CN107273738A - 一种安全控制方法、终端及计算机可读存储介质 - Google Patents

Abstract

本发明公开了一种安全控制方法，包括：运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。本发明实施例还提供实现上述方法的终端及计算机可读存储介质。

Description

一种安全控制方法、终端及计算机可读存储介质

技术领域

本发明涉及电子技术，尤其涉及一种安全控制方法、终端及计算机可读存储介质。

背景技术

目前智能家庭网络安全存在隐患，其通过移动终端实现控制，一般实现方法是在移动终端安装APP，在局域网内实现接入和认证，通过移动网络端实现远程控制，从而导致下面描述的问题。

随着无线智能家居系统的发展，用户体验到越来越方便的使用体验。当刚离开家上班时，忽然想起家里的窗户和电器没关，此时，打开手机操作界面，就全部搞定；当快下班时，再通过手机操作电饭锅启动烧饭，热水器开始烧水，空调慢慢调节到人体适宜的温度。当下班到家时，就可以吃上热腾腾的饭菜，感受到屋内宜人的温度……

而这些使用体验都需要由智能家居通过联网实现，因而这也成为黑客盯上智能家电设备的主要原因。此前，计算机安全研究公司Proofpoint发现了一种新型的僵尸网络，感染联网的家电设备并发送了数十万封恶意电子邮件，这是首例被证实的基于智能家居的网络攻击行为。

基于目前的智能家电设备没有主动的安全保护措施，如果遭到黑客入侵，网络被攻陷，黑客伪装成作为智能家居系统核心设备的控制终端对智能家电设备进行操纵，将会引发各种后果严重的安全事故。因此，亟需一种安全控制的技术方案，能够提高现有智能家电设备的安全性，避免被非法控制终端进行恶意操纵。

发明内容

有鉴于此，本发明实施例提供一种安全控制方法、终端和计算机可读存储介质，能够提高现有智能家电设备的安全性，避免被非法控制终端进行恶意操纵。

本发明实施例的技术方案是这样实现的：

一方面，提供一种安全控制方法，应用于控制终端，所述方法包括：运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。

另一方面，提供实现上述安全控制方法的终端，所述终端包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的安全控制程序，所述处理器执行所述安全控制程序，以实现：运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。

另一方面，提供一种实现上述方法的计算机可读存储介质。

本发明实施例提供的安全控制方法、终端和计算机可读存储介质，通过安全可执行环境中的可信任应用程序对所授权的控制应用程序的监控，使得控制终端的认证过程安全性更高，进一步的，本地设置的控制策略确定控制终端对被控设备的控制，避免非法终端冒充控制终端对被控设备进行操纵，提高现有智能家电设备的安全性，避免被非法控制终端进行恶意操纵。

附图说明

图1为实现本发明各个实施例一个可选的移动终端的硬件结构示意图；

图2为如图1所示的移动终端的无线通信系统示意图；

图3为本发明实施例一中的安全控制的方法的流程示意图；

图4为本发明实施例所示智能家居系统示意图；

图5为本发明实施例二中安全控制的方法的流程示意图；

图6为本发明实施例三中安全控制的方法的流程示意图；

图7为本发明实施例四中安全控制的方法的流程示意图；

图8A、图8B为本发明实施例四中的控制界面的界面示意图；

图9为本发明实施例五中的一种终端的结构示意图。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在后续的描述中，使用用于表示元件的诸如“模块”、“部件”或“单元”的后缀仅为了有利于本发明的说明，其本身没有特定的意义。因此，“模块”、“部件”或“单元”可以混合地使用。

终端可以以各种形式来实施。例如，本发明中描述的终端可以包括诸如手机、平板电脑、笔记本电脑、掌上电脑、个人数字助理(Personal Digital Assistant，PDA)、便捷式媒体播放器(Portable Media Player，PMP)、导航装置、可穿戴设备、智能手环、计步器等移动终端，以及诸如数字TV、台式计算机等固定终端。

后续描述中将以移动终端为例进行说明，本领域技术人员将理解的是，除了特别用于移动目的的元件之外，根据本发明的实施方式的构造也能够应用于固定类型的终端。

请参阅图1，其为实现本发明各个实施例的一种移动终端的硬件结构示意图，该移动终端100可以包括：RF(Radio Frequency，射频)单元101、WiFi模块102、音频输出单元103、A/V(音频/视频)输入单元104、传感器105、显示单元106、用户输入单元107、接口单元108、存储器109、处理器110、以及电源111等部件。本领域技术人员可以理解，图1中示出的移动终端结构并不构成对移动终端的限定，移动终端可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

下面结合图1对移动终端的各个部件进行具体的介绍：

射频单元101可用于收发信息或通话过程中，信号的接收和发送，具体的，将基站的下行信息接收后，给处理器110处理；另外，将上行的数据发送给基站。通常，射频单元101包括但不限于天线、至少一个放大器、收发信机、耦合器、低噪声放大器、双工器等。此外，射频单元101还可以通过无线通信与网络和其他设备通信。上述无线通信可以使用任一通信标准或协议，包括但不限于GSM(Global System of Mobile communication，全球移动通讯系统)、GPRS(General Packet Radio Service，通用分组无线服务)、CDMA2000(CodeDivision Multiple Access 2000，码分多址2000)、WCDMA(Wideband Code DivisionMultiple Access,宽带码分多址)、TD-SCDMA(Time Division-Synchronous CodeDivision Multiple Access，时分同步码分多址)、FDD-LTE(Frequency DivisionDuplexing-Long Term Evolution，频分双工长期演进)和TDD-LTE(Time DivisionDuplexing-Long Term Evolution，分时双工长期演进)等。

WiFi属于短距离无线传输技术，移动终端通过WiFi模块102可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图1示出了WiFi模块102，但是可以理解的是，其并不属于移动终端的必须构成，完全可以根据需要在不改变发明的本质的范围内而省略。

音频输出单元103可以在移动终端100处于呼叫信号接收模式、通话模式、记录模式、语音识别模式、广播接收模式等等模式下时，将射频单元101或WiFi模块102接收的或者在存储器109中存储的音频数据转换成音频信号并且输出为声音。而且，音频输出单元103还可以提供与移动终端100执行的特定功能相关的音频输出(例如，呼叫信号接收声音、消息接收声音等等)。音频输出单元103可以包括扬声器、蜂鸣器等等。

A/V输入单元104用于接收音频或视频信号。A/V输入单元104可以包括图形处理器(Graphics Processing Unit，GPU)1041和麦克风1042，图形处理器1041对在视频捕获模式或图像捕获模式中由图像捕获装置(如摄像头)获得的静态图片或视频的图像数据进行处理。处理后的图像帧可以显示在显示单元106上。经图形处理器1041处理后的图像帧可以存储在存储器109(或其它存储介质)中或者经由射频单元101或WiFi模块102进行发送。麦克风1042可以在电话通话模式、记录模式、语音识别模式等等运行模式中经由麦克风1042接收声音(音频数据)，并且能够将这样的声音处理为音频数据。处理后的音频(语音)数据可以在电话通话模式的情况下转换为可经由射频单元101发送到移动通信基站的格式输出。麦克风1042可以实施各种类型的噪声消除(或抑制)算法以消除(或抑制)在接收和发送音频信号的过程中产生的噪声或者干扰。

移动终端100还包括至少一种传感器105，比如光传感器、运动传感器以及其他传感器。具体地，光传感器包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板1061的亮度，接近传感器可在移动终端100移动到耳边时，关闭显示面板1061和/或背光。作为运动传感器的一种，加速计传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别手机姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于手机还可配置的指纹传感器、压力传感器、虹膜传感器、分子传感器、陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

显示单元106用于显示由用户输入的信息或提供给用户的信息。显示单元106可包括显示面板1061，可以采用液晶显示器(Liquid Crystal Display，LCD)、有机发光二极管(Organic Light-Emitting Diode,OLED)等形式来配置显示面板1061。

用户输入单元107可用于接收输入的数字或字符信息，以及产生与移动终端的用户设置以及功能控制有关的键信号输入。具体地，用户输入单元107可包括触控面板1071以及其他输入设备1072。触控面板1071，也称为触摸屏，可收集用户在其上或附近的触摸操作(比如用户使用手指、触笔等任何适合的物体或附件在触控面板1071上或在触控面板1071附近的操作)，并根据预先设定的程式驱动相应的连接装置。触控面板1071可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器110，并能接收处理器110发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触控面板1071。除了触控面板1071，用户输入单元107还可以包括其他输入设备1072。具体地，其他输入设备1072可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种，具体此处不做限定。

进一步的，触控面板1071可覆盖显示面板1061，当触控面板1071检测到在其上或附近的触摸操作后，传送给处理器110以确定触摸事件的类型，随后处理器110根据触摸事件的类型在显示面板1061上提供相应的视觉输出。虽然在图1中，触控面板1071与显示面板1061是作为两个独立的部件来实现移动终端的输入和输出功能，但是在某些实施例中，可以将触控面板1071与显示面板1061集成而实现移动终端的输入和输出功能，具体此处不做限定。

接口单元108用作至少一个外部装置与移动终端100连接可以通过的接口。例如，外部装置可以包括有线或无线头戴式耳机端口、外部电源(或电池充电器)端口、有线或无线数据端口、存储卡端口、用于连接具有识别模块的装置的端口、音频输入/输出(I/O)端口、视频I/O端口、耳机端口等等。接口单元108可以用于接收来自外部装置的输入(例如，数据信息、电力等等)并且将接收到的输入传输到移动终端100内的一个或多个元件或者可以用于在移动终端100和外部装置之间传输数据。

存储器109可用于存储软件程序以及各种数据。存储器109可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器109可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

处理器110是移动终端的控制中心，利用各种接口和线路连接整个移动终端的各个部分，通过运行或执行存储在存储器109内的软件程序和/或模块，以及调用存储在存储器109内的数据，执行移动终端的各种功能和处理数据，从而对移动终端进行整体监控。处理器110可包括一个或多个处理单元；优选的，处理器110可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器110中。

移动终端100还可以包括给各个部件供电的电源111(比如电池)，优选的，电源111可以通过电源管理系统与处理器110逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。

尽管图1未示出，移动终端100还可以包括蓝牙模块等，在此不再赘述。

为了便于理解本发明实施例，下面对本发明的移动终端所基于的通信网络系统进行描述。

请参阅图2，图2为本发明实施例提供的一种通信网络系统架构图，该通信网络系统为通用移动通信技术的LTE系统，该LTE系统包括依次通讯连接的UE(User Equipment，用户设备)201，E-UTRAN(Evolved UMTS Terrestrial Radio Access Network，演进式UMTS陆地无线接入网)202，EPC(Evolved Packet Core，演进式分组核心网)203和运营商的IP业务204。

具体地，UE201可以是上述终端100，此处不再赘述。

E-UTRAN202包括eNodeB2021和其它eNodeB2022等。其中，eNodeB2021可以通过回程(backhaul)(例如X2接口)与其它eNodeB2022连接，eNodeB2021连接到EPC203，eNodeB2021可以提供UE201到EPC203的接入。

EPC203可以包括MME(Mobility Management Entity，移动性管理实体)2031，HSS(Home Subscriber Server，归属用户服务器)2032，其它MME2033，SGW(Serving Gate Way，服务网关)2034，PGW(PDN Gate Way，分组数据网络网关)2035和PCRF(Policy andCharging Rules Function，政策和资费功能实体)2036等。其中，MME2031是处理UE201和EPC203之间信令的控制节点，提供承载和连接管理。HSS2032用于提供一些寄存器来管理诸如归属位置寄存器(图中未示)之类的功能，并且保存有一些有关服务特征、数据速率等用户专用的信息。所有用户数据都可以通过SGW2034进行发送，PGW2035可以提供UE 201的IP地址分配以及其它功能，PCRF2036是业务数据流和IP承载资源的策略与计费控制策略决策点，它为策略与计费执行功能单元(图中未示)选择及提供可用的策略和计费控制决策。

IP业务204可以包括因特网、内联网、IMS(IP Multimedia Subsystem，IP多媒体子系统)或其它IP业务等。

虽然上述以LTE系统为例进行了介绍，但本领域技术人员应当知晓，本发明不仅仅适用于LTE系统，也可以适用于其他无线通信系统，例如GSM、CDMA2000、WCDMA、TD-SCDMA以及未来新的网络系统等，此处不做限定。

基于上述移动终端硬件结构以及通信网络系统，提出本发明方法各个实施例。

实施例一

基于前述的实施例，本发明实施例提供一种安全控制方法，该方法应用于终端，该方法所实现的功能可以通过终端中的处理器调用程序代码来实现，当然程序代码可以保存在计算机存储介质中，可见，该终端至少包括处理器和存储介质。

图3为本发明实施例一中的安全控制方法的流程示意图，该方法可应用于图4所示的智能家居系统中的控制终端，如图4所示，控制终端通过控制服务器与电视、洗衣机、冰箱、空调等家电设备连接，以实现控制终端对家电设备的控制，其中，控制终端可以WIFI、蓝牙等局域网的方式与控制服务器近距离相连，也可以移动网络的方式与控制服务器进行远程连接。如图3所示，该方法包括：

S301、运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；

其中，所述控制应用程序被所述可信任应用程序授权；

这里，控制终端中安装有对被控设备进行控制的控制应用程序，并且该控制应用程序被安全可执行环境(Trusted Execution Environment，TEE)的可信任应用程序(Trusted Application，TA)授权。

当控制终端与控制服务器建立连接以接入控制服务器并通过控制服务器对与控制服务器连接的被控设备进行控制时，控制服务器的控制应用程序向控制服务器发起认证请求。这里，控制终端与控制服务器之间的连接可为近距离连接，比如：通过WIFI、蓝牙等连接方式，此时，控制终端以局域网的方式接入控制服务器，对被控设备进行近距离控制；控制终端与控制服务器之间的连接可为远端连接，比如：移动网络，此时，控制终端通过数据网络接入控制服务器，对被控设备进行远程控制。被控设备包括电视机、空调洗衣机等与控制服务器连接的智能家电设备。通过控制终端、控制服务器与至少一个被控设备的连接，组成了通过控制终端控制被控设备的智能家居系统，实现对被控设备的智能控制。

当控制服务器接收到控制终端的认证请求后，控制服务器对认证请求进行解析确定控制终端是否启动认证流程。其中，可通过对认证请求的解析确定控制终端的认证信息：比如，终端标识，通过认证信息确定是否启动认证流程。当接入的控制终端为控制服务器已授权的控制终端时，则启动认证流程，否侧，不启动认证流程。这里，当控制终端为与控制服务器关联，且可对被控设备进行控制的终端设备时，认为该控制终端为授权的控制终端。当控制服务器根据认证信息确定当前发送认证请求的控制终端为已授权的控制终端时，向控制终端返回认证通知消息，通知控制终端启动认证流程。

当控制终端接收到控制服务器的认证通知消息时，启动认证流程，通过控制应用程序生成第一认证秘钥，这里，对控制应用程序授权的可信任程序运行在安全可执行环境中。可信任应用程序可在启动认证流程之前运行，也基于认证通知消息的触发在启动认证流程之后开始运行，以实现对控制应用程序的安全监控。

所述通过控制应用程序生成的第一认证秘钥包括：所述控制应用程序生成第一秘钥并发送至所述可信任应用程序；所述可信任应用程序在安全可执行环境中对所述第一秘钥进行内部逻辑验证生成第一认证秘钥，将所述第一认证秘钥发送至所述控制应用程序。具体的，控制应用程序根据秘钥生成算法生成第一秘钥，将生成的第一秘钥发送至可信任应用程序，可信任应用程序和硬件加密芯片进行秘钥逻辑的交换，根据第一秘钥生成动态的第一认证秘钥，以提高安全等级；可信任应用程序将生成的第一认证秘钥发送至控制应用程序，其中，生成第一秘钥的秘钥算法在本发明实施例中不进行限定，可为现有的秘钥生成算法，也可由用户自定义。

当控制应用程序接收到可信任应用程序发送的第一认证消息时，控制应用程序将第一认证秘钥携带在认证消息中发送至控制服务器，由控制服务器进行认证。

这里，控制服务器中存储有进行认证的第二认证秘钥，控制服务器将从控制终端接收到的第一认证秘钥和存储的第二认证秘钥进行匹配确定认证结果。当控制服务器确定第一认证秘钥与第二认证秘钥匹配时，确定该控制终端认证成功，向控制终端返回认证成功消息。

S302、在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。

在控制终端接收到控制服务器发送的认证成功消息时，完成控制终端的认证，此时，确定控制终端的控制级别。

在本发明实施例中，控制终端对被控设备的控制权项包括多个控制级别，其中，不同的控制终端可具有不同的控制级别，同一个控制终端在不同的控制状态下可对应不同的控制级别；对于被控设备，不同的控制级别对被控设备的控制权限不同，级别越高对应的控制权限越高，比如：控制状态为正常模式的手机相对于儿童模式的手机的控制级别要高，又比如：作为主控终端的终端A的控制级别高于控制终端B的控制级别，控制终端A可对被控设备进行全部功能控制，控制终端B对被控设备进行部分功能控制，或对部分被控设备进行部分功能控制。又比如：在家里的控制终端A以局域网的方式接入控制服务器，可对家里的被控设备进行全部功能控制；在单位的控制终端A以网络的方式接入控制服务器，可对家里的被控设备进行部分功能控制。

在确定控制终端的控制级别时，可根据本地设置的控制策略确定控制终端的控制级别，其中，这里本地设置为控制终端以局域网的方式接入控制服务器即控制终端相对于被控设备在本地状态下进行的设置。因此，本方案中，本地设置的控制策略能够避免控制终端在远程状态下对控制策略进行设置或修改，防止非法控制终端冒充控制终端对被控设备的控制策略进行远程的修改，提高被控设备的安全性。

本发明实施例中，本地设置的控制策略可存储在控制终端上，也可存储在控制服务器中，本发明实施例对此不进行限制。当本地设备的控制策略设置在控制服务器中时，控制终端可将自身的终端信息、接入方式等接入信息发送至控制服务器，并接收控制服务器确定的控制级别，也可向控制服务器获取控制策略，在控制终端上确定当前控制终端的控制级别。

当确定控制级别后，控制终端对被控设备的控制操作根据控制级别来确定。例如：当被控设备为空调时，一级，包括开启、关闭、调节温度、湿度等所有功能；二级，只包括开启、关闭的功能。当确定控制终端C的控制级别为二级时，只能对空调进行开启和关闭。又例如：被控设备包括电视机、空调、洗衣机、液化气等多个被控设备时，一级对应全部的被控设备的全部功能，二级对应除液化气以外的被控设备的全部功能，三级对应除液化气以外的控制设备的部分功能。在本发明中，不同控制级别对智能家居系统中的被控设备的控制权限可根据需要进行设置，本发明对此不进行限制。

这里，本发明实施例提供的安全控制方法，运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。一方面，对被控设备进行操作控制的控制应用程序需经过运行在安全可执行环境中的可信任应用程序的授权，在认证过程中，其生成第一秘钥的过程受可信任应用程序的参与，提高控制终端的认证的安全性，极大的提高了其安全等级。另一方面，用于确定控制终端的控制级别的控制策略为本地设置，防止了非法终端远程恶意修改控制策略的问题的发生。

实施例二

基于前述的实施例，本发明实施例提供一种安全控制方法，该方法应用于终端，该方法所实现的功能可以通过终端中的处理器调用程序代码来实现，当然程序代码可以保存在计算机存储介质中，可见，该终端至少包括处理器和存储介质。

图5为本发明实施例二中的安全控制方法的流程示意图，具体包括：

S501、接入所述控制服务器并通过所述控制服务器校验后，通过控制应用程序生成第二认证秘钥，所述控制应用程序将生成的第二认证秘钥发送至所述控制服务器进行存储；

这里，当控制终端首次接入控制服务器或基于修改认证秘钥的指令的触发进行设置或重设认证秘钥时，对存储在控制服务器中用于对控制终端进行认证的第二秘钥进行设置或修改。其中，当一控制终端首次接入控制服务器时，设置对该控制终端认证的第二认证秘钥；当对一控制终端进行认证的第二认证秘钥进行修改时，可以新的第二认证秘钥覆盖原旧的第二认证秘钥。

当控制终端首次接入控制服务器时，控制终端向控制服务器发送校验请求，在控制终端通过控制服务器的校验时，启动运行在控制终端的安全可执行环境中的可信任应用程序，此时，由控制应用程序生成第二秘钥，并将第二秘钥发送至可信任应用程序，由可信任应用程序结合硬件加密芯片进行秘钥逻辑的交换，根据第二秘钥生成第二认证秘钥，并将生成的第二认证秘钥发送至控制服务器。当控制终端接收到对控制终端进行认证的第二认证秘钥的修改认证秘钥的指令时，基于该指令的触发由控制应用程序生成第二秘钥，并将第二秘钥发送至可信任应用程序，由可信任应用程序结合硬件加密芯片进行秘钥逻辑的交换，根据第二秘钥生成第二认证秘钥，并将生成的第二认证秘钥发送至控制服务器。

控制服务器接收第二认证秘钥并在控制服务器再次接入控制服务器，通过存储的第二认证秘钥和从控制终端接收的第一认证秘钥进行匹配对控制终端进行认证，在认证通过后，控制终端通过控制服务器对被控设备进行控制。

需要说明的是，当控制终端生成一第二认证秘钥并发送至控制服务器中时，在接收到修改认证秘钥的指令之前生成第一认证秘钥时可信任应用程序和硬件加密芯片所使用的秘钥逻辑的交换的算法相同。其中，通过可信任应用程序和硬件加密芯片的秘钥逻辑的交换对控制应用程序生成的第一秘钥或第二秘钥进行内部逻辑验证，从而提高控制终端生成的第一认证秘钥或第二认证秘钥的安全性，具体的秘钥逻辑的交换的算法可根据需要进行设置，本发明对此不进行限定。

S502、运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；

当控制服务器接收到控制终端发送的第一认证秘钥时，将接收的第一认证秘钥和存储的第二认证秘钥进行匹配，确认二者匹配时，向控制终端发送认证成功消息以响应接收的认证消息。

S503、在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。

本发明实施例提供的安全控制方法中，用于控制服务器对控制终端进行验证的第二认证秘钥和第一认证秘钥的生成基于控制终端的可信任应用程序和硬件加密芯片的内部逻辑检验，从而提高认证的可靠性。在非法终端即使拦截到进行认证的认证消息本身时，也无法对拦截的认证消息进行正确的解析，有效防止了非法终端伪装成控制终端对被控设备进行控制，提高了被控设备的控制安全性。

实施例三

基于前述的实施例，本发明实施例提供一种安全控制方法，该方法应用于终端，该方法所实现的功能可以通过终端中的处理器调用程序代码来实现，当然程序代码可以保存在计算机存储介质中，可见，该终端至少包括处理器和存储介质。

图6为本发明实施例三中的安全控制方法的流程示意图，具体包括：

S601、当设置控制策略时，判断所述控制终端接入所述控制服务器的接入方式，当所述控制终端本地接入所述控制服务器时，根据接入信息设置控制策略；其中，接入信息包括以下信息中的至少之一：控制终端的终端信息、控制终端接入控制服务器的接入方式以及控制终端接入控制服务器的接入距离。

在本发明实施例中，用于确定一控制终端对被控设备的控制功能的控制策略为本地设置，具体的，当控制终端接收到设置控制策略的指令以进行控制策略的设置时，首先，判断控制终端当前接入控制服务器的接入方式，控制终端接入控制服务器的方式包括本地接入和远端接入，其中，本地接入即近端接入，控制终端以局域网的方式接入控制服务器。当控制终端以局域网的方式接入控制服务器时，对控制策略进行设置。

在设置控制策略时，可根据接入信息来设置控制策略，接入信息包括：表征控制终端身份的终端信息、表征控制终端是否在本地的接入方式，以及表征控制终端与控制服务器的位置关系的接入距离。

这里，通过控制终端的终端信息可识别不同的控制终端，对应不同的控制终端设置不同的控制级别。比如：控制终端A为主控终端，设置其对应的控制级别为一级，控制终端B为非主控终端，设置其对应的控制级别为二级，其中，一级的控制级别高于二级，一级对应的控制权限高于二级对应的控制权限。

在实际应用中，通过控制终端的终端信息还可确认控制终端所处的工作模式，可设置不同的工作模式对应的控制级别不同，比如：当终端处于正常模式时，其对应的控制级别为一级，当终端处于儿童模式时，其对应的控制级别为二级，其中，一级的控制级别高于二级，一级对应的控制权限高于二级对应的控制权限。

在本发明实施例中，可设置本地接入的控制级别高于远端接入的控制级别，使得终端在家里的控制权限大于没在家里时对被控设备的控制权限。

根据控制终端接入控制服务器的接入距离设置控制策略时，可根据距离范围来设置各距离范围对应的控制级别，比如：接入距离为0-50米时，对应的控制级别为1级，接入距离为50-100米时，对应的控制级别为2级，其中，一级的控制级别高于二级，一级对应的控制权限高于二级对应的控制权限。

在本发明实施例中，在设置控制策略时，可根据接入信息中的一种设置控制级别，也可通过接入信息中的几种的组合来设置对应的控制级别。

需要说明的是，对于非主控终端的控制终端而言，在本地进行控制策略的设置时，可在确定该控制终端为本地接入时，进一步向主控终端发送请求消息，以确认该控制终端是否能够对控制策略进行设置，在主控终端返回确认消息时，该控制终端进行控制策略的设置。

S602、运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；

S603、在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。

其中，所述根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制包括：获取控制终端接入控制服务器的接入信息，根据所述控制策略确定接入信息对应的控制级别，根据所述控制级别确定所述控制级别对应的控制功能，对所述被控设备进行所述控制功能对应的控制。

这里，可根据S601步骤中设置的控制略的接入信息的获取确定控制级别所需要的接入信息，根据获取的接入信息及控制策略确定当前控制终端的控制级别，并进一步根据控制级别确定当前控制终端能对被控设备进行控制操作以对被控设备进行控制。

在实际使用中，设置的控制策略可存储控制终端中，也可存储在控制服务器中。当确定控制级别时，可将接入信息发送至控制服务器，由控制服务器确定当前控制终端的控制级别并返回至当前控制终端，也可将控制策略存储在主控终端中，当确定控制级别时，可将接入信息发送至主控终端，由主控终端确定当前控制终端的控制级别并返回至当前控制终端。

需要说明的是，主控终端为所有的控制中具备最高控制级别的控制终端，其可控制其他控制终端对被控设备的控制。

在本发明实施例中，控制策略为控制终端在本地进行设置，从而避免非法终端对控制策略的修改，使得非法终端对控制策略无法进行修改，保证了控制策略的安全性，从而保证了被控设备的操作安全性。进一步的，根据接入信息设置安全策略，从而对于不同的控制终端在不同的接入情况下具备不同的控制级别，同一控制终端在不同的状态下具备不同的控制级别。

实施例四

基于前述的实施例，本发明实施例提供一种安全控制方法，该方法应用于包括控制终端、控制服务器和被控设备的智能家居系统，其中，智能家居系统的结构可参见如图4所示的智能家居系统。

图7为本发明实施例四中的安全控制方法的流程示意图，具体包括：

S701、控制终端向控制服务器发接入请求；

控制终端通过控制应用程序(app)发起接入请求给控制服务器，其中，接入请求携带包括终端身份信息等请求接入的请求信息。

S702、控制服务器对控制终端进行校验；

控制服务器通过对请求信息对控制终端进行校验，当校验通过之后，控制终端通过接入校验授权单元发送接入响应消息给控制终端的控制应用程序。

S703、控制终端启动TEE安全环境，启动安全认证，生成第二认证秘钥；

控制应用程序生成第二秘钥，将第二秘钥发送至TA，TA和硬件加密芯片进行秘钥交换和配合，生成用于认证的第二认证秘钥，TA将第二认证秘钥发送给控制应用程序。这里，通过TA和硬件加密芯片进行秘钥交换和配合。

S704、控制终端将第二认证秘钥发送给控制服务器；

控制应用程序将第二认证秘钥发送给控制服务器，服务器存储此认证秘钥作为再次接入的校验秘钥。

S705、控制终端设置控制策略；

控制终端的控制应用程序在本地与被控设备1至被控设备N完成安全控制的授权和认证。这里，在授权和认证过程中，可设置控制策略，即控制终端对每个被控设备的控制能力，生成控制策略，比如：设定控制约束条件，如只有在一定距离内才能控制设备，通过网络只能设备启动某些功能的控制，或者不允许改移动终端控制该设备等等。

S706、控制终端远程接入控制服务器；

这里，控制终端通过远程网络接入控制服务器，通过网络去控制被控设备。此时，控制终端向控制服务器发起认证请求，远端控制启动认证流程。

S707、控制服务器根据认证信息启动认证流程并告知移动终端认证启动；

S708、移动终端生成第一认证秘钥并发送至控制服务器；

控制应用程序生成第一秘钥，发送至在TEE上运行的TA，TA结合硬件加密芯片的安全交互，生成动态认证秘钥，即第一认证秘钥，并发送给控制应用程序。

S709、控制服务器对控制终端进行认证校验；

控制服务器接收控制应用程序发送的第一认证秘钥，控制服务器根据存储的第二认证秘钥对接收的第一认证秘钥进行校验，校验通过后通知控制终端认证成功。

S710、控制终端对被控设备进行控制；

控制终端确定认证成功后，确定当前对应的控制级别，对根据控制界别对应的控制设备实现相应的控制。

这里，当通过控制终端对被控设备进行控制时，可通过具体的控制界面对被控设备进行控制操作。其中，对于不同的控制级别，可具备不同的功能，例如，当控制终端作为主控终端对冰箱进行设置时，显示的控制可如图8A所示，当控制终端的控制级别低于主控终端时，其控制权限小于主控终端，比如：人工智能、自定模式的功能不允许进行控制时，可如图8B所示，将无法进行控制的功能人工智能和自定模式显示为不可用，此时通过控制终端对不可用的功能进行操作时，控制终端不响应。

实施例五

基于前述的方法实施例，本发明实施例提供一种终端，如图9所示，所述终端包括：存储器901、处理器902及存储在存储器902上并可在处理器901上运行的安全控制程序，处理器902执行所述安全控制程序，以实现：

运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。

处理器执行所述安全控制程序时，实现所述通过控制应用程序生成第一认证秘钥包括：所述控制应用程序生成第一秘钥并将所述第一秘钥发送至所述可信任应用程序；所述可信任应用程序在安全可执行环境中对所述第一秘钥进行内部逻辑验证生成第一认证秘钥，将所述第一认证秘钥发送至所述控制应用程序。

所述处理器执行所述安全控制程序时，还实现：接入所述控制服务器并通过所述控制服务器校验后，通过控制应用程序生成第二认证秘钥，所述控制应用程序将生成的第二认证秘钥发送至所述控制服务器进行存储；其中，当所述控制服务器确定接收到所述第一认证秘钥和存储的所述第二认证秘钥匹配时，发送响应所述认证消息的认证成功消息。

所述处理器执行所述安全控制程序时，还实现：当设置控制策略时，判断所述终端接入所述控制服务器的接入方式，当所述终端本地接入所述控制服务器时，根据接入信息设置控制策略；其中，接入信息包括以下信息中的至少之一：所述终端的终端信息、所述终端接入控制服务器的接入方式以及所述终端接入控制服务器的接入距离。

实施例六

为实现上述方法，本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有安全控制程序，所述安全控制程序被处理器执行时实现：运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。

所述安全控制程序被处理器执行时实现所述通过控制应用程序生成第一认证秘钥包括：所述控制应用程序生成第一秘钥并将所述第一秘钥发送至所述可信任应用程序；所述可信任应用程序在安全可执行环境中对所述第一秘钥进行内部逻辑验证生成第一认证秘钥，将所述第一认证秘钥发送至所述控制应用程序。

所述安全控制程序被处理器执行时还实现：接入所述控制服务器并通过所述控制服务器校验后，通过控制应用程序生成第二认证秘钥，所述控制应用程序将生成的第二认证秘钥发送至所述控制服务器进行存储；其中，当所述控制服务器确定接收到所述第一认证秘钥和存储的所述第二认证秘钥匹配时，发送响应所述认证消息的认证成功消息。

所述安全控制程序被处理器执行时还实现：当设置控制策略时，判断所述控制终端接入所述控制服务器的接入方式，当所述控制终端本地接入所述控制服务器时，根据接入信息设置控制策略；其中，接入信息包括以下信息中的至少之一：控制终端的终端信息、控制终端接入控制服务器的接入方式以及控制终端接入控制服务器的接入距离。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护之内。

Claims (10)

1.一种安全控制方法，其特征在于，应用于控制终端，所述方法包括：

运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；

在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。

2.根据权利要求1所述的方法，其特征在于，所述通过控制应用程序生的第一认证秘钥包括：

所述控制应用程序生成第一秘钥并将所述第一秘钥发送至所述可信任应用程序；

所述可信任应用程序在安全可执行环境中对所述第一秘钥进行内部逻辑验证生成第一认证秘钥，将所述第一认证秘钥发送至所述控制应用程序。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接入所述控制服务器并通过所述控制服务器校验后，通过控制应用程序生成第二认证秘钥，所述控制应用程序将生成的第二认证秘钥发送至所述控制服务器进行存储；

其中，当所述控制服务器确定接收到所述第一认证秘钥和存储的所述第二认证秘钥匹配时，发送响应所述认证消息的认证成功消息。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当设置控制策略时，判断所述控制终端接入所述控制服务器的接入方式，当所述控制终端本地接入所述控制服务器时，根据接入信息设置控制策略；

其中，接入信息包括以下信息中的至少之一：控制终端的终端信息、控制终端接入控制服务器的接入方式以及控制终端接入控制服务器的接入距离。

5.根据权利要求4所述的方法，其特征在于，所述根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制包括：

获取控制终端接入控制服务器的接入信息，根据所述控制策略确定接入信息对应的控制级别，根据所述控制级别确定所述控制级别对应的控制功能，对所述被控设备进行所述控制功能对应的控制。

6.一种终端，其特征在于，所述终端包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的安全控制程序，所述处理器执行所述安全控制程序，以实现：

运行安全可执行环境中的可信任应用程序，通过控制应用程序生成第一认证秘钥，将携带所述第一认证秘钥的认证消息发送至控制服务器；其中，所述控制应用程序被所述可信任应用程序授权；

在接收到所述控制服务器发送的响应所述认证消息的认证成功消息后，根据本地设置的控制策略确定控制级别，根据确定的控制级别对被控设备进行控制。

7.根据权利要求6所述的终端，其特征在于，所述处理器执行所述安全控制程序时，实现所述通过控制应用程序生成第一认证秘钥包括：

所述控制应用程序生成第一秘钥并将所述第一秘钥发送至所述可信任应用程序；

所述可信任应用程序在安全可执行环境中对所述第一秘钥进行内部逻辑验证生成第一认证秘钥，将所述第一认证秘钥发送至所述控制应用程序。

8.根据权利要求6所述的终端，其特征在于，所述处理器执行所述安全控制程序时，还实现：

接入所述控制服务器并通过所述控制服务器校验后，通过控制应用程序生成第二认证秘钥，所述控制应用程序将生成的第二认证秘钥发送至所述控制服务器进行存储；

其中，当所述控制服务器确定接收到所述第一认证秘钥和存储的所述第二认证秘钥匹配时，发送响应所述认证消息的认证成功消息。

9.根据权利要求6所述的终端，其特征在于，所述处理器执行所述安全控制程序时，还实现：

当设置控制策略时，判断所述终端接入所述控制服务器的接入方式，当所述终端本地接入所述控制服务器时，根据接入信息设置控制策略；

其中，接入信息包括以下信息中的至少之一：所述终端终端信息、所述终端接入控制服务器的接入方式以及所述终端接入控制服务器的接入距离。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有安全控制程序，所述安全控制程序被处理器执行时实现如权利要求1至5中任一项所述的安全控制方法。