CN107679393B - 基于可信执行环境的Android完整性验证方法和装置 - Google Patents

Abstract

本发明涉及一种基于可信执行环境的Android完整性验证方法和装置。该方法包括：在TrustZone可信平台支持下，采用基于可信执行环境的安全操作系统开发可信软件，用以模拟硬件TPM芯片的PCR和NV寄存器；在所述安全操作系统加载Android系统内核时，利用软件模拟的NV验证Android系统内核的完整性；基于IMA完整性验证框架，利用软件模拟的PCR和NV验证Android系统的应用层的完整性。本发明利用TrustZone可信环境，用软件方式模拟硬件设备，将原本仅适用于PC端的IMA完整性验证方案应用于移动端，能够改善移动平台完整性验证发展相对滞后、薄弱的局面。

Description

基于可信执行环境的Android完整性验证方法和装置

技术领域

本发明涉及移动终端可信计算技术领域，主要涉及Android平台的完整性验证，更具体地是涉及基于TrustZone可信执行环境的Android平台系统层及应用层的完整性验证方法和装置。

背景技术

近年来随着科技的发展，移动智能手机的用户数量与日剧增，其应用领域也不断扩展，人们越来越倾向于使用移动设备来获取信息以及处理各类事务，例如利用手机查收邮件、网上购物、手机银行转账等。伴随着智能手机应用领域的不断拓展，其导致的安全性问题已经不容忽视，手机安全已经成为了一个重大课题。然而目前已有的安全保护机制如杀毒软件、系统防护等多少存在一些弊端。杀毒软件只能对已知的病毒进行查杀，对于新病毒则存在滞后性，而且杀毒软件本身可能存在漏洞。操作系统防护，可以加强对各类资源的访问限制，较大提升系统的安全性，但是操作系统本身非常庞大，必然存在各种缺陷或漏洞。

可信计算技术能够克服以上安全保护机制的不足，但是在移动终端领域发展缓慢。可信技术往往都是基于TPM(Trusted Platform Module，)规范，对于PC领域不存在问题，但在移动终端上缺少必须的芯片支持。替换已有设备，增加所需芯片，势必带来成本提高、体积增加等问题。因此，TPM规范在移动端的应用一直受到局限，不能满足移动终端迅猛发展下对安全的迫切需求。

ARM TrustZone技术因为是硬件生产商直接开发并推动，具有天然的发展和推广优势。它提供了一种安全隔离的运行环境，可建立独立于操作系统的安全模块，将涉及到用户敏感数据的安全应用程序和不安全的运行环境隔离开来，可避免用户敏感数据受到恶意软件的攻击。

检索发现，中国专利申请CN201510428961.7公开了一种基于TPM细粒度权限的Android系统安全增强系统及方法，通过细粒度隐私权限分配模块改变以往粗粒度权限控制的缺点，实现了多应用多权限分配策略；通过TPM模块，能够实现隐私权限的可信存储、可信验证和可信报告，以TPM为信任根，通过信任链来保证数据的安全性,阻止恶意应用或进程提升权限访问其他应用或进程的隐私数据,安全机制强。该方法充分利用了TPM完整性验证原理，克服了Android平台现有权限管理粗糙、安全性无法满足用户需求的缺陷。但是该方法依赖于TPM硬件模块，无法大范围推广应用到现有设备。

发明内容

本发明解决的技术问题：针对Android系统安全性问题，提供一种基于可信执行环境的Android完整性验证方法和装置，能够对Android系统的内核层、应用层进行完整性验证，并且提供了一种安全隔离的运行环境，可避免用户敏感数据受到恶意软件的攻击。

本发明采用的的技术方案如下：

一种基于可信执行环境的Android完整性验证方法，该方法利用TrustZone可信环境，通过软件模拟PCR(Platform Configuration Register，平台配置寄存器)和NV(Non-Volatile storage，非易失存储)芯片，将成熟应用于PC系统的TPM机制应用于Android系统，包括以下步骤：

S1、在TrustZone可信平台支持下，采用基于可信执行环境的安全操作系统(如T6安全系统)开发可信软件，用以模拟硬件TPM芯片的PCR和NV寄存器；

S2、在所述安全操作系统加载Android系统内核时，利用软件模拟的NV验证Android系统内核的完整性；

S3、基于IMA完整性验证框架，利用软件模拟的PCR和NV验证Android系统的应用层的完整性。

进一步地，所述步骤S1中开发可信软件模拟硬件TPM芯片的PCR和NV寄存器，使软件模拟PCR和NV具有防篡改特性，具体实现如下：

S11、对开源系统OpenPTS获取到的PCR值采用sha1算法进行扩展，得到PCR扩展值；

S12、对PCR扩展值进行AES加密，得到PCR扩展值的密文，保存到所述安全操作系统的软件模拟PCR中；

S13、对PCR扩展值采用MD5算法处理，得到PCR扩展值的MD5值；

S14、对PCR扩展值的MD5值进行AES加密，得到PCR扩展值的MD5值的密文，保存到所述安全操作系统的软件模拟PCR中；

S15、读取软件模拟PCR中的PCR扩展值时，会对其进行校验，以保证完整性，进行校验的具体方法是：首先对PCR扩展值的密文和PCR扩展值的MD5值的密文进行解密，得到的明文分别为pcr_extend和pcr_extend_md5；然后对pcr_extend重新求MD5值，记为pcr_extend_check；比较pcr_extend_check与pcr_extend_md5，相同则说明PCR扩展值具有完整性，不同则说明存在篡改问题；

S16、Android系统运行时，IMA度量框架维护一个链表IML，IML中的每条记录为敏感操作时的一次度量结果，即一个文件的sha1值。在Android系统运行前，将全部待度量文件的全路径、文件的sha1度量基准值采用AES加密后，保存到所述安全操作系统的软件模拟NV中；

S17、对度量基准值采用MD5算法处理，得到度量基准值的MD5值，并用AES算法加密，得到度量基准值的MD5值的密文，保存到所述安全操作系统的软件模拟NV中；

S18、读取软件模拟NV中的度量基准值时，会对其进行校验，以保证完整性，进行校验的方法是：首先对度量基准值的密文和度量基准值的MD5值的密文进行解密，得到的明文分别为iml和iml_md5；然后对iml重新求MD5值，记为iml_check；比较iml_check与iml_md5，相同则说明度量基准值具有完整性，不同则说明存在篡改问题。

进一步地，所述步骤S2中验证内核完整性的具体实现为：

S21、获取内核代码的位置和大小，具体原理为：所述安全操作系统启动过程中加载Android内核代码，即在src/main.c中的monitor_preinit()函数中对全局变量ns_world_binfo进行赋值，来指定内核代码的位置和大小；

S22、利用S21中获取的内核代码位置和大小，采用MD5算法求内核的MD5值；

S23、将最初的计算的内核MD5值作为基准值，存储在所述安全操作系统中的NV模拟软件中；

S24、每次Android系统启动时计算内核MD5值，并与基准值对比，相同则内核具有完整性，不同则内核被篡改。

进一步地，所述步骤S3中所述验证Android系统应用层完整性的具体实现为：

S31、在Android系统内核编译前，将Linux内核配置为IML完整性验证功能使能；

S32、Android系统启动后，IMA在应用程序执行、动态链接库加载、内核模块加载时将相关代码或数据进行度量，这些度量结果组成一个度量列表IML；

S33、通过OpenPTS获取IMA每次度量得到的度量值，按照步骤S1所述的方法扩展到软件模拟PCR中，用于验证IML的完整性；

S34、将IML中的度量值依次采用sha1算法扩展，并与软件模拟PCR中的PCR扩展值比较，一致则说明IML具有完整性；

S35、在IML完整的前提下，将IML中的度量值与软件模拟NV中保存的基准值比较，一致则证明Android系统应用层完整可信。

本发明中所述安全操作系统可以采用T6安全系统，也可采用高通的QSEE、ARM的Trustonic、Linaro开源的OPTEE等基于TEE(Trust Execution Environment，可信执行环境)的安全操作系统。本发明使用的sha1算法、AES算法、MD5算法可替代为RSA、DES等加密算法。

本发明还提供一种基于可信执行环境的Android完整性验证装置，其包括：

软件模拟单元，用于在TrustZone可信平台支持下，采用基于可信执行环境的安全操作系统开发可信软件，以模拟硬件TPM芯片的PCR和NV寄存器；

内核完整性验证单元，用于在所述安全操作系统加载Android系统内核时，利用软件模拟的NV验证Android系统内核的完整性；

应用层完整性验证单元，用于基于IMA完整性验证框架，利用软件模拟的PCR和NV验证Android系统的应用层的完整性。

本发明与现有技术相比的优点在于：

(1)能够对Android系统的内核层、应用层进行完整性校验，具有主动防御性。

(2)利用TrustZone可信环境，无需依赖TPM硬件设备，更利于推广应用。

(3)提供了一种安全隔离的运行环境，可建立独立于操作系统的安全模块，将涉及到用户敏感数据的安全应用程序和不安全的运行环境隔离开来，可避免用户敏感数据受到恶意软件的攻击。

附图说明

图1为本发明的架构图；

图2-1、图2-2为本发明中软件模拟PCR原理图，其中图2-1表示PCR值加密保存过程，图2-2表示PCR值读取校验过程；

图3-1、图3-2为本发明中软件模拟NV原理图，其中图3-1表示多条记录的加密保存过程，图3-2表示多条记录的读取校验过程；

图4-1、图4-2为本发明中IML可信原理图，其中图4-1表示IML列表扩展保存到软件模拟PCR的过程，图4-2表示校验IML列表是否可信的过程。

具体实施方式

下面结合附图和具体实施例对本发明作进一步详细的描述。

本实施例提供一种基于进程通信的Android应用程序权限滥用检测方法，包括以下步骤：

S1、在TrustZone可信平台支持下，基于T6安全系统开发可信软件，模拟硬件TPM芯片的PCR和NV寄存器。其中T6安全系统是指瓶钵信息科技核心团队自主研发，专为安全设计的操作系统和可信执行环境(Trusted Execution Environment，TEE)平台，通过利用芯片级的隔离技术ARM TrustZone和现代操作系统最先进的防护机制有效防止敏感信息泄漏，在确保系统开放性的同时保证操作系统本身以及承载的应用程序、生物特征、密码、文件等的安全。

如图1所示的系统架构，硬件上基于ARM TrustZone技术，通过隔离所有硬件和软件资源，分离出两个并行执行环境——非安全的普通执行环境和安全可信任的安全环境，即图中的“普通世界”和“安全世界”；图中的TrustZone监控器(TrustZone Monitor)用于控制普通世界与安全世界之间的转换；图中的TAs(Trusted Apps)表示可信应用。通过可信软件模拟硬件PCR和NV是后续验证Android系统内核完整性和应用层完整性的基础：内核验证、IMA验证的基值、关键值等，需要保存在PCR或NV中，以防止篡改。从原理上说，PCR与NV软件模拟的实现是利用T6作为可信计算的平台(如图1右半部分所示安全世界组成)，对PCR以及NV文件内容进行加解密、哈希校验、以及一系列繁琐的字符处理的组合操作。具体实现如下：

首先，是PCR软件模拟实现过程，原理如图2-1、图2-2所示。PCR值是动态变化的，需要具备扩展能力(随着系统运行，每次IMA度量产生的值，都要向PCR中扩展)。如图2-1所示，这里采用sha1算法扩展，将原PCR值用新产生的度量值扩展，得到新的PCR值。优点是，新的PCR扩展值与原PCR值长度相同，数据量不会增多，充分利用了sha1算法的压缩性(随着系统运行，IMA度量次数大量增加，此优点显著体现)。接下来，将PCR扩展值采用MD5算法加密，并将PCR扩展值和PCR扩展值的MD5值(通过这个冗余数据做校验)，分别采用AES算法加密，同时保存到T6安全系统的软件模拟PCR中。如图2-2所示，当需要读取PCR值时，将软件模拟PCR中保存的两个值分别做AES解密，得到PCR扩展值和PCR扩展值的MD5值，如果前者经过MD5运算可以得到后者，就说明数据没有被篡改，是可信的。

然后，是NV软件模拟实现过程，原理如图3-1、图3-2所示。NV软件模拟的原理与PCR软件模拟类似，也是先通过sha1算法对数据加密、压缩；然后求得MD5值用于校验；将两个值分别做AES加密，保存到安全世界中的NV可信软件中。只不过，在NV中保存的数据记录可能是多条，在做AES加密、解密时，是逐条进行的；MD5加密时，是全部记录共同求MD5值。

S2、在T6安全系统加载Android内核时，验证系统内核完整性。

在T6安全系统启动完成之后，会跳转到安全世界，启动Android的内核。通过对T6启动过程的源码分析可知，普通世界Android内核镜像的加载是在src/main.c文件中的monitor_preinit()函数中实现的，在该函数中会对全局变量ns_world_binfo进行赋值，来指定内核代码的位置和大小，然后将拷贝Android内核代码到指定的位置。在T6启动完毕之后会切换到普通世界，进而执行Android的内核代码。通过以上分析，我们可以在拷贝Android内核代码之前，对Android的内核镜像进行度量，以此来确定镜像的完整性。详细步骤为：

S21、通过T6安全系统src/main.c的monitor_preinit()函数中，对全局变量ns_world_binfo进行赋值的操作，获取Android内核代码的位置和大小；

S22、利用S21中获取的内核代码位置和大小，采用MD5算法求内核的MD5值；

S23、将最初的计算的内核的MD5值作为基准值，存储在T6安全系统中的NV模拟软件中(NV模拟软件的实现原理，详见S1)；

S24、每次Android系统启动时计算内核的MD5值，并与基准值对比，相同则内核具有完整性，不同则内核被篡改。

S3、基于IMA完整性验证框架，验证Android系统的应用层完整性。

Android应用层完整性度量策略是基于完整性验证框架IMA的。利用Android系统中的Linux内核已经实现的IMA模块进行度量，然后再通过T6提供的可信环境，设计出一款模拟TPM中PCR以及NV存储区的可信应用(见前文步骤S1中的方法)，将度量值扩展到可信应用提供的PCR中，最后再比较PCR以及NV存储区中的基准值，得到评估结果。为了达到这个目的，还需要做的工作就是将IMA生成的度量结果与可信应用相连接，本实施例中使用的是开源系统OpenPTS。具体实现步骤为：

S31、在Android系统内核编译前，将Linux内核配置为IML完整性验证功能使能；

S32、Android系统启动后，IMA在应用程序执行、动态链接库加载、内核模块加载时将相关代码或数据进行度量，这些度量结果组成一个度量列表IML，系统度量链扩展到应用层，如图4-1所示；

S33、通过OpenPTS获取IMA每次度量得到的度量值，按照步骤S1所述的方法扩展到软件模拟PCR中，用于验证IML的完整性，如图4-1所示，图中文件1～n表示系统运行时加载和执行的应用程序、动态链接库、内核模块等文件，有敏感操作时，激发一次IMA度量，得到度量值1～n，PCR扩展值1～n存储在PCR模拟软件中，最终只保存一个最新的PCR扩展值；PCR模拟软件的一系列加密运算保证了PCR扩展值具有防篡改性能；

S34、将IML中的度量值依次采用sha1算法扩展，并与软件模拟PCR中的PCR扩展值比较，一致则说明IML具有完整性，如图4-2所示；

S35、在IML完整的前提下，将IML中的度量值与软件模拟NV中保存的基准值比较，一致则证明Android系统应用层完整可信。

本发明未详细阐述部分属于本领域技术人员的公知技术。

本发明中使用的sha1算法、AES算法、MD5算法可替代为RSA、DES等加密算法。T6安全系统可替代为高通的QSEE、ARM的Trustonic、Linaro的开源的OPTEE等基于TEE(TrustExecution Environment，可信执行环境)的安全操作系统。

以上所述，仅为本发明中的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉该技术的人在本发明所揭露的技术范围内，可理解想到的变换或替换，都应涵盖在本发明的包含范围之内，因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims (7)

1.一种基于可信执行环境的Android完整性验证方法，其特征在于，包括以下步骤：

S1、在TrustZone可信平台支持下，采用基于可信执行环境的安全操作系统开发可信软件，用以模拟硬件TPM芯片的PCR和NV寄存器，通过可信软件模拟的PCR和NV具有防篡改特性；

S2、在所述安全操作系统加载Android系统内核时，利用软件模拟的NV验证Android系统内核的完整性；

S3、基于IMA完整性验证框架，利用软件模拟的PCR和NV验证Android系统的应用层的完整性；

步骤S2中所述验证内核完整性的具体实现为：

S21、获取内核代码的位置和大小，具体原理为：所述安全操作系统启动过程中加载Android内核代码，即在src/main.c中的monitor_preinit()函数中对全局变量ns_world_binfo进行赋值，来指定内核代码的位置和大小；

S22、利用S21中获取的内核代码位置和大小，采用MD5算法求内核的MD5值；

S23、将最初的计算的内核MD5值作为基准值，存储在T6系统中的NV模拟软件中；

S24、每次Android系统启动时计算内核MD5值，并与基准值对比，相同则内核具有完整性，不同则内核被篡改；

步骤S3中所述验证Android系统应用层完整性的具体实现为：

S31、在Android系统内核编译前，将Linux内核配置为IML完整性验证功能使能；

S32、Android系统启动后，IMA在应用程序执行、动态链接库加载、内核模块加载时将相关代码或数据进行度量，这些度量结果组成一个度量列表IML；

S33、通过OpenPTS获取IMA每次度量得到的度量值，按照步骤S1所述的方法扩展到软件模拟PCR中，用于验证IML的完整性；

S34、将IML中的度量值依次采用sha1算法扩展，并与软件模拟PCR中的PCR扩展值比较，一致则说明IML具有完整性；

S35、在IML完整的前提下，将IML中的度量值与软件模拟NV中保存的基准值比较，一致则证明Android系统应用层完整可信。

2.根据权利要求1所述基于可信执行环境的Android完整性验证方法，其特征在于，软件模拟PCR的防篡改特性的实现方法为：

S11、对OpenPTS获取到的PCR值采用sha1算法进行扩展，得到PCR扩展值；

S12、对PCR扩展值进行AES加密，得到PCR扩展值的密文，保存到所述安全操作系统的软件模拟PCR中；

S13、对PCR扩展值采用MD5算法处理，得到PCR扩展值的MD5值；

S14、对PCR扩展值的MD5值进行AES加密，得到PCR值扩展值的MD5值的密文，保存到所述安全操作系统的软件模拟PCR中；

S15、读取软件模拟PCR中的PCR扩展值时，对其进行校验，以保证完整性。

3.根据权利要求2所述基于可信执行环境的Android完整性验证方法，其特征在于，步骤S15所述进行校验的方法为：首先对PCR扩展值的密文和PCR扩展值的MD5值密文解密，得到的明文分别为pcr_extend和pcr_extend_md5；然后对pcr_extend重新求MD5值，记为pcr_extend_check；比较pcr_extend_check与pcr_extend_md5，相同则说明PCR扩展值具有完整性，不同则说明存在篡改问题。

4.根据权利要求1所述基于可信执行环境的Android完整性验证方法，其特征在于，软件模拟NV的防篡改特性的实现方法为：

S16、Android系统运行时，IMA度量框架维护一个链表IML，每条记录为敏感操作时的一次度量结果，即一个文件的sha1值；在Android系统运行前，将全部待度量文件的全路径、文件的sha1度量基准值采用AES加密后，保存到所述安全操作系统的软件模拟NV中；

S17、对度量基准值采用MD5算法处理，得到度量基准值的MD5值，并用AES算法加密，得到度量基准值的MD5值的密文，保存到所述安全操作系统的软件模拟NV中；

S18、读取软件模拟NV中的度量基准值时，会对其进行校验，以保证完整性。

5.根据权利要求4所述基于可信执行环境的Android完整性验证方法，其特征在于，步骤S18所述进行校验的方法为：首先对度量基准值的密文度量基准值的MD5值密文解密，得到的明文分别为iml和iml_md5；然后对iml重新求MD5值，记为iml_check；比较iml_check与iml_md5，相同则说明度量基准值具有完整性，不同则说明存在篡改问题。

6.根据权利要求1所述基于可信执行环境的Android完整性验证方法，其特征在于，所述基于可信执行环境的安全操作系统为下列中的一种：T6安全系统、高通的QSEE、ARM的Trustonic、Linaro的开源的OPTEE。

7.一种采用权利要求1～6中任一权利要求所述方法的基于可信执行环境的Android完整性验证装置，其特征在于，包括：

软件模拟单元，用于在TrustZone可信平台支持下，采用基于可信执行环境的安全操作系统开发可信软件，以模拟硬件TPM芯片的PCR和NV寄存器；

内核完整性验证单元，用于在所述安全操作系统加载Android系统内核时，利用软件模拟的NV验证Android系统内核的完整性；

应用层完整性验证单元，用于基于IMA完整性验证框架，利用软件模拟的PCR和NV验证Android系统的应用层的完整性。

Images