CN103220300A - 一种支持动态远程证明的移动终端系统 - Google Patents

Abstract

一种支持动态远程证明的移动终端系统，包括：控制流控制内核模块，在移动终端的操作系统上实现控制流模型，并且基于控制流模型和安全策略对移动终端系统中的主体属性、客体属性、权能条件、约束条件和环境条件进行控制；混合远程证明模块，同时支持基于模型行为的远程证明方法和基于多次度量的远程证明方法，对系统中的主体属性、客体属性、权能条件、约束条件和环境条件进行远程验证；证明交互模块，将混合远程证明模块采集的证明信息发送到服务器进行验证并且接收服务器的验证结果信息。本发明所述的移动终端系统能够把基于模型行为的远程证明方法和基于多次度量的远程证明方法同时应用到移动终端系统中，加强了移动终端系统的可信性和安全性。

Description

一种支持动态远程证明的移动终端系统

技术领域

本发明涉及电子信息技术领域，特别涉及一种支持动态远程证明的移动终端系统。

背景技术

验证计算环境安全可信是可信计算的一个重要目标。随着技术发展，移动终端上的安全威胁也在不断加大。研究表明，仅在Android平台上，2011年每月就有80万人感染恶意软件。传统的防病毒、入侵检测等安全机制也都依赖底层操作系统的安全支持。可信计算技术通过对计算机从可信根到可信硬件，到可信操作系统，到可信应用的整个计算系统的整体安全增强，达到确保计算机安全可靠的目的。可信计算中的“可信”包含了安全和可靠，“可信证明”就是要确保系统“行为始终符合预期”。远程证明（Remote Attestation）是可信计算技术提供的主要功能之一，其主要是利用可信平台来保护和实现服务器对客户端计算环境的可信验证。控制流模型CFMAP（control flow modelbased on action policy）是一种基于用户行为安全策略的，能够对主、客体属性、权能、环境、约束等动态条件进行综合判定的，在某段任务执行期间实施连续控制、条件多变控制和行为关联控制的新型访问控制模型。基于模型行为的远程证明方法是指通过控制流模型CFMAP实施权能条件、环境条件、约束条件综合判定和连续控制的，能在由于条件改变而引起的控制变化时进行度量和远程证明的动态证明方法。基于多次度量的远程证明方法是指通过控制流模型CFMAP实施主体属性、客体属性和环境条件综合判定和连续控制的，能在控制多个点和约束条件发生时进行多次度量和远程证明的静态属性证明方法。然而现有技术中没有能够把基于模型行为的远程证明方法和基于多次度量的远程证明方法同时应用到移动终端系统中，因此带来了没有进一步提高移动终端系统的可信性和安全性的问题。

发明内容

本发明提供一种支持动态远程证明的移动终端系统，用于解决现有技术中没有能够把基于模型行为的远程证明方法和基于多次度量的远程证明方法同时应用到移动终端系统中，因此带来的没有进一步提高移动终端系统的可信性和安全性的问题。

本发明提供的一种支持动态远程证明的移动终端系统，包括：

控制流控制内核模块，在移动终端的操作系统上实现控制流模型，并且基于控制流模型和安全策略对移动终端系统中的主体属性、客体属性、权能条件、约束条件和环境条件进行控制；

混合远程证明模块，同时支持基于模型行为的远程证明方法和基于多次度量的远程证明方法，对系统中的主体属性、客体属性、权能条件、约束条件和环境条件进行远程验证；

证明交互模块，将混合远程证明模块采集的证明信息发送到服务器进行验证并且接收服务器的验证结果信息。

进一步，本发明所述的移动终端系统，所述证明交互模块通过在移动终端系统上实现应用代理Agent，来实现远程验证。

进一步，本发明所述的移动终端系统，所述混合远程证明模块进行远程验证的判断顺序从先到后分别是：主体属性、权能条件、客体属性、环境条件、约束条件。

进一步，本发明所述的移动终端系统，还包括：

移动可信模块，通过预先设置的算法对用于远程验证的证明信息实施封装保护。

进一步，本发明所述的移动终端系统，所述移动可信模块的封装保护方式包括以下任意一项：加密、杂凑和签名。

进一步，本发明所述的移动终端系统，所述移动可信模块的封装保护方式是按照杂凑、加密、杂凑、签名的顺序逐层进行。

进一步，本发明所述的移动终端系统，还包括：

多干系人证明协议模块，用于控制多干系人证明协议。

进一步，本发明所述的移动终端系统，所述多干系人证明协议支持如下证明方法：

多个服务提供商服务器发起请求，移动终端直接响应；

或者由移动终端主动发起，服务器提供商服务器响应后，再由服务器向移动终端发起证明请求，移动终端再响应并远程证明。

进一步，本发明所述的移动终端系统，还包括：

硬件隔离架构模块，将移动终端系统上分成安全域子系统和普通域子系统；

安全域子系统定义为高安全等级，普通域子系统定义为低安全等级；

安全域子系统部署证明交互模块、移动可信模块、多干系人证明协议模块、混合远程证明模块；

普通域子系统部署移动终端的操作系统。

进一步，本发明所述的移动终端系统，所述硬件隔离架构模块的安全域子系统单向访问普通域子系统。

进一步，本发明所述的移动终端系统，安全域子系统和普通域子系统采用分时机制运行，不能同时运行。

进一步，本发明所述的移动终端系统，安全域子系统和普通域子系统之间共用存储地址控制。

本发明提供的一种支持动态远程证明的移动终端系统能够把基于模型行为的远程证明方法和基于多次度量的远程证明方法同时应用到移动终端系统中，通过支持动、静属性混合的远程证明方法实现对移动终端计算环境更加准确、丰富的可信验证，加强了移动终端系统的可信性，基于移动CPU的隔离架构则解决了可信机制自身的安全防护问题。

附图说明

图1为本发明实施例的移动终端系统的系统框图；

图2为本发明实施例的移动终端系统以控制时间为横轴时的控制示意图；

图3为本发明实施例的移动终端系统以主、客体间信息流向为横轴时的控制示意图；

图4为本发明实施例的移动终端系统制订、分发、实施控制和证明模型安全策略证书的流程示意图；

图5为本发明实施例的移动终端系统当控制流模型中由于条件改变而引起的控制变化时进行远程证明的流程示意图；

图6为本发明实施例的移动终端系统的控制流模型多次度量和远程证明的流程示意图；

图7为本发明实施例的移动终端系统的多干系人远程证明协议架构的示意图；

图8为本发明实施例的移动终端系统的隔离架构的示意图。

具体实施方式

为了更好地理解本发明，下面结合附图与具体实施方式对本发明作进一步描述。

本发明实施例提供的一种支持动态远程证明的移动终端系统，包括：

控制流控制内核模块，在移动终端的操作系统上实现控制流模型，并且基于控制流模型和安全策略对移动终端系统中的主体属性、客体属性、权能条件、约束条件和环境条件进行控制。

图2为本发明实施例的移动终端系统以控制时间为横轴时的控制示意图，体现了系统控制过程中连续、多变和相互约束的特点。如图1所示，所述控制流控制内核模块是指在移动终端的操作系统上实现控制流模型CFMAP，并基于控制流模型和安全策略能够对系统进行综合判定和连续控制的操作系统内核模块。控制流安全系统内核改变了传统的访问控制的基于主、客体间的权限关系矩阵的限制，在主、客之间的“信息流”的纬度中增加了操作系统主体，通过增加环境条件作为操作系统主体时的属性，通过增加操作系统服务能力来扩展权能条件，通过对任务执行的控制流过程不同主体间的约束条件来支持更加复杂的用户行为安全策略的控制。在控制流安全系统内核中，系统通过对控制流模型的主体属性、客体属性、权能条件、环境条件、约束条件的综合判定和连续控制，实现更丰富和准确的策略控制。

通过这种支持动态远程证明的移动终端系统，可以使系统在保持传统访问控制模型对主体和客体静态属性的控制，例如对用户主体角色，文件客体数据完整性等之外，增加对主、客体和操作系统的更加丰富的动、静态属性的动态控制，例如进程主体的执行次数，某文件的有效时间等，使控制能够满足系统连续、多变的特点。通过这种支持动态远程证明的移动终端系统，可以使系统增加对主体行为之间关联约束的控制，例如执行“只有在联结安全网络时才能进行某关键业务的办理”等策略，使控制能够满足系统相互约束的特点。

移动终端的操作系统采用移动终端中主流操作系统，在系统内核中实现控制流控制，能够在系统服务实施的多点进行控制，通过策略设定，能够支持包括阻断某关键文件打印、不允许某信息发送到网络、不允许某高等级文件刻录等控制。

控制流模型还能实现系统中“主体到操作系统”，然后再由“操作系统到客体”的异步访问控制。在实际的系统中，尤其是Windows等操作系统中，其是基于事件驱动，是基于时间片轮转方式工作，很多进程发出的消息，并不是立即得到系统响应。在实际系统还存在“操作系统到客体”的重复发起，多次执行的问题。在实际系统中，有的主体访问请求发出后，当其对客体的“执行”发生时，主体都可能已经“消失”。在控制流安全系统中，通过将操作系统作为系统的“缺失”主体来进行控制，并通过细化以操作系统作为主体的对客体的控制策略，可以实现实际主、客体之间异步访问的安全控制。

控制流模型还能实现系统中权能信息变化情况下的访问控制。在实际的系统中，主、客体之间的权能不会经常变化，但是会发生撤销的情况。在控制流安全系统中，通过对扩展权能条件进行连续控制，实现由权能变化引起的控制变化。

控制流模型还能实现系统中由于环境条件改变而引起的访问控制。在实际的系统中，操作系统的主体属性，即环境条件会发生变化。在控制流安全系统中，通过对环境条件的连续控制，实现由环境变化引起的控制变化。

图3为本发明实施例的移动终端系统以主、客体间信息流向为横轴时的控制示意图，体现了每一次主、客体的访问控制，都是系统对主体属性、客体属性、环境条件、权能条件和约束条件的综合判定。这些判定因素都包含静态属性和动态属性，尤其是环境条件、约束条件和主、客体属性。如图3所示，通过在横轴上的两个控制三角形，分别实现对主体属性判断和对其他所有属性的综合判定。在实际的控制流程中，首先按照策略对主体属性是否符合进行判断，在通过判断后，再按照权能、客体属性、环境条件、约束条件这个顺序进行判断，最后形成综合判定。如图3所示，通过在引入时间轴，实现对控制流的连续控制。在实际的控制流程中，判定结果随着主体属性、客体属性、环境条件、权能条件和约束条件的变化而变化，使最后的控制符合用户对系统行为的安全要求。

混合远程证明模块，同时支持基于模型行为的远程证明方法和基于多次度量的远程证明方法，对系统中的主体属性、客体属性、权能条件、约束条件和环境条件进行远程验证。

所述基于模型行为的远程证明方法是指通过控制流模型CFMAP实施权能条件、环境条件、约束条件综合判定和连续控制的，能在由于条件改变而引起的控制变化时进行度量和远程证明的动态证明方法。所述的模型行为是指在系统中实现的控制流模型按照安全策略的规则进行的系统控制，其包括在策略和条件都满足时允许主体对客体的访问、策略满足但条件不满足时禁止主体对客体的访问、策略不满足时禁止主体对客体的访问等控制方法。所述的远程证明方法主要通过对控制流安全系统中的控制策略的远程证明来验证移动终端系统的控制行为是否符合预期。

所述基于多次度量的远程证明方法是指通过控制流模型CFMAP实施主体属性、客体属性和环境条件综合判定和连续控制的，能在控制多个点和约束条件发生时进行多次度量和远程证明的静态属性证明方法。所述的多次度量是移动终端系统针对特定运行进程，在控制流安全系统的多个控制点对相关的静态属性多次进行度量和远程证明。这些度量点与安全策略中要求的控制点一致，实际度量点可以包括进程启动、加载、休眠和停止等。

所述混合的证明方法是指在相同控制流安全系统中，同时支持基于模型行为的远程证明方法和基于多次度量的远程证明方法。混合的证明方法中的两种不同的远程证明方法在操作系统内核的相同位置实现，采用统一架构实施控制和保护，即采用相同的可信保护方法、控制流控制内核、应用代理Agent、移动可信模块和远程证明协议等。混合的证明方法在满足两种方法各自证明要求的基础上，需要对两种方法进行整合，包括策略整合、策略判断整合、协议整合、统一证明发起时机等。混合的证明方法在控制实施时能够按照不同的证明需要制定灵活证明策略，实现能对控制流安全系统中的主体属性、客体属性、权能条件、约束条件和环境条件等动、静态属性进行有选择的远程验证。混合证明在策略控制时按照新的判断顺序来进行判定，判断顺序从先到后分别为：主体属性、权能条件、客体属性、环境条件、约束条件。混合证明的准确性要高于单一证明方法，其证明的发起时机是两种远程证明方法的调度时机的结合，即当两种方法的某种证明触发时，同时对另一种方法也进行远程证明，例如：当由于环境条件变化而触发的对基于模型行为的远程证明时，同时进行静态属性的多次度量和远程证明。混合证明的证明内容的粒度比单一证明方法要细，其证明内容在包含基于模型行为和基于多次度量这两种方法所要求的内容之外，还要求将两者的内容进行整合和变化，例如：在混合证明模块的度量时，不但会采集基于模型行为的远程证明方法需要的操作系统的动态环境属性，也会采集基于多次度量的远程证明方法要求的操作系统的静态环境属性，而且还要将动、静态属性结合为操作系统环境条件。

证明交互模块，将混合远程证明模块采集的证明信息发送到服务器进行验证并且接收服务器的验证结果信息。

进一步，本发明实施例所述的移动终端系统，所述证明交互模块通过在移动终端系统上实现应用代理Agent，来实现远程验证。

所述证明交互是指将混合远程证明模块采集的证明信息发送到服务器，由服务器将验证结果返回移动终端。所述证明交互模块通过在移动终端系统上实现应用代理Agent，来实现远程验证。移动终端系统的应用代理Agent负责响应服务器发起的证明请求，其也负责响应由系统主动发起的证明请求。服务器工具通过对比客户端提交的策略证书和服务提供商制订的策略证书来确认移动终端的控制状态是否符合安全预期。

进一步，本发明实施例所述的移动终端系统，所述混合远程证明模块进行远程验证的判断顺序从先到后分别是：主体属性、权能条件、客体属性、环境条件、约束条件。

进一步，本发明实施例所述的移动终端系统，还包括：

移动可信模块，通过预先设置的算法对用于远程验证的证明信息实施封装保护。

进一步，本发明实施例所述的移动终端系统，所述移动可信模块的封装保护方式包括以下任意一项：加密、杂凑和签名。

进一步，本发明实施例所述的移动终端系统，所述移动可信模块的封装保护方式是按照杂凑、加密、杂凑、签名的顺序逐层进行。

所述封装保护是指由应用代理Agent调用移动可信模块MTM（Mobile Trusted Modules），MTM通过模块上预先设置的多种算法对需要进行验证的证明信息实施封装保护，包括加密、杂凑和签名等。封装保护按照杂凑、加密、杂凑、签名这个顺序逐层进行。经过保护后的证明信息在证明过程中不会泄露系统隐私信息。移动可信模块可通过软件模拟的方式在系统的安全核中实现。移动可信模块支持多个存储寄存器来存放证明信息的杂凑值，每个寄存器中支持多组值的追加存储。

图4为本发明实施例的移动终端系统制订、分发、实施控制和证明模型安全策略证书的流程示意图，如图4所示，包括以下步骤：

步骤1、制订安全策略证书，由服务提供商按照应用服务的安全需求，制订安全策略，并使用移动可信模块对证书进行加密、签名保护；

步骤2、发布和更新策略证书，由服务提供商在应用发布后，发布或更新安全策略证书。移动终端获取安全策略证书；

步骤3、实施策略控制，移动终端在操作系统中按照安全策略证书中的安全策略要求进行系统控制；

步骤4、安全策略证书远程证明，移动终端系统向服务提供商发起服务请求时，需要提供自己的安全策略证书，并通过移动可信模块保护后进行远程证明。服务器通过验证安全策略证书来确认移动终端的控制是否符合安全需要，如果符合，则通过验证并提供服务；否则，不予通过验证。

此外如图4所示，本发明实施例的移动终端系统还可以与服务第三方代理进行制订、分发、实施控制和证明模型安全策略证书的控制，其包括步骤5和步骤6：

步骤5、第三方远程证明，移动终端向服务第三方代理发起服务请求，提供自己的安全策略证书，并通过移动可信模块保护后进行远程证明；

步骤6、查询策略证书，服务第三方代理向服务提供商申请相应的安全策略证书，在得到策略证书后，通过与移动终端提交证明信息比较，验证移动终端的控制是否符合安全需要，如果符合，则通过验证并提供服务；否则，不予通过验证。

图5为本发明实施例的移动终端系统当控制流模型中由于条件改变而引起的控制变化时进行远程证明的流程示意图，如图5所示，控制流模型CFMAP在移动终端的操作系统的内核中实现。在应用层实现证明代理Agent，并通过代理发起远程证明。在服务器上实现验证工具。如图5所示，通过监测变化并证明，验证了客户端行为是否始终符合预期。本方法主要是在控制点监测控制变化，当发现由于控制因素中的权能条件、环境条件和约束条件的改变而引起的控制变化时，系统搜集当前状态，按照证明要求生成证明信息，由移动可信模块MTM保护后通过应用代理Agent主动发起，进行远程证明。

图6为本发明实施例的移动终端系统的控制流模型多次度量和远程证明的流程示意图，在操作系统内核中实现控制流模型CFMAP，实现基于安全策略的连续控制。在操作系统内核中实现移动可信模块MTM，实现保存度量算法和保存度量结果的PCR寄存器。在应用层实现证明代理Agent，并通过代理发起远程证明。在服务器上实现验证工具。如图6所示，体现了在控制流模型的多个控制点对相关的静态属性进行度量和远程证明，这些度量点与安全策略中要求的控制点一致，实际度量点可以包括进程启动、加载、休眠和停止等。如图6所示，体现了在控制流模型的约束条件发生时进行度量和远程证明。这些约束关系包括：触发、依赖、限制、合并等。如图6所示，体现对密码服务部件的静态属性的度量和证明，度量内容包括驱动软件完整性，软件配置，密码服务能力等。

进一步，本发明实施例所述的移动终端系统，还包括：

多干系人证明协议模块，用于控制多干系人证明协议。

进一步，本发明实施例所述的移动终端系统，所述多干系人证明协议支持如下证明方法：

多个服务提供商服务器发起请求，移动终端直接响应；

或者由移动终端主动发起，服务器提供商服务器响应后，再由服务器向移动终端发起证明请求，移动终端再响应并远程证明。

所述多干系人证明协议是指该协议能够支持多个服务提供商服务器发起、移动终端响应；或者由移动终端主动发起、单独服务器提供商服务器响应后，再由服务器向移动终端发起证明请求，移动终端再响应并远程证明。在移动终端上，要保存不同服务提供商的配置和IP地址等信息。在移动终端建立协议消息队列，保持与不同服务提供商之间的协议连接。移动终端能支持同时对多个干系人发起请求，也能支持同时响应多个干系人发起的证明请求。

图7为本发明实施例的移动终端系统的多干系人远程证明协议架构的示意图，体现能够支持多个服务提供商服务器发起、移动终端响应，也能由移动终端主动发起、单独服务器提供商服务器响应的多干系人远程证明协议的连接架构。为了适应移动终端计算资源有限，网络带宽价格较高的特点，该协议在协议交互上采用轻量级的“挑战—应答”的方式。该协议通过“条件查询”的证明方式，减少远程证明的计算量和通信量。协议支持不同的服务提供商按照各自的证明需要发起远程证明要求，移动终端能够识别服务提供商的证明要求，按照要求进行相应内容的采集和度量，并由混合证明模块生成相应的证明信息，通过相应协议返回服务提供商。通过这种条件查询式的，由远程提出证明要求、由终端响应的方式可以减少远程证明的度量计算量和证明信息通信量，符合移动终端计算资源有限的特点。

进一步，本发明实施例所述的移动终端系统，还包括：

硬件隔离架构模块，将移动终端系统上分成安全域子系统和普通域子系统；

安全域子系统定义为高安全等级，普通域子系统定义为低安全等级；

安全域子系统部署证明交互模块、移动可信模块、多干系人证明协议模块、混合远程证明模块；

普通域子系统部署移动终端的操作系统；

进一步，本发明实施例所述的移动终端系统，所述硬件隔离架构模块的安全域子系统单向访问普通域子系统。

进一步，本发明实施例所述的移动终端系统，安全域子系统和普通域子系统采用分时机制运行，不能同时运行。

进一步，本发明实施例所述的移动终端系统，安全域子系统和普通域子系统之间共用存储地址控制。

所述的隔离架构是指通过硬件改进使移动终端系统中的计算资源在计算时间、存储空间等方面实现逻辑隔离，将移动终端系统分成安全域子系统和普通域子系统。安全域子系统定义为高安全等级，普通域子系统定义为低安全等级。两个子系统采用分时机制运行，不能同时运行。两个子系统间可以共用存储地址控制，安全域子系统可以通过特殊的控制单元和方法单向访问普通域子系统的存储空间。在移动终端系统的安全域中运行安全域子系统，在安全域的安全核内实现远程证明机制的主要功能，包括证明交互模块、移动可信模块MTM、应用代理Agent、混合远程证明模块和远程证明协议等，实现了对可信机制的安全防护。普通域子系统为开放系统，是远程证明的主要证明对象。

图8为本发明实施例的移动终端系统的隔离架构的示意图，体现系统采用类似双核系统的架构，通过类似ARM TrustZone技术的CPU的特权等级将系统分隔成安全域和普通域，分别运行安全域子系统和普通域子系统。移动终端的操作系统运行在普通域子系统中，在其内核中实现基于控制流模型CFMAP的控制流控制。安全域子系统运行在安全域中，采用闭源的安全系统，并在其中实现远程证明机制的主要功能，包括移动可信模块MTM、远程证明代理Agent和远程证明协议等，实现了对可信机制的安全防护。安全域子系统上的程序能够通过专门接口实现对普通域子系统的单向访问，实现证明信息的采集和度量。安全域子系统上的应用代理Agent进行证明信息的搜集和封装保护，并发起与远端服务器的远程证明。

通过本发明实施例所述的移动终端系统对移动终端实施控制流控制和混合方式的远程证明，可以进一步有效提高系统安全性和可信性。

以上仅为本发明的优选实施例，当然，本发明还可以有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (12)

1.一种支持动态远程证明的移动终端系统，包括：

控制流控制内核模块，在移动终端的操作系统上实现控制流模型，并且基于控制流模型和安全策略对移动终端系统中的主体属性、客体属性、权能条件、约束条件和环境条件进行控制；

混合远程证明模块，同时支持基于模型行为的远程证明方法和基于多次度量的远程证明方法，对系统中的主体属性、客体属性、权能条件、约束条件和环境条件进行远程验证；

证明交互模块，将混合远程证明模块采集的证明信息发送到服务器进行验证并且接收服务器的验证结果信息。

2.根据权利要求1所述的移动终端系统，其特征在于，所述证明交互模块通过在移动终端系统上实现应用代理Agent，来实现远程验证。

3.根据权利要求1所述的移动终端系统，其特征在于，所述混合远程证明模块进行远程验证的判断顺序从先到后分别是：主体属性、权能条件、客体属性、环境条件、约束条件。

4.根据权利要求1至3任意一项所述的移动终端系统，其特征在于，还包括：

移动可信模块，通过预先设置的算法对用于远程验证的证明信息实施封装保护。

5.根据权利要求4所述的移动终端系统，其特征在于，所述移动可信模块的封装保护方式包括以下任意一项：加密、杂凑和签名。

6.根据权利要求5所述的移动终端系统，其特征在于，所述移动可信模块的封装保护方式是按照杂凑、加密、杂凑、签名的顺序逐层进行。

7.根据权利要求4所述的移动终端系统，其特征在于，还包括：

多干系人证明协议模块，用于控制多干系人证明协议。

8.根据权利要求7所述的移动终端系统，其特征在于，所述多干系人证明协议支持如下证明方法：

多个服务提供商服务器发起请求，移动终端直接响应；

或者由移动终端主动发起，服务器提供商服务器响应后，再由服务器向移动终端发起证明请求，移动终端再响应并远程证明。

9.根据权利要求7所述的移动终端系统，其特征在于，还包括：

硬件隔离架构模块，将移动终端系统上分成安全域子系统和普通域子系统；

安全域子系统定义为高安全等级，普通域子系统定义为低安全等级；

安全域子系统部署证明交互模块、移动可信模块、多干系人证明协议模块、混合远程证明模块；

普通域子系统部署移动终端的操作系统。

10.根据权利要求9所述的移动终端系统，其特征在于，所述硬件隔离架构模块的安全域子系统单向访问普通域子系统。

11.根据权利要求10所述的移动终端系统，其特征在于，安全域子系统和普通域子系统采用分时机制运行，不能同时运行。

12.根据权利要求11所述的移动终端系统，其特征在于，安全域子系统和普通域子系统之间共用存储地址控制。

Images