▪CPK的数据签名长度短：
CPK中192位的ECC签名数据长度为48字节； PKI中1024位密钥的签名数据长度为256字节。
▪CPK对签名数据的验证具有直接性：
CPK可直接通过标识与公钥矩阵的计算过程完成对公钥自身的证明，具有自证性； PKI是基于第三方的，证书的证明依赖于第三方机构（CA）来完成，需要CA提供在线支持方可证明。
互联网技术的飞速发展使政府部门内部、政府部门之间、企业内部、企业与企业之间基于互联网技 术协同工作和共享数据的需求也在日益增长，企业的一笔业务往往会涉及到不同业务域或同一业务域的 多个应用，如何保证数据在多个应用之间交换时的安全性，就成为基于互联网环境下相关应用需要解决 的首要问题。数据交换的安全性体现在：
CPK数字信封工作原理：
1、在CPK数字信封技术中主要是利用CPK的密钥交换技术实现对对 称加密密钥（即会话密钥）的分发问题。
2、用于数据加密的密钥称为会话密钥，每次通话都要更新。
北京易恒信认证科技有限公司
数据库安全存储与解决方案 数据库数据安全交换
与基于PKI体制实现签名、信封的技术比较
(1)数字签名与验证
数据共享交换平台
前置数据 前置机 库
数据交换桥接系 统
业务 数据库
…
业务 数据库
委办局
… …
前置数据 前置机 库
数据交换桥接系 统
业务 数据库
…
业务 数据库
委办局
该数据库数据交换的数据交换节点由一个 资源中心和多个委办局构成，每个委办局 都有一个前置机。各个委办局通过前置机 和外部连接，所有和业务系统的数据交换 是由前置机完成的。各前置机之间及前置 机与资源中心之间所要交换的数据往往是 通过互联网传送的，为保障数据传送的安 全性，必须对传送的数据进行加密处理， 从而实现委办局和委办局之间、委办局和 资源中心之间的数据安全交换。资源中心 数据库的关键数据需要加密存储保障数据 库数据的安全。同时由于前置机和外部相 连，前置机中的数据库数据需要加密存储 从而保障数据库的安全性。
数据库安全存储与交换解决方案
北京易恒信认证科技有限公司
数据库安全存储与解决方案 项目背景
随着计算机科学技术的发展与普及，特别是计算机在国民经济各重要部门的广泛应用，计算机安全 已是当前信息社会非常关注的突出问题。而数据库系统担负着存储和管理信息的任务，集中存放着大量 数据，而且又为众多最终用户直接共享，泄漏或破坏这些信息将会给国家带来巨大的损失，可能造成企 业瘫痪，甚至危及国家安全。因而使安全性问题更为突出。如何保证和加强其安全性和保密性，已成为 目前迫切需要解决的课题。数据库的安全性主要是指保护数据库以防止非法存取，保证数据库中数据的 完整性，一致性以及数据库备份与恢复。数据库安全保密的目标是：非授权用户进不来，拿不走，看不 懂。即攻击者很难进人数据库系统，即使进入系统也无法获取有用的信息，即使获取了信息，也无法辨 识。
数据库安全存储与解决方案 流程
流程一：两个委办局交换数据，数据不在平台落地交换方式
数据提供方将加密数据发送给平台，平台将加密数据直接交换给数据接收方，数据接收方解密数据。
步骤8： 平台记录数字信封。
步骤5： 平台记录回执信息。
市共享交换平台
步骤6： 平台将回执发给提供方平台节点。
步骤2： 提供方平台节点从前置机读取数据 ，用随机产生的会话密钥用对称算 法加密数据，用接收方公钥加密会 密钥制作数字信封并缓存，对数据 和交换行为标识进行签名，将签名 信息连同加密后的数据发给平台。
我公司采用南相浩教授发明的数据库专用加密算法，这个算法的优点是数据库加密后数据 的长度不变，而且数据类型也不变，这样不用改变数据库表的设计就可灵活对某些需要保密的 字段数据进行加密存储。
数据库加密算法中涉及到对称密钥，关于对称密钥的管理采用在数据库中建立一张密钥表 来存储各数据库表中对应字段加密所用的对称密钥。数据库加密技术中的密钥是为数据库各表 中需要加密的每个字段分配一个对称密钥，长度为8个字节，适用于对字段中的所有记录加密和 解密，而这个密钥采用CPK数字信封技术进行加密，然后存放到密钥表中。
图1 数据库数据交换架构
北京易恒信认证科技有限公司
数据库安全存储与解决方案 数据库数据安全存储
数 据 库 数 据 安 全 存 储
数据保存到平台： 由平台安全模块将关键数据加密后， 保存到平台数据库。
市共享交换平台
从平台取数据： 数据由平台安全模块解密后，再做进一步处理。
平台节点从前置机取数据发往平台： 前置机安全模块将数据解密后交给平 台节点做进一步处理。
原文数据
桥接系统 原文数据 业务系统
步骤14： 桥接系统将前置机上的数据保存 到业务系统。
提供方委办局
接收方委办局
北京易恒信认证科技有限公司
数据库安全存储与解决方案 流程
流程二：两个委办局交换数据，数据在平台落地交换方式
包括两个环节： （1）数据提供方将加密数据交换给平台，平台解密数据并保存； （2）平台对数据加密，再交换给数据接收方，数据接收方解密。
▪CPK制作的数字信封长度更短：
比PKI的要短得多，减少了网络的压力。
北京易恒信认证科技有限公司
数据库安全存储与解决方案 数据库数据安全交换 本课题的优势：
▪ 解决了关系数据库的安全存储问题； ▪ 实现了数据交换过程中的安全传输问题； ▪ 保障了数据交换的完整性、真实性和不可抵赖性。
北京易恒信认证科技有限公司
市共享交换平台
步骤1： 平台将数据用随机产生的会话密钥对称加密， 用接收方公钥加密会话密钥，制作数字信封 并缓存，对数据和交换行为标识进行签名， 将签名信息连同加密后的数据发给接收方 平台节点。
步骤2： 接收方平台节点接收加密数据和 相应的签名信息，并缓存在前置 机上。
回执
步骤3： 接收方平台节验证对交换行为标识的签名通过后， 对交换行为标识签名作为回执发给平台。
步骤2： 提供方平台节点从前置机读取数据 ，用随机产生的会话密钥用对称算 法加密数据，用共享平台公钥加密 会密钥制作数字信封并缓存，对数 据和交换行为标识进行签名，将签 名信息连同加密后的数据发给平台。
步骤1： 数据提供方桥接系统从业务系统读取 数据（数据库数据和文件），并将数 据保存到前置机上。
加密数据 和签名信息
数字信封
回执 提供方平台节点
提供方前置 机 原文数据
桥接系统 原文数据 业务系统
步骤5： 平台节点接到回执后，验证共享平台对交换 行为标识的签名通过后，将缓存的数字信封 发送给平台。
提供方委办局
图4 数据从提供方到平台的流程
北京易恒信认证科技有限公司
数据库安全存储与解决方案 流程
步骤4： 平台接收、记录回执。
和签名信息
步骤7：
数字信封
提供方平台节点接到回执，验证行为 标识通过后，将缓存的数字信封发送
接收方平台节点
给平台。
接收方前置机
步骤4： 接收方平台节点验证交换行为标 识的签名通过后，对交换行为标 识签名作为回执，发送给平台。
步骤12： 平台将数字信封发送给接收方平台 节点，平台节点收到数字信封，用 自己的私钥解密出会话密钥，然后 用会话密钥解密缓存的被加密数据 ，并验证数据的签名通过后，将数 据保存到前置机上。
(1) 数据传输的机密性； (2) 数据交换参与者的身份合法性； (3) 数据交换过程的真实性、完整性和数据交换行为的不可抵赖性。
北京易恒信认证科技有限公司
数据库安全存储与解决方案 业务需求
1、解决关系型数据库中存储安全问题，实现关系型数据库中数据加密存 储；业务系统在使用加密后的数据库数据时，要能够按照原有数据库 表结构 导入业务系统使用的数据库中。
平台节点往前置机保存数据： 有前置机安全模块加密后保存到前置机上。
往前置机保存数据： 由前置机中的安全模块将数据加密后 保存到前置机数据库中。
平台节点
前置机 原文数据
原文数据 桥接系统 原文数据 原文数据 业务系统
从前置机中取数据： 由前置机中的安全模块将数据解密后 ，由桥接系统保存到业务系统。
委办局
数据库数据的使用方法决定了它不可能以整个数据文件为单位进行加解密，也不能以数据 库表为单位进行加密，加解密的粒度只能是每个记录的字段数据。只有以记录的字段数据为单 位进行加解密，才能随机地解密数据库文件中某段数据。
数据库管理系统（DBMS）要完成对数据库文件的管理和使用，必须具有能够识别部分数据 的条件。因此，只能对数据库中数据进行部分加密。索引字段、关系运算的比较字段、表间的 连接码字段不能加密。同时由于数据库中的数据是共享的，有权限的用户随时需要知道密钥来 查询、修改、删除和插入数据，这样就要随时对数据库中数据进行加解密处理。因此，数据库 加密脱密的密钥应该是相同的，采用对称密码体制是比较适宜的。
北京易恒信认证科技有限公司
数据库安全存储与解决方案 数据库数据安全存储
传统的对称加密算法虽然可以实现对数据库中某些字段数据进行加密，但由于传统对称加 密算法都是采用的分组加密，这样数据的输入长度与输出长度不一致（如AES256，数据加密采 用32B分组，如果数据长度不是32的整数倍，则会被自动扩展），而且传统的对称加密算法所 有输出的数据全都是二进制数据，这样在原有的数据库设计中的表将不能存储加密后的数据。
▪CPK验证签名效率高：
CPK是扁平化结构，可直接证明； CA一般是层次化的，证明一个证书的真实性与有效性往往需要证明整个证书链的有效性，效率低。
北京易恒信认证科技有限公司
数据库安全存储与解决方案 数据库数据安全交换
与基于PKI体制实现签名、信封的技术比较
(2)数字信封（密钥交换）
▪CPK密钥长度更短：
2、利用CPK加密算法，完成基于该算法的数据加密、数字签名、数字信 封技术研究，并搭建原型系统，实现数据交换过程中的数据安全传输。