[發明專利]一種基于可信任環境的認證保護系統及方法

有效

• 申請號: 201710532303.1
• 申請日: 2017-07-03
• 公開（公告）號: CN109218260B
• 公開（公告）日: 2020-11-06
• 發明（設計）人: 王左龍
• 申請（專利權）人: 深圳市中興微電子技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 潘登

1.一種基于可信任環境的認證保護系統，包括：客戶應用端、可信任執行環境處理單元、守護應用端，以及可信應用端，其特征在于，

所述客戶應用端，其向所述可信任執行環境處理單元提出安全認證業務請求，調用安全業務；

所述可信任執行環境處理單元，其將所述安全認證業務請求分別轉發給所述守護應用端，所述可信應用端，并將驗證結果返回給所述客戶應用端；為所述客戶應用端和所述可信應用端創建會話連接；

其中，所述客戶應用端，其將身份認證信息發送給所述可信任執行環境處理單元，申請建立上下文的請求，從接收的KEY中提取出初始秘鑰；

所述可信任執行環境處理單元，其向所述守護應用端轉發所述申請建立上下文的請求和所述身份認證信息，由所述守護應用端驗證客戶應用端所提供的身份認證信息；

所述守護應用端，其使用所述客戶應用端所提供的身份認證信息中的公鑰對秘鑰進行加密，并返回給所述可信任執行環境處理單元；

所述可信任執行環境處理單元，其將加密的秘鑰返回給所述客戶應用端，由所述客戶應用端使用與身份信息中的公鑰對應的私鑰，解密并提取出初始秘鑰；客戶端應用端，其與可信任執行環境處理單元建立會話；所述守護應用端，其用于對所述安全認證業務請求進行驗證；

所述可信應用端，其與所述客戶應用端進行會話，并為所述客戶應用端提供業務服務。

2.根據權利要求1所述的基于可信任環境的認證保護系統，其特征在于，

所述安全認證業務請求，包括，建立上下文的請求、建立可信連接的請求、調用安全業務請求、結束會話的請求、以及結束上下文的請求。

3.根據權利要求2所述的基于可信任環境的認證保護系統，其特征在于，

所述客戶應用端，向所述可信任執行環境處理單元發送建立上下文的請求，并獲取加密的初始上下文秘鑰；向所述可信任執行環境處理單元發送建立可信連接的請求，接收返回結果及隨機數；向所述可信任執行環境處理單元發送調用安全業務請求，接收返回結果更新隨機數。

4.一種基于可信任環境的認證保護方法，其特征在于，包括以下步驟：

客戶應用端向可信任執行環境處理單元申請建立上下文的步驟；

客戶應用端與可信應用端建立會話的步驟；

客戶應用端的安全業務調用的步驟；

可信應用端結束會話的步驟；

守護應用端結束上下文的步驟；

其中，客戶應用端向可信任執行環境處理單元申請建立上下文的步驟，包括：所述客戶應用端其將身份認證信息發送給所述可信任執行環境處理單元，申請建立上下文的請求，從接收的KEY中提取出初始秘鑰；

所述可信任執行環境處理單元向所述守護應用端轉發所述申請建立上下文的請求和所述身份認證信息，由所述守護應用端驗證客戶應用端所提供的身份認證信息；

所述守護應用端使用所述客戶應用端所提供的身份認證信息中的公鑰對秘鑰進行加密，并返回給所述可信任執行環境處理單元；

所述可信任執行環境處理單元，將加密的秘鑰返回給所述客戶應用端，由所述客戶應用端使用與身份信息中的公鑰對應的私鑰，解密并提取出初始秘鑰。

5.根據權利要求4所述的基于可信任環境的認證保護方法，其特征在于，

所述客戶應用端與可信應用端建立會話的步驟，進一步包括：

可信任執行環境處理單元接收客戶應用端發送的目標為通用唯一識別碼的建立可信連接的請求；

可信應用端將通用唯一識別碼，基于秘鑰、采用可信任執行環境處理單元指定的哈希算法，進行計算，并將計算結果與通用唯一識別碼一起發送給守護應用端；

守護應用端驗證所述計算結果，對通用唯一識別碼對應的可信應用端進行檢查、驗簽、執行，并記錄對應的連接句柄，生成一次性隨機數；

客戶應用端接收所述連接句柄和一次性隨機數并保存。