CN108259471B - 专有信息的加密方法、解密方法、装置及处理设备 - Google Patents

Abstract

本公开提供了一种专有信息的加密方法、解密方法、装置及处理设备。该加密方法包括：在对设备的专有信息加密时，生成第一类秘钥和第二类秘钥；应用第一类秘钥对专有信息进行加密；应用第二类秘钥对第一类秘钥加密；通过设备预置的可信安全模块对第二类秘钥进行加密；存储加密后的第一类秘钥和加密后的第二类秘钥。通过本公开，可以提升专有信息的获取难度，较好地保障了专有信息的安全性。

Description

专有信息的加密方法、解密方法、装置及处理设备

技术领域

本公开涉及计算机技术领域，尤其是涉及一种专有信息的加密方法、解密方法、装置及处理设备。

背景技术

设备制造商为了对设备进行区分，通常会在设备的存储介质中存储有该设备的专有信息，以便在生产、售后等环节通过查询专有信息确定该设备的身份。其中，专有信息可以为序列号、产品型号、生产日期、MAC地址等可区别于其它设备的特征信息。

然而，设备的专有信息很容易被非法获取并篡改，诸如，不法分子可以通过专有测试仪器截取设备硬件的通信信号，进而获取该设备的专有信息。此外，不法分子还可以将该设备的存储介质拆卸下来进行抛片，进而读取该存储介质中存储的专有信息。一旦不法分子获取该专有信息后，不但可以篡改该设备的专有信息，而且还可以将该专有信息复制到其它设备上进行非法盈利，给设备制造商带来较大的损失。

针对上述设备的专有信息容易被获取的问题，目前尚未提出有效的解决方案。

发明内容

有鉴于此，本公开的目的在于提供一种专有信息的加密方法、解密方法、装置及处理设备，用以改善现有技术中设备的专有信息容易被获取的问题。

为了实现上述目的，本公开采用的技术方案如下：

第一方面，本公开提供了一种专有信息的加密方法，该方法包括：在对设备的专有信息加密时，生成第一类秘钥和第二类秘钥；应用第一类秘钥对专有信息进行加密；应用第二类秘钥对第一类秘钥加密；通过设备预置的可信安全模块对第二类秘钥进行加密；存储加密后的第一类秘钥和加密后的第二类秘钥。

第二方面，本公开提供了一种专有信息的解密方法，该方法包括：在对设备加密后的专有信息解密时，获取加密后的第一类秘钥和加密后的第二类秘钥；其中，第一类秘钥为专有信息的加密秘钥，第二类秘钥为第一类秘钥的加密秘钥；通过设备预置的可信安全模块对加密后的第二类秘钥进行解密，得到第二类秘钥；应用第二类秘钥对加密后的第一类秘钥进行解密，得到第一类秘钥；应用第一类秘钥对加密后的专有信息解密，得到专有信息。

第三方面，本公开提供了一种专有信息的加密装置，该装置包括：秘钥生成模块，用于在对设备的专有信息加密时，生成第一类秘钥和第二类秘钥；第一加密模块，用于应用第一类秘钥对专有信息进行加密；第二加密模块，用于应用第二类秘钥对第一类秘钥加密；第三加密模块，用于通过设备预置的可信安全模块对第二类秘钥进行加密；存储模块，用于存储加密后的第一类秘钥和加密后的第二类秘钥。

第四方面，本公开提供了一种专有信息的解密装置，该装置包括：秘钥获取模块，用于在对设备加密后的专有信息解密时，获取加密后的第一类秘钥和加密后的第二类秘钥；其中，第一类秘钥为专有信息的加密秘钥，第二类秘钥为第一类秘钥的加密秘钥；第一解密模块，用于通过设备预置的可信安全模块对加密后的第二类秘钥进行解密，得到第二类秘钥；第二解密模块，用于应用第二类秘钥对加密后的第一类秘钥进行解密，得到第一类秘钥；第三解密模块，用于应用第一类秘钥对加密后的专有信息解密，得到专有信息。

第五方面，本公开提供了一种专有信息处理设备，包括处理器和机器可读存储介质，机器可读存储介质存储有能够被处理器执行的机器可执行指令，处理器执行机器可执行指令以实现第一方面或第二方面任一项的方法。

上述专有信息的加密方法及装置，首先生成第一类秘钥和第二类秘钥，通过第一类秘钥对设备的专有信息进行加密，应用第二类秘钥对第一类秘钥加密，进一步再通过设备预置的可信安全模块对第二类秘钥进行加密，这种嵌套加密的方式可靠性较强，提升了专有信息的获取难度，使专有信息难以被非法获取，较好地保障了专有信息的安全性。

上述专有信息的解密方法及装置，首先获取加密后的第一类秘钥和加密后的第二类秘钥，通过设备预置的可信安全模块对加密后的第二类秘钥进行解密，得到第二类秘钥，应用第二类秘钥对加密后的第一类秘钥进行解密，得到第一类秘钥，进一步再通过第一类秘钥对加密后的专有信息解密，得到专有信息。这种对嵌套加密的专有信息进行逐层解密的方式可靠性较强，较好地提升了专有信息的安全性。

本公开的其他特征和优点将在随后的说明书中阐述，或者，部分特征和优点可以从说明书推知或毫无疑义地确定，或者通过实施本公开的上述技术即可得知。

为使本公开的上述目的、特征和优点能更明显易懂，下文特举较佳实施方式，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本公开具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本公开的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本公开实施方式提供的一种专有信息的加密方法流程图；

图2为本公开实施方式提供的另一种专有信息的加密方法流程图；

图3为本公开实施方式提供的一种专有信息的解密方法流程图；

图4为本公开实施方式提供的另一种专有信息的加密方法流程图；

图5为本公开实施方式提供的一种专有信息的加密装置的结构框图；

图6为本公开实施方式提供的一种专有信息的解密装置的结构框图；

图7为本公开实施方式提供的专有信息处理设备的结构示意图。

具体实施方式

为使本公开实施方式的目的、技术方案和优点更加清楚，下面将结合附图对本公开的技术方案进行清楚、完整地描述，显然，所描述的实施方式是本公开一部分实施方式，而不是全部的实施方式。基于本公开中的实施方式，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施方式，都属于本公开保护的范围。

各设备通常设置有区别于其它设备的专有信息，以表征自身属性或者特征，诸如可以是序列号、产品型号、生产日期、MAC地址等识别性较高的信息，以便人们可以根据专有信息对设备进行识别。考虑到专有信息容易被不法分子获取而给设备制造商及消费者带来损失，基于上述原因，本公开实施方式提供了一种专有信息的加密方法、解密方法、装置及处理设备，该技术可应用于对设备的专有信息进行加解密处理过程。

参见图1所示的一种专有信息的加密方法流程图，该方法包括如下步骤：

步骤S102，在对设备的专有信息加密时，生成第一类秘钥和第二类秘钥。其中，第一类秘钥和第二类秘钥可以是根据预设算法而随机生成的，在实际应用中，秘钥可以采用字符串形式，该字符串可以由数字、字母或其它字符构成，当然，秘钥也可以采用其它形式构成，诸如图文等形式，在此不再赘述。

步骤S104，应用第一类秘钥对专有信息进行加密。

在一种实施方式中，第一类秘钥包括一个第一秘钥，使用第一秘钥对专有信息加密。具体可以采用预设的加密算法对专有信息加密，可根据实际情况而灵活选用加密算法，在此不做限定。

在另一种实施方式中，如果第一类秘钥包括多个第一秘钥，使用多个第一秘钥对专用信息进行层层加密。其中，层层加密包括：从多个第一秘钥中选取一个秘钥对专有信息加密，从剩余的第一秘钥中选取下一个秘钥对加密后的专有信息加密，以此类推，直至无剩余的第一秘钥为止。为便于理解，示意性说明如下：假设第一类秘钥中包括多个第一秘钥，分别为A1，A2和A3；按照预先设定的秘钥挑选顺序(可以按照秘钥生成的时序而从前到后、或者从后到前，或者设备预先设定)，先采用A1对专有信息加密，再选取A2对经过A1加密后的专有信息进行加密，最后选取A3对经过A1和A2加密后的专有信息进行加密。

步骤S106，应用第二类秘钥对第一类秘钥加密。

在一种实施方式中，第二类秘钥包括一个第二秘钥，使用第二秘钥对第一类秘钥中的第一秘钥进行加密。如果第一类秘钥的第一秘钥数量为多个，可以将多个第一秘钥打包后由第二秘钥进行统一加密。

在另一种实施方式中，第二类秘钥包括多个第二秘钥，使用多个第二秘钥对第一类秘钥中的第一秘钥进行加密。为便于理解，示意性说明如下：

假设第一类秘钥中包括多个第一秘钥，分别为A1，A2和A3；第二类秘钥中包括多个第二秘钥，分别为B1、B2和B3；第二类秘钥对第一类秘钥进行加密的方式可以有多种，以下示意性给出2种：

(1)用B1给A1加密，B2给A2加密，B3给A3加密。

(2)用B1给打包后的A1和A2进行加密，B2给打包后的A1和A3进行加密，B3给打包后的A2和A3进行加密等。

假设第一类秘钥中包括一个第一秘钥A1，第二类秘钥中包括多个第二秘钥，分别为B1、B2和B3；第二类秘钥对第一类秘钥进行加密的方式可以有多种，以下示意性给出2种：

(1)用B1给A1加密，用B2给经B1加密后的A1再加密，用B3给经B1、B2加密后的A1再加密。

(2)采用B1、B2和B3中的一个或多个对A1加密。

步骤S108，通过设备预置的可信安全模块对第二类秘钥进行加密。

在诸如交换机、路由器等很多电子设备大多都设置有可信安全模块，可信安全模块又可称为可信平台安全模块(TPM，Trusted Platform Module)，是一种植于计算机内部为计算机提供可信根的芯片，能够实现可信引导、身份认证和数据保护等功能，具体应用中，还能够通过安全系统有效保护密钥交换的安全进程，并提供硬件级安全防护，以保护计算机安全性。基于可信安全模块对第二类秘钥加密，可以进一步保障秘钥的安全性以及加密的可靠性。

步骤S110，存储加密后的第一类秘钥和加密后的第二类秘钥。具体的，可以存储于设备内诸如存储器等非易失性存储介质中，也可以存储于独立于设备的U盾等外部存储介质中。

本公开实施方式提供的上述专有信息的加密方法，首先生成第一类秘钥和第二类秘钥，通过第一类秘钥对设备的专有信息进行加密，应用第二类秘钥对第一类秘钥加密，进一步再通过设备预置的可信安全模块对第二类秘钥进行加密，这种嵌套加密的方式可靠性较强，提升了专有信息的获取难度，使专有信息难以被非法获取，较好地保障了专有信息的安全性。

为了进一步确保专有信息的安全性，在对第二类秘钥加密时，可以先由可信安全模块检查设备的完整性，在确定设备完整可信后再对第二类秘钥进行加密，具体的，设备的完整性检查可以由可信安全模块判断设备是否合法而实现，也即，如果设备合法，即可认为该设备完整可信。基于此，上述步骤S108还可以参照如下方式执行：

(1)触发设备预置的可信安全模块运行，以使可信安全模块对设备的关键组件进行度量，将度量结果存储在指定的寄存器PCR(Program Control Register，程序控制寄存器)中，该PCR为可信安全模块内部用于保存平台状态的一组寄存器，关键组件可以为BOOT、OS或其它相关组成设备完整性的关键硬件或软件组件，关键组件的数量可以为一个或多个。度量方式可以为对设备的关键组件的组件信息按照预设算法计算得到结果值(也即，度量结果)，诸如，对组件信息进行哈希算法处理，得到组件信息对应的哈希值，并将哈希值作为度量结果存储在寄存器中。其中，组件信息可以为表征组件的身份、属性、性能等信息。在进行度量时，可以将组件信息以数字、字符等形式表示，以便于算法运算。为了进一步提升安全性能，可以将不同组件的组件信息对应的哈希值分别存储于不同的寄存器中。此外，如果关键组件的数量为多个时，也可以将多个关键组件组合成整体后再度量。诸如，将多个关键组件的组件信息整合为一个整体组件信息，度量该整体组件信息得到一个度量结果，并存储于寄存器中。

(2)根据PCR中的度量结果确定设备是否合法。具体的，可信安全模块中或者上述设备的其它存储区可以保存有组件信息对应的基准结果，通过计算得到的度量结果与预先存储的基准结果相比对，从而判定关键组件的组件信息是否合法。具体的，如果计算得到的度量结果与预先存储的基准结果一致，则确定关键组件的组件信息合法，如果关键组件的组件信息合法，表示该关键组件也是合法的，进而可确定该设备是合法的，也即该设备完整可信。其中，预先存储的基准结果可以是合法关键组件对应的度量结果，在存储基准结果时，可以标识该基准结果对应的合法关键组件，诸如，在对设备的主板硬件进行合法性验证时，先计算得到该主板硬件对应的度量结果，并根据标识查找到预先存储的合法主板硬件对应的基准结果，通过比对度量结果和基准结果，判断该主板硬件是否合法。具体的，可以对主板硬件的信息(具体可采用数字、字符表示)进行哈希运算，计算得到的哈希值(也即，度量结果)，再根据主板硬件的标识查找到预先存储的合法主板硬件对应的基准哈希值(也即，基准结果)，比对计算得到的哈希值与基准哈希值是否一致，如果一致，则该主板硬件合法，如果不一致，则该主板硬件不合法。其它关键组件的合法性判断也是同理。在一种实施方式中，可以对分别度量设备的各个关键组件，当设备的各关键组件都合法时，可以确定该设备合法；在另一种实施方式中，可以将设备的各关键组件组合成整体后再度量，当度量的整体结果与预先存储的基准结果一致时，确定该设备合法。

(3)如果合法，通过可信安全模块对第二类秘钥进行加密。如果判断合法，则证明该设备可信，这种在确定设备可信的前提下，再对设备的专有信息进行加密的方式，进一步保障了设备的安全性能。

通常上述加密过程在设备出厂前进行，设备出厂后进行开机时，上述PCR中的值已被清除。当然，可信安全模块确定设备完整可信后，便可对第二类秘钥进行加密；而验证过程中得到的度量结果在验证结束后即可删除。

为便于理解，本实施例给出一种专有信息加密的简单示例，参见图2所示的另一种专有信息的加密方法流程图，该方法由设备主机执行，具体包括如下步骤：

步骤S202，启动加密程序。该加密程序可以采用加密算法实现，在此对加密算法不做限定。

步骤S204，生成加密秘钥ENK和加密主秘钥VK。其中，ENK也即上述第一类秘钥，VK也即上述第二类秘钥。

步骤S206，采用ENK加密设备的专有信息。

步骤S208，采用VK加密ENK。

步骤S210，启动可信安全模块的度量程序。

步骤S212，通过可信安全模块度量设备的关键组件。以上述度量程序内置哈希算法为例，通过哈希算法对关键组件的组件信息进行运算处理，统一将组件信息转换为能够直接比较的哈希值。当然，也可以采用其它算法实现，在此不做限定；在实际应用中，如果关键组件为多个，可以对每个关键组件进行度量，每个关键组件对应一个哈希值；也可以将多个关键组件组合后度量，多个关键组件整体对应一个哈希值。

步骤S214，将度量结果存入寄存器PCR。

步骤S216，判断设备是否可信。如果是，执行步骤S218，如果否，执行步骤S222：发起警告。具体的，可以将PCR中的度量结果与可信安全模块中预先存储的基准结果进行比对，从而判断关键组件是否合法，如果合法，则设备可信。该基准结果可以是合法关键组件的组件信息经过哈希算法运算得到的值。如果不合法，则可以通过文字、语音等方式发起警告，以提醒相关人员注意。

步骤S218，采用可信安全模块对VK进行密封加密操作。

步骤S220，存储加密后的VK和加密后的ENK。具体的，可以存储于设备本身的存储介质中，也可以存储于设备之外的U盾等存储介质中。

应当说明的是，上述方法并不以图2所述的具体顺序为限制。该方法其中部分步骤的顺序可以根据实际需要相互交换、同步执行，诸如步骤S202和步骤S210的先后顺序并不限定，还可以同时执行；或者其中的部分步骤也可以省略或删除。

通过上述专有信息的加密方法，采用设备组件的完整性检查与设备的专有信息加密相结合的方式，可以有效保证设备加密的安全性和可靠性。

对应于图1提供的专有信息的加密方法，参见图3所示的一种专有信息的解密方法流程图，该方法包括如下步骤：

步骤S302，在对设备加密后的专有信息解密时，获取加密后的第一类秘钥和加密后的第二类秘钥；其中，第一类秘钥为专有信息的加密秘钥，第二类秘钥为第一类秘钥的加密秘钥。

在一种实施方式中，在启动解密程序时，可以先对设备的合法性进行判断，在确定该设备合法可信时，再对第二类秘钥进行解密，具体可按照如下步骤执行：

(1)触发设备预置的可信安全模块运行，以使可信安全模块对设备的关键组件进行度量，将度量结果存储在指定的寄存器PCR中；

(2)根据PCR中的度量结果确定设备是否合法；

(3)如果合法，通过可信安全模块对加密后的第二类秘钥进行解密。

步骤S304，通过设备预置的可信安全模块对加密后的第二类秘钥进行解密，得到第二类秘钥。解密算法与加密算法相对应，在此不再赘述。

步骤S306，应用第二类秘钥对加密后的第一类秘钥进行解密，得到第一类秘钥。

在一种实施方式中，第二类秘钥包括一个第二秘钥，使用第二秘钥对加密后第一类秘钥进行解密。

在另一种实施方式中，第二类秘钥包括多个第二秘钥，使用多个第二秘钥对加密后的第一类秘钥进行解密。

具体的，第二类秘钥对第一类秘钥进行解密的过程，可以理解为第二类秘钥对第一类秘钥进行加密的逆过程。

步骤S308，应用第一类秘钥对加密后的专有信息解密，得到专有信息。

在一种实施方式中，第一类秘钥包括一个第一秘钥，使用第一秘钥对加密后的专有信息解密。

在另一种实施方式中，第一类秘钥包括多个第一秘钥，使用多个第一秘钥对加密后的专用信息进行层层解密。与层层加密相对应，其中，层层解密包括：从多个第一秘钥中选取一个秘钥对经过加密后的专有信息解密，从剩余的第一秘钥中选取下一个秘钥对已经过一次解密后的专有信息解密，以此类推，直至无剩余的第一秘钥为止，此时专有信息经过多次解密后终被释放。

第一秘钥的选取顺序可以是静态的从前至后，或者从后至前，或者采用预先设备的其它顺序，当然，第一秘钥的选取顺序应当为层层加密中第一秘钥的选取顺序相反，为便于理解，示意性说明如下：

假设第一类秘钥中包括多个第一秘钥，分别为A1，A2和A3，专有信息已加密，之前的加密流程为：先采用A1对专有信息加密，再选取A2对经过A1加密后的专有信息进行加密，最后选取A3对经过A1和A2加密后的专有信息进行加密。此时，对该专有信息进行解密时，先选取A3对经过A1、A2和A3加密后的专有信息进行解密，释放出A1和A2加密的专有信息，再选取A2对经过A1和A2加密的专有信息进行解密，释放出A1加密的专有信息，最后再采取A1对经A1加密的专有信息进行解密，释放出专有信息。

具体的，第一类秘钥对专有信息进行解密的过程，可以理解为第一类秘钥对专有信息进行加密的逆过程。

本公开实施方式提供的上述专有信息的解密方法，首先获取加密后的第一类秘钥和加密后的第二类秘钥，通过设备预置的可信安全模块对加密后的第二类秘钥进行解密，得到第二类秘钥，应用第二类秘钥对加密后的第一类秘钥进行解密，得到第一类秘钥，进一步再通过第一类秘钥对加密后的专有信息解密，得到专有信息。这种对嵌套加密的专有信息进行逐层解密的方式可靠性较强，较好地提升了专有信息的安全性。

为便于理解，本实施例给出一种解密专有信息的具体示例，参见图4所示的另一种专有信息的加密方法流程图，该方法与图2所示的专有信息的加密方法相对应，该方法包括如下步骤：

步骤S402，启动解密程序。

步骤S404，读取加密后的VK。具体的，从存储有加密后的VK的存储介质中读取。

步骤S406，启动可信安全模块的度量程序。

步骤S408，通过可信安全模块度量设备的关键组件。

步骤S410，将度量结果存入寄存器PCR。

步骤S412，判断设备是否可信。如果是，执行步骤S414，如果否，执行步骤S428：发起警告。

步骤S414，利用可信安全模块解密VK。

步骤S416，判断是否成功解密VK。如果是，执行步骤S418，如果否，执行步骤S428：发起警告。

步骤S418，释放VK，利用VK解密ENK。

步骤S420，判断是否成功解密ENK。如果是，执行步骤S422，如果否，执行步骤S428：发起警告。

步骤S422，释放ENK，利用ENK解密专有信息。

步骤S424，判断是否成功解密专有信息。如果是，执行步骤S426：获取专有信息；如果否，执行步骤S428：发起警告。

应当说明的是，上述方法并不以图4所述的具体顺序为限制。该方法其中部分步骤的顺序可以根据实际需要相互交换、同步执行，诸如步骤S406和步骤S402的先后顺序并不限定，还可以同时执行；步骤或者其中的部分步骤也可以省略或删除。

通过上述方式，在确定设备完整性时，逐层对专有信息进行解密，从而安全可靠地获取专有信息。如果设备不可信，或者在多次解密过程中出现问题，则发出警告，以提示相关人员注意并采取措施，这种解密流程较好地保障了专有信息的安全性。

对应于上述加密方法实施方式，参见图5所示的一种专有信息的加密装置的结构框图，该装置包括以下模块：

秘钥生成模块50，用于在对设备的专有信息加密时，生成第一类秘钥和第二类秘钥。

第一加密模块52，用于应用第一类秘钥对专有信息进行加密。

在具体实施时，第一加密模块用于：如果第一类秘钥包括一个第一秘钥，使用第一秘钥对专有信息加密；如果第一类秘钥包括多个第一秘钥，使用多个第一秘钥对专用信息进行层层加密。

第二加密模块54，用于应用第二类秘钥对第一类秘钥加密。

在具体实施时，第二加密模块用于：如果第二类秘钥包括一个第二秘钥，使用第二秘钥对第一类秘钥中的第一秘钥进行加密；如果第二类秘钥包括多个第二秘钥，使用多个第二秘钥对第一类秘钥中的第一秘钥进行加密。

第三加密模块56，用于通过设备预置的可信安全模块对第二类秘钥进行加密。

在具体实施时，第三加密模块用于：触发设备预置的可信安全模块运行，以使可信安全模块对设备的关键组件进行度量，将度量结果存储在指定的寄存器PCR中；根据PCR中的度量结果确定设备是否合法；如果合法，通过可信安全模块对第二类秘钥进行加密。

存储模块58，用于存储加密后的第一类秘钥和加密后的第二类秘钥。

本公开实施方式提供的上述专有信息的加密装置，首先生成第一类秘钥和第二类秘钥，通过第一类秘钥对设备的专有信息进行加密，应用第二类秘钥对第一类秘钥加密，进一步再通过设备预置的可信安全模块对第二类秘钥进行加密，这种嵌套加密的方式可靠性较强，从而使专有信息难以被非法获取，较好地提升了专有信息的安全性。

对应于上述解密方法实施方式，参见图6所示的一种专有信息的解密装置的结构框图，该装置包括以下模块：

秘钥获取模块60，用于在对设备加密后的专有信息解密时，获取加密后的第一类秘钥和加密后的第二类秘钥；其中，第一类秘钥为专有信息的加密秘钥，第二类秘钥为第一类秘钥的加密秘钥；

第一解密模块62，用于通过设备预置的可信安全模块对加密后的第二类秘钥进行解密，得到第二类秘钥。

在具体实施时，第一解密模块用于：触发设备预置的可信安全模块运行，以使可信安全模块对设备的关键组件进行度量，将度量结果存储在指定的寄存器PCR中；根据PCR中的度量结果确定设备是否合法；如果合法，通过可信安全模块对加密后的第二类秘钥进行解密。

第二解密模块64，用于应用第二类秘钥对加密后的第一类秘钥进行解密，得到第一类秘钥。

在具体实施时，第二解密模块用于：如果第二类秘钥包括一个第二秘钥，使用第二秘钥对加密后第一类秘钥进行解密；如果第二类秘钥包括多个第二秘钥，使用多个第二秘钥对加密后的第一类秘钥进行解密。

第三解密模块66，用于应用第一类秘钥对加密后的专有信息解密，得到专有信息。

在具体实施时，第三解密模块用于：如果第一类秘钥包括一个第一秘钥，使用第一秘钥对加密后的专有信息解密；如果第一类秘钥包括多个第一秘钥，使用多个第一秘钥对加密后的专用信息进行层层解密。

本公开实施方式提供的上述专有信息的解密装置，首先获取加密后的第一类秘钥和加密后的第二类秘钥，通过设备预置的可信安全模块对加密后的第二类秘钥进行解密，得到第二类秘钥，应用第二类秘钥对加密后的第一类秘钥进行解密，得到第一类秘钥，进一步再通过第一类秘钥对加密后的专有信息解密，得到专有信息。这种对嵌套加密的专有信息进行逐层解密的方式可靠性较强，较好地提升了专有信息的安全性。

本公开实施方式所提供的数据写入装置，其实现原理及产生的技术效果和前述方法实施方式相同，为简要描述，装置实施方式部分未提及之处，可参考前述方法实施方式中相应内容。

参见图7所示的一种专有信息处理设备的结构示意图，该专有信息处理设备，包括存储器100和处理器101；其中，存储器100用于存储一条或多条计算机指令，一条或多条计算机指令被处理器执行，以实现上述专有信息的加密方法及解密方法。

进一步，图7所示的专有信息处理设备还包括总线102和通信接口103，处理器101、通信接口103和存储器100通过总线102连接。

其中，存储器100可能包含高速随机存取存储器(RAM，Random Access Memory)，也可能还包括非不稳定的存储器(non-volatile memory)，例如至少一个磁盘存储器。通过至少一个通信接口103(可以是有线或者无线)实现该系统网元与至少一个其他网元之间的通信连接，可以使用互联网，广域网，本地网，城域网等。总线102可以是ISA总线、PCI总线或EISA总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图7中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

处理器101可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器101中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器101可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DigitalSignal Processing，简称DSP)、专用集成电路(Application Specific IntegratedCircuit，简称ASIC)、现成可编程门阵列(Field-Programmable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本公开实施方式中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本公开实施方式所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器100，处理器101读取存储器100中的信息，结合其硬件完成前述实施方式的方法的步骤。

进一步，本公开实施方式还提供了一种机器可读存储介质，该机器可读存储介质存储有机器可执行指令，该机器可执行指令在被处理器调用和执行时，机器可执行指令促使处理器实现上述上述实施方式所述的方法。

在本申请所提供的几个实施方式中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施方式仅仅是示意性的，例如，附图中的流程图和框图显示了根据本发明的多个实施方式的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本公开各个实施方式中的各功能模块或单元可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本公开的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本公开各个实施方式所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上所述实施方式，仅为本公开的具体实施方式，用以说明本公开的技术方案，而非对其限制，本公开的保护范围并不局限于此，尽管参照前述实施方式对本公开进行了详细的说明，本领域的普通技术人员应当理解：任何熟悉本技术领域的技术人员在本公开揭露的技术范围内，其依然可以对前述实施方式所记载的技术方案进行修改或可轻易想到变化，或者对其中部分技术特征进行等同替换；而这些修改、变化或者替换，并不使相应技术方案的本质脱离本公开实施方式技术方案的精神和范围，都应涵盖在本公开的保护范围之内。因此，本公开的保护范围应所述以权利要求的保护范围为准。

Claims (9)

1.一种专有信息的加密方法，其特征在于，所述方法包括：

在对设备的专有信息加密时，生成第一类秘钥和第二类秘钥；

应用所述第一类秘钥对所述专有信息进行加密；

应用所述第二类秘钥对所述第一类秘钥加密；

通过所述设备预置的可信安全模块对所述第二类秘钥进行加密；

存储加密后的所述第一类秘钥和加密后的所述第二类秘钥；

所述应用所述第一类秘钥对所述专有信息进行加密的步骤，包括：如果所述第一类秘钥包括一个第一秘钥，使用所述第一秘钥对所述专有信息加密；如果所述第一类秘钥包括多个第一秘钥，使用多个所述第一秘钥对所述专有信息进行层层加密；

所述应用所述第二类秘钥对所述第一类秘钥加密的步骤，包括：如果所述第二类秘钥包括一个第二秘钥，使用所述第二秘钥对所述第一类秘钥中的第一秘钥进行加密，如果第一类秘钥的第一秘钥数量为多个，将多个第一秘钥打包后由第二秘钥进行统一加密；如果所述第二类秘钥包括多个第二秘钥，使用多个所述第二秘钥对所述第一类秘钥中的第一秘钥进行加密。

2.根据权利要求1所述的方法，其特征在于，所述通过所述设备预置的可信安全模块对所述第二类秘钥进行加密的步骤，包括：

触发所述设备预置的可信安全模块运行，以使所述可信安全模块对所述设备的关键组件进行度量，将度量结果存储在指定的寄存器PCR中；

根据所述PCR中的度量结果确定所述设备是否合法；

如果合法，通过所述可信安全模块对所述第二类秘钥进行加密。

3.一种专有信息的解密方法，其特征在于，所述方法包括：

在对设备加密后的专有信息解密时，获取加密后的第一类秘钥和加密后的第二类秘钥；其中，所述第一类秘钥为所述专有信息的加密秘钥，所述第二类秘钥为所述第一类秘钥的加密秘钥；

通过所述设备预置的可信安全模块对加密后的第二类秘钥进行解密，得到所述第二类秘钥；

应用所述第二类秘钥对加密后的所述第一类秘钥进行解密，得到所述第一类秘钥；

应用所述第一类秘钥对加密后的所述专有信息解密，得到所述专有信息；

所述应用所述第一类秘钥对加密后的所述专有信息解密的步骤，包括：如果所述第一类秘钥包括一个第一秘钥，使用所述第一秘钥对加密后的所述专有信息解密；如果所述第一类秘钥包括多个第一秘钥，使用多个所述第一秘钥对加密后的所述专有信息进行层层解密；

所述应用所述第二类秘钥对加密后的所述第一类秘钥进行解密，得到所述第一类秘钥的步骤，包括：如果所述第二类秘钥包括一个第二秘钥，使用所述第二秘钥对加密后所述第一类秘钥进行解密；如果所述第二类秘钥包括多个第二秘钥，使用多个所述第二秘钥对加密后的所述第一类秘钥进行解密。

4.根据权利要求3所述的方法，其特征在于，所述通过所述设备预置的可信安全模块对加密后的第二类秘钥进行解密的步骤，包括：

触发所述设备预置的可信安全模块运行，以使所述可信安全模块对所述设备的关键组件进行度量，将度量结果存储在指定的寄存器PCR中；

根据所述PCR中的度量结果确定所述设备是否合法；

如果合法，通过所述可信安全模块对加密后的所述第二类秘钥进行解密。

5.一种专有信息的加密装置，其特征在于，所述装置包括：

秘钥生成模块，用于在对设备的专有信息加密时，生成第一类秘钥和第二类秘钥；

第一加密模块，用于应用所述第一类秘钥对所述专有信息进行加密；

第二加密模块，用于应用所述第二类秘钥对所述第一类秘钥加密；

第三加密模块，用于通过所述设备预置的可信安全模块对所述第二类秘钥进行加密；

存储模块，用于存储加密后的所述第一类秘钥和加密后的所述第二类秘钥；

所述第一加密模块用于：如果所述第一类秘钥包括一个第一秘钥，使用所述第一秘钥对所述专有信息加密；如果所述第一类秘钥包括多个第一秘钥，使用多个所述第一秘钥对所述专有信息进行层层加密；

所述第二加密模块用于：如果所述第二类秘钥包括一个第二秘钥，使用所述第二秘钥对所述第一类秘钥中的第一秘钥进行加密，如果第一类秘钥的第一秘钥数量为多个，将多个第一秘钥打包后由第二秘钥进行统一加密；如果所述第二类秘钥包括多个第二秘钥，使用多个所述第二秘钥对所述第一类秘钥中的第一秘钥进行加密。

6.根据权利要求5所述的装置，其特征在于，所述第三加密模块用于：

触发所述设备预置的可信安全模块运行，以使所述可信安全模块对所述设备的关键组件进行度量，将度量结果存储在指定的寄存器PCR中；

根据所述PCR中的度量结果确定所述设备是否合法；

如果合法，通过所述可信安全模块对所述第二类秘钥进行加密。

7.一种专有信息的解密装置，其特征在于，所述装置包括：

秘钥获取模块，用于在对设备加密后的专有信息解密时，获取加密后的第一类秘钥和加密后的第二类秘钥；其中，所述第一类秘钥为所述专有信息的加密秘钥，所述第二类秘钥为所述第一类秘钥的加密秘钥；

第一解密模块，用于通过所述设备预置的可信安全模块对加密后的第二类秘钥进行解密，得到所述第二类秘钥；

第二解密模块，用于应用所述第二类秘钥对加密后的所述第一类秘钥进行解密，得到所述第一类秘钥；

第三解密模块，用于应用所述第一类秘钥对加密后的所述专有信息解密，得到所述专有信息；

所述第三解密模块用于：如果所述第一类秘钥包括一个第一秘钥，使用所述第一秘钥对加密后的所述专有信息解密；如果所述第一类秘钥包括多个第一秘钥，使用多个所述第一秘钥对加密后的所述专有信息进行层层解密；

所述第二解密模块用于：如果所述第二类秘钥包括一个第二秘钥，使用所述第二秘钥对加密后所述第一类秘钥进行解密；如果所述第二类秘钥包括多个第二秘钥，使用多个所述第二秘钥对加密后的所述第一类秘钥进行解密。

8.根据权利要求7所述的装置，其特征在于，所述第一解密模块用于：

触发所述设备预置的可信安全模块运行，以使所述可信安全模块对所述设备的关键组件进行度量，将度量结果存储在指定的寄存器PCR中；

根据所述PCR中的度量结果确定所述设备是否合法；

如果合法，通过所述可信安全模块对加密后的所述第二类秘钥进行解密。

9.一种专有信息处理设备，其特征在于，包括处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器执行所述机器可执行指令以实现权利要求1至4任一项所述的方法。

Images