CN103856485B - 可信用户界面安全指示器的初始化系统及方法 - Google Patents

Abstract

本发明公开了一种可信用户界面安全指示器的初始化系统及方法，涉及移动智能终端领域，该系统包括TSM服务器、应用商店和移动智能终端，移动智能终端包括移动智能终端操作系统和TEE，移动智能终端操作系统包括客户端应用模块和TEE客户端驱动模块，TEE是与移动智能终端操作系统隔离的安全运行环境，TEE内部在逻辑上被划分为多个安全域，保证可信应用之间的相互隔离和独立性；每个安全域中均设有安全域管理模块和可信应用模块，TEE为安全域管理模块和可信应用模块提供安全的运行环境。本发明能安全实现对可信应用模块提供的可信UI中安全指示器的个人化，有效提高安全指示器显示的可信度，降低被恶意软件攻击和截获的风险。

Description

可信用户界面安全指示器的初始化系统及方法

技术领域

本发明涉及移动智能终端领域，具体是涉及一种可信用户界面安全指示器的初始化系统及方法。

背景技术

移动通信技术的发展带来了移动终端技术的快速发展，以基带处理器为核心的传统功能型移动终端已很难满足人们日益丰富的移动业务需求。具有开放的高阶独立操作系统、能够安装第三方开发的移动应用、可通过移动网络实现无线接入、具有强大的处理能力和更多存储空间的移动智能终端已成为移动终端的发展趋势。与传统的功能型移动终端不同，移动智能终端已不再是单纯的语音通话工具，它具备了普通手机的移动性、电信服务功能和PC(Personal Computer，个人计算机)电脑的处理能力、网络功能，将电信服务和网络服务融合在一个设备中。移动智能终端的普及给人们带来极大便利的同时，也给人们带来了极大的安全隐患。

移动智能终端已发展成为能够从移动互联网上下载和安装各种第三方应用的开放软件平台，同时，移动智能终端处理重要服务的需求日益增加。从多媒体服务到手机远程支付和银行账户管理等功能，这些发展趋势使得移动智能终端成为恶意软件、木马等病毒的攻击目标。由于当前移动智能终端上缺乏完整性保护机制，其软硬件容易受到攻击和篡改，操作系统和第三方软件存在的安全漏洞使移动智能终端存在的安全威胁比PC终端存在的安全威胁更加严重。

TEE(Trusted Execution Environment，可信执行环境)是为了解决当前移动智能终端存在的安全风险而提出的技术方案。TEE构造了一个与移动智能终端操作系统(例如Android、iOS、Windows Phone)隔离的安全运行环境。TEE位于移动智能终端主处理器中的安全区域，能够保证在可信的环境中进行敏感数据的存储、处理和保护。TEE为授权的安全软件(可信软件)提供了安全的执行环境，通过执行保护、保密、完整和数据访问权限实现了端到端的安全。

针对当前UI(User Interface，用户界面)交互过程中存在的安全风险，例如用户口令或PIN(Personal Identification Number，个人识别码)截获、显示消息的篡改，TEE提供的可信UI可实现PIN安全输入和消息可信显示等保护。GP(Global Platform，全球平台组织)定义的可信UI在将屏幕可信的显示给用户的同时，实现了以下三个基本目标：(1)安全显示：可信UI显示给用户的消息不能够被移动智能终端操作系统中的任何软件或TEE中未经授权的可信应用访问、修改或隐藏；(2)安全输入：用户输入的信息不能够被移动智能终端操作系统中的任何软件或TEE中未经授权的可信应用截获或修改；(3)SI(SecurityIndicator，安全指示器)：用户能够确信显示的屏幕是TEE中可信应用显示的。

SI是可信UI中一个特殊的标记，它让用户确认所见的屏幕是TEE中可信应用显示的。SI有两种实现方式：硬件控制的SI，例如LED(Light Emitting Diode，发光二极管)状态；只被用户知道的个人信息，例如图片或者包含正确答案的私人问题。第一个方法需要提供专用外设，需要改动硬件；第二个方法亟待解决的是安全指示的初始化，一个比较直接的方法是利用客户端应用对可信应用中的可信UI进行初始化。由于客户端应用是通过调用位于不安全移动智能终端操作系统中TEE客户端API(Application Programming Interface，应用编程接口)接口与可信应用进行通信的，其通信渠道无安全保护机制，容易受到恶意软件的攻击。恶意软件有可能截获客户端应用的调用指令，获取SI的初始化值，并在假冒UI上显示用户自定义的SI。在这种情形下，用户仍然无法确认所显示的界面是否来自于TEE。因此如何安全地初始化SI是可信UI中一个亟待解决的技术问题。

发明内容

本发明的目的是为了克服上述背景技术的不足，提供一种可信用户界面安全指示器的初始化系统及方法，能够安全实现对可信应用模块提供的可信UI中安全指示器的个人化，有效提高安全指示器显示的可信度，降低被恶意软件攻击和截获的风险。

本发明提供一种可信用户界面安全指示器的初始化系统，包括可信服务管理TSM服务器、应用商店和移动智能终端，移动智能终端通过移动互联网或者无线相容性认证Wi-Fi方式分别与TSM服务器、应用商店相连，所述移动智能终端包括移动智能终端操作系统和TEE，移动智能终端操作系统包括客户端应用模块和TEE客户端驱动模块，TEE是一个与移动智能终端操作系统隔离的安全运行环境，位于移动智能终端主处理器中的安全区域，用于提供可信交互界面、密码运算环境、安全存储环境，为授权的安全软件提供安全的执行环境，通过执行保护、保密、完整和数据访问权限实现端到端的安全，保证在可信的环境中进行敏感数据的存储、处理和保护；TEE内部在逻辑上被划分为多个安全域，以保证可信应用之间的相互隔离和独立性；每个安全域中均设置有安全域管理模块和可信应用模块，TEE为安全域管理模块和可信应用模块提供安全的运行环境；

所述TSM服务器，用于：采用安全套接层SSL或者传输层安全TLS协议与客户端应用模块进行双向认证并建立安全通道，同时采用安全通道协议SCP02、SCP03或者SCP10与TEE中的安全域管理模块建立传输业务数据的安全通道，远程实现TEE中安全域管理模块和可信应用模块的生命周期管理，包括下载安装、个人化、删除和更新；

所述应用商店，用于：提供客户端应用模块的下载；

所述客户端应用模块，用于：调用移动智能终端操作系统中提供的TEE客户端驱动模块的应用编程接口API接口，通过TEE客户端驱动模块与可信应用模块通信，客户端应用模块利用自定义的指令调用可信应用模块提供的可信服务；

所述TEE客户端驱动模块，用于：封装管理服务调用指令，为TEE中的安全域管理模块和远程TSM服务器通信提供接口；管理服务调用指令包括指令头、数据域和返回域，其中，指令头是自定义的二进制数据，用于标识所请求服务为安全域中的可信应用模块的生命周期管理服务；数据域是标记为输入的共享内存，其值为TSM服务器发送至安全域管理模块的数据包；返回域为标记输出的共享内存，安全域管理模块将请求数据包写入标记输出的共享内存，由TEE客户端驱动模块传递至TSM服务器；

所述安全域管理模块，用于：维护位于安全域内的可信应用模块及其内容的安全和生命周期管理；安全域管理模块与TSM服务器进行远程交互，交互时先要经过双向认证，认证通过后建立安全通道传输数据和指令，执行TSM服务器传输的子安全域和可信应用模块的生命周期管理指令；

所述可信应用模块，用于：为运行在移动智能终端操作系统之上的客户端应用模块提供可信服务，包括可信UI、密码运算、安全存储服务，可信UI包括安全指示器SI、信息显示区、信息输入区、虚拟软键盘和功能按键，SI用于让用户确认显示的可信UI位于TEE中，信息显示区用于显示信息，信息输入区用于编辑输入的信息，虚拟软键盘用于输入字符、数字和符号，功能按键提供的功能包括确认、取消、删除。

在上述技术方案的基础上，所述移动互联网包括3G、4G、GPRS。

在上述技术方案的基础上，所述移动智能终端包括智能手机和平板电脑。

在上述技术方案的基础上，所述移动智能终端操作系统包括Android、iOS和Windows Phone。

本发明还提供基于上述系统的可信用户界面安全指示器的初始化方法，包括以下步骤：

S1、用户在应用商店中下载客户端应用模块，将客户端应用模块安装在预置有TEE的移动智能终端操作系统之上；用户打开客户端应用模块，客户端应用模块利用获取到的TSM服务器统一资源标识符URI与TSM服务器采用SSL或TLS协议进行双向认证，协商生成会话密钥并建立安全连接；用户在客户端应用模块中选择自定义安全指示器SI：选择自定义图片或者输入一段文字，在可信UI中的左上角、右上角、右下角、左下角这四个预设位置中为SI任意选择一个位置；

S2、客户端应用模块按照SI个人化包的标签-长度-值TLV格式，对用户选择的个人化SI初始化数据进行打包，并采用会话密钥加密，再发送至TSM服务器；

S3、TSM服务器用会话密钥解密收到的数据，解析SI个人化数据包，判断SI类型：当SI为二进制图片格式时，TSM服务器对图片进行处理，处理方式包括添加数字水印；当SI为字符串格式时，TSM服务器将文字转化为图片，再对图片进行处理，处理方式包括添加数字水印；TSM服务器安全存储处理后的SI个人化数据包的内容；安全域管理模块通过TEE客户端驱动模块提供的接口，采用SCP02、SCP03或SCP10协议与TSM服务器建立安全的业务逻辑通道；

S4、TEE客户端驱动模块生成管理服务调用指令传递至安全域管理模块，安全域管理模块按照安装请求包的TLV格式打包安装请求包，加密后写入管理服务调用指令返回域，TEE客户端驱动模块将加密后的数据包传输至TSM服务器；

S5、TSM服务器解密收到的数据包，解析安装请求包，准备可信应用模块安装指令包，加密后传输至TEE客户端驱动模块，TEE客户端驱动模块将加密数据包写入管理服务调用指令的数据域，传输至安全域管理模块；安全域管理模块解密收到的密文，解析可信应用模块安装指令包，安装可信应用模块，可信应用模块为客户端应用模块提供可信UI服务；

S6、安全域管理模块按照个人化请求包的TLV格式生成可信应用模块个人化请求包，将可信应用模块的安装状态和个人化请求包加密后写入管理服务调用指令的返回域，TEE客户端驱动模块将加密数据包传输至TSM服务器；

S7、TSM服务器解密数据包，解析可信应用模块个人化请求包，准备含有可信UI安全指示器个人化指令参数的存储数据指令包；TSM服务器对指令包进行加密，将加密后的指令包传输至TEE客户端驱动模块；TEE客户端驱动模块将加密数据包写入管理服务调用指令的数据域，传输至安全域管理模块；

S8、安全域管理模块解密收到的密文，解析指令包，执行对可信应用模块的个人化，安全存储可信UI安全指示器个人化数据；安全域管理模块将可信应用模块的个人化状态加密后写入管理服务调用指令的返回域，TEE客户端驱动模块将加密后的数据包传输至TSM服务器。

在上述技术方案的基础上，步骤S2中所述SI个人化包的TLV格式包括SI个人化Tag、SI个人化数据包长度和SI个人化数据包，SI个人化Tag用于标记SI个人化数据包数据域；SI个人化数据包包括通用唯一识别码UUID Tag、UUID长度、UUID值、用户ID Tag、用户ID长度、用户ID值、SI对象ID Tag、SI对象ID长度、SI对象ID值、SI Tag、SI长度、SI值、位置Tag、位置长度、位置值，其中：UUID Tag用于标记需要个人化的可信应用模块标识符，UUID长度表示UUID值的长度，UUID值为16字节16进制整数；用户ID Tag用于标记用户身份标识数据域，用户ID长度表示用户ID值的长度，用户ID值的长度可变，字符串类型；SI对象IDTag用于标记SI对象ID数据域，SI对象ID长度表示SI对象ID值的长度，SI对象ID值是可信UI中SI的ID，其值的长度不超过64字节，二进制格式；SI Tag用于标记SI的初始化值，SI长度表示SI值的长度，SI值的长度可变，SI Tag值为数值1时，SI数据域的内容为字符串，SI Tag值为数值2时，SI数据域的内容为二进制图片；数值1、数值2为自定义的2个不同的数值；位置Tag用于标记SI位置值的数据域，位置长度表示位置值的长度，位置值为1字节16进制整数，定义左上角为0X01，右上角为0X02，右下角为0X03，左下角为0X04。

在上述技术方案的基础上，步骤S3中所述TSM服务器解析SI个人化数据包之后，依据SI Tag值判断SI类型。

在上述技术方案的基础上，步骤S4中所述安装请求包的TLV格式包括安装请求包Tag、安装请求数据包长度和安装请求数据包，安装请求包Tag用于标记安装可信应用模块的请求数据包；安装请求数据包包括UUID Tag、UUID长度、UUID值、国际移动设备身份码IMEI Tag、IMEI长度、IMEI值、终端型号Tag、终端型号长度、终端型号值、TEE版本Tag、TEE版本长度、TEE版本值，其中：UUID Tag用于标记需要安装的可信应用模块标识符，UUID长度表示UUID值的长度，UUID值为14字节16进制整数；IMEI Tag用于标记移动智能终端的IMEI值，IMEI长度表示IMEI值的长度，IMEI值为16字节字符串；终端型号Tag用于标记移动智能终端的型号值，终端型号长度表示终端型号值的长度，终端型号值为可变长度字符串；TEE版本Tag用于标记移动智能终端内的TEE版本号值，TEE版本长度表示TEE版本值的长度，TEE版本值为可变长度字符串。

在上述技术方案的基础上，步骤S6中所述个人化请求包的TLV格式包括个人化请求包Tag、个人化请求数据包长度和个人化请求数据包，个人化请求包Tag用于标记可信应用模块个人化请求数据包；个人化请求数据包包括UUID Tag、UUID长度、UUID值、用户IDTag、用户ID长度、用户ID值、IMEI Tag、IMEI长度、IMEI值、可信应用模块版本Tag、可信应用模块版本长度、可信应用模块版本值，其中：UUID Tag用于标记需要个人化的可信应用模块标识符，UUID长度表示UUID值的长度，UUID值为14字节16进制整数；用户ID Tag用于标记和可信应用模块相关联的用户身份标识，用户ID长度表示用户ID值的长度，用户ID值长度可变；IMEI Tag用于标记移动智能终端的IMEI值，IMEI长度表示IMEI值的长度，IMEI值为16字节字符串；可信应用模块版本Tag用于标记需个人化的可信应用模块的版本值，可信应用模块版本长度表示可信应用模块版本值的长度，可信应用模块版本值为可变长度字符串。

在上述技术方案的基础上，步骤S7中所述可信UI安全指示器个人化指令参数包括SI对象ID长度、SI对象ID、访问控制标记、密钥标识、算法标识、对象类型、SI对象大小、SI属性计数和SI属性，SI属性包括属性1类型、属性1长度、属性1、属性2类型、属性2长度和属性2，SI对象ID相关信息与SI个人化包中的SI对象ID值相同；访问控制标记值为TEE数据只读访问标记“TEE_DATA_FLAG_ACCESS_READ”；密钥标识和算法标识指加密SI属性所用密码算法的密钥标识和算法标识；对象类型定义为TEE类型SI“TEE_TYPE_SI”，其值为“0xA0000080”；SI对象大小为SI包含属性的长度；属性1类型为TEE类型SI值“TEE_TYPE_SI_VALUE”，其值为“0xC000A000”，属性1为SI的值，即被TSM服务器处理后的图片；属性2类型为TEE类型SI位置“TEE_TYPE_SI_LOCATION”，其值为“0xC000A001”，属性2为SI的位置值。

与现有技术相比，本发明的优点如下：

(1)本发明通过TSM(Trusted Service Manager，可信服务管理)服务器提供的远程管理功能(包括对可信应用模块的远程下载、更新、个人化以及删除等功能)，实现对可信应用模块提供的可信UI中安全指示器的个人化。可信UI安全指示器初始化数据在TSM服务器和TEE中以密文方式传递，客户端应用模块和TSM服务器之间采用SSL或者TLS协议进行双向认证并建立安全通道，确保数据传递到正确的对象，能够保证用户上传到TSM服务器中的SI个人化数据包的安全；同时，TSM服务器和TEE中的安全域管理模块采用SCP02、SCP03或者SCP10等安全协议建立安全通道，能够确保SI个人化参数传输过程和解析过程的安全，保证用户选择的SI个人化信息准确、安全的传递到TEE中经过认证的SD(Security Domain，安全域)中，由安全域管理模块实现对可信应用模块的个人化，能够阻止恶意代码的攻击，在可信服务调用过程中，使用户确信个人化SI所在的可信UI确实显示在可信执行环境之中。

(2)作为可信应用管理体系架构中的可信权威，TSM服务器依据SI信息类型进行处理，当SI信息为文字时，先将文字块转化为一个图片，再对图片进行处理；当SI信息为图片直接对图片进行处理。TSM服务器对图片的处理包括在图片上添加TSM自定义的水印，同时，TSM服务器在传输SI个人化参数时使用签名机制保证SI个人化信息传递过程中的安全。可信权威TSM服务器参与SI个人化的整个流程，能够有效提高安全指示器显示的可信度，降低被恶意软件攻击和截获的风险。

(3)本发明将安全指示器SI在可信UI中的位置定义为SI的安全属性，能够有效提高安全指示器SI个人化的安全性。

(4)安全指示器的个人化信息与用户ID进行绑定，能够保证同一用户个人化的可信UI在多台移动智能终端显示相同的安全指示器。

附图说明

图1是本发明实施例中可信用户界面安全指示器的初始化系统的结构框图。

图2是本发明实施例中可信用户界面安全指示器的初始化方法的流程图。

图3是本发明实施例中可信UI及安全指示器的位置示意图。

具体实施方式

下面结合附图及具体实施例对本发明作进一步的详细描述。

参见图1所示，本发明实施例提供一种可信用户界面安全指示器的初始化系统，包括TSM(Trusted Service Manager，可信服务管理)服务器、应用商店和移动智能终端，移动智能终端通过移动互联网或者Wi-Fi(Wireless Fidelity，无线相容性认证)方式分别与TSM服务器、应用商店相连，移动互联网包括3G(3rd-generation，第三代移动通信技术)、4G(4th-generation，第四代移动通信技术)、GPRS(General Packet Radio Service，通用分组无线服务技术)。

移动智能终端包括智能手机、平板电脑等，移动智能终端包括移动智能终端操作系统和TEE，移动智能终端操作系统为Android、iOS、Windows Phone等高阶操作系统，移动智能终端操作系统包括客户端应用模块和TEE客户端驱动模块。TEE是一个与移动智能终端操作系统隔离的安全运行环境，位于移动智能终端主处理器中的安全区域，用于提供可信交互界面、密码运算环境、安全存储环境，为授权的安全软件(可信软件)提供安全的执行环境，通过执行保护、保密、完整和数据访问权限实现端到端的安全，保证在可信的环境中进行敏感数据的存储、处理和保护，实现方式有多种。为了实现运行在TEE中的可信软件的安全，TEE内部在逻辑上被划分为多个安全域，以保证可信应用之间的相互隔离和独立性。每个安全域中均设置有安全域管理模块和可信应用模块，TEE为安全域管理模块和可信应用模块提供安全的运行环境。

TSM服务器，用于：采用SSL(Secure Sockets Layer，安全套接层)或者TLS(Transport Layer Security，传输层安全)协议与客户端应用模块进行双向认证并建立安全通道，同时采用SCP02(Secure Channel Protocol 02，安全通道协议02)、SCP03或者SCP10等安全协议与TEE中的安全域管理模块建立传输业务数据的安全通道，远程实现TEE中安全域管理模块和可信应用模块的生命周期管理，包括下载安装、个人化、删除和更新。

应用商店，用于：提供客户端应用模块的下载。

客户端应用模块，用于：调用移动智能终端操作系统中提供的TEE客户端驱动模块的API接口，通过TEE客户端驱动模块与可信应用模块通信，客户端应用模块利用自定义的指令调用可信应用模块提供的可信服务。

TEE客户端驱动模块，用于：封装管理服务调用指令，为TEE中的安全域管理模块和远程的TSM服务器通信提供接口；管理服务调用指令包括指令头、数据域和返回域，其中，指令头是自定义的二进制数据，用于标识所请求服务为安全域中的可信应用模块的生命周期管理服务；数据域是标记为输入的共享内存，其值为TSM服务器发送至安全域管理模块的数据包；返回域为标记输出的共享内存，安全域管理模块将请求数据包写入标记输出的共享内存，由TEE客户端驱动模块传递至TSM服务器。

安全域管理模块，用于：维护位于安全域内的可信应用模块及其内容的安全和生命周期管理。安全域管理模块与TSM服务器进行远程交互，交互时首先要经过双向认证，认证通过后建立安全通道传输数据和指令，执行TSM服务器传输的子安全域和可信应用模块的生命周期管理指令。

可信应用模块，用于：为运行在移动智能终端操作系统之上的客户端应用模块提供可信服务，包括但不限于可信UI、密码运算、安全存储等服务，可信UI包括安全指示器SI、信息显示区、信息输入区、虚拟软键盘和功能按键，SI用于让用户确认显示的可信UI位于TEE中，信息显示区用于显示信息，信息输入区用于编辑输入的信息，虚拟软键盘用于输入字符、数字和符号，功能按键提供的功能包括确认、取消、删除。

参见图2所示，本发明实施例提供一种基于上述系统的可信用户界面安全指示器的初始化方法，包括以下步骤：

S1、用户在应用商店中下载客户端应用模块，将客户端应用模块安装在预置有TEE的移动智能终端操作系统之上；用户打开客户端应用模块，客户端应用模块利用获取到的TSM服务器URI（Uniform Resource Identifier，统一资源标识符）与TSM服务器采用SSL或TLS协议进行双向认证，协商生成会话密钥并建立安全连接；用户在客户端应用模块中选择自定义SI：选择自定义图片或者输入一段文字，参见图3所示，在可信UI中的左上角、右上角、右下角、左下角这四个预设位置中为SI任意选择一个位置；

S2、客户端应用模块按照表1所示的TLV（Tag-Length-Value，标签-长度-值）格式，对用户选择的个人化SI初始化数据进行打包，并采用会话密钥加密，再发送至TSM服务器；

表1、安全指示器个人化包的TLV格式

参见表1所示，安全指示器个人化包的TLV格式包括SI个人化Tag、SI个人化数据包长度和SI个人化数据包，SI个人化Tag用于标记SI个人化数据包数据域；SI个人化数据包包括UUID(Universally Unique Identifier，通用唯一识别码)Tag、UUID长度、UUID值、用户ID Tag、用户ID长度、用户ID值、SI对象ID Tag、SI对象ID长度、SI对象ID值、SI Tag、SI长度、SI值、位置Tag、位置长度、位置值，其中：UUID Tag用于标记需要个人化的可信应用模块标识符，UUID长度表示UUID值的长度，UUID值为16字节16进制整数；用户ID(Identity，身份标识码)Tag用于标记用户身份标识数据域，用户ID长度表示用户ID值的长度，用户ID值的长度可变，字符串类型；SI对象ID Tag用于标记SI对象ID数据域，SI对象ID长度表示SI对象ID值的长度，SI对象ID值是可信UI中SI的ID，其值的长度不超过64字节，二进制格式；SITag用于标记SI的初始化值，SI长度表示SI值的长度，SI值的长度可变，SI Tag值为数值1时，SI数据域的内容为字符串，SI Tag值为数值2时，SI数据域的内容为二进制图片；数值1、数值2为自定义的2个不同的数值；位置Tag用于标记SI位置值的数据域，位置长度表示位置值的长度，位置值为1字节16进制整数，定义左上角为0X01，右上角为0X02，右下角为0X03，左下角为0X04。

S3、TSM服务器用会话密钥解密收到的数据，解析SI个人化数据包，依据SI Tag值判断SI类型：当SI为二进制图片格式时，TSM服务器对图片进行处理，处理方式包括但不限于添加数字水印；当SI为字符串格式时，TSM服务器将文字转化为图片，再对图片进行处理，处理方式包括但不限于添加数字水印；TSM服务器安全存储处理后的SI个人化数据包的内容；安全域管理模块通过TEE客户端驱动模块提供的接口，采用SCP02、SCP03或SCP10协议与TSM服务器建立安全的业务逻辑通道；

S4、TEE客户端驱动模块生成管理服务调用指令传递至安全域管理模块，安全域管理模块按照表2所示的TLV格式打包安装请求包，加密后写入管理服务调用指令返回域，TEE客户端驱动模块将加密后的数据包传输至TSM服务器；

表2、安装请求包的TLV格式

参见表2所示，安装请求包的TLV格式包括安装请求包Tag、安装请求数据包长度和安装请求数据包，安装请求包Tag用于标记安装可信应用模块的请求数据包；安装请求数据包包括UUID Tag、UUID长度、UUID值、IMEI(International Mobile EquipmentIdentification Number，国际移动设备身份码)Tag、IMEI长度、IMEI值、终端型号Tag、终端型号长度、终端型号值、TEE版本Tag、TEE版本长度、TEE版本值，其中：UUID Tag用于标记需要安装的可信应用模块标识符，UUID长度表示UUID值的长度，UUID值为14字节16进制整数；IMEITag用于标记移动智能终端的IMEI值，IMEI长度表示IMEI值的长度，IMEI值为16字节字符串；终端型号Tag用于标记移动智能终端的型号值，终端型号长度表示终端型号值的长度，终端型号值为可变长度字符串；TEE版本Tag用于标记移动智能终端内的TEE版本号值，TEE版本长度表示TEE版本值的长度，TEE版本值为可变长度字符串；

S5、TSM服务器解密收到的数据包，解析安装请求包，准备“Install TA”(可信应用模块安装)指令包，加密后传输至TEE客户端驱动模块，TEE客户端驱动模块将加密数据包写入管理服务调用指令的数据域，传输至安全域管理模块；安全域管理模块解密收到的密文，解析“Install TA”指令包，安装可信应用模块，可信应用模块为客户端应用模块提供可信UI服务；

S6、安全域管理模块按照表3所示的TLV格式生成可信应用模块个人化请求包，将可信应用模块的安装状态和个人化请求包加密后写入管理服务调用指令的返回域，TEE客户端驱动模块将加密数据包传输至TSM服务器；

表3、个人化请求包的TLV格式

参见表3所示，个人化请求包的TLV格式包括个人化请求包Tag、个人化请求数据包长度和个人化请求数据包，个人化请求包Tag用于标记可信应用模块个人化请求数据包；个人化请求数据包包括UUID Tag、UUID长度、UUID值、用户ID Tag、用户ID长度、用户ID值、IMEI Tag、IMEI长度、IMEI值、可信应用模块版本Tag、可信应用模块版本长度、可信应用模块版本值，其中：UUID Tag用于标记需要个人化的可信应用模块标识符，UUID长度表示UUID值的长度，UUID值为14字节16进制整数；用户ID Tag用于标记和可信应用模块相关联的用户身份标识，用户ID长度表示用户ID值的长度，用户ID值长度可变；IMEI Tag用于标记移动智能终端的IMEI值，IMEI长度表示IMEI值的长度，IMEI值为16字节字符串；可信应用模块版本Tag用于标记需个人化的可信应用模块的版本值，可信应用模块版本长度表示可信应用模块版本值的长度，可信应用模块版本值为可变长度字符串。

S7、TSM服务器解密数据包，解析可信应用模块个人化请求包，准备含有可信UI安全指示器个人化指令参数的“Store Data”(存储数据)指令包，可信UI安全指示器个人化指令参数的格式参见表4所示；TSM服务器对指令包进行加密，将加密后的指令包传输至TEE客户端驱动模块；TEE客户端驱动模块将加密数据包写入管理服务调用指令的数据域，传输至安全域管理模块；

表4、可信UI安全指示器个人化指令参数

参见表4所示，可信UI安全指示器个人化指令参数包括SI对象ID长度、SI对象ID、访问控制标记、密钥标识、算法标识、对象类型、SI对象大小、SI属性计数和SI属性，SI属性包括属性1类型、属性1长度、属性1、属性2类型、属性2长度和属性2，SI对象ID相关信息与表1中SI个人化包中的SI对象ID值相同；访问控制标记值为“TEE_DATA_FLAG_ACCESS_READ”(TEE数据只读访问标记)；密钥标识和算法标识指加密SI属性所用密码算法的密钥标识和算法标识；对象类型定义为“TEE_TYPE_SI”(TEE类型SI)，其值为“0xA000 0080”；SI对象大小为SI包含属性的长度；属性1类型为“TEE_TYPE_SI_VALUE”(TEE类型SI值)，其值为“0xC000 A000”，属性1为SI的值，即被TSM服务器处理后的图片；属性2类型为“TEE_TYPE_SI_LOCATION”(TEE类型SI位置)，其值为“0xC000A001”，属性2为SI的位置值；

S8、安全域管理模块解密收到的密文，解析指令包，执行对可信应用模块的个人化，安全存储可信UI安全指示器个人化数据；安全域管理模块将可信应用模块的个人化状态加密后写入管理服务调用指令的返回域，TEE客户端驱动模块将加密后的数据包传输至TSM服务器。

本领域的技术人员可以对本发明实施例进行各种修改和变型，倘若这些修改和变型在本发明权利要求及其等同技术的范围之内，则这些修改和变型也在本发明的保护范围之内。

说明书中未详细描述的内容为本领域技术人员公知的现有技术。

Claims (10)

1.一种可信用户界面安全指示器的初始化系统，包括可信服务管理TSM服务器、应用商店和移动智能终端，移动智能终端通过移动互联网或者无线相容性认证Wi-Fi方式分别与TSM服务器、应用商店相连，其特征在于：所述移动智能终端包括移动智能终端操作系统和可信执行环境TEE，移动智能终端操作系统包括客户端应用模块和TEE客户端驱动模块，TEE是一个与移动智能终端操作系统隔离的安全运行环境，位于移动智能终端主处理器中的安全区域，用于提供可信交互界面、密码运算环境、安全存储环境，为授权的安全软件提供安全的执行环境，通过执行保护、保密、完整和数据访问权限实现端到端的安全，保证在可信的环境中进行敏感数据的存储、处理和保护；TEE内部在逻辑上被划分为多个安全域，以保证可信应用之间的相互隔离和独立性；每个安全域中均设置有安全域管理模块和可信应用模块，TEE为安全域管理模块和可信应用模块提供安全的运行环境；

所述TSM服务器，用于：采用安全套接层SSL或者传输层安全TLS协议与客户端应用模块进行双向认证并建立安全通道，同时采用安全通道协议SCP02、SCP03或者SCP10与TEE中的安全域管理模块建立传输业务数据的安全通道，远程实现TEE中安全域管理模块和可信应用模块的生命周期管理，包括下载安装、个人化、删除和更新；

所述应用商店，用于：提供客户端应用模块的下载；

所述客户端应用模块，用于：调用移动智能终端操作系统中提供的TEE客户端驱动模块的应用编程接口API接口，通过TEE客户端驱动模块与可信应用模块通信，客户端应用模块利用自定义的指令调用可信应用模块提供的可信服务；

所述TEE客户端驱动模块，用于：封装管理服务调用指令，为TEE中的安全域管理模块和远程TSM服务器通信提供接口；管理服务调用指令包括指令头、数据域和返回域，其中，指令头是自定义的二进制数据，用于标识所请求服务为安全域中的可信应用模块的生命周期管理服务；数据域是标记为输入的共享内存，其值为TSM服务器发送至安全域管理模块的数据包；返回域为标记输出的共享内存，安全域管理模块将请求数据包写入标记输出的共享内存，由TEE客户端驱动模块传递至TSM服务器；

所述安全域管理模块，用于：维护位于安全域内的可信应用模块及其内容的安全和生命周期管理；安全域管理模块与TSM服务器进行远程交互，交互时先要经过双向认证，认证通过后建立安全通道传输数据和指令，执行TSM服务器传输的子安全域和可信应用模块的生命周期管理指令；

所述可信应用模块，用于：为运行在移动智能终端操作系统之上的客户端应用模块提供可信服务，包括可信用户界面UI、密码运算、安全存储服务，可信UI包括安全指示器SI、信息显示区、信息输入区、虚拟软键盘和功能按键，SI用于让用户确认显示的可信UI位于TEE中，信息显示区用于显示信息，信息输入区用于编辑输入的信息，虚拟软键盘用于输入字符、数字和符号，功能按键提供的功能包括确认、取消、删除。

2.如权利要求1所述的可信用户界面安全指示器的初始化系统，其特征在于：所述移动互联网包括3G、4G、GPRS。

3.如权利要求1所述的可信用户界面安全指示器的初始化系统，其特征在于：所述移动智能终端包括智能手机和平板电脑。

4.如权利要求1至3中任一项所述的可信用户界面安全指示器的初始化系统，其特征在于：所述移动智能终端操作系统包括Android、iOS和Windows Phone。

5.基于权利要求1至4中任一项所述可信用户界面安全指示器的初始化系统的可信用户界面安全指示器的初始化方法，其特征在于，包括以下步骤：

S1、用户在应用商店中下载客户端应用模块，将客户端应用模块安装在预置有可信执行环境TEE的移动智能终端操作系统之上；用户打开客户端应用模块，客户端应用模块利用获取到的可信服务管理TSM服务器统一资源标识符URI与TSM服务器采用SSL或TLS协议进行双向认证，协商生成会话密钥并建立安全连接；用户在客户端应用模块中选择自定义安全指示器SI：选择自定义图片或者输入一段文字，在可信用户界面UI中的左上角、右上角、右下角、左下角这四个预设位置中为SI任意选择一个位置；

S2、客户端应用模块按照SI个人化包的标签-长度-值TLV格式，对用户选择的个人化SI初始化数据进行打包，并采用会话密钥加密，再发送至TSM服务器；

S3、TSM服务器用会话密钥解密收到的数据，解析SI个人化数据包，判断SI类型：当SI为二进制图片格式时，TSM服务器对图片进行处理，处理方式包括添加数字水印；当SI为字符串格式时，TSM服务器将文字转化为图片，再对图片进行处理，处理方式包括添加数字水印；TSM服务器安全存储处理后的SI个人化数据包的内容；安全域管理模块通过TEE客户端驱动模块提供的接口，采用SCP02、SCP03或SCP10协议与TSM服务器建立安全的业务逻辑通道；

S4、TEE客户端驱动模块生成管理服务调用指令传递至安全域管理模块，安全域管理模块按照安装请求包的TLV格式打包安装请求包，加密后写入管理服务调用指令返回域，TEE客户端驱动模块将加密后的数据包传输至TSM服务器；

S5、TSM服务器解密收到的数据包，解析安装请求包，准备可信应用模块安装指令包，加密后传输至TEE客户端驱动模块，TEE客户端驱动模块将加密数据包写入管理服务调用指令的数据域，传输至安全域管理模块；安全域管理模块解密收到的密文，解析可信应用模块安装指令包，安装可信应用模块，可信应用模块为客户端应用模块提供可信UI服务；

S6、安全域管理模块按照个人化请求包的TLV格式生成可信应用模块个人化请求包，将可信应用模块的安装状态和个人化请求包加密后写入管理服务调用指令的返回域，TEE客户端驱动模块将加密数据包传输至TSM服务器；

S7、TSM服务器解密数据包，解析可信应用模块个人化请求包，准备含有可信UI安全指示器个人化指令参数的存储数据指令包；TSM服务器对指令包进行加密，将加密后的指令包传输至TEE客户端驱动模块；TEE客户端驱动模块将加密数据包写入管理服务调用指令的数据域，传输至安全域管理模块；

S8、安全域管理模块解密收到的密文，解析指令包，执行对可信应用模块的个人化，安全存储可信UI安全指示器个人化数据；安全域管理模块将可信应用模块的个人化状态加密后写入管理服务调用指令的返回域，TEE客户端驱动模块将加密后的数据包传输至TSM服务器。

6.如权利要求5所述的可信用户界面安全指示器的初始化方法，其特征在于：步骤S2中所述SI个人化包的TLV格式包括SI个人化Tag、SI个人化数据包长度和SI个人化数据包，SI个人化Tag用于标记SI个人化数据包数据域；SI个人化数据包包括通用唯一识别码UUIDTag、UUID长度、UUID值、用户ID Tag、用户ID长度、用户ID值、SI对象ID Tag、SI对象ID长度、SI对象ID值、SI Tag、SI长度、SI值、位置Tag、位置长度、位置值，其中：UUID Tag用于标记需要个人化的可信应用模块标识符，UUID长度表示UUID值的长度，UUID值为16字节16进制整数；用户ID Tag用于标记用户身份标识数据域，用户ID长度表示用户ID值的长度，用户ID值的长度可变，字符串类型；SI对象ID Tag用于标记SI对象ID数据域，SI对象ID长度表示SI对象ID值的长度，SI对象ID值是可信UI中SI的ID，其值的长度不超过64字节，二进制格式；SITag用于标记SI的初始化值，SI长度表示SI值的长度，SI值的长度可变，SI Tag值为数值1时，SI数据域的内容为字符串，SI Tag值为数值2时，SI数据域的内容为二进制图片；数值1、数值2为自定义的2个不同的数值；位置Tag用于标记SI位置值的数据域，位置长度表示位置值的长度，位置值为1字节16进制整数，定义左上角为0X01，右上角为0X02，右下角为0X03，左下角为0X04。

7.如权利要求6所述的可信用户界面安全指示器的初始化方法，其特征在于：步骤S3中所述TSM服务器解析SI个人化数据包之后，依据SI Tag值判断SI类型。

8.如权利要求5所述的可信用户界面安全指示器的初始化方法，其特征在于：步骤S4中所述安装请求包的TLV格式包括安装请求包Tag、安装请求数据包长度和安装请求数据包，安装请求包Tag用于标记安装可信应用模块的请求数据包；安装请求数据包包括UUID Tag、UUID长度、UUID值、国际移动设备身份码IMEI Tag、IMEI长度、IMEI值、终端型号Tag、终端型号长度、终端型号值、TEE版本Tag、TEE版本长度、TEE版本值，其中：UUID Tag用于标记需要安装的可信应用模块标识符，UUID长度表示UUID值的长度，UUID值为14字节16进制整数；IMEI Tag用于标记移动智能终端的IMEI值，IMEI长度表示IMEI值的长度，IMEI值为16字节字符串；终端型号Tag用于标记移动智能终端的型号值，终端型号长度表示终端型号值的长度，终端型号值为可变长度字符串；TEE版本Tag用于标记移动智能终端内的TEE版本号值，TEE版本长度表示TEE版本值的长度，TEE版本值为可变长度字符串。

9.如权利要求5所述的可信用户界面安全指示器的初始化方法，其特征在于：步骤S6中所述个人化请求包的TLV格式包括个人化请求包Tag、个人化请求数据包长度和个人化请求数据包，个人化请求包Tag用于标记可信应用模块个人化请求数据包；个人化请求数据包包括UUID Tag、UUID长度、UUID值、用户ID Tag、用户ID长度、用户ID值、IMEI Tag、IMEI长度、IMEI值、可信应用模块版本Tag、可信应用模块版本长度、可信应用模块版本值，其中：UUIDTag用于标记需要个人化的可信应用模块标识符，UUID长度表示UUID值的长度，UUID值为14字节16进制整数；用户ID Tag用于标记和可信应用模块相关联的用户身份标识，用户ID长度表示用户ID值的长度，用户ID值长度可变；IMEI Tag用于标记移动智能终端的IMEI值，IMEI长度表示IMEI值的长度，IMEI值为16字节字符串；可信应用模块版本Tag用于标记需个人化的可信应用模块的版本值，可信应用模块版本长度表示可信应用模块版本值的长度，可信应用模块版本值为可变长度字符串。

10.如权利要求6至9中任一项所述的可信用户界面安全指示器的初始化方法，其特征在于：步骤S7中所述可信UI安全指示器个人化指令参数包括SI对象ID长度、SI对象ID、访问控制标记、密钥标识、算法标识、对象类型、SI对象大小、SI属性计数和SI属性，SI属性包括属性1类型、属性1长度、属性1、属性2类型、属性2长度和属性2，SI对象ID相关信息与SI个人化包中的SI对象ID值相同；访问控制标记值为TEE数据只读访问标记“TEE_DATA_FLAG_ACCESS_READ”；密钥标识和算法标识指加密SI属性所用密码算法的密钥标识和算法标识；对象类型定义为TEE类型SI“TEE_TYPE_SI”，其值为“0xA000 0080”；SI对象大小为SI包含属性的长度；属性1类型为TEE类型SI值“TEE_TYPE_SI_VALUE”，其值为“0xC000A000”，属性1为SI的值，即被TSM服务器处理后的图片；属性2类型为TEE类型SI位置“TEE_TYPE_SI_LOCATION”，其值为“0xC000 A001”，属性2为SI的位置值。