[發明專利]數據訪問方法、裝置、電子設備及計算機存儲介質

在審

• 申請號: 202010888689.1
• 申請日: 2020-08-28
• 公開（公告）號: CN114117438A
• 公開（公告）日: 2022-03-01
• 發明（設計）人: 劉巍然;包義保;鄧念剛;孫勇;劉鐵錚;趙原;張磊;張子良
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/45;G06F21/62
• 代理公司: 北京合智同創知識產權代理有限公司 11545
• 代理人: 李杰;蘭淑鐸

1.一種數據訪問方法，包括：

根據對設置于可信執行環境TEE中的數據的數據訪問請求，確定待訪問數據對應的數據授權對象；

若獲得所述數據授權對象對所述待訪問數據的訪問授權，則執行所述數據訪問請求所請求的操作，并返回操作結果。

2.根據權利要求1所述的方法，其中，所述執行所述數據訪問請求所請求的操作，包括：

對所述TEE中的所述待訪問數據通過明文方式執行所述數據訪問請求所請求的操作；

或者，

獲取所述數據授權對象對應的數據密鑰；根據所述數據密鑰對加密存儲的待訪問數據進行解密，并在解密后執行所述數據訪問請求所請求的操作。

3.根據權利要求2所述的方法，其中，在所述執行所述數據訪問請求所請求的操作之前，所述方法還包括：

判斷所述待訪問數據是否全部存儲于所述TEE中；

若是，則執行所述數據訪問請求所請求的操作；

或者，

若否，則在將所述待訪問數據中，存儲于所述TEE之外的數據部分加載入所述TEE中后，執行所述數據訪問請求所請求的操作，其中，所述存儲于所述TEE之外的數據部分為根據所述數據授權對象對應的數據密鑰加密后的數據。

4.根據權利要求2或3所述的方法，其中，所述數據授權對象包括多個；所述根據所述數據密鑰對加密存儲的待訪問數據進行解密，包括：

對多個所述數據授權對象對應的多個數據密鑰進行異或操作，生成數據解密密鑰；

使用所述數據解密密鑰對加密存儲的待訪問數據進行解密。

5.根據權利要求1-3任一項所述的方法，其中，所述根據對設置于可信執行環境TEE中的數據的數據訪問請求，確定待訪問數據對應的數據授權對象，包括：

根據對設置于TEE中的數據的數據訪問請求，確定待訪問數據分屬于多個數據表；

確定所述多個數據表對應的多個數據授權對象。

6.根據權利要求1-3任一項所述的方法，其中，所述根據對設置于可信執行環境TEE中的數據的數據訪問請求，確定待訪問數據對應的數據授權對象，包括：

根據對設置于TEE中的數據的數據訪問請求，確定待訪問數據分屬于同一數據表的多個數據部分；

確定所述多個數據部分對應的多個數據授權對象。

7.根據權利要求1-3任一項所述的方法，其中，在所述根據對設置于可信執行環境TEE中的數據的數據訪問請求，確定待訪問數據對應的數據授權對象之前，還包括：

通過所述數據訪問請求的發送方與所述TEE之間的可信安全通道，接收向所述TEE發送的所述數據訪問請求，其中，所述數據訪問請求使用為所述發送方分配的會話密鑰加密后生成。

8.根據權利要求7所述的方法，其中，在所述通過所述數據訪問請求的發送方與所述TEE之間的可信安全通道，接收向所述TEE發送的所述數據訪問請之前，所述方法還包括：

根據遠程證明確定對所述TEE的安全驗證通過后，在所述發送方與所述TEE之間建立所述可信安全通道。

9.根據權利要求8所述的方法，其中，所述返回操作結果，包括：

使用所述會話密鑰對所述操作結果進行加密，并通過所述可信安全通道向所述發送方返回加密后的所述操作結果。

10.根據權利要求1所述的方法，其中，在所述根據對設置于可信執行環境TEE中的數據的數據訪問請求，確定待訪問數據對應的數據授權對象之前，所述方法還包括：

為所述TEE中存儲的多部分數據確定對應的多個數據授權對象，并為確定的所述多個數據授權對象分配數據密鑰；

使用與各部分數據對應的數據授權對象的數據密鑰，分別對各部分數據進行加密。