[發明專利]一種雙系統安全芯片控制方法、終端、計算機可讀存儲介質及基于安全芯片的雙系統架構

在審

• 申請號: 201710596256.7
• 申請日: 2017-07-20
• 公開（公告）號: CN107392055A
• 公開（公告）日: 2017-11-24
• 發明（設計）人: 劉巖
• 申請（專利權）人: 深圳市金立通信設備有限公司
• 主分類號: G06F21/74
• 分類號: G06F21/74;G06F21/53
• 代理公司: 深圳市精英專利事務所44242
• 代理人: 林燕云

技術領域

本發明涉及電子技術領域，尤其涉及一種雙系統安全芯片控制方法、終端、計算機可讀存儲介質及基于安全芯片的雙系統架構。

背景技術

目前，隨著互聯網技術和智能終端的高速發展，智能終端已不僅僅滿足于日常生活中娛樂、交互等功能應用了，在移動支付等相關的金融應用上也取得較好成績。人們在日常工作和生活中越來越離不開手機等終端設備，手機等終端設備的移動支付功能便可以隨時隨地解決用戶的衣食住行等問題，其中，最常使用的移動支付工具就是微信、支付寶等應用程序。然而，在移動支付過程中，微信、支付寶等應用程序都會涉及到敏感數據的處理，例如，使用微信、支付寶支付時需要對密鑰、PIN碼等敏感數據進行處理。因此，對于終端的運行環境有更高的安全級別的運行需求。

為了提高移動終端系統的安全性，ARM公司開發了TrustZone技術。 TrustZone技術將應用處理器內核劃分為兩種工作模式，一種是普通模式，可以執行通用指令，傳統意義上的移動終端操作系統比如Android，IOS都運行在此模式，稱為富執行環境(Rich Execution Environment，REE)，另一種是安全模式，只能執行可信指令，稱為可信執行環境(Trusted Execution Environment，TEE)。通過特殊的總線設計確保TEE執行環境的資源不會被REE執行環境訪問，并且為了支持一個完成的執行環境，在REE或TEE執行環境中都有其獨立專用的安全元件、緩存、存儲空間、外設等硬件設備。因此，REE執行環境和TEE執行環境是物理上相互隔離的并行在同一終端設備上的獨立運行的執行環境。

TrustZone技術將原有的在REE執行環境中執行的涉及安全的操作和密鑰轉移到TEE執行環境中，從而確保在可信的環境中對敏感數據進行存儲、處理、保護，并為授權的安全軟件提供了可信的執行環境。如果REE執行環境中的客戶端應用(ClientApplication，CA)要訪問對應與TEE執行環境中的可信應用 (Trusted Application，TA)則需要通過調用位于富執行環境REE中的TEE執行環境客戶端的應用編程接口(Application ProgrammingInterface，API)進行接入訪問，從而使用TEE執行環境及TA可信應用提供的與終端內安全應用請求相對應的安全服務，進而能在一定程度上保證敏感數據的安全性。然而，由于TEE不具備反篡改機制，仍然存在很大的安全風險。

為了解決現有技術中TEE執行環境不具備反篡改機制而造成的安全問題，可以采用一種可與終端設備相連接的外置安全芯片，密鑰等敏感數據存儲在外置安全芯片中。當應用層需要使用密鑰來進行操作時，需要由系統層去到硬件層中取出密鑰，然后由系統層來完成使用密鑰的操作。其中，安全芯片具有加密/解密邏輯電路，可以防止外部惡意解析攻擊，保護其所存儲的數據的安全。然而，現有技術中外置的如安全芯片等安全元件一般只與系統層中的TEE執行環境連接使用，無法解決不同應用需要運行在不同的系統層中的問題，且跟系統層中的TEE連接使用只能提供較單一的安全服務。

發明內容

本發明實施例提供一種雙系統安全芯片控制方法、終端、計算機可讀存儲介質及基于安全芯片的雙系統架構，以使不同的安全需求安全運行在合適的執行環境下，保證終端的安全運行。

第一方面，本發明實施例提供了一種雙系統安全芯片控制方法，該方法包括：

檢測是否有安全應用請求；

若檢測到有所述安全應用請求，根據預設條件確定所述安全應用請求所對應的執行環境；

控制安全芯片與所確定的執行環境相互連接，以使所述安全芯片核驗所述安全應用請求是否有效；

若所述安全應用請求核驗有效，啟動所述安全應用請求所對應的服務。

第二方面，本發明實施例提供了一種基于安全芯片的雙系統架構，該架構包括:

一富執行環境REE、一可信執行環境TEE以及一外置安全芯片，所述富執行環境REE和可信執行環境TEE運行在同一終端設備上且物理上相互隔離；所述外置安全芯片與所述富執行環境REE和所述可信執行環境TEE均相互連接。

第三方面，本發明實施例提供了一種終端，該終端包括:

檢測單元，用于檢測是否有安全應用請求；

確定單元，用于若檢測到有所述安全應用請求，根據預設條件確定所述安全應用請求所對應的執行環境；