CN102567662B - 用于处理数据的装置和方法 - Google Patents

Abstract

本发明公开了对于显示在非安全域中的主题图像的安全性设置。一种数据处理设备被提供有处理器核，其可以在安全域和非安全域的任一者中操作。存储在存储器的安全区域内的数据仅在处理器核在安全域中运行时才可被访问。用于存储将被显示的显示图像的帧缓冲器被存储在存储器的非安全区域内，存储器的非安全区域可由处理器核访问，而不管处理器核是在安全域还是在非安全域中，并且可由显示控制器访问。当主题图像被写入帧缓冲器时，用于主题图像的验证数据被存储在安全区域内。当用户输入被接收到时，在用户输入被认证之前，存储在主题图像被写入其中的经验证显示区处的所显示数据被读回，并被用来生成检查数据，该检查数据被与验证数据相比较。

Description

用于处理数据的装置和方法

技术领域

本发明涉及数据处理系统领域。更具体地，本发明涉及确保支持安全域和非安全域两者的数据处理系统中的主题图像的显示安全。

背景技术

提供诸如包括由英国剑桥的RAM有限公司设计的信任域(TrustZone)技术的处理器之类的数据处理系统是已知的，这些数据处理系统提供安全域和非安全域两者。当处理器在安全域中操作时，其可访问存储在存储器的安全区域和存储器的非安全区域两者内的数据，而当处理器在非安全域中操作时，其可访问存储在非安全区域内的数据，但不能访问存储在安全区域内的数据。在这些系统内显示图像以提示用户提供用户输入是已知的。作为一个示例，系统可以显示用于提示用户输入个人识别号(PIN)或口令以便认证交易的主题图像，该交易的细节被表示在该主题图像中，例如，安全图像可以表示交易的费用和与交易有关的资金的接收者，其中，用户被提示输入他们的PIN以便对该交易进行认证并且对资金转移进行授权。

在这样的系统中，潜在的安全性弱点在于可能如下这样危及主题图像的显示安全：用户被呈现以指定了不同细节(例如，交易量、接收者细节)的图像，并被提示输入他们的PIN以对随后以其它参数(例如，更高的交易量或者不同的接收者)进行的交易进行授权。解决该安全性弱点中的一个问题在于：尽管从US-B-7,509,502(Secure LCD Controller and Frame Store)知道了用于安全显示的专用硬件，然而许多广泛使用的数据处理系统并不具有用于限制对一个或多个帧缓冲器的访问的机制，一个或多个帧缓冲器用于驱动对于在安全域中或者以另外的可信方式运行的软件的显示。用于提供一个或多个安全帧缓冲器的机制的缺乏开启了这样的可能性：向用户示出的是表示与将由用户的用户输入进行授权的那些交易细节不同的交易细节的被操纵图像。

发明内容

从一个方面看，本发明提供了一种用于处理数据的装置，包括：

处理电路，被配置为在从安全域和非安全域中选出的一个中操作；

存储器，被耦合到所述处理电路并被配置为将安全数据存储在所述存储器的安全区域内并且将非安全数据存储在所述存储器的非安全区域内，所述安全数据在所述处理电路在所述安全域中操作时能由所述处理电路访问并且在所述处理电路在所述非安全域中操作时不能由所述处理电路访问，并且所述非安全数据在所述处理电路在所述安全域中操作时能由所述处理电路访问并且在所述处理电路在所述非安全域中操作时能由所述处理电路访问；

用户输入设备，被耦合到所述处理电路并且被配置为接收用户输入数据；以及

显示器，被耦合到所述处理电路并且被配置为显示取决于从存储在所述非安全区域内的帧缓冲器读取的图像数据的帧的显示图像；其中

所述处理电路被配置为在所述安全域中操作以将包括所述图像数据的帧的至少一部分的主题图像存储在所述帧缓冲器的经验证显示区内，并且将取决于所述主题图像的验证数据存储在所述安全区域内；以及

所述处理电路被配置为在所述安全域中操作，以从所述用户输入设备接收用户输入，并且当接收到所述用户输入时，读取存储在所述经验证显示区内的所显示数据，并且将取决于所述所显示数据的检查数据与所述验证数据相比较以确认所述所显示数据与所述主题图像匹配。

本技术提供了一种机制，通过该机制，主题图像被写入存储在非安全域内的帧缓冲器，而安全域存储验证数据，该验证数据在用户输入被接收到时用来通过确认从主题图像被写入的位置(经验证显示区)处的帧缓冲器读取的所显示数据与最初被写入该经验证显示区的主题图像相匹配，来验证该所显示数据。因此，如果在主题图像被写入该经验证显示区之后该 经验证显示区内的显示数据被更改，则当用户输入被接收到时检查数据将与验证数据不匹配。本技术使得能够在每次在安全域内接收到用户输入时判断所显示数据仍然与主题图像相匹配并且因此用户正对合适的主题图像作出响应并且经验证显示区内的所显示数据未被不当地更改。

在一些实施例中，用户输入设备可被配置为使得当用户生成用户输入时，如果所述处理电路正在所述非安全域中操作，则所述处理电路被切换为在所述安全域中操作，而不给非安全域对用户输入事件作出反应的机会。这种布置准许系统在等待用户输入的同时既能在非安全域中操作又能在安全域中操作，但是根据需要，确保设备被切换到安全域以使得经验证显示区内的所显示数据的验证可以从安全域内执行。

当接收到用户输入数据时的这种切换可以如下这样配置处理电路来执行：使得用户输入数据的接收引起中断信号的生成，该中断信号触发在安全域内运行的中断处理代码的运行。

在其它实施例中，处理电路可被配置为使得当所述处理电路正在所述安全域中操作时，其轮询所述用户输入设备以确定任何用户输入是否被接收到。因此，该设备在处于安全域中之前不处理任何用户输入，并且当处于安全域中时，还可以验证经验证显示区内的显示数据。

验证数据可以是由散列算法对主题图像生成的验证散列值，所述检查数据是由相同散列算法(或相关散列算法)对所述所显示数据进行操作而生成的检查散列值。这具有如下优点：减少用于向安全域内存储数据的需求。

在其它实施例中，验证数据可以是所述主题图像本身，主题图像的副本被存储在安全域内并且直接与所显示数据相比较以验证所显示数据与主题图像相匹配。

在许多系统中，显示控制器被耦合到显示器和存储器，该显示控制器被配置为从所述存储器读取图像数据的帧并且控制显示器显示取决于所述图像数据的帧的显示图像。所述显示控制器通常利用显示配置数据被配置，显示配置数据包括指定所述帧缓冲器在所述存储器内的存储位置以及该数据将如何被显示的数据。

在这样的系统的上下文中，通过提供如下处理电路可提高安全性，该处理电路被配置为当用户输入被接收到时，读取所述显示配置数据，以确认自所述主题图像被存储在所述经验证显示区内起所述显示配置数据没有以不可接受的方式被改变。这提供了对攻击的阻止，攻击例如通过改变到帧缓冲器的指针并同时依赖于安全域内的软件从存储器内原始主题图像仍然驻留的位置读取原始主题图像(即使，其未被用来驱动显示器)来试图修改显示给用户的图像。所准许的改变可以是视频重叠位置的改变，假设其未被移动到主题图像的上面的话。

应当被保护以防止对呈现给用户的显示的不希望操纵的显示控制器的配置参数的其它示例是显示图像的大小参数以及构成参数(例如，分层、窗口指针、透明度值，等等)。

在一些实施例中，该装置可经由数据网络被连接到远程处理装置，该远程处理装置向该装置提供用来显示主题图像的主题图像定义数据，主题图像是依据主题图像定义数据得出的。作为一个示例，主题图像定义数据可以是指定主题图像的BMP或PNG数据或者定义将要构成的主题图像的更多抽象数据(例如HTML数据)。

当处理电路在所述安全域中操作时，所述处理电路可以变换从所述远程处理装置接收到的所述主题图像定义数据，以生成与所述显示器相匹配形式的所述主题图像。因此，处理电路可以采用一般性主题图像定义数据，以使得该数据以特定于所关注的设备的形式(例如，与屏幕画面大小、显示分辨率、色彩能力等相匹配)被呈现。

如果检查数据与验证数据的比较结果(当发现匹配时)作为匹配确认指示经由数据网络被返回给远程处理装置，则可以提高安全性和审核交易的能力。因此，在远程处理装置内，可以保存如下记录：当用户输入被接收到时匹配被确认，并且因此向用户示出了所希望的主题图像而非某个被不当改变的图像。

所述主题图像可以根据存储在所述装置本身内的并由在所述安全域中操作的所述处理电路核实为未经修改的主题图像定义数据来形成。主题图像例如可以是对话图像，例如引出肯定响应或否定响应的图像，并且对主 题图像的正确显示的确认是必要的，以确保当事实上用户正被显示以与否定响应相符的图像时，用户不被误导为返回指示肯定的响应。

虽然将理解，用户输入设备可以采取许多不同形式，例如鼠标、指印检测器、执行面部识别的相机、捕获用户的图像的相机等，然而在一些实施例中，用户输入设备是被配置为捕获用户输入的击键的键操作用户输入设备。在该所上下文中，所述处理电路可被配置为当捕获到每次击键时，读取存储在所述经验证显示区内的所述所显示数据，以生成取决于所述所显示数据的所述检查数据并且将所述检查数据与所述验证数据相比较以确认所述所显示数据与所述主题图像相匹配。

所述键操作用户输入设备被配置为当捕获到击键时生成中断信号，所述中断信号触发在所述安全域内运行的中断处理例程的运行。该中断处理例程可以自己触发所述处理电路执行如上所述的对所显示数据的检查。

如果发生失配时，检查数据与验证数据的比较结果可以触发安全性违反响应，而当检查数据与验证数据适当地匹配时，可以进行安全处理操作。

将理解，在一些实施例中，可以提供多个帧缓冲器，例如，采用与单个显示器有关的多个帧缓冲器的系统、采用各自具有其自己的帧缓冲器的多个显示器的系统、或者采用多个显示器且每个显示器具有多个帧缓冲器的系统。本技术可应用于所有这些系统，并且可用来增强利用帧缓冲器中的一个或多个以及显示器中的一个或多个来显示的主题图像的安全性。

虽然其适当的显示被保护的主题图像可以采取多种不同形式，然而在一些实施例中，主题图像指示将被认证的交易的一个或多个交易参数，并且所述用户输入可以是用于对所关注交易进行认证的认证输入。认证输入例如可以是个人识别号或口令。

虽然在数据处理系统领域中具有一般应用，然而本技术在包含移动数据处理装置或被配置为接收电视信号的机顶盒的数据处理系统内具有特别运用。

虽然主题图像可以占据经验证显示区的一部分，然而优选地，主题图像完全填充该经验证显示区以使得不存在可挨着主题显示可能误导或迷惑 用户的图像数据的空隙/空区域。

从另一方面看，本发明提供了一种用于处理数据的装置，包括：

处理装置，用于在从安全域和非安全域中选出的一个中执行处理；

用于存储数据的存储器装置，该存储器装置被耦合到所述处理装置并被配置为将安全数据存储在所述存储器装置的安全区域内并且将非安全数据存储在所述存储器装置的非安全区域内，所述安全数据在所述处理装置在所述安全域中操作时能由所述处理装置访问并且在所述处理装置在所述非安全域中操作时不能由所述处理装置访问，并且所述非安全数据在所述处理装置在所述安全域中操作时能由所述处理装置访问并且在所述处理装置在所述非安全域中操作时能由所述处理装置访问；

用于接收用户输入数据的用户输入装置，该用户输入装置被耦合到所述处理装置；以及

用于显示显示图像的显示装置，该显示装置被耦合到所述处理装置并且被配置为显示取决于从存储在所述非安全区域内的帧缓冲器读取的图像数据的帧的显示图像；其中

所述处理装置被配置为在所述安全域中操作以将包括所述图像数据的帧的至少一部分的主题图像存储在所述帧缓冲器的经验证显示区内，并且将取决于所述主题图像的验证数据存储在所述安全区域内；以及

所述处理装置被配置为在所述安全域中操作，以从所述用户输入装置接收用户输入，并且当接收到所述用户输入时，读取存储在所述经验证显示区内的所显示数据，并且将取决于所述所显示数据的检查数据与所述验证数据相比较以确认所述所显示数据与所述主题图像匹配。

从又一方面看，本发明提供了一种处理数据的方法，包括以下步骤：

在从安全域和非安全域中选出的一个中操作处理电路；

将安全数据存储在存储器的安全区域内并且将非安全数据存储在所述存储器的非安全区域内，所述安全数据在所述处理电路在所述安全域中操作时能由所述处理电路访问并且在所述处理电路在所述非安全域中操作时不能由所述处理电路访问，并且所述非安全数据在所述处理电路在所述安全域中操作时能由所述处理电路访问并且在所述处理电路在所述非安全域 中操作时能由所述处理电路访问；

接收用户输入数据；以及

显示取决于从存储在所述非安全区域内的帧缓冲器读取的图像数据的帧的显示图像；其中

当所述处理电路在所述安全域中操作时，将包括所述图像数据的帧的至少一部分的主题图像存储在所述帧缓冲器的经验证显示区内，并且将取决于所述主题图像的验证数据存储在所述安全区域内；以及

当所述处理电路在所述安全域中操作时，从所述用户输入设备接收用户输入，并且当接收到所述用户输入时，读取存储在所述经验证显示区内的所显示数据，并且将取决于所述所显示数据的检查数据与所述验证数据相比较以确认所述所显示数据与所述主题图像匹配。

将从结合附图阅读的说明性实施例的以下详细描述中清楚本发明的以上和其它目的、特征和优点。

附图说明

图1示意性地图示出具有用于显示主题图像的显示器的并被耦合到远程处理服务器的移动数据处理设备；

图2是示意性地图示出与多处理环境内的交易处理线程相关联的处理的流程图；以及

图3是示意性地图示出与击键形式的用户输入的接收相关联的控制和处理的流程的流程图。

具体实施方式

图1示意性地图示出诸如移动电话之类的移动数据处理装置2，其经由诸如无线网络之类的数据网络4耦合到诸如银行服务器之类的远程处理服务器6。

该移动数据处理设备2包括都经由系统总线18相连的处理器核8、存储器10、显示控制器12、用户输入设备14和网络接口16。显示控制器12例如在LCD显示器上驱动显示图像20，以示出一显示，该显示包括显 示在经验证显示区内的并且指定将被授权的银行交易的细节的主题图像22。该主题图像22例如可以提示用户输入他们的PIN或者他们的口令并且向用户显示所关注的交易的细节，例如交易的值和/或交易的接收者。显示图像20还可以包括非安全元素，例如，都由非安全软件控制的影片数据的窗口24、电池状态指示符26和网络连接指示符28。

显示控制器12包括配置寄存器30，用于存储显示配置数据，例如，指定将被显示控制器使用的一个或多个帧缓冲器36的位置(存储器10内的起始存储器地址)、显示图像20的大小参数、指定显示图像20如何从存储在多个帧缓冲器36内的数据被构成的构成参数(例如，开窗口参数、分层参数、透明度参数、分辨率参数等)的数据。

存储器10存储将由处理器核8和显示控制器12访问的数据。存储器10包括非安全区域32和安全区域34。一个或多个帧缓冲器36以及用于执行非安全处理操作的应用程序被存储在该非安全区域32内。安全区域34存储验证数据、散列(hash)算法、击键中断处理程序和显示驱动器软件。处理器核8用作安全电路并且运行程序指令流。处理器核8在安全区域和非安全区域中的可选择的一个中操作。这些是处理器核8的硬件域状态，并且每个域可以包括多种操作模式，如用户模式、系统模式、特权模式、超级监督者管理程序(hypervisor)模式、等等。提供安全域和非安全域的系统的示例是由英国剑桥的RAM有限公司生产的信任域使能的处理器。当在非安全域中操作时，软件直接地或者通过非安全驱动器代码来与屏幕画面交互。当在安全域中操作时，处理器核8可以读写存储在安全区域34和非安全区域32两者内的数据。当在非安全区域中操作时，处理器核8可以读写存储在非安全区域32内的数据，但是不能读写存储在安全区域34内的数据。显示控制器12可以访问存储在非安全区域32内的数据，但是不能访问存储在安全区域34内的数据。因此，帧缓冲器36被存储在非安全区域32中。

用户输入设备14是用于输入击键的小键盘。当击键经由用户输入设备14被输入时，中断信号被生成，该中断信号触发处理器核8运行与击键输入相关联的中断处理代码，而使非安全操作环境没有对该击键作出反 应的机会。该中断处理代码是存储在安全区域34内的击键处理程序。由于该击键处理程序被存储在安全区域34内，因此防止其被恶意更改并且是可信的。

在验证击键时，如后面将描述的，从安全域内，自显示控制器12适当地读取显示配置参数，并且因此安全显示驱动器代码被存储在安全区域34内以使得其安全性可被确保。

安全区域34还存储散列算法，用于在主题图像22被写入帧缓冲器36中时生成将被存储在安全区域内的验证数据。散列算法可以在击键被接收时，再次被使用来通过从显示数据生成检查数据并将其与先前存储在安全区域内的验证数据相比较来检查显示主题图像的安全区内的所显示数据是否仍然与主题图像相匹配。安全区域34还存储指示显示有主题图像22的经验证显示区在显示图像20内的位置和构成参数的数据。

诸如银行服务器之类的远程处理服务器6经由数据网络4请求移动设备2显示主题图像22，以便提示用户输入认证码，例如将对被控制的交易进行认证的PIN号或口令。远程处理服务器6可以经由数据网络4向移动设备2提供主题图像定义数据38，该主题图像定义数据38将由在安全区域内运行的代码用来以表示将被认证的交易的形式生成主题图像22。主题图像定义数据例如可以是PNG数据或HTML数据，用于指定诸如交易的值、交易的各方、所需的交易类型等的参数。

图1示出了诸如移动电话之类的移动设备形式的示例实施例。诸如用于接收电视信号的机顶盒之类的其它实施例也是可以的。

图2是示意性地图示出根据本技术的与交易线程相关联的处理的流程图。将理解，在处理环境中，多个处理线程可以同时是活动的。处理器核8可以在服务于这些不同的处理线程时在安全区域和非安全区域之间来回切换。本技术包括这些可能性，并且所描述的用于检查主题图像的处理可以临时被中断，同时在此检查处理被恢复之前另一线程被运行。这样的切换不提供将使非安全活动能对输入事件作出反应的数据。

在步骤40，处理线程等待直到需要认证处理的交易被接收为止。在步骤42，移动设备2经由数据网络4从远程处理服务器6接收主题图像定义 数据38。在步骤44，主题图像定义数据38被变换为与显示20的特性相匹配的主题图像22。作为一个示例，主题图像定义数据可以是PGN数据，并且主题图像可以具有JPEG数据大小并且被配置为具有适合于显示在显示图像20内的形式。该变换还可以用于例如通过缩放、填补来确保主题图像完全填充该经验证显示区，从而确保没有空白区/空区等。

在步骤46，散列算法以验证散列值的形式生成针对变换后主题图像22的验证数据，并且将该验证散列值存储在安全区域34中。同时，从显示控制器12读出的显示配置数据30被存储在安全区域34内。在步骤48，变换后的主题图像22被写入存储在非安全区域32内部的帧缓冲器36中的经验证显示区(对应于图1中的主题图像22的轮廓)。在步骤50，该处理线程等待直到用于认证交易的所需用户输入完全被接收到为止，例如，如果期望四位的PIN号，则该处理线程等待直到四位被接收到为止，或者如果期望口令，则该处理线程等待直到返回输入(return input)被接收到为止。在步骤52，当完全接收到用户输入时，认证操作被执行。如果通过认证，则步骤54触发可信赖响应，而如果认证失败，则步骤56触发不可信赖响应(包括用信号传输认证失败)。

将理解，图2所示的所有处理步骤由在安全区域中操作的处理器核8执行，其中，处理器核8可访问安全区域34和非安全区域32两者内的数据。

图3示意性地图示出硬件和软件处理以及在接收到击键用户输入时执行的控制的流程。在步骤58，处理等待，直到击键输入被接收到为止。当击键输入被接收到时，步骤60从非安全域切换到安全域。如果系统已经在安全域中，则该步骤可被绕过。步骤62触发存储在安全区域34内的击键中断处理程序的运行。步骤64从显示控制器12读取显示配置数据。步骤66将在步骤64处读取的显示配置数据与先前在主题图像22被写入帧缓冲器36时存储在安全区域34内的显示配置数据相比较，以判断其是否以不可接受的方式被改变。如果不匹配，则安全性违反响应，例如生成警报消息、中止交易、锁定移动设备2等在步骤68处被执行。

如果在步骤66中判定所存储的显示配置数据与所读取的显示配置数 据相匹配，则处理前进到步骤70，在步骤70，从原本写入主题图像22的经验证显示区处的帧缓冲器36内读取所显示数据。该所显示数据在步骤72处经过散列算法以生成检查散列值。散列算法由处理器核8所运行的程序代码执行，其中该程序代码被存储在安全区域34内。步骤74将检查散列值与在图2的步骤46处存储的验证散列值相比较。如果检查散列值与验证散列值之间不匹配，则在步骤68处再次触发安全性违反响应。如果在步骤74处检查散列值与验证散列值之间相匹配，则步骤76用来接受所关注的击键，并且将该击键与任何之前的击键相连。步骤78然后从击键中断处理程序返回处理，并且如果系统原本在非安全域中操作，则步骤80执行从安全域回到非安全域的任何切换。

将理解，在其它实施例中，变换后主题图像的副本可被存储在安全区域34中，并且将该副本直接与所显示数据相比较以确保所显示数据未被改变。这将不需要使用散列算法。

虽然这里已参考附图详细描述了本发明的说明性实施例，然而将明白，本发明不限于这些精确的实施例，并且本领域技术人员可以在不脱离所附权利要求限定的本发明的范围和精神的情况下实现各种改变和修改。

Claims (22)

1.一种用于处理数据的装置，包括：

处理电路，被配置为在从安全域和非安全域中选出的一个中操作；

存储器，被耦合到所述处理电路并被配置为将安全数据存储在所述存储器的安全区域内并且将非安全数据存储在所述存储器的非安全区域内，所述安全数据在所述处理电路在所述安全域中操作时能由所述处理电路访问并且在所述处理电路在所述非安全域中操作时不能由所述处理电路访问，并且所述非安全数据在所述处理电路在所述安全域中操作时能由所述处理电路访问并且在所述处理电路在所述非安全域中操作时能由所述处理电路访问；

用户输入设备，被耦合到所述处理电路并且被配置为接收用户输入数据；以及

显示器，被耦合到所述处理电路并且被配置为显示取决于从存储在所述非安全区域内的帧缓冲器读取的图像数据的帧的显示图像；其中

所述处理电路被配置为在所述安全域中操作，以将包括所述图像数据的帧的至少一部分的主题图像存储在所述帧缓冲器的经验证显示区内，并且将取决于所述主题图像的验证数据存储在所述安全区域内；以及

所述处理电路被配置为在所述安全域中操作，以从所述用户输入设备接收用户输入，并且当接收到所述用户输入时读取存储在所述经验证显示区内的所显示数据，并且将取决于所述所显示数据的检查数据与所述验证数据相比较以确认所述所显示数据与所述主题图像匹配。

2.如权利要求1所述的装置，其中，所述用户输入设备被配置为使得当用户生成用户输入时，如果所述处理电路正在所述非安全域中操作，则所述处理电路被切换为在所述安全域中操作。

3.如权利要求1所述的装置，其中，当所述处理电路正在所述安全域中操作时，所述处理电路轮询所述用户输入设备以确定任何用户输入是否被接收到。

4.如权利要求1所述的装置，其中，所述验证数据是由散列算法对所述主题图像进行操作而生成的验证散列值，并且所述检查数据是由所述散列算法对所述所显示数据进行操作而生成的检查散列值。

5.如权利要求1所述的装置，其中，所述验证数据是所述主题图像，并且所述检查数据是所述所显示数据。

6.如权利要求1所述的装置，包括显示控制器，该显示控制器被耦合到所述显示器和所述存储器，并被配置为从所述存储器读取所述图像数据的帧并且控制所述显示器显示取决于所述图像数据的帧的所述显示图像，其中所述显示控制器通过至少指定所述帧缓冲器在所述存储器内的存储位置的显示配置数据而被配置。

7.如权利要求6所述的装置，其中，所述处理电路被配置为在所述用户输入被接收到时，读取所述显示配置数据，以确认自所述主题图像被存储在所述经验证显示区内起所述存储位置没有以不可接受的方式被改变。

8.如权利要求7所述的装置，其中，所述显示配置数据还指定所述显示图像的大小参数，并且所述处理电路被配置为当所述用户输入被接收到时，读取所述显示配置数据以确认自所述主题图像被存储在所述经验证显示区内起所述大小参数没有以不可接受的方式被改变。

9.如权利要求7所述的装置，其中，所述存储器存储多个帧缓冲器并且所述显示配置数据还指定用于控制如何从存储在所述多个帧缓冲器内的数据来构成所述显示图像的所述显示图像的构成参数，并且所述处理电路被配置为当所述用户输入被接收到时，读取所述显示配置数据以确认自所述主题图像被存储在所述经验证显示区内起所述构成参数没有以不可接受的方式被改变。

10.如权利要求1所述的装置，其中，所述装置经由数据网络被连接到远程处理装置，并且所述主题图像取决于从所述远程处理装置接收到的主题图像定义数据。

11.如权利要求10所述的装置，其中，当所述处理电路在所述安全域中操作时，所述处理电路变换从所述远程处理装置接收到的所述主题图像定义数据，以生成与所述显示器相匹配形式的所述主题图像。

12.如权利要求10所述的装置，其中，如果所述检查数据与所述验证数据的比较指示所述所显示数据与所述主题图像相匹配，则所述处理电路经由所述数据网络向所述远程处理装置返回匹配确认指示。

13.如权利要求1所述的装置，其中，所述主题图像取决于存储在所述装置内的并由在所述安全域中操作的所述处理电路核实为未经修改的主题图像定义数据。

14.如权利要求1所述的装置，其中，所述用户输入设备是被配置为捕获用户输入的击键的键操作用户输入设备，并且所述处理电路被配置为当所述用户输入的每次击键被捕获到时，读取存储在所述经验证显示区内的所述所显示数据，以生成取决于所述所显示数据的所述检查数据并且将所述检查数据与所述验证数据相比较以确认所述所显示数据与所述主题图像相匹配。

15.如权利要求14所述的装置，其中，所述键操作用户输入设备被配置为当捕获到击键时生成中断信号，所述中断信号触发由在所述安全域内操作的所述处理电路运行中断处理例程，所述中断处理例程至少触发所述处理电路生成取决于所述所显示数据的所述检查数据并且将所述检查数据与所述验证数据相比较以确认所述所显示数据与所述主题图像相匹配。

16.如权利要求1所述的装置，其中，如果所述检查数据与所述验证数据的比较指示所述所显示数据与所述主题图像不匹配，则所述处理电路触发安全性违反响应，并且如果所述检查数据与所述验证数据的比较指示所述所显示数据与所述主题图像相匹配，则所述处理电路准许继续安全处理操作。

17.如权利要求1所述的装置，包括多个帧缓冲器，每个帧缓冲器存储图像数据的帧，所述图像数据的帧中的至少一个包括所述主题图像，其中，所述显示图像取决于这多个图像数据的帧。

18.如权利要求1所述的装置，其中，所述主题图像指示将被认证的交易的一个或多个交易参数，并且所述用户输入是用于对所述交易进行认证的认证输入。

19.如权利要求18所述的装置，其中，所述认证输入是个人识别号和口令之一。

20.如权利要求1所述的装置，其中，所述装置是移动数据处理装置和被配置为接收电视信号的机顶盒之一。

21.如权利要求1所述的装置，其中，所述主题图像填充所述经验证显示区。

22.一种处理数据的方法，包括以下步骤：

在从安全域和非安全域中选出的一个中操作处理电路；

将安全数据存储在存储器的安全区域内并且将非安全数据存储在所述存储器的非安全区域内，所述安全数据在所述处理电路在所述安全域中操作时能由所述处理电路访问并且在所述处理电路在所述非安全域中操作时不能由所述处理电路访问，并且所述非安全数据在所述处理电路在所述安全域中操作时能由所述处理电路访问并且在所述处理电路在所述非安全域中操作时能由所述处理电路访问；

接收用户输入数据；以及

显示取决于从存储在所述非安全区域内的帧缓冲器读取的图像数据的帧的显示图像；其中

当所述处理电路在所述安全域中操作时，将包括所述图像数据的帧的至少一部分的主题图像存储在所述帧缓冲器的经验证显示区内，并且将取决于所述主题图像的验证数据存储在所述安全区域内；以及

当所述处理电路在所述安全域中操作时，从所述用户输入设备接收用户输入，并且当接收到所述用户输入时，读取存储在所述经验证显示区内的所显示数据，并且将取决于所述所显示数据的检查数据与所述验证数据相比较以确认所述所显示数据与所述主题图像匹配。