[发明专利]数据加密方法、系统以及终端

说明书

本发明实施例公开了一种数据加密方法、系统以及终端，其中的方法包括：可信部件接收到在可信环境中输入的校验密码，如果对校验密码验证成功，则基于预设的密钥管理规则以及在可信环境中输入的操作信息，对加密密钥以及加密密钥与用户密码的关联关系进行相应的操作，基于加密密钥对数据进行加密并存储加密后的数据。本发明的方法、系统以及终端，可以在可信环境中输入和验证用户密码，防止密码被监听、截取、泄露；在可信环境中加密和存储数据，显著增强了安全性；能够用一个密码来管理和保护多个不同的加密密钥；可以在修改密码时不改变加密密钥，不需要重新加密目标数据，可以保证数据的安全性。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种数据加密方法、系统以及终端。

背景技术

目前，终端大多集成了可信执行环境(TEE，Trusted Execution Environment)、富执行环境(REE，Rich Execution Environment)。REE由客户端应用(CA，ClientApplication)以及应用操作系统组成。TEE由可信应用(TA，TrustedApplication)、以及可信操作系统(Trusted OS，Trusted Operating System)组成。REE支持丰富的应用，但REE存在一定的安全风险。现有的数据加密和存储方法通常具有以下缺陷：在不可信环境下输入和校验用户密码，有泄漏风险；在不可信环境下进行数据的加密和存储，有被攻击的风险；对于已加密数据，无法修改密码，或需要用新密码重新加密所有数据；用相同密码加密的所有数据，其加密密钥相同。因此，需要一种新的数据加密机制。

发明内容

有鉴于此，本发明要解决的一个技术问题是提供一种数据加密方法、系统以及终端。

根据本发明的一个方面，提供一种数据加密方法，包括：可信部件接收到在可信环境中输入的校验密码；所述可信部件基于预设的密码验证规则对所述校验密码进行验证；如果验证成功，则所述可信部件基于预设的密钥管理规则以及在可信环境中输入的操作信息，对加密密钥以及所述加密密钥与用户密码的关联关系进行相应的操作，和/或基于所述加密密钥对数据进行加密并存储加密后的数据。

可选地，所述可信部件包括：在可信执行环境TEE中运行的可信应用TA、安全单元SE。

可选地，通过运行在所述TEE中的可信用户接口TUI输入所述校验密码、所述操作信息；或，通过所述SE独占控制的键盘或触控设备输入所述校验密码、所述操作信息。

可选地，所述可信部件基于预设的密码验证规则对所述校验密码进行验证包括：所述可信部件基于第一散列算法计算所述校验密码的第一散列值；判断所述第一散列值与预设的用户密码散列值是否相同，如果是，则确定对所述校验密码验证成功，如果否，则确定对所述校验密码验证失败。

可选地，如果确定对所述校验密码验证失败，则提示重新输入校验密码进行验证；当验证失败的次数达到预设的验证次数阈值时，则所述可信部件禁止输入校验密码并停止对校验密码进行验证。

可选地，所述可信部件基于预设的密钥管理规则以及在可信环境中输入的操作信息对加密密钥以及所述加密密钥与用户密码的关联关系进行相应的操作包括：所述可信部件获取在可信环境中输入的操作信息，其中，操作信息包括：密钥生成信息；所述可信部件基于所述密钥生成信息确定加密算法，生成与此加密算法对应的、具有预设的密钥长度的加密密钥；所述可信部件基于第二散列算法计算用户密码的第二散列值，使用所述第二散列值作为密钥加密所述加密密钥，获得加密密钥密文；所述可信部件建立所述用户密码散列值与所述加密密钥密文的关联关系并存储。

可选地，所述可信部件生成密钥列表文件，在所述密钥列表文件中存储所述用户密码散列值以及与所述用户密码散列值相关联的所有加密密钥密文。

可选地，所述第一散列算法和所述第二散列算法包括：MD5、SHA1、SHA-2系列、SM3；其中，所述第一散列算法和所述第二散列算法不相同。