CN108763917A - 一种数据加解密方法及装置 - Google Patents

Abstract

本申请公开了一种数据加解密方法及装置，通过先将数据访问设备与硬件加密模块连接、并使硬件加密模块与数据存储设备连接；当需要对数据存储设备中的数据进行加解密时，数据访问设备对硬件加密模块进行安全认证，若安全认证通过，则数据访问设备控制硬件加密模块对数据存储设备中的数据进行加密或解密。本申请将硬件加密模块与数据存储设备配合使用，由于硬件加密模块具有较好的加密效果，因此，当利用硬件加密模块对数据存储设备中的数据进行加解密时，可以提高数据存储设备的数据安全性。

Description

一种数据加解密方法及装置

技术领域

本申请涉及计算机技术领域，尤其涉及一种数据加解密方法及装置。

背景技术

加密U盘，是指对U盘内容有加解密保护功能的U盘。

在现有的加密U盘中，一种是对U盘内容进行假加密，即仅仅是将U盘文件进行隐藏，U盘的实际存储内容没有任何变化，只需要通过预设的密码实现用户验证身份，便可以解除隐藏，从而看到U盘内容；另一种是对U盘内容进行软加密，即当有数据传入U盘时，通过U盘内置或附带软件进行加密，当有数据传出U盘时，通过该软件对数据进行解密，一般用高级加密标准(Advanced Encryption Standard，简称AES)，也可分加密区及非加密区。

但是，当按照上述加密方式对加密U盘中的数据进行加密时，加密数据的安全性较低。

发明内容

本申请实施例的主要目的在于提供一种数据加解密方法及装置，能够提高加密数据的安全性。

在本申请第一方面提出了一种数据加解密方法，所述方法应用于一种数据访问设备，所述数据访问设备与硬件加密模块连接，所述硬件加密模块与数据存储设备连接；所述方法包括：

所述数据访问设备对所述硬件加密模块进行安全认证；

若安全认证通过，则所述数据访问设备控制所述硬件加密模块对所述数据存储设备中的数据进行加密或解密。

在一种可选的实现方式中，所述硬件加密模块中存储了预先生成的认证密钥公钥；则，所述数据访问设备对所述硬件加密模块进行安全认证，包括：

所述数据访问设备接收所述硬件加密模块发送的安全认证信息，其中，所述安全认证信息包括所述硬件加密模块的设备唯一标识以及所述硬件加密模块利用所述认证密钥公钥对所述设备唯一标识进行加密得到的第一密文；

所述数据访问设备利用认证密钥私钥对所述第一密文进行解密，并判断解密出的明文与所述设备唯一标识是否相同，若相同，则所述硬件加密模块认证通过，若不同，则所述硬件加密模块认证不通过。

在一种可选的实现方式中，若所述数据访问设备为智能终端且设置有SIM卡，则所述认证密钥私钥存储在所述SIM卡中。

在一种可选的实现方式中，在安全认证通过之后，还包括：

所述数据访问设备判断所述数据访问设备对所述数据存储设备是否具有访问权限，若是，则执行所述安全认证通过之后的步骤。

在一种可选的实现方式中，所述判断所述数据访问设备对所述数据存储设备是否具有访问权限，包括：

弹出权限提示，其中，所述权限提示用于提示用户输入所述数据访问设备的PIN码；

若检测到正确的PIN码，则确定所述数据访问设备对所述数据存储设备具有访问权限；

若检测到错误的PIN码，则确定所述数据访问设备对所述数据存储设备不具有访问权限。

在一种可选的实现方式中，所述数据访问设备控制所述硬件加密模块对所述数据存储设备中的数据进行加密或解密，包括：

若所述数据访问设备检测到用户触发的数据写入请求，则所述数据访问设备向所述硬件加密模块传入目标写入数据，使所述硬件加密模块利用加密密钥对所述目标写入数据进行加密、并将加密后数据写入所述数据存储设备；

若所述数据访问设备检测到用户触发的数据读取请求，则所述数据访问设备将控制所述硬件加密模块从所述数据存储设备中读取目标读取数据，使所述硬件加密模块利用所述加密密钥对所述目标读取数据进行解密、并将解密后数据传入所述数据访问设备。

在一种可选的实现方式中，所述若所述数据访问设备检测到用户触发的数据读取请求之后，还包括：

判断所述数据存储设备中的密文数据是否是通过所述硬件加密模块进行加密而成的，若是，则执行所述控制所述硬件加密模块从所述数据存储设备中读取目标读取数据的步骤。

在一种可选的实现方式中，所述数据存储设备的密文数据中存储有所述密文数据的属性信息；则，所述判断所述数据存储设备中的密文数据是否是通过所述硬件加密模块进行加密而成的，包括：

控制所述硬件加密模块从所述数据存储设备中解析出所述密文数据的属性信息；

将解析出的属性信息与所述硬件加密模块中存储的属性信息进行匹配；

若匹配成功，则确定所述数据存储设备中的密文数据是通过所述硬件加密模块进行加密而成的；

若匹配不成功，则确定所述数据存储设备中的密文数据不是通过所述硬件加密模块进行加密而成的。

在一种可选的实现方式中，所述数据存储设备为U盘或SD卡。

对应于上述数据加解密方法，本申请提出了一种数据加解密装置，所述装置为一种数据访问设备，所述数据访问设备与硬件加密模块连接，所述硬件加密模块与数据存储设备连接；所述装置包括：

安全认证单元，用于对所述硬件加密模块进行安全认证；

加解密单元，用于若安全认证通过，则控制所述硬件加密模块对所述数据存储设备中的数据进行加密或解密。

在一种可选的实现方式中，所述硬件加密模块中存储了预先生成的认证密钥公钥；则，所述安全认证单元包括：

接收子单元，用于接收所述硬件加密模块发送的安全认证信息，其中，所述安全认证信息包括所述硬件加密模块的设备唯一标识以及所述硬件加密模块利用认证密钥公钥对所述设备唯一标识进行加密得到的第一密文；

解密子单元，用于利用认证密钥私钥对所述第一密文进行解密，并判断解密出的明文与所述设备唯一标识是否相同，若相同，则所述硬件加密模块认证通过，若不同，则所述硬件加密模块认证不通过。

在一种可选的实现方式中，若所述数据存储设备为智能终端且设置有SIM卡，则所述认证密钥私钥存储在所述SIM卡中。

在一种可选的实现方式中，所述装置还包括：

第一判断单元，用于判断所述数据访问设备对所述数据存储设备是否具有访问权限；

执行单元，用于若是，则执行所述安全认证通过之后的步骤。

在一种可选的实现方式中，所述第一判断单元具体包括：

弹出子单元，用于弹出权限提示，其中，所述权限提示用于提示用户输入所述数据访问设备的PIN码；

第一确定子单元，用于若检测到正确的PIN码，则确定所述数据访问设备对所述数据存储设备具有访问权限；

第二确定子单元，用于若检测到错误的PIN码，则确定所述数据访问设备对所述数据存储设备不具有访问权限。

在一种可选的实现方式中，所述加解密单元具体包括：

写入子单元，用于若检测到用户触发的数据写入请求，则向所述硬件加密模块传入目标写入数据，使所述硬件加密模块利用加密密钥对所述目标写入数据进行加密、并将加密后数据写入所述数据存储设备；

读取子单元，用于若检测到用户触发的数据读取请求，则将控制所述硬件加密模块从所述数据存储设备中读取目标读取数据，使所述硬件加密模块利用所述加密密钥对所述目标读取数据进行解密、并将解密后数据传入所述数据访问设备。

在一种可选的实现方式中，所述加解密单元还包括：

判断子单元，用于若所述数据访问设备检测到用户触发的数据读取请求之后，判断所述数据存储设备中的密文数据是否是通过所述硬件加密模块进行加密而成的，若是，则触发所述读取子单元执行所述控制所述硬件加密模块从所述数据存储设备中读取目标读取数据的功能。

在一种可选的实现方式中，所述数据存储设备的密文数据中存储有所述密文数据的属性信息；则，所述判断子单元包括：

控制子单元，用于控制所述硬件加密模块从所述数据存储设备中解析出所述密文数据的属性信息；

匹配子单元，用于将解析出的属性信息与所述硬件加密模块中存储的属性信息进行匹配；

第三确定子单元，用于若匹配成功，则确定所述数据存储设备中的密文数据是通过所述硬件加密模块进行加密而成的；

第四确定子单元，用于若匹配不成功，则确定所述数据存储设备中的密文数据不是通过所述硬件加密模块进行加密而成的。

本申请实施例提供一种数据加解密方法及装置，先将数据访问设备与硬件加密模块连接、并使硬件加密模块与数据存储设备连接；当需要对数据存储设备中的数据进行加解密时，数据访问设备对硬件加密模块进行安全认证，若安全认证通过，则数据访问设备控制硬件加密模块对数据存储设备中的数据进行加密或解密。本申请实施例中，将硬件加密模块与数据存储设备配合使用，由于硬件加密模块具有较好的加密效果，因此，当利用硬件加密模块对数据存储设备中的数据进行加解密时，可以提高数据存储设备的数据安全性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的示例性应用场景的框架示意图；

图2为本申请实施例提供的一种数据加解密方法的流程图；

图3为本申请实施例提供的判断数据访问设备对数据存储设备是否具有访问权限的流程图；

图4为本申请实施例提供的判断数据存储设备中的密文数据是否是通过硬件加密模块加密而成的流程图；

图5为本申请实施例提供的一种数据加解密装置的示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

为了便于解释，下面先对本申请在实际中的应用场景进行介绍。

参见图1所示，其示出了本申请实施例的一示例性应用场景的框架示意图。其中，硬件加密模块102可以向数据访问设备101发送安全认证相关信息，例如利用认证根密钥公钥(Authentication Root Key，简称AR-Key)对设备序列号(Serial Number，简称SN)进行加密的密文等，数据访问设备101在对硬件加密模块102的安全认证相关信息认证通过后，控制硬件加密模块102对数据存储设备103中的数据进行加密或解密，以提高数据存储设备103中数据的安全性。本领域技术人员可以理解，图1所示的框架示意图仅是本申请的实施方式可以在其中得以实现的一个示例。本发明实施方式的适用范围不受到该框架任何方面的限制。

需要注意的是，本申请实施例中的数据访问设备101可以是现有的、正在研发的或将来研发的、能够通过任何形式的有线和/或无线连接(例如，Wi-Fi、USB接口等)实现与硬件加密模块102交互的任何用户设备，包括但不限于：现有的、正在研发的或将来研发的智能手机、非智能手机、平板电脑、膝上型个人计算机、桌面型个人计算机、小型计算机、中型计算机、大型计算机等。

本申请实施例中硬件加密模块102可以是现有的、正在研发的或将来研发的、能够与手机、电脑等数据访问设备101或U盘、SD卡等数据存储设备103实现交互的设备的一个示例，其具备数据加解密功能，同时，其也具有但不限于蓝牙功能(或音频连接功能等)、SD卡插槽以及USB接口等，用于与数据访问设备101和数据存储设备103进行交互。

本申请实施例中数据存储设备103可以是现有的、正在研发的或将来研发的、能够通过任何形式的有线和/或无线连接(例如，Wi-Fi、USB接口等)实现与硬件加密模块102交互的用于存储数据的设备，包括但不限于：现有的、正在研发的或将来研发的U盘、SD卡等。

在本实施例中，数据访问设备可以通过预先安装的认证APP，实现本实施例的相关功能。

以下将结合附图对本申请实施例提供的数据加解密方法进行详细说明。

参见图2所示，其示出了本申请实施例提供的一种数据加解密方法实施例，本实施例可以应用于一种数据访问设备，本实施例可以包括以下步骤：

步骤201：数据访问设备对硬件加密模块进行安全认证。

在本申请实施例中，数据访问设备是与硬件加密模块连接，而硬件加密模块又与数据存储设备连接，其中，数据访问设备是指可以通过有线或无线的方式与硬件加密模块实现连接的终端设备，例如可以是智能手机或笔记本电脑等；硬件加密模块则是由本申请提出的，能通过其连接数据访问设备和数据存储设备，在保证数据存储设备中数据的安全的情况下，实现数据访问设备对数据存储设备的数据进行加密或解密；数据存储设备指的是能够以某种格式对数据进行临时或长期存储的物理媒介，例如可以是U盘或SD卡等。

在实际应用中，为了实现对数据的安全加解密，数据访问设备首先与硬件加密模块建立连接，并且需要对硬件加密模块进行安全认证，以确保该硬件加密模块的安全性。

举例说明：假设数据访问设备为具备蓝牙功能的智能手机A，本申请设置了一个硬件加密模块，该模块中带有安全芯片，同时也具备加解密功能、蓝牙功能以及USB接口等，由此，该硬件加密模块可以通过蓝牙功能与智能手机A建立通信连接，通过USB接口与U盘等数据存储设备建立连接，智能手机A可以通过与该硬件加密模块建立的蓝牙连接，对该硬件加密模块进行安全认证。

在本申请实施例中，一种可选的实施方式是，上述硬件加密模块中存储了预先生成的认证密钥公钥；则，本步骤201即所述数据访问设备对所述硬件加密模块进行安全认证，具体可以包括：

所述数据访问设备接收所述硬件加密模块发送的安全认证信息，其中，所述安全认证信息包括所述硬件加密模块的设备唯一标识以及所述硬件加密模块利用存储在自己内部的认证密钥公钥对所述设备唯一标识进行加密得到的第一密文；

所述数据访问设备利用认证密钥私钥对所述第一密文进行解密，并判断解密出的明文与所述设备唯一标识是否相同，若相同，则所述硬件加密模块认证通过，若不同，则所述硬件加密模块认证不通过。

当用户需要向数据存储设备中存数据、或从数据存储设备中取数据时,需要对硬件加密模块进行安全认证，硬件加密模块发送安全认证信息，由于数据访问设备(比如SIM卡)内存了认证密钥私钥，可以对安全认证信息中的密文进行解密。

安全认证过程是在设备连接时进行内部验证，可以是数据访问设备通过相关APP发指令给硬件加密模块要求进行认证，若验证不通过就会显示在数据访问设备的界面上。

安全认证的目的，可以是为判断硬件加密模块与数据存储设备是否为同一厂家出厂的设备,如果不是同一厂家出厂的设备，则硬件加密模块认证不通过，此时，弹出提示信息，告知认证不通过，反之，硬件加密模块认证通过，也可以弹出提示信息，告知认证通过。

在具体实现过程中，硬件加密模块中可以存储预先生成的认证密钥公钥，该认证密钥公钥可以是在硬件加密模块的生产阶段，预先生成的一个认证根密钥AR-Key，AR-Key可以是在安全环境下生成的一对模长1024位的RSA密钥对，将该AR-Key中的公钥作为认证密钥公钥写入硬件加密模块内进行存储。

并且，硬件加密模块与数据访问设备建立连接后，会通过该连接，将自身的设备唯一标识以及其利用存储的密钥公钥，例如可以是AR-Key中的公钥，对设备唯一标识进行加密得到的第一密文作为安全认证信息发送至数据访问设备。其中设备唯一标识指的是设备本身独有的标识信息，能唯一标识一台设备，例如可以是设备序列号SN等。而第一密文指的是硬件加密模块对自身设备唯一标识，如SN，进行加密后得到的密文。

而数据访问设备在接收到硬件加密模块发送的上述安全认证信息后，即，接收到硬件加密模块的设备唯一标识以及第一密文后，将利用与硬件加密模块中存储的预先生成的认证密钥公钥对应的认证密钥私钥对第一密文进行解密，得到解密出的明文，由于第一密文是通过对设备唯一标识加密得到的，因而，可将对第一密文解密出的明文与接收到的硬件加密模块发送的设备唯一标识进行对比，判断二者是否相同，若相同，则表明该硬件加密模块认证通过，可继续进行后续步骤，若不同，则表明该硬件加密模块认证不通过，无需进行后续数据加解密的步骤。例如，如果数据访问设备为手机，认证密钥私钥可以存在蓝牙SIM卡中。

在本申请一些可能的实现方式中，若数据访问设备为智能终端且设置有SIM卡，则认证密钥私钥存储在该SIM卡中，例如，该智能终端可以为一部智能手机，即数据访问设备可以为一部智能手机，则该智能手机中设置有SIM卡，进而认证密钥私钥可以存储在该SIM卡中。

在数据访问设备对所述硬件加密模块进行安全认证通过后，一种可选的实施方式是，本申请还包括：数据访问设备判断自己对数据存储设备是否具有访问权限，若是，则执行后续安全认证通过之后的步骤，以下结合附图对该判断过程进行介绍。

参见图3所示，其示出了本申请实施例提供的判断数据访问设备对数据存储设备是否具有访问权限的流程图，具体可以包括以下步骤：

步骤301：弹出权限提示，其中，该权限提示用于提示用户输入数据访问设备的PIN码。

在本申请实施例中，数据访问设备对硬件加密模块认证通过后，将进一步判断其对硬件加密模块连接的数据存储设备是否具有访问权限。

在实际应用中，数据访问设备通过弹出权限提示的方式，提示用户输入数据访问设备的PIN码，其中，PIN码指的是SIM卡的个人识别密码，数据访问设备根据用户输入的该PIN码判断其正确性，进而判断出是否具有访问数据存储设备的访问权限，当数据访问设备检测到用户输入的是正确的PIN码，则执行步骤302,；当数据访问设备检测到用户输入的是错误的PIN码，则执行步骤303。

步骤302：若检测到正确的PIN码，则确定数据访问设备对数据存储设备具有访问权限。

在实际应用中，当数据访问设备检测到用户输入的是正确的PIN码时，则表明该用户具有使用该数据访问设备的权限，进而可以确定该用户可以通过该数据访问设备对数据存储设备进行访问。

在本申请一些可选的实现方式中，数据存储设备为U盘或SD卡。

举例说明：假设数据访问设备为一部智能手机B，其通过蓝牙通道与某一硬件加密模块连接，且该硬件加密模块通过USB接口与某一数据存储设备U盘连接，则当手机B对该硬件加密模块认证通过后，手机B弹出权限提示，如弹出指定窗口提示用户输入手机B的PIN码，若检测到用户输入的是正确的手机B的PIN码，则表明该用户具有使用手机B的权限，进而可以确定该用户可以通过手机B对与该硬件加密模块连接的U盘进行访问。

步骤303：若检测到错误的PIN码，则确定数据访问设备对数据存储设备不具有访问权限。

在实际应用中，当数据访问设备检测到用户输入的是错误的PIN码时，则表明该用户不具有使用该数据访问设备的权限，进而可以确定该用户不可以通过该数据访问设备对数据存储设备进行访问。

举例说明：假设数据访问设备为一部智能手机C，其通过蓝牙通道与某一硬件加密模块连接，且该硬件加密模块与某一数据存储设备SD卡连接，则当手机C对该硬件加密模块认证通过后，手机C弹出权限提示，如弹出指定窗口提示用户输入手机C的PIN码，若检测到用户输入的是错误的手机C的PIN码，则表明该用户不具有使用手机C的权限，进而可以确定该用户不可以通过手机C对与该硬件加密模块连接的SD卡进行访问。

另外，在本申请实施例中，当数据访问设备对所述硬件加密模块进行安全认证通过后，一种可选的实施方式是，本申请还包括：所述若所述数据访问设备检测到用户触发的数据读取请求，判断数据存储设备中的密文数据是否是通过该硬件加密模块进行加密而成的，若是，则执行后续安全认证通过之后的步骤，以下结合附图对该判断过程进行介绍。

需要说明的是，当用户需要读取数据存数设备中的加密数据时，判断数据存储设备中的密文数据是否是通过该硬件加密模块进行加密而成的，具体实现方式请参见图4所示实施方式。

参见图4所示，其示出了本申请实施例提供的数据访问设备判断数据存储设备中的密文数据是否是通过硬件加密模块进行加密而成的流程图，具体可以包括以下步骤：

步骤401：控制硬件加密模块从数据存储设备中解析出密文数据的属性信息。

在本申请实施例中，数据存储设备的密文数据中存储有该密文数据的属性信息，在数据访问设备对硬件加密模块认证通过后，将进一步判断数据存储设备中的密文数据是否是通过该硬件加密模块进行加密而成的。

在实际应用中，数据存储设备的密文数据中存储有该密文数据的属性信息，其中，属性信息包括加密模块的SN、加密操作时间等信息，为了判断该属性信息是否是通过上述硬件加密模块加密而成，首先数据访问设备需要控制硬件加密模块利用安全芯片内部存储的加密密钥从数据存储设备中解析出密文数据的属性信息，即该数据存储设备对应的硬件加密模块的SN及加密操作时间等信息，进而执行步骤402。

在本实施例中，解析出的属性信息可以是通过密文数据的加密密钥加密出来的信息，因此，如果硬件加密模块和数据存储设备中的属性信息不一致，则说明密文数据不是该硬件加密模型加密而成的。

步骤402：将解析出的属性信息与硬件加密模块中存储的属性信息进行匹配。

在实际应用中，如果该数据存储设备中的密文数据是由该硬件加密模块加密而成的，则该硬件加密模块中将存储有该密文数据的属性信息，基于此，当数据访问设备控制硬件加密模块从数据存储设备中解析出属性信息后，将其与硬件加密模块中的属性信息进行匹配，若匹配成功，则执行步骤403；若匹配不成功，则执行步骤404。

步骤403：若匹配成功，则确定数据存储设备中的密文数据是通过该硬件加密模块进行加密而成的。

在实际应用中，若从数据存储设备中解析出的密文数据的属性信息与硬件加密模块中存储的属性信息匹配成功，即加密模块的SN等信息是一致的，则可以确定该数据存储设备中的密文数据是通过该硬件加密模块进行加密而成的，进而可以继续执行安全认证通过之后的步骤。

步骤404：若匹配不成功，则确定数据存储设备中的密文数据不是通过该硬件加密模块进行加密而成的。

在实际应用中，若从数据存储设备中解析出的密文数据的属性信息与硬件加密模块中存储的属性信息匹配不成功，即加密模块的SN等信息是不一致的，则可以确定该数据存储设备中的密文数据并不是通过该硬件加密模块进行加密而成的，不可以继续执行安全认证通过之后的步骤。

在本申请实施例中，在数据访问设备对硬件加密模块进行安全认证通过之后，可执行步骤202。

步骤202：若安全认证通过，则数据访问设备控制硬件加密模块对数据存储设备中的数据进行加密或解密。

在实际应用中，在数据访问设备对硬件加密模块进行安全认证通过之后，数据访问设备可控制该硬件加密模块对数据存储设备中的数据进行加密或解密。

在本申请实施例中，一种可选的实施方式是，数据访问设备控制硬件加密模块对数据存储设备中的数据进行加密或解密，包括：

若数据访问设备检测到用户触发的数据写入请求，则数据访问设备向硬件加密模块传入目标写入数据，使硬件加密模块利用加密密钥对目标写入数据进行加密、并将加密后数据写入数据存储设备；

若数据访问设备检测到用户触发的数据读取请求，则数据访问设备将控制所述硬件加密模块从数据存储设备中读取目标读取数据，使硬件加密模块利用加密密钥对目标读取数据进行解密、并将解密后数据传入数据访问设备。

在实际应用中，若数据访问设备检测到用户触发了数据写入请求，例如请求将多张照片写入数据存储设备，则数据访问设备将向硬件加密模块传入这些数据，如这多张照片，以使硬件加密模块利用加密密钥对这些数据进行加密，并将加密后的数据写入数据存储设备，其中，加密密钥是保密的，它通常是一个字符串，并且可以按需频繁更换，用以保证写入数据的安全性。例如，利用加密密钥对写入数据进行加密的算法，可以是三重数据加密算法(Triple DES，简称3DES)、国密SM1(SM1cryptographic algorithm)、国密SM4(SM4cryptographic algorithm)或其他对称算法等。

举例说明：假设数据访问设备为一台笔记本电脑M，该电脑通过USB通道与一个硬件加密模块连接，且该硬件加密模块通过USB接口与一个数据存储设备U盘连接，则当电脑M检查到用户在该手机上触发了将5张照片存入U盘的请求后，电脑M将首先将该5张照片传入该硬件加密模块中，以便于该硬件加密模块利用加密密钥对这5张照片进行加密，并将加密后的照片数据通过USB接口写入该U盘中。

相应地，在实际应用中，若数据访问设备检查到用户触发了数据读取请求，如从数据存储设备中读取一份视频文件，则数据访问设备将首先控制硬件加密模块从数据存储设备中读取这些目标数据，如这份视频文件，以使硬件加密模块利用加密密钥对读取到的目标数据进行解密，并将解密后数据传入该数据访问设备，其中，加密密钥是与上述加密过程的加密密钥一致的，它通常也是一个字符串，并且也可以按需频繁更换，用以对读取的目标数据进行安全解密。

举例说明：假设数据访问设备为一台笔记本电脑N，该电脑通过USB通道与一个硬件加密模块连接，且该硬件加密模块通过SD卡插槽与一个数据存储设备SD卡连接，则当电脑N检查到用户在其上触发了从该SD卡中读取一个视频文件的请求，则电脑N将首先控制该硬件加密模块从该SD卡中读取到该目标视频文件，以便于该硬件加密模块利用相应的加密密钥对这个目标视频文件进行解密、并将解密后的视频文件通过USB通道传入该电脑N，从而实现用户通过该电脑N读取出SD卡中的该视频文件。

在本申请实施例中，一种可选的实施方式是，硬件加密模块中存储了预先生成的初始密钥；则所述方法还包括：利用初始密钥对预设分散因子进行分散处理，将分散后密钥作为加密密钥。

在实际应用中，可以通过加密机预先生成的初始密码，用以保障硬件加密模块对其他数据进行操作的安全性，其中，初始密码可以是在硬件加密模块的生产阶段，预先生成的一个加密根密钥(Encryption Root Key，简称ER-Key)，ER-Key可以是在安全环境下生成128bits的对称密钥，并将该ER-Key针对预设分散因子进行分散后的密钥作为加密密钥写入硬件加密模块内进行存储，其中，该预设分散因子包括该硬件加密模块本身独有的信息，能唯一标识该硬件加密模块，例如可以是该硬件加密模块的设备序列号SN等。

因此，在本申请一些可选的实现方式中，上述预设分散因子为所述硬件加密模块的SN码。

举例说明：若上述预设分散因子为硬件加密模块的SN码，则在硬件加密模块的生成阶段，将ER-Key对硬件加密模块的SN码进行分散后的密钥写入该硬件加密模块作为加密密钥，以便于硬件加密模块实现对数据的加解密功能。

由上述实施例可以看出，本申请实施例提供的数据加解密方法，通过先将数据访问设备与硬件加密模块连接、并使硬件加密模块与数据存储设备连接；当需要对数据存储设备中的数据进行加解密时，数据访问设备对硬件加密模块进行安全认证，若安全认证通过，则数据访问设备控制硬件加密模块对数据存储设备中的数据进行加密或解密。本申请实施例中，将硬件加密模块与数据存储设备配合使用，由于硬件加密模块具有较好的加密效果，因此，当利用硬件加密模块对数据存储设备中的数据进行加解密时，可以提高数据存储设备的数据安全性。

参见图5所示，本申请还提供一种数据加解密装置实施例，所述装置应用于一种数据访问设备，所述数据访问设备与硬件加密模块连接，所述硬件加密模块与数据存储设备连接；所述装置可以包括：

安全认证单元501，用于对所述硬件加密模块进行安全认证；

加解密单元502，用于若安全认证通过，则控制所述硬件加密模块对所述数据存储设备中的数据进行加密或解密。

在本申请一些可能的实现方式中，所述硬件加密模块中存储了预先生成的认证密钥公钥；则，所述安全认证单元501具体包括：

接收子单元，用于接收所述硬件加密模块发送的安全认证信息，其中，所述安全认证信息包括所述硬件加密模块的设备唯一标识以及所述硬件加密模块利用所述认证密钥公钥对所述设备唯一标识进行加密得到的第一密文；

解密子单元，用于利用认证密钥私钥对所述第一密文进行解密，并判断解密出的明文与所述设备唯一标识是否相同，若相同，则所述硬件加密模块认证通过，若不同，则所述硬件加密模块认证不通过。

在本申请一些可能的实现方式中，若所述数据访问设备为智能终端且设置有SIM卡，则所述认证密钥私钥存储在所述SIM卡中。

在本申请一些可能的实现方式中，所述装置还包括：

第一判断单元，用于判断所述数据访问设备对所述数据存储设备是否具有访问权限；

执行单元，用于若所述数据访问设备对所述数据存储设备具有访问权限，则执行所述安全认证通过之后的步骤。

在本申请一些可能的实现方式中，所述第一判断单元具体包括：

弹出子单元，用于弹出权限提示，其中，所述权限提示用于提示用户输入所述数据访问设备的PIN码；

第一确定子单元，用于若检测到正确的PIN码，则确定所述数据访问设备对所述数据存储设备具有访问权限；

第二确定子单元，用于若检测到错误的PIN码，则确定所述数据访问设备对所述数据存储设备不具有访问权限。

在本申请一些可能的实现方式中，所述加解密单元502具体包括：

写入子单元，用于若检测到用户触发的数据写入请求，则向所述硬件加密模块传入目标写入数据，使所述硬件加密模块利用加密密钥对所述目标写入数据进行加密、并将加密后数据写入所述数据存储设备；

读取子单元，用于若检测到用户触发的数据读取请求，则将控制所述硬件加密模块从所述数据存储设备中读取目标读取数据，使所述硬件加密模块利用所述加密密钥对所述目标读取数据进行解密、并将解密后数据传入所述数据访问设备。

在本申请一些可能的实现方式中，所述加解密单元还包括：

判断子单元，用于若所述数据访问设备检测到用户触发的数据读取请求之后，判断所述数据存储设备中的密文数据是否是通过所述硬件加密模块进行加密而成的，若是，则触发所述读取子单元执行所述控制所述硬件加密模块从所述数据存储设备中读取目标读取数据的功能。

在本申请一些可能的实现方式中，所述数据存储设备的密文数据中存储有所述密文数据的属性信息；则，所述判断子单元包括：

控制子单元，用于控制所述硬件加密模块从所述数据存储设备中解析出所述密文数据的属性信息；

匹配子单元，用于将解析出的属性信息与所述硬件加密模块中存储的属性信息进行匹配；

第三确定子单元，用于若匹配成功，则确定所述数据存储设备中的密文数据是通过所述硬件加密模块进行加密而成的；

第四确定子单元，用于若匹配不成功，则确定所述数据存储设备中的密文数据不是通过所述硬件加密模块进行加密而成的。

在本申请一些可能的实现方式中，所述数据存储设备为U盘或SD卡。

由上述实施例可以看出，本申请实施例提供的数据加解密装置是通过先将数据访问设备与硬件加密模块连接、并使硬件加密模块与数据存储设备连接；当需要对数据存储设备中的数据进行加解密时，数据访问设备对硬件加密模块进行安全认证，若安全认证通过，则数据访问设备控制硬件加密模块对数据存储设备中的数据进行加密或解密。本申请实施例中，将硬件加密模块与数据存储设备配合使用，由于硬件加密模块具有较好的加密效果，因此，当利用硬件加密模块对数据存储设备中的数据进行加解密时，可以提高数据存储设备的数据安全性。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到上述实施例方法中的全部或部分步骤可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者诸如媒体网关等网络通信设备，等等)执行本申请各个实施例或者实施例的某些部分所述的方法。

需要说明的是，本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (17)

1.一种数据加解密方法，其特征在于，所述方法应用于一种数据访问设备，所述数据访问设备与硬件加密模块连接，所述硬件加密模块与数据存储设备连接；所述方法包括：

所述数据访问设备对所述硬件加密模块进行安全认证；

若安全认证通过，则所述数据访问设备控制所述硬件加密模块对所述数据存储设备中的数据进行加密或解密。

2.根据权利要求1所述的方法，其特征在于，所述硬件加密模块中存储了预先生成的认证密钥公钥；则，所述数据访问设备对所述硬件加密模块进行安全认证，包括：

所述数据访问设备接收所述硬件加密模块发送的安全认证信息，其中，所述安全认证信息包括所述硬件加密模块的设备唯一标识以及所述硬件加密模块利用所述认证密钥公钥对所述设备唯一标识进行加密得到的第一密文；

所述数据访问设备利用认证密钥私钥对所述第一密文进行解密，并判断解密出的明文与所述设备唯一标识是否相同，若相同，则所述硬件加密模块认证通过，若不同，则所述硬件加密模块认证不通过。

3.根据权利要求2所述方法，其特征在于，若所述数据访问设备为智能终端且设置有SIM卡，则所述认证密钥私钥存储在所述SIM卡中。

4.根据权利要求1所述的方法，其特征在于，在安全认证通过之后，还包括：

所述数据访问设备判断所述数据访问设备对所述数据存储设备是否具有访问权限，若是，则执行所述安全认证通过之后的步骤。

5.根据权利要求4所述的方法，其特征在于，所述判断所述数据访问设备对所述数据存储设备是否具有访问权限，包括：

弹出权限提示，其中，所述权限提示用于提示用户输入所述数据访问设备的PIN码；

若检测到正确的PIN码，则确定所述数据访问设备对所述数据存储设备具有访问权限；

若检测到错误的PIN码，则确定所述数据访问设备对所述数据存储设备不具有访问权限。

6.根据权利要求1所述的方法，其特征在于，所述数据访问设备控制所述硬件加密模块对所述数据存储设备中的数据进行加密或解密，包括：

若所述数据访问设备检测到用户触发的数据写入请求，则所述数据访问设备向所述硬件加密模块传入目标写入数据，使所述硬件加密模块利用加密密钥对所述目标写入数据进行加密、并将加密后数据写入所述数据存储设备；

若所述数据访问设备检测到用户触发的数据读取请求，则所述数据访问设备将控制所述硬件加密模块从所述数据存储设备中读取目标读取数据，使所述硬件加密模块利用所述加密密钥对所述目标读取数据进行解密、并将解密后数据传入所述数据访问设备。

7.根据权利要求6所述的方法，其特征在于，所述若所述数据访问设备检测到用户触发的数据读取请求之后，还包括：

判断所述数据存储设备中的密文数据是否是通过所述硬件加密模块进行加密而成的，若是，则执行所述控制所述硬件加密模块从所述数据存储设备中读取目标读取数据的步骤。

8.根据权利要求7所述的方法，其特征在于，所述数据存储设备的密文数据中存储有所述密文数据的属性信息；则，所述判断所述数据存储设备中的密文数据是否是通过所述硬件加密模块进行加密而成的，包括：

控制所述硬件加密模块从所述数据存储设备中解析出所述密文数据的属性信息；

将解析出的属性信息与所述硬件加密模块中存储的属性信息进行匹配；

若匹配成功，则确定所述数据存储设备中的密文数据是通过所述硬件加密模块进行加密而成的；

若匹配不成功，则确定所述数据存储设备中的密文数据不是通过所述硬件加密模块进行加密而成的。

9.根据权利要求1至8任一项所述的方法，其特征在于，所述数据存储设备为U盘或SD卡。

10.一种数据加解密装置，其特征在于，所述装置为一种数据访问设备，所述数据访问设备与硬件加密模块连接，所述硬件加密模块与数据存储设备连接；所述装置包括：

安全认证单元，用于对所述硬件加密模块进行安全认证；

加解密单元，用于若安全认证通过，则控制所述硬件加密模块对所述数据存储设备中的数据进行加密或解密。

11.根据权利要求10所述的装置，其特征在于，所述硬件加密模块中存储了预先生成的认证密钥公钥；则，所述安全认证单元包括：

接收子单元，用于接收所述硬件加密模块发送的安全认证信息，其中，所述安全认证信息包括所述硬件加密模块的设备唯一标识以及所述硬件加密模块利用所述认证密钥公钥对所述设备唯一标识进行加密得到的第一密文；

解密子单元，用于利用认证密钥私钥对所述第一密文进行解密，并判断解密出的明文与所述设备唯一标识是否相同，若相同，则所述硬件加密模块认证通过，若不同，则所述硬件加密模块认证不通过。

12.根据权利要求11所述的装置，其特征在于，若所述数据访问设备为智能终端且设置有SIM卡，则所述认证密钥私钥存储在所述SIM卡中。

13.根据权利要求10所述的装置，其特征在于，所述装置还包括：

第一判断单元，用于判断所述数据访问设备对所述数据存储设备是否具有访问权限；

执行单元，用于若所述数据访问设备对所述数据存储设备具有访问权限，则执行所述安全认证通过之后的步骤。

14.根据权利要求13所述的装置，其特征在于，所述第一判断单元具体包括：

弹出子单元，用于弹出权限提示，其中，所述权限提示用于提示用户输入所述数据访问设备的PIN码；

第一确定子单元，用于若检测到正确的PIN码，则确定所述数据访问设备对所述数据存储设备具有访问权限；

第二确定子单元，用于若检测到错误的PIN码，则确定所述数据访问设备对所述数据存储设备不具有访问权限。

15.根据权利要求10所述的装置，其特征在于，所述加解密单元具体包括：

写入子单元，用于若检测到用户触发的数据写入请求，则向所述硬件加密模块传入目标写入数据，使所述硬件加密模块利用加密密钥对所述目标写入数据进行加密、并将加密后数据写入所述数据存储设备；

读取子单元，用于若检测到用户触发的数据读取请求，则将控制所述硬件加密模块从所述数据存储设备中读取目标读取数据，使所述硬件加密模块利用所述加密密钥对所述目标读取数据进行解密、并将解密后数据传入所述数据访问设备。

16.根据权利要求15所述的装置，其特征在于，所述加解密单元还包括：

判断子单元，用于若所述数据访问设备检测到用户触发的数据读取请求之后，判断所述数据存储设备中的密文数据是否是通过所述硬件加密模块进行加密而成的，若是，则触发所述读取子单元执行所述控制所述硬件加密模块从所述数据存储设备中读取目标读取数据的功能。

17.根据权利要求16所述的装置，其特征在于，所述数据存储设备的密文数据中存储有所述密文数据的属性信息；则，所述判断子单元包括：

控制子单元，用于控制所述硬件加密模块从所述数据存储设备中解析出所述密文数据的属性信息；

匹配子单元，用于将解析出的属性信息与所述硬件加密模块中存储的属性信息进行匹配；

第三确定子单元，用于若匹配成功，则确定所述数据存储设备中的密文数据是通过所述硬件加密模块进行加密而成的；

第四确定子单元，用于若匹配不成功，则确定所述数据存储设备中的密文数据不是通过所述硬件加密模块进行加密而成的。