CN103718187A - 经由触摸屏的安全输入 - Google Patents

Abstract

提供了用于从触摸屏安全地获得输入的方法和装置。可以（例如，在处理器处）实现安全执行环境，其中该安全执行环境可包括触摸屏驱动器。可以从安全执行环境发送按键板图像以由触摸屏显示。可以在安全执行环境处从触摸屏驱动器接收输入位置。此类输入位置可在安全执行环境处被转换成字符、符号、或者改变在触摸屏处显示的按键板图像的请求。在一个实现中，安全执行环境还可实现向触摸屏发送按键板图像的显示驱动器。安全执行环境可实现将按键板图像映射成字符集的驱动器按键板图像映射功能。

Description

经由触摸屏的安全输入

优先权要求

本专利申请要求于2011年5月27日提交的题为“Secure Input Via a TouchScreen（经由触摸屏的安全输入）”的美国临时专利申请No.61/491,086的优先权，其全部内容通过援引明确纳入于此。

背景技术

领域

各种特征涉及保护使用输入设备键入的信息，尤其涉及保护对经由触摸屏输入设备键入的信息的访问。

背景

许多电子设备正减少对专用输入设备的使用，转而支持可充当输入设备和输出设备两者的多用途设备（诸如触摸屏）。这往往准许电子设备尺寸更小和/或允许显示器大小增大。由于触摸屏准许修改在触摸屏上显示的按键板图像（即，输入设备）的外观和/或配置，因而触摸屏还提供了较大的灵活性。

在使用触摸屏驱动器的情况下，在屏幕上显示输入设备图像是必要的，该输入设备图像允许用户知道针对特定的输入符号（例如，字母“a”）应当触摸屏幕上的哪个地方。与传统键盘或按键板不同，实现触摸屏键盘或按键板涉及两个组件，即输入（触摸屏）和输出（显示器）。在实现键盘/按键板时，触摸屏作为输入设备来操作。然而，为了向用户提供关于哪个键已被按下的反馈，提供某种类型的视觉反馈。例如，可在触摸点上方显示所按下的键的值，或者该键的阴影可以变化以给出该键已被压下的印象。这种类型的键盘/按键板以及任何伴随的视觉反馈往往由高级操作系统（HLOS）（诸如

和

）来控制。因此，HLOS控制用户接口（UI）并且可接收来自触摸屏驱动器的事件。

然而，HLOS可能易于受到攻击或入侵，这会允许对触摸屏上键入的信息的未经授权的访问。在提供受信任执行环境（TEE）的系统（例如，处理器）中，使输入直接从硬件传递到TEE可能是必要的。这是通过将对输入设备的控制从HLOS转移到TEE以使得HLOS不能访问由用户键入的输入并且取而代之输入仅能由TEE访问来达成的。在典型的物理键盘/按键板的情形中，这是相当简单的，因为用户通常看到的唯一的视觉反馈是显示器输入区域中的隐藏字符（例如，“*”）的出现，并且键盘/按键板的物理触觉反馈指示键已被压下。

然而，如果输入设备是触摸屏，则情况较为复杂，因为即使HLOS处运行的应用显示键盘/按键板，触摸屏的驱动器也是在TEE中执行的。另外，触摸屏通常提供的唯一输出是显示器正被触摸的地方（例如，坐标或屏幕位置）。（取决于触摸屏驱动器的复杂度，还可提供一些输入手势，诸如滑动运动。）屏幕位置坐标到相应动作的映射通常是由HLOS处置的，该HLOS可以控制显示器并且知道特定的屏幕坐标对应于什么动作和/或按键。即使在TEE上执行的触摸屏驱动器通过HLOS而具有显示在屏幕上的按键之间的映射，此类架构仍可能无法提供安全的输入，这是因为一些HLOS（诸如

）允许用户用另一键盘/按键板来替代默认的触摸屏键盘/按键板。在此类情形中，在没有由HLOS提供的一些映射信息的情况下，TEE可能不知道键盘/按键板映射。由于HLOS不能被认为是安全的，因而TEE不能依赖由HLOS提供的此类映射信息。

因此，需要一种使用触摸屏来实现输入设备的安全方式。

概述

一个特征提供了一种设备，该设备包括适配成显示图像和接收输入的触摸屏，以及通信地耦合至该触摸屏的处理电路，其中该处理电路被适配成实现具有触摸屏驱动器的安全执行环境，从安全执行环境提供第一按键板图像以由触摸屏显示，在安全执行环境处从触摸屏驱动器接收第一输入位置坐标，以及在安全执行环境处将第一输入位置坐标转换成字符、符号和/或改变在触摸屏处显示的第一按键板图像的请求中的至少一者。根据本公开的一个方面，该处理电路还被适配成在安全执行环境处使用在安全执行环境内实现的第一按键板图像映射来将第一输入位置坐标转换成字符、符号和/或改变在触摸屏处显示的第一按键板图像的请求中的至少一者。该处理电路还可被适配成在提供第一按键板图像之前在安全执行环境处生成第一按键板图像。根据一个方面，该处理电路还被适配成在提供第一按键板图像之前从与安全执行环境相关联的安全存储器获得第一按键板图像。根据另一方面，安全执行环境包括向触摸屏发送第一按键板图像的显示驱动器。

根据本公开的一个方面，该处理电路还被适配成实现非安全执行环境，其中在安全执行环境处存储或处理的数据免受由与非安全执行环境相关联的应用进行的未经授权的访问。安全执行环境可以独立于非安全执行环境。根据一个方面，非安全执行环境相对于安全执行环境而言是不安全的。非安全执行环境可被实现为高级操作系统。根据一个方面，来自触摸屏的第一输入位置坐标可以绕过非安全执行环境。根据另一方面，在安全执行环境处转换第一输入位置坐标包括在安全执行环境处将第一输入位置坐标转换成改变在触摸屏处显示的第一按键板图像的请求，并且该处理电路还被适配成获得多个按键板图像（该多个按键板图像包括第一按键板图像和第二按键板图像），从安全执行环境向与非安全执行环境相关联的显示驱动器提供该多个按键板图像，以及在接收第一输入位置坐标之前向显示驱动器传送显示第一按键板图像的第一请求。另外，该处理电路还可被适配成在安全执行环境处将第一输入位置坐标转换成改变在触摸屏处显示的第一按键板图像之后向显示驱动器传送显示第二按键板图像的第二请求，将对应于第一按键板图像的第一按键板图像映射更新成对应于第二按键板图像的第二按键板图像映射，在安全执行环境处从触摸屏驱动器接收第二输入位置坐标，以及在安全执行环境处使用第二按键板图像映射来将第二输入位置坐标转换成字符或符号。

根据另一方面，提供第一按键板图像可包括将第一按键板图像提供给与非安全执行环境相关联的显示驱动器。由此，该处理电路还可被适配成获得多个按键板图像（该多个按键板图像包括第一按键板图像），以及在将第一按键板图像提供给与非安全执行环境相关联的显示驱动器之前选择该多个按键板图像中的第一按键板图像。根据一个方面，在安全执行环境处转换第一输入位置坐标包括在安全执行环境处将第一输入位置坐标转换成改变在触摸屏处显示的第一按键板图像的请求，并且该处理电路还可被适配成从安全执行环境向与非安全执行环境相关联的显示驱动器提供该多个按键板图像中的第二按键板图像，将对应于第一按键板图像的第一按键板图像映射更新成对应于第二按键板图像的第二按键板图像映射，在安全执行环境处从触摸屏驱动器接收第二输入位置坐标，以及在安全执行环境处使用第二按键板图像映射来将第二输入位置坐标转换成字符或符号。

另一特征提供了一种可在设备上操作的用于使用触摸屏的安全输入的方法，该方法包括实现具有触摸屏驱动器的安全执行环境，从安全执行环境提供第一按键板图像以由触摸屏显示，在安全执行环境处从触摸屏驱动器接收第一输入位置坐标，以及在安全执行环境处将第一输入位置坐标转换成字符、符号、和/或改变在触摸屏处显示的第一按键板图像的请求中的至少一者。

另一特征提供了一种设备，该设备包括用于实现具有触摸屏驱动器的安全执行环境的装置，用于从安全执行环境提供第一按键板图像以由触摸屏显示的装置，用于在安全执行环境处从触摸屏驱动器接收第一输入位置坐标的装置，以及用于在安全执行环境处将第一输入位置坐标转换成字符、符号、和/或改变在触摸屏处显示的第一按键板图像的请求中的至少一者的装置。根据本公开的一个方面，该设备还包括用于在安全执行环境处使用与安全执行环境相关联的第一按键板图像映射来将第一输入位置坐标转换成字符、符号和/或改变在触摸屏处显示的第一按键板图像的请求中的至少一者的装置。

另一特征提供了一种具有可在设备中操作的用于使用触摸屏的安全输入的一条或多条指令的处理器可读介质，这些指令在由至少一个处理器执行时使该处理器实现安全执行环境，从安全执行环境提供第一按键板图像以由触摸屏显示，在安全执行环境处从触摸屏接收第一输入位置坐标，以及在安全执行环境处将第一输入位置坐标转换成字符、符号、和/或改变在触摸屏处显示的第一按键板图像的请求中的至少一者。

附图简要说明

图1是可实现触摸屏按键板的安全输入的设备的框图。

图2、3A、3B、4A和4B解说使用触摸屏按键板的安全输入的流程图。

图5、6A、6B、7A、7B和8解说可在设备的处理电路中操作的用于从触摸屏安全地获得输入的方法的流程图。

图9解说可实现触摸屏按键板的安全输入的移动设备的框图。

图10解说使用触摸屏按键板的安全输入的流程图。

图11A和11B解说可在移动设备的处理电路内操作的使用触摸屏按键板的安全输入的流程图。

图12A、12B、和13解说可在移动设备的处理电路中操作的用于从触摸屏安全地获得输入的方法的流程图。

图14解说可实现触摸屏按键板的安全输入的设备的框图。

图15、16A和16B解说使用触摸屏按键板的安全输入的流程图。

图17A和17B解说可在设备的处理电路中操作的用于从触摸屏安全地获得输入的方法的流程图。

图18解说可在设备中操作的用于使用触摸屏的安全输入的方法的流程图。

详细描述

在以下描述中，给出了具体细节以提供对本公开内容的各方面的透彻理解。但是，本领域普通技术人员将可理解，没有这些具体细节也可实践这些方面。例如，电路可能用框图示出以避免使这些方面混淆在不必要的细节中。在其他实例中，公知的电路、结构和技术可能不被详细示出以免使本公开内容的这些方面不明朗。

措辞“示例性”在本文中用于表示“用作示例、实例或解说”。本文中描述为“示例性”的任何实现或方面不必被解释为优于或胜过本公开内容的其他方面。同样，术语“方面”不要求本公开内容的所有方面都包括所讨论的特征、优点或操作模式。术语“按键板”在本文中被用于指代例如具有字母键、字母数字键、数字键、和/或符号键的各种类型的键盘、以及其他类型的输入设备。

综览

提供了用于从触摸屏安全地获得输入的方法和装置。可以（例如，在处理器处）实现安全执行环境，其中该安全执行环境可包括触摸屏输入驱动器。按键板图像可从安全执行环境发送给触摸屏以供显示。可在安全执行环境处从触摸屏驱动器接收输入位置。该输入位置可在安全执行环境处转换成字符、符号、或者改变在触摸屏处显示的按键板图像的请求。安全执行环境可实现将所接收到的输入位置坐标映射到字符集和/或动作的按键板图像映射。

在本公开的一个方面，可以例如在实现安全执行环境的同一个处理器处实现包括显示驱动器的非安全执行环境。在安全执行环境处存储或处理的数据免受由与非安全执行环境相关联的应用进行的未经授权的访问。安全执行环境可将按键板图像发送给非安全执行环境以使该按键板图像由触摸屏显示。安全执行环境可以独立于非安全执行环境，并且非安全执行环境可以相对于安全执行环境而言是不安全的。在本公开的另一方面，安全执行环境也可实现将按键板图像提供给触摸屏的显示驱动器。

经由触摸屏的安全输入的第一示例性实现

图1解说了根据本公开的一个方面的可实现触摸屏按键板的安全输入的设备100的框图。设备100可包括处理电路102、存储器电路104、和/或触摸屏106。处理电路102、存储器电路104、和触摸屏106可以通信地和/或电学地耦合在一起。处理电路102可被实现为一个或多个处理设备（例如，处理器）并且可被适配成操作第一执行环境108和第二执行环境112。第一执行环境108和第二执行环境112可以在单个处理器上彼此并行地运行。作为另一示例，第一和第二执行环境108、112可以在构成处理电路102的不同处理器或处理器核上并行地运行。存储器电路104可被实现为一个或多个存储器设备（例如，RAM、ROM、易失性存储器、非易失性存储器、硬盘驱动器等）。存储器电路104可包括安全存储器部分105，该安全存储器部分105不能由与第二执行环境112无关联的应用容易地访问或修改。触摸屏106可以是适配成接收输入并且还显示视觉输出的电子视觉显示器。触摸屏106可以通过检测人和/或指示笔触摸在其显示区域内的存在和位置来充当输入。触摸屏106可以是但不限于电阻式触摸屏、表面声波触摸屏、电容式（例如，表面、投影、互电容、或自电容）触摸屏、红外触摸屏、光学成像触摸屏、色散信号触摸屏、和/或声脉冲识别触摸屏。

第一执行环境108（本文中亦称为“非安全执行环境”）可以是可运行一个或多个应用的高级操作系统（HLOS）。第一执行环境108可以被认为是“不安全的”，因为第一执行环境108处的信息可由非预期方或应用访问。例如，恶意实体可安装一应用，该应用能够窥探与第一执行环境108相关联的存储器栈、存储器空间、缓冲器、寄存器、和/或数据路径接口以获得对数据和/或信息（例如，口令、用户账户信息等）的未经授权的访问。

相反，第二执行环境112（本文中亦称为“安全执行环境”）可以是不能由在非安全执行环境108处操作的应用（例如，在HLOS处操作的应用）容易地访问的受信任执行环境。因此，保护了安全执行环境112免受可能揭露与安全执行环境112相关联的数据或信息的窥探或者未经授权的访问。非安全执行环境108可使用规定的接口集来与安全执行环境112交互。安全执行环境112的功能性通常限于由安全执行环境112供应商/经销商提供的功能性，并且由于安全执行环境112被紧密地控制故而很难将任意的应用安装在安全执行环境112中。安全执行环境的一个非限定示例是由Gieseke & Devrient有限责任公司创建的

在图1解说的示例中，安全执行环境112可执行触摸屏驱动器114（例如，输入驱动器、触摸屏输入驱动器等）以处理由触摸屏106生成的输出。例如，触摸屏驱动器接收由触摸屏106响应于由用户作出的屏幕触摸而生成的电子信号，并且生成与触摸屏106上由用户触摸的位置相对应的屏幕位置坐标。因此，根据本公开的一个方面，触摸屏驱动器114可被严格地包含在安全执行环境112内和/或在安全执行环境112内执行（例如，触摸屏驱动器114被存储在安全存储器105内）。为了提供触摸屏输入设备的安全实现，安全执行环境112可向非安全执行环境108的显示驱动器110提供至少一个按键板图像116。显示驱动器110使按键板图像116显示在触摸屏106处。根据本公开的一个方面，安全执行环境112生成按键板图像116。在另一方面，按键板图像116存储在存储器电路104的安全存储器部分105内并且由安全执行环境112从安全存储器105调取。

随后，由触摸屏106显示传送给触摸屏106的按键板图像116。所显示的按键板图像120可随后由用户操纵以键入数据（例如，用户信息、账户信息、口令等）。例如，通过使用手指或指示笔，用户可以触摸触摸屏106的与用户希望键入/选择的期望符号或按键相对应的部分。触摸屏驱动器114随后向安全执行环境112提供触摸屏106感测到触摸（例如，按键板按压）的地方的位置信息（例如，坐标）。该位置信息（例如，坐标）可以由此绕过非安全执行环境108并且对于在非安全执行环境108内执行的应用而言是未知的。在安全执行环境112内实现的按键板映射118功能（例如，查找表）随后将位置信息转换成特定的字符、符号、或其他输入。例如，位置信息可包括映射到特定字符或符号的坐标。作为另一示例，位置信息可包括代表手势（诸如滑动手势）的一系列坐标。在本公开的至少一个方面，因为按键板映射118严格地驻留在安全执行环境112中，所以按键板映射118对于非安全执行环境108而言是未知的。因此，在非安全执行环境108内执行的应用不可访问按键板映射118。

由于安全执行环境112提供按键板图像116（例如，安全执行环境112可以是按键板图像116的源），因而安全执行环境112知道由位置坐标集界定的按键板图像中的每个字符和/或符号。一旦接收到来自触摸屏驱动器114的位置信息，按键板映射118功能就可查明此类位置信息所对应的按键、符号、或手势。因此，取代依赖由非安全执行环境108提供的按键板图像和/或按键板映射，设备100利用由安全执行环境112提供的按键板图像116和/或按键板映射118以确保触摸屏输入设备自包含在安全执行环境112内并且不依赖非安全执行环境108的可信性。

图2解说了根据本公开的一个方面的使用触摸屏按键板的安全输入的流程图200。在步骤202，安全执行环境112生成和/或（例如，从安全存储器105）获得至少一个按键板图像。在步骤204，安全执行环境112向在非安全执行环境108内操作的显示驱动器110提供/传送（诸）按键板图像。在步骤206，非安全执行环境108的显示驱动器110向触摸屏显示器106提供按键板图像。在步骤208，触摸屏106显示该按键板图像。在步骤210，触摸屏106接收来自用户的至少一个按键板图像输入选择。所作出的选择对应于与触摸屏显示器106相关联的一个或多个位置坐标。在步骤212，触摸屏驱动器114向安全执行环境112传送/提供与（诸）选择相关联的位置坐标。在步骤214，安全执行环境112使用按键板图像映射118将与（诸）选择相关联的位置坐标转换成相应的用户期望的符号、按键、和/或动作。

图3A和3B解说了根据本公开的一个方面的使用触摸屏按键板的安全输入的流程图300。在步骤302，安全执行环境112生成和/或（例如，从安全存储器105）获得多个按键板图像。例如，该多个按键板图像可包括数字0-9个人标识号（PIN）按键板、QWERTY样式键盘、QWERTY样式按键板的“经移位”版本、标准电话按键板、和/或具有其他符号的附加按键板。在步骤304，安全执行环境112向在非安全执行环境108内操作的显示驱动器110提供/传送该多个按键板图像。根据一个方面，该多个按键板图像被提供给在非安全执行环境108内运行的请求安全触摸屏按键板输入的应用。在步骤306，安全执行环境112向非安全执行环境108的显示驱动器110提供/传送第一请求以请求显示所提供的该多个按键板图像中的第一按键板图像。该请求指定触摸屏106应当显示该多个按键板图像中的哪一个。根据一个方面，第一请求可被周期性地发送，或者替换地，其可在按需基础上被发送。在步骤308，非安全执行环境108的显示驱动器110向触摸屏显示器106提供第一按键板图像。在步骤310，触摸屏106显示第一按键板图像。在步骤312，触摸屏106接收来自用户的第一按键板图像输入选择。在此示例中，第一选择对应于由用户作出的将按键板图像改变成该多个按键板图像中的另一按键板图像的请求。在步骤314，触摸屏驱动器114向安全执行环境112传送/提供与第一选择相关联的触摸屏位置坐标。在步骤316，安全执行环境112使用第一按键板图像映射将与第一选择相关联的位置坐标转换成用于将按键板图像改变成用户期望的另一按键板图像的请求。

在步骤318，安全执行环境112向非安全执行环境108的显示驱动器110提供/传送第二请求以请求显示该多个按键板图像中的期望的第二按键板图像。该第二请求指定触摸屏106应当显示该多个按键板图像中的哪一个。根据一个方面，第二请求可被周期性地发送，或者替换地，其可在按需基础上被发送。在步骤320，非安全执行环境108的显示驱动器110向触摸屏显示器106提供第二按键板图像。参照图3B，在步骤322，触摸屏106显示第二按键板图像。在步骤324，触摸屏106接收来自用户的第二按键板图像输入选择。在此示例中，第二选择对应于用户期望的符号/字符。在步骤326，触摸屏驱动器114向安全执行环境112传送/提供与第二选择相关联的触摸屏位置坐标。在步骤328，安全执行环境112将其按键板图像映射从第一按键板图像映射更新成第二按键板图像映射，该第二按键板图像映射对应于（例如，关联于）在步骤308处提供给触摸屏106的第二按键板图像。根据一个方面，更新步骤328可在步骤316之后执行，即在将位置坐标转换成改变第一按键板图像的请求之后执行。根据另一方面，更新步骤328可紧接着步骤318、320、322和324中的任何一者之后执行。在步骤330，安全执行环境112使用第二按键板图像映射将与第二选择相关联的位置坐标转换成相应的用户期望的符号/字符。因此，安全执行环境112一次性地向非安全执行环境108（例如，在非安全执行环境108内运行的请求安全触摸屏按键板输入的应用）传送所有按键板图像并且稍后按需或者周期性地发送改变按键板图像的请求。

图4A和4B解说了根据本公开的一个方面的使用触摸屏按键板的安全输入的流程图400。在步骤402，安全执行环境112生成和/或（例如，从安全存储器105）获得多个按键板图像。例如，该多个按键板图像可包括数字0-9个人标识号（PIN）按键板、QWERTY样式键盘、QWERTY样式按键板的“经移位”版本、标准电话按键板、和/或具有其他符号的附加按键板。在步骤404，安全执行环境112向在非安全执行环境108内操作的显示驱动器110提供/传送第一按键板图像。根据一个方面，第一按键板图像被提供给在非安全执行环境108内运行的请求安全触摸屏按键板输入的应用。在步骤406，非安全执行环境108的显示驱动器110向触摸屏显示器106提供第一按键板图像。在步骤408，触摸屏106显示第一按键板图像。在步骤410，触摸屏106接收来自用户的第一按键板图像输入选择。在此示例中，第一选择对应于由用户作出的将按键板图像改变成该多个按键板图像中的另一按键板图像的请求。在步骤412，触摸屏驱动器114向安全执行环境112传送/提供与第一选择相关联的触摸屏位置坐标。在步骤414，安全执行环境112使用第一按键板图像映射将与第一选择相关联的位置坐标转换成用于将按键板图像改变成用户期望的另一按键板图像的请求。

在步骤416，安全执行环境112向非安全执行环境108的显示驱动器110提供/传送第二按键板图像以显示该多个按键板图像中的期望的第二按键板图像。在步骤418，非安全执行环境108的显示驱动器110向触摸屏显示器106提供第二按键板图像。在步骤420，触摸屏106显示第二按键板图像。参照图4B，在步骤422，触摸屏106接收来自用户的第二按键板图像输入选择。在此示例中，第二选择对应于用户期望的符号/字符。在步骤424，触摸屏驱动器114向安全执行环境112传送/提供与第二选择相关联的触摸屏位置坐标。在步骤426，安全执行环境112将其按键板图像映射从第一按键板图像映射更新成第二按键板图像映射，该第二按键板图像映射对应于（例如，关联于）在步骤406处提供给触摸屏106的第二按键板图像。根据一个方面，更新步骤426可在步骤414之后执行，即在将位置坐标转换成改变第一按键板图像的请求之后执行。根据另一方面，更新步骤426可紧接着步骤416、418、420和422中的任何一者之后执行。在步骤428，安全执行环境112使用第二按键板图像映射将与第二选择相关联的位置坐标转换成相应的用户期望的符号/字符。因此，安全执行环境112向非安全执行环境108（例如，在非安全执行环境108内运行的请求安全触摸屏按键板输入的应用）传送按键板图像，以在出现对该特定的按键板图像的需要时在触摸屏106上进行显示。

由于安全执行环境112知道何时作出按键板图像改变，因而安全执行环境112可以将其按键板图像映射更新成恰适的映射。这允许安全执行环境112知道哪些键正被按下，而不必存储和/或执行用户接口驱动器。确切而言，用户接口驱动器可由非安全执行环境108执行（例如，由高级操作系统执行）。在安全执行环境112处存储和/或执行用户接口驱动器可能在一些应用中是不期望的，因为安全执行环境112可能具有实现起来较为昂贵的有限资源（诸如安全存储器105）。

图5解说了根据本公开的一个方面的可在设备100的处理电路102（参见图1）中操作的用于从触摸屏106安全地获得输入的方法的流程图500。处理电路102可包括两个或更多个分开的处理系统或环境，诸如非安全执行环境108（例如，高级操作系统）和安全执行环境112（例如，受信任执行环境）。参照图5，在步骤502，安全执行环境生成和/或（例如，从安全存储器）获得至少一个按键板图像。在步骤504，安全执行环境向在非安全执行环境内操作的显示驱动器提供按键板图像。在步骤506，显示驱动器向触摸屏显示器提供按键板图像。在步骤508，触摸屏显示按键板图像。在步骤510，触摸屏接收指定与触摸屏显示器相关联的一个或多个位置坐标的至少一个按键板图像输入选择。在步骤512，触摸屏显示器向安全执行环境提供与（诸）选择相关联的位置坐标。在步骤514，安全执行环境通过使用按键板图像映射将与（诸）选择相关联的位置坐标转换成相应的用户期望的符号、按键、和/或动作。

图6A和6B解说了根据本公开的一个方面的可在设备100的处理电路102（参见图1）中操作的用于从触摸屏106安全地获得输入的方法的流程图600。处理电路102可包括两个或更多个分开的处理系统或环境，诸如非安全执行环境108（例如，高级操作系统）和安全执行环境112（例如，受信任执行环境）。参照图6A，在步骤602，安全执行环境生成和/或（例如，从安全存储器）获得多个按键板图像。例如，该多个按键板图像可包括数字0-9个人标识号（PIN）按键板、QWERTY样式键盘、QWERTY样式按键板的“经移位”版本、标准电话按键板、和/或具有其他符号的附加按键板。在步骤604，安全执行环境向在非安全执行环境内操作的显示驱动器提供该多个按键板图像。根据一个方面，该多个按键板图像被提供给在非安全执行环境内运行的请求安全触摸屏按键板输入的应用。在步骤606，安全执行环境向显示驱动器提供第一请求以请求显示所提供的该多个按键板图像中的第一按键板图像。该请求指定触摸屏106应当显示该多个按键板图像中的哪一个。根据一个方面，第一请求可被周期性地发送，或者替换地，其可在按需基础上被发送。

在步骤608，显示驱动器向触摸屏显示器提供第一按键板图像。在步骤610，触摸屏显示第一按键板图像。在步骤612，触摸屏接收来自用户的第一按键板图像输入选择。在此示例中，第一选择对应于由用户作出的将按键板图像改变成该多个按键板图像中的另一按键板图像的请求。在步骤614，触摸屏驱动器向安全执行环境提供与第一选择相关联的触摸屏位置坐标。在步骤616，安全执行环境使用第一按键板图像映射将与第一选择相关联的位置坐标转换成用于将按键板图像改变成用户期望的另一按键板图像的请求。

参照图6B，在步骤618，安全执行环境向显示驱动器提供第二请求以请求显示该多个按键板图像中的第二按键板图像。该第二请求指定触摸屏应当显示该多个按键板图像中的哪一个。根据一个方面，第二请求可被周期性地发送，或者替换地其可在按需基础上被发送。在步骤620，显示驱动器向触摸屏显示器提供第二按键板图像。在步骤622，触摸屏显示第二按键板图像。在步骤624，触摸屏接收来自用户的第二按键板图像输入选择。在此示例中，第二选择对应于用户期望的符号/字符。在步骤626，触摸屏驱动器向安全执行环境提供与第二选择相关联的触摸屏位置坐标。在步骤628，安全执行环境将其按键板图像映射从第一按键板图像映射更新成第二按键板图像映射，该第二按键板图像映射对应于（例如，关联于）第二按键板图像。根据一个方面，更新步骤628可在步骤616之后执行，即在将位置坐标转换成改变第一按键板图像的请求之后执行。根据另一方面，更新步骤628可紧接着步骤618、620、622和624中的任何一者之后执行。在步骤630，安全执行环境使用第二按键板图像映射将与第二选择相关联的位置坐标转换成相应的用户期望的符号/字符。

图7A和7B解说了根据本公开的一个方面的可在设备100的处理电路102（参见图1）中操作的用于从触摸屏106安全地获得输入的方法的流程图700。处理电路102可包括两个或更多个分开的处理系统或环境，诸如非安全执行环境108（例如，高级操作系统）和安全执行环境112（例如，受信任执行环境）。参照图7A，在步骤702，安全执行环境生成和/或（例如，从安全存储器）获得多个按键板图像。例如，该多个按键板图像可包括数字0-9个人标识号（PIN）按键板、QWERTY样式键盘、QWERTY样式按键板的“经移位”版本、标准电话按键板、和/或具有其他符号的附加按键板。在步骤704，安全执行环境向在非安全执行环境内操作的显示驱动器提供第一按键板图像。根据一个方面，第一按键板图像被提供给在非安全执行环境内运行的请求安全触摸屏按键板输入的应用。在步骤706，显示驱动器向触摸屏显示器提供第一按键板图像。在步骤708，触摸屏显示第一按键板图像。在步骤710，触摸屏接收来自用户的第一按键板图像输入选择。在此示例中，第一选择对应于由用户作出的将按键板图像改变成该多个按键板图像中的另一按键板图像的请求。在步骤712，触摸屏驱动器向安全执行环境提供与第一选择相关联的触摸屏位置坐标。在步骤714，安全执行环境使用第一按键板图像映射将与第一选择相关联的位置坐标转换成用于将按键板图像改变成用户期望的另一按键板图像的请求。

参照图7B，在步骤716，安全执行环境向显示驱动器提供第二按键板图像以显示该多个按键板图像中的第二按键板图像。在步骤718，显示驱动器向触摸屏显示器提供第二按键板图像。在步骤720，触摸屏显示第二按键板图像。在步骤722，触摸屏接收来自用户的第二按键板图像输入选择。在此示例中，第二选择对应于用户期望的符号/字符。在步骤724，触摸屏驱动器向安全执行环境提供与第二选择相关联的触摸屏位置坐标。在步骤726，安全执行环境将其按键板图像映射从第一按键板图像映射更新成第二按键板图像映射，该第二按键板图像映射对应于（例如，关联于）第二按键板图像。根据一个方面，更新步骤726可在步骤714之后执行，即在将位置坐标转换成改变第一按键板图像的请求之后执行。根据另一方面，更新步骤726可紧接着步骤716、718、720和722中的任何一者之后执行。在步骤728，安全执行环境使用第二按键板图像映射将与第二选择相关联的位置坐标转换成相应的用户期望的符号/字符。

图8解说了根据本公开的一个方面的可在设备100的处理电路102（参见图1）中操作的用于从触摸屏106安全地获得输入的方法的流程图800。处理电路102可包括两个或更多个分开的处理系统或环境，诸如非安全执行环境108（例如，高级操作系统）和安全执行环境112（例如，受信任执行环境）。参照图8，在步骤802，安全执行环境可存储一个或多个按键板图像以及一个或多个相应的按键板映射。在步骤804，非安全执行环境可执行用户接口驱动器，并且安全执行环境可执行触摸屏输入驱动器。在步骤806，基于来自在非安全执行环境处执行的应用的指示，来自触摸屏的输出直接被路由至安全执行环境。在步骤808，安全执行环境向非安全执行环境提供按键板图像，该非安全执行环境使该按键板图像由触摸屏显示。在步骤810，基于用户从触摸屏上显示的按键板图像选择按键的动作，安全执行环境从触摸屏驱动器接收屏幕位置信息。该屏幕位置信息对应于所选择的按键。在步骤812，安全执行环境使用按键板图像映射将屏幕位置信息转换成相应的按键或字符。在步骤814，安全执行环境可以随后通过向非安全执行环境发送替换按键板图像以供在触摸屏上进行显示的方式来改变所使用的按键板。

经由触摸屏的安全输入的第二示例性实现

图9解说了根据本公开的一个方面的可实现触摸屏按键板的安全输入的移动设备900的框图。移动设备900（例如，移动电话、智能电话、膝上型计算机、平板设备、无线通信设备等）可包括处理电路902、存储器电路904、触摸屏906、和/或无线通信接口907。处理电路902、存储器电路904、触摸屏906、和无线通信接口907可以通信地和/或电学地耦合在一起。处理电路902可被实现为一个或多个处理设备（例如，处理器）并且可被适配成操作高级操作系统908和受信任执行环境912。高级操作系统908和受信任执行环境912可在单个处理器上彼此并行地执行。作为另一示例，高级操作系统908和受信任执行环境912可以在构成处理电路902的不同处理器或处理器核上并行地运行。存储器电路904可被实现为一个或多个存储器设备（例如，RAM、ROM、易失性存储器、非易失性存储器、硬盘驱动器等）。存储器电路904可包括安全存储器部分914，该安全存储器部分914不能由与受信任执行环境912无关联的应用容易地访问或修改。触摸屏906可以是适配成接收输入并且还显示视觉输出的电子视觉显示器。触摸屏906可以通过检测人和/或指示笔触摸在其显示区域内的存在和位置来充当输入设备。触摸屏906可以是但不限于电阻式触摸屏、表面声波触摸屏、电容式（例如，表面、投影、互电容、或自电容）触摸屏、红外触摸屏、光学成像触摸屏、色散信号触摸屏、和/或声脉冲识别触摸屏。无线通信接口907可用于将移动设备900通信地耦合至无线网络，无线通信接口907可通过该无线网络发送和/或接收数据。

高级操作系统（HLOS）908（本文中亦称为“非安全执行环境”）可以运行一个或多个应用。HLOS908可以被认为是“不安全的”，因为HLOS908处的信息可由非预期方或应用访问。例如，恶意实体可安装一应用，该应用能够窥探与HLOS908相关联的存储器栈、存储器空间、缓冲器、寄存器、和/或数据路径接口以获得对数据和/或信息（例如，口令、用户账户信息等）的未经授权的访问。

相反，受信任执行环境（TEE）912（本文中亦称为“安全执行环境”）不能由HLOS908处操作的应用容易地访问。因此，保护了TEE912免受可能揭露与TEE912相关联的数据或信息的窥探或者未经授权的访问。HLOS908可使用规定的接口集来与TEE912交互。TEE912的功能性通常限于由TEE912供应商/经销商提供的功能性，并且由于TEE912被紧密地控制故而很难将任意的应用安装在TEE912中。TEE的一个非限定示例是由Gieseke & Devrient有限责任公司创建的

在图9解说的示例中，TEE912可执行触摸屏驱动器918（例如，输入驱动器）以处理由触摸屏906生成的输出。例如，触摸屏驱动器接收由触摸屏906响应于由用户作出的屏幕触摸而生成的电子信号，并且生成与触摸屏906上由用户触摸的位置相对应的屏幕位置坐标。因此，根据本公开的一个方面，触摸屏驱动器918可被严格地包含在受信任执行环境912内和/或在受信任执行环境912内执行（例如，触摸屏驱动器918被存储在安全存储器914内）。为了提供触摸屏输入设备的安全实现，TEE912可向HLOS908处执行的显示驱动器910提供至少一个按键板图像916。显示驱动器910使按键板图像916显示在触摸屏906处。根据本公开的一个方面，TEE912生成按键板图像916。在另一方面，按键板图像916存储在存储器电路904的安全存储器部分914内并且由TEE912从安全存储器914调取。

随后，由触摸屏906显示传送给触摸屏906的按键板图像916。所显示的按键板图像920可随后由用户操纵以键入数据（例如，用户信息、账户信息、口令等）。例如，通过使用手指或指示笔，用户可以触摸触摸屏906的与用户希望键入/选择的期望符号或按键相对应的部分。触摸屏驱动器918随后向TEE912提供触摸屏906感测到触摸（例如，按键板按压）的地方的位置信息（例如，坐标）。该位置信息（例如，坐标）可以由此绕过HLOS908并且对于在HLOS908内执行的应用而言是未知的。在TEE912内实现的按键板映射919功能（例如，查找表）随后将该位置信息转换成特定的字符、符号、或其他输入。例如，位置信息可包括映射到特定字符或符号的坐标。作为另一示例，位置信息可包括代表手势（诸如滑动手势）的一系列坐标。在本公开的至少一个方面，因为按键板映射919严格地驻留在TEE912中，所以按键板映射919对于HLOS908而言是未知的。因此，在HLOS908内执行的应用不可访问按键板映射919。

由于TEE912提供按键板图像916（例如，TEE912可以是按键板图像916的源），因而TEE912知道由位置坐标集界定的按键板图像中的每个字符和/或符号。一旦接收到来自触摸屏906的位置信息，TEE912就使用按键板映射919来查明此类位置信息所对应的按键、符号、和/或手势。因此，取代依赖由HLOS908提供的按键板图像和/或按键板映射，设备900利用TEE912处的按键板图像916和/或触摸屏驱动器918以确保触摸屏输入设备自包含在TEE912内并且不依赖HLOS908的可信性。另外，此过程允许TEE912知道哪些键正被按下，而不必存储和/或执行用户接口驱动器。确切而言，用户接口驱动器可由HLOS908执行。在TEE912处存储和/或执行用户接口驱动器可能在一些应用中是不期望的，因为TEE912可能具有实现起来较为昂贵的有限资源（诸如安全存储器914）。

图10解说了根据本公开的一个方面的使用触摸屏按键板的安全输入的流程图1000。在步骤1002，TEE912生成和/或（例如，从安全存储器914）获得至少一个按键板图像。在步骤1004，如果多个按键板图像已被生成/获得，则TEE912可任选地选择一按键板图像。在步骤1006，TEE912向在HLOS908内操作的显示驱动器910提供/传送所选择的按键板图像。在步骤1008，HLOS908的显示驱动器910向触摸屏显示器906提供该按键板图像。在步骤1010，触摸屏906显示该按键板图像。在步骤1012，触摸屏906接收来自用户的至少一个按键板图像输入选择。所作出的选择对应于与触摸屏显示器906相关联的一个或多个位置坐标。在步骤1014，触摸屏驱动器918向TEE912传送/提供与（诸）选择相关联的位置坐标。在步骤1016，TEE912使用按键板图像映射919将与（诸）选择相关联的位置坐标转换成相应的用户期望的符号、按键、和/或动作。

图11A和11B解说了根据本公开的一个方面的可在移动设备900的处理电路902内操作的使用触摸屏按键板的安全输入的流程图1100。在步骤1102，TEE912生成和/或（例如，从安全存储器914）获得多个按键板图像。例如，该多个按键板图像可包括数字0-9个人标识号（PIN）按键板、QWERTY样式键盘、QWERTY样式按键板的“经移位”版本、标准电话按键板、和/或具有其他符号的附加按键板。在步骤1104，TEE912向在HLOS908内操作的显示驱动器910提供/传送该多个按键板图像。根据一个方面，该多个按键板图像被提供给在HLOS908内运行的请求安全触摸屏按键板输入的应用。在步骤1106，TEE912向HLOS908的显示驱动器910提供/传送第一请求以请求显示所提供的该多个按键板图像中的第一按键板图像。该请求指定触摸屏906应当显示该多个按键板图像中的哪一个。根据一个方面，第一请求可被周期性地发送，或者替换地，其可在按需基础上被发送。在步骤1108，HLOS908的显示驱动器910向触摸屏显示器906提供第一按键板图像。在步骤1110，触摸屏906显示第一按键板图像。在步骤1112，触摸屏906接收来自用户的第一按键板图像输入选择。在此示例中，第一选择对应于由用户作出的将按键板图像改变成该多个按键板图像中的另一按键板图像的请求。在步骤1114，触摸屏驱动器918向TEE912传送/提供与第一选择相关联的触摸屏位置坐标。在步骤1116，TEE912使用第一按键板图像映射将与第一选择相关联的位置坐标转换成用于将按键板图像改变成用户期望的另一按键板图像的请求。

在步骤1118，TEE912向HLOS908的显示驱动器910提供/传送第二请求以请求显示该多个按键板图像中的期望的第二按键板图像。该第二请求指定触摸屏906应当显示该多个按键板图像中的哪一个。根据一个方面，第二请求可被周期性地发送，或者替换地，其可在按需基础上被发送。在步骤1120，显示驱动器910向触摸屏显示器906提供第二按键板图像。参照图11B，在步骤1122，触摸屏906显示第二按键板图像。在步骤1124，触摸屏906接收来自用户的第二按键板图像输入选择。在此示例中，第二选择对应于用户期望的符号/字符。在步骤1126，触摸屏驱动器918向TEE912传送/提供与第二选择相关联的触摸屏位置坐标。在步骤1128，TEE912可将其按键板图像映射从第一按键板图像映射更新成第二按键板图像映射，该第二按键板图像映射对应于（例如，关联于）在步骤1108处提供给触摸屏906的第二按键板图像。根据一个方面，更新步骤1128可在步骤1116、1118、1120、1122和1124中的任何一者之后执行。在步骤1130，TEE912使用第二按键板图像映射将与第二选择相关联的位置坐标转换成相应的用户期望的符号/字符。因此，TEE912一次性地向HLOS908（例如，在HLOS908内运行的请求安全触摸屏按键板输入的应用）传送所有按键板图像并且稍后按需或者周期性地发送改变按键板图像的请求。

图12A和12B解说了根据本公开的一个方面的可在移动设备900的处理电路902中操作的用于从触摸屏906安全地获得输入的方法的流程图1200。参照图12A，在步骤1202，TEE生成和/或（例如，从安全存储器）获得多个按键板图像。例如，该多个按键板图像可包括数字0-9个人标识号（PIN）按键板、QWERTY样式键盘、QWERTY样式按键板的“经移位”版本、标准电话按键板、和/或具有其他符号的附加按键板。在步骤1204，TEE向在HLOS内操作的显示驱动器提供第一按键板图像。根据一个方面，第一按键板图像被提供给在HLOS内运行的请求安全触摸屏按键板输入的应用。在步骤1206，显示驱动器向触摸屏显示器提供第一按键板图像。在步骤1208，触摸屏显示第一按键板图像。在步骤1210，触摸屏接收来自用户的第一按键板图像输入选择。在此示例中，第一选择对应于由用户作出的将按键板图像改变成该多个按键板图像中的另一按键板图像的请求。在步骤1212，触摸屏驱动器向TEE提供与第一选择相关联的触摸屏位置坐标。在步骤1214，TEE使用驱动器第一按键板图像映射将与第一选择相关联的位置坐标转换成用于将按键板图像改变成用户期望的另一按键板图像的请求。

参照图12B，在步骤1216，TEE向显示驱动器提供第二按键板图像以显示该多个按键板图像中的第二按键板图像。在步骤1218，显示驱动器向触摸屏显示器提供第二按键板图像。在步骤1220，触摸屏显示第二按键板图像。在步骤1222，触摸屏接收来自用户的第二按键板图像输入选择。在此示例中，第二选择对应于用户期望的符号/字符。在步骤1224，触摸屏驱动器向TEE提供与第二选择相关联的触摸屏位置坐标。在步骤1226，TEE可将按键板图像映射从第一按键板图像映射更新成第二按键板图像映射，该第二按键板图像映射对应于（例如，关联于）第二按键板图像。补充地或替换地，TEE可以更新执行位置坐标至符号转换的任何查找表。根据一个方面，更新步骤1226可在步骤1214、1216、1218、1220和1222中的任何一者之后执行。在步骤1228，TEE使用第二按键板图像映射将与第二选择相关联的位置坐标转换成相应的用户期望的符号/字符。

图13解说了根据本公开的一个方面的可在移动设备900的处理电路902中操作的用于从触摸屏906安全地获得输入的方法的流程图1300。在步骤1302，（例如，在处理器902上）实现包括触摸屏输入驱动器的受信任执行环境（例如，第二执行环境）。在步骤1304，（例如，在处理器902上）实现包括向触摸屏输出图像的显示驱动器的高级操作系统（例如，第一执行环境）。在步骤1306，可在受信任执行环境1308处获得多个按键板图像。在步骤1308，可以在受信任执行环境处从该多个按键板图像中选择一按键板图像。在步骤1310，可以从受信任执行环境向高级操作系统发送所选择的按键板图像以使该按键板图像由触摸屏显示。随后，在步骤1312，可在受信任执行环境处从触摸屏驱动器接收输入位置。在步骤1314，可在受信任执行环境处（例如，经由映射或查找表）将该输入位置转换成字符或符号。在步骤1316，可以通过从受信任执行环境向高级操作系统发送第二按键板图像以使该第二按键板图像由触摸屏显示的方式用第二按键板图像来替代按键板图像。

经由触摸屏的安全输入的第三示例性实现

图14解说了根据本公开的一个方面的可实现触摸屏按键板的安全输入的设备1400的框图。设备1400可以是但不限于移动设备、移动电话、智能电话、膝上型计算机、平板设备、和/或任何其他无线通信设备。设备1400可包括处理电路1402、存储器电路1404、触摸屏1406、和/或无线通信接口1408。处理电路1402、存储器电路1404、触摸屏1406、和无线通信接口1408可以通信地和/或电学地耦合在一起。处理电路1402可被实现为一个或多个处理设备（例如，处理器）并且可被适配成操作非安全执行环境1410和安全执行环境1412。非安全执行环境1410和安全执行环境1412可以在单个处理器上彼此并行地运行。作为另一示例，非安全和安全执行环境1410、1412可以在构成处理电路1402的不同处理器或处理器核上并行地运行。存储器电路1404可被实现为一个或多个存储器设备（例如，RAM、ROM、易失性存储器、非易失性存储器、硬盘驱动器等）。存储器电路1404可包括安全存储器部分1405，该安全存储器部分1405不能由与安全执行环境1412无关联的应用容易地访问或修改。触摸屏1406可以是适配成接收输入并且还显示视觉输出的电子视觉显示器。触摸屏1406可以通过检测人和/或指示笔触摸在其显示区域内的存在和位置来充当输入设备。触摸屏1406可以是但不限于电阻式触摸屏、表面声波触摸屏、电容式（例如，表面、投影、互电容、或自电容）触摸屏、红外触摸屏、光学成像触摸屏、色散信号触摸屏、和/或声脉冲识别触摸屏。无线通信接口1408可用于将设备1400通信地耦合至无线网络，无线通信接口1408可通过该无线网络发送和/或接收数据。

非安全执行环境1410（本文中亦称为“第一执行环境”）可以例如是运行一个或多个应用的高级操作系统。非安全执行环境1410可以被认为是“不安全的”，因为非安全执行环境1410处的信息可由非预期方或应用访问。例如，恶意实体可安装一应用，该应用能够窥探与非安全执行环境1410相关联的存储器栈、存储器空间、缓冲器、寄存器、和/或数据路径接口以获得对数据和/或信息（例如，口令、用户账户信息等）的未经授权的访问。

相反，安全执行环境1412（本文中亦称为“第二执行环境”可以例如是不能由在非安全执行环境1410处操作的应用容易地访问的受信任执行环境。因此，保护了安全执行环境1412免受可能揭露与安全执行环境1412相关联的数据或信息的窥探或者未经授权的访问。非安全执行环境1410可使用规定的接口集来与安全执行环境1412交互。安全执行环境1412的功能性通常限于由安全执行环境1412供应商/经销商提供的功能性，并且由于安全执行环境1412被紧密地控制故而很难将任意的应用安装在安全执行环境1412中。安全执行环境的一个非限定示例是由Gieseke & Devrient有限责任公司创建的

在图14解说的示例中，安全执行环境1412可以执行触摸屏驱动器1418（例如，触摸屏输入驱动器）以处理由触摸屏1406生成的输出，并且还可以执行显示驱动器1416以控制由触摸屏1406显示的图像。例如，触摸屏驱动器接收由触摸屏1406响应于由用户作出的屏幕触摸而生成的电子信号，并且生成与触摸屏1406上由用户触摸的位置相对应的屏幕位置坐标。在所解说的示例中，触摸屏驱动器1418和显示驱动器1416可以严格地包含在安全执行环境1412内和/或在安全执行环境1412内执行（例如，存储在安全存储器1405内）。为了提供触摸屏输入设备的安全实现，安全执行环境1412可向显示驱动器1416提供至少一个按键板图像1414。显示驱动器1416使按键板图像1414显示在触摸屏1406处。根据本公开的一个方面，安全执行环境1412生成按键板图像1414。在另一方面，按键板图像1414存储在存储器电路1404的安全存储器部分1405内并且由安全执行环境1412从安全存储器1405调取。

随后，由触摸屏1406显示传送给触摸屏1406的按键板图像1414。所显示的按键板图像1420可随后由用户操纵（例如，按下按键或者执行其他手势）以键入数据（例如，用户信息、账户信息、口令等）。例如，通过使用手指或指示笔，用户可以触摸触摸屏1406的与用户希望键入/选择的期望符号或按键相对应的部分。触摸屏驱动器1418随后向安全执行环境1412提供触摸屏1406感测到触摸（例如，按键板按压）的地方的位置信息（例如，坐标）。该位置信息（例如，坐标）可以由此绕过非安全执行环境1410并且对于在非安全执行环境1410内执行的应用而言是未知的。安全执行环境1412包括将位置信息转换成特定的字符、符号、或其他输入的按键板映射1419功能（例如，查找表）。例如，位置信息可包括映射到特定字符或符号的坐标。作为另一示例，位置信息可包括代表手势（诸如滑动手势）的一系列坐标。在本公开的至少一个方面，因为按键板映射1419严格地驻留在安全执行环境1412中，所以按键板映射1419对于非安全执行环境1410而言是未知的。因此，在非安全执行环境1410内执行的应用不可访问按键板映射1419。

由于安全执行环境1412提供按键板图像916（例如，TEE1412可以是按键板图像1414的源），因而安全执行环境1412知道由位置坐标集界定的按键板图像中的每个字符和/或符号。一旦接收到来自触摸屏驱动器1418的位置信息，安全执行环境1412就使用按键板映射1419（例如，功能和/或查找表）来查明此类位置信息所对应的按键、符号、和/或手势。因此，取代依赖由非安全执行环境1410提供的按键板图像和/或按键板映射，设备1400利用安全执行环境1412处的按键板图像1414、显示驱动器1416、和/或输入驱动器1418以确保触摸屏输入设备是自包含的并且不依赖非安全执行环境1410的可信性。此外，该过程允许安全执行环境1412知道哪些键正被按下，而不必存储和/或执行用户接口驱动器。确切而言，用户接口驱动器可由非安全执行环境1410执行。在安全执行环境1412处存储和/或执行用户接口驱动器可能在一些应用中是不期望的，因为安全执行环境1412可能具有实现起来较为昂贵的有限资源（诸如安全存储器1405）。

图15解说了根据本公开的一个方面的使用触摸屏按键板的安全输入的流程图1500。在步骤1502，安全执行环境1412生成和/或（例如，从安全存储器1405）获得至少一个按键板图像。在步骤1504，如果多个按键板图像已被生成/获得，则安全执行环境1412可任选地选择一按键板图像。在步骤1506，安全执行环境1412向在安全执行环境1412内操作的显示驱动器1416提供/传送所选择的按键板图像。在步骤1508，显示驱动器1416向触摸屏显示器1406提供按键板图像。在步骤1510，触摸屏1406显示该按键板图像。在步骤1512，触摸屏1406接收来自用户的至少一个按键板图像输入选择。所作出的选择对应于与触摸屏显示器1406相关联的一个或多个位置坐标。在步骤1514，触摸屏驱动器1418向安全执行环境1412传送/提供与（诸）选择相关联的位置坐标。在步骤1516，安全执行环境1412使用按键板映射1419将与（诸）选择相关联的位置坐标转换成相应的用户期望的符号、按键、和/或动作。

图16A和16B解说了根据本公开的一个方面的使用触摸屏按键板的安全输入的流程图1600。在步骤1602，安全执行环境1412生成和/或（例如，从安全存储器1405）获得多个按键板图像。例如，该多个按键板图像可包括数字0-9个人标识号（PIN）按键板、QWERTY样式键盘、QWERTY样式按键板的“经移位”版本、标准电话按键板、和/或具有其他符号的附加按键板。在步骤1604，安全执行环境1412从该多个按键板图像中选择第一按键板图像，并且向在安全执行环境1412内操作的显示驱动器1416提供/传送该第一按键板图像。根据一个方面，第一按键板图像被提供给在安全执行环境1412内运行的请求安全触摸屏按键板输入的应用。在步骤1606，安全执行环境1412的显示驱动器1416向触摸屏显示器1406提供第一按键板图像。在步骤1608，触摸屏1406显示第一按键板图像。在步骤1610，触摸屏1406接收来自用户的第一按键板图像输入选择。在此示例中，第一选择对应于由用户作出的将按键板图像改变成该多个按键板图像中的另一按键板图像的请求。在步骤1612，触摸屏驱动器1418向安全执行环境1412的输入驱动器1418传送/提供与第一选择相关联的触摸屏位置坐标。在步骤1614，安全执行环境1412使用第一按键板图像映射将与第一选择相关联的位置坐标转换成用于将按键板图像改变成用户期望的另一按键板图像的请求。

在步骤1616，安全执行环境1412从该多个按键板图像中选择第二按键板图像，并且向显示驱动器1416提供/传送该第二按键板图像以显示该第二按键板图像。在步骤1618，显示驱动器1416向触摸屏显示器1406提供第二按键板图像。在步骤1620，触摸屏1406显示第二按键板图像。参照图16B，在步骤1622，触摸屏1406接收来自用户的第二按键板图像输入选择。在此示例中，第二选择对应于用户期望的符号/字符。在步骤1624，触摸屏驱动器1418向安全执行环境1412传送/提供与第二选择相关联的触摸屏位置坐标。在步骤1626，安全执行环境1412的输入驱动器可将按键板图像映射从第一按键板图像映射更新成第二按键板图像映射，该第二按键板图像映射对应于（例如，关联于）第二按键板图像。补充地或替换地，安全执行环境1412可以更新执行位置坐标至符号转换的任何查找表。根据一个方面，更新步骤1626可在步骤1614、1616、1618、1620和1622中的任何一者之后执行。在步骤1628，安全执行环境1412使用第二按键板图像映射将与第二选择相关联的位置坐标转换成相应的用户期望的符号/字符。

图17A和17B解说了根据本公开的一个方面的可在设备1400的处理电路1402中操作的用于从触摸屏1406安全地获得输入的方法的流程图1700。在步骤1702，安全执行环境生成和/或（例如，从安全存储器）获得多个按键板图像。在步骤1704，安全执行环境从该多个按键板图像中选择第一按键板图像，并且向在安全执行环境内操作的显示驱动器提供该第一按键板图像。根据一个方面，第一按键板图像被提供给在安全执行环境内运行的请求安全触摸屏按键板输入的应用。在步骤1706，安全执行环境的显示驱动器向触摸屏显示器提供第一按键板图像。在步骤1708，触摸屏显示第一按键板图像。在步骤1710，触摸屏接收来自用户的第一按键板图像输入选择。在此示例中，第一选择对应于由用户作出的将按键板图像改变成该多个按键板图像中的另一按键板图像的请求。在步骤1712，触摸屏驱动器向安全执行环境提供与第一选择相关联的触摸屏位置坐标。在步骤1714，安全执行环境使用第一按键板图像映射将与第一选择相关联的位置坐标转换成用于将按键板图像改变成用户期望的另一按键板图像的请求。

参照图17B，在步骤1716，安全执行环境从该多个按键板图像中选择第二按键板图像，并且向显示驱动器提供该第二按键板图像以显示该第二按键板图像。在步骤1718，显示驱动器向触摸屏显示器提供第二按键板图像。在步骤1720，触摸屏显示第二按键板图像。在步骤1722，触摸屏接收来自用户的第二按键板图像输入选择。在此示例中，第二选择对应于用户期望的符号/字符。在步骤1724，触摸屏驱动器向安全执行环境传送与第二选择相关联的触摸屏位置坐标。在步骤1726，安全执行环境可将按键板图像映射从第一按键板图像映射更新成第二按键板图像映射，该第二按键板图像映射对应于（例如，关联于）第二按键板图像。补充地或替换地，安全执行环境可以更新执行位置坐标至符号转换的任何查找表。根据一个方面，更新步骤1726可在步骤1714、1716、1718、1720和1722中的任何一者之后执行。在步骤1728，安全执行环境使用第二按键板图像映射将与第二选择相关联的位置坐标转换成相应的用户期望的符号/字符。

图18解说了根据本公开的一个方面的可在设备中操作的用于使用触摸屏的安全输入的方法的流程图1800。在步骤1802，该设备实现具有触摸屏驱动器的安全执行环境。在步骤1804，该设备从安全执行环境提供第一按键板图像以由触摸屏显示。在步骤1806，该设备在安全执行环境处从触摸屏驱动器接收第一输入位置坐标。在步骤1808，该设备在安全执行环境处将第一输入位置坐标转换成字符、符号、和/或改变在触摸屏处显示的第一按键板图像的请求中的至少一者。

图1、2、3A、3B、4A、4B、5、6A、6B、7A、7B、8、9、10、11A、11B、12A、12B、13、14、15、16A、16B、17A、17B和/或18中所解说的组件、步骤、特征、和/或功能中的一个或更多个可以被重新编排和/或组合成单个组件、步骤、特征、或功能，或可以实施在数个组件、步骤、或功能中。也可添加额外的元件、组件、步骤、和/或功能而不会脱离本发明。图1、9、和/或14中解说的装置、设备、和/或组件可被配置成执行图2、3A、3B、4A、4B、5、6A、6B、7A、7B、8、10、11A、11B、12A、12B、13、15、16A、16B、17A、17B和/或18中描述的方法、特征、或步骤中的一个或更多个。本文中描述的算法也可以高效地实现在软件中和/或嵌入在硬件中。

此外，在本公开内容的一个方面，图1中解说的处理电路102可以是特别设计和/或硬连线以执行图2、3A、3B、4A、4B、5、6A、6B、7A、7B、8和18中描述的算法、方法、和/或步骤的专用处理器（例如，专用集成电路（ASIC））。因此，此类专用处理器（ASIC）可以是用于执行图2、3A、3B、4A、4B、5、6A、6B、7A、7B、8和18中描述的算法、方法、和/或步骤的装置的一个示例。存储器电路104、105还可存储处理器102可读指令，其在由处理器102的专用处理器（例如，ASIC）执行时使该专用处理器执行图2、3A、3B、4A、4B、5、6A、6B、7A、7B、8和18中描述的算法、方法、和/或步骤。在本公开内容的另一方面，图9中解说的处理电路902可以是特别设计和/或硬连线以执行图10、11A、11B、12A、12B、13和18中描述的算法、方法、和/或步骤的专用处理器（例如，ASIC）。因此，此类专用处理器（ASIC）可以是用于执行图10、11A、11B、12A、12B、13和18中描述的算法、方法、和/或步骤的装置的一个示例。存储器电路904、914还可存储处理器902可读指令，其在由处理器902的专用处理器（例如，ASIC）执行时使该专用处理器执行图10、11A、11B、12A、12B、13和18中描述的算法、方法、和/或步骤。在本公开内容的又一方面，图14中解说的处理电路1402可以是特别设计和/或硬连线以执行图15、16A、16B、17A、17B和18中描述的算法、方法、和/或步骤的专用处理器（例如，专用集成电路（ASIC））。因此，此类专用处理器（ASIC）可以是用于执行图15、16A、16B、17A、17B和18中描述的算法、方法、和/或步骤的装置的一个示例。存储器电路1404、1405还可存储处理器1402可读指令，其在由处理器1402的专用处理器（例如，ASIC）执行时使该专用处理器执行图15、16A、16B、17A、17B和18中描述的算法、方法、和/或步骤。

还应注意，本公开内容的各方面可作为被描绘为流程图、流图、结构图、或框图的过程来描述的。尽管流程图可能会把诸操作描述为顺序过程，但是这些操作中有许多能够并行或并发地执行。另外，这些操作的次序可以被重新安排。过程在其操作完成时终止。过程可对应于方法、函数、规程、子例程、子程序等。当过程对应于函数时，它的终止对应于该函数返回调用方函数或主函数。

此外，存储介质可表示用于存储数据的一个或更多个设备，包括只读存储器（ROM）、随机存取存储器（RAM）、磁盘存储介质、光学存储介质、闪存设备和/或其他用于存储信息的机器可读介质、以及处理器可读介质、和/或计算机可读介质。术语“机器可读介质”、“计算机可读介质”和/或“处理器可读介质”可包括，但不限于非瞬态介质，诸如便携或固定的存储设备、光学存储设备、以及能够存储、包含或承载指令和/或数据的各种其他介质。因此，本文中描述的各种方法可全部或部分地由可存储在“机器可读介质”、“计算机可读介质”和/或“处理器可读介质”中并由一个或更多个处理器、机器和/或设备执行的指令和/或数据来实现。

此外，本公开内容的各方面可以由硬件、软件、固件、中间件、微代码、或其任何组合来实现。当在软件、固件、中间件或微码中实现时，执行必要任务的程序代码或代码段可被存储在诸如存储介质之类的机器可读介质或其它存储中。处理器可以执行这些必要的任务。代码段可表示规程、函数、子程序、程序、例程、子例程、模块、软件包、类，或是指令、数据结构、或程序语句的任何组合。通过传递和/或接收信息、数据、自变量、参数、或存储器内容，一代码段可被耦合到另一代码段或硬件电路。信息、自变量、参数、数据等可以经由包括存储器共享、消息传递、令牌传递、网络传输等的任何合适的手段被传递、转发、或传输。

结合本文中公开的示例描述的各个解说性逻辑块、模块、电路、元件和/或组件可用通用处理器、数字信号处理器（DSP）、专用集成电路（ASIC）、现场可编程门阵列（FPGA）或其他可编程逻辑组件、分立的门或晶体管逻辑、分立的硬件组件、或其设计成执行本文中描述的功能的任何组合来实现或执行。通用处理器可以是微处理器，但在替换方案中，该处理器可以是任何常规的处理器、控制器、微控制器、或状态机。处理器还可以实现为计算组件的组合，例如DSP与微处理器的组合、数个微处理器、与DSP核心协作的一个或更多个微处理器、或任何其他此类配置。

结合本文中公开的示例描述的方法或算法可直接在硬件中、在能由处理器执行的软件模块中、或在这两者的组合中以处理单元、编程指令、或其他指示的形式实施，并且可包含在单个设备中或跨多个设备分布。软件模块可驻留在RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动盘、CD-ROM、或本领域中所知的任何其他形式的存储介质中。存储介质可耦合到处理器以使得该处理器能从/向该存储介质读写信息。替换地，存储介质可以被整合到处理器。

本领域技术人员将可进一步领会，结合本文中公开的各方面描述的各种解说性逻辑框、模块、电路、和算法步骤可被实现为电子硬件、计算机软件、或两者的组合。为清楚地解说硬件与软件的这一可互换性，各种解说性组件、框、模块、电路、和步骤在上面是以其功能性的形式作一般化描述的。此类功能性是被实现为硬件还是软件取决于具体应用和施加于整体系统的设计约束。

本文中所描述的本发明的各种特征可实现于不同系统中而不脱离本发明。应注意，本公开内容的以上各方面仅是示例，且不应被解释成限定本发明。对本公开内容的各方面的描述旨在是解说性的，而非限定所附权利要求的范围。由此，本发明的教导可以现成地应用于其他类型的装置，并且许多替换、修改、和变形对于本领域技术人员将是显而易见的。

Claims (49)

1.一种设备，包括：

触摸屏，适配成显示图像并且接收输入；以及

通信地耦合到所述触摸屏的处理电路，所述处理电路适配成：

实现具有触摸屏驱动器的安全执行环境，

从所述安全执行环境提供第一按键板图像以由所述触摸屏显示，

在所述安全执行环境处从所述触摸屏驱动器接收第一输入位置坐标，

以及

在所述安全执行环境处将所述第一输入位置坐标转换成字符、符号、和/或改变在所述触摸屏处显示的所述第一按键板图像的请求中的至少一者。

2.如权利要求1所述的设备，其特征在于，所述处理电路还被适配成：

在所述安全执行环境处使用在所述安全执行环境内实现的第一按键板图像映射来将所述第一输入位置坐标转换成所述字符、所述符号、和/或所述改变在所述触摸屏处显示的所述第一按键板图像的请求中的至少一者。

3.如权利要求1所述的设备，其特征在于，所述处理电路还被适配成：

在提供所述第一按键板图像之前在所述安全执行环境处生成所述第一按键板图像。

4.如权利要求1所述的设备，其特征在于，所述处理电路还被适配成：

在提供所述第一按键板图像之前从与所述安全执行环境相关联的安全存储器获得所述第一按键板图像。

5.如权利要求1所述的设备，其特征在于，所述安全执行环境包括向所述触摸屏发送所述第一按键板图像的显示驱动器。

6.如权利要求1所述的设备，其特征在于，所述处理电路还被适配成：

实现非安全执行环境，其中在所述安全执行环境处存储或处理的数据免受由与所述非安全执行环境相关联的应用进行的未经授权的访问。

7.如权利要求6所述的设备，其特征在于，所述安全执行环境独立于所述非安全执行环境。

8.如权利要求6所述的设备，其特征在于，所述非安全执行环境相对于所述安全执行环境而言是不安全的。

9.如权利要求6所述的设备，其特征在于，所述非安全执行环境实现高级操作系统。

10.如权利要求6所述的设备，其特征在于，来自所述触摸屏的所述第一输入位置坐标绕过所述非安全执行环境。

11.如权利要求6所述的设备，其特征在于，在所述安全执行环境处转换所述第一输入位置坐标包括在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏处显示的所述第一按键板图像的请求，并且其中所述处理电路还被适配成：

获得多个按键板图像，所述多个按键板图像包括所述第一按键板图像和第二按键板图像；

从所述安全执行环境向与所述非安全执行环境相关联的显示驱动器提供所述多个按键板图像；以及

在接收所述第一输入位置坐标之前向所述显示驱动器传送显示所述第一按键板图像的第一请求。

12.如权利要求11所述的设备，其特征在于，所述处理电路还被适配成：

在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏显示器处显示的所述第一按键板图像的请求之后向所述显示驱动器传送显示所述第二按键板图像的第二请求；

将对应于所述第一按键板图像的第一按键板图像映射更新成对应于所述第二按键板图像的第二按键板图像映射；

在所述安全执行环境处从所述触摸屏驱动器接收第二输入位置坐标；以及

在所述安全执行环境处使用所述第二按键板图像映射来将所述第二输入位置坐标转换成字符或符号。

13.如权利要求6所述的设备，其特征在于，提供所述第一按键板图像包括将所述第一按键板图像提供给与所述非安全执行环境相关联的显示驱动器。

14.如权利要求13所述的设备，其特征在于，所述处理电路还被适配成：

获得多个按键板图像，所述多个按键板图像包括所述第一按键板图像；以及

在将所述第一按键板图像提供给与所述非安全执行环境相关联的所述显示驱动器之前选择所述多个按键板图像中的所述第一按键板图像。

15.如权利要求14所述的设备，其特征在于，在所述安全执行环境处转换所述第一输入位置坐标包括在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏处显示的所述第一按键板图像的请求，并且其中所述处理电路还被适配成：

从所述安全执行环境向与所述非安全执行环境相关联的所述显示驱动器提供所述多个按键板图像中的第二按键板图像；

将对应于所述第一按键板图像的第一按键板图像映射更新成对应于所述第二按键板图像的第二按键板图像映射；

在所述安全执行环境处从所述触摸屏驱动器接收第二输入位置坐标；以及

在所述安全执行环境处使用所述第二按键板图像映射来将所述第二输入位置坐标转换成字符或符号。

16.一种在设备中操作的用于使用触摸屏的安全输入的方法，所述方法包括：

实现具有触摸屏驱动器的安全执行环境；

从所述安全执行环境提供第一按键板图像以由所述触摸屏显示；

在所述安全执行环境处从所述触摸屏驱动器接收第一输入位置坐标；以及

在所述安全执行环境处将所述第一输入位置坐标转换成字符、符号、和/或改变在所述触摸屏处显示的所述第一按键板图像的请求中的至少一者。

17.如权利要求16所述的方法，其特征在于，还包括：

在所述安全执行环境处使用在所述安全执行环境内实现的第一按键板图像映射来将所述第一输入位置坐标转换成所述字符、所述符号、和/或所述改变在所述触摸屏处显示的所述第一按键板图像的请求中的至少一者。

18.如权利要求16所述的方法，其特征在于，还包括：

在提供所述第一按键板图像之前在所述安全执行环境处生成所述第一按键板图像。

19.如权利要求16所述的方法，其特征在于，还包括：

在提供所述第一按键板图像之前从与所述安全执行环境相关联的安全存储器获得所述第一按键板图像。

20.如权利要求16所述的方法，其特征在于，所述安全执行环境包括向所述触摸屏发送所述第一按键板图像的显示驱动器。

21.如权利要求16所述的方法，其特征在于，还包括：

实现非安全执行环境，其中在所述安全执行环境处存储或处理的数据免受由与所述非安全执行环境相关联的应用进行的未经授权的访问。

22.如权利要求21所述的方法，其特征在于，所述安全执行环境独立于所述非安全执行环境。

23.如权利要求21所述的方法，其特征在于，所述非安全执行环境相对于所述安全执行环境而言是不安全的。

24.如权利要求21所述的方法，其特征在于，所述非安全执行环境实现高级操作系统。

25.如权利要求21所述的方法，其特征在于，来自所述触摸屏的所述第一输入位置坐标绕过所述非安全执行环境。

26.如权利要求21所述的方法，其特征在于，在所述安全执行环境处转换所述第一输入位置坐标包括在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏处显示的所述第一按键板图像的请求，并且所述方法还包括：

获得多个按键板图像，所述多个按键板图像包括所述第一按键板图像和第二按键板图像；

从所述安全执行环境向与所述非安全执行环境相关联的显示驱动器提供所述多个按键板图像；以及

在接收所述第一输入位置坐标之前向所述显示驱动器传送显示所述第一按键板图像的第一请求。

27.如权利要求26所述的方法，其特征在于，还包括：

在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏显示器处显示的所述第一按键板图像的请求之后向所述显示驱动器传送显示所述第二按键板图像的第二请求；

将对应于所述第一按键板图像的第一按键板图像映射更新成对应于所述第二按键板图像的第二按键板图像映射；

在所述安全执行环境处从所述触摸屏驱动器接收第二输入位置坐标；以及

在所述安全执行环境处使用所述第二按键板图像映射将所述第二输入位置坐标转换成字符或符号。

28.如权利要求21所述的方法，其特征在于，提供所述第一按键板图像包括将所述第一按键板图像提供给与所述非安全执行环境相关联的显示驱动器。

29.如权利要求28所述的方法，其特征在于，还包括：

获得多个按键板图像，所述多个按键板图像包括所述第一按键板图像；以及

在将所述第一按键板图像提供给与所述非安全执行环境相关联的所述显示驱动器之前选择所述多个按键板图像中的所述第一按键板图像。

30.如权利要求29所述的方法，其特征在于，在所述安全执行环境处转换所述第一输入位置坐标包括在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏处显示的所述第一按键板图像的请求，并且所述方法还包括：

从所述安全执行环境向与所述非安全执行环境相关联的所述显示驱动器提供所述多个按键板图像中的第二按键板图像；

将对应于所述第一按键板图像的第一按键板图像映射更新成对应于所述第二按键板图像的第二按键板图像映射；

在所述安全执行环境处从所述触摸屏驱动器接收第二输入位置坐标；以及

在所述安全执行环境处使用所述第二按键板图像映射将所述第二输入位置坐标转换成字符或符号。

31.一种设备，包括：

用于实现具有触摸屏驱动器的安全执行环境的装置；

用于从所述安全执行环境提供第一按键板图像以由触摸屏显示的装置；

用于在所述安全执行环境处从所述触摸屏驱动器接收第一输入位置坐标的装置；以及

用于在所述安全执行环境处将所述第一输入位置坐标转换成字符、符号、和/或改变在所述触摸屏处显示的所述第一按键板图像的请求中的至少一者的装置。

32.如权利要求31所述的设备，其特征在于，还包括：

用于在所述安全执行环境处使用与所述安全执行环境相关联的第一按键板图像映射来将所述第一输入位置坐标转换成所述字符、所述符号、和/或所述改变在所述触摸屏处显示的所述第一按键板图像的请求中的至少一者的装置。

33.如权利要求31所述的设备，其特征在于，还包括：

用于在提供所述第一按键板图像之前在所述安全执行环境处生成所述第一按键板图像的装置。

34.如权利要求31所述的设备，其特征在于，还包括：

用于在提供所述第一按键板图像之前从与所述安全执行环境相关联的安全存储器获得所述第一按键板图像的装置。

35.如权利要求31所述的设备，其特征在于，所述安全执行环境包括向所述触摸屏发送所述第一按键板图像的显示驱动器。

36.如权利要求31所述的设备，其特征在于，还包括：

用于实现非安全执行环境的装置，其中在所述安全执行环境处存储或处理的数据免受由与所述非安全执行环境相关联的应用进行的未经授权的访问。

37.如权利要求36所述的设备，其特征在于，所述安全执行环境独立于所述非安全执行环境。

38.如权利要求36所述的设备，其特征在于，所述非安全执行环境相对于所述安全执行环境而言是不安全的。

39.如权利要求36所述的设备，其特征在于，所述非安全执行环境实现高级操作系统。

40.如权利要求36所述的设备，其特征在于，来自所述触摸屏的所述第一输入位置坐标绕过所述非安全执行环境。

41.如权利要求36所述的设备，其特征在于，用于在所述安全执行环境处转换所述第一输入位置坐标的装置包括用于在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏处显示的所述第一按键板图像的请求的装置，并且所述设备还包括：

用于获得多个按键板图像的装置，所述多个按键板图像包括所述第一按键板图像和第二按键板图像；

用于从所述安全执行环境向与所述非安全执行环境相关联的显示驱动器提供所述多个按键板图像的装置；以及

用于在接收所述第一输入位置坐标之前向所述显示驱动器传送显示所述第一按键板图像的第一请求的装置。

42.如权利要求41所述的设备，其特征在于，还包括：

用于在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏显示器处显示的所述第一按键板图像的请求之后向所述显示驱动器传送显示所述第二按键板图像的第二请求的装置；

用于将对应于所述第一按键板图像的第一按键板图像映射更新成对应于所述第二按键板图像的第二按键板图像映射的装置；

用于在所述安全执行环境处从所述触摸屏驱动器接收第二输入位置坐标的装置；以及

用于在所述安全执行环境处使用所述第二按键板图像映射将所述第二输入位置坐标转换成字符或符号的装置。

43.如权利要求36所述的设备，其特征在于，提供所述第一按键板图像包括将所述第一按键板图像提供给与所述非安全执行环境相关联的显示驱动器。

44.如权利要求43所述的设备，其特征在于，还包括：

用于获得多个按键板图像的装置，所述多个按键板图像包括所述第一按键板图像；以及

用于在将所述第一按键板图像提供给与所述非安全执行环境相关联的所述显示驱动器之前选择所述多个按键板图像中的所述第一按键板图像的装置。

45.如权利要求44所述的设备，其特征在于，在所述安全执行环境处转换所述第一输入位置坐标包括在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏处显示的所述第一按键板图像的请求，并且所述设备还包括：

用于从所述安全执行环境向与所述非安全执行环境相关联的所述显示驱动器提供所述多个按键板图像中的第二按键板图像的装置；

用于将对应于所述第一按键板图像的第一按键板图像映射更新成对应于所述第二按键板图像的第二按键板图像映射的装置；

用于在所述安全执行环境处从所述触摸屏驱动器接收第二输入位置坐标的装置；以及

用于在所述安全执行环境处使用所述第二按键板图像映射将所述第二输入位置坐标转换成字符或符号的装置。

46.一种具有在设备中操作的用于使用触摸屏的安全输入的一条或多条指令的处理器可读介质，所述指令在由至少一个处理器执行时使所述处理器：

实现安全执行环境；

从所述安全执行环境提供第一按键板图像以由所述触摸屏显示；

在所述安全执行环境处从所述触摸屏接收第一输入位置坐标；以及

在所述安全执行环境处将所述第一输入位置坐标转换成字符、符号、和/或改变在所述触摸屏处显示的所述第一按键板图像的请求中的至少一者。

47.如权利要求46所述的处理器可读介质，其特征在于，所述指令在由所述处理器执行时进一步使所述处理器：

实现非安全执行环境，其中在所述安全执行环境处存储或处理的数据免受由与所述非安全执行环境相关联的应用进行的未经授权的访问。

48.如权利要求47所述的处理器可读介质，其特征在于，在所述安全执行环境处转换所述第一输入位置坐标包括在所述安全执行环境处将所述第一输入位置坐标转换成所述改变在所述触摸屏处显示的所述第一按键板图像的请求，并且所述指令在由所述处理器执行时进一步使所述处理器：

获得多个按键板图像，所述多个按键板图像包括所述第一按键板图像和第二按键板图像；

从所述安全执行环境向与所述非安全执行环境相关联的显示驱动器提供所述多个按键板图像；以及

在接收所述第一输入位置坐标之前向所述显示驱动器传送显示所述第一按键板图像的第一请求。

49.如权利要求48所述的处理器可读介质，其特征在于，提供所述第一按键板图像包括向与所述非安全执行环境相关联的显示驱动器提供所述第一按键板图像，并且所述指令在由所述处理器执行时进一步使所述处理器：

获得多个按键板图像，所述多个按键板图像包括所述第一按键板图像；以及

在将所述第一按键板图像提供给与所述非安全执行环境相关联的所述显示驱动器之前选择所述多个按键板图像中的所述第一按键板图像。

Images