[發明專利]一種基于可信執行環境的云端數據保護系統

在審

• 申請號: 201910724452.7
• 申請日: 2019-08-07
• 公開（公告）號: CN110519049A
• 公開（公告）日: 2019-11-29
• 發明（設計）人: 范永開;劉燕;林曉東;王憬晗;雷晶;劉家旭;趙冠群;雷霞;白建蓉;馬俊杰;彭聰;夏方略;孫嘯峰
• 申請（專利權）人: 赤峰學院;中國石油大學(北京);賽爾網絡有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L29/06;H04L29/08;G06F21/60;G06F21/62;G06F21/64
• 代理公司: 11129 北京海虹嘉誠知識產權代理有限公司
• 代理人: 何志欣<國際申請>=<國際公布>=<進入

本發明涉及一種基于可信執行環境的云端數據保護系統，包括上傳終端和下載終端和可信執行環境處理端，其中，上傳終端將數據擁有者加密后的從可信執行環境處理端獲取的密鑰連同加密后的數據上傳至云端服務器，響應于所述數據使用者的訪問請求，所述可信執行環境處理端能夠在驗證所述數據使用者身份并且成功的前提下對所述密文進行解密以生成私鑰，用于訪問所述數據。TEE作為可信方來進行密鑰操作的生成和管理；數據持有者完全控制批準或拒絕應用程序擁有訪問敏感文件的決定，只有應用程序具有一組滿足數據持有者訪問策略的屬性時可以解密密文。

技術領域

本發明涉及云存儲安全可靠技術領域，尤其涉及一種基于可信執行環境的云端數據保護系統。

背景技術

隨著硬件虛擬化技術的成熟，云計算(Cloud computing)應運而生。云計算可以為客戶提供高容量網絡、計算和存儲成本低的服務。但是，當數據所有者(Data Owner，DO)將敏感數據上傳至云服務供應商(Cloud service Provider，CSP)時，數據受到極大的泄漏、篡改和盜竊等安全隱患。為了避免這類安全隱患的發生，加密成了最容易、最廣泛應用的控制手段。

例如，公開號為CN103795717B的中國專利公開的一種云計算平臺完整性證明方法及其系統。該方法基于混合式信任鏈對平臺完整性進行證明，混合式信任鏈包含由云端虛擬機提供的靜態信任鏈和遠程驗證方構建的動態信任鏈系統，該方法包括：靜態信任鏈構建步驟和動態信任鏈系統構建與驗證步驟，靜態信任鏈構建步驟為通過云端虛擬機提供的虛擬化可信平臺模塊構建靜態信任鏈；動態信任鏈系統構建與驗證步驟為通過遠程驗證方構建一動態信任鏈系統，在可信執行環境中進行平臺完整性驗證，并且遠程驗證方生成可信執行環境的運行證據，使虛擬機更安全地信任接收到的驗證結果。

例如，公開號為CN106063185A的中國專利公開的一種用于安全地共享數據的方法和裝置。包括：在云服務的第一用戶的第一設備處生成代表所述第一設備的驅動器的檔案文件；經由處理器加密所述檔案文件以形成經加密的檔案文件；以及將所述經加密的檔案文件傳達至云服務提供方，所述加密檔案文件將由所述云服務的第二用戶的第二設備解密，所述經解密的檔案文件將安裝至所述第二設備的操作系統。

例如，公開號為CN105701423B的中國專利公開的一種應用于云端支付業務的數據存儲方法及裝置。在支付軟件中接收到數據存儲指令時，接收待存儲數據，其中，所述待存儲數據包括支付軟件中的賬戶關聯數據，以及用于跟服務器進行通訊和生成交易密文數據的限制密鑰；調用所述終端的標識信息以生成加密密鑰，并根據所述加密密鑰對所述待存儲數據進行加密存儲；在所述待存儲數據存儲成功時，刪除所述加密密鑰。該發明還公開了一種應用于云端支付業務的數據存儲裝置。該發明提高了終端與云端進行支付交互時，對數據存儲的安全性。

例如，公開號為CN108256866A的中國專利公開的一種數字資產錢包，用于個人和企業的商業智能服務，能夠支撐電子貨幣、數字貨幣和數字資產應用，包括生物特征傳感器，可信執行環境，可信應用、本地安全模塊和云端服務系統；本地安全模塊負責保護私鑰和關鍵指令運算；可信執行環境負責保護可信應用在運行期間，鎖定相關計算、總線和存儲資源，不被操作系統和其它應用竊取破壞；可信應用負責保護用戶輸入的密碼和生物特征信息，并根據用戶應用需要安全調用本地安全模塊的關鍵指令運算，把運算結果返回給用戶應用；云端服務系統負責安全管理和更新本地安全模塊和可信應用。數字資產包括虛擬貨幣、積分、票據、契約、貨單和智能合約等可被數字表達及數字簽名保護的有價資產。