CN105553945A - 一种在移动终端中加解密数据的方法和装置 - Google Patents

Abstract

本申请公开了一种在移动终端中加解密数据的方法和装置，其中所述移动终端与外部智能卡接口连接，所述方法包括：在所述智能卡上建立应用环境并设置应用环境PIN码；在所述智能卡上创建私钥容器，并生成非对称密钥对；将所述非对称密钥对中的私钥保存于所述私钥容器中；用类密钥按类加密数据并将加密后的数据保存于所述移动终端中；用主密钥加密类密钥并将加密后的类密钥保存于所述移动终端中；用所述非对称密钥对中的公钥加密主密钥并将加密后的主密钥保存于所述移动终端中。本发明使得密钥与加密信息分离存放，确保加密信息安全，同时用户不需要记忆各种口令。

Description

一种在移动终端中加解密数据的方法和装置

技术领域

本申请涉及安全装置领域，尤其涉及一种在移动终端中加/解密数据的方法和装置。

背景技术

在手机加密系统中，目前的加密文件系统都是存放在手机中，一般只是利用口令来解密，无法与用户的身份做强关联。一旦口令泄露，则加密信息随之泄露，不安全。而且口令容易被破解，无法做到应用与高安全等级的场合。

现有技术还有利用加密卡保护加密信息的方法。在这样的方法中，由于加密卡一般使用相同的pin码，对于第三方应用，会造成任何一个应用可以使用其他应用的私钥的情况，十分不安全。

发明内容

本申请的目标在于提供一种密钥与加密信息分离的、更安全和方便的、加/解密数据的方法和装置。

本申请的目标由一种在移动终端中加密数据的方法实现，其中移动终端与外部智能卡连接，该方法包括：

在所述智能卡上建立应用环境并设置应用环境PIN码；

在所述智能卡上创建私钥容器，并生成非对称密钥对；

将所述非对称密钥对中的私钥保存于所述私钥容器中；

用类密钥按类加密数据并将加密后的数据保存于所述移动终端中；

用主密钥加密类密钥并将加密后的类密钥保存于所述移动终端中；

用所述非对称密钥对中的公钥加密主密钥并将加密后的主密钥保存于所述移动终端中。

本申请的目标还由一种数据解密方法实现，该方法包括：

将所述智能卡连接到所述移动终端；

根据应用环境名称，输入PIN码打开应用环境；

打开私钥容器名对应的容器；

将加密后的主密钥传入智能卡；

使智能卡用其私钥容器中的私钥解密所述加密后的主密钥，获得解密后的主密钥；

用解密后的主密钥对加密后的类密钥进行解密，获得解密后的类密钥；

用解密后的类密钥对加密数据进行解密，从而获得原始数据。

本发明的目标还由一种在移动终端中加密数据的装置实现，其中所述移动终端与外部智能卡接口连接，该装置包括：

应用环境建立单元，用于在所述智能卡上建立应用环境并设置应用环境PIN码；

私钥容器创建单元，用于在所述智能卡上创建私钥容器，并生成非对称密钥对；

私钥保存单元，用于将所述非对称密钥对中的私钥保存于所述私钥容器中；

数据加密单元，用于用类密钥按类加密数据并将加密后的数据保存于所述移动终端中；

类密钥加密单元，用于用主密钥加密类密钥并将加密后的类密钥保存于所述移动终端中；

主密钥加密单元，用于用所述非对称密钥对中的公钥加密主密钥并将加密后的主密钥保存于所述移动终端中。

本申请的目标还由一种对数据进行解密的装置实现，其中所述智能卡连接到所述移动终端，该装置包括：

应用环境打开单元，用于根据应用环境名称，输入PIN码打开应用环境；

私钥容器打开单元，用于打开私钥容器名对应的容器；

密钥传输单元，用于将加密后的主密钥传入智能卡；

主密钥解密单元，用于使智能卡用其私钥容器中的私钥解密所述加密后的主密钥，获得解密后的主密钥；

类密钥解密单元，用于用解密后的主密钥对加密后的类密钥进行解密，获得解密后的类密钥；

数据解密单元，用于用解密后的类密钥对加密数据进行解密，从而获得原始数据。

本发明提供了一套全新的方案，利用智能卡，将加密信息与智能卡绑定起来，做到插上智能卡才能解密手机中的加密信息，拔掉卡后，不能再解密手机中的加密信息。在需要禁止读取或保存加密信息时，拔下智能卡即可，十分方便。当手机被其他人使用时，由于没有关联的智能卡，其他人也无法访问其中的加密信息。此外，智能卡可分离存放，手机丢失后信息也不会泄露。并且，本发明为每个应用创建独立的应用环境，隔离应用间容器，做到应用以开发者分配空间，使同一个开发者的应用可以共享密钥容器。

除非明确指出，在此所用的单数形式“一”、“该”均包括复数含义(即具有“至少一”的意思)。应当进一步理解，说明书中使用的术语“具有”、“包括”和/或“包含”表明存在所述的特征、步骤、操作、元件和/或部件，但不排除存在或增加一个或多个其他特征、步骤、操作、元件、部件和/或其组合。如在此所用的术语“和/或”包括一个或多个列举的相关项目的任何及所有组合。除非明确指出，在此公开的任何方法的步骤不必精确按照所公开的顺序执行。

附图说明

本发明将在下面参考附图并结合优选实施例进行更完全地说明。

图1为根据本发明方法的一实施例的流程图。

图2为根据本发明方法的另一实施例的流程图。

图3为根据本发明装置的一实施例的结构示意图。

图4为根据本发明装置的另一实施例的结构示意图。

为清晰起见，这些附图均为示意性及简化的图，它们只给出了对于理解本发明所必要的细节，而省略其他细节。

具体实施方式

通过下面给出的详细描述，本发明的适用范围将显而易见。然而，应当理解，在详细描述和具体例子表明本发明优选实施例的同时，它们仅为说明目的给出。

图1示出了本发明的加密方法的一实施例，其用于在移动终端如手机中加密数据，其中移动终端与外部智能卡通过接口连接，该方法开始于步骤S11，一个程序在建立独立的容器时，首先以开发者唯一ID为名称如aname(可以是整个开发系统云用户名，也可以是开发系统分配给开发者证书中的DN标识)在智能卡中建立一个新应用环境，并设置应用环境PIN码；如果智能卡中已经有以aname命名的应用环境，那么就使用这个已存在的应用环境。从而可以在同一个开发者开发的不同应用间共享加密密钥进而在同一个开发者的应用间共享数据，而不同的开发者开发的应用间不能共享数据和密钥。之后，处理进行到步骤S12，程序以一个智能卡范围内唯一的容器名dname创建一个私钥容器，并生成非对称密钥对。唯一的容器名方便进行检索和查找，当应用需要某个私钥进行运算时，可以通过这个名字识别出自己需要的私钥。之后，处理进行到步骤S13，将所述非对称密钥对中的私钥保存于所述私钥容器中。之后，处理进行到步骤S14，加密信息按加密用途分类，每一个类设立一个类密钥dckey，所有该类信息，用这个类密钥加密并保存加密后的信息。之后，处理进行到步骤S15，建立一个主密钥dmkey，用此主密钥加密各个类密钥，并保存加密后的类密钥eckey。之后，处理进行到步骤S16，用生成的公钥加密主密钥并保存加密后的主密钥emkey。

图2示出了对按图1所示实施例的方法加密的信息进行解密的方法的一实施例，当需要解密某类加密信息时，该方法开始于步骤S21，将智能卡连接到所述移动终端。之后，处理进行到步骤S22，根据应用环境名称aname，输入PIN码打开应用环境。之后，处理进行到步骤S23，打开私钥容器名dname对应的容器。之后，处理进行到步骤S24，将加密后的主密钥emkey传入智能卡，然后在步骤S25，让智能卡用其容器中的私钥解密该主密钥，从而获得解密后的主密钥dmkey。之后，处理进行到步骤S26，使用dmkey解密相关eckey，获得解密后类密钥dckey。最后，在步骤S27，使用dckey解密相关加密信息，获得信息原文。

本发明方法的上述实施例的步骤并非必须按给出的顺序执行，而是可以交换部分步骤的顺序。使用步骤编号仅是为了方便说明，而非限制各步骤的顺序。

图3示出了本发明加密装置的一实施例，其用于在移动终端中加密数据，其中移动终端与外部智能卡接口连接，该装置包括：应用环境建立单元11，用于在所述智能卡上建立应用环境并设置应用环境PIN码，其中应用环境以开发者唯一ID为名称(整个开发系统云用户名或开发系统分配给开发者证书中的DN标识)建立；私钥容器创建单元12，用于在所述智能卡上创建私钥容器，并生成非对称密钥对，其中私钥容器以在所述智能卡范围内唯一的容器名创建；私钥保存单元13，用于将所述非对称密钥对中的私钥保存于所述私钥容器中；数据加密单元14，用于用类密钥按类加密数据并将加密后的数据保存于所述移动终端中；类密钥加密单元15，用于用主密钥加密类密钥并将加密后的类密钥保存于所述移动终端中；主密钥加密单元16，用于用所述非对称密钥对中的公钥加密主密钥并将加密后的主密钥保存于所述移动终端中。

图4示出了本发明解密装置的一实施例，其中所述智能卡连接到所述移动终端，该装置包括：应用环境打开单元21，用于根据应用环境名称，输入PIN码打开应用环境；私钥容器打开单元22，用于打开私钥容器名对应的容器；密钥传输单元23，用于将加密后的主密钥传入智能卡；主密钥解密单元24，用于使智能卡用其私钥容器中的私钥解密所述加密后的主密钥，获得解密后的主密钥；类密钥解密单元25，用于用解密后的主密钥对加密后的类密钥进行解密，获得解密后的类密钥；数据解密单元26，用于用解密后的类密钥对加密数据进行解密，从而获得原始数据。

一些优选实施例已经在前面进行了说明，但是应当强调的是，本发明不局限于这些实施例，而是可以本发明主题范围内的其它方式实现。

Claims (10)

1.一种在移动终端中加密数据的方法，其中所述移动终端与外部智能卡连接，其特征在于，所述方法包括：

在所述智能卡上建立应用环境并设置应用环境PIN码；

在所述智能卡上创建私钥容器，并生成非对称密钥对；

将所述非对称密钥对中的私钥保存于所述私钥容器中；

用类密钥按类加密数据并将加密后的数据保存于所述移动终端中；

用主密钥加密类密钥并将加密后的类密钥保存于所述移动终端中；

用所述非对称密钥对中的公钥加密主密钥并将加密后的主密钥保存于所述移动终端中。

2.根据权利要求1所述的方法，其特征在于，建立所述应用环境时以开发者唯一ID为名称建立。

3.根据权利要求2所述的方法，其特征在于，所述名称包括整个开发系统云用户名或开发系统分配给开发者证书中的DN标识。

4.根据权利要求1所述的方法，其特征在于，所述私钥容器具有在所述智能卡范围内唯一的容器名。

5.一种根据权利要求1-4任一所述的方法加密的数据的解密方法，其特征在于，所述方法包括：

将所述智能卡连接到所述移动终端；

根据应用环境名称，输入PIN码打开应用环境；

打开私钥容器名对应的容器；

将加密后的主密钥传入智能卡；

使智能卡用其私钥容器中的私钥解密所述加密后的主密钥，获得解密后的主密钥；

用解密后的主密钥对加密后的类密钥进行解密，获得解密后的类密钥；

用解密后的类密钥对加密数据进行解密，从而获得原始数据。

6.一种在移动终端中加密数据的装置，其中所述移动终端与外部智能卡接口连接，其特征在于，所述装置包括：

应用环境建立单元，用于在所述智能卡上建立应用环境并设置应用环境PIN码；

私钥容器创建单元，用于在所述智能卡上创建私钥容器，并生成非对称密钥对；

私钥保存单元，用于将所述非对称密钥对中的私钥保存于所述私钥容器中；

数据加密单元，用于用类密钥按类加密数据并将加密后的数据保存于所述移动终端中；

类密钥加密单元，用于用主密钥加密类密钥并将加密后的类密钥保存于所述移动终端中；

主密钥加密单元，用于用所述非对称密钥对中的公钥加密主密钥并将加密后的主密钥保存于所述移动终端中。

7.根据权利要求6所述的装置，其特征在于，所述应用环境建立单元以开发者唯一ID为名称建立所述应用环境。

8.根据权利要求7所述的装置，其特征在于，所述名称包括整个开发系统云用户名或开发系统分配给开发者证书中的DN标识。

9.根据权利要求6所述的方法，其特征在于，所述私钥容器创建单元以在所述智能卡范围内唯一的容器名创建所述私钥容器。

10.一种对根据权利要求1-4任一所述的方法加密的数据进行解密的装置，其中所述智能卡连接到所述移动终端，其特征在于，所述装置包括：

应用环境打开单元，用于根据应用环境名称，输入PIN码打开应用环境；

私钥容器打开单元，用于打开私钥容器名对应的容器；

密钥传输单元，用于将加密后的主密钥传入智能卡；

主密钥解密单元，用于使智能卡用其私钥容器中的私钥解密所述加密后的主密钥，获得解密后的主密钥；

类密钥解密单元，用于用解密后的主密钥对加密后的类密钥进行解密，获得解密后的类密钥；

数据解密单元，用于用解密后的类密钥对加密数据进行解密，从而获得原始数据。