数据处理和密钥管理方法、数据处理装置和密钥管理设备

技术领域

本公开实施例涉及信息安全技术领域，更具体地，涉及一种数据处理方法、一种数据处理装置、一种密钥管理方法及一种密钥管理设备。

背景技术

随着信息化程度的不断提高，数据的安全性越来越受到人们的关注。在大型信息系统中，在涉及客户安全数据或者一些商业性敏感数据的情况下，需要对客户安全数据或敏感数据进行加密存储，使用时再进行解密。

传统技术中，各业务系统会编写各自的加解密服务，或使用统一加密的工具类，来保证数据的安全性。但是，对于业务系统繁多的公司而言，将密钥保存在各个业务系统中，存在较大的数据泄露风险。

发明内容

本公开实施例的一个目的是提供一种提高数据安全性的新的技术方案。

根据本公开的第一方面，提供了一种数据处理方法，该方法包括：

获取业务系统提供的业务数据、所述业务系统的标识、所述业务系统的至少一组密钥组中的公钥、及所述至少一组密钥组对应的版本号；其中，所述业务数据为待加密数据或者待解密数据；

通过所述公钥对所述版本号进行加密，得到第一加密数据；

向密钥管理设备发送携带所述第一加密数据和所述标识的密钥请求；

接收所述密钥管理设备根据所述密钥请求返回的响应信息；

在所述响应信息为数据处理密钥的情况下，通过所述数据处理密钥对所述业务数据进行对应的处理；其中，所述数据处理密钥由所述密钥管理设备在根据所述密钥请求进行安全验证成功的情况下返回，所述数据处理密钥从对应所述标识的登记信息中得到，所述安全验证成功表示通过所述登记信息中的私钥对所述第一加密数据进行解密得到的版本号与登记信息中的版本号一致。

可选地，所述获取业务系统提供的业务数据、所述业务系统的标识、所述业务系统的至少一组密钥组中的公钥、及所述至少一组密钥组对应的版本号之前，所述方法还包括：

获取业务系统的标识；

根据所述业务系统的标识，创建所述业务系统的至少一组密钥组及对应所述至少一组密钥组的版本号；其中，所述密钥组包括数据处理密钥及验证密钥对，所述验证密钥对包括公钥和私钥；

将所述业务系统的标识、所述业务系统的至少一组密钥组及对应所述至少一组密钥组的版本号发送至密钥管理设备进行登记，并将所述版本号及所述公钥配置于所述业务系统中。

可选地，所述方法还包括：

在所述响应信息为表示请求异常的异常信息的情况下，输出对应于所述异常信息的报警提示信息。

可选地，所述在所述响应信息为数据处理密钥的情况下，通过所述数据处理密钥对所述业务数据进行对应的处理，包括：

在所述业务数据为待加密数据的情况下，通过所述数据处理密钥对所述业务数据进行加密，得到第二加密数据，并将所述第二加密数据发送至数据库进行存储；

在所述业务数据为待解密数据的情况下，通过所述数据处理密钥对所述业务数据进行解密，得到第一解密数据。

可选地，所述通过所述数据处理密钥对所述业务数据进行加密，得到第二加密数据，包括：

通过所述数据处理密钥对所述业务数据进行加密，得到所述业务数据对应的加密字符串；

将所述业务数据对应的加密字符串与业务系统密钥组对应的版本号进行拼接，得到第二加密数据。

根据本公开的第二方面，还提供了一种密钥管理方法，该方法包括：

接收数据处理装置发送的密钥请求；其中，所述密钥请求携带第一加密数据和业务系统的标识，所述第一加密数据为通过业务系统提供的至少一组密钥组中的公钥，加密业务系统提供的对应所述至少一组密钥组的版本号所得到的数据；

响应于所述密钥请求，获取所述标识对应的登记信息；

通过所述登记信息中的私钥对所述第一加密数据进行解密；

在解密得到的版本号与所述登记信息中的版本号一致的情况下，将所述登记信息中的数据处理密钥作为所述密钥请求的响应信息，返回至所述数据处理装置；其中，所述数据处理密钥供所述数据处理装置处理所述业务系统提供的业务数据，所述业务数据为待加密数据或者待解密数据。

可选地，所述接收数据处理装置发送的密钥请求之前，所述方法还包括：

接收所述数据处理装置发送的登记信息；其中，所述登记信息包括所述业务系统的标识、所述业务系统的至少一组密钥组及对应所述至少一组密钥组的版本号，所述密钥组包括数据处理密钥及验证密钥对，所述验证密钥对包括公钥和私钥，所述业务系统的标识由所述数据处理装置获取，所述至少一组密钥组及对应所述至少一组密钥组的版本号由所述数据处理装置根据所述业务系统的标识创建；

保存所述登记信息。

可选地，所述方法还包括：

在解密得到的版本号与所述登记信息中的版本号不一致的情况下，将表示请求异常的异常信息作为所述密钥请求的响应信息，返回至所述数据处理装置。

根据本公开的第三方面，还提供了一种数据处理装置，包括存储器和处理器，所述存储器用于存储计算机程序，所述处理器用于在所述计算机程序的控制下，执行如本公开第一方面所述的方法。

根据本公开的第四方面，还提供了一种密钥管理设备，包括存储器和处理器，所述存储器用于存储计算机程序，所述处理器用于在所述计算机程序的控制下，执行如本公开第二方面所述的方法。

本公开实施例的一个有益效果在于，在本公开的数据处理方法中，通过对业务系统的身份信息进行验证来获取数据处理密钥，进而利用数据处理密钥对业务系统提供的数据进行加解密处理，相较于现有技术，本公开的数据处理方法可有效提高数据安全性。同时，在本公开的数据处理方法中，通过创建业务系统的多个版本号，可实现数据处理密钥的不定期更换，进而有效降低数据泄露风险。

通过以下参照附图对本公开的示例性实施例的详细描述，本公开实施例的其它特征及其优点将会变得清楚。

附图说明

被结合在说明书中并构成说明书的一部分的附图示出了本公开的实施例，并且连同其说明一起用于解释本公开实施例的原理。

图1是能够应用根据一些实施例的数据处理的系统的组成结构示意图；

图2是根据一些实施例的数据处理方法的流程示意图；

图3是根据一些实施例的数据处理装置的结构示意图；

图4是根据一些实施例的密钥管理方法的流程示意图；

图5是根据一些实施例的密钥管理设备的结构示意图；

图6是根据一些实施例的数据处理方法的交互流程示意图。

具体实施方式

现在将参照附图来详细描述本公开的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。

在这里示出和讨论的所有例子中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它例子可以具有不同的值。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

<硬件配置>

图1是能够应用根据一些实施例的数据处理的系统的组成结构示意图。如图1所示，该系统1000包括数据处理装置1100、密钥管理设备1200以及网络1300，该系统可以应用于数据处理场景。

数据处理装置1100可以是便携式电脑、台式计算机、平板电脑等。如图1所示，数据处理装置1100可以包括处理器1110、存储器1120、接口装置1130、通信装置1140、显示装置1150、输入装置1160、扬声器1170、麦克风1180，等等。其中，处理器1110可以是中央处理器CPU、微处理器MCU等。存储器1120例如包括ROM(只读存储器)、RAM(随机存取存储器)、诸如硬盘的非易失性存储器等。接口装置1130例如包括USB接口、耳机接口等。通信装置1140例如能够进行有线或无线通信。显示装置1150例如是液晶显示屏、触摸显示屏等。输入装置1160例如可以包括触摸屏、键盘等。用户可以通过扬声器1170和麦克风1180输入/输出语音信息。

密钥管理设备1200例如可以是刀片代理服务器等。密钥管理设备1200可以如图1所示，包括处理器1210、存储器1220、接口装置1230、通信装置1240、显示装置1250、输入装置1260。其中，处理器1210例如可以是中央处理器CPU、微处理器MCU等。存储器1220例如包括ROM(只读存储器)、RAM(随机存取存储器)、诸如硬盘的非易失性存储器等。接口装置1230例如包括USB接口、串行接口等。通信装置1240例如能够进行有线或无线通信。显示装置1250例如是液晶显示屏。输入装置1260例如可以包括触摸屏、键盘等。

网络1300可以是无线网络也可以是有线网络，可以是局域网也可以是广域网。在图1所示的系统1000中，数据处理装置1100以及密钥管理设备1200可以通过网络1300进行通信。

图1所示的系统1000仅是解释性的，并且决不是为了要限制本发明、其应用或用途。

本领域技术人员应当理解，尽管在图1中对数据处理装置1100、密钥管理设备1200以及网络1300都示出了多个装置，但是，本发明可以仅涉及其中的部分装置，例如，数据处理装置1100只涉及处理器1110和存储器1120，或者密钥管理设备1200只涉及处理器1210和存储器1220等。技术人员可以根据本发明所公开方案设计指令。指令如何控制处理器进行操作，这是本领域公知，故在此不再详细描述。

本发明实施例的总体构思，是提供一种新的数据处理的技术方案，数据处理装置通过向密钥管理设备发送密钥请求，密钥管理设备根据密钥请求返回响应信息；数据处理装置根据接收的响应信息对业务数据进行对应的处理。相较于现有技术，本公开的数据处理方法可有效提高数据安全性。

<方法实施例一>

图2是根据一些实施例的数据处理方法的流程示意图。

如图2所示，本实施例的实施主体为数据处理装置，本实施例的数据处理方法可以包括如下步骤S2100～S2500：

步骤S2100，获取业务系统提供的业务数据、业务系统的标识、业务系统的至少一组密钥组中的公钥、及至少一组密钥组对应的版本号。

本实施例中，数据处理装置获取各业务系统的信息，以便于对业务系统的身份进行验证。同时，数据处理装置通过创建不同密钥组及不同密钥组对应的版本号，以便于通过更换业务系统的密钥组提高数据安全性。

业务系统是指企业达成定位所需要的业务环节、各合作伙伴扮演的角色以及利益相关者合作与交易的方式和内容。

在一些示例中，业务数据例如可以包括待加密数据和待解密数据中的至少一项。

待加密数据指的是需要被加密的数据。数据加密的基本过程就是对原来为明文的文件或数据按某种算法进行处理，使其成为不可读的一段代码，通常称为“密文”，使其只能在输入相应的密钥之后才能显示出本来内容，通过这样的途径来达到保护数据不被非法人窃取、阅读的目的。

在一些示例中，待加密数据例如可以是含有敏感信息的字段或文件。

待解密数据指的是需要被解密的数据。加密过程的逆过程为解密，即将编码信息转化为其原来数据的过程。

在一些示例中，待解密数据例如可以是含有密文的字段或文件。

密钥组指的是用于处理业务数据的密钥集合。密钥是一种参数，它是在明文转换为密文或将密文转换为明文的算法中输入的参数。密钥分为对称密钥与非对称密钥。对称密钥加密又叫专用密钥加密或共享密钥加密，即发送和接收数据的双方必使用相同的密钥对明文进行加密和解密运算。对称密钥加密算法主要包括：DES、3DES、IDEA、RC5、RC6等。非对称密钥加密系统，又称公钥密钥加密。它需要使用不同的密钥来分别完成加密和解密操作，一个公开发布，即公开密钥，另一个由用户自己秘密保存，即私用密钥。信息发送者用公开密钥去加密，而信息接收者则用私用密钥去解密。

在一些示例中，数据处理装置可以分批次创建多组密钥组及各密钥组对应的版本号。例如，数据处理装置根据业务系统的标识，一次创建一组密钥组及密钥组对应的版本号，利用该组密钥组中的数据处理密钥对业务数据进行处理，当需要对同一业务数据再次进行处理时，数据处理装置再次创建一组密钥组及密钥组对应的版本号，利用重新创建的密钥组中的数据处理密钥对业务数据进行处理，以此类推。

在一些示例中，数据处理装置可以一次创建多组密钥组及各密钥组对应的版本号。例如，数据处理装置根据业务系统的标识，一次创建多组密钥组及各密钥组对应的版本号。数据处理装置利用任一组中的数据处理密钥对业务数据进行处理，当需要对同一业务数据再次进行处理时，数据处理装置再次利用任一组中的数据处理密钥对业务数据进行处理。

在一些示例中，业务系统的密钥组可以包括对称密钥和非对称密钥中的至少一项。

公钥是与私钥算法一起使用的密钥对的非秘密一半。公钥通常用于加密会话密钥、验证数字签名，或加密可以用相应的私钥解密的数据。

版本号用于对密钥组进行标识，每一密钥组都有一个版本号。根据版本号，数据处理装置可以清楚识别对应的密钥组。

在一些示例中，版本号例如可以是由数字和字母中的至少一项组成，也可以是由其他自定义的内容组成，在此不做限定。

步骤S2100获取业务系统提供的业务数据、业务系统的标识、业务系统的至少一组密钥组中的公钥、及至少一组密钥组对应的版本号之前，可以进一步包括以下步骤S2001～S2003：

步骤S2001，获取业务系统的标识。

本实施例中，数据处理装置根据业务系统的标识创建业务系统的信息。

标识，即为用来识别的记号。

在一些示例中，业务系统的标识例如可以是名称、编号、logo，也可以是其他用于识别业务系统的内容，在此不做限定。

在一些示例中，业务系统可以向数据处理装置提供标识。

步骤S2002，根据业务系统的标识，创建业务系统的至少一组密钥组及对应至少一组密钥组的版本号。

本实施例中，数据处理装置创建业务系统的信息，用于后续业务系统的身份验证。

在一些示例中，密钥组例如可以包括数据处理密钥及验证密钥对。

数据处理密钥是用于数据处理的密钥。

在一些示例中，数据处理密钥是用于数据加解密的密钥。

验证密钥对是用于验证信息的密钥。

在一些示例中，验证密钥对例如可以包括公钥和私钥。

步骤S2003，将业务系统的标识、业务系统的至少一组密钥组及对应至少一组密钥组的版本号发送至密钥管理设备进行登记，并将版本号及公钥配置于业务系统中。

本实施例中，数据处理装置将业务系统的信息发送给密钥管理设备进行统一登记，以便于对各业务系统的密钥进行统一管理，降低数据泄露风险，提高数据安全性。数据处理装置将验证信息配置于各业务系统中，以便于业务系统向密钥管理设备请求密钥。

密钥管理设备用于登记并存储各业务系统的信息，以及对请求密钥的身份进行验证，进而根据验证结果向数据处理装置反馈响应信息，以解决分布式企业应用环境中大规模密码技术应用所带来的密钥管理问题。

在一些示例中，密钥管理设备例如可以是服务器。

步骤S2200，通过公钥对版本号进行加密，得到第一加密数据。

本实施例中，数据处理装置将版本号进行加密，以用于后续的身份验证。

公钥和私钥是通过一种算法得到的一个密钥对(即一个公钥和一个私钥)，其中的一个向外界公开，称为公钥；另个自己保留，称为私钥。使用这个密钥对的时候，如果用其中一个密钥加密一段数据，必须用另一个密钥解密。

常见的非对称加密算法有RSA、Elgamal、背包算法、Rabin、D-H、ECC椭圆曲线加密算法。

在一些示例中，例如可以是采用RSA算法得到一个密钥对，利用该密钥对中的公钥对版本号进行加密。

第一加密数据指的是加密后的版本号。

步骤S2300，向密钥管理设备发送携带第一加密数据和标识的密钥请求。

本实施例中，数据处理装置向密钥管理设备发送携带验证信息的密钥请求，以便于密钥管理设备对业务系统的身份进行验证。密钥管理设备根据标识获取与第一加密数据中的公钥对应的私钥，然后利用私钥对第一加密数据进行解密。

密钥请求用于向密钥管理设备请求处理业务数据的密钥。

步骤S2400，接收密钥管理设备根据密钥请求返回的响应信息。

本实施例中，数据处理装置获取密钥管理设备发送的响应信息。

响应信息，指的是密钥管理设备根据私钥对第一加密数据的解密结果，向数据处理装置发送的信息。

在一些示例中，响应信息例如可以是数据处理密钥。当私钥对第一加密数据解密后得到的版本号与密钥管理设备登记的版本号一致时，响应信息为数据处理密钥。

在一些示例中，响应信息例如还可以是表示请求异常的异常信息。当私钥对第一加密数据解密后得到的版本号与密钥管理设备登记的版本号不一致时，响应信息为表示请求异常的异常信息。

步骤S2500，在响应信息为数据处理密钥的情况下，通过数据处理密钥对业务数据进行对应的处理。

本实施例中，数据处理装置利用获取的数据处理密钥对业务数据进行处理。

当密钥管理设备通过登记信息中的私钥对第一加密数据进行解密得到的版本号与登记信息中的版本号一致时，表示安全验证成功。当密钥管理设备在根据密钥请求进行安全验证成功的情况下，密钥管理设备向数据处理装置返回数据处理密钥。数据处理密钥是从密钥管理设备对应标识的登记信息中得到。

当密钥管理设备通过登记信息中的私钥对第一加密数据进行解密得到的版本号与登记信息中的版本号不一致时，表示安全验证失败。当密钥管理设备在根据密钥请求进行安全验证失败的情况下，密钥管理设备向数据处理装置返回表示请求异常的异常信息，数据处理装置输出对应于异常信息的报警提示信息。

在一些示例中，当数据处理装置再次对同一业务数据进行处理的时候，通过更换业务系统的密钥组及密钥组对应的版本号，得到更换后的数据处理密钥，进而通过更换后的数据处理密钥对业务数据进行对应的处理，可有效降低数据泄露风险。

步骤S2500中在响应信息为数据处理密钥的情况下，通过数据处理密钥对业务数据进行对应的处理，可以进一步包括以下步骤S2510～S2520：

步骤S2510，在业务数据为待加密数据的情况下，通过数据处理密钥对业务数据进行加密，得到第二加密数据，并将第二加密数据发送至数据库进行存储。

本实施例中，数据处理装置利用数据处理密钥对业务数据进行加密。

在一些示例中，数据处理密钥例如可以是对称加密技术中的密钥。

对称加密，也称为单密钥加密，指的是采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密。常用的对称加密算法有：DES、3DES、TDEA、Blowfish、RC2、RC4、RC5、IDEA、SKIPJACK等。

在一些示例中，数据处理密钥被直接保存在数据处理装置的内存中，避免业务系统打印，可防止数据处理密钥泄露。

第二加密数据指的是加密后的业务数据。

数据库是“按照数据结构来组织、存储和管理数据的仓库”。是一个长期存储在计算机内的、有组织的、可共享的、统一管理的大量数据的集合。

步骤S2510中通过数据处理密钥对业务数据进行加密，得到第二加密数据，可以进一步包括以下步骤S2511～S2512：

步骤S2511，通过数据处理密钥对业务数据进行加密，得到业务数据对应的加密字符串。

本实施例中，数据处理装置利用数据处理密钥对业务数据进行加密，得到业务数据加密后的密文。

加密字符串指的是业务数据加密后的密文。密文是对明文进行加密后的报文。

在一些示例中，加密字符串例如可以是由数字或字母组成的，也可以是其他自定义的内容，在此不做限定。

步骤S2512，将业务数据对应的加密字符串与业务系统密钥组对应的版本号进行拼接，得到第二加密数据。

本实施例中，数据处理装置将版本号和业务数据加密后的密文相结合，以便于后续解密。

在一些示例中，数据处理装置将业务系统密钥组对应的版本号拼接于业务数据对应的加密字符串的后面。例如，第二加密数据为加密字符串&版本号。

在一些示例中，数据处理装置将业务系统密钥组对应的版本号拼接于业务数据对应的加密字符串的前面。例如，第二加密数据为版本号&加密字符串。

步骤S2520，在业务数据为待解密数据的情况下，通过数据处理密钥对业务数据进行解密，得到第一解密数据。

本实施例中，数据处理装置利用数据处理密钥对业务数据进行解密。

第一解密数据指的是解密后的业务数据。

在一些示例中，数据处理装置利用数据处理密钥对第二加密数据进行解密，得到第一解密数据。具体的，数据处理装置识别第二加密数据中的版本号，数据处理装置根据版本号获取业务系统对应的数据处理密钥，数据处理装置利用数据处理密钥对业务数据进行解密，得到第一解密数据。

本实施例的数据处理方法，通过对业务系统的身份信息进行验证来获取数据处理密钥，进而利用数据处理密钥对业务系统提供的数据进行加解密处理，相较于现有技术，本公开的数据处理方法可有效提高数据安全性。同时，本实施例的数据处理方法，通过创建业务系统的多个版本号，可实现数据处理密钥的不定期更换，进而有效降低数据泄露风险。

<设备实施例一>

图3是根据一些实施例的数据处理装置的结构示意图。

在本实施例中，还提供一种数据处理装置3000，如图3所示，包括处理器3100和存储器3200。存储器3200用于存储可执行的计算机程序，处理器3100用于根据该计算机程序的的控制，执行如以上实施例的数据处理方法。

在本实施例中，数据处理装置3000还可以包括其他的装置或者模块，例如，如图1所示的数据处理装置1100。数据处理装置1100也可以具有多种实体形式，例如，数据处理装置可以是平板电脑、掌上电脑、台式计算机等。

本领域技术人员应当明白，可以通过各种方式来实现数据处理装置3000。例如，可以通过指令配置处理器来实现数据处理装置3000。例如，可以将指令存储在ROM中，并且当启动设备时，将指令从ROM读取到可编程器件中来实现数据处理装置3000。例如，可以将数据处理装置3000固化到专用器件(例如ASIC)中，可以将数据处理装置3000分成相互独立的单元，或者可以将它们合并在一起实现。数据处理装置3000可以通过上述各种实现方式中的一种来实现，或者可以通过上述各种实现方式中的两种或更多种方式的组合来实现。

<方法实施例二>

图4是根据一些实施例的密钥管理方法的流程示意图。

如图4所示，本实施例的实施主体为密钥管理设备，本实施例的密钥管理方法可以包括如下步骤S4100～S4400：

步骤S4100，接收数据处理装置发送的密钥请求。

本实施例中，密钥管理设备接收携带验证信息的密钥请求，进而对业务系统的身份进行验证。

在一些示例中，数据处理装置可以是终端设备，该数据处理装置可以包括分布式组件，用于提供数据处理的程序；以及，该数据处理装置可以提供工具类，用于验证业务系统的身份以及对业务数据进行加解密处理。

在一些示例中，密钥管理设备可以是服务器，该密钥管理设备用于登记并存储各业务系统的信息，以及对请求密钥的身份进行验证，进而根据验证结果向数据处理装置反馈响应信息。

在一些示例中，密钥请求携带第一加密数据和业务系统的标识。

第一加密数据为通过业务系统提供的至少一组密钥组中的公钥，加密业务系统提供的对应至少一组密钥组的版本号所得到的数据。例如，第一加密数据为加密后的版本号。

业务系统的标识为可用于识别业务系统的标记。例如，业务系统的标识为业务系统的logo。

步骤S4100接收数据处理装置发送的密钥请求之前，还包括步骤S4110～S4120：

步骤S4110，接收数据处理装置发送的登记信息。

本实施例中，密钥管理设备对各业务系统的信息进行登记，以便于后续进行身份验证。

在一些示例中，登记信息例如可以包括业务系统的标识、业务系统的至少一组密钥组及对应至少一组密钥组的版本号中的至少一项。

业务系统的标识由数据处理装置获取，用于识别业务系统。

至少一组密钥组及对应至少一组密钥组的版本号由数据处理装置根据业务系统的标识创建。密钥组指的是用于处理业务数据的密钥集合。版本号用于对密钥组进行标识，每一密钥组都有一个版本号。

在一些示例中，密钥组例如可以包括数据处理密钥及验证密钥对，验证密钥对包括公钥和私钥。

数据处理密钥是用于数据处理的密钥。

在一些示例中，数据处理密钥是用于数据加解密的密钥。

验证密钥对是用于验证信息的密钥。

在一些示例中，验证密钥对例如可以包括公钥和私钥。

步骤S4120，保存登记信息。

本实施例中，密钥管理设备将登记后的各业务系统的信息进行保存。

步骤S4200，响应于密钥请求，获取标识对应的登记信息。

本实施例中，密钥管理设备在接收到数据处理装置发送的密钥请求后，需要查找到对应业务系统的登记信息，以便于后续的身份验证。

在一些示例中，密钥管理设备根据业务系统的标识，获取该标识对应的登记信息。

步骤S4300，通过登记信息中的私钥对第一加密数据进行解密。

本实施例中，密钥管理设备根据登记信息中与公钥对应的私钥，对业务系统的信息进行验证。

在一些示例中，密钥管理设备根据标识对应的登记信息，获取登记信息中的私钥，利用私钥对第一加密数据进行解密，得到解密后的版本号。

私钥，是与公钥算法一起使用的密钥对的秘密一半。公钥和私钥是通过一种算法得到的一个密钥对(即一个公钥和一个私钥)，其中的一个向外界公开，称为公钥；另个自己保留，称为私钥。使用这个密钥对的时候，如果用其中一个密钥加密一段数据，必须用另一个密钥解密。

在一些示例中，第一加密数据为加密后的版本号。

解密为加密过程的逆过程。

步骤S4400，在解密得到的版本号与登记信息中的版本号一致的情况下，将登记信息中的数据处理密钥作为密钥请求的响应信息，返回至数据处理装置。

本实施例中，密钥管理设备根据解密结果作出响应，并将响应信息反馈给数据处理装置。

在解密得到的版本号与登记信息中的版本号一致的情况下，表示安全验证成功。

在一些示例中，在解密得到的版本号与登记信息中的版本号不一致的情况下，表示安全验证失败。密钥管理设备将表示请求异常的异常信息作为密钥请求的响应信息，返回至数据处理装置。

响应信息表示密钥管理设备向数据处理装置发送的信息。

在一些示例中，响应信息例如可以包括数据处理密钥和表示请求异常的异常信息中的至少一项。

数据处理密钥供数据处理装置处理业务系统提供的业务数据。

在一些示例中，业务数据例如可以为待加密数据和待解密数据中的至少一项。

本实施例的密钥管理方法，通过对各业务系统的密钥进行统一管理，可减少重复代码开发，提高研发效率；同时对业务系统的身份信息进行验证来获取数据处理密钥，可有效降低数据泄露风险，进而提高数据安全性。

<设备实施例二>

图5是根据一些实施例的密钥管理设备的结构示意图。

在本实施例中，还提供了一种密钥管理设备5000，包括处理器5100和存储器5200。存储器5200用于存储可执行的计算机程序，处理器5100用于根据该计算机程序的的控制，执行如以上实施例的密钥管理方法。

在本实施例中，密钥管理设备5000还可以包括其他的装置或者模块，例如，如图1所示的密钥管理设备1200。

在本实施例中，密钥管理设备1200并不局限于实体实施形式，密钥管理设备1200可以是刀片服务器、云端服务器、服务器群组等。

本领域技术人员应当明白，可以通过各种方式来实现密钥管理设备1200。例如，可以通过指令配置处理器来实现密钥管理设备1200。例如，可以将指令存储在ROM中，并且当启动设备时，将指令从ROM读取到可编程器件中来实现密钥管理设备1200。例如，可以将密钥管理设备1200固化到专用器件(例如ASIC)中。可以将密钥管理设备1200分成相互独立的单元，或者可以将它们合并在一起实现。密钥管理设备1200可以通过上述各种实现方式中的一种来实现，或者可以通过上述各种实现方式中的两种或更多种方式的组合来实现。

图6是根据一些实施例的数据处理方法的交互流程示意图。

如图6所示，本实施例的数据处理方法包括步骤S6001～S6014：

步骤S6001，数据处理装置获取业务系统的标识。

在一些示例中，业务系统和数据处理装置可以设置在同一电子设备中，例如，业务系统运行在该电子设备上，数据处理装置作为插件设置在该电子设备上。

在一些示例中，业务系统和数据处理装置也可以分别设置在不同电子设备中。

步骤S6002，数据处理装置根据业务系统的标识，创建业务系统的密钥组及对应密钥组的版本号。

步骤S6003，数据处理装置将业务系统的标识、业务系统的密钥组及对应密钥组的版本号发送至密钥管理设备。

步骤S6004，密钥管理设备对业务系统的标识、业务系统的密钥组及对应密钥组的版本号进行登记并保存。

步骤S6005，数据处理装置将版本号及公钥发送至业务系统。

步骤S6006，业务系统对版本号及公钥进行配置。

步骤S6007，业务系统向数据处理装置发送业务数据。

步骤S6008，数据处理装置根据业务系统发送的业务数据，获取业务系统的标识、业务系统的密钥组中的公钥、及密钥组对应的版本号。

步骤S6009，数据处理装置通过公钥对版本号进行加密，得到第一加密数据。

步骤S6010，数据处理装置向密钥管理设备发送携带第一加密数据和标识的密钥请求。

步骤S6011，密钥管理设备响应于数据处理装置发送的密钥请求，获取标识对应的登记信息。

步骤S6012，密钥管理设备通过登记信息中的私钥对第一加密数据进行解密。

步骤S6013，密钥管理设备根据解密结果向数据处理装置返回响应信息。

步骤S6014，在响应信息为数据处理密钥的情况下，数据处理装置通过数据处理密钥对业务数据进行对应的处理。

本实施例中，通过对各业务系统的密钥进行统一管理，可减少重复代码开发，提高研发效率；同时对业务系统的身份信息进行验证来获取数据处理密钥，可有效降低数据泄露风险，进而提高数据安全性。

本发明可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括计算机可读存储介质，其上载有用于使处理器实现本发明的各个方面的计算机可读程序指令。

计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其他自由传播的电磁波、通过波导或其他传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。

这里所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。

用于执行本发明操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言—诸如Smalltalk、C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本发明的各个方面。

这里参照根据本发明实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述了本发明的各个方面。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机可读程序指令实现。

这些计算机可读程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。也可以把这些计算机可读程序指令存储在计算机可读存储介质中，这些指令使得计算机、可编程数据处理装置和/或其他设备以特定方式工作，从而，存储有指令的计算机可读介质则包括一个制造品，其包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的各个方面的指令。

也可以把计算机可读程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机、其它可编程数据处理装置、或其它设备上执行的指令实现流程图和/或框图中的一个或多个方框中规定的功能/动作。

附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，所述模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。对于本领域技术人员来说公知的是，通过硬件方式实现、通过软件方式实现以及通过软件和硬件结合的方式实现都是等价的。

以上已经描述了本发明的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。本发明的范围由所附权利要求来限定。