CN104023032B - 基于可信执行环境技术的应用受限卸载方法、服务器和终端 - Google Patents

Abstract

本发明公开了基于可信执行环境技术的应用受限卸载方法、可信服务管理器以及终端，其中，方法包括：可信服务管理器接收用户通过终端发送的卸载应用请求；所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件；如果是，所述可信服务管理器利用公私钥技术对所述待卸载应用的编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载待卸载应用的应用程序。如此技术方案，能够保证终端卸载应用的操作是通过验证符合要求的，而不是随意触发的，这样就能够满足用户对应用卸载的实际需求。

Description

基于可信执行环境技术的应用受限卸载方法、服务器和终端

技术领域

本发明涉及金融安全技术领域，具体涉及基于可信执行环境技术的应用受限卸载方法及装置。

背景技术

人们在终端(比如手机、平板电脑、ＰOS机等)中下载安装多种类型的应用(比如安全支付软件、游戏软件、生活娱乐软件等)，以满足生活娱乐需求。当用户不再需要某款应用时，用户可以随意卸载该款应用。

在实际应用中，终端提供方不希望有些应用被用户随意卸载。比如：ＰOS机提供方银行系统不希望用户随意卸载支付应用；再比如：商家与用户协议约定，用户安装使用商家发布的某款应用，商家不希望用户随意卸载该款应用。在上述应用场景类似的实际场景下，终端提供方或者应用提供者均不希望用户随意卸载应用。

目前终端提供方采用将应用预先固化在终端操作系统的方式，以避免用户随意卸载应用的问题。但这种方式无法解决用户随意卸载自己安装的应用的问题，则这种方式无法满足人们对应用卸载的需求。

发明内容

本发明实施例的基于可信执行环境技术的应用受限卸载方法、服务器和终端，用以解决现有技术中用户随意卸载应用，无法满足人们对应用卸载的实际需求。

为此，本发明实施例提供如下技术方案：

第一方面，本发明提供了基于可信执行环境技术的应用受限卸载方法，所述方法包括：

可信服务管理器接收用户通过终端发送的卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；

所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件；

如果是，所述可信服务管理器利用公私钥技术对所述待卸载应用的编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载所述待卸载应用的应用程序。

可选的，在所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件之前，所述方法还包括：

所述可信服务管理器判断所述终端是否处于可卸载应用的状态；

如果是，所述可信服务管理器再执行检测所述终端是否满足卸载所述待卸载应用的可卸载条件的操作；

否则，所述可信服务管理器向所述终端发送告警信息，以通知用户无法卸载应用。

可选的，在所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件之前，所述方法还包括：

所述可信服务管理器检测所述待卸载应用的编号是否为自己分配的应用编号；

如果是，所述可信服务管理器再执行检测所述待卸载应用的编号和所述终端编号是否满足可卸载条件的操作；

否则，所述可信服务管理器向所述终端发送卸载指示，以使所述终端卸载所述待卸载应用。

可选的，所述方法还包括：

所述可信服务管理器接收应用提供者发送的申请应用编号请求，所述申请应用编号请求包括：应用提供者身份信息和应用名称；

所述可信服务管理器验证所述应用提供者身份信息是否合法；如果合法，所述可信服务管理器向所述应用提供者分配应用编号；

所述可信服务管理器接收所述应用提供者发送的应用发布签名信息和应用程序，所述应用发布签名信息是所述应用提供者利用公私钥对待发布应用的相关信息进行签名生成的；所述公私钥是所述应用提供者向所述可信服务管理 器申请得到的；所述相关信息包括：应用名称和应用编号；

所述可信服务管理器对所述应用发布签名信息进行验证，如果验证通过，将所述应用发布在可信应用商店，并保存该应用的可卸载条件，以使用户通过终端卸载应用。

可选的，所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件，包括以下一种检测方式或其组合：

所述可信服务管理器检测所述终端的编号是否为授权的终端编号；或者，

所述可信服务管理器检测所述待卸载应用的编号是否为可卸载应用编号；或者，

所述可信服务管理器检测所述终端安装使用所述待卸载应用的时间是否大于阈值。

第二方面，本发明提供了基于可信执行环境技术的应用受限安装方法，所述方法包括：

终端根据用户的选择向可信服务管理器发送卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；

所述终端接收所述可信服务管理器发送的签名信息和公钥，所述签名信息是所述可信服务管理器检测检测所述终端满足卸载所述待卸载应用的可卸载条件之后，利用公私钥技术对所述待卸载应用的编号进行签名生成的；

所述终端利用预存的根证书验证所述公钥的合法性；如果合法，判断所述签名信息是否正确；如果正确，所述终端卸载所述待卸载应用的应用程序。

可选的，所述方法还包括：

所述终端接收所述可信服务管理器发送的告警信息，停止卸载操作，所述告警信息是所述可信服务管理器判断所述终端不处于可卸载应用的状态之后向所述终端发送的。

可选的，所述方法还包括：

所述终端接收所述可信服务管理器发送的卸载指示，并依据所述卸载指示卸载应用，所述卸载指示是所述可信服务管理器检测所述待卸载应用的编号不是自己分配的应用编号之后向所述终端发送的。

第三方面，本发明提供了一种可信服务管理器，所述管理器包括：

第一接收单元，用于接收用户通过终端发送的卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；

第一检测单元，用于检测所述终端是否满足卸载所述待卸载应用的可卸载条件；如果是，触发第一签名单元；

所述第一签名单元，用于利用公私钥技术对所述待卸载应用的编号和终端编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载待卸载应用的应用程序。

可选的，所述管理器还包括：

判断单元，用于判断所述终端是否处于可卸载应用的状态；如果是，触发所述第一检测单元；否则，触发告警单元；

告警单元，用于向所述终端发送告警信息，以通知用户无法卸载应用。

可选的，所述管理器还包括：

第二检测单元，用于检测所述待卸载应用的编号是否为自己分配的应用编号；如果是，触发第一检测单元；否则，触发指示单元；

所述指示单元，用于向所述终端发送卸载指示，以使所述终端卸载所述待卸载应用。

可选的，所述管理器还包括：

第二接收单元，用于接收应用提供者发送的申请应用编号请求，所述申请应用编号请求包括：应用提供者身份信息和应用名称；

第一验证单元，用于验证所述应用提供者身份信息是否合法；如果合法，所述可信服务管理器向所述应用提供者分配应用编号；

第三接收单元，用于接收所述应用提供者发送的应用发布签名信息和应用程序，所述应用发布签名信息是所述应用提供者利用公私钥对待发布应用的相关信息进行签名生成的；所述公私钥是所述应用提供者向所述可信服务管理器申请得到的；所述相关信息包括：应用名称和应用编号；

第二验证单元，用于对所述应用发布签名信息进行验证，如果验证通过，将所述应用发布在可信应用商店，并保存该应用的可卸载条件，以使用户通过终端卸载应用。

可选的，所述第一检测单元，包括以下任一单元或其组合：

第一检测子单元，用于检测所述终端编号是否为授权的终端编号；

第二检测子单元，用于检测所述待卸载应用的编号是否为可卸载应用编号；

第三检测子单元，用于检测所述终端安装使用所述待卸载应用的时间是否大于阈值。

第四方面，本发明提供了一种终端，所述终端包括：

发送单元，用于根据用户的选择向可信服务管理器发送卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；

第一接收单元，用于接收所述可信服务管理器发送的签名信息和公钥，所述签名信息是所述可信服务管理器检测所述待卸载应用的编号和终端编号满足可卸载条件之后，利用公私钥技术对所述待卸载应用的编号和所述终端编号进行签名生成的；

验证单元，用于利用预存的根证书验证所述公钥的合法性；如果合法，触发判断单元；

所述判断单元，用于判断所述签名信息是否正确；如果正确，触发卸载单元；

所述卸载单元，用于卸载所述待卸载应用的应用程序。

可选的，所述终端还包括：

第二接收单元，用于接收所述可信服务管理器发送的告警信息，停止卸载操作，所述告警信息是所述可信服务管理器判断所述终端不处于可卸载应用的状态之后向所述终端发送的。

可选的，所述终端还包括：

第三接收单元，用于接收所述可信服务管理器发送的卸载指示，并依据所述卸载指示卸载应用，所述卸载指示是所述可信服务管理器检测所述待卸载应用的编号不是自己分配的应用编号之后向所述终端发送的。

由上述实施例可以看出，与现有技术相比，本发明的优点在于：

可信服务管理器接收用户通过终端发送的卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；所述可信服务管理器检测所述终端是否满足卸载 所述待卸载应用的可卸载条件；如果是，所述可信服务管理器利用公私钥技术对所述待卸载应用的编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载待卸载应用的应用程序。

可见：本发明技术方案利用可信执行环境技术，通过可信服务管理器与终端之间的双向验证，只有可信服务管理器验证用户的卸载操作必须满足应用可卸载条件，可信服务管理器才授权用户执行该卸载操作，而并不是让用户随意执行卸载操作的。因此，本发明技术方案能够保证用户卸载应用的操作是经过可信服务管理器验证通过的，是受限制的卸载操作，并不是随意执行的。这样处理就能够满足人们对应用卸载的实际需求。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是本发明实施例基于可信执行环境技术的应用受限卸载方法实施例1的流程图；

图2是本发明实施例基于可信执行环境技术的应用受限卸载方法实施例2的流程图；

图3是本发明实施例基于可信执行环境技术的应用受限卸载方法实施例3的流程图；

图4是本发明实施例基于可信执行环境技术的应用受限卸载方法实施例4的流程图；

图5是本发明实施例可信服务管理器实施1的结构图；

图6是本发明实施例可信服务管理器实施2的结构图；

图7是本发明实施例可信服务管理器实施3的结构图；

图8是本发明实施例终端实施例1的结构图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和实施方式对本发明实施例作进一步的详细说明。

参见图1，示出了图1是本发明实施例基于可信执行环境技术的应用受限卸载方法实施例1的流程图，所述方法可包括：

步骤101，可信服务管理器接收用户通过终端发送的卸载应用请求，所述卸载应用请求包括：待卸载应用的编号。

其中，可信服务管理器(Trusted Service Manager，TSM)可以是一个服务器，也可以包括多个服务器以及其他装置。TSM也可以被称之为可信服务管理平台。TSM是基于TEE技术的管理器，TEE不是纯软件的安全构架，实际上是承载在一个应用处理器上隔离的硬件体系构架。终端可以是智能手机、个人数字助理(ＰDA)、笔记本计算机和/或其它类型的电子计算和/或通信设备。终端可以支持蓝牙、在线、红外近场通讯(Near FieldCommunicaiton，NFC)通信和/或其它类型的通信。

用户可以仅从TSM提供的可信服务商店中下载应用安装可信环境中，也可以从其他应用商店下载一些应用安装在操作系统环境中。为了保证受限卸载正常进行，TSM必须预先设置一些应用的可卸载条件，不同应用的可卸载条件可能不同，特殊情况下，一些应用可以被用户无条件随意卸载，一些应用无法被任何用户卸载，即安装之后则无法再卸载，一般情况下，应用提供者会设置应用的可卸载条件，比如：银行系统设置的支付应用的可卸载条件为：仅个别终端有权限卸载该支付应用；则TSM需要保存可卸载该支付应用的个别终端的编号；再比如：应用提供者设置的聊天应用的可卸载条件为：终端安装使用该聊天应用的时间超过预设时间，终端才有权限卸载该聊天应用。则TSM需要记录该聊天应用的预设时间。针对不同应用的可卸载条件，TSM采用不同的方式进行验证。

用户在终端的显示界面选择一个或者多个待卸载应用，用户可以通过点击终端上显示的应用图片、点击卸载键、或者通过输入待卸载应用的编号等方式选择待卸载应用，一旦用户点击图片、点击卸载键、或者通过其他方式选定待卸载应用时，终端后台就会收到用户的卸载应用请求，然后终端将该请求转发 给TSM，通过该请求告知TSM用户要卸载的是哪一个应用。

步骤102，所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件；如果是，转至步骤103。

TSM可以通过以下任一种或其组合方式检测所述终端是否满足卸载所述待卸载应用的可卸载条件。

第一种方式是：所述可信服务管理器检测所述终端的编号是否为授权的终端编号。

TSM中预先保存了一些优选级较高的终端编号，这些终端可以任意卸载应用，则TSM接收到终端发送的卸载应用请求之后，只要查看该终端编号是否为授权的终端编号，如果是，说明该终端有权限卸载任何应用。

第二种方式：所述可信服务管理器检测所述待卸载应用的编号是否为可卸载应用编号。

TSM中预先保存了可信应用商店的每个应用的编号，并且根据应用提供者或者TSM管理者的需求，利用每个应用的编号标识该应用是否为可卸载应用，即，该应用的编号为可卸载应用编号或者该应用的编号为不可卸载应用编号。TSM接收到终端发送的卸载应用请求之后，就直接判断该应用的编号是否为可卸载应用编号，如果是，则表明用户可以卸载该应用。这样TSM可以根据应用提供者或者TSM管理者的需求动态设置应用是否为可卸载应用。

第三种方式：所述可信服务管理器检测所述终端安装使用所述待卸载应用的时间是否大于阈值。

TSM中预先保存了可信应用商店的每个应用的可卸载条件，该可卸载条件为：终端安装使用该应用的时间大于预设时间，每个应用对应的预设时间可能不同，也可能相同。TSM接收到终端发送的卸载应用请求之后，判断该终端安装使用该应用的时间是否大于预设时间，如果大于，则表示用户可以卸载待卸载应用。否则，表示用户不能够卸载待卸载应用。

步骤103，所述可信服务管理器利用公私钥技术对所述待卸载应用的编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载所述待卸载应用的应用程序。

TSM检测终端满足卸载所述待卸载应用的可卸载条件之后，TSM需要通过签名验证的方式告知终端用户可以卸载该应用，相对应的，终端需要验证接收到的签名信息是否是TSM发送的，同时验证签名信息中的内容是否正确，即，验证签名信息中的待卸载应用编号是否是用户所选择的待卸载应用的编号，当终端验证通过时，则执行卸载应用程序的操作，否则终端不执行卸载操作。

其中，公私钥技术的本质是：公私钥顾名思义是指公钥和私钥，公钥和私钥成对出现，公开的密钥叫公钥，只有自己知道的密钥叫私钥；用公钥加密的数据只有对应的私钥可以解密，用私钥加密的数据只有对应的公钥可以解密；如果可以用公钥解密，则必然是对应的私钥加的密，如果可以用私钥解密，则必然是对应的公钥加的密。

TSM利用公钥钥匙技术是指TSM用私钥加密数据，也称之为数字签名，终端用公钥来验证数字签名。在实际的使用中，公钥不会单独出现，总是以数字证书的方式出现，这样是为了公钥的安全性和有效性。TSM用私钥对待下载应用的编号和终端编号进行加密，即，数字签名，是为了让终端方便确认签名信息是由TSM发送的，而不是其他发送方发送的。

所述终端是基于TEE的终端，即，终端内部安装TEE，并预先在TEE中保存TSM根证书；当所述终端接收到TSM发送的所述签名信息和公钥之后，首先需要验证这个公钥是不是合法的，也就是验证该公钥是不是TSM颁发的，即，所述终端利用预存的根证书验证所述公钥的合法性；该根证书是TSM颁发的根证书，因此可以验证公钥是不是TSM颁发的。如果该公钥合法，则所述终端再判断所述签名信息是否正确；判断所述签名信息是否正确，具体是判断签名信息中的待卸载应用的编号是否是用户要卸载的那一个。如果这些信息都正确，则终端执行卸载应用程序的操作。

通过上述实施例可以看出：本发明利用可信执行环境技术，通过TSM和终端之间的信息交互，以验证用户是否可以卸载待卸载应用，以此保证用户执行卸载操作是经过TSM授权认证的，并不是随意卸载的，从而满足人们对应用卸载的需求。

用户使用终端时，常常会在终端中安装一些涉及个人隐私、财产安全的应用，比如支付宝、手机钱包、重要文件管理软件等等。因此，对于用户来讲，该终端是特别私密的设备，并不希望他人随意执行卸载操作，用户还希望执行卸载操作的过程是安全可靠的。基于此，本发明在上述实施例1的基础上提供了优选方案。

参阅图2，示出了本发明实施例基于可信执行环境技术的应用受限卸载方法实施例2的流程图，所述方法可包括：

步骤201，可信服务管理器接收用户通过终端发送的卸载应用请求，所述卸载应用请求包括：待卸载应用的编号。

此步骤与上述实施例1步骤101相同，在此不再赘述。

步骤202，所述可信服务管理器判断所述终端是否处于可卸载应用的状态；如果是，转至步骤203；否则，转至步骤204。

TSM判断所述终端是否处于可卸载应用的状态，实质上是为了验证当前卸载操作是否是用户本人发起的，此时进行卸载操作是否是安全可靠的。优选的，TSM可以通过以下任意一种或其组合的方式，判断所述终端是否处于可卸载应用的状态。

第一种实现方式是：所述可信服务管理器判断所述终端是否为挂失状态，如果是，所述终端不处于可卸载应用的状态，否则，所述终端处于可卸载应用的状态。

其中，终端可以设置使用权限，比如设置访问密码、指纹验证等。当用户的终端丢失被他人非法使用时，访问密码错误或者指纹验证失败，则终端就设置自身状态为挂失状态并告知TSM。或者，当用户自己发现终端丢失，可以通过其他方式，比如用户可以通过运行商将自己的终端设置为挂失状态，以防止他人非法使用。

这样处理之后，当TSM发现所述终端是挂失状态，则TSM判断出当前终端的操作为非法操作，即确定所述终端处于不可卸载的状态。如果，终端不处于挂失状态，则TSM认为终端的操作为合法操作，则确定所述终端处于可卸载的状态。

第二种实现方式是：所述可信服务管理器判断所述终端的电量是否大于阈 值；如果是，所述终端处于可卸载状态，否则所述终端不处于可卸载应用的状态。

由于终端在电量不足的情况进行卸载应用的操作，可能会出现执行一半的时候，终端自动关机导致操作无法完整执行，会造成信息丢失受损等问题。基于此考虑，TSM需要判断终端的电量是否满足执行操作的需求。

TSM可以采用上述任一一种方式，也可以结合这两种方式，当采用两种或者三种时，只要所有判断结果都是所述终端处于可卸载应用的状态，才可以确定所述终端处于可卸载应用的状态，否则，只能确定所述终端不处于可卸载应用的状态。在实际应用中，还可以考虑其他因素，比如终端的网络是否畅通，是否适合执行卸载应用等因素，考虑到不同的因素，TSM也可以采用不同判断方式判断所述终端是否处于可卸载应用的状态。

步骤203，所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件；如果是，转至步骤205。

本步骤与上述实施例步骤102相同，在此不再赘述。

步骤204，所述可信服务管理器向所述终端发送告警信息，以通知用户无法卸载应用。

TSM可以通过短消息形式向所述终端发送告警信息，也可以通过语音形式向所述终端发送告警信息，还可以通过彩信形式向所述终端发送告警信息，或者以图片形式等。TSM可以在告警信息中包含无法卸载应用的信息，也可以包含无法卸载的具体原因信息。

步骤205，所述可信服务管理器利用公私钥技术对所述待卸载应用的编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载所述待卸载应用的应用程序。

本步骤与上述实施例步骤103相同，在此不再赘述。

通过上述实施例可以看出：本发明提供的该优选方案是在上述实施例1方案的基础上，增加了判断用户所使用的终端是否处于可卸载应用的状态，以进一步保证卸载应用的操作的可靠性。

用户使用终端时，常常会在终端中安装一些生活娱乐性质的应用，对于这些不涉及个人隐私、财产安全的应用，比如小游戏、阅读软件、音乐软件等等。用户希望这些应用是可以随意卸载，这些应用的卸载不希望通过受限判断过程处理。基于此，本发明提供了优选方案。

参阅图3，示出了本发明实施例基于可信执行环境技术的应用受限卸载方法实施例3的流程图，所述方法可包括：

步骤301，可信服务管理器接收用户通过终端发送的卸载应用请求，所述卸载应用请求包括：待卸载应用的编号。

用户在实际使用终端的过程中，可以从TSM发布的可信应用商店下载安装应用，也可以从其他应用商店下载安装应用。但是，TSM只对可信应用商店中公布的应用进行管理。

对于用户而言，可以通过TSM的可信应用商店下载安装应用，也可以从其他应用商店下载安装应用；当然为了保证应用安全性，可以设置用户通过终端只能从TSM的可信应用商店下载安装应用。因此，用户可以选择从任一商店下载的已安装的应用作为待卸载应用。但只有在TSM授权分配编号的应用才会在可信应用商店上发布，只有在可信应用商店发布的应用才可能是受限卸载应用，而其他应用的卸载TSM不作干涉。

可信服务管理器可以为用户提供安全下载应用的服务，可信服务管理器提供可信应用商店，以便用户从可信应用商店下载应用。可信服务管理器在可信应用商店发布可信应用的过程如下S1-S5：

S1：可信服务管理器接收应用提供者发送的申请应用编号请求，所述申请应用编号请求包括：应用提供者身份信息和应用名称。

用户提供者可以是个人或公司或组织等，当用户提供者开发一款应用需要发布在TSM的可信应用商店才能够被用户下载使用，因此，用户提供者首先需要向TSM申请应用编号(ID)，应用编号用于表示应用。

S2：所述可信服务管理器验证所述应用提供者身份信息是否合法；如果合法，所述可信服务管理器向所述应用提供者分配应用编号。

对于涉及用户名和密码、信用卡信息、银行卡信息等个人财产信息安全的应用，比如与银行相关的支付应用，银行系统可能会指定某些应用提供者为其 提供支付应用，从而保证应用的可靠性。基于此，TSM只能将这些指定的应用提供者提供的支付应用发布在可信应用商店。在实际应用中，TSM管理员也可以根据各种类型的应用市场调研选择用户认可度较高的一些应用提供者作为合法的应用提供者。

其中，应用提供者身份信息可以是个人身份证信息、可以是公司代码、公司名称、或者其他能够唯一标识应用提供者身份的信息。TSM中预先保存着所有合法应用提供者的身份信息，因此，当接收到用户提供者发送的身份信息即可遍历其保存的所有合法应用提供者的身份信息中是否有该用户提供者的身份信息，如果有，则表明该应用提供者是合法的；否则，表明该应用提供者不合法。当该应用提供者是合法的，则TSM为其申请的应用分配一个编号，该编号具有唯一性。TSM将分配的应用编号发送给应用提供者。

S3：所述可信服务管理器接收所述应用提供者发送的应用发布签名信息和应用程序，所述应用发布签名信息是所述应用提供者利用公私钥对待发布应用的相关信息进行签名生成的；所述公私钥是所述应用提供者向所述可信服务管理器申请得到的；所述相关信息包括：应用名称和应用编号。

应用提供者接收到TSM分配的应用编号之后，先向TSM申请公私钥，再利用该公私钥对待发布应用的相关信息进行签名生成应用发布签名信息(签名证书)，然后将该应用发布签名信息和应用程序一起发送给TSM。其中，应用的相关信息包括：应用名称和应用编号。

S4：所述可信服务管理器对所述应用发布签名信息进行验证，如果验证通过，将所述应用发布在可信应用商店，并保存该应用的可卸载条件，以使用户通过终端卸载应用。

TSM接收到应用提供者发送的应用发布签名信息之后，对其进行验证，验证通过之后，可以将该应用发布在可信应用商店，这样，用户可以在可信应用商店随便选择下载应用。在实际应用中，TSM验证应用发布签名信息之后，还可以对应用程序进行测试审核，以确保应用程序安全可行，然后再发布在可信应用商店。

用户在实际使用终端的过程中，可以从TSM发布的可信应用商店下载安装应用，也可以从其他应用商店下载安装应用。但是，TSM只对可信应用商 店中公布的应用进行管理。

对于用户而言，可以通过TSM的可信应用商店下载应用，也可以从其他应用商店下载应用；当然为了保证应用安全性，可以设置用户通过终端只能从TSM的可信应用商店下载应用。因此，用户可以选择从任一商店下载的已安装的应用作为待卸载应用。但只有在TSM授权分配编号的应用才会在可信应用商店上发布，只有在可信应用商店发布的应用才可能是受限卸载应用，而其他应用的卸载TSM不作干涉。

步骤302，所述可信服务管理器检测所述待卸载应用的编号是否为自己分配的应用编号；如果是，转至步骤303。否则，转至步骤304。

TSM检测用户选择的待卸载应用并不是自己在可信应用商店授权发布的，即，该应用编号并不是自己分配的。TSM确定所述待卸载应用是其他应用商店发布的，则对于此类应用的卸载操作，TSM不作干涉，直接通知终端可以卸载该应用。当TSM检测用户选择的待卸载应用是自己在可信应用商店发布的，即，该应用编号是自己分配的。此时，TSM需要进一步检测终端是否满足该应用的可卸载条件。

TSM可以通过以下三种方式验证所述待卸载的编号是否为自己分配的应用编号；第一种方式是：TSM按照分配应用编号规则验证待卸载应用的编号是否符合该规则。如果符合则待卸载应用的编号是TSM分配的。第二种方式是：TSM的数据库中保存着所有已分配的应用编号，在执行验证时，在该数据库中遍历所有的编号查看是否存在所述待卸载应用的编号。如果存在，则待卸载应用的编号是TSM分配的。第三种方式是：TSM在授权应用编号时，在分配的应用编号中增加校验位，当需要验证待卸载应用的编号时，通过验证校验位来判断是否为自己分配的编号。如果校验通过，则表明该待卸载应用的编号是TSM分配的。在实际应用中，TSM也可以采用其他验证方式，在此不再一一列举。

步骤303，所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件；如果是，转至步骤305。

步骤304，所述可信服务管理器向所述终端发送卸载指示，以使所述终端卸载所述待卸载应用的应用程序。

步骤305，所述可信服务管理器利用公私钥技术对所述待卸载应用的编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载所述待卸载应用的应用程序。

本步骤与上述实施例1中103相同在此不再赘述。

通过上述实施例可以看出：本发明提供的该优选方案是在上述实施例1方案的基础上，增加了验证待下载应用的编号是否是TSM分配的应用编号的处理，这样当判断待下载应用的编号不是TSM分配的应用编号时，就直接通知如果不是，认为该应用可以被用户随意下载，则指示所述终端卸载应用程序。这样处理能够更快速地向终端反馈卸载情况。

参阅图4，示出了本发明实施例基于可信执行环境技术的应用受限卸载方法实施例4的流程图，该方法是从终端的角度描述的，所述方法可包括：

步骤401，终端根据用户的选择向可信服务管理器发送卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；

步骤402，所述终端接收所述可信服务管理器发送的签名信息和公钥，所述签名信息是所述可信服务管理器检测检测所述终端满足卸载所述待卸载应用的可卸载条件之后，利用公私钥技术对所述待卸载应用的编号进行签名生成的；

步骤403，所述终端利用预存的根证书验证所述公钥的合法性；如果合法，执行步骤404。

步骤404，判断所述签名信息是否正确；如果正确，执行步骤405。

步骤405，所述终端卸载所述待卸载应用的应用程序。

可选的，所述方法还包括：

所述终端接收所述可信服务管理器发送的告警信息，停止卸载操作，所述告警信息是所述可信服务管理器判断所述终端不处于可卸载应用的状态之后向所述终端发送的。

可选的，所述方法还包括：

所述终端接收所述可信服务管理器发送的卸载指示，并依据所述卸载指示卸载应用，所述卸载指示是所述可信服务管理器检测所述待卸载应用的编号不是自己分配的应用编号之后向所述终端发送的。

通过上述实施例可以看出：用户使用该终端选择待待卸载的应用，终端通过与TSM交互信息，由TSM和终端双重验证以确定是否执行卸载操作，从而保证卸载操作的安全可靠性。

与上述方法实施例1相对应的，本发明还提供了一种可信服务管理器用于实现上述方法。

参阅图5，示出了本发明实施例可信服务管理器实施例1的结构图，该管理器可包括：

第一接收单元501，用于接收用户通过终端发送的卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；

第一检测单元502，用于检测所述终端是否满足卸载所述待卸载应用的可卸载条件；如果是，触发第一签名单元；

所述第一签名单元503，用于利用公私钥技术对所述待卸载应用的编号和终端编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载待卸载应用的应用程序。

优选的，所述第一检测单元包括以下任一单元或其组合：

第一检测子单元，用于检测所述终端编号是否为授权的终端编号；

第二检测子单元，用于检测所述待卸载应用的编号是否为可卸载应用编号；

第三检测子单元，用于检测所述终端安装使用所述待卸载应用的时间是否大于阈值。

通过上述实施例可以看出：本发明提供的可信服务管理器利用可信执行环境技术与终端之间的进行信息交互，以确定卸载操作是否可以执行，以此保证 用户执行卸载操作是经过TSM和终端验证的，并不是随意卸载的，从而满足人们对应用卸载的需求。

与上述方法实施例2相对应的，本发明还提供了一种可信服务管理器用于实现上述方法。

参阅图6，示出了本发明实施例可信服务管理器实施例2的结构图，该管理器可包括：

第一接收单元601，用于接收用户通过终端发送的下载应用请求，所述下载应用请求包括：待下载应用的编号和终端编号。

判断单元602，用于判断所述终端是否处于可卸载应用的状态；如果是，触发所述第一检测单元；否则，触发告警单元；

所述告警单元603，用于向所述终端发送告警信息，以通知用户无法卸载应用。

第一检测单元604，用于检测所述终端是否满足卸载所述待卸载应用的可卸载条件；如果是，触发第一签名单元；

所述第一签名单元605，用于利用公私钥技术对所述待卸载应用的编号和终端编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载所述待卸载应用的应用程序。

通过上述实施例可以看出：本发明提供的该优选方案是在上述管理器实施例1方案的基础上，增加了状态判断单元和告警单元，通过这两个单元与其他单元之间的相互作用，能够更快速地向终端反馈卸载建议，以保证终端执行卸载操作的反应速度和安全性。

与上述方法实施例3相对应的，本发明还提供了一种可信服务管理器用于实现上述方法。

参阅图7，示出了本发明实施例可信服务管理器实施例3的结构图，该管理器可包括：

第一接收单元701，用于接收用户通过终端发送的下载应用请求，所述下载应用请求包括：待下载应用的编号和终端编号；

第二检测单元702，用于检测所述待卸载应用的编号是否为自己分配的应用编号；如果是，触发第一检测单元；否则，触发指示单元；

所述指示单元703，用于向所述终端发送卸载指示，以使所述终端卸载所述待卸载应用。

所述第一检测单元704，用于检测所述待下载应用的编号是否为自己授权的应用编号；如果是，触发第一发送单元；

所述第一签名单元705，用于利用公私钥技术对所述待卸载应用的编号和终端编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载所述待卸载应用的应用程序。

优选的，所述管理器还包括：

第二接收单元，用于接收应用提供者发送的申请应用编号请求，所述申请应用编号请求包括：应用提供者身份信息和应用名称；

第一验证单元，用于验证所述应用提供者身份信息是否合法；如果合法，所述可信服务管理器向所述应用提供者分配应用编号；

第三接收单元，用于接收所述应用提供者发送的应用发布签名信息和应用程序，所述应用发布签名信息是所述应用提供者利用公私钥对待发布应用的相关信息进行签名生成的；所述公私钥是所述应用提供者向所述可信服务管理器申请得到的；所述相关信息包括：应用名称和应用编号；

第二验证单元，用于对所述应用发布签名信息进行验证，如果验证通过，将所述应用发布在可信应用商店，并保存该应用的可卸载条件，以使用户通过终端卸载应用。

通过上述实施例可以看出：本发明提供的该优选方案是在上述管理器实施例1方案的基础上，增加了用于验证应用提供者身份以及应用发布过程验证等处理的各功能单元，在应用发布这一环境更进一步保证了应用的安全性，从而间接的保证用户下载应用的安全性。

对上述方法实施例4相对应的，本发明还提供了一种终端。

参阅图8，示出了本发明实施例终端实施例1的结构图，该终端可包括：

发送单元801，用于根据用户的选择向可信服务管理器发送卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；

第一接收单元802，用于接收所述可信服务管理器发送的签名信息和公钥，所述签名信息是所述可信服务管理器检测所述待卸载应用的编号和终端编号满足可卸载条件之后，利用公私钥技术对所述待卸载应用的编号和所述终端编号进行签名生成的；

验证单元803，用于利用预存的根证书验证所述公钥的合法性；如果合法，触发判断单元；

所述判断单元804，用于判断所述签名信息是否正确；如果正确，触发卸载单元；

所述卸载单元805，用于卸载所述待卸载应用的应用程序。

优选的，所述终端还包括：

第二接收单元，用于接收所述可信服务管理器发送的告警信息，停止卸载操作，所述告警信息是所述可信服务管理器判断所述终端不处于可卸载应用的状态之后向所述终端发送的。

优选的，所述终端还包括：

第三接收单元，用于接收所述可信服务管理器发送的卸载指示，并依据所述卸载指示卸载应用，所述卸载指示是所述可信服务管理器检测所述待卸载应用的编号不是自己分配的应用编号之后向所述终端发送的。

终端应用TEE技术相当于终端上有两个环境，相当于一个终端上运行双系统REE和TEE；一个是富执行环境(Rich Execution Environment，REE)，比如Andriod IOS等操作系统。另一个是可信执行环境(Trusted Execution Environment，TEE)，可以看作是具有安全处理能力和提高安全外设操作的可信操作系统；在该终端上TEE是与REE相互隔离的、独立运行。

可信执行环境(Trust Execution Environment，TEE)跟普通开放式操作系统是隔离的，通过使用TEE Tursted U I AＰI，使得用户终端的显示屏，也包括 键盘的外设与开放式操作系统也是隔离的，将应用承载在TEE上面，实际上就减小了应用被装载在开放式操作系统里的恶意应用攻击的概率，因此，它与开放式操作系统是隔离的，所以用户的可信应用的所有操作都是安全可靠的。TSM与TEE建立安全通道，完成对应用的下载和卸载操作的管理。

通过上述实施例可以看出：用户使用该终端选择待卸载的应用，终端通过与TSM交互，根据TSM的验证决定是否执行卸载操作，从而保证卸载操作符合实际卸载需求，不是随意触发执行的。

本发明方案可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序单元。一般地，程序单元包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本发明方案，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序单元可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上对本发明实施例进行了详细介绍，本文中应用了具体实施方式对本发明进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及设备；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (14)

1.基于可信执行环境技术的应用受限卸载方法，其特征在于，所述方法包括：

可信服务管理器接收用户通过终端发送的卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；

所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件；

如果是，所述可信服务管理器利用公私钥技术对所述待卸载应用的编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载所述待卸载应用的应用程序；

所述方法还包括：所述可信服务管理器接收应用提供者发送的申请应用编号请求，所述申请应用编号请求包括：应用提供者身份信息和应用名称；

所述可信服务管理器验证所述应用提供者身份信息是否合法；如果合法，所述可信服务管理器向所述应用提供者分配应用编号；

所述可信服务管理器接收所述应用提供者发送的应用发布签名信息和应用程序，所述应用发布签名信息是所述应用提供者利用公私钥对待发布应用的相关信息进行签名生成的；所述公私钥是所述应用提供者向所述可信服务管理器申请得到的；所述相关信息包括：应用名称和应用编号；

所述可信服务管理器对所述应用发布签名信息进行验证，如果验证通过，将所述应用发布在可信应用商店，并保存该应用的可卸载条件，以使用户通过终端卸载应用。

2.根据权利要求1所述的方法，其特征在于，在所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件之前，所述方法还包括：

所述可信服务管理器判断所述终端是否处于可卸载应用的状态；

如果是，所述可信服务管理器再执行检测所述终端是否满足卸载所述待卸载应用的可卸载条件的操作；

否则，所述可信服务管理器向所述终端发送告警信息，以通知用户无法卸载应用。

3.根据权利要求1所述的方法，其特征在于，在所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件之前，所述方法还包括：

所述可信服务管理器检测所述待卸载应用的编号是否为自己分配的应用编号；

如果是，所述可信服务管理器再执行检测所述待卸载应用的编号和所述终端编号是否满足可卸载条件的操作；

否则，所述可信服务管理器向所述终端发送卸载指示，以使所述终端卸载所述待卸载应用。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述可信服务管理器检测所述终端是否满足卸载所述待卸载应用的可卸载条件，包括以下一种检测方式或其组合：

所述可信服务管理器检测所述终端的编号是否为授权的终端编号；或者，

所述可信服务管理器检测所述待卸载应用的编号是否为可卸载应用编号；或者，

所述可信服务管理器检测所述终端安装使用所述待卸载应用的时间是否大于阈值。

5.基于可信执行环境技术的应用受限卸载方法，其特征在于，所述方法包括：

终端根据用户的选择向可信服务管理器发送卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；其中，所述待卸载应用是由应用提供者提供的，可信服务管理器接收所述应用提供者发送的申请应用编号请求，所述申请应用编号请求包括：应用提供者身份信息和应用名称；所述可信服务管理器验证所述应用提供者身份信息是否合法；如果合法，所述可信服务管理器向所述应用提供者分配应用编号；所述可信服务管理器接收所述应用提供者发送的应用发布签名信息和应用程序，所述应用发布签名信息是所述应用提供者利用公私钥对待发布应用的相关信息进行签名生成的；所述公私钥是所述应用提供者向所述可信服务管理器申请得到的；所述相关信息包括：应用名称和应用编号；所述可信服务管理器对所述应用发布签名信息进行验证，如果验证通过，将所述应用发布在可信应用商店，并保存该应用的可卸载条件，以使用户通过终端卸载应用；

所述终端接收所述可信服务管理器发送的签名信息和公钥，所述签名信息是所述可信服务管理器检测检测所述终端满足卸载所述待卸载应用的可卸载条件之后，利用公私钥技术对所述待卸载应用的编号进行签名生成的；

所述终端利用预存的根证书验证所述公钥的合法性；如果合法，判断所述签名信息是否正确；如果正确，所述终端卸载所述待卸载应用的应用程序。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

所述终端接收所述可信服务管理器发送的告警信息，停止卸载操作，所述告警信息是所述可信服务管理器判断所述终端不处于可卸载应用的状态之后向所述终端发送的。

7.根据权利要求5所述的方法，其特征在于，所述方法还包括：

所述终端接收所述可信服务管理器发送的卸载指示，并依据所述卸载指示卸载应用，所述卸载指示是所述可信服务管理器检测所述待卸载应用的编号不是自己分配的应用编号之后向所述终端发送的。

8.一种可信服务管理器，其特征在于，所述管理器包括：

第一接收单元，用于接收用户通过终端发送的卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；

第一检测单元，用于检测所述终端是否满足卸载所述待卸载应用的可卸载条件；如果是，触发第一签名单元；

所述第一签名单元，用于利用公私钥技术对所述待卸载应用的编号和终端编号进行签名生成签名信息，并向所述终端发送所述签名信息和公钥，以使所述终端利用预存的根证书验证所述公钥的合法性；如果合法，所述终端判断所述签名信息是否正确；如果正确，所述终端卸载待卸载应用的应用程序；

第二接收单元，用于接收应用提供者发送的申请应用编号请求，所述申请应用编号请求包括：应用提供者身份信息和应用名称；

第一验证单元，用于验证所述应用提供者身份信息是否合法；如果合法，所述可信服务管理器向所述应用提供者分配应用编号；

第三接收单元，用于接收所述应用提供者发送的应用发布签名信息和应用程序，所述应用发布签名信息是所述应用提供者利用公私钥对待发布应用的相关信息进行签名生成的；所述公私钥是所述应用提供者向所述可信服务管理器申请得到的；所述相关信息包括：应用名称和应用编号；

第二验证单元，用于对所述应用发布签名信息进行验证，如果验证通过，将所述应用发布在可信应用商店，并保存该应用的可卸载条件，以使用户通过终端卸载应用。

9.根据权利要求8所述的管理器，其特征在于，所述管理器还包括：

判断单元，用于判断所述终端是否处于可卸载应用的状态；如果是，触发所述第一检测单元；否则，触发告警单元；

告警单元，用于向所述终端发送告警信息，以通知用户无法卸载应用。

10.根据权利要求8所述的管理器，其特征在于，所述管理器还包括：

第二检测单元，用于检测所述待卸载应用的编号是否为自己分配的应用编号；如果是，触发第一检测单元；否则，触发指示单元；

所述指示单元，用于向所述终端发送卸载指示，以使所述终端卸载所述待卸载应用。

11.根据权利要求8至10任意一项所述的管理器，其特征在于，所述第一检测单元，包括以下任一单元或其组合：

第一检测子单元，用于检测所述终端编号是否为授权的终端编号；

第二检测子单元，用于检测所述待卸载应用的编号是否为可卸载应用编号；

第三检测子单元，用于检测所述终端安装使用所述待卸载应用的时间是否大于阈值。

12.一种终端，其特征在于，所述终端包括：

发送单元，用于根据用户的选择向可信服务管理器发送卸载应用请求，所述卸载应用请求包括：待卸载应用的编号；所述待卸载应用是由可信服务管理器在对应用发布签名信息验证通过后发布在可信应用商店的，所述应用发布签名信息是由应用提供者利用公私钥对待卸载应用的相关信息进行签名生成的；所述公私钥是所述应用提供者向所述可信服务管理器申请得到的；所述相关信息包括：应用名称和应用编号；所述应用编号是可信服务管理器在所述验证应用提供者合法时向所述应用提供者分配的；

第一接收单元，用于接收所述可信服务管理器发送的签名信息和公钥，所述签名信息是所述可信服务管理器检测所述待卸载应用的编号和终端编号满足可卸载条件之后，利用公私钥技术对所述待卸载应用的编号和所述终端编号进行签名生成的；

验证单元，用于利用预存的根证书验证所述公钥的合法性；如果合法，触发判断单元；

所述判断单元，用于判断所述签名信息是否正确；如果正确，触发卸载单元；

所述卸载单元，用于卸载所述待卸载应用的应用程序。

13.根据权利要求12所述的终端，其特征在于，所述终端还包括：

第二接收单元，用于接收所述可信服务管理器发送的告警信息，停止卸载操作，所述告警信息是所述可信服务管理器判断所述终端不处于可卸载应用的状态之后向所述终端发送的。

14.根据权利要求12所述的终端，其特征在于，所述终端还包括：

第三接收单元，用于接收所述可信服务管理器发送的卸载指示，并依据所述卸载指示卸载应用，所述卸载指示是所述可信服务管理器检测所述待卸载应用的编号不是自己分配的应用编号之后向所述终端发送的。