[發明專利]可信執行環境硬件資源動態細粒度管控方法及系統

在審

• 申請號: 202310404302.4
• 申請日: 2023-04-17
• 公開（公告）號: CN116383831A
• 公開（公告）日: 2023-07-04
• 發明（設計）人: 薛宇豪;杜冬冬;夏虞斌
• 申請（專利權）人: 上海交通大學
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/71;G06F21/33;G06F21/62
• 代理公司: 上海漢聲知識產權代理有限公司 31236
• 代理人: 胡晶

1.一種可信執行環境硬件資源動態細粒度管控方法，其特征在于，包括：

步驟S1：向機密分布式軟總線進行注冊，提供對應的域名和所能對外提供的TEE-Capability；

步驟S2：判斷所述域名下是否是第一次有設備發起注冊請求，如果是第一次，則先為所述域名對應的域創建一個Router中間件，每個域均需有一個對應的Router負責管理這個域下所有的設備；

步驟S3：創建完Router中間件后，設備向所述Router發起注冊請求，Router記錄下該設備的相關信息，若注冊成功，返回guid作為其唯一標識；此后，設備本地的monitor將機密計算硬件資源設置為未分配狀態；

步驟S4：當其他設備想要使用TEE硬件資源時，需接入所述機密分布式軟總線系統，再發出對應的請求，傳遞域名、需要申請的TEE-Capability大小；

步驟S5：由Router判斷當前域名下是否能夠直接提供相應大小的TEE-Capability，若發現不能在同一個安全設備上提供，則將不同安全設備上所申請的TEE-Capability進行合并，合并之后如果還是沒有符合要求的，則根據用戶的請求參數進行拆分再分別分配；如果上述操作都失敗，則返回錯誤；

步驟S6：分配完成后，相應的安全設備將所需的TEE-Capability的token通過安全信道傳遞給申請的設備，同時本地的monitor將機密計算硬件資源設置為已分配狀態；

步驟S7：設備申請TEE硬件資源成功后，基于token使用該TEE硬件資源，并基于TEE硬件資源進行安全應用的開發和運行，不同的TEE-Capability之間保障隔離；

步驟S8：設備主動選擇將自己擁有的TEE-Capability和其他設備共享，此時將對應的token通過安全信道傳遞給另一臺設備，之后這兩臺設備均通過token使用對應的安全硬件資源，且它們各自使用的硬件資源之間還是通過monitor來保障隔離性；

步驟S9：使用完成后向軟總線發出請求釋放當前TEE-Capability，之后能夠再重新分配給其他有相應需求的設備。

2.根據權利要求1所述的可信執行環境硬件資源動態細粒度管控方法，其特征在于，所述步驟S1中，向分布式軟總線進行注冊時需提供域名和TEE-Capability信息，所有的TEE-Capability均限定在一個域中，只有同一個域內的設備才能申請其他設備上的TEE-Capability。

3.根據權利要求2所述的可信執行環境硬件資源動態細粒度管控方法，其特征在于，在注冊和申請機密計算資源時，均以TEE-Capability為基礎的，所述TEE-Capability包括安全內存和可信執行環境內的CPU時間片；

其中，所述安全內存以M為單位，所述可信執行環境內的CPU時間片以mCPU為單位。

4.根據權利要求1所述的可信執行環境硬件資源動態細粒度管控方法，其特征在于，所述步驟S2中，只有第一次為一個域名注冊提供TEE硬件資源的設備時，才需要創建對應的Router中間件，所述中間件Router和域名一一對應，每個域下都有一個對應的Router負責管理和執行后續的分配操作，Router將記錄下其所負責設備的相關信息，包括其所提供TEE-Capability，同時為每個設備分配一個全局唯一的guid用于標識。

5.根據權利要求1所述的可信執行環境硬件資源動態細粒度管控方法，其特征在于，當一個設備成功向軟總線注冊完后，由monitor將當前安全硬件資源標記為未分配狀態；在成功完成安全硬件資源的分配后，通知對應的設備本次請求所消耗的TEE-Capability，之后該設備上的monitor就將當前安全硬件資源在其內部標記為已分配狀態。

6.根據權利要求1所述的可信執行環境硬件資源動態細粒度管控方法，其特征在于，所述步驟S4中，若一個設備想申請多塊TEE-Capability，添加一個參數用于表示申請的塊數，之后再把該多塊TEE-Capability用作獨立的安全資源區間，運行不同的安全應用。