CN107483383A - 一种数据处理方法、终端及后台服务器 - Google Patents

Abstract

本发明公开了一种数据处理方法，包括：后台服务器接收终端发送的数据处理请求，数据处理请求携带有数据密文以及密钥标识，依据密钥标识获取对称密钥，使用对称密钥解密数据密文。本发明还提供一种可以实现上述数据处理方法的终端和后台服务器。本发明能够减少服务器开销，提高访问效率。

Description

一种数据处理方法、终端及后台服务器

技术领域

本发明涉及数据处理领域，尤其涉及一种数据处理方法、终端及后台服务器。

背景技术

为了保障数据在网络上安全传输，需要对数据进行加密。加密算法可分为对称式加密算法和非对称式加密算法。对称式加密算法是指加密和解密使用同一个密钥的算法，如数据加密标准(Data Encryption Standard，简称DES)算法、三重数据加密算法(Triple Data Encryption Algorithm，简称TDEA)、高级加密标准(Advanced Encryption Standard，简称AES)算法等。非对称式加密算法是指加密和解密使用一对密钥(公钥和私钥)的算法，如RSA加密算法。

为了加强网络传输安全，现有传输协议中普遍使用对称加密和非对称加密算法组合加密。组合加密具体实施过程大致如下：终端随机生成对称密钥，使用对称密钥对数据原文内容进行对称加密；并且按照非对称算法将对称密钥加密，然后将上述两个密文传给后台服务器，后台服务器先通过非对称加解密算法解密出对称密钥，然后使用对称密钥解密出数据原文内容。

在实际应用中，后台服务器单日处理的访问请求可达数十亿次。在每次终端访问后台服务器的过程中，终端和后台服务器分别要进行一次对称加解密和一次非对称加解密。由于非对称加密算法复杂度高，执行非对称加解密的过程占用了后台服务器的大量计算资源，并且耗时长，因此访问处理效率不高。

发明内容

本发明提供了一种数据处理方法、终端及后台服务器，能够减少服务器开销，提高访问效率。

第一方面提供了一种数据处理方法，包括：

后台服务器接收终端发送的数据处理请求，数据处理请求携带有数据密文以及密钥标识，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

后台服务器根据对应关系，确定与密钥标识对应的对称密钥；

后台服务器使用对称密钥解密数据密文。

第二方面提供了一种数据处理方法，包括：

终端使用与密钥标识对应的对称密钥加密数据得到数据密文，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

终端向后台服务器发送数据处理请求，数据处理请求携带有数据密文以及密钥标识，使得后台服务器依据密钥标识获取对称密钥，以解密数据密文。

第三方面提供一种后台服务器，具有实现第一方面提供的数据处理方法的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。硬件或软件包括一个或多个与上述功能相对应的模块。

一种可能的实现方式中，该后台服务器包括：

接收模块，用于接收终端发送的数据处理请求，数据处理请求携带有数据密文以及密钥标识，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

确定模块，用于根据对应关系，确定与密钥标识对应的对称密钥；

加解密模块，用于使用对称密钥解密数据密文。

第四方面提供一种终端，具有实现第二方面提供的数据处理方法的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。硬件或软件包括一个或多个与上述功能相对应的模块。

一种可能的实现方式中，该终端包括：

加解密模块，用于使用与密钥标识对应的对称密钥加密数据得到数据密文，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

发送模块，用于向后台服务器发送数据处理请求，数据处理请求携带有数据密文以及密钥标识，使得后台服务器依据密钥标识获取对称密钥，以解密数据密文。

第五方面提供一种服务器，包括：

以总线相互连接的输入装置、输出装置、处理器及存储器；通过调用存储器存储的操作指令，处理器用于执行如下方法：

接收终端发送的数据处理请求，数据处理请求携带有数据密文以及密钥标识，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

根据对应关系，确定与密钥标识对应的对称密钥；

使用对称密钥解密数据密文。

第六方面提供一种终端，其特征在于，包括：

以总线相互连接的输入装置、输出装置、处理器及存储器；通过调用存储器存储的操作指令，处理器用于执行如下方法：

使用与密钥标识对应的对称密钥加密数据得到数据密文，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

向后台服务器发送数据处理请求，数据处理请求携带有数据密文以及密钥标识，使得后台服务器依据密钥标识获取对称密钥，以解密数据密文。

从以上技术方案可以看出，本发明具有以下优点：

当终端发送数据密文和密钥标识时，后台服务器能够根据预设对应关系，确定密钥标识对应的对称密钥，再用对称密钥解密数据密文。与现有技术相比，在终端对后台服务器访问期间，后台服务器利用密钥标识查找对称密钥，代替了用非对称加解密算法获取对称密钥，减少了使用非对称加解密算法的次数，因此与现有技术相比，本发明占用的计算资源更少，减少了服务器开销，所需时间更少，因此提高了访问效率。

附图说明

图1为现有技术中数据加密流程的一个示意图；

图2为本发明实施例中数据处理方法的一个流程示意图；

图3为本发明实施例中数据处理方法的另一个流程示意图；

图4为本发明实施例中数据处理方法的另一个流程示意图；

图5为本发明实施例中数据处理方法的另一个示意图；

图6为本发明实施例中应用场景的一个示意图；

图7为本发明实施例中数据处理方法的另一个示意图；

图8为本发明实施例中应用场景的另一个示意图；

图9为本发明实施例中后台服务器的一个结构示意图；

图10为本发明实施例中后台服务器的另一个结构示意图；

图11为本发明实施例中终端的一个结构示意图；

图12为本发明实施例中终端的另一个结构示意图；

图13为本发明实施例中后台服务器的另一个结构示意图；

图14为本发明实施例中终端的另一个结构示意图。

具体实施方式

下面对现有技术的组合加密流程进行详细介绍，请参阅图1：

在客户端访问后台服务器的准备阶段，客户端随机生成一个随机码，作为3DES算法的密钥，以3DESKey表示，然后使用RSA算法加密3DESKey得到RSA密文，并且用3DESKey加密数据明文得到3DES密文；然后，客户端向后台服务器发送访问请求，访问请求包含有3DES密文和RSA密文；

由于客户端与后台服务器协商有相同的加解密算法，因此后台服务器可以利用已协商的RSA算法解密RSA密文得到3DESKey，后台服务器再利用3DESKey解密3DES密文得到数据明文。完成解密之后，后台服务器可以向终端发送返回码，例如1表示解密成功，0表示解密失败。当很多客户端向后台服务器发起访问请求时，后台服务器要分别对每个客户端的访问请求所包含的RSA密文进行解密，由此可见，在这种情况下，服务器要进行大量的非对称解密运算和对称解密运算，运算开销非常大。由于非对称解密运算的计算开销比对称解密运算的计算开销大得多，因此本发明采用一种减少使用非对称算法的加密方法，对客户端与后台服务器之间的传输数据进行加解密，能够减轻后台服务器的负载，节省后台服务器的计算资源。

为了解决在解密过程中大量使用非对称算法导致服务器开销大、访问效率低的问题，本发明提供了一种减少非对称算法的数据处理方法，该数据处理方法的执行过程需要后台服务器与终端进行密钥以及密钥标识协商，下面首先对上述协商过程进行详细介绍，请参阅图2，本发明提供数据处理方法的一个实施例包括：

201、终端生成对称密钥，将对称密钥进行非对称加密，得到密钥密文；

本实施例中，终端可生成随机码，以随机码作为对称密钥，然后将对称密钥进行非对称加密，得到密钥密文。对称密钥是指终端和后台服务器加解密数据所使用的相同的密码，其中数据可以是用户的账号信息，密码信息或IP地址等，还可以是用户的文档、音频文件、视频文件等。

可以理解的是，非对称加密算法使用公钥和私钥，终端采用公钥将对称密钥进行加密，后台服务器可以利用私钥解密得到对称密钥。非对称算法可以是RSA算法，Elgamal算法、背包算法、Rabin算法或椭圆加密算法等。

202、终端将密钥密文发送给后台服务器；

203、后台服务器按照非对称解密算法对密钥密文进行解密，得到对称密钥，按照预设密钥处理算法对对称密钥进行处理，获得密钥标识，并建立密钥标识与对称密钥的对应关系；

接收终端发送的密钥密文之后，后台服务器可以利用私钥解密密钥密文得到对称密钥，再按照预设密钥处理算法对对称密钥进行处理，得到密钥标识。后台服务器获取密钥标识后，可以将对称密钥和密钥标识成对保存在服务器，即后台服务器为对称密钥和密钥标识建立对应关系，以便于根据其中一项信息快速查找到另一项信息。由于密钥处理算法是后台服务器私有的算法，仅有后台服务器有权更换对称密钥与密钥标识之间的对应关系。

可以理解的是，后台服务器与终端所使用的对称加密算法以及非对称加密算法是预先协商的。

后台服务器按照预设密钥处理算法对对称密钥进行处理，获得密钥标识具体可以通过以下方式实现：

作为一个可选实施例，后台服务器可以为该对称密钥设置密钥密码，并使用密钥密码以AES算法将该对称密钥加密，得到加密字符串，并将该加密字符串作为密钥标识。预设密钥处理算法还可以是3DES算法、RC5算法、TDEA算法或IDEA算法等，此处不作具体限定。以此实施方式，密钥标识与对称密钥具有复杂的对应关系，入侵者难以通过加密字符串反向解密获取密钥密码，具有很高的安全性，适用于安全级别较高的数据传输过程。

作为另一个可选实施例，后台服务器可以设置第一密钥密码以及第二密钥密码，使用第一密钥密码以AES算法将该对称密钥加密，得到第一字符串，使用第二密钥密码以TDEA算法对该对称密钥进行加密得到第二字符串，将第一字符串与第二字符串组合得到第三字符串，将第三字符串作为密钥标识。具体的，第三字符串可以由第一字符串的尾部连接第二字符串的头部构成，也可以是由第二字符串的尾部连接第一字符串的头部构成，还可以选取第一字符串和第二字符串的部门字符构成，此处不作限定。

作为另一个可选实施例，后台服务器可以选取对称密钥的前n个字符作为密钥标识；或者，后台服务器选取对称密钥的后n个字符作为密钥标识；或者，后台服务器从对称密钥中第x字符开始，间隔y个字符选取字符，将选取得到的字符串作为密钥标识。其中，n，x，y为正整数，具体取值不作限定。以此实施方式，密钥标识与对称密钥具有较简单的对应关系，生成密钥标识的速度快，可以应用于安全级别较低的数据传输过程。例如传输已公开的技术文献，已公开的新闻等。

204、后台服务器将密钥标识发送给终端；

205、终端接收后台服务器发送的密钥标识，将对称密钥和密钥标识成对保存。

终端将对称密钥和密钥标识成对保存在服务器，即终端为对称密钥和密钥标识建立对应关系。当使用对称密钥加密数据密文之后，终端可以通过该对称密钥快速查找到相应的密钥标识。

可以理解的是，服务器还可以为一个终端保存多个对称密钥，针对不同数据，终端可以采用不同的对称密钥加密。与之相应的，每个对称密钥都有唯一的密钥标识。

本实施例中，终端和后台服务器可以协商密钥以及密钥标识，使得后台服务器在后续的数据传输中，终端在传输数据明文的同时，向后台服务器发送密钥标识，后台服务器依据密钥标识查找并获取对称密钥，然后以该对称密钥解密来自终端的数据密文。在解密过程中，服务器不再使用非对称算法计算对称密钥，而使用密钥标识查找，从而极大地缩减了解密所花费的计算资源开销，并且缩短了解密时间。

在实际应用中，终端和后台服务器可以在数据传输的过程中完成密钥以及密钥标识的协商，具体过程可参阅以下实施例，请参阅图3，本发明实施例中数据处理方法的另一个实施例包括：

301、终端生成对称密钥，将对称密钥进行非对称加密，得到密钥密文；

本实施例中，步骤301与图2所示示例中步骤201相似，此处不再赘述。

302、终端使用对称密钥加密数据得到数据密文；

本实施例中的数据可以是用户的账号信息，密码信息或IP地址等，还可以是用户的文档、音频文件、视频文件等。

步骤302与步骤301中对称密钥的加密过程并无固定先后顺序，在具体实施过程中，终端还可以先使用对称密钥加密数据，再将对称密钥进行非对称加密，具体执行过程此处不作限定。

303、终端向后台服务器发送数据处理请求，数据处理请求携带有数据密文以及密钥密文；

304、后台服务器按照非对称解密算法对密钥密文进行解密，得到对称密钥，按照预设密钥处理算法对对称密钥进行处理，获得密钥标识，并建立密钥标识与对称密钥的对应关系；

步骤304与图2实施例中步骤203相似，此处不再赘述。

305、后台服务器使用对称密钥解密数据密文；

步骤305与步骤304并无固定先后顺序，具体执行过程此处不作限定。

306、后台服务器将密钥标识发送给终端；

307、终端接收后台服务器发送的密钥标识，将对称密钥和密钥标识成对保存。

步骤306至步骤307与图2实施例中步骤204至步骤205相似，此处不再赘述。

本实施例中，终端在第一次上报数据时，终端和后台服务器完成密钥以及密钥标识的协商过程，确保在后续的数据传输中，后台服务器依据密钥标识查找并获取对称密钥，然后以该对称密钥解密来自终端的数据密文。在解密过程中，服务器不再使用非对称算法计算对称密钥，而使用密钥标识查找，从而极大地缩减了解密所花费的计算资源开销，并且缩短了解密时间。

在终端和后台服务器协商密钥以及密钥标识之后，终端和后台服务器可以根据密钥以及密钥标识，对设备间传输的数据进行加解密，具体可参阅以下实施例，请参阅图4，本发明中数据处理方法的另一个实施例包括：

401、终端使用与密钥标识对应的对称密钥对数据进行加密，得到数据密文；

本实施例中，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的。终端使用对称密钥对数据进行对称加密，得到数据密文。上述数据是指将要发送给后台服务器的数据，具体可以是用户的账号信息，密码信息或IP地址等，还可以是用户的文档、音频文件、视频文件等。

402、终端向后台服务器发送数据处理器请求，数据处理请求携带有数据密文以及密钥标识；

终端可以获取与上述对称密钥对应的密钥标识。在获取数据密文以及密钥标识之后，终端可以向后台服务器发送数据处理请求，该数据处理请求携带有数据密文以及密钥标识。

403、后台服务器根据对应关系，确定与密钥标识对应的对称密钥，使用对称密钥解密数据密文。

后台服务器接收数据密文以及密钥标识之后，可依据密钥标识以及预设对应关系查找到相应的对称密钥，然后使用该对称密钥解密数据密文，得到数据。

可以理解的是，后台服务器对来自终端的数据解密完成后，可以向终端发送返回码，例如1表示解密成功，0表示解密失败。返回码的信息不限于以上举例，还可以采用其他字符，此处不作限定。

使用本实施例提供的数据处理方法之后，即使在数据传输过程中入侵者截获了数据密文以及密钥标识，由于密钥标识并非密钥，因此无法以密钥标识解密数据密文，具有良好的安全性。

本实施例中，在解密过程中，服务器不再使用非对称算法计算对称密钥，而使用密钥标识查找就可以获得对称密钥，从而极大地缩减了解密所花费的计算资源开销，并且缩短了解密时间。

在实际应用中，终端与后台服务器协商的密钥在重复长时间使用后，容易被入侵者截获，导致密钥可能被解密，因此本发明还可以更新密钥，以提高数据传输的安全性，下面进行详细介绍：

可选的，在本发明的另一个实施例中，该数据处理方法还包括：后台服务器将重置密钥指令发送给终端，终端更新对称密钥以及密钥密文；终端将更新后的密钥密文发送给后台服务器；后台服务器根据终端发送的更新后的密钥密文，更新终端对应的对称密钥以及密钥标识；后台服务器将更新后的密钥标识发送给终端，终端将更新后的密钥标识与更新后的对称密钥成对保存。

具体的，后台服务器可以向终端发送重置密钥指令，重置密钥指令用于指示终端更新对称密钥以及密钥密文。终端接收后台服务器发送的重置密钥指令之后，可以执行更新对称密钥的流程。具体过程可以是，终端清除原对称密钥，然后生成新的对称密钥，利用新的对称密钥生成新的密钥密文，将新的密钥密文发送给后台服务器，后台服务器解密新的密钥密文之后，对新的对称密钥按照密钥处理算法处理得到新的密钥标识，再将终端对应的对称密钥以及密钥标识修改为新的对称密钥以及新的密钥密文，然后将新的密钥标识发送给终端，从而在终端和后台服务器上完成对称密钥以及密钥标识的更新。按照这种实施方式，原密钥在重置后失效，即使原密钥被入侵者获取，也无法利用其解密设备间的传输数据。可见，本实施例通过更新密钥提高了数据的安全性。

在实际应用中，终端向后台服务器发送的数据处理请求，可能携带有非对称加密密文，也可能携带密钥标识。为了响应不同类型的数据处理请求，在图4所示实施例的基础上，本发明提供了另一种数据处理方法，下面对该数据处理方法进行详细介绍：

可选的，在本申请的另一个实施例中，在步骤402之后，步骤403之前，该数据处理方法还包括：后台服务器判断数据处理请求是否携带有密钥标识，若携带有密钥标识，执行步骤403，若没有携带密钥标识，后台服务器判断数据处理请求是否携带有非对称加密密文，若携带有非对称加密密文，则后台服务器对非对称密文进行解密，若没有携带非对称加密密文，则后台服务器执行其他流程。

具体的，当数据处理请求携带有密钥标识，而没有携带密钥标识时，后台服务器按照图4所示实施例对数据密文进行解密；当数据处理请求携带有非对称加密密文，而没有携带密钥标识时，后台服务器按照现有技术的处理流程对数据密文进行解密；当数据处理请求既没有携带非对称加密密文，又没有携带密钥标识时，后台服务器可以拒绝该数据处理请求，向客户端返回访问终止信息。后台服务器当然也可以执行其他流程，此处不作限定。

在终端与后台服务器的交互过程中，入侵者可能通过网络攻击截获数据密文以及密钥标识，然后入侵者冒充合法用户，将截获的数据密文以及密钥标识发送给后台服务器，使得后台服务器解密数据密文，从而造成后台服务器计算资源的浪费。为了避免入侵者攻击后台服务器，本发明提供了另一种数据处理方法，下面对该数据处理方法进行详细介绍，请参阅图5：

可选的，在本发明的另一个实施例中，该数据处理方法还包括；

501、终端使用对称密钥对数据进行加密，得到数据密文；

502、终端向后台服务器发送数据处理请求，数据处理请求携带有数据密文、数字签名以及密钥标识；

终端从数据密文中提取摘要，然后利用私钥对摘要进行加密得到数字签名。

503、后台服务器对数字签名进行验证，若数字签名合法，执行步骤504，若数字签名非法，执行步骤505；

后台服务器解密上述数据密文得到数据，将该数据提取摘要，将该摘要与后台服务器利用公钥解密数字签名得到的摘要相比，若相同，则数字签名合法，用户为合法用户，若不同，则数字签名非法，用户为非法用户。

504、后台服务器根据对应关系，确定与密钥标识对应的对称密钥，使用对称密钥解密数据密文；

505、后台服务器执行其他流程。

具体的，后台服务器可以拒绝该数据处理请求，不执行根据对应关系确定与密钥标识对应的对称密钥的步骤。后台服务器当然也可以执行其他流程。

需要说明的是，步骤501与图4所示实施例中步骤401相似，步骤504与图4所示实施例中步骤403相似，此处不再赘述。

本实施例中，后台服务器利用数字签名可以识别数据密文是来自合法用户还是非法入侵者，当数字签名非法时，后台服务器可以拒绝数据处理请求，进一步加强了数据的安全性。

为便于理解，下面以一个具体应用场景对本发明实施例提供的数据处理方法进行详细说明，请参阅图6：

用户打开手机的浏览服务，点击网页时，网页以“http://tr.cs0309.imtt.com/”为例，用户上报信息以账号信息zhangsan为例，手机和服务器协商的非对称算法为RSA算法，对称算法为3DES算法；

在第一次手机和网页服务器交互的过程中，手机生成3DESkey1，利用3DESkey1加密zhangsan得到3DES密文，手机还用RSA算法加密3DESkey1得到RSA密文，然后手机将3DES密文以及RSA密文发送给网页服务器；网页服务器用RSA算法解密RSA密文得到3DESkey1，然后将3DESkey1用AES算法计算生成字符串Token1，然后将Token1发送给UE，UE将3DESkey1和Token1成对保存。并且，服务器可以用3DESkey1解密3DES密文。

在第二次交互过程中，手机利用3DESkey1加密zhangsan之后，手机向“http://tr.cs0309.imtt.com/”所在服务器发起访问请求，3DES密文以pu为例，访问请求为“http://tr.cs0309.imtt.com/ajax？c＝pu&tbstoken＝Token1”，网页服务器接收Token1之后，用Token1查找数据库，确定Token1对应的密钥标识为3DESkey1，然后利用3DESkey1解密pu得到“zhangsan”，可知该用户对网页服务器进行了一次访问，如图7所示。每打开一次网站页面，网页服务器就可以将该网页的页面浏览量加一。由此可见，网页服务器在获取上报信息的过程中，通过Token1来查找3DESkey1，而不是利用RSA算法来获取3DESkey1，由于通过Token1来查找3DESkey1的过程，比RSA算法的计算开销小得多，而且计算速度更快，因此降低了网页服务器的开销，提高了访问效率。

为便于理解，下面以另一个具体应用场景对本发明实施例提供的数据处理方法进行详细说明，请参阅图8：

用户打开电脑的云应用，上传文档时，用户上报信息以账号信息zhangsan为例，手机和服务器协商的非对称算法为RSA算法，对称算法为3DES算法，密钥为3DESkey2，加密字符串为Token2；

在第一次电脑和文档服务器交互的过程中，电脑生成3DESkey2，利用3DESkey2加密zhangsan得到3DES密文，电脑还用RSA算法加密3DESkey2得到RSA密文，然后电脑将3DES密文以及Token2发送给文档服务器；文档服务器用RSA算法解密RSA密文得到3DESkey2，然后将3DESkey2用AES算法计算生成字符串Token2，然后将Token2发送给电脑，电脑将3DESkey2和Token2成对保存。

在第二次交互过程中，电脑利用3DESkey2加密zhangsan之后，电脑向文档服务器发起访问请求，3DES密文以bw为例，访问请求为“http://tr.cs0309.txt.com/ajax？c＝bw&tbstoken＝Token2”，文档服务器接收Token2之后，用Token2查找数据库，确定Token2对应的密钥标识为3DESkey2，然后利用3DESkey2解密bw得到“zhangsan”，文档服务器对zhangsan进行鉴权，并允许合法用户zhangsan上传文档，文档服务器保存该文档，用户上传文档成功。

由此可见，文档服务器在获取上报信息的过程中，通过Token1来查找3DESkey2，而不是利用RSA算法来获取3DESkey2，由于通过Token1来查找3DESkey2的过程，比RSA算法的计算开销小得多，而且计算速度更快，因此降低了文档服务器的开销，提高了文档传输效率。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；前述的存储介质包括：只读存储器(Read-Only Memory，简称ROM)、随机存取存储器(Random Access Memory，简称RAM)、磁碟或光盘等各种可以存储程序代码的介质。

请参阅图9，本发明提供一种后台服务器900，包括：

接收模块901，用于接收终端发送的数据处理请求，数据处理请求携带有数据密文以及密钥标识，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

确定模块902，用于根据对应关系，确定与密钥标识对应的对称密钥；

加解密模块903，用于使用对称密钥解密数据密文。

本实施例中，后台服务器通过上述模块进行数据处理的过程与上述相关方法实施例进行数据处理的实现机制相同，详细可以参考上述相关方法实施例的记载，此处不再赘述。

本实施例中，加解密模块903可以依据确定模块902确定的对称密钥，对接收模块901接收的数据密文进行解密。在解密过程中，加解密模块903不使用非对称算法计算对称密钥，而使用密钥标识查找，从而极大地缩减了解密所花费的计算资源开销，并且缩短了解密时间。

可选的，在本发明的一个实施例中，

接收模块901，还用于接收终端发送的密钥密文；

加解密模块903，还用于按照非对称解密算法对密钥密文进行解密，得到对称密钥；

后台服务器900还包括：

密钥处理模块1001，用于按照预设密钥处理算法对对称密钥进行处理，获得密钥标识，并建立密钥标识与对称密钥的对应关系；

发送模块1002，用于将密钥标识发送给终端，使得后台服务器在后续的数据传输中通过终端发送的密钥标识来获取对称密钥。

本实施例中，加解密模块903可以按照非对称解密算法对接收模块901接收的密钥密文进行解密，得到对称密钥；密钥处理模块1001可以按照预设密钥处理算法对对称密钥进行处理，获得密钥标识，并建立密钥标识与对称密钥的对应关系；发送模块1002，用于将密钥标识发送给终端，从而使得终端与后台服务器均保存有对称密钥以及密钥标识。

进一步的，在本发明的另一个实施例中，密钥处理模块1001具体用于当预设密钥处理算法为AES算法时，设置密钥密码，使用AES算法以及密钥密码，对对称密钥进行加密得到字符串，并将字符串作为密钥标识。

进一步的，在本发明的另一个实施例中，密钥处理模块1001具体用于当预设密钥处理算法包括AES算法以及TDEA算法时，设置第一密钥密码以及第二密钥密码，使用AES算法以及第一密钥密码，对对称密钥进行加密得到第一字符串，使用TDEA算法以及第二密钥密码，对对称密钥进行加密得到第二字符串；将第一字符串以及第二字符串进行组合得到第三字符串，将第三字符串作为密钥标识。

进一步的，在本发明的另一个实施例中，发送模块1002还用于向终端发送重置密钥指令，重置密钥指令用于指示终端更新对称密钥以及密钥密文；

接收模块901，还用于接收终端发送的更新后的密钥密文；

后台服务器1000还包括：

更新模块1003，用于根据终端发送的更新后的密钥密文，更新终端对应的对称密钥以及密钥标识；

发送模块1002还用于将更新后的密钥标识发送给终端。使得终端执行更新对称密钥流程。按照这种实施方式，原密钥在重置后失效，即使原密钥被入侵者获取，也无法利用其解密设备间的传输数据。可见，本实施例通过更新密钥提高了数据的安全性。

进一步的，在本发明的另一个实施例中，后台服务器900还包括：

验证模块1004，用于对数字签名进行验证，若数字签名合法，则触发确定模块902执行根据对应关系确定与密钥标识对应的对称密钥的步骤；若数字签名非法，则不执行根据对应关系确定与密钥标识对应的对称密钥的步骤。

请参阅图11，本发明提供一种终端1100，包括：

加解密模块1101，用于使用与密钥标识对应的对称密钥加密数据得到数据密文，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

发送模块1102，用于向后台服务器发送数据处理请求，数据处理请求携带有数据密文以及密钥标识，使得后台服务器依据密钥标识获取对称密钥，以解密数据密文。

本实施例的终端通过上述模块进行数据处理的过程与上述相关方法实施例进行数据处理的实现机制相同，详细可以参考上述相关方法实施例的记载，此处不再赘述。

可选的，在本发明的一个实施例中，终端1100还包括：

生成模块1201，用于生成对称密钥；

加解密模块1101，还用于将对称密钥进行非对称加密，得到密钥密文；

发送模块1102，还用于将密钥密文发送给后台服务器，使得后台服务器根据密钥密文获取对称密钥并建立密钥标识与对称密钥的对应关系；

终端1100还包括：

接收模块1202，用于接收后台服务器发送的密钥标识；

保存模块1203，用于将对称密钥和密钥标识成对保存。

本实施例中，加解密模块1101可以将生成模块1201生成的对称密钥进行非对称加密，得到密钥密文；发送模块1102可以将密钥密文发送给后台服务器，接收模块1202可以接收后台服务器发送的密钥标识；保存模块1203，用于将对称密钥和密钥标识成对保存，从而使得终端与后台服务器均保存有对称密钥以及密钥标识。

可选的，在本发明的另一个实施例中，接收模块1202，还用于接收后台服务器发送的重置密钥指令，重置密钥指令用于指示终端更新对称密钥以及密钥密文；

终端1100还包括：更新模块1204，用于更新对称密钥以及密钥密文；

发送模块1102，还用于将更新模块1204更新后的密钥密文发送给后台服务器，使得后台服务器更新终端对应的对称密钥以及密钥标识；

接收模块1202，还用于接收后台服务器发送的更新后的密钥标识；

保存模块1203，还用于将更新后的密钥标识与更新后的对称密钥成对保存。按照这种实施方式，原密钥在重置后失效，即使原密钥被入侵者获取，也无法利用其解密设备间的传输数据。可见，本实施例通过更新密钥，可以提高数据传输的安全性。

可选的，在本发明的另一个实施例中，发送模块1102还用于向后台服务器发送数据处理请求，数据处理请求还携带有数字签名，数字签名是终端根据数据生成的。

为便于理解，下面以一个具体应用场景对本发明实施例提供的终端以及后台服务器中各模块之间的交互进行详细说明：

用户打开手机的浏览服务，点击网页时，网页以“http://tr.cs0309.imtt.com/”为例，用户上报信息以账号信息zhangsan为例，手机和服务器协商的非对称算法为RSA算法，对称算法为3DES算法；

在第一次手机和网页服务器交互的过程中，生成模块1201生成3DESkey1，加解密模块1101利用3DESkey1加密zhangsan得到3DES密文，加解密模块1101还用RSA算法加密3DESkey1得到RSA密文，然后发送模块1102将3DES密文以及RSA密文发送给接收模块901；加解密模块903用RSA算法解密RSA密文得到3DESkey1，然后密钥处理模块1001将3DESkey1用AES算法计算生成字符串Token1，然后发送模块1002将Token1发送给接收模块1202，保存模块1203将3DESkey1和Token1成对保存。并且，加解密模块903可以用3DESkey1解密3DES密文。

在第二次交互过程中，加解密模块1101利用3DESkey1加密zhangsan之后，发送模块1102向“http://tr.cs0309.imtt.com/”所在服务器发起访问请求，3DES密文以pu为例，访问请求为“http://tr.cs0309.imtt.com/ajax？c＝pu&tbstoken＝Token1”，接收模块901接收Token1之后，确定模块902用Token1查找数据库，确定Token1对应的密钥标识为3DESkey1，然后加解密模块903利用3DESkey1解密pu得到“zhangsan”，完成数据处理流程。

为便于理解，下面以另一个具体应用场景对本发明实施例提供的后台服务器以及终端中各模块之间的交互进行详细说明：

用户打开电脑的云应用，上传文档时，用户上报信息以账号信息zhangsan为例，电脑和服务器协商的非对称算法为RSA算法，对称算法为3DES算法，密钥为3DESkey2，加密字符串为Token2；

在第一次电脑和文档服务器交互的过程中，生成模块1201生成3DESkey2，加解密模块1101利用3DESkey2加密zhangsan得到3DES密文，加解密模块1101还用RSA算法加密3DESkey2得到RSA密文，然后发送模块1102将3DES密文以及Token2发送给接收模块901；加解密模块903用RSA算法解密RSA密文得到3DESkey2，然后密钥处理模块1001将3DESkey2用AES算法计算生成字符串Token2，然后发送模块1002将Token2发送给接收模块1202，保存模块1203将3DESkey2和Token2成对保存。

在第二次交互过程中，加解密模块1101利用3DESkey2加密zhangsan之后，发送模块1102向文档服务器发起访问请求，3DES密文以bw为例，访问请求为“http://tr.cs0309.txt.com/ajax？c＝bw&tbstoken＝Token2”，接收模块901接收Token2之后，确定模块902用Token2查找数据库，确定Token2对应的密钥标识为3DESkey2，然后加解密模块903利用3DESkey2解密bw得到“zhangsan”，完成数据处理流程。

以上从功能模块角度对本发明实施例中的终端和服务器进行了描述，下面从硬件角度对本发明实施例中的终端和服务器进行介绍：

请参阅图13，本发明实施例提供一种服务器1300，包括：

以总线相互连接的输入装置1301、输出装置1302、至少一个处理器1303及至少一个存储器1304；其中，存储器1304可以是短暂存储或持久存储。存储在存储器1304的程序可以包括一个或一个以上模块，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器1303可以设置为与存储器1304通信，在服务器1300上执行存储器1304中的一系列指令操作。

服务器1300还可以包括一个或一个以上电源，一个或一个以上有线或无线网络接口，一个或一个以上输入输出接口，和/或，一个或一个以上操作***，例如Windows ServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM等等。上述实施例中由服务器所执行的步骤可以基于该图13所示的服务器结构。

通过调用存储器存1304存储的操作指令，处理器1303用于执行如下方法：接收终端发送的数据密文以及密钥标识，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

根据对应关系，确定与密钥标识对应的对称密钥；

使用对称密钥解密数据密文。

可选的，在本发明的一些实施例中，处理器1303还用于在后台服务器接收终端发送的数据密文以及密钥标识之前，接收终端发送的密钥密文；按照非对称解密算法对密钥密文进行解密，得到对称密钥；按照预设密钥处理算法对对称密钥进行处理，获得密钥标识，并建立密钥标识与对称密钥的对应关系；将密钥标识发送给终端，使得后台服务器在后续的数据传输中通过终端发送的密钥标识来获取对称密钥。

可选的，在本发明的一些实施例中，处理器1303还用于向终端发送重置密钥指令，重置密钥指令用于指示终端更新对称密钥以及密钥密文；接收终端发送的更新后的密钥密文；根据更新后的密钥密文，更新终端对应的对称密钥以及密钥标识；将更新后的密钥标识发送给终端。

请参阅图14，本发明提供一种终端1400，包括：

以总线相互连接的输入装置1401、输出装置1402、至少一个处理器1403及存储器1404；其中，存储器1404可以是短暂存储或持久存储。存储在存储器1404的程序可以包括一个或一个以上模块，每个模块可以包括对服务器中的一系列指令操作。更进一步地，中央处理器1403可以设置为与存储器1404通信，在终端1400上执行存储器1404中的一系列指令操作。

终端1400还可以包括一个或一个以上电源，一个或一个以上有线或无线网络接口，一个或一个以上输入输出接口，和/或，一个或一个以上操作***，例如Windows ServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM，Android等等。上述实施例中由终端所执行的步骤可以基于该图14所示的终端结构。

通过调用存储器1404存储的操作指令，处理器1403用于执行如下方法：

使用与密钥标识对应的对称密钥加密数据得到数据密文，密钥标识是后台服务器确定了终端的密钥标识与对称密钥的对应关系后发送给终端的；

将数据密文以及密钥标识发送给后台服务器，使得后台服务器依据密钥标识获取对称密钥，以解密数据密文。

可选的，在本发明的一些实施例中，处理器1403还用于在终端将数据密文以及密钥标识发送给后台服务器之前，生成对称密钥，将对称密钥进行非对称加密，得到密钥密文；将密钥密文发送给后台服务器，使得后台服务器根据密钥密文获取对称密钥，并建立密钥标识与对称密钥的对应关系；接收后台服务器发送的密钥标识，将对称密钥和密钥标识成对保存。

可选的，在本发明的一些实施例中，处理器1403还用于接收后台服务器发送的重置密钥指令，重置密钥指令用于指示终端更新对称密钥以及密钥密文；更新对称密钥以及密钥密文；将更新后的密钥密文发送给后台服务器，使得后台服务器更新终端对应的对称密钥以及密钥标识；接收后台服务器发送的更新后的密钥标识；将更新后的密钥标识与更新后的对称密钥成对保存。

以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (22)

1.一种数据处理方法，其特征在于，包括：

后台服务器接收终端发送的数据处理请求，所述数据处理请求携带有数据密文以及密钥标识，所述密钥标识是所述后台服务器确定了所述终端的密钥标识与对称密钥的对应关系后发送给所述终端的；

所述后台服务器根据所述对应关系，确定与所述密钥标识对应的对称密钥；

所述后台服务器使用所述对称密钥解密所述数据密文。

2.根据权利要求1所述的方法，其特征在于，在所述后台服务器接收所述终端发送的数据密文以及所述密钥标识之前，所述方法还包括：

所述后台服务器接收所述终端发送的密钥密文；

所述后台服务器按照非对称解密算法对所述密钥密文进行解密，得到所述对称密钥；

所述后台服务器按照预设密钥处理算法对所述对称密钥进行处理，获得密钥标识，并建立所述密钥标识与所述对称密钥的所述对应关系；

所述后台服务器将所述密钥标识发送给所述终端。

3.根据权利要求2所述的方法，其特征在于，所述预设密钥处理算法为AES算法，所述后台服务器按照预设密钥处理算法对所述对称密钥进行处理，获得密钥标识包括：

所述后台服务器设置密钥密码；

所述后台服务器使用AES算法以及所述密钥密码，对所述对称密钥进行加密得到字符串，并将所述字符串作为密钥标识。

4.根据权利要求2所述的方法，其特征在于，预设密钥处理算法包括AES算法以及TDEA算法；

所述后台服务器按照预设密钥处理算法对所述对称密钥进行处理，获得密钥标识包括：

所述后台服务器设置第一密钥密码以及第二密钥密码；

所述后台服务器使用AES算法以及所述第一密钥密码，对所述对称密钥进行加密得到第一字符串；

所述后台服务器使用TDEA算法以及所述第二密钥密码，对所述对称密钥进行加密得到第二字符串；

所述后台服务器将所述第一字符串以及所述第二字符串进行组合得到第三字符串，将所述第三字符串作为密钥标识。

5.根据权利要求2至4中任一项所述的方法，其特征在于，所述方法还包括：

所述后台服务器向所述终端发送重置密钥指令，所述重置密钥指令用于指示所述终端更新所述对称密钥以及所述密钥密文；

所述后台服务器接收所述终端发送的更新后的密钥密文；

所述后台服务器根据所述更新后的密钥密文，更新所述终端对应的对称密钥以及密钥标识；

所述后台服务器将更新后的密钥标识发送给所述终端。

6.根据权利要求5所述的方法，其特征在于，所述数据处理请求还携带有数字签名，所述方法还包括：

所述后台服务器对所述数字签名进行验证，若所述数字签名合法，则执行所述后台服务器根据对应关系确定与密钥标识对应的对称密钥的步骤；若所述数字签名合法，则所述后台服务器不执行所述后台服务器根据对应关系确定与密钥标识对应的对称密钥的步骤。

7.一种数据处理方法，其特征在于，包括：

终端使用与密钥标识对应的对称密钥加密数据得到数据密文，所述密钥标识是后台服务器确定了所述终端的密钥标识与对称密钥的对应关系后发送给所述终端的；

所述终端向所述后台服务器发送数据处理请求，所述数据处理请求携带有所述数据密文以及所述密钥标识，使得所述后台服务器依据所述密钥标识获取所述对称密钥，以解密所述数据密文。

8.根据权利要求7所述的方法，其特征在于，在所述终端将所述数据密文以及所述密钥标识发送给所述后台服务器之前，所述方法还包括：

所述终端生成所述对称密钥，将所述对称密钥进行非对称加密，得到密钥密文；

所述终端将所述密钥密文发送给所述后台服务器，使得所述后台服务器根据所述密钥密文获取对称密钥，并建立所述密钥标识与所述对称密钥的对应关系；

所述终端接收所述后台服务器发送的密钥标识，将所述对称密钥和所述密钥标识成对保存。

9.根据权利要求8所述的方法，其特征在于，所述方法还包括：

所述终端接收所述后台服务器发送的重置密钥指令，所述重置密钥指令用于指示所述终端更新所述对称密钥以及所述密钥密文；

所述终端更新所述对称密钥以及所述密钥密文；

所述终端将更新后的密钥密文发送给所述后台服务器，使得所述后台服务器更新所述终端对应的对称密钥以及密钥标识；

所述终端接收所述后台服务器发送的更新后的密钥标识，并将更新后的密钥标识与更新后的对称密钥成对保存。

10.根据权利要求7至9中任一项所述的方法，其特征在于，所述数据处理请求还携带有数字签名，所述数字签名是所述终端根据所述数据生成的。

11.一种后台服务器，其特征在于，包括：

接收模块，用于接收终端发送的数据处理请求，所述数据处理请求携带有数据密文以及密钥标识，所述密钥标识是所述后台服务器确定了所述终端的密钥标识与对称密钥的对应关系后发送给所述终端的；

确定模块，用于根据所述对应关系，确定与所述密钥标识对应的对称密钥；

加解密模块，用于使用所述对称密钥解密所述数据密文。

12.根据权利要求11所述的后台服务器，其特征在于，

所述接收模块，还用于接收终端发送的密钥密文；

所述加解密模块，还用于按照非对称解密算法对所述密钥密文进行解密，得到对称密钥；

所述后台服务器还包括：

密钥处理模块，用于按照预设密钥处理算法对所述对称密钥进行处理，获得密钥标识，并建立所述密钥标识与所述对称密钥的所述对应关系；

发送模块，用于将所述密钥标识发送给所述终端。

13.根据权利要求12所述的后台服务器，其特征在于，所述密钥处理模块具体用于当所述预设密钥处理算法为AES算法时，设置密钥密码，使用AES算法以及所述密钥密码，对所述对称密钥进行加密得到字符串，并将所述字符串作为密钥标识。

14.根据权利要求12所述的后台服务器，其特征在于，所述密钥处理模块具体用于当预设密钥处理算法包括AES算法以及TDEA算法时，设置第一密钥密码以及第二密钥密码，使用AES算法以及所述第一密钥密码，对所述对称密钥进行加密得到第一字符串，使用TDEA算法以及所述第二密钥密码，对所述对称密钥进行加密得到第二字符串；将所述第一字符串以及所述第二字符串进行组合得到第三字符串，将所述第三字符串作为密钥标识。

15.根据权利要求12至14中任一项所述的后台服务器，其特征在于，

所述发送模块还用于向终端发送重置密钥指令，所述重置密钥指令用于指示所述终端更新所述对称密钥以及所述密钥密文；

所述接收模块，还用于接收终端发送的更新后的密钥密文；

所述后台服务器还包括：

更新模块，用于根据所述终端发送的更新后的密钥密文，更新所述终端对应的对称密钥以及密钥标识；

所述发送模块还用于将更新后的密钥标识发送给所述终端。

16.根据权利要求15所述的后台服务器，其特征在于，所述后台服务器还包括：

验证模块，用于对所述数字签名进行验证，若所述数字签名合法，则触发所述确定模块执行根据对应关系确定与密钥标识对应的对称密钥的步骤；若所述数字签名非法，则不执行根据对应关系确定与密钥标识对应的对称密钥的步骤。

17.一种终端，其特征在于，包括：

加解密模块，用于使用与密钥标识对应的对称密钥加密数据得到数据密文，所述密钥标识是所述后台服务器确定了所述终端的密钥标识与对称密钥的对应关系后发送给所述终端的；

发送模块，用于向后台服务器发送数据处理请求，所述数据处理请求携带有所述数据密文以及所述密钥标识，使得所述后台服务器依据所述密钥标识获取对称密钥，以解密所述数据密文。

18.根据权利要求17所述的终端，其特征在于，所述终端还包括：

生成模块，用于生成对称密钥；

所述加解密模块，还用于将所述对称密钥进行非对称加密，得到密钥密文；

所述发送模块，还用于将所述密钥密文发送给后台服务器，使得所述后台服务器根据所述密钥密文获取对称密钥，并建立所述密钥标识与所述对称密钥的对应关系；

所述终端还包括：

接收模块，用于接收所述后台服务器发送的密钥标识；

保存模块，用于将所述对称密钥和所述密钥标识成对保存。

19.根据权利要求18所述的终端，其特征在于，

所述接收模块，还用于接收所述后台服务器发送的重置密钥指令，所述重置密钥指令用于指示所述终端更新所述对称密钥以及所述密钥密文；

所述终端还包括：

更新模块，用于更新所述对称密钥以及所述密钥密文；

所述发送模块，还用于将更新后的密钥密文发送给所述后台服务器，使得所述后台服务器更新所述终端对应的对称密钥以及密钥标识；

所述接收模块，还用于接收所述后台服务器发送的更新后的密钥标识；

所述保存模块，还用于将更新后的密钥标识与更新后的对称密钥成对保存。

20.根据权利要求17至19中任一项所述的终端，其特征在于，所述数据处理请求还携带有数字签名，所述数字签名是所述终端根据所述数据生成的。

21.一种服务器，其特征在于，包括：

以总线相互连接的输入装置、输出装置、处理器及存储器；通过调用所述存储器存储的操作指令，所述处理器用于执行如下方法：

接收终端发送的数据处理请求，数据处理请求携带有数据密文以及密钥标识，所述密钥标识是所述后台服务器确定了所述终端的密钥标识与对称密钥的对应关系后发送给所述终端的；

根据所述对应关系，确定与所述密钥标识对应的对称密钥；

使用所述对称密钥解密所述数据密文。

22.一种终端，其特征在于，包括：

以总线相互连接的输入装置、输出装置、处理器及存储器；通过调用所述存储器存储的操作指令，所述处理器用于执行如下方法：

使用与密钥标识对应的对称密钥加密数据得到数据密文，所述密钥标识是所述后台服务器确定了所述终端的密钥标识与对称密钥的对应关系后发送给所述终端的；

向后台服务器发送数据处理请求，所述数据处理请求携带有所述数据密文以及所述密钥标识，使得所述后台服务器依据所述密钥标识获取对称密钥，以解密所述数据密文。