CN113609498A - 数据保护方法及电子设备 - Google Patents

Abstract

一种数据保护方法及电子设备，该方法包括：在电子设备本地的工作密钥已被删除的情况下，该电子设备从云端获取第一密文；该第一密文为使用信任环主密钥对该工作密钥加密得到的密文；该信任环主密钥为该电子设备所在的第一信任环提供的密钥；该第一信任环由该电子设备和一个或多个其他电子设备组成；该电子设备从可信设备获取该信任环主密钥，该可信设备为该第一信任环中任意一个其他电子设备；该电子设备利用该信任环主密钥对该第一密文进行解密，得到该工作密钥。本申请实施例提供的方法，电子设备能够在工作密钥被擦除的情况下，重新恢复工作密钥，进而恢复电子设备中的数据。

Description

数据保护方法及电子设备

技术领域

本申请涉及电子信息技术领域，尤其涉及数据保护方法及电子设备。

背景技术

随着科学技术的不断发展，手机、平板电脑以及笔记本电脑等电子设备在人们的日常生活中越来越普及。

对电子设备中的文件进行加密或解密的密钥称为数据密钥，电子设备中的多个文件对应多个数据密钥。对电子设备中所有的数据密钥进行加密或解密的密钥称为工作密钥，一个电子设备对应一个工作密钥。为了提高电子设备中的数据的安全性，可以在电子设备丢失的情况下将工作密钥擦除。但是，在电子设备中的工作密钥被擦除之后，数据无法恢复。

发明内容

本申请提供了一种优化的数据保护方法及电子设备。通过本申请的一些实施例，电子设备能够在工作密钥被擦除的情况下，重新恢复工作密钥。

第一方面，本申请实施例提供了一种数据保护方法，该方法包括：在电子设备本地的工作密钥已被删除的情况下，该电子设备从云端获取第一密文；该第一密文为使用信任环主密钥对该工作密钥加密得到的密文；该信任环主密钥为该电子设备所在的第一信任环提供的密钥；该第一信任环由该电子设备和一个或多个其他电子设备组成；该电子设备从可信设备获取该信任环主密钥，该可信设备为该第一信任环中任意一个其他电子设备；该电子设备利用该信任环主密钥对该第一密文进行解密，得到该工作密钥。

本申请实施例中，电子设备使用信任环主密钥对工作密钥进行加密，再将加密后的工作密钥托管到云端；在电子设备确定处于丢失状态时，电子设备擦除本地的工作密钥和信任环主密钥，从而保证电子设备数据的安全性；在找回电子设备后，电子设备可以从云端获取被加密的工作密钥，再通过可信设备重新获取信任环主密钥对工作密钥进行解密，进而达到恢复数据的目的。

结合第一方面，在一些实施例中，在该电子设备从云端获取第一密文之前，该方法还包括：在该电子设备确定输入的锁屏密码的连续错误次数大于或等于第一阈值的情况下，该电子设备删除该电子设备中的该工作密钥和该信任环主密钥。

该第一阈值可以根据实际情况进行调整，例如，该第一阈值可以为6次，10次等，本申请对此不作限定。

结合第一方面，在一些实施例中，在该电子设备从云端获取第一密文之前，该方法还包括：在该电子设备确定该电子设备处于未解锁状态的时长大于或等于第二阈值的情况下，该电子设备删除该电子设备中的该工作密钥和该信任环主密钥。

该第二阈值可以理解为时间阈值，可以根据实际情况进行调整，例如，该第一阈值可以为5小时等，本申请对此不作限定。

结合第一方面，在一些实施例中，在该电子设备从云端获取第一密文之前，该方法还包括：在该电子设备接收到该云端发送的第一指令的情况下，该电子设备删除该电子设备中的该工作密钥和该信任环主密钥；该第一指令指示该电子设备删除该电子设备中的该工作密钥和该信任环主密钥。

可理解地，该第一电子设备的机主可以在在丢失该第一电子设备之后的第一时间去云端或云服务器发送挂失信息。所以，电子设备可以获取到云端发送的该第一指令，该第一指令指示该电子设备删除该电子设备中的该工作密钥和该信任环主密钥，从而达到保护电子设备本地数据的目的。

结合第一方面，在一些实施例中，在该电子设备删除该电子设备中的该工作密钥和该信任环主密钥之前，该方法还包括：

该电子设备将该第一密文保存到该云端。

可理解地，工作密钥经过信任环密钥的加密后被托管到云端，由于云端没有信任环主密钥，云端无法解析加密的工作密钥，进而保证了电子设备中的数据的安全性。

结合第一方面，在一些实施例中，该第一密文为使用信任环主密钥对该工作密钥加密得到的密文，包括：

该第一密文为该电子设备使用设备硬件密钥和/或该电子设备的锁屏密码对该工作密钥加密得到第二密文，再使用该信任环主密钥对该第二密文进行加密得到的密文；该设备硬件密钥用于对该电子设备中的数据进行加密或解密；

该电子设备利用该信任环主密钥对该第一密文进行解密，得到该工作密钥，包括：

该电子设备利用该信任环主密钥对该第一密文进行解密得到该第二密文，再利用该设备硬件密钥和/或该电子设备的锁屏密码对该第二密文进行解密得到该工作密钥。

可以理解的是，电子设备使用设备硬件密钥和/或该电子设备的锁屏密码对工作密钥进行第一次加密后，再利用信任环主密钥对加密的工作密钥进行加密，使得只能在该电子设备本地才能解密得到工作密钥，进一步提高电子设备的数据的安全性。

结合第一方面，在一些实施例中，该电子设备从可信设备获取该信任环主密钥，包括：

该电子设备向该可信设备发送密钥获取请求，该密钥获取请求用于指示该可信设备在接收到确认操作的情况下向该电子设备发送该信任环主密钥；该确认操作为用户对该密钥获取请求的确认操作；

该电子设备接收该可信设备发送的该信任环主密钥。

具体地，电子设备可以通过多种方式从可信设备处获取信任环主密钥。示例性地，电子设备可以通过直接连接或者间接连接的方式与可信设备建立连接，从而获取信任环主密钥。

示例性地，对于直接连接方式，电子设备可以通过蓝牙连接或者wifi直连的方式与可信设备建立连接。

示例性地，对于间接连接方式。在电子设备登录云端获取加密的工作密钥之后，电子设备通过云端向可信设备发送请求，该请求用于指示可信设备在接收到用户对该请求的确认操作的情况下向电子设备发送信任环主密钥。在可信设备接收到用户对该请求的确认操作之后，可信设备从云端获取电子设备的设备身份公钥对信任环主密钥进行加密，然后将加密的信任环主密钥通过云端发送给电子设备。电子设备接收到加密的信任环主密钥之后，使用设备身份密钥私钥进行解密可得到信任环主密钥。

可理解地，电子设备向可信设备发送请求以获取信任环主密钥的具体实现方式不限于以上两种情况，本申请对此不作限制。

可以理解的是，只要可信设备未接收到用户对该请求的确认操作，可信设备将不会向电子设备发送信任环主密钥。由于可信设备与电子设备属于同一信任环，且属于同一用户，如果非机主采用上述来获取信任环主密钥，只要机主不对请求进行确认，电子设备将无法获取到信任环主密钥。所以，上述方法可以防止电子设备的非机主获取到信任环主密钥，从而提高电子设备中数据的安全性。

第二方面，本申请实施例提供了一种数据保护方法，该方法包括：在电子设备中的工作密钥已被信任环主密钥加密，且该信任环主密钥已被删除的情况下，该电子设备从可信设备获取该信任环主密钥；该信任环主密钥为该电子设备所在的第一信任环提供的密钥；该第一信任环由该电子设备和一个或多个其他电子设备组成；

该电子设备利用该信任环主密钥对已被该信任环主密钥加密的工作密钥进行解密，得到该工作密钥。

上述电子设备中的工作密钥已被信任环主密钥加密，可以理解为电子设备在平时的运作过程中，使用信任环主密钥对工作密钥进行加密和解密。示例性地，在电子设备锁屏后，电子设备使用信任环主密钥对工作密钥进行加密后保存到本地；在电子设备解锁后，电子设备使用信任环主密钥对加密的工作密钥解密，得到工作密钥，然后再访问本地的数据。

本申请实施例中，电子设备中的工作密钥已被信任环主密钥加密；在电子设备确定处于丢失状态时，电子设备擦除本地的信任环主密钥，从而保证电子设备数据的安全性；在找回电子设备后，通过可信设备重新获取信任环主密钥对工作密钥进行解密，进而达到恢复数据的目的。

结合第二方面，在一些实施例中，在该电子设备从可信设备获取该信任环主密钥之前，该方法还包括：在该电子设备确定输入的锁屏密码的连续错误次数大于或等于第一阈值的情况下，该电子设备删除该电子设备中的该信任环主密钥。

结合第一方面，在一些实施例中，在该电子设备从可信设备获取该信任环主密钥之前，该方法还包括：在该电子设备确定该电子设备处于未解锁状态的时长大于或等于第二阈值的情况下，该电子设备删除该电子设备中的该信任环主密钥。

结合第一方面，在一些实施例中，在该电子设备从可信设备获取该信任环主密钥之前，该方法还包括：在该电子设备接收到云端发送的第一指令的情况下，该电子设备删除该电子设备中的信任环主密钥；该第一指令用于指示该电子设备删除该电子设备中的该信任环主密钥。

结合第一方面，在一些实施例中，该电子设备从可信设备获取该信任环主密钥，包括：该电子设备向该可信设备发送密钥获取请求，该密钥获取请求用于指示该可信设备在接收到用户对该密钥获取请求的确认操作的情况下向该电子设备发送该信任环主密钥；该电子设备接收该可信设备发送的该信任环主密钥。

第三方面，本申请实施例提供一种电子设备，该电子设备包括：一个或多个处理器和存储器；该存储器与该一个或多个处理器耦合，该存储器用于存储计算机程序代码，该计算机程序代码包括计算机指令，该一个或多个处理器调用该计算机指令以使得该电子设备执行第一方面或第一方面的任意可能的实现方式中的方法；或者，该一个或多个处理器调用该计算机指令以使得该电子设备执行第二方面或第二方面的任意可能的实现方式中的方法。

第四方面，本申请实施例提供一种芯片系统，该芯片系统应用于电子设备，该芯片系统包括一个或多个处理器，该处理器用于调用计算机指令以使得该电子设备执行该第一方面或第一方面的任意可能的实现方式所示的方法；或者，该处理器用于调用计算机指令以使得该电子设备执行该第二方面或第二方面的任意可能的实现方式所示的方法。

第五方面，本申请实施例提供一种包含指令的计算机程序产品，当该计算机程序产品在电子设备上运行时，使得该电子设备执行该第一方面或第一方面的任意可能的实现方式所示的方法；或者，使得该电子设备执行该第二方面或第二方面的任意可能的实现方式所示的方法。

第六方面，本申请实施例提供一种计算机可读存储介质，包括指令，其特征在于，当该指令在第一电子设备上运行时，使得该电子设备执行该第一方面或第一方面的任意可能的实现方式所示的方法；或者，使得该电子设备执行该第二方面或第二方面的任意可能的实现方式所示的方法。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍。显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的一种数据密钥和工作密钥的应用方式示意图；

图2是本申请实施例提供的一种分级保护数据的示意图；

图3是本申请实施例提供的一种建立信任环的流程示意图；

图4是本申请实施例提供的一种数据同步方式的示意图；

图5是本申请实施例提供的又一种数据同步方式的示意图；

图6至图11是本申请实施例提供的一些用户界面的示意图；

图12是本申请实施例提供的一种电子设备的结构示意图；

图13是本申请实施例提供的一种电子设备的软件结构框图；

图14是本申请实施例提供的一种数据保护方法的流程示意图；

图15是本申请实施例提供的另一种数据保护方法的流程示意图；

图16是本申请实施例提供的又一种数据保护方法的流程示意图；

图17是本申请实施例提供的又一种数据保护方法的流程示意图。

具体实施方式

本申请以下实施例中所使用的术语只是为了描述特定实施例的目的，而并非旨在作为对本申请的限制。如在本申请的说明书和所附权利要求书中所使用的那样，单数表达形式“一个”、“一种”、“所述”、“上述”、“该”和“这一”旨在也包括复数表达形式，除非其上下文中明确地有相反指示。还应当理解，本申请中使用的术语“和/或”是指并包含一个或多个所列出项目的任何或所有可能组合。

为了更清楚地描述本申请的方案，下面先介绍一些与本申请实施例相关的知识。

1、密钥

使用加密算法将明文编码为密文的过程称为加密，相应地，使用解密算法将密文解码为明文的过程称为解密。密钥是一种参数，它是在明文转换为密文或者密文转换为明文的过程中必须输入的参数。

例如，将字符串的每个字符循环后移n位，那么可以将n理解为一个密钥，循环后移理解为加密算法。对同一个明文使用相同的加密算法和不同的密钥将得到不同的结果。例如，明文为Run，密钥n为1的情况下得到密文Svo；密钥n为2的情况下得到密文Twp。

根据加密和解密过程中使用的密钥的异同，可以将加密分为对称加密和非对称加密。对称加密指的是加密和解密使用相同的密钥，即对称密钥；非对称加密指的是加密和解密分别使用不同的密钥。非对称加密过程中，使用一个非对称加密算法可以同时得到两个密钥，即一个公开密钥和一个私有密钥，也称为公钥和私钥。向外界公开的密钥称为公钥，向外界保密的密钥称为私钥。如果使用公钥对明文进行加密，只有使用对应的私钥才能进行解密；如果使用私钥对明文进行加密，那么只有使用对应的公钥才能进行解密。一般情况下，公钥用来加密，私钥用来解密。

根据密钥的不同应用场景，可以将密钥分成多种类型。接下来介绍本申请实施例涉及到的几种密钥：

1.1、会话密钥(session key)

本申请实施例中，会话密钥是一个随机生成的密钥，用于两个或两个以上的电子设备之间的安全通信。从密钥的对称性来看，会话密钥是对称密钥，即电子设备使用同一个会话密钥对数据进行加密和解密。从密钥使用的重复性来看，会话密钥是一次性的密钥，即会话密钥在通信结束时无效，每次建立新的通信时都需要协商一个新的会话密钥。

两个或两个以上的电子设备从开始通信到结束通信的过程可以称为一个会话。以两个电子设备之间的会话为例。在会话开始时，两个电子设备首先协商一个会话密钥。具体地，电子设备可以使用CryptDeriveKey函数生成一个动态的会话密钥。然后，每个电子设备发送数据之前，使用会话密钥对数据进行加密。每个电子设备接收到数据之后，使用会话密钥对数据进行解密。两个电子设备结束通信时，该会话密钥失效。

由于每次会话中使用的会话密钥都是动态生成的随机密钥，并且只有通信双方知晓，所以使用会话密钥对通信数据进行加密和解密可以提高通信的安全性。

1.2、设备密钥(device key)

本申请实施例中，设备密钥可以理解为与每个电子设备的硬件绑定的密钥，即每个电子设备的设备密钥是唯一的。不同的设备密钥用于标识不同的电子设备，从而确保每个电子设备的唯一性。

具体地，电子设备可以随机地选择不同零部件的唯一编号，例如中央处理器(central processing unit，CPU)的序列号、媒体存取控制(media access control，MAC)地址等，以乱码的形式生成设备密钥，从而唯一地代表该电子设备。

根据设备密钥的应用场景的不同，衍生出设备硬件密钥(hardware unique key，HUK)和设备身份密钥(identity key)。

本申请实施例中，设备硬件密钥可以理解为用于加密或解密电子设备的本地数据的密钥，并不会传输给其他电子设备。容易理解，由于对本地数据进行加密和解密采用相同的密钥，设备硬件密钥是一种对称密钥。

本申请实施例中，设备身份密钥可以理解为用于电子设备与外界(其他电子设备)交互时对数据进行加密或解密的密钥。容易理解，由于交互时对数据进行加密和解密采用不同的密钥，设备身份密钥是一种非对称密钥，分为设备身份密钥公钥和设备身份密钥私钥。

1.3、数据密钥和工作密钥

为了在保证电子设备中数据的安全的前提下提高密钥管理的便利性，电子设备中设置有数据密钥和工作密钥。数据密钥和工作密钥在电子设备的本地生成，同时，只在电子设备的本地使用。

本申请实施例中，数据密钥可以理解为对电子设备中的文件进行加密或解密的密钥，是一种对称密钥。在同一个电子设备中，不同的文件被不同的数据密钥加密，即文件与数据密钥之间一一对应。由于电子设备中一般有多个文件，所以对应地，数据密钥也有多个。

本申请实施例中，工作密钥可以理解为对电子设备中所有数据密钥进行加密或解密的密钥，也是一种对称密钥。可理解地，同一个电子设备中，数据密钥有多个，而工作密钥只有一个。

请参阅图1，图1是本申请实施例提供的一种数据密钥和工作密钥的应用方式示意图。如图1所示，文件A、文件B和文件C是3个不同的文件，数据密钥A、数据密钥B和数据密钥C是3个不同的数据密钥。使用数据密钥A对文件A进行加密，得到加密后的文件A；相应地，使用数据密钥A对加密后的文件A进行解密，得到文件A。与文件A的加密和解密过程类似，文件B和文件C分别使用数据密钥B、数据密钥C进行加密和解密，得到对应的文件，这里不再赘述。

为了进一步提高数据的安全性，使用工作密钥对所有数据密钥，即数据密钥A、数据密钥B和数据密钥C，进行加密得到所有数据密钥的密文。相应地，使用工作密钥对所有数据密钥的密文进行解密就可以得到数据密钥A、数据密钥B和数据密钥C。使用工作密钥对所有数据密钥进行加密之后，想要解密文件就必须先使用工作密钥解密得到数据密钥。由于工作密钥只有一个，于是，只需要保护该工作密钥就可以达到保护数据的目的，密钥管理更加便利。

具体地，电子设备可以随机选择本地的不同标识生成工作密钥，例如CPU编号、设备硬件密钥、设备锁屏密码等。

以手机为例。手机使用加密算法对设备硬件密钥和设备锁屏密码进行加密，得到工作密钥的明文。在用户对手机进行锁屏时，手机会使用设备硬件密钥和设备锁屏密码对该工作密钥的明文进行加密，将该工作密钥的密文保存到本地。在用户使用正确的设备锁屏密码对手机进行解锁的情况下，手机才能够利用设备硬件密钥和设备锁屏密码解密得到工作密钥的明文。然后再利用工作密钥得到数据密钥，进而得到文件数据。

请参阅图2，图2是本申请实施例提供的一种分级保护数据的示意图。如图2所示，由于保存到本地的工作密钥被设备硬件密钥和设备锁屏密码加密，所以设备硬件密钥和设备锁屏密码可以保护工作密钥。由于手机中的所有数据密钥作为一个整体被工作密钥加密，所以工作密钥可以保护数据密钥。由于不同的文件被对应的数据密钥加密，所以数据密钥可以保护文件的数据。将设备硬件密钥和设备锁屏密码、工作密钥以及数据密钥分级，不仅可以保护数据，还可以方便密钥的管理。

1.4、信任环主密钥

应用软件(application)、网站(website)等平台常常需要用户使用账号和密码进行登录，以便于平台对用户的数据进行保管。例如，用户在笔记本电脑上使用微信账号和密码登录微信，然后添加联系人A；之后用户在手机上使用相同的微信账号和密码登录微信之后，微信的联系人列表中也包括该联系人A。

从上面的例子可以理解，同一个账号可以在不同的电子设备上进行登录。当同一个账号下的两个或两个以上电子设备之间相互信任，那么上述两个或两个以上电子设备构成一个信任环。例如，同一个用户的两个手机，或者同一个用户的手机、平板电脑、笔记本电脑都可以通过设备互信构成一个信任环。

本申请实施例中，一个电子设备的可信设备可以理解为该电子设备所在信任环内的其他电子设备。示例性地，电子设备A、电子设备B和电子设备C共同构成一个信任环，对于电子设备A来说，电子设备B或电子设备C可以理解为电子设备A的可信设备；对于电子设备B来说，电子设备A或电子设备C可以理解为电子设备B的可信设备。

信任环内的电子设备之间的信任关系的建立有两个方面：一方面是电子设备使用相同的账号和密码登录同一个平台；另一方面是电子设备之间有信任环主密钥，且该平台无法获取到该信任环主密钥。

同账号设备注册，即在设备上登录账号，并通过双因子认证。云端记录同账号下得设备密钥公钥。

同账号下得设备互信，即账号下新注册的设备向旧设备申请互信，账号下的旧设备在得到用户确认后，与新设备协商回话密钥，加密传输信任环主密钥到新设备。

具体地，以手机和云端为例对信任环进行说明，云端可以理解为个手机厂商为用户提供云服务的服务器，用户可通过云端同步手机本地照片、视频等文件。请参阅图3，图3是本申请实施例提供的一种建立信任环的流程示意图。

301：同账号登录。

手机A和手机B使用相同的账号和密码登录云端(如该手机对应的云服务器)，该账号可以是电话号码、邮箱以及微信号等，本申请对此不作限制。

手机A和手机B使用相同的账号和密码登录云端之后，云端对手机A和手机B进行身份认证。示例性地，云端通过短信验证码或人脸识别的方式进行认证，以便于云端确认登录该账号的用户为该账号的持有人。

在身份认证通过之后，云端可以获取手机A的身份密钥公钥和手机B的身份密钥公钥。由于设备身份密钥用于标识电子设备，云端获取到设备身份密钥公钥则表示该账号下注册了该电子设备。例如，手机A登录云端之后，可以知道该账号下有手机A和手机B两个电子设备；同理，手机B登录云端之后，也可以知道该账号下有手机A和手机B两个电子设备。

手机A和手机B除了需要使用相同的账号密码登录云端，还需要信任环密钥来建立设备之间的信任关系，如302：互信设备密钥共享。

以手机A比先于手机B登录云端为例，手机B使用与手机A相同的账号和密码登录云端之后，向手机A申请互相信任(互信)。也就是说，手机B需要从手机A处获得信任环主密钥，使两个设备成为互信设备，构成信任环。

示例性的，手机A和手机B可以通过直接连接(direct connection)的方式传输信任环主密钥。具体地，直接连接可以是蓝牙(blue tooth，BT)连接或者wifi直连(wifipeer-to-peer，wifi-P2P)等，本申请对此不作限制。

示例性地，手机A与手机B之间建立蓝牙连接，手机B通过蓝牙连接向手机A发起互信请求。在手机A的用户同意该互信请求之后，手机A和手机B协商会话密钥。然后，手机A利用会话密钥对信任环主密钥进行加密，再将该加密后的信任环主密钥通过蓝牙连接传输给手机B。手机B接收到该加密后的信任环主密钥之后，利用该会话密钥对其进行解密，从而得到信任环主密钥。

示例性地，手机A和手机B也可以通过云端来传输信任环主密钥。具体地，手机B通过云端向手机A发起互信请求。在手机A同意该互信请求之后，手机A从云端获取手机B的身份密钥公钥。然后，手机A利用手机B的身份密钥公钥对信任环主密钥进行加密，再通过云端将该加密后的信任环主密钥传输给手机B。手机B接收到加密后的信任环主密钥之后，利用手机B身份密钥私钥对其进行解密，从而得到信任环主密钥。

可理解地，信任环主密钥仅仅在电子设备一侧进行传输，是电子设备一侧建立信任环的关键，而云端无法获取到该信任环主密钥。同一个信任环内，每个电子设备中的信任环主密钥可以相同，也可以不相同。

2、云同步

本申请实施例中，云同步可以理解为云端的数据和终端设备的数据保持一致，云同步也可以称为数据同步。根据数据的种类的不同，可以将数据分成非敏感数据(即普通数据)和敏感数据。例如，本地照片、通信录以及备忘录等可以理解为普通数据；本地家居数据、密码以及付款信息等可以理解为敏感数据。

请参阅图4，图4是本申请实施例提供的一种数据同步方式的示意图。如图4所示，对敏感数据和普通数据可以采取不同的数据同步方式：

(1)通过同账号设备数据同步的方式同步普通数据。

电子设备登录账号之后，即可将数据同步到云端。电子设备从云端获取数据时，先使用账号和密码进行登录。如果电子设备登录成功，则表示该电子设备在云端的身份认证成功，电子设备就可以从云端获取到数据。

从上面的描述可以理解，同账号设备数据同步的方式基于账号对数据进行加密。也就是说，只要用户的账号和密码正确，使用任意的电子设备都可以访问数据。因此，一旦账号和密码被泄露，云端的数据也会被泄露。所以，同账号设备数据同步的方式用于同步普通数据。

(2)通过信任环内设备数据同步的方式同步敏感数据。

电子设备登录账号，使用信任环主密钥对数据进行加密之后再将数据同步到云端。于是，电子设备从云端获取数据时需要分情况讨论。接下来以信任环内的手机A和手机B，信任环外的手机C为例说明该方式。请参阅图5，图5是本申请实施例提供的又一种数据同步方式的示意图。

501：手机A使用本机中的信任环主密钥Y对数据进行加密，然后将该加密后的数据上传到云端。502：手机A从云端获取该加密后的数据。之后，在本机上使用信任环主密钥Y对其进行解密即可得到数据。

503：信任环内的手机B使用与手机A相同的账号和密码登录云端。然后，手机B从云端获取手机A用信任环主密钥Y加密的数据。如果手机B已经与手机A建立信任关系，那么手机B使用本机的信任环主密钥Y对该加密的数据进行解密，即可得到数据。

如果手机B未与手机A建立互信关系，那么手机B根据云端的同账号记录向手机A发起互信请求。于是，手机A执行504：手机A向手机B发送信任环主密钥Y。手机B使用该密钥对该加密的数据进行解密，即可得到数据。

505：手机C使用与手机A相同的账号和密码登录云端。然后，手机C从云端获取手机A用信任环主密钥Y加密的数据。相应地，手机C也需要获取到信任环主密钥Y对该加密的数据进行解密。于是，手机C根据云端的同账号记录向手机A发起互信请求。由于手机C是信任环外的电子设备，手机A拒绝该请求。那么，手机C无法获取信任环主密钥Y对数据解密，因而无法获得真正的数据。

从上面的描述可以理解，信任环内的电子设备可以利用信任环主密钥对数据进行解密从而获得数据；但是，信任环外的电子设备无法获取信任环主密钥，从而无法解密数据。因此，就算云端的账号和密码被泄露，云端的数据也不会被泄露。另外，根据前文对信任环主密钥的描述可以理解，云端虽然接收到手机A上传的数据，但是云端没有手机端的信任环主密钥，所以云端不能对数据进行解密，即云端无法窃取数据。所以，信任环内设备数据同步的方式用于同步敏感数据。

请参阅表1，表1是对上述同账号设备数据同步和信任环内设备数据同步的总结。

表1

3、托管(trusteeship)

托管指受托人接受委托人的委托，按照预先规定的合同对托管对象进行经营管理的行为。本申请实施例中，托管可以理解为电子设备将托管对象发送给其他电子设备(一个或多个电子设备)进行保存，但是其他电子设备无法使用该托管对象。

示例性地，手机将本地数据进行加密再传输到云端，即将本地数据托管到云端。由于数据在手机本地进行加密，所以云端无法对数据进行解密，即云端无法使用该数据。之后，手机可以从云端重新获取该加密的数据。

结合前文的描述可以理解，电子设备中数据的安全问题是一个重要问题。为方便理解，将电子设备的主人称为该电子设备的机主，将除该电子设备之外的其他用户称为该电子设备的非机主。

为了提高电子设备中的数据的安全性，机主一般会给电子设备设置设备锁屏密码。在电子设备丢失时，非机主无法直接获得设备锁屏密码，设备锁屏密码可以保护电子设备中的数据。另外，机主可以通过云端向电子设备发送指令以远程擦除电子设备中的工作密钥来保护数据。

需要说明的是，擦除电子设备中的工作密钥之后，电子设备无法对文件数据进行解密，所以擦除电子设备中的工作密钥可以理解为电子设备中的数据被擦除。

实际情况中，远程擦除电子设备中的工作密钥依赖于网络，所以擦除工作密钥的指令不一定被执行，无法保证手机中数据的安全性。以手机为例，手机丢失后处于关机状态，那么将无法通过云端向手机发送远程擦除工作密钥的相关指令。另外，设备锁屏密码可能被暴力破解而导致数据泄露。

在一些实施例中，可以在设备锁屏密码输入错误的次数达到阈值(例如10次)的情况下，电子设备自动擦除工作密钥。通过上述方法，即使电子设备的设备锁屏密码被暴力破解也不会造成数据泄露。但是，电子设备的工作密钥被擦除之后无法恢复数据。例如，在手机丢失的场景中，机主丢失手机之后，手机自动擦除本地的工作密钥以防止数据泄露；但是在机主找回手机之后，无法恢复手机中的数据。

针对上述问题，本申请实施例提供了一种数据保护方法。电子设备使用信任环主密钥对工作密钥进行加密，再将加密后的工作密钥托管到云端；在电子设备确定处于丢失状态时，电子设备擦除本地的工作密钥和信任环主密钥，从而保证电子设备数据的安全性；在找回电子设备后，电子设备可以从云端获取被加密的工作密钥，再通过可信设备重新获取信任环主密钥对工作密钥进行解密，进而达到恢复数据的目的。

在一些实施例中，电子设备中的数据加密采用分层多级密钥管理方案，其工作密钥(可以理解为中间级密钥)由云端托管。在电子设备丢失时，通过远程擦除或者超时自动擦除工作密钥达到保护数据的目的。之后找到电子设备时，通过云端(如该电子设备对应的云服务器)的多因子身份认证后，在云端协助下恢复工作密钥，从而达到恢复数据。

根据前文的描述，可以将本申请实施例提供的数据保护方法分成托管密钥，开启数据保护和恢复数据三个过程。可理解地，电子设备本地包括工作密钥和信任环主密钥。上述托管密钥过程包括：电子设备使用信任环主密钥对工作密钥进行加密，然后将加密的工作密钥托管到云端。下面示例性地介绍开启数据保护和恢复数据相关的用户界面示意图。

首先，介绍开启数据保护所涉及的用户界面。

请参阅图6，图6是本申请实施例提供的一种用户界面的示意图。如图6中的(A)所示，电子设备显示解锁界面61。解锁界面61可以包括状态栏611、密码输入栏612、虚拟键盘613以及指纹解锁614。其中：

状态栏611中可以包括运营商的名称(例如中国移动)、时间、wifi图标、信号强度和当前剩余电量。

密码输入栏612可以包括提示信息(例如“输入密码”)，用于提示用户连续输入的密码的个数。

虚拟键盘613可以包括数字按钮(例如从数字0到数字9)、紧急呼叫按钮以及返回按钮。任一个按钮可用于响应用户的操作。例如，响应于作用在任一个数字按钮上的触摸操作，电子设备确定用户输入的数字，同时，密码输入栏612显示用户连续输入的数字的个数。

指纹解锁614可以包括指纹解锁图标，指纹解锁图标用于响应用户操作。例如，响应于用户手指的长按操作，电子设备获取用户的指纹。在获取到的用户指纹与本地存储的指纹相同的情况下，电子设备解锁；在获取到的用户指纹与本地存储的指纹不相同的情况下，电子设备输出提示信息，以便于提示用户重新输入指纹。

如图6中的(A)所示，响应于作用在虚拟键盘613中数字按钮的用户操作，例如触摸操作，电子设备获取用户输入的数字。在用户连续输入6个数字之后，电子设备将用户输入的数字作为一个密码，与本地存储的密码进行对比。在两者对比一致的情况下，电子设备解锁；在两者对比不一致的情况下，电子设备输出提示信息，以便于提示用户重新输入密码。

进一步地，响应于作用在虚拟键盘613中数字按钮上的用户操作，例如触摸操作，电子设备对用户输入的密码进行识别，在用户连续输入锁屏密码错误次数达到6次的情况下，电子设备显示用户界面62，如图6中(B)所示。

在一些实施例中，响应于作用在指纹解锁614上的用户操作，例如长按操作，电子设备对用户输入的指纹密码进行识别，在用户连续输入指纹密码错误次数达到阈值(例如6次)的情况下，电子设备显示用户界面62。

可理解地，本申请实施例中，电子设备不限于通过用户输入密码(数字密码或指纹密码等)的错误次数来开启数据保护，电子设备还可以通过其他方式开启数据保护，本申请实施例对此不作限定。例如，电子设备可以设定在白天(例如早上8点到晚上10点)达到时间阈值(例如5个小时)不解锁即擦除数据；或者，用户通过云端向电子设备发送指令擦除电子设备中的信任环主密钥，从而开启数据保护。

用户界面62可以包括密码输入栏622。密码输入栏622可提示：“密码输入错误次数达到6次，数据已被擦除”。“数据被擦除”可以理解为电子设备本地的工作密钥和信任环主密钥被擦除。

电子设备擦除工作密钥和信任环主密钥之后，无法对本机数据进行解密。故上述过程可以理解为开启数据保护。

在机主找回电子设备，正常解锁之后，需要重新获取工作密钥和信任环主密钥对本地的数据解密，从而正常访问数据。上述过程可以理解为恢复数据，接下来介绍恢复数据所涉及的用户界面。

当电子设备本地的工作密钥和信任环主密钥被擦除，无法对文件进行解密而正常访问数据的情况下，被正常解锁的电子设备将提示用户登录云端以恢复数据。

具体地，请参阅图7，图7是本申请实施例提供的一种用户界面的示意图。电子设备显示用户界面71。如图7中的(A)所示，用户界面71可以包括日历小工具(widget)711、天气小工具712、提示框713、应用程序图标714以及导航栏715。其中：

日历小工具711可用于指示当前时间，例如日期、星期几、时分信息等。

天气小工具712可用于指示天气类型，例如多云转晴、小雨等，还可以用于指示气温等信息，还可以用于指示地点。

提示框713可以包括提示信息，该提示信息可以包括该电子设备获取信任环主密钥需要登录的账号。示例性地，可以提示：本机数据已被删除，请登录“134******94”，在“设备”中进行数据恢复。提示框713包括登录按钮7131，登录按钮7131可用于响应用户操作。

应用程序图标714可以包含例如拨号(dial)的图标、短信(short message)的图标、图库(gallery)的图标和相机(camera)的图标等，还可以包含其他应用的图标，本申请实施例对此不作限定。任一个应用的图标可用于响应用户的操作，例如触摸操作，使得电子设备启动图标对应的应用。

导航栏715可以包括：返回按键7151、主界面(home screen)按键7152、呼出任务历史按键7153等系统导航键。其中，主屏幕界面71为电子设备在任何一个用户界面检测到作用于主界面按键7152的用户操作后显示的界面，可理解地，该界面可以不包括提示框715。当检测到用户点击返回按键7151时，电子设备可显示当前用户界面的上一个用户界面。当检测到用户点击呼出任务历史按键7153时，电子设备可显示用户最近打开过的任务。各导航键的命名还可以为其他形式。例如，7151可以叫Back Button，7152可以叫Home button，7153可以叫Menu Button，本申请对此不做限制。导航栏716中的各导航键不限于虚拟按键，也可以实现为物理按键。

如图7中的(A)和(B)所示，响应于作用在登录按钮7131上的用户操作，例如触摸操作，电子设备显示云端登录界面72。云端登录界面72还可以包括返回控件721、扫码登录控件722、第一登录栏723以及第二登录栏724。其中：

返回控件721，可以用于返回用户界面72的上一级界面。例如，响应于作用在返回控件721的用户操作，例如触摸操作，电子设备显示用户界面71。

扫码登录控件722，可以用于输出该云端对应的二维码，以便于用户扫描该二维码登录该账号。

第一登录栏723，可以用于接收用户输入的账号密码，使用户登录云端账号。具体地，第一登录栏723可以包括账号图像栏7231、提示栏7232、账号输入栏7233、密码输入栏7234、短信验证码登录控件7235、忘记密码控件7236以及登录控件7237和注册账号控件7238。其中：

账号图像栏7231，可以用于显示该云端账号的头像。

提示栏7232，可以用于提示该第一登录栏723的登录平台，例如，提示“云端账号”。

账号输入栏7233，可以用于电子设备获取用户输入的账号。具体地，账号输入栏7233包括提示信息，例如提示“账号”。响应于作用在账号输入栏7233的用户操作(例如触摸操作)，电子设备可显示虚拟键盘。响应于用户对虚拟键盘的用户操作，电子设备获取用户输入的账号，并显示到账号输入栏7233上。

可选地，账号输入栏7233可以包括历史账号控件723A，用于显示用户在电子设备上登录过的历史账号。电子设备对用户输入的账号作加密显示处理。例如，在账号输入栏7233显示账号为“134******94”。

密码输入栏7234，可以用于电子设备获取用户输入的密码。具体地，密码输入栏7234包括提示信息，例如提示“密码”。响应于作用在密码输入栏7234的用户操作(例如触摸操作)，电子设备可显示虚拟键盘。响应于用户对虚拟键盘的用户操作，电子设备获取用户输入的密码，并显示到密码输入栏7233上。

可选地，密码输入栏7234可以包括隐藏控件723B，用于显示或隐藏用户输入的密码。例如，在隐藏密码为“***********”的情况下，响应于用户对隐藏控件723B的用户操作(如触摸操作)，电子设备显示密码为“11111111111”。

短信验证码登录控件7235，可以用于用户使用短信和短信验证码的方式登录该云端账号。

忘记密码控件7236，可以用于用户在忘记密码的情况下找回密码。

登录控件7237，可以用于用户使用当前界面中输入的账号和密码登录云端。

注册账号控件7238，可以用于用户注册云端的账号。

第二登录栏724，可以用于用户通过其他方式登录云端。具体地，第二登录栏724可以包括提示信息，如提示“其他方式登录”。第二登录栏724还可以包括应用程序图标，例如微信(wechat)的图标、QQ(tencent QQ)的图标以及微博(sina weibo)的图标等。可理解地，第二登录栏724还可以包含其他应用的图标，本申请实施例对此不作限定。任一个应用的图标可用于响应用户的操作，例如触摸操作，使得电子设备启动图标对应的应用的登录界面，使得用户通过该应用的账号登录云端。

如图7中的(B)和(C)所示，响应于作用在登录控件7237上的用户操作(例如触摸操作)，电子设备显示用户界面73。用户界面73还可以包括返回控件731、设置控件732、提示控件733、云端头像控件734、账号提示控件735、设备控件736、功能控件737以及账号退出控件738。其中：

返回控件731，可以用于返回用户界面73的上一级界面。例如，响应于作用在返回控件731的用户操作(例如触摸操作)，电子设备可显示用户界面71。

设置控件732，可以用于设置云端账号关联的国家或地区等。

提示控件733，可以用于向用户提示数据恢复流程。具体地，请参阅图8，图8是本申请实施例提供的一种用户界面的示意图。响应于作用在提示控件733上的用户操作(例如触摸操作)，电子设备显示用户界面80，用户界面80可包括提示栏801。示例性地，提示栏801可提示“请按照以下步骤进行数据恢复：1、点击“设备”进入“我的设备”，2、点击“其他设备”中选择任一个设备，3、点击“数据恢复”，之后根据提示即可完成数据恢复”。

提示栏801可以包括退出控件8011，用于关闭提示栏801。例如，响应于作用在退出控件8011的触摸操作，电子设备显示用户界面73。

云端头像控件734，可以用于显示、修改该账号的头像。例如，响应于作用在云端头像控件734的触摸操作，电子设备显示修改修改头像的用户界面，以便于用户选择图片修改头像。

账号提示控件735，可以用于提示登录的账号。例如，可提示“云端账号：134******94”。

设备控件736，可以用于响应于用户的操作，显示该账号对应的信任环内的可信设备。设备控件736可提示该账号对应的信任环内的可信设备的个数，例如，可提示“3”，以表示该账号对应的信任环内有3个可信设备。

功能控件737，可以用于响应于用户操作，电子设备显示相应的界面。示例性地，功能控件737包括个人信息控件737A，响应于作用在个人信息控件737A的用户操作，电子设备显示个人信息界面。该个人信息界面可包括查看或修改昵称、账号名、手机号以及实名认证等信息的入口等，本申请不作限制。

功能控件737可以包括账号安全控件737B，响应于作用在账号安全控件737B的用户操作，电子设备显示账号安全界面。该账号安全界面可包括设置紧急联系人以及进行实名认证的入口；该账号安全界面还可显示该账号的安全等级等，本申请不作限制。

功能控件737可以包括云空间控件737C，响应于作用在云空间控件737C的用户操作，电子设备显示云空间界面。该云空间界面可显示云空间的总存储空间以及剩余存储空间、云空间同步的数据等，本申请不作限制。特别地，该云空间可以理解为云端。

功能控件737可以包括帮助与客服控件737D，响应于作用在帮助与客服控件737D的用户操作，电子设备显示帮助与客服界面。该帮助与客服界面可显示问题分类以及热门问题以及搜索框等，本申请不作限制。

退出控件738，可以用于退出当前登录的账号。

根据用户界面71中提示框713和用户界面80中提示栏801的提示作用，用户将按照提示内容进行数据恢复。请参阅图9，图9是本申请实施例提供的一种用户界面的示意图。如图7中的(c)所示，响应于作用在设备控件736的用户操作，例如触摸操作，电子设备显示用户界面91。用户界面91还可以包括返回控件911、当前设备栏912以及其他设备栏913。其中：

返回控件911，可以用于返回用户界面91的上一级界面。例如，响应于作用在返回控件911的用户操作(例如触摸操作)，电子设备可以显示用户界面73。特别地，返回控件911可提示“设备”。

当前设备栏912，可以用于显示登录该账号的当前设备，该账号对应的信任环包括该当前设备。当前设备栏912可以包括对当前设备的提示信息，示例性地，可提示“电子设备当前设备，受信任设备”。

当前设备栏912可以包括当前设备控件912A，响应于作用在当前设备控件912A的用户操作，电子设备可以显示当前设备的详细信息，例如设备型号、设备身份号(identity，ID)以及登录时间等信息，本申请对此不作限制。

其他设备栏913，可以用于显示该账号对应的信任环包括的其他设备。示例性地，该账号对应的信任环包括两个其他设备，即手机B和平板C。其他设备栏913可包括对其他设备的提示信息，示例性地，可提示“手机B受信任设备平板C受信任设备”。可理解地，其他设备栏913还可提示其他设备的其他信息，例如设备个数等，本申请对此不作限制。

其他设备栏913可以包括其他设备控件913A，响应于作用在其他设备控件913A的用户操作，电子设备可显示手机B的详细信息。其他设备栏913可以包括其他设备控件913B，响应于作用在其他设备控件913B的用户操作，电子设备可显示平板C的详细信息。

如图9中的(A)和(B)所示，响应于作用在其他设备控件913A的用户操作，电子设备显示用户界面92。用户界面92还可以包括返回控件921、设备图像控件922、提示控件923、数据恢复控件924以及信息栏925。其中：

返回控件921，可以用于返回用户界面92的上一级界面。例如，响应于作用在返回控件921的用户操作(例如触摸操作)，电子设备可显示用户界面91。特别地，返回控件911可提示“设备信息”。

设备图像控件922，可以用于显示手机B的图像信息。

提示控件923可提示“受信任设备：手机B”。

数据恢复控件924，可以用于当前设备向手机B获取信任环主密钥。

信息栏925，可以用于显示手机B信息，例如设备型号、设备ID以及登录时间等信息。示例性地，可显示“设备型号MRX-***、设备ID ELJR111111******、登录时间2021年3月20日上午10:51”。

响应于作用在数据恢复控件924上的用户操作，例如触摸操作，电子设备从云端获取加密的工作密钥，同时，从手机B获取信任环主密钥。

接下来介绍电子设备(当前设备)向手机B获取信任环主密钥的过程。请参阅图10，图10是本申请实施例提供的一种用户界面的示意图。

如图9中的(B)和图10所示，响应于作用在数据恢复控件924(请参阅图9中的(B))上的用户操作，例如触摸操作，电子设备从手机B获取信任环主密钥。

具体地，电子设备与手机B建立通信连接。然后，电子设备向手机B发送请求，该请求用于电子设备获取当前账号(电子设备登录云端所使用的账号)对应的信任环的信任环主密钥。相应地，手机B显示用户界面100(请参阅图10)，在手机B确认该请求的情况下，手机B向电子设备发送信任环主密钥。

用户界面100可以包括状态栏1001、日历小工具1002、提示框1003。其中：

状态栏1001中可以包括移动网络类别(例如5G)、时间、wifi图标、信号强度和当前剩余电量。

日历小工具1002可以用于指示当前时间，例如日期、星期几、时分信息等。

提示框1003可以包括提示信息，该提示信息可包括请求获取信任环主密钥的电子设备的信息、信任环对应的账号的信息等，本申请不作限制。示例性地，可以提示：“电子设备请求恢复数据，账号为134******94，如果是本人操作点击确认，如果非本人操作请点击拒绝”。

提示框1003可以包括确认按钮1003A和拒绝按钮1003B。确认按钮1003A和拒绝按钮1003B可用于响应用户操作。示例性地，响应于作用在确认按钮1003A上的触摸操作，手机B向电子设备发送信任环主密钥。响应于作用在拒绝按钮1003B上的触摸操作，手机B向电子设备发送反馈信息，该反馈信息用于指示电子设备向手机B请求信任环主密钥失败。

响应于作用在确认按钮1003A上的用户操作，例如触摸操作，手机B向电子设备发送账号“134******94”对应的信任环的信任环主密钥。

电子设备接收到信任环主密钥之后，使用信任环主密钥对加密的工作密钥(该工作密钥从云端获取)进行解密，得到工作密钥(可以理解为工作密钥的明文)；然后，使用工作密钥对本地加密的数据密钥(被工作密钥加密)进行解密，得到数据密钥(可以理解为数据密钥的明文)，最后使用数据密钥对文件进行解密，即可得到本地数据，达到恢复数据的目的。

具体地，请参阅图11，图11是本申请实施例提供的一种用户界面的示意图。电子设备获取到信任环主密钥之后，电子设备显示用户界面110。

用户界面110可以包括提示框1101，可提示“数据恢复成功，即将重启设备”。

可理解地，电子设备也可当前账号下的其他可信设备获取信任环主密钥，本申请对此不作限制。例如平板C(请参阅图9中的(A))，电子设备向平板C获取信任环主密钥的过程与向手机B获取信任环主密钥的过程类似，这里不再赘述。

上述实施例中，托管密钥流程包括：电子设备电子设备使用信任环主密钥对工作密钥进行加密，然后将加密的工作密钥托管到云端。

在一些实施例中，托管密钥流程包括：电子设备使用本地的设备硬件密钥和/或设备锁屏密码对工作密钥进行第一次加密，使用信任环主密钥对加密之后的工作密钥进行第二次加密。之后，将被加密的工作密钥托管到云端。

数据恢复过程中，电子设备使用信任环主密钥对工作密钥进行第一次解密，再使用本地的设备硬件密钥和设备锁屏密码对该解密的工作密钥进行第二次解密，得到工作密钥的明文，进而对本地文件解密，达到恢复数据的目的。

以上介绍了本申请实施例涉及到的用户界面图，接下来介绍本申请实施例涉及的电子设备。

请参阅图12，图12是本申请实施例提供的一种电子设备的结构示意图。

电子设备100可以包括处理器110，外部存储器接口120，内部存储器121，通用串行总线(universal serial bus，USB)接口130，充电管理模块140，电源管理模块141，电池142，天线1，天线2，移动通信模块150，无线通信模块160，音频模块170，扬声器170A，受话器170B，麦克风170C，耳机接口170D，传感器模块180，按键190，马达191，指示器192，摄像头193，显示屏194，以及用户标识模块(subscriber identification module，SIM)卡接口195等。其中传感器模块180可以包括压力传感器180A，陀螺仪传感器180B，气压传感器180C，磁传感器180D，加速度传感器180E，距离传感器180F，接近光传感器180G，指纹传感器180H，温度传感器180J，触摸传感器180K，环境光传感器180L，骨传导传感器180M等。

可理解地，本申请实施例示意的结构并不构成对电子设备100的具体限定。在本申请另一些实施例中，电子设备100可以包括比图示更多或更少的部件，或者组合某些部件，或者拆分某些部件，或者不同的部件布置。图示的部件可以以硬件，软件或软件和硬件的组合实现。

处理器110可以包括一个或多个处理单元，例如：处理器110可以包括应用处理器(application processor，AP)，调制解调处理器，图形处理器(graphics processingunit，GPU)，图像信号处理器(image signal processor，ISP)，控制器，存储器，视频编解码器，数字信号处理器(digital signal processor，DSP)，基带处理器，和/或神经网络处理器(neural-network processing unit，NPU)等。其中，不同的处理单元可以是独立的器件，也可以集成在一个或多个处理器中。

其中，控制器可以是电子设备100的神经中枢和指挥中心。控制器可以根据指令操作码和时序信号，产生操作控制信号，完成取指令和执行指令的控制。

处理器110中还可以设置存储器，用于存储指令和数据。在一些实施例中，处理器110中的存储器为高速缓冲存储器。该存储器可以保存处理器110刚用过或循环使用的指令或数据。如果处理器110需要再次使用该指令或数据，可从所述存储器中直接调用。避免了重复存取，减少了处理器110的等待时间，因而提高了系统的效率。

在一些实施例中，处理器110可以包括一个或多个接口。接口可以包括集成电路(inter-integrated circuit，I2C)接口，集成电路内置音频(inter-integrated circuitsound，I2S)接口，脉冲编码调制(pulse code modulation，PCM)接口，通用异步收发传输器(universal asynchronous receiver/transmitter，UART)接口，移动产业处理器接口(mobile industry processor interface，MIPI)，通用输入输出(general-purposeinput/output，GPIO)接口，用户标识模块(subscriber identity module，SIM)接口，和/或通用串行总线(universal serial bus，USB)接口等。

I2C接口是一种双向同步串行总线，包括一根串行数据线(serial data line，SDA)和一根串行时钟线(derail clock line，SCL)。在一些实施例中，处理器110可以包含多组I2C总线。处理器110可以通过不同的I2C总线接口分别耦合触摸传感器180K，充电器，闪光灯，摄像头193等。例如：处理器110可以通过I2C接口耦合触摸传感器180K，使处理器110与触摸传感器180K通过I2C总线接口通信，实现电子设备100的触摸功能。

I2S接口可以用于音频通信。在一些实施例中，处理器110可以包含多组I2S总线。处理器110可以通过I2S总线与音频模块170耦合，实现处理器110与音频模块170之间的通信。在一些实施例中，音频模块170可以通过I2S接口向无线通信模块160传递音频信号，实现通过蓝牙耳机接听电话的功能。

PCM接口也可以用于音频通信，将模拟信号抽样，量化和编码。在一些实施例中，音频模块170与无线通信模块160可以通过PCM总线接口耦合。在一些实施例中，音频模块170也可以通过PCM接口向无线通信模块160传递音频信号，实现通过蓝牙耳机接听电话的功能。所述I2S接口和所述PCM接口都可以用于音频通信。

UART接口是一种通用串行数据总线，用于异步通信。该总线可以为双向通信总线。它将要传输的数据在串行通信与并行通信之间转换。在一些实施例中，UART接口通常被用于连接处理器110与无线通信模块160。例如：处理器110通过UART接口与无线通信模块160中的蓝牙模块通信，实现蓝牙功能。在一些实施例中，音频模块170可以通过UART接口向无线通信模块160传递音频信号，实现通过蓝牙耳机播放音乐的功能。

MIPI接口可以被用于连接处理器110与显示屏194，摄像头193等外围器件。MIPI接口包括摄像头串行接口(camera serial interface，CSI)，显示屏串行接口(displayserial interface，DSI)等。在一些实施例中，处理器110和摄像头193通过CSI接口通信，实现电子设备100的拍摄功能。处理器110和显示屏194通过DSI接口通信，实现电子设备100的显示功能。

GPIO接口可以通过软件配置。GPIO接口可以被配置为控制信号，也可被配置为数据信号。在一些实施例中，GPIO接口可以用于连接处理器110与摄像头193，显示屏194，无线通信模块160，音频模块170，传感器模块180等。GPIO接口还可以被配置为I2C接口，I2S接口，UART接口，MIPI接口等。

USB接口130是符合USB标准规范的接口，具体可以是Mini USB接口，Micro USB接口，USB Type C接口等。USB接口130可以用于连接充电器为电子设备100充电，也可以用于电子设备100与外围设备之间传输数据。也可以用于连接耳机，通过耳机播放音频。该接口还可以用于连接其他电子设备，例如AR设备等。

可理解地，本申请实施例示意的各模块间的接口连接关系，只是示意性说明，并不构成对电子设备100的结构限定。在本申请另一些实施例中，电子设备100也可以采用上述实施例中不同的接口连接方式，或多种接口连接方式的组合。

充电管理模块140用于从充电器接收充电输入。其中，充电器可以是无线充电器，也可以是有线充电器。在一些有线充电的实施例中，充电管理模块140可以通过USB接口130接收有线充电器的充电输入。在一些无线充电的实施例中，充电管理模块140可以通过电子设备100的无线充电线圈接收无线充电输入。充电管理模块140为电池142充电的同时，还可以通过电源管理模块141为电子设备供电。

电源管理模块141用于连接电池142，充电管理模块140与处理器110。电源管理模块141接收电池142和/或充电管理模块140的输入，为处理器110，内部存储器121，外部存储器，显示屏194，摄像头193，和无线通信模块160等供电。电源管理模块141还可以用于监测电池容量，电池循环次数，电池健康状态(漏电，阻抗)等参数。在其他一些实施例中，电源管理模块141也可以设置于处理器110中。在另一些实施例中，电源管理模块141和充电管理模块140也可以设置于同一个器件中。

电子设备100的无线通信功能可以通过天线1，天线2，移动通信模块150，无线通信模块160，调制解调处理器以及基带处理器等实现。

天线1和天线2用于发射和接收电磁波信号。电子设备100中的每个天线可用于覆盖单个或多个通信频带。不同的天线还可以复用，以提高天线的利用率。例如：可以将天线1复用为无线局域网的分集天线。在另外一些实施例中，天线可以和调谐开关结合使用。

移动通信模块150可以提供应用在电子设备100上的包括2G/3G/4G/5G等无线通信的解决方案。移动通信模块150可以包括至少一个滤波器，开关，功率放大器，低噪声放大器(low noise amplifier，LNA)等。移动通信模块150可以由天线1接收电磁波，并对接收的电磁波进行滤波，放大等处理，传送至调制解调处理器进行解调。移动通信模块150还可以对经调制解调处理器调制后的信号放大，经天线1转为电磁波辐射出去。在一些实施例中，移动通信模块150的至少部分功能模块可以被设置于处理器110中。在一些实施例中，移动通信模块150的至少部分功能模块可以与处理器110的至少部分模块被设置在同一个器件中。

调制解调处理器可以包括调制器和解调器。其中，调制器用于将待发送的低频基带信号调制成中高频信号。解调器用于将接收的电磁波信号解调为低频基带信号。随后解调器将解调得到的低频基带信号传送至基带处理器处理。低频基带信号经基带处理器处理后，被传递给应用处理器。应用处理器通过音频设备(不限于扬声器170A，受话器170B等)输出声音信号，或通过显示屏194显示图片或视频。在一些实施例中，调制解调处理器可以是独立的器件。在另一些实施例中，调制解调处理器可以独立于处理器110，与移动通信模块150或其他功能模块设置在同一个器件中。

无线通信模块160可以提供应用在电子设备100上的包括无线局域网(wirelesslocal area networks，WLAN)(如无线保真(wireless fidelity，Wi-Fi)网络)，蓝牙(bluetooth，BT)，全球导航卫星系统(global navigation satellite system，GNSS)，调频(frequency modulation，FM)，近距离无线通信技术(near field communication，NFC)，红外技术(infrared，IR)等无线通信的解决方案。无线通信模块160可以是集成至少一个通信处理模块的一个或多个器件。无线通信模块160经由天线2接收电磁波，将电磁波信号调频以及滤波处理，将处理后的信号发送到处理器110。无线通信模块160还可以从处理器110接收待发送的信号，对其进行调频，放大，经天线2转为电磁波辐射出去。

在一些实施例中，电子设备100的天线1和移动通信模块150耦合，天线2和无线通信模块160耦合，使得电子设备100可以通过无线通信技术与网络以及其他设备通信。所述无线通信技术可以包括全球移动通讯系统(global system for mobile communications，GSM)，通用分组无线服务(general packet radio service，GPRS)，码分多址接入(codedivision multiple access，CDMA)，宽带码分多址(wideband code division multipleaccess，WCDMA)，时分码分多址(time-division code division multiple access，TD-SCDMA)，长期演进(long term evolution，LTE)，BT，GNSS，WLAN，NFC，FM，和/或IR技术等。所述GNSS可以包括全球卫星定位系统(global positioning system，GPS)，全球导航卫星系统(global navigation satellite system，GLONASS)，北斗卫星导航系统(beidounavigation satellite system，BDS)，准天顶卫星系统(quasi-zenith satellitesystem，QZSS)和/或星基增强系统(satellite based augmentation systems，SBAS)。

电子设备100通过GPU，显示屏194，以及应用处理器等实现显示功能。GPU为图像处理的微处理器，连接显示屏194和应用处理器。GPU用于执行数学和几何计算，用于图形渲染。处理器110可包括一个或多个GPU，其执行程序指令以生成或改变显示信息。

显示屏194用于显示图片，视频等。显示屏194包括显示面板。显示面板可以采用液晶显示屏(liquid crystal display，LCD)，有机发光二极管(organic light-emittingdiode，OLED)，有源矩阵有机发光二极体或主动矩阵有机发光二极体(active-matrixorganic light emitting diode的，AMOLED)，柔性发光二极管(flex light-emittingdiode，FLED)，Miniled，MicroLed，Micro-oLed，量子点发光二极管(quantum dot lightemitting diodes，QLED)等。在一些实施例中，电子设备100可以包括1个或N个显示屏194，N为大于1的正整数。

电子设备100可以通过ISP，摄像头193，视频编解码器，GPU，显示屏194以及应用处理器等实现采集功能，以实现本申请实施例中HAL层的图像采集模块。

ISP用于处理摄像头193反馈的数据。例如，拍照时，打开快门，光线通过镜头被传递到摄像头感光元件上，光信号转换为电信号，摄像头感光元件将所述电信号传递给ISP处理，转化为肉眼可见的图片或视频。ISP还可以对图片的噪点，亮度，肤色进行算法优化。ISP还可以对拍摄场景的曝光，色温等参数优化。在一些实施例中，ISP可以设置在摄像头193中。

摄像头193用于捕获静态图片或视频。物体通过镜头生成光学图像投射到感光元件。感光元件可以是电荷耦合器件(charge coupled device，CCD)或互补金属氧化物半导体(complementary metal-oxide-semiconductor，CMOS)光电晶体管。感光元件把光信号转换成电信号，之后将电信号传递给ISP转换成数字图片或视频信号。ISP将数字图片或视频信号输出到DSP加工处理。DSP将数字图片或视频信号转换成标准的RGB，YUV等格式的图片或视频信号。在一些实施例中，电子设备100可以包括1个或N个摄像头193，N为大于1的正整数。

数字信号处理器用于处理数字信号，除了可以处理数字图片或视频信号，还可以处理其他数字信号。例如，当电子设备100在频点选择时，数字信号处理器用于对频点能量进行傅里叶变换等。

视频编解码器用于对数字视频压缩或解压缩。电子设备100可以支持一种或多种视频编解码器。这样，电子设备100可以播放或录制多种编码格式的视频，例如：动态图像专家组(moving picture experts group，MPEG)1，MPEG2，MPEG3，MPEG4等。

NPU为神经网络(neural-network，NN)计算处理器，通过借鉴生物神经网络结构，例如借鉴人脑神经元之间传递模式，对输入信息快速处理，还可以不断的自学习。通过NPU可以实现电子设备100的智能认知等应用，例如：图像识别，人脸识别，语音识别，文本理解等。

外部存储器接口120可以用于连接外部存储卡，例如Micro SD卡，实现扩展电子设备100的存储能力。外部存储卡通过外部存储器接口120与处理器110通信，实现数据存储功能。例如将音乐，视频等文件保存在外部存储卡中。

内部存储器121可以用于存储计算机可执行程序代码，所述可执行程序代码包括指令。处理器110通过运行存储在内部存储器121的指令，从而执行电子设备100的各种功能应用以及数据处理。内部存储器121可以包括存储程序区和存储数据区。其中，存储程序区可存储操作系统，至少一个功能所需的应用程序(比如声音播放功能，图片或视频播放功能等)等。存储数据区可存储电子设备100使用过程中所创建的数据(比如音频数据，电话本等)等。此外，内部存储器121可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件，闪存器件，通用闪存存储器(universal flash storage，UFS)等。

电子设备100可以通过音频模块170，扬声器170A，受话器170B，麦克风170C，耳机接口170D，以及应用处理器等实现音频功能。例如音乐播放，录音等。

音频模块170用于将数字音频信息转换成模拟音频信号输出，也用于将模拟音频输入转换为数字音频信号。音频模块170还可以用于对音频信号编码和解码。在一些实施例中，音频模块170可以设置于处理器110中，或将音频模块170的部分功能模块设置于处理器110中。

扬声器170A，也称“喇叭”，用于将音频电信号转换为声音信号。电子设备100可以通过扬声器170A收听音乐，或收听免提通话。

受话器170B，也称“听筒”，用于将音频电信号转换成声音信号。当电子设备100接听电话或语音信息时，可以通过将受话器170B靠近人耳接听语音。

麦克风170C，也称“话筒”，“传声器”，用于将声音信号转换为电信号。当拨打电话或发送语音信息时，用户可以通过人嘴靠近麦克风170C发声，将声音信号输入到麦克风170C。电子设备100可以设置至少一个麦克风170C。在另一些实施例中，电子设备100可以设置两个麦克风170C，除了采集声音信号，还可以实现降噪功能。在另一些实施例中，电子设备100还可以设置三个，四个或更多麦克风170C，实现采集声音信号，降噪，还可以识别声音来源，实现定向录音功能等。

耳机接口170D用于连接有线耳机。耳机接口170D可以是USB接口130，也可以是3.5mm的开放移动电子设备平台(open mobile terminal platform，OMTP)标准接口，美国蜂窝电信工业协会(cellular telecommunications industry association of the USA，CTIA)标准接口。

压力传感器180A用于感受压力信号，可以将压力信号转换成电信号。在一些实施例中，压力传感器180A可以设置于显示屏194。压力传感器180A的种类很多，如电阻式压力传感器，电感式压力传感器，电容式压力传感器等。电容式压力传感器可以是包括至少两个具有导电材料的平行板。当有力作用于压力传感器180A，电极之间的电容改变。电子设备100根据电容的变化确定压力的强度。当有触摸操作作用于显示屏194，电子设备100根据压力传感器180A检测所述触摸操作强度。电子设备100也可以根据压力传感器180A的检测信号计算触摸的位置。在一些实施例中，作用于相同触摸位置，但不同触摸操作强度的触摸操作，可以对应不同的操作指令。例如：当有触摸操作强度小于第一压力阈值的触摸操作作用于短消息应用图标时，执行查看短消息的指令。当有触摸操作强度大于或等于第一压力阈值的触摸操作作用于短消息应用图标时，执行新建短消息的指令。

陀螺仪传感器180B可以用于确定电子设备100的运动姿态。在一些实施例中，可以通过陀螺仪传感器180B确定电子设备100围绕三个轴(即，x，y和z轴)的角速度。陀螺仪传感器180B可以用于拍摄防抖。示例性的，当按下快门，陀螺仪传感器180B检测电子设备100抖动的角度，根据角度计算出镜头模组需要补偿的距离，让镜头通过反向运动抵消电子设备100的抖动，实现防抖。陀螺仪传感器180B还可以用于导航，体感游戏场景。

气压传感器180C用于测量气压。在一些实施例中，电子设备100通过气压传感器180C测得的气压值计算海拔高度，辅助定位和导航。

磁传感器180D包括霍尔传感器。电子设备100可以利用磁传感器180D检测翻盖皮套的开合。在一些实施例中，当电子设备100是翻盖机时，电子设备100可以根据磁传感器180D检测翻盖的开合。进而根据检测到的皮套的开合状态或翻盖的开合状态，设置翻盖自动解锁等特性。

加速度传感器180E可检测电子设备100在各个方向上(一般为三轴)加速度的大小。当电子设备100静止时可检测出重力的大小及方向。还可以用于识别电子设备姿态，应用于横竖屏切换，计步器等应用。

距离传感器180F，用于测量距离。电子设备100可以通过红外或激光测量距离。在一些实施例中，拍摄场景，电子设备100可以利用距离传感器180F测距以实现快速对焦。

接近光传感器180G可以包括例如发光二极管(LED)和光检测器，例如光电二极管。发光二极管可以是红外发光二极管。电子设备100通过发光二极管向外发射红外光。电子设备100使用光电二极管检测来自附近物体的红外反射光。当检测到充分的反射光时，可以确定电子设备100附近有物体。当检测到不充分的反射光时，电子设备100可以确定电子设备100附近没有物体。电子设备100可以利用接近光传感器180G检测用户手持电子设备100贴近耳朵通话，以便自动熄灭屏幕达到省电的目的。接近光传感器180G也可用于皮套模式，口袋模式自动解锁与锁屏。

环境光传感器180L用于感知环境光亮度。电子设备100可以根据感知的环境光亮度自适应调节显示屏194亮度。环境光传感器180L也可用于拍照时自动调节白平衡。环境光传感器180L还可以与接近光传感器180G配合，检测电子设备100是否在口袋里，以防误触。

指纹传感器180H用于采集指纹。电子设备100可以利用采集的指纹特性实现指纹解锁，访问应用锁，指纹拍照，指纹接听来电等。

温度传感器180J用于检测温度。在一些实施例中，电子设备100利用温度传感器180J检测的温度，执行温度处理策略。例如，当温度传感器180J上报的温度超过阈值，电子设备100执行降低位于温度传感器180J附近的处理器的性能，以便降低功耗实施热保护。在另一些实施例中，当温度低于另一阈值时，电子设备100对电池142加热，以避免低温导致电子设备100异常关机。在其他一些实施例中，当温度低于又一阈值时，电子设备100对电池142的输出电压执行升压，以避免低温导致的异常关机。

触摸传感器180K，也称“触控面板”。触摸传感器180K可以设置于显示屏194，由触摸传感器180K与显示屏194组成触摸屏，也称“触控屏”。触摸传感器180K用于检测作用于其上或附近的触摸操作。触摸传感器可以将检测到的触摸操作传递给应用处理器，以确定触摸事件类型。可以通过显示屏194提供与触摸操作相关的视觉输出。在另一些实施例中，触摸传感器180K也可以设置于电子设备100的表面，与显示屏194所处的位置不同。

骨传导传感器180M可以获取振动信号。在一些实施例中，骨传导传感器180M可以获取人体声部振动骨块的振动信号。骨传导传感器180M也可以接触人体脉搏，接收血压跳动信号。在一些实施例中，骨传导传感器180M也可以设置于耳机中，结合成骨传导耳机。音频模块170可以基于所述骨传导传感器180M获取的声部振动骨块的振动信号，解析出语音信号，实现语音功能。应用处理器可以基于所述骨传导传感器180M获取的血压跳动信号解析心率信息，实现心率检测功能。

按键190包括开机键，音量键等。按键190可以是机械按键。也可以是触摸式按键。电子设备100可以接收按键输入，产生与电子设备100的用户设置以及功能控制有关的键信号输入。

马达191可以产生振动提示。马达191可以用于来电振动提示，也可以用于触摸振动反馈。例如，作用于不同应用(例如拍照，音频播放等)的触摸操作，可以对应不同的振动反馈效果。作用于显示屏194不同区域的触摸操作，马达191也可对应不同的振动反馈效果。不同的应用场景(例如：时间提醒，接收信息，闹钟，游戏等)也可以对应不同的振动反馈效果。触摸振动反馈效果还可以支持自定义。

指示器192可以是指示灯，可以用于指示充电状态，电量变化，也可以用于指示消息，未接来电，通知等。

SIM卡接口195用于连接SIM卡。SIM卡可以通过插入SIM卡接口195，或从SIM卡接口195拔出，实现和电子设备100的接触和分离。电子设备100可以支持1个或N个SIM卡接口，N为大于1的正整数。SIM卡接口195可以支持Nano SIM卡，Micro SIM卡，SIM卡等。同一个SIM卡接口195可以同时插入多张卡。所述多张卡的类型可以相同，也可以不同。SIM卡接口195也可以兼容不同类型的SIM卡。SIM卡接口195也可以兼容外部存储卡。电子设备100通过SIM卡和网络交互，实现通话以及数据通信等功能。在一些实施例中，电子设备100采用eSIM，即：嵌入式SIM卡。eSIM卡可以嵌在电子设备100中，不能和电子设备100分离。

该处理器110可以调用该内部存储器121存储的计算机指令，使得该电子设备100执行本申请实施例中的数据保护方法。

电子设备100的软件系统可以采用分层架构，事件驱动架构，微核架构，微服务架构，或云架构。本申请实施例以分层架构的安卓(Android)系统为例，示例性说明电子设备100的软件结构。

请参阅图13，图13是本申请实施例提供的一种电子设备的软件结构框图。

分层架构将软件分成若干个层，每一层都有清晰的角色和分工。层与层之间通过软件接口通信。在一些实施例中，将Android系统分为四层，从上至下分别为应用程序层，应用程序框架层，安卓运行时(Android runtime)和系统库，以及内核层。

应用程序层可以包括一系列应用程序包。

如图13所示，应用程序包可以包括相机，图库，日历，通话，地图，导航，WLAN，蓝牙，音乐，视频，短信息等应用程序。

应用程序框架层为应用程序层的应用程序提供应用编程接口(applicationprogramming interface，API)和编程框架。应用程序框架层包括一些预先定义的函数。

如图13所示，应用程序框架层可以包括窗口管理器，内容提供器，视图系统，电话管理器，资源管理器，通知管理器等。

窗口管理器用于管理窗口程序。窗口管理器可以获取显示屏大小，判断是否有状态栏，锁定屏幕，截取屏幕等。

内容提供器用来存放和获取数据，并使这些数据可以被应用程序访问。所述数据可以包括视频，图像，音频，拨打和接听的电话，浏览历史和书签，电话簿等。

视图系统包括可视控件，例如显示文字的控件，显示图片的控件等。视图系统可用于构建应用程序。显示界面可以由一个或多个视图组成的。例如，包括短信通知图标的显示界面，可以包括显示文字的视图以及显示图片的视图。

电话管理器用于提供电子设备100的通信功能。例如通话状态的管理(包括接通，挂断等)。

资源管理器为应用程序提供各种资源，比如本地化字符串，图标，图片，布局文件，视频文件等等。

通知管理器使应用程序可以在状态栏中显示通知信息，可以用于传达告知类型的消息，可以短暂停留后自动消失，无需用户交互。比如通知管理器被用于告知下载完成，消息提醒等。通知管理器还可以是以图表或者滚动条文本形式出现在系统顶部状态栏的通知，例如后台运行的应用程序的通知，还可以是以对话窗口形式出现在屏幕上的通知。例如在状态栏提示文本信息，发出提示音，电子设备振动，指示灯闪烁等。

Android Runtime包括核心库和虚拟机。Android runtime负责安卓系统的调度和管理。

核心库包含两部分：一部分是java语言需要调用的功能函数，另一部分是安卓的核心库。

应用程序层和应用程序框架层运行在虚拟机中。虚拟机将应用程序层和应用程序框架层的java文件执行为二进制文件。虚拟机用于执行对象生命周期的管理，堆栈管理，线程管理，安全和异常的管理，以及垃圾回收等功能。

系统库可以包括多个功能模块。例如：表面管理器(surface manager)，媒体库(Media Libraries)，三维图形处理库(例如：OpenGL ES)，2D图形引擎(例如：SGL)等。

表面管理器用于对显示子系统进行管理，并且为多个应用程序提供了2D和3D图层的融合。

媒体库支持多种常用的音频，视频格式回放和录制，以及静态图像文件等。媒体库可以支持多种音视频编码格式，例如:MPEG4，H.264，MP3，AAC，AMR，JPG，PNG等。

三维图形处理库用于实现三维图形绘图，图像渲染，合成，和图层处理等。

2D图形引擎是2D绘图的绘图引擎。

本申请实施例中，该系统库还可以包括数据保护模块，该数据保护模块用于执行本申请实施例中的数据保护方法。

内核层是硬件和软件之间的层。内核层至少包含显示驱动，摄像头驱动，音频驱动，传感器驱动。

可以理解的是，在一些实施例中，该数据保护模块也可以在该分层构架的其他层级，例如应用程序框架层等，此处不作限定。

以上介绍了本申请实施例涉及的电子设备，下面具体介绍本申请实施例提供的数据保护方法。本申请实施例提供的数据保护方法由电子设备执行。

请参阅图14，图14是本申请实施例提供的一种数据保护方法的流程示意图。

如图14所示，电子设备对本地的密钥做分级处理：设备硬件密钥和设备锁屏密码对工作密钥进行加密，工作密钥对数据密钥进行加密，数据密钥对文件数据进行加密。将工作密钥擦除之后，电子设备将无法得到数据密钥对文件进行解密，所以，擦除工作密钥可以理解为擦除电子设备中的数据；同理，恢复工作密钥可以理解为恢复电子设备中的数据。

本申请实施例提供的数据保护方法包括：电子设备利用信任环主密钥对本地的工作密钥加密，将加密后的工作密钥托管到云端。在电子设备确定处于丢失状态的情况下，电子设备将本地的工作密钥和信任环主密钥擦除；在电子设备被找回，但是工作密钥被擦除、无法对文件进行解密而正常访问数据的情况下，电子设备从云端重新获取工作密钥，从可信设备获取信任环主密钥；之后，电子设备利用信任环主密钥恢复工作密钥，进而恢复数据密钥对文件进行解密，达到恢复数据的目的。

具体地，请参阅图15，图15是本申请实施例提供的另一种数据保护方法的流程示意图。

该数据保护方法可以包括

1、工作密钥托管，即电子设备基于锁屏密码和信任环主密码双重加密工作密钥，再将密文托管于当前账号下存储空间。

2、工作密钥删除，即电子设备通过远程指令或者定时的方式，主动擦除工作密钥和信任环主密钥。

3、工作密钥恢复，即电子设备通过账号认证和信任设备审批，恢复信任环主密钥，进而恢复工作密钥。

如图15中1501所示，电子设备在本地使用设备硬件密钥和设备锁屏密码对工作密钥进行加密进行第一次加密，使用信任环主密钥对加密之后的工作密钥进行第二次加密；然后，电子设备将加密后的工作密钥托管到云端。

如图15中1502所示，电子设备擦除本地的工作密钥和信任环主密钥。可理解地，在电子设备处于丢失状态的情况下，电子设备擦除本地的工作密钥。具体地，可以通过云端向电子设备发送指令远程擦除本地的工作密钥；也可以在连续输入锁屏密码错误次数达到阈值(例如10次)的情况下，电子设备自动擦除本地的工作密钥；还可以对电子设备进行设定，在某时间区域内(如白天早上8点到晚上10点)不解锁的时长达到阈值(如6个小时)的情况下，电子设备自动擦除本地的工作密钥，本申请对此不作限制。

如图15中1503所示，电子设备恢复工作密钥。可理解地，在电子设备中的工作密钥被擦除，电子设备无法对文件进行解密而访问数据的情况下(例如机主找回电子设备)，电子设备恢复工作密钥。具体地，电子设备从云端取回被加密的工作密钥；然后，电子设备从可信设备处获取信任环主密钥。通过信任环主密钥、设备硬件密钥以及设备锁屏密码对加密两次的工作密钥的解密，得到工作密钥，从而恢复电子设备中的数据。

接下来结合图16和图17对本申请实施例提供的数据保护方法进行解释。为方便理解，将上述数据保护方法分成备份过程、擦除过程以及恢复过程。

备份过程(可以理解为密钥托管)可以包括：工作密钥本机加密后(如利用设备硬件密钥和锁屏密码进行加密)托管云端，云端无法解密，自证清白。

擦除过程(可以理解为密钥擦除)可以包括：远程擦除或超时擦除。

恢复过程(可以理解为密钥恢复)：多因子认证恢复密钥到设备。该多因子认证可以理解为通过密码，短信，信任环设备审批对该电子设备进行认证。

如图16所示，上述数据保护方法包括1601至1609。其中，1601至1602可理解为备份过程，1603可理解为擦除过程，1604至1609可理解为恢复过程。

首先介绍备份过程。

1601：电子设备对工作密钥进行加密。

如图17中的“备份过程”部分所示，电子设备将本地的工作密钥作为数据，将设备锁屏密码作为密钥对工作密钥进行加密，得到密文1。上述过程可以理解为电子设备对工作密钥的第一次加密。

之后，电子设备将密文1作为数据，将信任环主密钥作为密钥对密文1进行加密，得到密文2。上述过程可以理解为电子设备对工作密钥的第二次加密。

在一些实施例中，电子设备使用设备锁屏密码和设备硬件密钥对工作密钥进行第一次加密，使用信任环主密钥对加密后的工作密钥进行第二次加密。由于设备硬件密钥与电子设备唯一对应，使得加密的工作密钥只能在当前电子设备中被解密。

可理解地，电子设备对工作密钥进行加密时，可以使用不同的密钥分多次进行加密，也可以同时使用所有密钥一次性进行加密，本申请对此不作限定。

1602：电子设备将加密的工作密钥托管到云端。

如图17中的“备份过程”部分所示，电子设备将密文2托管到云端。可理解地，工作密钥经过两次加密后被托管到云端，由于云端没有信任环主密钥，云端无法解析加密的工作密钥，进而保证了电子设备中的数据的安全性。

接下来介绍擦除过程。

1603：电子设备擦除密钥。

如图17中的“擦除过程”部分所示，电子设备擦除本地的工作密钥和信任环主密钥。具体地，电子设备可以通过以下方式擦除本地的工作密钥和信任环主密钥：

(1)、在用户连续错误输入锁屏密码的次数达到阈值(例如6次、10次)的情况下，电子设备擦除本地的工作密钥和信任环主密钥。

(2)、在某个时间区间内。例如白天早上8点至晚上10点，电子设备未被解锁的时长达到时间阈值(例如5个小时)，电子设备擦除本地的工作密钥和信任环主密钥。

(3)、在电子设备的机主丢失该电子设备之后，云端向电子设备发送指令，该指令用于指示电子设备擦除本地的工作密钥和信任环主密钥。

关于1603，也可参考图6所提供用户界面的相关描述。

可理解地，除了以上描述的3种方式，电子设备还可以通过其他方式擦除本地的工作密钥和信任环主密钥，本申请对此不作限定。

在电子设备擦除工作密钥和信任环主密钥之后，无法使用工作密钥对数据密钥进行解密，进而无法对文件进行解密，所以电子设备无法访问本地数据，可以达到保护数据的目的。另外，失去信任环主密钥的电子设备不再是信任环内的可信设备。非信任环的电子设备如果要加入信任环，必须通过信任环内的电子设备的确认来获取信任环主密钥才能加入信任环。

接下来介绍恢复过程。.

1604：电子设备向云端发送请求。该请求用于指示云端向电子设备发送加密的工作密钥。

1605：电子设备获取加密的工作密钥。

在电子设备本地的工作密钥被擦除，电子设备无法访问本地数据的情况下，电子设备从云端获取加密的工作密钥。

如图17中的“恢复过程”部分所示，电子设备从云端获取密文2可以理解为上述电子设备获取加密的工作密钥。

电子设备从云端获取密文时，首先需要登录云端。示例性地，电子设备可以通过账号密码或者第三方登录(例如微信、QQ、微博等)的方式登录云端。之后，电子设备可以通过人脸识别或者短信验证码的方式进行账号认证，以便于云端确认登录的用户为账号的持有人。以上过程可以理解为第一次认证。

在通过上述第一次认证之后，云端可以向电子设备发送加密的工作密钥。

由于托管到云端的工作密钥被信任环主密钥加密，电子设备仅仅获取到加密的工作密钥无法解密得到数据密钥，无法访问本地数据。于是，电子设备执行1606：电子设备向可信设备发送请求，该请求用于指示可信设备在接收到用户对该请求的确认操作的情况下向电子设备发送信任环主密钥。

可理解地，该可信设备可以理解为电子设备所在信任环内任一个其他电子设备。

如图17中的“恢复过程”部分所示，电子设备经过上述第一次认证之后，再通过同账号下的可信设备的审批(可以理解为用户的“确认”操作)获取信任环主密钥。以上过程可以理解为第二次认证。

经过上述第一次认证和上述第二次认证之后，电子设备可以获得信任环主密钥和加密的工作密钥。可理解地，同账号下的可信设备可以有多个，在信任环的信任环主密钥相同的情况下，电子设备选择其中任一个可信设备获取信任环主密钥即可。在信任环的信任环主密钥不相同的情况下，电子设备选择对工作密钥进行加密时使用的信任环主密钥对应的可信设备即可，本申请对此不作限定。

在可信设备接收到电子设备发送的上述请求之后，可信设备执行1607：可信设备判断是否接收用户对该请求的确认操作。

在可信设备未接收到用户对该请求的确认操作的情况下，可信设备重新执行1607。

在可信设备接收到用户对该请求的确认操作的情况下，可信设备执行1608：可信设备向电子设备发送信任环主密钥。

可以理解的是，只要可信设备未接收到用户对该请求的确认操作，可信设备将不会向电子设备发送信任环主密钥。由于可信设备与电子设备属于同一信任环，且属于同一用户，如果非机主采用上述来获取信任环主密钥，只要机主不对请求进行确认，电子设备将无法获取到信任环主密钥。所以，上述方法可以防止电子设备的非机主获取到信任环主密钥，从而提高电子设备中数据的安全性。

电子设备可以通过多种方式从可信设备处获取信任环主密钥(即上述1606至1608)。示例性地，电子设备可以通过直接连接或者间接连接的方式与可信设备建立连接，从而获取信任环主密钥。

(1)对于直接连接方式，电子设备可以通过蓝牙连接或者wifi直连的方式与可信设备建立连接。接下来以电子设备与可信设备之间建立蓝牙连接为例进行说明。

首先，电子设备与可信设备之间协商会话密钥。

然后，电子设备向可信设备发送获取信任环主密钥的请求，该请求用于指示可信设备在接收到用户对该请求的确认操作的情况下向电子设备发送信任环主密钥。

可选地，该请求包括电子设备的设备信息、电子设备请求的信任环主密钥对应的账号，以便于可信设备确定需要发送的信任环主密钥以及请求方的信息。

最后，在可信设备接收到用户对该请求的确认操作的情况下，可信设备使用上述会话密钥对信任环主密钥进行加密，然后将加密的信任环主密钥通过蓝牙连接传输给电子设备。电子设备接收到加密的信任环主密钥之后，使用上述会话密钥进行解密可得到信任环主密钥。

(2)对于间接连接方式。在电子设备登录云端获取加密的工作密钥(即上述1605)之后，电子设备通过云端向可信设备发送请求，该请求用于指示可信设备在接收到用户对该请求的确认操作的情况下向电子设备发送信任环主密钥。在可信设备接收到用户对该请求的确认操作之后，可信设备从云端获取电子设备的设备身份公钥对信任环主密钥进行加密，然后将加密的信任环主密钥通过云端发送给电子设备。电子设备接收到加密的信任环主密钥之后，使用设备身份密钥私钥进行解密可得到信任环主密钥。

可理解地，电子设备向可信设备发送请求以获取信任环主密钥的具体实现方式不限于以上两种情况，本申请对此不作限制。

可理解地，本申请不限定电子设备获取工作密钥和信任环主密钥的先后顺序，电子设备可以同时通过云端获取以上两个密钥，也可以先获取信任环主密钥再获取工作密钥。

1609：电子设备解密得到工作密钥。

如图17中的“恢复过程”部分所示，在电子设备获取到托管的工作密钥以及信任环主密钥之后，电子设备利用信任环主密钥解密可得到密文1，利用设备锁屏密码解密可得到工作密钥(即工作密钥的明文)。

电子设备得到工作密钥后，可利用工作密钥解密得到数据密钥，再利用数据密钥对文件进行解密，达到恢复数据的目的。

关于1605至1609，也可参考图7至图11所提供用户界面的相关描述。

在一些实施例中，在上述备份过程(即1601至1602)中，电子设备利用设备硬件密钥和设备锁屏密码对工作密钥进行第一次加密，利用信任环主密钥对加密之后的工作密钥进行第二次加密；然后将加密的工作密钥托管到云端。

在恢复过程(即上述1604至上述1609)中，电子设备首先使用信任环主密钥对工作密钥进行解密得到密文1，之后再利用设备硬件密钥和设备锁屏密码对密文1钥进行解密得到工作密钥。

在一些实施例中，电子设备利用设备硬件密钥对工作密钥进行第一次加密，利用信任环主密钥对加密之后的工作密钥进行第二次加密；然后将加密的工作密钥托管到云端。

在恢复过程(即上述1604至上述1609)中，电子设备首先使用信任环主密钥对工作密钥进行解密得到密文1，之后再利用设备硬件密钥对密文1进行解密得到工作密钥。

上述实施例中的数据保护方法包括备份过程、擦除过程以及恢复过程。其中，备份过程包括：电子设备使用信任环主密钥对工作密钥进行加密后托管到云端；擦除过程包括：在电子设备丢失之后，电子设备擦除本地的工作密钥和信任环主密钥；恢复过程包括：在电子设备找回之后，电子设备从云端重新获取加密的工作密钥，从可信设备重新获取信任环主密钥来恢复工作密钥。

容易理解，上述实现方式中，电子设备本地的工作密钥可以不被信任环主密钥加密，只是在托管到云端时使用信任环主密钥加密即可。

在一种可能的实现方式中，在电子设备本地的工作密钥被信任环主密钥加密的情况下，电子设备不需要使用信任环主密钥对工作密钥进行加密，然后托管到云端。而是在电子设备丢失之后，电子设备擦除本地的信任环主密钥；在电子设备找回之后，电子设备从可信设备重新获取信任环主密钥来恢复工作密钥。

上述电子设备本地的工作密钥被信任环主密钥加密可以理解为电子设备本地的工作密钥在电子设备锁屏的情况下被信任环主密钥加密。示例性地，在电子设备锁屏后，电子设备使用信任环主密钥对工作密钥进行加密后保存到本地；在电子设备解锁后，电子设备使用信任环主密钥对加密的工作密钥解密，得到工作密钥，然后再访问本地的数据。

容易理解，由于电子设备本地的工作密钥被信任环主密钥加密，那么在电子设备丢失之后，将信任环密钥擦除将无法解密得到工作密钥，可以理解为电子设备本地数据被擦除，从而达到保护电子设备本地数据的目的。在电子设备找回之后，可以通过可信设备重新获取信任环主密钥，重新对被信任环主密钥加密的工作密钥解密，得到工作密钥，达到恢复电子设备本地数据的目的。

上述实现方式可以分成擦除过程和恢复过程。

其中，上述擦除过程包括：电子设备擦除本地的信任环主密钥。

上述电子设备擦除本地的信任环主密钥可以通过以下方式实现：

(1)、在用户连续错误输入锁屏密码的次数达到阈值(例如6次、10次)的情况下，电子设备擦除本地的信任环主密钥。

(2)、在某个时间区间内。例如白天早上8点至晚上10点，电子设备未被解锁的时长达到时间阈值(例如5个小时)，电子设备擦除本地的信任环主密钥。

(3)、在电子设备的机主丢失该电子设备之后，云端向电子设备发送指令，该指令用于指示电子设备擦除本地的信任环主密钥。

可理解地，除了以上描述的3种方式，电子设备还可以通过其他方式擦除本地的信任环主密钥，本申请对此不作限定。

上述恢复过程包括：电子设备从可信设备获取信任环主密钥；电子设备利用该信任环主密钥对被信任环主密钥加密的工作密钥进行解密，得到工作密钥。

上述电子设备从可信设备获取信任环主密钥可以参考上述1606至上述1608，此处不再赘述。

在上述实施例中，全部或部分功能可以通过软件、硬件、或者软件加硬件的组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如，固态硬盘(solidstate disk，SSD))等。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，该流程可以由计算机程序来指令相关的硬件完成，该程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法实施例的流程。而前述的存储介质包括：ROM或随机存储记忆体RAM、磁碟或者光盘等各种可存储程序代码的介质。

Claims (13)

1.一种数据保护方法，其特征在于，所述方法包括：

在电子设备本地的工作密钥已被删除的情况下，所述电子设备从云端获取第一密文；所述第一密文为使用信任环主密钥对所述工作密钥加密得到的密文；所述信任环主密钥为所述电子设备所在的第一信任环提供的密钥；所述第一信任环由所述电子设备和一个或多个其他电子设备组成；

所述电子设备从可信设备获取所述信任环主密钥，所述可信设备为所述第一信任环中任意一个其他电子设备；

所述电子设备利用所述信任环主密钥对所述第一密文进行解密，得到所述工作密钥。

2.根据权利要求1所述的方法，其特征在于，在所述电子设备从云端获取第一密文之前，所述方法还包括：

在所述电子设备确定输入的锁屏密码的连续错误次数大于或等于第一阈值的情况下，所述电子设备删除所述电子设备中的所述工作密钥和所述信任环主密钥。

3.根据权利要求1所述的方法，其特征在于，在所述电子设备从云端获取第一密文之前，所述方法还包括：

在所述电子设备确定所述电子设备处于未解锁状态的时长大于或等于第二阈值的情况下，所述电子设备删除所述电子设备中的所述工作密钥和所述信任环主密钥。

4.根据权利要求1所述的方法，其特征在于，在所述电子设备从云端获取第一密文之前，所述方法还包括：

在所述电子设备接收到所述云端发送的第一指令的情况下，所述电子设备删除所述电子设备中的所述工作密钥和所述信任环主密钥；所述第一指令指示所述电子设备删除所述电子设备中的所述工作密钥和所述信任环主密钥。

5.根据权利要求2-4中任一项所述的方法，其特征在于，在所述电子设备删除所述电子设备中的所述工作密钥和所述信任环主密钥之前，所述方法还包括：

所述电子设备将所述第一密文保存到所述云端。

6.根据权利要求5所述的方法，其特征在于，所述第一密文为使用信任环主密钥对所述工作密钥加密得到的密文，包括：

所述第一密文为所述电子设备使用设备硬件密钥和/或所述电子设备的锁屏密码对所述工作密钥加密得到第二密文，再使用所述信任环主密钥对所述第二密文进行加密得到的密文；所述设备硬件密钥用于对所述电子设备中的数据进行加密或解密；

所述电子设备利用所述信任环主密钥对所述第一密文进行解密，得到所述工作密钥，包括：

所述电子设备利用所述信任环主密钥对所述第一密文进行解密得到所述第二密文，再利用所述设备硬件密钥和/或所述电子设备的锁屏密码对所述第二密文进行解密得到所述工作密钥。

7.根据权利要求1-6中任一项所述的方法，其特征在于，所述电子设备从可信设备获取所述信任环主密钥，包括：

所述电子设备向所述可信设备发送密钥获取请求，所述密钥获取请求用于指示所述可信设备在接收到确认操作的情况下向所述电子设备发送所述信任环主密钥；所述确认操作为用户对所述密钥获取请求的确认操作；

所述电子设备接收所述可信设备发送的所述信任环主密钥。

8.一种数据保护方法，其特征在于，所述方法包括：

在电子设备中的工作密钥已被信任环主密钥加密，且所述信任环主密钥已被删除的情况下，所述电子设备从可信设备获取所述信任环主密钥；所述信任环主密钥为所述电子设备所在的第一信任环提供的密钥；所述第一信任环由所述电子设备和一个或多个其他电子设备组成；

所述电子设备利用所述信任环主密钥对已被所述信任环主密钥加密的工作密钥进行解密，得到所述工作密钥。

9.根据权利要求8所述的方法，其特征在于，在所述电子设备从可信设备获取所述信任环主密钥之前，所述方法还包括：

在所述电子设备确定输入的锁屏密码的连续错误次数大于或等于第一阈值的情况下，所述电子设备删除所述电子设备中的所述信任环主密钥。

10.根据权利要求8所述的方法，其特征在于，在所述电子设备从可信设备获取所述信任环主密钥之前，所述方法还包括：

在所述电子设备确定所述电子设备处于未解锁状态的时长大于或等于第二阈值的情况下，所述电子设备删除所述电子设备中的所述信任环主密钥。

11.根据权利要求8所述的方法，其特征在于，在所述电子设备从可信设备获取所述信任环主密钥之前，所述方法还包括：

在所述电子设备接收到云端发送的第一指令的情况下，所述电子设备删除所述电子设备中的信任环主密钥；所述第一指令用于指示所述电子设备删除所述电子设备中的所述信任环主密钥。

12.根据权利要求8-11中任一项所述的方法，其特征在于，所述电子设备从可信设备获取所述信任环主密钥，包括：

所述电子设备向所述可信设备发送密钥获取请求，所述密钥获取请求用于指示所述可信设备在接收到用户对所述密钥获取请求的确认操作的情况下向所述电子设备发送所述信任环主密钥；

所述电子设备接收所述可信设备发送的所述信任环主密钥。

13.一种电子设备，其特征在于，所述电子设备包括：一个或多个处理器、存储器和显示屏；

所述存储器与所述一个或多个处理器耦合，所述存储器用于存储计算机程序代码，所述计算机程序代码包括计算机指令，所述一个或多个处理器调用所述计算机指令以使得所述电子设备执行如权利要求1-12中任一项所述的方法。

Images