一种获取根密钥的方法及服务器与流程

本发明涉及电子技术领域，尤其涉及一种获取根密钥的方法及服务器。

背景技术：

当前，终端的信息安全越来越受到用户和业界的广泛关注，而现在的安全策略的关键是加密技术。现有技术提供的一种加密技术是依赖于终端内的硬件平台，例如，安全芯片。终端可根据安全芯片的根密钥(rootkey)以及预设的加密算法对需要加密的数据进行加密。其中，根密钥是从安全芯片密钥派生得到，用于层级密钥首层的密钥。

终端在需要使用安全芯片提供的各功能或服务前，需要预先从安全芯片厂家服务器获取安全芯片根密钥，由于安全芯片的根密钥是保证终端信息安全的根本，当根密钥从厂家服务器传输到终端的传过程中被泄露时，将对终端的信息安全将造成严重威胁。

技术实现要素：

本发明实施例提供一种获取根密钥的方法及服务器，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

第一方面，本发明实施例提供了一种获取根密钥的方法，该方法包括：

获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识；

采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器；

接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到；

采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥；

采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。

第二方面，本发明实施例提供了另一种获取根密钥的方法，该方法包括：

获取管理服务器发送的加密后的唯一标识；其中，所述唯一标识由所述管理服务器从终端发送的根密钥获取请求信息中获取，所述唯一标识是所述终端内置的安全芯片的唯一标识；加密后的唯一标识携带所述管理服务器的标识；

采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述安全芯片的唯一标识；

根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；

采用预设的加密密钥对所述根密钥进行加密，并根据所述管理服务器的标识将加密后的根密钥发送至所述管理服务器。

第三方面，本发明实施例提供了一种服务器，该服务器包括：

获取单元，用于获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识；

第一加密单元，用于采用第一加密密钥对所述唯一标识进行加密；

第一发送单元，用于将所述第一加密单元加密后的唯一标识发送至所述安全芯片对应的服务商服务器；

接收单元，用于接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到；

解密单元，用于采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥；

第二加密单元，用于采用第二加密密钥对所述根密钥进行加密；

第二发送单元，用于根据所述根密钥获取请求信息携带的所述终端的标识将所述第二加密单元加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。

第四方面，本发明实施例提供了另一种服务器，该服务器包括：

第一获取单元，用于获取管理服务器发送的加密后的唯一标识；其中，所述唯一标识由所述管理服务器从终端发送的根密钥获取请求信息中获取，所述唯一标识是所述终端内置的安全芯片的唯一标识；加密后的唯一标识携带所述管理服务器的标识；

解密单元，用采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述安全芯片的唯一标识；

第二获取单元，用于根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；

加密单元，用于采用预设的加密密钥对所述根密钥进行加密；

发送单元，用于根据所述管理服务器的标识将所述加密单元加密后的根密钥发送至所述管理服务器。

第五方面，本发明实施例提供了再一种服务器，包括处理器、输入设备、输出设备和存储器，所述处理器、输入设备、输出设备和存储器相互连接，其中，所述存储器用于存储支持服务器执行上述方法的计算机程序，所述计算机程序包括程序指令，所述处理器被配置用于调用所述程序指令，执行上述第一方面的方法。

第六方面，本发明实施例提供了一种计算机可读存储介质，所述计算机存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被处理器执行时使所述处理器执行上述第一方面的方法。

第七方面，本发明实施例提供了又一种服务器，包括处理器、输入设备、输出设备和存储器，所述处理器、输入设备、输出设备和存储器相互连接，其中，所述存储器用于存储支持服务器执行上述方法的计算机程序，所述计算机程序包括程序指令，所述处理器被配置用于调用所述程序指令，执行上述第二方面的方法。

第八方面，本发明实施例提供了一种计算机可读存储介质，所述计算机存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被处理器执行时使所述处理器执行上述第二方面的方法。

本发明实施例通过在终端与服务商服务器之间的根密钥传输路径中，增加具有可信执行环境的管理服务器，终端在需要获取内置的安全芯片对应的根密钥时，通过向管理服务器发送携带安全芯片的唯一标识的根密钥获取请求信息，管理服务器对该唯一标识进行加密，并将加密后的唯一标识发送至服务商服务器，服务商服务器对加密后的唯一标识进行解密，并获取该唯一标识对应的根密钥，对获取到的根密钥进行加密，并将加密后的根密钥发送给管理服务器，管理服务器对服务商服务器发送的加密后的根密钥进行解密获得根密钥，并将该根密钥经过加密后发送给终端，以使终端能够解密该加密的根密钥得到安全芯片对应的根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

附图说明

为了更清楚地说明本发明实施例技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种获取根密钥的系统的示意图；

图2是本发明实施例提供的一种获取根密钥的交互图；

图3是本发明一实施例提供的一种获取根密钥的方法的示意流程图；

图4是本发明另一实施例提供的一种获取根密钥的方法的示意流程图；

图5是本发明再一实施例提供的一种获取根密钥的方法的示意流程图；

图6是本发明又一实施例提供的一种获取根密钥的方法的示意流程图；

图7是本发明实施例提供的一种服务器的示意性框图；

图8是本发明另一实施例提供的一种服务器示意性框图；

图9是本发明再一实施例提供的一种服务器的示意性框图；

图10是本发明又一实施例提供的一种服务器示意性框图；

图11是本发明再一实施例提供的一种服务器示意性框图；

图12是本发明又一实施例提供的一种服务器示意性框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和“包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。

还应当理解，在此本发明说明书中所使用的术语仅仅是出于描述特定实施例的目的而并不意在限制本发明。如在本发明说明书和所附权利要求书中所使用的那样，除非上下文清楚地指明其它情况，否则单数形式的“一”、“一个”及“该”意在包括复数形式。

还应当进一步理解，在本发明说明书和所附权利要求书中使用的术语“和/或”是指相关联列出的项中的一个或多个的任何组合以及所有可能组合，并且包括这些组合。

如在本说明书和所附权利要求书中所使用的那样，术语“如果”可以依据上下文被解释为“当...时”或“一旦”或“响应于确定”或“响应于检测到”。类似地，短语“如果确定”或“如果检测到[所描述条件或事件]”可以依据上下文被解释为意指“一旦确定”或“响应于确定”或“一旦检测到[所描述条件或事件]”或“响应于检测到[所描述条件或事件]”。

具体实现中，本发明实施例中描述的终端包括但不限于诸如具有触摸敏感表面(例如，触摸屏显示器和/或触摸板)的移动电话、膝上型计算机或平板计算机之类的其它便携式设备。还应当理解的是，在某些实施例中，所述设备并非便携式通信设备，而是具有触摸敏感表面(例如，触摸屏显示器和/或触摸板)的台式计算机。

在接下来的讨论中，描述了包括显示器和触摸敏感表面的终端。然而，应当理解的是，终端可以包括诸如物理键盘、鼠标和/或控制杆的一个或多个其它物理用户接口设备。

终端支持各种应用程序，例如以下中的一个或多个：绘图应用程序、演示应用程序、文字处理应用程序、网站创建应用程序、盘刻录应用程序、电子表格应用程序、游戏应用程序、电话应用程序、视频会议应用程序、电子邮件应用程序、即时消息收发应用程序、锻炼支持应用程序、照片管理应用程序、数码相机应用程序、数字摄影机应用程序、web浏览应用程序、数字音乐播放器应用程序和/或数字视频播放器应用程序。

可以在终端上执行的各种应用程序可以使用诸如触摸敏感表面的至少一个公共物理用户接口设备。可以在应用程序之间和/或相应应用程序内调整和/或改变触摸敏感表面的一个或多个功能以及终端上显示的相应信息。这样，终端的公共物理架构(例如，触摸敏感表面)可以支持具有对用户而言直观且透明的用户界面的各种应用程序。

请参见图1，图1是本发明实施例提供的一种获取根密钥的系统的示意图。获取根密钥的系统包括至少一个终端110、管理服务器120以及服务商服务器130。终端内置有安全芯片，且具备可信执行环境(thetrustedexecutionenvironment，tee)；管理服务器可以是可信服务管理器，且可信服务管理器内置有安全芯片，具备可信执行环境；服务商服务器为安全芯片对应的服务商服务器，用于为安全芯片实现各预设功能提供相应的服务。管理服务器可分别与终端以及服务商服务器进行通信。其中，tee是一个与富操作系统(richos)并行的独立运行环境，为富系统提供安全保护。图1中的终端110、管理服务器120以及服务商服务器130用于执行图2所示的各步骤，具体请参阅图2及相关描述。

请参见图2，图2是本发明实施例提供的一种获取根密钥的交互图。如图2所示的获取根密钥的交互图包括：

s201：终端向管理服务器发送根密钥获取请求信息；其中，所述根密钥获取请求信息携带所述终端内置的安全芯片的唯一标识以及所述终端的标识。

终端与管理服务器建立通信连接，且终端需要获取根密钥时，向管理服务器发送根密钥获取请求信息。根密钥获取请求信息携带终端内置的安全芯片的唯一标识以及终端的标识。安全芯片的唯一标识可以是安全芯片出厂时设置的唯一标识码sn。终端的标识也是唯一的，终端的标识可以是终端的媒体访问控制(mediaaccesscontrol或者mediumaccesscontrol，mac)地址，但并不限于此，还可以是其他的用于能够终端身份的标识。

安全芯片的唯一标识用于服务商服务器查找安全芯片的唯一标识对应的根密钥。终端的标识用于管理服务器向终端发送安全芯片的唯一标识对应的根密钥。

s202：管理服务器获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识。

管理服务器接收终端发送的根密钥获取请求信息，并获取根密钥获取请求信息携带的安全芯片的唯一标识，以及终端的标识。

s203：管理服务器采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器。

管理服务器采用预设的第一加密密钥对安全芯片的唯一标识进行加密，并将加密后的唯一标识发送至安全芯片对应的服务商服务器。加密后的唯一标识携带管理服务器的标识，管理服务器的标识用于服务商服务器能够在获取到安全芯片的唯一标识对应的根密钥时，根据管理服务器的标识发送该获取到的根密钥。

其中，管理服务器可以采用对称加密技术对待处理的数据进行加密或解密，也可以采用非对称加密技术对待处理的数据进行加密或解密。非对称加密技术采用非对称加密算法生成一密钥对，对待处理数据进行加密所采用的密钥与对待处理数据进行解密所采用的密钥不同。对称加密技术采用对称加密算法生成一密钥，采用同一密钥对待处理的数据进行加密或解密。非对称加密算法可以是rsa算法、数字签名(digitalsignaturealgorithm，dsa)算法、椭圆曲线密码体制(ellipticcurvecryptosystem，ecc)算法或diffie-hellman算法。

可选地，当管理服务器以及服务商服务器均利用非对称加密技术对待处理数据进行加密或解密时，s103具体为：管理服务器通过自身的签名私钥对所述唯一标识签名得到第一唯一标识；采用第一加密公钥对所述第一唯一标识进行加密得到第二唯一标识；其中，所述第一加密公钥为所述服务商服务器对应的加密公钥；将所述第二唯一标识发送至所述安全芯片对应的服务商服务器。

在本实施例中，管理服务器采用非对称加密算法对待处理的数据进行加密或解密。管理服务器利用非对称加密算法生成签名公钥以及签名私钥这一签名密钥对，管理服务器将签名公钥发送给终端以及安全芯片对应的服务商服务器。

管理服务器利用非对称加密算法生成加密公钥以及加密私钥这一加密密钥对，管理服务器将加密公钥发送给终端以及安全芯片对应的服务商服务器。

服务商服务器对应的加密公钥由服务商服务器利用非对称加密算法生成，服务商服务器对应的加密公钥与服务商服务器对应的加密私钥为一对加密密钥。

服务商服务器还可以利用非对称加密算法生成自身的签名公钥以及签名私钥这一签名密钥。同样地，服务商服务器可以将自身的签名公钥以及加密公钥发送给管理服务器。

非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公用密钥向其它方公开；得到该公用密钥的乙方使用该密钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的另一把专用密钥对加密后的机密信息进行解密。另一方面，甲方可以使用乙方的公钥对机密信息进行签名后再发送给乙方；乙方再用自己的私钥对签名后的机密数据进行验签。

管理服务器通过自身的签名私钥对安全芯片的唯一标识签名得到第一唯一标识；采用第一加密公钥对第一唯一标识进行加密得到第二唯一标识；其中，第一加密公钥为服务商服务器对应的加密公钥；将第二唯一标识发送至安全芯片对应的服务商服务器。管理服务器可以对唯一标识先签名再加密，也可以对唯一标识先加密再签名，此处不做限制。

管理服务器与服务商服务器可以采用专线通信，专线通信的数据安全性较高。

s204：服务商服务器获取管理服务器发送的加密后的唯一标识；其中，所述唯一标识由所述管理服务器从终端发送的根密钥获取请求信息中获取，所述唯一标识是所述终端内置的安全芯片的唯一标识；加密后的唯一标识携带所述管理服务器的标识。

s205：服务商服务器采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述唯一标识。

服务商服务器可以利用对称加密技术或非对称加密技术对待处理数据进行加密或解密。其中，预设的解密密钥与s203中的第一加密密钥相对应。

可选地，当管理服务器以及服务商服务器均利用非对称加密技术对待处理数据进行加密或解密时，s205可以具体为：服务商服务器采用所述管理服务器对应的签名公钥对所述管理服务器发送的第二唯一标识进行验签；其中，所述第二唯一标识为所述加密后的唯一标识；

若验签通过，则采用自身的加密私钥对所述第二唯一标识进行解密得到所述安全芯片的唯一标识。

加密后的唯一标识为s203中管理服务器发送的第二唯一标识，由于第二唯一标识是管理服务器采用管理服务器生成的第一加密公钥对第一唯一标识得到，第一唯一标识是管理服务器采用自身的签名私钥对安全芯片的唯一标识签名得到；服务商服务器在获取到管理服务器发送的第二唯一标识时，采用管理服务器对应的签名公钥对该第二唯一标识进行验签，以验证该第二唯一标识是否来自管理服务器。服务商服务器对第二唯一标识验签通过(即确认第二唯一标识来自管理服务器)时，采用服务商服务器自身的加密私钥对第二唯一标识进行解密，得到安全芯片对应的唯一标识。

自身的加密私钥是服务商服务器的私有密钥，其他设备无法获取到。

对管理服务器发送的第二唯一标识进行验签是指：解析第二唯一标识携带的签名信息，并识别该签名信息是否为管理服务器的签名信息，从而确认第二唯一标识是否来自管理服务器。其中，当该签名信息为管理服务器的签名信息时，服务商服务器识别为第二唯一标识来自管理服务器，验签成功；当该签名信息不是管理服务器的签名信息或无法解析第二唯一标识携带的签名信息时，服务商服务器识别为第二唯一标识不是来自管理服务器，验签失败。

可以理解的是，若验签失败，则识别为第二唯一标识不是来自于管理服务器，服务商服务器不做任何处理，结束本次控制流程。

s206：服务商服务器根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥。

服务商服务器内预先存储了唯一标识与根密钥的预设对应关系。唯一标识与根密钥一一对应，即一个唯一标识对应一个根密钥。该唯一标识是安全芯片厂商所生产的所有安全芯片的唯一标识。

可选地，服务商服务器保存的根密钥是已加密的根密钥。当服务器根据安全芯片的唯一标识在数据库中查找到该唯一标识对应的已加密的根密钥时，需要采用约定的解密密码对已加密的根密钥进行解密，得到该唯一标识对应的根密钥。约定的解密密码与服务商服务器对根密钥进行加密时采用的加密密码相对应。

s207：服务商服务器采用预设的加密密钥对所述根密钥进行加密，并根据所述管理服务器的标识将加密后的根密钥发送至所述管理服务器。

可选地，当管理服务器以及服务商服务器均利用非对称加密技术对待处理数据进行加密或解密时，s207可以具体包括：

采用所述管理服务器对应的加密公钥对所述根密钥进行加密，得到第一根密钥；

采用自身的签名私钥对所述第一根密钥进行签名，得到第二根密钥；

根据所述管理服务器的标识将所述第二根密钥发送至所述管理服务器；其中，所述第二根密钥用于所述管理服务器采用服务商服务器的签名公钥对所述第二根密钥进行验签，并在验签通过时，通过所述管理服务器对应的加密私钥对所述加密的根密钥进行解密得到所述唯一标识对应的根密钥。

自身的签名私钥为服务商服务器的签名私钥。

由于第二根密钥是采用服务商服务器的签名私钥进行签名得到的，因此，管理服务器需要采用服务商服务器的签名公钥对第二根密钥进行验签，以验证第二根密钥是否来自服务商服务器。

其中，服务商服务器可以对获取到的根密钥先签名再加密，也可以对获取到的根密钥先加密再签名，此处不做限制。

s208：管理服务器接收所述服务商服务器返回的加密的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到。

s209：管理服务器采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥。

其中，第一解密密钥与s207中预设的加密密钥相对应。

可选地，当管理服务器以及服务商服务器均利用非对称加密技术对待处理数据进行加密或解密时，s209具体为：

采用所述服务商服务器对应的签名公钥对所述服务商服务器返回的第二根密钥进行验签；其中，所述第二根密钥为所述加密后的根密钥；

若验签通过，则采用自身的加密私钥对所述第二根密钥进行解密得到所述唯一标识对应的根密钥。

加密后的根密钥为s207中服务商服务器发送的得到第二根密钥，由于获取的第二根密钥是服务商服务器采用服务商服务器的签名私钥对第一根密钥签名得到，第一根密钥是服务商服务器采用服务商服务器对应的加密公钥对根密钥进行加密得到；管理服务器在获取到第二根密钥时，采用服务商服务器对应的签名公钥对第二根密钥进行验签，管理服务器对第二根密钥验签通过(即确认第二根密钥来自服务商服务器)时，采用管理服务器自身的加密私钥对第二根密钥进行解密，得到安全芯片对应的根密钥。

对服务商服务器返回的第二根密钥进行验签是指：解析第二根密钥携带的签名信息，并识别该签名信息是否为服务商服务器的签名信息，从而确认第二根密钥是否来自服务商服务器。其中，当该签名信息为服务商服务器的签名信息时，管理服务器识别为第二根密钥来自服务商服务器，验签成功；当该签名信息不是服务商服务器的签名信息或无法解析第二根密钥携带的签名信息时，管理服务器识别为第二唯一标识不是来自服务商服务器，验签失败。

可以理解的是，若验签失败，则识别为第二根密钥不是来自于服务商服务器，管理服务器不做任何处理，结束本次控制流程。

s210：管理服务器采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。

第二加密密钥与第二解密密钥相对应。管理服务器可由采用对称加密技术或非对称加密技术待处理数据进行加密或解密。

可选地，当管理服务器以及终端均利用非对称加密技术对待处理数据进行加密或解密时，s210具体为：管理服务器还可以采用终端的加密公钥对解密得到的根密钥进行加密得到第三根密钥，再用管理服务器自身的签名私钥对第三根密钥进行签名得到第四根密钥，管理服务器根据终端的标识将第四根密钥发送给终端。

s211：终端接收管理服务器发送的加密后的根密钥，采用第二解密密钥对该加密后的根密钥进行解密，得到根密钥。

可选地，当管理服务器以及终端均利用非对称加密技术对待处理数据进行加密或解密时，s211具体为：终端接收管理服务器发送的第四根密钥，采用管理服务器的签名公钥对第四根密钥进行验签；若验签通过，采用终端自身的加密私钥对第四根密钥进行解密，得到根密钥。

由于第四根密钥是管理服务器采用管理服务器自身的签名私钥对第三根密钥进行签名得到，第三根密钥是管理服务器采用终端的加密公钥进行加密得到；因此，终端在获取到第四根密钥时，需要采用管理服务器的签名公钥进行验签，在验签通过时，采用终端自身的加密私钥进行解密。

上述方案，在终端与服务商服务器之间的根密钥传输路径中，增加具有可信执行环境的管理服务器，终端在需要获取内置的安全芯片对应的根密钥时，通过向管理服务器发送携带安全芯片的唯一标识的根密钥获取请求信息，管理服务器对该唯一标识进行加密，并将加密后的唯一标识发送至服务商服务器，服务商服务器对加密后的唯一标识进行解密，并获取该唯一标识对应的根密钥，对获取到的根密钥进行加密，并将加密后的根密钥发送给管理服务器，管理服务器对服务商服务器发送的加密后的根密钥进行解密获得根密钥，并将该根密钥经过加密后发送给终端，以使终端能够解密该加密的根密钥得到安全芯片对应的根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

终端、管理服务器以及服务商服务器均采用非对称加密技术进行加密或解密，能够进一步降低根密钥在传输过程中被泄露的风险。

请参见图3，图3是本发明实施例提供的一种获取根密钥的方法的示意流程图。本实施例中获取根密钥的方法的执行主体为管理服务器，管理服务器可以是可信服务管理器，且可信服务管理器内置有安全芯片，具备可信执行环境；其中，tee是一个与富操作系统(richos)并行的独立运行环境，为富系统提供安全保护。如图3所示的获取根密钥的方法可包括以下步骤：

s301：获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识。

终端与管理服务器建立通信连接，且终端需要获取根密钥时，终端向管理服务器发送根密钥获取请求信息。根密钥获取请求信息携带终端内置的安全芯片的唯一标识以及终端的标识。安全芯片的唯一标识可以是安全芯片出厂时设置的唯一标识码sn。终端的标识也是唯一的，终端的标识可以是终端的媒体访问控制(mediaaccesscontrol或者mediumaccesscontrol，mac)地址，但并不限于此，还可以是其他的用于能够终端身份的标识。

安全芯片的唯一标识用于服务商服务器查找安全芯片的唯一标识对应的根密钥。终端的标识用于管理服务器向终端发送安全芯片的唯一标识对应的根密钥。

管理服务器获取根密钥获取请求信息携带的唯一标识以及终端的标识。

s302：采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器。

管理服务器采用预设的第一加密密钥对安全芯片的唯一标识进行加密，并将加密后的唯一标识发送至安全芯片对应的服务商服务器。加密后的唯一标识携带管理服务器的标识，管理服务器的标识用于服务商服务器能够在获取到安全芯片的唯一标识对应的根密钥时，根据管理服务器的标识发送该获取到的根密钥。

其中，管理服务器可以采用对称加密技术对待处理的数据进行加密或解密，也可以采用非对称加密技术对待处理的数据进行加密或解密。非对称加密技术采用非对称加密算法生成一密钥对，对待处理数据进行加密所采用的密钥与对待处理数据进行解密所采用的密钥不同。对称加密技术采用对称加密算法生成一密钥，采用同一密钥对待处理的数据进行加密或解密。非对称加密算法可以是rsa算法、数字签名(digitalsignaturealgorithm，dsa)算法、椭圆曲线密码体制(ellipticcurvecryptosystem，ecc)算法或diffie-hellman算法。

s303：接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到。

当服务商服务器根据唯一标识与根密钥的预设对应关系得到该安全芯片的唯一标识对应的根密钥，对获取到的根密钥进行加密，并将加密后的根密钥发送至管理服务器时，接收所述服务商服务器返回的加密后的根密钥。

s304：采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥。

管理服务器在可信执行环境中采用第一解密密钥对接收到的加密后的根密钥进行解密，得到安全芯片的唯一标识对应的根密钥。

其中，第一解密密钥与服务商服务器对获取到的根密钥进行加密时采用的加密密钥相对应。

s305：采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。

管理服务器在可信执行环境中采用第二加密密钥对根密钥进行加密，并根据根密钥获取请求信息携带的终端的标识将加密后的根密钥发送至终端，以使得终端在接收到管理服务器发送的加密后根密钥时，采用第二解密密钥对该加密后根密钥进行解密得到安全芯片对应的根密钥。第二解密密钥与第二加密密钥相对应。

上述方案，管理服务器获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识；采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器；接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到；采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥；采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

请参见图4，图4是本发明另一实施例提供的一种获取根密钥的方法的示意流程图。本实施例中获取根密钥的方法的执行主体为管理服务器，管理服务器可以是可信服务管理器，且可信服务管理器内置有安全芯片，具备可信执行环境；其中，tee是一个与富操作系统(richos)并行的独立运行环境，为富系统提供安全保护。如图4所示的获取根密钥的方法可包括以下步骤：

s401：获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识。

终端与管理服务器建立通信连接，且终端需要获取根密钥时，终端向管理服务器发送根密钥获取请求信息。根密钥获取请求信息携带终端内置的安全芯片的唯一标识以及终端的标识。安全芯片的唯一标识可以是安全芯片出厂时设置的唯一标识码sn。终端的标识也是唯一的，终端的标识可以是终端的媒体访问控制(mediaaccesscontrol或者mediumaccesscontrol，mac)地址，但并不限于此，还可以是其他的用于能够终端身份的标识。

安全芯片的唯一标识用于服务商服务器查找安全芯片的唯一标识对应的根密钥。终端的标识用于管理服务器向终端发送安全芯片的唯一标识对应的根密钥。

管理服务器获取根密钥获取请求信息携带的唯一标识以及终端的标识。

s402：采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器。

管理服务器采用预设的第一加密密钥对安全芯片的唯一标识进行加密，并将加密后的唯一标识发送至安全芯片对应的服务商服务器。加密后的唯一标识携带管理服务器的标识，管理服务器的标识用于服务商服务器能够在获取到安全芯片的唯一标识对应的根密钥时，根据管理服务器的标识发送该获取到的根密钥。

其中，管理服务器可以采用对称加密技术对待处理的数据进行加密或解密，也可以采用非对称加密技术对待处理的数据进行加密或解密。非对称加密技术采用非对称加密算法生成一密钥对，对待处理数据进行加密所采用的密钥与对待处理数据进行解密所采用的密钥不同。对称加密技术采用对称加密算法生成一密钥，采用同一密钥对待处理的数据进行加密或解密。非对称加密算法可以是rsa算法、数字签名(digitalsignaturealgorithm，dsa)算法、椭圆曲线密码体制(ellipticcurvecryptosystem，ecc)算法或diffie-hellman算法。

可选地，当管理服务器利用非对称加密技术对待处理数据进行加密时，s402可以包括s4021～s4023。

s4021：通过自身的签名私钥对所述唯一标识签名得到第一唯一标识。

在本实施例中，管理服务器采用非对称加密算法对待处理的数据进行加密或解密。管理服务器利用非对称加密算法生成签名公钥以及签名私钥这一签名密钥对，管理服务器将签名公钥发送给终端以及安全芯片对应的服务商服务器。

管理服务器利用非对称加密算法生成加密公钥以及加密私钥这一加密密钥对，管理服务器将加密公钥发送给终端以及安全芯片对应的服务商服务器。

非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公用密钥向其它方公开；得到该公用密钥的乙方使用该密钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的另一把专用密钥对加密后的机密信息进行解密。另一方面，甲方可以使用乙方的公钥对机密信息进行签名后再发送给乙方；乙方再用自己的私钥对签名后的机密数据进行验签。

管理服务器通过自身的签名私钥对安全芯片的唯一标识签名得到第一唯一标识。

管理服务器生成的签名密钥对包括签名公钥以及签名私钥。签名私钥是管理服务器私有密钥，不对任何其他设备公开，供管理服务器对需要向其他设备发送的数据进行签名。签名公钥提供给与管理服务器进行数据交互的设备公用，以使其他设备能够采用管理服务器的签名公钥对需要发送给管理服务器的数据进行签名。

s4022：采用第一加密公钥对所述第一唯一标识进行加密得到第二唯一标识；其中，所述第一加密公钥为所述服务商服务器对应的加密公钥。

管理服务器采用服务商服务器根据非对称加密算法生成的加密密钥对中的加密公钥对第一唯一标识进行加密得到第二唯一标识。

服务商服务器生成的加密密钥对包括加密公钥以及加密私钥。

加密私钥为管理服务器私有的密钥，不对任何其他设备公开，管理服务器采用加密私钥对需要外发的数据进行加密。加密公钥提供给与管理服务器进行数据交互的设备公用，以使其他设备能够采用管理服务器的加密公钥对需要发送给管理服务器的数据进行加密。

s4021与s4022不分先后顺序执行。

s4023：将所述第二唯一标识发送至所述安全芯片对应的服务商服务器。

管理服务器与服务商服务器建立专线通信连接，将第二唯一标识发送至安全芯片对应的服务商服务器。

s403：接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到。

当服务商服务器根据唯一标识与根密钥的预设对应关系得到该安全芯片的唯一标识对应的根密钥，对获取到的根密钥进行加密，并将加密后的根密钥发送至管理服务器时，管理服务器接收所述服务商服务器返回的加密后的根密钥。

s404：采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥。

管理服务器在可信执行环境中采用第一解密密钥对接收到的加密后的根密钥进行解密，得到安全芯片的唯一标识对应的根密钥。

其中，第一解密密钥与服务商服务器对获取到的根密钥进行加密时采用的加密密钥相对应。

进一步地，当服务商服务器以及管理服务器利用非对称加密技术对待处理数据进行加密或解密时，s404可以包括s4041～s4042。

s4041：采用所述服务商服务器对应的签名公钥对所述服务商服务器返回的第二根密钥进行验签；其中，所述第二根密钥为所述加密后的根密钥。

其中，第二根密钥是服务商服务器采用服务商服务器的签名私钥对第一根密钥进行签名得到，第一根密钥是服务商服务器采用管理服务器对应的加密公钥对获取到的根密钥进行加密得到。

服务商服务器还可以利用非对称加密算法生成自身的签名公钥以及签名私钥这一签名密钥。同样地，服务商服务器可以将自身的签名公钥以及加密公钥发送给管理服务器。

由于第二根密钥是服务商服务器采用服务商服务器的签名私钥对第一根密钥签名得到，第一根密钥是服务商服务器采用服务商服务器对应的加密公钥对根密钥进行加密得到；管理服务器在获取到第二根密钥时，在可信执行环境中采用服务商服务器对应的签名公钥对第二根密钥进行验签，从而验证该第二根密钥是否来自服务商服务器。

对服务商服务器返回的第二根密钥进行验签是指：解析第二根密钥携带的签名信息，并识别该签名信息是否为服务商服务器的签名信息，从而确认第二根密钥是否来自服务商服务器。其中，当该签名信息为服务商服务器的签名信息时，管理服务器识别为第二根密钥来自服务商服务器，验签成功；当该签名信息不是服务商服务器的签名信息或无法解析第二根密钥携带的签名信息时，管理服务器识别为第二唯一标识不是来自服务商服务器，验签失败。

s4042：若验签通过，则采用自身的加密私钥对所述第二根密钥进行解密得到所述唯一标识对应的根密钥。

管理服务器对第二根密钥验签通过(即确认第二根密钥来自服务商服务器)时，采用管理服务器自身的加密私钥对第二根密钥进行解密，得到安全芯片对应的根密钥。

可以理解的是，若验签失败，则识别为第二根密钥不是来自于服务商服务器，管理服务器不做任何处理，结束本次控制流程。

s405：采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。

管理服务器在可信执行环境中采用第二加密密钥对根密钥进行加密，并根据根密钥获取请求信息携带的终端的标识将加密后的根密钥发送至终端，以使得终端在接收到管理服务器发送的加密后根密钥时，采用第二解密密钥对该加密后根密钥进行解密得到安全芯片对应的根密钥。第二解密密钥与第二加密密钥相对应。

进一步地，当管理服务器以及终端均利用非对称加密技术对待处理数据进行加密或解密时，s405可以包括s4051～s4053。

s4051：采用所述终端的加密公钥对所述根密钥进行加密得到第三根密钥。

管理服务器在可信执行环境中，采用终端的加密公钥对根密钥进行加密得到第三根密钥。终端的加密公钥以及终端的加密私钥由终端采用非对称加密算法生成，并将终端的加密公钥发送给管理服务器；终端的加密私钥为终端的私有密钥，不发送给管理服务器或其他设备。

s4052：采用自身的签名私钥对所述第三根密钥进行签名得到第四根密钥。

管理服务器在可信执行环境中，采用管理服务器的签名私钥对第三根密钥进行签名得到第四根密钥。

s4053：根据所述根密钥获取请求信息携带的所述终端的标识将所述第四根密钥发送至所述终端；其中，所述第四根密钥用于所述终端通过管理服务器的签名公钥验签，并在验签通过时，采用所述终端的加密私钥进行解密得到所述唯一标识对应的根密钥。

管理服务器根据根密钥获取请求信息携带的终端的标识将第四根密钥发送至终端。由于第四根密钥是管理服务器采用管理服务器自身的签名私钥对第三根密钥进行签名得到，第三根密钥是管理服务器采用终端的加密公钥进行加密得到；因此，终端在获取到第四根密钥时，需要采用管理服务器的签名公钥进行验签，在验签通过时，采用终端自身的加密私钥进行解密；在验签失败时，不做任何处理或结束本次控制流程。

上述方案，管理服务器获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识；采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器；接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到；采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥；采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

管理服务器采用非对称加密技术进行加密或解密，能够进一步降低根密钥在传输过程中被泄露的风险。

请参见图5，图5是本发明再一实施例提供的一种获取根密钥的方法的示意流程图。本实施例中获取根密钥的方法的执行主体为服务商服务器，服务商服务器为安全芯片对应的服务商服务器，用于为安全芯片实现各预设功能提供相应的服务。管理服务器可分别与终端以及服务商服务器进行通信。如图5所示的获取根密钥的方法可包括以下步骤：

s501：获取管理服务器发送的加密后的唯一标识；其中，所述唯一标识由所述管理服务器从终端发送的根密钥获取请求信息中获取，所述唯一标识是所述终端内置的安全芯片的唯一标识；加密后的唯一标识携带所述管理服务器的标识。

当管理服务器在从终端发送的根密钥获取请求信息中，获取到根密钥获取请求信息携带的唯一标识，采用预设的加密密钥对该唯一标识进行加密，并将加密后的唯一标识发送至安全芯片对应的服务商服务器时，获取管理服务器发送的加密后的唯一标识。加密后的唯一标识携带管理服务器的标识，用于服务商服务器向管理服务器发送唯一标识对应的根密钥。

唯一标识是终端内置的安全芯片的唯一标识。

s502：采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述安全芯片的唯一标识。

服务商服务器可以利用对称加密技术或非对称加密技术对待处理数据进行加密或解密。预设的解密密钥与s501中管理服务器所采用的预设的加密密钥相对应。

非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公用密钥向其它方公开；得到该公用密钥的乙方使用该密钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的另一把专用密钥对加密后的机密信息进行解密。另一方面，甲方可以使用乙方的公钥对机密信息进行签名后再发送给乙方；乙方再用自己的私钥对签名后的机密数据进行验签。

s503：根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥。

其中，服务商服务器内预先存储了唯一标识与根密钥的预设对应关系。唯一标识与根密钥一一对应，即一个唯一标识对应一个根密钥。该唯一标识是安全芯片厂商所生产的所有安全芯片的唯一标识。

可选地，服务商服务器保存的根密钥是已加密的根密钥。当服务器根据安全芯片的唯一标识在数据库中查找到该唯一标识对应的已加密的根密钥时，需要采用约定的解密密码对已加密的根密钥进行解密，得到该唯一标识对应的根密钥。约定的解密密码与服务商服务器对根密钥进行加密时采用的加密密码相对应。

s504：采用预设的加密密钥对所述根密钥进行加密，并根据所述管理服务器的标识将加密后的根密钥发送至所述管理服务器。

预设的加密密钥可以是服务商服务器采用对称加密算法生成的加密密钥，也可以是服务商服务器采用非对称加密算法生成的加密密钥。预设的加密密钥与管理服务器解密该加密后的根密钥所采用的解密密钥相对应。

其中，加密后的根密钥用于管理服务器采用与预设的加密密钥对应的解密密钥进行解密，得到根密钥，并采用与终端约定的加密密钥对根密钥进行加密，将加密后的根密钥发送给终端，从而使得终端能够采用与管理服务器约定的解密密钥解密该接收到的加密的根密钥，得到安全芯片对应的根密钥。与终端约定的加密密钥、与管理服务器约定的解密密钥两者相对应。再次对约定的加密密钥以及约定的解密密钥不做限定。

上述方案，服务商服务器获取管理服务器发送的加密后的唯一标识；采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述安全芯片的唯一标识；根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；采用预设的加密密钥对所述根密钥进行加密，并根据所述管理服务器的标识将加密后的根密钥发送至所述管理服务器，以使管理服务器能够采用与预设的加密密钥对应的解密密钥进行解密，得到根密钥，并采用与终端约定的加密密钥对根密钥进行加密，将加密后的根密钥发送给终端，从而使得终端能够采用与管理服务器约定的解密密钥解密该接收到的加密的根密钥，得到安全芯片对应的根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

服务商服务器采用非对称加密技术进行加密或解密，能够进一步降低根密钥在传输过程中被泄露的风险。

请参见图6，图6是本发明又一实施例提供的一种获取根密钥的方法的示意流程图。本实施例中获取根密钥的方法的执行主体为服务商服务器，服务商服务器为安全芯片对应的服务商服务器，用于为安全芯片实现各预设功能提供相应的服务。管理服务器可分别与终端以及服务商服务器进行通信。如图6所示的获取根密钥的方法可包括以下步骤：

s601：获取管理服务器发送的加密后的唯一标识；其中，所述唯一标识由所述管理服务器从终端发送的根密钥获取请求信息中获取，所述唯一标识是所述终端内置的安全芯片的唯一标识；加密后的唯一标识携带所述管理服务器的标识。

当管理服务器在从终端发送的根密钥获取请求信息中，获取到根密钥获取请求信息携带的唯一标识，采用预设的加密密钥对该唯一标识进行加密，并将加密后的唯一标识发送至安全芯片对应的服务商服务器时，获取管理服务器发送的加密后的唯一标识。加密后的唯一标识携带管理服务器的标识，用于服务商服务器向管理服务器发送唯一标识对应的根密钥。

唯一标识是终端内置的安全芯片的唯一标识。

s6021：采用所述管理服务器对应的签名公钥对所述管理服务器发送的第二唯一标识进行验签；其中，所述第二唯一标识为所述加密后的唯一标识；所述第二唯一标识是所述管理服务器采用服务商服务器对应的加密公钥对第一唯一标识进行加密得到，所述第一唯一标识是所述管理服务器采用所述管理服务器的签名私钥对所述安全芯片的唯一标识签名得到。

当管理服务器以及服务商服务器均利用非对称加密技术对待处理数据进行加密或解密时，由于管理服务器发送的加密后的唯一标识是管理服务器采用管理服务器的签名私钥进行签名，因此，服务商服务器根据非对称加密技术采用管理服务器对应的签名公钥对管理服务器发送的第二唯一标识进行验签，以验证第二唯一标识是否来自管理服务器。

其中，非对称加密算法实现机密信息交换的基本过程是：甲方生成一对密钥并将其中的一把作为公用密钥向其它方公开；得到该公用密钥的乙方使用该密钥对机密信息进行加密后再发送给甲方；甲方再用自己保存的另一把专用密钥对加密后的机密信息进行解密。另一方面，甲方可以使用乙方的公钥对机密信息进行签名后再发送给乙方；乙方再用自己的私钥对签名后的机密数据进行验签。

对管理服务器发送的第二唯一标识进行验签是指：解析第二唯一标识携带的签名信息，并识别该签名信息是否为管理服务器的签名信息，从而确认第二唯一标识是否来自管理服务器。其中，当该签名信息为管理服务器的签名信息时，服务商服务器识别为第二唯一标识来自管理服务器，验签成功；当该签名信息不是管理服务器的签名信息或无法解析第二唯一标识携带的签名信息时，服务商服务器识别为第二唯一标识不是来自管理服务器，验签失败。

当第二唯一标识来自管理服务器时，验签通过；当第二唯一标识不是来自管理服务器时，验签失败。

s6022：若验签通过，则采用自身的加密私钥对所述第二唯一标识进行解密得到所述安全芯片的唯一标识。

由于第二唯一标识是管理服务器采用管理服务器生成的第一加密公钥对第一唯一标识得到，第一唯一标识是管理服务器采用自身的签名私钥对安全芯片的唯一标识签名得到；服务商服务器确认对第二唯一标识验签通过(即确认第二唯一标识来自管理服务器)时，服务商服务器采用服务商服务器自身的加密私钥对第二唯一标识进行解密，得到安全芯片对应的唯一标识。

可以理解的是，若验签失败，则识别为第二唯一标识不是来自于管理服务器，服务商服务器不做任何处理，结束本次控制流程。

s603：根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥。

其中，服务商服务器内预先存储了唯一标识与根密钥的预设对应关系。唯一标识与根密钥一一对应，即一个唯一标识对应一个根密钥。该唯一标识是安全芯片厂商所生产的所有安全芯片的唯一标识。

可选地，服务商服务器保存的根密钥是已加密的根密钥。当服务器根据安全芯片的唯一标识在数据库中查找到该唯一标识对应的已加密的根密钥时，需要采用约定的解密密码对已加密的根密钥进行解密，得到该唯一标识对应的根密钥。约定的解密密码与服务商服务器对根密钥进行加密时采用的加密密码相对应。

s6041：采用所述管理服务器对应的加密公钥对所述根密钥进行加密，得到第一根密钥。

服务商服务器采用管理服务器根据非对称加密算法生成的加密密钥对中的加密公钥对根密钥进行加密，得到第一根密钥。管理服务器生成的加密密钥对包括加密公钥以及加密私钥。加密私钥为管理服务器私有的密钥，不对任何其他设备公开。加密公钥提供给与管理服务器进行数据交互的设备公用，以使其他设备能够采用管理服务器的加密公钥对需要发送给管理服务器的数据进行加密。

s6042：采用自身的签名私钥对所述第一根密钥进行签名，得到第二根密钥。

服务商服务器采用非对称加密算法生成的签名密钥对中的签名私钥对第一根密钥进行签名，得到第二根密钥。服务商服务器生成的签名密钥对包括签名公钥以及签名私钥。签名私钥是服务商服务器私有密钥，不对任何其他设备公开，供服务商服务器签名使用。签名公钥提供给与服务商服务器进行数据交互的设备公用，以使其他设备能够采用服务商服务器的签名公钥对需要发送给服务商服务器的数据进行签名。

s6041与s6042不分先后顺序执行。服务商服务器可以对获取到的根密钥先签名再加密，也可以对获取到的根密钥先加密再签名，此处不做限制。

s6043：根据所述管理服务器的标识将所述第二根密钥发送至所述管理服务器；其中，所述第二根密钥用于所述管理服务器采用服务商服务器的签名公钥对所述第二根密钥进行验签，并在验签通过时，通过所述管理服务器对应的加密私钥对所述第二根密钥进行解密得到所述唯一标识对应的根密钥。

第二根密钥用于管理服务器采用服务商服务器对应的签名公钥对服务商服务器发送的第二根密钥进行验签，并在验签通过时，采用管理服务器的加密私钥对第二根密钥进行解密得到安全芯片的唯一标识对应的根密钥；并采用终端的加密公钥对解密得到的根密钥进行加密得到第三根密钥，再用管理服务器自身的签名私钥对第三根密钥进行签名得到第四根密钥，管理服务器根据终端的标识将第四根密钥发送给终端，进而使得终端在接收到管理服务器发送的第四根密钥时，采用管理服务器的签名公钥对第四根密钥进行验签；并在验签通过时，采用终端自身的加密私钥对第四根密钥进行解密，得到根密钥。

由于第二根密钥是采用服务商服务器的签名私钥对第一根密钥进行签名得到的，第一根密钥是服务商服务器采用管理服务器的加密公钥对根密钥进行加密得到，因此，管理服务器在接收到服务商服务器发送的第二根密钥时，需要采用服务商服务器的签名公钥对第二根密钥进行验签，以验证第二根密钥是否来自服务商服务器；并在验签通过时，管理服务器需要采用自身的加密私钥对验签后的第二根密钥进行解密，得到安全芯片的唯一标识对应的根密钥。

上述方案，服务商服务器获取管理服务器发送的加密后的唯一标识；采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述安全芯片的唯一标识；根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；采用预设的加密密钥对所述根密钥进行加密，并根据所述管理服务器的标识将加密后的根密钥发送至所述管理服务器，以使管理服务器能够采用与预设的加密密钥对应的解密密钥进行解密，得到根密钥，并采用与终端约定的加密密钥对根密钥进行加密，将加密后的根密钥发送给终端，从而使得终端能够采用与管理服务器约定的解密密钥解密该接收到的加密的根密钥，得到安全芯片对应的根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

服务商服务器采用非对称加密技术进行加密或解密，能够进一步降低根密钥在传输过程中被泄露的风险。

参见图7，图7是本发明实施例提供的一种服务器的示意性框图。本实施例的服务器7为具有可信执行环境的管理服务器，服务器7包括的各单元用于执行图3对应的实施例中的各步骤，具体请参阅图3以及图3对应的实施例中的相关描述，此处不赘述。本实施例的服务器包括：获取单元701、第一加密单元702、第一发送单元703、接收单元704、解密单元705、第二加密单元706以及第二发送单元707。

获取单元701用于获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识。

第一加密单元702用于采用第一加密密钥对所述唯一标识进行加密。

第一发送单元703用于将所述第一加密单元加密后的唯一标识发送至所述安全芯片对应的服务商服务器。

接收单元704用于接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到。

解密单元705用于采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥。

第二加密单元706用于采用第二加密密钥对所述根密钥进行加密。

第二发送单元707用于根据所述根密钥获取请求信息携带的所述终端的标识将所述第二加密单元加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。

上述方案，管理服务器获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识；采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器；接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到；采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥；采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

参见图8，图8是本发明另一实施例提供的一种服务器的示意性框图。本实施例的服务器8为具有可信执行环境的管理服务器，服务器8包括的各单元用于执行图4对应的实施例中的各步骤，具体请参阅图4以及图4对应的实施例中的相关描述，此处不赘述。本实施例的服务器包括：获取单元801、第一加密单元802、第一发送单元803、接收单元804、解密单元805、第二加密单元806以及第二发送单元807。

获取单元801用于获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识。

第一加密单元802用于采用第一加密密钥对所述唯一标识进行加密。

可选地，第一加密单元802可以包括签名单元8021以及加密单元8022；

签名单元8021用于通过自身的签名私钥对所述唯一标识签名得到第一唯一标识；

加密单元8022用于采用第一加密公钥对所述第一唯一标识进行加密得到第二唯一标识；其中，所述第一加密公钥为所述服务商服务器对应的加密公钥。

第一发送单元803用于将所述第一加密单元加密后的唯一标识发送至所述安全芯片对应的服务商服务器。

可选地，当第一加密单元802可以包括第一签名单元8021以及第一加密单元8022时，第一发送单元803具体用于将所述第二唯一标识发送至所述安全芯片对应的服务商服务器。

接收单元804用于接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到。

解密单元805用于采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥。

可选地，解密单元805可以包括验签单元8051以及根密钥解密单元8052；

验签单元8051用于采用所述服务商服务器对应的签名公钥对所述服务商服务器返回的第二根密钥进行验签；其中，所述第二根密钥为所述加密后的根密钥，所述第二根密钥是服务商服务器采用所述服务商服务器的签名私钥对第一根密钥进行签名得到，所述第一根密钥是所述服务商服务器采用管理服务器对应的加密公钥对获取到的根密钥进行加密得到；

根密钥解密单元8052用于若验签单元8051验签通过，则采用自身的加密私钥对所述第二根密钥进行解密得到所述唯一标识对应的根密钥。

第二加密单元806用于采用第二加密密钥对所述根密钥进行加密。

可选地，第二加密单元806可以包括加密单元8061以及签名单元8062；

加密单元8061用于采用所述终端的加密公钥对所述根密钥进行加密得到第三根密钥；

签名单元8062用于采用自身的签名私钥对所述第三根密钥进行签名得到第四根密钥。

第二发送单元807用于根据所述根密钥获取请求信息携带的所述终端的标识将所述第二加密单元加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。

可选地，当第二加密单元806可以包括加密单元8061以及签名单元8062时，第二发送单元807具体用于根据所述根密钥获取请求信息携带的所述终端的标识将所述第四根密钥发送至所述终端；其中，所述第四根密钥用于所述终端通过管理服务器的签名公钥验签，并在验签通过时，采用所述终端的加密私钥进行解密得到所述唯一标识对应的根密钥。

上述方案，管理服务器获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识；采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器；接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到；采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥；采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

管理服务器采用非对称加密技术进行加密或解密，能够进一步降低根密钥在传输过程中被泄露的风险。

参见图9，图9是本发明再一实施例提供的一种服务器的示意性框图。本实施例的服务器9为服务商管理服务器，用于为终端内置的安全芯片提供服务。服务器9包括的各单元用于执行图5对应的实施例中的各步骤，具体请参阅图5以及图5对应的实施例中的相关描述，此处不赘述。本实施例的服务器包括：第一获取单元901、解密单元902、第二获取单元903、加密单元904以及发送单元905。

第一获取单元901用于获取管理服务器发送的加密后的唯一标识；其中，所述唯一标识由所述管理服务器从终端发送的根密钥获取请求信息中获取，所述唯一标识是所述终端内置的安全芯片的唯一标识；加密后的唯一标识携带所述管理服务器的标识。

解密单元902用采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述安全芯片的唯一标识。

第二获取单元903用于根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥。

加密单元904用于采用预设的加密密钥对所述根密钥进行加密；

发送单元905用于根据所述管理服务器的标识将所述加密单元加密后的根密钥发送至所述管理服务器。

上述方案，服务商服务器获取管理服务器发送的加密后的唯一标识；采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述安全芯片的唯一标识；根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；采用预设的加密密钥对所述根密钥进行加密，并根据所述管理服务器的标识将加密后的根密钥发送至所述管理服务器，以使管理服务器能够采用与预设的加密密钥对应的解密密钥进行解密，得到根密钥，并采用与终端约定的加密密钥对根密钥进行加密，将加密后的根密钥发送给终端，从而使得终端能够采用与管理服务器约定的解密密钥解密该接收到的加密的根密钥，得到安全芯片对应的根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

参见图10，图10是本发明又一实施例提供的一种服务器的示意性框图。本实施例的服务器10为服务商管理服务器，用于为终端内置的安全芯片提供服务。服务器10包括的各单元用于执行图6对应的实施例中的各步骤，具体请参阅图6以及图6对应的实施例中的相关描述，此处不赘述。本实施例的服务器包括：第一获取单元1001、解密单元1002、第二获取单元1003、加密单元1004以及发送单元1005。解密单元1002包括验签单元1021以及唯一标识解密单元1022；加密单元1004包括根密钥加密单元10041以及签名单元10042。

第一获取单元1001用于获取管理服务器发送的加密后的唯一标识；其中，所述唯一标识由所述管理服务器从终端发送的根密钥获取请求信息中获取，所述唯一标识是所述终端内置的安全芯片的唯一标识；加密后的唯一标识携带所述管理服务器的标识。

解密单元1002的验签单元1021用于采用所述管理服务器对应的签名公钥对所述管理服务器发送的第二唯一标识进行验签；其中，所述第二唯一标识为所述加密后的唯一标识；所述第二唯一标识是所述管理服务器采用服务商服务器对应的加密公钥对第一唯一标识进行加密得到，所述第一唯一标识是所述管理服务器采用所述管理服务器的签名私钥对所述安全芯片的唯一标识签名得到。

解密单元1002的唯一标识解密单元1022用于若验签单元1021验签通过，则采用自身的加密私钥对所述第二唯一标识进行解密得到所述安全芯片的唯一标识。

第二获取单元1003用于根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥。

加密单元1004的根密钥加密单元10041用于采用所述管理服务器对应的加密公钥对所述根密钥进行加密，得到第一根密钥。

加密单元1004的签名单元10042用于采用自身的签名私钥对所述第一根密钥进行签名，得到第二根密钥。

发送单元1005用于根据所述管理服务器的标识将所述第二根密钥发送至所述管理服务器；其中，所述第二根密钥用于所述管理服务器采用服务商服务器的签名公钥对所述第二根密钥进行验签，并在验签通过时，通过所述管理服务器对应的加密私钥对所述第二根密钥进行解密得到所述唯一标识对应的根密钥。

上述方案，服务商服务器获取管理服务器发送的加密后的唯一标识；采用所述管理服务器对应的签名公钥对所述管理服务器发送的第二唯一标识进行验签；若验签通过，则采用自身的加密私钥对所述第二唯一标识进行解密得到所述安全芯片的唯一标识；根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；采用所述管理服务器对应的加密公钥对所述根密钥进行加密，得到第一根密钥；采用自身的签名私钥对所述第一根密钥进行签名，得到第二根密钥；根据所述管理服务器的标识将所述第二根密钥发送至所述管理服务器，以使管理服务器能够采用自身的加密私钥对应的解密密钥进行解密，得到根密钥，并采用终端的加密公钥对根密钥进行加密，将加密后的根密钥发送给终端，从而使得终端能够自身的加密私钥解密该接收到的加密的根密钥，得到安全芯片对应的根密钥。由于在获取根密钥的过程中，传输的安全芯片的唯一标识及其对应的根密钥均是经过加密的，并且加密安全芯片的唯一标识以及解密服务商服务器发送的加密后的根密钥均在管理服务器的可信执行环境中进行，因此，能够有效降低根密钥在传输过程中被泄露的风险，提高根密钥的传输安全性，从而提高终端内信息安全性。

服务商服务器采用非对称加密技术进行加密或解密，能够进一步降低根密钥在传输过程中被泄露的风险。

参见11，图11是本发明再一实施例提供的一种服务器示意框图。如图所示的本实施例中的服务器11可以包括：一个或多个处理器1101；一个或多个输入设备1102，一个或多个输出设备1103和存储器1104。上述处理器1101、输入设备1102、输出设备1103和存储器1104通过总线1105连接。存储器1102用于存储计算机程序，所述计算机程序包括程序指令，处理器1101用于执行存储器1102存储的程序指令。其中，处理器1101被配置用于调用所述程序指令执行：

获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识；

采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器；

接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到；

采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥；

采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。

进一步地，处理器1101被配置具体用于调用所述程序指令执行：通过自身的签名私钥对所述唯一标识签名得到第一唯一标识；采用第一加密公钥对所述第一唯一标识进行加密得到第二唯一标识；其中，所述第一加密公钥为所述服务商服务器对应的加密公钥；将所述第二唯一标识发送至所述安全芯片对应的服务商服务器。

进一步地，处理器1101被配置具体用于调用所述程序指令执行：

采用所述服务商服务器对应的签名公钥对所述服务商服务器返回的第二根密钥进行验签；其中，所述第二根密钥为所述加密后的根密钥，所述第二根密钥是服务商服务器采用所述服务商服务器的签名私钥对第一根密钥进行签名得到，所述第一根密钥是所述服务商服务器采用管理服务器对应的加密公钥对获取到的根密钥进行加密得到；

若验签通过，则采用自身的加密私钥对所述第二根密钥进行解密得到所述唯一标识对应的根密钥。

进一步地，处理器1101被配置具体用于调用所述程序指令执行：

采用所述终端的加密公钥对所述根密钥进行加密得到第三根密钥；

采用自身的签名私钥对所述第三根密钥进行签名得到第四根密钥；

根据所述根密钥获取请求信息携带的所述终端的标识将所述第四根密钥发送至所述终端；其中，所述第四根密钥用于所述终端通过管理服务器的签名公钥验签，并在验签通过时，采用所述终端的加密私钥进行解密得到所述唯一标识对应的根密钥。

应当理解，在本发明实施例中，所称处理器1101可以是中央处理单元(centralprocessingunit，cpu)，该处理器还可以是其他通用处理器、数字信号处理器(digitalsignalprocessor，dsp)、专用集成电路(applicationspecificintegratedcircuit，asic)、现成可编程门阵列(field-programmablegatearray，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

输入设备1102可以包括触控板、指纹采传感器(用于采集用户的指纹信息和指纹的方向信息)、麦克风等，输出设备1103可以包括显示器(lcd等)、扬声器等。

该存储器1104可以包括只读存储器和随机存取存储器，并向处理器1101提供指令和数据。存储器1104的一部分还可以包括非易失性随机存取存储器。例如，存储器1104还可以存储设备类型的信息。

具体实现中，本发明实施例中所描述的处理器1101、输入设备1102、输出设备1103可执行本发明实施例提供的获取根密钥的方法的第一实施例和第二实施例中所描述的实现方式，也可执行本发明实施例所描述的服务器的实现方式，在此不再赘述。

进一步地，在本发明的另一实施例中提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令被处理器执行时实现：

获取根密钥获取请求信息携带的唯一标识；其中，所述根密钥获取请求信息由终端发送，所述唯一标识是所述终端内置的安全芯片的唯一标识；

采用第一加密密钥对所述唯一标识进行加密，并将加密后的唯一标识发送至所述安全芯片对应的服务商服务器；

接收所述服务商服务器返回的加密后的根密钥；其中，所述根密钥是所述服务商服务器根据所述唯一标识、唯一标识与根密钥的预设对应关系得到；

采用第一解密密钥对所述加密后的根密钥进行解密，得到所述唯一标识对应的根密钥；

采用第二加密密钥对所述根密钥进行加密，并根据所述根密钥获取请求信息携带的所述终端的标识将加密后的根密钥发送至所述终端；其中，所述加密后的根密钥用于所述终端通过第二解密密钥进行解密得到根密钥。

可选地，所述计算机程序被处理器执行时可以具体实现：

通过自身的签名私钥对所述唯一标识签名得到第一唯一标识；

采用第一加密公钥对所述第一唯一标识进行加密得到第二唯一标识；其中，所述第一加密公钥为所述服务商服务器对应的加密公钥；

将所述第二唯一标识发送至所述安全芯片对应的服务商服务器。

可选地，所述计算机程序被处理器执行时可以实现：

采用所述服务商服务器对应的签名公钥对所述服务商服务器返回的第二根密钥进行验签；其中，所述第二根密钥为所述加密后的根密钥，所述第二根密钥是服务商服务器采用所述服务商服务器的签名私钥对第一根密钥进行签名得到，所述第一根密钥是所述服务商服务器采用管理服务器对应的加密公钥对获取到的根密钥进行加密得到；

若验签通过，则采用自身的加密私钥对所述第二根密钥进行解密得到所述唯一标识对应的根密钥。

可选地，所述计算机程序被处理器执行时还可以实现：采用所述终端的加密公钥对所述根密钥进行加密得到第三根密钥；

采用自身的签名私钥对所述第三根密钥进行签名得到第四根密钥；

根据所述根密钥获取请求信息携带的所述终端的标识将所述第四根密钥发送至所述终端；其中，所述第四根密钥用于所述终端通过管理服务器的签名公钥验签，并在验签通过时，采用所述终端的加密私钥进行解密得到所述唯一标识对应的根密钥。

所述计算机可读存储介质可以是前述任一实施例所述的管理服务器的内部存储单元，例如管理服务器的硬盘或内存。所述计算机可读存储介质也可以是所述管理服务器的外部存储设备，例如所述管理服务器上配备的插接式硬盘，智能存储卡(smartmediacard,smc)，安全数字(securedigital,sd)卡，闪存卡(flashcard)等。进一步地，所述计算机可读存储介质还可以既包括所述管理服务器的内部存储单元也包括外部存储设备。所述计算机可读存储介质用于存储所述计算机程序以及所述管理服务器所需的其他程序和数据。所述计算机可读存储介质还可以用于暂时地存储已经输出或者将要输出的数据。

参见12，图12是本发明又一实施例提供的一种服务器示意框图。如图所示的本实施例中的服务器12可以包括：一个或多个处理器1201；一个或多个输入设备1202，一个或多个输出设备1203和存储器1204。上述处理器1201、输入设备1202、输出设备1203和存储器1204通过总线1205连接。存储器1202用于存储计算机程序，所述计算机程序包括程序指令，处理器1201用于执行存储器1202存储的程序指令。其中，处理器1201被配置用于调用所述程序指令执行：

获取管理服务器发送的加密后的唯一标识；其中，所述唯一标识由所述管理服务器从终端发送的根密钥获取请求信息中获取，所述唯一标识是所述终端内置的安全芯片的唯一标识；加密后的唯一标识携带所述管理服务器的标识；

采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述安全芯片的唯一标识；

根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；

采用预设的加密密钥对所述根密钥进行加密，并根据所述管理服务器的标识将加密后的根密钥发送至所述管理服务器。

进一步地，处理器1201被配置具体用于调用所述程序指令执行：

采用所述管理服务器对应的签名公钥对所述管理服务器发送的第二唯一标识进行验签；其中，所述第二唯一标识为所述加密后的唯一标识；所述第二唯一标识是所述管理服务器采用服务商服务器对应的加密公钥对第一唯一标识进行加密得到，所述第一唯一标识是所述管理服务器采用所述管理服务器的签名私钥对所述安全芯片的唯一标识签名得到；

若验签通过，则采用自身的加密私钥对所述第二唯一标识进行解密得到所述安全芯片的唯一标识；

根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；

采用所述管理服务器对应的加密公钥对所述根密钥进行加密，得到第一根密钥；

采用自身的签名私钥对所述第一根密钥进行签名，得到第二根密钥；

根据所述管理服务器的标识将所述第二根密钥发送至所述管理服务器；其中，所述第二根密钥用于所述管理服务器采用服务商服务器的签名公钥对所述第二根密钥进行验签，并在验签通过时，通过所述管理服务器对应的加密私钥对所述第二根密钥进行解密得到所述唯一标识对应的根密钥。

应当理解，在本发明实施例中，所称处理器1101可以是中央处理单元(centralprocessingunit，cpu)，该处理器还可以是其他通用处理器、数字信号处理器(digitalsignalprocessor，dsp)、专用集成电路(applicationspecificintegratedcircuit，asic)、现成可编程门阵列(field-programmablegatearray，fpga)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

输入设备1202可以包括触控板、指纹采传感器(用于采集用户的指纹信息和指纹的方向信息)、麦克风等，输出设备1203可以包括显示器(lcd等)、扬声器等。

该存储器1204可以包括只读存储器和随机存取存储器，并向处理器1201提供指令和数据。存储器1204的一部分还可以包括非易失性随机存取存储器。例如，存储器1204还可以存储设备类型的信息。

具体实现中，本发明实施例中所描述的处理器1201、输入设备1202、输出设备1203可执行本发明实施例提供的获取根密钥的方法的第三实施例和第四实施例中所描述的实现方式，也可执行本发明实施例所描述的服务商服务器的实现方式，在此不再赘述。

进一步地，在本发明的另一实施例中提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令被处理器执行时实现：

获取管理服务器发送的加密后的唯一标识；其中，所述唯一标识由所述管理服务器从终端发送的根密钥获取请求信息中获取，所述唯一标识是所述终端内置的安全芯片的唯一标识；加密后的唯一标识携带所述管理服务器的标识；

采用预设的解密密钥对所述加密后的唯一标识进行解密得到所述安全芯片的唯一标识；

根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；

采用预设的加密密钥对所述根密钥进行加密，并根据所述管理服务器的标识将加密后的根密钥发送至所述管理服务器。

可选地，所述计算机程序被处理器执行时可以具体实现：

采用所述管理服务器对应的签名公钥对所述管理服务器发送的第二唯一标识进行验签；其中，所述第二唯一标识为所述加密后的唯一标识；所述第二唯一标识是所述管理服务器采用服务商服务器对应的加密公钥对第一唯一标识进行加密得到，所述第一唯一标识是所述管理服务器采用所述管理服务器的签名私钥对所述安全芯片的唯一标识签名得到；

若验签通过，则采用自身的加密私钥对所述第二唯一标识进行解密得到所述安全芯片的唯一标识；

根据唯一标识与根密钥的预设对应关系获取所述唯一标识对应的根密钥；

采用所述管理服务器对应的加密公钥对所述根密钥进行加密，得到第一根密钥；

采用自身的签名私钥对所述第一根密钥进行签名，得到第二根密钥；

根据所述管理服务器的标识将所述第二根密钥发送至所述管理服务器；其中，所述第二根密钥用于所述管理服务器采用服务商服务器的签名公钥对所述第二根密钥进行验签，并在验签通过时，通过所述管理服务器对应的加密私钥对所述第二根密钥进行解密得到所述唯一标识对应的根密钥。

所述计算机可读存储介质可以是前述任一实施例所述的服务商服务器的内部存储单元，例如服务器的硬盘或内存。所述计算机可读存储介质也可以是所述服务商服务器的外部存储设备，例如所述服务商服务器上配备的插接式硬盘，智能存储卡(smartmediacard,smc)，安全数字(securedigital,sd)卡，闪存卡(flashcard)等。进一步地，所述计算机可读存储介质还可以既包括所述服务商服务器的内部存储单元也包括外部存储设备。所述计算机可读存储介质用于存储所述计算机程序以及所述服务商服务器所需的其他程序和数据。所述计算机可读存储介质还可以用于暂时地存储已经输出或者将要输出的数据。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的服务器和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的服务器和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口、装置或单元的间接耦合或通信连接，也可以是电的，机械的或其它的形式连接。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本发明实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：u盘、移动硬盘、只读存储器(rom，read-onlymemory)、随机存取存储器(ram，randomaccessmemory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。