CN106990972A

CN106990972A - 用于运行可信用户界面的方法和装置

Info

Publication number: CN106990972A
Application number: CN201710240805.7A
Authority: CN
Inventors: 李宝军; 韩泽锋; 仝丽娜; 江涛
Original assignee: Shenyang Micro Trust Technology Co Ltd
Current assignee: Shenyang Micro Trust Technology Co Ltd
Priority date: 2017-04-13
Filing date: 2017-04-13
Publication date: 2017-07-28
Anticipated expiration: 2037-04-13
Also published as: CN106990972B

Abstract

本发明涉及运行可信用户界面的方法和装置，尤其涉及一种运行可信用户界面的方法，该可信用户界面构建在可信执行环境侧并且包括显示部和输入部，其中在可信执行环境侧设有用于运行所述可信用户界面的硬件驱动，所述可信执行环境所属的系统还具有非安全执行环境，所述系统具有内核，其中，通过可信执行环境侧的可信用户界面关于安全相关的事件与用户进行交互和与非安全执行环境进行信息交互。

Description

用于运行可信用户界面的方法和装置

技术领域

本发明涉及一种运行可信用户界面的方法，以及对应的运行可信用户界面的装置。

背景技术

当前的可信执行环境主要是基于移动终端(如智能手机)中处理器的安全区域构建的可信执行环境。可信执行环境是一个独立的执行区域，它提供了很多安全属性，如隔离性，可信应用的完整性等，同时可信执行环境也确保了加载到可信执行环境中代码和数据的安全性。

在移动终端上，特别是智能手机上，用户界面(User Interface)负责的是人机交互，按照一定的操作逻辑完成用户的指令。随着智能手机的普及，手机上的移动支付已经成为用户重要的支付手段。移动支付常用的支付方式有两种，一种是密码支付，另一种是指纹支付。指纹支付必须在可信执行环境侧执行，已经是业界规范做法；而密码支付方式目前仍然是在非安全执行环境，或称富执行环境(Rich Execution Environment)侧执行。

而在非安全执行环境侧进行的支付操作存在安全隐患。例如，在非安全执行环境执行的支付操作，可以通过人工截屏，读非安全执行环境的显示内存等方式，轻易取得个人支付信息，安全风险很高。

发明内容

为了解决上文提及的设在在非安全执行环境侧的用户界面的不安全问题，根据本发明的一个方面提出了一种运行可信用户界面的方法，该可信用户界面构建于可信执行环境，并且包括显示部和输入部，其中，在所述可信执行环境还设有用于运行所述可信用户界面的硬件驱动；所述可信用户界面能够与设置在非安全执行环境的内核进行交互，从而使得用户能够通过所述非安全执行环境关于安全相关的事件与所述可信用户界面进行交互。将输入和显示在可信执行环境侧运行，降低了信息被窃取的风险。

根据本发明的一个实施形式，安全相关的事件包括对金融应用的操作，金融应用包括支付应用、转账应用、私密金融信息查看应用中的一种或多种。

根据本发明的一个实施形式，可信执行环境和非安全执行环境所属的计算机系统还具有ARM可信固件。

根据本发明的一个实施形式，方法包括如下步骤：

响应于用户点击安全相关的应用，内核通知可信执行环境侧调用可信用户界面，

可信用户界面的显示部和输入部分别初始化各自的驱动，并且通知ARM可信固件注册异常事件中断，

返回内核为I2C总线上电并且保存非安全执行环境侧的显示和输入的状态，

可信用户界面的显示部显示图形界面，可信用户界面的输入部启动从而能够将触摸和异常事件上报给显示部，

当可信用户界面的调用结束或者因异常事件中断而退出可信用户界面的运行时，可信用户界面的显示部将该显示部的显示驱动注销，并且清除所显示的和/或所存储的隐私数据，

在因异常事件中断而退出可信用户界面的运行的条件下，ARM可信固件将中断移除，

切换回内核，将所保存的非安全执行环境侧的显示和输入的状态恢复，为I2C总线掉电。

根据本发明的一个实施形式，ARM可信固件还进行安全属性的划分，该安全属性的划分包括对于待由显示部显示和待由输入部接收的数据的安全等级的划分。

根据本发明的一个实施形式，异常事件中断是由所定义的异常事件引起的、使得退出可信用户界面运行的中断。

根据本发明的一个实施形式，方法包括如下步骤：

响应于用户点击安全相关的应用，保存非安全执行环境侧的显示和输入的状态，

将用户界面状态设置为可信用户界面状态，

为I2C总线上电，

可信用户界面的显示部和输入部分别初始化各自的驱动,并且I2C总线初始化自己的驱动，

可信用户界面的显示部显示图形界面，可信用户界面的输入部被使能以响应上报的触摸和异常事件，

当因异常事件中断而退出可信用户界面的运行时，可信用户界面的显示部将该显示部的显示驱动注销，并且清除所显示的和/或所存储的隐私数据，

将内核的用户界面状态设置为普通用户界面状态，

将所保存的非安全执行环境侧的显示和输入的状态恢复。

根据本发明的一个实施形式，异常事件包括呼入电话、电源键灭屏、Android调试桥和暗屏模式下访问可信用户界面。异常事件不限于所列举的情况，可以根据用户的需要进行定义，并由ARM可信固件注册到能够引起中断的异常事件列表中。

根据本发明的一个实施形式，异常事件包括呼入电话，其中：

响应于呼入电话，内核通过ARM可信固件以触发中断的方式将该呼入电话通知给可信用户界面的输入部，

输入部随后将该呼入电话上报给可信用户界面的显示部，

可信用户界面的显示部去激活，可信用户界面退出运行，ARM可信固件将中断移除，

恢复普通用户界面，由此用户能够接听该呼入电话。

根据本发明的一个实施形式，异常事件包括电源键灭屏，其中：

响应于电源键被按下，将承载可信用户界面的设备的屏幕熄灭，

内核通过ARM可信固件以触发中断的方式将电源键灭屏通知给可信用户界面的输入部，

输入部随后将该电源键灭屏上报给可信用户界面的显示部，

恢复普通用户界面，随后非安全执行环境进入休眠状态。

根据本发明的一个实施形式，异常事件包括Android调试桥，其中：

响应于Android调试桥的adb reboot命令被运行，内核通过ARM可信固件以触发中断的方式将该呼入电话通知给可信用户界面的输入部，

输入部随后将Android调试桥的adb reboot命令被运行上报给可信用户界面的显示部，

随后系统能够正常重启。

根据本发明的一个实施形式，异常事件包括暗屏下访问可信用户界面，其中，暗屏指屏幕熄灭的状态，其中：

在暗屏情况下访问可信用户界面时，内核检查显示部处于何种状态，

如果显示部处于活动状态，则允许运行可信用户界面，

如果显示部处于不活动状态，则取消该访问。

根据本发明的另一方面，提出了一种运行可信用户界面的装置，所述装置包括：

可信执行环境；

可信用户界面，所述可信用户界面构建在可信执行环境侧并且包括显示部和输入部；

设置在可信执行环境侧的用于运行可信用户界面的硬件驱动；

非安全执行环境；

内核；

其特征在于，通过可信执行环境侧的可信用户界面关于安全相关的事件与用户进行交互和与非安全执行环境进行信息交互。

根据本发明的一个实施形式，装置构建为用于执行根据本发明的方法。

根据本发明的另一方面，提出了一种具有计算机程序的计算机程序产品，其能够直接加载到电子设备的存储单元中，计算机程序具有程序段，用于在电子设备中执行计算机程序时，执行根据本发明的方法的所有步骤。

根据本发明的另一方面，提出了一种计算机可读介质，其上存储有电子设备的至少一个处理单元能够读取并且能够执行的程序段，用于在电子设备的至少一个处理单元执行所述程序段时，执行根据本发明的方法的所有步骤。

用户的输入输出信息主要是靠显示屏和触摸屏来实现，第三方窃取信息也是通过截获这两个硬件传输的数据来实现的，所以通过根据本发明的在可信执行环境侧运行的方法或装置保护好了这两个硬件设备，也就保护了用户的个人信息。

也就是说，将输入卡号、密码等用户的输入输出处理放在TEE侧执行，可大大提高用户资产的安全性。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。其中：

图1示意性地示出了根据本发明的运行可信用户界面的方法的框图。

图2示意性地示出了根据本发明的运行可信用户界面的方法的流程图。

图3示意性地示出了呼入电话异常事件的流程图。

图4示意性地示出了电源键灭屏异常事件的流程图。

图5示意性地示出了Android调试桥异常事件的流程图。

图6示意性地示出了暗屏下访问可信用户界面异常事件的流程图。

图7示意性地示出了根据本发明的用于运行可信用户界面的装置。

图8示意性地示出了带有根据本发明的用于运行可信用户界面的装置的电子设备。

为了纵览性，为相同或相当的元件贯穿所有附图地标以相同的附图标记。附图仅为示意性的，其中的元件无需合乎比例。

附图标记列表

REE 非安全执行环境

TEE 可信执行环境

100 非安全执行环境

101 用户

102 普通用户界面

103 内核

110 可信执行环境

111 可信用户界面

112 显示部

113 输入部

114 硬件驱动

S210-S270 步骤

S310-S340 步骤

S410-S450 步骤

S510-S540 步骤

S610-S621 步骤

700 装置

800 电子设备

具体实施方式

下面将结合附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些实施例获得其他的实施例。

图1示意性地示出了根据本发明的运行可信用户界面的方法的框图。其中示出了一种移动终端可信用户交互界面(Trusted User Interface，简称TUI)的实现方法，即将display和touch panel等用户输入输出设备，移植到可信执行环境中，实现输入输出设备与非安全端内存的隔离，达到信息不被窃取的目的。具体地，左图是非安全执行环境REE100，其中运行有普通用户界面102，用户101可以访问普通用户界面102。右图是可信执行环境TEE 110，在可信执行环境TEE 110将所有用于支持用户界面运行的硬件驱动114都编写了一份，用于支持设置在可信执行环境TEE 110的可信用户界面Its_tui 111。可信用户界面111包括显示部112和输入部113。当用户在非安全执行环境REE 100点击安全相关的应用，例如金融应用时，设置在非安全执行环境REE 100的内核103会通知TEE 110执行环境用户要调用可信用户界面111。于是用户可以通过可信执行环境侧的可信用户界面关于安全相关的事件与用户进行交互和与非安全执行环境进行信息交互。安全相关的事件包括对金融应用的操作，所述金融应用包括支付应用、转账应用、私密金融信息查看应用等。非安全执行环境TEE 100和可信执行环境TEE 110所属的计算机系统除了内核外还可以包括ARM可信固件ATF(ARM Trusted Firmware)，ARM可信固件为安全执行环境提供硬件环境以及可信信任链。

图2示意性地示出了根据本发明的运行可信用户界面的方法的流程图。在步骤210中，由用户点击安全相关的应用、例如支付APP。响应于此，内核向可信执行环境侧请求调用可信用户界面，从而使得用户能够在受保护的环境下进行密码输入等操作。在接下来的步骤S220中，可信用户界面的显示部和输入部分别初始化各自的驱动，并且通知ARM可信固件注册异常事件中断。注册异常事件中断指的是将特定的事件定义为异常事件，从而在检测到异常事件时中断可信用户界面的运行。异常事件例如可以包括电话呼入、电源键灭屏、Android调试桥和暗屏下访问可信用户界面。ARM可信固件还可以进行安全属性的划分，即将特定数据划分为隐私数据，从而在可信用户界面因调用结束或异常事件中断而退出运行时，可信用户界面的显示部可以将显示的或缓存的隐私数据清除。在S230中，返回内核为I2C总线上电并且保存非安全执行环境侧的显示和输入的状态。在可信用户界面调用结束或者被异常事件中断之后，将自动切换回非安全执行环境，所保存的显示和输入在可信用户界面调用前的状态可以被显示。在步骤S240中，可信用户界面的显示部显示图形界面，可信用户界面的输入部启动从而能够将触摸和异常事件上报给显示部。此后用户可以在可信用户界面上进行触摸式输入，输入的信息由输入部上报给显示部，由显示部进行显示处理，包括直接显示和隐藏式显示。如果异常事件发生，也是由输入部上报显示部，显示部将上报的异常事件与步骤S220中所注册的异常事件相比较，如果比较结果显示当前异常事件应引起可信用户界面的终端，则由显示部调用中断，以退出可信用户界面的运行。当可信用户界面的调用结束或者因异常事件中断而退出可信用户界面的运行时，进入步骤S250，可信用户界面的显示部将该显示部的显示驱动注销，并且清除所显示的和/或所存储的隐私数据。在因异常事件中断而退出可信用户界面的运行的情况下，在步骤S260中由ARM可信固件将中断移除。在S270中，切换回内核，将所保存的非安全执行环境侧的显示和输入的状态恢复，为I2C总线掉电。

上述方法流程还可以用如下伪代码来描述：

If(display.active){

保存REE.display状态；

保存REE.tp状态；

设置Linux kernel UI状态，现处于TUI状态；

Enable.i2c_clk；

Enable.dma_clk；

TEE.init_display；

TEE.init_i2c；

TEE.init_tp

正常上报事件，显示安全图像；

If(exception.event){

清除数据，恢复REE UI驱动；

设置Linux kernel UI状态，现处于UI状态；

恢复REE.tp状态；

恢复REE.display状态；

}

}else{

返回应用层，等待下次调用；

}

输入部随后将该呼入电话上报给可信用户界面的显示部，

恢复普通用户界面，由此用户能够接听该呼入电话。

图3示意性地示出了呼入电话异常事件的流程图。在Android系统中，电话事件处理是framework层里面有专门的线程来处理，调制解调器触发来电事件，电话管理部首先去设置里面检查是否可以接听电话，然后调用InCallScreen来显视接听电话的用户界面。如果此时处于可信用户界面状态，虽然响铃和振动事件Android系统都能正常处理，但是用户界面无法与Android系统的电话管理进行信息交互，用户也就无法接听电话，所以必须要退出可信用户界面才能接打电话。

在可信用户界面的运行中，如果有电话呼入，则在步骤S310中framework层会向内核发送广播通知事件。内核在接收到广播通知事件后在步骤S320中内核通过ARM可信固件以触发中断的方式将该呼入电话通知给可信用户界面的输入部。在步骤S330中，输入部随后将该呼入电话上报给可信用户界面的显示部。接着在步骤S340中，可信用户界面的显示部去激活，可信用户界面退出运行，ARM可信固件将中断移除。在步骤S350中，恢复普通用户界面，由此用户能够接听该呼入电话。

图4示意性地示出了电源键灭屏异常事件的流程图。电源键灭屏事件也称Powerkey事件。此时响应于电源键被按下而需要将背光关闭，以及将可信用户界面恢复为普通用户界面、例如android UI状态，因为下次点亮屏幕时，显示的是锁屏图案。在可信用户界面运行中，如果用户按下电源键，则在步骤S410中将承载可信用户界面的设备的屏幕熄灭。然后在步骤S420中，内核通过ARM可信固件以触发中断的方式将电源键灭屏通知给可信用户界面的输入部。输入部随后在步骤S430将该电源键灭屏上报给可信用户界面的显示部。在步骤S440，可信用户界面的显示部去激活，可信用户界面退出运行，ARM可信固件将中断移除。退出流程结束后，在步骤S450，恢复普通用户界面，随后非安全执行环境进入休眠状态。

图5示意性地示出了Android调试桥异常事件的流程图。在Android系统中adb(Android Debug Bridge)，即Android调试桥是非常重要的一种调试工具，主要可以运行设备的shell、管理设备文件及安装调试应用等。设备处于可信用户界面状态时，adb的各种命令运行是没有问题的，但是有一个命令比较特殊就是“adb reboot”,此命令会让系统重启，那么系统就会给各个模块发通知。如果模块此时处于TEE侧，就有可能不能正常保存状态从而造成系统重启异常。所以系统处于TUI时，运行adb reboot要进行异常事件的处理。具体地，响应于Android调试桥的adb reboot命令被运行，内核在步骤S510中通过ARM可信固件以触发中断的方式将该呼入电话通知给可信用户界面的输入部。输入部随后在步骤S520中将Android调试桥的adb reboot命令被运行上报给可信用户界面的显示部。在步骤S530中，可信用户界面的显示部去激活，可信用户界面退出运行，ARM可信固件将中断移除。随后在步骤S540中系统能够正常重启。

图6示意性地示出了暗屏下访问可信用户界面异常事件的流程图。暗屏指屏幕熄灭的状态。手机处于暗屏模式的时候，相关硬件处于掉电状态。如果此时访问可信用户界面，例如以远程方式访问，那么非安全执行环境侧将不能正常初始化硬件，因为掉电状态下不能读写寄存器，所以需要限制对可信用户界面的访问。具体地，在暗屏情况下访问可信用户界面时，内核在步骤S610中检查显示部处于何种状态。如果显示部处于活动状态，则在步骤S620中允许运行可信用户界面。如果显示部处于不活动状态，则在步骤S621中取消该访问。

图7示意性地示出了根据本发明的用于运行可信用户界面的装置。图左侧是根据本发明的装置700的非安全执行环境REE，其通过内核与右侧的可信执行环境TEE通信。可信执行环境TEE中布置有可信用户界面Its_tui。可信用户界面Its_tui包括显示部和输入部，其通过在TEE侧编写的硬件驱动来运行。借助根据本发明的装置700，用户可以通过可信执行环境侧的可信用户界面关于安全相关的事件与用户进行交互和与非安全执行环境进行信息交互。

图8示意性地示出了带有根据本发明的用于运行可信用户界面的装置的电子设备。该电子设备800上显示的是根据本发明的用于运行可信用户界面的装置700的可信用户界面，在该实施例中是支付界面。通过该支付界面用户可以输入用户名和密码，两者均被ARM可信固件在安全属性划分中划分为隐私数据。

本发明使得用户能够在可信执行环境侧进行密码输入，从而降低了信息泄露的风险。根据本发明的方法和装置可以低开销地、有效地实施。

以上，仅为本公开的具体实施方式，但本公开的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本公开揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本公开的保护范围之内。因此，本公开的保护范围应以权利要求的保护范围为准。本发明的一个主题的优点可以转用于另一主题。

Claims

1.一种运行可信用户界面的方法，其特征在于，该可信用户界面构建于可信执行环境，并且包括显示部和输入部，

其中，

在所述可信执行环境还设有用于运行所述可信用户界面的硬件驱动；

所述可信用户界面能够与设置在非安全执行环境的内核进行交互，从而使得用户能够通过所述非安全执行环境关于安全相关的事件与所述可信用户界面进行交互。

2.根据权利要求1所述的方法，其特征在于，所述安全相关的事件包括对金融应用的操作，所述金融应用包括支付应用、转账应用、私密金融信息查看应用中的一种或多种。

3.根据权利要求1所述的方法，其特征在于，所述可信执行环境和所述非安全执行环境所属的计算机系统还具有ARM可信固件，该ARM可信固件设置于所述可信执行环境。

4.根据权利要求3所述的方法，其特征在于，所述方法包括如下步骤：

响应于用户点击安全相关的应用，内核通知可信执行环境调用可信用户界面，

分别初始化可信用户界面的显示部和输入部各自的驱动，并且通知ARM可信固件注册异常事件中断，

返回内核，为I2C总线上电并且保存非安全执行环境的显示和输入的状态，

可信用户界面的显示部显示图形界面，并启动可信用户界面的输入部从而能够将触摸和异常事件上报给显示部，

当对可信用户界面的调用结束或者因异常事件中断而退出可信用户界面的运行时，可信用户界面的显示部将该显示部的显示驱动注销，并且清除所显示的和/或所存储的隐私数据，

切换回内核，将所保存的非安全执行环境侧的显示和输入状态恢复，为I2C总线掉电。

5.根据权利要求4所述的方法，其特征在于，ARM可信固件进行安全属性的划分，所述安全属性的划分包括对于待由显示部显示和待由输入部接收的数据的安全等级的划分。

6.根据权利要求4所述的方法，其特征在于，所述异常事件中断是由所定义的异常事件引起的、使得退出可信用户界面运行的中断。

7.根据权利要求3所述的方法，其特征在于，所述方法包括如下步骤：

将用户界面状态设置为可信用户界面状态，

为I2C总线上电，

分别初始化可信用户界面的显示部和输入部各自的驱动,并且初始化I2C总线的驱动，

将内核的用户界面状态设置为普通用户界面状态，

将所保存的非安全执行环境侧的显示和输入的状态恢复。

8.根据权利要求7所述的方法，其特征在于，所述异常事件中断是由所定义的异常事件引起的、使得退出可信用户界面运行的中断。

9.根据权利要求4至8中任一项所述的方法，其特征在于，所述异常事件包括呼入电话、电源键灭屏、Android调试桥和暗屏模式下访问可信用户界面中的一种或几种。

10.根据权利要求4、5或6所述的方法，其特征在于，所述异常事件包括呼入电话，其中：

输入部随后将该呼入电话上报给可信用户界面的显示部，

恢复普通用户界面，由此用户能够接听该呼入电话。

11.根据权利要求4、5或6所述的方法，其特征在于，所述异常事件包括电源键灭屏，其中：

输入部随后将该电源键灭屏上报给可信用户界面的显示部，

恢复普通用户界面，随后非安全执行环境进入休眠状态。

12.根据权利要求4、5或6所述的方法，其特征在于，所述异常事件包括Android调试桥，其中：

随后系统能够正常重启。

13.根据权利要求4、5或6所述的方法，其特征在于，所述异常事件包括暗屏下访问可信用户界面，其中，暗屏指屏幕熄灭的状态，其中：

如果显示部处于活动状态，则允许运行可信用户界面，

如果显示部处于不活动状态，则取消该访问。

14.一种运行可信用户界面的装置，其特征在于，所述装置包括：

可信执行环境和非安全执行环境；

在所述可信执行环境设置有可信用户界面，且该可信用户界面包括显示部和输入部；

在所述可信执行环境还设置有用于运行所述可信用户界面的硬件驱动；

所述非安全执行环境设置有内核；

其中，

所述可信用户界面能够与所述内核进行交互，从而使得用户能够通过所述非安全执行环境关于安全相关的事件与所述可信用户界面进行交互。

15.根据权利要求14所述的装置，其特征在于，所述装置构建为用于执行根据权利要求1至13中任一项所述的方法。

16.一种计算机程序产品，其能够直接加载到电子设备的可编程的计算单元的存储器中，该计算机程序产品具有程序装置，用于在电子设备的计算单元中执行计算机程序时，执行根据权利要求1至13中任一项所述的方法的所有步骤。

17.一种计算机可读介质，其上存储有电子设备的至少一个计算单元能够读取并且能够执行的程序段，用于在电子设备的至少一个计算单元执行所述程序段时，执行根据权利要求1至13中任一项所述的方法的所有步骤。