[發(fā)明專利]一種管理方法、終端和服務(wù)器

有效

• 申請(qǐng)?zhí)枺?/td>: 201810167314.9
• 申請(qǐng)日: 2018-02-28
• 公開（公告）號(hào): CN110213039B
• 公開（公告）日: 2021-01-29
• 發(fā)明（設(shè)計(jì)）人: 王思善;常新苗
• 申請(qǐng)（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號(hào): H04L9/08
• 分類號(hào): H04L9/08;H04L29/06
• 代理公司: 北京億騰知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11309
• 代理人: 陳霽

本發(fā)明實(shí)施例提供了一種管理方法，應(yīng)用于支持開放信任協(xié)議OTrP的可信執(zhí)行環(huán)境TEE的管理，該管理方法包括：終端獲取應(yīng)用數(shù)據(jù)包，應(yīng)用數(shù)據(jù)包包括離線管理指令，離線管理指令包括目標(biāo)安全域SD標(biāo)識(shí)，解密密鑰標(biāo)識(shí)和加密數(shù)據(jù)，解密密鑰標(biāo)識(shí)對(duì)應(yīng)的解密密鑰用于解密加密數(shù)據(jù)，加密數(shù)據(jù)由外部實(shí)體OWE使用加密密鑰生成，解密密鑰和加密密鑰是由外部實(shí)體OWE生成的密鑰對(duì)；終端確定目標(biāo)SD標(biāo)識(shí)對(duì)應(yīng)的目標(biāo)SD中是否包括解密密鑰標(biāo)識(shí)對(duì)應(yīng)的解密密鑰；當(dāng)目標(biāo)SD中包括解密密鑰時(shí)，終端使用解密密鑰解密加密數(shù)據(jù)，并根據(jù)解密后的加密數(shù)據(jù)進(jìn)行離線管理操作。采用提供的管理方法實(shí)現(xiàn)了OTrP的TEE離線管理。

技術(shù)領(lǐng)域

本發(fā)明設(shè)計(jì)數(shù)據(jù)安全領(lǐng)域，尤其涉及一種管理方法、終端和服務(wù)器。

背景技術(shù)

隨著電子產(chǎn)品的發(fā)展，以及用戶對(duì)數(shù)據(jù)安全性的需求，目前在硬件的支持下，許多終端，可以同時(shí)存在兩個(gè)執(zhí)行環(huán)境，一個(gè)是普通執(zhí)行環(huán)境，或者稱之為富執(zhí)行環(huán)境(richexecution environment，REE)，普通執(zhí)行環(huán)境泛指不具備特定安全功能的運(yùn)行環(huán)境；另一個(gè)是可信執(zhí)行環(huán)境(trust execution environment，TEE)，TEE具有安全功能，滿足了一定的安全要求，同時(shí)可以實(shí)現(xiàn)與REE相隔離的運(yùn)行機(jī)制。TEE獨(dú)立于REE運(yùn)行，定義了嚴(yán)格的安全保護(hù)措施，比REE的安全級(jí)別要高，能夠保護(hù)可信執(zhí)行環(huán)境中的資源(assets)(如數(shù)據(jù)、軟件等)免受一般的軟件攻擊(generalsoftware attacts)，抵抗特定類型的安全威脅。只有授權(quán)的可信應(yīng)用(trusted application，TA)才能在TEE中執(zhí)行，保護(hù)了安全軟件的資源和數(shù)據(jù)的機(jī)密性。由于TEE隔離和權(quán)限控制等保護(hù)機(jī)制，使TEE比REE更好的保護(hù)了資源和數(shù)據(jù)的安全性。

開放信任協(xié)議(open trust protocol，OTrP)提供了一套基于公鑰基礎(chǔ)設(shè)施的PKI對(duì)TEE開放、安全、可靠的遠(yuǎn)程原理機(jī)制，當(dāng)外部實(shí)體(outside world entity，OWE)對(duì)TEE進(jìn)行遠(yuǎn)程管理，例如執(zhí)行創(chuàng)建安全域(security domain，SD)，或者安裝可信應(yīng)用等特權(quán)操作(privileged operations)時(shí)，需要基于PKI機(jī)制進(jìn)行鑒別(Authentication)和授權(quán)(Authorization)驗(yàn)證，例如，，OWE生成管理指令時(shí)，采用OWE私鑰對(duì)管理指令進(jìn)行簽名，并利用從TEE證書中得到的TEE公鑰進(jìn)行加密(加密采用數(shù)字信封機(jī)制，對(duì)內(nèi)容的簽名和加密基于RFC7516-7518指定的JSON Web Signature/JSON Web Encryption機(jī)制，并利用TEE公鑰對(duì)內(nèi)容加密密鑰(content encryption key，CEK)進(jìn)行加密)，然后將這些信息發(fā)送給TEE，TEE接收到這些信息后，使用信任的根證書對(duì)OWE證書(鏈)進(jìn)行驗(yàn)證，以確保管理指令時(shí)由經(jīng)授權(quán)的OWE發(fā)送的，隨后利用TEE私鑰對(duì)封裝的CEK進(jìn)行解密，并利用CEK對(duì)管理指令中的加密數(shù)據(jù)進(jìn)行解密，進(jìn)而執(zhí)行管理指令。OTrP機(jī)制中，在發(fā)送管理指令之前，OWE需要對(duì)TEE進(jìn)行鑒權(quán)且利用TEE公鑰對(duì)JWE的CEK進(jìn)行加密，這也就是說利用OTrP對(duì)TEE進(jìn)行管理必須進(jìn)行OWE與TEE之間的實(shí)時(shí)交互或通信，即“在線”通信。

發(fā)明內(nèi)容

本發(fā)明提供了一種管理方法、終端和服務(wù)器，實(shí)現(xiàn)了OTrP下TEE的離線管理。

第一方面，提供了一種管理方法，應(yīng)用于支持開放信任協(xié)議OTrP的可信執(zhí)行環(huán)境TEE的管理，該管理方法可以包括：

終端獲取應(yīng)用數(shù)據(jù)包，應(yīng)用數(shù)據(jù)包包括離線管理指令，離線管理指令包括目標(biāo)安全域SD標(biāo)識(shí)，解密密鑰標(biāo)識(shí)和加密數(shù)據(jù)，解密密鑰標(biāo)識(shí)對(duì)應(yīng)的解密密鑰用于解密加密數(shù)據(jù)，加密數(shù)據(jù)由外部實(shí)體OWE使用加密密鑰生成，解密密鑰和加密密鑰是由外部實(shí)體OWE生成的密鑰對(duì)；

終端確定目標(biāo)SD標(biāo)識(shí)對(duì)應(yīng)的目標(biāo)SD中是否包括解密密鑰標(biāo)識(shí)對(duì)應(yīng)的解密密鑰；