CN104581214A - 基于ARM TrustZone系统的多媒体内容保护方法和装置 - Google Patents

Abstract

本申请公开了基于ARM TrustZone系统的多媒体内容保护方法和装置，ARM TrustZone系统包括非信任执行子系统和可信任执行子系统，所述方法的一具体实施方式包括：获取多媒体内容以及其中的多媒体头信息；获取用户账户信息；利用用户账户信息和多媒体头信息向授权中心请求许可证；解析许可证以获得解密内容密钥；根据解密内容密钥对多媒体内容进行解密；对解密后的多媒体内容进行解码和播放；其中，以下至少一项处理至少部分在可信任执行子系统中执行：获取用户账户信息、请求许可证、解析许可证、解密多媒体内容及解码和播放解密后的多媒体内容。该实施方式可以实现避免敏感数据、关键算法以及内容的非法获取，增加了数字版权管理的可靠性。

Description

基于ARM TrustZone系统的多媒体内容保护方法和装置

技术领域

本申请涉及计算机技术领域，具体涉及数字版权管理领域，尤其涉及基于ARM TrustZone系统的多媒体内容保护方法和装置。

背景技术

随着电子音视频节目在互联网上的广泛传播，为了保护数字媒体的版权，需要从技术上防止数字媒体的非法复制，或者在一定程度上使复制很困难，使用户必须得到授权后才能使用数字媒体。

图1示出了现有数字版权管理的简要框图。主要包括三个功能实体：内容提供商101、授权中心102和客户端103。现在通常的数字版权管理方法是：内容提供商101将数字多媒体内容加密，并且在节目头信息中加入密钥标识以及统一资源定位器(Uniform ResourceLocator,URL)地址；客户端103的格式解析模块104获取多媒体内容以及其中的多媒体头信息，将多媒体头信息发送给客户端103的协议解析模块105，协议解析模块105根据节目头信息以及身份认证账户向授权中心102发送许可请求；授权中心102经过身份认证之后将许可证颁发给客户端103的协议解析模块105；协议解析模块105从许可证中获得解密内容密钥，发送给解密引擎106；格式解析模块104解复用多媒体内容得到加密的音视频基本码流，将加密的音视频基本码流发送给客户端103的解密引擎106；解密引擎106利用解密内容密钥解密多媒体内容，从而使客户端103的解码器107和播放模块108能够解码和播放解密后的多媒体内容。客户端103需要保护的数字媒体是被加密的，即使被用户下载保存并散播给他人，没有得到授权中心102的验证授权也无法使用，从而保护了数字媒体的版权。

发明内容

在上述三个功能实体中，客户端由于分散性强，并且存在硬件与软件系统的多样性，容易被黑客攻击。当前的技术一般是在非信任执行子系统下(如Linux)完成用户账户的输入、许可证请求与获得、播放时限和次数的控制、加解密、编解码、图像的显示(视频)以及声音的回放(音频)。然而，处于非信任执行子系统下的数据以及算法可能被黑客攻击：窃取用户账户信息、许可证中解密内容的密钥；篡改系统时间；破解加解密算法和控制解密引擎；重定向解码器的输出，从而以YUV存储的方式非法获取多媒体内容。版权管理方法的失效，给数字多媒体内容的出版商和发行商造成巨大的经济损失。

为了解决上述一个或多个问题，本申请提供了基于ARM TrustZone系统的多媒体内容保护方法和装置。

一方面，本申请提供了一种基于ARM TrustZone系统的多媒体内容保护方法，所述ARM TrustZone系统包括非信任执行子系统和可信任执行子系统，所述方法包括：获取多媒体内容以及其中的多媒体头信息；获取用户账户信息；利用用户账户信息和多媒体头信息向授权中心请求许可证；解析许可证以获得解密内容密钥；根据所述解密内容密钥对所述多媒体内容进行解密；对解密后的多媒体内容进行解码和播放；其中，以下至少一项处理至少部分在可信任执行子系统中执行：获取用户账户信息、请求许可证、解析许可证、解密所述多媒体内容及解码和播放解密后的多媒体内容。

在某些实施方式中，所述获取用户账户信息包括：在可信任执行子系统中获取用户账户信息，以及将所述用户账户信息传递至非信任执行子系统中进行处理。

在某些实施方式中，所述在可信任执行子系统中获取用户账户信息包括：在可信任执行子系统中通过可信任用户界面获取用户账户信息，所述可信任用户界面对非信任执行子系统中的处理不可见。

在某些实施方式中，所述请求许可证包括：在所述可信任执行子系统中接收在非信任执行子系统中获取的所述多媒体头信息中的账户公开密钥；在所述可信任执行子系统中利用所述账户公开密钥对用户账户信息进行加密；以及将加密后的用户账户信息传递至所述非信任 执行子系统中进行处理。

在某些实施方式中，所述请求许可证还包括：在所述可信任执行子系统中生成许可证非对称密钥，以及将所述许可证非对称密钥中的许可证公开密钥传递至非信任执行子系统中进行处理。

在某些实施方式中，所述请求许可证还包括：在所述非信任执行子系统中生成请求，以及向授权中心发送所述请求，所述请求包括：颁发许可证的请求信息、多媒体头信息中的密钥识别号、加密后的用户账户信息和所述许可证公开密钥。

在某些实施方式中，所述解析许可证包括：在所述非信任执行子系统中从授权中心接收加密的许可证，以及将所述许可证传递至所述可信任执行子系统中进行处理；在所述可信任执行子系统中执行利用所述许可证非对称密钥中的私有密钥解密所述加密的许可证以生成解密内容密钥、播放次数信息和播放时限信息。

在某些实施方式中，所述解密所述多媒体内容包括：在所述非信任执行子系统中解复用所述多媒体内容以分离出加密的音视频基本码流，将所述加密的音视频基本码流传递至所述可信任执行子系统中进行处理。

在某些实施方式中，所述解密所述多媒体内容还包括：在所述可信任执行子系统中根据获取的所述解密内容密钥、播放次数信息和播放时限信息，解密获取的所述加密的音视频基本码流。

在某些实施方式中，所述解码和播放解密后的多媒体内容包括：在所述可信任执行子系统中对解密后的音视频基本码流进行解码和播放。

在某些实施方式中，所述非信任执行子系统与所述可信任执行子系统之间通过所述非信任执行子系统中的非安全共享内存传递数据。

在某些实施方式中，在可信任执行子系统中执行的处理通过可信任执行子系统中的安全内存存取数据；其中，所述安全内存不能够被处于非信任执行子系统中的处理访问。

第二方面，本申请提供了一种基于ARM TrustZone系统的多媒体内容保护装置，所述ARM TrustZone系统包括非信任执行子系统和可 信任执行子系统，所述装置包括：第一获取模块，用于获取多媒体内容以及其中的多媒体头信息；第二获取模块，用于获取用户账户信息；请求模块，用于利用用户账户信息和多媒体头信息向授权中心请求许可证；解析模块，用于解析许可证以获得解密内容密钥；解密模块，用于根据所述解密内容密钥对所述多媒体内容进行解密；解码播放模块，用于对解密后的多媒体内容进行解码和播放；其中，以下至少一个模块至少部分在可信任执行子系统中实现：第二获取模块、请求模块、解析模块、解密模块和解码播放模块。

在某些实施方式中，所述第二获取模块包括：获取子模块，用于在所述可信任执行子系统中获取用户账户信息；以及将所述用户账户信息传递至所述非信任执行子系统中进行处理。

在某些实施方式中，所述获取子模块用于通过可信任用户界面获取用户账户信息，所述可信任用户界面对所述非信任执行子系统中的处理不可见。

在某些实施方式中，所述请求模块包括：第一接收子模块，用于在所述可信任执行子系统中接收在非信任执行子系统中获取的所述多媒体头信息中的账户公开密钥；加密子模块，用于在所述可信任执行子系统中利用所述账户公开密钥对用户账户信息进行加密，以及将加密后的用户账户信息传递至所述非信任执行子系统中进行处理。

在某些实施方式中，所述请求模块还包括：第一生成子模块，用于在所述可信任执行子系统中生成许可证非对称密钥，以及将所述许可证非对称密钥中的许可证公开密钥传递至非信任执行子系统中进行处理。

在某些实施方式中，所述请求模块还包括：第二生成子模块，用于在所述非信任执行子系统中生成请求，以及向授权中心发送所述请求，所述请求包括：颁发许可证的请求信息、多媒体头信息中的密钥识别号、加密后的用户账户信息和所述许可证公开密钥。

在某些实施方式中，所述解析模块包括：第二接收子模块，用于在所述非信任执行子系统中从授权中心接收加密的许可证，以及将所述许可证传递至可信任执行子系统中进行处理；解密子模块，用于在 所述可信任执行子系统中利用所述许可证非对称密钥中的私有密钥解密所述加密的许可证以生成解密内容密钥、播放次数信息和播放时限信息。

在某些实施方式中，所述解密模块包括：分离子模块，用于在所述非信任执行子系统中解复用所述多媒体内容以分离出加密的音视频基本码流，将所述加密的音视频基本码流传递至所述可信任执行子系统中进行处理。

在某些实施方式中，所述解密模块还包括：解密子模块，用于在所述可信任执行子系统中根据获取的所述解密内容密钥、播放次数信息和播放时限信息，解密获取的所述加密的音视频基本码流。

在某些实施方式中，所述解码播放模块包括：解码子模块，用于在所述可信任执行子系统中对解密后的音视频基本码流进行解码，得到解码后的音频数据和视频数据；播放子模块，用于在所述可信任执行子系统中播放所述解码后的音频数据和视频数据。

在某些实施方式中，所述装置还包括：非安全共享内存，用于所述非信任执行子系统与所述可信任执行子系统之间通过所述非信任执行子系统中的非安全共享内存传递数据。

在某些实施方式中，所述装置还包括：安全内存，用于在可信任执行子系统中执行的处理通过可信任执行子系统中的安全内存存取数据；其中，所述安全内存不能够被处于非信任执行子系统中的处理访问。

本申请提供的基于ARM TrustZone系统的多媒体内容保护方法和装置，通过将获取用户账户信息、请求许可证、解析许可证、解密所述多媒体内容、解码和播放解密后的多媒体内容中的至少一项处理至少部分在可信任执行子系统中执行，使得用户账户信息的采集、加密和存储、解密许可证的密钥的生成、存储和解密中的至少一项处理中的至少部分处理在可信任执行子系统下完成，还可以使解密后的基本码流数据和解码后的YUV数据全部暂存在安全内存之中，避免了敏感数据、关键算法以及内容的非法获取，增加了数字版权管理的可靠性。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1是示出了现有数字版权管理的简要框图；

图2示出了根据本申请实施例的基于ARM TrustZone系统的多媒体内容保护方法的一个示意性流程图；

图3示出了实现本发明实施例的基于ARM TrustZone系统的多媒体内容保护方法的一个示例性软件架构；

图4示出了根据本发明实施例的基于ARM TrustZone系统的多媒体内容保护方法的一个示例性系统架构；

图5示出了根据图4中的系统架构实现的本发明实施例的一个示例性流程图；

图6示出了根据本申请实施例的基于ARM Tru tZone系统的多媒体内容保护装置的一种示意性结构图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

图2示出了根据本申请实施例的基于ARM TrustZone系统的多媒体内容保护方法的一个示意性流程图200。

本实施例主要以该方法应用于具有ARM TrustZone扩展的嵌入式设备，包括但不仅限于智能手机、平板电脑、智能电视、数字机顶盒、网络视频播放机等。本申请提供了一种基于ARM TrustZone系统的多媒体内容保护方法，ARM TrustZone系统包括非信任执行子系统和 可信任执行子系统：可信任执行子系统与非信任执行子系统共生共存但又独立于非信任执行子系统；可信任执行子系统能够护子系统中的实体免受攻击，这些实体包括但不限于敏感数据、关键算法以及内容；非信任执行子系统相对于可信任执行子系统而存在，由通常意义上的软件构成，如普通操作系统和各种用户应用程序，在非信任执行子系统中的任何实体都被认为是不安全的，也即能够被黑客攻击。

如图2所示，基于ARM TrustZone系统的多媒体内容保护方法的一个示意性流程图200包括：

步骤201：获取多媒体内容以及其中的多媒体头信息。

多媒体(Multimedia)，是指在终端中，组合两种或两种以上媒体的一种人机交互式信息交流和传播媒体。使用的媒体包括文字、图片、照片、声音、动画和影片，以及程式所提供的互动功能。

获取的多媒体内容，在一些实施例中，可以来源于远程的多媒体内容提供商，例如网络站点或资源服务器等；在另一些实施例中，也可以来源于本地设备，例如本地的硬盘存储器或光盘等。

多媒体头信息是位于多媒体内容开头的一段承担一定任务的数据，可以包括密钥识别号、授权中心的URL和用于加密用户账户信息的账户公开密钥等，以告知使用多媒体的程序进行授权并打开多媒体内容所需的属性。

步骤202：获取用户账户信息。

用户账户信息包括记录用户的用户名和口令、隶属的组、可以访问的网络资源，以及用户的个人文件和设置等。

获取的用户账户信息，可以是接收的用户输入的用户账户信息，也可以是用户预存在本地的用户账户信息。

步骤203：利用用户账户信息和多媒体头信息向授权中心请求许可证。

利用多媒体头信息中提供的密钥识别号、授权中心的URL和账户公开密钥，向授权中心的URL发送颁发许可证的请求，请求包括颁发许可证的请求信息、密钥识别号、利用账户公开密钥加密后的用户账户信息和生成的许可证非对称密钥中的许可证公开密钥。

步骤204：解析许可证以获得解密内容密钥。

解析许可证时，可以利用许可证非对称密钥中的许可证私有密钥对接收到的授权中心颁发的许可证进行解析，以获取解密内容的密钥、播放次数信息和播放时限信息。

步骤205：根据解密内容密钥对多媒体内容进行解密。

根据解密内容密钥对多媒体内容进行解密可以通过以下处理步骤实现：解复用多媒体内容，以得到加密的音视频基本码流，利用解密内容密钥，解密加密的音视频基本码流，得到解密后的多媒体内容，也即明文的音视频基本码流。

步骤206：对解密后的多媒体内容进行解码和播放。

对解密后的多媒体内容进行解码和播放时，可以通过特定方法将解密后的多媒体内容也即明文的音视频基本码流还原成它所代表的内容，例如还原成PCM音频数据和YUV视频数据。之后根据步骤204中获取的播放次数信息和播放时限信息，显示或回放解码后的多媒体内容。

以上的处理步骤与现有技术中实现多媒体数字版权管理方法的处理步骤相同，与现有技术不同的是，以上处理步骤中的以下至少一项处理至少部分在可信任执行子系统中执行：获取用户账户信息、请求许可证、解析许可证、解密多媒体内容及解码和播放解密后的多媒体内容。

至少一项处理至少部分在可信任执行子系统中执行，是指获取用户账户信息、请求许可证、解析许可证、解密多媒体内容及解码和播放解密后的多媒体内容中至少一项处理中的至少部分处理在可信任执行子系统中执行，以获取用户账户信息为例，可以将获取的动作在可信任执行子系统中执行，备选地或附加地，也可以将获取的结果存储于可信任执行子系统中执行，从而避免敏感数据和内容的非法获取。同理，在请求许可证、解析许可证、解密多媒体内容及解码和播放解密后的多媒体内容时，备选地或附加地，各个步骤以及各个步骤的部分处理也可以在可信任执行子系统中执行，以避免敏感数据、关键算法以及内容的泄露，增加数字版权管理的可靠性。

本领域技术人员可以理解，在基于ARM TrustZone系统的多媒体内容保护方法中，未在可信任执行子系统中执行的处理步骤或处理步骤的部分处理内容，可以在非信任执行子系统中执行。

下面将描述在上述基于ARM TrustZone系统的多媒体内容保护方法中，至少一项处理至少部分在可信任执行子系统中执行的示例性实施方式。

基于ARM TrustZone系统的多媒体内容保护方法适用于具有ARM TrustZone扩展的嵌入式设备，嵌入式设备包含可信任执行子系统、非信任执行子系统以及监视模块。

基于ARM TrustZone系统的多媒体内容保护方法中的处理步骤，可以基于具体的应用或服务来实现，例如将在非信任执行子系统中执行的步骤利用播放客户端应用来实现，而将在可信任执行子系统中执行的步骤按照功能划分，分别使用许可认证服务和播放服务来实现。

在一些优选实施例中，播放客户端应用是运行在非信任执行子系统中的非信任应用程序，可以通过播放客户端应用的接口来获得多媒体回放过程中所需的安全服务，是用户观看音视频的平台。在播放客户端应用启动时发出命令，加载并且启动运行于可信任执行子系统中的许可认证服务和播放服务，这两种服务都是可信任应用程序。

在本实施例中，通过在启动运行于非信任执行子系统中的播放客户端应用时，加载并启动运行于可信任执行子系统中的许可认证服务、播放服务和解码及播放组件，可以使许可认证服务和播放服务于播放客户端应用同步运行，以便提高播放多媒体内容的运行速度和用户体验。

在进一步的实施例中，获取用户账户信息可以包括：许可认证服务响应于播放客户端应用的请求而获取用户账户信息，以及将用户账户信息传递给播放客户端应用。

在本实施例中，运行于可信任执行子系统中的许可认证服务获取用户账户信息，可以避免用户账户信息的泄露，提高了用户账户信息的安全性。

在进一步的实施例中，许可认证服务获取用户账户信息可以包括： 许可认证服务通过可信任用户界面获取用户账户信息，可信任用户界面对播放客户端应用不可见。

在本实施例中，通过可信任用户界面获取用户账户信息，由于可信任用户界面对播放客户端应用不可见，从而实现了避免用户账户信息的泄露。

在进一步的实施例中，利用用户账户信息和多媒体头信息向授权中心请求许可证可以包括：播放客户端应用将多媒体头信息中的账户公开密钥传递给许可认证服务；许可认证服务利用多媒体头信息中的账户公开密钥对用户账户信息进行加密；以及将加密后的用户账户信息传递给播放客户端应用。

在本实施例中，运行于可信任执行子系统中的许可认证服务加密用户账户信息，避免了加密过程中有可能出现的用户账户信息泄露，提高了用户账户信息的安全性。

在进一步的实施例中，利用用户账户信息和多媒体头信息向授权中心请求许可证还可以包括：许可认证服务生成许可证非对称密钥，将许可证非对称密钥中的许可证公开密钥传递给播放客户端应用。

在本实施例中，许可认证服务生成许可证非对称密钥，提高了用于加密和解密许可证的非对称密钥的安全性。

在进一步的实施例中，利用用户账户信息和多媒体头信息向授权中心请求许可证还可以包括：播放客户端应用生成请求，请求包括：颁发许可证的请求信息、多媒体头信息中的密钥识别号、加密后的用户账户信息和许可证公开密钥，以及向授权中心发送请求。

在本实施例中，播放客户端应用根据加密后的用户账户信息以及许可证公开密钥这两个关键数据生成请求以及向授权中心发送请求，由于这两个关键数据来源于可信任执行子系统中的许可认证服务，因此保证了加密的用户账户信息和许可证私有密钥的安全性；而使用播放客户端应用生成请求并发送请求，则体现了运行于非信任执行子系统中的应用与运行于可信任执行子系统中的应用之间的协作，提高了ARM TrustZone系统的运行效率。

在进一步的实施例中，解析许可证以获得解密内容密钥可以包括： 许可认证服务获取播放客户端应用获取的加密的许可证，利用许可证非对称密钥中的私有密钥解密加密的许可证以生成解密内容密钥、播放次数信息和播放时限信息，将解密内容密钥、播放次数信息和播放时限信息传递给播放服务。

在本实施例中，解密内容密钥是用于解密多媒体内容的密钥。由运行于可信任执行子系统中的许可认证服务对加密的许可证进行解密以获得多媒体的解密内容密钥，保证了解密许可证过程中和解密后获得的解密内容密钥的安全性。

在进一步的实施例中，根据解密内容密钥对多媒体内容进行解密可以包括：播放客户端应用解复用多媒体内容以分离出加密的音视频基本码流，将加密的音视频基本码流传递给播放服务。

在本实施例中，运行于非信任执行子系统中的播放客户端应用解复用多媒体内容，可以提高ARM TrustZone系统的运行效率；将加密的音视频基本码流传递给运行于可信任执行子系统中的播放服务，则提高了解密音视频基本码流的安全性。

在进一步的实施例中，根据解密内容密钥对多媒体内容进行解密还可以包括：播放服务根据获取的解密内容密钥、播放次数信息和播放时限信息，解密获取的加密的音视频基本码流，传递解密后的音视频基本码流给解码及播放组件。

在本实施例中，通过运行于可信任执行子系统的播放服务解密加密的音视频基本码流，并将解密后的音视频基本码流给解码及播放组件，可以防止数据泄露，并保证了解密过程中和解密后的音视频基本码流的安全性。

在进一步的实施例中，对解密后的多媒体内容进行解码和播放可以包括：解码及播放组件对解密后的音视频基本码流进行解码和播放。

在本实施例中，运行于可信任执行子系统的解码及播放组件对解密后的音视频基本码流进行解码和播放，保证了解码过程、播放过程和解码后的码流数据的安全性。

在进一步的实施例中，播放客户端应用与许可认证服务或播放服务之间通过非信任执行子系统中的非安全共享内存传递数据。

在本实施例中，非安全共享内存可以被非信任执行子系统和可信任执行子系统中的实体读写。例如，通过非安全共享内存将多媒体头信息由可信任执行子系统中的许可认证服务，将加密后的用户账户信息返回给非信任执行子系统中的播放客户端应用，将播放客户端应用收到的加密后的许可证传递给可信任执行子系统中的许可认证服务，将播放客户端应用分离出的加密的音视频基本码流通过非安全共享内存的方式传递给可信任执行子系统中的播放服务等。

在进一步的实施例中，许可认证服务、播放服务和解码及播放组件通过可信任执行子系统中的安全内存存取获取的数据和解密的数据，以供许可认证服务、播放服务和解码及播放组件调用；其中，安全内存不能够被处于非信任执行子系统中的程序和设备访问。

在本实施例中，安全内存只能被处于可信任执行子系统中的实体读写。例如，存储用户账户信息，存储许可证非对称密钥的私有密钥，存储解密许可证得到的解密内容密钥、播放时限和播放次数信息，存储解码及播放组件的缓存数据等。通过设置安全内存，存储获取的用户账户信息、许可证私有密钥、解密内容密钥、播放时限和播放次数信息、解码及播放组件的缓存数据等，避免了敏感数据、关键算法以及内容的非法获取，增加了数字版权管理的可靠性。

本领域技术人员可以理解，可以采用多种软件架构来实现根据本申请的基于ARM TrustZone系统的多媒体内容保护方法。例如，取决于功能或步骤的划分，可以使用不同的软件架构来实现上述方法。

图3示出了实现本发明实施例的基于ARM TrustZone系统的多媒体内容保护方法的一个示例性软件架构300。

如图3所示，在基于ARM TrustZone系统的多媒体内容保护方法的一个软件架构300中，主要包括三个功能实体：内容提供商301、授权中心302和客户端303。其中客户端303又包括非信任执行子系统304和可信任执行子系统308。播放客户端应用305是运行在非信任执行子系统304的非信任应用程序，包括格式解析模块306和协议解析模块307。格式解析模块306获取内容提供商301提供的多媒体内容及其头信息，将多媒体头信息发送给协议解析模块307，并解复 用多媒体内容发送给播放服务310。协议解析模块307根据多媒体头信息、许可认证服务309获取并加密的用户账号信息和许可认证服务309生成的许可证公开密钥向授权中心302请求获取许可证，并将接收的加密的许可证传递给许可认证服务309。许可认证服务309和播放服务310是运行在可信任执行子系统308中的可信任应用程序。许可认证服务309将许可证认证请求和解析过程中的用户账号密码等敏感数据以及许可证产生解析等关键算法置于可信任执行子系统308中；播放服务310程序负责从许可认证服务309中获得解密音视频内容密钥，负责操作解密引擎311、解码器312和播放模块313以及三者之间数据传递。

基于ARM TrustZone系统的多媒体内容保护方法的处理步骤包括：

首先，在播放客户端应用305启动过程中，非信任执行子系统304中的协议解析模块307请求可信任执行子系统308中的许可认证服务309获得用户的账户信息，许可认证服务309可以是通过可信任用户界面来获得用户的账户信息，此账户信息暂存在许可认证服务309的安全内存中。

其次，播放客户端应用305程序通过网络下载内容提供商的多媒体内容，申请用于和可信任执行子系统中的许可认证服务进行通信的非安全共享内存，解析之后将多媒体头信息通过已经申请的非安全共享内存传递给许可认证服务。

然后，在多媒体回放的准备阶段，格式解析模块306通过网络协议下载多媒体内容，并从内容的头信息中分离出密钥识别号、授权中心302的URL和用于加密用户账户信息的公开密钥，并且通过非安全共享内存将用于加密账户信息的公开密钥交由可信任执行子系统308中的许可认证服务309。

之后，协议解析模块307请求可信任执行子系统308中的许可认证服务309使用步骤2中的用于加密账户信息的公开密钥来加密账户信息，并且将加密后的用户账户信息通过非安全共享内存返回给非信任执行子系统304中的协议解析模块307。

之后，协议解析模块307请求可信任执行子系统308中的许可认证服务309提供一个用于授权中心302加密许可证的公开密钥，用于解密授权中心302颁发的许可证的私有密钥存储在许可认证服务309的安全内存中。

之后，协议解析模块307根据步骤2中的密钥识别号、步骤3中的加密后的账户信息和步骤4中授权中心302用于加密生成的许可证的公开密钥，向授权中心302发送许可证颁发请求。

之后，授权中心302通过私有密钥解密用户账户信息并且验证其身份，通过身份认证后，授权中心302根据解密后的账户信息和密钥识别号来生成许可证，然后利用步骤4中由可信任执行子系统308中的许可认证服务309产生的用于加密许可证的公开密钥加密许可证并返回给播放客户端应用305的协议解析模块307。

之后，协议解析模块307将收到的加密后的许可证通过非安全共享内存转交给可信任执行子系统308中的许可认证服务309。

之后，可信任执行子系统308中的许可认证服务309根据步骤4中的位于安全内存的私有密钥解密由授权中心302颁发的许可证，从中提取解密内容的密钥、播放时限和播放次数信息。

之后，格式解析下载多媒体内容，并且解复用后分离出加密的音视频基本码流，通过非安全共享内存的方式发送给可信任执行子系统308中的播放服务310。

之后，可信任执行子系统308中的播放服务310从可信任执行子系统308中的许可认证服务309中获得解密音视频基本码流的密钥，并根据此密钥调用解密引擎311对加密后的基本码流进行解密。

之后，可信任执行子系统308中的播放服务310根据许可认证服务309获得的解密内容秘钥来解密音视频基本码流，由播放服务310的解密模块输出的明文音视频基本码流被保存在可信任执行子系统308的安全内存中，这个安全内存不能够被处于非信任执行子系统中的程序和设备访问。

之后，播放服务310将解密后的音视频基本码流送到音视频解码器312的安全输入缓存，安全输入缓存只能被可信任执行子系统中的 实体访问。播放客户端应用305发送解码命令给音视频解码器312进行解码。

最后，解码器312将解码后的PCM音频数据和YUV视频数据送到播放模块313的安全输入缓存，播放客户端应用305发送命令给播放模块313进行音频回放和/或显示。

优选地，上述步骤中的账户信息是通过可信任用户界面来实现的，遵循Global Platform组织定义的Trusted UI规范。

优选地，上述步骤中对应于加密账户信息的公开密钥，内容提供商301和授权中心302同时持有相应的私有密钥，授权中心302可以根据私有密钥解密协议解析模块307发来的用户账户信息。

优选地，上述步骤中授权中心302会对颁发的许可证生成签名，并且将签名验证信息和用于验证签名的公开密钥一并存入许可证中。

优选地，上述步骤中许可认证服务309将首先对解密前的许可证进行签名验证，以保证许可证的完整性。

优选地，上述步骤中播放服务310请求许可认证服务309获取解密内容的密钥，只有通过身份验证的可信任应用程序才能得到解密内容的密钥。

优选地，上述步骤中，解密引擎311的输入缓存、解码器312的输入输出缓存以及播放模块313的输入缓存都是安全内存，只有可信任执行子系统308中的实体才能访问。

本领域技术人员可以理解，根据本申请的基于ARM TrustZone系统的多媒体内容保护方法，实现该方法的系统架构也可以有多种。例如，如下所示的系统架构或其它基于ARM TrustZone系统的系统架构。

图4示出了根据本发明实施例的基于ARM TrustZone系统的多媒体内容保护方法的一个示例性系统架构400。

如图4所示，系统架构400包括：运行于非信任执行子系统401的用户空间的非信任应用程序402、客户端API 403、守护进程404，运行于非信任执行子系统401的内核空间的普通操作系统405和运行于普通操作系统405中的设备驱动程序406，运行于可信任执行子系 统407的内核空间的安全操作系统408和运行于安全操作系统408中的监视模块409，以及运行于可信任执行子系统407的用户空间的内部客户端API 410、可信任应用程序411和服务管理模块412。

以普通操作系统405为Linux为例，非信任应用程序402是非信任执行子系统401中运行在普通操作系统405上的实体。

客户端应用的接口库(客户端API 403)遵循Global Platform组织TEE规范中所定义的接口，负责从非信任应用程序接受命令并且将其通过套接字方式组包发送给到守护进程404。

守护进程404在系统初始化被启动，并且获得调用设备驱动程序406的句柄，当通过套接字方式得到命令时，解析命令并且通过系统调用呼叫设备驱动程序406。

设备驱动程序406除了将守护进程发送过来的命令通过SMC指令来传送到监视模块409，并且负责共享内存物理页的分配，分配时从普通操作系统获得不可移动类型的物理页，并且将其映射到非信任应用程序的虚拟地址空间，从而确保所分配的物理页是不可移动的，这样就避免了由Linux页迁移机制导致的共享内存数据一致性问题。

监视模块409是属于可信任执行子系统中的实体，主要处理可信任执行子系统和非信任执行子系统之间的消息的转发，是可信任执行子系统和非信任执行子系统通信的中间节点，负责中断和快速中断的路由，从而使得可信任执行子系统和非信任执行子系统中的中断和快速中断能够得到及时有效地响应。这样可以保证当CPU处在安全模式时，属于非安全模式的中断也能得到快速有效处理。

内部客户端应用的接口库(内部客户端API 410)置于可信任执行子系统407中，同样实现了Global Platform组织TEE规范中所定义的接口。

可信任应用程序411运行在可信任执行子系统中，拥有独立的地址空间，并且相互间不可见且互不信任，可信任应用程序间的交互是通过内部客户端应用程序接口来实现的。例如图3中的许可认证服务与播放服务之间的交互是通过内部客户端应用程序接口来实现的。

服务管理模块412作为一个具有特殊权限的可信任应用程序而存 在，属于用户空间的一部分，主要的职责是负责处理从非信任执行子系统送入的进程上下文、会话协议段、共享内存和启动可信任应用程序411。

安全操作系统408具备内核空间/用户空间独立、中断处理、多核支持以及管理可信任应用程序411访问内核驱动的权限。

图5示出了根据图4中的系统架构实现的本发明实施例的一个示例性流程图500。

如图5所示，流程图500包括以下步骤：

步骤501：在非信任应用程序402调用客户端API 403之前，需要进行系统初始化，包括：安全操作系统408加载完成；服务管理模块412正常运行；普通操作系统405加载完成；设备驱动已经加载完成；守护进程404已经正常启动。

步骤502：非信任应用程序402调用客户端API 403。

步骤503：客户端API 403库对收到的命令进行打包并以套接字方式传送给守护进程404。

步骤504：守护进程404解析命令然后调用驱动程序。

步骤505：驱动程序将收到的命令转发给监视模块409。

步骤506：监视模块409将命令发送到对应的可信任应用程序411进行处理。

步骤507：可信任应用程序411对命令进行处理并且返回结果给非信任应用程序402。

优选地，步骤501的安全操作系统408先于普通操作系统405加载，也就是安全系统完成初始化再引导普通操作系统405进行加载。

优选地，步骤501在支持多核的情况下，每一个核都遵循从安全操作系统408引导到普通操作系统405。

优选地，步骤502的非信任应用程序402调用客户端API 403，依次为：初始化进程上下文句柄；获得会话协议段句柄；从设备驱动程序406申请共享内存，并且注册到可信任执行子系统407；向可信任执行程序发送服务请求。

优选地，步骤503的客户端API 403库在与守护进行通信之前， 必须先和守护进程404建立连接，连接方法和消息传送遵守套接字程序编程规范。

优选地，步骤504的守护进程404通过系统调用的方式来调用设备驱动程序406，此外，守护进程404还负责从非信任执行子系统401的文件系统中读取可信任应用程序411的镜像，请求可信任执行子系统407的服务管理模块412进行加载。

优选地，上述所读取的可信任应用程序411的镜像是经过加密和签名生成的，服务管理模块412解密并且验证签名，然后再加载镜像，这样可以保证所加载的可信任应用程序411的完整性。

优选地，上述可信任应用程序411的加密和签名生成必须通过嵌入式设备生产厂家进行，一般开发者无法获得加密密钥以及签名私有密钥。

优选地，步骤506的监视模块409是通过目标可信应用程序的进程识别号，发送消息并且激活可信任应用程序411，使得可信任应用程序411获得足够的执行时间片。

优选地，步骤506的监视模块409还具备超时检查机制，当CPU长期处于安全模式时，可以自动保存现场并且切换到非安全模式进行任务处理。

优选地，步骤506中，等下一次CPU进入安全模式，会将之前未完成的命令继续进行，并且返回给非信任应用程序402。

本实施例遵循Global Platform组织的所定义的TEE规范。安全操作系统408是支持多核功能的，多个CPU可以同时进入到安全模式，提升命令处理的性能和吞吐量。由于监视模块409具备了超时机制，因此本实例也支持非信任应用程序402以异步的方式调用客户端API403，可以对已经发送的命令进行取消。

图6示出了根据本申请实施例的基于ARM Tru tZone系统的多媒体内容保护装置的一种示意性结构图600。

ARM TrutZone系统包括非信任执行子系统和可信任执行子系统。

如图6所示，基于ARM TrustZone系统的多媒体内容保护装置的一种示意性结构图600包括：第一获取模块601、第二获取模块602、 请求模块603、解析模块604、解密模块605和解码播放模块606，其中，以下至少一个模块至少部分在可信任执行子系统中执行：第二获取模块602、请求模块603、解析模块604、解密模块605和解码播放模块606。

第一获取模块601，用于获取多媒体内容以及其中的多媒体头信息；第二获取模块602，用于获取用户账户信息；请求模块603，用于利用用户账户信息和多媒体头信息向授权中心请求许可证；解析模块604，用于解析许可证以获得解密内容密钥；解密模块605，用于根据解密内容密钥对多媒体内容进行解密；解码播放模块606，用于对解密后的多媒体内容进行解码和播放。

在某些实施方式中，第二获取模块602包括：获取子模块，用于在可信任执行子系统中获取用户账户信息；以及将所述用户账户信息传递至非信任执行子系统中进行处理。

在某些实施方式中，所述获取子模块用于通过可信任用户界面获取用户账户信息，所述可信任用户界面对所述非信任执行子系统中的处理不可见。

在某些实施方式中，请求模块603包括：第一接收子模块，用于在所述可信任执行子系统中接收在非信任执行子系统中获取的所述多媒体头信息中的账户公开密钥；加密子模块，用于在所述可信任执行子系统中利用所述账户公开密钥对用户账户信息进行加密，以及将加密后的用户账户信息传递至所述非信任执行子系统中进行处理。

在某些实施方式中，请求模块603还包括：第一生成子模块，用于在所述可信任执行子系统中生成许可证非对称密钥，以及将所述许可证非对称密钥中的许可证公开密钥传递至非信任执行子系统中进行处理。

在某些实施方式中，请求模块603还包括：第二生成子模块，用于在所述非信任执行子系统中生成请求，以及向授权中心发送所述请求，所述请求包括：颁发许可证的请求信息、多媒体头信息中的密钥识别号、加密后的用户账户信息和所述许可证公开密钥。

在某些实施方式中，解析模块604包括：第二接收子模块，用于 在非信任执行子系统中从授权中心接收加密的许可证，以及将所述许可证传递至可信任执行子系统中进行处理；解密子模块，用于在可信任执行子系统中利用所述许可证非对称密钥中的私有密钥解密所述加密的许可证以生成解密内容密钥、播放次数信息和播放时限信息。

在某些实施方式中，解密模块605包括：分离子模块，用于在非信任执行子系统中解复用所述多媒体内容以分离出加密的音视频基本码流，将所述加密的音视频基本码流传递至可信任执行子系统中进行处理。

在某些实施方式中，解密模块605还包括：解密子模块，用于在可信任执行子系统中执行根据获取的所述解密内容密钥、播放次数信息和播放时限信息，解密获取的所述加密的音视频基本码流。

在某些实施方式中，解码播放模块606包括：解码子模块，用于在可信任执行子系统中对解密后的音视频基本码流进行解码，得到解码后的音频数据和视频数据；播放子模块，用于在可信任执行子系统中播放解码后的音频数据和视频数据。

在某些实施方式中，装置600还包括：非安全共享内存，用于非信任执行子系统与可信任执行子系统之间通过非信任执行子系统中的非安全共享内存传递数据。

在某些实施方式中，装置600还包括：安全内存，用于在可信任执行子系统中执行的处理通过可信任执行子系统中的安全内存存取数据；其中，安全内存不能够被处于非信任执行子系统中的处理访问。

描述于本申请实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括第一获取模块、第二获取模块、请求模块、解析模块、解密模块和解码播放模块。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定，例如，第一获取模块还可以被描述为“用于获取多媒体内容以及其中的多媒体头信息的模块”。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中所述装置中所包含的计算机可 读存储介质；也可以是单独存在，未装配入终端中的计算机可读存储介质。所述计算机可读存储介质存储有一个或者一个以上程序，所述程序被一个或者一个以上的处理器用来执行描述于本申请的基于ARM Tru tZone系统的多媒体内容保护方法。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离所述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (24)

1.一种基于ARM TrustZone系统的多媒体内容保护方法，所述ARM TrustZone系统包括非信任执行子系统和可信任执行子系统，所述方法包括：

获取多媒体内容以及其中的多媒体头信息；

获取用户账户信息；

利用用户账户信息和多媒体头信息向授权中心请求许可证；

解析许可证以获得解密内容密钥；

根据所述解密内容密钥对所述多媒体内容进行解密；

对解密后的多媒体内容进行解码和播放；

其中，以下至少一项处理至少部分在可信任执行子系统中执行：

获取用户账户信息、请求许可证、解析许可证、解密所述多媒体内容及解码和播放解密后的多媒体内容。

2.根据权利要求1所述的方法，其特征在于，所述获取用户账户信息包括：

在所述可信任执行子系统中获取用户账户信息，以及将所述用户账户信息传递至非信任执行子系统中进行处理。

3.根据权利要求2所述的方法，其特征在于，所述在所述可信任执行子系统中获取用户账户信息包括：

在所述可信任执行子系统中通过可信任用户界面获取用户账户信息，所述可信任用户界面对非信任执行子系统中的处理不可见。

4.根据权利要求2或3所述的方法，其特征在于，所述请求许可证包括：

在所述可信任执行子系统中接收在所述非信任执行子系统中获取的所述多媒体头信息中的账户公开密钥；

在所述可信任执行子系统中利用所述账户公开密钥对用户账户信息进行加密；以及

将加密后的用户账户信息传递至所述非信任执行子系统中进行处理。

5.根据权利要求4所述的方法，其特征在于，所述请求许可证还包括：

在所述可信任执行子系统中生成许可证非对称密钥，以及将所述许可证非对称密钥中的许可证公开密钥传递至非信任执行子系统中进行处理。

6.根据权利要求5所述的方法，其特征在于，所述请求许可证还包括：

在所述非信任执行子系统中生成请求，以及向授权中心发送所述请求，所述请求包括：颁发许可证的请求信息、多媒体头信息中的密钥识别号、加密后的用户账户信息和所述许可证公开密钥。

7.根据权利要求6所述的方法，其特征在于，所述解析许可证包括：

在所述非信任执行子系统中从授权中心接收加密的许可证，以及将所述许可证传递至所述可信任执行子系统中进行处理；

在所述可信任执行子系统中利用所述许可证非对称密钥中的私有密钥解密所述加密的许可证以生成解密内容密钥、播放次数信息和播放时限信息。

8.根据权利要求7所述的方法，其特征在于，所述解密所述多媒体内容包括：

在所述非信任执行子系统中解复用所述多媒体内容以分离出加密的音视频基本码流，将所述加密的音视频基本码流传递至所述可信任执行子系统中进行处理。

9.根据权利要求8所述的方法，其特征在于，所述解密所述多媒体内容还包括：

在所述可信任执行子系统中根据获取的所述解密内容密钥、播放次数信息和播放时限信息，解密获取的所述加密的音视频基本码流。

10.根据权利要求9所述的方法，其特征在于，所述解码和播放解密后的多媒体内容包括：

在所述可信任执行子系统中对解密后的音视频基本码流进行解码和播放。

11.根据权利要求10所述的方法，其特征在于，所述非信任执行子系统与所述可信任执行子系统之间通过所述非信任执行子系统中的非安全共享内存传递数据。

12.根据权利要求11所述的方法，其特征在于，在可信任执行子系统中执行的处理通过可信任执行子系统中的安全内存存取数据；其中，所述安全内存不能够被处于非信任执行子系统中的处理访问。

13.一种基于ARM TrustZone系统的多媒体内容保护装置，所述ARM TrustZone系统包括非信任执行子系统和可信任执行子系统，所述装置包括：

第一获取模块，用于获取多媒体内容以及其中的多媒体头信息；

第二获取模块，用于获取用户账户信息；

请求模块，用于利用用户账户信息和多媒体头信息向授权中心请求许可证；

解析模块，用于解析许可证以获得解密内容密钥；

解密模块，用于根据所述解密内容密钥对所述多媒体内容进行解密；

解码播放模块，用于对解密后的多媒体内容进行解码和播放；

其中，以下至少一个模块至少部分在可信任执行子系统中实现：

第二获取模块、请求模块、解析模块、解密模块和解码播放模块。

14.根据权利要求13所述的装置，其特征在于，所述第二获取模块包括：

获取子模块，用于在所述可信任执行子系统中获取用户账户信息；以及将所述用户账户信息传递至所述非信任执行子系统中进行处理。

15.根据权利要求14所述的装置，其特征在于，所述获取子模块用于通过可信任用户界面获取用户账户信息，所述可信任用户界面对所述非信任执行子系统中的处理不可见。

16.根据权利要求14或15所述的装置，其特征在于，所述请求模块包括：

第一接收子模块，用于在所述可信任执行子系统中接收在非信任执行子系统中获取的所述多媒体头信息中的账户公开密钥；

加密子模块，用于在所述可信任执行子系统中利用所述账户公开密钥对用户账户信息进行加密，以及将加密后的用户账户信息传递至所述非信任执行子系统中进行处理。

17.根据权利要求16所述的装置，其特征在于，所述请求模块还包括：

第一生成子模块，用于在所述可信任执行子系统中生成许可证非对称密钥，以及将所述许可证非对称密钥中的许可证公开密钥传递至非信任执行子系统中进行处理。

18.根据权利要求17所述的装置，其特征在于，所述请求模块还包括：

第二生成子模块，用于在所述非信任执行子系统中生成请求，以及向授权中心发送所述请求，所述请求包括：颁发许可证的请求信息、多媒体头信息中的密钥识别号、加密后的用户账户信息和所述许可证公开密钥。

19.根据权利要求18所述的装置，其特征在于，所述解析模块包括：

第二接收子模块，用于在所述非信任执行子系统中从授权中心接收加密的许可证，以及将所述许可证传递至可信任执行子系统中进行处理；

解密子模块，用于在所述可信任执行子系统中利用所述许可证非对称密钥中的私有密钥解密所述加密的许可证以生成解密内容密钥、播放次数信息和播放时限信息。

20.根据权利要求19所述的装置，其特征在于，所述解密模块包括：

分离子模块，用于在所述非信任执行子系统中解复用所述多媒体内容以分离出加密的音视频基本码流，将所述加密的音视频基本码流传递至所述可信任执行子系统中进行处理。

21.根据权利要求20所述的装置，其特征在于，所述解密模块还包括：解密子模块，用于在所述可信任执行子系统中根据获取的所述解密内容密钥、播放次数信息和播放时限信息，解密获取的所述加密的音视频基本码流。

22.根据权利要求21所述的装置，其特征在于，所述解码播放模块包括：

解码子模块，用于在所述可信任执行子系统中对解密后的音视频基本码流进行解码，得到解码后的音频数据和视频数据；

播放子模块，用于在所述可信任执行子系统中播放所述解码后的音频数据和视频数据。

23.根据权利要求22所述的装置，其特征在于，所述装置还包括：非安全共享内存，用于所述非信任执行子系统与所述可信任执行子系统之间通过所述非信任执行子系统中的非安全共享内存传递数据。

24.根据权利要求23所述的装置，其特征在于，所述装置还包括：安全内存，用于在可信任执行子系统中执行的处理通过可信任执行子系统中的安全内存存取数据；其中，所述安全内存不能够被处于非信任执行子系统中的处理访问。