[发明专利]数据加密方法、系统以及终端

权利要求书

1.一种数据加密方法，其特征在于，包括：

可信部件接收到在可信环境中输入的校验密码；

所述可信部件基于预设的密码验证规则对所述校验密码进行验证；

如果验证成功，则所述可信部件基于预设的密钥管理规则以及在可信环境中输入的操作信息，对加密密钥以及所述加密密钥与用户密码的关联关系进行相应的操作，和基于所述加密密钥对数据进行加密并存储加密后的数据；

所述可信部件基于预设的密码验证规则对所述校验密码进行验证包括：

所述可信部件基于第一散列算法计算所述校验密码的第一散列值；

判断所述第一散列值与预设的用户密码散列值是否相同，如果是，则确定对所述校验密码验证成功，如果否，则确定对所述校验密码验证失败；

所述可信部件基于预设的密钥管理规则以及在可信环境中输入的操作信息对加密密钥以及所述加密密钥与用户密码的关联关系进行相应的操作包括：

所述可信部件获取在可信环境中输入的操作信息，其中，操作信息包括：密钥生成信息；

所述可信部件基于所述密钥生成信息确定加密算法，生成与此加密算法对应的、具有预设的密钥长度的加密密钥；

所述可信部件基于第二散列算法计算用户密码的第二散列值，使用所述第二散列值作为密钥加密所述加密密钥，获得加密密钥密文；

所述可信部件建立所述用户密码散列值与所述加密密钥密文的关联关系并存储；所述可信部件基于预设的密钥管理规则以及在可信环境中输入的操作信息对加密密钥以及所述加密密钥与用户密码的关联关系进行相应的操作还包括：

所述可信部件获取在可信环境中输入的操作信息，其中，操作信息包括：用户密码修改指令以及新用户密码；

所述可信部件基于所述第二散列值解密与所述用户密码散列值相关联的所有加密密钥密文，获得所述加密密钥；

所述可信部件将所述新用户密码替换旧的用户密码，并基于所述第二散列算法计算所述新用户密码的第三散列值，使用所述第三散列值作为密钥加密所述加密密钥，获得新加密密钥密文；

所述可信部件基于所述第一散列算法计算所述新用户密码的第四散列值，建立所述第四散列值与所述新加密密钥密文的新关联关系并存储。

2.如权利要求1所述的方法，其特征在于，

所述可信部件包括：在可信执行环境TEE中运行的可信应用TA、安全单元SE。

3.如权利要求2所述的方法，其特征在于，还包括：

通过运行在所述TEE中的可信用户接口TUI输入所述校验密码、所述操作信息；或者，

通过所述SE独占控制的键盘或触控设备输入所述校验密码、所述操作信息。

4.如权利要求1所述的方法，其特征在于，

如果确定对所述校验密码验证失败，则提示重新输入校验密码进行验证；

当验证失败的次数达到预设的验证次数阈值时，则所述可信部件禁止输入校验密码并停止对校验密码进行验证。

5.如权利要求1所述的方法，其特征在于，还包括：

所述可信部件生成密钥列表文件，在所述密钥列表文件中存储所述用户密码散列值以及与所述用户密码散列值相关联的所有加密密钥密文。

6.如权利要求1所述的方法，其特征在于，还包括：

所述第一散列算法和所述第二散列算法包括：MD5、SHA1、SHA-2系列、SM3；其中，所述第一散列算法和所述第二散列算法不相同。

7.如权利要求1所述的方法，其特征在于，

所述可信部件将所述第四散列值以及与所述第四散列值相关联的所有新加密密钥密文存储在所述密钥列表文件中，用以替换原有的用户密码散列值以及与原有的用户密码散列值相关联的所有加密密钥密文。