一种解密方法、装置及相关设备与流程
本技术涉及通信，尤其涉及一种解密方法、装置及相关设备。
背景技术：
1、当前，在通信数据传输过程中采用密钥加密密钥（key encryption key，kek）和数据加密密钥（data encryption key，dek）的信封分层加密体系，完成业务数据加密和解密工作。其中，dek直接用于业务数据的加密和解密运算；现有解密流程中，解密运算阶段解析生成的 dek 明文临时寄存于主机的内存中，恶意主体能依托越权进程抓取内存快照和遍历内存空间获取dek明文，导致解密过程中的安全性较低。
技术实现思路
1、本技术实施例提供了一种解密方法、装置及相关设备，能解决解密过程中的安全性较低的技术问题。
2、第一方面，本技术实施例提供了一种解密方法，所述方法包括：
3、获取目标主机发送的解密请求数据，所述解密请求数据包括第一密文、第二密文和所述第一密文的数字签名令牌，所述第二密文为所述第一密文的数据加密密钥的加密密文，所述数字签名令牌用于验证所述第一密文的有效性；
4、利用目标硬件对所述数字签名令牌进行鉴权，在所述数字签名令牌通过所述目标硬件的鉴权情况下，利用所述目标硬件根据所述第二密文的根密钥对所述第二密文解密，得到所述第一密文的数据加密密钥，并将所述第一密文的数据加密密钥存储在所述目标硬件中静态随机存取存储器sram的第一存储区域，所述目标硬件为对所述解密请求数据进行处理的逻辑电路，所述目标硬件与所述目标主机相互隔离；
5、利用所述目标硬件根据所述第一密文的数据加密密钥对所述第一密文进行解密，得到第一密文对应的明文；
6、利用所述目标硬件触发对所述sram的擦除指令，根据所述擦除指令向所述sram的第一存储区域注入高熵噪声流，所述高熵噪声流用于擦除所述第一存储区域中所述第一密文的数据加密密钥。
7、可选的，所述目标硬件还包括：安全控制器、根密钥阵列、密钥管理单元、密码学加速引擎和真随机数发生器；
8、所述安全控制器用于对所述数字签名令牌进行鉴权；
9、所述根密钥阵列用于存储所述第二密文的根密钥；
10、所述密钥管理单元用于读取所述根密钥阵列中所述第二密文的根密钥，根据所述第二密文的根密钥对所述第二密文解密，得到所述第一密文的数据加密密钥，并将所述第一密文的数据加密密钥存储在所述目标硬件中sram的第一存储区域；
11、所述密码学加速引擎用于根据所述第一密文的数据加密密钥对所述第一密文进行解密；
12、所述真随机数发生器用于向所述sram的第一存储区域提供高熵噪声流。
13、可选的，所述密码学加速引擎的逻辑电路末端设置有状态指示针脚；在所述第一密文完成解密时，所述状态指示针脚发生电平的状态变化；
14、所述目标硬件对所述sram的擦除指令在所述状态变化的下一时钟周期触发，所述时钟周期为所述目标硬件的工作时钟周期。
15、可选的，所述sram包括多个相互独立的存储区域；所述多个相互独立的存储区域经由各自对应的控制线路分别与所述密码学加速引擎电连接；所述第一存储区域为所述相互独立的多个存储区域中的一个。
16、可选的，所述数字签名令牌由预设第一密钥对第一哈希值进行非对称加密得到，所述第一哈希值为所述第二密文、预设随机数和所述第一密文的时间戳级联拼接结果的哈希值；
17、所述利用所述目标硬件对所述数字签名令牌进行鉴权，包括：
18、利用所述安全控制器对所述数字签名令牌的来源合法性进行鉴权，得到第一鉴权结果，所述安全控制器内置有与所述预设第一密钥相对应的验证密钥的逻辑电路；
19、利用所述安全控制器对所述数字签名令牌所包括的预设随机数进行鉴权，得到第二鉴权结果；
20、利用所述安全控制器对所述安全控制器的当前时间、所述数字签名令牌所对应的时间戳和预设时间漂移范围进行鉴权，得到第三鉴权结果，所述预设时间漂移范围为所述安全控制器的当前时间与所述第一密文所对应的时间戳之差的预设范围；
21、根据所述第一鉴权结果、所述第二鉴权结果和所述第三鉴权结果确定所述数字签名令牌是否通过所述目标硬件的鉴权。
22、可选的，所述方法还包括：
23、基于点对点p2p通信协议或高速串行外设互连总线pcie所构建的通信链路绕过所述目标主机，向目标节点发送所述第一密文对应的明文。
24、第二方面，本技术实施例提供了一种解密装置，所述装置包括：
25、获取模块，用于获取目标主机发送的解密请求数据，所述解密请求数据包括第一密文、第二密文和所述第一密文的数字签名令牌，所述第二密文为所述第一密文的数据加密密钥的加密密文，所述数字签名令牌用于验证所述第一密文的有效性；
26、第一处理模块，用于利用目标硬件对所述数字签名令牌进行鉴权，在所述数字签名令牌通过所述目标硬件的鉴权情况下，利用所述目标硬件根据所述第二密文的根密钥对所述第二密文解密，得到所述第一密文的数据加密密钥，并将所述第一密文的数据加密密钥存储在所述目标硬件中静态随机存取存储器sram的第一存储区域，所述目标硬件为对所述解密请求数据进行处理的逻辑电路，所述目标硬件与所述目标主机相互隔离；
27、第二处理模块，用于利用所述目标硬件根据所述第一密文的数据加密密钥对所述第一密文进行解密，得到第一密文对应的明文；
28、第三处理模块，用于利用所述目标硬件触发对所述sram的擦除指令，根据所述擦除指令向所述sram的第一存储区域注入高熵噪声流，所述高熵噪声流用于擦除所述第一存储区域中所述第一密文的数据加密密钥。
29、第三方面，本技术实施例提供了一种电子设备，包括：处理器、存储器及存储在所述存储器上并可在所述处理器上运行的程序，所述程序被所述处理器执行时实现如第一方面所述的解密方法的步骤。
30、第四方面，本技术实施例提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如第一方面所述的解密方法的步骤。
31、第五方面，本技术实施例提供了一种计算机程序产品，包括计算机指令，该计算机指令被处理器执行时实现如第一方面所述的解密方法的步骤。
32、本技术实施例中，获取目标主机发送的解密请求数据，所述解密请求数据包括第一密文、第二密文和所述第一密文的数字签名令牌，所述第二密文为所述第一密文的数据加密密钥的加密密文，所述数字签名令牌用于验证所述第一密文的有效性；利用目标硬件对所述数字签名令牌进行鉴权，在所述数字签名令牌通过所述目标硬件的鉴权情况下，利用所述目标硬件根据所述第二密文的根密钥对所述第二密文解密，得到所述第一密文的数据加密密钥，并将所述第一密文的数据加密密钥存储在所述目标硬件中静态随机存取存储器sram的第一存储区域，所述目标硬件为对所述解密请求数据进行处理的逻辑电路，所述目标硬件与所述目标主机相互隔离；利用所述目标硬件根据所述第一密文的数据加密密钥对所述第一密文进行解密，得到第一密文对应的明文；利用所述目标硬件触发对所述sram的擦除指令，根据所述擦除指令向所述sram的第一存储区域注入高熵噪声流，所述高熵噪声流用于擦除所述第一存储区域中所述第一密文的数据加密密钥。通过上述在目标硬件中完成令牌鉴权、解密所述第一密文的数据加密密钥、存储第一密文的数据加密密钥、解密所述第一密文和擦除所述第一密文的数据加密密钥的步骤完成解密过程。
33、由于目标硬件与目标主机隔离，在所述目标硬件中完成解密过程，恶意主体无法通过目标主机窃取在所述目标硬件中的所述第一密文的数据加密密钥，能减少所述第一密文的数据加密密钥的外泄风险，提高解密过程的安全性；同时，由于利用所述目标硬件直接触发对所述sram的擦除指令，恶意主体难以通过篡改所述目标主机的内存或者劫持应用程序的方式拦截或跳过擦除指令，根据难以拦截或跳过的擦除指令向所述sram的第一存储区域注入高熵噪声流，能覆盖所述第一密文的数据加密密钥对应的电路物理痕迹，避免所述第一密文的数据加密密钥外泄，进一步提高解密过程的安全性。