数据保护方法及系统与流程

本发明涉及数据安全领域，特别涉及一种数据保护方法及系统。

背景技术：

随着互联网的发展，人们可以随时随地接入互联网，与不同地域不同行业的人进行即时的互动。基于互联网技术带来的便利性，各种云办公协作系统应运而生。云办公模式打破了企业传统的办公室协作模式，目前很多企业正在往云办公模式悄然进化。

云办公模式，本质上是通过云计算技术，让员工可以在任何时间任何地点接入网络进行办公，同时把企业进行以人为单位的细胞拆分，随时进行重组合作。这样从个体到团体进行效率激发，又同时提高了员工舒适度降低了企业办公成本，未来优势可想而知。

然而，互联网技术的发展为人们生活，企业运营等带来便利和高效的同时，也加大了数据安全的风险。近年来，各种数据安全事件层出不穷，据报道，2015年，全球61个国家出现79790起数据泄露事件，其中2122起已经得到确认。

想让基于互联网技术的云办公计算技术健康发展，必须解决数据安全问题。现有的数据安全技术还停留在办公室模式时代，其基本思想是对数据的流转画出一个边界，数据在边界之内可以自由流转，但不能跨出边界。这种数据安全技术已经无法适应云办公时代的要求。

技术实现要素：

在云办公时代，数据流转是没有边界的。数据在哪儿并不重要，也不需要被关心。重要的是谁有权限对数据做什么样的操作。为此，本发明实施例提供了一种通过对数据的使用权限进行管理来保护数据的方法，使得数据的使用在提高安全性的同时，能够打破地域的限制。

具体而言，本发明实施例提供了一种数据保护方法，包括：在数据接收方要对来自数据发送方的经过加密的数据进行解密时，检查数据接收方是否有由数据发送方生成的且处于有效状态的数字许可，如有则允许数据接收方使用在数据解密过程中所需的至少一个密钥。

本发明实施例还提供了一种数据保护系统，包括服务器，所述服务器包括：密钥管理单元，其配置为基于数据发送方的请求而生成或存储至少一个密钥；验证单元，其配置为基于数据接收方的请求而检查数据接收方是否有对应于该请求的处于有效状态的数字许可，如有则允许数据接收方在对来自数据发送方的经过加密的数据进行解密的过程中使用所述至少一个密钥。

通过本发明实施例，数据接收方在得到来自数据发送方的加密数据后，需要向服务器提出申请来获得数据解密过程所需的密钥的使用权，服务器检查接收方是否有该密钥的使用许可，如有则允许解密数据，如果没有则不允许解密数据，通过对密钥及其使用许可进行管理实现对数据解密权限的有效管理和控制，极大地提高了云办公时代的数据安全性。

附图说明

图1为本发明的数据保护方法的一个实施方式的流程图；

图2为本发明的数据保护方法的另一个实施方式的流程图；

图3为本发明的数据保护方法的一个具体实施例的流程图；

图4为本发明的数据保护方法的另一个具体实施例的流程图；

图5为本发明的数据保护方法的再一个具体实施例的流程图；

图6为本发明的数据保护系统的一个实施方式的框图。

具体实施方式

下面参照附图对本发明的实施方式进行详细说明。

图1为本发明的数据保护方法的一个实施方式的流程图。

如图1所示，本实施方式的数据保护方法包括：

s101、数据接收方要对来自数据发送方的经过加密的数据进行解密；

数据发送方可将经过加密的数据发送给数据接收方，该加密的数据是由数据发送方使用数据加密密钥加密后生成并发送的。数据加密密钥可以由数据发送方生成后在服务器中进行备份，或者也可以由服务器响应于数据发送方的请求而生成数据加密密钥。

s102、检查数据接收方是否有由数据发送方生成的且处于有效状态的数字许可；

在本发明各个实施方式中，数据接收方在从数据发送方获得经过加密的数据后，并不能直接从数据接收方获得数据加密密钥或直接使用密钥对数据进行解密，而是需要先由服务器检查数据接收方是否拥有合法有效的数字许可。

合法的数据接收方会持有数据发送方颁发的数字许可。数据发送方可以生成数字许可后发送给数据接收方，或者将数字许可发送给服务器。数据发送方也可以在服务器上为数据发送方生成数字许可。服务器收到数字许可后可进行存储，或者转发给数据接收方。

在数字许可中例如可限制接收方对数据的使用次数、使用期限、是否可转发他人使用、接收方的权限是否仅限于转发、是否允许修改数据等。

作为备选，在本发明一个实施方式中，在数字许可中可以例如限制接收方对数据加密密钥的使用次数、使用期限等。

服务器对数字许可的检查可以例如由数据接收方发起的密钥使用请求而触发，或者也可以例如在数据接收方从服务器获得数据加密密钥后对数据进行解密的动作来触发检查。

s103、如有，则允许数据接收方使用在数据解密过程中所需的至少一个密钥；

在本发明实施方式中，数据加密密钥可以是一组直接或者间接的用于加解密数据的密钥及管理和使用该组密钥所需要的相关数据的集合。

数据接收方可以通过向服务器提出密钥使用请求而获得数据解密过程中所需的密钥或使用密钥所需的相关数据，在服务器通过检查确定数据接收方持有数据发送方颁发的处于有效状态的数字许可时，确定数据接收方拥有对加密数据进行解密的权限，则向数据接收方发送数据加密密钥或对数据加密密钥进行加密的密钥等数据解密过程所需的密钥，或发送使用密钥所需的相关数据。

服务器可以在下发密钥或其使用相关数据之前或之后对数据接收方是否拥有合法有效的数字许可进行检查。只有在通过服务器的检查后，数据接收方才能获得使用解密过程所需密钥或与密钥的使用相关数据的权限，从而对加密的数据进行解密使用。

通过本发明实施例，数据接收方在得到来自数据发送方的加密数据后，需要向服务器提出申请来获得数据解密过程所需的密钥的使用权，服务器检查接收方是否有该密钥的使用许可，如有则允许解密数据，如果没有则不允许解密数据，通过对密钥及其使用许可进行管理实现对数据加解密的有效管理和控制，极大地提高了云办公时代的数据安全性。

作为示例，在本发明实施方式中，s103可以具体实施为，服务器响应于数据接收方的请求或在检查确定存在有效数字许可后，根据所述数字许可中的许可信息而允许数据接收方使用服务器上的所述至少一个密钥中的相应密钥和/或在使用所述相应密钥时所需的相关数据。

在本发明上述实施方式中，加密的数据可以通过采用多个密钥对目标数据进行加密而生成。例如，将数据划分为多个部分，每个部分用不同的密钥进行加密。相应地，数字许可中可以不仅包括前述的限制接收方对数据加密密钥的使用次数、使用期限等，还可以规定该数据接收方有权限使用的那部分密钥。数据接收方的最高权限为能够使用对上述数据每个部分进行加密的密钥。如此，服务器在检查数据接收方的数字许可并确定有效后，可以将数字许可中记载的授权给数字接收方使用的那部分密钥或者密钥使用相关数据下发给数据接收方使用。

以这种方式，可以不必针对不同权限的用户分别对数据进行不同地加密，而是可以通过对多个数据加密密钥中的相应密钥进行许可使用的方式来实现让不同权限的用户获得数据中其有权使用的部分。

在本发明一个实施方式中，数据接收方的终端上安装有密钥管理模块，用于为用户提供专业安全的密钥管理服务。在这种情况下，s103可以具体实施为，服务器响应于数据接收方的请求或在检查确定存在有效数字许可后，向数据接收方的密钥管理模块发送至少一个密钥和/或在使用所述至少一个密钥时所需的相关数据。

在本发明上述实施方式中，通过为数据接收方的终端提供密钥管理模块，有关密钥的请求、接收以及使用均可通过密钥管理模块进行，为数据接收方的用户提供了便利。同时，数据发送方也可以通过其终端上的类似密钥管理模块来对密钥的生成和使用进行管理。

在本发明进一步的实施方式中，上述密钥管理模块接收并使用的密钥和/或所述使用密钥所需的相关数据对于数据发送方的用户或数据接收方的用户不可见。在本发明该实施方式中，密钥在由密钥管理模块和服务器构成的系统中维护、使用和流转，数据发送方和/或数据接收方的用户只能通过密钥管理模块使用密钥，但无法看到具体的密钥及其数据结构。

例如，数据接收方的用户在通过操作密钥管理模块向服务器提出密钥使用申请并通过服务器对数据许可的检查后，将从数据发送方获得的加密数据导入密钥管理模块，由密钥管理模块在其内部使用服务器下发的密钥对数据进行解密后，将解密的数据导出。

此外，数据发送方的用户也可以在有数据需要加密时，将需要加密的数据导入其终端上的密钥管理模块，由密钥管理模块在其内部使用密钥对数据进行加密后导出。通过本发明该实施方式，使得密钥在生成、使用、传递的每个过程中均不可修改或复制，极大地提高了数据安全性。

图2为本发明的数据保护方法的另一个实施方式的流程图。

如图2所示，在本实施方式中，数据保护方法包括：

s201、向数据接收方发送对所述数据加密时使用的密钥的密文；

s202、检查数据接收方是否有处于有效状态的数字许可；

s203、如有，允许数据接收方获得用于对密文进行解密的密钥；

s204、如无，禁止数据接收方对密文进行解密。

在本实施方式中，在服务器检查数据接收方是否有处于有效状态的数字许可之前，可以直接向数据接收方发送对数据加密时使用的密钥的密文，或者响应于数据接收方的请求而向数据接收方发送该密文。该密文可以由服务器响应于数据接收方的请求而发送，或者由服务器响应于数据发送方的请求而发送给数据接收方，或者由数据发送方直接发送给数据接收方。

密钥密文的发送方式不受限制，例如可以单独发送，也可以与加密的数据同时发送，或者与数字许可一同发送给数据接收方。在密钥密文与数字许可一同发送的情况下，还可以将密钥密文包括在数字许可中。

在数据接收方的终端具备密钥管理模块的实施方式中，可以将该密文发送给数据接收方的密钥管理模块。

在本发明该实施方式中，数据接收方在获得加密的数据后(或者在获得加密的数据之前或同时)，可直接从数据发送端或服务器获得数据加密密钥的密文，然后根据服务器对数字许可的检查结果来确定是否能够有权获得对该密文进行解密的密钥，进而用解密的数据加密密钥对加密数据进行解密。本实施方式通过对数据加密密钥进一步加密，能够避免直接将数据加密密钥进行传送而可能产生的安全隐患。

在本发明各实施方式中，数据发送方可以只包括一个数据发送端，也可以包括多个数据发送端。当数据发送方只包括一个数据发送端时，由该数据发送端向数据接收方发送加密的数据，并向该数据接收方颁发关于数据使用权限或密钥使用权限的数字许可。

当数据发送方包括多个数据发送端时，例如，当一个数据发送端将经过加密的数据发送给一个数据接收端后，向该数据接收端颁发数字许可以授权使用数据，然后，该数据接收端可以成为新的数据发送端，将加密的数据发送给作为数据接收方的另一个数据接收端，这时，可以由该新的数据发送端向数据接收方颁发关于数据使用权限或密钥使用权限的数字许可，从而原数据发送端和新的数据发送端共同构成数据发送方。不过，本发明实施方式不限于此，例如，当该新的数据发送端只有转发加密数据的权限时，数字许可仍由原数据发送端颁发给数据接收方。

在本发明一个实施方式中，数据接收方用户可使用账户信息通过密钥管理模块登录服务器，服务器能够基于数据接收方登录的用户账户在服务器的存储装置中检查数据接收方是否有所述处于有效状态的数字许可。在本实施方式中，服务器可将该用户的数字许可与其账户信息以及加密数据的标识号进行关联存储，以便于进行查询。

在本发明一个实施方式中，可以对数字许可的一部分或全部用数据接收方的公钥直接加密。如此，可以防止数字许可被数据接收方用户以外的人冒用。

在本发明另一个实施方式中，可以对数字许可的一部分或全部用数据接收方的公钥间接加密。例如，可以先用一个密钥对数字许可的一部分或全部进行加密，然后将该密钥用数据接收方的公钥加密后发送给数据接收方。如此，可以进一步防止数字许可被数据接收方用户以外的人冒用。

在本发明的各个实施方式种，可使用多种方式对数据进行加密。

例如，数据发送方可用一个以上密钥对数据进行加密而生成加密的数据。当使用一个密钥对数据加密时，服务器对持有合法数字许可的数据接收方下发该密钥。当使用多个密钥对数据的不同部分加密时，服务器可根据合法数字许可中记载的使用权限，将数据接收方有权使用的那些密钥下发给数据接收方。

此外，数据发送方还可以用一个以上密钥和接收方的公钥对数据进行加密而生成加密数据。其中，可以先用该一个以上密钥对数据进行加密后，再用接收方的公钥进行加密，也可以先用接收方的公钥对数据进行加密后再用该一个以上密钥对数据进行加密。如此可以提高数据的安全性。

作为本发明一种实施方式，数据发送方可以先用第一预定密钥对数据进行加密而生成加密的数据，然后对该第一预定密钥再进行加密。对第一预定密钥再进行加密可以有多种实施方式，例如，可以直接用一个以上密钥对第一预定密钥进行加密，或者也可以用一个以上密钥和接收方公钥一起对第一预定密钥的不同部分进行加密或者对第一预定密钥先后进行加密。

此外，数据发送方可以先用第一预定密钥对数据进行加密而生成加密的数据，然后使用第二预定密钥对第一预定密钥加密后，再用一个以上密钥和接收方公钥一起对第二预定密钥的不同部分进行加密或者对第二预定密钥先后进行加密。

第一预定密钥的密文和/或第二预定密钥的密文可以与加密的数据一起发给数据接收方或可以分别发送给数据接收方，同时服务器保留上述的一个以上密钥。服务器在验证了数据接收方的数字许可后，将用于解密这些密钥密文的密钥和密钥使用相关数据一同或分别下发给数据接收方。

本发明各实施方式中，数字许可包括关于数据的使用次数、使用期限和/或使用区域的许可信息，或者可以包括关于密钥的使用次数、使用期限和/或使用区域的许可信息。可根据不同的实施方式采用不同类型的数字许可。

本发明各实施方式中，数据发送方可使用aes算法、camellia算法或des算法对数据进行加密而生成加密数据，但本发明可使用的加密算法不限于这些算法，而是还可以使用多种自定义的加密算法。

图3为本发明的数据保护方法的一个具体实施例的流程图。

如图3所示，本实施例包括在数据发送方和数据接收方分别执行的步骤。

首先，在数据发送方包括如下步骤：

s301、创建数据加密密钥

数据发送方可以通过其终端上的密钥管理模块在服务器中创建一个数据加密密钥，或在密钥管理模块中创建数据加密密钥后在服务器中进行备份。这里的数据加密密钥是一组直接或者间接加解密数据的密钥及管理和使用该组密钥所需要的相关数据的集合，数据加密密钥由密钥安全系统(如服务器)维护，用户只能使用数据加密密钥而无法看到具体的密钥和数据结构。

数据发送方在创建数据加密密钥时可以指定对数据加密的算法。数据加密算法可以是aes、camellia、des等标准加密算法，也可以是系统自定义的算法。

s302、加密数据

数据发送方使用s301中创建的数据加密密钥对待发送的数据进行加密。对待发送数据加密过程可以包含使用数据接收方的公钥参与数据的加密，用于增加安全性。具体可以使用数据接收方公钥先对数据加密，然后使用数据加密密钥做二次加密，还可以是由数据接收方公钥和数据加密密钥共同加密一个会话密钥，该会话密钥用于对数据进行加密。

s303、颁发许可

本步骤中，数据发送方给数据接收方颁发数据加密密钥的使用许可。数据加密密钥的使用许可是使用数据加密密钥的凭证，只有拥有凭证的用户才能使用数据加密密钥。数据发送方在颁发数字许可给数据接收方的过程中可以使用接收方的公钥对数字许可的部分或者全部内容加密，以此防止数据许可被他人冒用。

需要注意的是，s303与s302的执行顺序不受限制，可以先执行s302再执行s303，也可以先执行s303再执行s302。

下面对图3中数据接收方执行的步骤进行说明。

s311、打开密钥

本步骤中，数据接收方找到并打开密钥。这里打开密钥是指数据接收方向服务器提出使用密钥的申请，并获得使用密钥相关上下文数据。打开密钥的过程中可以包括服务器对数据接收方是否有使用密钥的有效数字许可的检查，如果有使用密钥的有效数字许可，则服务器下发使用密钥相关的上下文数据以使得数据接收方能成功的打开密钥，否者就不能打开密钥。活着，检查数字许可也可以在s312中进行。

如果数据接收方在s03中对数字许可用接收方公钥进行过加密，则在服务器检查数字许可时或之前，数据接收方可以使用自己的私钥解密数字许可中被加密的部分内容。

s312、解密数据

本步骤中，数据接收方使用s311中获得的使用密钥相关上下文数据解密数据。

如果s311中没有检查数据接收方的密钥使用许可，则应在s312中包含对数据接收方是否有密钥的使用许可的检查。

在数据解密过程中，如果在s302中加密数据时使用了数据接收方公钥参与数据或密钥的加密运算，则s312中对数据或密钥解密时也要使用接收方私钥才能正确的解密。此外，如果在s302中用会话密钥对数据进行加密后由数据接收方公钥和数据加密密钥共同加密会话密钥，则s312的解密过程包括使用接收者私钥和数据加密密钥解密会话密钥。

图4为本发明的数据保护方法的一个具体实施例的流程图。

如图4所示，本实施例中数据发送方的终端安装有作为密钥管理模块的安全中间件ss以及数据发送端app(应用程序)，数据接收方的终端安装有作为密钥管理模块的安全中间件ss以及数据接收端app，并且两个ss各连接到授权管理服务器上。

根据图4所示，数据发送端app首先通过ss在授权管理服务器上创建一个数据加密密钥，同时数据发送端的ss也可以使用该数据加密密钥。

然后，数据发送端app将需要加密的数据提交给数据发送端的ss，由数据发送端的ss使用之前在服务器上创建的数据加密密钥加密数据，并返回经过加密的数据给数据发送端app。ss在加密数据的过程中可以使用接收方公钥与数据加密密钥共同加密数据，例如先使用会话密钥加密数据，然后使用接收方公钥和数据加密密钥共同加密会话密钥。

加密数据后，数据发送端通过ss给数据接收端颁发数据加密密钥的数字许可。在颁发数据加密密钥的数字许可的过程中可以使用接收方公钥对数字许可的部分或者全部内容加密。

数据接收端app从数据发送方接收到加密的数据之后，通过数据接收端的ss向授权管理服务器申请使用数据发送方创建的上述数据加密密钥。授权管理服务器检查数据接收方是否有数据加密密钥的有效数字许可，如果没有数字许可，或者数字许可无效，例如已过期，则不允许数据接收端使用数据加密密钥。

或者，授权管理服务器也可以先将数据加密密钥发送给数据接收方的ss，在数据接收方的ss对数据开始解密时再检查数据接收方是否有数字许可。

如果数据发送方在颁发数字许可时对数字许可用数据接收方公钥加密，则数据接收端可使用接收方私钥解密数字许可的加密的部分。

数据接收端使用接收方私钥和授权管理服务器上的数据加密密钥共同解密数据。如果数据接收端的ss在接收到数据加密密钥之前服务器没有检查数字许可，则服务器可以在ss使用数据加密密钥时检查数据加密密钥的数字许可。

在通过服务器的检查后，数据接收端的ss对加密的数据进行解密后，将解密后的数据返回给数据接收端app。

图5为本发明的数据保护方法的再一个具体实施例的流程图。本实施例中数据发送方的终端安装有作为密钥管理模块的安全中间件ss以及数据发送端app(应用程序)，数据接收方的终端安装有作为密钥管理模块的安全中间件ss以及数据接收端app，并且两个ss各连接到云授权管理服务器上。

如图5所示，首先，数据发送端创建密钥。在创建密钥时，在ss中创建用于对数据直接加密的数据加密密钥，并在云授权管理服务器上创建云端密钥。本实施例中的数据加密密钥为aes密钥。

随后，数据发送端app提交待加密的数据以及接收方公钥给数据发送端的ss，ss使用数据加密密钥加密数据，相应地，加密数据时使用的加密算法也是aes算法。

数据发送端也通过ss给数据接收方发数字许可，许可中可以包含接收方对数据的使用限制，例如可以限制接收方对数据的使用次数、时间期限等。同时数字许可中可以包含由数据发送端ss使用接收方公钥和云端密钥共同加密得到的数据密钥的密文。例如，数据发送端ss可以先使用会话密钥加密数据密钥，然后把会话密钥分成两个部分，一部分被云端密钥加密，一部分被接收方公钥加密。

数据接收端收到密文数据后，通过接收端ss向云授权管理服务器申请使用数据接收端创建的数据加密密钥。云授权管理服务器收到使用申请之后，检查数据接收端是否有有效的数字许可，如果有则允许数据接收端使用云端密钥，如果没有则报错。有效的数字许可是指没有超出使用限制的数字许可，例如，在有效期限内的数字许可，或者使用次数未达规定次数的数字许可等。

得到服务器的允许后，数据接收端ss使用接收方私钥和云端密钥解密密钥信封，还原出数据密钥。具体而言，数据接收端ss使用接收方私钥和云端密钥分别解密出各自加密的部分会话密钥，并用会话密钥解密出数据密钥。

得到数据密钥后，数据接收端ss使用数据密钥解密待解密数据。相应地，解密数据时使用的算法也是aes算法。

下面对本发明的数据保护系统的多种实施方式进行说明。

图6为本发明的数据保护系统的一个实施方式的框图。

如图所示，本发明实施方式的系统包括服务器1，服务器1包括密钥管理单元11和验证单元12。

密钥管理单元11配置为基于数据发送方的请求而生成或存储至少一个密钥。具体而言，该密钥可以基于数据发送方的请求而在密钥管理单元11中生成，也可以在数据发送方生成后存储在服务器1的密钥管理单元11中。

验证单元12配置为基于数据接收方的请求而检查数据接收方是否有对应于该请求的处于有效状态的数字许可，如有则允许数据接收方在对来自数据发送方的经过加密的数据进行解密的过程中使用密钥管理单元11中的至少一个密钥。

验证单元12对数字许可的检查可以例如由数据接收方发起的密钥使用请求而触发，或者也可以例如在数据接收方对数据进行的解密动作来触发检查。合法的数据接收方会持有数据发送方颁发的数字许可。数据发送方可以生成数字许可后发送给数据接收方，或者将数字许可发送给服务器1。数据发送方也可以在服务器1上为数据发送方生成数字许可。服务器1中可以进一步包括数字许可管理单元(未示出)，用于响应于数据发送方的请求而生成或存储数字许可，或将数字许可通过通信单元发送给数据接收方。

在本发明实施方式中，数据加密密钥可以是一组直接或者间接的用于加解密数据的密钥及管理和使用该组密钥所需要的相关数据的集合。

数据接收方可以通过向服务器提出密钥使用请求，在验证单元12确定数据接收方持有数据发送方颁发的处于有效状态的数字许可时，确定数据接收方拥有对加密数据进行解密的权限，则允许数据接收方使用数据加密密钥或密钥信封的密钥或使用密钥所需的相关数据。

验证单元12可以在下发该密钥或相关数据之前或之后对数据接收方是否拥有合法有效的数字许可进行检查。只有在通过验证单元12的检查后，数据接收方才能获得使用解密过程所需密钥或与密钥的使用相关数据的权限，从而对加密的数据进行解密使用。

本发明实施例通过对密钥及其使用许可进行管理实现对数据加解密的有效管理和控制，极大地提高了云办公时代的数据安全性。

在本发明一个实施方式中，验证单元12可以配置为根据数字许可中的许可信息而允许数据接收方使用所述至少一个密钥中的相应密钥和/或在使用所述相应密钥时所需的相关数据。本实施方式适用于对数据的多个部分用不同的密钥进行加密的情况，验证单元12在检查数据接收方的数字许可并确定有效后，可以将数字许可中记载的授权给数字接收方使用的那部分密钥或者密钥使用相关数据下发给数据接收方使用。

在本发明实施方式中，数据保护系统还可以包括密钥管理模块(未示出)，其连接至或安装在数据接收方的终端上。验证单元12配置为向数据接收方的密钥管理模块发送上述至少一个密钥和/或在使用所述至少一个密钥时所需的相关数据。通过为数据接收方的终端提供密钥管理模块，有关密钥的请求、接收以及使用均可通过密钥管理模块进行，为数据接收方的用户提供了便利。

在本发明另一个实施方式中，验证单元12配置为在检查数据接收方是否有有效数字许可之前，向数据接收方发送对数据加密时使用的第一预定密钥的密文或对第一预定密钥进行加密的第二预定密钥的密文。密文可以由服务器1响应于数据接收方的请求而发送，或者由服务器1响应于数据发送方的请求而发送给数据接收方，或者由数据发送方直接发送给数据接收方。在数据接收方的终端具备密钥管理模块的实施方式中，可以将该密文发送给数据接收方的密钥管理模块。

在本发明该实施方式中，数据接收方在获得加密的数据后(或者在获得加密的数据之前或同时)，可直接从数据发送端或服务器获得数据加密密钥的密文或对数据加密密钥加密的密钥的密文，然后根据服务器对数字许可的检查结果来确定是否能够有权获得对密文进行解密的密钥，进而获得数据加密密钥。本实施方式通过对数据加密密钥进一步加密，能够避免直接将数据加密密钥进行传送而可能产生的安全隐患。

在本发明各实施方式中，数据发送方可以包括第一数据发送端和第二数据发送端，密钥管理单元11基于第一数据发送端的请求而生成至少一个密钥，而数字许可由第一数据发送端或第二数据发送端生成。在服务器1包括数字许可管理单元时，其可响应于第一数据发送端或第二数据发送端的请求而生成、存储或转发数字许可。

在本发明多个实施方式中，密钥管理模块11配置为使得所述至少一个密钥和/或所述相关数据对于数据接收方的用户不可见。在本发明该实施方式中，密钥在由密钥管理模块和服务器构成的系统中维护、使用和流转，数据发送方和/或数据接收方的用户只能通过密钥管理模块使用密钥，但无法看到具体的密钥及其数据结构，在很大程度上提高了密钥的安全性。

在本发明一个实施方式中，验证单元12配置为基于数据接收方登录的用户账户检查数据接收方是否有处于有效状态的数字许可。数据接收方用户可使用账户信息通过密钥管理模块登录服务器。在本实施方式中，服务器可将该用户的数字许可与其账户信息以及加密数据的标识号进行关联存储，以便于进行数字许可的检查。

在本发明的实施方式中，在数据发送方或服务器上的数字许可管理单元生成所述数字许可时，可以用数据接收方的公钥加密数字许可的至少一部分，或者用密钥加密数字许可的至少一部分并用数据接收方的公钥加密该密钥。如此，可以防止数字许可被数据接收方用户以外的人冒用。

以上对本发明的一些实施方式进行了说明，但本发明不限于这些具体的实施例子，本领域技术人员基于上述记载能够作出多种变型和修改，这些变型与修改都应落入本发明的保护范围之内。