CN106899545A - 一种终端安全通信的系统和方法 - Google Patents

Abstract

本发明提出了一种终端安全通信的系统和方法，其系统包括单芯片，所述单芯片上配置有应用处理器AP系统和通信处理器CP系统，所述AP系统包括普通子系统和安全子系统，所述普通子系统和安全子系统之间配置有第一共享内存，所述普通子系统与CP系统之间配置有第二共享内存，还包括：第三共享内存，配置在安全子系统与CP系统之间，用于实现安全子系统与CP系统之间的数据传输。本发明提出的一种终端安全通信的系统和方法，通过增设配置于安全子系统和CP系统之间的共享内存，实现安全子系统与CP系统之间的数据传输，从而提高了数据传输的安全性和传输效率。

Description

一种终端安全通信的系统和方法

技术领域

本发明涉及移动通信领域，尤其涉及一种终端安全通信的系统和方法。

背景技术

随着电子技术的不断发展，手机已成为人们日常生活必不可少的工具之一。图1是现有技术中手机单芯片方法中片上系统结构示意图。现有手机单芯片方案中的片上系统(system on chip，SoC)，主要是由单芯片实现两部分的软件系统：应用处理器(application pattern，AP)系统10和通信处理器(communication pattern，CP)系统20，如图1所示。AP系统和CP系统之间通过第一共享内存进行数据传输。

AP系统10包括有普通子系统11和安全子系统12。普通子系统11与CP系统20之间通过第一共享内存30进行数据传输。此外，两个子系统之间通过第二共享内存40进行数据传输。进而，通过第一共享内存30与第二共享内存40的数据传输作用，CP系统20可以与AP系统内部10的普通子系统11和安全子系统12均实现数据传输。

现有技术存在如下缺陷：安全性差，由于安全子系统需进行数据通信时，数据需经过第一共享内存和第二共享内存，以及经过普通子系统，所以有可能被恶意软件或黑客截取或篡改；传输效率低，由于安全子系统不能直接与CP系统交互进行数据通信，必须由普通子系统中转，这样增加了系统的处理时间和功耗。

发明内容

本发明的目的在于提出一种终端安全通信的系统和方法，以提高传输的安全性和传输效率。

第一方面，本发明提供了一种终端安全通信的系统，包括单芯片，所述单芯片上配置有应用处理器AP系统和通信处理器CP系统，所述AP系统包括普通子系统和安全子系统，所述普通子系统和安全子系统之间配置有第一共享内存，所述普通子系统与CP系统之间配置有第二共享内存之外，还包括：

第三共享内存，配置在安全子系统与CP系统之间，用于实现安全子系统与CP系统之间的数据传输。

第二方面，本发明提供了一种终端安全通信的方法，应用于终端安全通信的系统，包括：

所述安全子系统通过第二共享内存与所述CP系统进行数据交互，以实现数据的发送和接收。

本发明提供的技术方案，通过增设配置于安全子系统和CP系统之间的共享内存，实现安全子系统与CP系统之间的数据传输，从而提高了数据传输的安全性和传输效率。

附图说明

为了更加清楚地说明本发明示例性实施例的技术方案，下面对描述实施例中所需要用到的附图做一简单介绍。显然，所介绍的附图只是本发明所要描述的一部分实施例的附图，而不是全部的附图，对于本领域普通技术人员，在不付出创造性劳动的前提下，还可以根据这些附图得到其他的附图。

图1是现有技术中手机单芯片方法中片上系统结构示意图。

图2是本发明实施例一提供的一种终端安全通信的系统的结构示意图。

图3是本发明实施例二提供的一种终端安全通信的方法的流程示意图。

图4是本发明实施例三提供的一种终端安全通信的方法的终端接收数据方法的流程图。

图5是本发明实施例三提供的一种终端安全通信的方法的终端发送数据方法的流程图。

图6是本发明实施例四提供的一种终端安全通信的方法中加密/解密流程示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，以下将结合本发明实施例中的附图，通过具体实施方式，完整地描述本发明的技术方案。显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例，基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动的前提下获得的所有其他实施例，均落入本发明的保护范围之内。

实施例一：

图2是本发明实施例一提供的一种终端安全通信的系统的结构示意图。如图2所示，一种终端安全通信的系统包括单芯片100，所述单芯片100上配置有应用处理器AP系统110和通信处理器CP系统120，所述AP系统110包括普通子系统111和安全子系统112，所述普通子系统111和安全子系统112之间配置有第一共享内存113，所述普通子系统111与CP系统之间120配置有第二共享内存121，该系统还包括：

第三共享内存122，配置在安全子系统112与CP系统之间120，用于实现安全子系统112与CP系统120之间的数据传输。

通常情况下，单芯片100是由一个芯片及部分电路所组成。该芯片会包含有数位电路、类比电路等各种控制电路，而包含于芯片内部的应用程式通常称为嵌入式系统。

进一步的，终端安全通信的系统还可以包括三个专用内存，分别配置给所述普通子系统111、安全子系统112和CP系统120。这个三个内存与普通子系统111、安全子系统112和CP系统120一一对应，分别用于存储普通子系统111、安全子系统112和CP系统120的系统数据。

需要说明的是，第一共享内存113、第二共享内存121和第三共享内存122可以为物理独立的存储介质；或者也可以为地址空间控制器在独立存储介质中划分的独立地址区域。也就是说，第一共享内存113、第二共享内存121和第三共享内存122所存储的数据不会相互影响。

本发明实施例一提供的一种终端安全通信的系统，通过增加一个独立共享内存，为安全子系统与CP系统之间的数据传输提供了一种介质，提高了数据传输的安全性和传输效率。

实施例二：

图3给出了本实施例二提供的一种终端安全通信的系统中安全子系统结构示意图。

由图3所示，安全子系统200，包括有安全应用程序单元210、系统调用接口220、加解密引擎230和任务调度器240等。其中，除安全应用程序单元210，其余模块均设置于安全子系统200的内核空间。

这是由于安全应用程序单元210主要用于处理安全子系统200中具体的安全业务流程，如安全子系统200专用内存中数据的输入输出等。可以想见的是，安全子系统200可以同时包括有多个安全应用程序单元210，因此需要与其他模块进行隔离。

系统调用接口220用于安全应用程序单元210调用安全子系统内核空间中的各个模块的功能。

加解密引擎230用于对安全子系统200专用内存发送的数据进行加密或者对接收的数据进行解密。

任务调度器240用于根据安全应用程序单元210调用安全子系统200核空间中的各个模块的功能进行调度，合理安排加载、释放安全子系统的内核空间。

此外，本发明实施例还增加了网络协议栈250和调制解调驱动260。其中，网络协议栈250对安全子系统200专用内存发送的数据进行打包或者对接收的数据进行解包。

调制解调驱动260用于安全共享内存对第三共享内存进行读写，以实现与CP进行数据传输。

本发明实施例二提供的一种终端安全通信的系统，通过对安全子系统增加网络协议栈和调制解调驱动这两个模块，进而可将安全子系统专用内存的所需发送的数据或接收的数据进行打包或解包，并通过新增的第三共享内存实现数据的传输，从而提高了数据传输的安全性和传输效率。

实施例三

本发明实施例还提供了一种终端安全通信的方法，其可采用本发明实施例所提供的终端安全通信的系统来执行。该方法包括：

所述安全子系统通过第三共享内存与所述CP系统进行数据交互，以实现数据的发送和接收。

该方法具体的工作过程如下：

首先，安全子系统包括配置在用户空间的安全应用程序单元，还包括配置在内核空间的系统调用接口、加解密引擎、网络协议栈、任务调度器、内存管理器和调制解调驱动。其中，各个模块的工作内容实施例二已经描述，这里不再重复。

由于安全子系统与CP系统之间通过第三共享内存实现双向的数据传输，因此所述安全子系统通过第二共享内存与所述CP系统进行数据交互。

图4是本发明实施例三提供的一种终端安全通信的方法的终端接收数据方法的流程图。如图4所示，终端接收数据包括：

S101、CP系统将从其他设备如其他终端的安全子系统接收到的数据放入所述第三共享内存，并发送中断通知所述安全子系统。所述安全子系统接收到所述中断，开始从第三共享内存提取CP系统发送的数据。

S102、所述调制解调驱动根据所述中断通知从所述第二共享内存读取接收到的数据，提供给网络协议栈。

S103、所述网络协议栈对接收到的数据进行解包。其中网络协议栈在解包的过程中根据TCP/IP协议进行解包。

S104、所述安全应用程序调用系统调用接口获取解包后的数据。

当网络协议栈对数据进行解包之后，安全应用程序单元会将数据进行调用至所述安全子系统的专用内存。

图5是本发明实施例三提供的一种终端安全通信的方法的终端发送数据方法的流程图。如图5所示，所述安全子系统通过第二共享内存与所述CP系统进行数据交互，以实现数据的发送包括：

S201、所述安全应用程序单元通过所述系统调用接口，调用待发送数据，提供给网络协议栈。首先，安全应用程序单元会调用安全子系统的专用内存中的数据，并将其发送给网络协议栈。

S202、所述网络协议栈根据网络传输协议，对所述待发送数据进行打包。其中网络协议栈在打包的过程中根据TCP/IP协议进行打包。

S203、所述调制解调驱动将打包后的待发送数据包写入所述第三共享内存，向所述CP系统传输。

S204、所述CP系统将所述数据包进行发送。需要解释的是，CP系统会将数据包发送至其他设备，如其他终端的安全子系统。

本发明实施例三提供的一种终端安全通信的方法，通过安全子系统内部的调制解调驱动对数据进行打包、通过网络协议栈对数据进行打包/解包,进而通过第三安全共享内存实现了安全子系统与CP系统之间数据的传输，从而提高了数据传输的安全性和传输效率。

实施例四

图6是本发明实施例四提供的一种终端安全通信的方法中加密/解密流程示意图。

如图6所示，所述安全子系统通过第二共享内存与所述CP系统进行数据交互，以实现数据的发送和接收包括：

S301、所述安全应用程序通过系统调用接口调用加解密引擎以获取第一随机数Ra和对称加密算法，作为待发送数据。

其中随机数可以为任意数字，而对称加密算法可以为对称密码体制加密算法DES、三重数据加密算法3DES或高级加密标准算法AES。

S302、所述安全应用程序通过第三共享内存和所述CP系统，将第一随机数Ra和对称加密算法发送给远端。

远端可以为其他具有加解密引擎的安全子系统或其他设备，远端会判定安全子系统中加解密引擎是否采用相同加密算法，若是则继续加密或解密，否则结束加密或解密。

S303、所述安全应用程序通过第三共享内存和所述CP系统，接收远端发送的数字证书和第二随机数Rb。

当远端确认与安全子系统中加解密引擎采用相同的加密算法后，会发送一个数字证书和第二随机数Rb至安全子系统中加解密引擎。其中，数字证书指定政策和具体步骤来验证、识别用户身份，并对用户证书进行前面，以保证证书持有者即远端和安全子系统的身份和对公钥的拥有权。

S304、所述安全应用程序根据数字证书中的签名对所述数字证书进行验证，并产生第三随机数S。

安全子系统中加解密引擎接收到远端发送的数字证书和第二随机数Rb，之后加解密引擎会对生成一个第三随机数S。

S305、所述安全应用程序将所述第三随机数S基于所述数字证书中的远端公钥进行加密后发送给所述远端。

之后，远端会根据其内部既有的私钥解出相应的第三随机数S。安全应用程序和远端采用第一随机数Ra、第二随机数Rb和第三随机数Rc生成对称加密秘钥，进而实现对数据的加密或解密。

本发明实施例四所述的一种终端安全通信的方法，通过对安全子系统内部的加解密引擎与远端采用相同的对称加密算法，通过使用随机数生成相应的对称秘钥，最终实现加解密引擎与远端对双方数据的加解密，从而提高了数据传输的安全性和传输效率。

上述仅为本发明的较佳实施例及所运用的技术原理。本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行的各种明显变化、重新调整及替代均不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由权利要求的范围决定。

Claims (8)

1.一种终端安全通信的系统，包括单芯片，所述单芯片上配置有应用处理器AP系统和通信处理器CP系统，所述AP系统包括普通子系统和安全子系统，所述普通子系统和安全子系统之间配置有第一共享内存，所述普通子系统与CP系统之间配置有第二共享内存，其特征在于，还包括：

第三共享内存，配置在安全子系统与CP系统之间，用于实现安全子系统与CP系统之间的数据传输。

2.根据权利要求1所述的系统，其特征在于，还包括：

三个专用内存，分别配置给所述普通子系统、安全子系统和CP系统。

3.根据权利要求1或2所述的系统，其特征在于：

各共享内存为物理独立的存储介质；或

各共享内存为由地址空间控制器在独立存储介质中划分的独立地址区域。

4.一种终端安全通信的方法，应用于权利要求1-3任一所述终端安全通信的系统，其特征在于，所述方法包括：

所述安全子系统通过第三共享内存与所述CP系统进行数据交互，以实现数据的发送和接收。

5.根据权利要求4的方法，其特征在于，所述安全子系统包括配置在用户空间的安全应用程序单元，还包括配置在内核空间的系统调用接口、加解密引擎、网络协议栈、任务调度器、内存管理器和调制解调驱动。

6.根据权利要求5的方法，其特征在于，所述安全子系统通过第二共享内存与所述CP系统进行数据交互，以实现数据的接收包括：

CP系统将接收到的数据放入所述第二共享内存，并发送中断通知所述安全子系统；

所述调制解调驱动根据所述中断通知从所述第二共享内存读取接收到的数据，提供给网络协议栈；

所述网络协议栈对接收到的数据进行解包；

所述安全应用程序调用系统调用接口获取解包后的数据。

7.根据权利要求5或6的方法，其特征在于，所述安全子系统通过第二共享内存与所述CP系统进行数据交互，以实现数据的发送包括：

所述安全应用程序单元通过所述系统调用接口，调用待发送数据，提供给网络协议栈；

所述网络协议栈根据网络传输协议，对所述待发送数据进行打包；

所述调制解调驱动将打包后的待发送数据包写入所述第二共享内存，向所述CP系统传输；

所述CP将所述数据包进行发送。

8.根据权利要求7的方法，其特征在于，所述安全子系统通过第二共享内存与所述CP系统进行数据交互，以实现数据的发送和接收包括

所述安全应用程序通过系统调用接口调用加解密引擎以获取第一随机数和对称加密算法，作为待发送数据；

所述安全应用程序通过第二共享内存和所述CP系统，将第一随机数和对称加密算法发送给远端；

所述安全应用程序通过第二共享内存和所述CP系统，接收远端发送的数字证书和第二随机数；

所述安全应用程序根据数字证书中的签名对所述数字证书进行验证，并产生第三随机数；

所述安全应用程序将所述第三随机数基于所述数字证书中的远端公钥进行加密后发送给所述远端；

所述安全应用程序采用第一随机数、第二随机数和第三随机数生成对称加密秘钥，用于进行与所述远端之间的传输加密。