[發(fā)明專利]一種基于虛擬化技術(shù)的安全計算環(huán)境構(gòu)建方法

有效

• 申請?zhí)枺?/td>: 201611218617.6
• 申請日: 2016-12-26
• 公開（公告）號: CN106778362B
• 公開（公告）日: 2020-02-28
• 發(fā)明（設(shè)計）人: 張鑫;王迪;安紅章
• 申請（專利權(quán)）人: 中國電子科技集團(tuán)公司第三十研究所
• 主分類號: G06F21/71
• 分類號: G06F21/71
• 代理公司: 成都九鼎天元知識產(chǎn)權(quán)代理有限公司 51214
• 代理人: 郭彩紅

1.一種基于虛擬化技術(shù)的安全計算環(huán)境構(gòu)建方法，具體方法為：基于虛擬化技術(shù)，在Android系統(tǒng)上構(gòu)建一個完整且獨立的安全計算環(huán)境，通過運行專有通信協(xié)議為普通應(yīng)用提供安全功能服務(wù)；

所述專有通信協(xié)議包括，為普通應(yīng)用提供基本的數(shù)據(jù)加解密和簽名驗簽服務(wù)；

所述完整且獨立的安全計算環(huán)境的構(gòu)建方法為：通過QEMU模擬處理器，在Android系統(tǒng)的應(yīng)用框架層之上模擬一個X86架構(gòu)處理器，在此處理器上運行實現(xiàn)專有通信協(xié)議的操作系統(tǒng)，并將特定功能運行在此操作系統(tǒng)之上；

其中，通過QEMU模擬處理器，在Android系統(tǒng)的應(yīng)用框架層之上模擬一個X86架構(gòu)處理器的具體方法為：對QEMU進(jìn)行功能性裁剪，去除對其他平臺的支持，只保留QEMU對X86平臺的支持；同時對X86架構(gòu)進(jìn)行定制化修改，對于運行于QEMU上的定制化操作系統(tǒng)，只保留支撐密碼服務(wù)以及網(wǎng)絡(luò)服務(wù)的基本功能組件；同時，定制化的操作系統(tǒng)以非標(biāo)準(zhǔn)化格式保存在Android應(yīng)用中。

2.根據(jù)權(quán)利要求1所述的安全計算環(huán)境構(gòu)建方法，所述安全計算環(huán)境，以應(yīng)用的形式運行在Android系統(tǒng)上，或以系統(tǒng)服務(wù)的方式集成至各個廠商提供的Android系統(tǒng)上。

3.根據(jù)權(quán)利要求2所述的安全計算環(huán)境構(gòu)建方法，所述專有通信協(xié)議還包括，采用數(shù)字簽名的方式實現(xiàn)對應(yīng)用身份的認(rèn)證，只有驗簽成功，特定應(yīng)用才能訪問特定功能模塊。

4.根據(jù)權(quán)利要求3所述的安全計算環(huán)境構(gòu)建方法，所述專有通信協(xié)議還包括，對于特定應(yīng)用產(chǎn)生的交易數(shù)據(jù)流，采用特定的密鑰進(jìn)行加密和簽名處理，然后轉(zhuǎn)發(fā)至特定應(yīng)用服務(wù)器，由服務(wù)器完成解密和驗簽。

5.根據(jù)權(quán)利要求4所述的安全計算環(huán)境構(gòu)建方法，所述特定應(yīng)用于安全計算環(huán)境通信的具體方法步驟為：

S1、特定應(yīng)用發(fā)起服務(wù)請求至安全計算環(huán)境，請求包含特定應(yīng)用的身份信息以及信息簽名；

S2、安全計算環(huán)境收到特定應(yīng)用請求信息，首先判斷該請求是否是設(shè)置閾值時間內(nèi)重復(fù)的無效請求，如果是，則將其加入限制名單，拒絕提供服務(wù)；如果否，則進(jìn)入下一步；

S3、安全環(huán)境對特定應(yīng)用請求判斷是否合法，如果不合法，則拒絕提供服務(wù)，并加入限制名單；如果合法，則進(jìn)入下一步；

S4、特定應(yīng)用請求驗證通過，則分配臨時會話ID，應(yīng)用憑該臨時會話ID，完成此次與安全計算環(huán)境的通信過程。

6.根據(jù)權(quán)利要求5所述的安全計算環(huán)境構(gòu)建方法，所述方法步驟還包括：通信過程結(jié)束后，安全計算環(huán)境撤銷臨時會話ID，將其加入限制會話ID列表，等超過所設(shè)置的有效時間閾值后，再將其刪除。

7.根據(jù)權(quán)利要求6所述的安全計算環(huán)境構(gòu)建方法，所述方法還包括：當(dāng)臨時會話ID處于限制會話ID列表時，任何應(yīng)用無法使用此會話ID完成通信。