CN109086597A - 密钥访问方法、密钥管理方法、存储介质及计算机设备 - Google Patents

Abstract

一种密钥访问方法，包括：接收密钥访问请求，密钥访问请求携带应用标识、密钥访问请求对应的第一密钥的第一特征信息；在关系绑定表中存在第一特征信息时，根据关系绑定表确定第一密钥所属的应用；当第一密钥所属的应用与应用标识对应的应用一致时，调用密钥访问接口。通过上述方法，应用只能访问与本身有绑定关系的密钥，从而避免了应用可以访问其它密钥导致的支付安全问题。一种密钥管理的方法，包括：接收密钥注入请求；根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至密钥存储区中相应的密钥区域。通过此方法，在接收到密钥注入请求时，根据请求携带的信息将密钥存储至相应的区域，从而在密钥注入的时候不会出现索引重复的问题。

Description

密钥访问方法、密钥管理方法、存储介质及计算机设备

技术领域

本申请涉及计算机技术领域，特别是涉及一种密钥访问方法、存储介质及计算机设备，一种密钥管理方法、存储介质及计算机设备。

背景技术

传统技术中，终端内的密钥区域是所有应用都可以访问(写入和使用)，即密钥是没有属主这个概念的，所有应用能访问PED(PIN Enter Device，PIN输入设备)中任意一个密钥，这种情况可能导致一些应用的误操作，比如改写其它应用的密钥，甚至恶意操作，这些操作使支付安全存在一定的隐患。

发明内容

基于此，有必要针对应用可以访问终端内所有密钥容易带来支付安全隐患的问题，提供一种密钥访问方法、存储介质及计算机设备，一种密钥管理方法、存储介质及计算机设备。

一种密钥管理方法，包括：接收密钥访问请求，所述密钥访问请求携带第一应用标识、所述密钥访问请求对应的第一密钥的第一特征信息；

当在关系绑定表中存在所述第一特征信息时，根据所述关系绑定表确定所述第一密钥所属的应用的第二应用标识；

当所述第一应用标识与所述第二应用标识一致时，调用密钥访问接口，通过所述第一特征信息查找并访问密钥。

在其中一个实施例中，当在所述关系绑定表中不存在所述第一特征信息时，将所述第一特征信息存储到所述关系绑定表中，调用密钥访问接口，通过所述第一特征信息查找并访问密钥。

在其中一个实施例中，接收密钥访问请求包括：

接收接口调用请求，当所述接口调用请求中包含密钥类型参数、密钥索引参数时，确定所述接口调用请求为密钥访问请求。

在其中一个实施例中，所述关系绑定表中包括：各密钥的密钥类型、密钥索引以及各密钥所属应用的第三应用标识。

上述密钥访问的方法、存储介质及计算机设备，在接收到应用发起的密钥访问请求时(其中，密钥访问请求携带应用标识、密钥访问请求对应的第一密钥的第一特征信息)，检测第一密钥的第一特征信息是否已经存在于关系绑定表中，若是则确定记录在关系绑定表中的第一密钥所属的应用信息，通过确定第一密钥所属的应用与应用标识对应的应用是否一致，从而确定应用是否有访问第一密钥的权限。从而，只有当应用所请求访问的密钥在关系绑定表中记录的所属的应用与所述应用标识对应的应用一致时，才允许应用调用密钥访问接口。通过上述方法，应用只能访问与本身有绑定关系的密钥，从而避免了应用可以访问其它密钥导致的支付安全问题。

一个实施例中，还提供一种密钥管理的方法，包括：接收密钥注入请求；

根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至密钥存储区中相应的密钥区域。

在其中一个实施例中，当所述密钥注入请求包括索引分配请求和第一密钥写入请求时；根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至相应的密钥区域包括：

当接收到索引分配请求时，在关系绑定表中查找存储状态为空闲的空闲密钥索引，反馈所述空闲密钥索引；

接收应用根据所述空闲密钥索引生成的第一密钥写入请求，根据所述第一密钥写入请求将所述第二密钥写入所述空闲密钥索引对应的密钥区域。

在其中一个实施例中，在将所述第一密钥写入请求携带的第二密钥写入所述空闲密钥索引对应的密钥区域之后，还包括步骤：

将所述第二密钥的第二特征信息、第二密钥所属的应用的第四应用标识存储至所述关系绑定表。

在其中一个实施例中，当所述密钥注入请求包括第二密钥写入请求时；根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至相应的密钥区域包括：

根据所述第二密钥写入请求将第二密钥写入所述第二密钥的第二特征信息对应的密钥区域。

上述密钥管理方法，在接收到密钥注入请求时，根据密钥注入请求携带的信息将密钥注入请求对应的第二密钥存储至密钥存储区中相应的密钥区域，从而在密钥注入的时候不会出现索引重复的问题。

一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现上述方法的步骤。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述方法的步骤。

附图说明

图1为一个实施例中密钥访问方法的流程示意图；

图2为一个实施例中密钥管理方法的流程示意图；

图3为一个实施例中根据密钥注入请求将第二密钥存储至相应的密钥区域的步骤流程示意图；

图4为一个实施例中现有技术中应用与密钥之间的关系示意图；

图5为一个实施例中密钥访问方法实现的系统架构图；

图6为一个实施例中密钥存储区域结构示意图；

图7为一个具体实施例中密钥访问方法的步骤流程示意图；

图8为一个实施例计算机设备的内部结构示意图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

一个实施例中，如图1所示，为密钥访问方法的流程示意图，包括步骤S110至步骤S130。

步骤S110，接收密钥访问请求，所述密钥访问请求携带第一应用标识、所述密钥访问请求对应的第一密钥的第一特征信息。

其中，密钥访问请求为应用在需要使用密钥时，向终端系统发起的希望访问密钥的请求。一个实施例中，将密钥访问请求对应的密钥为应用请求访问的密钥，在本实施例中将其记为第一密钥，且将第一密钥的密钥类型和密钥索引记为第一特征信息。密钥访问请求携带的应用标识为发起该密钥访问请求的应用的唯一标识，在本实施例中，将该应用标识记为第一应用标识。一个实施例中，应用标识可以采用应用的ID或者包名表示。

一个实施例中，本申请中提到的应用一般指的是终端上的应用，所谓的密钥是一种参数，可以理解密钥是一段数据，每一个密钥都有对应的独立的空间。密钥的特征信息包括密钥类型和密钥索引。其中，索引指的是单独的、物理的对数据库表中一列或多列的值进行排序的一种存储结构，通过索引可以快速查找所需的密钥存储的空间。密钥类型表示密钥所属的类型。一个实施例中，密钥类型分为主密钥、工作密钥等。

在一个实施例中，密钥类型表示该密钥存储在密钥存储区域的哪一区域，密钥索引表示该密钥存储在该区域的哪个地址。因此，根据密钥类型和密钥索引可以在密钥存储区域中确定唯一一个密钥。

一个实施例中，接收密钥访问请求包括：

接收接口调用请求，当所述接口调用请求中包含密钥类型参数、密钥索引参数时，确定所述接口调用请求为密钥访问请求。

其中，应用向终端系统发起接口调用请求，系统判断该接口调用请求中是否包括有密钥类型参数、密钥索引参数，若是则确定应用发起的是密钥访问请求。一个实施例中，接口调用请求可以包括密钥访问请求、PED打开请求、PED关闭请求，参数设置请求等。

步骤S120，当在关系绑定表中存在所述第一特征信息时，根据所述关系绑定表确定所述第一密钥所属的应用的第二应用标识。

其中，关系绑定表中的信息包括：各密钥的密钥类型、密钥索引、以及各密钥所属的应用的第三应用标识。在实际情况中，一部分应用的密钥的下载和注入过程都是由专门的应用或者模块来完成的，在这种模式下由于密钥的索引为预先定义好，而且不能随意改动的，在应用注入密钥过程只是将密钥写入指定区域，而并未将密钥的特征信息存储在该关系绑定表中。因此在本实施例中，首先确定第一特征信息是否存储在关系绑定表中，若是则进一步确定关系绑定表中存储的第一密钥所属的应用的应用标识。本实施例中，将第一密钥在关系绑定表中存储的所属应用的应用标识记为第二应用标识。

在本实施例中，将密钥访问请求对应的密钥记为第一密钥，第一密钥的密钥类型和密钥索引记为第一特征信息，第一密钥所属应用的应用标识记为第二应用标识，可以理解地，这里仅仅是为了与其他的密钥、特征信息以及应用标识区分开来，而在实际情况中，并不一定需要按照上述命名来设置。

步骤S130，当所述第一应用标识与所述第二应用标识一致时，调用密钥访问接口，通过所述第一特征信息查找并访问密钥。

根据关系绑定表中存储的密钥所属应用的应用标识、密钥类型、密钥索引，确定发起请求的应用，与请求访问的密钥在关系绑定表中所绑定的应用是否一致，若一致则认定应用发起的密钥访问请求对应的密钥是该应用对应的密钥，即应用具备访问该密钥的权限，因此按照密钥访问请求调用相应的密钥访问接口，允许应用访问密钥。

一个实施例中，当在所述关系绑定表中不存在所述第一特征信息时，将所述第一特征信息存储到所述关系绑定表中，调用密钥访问接口，通过所述第一特征信息查找并访问密钥。

在本实施例中，应用发起的密钥访问请求对应的密钥的特征信息未存储在关系绑定表中，则先将该特征信息存储在关系绑定表中，然后再调用密钥访问接口，根据第一特征信息查找密钥存储的位置，允许应用访问该密钥。

上述密钥访问方法，在接收到密钥访问请求时，其中，密钥访问请求携带应用标识、密钥访问请求对应的密钥的第一特征信息；当应用所请求访问的密钥的第一特征信息之前已经存储在关系绑定表中时，通过查询关系绑定表，可以确定应用所请求访问的密钥的相关信息，从而确定应用是否有访问该密钥的权限。只有当所述密钥访问请求对应的密钥所属的应用与所述应用标识对应的应用一致时，才允许应用调用密钥访问接口。通过上述方法，应用只能访问与自己对应的密钥，从而避免了应用之间可以相互访问密钥导致的支付安全问题。

一个实施例中，还提供一种密钥管理的方法，如图2所示，包括步骤S210至步骤S220。

步骤S210，接收密钥注入请求；

步骤S220，根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至密钥存储区中相应的密钥区域。

其中，密钥注入请求为应用发起的，申请将应用密钥存储到终端的密钥存储区域的请求。在将应用安装到终端上时，还需要将应用的密钥“告知”终端，即将密钥写入终端的密钥存储区域。其中，根据密钥注入过程是否是本应用自身完成的，分为两种模式：第一种为应用模式，密钥的注入由应用本身控制完成，不涉及到其它程序，因此可采用动态分配模式；第二种为代理模式，密钥的注入由独立的应用或者模块来完成，与密钥的使用是分开的，在此模式下，密钥索引必须预先定义好，而且不能随意改动，因此这种方式属于静态分配。这两种模式的密钥注入请求所请求调用的接口是不一样的。例如，比较常见的代理模式有：远程密钥注入、本地密钥注入和外接密码键盘的密钥注入。

其中，远程密钥注入表示终端内一个专门进行密钥下载的程序通过因特网与服务器程序进行密钥的下载与注入。本地密钥注入表示终端内一个专门进行密钥下载的程序通过串口、USB口等与本地PC端的工具相连进行密钥的下载与注入。外接密码键盘通常是一种独立的、不可二次开发的设备，这类设备定义的通讯协议中只有密钥的相关信息，而不含有应用信息；此外，往这类设备内注入密钥只能按已定义好的协议进行数据通讯。

上述密钥管理方法，在接收到密钥注入请求时，根据密钥注入请求携带的信息将密钥注入请求对应的第二密钥存储至密钥存储区中相应的密钥区域，从而在密钥注入的时候不会出现索引重复的问题。

一个实施例中，所述密钥注入请求包括索引分配请求和第一密钥写入请求；如图3所示，根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至相应的密钥区域包括步骤S310和步骤S320。

步骤S310，当接收到索引分配请求时，在关系绑定表中查找存储状态为空闲的空闲密钥索引，反馈所述空闲密钥索引；

步骤S320，接收应用根据所述空闲密钥索引生成的第一密钥写入请求，根据所述第一密钥写入请求将所述第二密钥写入所述空闲密钥索引对应的密钥区域。

其中，密钥注入请求包括索引分配请求和密钥写入请求时，即为应用模式，在此模式下，索引分配请求为动态索引分配请求。本实施例中，将密钥注入请求对应的密钥记为第二密钥。

一个具体实施例中，应用首先发起索引分配请求，索引分配请求中携带第二密钥的密钥类型和初始密钥索引。系统接收到索引分配请求后，查询终端密钥存储区域中属于该密钥类型的、且存储状态为空闲的空闲密钥索引，将该空闲密钥索引反馈给应用。应用根据反馈信息生成密钥写入请求，密钥写入请求包括第二密钥的密钥类型和空闲密钥索引，系统根据该密钥写入请求将第二密钥写入终端空闲密钥索引对应的密钥区域。

一个实施例中，在将所述第一密钥写入请求对应的第二密钥写入所述空闲密钥索引对应的密钥区域之后，还包括步骤：

将所述第二密钥的第二特征信息、第二密钥所属的应用的第四应用标识存储至所述关系绑定表。

其中，第二特征信息包括第二密钥的密钥索引和密钥类型。第四应用标识为第二密钥所属应用的应用标识，第二密钥所属的应用即为发起密钥注入请求的应用。

一个实施例中，所述密钥注入请求包括第二密钥写入请求；在本实施例中，根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至相应的密钥区域包括：

根据所述第二密钥写入请求将第二密钥写入所述第二特征信息对应的密钥区域。

其中，密钥注入请求仅包括密钥写入请求时，即为代理模式，在此模式下，索引分配请求为静态索引分配请求。

一个具体实施例中，应用向系统发起密钥写入请求，该密钥写入请求中携带第二密钥的密钥索引和密钥类型，系统根据密钥写入请求把第二密钥写入第二特征信息所对应的指定密钥区域。由于注入密钥的过程由代理应用完成，因此此时终端不清楚密钥与应用之间的绑定关系。

一个实施例中，上述密钥管理方法还包括步骤：接收关系解绑请求，根据所述关系解绑请求将关系解绑请求对应的密钥的相关信息从所述关系绑定表中删除。

其中，关系解绑请求为应用发起的，申请解除与密钥的绑定关系的请求；一个实施例中，所述关系解绑请求携带应用标识。系统接收到关系解绑请求后，在关系绑定表中查找与该应用绑定的密钥的相关信息；其中，密钥的相关信息包括密钥类型、密钥索引以及密钥所属应用的应用标识。系统将该相关信息从关系绑定表中删除。同时还可以将该密钥从终端的密钥存储区域删除，释放对应的索引资源。需要说明的是，每个应用都只能解除本应用的密钥绑定关系。应用在解除密钥的绑定关系后，可以重新发起密钥注入请求，请求将新的密钥存入终端的密钥存储区域。

一个实施例中，密钥管理方法还包括步骤：检测到应用被卸载，将该应用所绑定的密钥的相关信息从关系绑定表中删除。

当某应用被从终端上卸载，则该应用的密钥可以删除，在将该应用对应的密钥从终端中删除的同时，还需要将该应用的密钥的相关信息从关系绑定表中删除，释放该密钥的索引资源，以便后续其他密钥的存储。

通过上述密钥管理方法，可以在应用对应的密钥发生变化，或者是应用被从终端卸载时，将这些应用对应的密钥的相关信息从关系绑定表中删除，且将密钥从终端密钥存储区域删除，释放对应的索引资源，从而可以节约存储空间，避免资源浪费。

应该理解的是，虽然图1-3的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图1-3中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

如图4所示，为未采用本申请的访问方法的应用与密钥之间的关系示意图，所有应用均可以访问终端内的所有应用的密钥，从而可能发生一些应用的误操作，比如某个应用改写了其它应用的密钥；甚至恶意操作，如使用已知密钥运算来窃取敏感信息等，而这些操作都会给支付安全带来一定的隐患。

如图5所示，为一个实施例中密钥访问方法实现的系统架构图。一个具体实施例中，将实现密钥管理方法的模块记为中间层，将发起各请求的应用记为应用层，将存储密钥的存储空间记为系统层。在本实施例中，应用请求访问密钥时，向中间层发起密钥访问请求，中间层根据密钥访问请求查询存储在中间层的关系绑定表，确定该应用是否有访问该密钥的权限，若是，则允许应用访问密钥。若否则不允许应用访问该密钥。例如图中所示的应用1只能访问密钥1，不能访问密钥2；同理应用2只能访问密钥2,……应用n只能访问密钥n。若应用1请求访问的是密钥2，将访问失败。通过上述方法应用只能访问与自身有绑定关系的密钥，使用时通过中间层查询关系绑定表确定应用是否具有访问所请求访问的密钥的权限，从而避免了应用可以访问其他密钥带来的安全隐患。

一个具体实施例中，将应用的密钥注入到终端时，应用发起密钥注入请求，当密钥注入请求包括索引分配请求时，为动态分配索引；索引分配请求包括应用对应的密钥的密钥类型和一个初始密钥索引。初始密钥索引为应用申请注入密钥的索引，而中间层需要根据关系绑定表确定该初始密钥索引是否空闲，若是则可以直接允许应用将密钥存储在初始密钥索引对应的区域。若初始密钥索引对应的区域存储状态为已经存储，则由中间层查询关系绑定表确定一个存储状态为空闲的索引，将这个空闲的索引反馈给应用，应用根据反馈的信息发起密钥写入请求，请求将密钥写入空闲的索引对应的密钥区域。系统根据该密钥写入请求将应用的密钥写入相应的区域，并将该密钥的相关信息存入关系绑定表。

当中间层在为应用动态分配索引时，通过查询关系绑定表看动态分配区域中哪些密钥索引还未使用，提供一个未使用的索引给应用，同时把该应用和密钥的绑定关系记录在关系绑定表。其中，中间层能自行获取绑定关系表中的几个元素(密钥类型、密钥索引和密钥所属应用的应用标识)，并自动记录，不需要应用额外处理。

当密钥注入请求直接是密钥写入请求时，则表示静态分配索引；密钥写入请求中携带的信息包括密钥类型和密钥索引，中间层根据该密钥写入请求将密钥写入指定的密钥区域。其中，该密钥写入的过程是由代理应用完成的，因此中间层不清楚密钥与其对应的应用的绑定关系，只是按照请求将密钥下载并写入指定区域。

当注入密钥的过程为静态分配索引时，代理应用把指定的密钥下载到终端内，但对于密钥是属于哪个应用则不关注。这就导致在下载密钥的信息中均含密钥属主(应用)信息，整个下载注入的过程中间层是无法获取应用与密钥的绑定关系，因此需要在密钥使用前或首次使用时把这个对应关系传递给中间层。一个实施例中，要记录应用与密钥的绑定关系可以通过几种途径：文件绑定、应用绑定或者自动绑定。

其中，文件绑定是可以把统一登记的密钥对应关系数据文件导入到中间层中，中间层会根据文件中的信息把绑定关系自动导入到绑定关系表中。应用绑定则是在应用首次运行时，由应用主动向中间层报告本应用使用了哪些密钥索引，中间层收到这些信息后会将绑定关系添加到绑定关系表中。而自动绑定是当应用使用密钥时，中间层发现该密钥没有在关系绑定表中被登记，则自动登记该应用与密钥的绑定关系。

一个实施例中，中间层可以同时提供以上几种方式，供用户在不同场景选择不同途径。一个实施例中，上述这些记录通过静态分配索引注入密钥的应用的密钥信息的途径也可组合使用，若同一条密钥登记有冲突时以第一次登记为准。

一个实施例中，对于一个终端，可以存在多个应用，而该多个应用注入密钥的方式可能一部分采用的应用模式，而还有一部分采用代理模式，应用模式下密钥索引的分配属于动态分配索引，代理模式下的密钥索引分配属于静态分配索引。在本实施例中，为避免两种情况下分配索引出现重复，可选择统一管理，一个实施例中，可把密钥区域分为两部分，如图6所示，密钥存储区域分为静态分配区域和动态分配区域。中间层在为应用分配索引时只允许在各自的区域内分配，不许越界分配。

一个实施例中，通过应用模式注入密钥的应用，当应用需要使用密钥时，通过应用层发起密钥访问请求，请求调用中间层的相关接口。中间层通过查找关系绑定表，确定应用访问请求对应的密钥的特征信息是否已经存储在关系绑定表中，若是则通过关系绑定表确定访问请求的密钥，以及确定应用是否有访问该密钥的权限，一个具体实施例中，关系绑定表中存储了密钥类型、密钥索引以及密钥与所属应用的应用标识。一个实施例中，确定应用是否具有访问该密钥的权限的具体步骤包括：判断密钥访问请求对应的密钥所属的应用标识与所述应用标识是否一致，从而确定应用是否具备访问该密钥的权限，若是则表示应用与密钥之间存在绑定关系，即应用具备访问该密钥的权限，若否则确定应用没有访问密钥的权限。当确定密钥具备访问该密钥的权限时，调用密钥访问接口，通过密钥的特征信息查找到密钥，访问该密钥。

通过代理模式注入密钥的应用，当应用需要使用密钥时，一个实施例中，在关系绑定表中不存在密钥访问请求对应的密钥的特征信息，则先将该密钥的特征信息存储至关系绑定表中，然后再调用密钥访问接口，通过密钥的特征信息查找到密钥，访问该密钥。

一个实施例中，当应用的密钥发生更新时，可以向中间层发起关系解绑请求，关系解绑请求包括所请求解除绑定关系的密钥的特征信息，中间层根据关系解绑请求，将关系绑定表中存储的该密钥的特征信息与密钥所属应用的应用标识等信息删除，并将密钥存储区域中该密钥删除，释放对应的密钥索引。

一个实施例中，中间层每次启动时，可以自行检测，当检测到某个应用被从终端卸载时，则中间层将关系绑定表中存储的与该应用对应的密钥的信息删除，并将密钥存储区域中该密钥删除，释放对应的密钥索引。

一个具体实施例中，如图7所示，为本实施例密钥访问方法的步骤流程示意图。包括：

步骤1，应用发起PED接口调用请求。

其中，PED接口调用请求可以是请求打开PED、请求关闭PED、请求设置参数、请求访问密钥等等。

步骤2，判断请求中是否携带密钥类型、密钥索引等参数，若是则跳转步骤3。若否则跳转步骤5。

其中，请求中携带密钥类型、密钥索引等参数，则表示该接口调用请求为请求访问密钥的请求，因此需要判断应用是否具备访问所请求访问的密钥的权限。若请求中没有携带密钥类型、密钥索引等参数，则表示该接口调用请求不是请求访问密钥，则可以直接调用接口并返回调用成功的调用结果。

步骤3，判断请求中携带的密钥类型、密钥索引是否已经存在在关系绑定表中，若是则跳转步骤4,；若否则，将密钥类型、密钥索引以及密钥与应用的绑定关系存储至关系绑定表之后，再跳转步骤4。

其中，如果请求中携带的密钥特征信息已存储在关系绑定表中，则可以直接通过关系绑定表确定应用是否有访问权限，若有权限则允许访问，若没有权限则不允许访问。如果请求携带的密钥特征信息还未存储在关系绑定表中，则先将特征信息和应用的应用标识存储至关系绑定表之后，再允许该应用访问密钥。

步骤4，判断密钥所属应用与当前应用是否一致，若是则跳转步骤5；若否则跳转步骤6。

其中，密钥所属应用是根据中间层中的关系绑定表确定的，当前应用为发起请求的应用，一致则表明应用与密钥之间存在绑定关系，应用可以访问这个密钥；不一致则表示应用于密钥之间不是绑定关系，因此应用不能访问这个密钥。

步骤5，调用PED相关接口。

其中，调用的接口是根据请求的类型确定。

步骤6，返回调用结果。

其中，如果密钥所属应用与当前应用不一致时，返回调用失败的结果。

一个实施例中，还提供一种密钥访问装置，包括：

密钥访问请求接收模块，用于接收密钥访问请求，所述密钥访问请求携带第一应用标识、所述密钥访问请求对应的第一密钥的第一特征信息；

查询模块，用于当在关系绑定表中存在所述第一特征信息时，根据所述关系绑定表确定所述第一密钥所属的应用的第二应用标识；

接口调用模块，用于当所述第一应用标识与所述第二应用标识一致时，调用密钥访问接口，通过所述第一特征信息查找并访问密钥。

一个实施例中，所述接口调用模块，还用于当在所述关系绑定表中不存在所述第一特征信息时，将所述第一特征信息存储到所述关系绑定表中，调用密钥访问接口，通过所述第一特征信息查找并访问密钥。

上述密钥访问装置，在接收到应用发起的密钥访问请求时(其中，密钥访问请求携带应用标识、密钥访问请求对应的第一密钥的第一特征信息)，检测第一密钥的第一特征信息是否已经存在于关系绑定表中，若是则确定记录在关系绑定表中的第一密钥所属的应用信息，通过确定第一密钥所属的应用与应用标识对应的应用是否一致，从而确定应用是否有访问第一密钥的权限。从而，只有当应用所请求访问的密钥在关系绑定表中记录的所属的应用与所述应用标识对应的应用一致时，才允许应用调用密钥访问接口。通过上述方法，应用只能访问与本身有绑定关系的密钥，从而避免了应用可以访问其它密钥导致的支付安全问题。

一个实施例中，还提供一种密钥管理装置，包括：

密钥注入请求接收模块，用于接收密钥注入请求；

密钥写入模块，用于根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至密钥存储区中相应的密钥区域。

关于密钥访问装置、密钥管理装置的具体限定可以参见上文中对于密钥访问方法、密钥管理方法的限定，在此不再赘述。上述密钥访问装置、密钥管理装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是终端，其内部结构图可以如图8所示。该计算机设备包括通过系统总线连接的处理器、存储器、网络接口、显示屏和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种密钥访问方法、密钥管理方法。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时上述任一实施例中所述的密钥访问方法、密钥管理方法。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述任一实施例中所述的密钥访问方法、密钥管理方法。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双数据率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

上述密钥管理装置方法、存储介质及计算机设备，在接收到密钥注入请求时，根据密钥注入请求携带的信息将密钥注入请求对应的第二密钥存储至密钥存储区中相应的密钥区域，从而在密钥注入的时候不会出现索引重复的问题。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对申请专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种密钥访问的方法，其特征在于，包括：

接收密钥访问请求，所述密钥访问请求携带第一应用标识、所述密钥访问请求对应的第一密钥的第一特征信息；

当在关系绑定表中存在所述第一特征信息时，根据所述关系绑定表确定所述第一密钥所属的应用的第二应用标识；

当所述第一应用标识与所述第二应用标识一致时，调用密钥访问接口，通过所述第一特征信息查找并访问第一密钥。

2.根据权利要求1所述的方法，其特征在于，当在所述关系绑定表中不存在所述第一特征信息时，将所述第一特征信息存储到所述关系绑定表中，调用密钥访问接口，通过所述第一特征信息查找并访问第一密钥。

3.根据权利要求1所述的方法，其特征在于，接收密钥访问请求包括：

接收接口调用请求，当所述接口调用请求中包含密钥类型参数、密钥索引参数时，确定所述接口调用请求为密钥访问请求。

4.根据权利要求1所述的方法，其特征在于，所述关系绑定表中包括：各密钥的密钥类型、密钥索引以及各密钥所属应用的第三应用标识。

5.一种密钥管理的方法，其特征在于，包括：

接收密钥注入请求；

根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至密钥存储区中相应的密钥区域。

6.根据权利要求5所述的方法，其特征在于，当所述密钥注入请求包括索引分配请求和第一密钥写入请求时；根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至相应的密钥区域包括：

当接收到索引分配请求时，在关系绑定表中查找存储状态为空闲的空闲密钥索引，反馈所述空闲密钥索引；

接收应用根据所述空闲密钥索引生成的第一密钥写入请求，根据所述第一密钥写入请求将所述第二密钥写入所述空闲密钥索引对应的密钥区域。

7.根据权利要求6所述的方法，其特征在于，在将所述第一密钥写入请求携带的第二密钥写入所述空闲密钥索引对应的密钥区域之后，还包括步骤：

将所述第二密钥的第二特征信息、第二密钥所属的应用的第四应用标识存储至所述关系绑定表。

8.根据权利要求6所述的方法，其特征在于：当所述密钥注入请求包括第二密钥写入请求时；根据所述密钥注入请求将所述密钥注入请求对应的第二密钥存储至相应的密钥区域包括：

根据所述第二密钥写入请求将第二密钥写入所述第二密钥的第二特征信息对应的密钥区域。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至8中任一项所述方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至8中任一项所述的方法的步骤。