[发明专利]数据保护方法及电子设备

说明书

本申请实施例提供了一种数据保护方法及电子设备，该方法包括：在当前业务为白名单中的预设业务的情况下，提取第一电子设备的可信执行环境中保存的第一派生密钥并生成主密钥，基于第一派生密钥加密主密钥得到第一主密钥密文；基于第一派生密钥生成第一认证参数；将第一认证参数和第一主密钥密文上传云端，以使云端为第一电子设备所登录的第一账号创建信任环，并添加第一设备入环。该数据保护方法，基于用户秘密例如设备锁屏码对账号级主密钥MK进行保护，由于用户秘密对于云侧来说是未知的，因此云侧不能对托管的主密钥密文进行解密，这样，降低了主密钥泄露的风险，提高了主密钥MK的安全性，同时使得云侧能够自证清白。

技术领域

本申请实施例涉及终端设备领域，尤其涉及一种数据保护方法及电子设备。

背景技术

目前，终端设备可以将用户的数据保存在云端以便用户实时上传和下载该数据。用户的数据通常对应着某个特定的用户账号。然而，用户数据的安全完全依赖于账号安全，只要设备能够通过账号验证，就可以从云侧获得该数据。如果账号和云侧服务器中的任一个被攻击，用户数据就会发生泄露。并且，云侧服务器也存在解密用户数据的可能，云侧无法自证清白。因而，已知的方案安全性较低，无法为具有更高安全性要求的用户数据保护提供支撑。

发明内容

本申请提供一种数据保护方法及电子设备，在当前业务为白名单中的预设业务的情况下，提取第一电子设备的可信执行环境中保存的第一派生密钥并生成主密钥，基于第一派生密钥加密主密钥得到第一主密钥密文；基于第一派生密钥生成第一认证参数；将第一认证参数和第一主密钥密文上传云端，以使第一服务器为第一电子设备所登录的第一账号创建信任环，并添加第一设备入环。该数据保护方法，基于用户秘密例如设备锁屏码对账号级主密钥MK进行保护，由于用户秘密对于云侧来说是未知的，因此云侧不能对托管的主密钥密文进行解密，这样，降低了主密钥泄露的风险，提高了主密钥MK的安全性，同时使得云侧能够自证清白。

第一方面，本申请实施例提供一种数据保护方法，应用于第一电子设备，包括：在当前业务为白名单中的预设业务的情况下，提取第一电子设备的可信执行环境中保存的第一派生密钥，第一派生密钥是根据第一电子设备的第一锁屏码生成的，其中，第一电子设备已登录第一账号；在第一电子设备的可信执行环境中生成主密钥；基于第一派生密钥对主密钥进行加密，生成第一电子设备的第一主密钥密文；基于第一派生密钥生成第一认证参数；向第一服务器发送创环请求，以使第一服务器创建第一账号对应的第一信任环，并将第一主密钥密文和第一认证参数添加至第一信任环的信任环数据中，其中，创环请求中携带第一主密钥密文和第一认证参数。该种创建信任环的方法，基于用户秘密例如设备锁屏码对账号级主密钥MK进行保护，由于用户秘密对于云侧来说是未知的，因此云侧不能对托管的主密钥密文进行解密，这样，降低了主密钥泄露的风险，提高了主密钥MK的安全性，同时使得云侧能够自证清白。此外，该创建信任环的方法无需用户在请求加环后手动输入第二电子设备的锁屏码，操作便捷。

其中，本申请中的锁屏码也可以替换为其他用户信息，例如，用户信息可以是用户生日、用户姓名、父母或朋友的生日、姓名等等。这些信息是用户独有的信息，仅该用户自己知道，且该信息因用户的不同而不同。这些用户信息是用户容易记忆的，并且是云侧所不知道的。当基于用户信息对主密钥加密时，云侧无法解密，因此云侧可自证清白。除了用户自己，别人很难知道用户使用哪一个用户信息来加密主密钥，这样大大增加了主密钥密文的破解难度，提高了主密钥的安全性，进而能够提高使用主密钥的派生密钥保护的用户数据的安全性。同时，在信任环中的第2个设备及第2个以后的设备注册时，可以基于用户信息对已注册设备的身份进行验证，不需要与已注册设备进行交互，为用户提供了便利。

根据第一方面，第一电子设备基于第一派生密钥对所述主密钥进行加密，生成第一电子设备的第一主密钥密文，包括：第一电子设备根据第一派生密钥生成第二派生密钥；根据第二派生密钥对主密钥进行加密，得到第一电子设备的第一主密钥密文。这样，根据锁屏码这样的用户个性化信息对主密钥加密，使得不知道用户个性化信息的云侧无法解密主密钥，保护使用主密钥的派生密钥加密的用户数据，提高用户数据的安全性。