[发明专利]数据保护方法、系统及电子设备

权利要求书

1.一种数据保护方法，应用于第一电子设备，其特征在于，包括：

接收用户输入的所述第一电子设备的第一锁屏码，其中，所述第一电子设备已登录第一账号；

在所述第一电子设备的可信执行环境中生成主密钥；

基于所述第一锁屏码对所述主密钥进行加密，生成所述第一电子设备的第一主密钥密文；

基于所述第一锁屏码生成第一认证参数；

基于所述第一主密钥密文和第一认证参数，在第一服务器侧创建所述第一账号对应的第一信任环，并将所述第一电子设备添加至所述第一信任环中；

接收注销所述第一电子设备登录的第一账号的请求，向第二服务器发送账号注销通知，以使所述第二服务器注销所述第一账号，并向第一服务器发送删除所述第一账号对应的第一信任环的第一通知；

接收所述第一服务器的推送消息，所述推送消息用于指示删除主密钥；

响应于所述推送消息，删除所述电子设备的可信执行环境中的主密钥。

2.根据权利要求1所述的方法，其特征在于，所述基于所述第一主密钥密文和第一认证参数，在第一服务器侧创建所述第一账号对应的第一信任环，并将所述第一电子设备添加至所述第一信任环中，包括：

向第一服务器发送创环请求，以使所述第一服务器创建所述第一账号对应的第一信任环，并将所述第一主密钥密文和第一认证参数添加至所述第一信任环的信任环数据中；其中，所述创环请求中携带所述第一主密钥密文和第一认证参数。

3.一种数据保护方法，应用于第二电子设备，其特征在于，包括：

接收用户输入的第二电子设备的第二锁屏码，其中，所述第二电子设备已登录第一账号；

当所述第二锁屏码验证通过，接收用户输入的第一电子设备的第一锁屏码，其中，所述第一电子设备是从第一服务器获取的所述第一账号对应的第一信任环的在环设备信息中的设备；

当基于所述第一锁屏码对所述第一电子设备的身份验证通过，接收所述第一服务器发送的所述第一电子设备的第一主密钥密文；

对所述第一主密钥密文进行解密，得到主密钥；

基于所述主密钥和所述第二锁屏码，将所述第二电子设备添加至所述第一信任环中；

接收注销所述第二电子设备登录的第一账号的请求，向第二服务器发送账号注销通知，以使所述第二服务器注销所述第一账号，并向第一服务器发送删除所述第一账号对应的第一信任环的第一通知；

接收所述第一服务器的推送消息，所述推送消息用于指示删除主密钥；

响应于所述推送消息，删除所述第二电子设备的可信执行环境中的主密钥。

4.根据权利要求3所述的方法，其特征在于，基于所述主密钥和所述第二锁屏码，将所述第二电子设备添加至所述第一信任环中，包括：

基于所述第二锁屏码对所述主密钥进行加密，生成所述第二电子设备的第二主密钥密文，以及基于所述第二锁屏码生成第二认证参数；

向第一服务器发送加环请求，以使所述第一服务器将所述第二主密钥密文和第二认证参数添加至所述第一信任环的信任环数据中。

5.根据权利要求4所述的方法，其特征在于，基于所述第二锁屏码对所述主密钥进行加密，生成所述第二电子设备的第二主密钥密文，包括：

根据第二锁屏码生成第三派生密钥；

根据第三派生密钥生成第四派生密钥；

根据第四派生密钥对所述主密钥进行加密，得到所述第二电子设备的第二主密钥密文。

6.根据权利要求4所述的方法，其特征在于，基于所述第二锁屏码生成第二认证参数包括：

根据第二锁屏码生成第三派生密钥；

根据所述第三派生密钥生成第二共享值；

根据所述第一服务器侧生成的HSM公钥加密所述第二共享值，得到所述第二认证参数。

7.根据权利要求3所述的方法，其特征在于，还包括：

基于所述主密钥派生第一业务密钥，使用所述第一业务密钥对第一业务数据进行加密，得到第一业务数据密文；

将所述第一业务数据密文发送给第二服务器，以使第二服务器保存所述第一业务数据密文。