CN114257382A - 密钥管理和业务处理方法、装置及系统 - Google Patents

密钥管理和业务处理方法、装置及系统 Download PDF

Info

Publication number
CN114257382A
CN114257382A CN202210114372.1A CN202210114372A CN114257382A CN 114257382 A CN114257382 A CN 114257382A CN 202210114372 A CN202210114372 A CN 202210114372A CN 114257382 A CN114257382 A CN 114257382A
Authority
CN
China
Prior art keywords
service
equipment
tee
authentication
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210114372.1A
Other languages
English (en)
Inventor
郑显义
徐登伟
辛知
万小飞
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alipay Hangzhou Information Technology Co Ltd
Original Assignee
Alipay Hangzhou Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alipay Hangzhou Information Technology Co Ltd filed Critical Alipay Hangzhou Information Technology Co Ltd
Priority to CN202210114372.1A priority Critical patent/CN114257382A/zh
Publication of CN114257382A publication Critical patent/CN114257382A/zh
Priority to PCT/CN2023/071492 priority patent/WO2023143037A1/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H04L2209/127—Trusted platform modules [TPM]

Abstract

本说明书实施例公开了一种密钥管理和业务处理方法、装置及系统。所述密钥管理方法包括：可信执行环境TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。

Description

密钥管理和业务处理方法、装置及系统
技术领域
本文件涉及计算机技术领域，尤其涉及一种密钥管理和业务处理方法、装置及系统。
背景技术
终端设备上，业务方需要端侧安全部署密钥以实现可靠的业务数据加密传输。通常，在部署业务数据传输所需的密钥时，通常由业务方与终端设备中设置的可信执行环境(Trusted Execution Environment，TEE)协商确定对称密钥，但是，在这种方式，存在密钥固化不易更新的难点，且容易出现对称密钥遭到泄露的风险，进而导致所有的业务数据泄露，因而业务数据传输及处理过程中存在较大的安全隐患。
发明内容
本说明书实施例目的是提供一种密钥管理和业务处理方法、装置及系统，用以解决目前由业务方与TEE协商确定密钥的方式容易使密钥遭到泄露，导致业务传输及处理过程中存在较大的安全隐患的问题。
为解决上述技术问题，本说明书实施例是这样实现的：
第一方面，提供一种密钥管理方法，包括：
可信执行环境TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
第二方面，提供一种密钥管理方法，应用于认证服务端，所述方法包括：
通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
第三方面，提供一种密钥管理方法，应用于TEE，所述方法包括：
通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
第四方面，提供一种业务处理方法，包括：
TEE接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
所述TEE使用生成的业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，以得到业务密文信息，以及使业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
所述TEE将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端；
所述业务服务端使用所述业务加密密钥对所述业务会话密钥密文进行解密，以得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
所述业务服务端基于所述设备身份证书对所述终端设备进行设备身份认证，以及在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
第五方面，提供一种业务处理方法，应用于TEE，所述方法包括：
接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，以得到业务密文信息，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
使用业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理。
第六方面，提供一种业务处理方法，应用于业务服务端，所述方法包括：
接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
使用所述业务加密密钥对所述业务会话密钥密文进行解密以得到所述业务会话密钥；
使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
基于所述设备身份证书对所述终端设备进行设备身份认证；
在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
第七方面，提供一种密钥管理系统，包括：TEE和认证服务端，其中：
所述TEE通过与所述认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
第八方面，提供一种业务处理系统，包括：TEE和业务服务端，其中：
所述TEE接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
所述TEE使用生成的业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，以得到业务密文信息，以及使业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
所述TEE将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给所述业务服务端，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
所述业务服务端使用所述业务加密密钥对所述业务会话密钥密文进行解密，以得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
所述业务服务端基于所述设备身份证书对所述终端设备进行设备身份认证，以及在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
第九方面，提供一种密钥管理装置，应用于认证服务端，所述装置包括：
第一接收单元，通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
第一认证单元，基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
第一发送单元，在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
第十方面，提供一种密钥管理装置，应用于TEE，所述方法包括：
第二发送单元，通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
第二接收单元，通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
第十一方面，提供一种业务处理装置，应用于TEE，所述装置包括：
第三接收单元，接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
第一加密单元，使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，以得到业务密文信息，并使用业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
第三发送单元，将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息。
第十二方面，提供一种业务处理装置，应用于业务服务端，所述装置包括：
第四接收单元，接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证述所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
第一解密单元，使用所述业务加密密钥对所述业务会话密钥密文进行解密以得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
第二认证单元，基于所述设备身份证书对所述终端设备进行设备身份认证；
业务处理单元，在确定所述终端设备通过设备认证后，基于所述目标业务数据对所述目标业务进行处理。
第十三方面，提供一种电子设备，应用于认证服务端，所述电子设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
第十四方面，提供一种计算机可读存储介质，应用于认证服务端，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的终端设备执行时，使得所述终端设备执行以下操作：
通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
第十五方面，提供一种电子设备，应用于TEE，所述电子设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
第十六方面，提供一种计算机可读存储介质，应用于TEE，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的终端设备执行时，使得所述终端设备执行以下操作：
通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
第十七方面，提供一种电子设备，应用于TEE，所述电子设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，以得到业务密文信息，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
使用业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理。
第十八方面，提供一种计算机可读存储介质，应用于TEE，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的终端设备执行时，使得所述终端设备执行以下操作：
接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，以得到业务密文信息，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
使用业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理。
第十九方面提供一种电子设备，应用于业务服务端，所述电子设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；使用所述业务加密密钥对所述业务会话密钥密文进行解密以得到所述业务会话密钥；
使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
基于所述设备身份证书对所述终端设备进行设备身份认证；
在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
第二十方面，提供一种计算机可读存储介质，应用于业务服务端，所述计算机可读存储介质存储一个或多个程序，所述一个或多个程序当被包括多个应用程序的终端设备执行时，使得所述终端设备执行以下操作：
接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；使用所述业务加密密钥对所述业务会话密钥密文进行解密以得到所述业务会话密钥；
使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
基于所述设备身份证书对所述终端设备进行设备身份认证；
在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
本说明书实施例的方案，利用TEE的安全能力，在认证服务端与TEE之间建立一条安全通道，TEE通过安全通道将能够证明自身所属的终端设备的身份的设备认证信息发送给认证服务端，可以确保设备认证信息在传输过程中不会被外界截获；认证服务端基于接收到的设备认证信息对TEE所属的终端设备进行设备认证，如果该终端设备通过设备认证后，则可以确定TEE所属的终端设备是真实可信的，在此情况下，通过安全通道将业务加密密钥发送给TEE，使得TEE可以利用业务加密密钥对用于加密业务数据的业务会话密钥进行加密后存储，不仅避免业务会话密钥遭到泄露，还利用TEE提供给的与其他执行环境隔离的存储环境来保证业务加密密钥及业务会话密钥的安全性、机密性和完整性，从而提高了业务数据传输及处理过程中的安全性；其次，认证服务端还在确定TEE所属的终端设备通过设备认证后，通过安全通道将用于与验证终端设备真实可信的设备身份证书发送给TEE，使得TEE在与业务方进行交互的过程中，还能够设备身份证书方证明自身所属的终端设备是可信的，进一步提高业务处理过程的安全性；另外，业务加密密钥和设备身份证书是认证服务端在确定TEE所属的终端设备通过设备认证的情况下，通过与TEE之间的安全通道下发给TEE的，这样就在认证服务端与TEE之间形成了完整的密钥信任体系，确保认证服务端部署在TEE中的业务加密密钥是安全有效的，且业务加密密钥和设备身份证书经过安全通道发送给TEE，能够避免业务加密密钥和设备身份证书在传输过程中被泄露，从而可以进一步确保后续进行业务数据传输及处理过程的安全性。
附图说明
此处所说明的附图用来提供对本说明书的进一步理解，构成本说明书的一部分，本说明书的示意性实施例及其说明用于解释本说明书，并不构成对本说明书的不当限定。在附图中：
图1为本说明书实施例提供的一种示意性的系统架构示意图；
图2为本说明书的一个实施例提供的一种密钥管理方法的流程示意图之一；
图3为本说明书的一个实施例提供的一种密钥管理方法的流程示意图之二；
图4为本说明书的一个实施例提供的一种密钥管理方法的流程示意图之三；
图5本说明书的一个实施例提供的一种密钥管理方法的流程示意图之四；
图6A为本说明书的一个实施例提供的一种业务处理方法的流程示意图之一；
图6B为本说明的一个实施例提供给的一种业务处理方法的流程示意图之二；
图7为本说明书的一个实施例提供的一种业务处理方法的流程示意图之三；
图8为本说明书的一个实施例提供的一种业务处理方法的流程示意图之四；
图9为本说明书的一个实施例提供的一种密钥管理系统的结构示意图；
图10为本说明书的一个实施例提供的一种业务处理系统的结构示意图；
图11为本说明书的一个实施例提供的一种密钥管理装置的结构示意图之一；
图12为本说明书的一个实施例提供的一种电子设备的结构示意图之一；
图13为本说明书的一个实施例提供的一种密钥管理装置的结构示意图之二；
图14为本说明书的一个实施例提供的一种业务处理装置的结构示意图之一；
图15为本说明书的一个实施例提供的一种电子设备的结构示意图之二；
图16为本说明书的一个实施例提供的一种业务处理装置的结构示意图之三；
图17为本说明书的一个实施例提供的一种电子设备的结构示意图之三。
具体实施方式
为使本说明书的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本说明书技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本文件保护的范围。
如前所述，终端设备上，业务方需要端侧安全部署密钥以实现可靠的业务数据加密传输。通常，在部署业务数据传输所需的密钥时，通常由业务方与终端设备中设置的TEE协商确定对称密钥，但是，在这种方式容易出现对称密钥遭到泄露，进而导致所有的业务数据泄露，因而业务数据传输及处理过程中存在较大的安全隐患。由此可见，如何保证用于加密业务数据的业务会话密钥的安全有效至关重要。
为了实现上述目的，本说明书实施例以TEE为基础，提供了一种密钥管理方案，利用TEE的安全能力，在认证服务端与TEE之间建立一条安全通道，TEE通过安全通道将能够证明自身所属的终端设备的身份的设备认证信息发送给认证服务端，可以确保设备认证信息在传输过程中不会被外界截获；认证服务端基于接收到的设备认证信息对TEE所属的终端设备进行设备认证，如果该终端设备通过设备认证后，则可以确定TEE所属的终端设备是真实可信的，在此情况下，通过安全通道将业务加密密钥发送给TEE，使得TEE可以利用业务加密密钥对用于加密业务数据的业务会话密钥进行加密后存储，不仅避免业务会话密钥遭到泄露，还利用TEE提供给的与其他执行环境隔离的存储环境来保证业务加密密钥及业务会话密钥的安全性、机密性和完整性，从而提高了业务数据传输及处理过程中的安全性；其次，认证服务端还在确定TEE所属的终端设备通过设备认证后，通过安全通道将用于与验证终端设备真实可信的设备身份证书发送给TEE，使得TEE在与业务方进行交互的过程中，还能够设备身份证书方证明自身所属的终端设备是可信的，进一步提高业务处理过程的安全性；另外，业务加密密钥和设备身份证书是认证服务端在确定TEE所属的终端设备通过设备认证的情况下，通过与TEE之间的安全通道下发给TEE的，这样就在认证服务端与TEE之间形成了完整的密钥信任体系，确保认证服务端部署在TEE中的业务加密密钥是安全有效的，且业务加密密钥和设备身份证书经过安全通道发送给TEE，能够避免业务加密密钥和设备身份证书在传输过程中被泄露，从而可以进一步确保后续进行业务数据传输及处理过程的安全性。
基于上述密钥管理方案，本说明书实施例还提供了后续基于部署在TEE中的业务加密密钥及终端设备的设备身份证书所执行的业务处理方案，由TEE与业务服务端之间基于TEE内部署的业务加密密钥进行业务数据及设备身份证书的加密传输，且由业务服务端基于设备身份证书对TEE所属的终端设备进行设备认证，以确保TEE所属的终端设备是真实可信的，从而确保业务数据传输及处理过程的安全性。本说明书实施例提供的业务处理方案能为诸多业务场景提供服务，如无网支付、隐私风控、模型保护等，本说明书实施例对此不作具体限定。
以下结合附图，详细说明本说明书各实施例提供的技术方案。
首先结合图1对本说明书实施例提供的技术方案的一种可能的应用场景进行说明。
图1为本说明书实施例提供的一种示意性的系统架构示意图，图1所示的系统框架中包括终端设备1和服务端2。其中，终端设备1中可设置TEE和通用执行环境(RichExecution Environment，REE)等执行环境。
TEE是通过对终端设备1现有的处理器添加硬件扩展能力，基于软硬结合的方式在终端设备中获得的一个同终端设备1中的其他应用执行环境相隔离的执行环境，即TEE是终端设备1中一块独立的区域，因而可以保证放入TEE的密钥、证书及数据等的安全性、机密性和完整性。TEE中可运行可信应用程序(Trusted Application，TA)和TEE系统(TrustedOperation System，TOS)，通过TA可以与外部环境(比如REE)之间建立用于进行数据交互的安全通道以及提供密钥管理(比如管理用于进行业务数据加密传输的业务会话密钥)、证书管理(比如管理证明TEE及其所属的终端设备的身份的证书)以及数据管理(比如管理业务涉及的敏感数据等)等功能。例如，通过TA提供的证书管理功能，TEE可以存储设备提供商为TEE所属的终端设备颁发的用于证明该终端设备的身份的设备证书等；通过TA提供的数据管理功能，TEE可以存储业务处理过程涉及的一些敏感数据，比如用户的个人隐私数据、服务端2下发的用于唯一标识业务加密密钥的密钥标识等；通过TA提供的密钥衍生功能，TEE可以在业务方请求进行业务处理时，TEE可以使用生成的设备身份私钥和业务请求中携带的用户标识来衍生用于对业务数据进行签名的业务身份私钥，相应地，服务端2(比如业务服务端)则可根据来自TEE的业务身份公钥和用户标识衍生用于对签名进行眼珠子的业务身份公钥；通过密钥管理功能，TEE可以随机生成用于进行业务数据加解密的业务会话密钥，TEE可以动态生成业务会话密钥，也即在业务方每次请求进行业务处理时都随机生成用于对本次业务处理所需的业务数据进行加解密的业务会话密钥；通过密钥管理功能，TEE还可以利用服务端2下发的业务加密密钥对业务会话密钥进行加密以避免业务会话密钥遭到泄露，以及对通过密钥衍生功能生成的私钥(比如业务身份使用)和认证服务端2下发的业务会话密钥及密钥标识等进行存储和管理。
REE中可运行安全性要求低的应用程序(Client Application，CA)和REE系统(Rich Operation System，ROS)。REE可分别与TEE及服务端2之间进行信息交互。
服务端2可以包括认证服务端和业务服务端，认证服务端可通过终端设备1中的REE与TEE进行交互来完成业务会话密钥的管理，业务服务端可通过终端设备1中的REE与TEE进行交互来完成业务处理。
在业务加密密钥的部署过程中，TEE可以建立与REE之间的安全通道，通过安全通道与REE进行信息交互，再由REE与认证服务端进行信息交互，从而建立起TEE与认证服务端之间的安全通道，实现TEE与认证服务端之间交互信息的安全传输。TEE可以通过与认证服务端之间的安全通道向认证服务端发送能够证明其所属的终端设备的身份的设备认证信息，认证服务端可基于接收到的设备认证信息对TEE所属的终端设备进行设备认证，以确定TEE所属的终端设备是否真实可信，并在确定该终端设备真实可信后，通过与TEE之间的安全通道向TEE发送用于对加解密业务数据所需的业务会话密钥进行加解密的业务加密密钥、用于证明TEE所属的终端设备真实可信的设备身份证书以及业务涉及的敏感数据(比如用于唯一标识业务加密密钥的密钥标识)等，由TEE对这些信息进行存储。由于TEE可以为这些信息提供一个与其他执行环境隔离的存储环境，可以保证这些信息的安全性、机密性和完整性。
在业务处理过程中，TEE可以根据业务方(比如终端设备1中的其他应用CA)的业务请求，使用业务会话密钥进行业务处理所需的业务数据及所属终端设备的设备身份证书进行加，以得到业务密文信息，并使用业务加密密钥对业务会话密钥进行加密以得到业务会话密钥密文，然后将业务密文信息和业务会话密钥密文返回给业务方，由业务方转发给业务服务端，业务服务端利用业务加密密钥先对业务会话密钥密文进行解密以得到业务会话密钥，再利用业务会话密钥对业务密文信息进行解密，以得到业务数据及终端设备的设备身份证书，并在基于终端设备的设备身份证书对TEE所属的终端设备进行设备认证通过后，基于业务数据进行相应的业务处理。由此，可以确保业务处理过程的安全性和可靠性。
进一步地，TEE处理可以将加密业务会话密钥所使用的业务加密密钥的密钥标识一起返回给业务方，由业务方发送给业务服务端。相应地，业务服务端在接收到密文标识后，可根据密文标识确定所要使用的业务加密密钥，然后利用业务加密密钥先对业务会话密钥密文进行解密以得到业务会话密钥，再利用业务会话密钥对业务密文信息进行解密，以得到目标业务数据及终端设备的设备身份证书。
基于图1所示的系统架构，本说明书实施例提供一种密钥管理方法。请参考图2，为本说明书的一个实施例提供的一种密钥管理方法的流程示意图，该图描述了TEE与认证服务端之间进行交互的一种具体实现方式。如图2所示，该方法可以包括：
S202，TEE通过与认证服务端之间的安全通道向认证服务端发送设备认证信息。
其中，设备认证信息为用户证明TEE所属的终端设备的身份的信息。
本说明书实施例中，在TEE与认证服务端之间建立一个安全通道，这样TEE与认证服务端之间通过安全通道进行信息交互，就不会被外界截获得到信息交互的内容。
在一种可选的实现方式中，TEE与认证服务端之间可通过预先协商确定通道密钥，两者基于协商确定的通道密钥进行交互信息的加密传输，由此即建立起TEE与认证服务端之间的安全通道，经通道密钥加密传输的交互信息无法被外界截而获得交互信息的内容，有效保证了交互信息的安全性。
具体而言，上述S202可以包括：TEE基于预先确定的通道密钥对终端设备的设备证书进行加密，以得到设备认证信息，然后将设备认证信息发送给认证服务端。其中，终端设备的设备证书可以是设备提供商为终端设备签发的、用于证明终端设备的身份的证书。TEE所属的终端设备的设备证书是预先存储在TEE中的，使得设备证书与终端设备中的其他应用执行环境隔离，从而保证设备证书的安全性、机密性和完整性。
更为具体地，在上述S204中，TEE在基于预先确定的通道密钥对终端设备的设备证书进行加密以得到设备认证信息时，可以对来自认证服务端的挑战码challenge进行签名，以得到第一签名信息，然后使用通道密钥对终端设备的设备证书及第一签名信息进行加密，以得到设备认证信息。这样，认证服务端在解密设备认证信息后，可以对TEE的第一签名信息进行验证，由此可以保证接收到的设备认证信息是可信的TEE发送的，进而可以保证解密得到的设备证书是可信的。
实际应用中，TEE在使用通道密钥对终端设备的设备证书及第一签名信息进行加密时，可以先将第一签名信息拷贝在设备证书后面，然后再使用通道密钥对设备证书及其后的第一签名信息进行加密，以得到设备证书信息。
S204，认证服务端基于设备认证信息对TEE所属的终端设备进行设备认证。
由于终端设备的设备认证信息能够证明终端设备的身份，认证服务端基于来自TEE的设备认证信息，即可对TEE所属的终端设备进行设备认证，以确定TEE所属的终端设备是否真实可信，避免认证服务端将业务加密密钥部署到非法的终端设备中的TEE而导致用于加密业务数据的业务会话密钥泄露，进一步提高业务加密密钥的安全性。
在一种可选的实现方式中，认证服务端接收到的设备认证信息是由TEE利用预先协商确定的通道密钥对TEE所属的终端设备的设备证书进行加密得到的。在此情况下，上述S204可以包括：认证服务端使用通道密钥对设备证书进行解密，以得到终端设备的设备证书，并基于终端设备的设备证书，对终端设备进行设备认证。示例地，认证服务端可以将解密得到的设备证书与设备提供商为该终端设备颁发的身份证书进行比对，如果比对一致，则可确定TEE所属的终端设备是真实可信；否则，则确定TEE所属的终端设备为非法终端设备。
在另一种可选的实现方式中，认证服务端接收到的设备认证信息是由TEE利用预先协商确定的通道密钥对TEE所属的终端设备的设备证书及TEE的第一签名信息进行加密得到的，第一签名信息由TEE对来自认证服务端的挑战码进行签名得到。在此情况下，上述S204可以包括：认证服务端使用通道密钥对设备认证信息进行解密，以得到终端设备的设备证书和第一签名信息，接着对第一签名信息进行验证，以确保设备认证信息是可信的TEE发送的；在确定第一签名信息验证通过后，认证服务端将第一签名信息中的挑战码与本地存储的挑战码进行比对，如果比对一致，则基于终端设备的设备证书，对终端设备进行设备认证。可以理解的是，在该实现方式中，TEE在加密得到设备认证信息时使用了对来自认证服务端的挑战码的签名，认证服务端在解密设备认证信息后，还对TEE的第一签名信息进行验证并对第一签名信息中的挑战码进行验证，由此可以保证接收到的设备认证信息是可信的TEE发送的，进而可以保证解密得到的设备证书是可信的。
S206，认证服务端在确定TEE所属的终端设备通过设备认证后，通过与TEE之间的安全通道向TEE发送业务加密密钥和设备身份证书。
其中，业务加密密钥用于对加密业务数据的业务会话密钥进行加解密。本说明书实施例中，不同业务对应的业务加密密钥可以相同，或者也可以不同，比如业务与业务加密密钥之间具有一一对应关系，业务加密密钥用于对所对应的业务的业务会话密钥进行加解密。实际应用中，认证服务端可以根据来自TEE的业务需求，通过与TEE之间的安全通道向TEE中部署相应的业务加密密钥。其次，TEE的业务需求可以是动态变化的，那么，认证服务端可以根据TEE动态变化的业务需求，通过与TEE之间的安全通道实时向TEE中部署相应的业务加密密钥，从而避免业务加密密钥固化带来的安全风险。另外，业务会话密钥是由TEE随机生成的，优选地，业务会话密钥可以是由TEE动态生成的，即也即一次一密，在业务方每次请求进行业务处理时都随机生成用于对本次业务处理所需的业务数据进行加解密的业务会话密钥，从而避免业务会话密钥固化带来的安全风险。
设备身份证书用于验证终端设备是真实可信的。示例地，认证服务端可利用TEE传到认证服务端的设备身份公钥为TEE所属的终端审核制作设备身份证书，然后利用与TEE协商确定的通道密钥对该设备身份证书进行加密后发送给TEE。
如前文所述，TEE与认证服务端之间可通过预先协商确定通道密钥，两者基于协商确定的通道密钥进行交互信息的加密传输，由此即建立起TEE与认证服务端之间的安全通道，经通道密钥加密传输的交互信息无法被外界截而获得交互信息的内容，有效保证了交互信息的安全性。基于此，在一种可选的实现方式中，上述S206可以包括：认证服务端使用预先确定的通道密钥对业务加密密钥进行加密，以得到加密后的业务加密密钥，然后将加密后的业务加密密钥和设备身份证书发送给TEE，由TEE利用通道密钥进行解密得到业务加密密钥和设备身份证书，从而使得TEE能够利用业务加密密钥对业务会话密钥进行加密。可以理解的是，通过利用与TEE协商确定的通道密钥对业务加密密钥和设备身份证书进行加密后发送给TEE，可以确保业务加密密钥和设备身份证书对外界不可见且无法被外界截获，可以确保业务加密密钥及设备身份证书传输的安全性；并且，由于TEE与终端设备中的其他应用执行环境相隔离，通过将业务加密密钥和设备身份证书传输给TEE，由TEE利用业务加密密钥对用于加密业务数据的业务会话密钥进行存储，TEE还可利用设备身份证书证明其所属的终端设备是真实可信的，从而可以有效确保业务会话密钥的存储和使用安全。
需要说明的是，实际应用中，认证服务端在向TEE部署TEE所属的终端设备的设备身份证书后，TEE可以实时主动向认证服务端上报设备身份证书和/或业务加密密钥的存储状态，当然，认证服务端也可以实时主动向TEE查询TEE存储的设备身份证书和/或业务加密密钥的存储状态。另外，认证服务端在确定TEE所属的终端设备通过设备认证后，还可通过与TEE之间的安全通道将业务涉及的敏感数据等发送给TEE进行存储，以利用TEE提供的安全可信、隔离的环境，保证这些敏感数据的存储安全及使用安全。示例地，认证服务端还可以通过与TEE之间的安全通道，将唯一标识业务加密密钥的密钥标识发送给TEE，使得后续在进行业务处理时，业务服务端可以根据密钥标识确定使用哪个业务加密密钥。
本说明书实施例中，TEE与认证服务端之间可以通过预先约定的方式协商通道密钥，也可以通过其他方式进行协商，在此不作具体限定。为进一步确保认证服务端为TEE部署的业务加密密钥及设备身份证书是安全有效的，在一种可选的实现方式中，TEE与认证服务端之间可相互进行身份认证，即TEE对认证服务端进行身份认证，以确定认证服务端是否真实可信，以及认证服务端对TEE进行身份认证，以确定TEE是否真实可信，在彼此通过身份认证后协商确定通道密钥。具体而言，如图3所示，TEE与认证服务端之间协商确定通道密钥的过程包括如下步骤：
S302，认证服务端向TEE发送第一认证信息。
其中，第一认证信息用于表征认证服务端的身份。示例地，第一认证信息可以包括认证服务端的设备证书，该设备证书可以是设备提供商为认证服务端颁发的用于证明认证服务端的身份的证书。或者，认证服务端及TEE中分别预先部署有认证密钥，第一认证信息可以由认证服务端利用认证密钥对特定信息(比如挑战码)进行加密得到，这样，如果TEE能够利用认证密钥解密得到特定信息，即可确定认证服务端通过身份认证。
S304，TEE基于第一认证信息对认证服务端进行身份认证并确定认证服务端通过身份认证。
TEE可以将接收到的第一认证信息与本地预置的第一认证信息进行比对，如果比对一致，则可确定认证服务端通过身份认证。示例地，TEE可以将接收到的认证服务端的设备证书与从设备提供商获取到的认证服务端的设备证书进行比对，如果比对一致，则确定认证服务端通过身份认证，由此可以确定认证服务端是真实可信的认证服务端。
S306，TEE向认证服务端发送第二认证信息。
其中，第二认证信息用于表征TEE的身份。示例地，第二认证信息可以包括TEE的证书，该证书可以是设备提供商为TEE颁发的用于证明TEE的身份的证书。或者，认证服务端及TEE中分别预先部署有认证密钥，第二认证信息可以由TEE利用认证密钥对特定信息(比如挑战码)进行加密得到，这样，如果认证服务端能够利用认证密钥解密得到特定信息，即可确定TEE通过身份认证。
S308，认证服务端基于第二认证信息对TEE进行身份认证并确定TEE通过身份认证。
认证服务端可以将接收到的第二认证信息与本地预置的第二认证信息进行比对，如果比对一致，则可确定TEE通过身份认证。示例地，认证服务端可以将接收到的TEE的证书与从设备提供商获取到的TEE的证书进行比对，如果比对一致，则确定TEE通过身份认证，由此可以确定TEE是真实可信的TEE。
S310，TEE与认证服务端通过握手的方式确定通道密钥。
示例地，TEE可以向认证服务端发送能够支持的通道密钥方案，认证服务端从中选择一种通道密钥方案作为目标通道加密方案，并使用TEE的公钥进行加密后再将加密后的目标通道加密方案发送给认证服务端；接着，TEE使用自身的私钥对加密后的目标通道加密方案解密，以得到目标通道加密方案，然后根据目标通道加密方案生成通道密钥，并使用认证服务端的公钥对通道密钥加密后发送给认证服务端；认证服务端利用自身的私钥对加密后的通道密钥进行解密，以得到通道密钥，由此，TEE与认证服务端之间完成通道密钥的协商。
需要说明的是，上述握手协商通道密钥的过程仅为示例性说明，在实际应用中，也可以有其他实现方式，只要保证TEE与认证服务端之间能够协商确定出通道密钥即可。
进一步地，TEE在与认证服务端协商确定出通道密钥后，即可基于该通道密钥与认证服务端进行信息交互。具体地，在本说明书实施例的技术方案中，在上述S310之后，还包括：
S312，TEE基于通道密钥对TEE所属的终端设备的设备证书进行加密，以得到设备认证信息。
S314，TEE将设备认证信息发送给认证服务端。
S316，认证服务端使用通道密钥对设备认证信息进行解密，以得到终端设备的设备证书。
S318，认证服务端基于终端设备的设备证书，对TEE所属的终端设备进行设备认证。
S320，认证服务端在确定TEE所属的终端设备通过设备认证后，使用通道密钥对业务加密密钥及为该终端设备颁发的设备身份证书进行加密。
其中，业务加密密钥用于对加密业务数据的业务会话密钥进行加解密。为终端设备颁发的设备身份证书用于证明该终端设备是真实可信的。
S322，认证服务端将加密后的业务加密密钥及设备身份证书发送给TEE。
S324，TEE使用通道密钥对加密后的业务加密密钥及设备身份证书进行解密，获得并存储业务加密密钥及设备身份证书。
上述S312至S324中各步骤的具体实现可以参见图2所示实施例中相应步骤的具体实现，在此不再重复说明。
可以理解的是，在上述实现方式中，TEE与认证服务端之间相互认证通过后，通过握手的方式协商确定通道密钥，可以确保TEE与认证服务端均是真实可信的；在此基础上，认证服务端还对TEE所属的终端设备进行设备认证，并在确定TEE所属的终端设备通过设备认证后再向TEE部署业务加密密钥，可以确保TEE所属的终端设备也是真实可信的，这样，就在认证服务端与TEE之间形成了完整的密钥信任体系，确保认证服务端部署在TEE中的业务加密密钥是安全有效的。
需要说明的是，上述密钥协商过程仅为示例性说明，在实际应用中，也可以有其他实现方式，只要保证TEE与认证服务端之间相互认证通过且协商确定出通道密钥即可。
另外，TEE与认证服务端之间协商确定的通道密钥可以为动态密钥，即TEE与认证服务端之间每次进行数据传输之前，均可以通过上述方式协商确定新的密钥。这样，由于TEE与认证服务端每次进行数据传输之前都协商新的通道密钥，并基于协商的新通道密钥进行数据传输，可以进一步提高数据传输的安全性。比如，在本实施例的方案中，TEE在每次向认证服务端发送设备认证信息之前，都与认证服务端协商确定新的通道密钥并基于新的通道密钥发送设备认证信息，可以进一步确保设备认证信息传输的安全性；认证服务端在每次向TEE发送业务加密密钥和设备身份证书之前，都与TEE协商确定新的通道密钥，向TEE发送业务加密密钥和设备身份证，可以进一步确保业务加密密钥和设备身份证书传输的安全性。
本说明书实施例提供的密钥管理方法，利用TEE的安全能力，在认证服务端与TEE之间建立一条安全通道，TEE通过安全通道将能够证明自身所属的终端设备的身份的设备认证信息发送给认证服务端，可以确保设备认证信息在传输过程中不会被外界截获；认证服务端基于接收到的设备认证信息对TEE所属的终端设备进行设备认证，如果该终端设备通过设备认证后，则可以确定TEE所属的终端设备是真实可信的，在此情况下，通过安全通道将业务加密密钥发送给TEE，使得TEE可以利用业务加密密钥对用于加密业务数据的业务会话密钥进行加密后存储，不仅避免业务会话密钥遭到泄露，还利用TEE提供给的与其他执行环境隔离的存储环境来保证业务加密密钥及业务会话密钥的安全性、机密性和完整性，从而提高了业务数据传输及处理过程中的安全性；其次，认证服务端还在确定TEE所属的终端设备通过设备认证后，通过安全通道将用于与验证终端设备真实可信的设备身份证书发送给TEE，使得TEE在与业务方进行交互的过程中，还能够设备身份证书方证明自身所属的终端设备是可信的，进一步提高业务处理过程的安全性；另外，业务加密密钥和设备身份证书是认证服务端在确定TEE所属的终端设备通过设备认证的情况下，通过与TEE之间的安全通道下发给TEE的，这样就在认证服务端与TEE之间形成了完整的密钥信任体系，确保认证服务端部署在TEE中的业务加密密钥是安全有效的，且业务加密密钥和设备身份证书经过安全通道发送给TEE，能够避免业务加密密钥和设备身份证书在传输过程中被泄露，从而可以进一步确保后续进行业务数据传输及处理过程的安全性。
图4为本说明书的一个实施例提供的密钥管理方法的流程示意图。图4所示的密钥管理方法的执行主体可以是图1所示的认证服务2，该方法可以包括如下步骤：
S402，通过与TEE之间的安全通道接收TEE发送的设备认证信息。
其中，设备认证信息存储于所述TEE中。设备认证信息为用于证明所述TEE所属的终端设备的身份的信息。
S404，基于设备认证信息对TEE所属的终端设备进行设备认证。
在一种可选的实现方式中，设备认证信息由TEE利用预先确定的通道密钥对终端设备的设备证书进行过加密得到，通道密钥由认证服务端与TEE预先协商确定。在此情况下，上述S404包括：使用通道密钥对设备认证信息进行解密，以得到终端设备的设备证书，然后基于终端设备的设备证书，对终端设备进行设备认证。
在另一种可选的实现方式中，接收到的设备认证信息是由TEE利用预先协商确定的通道密钥对TEE所属的终端设备的设备证书及TEE的第一签名信息进行加密得到的，第一签名信息由TEE对来自认证服务端的挑战码进行签名得到。在此情况下，上述S404包括：使用通道密钥对设备认证信息进行解密，以得到终端设备的设备证书和第一签名信息，接着对第一签名信息进行验证，以确保设备认证信息是可信的TEE发送的；在确定第一签名信息验证通过后，将第一签名信息中的挑战码与本地存储的挑战码进行比对，如果比对一致，则基于终端设备的设备证书，对终端设备进行设备认证。可以理解的是，在该实现方式中，TEE在加密得到设备认证信息时使用了对来自认证服务端的挑战码的签名，认证服务端在解密设备认证信息后，还对TEE的第一签名信息进行验证并对第一签名信息中的挑战码进行验证，由此可以保证接收到的设备认证信息是可信的TEE发送的，进而可以保证解密得到的设备证书是可信的。
本说明书实施例中，终端设备的设备证书可以是设备厂商预先为终端设备颁发的用于证明该终端设备的身份的证书，该设备证书可预先存储在终端设备的TEE中。
S406，在确定终端设备通过设备认证后，通过安全通道向所述TEE发送业务加密密钥和设备身份证书。
其中，业务加密密钥用于对加密业务数据的业务会话密钥进行加解密。本实施例中，不同业务对应的业务加密密钥可以相同，或者也可以不同。优选地，为进一步提升业务数据传输及处理过程的安全性，不同业务对应的业务加密密钥不同，所述业务加密密钥用于对所对应的业务的业务会话密钥进行加解密。
设备身份证书用于验证TEE所属的终端设备是真实可信的。
在一种可选的实现方式中，上述S406包括：使用预先确定的通道密钥对所述业务加密密钥和设备身份证书进行加密，以得到加密后的业务加密密钥及设备身份证书，所述通道密钥由所述认证服务端与所述TEE预先协商确定；将所述加密后的业务加密密钥及设备身份证书发送给所述TEE，由所述TEE利用所述通道密钥进行解密得到所述业务加密密钥和设备身份证书。
可选地，在上述S406之后，本实施例的密钥管理方法还可以包括：向TEE发送第一认证信息，第一认证信息用于表征认证服务端的身份，第一认证信息用于供TEE对认证服务端进行身份认证；接收TEE发送的第二认证信息并基于第二认证信息对TEE进行身份认证，第二认证信息用于表征TEE的身份；在确定TEE通过身份认证后，通过握手的方式与TEE协商确定所述通道密钥。
上述S402至S406中各步骤的具体实现可以参见图2所示实施例中相应步骤的具体实现，在此不再重复说明。
图5为本说明书的一个实施例提供的密钥管理方法的流程示意图。图4所示的密钥管理方法的执行主体可以是图1所示的终端设备1中的TEE，该方法可以包括如下步骤：
S502，通过与认证服务端之间的安全通道向认证服务端发送设备认证信息。
其中，设备认证信息为用于证明TEE所属的终端设备的身份的信息，设备认证信息用于认证服务端对TEE所属的终端设备进行设备认证。
在一种可选的实现方式中，上述S502包括：基于预先确定的通道密钥对TEE所属的终端设备的设备证书进行加密，以得到设备认证信息并将设备认证信息发送给认证服务端。其中，TEE所属的终端设备的设备证书预先存储在TEE中，通道密钥由认证服务端与TEE预先协商得到。更为具体地，基于预先确定的通道密钥对TEE所属的终端设备的设备证书进行加密以得到设备认证信息，包括：对来自所述认证服务端的挑战码进行签名，得到第一签名信息；使用所述通道密钥对所述终端设备的设备证书及所述第一签名数据进行加密，得到所述设备认证信息。
S504，通过与认证服务端之间的安全通道接收认证服务端发送的业务加密密钥和设备身份证书。
其中，业务加密密钥用于对加密业务数据的业务会话密钥进行加解密。业务加密密钥是认证服务端在确定TEE所属的终端设备通过设备认证后发送的。
设备身份证书用于证明TEE所属的终端设备是真实可信的。
在一种可选的实现方式中，上述S504包括：接收所述TEE发送的加密后的业务加密密钥和加密后的设备身份证书，并利用通道密钥对加密后的业务加密密钥和加密后的设备身份证书进行解密，以得到业务加密密钥和设备身份证书，加密后的业务加密密钥由TEE使用预先确定的通道密钥对业务加密密钥进行加密得到，加密后的设备身份证书由TEE使用预先确定的通道密钥对业务数据进行加密得到，通道密钥由认证服务端与TEE预先协商得到。当然，TEE也可以使用通道密钥对业务加密密钥和设备身份证书一起进行加密。
进一步地，在通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息之前，本实施例的密钥管理方法还包括：向认证服务端发送第二认证信息，第二认证信息用于表征TEE的身份，第二认证信息用于供认证服务端对TEE进行身份认证；接收认证服务端发送的第一认证信息并基于第一认证信息对认证服务端进行身份认证，第一认证信息用于表征认证服务端的身份；在确定认证服务端通过身份认证后，通过握手的方式与认证服务端协商确定所述通道密钥。
上述S502至S504中各步骤的具体实现可以参见图2所示实施例中相应步骤的具体实现，在此不再重复说明。
基于图1所示的系统架构，本说明书实施例还提供一种业务处理方法。请参考图6A，为本明书的一个实施例提供的一种业务处理方法的流程示意图，该图描述了TEE与业务服务端之间进行交互的一种具体实现方式。如图6A所示，该方法可以包括：
S602，TEE接收业务方发送的业务请求。
其中，业务请求是业务方在接收到目标用户针对目标业务的业务处理请求时发送的。业务方可以是TEE所属的终端设备中的、能够向用户提供某项业务的应用程序，比如运行在REE中的RA，或者也可以是向用户提供某项业务并对用户请求的业务进行处理的一方，例如金融机构等。目标用户可以为任意用户，本说明书实施例中，目标用户可以为发起某项指定业务的用户。目标业务可以是用户请求的业务，在实际应用中，目标业务可以包括多种，例如支付业务、隐私风控业务等。目标用户的用户标识可以是目标用户的姓名、身份证号、账号等，或者，可以基于这些信息中的一种或多种进行计算而得到的、可以唯一确定目标用户身份的信息。
S604，TEE使用生成的业务会话密钥对目标业务数据和TEE所属的终端设备的设备身份证书进行加密，得到业务密文信息。
其中，目标业务数据为对目标业务进行处理所需的业务数据。设备身份证书用于证明所述终端设备真实可信。业务加密密钥和设备身份证书由认证服务端基于TEE发送的设备认证信息确定该终端设备通过设备认证后，通过与TEE之间的安全通道发送给TEE。设备认证信息由TEE通过安全通道发送给所述认证服务端，设备认证信息为用于证明TEE所属的终端设备的身份的信息。
为确保传输给业务服务端的设备身份证书及目标业务数据的完整性及安全有效性，在一种可选的实现方式中，如图6B所示，上述S604可以包括如下步骤：S641，TEE基于目标用户的用户标识和TEE中预先存储的设备身份私钥，生成业务身份私钥；S642，TEE使用业务身份私钥对终端设备的设备身份证书及目标业务数据进行签名，以生成第二签名信息；S643，TEE使用业务加密密钥对第二签名信息进行加密，以得到业务密文信息。
S606，TEE使用业务加密密钥对业务会话密钥进行加密，得到业务会话密钥密文。
S608，TEE将业务密文信息和业务会话密钥密文发送给业务方，以由业务方将业务密文信息和业务会话密钥密文发送给业务服务端。
可以理解，通过利用业务会话密钥和业务加密密钥对业务数据及设备身份证书进行双重加密，可以进一步提供业务数据及设备身份证书在传输过程中的安全性。
进一步地，TEE还可以将加密所使用的业务加密密钥的密钥标识一起返回给业务方，由业务方发送给业务服务端。相应地，业务服务端在接收到密文标识后，可根据密文标识确定所要使用的业务加密密钥，并利用业务加密密钥对业务会话密钥密文进行解密，以得到业务会话密钥。
S610，业务服务端使用业务加密密钥对业务会话密钥密文进行解密，以得到业务会话密钥，以及利用业务会话密钥对业务密文信息进行解密，以得到设备身份证书和目标业务数据。
为确保传输给业务服务端的设备身份证书及目标业务数据的完整性及安全有效性，在一种可选的实现方式中，业务密文信息由TEE使用业务加密密钥对第二签名信息进行签名得到，第二签名信息由TEE使用业务身份私钥对终端设备的设备身份证书及目标业务数据进行签名得到。在此情况下，如图6B所示，上述S610可以包括：S6101，业务服务端使用业务加密密钥对业务会话密钥密文进行解密，以得到业务会话密钥；S6102，业务服务端使用业务会话密钥对接收到的业务密文信息进行解密，以得到第二签名信息；S6103，业务服务端基于目标用户的用户标识和TEE的设备身份公钥，以生成业务身份公钥；S6104，业务服务端基于业务身份公钥对第二签名信息进行验证，以得到设备身份证书和目标业务数据。
S612，业务服务端基于设备身份证书对终端设备进行设备身份认证，以及在确定终端设备通过设备身份认证后，基于目标业务数据对目标业务进行处理。
示例地，业务服务端可以从认证服务端获取到TEE所属的终端设备的设备身份证书，并将该设备身份证书与接收到的设备身份证书进行比对，如果比对一致，则可确定TEE所属的终端设备通过设备身份认证。需要说明的是，上述对终端设备的设备身份认证过程仅为示例性说明，在实际应用中，也可以有其他实现方式，只要保证业务服务端能够基于设备身份证书对终端设备进行设备身份认证即可。
本说明书实施例提供的业务处理方法，TEE根据业务方的业务请求，使用所存储的业务会话密钥对所属终端设备的设备身份证书及进行业务处理所需的业务数据进行加密后所得的业务密文信息经由业务方法发送给业务服务端，可以保证设备身份证书及业务数据传输过程的安全性；TEE还使用业务加密密钥对业务会话密钥进行加密后经由业务方发送给业务服务端，可以保证业务会话密钥不被泄露；业务服务端先利用业务加密密钥对加密后的业务会话密钥进行解密以得到业务会话密钥，再利用业务会话密钥对业务密文信息进行解密得到设备身份证书及业务数据，进一步基于设备身份证书对TEE所属的终端设备进行设备身份认证，在确定设备身份认证通过后，也即确定TEE所属的终端设备真实可信之后，再基于业务数据进行业务处理，可以确保业务处理过程的安全性和可靠性。此外，业务加密密钥和设备身份证书是利用了TEE的安全能力由认证服务端部署在TEE中的，具体地，利用TEE的安全能力，在认证服务端与TEE之间建立一条安全通道，TEE通过安全通道将能够证明自身所属的终端设备的身份的设备认证信息发送给认证服务端，可以确保设备认证信息在传输过程中不会被外界截获；认证服务端基于接收到的设备认证信息对TEE所属的终端设备进行设备认证，如果该终端设备通过设备认证后，则可以确定TEE所属的终端设备是真实可信的，在此情况下，通过安全通道将业务加密密钥发送给TEE，使得TEE可以利用业务加密密钥对用于加密业务数据的业务会话密钥进行加密后存储，不仅避免业务会话密钥遭到泄露，还利用TEE提供给的与其他执行环境隔离的存储环境来保证业务加密密钥及业务会话密钥的安全性、机密性和完整性，从而提高了业务数据传输及处理过程中的安全性；其次，认证服务端还在确定TEE所属的终端设备通过设备认证后，通过安全通道将用于与验证终端设备真实可信的设备身份证书发送给TEE，使得TEE在与业务方进行交互的过程中，还能够设备身份证书方证明自身所属的终端设备是可信的，进一步提高业务处理过程的安全性；另外，业务加密密钥和设备身份证书是认证服务端在确定TEE所属的终端设备通过设备认证的情况下，通过与TEE之间的安全通道下发给TEE的，这样就在认证服务端与TEE之间形成了完整的密钥信任体系，确保认证服务端部署在TEE中的业务加密密钥是安全有效的，且业务加密密钥和设备身份证书经过安全通道发送给TEE，能够避免业务加密密钥和设备身份证书在传输过程中被泄露，从而可以进一步确保后续进行业务数据传输及处理过程的安全性。
图7为本说明书的一个实施例提供的业务处理法的流程示意图。图7所示的业务处理方法的执行主体可以是图1所示的终端设备1中的TEE，该方法可以包括如下步骤：
S702，接收业务方发送的业务请求。
其中，业务请求是业务方在接收到目标用户针对目标业务的业务处理请求时发送的。
S704，使用业务会话密钥对TEE所属的终端设备的设备身份证书及目标业务数据进行加密，以得到业务密文信息。
其中，目标业务数据为对目标业务进行处理所需的业务数据。设备身份证书用于证明TEE所属的终端设备真实可信。设备身份证书由认证服务端基于TEE发送的设备认证信息确定TEE所属的终端设备通过设备认证后，通过与TEE之间的安全通道发送给TEE。设备认证信息由TEE通过安全通道发送给认证服务端，设备认证信息为用于证明TEE所属的终端设备的身份的信息。
在一种可选的实现方式中，上述S704包括：基于目标用户的用户标识和TEE中预先存储的设备身份私钥，生成业务身份私钥，业务请求中携带目标用户的用户标识；使用业务身份私钥对终端设备的设备身份证书及目标业务数据进行签名，以生成第二签名信息，并使用业务会话密钥对第二签名信息进行加密，以得到业务密文信息。
S706，使用业务加密密钥对业务会话密钥进行加密，得到业务会话密钥密文。
业务加密密钥由认证服务端基于TEE发送的设备认证信息确定TEE所属的终端设备通过设备认证后，通过与TEE之间的安全通道发送给TEE。
S708，将业务密文信息和业务会话密钥密文发送给业务方，以由业务方将业务密文信息发送给业务服务端，由业务服务端进行解密后对TEE所属的终端设备进行设备身份认证以及基于设备身份认证的认证结果对目标业务进行处理。
上述S702至S708中各步骤的具体实现可以参见图6A和图6B所示实施例中相应步骤的具体实现，在此不再重复说明。
图8为本说明书的一个实施例提供的业务处理法的流程示意图。图8所示的业务处理方法的执行主体可以是图1所示的业务服务端3，该方法可以包括如下步骤：
S802，接收TEE发送的业务密文信息和业务会话密钥密文。
其中，业务密文信息由TEE使用业务会话密钥对TEE所属的终端设备的设备身份证书及目标业务数据进行加密得到。业务会话密钥密文由TEE使用业务加密密钥对业务会话密钥进行加密得到。
目标业务数据为对目标业务进行处理所需的业务数据。设备身份证书用于证明TEE所属的终端设备真实可信。其中，业务加密密钥和设备身份证书由认证服务端基于TEE发送的设备认证信息确定TEE所属的终端设备通过身份认证后，通过与TEE之间的安全通道发送给TEE。设备认证信息由TEE通过与认证服务端之间的安全通道发送给认证服务端，设备认证信息为用于证明TEE所属的终端设备的身份的信息。
S804，使用业务加密密钥对业务会话密钥密文进行解密，以得到业务会话密钥。
S806，使用业务会话密钥对业务密文信息进行解密，以得到设备身份证书和目标业务数据。
在一种可选的实现方式中，业务密文信息由TEE使用业务会话密钥对第二签名信息进行签名得到，第二签名信息由TEE使用业务身份私钥对TEE所属的终端设备的设备身份证书及目标业务数据进行签名得到。相应地，上述S806包括：使用业务会话密钥对业务密文信息进行解密，以得到第二签名信息；基于目标用户的用户标识和TEE的设备身份公钥，以生成业务身份公钥，并基于业务身份公钥对第二签名信息进行验证，以得到设备身份证书和目标业务数据。
S808，基于设备身份证书对TEE所属的终端设备进行设备身份认证。
S810，在确定TEE所属的终端设备通过设备身份认证后，基于目标业务数据对目标业务进行处理。
上述S802至S810中各步骤的具体实现可以参见图6A和图6B所示实施例中相应步骤的具体实现，在此不再重复说明。
图9为本说明书的一个实施例提供的一种密钥管理系统900的结构示意图。请参考图9，图9所示的密钥管理系统900可以包括认证服务端910和TEE920，其中：
TEE920通过与认证服务端910之间的安全通道向认证服务端910发送设备认证信息，所述设备认证信息为用于证明TEE920所属的终端设备的身份的信息。
认证服务端910基于设备认证信息对TEE920所属的终端设备进行设备认证；
认证服务端910在确定TEE920所属的终端设备通过设备认证后，通过安全通道向TEE920发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
本实施例中，认证服务端910可以实现上述图2至图5所示实施例中认证服务端实现的功能，TEE920可以实现上述图2至图5所示实施例中TEE实现的功能，具体实现方式可以参见上述图2至图5所示实施例中相应步骤的具体实现，这里不再重复描述。
图10为本说明书的一个实施例提供的一种业务处理系统1000的结构示意图。请参考图10，图10所示的业务处理系统1000可以包括TEE 1010和业务服务端1020，其中：
TEE1010接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
TEE1010使用生成的业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，得到业务密文信息，以及使业务加密密钥对所述业务会话密钥进行加密，得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
TEE1010将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给所述业务服务端1020，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
业务服务端1020使用所述业务加密密钥对所述业务会话密钥密文进行解密，以得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
业务服务端1020基于所述设备身份证书对所述终端设备进行设备身份认证，以及在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
本实施例中，TEE1010可以实现上述图6A至图8所示实施例中TEE实现的功能，业务服务端1020可以实现上述图6A至图8所示实施例中业务服务端实现的功能，具体实现方式可以参见上述图6A至图8所示实施例中相应步骤的具体实现，这里不再重复描述。
此外，与上述图4所示的密钥管理方法相对应地，本说明书实施例还提供一种密钥管理装置，该密钥管理装置可应用于认证服务端。图11是本说明书实施例提供的一种密钥管理装置1100的结构示意图，包括：
第一接收单元1101，通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
第一认证单元1102，基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
第一发送单元1103，在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
本说明书实施例提供的密钥管理装置，利用TEE的安全能力，在认证服务端与TEE之间建立一条安全通道，TEE通过安全通道将能够证明自身所属的终端设备的身份的设备认证信息发送给认证服务端，可以确保设备认证信息在传输过程中不会被外界截获；认证服务端基于接收到的设备认证信息对TEE所属的终端设备进行设备认证，如果该终端设备通过设备认证后，则可以确定TEE所属的终端设备是真实可信的，在此情况下，通过安全通道将业务加密密钥发送给TEE，使得TEE可以利用业务加密密钥对用于加密业务数据的业务会话密钥进行加密后存储，不仅避免业务会话密钥遭到泄露，还利用TEE提供给的与其他执行环境隔离的存储环境来保证业务加密密钥及业务会话密钥的安全性、机密性和完整性，从而提高了业务数据传输及处理过程中的安全性；其次，认证服务端还在确定TEE所属的终端设备通过设备认证后，通过安全通道将用于与验证终端设备真实可信的设备身份证书发送给TEE，使得TEE在与业务方进行交互的过程中，还能够设备身份证书方证明自身所属的终端设备是可信的，进一步提高业务处理过程的安全性；另外，业务加密密钥和设备身份证书是认证服务端在确定TEE所属的终端设备通过设备认证的情况下，通过与TEE之间的安全通道下发给TEE的，这样就在认证服务端与TEE之间形成了完整的密钥信任体系，确保认证服务端部署在TEE中的业务加密密钥是安全有效的，且业务加密密钥和设备身份证书经过安全通道发送给TEE，能够避免业务加密密钥和设备身份证书在传输过程中被泄露，从而可以进一步确保后续进行业务数据传输及处理过程的安全性。
可选地，所述第一认证单元1102基于所述设备认证信息对所述TEE所属的终端设备进行设备认证，包括：
使用通道密钥对所述设备认证信息进行解密，以得到所述终端设备的设备证书，所述通道密钥通过与所述TEE预先协商确定，所述设备认证信息由所述TEE基于所述通道密钥对所述终端设备的设备证书进行加密得到，所述设备证书预先存储在所述TEE中；
基于所述终端设备的设备证书，对所述终端设备进行设备认证。
可选地，所述第一认证单元1102基于所述设备认证信息对所述TEE所属的终端设备进行设备认证，包括：
用所述通道密钥对所述设备认证信息进行解密，以得到所述终端设备的设备证书和所述第一签名信息，所述设备认证信息由所述TEE使用通道密钥对所属的终端设备的设备证书及第一签名信息进行加密得到，所述第一签名信息由所述TEE对来自所述认证服务端的挑战码进行签名得到；
对所述第一签名信息进行验证；
在确定验证通过后，将所述第一签名信息中的挑战码与本地存储的挑战码进行比对；
在所述第一签名信息中的挑战码与本地存储的挑战码比对一致时，基于所述终端设备的设备证书，对所述终端设备进行设备认证。
可选地，所述第一发送单元1103在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，包括：
使用预先确定的通道密钥对所述业务加密密钥及所述设备身份证书进行加密，以得到加密后的业务加密密钥及设备身份证书，所述通道密钥由所述认证服务端与所述TEE预先协商确定；
将所述加密后的业务加密密钥及设备身份证书发送给所述TEE，由所述TEE利用所述通道密钥进行解密得到所述业务加密密钥和所述设备身份证书。
可选地，所述第一发送单元1103，还在所述第一接收单元1101通过与TEE之间的安全通道接收所述TEE发送的设备认证信息之前，向所述TEE发送第一认证信息，所述第一认证信息用于表征所述认证服务端的身份，所述第一认证信息用于供所述TEE对所述认证服务端进行身份认证；
所述第一接收单元1101，还在通过与TEE之间的安全通道接收所述TEE发送的设备认证信息之前，接收所述TEE发送的第二认证信息并基于所述第二认证信息对所述TEE进行身份认证，所述第二认证信息用于表征所述TEE的身份；
所述密钥管理装置1100还包括：
第一协商单元，在确定所述TEE通过身份认证后，通过握手的方式与所述TEE协商确定所述通道密钥。
可选地，不同业务对应的业务加密密钥不同，所述业务加密密钥用于对所对应的业务的业务会话密钥进行加解密。
显然，本说明书实施例的密钥管理装置可以作为上述图4所示的密钥管理方法的执行主体，因此能够实现密钥管理方法在图4所实现的功能。由于原理相同，在此不再赘述。
图12是本说明书的一个实施例电子设备的结构示意图。请参考图12，在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。
处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(PeripheralComponent Interconnect，外设部件互连标准)总线或EISA(Extended Industry StandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图12中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。
存储器，用于存放程序。具体地，程序可以包括程序代码，所述程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。
处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成密钥管理装置。处理器，执行存储器所存放的程序，并具体用于执行以下操作：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
上述如本说明书图4所示实施例揭示的密钥管理装置执行的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本说明书实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本说明书实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。
应理解，本说明书实施例的电子设备可以实现密钥管理装置在图4所示实施例的功能。由于原理相同，本说明书实施例在此不再赘述。
当然，除了软件实现方式之外，本说明书的电子设备并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。
本说明书实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的便携式电子设备执行时，能够使该便携式电子设备执行图4所示实施例的方法，并具体用于执行以下操作：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
此外，与上述图5所示的密钥管理方法相对应地，本说明书实施例还提供一种密钥管理装置，该密钥管理装置可应用于TEE。图13是本说明书实施例提供的一种密钥管理装置1300的结构示意图，包括：
第二发送单元1301，通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
第二接收单元1302，通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加解密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥是所述认证服务端在确定所述终端设备通过设备认证后发送的。
本说明书实施例提供的密钥管理装置，利用TEE的安全能力，在认证服务端与TEE之间建立一条安全通道，TEE通过安全通道将能够证明自身所属的终端设备的身份的设备认证信息发送给认证服务端，可以确保设备认证信息在传输过程中不会被外界截获；认证服务端基于接收到的设备认证信息对TEE所属的终端设备进行设备认证，如果该终端设备通过设备认证后，则可以确定TEE所属的终端设备是真实可信的，在此情况下，通过安全通道将业务加密密钥发送给TEE，使得TEE可以利用业务加密密钥对用于加密业务数据的业务会话密钥进行加密后存储，不仅避免业务会话密钥遭到泄露，还利用TEE提供给的与其他执行环境隔离的存储环境来保证业务加密密钥及业务会话密钥的安全性、机密性和完整性，从而提高了业务数据传输及处理过程中的安全性；其次，认证服务端还在确定TEE所属的终端设备通过设备认证后，通过安全通道将用于与验证终端设备真实可信的设备身份证书发送给TEE，使得TEE在与业务方进行交互的过程中，还能够设备身份证书方证明自身所属的终端设备是可信的，进一步提高业务处理过程的安全性；另外，业务加密密钥和设备身份证书是认证服务端在确定TEE所属的终端设备通过设备认证的情况下，通过与TEE之间的安全通道下发给TEE的，这样就在认证服务端与TEE之间形成了完整的密钥信任体系，确保认证服务端部署在TEE中的业务加密密钥是安全有效的，且业务加密密钥和设备身份证书经过安全通道发送给TEE，能够避免业务加密密钥和设备身份证书在传输过程中被泄露，从而可以进一步确保后续进行业务数据传输及处理过程的安全性。
可选地，所述第二发送单元1301通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，包括：
基于预先确定的通道密钥对所述终端设备的设备证书进行加密，以得到所述设备认证信息，所述设备证书预先存储在所述TEE中，所述通道密钥由所述TEE与所述认证服务端预先协商确定；
将所述设备认证信息发送给所述认证服务端。
可选地，所述第二发送单元1301基于预先确定的通道密钥对所述终端设备的设备证书进行加密，以得到所述设备认证信息，包括：
对来自所述认证服务端的挑战码进行签名，以得到第一签名信息；
使用所述通道密钥对所述终端设备的设备证书及所述第一签名信息进行加密，以得到所述设备认证信息。
可选地，所述第二接收单元1302，还在通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息之前，接收所述认证服务端发送的第一认证信息，基于所述第一认证信息对所述认证服务端进行身份认证并确定所述认证服务端通过身份认证，所述第一认证信息用于表征所述认证服务端的身份；
所述第二发送单元1301，还在通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息之前，向所述认证服务端发送第二认证信息，所述第二认证信息用于表征所述TEE的身份，所述第二认证信息用于所述认证服务端对所述TEE进行身份认证；
所述密钥管理装置1300还包括：
第二协商单元，通过握手的方式与所述认证服务端协商确定所述通道密钥。
可选地，不同业务对应的业务加密密钥不同，所述业务加密密钥用于对所对应的业务的业务会话密钥进行加解密。
显然，本说明书实施例的密钥管理装置可以作为上述图5所示的密钥管理方法的执行主体，因此能够实现密钥管理方法在图5所实现的功能。由于原理相同，在此不再赘述。
此外，与上述图7所示的业务处理方法相对应地，本说明书实施例还提供一种业务处理装置，该业务处理装置可应用于TEE。图14是本说明书实施例提供的一种业务处理装置1400的结构示意图，包括：
第三接收单元1401，接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
第一加密单元1402，使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，得到业务密文信息，并使用业务加密密钥对所述业务会话密钥进行加密，得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
第三发送单元1403，将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息。
本说明书实施例提供的业务处理装置，TEE根据业务方的业务请求，使用所存储的业务会话密钥对所属终端设备的设备身份证书及进行业务处理所需的业务数据进行加密后所得的业务密文信息，经由业务方法发送给业务服务端，可以保证设备身份证书及业务数据传输过程的安全性；TEE还使用业务加密密钥对业务会话密钥进行加密后经由业务方法发送给业务服务端，可以保证业务会话密钥不被泄露；业务服务端在解密得到设备身份证书及业务数据后，先基于业务加密密钥对加密后的业务会话密钥进行解密以得到业务会话密钥，再利用业务会话密钥对业务密文进行解密以得到目标业务数据及TEE所属的终端设备的设备证书，进一步基于设备身份证书对TEE所属的终端设备进行设备身份认证，在确定设备身份认证通过后，也即确定TEE所属的终端设备真实可信之后，再基于业务数据进行业务处理，可以确保业务处理过程的安全性和可靠性。此外，业务加密密钥是利用了TEE的安全能力由认证服务端部署在TEE中的，具体地，利用TEE的安全能力，在认证服务端与TEE之间建立一条安全通道，TEE通过安全通道将能够证明自身所属的终端设备的身份的设备认证信息发送给认证服务端，可以确保设备认证信息在传输过程中不会被外界截获；认证服务端基于接收到的设备认证信息对TEE所属的终端设备进行设备认证，如果该终端设备通过设备认证后，则可以确定TEE所属的终端设备是真实可信的，在此情况下，通过安全通道将业务加密密钥发送给TEE，这样就在认证服务端与TEE之间形成了完整的密钥信任体系，确保认证服务端部署在TEE中的业务加密密钥是安全有效的，且该业务加密密钥经过安全通道发送给TEE，能够避免业务加密密钥在传输过程中被泄露；另外，TEE可以业务加密密钥提供一个与其他执行环境隔离的存储环境，可以保证业务加密密钥的安全性、机密性和完整性，从而进一步确保业务数据传输及处理过程的安全性。
可选地，所述第一加密单元1402使用业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，包括：
基于所述目标用户的用户标识和所述TEE中预先存储的设备身份私钥，生成业务身份私钥，所述业务请求中携带所述目标用户的用户标识；
使用所述业务身份私钥对所述终端设备的设备身份证书及所述目标业务数据进行签名，以生成第二签名信息，并使用所述业务会话密钥对所述第二签名信息进行加密，以得到所述业务密文信息。
显然，本说明书实施例的业务处理装置可以作为上述图7所示的业务处理方法的执行主体，因此能够实现业务处理方法在图7所实现的功能。由于原理相同，在此不再赘述。
图15是本说明书的一个实施例电子设备的结构示意图。请参考图15，在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。
处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(PeripheralComponent Interconnect，外设部件互连标准)总线或EISA(Extended Industry StandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图15中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。
存储器，用于存放程序。具体地，程序可以包括程序代码，所述程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。
处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成密钥管理装置。处理器，执行存储器所存放的程序，并具体用于执行以下操作：
通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
或者，处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成业务处理装置。处理器，执行存储器所存放的程序，并具体用于执行以下操作：
接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，得到业务密文信息，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
使用业务加密密钥对所述业务会话密钥进行加密，得到业务会话密钥密文，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理。
上述如本说明书图5所示实施例揭示的密钥管理装置执行的方法或者如本说明书图7所示实施例揭示的业务处理装置执行的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(NetworkProcessor，NP)等；还可以是数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本说明书实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本说明书实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。
应理解，本说明书实施例的电子设备可以实现密钥管理装置在图5所示实施例的功能或者可以实现业务处理装置在图7所示实施例的功能。由于原理相同，本说明书实施例在此不再赘述。
当然，除了软件实现方式之外，本说明书的电子设备并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。
本说明书实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的便携式电子设备执行时，能够使该便携式电子设备执行图5所示实施例的方法，并具体用于执行以下操作：
通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
本说明书实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的便携式电子设备执行时，能够使该便携式电子设备执行图7所示实施例的方法，并具体用于执行以下操作：
接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，得到业务密文信息，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
使用业务加密密钥对所述业务会话密钥进行加密，得到业务会话密钥密文，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理。
此外，与上述图8所示的业务处理方法相对应地，本说明书实施例还提供一种业务处理装置，该业务处理装置可应用于业务服务端。图16是本说明书实施例提供的一种业务处理装置1600的结构示意图，包括：
第四接收单元1601，接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证述所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
第一解密单元1602，使用所述业务加密密钥对所述业务会话密钥密文进行解密得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
第二认证单元1603，基于所述设备身份证书对所述终端设备进行设备身份认证；
业务处理单元1604，在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
本说明书实施例提供的业务处理装置，TEE根据业务方的业务请求，使用所存储的业务会话密钥对所属终端设备的设备身份证书及进行业务处理所需的业务数据进行加密后所得的业务密文信息，经由业务方法发送给业务服务端，可以保证设备身份证书及业务数据传输过程的安全性；TEE还使用业务加密密钥对业务会话密钥进行加密后经由业务方法发送给业务服务端，可以保证业务会话密钥不被泄露；业务服务端在解密得到设备身份证书及业务数据后，先基于业务加密密钥对加密后的业务会话密钥进行解密以得到业务会话密钥，再利用业务会话密钥对业务密文进行解密以得到目标业务数据及TEE所属的终端设备的设备身份证书，进一步基于设备身份证书对TEE所属的终端设备进行设备身份认证，在确定设备身份认证通过后，也即确定TEE所属的终端设备真实可信之后，再基于业务数据进行业务处理，可以确保业务处理过程的安全性和可靠性。此外，业务加密密钥是利用了TEE的安全能力由认证服务端部署在TEE中的，具体地，利用TEE的安全能力，在认证服务端与TEE之间建立一条安全通道，TEE通过安全通道将能够证明自身所属的终端设备的身份的设备认证信息发送给认证服务端，可以确保设备认证信息在传输过程中不会被外界截获；认证服务端基于接收到的设备认证信息对TEE所属的终端设备进行设备认证，如果该终端设备通过设备认证后，则可以确定TEE所属的终端设备是真实可信的，在此情况下，通过安全通道将业务加密密钥发送给TEE，这样就在认证服务端与TEE之间形成了完整的密钥信任体系，确保认证服务端部署在TEE中的业务加密密钥是安全有效的，且该业务加密密钥经过安全通道发送给TEE，能够避免业务加密密钥在传输过程中被泄露；另外，TEE可以业务加密密钥提供一个与其他执行环境隔离的存储环境，可以保证业务加密密钥的安全性、机密性和完整性，从而进一步确保业务数据传输及处理过程的安全性。
可选地，所述第一解密单元1602使用所述业务会话密钥对所述业务密文信息进行解密，包括：
使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述第二签名信息，所述业务密文信息由所述TEE使用所述业务会话密钥对第二签名信息进行加密得到，所述第二签名信息由所述TEE基于业务身份私钥对所属的终端设备的设备身份证书及所述目标业务数据进行签名得到；
基于所述目标用户的用户标识和所述TEE的设备身份公钥，以生成业务身份公钥，并基于所述业务身份公钥对所述第二签名信息进行验证，以得到所述设备身份证书和所述目标业务数据。
显然，本说明书实施例的业务处理装置可以作为上述图8所示的业务处理方法的执行主体，因此能够实现业务处理方法在图8所实现的功能。由于原理相同，在此不再赘述。
图17是本说明书的一个实施例电子设备的结构示意图。请参考图17，在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。
处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(Industry Standard Architecture，工业标准体系结构)总线、PCI(PeripheralComponent Interconnect，外设部件互连标准)总线或EISA(Extended Industry StandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图17中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。
存储器，用于存放程序。具体地，程序可以包括程序代码，所述程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。
处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，在逻辑层面上形成业务处理装置。处理器，执行存储器所存放的程序，并具体用于执行以下操作：
接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；使用所述业务加密密钥对所述业务会话密钥密文进行解密得到所述业务会话密钥；
使用所述业务会话密钥对所述业务密文信息进行解密，得到所述设备身份证书和所述目标业务数据；
基于所述设备身份证书对所述终端设备进行设备身份认证；
在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
上述如本说明书图8所示实施例揭示的业务处理装置执行的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本说明书实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本说明书实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。
应理解，本说明书实施例的电子设备可以实现业务处理装置在图8所示实施例的功能。由于原理相同，本说明书实施例在此不再赘述。
当然，除了软件实现方式之外，本说明书的电子设备并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。
本说明书实施例还提出了一种计算机可读存储介质，该计算机可读存储介质存储一个或多个程序，该一个或多个程序包括指令，该指令当被包括多个应用程序的便携式电子设备执行时，能够使该便携式电子设备执行图8所示实施例的方法，并具体用于执行以下操作：
接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；使用所述业务加密密钥对所述业务会话密钥密文进行解密得到所述业务会话密钥；
使用所述业务会话密钥对所述业务密文信息进行解密，得到所述设备身份证书和所述目标业务数据；
基于所述设备身份证书对所述终端设备进行设备身份认证；
在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。
总之，以上所述仅为本说明书的较佳实施例而已，并非用于限定本说明书的保护范围。凡在本说明书的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本说明书的保护范围之内。
上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。
计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

Claims (25)

1.一种密钥管理方法，包括：
可信执行环境TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
2.如权利要求1所述的方法，TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，包括：
所述TEE基于预先确定的通道密钥对所述终端设备的设备证书进行加密，以得到所述设备认证信息，所述设备证书预先存储在所述TEE中，所述通道密钥由所述TEE与所述认证服务端预先协商确定；
所述TEE将所述设备认证信息发送给所述认证服务端。
3.如权利要求2所述的方法，所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证，包括：
所述认证服务端使用所述通道密钥对所述设备认证信息进行解密，以得到所述终端设备的设备证书；
所述认证服务端基于所述终端设备的设备证书，对所述终端设备进行设备认证。
4.如权利要求2所述的方法，所述TEE基于预先确定的通道密钥对所述终端设备的设备证书进行加密，以得到所述设备认证信息，包括：
所述TEE对来自所述认证服务端的挑战码进行签名，以得到第一签名信息；
所述TEE使用所述通道密钥对所述终端设备的设备证书及所述第一签名信息进行加密，以得到所述设备认证信息。
5.如权利要求4所述的方法，所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证，包括：
所述认证服务端使用所述通道密钥对所述设备认证信息进行解密，以得到所述终端设备的设备证书和所述第一签名信息；
所述认证服务端对所述第一签名信息进行验证；
所述认证服务端在确定验证通过后，将所述第一签名信息中的挑战码与本地存储的挑战码进行比对；
所述认证服务端在所述第一签名信息中的挑战码与本地存储的挑战码比对一致时，基于所述终端设备的设备证书，对所述终端设备进行设备认证。
6.如权利要求1所述的方法，所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，包括：
使用预先确定的通道密钥对所述业务加密密钥和设备身份证书进行加密，以得到加密后的业务加密密钥及设备身份证书，所述通道密钥由所述认证服务端与所述TEE预先协商确定；
将所述加密后的业务加密密钥及设备身份证书发送给所述TEE，由所述TEE利用所述通道密钥进行解密得到所述业务加密密钥和所述设备身份证书。
7.如权利要求2或6所述的方法，在TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息之前，所述方法还包括：
所述认证服务端向所述TEE发送第一认证信息，所述第一认证信息用于表征所述认证服务端的身份；
所述TEE基于所述第一认证信息对所述认证服务端进行身份认证并确定所述认证服务端通过身份认证；
所述TEE向所述认证服务端发送第二认证信息，所述第二认证信息用于表征所述TEE的身份；
所述认证服务端基于所述第二认证信息对所述TEE进行身份认证并确定所述TEE通过身份认证；
所述TEE与所述认证服务端通过握手的方式确定所述通道密钥。
8.如权利要求1所述的方法，不同业务对应的业务加密密钥不同，所述业务加密密钥用于对所对应的业务的业务会话密钥进行加解密。
9.如权利要求1所述的方法，所述业务会话密钥由所述TEE动态生成。
10.一种密钥管理方法，应用于认证服务端，所述方法包括：
通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
11.一种密钥管理方法，应用于TEE，所述方法包括：
通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
12.一种业务处理方法，包括：
TEE接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
所述TEE使用生成的业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，以得到业务密文信息，以及使业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
所述TEE将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端；
所述业务服务端使用所述业务加密密钥对所述业务会话密钥密文进行解密，以得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
所述业务服务端基于所述设备身份证书对所述终端设备进行设备身份认证，以及在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
13.如权利要求12所述的方法，所述TEE使用业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，以得到业务密文信息，包括：
所述TEE基于所述目标用户的用户标识和所述TEE中预先存储的设备身份私钥，以生成业务身份私钥，所述业务请求中携带所述目标用户的用户标识；
所述TEE使用所述业务身份私钥对所述终端设备的设备身份证书及所述目标业务数据进行签名，以生成第二签名信息，并使用所述业务会话密钥对所述第二签名信息进行加密，以得到所述业务密文信息；
所述业务服务端使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据，包括：
所述业务服务端使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述第二签名信息；
所述业务服务端基于所述目标用户的用户标识和所述TEE的设备身份公钥，以生成业务身份公钥，并基于所述业务身份公钥对所述第二签名信息进行验证，以得到所述设备身份证书和所述目标业务数据。
14.一种业务处理方法，应用于TEE，所述方法包括：
接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，以得到业务密文信息，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
使用业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理。
15.一种业务处理方法，应用于业务服务端，所述方法包括：
接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
使用所述业务加密密钥对所述业务会话密钥密文进行解密以得到所述业务会话密钥；
使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
基于所述设备身份证书对所述终端设备进行设备身份认证；
在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
16.一种密钥管理系统，包括：TEE和认证服务端，其中：
所述TEE通过与所述认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
17.一种业务处理系统，包括TEE和业务服务端，其中：
所述TEE接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
所述TEE使用生成的业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，以得到业务密文信息，以及使业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
所述TEE将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给所述业务服务端，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
所述业务服务端使用所述业务加密密钥对所述业务会话密钥密文进行解密，以得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
所述业务服务端基于所述设备身份证书对所述终端设备进行设备身份认证，以及在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
18.一种密钥管理装置，应用于认证服务端，所述装置包括：
第一接收单元，通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
第一认证单元，基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
第一发送单元，在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
19.一种密钥管理装置，应用于TEE，所述装置包括：
第二发送单元，通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
第二接收单元，通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
20.一种业务处理装置，应用于TEE，所述装置包括：
第三接收单元，接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
第一加密单元，使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，以得到业务密文信息，并使用业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
第三发送单元，将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息。
21.一种业务处理装置，应用于业务服务端，所述装置包括：
第四接收单元，接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证述所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
第一解密单元，使用所述业务加密密钥对所述业务会话密钥密文进行解密以得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
第二认证单元，基于所述设备身份证书对所述终端设备进行设备身份认证；
业务处理单元，在确定所述终端设备通过设备认证后，基于所述目标业务数据对所述目标业务进行处理。
22.一种电子设备，应用于认证服务端，所述电子设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
23.一种电子设备，应用于TEE，所述电子设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
24.一种电子设备，应用于TEE，所述电子设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，以得到业务密文信息，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
使用业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理。
25.一种电子设备，应用于业务服务端，所述电子设备包括：
处理器；以及
被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行以下操作：
接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
使用所述业务加密密钥对所述业务会话密钥密文进行解密以得到所述业务会话密钥；
使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
基于所述设备身份证书对所述终端设备进行设备身份认证；
在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
CN202210114372.1A 2022-01-30 2022-01-30 密钥管理和业务处理方法、装置及系统 Pending CN114257382A (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN202210114372.1A CN114257382A (zh) 2022-01-30 2022-01-30 密钥管理和业务处理方法、装置及系统
PCT/CN2023/071492 WO2023143037A1 (zh) 2022-01-30 2023-01-10 密钥管理和业务处理

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210114372.1A CN114257382A (zh) 2022-01-30 2022-01-30 密钥管理和业务处理方法、装置及系统

Publications (1)

Publication Number Publication Date
CN114257382A true CN114257382A (zh) 2022-03-29

Family

ID=80796834

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210114372.1A Pending CN114257382A (zh) 2022-01-30 2022-01-30 密钥管理和业务处理方法、装置及系统

Country Status (2)

Country Link
CN (1) CN114257382A (zh)
WO (1) WO2023143037A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115941336A (zh) * 2022-12-12 2023-04-07 支付宝(杭州)信息技术有限公司 数据的处理方法、装置及设备
CN116032556A (zh) * 2022-12-13 2023-04-28 支付宝(杭州)信息技术有限公司 小程序应用的密钥协商方法及装置
WO2023143037A1 (zh) * 2022-01-30 2023-08-03 支付宝(杭州)信息技术有限公司 密钥管理和业务处理
EP4293546A1 (en) * 2022-06-17 2023-12-20 Alipay (Hangzhou) Information Technology Co., Ltd. Data processing methods, apparatuses, and devices
CN117375832A (zh) * 2023-12-06 2024-01-09 飞腾信息技术有限公司 密钥管理方法、装置、计算设备及计算机可读存储介质

Citations (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040003245A1 (en) * 2002-06-28 2004-01-01 Dabbish Ezzat A. Method and system for multiple scope authentication of vehicle components
US20050076216A1 (en) * 2003-10-01 2005-04-07 Nokia Corporation Method for securing a communication
CN103023911A (zh) * 2012-12-25 2013-04-03 北京工业大学 可信网络设备接入可信网络认证方法
KR20140135461A (ko) * 2013-05-16 2014-11-26 인포뱅크 주식회사 결제 처리 시스템, 장치 및 방법
US20160099969A1 (en) * 2014-10-06 2016-04-07 The Boeing Company Enforcing policy compliance on a device
US20160254904A1 (en) * 2015-02-27 2016-09-01 Verizon Patent And Licensing Inc. Network services via trusted execution environment
CN106453196A (zh) * 2015-08-04 2017-02-22 中国移动通信集团公司 一种针对可信执行环境的密钥写入装置、系统及方法
US20170201884A1 (en) * 2014-07-21 2017-07-13 Yulong Computer Telecommunication Scientific (Shenzhen) Co., Ltd. Mobility Management Entity, Terminal, and Identity Authentication Method
CN107679847A (zh) * 2017-09-07 2018-02-09 广东工业大学 一种基于近场通信双向身份认证的移动交易隐私保护方法
CN108282467A (zh) * 2017-12-29 2018-07-13 北京握奇智能科技有限公司 数字证书的应用方法、系统
CN108768664A (zh) * 2018-06-06 2018-11-06 腾讯科技（深圳）有限公司 密钥管理方法、装置、系统、存储介质和计算机设备
CN110290102A (zh) * 2019-04-26 2019-09-27 武汉众邦银行股份有限公司 基于应用的业务安全系统及方法
CN110677418A (zh) * 2019-09-29 2020-01-10 四川虹微技术有限公司 可信声纹认证方法、装置、电子设备及存储介质
US20200067922A1 (en) * 2018-08-21 2020-02-27 HYPR Corp. Out-of-band authentication based on secure channel to trusted execution environment on client device
CN112787813A (zh) * 2021-01-19 2021-05-11 北京豆荚科技有限公司 一种基于可信执行环境的身份认证方法
US20210281408A1 (en) * 2019-01-04 2021-09-09 Baidu.Com Times Technology (Beijing) Co. Ltd. A data processing accelerator having a security unit to provide root trust services
US20210288944A1 (en) * 2020-03-13 2021-09-16 Arm Ip Limited Methods and apparatus for encrypted communication
US20210385075A1 (en) * 2018-10-29 2021-12-09 Visa International Service Association Efficient authentic communication system and method
CN113962711A (zh) * 2021-10-28 2022-01-21 支付宝(杭州)信息技术有限公司 一种数据处理方法、装置及设备

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114257382A (zh) * 2022-01-30 2022-03-29 支付宝(杭州)信息技术有限公司 密钥管理和业务处理方法、装置及系统

Patent Citations (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040003245A1 (en) * 2002-06-28 2004-01-01 Dabbish Ezzat A. Method and system for multiple scope authentication of vehicle components
US20050076216A1 (en) * 2003-10-01 2005-04-07 Nokia Corporation Method for securing a communication
CN103023911A (zh) * 2012-12-25 2013-04-03 北京工业大学 可信网络设备接入可信网络认证方法
KR20140135461A (ko) * 2013-05-16 2014-11-26 인포뱅크 주식회사 결제 처리 시스템, 장치 및 방법
US20170201884A1 (en) * 2014-07-21 2017-07-13 Yulong Computer Telecommunication Scientific (Shenzhen) Co., Ltd. Mobility Management Entity, Terminal, and Identity Authentication Method
US20160099969A1 (en) * 2014-10-06 2016-04-07 The Boeing Company Enforcing policy compliance on a device
US20160254904A1 (en) * 2015-02-27 2016-09-01 Verizon Patent And Licensing Inc. Network services via trusted execution environment
CN106453196A (zh) * 2015-08-04 2017-02-22 中国移动通信集团公司 一种针对可信执行环境的密钥写入装置、系统及方法
CN107679847A (zh) * 2017-09-07 2018-02-09 广东工业大学 一种基于近场通信双向身份认证的移动交易隐私保护方法
CN108282467A (zh) * 2017-12-29 2018-07-13 北京握奇智能科技有限公司 数字证书的应用方法、系统
CN108768664A (zh) * 2018-06-06 2018-11-06 腾讯科技（深圳）有限公司 密钥管理方法、装置、系统、存储介质和计算机设备
US20200067922A1 (en) * 2018-08-21 2020-02-27 HYPR Corp. Out-of-band authentication based on secure channel to trusted execution environment on client device
US20210385075A1 (en) * 2018-10-29 2021-12-09 Visa International Service Association Efficient authentic communication system and method
US20210281408A1 (en) * 2019-01-04 2021-09-09 Baidu.Com Times Technology (Beijing) Co. Ltd. A data processing accelerator having a security unit to provide root trust services
CN110290102A (zh) * 2019-04-26 2019-09-27 武汉众邦银行股份有限公司 基于应用的业务安全系统及方法
CN110677418A (zh) * 2019-09-29 2020-01-10 四川虹微技术有限公司 可信声纹认证方法、装置、电子设备及存储介质
US20210288944A1 (en) * 2020-03-13 2021-09-16 Arm Ip Limited Methods and apparatus for encrypted communication
CN112787813A (zh) * 2021-01-19 2021-05-11 北京豆荚科技有限公司 一种基于可信执行环境的身份认证方法
CN113962711A (zh) * 2021-10-28 2022-01-21 支付宝(杭州)信息技术有限公司 一种数据处理方法、装置及设备

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
李新国, 葛建华, 赵春明: "IBE公钥加密系统的用户私钥分发方案", 西安电子科技大学学报, no. 04, 20 August 2004 (2004-08-20), pages 569 - 573 *
罗志恒;: "云密钥系统在门诊电子病历的应用", 科技创新导报, no. 11, 11 April 2020 (2020-04-11), pages 157 - 158 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2023143037A1 (zh) * 2022-01-30 2023-08-03 支付宝(杭州)信息技术有限公司 密钥管理和业务处理
EP4293546A1 (en) * 2022-06-17 2023-12-20 Alipay (Hangzhou) Information Technology Co., Ltd. Data processing methods, apparatuses, and devices
CN115941336A (zh) * 2022-12-12 2023-04-07 支付宝(杭州)信息技术有限公司 数据的处理方法、装置及设备
CN116032556A (zh) * 2022-12-13 2023-04-28 支付宝(杭州)信息技术有限公司 小程序应用的密钥协商方法及装置
CN117375832A (zh) * 2023-12-06 2024-01-09 飞腾信息技术有限公司 密钥管理方法、装置、计算设备及计算机可读存储介质
CN117375832B (zh) * 2023-12-06 2024-02-27 飞腾信息技术有限公司 密钥管理方法、装置、计算设备及计算机可读存储介质

Also Published As

Publication number Publication date
WO2023143037A1 (zh) 2023-08-03

Similar Documents

Publication Publication Date Title
CN107743133B (zh) 移动终端及其基于可信安全环境的访问控制方法和系统
WO2023143037A1 (zh) 密钥管理和业务处理
WO2018050081A1 (zh) 设备身份认证的方法、装置、电子设备及存储介质
US11212093B2 (en) Method of social key recovery and related device
CN111683103B (zh) 信息交互方法及装置
CN112532393A (zh) 一种跨链交易的验证方法、中继链节点设备及介质
CN111461883A (zh) 一种基于区块链的交易处理方法、装置和电子设备
RU2682430C1 (ru) Способ и устройство регистрации и аутентификации информации
KR102157695B1 (ko) 익명 디지털 아이덴티티 수립 방법
US20240106633A1 (en) Account opening methods, systems, and apparatuses
CN113360857A (zh) 一种软件的代码启动方法和系统
CN115348023A (zh) 一种数据安全处理方法和装置
CN112926046A (zh) 用于保护设备标识信息的移动终端设备匿名标识信息认证的方法及其系统
CN113162915A (zh) 基于区块链的交易方法、节点、电子设备、介质和系统
US9876774B2 (en) Communication security system and method
CN108429621B (zh) 一种身份验证方法及装置
CN113127818A (zh) 一种基于区块链的数据授权方法、装置及可读存储介质
CN116528230A (zh) 验证码处理方法、移动终端及可信服务系统
US20240113898A1 (en) Secure Module and Method for App-to-App Mutual Trust Through App-Based Identity
CN114124440A (zh) 安全传输方法、装置、计算机设备和存储介质
CN114024702A (zh) 信息安全保护的方法以及计算设备
CN114338091B (zh) 数据传输方法、装置、电子设备及存储介质
CN114826616B (zh) 数据处理方法、装置、电子设备和介质
CN115361168B (zh) 一种数据加密方法、装置、设备及介质
EP4174695A1 (en) Method to store data persistently by a software payload

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination