CN113609497A - 一种数据保护方法及装置 - Google Patents

Abstract

本申请提供一种数据保护方法，方法包括：终端设备获取云服务器生成的第一盐值，根据第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，第一密钥是根据终端设备的硬件确定的唯一密钥，第二密钥用于对终端设备的第三密钥加密，第三密钥用于对终端设备中的数据加密。当终端设备丢失时，终端设备触发丢失模式删除第二密钥，以保护内部数据不被第三方访问。终端设备在解除丢失模式之后，终端设备可以通过云服务器的秘密参数和终端设备参数重新恢复第二密钥，通过增加一个可恢复的第二密钥，既保证了终端设备丢失后数据无法恢复的问题，又保证了终端设备内部数据安全。

Description

一种数据保护方法及装置

技术领域

本申请涉及数据安全技术领域，尤其涉及一种数据保护方法及装置。

背景技术

目前，越来越多的用户选择将个人数据存储在终端设备中，例如，大部分用户终端设备中会存放很多个人照片，一些商务人士终端设备内可能有很多与商业机密相关的材料及合同，一些偶像明星可能终端设备中有一些个人隐私的相关资料等。由此可见，终端设备内存储的数据与个人隐私紧密相关，如果终端设备不慎丢失，不仅会直接造成经济损失，还会威胁到个人数据的安全。

当用户终端设备丢失时，由于对是否删除终端设备数据存在抉择困难，例如，用户在丢失终端设备的第一时间可能会觉得终端设备不一定被偷走，有可能遗落在某些地方，试图花时间去寻找终端设备，或者终端设备内部数据无备份，舍不得清除终端设备数据，试图找回终端设备等。一般来讲，用户会觉得终端设备可能无法找回时才会选择清除数据，这样，有可能错过清除数据的时间窗口导致数据无法清除。

所以，目前为了保护数据的安全，防止个人隐私泄露，用户会在选择擦除数据的功能，触发擦除数据功能后，终端设备内数据将被擦除，虽然保证了第三方无法访问终端设备内数据，但一旦终端设备找回后，用户自己也无法恢复终端设备内数据。

发明内容

本申请提供了一种数据保护方法。

第一方面，本申请实施例提供了一种数据保护方法，包括：

终端设备获取云服务器生成的第一盐值；

终端设备根据第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，第一密钥是根据终端设备的硬件确定的唯一密钥，第二密钥用于对终端设备的第三密钥加密，第三密钥用于对终端设备中的数据进行加密；

终端设备在触发丢失模式时，删除第二密钥。

这样，在工作密钥与数据密钥之间插入一个可恢复的第二密钥。第二密钥的生成可以涉及两个执行主体，如由云服务器和终端设备端共同参与派生而成。当终端设备丢失或被偷盗时，可以通过云服务器或终端设备自行检测判断丢失模式。如果触发丢失模式，终端设备端侧第一时间直接删除第二密钥，以保护终端设备内部数据不被第三方访问。当用户终端设备在解除丢失模式之后，用户通过登录云账号，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，云服务器重新生成第一盐值，并将第一盐值派发到终端设备。终端设备接收到第一盐值后，终端设备将第一盐值与第二盐值进行混合，生成总盐值，终端设备根据第一密钥和总盐值重新生成第二密钥，以及，使用第二密钥解密第三密钥，从而用户可以重新正常访问终端设备数据。

在一种实现方式中，终端设备获取云服务器生成的第一盐值，包括：

终端设备接收云服务器发送的第一盐值，第一盐值是云服务器根据终端设备关联的云帐号生成的。

这样，第二密钥的派生有云服务器的参与，如果第三方想要访问终端设备内部数据，需要重新派生出一模一样的第二密钥，那么必须要获取到云服务器的秘密参数，但云服务器秘密参数只有终端设备用户通过登录云账号可以获取，所以，第三方无法恢复第二密钥。

在一种实现方式中，终端设备根据第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，包括：

终端设备将第一盐值与第二盐值进行混合，生成总盐值；

终端设备根据第一密钥和总盐值生成第二密钥。

这样，通过云服务器与终端设备端侧共同参与派生第二密钥，根密钥保护工作密钥，工作密钥保护第二密钥，第二密钥保护第三密钥，第三密钥保护终端设备数据，即上一层密钥逐级对下一级密钥加密保护，形成保护链。

在一种实现方式中，一种数据保护方法，还包括：

终端设备在解除丢失模式之后，根据第一盐值、第二盐值和第一密钥重新生成第二密钥，以及，使用第二密钥解密第三密钥。

这样，当用户终端设备在解除丢失模式之后，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，终端设备根据秘密参数和终端设备参数重新生成第二密钥。

在一种实现方式中，终端设备接收云服务器发出的第一指令，第一指令用于指示终端设备删除第二密钥，第一指令是云服务器服务器响应于其他设备的第二指令生成的，第二指令是其他设备响应于用户操作生成的。

这样，当用户在账户管理页面点击丢失模式按钮后，即可在终端设备删除第二密钥。

在一种实现方式中，其他设备上登陆的云账号与终端设备上登陆的云账号相同。

这样，用户通过自己的云账号可以对终端设备进行基本控制，如定位、播放铃声等。第一云账号是指用户通过其他设备如电脑或其他人终端设备登录时用的云账号，也就是说，用户在终端设备丢失时在其他设备要登录自己的云账号，否则无法对自己终端设备端进行删除第二密钥的操作。

在一种实现方式中，所述终端设备在触发丢失模式时，删除所述第二密钥，包括：

所述终端设备响应于第三指令删除所述第二密钥，所述第三指令是所述终端设备在自行触发丢失模式时生成的。

第三指令是指本地自行检测为丢失模式后，在本地终端删除第二密钥的操作。这样，当终端设备端断网无法从云服务器控制终端设备端时，可以在终端设备进行第二密钥的删除。

在一种实现方式中，终端设备触发丢失模式，包括：

终端设备获取用户在显示屏上的解锁输入，并且统计解锁输入的次数；

终端设备在检测到解锁输入的次数大于阈值时，触发丢失模式。

这样，可以通过检测输入的锁屏密码错误次数来判断终端设备是否为丢失模式。例如，在一定的时间间隔内，可以预先设定锁屏密码输入次数的阈值，如果超过阈值，则可以自动判定终端设备为丢失模式，终端设备端会在第一时间触发删除第二密钥的操作，以确保终端设备内数据的安全。

在一种实现方式中，终端设备还包括根密钥和工作密钥，工作密钥加密第二密钥，根密钥加密工作密钥。

这样，可以对终端设备的数据形成逐级保护链，当删除第二密钥后，第三方因无法获取云参数导致无法恢复第二密钥，当无法恢复第二密钥时就无法解密第三密钥，从而导致第三方无法访问终端设备内部数据。

第二方面，本申请实施例提供了一种数据保护装置，该装置包括：

获取模块，用于获取云服务器生成的第一盐值；

生成模块，用于根据第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，第一密钥是根据终端设备的硬件确定的唯一密钥，第二密钥用于对终端设备的第三密钥加密，第三密钥用于对终端设备中的数据进行加密；

删除模块，用于在触发丢失模式时，删除第二密钥。

这样，在工作密钥与数据密钥之间插入一个可恢复的第二密钥。第二密钥的生成需要两个执行主体，由云服务器和终端设备端共同参与派生而成。当终端设备丢失或被偷盗时，可以通过云服务器或终端设备自行检测判断丢失模式。如果触发丢失模式，终端设备端侧第一时间直接删除第二密钥，以保护终端设备内部数据不被第三方访问。当用户终端设备在解除丢失模式之后，，用户通过登录云账号，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，云服务器重新生成第一盐值，并将第一盐值派发到终端设备。终端设备接收到第一盐值后，终端设备将第一盐值与第二盐值进行混合，生成总盐值，终端设备根据第一密钥和总盐值重新生成第二密钥，以及，使用第二密钥解密第三密钥，从而用户可以重新正常访问终端设备数据。

在一种实现方式中，获取模块，具体用于接收云服务器发送的第一盐值，第一盐值是云服务器根据终端设备关联的云帐号生成的。

这样，第二密钥的派生有云服务器的参与，如果第三方想要访问终端设备内部数据，需要重新派生出一模一样的第二密钥，那么必须要获取到云服务器的秘密参数，但云服务器秘密参数只有终端设备用户通过登录云账号可以获取，所以，第三方无法恢复第二密钥。

在一种实现方式中，生成模块包括混合单元和生成单元：

混合单元，用于将第一盐值与第二盐值进行混合，生成总盐值；

生成单元，用于根据第一密钥和总盐值生成第二密钥。

这样，通过云服务器与终端设备端侧共同参与派生第二密钥，根密钥保护工作密钥，工作密钥保护第二密钥，第二密钥保护第三密钥，第三密钥保护终端设备数据，即上一层密钥逐级对下一级密钥加密保护，形成保护链。

在一种实现方式中，生成模块还用于，在解除丢失模式之后，根据第一盐值、第二盐值和第一密钥重新生成第二密钥，以及，使用第二密钥解密第三密钥。

这样，当用户终端设备在解除丢失模式之后，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，终端设备根据秘密参数和终端设备参数重新生成第二密钥。

在一种实现方式中，该装置还包括：接收模块；

接收模块，用于接收云服务器发出的第一指令，第一指令用于指示终端设备删除第二密钥，第一指令是云服务器响应于其他设备的第二指令生成的，第二指令是其他设备响应于用户操作生成的。

这样，当用户在账户管理页面点击丢失模式按钮后，即可在终端设备删除第二密钥。

在一种实现方式中，其他设备上登陆的云账号与终端设备上登陆的云账号相同。

这样，用户通过自己的云账号可以对终端设备进行基本控制，如定位、播放铃声等。第一云账号是指用户通过其他设备如电脑或其他人终端设备登录时用的云账号，也就是说，用户在终端设备丢失时在其他设备要登录自己的云账号，否则无法对自己终端设备端进行删除第二密钥的操作。

在一种实现方式中，接收模块还用于，响应第三指令删除所述第二密钥，所述第三指令是所述终端设备在自行触发丢失模式时生成的。

第三指令是指本地自行检测为丢失模式后，在本地终端删除第二密钥的操作。这样，当终端设备端断网无法从云服务器控制终端设备端时，可以在终端设备进行第二密钥的删除。

在一种实现方式中，接收模块，具体用于获取用户在显示屏上的解锁输入，并且统计解锁输入的次数；在检测到解锁输入的次数大于阈值时，触发丢失模式。

这样，可以通过检测输入的锁屏密码错误次数来判断终端设备是否为丢失模式。例如，在一定的时间间隔内，可以预先设定锁屏密码输入次数的阈值，如果超过阈值，则可以自动判定终端设备为丢失模式，终端设备端会在第一时间触发删除第二密钥的操作，以确保终端设备内数据的安全。

在一种实现方式中，还包括根密钥加密模块和工作密钥加密模块；

工作密钥加密模块用于加密第二密钥，根密钥加密模块用于加密工作密钥。

这样，可以对终端设备的数据形成逐级保护链，当删除第二密钥后，第三方因无法获取云参数导致无法恢复第二密钥，当无法恢复第二密钥时就无法解密第三密钥，从而导致第三方无法访问终端设备内部数据。

第三方面，本申请实施例还提供一种计算机可读存储介质，计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述各方面及其各个实现方式的方法。

第四方面，本申请实施例还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述各方面及其各个实现方式的方法。

第五方面，本申请实施例还提供了一种芯片系统，该芯片系统包括处理器，用于支持上述终端设备实现上述方面中所涉及的功能，例如，生成或处理上述方法中所涉及的信息。

附图说明

图1是本申请示出的终端设备丢失后用户查找终端设备的过程示意图；

图2是本申请示出的用户使用查找设备找回终端设备的示意图；

图3是本申请实施例示出的一种终端设备数据多级加密保护方法示意图；

图4是本申请实施例提供的第二密钥生成流程示意图；

图5是本申请实施例提供的一种数据保护方法示意图；

图6是本申请实施例提供的在云服务器触发丢失模式的示意图；

图7是本申请实施例提供的在终端设备自行触发丢失模式的示意图；

图8是本申请实施例提供的删除第二密钥的示意图；

图9是本申请实施例提供的恢复第二密钥的示意图；

图10是本申请实施例提供的一种数据保护装置的结构示意图；

图11是本申请实施例提供的另一种数据保护装置的结构示意图；

图12是本申请实施例提供的芯片系统的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚地描述。显然，所描述的实施例是本申请的一部分实施例，而不是全部实施例。基于本申请的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的其他实施例，都属于本申请的保护范围。

随着终端设备的广泛应用，越来越多的用户选择将个人数据存储在手机、平板电脑、笔记本电脑等终端设备中，例如，大部分用户终端设备中会存放很多个人照片，一些商务人士终端设备内可能有很多与商业机密相关的材料及合同，一些偶像明星可能终端设备中有一些个人隐私的相关资料等。由此可见，终端设备内存储的数据与个人隐私紧密相关，如果终端设备不慎丢失，不仅会直接造成经济损失，还会威胁到个人数据的安全。例如，一些学生、白领或普通大众等可能攒了几个月的积蓄新买的终端设备，丢了会直接造成严重的经济损失，再如，一些终端设备都会绑定个人网银账户等，一些政企商务人员等终端设备内还存有商业机密等，所以，通常情况下，一旦终端设备丢失，用户出于安全可能会考虑清除掉终端设备内数据，避免泄漏个人隐私。

但在实际场景中，一般来讲，用户会觉得终端设备可能无法找回时才会选择清除数据，这样很容易错过数据清除的时间窗口，导致数据无法清除。例如，用户在丢失终端设备的第一时间可能会觉得终端设备不一定被偷走，有可能遗落在某些地方，试图花时间去寻找终端设备，或者终端设备内部数据无备份，舍不得清除终端设备数据，试图找回终端设备等。

图1是本申请示出的终端设备丢失后用户查找终端设备的过程示意图，如图1所示，终端设备丢失后，一般用户可以通过两种方式查找终端设备，一种是通过打电话的方式尝试找回终端设备，另一种是使用查找设备的方法找回终端设备，下面对两种方式分别进行说明。

用户通过打电话查找终端设备的方式可以为，例如，用户甲的终端设备丢失，用户甲可以借用用户乙的终端设备给自己的终端设备打电话，或者用户甲让其他人给自己的终端设备打电话。终端设备查找的结果分为找回成功和找回失败两种，如果找回成功则停止查找，如果找回失败，则可以以另一种方式，即使用查找设备的方法查找终端设备。

使用查找设备的方法查找终端设备的方式可以为，通常情况下，丢失终端设备的用户即终端设备的所有者(以下简称用户)需要登录个人账号，图2是本申请示出的用户使用查找设备找回终端设备的示意图，如图2所示，假设终端设备号为18701****62的用户丢失了终端设备，用户进入个人账号后，账号页面会显示用户终端设备的当前状态，例如是否在线、显示电池电量等，结合图1，使用查找设备找回终端设备首先需要对终端设备进行锁定，可以以两种方式锁定终端设备，分别为发送消息和定位设备。

发送消息是指，用户可以通过个人账号页面内的发送消息功能向丢失的终端设备发送消息。例如，用户点击页面内的发送消息按钮后，页面直接将要发送的消息发送至丢失的终端设备中，具体发送消息的内容可以预先设定，如发送消息的内容可以为“看到留言后主动联系18701****62号码”，如果第三方(捡到终端设备的人或者偷终端设备的人)看到留言后选择归还给用户，则找回终端设备成功。

定位设备是指，用户可以通过个人账号页面内的定位设备功能对丢失的终端设备进行定位。例如，用户点击页面内的定位设备按钮后，页面中将直接弹出终端设备当前所在的位置，如图2中箭头所示方向，获取到终端设备位置后，用户可以到达附近位置，并在页面上点击播放铃音功能，以控制丢失的终端设备播放铃声。通常情况下，在播放铃声后仍找不到终端设备，则用户才会选择清除数据。

具体的，两种查找终端设备的方式没有先后顺序，可以同步进行，也可以先后进行。但无论以何种方式查找终端设备，这期间都会消耗一部分时间，一旦终端设备丢失被第三方拔卡或断网后，终端设备既无法从本端清除数据，也无法联网触发清除数据，导致终端设备内数据将无法清除，即，错过清除数据的时间窗口导致数据无法清除，进而存在泄漏隐私的隐患。

综上，当用户终端设备丢失时，由于对是否删除终端设备数据存在抉择困难，有可能错过清除数据的时间窗口导致数据无法清除。所以，目前，为了保护数据的安全，防止个人隐私泄露，用户会在账户页面内选择擦除数据的功能，触发擦除数据功能后，终端设备内数据将被擦除，虽然保证了第三方无法访问终端设备内数据，但一旦终端设备找回后，用户自己也无法恢复终端设备内数据。

为了解决目前终端设备数据删除后无法恢复的问题，本申请提供了一种数据保护方法，当终端设备丢失时销毁第二密钥，终端设备内部数据无法访问进而保护数据安全，当终端设备找回时恢复第二密钥，数据重新恢复，数据正常访问，从而及时保护数据的安全，解决了终端设备数据删除后无法恢复的问题。

目前，为了保护终端设备数据的安全，通常采集多级加密保护的方法，图3是本申请实施例示出的一种终端设备数据多级加密保护方法示意图，如图3所示，该多级保护方式由根密钥、工作密钥、数据密钥三个角色来对终端设备数据进行保护，即采用了三层保护的方式。

其中，根密钥是整体密钥，代表终端设备系统唯一性的密钥，一般是固定的。根密钥作为终端设备系统的一个根，可以用来派生其他密钥，不做具体的业务。工作密钥可以针对具体的业务，例如，可以由根密钥派生出一个工作密钥，这个工作密钥是用于业务整体而言的密钥。数据密钥一般是随机生成的，与工作密钥无派生关系，如图3所示，目前终端设备数据加密方式为，根密钥保护工作密钥，工作密钥保护数据密钥，数据密钥保护终端设备数据，即数据密钥用来保护终端设备内部的数据。

在目前这种终端设备数据保护体系中，一旦触发擦除数据功能，则会把终端设备内数据全部删除，且正常情况下终端设备数据用户本人也不易恢复。但通常终端设备丢失后，用户期望可以保护数据(不被第三方访问)且找回终端设备后可以恢复数据，例如，终端设备中可能有一些非常重要的涉密数据或涉及个人隐私的数据，终端设备丢失时，用户希望这些数据不能被读取，但是在目前保护体系中，终端设备数据一旦被删除，删除的数据将无法恢复，即使终端设备找到后，用户本人也无法读取。

为了解决上述问题，本申请实施例中的数据保护方法增加一个可恢复的第二密钥，第二密钥需要通过终端设备和云服务器共同生成，只有终端设备用户本人才能通过云账号的方式生成与恢复第二密钥，所以第三方无法破解第二密钥，进而无法读取终端设备数据。当终端设备丢失时第一时间触发销毁第二密钥，此时，第三方不能正常访问终端设备数据，当终端设备找回后，用户可以以恢复第二密钥的方式找回数据，解决了终端设备数据删除后无法恢复的问题。

具体的，本申请实施例提供一种数据保护方法，图4是本申请实施例提供的第二密钥生成流程示意图，如图4所示，一种数据保护方法的步骤包括：

步骤S1：终端设备获取云服务器生成的第一盐值。

云服务器是一种简单高效、安全可靠的计算服务，在本申请实施例中，终端设备生成第二密钥的必要条件是，用户需将终端设备通过云服务器登录云账号，因为只有终端设备登录云账号，用户才能根据账号查询终端设备的位置，才能对终端设备进行定位等操作。

一种实现方式中，终端设备获取云服务器生成的第一盐值可以通过如下步骤实现，终端设备接收云服务器发送的第一盐值，其中，第一盐值是云服务器根据终端设备关联的云帐号生成的。此处，盐值可以理解为，是为了使相同的密码拥有不同的哈希值的一种手段，盐值就是在密码哈希过程中添加的额外的随机值。例如，用户的ID就可以作为盐值，通过哈希生成密文，进而可以做到密码保护的目的。

另外，云服务器根据用户云账号生成的第一盐值也可以理解为，当用户在终端设备上使用云账号登录到云服务器时，云服务器根据用户的云账号可以获得一个秘密参数，即为云服务器的参数。根据这个秘密参数，云服务器可以通过某种预设的运算方式生成第一盐值。通常这个参数很长，很难被暴力破解，只有终端设备通过云账号登录到云服务器，然后终端设备才能从云服务器恢复这个秘密参数，所以通过云服务器获取到的秘密参数安全性较高。云服务器根据云账号生成第一盐值后，云服务器可以将第一盐值派发到终端设备，进而终端设备端获取到了第一盐值。

步骤S2：终端设备根据第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，第一密钥是根据终端设备的硬件确定的唯一密钥，第二密钥用于对终端设备的第三密钥加密，第三密钥用于对终端设备中的数据进行加密。

图5是本申请实施例提供的一种数据保护方法示意图，如图5所示，本申请仍采用多级加密保护的方法，根密钥保护工作密钥，工作密钥保护第二密钥，第二密钥保护第三密钥，第三密钥保护终端设备数据，即上一层密钥逐级对下一级密钥加密保护，形成保护链。结合图3，本申请实施例的多级加密保护方法与当前多级加密保护方法的不同之处在于，终端设备在工作密钥与数据密钥(当前保护方法中称为数据密钥，本申请实施例中对应第三密钥)之间插入一个可恢复的第二密钥，由原来“工作密钥保护数据密钥”的模式更改为“工作密钥保护第二密钥、第二密钥保护第三密钥(原数据密钥)”的模式。

具体地，终端设备根据第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥的步骤包括：终端设备将第一盐值与第二盐值进行混合，生成总盐值，终端设备根据第一密钥和总盐值生成第二密钥。在步骤S1中，云服务器生成第一盐值后将第一盐值派发到终端设备，进而终端设备获取到了第一盐值。终端设备系统会随机生成第二盐值，终端设备将第一盐值与第二盐值进行混合，生成一个总盐值，之后，终端设备根据第一密钥和总盐值生成第二密钥。由此可见，第一盐值是由云服务器参与的，第二盐值是由终端设备参与生成的，即第二密钥由云服务器和终端设备共同参与派生而成。

在第二密钥派生过程中，终端设备的第一密钥是根据终端设备的硬件确定的唯一密钥，例如，第一密钥可以是终端设备的硬件唯一密钥(hardware unique key，HUK)，HUK是基于设备的硬件生成的密钥，HUK可以对承载在硬件上的数据进行加密和解密。因硬件有偏差性、随机性和唯一性，所以HUK可以作为每个硬件设备独一无二的标识，从而可确保每台设备密钥的独一无二性。

需要说明的是，终端设备生成第二密钥后，终端设备可以保存第二密钥，也可以保存生成第二密钥的相关参数，终端设备还可以既保存第二密钥又保存生成第二密钥的相关参数，对此本申请不作限定。

步骤S3：终端设备在触发丢失模式时，删除第二密钥。

终端设备可以通过两种方式触发丢失模式，一种方式是终端设备在云服务器的指示下触发丢失模式，另一种方式是终端设备自行触发丢失模式，下面分别进行介绍。

一种终端设备在云服务器的指示下触发丢失模式的方式可以为，用户在其他设备通过云服务器登录云账号，登录云账号成功后，会出现云账号的用户管理页面，用户可以在账号管理页面内触发终端设备的丢失模式。图6是本申请实施例提供的在云服务器触发丢失模式的示意图，如图6所示，账号管理页面有丢失模式的触发按钮，程序设计人员可以通过预设程序将丢失模式的功能事先集成到账号管理页面。一旦用户发现终端设备丢失，用户就可以在其他设备登录云账号，用户第一时间在账号管理页面触发丢失模式即可，如用户点击丢失模式按钮后，即可以触发终端设备的丢失模式。

用户在云账号下触发丢失模式后，终端设备接收云服务器发出的第一指令，第一指令用于指示终端设备删除第二密钥，即，终端设备接收到第一指令后，会执行删除终端设备的第二密钥的操作。第一指令是云服务器响应于其他设备的第二指令生成的，第二指令是其他设备响应于用户操作生成的。容易想到的是，在云服务器触发丢失模式的必要条件是终端设备处于网络连通状态，如果终端设备网络被关闭，则用户无法登录云账号控制终端设备删除第二密钥。

另外，用户在其他设备上登录的云账号与终端设备上登录的云账号相同。此处用户的云账号即是指用户自己通过云服务器登录的账号，用户通过自己的云账号可以对终端设备进行基本控制，如用户登录云账号后，用户可以在账号管理页面对终端设备进行定位、播放铃声等。用户在终端设备丢失时在其他设备要登录自己的云账号，否则用户无法通过云账号对自己的终端设备进行删除第二密钥的操作。

一种在终端设备自行触发丢失模式的方式可以为，终端设备接收本地发出的第三指令。终端设备在触发丢失模式时，删除第二密钥，包括，终端设备响应于第三指令删除第二密钥，第三指令是终端设备在自行触发丢失模式时生成的。当终端设备自行检测为丢失模式后，终端设备会自行在本地删除第二密钥。当终端设备断网后，用户已无法从云服务器控制触发终端设备的丢失模式，此时，用户可以采取在终端设备自行触发丢失模式的方式，这种方式无需终端设备联网。

具体地，终端设备触发丢失模式的内容可以包括，终端设备获取用户在显示屏上的解锁输入，并且统计解锁输入的次数。这里的用户有可能是第三方，即有可能是偷盗终端设备或捡到终端设备的人，如果终端设备检测到解锁输入次数大于阈值，终端设备自行触发丢失模式。

图7是本申请实施例提供的在终端设备自行触发丢失模式的示意图，如图7所示，终端设备可以通过检测第三方在显示屏上输入的锁屏密码错误次数来判断终端设备是否为丢失模式。例如，在一定的时间间隔内，终端设备内部程序可以预先设定锁屏密码输入次数的阈值，如果第三方在显示屏上解锁的次数超过阈值，则可以自行判定终端设备为丢失模式。终端设备自行判定为丢失模式后，终端设备会在第一时间触发删除第二密钥的操作，并在显示屏上弹出相关提示，例如，当前终端设备显示屏可以提示“锁屏密码错误的次数已达最大值，您的终端设备已锁定”，此时，第三方将无法再输入锁屏密码。

需要说明的是，无论是终端设备在云服务器的指示下触发丢失模式，还是终端设备自行触发丢失模式，都只是删除第二密钥本身，并不是对终端设备数据即终端设备内部数据进行删除。图8是本申请实施例提供的删除第二密钥的示意图，如图8所示，在逐级保护形成的保护链中，一旦触发丢失模式，终端设备端就会删除第二密钥。

终端设备在对第二密钥进行删除时，与第二密钥在终端设备的存储相对应，分为以下几种情况。如果终端设备保存的是密钥本身，则终端设备直接删除第二密钥；如果终端设备保存的是生成第二密钥的相关参数，则终端设备直接删除派生密钥的参数，如果终端设备既保存了密钥又保存了派生密钥的参数，则终端设备将二者全部删除。

终端设备将第二密钥删除后，如果第三方想要解密终端设备内部数据，则第三方必须要重新获取到第二密钥。但第二密钥是基于云服务器和终端设备共同派生的，终端设备在删除第二密钥时，云服务器秘密参数和终端设备参数都已被删除。

其中，云服务器秘密参数只有终端设备用户本人通过登录云账号的方式可以获取，第三方因无法获取云参数导致无法恢复第二密钥。当第三方无法恢复第二密钥时，就无法解密第三密钥，从而导致第三方无法访问终端设备内部数据。即使第三方破解了锁屏密码，进入终端设备后，也因第二密钥被终端设备删除而无法正常访问终端设备内部数据。例如，在访问通讯录时，通讯录状态可能提示为空，但实际上终端设备内部数据并未被真正擦除，终端设备内部数据还在，只是第三方无法访问。

通过以上描述可知，终端设备删除第二密钥也就相当于斩断了第三方解读终端设备内部数据的过程链，一旦用户发现终端设备丢失后，用户可以在云服务器的指示下触发丢失模式，或终端设备自行触发丢失模式，触发丢失模式后，终端设备第一时间删除第二密钥，第三方便无法访问终端设备内部数据，从而第一时间保证了用户终端设备数据的安全，保证了用户终端设备内部数据不泄露。而当用户终端设备在解除丢失模式之后，例如，终端设备成功找回后，用户通过登录云账号，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，终端设备根据秘密参数和终端设备参数重新生成第二密钥，即，终端设备在解除丢失模式之后，终端设备根据第一盐值、第二盐值和第一密钥重新生成第二密钥，以及，终端设备使用第二密钥解密第三密钥，用户即可正常访问终端设备内部数据。

具体的，可以通过如下方式恢复第二密钥。图9是本申请实施例提供的恢复第二密钥的示意图，如图9所示，用户本人找回终端设备后，通过终端设备的终端参数可以直接重新生成第二盐值，用户通过登录云账号，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，云服务器重新生成第一盐值，并将第一盐值派发到终端设备。终端设备接收到第一盐值后，终端设备将第一盐值与第二盐值进行混合，生成总盐值，终端设备根据第一密钥和总盐值重新生成第二密钥，以及，使用第二密钥解密第三密钥。

可见，恢复第二密钥的过程相当于重新生成了一次第二密钥，所以，本申请实施例中的第二密钥是可恢复的密钥。终端设备对第二密钥的整个派生过程中，云服务器的参数下发到终端设备，由终端设备派生出完整密钥，而完整密钥并不上传到云服务器，进而确保了终端设备派生密钥的唯一性。

在对终端设备数据的逐级保护链中，第二密钥恢复后，根据终端设备内置程序使用第二密钥重新解密第三密钥，第三密钥解密终端设备数据，用户即可正常访问终端设备内部数据，从而确保了终端设备内数据的安全。

由以上描述可知，本申请实施例在终端设备的工作密钥与第三密钥之间插入一个可恢复的第二密钥，第二密钥有云的秘密参数参与，由云服务器的秘密参数和终端设备参数共同派生而成。当终端设备发生意外时，例如终端设备丢失或被偷盗时，用户可以在云服务器的指示下触发丢失模式，或终端设备自行触发丢失模式，如果触发丢失模式，终端设备第一时间直接删除第二密钥，以保护终端设备内部数据不被第三方访问。如果第三方想要访问终端设备内部数据，需要重新派生出一模一样的第二密钥，那么必须要获取到云服务器的秘密参数，但云服务器秘密参数只有终端设备用户本人可以通过登录云账号的方式获取，所以，第三方无法恢复第二密钥。当终端设备解除丢失模式后，用户通过登录云账号，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，云服务器根据秘密参数生成第一盐值并派发给终端设备。终端设备接收到第一盐值后，终端设备将第一盐值与第二盐值进行混合，生成总盐值，终端设备根据第一密钥和总盐值重新生成第二密钥，以及，使用第二密钥解密第三密钥。对第三密钥解密后，用户可以重新正常访问终端设备数据。本申请实施例通过在终端设备增加一个可恢复的第二密钥，既保证了终端设备丢失后终端设备数据无法恢复的问题，又保证了终端设备内部数据的安全。

上述本申请提供的实施例对本申请提供的数据保护方法进行了介绍。可以理解的是，终端设备为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，本申请能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

图10是本申请实施例提供的一种数据保护装置的结构示意图，在一个实施例中，终端设备可以通过图10所示的硬件装置实现相应的功能。如图10所示，该数据保护装置可以包括触控屏601、存储器602和处理器603。

在一个实施例中，触控屏601可以包括显示屏和触摸传感器，其中，显示屏用于显示图像，触摸传感器可以将检测到的触摸操作传递给应用处理器，以确定触摸事件类型，通过显示屏提供与触摸操作相关的视觉输出。处理器603可以包括一个或多个处理单元，例如：处理器603可以包括应用处理器，调制解调处理器，图形处理器，图像信号处理器，控制器，视频编解码器，数字信号处理器，基带处理器，和/或神经网络处理器等。其中，不同的处理单元可以是独立的器件，也可以集成在一个或多个处理器中。存储器602与处理器603耦合，用于存储各种软件程序和/或多组指令，存储器602可包括易失性存储器和/或非易失性存储器。

当存储器602中的软件程序和/或多组指令被处理器603执行时，使得终端设备实现如下方法步骤：获取云服务器生成的第一盐值；根据第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，第一密钥是根据终端设备的硬件确定的唯一密钥，第二密钥用于对终端设备的第三密钥加密，第三密钥用于对终端设备中的数据进行加密；触发丢失模式时，删除第二密钥。

这样，在工作密钥与数据密钥之间插入一个可恢复的第二密钥。第二密钥的生成需要两个执行主体，由云服务器和终端设备端共同参与派生而成。当终端设备丢失或被偷盗时，可以通过云服务器或终端设备自行检测判断丢失模式。如果触发丢失模式，终端设备端侧第一时间直接删除第二密钥，以保护终端设备内部数据不被第三方访问。当用户终端设备在解除丢失模式之后，，用户通过登录云账号，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，云服务器重新生成第一盐值，并将第一盐值派发到终端设备。终端设备接收到第一盐值后，终端设备将第一盐值与第二盐值进行混合，生成总盐值，终端设备根据第一密钥和总盐值重新生成第二密钥，以及，使用第二密钥解密第三密钥，从而用户可以重新正常访问终端设备数据。

在一种实现方式中，获取云服务器生成的第一盐值，包括：

终端设备接收云服务器发送的第一盐值，第一盐值是云服务器根据终端设备关联的云帐号生成的。

这样，第二密钥的派生有云服务器的参与，如果第三方想要访问终端设备内部数据，需要重新派生出一模一样的第二密钥，那么必须要获取到云服务器的秘密参数，但云服务器秘密参数只有终端设备用户通过登录云账号可以获取，所以，第三方无法恢复第二密钥。

在一种实现方式中，根据第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，包括：

将第一盐值与第二盐值进行混合，生成总盐值；

根据第一密钥和总盐值生成第二密钥。

这样，通过云服务器与终端设备端侧共同参与派生第二密钥，根密钥保护工作密钥，工作密钥保护第二密钥，第二密钥保护第三密钥，第三密钥保护终端设备数据，即上一层密钥逐级对下一级密钥加密保护，形成保护链。

在一种实现方式中，一种数据保护方法，还包括：

在解除丢失模式之后，根据第一盐值、第二盐值和第一密钥重新生成第二密钥，以及，使用第二密钥解密第三密钥。

这样，当用户终端设备在解除丢失模式之后，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，终端设备根据秘密参数和终端设备参数重新生成第二密钥。

在一种实现方式中，接收云服务器发出的第一指令，第一指令用于指示终端设备删除第二密钥，第一指令是云服务器服务器响应于其他设备的第二指令生成的，第二指令是其他设备响应于用户操作生成的。

这样，当用户在账户管理页面点击丢失模式按钮后，即可在终端设备删除第二密钥。

在一种实现方式中，其他设备上登陆的云账号与终端设备上登陆的云账号相同。

这样，用户通过自己的云账号可以对终端设备进行基本控制，如定位、播放铃声等。第一云账号是指用户通过其他设备如电脑或其他人终端设备登录时用的云账号，也就是说，用户在终端设备丢失时在其他设备要登录自己的云账号，否则无法对自己终端设备端进行删除第二密钥的操作。

在一种实现方式中，响应于第三指令删除所述第二密钥，所述第三指令是所述终端设备在自行触发丢失模式时生成的。

第三指令是指本地自行检测为丢失模式后，在本地终端删除第二密钥的操作。这样，当终端设备端断网无法从云服务器控制终端设备端时，可以在终端设备进行第二密钥的删除。

在一种实现方式中，触发丢失模式，包括：

获取用户在显示屏上的解锁输入，并且统计解锁输入的次数；

在检测到解锁输入的次数大于阈值时，触发丢失模式。

这样，可以通过检测输入的锁屏密码错误次数来判断终端设备是否为丢失模式。例如，在一定的时间间隔内，可以预先设定锁屏密码输入次数的阈值，如果超过阈值，则可以自动判定终端设备为丢失模式，终端设备端会在第一时间触发删除第二密钥的操作，以确保终端设备内数据的安全。

在一种实现方式中，还包括根密钥和工作密钥，工作密钥加密第二密钥，根密钥加密工作密钥。

这样，可以对终端设备的数据形成逐级保护链，当删除第二密钥后，第三方因无法获取云参数导致无法恢复第二密钥，当无法恢复第二密钥时就无法解密第三密钥，从而导致第三方无法访问终端设备内部数据。

图11是本申请实施例提供的另一种数据保护装置的结构示意图。在一个实施例中，终端设备可以通过图11所示的软件装置实现相应的功能。如图11所示，该数据保护装置可以包括：获取模块701、生成模块702和删除模块703。其中：

获取模块701，用于获取云服务器生成的第一盐值；

生成模块702，用于根据第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，第一密钥是根据终端设备的硬件确定的唯一密钥，第二密钥用于对终端设备的第三密钥加密，第三密钥用于对终端设备中的数据进行加密；

删除模块703，用于在触发丢失模式时，删除第二密钥。

这样，在工作密钥与数据密钥之间插入一个可恢复的第二密钥。第二密钥的生成需要两个执行主体，由云服务器和终端设备端共同参与派生而成。当终端设备丢失或被偷盗时，可以通过云服务器或终端设备自行检测判断丢失模式。如果触发丢失模式，终端设备端侧第一时间直接删除第二密钥，以保护终端设备内部数据不被第三方访问。当用户终端设备在解除丢失模式之后，，用户通过登录云账号，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，云服务器重新生成第一盐值，并将第一盐值派发到终端设备。终端设备接收到第一盐值后，终端设备将第一盐值与第二盐值进行混合，生成总盐值，终端设备根据第一密钥和总盐值重新生成第二密钥，以及，使用第二密钥解密第三密钥，从而用户可以重新正常访问终端设备数据。

在一种实现方式中，获取模块，具体用于接收云服务器发送的第一盐值，第一盐值是云服务器根据终端设备关联的云帐号生成的。

这样，第二密钥的派生有云服务器的参与，如果第三方想要访问终端设备内部数据，需要重新派生出一模一样的第二密钥，那么必须要获取到云服务器的秘密参数，但云服务器秘密参数只有终端设备用户通过登录云账号可以获取，所以，第三方无法恢复第二密钥。

在一种实现方式中，生成模块包括混合单元和生成单元：

混合单元，用于将第一盐值与第二盐值进行混合，生成总盐值；

生成单元，用于根据第一密钥和总盐值生成第二密钥。

这样，通过云服务器与终端设备端侧共同参与派生第二密钥，根密钥保护工作密钥，工作密钥保护第二密钥，第二密钥保护第三密钥，第三密钥保护终端设备数据，即上一层密钥逐级对下一级密钥加密保护，形成保护链。

在一种实现方式中，生成模块还用于，在解除丢失模式之后，根据第一盐值、第二盐值和第一密钥重新生成第二密钥，以及，使用第二密钥解密第三密钥。

这样，当用户终端设备在解除丢失模式之后，云服务器可以根据用户的云账号重新获取云服务器的秘密参数，终端设备根据秘密参数和终端设备参数重新生成第二密钥。

在一种实现方式中，该装置还包括：接收模块；

接收模块，用于接收云服务器发出的第一指令，第一指令用于指示终端设备删除第二密钥，第一指令是云服务器响应于其他设备的第二指令生成的，第二指令是其他设备响应于用户操作生成的。

这样，当用户在账户管理页面点击丢失模式按钮后，即可在终端设备删除第二密钥。

在一种实现方式中，其他设备上登陆的云账号与终端设备上登陆的云账号相同。

这样，用户通过自己的云账号可以对终端设备进行基本控制，如定位、播放铃声等。第一云账号是指用户通过其他设备如电脑或其他人终端设备登录时用的云账号，也就是说，用户在终端设备丢失时在其他设备要登录自己的云账号，否则无法对自己终端设备端进行删除第二密钥的操作。

在一种实现方式中，接收模块还用于，响应第三指令删除所述第二密钥，所述第三指令是所述终端设备在自行触发丢失模式时生成的。

第三指令是指本地自行检测为丢失模式后，在本地终端删除第二密钥的操作。这样，当终端设备端断网无法从云服务器控制终端设备端时，可以在终端设备进行第二密钥的删除。

在一种实现方式中，接收模块，具体用于获取用户在显示屏上的解锁输入，并且统计解锁输入的次数；在检测到解锁输入的次数大于阈值时，触发丢失模式。

这样，可以通过检测输入的锁屏密码错误次数来判断终端设备是否为丢失模式。例如，在一定的时间间隔内，可以预先设定锁屏密码输入次数的阈值，如果超过阈值，则可以自动判定终端设备为丢失模式，终端设备端会在第一时间触发删除第二密钥的操作，以确保终端设备内数据的安全。

在一种实现方式中，还包括根密钥加密模块和工作密钥加密模块；

工作密钥加密模块用于加密第二密钥，根密钥加密模块用于加密工作密钥。

这样，可以对终端设备的数据形成逐级保护链，当删除第二密钥后，第三方因无法获取云参数导致无法恢复第二密钥，当无法恢复第二密钥时就无法解密第三密钥，从而导致第三方无法访问终端设备内部数据。

本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述各方面的方法。

本申请实施例还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述各方面的方法。

本申请实施例还提供了一种芯片系统，图12是本申请实施例提供的芯片系统的结构示意图。该芯片系统包括处理器801，用于支持上述装置实现上述方面中所涉及的功能，例如，生成或处理上述方法中所涉及的信息。在一种可能的设计中，芯片系统还包括存储器802，用于保存隐私信息生成装置必要的计算机指令803和数据。该芯片系统，可以由芯片构成，也可以包含芯片和其他分立器件。

以上的具体实施方式，对本申请实施例的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上仅为本申请实施例的具体实施方式而已，并不用于限定本申请实施例的保护范围，凡在本申请实施例的技术方案的基础之上，所做的任何修改、等同替换、改进等，均应包括在本申请实施例的保护范围之内。

Claims (19)

1.一种数据保护方法，其特征在于，包括：

终端设备获取云服务器生成的第一盐值；

所述终端设备根据所述第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，所述第一密钥是根据所述终端设备的硬件确定的唯一密钥，所述第二密钥用于对所述终端设备的第三密钥加密，所述第三密钥用于对所述终端设备中的数据进行加密；

所述终端设备在触发丢失模式时，删除所述第二密钥。

2.根据权利要求1所述的数据保护方法，其特征在于，所述终端设备获取云服务器生成的第一盐值，包括：

所述终端设备接收所述云服务器发送的所述第一盐值，所述第一盐值是所述云服务器根据所述终端设备关联的云帐号生成的。

3.根据权利要求1所述的数据保护方法，其特征在于，所述终端设备根据所述第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，包括：

所述终端设备将所述第一盐值与所述第二盐值进行混合，生成总盐值；

所述终端设备根据所述第一密钥和所述总盐值生成第二密钥。

4.根据权利要求1所述的数据保护方法，其特征在于，还包括：

终端设备在解除所述丢失模式之后，根据所述第一盐值、所述第二盐值和所述第一密钥重新生成第二密钥，以及，使用所述第二密钥解密所述第三密钥。

5.根据权利要求1所述的数据保护方法，其特征在于，所述终端设备接收所述云服务器发出的第一指令，所述第一指令用于指示所述终端设备删除所述第二密钥，所述第一指令是所述云服务器响应于其他设备的第二指令生成的，所述第二指令是所述其他设备响应于用户操作生成的。

6.根据权利要求5所述的数据保护方法，其特征在于，所述其他设备上登陆的云账号与所述终端设备上登陆的云账号相同。

7.根据权利要求1所述的数据保护方法，其特征在于，所述终端设备在触发丢失模式时，删除所述第二密钥，包括：

所述终端设备响应于第三指令删除所述第二密钥，所述第三指令是所述终端设备在自行触发丢失模式时生成的。

8.根据权利要求7所述的数据保护方法，其特征在于，所述终端设备触发丢失模式，包括：

所述终端设备获取用户显示屏上的解锁输入，并且统计所述解锁输入的次数；

所述终端设备在检测到所述解锁输入的次数大于阈值时，触发丢失模式。

9.根据权利要求1所述的数据保护方法，其特征在于，所述终端设备还包括根密钥和工作密钥，所述工作密钥加密所述第二密钥，所述根密钥加密所述工作密钥。

10.一种数据保护装置，其特征在于，包括：

获取模块，用于获取云服务器生成的第一盐值；

生成模块，用于根据所述第一盐值、本地随机生成的第二盐值和终端设备的第一密钥生成第二密钥，所述第一密钥是根据所述终端设备的硬件确定的唯一密钥，所述第二密钥用于对所述终端设备的第三密钥加密，所述第三密钥用于对所述终端设备中的数据进行加密；

删除模块，用于在触发丢失模式时，删除所述第二密钥。

11.根据权利要求10所述的数据保护装置，其特征在于，

所述获取模块，具体用于接收所述云服务器发送的所述第一盐值，所述第一盐值是所述云服务器根据所述终端设备关联的云帐号生成的。

12.根据权利要求10所述的数据保护装置，其特征在于，所述生成模块包括混合单元和生成单元：

所述混合单元，用于将所述第一盐值与所述第二盐值进行混合，生成总盐值；

所述生成单元，用于根据所述第一密钥和所述总盐值生成第二密钥。

13.根据权利要求10所述的数据保护装置，其特征在于，

所述生成模块还用于，在解除所述丢失模式之后，根据所述第一盐值、所述第二盐值和所述第一密钥重新生成第二密钥，以及，使用所述第二密钥解密所述第三密钥。

14.根据权利要求10所述的数据保护装置，其特征在于，还包括：接收模块；

所述接收模块，用于响应第三指令删除所述第二密钥，所述第三指令是所述终端设备在自行触发丢失模式时生成的。

15.根据权利要求14所述的数据保护装置，其特征在于，所述其他设备上登陆的云账号与所述终端设备上登陆的云账号相同。

16.根据权利要求14所述的数据保护装置，其特征在于，所述接收模块还用于，响应于第三指令删除所述第二密钥，所述第三指令是所述终端设备在自行触发丢失模式时生成的。

17.根据权利要求16所述的数据保护装置，其特征在于，

所述接收模块，具体用于获取用户在显示屏上的解锁输入，并且统计所述解锁输入的次数；在检测到所述解锁输入的次数大于阈值时，触发丢失模式。

18.根据权利要求10所述的数据保护装置，其特征在于，还包括根密钥加密模块和工作密钥加密模块；

所述工作密钥加密模块用于加密所述第二密钥；

所述根密钥加密模块用于加密所述工作密钥。

19.一种终端设备，其特征在于，包括：处理器、存储器和显示屏；所述存储器存储有程序指令，当所述程序指令被所述处理器执行时，使得所述终端设备执行权利要求1-9任一项所述的方法。

Images