CN118101189A - 一种数据加解密方法、装置、设备及存储介质 - Google Patents

Abstract

本申请公开了一种数据加解密方法、装置、设备及存储介质，涉及网络安全领域，包括：当文件保险箱监测到针对待处理数据的加解密事件时，在用户态获取数据密钥密文，并在对数据密钥密文的签名值验证通过后，基于用户密钥对数据密钥密文进行解密得到数据密钥；在用户态基于加密密钥对数据密钥进行加密，并将加密后数据密钥发送至内核态；在内核态基于解密密钥对加密后数据密钥进行解密得到数据密钥，并利用数据密钥对待处理数据进行加密或解密以得到相应的加密后数据或解密后数据。本申请通过对在用户态和内核态之间传输的数据密钥进行加密，避免在传输过程中被窃取的风险，并且通过采用用户密钥和数据密钥的二级密钥管理体系，提高数据的安全性。

Description

一种数据加解密方法、装置、设备及存储介质

技术领域

本发明涉及网络安全领域，特别涉及一种数据加解密方法、装置、设备及存储介质。

背景技术

电子文件保险箱是指专为用户保护机密、隐私数据的桌面防护性产品。通过核心加密虚拟卷技术对用户敏感数据、隐私记录给予安全保护，有效防止因电脑丢失，电脑维修，黑客底层破解等情况发生时所造成的信息泄密。当前主流的文件保险箱大多采用一级密钥管理体系，即基于AES(Advanced Encryption Standard，高级加密标准)加密算法。通过对用户口令进行哈希计算生成磁盘加密密钥。该方案的缺陷在于，一方面，用户口令以明文的方式在内核态和用户态之间传递，一旦计算机被木马程序监控很容易窃取到用户口令，从而破解加密盘；另一方面，所有的加解密操作全部依赖于用户的口令，一旦口令遗忘，将会导致加密盘无法打开，造成数据丢失的后果。

发明内容

有鉴于此，本发明的目的在于提供一种数据加解密方法、装置、设备及存储介质，能够对在用户态和内核态之间传输的数据密钥进行加密，避免在传输过程中被窃取的风险，并且通过采用用户密钥和数据密钥的二级密钥管理体系，提高数据的安全性。其具体方案如下：

第一方面，本申请提供了一种数据加解密方法，应用于文件保险箱，包括：

当监测到针对待处理数据的加解密事件时，在用户态获取数据密钥密文，并在对所述数据密钥密文的签名值验证通过后，基于用户密钥对所述数据密钥密文进行解密，以得到数据密钥；

在所述用户态基于加密密钥对所述数据密钥进行加密，并将加密后数据密钥发送至内核态；

在所述内核态基于解密密钥对所述加密后数据密钥进行解密，以得到所述数据密钥，并利用所述数据密钥对所述待处理数据进行加密或解密，以得到相应的加密后数据或解密后数据。

可选的，所述获取数据密钥密文之前，还包括：

获取与所述文件保险箱对应的所述数据密钥，并利用所述用户密钥对所述数据密钥进行加密，以得到所述数据密钥密文；

将所述数据密钥密文存储至本地。

可选的，所述基于用户密钥对所述数据密钥密文进行解密，以得到数据密钥，包括：

获取密钥获取方式选择指令，并确定与所述密钥获取方式选择指令对应的目标密钥获取方式；

基于所述目标密钥获取方式获取所述用户密钥，并利用所述用户密钥对所述数据密钥密文进行解密，以得到所述数据密钥。

可选的，所述基于所述目标密钥获取方式获取所述用户密钥，包括：

若所述目标密钥获取方式为口令获取方式，则获取用户口令，并采集终端硬件参数；

基于所述用户口令以及所述终端硬件参数生成所述用户密钥。

可选的，所述方法还包括：

若监测到针对所述文件保险箱的用户登录事件，则对与所述用户登录事件对应的所述用户口令进行用户身份认证，并在认证成功后，触发所述加解密事件；

或，若监测到针对所述文件保险箱的用户登录事件，则对与所述用户登录事件对应的用户身份凭证进行用户身份认证，并在认证成功后，触发所述加解密事件。

可选的，所述基于所述目标密钥获取方式获取所述用户密钥，包括：

若所述目标密钥获取方式为解密获取方式，则对本地存储的用户密钥密文进行解密，以得到所述用户密钥。

可选的，所述在所述用户态基于加密密钥对所述数据密钥进行加密之前，还包括：

在所述内核态基于非对称加密算法生成所述加密密钥和所述解密密钥，并将所述加密密钥发送至所述用户态。

第二方面，本申请提供了一种数据加解密装置，应用于文件保险箱，包括：

数据密钥获取模块，用于当监测到针对待处理数据的加解密事件时，在用户态获取数据密钥密文，并在对所述数据密钥密文的签名值验证通过后，基于用户密钥对所述数据密钥密文进行解密，以得到数据密钥；

数据密钥加密模块，用于在所述用户态基于加密密钥对所述数据密钥进行加密，并将加密后数据密钥发送至内核态；

数据加解密模块，用于在所述内核态基于解密密钥对所述加密后数据密钥进行解密，以得到所述数据密钥，并利用所述数据密钥对所述待处理数据进行加密或解密，以得到相应的加密后数据或解密后数据。

第三方面，本申请提供了一种电子设备，包括：

存储器，用于保存计算机程序；

处理器，用于执行所述计算机程序以实现前述的数据加解密方法。

第四方面，本申请提供了一种计算机可读存储介质，用于保存计算机程序，所述计算机程序被处理器执行时实现前述的数据加解密方法。

本申请中，当文件保险箱监测到针对待处理数据的加解密事件时，在用户态获取数据密钥密文，并在对所述数据密钥密文的签名值验证通过后，基于用户密钥对所述数据密钥密文进行解密，以得到数据密钥；在所述用户态基于加密密钥对所述数据密钥进行加密，并将加密后数据密钥发送至内核态；在所述内核态基于解密密钥对所述加密后数据密钥进行解密，以得到所述数据密钥，并利用所述数据密钥对所述待处理数据进行加密或解密，以得到相应的加密后数据或解密后数据。由此可见，本申请通过对在用户态和内核态之间传输的数据密钥进行加密，避免在传输过程中数据密钥被窃取的风险，并且，本申请通过采用用户密钥和数据密钥的二级密钥管理体系，通过用户密钥对数据密钥进行保护，并通过数据密钥对待处理数据进行保护，从而提高数据的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请公开的一种数据加解密方法流程图；

图2为本申请公开的一种数据加解密流程图；

图3为本申请公开的一种数据加解密装置结构示意图；

图4为本申请公开的一种电子设备结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

当前主流的文件保险箱大多采用一级密钥管理体系，即基于AES加密算法对用户口令进行哈希计算生成磁盘加密密钥。该方案的缺陷在于，一方面，用户口令以明文的方式在内核态和用户态之间传递，一旦计算机被木马程序监控很容易窃取到用户口令，从而破解加密盘；另一方面，所有的加解密操作全部依赖于用户的口令，一旦口令遗忘，将会导致加密盘无法打开，造成数据丢失的后果。为此，本申请提供了一种数据加解密方法，通过对在用户态和内核态之间传输的数据密钥进行加密，避免在传输过程中被窃取的风险，并且通过采用用户密钥和数据密钥的二级密钥管理体系，提高数据的安全性。

参见图1所示，本发明实施例公开了一种数据加解密方法，应用于文件保险箱，包括：

步骤S11、当监测到针对待处理数据的加解密事件时，在用户态获取数据密钥密文，并在对所述数据密钥密文的签名值验证通过后，基于用户密钥对所述数据密钥密文进行解密，以得到数据密钥。

本实施例中，当用户登录文件保险箱，并将需要加密的待处理数据拖入文件保险箱，或者用户在文件保险箱中选择需要解密的待处理数据时，文件保险箱会相应的监测到针对待处理数据的加密事件或解密事件，此时文件保险箱通过在用户态查找本地存储的数据密钥密文，并调用密码模块对数据密钥密文的签名值进行验证，若验证通过，则表明数据密钥是完整的且未被篡改的，因此进一步获取用户密钥，以利用用户密钥对数据密钥密文进行解密得到相应的数据密钥。其中，用户密钥即为用户管理的密钥，又被称之为密钥加密密钥(KEK，Key Encryption Key)，用于对文件保险箱使用的数据加密密钥(DEK，DataEncryption Key)进行加密；数据密钥即为对数据进行加密的密钥，又被称之为数据加密密钥DEK。

需要说明的是，在获取数据密钥密文之前，需要预先将数据密钥密文存储至文件保险箱，具体步骤包括：获取与文件保险箱对应的数据密钥，并利用用户密钥对数据密钥进行加密，以得到数据密钥密文；然后将数据密钥密文存储至文件保险箱。可以理解的是，一个文件保险箱对应一个数据密钥，用于对放入该文件保险箱中的数据进行加密和解密操作，而数据密钥在用户态下需要以密文的形式进行保存，因此可以利用用户密钥对数据密钥进行加密保护以得到数据密钥密文，然后将数据密钥密文存储至文件保险箱。

本实施例中，对于基于用户密钥对数据密钥密文进行解密，以得到数据密钥，包括：获取密钥获取方式选择指令，并确定与密钥获取方式选择指令对应的目标密钥获取方式；基于目标密钥获取方式获取用户密钥，并利用用户密钥对数据密钥密文进行解密，以得到数据密钥。可以理解的是，通过在当前显示屏上显示用于对用户密钥的获取方式进行选择的选项卡，并通过选项卡上的预设接口获取用户输入的密钥获取方式选择指令，基于密钥获取方式选择指令确定相应的目标密钥获取方式，并基于目标密钥获取方式获取用户密钥，从而利用用户密钥对数据密钥密文进行解密，以得到数据密钥。

对于目标密钥获取方式，在一种具体实施方式中，若目标密钥获取方式为口令获取方式，则获取用户口令，并采集终端硬件参数；然后基于用户口令以及终端硬件参数生成用户密钥。可以理解的是，若目标密钥获取方式为口令获取方式，则获取用户当前输入的用户口令，或者获取用户登录文件保险箱时输入的用户口令，并采集终端硬件参数，从而利用基于动态口令的密钥衍生算法基于用户口令以及终端硬件参数生成用户密钥。需要说明的是，通过将终端硬件参数作为用户密钥的生成参数之一，从而支持文件保险箱与终端进行绑定，在这种方式下如果将文件保险箱整体拷贝到其他终端，即便是合法用户也不能解密文件保险箱中的数据。

对于目标密钥获取方式，在另一种具体实施方式中，若目标密钥获取方式为解密获取方式，则对本地存储的用户密钥密文进行解密，以得到用户密钥。可以理解的是，若目标密钥获取方式为解密获取方式，则调用密码模块中的用户私钥对文件保险箱本地存储的用户密钥密文进行解密，从而得到用户密钥。需要说明的是，对于用户密钥密文，在文件保险箱初始化时，便会预先调用密码模块中的用户私钥对用户密钥进行加密得到用户密钥密文，然后将用户密钥密文提前存储在文件保险箱中。这样一来，通过采用对用户密钥密文进行解密得到用户密钥的方式，可以支持用户在忘记口令时，对用户口令进行重置，从而提升用户的使用感。

步骤S12、在所述用户态基于加密密钥对所述数据密钥进行加密，并将加密后数据密钥发送至内核态。

本实施例中，在通过用户态基于加密密钥对数据密钥进行加密之前，还需要先获取该加密密钥，而对于该加密密钥，具体是通过在内核态基于国密非对称加密算法临时生成的，同时内核态还会基于国密非对称加密算法临时生成相应的解密密钥，并且内核态通过将加密密钥发送至用户态，以便用户态基于该加密密钥对数据密钥进行加密。

本实施例，在用户态获取到内核态生成并发送的加密密钥后，利用加密密钥对数据密钥进行加密，以得到加密后数据密钥，并将加密后数据密钥导入文件保险箱的内核态。这样一来，通过对在用户态和内核态之间传输的数据密钥进行加密，有效避免在传输过程中数据密钥被窃取的风险。

步骤S13、在所述内核态基于解密密钥对所述加密后数据密钥进行解密，以得到所述数据密钥，并利用所述数据密钥对所述待处理数据进行加密或解密，以得到相应的加密后数据或解密后数据。

本实施例中，在内核态获取到用户态导入的加密后数据密钥之后，利用基于国密非对称加密算法临时生成的解密密钥对加密后数据密钥进行解密，以得到相应的数据密钥，然后使用数据密钥便可以对待处理数据进行加密或解密操作，以得到相应的加密后数据或解密后数据。其中，对待处理数据进行加密或解密的算法采用国密对称算法。

需要说明的是，在文件保险箱监测到针对待处理数据的加解密事件之前，需要用户先对文件保险箱进行登录，此时文件保险箱会对用户的登录信息进行认证，若认证成功，则表明该用户是合法的，允许触发对待处理数据的加解密事件。具体的，在一种具体实施方式中，若监测到针对文件保险箱的用户登录事件，则对与用户登录事件对应的用户口令进行用户身份认证，并在认证成功后，触发对待处理数据的加解密事件；其中，该用户口令即为用于生成用户密钥的用户口令。在另一种具体实施方式中，若监测到针对文件保险箱的用户登录事件，则对与用户登录事件对应的用户身份凭证进行用户身份认证，并在认证成功后，触发对待处理数据的加解密事件；其中，用户身份凭证包括但不限于登录账号、登录密码等。

由此可见，本申请通过对在用户态和内核态之间传输的数据密钥进行加密，避免在传输过程中数据密钥被窃取的风险，并且，本申请通过采用用户密钥和数据密钥的二级密钥管理体系，通过用户密钥对数据密钥进行保护，并通过数据密钥对待处理数据进行保护，从而提高数据的安全性。

参见图2所示，本发明实施例公开了一种数据加解密方法，应用于文件保险箱，包括：

当监测到针对待处理数据的加解密事件时，在用户态获取数据密钥密文(DEK密文)，并在对数据密钥密文的签名值验证通过后，基于密钥获取方式选择指令确定相应的密钥获取方式。若密钥获取方式为口令获取方式，则获取用户口令，并采集终端硬件参数，然后利用国密算法并基于用户口令以及终端硬件参数生成用户密钥KEK。若密钥获取方式为解密获取方式，则对文件保险箱本地存储的用户密钥密文(KEK密文)进行解密，以得到用户密钥KEK。在获取到用户密钥KEK之后，利用国密对称加密算法并基于用户密钥对数据密钥密文进行解密，以得到数据密钥DEK。

在用户态基于加密密钥对数据密钥DEK进行加密之前，内核态需要先基于国密非对称加密算法临时生成加密密钥以及相应的解密密钥，并将加密密钥发送至用户态。在用户态获取到加密密钥之后，利用国密非对称加密算法并基于加密密钥对数据密钥DEK进行加密，以得到加密后数据密钥(DEK密文)，并将加密后数据密钥导入文件保险箱的内核态。

在内核态获取到用户态导入的加密后数据密钥之后，利用国密非对称加密算法并基于解密密钥对加密后数据密钥进行解密，以得到相应的数据密钥DEK，然后利用国密对称加密算法并基于数据密钥DEK便可以对待处理数据进行加密或解密操作，以得到相应的加密后数据或解密后数据。具体的，若待处理数据为明文数据，则利用国密对称加密算法并基于数据密钥DEK对明文数据进行加密，以得到相应的密文数据；若待处理数据为密文数据，则利用国密对称加密算法并基于数据密钥DEK对密文数据进行解密，以得到相应的明文数据。

由此可见，本申请通过对在用户态和内核态之间传输的数据密钥进行加密，避免在传输过程中数据密钥被窃取的风险，并且，本申请通过采用用户密钥和数据密钥的二级密钥管理体系，通过用户密钥对数据密钥进行保护，并通过数据密钥对待处理数据进行保护，从而提高数据的安全性。

参见图3所示，本发明实施例公开了一种数据加解密装置，应用于文件保险箱，包括：

数据密钥获取模块11，用于当监测到针对待处理数据的加解密事件时，在用户态获取数据密钥密文，并在对所述数据密钥密文的签名值验证通过后，基于用户密钥对所述数据密钥密文进行解密，以得到数据密钥；

数据密钥加密模块12，用于在所述用户态基于加密密钥对所述数据密钥进行加密，并将加密后数据密钥发送至内核态；

数据加解密模块13，用于在所述内核态基于解密密钥对所述加密后数据密钥进行解密，以得到所述数据密钥，并利用所述数据密钥对所述待处理数据进行加密或解密，以得到相应的加密后数据或解密后数据。

由此可见，本申请通过对在用户态和内核态之间传输的数据密钥进行加密，避免在传输过程中数据密钥被窃取的风险，并且，本申请通过采用用户密钥和数据密钥的二级密钥管理体系，通过用户密钥对数据密钥进行保护，并通过数据密钥对待处理数据进行保护，从而提高数据的安全性。

在一些具体实施例中，所述数据加解密装置，还可以包括：

数据密钥密文获取单元，用于获取与所述文件保险箱对应的所述数据密钥，并利用所述用户密钥对所述数据密钥进行加密，以得到所述数据密钥密文；

数据密钥密文存储单元，用于将所述数据密钥密文存储至本地。

在一些具体实施例中，所述数据密钥获取模块11，具体可以包括：

获取方式确定单元，用于获取密钥获取方式选择指令，并确定与所述密钥获取方式选择指令对应的目标密钥获取方式；

密文解密子模块，用于基于所述目标密钥获取方式获取所述用户密钥，并利用所述用户密钥对所述数据密钥密文进行解密，以得到所述数据密钥。

在一些具体实施例中，所述密文解密子模块，具体可以包括：

用户密钥生成单元，用于若所述目标密钥获取方式为口令获取方式，则获取用户口令，并采集终端硬件参数；基于所述用户口令以及所述终端硬件参数生成所述用户密钥。

在一些具体实施例中，所述数据加解密装置，还可以包括：

第一认证单元，用于若监测到针对所述文件保险箱的用户登录事件，则对与所述用户登录事件对应的所述用户口令进行用户身份认证，并在认证成功后，触发所述加解密事件；

第二认证单元，用于若监测到针对所述文件保险箱的用户登录事件，则对与所述用户登录事件对应的用户身份凭证进行用户身份认证，并在认证成功后，触发所述加解密事件。

在一些具体实施例中，所述密文解密子模块，具体可以包括：

用户密钥获取单元，用于若所述目标密钥获取方式为解密获取方式，则对本地存储的用户密钥密文进行解密，以得到所述用户密钥。

在一些具体实施例中，所述数据加解密装置，还可以包括：

密钥生成单元，用于在所述内核态基于非对称加密算法生成所述加密密钥和所述解密密钥，并将所述加密密钥发送至所述用户态。

进一步的，本申请实施例还公开了一种电子设备，图4是根据一示例性实施例示出的电子设备20结构图，图中的内容不能认为是对本申请的使用范围的任何限制。

图4为本申请实施例提供的一种电子设备20的结构示意图。该电子设备20，具体可以包括：至少一个处理器21、至少一个存储器22、电源23、通信接口24、输入输出接口25和通信总线26。其中，所述存储器22用于存储计算机程序，所述计算机程序由所述处理器21加载并执行，以实现前述任一实施例公开的数据加解密方法中的相关步骤。另外，本实施例中的电子设备20具体可以为电子计算机。

本实施例中，电源23用于为电子设备20上的各硬件设备提供工作电压；通信接口24能够为电子设备20创建与外界设备之间的数据传输通道，其所遵循的通信协议是能够适用于本申请技术方案的任意通信协议，在此不对其进行具体限定；输入输出接口25，用于获取外界输入数据或向外界输出数据，其具体的接口类型可以根据具体应用需要进行选取，在此不进行具体限定。

另外，存储器22作为资源存储的载体，可以是只读存储器、随机存储器、磁盘或者光盘等，其上所存储的资源可以包括操作系统221、计算机程序222等，存储方式可以是短暂存储或者永久存储。

其中，操作系统221用于管理与控制电子设备20上的各硬件设备以及计算机程序222，其可以是Windows Server、Netware、Unix、Linux等。计算机程序222除了包括能够用于完成前述任一实施例公开的由电子设备20执行的数据加解密方法的计算机程序之外，还可以进一步包括能够用于完成其他特定工作的计算机程序。

进一步的，本申请还公开了一种计算机可读存储介质，用于存储计算机程序；其中，所述计算机程序被处理器执行时实现前述公开的数据加解密方法。关于该方法的具体步骤可以参考前述实施例中公开的相应内容，在此不再进行赘述。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本申请所提供的技术方案进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种数据加解密方法，其特征在于，应用于文件保险箱，包括：

当监测到针对待处理数据的加解密事件时，在用户态获取数据密钥密文，并在对所述数据密钥密文的签名值验证通过后，基于用户密钥对所述数据密钥密文进行解密，以得到数据密钥；

在所述用户态基于加密密钥对所述数据密钥进行加密，并将加密后数据密钥发送至内核态；

在所述内核态基于解密密钥对所述加密后数据密钥进行解密，以得到所述数据密钥，并利用所述数据密钥对所述待处理数据进行加密或解密，以得到相应的加密后数据或解密后数据。

2.根据权利要求1所述的数据加解密方法，其特征在于，所述获取数据密钥密文之前，还包括：

获取与所述文件保险箱对应的所述数据密钥，并利用所述用户密钥对所述数据密钥进行加密，以得到所述数据密钥密文；

将所述数据密钥密文存储至本地。

3.根据权利要求1所述的数据加解密方法，其特征在于，所述基于用户密钥对所述数据密钥密文进行解密，以得到数据密钥，包括：

获取密钥获取方式选择指令，并确定与所述密钥获取方式选择指令对应的目标密钥获取方式；

基于所述目标密钥获取方式获取所述用户密钥，并利用所述用户密钥对所述数据密钥密文进行解密，以得到所述数据密钥。

4.根据权利要求3所述的数据加解密方法，其特征在于，所述基于所述目标密钥获取方式获取所述用户密钥，包括：

若所述目标密钥获取方式为口令获取方式，则获取用户口令，并采集终端硬件参数；

基于所述用户口令以及所述终端硬件参数生成所述用户密钥。

5.根据权利要求4所述的数据加解密方法，其特征在于，还包括：

若监测到针对所述文件保险箱的用户登录事件，则对与所述用户登录事件对应的所述用户口令进行用户身份认证，并在认证成功后，触发所述加解密事件；

或，若监测到针对所述文件保险箱的用户登录事件，则对与所述用户登录事件对应的用户身份凭证进行用户身份认证，并在认证成功后，触发所述加解密事件。

6.根据权利要求3所述的数据加解密方法，其特征在于，所述基于所述目标密钥获取方式获取所述用户密钥，包括：

若所述目标密钥获取方式为解密获取方式，则对本地存储的用户密钥密文进行解密，以得到所述用户密钥。

7.根据权利要求1至6任一项所述的数据加解密方法，其特征在于，所述在所述用户态基于加密密钥对所述数据密钥进行加密之前，还包括：

在所述内核态基于非对称加密算法生成所述加密密钥和所述解密密钥，并将所述加密密钥发送至所述用户态。

8.一种数据加解密装置，其特征在于，应用于文件保险箱，包括：

数据密钥获取模块，用于当监测到针对待处理数据的加解密事件时，在用户态获取数据密钥密文，并在对所述数据密钥密文的签名值验证通过后，基于用户密钥对所述数据密钥密文进行解密，以得到数据密钥；

数据密钥加密模块，用于在所述用户态基于加密密钥对所述数据密钥进行加密，并将加密后数据密钥发送至内核态；

数据加解密模块，用于在所述内核态基于解密密钥对所述加密后数据密钥进行解密，以得到所述数据密钥，并利用所述数据密钥对所述待处理数据进行加密或解密，以得到相应的加密后数据或解密后数据。

9.一种电子设备，其特征在于，包括：

存储器，用于保存计算机程序；

处理器，用于执行所述计算机程序以实现如权利要求1至7任一项所述的数据加解密方法。

10.一种计算机可读存储介质，其特征在于，用于保存计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的数据加解密方法。