CN117454361A - 一种密钥管理方法及相关设备 - Google Patents

Abstract

本说明书提供了一种密钥管理方法及相关设备，应用于电子设备中搭载的作为该电子设备的可信根的安全硬件；该安全硬件分别与该电子设备中的存储介质和处理器CPU对接，该存储介质和该安全硬件中存储了第一密钥。该方法包括：响应于针对该电子设备的启动指令，阻止CPU进行启动，并利用存储的第一密钥对与该安全硬件对应的第二密钥进行加密；将加密后的第二密钥发送至存储介质，以使存储介质利用第一密钥对加密后的第二密钥进行解密，并保存解密后的第二密钥，第二密钥被保存在存储介质的易失性存储空间中；第二密钥用于数据写入该存储介质时对该数据进行加密，在数据读出时进行解密；响应于存储介质成功保存第二密钥，控制CPU进行启动。

Description

一种密钥管理方法及相关设备

技术领域

本说明书一个或多个实施例涉及密钥管理技术领域，尤其涉及一种密钥管理方法及相关设备。

背景技术

为了保护数据的存储安全，软件的落盘加密是较为常见的一种加密方式，其可以通过各种软件程序对硬盘中的数据进行加密管理。例如，当用户想要将数据写入硬盘时，软件程序会先使用密钥对数据进行加密处理，然后再将加密后的数据真正写入硬盘，相应的，当用户要从硬盘读取数据时，软件程序会使用该密钥解密数据，然后再将解密后的数据提供给用户。

上述用于进行数据加密管理的密钥通常由软件生成并管理，而软件在运行时时常会面临安全攻击，因此密钥非常容易泄露，进而无法保证数据安全。

发明内容

有鉴于此，本说明书一个或多个实施例提供一种密钥管理方法及相关设备。

第一方面，本说明书提供了一种密钥管理方法，应用于电子设备中搭载的作为所述电子设备的可信根的安全硬件；所述安全硬件分别与所述电子设备中的存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；所述方法包括：

响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密；以及，

将加密后的所述第二密钥发送至所述存储介质，以使所述存储介质利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，该第二密钥被保存在所述存储介质的易失性存储空间中；所述第二密钥用于数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密；

响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动。

第二方面，本说明书提供了一种密钥管理方法，应用于电子设备中的存储介质；所述电子设备中搭载了作为所述电子设备的可信根的安全硬件，所述安全硬件分别与所述电子设备中的所述存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；所述方法包括：

在所述安全硬件响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密后，接收所述安全硬件发送的加密后的所述第二密钥；

利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，以使所述安全硬件响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动；该第二密钥被保存在所述存储介质的易失性存储空间中；

利用已保存的所述第二密钥在数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密。

第三方面，本说明书提供了一种密钥管理装置，应用于电子设备中搭载的作为所述电子设备的可信根的安全硬件；所述安全硬件分别与所述电子设备中的存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；所述装置包括：

密钥加密单元，用于响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密；以及，

密钥传输单元，用于将加密后的所述第二密钥发送至所述存储介质，以使所述存储介质利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，该第二密钥被保存在所述存储介质的易失性存储空间中；所述第二密钥用于数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密；

CPU启动单元，用于响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动。

第四方面，本说明书提供了一种密钥管理装置，应用于电子设备中的存储介质；所述电子设备中搭载了作为所述电子设备的可信根的安全硬件，所述安全硬件分别与所述电子设备中的所述存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；所述装置包括：

密钥接收单元，用于在所述安全硬件响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密后，接收所述安全硬件发送的加密后的所述第二密钥；

密钥保存单元，用于利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，以使所述安全硬件响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动；该第二密钥被保存在所述存储介质的易失性存储空间中；

数据加密管理单元，用于利用已保存的所述第二密钥在数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密。

第五方面，本说明书提供了一种密钥管理系统，所述系统包括电子设备中的存储介质，以及作为所述电子设备的可信根的安全硬件；所述安全硬件分别与所述电子设备中的所述存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；

所述安全硬件，用于响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密；以及，将加密后的所述第二密钥发送至所述存储介质；

所述存储介质，用于利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，该第二密钥被保存在所述存储介质的易失性存储空间中；

所述安全硬件，还用于响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动；

所述存储介质，还用于利用已保存的所述第二密钥在数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密。

相应地，本说明书还提供了一种电子设备，包括：存储器和处理器；所述存储器上存储有可由所述处理器运行的计算机程序；所述处理器运行所述计算机程序时，执行上述第一方面所述的密钥管理方法，或者执行上述第二方面所述的密钥管理方法。

相应地，本说明书还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器运行时，执行如上述第一方面所述的密钥管理方法，或者执行上述第二方面所述的密钥管理方法。

综上所述，本申请的电子设备中搭载了作为该电子设备的可信根的安全硬件，并且该安全硬件与电子设备中的存储介质和CPU对接。与此同时，安全芯片和存储介质中均存储了第一密钥。响应于针对电子设备的启动指令，上述安全硬件可以阻止CPU进行启动，并利用存储的第一密钥对与该安全硬件对应的第二密钥进行加密，并将加密后的第二密钥传输到存储介质中。进一步地，存储介质在接收到加密后的第二密钥后，可以利用存储的第一密钥对该加密后的第二密钥进行解密，并将解密后的第二密钥保存在存储介质的易失性存储空间中。在存储介质成功保存第二密钥后，安全硬件才会控制CPU进行启动，之后存储介质便可以利用已保存的第二密钥在数据写入该存储介质时对数据进行加密，在数据读出该存储介质时对数据进行解密，以保证数据安全。如此，本申请借助可信根安全芯片生成用于数据加密管理的加密密钥，并在CPU启动前将加密密钥安全传输到存储介质中，实现了更加安全的密钥管理和保护。并且，由于加密密钥保存在存储介质的易失性存储空间中，一旦电子设备关机，或者有人恶意从电子设备上拆除存储介质，那么随着存储介质的掉电，原本保存的第二密钥也会随之丢失，从而有效防止了密钥泄露，进而保障了数据存储安全。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本说明书的实施例，并与说明书一起用于解释本说明书的原理。

图1是一示例性实施例提供的一种密钥管理系统的架构示意图。

图2是一示例性实施例提供的一种密钥管理方法的流程示意图。

图3是一示例性实施例提供的另一种密钥管理系统的架构示意图。

图4是一示例性实施例提供的一种数据加密管理的步骤示意图。

图5是一示例性实施例提供的一种密钥管理装置的结构示意图。

图6是一示例性实施例提供的另一种密钥管理装置的结构示意图。

图7是一示例性实施例提供的一种电子设备的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本说明书一个或多个实施例相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本说明书一个或多个实施例的一些方面相一致的装置和方法的例子。

需要说明的是：在其他实施例中并不一定按照本说明书示出和描述的顺序来执行相应方法的步骤。在一些其他实施例中，其方法所包括的步骤可以比本说明书所描述的更多或更少。此外，本说明书中所描述的单个步骤，在其他实施例中可能被分解为多个步骤进行描述；而本说明书中所描述的多个步骤，在其他实施例中也可能被合并为单个步骤进行描述。

需要说明的是，本申请中所述的“多个”是指两个及两个以上。

此外，本申请所涉及的用户信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据，并且相关数据的收集、使用和处理需要遵守相关国家和地区的相关法律法规和标准，并提供有相应的操作入口，供用户选择授权或者拒绝。

首先，对本说明书中的部分用语进行解释说明，以便于本邻域技术人员理解。

(1)可信根(Root of trust，ROT)，是计算机系统安全的基础，旨在为计算机系统提供一个可信的环境。可信根建立了一个信任链，在该链中，计算机系统中的每个组件在允许其操作之前都需要经过可信度量(或者说可信校验)，只有通过可信度量的组件，才会允许其执行相应的操作，以防范计算机系统中的各种安全威胁，例如恶意软件、未经授权的访问和篡改系统数据等。

此外，可信根的形态通常为安全芯片(或者称之为可信根芯片)，例如具体可以为基于可信平台模块(Trusted Platform Module，TPM)的安全芯片，基于可信密码模块(trusted cryptography module，TCM)的安全芯片，基于TPCM(Trusted Platform ControlModule，可信平台控制模块)的安全芯片，等等，本说明书对此不做具体限定。

如上所述，为了保障数据存储安全，可以通过软件的落盘加密对硬盘中的数据进行加密管理。例如，当用户想要将数据写入硬盘时，软件程序会先使用密钥对数据进行加密处理，然后再将加密后的数据真正写入硬盘，相应的，当用户想要从硬盘读取数据时，软件程序会使用该密钥解密数据，然后再将解密后的数据提供给用户。然而，上述用于进行数据加密管理的密钥通常由软件生成并管理，而软件在运行时，时常会面临安全攻击，因此该密钥非常容易泄露，进而无法保证数据安全。

基于此，本说明书提供了一种技术方案，由作为可信根的安全硬件生成加密密钥，并在CPU启动前安全地将该加密密钥传输给存储介质，当存储介质成功保存该加密密钥后，CPU才会启动，后续存储介质可以基于该加密密钥对其存储的数据进行数据加密管理，极大程度上提升了密钥管理的安全性，进而保证了数据存储安全。

在实现时，本申请中的电子设备搭载了作为该电子设备的可信根的安全硬件。其中，该安全硬件分别与电子设备中的存储介质和CPU对接，并且存储介质和安全硬件中存储了第一密钥。安全硬件响应于针对该电子设备的启动指令，阻止CPU进行启动，并利用存储的第一密钥对与安全硬件对应的第二密钥进行加密。进一步地，安全硬件将加密后的第二密钥发送至存储介质。存储介质可以利用存储的第一密钥对加密后的第二密钥进行解密，并保存解密后的第二密钥，该第二密钥可以被保存在存储介质的易失性存储空间中；第二密钥可以用于数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密。进一步地，安全硬件响应于存储介质成功保存该第二密钥，可以控制CPU进行启动。

在以上技术方案中，本申请的电子设备中搭载了作为该电子设备的可信根的安全硬件，并且该安全硬件与电子设备中的存储介质和CPU对接。与此同时，安全芯片和存储介质中均存储了第一密钥。响应于针对电子设备的启动指令，上述安全硬件可以阻止CPU进行启动，并利用存储的第一密钥对与该安全硬件对应的第二密钥进行加密，并将加密后的第二密钥传输到存储介质中。进一步地，存储介质在接收到加密后的第二密钥后，可以利用存储的第一密钥对该加密后的第二密钥进行解密，并将解密后的第二密钥保存在存储介质的易失性存储空间中。在存储介质成功保存第二密钥后，安全硬件才会控制CPU进行启动，之后存储介质便可以利用已保存的第二密钥在数据写入该存储介质时对数据进行加密，在数据读出该存储介质时对数据进行解密，以保证数据安全。如此，本申请借助可信根安全芯片生成用于数据加密管理的加密密钥，并在CPU启动前将加密密钥安全传输到存储介质中，实现了更加安全的密钥管理和保护。并且，由于加密密钥保存在存储介质的易失性存储空间中，一旦电子设备关机，或者有人恶意从电子设备上拆除存储介质，那么随着存储介质的掉电，原本保存的第二密钥也会随之丢失，从而有效防止了密钥泄露，进而保障了数据存储安全。

请参阅图1，图1是一示例性实施例提供的一种密钥管理系统的架构示意图。本说明提供的一个或多个实施例可以在图1所示的系统架构或者类似的系统架构中具体实施。如图1所示，电子设备10中可以包括CPU和密钥管理系统，具体地，密钥管理系统中可以包括安全硬件101和存储介质102。如图1所示，安全硬件101分别与存储介质102和CPU对接，进一步地，存储介质102与CPU对接。应理解，CPU在运行各类应用程序时，可以向存储介质102中写入数据，以及从存储介质102中读取数据。

在一示出的实施方式中，安全硬件101可以作为该电子设备10的可信根。在一示出的实施方式中，该安全硬件101可以是一个可信根安全芯片。示例性的，安全硬件101可以包括以下示出的任意一种安全芯片：基于可信平台模块(Trusted Platform Module，TPM)的安全芯片，基于可信密码模块(trusted cryptography module，TCM)的安全芯片，基于TPCM(Trusted Platform Control Module，可信平台控制模块)的安全芯片，等等，本说明书对此不做具体限定。

在一示出的实施方式中，存储介质102可以是具有数据加密功能的加密硬盘。示例性的，存储介质102可以是具有数据加密功能的固态硬盘(solid-state drive，SSD)，还可以是可移动固态硬盘。示例性的，存储介质102也可以是具有数据加密功能的磁盘，等等，本说明书对此不做具体限定。

在一示出的实施方式中，安全硬件101和存储介质102中均存储了第一密钥。示例性的，安全硬件101和存储介质102可以出厂内置第一密钥。在一示出的实施方式中，该第一密钥可以是用于对密钥进行加密的密钥，即密钥加密密钥(Key Encryption Key，KEK)。

其中，KEK通常用于保护对称密钥，例如用于保护在网络通信中使用的会话密钥，或者在存储设备上使用的数据加密密钥。并且，KEK本身通常也是对称密钥。需要说明的是，KEK可以使用不同的加密算法和密钥长度来实现加密，本说明书对此不做具体限定。例如，KEK可以使用AES算法和256位密钥来加密另一个AES密钥，从而提高数据的安全性。此外，为了确保KEK在使用过程中的安全性，以防止未经授权的访问和使用，在一些可能的实施方式中，KEK通常与其他安全措施一起使用，例如访问控制、身份验证和审计等安全措施，本说明书对此不做具体限定。

在一示出的实施方式中，响应于针对该电子设备10的启动指令，安全硬件101可以阻止电子设备10中的CPU进行启动。示例性的，该启动指令可以是基于开机操作或者重启操作的启动指令。

进一步地，安全硬件101可以生成第二密钥，该第二密钥可以用于对存储介质102中存储的数据进行数据加密管理。需要说明的是，本申请对第二密钥的生成方式不做特别限定。在一示出的实施方式中，安全硬件101可以直接采用随机数算法生成该第二密钥。在一示出的实施方式中，安全硬件101也可以通过密钥派生的方式生成该第二密钥。示例性的，安全硬件101可以基于其存储的第一密钥或者其他的密钥派生该第二密钥。

在一示出的实施方式中，上述第二密钥可以是设备加密密钥(Master EncryptionKey，MEK)。其中，MEK是一种用于对加密设备(例如具备加密功能的SSD)存储的数据进行加密管理的加密密钥，包括加密和解密设备上存储的数据(例如文件、应用程序数据和操作系统数据等)，以保护设备上的数据不被未经授权的访问者访问和窃取。MEK通常是一个对称密钥。需要说明的是，与KEK相类似的，MEK也可以使用不同的加密算法和密钥长度来实现加密，例如AES算法和256位密钥。同样的，为了确保MEK在使用过程中的安全性，MEK通常与其他安全措施一起使用，例如访问控制、身份验证和设备加密/解密模块，等等，本说明书对此不做具体限定。

进一步地，安全硬件101在生成第二密钥后，可以利用其存储的第一密钥对该第二密钥进行加密。

在一示出的实施方式中，安全硬件对生成的第二密钥可以不进行保存，或者将其保存在安全硬件的易失性存储空间中。如此，一旦电子设备10关机掉电，安全硬件101中的第二密钥也会随之丢失，有效防止了密钥泄露。相应的，响应于每次针对该电子设备10的启动指令，即电子设备每次启动，安全硬件101都可以再次生成上述第二密钥，并利用其存储的第一密钥对生成的第二密钥进行加密。在一示出的实施方式中，安全硬件101每次生成的第二密钥可以相同。

在一示出的实施方式中，安全硬件101在生成第二密钥后，可以保存该第二密钥，例如保存在安全硬件的非易失性存储空间中。如此，即使后续电子设备10关机，安全硬件101中的第二密钥也不会丢失。随着电子设备10的重新启动，安全硬件101也无需再重新生成该第二密钥，而是可以直接利用第一密钥对已保存的第二密钥进行加密。示例性的，在电子设备10第一次启动，安全硬件101第一次生成第二密钥时，安全硬件101便可以保存该第二密钥至非易失性存储空间中。

在一示出的实施方式中，上述第二密钥也可以预先存储在安全硬件101中，例如预先存储在安全硬件的非易失性存储空间中。示例性的，安全硬件101可以出厂内置该第一密钥。相应的，响应于针对该电子设备10的启动指令，安全硬件101可以阻止电子设备10中的CPU进行启动，并直接利用存储的第一密钥对存储的第二密钥进行加密。

进一步地，安全硬件101将加密后的第二密钥发送至存储介质102。相应的，存储介质102接收加密后的第二密钥，并利用其存储的第一密钥对加密后的第二密钥进行解密，得到第二密钥的明文并保存。

需要说明的是，可信根芯片中通常包含一个安全存储区，用于存储加密密钥和其他敏感数据等，该安全存储区中可以包括上述安全硬件中的非易失性存储空间以及易失性存储空间。同时，存储介质102(例如SSD)中也可以包括易失性存储空间，例如随机存取存储器(Random Access Memory，RAM)。在本申请中，第二密钥的明文可以仅存储在可信根芯片的安全存储区，以及存储介质102的RAM中。如此，一旦电子设备10关机，或者有人恶意从电子设备10上拆除存储介质102，那么随着存储介质102的断电，存储介质102原本保存的第二密钥也会随之丢失，从而有效防止了密钥泄露。

进一步地，响应于存储介质102成功保存上述第二密钥，安全硬件101可以控制CPU进行启动。

在一示出的实施方式中，在CPU启动完成后，CPU可以与存储介质102进行数据交互，此时存储介质102便可以基于已保存的第二密钥进行数据加密管理。

或者，在一示出的实施方式中，在CPU启动过程中，CPU也可以与存储介质102进行数据交互，此时存储介质102也可以基于已保存的第二密钥进行数据加密管理。

如上所述，在CPU启动时以及启动后，CPU都有可能与存储介质102进行数据交互，而在CPU与存储介质102交互数据时，存储介质102均可以基于已保存的第二密钥进行数据加密管理。

示例性的，存储介质102可以利用第二密钥对CPU写入存储介质102中的数据进行加密，和/或，利用第二密钥对CPU从存储介质102中读取的数据进行解密，以保证数据存储安全。

在一示出的实施方式中，电子设备10可以是搭载了上述密钥管理系统和CPU的智能手机、智能可穿戴设备、平板电脑、笔记本电脑、台式电脑、服务器，或者是基于若干台服务器构成的服务器集群，等等，本说明书对此不做具体限定。

此外，需要说明的是，图1所示的系统架构只作示例性说明，在一些可能的实施方式中，密钥管理系统可以包括比图1更多或者更少的部件，本说明书对此不做具体限定。

请参阅图2，图2是一示例性实施例提供的一种密钥管理方法的流程示意图。该方法可以应用于图1所示的密钥管理系统中，具体可以应用于密钥管理系统中的安全硬件。如图2所示，该方法具体可以包括如下步骤S201-步骤S203。

步骤S201，响应于针对电子设备的启动指令，阻止CPU进行启动，并利用存储的第一密钥对与安全硬件对应的第二密钥进行加密。

如上所述，电子设备中搭载了作为该电子设备的可信根的安全硬件，该安全硬件分别与电子设备中的存储介质和CPU对接，并且该安全硬件和存储介质中均存储了第一密钥。

在一示出的实施方式中，响应于针对电子设备的启动指令，安全硬件可以阻止电子设备中的CPU进行启动。

进一步地，在CPU未启动状态下，安全硬件还可以生成第二密钥，并利用存储的第一密钥对该第二密钥进行加密。

在一示出的实施方式中，在电子设备启动后，存储介质上电，并向安全硬件发送密钥获取请求。相应的，安全硬件接收该密钥获取请求。响应于该请求，安全硬件可以生成第二密钥，并利用存储的第一密钥对第二密钥进行加密。其中，第一密钥和第二密钥的具体类型，以及第二密钥的生成方式具体可参考上述图1对应实施例的描述，此处不再赘述。

在一示出的实施方式中，安全硬件中还可以存储了该第二密钥，例如安全硬件可以出厂内置该第二密钥，或者在第一次生成第二密钥后就保存该第二密钥，具体可参考上述图1对应实施例的描述，此处不再赘述。如此，安全硬件在接收到上述密钥获取请求后，响应于该请求，安全硬件可以直接利用存储的第一密钥对存储的第二密钥进行加密。

请参阅图3，图3是一示例性实施例提供的另一种密钥管理系统的架构示意图。如图3所示，密钥管理系统中还可以包括基板管理控制器(Baseboard ManagementController，BMC)，BMC分别与安全硬件和存储介质对接。在一示出的实施方式中，图3所示的CPU、BMC、安全硬件和存储介质均可以设置在电子设备的主板上。响应于针对该电子设备的启动指令，主板便会上电，相应的，主板上的BMC、安全硬件和存储介质也会随之上电。与此同时，安全硬件可以基于TPCM功能对CPU的启动控制机制，及时阻止CPU进行启动，即控制CPU处于未启动状态。

在一示出的实施方式中，主板的上电电压域一般可以为3.3V，本说明书对此不做具体限定。

在一示出的实施方式中，安全硬件阻止CPU进行启动具体可以包括：在主板上电后，安全硬件生成针对该CPU的启动信号(即CPU reset信号)，并阻断针对该CPU的启动信号的发送流程，以阻止CPU进行启动。进一步地，在安全硬件控制CPU处于未启动状态的情况下，安全硬件可以先对该电子设备搭载的固件进行可信校验，响应于可信校验通过，固件可以开启运行，此时安全硬件仍然可以持续阻断针对该CPU的启动信号的发送流程，以维持CPU处于未启动状态。

在一示出的实施方式中，上述固件可以包括基本输入输出系统(Basic InputOutput System，BIOS)和BMC，等等，本说明书对此不做具体限定。

在一示出的实施方式中，安全硬件也可以响应于上述可信校验通过，再生成针对该CPU的启动信号，并阻断针对该CPU的启动信号的发送流程，以控制CPU处于未启动状态，等等，本说明书对此不做具体限定。

进一步地，在安全硬件控制CPU处于未启动状态的情况下，响应于安全硬件针对BMC的可信校验通过，BMC可以开始启动。在一示出的实施方式中，存储介质在上电后可以向BMC发送密钥获取请求，BMC接收该密钥获取请求，并将该密钥获取请求进一步发送给安全硬件。相应的，安全硬件接收该密钥获取请求，并响应于该请求，生成第二密钥，以及利用存储的第一密钥对该第二密钥进行加密。或者，在安全硬件存储了第二密钥的情况下，响应于该请求，安全硬件可以直接利用存储的第一密钥对存储的第二密钥进行加密。如图3所示，该第一密钥可以为KEK，该第二密钥可以为MEK。

此外，需要说明的是，本申请对BMC与安全硬件和存储介质之间的通讯方式不作特别限定。在一示出的实施方式中，如图3所示，BMC可以通过集成电路总线(Inter-Integrated Circuit，IIC)通信协议分别与安全硬件和存储介质进行通信，或者，BMC也可以通过其他任何可能的通信协议进行通信，本说明书对此不做具体限定。

需要说明的是，图3所示的系统架构只作示例性说明，在一些可能的实施方式中，BMC也可以独立于密钥管理系统之外，等等，本说明书对此不做具体限定。

步骤S202，将加密后的所述第二密钥发送至存储介质，以使所述存储介质利用存储的第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，该第二密钥被保存在所述存储介质的易失性存储空间中；第二密钥用于数据写入存储介质时对该数据进行加密，在数据读出存储介质时对该数据进行解密。

进一步地，在一示出的实施方式中，安全硬件在利用其存储的第一密钥对生成的第二密钥进行加密后，安全硬件便可以将加密后的第二密钥发送至存储介质，相应的，存储介质接收加密后的第二密钥。

可以理解的是，安全硬件与存储介质之间的通信链路(例如IIC链路)有可能被其他恶意软件侦听，因此本申请将第二密钥用第一密钥加密后再进行传输，可以有效防止第二密钥泄露，确保第二密钥可以安全传输到存储介质中，进而保证数据存储安全。

进一步地，存储介质在接收到加密后的第二密钥后，可以利用其存储的第一密钥对加密后的第二密钥进行解密，并保存解密后的第二密钥，即保存第二密钥的明文。其中，该第二密钥可以用于数据写入存储介质时对该数据进行加密，在数据读出存储介质时对该数据进行解密。

示例性的，如图3所示，以第一密钥为KEK，第二密钥为MEK为例，安全硬件可以将经由KEK加密后的MEK通过IIC通信协议发送给BMC，再由BMC进一步将加密后的MEK通过IIC通信协议发送给存储介质。存储介质在接收到加密后的MEK后，可以利用其存储的KEK对加密后的MEK进行解密，并保存解密后得到的MEK。

在一示出的实施方式中，上述存储介质中可以包括易失性存储空间，上述第二密钥可以保存在该易失性存储空间中。在一示出的实施方式中，上述存储介质可以为SSD，上述易失性存储空间可以包括RAM。在一示出的实施方式中，SSD中可以包括SSD控制器(controller)，进一步地，该易失性存储空间具体可以位于SSD控制器中。其中，SSD控制器是SSD上的控制器芯片，它是SSD的核心组件之一。SSD控制器主要负责管理SSD上的数据存储和访问，并控制SSD的读写操作。SSD控制器通常包含一些关键的组件，例如闪存控制器、DRAM缓存、数据处理器和I/O接口。其中，闪存控制器用于管理SSD上的闪存存储单元，DRAM缓存用于缓存SSD读写操作的数据，数据处理器可以用于对SSD上的数据进行编码和解码，I/O接口用于与计算机或其他设备进行通信，等等，此处不再展开详述。

如上所述，由于MEK被保存在SSD controller RAM中，一旦电子设备关机或者SSD被人从电子设备上拔下来，SSD都会断电，原本保存在RAM中的MEK便会随之丢失。只有再次上电并执行完成上述步骤201和步骤202，SSD才能获取到MEK。

在一示出的实施方式中，每次上电后安全硬件生成的MEK可以相同，真随机数保证了MEK唯一性。相应的，每次上电后SSD解密得到的MEK也与设备关机前是一致的，CPU才能正常启动。

在一示出的实施方式中，例如在重装系统的情况下，重新上电后安全硬件生成的MEK也可以与之前生成的MEK不同，本说明书对此不做具体限定。

可以理解的是，电子设备中的存储介质和安全硬件在一定程度上是绑定的，如果存储介质被拔下换到其他设备上，或者本电子设备中的安全硬件被替换，则存储介质均无法获取到MEK的明文，使得存储介质中的数据不可读写，进而保证了数据存储安全。

在一些可能的实施方式中，安全硬件可以将经由KEK加密的MEK打包成数据包的形式并发送给存储介质，进一步地，安全硬件在KEK(MEK)这个数据包的外面还可以再用非对称密钥的私钥进行签名，该私钥存放在安全硬件中，相应的公钥可以存放在存储介质里面(例如SSD controller里面)。存储介质在接收到经过签名的KEK(MEK)数据包后，可以用公钥验签，以确保KEK(MEK)数据包的真实性和完整性，即确保KEK(MEK)是从安全硬件发出的，且没有被篡改。

在一些可能的实施方式中，BMC还可以与带外网络连接，该带外网络中可以包括密钥管理服务(Key Management Service，KMS)。如此，本申请也可以由KMS生成上述第二密钥，并经由BMC将KMS生成的第二密钥传输至安全硬件，再由安全硬件利用其存储的第一密钥对该第二密钥进行加密，并将加密后的第二密钥安全传输至存储介质中，等等，本说明书对此不做具体限定。

步骤S203，响应于存储介质成功保存所述第二密钥，控制CPU进行启动。

进一步地，响应于存储介质成功保存第二密钥，安全硬件可以控制CPU进行启动。示例性的，响应于存储介质成功保存第二密钥，安全硬件便可以向CPU发送上述启动信号，即释放CPU reset信号，从而启动CPU。

进一步地，在CPU启动时或者启动完成后，存储介质可以与CPU进行数据交互，此时存储介质可以基于已保存的所述第二密钥进行数据加密管理。示例性的，存储介质可以利用第二密钥对CPU写入存储介质的数据进行加密，和/或，利用第二密钥对CPU从存储介质中读取的数据进行解密，等等，本说明书对此不做具体限定。

请参阅图4，图4是一示例性实施例提供的一种数据加密管理的步骤示意图。如图4所示，SSD可以通过PCIE总线与CPU进行通讯，在CPU启动后，PCIE总线开始上电。示例性的，CPU在运行相应的应用程序时，可以通过PCIE总线向SSD写入数据，SSD控制器可以利用RAM中保存的MEK对待写入的数据进行加密，加密后的数据可以存储于SSD的存储颗粒中。在一示出的实施方式中，该存储颗粒可以为NAND闪存颗粒，其中包含了无数个存储单元。应理解，NAND闪存是一种非易失性的半导体存储器件，在断电情况下仍能保持所存储的数据信息，此处不再进行赘述。相应的，CPU可以通过PCIE总线从SSD的存储颗粒中读取相应的数据，SSD控制器可以利用RAM中保存的MEK对读取出的数据进行解密，并将解密后的数据经由PCIE总线传输给CPU。

如上所述，由于第二密钥的生成、加密、传输、解密和保存均是在CPU启动之前完成的，因此在BIOS和OS等上层系统以及各类应用程序启动后，其对底层的存储介质是否加密是无感知的，甚至对CPU来说，该存储介质可以是一个没有加密功能的普通硬盘。因此，本申请基于可信根的密钥管理不仅安全可靠，还十分简单，对于整个计算机系统的改动极小，BIOS和OS等均无需改动，适配度极高。

综上所述，本申请的电子设备中搭载了作为该电子设备的可信根的安全硬件，并且该安全硬件与电子设备中的存储介质和CPU对接。与此同时，安全芯片和存储介质中均存储了第一密钥。响应于针对电子设备的启动指令，上述安全硬件可以阻止CPU进行启动，并利用存储的第一密钥对与该安全硬件对应的第二密钥进行加密，并将加密后的第二密钥传输到存储介质中。进一步地，存储介质在接收到加密后的第二密钥后，可以利用存储的第一密钥对该加密后的第二密钥进行解密，并将解密后的第二密钥保存在存储介质的易失性存储空间中。在存储介质成功保存第二密钥后，安全硬件才会控制CPU进行启动，之后存储介质便可以利用已保存的第二密钥在数据写入该存储介质时对数据进行加密，在数据读出该存储介质时对数据进行解密，以保证数据安全。如此，本申请借助可信根安全芯片生成用于数据加密管理的加密密钥，并在CPU启动前将加密密钥安全传输到存储介质中，实现了更加安全的密钥管理和保护。并且，由于加密密钥保存在存储介质的易失性存储空间中，一旦电子设备关机，或者有人恶意从电子设备上拆除存储介质，那么随着存储介质的掉电，原本保存的第二密钥也会随之丢失，从而有效防止了密钥泄露，进而保障了数据存储安全。

与上述方法流程实现相对应的，本说明书的实施例还提供了一种密钥管理装置。请参阅图5，图5是一示例性实施例提供的一种密钥管理装置的结构示意图。该装置50可以应用于电子设备中搭载的作为该电子设备的可信根的安全硬件，该安全硬件分别与该电子设备中的存储介质和处理器CPU对接，该存储介质和该安全硬件中存储了第一密钥。如图5所示，该装置50包括：

密钥加密单元501，用于响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用其存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密；以及，

密钥传输单元502，用于将加密后的所述第二密钥发送至所述存储介质，以使所述存储介质利用其存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，该第二密钥被保存在所述存储介质的易失性存储空间中；所述第二密钥用于数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密；

CPU启动单元503，用于响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动。

在一示出的实施方式中，所述第一密钥为密钥加密密钥KEK，所述第二密钥为设备加密密钥MEK。

在一示出的实施方式中，所述密钥加密单元501，具体用于：生成与所述安全硬件对应的所述第二密钥，并利用存储的所述第一密钥对生成的所述第二密钥进行加密。

在一示出的实施方式中，所述安全硬件中还存储了与所述安全硬件对应的所述第二密钥；所述密钥加密单元501，具体用于：利用存储的所述第一密钥对所述安全硬件中存储的所述第二密钥进行加密。

在一示出的实施方式中，所述安全硬件中存储的所述第二密钥为预先存储在所述安全硬件中的密钥；或者，所述安全硬件中存储的所述第二密钥，为响应于针对所述电子设备的启动指令，所述安全硬件生成并保存的密钥。

在一示出的实施方式中，所述密钥加密单元501，具体用于：阻断针对所述CPU的启动信号的发送流程；所述CPU启动单元503，具体用于：向所述CPU发送所述启动信号。

在一示出的实施方式中，在阻断针对所述CPU的启动信号的发送流程之前，所述装置50还包括可信校验单元504，用于：

对所述电子设备搭载的固件进行可信校验，响应于所述可信校验通过，生成针对所述CPU的所述启动信号。

在一示出的实施方式中，所述安全硬件与所述存储介质之间通过基板管理控制器BMC对接；

所述密钥加密单元501，具体用于：

接收所述存储介质经由所述BMC发送的密钥获取请求，响应于所述请求，利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密；

所述密钥传输单元502，具体用于：

将加密后的所述第二密钥发送至所述BMC，以进一步经由所述BMC将加密后的所述第二密钥发送至所述存储介质。

在一示出的实施方式中，所述存储介质为固态硬盘SSD。

在一示出的实施方式中，所述易失性存储空间包括随机存取存储器RAM。

在一示出的实施方式中，所述安全硬件包括以下示出的任意一种安全芯片：基于可信平台控制模块TPCM的安全芯片，基于可信平台模块TPM的安全芯片，基于可信密码模块TCM的安全芯片。

相应的，请参阅图6，图6是一示例性实施例提供的一种密钥管理装置的结构示意图。该装置60可以应用于电子设备中的存储介质；该电子设备中搭载了作为该电子设备的可信根的安全硬件。安全硬件可以分别与该电子设备中的存储介质和处理器CPU对接，该存储介质和该安全硬件中存储了第一密钥。如图6所示，该装置60包括：

密钥接收单元601，用于在所述安全硬件响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密后，接收所述安全硬件发送的加密后的所述第二密钥；

密钥保存单元602，用于利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，以使所述安全硬件响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动；该第二密钥被保存在所述存储介质的易失性存储空间中；

数据加密管理单元603，用于利用已保存的所述第二密钥在数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密。

上述装置50和装置60中各个单元的功能和作用的实现过程具体详见上述图1-图4对应实施例的描述，在此不再进行赘述。应理解，上述装置50和装置60可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为逻辑意义上的装置，是通过所在设备的处理器(CPU)将对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，除了CPU以及存储器之外，上述装置所在的设备通常还包括用于进行无线信号收发的芯片等其他硬件，和/或用于实现网络通信功能的板卡等其他硬件。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络模块上。可以根据实际的需要选择其中的部分或者全部单元或模块来实现本说明书方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

上述实施例阐明的装置、单元、模块，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备、车载计算机或者这些设备中的任意几种设备的组合。

与上述方法实施例相对应，本说明书的实施例还提供了一种电子设备。请参阅图7，图7是一示例性实施例提供的一种电子设备的结构示意图。图7所示的电子设备可以为图1或者图3所示的电子设备10，其中搭载了作为电子设备的可信根的安全硬件，该安全硬件分别与电子设备中的存储介质和CPU对接，存储介质和安全硬件中存储了第一密钥。该电子设备具体可以是智能手机、智能可穿戴设备、平板电脑、笔记本电脑、台式电脑、服务器或者服务器集群，等等，本说明书对此不做具体限定。如图7所示，该电子设备包括处理器1001和存储器1002，进一步还可以包括输入设备1004(例如键盘等)和输出设备1005(例如显示器等)。处理器1001、存储器1002、输入设备1004和输出设备1005之间可以通过总线或其他方式连接。如图7所示，存储器1002包括计算机可读存储介质1003，该计算机可读存储介质1003存储有能够由处理器1001运行的计算机程序。处理器1001可以是CPU，微处理器，或用于控制以上方法实施例执行的集成电路，该处理器1001可以是安全硬件中的处理器。处理器1001在运行存储的计算机程序时，可以执行本说明书实施例中密钥管理方法的各个步骤，包括：响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的所述第二密钥进行加密；以及，将加密后的所述第二密钥发送至所述存储介质，以使所述存储介质利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，该第二密钥被保存在所述存储介质的易失性存储空间中；所述第二密钥用于数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密；响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动，等等。

对上述密钥管理方法的各个步骤的详细描述请参见之前的内容，此处不再进行赘述。

与上述方法实施例相对应，本说明书的实施例还提供了一种计算机可读存储介质，该存储介质上存储有计算机程序，这些计算机程序在被处理器运行时，执行本说明书实施例中密钥管理方法的各个步骤。具体请参见上述图1-图4对应实施例的描述，此处不再进行赘述。

以上所述仅为本说明书的较佳实施例而已，并不用以限制本说明书，凡在本说明书的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书保护的范围之内。

在一个典型的配置中，终端设备包括一个或多个CPU、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。

计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本说明书的实施例可提供为方法、系统或计算机程序产品。因此，本说明书的实施例可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书的实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

Claims (17)

1.一种密钥管理方法，其特征在于，应用于电子设备中搭载的作为所述电子设备的可信根的安全硬件；所述安全硬件分别与所述电子设备中的存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；所述方法包括：

响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密；以及，

将加密后的所述第二密钥发送至所述存储介质，以使所述存储介质利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，该第二密钥被保存在所述存储介质的易失性存储空间中；所述第二密钥用于数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密；

响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动。

2.根据权利要求1所述的方法，其特征在于，所述利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密，包括：

生成与所述安全硬件对应的第二密钥，并利用存储的所述第一密钥对生成的所述第二密钥进行加密。

3.根据权利要求1所述的方法，其特征在于，所述安全硬件中还存储了与所述安全硬件对应的所述第二密钥；

所述利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密，包括：

利用存储的所述第一密钥对所述安全硬件中存储的所述第二密钥进行加密。

4.根据权利要求3所述的方法，其特征在于，所述安全硬件中存储的所述第二密钥为预先存储在所述安全硬件中的密钥；或者，所述安全硬件中存储的所述第二密钥，为响应于针对所述电子设备的启动指令，所述安全硬件生成并保存的密钥。

5.根据权利要求1所述的方法，其特征在于，所述第一密钥为密钥加密密钥KEK，所述第二密钥为设备加密密钥MEK。

6.根据权利要求1所述的方法，其特征在于，所述阻止所述CPU进行启动，包括：阻断针对所述CPU的启动信号的发送流程；所述控制所述CPU进行启动，包括：向所述CPU发送所述启动信号。

7.根据权利要求6所述的方法，其特征在于，在阻断针对所述CPU的启动信号的发送流程之前，所述方法还包括：

对所述电子设备搭载的固件进行可信校验，响应于所述可信校验通过，生成针对所述CPU的所述启动信号。

8.根据权利要求1所述的方法，其特征在于，所述安全硬件与所述存储介质之间通过基板管理控制器BMC对接；

所述利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密，包括：

接收所述存储介质经由所述BMC发送的密钥获取请求，响应于所述请求，利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密；

所述将加密后的所述第二密钥发送至所述存储介质，包括：

将加密后的所述第二密钥发送至所述BMC，以进一步经由所述BMC将加密后的所述第二密钥发送至所述存储介质。

9.根据权利要求1所述的方法，其特征在于，所述存储介质为固态硬盘SSD。

10.根据权利要求1所述的方法，其特征在于，所述易失性存储空间包括随机存取存储器RAM。

11.根据权利要求1-10任意一项所述的方法，其特征在于，所述安全硬件包括以下示出的任意一种安全芯片：基于可信平台控制模块TPCM的安全芯片，基于可信平台模块TPM的安全芯片，基于可信密码模块TCM的安全芯片。

12.一种密钥管理方法，其特征在于，应用于电子设备中的存储介质；所述电子设备中搭载了作为所述电子设备的可信根的安全硬件，所述安全硬件分别与所述电子设备中的所述存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；所述方法包括：

在所述安全硬件响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密后，接收所述安全硬件发送的加密后的所述第二密钥；

利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，以使所述安全硬件响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动；该第二密钥被保存在所述存储介质的易失性存储空间中；

利用已保存的所述第二密钥在数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密。

13.一种密钥管理系统，其特征在于，所述系统包括电子设备中的存储介质，以及作为所述电子设备的可信根的安全硬件；所述安全硬件分别与所述电子设备中的所述存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；

所述安全硬件，用于响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密；以及，将加密后的所述第二密钥发送至所述存储介质；

所述存储介质，用于利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，该第二密钥被保存在所述存储介质的易失性存储空间中；

所述安全硬件，还用于响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动；

所述存储介质，还用于利用已保存的所述第二密钥在数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密。

14.一种密钥管理装置，其特征在于，应用于电子设备中搭载的作为所述电子设备的可信根的安全硬件；所述安全硬件分别与所述电子设备中的存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；所述装置包括：

密钥加密单元，用于响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密；以及，

密钥传输单元，用于将加密后的所述第二密钥发送至所述存储介质，以使所述存储介质利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，该第二密钥被保存在所述存储介质的易失性存储空间中；所述第二密钥用于数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密；

CPU启动单元，用于响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动。

15.一种密钥管理装置，其特征在于，应用于电子设备中的存储介质；所述电子设备中搭载了作为所述电子设备的可信根的安全硬件，所述安全硬件分别与所述电子设备中的所述存储介质和处理器CPU对接，所述存储介质和所述安全硬件中存储了第一密钥；所述装置包括：

密钥接收单元，用于在所述安全硬件响应于针对所述电子设备的启动指令，阻止所述CPU进行启动，并利用存储的所述第一密钥对与所述安全硬件对应的第二密钥进行加密后，接收所述安全硬件发送的加密后的所述第二密钥；

密钥保存单元，用于利用存储的所述第一密钥对加密后的所述第二密钥进行解密，并保存解密后的所述第二密钥，以使所述安全硬件响应于所述存储介质成功保存所述第二密钥，控制所述CPU进行启动；该第二密钥被保存在所述存储介质的易失性存储空间中；

数据加密管理单元，用于利用已保存的所述第二密钥在数据写入该存储介质时对该数据进行加密，在数据读出该存储介质时对该数据进行解密。

16.一种电子设备，其特征在于，包括：存储器和处理器；所述存储器上存储有可由所述处理器运行的计算机程序；所述处理器运行所述计算机程序时，执行如权利要求1至11任意一项所述的方法，或者执行如权利要求12所述的方法。

17.一种计算机可读存储介质，其特征在于，其上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至11任意一项所述的方法，或者执行如权利要求12所述的方法。