CN105809037A - 快速布署可信任执行环境应用的系统与方法 - Google Patents

快速布署可信任执行环境应用的系统与方法 Download PDF

Info

Publication number
CN105809037A
CN105809037A CN201511003406.6A CN201511003406A CN105809037A CN 105809037 A CN105809037 A CN 105809037A CN 201511003406 A CN201511003406 A CN 201511003406A CN 105809037 A CN105809037 A CN 105809037A
Authority
CN
China
Prior art keywords
application
module
application program
trusted execution
safe storage
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201511003406.6A
Other languages
English (en)
Inventor
李殿基
李正隆
黄义雄
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mobile Security Ltd By Share Ltd
Original Assignee
GOTrust Tech Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by GOTrust Tech Inc filed Critical GOTrust Tech Inc
Publication of CN105809037A publication Critical patent/CN105809037A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0485—Networking architectures for enhanced packet encryption processing, e.g. offloading of IPsec packet processing or efficient security association look-up
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]

Abstract

本发明的提供一种快速布署可信任执行环境应用的系统，本发明的快速布署可信任执行环境应用的系统包括：一丰富执行环境应用，安装至少一应用程序及一中介服务模块，所述中介服务模块提供所述至少一应用程序一管理服务，所述至少一应用程序通过所述中介服务模块传送一保密数据；一连络平台，接收所述中介服务模块所传送的所述保密数据，且传送所述保密数据；以及一可信任执行环境应用，安装一安全储存及计算应用模块，所述安全储存及计算应用模块接收所述连络平台传送的所述保密数据，且提供所述保密数据一可信任环境，所述保密数据在所述安全储存及计算应用模块中被存储、处理及保护。再者，本发明亦提供一种快速布署可信任执行环境应用的方法。

Description

快速布署可信任执行环境应用的系统与方法
技术领域
本发明涉及电子通信领域，尤指一种用于快速布署可信任执行环境(TrustedExecutionEnvironment,TEE)应用的系统及方法。
背景技术
随着智能型装置用户数量的增加，防御恶意软件、病毒的需求也相应增加。在智能型装置中，有些应用程序需要具有较高的安全性，例如个人银行管理相关的应用程序或一些保密信件的收发应用程序等，因为这些应用程序在受到攻击后会导致相当严重的后果，因此这些应用程序不单单需要应用程序自身的保护，还需要更多的安全措施。
可信任执行环境(TrustedExecutionEnvironment,TEE)是一种新的安全保密技术，TEE是存在于智能型手机、平板计算机或任意移动的设备主机中的一个安全区域，TEE可提供一个安全的执行环境，确保各种敏感、保密数据能在一个可信任环境中被存储、处理及保护。TEE是与智能型手机、平板计算机或任意移动设备主机上的丰富操作系统(RichOperationSystem,RichOS，通常是指Android、Symbian、WindowsPhone等操作系统)并存的运行环境，并且给RichOS提供安全服务，TEE具有其自身的执行空间，比RichOS的安全级别更高，TEE能够满足大多数应用程序的安全保密需求。
图1为一系统方块图，用以说明现有技术的TEE应用。请参照图1，行动装置100包括一丰富执行环境(RichExecutionEnvironment,REE)应用1、一TEE应用2以及一连络平台3，REE应用1以及TEE应用2在行动装置100中是并存的。REE应用1为行动装置100本身的操作系统(OperationSystem,OS)，REE应用1包括一客户端应用模块11、一TEE功能应用程序编程接口12、一TEE客户端应用程序编程接口13以及一丰富操作系统(RichOS)组件14，其中客户端应用模块11还包括客户端自行储存的各种应用程序，例如一银行管理应用程序111、一虚拟专用网应用程序112、一安全简讯应用程序113以及一安全语音应用程序114，而这些应用程序可根据客户端的需求自行新增或删除；因为银行管理应用程序111、一虚拟专用网应用程序112、一安全简讯应用程序113以及一安全语音应用程序114所传送/接收的数据都是非常敏感且需要保密的，但因为REE应用1本身所具有的安全保密程度较低，会有数据被窃取的风险，因此需要TEE应用2来提供一个安全的执行环境，确保各种敏感、保密数据能在一个可信任环境中被存储、处理及保护。
TEE应用2包括一可信任应用模块21、一TEE应用程序编程接口22以及一可信任操作系统组件23，其中可信任应用模块21还包括与客户端应用模块11相对应的各种可信任应用程序，例如一可信任银行管理应用程序211、一可信任虚拟专用网应用程序212、一可信任安全简讯应用程序213以及可信任一安全语音应用程序214，一但TEE应用2中的各种可信任应程序已经布署完毕，REE应用1即可将各种需要保密的数据通过连络平台3传送到TEE应用2中的可信任应用模块21的各种对应的可信任应用程序211-214，确保各种敏感、保密数据能在一个可信任环境中被存储、处理及保护。
然而，TEE应用2中的可信任应用模块21的各种可信任应用程序211-214是对应于REE应用1中的客户端应用模块11的各种应用程序111-114，在这样的系统架构下，假如REE应用1中的客户端应用模块11要将一个新的应用程序加入可信任应用2中的可信任应用模块21中，除了需要熟悉一般的REE应用1开发，亦需要了解TEE应用2的开发方法，甚至是底层的密码运算呼叫方法，进入门坎甚高。而一组REE应用1搭配一组TEE应用2在开发时程上亦较久，并非一个快速系统软件布署的好方法。
因此，对于TEE应用而言，利用现有的TEE技术，在现有的TEE应用端架构一个通用安全储存及计算应用，并在REE应用端提供安全软件开发常用的标准接口，例如公钥加密标准第11号(PublicKeyCryptographyStandards11,PKCS#11)，以中间件形式，让REE应用中各类型客户端应用程序，可以简单地将其既有系统，快速布署到TEE应用架构上，乃是待解决的问题。
发明内容
鉴于上述现有技术的缺点，本发明的主要为提供一种快速布署可信任执行环境应用的系统，本发明的快速布署可信任执行环境应用的系统包括：一丰富执行环境应用，安装有至少一应用程序及一中介服务模块，其中，所述中介服务模块提供所述至少一应用程序一管理服务，所述至少一应用程序通过所述中介服务模块传送一保密数据；一连络平台，可接收从所述丰富执行环境应用的所述中介服务模块所传送的所述保密数据，且可传送所述保密数据；以及一可信任执行环境应用，安装有一安全储存及计算应用模块，其中，所述可信任执行环境应用的所述安全储存及计算应用模块接收从所述连络平台传送的所述保密数据，且提供所述保密数据一可信任环境，所述保密数据在所述安全储存及计算应用模块中被存储、处理及保护。
较佳地，所述中介服务模块对所述至少一应用程序进行密钥管理及个人隐私数据的保护。
较佳地，所述至少一应用程序包括一用户在所述丰富执行环境应用中新增的一应用程序。
较佳地，所述中介服务模块符合公钥加密标准第11号。
较佳地，所述快速布署可信任执行环境应用的系统可安装于智能型手机、平板计算机及可任意移动的设备主机其中之一者。
本发明的亦提供另一种快速布署可信任执行环境应用的系统，所述快速布署可信任执行环境应用的系统包括：一丰富执行环境应用，安装有至少一应用程序及一中介服务模块，其中，所述中介服务模块提供所述至少一应用程序一管理服务，所述至少一应用程序通过所述中介服务模块传送一保密数据；一连络平台，接收从所述丰富执行环境应用的所述中介服务模块所传送的所述保密数据，且传送所述保密数据；一可信任执行环境应用，安装有一安全储存及计算应用模块，其中，所述可信任执行环境应用的所述安全储存及计算应用模块接收所述连络平台传送的所述保密数据，且进一步传送所述保密数据；以及一安全模块，接收所述保密数据，且提供所述保密数据一可信任环境，其中，所述保密数据在所述安全储存及计算应用模块中被存储、处理及保护。
较佳地，所述中介服务模块对所述至少一应用程序进行密钥管理及个人隐私数据的保护。
较佳地，所述至少一应用程序包括一用户在所述丰富执行环境应用中新增的一应用程序。
较佳地，所述安全模块为microSD、SIM卡、嵌入式传感器、有线连接的外部装置及无线连接的外部装置其中之一者。
较佳地，所述中介服务模块符合公钥加密标准第11号。
较佳地，所述快速布署可信任执行环境应用的系统安装于智能型手机、平板计算机及可任意移动的设备主机其中之一者。
依据本发明实施例，本发明亦提供一种快速布署可信任执行环境应用的方法，包括以下步骤：一丰富执行环境应用中的至少一应用程序传送一中介指令到一中介服务模块；所述中介服务模块将所述中介指令转换成一安全储存及计算应用模块可以处理的一组指令；通过一连络平台将所述组指令传送到所述安全储存及计算应用模块；所述安全储存及计算应用模块处理接收所述组指令，并同时处理所述组指令直到完整接收所述组指令为止；所述安全储存及计算应用模块回传一回复指令，并所述通过所述连络平台传送到所述中介服务模块；所述中介服务模块根据所述安全储存及计算应用模块的所述回复指令准备做回复；以及所述中介服务模块传送所述回复指令到所述丰富执行环境应用中的所述至少一应用程序。
较佳地，所述至少一应用程序包括一用户在所述丰富执行环境应用中新增的一应用程序。
依据本发明实施例，本发明亦提供另一种快速布署可信任执行环境应用的方法，包括以下步骤：一丰富执行环境应用中的至少一应用程序传送一中介指令到一中介服务模块；所述中介服务模块将所述中介指令转换成一安全储存及计算应用模块可以处理的一组指令；通过一连络平台将所述组指令传送到所述安全储存及计算应用模块；通过所述连络平台，所述安全储存及计算应用模块传送所述组指令到一安全模块；所述安全模块处理接收所述组指令，并通过所述连络平台回传一回复指令到所述安全储存及计算应用模块；所述安全储存及计算应用模块会持续接收所述组指令，并持续通过所述连络平台传送到所述安全模块直到所述组指令传送完毕；所述安全储存及计算应用模块传送所述安全模块所回传的所述回复指令，并通过所述连络平台传送到所述中介服务模块；所述中介服务模块根据所述安全模块的所述回复指令准备做回复；以及所述中介服务模块传送所述回复指令到所述丰富执行环境应用中的所述至少一应用程序。
较佳地，所述至少一应用程序包括一用户在所述丰富执行环境应用中新增的一应用程序。
较佳地，所述安全模块为microSD、SIM卡、嵌入式传感器、有线连接的外部装置及无线连接的外部装置的其中之一者。
本发明的其它目的、好处与创新特征将可由以下本发明的详细范例连同附属附图而得知。
附图说明
当并同各随附附图而阅览时，即可更佳了解本发明较佳范例的前揭摘要以及上文详细说明。为达本发明的说明目的，各附图中绘有现属较佳的各范例。然应了解本发明并不限于所绘的精确排置方式及设备装置。
图1为说明现有技术的TEE应用的系统方块图；
图2为说明本发明的快速布署TEE应用系统的系统方块图；
图3为说明本发明第一实施例的快速布署TEE应用系统的系统方块图；
图4为说明本发明第一实施例的快速布署TEE应用的方法流程图；
图5为说明本发明第二实施例的快速布署TEE应用系统的系统方块图；
图6为说明本发明第二实施例的快速布署TEE应用的方法流程图；以及
图7为说明本发明的快速布署TEE应用系统与现有技术的TEE应用的布署流程差别的流程比较图。
其中，附图标记说明如下：
1REE应用
11客户端应用模块
100行动装置
111银行管理应用程序
112虚拟专用网应用程序
113安全简讯应用程序
114安全语音应用程序
115新增的应用程序
12TEE功能应用程序编程接口
13TEE客户端应用程序编程接口
14丰富操作系统(RichOS)组件
2TEE应用
21可信任应用模块
200快速布署TEE应用系统
211可信任银行管理应用程序
212可信任虚拟专用网应用程序
213可信任安全简讯应用程序
214可信任一安全语音应用程序
22TEE应用程序编程接口
23可信任操作系统组件
3连络平台
300快速布署TEE应用系统
4中介服务模块
5安全储存及计算应用模块
7安全模块
9TEE应用系统的布署流程
10快速布署TEE应用系统流程
S1、S5中介指令
S2、S6指令
S3、S4回复指令
S7、S8回复指令
S61-S66流程
S81-S88流程
S91-S94流程
S101-S103流程
具体实施方式
现将详细参照本发明附图所示的范例。所有附图尽可能以相同组件符号来代表相同或类似的部分。请注意所述附图是以简化形式绘成，并未依精确比例绘制。
图2为一系统方块图，用以说明本发明的快速布署TEE应用系统。请参照图2，本发明的快速布署TEE应用系统200包括一REE应用1、一TEE应用2以及一连络平台3，REE应用1以及TEE应用2在快速布署TEE应用系统200中是并存的。REE应用1为一硬设备的操作系统(OperationSystem,OS)，REE应用1包括一客户端应用模块11、一中介服务模块4、一TEE功能应用程序编程接口12、一TEE客户端应用程序编程接口13以及一丰富操作系统(RichOS)组件14，其中，客户端应用模块11还包括客户端自行储存的各种应用程序，例如一银行管理应用程序111、一虚拟专用网应用程序112、一安全简讯应用程序113以及一安全语音应用程序114，而这些应用程序可根据客户端的需求自行新增或删除；中介服务模块4可以提供客户端应用模块11中的各种应用程序111-114一个管理服务，客户端应用模块11中的各种应用程序111-114可以统一通过中介服务模块4传送一保密数据、进行密钥管理及个人隐私数据的保护，当客户端在客户端应用模块11中新增一个新的应用程序时，新的应用程序同样可以通过中介服务模块4来进行管理。而为了加快布署TEE应用2的速度，中介服务模块4是利用公钥加密标准第11号(PublicKeyCryptographyStandards11,PKCS#11)，以中间件形式，让REE应用1的客户端应用模块11中的各类型应用程序111-114，可以简单地将其既有系统快速布署到TEE应用2上。
TEE应用2包括一可信任应用模块21、一TEE应用程序编程接口22以及一可信任操作系统组件23，其中，可信任应用模块21还包括一安全储存及计算应用模块5，安全储存及计算应用模块5可以通过REE应用1的中介服务模块4，提供REE应用1的客户端应用模块11的各种应用程序111-114多样化的个人隐私数据管理、密钥管理及密码服务；在本发明一实施例中，一但TEE应用2的可信任应用模块21有安装安全储存及计算应用模块5，通过连络平台3，REE应用1即可利用中介服务模块4将各种需要保密的数据传送到TEE应用2中的可信任应用模块21的安全储存及计算应用模块5，确保各种敏感、保密数据能在一个可信任环境中被存储、处理及保护；而在另一实施例中，通过连络平台3，REE应用1可利用中介服务模块4将各种需要保密的数据传送到TEE应用2中的可信任应用模块21的安全储存及计算应用模块5，之后安全储存及计算应用模块5会再将需要保密的数据通过连络平台3传送到一安全模块(未显示于图标)，确保各种敏感、保密数据能在一个可信任环境中被存储、处理及保护。
图3为一系统方块图，用以说明本发明第一实施例的快速布署TEE应用系统；图4为一流程图，用以说明本发明第一实施例的快速布署TEE应用的方法。请参照图3及图4，本发明第一实施例的快速布署TEE应用的方法包括流程S61-S66，于流程S61，快速布署TEE应用系统200的REE应用1的客户端应用模块11中的各种应用程序111-114及客户端自行新增的应用程序115的其中之一者传送一中介指令S1到中介服务模块4，在本发明第一实施例中，本发明是假设新增的应用程序115传送一中介指令S1到中介服务模块4，而在其他实施例中，传送一中介指令S1到中介服务模块4的可以是各种应用程序111-114其中之一者。于流程S62，中介服务模块4将中介指令S1转换成安全储存及计算应用模块5可以处理的一组指令S2。于流程S63，通过连络平台3，转换完成的指令S2被传送到安全储存及计算应用模块5。于流程S64，安全储存及计算应用模块5处理接收到的指令S2，同时在流程S64中，安全储存及计算应用模块5会处理于流程S63所传送的指令S2直到完整接收指令S2为止；之后安全储存及计算应用模块5回传一回复指令S3，并通过连络平台S3传送到中介服务模块4。于流程S65，中介服务模块4根据安全储存及计算应用模块5的回复指令S3准备做回复。于流程S66，中介服务模块4传送回复指令S4到REE应用1的客户端应用模块11中的新增的应用程序115。
在本发明第一实施例中，中介指令S1可以是各种应用程序111-114及客户端自行新增的应用程序115其中之一者所传送的保密数据，中介服务模块4可以将保密数据转换成安全储存及计算应用模块5可以处理的保密数据格式；中介服务模块4可以提供客户端应用模块11中各种应用程序111-114及客户端自行新增的应用程序115的一个管理服务，客户端应用模块11中的各种应用程序111-114及客户端自行新增的应用程序115可以统一通过中介服务模块4传送一保密数据、进行密钥管理及个人隐私数据的保护，通过连络平台3，REE应用1可利用中介服务模块4将各种需要保密的数据传送到TEE应用2中的可信任应用模块21的安全储存及计算应用模块5，确保各种敏感、保密数据能在安全储存及计算应用模块5中被存储、处理及保护；此外，本发明第一实施例的快速布署TEE应用系统200可安装于智能型手机、平板计算机或可任意移动的设备主机中。
图5为一系统方块图，用以说明本发明第二实施例的快速布署TEE应用系统；图6为一流程图，用以说明本发明第二实施例的快速布署TEE应用的方法。请参照图5及图6，本发明第二实施例的快速布署TEE应用系统300相似于本发明第一实施例的快速布署TEE应用系统200，差别在于本发明第二实施例的快速布署TEE应用系统300还包括一安全模块7，安全模块7的类型可以为microSD、SIM卡、嵌入式传感器(embeddedSE)、有线连接的外部装置或无线连接的外部装置，在本发明第二实施中，安全模块7为一可信任环境，确保各种敏感、保密数据能在安全模块7中被存储、处理及保护。
本发明第二实施例的快速布署TEE应用的方法包括流程S81-S88，于流程S81，快速布署TEE应用系统300的REE应用1的客户端应用模块11中的各种应用程序111-114及客户端自行新增的应用程序115的其中之一者传送一中介指令S5到中介服务模块4，在本发明第二实施例中，本发明是假设新增的应用程序115传送一中介指令S5到中介服务模块4，而在其他实施例中，传送一中介指令S5到中介服务模块4的可以是各种应用程序111-114其中之一者。于流程S82，中介服务模块4将中介指令S5转换成安全模块7可以处理的一组指令S6。于流程S83，通过连络平台3，转换完成的指令S6被传送到安全储存及计算应用模块5。于流程S84，通过连络平台3，安全储存及计算应用模块5传送转换完成的指令S6到安全模块7。于流程S85，安全模块7处理接收指令S6，并通过连络平台3回传一回复指令S7到安全储存及计算应用模块5。于流程S86，安全储存及计算应用模块5会持续接收于流程S83所传送的指令S6，并持续通过连络平台3传送到安全模块7直到指令S6已经传送完毕；之后安全储存及计算应用模块5传送安全模块7所回传的回复指令S7并通过连络平台S3传送到中介服务模块4。于流程S87，中介服务模块4根据安全模块7的回复指令S7准备做回复。于流程S88，中介服务模块4传送回复指令S8到REE应用1的客户端应用模块11中的新增的应用程序115。
在本发明第二实施例中，中介指令S5可以是各种应用程序111-114及客户端自行新增的应用程序115其中之一者所传送的保密数据，中介服务模块4可以将保密数据转换成安全储存及计算应用模块5可以处理的保密数据格式；中介服务模块4可以提供客户端应用模块11中的各种应用程序111-114及客户端自行新增的应用程序115一个管理服务，客户端应用模块11中的各种应用程序111-114及客户端自行新增的应用程序115可以统一通过中介服务模块4传送一保密数据、进行密钥管理及个人隐私数据的保护，REE应用1可利用中介服务模块4将各种需要保密的数据通过连络平台3传送到TEE应用2中的可信任应用模块21的安全储存及计算应用模块5，之后再通过安全储存及计算应用模块5将各种需要保密的数据通过连络平台3传送到安全模块7，确保各种敏感、保密数据能在安全模块7中被存储、处理及保护；此外，本发明第二实施例的快速布署TEE应用系统300可安装于智能型手机、平板计算机或可任意移动的设备主机中。
图7为一流程比较图，用以说明本发明的快速布署TEE应用系统与现有技术的TEE应用的布署流程差别。请参照图1、图2及图7，现有技术的TEE应用系统的布署流程9包括流程S91-S94，于流程S91，TEE应用系统必须先基于TEE架构开发TEE应用1。于流程S92，TEE应用系统再基于TEE架构开发REE应用2。于流程S93，TEE应用系统进行TEE应用2与REE应用1的功能互操作性开发。于流程S94，TEE应用系统上线。现有技术的TEE应用系统在进行流程S93的TEE应用2与REE应用1的功能互操作性开发时，假如REE应用1中的客户端要将一个新的应用程序加入TEE应用2中，除了需要熟悉一般的REE应用1开发，亦需要了解TEE应用2的开发方法，甚至是底层的密码运算呼叫方法，进入门坎甚高。而一组REE应用1搭配一组TEE应用2在开发时程上亦较久，并非属于一个快速布署TEE应用的方法。
本发明的快速布署TEE应用系统流程10包括流程S101-S103，于流程S101，快速布署TEE应用系统200必须先安装中介服务模块4及安全储存及计算应用模块5。于流程S102，快速布署TEE应用系统200基于中介服务模块4开发REE应用1。于流程S103，快速布署TEE应用系统200即可上线。与现有技术的TEE应用系统的布署流程9相比，本发明的快速布署TEE应用系统流程10有先在TEE应用2端安装一个通用安全储存及计算应用模块5，并在REE应用1端安装一中介服务模块4，中介服务模块4即可以中间件形式，让REE应用1中的各类型客户端应用程序111-114，可以简单地将其既有系统，快速布署到TEE应用2上，如此可有效降低TEE应用的开发时程，；又因为本发明的中介服务模块4是利用公钥加密标准第11号(PublicKeyCryptographyStandards11,PKCS#11)，且中介服务模块4及安全储存及计算应用模块5皆符合RSA加密算法及国际标准ISO7816，因此可有效降低REE应用1及TEE应用2的开发门坎。
在说明本发明的代表性范例时，本说明书已经提出操作本发明的所述方法及/或程序做为一特定顺序的步骤。但是，某种程度上所述方法或程序并不会依赖此处所提出的特定顺序的步骤，所述方法或程序不应限于所述的所述特定的步骤顺序。如本技艺专业人士将可了解，其它的步骤顺序亦为可行。因此，在本说明书中所提出的特定顺序的步骤不应被视为对于申请专利范围的限制。此外，关于本发明的方法及/或程序的申请专利范围不应限于所提出顺序中的步骤的效能，本技艺专业人士可立即了解所述顺序可以改变，且仍维持在本发明的精神及范围内。
本领域普通技术人员应当了解可对上述各项范例进行变化，而不致悖离其广义的发明性概念。因此，应了解本发明并不限于本揭的特定范例，而是为涵盖归属如后载各权利要求所定义的本发明精神及范围内的修饰。

Claims (15)

1.一种快速布署可信任执行环境应用的系统，其特征在于，包括：
一丰富执行环境应用，安装有至少一应用程序及一中介服务模块，其中，所述中介服务模块提供所述至少一应用程序一管理服务，所述至少一应用程序通过所述中介服务模块传送一保密数据；
一连络平台，可接收从所述丰富执行环境应用的所述中介服务模块传送的所述保密数据，且可传送所述保密数据；以及
一可信任执行环境应用，安装有一安全储存及计算应用模块，其中，所述可信任执行环境应用的所述安全储存及计算应用模块接收从所述连络平台传送的所述保密数据，且提供所述保密数据一可信任环境，所述保密数据在所述安全储存及计算应用模块中被存储、处理及保护。
2.如权利要求1所述的快速布署可信任执行环境应用的系统，其特征在于，所述中介服务模块对所述至少一应用程序进行密钥管理及个人隐私数据的保护。
3.如权利要求1所述的快速布署可信任执行环境应用的系统，其特征在于，所述至少一应用程序包括一用户在所述丰富执行环境应用中新增的一应用程序。
4.如权利要求1所述的快速布署可信任执行环境应用的系统，其特征在于，所述中介服务模块符合公钥加密标准第11号。
5.如权利要求1所述的快速布署可信任执行环境应用的系统，其特征在于，所述快速布署可信任执行环境应用的系统可安装于智能型手机、平板计算机及可任意移动的设备主机其中之一者。
6.一种快速布署可信任执行环境应用的系统，其特征在于，包括：
一丰富执行环境应用，安装有至少一应用程序及一中介服务模块，其中，所述中介服务模块提供所述至少一应用程序一管理服务，所述至少一应用程序通过所述中介服务模块传送一保密数据；
一连络平台，接收从所述丰富执行环境应用的所述中介服务模块所传送的所述保密数据，且传送所述保密数据；
一可信任执行环境应用，安装有一安全储存及计算应用模块，其中，所述可信任执行环境应用的所述安全储存及计算应用模块接收所述连络平台传送的所述保密数据，且进一步传送所述保密数据；以及
一安全模块，接收所述保密数据，且提供所述保密数据一可信任环境，其中，所述保密数据在所述安全储存及计算应用模块中被存储、处理及保护。
7.如权利要求6所述的快速布署可信任执行环境应用系统，其特征在于，所述中介服务模块对所述至少一应用程序进行密钥管理及个人隐私数据的保护。
8.如权利要求6所述的快速布署可信任执行环境应用系统，其特征在于，所述至少一应用程序包括一用户在所述丰富执行环境应用中新增的一应用程序。
9.如权利要求6所述的快速布署可信任执行环境应用系统，其特征在于，所述安全模块为microSD、SIM卡、嵌入式传感器、有线连接的外部装置及无线连接的外部装置其中之一者。
10.如权利要求6所述的快速布署可信任执行环境应用系统，其特征在于，所述中介服务模块符合公钥加密标准第11号。
11.如权利要求6所述的快速布署可信任执行环境应用系统，其特征在于，所述快速布署可信任执行环境应用的系统安装于智能型手机、平板计算机及可任意移动的设备主机其中之一者。
12.一种快速布署可信任执行环境应用的方法，其特征在于，包括以下步骤：
一丰富执行环境应用中的至少一应用程序传送一中介指令到一中介服务模块；
所述中介服务模块将所述中介指令转换成一安全储存及计算应用模块可以处理的一组指令；
通过一连络平台将所述组指令传送到所述安全储存及计算应用模块；
所述安全储存及计算应用模块处理接收所述组指令，并同时处理所述组指令直到完整接收所述组指令为止；
所述安全储存及计算应用模块回传一回复指令，并所述通过所述连络平台传送到所述中介服务模块；
所述中介服务模块根据所述安全储存及计算应用模块的所述回复指令准备做回复；以及
所述中介服务模块传送所述回复指令到所述丰富执行环境应用中的所述至少一应用程序。
13.如权利要求12所述的快速布署可信任执行环境应用的方法，其特征在于，所述至少一应用程序包括一用户在所述丰富执行环境应用中新增的一应用程序。
14.一种快速布署可信任执行环境应用的方法，其特征在于，包括以下步骤：
一丰富执行环境应用中的至少一应用程序传送一中介指令到一中介服务模块；
所述中介服务模块将所述中介指令转换成一安全储存及计算应用模块可以处理的一组指令；
通过一连络平台将所述组指令传送到所述安全储存及计算应用模块；
通过所述连络平台，所述安全储存及计算应用模块传送所述组指令到一安全模块；
所述安全模块处理接收所述组指令，并通过所述连络平台回传一回复指令到所述安全储存及计算应用模块；
所述安全储存及计算应用模块会持续接收所述组指令，并持续通过所述连络平台传送到所述安全模块直到所述组指令传送完毕；
所述安全储存及计算应用模块传送所述安全模块所回传的所述回复指令，并通过所述连络平台传送到所述中介服务模块；
所述中介服务模块根据所述安全模块的所述回复指令准备做回复；以及
所述中介服务模块传送所述回复指令到所述丰富执行环境应用中的所述至少一应用程序。
15.如权利要求14所述的快速布署可信任执行环境应用的方法，其特征在于，所述至少一应用程序包括一用户在所述丰富执行环境应用中新增的一应用程序。
如权利要求14所述的快速布署可信任执行环境应用的方法，其中，所述安全模块为microSD、SIM卡、嵌入式传感器、有线连接的外部装置及无线连接的外部装置的其中之一者。
CN201511003406.6A 2015-01-20 2015-12-28 快速布署可信任执行环境应用的系统与方法 Pending CN105809037A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
TW104101861 2015-01-20
TW104101861A TWI543014B (zh) 2015-01-20 2015-01-20 快速佈署可信任執行環境應用的系統與方法

Publications (1)

Publication Number Publication Date
CN105809037A true CN105809037A (zh) 2016-07-27

Family

ID=56408081

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201511003406.6A Pending CN105809037A (zh) 2015-01-20 2015-12-28 快速布署可信任执行环境应用的系统与方法

Country Status (3)

Country Link
US (1) US20160210477A1 (zh)
CN (1) CN105809037A (zh)
TW (1) TWI543014B (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108234477A (zh) * 2017-12-29 2018-06-29 成都三零嘉微电子有限公司 一种pkcs#11协议在商用密码算法应用中的密码对象管理方法
CN108881115A (zh) * 2017-05-11 2018-11-23 展讯通信（上海）有限公司 多媒体数据传输方法及装置
CN109450620A (zh) * 2018-10-12 2019-03-08 阿里巴巴集团控股有限公司 一种移动终端中共享安全应用的方法及移动终端
CN109787943A (zh) * 2017-11-14 2019-05-21 华为技术有限公司 一种抵御拒绝服务攻击的方法及设备
CN109905350A (zh) * 2017-12-08 2019-06-18 阿里巴巴集团控股有限公司 一种数据传输方法及系统
CN112866235A (zh) * 2020-08-28 2021-05-28 支付宝(杭州)信息技术有限公司 一种数据处理方法、装置及设备

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11075887B2 (en) * 2016-10-24 2021-07-27 Arm Ip Limited Federating data inside of a trusted execution environment
CN109347629B (zh) * 2018-10-12 2020-10-16 阿里巴巴集团控股有限公司 基于共享安全应用的密钥传递方法及系统、存储介质、设备
CN111383015B (zh) * 2018-12-29 2023-11-03 华为技术有限公司 交易安全处理方法、装置及终端设备
US11003785B2 (en) * 2019-07-16 2021-05-11 Advanced New Technologies Co., Ltd. Data transmission method and apparatus in tee systems
CN113626788A (zh) * 2021-10-13 2021-11-09 北京创米智汇物联科技有限公司 数据处理方法、系统及智能安防设备、存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101616142A (zh) * 2008-06-24 2009-12-30 香港城市大学 实现信息加密传输的方法和系统
CN102223631A (zh) * 2010-04-16 2011-10-19 华为技术有限公司 M2m中数据加密传输的方法、设备及系统
CN103793815A (zh) * 2014-01-23 2014-05-14 武汉天喻信息产业股份有限公司 适用于银行卡和行业卡的移动智能终端收单系统及方法
CN103927489A (zh) * 2014-04-22 2014-07-16 陈幼雷 一种数据可信存储的系统及其方法
US20140245013A1 (en) * 2011-11-04 2014-08-28 Sk Planet Co., Ltd. Method for interworking with trustzone between normal domain and secure domain, and management method of trusted application download, management server, device and system using it

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9424421B2 (en) * 2013-05-03 2016-08-23 Visa International Service Association Security engine for a secure operating environment
US9871821B2 (en) * 2014-11-11 2018-01-16 Oracle International Corporation Securely operating a process using user-specific and device-specific security constraints

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101616142A (zh) * 2008-06-24 2009-12-30 香港城市大学 实现信息加密传输的方法和系统
CN102223631A (zh) * 2010-04-16 2011-10-19 华为技术有限公司 M2m中数据加密传输的方法、设备及系统
US20140245013A1 (en) * 2011-11-04 2014-08-28 Sk Planet Co., Ltd. Method for interworking with trustzone between normal domain and secure domain, and management method of trusted application download, management server, device and system using it
CN103793815A (zh) * 2014-01-23 2014-05-14 武汉天喻信息产业股份有限公司 适用于银行卡和行业卡的移动智能终端收单系统及方法
CN103927489A (zh) * 2014-04-22 2014-07-16 陈幼雷 一种数据可信存储的系统及其方法

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108881115A (zh) * 2017-05-11 2018-11-23 展讯通信（上海）有限公司 多媒体数据传输方法及装置
CN109787943A (zh) * 2017-11-14 2019-05-21 华为技术有限公司 一种抵御拒绝服务攻击的方法及设备
CN109905350A (zh) * 2017-12-08 2019-06-18 阿里巴巴集团控股有限公司 一种数据传输方法及系统
CN109905350B (zh) * 2017-12-08 2022-08-12 阿里巴巴集团控股有限公司 一种数据传输方法及系统
CN108234477A (zh) * 2017-12-29 2018-06-29 成都三零嘉微电子有限公司 一种pkcs#11协议在商用密码算法应用中的密码对象管理方法
CN108234477B (zh) * 2017-12-29 2020-10-09 成都三零嘉微电子有限公司 一种pkcs#11协议在商用密码算法应用中的密码对象管理方法
CN109450620A (zh) * 2018-10-12 2019-03-08 阿里巴巴集团控股有限公司 一种移动终端中共享安全应用的方法及移动终端
TWI724473B (zh) * 2018-10-12 2021-04-11 開曼群島商創新先進技術有限公司 移動終端中共享安全應用的方法及移動終端
CN112866235A (zh) * 2020-08-28 2021-05-28 支付宝(杭州)信息技术有限公司 一种数据处理方法、装置及设备
CN112866235B (zh) * 2020-08-28 2023-03-24 支付宝(杭州)信息技术有限公司 一种数据处理方法、装置及设备

Also Published As

Publication number Publication date
TWI543014B (zh) 2016-07-21
TW201627908A (zh) 2016-08-01
US20160210477A1 (en) 2016-07-21

Similar Documents

Publication Publication Date Title
CN105809037A (zh) 快速布署可信任执行环境应用的系统与方法
Zuo et al. Automatic fingerprinting of vulnerable ble iot devices with static uuids from mobile apps
Nadikattu Iot and the Issue of Data Privacy
Dean et al. A study of the advances in IoT security
GB2553427A (en) Identifying and remediating phishing security weaknesses
US10841303B2 (en) Apparatus and methods for micro-segmentation of an enterprise internet-of-things network
US11295008B2 (en) Graphics processing unit accelerated trusted execution environment
CN105447406A (zh) 一种用于访问存储空间的方法与装置
Al-Qershi et al. Android vs. iOS: The security battle
Kumar et al. Mobile cloud computing: Standard approach to protecting and securing of mobile cloud ecosystems
Zhou et al. Potential risk of IoT device supporting IR remote control
Raj et al. Ethereum for Internet of Things security
Bente et al. Towards Permission-Based Attestation for the Android Platform: (Short Paper)
Zhong et al. Security and Privacy for Next-Generation Wireless Networks
Ismail et al. Mobile cloud database security: problems and solutions
Perakovic et al. Research of security threats in the use of modern terminal devices
Arora et al. Security in industrial control systems using machine learning algorithms: An overview
Yang et al. Inference attack in android activity based on program fingerprint
CN105099991A (zh) 在移动终端中抓取网络数据包的方法及装置
Zhong et al. Networking cyber-physical systems: System fundamentals of security and privacy for next-generation wireless networks
Muzammal et al. ScreenStealer: Addressing screenshot attacks on android devices
Devarakonda et al. Critical issues in the invasion of the Internet of Things (IoT): Security, privacy, and other vulnerabilities
Wu et al. POSTER: biTheft: stealing your secrets by bidirectional covert channel communication with zero-permission android application
Wu et al. Research of eid mobile identity authentication method
Lee et al. Information authentication selection scheme of IoT devices using conditional probability

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right

Effective date of registration: 20181024

Address after: 402, 19901 North Dover street, 800 Dover, Delaware, Kent, USA

Applicant after: Mobile security Limited by Share Ltd

Address before: Taichung City, Taiwan, China

Applicant before: Go-Trust Technology Inc.

TA01 Transfer of patent application right
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20160727

WD01 Invention patent application deemed withdrawn after publication