[發明專利]一種基于處理器安全擴展的智能終端隔離系統及方法

有效

• 申請號: 201410596688.4
• 申請日: 2014-10-29
• 公開（公告）號: CN104318182B
• 公開（公告）日: 2017-09-12
• 發明（設計）人: 王雅哲;徐震;田琛;王瑜
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F21/74
• 分類號: G06F21/74;G06F21/12;H04M1/725
• 代理公司: 北京科迪生專利代理有限責任公司11251
• 代理人: 成金玉,孟卜娟

1.一種基于處理器安全擴展的智能終端隔離系統，其特征在于包括：啟動模塊(106)、通信代理模塊(105)、安全擴展抽象層(107)、安全操作系統(103)、安全中間件(109)、普通操作系統(102)、可信應用模塊(101)、普通應用模塊(100)和各個處理器安全擴展模塊(108)；事務委托模塊(104)、其中普通應用模塊(100)、普通操作系統(102)和事務委托模塊(104)運行在非安全域；可信應用模塊(101)、安全中間件(109)、安全操作系統(103)和啟動模塊(106)運行在安全域；所述安全域是指安全狀態下執行的代碼、訪問的數據和設備；所述非安全域是指非安全狀態下執行的代碼、訪問的數據和設備；其中：

安全啟動模塊(106)，對智能終端硬件環境進行簡單初始化，并認證、引導安全操作系統(103)；

通信代理模塊(105)，負責可信應用模塊和普通應用模塊的底層數據封裝與通信；

安全擴展抽象層(107)，為安全操作系統(103)提供統一的調用接口，隔離各個處理器安全擴展模塊(108)的具體差異，即具體各個處理器安全擴展模塊(108)的底層軟件、硬件和上層功能模塊的解耦；

安全操作系統(103)，為整個安全域內可信應用模塊(101)提供相互獨立的運行空間、任務調度與管理、內存管理、安全設備管理、安全中斷管理；

安全中間件(109)，實現安全功能、事務委托相關的核心庫，并為可信應用模塊(101)提供相關的功能接口；

普通應用模塊(100)，完成不同應用程序的常規交互功能，并通過通信代理模塊(105)向可信應用模塊(101)發起安全請求；所述的安全請求是普通應用模塊(100)向可信應用模塊(101)發起的遠程調用，普通應用模塊(100)將高敏感業務封裝在可信應用模塊(101)中，實現安全隔離；

可信應用模塊(101)，接受安全操作系統(103)的調度，并處理普通應用模塊(100)的安全請求；可信應用模塊(101)功能通過調用安全中間件(109)來完成；

普通操作系統(102)，將實現智能終端設備常規操作系統的任務，負責提供終端用戶日常生活中低安全性要求的功能服務，安全操作系統(103)與普通操作系統(102)處于物理上相互隔離的系統，通過通信代理模塊(105)進行相互間的數據通信；

處理器安全擴展模塊(108)是芯片級的安全支撐模塊，包括的功能：(1)支持處理器運行在安全和非安全運行狀態，兩種運行環境相互獨立、物理上隔離，關鍵寄存器在安全與非安全運行狀態能夠進行硬件級自動備份；(2)支持處理器地址空間的安全與非安全劃分，當處理器處于安全狀態時，能夠訪問所有的地址空間，當處理器處于非安全狀態時，只能訪問非安全地址空間；(3)當發生異常時，處理器根據當前運行狀態，跳轉到相應的安全、非安全或守護狀態的異常向量表執行異常處理代碼；(4)支持處理器的守護狀態，所述守護狀態屬于一種特殊的安全狀態，該狀態下的處理器能夠同時訪問安全、非安全狀態下的各個寄存器值、存儲空間以及外部設備；(5)IRQ以及FIQ能夠進行安全、非安全的中斷類型設置；

事務委托模塊(104)，安全操作系統(103)通過該事務委托模塊(104)能夠將低安全性的功能需求委托給普通操作系統(102)進行處理；

所述事務委托模塊包括客戶端服務接口層、可信應用事務委托接口層及事務委托處理模塊；事務委托模塊負責為普通應用模塊提供安全請求接口，為可信應用提供事務委托接口，并負責安全操作系統委托的相關事務的處理，將加密后的文件回寫普通文件系統；普通應用模塊通過客戶端服務接口層提供的接口發起安全請求，該請求將會被事務委托處理模塊捕獲，并通過通信代理模塊轉發給可信應用模塊做進一步處理；當可信應用程序需要進行耗時、低安全性操作時，通過調用可信應用事務委托接口層發起事務委托請求，通過通信代理模塊轉發給事務委托處理模塊并由事務委托處理模塊進行請求處理；

所述安全操作系統將作為整個隔離系統的管理者，由內存管理模塊、加密文件系統、安全調度器、可信應用加載模塊、系統調用模塊、安全設備與驅動管理模塊、安全守護模塊、安全中斷管理模塊、各類安全設備驅動程序組成；內存管理模塊為安全設備與驅動管理模塊、安全守護模塊、可信應用加載模塊、安全中斷管理模塊、進程調度模塊的運行提供底層的內存分配與釋放機制，并負責設置普通操作系統以及安全操作系統各自的物理內存區域，負責操作系統之間共享內存塊的分配與撤銷，通過安全設備與驅動管理模塊，加密文件系統可以方便的操作各類存儲設備，對文件進行讀取和寫回操作；安全中斷管理模塊為安全設備與驅動管理模塊提供底層的中斷響應機制；安全設備與驅動管理模塊負責管理各類安全設備；各類安全設備驅動通過安全設備與驅動管理模塊完成對安全設備的初始化以及各類請求響應，由于安全操作系統運行在內核態，為了滿足可信應用和安全操作系統的交互需求，系統調用模塊提供一系列接口函數幫助用戶態的可信應用獲得安全操作系統的功能支持；當可信應用模塊需要運行時，由可信應用加載模塊進行認證，確保可信應用的完整性、合法性，隨后通過認證的可信應用模塊將被加載到內存；安全調度器作為所有可信應用的調度器，負責從運行隊列中挑選出合適的應用程序占有處理器，獲得執行機會；安全守護模塊運行在處理器守護態，功能包括：(1)負責安全操作系統以及普通操作系統之間的上下文切換與恢復；(2)負責普通應用模塊與安全應用模塊通信數據的安全性檢查；(3)和安全設備與驅動管理模塊一起負責設備在安全與非安全運行狀態切換下，設備上下文切換與恢復，數據切換與恢復；(4)和安全中斷管理模塊共同管理中斷信號，中斷信號的類型包括異步和同步；當中斷發生時，負責捕獲中斷，并根據中斷類型、中斷策略，決定中斷的響應機制。

所述安全守護模塊和安全設備與驅動管理模塊一起負責設備在安全與非安全運行狀態切換下，設備上下文切換與恢復，數據切換與恢復，具體實現為：當設備處于安全域運行時，則稱為安全設備；當處于非安全域運行時，則稱為非安全設備；如果處理器安全擴展模塊支持動態改變設備運行狀態，即將設備從安全狀態轉化為非安全狀態，或者將設備從非安全狀態轉化為安全狀態，這意味著同一個設備被安全域和非安全域所共享；為了確保設備數據的隔離，安全守護模塊將負責設備上下文的切換以及數據的切換與恢復；隨后調用安全設備與驅動管理模塊轉向各類安全設備驅動程序；如果處理器安全擴展模塊不支持動態改變設備運行狀態，則由安全設備與驅動管理模塊初始化時直接設定各類設備是否屬于安全域。