基于隐私保护的程序数据更新方法、系统、装置及设备

摘要

本说明书实施例提供了一种基于隐私保护的程序数据更新方法、系统、装置及设备，包括：向第一服务器发送目标程序的程序数据更新请求，以使第一服务器在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令；接收程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建通道密钥，以使第一服务器基于通道密钥，对待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备；通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。

说明书

技术领域

本发明涉及计算机技术领域，尤其涉及一种基于隐私保护的程序数据更新方法、系统、装置及设备。

背景技术

目前，随着移动通信技术的快速发展，移动终端（如智能手机等）已成为人们日常生活中必不可少的电子消费品，随着智能手机越来越普及化，同时，智能手机的功能不断升级、优化，智能手机已经融入生活的各个方面，用户经常在各种场合各种地点使用智能手机。

当前移动终端程序数据更新的过程，如终端系统数据升级或者是某应用程序更新的过程中，大多采用的是在REE通用环境下下载程序数据的更新数据进行更新的方式，然而，采用上述下载更新方式，很容易受到黑客攻击，从而无法保证上述系统升级数据或程序数据更新的真实性和完整性，因此，需要提供一种提高隐私保护的程序数据更新过程的安全性的技术方案。

发明内容

本发明实施例的目的是提供一种基于隐私保护的程序数据更新方法、系统、装置及设备，以提供一种提高隐私保护的程序数据更新过程的安全性的技术方案。

为了解决上述技术问题，本发明实施例是这样实现的：

第一方面，本发明实施例提供了一种基于隐私保护的程序数据更新方法，应用于终端设备，所述终端设备中设置有可信执行环境，所述方法包括：向第一服务器发送目标程序的程序数据更新请求，以使所述第一服务器基于所述程序数据更新请求确定所述终端设备中所述目标程序的待更新的程序数据后，向所述终端设备发送程序数据更新指令，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。接收所述程序数据更新指令，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述终端设备的通道密钥，以使所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备。通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

第二方面，本发明实施例提供了一种基于隐私保护的程序数据更新方法，应用于第一服务器，所述方法包括：接收目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据。在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述终端设备发送程序数据更新指令。接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

第三方面，本发明实施例提供了一种基于隐私保护的程序数据更新系统，该系统包括：终端设备和第一服务器，所述终端设备中设置有可信执行环境。所述终端设备，向所述第一服务器发送目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有所述终端设备的标识信息和所述目标程序的标识信息。所述第一服务器接收所述目标程序的程序数据更新请求，根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据，在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述终端设备发送程序数据更新指令。所述终端设备接收所述程序数据更新指令，向所述第一服务器发送安全通道建立请求，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述终端设备的通道密钥。所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备。所述终端设备通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

第四方面，本发明实施例提供了一种基于隐私保护的程序数据更新方法，应用于第一服务器，所述方法包括：接收目标程序的程序数据更新请求，将所述程序数据更新请求发送至程序管理服务器，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。在接收来自所述程序管理服务器发送的与所述程序数据更新请求对应的待更新的程序数据后，向所述终端设备发送程序数据更新指令。接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

第五方面，本发明实施例提供了一种基于隐私保护的程序数据更新方法，应用于程序管理服务器，所述方法包括：接收第一服务器发送的目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据。在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述第一服务器发送与所述程序数据更新请求对应的待更新的程序数据，以使所述第一服务器基于获取的所述待更新的程序数据生成程序更新数据，并将所述程序更新数据通过安全通道发送至所述终端设备，以使所述终端设备基于接收到的程序更新数据执行升级操作，其中，所述程序更新数据是所述第一服务器在接收来自所述程序管理服务器发送的与所述程序数据更新请求对应的待更新的程序数据后，通过向所述终端设备发送程序数据更新指令，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到的。

第六方面，本发明实施例提供了一种基于隐私保护的程序数据更新系统，包括：终端设备、第一服务器和程序管理服务器，其中，所述终端设备中设置有可信执行环境。所述终端设备，向所述第一服务器发送目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。所述第一服务器，接收所述程序数据更新请求，将所述程序数据更新请求发送至所述程序管理服务器。所述程序管理服务器，接收所述程序数据更新请求，根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据，在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述第一服务器发送与所述程序数据更新请求对应的待更新的程序数据。所述第一服务器，接收与所述程序数据更新请求对应的待更新的程序数据，向所述终端设备发送程序数据更新指令。所述终端设备接收所述程序数据更新指令，向所述第一服务器发送安全通道建立请求，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述终端设备的通道密钥。所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求从所述程序管理服务器获取到的所述待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备。所述终端设备通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

第七方面，本发明实施例提供了一种基于隐私保护的程序数据更新装置，所述装置中设置有可信执行环境，所述装置包括：第一发送模块，向第一服务器发送目标程序的程序数据更新请求，以使所述第一服务器基于所述程序数据更新请求确定所述装置中所述目标程序的待更新的程序数据后，向所述装置发送程序数据更新指令，其中，所述程序数据更新请求中携带有装置的标识信息和所述目标程序的标识信息。第一处理模块，接收所述程序数据更新指令，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述装置的通道密钥，以使所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据发送至所述装置。第一更新模块，通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

第八方面，本发明实施例提供了一种基于隐私保护的程序数据更新装置，所述装置包括：第一接收模块，接收目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。第一判断模块，根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据。指令发送模块，在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述终端设备发送程序数据更新指令。第三处理模块，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

第九方面，本发明实施例提供了一种基于隐私保护的程序数据更新装置，所述装置包括：第五处理模块，接收目标程序的程序数据更新请求，将所述程序数据更新请求发送至程序管理服务器，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。第三发送模块，在接收来自所述程序管理服务器发送的与所述程序数据更新请求对应的待更新的程序数据后，向所述终端设备发送程序数据更新指令。第六处理模块，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

第十方面，本发明实施例提供了一种基于隐私保护的程序数据更新装置，所述装置包括：第二接收模块，接收第一服务器发送的目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。第二判断模块，根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据。第四发送模块，在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述第一服务器发送与所述程序数据更新请求对应的待更新的程序数据，以使所述第一服务器基于获取的所述待更新的程序数据生成程序更新数据，并将所述程序更新数据通过安全通道发送至所述终端设备，以使所述终端设备基于接收到的程序更新数据执行升级操作，其中，所述程序更新数据是所述第一服务器在接收来自所述装置发送的与所述程序数据更新请求对应的待更新的程序数据后，通过向所述终端设备发送程序数据更新指令，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到的。

第十一方面，本发明实施例提供了一种基于隐私保护的程序数据更新设备，所述设备中设置有可信执行环境，所述设备包括：处理器。以及被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：向第一服务器发送目标程序的程序数据更新请求，以使所述第一服务器基于所述程序数据更新请求确定所述设备中所述目标程序的待更新的程序数据后，向所述设备发送程序数据更新指令，其中，所述程序数据更新请求中携带有设备的标识信息和所述目标程序的标识信息。接收所述程序数据更新指令，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述设备的通道密钥，以使所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据发送至所述设备。通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

第十二方面，本发明实施例提供了一种基于隐私保护的程序数据更新设备包括：处理器。以及被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：接收目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据。在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述终端设备发送程序数据更新指令。接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

第十三方面，本发明实施例提供了一种基于隐私保护的程序数据更新设备包括：处理器。以及被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：接收目标程序的程序数据更新请求，将所述程序数据更新请求发送至程序管理服务器，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。在接收来自所述程序管理服务器发送的与所述程序数据更新请求对应的待更新的程序数据后，向所述终端设备发送程序数据更新指令。接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

第十四方面，本发明实施例提供了一种基于隐私保护的程序数据更新设备包括：处理器。以及被安排成存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器：接收第一服务器发送的目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据。在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述第一服务器发送与所述程序数据更新请求对应的待更新的程序数据，以使所述第一服务器基于获取的所述待更新的程序数据生成程序更新数据，并将所述程序更新数据通过安全通道发送至所述终端设备，以使所述终端设备基于接收到的程序更新数据执行升级操作，其中，所述程序更新数据是所述第一服务器在接收来自所述设备发送的与所述程序数据更新请求对应的待更新的程序数据后，通过向所述终端设备发送程序数据更新指令，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到的。

第十五方面，本发明实施例提供了一种存储介质，所述存储介质用于存储计算机可执行指令，所述可执行指令在被执行时实现以下流程：向第一服务器发送目标程序的程序数据更新请求，以使所述第一服务器基于所述程序数据更新请求确定终端设备中所述目标程序的待更新的程序数据后，向所述终端设备发送程序数据更新指令，其中，所述终端设备中设置有可信执行环境，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。接收所述程序数据更新指令，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述终端设备的通道密钥，以使所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备。通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

第十六方面，本发明实施例提供了一种存储介质，所述存储介质用于存储计算机可执行指令，所述可执行指令在被执行时实现以下流程：接收目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据。在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述终端设备发送程序数据更新指令。接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

第十七方面，本发明实施例提供了一种存储介质，所述存储介质用于存储计算机可执行指令，所述可执行指令在被执行时实现以下流程：接收目标程序的程序数据更新请求，将所述程序数据更新请求发送至程序管理服务器，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。在接收来自所述程序管理服务器发送的与所述程序数据更新请求对应的待更新的程序数据后，向所述终端设备发送程序数据更新指令。接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

第十八方面，本发明实施例提供了一种存储介质，所述存储介质用于存储计算机可执行指令，所述可执行指令在被执行时实现以下流程：接收第一服务器发送的目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息。根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据。在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述第一服务器发送与所述程序数据更新请求对应的待更新的程序数据，以使所述第一服务器基于获取的所述待更新的程序数据生成程序更新数据，并将所述程序更新数据通过安全通道发送至所述终端设备，以使所述终端设备基于接收到的程序更新数据执行升级操作，其中，所述程序更新数据是所述第一服务器在接收来自程序管理服务器发送的与所述程序数据更新请求对应的待更新的程序数据后，通过向所述终端设备发送程序数据更新指令，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到的。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可信根据这些附图获得其他的附图;

图1为本说明书实施例提供的基于隐私保护的程序数据更新系统的第一种结构示意图；

图2A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第一种流程示意图；

图2B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第一种示意图；

图3为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第二种示意图；

图4A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第二种流程示意图；

图4B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第三种示意图；

图5为本说明书实施例提供的基于隐私保护的程序数据更新系统的第二种结构示意图；

图6为本说明书实施例提供的基于隐私保护的程序数据更新处理时序图；

图7A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第三种流程示意图；

图7B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第四种示意图；

图8A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第四种流程示意图；

图8B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第五种示意图；

图9A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第五种流程示意图；

图9B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第六种示意图；

图10为本说明书实施例提供的基于隐私保护的程序数据更新装置的第一种模块组成示意图；

图11为本说明书实施例提供的基于隐私保护的程序数据更新装置的第二种模块组成示意图；

图12为本说明书实施例提供的基于隐私保护的程序数据更新装置的第三种模块组成示意图；

图13为本说明书实施例提供的基于隐私保护的程序数据更新装置的第四种模块组成示意图；

图14为本说明书实施例提供的基于隐私保护的程序数据更新装置的第五种模块组成示意图；

图15为本说明书实施例提供的基于隐私保护的程序数据更新设备的第一种结构示意图；

图16为本说明书实施例提供的基于隐私保护的程序数据更新设备的第二种结构示意图。

具体实施方式

为了实现本说明书的目的，本说明书实施例提供了一种基于隐私保护的程序数据更新方法、系统、装置及设备，该系统包括：终端设备和第一服务器；上述终端设备，向第一服务器发送目标程序的程序数据更新请求，其中，程序数据更新请求中携带有终端设备的标识信息和目标程序的标识信息；上述第一服务器接收目标程序的程序数据更新请求，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令；上述终端设备接收程序数据更新指令，向第一服务器发送安全通道建立请求，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥；上述第一服务器基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备；上述终端设备通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

如图1所示，图1为本说明书实施例体提供的基于隐私保护的程序数据更新系统的第一种结构示意图，包括：终端设备和第一服务器，上述终端设备设置有可信执行环境。

其中，上述终端设备可以为如个人计算机等设备，也可以如手机、平板电脑等移动终端设备，该终端设备可以为用户使用的终端设备，该终端设备上设置有可信执行环境。上述第一服务器可以是用于接收该终端设备发送目标程序的程序数据更新请求，然后，根据接收到的上述程序数据更新请求判断该目标程序是否存在待更新的程序数据，在确定上述终端设备中存在目标程序的待更新的程序数据后，向该终端设备发送程序数据更新指令，并与该终端设备的可信执行环境建立安全通道，以及构建针对该终端设备的通道密钥，通过该通道密钥，对上述查找到的目标程序的待更新的程序数据进行加密，并将加密后的得到的程序更新数据发送至该终端设备，以使该终端设备通过上述可信执行环境接收上述程序更新数据，并使用上述通道密钥对上述接收到的程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

上述可信执行环境是终端设备（如智能手机、平板电脑、智能电视）CPU上的一块区域，这块区域的作用是给数据和代码的执行提供一个更安全的空间，并保证它们的机密性和完整性。当前的很多安全架构还是基于Rich OS + SE的方式，因为某些小额的支付，DRM，企业VPN等，所需要的安全保护强度并不高，还不需要一个单独的SE来保护，但是又不能直接放在Rich OS中，因为后者的开放性使其很容易被攻击。所以对于这类应用，TEE则提供了合适的保护强度，并且平衡了成本和易开发性。

TEE提供一个隔离的执行环境，提供的安全特征可以包括：隔离执行、可信应用的完整性、可信数据的机密性以及安全存储等。TEE是与设备上的Rich OS并存的运行环境，并且给Rich OS提供安全服务。TEE具有其自身的执行空间，比Rich OS的安全级别更高，TEE能够满足大多数应用的安全需求。TEE提供了授权安全软件（可信应用，TA）的安全执行环境，同时也保护TA的资源和数据的保密性，完整性和访问权限。为了保证TEE本身的可信根，TEE在安全启动过程中是要通过验证并且与Rich OS隔离的。在TEE中，每个TA是相互独立的，而且在未授权的情况下不能互相访问。

TEE可信执行环境可以用于提供内容保护机制（Premium content protection），如使用TEE加密保护和传送，只有拥有特定密钥的TEE环境才能解密使用这些内容。另外，TEE可信执行环境还可以用于提供移动金融服务，例如，随着移动电子商务的飞速发展，更多更强的移动安全标准是需要的。如移动电子钱包、P2P支付、NFC支付、使用移动设备作为PoS机等应用都属于移动金融领域。通过与NFC以及安全元素SEs等，TEE可以保证移动设备的安全性，消费者可以在其设备的安全可信环境中放心的执行任何金融交易。为了与用户进行友好的交互，TEE还可以提供可信GUI用户接口，供用户验证TEE环境。此外，TEE可信执行环境还可以用于提供认证，具体的：TEE本身可以作为一个天然的ID，如面部识别、指纹传感器和声音授权等，比PIN码和passwords形式更加安全。TEE是存储匹配引擎以及认证用户的相关进程的一个理想空间，其可以与移动设备的主OS相互隔离，保证安全运行。

在实施中，上述终端设备在检测到用户触发的目标程序的程序数据更新请求按键后，或者，终端设备接收到运行在该终端设备上的目标程序按照预设时间间隔发送的目标应用程序的程序数据更新请求后，获取上述目标程序的标识信息以及该终端设备的标识信息，根据上述目标程序的标识信息以及该终端设备的标识信息生成目标程序的程序数据更新请求，并将上述目标程序的程序数据更新请求发送至上述第一服务器。

上述第一服务器接收到上述目标程序的程序数据更新请求，可以根据终端设备的标识信息和目标程序的标识信息，可以根据预先存储的终端设备的标识信息与目标程序的版本信息的对应关系，判断终端设备中是否存在该目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令。

上述终端设备可以接收该第一服务器发送的程序数据更新指令，并向上述第一服务器发送安全通道建立请求，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥。然后，上述第一服务器可以基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备。

上述终端设备通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用上述通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。

其中，上述目标程序可以为运行在该终端设备上的应用程序，或者，上述目标程序还可以为终端设备的系统固件程序等，上述安全通道可以是上述终端设备与上述第一服务器之间进行数据传输的数据通路，或者，上述安全通道也可以是交互双方使用指定的通道协议进行数据交互的交互途径，例如上述第一服务器与终端设备通过预定安全通道协议SCP02或SCP03等进行数据交互所对应的交互途径，该上述第一服务器可以利用该安全通道的通道密钥对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，以及，终端设备的可信执行环境可以基于上述安全通道的通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。

由以上本说明书实施例提供的技术方案可见，本说明书实施例提供了一种基于隐私保护的程序数据更新系统，该系统包括：终端设备和第一服务器；上述终端设备，向第一服务器发送目标程序的程序数据更新请求，其中，程序数据更新请求中携带有终端设备的标识信息和目标程序的标识信息；上述第一服务器接收目标程序的程序数据更新请求，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令；上述终端设备接收程序数据更新指令，向第一服务器发送安全通道建立请求，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥；上述第一服务器基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备；上述终端设备通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

进一步的，上述终端设备中还可以安装有安全通道管理应用，上述安全通道管理应用可以安装在该终端设备中的REE通用环境中。

在实施中，上述终端设备在检测到用户触发的目标程序的程序数据更新请求按键后，或者，终端设备接收到运行在该终端设备上的目标程序按照预设时间间隔发送的目标应用程序的程序数据更新请求后，获取上述目标程序的标识信息以及该终端设备的标识信息，根据上述目标程序的标识信息以及该终端设备的标识信息生成目标程序的程序数据更新请求，可以通过上述安全通道管理应用向所述第一服务器发送目标程序的程序数据更新请求。

进一步的，在上述第一服务器确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令后，上述终端设备可以通过上述安全通道管理应用接收程序数据更新指令，以及通过安全通道管理应用分别向第一服务器和可信执行环境发送身份标识信息获取请求，基于获取的第一服务器的身份标识信息和可信执行环境的身份标识信息，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥。

在实施中，在上述第一服务器确定终端设备中存在目标程序的待更新的程序数据，向终端设备发送程序数据更新指令后，上述终端设备可以通过上述安全通道管理应用接收程序数据更新指令，上述安全通道管理应用在接收到该程序数据更新指令后，可以采用安全通道协议（如SCP02协议、SCP03协议等），分别向上述第一服务器和可信执行环境中的安全应用发送身份标识信息获取请求，上述安全通道管理应用基于获取的上述第一服务器的身份标识信息和可信执行环境的安全应用身份标识信息，分别向上述第一服务器发送第一初始化安全通道请求，以及向上述可信执行环境的安全应用发送第二初始化安全通道请求，其中，上述第一初始化安全通道请求中携带有上述可信执行环境的安全应用的身份标识信息，上述第二初始化安全通道请求中携带有上述第一服务器的身份标识信息，然后，上述第一服务器基于接收到的第一初始化安全通道请求初始化所需的通道密钥，以及上述可信执行环境中的安全应用基于接收到的第二初始化安全通道请求初始化所需的通道密钥。

进一步的，上述终端设备通过安全通道管理应用接收第一服务器发送的程序更新数据，并通过安全通道管理应用将程序更新数据发送至可信执行环境。

在实施中，上述第一服务器在基于接收到的第一初始化安全通道请求后完成初始化所需的通道密钥后，可以基于该通道密钥对上述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，然后将上述程序更新数据发送至上述终端设备。上述终端设备可以通过上述安全通道管理应用接收上述第一服务器发送的程序更新数据，并通过上述安全通道管理应用将上述程序更新数据发送至上述可信执行环境中。

进一步的，上述程序更新数据中携带有与程序数据更新请求对应的程序数据、以及上述第一服务器的身份标识信息，上述终端设备中的安全通道管理应用在将上述程序更新数据发送至上述可信执行环境后，上述可信执行环境可以通过可信执行环境中的安全应用接收上述程序更新数据，然后，使用通道密钥对程序更新数据进行解密，将解密后得到的第一服务器的身份标识信息与建立安全通道过程中通过安全通道管理应用获取的第一服务器的身份标识信息进行匹配，若匹配成功，则根据解密后得到的程序数据对目标程序进行更新。

进一步的，上述终端设备中还可以包括分区管理可信应用和分区执行应用，分区管理可信应用安装于可信执行环境中，上述终端设备的可信执行环境中的安全应用可以基于上述安全通道协议，以及上述通道密钥对接收到的上述程序更新数据进行解密，将解密后得到的第一服务器的身份标识信息与建立安全通道过程中通过安全通道管理应用获取的第一服务器的身份标识信息进行匹配，若匹配成功，上述可信执行环境中的安全应用可以将上述解密后得到的程序数据发送至上述分区管理可信应用，上述分区管理可信应用基于接收到的程序数据的版本信息与该程序数据所对应的目标程序的历史程序数据的版本信息相比较，在确定出上述接收到的程序数据的版本信息高于历史程序数据版本信息的情况下，将上述程序数据发送至分区执行应用，上述分区执行应用可以基于该程序数据的标识信息，查找与该标识信息相对应的分区，并对该分区的目标程序执行更新操作。

在实施中，当上述分区执行应用执行完对目标程序的更新操作后，可以将上述更新操作完成的消息发送至上述分区管理可信应用，分区管理可信应用在通过终端设备中的安全通道管理应用将上述更新操作完成的消息发送至上述第一服务器，以使上述第一服务器根据接收到的上述更新操作完成的消息对预先存储的与终端设备的标识信息相对应的目标应用的程序数据的版本信息执行更新操作，其中，上述更新操作完成的消息中携带有上述终端设备的标识信息以及上述目标程序的标识信息。

由以上本说明书实施例提供的技术方案可见，本说明书实施例提供了一种基于隐私保护的程序数据更新系统，包括：终端设备和第一服务器，上述终端设备，向第一服务器发送目标程序的程序数据更新请求，其中，程序数据更新请求中携带有终端设备的标识信息和目标程序的标识信息；上述第一服务器接收目标程序的程序数据更新请求，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令；上述终端设备接收程序数据更新指令，向第一服务器发送安全通道建立请求，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥；上述第一服务器基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备；上述终端设备通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

对应上述实施例提供的基于隐私保护的程序数据更新系统，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新方法，图2A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第一种流程示意图，图2B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第一种示意图，该方法的执行主体可以为终端设备，其中，该终端设备可以如个人计算机等设备，也可以如手机、平板电脑等移动终端设备，该终端设备可以为用户使用的终端设备。该终端设备中可以设置有可信执行环境，该终端设备可以接收程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，而且，可以通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。该方法具体可以包括以下步骤：

在步骤S102中，向第一服务器发送目标程序的程序数据更新请求，以使第一服务器基于程序数据更新请求确定终端设备中目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令，其中，程序数据更新请求中携带有终端设备的标识信息和目标程序的标识信息。

其中，上述第一服务器可以预先存储有终端设备的标识信息以及与该终端设备的标识信息相对应的目标程序的版本信息，或者，上述第一服务器可以预先存储有终端设备的标识信息、与该终端设备的标识信息相对应的目标程序的版本信息、以及与目标程序的标识信息相对应的多个版本的目标程序的程序数据。上述目标程序可以为运行在该终端设备上的应用程序，或者，上述目标程序还可以为终端设备的系统固件程序等。

上述实施过程可参见前述本说明书实施例提供的基于隐私保护的程序数据更新系统的相关内容描述。

在步骤S104中，接收程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥，以使第一服务器基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备。

在实施中，通过上述S102的处理，上述终端设备在向第一服务器发送目标程序的程序数据更新请求后，上述第一服务器可以接收上述目标程序的程序数据更新请求，可以根据终端设备的标识信息和目标程序的标识信息，根据预先存储的终端设备的标识信息与目标程序的版本信息的对应关系，判断终端设备中是否存在该目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令。

然后，终端设备可以接收上述第一服务器发送的程序数据更新指令，根据接收到的程序数据更新指令，采用安全通道协议（如SCP02协议、SCP03协议等），向上述第一服务器发送安全通道建立请求，并基于上述安全通道协议，建立上述可信执行环境与上述第一服务器之件的安全通道，并上述与第一服务器构建针对终端设备的通道密钥，以使上述第一服务器可以基于上述安全通道协议以及上述通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将上述程序更新数据发送至终端设备，其中，上述第一服务器对上述待更新的程序数据所进行的加密处理过程可以遵循上述安全通道协议（如上述SCP等的相关协议）。

在步骤S106中，通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。

在实施中，通过上述S104的处理，上述第一服务器将上述程序更新数据发送至终端设备后，上述终端设备可以通过上述可信执行环境中的安全应用接收上述第一服务器发送的程序更新数据，基于上述安全通道协议，使用上述通道密钥对接收到的上述程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过向第一服务器发送目标程序的程序数据更新请求，以使第一服务器基于程序数据更新请求确定终端设备中目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令，接收程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥，以使第一服务器基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，然后，通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

进一步的，上述步骤S102的具体处理过程可以多种多样，以下再提供一种可选的处理方式，具体可参见下述步骤A的具体处理过程：

在步骤A中，通过REE通用环境中的安全通道管理应用向所述第一服务器发送目标程序的程序数据更新请求。

其中，上述安全通道管理应用可以安装在上述终端设备中的REE通用环境中，主要用于负责终端设备的可信执行环境与上述第一服务器之间的数据传输，具体的，上述安全通道管理应用可以用于接收目标应用程序的程序更新请求，然后，根据接收到的上述程序更新请求，获取上述目标程序的标识信息以及该终端设备的标识信息，根据上述目标程序的标识信息以及该终端设备的标识信息生成目标程序的程序数据更新请求，并将上述程序数据更新请求发送至上述第一服务器。以及，负责接收第一服务器发送的程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥，以及，接收第一服务器发送程序更新数据，并将上述程序更新数据发送至可信执行环境，以使可信执行环境可以使通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。

上述实施过程可参见前述本说明书实施例提供的基于隐私保护的程序数据更新系统的相关内容描述。

进一步的，上述步骤S104的具体处理过程可以多种多样，以下再提供一种可选的处理方式，具体可参见下述步骤B的具体处理过程：

在步骤B中，通过安全通道管理应用接收程序数据更新指令，以及通过安全通道管理应用分别向第一服务器和可信执行环境发送身份标识信息获取请求，基于获取的第一服务器的身份标识信息和可信执行环境的身份标识信息，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥。

其中，上述通道密钥可以用于保证可信执行环境与上述第一服务器之间进行数据传输的安全性，由于上述安全通道管理应用在接收到该基于隐私保护的程序数据更新指令后，可以基于安全通道协议（如SCP02协议、SCP03协议等）建立上述可信执行环境与第一服务器之间的安全通道，在建立上述安全通道过程中所产生的通道密钥仅仅只针对本次终端设备向第一服务器发送的程序数据更新请求有效，而且，由于采用上述安全通道协议生成的通道密码中包含有动态MAC加签，可以实现防重放、防乱序攻击，有效保证程序数据更新的机密性和安全性。

上述实施过程可参见前述本说明书实施例提供的基于隐私保护的程序数据更新系统的相关内容描述。

进一步的，在上述通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据之前，还可以包括下述步骤C的处理过程：

在步骤C中，通过安全通道管理应用接收第一服务器发送的程序更新数据，并通过安全通道管理应用将程序更新数据发送至可信执行环境。

上述实施过程可参见前述本说明书实施例提供的基于隐私保护的程序数据更新系统的相关内容描述。

进一步的，上述程序更新数据中携带有与程序数据更新请求对应的待更新的程序数据、以及第一服务器的身份标识信息，如图3所示，上述S106的具体处理过程可以多种多样，以下再提供一种可选的处理方式，具体可参见下述步骤S1062-步骤S1066的具体处理过程：

在步骤S1062中，通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据。

在实施中，通过上述步骤C的处理，终端设备通过上述安全通道管理应用将程序更新数据发送至可信执行环境后，可以通过可信执行环境中的安全应用接收上述第一服务器发送的程序更新数据。

在步骤S1064中，使用通道密钥对程序更新数据进行解密，将解密后得到的第一服务器的身份标识信息与建立安全通道过程中获取的第一服务器的身份标识信息进行匹配。

上述实施过程可参见前述本说明书实施例提供的基于隐私保护的程序数据更新系统的相关内容描述。

在步骤S1066中，若匹配成功，则根据解密后得到的程序数据对目标程序进行更新，其中，上述终端设备中还可以包括分区管理可信应用和分区执行应用，分区管理可信应用安装于可信执行环境中；

其中，上述分区管理可信应用可以用于对存储在可信执行环境中的程序数据的存储分区进行管理，并基于接收到的程序数据的版本信息与该程序数据所对应的目标程序的历史程序数据的版本信息相比较，在确定出上述接收到的程序数据的版本信息高于历史程序数据版本信息的情况下，确定对上述接收到的程序数据执行更新操作。上述分区执行应用可以安装在可信执行环境中，或者，也可以安装在REE通用环境中，主要负责根据从上述分区管理可信应用接收到的程序数据，基于该程序数据的标识信息，查找与该标识信息相对应的分区，并对该分区的程序数据执行更新操作。

上述实施过程可参见前述本说明书实施例提供的基于隐私保护的程序数据更新系统的相关内容描述。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过向第一服务器发送目标程序的程序数据更新请求，以使第一服务器基于程序数据更新请求确定终端设备中目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令，接收程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥，以使第一服务器基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，然后，通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例又提供了一种基于隐私保护的程序数据更新方法，图4A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第二种流程示意图，图4B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第三种示意图，该基于隐私保护的程序数据更新方法的执行主体可以为服务器，其中，该服务器可以是独立的一个服务器，也可以是由多个服务器组成的服务器集群，而且，该服务器可以根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据，并且，在确定该终端设备中存在目标程序的待更新的程序数据后，向该终端设备发送程序数据更新指令。以上述服务器为第一服务器为例，该方法具体可以包括以下步骤：

在步骤S202中，接收目标程序的程序数据更新请求，其中，程序数据更新请求中携带有终端设备的标识信息和目标程序的标识信息。

上述处理过程可参见上述S102的具体处理过程。

在步骤S204中，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据。

上述处理过程可参将上述步骤S104的具体处理过程。

在步骤S206中，在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令。

上述处理过程可参见上述步骤S104的具体处理过程。

在步骤S208中，接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作。

上述处理过程可参见上述步骤S104的具体处理过程。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过接收目标程序的程序数据更新请求，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令，然后，接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

进一步的，上述S208的具体处理过程可以多种多样，以下再提供一种可选的处理方式，具体可参见下述步骤D的处理方法：

在步骤D中，接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据以及第一服务器的身份标识信息进行加密处理生成程序更新数据。

在实施中，上述第一服务器通过上述S206的处理，在接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥后，可以基于接收到的上述程序数据更新请求中所携带的目标程序的标识信息，获取与该目标程序相对应的待更新的程序数据，并基于上述安全通道协议、以及上述通道密钥，对上述待更新的程序数据以及第一服务器的身份标识信息进行加密处理生成程序更新数据。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过接收目标程序的程序数据更新请求，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令，然后，接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

如图5所示，图5为本说明书实施例提供的基于隐私保护的程序数据更新系统的第二种结构示意图，包括：终端设备、第一服务器和程序管理服务器。

其中，上述终端设备可以为如个人计算机等设备，也可以如手机、平板电脑等移动终端设备，该终端设备可以为用户使用的终端设备，该终端设备上设置有可信执行环境。

在实施中，上述终端设备在检测到用户触发的目标程序的程序数据更新请求按键后，或者，终端设备接收到运行在该终端设备上的目标程序按照预设时间间隔发送的目标应用程序的程序数据更新请求后，获取上述目标程序的标识信息以及该终端设备的标识信息，根据上述目标程序的标识信息以及该终端设备的标识信息生成目标程序的程序数据更新请求，并将上述目标程序的程序数据更新请求发送至上述第一服务器。

上述第一服务器可以接收程序数据更新请求，然后，将接收到的上述程序数据更新请求发送至程序管理服务器。

上述程序管理服务器可以接收上述程序数据更新请求，根据上述程序数据更新请求中携带的终端设备的标识信息以及目标程序的标识信息，以及预先存储的终端设备的标识信息与目标程序的版本信息的对应关系，判断终端设备中是否存在该目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向第一服务器发送与程序数据更新请求对应的待更新的程序数据。

上述第一服务器从上述程序管理服务器接收与程序数据更新请求对应的待更新的程序数据，然后，向终端设备发送程序数据更新指令。

上述终端设备接收程序数据更新指令，向第一服务器发送安全通道建立请求，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥。

上述第一服务器基于通道密钥，对基于程序数据更新请求从程序管理服务器获取到的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备。

上述终端设备可以通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解析，并根据解密后得到的程序数据对目标程序进行更新。

进一步的，上述终端设备中还可以安装有安全通道管理应用，上述安全通道管理应用可以安装在该终端设备中的REE通用环境中。

在实施中，上述终端设备在检测到用户触发的目标程序的程序数据更新请求按键后，或者，终端设备接收到运行在该终端设备上的目标程序按照预设时间间隔发送的目标应用程序的程序数据更新请求后，获取上述目标程序的标识信息以及该终端设备的标识信息，根据上述目标程序的标识信息以及该终端设备的标识信息生成目标程序的程序数据更新请求，可以通过上述安全通道管理应用向所述第一服务器发送目标程序的程序数据更新请求。

进一步的，上述可信执行环境中可以安装有安全应用，在上述第一服务器在接收到与上述程序数据更新请求对应的待更新的程序数据，向上述终端设备发送程序数据更新指令后，上述终端设备可以通过上述安全通道管理应用接收程序数据更新指令，以及通过安全通道管理应用分别向第一服务器和可信执行环境的安全应用发送身份标识信息获取请求，基于获取的第一服务器的身份标识信息和可信执行环境的安全应用的身份标识信息，建立可信执行环境的安全应用与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥。

针对上述处理方法的详细描述过程可参见本说明书实施例提供的基于隐私保护的程序数据更新系统的第一种结构的相关描述内容。

进一步的，上述终端设备通过安全通道管理应用接收第一服务器发送的程序更新数据，并通过安全通道管理应用将程序更新数据发送至可信执行环境。

针对上述处理方法的详细描述过程可参见本说明书实施例提供的基于隐私保护的程序数据更新系统的第一种结构的相关描述内容。

进一步的，上述程序更新数据中携带有与程序数据更新请求对应的程序数据、以及上述第一服务器的身份标识信息，上述终端设备中的安全通道管理应用在将上述程序更新数据发送至上述可信执行环境后，上述可信执行环境可以通过可信执行环境中的安全应用接收上述程序更新数据，然后，使用通道密钥对程序更新数据进行解密，将解密后得到的第一服务器的身份标识信息与建立安全通道过程中通过安全通道管理应用获取的第一服务器的身份标识信息进行匹配，若匹配成功，则根据解密后得到的程序数据对目标程序进行更新。

进一步的，上述终端设备中还可以包括分区管理可信应用和分区执行应用，分区管理可信应用安装于可信执行环境中，上述终端设备的可信执行环境中的安全应用在使用通道密钥对程序更新数据进行解密，将解密后得到的第一服务器的身份标识信息与建立安全通道过程中通过安全通道管理应用获取的第一服务器的身份标识信息进行匹配，若匹配成功，上述可信执行环境中的安全应用可以将上述解密后得到的程序数据发送至上述分区管理可信应用，上述分区管理可信应用可以根据接收到的上述程序数据，基于上述程序数据的版本信息与终端设备中的目标程序的程序数据的版本信息相比较，在确定出上述接收到的程序数据的版本信息高于目标程序的程序数据版本信息的情况下，将上述程序数据发送至分区执行应用，以使上述分区执行应用从上述分区管理可信应用接收到的程序数据，基于该程序数据的标识信息，查找与该标识信息相对应的分区，并对该分区的目标程序数据执行更新操作。

在实施中，当上述分区执行应用执行完对目标程序的更新操作后，可以将上述更新操作完成的消息发送至上述分区管理可信应用，分区管理可信应用在通过终端设备中的安全通道管理应用将上述更新操作完成的消息发送至上述第一服务器，以使上述第一服务器根据接收到的上述更新操作完成的消息对预先存储的与终端设备的标识信息相对应的目标应用的程序数据的版本信息执行更新操作，其中，上述更新操作完成的消息中携带有上述终端设备的标识信息以及上述目标程序的标识信息。

图6为本说明书实施例提供的基于隐私保护的程序数据更新处理时序图，如图6所示，上述基于隐私保护的程序数据更新系统可以包括终端设备、第一服务器和程序管理服务器，终端设备中设置有可信执行环境TEE以及REE通用环境，上述可信执行环境中安装有安全应用以及分区管理可信应用，上述REE通用环境中安装有安全通道管理应用，上述分区执行应用可以安装在可信执行环境TEE中或者也可以安装在REE通用环境中，上述基于隐私保护的程序数据更新过程如图6所示：

步骤E1：终端设备在检测到用户触发的目标程序的程序数据更新请求按键后，或者，终端设备接收到运行在该终端设备上的目标程序按照预设时间间隔发送的目标应用程序的程序数据更新请求后，通过上述安全通道管理应用获取上述目标程序的标识信息以及该终端设备的标识信息，根据上述目标程序的标识信息以及该终端设备的标识信息生成目标程序的程序数据更新请求，并将上述目标程序的程序数据更新请求发送至上述第一服务器。

步骤E2：上述第一服务器接收到上述目标程序的程序数据更新请求后，将上述程序数据更新请求发送至程序管理服务器。

步骤E3：程序管理服务器根据接收到的程序数据更新请求中所携带的终端设备的标识信息以及目标程序的标识信息，及预先存储的终端设备的标识信息与目标程序的版本信息的对应关系，判断终端设备中是否存在该目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向第一服务器发送与程序数据更新请求对应的待更新的程序数据。

步骤E4：第一服务器接收到上述待更新的程序数据后，向终端设备的安全通道管理应用发送程序数据更新指令。

步骤E5：安全通道管理应用接收到程序数据更新指令后，向第一服务器发送安全通道建立请求，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥。

步骤E6：第一服务器采用上述通道密钥，对基于程序数据更新请求从程序管理服务器获取到的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备的安全通道管理应用。

步骤E7：安全通道管理应用将接收到的程序更新数据发送至终端设备中的可执行环境中的安全应用；

步骤E8：上述安全应用采用通道密钥对程序更新数据进行解密，将解密后得到的第一服务器的身份标识信息与建立安全通道过程中通过安全通道管理应用获取的第一服务器的身份标识信息进行匹配，若匹配成功，则将解密得到的程序数据发送至分区管理可信应用。

步骤E9：分区管理可信应用可以用于对存储在可信执行环境中的程序数据的存储分区进行管理，并基于接收到的程序数据的版本信息与该程序数据所对应的目标程序的历史程序数据的版本信息相比较，在确定出上述接收到的程序数据的版本信息高于历史程序数据版本信息的情况下，将上述程序数据发送至分区执行应用。

步骤E10：分区执行应用根据接收到的上述程序数据，基于该程序数据的标识信息，查找与该标识信息相对应的分区，并对该分区的目标程序执行更新操作，并在执行完对目标程序的更新操作后，将上述更新操作完成的消息发送至上述分区管理可信应用。

步骤E11：分区管理可信应用将接收到的更新操作完成的消息发送至上述安全应用。

步骤E12：上述安全应用将将接收到的更新操作完成的消息发送至上述安全通道管理应用。

步骤E13：安全通道管理应用将接收到的更新操作完成的消息发送至上述第一服务器。

步骤E14：上述第一服务器将接收到的更新操作完成的消息发送至程序管理服务器。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

对应上述实施例提供的基于隐私保护的程序数据更新系统，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新方法，如图7A所示，图7A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第三种流程示意图，图7B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第四种示意图，该方法的执行主体可以为终端设备，其中，该终端设备可以如个人计算机等设备，也可以如手机、平板电脑等移动终端设备，该终端设备可以为用户使用的终端设备。该终端设备中可以设置有可信执行环境，该终端设备可以接收程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，而且，可以通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。该方法具体可以包括以下步骤：

在步骤S302中，向第一服务器发送目标程序的程序数据更新请求，以使第一服务器接收到程序数据更新请求后，将程序数据更新请求发送至程序管理服务器，并基于从程序管理服务器获取的与程序数据更新请求对应的待更新的程序数据后生成程序数据更新指令，将程序数据更新指令发送至终端设备，其中，程序数据更新请求中携带有终端设备的标识信息和目标程序的标识信息。

在步骤S304中，接收第一服务器发送的程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥，以使第一服务器基于通道密钥，对基于程序数据更新请求从程序管理服务器获取到的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备。

上述步骤S304的具体处理过程可参见本说明书实施例中步骤S104的具体处理过程。

在步骤S306中，通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。

上述步骤S306的具体处理过程可参见本说明书实施例中步骤S106的具体处理过程。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过向第一服务器发送目标程序的程序数据更新请求，以使第一服务器接收到程序数据更新请求后，将程序数据更新请求发送至程序管理服务器，并基于从程序管理服务器获取的与程序数据更新请求对应的待更新的程序数据后生成程序数据更新指令，将程序数据更新指令发送至终端设备，接收第一服务器发送的程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥，以使第一服务器基于通道密钥，对基于程序数据更新请求从程序管理服务器获取到的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，然后，通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新方法，图8A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第四种流程示意图，图8B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第五种示意图，该方法的执行主体可以为第一服务器，其中，该第一服务器可以是独立的一个服务器，也可以是由多个服务器组成的服务器集群，而且，该第一服务器可以接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，然后，可以基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据发送至所述终端设备。该方法具体可以包括以下步骤：

在步骤S402中，接收目标程序的程序数据更新请求，将程序数据更新请求发送至程序管理服务器，其中，程序数据更新请求中携带有终端设备的标识信息和目标程序的标识信息。

在步骤S404中，在接收来自程序管理服务器发送的与程序数据更新请求对应的待更新的程序数据后，向终端设备发送程序数据更新指令。

在步骤S406中，接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过接收目标程序的程序数据更新请求，将程序数据更新请求发送至程序管理服务器，在接收来自程序管理服务器发送的与程序数据更新请求对应的待更新的程序数据后，向终端设备发送程序数据更新指令，然后，接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新方法，图9A为本说明书实施例提供的基于隐私保护的程序数据更新方法的第五种流程示意图，图9B为本说明书实施例提供的基于隐私保护的程序数据更新方法处理过程的第六种示意图，该方法的执行主体可以为程序管理服务器，其中，该程序管理服务器可以是独立的一个服务器，也可以是由多个服务器组成的服务器集群，而且，该程序管理服务器接收第一服务器发送的目标程序的程序数据更新请求，然后，根据上述程序数据更新请求中携带的终端设备的标识信息和目标程序的标识信息，判断该终端设备中是否存在目标程序的待更新的程序数据，在确定上述终端设备中存在目标程序的待更新的程序数据的情况下，获取上述待更新的程序数据，并将上述待更新的程序数据返回给上述第一服务器。该方法具体可以包括以下步骤：

在步骤S502中，接收第一服务器发送的目标程序的程序数据更新请求，其中，程序数据更新请求中携带有终端设备的标识信息和目标程序的标识信息。

在步骤S504中，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据。

在步骤S506中，在确定终端设备中存在目标程序的待更新的程序数据后，向第一服务器发送与程序数据更新请求对应的待更新的程序数据，以使第一服务器基于获取的待更新的程序数据生成程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作，其中，程序更新数据是第一服务器在接收来自程序管理服务器发送的与程序数据更新请求对应的待更新的程序数据后，通过向终端设备发送程序数据更新指令，接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到的。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过接收第一服务器发送的目标程序的程序数据更新请求，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据,在确定终端设备中存在目标程序的待更新的程序数据后，向第一服务器发送与程序数据更新请求对应的待更新的程序数据，以使第一服务器基于获取的待更新的程序数据生成程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作,这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新装置，图10为本说明书实施例提供的基于隐私保护的程序数据更新装置的第一种模块组成示意图，该基于隐私保护的程序数据更新装置用于执行图2A至图3描述的基于隐私保护的程序数据更新方法，如图10所示，该基于隐私保护的程序数据更新装置，该装置中设置有可信执行环境，上述装置包括：

第一发送模块1001，向第一服务器发送目标程序的程序数据更新请求，以使所述第一服务器基于所述程序数据更新请求确定所述装置中所述目标程序的待更新的程序数据后，向所述装置发送程序数据更新指令，其中，所述程序数据更新请求中携带有装置的标识信息和所述目标程序的标识信息。

第一处理模块1002，接收所述程序数据更新指令，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述装置的通道密钥，以使所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据发送至所述装置。

第一更新模块1003，通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

可选地，所述第一发送模块，通过REE通用环境中的安全通道管理应用向所述第一服务器发送目标程序的程序数据更新请求。

可选地，所述第一处理模块，通过所述安全通道管理应用接收所述程序数据更新指令，以及通过所述安全通道管理应用分别向所述第一服务器和所述可信执行环境发送身份标识信息获取请求，基于获取的所述第一服务器的身份标识信息和所述可信执行环境的身份标识信息，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述装置的通道密钥。

可选地，所述装置还包括：第二处理模块；所述第二处理模块，通过所述安全通道管理应用接收所述第一服务器发送的所述程序更新数据，并通过所述安全通道管理应用将所述程序更新数据发送至所述可信执行环境。

可选地，所述程序更新数据中携带有与所述程序数据更新请求对应的待更新的程序数据、以及第一服务器的身份标识信息，所述第一更新模块，包括：

接收单元，通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据；

匹配单元，使用所述通道密钥对所述程序更新数据进行解密，将解密后得到的第一服务器的身份标识信息与建立所述安全通道过程中获取的所述第一服务器的身份标识信息进行匹配；

更新单元，若匹配成功，则根据解密后得到的所述程序数据对所述目标程序进行更新。

可选地，所述目标程序包括所述装置的系统固件程序。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过向第一服务器发送目标程序的程序数据更新请求，以使第一服务器基于程序数据更新请求确定终端设备中目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令，接收程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥，以使第一服务器基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，然后，通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

本说明书实施例提供的基于隐私保护的程序数据更新装置能够实现上述基于隐私保护的程序数据更新方法对应的实施例中的各个过程，为避免重复，这里不再赘述。

需要说明的是，本说明书实施例提供的基于隐私保护的程序数据更新装置与本说明书实施例提供的基于隐私保护的程序数据更新方法基于同一发明构思，因此该实施例的具体实施可以参见前述基于隐私保护的程序数据更新方法的实施，重复之处不再赘述。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新装置，图11为本说明书实施例提供的基于隐私保护的程序数据更新装置的第二种模块组成示意图，该基于隐私保护的程序数据更新装置用于执行图4A描述的基于隐私保护的程序数据更新方法，如图11所示，所述装置包括：

第一接收模块1101，接收目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息；

第一判断模块1102，根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据；

指令发送模块1103，在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述终端设备发送程序数据更新指令；

第三处理模块1104，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

可选地，所述第三处理模块，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据以及第一服务器的身份标识信息进行加密处理生成程序更新数据。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过接收目标程序的程序数据更新请求，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据，在确定终端设备中存在目标程序的待更新的程序数据后，向终端设备发送程序数据更新指令，然后，接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

本说明书实施例提供的基于隐私保护的程序数据更新装置能够实现上述基于隐私保护的程序数据更新方法对应的实施例中的各个过程，为避免重复，这里不再赘述。

需要说明的是，本说明书实施例提供的基于隐私保护的程序数据更新装置与本说明书实施例提供的基于隐私保护的程序数据更新方法基于同一发明构思，因此该实施例的具体实施可以参见前述基于隐私保护的程序数据更新方法的实施，重复之处不再赘述。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新装置，图12为本说明书实施例提供的基于隐私保护的程序数据更新装置的第三种模块组成示意图，该基于隐私保护的程序数据更新装置用于执行图7A和图7B描述的基于隐私保护的程序数据更新方法，如图12所示，所述装置包括：

第二发送模块1201，向第一服务器发送目标程序的程序数据更新请求，以使所述第一服务器接收到所述程序数据更新请求后，将所述程序数据更新请求发送至程序管理服务器，并基于从所述程序管理服务器获取的与所述程序数据更新请求对应的待更新的程序数据后生成程序数据更新指令，将所述程序数据更新指令发送至所述装置，其中，所述程序数据更新请求中携带有装置的标识信息和所述目标程序的标识信息；

第四处理模块1202，接收所述第一服务器发送的程序数据更新指令，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述装置的通道密钥，以使所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求从所述程序管理服务器获取到的所述待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据发送至所述装置；

第二更新模块1203，通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过向第一服务器发送目标程序的程序数据更新请求，以使第一服务器接收到程序数据更新请求后，将程序数据更新请求发送至程序管理服务器，并基于从程序管理服务器获取的与程序数据更新请求对应的待更新的程序数据后生成程序数据更新指令，将程序数据更新指令发送至终端设备，接收第一服务器发送的程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对终端设备的通道密钥，以使第一服务器基于通道密钥，对基于程序数据更新请求从程序管理服务器获取到的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，然后，通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新。这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

本说明书实施例提供的基于隐私保护的程序数据更新装置能够实现上述基于隐私保护的程序数据更新方法对应的实施例中的各个过程，为避免重复，这里不再赘述。

需要说明的是，本说明书实施例提供的基于隐私保护的程序数据更新装置与本说明书实施例提供的基于隐私保护的程序数据更新方法基于同一发明构思，因此该实施例的具体实施可以参见前述基于隐私保护的程序数据更新方法的实施，重复之处不再赘述。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新装置，图13为本说明书实施例提供的基于隐私保护的程序数据更新装置的第四种模块组成示意图，该基于隐私保护的程序数据更新装置用于执行图8A和图8B描述的基于隐私保护的程序数据更新方法，如图13所示，所述装置包括：

第五处理模块1301，接收目标程序的程序数据更新请求，将所述程序数据更新请求发送至程序管理服务器，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息；

第三发送模块1302，在接收来自所述程序管理服务器发送的与所述程序数据更新请求对应的待更新的程序数据后，向所述终端设备发送程序数据更新指令；

第六处理模块1303，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过接收目标程序的程序数据更新请求，将程序数据更新请求发送至程序管理服务器，在接收来自程序管理服务器发送的与程序数据更新请求对应的待更新的程序数据后，向终端设备发送程序数据更新指令，然后，接收终端设备发送的安全通道建立请求，与终端设备的可信执行环境建立安全通道，并与终端设备构建针对终端设备的通道密钥，基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作，这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

本说明书实施例提供的基于隐私保护的程序数据更新装置能够实现上述基于隐私保护的程序数据更新方法对应的实施例中的各个过程，为避免重复，这里不再赘述。

需要说明的是，本说明书实施例提供的基于隐私保护的程序数据更新装置与本说明书实施例提供的基于隐私保护的程序数据更新方法基于同一发明构思，因此该实施例的具体实施可以参见前述基于隐私保护的程序数据更新方法的实施，重复之处不再赘述。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新装置，图14为本说明书实施例提供的基于隐私保护的程序数据更新装置的第五种模块组成示意图，该基于隐私保护的程序数据更新装置用于执行图9A和图9B描述的基于隐私保护的程序数据更新方法，如图14所示，所述装置包括：

第二接收模块1401，接收第一服务器发送的目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息；

第二判断模块1402，根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据；

第四发送模块1403，在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述第一服务器发送与所述程序数据更新请求对应的待更新的程序数据，以使所述第一服务器基于获取的所述待更新的程序数据生成程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的程序更新数据执行升级操作，其中，所述程序更新数据是所述第一服务器在接收来自所述装置发送的与所述程序数据更新请求对应的待更新的程序数据后，通过向所述终端设备发送程序数据更新指令，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到的。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过接收第一服务器发送的目标程序的程序数据更新请求，根据终端设备的标识信息和目标程序的标识信息，判断终端设备中是否存在目标程序的待更新的程序数据,在确定终端设备中存在目标程序的待更新的程序数据后，向第一服务器发送与程序数据更新请求对应的待更新的程序数据，以使第一服务器基于获取的待更新的程序数据生成程序更新数据，并将程序更新数据通过安全通道发送至终端设备，以使终端设备基于接收到的程序更新数据执行升级操作, 这样，通过在终端设备的可信执行环境与第一服务器之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

本说明书实施例提供的基于隐私保护的程序数据更新装置能够实现上述基于隐私保护的程序数据更新方法对应的实施例中的各个过程，为避免重复，这里不再赘述。

需要说明的是，本说明书实施例提供的基于隐私保护的程序数据更新装置与本说明书实施例提供的基于隐私保护的程序数据更新方法基于同一发明构思，因此该实施例的具体实施可以参见前述基于隐私保护的程序数据更新方法的实施，重复之处不再赘述。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新设备，如图15所示。图15为本说明书实施例提供的基于隐私保护的程序数据更新设备的第一种硬件结构示意图，该基于隐私保护的程序数据更新设备用于执行图2A、图3、图7A描述的基于隐私保护的程序数据更新方法，所述的基于隐私保护的程序数据更新设备可以为上述实施例提供的终端设备。

图15所示的基于隐私保护的程序数据更新设备1500包括但不限于：射频单元1501、电源1502、处理器1503、存储器1504、用户输入单元1505、显示单元1506等部件。本领域技术人员可以理解，图15中示出的基于隐私保护的程序数据更新设备结构并不构成基于隐私保护的程序数据更新设备的限定，基于隐私保护的程序数据更新设备可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。在本说明书实施例中，移动终端包括但不限于手机、平板电脑、笔记本电脑、掌上电脑、车载终端、可穿戴设备、以及计步器等。

其中，所述基于隐私保护的程序数据更新设备安装设置有可信执行环境，处理器1503，用于：

向第一服务器发送目标程序的程序数据更新请求，以使所述第一服务器基于所述程序数据更新请求确定所述基于隐私保护的程序数据更新设备中所述目标程序的待更新的程序数据后，向所述基于隐私保护的程序数据更新设备发送程序数据更新指令，其中，所述程序数据更新请求中携带有基于隐私保护的程序数据更新设备的标识信息和所述目标程序的标识信息；

接收所述程序数据更新指令，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述基于隐私保护的程序数据更新设备的通道密钥，以使所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据发送至所述基于隐私保护的程序数据更新设备；

通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

可选地，所述向第一服务器发送目标程序的程序数据更新请求，包括：

通过REE通用环境中的安全通道管理应用向所述第一服务器发送目标程序的程序数据更新请求。

可选地，所述接收所述程序数据更新指令，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述基于隐私保护的程序数据更新设备的通道密钥，包括：

通过所述安全通道管理应用接收所述程序数据更新指令，以及通过所述安全通道管理应用分别向所述第一服务器和所述可信执行环境发送身份标识信息获取请求，基于获取的所述第一服务器的身份标识信息和所述可信执行环境的身份标识信息，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述基于隐私保护的程序数据更新设备的通道密钥。

可选的，在通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据之前，还包括：

通过所述安全通道管理应用接收所述第一服务器发送的所述程序更新数据，并通过所述安全通道管理应用将所述程序更新数据发送至所述可信执行环境。

可选的，所述程序更新数据中携带有与所述程序数据更新请求对应的待更新的程序数据、以及第一服务器的身份标识信息，所述通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新，包括：

通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据；

使用所述通道密钥对所述程序更新数据进行解密，将解密后得到的第一服务器的身份标识信息与建立所述安全通道过程中获取的所述第一服务器的身份标识信息进行匹配；

若匹配成功，则根据解密后得到的所述程序数据对所述目标程序进行更新。

可选的，所述目标程序包括所述基于隐私保护的程序数据更新设备的系统固件程序。

或者，处理器1503，用于：

向第一服务器发送目标程序的程序数据更新请求，以使所述第一服务器接收到所述程序数据更新请求后，将所述程序数据更新请求发送至程序管理服务器，并基于从所述程序管理服务器获取的与所述程序数据更新请求对应的待更新的程序数据后生成程序数据更新指令，将所述程序数据更新指令发送至所述基于隐私保护的程序数据更新设备，其中，所述程序数据更新请求中携带有基于隐私保护的程序数据更新设备的标识信息和所述目标程序的标识信息；

接收所述第一服务器发送的程序数据更新指令，建立所述可信执行环境与所述第一服务器之间的安全通道，并与所述第一服务器构建针对所述基于隐私保护的程序数据更新设备的通道密钥，以使所述第一服务器基于所述通道密钥，对基于所述程序数据更新请求从所述程序管理服务器获取到的所述待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据发送至所述基于隐私保护的程序数据更新设备；

通过所述可信执行环境接收所述第一服务器通过所述安全通道发送的所述程序更新数据，使用所述通道密钥对所述程序更新数据进行解密，并根据解密后得到的所述程序数据对所述目标程序进行更新。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过向第一服务器发送目标程序的程序数据更新请求，以使第一服务器基于程序数据更新请求确定基于隐私保护的程序数据更新设备中目标程序的待更新的程序数据后，向基于隐私保护的程序数据更新设备发送程序数据更新指令，接收程序数据更新指令，建立可信执行环境与第一服务器之间的安全通道，并与第一服务器构建针对基于隐私保护的程序数据更新设备的通道密钥，以使第一服务器基于通道密钥，对基于程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将程序更新数据通过安全通道发送至基于隐私保护的程序数据更新设备，然后，通过可信执行环境接收第一服务器通过安全通道发送的程序更新数据，使用通道密钥对程序更新数据进行解密，并根据解密后得到的程序数据对目标程序进行更新，这样，通过在基于隐私保护的程序数据更新设备的可信执行环境与第一服务器之间建立安全通道，基于隐私保护的程序数据更新设备的可信执行环境通过上述通道密钥对从上述第一服务器获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

需要说明的是，本说明书实施例提供的基于隐私保护的程序数据更新设备能够实现上述基于隐私保护的程序数据更新方法实施例中基于隐私保护的程序数据更新设备实现的各个过程，为避免重复，这里不再赘述。

应理解的是，本说明书实施例中，射频单元1501可用于收发信息或通话过程中，信号的接收和发送，具体的，将来自基站的下行数据接收后，给处理器1503处理；另外，将上行的数据发送给基站。通常，射频单元1501包括但不限于天线、至少一个放大器、收发信机、耦合器、低噪声放大器、双工器等。此外，射频单元1501还可以通过无线通信系统与网络和其他设备通信。

另外，基于隐私保护的程序数据更新设备1500包括一些未示出的功能模块，在此不再赘述。

进一步地，对应上述实施例提供的基于隐私保护的程序数据更新方法，本说明书实施例还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器1503执行时实现如上述基于隐私保护的程序数据更新方法实施例的各步骤，且能达到相同的技术效果，为避免重复，这里不再赘述。其中，所述的计算机可读存储介质，如只读存储器（Read-Only Memory，简称ROM）、随机存取存储器（Random AccessMemory，简称RAM）、磁碟或者光盘等。

对应上述实施例提供的基于隐私保护的程序数据更新方法，基于相同的技术构思，本说明书实施例还提供了一种基于隐私保护的程序数据更新设备，如图16所示。图16为本说明书实施例提供的基于隐私保护的程序数据更新设备的第二种硬件结构示意图，该基于隐私保护的程序数据更新设备用于执行图4A、图8A和图9A描述的基于隐私保护的程序数据更新方法，所述的基于隐私保护的程序数据更新设备可以为上述实施例提供的第一服务器，或者是上述实施例提供的程序管理服务器。

基于隐私保护的程序数据更新设备可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上的处理器1601和存储器1602，存储器1602中可以存储有一个或一个以上存储应用程序或数据。其中，存储器1602可以是短暂存储或持久存储。存储在存储器1602的应用程序可以包括一个或一个以上模块（图示未示出），每个模块可以包括对任务的分配设备中的一系列计算机可执行指令。更进一步地，处理器1601可以设置为与存储器1602通信，在基于隐私保护的程序数据更新设备上执行存储器1602中的一系列计算机可执行指令。基于隐私保护的程序数据更新设备还可以包括一个或一个以上电源1603，一个或一个以上有线或无线网络接口1604，一个或一个以上输入输出接口1605，一个或一个以上键盘1606。

具体在本实施例中，基于隐私保护的程序数据更新设备包括有存储器，以及一个或一个以上的程序，其中一个或者一个以上程序存储于存储器中，且一个或者一个以上程序可以包括一个或一个以上模块，且每个模块可以包括对任务的分配设备中的一系列计算机可执行指令，且经配置以由一个或者一个以上处理器执行该一个或者一个以上程序包含用于进行以下计算机可执行指令：

接收目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息；

根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据；

在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述终端设备发送程序数据更新指令；

接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

可选地，所述基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，包括：

基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据以及所述基于隐私保护的程序数据更新设备的身份标识信息进行加密处理生成程序更新数据。

或者，上述基于隐私保护的程序数据更新设备还可以用于进行以下计算机可执行指令：

接收目标程序的程序数据更新请求，将所述程序数据更新请求发送至程序管理服务器，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息；

在接收来自所述程序管理服务器发送的与所述程序数据更新请求对应的待更新的程序数据后，向所述终端设备发送程序数据更新指令；

接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的所述程序更新数据执行升级操作。

或者，上述基于隐私保护的程序数据更新设备还可以用于进行以下计算机可执行指令：

接收基于隐私保护的程序数据更新设备发送的目标程序的程序数据更新请求，其中，所述程序数据更新请求中携带有终端设备的标识信息和所述目标程序的标识信息；

根据所述终端设备的标识信息和所述目标程序的标识信息，判断所述终端设备中是否存在所述目标程序的待更新的程序数据；

在确定所述终端设备中存在所述目标程序的待更新的程序数据后，向所述基于隐私保护的程序数据更新设备发送与所述程序数据更新请求对应的待更新的程序数据，以使所述基于隐私保护的程序数据更新设备基于获取的所述待更新的程序数据生成程序更新数据，并将所述程序更新数据通过所述安全通道发送至所述终端设备，以使所述终端设备基于接收到的程序更新数据执行升级操作，其中，所述程序更新数据是所述基于隐私保护的程序数据更新设备在接收来自所述基于隐私保护的程序数据更新设备发送的与所述程序数据更新请求对应的待更新的程序数据后，通过向所述终端设备发送程序数据更新指令，接收所述终端设备发送的安全通道建立请求，与所述终端设备的可信执行环境建立安全通道，并与所述终端设备构建针对所述终端设备的通道密钥，基于所述通道密钥，对基于所述程序数据更新请求对应的待更新的程序数据进行加密处理得到的。

进一步地，对应上述实施例提供的基于隐私保护的程序数据更新方法，本说明书实施例还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器1601执行时实现如上述基于隐私保护的程序数据更新方法实施例的各步骤，且能达到相同的技术效果，为避免重复，这里不再赘述。其中，所述的计算机可读存储介质，如只读存储器（Read-Only Memory，简称ROM）、随机存取存储器（Random AccessMemory，简称RAM）、磁碟或者光盘等。

由以上本说明书实施例提供的技术方案可见，本说明书实施例通过在终端设备的可信执行环境与基于隐私保护的程序数据更新设备之间建立安全通道，终端设备的可信执行环境通过上述通道密钥对从上述基于隐私保护的程序数据更新设备获取的程序数据进行解密，并根据解密后得到的程序数据对目标程序进行更新的方法，有效解决了当前线下终端产品程序数据更新过程中安全性低、容易受到重放、乱序攻击的威胁，提高了线下终端产品程序数据更新过程的机密性。

需要说明的是，本说明书实施例提供的基于隐私保护的程序数据更新设备能够实现上述基于隐私保护的程序数据更新方法实施例中基于隐私保护的程序数据更新设备实现的各个过程，为避免重复，这里不再赘述。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本领域内的技术人员应明白，本说明书的实施例可提供为方法、系统、或计算机程序产品。因此，本说明书可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本说明书可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本说明书是参照根据本说明书实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器 (CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器 (RAM) 和/或非易失性内存等形式，如只读存储器 (ROM) 或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存 (PRAM)、静态随机存取存储器 (SRAM)、动态随机存取存储器 (DRAM)、其他类型的随机存取存储器 (RAM)、只读存储器 (ROM)、电可擦除可编程只读存储器 (EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘 (DVD) 或其他光学存储、磁盒式磁带，磁带磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体 (transitory media)，如调制的数据信号和载波。

可以理解的是，本说明书实施例描述的这些实施例可以用硬件、软件、固件、中间件、微码或其组合来实现。对于硬件实现，处理单元可以实现在一个或多个专用集成电路(Application Specific Integrated Circuits，ASIC)、数字信号处理器(Digital SignalProcessing，DSP)、数字信号处理设备(DSP Device，DSPD)、可编程逻辑设备(ProgrammableLogic Device，PLD)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)、通用处理器、控制器、微控制器、微处理器、用于执行本说明书所述功能的其它电子单元或其组合中。

对于软件实现，可通过执行本说明书实施例所述功能的模块(例如过程、函数等)来实现本说明书实施例所述的技术。软件代码可存储在存储器中并通过处理器执行。存储器可以在处理器中或在处理器外部实现。

还需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本说明书的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质（如ROM/RAM、磁碟、光盘）中，包括若干指令用以使得一台终端（可以是手机，计算机，服务器，空调器，或者网络设备等）执行本说明书各个实施例所述的方法。

上面结合附图对本说明书的实施例进行了描述，但是本说明书并不局限于上述的具体实施方式，上述具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本说明书的启示下，在不脱离本说明书宗旨和权利要求所保护的范围情况下，本说明书可以有各种更改和变化。凡在本说明书的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本说明书的权利要求范围之内。