CN111934872B - 密钥处理方法、装置、电子设备以及存储介质 - Google Patents

Abstract

本申请公开了一种密钥处理方法、装置、电子设备以及存储介质，涉及区块链技术领域，可用于云计算和云服务。具体实现方案为：响应于用户的密钥托管请求，对用户的待托管密钥进行切分，得到至少两个密钥片段；基于加密算法，采用至少两个目标背书节点的密钥，对至少两个密钥片段进行加密，得到至少两个密文片段；将至少两个密文片段分别与对应的目标背书节点标识绑定，得到绑定结果，并向服务端发送包括绑定结果的密文片段存储请求。增大了密钥被窃取的难度，为保管用户密钥提供了一种新思路。

Description

密钥处理方法、装置、电子设备以及存储介质

技术领域

本申请涉及计算机技术领域，尤其涉及区块链技术，具体涉及一种密钥处理方法、装置、电子设备以及存储介质。

背景技术

由于区块链网络普遍使用的非对称加密技术的密钥是随机生成的，且长达百位，用户很难记忆，一旦用户的密钥丢失，链上资产随之丢失，无法找回。亟需提供一种新的密钥处理方式。

发明内容

本公开提供了一种密钥处理方法、装置、电子设备以及存储介质，以实现保管用户密钥，增大了密钥被窃取的难度，具备较高的安全性和可用性。

根据本公开的一方面，提供了一种密钥处理，该方法包括：

响应于用户的密钥托管请求，对用户的待托管密钥进行切分，得到至少两个密钥片段；

基于加密算法，采用至少两个目标背书节点的密钥，对所述至少两个密钥片段进行加密，得到至少两个密文片段；

将所述至少两个密文片段分别与对应的目标背书节点标识绑定，得到绑定结果，并向服务端发送包括所述绑定结果的密文片段存储请求。

根据本公开的另一方面，提供了一种密钥处理方法，该方法包括：

获取用户端发送的包括绑定结果的密文片段存储请求，所述绑定结果中包括至少两个密文片段、至少两个目标背书节点标识、以及密文片段与目标背书节点标识之间的绑定关系；

根据所述绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

根据本公开的另一方面，提供了一种密钥处理装置，该装置包括：

切分模块，用于响应于用户的密钥托管请求，对用户的待托管密钥进行切分，得到至少两个密钥片段；

加密模块，用于基于加密算法，采用至少两个目标背书节点的密钥，对所述至少两个密钥片段进行加密，得到至少两个密文片段；

绑定处理模块，用于将所述至少两个密文片段分别与对应的目标背书节点标识绑定，得到绑定结果，并向服务端发送包括绑定结果的密文片段存储请求。

根据本公开的另一方面，提供了一种密钥处理装置，该装置包括：

片段存储请求获取模块，用于获取用户端发送的包括绑定结果的密文片段存储请求，所述绑定结果中包括至少两个密文片段、至少两个目标背书节点标识、以及密文片段与目标背书节点标识之间的绑定关系；

密文片段发送模块，用于根据所述绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

根据本公开的另一方面，提供了一种电子设备，该电子设备包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行本申请任一实施例所述的密钥处理方法。

根据本公开的另一方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行本申请任一实施例所述的密钥处理方法。

根据本申请的技术实现了保管用户密钥，增大了密钥被窃取的难度，具备较高的安全性和可用性，为保管用户密钥提供了一种新思路。

应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

附图说明

附图用于更好地理解本方案，不构成对本申请的限定。其中：

图1是根据本申请实施例提供的一种密钥处理方法的流程图；

图2是根据本申请实施例提供的另一种密钥处理方法的流程图；

图3是根据本申请实施例提供的又一种密钥处理方法的流程图；

图4是根据本申请实施例提供的又一种密钥处理方法的流程图；

图5是根据本申请实施例提供的一种密钥处理系统的结构示意图；

图6是根据本申请实施例提供的一种密钥处理装置的结构示意图；

图7是根据本申请实施例提供的另一种密钥处理装置的结构示意图；

图8是用来实现本申请实施例的密钥处理方法的电子设备的框图。

具体实施方式

以下结合附图对本申请的示范性实施例做出说明，其中包括本申请实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本申请的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

图1是根据本申请实施例提供的一种密钥处理方法的流程图。本申请实施例适用于密钥处理情况，尤其适用于对区块链账户的密钥进行处理。可选的，本实施例中的密钥优选为私钥。整个密钥处理方法可以由用户端和服务端等配合执行。其中，服务端又可称为平台方，进一步的，服务端可以是配置有区块链系统的服务器。用户端可以是承载在用户设备（如终端设备）上为用户提供本地服务的程序，进一步可以以界面的形式体现，如可以是HTML5界面，还可以是原生应用程序界面等。

本实施例中密钥处理方法可以由用户端执行。该方法可以由密钥处理装置来执行，该装置可以采用软件和/或硬件的方式实现，并可集成于用户设备（如终端设备）中。如图1所示，本实施例提供的密钥处理方法可以包括：

S101，响应于用户的密钥托管请求，对用户的待托管密钥进行切分，得到至少两个密钥片段。

本实施例中，密钥托管请求可以是用户在具有密钥托管需求时，向用户端所发送的请求。例如，用户可以在用户端提供的登录界面进行登录，若成功登录，用户可以在用户端提供的密钥托管界面中输入需要托管的密钥，并点击提交，进而触发产生密钥托管请求，用户端可以获取用户的密钥托管请求。又如，若用户未在服务端注册过，则用户需先按照服务端提供的注册指示，完成注册成为服务端的用户；而后服务端将通过区块链系统，为用户创建区块链账户（包括区块链账户的私钥、公钥以及区块链地址），进而用户将获取服务端分配的密钥，并可以在用户端提供的密钥托管界面中输入需要托管的密钥，并点击提交，进而触发产生密钥托管请求，用户端可以获取用户的密钥托管请求。

可选的，密钥托管请求中可以包括待托管密钥。进而用户端在获取用户的密钥托管请求之后，可以从密钥托管请求中提取待托管密钥，并可以采用密钥分享（secretsharing）技术，对待托管密钥进行切分，得到至少两个密钥片段。进一步的，为了降低密钥恢复难度（例如，丢失部分密钥片段，仍可以恢复密钥），本实施例中优选采用阈值密钥分享技术，对待托管密钥进行切分，得到至少两个密钥片段。本实施例中，阈值密钥分享技术中规定了采用等于或大于设定数量的密钥片段，即可恢复出用户的密钥，无需采用全部的密钥片段，降低了密钥恢复的难度。

进一步的，本实施例中，对待托管密钥进行切分的片段数可以是系统默认的，还可以是密钥托管请求中用户指定的。例如，用户可以在用户端提供的密钥托管界面所展示的多个可选片段数选项中选择一个片段数，或者用户还可以在用户端提供的密钥托管界面中输入所需切分的片段数等。本实施例中，在用户端的可视化界面中引入片段数设置选项，进一步增加了用户的体验。

S102，基于加密算法，采用至少两个目标背书节点的密钥，对至少两个密钥片段进行加密，得到至少两个密文片段。

本实施例中，背书节点可以是权威性机构（如信誉度高的大学、企业等）的服务器设备。本实施例中，背书节点可以是区块链网络中的节点，也可以不是。

目标背书节点是从多个候选背书节点中确定的。可选的，目标背书节点可以是用户端根据密钥片段的数量和各候选背书节点的信誉度等，从多个候选背书节点中选择的。或者，用户可以根据密钥片段的数量以及想要托管的密钥片段数等，在用户端提供的密钥托管界面所展示的多个候选背书节点中选择至少两个作为背书节点，进而用户端可以根据用户的选择，确定目标背书节点。可选的，目标背书节点的数量小于或等于密钥片段的数量。例如，若用户想要托管全部的密钥片段，则目标背书节点的数量等于密钥片段的数量；若用户只想要托管部分的密钥片段，则目标背书节点的数量小于密钥片段的数量。

可选的，目标背书节点的密钥可以为目标背书节点的公钥。本实施例中，服务端在发布各候选背书节点的同时，可以发布各候选背书节点的密钥，以便用户端可以在本地采用。

进一步的，若用户想要托管全部的密钥片段，则目标背书节点的数量等于密钥片段的数量，此时用户端可以采用随机组合方式，将密文片段和目标背书节点进行两两组合；之后对于每一组合中的密钥片段，可以基于加密算法，采用该组合中的目标背书节点的密钥，对该密钥片段进行加密，得到该密钥片段对应的密文片段。本实施例中，组合的序号可以是切分的密钥片段的序号；进一步的，为了增大密钥被窃取的难度，组合的序号可以与密钥片段的序号不同。可选的，用户端本地可以记录切分的密钥片段的序号和组合的序号（即组合中密钥片段的序号）。

进一步的，若用户只想要托管部分的密钥片段，则目标背书节点的数量小于密钥片段的数量，此时用户端可以随机从所有密钥片段中选择与目标背书节点数量相同的密钥片段，而后也可以采用随机组合方式，对目标背书节点和所选择的密文片段进行两两组合；并对于每一组合中的密钥片段，也可以基于加密算法，采用该组合中的目标背书节点的密钥，对该密钥片段进行加密，得到该密钥片段对应的密文片段。同时，对于未选择的密钥片段，用户端可以采用其他加密方式，进行加密，并存储在用户端本地或者其他云端存储服务上等。

S103，将至少两个密文片段分别与对应的目标背书节点标识绑定，得到绑定结果，并向服务端发送包括绑定结果的密文片段存储请求。

本实施例中，背书节点标识用于唯一识别背书节点的标识符，可以是背书节点的ID、密钥（如公钥）、或者物理地址等。可选的，对于每一密文片段，可以将该密文片段与得到该密文片段所采用密钥的目标背书节点的标识绑定，进而可得到密文片段与目标背书节点标识之间的绑定关系。因此，本实施例的绑定结果中可以包括至少两个密文片段、至少两个目标节点标识、以及密文片段与目标背书节点标识之间的绑定关系。进一步的，为了减少数据传输数量，可选的，密文片段与背书节点标识之间的绑定关系可以用密文片段标识与目标背书节点标识之间的关联关系来表征。其中，密文片段标识可以用于唯一识别密文片段的标识符，可以是密文片段的ID。

具体的，用户端在得到绑定结果之后，可以根据绑定结果、用户的公钥、用户的平台账户信息等生成密文片段存储请求，并向服务端发送该密文片段存储请求。

可选的，密文片段存储请求可以是用户端向服务端发送的，用于指示服务端执行相应操作的一种请求；进一步的，密文片段存储请求具体可以是一种通知机制，用于指示服务端执行相应的操作。本实施例中，密文片段存储请求中可以包括绑定结果，还可以包括用户的公钥、用户的平台账户信息等。其中，用户的平台账户信息可以是用户登录用户端或者服务端的相关信息，可以包括登录账号（如手机号）等。

作为本实施例的一种可选方式，密文片段存储请求可用于指示服务端根据绑定结果中密文片段与目标背书节点标识之间的绑定关系，将不同的密文片段分散存储于本地的不同存储空间。

作为本实施例的又一种可选方式，密文片段存储请求可用于指示服务端根据绑定结果中密文片段与目标背书节点标识之间的绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。进一步的，为了保证密文片段的安全，服务端可以与各候选背书节点建立直连的安全通信通道，进而服务端可以根据绑定结果中的绑定关系，通过安全通信通道，将至少两个密文片段分别发送至对应的目标背书节点，以便目标背书节点进行存储。

进一步的，服务端在获取用户端发送的包括绑定结果的密文片段存储请求之后，可以根据绑定结果中密文片段与目标背书节点标识之间的绑定关系，建立密文片段标识与目标背书节点标识之间的关联关系；同时服务端还可以获取用户的平台账户信息，并可以建立用户的平台账户信息与密文片段标识之间的关联关系。其中，服务端可以从绑定结果中获取用户的平台账户信息，还可以从本地登录记录中的获取用户的平台账户信息等。

可选的，服务端可以将所建立的关联关系存储于本地，便于后续用户进行密钥恢复时使用；进一步的，服务端还可以通过区块链系统将所建立的关联关系存储于区块链，利用区块链去中心化、难以篡改的特性，保证关联关系的准确性。

需要说明的是，本实施例由多个目标背书节点共同保管用户的密钥，不仅可以解决用户密钥丢失后无法找回的问题，而且还能够解决通过单一账户托管平台保管用户密钥，存在密钥被窃取的风险的问题，实现了去中心化，增加了密钥被窃取的难度；同时本实施例由用户在本地用户端进行密钥托管操作，服务端不会对用户的密钥进行任何形式的存储，降低了服务端窃取密钥的概率，进一步增加了密钥的安全性。而且，提供可视化的用户端进行密钥托管操作，使用便捷，极大地提升了用户的体验。

此外，值得注意的是，本实施例中每一候选背书节点均可以存储多个用户的密钥的密文片段，并且每一候选背书节点本地不存储密文片段与用户的平台账户信息之间的关联关系，也就是说每一候选背书节点不知道本地所存储的密文片段是哪个或哪些用户的密钥的密文片段。同时每一候选背书节点也不存储密文片段之间的关系，进而极大地增加了几个背书节点共谋窃取用户的密钥的难度，为去中心化、高安全性的保管用户的密钥提供了一种新思路。

本申请实施例的技术方案，通过基于加密算法，采用至少两个目标背书节点的密钥，对用户的待托管密钥的多个密钥片段进行加密，得到多个密文片段；之后可通过用户端和服务端之间的交互，对多个密文片段进行存储，进而实现用户密钥的托管。解决了用户密钥丢失后无法找回的问题，实现了保管用户密钥，增大了密钥被窃取的难度，具备较高的安全性和可用性，为保管用户密钥提供了一种新思路。

为进一步增大密钥被识别窃取的难度，作为本申请实施例的一种可选方式，在基于加密算法，采用至少两个目标背书节点的密钥，对至少两个密钥片段进行加密之前，还可以分别对至少两个密钥片段进行转码处理。

具体的，可以根据待托管密钥的编码规则和设定码的编码规则，确定转码方式；并可以按照转码方式，对每一密钥片段进行转码。可选的，本实施例中的设定码可以是用户按照自身对密钥安全等级的需求灵活设置的，还可以是系统默认设置的。可以理解的是，本实施例增加转码操作，极大地增加了密钥被窃取的难度。

作为本申请实施例的又一种可选方式，在基于加密算法，采用至少两个目标背书节点的密钥，对至少两个密钥片段进行加密之前，还可以分别对至少两个密钥片段进行密钥衍生推导，或者是向每一密钥片段中添加辅助字符串等，以增大密钥被识别窃取的难度。

图2是根据本申请实施例提供的另一种密钥处理方法的流程图，本实施例在上述实施例的基础上，引入椭圆加密算法对密钥片段进行加密。如图2所示，本实施例提供的密钥处理方法可以包括：

S201，响应于用户的密钥托管请求，对用户的待托管密钥进行切分，得到至少两个密钥片段。

S202，从至少两个候选椭圆曲线加密算法中确定目标椭圆曲线加密算法。

本实施例中，加密算法可以包括对称式加密算法和非对称式加密算法等。由于对称式加密算法适用于对大数据量加密，而密钥片段的数据量较小，因此，本实施例优选采用非对称加密算法，对密钥片段进行加密。其中，非对称式加密算法可以包括RSA加密算法、椭圆曲线加密算法（Elliptic Curves Cryptography，ECC）等。进一步的，由于椭圆曲线加密算法具备高安全性且处理速度快等优点，本实施例中优选采用椭圆曲线加密算法对密钥片段进行加密。可选的，本实施例可以采用系统默认的椭圆曲线加密算法，或者可以采用用户选择的椭圆曲线加密算法，对密钥片段进行加密。进一步的，为满足用户不同安全等级的需求，本实施例优选采用用户选择的椭圆曲线加密算法对密钥片段进行加密。

例如，用户可以在用户端提供的密钥托管界面所展示的多个候选椭圆曲线加密算法中选择一个；进而用户端可以根据用户的选择，从多个候选椭圆曲线加密算法中确定目标椭圆曲线加密算法。其中，候选椭圆曲线加密算法可以包括但不限于FIPS ECC P384、FIPS ECC P521、secp256k1以及SM2-P-256等。可以理解的是，本实施例中，在用户端的可视化界面中引入候选椭圆曲线加密算法设置选项，进一步增加了用户的体验。

S203，基于目标椭圆曲线加密算法，采用至少两个目标背书节点的密钥，对至少两个密钥片段进行加密，得到至少两个密文片段。

具体的，对于每一密钥片段，可以按照目标椭圆曲线加密算法的运算规则，将目标背书节点的密钥（进一步为公钥）作为目标椭圆曲线加密算法的输入参数，而后采用带参数的目标椭圆曲线加密算法对该密钥片段进行加密，得到该密钥片段对应的密文片段。

S204，将至少两个密文片段分别与对应的目标背书节点标识绑定，得到绑定结果，并向服务端发送包括绑定结果的密文片段存储请求。

本申请实施例的技术方案，通过引入多个候选椭圆曲线加密算法供选择，进一步增加了用户的体验；同时，基于目标椭圆曲线加密算法，对密钥片段进行加密，又进一步保证了密钥的高安全性。

图3是根据本申请实施例提供的又一种密钥处理方法的流程图，本实施例在上述实施例的基础上，引入密钥恢复过程。如图3所示，本实施例提供的密钥处理方法可以包括：

S301，响应于用户的密钥托管请求，对用户的待托管密钥进行切分，得到至少两个密钥片段。

S302，基于加密算法，采用至少两个目标背书节点的密钥，对至少两个密钥片段进行加密，得到至少两个密文片段。

S303，将至少两个密文片段分别与对应的目标背书节点标识绑定，得到绑定结果，并向服务端发送包括绑定结果的密文片段存储请求。

可选的，密文片段存储请求可用于指示服务端根据绑定结果中密文片段与目标背书节点标识之间的绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

S304，响应于用户的密钥恢复请求，从至少两个目标背书节点中确定待访问背书节点。

本实施例中，密钥恢复请求可以是用户在具有密钥恢复需求时，如用户忘记密钥时，向用户端所发送的请求。可选的，用户可以在用户端提供的密钥恢复界面所展示的多个目标背书节点中选择等于或大于设定数量的目标背书节点，并点击提交，进而触发产生密钥恢复请求。用户端响应于用户的密钥恢复请求，根据用户的选择，从至少两个目标背书节点中确定待访问背书节点。

S305，根据待访问背书节点标识和用户的平台账户信息，生成密钥获取请求。

具体的，在确定待访问背书节点之后，用户端可以获取待访问背书节点标识，同时用户端可以获取用户的平台账户信息，例如用户端可以从本地的日志文件中获取用户的平台账户信息；之后，用户端可以按照一定的数据格式，对待访问背书节点标识、用户的平台账户信息以及用户的公钥等进行封装，进而得到密钥获取请求。

S306，向服务端发送密钥获取请求。

本实施例中，用户端可以向服务端发送密钥获取请求，该密钥获取请求用于指示服务端根据待访问背书节点标识、用户的平台账户信息和本地存储的关联关系，确定待访问背书节点存储的密文片段标识，从待访问背书节点中获取密文片段标识关联的密钥片段，并反馈。

例如，用户端可以向服务端发送密钥获取请求，服务端获取用户端发送的密钥获取请求之后，可以根据用户的平台账户信息，查询本地存储的密文片段标识与用户的平台账户信息之间的关联关系，即可定位到用户的平台账户信息关联的密文片段标识；进而可以根据待访问背书节点标识和定位到的用户的平台账户信息关联的密文片段标识，查询本地存储的密文片段标识与目标背书节点标识之间的关联关系，即可确定待访问背书节点存储的密文片段标识；之后服务端可以通过安全通信通道，向待访问背书节点发送包括密文片段标识的片段获取请求，用于指示待访问背书节点执行如下：根据密文片段标识从本地存储的密文片段中获取密文片段标识关联的密文片段，且采用自身私钥对所获取的密文片段进行解密，得到密钥片段，并反馈。进而服务端可以获取待访问背书节点反馈的密钥片段，并可以将待访问背书节点反馈的密钥片段反馈给用户端。

进一步的，本实施例中用户端在S301得到至少两个密钥片段之后，可以对至少两个密钥片段进行转码处理，也就是说即使服务端可以获取待访问背书节点反馈的密钥片段，但是服务端所获取的密钥片段也是经过转码处理后的。此外，由于用户端在执行S302时，可以随机对目标背书节点和密钥片段进行组合，且组合的序号可以与切分的密钥片段的序号不同，本实施例基于上述至少一种处理方式，即可增大服务端窃取密钥的难度。

S307，根据服务端基于密钥获取请求反馈的密钥片段，生成用户的密钥。

可选的，用户端在获取服务端反馈的密钥片段之后，可以根据所获取的密钥片段，重新构建用户的密钥，即恢复用户的密钥。例如，用户端可以基于密钥分享技术的逆向算法，根据所获取的密钥片段，重新构建用户的密钥。或者，用户端可以先对所获取的密钥片段进行转码，之后可以基于密钥分享技术的逆向算法，根据转码处理后的密钥片段，重新构建用户的密钥等。

本申请实施例的技术方案，通过用户端、服务端和目标背书节点之间的交互，可以将多个密文片段分别对应存储于多个目标背书节点，进而实现用户密钥的托管，不仅可以解决用户密钥丢失后无法找回的问题，还可以解决通过单一账户托管平台保管用户密钥，存在密钥被窃取的风险的问题；此外，通过用户端、服务端和目标背书节点之间的交互，可以从多个待访问背书节点中获取密文片段关联的密钥片段，进而又可实现用户密钥的重建。本实施例无需用户记忆区块链账户的密钥，具备较高的安全性和可用性，为保管用户密钥提供了一种新思路。

图4是根据本申请实施例提供的一种密钥处理方法的流程图。本申请实施例适用于密钥处理情况，尤其适用于对区块链账户的密钥进行处理。可选的，本实施例中的密钥优选为私钥。本实施例中密钥处理方法可以由服务端执行。该方法可以由密钥处理装置来执行，该装置可以采用软件和/或硬件的方式实现，并可集成于服务端中。如图4所示，本实施例提供的密钥处理方法可以包括：

S401，获取用户端发送的包括绑定结果的密文片段存储请求。

本实施例中，绑定结果中可以包括至少两个密文片段、至少两个目标背书节点标识、以及密文片段与目标背书节点标识之间的绑定关系。

S402，根据绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

具体的，服务端可以与各候选背书节点建立直连的安全通信通道，进而服务端可以根据绑定结果中的绑定关系，通过安全通信通道，将至少两个密文片段分别发送至对应的目标背书节点，以便目标背书节点进行存储。

进一步的，服务端在获取用户端发送的包括绑定结果的密文片段存储请求之后，可以根据绑定结果中密文片段与目标背书节点标识之间的绑定关系，建立密文片段标识与目标背书节点标识之间的关联关系；同时服务端还可以获取用户的平台账户信息，并可以建立用户的平台账户信息与密文片段标识之间的关联关系。其中，服务端可以从绑定结果中获取用户的平台账户信息，还可以从本地登录记录中的获取用户的平台账户信息等。

可选的，服务端可以将所建立的关联关系存储于本地，便于后续用户进行密钥恢复时使用；进一步的，服务端还可以通过区块链系统将所建立的关联关系存储于区块链，利用区块链去中心化、难以篡改的特性，保证关联关系的准确性。

本申请实施例的技术方案，通过将用户的待托管密钥的多个密文片段分别对应存储于多个目标背书节点，实现了去中心化保管用户密钥，增大了密钥被窃取的难度，具备较高的安全性和可用性，为保管用户密钥提供了一种新思路。

进一步的，用户在具有密钥恢复需求时，可以在用户端提供的密钥恢复界面所展示的多个目标背书节点中选择等于或大于设定数值个目标背书节点，并点击提交，进而触发产生密钥恢复请求。用户端响应于用户的密钥恢复请求，根据用户的选择，从至少两个目标背书节点中确定待访问背书节点，并根据待访问背书节点标识和用户的平台账户信息，生成密钥获取请求，并向服务端发送。

进而服务端可以获取用户端发送的密钥获取请求，并根据本地存储的关联关系，以及密钥获取请求中的待访问背书节点标识和用户的平台账户信息，确定待访问背书节点存储的密文片段标识；之后可以从待访问背书节点中获取密文片段标识关联的密钥片段，并向用户端反馈，以使用户端根据所获取的密钥片段，生成用户的密钥。

例如，用户端可以向服务端发送密钥获取请求，服务端获取用户端发送的密钥获取请求之后，可以根据用户的平台账户信息，查询本地存储的密文片段标识与用户的平台账户信息之间的关联关系，即可定位到用户的平台账户信息关联的密文片段标识；进而可以根据待访问背书节点标识和定位到的用户的平台账户信息关联的密文片段标识，查询本地存储的密文片段标识与目标背书节点标识之间的关联关系，即可确定待访问背书节点存储的密文片段标识；之后服务端可以通过安全通信通道，向待访问背书节点发送包括密文片段标识的片段获取请求，用于指示待访问背书节点执行如下：根据密文片段标识从本地存储的密文片段中获取密文片段标识关联的密文片段，且采用自身私钥对所获取的密文片段进行解密，得到密钥片段，并反馈。进而服务端可以获取待访问背书节点反馈的密钥片段，并可以将待访问背书节点反馈的密钥片段反馈给用户端。

本实施例中，通过用户端、服务端和目标背书节点之间的交互，可以从多个待访问背书节点中获取密文片段关联的密钥片段，进而可实现用户密钥的重建，具备较高的安全性和可用性。

图5是根据本申请实施例提供的一种密钥处理系统的结构示意图，本实施例在上述实施例的基础上，提供了一种优选实例。具体的，服务端501可以提供创建区块链账户功能。例如，若用户未在服务端注册过，则用户需先按照服务端提供的注册指示，完成注册成为服务端的用户；而后服务端将通过区块链系统，为用户创建区块链账户（包括区块链账户的私钥、公钥以及区块链地址）。

之后，用户在具有密钥托管需求时，可以在用户端502提供的登录界面进行登录，若成功登录，用户可以在用户端502提供的密钥托管界面中输入需要托管的密钥，并点击提交，进而触发产生密钥托管请求，用户端502可以获取用户的密钥托管请求。

用户端502获取用户的密钥托管请求之后，可以在本地对用户的待托管密钥进行切分，以及片段加密处理，以得到多个密文片段；之后，可以根据用户的需求，将一部分密文片段存储在用户端本地或者其他云端存储服务上等（例如可以将密文片段A、密文片段B和密文片段C存储于其他云端存储服务上）。与此同时，可以向服务端501发送包括剩余密文片段和目标背书节点标识的密文片段存储请求。可选的，剩余密文片段的数量与目标背书节点的数量相等。

服务端501可以与各候选背书节点503建立直连的安全通信通道，进而服务端501可以通过安全通信通道，将剩余密文片段分别发送至对应的目标背书节点503，以便目标背书节点503进行存储。例如，目标背书节点1存储密文片段D，目标背书节点2存储密文片段E，以及目标背书节点3存储密文片段F等。

同时，服务端501可以建立密文片段标识与目标背书节点标识之间的关联关系，以及用户的平台账户信息与密文片段标识之间的关联关系，便于后续用户进行密钥恢复时使用。

可选的，用户的密钥的恢复也可以在用户端本地进行。具体的密钥恢复过程可以参见上述实施例的介绍，此处不再赘述。

本申请实施例的技术方案，通过基于加密算法，采用至少两个目标背书节点的密钥，对用户的待托管密钥的多个密钥片段进行加密，得到多个密文片段；之后可通过用户端、服务端和目标背书节点之间的交互，将多个密文片段分别对应存储于多个目标背书节点，进而实现用户密钥的托管。解决了目前通过账户托管平台保管用户密钥，存在密钥被窃取的风险的问题，实现去中心化保管用户密钥，增大了密钥被窃取的难度，具备较高的安全性和可用性，为保管用户密钥提供了一种新思路。

图6是根据本申请实施例提供的一种密钥处理装置的结构示意图。该装置可实现本申请实施例所述的密钥处理方法。该装置可集成于用户设备中。该密钥处理装置600具体包括：

切分模块601，用于响应于用户的密钥托管请求，对用户的待托管密钥进行切分，得到至少两个密钥片段；

加密模块602，用于基于加密算法，采用至少两个目标背书节点的密钥，对至少两个密钥片段进行加密，得到至少两个密文片段；

绑定处理模块603，用于将至少两个密文片段分别与对应的目标背书节点标识绑定，得到绑定结果，并向服务端发送包括绑定结果的密文片段存储请求。

本申请实施例的技术方案，通过基于加密算法，采用至少两个目标背书节点的密钥，对用户的待托管密钥的多个密钥片段进行加密，得到多个密文片段；之后可通过用户端和服务端之间的交互，对多个密文片段进行存储，进而实现用户密钥的托管。解决了用户密钥丢失后无法找回的问题，实现了保管用户密钥，增大了密钥被窃取的难度，具备较高的安全性和可用性，为保管用户密钥提供了一种新思路。

示例性的，上述装置还包括：

转码模块，用于分别对至少两个密钥片段进行转码处理。

示例性的，加密模块602具体用于：

从至少两个候选椭圆曲线加密算法中确定目标椭圆曲线加密算法；

基于目标椭圆曲线加密算法，采用至少两个目标背书节点的密钥，对至少两个密钥片段进行加密。

示例性的，密文片段存储请求用于指示服务端执行如下：根据绑定结果中密文片段与目标背书节点标识之间的绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

示例性的，密文片段标识与目标背书节点标识之间的关联关系，以及密文片段标识与用户的平台账户信息之间的关联关系存储于服务端。

示例性的，上述装置还包括：

待访问节点确定模块，用于响应于用户的密钥恢复请求，从至少两个目标背书节点中确定待访问背书节点；

请求生成模块，用于根据待访问背书节点标识和用户的平台账户信息，生成密钥获取请求；

请求发送模块，用于向服务端发送密钥获取请求；

密钥生成模块，用于根据服务端基于密钥获取请求反馈的密钥片段，生成用户的密钥。

图7是根据本申请实施例提供的一种密钥处理装置的结构示意图。该装置可实现本申请实施例所述的密钥处理方法。该装置可集成于服务端中。该密钥处理装置700具体包括：

片段存储请求获取模块701，用于获取用户端发送的包括绑定结果的密文片段存储请求，绑定结果中包括至少两个密文片段、至少两个目标背书节点标识、以及密文片段与目标背书节点标识之间的绑定关系；

密文片段发送模块702，用于根据绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

本申请实施例的技术方案，通过将用户的待托管密钥的多个密文片段分别对应存储于多个目标背书节点，实现了去中心化保管用户密钥，增大了密钥被窃取的难度，具备较高的安全性和可用性，为保管用户密钥提供了一种新思路。

示例的，上述装置还包括：

关联关系建立模块，用于建立密文片段标识与目标背书节点标识之间的关联关系，以及密文片段标识与用户的平台账户信息之间的关联关系。

示例的，上述装置还包括：

请求获取模块，用于获取用户端发送的密钥获取请求；

标识确定模块，用于根据本地存储的关联关系，以及密钥获取请求中的待访问背书节点标识和用户的平台账户信息，确定待访问背书节点存储的密文片段标识；

密钥片段处理模块，用于从待访问背书节点中获取密文片段标识关联的密钥片段，并向用户端反馈。

根据本申请的实施例，本申请还提供了一种电子设备和一种可读存储介质。

如图8所示，是根据本申请实施例的密钥处理方法的电子设备的框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本申请的实现。

如图8所示，该电子设备包括：一个或多个处理器801、存储器802，以及用于连接各部件的接口，包括高速接口和低速接口。各个部件利用不同的总线互相连接，并且可以被安装在公共主板上或者根据需要以其它方式安装。处理器可以对在电子设备内执行的指令进行处理，包括存储在存储器中或者存储器上以在外部输入/输出装置（诸如，耦合至接口的显示设备）上显示GUI的图形信息的指令。在其它实施方式中，若需要，可以将多个处理器和/或多条总线与多个存储器和多个存储器一起使用。同样，可以连接多个电子设备，各个设备提供部分必要的操作（例如，作为服务器阵列、一组刀片式服务器、或者多处理器系统）。图8中以一个处理器801为例。

存储器802即为本申请所提供的非瞬时计算机可读存储介质。其中，所述存储器存储有可由至少一个处理器执行的指令，以使所述至少一个处理器执行本申请所提供的密钥处理方法。本申请的非瞬时计算机可读存储介质存储计算机指令，该计算机指令用于使计算机执行本申请所提供的密钥处理方法。

存储器802作为一种非瞬时计算机可读存储介质，可用于存储非瞬时软件程序、非瞬时计算机可执行程序以及模块，如本申请实施例中的密钥处理方法对应的程序指令/模块（例如，附图6所示的切分模块601、加密模块602和绑定处理模块603；或者附图7所示的片段存储请求获取模块701和密文片段发送模块702）。处理器801通过运行存储在存储器802中的非瞬时软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例中的密钥处理方法。

存储器802可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据密钥处理方法的电子设备的使用所创建的数据等。此外，存储器802可以包括高速随机存取存储器，还可以包括非瞬时存储器，例如至少一个磁盘存储器件、闪存器件、或其他非瞬时固态存储器件。在一些实施例中，存储器802可选包括相对于处理器801远程设置的存储器，这些远程存储器可以通过网络连接至密钥处理方法的电子设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、区块链网络、移动通信网及其组合。

密钥处理方法的电子设备还可以包括：输入装置803和输出装置804。处理器801、存储器802、输入装置803和输出装置804可以通过总线或者其他方式连接，图8中以通过总线连接为例。

输入装置803可接收输入的数字或字符信息，以及产生与密钥处理方法的电子设备的用户设置以及功能控制有关的键信号输入，例如触摸屏、小键盘、鼠标、轨迹板、触摸板、指示杆、一个或者多个鼠标按钮、轨迹球、操纵杆等输入装置。输出装置804可以包括显示设备、辅助照明装置（例如，LED）和触觉反馈装置（例如，振动电机）等。该显示设备可以包括但不限于，液晶显示器（LCD）、发光二极管（LED）显示器和等离子体显示器。在一些实施方式中，显示设备可以是触摸屏。

此处描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、专用ASIC（专用集成电路）、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

这些计算程序（也称作程序、软件、软件应用、或者代码）包括可编程处理器的机器指令，并且可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。如本文使用的，术语“机器可读介质”和“计算机可读介质”指的是用于将机器指令和/或数据提供给可编程处理器的任何计算机程序产品、设备、和/或装置（例如，磁盘、光盘、存储器、可编程逻辑装置（PLD）），包括，接收作为机器可读信号的机器指令的机器可读介质。术语“机器可读信号”指的是用于将机器指令和/或数据提供给可编程处理器的任何信号。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置（例如，CRT（阴极射线管）或者LCD（液晶显示器）监视器）；以及键盘和指向装置（例如，鼠标或者轨迹球），用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈（例如，视觉反馈、听觉反馈、或者触觉反馈）；并且可以用任何形式（包括声输入、语音输入或者、触觉输入）来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统（例如，作为数据服务器）、或者包括中间件部件的计算系统（例如，应用服务器）、或者包括前端部件的计算系统（例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互）、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信（例如，通信网络）来将系统的部件相互连接。通信网络的示例包括：局域网（LAN）、广域网（WAN）、互联网和区块链网络。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

根据本申请实施例的技术方案，本申请实施例的技术方案，通过基于加密算法，采用至少两个目标背书节点的密钥，对用户的待托管密钥的多个密钥片段进行加密，得到多个密文片段；之后可通过用户端和服务端之间的交互，对多个密文片段进行存储，进而实现用户密钥的托管。解决了用户密钥丢失后无法找回的问题，实现了保管用户密钥，增大了密钥被窃取的难度，具备较高的安全性和可用性，为保管用户密钥提供了一种新思路。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发申请中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本申请公开的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本申请保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本申请的精神和原则之内所作的修改、等同替换和改进等，均应包含在本申请保护范围之内。

Claims (16)

1.一种密钥处理方法，由用户端执行，所述方法包括：

响应于用户的密钥托管请求，对用户的待托管密钥进行切分，得到至少两个密钥片段；

分别对所述至少两个密钥片段进行转码处理；

基于加密算法，采用至少两个目标背书节点的密钥，对转码后的至少两个密钥片段进行加密，得到至少两个密文片段；

将所述至少两个密文片段分别与对应的目标背书节点标识绑定，得到绑定结果，并向服务端发送包括所述绑定结果的密文片段存储请求，所述密文片段存储请求用于指示所述服务端执行如下：根据所述绑定结果中密文片段与目标背书节点标识之间的绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

2.根据权利要求1所述的方法，其中，基于加密算法，采用至少两个目标背书节点的密钥，对所述至少两个密钥片段进行加密，包括：

从至少两个候选椭圆曲线加密算法中确定目标椭圆曲线加密算法；

基于所述目标椭圆曲线加密算法，采用所述至少两个目标背书节点的密钥，对所述至少两个密钥片段进行加密。

3.根据权利要求1所述的方法，其中，密文片段标识与目标背书节点标识之间的关联关系，以及所述密文片段标识与用户的平台账户信息之间的关联关系存储于所述服务端。

4.根据权利要求3所述的方法，还包括：

响应于用户的密钥恢复请求，从至少两个目标背书节点中确定待访问背书节点；

根据待访问背书节点标识和用户的平台账户信息，生成密钥获取请求；

向所述服务端发送所述密钥获取请求；

根据所述服务端基于所述密钥获取请求反馈的转码后的密钥片段，生成用户的密钥。

5.一种密钥处理方法，由服务端执行，所述方法包括：

获取用户端发送的包括绑定结果的密文片段存储请求，所述绑定结果中包括至少两个密文片段、至少两个目标背书节点标识、以及密文片段与目标背书节点标识之间的绑定关系；所述至少两个密文片段通过如下方式得到：所述用户端对用户的待托管密钥进行切分得到至少两个密钥片段，且对所述至少两个密钥片段进行转码，并基于加密算法，采用至少两个目标背书节点的密钥，对转码后的至少两个密钥片段进行加密得到；

根据所述绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

6.根据权利要求5所述的方法，获取用户端发送的包括绑定结果的密文片段存储请求之后，还包括：

建立密文片段标识与目标背书节点标识之间的关联关系，以及所述密文片段标识与用户的平台账户信息之间的关联关系。

7.根据权利要求6所述的方法，还包括：

获取用户端发送的密钥获取请求；

根据本地存储的关联关系，以及所述密钥获取请求中的待访问背书节点标识和用户的平台账户信息，确定待访问背书节点存储的密文片段标识；

从待访问背书节点中获取密文片段标识关联的转码后的密钥片段，并向所述用户端反馈。

8.一种密钥处理装置，配置于用户端，所述装置包括：

切分模块，用于响应于用户的密钥托管请求，对用户的待托管密钥进行切分，得到至少两个密钥片段；

转码模块，用于分别对所述至少两个密钥片段进行转码处理；

加密模块，用于基于加密算法，采用至少两个目标背书节点的密钥，对转码后的至少两个密钥片段进行加密，得到至少两个密文片段；

绑定处理模块，用于将所述至少两个密文片段分别与对应的目标背书节点标识绑定，得到绑定结果，并向服务端发送包括所述绑定结果的密文片段存储请求，所述密文片段存储请求用于指示所述服务端执行如下：根据所述绑定结果中密文片段与目标背书节点标识之间的绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

9.根据权利要求8所述的装置，其中，所述加密模块具体用于：

从至少两个候选椭圆曲线加密算法中确定目标椭圆曲线加密算法；

基于所述目标椭圆曲线加密算法，采用所述至少两个目标背书节点的密钥，对所述至少两个密钥片段进行加密。

10.根据权利要求8所述的装置，其中，密文片段标识与目标背书节点标识之间的关联关系，以及所述密文片段标识与用户的平台账户信息之间的关联关系存储于所述服务端。

11.根据权利要求10所述的装置，还包括：

待访问节点确定模块，用于响应于用户的密钥恢复请求，从至少两个目标背书节点中确定待访问背书节点；

请求生成模块，用于根据待访问背书节点标识和用户的平台账户信息，生成密钥获取请求；

请求发送模块，用于向所述服务端发送所述密钥获取请求；

密钥生成模块，用于根据所述服务端基于所述密钥获取请求反馈的密钥片段，生成用户的密钥。

12.一种密钥处理装置，配置于服务端，所述装置包括：

片段存储请求获取模块，用于获取用户端发送的包括绑定结果的密文片段存储请求，所述绑定结果中包括至少两个密文片段、至少两个目标背书节点标识、以及密文片段与目标背书节点标识之间的绑定关系；所述至少两个密文片段通过如下方式得到：所述用户端对用户的待托管密钥进行切分得到至少两个密钥片段，且对所述至少两个密钥片段进行转码，并基于加密算法，采用至少两个目标背书节点的密钥，对转码后的至少两个密钥片段进行加密得到；

密文片段发送模块，用于根据所述绑定关系，将至少两个密文片段分别发送至对应的目标背书节点进行存储。

13.根据权利要求12所述的装置，还包括：

关联关系建立模块，用于建立密文片段标识与目标背书节点标识之间的关联关系，以及所述密文片段标识与用户的平台账户信息之间的关联关系。

14.根据权利要求13所述的装置，还包括：

请求获取模块，用于获取用户端发送的密钥获取请求；

标识确定模块，用于根据本地存储的关联关系，以及所述密钥获取请求中的待访问背书节点标识和用户的平台账户信息，确定待访问背书节点存储的密文片段标识；

密钥片段处理模块，用于从待访问背书节点中获取密文片段标识关联的密钥片段，并向所述用户端反馈。

15.一种电子设备，其中，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-4中任一项所述的密钥处理方法，或者执行权利要求5-7中任一项所述的密钥处理方法。

16.一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行权利要求1-4中任一项所述的密钥处理方法，或者执行权利要求5-7中任一项所述的密钥处理方法。

Images