CN113452654B - 一种数据解密的方法 - Google Patents

Abstract

本申请适用于计算机技术领域，提供了一种数据解密的方法、数据处理设备和加密机，用于解决现有技术中软件加密安全性不高，而硬件加密难以适配高并发场景下的缺陷，所述方法包括：获取对第一加密数据的解密请求；根据所述解密请求确定第一密钥标识；确定与所述第一密钥标识对应的第一密钥和第二密钥标识；向加密机发送所述第一密钥和所述第二密钥标识，并接收所述加密机利用所述第二密钥标识对应的解密密钥对所述第一密钥解密后得到的第二密钥；利用所述第二密钥对所述第一加密数据进行解密，得到第一数据。

Description

一种数据解密的方法

技术领域

本申请属于计算机技术领域，尤其涉及一种数据解密的方法、数据处理设备和加密机。

背景技术

越来越多的信息化都涉及到数据的加密保护，需要实现加密与解密的功能。现有的加密技术，主要包括软件加密和硬件加密两种方式。

通过软件加密方式目前应用最多的是对称密钥加密算法，常用的包含AES、3DES等算法。通过硬件实现加密与解密目前应用最多的是通过加密机，也即加硬件安全模块(hardware security module，HSM)来进行。

软件加密可以部署在各类计算设备上，实施成本较低，但对加密数据后，生成的密钥保存和管理难以规范，容易泄露，从而影响数据安全。采用加密机进行的硬件加密，对数据加密后，生成的密钥由加密机存储在自身特定的存储区域内，安全性较高，但囿于加密机的性能有限，高并发的场景下实施成本较高。由此可见，如何实现提高数据加解密的安全性，同时又能适配高并发的场景是一个亟待解决的问题。

发明内容

有鉴于此，本申请实施例提供了一种数据解密的方法、数据处理设备和加密机，以解决现有技术中软件加密安全性不高，而硬件加密难以适配高并发场景下的缺陷。

本申请实施例的第一方面提供了一种数据解密的方法，可以包括：

获取对第一加密数据的解密请求；

根据该解密请求确定第一密钥标识；

确定与该第一密钥标识对应的第一密钥和第二密钥标识；

向加密机发送该第一密钥和该第二密钥标识，并接收该加密机利用该第二密钥标识对应的解密密钥对该第一密钥解密后得到的第二密钥；

利用该第二密钥对该第一加密数据进行解密，得到第一数据。

在一个可能的实现方式中，该获取对第一加密数据的解密请求之前，该方法还可以包括：

响应于对该第二密钥的加密指令，向该加密机发送该第二密钥；

接收该加密机利用与该第二密钥标识对应的加密密钥对该第二密钥加密后返回的该第一密钥；

保存该第一密钥标识和该第二密钥标识的对应关系。

在一个可能的实现方式中，该方法还可以包括：

获取对第二数据的加密请求；

根据该加密请求确定第三密钥；

确定与该第三密钥的密钥标识对应的第三密钥标识；

向该加密机发送该第三密钥和第三密钥标识，并接收该加密机利用该第三密钥标识对应的解密密钥对该第三密钥解密后得到的第四密钥；

利用该第四密钥对该第二数据进行加密，得到第二加密数据。

在一个可能的实现方式中，该响应于对该第二密钥的加密指令，向该加密机发送该第二密钥，可以包括：

获取对该第一数据的加密请求；

根据该加密请求确定第五密钥，该第五密钥与该第二密钥组成非对称加密的一组密钥对；

利用该第五密钥对该该第一数据进行加密，得到该第一加密数据；

向该加密机发送该第二密钥。

在一个可能的实现方式中，该响应于对该第二密钥的加密指令，向该加密机发送该第二密钥，可以包括：

响应于第一设备在对该第一数据加密后发送的对该第二密钥的加密指令，向该加密机发送该第二密钥。

在一个可能的实现方式中，该解密请求中还可以包括该第一加密数据或该第一数据的数据标识，该根据该解密请求确定第一密钥标识，可以包括：

确定与该数据标识对应的该第一密钥标识。

在一个可能的实现方式中，该加密请求中还可以包括该第二数据的数据标识，该根据该加密请求确定第三密钥，可以包括：

确定与该数据标识对应的该第三密钥。

本申请实施例的第二方面提供了一种数据解密的方法，可以包括：

加密机获取数据处理设备发送的第一密钥和第二密钥标识；

该加密机利用与该第二密钥标识对应的解密密钥对该第一密钥进行解密，得到第二密钥；

该加密机向该数据处理设备发送该第二密钥。

在一个可能的实现方式中，该加密机获取数据处理设备发送的第一密钥和第二密钥标识之前，该方法还可以包括：

该加密机获取数据处理设备发送的该第二密钥；

该加密机确定第二密钥标识；

该加密机利用与该第二密钥标识对应的加密密钥对该第二密钥进行加密，得到该第一密钥；

该加密机向该数据处理设备发送该第一密钥。

本申请实施例的第三方面提供了一种数据处理设备，可以包括：

收发模块，用于获取对第一加密数据的解密请求；

查询模块，用于根据该解密请求确定第一密钥标识；确定与该第一密钥标识对应的第一密钥和第二密钥标识；

该收发模块，还用于向加密机发送该第一密钥和该第二密钥标识，并接收该加密机利用该第二密钥标识对应的解密密钥对该第一密钥解密后得到的第二密钥；

加解密模块，用于利用该第二密钥对该第一加密数据进行解密，得到第一数据。

在一个可能的实现方式中，

该收发模块，还用于响应于对该第二密钥的加密指令，向该加密机发送该第二密钥；接收该加密机利用与该第二密钥标识对应的加密密钥对该第二密钥加密后返回的该第一密钥；保存该第一密钥标识和该第二密钥标识的对应关系。

在一个可能的实现方式中，

该收发模块，还用于获取对第二数据的加密请求；

该查询模块，还用于根据该加密请求确定第三密钥；确定与该第三密钥的密钥标识对应的第三密钥标识；

该收发模块，还用于向该加密机发送该第三密钥和第三密钥标识，并接收该加密机利用该第三密钥标识对应的解密密钥对该第三密钥解密后得到的第四密钥；

该加解密模块，还用于利用该第四密钥对该第二数据进行加密，得到第二加密数据。

在一个可能的实现方式中，

该收发模块，具体用于获取对该第一数据的加密请求；指示该查询模块，根据该加密请求确定第五密钥，该第五密钥与该第二密钥组成非对称加密的一组密钥对；指示该该加解密模块，利用该第五密钥对该该第一数据进行加密，得到该第一加密数据；向该加密机发送该第二密钥。

在一个可能的实现方式中，该收发模块，具体用于响应于第一设备在对该第一数据加密后发送的对该第二密钥的加密指令，向该加密机发送该第二密钥。

在一个可能的实现方式中，该解密请求中还可以包括该第一加密数据或该第一数据的数据标识，该查询模块，具体用于确定与该数据标识对应的该第一密钥标识。

在一个可能的实现方式中，该加密请求中还可以包括该第二数据的数据标识，该根据该加密请求确定第三密钥，该查询模块，具体用于确定与该数据标识对应的该第三密钥。

本申请实施例的第四方面提供了一种加密机，可以包括：

收发单元，用于获取数据处理设备发送的第一密钥和第二密钥标识；

加解密模块，用于利用与该第二密钥标识对应的解密密钥对该第一密钥进行解密，得到第二密钥；

该收发模块，用于向该数据处理设备发送该第二密钥。

在一个可能的实现方式中，

该收发模块，还用于获取数据处理设备发送的该第二密钥；确定第二密钥标识；

该加解密模块，还用于利用与该第二密钥标识对应的加密密钥对该第二密钥进行加密，得到该第一密钥；

该收发模块，还用于向该数据处理设备发送该第一密钥。

本申请实施例的第五方面提供了一种计算机硬件设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如第一方面、第一方面任一可选方式或第二方面所述方法的步骤。

本申请实施例的第六方面提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如第一方面、第一方面任一可选方式或第二方面所述方法的步骤。

本申请实施例中，获取到对第一加密数据的解密请求后，根据该解密请求确定第一密钥标识，并确定与该第一密钥标识对应的第一密钥。再利用加密机对该第一密钥解密后，得到第二密钥。之后，采用该第二密钥对第一加密数据进行解密，得到第一数据。也即本申请的方案中，通过软件加解密与硬件加解密方式的结合，在解密第一加密数据时，需要经过加密机解密后才能得到解密第一加密数据的第二密钥。因此本申请的方案，相比现有的只通过软件加解密的方式，提高了安全性，并且由于整个加解密系统可以通过扩充软件加解密的设备的性能(例如增加设备内存或提高处理器性能)来实现整体的加解密性能的提升，从而对高并发的场景相比现有的仅通过硬件加密具有更好的适用性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的一种数据加解密系统的系统架构示意图；

图2是本申请实施例提供的一种数据解密的方法的一个实施例示意图；

图3是本申请实施例提供的一种数据解密的方法的另一个实施例示意图；

图4是本申请实施例提供的一种数据解密的方法的另一个实施例示意图；

图5是本申请实施例提供的一种数据解密的方法的另一个实施例示意图；

图6A是本申请实施例提供的一种数据解密的方法的另一个实施例示意图；

图6B是本申请实施例提供的一种数据解密的方法的另一个实施例示意图；

图6C是本申请实施例提供的一种数据解密的方法的另一个实施例示意图；

图7是本申请实施例提供的一种数据处理设备的一个实施例示意图；

图8是本申请实施例提供的一种加密机的一个实施例示意图；

图9是本申请实施例提供的一种计算机硬件设备的一个实施例示意图。

具体实施方式

以下描述中，为了说明而不是为了限定，提出了诸如特定系统结构、技术之类的具体细节，以便透彻理解本申请实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本申请。在其它情况中，省略对众所周知的系统、装置、电路以及方法的详细说明，以免不必要的细节妨碍本申请的描述。

随着互联网技术的不断发展，也随之产生了大量的数据，为避免数据被泄露，通常可以采用对数据进行加密的方法来保障数据的安全性。

目前在对数据进行加密时，根据密钥的设置，可以将加解密算法分为对称加密算法和非对称加密算法。对称加密算法中，数据的加密和解密密钥采用同一密钥。非对称加密算法中，数据的加密和解密密钥组成一组密钥，这一组密钥通常可以被称为公钥和私钥，公钥和私钥通常并不相同，若采用公钥加密，则需要通过私钥来解密，若采用私钥加密，则需要通过公钥来解密。

而从具体的实现方式上，目前常见的可以分为软件加密方法和硬件加密方法。软件加解密的方法可以部署在任何具有数据处理功能的设备上，通过采用各类算法实现加解密功能。硬件加密方法则需要借助专用的硬件加密设备，即加密机来进行。硬件加密相比软件加密虽然具有更好的安全性，但是囿于加密机的自身性能，其在高并发的场景下难以适应。

基于上述的说明，本申请实施例提供了一种数据解密的方法，该方法中，通过软件加密和硬件加密的结合，相比现有的软件加密技术提高了数据加密的安全性，并相比硬件加密提高了在高并发场景下的适应性。

基于上述的方法，下面具体参照图1，图1为本申请实施例提供的一种数据加解密系统的系统架构图，可以包括：

数据处理设备100和加密机110；

数据处理设备100为安装有软件加解密程序的任一计算机硬件设备，用于实现软件加解密功能。加密机110，或称硬件安全模块，可以是与数据处理设备100可插拔连接的卡片，也可以是与与数据处理设备100具有通信连接的单独设备，用于实现硬件加解密功能。

数据处理设备100在接收到外部设备或者响应用户对待加密数据或待解密数据的操作请求时，启动自身的软件加解密程序，并与加密机110交互，完成对待加密数据或待解密数据的加密或解密过程。由于数据处理设备100为任一计算机硬件设备，也即为通用设备，不同于加密机100，其性能可以通过拓展硬件，提高加解密的性能。因此，通过数据处理设备100和加密机110结合，可以在提高数据加密的安全性的同时，增加对高并发的场景下的适应性。

在上述的加解密系统的系统架构示意图的基础上，为了说明本申请所述的技术方案，下面通过具体实施例来进行说明。

下面参见图2，图2为本申请实施例提供的一种数据解密的方法的一个实施例示意图，可以包括：

S201，数据处理设备获取对第一加密数据的解密请求。

其中，数据处理设备可以是具有对数据进行软件加解密功能的任一硬件设备，常见的可以包括服务器或各类终端设备等。

第一加密数据可以是外部设备发送的数据，也可以是数据处理设备的本地数据。其中，对第一加密数据进行加解密所采用的算法，可以是AES或3DES等对称加密算法，也可以是RSA、Elgamal、背包算法、Rabin、D-H或ECC等非对称加密算法，具体此处不做限定。

本实施例中，该数据处理设备在运行时，获取对第一加密数据的解密请求可以包括：获取与数据处理设备具有通信连接的某一外部设备发送的对第一加密数据的解密请求，该解密请求中包括该第一加密数据，或者，响应用户操作对保存在数据处理设备上的第一加密数据的解密请求。

S202，数据处理设备根据解密请求确定第一密钥标识。

本实施例中，根据解密请求确定第一密钥标识有多种方式：

在一个可能的实现方式中，解密请求中可以包括第一密钥标识，每个第一密钥标识可以唯一标识对称加密的一个密钥，或者唯一标识非对称加密的一组密钥。数据处理设备在获取解密请求后，可以从解密请求解析确定第一密钥标识。

在另一个可能的实现方式中，解密请求中可以包括第一加密数据或者第一数据的数据标识，该数据标识用于标识第一加密数据的一种或者多种属性信息。数据处理设备预存有不同的数据标识和不同的密钥标识的对应关系，也即，数据处理设备可以预先设定不同属性类型的数据对应不同的密钥标识，实现对不同属性类型的数据采用不同的加解密密钥。数据处理设备在获取解密请求后，可以根据解密请求中包括的数据标识，从该对应关系中确定与该数据标识对应的第一密钥标识。

其中，需要说明的是，上述的数据标识可以是数据名；也可以是数据的类别信息，例如指示数据为图片、视频或文本的标识，再例如为数据的扩展名；也可以为数据的来源标识，例如业务数据的业务标识，应用数据的应用标识；也可以是数据的其他参数，例如数据的创建时间信息等，具体数据标识的类别此处不做具体限定。

在实际应用中，上述的数据标识和第一密钥标识的对应关系可以由网络侧维护，并定时或在有更新时推送给数据处理设备；也可以根据一定的规则由数据处理设备自行维护，例如可以设定每隔一定时间，提示并响应用户的输入，对该对应关系进行更新。

S203，数据处理设备确定与该第一密钥标识对应的第一密钥和第二密钥标识。

本实施例中，数据处理设备确定第一密钥标识后，查询与该第一密钥标识对应的第一密钥，并且确定预先存储的与该第一密钥标识对应的第二密钥标识。其中，该第二密钥标识用于标识与该数据处理设备相连接的加密机中的一组加解密密钥。

上述的加密机，又称为硬件安全模块，是一种用于保护和管理强认证系统所使用的密钥，并同时提供相关密码学操作的计算机硬件设备。本实施例及后续实施例中，加密机可以是安装在该数据处理设备中的扩展卡类型的加密芯片，也可以是与数据处理设备相连接的单独的外部设备，其具体形式此处不做限定。

在一种可能的实现方式中，为便于密钥的管理，第一密钥标识和第二密钥标识也可以被设定为同一个密钥标识，也即第一密钥标识同时可以用于标识该数据处理设备中的一组加解密密钥，还可以用于标识加密机中的另一组加解密密钥。

S204，数据处理设备向加密机发送第一密钥和第二密钥标识。

本实施例中，数据处理设备在确定第一密钥和第二密钥标识后，调用加密机的加解密服务器接口，其中，传入的接口参数可以包括第一密钥、第二密钥标识和加密方式。

S205，数据处理设备接收加密机返回的第二密钥，该第二密钥由加密机利用该第二密钥标识对应的解密密钥对第一密钥解密得到。

本实施例中，参见上述，第二密钥标识可以用于标识加密机中的一组密钥，数据处理设备在发送第一密钥和第二密钥标识后，可以接收加密机利用该第二密钥标识对应的解密密钥对第一密钥解密后得到的第二密钥。

S206，数据处理设备利用第二密钥对第一加密数据进行解密，得到第一数据。

本实施例中，数据处理设备获得该第二密钥后，利用该第二密钥对第一加密数据进行解密，得到第一数据。

在一个具体的实施例中，若对第一加密数据的解密请求是由某一外部设备发送，则数据处理设备得到第一数据后，向该外部设备发送该第一数据。

本申请实施例中，数据处理设备在获取到对第一加密数据的解密请求后，根据该解密请求确定第一密钥标识，并确定与该第一密钥标识对应的第一密钥。之后，该数据处理设备利用加密机对该第一密钥解密，得到第二密钥，再采用该第二密钥对第一加密数据进行解密，得到第一数据。也即本申请的方案中，通过软件加解密与硬件加解密方式的结合，在解密第一加密数据时，需要经过加密机解密后才能得到解密第一加密数据的第二密钥。因此本申请的方案，相比现有的只通过软件加解密的方式，提高了安全性，并且由于整个加解密系统可以通过扩充软件加解密的设备的性能(例如增加设备内存或提高处理器性能)来实现整体的加解密性能的提升，从而对高并发的场景相比现有的仅通过硬件加密具有更好的适用性。

下面参见图3，图3为本申请实施例提供的一种数据解密的方法的一个实施例示意图，可以包括：

S301，加密机获取数据处理设备发送的第一密钥和第二密钥标识。

本实施例中，加密机在运行时，接收数据处理设备通过加解密服务接口发送的第一密钥、第二密钥标识和加密方式。其中，第二密钥标识用于标识加密机中的一组密钥。

S302，加密机利用与该第二密钥标识对应的解密密钥对第一密钥进行解密，得到第二密钥。

本实施例中，加密机接收到第一密钥和第二密钥标识后，确定与该第二密钥标识对应的解密密钥。之后，加密机确定第一密钥的加密方式，并利用该解密密钥对该第一密钥进行解密，得到第二密钥。其中，加密机对第二密钥进行加解密可以采用多种密钥算法，例如可以包括RSA、DSA、椭圆曲线密码算法、Diffe、Hellman或SM2等公钥算法，也可以包括SDBI、DES、3DES、IDEA、RC2、RC4、RC5、SM4或SM1等对称算法，或者包括SDHI、MD2、MD5、SHA1或SM3等单向散列算法等，具体采用的密钥算法此处不做限定。

S303，加密机向数据处理设备发送第二密钥。

本实施例中，加密机对第一密钥解密，获得第二密钥后，向数据处理设备发送该第二密钥。

本申请实施例中，加密机在获取数据处理设备发送的第一密钥和第二密钥标识后，采用与第二密钥标识对应的解密密钥对第一密钥进行解密，得到第二密钥，并将该第二密钥返回至该数据处理设备中，也即通过加密机对第二密钥进行了二次加密，从而提高了第二密钥的安全性。

下面参见图4，图4为本申请实施例提供的一种数据解密的方法的一个实施例示意图，可以包括：

S401，数据处理设备获取对第一加密数据的解密请求。

S402，数据处理设备根据解密请求确定第一密钥标识。

S403，数据处理设备确定与该第一密钥标识对应的第一密钥和第二密钥标识。

S404，数据处理设备向加密机发送第一密钥和第二密钥标识。

S405，加密机利用与该第二密钥标识对应的解密密钥对第一密钥进行解密，得到第二密钥。

S406，加密机向数据处理设备发送第二密钥。

S407，数据处理设备利用第二密钥对第一加密数据进行解密，得到第一数据。

需要说明的是，图4所示实施例中，步骤S401至S404、步骤S407分别与图2所示实施例中步骤S201至S204、步骤S206类似，此处不再赘述；步骤S405和步骤S406与图3所示实施例中步骤S302和步骤S303类似，此处不再赘述。

本申请实施例中，数据处理设备在获取到对第一加密数据的解密请求后，根据该解密请求确定第一密钥标识，并确定与该第一密钥标识对应的第一密钥。之后，该数据处理设备将第一密钥和第二密钥标识发送至加密机。之后，加密机利用与该第二密钥标识对应的解密密钥对该第一密钥解密，得到并向数据处理设备返回第二密钥，使得数据处理设备采用该第二密钥对第一加密数据进行解密，得到第一数据。也即本申请的方案中，通过软件加解密与硬件加解密方式的结合，在解密第一加密数据时，需要经过加密机解密第一密钥后才能得到解密第一加密数据的第二密钥。因此本申请的方案，相比现有的只通过软件加解密的方式，提高了安全性，并且由于整个加解密系统可以通过扩充软件加解密的设备的性能(例如增加设备内存或提高处理器性能)来实现整体的加解密性能的提升，从而对高并发的场景相比现有的仅通过硬件加密具有更好的适用性。

在一个具体的实施例中，图图4所示实施例中，描述了通过数据处理设备对第一加密数据进行解密，得到第一数据的过程，下面对应图4，在图4所示实施例中描述的解密过程的基础上，具体参照图5，就通过数据处理设备对第二数据进行加密，得到第二加密数据的过程进行描述。

下面参见图5，图5为本申请实施例提供的一种数据解密的方法的另一个实施例示意图，可以包括：

S501，数据处理设备获取对第二数据的加密请求。

本实施例中，第二数据可以是外部设备发送的数据，也可以是数据处理设备的本地数据。该数据处理设备在运行时，获取对第二数据的加密请求可以包括：获取外部设备发送的对第二数据的加密请求，或者，响应用户对保存在数据处理设备上的第二数据的加密请求。

S502，数据处理设备根据该加密请求确定第三密钥。

本实施例中，数据处理设备在获取到该加密请求后，可以随机从数据库中选择得到第三密钥，或者，根据该加密请求中包括的第三密钥的密钥标识确定该第三密钥，或者根据第二数据的属性类别确定对应的第三密钥，下面分别进行说明。

在一个可能的实现方式中，数据处理设备的数据库中可以预存有多组密钥，每一组密钥对应一个唯一的密钥标识。数据处理设备获取到对第二数据的加密请求后，可以随机从数据库的多组密钥中，选择得到第三密钥。

在另一个可能的实现方式中，加密请求中可以包括指定的第三密钥的密钥标识。数据处理设备在获取加密请求后，可以确定该加密请求包括的密钥标识所对应的第三密钥。

在另一个可能的实现方式中，加密请求中可以包括第二数据的数据标识，该数据标识用于标识第二数据的一种或者多种属性信息。数据处理设备预存有不同的数据标识和不同的密钥标识的对应关系，也即，数据处理设备可以预先设定不同属性类型的数据对应不同的密钥标识，从而实现对不同属性类型的数据采用不同的加解密密钥。数据处理设备在获取对第二数据的加密请求后，可以根据加密请求中包括的数据标识，从该对应关系中确定与该数据标识对应的第一密钥标识。具体关于该对应关系以及数据标识的描述可以参见图2所示实施例中步骤S20402中所示，此处不再赘述。

S503，数据处理设备确定与第三密钥的密钥标识对应的第三密钥标识。

本实施例中，数据处理设备确定第三密钥后，并且确定预先存储的与该第三密钥的密钥标识对应的第三密钥标识。其中，该第三密钥标识用于标识与该数据处理设备相连接的加密机中的一组加解密密钥。

S504，数据处理设备向加密机发送第三密钥和第三密钥标识。

本实施例中，数据处理设备在确定第三密钥和第三密钥标识后，向加密机发送该第三密钥和第三密钥标识。

S505，加密机利用与该第三密钥标识对应的解密密钥对该第三密钥进行解密，得到第四密钥。

本实施例中，加密机接收到第三密钥和第三密钥标识后，确定与该第三密钥标识对应的解密密钥。之后，加密机利用该解密密钥对该第三密钥进行解密，得到第四密钥。

S506，加密机向数据处理设备发送该第四密钥。

本实施例中，加密机对第三密钥进行解密，得到第四密钥后，向数据处理设备发送该第四密钥。

S507，数据处理设备利用该第四密钥对第二数据进行加密，得到第二加密数据。

本实施例中，数据处理设备获得该第四密钥后，利用该第四密钥对第二数据进行加密，得到第二加密数据。

在一个具体的实施例中，若对第二数据的加密请求是由某一外部设备发送，则数据处理设备得到第二加密数据后，向该外部设备发送该第二加密数据。

本申请实施例中，数据处理设备在获取到对第二数据的加密请求后，根据该加密请求确定第三密钥，并确定与该第三密钥的密钥标识。之后，该数据处理设备利用加密机对该第三密钥进行解密，得到第四密钥，再采用该第四密钥对第二数据进行加密，得到第二加密数据。也即本申请的方案中，通过软件加解密与硬件加解密方式的结合，在对第二数据加密时，也需要经过加密机解密后才能得到加密第二数据的第四密钥。因此本申请实施例的方案，更进一步提高了数据加解密的安全性，并且由于整个加解密系统可以通过扩充软件加解密的设备的性能(例如增加设备内存或提高处理器性能)来实现整体的加解密性能的提升，从而对高并发的场景相比现有的仅通过硬件加密具有更好的适用性。

在另一个具体的实施例中，在图2所示的步骤S201、图4所示的步骤S401或图5所示的步骤S501之前，具体参见图6A，图6A为本申请实施例提供的一种数据解密的方法的另一个实施例示意图，该数据解密的方法还可以包括：

S601，数据处理设备响应于对第二密钥的加密指令，向加密机发送第二密钥。

本实施例中，数据处理设备在响应到外部设备或响应到用户对第二密钥的加密指令时，确定第二密钥，并向与该数据处理设备连接的加密机发送该第二密钥。

S602，加密机确定第二密钥标识。

本实施例中，第二密钥标识可以是由数据处理设备指定的，并和第二密钥一并发送至加密机，也可以是，加密机获得第二密钥后，随机从本地的多组密钥中选择一组密钥，该组密钥的密钥标识即为第二密钥标识。

S603，加密机利用与该第二密钥标识对应的加密密钥对第二密钥进行加密，得到第一密钥。

本实施例中，加密机确定第二密钥标识后，利用与该第二密钥标识对应的加密密钥对第二密钥进行加密，得到第一密钥。

S604，加密机向数据处理设备发送该第一密钥。

本实施例中，加密机对第二密钥加密，得到第一密钥后，向数据处理设备发送该第一密钥。

S605，数据处理设备保存第一密钥标识和第二密钥标识之间的对应关系。

本实施例中，数据处理设备获取该第一密钥后，将该第一密钥保存在本地，并保存第一密钥标识和第二密钥标识之间的对应关系。

在一个具体的实施例中，具体参照图6B，图6B为本申请实施了提供的一种数据解密的方法的另一个实施例示意图。其中，步骤S601，数据处理设备响应于对第二密钥的加密指令，向加密机发送对第二密钥的加密请求，可以有多种实现方式，其中一种可能的实现方式可以包括：

S6011，数据处理设备接收第一设备在对第一数据加密后发送的对第二密钥的加密指令。

其中，第一设备可以是与数据处理设备具有通信连接的任一设备，可以是用户设备，例如个人计算机、掌上电脑或移动终端等。数据处理设备上保存有第二密钥，或者具有获取第二密钥的功能。

本实施例中，数据处理设备可以接收第一设备在对第一数据加密后，发送的对第二密钥的加密指令。其中，第二密钥为第一加密数据的解密密钥。

S6012，数据处理设备根据该加密指令向加密机发送第二密钥。

本实施例中，加密指令中可以包括第二密钥，也可以包括第二密钥的密钥标识，数据处理设备根据该加密指令确定第二密钥，并向加密机发送该第二密钥。

本申请实施例中，数据处理设备上保存有第二密钥，或者具有获取第二密钥的功能，第一设备对第一数据加密后，可以向数据处理设备发送对第二密钥的加密指令，指示数据处理设备对第二密钥进行加密，从而避免了其他用户或者其他设备通过数据处理设备获取第二密钥，影响第一加密数据的加密安全性的情况的发生。

在另一个具体的实施例中，具体参照图6C，图6C为本申请实施了提供的一种数据解密的方法的另一个实施例示意图。步骤S601，数据处理设备响应于对第二密钥的加密指令，向加密机发送对第二密钥的加密请求，可以有多种实现方式，其中一种可能的实现方式可以包括：

S6013，数据处理设备获取对第一数据的加密请求。

本实施例中，第一数据可以是可以是外部设备发送的数据，也可以是数据处理设备的本地数据。该数据处理设备在运行时，获取对第一数据的加密请求可以包括：获取与数据处理设备具有通信连接的某一外部设备发送的对第一数据的加密请求，该加密请求中包括该第一数据，或者，响应用户操作对保存在数据处理设备上的第一数据的加密请求。

S6014，数据处理设备根据该加密请求确定第五密钥，该第五密钥与第二密钥组成非对称的一组密钥对。

本实施例中，数据处理设备设置有非对称加密算法，该对第一数据的加密请求用于指示对第一数据进行非对称加密。数据处理设备根据该加密请求确定第五密钥可以包括：该加密请求中包括指定的密钥标识，从而数据处理设备确定该密钥标识对应的第五密钥；数据处理设备接收到该加密请求后，随机从本地的多组密钥中确定一组密钥中，该组密钥中包括第五密钥。其中，需要说明的是，该第五密钥与前述的第二密钥组成非对称的一组密钥对。

S6015，数据处理设备利用第五密钥对第一数据进行加密，得到第一加密数据。

本实施例中，数据处理设备可以采用多种非对称加密算法，利用该第五密钥对第一数据进行加密，得到第一加密数据。

在一个具体的实施例中，若对第一数据的加密请求是由某一外部设备发送，则数据处理设备得到第一加密数据后，向该外部设备发送该第一加密数据。

S6016，数据处理设备向加密机发送第二密钥。

本实施例中，数据处理设备在对第一数据加密得到第一加密数据后，将第一加密数据的解密密钥，也即第二密钥发送至加密机。

本申请实施例中，采用非对称加密算法，在对第一数据加密时，数据处理设备可以直接采用非对称加密算法的一组密钥中的加密密钥，也即第五密钥对第一数据进行加密，得到第一加密数据。在加密完成后，数据处理设备利用加密机对第五密钥对应的第二密钥进行加密，得到第一密钥。之后，数据处理设备对第一加密数据进行解密时，再通过软件解密和加密机解密结合，对第一加密数据进行解密。也即，本申请实施例中，对数据进行加密时，采用软件加密的方式，而对数据解密时，采用软件解密和硬件解密结合的方式，而数据的加解密的安全多体现在数据的解密过程中，因此本申请实施例即可以提高数据加解密的安全性，又可以减轻设备的运行压力。

应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本申请实施例的实施过程构成任何限定。

具体参照图7，图7为本申请实施了提供的一种数据处理设备的一个实施例示意图，可以包括：

收发模块701，用于获取对第一加密数据的解密请求；

查询模块702，用于根据该解密请求确定第一密钥标识；确定与该第一密钥标识对应的第一密钥和第二密钥标识；

收发模块701，还用于向加密机发送该第一密钥和该第二密钥标识，并接收该加密机利用该第二密钥标识对应的解密密钥对该第一密钥解密后得到的第二密钥；

加解密模块703，用于利用该第二密钥对该第一加密数据进行解密，得到第一数据。

在一个可能的实现方式中，

收发模块701，还用于响应于对该第二密钥的加密指令，向该加密机发送该第二密钥；接收该加密机利用与该第二密钥标识对应的加密密钥对该第二密钥加密后返回的该第一密钥；保存该第一密钥标识和该第二密钥标识的对应关系。

在一个可能的实现方式中，

收发模块701，还用于获取对第二数据的加密请求；

查询模块702，还用于根据该加密请求确定第三密钥；确定与该第三密钥的密钥标识对应的第三密钥标识；

收发模块701，还用于向该加密机发送该第三密钥和第三密钥标识，并接收该加密机利用该第三密钥标识对应的解密密钥对该第三密钥解密后得到的第四密钥；

加解密模块703，还用于利用该第四密钥对该第二数据进行加密，得到第二加密数据。

在一个可能的实现方式中，

收发模块701，具体用于获取对该第一数据的加密请求；指示查询模块702，根据该加密请求确定第五密钥，该第五密钥与该第二密钥组成非对称加密的一组密钥对；指示该加解密模块703，利用该第五密钥对该该第一数据进行加密，得到该第一加密数据；向该加密机发送该第二密钥。

在一个可能的实现方式中，收发模块701，具体用于响应于第一设备在对该第一数据加密后发送的对该第二密钥的加密指令，向该加密机发送该第二密钥。

在一个可能的实现方式中，该解密请求中还可以包括该第一加密数据或该第一数据的数据标识，查询模块702，具体用于确定与该数据标识对应的该第一密钥标识。

在一个可能的实现方式中，该加密请求中还可以包括该第二数据的数据标识，该根据该加密请求确定第三密钥，查询模块702，具体用于确定与该数据标识对应的该第三密钥。

具体参照图8，图8为本申请实施了提供的一种加密机的一个实施例示意图，可以包括：

收发单元801，用于获取数据处理设备发送的第一密钥和第二密钥标识；

加解密模块802，用于利用与该第二密钥标识对应的解密密钥对该第一密钥进行解密，得到第二密钥；

收发模块801，用于向该数据处理设备发送该第二密钥。

在一个可能的实现方式中，

收发模块801，还用于获取数据处理设备发送的该第二密钥；确定第二密钥标识；

加解密模块802，还用于利用与该第二密钥标识对应的加密密钥对该第二密钥进行加密，得到该第一密钥；

收发模块803，还用于向该数据处理设备发送该第一密钥。

具体参照图9，图9为本申请实施了提供的一种计算机硬件设备的一个实施例示意图，可以包括：

存储器901、处理器902以及存储在存储器901中并可在处理器902上运行的计算机程序903；处理器902执行计算机程序903时实现如图2至图6C所示实施例及任一可选步骤中所述方法的步骤。

本申请实施例的还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如图2至图6C所示实施例及任一可选步骤中所述方法的步骤。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能单元、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元、模块完成，即将所述装置的内部结构划分成不同的功能单元或模块，以完成以上描述的全部或者部分功能。实施例中的各功能单元、模块可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中，上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。另外，各功能单元、模块的具体名称也只是为了便于相互区分，并不用于限制本申请的保护范围。上述系统中单元、模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述或记载的部分，可以参见其它实施例的相关描述。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

在本申请所提供的实施例中，应该理解到，所揭露的装置/终端设备和方法，可以通过其它的方式实现。例如，以上所描述的装置/终端设备实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或单元的间接耦合或通讯连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。

以上所述实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的精神和范围，均应包含在本申请的保护范围之内。

Claims (9)

1.一种数据解密的方法，其特征在于，包括：

获取对第一加密数据的解密请求；

根据所述解密请求确定第一密钥标识；

确定与所述第一密钥标识对应的第一密钥和第二密钥标识，具体包括：查询与该第一密钥标识对应的第一密钥，并且确定预先存储的与该第一密钥标识对应的第二密钥标识；

向加密机发送所述第一密钥和所述第二密钥标识，并接收所述加密机利用所述第二密钥标识对应的解密密钥对所述第一密钥解密后得到的第二密钥；

利用所述第二密钥对所述第一加密数据进行解密，得到第一数据；

其中，所述获取对第一加密数据的解密请求之前，所述方法还包括：

响应于接收第一设备对第一数据加密后对所述第二密钥的加密指令，向所述加密机发送所述第二密钥；

接收所述加密机利用与所述第二密钥标识对应的加密密钥对所述第二密钥加密后返回的所述第一密钥；

保存所述第一密钥标识和所述第二密钥标识的对应关系。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取对第二数据的加密请求；

根据所述加密请求确定第三密钥；

确定与所述第三密钥的密钥标识对应的第三密钥标识；

向所述加密机发送所述第三密钥和第三密钥标识，并接收所述加密机利用所述第三密钥标识对应的解密密钥对所述第三密钥解密后得到的第四密钥；

利用所述第四密钥对所述第二数据进行加密，得到第二加密数据。

3.根据权利要求1所述的方法，其特征在于，所述响应于对所述第二密钥的加密指令，向所述加密机发送所述第二密钥，包括：

获取对所述第一数据的加密请求；

根据所述加密请求确定第五密钥，所述第五密钥与所述第二密钥组成非对称加密的一组密钥对；

利用所述第五密钥对所述所述第一数据进行加密，得到所述第一加密数据；

向所述加密机发送所述第二密钥。

4.根据权利要求1所述的方法，其特征在于，所述响应于对所述第二密钥的加密指令，向所述加密机发送所述第二密钥，包括：

响应于第一设备在对所述第一数据加密后发送的对所述第二密钥的加密指令，向所述加密机发送所述第二密钥。

5.根据权利要求1、3或4所述的方法，其特征在于，所述解密请求中还包括所述第一加密数据或所述第一数据的数据标识，所述根据所述解密请求确定第一密钥标识，包括：

确定与所述数据标识对应的所述第一密钥标识。

6.一种数据解密的方法，其特征在于，包括：

加密机获取数据处理设备发送的第一密钥和第二密钥标识，所述第一密钥和第二密钥标识为数据处理设备在获取对第一加密数据的解密请求后，根据所述解密请求确定第一密钥标识，查询与该第一密钥标识对应的第一密钥，并且确定预先存储的与该第一密钥标识对应的第二密钥标识；

所述加密机利用与所述第二密钥标识对应的解密密钥对所述第一密钥进行解密，得到第二密钥；

所述加密机向所述数据处理设备发送所述第二密钥，所述数据处理设备利用所述第二密钥对所述第一加密数据进行解密，得到第一数据；

其中，所述数据处理设备获取对第一加密数据的解密请求之前，还包括：

所述数据处理设备响应于接收第一设备对第一数据加密后发送的对所述第二密钥的加密指令，向所述加密机发送所述第二密钥；

所述数据处理设备接收所述加密机利用与所述第二密钥标识对应的加密密钥对所述第二密钥加密后返回的所述第一密钥，并保存所述第一密钥标识和所述第二密钥标识的对应关系。

7.一种数据处理设备，其特征在于，包括：

收发模块，用于获取对第一加密数据的解密请求；

查询模块，用于根据所述解密请求确定第一密钥标识；确定与所述第一密钥标识对应的第一密钥和第二密钥标识，具体包括：查询与该第一密钥标识对应的第一密钥，并且确定预先存储的与该第一密钥标识对应的第二密钥标识；

所述收发模块，还用于向加密机发送所述第一密钥和所述第二密钥标识，并接收所述加密机利用所述第二密钥标识对应的解密密钥对所述第一密钥解密后得到的第二密钥；

加解密模块，用于利用所述第二密钥对所述第一加密数据进行解密，得到第一数据；

其中，所述收发模块，还用于响应于接收第一设备对第一数据加密后对该第二密钥的加密指令，向所述加密机发送该第二密钥；接收所述加密机利用与所述第二密钥标识对应的加密密钥对所述第二密钥加密后返回的所述第一密钥；保存所述第一密钥标识和所述第二密钥标识的对应关系。

8.一种计算机硬件设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至5中任一项所述方法的步骤，或者,实现如权利要求6所述方法的步骤。

9.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5中任一项所述方法的步骤，或者,实现如权利要求6所述方法的步骤。

Images