(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210114372.1 (22)申请日 2022.01.30 (71)申请人 支付宝 （杭州） 信息技 术有限公司 地址 310000 浙江省杭州市西湖区西溪路 556号8层B段801-1 1 (72)发明人 郑显义　徐登伟　辛知　万小飞　 (74)专利代理 机构 北京国昊天诚知识产权代理 有限公司 1 1315 代理人 徐晨影 (51)Int.Cl. H04L 9/32(2006.01) H04L 9/08(2006.01) H04L 9/40(2022.01) (54)发明名称 密钥管理和业 务处理方法、 装置及系统 (57)摘要 本说明书实施例公开了一种密钥管理和业 务处理方法、 装置及系统。 所述密钥管理方法包 括： 可信执行环境TEE通过与认证服务端之间的 安全通道向所述认证服务端发送设备认证信息， 所述设备认证信息为用于证明所述TEE所属的终 端设备的身份的信息； 所述认证服务端基于所述 设备认证信息对所述TEE 所属的终端设备进行设 备认证； 所述认 证服务端在确定所述终端设备通 过设备认证后， 通过所述安全通道向所述TEE发 送业务加密密钥和设备身份证书， 所述业务加密 密钥用于对加密业务数据的业务会话密钥进行 加解密， 所述设备身份证书用于验证所述终端设 备是真实可信的。 权利要求书7页 说明书34页 附图11页 CN 114257382 A 2022.03.29 CN 114257382 A 1.一种密钥管理方法， 包括： 可信执行环境TEE通过与认证服务端之间的安全通道向所述认证服务端发送设备认证 信息， 所述设备认证信息为用于证明所述TE E所属的终端设备的身份的信息； 所述认证服 务端基于所述设备认证信息对所述TE E所属的终端设备进行设备认证； 所述认证服务端在确定所述终端设备通过设备认证后， 通过所述安全通道向所述TEE 发送业务加密密钥和设备身份证书， 所述业务加密密钥用于对加密业务数据的业务会话密 钥进行加解密， 所述设备身份 证书用于验证所述终端设备 是真实可信的。 2.如权利要求1所述的方法， TEE通过与认证服务端之间的安全通道向所述认证服务端 发送设备认证信息， 包括： 所述TEE基于预先确定的通道密钥对所述终端设备的设备证书进行加密， 以得到所述 设备认证信息， 所述设备证书预先存储在所述TEE中， 所述通道密钥由所述TEE与所述认证 服务端预先协商确定； 所述TEE将所述设备认证信息发送给 所述认证服 务端。 3.如权利要求2所述的方法， 所述认证服务端基于所述设备认证信 息对所述TEE所属的 终端设备进行设备认证， 包括： 所述认证服务端使用所述通道密钥对所述设备认证信 息进行解密， 以得到所述终端设 备的设备证书； 所述认证服 务端基于所述终端设备的设备证书， 对所述终端设备进行设备认证。 4.如权利要求2所述的方法， 所述TEE基于预先确定的通道密钥对所述终端设备的设备 证书进行加密， 以得到所述设备认证信息， 包括： 所述TEE对来自所述认证服 务端的挑战码进行签名， 以得到第一签名信息； 所述TEE使用所述通道密钥对所述终端设备的设备证书及所述第一签名信息进行加 密， 以得到所述设备认证信息 。 5.如权利要求4所述的方法， 所述认证服务端基于所述设备认证信 息对所述TEE所属的 终端设备进行设备认证， 包括： 所述认证服务端使用所述通道密钥对所述设备认证信 息进行解密， 以得到所述终端设 备的设备证书和所述第一签名信息； 所述认证服 务端对所述第一签名信息进行验证； 所述认证服务端在确定验证通过后， 将所述第 一签名信 息中的挑战码与本地存储的挑 战码进行比对； 所述认证服务端在所述第 一签名信 息中的挑战码与本地存储的挑战码比对一致时， 基 于所述终端设备的设备证书， 对所述终端设备进行设备认证。 6.如权利要求1所述的方法， 所述认证服务端在确定所述终端设备通过设备认证后， 通 过所述安全通道向所述TE E发送业务加密密钥和设备身份 证书， 包括： 使用预先确定的通道密钥对所述业务加密密钥和设备身份证书进行加密， 以得到加密 后的业务加密密钥及设备身份证书， 所述通道密钥由所述认证服务端与所述TEE预先协商 确定； 将所述加密后的业务加密密钥及设备身份证书发送给所述TEE， 由所述TEE利用所述通 道密钥进行解密得到所述 业务加密密钥和所述设备身份 证书。权　利　要　求　书 1/7 页 2 CN 114257382 A 27.如权利要求2或6所述的方法， 在TEE通过与认证服务端之间的安全通道向所述认证 服务端发送设备认证信息之前， 所述方法还 包括： 所述认证服务端向所述TEE发送第一认证信息， 所述第一认证信息用于表征所述认证 服务端的身份； 所述TEE基于所述第一认证信息对所述认证服务端进行身份认证并确定所述认证服务 端通过身份认证； 所述TEE向所述认证服务端发送第二认证信息， 所述第二认证信息用于表征所述TEE的 身份； 所述认证服务端基于所述第二认证信息对所述TEE进行身份认证并确定所述TEE通过 身份认证； 所述TEE与所述认证服 务端通过握 手的方式确定所述 通道密钥。 8.如权利要求1所述的方法， 不同业务对应的业务加密密钥不同， 所述业务加密密钥用 于对所对应的业 务的业务会话密钥进行加解密。 9.如权利要求1所述的方法， 所述 业务会话密钥由所述TE E动态生成。 10.一种密钥管理方法， 应用于认证服 务端， 所述方法包括： 通过与TEE之间的安全通道接收所述TEE发送的设备认证信息， 所述设备认证信息存储 于所述TE E中， 所述设备认证信息为用于证明所述TE E所属的终端设备的身份的信息； 基于所述设备认证信息对所述TE E所属的终端设备进行设备认证； 在确定所述终端设备通过设备认证后， 通过所述安全通道向所述TEE发送业务加密密 钥和设备身份证书， 所述业务加密密钥用于对加密业务数据的业务会话密钥进行加 解密， 所述设备身份 证书用于验证所述终端设备 是真实可信的。 11.一种密钥管理方法， 应用于TE E， 所述方法包括： 通过与认证服务端之间的安全通道向所述认证服务端发送设备认证信 息， 所述设备认 证信息为用于证明所述TEE所属的终端设备的身份的信息， 所述设备认证信息用于所述认 证服务端对所述终端设备进行设备认证； 通过所述安全通道接收所述认证服务端发送的业务加密密钥和设备身份证书， 所述业 务加密密钥用于对加密业务数据的业务会话密钥进行加解密， 所述设备身份证书用于验证 所述终端设备是真实可信的， 所述业务加密密钥和所述设备身份证书 是所述认证服务端在 确定所述终端设备通过设备认证后发送的。 12.一种业 务处理方法， 包括： TEE接收业务方发送 的业务请求， 所述业务请求是所述业务方在接收到目标用户针对 目标业务的业务处理请求时发送的； 所述TEE使用生成的业务会话密钥对所述TEE所属的终端设备的设备身份证书及目标 业务数据进行加密， 以得到业务密文信息， 以及使业务加密密钥对所述业务会话密钥进行 加密， 以得到业务会话密钥密文， 所述 目标业务数据为对所述 目标业务进行处理所需的业 务数据， 所述设备身份证书用于验证所述 终端设备是真实可信的， 其中， 所述业务加密密钥 和所述设备身份证书由认证服务端基于所述TEE发送的设备认证信息确定所述终端设备通 过设备认证后， 通过与所述TEE之间的安全通道发送给所述TEE， 所述设备认证信息由所述 TEE通过所述安全通道发送给所述认证服务端， 所述设备认证信息为用于证明所述终端设权　利　要　求　书 2/7 页 3 CN 114257382 A 3