CN107465504A - 一种提高密钥安全性的方法及装置 - Google Patents

Abstract

本发明实施例公开了一种提高密钥安全性的方法及装置，该方法包括：根据预设解密算法，将加密的软件密钥解密为原始数据；根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。基于上述方法及装置，可以实现密钥存储方式的迁移，能够充分使用可信任执行环境，确保用户的数据信息得到安全性更高的保障。

Description

一种提高密钥安全性的方法及装置

技术领域

本发明实施例涉及数据处理技术领域，尤其涉及一种提高密钥安全性的方法及装置。

背景技术

伴随着终端智能化及网络宽带化的趋势，移动互联网业务日益繁荣，与此同时，移动终端越来越多的涉及商业秘密和个人隐私等敏感信息，移动终端也面临着各种安全威胁，如恶意订购、自动拨打声讯台、自动联网等，造成用户的话费损失或信息泄露；木马软件可以控制用户的移动终端，盗取账户、监听通话、发送本地信息等；在移动支付市场上，支付应用开始成为攻击目标。黑客发现了他们所窃取的敏感数据的价值，例如用户的信用卡和积分卡信息，或其他个人数据。移动终端作为移动互联网时代最主要的载体，面临着严峻的安全挑战，防止数据泄露是个人和企业都在更加关心的问题。

可信任执行环境(Trusted execution environment，Tee)是全球平台国际标准组织(GlobalPlatform，GP)提出的概念，目的是为了打造更安全的移动智能终端。Tee是与移动智能终端设备上的众多操作系统都能并存的运行环境，给操作系统提供了安全服务。

目前，移动智能终端上的操作系统或手机软件的不带Tee软件版本中密钥(比如：隐私、手机pin码、锁屏密码等)的存储方式为安全性较差的软存储，而带Tee软件版本中密钥的存储方式为安全性较高的硬存储。当通过空中下载技术(Over-the-Air Technology，OTA)将该软件版本从不带Tee升级到带Tee时，其密钥的存储方式却仍然为软存储，现有技术中也没有有效的方法解决这个问题，以致于不能充分利用到Tee的功能，密钥的存储也就得不到更高安全的保障。

发明内容

本发明提供一种提高密钥安全性的方法及装置，以实现密钥存储方式的迁移。

为达到此目的，本发明采用以下技术方案：

第一方面，本发明实施例提供一种提高密钥安全性的方法，包括：

根据预设解密算法，将加密的软件密钥解密为原始数据；

根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

进一步地，上述方法中，所述根据预设解密算法，将加密的软件密钥解密为原始数据，包括：

根据软件密钥的加密方式，查询并获取与之对应的所述预设解密算法；

根据所述预设解密算法，将软件密钥解密为原始数据。

进一步地，上述方法中，所述根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥，包括：

根据硬件密钥的加密方式，查询并获取与之对应的所述预设加密算法；

获取与所述原始数据所关联的客户账号和应用程序数据；

根据预设加密算法，将所述原始数据、所述客户账号和所述应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

进一步地，上述方法中，在所述根据预设解密算法，将加密的软件密钥解密为原始数据之前，还包括：

当智能终端运行在有可信任执行环境的软件版本时，检测是否存在所述软件密钥；

若是，则执行所述根据预设解密算法，将加密的软件密钥解密为原始数据的操作。

第二方面，本发明实施例还提供一种提高密钥安全性的装置，包括：

软件密钥解密模块，用于根据预设解密算法，将加密的软件密钥解密为原始数据；

硬件密钥加密模块，用于根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

进一步地，上述装置中，所述软件密钥解密模块包括：

解密算法获取单元，用于根据软件密钥的加密方式，查询并获取与之对应的所述预设解密算法；

软件密钥解密单元，用于根据所述预设解密算法，将软件密钥解密为原始数据。

进一步地，上述装置中，所述硬件密钥加密模块包括：

加密算法获取单元，用于根据硬件密钥的加密方式，查询并获取与之对应的所述预设加密算法；

关联数据获取单元，用于获取与所述原始数据所关联的客户账号和应用程序数据；

硬件密钥加密单元，用于根据预设加密算法，将所述原始数据、所述客户账号和所述应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

进一步地，所述装置还包括：

软件密钥检测模块，用于在所述软件密钥解密模块根据预设解密算法，将加密的软件密钥解密为原始数据之前，当智能终端运行在有可信任执行环境的软件版本时，检测是否存在所述软件密钥；

解密执行模块，用于若所述软件密钥检测模块检测到存在所述软件密钥，则由所述软件密钥解密模块执行所述根据预设解密算法，将加密的软件密钥解密为原始数据的操作。

本发明实施例提供的一种提高密钥安全性的方法及装置，通过将需要加密的原始数据连同关联的客户账号和应用程序，按照预设加密算法，生成新的密钥的技术手段，可以解决智能终端在系统或软件版本升级后，运行环境从通用执行环境切换到了可信任执行环境，而密钥的存储方式没有随之更新的问题，不仅实现了密钥存储方式的迁移，还能够充分使用可信任执行环境，确保用户的数据信息得到安全性更高的保障。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1是本发明实施例一提供的一种提高密钥安全性的方法的流程示意图；

图2是本发明实施例二提供的一种提高密钥安全性的方法的流程示意图；

图3是本发明实施例三提供的一种提高密钥安全性的方法的流程示意图；

图4是本发明实施例四提供的一种提高密钥安全性的方法的流程示意图；

图5是本发明实施例五提供的一种提高密钥安全性的装置的结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

实施例一

请参阅附图1，为本发明实施例一公开的一种提高密钥安全性的方法的流程示意图，该方法适用于提高运行在可信任执行环境软件版本的智能终端的密钥安全性的场景，该方法由提高密钥安全性的装置来执行，该装置可以由软件和/或硬件实现，集成于智能终端内部。该方法具体包括如下步骤：

S110、根据预设解密算法，将加密的软件密钥解密为原始数据。

需要说明的是，在密码学领域，原始数据指的是原始的或未加密的数据，通常称为明文，而明文加密后的格式，通常则称为密文。

数据加密是对原来为明文的文件或数据按某种算法进行处理，使其成为不可读的一段代码，即上述提及的“密文”，使其只能在输入相应的密钥之后才能显示出本来内容，通过这样的途径来达到保护数据不被非法人窃取、阅读的目的。该过程的逆过程为数据解密，即将该编码信息转化为其原来数据的过程。数据加密和数据解密都是需要用到算法和密钥的，一般的，加密算法是公开的，而密钥作为明文转换为密文或将密文转换为明文的算法中输入的参数，则是不公开的。在需要对加密的软件密钥解密时，由于解密算法与加密算法是相对应的，而加密算法可以直接获取，那么只需配合密钥使用，便可实现软件密钥的解密。

进一步需要说明的是，由于加密技术包括对称加密技术和非对称加密技术两种类型，相应地，也就存在数据加密和数据解密所使用的密钥相同和不同这两种情况。

在一种实施方式中，优选的，在加密软件密钥过程中所使用的加密算法，包括SHA-1(Secure Hash Algorithm，安全哈希算法)和/或MD5(Message-Digest Algorithm 5，消息摘要算法第五版)这两种常用的加密算法，其具体是让大容量信息在用数字签名软件签署私人密钥前被"压缩"成一种保密的格式，也就是把一个任意长度的字节串变换成一定长的十六进制数字串。

具体的，根据软件密钥的加密算法对应的解密算法，以及解密所使用的密钥，将加密的软件密钥解密为原始数据。为了提高网络数据安全，防止由于密码泄露引起的非法入侵情况的发生，在软件密钥解密前，还包括身份认证、数字签名和(不可否认性)防止个人否认事实的行为(撒谎)。

S120、根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

需要说明的是，原始数据具体是指用户数据库中的数据，或者是终端用户所存储使用的各种数据，又称用户数据，是未经过处理或简化的数据，这些数据可能是也可能不是机器可读形式。它构成了物理存在的数据。原始数据有多种存在形式，如文本数据，图像数据，音频数据或者几种数据混合存在。在本发明实施例中，示例性的，文本数据形式的原始数据，可以是数字和/或字母的，用于验证身份的密码串；而图像数据形式的原始数据，可以是九宫格锁屏中使用的图案解锁数据。客户账号是指在特定的项目中所代表客户的一些数字，有时还可以由中文或英文组成，甚至是一些符号，从字面可以理解为一个号码，比如银行卡号码、手机号码、微信或支付宝号码等。应用程序数据是指智能终端的应用程序在使用过程中产生的记录数据和储存的文件；比如当用户通过智能终端上的即时通讯应用与朋友聊天、传送文件或者视频时，或通过智能终端上的摄像机等应用拍照或者录制音视频时，或通过智能终端上的游戏应用玩智能终端游戏时，智能终端都会相应的记录这些数据信息，形成应用程序数据。这些应用程序数据与智能终端用户的日常生活密切相关，并且将存储在智能终端的本地存储空间中。

进一步需要说明的是，生成硬件密钥所需要的原始数据、客户账号和应用程序数据之间必定是需要有关联的；此外，生成硬件密钥所利用的预设加密算法可与上文中加密软件密钥所需要的加密算法相同。

硬件密钥的加密生成是在可信任执行环境中进行的，生成的硬件密钥的存储方式及存储位置不同于软件密钥。硬件密钥存储在可信任执行环境的存储分区中，其得到了更好、安全线更高的启动进程完整性验证和数据保护。

在本发明实施例的技术方案中，通过将需要加密的原始数据连同关联的客户账号和应用程序，按照预设加密算法，生成新的密钥的技术手段，可以解决智能终端在系统或软件版本升级后，运行环境从通用执行环境切换到了可信任执行环境，而密钥的存储方式没有随之更新的问题，不仅实现了密钥存储方式的迁移，还能够充分使用可信任执行环境，确保用户的数据信息得到安全性更高的保障。

实施例二

如图2所示，本发明实施例提供的一种提高密钥安全性的方法，是在实施例一提供的技术方案的基础上，对步骤S110“根据预设解密算法，将加密的软件密钥解密为原始数据”的进一步优化。即：

根据软件密钥的加密方式，查询并获取与之对应的所述预设解密算法；

根据所述预设解密算法，将软件密钥解密为原始数据。

基于上述优化，如图2所示，本实施例提供的一种提高密钥安全性的方法，可以包括如下步骤：

S210、根据软件密钥的加密方式，查询并获取与之对应的所述预设解密算法。

需要说明的是，软件密钥的加密方式是指软件密钥加密过程中所使用的加密算法和加密密钥，每一种加密算法在其进行加密时都有特定的加密方式；在对该软件密钥进行解密时，需要先确定其加密算法和加密密钥，再根据该加密算法匹配对应的解密算法。

在一种实施方式中，优选的，通过先获取软件密钥的加密算法和加密密钥的方式，能够最终获取到与该加密算法和加密密钥对应的解密算法和解密密钥。

S220、根据所述预设解密算法，将软件密钥解密为原始数据。

需要说明的是，根据预设解密算法将软件密钥解密是指将原来不可读的代码转换为可读的内容的过程。

S230、根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

本发明实施例提供的技术方案，通过先确定软件密钥的加密方式，再获取与之对应的软件密钥的预设解密算法的技术手段，可以保证对软件密钥解密的准确性；通过将需要加密的原始数据连同关联的客户账号和应用程序，按照预设加密算法，生成新的密钥的技术手段，可以解决智能终端在系统或软件版本升级后，运行环境从通用执行环境切换到了可信任执行环境，而密钥的存储方式没有随之更新的问题，不仅实现了密钥存储方式的迁移，还能够充分使用可信任执行环境，确保用户的数据信息得到安全性更高的保障。

实施例三

如图3所示，本发明实施例提供的一种提高密钥安全性的方法，是在实施例一提供的技术方案的基础上，对步骤S120“根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥”的进一步优化。即：

根据硬件密钥的加密方式，查询并获取与之对应的所述预设加密算法；

获取与所述原始数据所关联的客户账号和应用程序数据；

根据预设加密算法，将所述原始数据、所述客户账号和所述应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

基于上述优化，如图3所示，本实施例提供的一种提高密钥安全性的方法，可以包括如下步骤：

S310、根据预设解密算法，将加密的软件密钥解密为原始数据。

S320、根据硬件密钥的加密方式，查询并获取与之对应的所述预设加密算法。

需要说明的是，硬件密钥的加密方式可根据实际需求选择，一般是遵循加密算法结合加密密钥的方式，生成硬件密钥所利用的预设加密算法可与上文中加密软件密钥所需要的加密算法相同。

S330、获取与所述原始数据所关联的客户账号和应用程序数据。

需要说明的是，由于生成硬件密钥所需要的原始数据、客户账号和应用程序数据之间有关联关系的，在得到由软件密钥解密而成的原始数据时，通过该关联关系，便可确定该原始数据所关联的客户账号和应用程序数据。

S340、根据预设加密算法，将所述原始数据、所述客户账号和所述应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

本发明实施例提供的技术方案，通过将需要加密的原始数据连同关联的客户账号和应用程序，按照预设加密算法，生成新的密钥的技术手段，可以解决智能终端在系统或软件版本升级后，运行环境从通用执行环境切换到了可信任执行环境，而密钥的存储方式没有随之更新的问题，不仅实现了密钥存储方式的迁移，还能够充分使用可信任执行环境，确保用户的数据信息得到安全性更高的保障。

实施例四

图4是本发明实施例四提供的一种提高密钥安全性的方法的流程示意图，本实施例在上述实施例的基础上进行了优化。该方法具体可以包括如下步骤：

S410、根据软件密钥的加密方式，查询并获取与之对应的所述预设解密算法。

S420、根据所述预设解密算法，将软件密钥解密为原始数据。

S430、根据硬件密钥的加密方式，查询并获取与之对应的所述预设加密算法。

S440、获取与所述原始数据所关联的客户账号和应用程序数据。

S450、根据预设加密算法，将所述原始数据、所述客户账号和所述应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

需要说明的是，在生成硬件密钥后，需要进行可行性验证，具体通过在应用程序上结合客户账号，输入该硬件密钥对应的数据，若结果通过，则表示该生成的硬件密钥验证成功。

可选的，在所述根据预设解密算法，将加密的软件密钥解密为原始数据之前，还可以包括：

当智能终端运行在有可信任执行环境的软件版本时，检测是否存在所述软件密钥；

若是，则执行所述根据预设解密算法，将加密的软件密钥解密为原始数据的操作。

需要说明的是，当智能终端通过OTA技术进行带可信任执行环境的系统或软件版本的升级后，再开机，操作系统和应用程序便运行在可信任执行环境中，此时，智能终端将检测是否存在有利用不到可信任执行环境的软件密钥需要迁移。

本发明实施例提供的技术方案，通过将需要加密的原始数据连同关联的客户账号和应用程序，按照预设加密算法，生成新的密钥的技术手段，可以解决智能终端在系统或软件版本升级后，运行环境从通用执行环境切换到了可信任执行环境，而密钥的存储方式没有随之更新的问题，不仅实现了密钥存储方式的迁移，还能够充分使用可信任执行环境，确保用户的数据信息得到安全性更高的保障。

实施例五

请参阅附图5，为本发明实施例五提供的一种提高密钥安全性的装置的结构示意图，该装置适用于执行本发明实施例提供的提高密钥安全性的方法。该装置具体包含如下模块：

软件密钥解密模块51，用于根据预设解密算法，将加密的软件密钥解密为原始数据；

硬件密钥加密模块52，用于根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

本发明实施例提供的技术方案，通过根据预设解密算法，将加密的软件密钥解密为原始数据；根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。基于上述方法及装置，通过将需要加密的原始数据连同关联的客户账号和应用程序，按照预设加密算法，生成新的密钥的技术手段，可以解决智能终端在系统或软件版本升级后，运行环境从通用执行环境切换到了可信任执行环境，而密钥的存储方式没有随之更新的问题，不仅实现了密钥存储方式的迁移，还能够充分使用可信任执行环境，确保用户的数据信息得到安全性更高的保障。

优选的，所述软件密钥解密模块包括：

解密算法获取单元，用于根据软件密钥的加密方式，查询并获取与之对应的所述预设解密算法；

软件密钥解密单元，用于根据所述预设解密算法，将软件密钥解密为原始数据。

优选的，所述硬件密钥加密模块包括：

加密算法获取单元，用于根据硬件密钥的加密方式，查询并获取与之对应的所述预设加密算法；

关联数据获取单元，用于获取与所述原始数据所关联的客户账号和应用程序数据；

硬件密钥加密单元，用于根据预设加密算法，将所述原始数据、所述客户账号和所述应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

优选的，所述装置还包括：

软件密钥检测模块，用于在所述软件密钥解密模块根据预设解密算法，将加密的软件密钥解密为原始数据之前，当智能终端运行在有可信任执行环境的软件版本时，检测是否存在所述软件密钥；

解密执行模块，用于若所述软件密钥检测模块检测到存在所述软件密钥，则由所述软件密钥解密模块执行所述根据预设解密算法，将加密的软件密钥解密为原始数据的操作。

上述装置可执行本发明任意实施例所提供的方法，具备执行方法相应的功能模块和有益效果。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (8)

1.一种提高密钥安全性的方法，其特征在于，包括：

根据预设解密算法，将加密的软件密钥解密为原始数据；

根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

2.根据权利要求1所述的方法，其特征在于，所述根据预设解密算法，将加密的软件密钥解密为原始数据，包括：

根据所述软件密钥的加密方式，查询并获取与之对应的所述预设解密算法；

根据所述预设解密算法，将所述软件密钥解密为原始数据。

3.根据权利要求1所述的方法，其特征在于，所述根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥，包括：

根据所述硬件密钥的加密方式，查询并获取与之对应的所述预设加密算法；

获取与所述原始数据所关联的所述客户账号和所述应用程序数据；

根据所述预设加密算法，将所述原始数据、所述客户账号和所述应用程序数据，在可信任执行环境中进行加密，生成所述硬件密钥。

4.根据权利要求1所述的方法，其特征在于，在所述根据预设解密算法，将加密的软件密钥解密为原始数据之前，所述方法还包括：

当智能终端运行在有可信任执行环境的软件版本时，检测是否存在所述软件密钥；

若是，则执行所述根据预设解密算法，将加密的软件密钥解密为原始数据的操作。

5.一种提高密钥安全性的装置，其特征在于，包括：

软件密钥解密模块，用于根据预设解密算法，将加密的软件密钥解密为原始数据；

硬件密钥加密模块，用于根据预设加密算法，将所述原始数据、客户账号和应用程序数据，在可信任执行环境中进行加密，生成硬件密钥。

6.根据权利要求5所述的装置，其特征在于，所述软件密钥解密模块包括：

解密算法获取单元，用于根据所述软件密钥的加密方式，查询并获取与之对应的所述预设解密算法；

软件密钥解密单元，用于根据所述预设解密算法，将所述软件密钥解密为原始数据。

7.根据权利要求5所述的装置，其特征在于，所述硬件密钥加密模块包括：

加密算法获取单元，用于根据所述硬件密钥的加密方式，查询并获取与之对应的所述预设加密算法；

关联数据获取单元，用于获取与所述原始数据所关联的所述客户账号和所述应用程序数据；

硬件密钥加密单元，用于根据所述预设加密算法，将所述原始数据、所述客户账号和所述应用程序数据，在可信任执行环境中进行加密，生成所述硬件密钥。

8.根据权利要求5所述的装置，其特征在于，所述装置还包括：

软件密钥检测模块，用于在所述软件密钥解密模块根据预设解密算法，将加密的软件密钥解密为原始数据之前，当智能终端运行在有可信任执行环境的软件版本时，检测是否存在所述软件密钥；

解密执行模块，用于若所述软件密钥检测模块检测到存在所述软件密钥，则由所述软件密钥解密模块执行所述根据预设解密算法，将加密的软件密钥解密为原始数据的操作。