CN105049459A - 双主机安全移动智能终端及其实现方法 - Google Patents

Abstract

本发明涉及一种基于密码隔离方式实现的具有双主机结构和高等级网络安全的双主机安全移动智能终端及其实现方法，包括安全主控芯片、移动办公应用处理器、个人应用处理器和移动通信模块，移动办公应用处理器与个人应用处理器之间的通信通过安全主控芯片桥接，个人应用处理器转发属于移动办公应用处理器的密文数据包，移动通信模块负责通过移动网络收发数据包，两个应用处理器之间共享部分外设，但是与安全密切相关的SRAM、闪存存储各自一套，安全主控芯片中的控制程序对进出移动办公应用处理器的网络数据包进行密码处理，实现方式简洁，能够保证安全性与正确性，满足特殊应用对网络安全要求非常高的需求。

Description

双主机安全移动智能终端及其实现方法

技术领域

本发明属于网络安全与嵌入式系统领域，具体涉及一种基于密码隔离方式实现的具有双主机结构和高等级网络安全的双主机安全移动智能终端及其实现方法。

背景技术

当前移动智能终端（智能手机、平板电脑）的安全性问题堪忧，从原因上分析主要由两个，一是终端自身的基础软件环境的不安全，二是终端应用的不安全。终端自身的基础软件环境指终端的操作系统（如Linux）和应用环境中间件（如Android运行环境），这个基础环境高度复杂，现有理论与技术不能保证基础软件环境没有漏洞，即总是存在安全漏洞与隐患。对于终端应用而言，种类与来源五花八门，很难保证安全性，很多应用藏有病毒程序，能够攻破基础软件环境的防御机制，窃取整个终端系统的控制权。

基于上述原因，当移动办公应用也在同一个终端下运行时，办公应用将会面临较大的安全威胁。为了达到在同一个终端中同时运行办公应用与个人应用的目的，并尽可能保证安全，需要将个人应用与移动办公应用进行隔离，从终端厂商到安全厂商提出了各种方案，如虚拟机、强制访问控制、应用管控、移动设备权限统一管理等，但是上述方案都是在同一个物理主机中通过软件方案进行分割，因为软件的高度复杂性，软件隔离机制存在各种漏洞，最终恶意攻击者能够对移动办公应用发起有效攻击。

鉴于上述原因，市场上出现了使用双物理主机的终端方案，即一部移动终端中含有两套物理主机（两套主机共享显示屏、触摸屏等外设，CPU、SRAM、闪存存储各自独立），这样就能在物理上将个人应用与办公应用严格的分割，保证危险的个人应用不能攻击办公应用，相对上述软件隔离方案，该方案安全性大幅提高。但是上述双物理主机方案没有解决基础软件环境的安全问题，因此还会存在安全隐患，又因为基础软件环境的安全利用当前的理论与技术无法得到彻底解决，所以必须使用其他方法将办公应用所在主机环境限制在一定的网络边界内，确保办公数据不能泄露到网络边界以外，造成安全隐患。

发明内容

本发明的目的在于实现一个在网络安全方面具有高等级防护能力的双主机安全移动智能终端及其实现方法，并且基于个人应用主机和移动办公应用主机的双主机物理架构，移动办公应用主机通过个人应用主机完成与外界的网络通过，移动办公应用主机没有独立的网络通信模块，两个主机之间的通信由专用的安全主控芯片进行密码控制，保证移动办公应用主机的网络边界高度安全。

本发明的实现方法如下：

一种基于密码隔离方式实现的双主机安全移动智能终端，包括移动办公应用处理器、个人应用处理器、安全主控芯片和移动通信模块，其特征在于：

安全主控芯片位于移动办公应用处理器与个人应用处理器之间，用于进出移动办公应用处理器的所有数据包通过其进行转发，移动通信模块与个人应用处理器连接，所有数据包通过移动通信模块从移动网络中收发；

移动办公应用处理器发送的数据包经过安全主控芯片，安全主控芯片对数据包进行独立的加密处理，处理后数据以密文形式出现在个人应用处理器中；个人应用处理器通过移动通信模块将数据发送出去，个人应用处理器与移动通信模块均无法查看密文所对应的明文信息，密文信息在后续的网络传输中，攻击者也无法查看密文所对应的明文信息；

移动通信模块从移动网络中接收到数据包时，数据包的载荷部分为密文数据，移动通信模块只负责将信息转发给个人应用处理器，个人应用处理器再将数据转发给安全主控芯片，个人应用处理器与移动通信模块无法查看密文所对应的明文信息，安全主控芯片在收到个人应用处理器转发的密文信息后解密，将得到的明文信息转发给移动办公应用处理器。

进出移动办公应用处理器的数据包在各个模块的传输过程中，安全主控芯片起桥接作用，没有数据包能够绕过安全主控芯片，安全主控芯片的密码处理过程独立运行，不受移动办公应用处理器与个人应用处理器的控制；安全主控芯片中的各种配置信息由专用的配置接口进行配置，该配置接口不依赖于移动办公应用处理器与个人应用处理器。

安全主控芯片对数据包的处理核心是基于密码学的加解密运算，通过高强度密码算法将移动办公应用处理器与个人应用处理器之间的通信进行隔离，移动办公应用处理器一侧的信息为明文形式，个人应用处理器一侧的属于移动办公应用处理器的信息为密文。

所述应用处理器是指SoC形式的移动智能终端应用处理器，具有丰富的外围接口和高速的运算能力，各种用户应用在该处理器中运行，移动应用处理器通过外围接口与安全主控芯片连接。

所述移动通信模块是指能够向外界提供移动通信能力的专用硬件模块，模块具有基本的外围通信接口，移动通信模块通过外围通信接口与个人应用处理器连接。

一种双主机安全移动智能终端的实现方法，其特征在于：通过在移动办公应用处理器与个人应用处理器之间插入一个安全的主控芯片，在独立的安全主控芯片上对进出移动办公应用处理器的数据包进行密码处理，该密码处理环境不再依赖高度复杂的应用处理器的硬件与软件环境，外面的攻击者无法伪造合法的数据包，攻击包不能进入到移动办公应用处理器的范围，移动办公应用处理器发送的所有数据包必须经过安全主控芯片的密码处理，处理后的数据包只有特定的密钥拥有者才能成功获取有效信息，确保即使移动办公应用处理器环境存在恶意程序发送数据给外部网络，外部网络的接收者也无法获取有效信息，为移动办公应用处理器环境建立高度安全的网络边界；

移动办公应用处理器向外发送数据包时，首先移动办公应用处理器将数据包通过通信接口发送给安全主控芯片，安全主控芯片根据自身的配置策略检查数据包的合法性，然后安全主控芯片将整个数据包加密、添加序列号、添加密码校验位，经过上述处理后的数据包称为M，再组装新的数据包，新数据包的头部信息根据安全主控芯片的安全配置信息生成，新数据包的有效载荷为上述的M，然后将整个数据包发送给个人应用处理器，个人应用处理器将数据包发送给移动通信模块，移动通信模块按照移动网络通信的要求将数据包发送出去；

移动办公应用处理器接收数据包时，首先移动通信网络将数据包发送给移动通信模块，移动通信模块将数据包发送给个人应用处理器，个人应用处理器根据数据包头信息判断是否将数据包发送给安全主控芯片，如是，则将数据包发送给安全主控芯片，安全主控芯片接收到数据包后，利用密码方法校验数据包的完整性，如果数据包完整性遭到破坏，则丢弃数据包，如果完整性正常，则检查序列号，如果序列号不大于当前已经合法接收数据包的序列号，则丢弃该数据包，如果上述两个过程均顺利通过，安全主控芯片解密数据包，获取明文数据，然后将明文数据组装为合法的明文网络数据包发送给移动办公应用处理器；

上述安全主控芯片对数据包的处理过程中需要认证密钥、数据加解密密钥、密文数据包IP地址信息，这些信息配置管理接口进行注入，配置管理接口所使用的物理通信接口采用低速的UART或SPI接口；个人应用处理器自身与外界的通信不受安全主控芯片控制，直接通过移动通信模块与外界通信，个人应用处理器与移动通信模块是一个普通的移动智能终端，其自身的安全性不影响移动应用处理器环境的安全。

本发明具有如下有益效果：

基于密码隔离的双主机移动智能终端系统，在满足个人应用与办公应用同时在一个终端中运行的前提下，能够确保移动办公应用环境的网络边界高度安全，主要适用于对安全等级要求较高的应用，这些应用的数据非常敏感，对数据安全的要求很高，不允许数据通过网络途径泄露出去，特别是将数据泄露到因特网中。系统用户主要包括部分政府部门、关系国计民生的重要行业等，通过该系统能够保证移动办公应用的网络边界的高度安全。

附图说明

图1为本发明的实现基于密码隔离的双主机安全移动智能终端的结构与数据收发处理流程示意图。

具体实施方式

下面结合附图1对本发明做进一步描述：

如图1所示，一种基于密码隔离方式实现的双主机安全移动智能终端，包括移动办公应用处理器1、个人应用处理器3、安全主控芯片2、移动通信模块4、共享外围器件5、独占外围器件6和独占外围器件7。在硬件上主要由安全主控芯片2、移动办公应用处理器1、个人应用处理器3和移动通信模块4组成。移动办公应用处理器1与安全主控芯片2之间直接连接、安全主控芯片2与个人应用处理器3之间直接连接，个人应用处理器3与移动通信模块4直接连接，移动办公应用处理器1与个人应用处理器3之间的通信必须通过安全主控芯片桥接。

所述移动办公应用处理器1、个人应用处理器3是指SoC形式的移动智能终端应用处理器，具有丰富的外围接口（具有但不限于以下接口：SPI、HSIC、C2C、SDIO、或者UART）和高速的运算能力，在应用处理器上运行操作系统、应用中间件（如Android运行环境）和用户应用，各种用户应用在该处理器中运行，应用处理器通过外围通信接口（如HSIC高速接口）与安全主控芯片连接。两个应用处理器之间共享部分外围器件5，外围器件5为显示屏、触摸屏、麦克、喇叭、摄像头、各种传感器，但是与计算和存储相关的器件独占使用，独占外围器件6、7主要指SRAM、闪存存储等，上述共享外围器件和独占外围器件均属于普通移动智能终端的标准配件，对于双主机结构的安全移动智能终端也是必需的。移动办公应用处理器1通过安全主控芯片2与个人应用处理器3通信。移动办公应用处理器没有直接与外部进行明文数据通信的能力，所有通信必须经过安全主控芯片转发。个人应用处理器连接有（或者SoC内部集成）移动通信模块，可以与移动网络进行正常通信。

所述安全主控芯片具有常见的通信接口（具有但不限于以下接口，SPI、HSIC、C2C、SDIO、或者UART），通过这些通信接口，其可以同时连接移动办公应用处理器1和个人应用处理器3，该安全主控芯片在软件的控制下对两个应用处理器之间的通信数据进行加解密处理。根据移动办公应用处理器1和个人应用处理器3的接口配置灵活选择不同的通信接口与移动办公应用处理器1和个人应用处理器3对接，比如通过安全主控芯片中的两个HSIC接口分别连接移动办公应用处理器1和个人应用处理器3。安全主控芯片支持常见的国际通用密码算法AES、3DES、RSA、SHA-256，同时还支持SM1、SM2、SM3、SM4中国国产密码算法以及其他的特殊算法，可根据需要灵活配置使用的密码算法。安全主控芯片对移动办公应用处理器与个人应用处理器之间的所有通信进行转发处理，主要处理步骤是对数据包进行加解密运算。

所述移动通信模块是指能够向外界提供移动通信能力（包括但不限于以下通信方式，2G、3G、4G）的硬件模块，模块具有基本的外围通信接口（具有但不限于以下接口，HSIC、C2C、SDIO、内存接口），移动通信模块通过外围通信接口与个人应用处理器连接，该模块在逻辑上是独立的，但是在实现时或者以SoC模块的形式出现在个人应用处理器内部，或者以独立的物理模块形式出现。移动通信模块接收个人应用处理器发送的各种命令，完成网络数据包的收发工作。

该发明对网络数据包的典型处理流程，即一种双主机安全移动智能终端的实现方法，具体如下所述：

移动办公应用处理器向外发送数据包的数据流向如图1箭头①、②、③、④所示。首先移动办公应用处理器将数据包通过通信接口（例如HSIC、SDIO、SPI）发送给（箭头①）安全主控芯片，安全主控芯片根据自身的配置策略检查数据包的合法性，然后安全主控芯片将整个数据包加密、添加序列号、添加密码校验位（经过上述处理后的数据包称为M），再组装新的数据包，新数据包的头部信息根据安全主控芯片的安全配置信息生成，新数据包的有效载荷为上述的M，然后将整个数据包发送给（箭头②）个人应用处理器，个人应用处理器将数据包发送给（箭头③）移动通信模块，移动通信模块按照移动网络通信的要求将数据包发送出去（箭头④）。

移动办公应用处理器接收数据包的数据流向如图1箭头⑤、⑥、⑦、⑧所示。首先移动通信网络将数据包发送给（箭头⑤）移动通信模块，移动通信模块将数据包发送给（箭头⑥）个人应用处理器，个人应用处理器根据数据包头信息判断是否将数据包发送给安全主控芯片，如是，则将数据包发送给（箭头⑦）安全主控芯片，安全主控芯片接收到网络数据包后，利用密码方法校验数据包的完整性，如果数据包完整性遭到破坏，则丢弃数据包，如果完整性正常，则检查序列号，如果序列号不大于当前已经合法接收数据包的序列号，则丢弃该数据包，如果上述两个过程均顺利通过，安全主控芯片解密数据包，获取明文数据，然后将明文数据组装为合法的明文网络数据包发送给（箭头⑧）应用处理器。

上述安全主控芯片对数据包的处理过程中需要认证密钥、数据加解密密钥、密文数据包IP地址等信息，这些信息通过图1所示的配置管理接口进行注入，配置管理接口所使用的物理通信接口可以采用低速的UART、SPI等接口。两个应用处理器对安全主控芯片不具有任何配置管理功能。

所述个人应用处理器自身与外界的通信不受安全主控芯片的控制，直接通过移动通信模块与外界通信，此时可以将个人应用处理器与移动通信模块看做一个普通的移动智能终端，其自身的安全性不会影响移动应用处理器环境的安全。

综上所述，一种基于密码隔离的双主机安全移动智能终端系统的实现方法，通过在两个应用处理器之间插入一个安全的主控芯片，在独立的安全主控芯片上对进出移动办公应用处理器的网络数据包进行密码处理，该密码处理环境不再依赖高度复杂的应用处理器的硬件与软件环境，避免了复杂环境自身的不安全隐患，该密码处理机制简洁，易于正确实现，避免了复杂方法的实现漏洞所带来的安全隐患。使用上述方法后，外面的攻击者无法伪造合法的数据包，攻击包不能进入到移动办公应用处理器的范围，移动办公应用处理器发送的所有数据包必须经过安全主控芯片的密码处理，处理后的数据包只有特定的密钥拥有者才能成功获取有效信息，该种机制确保即使移动办公应用处理器环境存在恶意程序发送数据给外部网络，外部网络的接收者也无法获取有效信息，所以该发明为移动办公应用处理器环境建立了一个高度安全的网络边界。

Claims (6)

1.一种双主机安全移动智能终端，包括移动办公应用处理器、个人应用处理器、安全主控芯片和移动通信模块，其特征在于：

安全主控芯片位于移动办公应用处理器与个人应用处理器之间，用于进出移动办公应用处理器的所有数据包通过其进行转发，移动通信模块与个人应用处理器连接，所有数据包通过移动通信模块从移动网络中收发；

移动办公应用处理器发送的数据包经过安全主控芯片，安全主控芯片对数据包进行独立的加密处理，处理后数据以密文形式出现在个人应用处理器中；个人应用处理器通过移动通信模块将数据发送出去，个人应用处理器与移动通信模块均无法查看密文所对应的明文信息，密文信息在后续的网络传输中，攻击者也无法查看密文所对应的明文信息；

移动通信模块从移动网络中接收到数据包时，数据包的载荷部分为密文数据，移动通信模块只负责将信息转发给个人应用处理器，个人应用处理器再将数据转发给安全主控芯片，个人应用处理器与移动通信模块无法查看密文所对应的明文信息，安全主控芯片在收到个人应用处理器转发的密文信息后解密，将得到的明文信息转发给移动办公应用处理器。

2.如权利要求1所述的双主机安全移动智能终端，其特征在于：进出移动办公应用处理器的数据包在各个模块的传输过程中，安全主控芯片起桥接作用，没有数据包能够绕过安全主控芯片，安全主控芯片的密码处理过程独立运行，不受移动办公应用处理器与个人应用处理器的控制；安全主控芯片中的各种配置信息由专用的配置接口进行配置，该配置接口不依赖于移动办公应用处理器与个人应用处理器。

3.如权利要求1所述的双主机安全移动智能终端，其特征在于：安全主控芯片对数据包的处理核心是基于密码学的加解密运算，通过高强度密码算法将移动办公应用处理器与个人应用处理器之间的通信进行隔离，移动办公应用处理器一侧的信息为明文形式，个人应用处理器一侧的属于移动办公应用处理器的信息为密文。

4.如权利要求1所述的双主机安全移动智能终端，其特征在于：所述应用处理器是指SoC形式的移动智能终端应用处理器，具有丰富的外围接口和高速的运算能力，各种用户应用在该处理器中运行，移动应用处理器通过外围接口与安全主控芯片连接。

5.如权利要求1所述的双主机安全移动智能终端，其特征在于：所述移动通信模块是指能够向外界提供移动通信能力的专用硬件模块，模块具有基本的外围通信接口，移动通信模块通过外围通信接口与个人应用处理器连接。

6.一种双主机安全移动智能终端的实现方法，其特征在于：通过在移动办公应用处理器与个人应用处理器之间插入一个安全的主控芯片，在独立的安全主控芯片上对进出移动办公应用处理器的数据包进行密码处理，该密码处理环境不再依赖高度复杂的应用处理器的硬件与软件环境，外面的攻击者无法伪造合法的数据包，攻击包不能进入到移动办公应用处理器的范围，移动办公应用处理器发送的所有数据包必须经过安全主控芯片的密码处理，处理后的数据包只有特定的密钥拥有者才能成功获取有效信息，确保即使移动办公应用处理器环境存在恶意程序发送数据给外部网络，外部网络的接收者也无法获取有效信息，为移动办公应用处理器环境建立高度安全的网络边界；

移动办公应用处理器向外发送数据包时，首先移动办公应用处理器将数据包通过通信接口发送给安全主控芯片，安全主控芯片根据自身的配置策略检查数据包的合法性，然后安全主控芯片将整个数据包加密、添加序列号、添加密码校验位，经过上述处理后的数据包称为M，再组装新的数据包，新数据包的头部信息根据安全主控芯片的安全配置信息生成，新数据包的有效载荷为上述的M，然后将整个数据包发送给个人应用处理器，个人应用处理器将数据包发送给移动通信模块，移动通信模块按照移动网络通信的要求将数据包发送出去；

移动办公应用处理器接收数据包时，首先移动通信网络将数据包发送给移动通信模块，移动通信模块将数据包发送给个人应用处理器，个人应用处理器根据数据包头信息判断是否将数据包发送给安全主控芯片，如是，则将数据包发送给安全主控芯片，安全主控芯片接收到数据包后，利用密码方法校验数据包的完整性，如果数据包完整性遭到破坏，则丢弃数据包，如果完整性正常，则检查序列号，如果序列号不大于当前已经合法接收数据包的序列号，则丢弃该数据包，如果上述两个过程均顺利通过，安全主控芯片解密数据包，获取明文数据，然后将明文数据组装为合法的明文网络数据包发送给移动办公应用处理器；

上述安全主控芯片对数据包的处理过程中需要认证密钥、数据加解密密钥、密文数据包IP地址信息，这些信息配置管理接口进行注入，配置管理接口所使用的物理通信接口采用低速的UART或SPI接口；个人应用处理器自身与外界的通信不受安全主控芯片控制，直接通过移动通信模块与外界通信，个人应用处理器与移动通信模块是一个普通的移动智能终端，其自身的安全性不影响移动应用处理器环境的安全。