CN109525400A - 安全处理方法、系统和电子设备 - Google Patents
安全处理方法、系统和电子设备 Download PDFInfo
- Publication number
- CN109525400A CN109525400A CN201811298411.8A CN201811298411A CN109525400A CN 109525400 A CN109525400 A CN 109525400A CN 201811298411 A CN201811298411 A CN 201811298411A CN 109525400 A CN109525400 A CN 109525400A
- Authority
- CN
- China
- Prior art keywords
- data
- electronic equipment
- block chain
- credible
- application server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
- Storage Device Security (AREA)
Abstract
本公开提供了一种安全处理方法，包括：在独立于主系统的可信辅助系统中生成并存储电子设备对应的公钥‑私钥对，将所述公钥发送至区块链节点，使得各区块链节点将所述公钥存入各自对应的区块链数据库中；其中，所述电子设备包括主系统以及可信辅助系统；如果所述电子设备与应用服务器进行数据交互，基于所述可信辅助系统中的所述私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的所述公钥对产生所述待交互数据的电子设备进行安全认证。本公开还提供了一种电子设备和一种安全处理系统。
Description
技术领域
本公开涉及一种安全处理方法、系统和电子设备。
背景技术
随着信息技术的不断发展，设备安全的风险问题得到越来越多的重视，发明人发现现有方案的安全性存在以下问题：
现有技术依靠账号和密码来保证电子设备所交互的设备安全，该方式的缺点是：在电子设备与其他第三方进行交互的过程中，无法认证作为数据来源的电子设备的合法性，只能通过数据对应的账号和密码来保证数据的安全，无法将作为数据来源的电子设备的合法性与数据的安全性相关联，即无法从认证电子设备的合法性的角度来更深入地确保数据的安全安全保护的力度不够。
发明内容
本公开的一个方面提供了一种安全处理方法，包括：在独立于主系统的可信辅助系统中生成并存储电子设备对应的公钥-私钥对，将该电子设备对应的公钥发送至区块链节点，使得各区块链节点将该电子设备对应的公钥存入各自对应的区块链数据库中。其中，上述电子设备包括主系统以及可信辅助系统。如果该电子设备与应用服务器进行数据交互，基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证。
可选地，上述将该电子设备对应的公钥发送至区块链节点，使得各区块链节点将该电子设备对应的公钥存入各自对应的区块链数据库中包括：响应于预设触发操作，通过位于主系统的内核层中的可信代理组件从可信辅助系统中读取该电子设备对应的公钥并发送至区块链节点，使得各区块链节点在通过共识验证后将该电子设备对应的公钥存入各自对应的区块链数据库中。
可选地，上述基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证包括：所述待交互数据为第一数据，利用该电子设备对应的私钥对第一数据进行签名得到第一数据对应的数字签名；将带有数字签名的第一数据发送至所述应用服务器，使得所述应用服务器利用区块链数据库中的该电子设备对应的公钥，基于第一数据对应的数字签名验证该电子设备发出第一数据的真实性。
可选地，上述利用该电子设备对应的私钥对第一数据进行签名得到第一数据对应的数字签名包括：通过位于主系统的内核层中的可信代理组件将第一数据发送至可信辅助系统；在可信辅助系统中利用该电子设备对应的私钥对第一数据进行签名，得到第一数据对应的数字签名；通过可信代理组件从可信辅助系统中读取第一数据对应的数字签名。
可选地，上述方法还包括：接收所述应用服务器发送的第二数据，第二数据由所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥进行加密；基于可信辅助系统中的该电子设备对应的私钥对所述第二数据进行解密，得到第二数据对应的解密数据，以保证第二数据对应的解密数据只能被该电子设备获取到。
可选地，上述基于可信辅助系统中的所述私钥对第二数据进行解密得到第二数据对应的解密数据包括：通过位于主系统的内核层中的可信代理组件将第二数据发送至可信辅助系统；在可信辅助系统中利用该电子设备对应的私钥对第二数据进行解密，得到第二数据对应的解密数据，再通过可信代理组件从可信辅助系统中读取第二数据对应的解密数据。
可选地，如果该电子设备与应用服务器进行数据交互，所述应用服务器基于该电子设备的标识信息，通过区块链节点访问区块链数据库，获取该电子设备对应的公钥。
可选地，上述待交互数据为安全支付数据。上述如果该电子设备与应用服务器进行数据交互，基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证包括：如果该电子设备进行安全支付，利用该电子设备对应的私钥对相应的安全支付数据进行签名得到数字签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥和所述数字签名验证该电子设备进行安全支付的真实性。
本公开的另一个方面提供了一种电子设备，包括主系统和可信辅助系统，主系统和可信辅助系统相互独立。可信辅助系统用于生成并存储电子设备对应的公钥-私钥对。主系统用于将该电子设备对应的公钥发送至区块链节点，使得各区块链节点将该电子设备对应的公钥存入各自对应的区块链数据库中。如果该电子设备与应用服务器进行数据交互，主系统用于基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证。
可选地，上述主系统将该电子设备对应的公钥发送至区块链节点，使得各区块链节点将该电子设备对应的公钥存入各自对应的区块链数据库中包括：主系统用于响应于预设触发操作，通过位于内核层中的可信代理组件从可信辅助系统中读取该电子设备对应的公钥并发送至区块链节点，使得各区块链节点在通过共识验证后将该电子设备对应的公钥存入各自对应的区块链数据库中。
可选地，上述主系统基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证包括：待交互数据为第一数据，主系统用于基于该电子设备对应的私钥对第一数据进行签名得到第一数据对应的数字签名；将带有数字签名的第一数据发送至所述应用服务器，使得所述应用服务器利用区块链数据库中的该电子设备对应的公钥，基于第一数据对应的数字签名验证该电子设备发出第一数据的真实性。
可选地，上述主系统基于该电子设备对应的私钥对第一数据进行签名得到第一数据对应的数字签名包括：主系统用于通过位于内核层中的可信代理组件将第一数据发送至可信辅助系统。可信辅助系统用于利用该电子设备对应的私钥对第一数据进行签名，得到第一数据对应的数字签名。主系统用于通过可信代理组件从可信辅助系统中读取第一数据对应的数字签名。
可选地，主系统还用于接收所述应用服务器发送的第二数据，第二数据由所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥进行加密；基于可信辅助系统中的该电子设备对应的私钥对所述第二数据进行解密，得到第二数据对应的解密数据，以保证第二数据对应的解密数据只能被该电子设备获取到。
可选地，上述主系统基于可信辅助系统中的所述私钥对第二数据进行解密得到第二数据对应的解密数据包括：主系统用于通过位于内核层中的可信代理组件将第二数据发送至可信辅助系统。可信辅助系统用于利用该电子设备对应的私钥对第二数据进行解密，得到第二数据对应的解密数据。主系统用于通过可信代理组件从可信辅助系统中读取第二数据对应的解密数据。
可选地，如果该电子设备与应用服务器进行数据交互，所述应用服务器基于该电子设备的标识信息，通过区块链节点访问区块链数据库，获取该电子设备对应的公钥。
可选地，上述待交互数据为安全支付数据。上述如果该电子设备与应用服务器进行数据交互，主系统基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证包括：如果该电子设备进行安全支付，主系统用于基于该电子设备对应的私钥对相应的安全支付数据进行签名得到数字签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥和所述数字签名验证该电子设备进行安全支付的真实性。
本公开的另一个方面提供了一种安全处理系统，包括：电子设备、应用服务器和多个区块链节点。电子设备包括主系统和可信辅助系统，该电子设备用于在独立于主系统的可信辅助系统中生成并存储当前电子设备对应的公钥-私钥对，将该电子设备对应的公钥发送至区块链节点。多个区块链节点用于将该电子设备对应的公钥存入各自对应的区块链数据库中。电子设备还用于在与应用服务器进行数据交互时，基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名。应用服务器用于基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证。
可选地，上述电子设备将该电子设备对应的公钥发送至区块链节点包括：电子设备用于响应于预设触发操作，通过位于主系统的内核层中的可信代理组件从可信辅助系统中读取该电子设备对应的公钥并发送至区块链节点。多个区块链节点用于将该电子设备对应的公钥存入各自对应的区块链数据库中包括：各区块链节点用于在通过共识验证后将该电子设备对应的公钥存入各自对应的区块链数据库中。
可选地，上述电子设备基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名包括：待交互数据为第一数据，电子设备用于利用该电子设备对应的私钥对第一数据进行签名得到第一数据对应的数字签名，将带有数字签名的第一数据发送至所述应用服务器。应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证包括：应用服务器用于利用区块链数据库中的该电子设备对应的公钥，基于第一数据对应的数字签名验证该电子设备发出第一数据的真实性。
可选地，上述电子设备利用该电子设备对应的私钥对第一数据进行签名得到第一数据对应的数字签名包括：电子设备用于通过位于主系统的内核层中的可信代理组件将第一数据发送至可信辅助系统；在可信辅助系统中利用该电子设备对应的私钥对第一数据进行签名，得到第一数据对应的数字签名；通过可信代理组件从可信辅助系统中读取第一数据对应的数字签名。
可选地，应用服务器还用于基于访问区块链数据库获得的该电子设备对应的公钥对待交互数据进行加密得到第二数据。电子设备还用于接收所述应用服务器发送的第二数据；基于可信辅助系统中的该电子设备对应的私钥对所述第二数据进行解密，得到第二数据对应的解密数据，以保证第二数据对应的解密数据只能被该电子设备获取到。
可选地，上述电子设备基于可信辅助系统中的所述私钥对第二数据进行解密得到第二数据对应的解密数据包括：电子设备用于通过位于主系统的内核层中的可信代理组件将第二数据发送至可信辅助系统；在可信辅助系统中利用该电子设备对应的私钥对第二数据进行解密，得到第二数据对应的解密数据，再通过可信代理组件从可信辅助系统中读取第二数据对应的解密数据。
可选地，应用服务器访问区块链数据库获得该电子设备对应的公钥包括：如果该电子设备与应用服务器进行数据交互，应用服务器用于基于该电子设备的标识信息，通过区块链节点访问区块链数据库，获取存储于区块链数据库中的该电子设备对应的公钥。
可选地，上述待交互数据为安全支付数据。上述电子设备在与应用服务器进行数据交互时，基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名包括：电子设备用于在进行安全支付时，利用该电子设备对应的私钥对相应的安全支付数据进行签名得到数字签名。应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证包括：应用服务器用于基于访问区块链数据库获得的该电子设备对应的公钥和所述数字签名验证该电子设备进行安全支付的真实性。
本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。
本公开的另一方面提供了一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。
附图说明
为了更完整地理解本公开及其优势，现在将参考结合附图的以下描述，其中：
图1示意性示出了根据本公开的实施例的安全处理方法、系统和电子设备的应用场景；
图2A示意性示出了根据本公开的实施例的安全处理方法的流程图；
图2B示意性示出了根据本公开的另一实施例的安全处理方法的流程图；
图3A示意性示出了根据本公开的实施例的安全处理方法的系统架构图；
图3B示意性示出了根据本公开的另一实施例的安全处理方法的系统架构图；
图4示意性示出了根据本公开的实施例的电子设备的框图；
图5示意性示出了根据本公开的实施例的安全处理系统的框图；以及
图6示意性示出了根据本公开的另一实施例的电子设备的框图。
具体实施方式
以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。
在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。
在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。
在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。
附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读存储介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。
本公开的实施例提供了一种安全处理方法、系统以及能够应用该方法的电子设备。该方法包括设备密钥部署阶段和安全认证阶段。在备密钥部署阶段，在独立于主系统的可信辅助系统中生成并存储电子设备对应的公钥-私钥对，将该电子设备对应的公钥通过区块链节点存入区块链数据库中，使得该电子设备对应的公钥在区块链数据库中不能被篡改。在设备密钥部署完成后，如果该电子设备与应用服务器进行数据交互，则进入安全认证阶段，基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证。
图1示意性示出了根据本公开的实施例的安全处理方法、系统和电子设备的应用场景。需要注意的是，图1所示仅为可以应用本公开实施例的场景的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。
如图1所示，示出了应用安全处理方法的电子设备100和应用服务器200，本实施例中电子设备100为智能手机，在其他实施例中电子设备100可以是平板、智能手表、智能电视、个人电脑、等等各种类型的电子设备，在此不做限制，应用服务器200可以是支持各种服务的应用的服务器，在此不做限制。
电子设备100的桌面上放置有三个应用图标，分别对应于应用A、应用B和应用C，其中应用A、应用B和应用C均为已通过安全认证、具有安全权限的合法应用，以应用B为例，在用户通过应用B进行操作时，应用B需要与相应的应用服务器200进行数据交互，如向该应用服务器200发送待交互数据，该情景下，应用服务器200需要对电子设备100发送安全支付数据进行安全认证，如确认电子设备100是否合法，确认安全支付数据的来源是否为电子设备100，确认安全支付数据是否被篡改等，此外，在应用B与相应的应用服务器200进行数据交互时，还会从应用服务器200接收一些待交互数据，为了避免其他非法方获取该待交互数据，还需要保证只有电子设备100能够获取到该待交互数据并加以使用，这样才能够形成一个有效、安全的交互过程。
图2A示意性示出了根据本公开的实施例的安全处理方法的流程图。
如图2A所示，该方法包括操作S201～S202。
在操作S201，在独立于主系统的可信辅助系统中生成并存储电子设备对应的公钥-私钥对，将该电子设备对应的公钥发送至区块链节点，使得各区块链节点将该电子设备对应的公钥存入各自对应的区块链数据库中。
其中，上述电子设备包括相互独立的主系统和可信辅助系统，可信辅助系统用于提供独立于主系统的可信运行环境，在该可信运行环境中生成并存储的公钥-私钥受到保护，主系统中未经安全认证的非法方无法访问该可信运行环境，即非法方无法获取和篡改电子设备对应的密钥对，该密钥对唯一性地表征该电子设备的身份。
多个区块链节点构成区块链网络，各区块链节点之间可以进行通信，各区块链节点维护相同的区块链数据库。由于各区块链节点共同维护、监督区块链数据库，使得区块链数据库具有其所存储的数据不可被篡改的特性。本操作通过区块链网络中的区块链节点将可信辅助系统中所生成的电子设备对应的公钥存入区块链数据库中，以保证存入区块链数据库的该公钥不会被篡改。实质上，电子设备将其所对应的公钥存入区块链数据库的过程相当于电子设备在区块链数据库上进行不可篡改的合法化登记的过程。
在操作S202，如果该电子设备与应用服务器进行数据交互，基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证。
其中，电子设备对应的私钥存储于电子设备的可信辅助系统中，电子设备对应的公钥存储于区块链数据库中，在该电子设备与应用服务器进行数据交互时，该电子设备可以基于相应的私钥对待交互数据进行签名，对应地，应用服务器可以通过访问区块链数据库获取到该电子设备对应的公钥，基于该电子设备对应的公钥对待交互数据的来源进行安全认证。
可知，图2A所示的方法在电子设备的可信辅助系统中生成用于唯一性地表征该电子设备的身份的公钥-私钥对，一方面，在可信辅助系统中保存该电子设备对应的密钥对，利用可信辅助系统的安全性保证了该电子设备对应的密钥对不会被任何非法方获取或篡改，另一方面，将电子设备对应的公钥通过区块链节点存入区块链数据库中，利用区块链数据库中存入的数据不可被篡改的特性保证了各方能够通过访问区块链数据库获知该电子设备对应的公钥但不能对其进行篡改。在以上两方面保障的基础上，当电子设备与应用服务器进行数据交互时，电子设备可利用其独有的私钥对待交互数据进行签名，使得应用服务器基于区块链数据库中所存的该电子设备的公钥来确认待交互数据的来源、确认电子设备的身份、确认交互过程的有效性等，实现了数据交互过程中电子设备的安全认证，保证数据交互过程安全、有效地进行。
在本公开的实施例中，电子设备对应的公钥-私钥对可以在电子设备出厂时在电子设备的可信辅助系统中生成，该公钥-私钥对一旦生成，便唯一不变地表征该电子设备的身份，其中的私钥由该电子设备保存于可信辅助系统中，不允许其他方获得，其中的公钥可以被其他方获得。上述操作S201将该电子设备对应的公钥发送至区块链节点，使得各区块链节点将该电子设备对应的公钥存入各自对应的区块链数据库中包括：响应于预设触发操作，通过位于主系统的内核层中的可信代理组件从可信辅助系统中读取该电子设备对应的公钥并发送至区块链节点，使得各区块链节点在通过共识验证后将该电子设备对应的公钥存入各自对应的区块链数据库中。
具体地，上述预设触发操作用于触发电子设备通过区块链节点向区块链数据库存入相应公钥的过程，即用于触发电子设备在区块链数据库中进行合法化登记，该预设触发操作可以根据需要设置，例如该预设触发操作可以是电子设备的第一次开机操作，或者可以是电子设备中某个系统应用的第一次启动操作，等等，在此不做限制。由于可信辅助系统的安全性，只能通过可信代理组件访问可信辅助系统，可信代理组件与可信辅助系统之间的访问路径是需要经过安全认证的，且主系统中只有具有安全权限的应用、组件、模块等才能通过可信代理组件访问可信辅助系统。本实施例在电子设备内部通过可信代理组件与可信辅助系统进行交互进行公钥-私钥对的生成、存储、以及公钥的读取，保证了将公钥存入区块链的过程中公钥和私钥的安全。
例如，电子设备的可信辅助系统中保存有该电子设备对应的公钥-私钥对，将该电子设备对应的私钥始终保存于可信辅助系统中，响应于该电子设备第一次开机的操作，可信代理组件从可信辅助系统中读取该电子设备对应的公钥并传给电子设备中位于主系统的框架层的登记服务，该登记服务依照与区块链节点的通信协议将该电子设备对应的公钥发送至一个区块链节点，该区块链节点在接收到该电子设备对应的公钥后，将该电子设备对应的公钥广播至区块链网络中的各区块链节点，各区块链节点对该电子设备对应的公钥进行共识验证，当共识验证通过后，各区块链节点将该电子设备对应的公钥存入各自对应的区块链数据库中。其中优选地，当等级服务将该电子设备对应的公钥发送至区块链节点时连同该电子设备的标识信息一同发送，以使得最终在区块链数据库中该电子设备的标识信息与该电子设备对应的公钥对应存储，以使得其他各方可以获知电子设备与其公钥的对应关系。
在本公开的一个实施例中，上述操作S202基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证包括：假设待交互数据为第一数据，利用该电子设备对应的私钥对第一数据进行签名得到第一数据对应的数字签名，将带有数字签名的第一数据发送至所述应用服务器，使得所述应用服务器利用区块链数据库中的该电子设备对应的公钥，基于第一数据对应的数字签名验证该电子设备发出第一数据的真实性。可见，本实施例在电子设备与应用服务器进行交互时，具体为电子设备向应用服务器发送第一数据时，电子设备利用其所独有的私钥对第一数据进行签名，使得接收带有数字签名的第一数据的应用服务器利用区块链数据库中的该电子设备的公钥进行验签以验证：电子设备的合法性，第一数据的来源是否为该电子设备，以及第一数据在发送过程中是否被篡改，使得数据的安全性与电子设备的合法化相关联，更有效地保证数据交互的安全性。
具体地，作为一个可选的实施例，上述利用该电子设备对应的私钥对第一数据进行签名得到第一数据对应的数字签名包括：通过位于主系统的内核层中的可信代理组件将第一数据发送至可信辅助系统，在可信辅助系统中利用该电子设备对应的私钥对第一数据进行签名，得到第一数据对应的数字签名，通过可信代理组件从可信辅助系统中读取第一数据对应的数字签名。可以看到，上述过程中，利用电子设备对应的私钥对待交互数据进行签名的过程在可信辅助系统中进行，即电子设备对应的私钥始终在可信辅助系统中，保证了签名过程的有效和私钥的安全。
例如，上述待交互数据为安全支付数据。上述操作S202如果该电子设备与应用服务器进行数据交互，基于可信辅助系统中的该电子设备对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥对产生所述待交互数据的电子设备进行安全认证包括：如果该电子设备进行安全支付，利用该电子设备对应的私钥对相应的安全支付数据进行签名得到数字签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥和所述数字签名验证该电子设备进行安全支付的真实性。更为具体地，电子设备中的应用A可用于进行支付，用户操作应用A进行支付时，应用A需要向相应的应用服务器A’发送安全支付数据a，此情景下，应用A向主系统中的可信代理组件发送关于安全支付数据a的签名请求，可信代理组件在确认应用A具有安全权限后，可信代理组件获取安全支付数据a并发送至可信辅助系统中，可信辅助系统在其可信运行环境下利用所存储的私钥对安全支付数据a进行签名，得到安全支付数据a对应的数字签名，可信代理组件从可信辅助系统中读取安全支付数据a对应的数字签名并发送至应用A，应用A将电子设备的标识信息和带有数字签名的安全支付数据a发送至应用服务器A’，应用服务器A'可以通过区块链节点获取区块链服务器中存储的与该电子设备的标识信息对应的公钥，应用服务器A’根据该电子设备对应的公钥和安全支付数据a对应的数字签名验证该电子设备发出安全支付数据a的真实性，如果为真，表明应用服务器A’所收到的安全支付数据a是该电子设备发出的，且该安全支付数据a在传输过程中没有被篡改，应用服务器A’可以针对该安全支付数据a进行正常的响应和处理，如果为假，表明应用服务器A’所收到的安全支付数据a是其他方伪造的，应用服务器A’无需对该安全支付数据a进行处理。
本公开的实施例利用区块链技术和安全芯片保证数据安全，即，在执行支付等任务的时候通过设备的私钥，以及在区块链节点上公钥，让应用服务器(支付宝)能够认证该任务产生数据是认证通过的安全设备产生的。
图2B示意性示出了根据本公开的另一实施例的安全处理方法的流程图。
如图2B所示，该方法包括操作S201～S203。其中操作S201～S202在上文中已详细说明，重复的部分不再赘述。
在操作S203，如果该电子设备与应用服务器进行数据交互，接收所述应用服务器发送的第二数据，第二数据由所述应用服务器基于访问区块链数据库获得的该电子设备对应的公钥进行加密；基于可信辅助系统中的该电子设备对应的私钥对所述第二数据进行解密，得到第二数据对应的解密数据，以保证第二数据对应的解密数据只能被该电子设备获取到。
其中，如果电子设备与应用服务器进行数据交互，操作S202中电子设备向应用服务器发送的待交互数据在图3中表示为第一数据，操作S203中电子设备接收应用服务器发送的待交互数据在图3中表示为第二数据，以区分不同的交互场景。
可见，如果电子设备与应用服务器进行数据交互，当应用服务器向电子设备发送待交互数据时，先通过区块链节点从区块链数据库中获取该电子设备对应的公钥，基于该电子设备对应的公钥对待交互数据进行加密，得到第二数据，应用服务器将该第二数据发送至该电子设备，该电子设备可以基于其所独有的私钥对第二数据进行加密进而得到第二数据的真实数据内容，由于该电子设备对应的私钥只在该电子设备的可信辅助系统中保存，其他方无法获取到，使得只有该电子设备能够对基于该电子设备对应的公钥加密后的第二数据成功进行解密，即只有该电子设备能够获取到应用服务器想要发送给该电子设备的实际数据内容，其他任何方都无法获知，保证了电子设备排他、唯一、安全地接收并使用相应的数据内容。
具体地，作为一个可选的实施例，上述操作S203基于可信辅助系统中的所述私钥对第二数据进行解密得到第二数据对应的解密数据包括：通过位于主系统的内核层中的可信代理组件将第二数据发送至可信辅助系统；在可信辅助系统中利用该电子设备对应的私钥对第二数据进行解密，得到第二数据对应的解密数据，再通过可信代理组件从可信辅助系统中读取第二数据对应的解密数据。上述过程中，利用私钥对第二数据进行解密的过程在可信辅助系统中进行，私钥始终在可信辅助系统中，保证了解密过程的有效和私钥的安全。
例如，电子设备中的应用A可用于进行支付，用户操作应用A进行支付时，应用A需要从相应的应用服务器A’接收安全支付数据a，应用服务器A’在发送安全支付数据a之前先通过区块链节点获取区块链数据库中该电子设备对应的公钥，基于该公钥对安全支付数据a进行加密，应用A在接收到加密后的安全支付数据a后，应用A向主系统中的可信代理组件发送关于安全支付数据a的解密请求，可信代理组件在确认应用A具有安全权限后，可信代理组件获取安全支付数据a并发送至可信辅助系统中，可信辅助系统在其可信运行环境下利用所存储的私钥对安全支付数据a进行解密，用于解密的私钥与用于加密的公钥必须保证是一对才能得到安全支付数据a，可信代理组件从可信辅助系统中读取安全支付数据a并发送至应用A，应用A可使用该安全支付数据a，而其他电子设备即时获取到应用服务器A’所发送的加密后的安全支付数据a，但由于不具有相应解密私钥而无法正常解密，不能获知安全支付数据a的实际内容。
在上述图2A和图2B的各实施例中，如果该电子设备与应用服务器进行数据交互，所述应用服务器基于该电子设备的标识信息，通过区块链节点访问区块链数据库，获取该电子设备对应的公钥。
下面参考图3A～3B，结合具体实施例对图2A～2B所示的方法做进一步说明。
本实施例中，电子设备为智能手机，电子设备的操作系统为第一系统，该主系统为Android系统，在其他例子中，可以使用其他电子设备，可以使用其他类型操作系统，在此不做限制。电子设备中还设置独立于主系统的可信辅助系统，具有自身的执行空间，比主系统的安全级别更高，用于为主系统提供安全服务。
实施例一
图3A示意性示出了根据本公开的实施例的安全处理方法的系统架构图。
如图3A所示，主系统整体上包括应用层(App层)、框架层(Framework层)、内核层(Kernel层)和硬件层(Hardware层)，主系统的应用层用于存放各种功能的应用，硬件层对应于数据存储区。此外，主系统在内核层还包括可信代理组件，该可信代理组件可以与独立于主系统的可信辅助系统进行交互，应用层中具有安全权限的应用才可以通过可信代理组件与可信辅助系统进行交互。可信辅助系统对应于TEE(Trusted Execution Environment，可信执行环境)，TEE是与主系统并存的运行环境，具体地，主系统中的可信代理组件(CA，Client Application)可以与TEE中的可信应用(TA，Trust Application)进行交互。在可信辅助系统中生成并保存当前的电子设备对应的公钥-私钥对，响应于预设触发操作，可信代理组件从可信辅助系统中读取该电子设备对应的公钥，通过区块链节点将该电子设备对应的公钥存入区块链数据库中，以完成该电子设备在区块链数据库上的合法化登记过程。
则基于图3A所示的系统架构执行安全保护过程：
对于电子设备M，主系统在应用层放置具有安全权限的应用A，电子设备M对应的公钥-私钥对为(K1M，K2M)。一方面，当电子设备M中具有安全权限的应用A需要向应用服务器A’发送第一数据x1时，应用A将第一数据x1从数据存储区的原始存储位置转移至数据存储区中的共享分区，以使得可信代理组件可以从共享分区中读取到第一数据x1，可信代理组件将第一数据x1发送至TEE，在TEE中存储有电子设备M的私钥K2M，在TEE中利用私钥K2M对第一数据x1进行签名，得到第一数据x1对应的数字签名f(x1，K2M)，可信代理组件读取该数字签名f(x1，K2M)并发送至应用A，应用A将电子设备M的标识信息“M”以及带有该数字签名f(x1，K2M)的第一数据x1一同发送至应用服务器A’。应用服务器A’收到电子设备M的标识信息“M”以及带有该数字签名f(x1，K2M)的第一数据x1后，可以根据标识信息“M”从区块链数据库中找到电子设备M的公钥K1M，进而利用公钥K1M和数字签名f(x1，K2M)验证电子设备M发出第一数据x1的真实性，具体地，利用公钥K1M对第一数据x1进行转换得到F(x1，K1M)，将F(x1，K1M)和数字签名f(x1，K2M)进行匹配，如果匹配，表示合法的电子设备M发出第一数据x1且第一数据x1未被篡改，如果不匹配，表示应用服务器A’收到的第一数据x1是伪造的或篡改后的。上述验证过程可以在应用服务器A’，也可以在与应用服务器A’通信的区块链节点上进行。可见，在区块链数据库中等级的电子设备具有合法性，在判断数据安全性时，数据与发出该数据的电子设备相关联，具有更高的安全保障。
另一方面，当应用服务器A’需要向电子设备M中具有安全权限的应用A发送第二数据x2时，可以先根据电子设备M的标识信息“M”从区块链数据库中找到电子设备M的公钥K1M，进而利用公钥K1M对第二数据x2进行加密得到加密后的第二数据G(x2)，上述加密过程可以在应用服务器A’，也可以在与应用服务器A’通信的区块链节点上进行。应用服务器A’向应用A发送加密后的第二数据G(x2)，应用A接收到加密后的第二数据G(x2)后，将加密后的第二数据G(x2)放至数据存储区中的共享分区，以使得可信代理组件可以从共享分区中读取到加密后的第二数据G(x2)，可信代理组件将加密后的第二数据G(x2)发送至TEE，在TEE中存储有电子设备M的私钥K2M，在TEE中利用私钥K2M对加密后的第二数据G(X2)进行解密，由于私钥K2M与公钥K1M相对应，得到第二数据x2，可信代理组件读取该第二数据x2并发送至应用A能够使用第二数据x2。
实施例二
图3B示意性示出了根据本公开的另一实施例的安全处理方法的系统架构图。
如图3B所示，主系统整体上包括应用层(App层)、框架层(Framework层)、内核层(Kemel层)和硬件层(Hardware层)，主系统被划分为相互独立的主用户空间和安全空间两部分，主系统的主用户空间与普通存储区对应，安全空间与安全存储区对应，所述安全存储区与所述普通存储区相隔离，所述安全存储区被加密。安全空间的应用层用于存放主系统具有安全权限的应用，如涉及到支付、隐私等信息的应用，安全空间在硬件层对应于安全存储区，安全存储区用于存储主系统中具有安全权限的数据。此外，安全空间在内核层还包括可信代理组件，该可信代理组件可以与独立于主系统的可信辅助系统进行交互，安全空间中的数据可以通过可信代理组件与可信辅助系统进行交互。可信辅助系统对应于TEE(Trusted Execution Environment，可信执行环境)，TEE是与主系统并存的运行环境，具体地，主系统中的可信代理组件(CA，ClientApplication)可以与TEE中的可信应用(TA，TrustApplication)进行交互。在可信辅助系统中生成并保存当前的电子设备对应的公钥-私钥对，响应于预设触发操作，可信代理组件从可信辅助系统中读取该电子设备对应的公钥，通过区块链节点将该电子设备对应的公钥存入区块链数据库中，以完成该电子设备在区块链数据库上的合法化登记过程。
对于电子设备M，电子设备M对应的公钥-私钥对为(K1M，K2M)，在电子设备M的主系统中，安全空间在应用层放置应用B和应用C，安全空间在硬件层对应的安全存储区中存储有应用B和应用C相关的数据以及其他一些安全级别较高的数据，如一些照片、文档等。
当电子设备M的安全空间中的应用B需要向应用服务器发送数据时，则从安全空间的应用层发起访问安全存储区的访问请求，响应于该访问请求，调起认证界面以提示用户输入用户认证信息，在获得用户认证信息后，应用层将用户认证信息发送至内核层的可信代理组件，由可信代理组件将用户认证信息发送至TEE。在TEE中用户信息认证成功后，在TEE中对安全存储区中的数据进行解密，并映射访问解密后的安全存储区的路径，使得应用B可以读取到相应的真实数据。之后，应用B通过可信代理组件将数据发送至TEE，在TEE中利用私钥K2M对数据进行签名，应用服务器在接收到数据后利用公钥K1M进行验签，同上述实施例一中的应用A发送数据的过程同理，在此不再赘述。
当电子设备M的安全空间中的应用B需要接收应用服务器发送的数据时，同上述实施例一中的应用A接收数据的过程同理，在此不再赘述。在基于私钥K2M对数据解密后获得实际的数据内容后，如果应用B想要将该实际的数据存入安全存储区，则从安全空间的应用层发起访问安全存储区的访问请求，响应于该访问请求，调起认证界面以提示用户输入用户认证信息，在获得用户认证信息后，应用层将用户认证信息发送至内核层的可信代理组件，由可信代理组件将用户认证信息发送至TEE。在TEE中用户信息认证成功后，在TEE并映射访问解密后的安全存储区的路径，使得应用B将相应数据写入安全存储区。
图4示意性示出了根据本公开的实施例的电子设备的框图。
如图4所示，电子设备400包括主系统410和可信辅助系统420。该电子设备400可以执行上面参考图2A～图3B描述的方法，以实现更高级别的设备安全。
主系统410和可信辅助系统420相互独立。
可信辅助系统420用于生成并存储电子设备400对应的公钥-私钥对。
主系统410用于将该电子设备400对应的公钥发送至区块链节点，使得各区块链节点将该电子设备400对应的公钥存入各自对应的区块链数据库中。如果该电子设备400与应用服务器进行数据交互，主系统410用于基于可信辅助系统420中的该电子设备400对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备400对应的公钥对产生所述待交互数据的电子设备400进行安全认证。
在本公开的一个实施例中，上述主系统410将该电子设备400对应的公钥发送至区块链节点，使得各区块链节点将该电子设备400对应的公钥存入各自对应的区块链数据库中包括：主系统410用于响应于预设触发操作，通过位于内核层中的可信代理组件从可信辅助系统420中读取该电子设备400对应的公钥并发送至区块链节点，使得各区块链节点在通过共识验证后将该电子设备400对应的公钥存入各自对应的区块链数据库中。
在本公开的一个实施例中，上述主系统410基于可信辅助系统420中的该电子设备400对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备400对应的公钥对产生所述待交互数据的电子设备400进行安全认证包括：待交互数据为第一数据，主系统410用于基于该电子设备400对应的私钥对第一数据进行签名得到第一数据对应的数字签名；将带有数字签名的第一数据发送至所述应用服务器，使得所述应用服务器利用区块链数据库中的该电子设备400对应的公钥，基于第一数据对应的数字签名验证该电子设备400发出第一数据的真实性。
在本公开的一个实施例中，上述主系统410基于该电子设备400对应的私钥对第一数据进行签名得到第一数据对应的数字签名包括：主系统410用于通过位于内核层中的可信代理组件将第一数据发送至可信辅助系统420。可信辅助系统420用于利用该电子设备400对应的私钥对第一数据进行签名，得到第一数据对应的数字签名。主系统410用于通过可信代理组件从可信辅助系统420中读取第一数据对应的数字签名。
进一步地，在本公开的一个实施例中，主系统410还用于接收所述应用服务器发送的第二数据，第二数据由所述应用服务器基于访问区块链数据库获得的该电子设备400对应的公钥进行加密；基于可信辅助系统420中的该电子设备400对应的私钥对所述第二数据进行解密，得到第二数据对应的解密数据，以保证第二数据对应的解密数据只能被该电子设备400获取到。
具体地，上述主系统410基于可信辅助系统420中的所述私钥对第二数据进行解密得到第二数据对应的解密数据包括：主系统410用于通过位于内核层中的可信代理组件将第二数据发送至可信辅助系统420。可信辅助系统420用于利用该电子设备400对应的私钥对第二数据进行解密，得到第二数据对应的解密数据。主系统410用于通过可信代理组件从可信辅助系统420中读取第二数据对应的解密数据。
在本公开的一个实施例中，如果该电子设备400与应用服务器进行数据交互，所述应用服务器基于该电子设备400的标识信息，通过区块链节点访问区块链数据库，获取该电子设备400对应的公钥。
在本公开的一个实施例中，上述待交互数据为安全支付数据。上述如果该电子设备400与应用服务器进行数据交互，主系统410基于可信辅助系统420中的该电子设备400对应的私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备400对应的公钥对产生所述待交互数据的电子设备400进行安全认证包括：如果该电子设备400进行安全支付，主系统410用于基于该电子设备400对应的私钥对相应的安全支付数据进行签名得到数字签名，以使得所述应用服务器基于访问区块链数据库获得的该电子设备400对应的公钥和所述数字签名验证该电子设备400进行安全支付的真实性。
图5示意性示出了根据本公开的实施例的安全处理系统的框图。
如图5所示，安全处理系统500包括电子设备400、应用服务器510和多个区块链节点520。电子设备400包括主系统410和可信辅助系统420，该电子设备400用于在独立于主系统410的可信辅助系统中生成并存储当前电子设备400对应的公钥-私钥对，将该电子设备400对应的公钥发送至区块链节点520。多个区块链节点520用于将该电子设备400对应的公钥存入各自对应的区块链数据库中。电子设备400还用于在与应用服务器510进行数据交互时，基于可信辅助系统420中的该电子设备400对应的私钥对待交互数据进行签名。应用服务器510用于基于访问区块链数据库获得的该电子设备400对应的公钥对产生所述待交互数据的电子设备400进行安全认证。
在本公开的一个实施例中，上述电子设备400将该电子设备400对应的公钥发送至区块链节点520包括：电子设备400用于响应于预设触发操作，通过位于主系统410的内核层中的可信代理组件从可信辅助系统420中读取该电子设备400对应的公钥并发送至区块链节点520。多个区块链节点520用于将该电子设备400对应的公钥存入各自对应的区块链数据库中包括：各区块链节点520用于在通过共识验证后将该电子设备400对应的公钥存入各自对应的区块链数据库中。
在本公开的一个实施例中，上述电子设备400基于可信辅助系统420中的该电子设备400对应的私钥对待交互数据进行签名包括：待交互数据为第一数据，电子设备400用于利用该电子设备400对应的私钥对第一数据进行签名得到第一数据对应的数字签名，将带有数字签名的第一数据发送至所述应用服务器510。应用服务器510基于访问区块链数据库获得的该电子设备400对应的公钥对产生所述待交互数据的电子设备400进行安全认证包括：应用服务器510用于利用区块链数据库中的该电子设备400对应的公钥，基于第一数据对应的数字签名验证该电子设备400发出第一数据的真实性。
在本公开的一个实施例中，上述电子设备400利用该电子设备400对应的私钥对第一数据进行签名得到第一数据对应的数字签名包括：电子设备400用于通过位于主系统410的内核层中的可信代理组件将第一数据发送至可信辅助系统420；在可信辅助系统420中利用该电子设备400对应的私钥对第一数据进行签名，得到第一数据对应的数字签名；通过可信代理组件从可信辅助系统420中读取第一数据对应的数字签名。
在本公开的一个实施例中，应用服务器510还用于基于访问区块链数据库获得的该电子设备400对应的公钥对待交互数据进行加密得到第二数据。电子设备400还用于接收所述应用服务器510发送的第二数据；基于可信辅助系统420中的该电子设备400对应的私钥对所述第二数据进行解密，得到第二数据对应的解密数据，以保证第二数据对应的解密数据只能被该电子设备400获取到。
在本公开的一个实施例中，上述电子设备400基于可信辅助系统中的所述私钥对第二数据进行解密得到第二数据对应的解密数据包括：电子设备400用于通过位于主系统410的内核层中的可信代理组件将第二数据发送至可信辅助系统420；在可信辅助系统420中利用该电子设备400对应的私钥对第二数据进行解密，得到第二数据对应的解密数据，再通过可信代理组件从可信辅助系统420中读取第二数据对应的解密数据。
在本公开的一个实施例中，应用服务器510访问区块链数据库获得该电子设备400对应的公钥包括：如果该电子设备400与应用服务器510进行数据交互，应用服务器510用于基于该电子设备400的标识信息，通过区块链节点520访问区块链数据库，获取存储于区块链数据库中的该电子设备400对应的公钥。
在本公开的一个实施例中，上述待交互数据可以为安全支付数据。上述电子设备400在与应用服务器510进行数据交互时，基于可信辅助系统420中的该电子设备400对应的私钥对待交互数据进行签名包括：电子设备400用于在进行安全支付时，利用该电子设备400对应的私钥对相应的安全支付数据进行签名得到数字签名。应用服务器510基于访问区块链数据库获得的该电子设备400对应的公钥对产生所述待交互数据的电子设备400进行安全认证包括：应用服务器510用于基于访问区块链数据库获得的该电子设备400对应的公钥和所述数字签名验证该电子设备400进行安全支付的真实性。
需要说明的是，装置部分实施例中各模块/单元/子单元等的实施方式、解决的技术问题、实现的功能、以及达到的技术效果分别与方法部分实施例中各对应的步骤的实施方式、解决的技术问题、实现的功能、以及达到的技术效果相同或类似，在此不再赘述。
根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
例如，可以由一个或多个模块执行主系统410的功能，如果有多个模块，其中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，执行主系统410的功能的一个或多个模块中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，执行第一系统410的功能的一个或多个模块中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
又例如，可以由一个或多个模块执行可信辅助系统420的功能，如果有多个模块，其中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，执行可信辅助系统420的功能的一个或多个模块中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，执行可信辅助系统420的功能的一个或多个模块中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
图6示意性示出了根据本公开的另一实施例的适于实现上文描述的方法的电子设备的框图。图6示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
如图6所示，电子设备600包括处理器610和计算机可读存储介质620，处理器610对应于主系统，计算机可读存储介质620对应于主系统的存储区，此外，电子设备600还包括辅助处理器630和辅助计算机可读存储介质640，辅助处理器630对应于可信辅助系统，辅助计算机可读存储介质640对应于可信辅助系统中的存储区。该电子设备600可以执行根据本公开实施例的方法。
具体地，处理器610例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器610还可以包括用于缓存用途的板载存储器。处理器610可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。
计算机可读存储介质620，例如可以是非易失性的计算机可读存储介质，具体示例包括但不限于：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；等等。
计算机可读存储介质620可以包括计算机程序621，该计算机程序621可以包括代码/计算机可执行指令，其在由处理器610执行时使得处理器610执行根据本公开实施例的方法或其任何变形。
计算机程序621可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序621中的代码可以包括一个或多个程序模块，例如包括621A、模块621B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器610执行时，使得处理器610可以执行根据本公开实施例的方法或其任何变形。
辅助处理器630例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。辅助处理器630还可以包括用于缓存用途的板载存储器。辅助处理器630可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。
辅助计算机可读存储介质640，例如可以是非易失性的计算机可读存储介质，具体示例包括但不限于：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；等等。
辅助计算机可读存储介质640可以包括计算机程序641，该计算机程序641可以包括代码/计算机可执行指令，其在由辅助处理器630执行时使得辅助处理器630执行根据本公开实施例的方法或其任何变形。
计算机程序641可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序641中的代码可以包括一个或多个程序模块，例如包括641A、模块641B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被辅助处理器630执行时，使得辅助处理器630可以执行根据本公开实施例的方法或其任何变形。
根据本发明的实施例，可以由一个或多个模块执行第一系统410的功能，这些模块中的至少一个可以实现为参考图6描述的计算机程序模块，其在被处理器610执行时，可以实现上面描述的主系统410的相应操作。
根据本发明的实施例，可以由一个或多个模块执行第一系统410的功能，这些模块中的至少一个可以实现为参考图6描述的计算机程序模块，其在被辅助处理器630执行时，可以实现上面描述的可信辅助系统420的相应操作。
本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。
根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。
尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。
Claims (10)
1.一种安全处理方法，包括：
在独立于主系统的可信辅助系统中生成并存储电子设备对应的公钥-私钥对，将所述公钥发送至区块链节点，使得各区块链节点将所述公钥存入各自对应的区块链数据库中，其中，所述电子设备包括主系统以及可信辅助系统；
如果所述电子设备与应用服务器进行数据交互，基于所述可信辅助系统中的所述私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的所述公钥对产生所述待交互数据的电子设备进行安全认证。
2.根据权利要求1所述的方法，其中，所述将所述公钥发送至区块链节点，使得各区块链节点将所述公钥存入各自对应的区块链数据库中包括：
响应于预设触发操作，通过位于主系统的内核层中的可信代理组件从所述可信辅助系统中读取所述公钥并发送至区块链节点，使得各区块链节点在通过共识验证后将所述公钥存入各自对应的区块链数据库中。
3.根据权利要求1所述的方法，其中，所述基于所述可信辅助系统中的所述私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的所述公钥对产生所述待交互数据的电子设备进行安全认证包括：
所述待交互数据为第一数据；
利用所述私钥对所述第一数据进行签名得到所述第一数据对应的数字签名；
将带有所述数字签名的所述第一数据发送至所述应用服务器，使得所述应用服务器利用区块链数据库中的所述公钥，基于所述数字签名验证所述电子设备发出所述第一数据的真实性。
4.根据权利要求3所述的方法，其中，所述利用所述私钥对所述第一数据进行签名得到所述第一数据对应的数字签名包括：
通过位于主系统的内核层中的可信代理组件将所述第一数据发送至可信辅助系统；
在可信辅助系统中利用所述私钥对所述第一数据进行签名得到所述第一数据对应的数字签名；
通过所述可信代理组件从所述可信辅助系统中读取所述数字签名。
5.根据权利要求1所述的方法，还包括：
接收所述应用服务器发送的第二数据，所述第二数据由所述应用服务器基于访问区块链数据库获得的所述公钥进行加密；
基于所述可信辅助系统中的所述私钥对所述第二数据进行解密得到所述第二数据对应的解密数据，以保证所述第二数据对应的解密数据只能被所述电子设备获取到。
6.根据权利要求5所述的方法，其中，所述基于所述可信辅助系统中的所述私钥对所述第二数据进行解密得到所述第二数据对应的解密数据包括：
通过位于主系统的内核层中的可信代理组件将所述第二数据发送至所述可信辅助系统；
在所述可信辅助系统中利用所述私钥对所述第二数据进行解密，得到所述第二数据对应的解密数据；
通过所述可信代理组件从所述可信辅助系统中读取所述第二数据对应的解密数据。
7.根据权利要求1或5所述的方法，其中，如果所述电子设备与应用服务器进行数据交互，所述应用服务器基于所述电子设备的标识信息，通过区块链节点访问所述区块链数据库，获取所述电子设备对应的公钥。
8.根据权利要求1所述的方法，其中：
所述待交互数据为安全支付数据；
所述如果所述电子设备与应用服务器进行数据交互，基于所述可信辅助系统中的所述私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的所述公钥对产生所述待交互数据的电子设备进行安全认证包括：如果所述电子设备进行安全支付，利用所述私钥对相应的安全支付数据进行签名得到数字签名，以使得所述应用服务器基于访问区块链数据库获得的所述公钥和所述数字签名验证所述电子设备进行安全支付的真实性。
9.一种电子设备，包括：主系统和可信辅助系统；
所述可信辅助系统，用于生成并存储所述电子设备对应的公钥-私钥对，所述可信辅助系统独立于所述主系统；
所述主系统，用于将所述公钥发送至区块链节点，使得各区块链节点将所述公钥存入各自对应的区块链数据库中；如果所述电子设备与应用服务器进行数据交互，基于所述可信辅助系统中的所述私钥对待交互数据进行签名，以使得所述应用服务器基于访问区块链数据库获得的所述公钥对产生所述待交互数据的电子设备进行安全认证。
10.一种安全处理系统，包括：电子设备、应用服务器和多个区块链节点；
所述电子设备，用于在独立于主系统的可信辅助系统中生成并存储当前电子设备对应的公钥-私钥对，将所述公钥发送至区块链节点；所述电子设备包括主系统和可信辅助系统；
所述多个区块链节点，用于将所述公钥存入各自对应的区块链数据库中；
所述电子设备，用于在与应用服务器进行数据交互时，基于所述可信辅助系统中的所述私钥对待交互数据进行签名；
所述应用服务器，用于基于访问区块链数据库获得的所述公钥对产生所述待交互数据的电子设备进行安全认证。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201811298411.8A CN109525400A (zh) | 2018-11-01 | 2018-11-01 | 安全处理方法、系统和电子设备 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201811298411.8A CN109525400A (zh) | 2018-11-01 | 2018-11-01 | 安全处理方法、系统和电子设备 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN109525400A true CN109525400A (zh) | 2019-03-26 |
Family
ID=65774343
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201811298411.8A Pending CN109525400A (zh) | 2018-11-01 | 2018-11-01 | 安全处理方法、系统和电子设备 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN109525400A (zh) |
Cited By (17)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109918451A (zh) * | 2019-03-28 | 2019-06-21 | 中国联合网络通信集团有限公司 | 基于区块链的数据库管理方法及系统 |
| CN110519260A (zh) * | 2019-08-23 | 2019-11-29 | 联想(北京)有限公司 | 一种信息处理方法及信息处理装置 |
| CN110688341A (zh) * | 2019-09-25 | 2020-01-14 | 支付宝(杭州)信息技术有限公司 | 在fpga上实现高效合约调用的方法及装置 |
| CN110750488A (zh) * | 2019-09-25 | 2020-02-04 | 支付宝(杭州)信息技术有限公司 | 在fpga中实现外部调用的方法及装置 |
| CN111431707A (zh) * | 2020-03-19 | 2020-07-17 | 腾讯科技（深圳）有限公司 | 业务数据信息处理方法、装置、设备以及可读存储介质 |
| CN111818094A (zh) * | 2020-08-28 | 2020-10-23 | 支付宝(杭州)信息技术有限公司 | 一种身份注册方法、装置及设备 |
| CN113709128A (zh) * | 2021-08-19 | 2021-11-26 | 山东新一代信息产业技术研究院有限公司 | 一种基于区块链的iros系统通信方法及设备 |
| US11341284B2 (en) | 2020-09-04 | 2022-05-24 | Alipay (Hangzhou) Information Technology Co., Ltd. | Trusted hardware-based data management methods, apparatuses, and devices |
| US11354447B2 (en) | 2020-08-28 | 2022-06-07 | Alipay (Hangzhou) Information Technology Co., Ltd. | Data authorization information acquisition methods, apparatuses, and devices |
| US11354448B2 (en) | 2020-09-04 | 2022-06-07 | Alipay (Hangzhou) Information Technology Co., Ltd. | Demand trusted device-based data acquisition methods, apparatuses, and devices |
| US11362815B2 (en) | 2020-08-28 | 2022-06-14 | Alipay (Hangzhou) Information Technology Co., Ltd. | Trusted data transmission methods, apparatuses, and devices |
| US11386191B2 (en) | 2020-09-15 | 2022-07-12 | Alipay (Hangzhou) Information Technology Co., Ltd. | Trusted hardware-based identity management methods, apparatuses, and devices |
| US11455417B2 (en) | 2020-09-04 | 2022-09-27 | Alipay (Hangzhou) Information Technology Co., Ltd. | Data processing methods, apparatuses, and devices |
| US11494511B2 (en) | 2020-09-15 | 2022-11-08 | Alipay (Hangzhou) Information Technology Co., Ltd. | Data processing methods, apparatuses, and devices |
| US11604894B2 (en) | 2020-07-24 | 2023-03-14 | Alipay (Hangzhou) Information Technology Co., Ltd. | Data processing methods, apparatuses, devices, and media |
| US11652879B2 (en) | 2020-08-28 | 2023-05-16 | Alipay (Hangzhou) Information Technology Co., Ltd. | Matching methods, apparatuses, and devices based on trusted asset data |
| US11726968B2 (en) | 2020-09-15 | 2023-08-15 | Alipay (Hangzhou) Information Technology Co., Ltd. | Methods, apparatuses, and devices for transferring data assets based on blockchain |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107896150A (zh) * | 2017-12-21 | 2018-04-10 | 善林（上海）金融信息服务有限公司 | 链接区块链网络和物联网的系统 |
| CN108064440A (zh) * | 2017-05-25 | 2018-05-22 | 深圳前海达闼云端智能科技有限公司 | 基于区块链的fido认证方法、装置及系统 |
-
2018
- 2018-11-01 CN CN201811298411.8A patent/CN109525400A/zh active Pending
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108064440A (zh) * | 2017-05-25 | 2018-05-22 | 深圳前海达闼云端智能科技有限公司 | 基于区块链的fido认证方法、装置及系统 |
| CN107896150A (zh) * | 2017-12-21 | 2018-04-10 | 善林（上海）金融信息服务有限公司 | 链接区块链网络和物联网的系统 |
Cited By (20)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109918451A (zh) * | 2019-03-28 | 2019-06-21 | 中国联合网络通信集团有限公司 | 基于区块链的数据库管理方法及系统 |
| CN110519260A (zh) * | 2019-08-23 | 2019-11-29 | 联想(北京)有限公司 | 一种信息处理方法及信息处理装置 |
| CN110519260B (zh) * | 2019-08-23 | 2020-09-25 | 联想(北京)有限公司 | 一种信息处理方法及信息处理装置 |
| CN110688341A (zh) * | 2019-09-25 | 2020-01-14 | 支付宝(杭州)信息技术有限公司 | 在fpga上实现高效合约调用的方法及装置 |
| CN110750488A (zh) * | 2019-09-25 | 2020-02-04 | 支付宝(杭州)信息技术有限公司 | 在fpga中实现外部调用的方法及装置 |
| CN110688341B (zh) * | 2019-09-25 | 2021-01-29 | 支付宝(杭州)信息技术有限公司 | 在fpga上实现高效合约调用的方法及装置 |
| CN111431707A (zh) * | 2020-03-19 | 2020-07-17 | 腾讯科技（深圳）有限公司 | 业务数据信息处理方法、装置、设备以及可读存储介质 |
| US11604894B2 (en) | 2020-07-24 | 2023-03-14 | Alipay (Hangzhou) Information Technology Co., Ltd. | Data processing methods, apparatuses, devices, and media |
| US11354447B2 (en) | 2020-08-28 | 2022-06-07 | Alipay (Hangzhou) Information Technology Co., Ltd. | Data authorization information acquisition methods, apparatuses, and devices |
| US11362815B2 (en) | 2020-08-28 | 2022-06-14 | Alipay (Hangzhou) Information Technology Co., Ltd. | Trusted data transmission methods, apparatuses, and devices |
| CN111818094A (zh) * | 2020-08-28 | 2020-10-23 | 支付宝(杭州)信息技术有限公司 | 一种身份注册方法、装置及设备 |
| US11614929B2 (en) | 2020-08-28 | 2023-03-28 | Alipay (Hangzhou) Information Technology Co., Ltd. | Identity registration methods, apparatuses, and devices |
| US11652879B2 (en) | 2020-08-28 | 2023-05-16 | Alipay (Hangzhou) Information Technology Co., Ltd. | Matching methods, apparatuses, and devices based on trusted asset data |
| US11341284B2 (en) | 2020-09-04 | 2022-05-24 | Alipay (Hangzhou) Information Technology Co., Ltd. | Trusted hardware-based data management methods, apparatuses, and devices |
| US11354448B2 (en) | 2020-09-04 | 2022-06-07 | Alipay (Hangzhou) Information Technology Co., Ltd. | Demand trusted device-based data acquisition methods, apparatuses, and devices |
| US11455417B2 (en) | 2020-09-04 | 2022-09-27 | Alipay (Hangzhou) Information Technology Co., Ltd. | Data processing methods, apparatuses, and devices |
| US11386191B2 (en) | 2020-09-15 | 2022-07-12 | Alipay (Hangzhou) Information Technology Co., Ltd. | Trusted hardware-based identity management methods, apparatuses, and devices |
| US11494511B2 (en) | 2020-09-15 | 2022-11-08 | Alipay (Hangzhou) Information Technology Co., Ltd. | Data processing methods, apparatuses, and devices |
| US11726968B2 (en) | 2020-09-15 | 2023-08-15 | Alipay (Hangzhou) Information Technology Co., Ltd. | Methods, apparatuses, and devices for transferring data assets based on blockchain |
| CN113709128A (zh) * | 2021-08-19 | 2021-11-26 | 山东新一代信息产业技术研究院有限公司 | 一种基于区块链的iros系统通信方法及设备 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN109525400A (zh) | 安全处理方法、系统和电子设备 | |
| CN111181720B (zh) | 基于可信执行环境的业务处理方法及装置 | |
| CN107743133B (zh) | 移动终端及其基于可信安全环境的访问控制方法和系统 | |
| US10498541B2 (en) | Electronic identification verification methods and systems | |
| JP6543040B2 (ja) | リモートアクセス、リモートデジタル署名のためのシステムおよび方法 | |
| US9780950B1 (en) | Authentication of PKI credential by use of a one time password and pin | |
| CN109522722A (zh) | 系统安全处理方法和装置 | |
| CN108055274A (zh) | 一种基于联盟链存储数据的加密与共享方法及系统 | |
| CN109074449A (zh) | 在安全飞地中灵活地供应证明密钥 | |
| CN109792386A (zh) | 用于可信计算的方法和装置 | |
| CN109075976A (zh) | 取决于密钥认证的证书发布 | |
| CN110990827A (zh) | 一种身份信息验证方法、服务器及存储介质 | |
| CN110197082A (zh) | 数据处理方法、数据处理装置和计算机系统 | |
| Dmitrienko et al. | Secure free-floating car sharing for offline cars | |
| CN106055936A (zh) | 可执行程序数据包加密/解密方法及装置 | |
| WO2021190197A1 (zh) | 生物支付设备的认证方法、装置、计算机设备和存储介质 | |
| CN113472521A (zh) | 基于区块链的实名数字身份管理方法、签名设备和验证设备 | |
| US20130173923A1 (en) | Method and system for digital content security cooperation | |
| CN108449322A (zh) | 身份注册、认证方法、系统及相关设备 | |
| US8745375B2 (en) | Handling of the usage of software in a disconnected computing environment | |
| CN114240347A (zh) | 业务服务安全对接方法、装置、计算机设备、存储介质 | |
| JP5781678B1 (ja) | 電子データ利用システム、携帯端末装置、及び電子データ利用システムにおける方法 | |
| CN107919958A (zh) | 一种数据加密的处理方法、装置及设备 | |
| CN109299617A (zh) | 一种文件加密及解密系统 | |
| CN116781292A (zh) | 一种数据处理方法、装置、设备以及可读存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20190326 |
|
| RJ01 | Rejection of invention patent application after publication |