密钥管理和业务处理方法、装置及系统制造方法及图纸

本说明书实施例公开了一种密钥管理和业务处理方法、装置及系统。所述密钥管理方法包括：可信执行环境TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。备是真实可信的。备是真实可信的。

【技术实现步骤摘要】
密钥管理和业务处理方法、装置及系统


[0001]本文件涉及计算机
，尤其涉及一种密钥管理和业务处理方法、装置及系统。

技术介绍

[0002]终端设备上，业务方需要端侧安全部署密钥以实现可靠的业务数据加密传输。通常，在部署业务数据传输所需的密钥时，通常由业务方与终端设备中设置的可信执行环境(Trusted Execution Environment，TEE)协商确定对称密钥，但是，在这种方式，存在密钥固化不易更新的难点，且容易出现对称密钥遭到泄露的风险，进而导致所有的业务数据泄露，因而业务数据传输及处理过程中存在较大的安全隐患。

技术实现思路

[0003]本说明书实施例目的是提供一种密钥管理和业务处理方法、装置及系统，用以解决目前由业务方与TEE协商确定密钥的方式容易使密钥遭到泄露，导致业务传输及处理过程中存在较大的安全隐患的问题。
[0004]为解决上述技术问题，本说明书实施例是这样实现的：
[0005]第一方面，提供一种密钥管理方法，包括：
[0006]可信执行环境TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
[0007]所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
[0008]所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
[0009]第二方面，提供一种密钥管理方法，应用于认证服务端，所述方法包括：
[0010]通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；
[0011]基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；
[0012]在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。
[0013]第三方面，提供一种密钥管理方法，应用于TEE，所述方法包括：
[0014]通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；
[0015]通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所
述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。
[0016]第四方面，提供一种业务处理方法，包括：
[0017]TEE接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
[0018]所述TEE使用生成的业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，以得到业务密文信息，以及使业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
[0019]所述TEE将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端；
[0020]所述业务服务端使用所述业务加密密钥对所述业务会话密钥密文进行解密，以得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
[0021]所述业务服务端基于所述设备身份证书对所述终端设备进行设备身份认证，以及在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。
[0022]第五方面，提供一种业务处理方法，应用于TEE，所述方法包括：
[0023]接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；
[0024]使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，以得到业务密文信息，所述目标业务数据为对所述目标业务进行处理所需的业务数据；
[0025]使用业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
[0026]将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理。
[0027]第六方面，提供一种业务处理方法，应用于业务服务端，所述方法包括：
[0028]接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述
业务会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；
[0029]使用所述业务加密密钥对所述业务会话密钥密文进行解密以得到所述业务会话密钥；
[0030]使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；
[本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种密钥管理方法，包括：可信执行环境TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。2.如权利要求1所述的方法，TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，包括：所述TEE基于预先确定的通道密钥对所述终端设备的设备证书进行加密，以得到所述设备认证信息，所述设备证书预先存储在所述TEE中，所述通道密钥由所述TEE与所述认证服务端预先协商确定；所述TEE将所述设备认证信息发送给所述认证服务端。3.如权利要求2所述的方法，所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证，包括：所述认证服务端使用所述通道密钥对所述设备认证信息进行解密，以得到所述终端设备的设备证书；所述认证服务端基于所述终端设备的设备证书，对所述终端设备进行设备认证。4.如权利要求2所述的方法，所述TEE基于预先确定的通道密钥对所述终端设备的设备证书进行加密，以得到所述设备认证信息，包括：所述TEE对来自所述认证服务端的挑战码进行签名，以得到第一签名信息；所述TEE使用所述通道密钥对所述终端设备的设备证书及所述第一签名信息进行加密，以得到所述设备认证信息。5.如权利要求4所述的方法，所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证，包括：所述认证服务端使用所述通道密钥对所述设备认证信息进行解密，以得到所述终端设备的设备证书和所述第一签名信息；所述认证服务端对所述第一签名信息进行验证；所述认证服务端在确定验证通过后，将所述第一签名信息中的挑战码与本地存储的挑战码进行比对；所述认证服务端在所述第一签名信息中的挑战码与本地存储的挑战码比对一致时，基于所述终端设备的设备证书，对所述终端设备进行设备认证。6.如权利要求1所述的方法，所述认证服务端在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，包括：使用预先确定的通道密钥对所述业务加密密钥和设备身份证书进行加密，以得到加密后的业务加密密钥及设备身份证书，所述通道密钥由所述认证服务端与所述TEE预先协商确定；将所述加密后的业务加密密钥及设备身份证书发送给所述TEE，由所述TEE利用所述通道密钥进行解密得到所述业务加密密钥和所述设备身份证书。
7.如权利要求2或6所述的方法，在TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息之前，所述方法还包括：所述认证服务端向所述TEE发送第一认证信息，所述第一认证信息用于表征所述认证服务端的身份；所述TEE基于所述第一认证信息对所述认证服务端进行身份认证并确定所述认证服务端通过身份认证；所述TEE向所述认证服务端发送第二认证信息，所述第二认证信息用于表征所述TEE的身份；所述认证服务端基于所述第二认证信息对所述TEE进行身份认证并确定所述TEE通过身份认证；所述TEE与所述认证服务端通过握手的方式确定所述通道密钥。8.如权利要求1所述的方法，不同业务对应的业务加密密钥不同，所述业务加密密钥用于对所对应的业务的业务会话密钥进行加解密。9.如权利要求1所述的方法，所述业务会话密钥由所述TEE动态生成。10.一种密钥管理方法，应用于认证服务端，所述方法包括：通过与TEE之间的安全通道接收所述TEE发送的设备认证信息，所述设备认证信息存储于所述TEE中，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；在确定所述终端设备通过设备认证后，通过所述安全通道向所述TEE发送业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的。11.一种密钥管理方法，应用于TEE，所述方法包括：通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息，所述设备认证信息用于所述认证服务端对所述终端设备进行设备认证；通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书，所述业务加密密钥用于对加密业务数据的业务会话密钥进行加解密，所述设备身份证书用于验证所述终端设备是真实可信的，所述业务加密密钥和所述设备身份证书是所述认证服务端在确定所述终端设备通过设备认证后发送的。12.一种业务处理方法，包括：TEE接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；所述TEE使用生成的业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，以得到业务密文信息，以及使业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设
备的身份的信息；所述TEE将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端；所述业务服务端使用所述业务加密密钥对所述业务会话密钥密文进行解密，以得到所述业务会话密钥，以及使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；所述业务服务端基于所述设备身份证书对所述终端设备进行设备身份认证，以及在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。13.如权利要求12所述的方法，所述TEE使用业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标业务数据进行加密，以得到业务密文信息，包括：所述TEE基于所述目标用户的用户标识和所述TEE中预先存储的设备身份私钥，以生成业务身份私钥，所述业务请求中携带所述目标用户的用户标识；所述TEE使用所述业务身份私钥对所述终端设备的设备身份证书及所述目标业务数据进行签名，以生成第二签名信息，并使用所述业务会话密钥对所述第二签名信息进行加密，以得到所述业务密文信息；所述业务服务端使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据，包括：所述业务服务端使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述第二签名信息；所述业务服务端基于所述目标用户的用户标识和所述TEE的设备身份公钥，以生成业务身份公钥，并基于所述业务身份公钥对所述第二签名信息进行验证，以得到所述设备身份证书和所述目标业务数据。14.一种业务处理方法，应用于TEE，所述方法包括：接收业务方发送的业务请求，所述业务请求是所述业务方在接收到目标用户针对目标业务的业务处理请求时发送的；使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密，以得到业务密文信息，所述目标业务数据为对所述目标业务进行处理所需的业务数据；使用业务加密密钥对所述业务会话密钥进行加密，以得到业务会话密钥密文，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；将所述业务密文信息和所述业务会话密钥密文发送给所述业务方，以由所述业务方发送给业务服务端以及由所述业务服务端进行解密后对所述终端设备进行设备身份认证以及基于设备身份认证的认证结果对所述目标业务进行处理。15.一种业务处理方法，应用于业务服务端，所述方法包括：接收业务方发送的业务密文信息和业务会话密钥密文，所述业务密文信息和所述业务
会话密钥密文由TEE响应于所述业务方非业务请求生成并发送给所述业务方的，所述业务密文信息由所述TEE使用生成的业务会话密钥对目标业务数据和所述TEE所属的终端设备的设备身份证书进行加密得到，所述业务会话密钥密文由所述TEE使用业务加密密钥对所述业务会话密钥进行加密得到，所述目标业务数据为对所述目标业务进行处理所需的业务数据，所述设备身份证书用于验证所述终端设备是真实可信的，其中，所述业务加密密钥和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通过设备认证后，通过与所述TEE之间的安全通道发送给所述TEE，所述设备认证信息由所述TEE通过所述安全通道发送给所述认证服务端，所述设备认证信息为用于证明所述终端设备的身份的信息；使用所述业务加密密钥对所述业务会话密钥密文进行解密以得到所述业务会话密钥；使用所述业务会话密钥对所述业务密文信息进行解密，以得到所述设备身份证书和所述目标业务数据；基于所述设备身份证书对所述终端设备进行设备身份认证；在确定所述终端设备通过设备身份认证后，基于所述目标业务数据对所述目标业务进行处理。16.一种密钥管理系统，包括：TEE和认证服务端，其中：所述TEE通过与所述认证服务端之间的安全通道向所述认证服务端发送设备认证信息，所述设备认证信息为用于证明所述TEE所属的终端设备的身份的信息；所述认证服务端基于所述设备认证信息对所述TEE所属的终端设备进行设备认证；所述认证服务端在确定所述终端...

【专利技术属性】
技术研发人员：郑显义，徐登伟，辛知，万小飞，
申请(专利权)人：支付宝杭州信息技术有限公司，
类型：发明
国别省市：