架构之下的应用软件(Application，APP)和服务器之间的接口通信，基本都是使用超文本传输协议/超文本传输安全协议(Hypertext Transfer Protocol/Hyper Text Transfer Protocol overSecureSocket Layer)进行数据传输。HTTP协议的报文内容是明文的，因此，如果在网络传输过程中，如果报文被恶意攻击者劫持，攻击者就可以读取到报文里面所携带的信息甚至对报文信息作出修改然后重新发送，存在信息泄露和被篡改等风险。如果关键交易接口的信息被篡改，可能造成系统异常、资金损失等更加重大的风险。为了提高安全性，大部分应用都会迁移到使用HTTPS协议进行传输。HTTPS协议在HTTP的基础上增加了证书认证和数据加密机制。在网络传输过程中，报文的内容是经过特定机制加密的，攻击者截取到报文后无法直接读取报文内容。HTTPS加密的安全性依赖于它的证书认证机制，客户端的操作系统环境会有预置的根证书可以校验服务端的HTTPS证书的合法性。虽然HTTPS协议号称是一种安全的传输协议，但它依然存在被攻击的漏洞。HTTPS的证书验证机制需要依赖操作系统内预置的根证书来对服务器的证书进行验证。如果攻击者突破了客户端的安全防护，向用户的操作系统内添加攻击者自己的证书。或者用户安装了一些其他的恶意软件，并在使用过程中无意授权他们向操作系统添加了攻击者的证书。只要操作系统的根证书里面多了攻击者的证书，操作系统在处理HTTPS证书校验时，就可以使用攻击者的证书来对服务器下发的证书进行校验，从而给中间人攻击创造了条件。攻击者通过实施中间人攻击，即可获取到通过HTTPS协议传输的报文的明文内容。可见，在客户端与服务器进行数据传输时，无论采用HTTP协议还是HTTPS协议，均存在信息泄露、被篡改等风险，无法确保数据在传输过程中的安全性。

发明内容

本申请提供一种数据安全防护方法和系统，可以解决相关技术中在客户端设备与服务端设备进行数据传输时，数据安全性低的问题。

本申请的技术方案是这样实现的：

本申请实施例提供了一种数据安全防护方法，应用于客户端设备，所述方法包括：

在用户进行登录操作时，生成对称密钥和非对称密钥；所述非对称密钥包括第一私钥；

通过ReactNative框架的原生层实现使用内置公钥对所述对称密钥进行加密，得到第一密文，将所述第一密文发送给服务端设备；所述服务端设备用于通过内置私钥对所述第一密文进行解密，得到所述对称密钥；

在接收到所述服务端设备发送的用户的登录成功信息后，接收所述用户的请求报文；

通过所述ReactNative框架的原生层实现使用所述对称密钥加密所述用户的请求报文，得到加密后的请求报文，以及使用所述第一私钥对所述用户的请求报文进行签名，得到第一签名；将所述加密后的请求报文和所述第一签名发送至所述服务端设备。