CN106778342B - 可信执行环境安全认证方法和装置及设备 - Google Patents

Abstract

本申请公开了一种可信执行环境安全认证方法和装置及设备。所述方法包括：接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容；获取外部访问模块的标识；将获取的外部访问模块的标识发送给认证中心进行外部访问模块的身份认证；如身份认证通过，从访问操作内容中判断访问类型；将所述访问类型发送给认证中心进行外部访问模块的权限认证；如权限认证通过，允许执行所述访问操作内容。本申请提出了一种更灵活的TEE安全认证方法，能够符合目前计算机发展多样化的信息认证需求。

Description

可信执行环境安全认证方法和装置及设备

技术领域

本公开一般涉及计算机技术领域，具体涉及网络信息安全领域，尤其涉及一种可信执行环境安全认证方法和装置。

背景技术

可信执行环境(TEE)是将高安全敏感的应用与通用的软件环境进行隔离，安全地提供访问硬件资源(如安全存储、安全显示和用户接口等)的能力。TEE为终端产品提供安全支撑，可以加快移动商务的发展速度。

目前的TEE基本上都是通过硬件物理隔离的方式将高安全敏感的应用与通用的软件环境进行隔离。处于隔离区之外的元件一律不许访问处于隔离区之内的受保护应用。但是，随着计算机系统的发展，这种绝对的隔离有可能阻碍元件之间的正常信息获取，例如在一定条件下应当允许隔离区外的元件访问隔离区内的部分元件。

因此，希望有一种更灵活的TEE安全认证方法，能够符合目前计算机发展多样化的信息认证需求。

发明内容

鉴于现有技术中的上述缺陷或不足，期望提供一种更灵活的TEE安全认证方法，能够符合目前计算机发展多样化的信息认证需求。

第一方面，本申请实施例提供了一种可信执行环境安全认证方法，所述方法包括：接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容；获取外部访问模块的标识；将获取的外部访问模块的标识发送给认证中心进行外部访问模块的身份认证；如身份认证通过，从访问操作内容中判断访问类型；将所述访问类型发送给认证中心进行外部访问模块的权限认证；如权限认证通过，允许执行所述访问操作内容。

第二方面，本申请实施例提供了一种可信执行环境安全认证方法，所述方法包括：接收来自受保护应用的访问该受保护应用的外部访问模块的标识；根据该外部访问模块的标识，执行外部访问模块的身份认证；如果身份认证通过，接收来自受保护应用的访问类型；根据该访问类型，执行外部访问模块的权限认证；如果权限认证通过，向受保护应用发送认证通过消息。

第三方面，本申请实施例提供了一种可信执行环境安全认证装置，所述装置包括：第一接收单元，配置用于接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容；获取单元，配置用于获取外部访问模块的标识；第一发送单元，配置用于将获取的外部访问模块的标识发送给认证中心进行外部访问模块的身份认证；判断单元，配置用于如身份认证通过，从访问操作内容中判断访问类型；第二发送单元，配置用于将所述访问类型发送给认证中心进行外部访问模块的权限认证；允许单元，配置用于如权限认证通过，允许执行所述访问操作内容。

第四方面，本申请实施例提供了一种可信执行环境安全认证装置，所述装置包括：第二接收单元，配置用于接收来自受保护应用的访问该受保护应用的外部访问模块的标识；第一执行单元，配置用于根据该外部访问模块的标识，执行外部访问模块的身份认证；第三接收单元，配置用于如果身份认证通过，接收来自受保护应用的访问类型；第二执行单元，配置用于根据该访问类型，执行外部访问模块的权限认证；第四发送单元，配置用于如果权限认证通过，向受保护应用发送认证通过消息。

第五方面，本申请实施例提供了一种设备，包括处理器、存储器和显示器；所述存储器包含可由所述处理器执行的指令以使得所述处理器执行：接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容；获取外部访问模块的标识；将获取的外部访问模块的标识发送给认证中心进行外部访问模块的身份认证；如身份认证通过，从访问操作内容中判断访问类型；将所述访问类型发送给认证中心进行外部访问模块的权限认证；如权限认证通过，允许执行所述访问操作内容。

第六方面，本申请实施例提供了一种设备，包括处理器、存储器和显示器；所述存储器包含可由所述处理器执行的指令以使得所述处理器执行：接收来自受保护应用的访问该受保护应用的外部访问模块的标识；根据该外部访问模块的标识，执行外部访问模块的身份认证；如果身份认证通过，接收来自受保护应用的访问类型；根据该访问类型，执行外部访问模块的权限认证；如果权限认证通过，向受保护应用发送认证通过消息。

在本申请实施例中，不是简单地通过硬件物理隔离的方式将高安全敏感的应用与通用的软件环境进行隔离，而是采取发认证消息的方式。设置认证中心，认证中心维护有针对每个受保护应用，可以访问它的访问模块列表、以及允许这些访问模块访问它时允许的访问类型。然后，当受保护应用接收到外部访问模块的访问请求后，获取外部访问模块的标识和访问类型，将其发送到认证中心。认证中心进行身份认证和权限认证。当身份认证和权限认证都通过后，才能访问受保护应用。这样，实现了灵活的访问控制。例如，可以运行某些外部模块访问受保护应用，但只能进行部分访问类型的访问。通过这种方式，使信执行环境的安全认证更加符合目前计算机发展多样化的信息认证需求。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1示出了其中可以应用本申请实施例的示例性系统架构；

图2示出了根据本申请一个实施例的在受保护应用侧的可信执行环境安全认证方法的示例性流程图；

图3示出了根据本申请一个实施例的在认证中心侧的可信执行环境安全认证方法的示例性流程图；

图4示出了根据本申请一个实施例的在受保护应用侧的可信执行环境安全认证装置的示例性结构框图；

图5示出了根据本申请一个实施例的在认证中心侧的可信执行环境安全认证这种的示例性结构框图；

图6示出了适于用来实现本申请实施例的受保护应用侧的计算机系统的结构示意图。

图7示出了适于用来实现本申请实施例的认证中心的计算机系统的结构示意图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

请参考图1，其示出了可以应用本申请实施例的示例性系统架构。

如图1所示，系统架构可以包括外部访问模块102、认证中心101、受保护应用103。受保护应用是终端中受保护的应用。例如，手机里的通讯录。外部访问模块102是指在受保护应用之外、试图访问受保护应用的模块。例如，微信可能会试图访问手机中的通讯录。认证中心是本申请中对外部访问模块是否有权访问受保护应用、其访问类型是否允许进行认证的模块，一般也位于终端内，但也可能位于云服务器等。

如背景技术中提到的，目前的TEE基本上都是通过硬件物理隔离的方式将高安全敏感的应用与通用的软件环境进行隔离。处于隔离区之外的元件一律不许访问处于隔离区之内的受保护应用。但是，随着计算机系统的发展，这种绝对的隔离有可能阻碍元件之间的正常信息获取，例如在一定条件下应当允许隔离区外的元件访问隔离区内的部分元件。因此，希望有一种更灵活的TEE安全认证方法，能够符合目前计算机发展多样化的信息认证需求。

在本申请实施例中，不是简单地通过硬件物理隔离的方式将高安全敏感的应用与通用的软件环境进行隔离，而是采取发认证消息的方式。设置认证中心，认证中心维护有针对每个受保护应用，可以访问它的访问模块列表、以及允许这些访问模块访问它时允许的访问类型。然后，当受保护应用接收到外部访问模块的访问请求后，获取外部访问模块的标识和访问类型，将其发送到认证中心。认证中心进行身份认证和权限认证。当身份认证和权限认证都通过后，才能访问受保护应用。这样，实现了灵活的访问控制。例如，可以运行某些外部模块访问受保护应用，但只能进行部分访问类型的访问。通过这种方式，使信执行环境的安全认证更加符合目前计算机发展多样化的信息认证需求。

参考图2，其示出了根据本申请一个实施例的可信执行环境安全认证方法的示例性流程图。图2所示的方法可以在图1中的受保护应用103执行。

如图2所示，在步骤210中，接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容。

访问操作内容即外部访问模块希望的访问操作的内容。例如，微信试图读取通讯录中的所有联系人，则访问操作内容为“读取所有联系人”。再例如，支付宝试图向手机通讯录中添加一个新联系人，则访问操作内容为“写新联系人”。再例如，手机通讯录的联系人有工作联系人、好友联系人、家人联系人三类，钉钉应用试图读取手机中的工作联系人，则访问操作内容为“读取工作联系人”。访问操作内容包括访问操作本身和访问操作涉及的对象。访问操作本身可能包括“读”、“写”。访问操作涉及的对象可能包括应用的全部数据、或应用的部分数据。例如，在“读取所有联系人”的例子中，操作涉及的对象是通讯录中全部数据。在“读取工作联系人”的例子中，操作涉及的对象是通讯录中部分数据。

当外部访问模块希望访问受保护应用时，就向受保护应用发送一个访问请求，所述访问请求中包含访问操作内容。

在步骤220中，获取外部访问模块的标识。

外部访问模块的标识是表示外部访问模块的身份的符号，可能包括数字、字母。一般来说，一个访问模块具有唯一标识，且各个访问模块标识互不相同。

不能让外部访问模块向受保护应用发送外部访问模块的标识。如果由外部访问模块向受保护应用发送外部访问模块的标识，假设外部访问模块不具有访问权限，但为了达到访问目的，且其知道另外一个有访问权限的外部访问模块的标识,它就会以该有访问权限的外部访问模块的标识冒充自己的标识向认证中心发送，从而通过认证。

因此，受保护应用要主动获取外部访问模块的标识。在一个实施例中，所述获取外部访问模块的标识包括：从所述访问请求中特定字段的内容获取所述标识。一般，在外部访问模块与受保护应用之间的通信协议中规定，如果外部访问模块向受保护应用发送访问请求，协议机制会自动抓取外部访问模块的标识放入访问请求的特定字段，且该特定字段不能被篡改。通过这种方式，从该特定字段中得到的就一定是外部访问模块的真实标识。

在步骤230中，将获取的外部访问模块的标识发送给认证中心进行外部访问模块的身份认证。

如上所述，认证中心维护有针对每个受保护应用，可以访问它的访问模块列表、以及允许这些访问模块访问它时允许的访问类型。访问类型包括访问动作的类型和访问数据的类型。例如，对于通讯录来说，访问动作的类型有“读”、“写”。在手机通讯录的联系人有工作联系人、好友联系人、家人联系人三类的情况下，访问数据的类型包括：访问工作联系人、访问好友联系人、访问家人联系人、访问工作联系人和好友联系人、访问好友联系人和家人联系人、访问工作联系人和家人联系人、访问全部联系人七种可能。

例如，针对手机中的通讯录，运行访问它的访问模块列表及允许的访问类型如表1：

表1

在一个实施例中，认证中心进行外部访问模块的身份认证的具体过程包括：将该外部访问模块的标识与已授权访问模块列表进行比对；如果该外部访问模块的标识在已授权访问模块列表中，则身份认证通过。

例如，该外部访问模块的标识是765rt7，在表1中，身份认证通过。

在一个实施例中，如果该外部访问模块的标识不在已授权访问模块列表中，则认证失败，向受保护应用发送身份认证失败消息。

例如，该外部访问模块的标识是75583p，不在表1中，身份认证失败，向受保护应用发送身份认证失败消息。

在步骤240中，如身份认证通过，从访问操作内容中判断访问类型。

如上所述，访问操作内容包括访问操作本身和访问操作涉及的对象，访问类型包括访问动作的类型和访问数据的类型。从访问操作本身可以获知访问动作的类型，即“读”或“写”。从访问操作涉及的对象可以获知访问数据的类型，如“工作联系人”、“好友联系人”、“家人联系人”等。

例如，访问操作内容是“读取手机通讯录中除家人联系人之外的所有联系人”，则访问类型为“好友联系人+工作联系人”。

在步骤250中，将所述访问类型发送给认证中心进行外部访问模块的权限认证。

在一个实施例中，步骤250包括：将所述访问类型与该外部访问模块的已授权访问类型进行比对；如果所述访问类型在该外部访问模块的已授权访问类型中，则权限认证通过。

例如，微信访问通讯录，其访问类型是“读好友联系人+工作联系人”。在表1中，微信的已授权访问类型是读全部联系人、写联系人。也就是说，判断出的访问类型在该外部访问模块的已授权访问类型中，则权限认证通过。

在一个实施例中，外部访问模块的权限认证还包括：如果所述访问类型不在该外部访问模块的已授权访问类型中，则向受保护应用发送权限认证失败消息。

在步骤260中，如权限认证通过，允许执行所述访问操作内容

也就是说，如果认证中心的权限认证通过，受保护应用会接收到来自认证中心的认证通过消息，外部访问模块就可以访问受保护应用。

在一个实施例中，所述方法还包括：如身份认证未通过，丢弃所述访问操作内容。

在一个实施例中，所述方法还包括：如权限认证未通过，丢弃所述访问操作内容。

在一个实施例中，所述方法还包括：如身份认证或权限认证未通过，向安全中心发送告警信息。

安全中心是终端或网络中负责安全运行维护的中心。向安全中心发送告警消息，安全中心就可以针对身份认证、或权限认证未通过的具体情况，排查是否有攻击者对受保护应用进行攻击等安全隐患。

参考图3，其示出了根据本申请一个实施例的可信执行环境安全认证方法的示例性流程图。图3所示的方法可以在图1中的认证中心101执行。

如图3所示，在步骤310中，接收来自受保护应用的访问该受保护应用的外部访问模块的标识。

首先，受保护应用接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容。

访问操作内容即外部访问模块希望的访问操作的内容。例如，微信试图读取通讯录中的所有联系人，则访问操作内容为“读取所有联系人”。再例如，支付宝试图向手机通讯录中添加一个新联系人，则访问操作内容为“写新联系人”。再例如，手机通讯录的联系人有工作联系人、好友联系人、家人联系人三类，钉钉应用试图读取手机中的工作联系人，则访问操作内容为“读取工作联系人”。访问操作内容包括访问操作本身和访问操作涉及的对象。访问操作本身可能包括“读”、“写”。访问操作涉及的对象可能包括应用的全部数据、或应用的部分数据。例如，在“读取所有联系人”的例子中，操作涉及的对象是通讯录中全部数据。在“读取工作联系人”的例子中，操作涉及的对象是通讯录中部分数据。

当外部访问模块希望访问受保护应用时，就向受保护应用发送一个访问请求，所述访问请求中包含访问操作内容。

然后，受保护应用获取外部访问模块的标识。

外部访问模块的标识是表示外部访问模块的身份的符号，可能包括数字、字母。一般来说，一个访问模块具有唯一标识，且各个访问模块标识互不相同。

不能让外部访问模块向受保护应用发送外部访问模块的标识。如果由外部访问模块向受保护应用发送外部访问模块的标识，假设外部访问模块不具有访问权限，但为了达到访问目的，且其知道另外一个有访问权限的外部访问模块的标识,它就会以该有访问权限的外部访问模块的标识冒充自己的标识向认证中心发送，从而通过认证。

因此，受保护应用要主动获取外部访问模块的标识。在一个实施例中，所述获取外部访问模块的标识包括：从所述访问请求中特定字段的内容获取所述标识。一般，在外部访问模块与受保护应用之间的通信协议中规定，如果外部访问模块向受保护应用发送访问请求，协议机制会自动抓取外部访问模块的标识放入访问请求的特定字段，且该特定字段不能被篡改。通过这种方式，从该特定字段中得到的就一定是外部访问模块的真实标识。

然后，受保护应用将获取的外部访问模块的标识发送给认证中心。

在步骤320中，根据该外部访问模块的标识，执行外部访问模块的身份认证。

如上所述，认证中心维护有针对每个受保护应用，可以访问它的访问模块列表、以及允许这些访问模块访问它时允许的访问类型。访问类型包括访问动作的类型和访问数据的类型。例如，对于通讯录来说，访问动作的类型有“读”、“写”。在手机通讯录的联系人有工作联系人、好友联系人、家人联系人三类的情况下，访问数据的类型包括：访问工作联系人、访问好友联系人、访问家人联系人、访问工作联系人和好友联系人、访问好友联系人和家人联系人、访问工作联系人和家人联系人、访问全部联系人七种可能。

例如，针对手机中的通讯录，运行访问它的访问模块列表及允许的访问类型如表1：

已授权访问模块标识	允许访问类型
		32x35y(微信的标识)	读全部联系人、写联系人
765rt7(支付宝的标识)	读工作联系人和好友联系人
		7835er(钉钉的标识)	读工作联系人

表1

在一个实施例中，认证中心进行外部访问模块的身份认证的具体过程包括：将该外部访问模块的标识与已授权访问模块列表进行比对；如果该外部访问模块的标识在已授权访问模块列表中，则身份认证通过。

例如，该外部访问模块的标识是765rt7，在表1中，身份认证通过。

在一个实施例中，认证中心进行外部访问模块的身份认证的具体过程包括：如果该外部访问模块的标识不在已授权访问模块列表中，则认证失败，向受保护应用发送身份认证失败消息。

例如，该外部访问模块的标识是75583p，不在表1中，身份认证失败，向受保护应用发送身份认证失败消息。

在步骤330中，如果身份认证通过，接收来自受保护应用的访问类型。

如身份认证通过，认证中心向受保护应用发送认证通过消息。受保护应用从访问操作内容中判断访问类型。

如上所述，访问操作内容包括访问操作本身和访问操作涉及的对象，访问类型包括访问动作的类型和访问数据的类型。从访问操作本身可以获知访问动作的类型，即“读”或“写”。从访问操作涉及的对象可以获知访问数据的类型，如“工作联系人”、“好友联系人”、“家人联系人”等。

例如，访问操作内容是“读取手机通讯录中除家人联系人之外的所有联系人”，则访问类型为“好友联系人+工作联系人”。

然后，受保护应用将所述访问类型发送给认证中心进行外部访问模块的权限认证。

在步骤340中，根据该访问类型，执行外部访问模块的权限认证。

在一个实施例中，步骤340包括：将所述访问类型与该外部访问模块的已授权访问类型进行比对；如果所述访问类型在该外部访问模块的已授权访问类型中，则权限认证通过。

例如，微信访问通讯录，其访问类型是“读好友联系人+工作联系人”。在表1中，微信的已授权访问类型是读全部联系人、写联系人。也就是说，判断出的访问类型在该外部访问模块的已授权访问类型中，则权限认证通过。

在一个实施例中，外部访问模块的权限认证还包括：如果所述访问类型不在该外部访问模块的已授权访问类型中，则向受保护应用发送权限认证失败消息。

在步骤350中，如果权限认证通过，向受保护应用发送认证通过消息。

也就是说，如果认证中心的权限认证通过，受保护应用会接收到来自认证中心的认证通过消息，外部访问模块就可以访问受保护应用。

应当注意，尽管在附图中以特定顺序描述了本发明方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。相反，流程图中描绘的步骤可以改变执行顺序。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

进一步参考图4，其示出了根据本申请一个实施例的可信执行环境安全认证装置400的示例性结构框图。

如图4所示，装置400可以包括：第一接收单元410，配置用于接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容；获取单元420，配置用于获取外部访问模块的标识；第一发送单元430，配置用于将获取的外部访问模块的标识发送给认证中心进行外部访问模块的身份认证；判断单元440，配置用于如身份认证通过，从访问操作内容中判断访问类型；第二发送单元450，配置用于将所述访问类型发送给认证中心进行外部访问模块的权限认证；允许单元460，配置用于如权限认证通过，允许执行所述访问操作内容。

可选地，所述获取单元进一步用于：从所述访问请求中特定字段的内容获取所述标识。

可选地，所述装置还包括：第一丢弃单元，配置用于如身份认证未通过，丢弃所述访问操作内容。

可选地，所述装置还包括：第二丢弃单元，配置用于如权限认证未通过，丢弃所述访问操作内容。

可选地，所述装置还包括：第三发送单元，配置用于如身份认证或权限认证未通过，向安全中心发送告警信息。

进一步参考图5，其示出了根据本申请一个实施例的可信执行环境安全认证装置500的示例性结构框图。

如图5所示，装置500可以包括：第二接收单元510，配置用于接收来自受保护应用的访问该受保护应用的外部访问模块的标识；第一执行单元520，配置用于根据该外部访问模块的标识，执行外部访问模块的身份认证；第三接收单元530，配置用于如果身份认证通过，接收来自受保护应用的访问类型；第二执行单元540，配置用于根据该访问类型，执行外部访问模块的权限认证；第四发送单元550，配置用于如果权限认证通过，向受保护应用发送认证通过消息。

可选地，所述第一执行单元进一步用于：将该外部访问模块的标识与已授权访问模块列表进行比对；如果该外部访问模块的标识在已授权访问模块列表中，则身份认证通过。

可选地，所述第一执行单元进一步用于：如果该外部访问模块的标识不在已授权访问模块列表中，则向受保护应用发送身份认证失败消息。

可选地，所述第二执行单元进一步用于：将所述访问类型与该外部访问模块的已授权访问类型进行比对；如果所述访问类型在该外部访问模块的已授权访问类型中，则权限认证通过。

可选地，所述第二执行单元进一步用于：如果所述访问类型不在该外部访问模块的已授权访问类型中，则向受保护应用发送权限认证失败消息。

应当理解，图4-5中记载的诸子系统或单元与参考图2-图3描述的方法中的各个步骤相对应。由此，上文针对方法描述的操作和特征同样适用于图2-3及其中包含的单元，在此不再赘述。

下面参考图6，其示出了适于用来实现本申请实施例的受保护应用的计算机系统600的结构示意图。

如图6所示，计算机系统600包括中央处理单元(CPU)601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储部分608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。在RAM 603中，还存储有系统600操作所需的各种程序和数据。CPU 601、ROM 602以及RAM 603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

以下部件连接至I/O接口605：包括键盘、鼠标等的输入部分606；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分607；包括硬盘等的存储部分608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分609。通信部分609经由诸如因特网的网络执行通信处理。驱动器610也根据需要连接至I/O接口605。可拆卸介质611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器610上，以便于从其上读出的计算机程序根据需要被安装入存储部分608。

下面参考图7，其示出了适于用来实现本申请实施例的认证中心的计算机系统700的结构示意图。

如图7所示，计算机系统700包括中央处理单元(CPU)701，其可以根据存储在只读存储器(ROM)702中的程序或者从存储部分708加载到随机访问存储器(RAM)703中的程序而执行各种适当的动作和处理。在RAM 703中，还存储有系统700操作所需的各种程序和数据。CPU 701、ROM 702以及RAM 703通过总线704彼此相连。输入/输出(I/O)接口705也连接至总线704。

以下部件连接至I/O接口705：包括键盘、鼠标等的输入部分706；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分707；包括硬盘等的存储部分708；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分709。通信部分709经由诸如因特网的网络执行通信处理。驱动器710也根据需要连接至I/O接口705。可拆卸介质711，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器710上，以便于从其上读出的计算机程序根据需要被安装入存储部分708。

特别地，根据本公开的实施例，上文参考图2-图3描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括有形地包含在机器可读介质上的计算机程序，所述计算机程序包含用于执行图2-图3的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分609、709从网络上被下载和安装，和/或从可拆卸介质611、711被安装。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，所述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中。这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中所述装置中所包含的计算机可读存储介质；也可以是单独存在，未装配入设备中的计算机可读存储介质。计算机可读存储介质存储有一个或者一个以上程序，所述程序被一个或者一个以上的处理器用来执行描述于本申请的公式输入方法。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离所述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (22)

1.一种可信执行环境安全认证方法，其特征在于，所述方法包括：

受保护应用接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容，所述访问操作内容包括访问操作的动作及访问操作的对象，所述对象包括访问应用的全部数据或部分数据；

所述受保护应用获取外部访问模块的标识；

所述受保护应用将获取的外部访问模块的标识发送给认证中心，使得所述认证中心根据存储的访问模块列表进行外部访问模块的身份认证，其中，所述认证中心中存储有每个受保护应用的允许访问的访问模块列表，以及对应的允许所述列表中的外部访问模块访问的访问类型，所述访问类型包括访问操作的动作类型及对象类型；

如身份认证通过，所述受保护应用从访问操作内容中判断访问类型；

所述受保护应用将所述访问类型发送给认证中心，使得所述认证中心根据存储的允许的访问类型，进行外部访问模块的权限认证；如权限认证通过，允许执行所述访问操作内容，其中，所述认证中心位于终端或服务器。

2.根据权利要求1所述的方法，其特征在于，所述受保护应用获取外部访问模块的标识包括：

所述受保护应用从所述访问请求中特定字段的内容获取所述标识。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

如身份认证未通过，所述受保护应用丢弃所述访问操作内容。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

如权限认证未通过，所述受保护应用丢弃所述访问操作内容。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

如身份认证或权限认证未通过，所述受保护应用向安全中心发送告警信息。

6.一种可信执行环境安全认证方法，其特征在于，存储有每个受保护应用的允许访问的访问模块列表，以及对应的允许所述列表中的外部访问模块访问的访问类型，所述访问类型包括访问操作的动作类型及对象类型，所述方法包括：

接收来自受保护应用的访问该受保护应用的外部访问模块的标识；

根据该外部访问模块的标识及所述访问模块列表执行外部访问模块的身份认证；

如果身份认证通过，接收来自受保护应用的访问类型；

根据该访问类型及存储的允许的访问类型，执行外部访问模块的权限认证；

如果权限认证通过，向受保护应用发送认证通过消息。

7.根据权利要求6所述的方法，其特征在于，所述执行外部访问模块的身份认证包括：

将该外部访问模块的标识与已授权访问模块列表进行比对；

如果该外部访问模块的标识在已授权访问模块列表中，则身份认证通过。

8.根据权利要求7所述的方法，其特征在于，所述执行外部访问模块的身份认证包括：

如果该外部访问模块的标识不在已授权访问模块列表中，则向受保护应用发送身份认证失败消息。

9.根据权利要求6所述的方法，其特征在于，所述执行外部访问模块的权限认证包括：

将所述访问类型与该外部访问模块的已授权访问类型进行比对；

如果所述访问类型在该外部访问模块的已授权访问类型中，则权限认证通过。

10.根据权利要求9所述的方法，其特征在于，所述执行外部访问模块的权限认证包括：

如果所述访问类型不在该外部访问模块的已授权访问类型中，则向受保护应用发送权限认证失败消息。

11.一种可信执行环境安全认证装置，其特征在于，所述装置包括：

第一接收单元，配置用于接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容，所述访问操作内容包括访问操作的动作及访问操作的对象，所述对象包括访问应用的全部数据或部分数据；

获取单元，配置用于获取外部访问模块的标识；

第一发送单元，配置用于将获取的外部访问模块的标识发送给认证中心，使得所述认证中心根据存储的访问模块列表进行外部访问模块的身份认证，其中，所述认证中心中存储有每个受保护应用的允许访问的访问模块列表，以及对应的允许所述列表中的外部访问模块访问的访问类型，所述访问类型包括访问操作的动作类型及对象类型；

判断单元，配置用于如身份认证通过，从访问操作内容中判断访问类型；

第二发送单元，配置用于将所述访问类型发送给认证中心，使得所述认证中心根据存储的允许的访问类型，进行外部访问模块的权限认证；

允许单元，配置用于如权限认证通过，允许执行所述访问操作内容。

12.根据权利要求11所述的装置，其特征在于，所述获取单元进一步用于：

从所述访问请求中特定字段的内容获取所述标识。

13.根据权利要求11所述的装置，其特征在于，所述装置还包括：

第一丢弃单元，配置用于如身份认证未通过，丢弃所述访问操作内容。

14.根据权利要求11所述的装置，其特征在于，所述装置还包括：

第二丢弃单元，配置用于如权限认证未通过，丢弃所述访问操作内容。

15.根据权利要求11所述的装置，其特征在于，所述装置还包括：

第三发送单元，配置用于如身份认证或权限认证未通过，向安全中心发送告警信息。

16.一种可信执行环境安全认证装置，其特征在于，所述装置存储有每个受保护应用的允许访问的访问模块列表，以及对应的允许所述列表中的外部访问模块访问的访问类型，所述访问类型包括访问操作的动作类型及对象类型，包括：

第二接收单元，配置用于接收来自受保护应用的访问该受保护应用的外部访问模块的标识；

第一执行单元，配置用于根据该外部访问模块的标识及所述访问模块列表，执行外部访问模块的身份认证；

第三接收单元，配置用于如果身份认证通过，接收来自受保护应用的访问类型；

第二执行单元，配置用于根据该访问类型及存储的允许的访问类型，执行外部访问模块的权限认证；

第四发送单元，配置用于如果权限认证通过，向受保护应用发送认证通过消息。

17.根据权利要求16所述的装置，其特征在于，所述第一执行单元进一步用于：

将该外部访问模块的标识与已授权访问模块列表进行比对；

如果该外部访问模块的标识在已授权访问模块列表中，则身份认证通过。

18.根据权利要求17所述的装置，其特征在于，所述第一执行单元进一步用于：

如果该外部访问模块的标识不在已授权访问模块列表中，则向受保护应用发送身份认证失败消息。

19.根据权利要求16所述的装置，其特征在于，所述第二执行单元进一步用于：

将所述访问类型与该外部访问模块的已授权访问类型进行比对；

如果所述访问类型在该外部访问模块的已授权访问类型中，则权限认证通过。

20.根据权利要求19所述的装置，其特征在于，所述第二执行单元进一步用于：

如果所述访问类型不在该外部访问模块的已授权访问类型中，则向受保护应用发送权限认证失败消息。

21.一种计算机设备，包括处理器、存储器和显示器；其特征在于：

所述存储器包含可由所述处理器执行的指令以使得所述处理器执行：

接收来自外部访问模块的访问请求，所述访问请求中包含访问操作内容，所述访问操作内容包括访问操作的动作及访问操作的对象，所述对象包括访问应用的全部数据或部分数据；

获取外部访问模块的标识；

将获取的外部访问模块的标识发送给认证中心，使得所述认证中心根据存储的访问模块列表进行外部访问模块的身份认证，其中，所述认证中心中存储有每个受保护应用的允许访问的访问模块列表，以及对应的允许所述列表中的外部访问模块访问的访问类型，所述访问类型包括访问操作的动作类型及对象类型；

如身份认证通过，从访问操作内容中判断访问类型；

将所述访问类型发送给认证中心，使得所述认证中心根据存储的允许的访问类型，进行外部访问模块的权限认证；

如权限认证通过，允许执行所述访问操作内容。

22.一种计算机设备，包括处理器、存储器和显示器；其特征在于：

所述存储器存储有每个受保护应用的允许访问的访问模块列表，以及对应的允许所述列表中的外部访问模块访问的访问类型，所述访问类型包括访问操作的动作类型及对象类型，包含可由所述处理器执行的指令以使得所述处理器执行：

接收来自受保护应用的访问该受保护应用的外部访问模块的标识；

根据该外部访问模块的标识及所述访问模块列表，执行外部访问模块的身份认证；

如果身份认证通过，接收来自受保护应用的访问类型；

根据该访问类型及存储的允许的访问类型，执行外部访问模块的权限认证；

如果权限认证通过，向受保护应用发送认证通过消息。

Images