CN105095765B - 移动终端及其处理器系统、一种可信执行方法 - Google Patents

Abstract

本发明涉及移动终端及其处理器系统、一种可信执行方法。所述处理器系统，包括：应用处理器，配置成适于运行开放式操作系统，执行基于所述开放式操作系统的普通应用程序的任务；基带处理器，配置成适于运行安全操作系统，执行基于所述安全操作系统的可信应用程序的任务。本发明能够提高移动终端切换正常模式及安全模式过程中任务的处理效率。

Description

移动终端及其处理器系统、一种可信执行方法

技术领域

本发明涉及通信领域，特别涉及移动终端及其处理器系统、一种可信执行方法。

背景技术

随着移动互联网的普及，移动终端的安全性问题亟待解决。

从移动终端的业务类型来看，移动终端正逐渐演变为极板通话业务、数据业务、信息获取、电子支付、数字版权管理(DRM)等业务一体化的手持终端设备。在正常的操作环境下，移动终端的操作系统是开放的，移动终端的系统及应用面临着一系列安全问题。移动终端基于其操作系统的开放性，难以避免地会运行病毒木马等恶意软件，因此，在移动终端中引入安全的可信任的执行环境一直是个重要的内容。

移动终端引入可信任执行环境的通常手段是使用ARM公司的方案，方案通过正常模式(Normal World)与安全模式(Secure World)之间的切换，提供硬件支持的隔离，进而建立开放式操作系统与安全操作系统的分离环境。

具体的，方案的工作模式包括正常模式及安全模式：正常模式对应REE环境(Rich Execution Environment)，其加载所述开放式操作系统，并执行富指令；安全模式对应TEE环境(Trusted Execution Environment)，其加载所述安全操作系统，并执行受信指令。

现有技术里，正常模式及安全模式集成于同一处理器中，移动终端根据不同的需要在所述处理器中切换上述两种模式。移动终端在该处理器里通过分时操作，实现同一处理器在不同时段运行所述开放式操作系统或安全操作系统，从而达到建立移动终端可信执行环境的目的。

然而，在同一处理器中采用分时操作切换正常模式和安全模式，为保证安全，两者切换涉及大量的现场保护和恢复工作，所以处理任务的效率比较低，且两种工作模式的任务处理是基于同一处理器的，其处理过程并非完全隔离，正常模式和安全模式下的操作可能会受到对方的影响。

发明内容

本发明技术方案所解决的技术问题为，如何提高切换正常模式及安全模式过程中任务的处理效率。

为了解决上述技术问题，本发明技术方案提供了一种移动终端的处理器系统，包括：

应用处理器，配置成适于运行开放式操作系统，执行基于所述开放式操作系统的普通应用程序的任务；

基带处理器，配置成适于运行安全操作系统，执行基于所述安全操作系统的可信应用程序的任务。

可选的，所述基带处理器还适于执行基带处理程序的任务；所述基带处理器配置成在具有处理富余量时、执行来自所述可信应用程序的任务。

可选的，所述基带处理器具备第一接口，所述应用处理器具备第二接口；

所述应用处理器适于通过所述第二接口发出来自所述普通应用程序的第一消息，接收来自基带处理器的第二消息；所述基带处理器适于通过所述第一接口发出来自所述可信应用程序的第二消息，接收来自应用处理器的第一消息；

其中，所述第一消息携带有可被所述可信应用程序识别和/或执行的信息；所述第二消息携带有可被所述普通应用程序识别和/或执行的信息。

可选的，所述第一消息中携带的信息包括被所述基带处理器认证的可信通用命令。

可选的，所述第二消息已被所述安全操作系统加密。

可选的，所述第一接口配置成基于安全操作系统与第二接口进行交互；所述第二接口配置成基于开放式操作系统与第一接口进行交互。

可选的，所述基带处理器运行安全操作系统的引导过程支持安全启动。

为了解决上述技术问题，本发明技术方案还提供了一种移动终端，包括：如上所述的处理器系统。

为了解决上述技术问题，本发明技术方案还提供了一种移动终端的可信执行方法，应用于如上所述的移动终端，包括：

所述基带处理器加载所述安全操作系统及所述可信应用程序的映像文件；

对所述可信应用程序的映像文件进行认证；

认证通过后，将控制转移至所述安全操作系统并执行来自所述可信应用程序的任务。

可选的，所述可信执行方法还包括：

所述应用处理器加载所述开放式操作系统及所述普通应用程序的映像文件；

执行来自所述普通应用程序的任务；

通过第二接口发出来自所述普通应用程序的第一消息，且该第一消息携带有可被所述可信应用程序识别和/或执行的信息。

可选的，所述可信执行方法还包括：

所述基带处理器通过第一接口接收来自应用处理器的第一消息。

可选的，所述可信执行方法还包括：

所述基带处理器通过第一接口发出来自所述可信应用程序的第二消息，且该第二消息携带有可被所述普通应用程序识别和/或执行的信息。

可选的，所述可信执行方法还包括：

所述应用处理器通过第二接口接收来自基带处理器的第二消息。

本发明技术方案的有益效果至少包括：

本发明技术方案复用移动终端里的基带处理器(Communication Processor，CP)，提供了一种用于切换及运行开放式操作系统及安全操作系统的新的处理器系统；不同于现有技术使用同一处理器分时运行开放式操作系统及安全操作系统，本发明技术方案的处理器系统包括应用处理器(Application Processor，AP)及基带处理器，其中，应用处理器运行开放式操作系统，基带处理器运行安全操作系统，开放式操作系统及安全操作系统的运行模式实现完全的切换隔离，两者的相互影响力大大降低。

基于本发明技术方案的处理器系统，开放式操作系统基于应用处理器运行，而安全操作系统则复用基带处理器运行，基带处理器不会运行开放操作系统，其本身代码不是开放的，不会引入病毒或木马，所以在基带处理器原功能的代码和安全任务之间切换不需要现场保护恢复工作(例如在切换时不需要为了安全把整个cache保存起来并清除，防止cache泄露信息)，切换效率很高，明显快于处理器自身的分时系统切换。因此移动终端切换正常模式及安全模式的处理效率显著提高。

再有，考虑到基带处理器自身还适于执行基带处理程序，但基带处理器的处理富余量很高，完全可复用于执行安全操作系统的任务，故无需在移动终端中添加额外处理器；本发明技术方案不增加额外的成本，芯片架构简单且容易实现。

附图说明

图1为本发明技术方案提供的一种处理器系统一般结构的示意图；

图2为本发明技术方案所提供处理器系统的另一结构的示意图；

图3为本发明技术方案所提供处理器系统的又一结构的示意图；

图4为本发明技术方案所提供处理器系统的再一结构的示意图；

图5为本发明技术方案所提供处理器系统一种实例的结构图；

图6为本发明技术方案所提供处理器系统另一种实例的结构图；

图7为本发明技术方案提供的一种移动终端的可信执行方法的一般执行流程示意图；

图8为本发明技术方案所提供可信执行方法的另一流程示意图；

图9为本发明技术方案提供可信执行方法的又一流程示意图。

具体实施方式

为了使本发明的目的、特征和效果能够更加明显易懂，下面结合附图对本发明的具体实施方式做详细说明。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是本发明还可以采用其他不同于在此描述的方式来实施，因此本发明不受下面公开的具体实施例的限制。

本申请首先提供了一种移动终端的处理器系统，可实现移动终端的可信任执行环境。

图1示意了本申请所述处理器系统的一般结构，该处理器系统包括：应用处理器1及基带处理器2。应用处理器1及基带处理器2基于系统内部总线彼此连接。其中：

应用处理器1配置成适于运行开放式操作系统，执行基于所述开放式操作系统的普通应用程序的任务；

基带处理器2配置成适于运行安全操作系统，执行基于所述安全操作系统的可信应用程序的任务和其他非开放任务，如通信协议栈等。

在上述方案中，应用处理器1的内核是完全保留于运行开放式操作系统使用的，其处理机制是直接且专门运行开放式操作系统，实现移动终端的正常工作模式，其处理机制的性能非常高。而基带处理器2的内核则是复用于运行所述安全操作系统的，其内核保留于执行基带处理程序的任务，内核具有为运行安全操作系统及基带处理程序的处理机制，该处理机制旨在加速基带处理器2的处理功能，例如，一种处理机制可以是在基带处理器2内核具有处理富余量时、执行来自所述可信应用程序的任务。

基于本申请所述处理器系统的一般结构，图2示意了本申请所述处理器系统的另一种结构，该处理器系统还包括应用处理器1和基带处理器2的调度辅助部分3。应用处理器1与基带处理器2基于所述调度辅助部分3实现任务调度。当处理器系统执行至少一个任务时，调度辅助部分3用于实现如下调度步骤：

若所述任务来自所述开放式操作系统的普通应用程序，且该任务包括应被所述可信应用程序识别和/或执行的任务，调度辅助部分3把该任务分配给所述基带处理器1。

若所述任务来自所述安全操作系统的可信应用程序，且该任务包括应被所述除所述可信应用程序之外的普通应用程序识别和/或执行的任务，调度辅助部分3把该任务分配给所述基带处理器1。

调度辅助部分3实现上述调度步骤的过程也即是开放式操作系统(移动终端正常模式)与安全操作系统(移动终端安全模式)相互切换的过程。

应用处理器1的部分内核可以兼做所述调度辅助部分3，当然，替代性地，基带处理器2的部分内核也可以兼做所述调度辅助部分3。

图3所示的处理器系统还采用了如下结构实现不同处理器之间的工作调度：

基于本申请所述处理器系统的一般结构，图3所示的处理器系统中，应用处理器1具备接口10，基带处理器2具备接口20。应用处理器1与基带处理器2基于接口10和接口20实现任务调度：

应用处理器1适于通过接口10发出来自所述普通应用程序的第一消息，并通过接口10接收来自基带处理器2的第二消息；

基带处理器2适于通过接口20发出来自所述可信应用程序的第二消息，并通过接口20接收来自应用处理器1的第一消息。

其中，所述第一消息携带有可被所述可信应用程序识别和/或执行的信息；所述第二消息携带有可被所述普通应用程序识别和/或执行的信息。

在具体的配置过程中，接口10可以配置成基于开放式操作系统与接口20交互，接口20可以配置成基于安全操作系统与接口10进行交互。接口10和接口20实现了移动终端正常模式与安全模式切换过程中、开放式操作系统与安全操作系统之间的消息交互。

比如，在应用处理器1加载开放式操作系统且进行运行的过程中，执行普通应用程序的任务需要在安全操作系统中进行，以保证执行任务的安全性，则系统首先在基带处理器2加载安全操作系统，以将开放式操作系统切换至安全操作系统(切换的具体操作过程可参考图2相关论述)，其次，接口20接收来自应用处理器1的第一消息，基带处理器2基于所述第一消息携带的可被所述可信应用程序识别和/或执行的信息，执行基于来自可信应用程序的任务。

而在基带处理器2加载安全操作系统且进行运行的过程中，若执行可信应用程序的任务完毕，且需继续进行之前普通应用程序的执行任务，则系统再次在应用处理器1加载开放式操作系统，以将安全操作系统重新切换至开放式操作系统(切换的具体操作过程可参考图2相关论述)，此时接口10接收来自基带处理器2的第二消息，应用处理器1基于所述第二消息携带的可被所述普通应用程序识别和/或执行的信息，继续执行基于该普通应用程序的任务。

基于上述实施过程，在其他实施例中，考虑到安全操作系统的可信性及安全性，所述第一消息中携带的信息除可被所述可信应用程序识别和/或执行的信息外，还可包括被所述基带处理器2认证的可信通用命令，当基带处理器2通过接口20接收到的第一消息具备所述可信通用命令，该第一消息所携带的可被所述可信应用程序识别和/或执行的信息才可被安全操作系统接纳及执行。

另外由于第二消息本身的内容可能具有隐蔽性，来自基带处理器2的第二消息还可以是已被所述安全操作系统加密的消息。

图4还示意了一种处理器系统，其包括：应用处理器1、基带处理器2及辅助调度部分3，其中，应用处理器1具备接口10，基带处理器2具备接口20。其具体实施过程可参考上述与图2及图3相关的论述内容，此处不再赘述。

需要说明的是：本申请中，被所述可信应用程序识别和/或执行任务或信息指的是，该信息或任务能够为所述可信应用程序识别、执行或识别及执行；被所述普通应用程序识别和/或执行的任务或信息指的是，该信息或任务能够为所述普通应用程序识别、执行或识别及执行。

适用于上述任一种处理器系统，基带处理器2运行安全操作系统的引导过程还可支持安全启动(Secure Boot)。安全操作系统的安全启动设置保证了系统代码的完整性和合法性，加上基带处理器2独立于应用处理器1的运行环境，可以避免了开放式操作所带来病毒木马等恶意软件的破坏，建立基带处理器2上加载的安全操作系统。

基于上述任一种处理器系统，图5则示意了本申请处理器系统的其他结构，基于本申请所述处理器系统的一般结构，处理器系统还包括：第一存储区域40、第二存储区域41及输入/输出设备5。

应用处理器1、基带处理器2、第一存储区域40、第二存储区域41及输入/输出设备5之间通过系统总线连接。所述输入/输出设备5适于连接至键盘、鼠标、显示屏等外部交互器件。

第一存储区域40存储对应应用处理器1中的各种类型的软件，包括开放式操作系统(对应REE环境)及其普通应用程序(图5中示意了第一普通应用程序a、第二普通应用程序b及第三普通应用程序c)。

每个普通应用程序包括一个或多个计划任务，例如：第一普通应用程序a包括任务a1、任务a2及任务a3；第二普通应用程序b包括任务b1及任务b2；第三普通应用程序c则包括任务c1。应用处理器1加载所述开放式操作系统并基于开放式操作系统执行普通应用程序中所包括的任务，来实现所述普通应用程序的执行。

在应用处理器1执行第一普通应用程序a时，任务a1、任务a2及任务a3分别需要被执行。存在同一任务被执行多次的情况，也存在同一时间同时执行多个任务的情况。

在应用处理器1执行来自一个普通应用程序的任务时，还可能同时执行来自另一普通程序的任务。每个任务的执行为一个线程，应用处理器1可以通过调度分配其中的线程。在开放式操作系统中运行的普通应用程序还可以包括有关线程调度的软件(图5中未示出，该软件可作为图2的调度辅助部分3)。

当用户通过键盘、鼠标等外部交互设备输入控制命令至输入/输出设备5，输入/输出设备5指示开放式操作系统执行一个普通应用程序时，开放式操作系统中则可直接或根据有关线程的调度机制建立对应该普通应用程序的线程，应用处理器1处理来自该普通应用程序的任务。若应用处理器1在执行一个普通应用程序的任务时，开放式操作系统被指示建立或根据程序执行自行建立了相同应用程序或不同应用程序的其他线程，则开放式操作系统中则将该任务视为需要调度的任务，从而直接或根据有关线程的调度机制串行或并行地执行该任务。

类似的，第二存储区域41存储对应基带处理器2中的各种类型的软件，包括安全操作系统(对应TEE环境)及其可信应用程序(图5中示意了第一可信应用程序d、第二可信应用程序e及第三可信应用程序f)。第二存储区域41存储的安全操作系统及其可信应用程序的映像文件在被系统加载时能够通过密码认证或其他可信认证。

每个可信应用程序也同样包括一个或多个计划任务，例如：第一可信应用程序d包括任务d1、任务d2及任务d3；第二可信应用程序e包括任务e1及任务e2；第三可信应用程序f则包括任务f1。基带处理器2加载所述安全操作系统并基于安全操作系统执行可信应用程序中所包括的任务，来实现所述可信应用程序的执行。

在基带处理器2执行第一可信应用程序d时，任务d1、任务d2及任务d3也分别需要被执行。同样，执行过程中存在同一任务被执行多次的情况，也存在同一时间同时执行多个任务的情况。

在基带处理器2执行来自一个可信应用程序的任务时，还可能同时执行来自另一可信程序的任务。每个可信应用程序任务的执行为一个可信线程，基带处理器2可以通过调度分配其中的可信线程。在安全操作系统中运行的可信应用程序还可以包括有关可信线程调度的软件(图5中未示出，该软件也可作为图2的调度辅助部分3)。

当用户通过键盘、鼠标等外部交互设备输入控制命令至输入/输出设备5，输入/输出设备5指示安全操作系统执行一个可信应用程序时，安全操作系统中则可直接或根据有关可信线程的调度机制建立对应该可信应用程序的可信线程，基带处理器2处理来自该可信应用程序的任务。若可信处理器2在执行一个可信应用程序的任务时，安全操作系统被指示建立或根据程序执行自行建立了相同应用程序或不同应用程序的其他可信线程，则安全操作系统中则将该任务视为需要调度的可信任务，从而直接或根据有关可信线程的调度机制串行或并行地执行该可信任务。

需要强调的是，普通应用程序的任务可能存在可信任务(比如，第一普通应用程序a中的任务a1为一可信任务)。可信任务在执行时建立的是可信线程，可信线程可适用于有关可信线程的调度机制，此时，普通应用程序的可信任务可由基带处理器2处理：

当用户通过键盘、鼠标等外部交互设备输入控制命令至输入/输出设备5，输入/输出设备5指示开放式操作系统执行一个普通应用程序时，开放式操作系统中则可直接或根据有关线程的调度机制建立对应该普通应用程序的线程，但若该任务是可信任务，且该线程是可信线程，则还可以依据可信线程的调度机制切换至安全操作系统，在安全操作系统中建立对应该普通应用程序的可信线程，基带处理器2处理来自该普通应用程序的任务，基带处理器2在处理完毕后，可依据有关线程的调度机制重新切换至开放式操作系统，并继续执行下一任务。

在开放式操作系统与安全操作系统的切换过程中，还涉及开放式操作系统与安全操作系统的任务执行的消息交互。参考图6所示的处理器系统，该处理器系统的应用处理器1具有接口10，基带处理器2具有接口20，开放式操作系统配置所述接口10与接口20进行消息交互，安全操作系统配置所述接口20与接口10进行消息交互。消息交互的实现可参考图3对于接口10及接口20的相关描述，此处不再赘述。

基于上述论述，本申请还提供一种移动终端，其包括上述任一项处理器系统及所述交互设备。处理器系统具有所述输入/输出设备，交互设备基于所述输入/输出设备为所述处理器系统输入控制命令或接收处理器系统的处理结果。

本申请还提供一种移动终端的可信执行方法，以建立移动终端上的可信执行平台。移动终端的处理器系统的结构可参照图6所示的处理器系统，该方法的一般执行流程如图7所示，包括：

步骤S100，基带处理器加载所述安全操作系统及所述可信应用程序的映像文件。

步骤S101，对所述可信应用程序的映像文件进行认证。

步骤S102，认证通过后，将控制转移至所述安全操作系统并执行来自所述可信应用程序的任务。

当可信执行平台中的任务来自某一应用程序，且该应用程序由普通应用程序部分及可信应用程序部分组成，则该可信执行方法还包括图8所示的步骤：

步骤S200，应用处理器加载所述开放式操作系统及所述应用程序的映像文件。

所述由普通应用程序部分及可信应用程序部分组成的应用程序在开放式操作系统下执行。

步骤S201，执行来自所述应用程序的任务。

步骤S202，若该任务的执行需要调用该应用程序的可信应用程序部分，则通过开放式操作系统配置的接口发出来自所述应用程序的第一消息，且该第一消息携带有可被所述可信应用程序识别和/或执行的信息。

上述过程中，在开放式操作系统下执行的应用程序基于所述第一消息开始调用该应用程序的可信应用程序部分。

步骤S203，基带处理器对应地通过安全操作系统配置的接口接收来自应用处理器的第一消息。

此时，步骤S201中所述来自所述应用程序的任务是可信任务，其通过可信调度机制切换至安全操作系统被执行。步骤S202及S203实现开放式操作系统及安全操作系统的消息交互。

步骤S204，基带处理器加载所述安全操作系统及该应用程序的可信应用程序的映像文件。

其中，安全操作系统可以设置在开机时由基带处理器加载。应用程序的可信应用程序部分可以是在开机时加载和认证，并存放在内存的可信区域，在开放式操作系统需要时被调用，也可以是动态加载动态认证并调用。

步骤S205，对所述应用程序的可信应用程序的映像文件进行认证。

步骤S206，认证通过后，将控制转移至所述安全操作系统并执行来自所述应用程序的可信任务。

基于步骤S200～S206，当可信执行平台在安全操作系统执行来自应用程序的任务后，还涉及执行结果的反馈，并切换至开放式操作系统以继续执行该应用程序的下一任务时，所述可信执行方法还包括如图9所示的流程步骤：

步骤S300，基带处理器通过安全操作系统配置的接口发出来自所述应用程序有关可信任务执行结果的第二消息，且该第二消息携带有可被所述应用程序或其普通应用程序部分识别和/或执行的信息。

步骤S301，应用处理器通过开放式操作系统配置的接口接收来自基带处理器的第二消息并基于该第二消息的执行结果继续执行该应用程序的下一任务。

例如，步骤S200～S206中涉及的应用程序为电子支付软件，所述可信任务为支付密码输入，则可通过步骤S200～S206将电子支付软件的任务切换至安全操作系统中执行，调用安全操作系统中的可信应用程序来执行支付密码输入的任务，任务完成后，基于步骤S300及S301，在切换至开放式操作系统后，接口交互消息，将输入的支付密码(可在安全操作系统端对输入的支付密码加密后再通过接口交互)反馈至开放式操作系统，开放式操作系统基于输入的支付密码执行电子支付软件的密码上传任务。

本发明虽然已以较佳实施例公开如上，但其并不是用来限定本发明，任何本领域技术人员在不脱离本发明的精神和范围内，都可以利用上述揭示的方法和技术内容对本发明技术方案做出可能的变动和修改，因此，凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化及修饰，均属于本发明技术方案的保护范围。

Claims (12)

1.一种移动终端的处理器系统，其特征在于，包括：

应用处理器，配置成适于运行开放式操作系统，执行基于所述开放式操作系统的普通应用程序的任务；

基带处理器，配置成适于运行安全操作系统，执行基于所述安全操作系统的可信应用程序的任务；

所述基带处理器还适于执行基带处理程序的任务；所述基带处理器配置成在具有处理富余量时、执行来自所述可信应用程序的任务。

2.如权利要求1所述的处理器系统，其特征在于，所述基带处理器具备第一接口，所述应用处理器具备第二接口；

所述应用处理器适于通过所述第二接口发出来自所述普通应用程序的第一消息，接收来自基带处理器的第二消息；所述基带处理器适于通过所述第一接口发出来自所述可信应用程序的第二消息，接收来自应用处理器的第一消息；

其中，所述第一消息携带有可被所述可信应用程序识别和/或执行的信息；所述第二消息携带有可被所述普通应用程序识别和/或执行的信息。

3.如权利要求2所述的处理器系统，其特征在于，所述第一消息中携带的信息包括被所述基带处理器认证的可信通用命令。

4.如权利要求2所述的处理器系统，其特征在于，所述第二消息已被所述安全操作系统加密。

5.如权利要求2所述的处理器系统，其特征在于，所述第一接口配置成基于安全操作系统与第二接口进行交互；所述第二接口配置成基于开放式操作系统与第一接口进行交互。

6.如权利要求1所述的处理器系统，其特征在于，所述基带处理器运行安全操作系统的引导过程支持安全启动。

7.一种移动终端，其特征在于，包括：如权利要求1至6任一项所述的处理器系统。

8.一种移动终端的可信执行方法，应用于如权利要求7所述的移动终端，其特征在于，包括：

所述基带处理器加载所述安全操作系统及所述可信应用程序的映像文件；

对所述可信应用程序的映像文件进行认证；

认证通过后，将控制转移至所述安全操作系统并执行来自所述可信应用程序的任务。

9.如权利要求8所述的可信执行方法，其特征在于，还包括：

所述应用处理器加载所述开放式操作系统及所述普通应用程序的映像文件；

执行来自所述普通应用程序的任务；

通过第二接口发出来自所述普通应用程序的第一消息，且该第一消息携带有可被所述可信应用程序识别和/或执行的信息。

10.如权利要求9所述的可信执行方法，其特征在于，还包括：

所述基带处理器通过第一接口接收来自应用处理器的第一消息。

11.如权利要求8所述的可信执行方法，其特征在于，还包括：

所述基带处理器通过第一接口发出来自所述可信应用程序的第二消息，且该第二消息携带有可被所述普通应用程序识别和/或执行的信息。

12.如权利要求11所述的可信执行方法，其特征在于，还包括：

所述应用处理器通过第二接口接收来自基带处理器的第二消息。