数据保护方法及电子设备技术

本申请实施例提供了一种数据保护方法及电子设备，该方法包括：在当前业务为白名单中的预设业务的情况下，提取第一电子设备的可信执行环境中保存的第一派生密钥并生成主密钥，基于第一派生密钥加密主密钥得到第一主密钥密文；基于第一派生密钥生成第一认证参数；将第一认证参数和第一主密钥密文上传云端，以使云端为第一电子设备所登录的第一账号创建信任环，并添加第一设备入环。该数据保护方法，基于用户秘密例如设备锁屏码对账号级主密钥MK进行保护，由于用户秘密对于云侧来说是未知的，因此云侧不能对托管的主密钥密文进行解密，这样，降低了主密钥泄露的风险，提高了主密钥MK的安全性，同时使得云侧能够自证清白。同时使得云侧能够自证清白。同时使得云侧能够自证清白。

【技术实现步骤摘要】
数据保护方法及电子设备


[0001]本申请实施例涉及终端设备领域，尤其涉及一种数据保护方法及电子设备。

技术介绍

[0002]目前，终端设备可以将用户的数据保存在云端以便用户实时上传和下载该数据。用户的数据通常对应着某个特定的用户账号。然而，用户数据的安全完全依赖于账号安全，只要设备能够通过账号验证，就可以从云侧获得该数据。如果账号和云侧服务器中的任一个被攻击，用户数据就会发生泄露。并且，云侧服务器也存在解密用户数据的可能，云侧无法自证清白。因而，已知的方案安全性较低，无法为具有更高安全性要求的用户数据保护提供支撑。

技术实现思路

[0003]本申请提供一种数据保护方法及电子设备，在当前业务为白名单中的预设业务的情况下，提取第一电子设备的可信执行环境中保存的第一派生密钥并生成主密钥，基于第一派生密钥加密主密钥得到第一主密钥密文；基于第一派生密钥生成第一认证参数；将第一认证参数和第一主密钥密文上传云端，以使第一服务器为第一电子设备所登录的第一账号创建信任环，并添加第一设备入环。该数据保护方法，基于用户秘密例如设备锁屏码对账号级主密钥MK进行保护，由于用户秘密对于云侧来说是未知的，因此云侧不能对托管的主密钥密文进行解密，这样，降低了主密钥泄露的风险，提高了主密钥MK的安全性，同时使得云侧能够自证清白。
[0004]第一方面，本申请实施例提供一种数据保护方法，应用于第一电子设备，包括：在当前业务为白名单中的预设业务的情况下，提取第一电子设备的可信执行环境中保存的第一派生密钥，第一派生密钥是根据第一电子设备的第一锁屏码生成的，其中，第一电子设备已登录第一账号；在第一电子设备的可信执行环境中生成主密钥；基于第一派生密钥对主密钥进行加密，生成第一电子设备的第一主密钥密文；基于第一派生密钥生成第一认证参数；向第一服务器发送创环请求，以使第一服务器创建第一账号对应的第一信任环，并将第一主密钥密文和第一认证参数添加至第一信任环的信任环数据中，其中，创环请求中携带第一主密钥密文和第一认证参数。该种创建信任环的方法，基于用户秘密例如设备锁屏码对账号级主密钥MK进行保护，由于用户秘密对于云侧来说是未知的，因此云侧不能对托管的主密钥密文进行解密，这样，降低了主密钥泄露的风险，提高了主密钥MK的安全性，同时使得云侧能够自证清白。此外，该创建信任环的方法无需用户在请求加环后手动输入第二电子设备的锁屏码，操作便捷。
[0005]其中，本申请中的锁屏码也可以替换为其他用户信息，例如，用户信息可以是用户生日、用户姓名、父母或朋友的生日、姓名等等。这些信息是用户独有的信息，仅该用户自己知道，且该信息因用户的不同而不同。这些用户信息是用户容易记忆的，并且是云侧所不知道的。当基于用户信息对主密钥加密时，云侧无法解密，因此云侧可自证清白。除了用户自
己，别人很难知道用户使用哪一个用户信息来加密主密钥，这样大大增加了主密钥密文的破解难度，提高了主密钥的安全性，进而能够提高使用主密钥的派生密钥保护的用户数据的安全性。同时，在信任环中的第2个设备及第2个以后的设备注册时，可以基于用户信息对已注册设备的身份进行验证，不需要与已注册设备进行交互，为用户提供了便利。
[0006]根据第一方面，第一电子设备基于第一派生密钥对所述主密钥进行加密，生成第一电子设备的第一主密钥密文，包括：第一电子设备根据第一派生密钥生成第二派生密钥；根据第二派生密钥对主密钥进行加密，得到第一电子设备的第一主密钥密文。这样，根据锁屏码这样的用户个性化信息对主密钥加密，使得不知道用户个性化信息的云侧无法解密主密钥，保护使用主密钥的派生密钥加密的用户数据，提高用户数据的安全性。
[0007]根据第一方面，或者以上第一方面的任意一种实现方式，第一电子设备基于第一派生密钥生成第一认证参数包括：第一电子设备根据第一派生密钥生成第一共享值；根据第一服务器侧生成的HSM公钥加密第一共享值，得到第一认证参数。这样，根据锁屏码这样的用户个性化信息生成认证参数，使得认证参数无法被伪造，保证认证的安全性。
[0008]根据第一方面，或者以上第一方面的任意一种实现方式，该方法还包括：响应于修改第一电子设备的锁屏码的操作，基于修改后的新锁屏码生成哈希值；基于哈希值生成第一派生密钥；将第一派生密钥保存到第一电子设备的可信执行环境中。这样预先基于锁屏码生成第一派生密钥，在加环过程中需要使用第一派生密钥时直接从可信执行环境中提取即可，无需再引导用户输入锁屏码，可减少用户输入锁屏码的次数，能够提升用户体验。
[0009]根据第一方面，或者以上第一方面的任意一种实现方式，该方法还包括：在接收到注册请求的情况下，检测第一电子设备的注册状态；在第一电子设备未注册的情况下，向第一服务器发送注册状态比对请求，注册状态比对请求中携带第一电子设备的设备标识和第一账号的账号标识；接收第一服务器返回的第一注册状态确认消息，其中，第一注册状态确认消息用于指示第一账号下不存在信任环。该种先在设备端进行注册状态检测，当确定本地未注册时，再到云端进行注册状态比对的方式，相较于直接请求云端进行注册状态比对而言，可以减少对云端的访问次数。
[0010]根据第一方面，或者以上第一方面的任意一种实现方式，创环请求中携带第一设备的设备标识和第一账号的账号标识；第一电子设备添加至第一信任环后，第一信任环的信任环数据中包括：第一账号的账号标识、第一设备的设备标识、第一认证参数以及第一主密钥密文之间的对应关系。将设备的相关信任环数据对应存储，便于后续对信任环数据进行管理。
[0011]根据第一方面，或者以上第一方面的任意一种实现方式，该方法还包括：基于主密钥派生第一业务密钥，使用第一业务密钥对第一业务数据进行加密，得到第一业务数据密文；将第一业务数据密文发送给第二服务器，以使第二服务器保存第一业务数据密文。该种基于主密钥派生的业务密钥加密业务数据密文后同步上云的方式，由于主密钥云端不可知，因此上云的业务数据密文云端也不可知，能够确保业务数据的安全性，并且云端可自证清白。
[0012]根据第一方面，或者以上第一方面的任意一种实现方式，该方法还包括：第一电子设备从第二服务器获取第二业务数据密文；基于主密钥派生第一业务密钥；使用第一业务密钥对第二业务数据密文进行解密，得到第二业务数据。该种从云端获取业务数据密文后
在电子设备本地解密的方式，云端与电子设备间传输的业务数据密文即便被截获，由于截获仿无法获知主密钥以及主密钥派生第一业务密钥的规则，因此也无法解密得到的业务数据，能够提升业务数据的安全性。
[0013]第二方面，本申请实施例提供一种数据保护方法，应用于第二电子设备，该方法包括：第二电子设备在当前业务为白名单中的预设业务的情况下，提取第二电子设备的可信执行环境中保存的第三派生密钥，第三派生密钥是根据第二电子设备的第二锁屏码生成的，其中，第二电子设备已登录第一账号；接收用户输入的第一电子设备的第一锁屏码，其中，第一电子设备是从第一服务器获取的第一账号对应的第一信任环的在环设备信息中的设备；当基于本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种数据保护方法，其特征在于，应用于第一电子设备，包括：在当前业务为白名单中的预设业务的情况下，提取第一电子设备的可信执行环境中保存的第一派生密钥，所述第一派生密钥是根据第一电子设备的第一锁屏码生成的，其中，所述第一电子设备已登录第一账号；在所述第一电子设备的可信执行环境中生成主密钥；基于所述第一派生密钥对所述主密钥进行加密，生成所述第一电子设备的第一主密钥密文；基于所述第一派生密钥生成第一认证参数；向第一服务器发送创环请求，以使所述第一服务器创建所述第一账号对应的第一信任环，并将所述第一主密钥密文和第一认证参数添加至所述第一信任环的信任环数据中，其中，所述创环请求中携带所述第一主密钥密文和第一认证参数。2.根据权利要求1所述的方法，其特征在于，基于所述第一派生密钥对所述主密钥进行加密，生成所述第一电子设备的第一主密钥密文，包括：根据所述第一派生密钥生成第二派生密钥；根据所述第二派生密钥对所述主密钥进行加密，得到所述第一电子设备的第一主密钥密文。3.根据权利要求1所述的方法，其特征在于，基于所述第一派生密钥生成第一认证参数包括：根据所述第一派生密钥生成第一共享值；根据所述第一服务器侧生成的HSM公钥加密所述第一共享值，得到所述第一认证参数。4.根据权利要求1所述的方法，其特征在于，所述方法还包括：响应于修改所述第一电子设备的锁屏码的操作，基于修改后的新锁屏码生成哈希值；基于所述哈希值生成第一派生密钥；将所述第一派生密钥保存到所述第一电子设备的可信执行环境中。5.根据权利要求1所述的方法，其特征在于，所述方法还包括：在接收到注册请求的情况下，检测所述第一电子设备的注册状态；在所述第一电子设备未注册的情况下，向第一服务器发送注册状态比对请求，所述注册状态比对请求中携带所述第一电子设备的设备标识和所述第一账号的账号标识；接收所述第一服务器返回的第一注册状态确认消息，其中，所述第一注册状态确认消息用于指示所述第一账号下不存在信任环。6.根据权利要求1所述的方法，其特征在于：所述创环请求中携带所述第一设备的设备标识和所述第一账号的账号标识；所述第一电子设备添加至所述第一信任环后，所述第一信任环的信任环数据中包括：所述第一账号的账号标识、所述第一设备的设备标识、所述第一认证参数以及所述第一主密钥密文之间的对应关系。7.根据权利要求1所述的方法，其特征在于，所述方法还包括：基于所述主密钥派生第一业务密钥，使用所述第一业务密钥对第一业务数据进行加密，得到第一业务数据密文；将所述第一业务数据密文发送给第二服务器，以使第二服务器保存所述第一业务数据
密文。8.根据权利要求1所述的方法，其特征在于，所述方法还包括：从第二服务器获取第二业务数据密文；基于所述主密钥派生第一业务密钥；使用所述第一业务密钥对第二业务数据密文进行解密，得到第二业务数据。9.一种数据保护方法，其特征在于，应用于第二电子设备，所述方法包括：在当前业务为白名单中的预设业务的情况下，提取第二电子设备的可信执行环境中保存的第三派生密钥，所述第三派生密钥是根据第二电子设备的第二锁屏码生成的，其中，所述第二电子设备已登录第一账号；接收用户输入的第一电子设备的第一锁屏码，其中，所述第一电子设备是从第一服务器获取的所述第一账号对应的第一信任环的在环设备信息中的设备；当基于所述第一锁屏码对所述第一电子设备的身份验证通过，接收所述第一服务器发送的所述第一电子设备的第一主密钥密文；基于所述第一锁屏码对所述第一主密钥密文进行解密，得到主密钥；基于所述第三派生密钥对所述主密钥进行加密，生成所述第二电子设备的第二主密钥密文，以及基于所述第三派生密钥生成第二认证参数；向第一服务器发送加环请求，以使所述第一服务器所述第二主密钥密文和第二认证参数添加至所述第一信任环的信任环数据中。10.根据权利要求9所述的方法，其特征在于，提取第二电子设备的可信执行环境中保存的第三派生密钥之后，还包括：向所述第一服务器发送在环设备信息获取请求，其中，所述在环设备信息获取请求中携带有所述第一账号的账号标识；接收所述第一服务器返回的所述第一账号对应的第一信任环的在环设备信息，其中，在环设备中包括第一电子设备；显示所述第一电子设备锁屏码输入界面。11.根据权利要求9所述的方法，其特征在于，提取第二电子设备的可信执行环境中保存的第三派生密钥之后，还包括：向所述第一服务器发送在环设备信息获取请求，其中，所述在环设备信息获取请求中携带有所述第一账号的账号标识；...

【专利技术属性】
技术研发人员：丁金岩，窦伟明，
申请(专利权)人：荣耀终端有限公司，
类型：发明
国别省市：