[發明專利]系統安全處理方法和裝置

在審

• 申請號: 201811213534.7
• 申請日: 2018-10-17
• 公開（公告）號: CN109522722A
• 公開（公告）日: 2019-03-26
• 發明（設計）人: 黃世光;馮榮峰
• 申請（專利權）人: 聯想（北京）有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/31;G06F21/78
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 呂雁葭

1.一種系統安全處理方法，包括：

獲得訪問請求，所述訪問請求用于表征訪問安全存儲區；其中，第一系統的安全空間與所述安全存儲區對應；所述第一系統的主用戶空間與普通存儲區對應，所述安全空間與所述主用戶空間相互獨立，所述安全存儲區與所述普通存儲區相隔離，所述安全存儲區被加密；

響應所述訪問請求，獲取用戶認證信息；

將所述用戶認證信息發送至獨立于所述第一系統的第二系統中進行驗證，所述第二系統為可信輔助系統；

如果所述用戶認證信息驗證通過，允許通過所述安全空間訪問被所述第二系統解密的所述安全存儲區。

2.根據權利要求1所述的方法，其中：

所述第二系統中預存加密算法和相應的解密算法；

所述安全存儲區中的數據在所述第二系統中基于所述加密算法被加密；

所述安全存儲區中的數據在所述第二系統中基于所述解密算法被解密。

3.根據權利要求1所述的方法，其中：

所述第二系統中預存關鍵信息變換規則；

所述方法還包括：在所述安全空間被創建時，基于所述關鍵信息變換規則對所述安全空間的可信認證信息進行變換，得到所述安全空間的可信認證信息對應的關鍵信息并存入所述第二系統；

所述將所述用戶認證信息發送至獨立于所述第一系統的第二系統中進行驗證包括：在第二系統中基于所述關鍵信息變換規則對所述用戶認證信息進行變換，將變換得到的信息與所述安全空間對應的關鍵信息進行比對，如果相同則確定驗證通過，如果不同則確定驗證不通過。

4.根據權利要求3所述的方法，其中：

所述如果所述用戶認證信息驗證通過，允許通過所述安全空間訪問被所述第二系統解密的所述安全存儲區包括：當驗證通過時，提供安全通道，允許通過所述安全通道訪問所述安全存儲區中被解密的數據；

所述方法還包括：當驗證不通過時，提供普通通道，允許通過所述普通通道訪問所述安全存儲區中未被解密的數據。

5.根據權利要求1所述的方法，其中：

所述訪問請求用于表征用戶直接使用所述安全空間中的應用時，通過位于所述安全空間的應用層中的應用訪問位于所述安全空間的硬件層中的安全存儲區；并且/或者

所述訪問請求用于表征所述主用戶空間中的應用調用所述安全空間中的應用時，通過位于所述安全空間的應用層中的應用訪問位于所述安全空間的硬件層中的安全存儲區；并且/或者

所述訪問請求用于表征所述主用戶空間中的應用直接訪問位于所述安全空間的硬件層中的安全存儲區。

6.根據權利要求1所述的方法，其中，所述將所述用戶認證信息發送至獨立于所述第一系統的第二系統中進行驗證包括：

將所述用戶認證信息發送至位于所述安全空間的內核層中的可信代理組件，由所述可信代理組件將所述用戶認證信息發送至所述第二系統中進行驗證。

7.根據權利要求1所述的方法，其中，所述安全空間用于保證訪問環境的安全。

8.一種電子設備，包括：第一系統和第二系統；

所述第一系統包括主用戶空間和安全空間，所述主用戶空間與所述安全空間相互獨立，所述主用戶空間與普通存儲區對應，所述安全空間與安全存儲區對應，所述安全存儲區與所述普通存儲區相隔離，所述安全存儲區被加密；

所述第二系統為可信輔助系統，所述第二系統獨立于所述第一系統；

所述第一系統，用于獲得訪問請求，所述訪問請求用于表征訪問安全存儲區；響應所述訪問請求，獲取用戶認證信息；將所述用戶認證信息發送至所述第二系統；

所述第二系統，用于對所述用戶認證信息進行驗證，如果所述用戶認證信息驗證通過，允許通過所述安全空間訪問被所述第二系統解密的所述安全存儲區。