一种基于可信硬件的数据管理方法、装置及设备与流程

1.本技术涉及互联网技术领域，尤其涉及一种基于可信硬件的数据管理方法、装置及设备。


背景技术：

2.随着科技的发展和进步，目前已经进入了数字化时代。通过计算机存储、处理和传播等技术，使得我们的信息得到了极大速度的推广和传播，数字技术也已经成为了当代各类传媒的核心技术和普遍技术。随之而来的，由个人及企业拥有或者控制的数据资源，也逐渐开始能够为个人及企业带来越来越多的利益，因此，数据资产也被认为是数字时代的最重要的资产形式之一。
3.基于此，如何提供一种使用更加便捷、可靠的管理用户数据的方法成为了一种亟需解决的问题。


技术实现要素：

4.本说明书实施例提供一种基于可信硬件的数据管理方法、装置及设备，以提升用户管理个人数据时的便捷性及可靠性。
5.为解决上述技术问题，本说明书实施例是这样实现的：
6.本说明书实施例提供的一种基于可信硬件的数据管理方法，包括：
7.可信硬件获取待发布的数据描述信息；所述数据描述信息用于描述可信机构处可提供的数据所有方的目标数据；所述可信硬件与所述数据所有方的分布式数字身份标识具有绑定关系；
8.请求所述可信机构验证所述可信机构处是否存储有生成所述目标数据所需的用户业务数据；
9.接收所述可信机构反馈的验证结果；
10.若所述验证结果表示所述可信机构处存储有生成所述目标数据所需的用户业务数据，则发布所述数据描述信息。
11.本说明书实施例提供的一种数据获取方法，包括：
12.获取数据所有方发布的数据描述信息；所述数据描述信息用于描述可信机构处可提供的所述数据所有方的目标数据；
13.根据所述数据描述信息，生成针对所述目标数据的获取请求；
14.发送所述获取请求至所述数据所有方的可信硬件处；所述可信硬件与所述数据所有方的分布式数字身份标识具有绑定关系；
15.接收所述目标数据。
16.本说明书实施例提供的一种基于可信硬件的数据管理装置，包括：
17.第一获取模块，用于可信硬件获取待发布的数据描述信息；所述数据描述信息用于描述可信机构处可提供的数据所有方的目标数据；所述可信硬件与所述数据所有方的分
布式数字身份标识具有绑定关系；
18.请求检验模块，用于请求所述可信机构验证所述可信机构处是否存储有生成所述目标数据所需的用户业务数据；
19.第一接收模块，用于接收所述可信机构反馈的验证结果；
20.发布模块，用于若所述验证结果表示所述可信机构处存储有生成所述目标数据所需的用户业务数据，则发布所述数据描述信息。
21.本说明书实施例提供的一种数据获取装置，包括：
22.第一获取模块，用于获取数据所有方发布的数据描述信息；所述数据描述信息用于描述可信机构处可提供的所述数据所有方的目标数据；
23.获取请求生成模块，用于根据所述数据描述信息，生成针对所述目标数据的获取请求；
24.发送模块，用于发送所述获取请求至所述数据所有方的可信硬件处；所述可信硬件与所述数据所有方的分布式数字身份标识具有绑定关系；
25.接收模块，用于接收所述目标数据。
26.本说明书实施例提供的一种基于可信硬件的数据管理设备，包括：
27.至少一个处理器；以及，
28.与所述至少一个处理器通信连接的存储器；其中，
29.所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：
30.获取待发布的数据描述信息；所述数据描述信息用于描述可信机构处可提供的数据所有方的目标数据；所述数据所有方的分布式数字身份标识与所述可信硬件具有绑定关系；
31.请求所述可信机构验证所述可信机构处是否存储有生成所述目标数据所需的用户业务数据；
32.接收所述可信机构反馈的验证结果；
33.若所述验证结果表示所述可信机构处存储有生成所述目标数据所需的用户业务数据，则发布所述数据描述信息。
34.本说明书实施例提供的一种数据获取设备，包括：
35.至少一个处理器；以及，
36.与所述至少一个处理器通信连接的存储器；其中，
37.所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：
38.获取数据所有方发布的数据描述信息；所述数据描述信息用于描述可信机构处可提供的所述数据所有方的目标数据；
39.根据所述数据描述信息，生成针对所述目标数据的获取请求；
40.发送所述获取请求至所述数据所有方的可信硬件处；所述可信硬件与所述数据所有方的分布式数字身份标识具有绑定关系；
41.接收所述目标数据。
42.本说明书中提供的至少一个实施例能够实现以下有益效果：
43.与数据所有方的分布式数字身份标识具有绑定关系的可信硬件，在获取到用于描述可信机构处可提供的数据所有方的目标数据的数据描述信息后，可以请求该可信机构验证是否存储有生成所述目标数据所需的用户业务数据；若是，则可以认为该数据描述信息真实有效，从而可以通过该可信硬件发布该数据描述信息。该方案不仅令数据所有方可以通过可信硬件对个人的数据资产进行便捷地管理，还可以避免数据所有方发布虚假的数据描述信息，从而便于数据所有方对个人数据资产进行可靠有效的管理。
附图说明
44.为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本技术中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
45.图1为本说明书实施例提供的一种基于可信硬件的数据管理方法的流程示意图；
46.图2为本说明书实施例提供的一种数据获取方法的流程示意图；
47.图3为本说明书实施例提供的对应于图1的一种基于可信硬件的数据管理装置的结构示意图；
48.图4为本说明书实施例提供的对应于图2的一种数据获取装置的结构示意图；
49.图5为本说明书实施例提供的对应于图1的一种基于可信硬件的数据管理设备的结构示意图；
50.图6为本说明书实施例提供的对应于图2的一种数据获取设备的结构示意图。
具体实施方式
51.为使本说明书一个或多个实施例的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本说明书一个或多个实施例的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本说明书的一部分实施例，而不是全部的实施例。基于本说明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本说明书一个或多个实施例保护的范围。
52.以下结合附图，详细说明本说明书各实施例提供的技术方案。
53.现有技术中，数据资产可以指由个人或企业拥有或者控制的，能够为个人或企业带来未来经济利益的，以物理或电子的方式记录的数据资源。例如，个人或企业的照片、文档、图纸、视频、数字版权等等以文件为载体的数据；数据资产是相对于实物资产以数据形式存在的一类资产。数据资产被认为是数字时代的最重要的资产形式之一。但目前尚无可以对个人或企业的数据资产进行安全、便捷、有效的管理的方法。
54.为了解决现有技术中的缺陷，本方案给出了以下实施例：
55.图1为本说明书实施例提供的一种基于可信硬件的数据管理方法的流程示意图。从程序角度而言，该流程的执行主体可以为可信硬件，或者也可以为与可信硬件通信连接的用于管理用户数据资产的应用客户端或应用服务端。如图1所示，该流程可以包括以下步骤：
56.步骤102：可信硬件获取待发布的数据描述信息；所述数据描述信息用于描述可信
机构处可提供的数据所有方的目标数据；所述可信硬件与所述数据所有方的分布式数字身份标识具有绑定关系。
57.在本说明书实施例中，可信硬件是可信计算的重要基础之一，基于可信硬件可以在硬件设备上构建可信执行环境(trusted execution environments，tee)，以保护可信硬件中的程序代码和数据免于被披露及被修改，进而可以保护可信硬件中的数据的隐私和安全。在实际应用中，可信硬件的类型有多种，例如，英特尔的sgx、arm trustzone等可信芯片。在本说明书实施例中，对于可信硬件所采用的具体型号不作具体限定。该可信硬件还可以包括搭载有可信芯片的终端设备或服务器等。
58.在本说明书实施例中，区块链(block chain)，可以理解为是多个区块顺序存储构成的数据链，每个区块的区块头都包含有本区块的时间戳、前一个区块信息的哈希值和本区块信息的哈希值，由此实现区块与区块之间的相互验证，构成不可篡改的区块链。每个区块都可以理解为是一个数据块(存储数据的单元)。区块链作为一种去中心化的数据库，是一串使用密码学方法相互关联产生的数据块，每一个数据块中包含了一次网络交易的信息，用于验证其信息的有效性(防伪)和生成下一个区块。区块与区块首尾相连形成的链，即为区块链。若需要修改块内数据，则需要修改此区块之后所有区块的内容，并将区块链网络中所有节点备份的数据进行修改。因此，区块链具有难以篡改、删除的特点，在数据已保存至区块链后，其作为一种保持内容完整性的方法具有可靠性。
59.在本说明书实施例中，可以通过区块链平台提供分布式数字身份服务。具体的，数据所有方可以通过用于管理用户数据资产的应用去请求分布式身份服务器(decentralized identity service，dis)来创建个人的分布式数字身份标识(decentralized identitfiers，did)以及分布式数字身份标识的文档(decentralized identitfiers document，did doc)。在实际应用中，数据所有方的did及did doc均可以存储在区块链平台中。
60.其中，dis是一种基于区块链的身份管理方案，dis服务器可以与区块链平台相连，并提供数字身份的创建、验证和管理等功能，从而实现规范化地管理和保护实体数据，同时保证信息流转的真实性和效率，并可以解决跨机构的身份认证和数据合作等难题。
61.在本说明书实施例中，数据所有方还可以利用可信硬件或者与该可信硬件通信连接的用于管理用户数据资产的应用，去请求建立该可信硬件与该数据所有方的did之间的绑定关系，从而便于数据所有方利用该可信硬件对个人的数据资产进行管理。
62.具体的，步骤102：获取待发布的数据描述信息之前，还可以包括：
63.获取数据所有方的身份识别信息。
64.获取可信硬件的硬件标识信息。
65.根据所述身份识别信息及所述硬件标识信息，生成分布式数字身份标识绑定请求；所述分布式数字身份标识绑定请求用于请求建立所述数据所有方的分布式数字身份标识与所述可信硬件之间的对应关系。
66.发送所述分布式数字身份标识绑定请求至分布式身份服务器。
67.分布式身份服务器响应于所述分布式数字身份标识绑定请求，在数据所有方的did doc存储该数据所有方的did与可信硬件的硬件标识信息之间的对应关系信息，从而完成对可信硬件与该数据所有方的did之间的绑定关系的建立。
68.在实际应用中，分布式身份服务器还可以针对与数据所有方did绑定的可信硬件生成一组密钥对，该密钥对中的私钥可以存储于可信硬件中，而该私钥对应的公钥可以存储于数据所有方的did doc里。
69.从而数据所有方可以利用该可信硬件中存储的私钥对操作指令或个人数据进行数字签名，而其他用户则可以利用该数据所有方的did doc里的公钥对数据所有方的操作指令或个人数据进行签名验证，以实现其他用户对数据所有方的身份的验证。这也使得数据所有方可以通过可信硬件对个人数据资产及个人身份进行有效管控。
70.在本说明书实施例中，数据所有方的身份识别信息可以包含能够确定出该数据所有方的身份的信息。该数据所有方既可以是企业用户也可以是个人用户。个人用户的身份识别信息可以包括身份证号信息、联系方式信息等。企业用户的身份识别信息可以包括企业营业执照编号、企业的统一社会信用代码、企业纳税人识别号等，对此不作具体限定。
71.在实际应用中，用户可以在用于管理用户数据资产的应用的应用界面中去输入身份识别信息；或者，用户可以使用图像采集设备去采集个人证件图像；或者，用户可以通过音频采集设备去采集包含身份识别信息的音频等，以令图1中方法的执行主体可以获取到该用户的身份识别信息。对此不作具体限定。
72.而可信硬件的硬件标识信息可以指用于标识该可信硬件的信息，该可信硬件的硬件标识信息通常需保证与其他可信硬件相比唯一且不变。在实际应用中，该可信硬件的硬件标识信息既可以是可信硬件的提供商为该可信硬件生成的唯一标识信息，也可以是用于管理用户数据资产的应用为该可信硬件生成的唯一标识信息，对此不作具体限定。
73.在实际应用中，由于可信硬件中存储的信息不可篡改，从而可以保证该可信硬件中存储的数据的可信性。因此，可以将可信硬件的硬件标识信息存储于该可信硬件中。当数据所有方需利用该可信硬件管理个人数据资产时，图1中方法的执行主体可以自动请求获取该可信硬件中存储的硬件标识信息，方便快捷，且能够保证获取到的可信硬件的硬件标识信息的可信性。或者，数据所有方也可以在用于管理用户数据资产的应用的应用界面中去输入可信硬件的硬件标识信息，对此不作具体限定。
74.步骤104：请求所述可信机构验证所述可信机构处是否存储有生成所述目标数据所需的用户业务数据。
75.在本说明书实施例中，数据所有方待发布的数据描述信息可以指对于该数据所有方需利用可信硬件进行管理的数据资产的描述信息。具体的，该数据描述信息可以用于反映数据所有方所拥有的目标数据的来源、类型、内容概述等，对此不作具体限定。例如，针对数据所有方的目标数据的数据资产描述信息可以表示为：数据来源
‑
xx银行；类型
‑
季度流水总额；内容概述
‑
数据范围
‑
2019年8月1日至2020年7月31日，该数据资产描述信息可以反映数据所有方具有对xx银行处的个人工资流水数据进行处理而得到的自2019年8月1日至2020年7月31日的个人季度工资流水总额这一数据。
76.在实际应用中，为避免用户发布虚假的数据描述信息，可以利用可信机构去验证该可信机构处是否存储有生成所述目标数据所需的用户业务数据。若是，则表示数据所有方确实具有该数据描述信息所指示的数据资产，若否，则可以表示数据所有方并不具有该数据描述信息所指示的数据资产。
77.其中，可信机构的种类可以有多种，不同可信机构所能提供的数据的类型通常也
并不完全一致。例如，可信机构可以包括银行、税务局、权威征信机构、商务平台等授权的数据持有方，其中，银行可以提供可信的工资流水数据，税务局可以提供可信的缴税记录，权威征信机构可以提供可信的信用报告，商务平台可以提供可信的商家的交易流水数据等，对此不作具体限定。
78.在本说明书实施例中，由于可信硬件中存储有数据所有方的私钥，而该私钥对应的公钥存储于数据所有方的did doc里。因此，步骤104：数据所有方可以利用可信硬件向可信机构发送数据描述信息验证请求，该数据描述信息里可以包括：数据所有方的身份识别信息、数据所有方的did标识以及利用可信硬件中的私钥数字签名后的数据描述信息。
79.对应的，可信机构可以根据数据所有方的身份识别信息或did标识确定数据所有方的身份，并利用从该数据所有方的did doc里获取的与该私钥对应的公钥，对数字签名后的数据描述信息进行签名验证，若签名验证通过，则可以表示该数据描述信息验证请求确实是数据所有方发送的，从而可以对该数据描述信息验证请求进行响应。而若签名验证不通过，则可以表示该数据描述信息验证请求并非是数据所有方发送的，从而可以拒绝对该数据描述信息验证请求进行响应，以避免不法分子去获取他人是否具有指定数据资产的信息，有利于提升数据所有方的数据资产的安全性及隐私性。
80.步骤106：接收所述可信机构反馈的验证结果。
81.步骤108：若所述验证结果表示所述可信机构处存储有生成所述目标数据所需的用户业务数据，则发布所述数据描述信息。
82.在本说明书实施例中，若所述验证结果表示所述可信机构处存储有生成所述目标数据所需的用户业务数据，则可以确定数据所有方可以取得该数据描述信息所指示的目标数据，即数据所有方具有该数据描述信息所指示的数据资产，因此，可以发布该数据描述信息。
83.在本说明书实施例中，可以发布该数据描述信息至数据流通应用，以便于数据流通应用处的其他注册用户可以获知该数据所有方具有该数据描述信息所指示的数据资产，进而便于其他注册用户与该数据所有方进行数据资产交易。其中，数据流通应用可以提供数据资产的发布、传递、交易等服务。该数据流通应用与本说明书实施例中提及的用于管理用户数据资产的应用可以为用一个应用程序，也可以为不同应用程序，对此不作具体限定。
84.应当理解，本说明书一个或多个实施例所述的方法其中部分步骤的顺序可以根据实际需要相互交换，或者其中的部分步骤也可以省略或删除。
85.图1中的方法，与数据所有方的分布式数字身份标识具有绑定关系的可信硬件，在获取到用于描述可信机构处可提供的数据所有方的目标数据的数据描述信息后，可以请求该可信机构验证是否存储有生成所述目标数据所需的用户业务数据；若是，则可以认为该数据描述信息真实有效，从而可以通过该可信硬件发布该数据描述信息。该方案不仅令数据所有方可以通过可信硬件对个人的数据资产进行便捷地管理，还可以避免数据所有方发布虚假的数据描述信息，从而便于数据所有方对个人数据资产进行可靠有效的管理。
86.基于图1的方法，本说明书实施例还提供了该方法的一些具体实施方案，下面进行说明。
87.在本说明书实施例中，获取待发布的数据描述信息的实现方式有多种。
88.方式一
89.数据所有方的目标数据可以利用可信硬件以外的设备去生成，数据所有方可以在将其他设备生成的目标数据存储到个人的可信硬件中之前，就利用可信硬件去发布针对目标数据的数据描述信息。此时，步骤102：可信硬件获取待发布的数据描述信息，具体可以包括：
90.可信硬件识别数据所有方针对目标应用界面中显示的目标安全应用程序的程序标识的选中操作；所述选中操作用于指示采用所述目标安全应用程序对可信机构处的所述数据所有方的用户业务数据进行处理以得到目标数据；所述目标安全应用程序部署于目标服务器的可信应用环境中。
91.根据所述选中操作，生成针对所述目标数据的待发布的数据描述信息。
92.在本实现方式中，所述目标应用界面可以指用于管理用户数据资产的应用的应用界面。该目标应用界面中可以显示该用于管理用户数据资产的应用所支持的多种安全应用程序的程序标识，从而便于数据所有方去选择其允许用于生成目标数据的安全应用程序。
93.其中，安全应用程序(trusted application，tapp)可以指运行于可信执行环境(trusted execution environment，tee)中的应用程序，该安全应用程序运行时可以根据指定计算规则对从可信数据源处获取的数据进行处理以生成目标数据。在实际应用中，安全应用程序既可以部署于用于管理用户数据资产的应用服务端的可信应用环境中，也可以部署于与用于管理用户数据资产的应用服务端通信连接的其他服务器的可信应用环境中，对此不作具体限定。
94.在实际应用中，可以预先设置安全应用程序的输入数据的数据源为可信机构，并预先设置安全应用程序所需执行的数据处理规则，以令安全应用程序可以从可信机构处获取数据所有方的指定类型的用户业务数据，并执行预设的数据处理规则去进生成所述目标数据。
95.在本说明书实施例中，对于安全应用程序的数据源、所需执行的数据处理规则及生成的目标数据的类型不对具体限定，用户可以根据实际需求设置。例如，安全应用程序可以根据用户在a银行处的月工资流水数据去生成用户的季度工资流水总额，该季度工资流水总额则可以为该安全应用程序生成的目标数据。基于此，数据所有方在选中目标安全应用程序的程序标识后，即可根据该目标安全应用程序的设置信息，去自动生成针对目标数据的待发布的数据描述信息。
96.在本说明书实施例中，可以在数据所有方的分布式数字身份标识的文档did doc中存储所述目标安全应用程序与所述目标数据的对应关系信息。从而便于后续根据数据所有方的did doc信息，确定用于生成数据所有方的目标数据的安全应用程序，对此不再赘述。
97.在本说明书实施例中，数据所有方在将针对目标数据的数据描述信息发布至数据流通应用后，数据使用方可以根据数据所有方发布的信息，去向数据所有方请求获取该目标数据。
98.因此，发布所述数据描述信息之后，还可以包括：
99.获取数据使用方根据所述数据描述信息生成的针对所述目标数据的获取请求；所述获取请求可以是数据使用方根据从所述数据流通应用处获取的数据所有方所发布的针对目标数据的数据描述信息而生成的。
100.响应于所述获取请求，发送针对所述目标数据的生成请求至搭载有所述目标安全应用程序的目标服务器处。
101.接收所述目标服务器反馈的处理结果。
102.在本说明书实施例中，数据所有方获取到数据使用方的针对目标数据的获取请求后，可以根据数据所有方的did doc信息，确定用于生成该目标数据的目标安全应用程序。若数据所有方允许数据使用方获取到目标数据，则数据所有方可以通过可信应用向搭载有该目标安全应用程序的目标服务器发送针对目标数据的生成请求，以便于该目标服务器运行目标安全应用程序去生成目标数据。
103.目标服务器还可以向数据所有方反馈处理结果，若该处理结果表示已生成目标数据，则数据所有方及数据使用方均可以去目标服务器处获取目标数据，从而令数据所有方可以通过可信硬件对个人数据资产进行管理。
104.同时，由于目标安全应用程序运行于可信执行环境内，从而使得该目标安全应用程序生成的目标数据具有不可篡改的特性，且由于该目标安全应用程序用于对从可信数据源处获取的用户业务数据进行处理，从而可以保证该目标安全应用程序生成的目标数据的可信性。以及，由于该安全应用程序生成的目标数据是对用户原始业务数据进行处理而得到的，通过令数据使用方仅能获取到该目标数据，而无法获取到生成该目标数据所涉及的用户原始数据，以提升数据所有方的原始业务数据的安全性及隐私性。
105.在本说明书实施例中，数据所有方还可以设置针对目标数据的使用授权审批流程，以在审批通过后，再允许数据使用方获取到目标数据。
106.具体的，在发送针对所述目标数据的生成请求至搭载有所述目标安全应用程序的目标服务器处之前，还可以包括：
107.获取目标数据的使用授权审批方针对所述获取请求的使用授权指令；其中，所述使用授权审批方可以包括所述目标数据的数据所有方。
108.根据所述使用授权指令，生成使用授权信息。
109.利用可信硬件中的数据所有方的私钥对所述使用授权信息进行数字签名，得到数字签名后使用授权信息。所述私钥对应的公钥存储于所述数据所有方的分布式数字身份标识的文档中。
110.发送所述数字签名后使用授权信息至搭载有所述目标安全应用程序的目标服务器处。
111.该目标服务器可以从数据所有方的did doc中获取与可信硬件中存储的私钥对应的公钥，利用该公钥对数字签名后使用授权信息进行签名验证，若验证通过，则可以确定该数字签名后使用授权信息是数据所有方授权生成的，因此，可以运行目标安全应用程序去生成目标数据。而若目标数据的使用授权审批方未审批通过，或者，目标服务器对签名后使用授权信息未签名验证通过，则可以禁止安全应用程序去生成目标数据，从而令数据使用方无法获取到该目标数据，以保证数据所有方的数据资产的安全性。
112.方式二
113.数据所有方的目标数据需利用可信硬件生成，数据所有方可以在利用可信硬件生成目标数据之后，再发布针对目标数据的数据描述信息。此时，步骤102：可信硬件获取待发布的数据描述信息，具体可以包括：
114.可信硬件从可信机构处获取数据所有方的用户业务数据。
115.利用所述可信硬件内搭载的目标安全应用程序对所述用户业务数据进行处理，得到目标数据。
116.根据该目标数据，生成针对所述目标数据的待发布的数据描述信息。
117.本实现方式中提及的目标安全应用程序与实现方式一中提及的目标安全应用程序的实现原理可以是相同的，但在本实现方式中，该目标安全应用程序可以部署于可信硬件中。
118.具体的，所述目标安全应用程序可以搭载于所述可信硬件中的可信执行环境内，所述可信执行环境与所述可信硬件的操作系统隔离。
119.对应的，所述可信硬件从可信机构处获取数据所有方的用户业务数据，具体可以包括：所述可信硬件通过所述可信执行环境中的代码中预先定义的接口，从可信机构处获取数据所有方的用户业务数据。
120.在本说明书实施例中，可信执行环境(trusted execution environment,tee)是基于cpu硬件的安全扩展，且与外部完全隔离的可信执行环境。目前工业界十分关注tee的方案，几乎所有主流的芯片和软件联盟都有自己的tee解决方案，比如软件方面的tpm(trusted platform module，可信赖平台模块)以及硬件方面的intel sgx(software guard extensions,软件保护扩展)、arm trustzone(信任区)和amd psp(platform security processor，平台安全处理器)等。tee可以起到硬件黑箱作用，在tee中执行的代码和数据即便是操作系统层都无法偷窥，只有通过代码中预先定义的接口才能对其进行操作。在效率方面，由于tee的黑箱性质，在tee中进行运算的是明文数据，而不是同态加密中复杂的密码学运算，计算过程效率几乎没有损失。因此，通过在tee环境中部署的程序去从可信机构处获取数据所有方的用户业务数据并对获取到的用户业务数据件处理，可以在性能损失相对较小的前提下很大程度上满足数据隐私需求。且由于可信执行环境内的程序及数据具有不可篡改性，从而可以提升基于该tee中部署的程序生成的目标数据的可信度。
121.当然，在目标安全应用程序部署于目标服务器处时，也可以将该目标安全应用程序部署于该目标服务器中的可信执行环境内，该可信执行环境与目标服务器的操作系统隔离，该目标安全应用程序可以通过所述可信执行环境中的代码中预先定义的接口，从可信机构处获取数据所有方的用户业务数据，以对所述用户业务数据进行处理，得到目标数据，从而可以提升基于该tee中部署的程序生成的目标数据的可信度。
122.当数据使用方需获取目标数据时，由于目标数据已经存储在可信硬件中，因此，步骤108：发布所述数据描述信息之后，还可以包括：
123.获取数据使用方根据所述数据描述信息生成的针对所述目标数据的获取请求；所述获取请求可以是数据使用方根据从所述数据流通应用处获取的数据所有方所发布的针对目标数据的数据描述信息而生成的。
124.获取目标数据的使用授权审批方针对所述获取请求的使用授权指令。
125.响应于所述获取请求，利用可信硬件中存储的数据所有方的私钥对存储于所述可信硬件中的所述目标数据进行数字签名，得到数字签名后数据。所述私钥对应的公钥存储于所述数据所有方的分布式数字身份标识的文档中。
126.发送所述数字签名后数据至所述数据使用方。
127.数据使用方可以从数据所有方的did doc中获取与可信硬件中存储的私钥对应的公钥，利用该公钥对数字签名后数据进行签名验证，若验证通过，则可以确定该数字签名后数据是数据所有方授权使用的目标数据。若验证未通过，则可以确定该数字签名后数据并非是数据所有方授权使用的目标数据，即获取到的数据不可信。
128.在本说明书实施例中，用户在发布针对目标数据的数据描述信息之前，还可以指定针对该目标数据的使用授权审批流程，以保证数据所有方的数据资产的安全性。
129.因此，步骤108：所述发布所述数据描述信息之前，还可以包括：
130.获取所述数据所有方针对所述目标数据设置的使用授权审批流程信息。
131.建立所述使用授权审批流程信息与所述数据描述信息之间的对应关系。
132.基于同样的思路，图2为本说明书实施例提供的一种数据获取方法的流程示意图。从程序角度而言，流程的执行主体可以为数据使用方的设备，或者，数据使用方设备上搭载的用于管理用户数据资产的应用程序。
133.如图2所示，该流程可以包括以下步骤：
134.步骤202：获取数据所有方发布的数据描述信息；所述数据描述信息用于描述可信机构处可提供的所述数据所有方的目标数据。
135.在本说明书实施例中，由于数据所有方可以将数据描述信息发布到数据流通应用处，因此，步骤202中可以令数据使用方从数据流通应用处获取数据所有方发布的数据描述信息。该数据流通应用与用于管理用户数据资产的应用可以是同一应用，也可以是不同应用，对此不作具体限定。
136.步骤204：根据所述数据描述信息，生成针对所述目标数据的获取请求。
137.步骤206：发送所述获取请求至所述数据所有方的可信硬件处；所述可信硬件与所述数据所有方的分布式数字身份标识具有绑定关系。
138.步骤208：接收所述目标数据。
139.应当理解，本说明书一个或多个实施例所述的方法其中部分步骤的顺序可以根据实际需要相互交换，或者其中的部分步骤也可以省略或删除。
140.图2中的方法，数据使用方可以根据数据所有方利用可信硬件发布的针对目标数据的数据描述信息，去向数据所有方的可信硬件请求获取该目标数据，并接收该目标数据。从而令数据使用方可以便捷地获取到数据所有方的数据资产，有利于提升数据资产管理、传递的便捷性。
141.基于图2的方法，本说明书实施例还提供了该方法的一些具体实施方案，下面进行说明。
142.在本说明书实施例中，步骤208：接收所述目标数据，具体可以包括：
143.接收目标服务器反馈的所述目标数据；所述目标数据是利用所述目标服务器内搭载的目标安全应用程序对可信机构处存储的所述数据所有方的用户业务数据进行处理而得到的。
144.或者，接收所述可信硬件反馈的所述目标数据；所述目标数据是利用所述可信硬件内搭载的目标安全应用程序对可信机构处存储的所述数据所有方的用户业务数据进行处理而得到的。
145.在本说明书实施例中，若所述目标安全应用程序搭载于所述目标服务器内，则所
述目标安全应用程序搭载于所述目标服务器处的可信执行环境内，所述可信执行环境与所述目标服务器的操作系统隔离。且由于可信执行环境内的程序及数据具有不可篡改性，从而可以提升基于该tee中部署的程序生成的目标数据的可信度。
146.若所述目标安全应用程序搭载于所述可信硬件内，则所述目标安全应用程序搭载于所述可信硬件处的可信执行环境内，所述可信执行环境与所述可信硬件的操作系统隔离。且由于可信执行环境内的程序及数据具有不可篡改性，从而可以提升基于该tee中部署的程序生成的目标数据的可信度。
147.由于数据所有方的可信硬件中可以存储有所述数据所有方的私钥；所述私钥对应的公钥存储于所述数据所有方的分布式数字身份标识的文档中。
148.因此，步骤208：所述接收所述目标数据，具体可以包括：
149.接收利用所述私钥数字签名后的所述目标数据。
150.所述接收利用所述私钥数字签名后的所述目标数据之后，还可以包括：
151.获取所述数据所有方的分布式数字身份标识的文档中的所述公钥。
152.利用所述公钥对所述数字签名后的所述目标数据进行签名验证。
153.基于同样的思路，本说明书实施例还提供了上述方法对应的装置。图3为本说明书实施例提供的对应于图1的一种基于可信硬件的数据管理装置的结构示意图。如图3所示，该装置可以包括：
154.第一获取模块302，用于可信硬件获取待发布的数据描述信息；所述数据描述信息用于描述可信机构处可提供的数据所有方的目标数据；所述可信硬件与所述数据所有方的分布式数字身份标识具有绑定关系。
155.请求检验模块304，用于请求所述可信机构验证所述可信机构处是否存储有生成所述目标数据所需的用户业务数据。
156.第一接收模块306，用于接收所述可信机构反馈的验证结果。
157.发布模块308，用于若所述验证结果表示所述可信机构处存储有生成所述目标数据所需的用户业务数据，则发布所述数据描述信息。
158.可选的，图3中的装置还可以包括：
159.身份识别信息获取模块，用于获取数据所有方的身份识别信息。
160.硬件标识信息获取模块，用于获取可信硬件的硬件标识信息。
161.绑定请求模块，用于根据所述身份识别信息及所述硬件标识信息，生成分布式数字身份标识绑定请求；该分布式数字身份标识绑定请求用于请求建立所述数据所有方的分布式数字身份标识与所述可信硬件之间的对应关系。
162.绑定请求发送模块，用于发送所述分布式数字身份标识绑定请求至分布式身份服务器。
163.可选的，所述第一获取模块302，具体可以用于：
164.可信硬件识别数据所有方针对目标应用界面中显示的目标安全应用程序的程序标识的选中操作；所述选中操作用于指示采用所述目标安全应用程序对可信机构处的所述数据所有方的用户业务数据进行处理以得到目标数据；所述目标安全应用程序部署于目标服务器的可信应用环境中。
165.根据所述选中操作，生成针对所述目标数据的待发布的数据描述信息。
166.可选的，图3中的装置，还可以包括：
167.对应关系信息存储模块，用于在所述数据所有方的分布式数字身份标识的文档中存储所述目标安全应用程序与所述目标数据的对应关系信息。
168.可选的，图3中的装置，还可以包括：
169.第二获取模块，用于获取数据使用方根据所述数据描述信息生成的针对所述目标数据的获取请求。
170.发送模块，用于响应于所述获取请求，发送针对所述目标数据的生成请求至搭载有所述目标安全应用程序的目标服务器处。
171.第二接收模块，用于接收所述目标服务器反馈的处理结果。
172.可选的，所述可信硬件中存储有所述数据所有方的私钥；所述私钥对应的公钥存储于所述数据所有方的分布式数字身份标识的文档中；图3中的装置，还可以包括：
173.第三获取模块，用于获取所述目标数据的使用授权审批方针对所述获取请求的使用授权指令。
174.使用授权信息生成模块，用于根据所述使用授权指令，生成使用授权信息。
175.第一数字签名模块，用于利用所述私钥对所述使用授权信息进行数字签名，得到数字签名后使用授权信息。
176.所述发送模块，具体可以用于：
177.发送所述数字签名后使用授权信息至搭载有所述目标安全应用程序的目标服务器处。
178.可选的，所述第一获取模块302，具体可以用于：
179.可信硬件从可信机构处获取数据所有方的用户业务数据。
180.利用所述可信硬件内搭载的目标安全应用程序对所述用户业务数据进行处理，得到目标数据。
181.生成针对所述目标数据的待发布的数据描述信息。
182.可选的，所述目标安全应用程序搭载于所述可信硬件中的可信执行环境内，所述可信执行环境与所述可信硬件的操作系统隔离。
183.对应的，所述可信硬件从可信机构处获取数据所有方的用户业务数据，具体包括：
184.所述可信硬件通过所述可信执行环境中的代码中预先定义的接口，从可信机构处获取数据所有方的用户业务数据。
185.可选的，所述可信硬件中存储有所述数据所有方的私钥；所述私钥对应的公钥存储于所述数据所有方的分布式数字身份标识的文档中；图3中的装置，还可以包括：
186.第四获取模块，用于获取数据使用方根据所述数据描述信息生成的针对所述目标数据的获取请求。
187.第二数字签名模块，用于响应于所述获取请求，利用所述私钥对存储于所述可信硬件中的所述目标数据进行数字签名，得到数字签名后数据。
188.使用授权指令获取模块，用于获取所述目标数据的使用授权审批方针对所述获取请求的使用授权指令。
189.目标数据发送模块，用于若获取到所述使用授权指令，则发送所述数字签名后数据至所述数据使用方。
190.可选的，图3中的装置，还可以包括：
191.审批流程信息获取模块，用于获取所述数据所有方针对所述目标数据设置的使用授权审批流程信息；
192.对应关系建立模块，用于建立所述使用授权审批流程信息与所述数据描述信息之间的对应关系。
193.可选的，所述发布模块308，具体可以用于：发布所述数据描述信息至数据流通应用。
194.第二获取模块或者第四获取模块，具体可以用于：获取数据使用方的针对所述目标数据的获取请求，所述获取请求是根据从所述数据流通应用处获取的所述数据描述信息生成的。
195.基于同样的思路，本说明书实施例还提供了上述方法对应的装置。图4为本说明书实施例提供的对应于图2的一种数据获取装置的结构示意图。如图4所示，该装置可以包括：
196.第一获取模块402，用于获取数据所有方发布的数据描述信息；所述数据描述信息用于描述可信机构处可提供的所述数据所有方的目标数据；
197.获取请求生成模块404，用于根据所述数据描述信息，生成针对所述目标数据的获取请求；
198.发送模块406，用于发送所述获取请求至所述数据所有方的可信硬件处；所述可信硬件与所述数据所有方的分布式数字身份标识具有绑定关系；
199.接收模块408，用于接收所述目标数据。
200.可选的，图4中的装置，所述接收模块408，具体可以用于：
201.接收目标服务器反馈的所述目标数据；所述目标数据是利用所述目标服务器内搭载的目标安全应用程序对可信机构处存储的所述数据所有方的用户业务数据进行处理而得到的。
202.或者，接收所述可信硬件反馈的所述目标数据；所述目标数据是利用所述可信硬件内搭载的目标安全应用程序对可信机构处存储的所述数据所有方的用户业务数据进行处理而得到的。
203.可选的，若所述目标安全应用程序搭载于所述目标服务器内，则所述目标安全应用程序搭载于所述目标服务器处的可信执行环境内，所述可信执行环境与所述目标服务器的操作系统隔离。
204.若所述目标安全应用程序搭载于所述可信硬件内，则所述目标安全应用程序搭载于所述可信硬件处的可信执行环境内，所述可信执行环境与所述可信硬件的操作系统隔离。
205.可选的，所述可信硬件中存储有所述数据所有方的私钥；所述私钥对应的公钥存储于所述数据所有方的分布式数字身份标识的文档中；所述接收模块408，具体可以用于：接收利用所述私钥数字签名后的所述目标数据。
206.可选的，图4中的装置，还可以包括：
207.第二获取模块，用于获取所述数据所有方的分布式数字身份标识的文档中的所述公钥。
208.签名验证模块，用于利用所述公钥对所述数字签名后的所述目标数据进行签名验
array，fpga))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字符系统“集成”在一片pld上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(hardware description language，hdl)，而hdl也并非仅有一种，而是有许多种，如abel(advanced boolean expression language)、ahdl(altera hardware description language)、confluence、cupl(cornell university programming language)、hdcal、jhdl(java hardware description language)、lava、lola、myhdl、palasm、rhdl(ruby hardware description language)等，目前最普遍使用的是vhdl(very
‑
high
‑
speed integrated circuit hardware description language)与verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。
229.控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(application specific integrated circuit，asic)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：arc625d、atmelat91sam、microchip pic18f26k20以及silicone labs c8051f320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。
230.上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字符助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。
231.为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本技术时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
232.本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd
‑
rom、光学存储器等)上实施的计算机程序产品的形式。
233.本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序
指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
234.这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
235.这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
236.在一个典型的配置中，计算设备包括一个或多个处理器(cpu)、输入/输出接口、网络接口和内存。
237.内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(ram)和/或非易失性内存等形式，如只读存储器(rom)或闪存(flash ram)。内存是计算机可读介质的示例。
238.计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(pram)、静态随机存取存储器(sram)、动态随机存取存储器(dram)、其他类型的随机存取存储器(ram)、只读存储器(rom)、电可擦除可编程只读存储器(eeprom)、快闪记忆体或其他内存技术、只读光盘只读存储器(cd
‑
rom)、数字符多功能光盘(dvd)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。
239.还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。
240.本领域技术人员应明白，本技术的实施例可提供为方法、系统或计算机程序产品。因此，本技术可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本技术可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd
‑
rom、光学存储器等)上实施的计算机程序产品的形式。
241.本技术可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本技术，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。
242.以上所述仅为本技术的实施例而已，并不用于限制本技术。对于本领域技术人员来说，本技术可以有各种更改和变化。凡在本技术的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本技术的权利要求范围之内。