HK1261951B

HK1261951B - 数据密钥的保护方法、装置和系统

Info

Publication number: HK1261951B
Application number: HK19121795.9A
Authority: HK
Inventors: 付颖芳
Original assignee: 阿里巴巴集团控股有限公司
Filing date: 2019-04-02
Publication date: 2022-01-21

Description

数据密钥的保护方法、装置和系统

技术领域

本发明涉及可信计算技术领域，具体而言，涉及一种数据密钥的保护方法、装置和系统。

背景技术

可信计算能够在计算运算的同时进行安全防护，使计算结果总是与预期一致，计算全程可测可控，不被干扰。

目前可信计算有国内可信平台控制模块(Trusted Platform Control Module，简称 TPCM)和国际可信计算(Trusted Computing Group，简称TCG)标准组织的可信平台模块(Trusted Platform Module，简称TPM)两种技术路线。

可信计算的核心要素是可信链与可信根，TCG规范中的可信平台模块(TrustedPlatform Module，简称TPM)是可信计算平台的硬件可信根，TPM是提供受保护的安全存储、密码运算能力的安全芯片。TPM通过物理方式与计算平台相连并通过外部总线连接到CPU上，例如PC机平台上采取直接固化在主板上的方式并通过线性预测编码(LinearPredictive Coding，简称LPC)总线连接。

TCG规范中给出了对可信(trusted)的定义：一个实体一直以一种可预期的方式为特定的目标运行。可信计算的核心机制是通过信任链机制构建可信计算环境，目前运行实体是否可信是建立系统前一运行过程是否可信的基础上。基于这种信任关系，如果系统从一个初始的信任根出发，在平台计算环境的每一次转换时，这种信任可以通过传递的方式维持下去，从而在计算平台上建立了一级验证一级，一级信任一级的可信链，该计算环境就始终是可信的，它就能够被本地用户或远程实体信任，如图1 所示，图1是TCG信任链的结构示意图。

可信计算的关键技术包括可信度量，可信报告，可信存储和可信网络连接等几部分。

可信平台控制模块TPCM实现了可信平台模块的基本功能，其功能组成和与TPM 基本相同，但由于TPM的核心度量根(Core Root of Trust for Measurement，简称CRTM) 处于基本输入输出系统(Basic Input Output System，简称BIOS)中，不受TPM的保护，因此，TPCM提出新的可信度量根设计，解决了可信度量根的起始度量点问题，改变了启动和度量顺序，在此基础上，建立了以该芯片为信任根的信任链度量流程，实现了由该芯片控制整个系统的启动，I/O接口控制以及系统配置等，体现了该芯片对系统可信性的控制作用。

在计算平台的运行控制传递过程中，可信根TPCM判断其下一级执行代码的真实性和完整性是否被篡改，如果没有，系统将运行控制权传递到下一级可信执行代码，系统的可信范围因扩大到下一级功能代码；同理，这种系统控制权不断传递，就可以实现信任链的建立和传递过程，最终实现系统范围可信构建。一个完整的系统可信传递过程要从可信根开始，系统控制权顺序由可信平台控制模块传递到可信的BIOS，再传递到可信的操作系统装载器，从可信的操作系统装载器传递到可信的操作系统，再从可信的操作系统传递到可信的应用。

其中，在现有的金融加密机保护数据密钥方法中：

银行业使用标准为：ansi x9.17,为三层密钥体系，对不同密钥(特别是工作密钥)的功能做了严格的使用限制，专钥专用限定。密钥分层体系图，图2是密钥体系结构图，如图2所示；

第一层是加密机主密钥(Master Key，简称MK或LMK)，第二层是银行主密钥(BankMaster Key，简称BMK或ZMK)，第三层是工作密钥包括信息完整性密钥(MAK)、 PIN保护密钥(PI K)、终端密钥(TMK)。

第一层，MK为加密机主密钥，由三个成分组成，采用双倍标准的3DES密钥(长达128)，存放在硬件加密机内。它的作用保护存储在加密机外的各种密钥和关键数据的加密密钥。

第二层，BMK通常称为密钥加密密钥(Kev—encrypting Key)或密钥交换密钥(KeyExchange Key)。它的作用是采用对称(DES算法)或非对称(RSA算法)加密在通讯线路上需要传递的工作密钥，从而实现工作密钥的自动分配。在本地或共享网络中，不同的两个通讯网点使用不同的密钥加密密钥，从而实现密钥的分工管理，它在本地存放时，处于本地MK的加密之下或直接保存在硬件加密机中。

第三层，通常称为工作密钥或数据密钥。包括PIK、MAK、TM K(包括TPK、TAK)等密钥。它的作用是加密各种不同的数据，从而实现数据的保密、信息的认证，以及数字签名等功能，这些数据密钥在本地存放时，处于BMK的加密之下或直接保存在硬件加密机中。

如图3所示，图3是加密机典型部署结构示意图，典型部署包括加密机、用户终端、系统应用主机，可以将一台应用主机专门用来安装授权系统，当用户使用数据密钥时，从客户端上传证书及口令，以传输密钥加密的方式，传到授权系统，授权系统鉴别为合法用户后，才允许从加密机以明文的方式调用数据密钥至应用主机进行数据加解密服务。

但是该方案缺陷在于加密机将数据密钥传输到加密机相连的服务器，其数据密钥是明文传输，这存在一定风险；凭证证书及口令的鉴权方式，其证书需生成及管理维护成本；需要有额外新增一个专门保存口令的设备，如果没有该设备，记在脑子中，存在失忆数据密钥无法使用的风险。

除上述方案外，可信计算中密钥的保护还包括：可信芯片保护数据密钥方法，其中，可信芯片保护数据密钥方法通过将用户数据密钥存在可信芯片里，当需要使用该密钥的时候，凭借用户口令获取使用数据密钥权限。

但是该方案的缺陷在于需要额外新增一个专门保存口令的设备，如果没有该设备，记在脑子中，存在失忆，以致数据密钥无法使用的风险。

针对上述由于现有技术中存在的密钥容易泄密的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种数据密钥的保护方法、装置和系统，以至少解决由于现有技术中存在的密钥容易泄密的技术问题。

根据本发明实施例的一个方面，提供了一种数据密钥的保护方法，包括：用户身份管理子系统服务器接收用户终端发送的第一密钥获取请求，其中，第一密钥获取请求包括用户的身份验证信息；用户身份管理子系统服务器依据第一密钥获取请求向用户终端返回待验证语音信息；用户身份管理子系统服务器接收用户终端依据待验证语音信息上传的用户语音；用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求；用户身份管理子系统服务器将第二密钥获取请求发送至可信芯片。

可选的，在身份验证信息包括身份信息标识和密钥句柄的情况下，用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求包括：用户身份管理子系统服务器提取用户语音中的声纹特征；用户身份管理子系统服务器通过可信芯片的公钥加密声纹特征、身份信息标识和密钥句柄，生成第二密钥获取请求。

可选的，在身份验证信息包括可信证书、身份信息标识和密钥句柄的情况下，用户身份管理子系统服务器依据第一密钥获取请求向用户终端返回待验证语音信息包括：用户身份管理子系统服务器依据用户身份管理子系统私钥解密第一密钥获取请求，其中，第一密钥获取请求通过用户身份管理子系统公钥加密；用户身份管理子系统私钥与用户身份管理子系统公钥对应；用户身份管理子系统服务器解析解密后的第一密钥获取请求，获取第一密钥获取请求中的可信证书；用户身份管理子系统服务器判断可信证书是否满足预设验证条件；在判断结果为是的情况下，用户身份管理子系统服务器向用户终端返回待验证声音信息，其中，待验证声音信息包括：用户身份管理子系统证书和待验证语音。

进一步地，可选的，用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求包括：用户身份管理子系统服务器依据用户身份管理子系统私钥解密用户语音，得到随机数、待加密或解密数据和待验证声音；用户身份管理子系统服务器提取待验证声音的声纹特征；用户身份管理子系统服务器通过可信芯片的公钥加密声纹特征、随机数、待加密或解密数据、身份信息标识和密钥句柄，生成第二密钥获取请求。

根据本发明实施例的一个方面，提供了另一种数据密钥的保护方法，包括：可信芯片接收密钥获取请求，其中，密钥获取请求包括：声纹特征；其中，可信芯片为通过内置独立处理器和存储器执行加密或解密计算的数据处理芯片；可信芯片解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比；若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片向用户终端返回密钥响应信息。

可选的，在密钥获取请求包括声纹特征、身份信息标识和密钥句柄的情况下，可信芯片解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比包括：可信芯片通过可信芯片的私钥解密密钥获取请求，提取声纹特征，其中，密钥获取请求通过可信芯片的公钥加密；可信芯片的公钥与可信芯片的私钥对应；可信芯片将声纹特征与预存声纹特征进行对比，判断声纹特征是否与预存声纹特征相同。

进一步地，可选的，若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片向用户终端返回密钥响应信息包括：若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片依据声纹特征提取对应的数据密钥；可信芯片通过用户终端的公钥加密数据密钥，生成密钥响应信息；可信芯片将密钥响应信息返回用户终端。

可选的，在密钥获取请求包括声纹特征、随机数、待加密或解密数据、身份信息标识和密钥句柄的情况下，可信芯片解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比包括：可信芯片通过可信芯片的私钥解密密钥获取请求，得到声纹特征，其中，密钥获取请求通过可信芯片的公钥加密；可信芯片的公钥与可信芯片的私钥对应；可信芯片将声纹特征与预存声纹特征进行对比，判断声纹特征是否与预存声纹特征相同。

进一步地，可选的，若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片向用户终端返回密钥响应信息包括：若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片依据声纹特征提取对应的数据密钥；可信芯片依据数据密钥对待加密或解密数据进行加密或解密，得到加密信息或解密信息；可信芯片将随机数与加密信息或解密信息进行预设计算，得到运算结果；可信芯片通过用户终端的公钥加密运算结果，生成密钥响应信息；可信芯片将密钥响应信息返回用户终端。

根据本发明实施例的一个方面，提供了又一种数据密钥的保护方法，包括：用户终端向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；用户终端接收用户身份管理子系统服务器返回的待验证语音信息；用户终端向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；用户终端接收可信芯片返回的密钥响应信息，其中，密钥响应信息对应向用户身份管理子系统服务器上传的用户语音。

可选的，在身份验证信息包括身份信息标识和密钥句柄的情况下，用户终端向用户身份管理子系统服务器发送的密钥获取请求包括：用户终端依据身份信息标识和密钥句柄生成密钥获取请求；用户终端将密钥获取请求发送至用户身份管理子系统服务器。

进一步地，可选的，在用户终端接收可信芯片返回的密钥响应信息之后，该方法还包括：用户终端依据用户终端的私钥解密密钥响应信息，获取密钥响应信息携带的数据密钥，其中，密钥响应信息通过用户终端的公钥加密，用户终端的公钥与用户终端的私钥对应；用户终端依据数据密钥对待加密或待解密数据进行加密或解密，得到加密数据信息或解密信息。

可选的，在身份验证信息包括可信证书、身份信息标识和密钥句柄的情况下，用户终端向用户身份管理子系统服务器发送的密钥获取请求包括：用户终端通过用户身份管理子系统公钥对可信证书、身份信息标识和密钥句柄进行加密，生成密钥获取请求；用户终端将密钥获取请求发送至用户身份管理子系统服务器。

进一步地，可选的，在用户终端接收用户身份管理子系统服务器返回的待验证语音信息之后，该方法还包括：用户终端解析待验证语音信息，得到用户身份管理子系统证书和待验证语音；用户终端判断用户身份管理子系统证书是否满足预设验证条件；在判断结果为是的情况下，用户终端接收用户朗读的待验证语音的声音信号；用户终端将随机数、声音信号和待加密或解密数据通过用户身份管理子系统公钥进行加密，得到用户语音；用户终端向用户身份管理子系统服务器上传用户语音。

可选的，在用户终端接收可信芯片返回的密钥响应信息之后，该方法还包括：用户终端通过用户终端的私钥解密密钥响应信息，得到密钥响应信息中的运算结果；用户终端依据随机数结合预设算法校验运算结果，判断运输结果是否满足预设校验标准；在判断结果为是的情况下，用户终端使用运算结果。

根据本发明实施例的一个方面，提供了再一种数据密钥的保护方法，包括：用户终端向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；用户终端接收用户身份管理子系统服务器返回的待验证语音信息；用户终端向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；用户终端接收用户身份管理子系统服务器从用户语音提取的声纹特征；用户终端中的可信芯片将声纹特征与预存声纹特征进行比对；若声纹特征与预存声纹特征匹配，则用户终端中的可信芯片提取与声纹特征对应的数据密钥；用户终端依据数据密钥执行对应操作。

可选的，在用户终端向用户身份管理子系统服务器发送的密钥获取请求之前，方法还包括：用户终端中的可信芯片导入预先获取的身份信息标识和声纹特征；用户终端中的可信芯片依据可信存储根密钥对声纹特征进行加密，并存储加密后的声纹特征；用户终端中的可信芯片依据预设加密算法和身份信息标识，生成数据密钥，并将数据密钥的密钥句柄返回用户终端；用户终端中的可信芯片将数据密钥、身份信息标识和声纹特征进行映射，得到数据密钥、身份信息标识和声纹特征的映射关系，并存储映射关系和数据密钥。

根据本发明另一实施例的一个方面，提供了一种数据密钥的保护方法，包括：获取用户登录信息，并触发密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；依据密钥获取请求获取对应待验证语音信息；接收用户依据待验证语音信息录入的用户语音；依据用户语音提取用户的声纹特征；通过可信芯片将声纹特征与预存声纹特征进行比对；若声纹特征与预存声纹特征匹配，则通过可信芯片提取与声纹特征对应的数据密钥；依据数据密钥执行对应操作。

根据本发明实施例的另一方面，还提供了一种数据密钥的保护装置，包括：第一接收模块，用于接收用户终端发送的第一密钥获取请求，其中，第一密钥获取请求包括用户的身份验证信息；第一发送模块，用于依据第一密钥获取请求向用户终端返回待验证语音信息；第二接收模块，用于接收用户终端依据待验证语音信息上传的用户语音；请求生成模块，用于提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求；第二发送模块，用于将第二密钥获取请求发送至可信芯片。

根据本发明实施例的另一方面，还提供了另一种数据密钥的保护装置，包括：第三接收模块，用于接收密钥获取请求，其中，密钥获取请求包括：声纹特征；解析模块，用于解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比；第三发送模块，用于若密钥获取请求中的声纹特征与预存声纹特征匹配，则向用户终端返回密钥响应信息。

根据本发明实施例的另一方面，还提供了又一种数据密钥的保护装置，包括：第四发送模块，用于向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；第四接收模块，用于接收用户身份管理子系统服务器返回的待验证语音信息；第五发送模块，用于向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；第五接收模块，用于接收可信芯片返回的密钥响应信息，其中，密钥响应信息对应向用户身份管理子系统服务器上传的用户语音。

根据本发明实施例的另一方面，还提供了再一种数据密钥的保护装置，包括：第六发送模块，用于向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；第六接收模块，用于接收用户身份管理子系统服务器返回的待验证语音信息；第七发送模块，用于向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；第七接收模块，用于接收用户身份管理子系统服务器从用户语音提取的声纹特征；特征对比模块，用于将声纹特征与预存声纹特征进行比对；密钥提取模块，用于若声纹特征与预存声纹特征匹配，则用户终端中的可信芯片提取与声纹特征对应的数据密钥；数据保护模块，用于依据数据密钥执行对应操作。

根据本发明另一实施例的一方面，还提供了一种数据密钥的保护装置，包括：信息获取模块，用于获取用户登录信息，并触发密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；待验证信息获取模块，用于依据密钥获取请求获取对应待验证语音信息；接收模块，用于接收用户依据待验证语音信息录入的用户语音；提取模块，用于依据用户语音提取用户的声纹特征；特征比对模块，用于通过可信芯片将声纹特征与预存声纹特征进行比对；密钥提取模块，用于若声纹特征与预存声纹特征匹配，则通过可信芯片提取与声纹特征对应的数据密钥；数据保护模块，用于依据数据密钥执行对应操作。

根据本发明实施例的又一方面，还提供了一种数据密钥的保护系统，包括：用户声纹身份管理子系统和可信芯片管理子系统，其中，用户声纹身份管理子系统，用于获取每个用户身份信息和声纹特征；可信芯片管理子系统，用于依据每个用户身份信息和声纹特征生成对应的密钥。

可选的，用户声纹身份管理子系统包括：用户身份注册模块、声纹身份注册模块、声纹特征模型建立模块和声纹特征提取模块，其中，用户身份注册模块，用于接收用户终端提交的用户身份信息，并依据用户身份信息生成身份信息标识，将身份信息标识返回用户终端；声纹身份注册模块，用于接收用户终端提交的声纹注册请求，向用户终端返回声纹响应信息，并接收用户终端依据声纹响应信息上传的用户语音；其中，声纹响应信息包括待验证的文本信息，文本信息用于指示用户终端收录用户语音；声纹特征提取模块，用于提取用户语音的声纹特征；声纹特征模型建立模块，用于依据声纹特征建立声纹特征模型。

进一步地，可选的，可信芯片管理子系统包括：用户信息导入模块、声纹特征存储模块、用户数据密钥创建模块、用户数据密钥存储模块、声纹特征比对模块和数据密钥使用模块，其中，用户信息导入模块，用于在用户信息包括身份信息标识和声纹特征的情况下，将身份信息标识和声纹特征导入可信芯片；声纹特征存储模块，用于依据可信存储根密钥对声纹特征进行加密，并存储加密后的声纹特征；用户数据密钥创建模块，用于依据预设加密算法和身份信息标识，生成数据密钥，并将数据密钥的密钥句柄返回用户终端；用户数据密钥存储模块，用于将数据密钥、身份信息标识和声纹特征进行映射，得到数据密钥、身份信息标识和声纹特征的映射关系，存储映射关系和数据密钥；声纹特征比对模块，用于在用户终端请求获取数据密钥时，提取用户终端上传的用户语音，通过提取用户语音的声纹特征，与用户数据密钥存储模块中映射关系中的声纹特征进行比对；数据密钥使用模块，用于在比对通过后，向用户终端反馈数据密钥，以使得用户终端依据数据密钥执行加密/解密操作。

根据本发明实施例的再一方面，还提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行上述数据密钥的保护方法。

根据本发明实施例的再一方面，还提供了一种处理器，处理器用于运行程序，其中，程序运行时执行上述数据密钥的保护方法。

根据本发明实施例的再一方面，还提供了一种计算设备，包括处理器、存储器，存储器上存储有程序，处理器用于运行程序，其中，程序运行时适于使处理器执行上述数据密钥的保护方法。

在本发明实施例中，通过用户身份管理子系统服务器接收用户终端发送的第一密钥获取请求，其中，第一密钥获取请求包括用户的身份验证信息；用户身份管理子系统服务器依据第一密钥获取请求向用户终端返回待验证语音信息；用户身份管理子系统服务器接收用户终端依据待验证语音信息上传的用户语音；用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求；用户身份管理子系统服务器将第二密钥获取请求发送至可信芯片，达到了密钥的安全获取的目的，从而实现了安全获取密钥的技术效果，进而解决了由于现有技术中存在的密钥容易泄密的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是TCG信任链的结构示意图；

图2是密钥体系结构图；

图3是加密机典型部署结构示意图；

图4是根据本发明实施例一的数据密钥的保护方法的流程图；

图5是根据本发明实施例二的数据密钥的保护方法的流程图；

图6是本发明实施例三的一种数据密钥的保护方法的计算机终端的硬件结构框图；

图7a是根据本发明实施例三的数据密钥的保护方法的流程图；

图7b是根据本发明实施例三的数据密钥的保护方法中用户身份管理子系统服务器内嵌可信芯片与用户终端连接的示意图；

图8是根据本发明实施例四的数据密钥的保护方法的流程图；

图9a是根据本发明实施例中的一种数据密钥的保护方法中的用户身份管理子系统服务器与用户终端内嵌可信芯片连接的示意图；

图9b是根据本发明实施例中的一种数据密钥的保护方法中的用户身份管理子系统服务器、可信芯片和用户终端的交互示意图；

图10是根据本发明实施例中的另一种数据密钥的保护方法中的用户身份管理子系统服务器、可信芯片和用户终端的交互示意图；

图11a是根据本发明实施例五的数据密钥的保护方法的流程图；

图11b是根据本发明实施例五的数据密钥的保护方法中用户终端内嵌可信芯片的示意图；

图12是根据本发明实施例六的数据密钥的保护装置的结构示意图；

图13是根据本发明实施例七的数据密钥的保护装置的结构示意图；

图14是根据本发明实施例八的数据密钥的保护装置的结构示意图；

图15是根据本发明实施例九的数据密钥的保护装置的结构示意图；

图16是根据本发明实施例十的数据密钥的保护装置的结构示意图；

图17是根据本发明实施例十一的数据密钥的保护系统的结构示意图；

图18是根据本发明实施例十一的一种数据密钥的保护系统的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例1

本申请提供了如图4所示的数据密钥的保护方法。在用户身份管理子系统服务器侧，图4是根据本发明实施例一的数据密钥的保护方法的流程图。

根据本发明实施例的一个方面，提供了一种数据密钥的保护方法，包括：

步骤S402，用户身份管理子系统服务器接收用户终端发送的第一密钥获取请求，其中，第一密钥获取请求包括用户的身份验证信息；

本申请上述步骤S402中，本实施例提供的数据密钥的保护方法可以适用于可信计算，其中，用户身份管理子系统服务器可以用于与用户所使用的移动终端进行交互，通过用户使用的移动终端，接收用户的各类请求以及向用户反馈依据各类请求反馈的响应。

具体的，本实施例提供的数据密钥的保护方法具体可适用于互联网技术应用，特别是用户在线执行身份验证、信息加密和解密时所需的可信计算，以网上银行为例，当用户在线交易时，用户身份管理子系统接收用户终端发送的第一密钥获取请求，该第一密钥获取请求可以用于引导用户进入自己账户，获取在线支付所需密钥，避免了现有技术中人为记忆密钥或加密机存储密钥带来的不可靠问题，该不可靠问题可以体现在：人为记忆密钥会导致密钥遗忘；加密机传输密钥报文导致的密钥泄露。

在验证初期，用户身份管理子系统服务器接收用户终端发送的第一密钥获取请求，该请求会包括用户的身份验证信息，其中，用户终端可以包括：智能手机、笔记本电脑、平板电脑、台式电脑、掌上商务以及智能穿戴设备。

步骤S404，用户身份管理子系统服务器依据第一密钥获取请求向用户终端返回待验证语音信息；

本申请上述步骤S404中，基于步骤S402中用户身份管理子系统服务器接收的第一密钥获取请求，用户身份管理子系统服务器解析该第一密钥获取请求，验证该第一密钥获取请求中的用户的身份验证信息，若验证成功，则向用户终端反馈待验证语音信息，该待验证语音信息可以包括：一连串由数字；或数字及字符随机组成的没变形处理的字符。

步骤S406，用户身份管理子系统服务器接收用户终端依据待验证语音信息上传的用户语音；

本申请上述步骤S406中，基于步骤S404中用户身份管理子系统服务器向用户终端返回的待验证语音信息，用户身份管理子系统服务器接收用户终端上传的用户语音，其中，该用户语音为用户终端的收音装置获取的用户朗读待验证语音信息时产生的声音信息，该声音信息以音频的形式上传至用户身份管理子系统服务器，其中，该上传过程可以为通过用户终端将模拟信号转换为数字信号，通过对数字信号进行编码以报文的形式发送至用户身份管理子系统服务器，进而在用户身份管理子系统服务器侧进行解码，获取该数字信号，该数字信号可对应用户在朗读过程中的声纹。

步骤S408，用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求；

本申请上述步骤S408中，基于步骤S406中用户身份管理子系统服务器接收的用户语音，对该用户语音进行声纹特征提取，并依据该声纹特征和步骤S402中接收第一密钥获取请求时获取到的用户的身份验证信息生成第二密钥获取请求。

步骤S410，用户身份管理子系统服务器将第二密钥获取请求发送至可信芯片。

本申请上述步骤S410中，基于步骤S408中用户身份管理子系统服务器生成的第二密钥获取请求，用户身份管理子系统服务器将该第二密钥获取请求发送至可信芯片。

在本申请实施例提供的数据密钥的保护方法中，通过用户身份管理子系统服务器接收用户终端发送的第一密钥获取请求，其中，第一密钥获取请求包括用户的身份验证信息；用户身份管理子系统服务器依据第一密钥获取请求向用户终端返回待验证语音信息；用户身份管理子系统服务器接收用户终端依据待验证语音信息上传的用户语音；用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求；用户身份管理子系统服务器将第二密钥获取请求发送至可信芯片，达到了密钥的安全获取的目的，从而实现了安全获取密钥的技术效果，进而解决了由于现有技术中存在的密钥容易泄密的技术问题。

具体的，基于上述步骤S402至步骤S410，本实施例提供的数据密钥的保护方法有两种实现方式，具体实现方式如下：

方式一：身份验证信息包括:身份信息标识和密钥句柄。

可选的，在身份验证信息包括身份信息标识和密钥句柄的情况下，步骤S408中用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求包括：

Step1，用户身份管理子系统服务器提取用户语音中的声纹特征；

本申请上述Step1中，在身份验证信息包括身份信息标识和密钥句柄的情况下，基于步骤S402至步骤S406，用户身份管理子系统服务器接收用户终端发送的携带身份信息标识和密钥句柄的第一密钥获取请求，并向用户终端反馈待验证语音信息，用户身份管理子系统服务器通过接收用户终端上传的依据待验证语音信息返回的用户语音，用户身份管理子系统服务器提取该用户语音中的声纹特征。

Step2，用户身份管理子系统服务器通过可信芯片的公钥加密声纹特征、身份信息标识和密钥句柄，生成第二密钥获取请求。

本申请上述Step2中，基于Step1提取的声纹特征，用户身份管理子系统服务器根据预先获取的可信芯片的公钥，对声纹特征、身份信息标识和密钥句柄进行加密，从而生成第二密钥获取请求。

方式二：身份验证信息包括:可信证书、身份信息标识和密钥句柄。

可选的，在身份验证信息包括可信证书、身份信息标识和密钥句柄的情况下，步骤S404中用户身份管理子系统服务器依据第一密钥获取请求向用户终端返回待验证语音信息包括：

Step1，用户身份管理子系统服务器依据用户身份管理子系统私钥解密第一密钥获取请求，其中，第一密钥获取请求通过用户身份管理子系统公钥加密；用户身份管理子系统私钥与用户身份管理子系统公钥对应；

本申请上述Step1中，区别于方式一实现本实施例提供的数据密钥的保护方法的方式，在方式二中，在步骤S402用户身份管理子系统服务器接收第一密钥获取请求之后，该第一密钥获取请求为通过用户身份管理子系统公钥加密，且携带可信证书的请求，在传输上区别于方式一，由于通过用户身份管理子系统公钥加密以及携带了可信证书，从而使得在传输上保障了即使报文泄露，也不会泄密，且通过验证可信证书更安全。

Step2，用户身份管理子系统服务器解析解密后的第一密钥获取请求，获取第一密钥获取请求中的可信证书；

本申请上述Step2中，基于用户身份管理子系统服务器解密第一密钥获取请求，用户身份管理子系统服务器获取该第一密钥获取请求中的可信证书。

Step3，用户身份管理子系统服务器判断可信证书是否满足预设验证条件；

本申请上述Step3中，基于Step2获取的可信证书，用户身份管理子系统服务器判断该可信证书是否满足预设验证条件，即，判断该可信证书的真伪，如果不是用户身份管理子系统服务器存储的可信证书，则判断该可信证书为非法，停止该用户的密钥获取流程。若是，则执行Step4。

Step4，在判断结果为是的情况下，用户身份管理子系统服务器向用户终端返回待验证声音信息，其中，待验证声音信息包括：用户身份管理子系统证书和待验证语音。

本申请上述Step4中，在判断结果为是的情况下，即，可信证书满足预设验证条件，用户身份管理子系统服务器向用户终端返回待验证声音信息，其中，该待验证声音信息区别于方式一，除了待验证语音，在方式二中还需添加用户身份管理子系统证书。

进一步地，可选的，步骤S408中用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求包括：

Step1，用户身份管理子系统服务器依据用户身份管理子系统私钥解密用户语音，得到随机数、待加密或解密数据和待验证声音；

本申请上述Step1中，在用户身份管理子系统服务器向用户终端返回待验证声音信息之后，在用户身份管理子系统服务器接收用户终端上传的用户语音，该用户语音不同于方式一的地方在于，除了用户的声音外，还携带了用户终端上传的随机数，以及待加密或解密数据。

Step2，用户身份管理子系统服务器提取待验证声音的声纹特征；

本申请上述Step2中，基于Step 1对用户语音的解密，用户身份管理子系统服务器提取待验证声音的声纹特征。

Step3，用户身份管理子系统服务器通过可信芯片的公钥加密声纹特征、随机数、待加密或解密数据、身份信息标识和密钥句柄，生成第二密钥获取请求。

本申请上述Step3中，用户身份管理子系统服务器依据预先获取的可信芯片的公钥加密声纹特征、随机数、待加密或解密数据、身份信息标识和密钥句柄，生成第二密钥获取请求。

综上，本申请实施例提供的数据密钥的保护方法中，用户通过用户终端，经由用户身份管理子系统服务器向可信芯片获取密钥的过程中，在用户身份管理子系统服务器侧，即为上述实施例一，需要说明的是，在实现上述流程的过程中用户身份管理子系统服务器包括以下功能：

用户身份注册：用户终端向用户身份管理子系统服务器中的用户声纹身份管理系统提交用户身份相关信息，用户声纹身份管理系统向用户声纹身份管理系统反馈用户身份标识UID。

声纹身份注册：用户终端向声纹验证服务器提出以声纹特征登录方式提出身份注册请求，声纹验证服务器响应请求，推送一连串由数字及字符随机组成的没变形处理的字符；

声纹特征模型建立：在提取用户声纹特征基础上，建立用户声纹特征模型；

声纹特征提取：用户终端口述声纹验证服务器推送的字符，声纹验证服务器采样用户语音，提取其声纹特征。

实施例2

本申请提供了如图5所示的数据密钥的保护方法。在可信芯片侧，图5是根据本发明实施例二的数据密钥的保护方法的流程图。

步骤S502，可信芯片接收密钥获取请求，其中，密钥获取请求包括：声纹特征；其中，可信芯片为通过内置独立处理器和存储器执行加密或解密计算的数据处理芯片；

本申请上述S502中，区别于实施例1，本实施例提供的数据密钥的保护方法可以适用于可信芯片，其中，可信芯片可以位于用户身份管理子系统服务器中，还可以独立于用户身份管理子系统服务器，成立一套独立的可信芯片中声纹特征及数据密钥管理子系统。

具体的，在用户通过用户终端，经由用户身份管理子系统服务器向可信芯片获取密钥的过程中，可信芯片接收用户身份管理子系统服务器发送的密钥获取请求，以使得可信芯片通过验证密钥获取请求中的信息，决定是否对用户分配对应的密钥，其中，在本实施例中，可信芯片通过声纹特征对用户的密钥请求进行验证，具体步骤见步骤 S504和S506。

步骤S504，可信芯片解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比；

本申请上述S504中，基于步骤S502中可信芯片接收到的密钥获取请求，可信芯片解析密钥获取请求获取该密钥获取请求中的声纹特征，并将密钥获取请求中的声纹特征与预存声纹特征进行对比。

具体的，每个在用户身份管理子系统服务器注册成功的用户，都会在可信芯片中存储身份信息标识和对应该身份信息标识的声纹特征，以及对应的密钥，因此若要获取密钥，则需要对用户身份进行验证，通过将用户发送的身份信息标识和对应该身份信息标识的声纹特征与预先存储的身份信息标识和对应该身份信息标识的声纹特征进行对比，可信芯片可以判断是否将该密钥反馈至该用户。

步骤S506，若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片向用户终端返回密钥响应信息。

本申请上述S506中，若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片向用户终端返回密钥响应信息。

在本申请实施例提供的数据密钥的保护方法中，通过可信芯片接收用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括：声纹特征；可信芯片解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比；若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片向用户终端返回密钥响应信息，达到了密钥的安全获取的目的，从而实现了安全获取密钥的技术效果，进而解决了由于现有技术中存在的密钥容易泄密的技术问题。

具体的，基于上述步骤S502至步骤S506，本实施例提供的数据密钥的保护方法有两种实现方式，具体实现方式如下：

方式一：密钥获取请求包括声纹特征、身份信息标识和密钥句柄。

可选的，在密钥获取请求包括声纹特征、身份信息标识和密钥句柄的情况下，步骤S504中可信芯片解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比包括：

Step1，可信芯片通过可信芯片的私钥解密密钥获取请求，提取声纹特征，其中，密钥获取请求通过可信芯片的公钥加密；可信芯片的公钥与可信芯片的私钥对应；

本申请上述Step1中，对应实施例1中用户身份管理子系统服务器的方式一中的步骤S408中的Step1和Step2。由于用户身份管理子系统服务器通过可信芯片的公钥加密密钥获取请求，对应于可信芯片的公钥，可信芯片通过可信芯片的私钥解密密钥获取请求，提取该密钥获取请求中的声纹特征。

Step2，可信芯片将声纹特征与预存声纹特征进行对比，判断声纹特征是否与预存声纹特征相同。

本申请上述Step2中，基于Step 1对密钥获取请求的解密，获取密钥获取请求中的身份信息标识，依据身份信息标识查询是否与可信芯片中预先存储的身份信息标识相同，如果相同，依据预先存储的身份信息标识获取对应的声纹特征，将密钥获取请求中的声纹特征与预存声纹特征进行对比，判断声纹特征是否与预存声纹特征相同，在判断结果为是的情况下执行步骤S506；在判断结果为否的情况下，用户获取密钥的流程终止。

进一步地，可选的，步骤S506中若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片向用户终端返回密钥响应信息包括：

Step1，若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片依据声纹特征提取对应的数据密钥；

本申请上述Step1中，基于步骤S504的判断，若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片依据声纹特征提取对应的数据密钥。

Step2，可信芯片通过用户终端的公钥加密数据密钥，生成密钥响应信息；

本申请上述Step2中，基于上述Step1可信芯片获取到的数据密钥，可信芯片通过用户终端的公钥加密数据密钥，生成密钥响应信息，其中，该密钥响应信息可以包括：用户通过用户终端请求可信芯片分配的密钥。

Step3，可信芯片将密钥响应信息返回用户终端。

方式二：密钥获取请求包括声纹特征、随机数、待加密或解密数据、身份信息标识和密钥句柄。

可选的，在密钥获取请求包括声纹特征、随机数、待加密或解密数据、身份信息标识和密钥句柄的情况下，步骤S504中可信芯片解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比包括：

Step1，可信芯片通过可信芯片的私钥解密密钥获取请求，得到声纹特征，其中，密钥获取请求通过可信芯片的公钥加密；可信芯片的公钥与可信芯片的私钥对应；

本申请上述Step1中，对应实施例1中用户身份管理子系统服务器的方式二中的步骤S408中的Step1至Step3。由于用户身份管理子系统服务器通过可信芯片的公钥加密密钥获取请求，对应可信芯片的公钥，可信芯片通过可信芯片的私钥解密密钥获取请求，提取该密钥获取请求中的声纹特征。

进一步地，可选的，步骤S506若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片向用户终端返回密钥响应信息包括：

Step2，可信芯片依据数据密钥对待加密或解密数据进行加密或解密，得到加密信息或解密信息；

本申请上述Step2中，基于Step1提取的数据密钥，可信芯片依据数据密钥对待加密或解密数据进行加密或解密，得到加密信息或解密信息。

Step3，可信芯片将随机数与加密信息或解密信息进行预设计算，得到运算结果；

本申请上述Step3中，基于步骤Step2中可信芯片得到的加密信息或解密信息，在密钥获取请求包括随机数的情况下，可信芯片依据随机数对加密信息或解密信息进行预设计算，得到运算结果；其中，在本实施例中，优选的以可信芯片依据随机数对加密信息或解密信息通过哈希算法进行计算，得到运算结果。

Step4，可信芯片通过用户终端的公钥加密运算结果，生成密钥响应信息；

本申请上述Step4中，基于上述Step3得到的运算结果，为保障密钥在传输过程中的安全，以加密的形式对数据密钥处理后的运算结果进行加密，其中，加密形式为：可信芯片通过用户终端的公钥加密运算结果，生成密钥响应信息。

Step5，可信芯片将密钥响应信息返回用户终端。

区别于方式一，在方式二中，用户终端直接将待加密或解密数据发送至可信芯片，由可信芯片在对用户身份验证无误后，依据用户的数据密钥对待加密或解密数据进行对应的加密或解密操作，进而得到加密或解密后的数据，并将加密或解密后的数据返回用户终端，省略了用户终端运算的过程，减轻了用户终端的运算压力，并且最重要的是，数据密钥不出可信芯片，避免了在报文传输过程中密钥的泄露，保障了数据密钥的安全。

综上，本申请实施例提供的数据密钥的保护方法中，用户通过用户终端，经由用户身份管理子系统服务器向可信芯片获取密钥的过程中，在可信芯片侧，即为上述实施例二，需要说明的是，在实现上述流程的过程中可信芯片包括以下功能：

用户身份及声纹特征导入：将用户声纹管理子系统服务器中用户UID、该用户的声纹特征导入到可信芯片的非易失空间中，导入过程中，保证每个用户的声纹特征与其UID是一一映射关系；

声纹特征存储：导入到可信芯片的声纹特征用可信存储根密钥加密保存，以保证声纹特征数据的安全；

用户数据密钥创建：可信芯片按TCG可信标准，可以为每个唯一标识的用户创建用来加密数据的数据密钥，并将密钥的句柄keyID反馈给用户终端，存储过程中，保证每个用户UID、用户的声纹特征、用户的数据密钥是一一映射关系；

用户数据密钥的存储：用户的数据密钥，可以用可信芯片的存储根密钥加密保护；

声纹特征比对：实时提取的用户声纹特征，与先前初始化存储的用户声纹特征做比对；

数据密钥使用：当用户声纹特征比对通过后，用户就有权限使用该数据密钥对数据进行加解密操作。

本实施例提供的数据密钥的保护方法中的可信芯片用于执行可信计算，其中，可信计算包括5个关键技术概念，该可信芯片将遵从TCG(Trusted Comput ing Group) 规范：

技术一：可信计算Endorsement key签注密钥

签注密钥是一个2048位的RSA公共和私有密钥对，它在芯片出厂时随机生成并且不能改变。这个私有密钥永远在芯片里，而公共密钥用来认证及加密发送到该芯片的敏感数据。

即，本实施例中用户终端与可信芯片用于加密或解密过程中的可信芯片的公钥和可信芯片的私钥。

技术二：可信计算Secure input and output安全输入输出

安全输入输出是指电脑用户和用户与之交互的软件间受保护的路径。当前，电脑系统上恶意软件有许多方式来拦截用户和软件进程间传送的数据。例如键盘监听和截屏。

由于可信芯片的独立存储和运算能力，在本申请中若可信芯片内嵌入于用户使用的终端中，将可以保护数据的私密性和安全性。

技术三：可信计算Memory curtaining储存器屏蔽

储存器屏蔽拓展了一般的储存保护技术，提供了完全独立的储存区域。例如，包含密钥的位置。即使操作系统自身也没有被屏蔽储存的完全访问权限，所以入侵者即便控制了操作系统信息也是安全的。

即，基于上述技术二中提到的可信芯片的独立存储，不仅存储独立，并且存储的数据中可通过加密的方式保存，在存储数据的同时更增加了一套安全保障。

技术四：可信计算Sealed storage密封储存

密封存储通过把私有信息和使用的软硬件平台配置信息捆绑在一起来保护私有信息。意味着该数据只能在相同的软硬件组合环境下读取。例如，某个用户在他们的电脑上保存一首歌曲，而他们的电脑没有播放这首歌的许可证，他们就不能播放这首歌。

即，基于技术三中提到的，本实施例中提到的可信证书正是可以用于可信芯片验证，在可信证书合法的情况下，可信芯片才会基于声纹特征做匹配，并执行后续提取数据密钥的过程。

技术五：可信计算Remote attestat ion远程认证

远程认证准许用户电脑上的改变被授权方感知。例如，软件公司可以避免用户干扰他们的软件以规避技术保护措施。它通过让硬件生成当前软件的证明书。随后电脑将这个证明书传送给远程被授权方来显示该软件公司的软件尚未被干扰(尝试破解)。

即，可以与技术四中提到的可信证书相同，用于对终端设备或使用用户进行验证。

实施例3

根据本发明实施例，还提供了一种数据密钥的保护方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例三所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。以运行在计算机终端上为例，图6是本发明实施例的一种数据密钥的保护方法的计算机终端的硬件结构框图。如图6所示，计算机终端60可以包括一个或多个(图中仅示出一个)处理器602(处理器602可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器604、以及用于通信功能的传输模块606。本领域普通技术人员可以理解，图6所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端60还可包括比图6中所示更多或者更少的组件，或者具有与图6所示不同的配置。

存储器604可用于存储应用软件的软件程序以及模块，如本发明实施例中的数据密钥的保护方法对应的程序指令/模块，处理器602通过运行存储在存储器604内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的应用程序的漏洞检测方法。存储器604可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器604可进一步包括相对于处理器602远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端60。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输模块606用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端60的通信供应商提供的无线网络。在一个实例中，传输模块606包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输模块606可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

在上述运行环境下，本申请提供了如图7所示的数据密钥的保护方法。在用户终端侧，图7a是根据本发明实施例三的数据密钥的保护方法的流程图。

步骤S702，用户终端向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；

本申请上述步骤S702中，区别于实施例1和实施例2，本实施例提供的数据密钥的保护方法可以适用于用户终端，其中，该用户终端可以包括：智能手机、笔记本电脑、平板电脑、台式电脑、掌上商务以及智能穿戴设备。

具体的，在用户通过用户终端获取数据密钥时，用户终端向用户身份管理子系统服务器发送的密钥获取请求，该过程可以表现为：登陆关联至用户身份管理子系统服务器的网页，用户通过用户终端在该网页输入自己的身份验证信息。

步骤S704，用户终端接收用户身份管理子系统服务器返回的待验证语音信息；

本申请上述步骤S704中，基于步骤S702发送的密钥获取请求，用户终端接收用户身份管理子系统服务器返回的待验证语音信息，在接到用户身份管理子系统服务器返回的待验证语音信息后，用户终端通过收音装置获取用户朗读待验证语音信息的声音，该待验证语音信息可以为一连串由数字及字符随机组成的没变形处理的字符。

步骤S706，用户终端向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；

本申请上述步骤S706中，基于步骤S704接收到的待验证语音信息，用户终端向用户身份管理子系统服务器上传用户语音。

步骤S708，用户终端接收可信芯片返回的密钥响应信息，其中，密钥响应信息对应向用户身份管理子系统服务器上传的用户语音。

本申请上述步骤S708中，在用户终端向用户身份管理子系统服务器上传用户语音之后，可信芯片会依据用户语音中的声纹特征反馈对应的数据密钥，其中，数据密钥在传输的过程中以密钥响应信息的形式返回用户终端。

在本发明实施例中，通过用户终端向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；用户终端接收用户身份管理子系统服务器返回的待验证语音信息；用户终端向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；用户终端接收可信芯片返回的密钥响应信息，其中，密钥响应信息对应向用户身份管理子系统服务器上传的用户语音，达到了密钥的安全获取的目的，从而实现了安全获取密钥的技术效果，进而解决了由于现有技术中存在的密钥容易泄密的技术问题。

具体的，基于上述步骤S702至步骤S708，本实施例提供的数据密钥的保护方法有两种实现方式，具体实现方式如下：

方式一：身份验证信息包括：身份信息标识和密钥句柄。

可选的，在身份验证信息包括身份信息标识和密钥句柄的情况下，步骤S702 中用户终端向用户身份管理子系统服务器发送的密钥获取请求包括：

Step1，用户终端依据身份信息标识和密钥句柄生成密钥获取请求；

本申请上述步骤Step1中，对应实施例1中用户身份管理子系统服务器的方式一和实施例2中可信芯片的方式一。用户终端将用户的身份信息标识和密钥句柄进行封装，得到密钥获取请求。

Step2，用户终端将密钥获取请求发送至用户身份管理子系统服务器。

进一步地，可选的，在步骤S708中用户终端接收可信芯片返回的密钥响应信息之后，本实施例提供的数据密钥的保护方法还包括：

Step1，用户终端依据用户终端的私钥解密密钥响应信息，获取密钥响应信息携带的数据密钥，其中，密钥响应信息通过用户终端的公钥加密，用户终端的公钥与用户终端的私钥对应；

本申请上述步骤Step1中，对应实施例2中可信芯片方式一中步骤S506中的Step1至Step3，由于可信芯片通过用户终端的公钥加密数据密钥，在用户终端侧通过用户终端的私钥解密密钥响应信息，获取密钥响应信息携带的数据密钥。

Step2，用户终端依据数据密钥对待加密或待解密数据进行加密或解密，得到加密数据信息或解密信息。

本申请上述步骤Step2中，基于上述Step1获取的数据密钥，用户终端依据数据密钥对待加密或待解密数据进行加密或解密，得到加密后的数据信息或解密信息。

方式二：身份验证信息包括：可信证书、身份信息标识和密钥句柄。

可选的，在身份验证信息包括可信证书、身份信息标识和密钥句柄的情况下，步骤S702中用户终端向用户身份管理子系统服务器发送的密钥获取请求包括：

Step1，用户终端通过用户身份管理子系统公钥对可信证书、身份信息标识和密钥句柄进行加密，生成密钥获取请求；

本申请上述步骤Step1中，区别于方式一，本实施例的方式二在生成密钥获取请求的过程中通过添加可信证书，以及依据用户身份管理子系统公钥对可信证书、身份信息标识和密钥句柄进行加密，保障了用户的身份验证信息的安全。

需要说明的是，可信证书可以用于验证当前用户终端是否有权限发起获取数据密钥流程，其中，可信证书可以是用户从第三方获得的数据安全证书。

进一步地，可选的，在步骤S704中用户终端接收用户身份管理子系统服务器返回的待验证语音信息之后，本实施例提供的数据密钥的保护方法还包括：

Step1，用户终端解析待验证语音信息，得到用户身份管理子系统证书和待验证语音；

本申请上述步骤Step1中，在方式二中，在用户终端接收用户身份管理子系统服务器返回的待验证语音信息之后，用户终端接收到的待验证语音信息中包括用户身份管理子系统证书和待验证语音，在提示用户朗读待验证语音之前，需要对用户身份管理子系统证书进行验证，验证步骤执行Step2,验证成功执行Step3至Step5。

Step2，用户终端判断用户身份管理子系统证书是否满足预设验证条件；

本申请上述步骤Step2中，在验证用户身份管理子系统证书的过程中，需判断用户身份管理子系统证书是否能够与用户终端的验证条件对应上，若是执行Step3。

Step3，在判断结果为是的情况下，用户终端接收用户朗读的待验证语音的声音信号；

本申请上述步骤Step3中，基于Step2的判断，在判断结果为是的情况下，用户终端通过自身的收音装置接收用户朗读的待验证语音的声音信号，其中，该收音装置可以为移动终端上的麦克接口，例如，智能手机中的话筒。

Step4，用户终端将随机数、声音信号和待加密或解密数据通过用户身份管理子系统公钥进行加密，得到用户语音；

本申请上述步骤Step4中，基于Step3得到的声音信号，为保障信息传输的安全，用户终端将随机数、声音信号和待加密或解密数据通过用户身份管理子系统公钥进行加密，得到用户语音。

Step5，用户终端向用户身份管理子系统服务器上传用户语音。

可选的，在步骤S708中用户终端接收可信芯片返回的密钥响应信息之后，本实施例提供的数据密钥的保护方法还包括：

Step1，用户终端通过用户终端的私钥解密密钥响应信息，得到密钥响应信息中的运算结果；

本申请上述步骤Step1中，对应实施例2中方式二中步骤S506中的Step1至Step5。用户终端接收可信芯片返回的密钥响应信息之后，由于可信芯片通过用户终端的公钥加密密钥响应信息，对应的用户终端通过用户终端的私钥解密密钥响应信息，得到密钥响应信息中的运算结果。

Step2，用户终端依据随机数结合预设算法校验运算结果，判断运输结果是否满足预设校验标准；

本申请上述步骤Step2中，基于Step1中得到的运算结果，为保障数据的完整，需要在使用该运算结果之前对该运算结果进行验证，该验证方式为：用户终端依据随机数依据预设算法校验运算结果，判断运输结果是否满足预设校验标准，其中，本实施例中优选的，该预设算法为哈希算法，即，用户终端依据随机数结合哈希算法校验运算结果，判断运输结果是否满足预设校验标准。

Step3，在判断结果为是的情况下，用户终端使用运算结果。

本申请上述步骤Step3中，基于Step2的判断，在判断结果为是的情况下，用户终端使用运算结果，其中，该运算结果可以为通过数据密钥加密后的数据信息或通过数据密钥解密后的解密信息。如图7b所示，图7b是根据本发明实施例三的数据密钥的保护方法中用户身份管理子系统服务器内嵌可信芯片与用户终端连接的示意图。

实施例4

本申请提供了如图8所示的数据密钥的保护方法。在用户终端侧，图8是根据本发明实施例四的数据密钥的保护方法的流程图。

步骤S802，用户终端向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；

步骤S804，用户终端接收用户身份管理子系统服务器返回的待验证语音信息；

步骤S806，用户终端向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；

步骤S808，用户终端接收用户身份管理子系统服务器从用户语音提取的声纹特征；

步骤S810，用户终端中的可信芯片将声纹特征与预存声纹特征进行比对；

步骤S812，若声纹特征与预存声纹特征匹配，则用户终端中的可信芯片提取与声纹特征对应的数据密钥；

步骤S814，用户终端依据数据密钥执行对应操作。

综上，结合步骤S802至步骤S814，本实施例提供的数据密钥的保护方法可以适用于用户终端侧，与实施例3所提供的用户终端不同的地方在于，本实施例提供的数据密钥的保护方法可以适用于内嵌有可信芯片的用户终端。如图9a所示，图9a是根据本发明实施例中的一种数据密钥的保护方法中的用户身份管理子系统服务器与用户终端内嵌可信芯片连接的示意图。

具体的，用户终端在需要数据密钥时，向用户身份管理子系统服务器发送密钥获取请求，其中密钥获取请求携带有用户的身份验证信息，用户身份管理子系统服务器在验证该身份验证信息成功之后向用户终端返回一段待验证语音信息，用户终端通过收音装置采集用户在朗读该待验证语音信息时的用户声音，并将该用户声音上传至用户身份管理子系统服务器，待用户身份管理子系统服务器返回提取该用户声音的声纹特征后，在用户终端中通过可信芯片将该声纹特征与预存声纹特征进行比对，若该声纹特征与预存声纹特征匹配，则提取数据密钥；进而用户终端可以依据该数据密钥执行数据传输时的加密或解密。

其中，以访问网上银行为例，当用户初次注册账号时，对应该用户，网上银行系统会对应生成一串身份标识，例如，账号，在依据该账号注册声纹验证时，在用户终端侧对应该用户的声纹特征以及身份标识生成对应的数据密钥，其中，该数据密钥存储在可信芯片中，在可信芯片中通过对该数据密钥进行可信计算加密，提升数据密钥的安全性。在用户通过用户终端访问网上银行时，用户终端通过向网上银行的用户身份管理子系统服务器发送密钥获取请求，在用户身份管理子系统服务器返回待验证语音信息后，用户终端通过收音装置采集用户朗读该待验证语音信息的用户语音；并上传该用户语音至用户身份管理子系统服务器；在接收用户身份管理子系统服务器返回的提取的用户语音的声纹特征后，用户终端中的可信芯片依据该声纹特征与预存声纹特征进行比对，若该声纹特征与预存声纹特征匹配，则提取数据密钥。

需要说明的是，在可信芯片内嵌于用户终端侧的情况下，减少了用户终端与用户身份管理子系统服务器之间的信令交互，避免了在信令交互过程中数据密钥的泄漏；并且由于可信芯片位于用户终端内，在获取数据密钥的过程中数据密钥始终位于用户终端内，降低了数据密钥泄漏的风险，并且解决了从可信芯片获取数据密钥的口令密钥难记问题。

在本发明实施例中，通过用户终端向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；用户终端接收用户身份管理子系统服务器返回的待验证语音信息；用户终端向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；用户终端接收用户身份管理子系统服务器从用户语音提取的声纹特征；用户终端中的可信芯片将声纹特征与预存声纹特征进行比对；若声纹特征与预存声纹特征匹配，则用户终端中的可信芯片提取与声纹特征对应的数据密钥；用户终端依据数据密钥执行对应操作。达到了密钥的安全获取的目的，从而实现了安全获取密钥的技术效果，进而解决了由于现有技术中存在的密钥容易泄密的技术问题。

可选的，在步骤S802中用户终端向用户身份管理子系统服务器发送的密钥获取请求之前，本实施例提供的数据密钥的保护方法还包括：

步骤S797，用户终端中的可信芯片导入预先获取的身份信息标识和声纹特征；

步骤S798，用户终端中的可信芯片依据可信存储根密钥对声纹特征进行加密，并存储加密后的声纹特征；

步骤S799，用户终端中的可信芯片依据预设加密算法和身份信息标识，生成数据密钥，并将数据密钥的密钥句柄返回用户终端；

步骤S800，用户终端中的可信芯片将数据密钥、身份信息标识和声纹特征进行映射，得到数据密钥、身份信息标识和声纹特征的映射关系，并存储映射关系和数据密钥。

具体的，结合步骤S797至步骤S800，用户终端中的可信芯片在用户获取数据密钥之前，将先针对用户生成对应的数据密钥。其中，生成数据密钥的过程如下：

第一，将用户声纹管理子系统服务器中用户UID、该用户的声纹特征导入到可信芯片的非易失空间中，导入过程中，保证每个用户的声纹特征与其UID是一一映射关系；

第二，导入到可信芯片的声纹特征用可信存储根密钥加密保存，以保证声纹特征数据的安全；

第三，可信芯片按TCG可信标准，可以为每个唯一标识的用户创建用来加密数据的数据密钥，并将密钥的句柄keyID反馈给用户终端，存储过程中，保证每个用户UID、用户的声纹特征、用户的数据密钥是一一映射关系；

第四，用户的数据密钥，可以用可信芯片的存储根密钥加密保护。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的数据密钥的保护方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例的方法。

综上，结合上述实施例1至4，基于用户身份管理子系统服务器、可信芯片和用户终端的两种实现方式(方式一和方式二)，本申请实施例提供的数据密钥的保护方法具体如下：

场景一：

假设可信芯片为用户UID(即，本实施例中的身份信息标识)已创建其平台身份公私钥对UPK和USK、数据密钥Data_Key，该用户的声纹特征及数据密钥安全保存在可信芯片中，局限可信芯片计算能力的有限，现用户欲获取可信芯片中数据密钥,在本地对某敏感数据Data进行加密或解密，交互过程中，对用户端实现身份验证，图9b 是根据本发明实施例中的一种数据密钥的保护方法中的用户身份管理子系统服务器、可信芯片和用户终端的交互示意图，该流程如图9b所示：

步骤1，用户终端向用户身份管理子系统服务器提交{U_ID,key_ID}(即，本申请中的第一密钥获取请求)；

步骤2，用户身份管理子系统服务器响应用户终端请求,并要求用户终端传输一段语音(即，本申请中的待验证语音信息)；

步骤3，用户终端借助语音通信装置，回传一段语音(即，本申请中的用户语音)；

步骤4，用户身份管理子系统服务器对用户终端传过来的语音进行特征提取，生成声纹特征信息msg(即，本申请中的第二密钥获取请求)；

步骤5，用户身份管理子系统服务器用可信芯片声纹特征及数据密钥管理子系统公钥M_PK加密声纹特征信息msg得到{Msg,U_ID,key_ID}M_PK(即，本申请中的第二密钥获取请求)，并将{Msg,U_ID,key_ID}M_PK回传给可信芯片声纹特征及数据密钥管理子系统(即，本申请中的可信芯片)；

步骤6，可信芯片声纹特征及数据密钥管理子系统收到声纹特征密文信息(即，本申请中的第二密钥获取请求)后，先用用户身份管理子系统私钥M_SK解密，获得 Msg明文后，与用户注册时存储的声纹特征信息做比对，如果比对通过，则继续第(7) 步，否则停止；

步骤7，可信芯片声纹特征系统用用户平台身份公钥(即，本申请中的用户终端的公钥)加密其数据密钥回传给用户终端，即回传的信息为{Data_Key}U_pk(即，本申请中的密钥响应信息)；

步骤8，用户终端收到信息后，用其平台身份私钥U_SK(即，本申请中的用户终端的私钥)解密，获得数据密钥Data_Key后，就可利用数据密钥Data_Key对敏感数据进行加密操作，或用Data_Key对敏感数据密文进行解密操作。

场景二：

假设可信芯片为用户UID(即，本实施例中的身份信息标识)已创建其平台身份公私钥对UPK和USK(即，本申请中的用户终端的公钥和私钥)、数据密钥Data_Key；用户从第三方那获得可信证书Cert_U；用户身份管理子系统公钥为I_PK,私钥为I_SK；声纹特征和数目密钥管理子系统公钥为M_PK,私钥为M_SK(即，本申请中的可信芯片的公钥和私钥)；其用户的声纹特征及数据密钥安全保存在可信芯片中，现用户欲获取可信芯片中数据密钥使用权限，声纹特征及数据密钥管理子系统在可信芯片内部对用户敏感数据Data进行加密或解密后返回给用户，且交互过程中能实现双向身份认证，图10是根据本发明实施例中的另一种数据密钥的保护方法中的用户身份管理子系统服务器、可信芯片和用户终端的交互示意图，该流程如图10所示：

步骤1，用户终端向用户身份管理子系统服务器提交{Cert_U，U_ID,key_ID}I_PK(即，本申请中的第一密钥获取请求)，其中I_PK是用户身份管理子系统公钥，Cert_U是用户从第三方那获得的可信证书；keyID表示用户数据密钥句柄(即，本申请中的密钥句柄)，{Cert_U，UID,keyID}I_PK，表示用用户身份管理子系统的公钥对用户标识 UID，用户数据密钥句柄标识keyID，及用户Cert_U进行加密；

步骤2，用户身份管理子系统服务器接收到信息(即，本申请中的第一密钥获取请求)后，首先验证可信证书的合法性，不合法则流程终止，否则响应用户终端请求，反馈信息{Cert_I，请回传一段语音}(即，本申请中的待验证语音信息)，即反馈的信息包含了自己证书(即，本申请中的用户身份管理子系统证书)，并要求用户终端回传语音(即，本申请中的用户语音)；

步骤3，用户终端接到信息(即，本申请中的待验证语音信息)后，验证用户身份管理子系统证书的合法性，不合法则终止，否则产生一随机数N1，借助语音通信装置(即，本申请中的语音装置)，回传一段语音信息Sound，要加密的原数据Data，或要解密的数据密文cipher，并用用户身份管理子系统公钥加密，即传输的信息为 {Sound,N1,Data/cipher}I_pk，其中(“/”表示数据明文，或者数据密文，或者这两者均有)(即，本申请中的待加密或解密数据)；其中，N1是为了后续用其来验证回传数据的完整性。

步骤5，用户身份管理子系统服务器用可信芯片声纹特征及数据密钥管理子系统公钥M_PK(即，本申请中可信芯片的公钥)加密声纹特征信息msg(即，本申请中的第二密钥获取请求)，随机数N1，Data/Cipher，用户UID，用户数据密钥句柄keyID 得到{N1,Msg,Data/Cipher,UID,keyID}M_PK，并将{Msg,UID,keyID}M_PK回传给可信芯片声纹特征及数据密钥管理子系统；

步骤6，可信芯片声纹特征及数据密钥管理子系统收到信息后，做如下工作：

a、先用其私钥M_SK(即，本申请中可信芯片的私钥)解密；

b、将解密后获得的Msg信息，将该信息与用户注册时存储的声纹特征信息做比对，如果比对通过，则继续第(c)步，否则停止；

c、依据解密后的UID,keyID找到相应的数据密钥Data_Key；

d、用数据密钥Data_Key对解密后的信息Data/Cipher进行加密或者解密，获得信息Cipher/Data(即，本实施例中的运算结果)；

步骤7，可信芯片声纹特征系统用用户平台身份公钥加密其数据明文或其密文，同时将明文或密文与随机数进行哈希运算，再将这些信息回传给用户终端，即回传的信息为{hash(cipher/Data,N1),{cipher/Data}U_pk}(即，本申请中的密钥响应信息)；

步骤8，用户终端收到信息后，用其平台身份私钥U_SK(即，用户终端的私钥) 解密，获得信息cipher/Data，再利用本地储备好的N1对其进行哈希运算，合法则说明其传输的数据完整的。

本实施例提出一种数据密钥的保护方法，即利用声纹特征作为获取使用数据密钥权限的凭证，不需要额外保护口令的设备，避免了口令失忆，致使数据密钥无法使用的风险。

需要说明的是，本申请实施例提供的数据密钥的保护方法中，可信芯片的位置至少包括以下两种：内嵌于用户终端或内嵌于服务器中，其中，可信芯片可以与用户身份管理子系统位于同一服务器；对应上述两种实现方式，在可信芯片位于不同设备位置处，在实现上述方式一和方式二中区别仅在于，在可信芯片内嵌于用户终端的情况下，用户终端在向用户身份管理子系统服务器上传用户语音之后，用户身份管理子系统服务器返回该用户语音的声纹特征，在用户终端中可信芯片依据该声纹特征提前预存声纹特征，在匹配成功的情况下提取数据密钥；

在可信芯片内嵌于服务的情况下，可信芯片可认为与用户身份管理子系统服务器位于同一服务器，用户终端在发出第一密钥获取请求后，用户身份管理子系统服务器与用户终端交互，获取用户终端上传的用户语音，并通过提取该用户语音的声纹特征，将该声纹特征以第二密钥获取请求的形式发送至位于同一服务器的可信芯片，由可信芯片对该声纹特征进行验证，并在验证成功后提取该声纹特征对应的数据密钥，并将该数据密钥返回用户终端，或，依据用户终端在发送第一密钥获取请求时携带的需要加/解密的数据，可信芯片依据数据密钥对该加/解密的数据执行对应的加/解密操作。具体实现方式见实施例1，或上述实现方式的方式一和方式二。

实施例5

本申请提供了如图11a所示的数据密钥的保护方法。在用户终端侧，图11a是根据本发明实施例五的数据密钥的保护方法的流程图。

步骤S1101，获取用户登录信息，并触发密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；

步骤S1102，依据密钥获取请求获取对应待验证语音信息；

步骤S1103，接收用户依据待验证语音信息录入的用户语音；

步骤S1104，依据用户语音提取用户的声纹特征；

步骤S1105，通过可信芯片将声纹特征与预存声纹特征进行比对；

步骤S1106，若声纹特征与预存声纹特征匹配，则通过可信芯片提取与声纹特征对应的数据密钥；

步骤S1107，依据数据密钥执行对应操作。

综上，结合步骤S1101至步骤S1107，区别于实施例4中的用户终端，在本实施例中用户终端内嵌可信芯片，并集成了用户身份管理子系统服务器提供待验证语音信息以及声纹特征提取的功能，强化了用户终端的数据处理功能，并且，由于所有的数据处理依据密钥提取均在用户终端侧完成，从而在信息安全中保障了用户私人信息不会通过用户终端泄露至外界，保障了用户的信息安全。如图11b所示，图11b是根据本发明实施例五的数据密钥的保护方法中用户终端内嵌可信芯片的示意图。

在本发明实施例中，通过获取用户登录信息，并触发密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；依据密钥获取请求获取对应待验证语音信息；接收用户依据待验证语音信息录入的用户语音；依据用户语音提取用户的声纹特征；通过可信芯片将声纹特征与预存声纹特征进行比对；若声纹特征与预存声纹特征匹配，则通过可信芯片提取与声纹特征对应的数据密钥；依据数据密钥执行对应操作。达到了密钥的安全获取的目的，从而实现了安全获取密钥的技术效果，进而解决了由于现有技术中存在的密钥容易泄密的技术问题。

实施例6

根据本发明实施例，还提供了一种用于实施上述数据密钥的保护方法的装置，在用户身份管理子系统服务器侧，如图12所示，该装置包括：

图12是根据本发明实施例六的数据密钥的保护装置的结构示意图。

如图12所示，该数据密钥的保护装置可以包括：第一接收模块1201、第一发送模块1202、第二接收模块1203、请求生成模块1204和第二发送模块1205。

其中，第一接收模块1201，用于接收用户终端发送的第一密钥获取请求，其中，第一密钥获取请求包括用户的身份验证信息；第一发送模块1202，用于依据第一密钥获取请求向用户终端返回待验证语音信息；第二接收模块1203，用于接收用户终端依据待验证语音信息上传的用户语音；请求生成模块1204，用于提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求；第二发送模块1205，用于将第二密钥获取请求发送至可信芯片。

此处需要说明的是，上述第一接收模块1201、第一发送模块1202、第二接收模块1203、请求生成模块1204和第二发送模块1205对应于实施例一中的步骤S402至步骤 S410，五个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的用户身份管理子系统服务器中，可以通过软件实现，也可以通过硬件实现。

实施例7

根据本发明实施例，还提供了一种用于实施上述数据密钥的保护方法的装置，在可信芯片侧，如图13所示，该装置包括：

图13是根据本发明实施例七的数据密钥的保护装置的结构示意图。

如图13所示，该数据密钥的保护装置可以包括：第三接收模块1302、解析模块1304和第三发送模块1306。

其中，第三接收模块1302，用于接收密钥获取请求，其中，密钥获取请求包括：声纹特征；解析模块1304，用于解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比；第三发送模块1306，用于若密钥获取请求中的声纹特征与预存声纹特征匹配，则向用户终端返回密钥响应信息。

在本发明实施例中，通过可信芯片接收用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括：声纹特征；可信芯片解析密钥获取请求，并将密钥获取请求中的声纹特征与预存声纹特征进行对比；若密钥获取请求中的声纹特征与预存声纹特征匹配，则可信芯片向用户终端返回密钥响应信息，达到了密钥的安全获取的目的，从而实现了安全获取密钥的技术效果，进而解决了由于现有技术中存在的密钥容易泄密的技术问题。

此处需要说明的是，上述第三接收模块1302、解析模块1304和第三发送模块1306对应于实施例一中的步骤S502至步骤S506，三个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例二所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例二提供的可信芯片中，可以通过软件实现，也可以通过硬件实现。

实施例8

根据本发明实施例，还提供了一种用于实施上述数据密钥的保护方法的装置，在用户终端侧，如图14所示，该装置包括：

图14是根据本发明实施例八的数据密钥的保护装置的结构示意图。

如图14所示，该数据密钥的保护装置可以包括：第四发送模块1402、第四接收模块1404、第五发送模块1406和第五接收模块1408。

其中，第四发送模块1402，用于向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；第四接收模块1404，用于接收用户身份管理子系统服务器返回的待验证语音信息；第五发送模块1406，用于向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；第五接收模块1408，用于接收可信芯片返回的密钥响应信息，其中，密钥响应信息对应向用户身份管理子系统服务器上传的用户语音。

此处需要说明的是，上述第四发送模块1402、第四接收模块1404、第五发送模块1406和第五接收模块1408对应于实施例三中的步骤S702至步骤S708，四个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例三所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例三提供的用户终端中，可以通过软件实现，也可以通过硬件实现。

实施例9

根据本发明实施例，还提供了一种用于实施上述数据密钥的保护方法的装置，在用户终端侧，如图15所示，该装置包括：

图15是根据本发明实施例九的数据密钥的保护装置的结构示意图。

如图15所示，该数据密钥的保护装置可以包括：第六发送模块1502、第六接收模块1504、第七发送模块1506、第七接收模块1508、特征对比模块1510、密钥提取模块1512和数据保护模块1514 。

其中，第六发送模块1502，用于向用户身份管理子系统服务器发送的密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；第六接收模块1504，用于接收用户身份管理子系统服务器返回的待验证语音信息；第七发送模块1506，用于向用户身份管理子系统服务器上传用户语音，其中，用户语音对应待验证语音信息；第七接收模块1508，用于接收用户身份管理子系统服务器从用户语音提取的声纹特征；特征对比模块1510，用于将声纹特征与预存声纹特征进行比对；密钥提取模块1512，用于若声纹特征与预存声纹特征匹配，则用户终端中的可信芯片提取与声纹特征对应的数据密钥；数据保护模块1514 ，用于依据数据密钥执行对应操作。

此处需要说明的是，上述第六发送模块1502、第六接收模块1504、第七发送模块1506、第七接收模块1508、特征对比模块1510、密钥提取模块1512和数据保护模块1514 对应于实施例四中的步骤S802至步骤S814 ，七个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例四所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例四提供的用户终端中，可以通过软件实现，也可以通过硬件实现。

实施例10

根据本发明实施例，还提供了一种用于实施上述数据密钥的保护方法的装置，在用户终端侧，如图16所示，该装置包括：

图16是根据本发明实施例十的数据密钥的保护装置的结构示意图。

如图16所示，该数据密钥的保护装置可以包括：信息获取模块1601、待验证信息获取模块1602、接收模块1603、提取模块1604、特征比对模块1605、密钥提取模块1606和数据保护模块1607。

其中，信息获取模块1601，用于获取用户登录信息，并触发密钥获取请求，其中，密钥获取请求包括用户的身份验证信息；待验证信息获取模块1602，用于依据密钥获取请求获取对应待验证语音信息；接收模块1603，用于接收用户依据待验证语音信息录入的用户语音；提取模块1604，用于依据用户语音提取用户的声纹特征；特征比对模块1605，用于通过可信芯片将声纹特征与预存声纹特征进行比对；密钥提取模块 1606，用于若声纹特征与预存声纹特征匹配，则通过可信芯片提取与声纹特征对应的数据密钥；数据保护模块1607，用于依据数据密钥执行对应操作。

此处需要说明的是，上述信息获取模块1601、待验证信息获取模块1602、接收模块1603、提取模块1604、特征比对模块1605、密钥提取模块1606和数据保护模块1607 对应于实施例五中的步骤S1101至步骤S1107，七个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例五所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例五提供的用户终端中，可以通过软件实现，也可以通过硬件实现。

实施例11

根据本发明实施例，还提供了一种数据密钥的保护系统，如图17所示，该数据密钥的保护系统包括：

图17是根据本发明实施例十一的数据密钥的保护系统的结构示意图。

如图17所示，该数据密钥的保护系统可以包括：用户声纹身份管理子系统171 和可信芯片管理子系统172。

其中，用户声纹身份管理子系统171，用于获取每个用户身份信息和声纹特征；可信芯片管理子系统172，用于依据每个用户身份信息和声纹特征生成对应的密钥。

其中，本申请实施例提供的数据密钥的保护系统中的用户声纹身份管理子系统171可以为实施例1和实施4中提到的用户身份管理子系统服务器；可信芯片管理子系统172可以为实施例2和实施5中提到的可信芯片。

具体的，图18是根据本发明实施例十一的一种数据密钥的保护系统的结构示意图，如图18所示，其中，图18中可信芯片中声纹特征及数据密钥管理子系统(即，本申请中的可信芯片管理子系统172)，本申请实施例提供的数据密钥的保护系统具体如下：

可选的，用户声纹身份管理子系统171包括：用户身份注册模块1711、声纹身份注册模块1712、声纹特征模型建立模块1713和声纹特征提取模块1714，其中，用户身份注册模块1711，用于接收用户终端提交的用户身份信息，并依据用户身份信息生成身份信息标识，将身份信息标识返回用户终端；声纹身份注册模块1712，用于接收用户终端提交的声纹注册请求，向用户终端返回声纹响应信息，并接收用户终端依据声纹响应信息上传的用户语音；其中，声纹响应信息包括待验证的文本信息，文本信息用于指示用户终端收录用户语音；声纹特征提取模块1714，用于提取用户语音的声纹特征；声纹特征模型建立模块1713，用于依据声纹特征建立声纹特征模型。

进一步地，可选的，可信芯片管理子系统172包括：用户信息导入模块1721、声纹特征存储模块1722、用户数据密钥创建模块1723、用户数据密钥存储模块1724、声纹特征比对模块1725和数据密钥使用模块1726，其中，用户信息导入模块1721，用于在用户信息包括身份信息标识和声纹特征的情况下，将身份信息标识和声纹特征导入可信芯片；声纹特征存储模块1722，用于依据可信存储根密钥对声纹特征进行加密，并存储加密后的声纹特征；用户数据密钥创建模块1723，用于依据预设加密算法和身份信息标识，生成数据密钥，并将数据密钥的密钥句柄返回用户终端；用户数据密钥存储模块1724，用于将数据密钥、身份信息标识和声纹特征进行映射，得到数据密钥、身份信息标识和声纹特征的映射关系，存储映射关系和数据密钥，其中，数据密钥为依据可信存储根密钥对数据密钥进行加密的密钥；声纹特征比对模块1725，用于在用户终端请求获取数据密钥时，提取用户终端上传的用户语音，通过提取用户语音的声纹特征，与用户数据密钥存储模块中映射关系中的声纹特征进行比对；数据密钥使用模块1726，用于在比对通过后，向用户终端反馈数据密钥，以使得用户终端依据数据密钥执行加密/解密操作。

综上，实施例1至5中提供的数据密钥的保护方法可以适用于本申请实施例提供的数据密钥的保护系统。

实施例12

根据本发明实施例的再一方面，还提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行上述实施例1至实施例5中的数据密钥的保护方法。

实施例13

根据本发明实施例的再一方面，还提供了一种处理器，处理器用于运行程序，其中，程序运行时执行上述实施例1至实施例5中的数据密钥的保护方法。

实施例14

根据本发明实施例的再一方面，还提供了一种计算设备，包括处理器、存储器，所述存储器上存储有程序，处理器用于运行程序，其中，程序运行时适于使所述处理器执行上述实施例1至实施例5中的数据密钥的保护方法。

实施例15

本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例一所提供的数据密钥的保护方法所执行的程序代码。

可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：用户身份管理子系统服务器接收用户终端发送的第一密钥获取请求，其中，第一密钥获取请求包括用户的身份验证信息；用户身份管理子系统服务器依据第一密钥获取请求向用户终端返回待验证语音信息；用户身份管理子系统服务器接收用户终端依据待验证语音信息上传的用户语音；用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求；用户身份管理子系统服务器将第二密钥获取请求发送至可信芯片。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：在身份验证信息包括身份信息标识和密钥句柄的情况下，用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求包括：用户身份管理子系统服务器提取用户语音中的声纹特征；用户身份管理子系统服务器通过可信芯片的公钥加密声纹特征、身份信息标识和密钥句柄，生成第二密钥获取请求。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：在身份验证信息包括可信证书、身份信息标识和密钥句柄的情况下，用户身份管理子系统服务器依据第一密钥获取请求向用户终端返回待验证语音信息包括：用户身份管理子系统服务器依据用户身份管理子系统私钥解密第一密钥获取请求，其中，第一密钥获取请求通过用户身份管理子系统公钥加密；用户身份管理子系统私钥与用户身份管理子系统公钥对应；用户身份管理子系统服务器解析解密后的第一密钥获取请求，获取第一密钥获取请求中的可信证书；用户身份管理子系统服务器判断可信证书是否满足预设验证条件；在判断结果为是的情况下，用户身份管理子系统服务器向用户终端返回待验证声音信息，其中，待验证声音信息包括：用户身份管理子系统证书和待验证语音。

进一步地，可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：用户身份管理子系统服务器提取用户语音的声纹特征，并依据声纹特征和身份验证信息生成第二密钥获取请求包括：用户身份管理子系统服务器依据用户身份管理子系统私钥解密用户语音，得到随机数、待加密或解密数据和待验证声音；用户身份管理子系统服务器提取待验证声音的声纹特征；用户身份管理子系统服务器通过可信芯片的公钥加密声纹特征、随机数、待加密或解密数据、身份信息标识和密钥句柄，生成第二密钥获取请求。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims

1.一种数据密钥的保护方法，其特征在于，包括：

用户身份管理子系统服务器接收用户终端发送的第一密钥获取请求，其中，所述第一密钥获取请求包括用户的身份验证信息；

所述用户身份管理子系统服务器依据所述第一密钥获取请求向所述用户终端返回待验证语音信息；

所述用户身份管理子系统服务器接收所述用户终端依据所述待验证语音信息上传的用户语音；

所述用户身份管理子系统服务器提取所述用户语音的声纹特征，并依据所述声纹特征和所述身份验证信息生成第二密钥获取请求；

所述用户身份管理子系统服务器将所述第二密钥获取请求发送至可信芯片;

在所述身份验证信息包括可信证书、身份信息标识和密钥句柄的情况下，所述用户身份管理子系统服务器依据所述第一密钥获取请求向所述用户终端返回待验证语音信息包括：所述用户身份管理子系统服务器依据用户身份管理子系统私钥解密所述第一密钥获取请求，其中，所述第一密钥获取请求通过用户身份管理子系统公钥加密；所述用户身份管理子系统私钥与所述用户身份管理子系统公钥对应；所述用户身份管理子系统服务器解析解密后的所述第一密钥获取请求，获取所述第一密钥获取请求中的所述可信证书；所述用户身份管理子系统服务器判断所述可信证书是否满足预设验证条件；在判断结果为是的情况下，所述用户身份管理子系统服务器向所述用户终端返回所述待验证语音信息，其中，所述待验证语音信息包括：用户身份管理子系统证书和待验证语音。

2.根据权利要求1所述的数据密钥的保护方法，其特征在于，在所述身份验证信息包括身份信息标识和密钥句柄的情况下，所述用户身份管理子系统服务器提取所述用户语音的声纹特征，并依据所述声纹特征和所述身份验证信息生成第二密钥获取请求包括：

所述用户身份管理子系统服务器提取所述用户语音中的声纹特征；

所述用户身份管理子系统服务器通过所述可信芯片的公钥加密所述声纹特征、所述身份信息标识和所述密钥句柄，生成第二密钥获取请求。

3.根据权利要求1所述的数据密钥的保护方法，其特征在于，所述用户身份管理子系统服务器提取所述用户语音的声纹特征，并依据所述声纹特征和所述身份验证信息生成第二密钥获取请求包括：

所述用户身份管理子系统服务器依据所述用户身份管理子系统私钥解密所述用户语音，得到随机数、待加密或解密数据和待验证声音；

所述用户身份管理子系统服务器提取所述待验证声音的声纹特征；

所述用户身份管理子系统服务器通过可信芯片的公钥加密所述声纹特征、所述随机数、所述待加密或解密数据、所述身份信息标识和所述密钥句柄，生成所述第二密钥获取请求。

4.一种数据密钥的保护方法，其特征在于，包括：

可信芯片接收密钥获取请求，其中，所述密钥获取请求包括：声纹特征；其中，所述可信芯片为通过内置独立处理器和存储器执行加密或解密计算的数据处理芯片；

所述可信芯片解析所述密钥获取请求，并将所述密钥获取请求中的所述声纹特征与预存声纹特征进行对比；

若所述密钥获取请求中的所述声纹特征与所述预存声纹特征匹配，则所述可信芯片向用户终端返回密钥响应信息;

所述若所述密钥获取请求中的所述声纹特征与所述预存声纹特征匹配，则所述可信芯片向用户终端返回密钥响应信息包括：若所述密钥获取请求中的所述声纹特征与所述预存声纹特征匹配，则所述可信芯片依据所述声纹特征提取对应的数据密钥；所述可信芯片依据所述数据密钥对待加密或解密数据进行加密或解密，得到加密信息或解密信息；所述可信芯片将随机数与所述加密信息或解密信息进行预设计算，得到运算结果；所述可信芯片通过所述用户终端的公钥加密所述运算结果，生成所述密钥响应信息；所述可信芯片将所述密钥响应信息返回所述用户终端。

5.根据权利要求4所述的数据密钥的保护方法，其特征在于，在所述密钥获取请求包括所述声纹特征、身份信息标识和密钥句柄的情况下，所述可信芯片解析所述密钥获取请求，并将所述密钥获取请求中的所述声纹特征与预存声纹特征进行对比包括：

所述可信芯片通过可信芯片的私钥解密所述密钥获取请求，提取所述声纹特征，其中，所述密钥获取请求通过所述可信芯片的公钥加密；所述可信芯片的公钥与可信芯片的私钥对应；

所述可信芯片将所述声纹特征与预存声纹特征进行对比，判断所述声纹特征是否与所述预存声纹特征相同。

6.根据权利要求5所述的数据密钥的保护方法，其特征在于，所述若所述密钥获取请求中的所述声纹特征与所述预存声纹特征匹配，则所述可信芯片向用户终端返回密钥响应信息包括：

若所述密钥获取请求中的所述声纹特征与所述预存声纹特征匹配，则所述可信芯片依据所述声纹特征提取对应的数据密钥；

所述可信芯片通过所述用户终端的公钥加密所述数据密钥，生成所述密钥响应信息；

所述可信芯片将所述密钥响应信息返回所述用户终端。

7.根据权利要求4所述的数据密钥的保护方法，其特征在于，在所述密钥获取请求包括所述声纹特征、随机数、待加密或解密数据、身份信息标识和密钥句柄的情况下，所述可信芯片解析所述密钥获取请求，并将所述密钥获取请求中的所述声纹特征与预存声纹特征进行对比包括：

所述可信芯片通过可信芯片的私钥解密所述密钥获取请求，得到所述声纹特征，其中，所述密钥获取请求通过所述可信芯片的公钥加密；所述可信芯片的公钥与可信芯片的私钥对应；

8.一种数据密钥的保护方法，其特征在于，包括：

用户终端向用户身份管理子系统服务器发送的密钥获取请求，其中，所述密钥获取请求包括用户的身份验证信息；

所述用户终端接收所述用户身份管理子系统服务器返回的待验证语音信息；

所述用户终端向所述用户身份管理子系统服务器上传用户语音，其中，所述用户语音对应所述待验证语音信息；

所述用户终端接收可信芯片返回的密钥响应信息，其中，所述密钥响应信息对应向所述用户身份管理子系统服务器上传的用户语音;

在所述用户终端接收所述用户身份管理子系统服务器返回的待验证语音信息之后，所述方法还包括：所述用户终端解析待验证语音信息，得到用户身份管理子系统证书和待验证语音；所述用户终端判断所述用户身份管理子系统证书是否满足预设验证条件；在判断结果为是的情况下，所述用户终端接收用户朗读的所述待验证语音的声音信号；所述用户终端将随机数、所述声音信号和待加密或解密数据通过所述用户身份管理子系统公钥进行加密，得到所述用户语音；所述用户终端向所述用户身份管理子系统服务器上传所述用户语音。

9.根据权利要求8所述的数据密钥的保护方法，其特征在于，在所述身份验证信息包括身份信息标识和密钥句柄的情况下，所述用户终端向用户身份管理子系统服务器发送的密钥获取请求包括：

所述用户终端依据所述身份信息标识和所述密钥句柄生成所述密钥获取请求；

所述用户终端将所述密钥获取请求发送至所述用户身份管理子系统服务器。

10.根据权利要求9所述的数据密钥的保护方法，其特征在于，在所述用户终端接收可信芯片返回的密钥响应信息之后，所述方法还包括：

所述用户终端依据用户终端的私钥解密所述密钥响应信息，获取所述密钥响应信息携带的数据密钥，其中，所述密钥响应信息通过用户终端的公钥加密，所述用户终端的公钥与所述用户终端的私钥对应；

所述用户终端依据所述数据密钥对待加密或待解密数据进行加密或解密，得到加密数据信息或解密信息。

11.根据权利要求8所述的数据密钥的保护方法，其特征在于，在所述身份验证信息包括可信证书、身份信息标识和密钥句柄的情况下，所述用户终端向用户身份管理子系统服务器发送的第一密钥获取请求包括：

所述用户终端通过用户身份管理子系统公钥对所述可信证书、所述身份信息标识和所述密钥句柄进行加密，生成所述密钥获取请求；

12.根据权利要求8所述的数据密钥的保护方法，其特征在于，在所述用户终端接收可信芯片返回的密钥响应信息之后，所述方法还包括：

所述用户终端通过用户终端的私钥解密所述密钥响应信息，得到所述密钥响应信息中的运算结果；

所述用户终端依据所述随机数结合预设算法校验所述运算结果，判断所述运算结果是否满足预设校验标准；

在判断结果为是的情况下，所述用户终端使用所述运算结果。

13.一种数据密钥的保护方法，其特征在于，包括：

所述用户终端接收所述用户身份管理子系统服务器从所述用户语音提取的声纹特征；

所述用户终端中的可信芯片将所述声纹特征与预存声纹特征进行比对；

若所述声纹特征与所述预存声纹特征匹配，则所述用户终端中的可信芯片提取与所述声纹特征对应的数据密钥；

所述用户终端依据所述数据密钥执行对应操作;

在所述用户终端向用户身份管理子系统服务器发送的密钥获取请求之前，所述方法还包括：

所述用户终端中的可信芯片导入预先获取的身份信息标识和声纹特征；

所述用户终端中的可信芯片依据可信存储根密钥对所述声纹特征进行加密，并存储加密后的所述声纹特征；

所述用户终端中的可信芯片依据预设加密算法和所述身份信息标识，生成数据密钥，并将所述数据密钥的密钥句柄返回所述用户终端；

所述用户终端中的可信芯片将所述数据密钥、所述身份信息标识和所述声纹特征进行映射，得到所述数据密钥、所述身份信息标识和所述声纹特征的映射关系，并存储所述映射关系和所述数据密钥。

14.一种数据密钥的保护方法，其特征在于，包括：

获取用户登录信息，并触发密钥获取请求，其中，所述密钥获取请求包括用户的身份验证信息；

依据所述密钥获取请求获取对应待验证语音信息；

接收所述用户依据所述待验证语音信息录入的用户语音；

依据所述用户语音提取所述用户的声纹特征；

通过可信芯片将所述声纹特征与预存声纹特征进行比对；

若所述声纹特征与所述预存声纹特征匹配，则通过所述可信芯片提取与所述声纹特征对应的数据密钥；

依据所述数据密钥执行对应操作;

在所述身份验证信息包括可信证书、身份信息标识和密钥句柄的情况下，依据所述密钥获取请求获取对应待验证语音信息包括：依据用户身份管理子系统私钥解密所述密钥获取请求，其中，所述密钥获取请求通过用户身份管理子系统公钥加密；所述用户身份管理子系统私钥与所述用户身份管理子系统公钥对应；解析解密后的所述密钥获取请求，获取所述密钥获取请求中的所述可信证书；判断所述可信证书是否满足预设验证条件；在判断结果为是的情况下，获取所述待验证语音信息，其中，所述待验证语音信息包括：用户身份管理子系统证书和待验证语音。

15.一种数据密钥的保护装置，其特征在于，包括：

第一接收模块，用于接收用户终端发送的第一密钥获取请求，其中，所述第一密钥获取请求包括用户的身份验证信息；

第一发送模块，用于依据所述第一密钥获取请求向所述用户终端返回待验证语音信息；

第二接收模块，用于接收所述用户终端依据所述待验证语音信息上传的用户语音；

请求生成模块，用于提取所述用户语音的声纹特征，并依据所述声纹特征和所述身份验证信息生成第二密钥获取请求；

第二发送模块，用于将所述第二密钥获取请求发送至可信芯片;

在所述身份验证信息包括可信证书、身份信息标识和密钥句柄的情况下，依据所述第一密钥获取请求向所述用户终端返回待验证语音信息包括：依据用户身份管理子系统私钥解密所述第一密钥获取请求，其中，所述第一密钥获取请求通过用户身份管理子系统公钥加密；所述用户身份管理子系统私钥与所述用户身份管理子系统公钥对应；解析解密后的所述第一密钥获取请求，获取所述第一密钥获取请求中的所述可信证书；判断所述可信证书是否满足预设验证条件；在判断结果为是的情况下，向所述用户终端返回所述待验证语音信息，其中，所述待验证语音信息包括：用户身份管理子系统证书和待验证语音。

16.一种数据密钥的保护装置，其特征在于，包括：

第三接收模块，用于接收密钥获取请求，其中，所述密钥获取请求包括：声纹特征；

解析模块，用于解析所述密钥获取请求，并将所述密钥获取请求中的所述声纹特征与预存声纹特征进行对比；

第三发送模块，用于若所述密钥获取请求中的所述声纹特征与所述预存声纹特征匹配，则向用户终端返回密钥响应信息;

所述若所述密钥获取请求中的所述声纹特征与所述预存声纹特征匹配，则向用户终端返回密钥响应信息包括：若所述密钥获取请求中的所述声纹特征与所述预存声纹特征匹配，则依据所述声纹特征提取对应的数据密钥；依据所述数据密钥对待加密或解密数据进行加密或解密，得到加密信息或解密信息；将随机数与所述加密信息或解密信息进行预设计算，得到运算结果；通过所述用户终端的公钥加密所述运算结果，生成所述密钥响应信息；将所述密钥响应信息返回所述用户终端。

17.一种数据密钥的保护装置，其特征在于，包括：

第四发送模块，用于向用户身份管理子系统服务器发送的密钥获取请求，其中，所述密钥获取请求包括用户的身份验证信息；

第四接收模块，用于接收所述用户身份管理子系统服务器返回的待验证语音信息；

第五发送模块，用于向所述用户身份管理子系统服务器上传用户语音，其中，所述用户语音对应所述待验证语音信息；

第五接收模块，用于接收可信芯片返回的密钥响应信息，其中，所述密钥响应信息对应向所述用户身份管理子系统服务器上传的用户语音;

在接收所述用户身份管理子系统服务器返回的待验证语音信息之后，解析待验证语音信息，得到用户身份管理子系统证书和待验证语音；判断所述用户身份管理子系统证书是否满足预设验证条件；在判断结果为是的情况下，接收用户朗读的所述待验证语音的声音信号；将随机数、所述声音信号和待加密或解密数据通过所述用户身份管理子系统公钥进行加密，得到所述用户语音；向所述用户身份管理子系统服务器上传所述用户语音。

18.一种数据密钥的保护装置，其特征在于，包括：

第六发送模块，用于向用户身份管理子系统服务器发送的密钥获取请求，其中，所述密钥获取请求包括用户的身份验证信息；

第六接收模块，用于接收所述用户身份管理子系统服务器返回的待验证语音信息；

第七发送模块，用于向所述用户身份管理子系统服务器上传用户语音，其中，所述用户语音对应所述待验证语音信息；

第七接收模块，用于接收所述用户身份管理子系统服务器从所述用户语音提取的声纹特征；

特征对比模块，用于将所述声纹特征与预存声纹特征进行比对；

密钥提取模块，用于若所述声纹特征与所述预存声纹特征匹配，则用户终端中的可信芯片提取与所述声纹特征对应的数据密钥；

数据保护模块，用于依据所述数据密钥执行对应操作;

在向用户身份管理子系统服务器发送的密钥获取请求之前，用户终端中的可信芯片导入预先获取的身份信息标识和声纹特征；所述用户终端中的可信芯片依据可信存储根密钥对所述声纹特征进行加密，并存储加密后的所述声纹特征；所述用户终端中的可信芯片依据预设加密算法和所述身份信息标识，生成数据密钥，并将所述数据密钥的密钥句柄返回所述用户终端；所述用户终端中的可信芯片将所述数据密钥、所述身份信息标识和所述声纹特征进行映射，得到所述数据密钥、所述身份信息标识和所述声纹特征的映射关系，并存储所述映射关系和所述数据密钥。

19.一种数据密钥的保护装置，其特征在于，包括：

信息获取模块，用于获取用户登录信息，并触发密钥获取请求，其中，所述密钥获取请求包括用户的身份验证信息；

待验证信息获取模块，用于依据所述密钥获取请求获取对应待验证语音信息；

接收模块，用于接收所述用户依据所述待验证语音信息录入的用户语音；

提取模块，用于依据所述用户语音提取所述用户的声纹特征；

特征比对模块，用于通过可信芯片将所述声纹特征与预存声纹特征进行比对；

密钥提取模块，用于若所述声纹特征与所述预存声纹特征匹配，则通过所述可信芯片提取与所述声纹特征对应的数据密钥；

数据保护模块，用于依据所述数据密钥执行对应操作;

20.一种数据密钥的保护系统，其特征在于，包括：用户声纹身份管理子系统和可信芯片管理子系统，其中，

所述用户声纹身份管理子系统，用于获取每个用户身份信息和声纹特征；

所述可信芯片管理子系统，用于依据所述每个用户身份信息和所述声纹特征生成对应的密钥;

所述用户声纹身份管理子系统包括：用户身份注册模块、声纹身份注册模块、声纹特征模型建立模块和声纹特征提取模块，其中，

所述用户身份注册模块，用于接收用户终端提交的用户身份信息，并依据所述用户身份信息生成身份信息标识，将所述身份信息标识返回所述用户终端；

所述声纹身份注册模块，用于接收所述用户终端提交的声纹注册请求，向所述用户终端返回声纹响应信息，并接收所述用户终端依据所述声纹响应信息上传的用户语音；其中，所述声纹响应信息包括待验证的文本信息，所述文本信息用于指示所述用户终端收录所述用户语音；

所述声纹特征提取模块，用于提取所述用户语音的声纹特征；

所述声纹特征模型建立模块，用于依据所述声纹特征建立声纹特征模型。

21.根据权利要求20所述的数据密钥的保护系统，其特征在于，所述可信芯片管理子系统包括：用户信息导入模块、声纹特征存储模块、用户数据密钥创建模块、用户数据密钥存储模块、声纹特征比对模块和数据密钥使用模块，其中，

所述用户信息导入模块，用于在用户信息包括所述身份信息标识和所述声纹特征的情况下，将所述身份信息标识和所述声纹特征导入可信芯片；

所述声纹特征存储模块，用于依据可信存储根密钥对所述声纹特征进行加密，并存储加密后的所述声纹特征；

所述用户数据密钥创建模块，用于依据预设加密算法和所述身份信息标识，生成数据密钥，并将所述数据密钥的密钥句柄返回所述用户终端；

所述用户数据密钥存储模块，用于将所述数据密钥、所述身份信息标识和所述声纹特征进行映射，得到所述数据密钥、所述身份信息标识和所述声纹特征的映射关系，存储所述映射关系和所述数据密钥；

所述声纹特征比对模块，用于在所述用户终端请求获取所述数据密钥时，提取所述用户终端上传的用户语音，通过提取所述用户语音的声纹特征，与所述用户数据密钥存储模块中所述映射关系中的声纹特征进行比对；

所述数据密钥使用模块，用于在比对通过后，向所述用户终端反馈所述数据密钥，以使得所述用户终端依据所述数据密钥执行加密/解密操作。

22.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行权利要求1至14中任意一项所述的数据密钥的保护方法。

23.一种计算设备，其特征在于，包括处理器、存储器，所述存储器上存储有程序，所述处理器用于运行程序，其中，所述程序运行时适于使所述处理器执行权利要求1至14中任意一项所述的数据密钥的保护方法。