CN104243491B - 一种可信安全服务的控制方法及系统 - Google Patents

Abstract

本发明提供了一种可信安全服务的控制方法及系统，本发明中若应用APP具有对应权限时，则允许应用APP访问TCS层，进而可以访问TPM/MTM的安全特性。本发明中应用APP只需要具备相应权限即可访问TCS层，应用APP所具有的权限都由本发明定义扩展的权限控制层维护，由独立的权限管理服务对权限进行管理和分发。与现有技术相比，本发明解决了使用TPM/MTM的受保护资源对象和本地TPM用户口令的维护困难问题。应用APP不再需要是TPM的直接用户，也无需维护TPM用户口令，而是具有相应权限后即能够访问TCS层。同时，通过TPM/MTM的增强安全服务，使得应用APP能够友好的使用TPM/MTM。

Description

一种可信安全服务的控制方法及系统

技术领域

本发明涉及通信技术中可信计算领域，尤其涉及一种可信安全服务的控制方法及系统。

背景技术

TCG(Trusted Computing Group，可信计算组织)是一个可信计算实现的行业标准组织。TCG发布了TPM(Trusted Platform Module，可信平台模块)，MTM(Mobile TrustedModule，移动可信模块)，TSS(Trusted Software Stack，可信软件栈)，TNC(TrustedNetwork Connect，可信网络连接)等相关的一系列版本的标准文档。

其中TPM和MTM是TCG的核心内容。TPM/MTM是一种终端安全增强技术，能显著增强终端业务的安全，如内容版权保护、支付和硬盘加密等业务，这些业务部署设置有TPM/MTM上的终端上时，安全性会提高。例如：A为一个有影响力的公司，希望在B的终端上开展点播收费业务，在B的终端上具有TPM/MTM的情况下，A的应用开发者会将有吸引力的内容设置在B的终端上，以便防止A的内容被盗版、分发。

应用开发者通过应用APP使用终端上的TPM/MTM时需要TSS参与，TSS层的业务被称为可信安全服务，TSS的参考结构分为三层，TSP(TSS Service Provider，TSS服务提供者)，TCS(TSS Core Service，TSS核心服务)，TDDL(Trusted Computing Platform AllianceDevice Driver Library，TCPA设备驱动库)。其中，TSP层主要为应用程序提供面向对象的接口，TCS提供命令参数组包、密钥和证书管理等重要功能，TDDL则处理与TPM/MTM通信相关的内容。

在应用开发者在使用TPM/MTM之前预先需要设置TPM/MTM用户的口令，为了防止口令泄露，系统或者应用开发者需要对口令进行维护，当应用APP使用TPM/MTM时，需要应用APP向TSS的TCS层输入与命令和会话相关的临时密钥与TPM/MTM建立安全会话，应用APP才可安全的使用TPM/MTM特性。但随之而来的问题是：若口令被盗用则有可能影响APP的业务安全以及出现TPM/MTM被滥用的风险，所以口令拥有者需要花费大量的资源对口令进行存储以及保密工作。

另外一方面，TSS缺少更高层次的封装，影响在智能终端上开发者的使用，需要针对更高层次封装的可信服务的控制方法，使得应用开发者友好的利用应用APP使用TPM/MTM。

发明内容

本发明提供了一种可信安全服务的控制方法及系统，本发明使得应用APP能够友好的使用TPM/MTM，且适用于TPM/MTM的受控调用机制。

为了实现上述目的，本发明提供了以下技术手段：

一种可信安全服务的控制方法，应用于可信安全服务的控制系统，所述系统包括应用APP、增强安全服务模块和可信软件栈TSS，所述TSS中包括TSS服务提供者TSP，TSS核心服务TCS层和TSS设备驱动库TDDL，TCS层上设有扩展的权限控制模块，所述方法包括：

在应用APP调用TSP的至少一个TSP接口或所述增强安全服务模块的至少一个服务接口请求访问所述TCS层时，获取所述应用APP的身份；

在预设权限数据库中查询与所述应用APP的身份对应的APP权限组，仅在确定所述APP权限组中包含目标权限时，允许所述应用APP访问所述TCS层，以允许所述应用APP使用TPM/MTM的安全特性和TCS层维护的安全资源，所述目标权限包括所述应用APP调用的至少一个TSP接口或至少一个服务接口的权限。

优选的，所述系统还包括：权限管理服务模块和权限管理应用模块，所述方法还包括：所述应用APP获取目标权限；

所述应用APP获取目标权限的过程具体包括：

接收所述应用APP发送的目标权限请求，并获取所述应用APP的身份；

在预设权限数据库中查询与所述应用APP的身份对应的APP权限组；

当预设权限数据库中的APP权限组中未包含请求的所述目标权限时，向所述权限管理服务模块发送提示信息，并接收由所述权限管理服务反馈的、对所述应用APP授权的授权信息；

对所述应用APP的身份、所述授权信息和所述目标权限进行验证，仅当所述应用APP的身份、所述授权信息和所述目标权限验证正确后，更新预设权限数据库中的APP权限，以使应用APP具有所述目标权限。

优选的，所述在预设权限数据库中查询与所述应用APP的身份对应的APP权限组包括：

在所述预设权限数据库中依据所述应用APP的身份进行查询，所述预设权限数据库中预先存储有与多个应用APP对应的多个权限组，每个权限组中包括若干个ESSU，每个ESSU具有多个TSP接口和多个服务接口的权限；

获得与所述应用APP的身份对应的APP权限组。

优选的，所述在预设权限数据库中查询与所述应用APP的身份对应的APP权限组之后还包括：

判断所述APP权限组中是否包含所述目标权限；

当所述APP权限组中未包含所述目标权限时，则不允许所述应用APP访问TCS层。

优选的，还包括：

在所述应用APP具有所述目标权限后，经所述权限管理服务模块向所述应用APP发送授权凭证。

优选的，在应用APP调用增强安全服务模块的至少一个服务接口请求访问所述TCS层之前还包括：

所述增强安全服务模块的至少一个服务接口接收所述应用APP发送的所述授权凭证，在验证所述授权凭证正确后，允许所述应用APP访问所述至少一个服务接口。

优选的，还包括：

创建多个ESSU的空白权限列表，每个ESSU对应至少一个应用APP；

随机生成ESSU中多个TSP接口和多个服务接口的授权数据。

优选的，所述创建多个ESSU的空白权限列表包括：

创建一个通用ESSU，所述通用ESSU对应所有应用APP；

创建一个权限管理服务模块专用ESSU。

优选的，在判断所述APP权限组中是否包含所述目标权限之前还包括：

接收所述应用APP经权限管理服务模块发送的查询权限请求，并获取所述应用APP的身份；

依据所述应用APP的身份在所述预设权限数据库中进行查询，获得所述应用APP的权限组，并将权限组经权限管理服务模块发送至所述应用APP；

接收所述应用APP经所述权限管理服务模块发送的目标权限请求，所述目标权限为所述应用APP接收权限组后确定满足自身需求的权限。

优选的，对所述应用APP的身份、所述授权信息和所述目标权限进行验证过程包括：

仅当发起目标权限请求的实体为权限管理服务模块时，判断所述应用APP的身份是否为智能终端中的应用，当确定为智能终端中的应用时，在所述预设权限数据库中获取与所述应用APP的身份对应的权限组；

判断所述权限组中是否包含所述目标权限，当所述权限组中未包含所述目标权限时，验证所述授权信息与所述预设权限数据库中的预存储的验证信息，验证通过，则更新权限组的APP权限，确定所述应用APP具有所述目标权限。

一种可信安全服务的控制系统，包括：

应用APP、增强安全服务模块和可信软件栈TSS，所述TSS中包括TSS服务提供者TSP，TSS核心服务TCS层和TSS设备驱动库TDDL，TCS层上设有扩展的权限控制模块；

所述应用APP调用所述TSP的至少一个TSP接口或增强安全服务模块的至少一个服务接口请求访问所述TCS层；

所述权限控制模块，用于获取所述应用APP的身份；在预设权限数据库中查询所述应用APP所具有的APP权限组，仅在确定所述APP权限组中包含目标权限时，允许所述应用APP访问所述TCS层，以允许所述应用APP使用TPM/MTM的安全特性和TCS层维护的安全资源，所述目标权限包括所述应用APP调用的至少一个TSP接口或至少一个服务接口的权限。

优选的，还包括：权限管理应用模块和权限管理服务模块；

所述权限控制模块，用于接收所述应用APP发送的目标权限请求，并获取所述应用APP的身份；在预设权限数据库中查询与所述应用APP的身份对应的APP权限组；当所述APP权限组中未包含所述目标权限时，向所述权限管理服务模块发送提示信息；

所述权限管理服务模块，用于接收所述提示信息后，向所述权限管理应用模块发送所述提示信息；

所述权限管理应用模块，用于接收设备操作者输入的、对所述应用APP授权的授权信息，并将授权信息发送至权限管理服务模块；

所述权限管理服务模块，用于接收所述授权信息，并将所述应用APP的身份、所述授权信息和所述目标权限发送至所述权限控制模块；

所述权限控制模块对所述应用APP的身份、所述授权信息和所述目标权限进行验证，仅当所述应用APP的身份、所述授权信息和所述目标权限验证正确后，更新预设权限数据库中的APP权限，以使所述应用APP具有所述目标权限。

本发明提供了一种可信安全服务的控制方法，本方法中应用APP不再完全依赖授权数据的机密性与TPM/MTM进行交互验证，而是在TSS层验证应用APP是否具有访问TCS层的权限，若应用APP具有对应权限时，则允许应用APP访问TCS层，进而可以访问TPM/MTM的安全特性和TCS层维护的安全资源。

本发明中应用APP只需要具备相应权限即可访问TCS层，应用APP所具有的权限都存储在TSS层，由权限管理服务模块对权限进行管理和分发，应用APP只需申请对应的权限即可。

与现有技术相比，应用APP不再需要是TPM的直接用户，也无需维护TPM用户口令，而是具有相应权限后即能够访问TCS层。同时，通过TPM/MTM的增强安全服务和服务的控制方法，使得应用APP能够友好的使用TPM/MTM。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例公开的一种可信安全服务的控制系统的结构示意图；

图2为本发明实施例公开的一种可信安全服务的控制方法的流程图；

图3为本发明实施例公开的又一种可信安全服务的控制系统的结构示意图；

图4为本发明实施例公开的又一种可信安全服务的控制方法的流程图；

图5为本发明实施例公开的又一种可信安全服务的控制方法的流程图；

图6为本发明实施例公开的又一种可信安全服务的控制方法的流程图；

图7为本发明实施例公开的又一种可信安全服务的控制系统的结构示意图；

图8为本发明实施例公开的又一种可信安全服务的控制方法的流程图；

图9为本发明实施例公开的又一种可信安全服务的控制系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明提供了一种可信安全服务的控制系统，包括：

应用APP100、增强安全服务模块200和可信软件栈TSS300，所述TSS300包括TSS服务提供者TSP层301、TSS核心服务TCS层302和TSS设备驱动库TDDL303，所述TDDL与TPM/MTM的安全特性相关，所述TCS层302上包括权限控制模块304。

TSS中TSP层301的特性与基础安全特性相关与应用APP100的业务无关，需要应用开发者具备精通TCG设计原理才能够正常使用，为了方便应用开发者使用，本发明在原来的TSP层301的基础上增加了增强安全服务模块200，增强安全服务模块200中的服务接口与业务相关，与基础安全特性无关，所以方便应用开发者的使用，即增强安全服务模块200在TSS与应用APP100之间起桥梁作用，面向应用APP100提供与服务相关的接口，面向TSS层能够提供兼容基础安全特性的接口。

由于TSP层301中有上百个TSP接口，增强安全服务模块200中只有与TSP层301中部分接口对应的服务接口，所以当增强安全服务模块200中不存在应用开发者所要使用的TSP接口时，则需要应用开发者继续了解TCG设计原理，以便使用TSP接口来访问TCS层，进而访问TPM/MTM的安全特性。

经过上述内容可知，在应用开发者利用应用APP100使用TPM/MTM的安全特性时，需要应用APP100访问TCS层，应用APP100访问TCS层能够通过两个通道，第一个通道为使用TSP的至少一个TSP接口与TCS层进行交互，第二个通道为使用增强安全服务模块200的至少一个服务接口与TCS层进行交互。

在应用APP100具有使用TSP的至少一个TSP接口或使用增强安全服务模块200的至少一个服务接口的权限后，便可利用TSP接口或增强安全服务模块200去访问TCS层，下面详细介绍该访问过程。

如图2所示，本发明提供了一种可信安全服务的控制方法，应用于如图1所示可信安全服务的控制系统包括：

步骤S101：在应用APP100调用TSP的至少一个TSP接口或增强安全服务模块200的至少一个服务接口请求访问所述TCS层时，权限控制模块获取所述应用APP100的身份；

TSS的TCS层中权限控制模块304获取应用APP100的身份，权限控制模块304从智能终端系统中获取应用APP100的身份，应用系统的身份是应用APP100的真实身份，以防应用APP100伪造身份来恶意访问TPM/MTM的安全特性。

步骤S102：权限控制模块304在预设权限数据库中查询与所述应用APP100的身份对应的APP权限，仅在确定所述APP权限中包含目标权限时，允许所述应用APP100访问所述TCS层，以允许所述应用APP100使用TPM/MTM的安全特性，所述目标权限包括所述应用APP100调用至少一个TSP接口或至少一个服务接口的权限。

优选的，步骤102中在所述在预设权限数据库中查询所述应用APP100所具有的APP权限之后还包括：判断所述APP权限组中是否包含所述目标权限；当所述APP权限组中未包含所述目标权限时，则不允许所述应用APP100访问TCS层。

权限控制模块304内部具有预设权限数据库，预设权限数据库中预先存储有与多个应用APP100对应的多个权限组，每个权限组中包括若干个ESSU，每个ESSU具有多个TSP接口和多个服务接口的权限；权限控制模块304在所述预设权限数据库中依据所述应用APP100的身份进行查询，获得与所述应用APP100的身份对应的APP权限组。

该权限组即为应用APP100所有具有的所有权限，当应用APP100调用TSP接口访问TCS层时，在权限组查询应用APP100是否具有访问TSP接口的目标权限，当应用APP100调用服务接口访问TCS层时，在权限组查询应用APP100是否具有访问服务接口的目标权限，当权限组中包含目标权限时，则确认应用APP100具有目标权限，从而允许应用APP100访问TCS层，允许应用APP100使用TPM/MTM的安全特性。

本发明提供了一种可信安全服务的控制方法，本方法中应用APP100不再完全依赖授权数据的机密性与TPM/MTM进行交互验证，而是TSS层验证应用APP100是否具有访问TCS层的权限，若应用APP100具有对应权限时，则允许应用APP100访问TCS层，进而可以访问TPM/MTM的安全特性。

本发明中应用APP100只需要具备相应权限即可访问TCS层，应用APP100所具有的权限都存储在TSS层，由权限管理服务模块权限进行管理和分发，应用APP100只需申请对应的权限即可。

与现有技术相比，应用APP不再需要是TPM的直接用户，也无需维护TPM用户口令，而是具有相应权限后即能够访问TCS层，。同时，通过TPM/MTM的增强安全服务和服务的控制方法，使得应用APP能够友好的使用TPM/MTM。

在上图步骤S101之前还包括应用APP100获取目标权限的过程，在介绍目标权限之前首先介绍本发明提供的另一种可信安全服务的控制系统，如图3所示，本系统在图1所示的基础上还包括：与TSS相连的权限管理服务模块400，与所述权限管理服务模块400相连的权限管理应用模块500。

权限管理应用模块500，能够为设备操作者提供可视化UI，设备操作者可操作权限管理应用模块500，权限管理服务模块400与权限管理应用模块500之间进行数据交互。

下面介绍所述应用APP100获取目标权限的过程，如图4所示包括以下步骤：

步骤S201：接收所述应用APP100发送的目标权限请求，并获取所述应用APP100的身份；

当应用APP100知晓自身所需要的目标权限后，向权限控制模块304发送目标权限，权限控制模块304接收目标权限得知应用APP100需要申请目标权限，为了安全起见，需要查询应用APP100是否能够具有目标权限，所以需要先获取应用APP100的身份，以便依据应用APP100的身份进行查询。

步骤S202：在预设权限数据库中查询与所述应用APP的身份对应的APP权限组；

权限控制模块304在预设的数据库中依据应用APP100的身份进行查询，并获得与应用APP100的身份对应的权限组。

步骤S203：判断权限组中是否包含目标权限；若未包含则进入步骤S204，若包含则进入步骤S206；

步骤S204：当所述APP权限中未包含所述目标权限时，向权限管理服务模块400发送提示信息，并接收由所述权限管理服务模块400反馈的、对所述应用APP100授权的授权信息；

当应用APP100未具有目标权限时，向权限管理服务模块400发送提示信息，权限管理服务模块400则向设备操作者进行申请目标权限，如果设备操作者同意授权时，则向权限管理应用模块500发送一个授权信息，权限管理应用模块500将授权信息发送至权限管理服务模块400，权限管理服务模块400则将应用APP100的身份、授权信息和授权权限发送至权限控制模块304。

步骤S205：权限控制模块304对所述应用APP100的身份、所述授权信息和所述目标权限进行验证，仅当所述应用APP100的身份、所述授权信息和所述目标权限验证正确后，更新预设权限数据库的APP权限，以使所述应用APP100具有所述目标权限。

步骤S206：确认所述应用APP100具有所述目标权限。

其中，如图5所示，对所述应用APP100的身份、所述授权信息和所述目标权限进行验证包括：

步骤S301：判断发起目标权限请求的实体的身份是否为权限管理服务模块，若发起请求权限实体为权限管理服务模块时，则进入步骤S302，否则进入步骤S307。只有权限管理服务模块可以进行权限的注册，任何应用APP都通过权限管理服务模块进行授权，所以需要验证发起请求实体的身份是否为权限管理服务模块。

步骤S302：判断所述应用APP100的身份是否为智能终端中的应用；若是则进入步骤S303，否则进入步骤S307；

步骤S303：当确定为智能终端中的应用时，在所述预设权限数据库中获取与所述应用APP100的身份对应的权限组；

步骤S304：判断所述权限组中是否包含所述目标权限；若是则进入步骤S304，否则进入步骤S305；

步骤S305：当所述权限组中包含所述目标权限时，验证所述授权信息与所述预设权限数据库中的预存储的验证信息；验证通过则进入步骤S306

步骤S306若验证通过，则确定所述应用APP100具有所述目标权限。

步骤S307：验证失败。

当应用开发者使用的TPM/MTM的安全特性功能集不涉及到安全和隐私时，则只需要权限控制模块304确认应用APP100具有目标权限即可，当应用开发者使用的TPM/MTM的安全特性功能集涉及到安全和隐私时，在权限控制模块304确认应用APP100具有目标权限后，还需要经权限管理服务模块400向应用APP100发送授权凭证。

在应用APP100使用TPM/MTM的安全特性，在图1所示的步骤S101应用APP100调用TSP的增强安全服务模块200的至少一个服务接口请求访问所述TCS层之前还包括：

所述增强安全服务模块200的至少一个服务接口接收所述应用APP100发送的所述授权凭证，在验证所述授权凭证正确后，允许所述应用APP100访问所述至少一个服务接口。

优选的，权限控制模块304在构建预设权限数据库时需要创建多个ESSU的空白权限列表，每个ESSU对应至少一个应用APP100；随机生成ESSU中多个TSP接口和多个服务接口的TPM用户口令。空白列表只是表明应用APP100可以有ESSU的权限的可能，但需要在应用APP100向权限控制模块304申请后，并经过验证后，才能够真正具有ESSU的权限。随机生成TPM用户口令，以便在对应用APP100授权时，将TPM用户口令发送至应用APP100，作为使用TPM/MTM的安全特性生成基础。

在所述创建多个ESSU的空白权限列表包括：创建一个通用ESSU，所述通用ESSU对应所有应用APP100；创建一个权限管理服务模块400专用ESSU。

优选的，在步骤S201接收所述应用APP100发送的目标权限之前，还包括应用APP100获知自身所需要的目标权限的过程，如图6所示，包括：

步骤S401：接收所述应用APP100经权限管理服务模块400发送的查询权限请求，并获取所述应用APP100的身份；

应用APP100向权限管理服务模块400进行注册；权限管理服务模块400以应用APP100的身份向权限控制模块304发送查询请求，权限控制模块304依据查询请求在系统中获取应用APP100的身份；

步骤S402：依据所述应用APP100的身份在所述预设权限数据库中进行查询，获得所述应用APP100的允许的ESSU及其权限清单，并将权限清单发送至所述应用APP100；

预设权限数据库中预先存储有与应用APP100对应的所有的权限，即应用APP100所能够使用的所有权限，并将所有的权限组成的权限清单并经过权限管理服务模块400发送至应用APP100。

步骤S403：接收所述应用APP100经所述权限管理服务模块400发送的目标权限，所述目标权限为所述应用APP100接收权限清单后确定满足自身需求的权限。

所述应用APP100将权限清单展示至应用开发者，应用开发者查询权限清单中包括多个ESSU，每个ESSU中包括访问多个TSP接口服务接口的权限，其中每个ESSU都有一个ID，TSP接口和服务接口也有对应ID，应用开发者依据自身开发需求，将权限清单中能满足自身需求的ESSU ID和多个服务接口ID发送至所述权限管理服务模块400，或者将ESSU ID和多个TSP接口ID发送至权限管理服务模块400。所述权限管理服务模块400将ESSU ID和多个服务接口ID，或ESSU ID和多个TSP接口ID发送至所述权限控制模块304进行查询。

下面介绍本发明的具体实施例，在介绍本发明之前首先提出本实施例的结构图，请参见图7。

本系统包括应用APP100、增强安全服务模块200和TSS300，所述TSS300包括TSP层301、TCS层302和TDDL303，所述TDDL与TPM/MTM的安全特性相关，所述TCS层302上包括权限控制模块304，权限管理应用模块500和权限管理服务模块400，此外还有应用开发者600、策略制定者700和设备操作者800，应用开发者600为对应用APP100进行开发的公司或技术人员，策略制定者700为对权限控制模块304中预设权限数据库指定策略的技术人员，设备操作者800为操作终端的实际用户。

首先由策略制定者700制定应用APP100的访问策略，并以ESSU的存储至权限控制模块304。ESSU(End Secure Service User)，终端安全服务用户，是TCS层面向上层的功能集合。智能终端上有多个ESSU，不同的ESSU其功能集合不同，显著的，如不同的ESSU的所能操作的密钥集功能不同。应用层通过指定一个或多个ESSU来访问TPM/MTM提供的安全功能和资源。ESSU以随机序号ID标示，由策略制定者700统一分配和划分功能集。

(1)ESSU激活

TPM/MTM功能使用需要设备操作者800激活ESSU，可一次性激活或者后续激活，激活可在权限管理应用模块500UI上激活，或者由权限管理服务模块400提示激活。激活时需要输入ESSU ID口令以便对应用进行权限授权管理，激活后权限管理服务模块400将请求权限控制模块304创建一个以ESSU名义的空白的权限表，随机生成授权数据，并创建ESSU ID相关功能的密钥集和证书集。

(2)应用APP100/远程调度者使用增强安全服务模块200流程，请参见图8。

步骤1：应用APP向权限管理服务模块注册；

步骤2：权限管理服务模块向权限控制模块发送查询请求；

步骤3：在权限控制模块查询后将应用APP可使用的ESSU ID和增强安全服务模块ID及其说明发送至权限管理服务，权限管理服务再发送至应用APP；

步骤4：直接申请相关ESSU ID和增强安全服务模块200ID对应的权限；

申请ESSU ID1及增强安全服务ID1、增强安全服务ID2……的对应权限。

APP或远程调度者根据自身业务检查现有的权限是否能满足其需要，若不满足，则向应用开发者600报告，由应用开发者600负责向策略制定者700申请策略更新，进入(2)流程。若满足其自身业务需要，则直接申请对应权限。

步骤5：权限管理服务向权限控制模块发送查询请求，由权限控制模块查询应用APP是否具有对应权限；

步骤6：若不具有对应权限，则权限管理服务模块向设备操作者申请对应权限并获得授权口令，将授权口令、授权权限和应用APP的身份发送至权限控制模块；

步骤7：权限控制模块验证授权身份实体、授权口令和授权权限是否正确，若正确则进入步骤8。

步骤8：若具有对应权限则将授权数据经权限管理模块发送至应用APP。

其次，权限管理服务模块400鉴别当前申请APP或远程调度者的身份并对申请权限进行检查。APP的身份需在其智能终端唯一。权限检查包括ESSU与所有权限集的匹配检查，以及检查是否已有所申请的权限。若应用APP100或远程调度者已有申请的权限授权，则权限管理服务模块400返回给应用调用或远程调度者调用增强安全服务模块200所需的授权数据，如密钥的授权数据等。

若权限管理服务模块400发现应用APP100或远程调度者未具有所申请列表的所有权限，则请求当前设备操作者800授权。设备操作者800可针对具体的ESSU ID进行全部授权、部分授权或者全部拒绝授权，当进行授权时，需要设备操作者800输入ESSU ID的口令进行授权，权限管理服务模块400把口令以及应用或远程调度者身份和授权项交付权限控制模块304进行口令校验和授权，验证正确后，权限控制模块304进行权限更新操作，并把部分许可数据传递给权限管理服务模块400，否则验证错误，返回验证错误码。

在验证正确的情况下，权限管理服务模块400把授权数据、ESSU ID和授权项列表等传递给应用APP100或远程调度者。当设备当前操作者拒绝授权后，则权限管理服务模块400返回给应用或远程调度者拒绝授权码。最后，应用APP100或远程调度者根据授权的结果进行操作，对有授权的服务项进行调用访问。

(3)应用开发者600定制终端增强安全服务模块200流程：

当应用开发者600认为终端的基础增强安全服务模块200不能满足其业务需要时，可申请定制终端的增强安全服务模块200。首先应用开发者600需要向策略制定者700提交详细的策略请求。

策略制定者700审核其请求，若认为终端现有的基础安全服务能满足其业务需求，则给出合理的使用建议。否则，策略制定者700需要制定新的策略，并结合策略请求帮助应用开发者600定制增强安全服务模块200。策略制定者700通过安全通道负责更新终端的策略，安全通道包括密码学基础建立的安全协议，或者密码学基础的内容保护机制等。终端的策略更新后，权限管理服务模块400将获得新的策略进行权限的管理。新的策略可能包括ESSU的创建，增强安全服务模块200的ID和权限功能集合等创建和定义等。

(4)权限管理应用模块500授权管理流程：

当前设备操作者800可主动通过权限管理应用模块500对安装的应用进行增强安全服务模块200权限的授权。

1)当前设备操作者800进入授权管理应用的管理界面。

2)若终端没有ESSU或者用户需要激活新的ESSU，则设备操作者800点击激活后，授权管理应用将请求授权管理服务激活ESSU，操作者使用输入的管理口令用于权限管理。

3)权限管理应用模块500向权限管理服务模块400读取当前安装应用针对各个ESSU ID的权限列表，并向当前设备操作者800显示。权限管理服务模块400的权限列表来源于权限控制模块304。

4)当前设备操作者800对应用所列的权限进行许可或拒绝操作，输入ESSU ID的口令进行授权。

5)权限管理服务模块400向权限控制模块304提交授权认证，当认证通过后返回权限管理服务模块400认证结果，认证通过后权限管理应用模块500显示更新的权限列表，否则认证不通过，权限管理应用模块500显示权限更改失败。

(6)权限控制模块304许可访问流程，

请参见图9，图9为权限控制模块的结构图包括：身份鉴别和通讯模块901、权限检查模块902、策略模块903、策略更新模块904、状态记录模块905、权限查询更新模块906、存储数据模块907和日志模块908。

1)当有命令传输到权限控制模块304，策略更新模块904检查更新信号，若有则执行策略更新。

2)鉴别应用的身份。应用的身份可以为本地APP身份或者远程调用者。身份鉴别的依据和方法才源于策略模块903。

3)身份鉴别后，把指令和身份传递给权限检查模块902。

4)权限检查模块902向策略模块903查询该指令属于哪些ESSU ID和增强安全服务模块200ID。

5)权限检查模块902根据应用身份查询该应用的指令状态记录。若状态记录模块存在该应用状态记录，则返回记录给权限检查模块，以便与步骤4)集合检查该指令属于具体何种ESSU ID和增强安全服务模块200ID。对于有调用顺序相关的增强安全服务模块200，状态记录会跟踪应用身份的调用状态。若无状态记录，则创建该应用身份的状态记录。若无任意一个匹配的ESSUID和增强安全服务模块200，则返回无授权，退出该流程。否则有匹配进入6)。

6)权限检查模块902根据匹配的ESSU ID和增强安全服务模块200，向权限查询更新模块906查询该应用身份的对应的指令权限。若有任意匹配的许可，则执行7)，否则未许可，返回给上层无授权。

7)判断该指令属于权限相关指令，还是许可数据相关指令，或是TCS层指令。调用相关指令完成上层应答。

8)指令应答成功后，返回该应用身份的状态记录。

9)1)-8)流程都被记录在日志模块908。

如图1所示，本发明提供了一种可信安全服务的控制系统，包括：

应用APP100、增强安全服务模块200和可信软件栈TSS，所述TSS包括TSS服务提供者TSP、TSS核心服务TCS层和TSS设备驱动库TDDL，所述TDDL与TPM/MTM的安全特性相关，所述TCS层上包括权限控制模块304；

所述应用APP100调用所述TSP的至少一个TSP接口或增强安全服务模块200的至少一个服务接口请求访问所述TCS层；

所述权限控制模块304，用于获取所述应用APP100的身份；在预设权限数据库中查询所述应用APP100所具有的APP权限组，仅在确定所述APP权限组中包含目标权限时，允许所述应用APP100访问所述TCS层，以允许所述应用APP100使用TPM/MTM的安全特性和TCS层维护的安全资源，所述目标权限包括所述应用APP100调用的至少一个TSP接口或至少一个服务接口的权限。

优选的，如图3所示本系统还包括：权限管理应用模块500和权限管理服务模块400；

所述权限控制模块304，用于接收所述应用APP100发送的目标权限请求，并获取所述应用APP100的身份；在预设权限数据库中查询与所述应用APP的身份对应的APP权限组；当所述APP权限组中未包含所述目标权限时，向所述权限管理服务模块400发送提示信息；

所述权限管理服务模块400，用于接收所述提示信息后，向所述权限管理应用模块500发送所述提示信息；

所述权限管理应用模块500，用于接收设备操作者输入的、对所述应用APP100授权的授权信息，并将授权信息发送至权限管理服务模块400；

所述权限管理服务模块400，用于接收所述授权信息，并将所述应用APP100的身份、所述授权信息和所述目标权限发送至所述权限控制模块304；

所述权限控制模块304对所述应用APP100的身份、所述授权信息和所述目标权限进行验证，仅当所述应用APP100的身份、所述授权信息和所述目标权限验证正确后，更新预设权限数据库中的APP权限，以使所述应用APP100具有所述目标权限。

本实施例方法所述的功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算设备可读取存储介质中。基于这样的理解，本发明实施例对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一台计算设备(可以是个人计算机，服务器，移动计算设备或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (12)

1.一种可信安全服务的控制方法，其特征在于，应用于可信安全服务的控制系统，所述系统包括应用APP、增强安全服务模块和可信软件栈TSS，所述TSS中包括TSS服务提供者TSP，TSS核心服务TCS层和TSS设备驱动库TDDL，TCS层上设有扩展的权限控制模块，所述方法包括：

权限控制模块在应用APP调用TSP的至少一个TSP接口或所述增强安全服务模块的至少一个服务接口请求访问所述TCS层时，获取所述应用APP的身份；

权限控制模块在预设权限数据库中查询与所述应用APP的身份对应的APP权限组，仅在确定所述APP权限组中包含目标权限时，允许所述应用APP访问所述TCS层，以允许所述应用APP使用TPM/MTM的安全特性和TCS层维护的安全资源，所述目标权限包括所述应用APP调用的至少一个TSP接口或至少一个服务接口的权限。

2.如权利要求1所述的方法，其特征在于，所述系统还包括：权限管理服务模块和权限管理应用模块，所述方法还包括：所述应用APP获取目标权限；

所述应用APP获取目标权限的过程具体包括：

接收所述应用APP发送的目标权限请求，并获取所述应用APP的身份；

在预设权限数据库中查询与所述应用APP的身份对应的APP权限组；

当预设权限数据库中的APP权限组中未包含请求的所述目标权限时，向所述权限管理服务模块发送提示信息，并接收由所述权限管理服务反馈的、对所述应用APP授权的授权信息；

对所述应用APP的身份、所述授权信息和所述目标权限进行验证，仅当所述应用APP的身份、所述授权信息和所述目标权限验证正确后，更新预设权限数据库中的APP权限，以使应用APP具有所述目标权限。

3.如权利要求1或2所述的方法，其特征在于，所述在预设权限数据库中查询与所述应用APP的身份对应的APP权限组包括：

在所述预设权限数据库中依据所述应用APP的身份进行查询，所述预设权限数据库中预先存储有与多个应用APP对应的多个权限组，每个权限组中包括若干个终端安全服务用户ESSU，每个ESSU具有多个TSP接口和多个服务接口的权限；

获得与所述应用APP的身份对应的APP权限组。

4.如权利要求1所述的方法，其特征在于，所述在预设权限数据库中查询与所述应用APP的身份对应的APP权限组之后还包括：

判断所述APP权限组中是否包含所述目标权限；

当所述APP权限组中未包含所述目标权限时，则不允许所述应用APP访问TCS层。

5.如权利要求2所述的方法，其特征在于，还包括：

在所述应用APP具有所述目标权限后，经所述权限管理服务模块向所述应用APP发送授权凭证。

6.如权利要求5所述的方法，其特征在于，在应用APP调用增强安全服务模块的至少一个服务接口请求访问所述TCS层之前还包括：

所述增强安全服务模块的至少一个服务接口接收所述应用APP发送的所述授权凭证，在验证所述授权凭证正确后，允许所述应用APP访问所述至少一个服务接口。

7.如权利要求3所述的方法，其特征在于，还包括：

创建多个ESSU的空白权限列表，每个ESSU对应至少一个应用APP；

随机生成ESSU中多个TSP接口和多个服务接口的授权数据。

8.如权利要求7所述的方法，其特征在于，所述创建多个ESSU的空白权限列表包括：

创建一个通用ESSU，所述通用ESSU对应所有应用APP；

创建一个权限管理服务模块专用ESSU。

9.如权利要求4所述的方法，其特征在于，在判断所述APP权限组中是否包含所述目标权限之前还包括：

接收所述应用APP经权限管理服务模块发送的查询权限请求，并获取所述应用APP的身份；

依据所述应用APP的身份在所述预设权限数据库中进行查询，获得所述应用APP的权限组，并将权限组经权限管理服务模块发送至所述应用APP；

接收所述应用APP经所述权限管理服务模块发送的目标权限请求，所述目标权限为所述应用APP接收权限组后确定满足自身需求的权限。

10.如权利要求2所述的方法，其特征在于，对所述应用APP的身份、所述授权信息和所述目标权限进行验证过程包括：

仅当发起目标权限请求的实体为权限管理服务模块时，判断所述应用APP的身份是否为智能终端中的应用，当确定为智能终端中的应用时，在所述预设权限数据库中获取与所述应用APP的身份对应的权限组；

判断所述权限组中是否包含所述目标权限，当所述权限组中未包含所述目标权限时，验证所述授权信息与所述预设权限数据库中的预存储的验证信息，验证通过，则更新权限组的APP权限，确定所述应用APP具有所述目标权限。

11.一种可信安全服务的控制系统，其特征在于，包括：

应用APP、增强安全服务模块和可信软件栈TSS，所述TSS中包括TSS服务提供者TSP，TSS核心服务TCS层和TSS设备驱动库TDDL，TCS层上设有扩展的权限控制模块；

所述应用APP调用所述TSP的至少一个TSP接口或增强安全服务模块的至少一个服务接口请求访问所述TCS层；

所述权限控制模块，用于获取所述应用APP的身份；在预设权限数据库中查询所述应用APP所具有的APP权限组，仅在确定所述APP权限组中包含目标权限时，允许所述应用APP访问所述TCS层，以允许所述应用APP使用TPM/MTM的安全特性和TCS层维护的安全资源，所述目标权限包括所述应用APP调用的至少一个TSP接口或至少一个服务接口的权限。

12.如权利要求11所述的系统，其特征在于，还包括：权限管理应用模块和权限管理服务模块；

所述权限控制模块，用于接收所述应用APP发送的目标权限请求，并获取所述应用APP的身份；在预设权限数据库中查询与所述应用APP的身份对应的APP权限组；当所述APP权限组中未包含所述目标权限时，向所述权限管理服务模块发送提示信息；

所述权限管理服务模块，用于接收所述提示信息后，向所述权限管理应用模块发送所述提示信息；

所述权限管理应用模块，用于接收设备操作者输入的、对所述应用APP授权的授权信息，并将授权信息发送至权限管理服务模块；

所述权限管理服务模块，用于接收所述授权信息，并将所述应用APP的身份、所述授权信息和所述目标权限发送至所述权限控制模块；

所述权限控制模块对所述应用APP的身份、所述授权信息和所述目标权限进行验证，仅当所述应用APP的身份、所述授权信息和所述目标权限验证正确后，更新预设权限数据库中的APP权限，以使所述应用APP具有所述目标权限。