CN117062059B - 一种电信卡数据的加解密方法 - Google Patents

Abstract

本发明实施例涉及一种电信卡数据的加解密方法，所述方法包括：生成两组公私钥对和一个对称密钥；并将第一公钥发至电信运营商、第二公钥发至数据使用方；并由三组管理员分别对第一、第二私钥片段以及对称密钥片段进行保管；并在接收到电信运营商发送的密文数据包时，基于所有第一私钥片段对密文数据包进行数据解密、并基于所有对称密钥片段对解密明文进行关键数据加密存储；并在接收到数据使用方发送的数据使用申请时，从数据库中选出原始数据包、并基于所有对称密钥片段对原始数据包进行关键数据解密得到明文数据包、并基于所有第二私钥片段对明文数据包进行加密得到密文数据包向数据使用方回发。通过本发明可以降低数据泄露风险。

Description

一种电信卡数据的加解密方法

技术领域

本发明涉及数据处理技术领域，特别涉及一种电信卡数据的加解密方法。

背景技术

物联网设备运营商通过部署和运维物联网设备进行业务运营，其部署的每个物联网设备上至少要加载一张电信卡用于联网操作。物联网设备运营商向电信运营商申请购进新卡时会通过纸质或电子方式向电信运营商递交新卡购进申请，并接收电信运营商发送的电信卡个人化数据存于本地备用；物联网设备运营商基于运维需求会通过纸质或电子方式向电信运营商递交电信卡流量报告申请，并定期接收电信运营商发送的电信卡流量数据存于本地备用。上述电信卡个人化数据和电信卡流量数据统称为电信卡数据。

也就是说物联网设备运营商需要基于自身的信息系统对大量的电信卡数据进行传输和存储处理。目前，大多数物联网设备运营商的信息系统都是以明文方式在处理电信卡数据的传输和存储，这种常规处理方式很容易在数据传输和存储过程中发生数据泄露问题，而一旦电信卡数据泄露就会给物联网设备运营商造成经济损失。

发明内容

本发明的目的，就是针对现有技术的缺陷，提供一种电信卡数据的加解密方法、电子设备及计算机可读存储介质；在数据处理系统与电信运营商之间约定一组用于处理二者间数据传输的第一公私钥对，并将其中的第一公钥分发给电信运营商用于数据加密，并基于门限密钥共享方案将第一私钥分割成多个第一私钥片段分发给多个第一传输密钥管理员进行保管；在数据处理系统与数据使用方之间约定一组用于处理二者间数据传输的第二公私钥对，并将其中的第二公钥分发给数据使用方用于数据解密，并基于门限密钥共享方案将第二私钥分割成多个第二私钥片段分发给多个第二传输密钥管理员进行保管；在数据处理系统与存储数据的数据库之间约定一个用于处理数据存储和读取的第一对称密钥，并基于门限密钥共享方案将第一对称密钥分割成多个第一对称密钥片段分发给多个第一存储密钥管理员进行保管；并在接收到电信运营商发送的密文数据包时，由所有第一传输密钥管理员分片共享保管的第一私钥进行传输数据解密，并由所有第一存储密钥管理员分片共享保管的第一对称密钥进行存储数据加密；并在接收到数据使用方发送的数据使用申请时，由所有第一存储密钥管理员分片共享保管的第一对称密钥进行存储数据解密，并由所有第二传输密钥管理员分片共享保管的第二私钥进行传输数据加密。通过本发明，可以保证在电信卡数据传输过程中不会发生明文数据泄露、可以保证在电信卡数据存储过程中不会发生关键数据的明文信息泄露，从而达到降低数据泄露风险、降低物联网设备运营商运维风险的目的。

为实现上述目的，本发明实施例第一方面提供了一种电信卡数据的加解密方法，所述方法包括：

第一数据处理系统生成两组非对称密钥算法体系的公私钥对记为对应的第一公私钥对和第二公私钥对并保存；并生成一个对称密钥算法体系的对称密钥记为对应的第一对称密钥并保存；并将所述第一公私钥对的第一公钥向第一电信运营商分发、将所述第二公私钥对的第二公钥向第一数据使用方分发；所述第一公私钥包括所述第一公钥和第一私钥；所述第二公私钥包括所述第二公钥和第二私钥；

设置第一数量N个第一传输密钥管理员、第二数量M个第一存储密钥管理员和第三数量K个第二传输密钥管理员；并基于预设的门限密钥共享方案对所述第一私钥进行N个片段密钥分割处理得到对应的N个第一私钥片段，并将各个所述第一私钥片段向对应的所述第一传输密钥管理员分发；并基于所述门限密钥共享方案对所述第一对称密钥进行M个片段密钥分割处理得到对应的M个第一对称密钥片段，并将各个所述第一对称密钥片段向对应的所述第一存储密钥管理员分发；并基于所述门限密钥共享方案对所述第二私钥进行K个片段密钥分割处理得到对应的K个第二私钥片段，并将各个所述第二私钥片段向对应的所述第二传输密钥管理员分发；所述第一数量N、所述第二数量M和所述第三数量K均为大于1的整数；所述第一私钥片段与所述第一传输密钥管理员一一对应；所述第一对称密钥片段与所述第一存储密钥管理员一一对应；所述第二私钥片段与所述第二传输密钥管理员一一对应；

在接收到所述第一电信运营商发送的第一密文数据包时，基于所有所述第一传输密钥管理员侧的所述第一私钥片段对所述第一密文数据包进行数据解密处理得到对应的第一明文数据包；并基于所有所述第一存储密钥管理员侧的所述第一对称密钥片段对所述第一明文数据包进行关键数据加密处理并将处理后的数据存入预设的第一数据库；

在接收到所述第一数据使用方发送的第一数据使用申请时，根据所述第一数据使用申请从所述第一数据库中选出对应的存储数据组成第一原始数据包；并基于所有所述第一存储密钥管理员侧的所述第一对称密钥片段对所述第一原始数据包进行关键数据解密处理得到对应的第二明文数据包；并基于所有所述第二传输密钥管理员侧的所述第二私钥片段对所述第二明文数据包进行数据加密处理得到对应的第二密文数据包；并将所述第二密文数据包向所述第一数据使用方发送。

优选的，所述方法还包括：

所述第一电信运营商在接收到所述第一数据处理系统分发的所述第一公钥之后，在指定时间对与所述第一数据处理系统对应的各个电信卡的数据进行采集生成对应的第一电信卡数据记录，并由得到的所有所述第一电信卡数据记录组成对应的所述第一明文数据包；并使用所述第一公钥对所述第一明文数据包进行数据加密处理生成对应的所述第一密文数据包向所述第一数据处理系统发送；所述第一电信卡数据记录包括多个第一数据项字段，各个所述第一数据项字段由数据项名称和数据项取值组成。

优选的，所述第一数据处理系统分别与所述第一电信运营商、所述第一数据使用方、各个所述第一传输密钥管理员、各个所述第一存储密钥管理员和各个所述第二传输密钥管理员连接；

所述非对称密钥算法体系包括RSA算法体系和国密SM2算法体系；

所述对称密钥算法体系包括DES算法体系、3DES算法体系、AES算法体系、国密SM1算法体系、国密SM4算法体系和国密SM7算法体系；

所述门限密钥共享方案包括标准Shamir方案、基于标准Shamir方案进行拓展的GMW方案和基于标准Shamir方案进行拓展的BGW方案；

所述第一明文数据包由多个第一电信卡数据记录组成；所述第一电信卡数据记录包括多个第一数据项字段；所述第一数据项字段由第一数据项名称和第一数据项取值组成，所述第一数据项名称和所述第一数据项取值都为明文数据；

所述第一数据库包括多个第一存储数据记录；每个所述第一存储数据记录对应一个第一存储数据记录标识；所述第一存储数据记录包括多个第一存储数据项字段；所述第一存储数据项字段由第一存储数据项名称和第一存储数据项取值组成；所述第一存储数据项字段的所述第一存储数据项名称若不满足预设的关键数据项名称集合则对应的所述第一存储数据项取值为明文数据，所述第一存储数据项字段的所述第一存储数据项名称若满足所述关键数据项名称集合则对应的所述第一存储数据项取值为密文数据；所述关键数据项名称集合由一个或多个关键数据项名称组成；所述第一存储数据记录的所述第一存储数据项字段与所述第一电信卡数据记录的所述第一数据项字段一一对应；

所述第一数据使用申请包括多个第一申请记录标识；

所述第一原始数据包由多个所述第一存储数据记录组成；

所述第二明文数据包由多个第二电信卡数据记录组成；所述第二电信卡数据记录包括多个第二数据项字段；所述第二数据项字段由第二数据项名称和第二数据项取值组成，所述第二数据项名称和所述第二数据项取值都为明文数据。

优选的，所述基于所有所述第一传输密钥管理员侧的所述第一私钥片段对所述第一密文数据包进行数据解密处理得到对应的第一明文数据包，具体包括：

所述第一数据处理系统向所有所述第一传输密钥管理员发送第一传输密钥授权申请；并接收各个所述第一传输密钥管理员回发的第一授权数据；并在每接收到一个所述第一授权数据时，就基于TOTP口令算法对当前所述第一授权数据的第一TOTP口令进行验证得到对应的第一验证结果；所述第一授权数据包括所述第一TOTP口令和所述第一私钥片段；所述第一验证结果包括验证成功和验证失败；

在得到的所有所述第一授权数据对应的所述第一验证结果都为验证成功时，基于所述门限密钥共享方案根据得到所有所述第一私钥片段进行原始密钥恢复处理得到对应的所述第一私钥；并基于所述第一私钥对所述第一密文数据包进行解密得到对应的所述第一明文数据包。

进一步的，所述方法还包括：

所述第一传输密钥管理员在接收到所述第一数据处理系统发送的所述第一传输密钥授权申请时，基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的所述第一TOTP口令；并由所述第一TOTP口令和本地存储的所述第一私钥片段组成对应的所述第一授权数据向所述第一数据处理系统回发。

进一步的，所述基于TOTP口令算法对当前所述第一授权数据的第一TOTP口令进行验证得到对应的第一验证结果，具体包括：

所述第一数据处理系统基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的第一动态口令；并对所述第一动态口令是否与当前所述第一授权数据的所述第一TOTP口令匹配进行识别；若匹配，则设置对应的所述第一验证结果为验证成功；若不匹配，则设置对应的所述第一验证结果为验证失败；所述第一数据处理系统侧预设的时间步长与所述第一传输密钥管理员侧预设的时间步长匹配。

优选的，所述基于所有所述第一存储密钥管理员侧的所述第一对称密钥片段对所述第一明文数据包进行关键数据加密处理并将处理后的数据存入预设的第一数据库，具体包括：

所述第一数据处理系统向所有所述第一存储密钥管理员发送第一存储密钥授权申请；并接收各个所述第一存储密钥管理员回发的第二授权数据；并在每接收到一个所述第二授权数据时，就基于TOTP口令算法对当前所述第二授权数据的第二TOTP口令进行验证得到对应的第二验证结果；所述第二授权数据包括所述第二TOTP口令和所述第一对称密钥片段；所述第二验证结果包括验证成功和验证失败；

在得到的所有所述第二授权数据对应的所述第二验证结果都为验证成功时，基于所述门限密钥共享方案根据得到所有所述第一对称密钥片段进行原始密钥恢复处理得到对应的所述第一对称密钥；

对所述第一明文数据包的所有所述第一电信卡数据记录进行遍历；并在遍历时，将当前遍历的所述第一电信卡数据记录作为对应的当前记录，并将所述当前记录中所述第一数据项名称满足所述关键数据项名称集合的所述第一数据项字段记为关键数据项字段、将所述第一数据项名称不满足所述关键数据项名称集合的所述第一数据项字段记为非关键数据项字段；并基于所述第一对称密钥对各个所述关键数据项字段的所述第一数据项取值进行加密得到对应的第一数据项密文数据，并各个所述关键数据项字段对应的所述第一数据项名称和所述第一数据项密文数据作为对应的所述第一存储数据项名称和所述第一存储数据项取值组成对应的所述第一存储数据项字段；并由各个所述非关键数据项字段的所述第一数据项名称和所述第一数据项取值作为对应的所述第一存储数据项名称和所述第一存储数据项取值组成对应的所述第一存储数据项字段；并由得到的所有所述第一存储数据项字段组成一个对应的所述第一存储数据记录添加到所述第一数据库中，并在所述第一数据库中为本次添加的第一存储数据记录分配一个对应的所述第一存储数据记录标识。

进一步的，所述方法还包括：

所述第一存储密钥管理员在接收到所述第一数据处理系统发送的所述第一存储密钥授权申请时，基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的所述第二TOTP口令；并由所述第二TOTP口令和本地存储的所述第一对称密钥片段组成对应的所述第二授权数据向所述第一数据处理系统回发。

进一步的，所述基于TOTP口令算法对当前所述第二授权数据的第二TOTP口令进行验证得到对应的第二验证结果，具体包括：

所述第一数据处理系统基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的第二动态口令；并对所述第二动态口令是否与当前所述第二授权数据的所述第二TOTP口令匹配进行识别；若匹配，则设置对应的所述第二验证结果为验证成功；若不匹配，则设置对应的所述第二验证结果为验证失败；所述第一数据处理系统侧预设的时间步长与所述第一存储密钥管理员侧预设的时间步长匹配。

优选的，所述根据所述第一数据使用申请从所述第一数据库中选出对应的存储数据组成第一原始数据包，具体包括：

所述第一数据处理系统将所述第一数据库中所述第一存储数据记录标识与所述第一数据使用申请的各个所述第一申请记录标识匹配的所述第一存储数据记录提取出来组成对应的所述第一原始数据包。

优选的，所述基于所有所述第一存储密钥管理员侧的所述第一对称密钥片段对所述第一原始数据包进行关键数据解密处理得到对应的第二明文数据包，具体包括：

所述第一数据处理系统向所有所述第一存储密钥管理员发送第二存储密钥授权申请；并接收各个所述第一存储密钥管理员回发的第三授权数据；并在每接收到一个所述第三授权数据时，就基于TOTP口令算法对当前所述第三授权数据的第三TOTP口令进行验证得到对应的第三验证结果；所述第三授权数据包括所述第三TOTP口令和所述第一对称密钥片段；所述第三验证结果包括验证成功和验证失败；

在得到的所有所述第三授权数据对应的所述第三验证结果都为验证成功时，基于所述门限密钥共享方案根据得到所有所述第一对称密钥片段进行原始密钥恢复处理得到对应的所述第一对称密钥；

对所述第一原始数据包的所有所述第一存储数据记录进行遍历；并在遍历时，将当前遍历的所述第一存储数据记录作为对应的当前记录，并将所述当前记录中所述第一存储数据项名称满足所述关键数据项名称集合的所述第一存储数据项字段记为关键数据项字段、将所述第一存储数据项名称不满足所述关键数据项名称集合的所述第一存储数据项字段记为非关键数据项字段；并基于所述第一对称密钥对各个所述关键数据项字段的所述第一存储数据项取值进行解密得到对应的第一数据项明文数据，并各个所述关键数据项字段对应的所述第一存储数据项名称和所述第一数据项明文数据作为对应的所述第二数据项名称和所述第二数据项取值组成对应的所述第二数据项字段；并由各个所述非关键数据项字段的所述第一存储数据项名称和所述第一存储数据项取值作为对应的所述第二数据项名称和所述第二数据项取值组成对应的所述第二数据项字段；并由得到的所有所述第二数据项字段组成一个对应的所述第二电信卡数据记录；并在遍历结束时，由得到的所有所述第二电信卡数据记录组成对应的所述第二明文数据包。

优选的，所述基于所有所述第二传输密钥管理员侧的所述第二私钥片段对所述第二明文数据包进行数据加密处理得到对应的第二密文数据包，具体包括：

所述第一数据处理系统向所有所述第二传输密钥管理员发送第二传输密钥授权申请；并接收各个所述第一存储密钥管理员回发的第四授权数据；并在每接收到一个所述第四授权数据时，就基于TOTP口令算法对当前所述第四授权数据的第四TOTP口令进行验证得到对应的第四验证结果；所述第四授权数据包括所述第四TOTP口令和所述第二私钥片段；所述第四验证结果包括验证成功和验证失败；

在得到的所有所述第四授权数据对应的所述第四验证结果都为验证成功时，基于所述门限密钥共享方案根据得到所有所述第二私钥片段进行原始密钥恢复处理得到对应的所述第二私钥；并基于所述第二私钥对所述第二明文数据包进行加密得到对应的所述第二密文数据包。

进一步的，所述方法还包括：

所述第二传输密钥管理员在接收到所述第一数据处理系统发送的所述第二传输密钥授权申请时，基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的所述第四TOTP口令；并由所述第四TOTP口令和本地存储的所述第二私钥片段段组成对应的所述第四授权数据向所述第一数据处理系统回发。

进一步的，所述基于TOTP口令算法对当前所述第四授权数据的第四TOTP口令进行验证得到对应的第四验证结果，具体包括：

所述第一数据处理系统基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的第三动态口令；并对所述第三动态口令是否与当前所述第四授权数据的所述第四TOTP口令匹配进行识别；若匹配，则设置对应的所述第四验证结果为验证成功；若不匹配，则设置对应的所述第四验证结果为验证失败；所述第一数据处理系统侧预设的时间步长与所述第二传输密钥管理员侧预设的时间步长匹配。

本发明实施例第二方面提供了一种电子设备，包括：存储器、处理器和收发器；

所述处理器用于与所述存储器耦合，读取并执行所述存储器中的指令，以实现上述第一方面所述的方法；

所述收发器与所述处理器耦合，由所述处理器控制所述收发器进行消息收发。

本发明实施例第三方面提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，当所述计算机指令被计算机执行时，使得所述计算机执行上述第一方面所述的方法。

本发明实施例提供了一种电信卡数据的加解密方法、电子设备及计算机可读存储介质；在数据处理系统与电信运营商之间约定一组用于处理二者间数据传输的第一公私钥对，并将其中的第一公钥分发给电信运营商用于数据加密，并基于门限密钥共享方案将第一私钥分割成多个第一私钥片段分发给多个第一传输密钥管理员进行保管；在数据处理系统与数据使用方之间约定一组用于处理二者间数据传输的第二公私钥对，并将其中的第二公钥分发给数据使用方用于数据解密，并基于门限密钥共享方案将第二私钥分割成多个第二私钥片段分发给多个第二传输密钥管理员进行保管；在数据处理系统与存储数据的数据库之间约定一个用于处理数据存储和读取的第一对称密钥，并基于门限密钥共享方案将第一对称密钥分割成多个第一对称密钥片段分发给多个第一存储密钥管理员进行保管；并在接收到电信运营商发送的密文数据包时，根据所有第一传输密钥管理员给出的第一私钥片段进行密钥恢复得到对应的第一私钥，并使用第一私钥对密文数据包进行解密得到对应的明文数据包，并根据所有第一存储密钥管理员给出的第一对称密钥片段进行密钥恢复得到对应的第一对称密钥，并使用第一对称密钥对明文数据包内各数据记录的关键数据项进行加密，并将完成了关键数据项加密的数据记录存储到数据库中；并在接收到数据使用方发送的数据使用申请时，根据数据使用申请从数据库中获取原始的存储记录构成原始数据包，并根据所有第一存储密钥管理员给出的第一对称密钥片段进行密钥恢复得到对应的第一对称密钥，并使用第一对称密钥对原始数据包内各数据记录的关键数据项进行解密、并由完成了关键数据项解密的数据记录构成对应的明文数据包，并根据所有第二传输密钥管理员给出的第二私钥片段进行密钥恢复得到对应的第二私钥，并基于第二私钥对解密后得到的明文数据包进行加密并将得到的加密数据包向数据使用方发送。本发明既可以保证在电信卡数据传输过程中不会发生明文数据泄露，也可以保证在电信卡数据存储过程中不会发生关键数据的明文信息泄露；通过本发明既降低了数据泄露风险、也降低了物联网设备运营商的运维风险。

附图说明

图1为本发明实施例一提供的一种电信卡数据的加解密方法示意图；

图2为本发明实施例二提供的一种电子设备的结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部份实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

本发明实施例一提供一种电信卡数据的加解密方法，如图1为本发明实施例一提供的一种电信卡数据的加解密方法示意图所示，主要包括如下步骤：

步骤1，第一数据处理系统生成两组非对称密钥算法体系的公私钥对记为对应的第一公私钥对和第二公私钥对并保存；并生成一个对称密钥算法体系的对称密钥记为对应的第一对称密钥并保存；并将第一公私钥对的第一公钥向第一电信运营商分发、将第二公私钥对的第二公钥向第一数据使用方分发；

其中，非对称密钥算法体系包括RSA算法体系和国密SM2算法体系；对称密钥算法体系包括DES算法体系、3DES算法体系、AES算法体系、国密SM1算法体系、国密SM4算法体系和国密SM7算法体系；第一公私钥包括第一公钥和第一私钥；第二公私钥包括第二公钥和第二私钥。

这里，本发明实施例的第一数据处理系统为物联网设备运营商的数据处理系统，用于对物联网设备运营商的电信卡数据进行传输和存储处理；本发明实施例的第一数据处理系统分别与第一电信运营商、第一数据使用方连接，还与下文中提及的各个第一传输密钥管理员、各个第一存储密钥管理员和各个第二传输密钥管理员分别连接；此处的第一电信运营商为向物联网设备运营商发送电信卡数据的电信运营商服务端，第一数据使用方为物联网设备运营商内部或外部需要对已知电信卡数据进行信息读取的数据使用方服务端。

需要说明的是，本发明实施例在生成非对称密钥算法体系的公私钥对时会基于一个与当前非对称密钥算法体系对应的公私钥对生成器进行处理。

还需要说明的是，本发明实施例在生成一个对称密钥算法体系的对称密钥时，会基于一个随机数发生器生成一个长度与当前对称密钥算法体系的密钥长度对应的随机数，并将该随机数作为当次生成的对称密钥。

步骤2，设置第一数量N个第一传输密钥管理员、第二数量M个第一存储密钥管理员和第三数量K个第二传输密钥管理员；并基于预设的门限密钥共享方案对第一私钥进行N个片段密钥分割处理得到对应的N个第一私钥片段，并将各个第一私钥片段向对应的第一传输密钥管理员分发；并基于门限密钥共享方案对第一对称密钥进行M个片段密钥分割处理得到对应的M个第一对称密钥片段，并将各个第一对称密钥片段向对应的第一存储密钥管理员分发；并基于门限密钥共享方案对第二私钥进行K个片段密钥分割处理得到对应的K个第二私钥片段，并将各个第二私钥片段向对应的第二传输密钥管理员分发；

其中，第一数量N、第二数量M和第三数量K均为大于1的整数；门限密钥共享方案包括标准Shamir方案、基于标准Shamir方案进行拓展的GMW方案和基于标准Shamir方案进行拓展的BGW方案；第一私钥片段与第一传输密钥管理员一一对应；第一对称密钥片段与第一存储密钥管理员一一对应；第二私钥片段与第二传输密钥管理员一一对应。

这里，本发明实施例不会对得到的第一私钥、第二私钥和第一对称密钥的完整信息进行明文保存，而是会将各个密钥分割成多个片段，并由指定的管理员对各个片段进行分布保存；步骤中的第一传输密钥管理员为对第一私钥片段进行保存的服务端，第二传输密钥管理员为对第二私钥片段进行保存的服务端，第一存储密钥管理员为对第一对称密钥片段进行保存的服务端。

需要说明的是，本发明实施例在对各个密钥进行片段密钥分割时采用预设的门限密钥共享方案进行处理，本发明实施例的门限密钥共享方案可从以下三种方案中任选一种进行配置：标准Shamir方案、基于标准Shamir方案进行拓展的GMW方案和基于标准Shamir方案进行拓展的BGW方案，这三种门限密钥共享方案都可按指定数量(N、M、K)将原始密钥(第一私钥、第一对称密钥、第二私钥)分成指定数量个密钥片段(N个第一私钥片段、M个第一对称密钥片段、K个第二私钥片段)，另外还能基于所有密钥片段(N个第一私钥片段、M个第一对称密钥片段、K个第二私钥片段)对原始密钥(第一私钥、第一对称密钥、第二私钥)进行恢复，这三种门限密钥共享方案的具体实现过程都是公开的技术方案、可通过查询公开技术文献获得，在此不做进一步赘述。

在对下文步骤3进行说明之前，先对本发明实施例第一电信运营商侧的密文数据包准备处理过程进行如下说明：第一电信运营商在接收到第一数据处理系统分发的第一公钥之后，在指定时间对与第一数据处理系统对应的各个电信卡的数据进行采集生成对应的第一电信卡数据记录，并由得到的所有第一电信卡数据记录组成对应的第一明文数据包；并使用第一公钥对第一明文数据包进行数据加密处理生成对应的第一密文数据包向第一数据处理系统发送；其中，第一电信卡数据记录包括多个第一数据项字段，各个第一数据项字段由数据项名称和数据项取值组成。这里，如果电信运营商向物联网设备运营商发送的电信数据为电信卡个人化数据，那么指定时间就是在电信运营商收到物联网设备运营商递交的新卡购进申请之后的一个时间点；如果电信运营商向物联网设备运营商发送的电信数据为电信卡流量数据，那么指定时间就是电信运营商与物联网设备运营商约定的一个周期性时间点。

步骤3，在接收到第一电信运营商发送的第一密文数据包时，基于所有第一传输密钥管理员侧的第一私钥片段对第一密文数据包进行数据解密处理得到对应的第一明文数据包；并基于所有第一存储密钥管理员侧的第一对称密钥片段对第一明文数据包进行关键数据加密处理并将处理后的数据存入预设的第一数据库；

具体包括：步骤31，基于所有第一传输密钥管理员侧的第一私钥片段对第一密文数据包进行数据解密处理得到对应的第一明文数据包；

其中，第一明文数据包由多个第一电信卡数据记录组成；第一电信卡数据记录包括多个第一数据项字段；第一数据项字段由第一数据项名称和第一数据项取值组成，第一数据项名称和第一数据项取值都为明文数据；

具体包括：步骤311，向所有第一传输密钥管理员发送第一传输密钥授权申请；并接收各个第一传输密钥管理员回发的第一授权数据；

其中，第一授权数据包括第一TOTP口令和第一私钥片段；

这里，本发明实施例的TOTP口令是基于TOTP(Time-Based One-Time Password)口令算法计算得到的，TOTP口令算法的输入参数包括两个：时间戳和时间步长，该算法的具体实现过程也是一个公开的技术方案、可通过查询公开技术文献获得，在此不做进一步赘述；

需要说明的是，本发明实施例的各个第一传输密钥管理员在接收到第一数据处理系统发送的第一传输密钥授权申请时，会基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的第一TOTP口令；并由第一TOTP口令和本地存储的第一私钥片段组成对应的第一授权数据向第一数据处理系统回发；

步骤312，并在每接收到一个第一授权数据时，就基于TOTP口令算法对当前第一授权数据的第一TOTP口令进行验证得到对应的第一验证结果；

其中，第一验证结果包括验证成功和验证失败；

具体包括：基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的第一动态口令；并对第一动态口令是否与当前第一授权数据的第一TOTP口令匹配进行识别；若匹配，则设置对应的第一验证结果为验证成功；若不匹配，则设置对应的第一验证结果为验证失败；其中，第一数据处理系统侧预设的时间步长与第一传输密钥管理员侧预设的时间步长匹配；

这里，本发明实施例的第一数据处理系统每收到一个第一传输密钥管理员回发的第一授权数据就会立即基于TOTP口令算法对当前第一授权数据的第一TOTP口令进行验证得到对应的第一验证结果；按TOTP口令算法的计算原理，如果第一数据处理系统和第一传输密钥管理员的两个时间戳之间的时间间隔没超过预设的时间步长那么得到的两个TOTP口令即第一动态口令和第一TOTP口令应该是匹配的，反之如果两个时间戳之间的时间间隔超过了预设的时间步长那么得到的两个TOTP口令即第一动态口令和第一TOTP口令应该是不匹配的；本发明实施例通过这种方式来防止第一数据处理系统陷入超时等待的状态；

步骤313，在得到的所有第一授权数据对应的第一验证结果都为验证成功时，基于门限密钥共享方案根据得到所有第一私钥片段进行原始密钥恢复处理得到对应的第一私钥；

这里，由前文已知第一传输密钥管理员的数量为第一数量N，那么也就是本发明实施例的第一数据处理系统在得到的N个第一验证结果都为验证成功时会基于门限密钥共享方案由得到的N个第一私钥片段进行原始密钥恢复，此处恢复出的原始密钥就是第一私钥；

步骤314，基于第一私钥对第一密文数据包进行解密得到对应的第一明文数据包；

这里，由前文可知第一密文数据包是第一电信运营商基于第一公钥对第一明文数据包进行加密得到的，而第一私钥是与第一公钥对应的，那么使用第一私钥对第一密文数据包进行解密就能得到第一明文数据包；

步骤32，并基于所有第一存储密钥管理员侧的第一对称密钥片段对第一明文数据包进行关键数据加密处理并将处理后的数据存入预设的第一数据库；

其中，第一数据库包括多个第一存储数据记录；每个第一存储数据记录对应一个第一存储数据记录标识；第一存储数据记录包括多个第一存储数据项字段；第一存储数据项字段由第一存储数据项名称和第一存储数据项取值组成；第一存储数据项字段的第一存储数据项名称若不满足预设的关键数据项名称集合则对应的第一存储数据项取值为明文数据，第一存储数据项字段的第一存储数据项名称若满足关键数据项名称集合则对应的第一存储数据项取值为密文数据；关键数据项名称集合由一个或多个关键数据项名称组成；第一存储数据记录的第一存储数据项字段与第一电信卡数据记录的第一数据项字段一一对应；

具体包括：步骤321，向所有第一存储密钥管理员发送第一存储密钥授权申请；并接收各个第一存储密钥管理员回发的第二授权数据；

其中，第二授权数据包括第二TOTP口令和第一对称密钥片段；

这里需要说明的是，本发明实施例的各个第一存储密钥管理员在接收到第一数据处理系统发送的第一存储密钥授权申请时，基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的第二TOTP口令；并由第二TOTP口令和本地存储的第一对称密钥片段组成对应的第二授权数据向第一数据处理系统回发；

步骤322，并在每接收到一个第二授权数据时，就基于TOTP口令算法对当前第二授权数据的第二TOTP口令进行验证得到对应的第二验证结果；

其中，第二验证结果包括验证成功和验证失败；

具体包括：基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的第二动态口令；并对第二动态口令是否与当前第二授权数据的第二TOTP口令匹配进行识别；若匹配，则设置对应的第二验证结果为验证成功；若不匹配，则设置对应的第二验证结果为验证失败；其中，第一数据处理系统侧预设的时间步长与第一存储密钥管理员侧预设的时间步长匹配；

这里，本发明实施例的第一数据处理系统每收到一个第一存储密钥管理员回发的第二授权数据就会立即基于TOTP口令算法对当前第二授权数据的第二TOTP口令进行验证得到对应的第二验证结果；

步骤323，在得到的所有第二授权数据对应的第二验证结果都为验证成功时，基于门限密钥共享方案根据得到所有第一对称密钥片段进行原始密钥恢复处理得到对应的第一对称密钥；

这里，由前文已知第一存储密钥管理员的数量为第二数量M，那么也就是本发明实施例的第一数据处理系统在得到的M个第二验证结果都为验证成功时会基于门限密钥共享方案由得到的M个第一对称密钥片段进行原始密钥恢复，此处恢复出的原始密钥就是第一对称密钥；

步骤324，对第一明文数据包的所有第一电信卡数据记录进行遍历；并在遍历时，将当前遍历的第一电信卡数据记录作为对应的当前记录，并将当前记录中第一数据项名称满足关键数据项名称集合的第一数据项字段记为关键数据项字段、将第一数据项名称不满足关键数据项名称集合的第一数据项字段记为非关键数据项字段；并基于第一对称密钥对各个关键数据项字段的第一数据项取值进行加密得到对应的第一数据项密文数据，并各个关键数据项字段对应的第一数据项名称和第一数据项密文数据作为对应的第一存储数据项名称和第一存储数据项取值组成对应的第一存储数据项字段；并由各个非关键数据项字段的第一数据项名称和第一数据项取值作为对应的第一存储数据项名称和第一存储数据项取值组成对应的第一存储数据项字段；并由得到的所有第一存储数据项字段组成一个对应的第一存储数据记录添加到第一数据库中，并在第一数据库中为本次添加的第一存储数据记录分配一个对应的第一存储数据记录标识。

这里，本发明实施例的第一数据处理系统在使用第一对称密钥对各个电信卡数据即各个第一电信卡数据记录进行加密存储时，不会对每个第一电信卡数据记录进行全记录加密、这样会影响该数据的查询效率，只会基于一个预先设置的关键数据项名称集合对每个第一电信卡数据记录中的一个或多个关键数据项进行加密；常规情况下，会将诸如不会对物联网设备运营商造成损失的MSISDN数据项、ICCID数据项等这类能唯一标识电信卡的数据项置于关键数据项名称集合之外。

另外还需要说明的是，本发明实施例的第一数据处理系统在使用第一对称密钥加密时，可以直接使用第一对称密钥进行加密、也可以按一卡一密的方式先基于一个每张卡特有的唯一标识(诸如ICCID信息)对第一对称密钥进行分散得到一个与每张卡唯一对应的分散密钥再基于该分散密钥进行加密。即本发明实施例的第一数据处理系统在基于第一对称密钥对各个关键数据项字段的第一数据项取值进行加密得到对应的第一数据项密文数据的具体实现步骤包括：

步骤A1，对本地预设的密钥分散标志进行识别；

其中，密钥分散标志包括无效标志和有效标志；

这里，密钥分散标志若为无效标志则说明本发明实施例的第一数据处理系统会直接使用第一对称密钥进行加密；反之，密钥分散标志若为有效标志则说明本发明实施例的第一数据处理系统会使用第一对称密钥的分散密钥进行加密；

步骤A2，若密钥分散标志为无效标志，则以第一对称密钥作为对应的当前加密密钥，并使用当前加密密钥对当前记录的各个关键数据项字段的第一数据项取值进行加密得到对应的第一数据项密文数据；

步骤A3，若密钥分散标志为有效标志，则将当前记录中第一数据项名称为ICCID的第一数据项字段的第一存储数据项取值提取出来作为对应的当前分散因子，并使用第一对称密钥对当前分散因子进行加密并将加密结果作为对应的当前加密密钥，并使用当前加密密钥对当前记录的各个关键数据项字段的第一数据项取值进行加密得到对应的第一数据项密文数据。

这里，第一数据项名称为ICCID的第一数据项字段的第一存储数据项取值实际就是ICCID数据项的具体取值；本发明实施例的第一数据处理系统在处理密钥分散时以根密钥即第一对称密钥对ICCID信息进行加密来实现；因为每张电信卡的ICCID信息都是唯一的，所以基于ICCID信息进行分散得到的当前加密密钥也是与每张卡唯一对应的，这样就达到了一卡一密的目的。

在对下文步骤4进行说明之前，先对本发明实施例第一数据使用方侧的数据使用申请准备过程进行如下说明：第一数据使用方预先对第一数据库中的所有第一电信卡数据记录的MSISDN数据项字段和或ICCID数据项字段进行预览，并基于MSISDN和/或ICCID从预览页面中选中本次要操作的一个或多个第一电信卡数据记录，因为每个第一电信卡数据记录的第一存储数据记录标识是已知的，所有第一数据使用方就将本次选中的各个第一电信卡数据记录的第一存储数据记录标识作为一个对应的第一申请记录标识，并由得到的所有第一申请记录标识组成本次提交的第一数据使用申请向第一数据处理系统发送。

步骤4，在接收到第一数据使用方发送的第一数据使用申请时，根据第一数据使用申请从第一数据库中选出对应的存储数据组成第一原始数据包；并基于所有第一存储密钥管理员侧的第一对称密钥片段对第一原始数据包进行关键数据解密处理得到对应的第二明文数据包；并基于所有第二传输密钥管理员侧的第二私钥片段对第二明文数据包进行数据加密处理得到对应的第二密文数据包；并将第二密文数据包向第一数据使用方发送；

具体包括：步骤41，根据第一数据使用申请从第一数据库中选出对应的存储数据组成第一原始数据包；

其中，第一数据使用申请包括多个第一申请记录标识；第一原始数据包由多个第一存储数据记录组成；

具体包括：将第一数据库中第一存储数据记录标识与第一数据使用申请的各个第一申请记录标识匹配的第一存储数据记录提取出来组成对应的第一原始数据包；

这里，本发明实施例的第一数据处理系统在收到第一数据使用申请之后先直接根据第一数据使用申请对第一数据库进行原始记录提取并提取出的所有记录组成第一原始数据包；

步骤42，并基于所有第一存储密钥管理员侧的第一对称密钥片段对第一原始数据包进行关键数据解密处理得到对应的第二明文数据包；

其中，第二明文数据包由多个第二电信卡数据记录组成；第二电信卡数据记录包括多个第二数据项字段；第二数据项字段由第二数据项名称和第二数据项取值组成，第二数据项名称和第二数据项取值都为明文数据；

具体包括：步骤421，向所有第一存储密钥管理员发送第二存储密钥授权申请；并接收各个第一存储密钥管理员回发的第三授权数据；

其中，第三授权数据包括第三TOTP口令和第一对称密钥片段；

这里需要说明的是，本发明实施例的各个第一存储密钥管理员在接收到第一数据处理系统发送的第二存储密钥授权申请时，基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的第三TOTP口令；并由第三TOTP口令和本地存储的第一对称密钥片段组成对应的第三授权数据向第一数据处理系统回发；

步骤422，并在每接收到一个第三授权数据时，就基于TOTP口令算法对当前第三授权数据的第三TOTP口令进行验证得到对应的第三验证结果；

其中，第三验证结果包括验证成功和验证失败；

具体包括：基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的当次动态口令；并对当次动态口令是否与当前第三授权数据的第三TOTP口令匹配进行识别；若匹配，则设置对应的第三验证结果为验证成功；若不匹配，则设置对应的第三验证结果为验证失败；

这里，本发明实施例的第一数据处理系统每收到一个第一存储密钥管理员回发的第三授权数据就会立即基于TOTP口令算法对当前第三授权数据的第三TOTP口令进行验证得到对应的第三验证结果；

步骤423，在得到的所有第三授权数据对应的第三验证结果都为验证成功时，基于门限密钥共享方案根据得到所有第一对称密钥片段进行原始密钥恢复处理得到对应的第一对称密钥；

这里，由前文已知第一存储密钥管理员的数量为第二数量M，那么也就是本发明实施例的第一数据处理系统在得到的M个第三验证结果都为验证成功时会基于门限密钥共享方案由得到的M个第一对称密钥片段进行原始密钥恢复，此处恢复出的原始密钥就是第一对称密钥；

步骤424，对第一原始数据包的所有第一存储数据记录进行遍历；并在遍历时，将当前遍历的第一存储数据记录作为对应的当前记录，并将当前记录中第一存储数据项名称满足关键数据项名称集合的第一存储数据项字段记为关键数据项字段、将第一存储数据项名称不满足关键数据项名称集合的第一存储数据项字段记为非关键数据项字段；并基于第一对称密钥对各个关键数据项字段的第一存储数据项取值进行解密得到对应的第一数据项明文数据，并各个关键数据项字段对应的第一存储数据项名称和第一数据项明文数据作为对应的第二数据项名称和第二数据项取值组成对应的第二数据项字段；并由各个非关键数据项字段的第一存储数据项名称和第一存储数据项取值作为对应的第二数据项名称和第二数据项取值组成对应的第二数据项字段；并由得到的所有第二数据项字段组成一个对应的第二电信卡数据记录；并在遍历结束时，由得到的所有第二电信卡数据记录组成对应的第二明文数据包；

这里，本发明实施例的第一数据处理系统在使用第一对称密钥对第一原始数据包的各个第一存储数据记录进行解密时，不会对第一存储数据记录的每个数据项进行解密，只会基于一个预先设置的关键数据项名称集合对每个第一存储数据记录中的一个或多个关键数据项进行解密；

另外还需要说明的是，如前文所述本发明实施例的第一数据处理系统在使用第一对称密钥加密时可以直接使用第一对称密钥进行加密、也可以按一卡一密的方式基于第一对称密钥的一个分散密钥进行加密，那么反之在对该加密数据进行解密时同样可以直接使用第一对称密钥进行解密、也可以按一卡一密的方式基于第一对称密钥的一个分散密钥进行解密；即本发明实施例的第一数据处理系统在基于第一对称密钥对各个关键数据项字段的第一存储数据项取值进行解密得到对应的第一数据项明文数据的具体实现步骤包括：

步骤B1，对本地预设的密钥分散标志进行识别；

其中，密钥分散标志包括无效标志和有效标志；

步骤B2，若密钥分散标志为无效标志，则以第一对称密钥作为对应的当前解密密钥，并使用当前解密密钥对当前记录的各个关键数据项字段的第一存储数据项取值进行解密得到对应的第一数据项明文数据；

步骤B3，若密钥分散标志为有效标志，则将当前记录中第一数据项名称为ICCID的第一数据项字段的第一存储数据项取值提取出来作为对应的当前分散因子，并使用第一对称密钥对当前分散因子进行加密并将加密结果作为对应的当前解密密钥，并使用当前解密密钥对当前记录的各个关键数据项字段的第一存储数据项取值进行解密得到对应的第一数据项明文数据；

这里，如前文所述本发明实施例的第一数据处理系统以根密钥即第一对称密钥对ICCID信息进行加密来得到分散后的加密密钥，因此在准备分散后的解密密钥时也应采用同样的处理方式来准备；

步骤43，并基于所有第二传输密钥管理员侧的第二私钥片段对第二明文数据包进行数据加密处理得到对应的第二密文数据包；

具体包括：步骤431，向所有第二传输密钥管理员发送第二传输密钥授权申请；并接收各个第一存储密钥管理员回发的第四授权数据；

其中，第四授权数据包括第四TOTP口令和第二私钥片段；

这里需要说明的是，本发明实施例的各个第二传输密钥管理员在接收到第一数据处理系统发送的第二传输密钥授权申请时，基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的第四TOTP口令；并由第四TOTP口令和本地存储的第二私钥片段段组成对应的第四授权数据向第一数据处理系统回发；

步骤432，并在每接收到一个第四授权数据时，就基于TOTP口令算法对当前第四授权数据的第四TOTP口令进行验证得到对应的第四验证结果；

其中，第四验证结果包括验证成功和验证失败；

具体包括：基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的第三动态口令；并对第三动态口令是否与当前第四授权数据的第四TOTP口令匹配进行识别；若匹配，则设置对应的第四验证结果为验证成功；若不匹配，则设置对应的第四验证结果为验证失败；其中，第一数据处理系统侧预设的时间步长与第二传输密钥管理员侧预设的时间步长匹配；

这里，本发明实施例的第一数据处理系统每收到一个第二传输密钥管理员回发的第四授权数据就会立即基于TOTP口令算法对当前第四授权数据的第四TOTP口令进行验证得到对应的第四验证结果；

步骤433，在得到的所有第四授权数据对应的第四验证结果都为验证成功时，基于门限密钥共享方案根据得到所有第二私钥片段进行原始密钥恢复处理得到对应的第二私钥；

这里，由前文已知第二传输密钥管理员的数量为第三数量K，那么也就是本发明实施例的第一数据处理系统在得到的K个第四验证结果都为验证成功时会基于门限密钥共享方案由得到的K个第二私钥片段进行原始密钥恢复，此处恢复出的原始密钥就是第二私钥；

步骤434，并基于第二私钥对第二明文数据包进行加密得到对应的第二密文数据包；

步骤44，并将第二密文数据包向第一数据使用方发送。

这里，由前文可知第二私钥是与第二公钥对应的，第二公钥预先被分发给了第一数据使用方，那么第一数据使用方在收到第一数据处理系统发送的第二密文数据包之后基于第二公钥对其进行解密就能得到对应的第二明文数据包也就是第一数据使用申请中选中的所有第一电信卡数据记录的明文信息。

另外还需要说明的是，本发明实施例的第一数据处理系统还会定期对与第一电信运营商之间约定的第一公私钥对、与第一数据使用方之间约定的第二公私钥对以及第一对称密钥进行刷新；并在刷新后将新的第一公钥、第二公钥向第一电信运营和第一数据使用方分发，并采用与步骤2类似的方式生成新的第一私钥片段向第一传输密钥管理员分发、生成新的第一对称密钥片段向第一存储密钥管理员分发、生成新的第二私钥片段向第二传输密钥管理员分发；对应的，第一电信运营和第一数据使用方则使用新的第一公钥、第二公钥更新本地存储的旧公钥数据，第一传输密钥管理员、第一存储密钥管理员、第二传输密钥管理员则使用新的第一私钥片段、第一对称密钥片段、第二私钥片段更新本地存储的旧片段数据。

图2为本发明实施例二提供的一种电子设备的结构示意图。该电子设备可以为前述的终端设备或者服务器，也可以为与前述终端设备或者服务器连接的实现本发明实施例方法的终端设备或服务器。如图2所示，该电子设备可以包括：处理器301(例如CPU)、存储器302、收发器303；收发器303耦合至处理器301，处理器301控制收发器303的收发动作。存储器302中可以存储各种指令，以用于完成各种处理功能以及实现前述方法实施例描述的处理步骤。优选的，本发明实施例涉及的电子设备还包括：电源304、系统总线305以及通信端口306。系统总线305用于实现元件之间的通信连接。上述通信端口306用于电子设备与其他外设之间进行连接通信。

在图2中提到的系统总线305可以是外设部件互连标准(Peripheral ComponentInterconnect，PCI)总线或扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。该系统总线可以分为地址总线、数据总线、控制总线等。为便于表示，图2中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。通信接口用于实现数据库访问装置与其他设备(例如客户端、读写库和只读库)之间的通信。存储器可能包含随机存取存储器(Random Access Memory，RAM)，也可能还包括非易失性存储器(Non-Volatile Memory)，例如至少一个磁盘存储器。

上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)、图形处理器(Graphics Processing Unit，GPU)等；还可以是数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(FieldProgrammable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

需要说明的是，本发明实施例还提供一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述实施例中提供的方法。

本发明实施例还提供一种运行指令的芯片，该芯片用于执行前述方法实施例描述的处理步骤。

本发明实施例提供了一种电信卡数据的加解密方法、电子设备及计算机可读存储介质；在数据处理系统与电信运营商之间约定一组用于处理二者间数据传输的第一公私钥对，并将其中的第一公钥分发给电信运营商用于数据加密，并基于门限密钥共享方案将第一私钥分割成多个第一私钥片段分发给多个第一传输密钥管理员进行保管；在数据处理系统与数据使用方之间约定一组用于处理二者间数据传输的第二公私钥对，并将其中的第二公钥分发给数据使用方用于数据解密，并基于门限密钥共享方案将第二私钥分割成多个第二私钥片段分发给多个第二传输密钥管理员进行保管；在数据处理系统与存储数据的数据库之间约定一个用于处理数据存储和读取的第一对称密钥，并基于门限密钥共享方案将第一对称密钥分割成多个第一对称密钥片段分发给多个第一存储密钥管理员进行保管；并在接收到电信运营商发送的密文数据包时，根据所有第一传输密钥管理员给出的第一私钥片段进行密钥恢复得到对应的第一私钥，并使用第一私钥对密文数据包进行解密得到对应的明文数据包，并根据所有第一存储密钥管理员给出的第一对称密钥片段进行密钥恢复得到对应的第一对称密钥，并使用第一对称密钥对明文数据包内各数据记录的关键数据项进行加密，并将完成了关键数据项加密的数据记录存储到数据库中；并在接收到数据使用方发送的数据使用申请时，根据数据使用申请从数据库中获取原始的存储记录构成原始数据包，并根据所有第一存储密钥管理员给出的第一对称密钥片段进行密钥恢复得到对应的第一对称密钥，并使用第一对称密钥对原始数据包内各数据记录的关键数据项进行解密、并由完成了关键数据项解密的数据记录构成对应的明文数据包，并根据所有第二传输密钥管理员给出的第二私钥片段进行密钥恢复得到对应的第二私钥，并基于第二私钥对解密后得到的明文数据包进行加密并将得到的加密数据包向数据使用方发送。本发明既可以保证在电信卡数据传输过程中不会发生明文数据泄露，也可以保证在电信卡数据存储过程中不会发生关键数据的明文信息泄露；通过本发明既降低了数据泄露风险、也降低了物联网设备运营商的运维风险。

专业人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (16)

1.一种电信卡数据的加解密方法，其特征在于，所述方法包括：

第一数据处理系统生成两组非对称密钥算法体系的公私钥对记为对应的第一公私钥对和第二公私钥对并保存；并生成一个对称密钥算法体系的对称密钥记为对应的第一对称密钥并保存；并将所述第一公私钥对的第一公钥向第一电信运营商分发、将所述第二公私钥对的第二公钥向第一数据使用方分发；所述第一公私钥包括所述第一公钥和第一私钥；所述第二公私钥包括所述第二公钥和第二私钥；

设置第一数量N个第一传输密钥管理员、第二数量M个第一存储密钥管理员和第三数量K个第二传输密钥管理员；并基于预设的门限密钥共享方案对所述第一私钥进行N个片段密钥分割处理得到对应的N个第一私钥片段，并将各个所述第一私钥片段向对应的所述第一传输密钥管理员分发；并基于所述门限密钥共享方案对所述第一对称密钥进行M个片段密钥分割处理得到对应的M个第一对称密钥片段，并将各个所述第一对称密钥片段向对应的所述第一存储密钥管理员分发；并基于所述门限密钥共享方案对所述第二私钥进行K个片段密钥分割处理得到对应的K个第二私钥片段，并将各个所述第二私钥片段向对应的所述第二传输密钥管理员分发；所述第一数量N、所述第二数量M和所述第三数量K均为大于1的整数；所述第一私钥片段与所述第一传输密钥管理员一一对应；所述第一对称密钥片段与所述第一存储密钥管理员一一对应；所述第二私钥片段与所述第二传输密钥管理员一一对应；

在接收到所述第一电信运营商发送的第一密文数据包时，基于所有所述第一传输密钥管理员侧的所述第一私钥片段对所述第一密文数据包进行数据解密处理得到对应的第一明文数据包；并基于所有所述第一存储密钥管理员侧的所述第一对称密钥片段对所述第一明文数据包进行关键数据加密处理并将处理后的数据存入预设的第一数据库；

在接收到所述第一数据使用方发送的第一数据使用申请时，根据所述第一数据使用申请从所述第一数据库中选出对应的存储数据组成第一原始数据包；并基于所有所述第一存储密钥管理员侧的所述第一对称密钥片段对所述第一原始数据包进行关键数据解密处理得到对应的第二明文数据包；并基于所有所述第二传输密钥管理员侧的所述第二私钥片段对所述第二明文数据包进行数据加密处理得到对应的第二密文数据包；并将所述第二密文数据包向所述第一数据使用方发送。

2.根据权利要求1所述的电信卡数据的加解密方法，其特征在于，所述方法还包括：

所述第一电信运营商在接收到所述第一数据处理系统分发的所述第一公钥之后，在指定时间对与所述第一数据处理系统对应的各个电信卡的数据进行采集生成对应的第一电信卡数据记录，并由得到的所有所述第一电信卡数据记录组成对应的所述第一明文数据包；并使用所述第一公钥对所述第一明文数据包进行数据加密处理生成对应的所述第一密文数据包向所述第一数据处理系统发送；所述第一电信卡数据记录包括多个第一数据项字段，各个所述第一数据项字段由数据项名称和数据项取值组成。

3.根据权利要求1所述的电信卡数据的加解密方法，其特征在于，

所述第一数据处理系统分别与所述第一电信运营商、所述第一数据使用方、各个所述第一传输密钥管理员、各个所述第一存储密钥管理员和各个所述第二传输密钥管理员连接；

所述非对称密钥算法体系包括RSA算法体系和国密SM2算法体系；

所述对称密钥算法体系包括DES算法体系、3DES算法体系、AES算法体系、国密SM1算法体系、国密SM4算法体系和国密SM7算法体系；

所述门限密钥共享方案包括标准Shamir方案、基于标准Shamir方案进行拓展的GMW方案和基于标准Shamir方案进行拓展的BGW方案；

所述第一明文数据包由多个第一电信卡数据记录组成；所述第一电信卡数据记录包括多个第一数据项字段；所述第一数据项字段由第一数据项名称和第一数据项取值组成，所述第一数据项名称和所述第一数据项取值都为明文数据；

所述第一数据库包括多个第一存储数据记录；每个所述第一存储数据记录对应一个第一存储数据记录标识；所述第一存储数据记录包括多个第一存储数据项字段；所述第一存储数据项字段由第一存储数据项名称和第一存储数据项取值组成；所述第一存储数据项字段的所述第一存储数据项名称若不满足预设的关键数据项名称集合则对应的所述第一存储数据项取值为明文数据，所述第一存储数据项字段的所述第一存储数据项名称若满足所述关键数据项名称集合则对应的所述第一存储数据项取值为密文数据；所述关键数据项名称集合由一个或多个关键数据项名称组成；所述第一存储数据记录的所述第一存储数据项字段与所述第一电信卡数据记录的所述第一数据项字段一一对应；

所述第一数据使用申请包括多个第一申请记录标识；

所述第一原始数据包由多个所述第一存储数据记录组成；

所述第二明文数据包由多个第二电信卡数据记录组成；所述第二电信卡数据记录包括多个第二数据项字段；所述第二数据项字段由第二数据项名称和第二数据项取值组成，所述第二数据项名称和所述第二数据项取值都为明文数据。

4.根据权利要求3所述的电信卡数据的加解密方法，其特征在于，所述基于所有所述第一传输密钥管理员侧的所述第一私钥片段对所述第一密文数据包进行数据解密处理得到对应的第一明文数据包，具体包括：

所述第一数据处理系统向所有所述第一传输密钥管理员发送第一传输密钥授权申请；并接收各个所述第一传输密钥管理员回发的第一授权数据；并在每接收到一个所述第一授权数据时，就基于TOTP口令算法对当前所述第一授权数据的第一TOTP口令进行验证得到对应的第一验证结果；所述第一授权数据包括所述第一TOTP口令和所述第一私钥片段；所述第一验证结果包括验证成功和验证失败；

在得到的所有所述第一授权数据对应的所述第一验证结果都为验证成功时，基于所述门限密钥共享方案根据得到所有所述第一私钥片段进行原始密钥恢复处理得到对应的所述第一私钥；并基于所述第一私钥对所述第一密文数据包进行解密得到对应的所述第一明文数据包。

5.根据权利要求4所述的电信卡数据的加解密方法，其特征在于，所述方法还包括：

所述第一传输密钥管理员在接收到所述第一数据处理系统发送的所述第一传输密钥授权申请时，基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的所述第一TOTP口令；并由所述第一TOTP口令和本地存储的所述第一私钥片段组成对应的所述第一授权数据向所述第一数据处理系统回发。

6.根据权利要求5所述的电信卡数据的加解密方法，其特征在于，所述基于TOTP口令算法对当前所述第一授权数据的第一TOTP口令进行验证得到对应的第一验证结果，具体包括：

所述第一数据处理系统基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的第一动态口令；并对所述第一动态口令是否与当前所述第一授权数据的所述第一TOTP口令匹配进行识别；若匹配，则设置对应的所述第一验证结果为验证成功；若不匹配，则设置对应的所述第一验证结果为验证失败；所述第一数据处理系统侧预设的时间步长与所述第一传输密钥管理员侧预设的时间步长匹配。

7.根据权利要求3所述的电信卡数据的加解密方法，其特征在于，所述基于所有所述第一存储密钥管理员侧的所述第一对称密钥片段对所述第一明文数据包进行关键数据加密处理并将处理后的数据存入预设的第一数据库，具体包括：

所述第一数据处理系统向所有所述第一存储密钥管理员发送第一存储密钥授权申请；并接收各个所述第一存储密钥管理员回发的第二授权数据；并在每接收到一个所述第二授权数据时，就基于TOTP口令算法对当前所述第二授权数据的第二TOTP口令进行验证得到对应的第二验证结果；所述第二授权数据包括所述第二TOTP口令和所述第一对称密钥片段；所述第二验证结果包括验证成功和验证失败；

在得到的所有所述第二授权数据对应的所述第二验证结果都为验证成功时，基于所述门限密钥共享方案根据得到所有所述第一对称密钥片段进行原始密钥恢复处理得到对应的所述第一对称密钥；

对所述第一明文数据包的所有所述第一电信卡数据记录进行遍历；并在遍历时，将当前遍历的所述第一电信卡数据记录作为对应的当前记录，并将所述当前记录中所述第一数据项名称满足所述关键数据项名称集合的所述第一数据项字段记为关键数据项字段、将所述第一数据项名称不满足所述关键数据项名称集合的所述第一数据项字段记为非关键数据项字段；并基于所述第一对称密钥对各个所述关键数据项字段的所述第一数据项取值进行加密得到对应的第一数据项密文数据，并各个所述关键数据项字段对应的所述第一数据项名称和所述第一数据项密文数据作为对应的所述第一存储数据项名称和所述第一存储数据项取值组成对应的所述第一存储数据项字段；并由各个所述非关键数据项字段的所述第一数据项名称和所述第一数据项取值作为对应的所述第一存储数据项名称和所述第一存储数据项取值组成对应的所述第一存储数据项字段；并由得到的所有所述第一存储数据项字段组成一个对应的所述第一存储数据记录添加到所述第一数据库中，并在所述第一数据库中为本次添加的第一存储数据记录分配一个对应的所述第一存储数据记录标识。

8.根据权利要求7所述的电信卡数据的加解密方法，其特征在于，所述方法还包括：

所述第一存储密钥管理员在接收到所述第一数据处理系统发送的所述第一存储密钥授权申请时，基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的所述第二TOTP口令；并由所述第二TOTP口令和本地存储的所述第一对称密钥片段组成对应的所述第二授权数据向所述第一数据处理系统回发。

9.根据权利要求8所述的电信卡数据的加解密方法，其特征在于，所述基于TOTP口令算法对当前所述第二授权数据的第二TOTP口令进行验证得到对应的第二验证结果，具体包括：

所述第一数据处理系统基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的第二动态口令；并对所述第二动态口令是否与当前所述第二授权数据的所述第二TOTP口令匹配进行识别；若匹配，则设置对应的所述第二验证结果为验证成功；若不匹配，则设置对应的所述第二验证结果为验证失败；所述第一数据处理系统侧预设的时间步长与所述第一存储密钥管理员侧预设的时间步长匹配。

10.根据权利要求3所述的电信卡数据的加解密方法，其特征在于，所述根据所述第一数据使用申请从所述第一数据库中选出对应的存储数据组成第一原始数据包，具体包括：

所述第一数据处理系统将所述第一数据库中所述第一存储数据记录标识与所述第一数据使用申请的各个所述第一申请记录标识匹配的所述第一存储数据记录提取出来组成对应的所述第一原始数据包。

11.根据权利要求3所述的电信卡数据的加解密方法，其特征在于，所述基于所有所述第一存储密钥管理员侧的所述第一对称密钥片段对所述第一原始数据包进行关键数据解密处理得到对应的第二明文数据包，具体包括：

所述第一数据处理系统向所有所述第一存储密钥管理员发送第二存储密钥授权申请；并接收各个所述第一存储密钥管理员回发的第三授权数据；并在每接收到一个所述第三授权数据时，就基于TOTP口令算法对当前所述第三授权数据的第三TOTP口令进行验证得到对应的第三验证结果；所述第三授权数据包括所述第三TOTP口令和所述第一对称密钥片段；所述第三验证结果包括验证成功和验证失败；

在得到的所有所述第三授权数据对应的所述第三验证结果都为验证成功时，基于所述门限密钥共享方案根据得到所有所述第一对称密钥片段进行原始密钥恢复处理得到对应的所述第一对称密钥；

对所述第一原始数据包的所有所述第一存储数据记录进行遍历；并在遍历时，将当前遍历的所述第一存储数据记录作为对应的当前记录，并将所述当前记录中所述第一存储数据项名称满足所述关键数据项名称集合的所述第一存储数据项字段记为关键数据项字段、将所述第一存储数据项名称不满足所述关键数据项名称集合的所述第一存储数据项字段记为非关键数据项字段；并基于所述第一对称密钥对各个所述关键数据项字段的所述第一存储数据项取值进行解密得到对应的第一数据项明文数据，并各个所述关键数据项字段对应的所述第一存储数据项名称和所述第一数据项明文数据作为对应的所述第二数据项名称和所述第二数据项取值组成对应的所述第二数据项字段；并由各个所述非关键数据项字段的所述第一存储数据项名称和所述第一存储数据项取值作为对应的所述第二数据项名称和所述第二数据项取值组成对应的所述第二数据项字段；并由得到的所有所述第二数据项字段组成一个对应的所述第二电信卡数据记录；并在遍历结束时，由得到的所有所述第二电信卡数据记录组成对应的所述第二明文数据包。

12.根据权利要求3所述的电信卡数据的加解密方法，其特征在于，所述基于所有所述第二传输密钥管理员侧的所述第二私钥片段对所述第二明文数据包进行数据加密处理得到对应的第二密文数据包，具体包括：

所述第一数据处理系统向所有所述第二传输密钥管理员发送第二传输密钥授权申请；并接收各个所述第一存储密钥管理员回发的第四授权数据；并在每接收到一个所述第四授权数据时，就基于TOTP口令算法对当前所述第四授权数据的第四TOTP口令进行验证得到对应的第四验证结果；所述第四授权数据包括所述第四TOTP口令和所述第二私钥片段；所述第四验证结果包括验证成功和验证失败；

在得到的所有所述第四授权数据对应的所述第四验证结果都为验证成功时，基于所述门限密钥共享方案根据得到所有所述第二私钥片段进行原始密钥恢复处理得到对应的所述第二私钥；并基于所述第二私钥对所述第二明文数据包进行加密得到对应的所述第二密文数据包。

13.根据权利要求12所述的电信卡数据的加解密方法，其特征在于，所述方法还包括：

所述第二传输密钥管理员在接收到所述第一数据处理系统发送的所述第二传输密钥授权申请时，基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算并将本次计算得到的动态口令作为对应的所述第四TOTP口令；并由所述第四TOTP口令和本地存储的所述第二私钥片段段组成对应的所述第四授权数据向所述第一数据处理系统回发。

14.根据权利要求13所述的电信卡数据的加解密方法，其特征在于，所述基于TOTP口令算法对当前所述第四授权数据的第四TOTP口令进行验证得到对应的第四验证结果，具体包括：

所述第一数据处理系统基于TOTP口令算法根据当前时间和预设的时间步长进行动态口令计算得到对应的第三动态口令；并对所述第三动态口令是否与当前所述第四授权数据的所述第四TOTP口令匹配进行识别；若匹配，则设置对应的所述第四验证结果为验证成功；若不匹配，则设置对应的所述第四验证结果为验证失败；所述第一数据处理系统侧预设的时间步长与所述第二传输密钥管理员侧预设的时间步长匹配。

15.一种电子设备，其特征在于，包括：存储器、处理器和收发器；

所述处理器用于与所述存储器耦合，读取并执行所述存储器中的指令，以实现权利要求1-14任一项所述的方法；

所述收发器与所述处理器耦合，由所述处理器控制所述收发器进行消息收发。

16.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，当所述计算机指令被计算机执行时，使得所述计算机执行权利要求1-14任一项所述的方法。