[发明专利]基于可信计算的本地密钥托管方法、装置、设备以及介质

说明书

本申请实施例提供了一种基于可信计算的本地密钥托管方法、装置、设备以及介质，该方法包括：在本地内存中获取到飞地接口定义文件时，确定与非可信环境相关联的可执行文件和与可信环境相关联的动态链接文件；在基于可执行文件加载动态链接文件时，通过可信环境所指示的容器标识确定环境访问接口；在通过环境访问接口访问到可信环境中的飞地容器时，在非可信环境中读取基于本地密钥对序列化数据进行加密处理后的密封数据文件；在飞地容器中通过本地密钥对密封数据文件进行解密处理和反序列化处理，得到用于加载至飞地容器所指示的可信内存的业务数据。本申请通过在飞地容器中使用本地密钥解密得到业务数据，可以在本地提升存储业务数据的安全性。

技术领域

本申请涉及数据安全技术领域，尤其涉及一种基于可信计算的本地密钥托管方法、装置、设备以及介质。

背景技术

在当今的网络环境中，通常使用数据加密的方式来保证用户的用户数据的安全性，即使用加密密钥对用户(例如，用户H)的用户数据进行加密处理。目前，数据加密主要依赖于计算机硬件的密钥保存方案。比如，基于该计算机硬件的密钥保存方案需要利用额外的加密机存储加密密钥，以使用加密机中存储的加密密钥对用户数据进行加解密，这意味着加密机在正常运行时需要对外开放不同的端口(例如，业务端口、管理端口和监控端口等)。

所以，对于客户机而言，当使用外部的加密机来提供加解密服务时，需要对外开放业务端口来远程为该客户机所对应的用户H提供用于对用户数据进行的加解密的密钥托管服务。由于对外开放的端口往往会存在一定的安全隐患，比如，非法用户一旦通过对外开放的端口非法访问到外部的加密机时，会在一定程度上窃取到加密机中所存储的用于对用户数据进行加解密的加密密钥，进而降低了加密密钥的安全性，以至于降低了用户数据的安全性。

发明内容

本申请实施例提供一种基于可信计算的本地密钥托管方法、装置、设备以及介质，通过在飞地容器中使用本地密钥解密得到业务数据，可以在本地提升存储业务数据的安全性。

本申请实施例一方面提供了一种基于可信计算的本地密钥托管方法，包括：

在本地内存中获取用于进行环境编译的飞地接口定义文件，基于飞地接口定义文件确定与非可信环境相关联的可执行文件和与可信环境相关联的动态链接文件；

在基于可执行文件加载动态链接文件时，通过可信环境所指示的容器标识，确定与可信环境相关联的环境访问接口；

在通过环境访问接口访问到可信环境时，确定访问在可信环境中创建的飞地容器，且通过飞地容器从非可信环境中，读取基于飞地容器内的本地密钥对序列化数据进行加密处理后的密封数据文件；序列化数据是在飞地容器中对应用客户端所请求的业务数据进行序列化处理后所得到的；

在飞地容器中获取本地密钥，通过本地密钥对密封数据文件进行解密处理，得到序列化数据，对序列化数据进行反序列化处理，得到用于加载至飞地容器所指示的可信内存的业务数据。

本申请实施例一方面提供了一种基于可信计算的本地密钥托管装置，包括：

文件编译模块，用于在本地内存中获取用于进行环境编译的飞地接口定义文件，基于飞地接口定义文件确定与非可信环境相关联的可执行文件和与可信环境相关联的动态链接文件；

接口访问模块，用于在基于可执行文件加载动态链接文件时，通过可信环境所指示的容器标识，确定与可信环境相关联的环境访问接口；

容器访问模块，用于在通过环境访问接口访问到可信环境时，确定访问在可信环境中创建的飞地容器，且通过飞地容器从非可信环境中，读取基于飞地容器内的本地密钥对序列化数据进行加密处理后的密封数据文件；序列化数据是在飞地容器中对应用客户端所请求的业务数据进行序列化处理后所得到的；