(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111408284.4 (22)申请日 2021.11.19 (71)申请人 荣耀终端 有限公司 地址 518040 广东省深圳市福田区香蜜湖 街道东海社区红荔西路8089号深业中 城6号楼A单元3401 (72)发明人 窦伟明　丁金岩　 (74)专利代理 机构 北京润泽恒知识产权代理有 限公司 1 1319 专利代理师 王洪 (51)Int.Cl. H04L 9/08(2006.01) H04L 9/32(2006.01) H04L 9/40(2022.01) H04L 67/1095(2022.01)H04L 67/55(2022.01) H04W 12/30(2021.01) G06F 21/46(2013.01) G06F 21/60(2013.01) (54)发明名称 数据保护方法、 系统及电子设备 (57)摘要 本申请实施例提供了一种数据保护方法、 系 统及电子设备， 该方法包括： 接收用户输入的第 一电子设备的第一锁屏 码， 在第一电子设备的可 信执行环 境中生成主密钥， 基于第一锁屏 码对主 密钥进行加密， 生成第一电子设备的第一主密钥 密文， 基于第一锁屏码生成第一认证参数， 向第 一服务器发送创环请求， 以使第一服务器创建第 一账号对应的第一信任环， 并将第一主密钥密文 和第一认证参数添加至第一信任环的信任环数 据中这样， 基于用户秘密对账号级主密钥M K进行 保护， 用户秘密对于云侧来是未知的， 云侧不能 对托管的主密钥密文进行解密， 降低了主密钥泄 露的风险， 提高了数据安全性， 同时使云侧能够 自证清白， 能够为具有高安全性要求的业务数据 同步提供支撑 。 权利要求书3页 说明书17页 附图13页 CN 115021894 A 2022.09.06 CN 115021894 A 1.一种数据保护方法， 其特 征在于， 应用于第一电子设备， 包括： 接收用户输入的第一电子设备的第一锁屏码， 其中， 所述第一电子设备已登录第一账 号； 在所述第一电子设备的可信执 行环境中生成主密钥； 基于所述第 一锁屏码对所述主密钥进行加密， 生成所述第 一电子设备的第 一主密钥密 文； 基于所述第一锁屏码生成第一认证参数； 向第一服务器发送创环请求， 以使所述第 一服务器创建所述第 一账号对应的第 一信任 环， 并将所述第一主密钥密文和第一认证参数添加至所述第一信任环的信任环数据中， 其 中， 所述创环请求中携带 所述第一主密钥密文和第一认证参数。 2.根据权利要求1所述的方法， 其特征在于， 基于所述第 一锁屏码对所述主密钥进行加 密， 生成所述第一电子设备的第一主密钥密文， 包括： 根据第一锁屏码生成第一派生密钥； 根据第一派生密钥生成第二派生密钥； 根据第二派生密钥对所述主密钥进行加密， 得到所述第一电子设备的第一主密钥密 文。 3.根据权利要求1所述的方法， 其特征在于， 基于所述第 一锁屏码生成第 一认证参数包 括： 根据第一锁屏码生成第一派生密钥； 根据所述第一派生密钥生成第一共享 值； 根据所述第一 服务器侧生成的HSM公钥加密所述第一共享 值， 得到所述第一认证参数。 4.根据权利要求1所述的方法， 其特 征在于， 所述方法还 包括： 在接收到注 册请求的情况 下， 检测所述第一电子设备的注 册状态； 在所述第一电子设备未注册的情况下， 向第一服务器发送注册状态比对请求， 所述注 册状态比对请求中携带 所述第一电子设备的设备 标识和所述第一账号的账号标识； 接收所述第一服务器返回的第一注册状态确认消息， 其中， 所述第一注册状态确认消 息用于指示所述第一账号下不存在信任环。 5.根据权利要求1所述的方法， 其特 征在于： 所述创环请求中携带 所述第一设备的设备 标识和所述第一账号的账号标识； 所述第一电子设备添加至所述第一信任环后， 所述第一信任环的信任环数据中包括： 所述第一账号的账号标识、 所述第一设备 的设备标识、 所述第一认证参数以及所述第一主 密钥密文之间的对应关系。 6.根据权利要求1所述的方法， 其特 征在于， 所述方法还 包括： 基于所述主密钥派生第一业务密钥， 使用所述第一业务密钥对第一业务数据进行加 密， 得到第一 业务数据密文； 将所述第一业务数据密文发送给第 二服务器， 以使第 二服务器保存所述第 一业务数据 密文。 7.根据权利要求1所述的方法， 其特 征在于， 所述方法还 包括： 从第二服务器获取第二 业务数据密文；权　利　要　求　书 1/3 页 2 CN 115021894 A 2基于所述主密钥派生成第一 业务密钥； 使用所述第一 业务密钥对第二 业务数据密文 进行解密， 得到第二 业务数据。 8.一种电子设备， 作为第一电子设备， 其特征在于， 包括： 信任环模块和信任环服务模 块； 所述信任环服务模块， 用于接收用户输入的第一电子设备的第一锁屏码， 根据第一锁 屏码生成第一派生密钥， 并将所述第一派生密钥发送至所述信任环模块， 其中， 所述第一电 子设备已登录第一账号； 所述信任环模块， 用于在可信执行环境中生成主密钥， 基于所述第一派生密钥对所述 主密钥进行加密， 生成所述第一电子设备 的第一主密钥密文， 并将所述第一主密钥密文发 送至所述信任环服 务模块； 所述信任环服务模块， 还用于基于所述第一派生密钥生成第一认证参数， 向第一服务 器发送创环请求， 以使所述第一服务器创建所述第一账号对应的第一信任环， 并将所述第 一主密钥密文和第一认证参数添加至所述第一信任环的信任环数据中， 其中， 所述创环请 求中携带 所述第一主密钥密文和第一认证参数。 9.根据权利要求8所述的电子设备， 其特征在于， 所述信任环模块基于所述第 一派生密 钥对所述主密钥进行加密， 生成所述第一电子设备的第一主密钥密文时， 具体用于： 根据所述第一派生密钥生成第二派生密钥； 根据第二派生密钥对所述主密钥进行加密， 得到所述第一电子设备的第一主密钥密 文。 10.根据权利要求8所述的电子设备， 其特征在于， 所述信任环服务模块基于所述第一 派生密钥生成第一认证参数时， 具体用于： 根据所述第一派生密钥生成第一共享 值； 根据所述第一 服务器侧生成的HSM公钥加密所述第一共享 值， 得到所述第一认证参数。 11.根据权利要求8所述的电子设备， 其特 征在于， 所述所述信任环服 务模块还用于： 在接收到注 册请求的情况 下， 检测所述第一电子设备的注 册状态； 在所述第一电子设备未注册的情况下， 向第一服务器发送注册状态比对请求， 所述注 册状态比对请求中携带 所述第一电子设备的设备 标识和所述第一账号的账号标识； 接收所述第一服务器返回的第一注册状态确认消息， 其中， 所述第一注册状态确认消 息用于指示所述第一账号下不存在信任环。 12.根据权利要求8所述的电子设备， 其特征在于， 所述创环请求中携带所述第一设备 的设备标识和所述第一账号的账号标识； 所述第一电子设备添加至所述第一信任环后， 所述第一信任环的信任环数据中包括： 所述第一账号的账号标识、 所述第一设备 的设备标识、 所述第一认证参数以及所述第一主 密钥密文之间的对应关系。 13.根据权利要求8所述的电子设备， 其特征在于， 所述电子设备还包括： 业务数据同步 服务模块、 业 务数据存 储服务模块以及 密钥管理模块； 所述信任环模块， 还用于基于所述主密钥派生第一 业务密钥； 所述业务数据存 储服务模块， 用于将第一 业务数据发送至所述密钥管理模块； 所述密钥管理模块， 用于从所述信任环模块读取所述第一业务密钥， 使用所述第一业权　利　要　求　书 2/3 页 3 CN 115021894 A 3