[发明专利]数据防泄漏方法及计算机可读存储介质

权利要求书

1.一种基于trustzone的数据防泄漏方法，其特征在于，包括：

使用加密密钥对待加密的明文数据进行加密，得到密文数据；

根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据；

根据所述数据块和所述签名数据，得到混合数据；

将所述加密密钥注入至熔丝区域；

安全操作系统启动后，配置安全存储区域；

安全操作系统获取所述混合数据，并使用可信启动公钥对所述混合数据进行签名验证；

若验证通过，则从熔丝区域获取加密密钥；

解析所述混合数据，使用所述加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将所述明文数据存储至所述安全存储区域；

所述“使用加密密钥对待加密的明文数据进行加密，得到密文数据；根据所述密文数据，得到预设格式的数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据”具体为：

通过随机数生成器生成加密密钥，所述加密密钥包括第一密钥和第二密钥；

使用所述第一密钥对待加密的明文数据进行加密，得到密文数据；

使用所述第二密钥对所述第一密钥进行加密，得到加密后的第一密钥；

根据预设的格式合成所述密文数据和加密后的第一密钥，得到数据块，并使用可信启动私钥对所述数据块进行签名，得到签名数据。

2.根据权利要求1所述的基于trustzone的数据防泄漏方法，其特征在于，所述“将所述加密密钥注入至熔丝区域”具体为：

将所述第二密钥通过密钥注入工具注入至熔丝区域。

3.根据权利要求2所述的基于trustzone的数据防泄漏方法，其特征在于，所述安全存储区域包括第一内存块和第二内存块；

所述“从熔丝区域获取加密密钥；解析所述混合数据，使用所述加密密钥对混合数据的数据块中的密文数据进行解密，得到明文数据，并将所述明文数据存储至所述安全存储区域”具体为：

安全操作系统从熔丝区域获取第二密钥；

解析所述混合数据的数据块，得到密文数据和加密后的第一密钥；

使用所述第二密钥对所述加密后的第一密钥进行解密，得到第一密钥，并将所述第一密钥存储至第二内存块；

使用所述第一密钥对所述密文数据进行解密，得到明文数据，并将所述明文数据存储至第一内存块。

4.根据权利要求3所述的基于trustzone的数据防泄漏方法，其特征在于，所述“将所述明文数据存储至第一内存块”之后，进一步包括：

清空释放所述第二内存块。

5.根据权利要求1所述的基于trustzone的数据防泄漏方法，其特征在于，所述“将所述加密密钥注入至熔丝区域”之后，进一步包括：

将可信启动公钥通过密钥注入工具注入至熔丝区域；

将所述混合数据通过烧录工具保存至Flash区域。

6.根据权利要求1所述的基于trustzone的数据防泄漏方法，其特征在于，所述“安全操作系统获取所述混合数据，并使用可信启动公钥对所述混合数据进行签名验证”具体为：

安全操作系统获取可信启动公钥；

使用所述可信启动公钥对所述混合数据中的签名数据进行解密，得到第一摘要值；

对所述混合数据中的数据块进行摘要运算，得到第二摘要值；

若所述第一摘要值与所述第二摘要值一致，则判定验证通过。

7.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-6任一项所述的方法。