CN116032504A - 数据解密方法、装置及存储介质 - Google Patents

Abstract

本公开涉及一种数据解密方法、装置及存储介质，涉及信息安全领域，该方法包括：服务器接收第一访问密码，利用第一公钥对第一访问密码加密得到第二访问密码，电子设备接收服务器发送的第二访问密码；通过与第一公钥对应的第一私钥对第二访问密码进行解密，得到第一访问密码；获取存储于电子设备指定区域的第二数据密码，第二数据密码是通过第一访问密码对电子设备的第一数据密码加密得到的；利用第一访问密码对第二数据密码进行解密，得到第一数据密码；利用第一数据密码对电子设备中的被加密的用户数据进行解密。能够在保护用户数据安全的同时，解决无法解锁电子设备中的用户数据的问题。

Description

数据解密方法、装置及存储介质

技术领域

本公开涉及信息安全领域，尤其涉及一种数据解密方法、装置及存储介质。

背景技术

如今数据加密解密技术被广泛地应用于各个领域，而在电子设备领域，保护用户数据是个永久的话题，手机等也不例外，以Android为例，在相关技术中，近几年开始对用户的数据资料进行加密，用户的数据是由首次开机的时候，手机自己生成的一把秘钥来加密的。为了保护用户的数据，所以需要对这个秘钥进行保护，也就有了锁屏密码。但问题也因此而生，通过锁屏密码获取该秘钥的过程，会经过多个中间文件校验以及多个调用，任何一个地方出了问题都会导致无法解密，从而导致用户的数据丢失，难以找回。

发明内容

为克服相关技术中存在的问题，本公开提供一种数据解密方法、装置及存储介质。

根据本公开实施例的第一方面，提供一种数据解密方法，应用于电子设备，所述方法包括：

从服务器接收第二访问密码，所述第二访问密码由所述服务器利用第一公钥对第一访问密码加密得到；

通过与所述第一公钥对应的第一私钥对所述第二访问密码进行解密，得到所述第一访问密码；

获取存储于所述电子设备指定区域的第二数据密码，所述第二数据密码是通过所述第一访问密码对电子设备的第一数据密码加密得到的；

利用所述第一访问密码对所述第二数据密码进行解密，得到所述第一数据密码；

利用所述第一数据密码对所述用户设备中的被加密的用户数据进行解密。

可选地，在所述接收所述服务器发送的所述第二访问密码之前，所述方法还包括：

向所述服务器发送第一访问密码；

从所述服务器接收第三访问密码，所述第三访问密码由所述服务器利用所述第一公钥对所述第一访问密码加密得到；

通过与所述第一公钥对应的第一私钥对所述第三访问密码进行解密，得到所述第一访问密码；

通过所述第一访问密码对所述第一数据密码进行加密，得到所述第二数据密码；

将所述第二数据密码存储在所述指定区域。

可选地，所述方法还包括：

生成所述第一数据密码；

通过所述电子设备中的安全应用生成第一公私钥对，所述第一公私钥对包括所述第一公钥和所述第一私钥，所述安全应用运行于所述电子设备的可信执行环境中；

将所述第一公钥发送至所述服务器；

将所述第一私钥存储在所述安全应用中。

可选地，所述利用所述第一访问密码对所述第二数据密码进行解密，得到所述第一数据密码，包括：

通过所述电子设备中的安全应用，利用所述第一访问密码对所述第二数据密码进行解密，所述安全应用运行于所述电子设备的可信执行环境中。

可选地，所述将所述第二数据密码存储在所述指定区域，包括：

将所述第二数据密码存储在位于所述电子设备的可信执行环境中的安全分区中。

可选地，所述方法还包括：

在所述电子设备首次启动的情况下，在启动界面显示用于设置第一访问密码的提示信息；

响应于接收到设置所述第一访问密码的设置指令，将所述启动界面跳转到所述服务器提供的密码设置界面；

或者，

在所述电子设备非首次启动的情况下，响应于在所述电子设备的设置界面上接收到的设置所述第一访问密码的设置指令，将所述设置界面跳转到所述服务器提供的所述密码设置界面，所述密码设置界面用于用户通过所述密码设置界面在所述服务器上设置用于对所述电子设备的用户数据进行解密的所述第一访问密码。

根据本公开实施例的第二方面，提供一种数据解密方法，应用于服务器，所述方法包括：

接收用户输入的用于访问电子设备的用户数据的第一访问密码；

利用与所述电子设备对应的第一公钥对所述第一访问密码加密得到第二访问密码；

将所述第二访问密码发送至所述电子设备，用于所述电子设备通过与所述第一公钥对应的第一私钥对所述第二访问密码进行解密得到所述第一访问密码，并在获取到存储于所述电子设备指定区域的第二数据密码后，利用所述第一访问密码对所述第二数据密码进行解密得到所述第一数据密码，所述第一数据密码用于对所述电子设备中的被加密的用户数据进行解密。

可选地，在所述接收用户输入的用于解密电子设备的用户数据的第一访问密码之前，所述方法还包括：

接收用户设置的所述第一访问密码；

利用与所述电子设备对应的第一公钥对所述第一访问密码加密得到第三访问密码；

将所述第三访问密码发送至所述电子设备，以供所述电子设备通过与所述第一公钥对应的第一私钥对所述第三访问密码进行解密得到所述第一访问密码，并在通过所述第一访问密码对所述电子设备的第一数据密码进行加密得到第二数据密码后，将所述第二数据密码保存至存储于所述指定区域。

可选地，所述第一公钥和所述第一私钥是由所述电子设备中的安全应用生成的，所述第一公钥是在所述安全应用生成所述第一公钥和所述第一私钥后由所述电子设备发送给所述服务器的，所述安全应用运行于所述电子设备的可信执行环境中。

根据本公开实施例的第三方面，提供一种数据解密装置，应用于电子设备，所述装置包括：

第一接收模块，被配置为从服务器接收第二访问密码，所述第二访问密码由所述服务器利用第一公钥对第一访问密码加密得到；

第一解密模块，被配置为通过与所述第一公钥对应的第一私钥对所述第二访问密码进行解密，得到所述第一访问密码；

获取模块，被配置为获取存储于所述电子设备指定区域的第二数据密码，所述第二数据密码是通过所述第一访问密码对电子设备的第一数据密码加密得到的；

第二解密模块，被配置为利用所述第一访问密码对所述第二数据密码进行解密，得到所述第一数据密码；

第三解密模块，被配置为利用所述第一数据密码对所述用户设备中的被加密的用户数据进行解密。

可选地，所述装置还包括：

发送模块，被配置为向所述服务器发送第一访问密码；

第二接收模块，被配置为从所述服务器接收第三访问密码，所述第三访问密码由所述服务器利用所述第一公钥对所述第一访问密码加密得到；

第四解密模块，被配置为通过与所述第一公钥对应的第一私钥对所述第三访问密码进行解密，得到所述第一访问密码；

加密模块，被配置为通过所述第一访问密码对所述第一数据密码进行加密，得到所述第二数据密码；

第一存储模块，被配置为将所述第二数据密码存储在所述指定区域。

可选地，所述装置还包括：

生成模块，被配置为生成所述第一数据密码；

安全模块，被配置为通过所述电子设备中的安全应用生成第一公私钥对，所述第一公私钥对包括所述第一公钥和所述第一私钥，所述安全应用运行于所述电子设备的可信执行环境中；

发送模块，被配置为将所述第一公钥发送至所述服务器；

第二存储模块，被配置为将所述第一私钥存储在所述安全应用中。

可选地，所述第二解密模块，被配置为：

通过所述电子设备中的安全应用，利用所述第一访问密码对所述第二数据密码进行解密，所述安全应用运行于所述电子设备的可信执行环境中。

可选地，所述第一存储模块，被配置为：

将所述第二数据密码存储在位于所述电子设备的可信执行环境中的安全分区中。

可选地，所述装置还包括：

显示模块，被配置为在所述电子设备首次启动的情况下，在启动界面显示用于设置第一访问密码的提示信息；

通信模块，被配置为响应于接收到设置所述第一访问密码的设置指令，将所述启动界面跳转到所述服务器提供的密码设置界面；

或者，

所述通信模块，被配置为在所述电子设备非首次启动的情况下，响应于在所述电子设备的设置界面上接收到的设置所述第一访问密码的设置指令，将所述启动界面跳转到所述服务器提供的所述密码设置界面，所述密码设置界面用于用户通过所述密码设置界面在所述服务器上设置用于对所述电子设备的用户数据进行解密的所述第一访问密码。

根据本公开实施例的第四方面，提供一种数据解密装置，应用于服务器，所述装置包括：

第一接收模块，被配置为接收用户输入的用于访问电子设备的用户数据的第一访问密码；

第一加密模块，被配置为利用与所述电子设备对应的第一公钥对所述第一访问密码加密得到第二访问密码；

发送模块，被配置为将所述第二访问密码发送至所述电子设备，用于所述电子设备通过与所述第一公钥对应的第一私钥对所述第二访问密码进行解密得到所述第一访问密码，并在获取到存储于所述电子设备指定区域的第二数据密码后，利用所述第一访问密码对所述第二数据密码进行解密得到所述第一数据密码，所述第一数据密码用于对所述电子设备中的被加密的用户数据进行解密。

可选地，所述装置还包括：

第二接收模块，被配置为在所述接收用户输入的用于解密电子设备的用户数据的第一访问密码之前，接收用户首次输入的所述第一访问密码；

第二加密模块，被配置为利用与所述电子设备对应的第一公钥对所述第一访问密码加密得到第三访问密码；

所述发送模块，还被配置为将所述第三访问密码发送至所述电子设备，以供所述电子设备通过与所述第一公钥对应的第一私钥对所述第三访问密码进行解密得到所述第一访问密码，并在通过所述第一访问密码对所述电子设备的第一数据密码进行加密得到第二数据密码后，将所述第二数据密码保存至存储于所述指定区域。

可选地，所述第一公钥和所述第一私钥是由所述电子设备中的安全应用生成的，所述第一公钥是在所述安全应用生成所述第一公钥和所述第一私钥后由所述电子设备发送给所述服务器的，所述安全应用运行于所述电子设备的可信执行环境中。

根据本公开实施例的第五方面，提供一种数据解密电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为：执行所述可执行指令以实现上述第一方面中的任一实施方式所述方法的步骤。

根据本公开实施例的第六方面，提供另一种数据解密电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为：执行所述可执行指令以实现上述第二方面中的任一实施方式所述方法的步骤。

根据本公开实施例的第七方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该程序指令被处理器执行时实现上述第一方面中的任一实施方式所述方法的步骤。

根据本公开实施例的第八方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该程序指令被处理器执行时实现上述第二方面中的任一实施方式所述方法的步骤。

本公开的实施例提供的技术方案可以包括以下有益效果：

上述技术方案中，服务器在接收用户输入的第一访问密码后，利用第一公钥对第一访问密码加密得到第二访问密码并发给电子设备，电子设备接收到第二访问密码后，通过与第一公钥对应的第一私钥对第二访问密码进行解密，得到第一访问密码，然后获取存储于电子设备指定区域的第二数据密码，该第二数据密码是通过第一访问密码对电子设备的第一数据密码加密得到的，其中该第一数据密码用于对电子设备的用户数据进行加密，电子设备利用该第一访问密码对第二数据密码进行解密，得到该第一数据密码，从而利用第一数据密码对电子设备中的被加密的用户数据进行解密。通过上述技术方案，提供了一种通过服务器解锁电子设备的机制，能够在保护用户数据安全的同时，解决无法解锁电子设备中的用户数据的问题。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1是根据一示例性实施例示出的一种数据解密方法的流程图。

图2是根据一示例性实施例示出的另一种数据解密方法的流程图。

图3是根据一示例性实施例示出的又一种数据解密方法的流程图。

图4是根据一示例性实施例示出的一种数据解密装置的框图。

图5是根据一示例性实施例示出的一种数据解密装置的框图。

图6是根据一示例性实施例示出的另一种数据解密装置的框图。

图7是根据一示例性实施例示出的又一种数据解密装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

图1是根据一示例性实施例示出的一种数据解密方法的流程图，该数据解密方法应用于电子设备，如图1所示，该方法可以包括以下步骤。

在步骤S101中，从服务器接收第二访问密码，该第二访问密码由该服务器利用第一公钥对第一访问密码加密得到。

其中，在服务器接收用户输入的第一访问密码后，利用第一公钥对第一访问密码加密得到第二访问密码，而后该电子设备接收服务器发送的第二访问密码。

示例的，该第一访问密码是预先设置好的用于访问电子设备的用户数据的密码。在该电子设备中，在首次开机后，该电子设备中设置有用于加密和解密用户数据的第一数据密码，该第一数据密码和该第一访问密码在生成后，电子设备会通过第一访问密码对第一数据密码进行加密得到第二数据密码，该第二数据密码存储于该电子设备的指定区域中。

在一种实现方式中，用户输入的第一访问密码是用户在服务器生成的页面中输入并设置的，例如在电子设备首次开机时，跳转到服务器提供的密码设置界面，以便用户在该密码设置界面中设置该第一访问密码，在本实现方式中，该第一访问密码可以是该电子设备在其制造商处注册的账号对应的密码，也可以是专门设置的密码。或者，该第一数据密码也可以是在电子设备首次开机时由该电子设备生成。在另一种实现方式中，该第一访问密码和该第一数据密码均可以为该电子设备出厂前预先设置好的，其中第一数据密码预先设置好并通过预先设置的第一访问密码进行加密，加密后的第二数据密码在出厂前存储于该电子设备的指定区域，该第一访问密码可以在用户购买该电子设备后获得，例如印刷在该电子设备的说明书中。

值得一提的是，第一访问密码的加密和解密过程采用非对称加密，可以由该电子设备预先生成包含该第一公钥和第一私钥的公私钥对，第一公钥和第一私钥中的一方可以对通过另一方加密的文件进行解密。其中公钥通常是可以公开的，私钥通常是保密的，因此在第一公钥在生成后可以发送给服务器，而第一私钥则只保存在该电子设备中。

当在步骤S101中，服务器再次接收到用户输入的第一访问密码后，电子设备就会接收到服务器发送的第二访问密码，并根据第二访问密码执行后续步骤S102-S104的解密过程。其中，服务器再次接收到用户输入的第一访问密码，可以是用户在无法解锁该电子设备的情况下，该电子设备在其显示界面上跳转到服务器提供的密码输入界面，以便用户在该密码输入界面输入第一访问密码，从而服务器获取到该第一访问密码；或者可以是该用户在无法解锁该电子设备的情况下，通过另一设备登录服务器提供的与该电子设备对应的密码输入界面，以便用户在该密码输入界面输入第一访问密码，从而服务器获取到该第一访问密码，其中可以通过该电子设备预先注册的账号和密码，在另一设备上登录服务器提供的该密码输入界面，从而能够通过另一设备实现对电子设备的解锁，以及远程解锁。

在步骤S102中，通过与第一公钥对应的第一私钥对第二访问密码进行解密，得到第一访问密码。

示例的，为了保证密码的安全，使第一访问密码在其传输过程中不能被第三方获取，并且保证发送方不是第三方冒充的，因此采用非对称加密的方式，在密码的发送方和接收方需要分别具有同一公私钥对中的公钥和私钥。例如，电子设备在接收到服务器发送的第二访问密码后，利用第一私钥对第二访问密码进行解密，如果解密成功得到第一访问密码，则说明服务器掌握了与第一私钥对应的第一公钥，因此能够确定服务器的合法身份以及解密后得到的第一访问密码的真实性。

在步骤S103中，获取存储于电子设备指定区域的第二数据密码，第二数据密码是通过第一访问密码对电子设备的第一数据密码加密得到的。

示例的，其中电子设备指定区域可以为电子设备中具有安全特性的分区。例如，可以是eMMC(Embedded Multi Media Card，嵌入式多媒体卡)中具有安全特性的分区RPMB(Replay Protected Memory Block，重放保护内存块)。eMMC是MMC(Multi Media Card，多媒体卡)协会订立、主要针对手机或平板电脑等产品的内嵌式存储器标准规格。RPMB可以对写入操作进行鉴权以保证写入数据的合法性，通常只有指定的Host才能够向RPMB写入数据，而在读取数据时，为确保读取到的数据不是第三方伪造的数据，RPMB提供了签名机制用于验证。在实际应用中，RPMB通常用于存储需要防止非法篡改的数据。在本实施例中，通过将第二数据密码存储在RPMB中，能够保证第二数据密码不被篡改，从而保证第二数据密码的有效性。

在步骤S104中,利用第一访问密码对第二数据密码进行解密，得到第一数据密码。

由于该第二数据密码是通过第一访问密码对电子设备的第一数据密码加密得到，因此在得到该第一访问密码和该第二数据密码后，可以利用第一访问密码对第二数据密码进行解密，即可得到该第一数据密码。

在步骤S105中，利用第一数据密码对用户设备中的被加密的用户数据进行解密。

其中，可以理解的是，用户数据可以指电子设备由于用户操作该电子设备所产生的数据，以及由于电子设备的运行所产生的与用户隐私有关的数据，以及其他需要保密的数据。这些数据可能是该电子设备中的所有数据或部分数据。在该电子设备首次开机时，用户数据为零，并在该电子设备后续的使用过程中逐渐累积，每当产生新的用户数据后，该电子设备即可以通过该第一数据密码对新的用户数据进行加密。因此利用第一数据密码对用户设备中的被加密的用户数据进行解密即可得到电子设备的用户数据，从而解锁该电子设备。

可选地，在一种实施方式中，步骤S104可以包括：通过电子设备中的安全应用，利用第一访问密码对第二数据密码进行解密，该安全应用运行于电子设备的可信执行环境中。

由此可见，在上述方案中，用于加密/解密用户数据的第一数据密码，以加密的形式仅存储于电子设备的具有安全特性的指定区域中，能够保证外界设备无法获取该第一访问密码，而用于获取该第一数据密码的第一访问密码在其传输过程中采用了非对称加密的方式，从而保证了该第一访问密码的安全，从而能够保证用户的数据安全，与此同时能够解决在电子设备无法解锁电子设备中的用户数据的问题。

图2是根据一示例性实施例示出的另一种数据解密方法的流程图，该数据解密方法应用于服务器中，如图2所示，该方法可以包括以下步骤。

在步骤S201中，接收用户输入的用于访问电子设备的用户数据的第一访问密码。

其中，关于第一访问密码的用途和设置方法与步骤S101中所述的内容相同，可以参照步骤S101，这里不再赘述。

在步骤S202中，利用与电子设备对应的第一公钥对第一访问密码加密得到第二访问密码。

其中，服务器利用第一公钥对第一访问密码加密得到第二访问密码的方法与步骤S101中所述的内容相同，可以参照步骤S101，这里不再赘述。

值得一提的是，在服务器中可能存储了多个电子设备的公钥，因此在步骤201中，用户设备在输入该第一访问密码之前，可以先通过与该电子设备对应的账号和密码进行登录，从而使服务器能够识别出当前输入的第一访问密码是该电子设备的，从而获取与该电子设备对应的第一公钥。或者，在服务器中存储有各个电子设备与不同的访问密码以及不同的公钥之间的映射关系，当服务器接收到用户输入的第一访问密码时，通过查询该映射关系即可确定是哪个电子设备，以及该电子设备对应的公钥。

在步骤S203中，将第二访问密码发送至电子设备。

将第二访问密码发送至电子设备后，电子设备通过与第一公钥对应的第一私钥对第二访问密码进行解密得到第一访问密码，并在获取到存储于电子设备指定区域的第二数据密码后，利用第一访问密码对第二数据密码进行解密得到第一数据密码，第一数据密码用于对电子设备中的被加密的用户数据进行解密。步骤S203的方法与步骤S102-S105中所述的方法相同，不再赘述。

通过上述实施方式，提供了一种通过服务器解锁电子设备的机制，能够在保护用户数据安全的同时，解决无法解锁电子设备中的用户数据的问题。

图3是根据一示例性实施例示出的又一种数据解密方法的流程图，如图3所示，该方法可以包括以下步骤：

在步骤S301中，电子设备生成第一数据密码。

在步骤S302中，电子设备通过该电子设备中的安全应用生成第一公私钥对。

其中，该第一公私钥对包括第一公钥和第一私钥，该安全应用运行于电子设备的可信执行环境中。关于第一数据密码的用途和生成方法与步骤S101中所述的内容相同，可参照步骤S101，不再赘述。该安全应用可以是内置在电子设备中的用于执行与安全相关的操作的应用程序，例如手机管家，或者是其他的安全应用。

示例的，该安全应用设置并运行于电子设备的可信执行环境(Trusted ExecutionEnvironment，TEE)中。TEE最早出于OMTP(Open Mobile Terminal Platform，开放移动终端平台)，OMTP规范率先提出了一种双系统解决方案：即在同一个智能终端下，除了多媒体操作系统外再提供一个隔离的安全操作系统，这一隔离的安全操作系统用于处理敏感信息以确保信息的安全，该方案即TEE的前身。可信执行环境TEE，可以保证不被常规操作系统干扰，因此称为“可信”，这是通过创建一个可以在TrustZone(安全世界)内核中独立运行的小型操作系统实现的，即使手机被越狱或Root，攻击者也无法获取该环境中的数据。TEE通常用于以下涉及敏感信息的场景：如移动支付中的指纹验证、PIN码验证等，如私钥、证书等机密数据的安全存储，如DRM(数字版权保护)等内容保护等。电子设备中除了TEE外的环境称为REE(Rich Execution Environment)，REE是电子设备的通用环境，通常运行通用的OS(Operating System)，例如Android，IOS系统等。

在步骤S303中，电子设备将该第一公钥发送至服务器。

在步骤S304中，电子设备将该第一私钥存储在安全应用中。

在通过上述安全应用生成第一公私钥对后，电子设备可以将第一公钥发送至服务器，用于后续访问密码传输过程中的加密，而第一私钥需要保密存储，保存在该安全应用中。

在步骤S305中，服务器接收到用户设置的第一访问密码。

示例的，可以在首次接收到该第一访问密码时，将该第一访问密码作为用户设置的第一访问密码，可以通过以下场景设置该第一访问密码：

在第一种实现方式中，在电子设备首次启动的情况下，在启动界面显示用于设置访问密码的提示信息。在接收到确定设置访问密码的设置指令后，将所述启动界面跳转到服务器提供的密码设置界面。该密码设置界面用于用户通过密码设置界面在服务器上设置用于对电子设备的用户数据进行访问的第一访问密码。

示例的，在首次启动的情况下，在启动界面显示用于设置访问密码的提示信息，该提示页面可以显示在专门设置的独立页面，也可以是在开机后的任一页面上通过弹窗或对话框的形式显示，该提示信息上可以显示“确定”和“取消”的按钮，“确定”按钮被触发后电子设备接收到该设置指令。或者可以在显示该提示页面的同时，通过电子设备的语音助手与用户交互，进行语音提示，并在语音提示后进行语音监听，当监听到用户说出“设置”，“确认”等关键词时，电子设备接收到该设置指令。接收到设置指令，从当前页面跳转到服务器提供的密码设置界面，以便用户在该密码设置界面中输入并设置第一访问密码。

在第二种实现方式中，在电子设备非首次启动的情况下，在电子设备的设置界面上接收到确定设置访问密码的设置指令后，将设置界面跳转到服务器提供的密码设置界面。

可以理解的是，如果用户在首次开机后未执行上述的设置第一访问密码的操作。则可以在后续的使用中手动发起设置流程，例如用户进入电子设备的设置界面，在该设置界面中有用于设置访问密码的按钮，当用户触发该按钮时，从当前的设置页面转到服务器提供的密码设置界面。

在通过密码设置界面设置好该第一访问密码后，电子设备向该服务器发送第一访问密码。

在步骤S306中，服务器利用该第一公钥对该第一访问密码加密后得到第三访问密码。

在步骤S307中，电子设备接收服务器发送的该第三访问密码。

在步骤S308中，电子设备通过与该第一公钥对应的第一私钥对该第三访问密码进行解密，得到该第一访问密码。

在上述步骤S305至S308中，服务器在获取到用户设置的第一访问密码后，利用该电子设备发送的第一公钥对该第一访问密码进行加密，并将加密得到的第三访问密码，电子设备在接收到服务器发送的第三访问密码后，通过第一私钥对第三访问密码进行解密，如果解密成功得到第一访问密码，则说明服务器掌握了与第一私钥对应的第一公钥，因此能够确定服务器发送的第三访问密码有效，从而确定服务器的合法身份以及解密后得到的第一访问密码的真实性。

在步骤S309中，电子设备通过该第一访问密码对该第一数据密码进行加密，得到第二数据密码。

在步骤S310中，电子设备将该第二数据密码存储在指定区域。

示例的，可以将该第二数据密码存储在位于该电子设备的可信执行环境TEE中的安全分区中，如MMC中的RPMB，关于RPMB可以参照步骤S103，不再赘述。其中上述步骤S301、S302、S304、S310和S309可以在TEE中执行，步骤S303、S307、S308步骤可以在REE中执行。

通过上述步骤S301至S310，就完成了第一访问密码的设置和第一数据密码的加密和存储。当用户由于忘记解锁密码，或者由于设备通过该解锁密码解密用户数据的过程出错导致无法解密用户数据而解锁电子设备时，用户可以通过再次向服务器输入之前设置的第一访问密码来实现电子设备的用户数据的解密，该解密过程包括以下步骤S311至S317。

在步骤S311中，服务器接收用户输入的第一访问密码。

示例的，服务器再次接收到用户输入的第一访问密码，可以是用户在无法解锁该电子设备的情况下，该电子设备在其显示界面上跳转到服务器提供的密码输入界面，以便用户在该密码输入界面输入第一访问密码，从而服务器获取到该第一访问密码；或者可以是该用户在无法解锁该电子设备的情况下，通过另一设备登录服务器提供的与该电子设备对应的密码输入界面，以便用户在该密码输入界面输入第一访问密码，从而服务器获取到该第一访问密码，其中可以通过该电子设备预先注册的账号和密码，在另一设备上登录服务器提供的该密码输入界面，从而通过另一设备执行下述步骤以实现对电子设备的数据解密，以实现电子设备的解锁。并且，由于能够通过另一设备实现，因此能够实现远程解锁。

在步骤S312中，服务器利用该第一公钥对该第一访问密码加密得到第二访问密码。

在步骤S313中，电子设备接收该服务器发送的该第二访问密码。

在步骤S314中，通过与该第一公钥对应的第一私钥对该第二访问密码进行解密，得到该第一访问密码。

上述步骤S312至S14与步骤S306至S308所示的方法相同，不再赘述。

在步骤S315中，电子设备获取存储于该电子设备指定区域的第二数据密码。

以指定区域为上述的RPMB为例，从RPMB获取第二数据密码的方法与步骤S103相同，不再赘述。

在步骤S316中，利用该第一访问密码对该第二数据密码进行解密，得到该第一数据密码。

示例的，可以通过运行于该电子设备的可信执行环境TEE中安全应用，利用已解密的第一访问密码，对该第二数据密码进行解密，即可得到用来加密用户数据的第一数据密码。

在步骤S317中，利用该第一数据密码对该电子设备中的被加密的用户数据进行解密。

其中上述步骤S315、S316可以在TEE中执行，步骤S313、S314、S317可以在REE中执行。

上述技术方案中，服务器在接收用户输入的第一访问密码后，利用第一公钥对第一访问密码加密得到第二访问密码并发给电子设备，电子设备接收到第二访问密码后，通过与第一公钥对应的第一私钥对第二访问密码进行解密，得到第一访问密码，然后获取存储于电子设备指定区域的第二数据密码，该第二数据密码是通过第一访问密码对电子设备的第一数据密码加密得到的，其中该第一数据密码用于对电子设备的用户数据进行加密，电子设备利用该第一访问密码对第二数据密码进行解密，得到该第一数据密码，从而利用第一数据密码对电子设备中的被加密的用户数据进行解密。通过上述技术方案，提供了一种通过服务器解锁电子设备的机制，能够在保护用户数据安全的同时，解决无法解锁电子设备中的用户数据的问题。

图4是根据一示例性实施例示出的一种数据解密装置的框图，该数据解密装置应用于电子设备，如图4所示，该数据解密装置400，可以包括：

第一接收模块401，被配置为从服务器接收第二访问密码，该第二访问密码由服务器利用第一公钥对第一访问密码加密得到；

第一解密模块402，被配置为通过与第一公钥对应的第一私钥对第二访问密码进行解密，得到第一访问密码；

获取模块403，被配置为获取存储于电子设备指定区域的第二数据密码，第二数据密码是通过第一访问密码对电子设备的第一数据密码加密得到的；

第二解密模块404，被配置为利用第一访问密码对第二数据密码进行解密，得到第一数据密码；

第三解密模块405，被配置为利用第一数据密码对用户设备中的被加密的用户数据进行解密。

可选地，该数据解密装置400还包括：

发送模块，被配置为向所述服务器发送第一访问密码；

第二接收模块，被配置为从所述服务器接收第三访问密码，所述第三访问密码由所述服务器利用所述第一公钥对所述第一访问密码加密得到；

第四解密模块，被配置为通过与第一公钥对应的第一私钥对第三访问密码进行解密，得到第一访问密码；

加密模块，被配置为通过第一访问密码对第一数据密码进行加密，得到第二数据密码；

第一存储模块，被配置为将第二数据密码存储在指定区域。

可选地，该数据解密装置400还包括：

生成模块，被配置为生成第一数据密码；

安全模块，被配置为通过电子设备中的安全应用生成第一公私钥对，第一公私钥对包括第一公钥和第一私钥，安全应用运行于电子设备的可信执行环境中；

发送模块，被配置为将第一公钥发送至服务器；

第二存储模块，被配置为将第一私钥存储在安全应用中。

可选地，第二解密模块404，还被配置为：

通过电子设备中的安全应用，利用第一访问密码对第二数据密码进行解密，安全应用运行于电子设备的可信执行环境中。

可选地，第一存储模块409，还被配置为：

将第二数据密码存储在位于电子设备的可信执行环境中的安全分区中。

可选地，所述装置还包括：

显示模块，被配置为在电子设备首次启动的情况下，在启动界面显示用于设置第一访问密码的提示信息；

通信模块，被配置为响应于接收到设置该第一访问密码的设置指令，将该启动界面跳转到该服务器提供的密码设置界面；

或者，

该通信模块，被配置为在电子设备非首次启动的情况下，响应于在电子设备的设置界面上接收到的设置第一访问密码的设置指令，将设置界面跳转到服务器提供的密码设置界面，密码设置界面用于用户通过密码设置界面在服务器上设置用于对电子设备的用户数据进行访问的第一访问密码。

图5是根据一示例性实施例示出的一种数据解密装置的框图，该数据解密装置应用于服务器，如图5所示，该数据解密装置500，可以包括：

第一接收模块501，被配置为接收用户输入的用于访问电子设备的用户数据的第一访问密码；

第一加密模块502，被配置为利用与电子设备对应的第一公钥对第一访问密码加密得到第二访问密码；

发送模块503，被配置为将第二访问密码发送至电子设备，用于电子设备通过与第一公钥对应的第一私钥对第二访问密码进行解密得到第一访问密码，并在获取到存储于电子设备指定区域的第二数据密码后，利用第一访问密码对第二数据密码进行解密得到第一数据密码，第一数据密码用于对电子设备中的被加密的用户数据进行解密。

可选地，该数据解密装置500还包括：

第二接收模块，被配置为接收用户输入的用于解密电子设备的用户数据的第一访问密码之前，接收用户设置的第一访问密码；

第二加密模块，被配置为利用与电子设备对应的第一公钥对第一访问密码加密得到第三访问密码；

该发送模块503，还被配置为将第三访问密码发送至电子设备，以供电子设备通过与第一公钥对应的第一私钥对第三访问密码进行解密得到第一访问密码，并在通过第一访问密码对电子设备的第一数据密码进行加密得到第二数据密码后，将第二数据密码保存至存储于指定区域。

可选地，第一公钥和第一私钥是由电子设备中的安全应用生成的，第一公钥是在安全应用生成第一公钥和第一私钥后由电子设备发送给服务器的，安全应用运行于电子设备的可信执行环境中。

上述技术方案中，通过在服务器接收用户输入的第一访问密码，并利用第一公钥对该第一访问密码加密得到第二访问密码后，接收该服务器发送的该第二访问密码；通过与该第一公钥对应的第一私钥对该第二访问密码进行解密，得到该第一访问密码；获取存储于该电子设备指定区域的第二数据密码，该第二数据密码是通过该第一访问密码对电子设备的第一数据密码加密得到的；利用该第一访问密码对该第二数据密码进行解密，得到该第一数据密码；利用该第一数据密码对该用户设备中的被加密的用户数据进行解密。本公开解决了相关技术中，用户无法解锁电子设备的问题。通过在服务器设置的访问密码，电子设备内置的安全应用以及安全分区，在保护用户数据安全的同时，提供了用户远程解锁电子设备的方法。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

本公开实施例还提供一种电子设备，包括：处理器；用于存储处理器可执行指令的存储器；其中，所述处理器被配置为：执行所述可执行指令以实现上述图1或图3所示的任一实施方式所述方法的步骤。

本公开实施例还提供另一种电子设备，包括：处理器；用于存储处理器可执行指令的存储器；其中，所述处理器被配置为：执行所述可执行指令以实现上述图2或图3所示的任一实施方式所述方法的步骤。

本公开还提供一种计算机可读存储介质，其上存储有计算机程序指令，该程序指令被处理器执行时实现本公开提供的数据解密方法的步骤。

图6是根据一示例性实施例示出的另一种数据解密装置600的框图。例如，装置600可以是电子设备，例如移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等。

参照图6，装置600可以包括以下一个或多个组件：处理组件602，存储器604，电力组件606，多媒体组件608，音频组件610，输入/输出(I/O)的接口612，传感器组件614，以及通信组件616。

处理组件602通常控制装置600的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件602可以包括一个或多个处理器620来执行指令，以完成上述的数据解密方法的全部或部分步骤。此外，处理组件602可以包括一个或多个模块，便于处理组件602和其他组件之间的交互。例如，处理组件602可以包括多媒体模块，以方便多媒体组件608和处理组件602之间的交互。

存储器604被配置为存储各种类型的数据以支持在装置600的操作。这些数据的示例包括用于在装置600上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器604可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

电力组件606为装置600的各种组件提供电力。电力组件606可以包括电源管理系统，一个或多个电源，及其他与为装置600生成、管理和分配电力相关联的组件。

多媒体组件608包括在所述装置600和用户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。在一些实施例中，多媒体组件608包括一个前置摄像头和/或后置摄像头。当装置600处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。

音频组件610被配置为输出和/或输入音频信号。例如，音频组件610包括一个麦克风(MIC)，当装置600处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器604或经由通信组件616发送。在一些实施例中，音频组件610还包括一个扬声器，用于输出音频信号。

I/O接口612为处理组件602和外围接口模块之间提供接口，上述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。

传感器组件614包括一个或多个传感器，用于为装置600提供各个方面的状态评估。例如，传感器组件614可以检测到装置600的打开/关闭状态，组件的相对定位，例如所述组件为装置600的显示器和小键盘，传感器组件614还可以检测装置600或装置600一个组件的位置改变，用户与装置600接触的存在或不存在，装置600方位或加速/减速和装置600的温度变化。传感器组件614可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件614还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件614还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。

通信组件616被配置为便于装置600和其他设备之间有线或无线方式的通信。装置600可以接入基于通信标准的无线网络，如WiFi，2G或3G，或它们的组合。在一个示例性实施例中，通信组件616经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件616还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

在示例性实施例中，装置600可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述的数据解密方法。

在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器604，上述指令可由装置600的处理器620执行以完成上述的数据解密方法。例如，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

在另一示例性实施例中，还提供一种计算机程序产品，该计算机程序产品包含能够由可编程的装置执行的计算机程序，该计算机程序具有当由该可编程的装置执行时用于执行上述的数据解密方法的代码部分。

图7是根据一示例性实施例示出的一种数据解密装置700的框图。例如，装置700可以被提供为一服务器。参照图7，装置700包括处理组件722，其进一步包括一个或多个处理器，以及由存储器732所代表的存储器资源，用于存储可由处理组件722的执行的指令，例如应用程序。存储器732中存储的应用程序可以包括一个或一个以上的每一个对应于一组指令的模块。此外，处理组件722被配置为执行指令，以执行上述的数据解密方法。

装置700还可以包括一个电源组件726被配置为执行装置700的电源管理，一个有线或无线网络接口750被配置为将装置700连接到网络，和一个输入输出(I/O)接口758。装置700可以操作基于存储在存储器732的操作系统，例如Windows Server^TM，Mac OS X^TM，Unix^TM，Linux^TM，FreeBSD^TM或类似。

本领域技术人员在考虑说明书及实践本公开后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (15)

1.一种数据解密方法，其特征在于，应用于电子设备，包括：

从服务器接收第二访问密码，所述第二访问密码由所述服务器利用第一公钥对第一访问密码加密得到；

通过与所述第一公钥对应的第一私钥对所述第二访问密码进行解密，得到所述第一访问密码；

获取存储于所述电子设备指定区域的第二数据密码，所述第二数据密码是通过所述第一访问密码对电子设备的第一数据密码加密得到的；

利用所述第一访问密码对所述第二数据密码进行解密，得到所述第一数据密码；

利用所述第一数据密码对所述电子设备中的被加密的用户数据进行解密。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

向所述服务器发送第一访问密码；

从所述服务器接收第三访问密码，所述第三访问密码由所述服务器利用所述第一公钥对所述第一访问密码加密得到；

通过与所述第一公钥对应的第一私钥对所述第三访问密码进行解密，得到所述第一访问密码；

通过所述第一访问密码对所述第一数据密码进行加密，得到所述第二数据密码；

将所述第二数据密码存储在所述指定区域。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

生成所述第一数据密码；

通过所述电子设备中的安全应用生成第一公私钥对，所述第一公私钥对包括所述第一公钥和所述第一私钥，所述安全应用运行于所述电子设备的可信执行环境中；

将所述第一公钥发送至所述服务器；

将所述第一私钥存储在所述安全应用中。

4.根据权利要求1所述的方法，其特征在于，所述利用所述第一访问密码对所述第二数据密码进行解密，得到所述第一数据密码，包括：

通过所述电子设备中的安全应用，利用所述第一访问密码对所述第二数据密码进行解密，所述安全应用运行于所述电子设备的可信执行环境中。

5.根据权利要求2所述的方法，其特征在于，所述将所述第二数据密码存储在所述指定区域，包括：

将所述第二数据密码存储在位于所述电子设备的可信执行环境中的安全分区中。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述电子设备首次启动的情况下，在启动界面显示用于设置第一访问密码的提示信息；

响应于接收到设置所述第一访问密码的设置指令，将所述启动界面跳转到所述服务器提供的密码设置界面；

或者，

在所述电子设备非首次启动的情况下，响应于在所述电子设备的设置界面上接收到的设置所述第一访问密码的设置指令，将所述设置界面跳转到所述服务器提供的所述密码设置界面，所述密码设置界面用于用户通过所述密码设置界面在所述服务器上设置用于对所述电子设备的用户数据进行解密的所述第一访问密码。

7.一种数据解密方法，其特征在于，应用于服务器，包括：

接收用户输入的用于访问电子设备的用户数据的第一访问密码；

利用与所述电子设备对应的第一公钥对所述第一访问密码加密得到第二访问密码；

将所述第二访问密码发送至所述电子设备，用于所述电子设备通过与所述第一公钥对应的第一私钥对所述第二访问密码进行解密得到所述第一访问密码，并在获取到存储于所述电子设备指定区域的第二数据密码后，利用所述第一访问密码对所述第二数据密码进行解密得到所述第一数据密码，所述第一数据密码用于对所述电子设备中的被加密的用户数据进行解密。

8.根据权利要求7所述的方法，其特征在于，在所述接收用户输入的用于解密电子设备的用户数据的第一访问密码之前，所述方法还包括：

接收用户设置的所述第一访问密码；

利用与所述电子设备对应的第一公钥对所述第一访问密码加密得到第三访问密码；

将所述第三访问密码发送至所述电子设备，以供所述电子设备通过与所述第一公钥对应的第一私钥对所述第三访问密码进行解密得到所述第一访问密码，并在通过所述第一访问密码对所述电子设备的第一数据密码进行加密得到第二数据密码后，将所述第二数据密码保存至存储于所述指定区域。

9.根据权利要求8所述的方法，其特征在于，所述第一公钥和所述第一私钥是由所述电子设备中的安全应用生成的，所述第一公钥是在所述安全应用生成所述第一公钥和所述第一私钥后由所述电子设备发送给所述服务器的，所述安全应用运行于所述电子设备的可信执行环境中。

10.一种数据解密装置，其特征在于，应用于电子设备，所述装置包括：

第一接收模块，被配置为从服务器接收第二访问密码，所述第二访问密码由所述服务器利用第一公钥对第一访问密码加密得到；

第一解密模块，被配置为通过与所述第一公钥对应的第一私钥对所述第二访问密码进行解密，得到所述第一访问密码；

获取模块，被配置为获取存储于所述电子设备指定区域的第二数据密码，所述第二数据密码是通过所述第一访问密码对电子设备的第一数据密码加密得到的；

第二解密模块，被配置为利用所述第一访问密码对所述第二数据密码进行解密，得到所述第一数据密码；

第三解密模块，被配置为利用所述第一数据密码对所述用户设备中的被加密的用户数据进行解密。

11.一种数据解密装置，其特征在于，应用于服务器，所述装置包括：

第一接收模块，被配置为接收用户输入的用于访问电子设备的用户数据的第一访问密码；

第一加密模块，被配置为利用与所述电子设备对应的第一公钥对所述第一访问密码加密得到第二访问密码；

发送模块，被配置为将所述第二访问密码发送至所述电子设备，用于所述电子设备通过与所述第一公钥对应的第一私钥对所述第二访问密码进行解密得到所述第一访问密码，并在获取到存储于所述电子设备指定区域的第二数据密码后，利用所述第一访问密码对所述第二数据密码进行解密得到所述第一数据密码，所述第一数据密码用于对所述电子设备中的被加密的用户数据进行解密。

12.一种数据解密装置，其特征在于，应用于电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为：执行所述可执行指令以实现权利要求1～6中任一项所述方法的步骤。

13.一种数据解密装置，其特征在于，应用于服务器，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为：执行所述可执行指令以实现权利要求7～9中任一项所述方法的步骤。

14.一种计算机可读存储介质，其上存储有计算机程序指令，其特征在于，该程序指令被处理器执行时实现权利要求1～6中任一项所述方法的步骤。

15.一种计算机可读存储介质，其上存储有计算机程序指令，其特征在于，该程序指令被处理器执行时实现权利要求7～9中任一项所述方法的步骤。

Images