CN104809413A - 基于TrustZone技术的移动平台可信用户界面框架 - Google Patents

Abstract

一种属于移动平台安全技术领域的基于TrustZone技术的移动平台可信用户界面框架，包括可信用户界面的定制与实现分离方法，可信UI和普通UI的多缓冲区分层渲染机制。本发明采用可信用户界面的定制与实现分离方法，以及可信UI与普通UI的多缓冲区分层渲染机制，能够提供一种非侵扰式的、部署成本低的、对原应用外观影响小的，基于TrustZone技术的移动平台可信UI框架，能够在原有系统被攻陷的情况下保证用户数据的完整性的保密性。本发明大大降低了可信UI的开发门槛并改善了可信UI的显示效果，在一定程度上提高了可移动应用的安全性，推动了当前移动化办公及移动化生活的进程，进而潜在地增加了社会效益及经济效益。

Description

基于TrustZone技术的移动平台可信用户界面框架

技术领域

本发明属于移动平台安全技术领域，具体地说，是一种非侵扰式的、部署成本低的Android可信用户界面框架。

背景技术

随着现实生活中，移动设备越来越到地参与到安全敏感的业务中(如支付、办公)，移动平台逐渐聚集了大量的敏感数据。其中，用户界面因为其涉及的软件栈的庞大、在应用中所处位置的相对敏感(处理输入和输出)，成为了恶意行为的主要目标之一。攻击用户界面的方式多种多样，可大致分为数据的窃取和信息的篡改两类。前一类攻击，既可以通过伪造用户界面来获取用户输入、覆盖正确内容以欺骗用户点击等方法，也可以通过攻陷内核或Android后截取用户输入的内容或者扫描屏幕内容来实施；而一类攻击，恶意行为可以通过修改显示内容以造成用户错误判断等方法实施。从上述的多种攻击方法可以看出，用户界面的攻击表面非常大，因此很难通过加固原有系统的安全机制来进行防御。

可信UI被用来解决上述的问题。在当前的移动平台上，可信UI通常利用ARM公司提供的TrustZone技术来实现。

TrustZone技术为原有的移动设备处理器增添了额外的运行模式，被称为安全模式(secure world)。对应的，原有模式被称为普通模式(normal world)。支持了TrustZone的芯片在启动时，会预先进入安全模式中。在这个阶段，可以配置两个运行模式对于硬件资源(外部设备如屏幕)或内存的访问权限。这个阶段之后，芯片回到普通模式下继续常规的运行。但在普通模式下时，被划分为安全的设备或内存是无法访问的，这些资源需要被切换至安全模式后才可以被访问。

TrustZone技术被可信UI充分地利用。当前主流的解决方案中，现有的系统运行在普通模式下，可信UI运行在安全模式下并实现安全世界中的所有输入与显示功能，并额外用一个仅可由安全模式控制的状态指示器(USB Indicator)来表示当前所处的运行模式。这种方法将原有系统的所有潜在问题与UI的逻辑隔离，能在原有系统被攻破的情况下保证用户敏感数据不遭到窃取或篡改。

可信UI需要实现安全世界中的一整套输入和显示功能，这带来了两个问题。

第一，安全模式下缺乏成熟、开放透明以及标准化的运行环境。为了让可信UI能够在安全模式下运行，开发者需要接触很多硬件细节，比如直接管理硬件资源、处理可能的硬件异常。在库的支持方面，安全模式下的运行环境对于当前主流的库(如标准C库或者标准C++库)的支持基本没有支持，因此开发者可能还需要额外实现库以辅助开发。因此，可信UI有着极高的开发门槛。而且这一现象会随着可信UI特性的增加而加剧。

第二，可信UI的复用性较差。由于移动平台的具体硬件规格不同，运行在不同硬件规格上的可信UI往往存在较大的差异。可信UI提供的接口不一致，运行方式与普通模式下的应用存在较大的区别。为了使用可信UI，应用往往需要调整自己的运行逻辑或者整体架构。甚至这个行为需要对不同的硬件平台分别进行。过高的部署成本为可信UI的使用造成了较大的障碍。

发明内容

针对上述现有技术的不足，本发明旨在设计一套非侵扰的、部署成本低的可信UI框架。本发明的可信UI框架试图解决当前可信UI的开发难度大和部署成本高的问题。本发明将可信UI的定制与实现解耦。通过该可信UI框架，开发者可以在不涉及安全世界的前提下，为自己应用定义一套符合自身需求的可信UI。

为达到上述目的，本发明是通过以下技术方案来实现的，本发明包括可信用户界面的定制与实现分离方法，可信UI和普通UI的多缓冲区分层渲染机制。

进一步地，在本发明中，可信UI的定制与实现的分离的方法，包括以下步骤，第一，将可信UI的定制部分的逻辑封装成UI控件，集成在Android框架中并提供与AndroidUI框架类似的接口；第二，将可信UI的具体机制运行在安全模式下，使用一套的安全的显示以及输入驱动。

更进一步地，在本发明中，可信UI与普通UI的渲染分离机制，包括以下内容，第一，利用TrustZone技术配置一块安全的缓冲区中；第二，在安全缓冲区中渲染可信UI的内容，在普通缓冲区中渲染其余内容；第三，安全缓冲区被叠于普通缓冲区上层，在屏幕上被优先显示；第四，确保可信UI显示内容的完整性和保密性，避免对普通用户界面内容的破坏。

为达到该目的，本发明主做到了如下的几点：1)将可信UI框架根据两个运行模式中的职责进行分离，用户仅需要面向可信UI框架中的普通模式中的组件进行开发，完全隔离来自安全模式的复杂技术细节；2)在普通模式中，将可信UI框架实现为Android自身的UI框架中的扩展，提供与原有UI框架类似的接口，该部分将负责与安全模式中对应组件的交互；3)在安全模式下，实现一套具有一定通用性的UI框架。它运用TrustZone技术，使用安全输入与用户交互，将显示内容绘制在一块仅可由安全模式访问的显示缓冲区中。

根据上述几点，本发明分为三个组成部分，如图1。它们分别是，位于普通模式的可信UI框架请求组件、位于普通模式的模式切换组件和位于安全模式下的可信UI框架服务组件。本发明主要运行在以Android为操作系统的移动设备上，依赖于TrustZone技术。本发明需要移动设备上集成模式指示器(USB Indicator)。

可信UI请求组件被整合在Android框架中，呈现的形式为UI控件(如文本框、按钮等)。当一个Android应用中使用了这(些)安全的UI控件，该Android应用在处理相关逻辑时就能获得来自本发明的UI安全增强。

可信UI控件会向安全模式发出两种指令，绘制指令和安全业务处理指令。当进入一个包含安全UI控件的场景时，可信UI控件会向安全模式发出绘制指令，这使得安全世界中的可信UI服务组件把UI控件绘制在安全显示缓冲区中。该绘制指令仅在刚刚进入该场景后触发一次，之后不再被触发。可信UI控件接收到用户的事件后，会发出安全业务处理请求，通过模式切换组件转发给可信UI服务组件。

模式切换组件为普通模式下Linux操作系统的一个内核模块。该内核模块的功能较为简单，负责将可信UI框架请求端发送的请求通过处理器模式切换的方式转发给位于安全模式下的可信UI框架服务端，以及待可信UI的处理逻辑完成后将结果返回给应用。处理器模式切换主要是通过TrustZone技术的SMC指令实现的。

可信UI服务组件工作在安全模式下。该组件需要进行一定的初始化工作，在设备启动首次进入安全模式时，需要配置USB Indicator的访问权限，并创建出一块安全的显示缓冲区，该安全缓冲区该被叠在普通的缓冲区之上。初始化工作完成后，该服务组件便一直驻留在安全模式中，响应来自可信UI控件的请求。

在可信UI未被激活时，该缓冲区中没有任何内容，因此用户在屏幕上看到的内容来自于普通缓冲区。当接收到来自可信UI请求端的绘制请求时，可信UI将控件绘制在安全显示缓冲区中,此时用户从屏幕上看到的内容来自于安全缓冲区对于普通缓冲区的叠加。

而当可信UI服务端接收到安全事务请求时，点亮代表当前处于安全模式的USBIndicator。当位于安全模式中时，移动设备的触摸屏被配置为仅可由安全模式访问，使用在安全模式中的驱动处理用户输入。可信UI控件即开始正常地响应来自用户的输入操作，而此时普通的UI控件则不会响应用户的任何输入操作。存在一个额外的可信UI退出按钮，当接收到用户的事件时，该UI控件触发将运行模式切换回普通模式的逻辑。当可信UI的工作完成，或者用户点击了可信UI退出按钮后，可信UI框架清除安全缓冲区中的所有内容，并重新配置设备的输入驱动使其恢复在普通模式下的状态，熄灭USB Indicator的指示器，并通过模式切换组件返回到普通模式中

本发明的有益效果是：本发明将可信用户界面的实现过程和定制过程解耦，在普通世界提供与Android UI框架类似的接口，在安全模式负责处理复杂的渲染和用户输入处理逻辑。本发明还利用TrustZone技术，将普通UI和可信UI绘制在不同的两个缓冲区上，即保证安全UI的安全性，也不对原有应用的显示产生较大的影响。

附图说明

图1是本发明的可信UI框架的基本结构图；

图2是本发明安全支付中可信UI执行流程图。

具体实施方式

下面结合附图对本发明的实施例作详细说明，本实施例以本发明技术方案为前提，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述的实施例。

      实施例

下文以安全支付应用中用户提供验证信息(如用户名和密码)的阶段为例，介绍本发明的具体实施方式，如图2所示：

1、用户在普通模式下产生购买行为，准备进入一个安全支付的界面提供验证信息。在这个安全支付的界面中存在可信UI控件：用户输入文本框、密码输入文本框、确认按钮。需要绘制这些控件时，普通模式下的应用会通过模式切换组件发送绘制场景指令给安全模式。

2、安全模式中的可信UI服务组件会根据应用传输的信息将可信UI控件绘制在安全显示缓冲区中。安全显示缓冲区在被显示时位于屏幕的最顶层，不会被其他的缓冲区的内容覆盖。绘制完成后，退出安全模式回到普通模式的应用中。此时，屏幕上应即存在普通UI控件，也存在可信UI控件，且可信UI控件的显示内容不被覆盖。

3、用户在安全支付的界面点击某个可信UI控件，如用户名输入框。此时，接收到该事件的控件会将通过模式切换组件切换至安全模式中。

4、进入安全模式后，系统首先需要进行一些安全设置，从原有的输入驱动转而使用安全输入驱动。此时USB Indicator被点亮，提示用户已经处于安全模式中。用户通过USB Indicator判断当前所处模式，如果进入准备输入验证信息阶段时，指示灯未被点亮，则说明原系统可能存在被攻击的可能，用户应该取消操作。

5、用户在可信控件中输入用户名和密码。在这个过程中，所有的用户输入事件都是由进入安全模式时配置的安全输入驱动处理的。处理逻辑与普通模式下的原有系统完全隔离。在这个过程中，USB Indicator应该是常亮的，否则表示出现了未知异常，需用应该取消操作。

6、用户完成验证信息的提供后，点击确认按钮。支付请求进行加密后提交。

7、待服务器响应后，可信UI框架将服务器的回复解密并进行解析。然后可信UI框架关闭USB Indicator指示灯，将支付结果返回给普通模式的发起者。该次安全操作事务完成。

上述实施案例仅列示性说明本发明的原理及功效，而非用于限制本发明。任何熟悉此项技术的人员均可在不违背本发明的精神及范围下，对上述实施例进行修改。因此，本发明的权利保护范围，应如权利要求书所列。

Claims (3)

1.一种基于TrustZone技术的移动平台可信用户界面框架，其特征在于，包括：1)可信用户界面的定制与实现分离方法；2)可信UI和普通UI的多缓冲区分层渲染机制。

2.根据权利要求1所述的基于TrustZone技术的移动平台可信用户界面框架，其特征在于，所述可信UI的定制与实现的分离的方法，包括以下步骤，第一，将可信UI的定制部分的逻辑封装成UI控件，集成在Android框架中并提供与Android UI框架类似的接口；第二，将可信UI的具体机制运行在安全模式下，使用一套的安全的显示以及输入驱动。

3.根据权利要求2所述的基于TrustZone技术的移动平台可信用户界面框架，其特征在于，所述可信UI与普通UI的渲染分离机制，包括以下内容，第一，利用TrustZone技术配置一块安全的缓冲区中；第二，在安全缓冲区中渲染可信UI的内容，在普通缓冲区中渲染其余内容；第三，安全缓冲区被叠于普通缓冲区上层，在屏幕上被优先显示；第四，确保可信UI显示内容的完整性和保密性，避免对普通用户界面内容的破坏。