CN108319857B - 可信应用的加解锁方法和系统 - Google Patents

Abstract

本发明公开了一种可信应用的加解锁方法和系统，涉及通信技术领域，其中的方法包括：运行在终端上的TEE管理模块接收到对于可信应用的操作指令；TEE管理模块确定是否通过安全通道接收操作指令，如果否，则对操作指令进行验证；如果验证通过或通过安全通道接收到操作指令，则TEE管理模块执行操作指令，对与操作指令相对应的可信应用进行处理。本发明的加解锁方法、装置、终端以及系统，能够根据实际需要对指定的可信应用执行锁定和解锁，锁定后的可信应用不能被操作，避免在终端借出、丢失等情况下，安装在终端中的可信应用被调用所造成的信息泄露或财产损失，可以提高终端中TEE侧的可信应用的安全性，提高用户使用的感受度。

Description

可信应用的加解锁方法和系统

技术领域

本发明涉及通信技术领域，尤其涉及一种可信应用的加解锁方法和系统。

背景技术

随着移动通信技术的发展，移动智能终端已成为移动终端的发展趋势。目前，智能终端大多集成了可信执行环境(TEE，Trusted Execution Environment)，终端中的应用执行环境包括多样执行环境(REE，Rich Execution Environment)和TEE。TEE由可信应用(TA，Trusted Application)、内部应用程序编辑接口以及可信操作系统(Trusted OS，TrustedOperating System)组成。TEE是终端中一块独立的区域，向该区域安装应用受管理服务器平台控制；该区域可接管关键设备、提供硬件级别的安全隔离、以及保护资源和执行可信代码。TA运行在TEE系统中的可信应用，为相应的CA提供安全服务，如输入密码，保存交易记录等。

TEE技术能够解决当前移动智能终端存在的安全风险，构造了一个与移动智能终端操作系统隔离的安全运行环境，为授权的安全软件(可信应用)提供了安全的执行环境。但是，在日常生活中，用户时常遇到移动终端外借他人或者丢失等情况。由于目前的可信应用的使用不受限制，安装后即可被调用，其他人可能会非法使用移动终端安装的可信应用，给用户的财产带来巨大的损失。

发明内容

有鉴于此，本发明要解决的一个技术问题是提供一种可信应用的加解锁方法和系统。

根据本发明的一个方面，提供一种可信应用的加解锁方法，包括：运行在终端上的TEE管理模块接收到对于可信应用的操作指令，其中，所述操作指令包括：对于可信应用的锁定指令、解锁指令；所述TEE管理模块确定是否通过安全通道接收所述操作指令，如果否，则对所述操作指令进行验证；如果通过验证或通过安全通道接收到所述操作指令，则所述TEE管理模块执行所述操作指令，对所述可信应用进行相应地处理，其中，所述处理包括：加锁处理、解锁处理。

可选地，所述TAM服务器生成所述操作指令，并通过运行在终端上的可信服务管理TAM代理模块将所述操作指令发送至所述TEE管理模块。

可选地，所述TEE管理模块接收到第三方应用通过所述TAM代理模块发送的对于可信应用的操作请求；所述TEE管理模块基于所述操作请求生成对于可信应用的第一操作请求指令，并通过所述TAM代理模块向所述TAM服务器发送所述第一操作请求指令，其中，所述第一操作请求指令包括：对于可信应用的锁定请求指令、对于可信应用的解锁请求指令；或者，所述TAM服务器通过其提供的外部接口接收到对于可信应用的第二操作请求指令；其中，所述第二操作请求指令包括：对于可信应用的锁定请求指令、解锁请求指令；所述TAM服务器根据所述第一操作请求指令或所述第二操作请求指令生成所述操作指令。

可选地，所述TAM服务器通过其提供的外部接口接收到对于可信应用的第二操作请求指令包括：所述TAM服务器接收客户端发送的可信应用操作网页访问请求，将可信应用操作网页发送给所述客户端；所述TAM服务器接收到通过所述可信应用操作网页提交的所述第二操作请求指令。

可选地，所述TAM服务器不对所述操作指令进行加密处理，采用明文方式将所述操作指令通过所述TAM代理模块发送给所述TEE管理模块。

可选地，所述TAM服务器通过所述TAM代理模块与所述TEE管理模块建立安全通道，通过安全通道将所述操作指令发送给所述TEE管理模块；或者，所述TAM服务器生成带有认证信息的所述操作指令,并通过所述TAM代理模块发送给所述TEE管理模块；如果所述TEE管理模块对带有认证信息的所述操作指令认证成功，则执行所述操作指令。

可选地，所述TAM服务器通过所述TAM代理模块与所述TEE管理模块建立安全通道、通过安全通道将所述操作指令发送给所述TEE管理模块包括：所述TAM服务器通过所述TAM代理模块与所述TEE管理模块进行双向认证，如果双向认证成功，则建立安全通道；所述TAM服务器通过安全通道将所述操作指令发送给所述TEE管理模块；所述TEE管理模块执行所述操作指令，将执行结果通过安全通道发送给所述TAM服务器，或者通过所述TAM代理模块发送给第三方应用。

可选地，如果所述TEE管理模块接收到第三方应用通过所述TAM代理模块发送的对于可信应用的操作请求，则所述TEE管理模块将所述第一操作请求指令和服务器端认证信息通过所述TAM代理模块发送给所述TAM服务器；在所述TAM服务器对所述第一操作请求指令和服务器端认证信息验证成功后，所述TAM服务器根据所述操作请求指令生成所述操作指令。

可选地，所述TAM服务器生成带有认证信息的所述操作指令、并通过所述TAM代理模块发送给所述TEE管理模块包括：所述TAM服务器生成一组随机数，使用随机数加密所述操作指令；所述TAM服务器获取与所述TEE管理模块共享的公钥，使用所述公钥加密所述随机数；所述TAM服务器将所述操作指令的加密结果、随机数的加密结果、服务端证书链通过所述TAM代理模块发给所述TEE管理模块。

可选地，所述如果所述TEE管理模块对带有认证信息的所述操作指令认证成功、则执行所述操作指令包括：所述TEE管理模块对所述服务端证书链进行验证，如果通过验证，所述TEE管理模块获取与此公钥对应的私钥，使用此私钥解密所述随机数的加密结果，获取所述随机数；所述TEE管理模块通过所述随机数解密所述操作指令的加密结果获取所述操作指令。

可选地，所述TEE管理模块执行所述操作指令，将执行结果通过所述TAM代理模块发送给第三方应用；或者，所述TEE管理模块将带有验证信息的执行结果通过所述TAM代理模块发送给所述TAM服务器；所述TAM服务器对所述带有验证信息的执行结果进行验证，如果通过验证，则获取所述执行结果。

根据本发明的另一方面，提供一种可信应用的加解锁系统，包括：运行在终端上的可信执行环境TEE管理模块；所述TEE管理模块，用于接收对于可信应用的操作指令，其中，所述操作指令包括：对于可信应用的锁定指令、解锁指令；确定是否通过安全通道接收所述操作指令，如果否，则对所述操作指令进行验证，如果通过验证或通过安全通道接收所述操作指令，则执行所述操作指令，对所述可信应用进行相应地处理，其中，所述处理包括：加锁处理、解锁处理。

可选地，还包括：运行在终端上的可信服务管理TAM代理模块和所述TAM服务器；所述TAM服务器，用于生成所述操作指令，并通过所述TAM代理模块将所述操作指令发送至所述TEE管理模块。

可选地，所述TEE管理模块，用于接收第三方应用通过所述TAM代理模块发送的对于可信应用的操作请求；基于所述操作请求生成对于可信应用的第一操作请求指令，并通过所述TAM代理模块向所述TAM服务器发送所述第一操作请求指令，其中，所述第一操作请求指令包括：对于可信应用的锁定请求指令、对于可信应用的解锁请求指令；或者，所述TAM服务器通过其提供的外部接口接收到对于可信应用的第二操作请求指令；其中，所述第二操作请求指令包括：对于可信应用的锁定请求指令、解锁请求指令；所述TAM服务器根据所述第一操作请求指令或所述第二操作请求指令生成所述操作指令。

可选地，所述TAM服务器，用于接收客户端发送的可信应用操作网页访问请求，将可信应用操作网页发送给所述客户端；接收到通过所述可信应用操作网页提交的所述第二操作请求指令。

可选地，所述TAM服务器，用于不对所述操作指令进行加密处理，采用明文方式将所述操作指令通过所述TAM代理模块发送给所述TEE管理模块。

可选地，所述TAM服务器，用于通过所述TAM代理模块与所述TEE管理模块建立安全通道，通过安全通道将所述操作指令发送给所述TEE管理模块；或者，所述TAM服务器，用于生成带有认证信息的所述操作指令,并通过所述TAM代理模块发送给所述TEE管理模块；如果所述TEE管理模块对带有认证信息的所述操作指令认证成功，则执行所述操作指令。

可选地，所述TAM服务器，用于通过所述TAM代理模块与所述TEE管理模块进行双向认证，如果双向认证成功，则建立安全通道；通过安全通道将所述操作指令发送给所述TEE管理模块；所述TEE管理模块，用于执行所述操作指令，将执行结果通过安全通道发送给所述TAM服务器，或者通过所述TAM代理模块发送给第三方应用。

可选地，所述TEE管理模块，用于如果接收到第三方应用通过所述TAM代理模块发送的对于可信应用的操作请求，则所述TEE管理模块将所述第一操作请求指令和服务器端认证信息通过所述TAM代理模块发送给所述TAM服务器；所述TAM服务器，用于在对所述第一操作请求指令和服务器端认证信息验证成功后，根据所述操作请求指令生成所述操作指令。

可选地，所述TAM服务器，用于生成一组随机数，使用随机数加密所述操作指令；获取与所述TEE管理模块共享的公钥，使用所述公钥加密所述随机数；将所述操作指令的加密结果、随机数的加密结果、服务端证书链通过所述TAM代理模块发给所述TEE管理模块。

可选地，所述TEE管理模块，用于对所述服务端证书链进行验证，如果通过验证，获取与此公钥对应的私钥，使用此私钥解密所述随机数的加密结果，获取所述随机数；通过所述随机数解密所述操作指令的加密结果获取所述操作指令。

可选地，所述TEE管理模块，用于执行所述操作指令，将执行结果通过所述TAM代理模块发送给第三方应用；或者，将带有验证信息的执行结果通过所述TAM代理模块发送给所述TAM服务器；所述TAM服务器，用于对所述带有验证信息的执行结果进行验证，如果通过验证，则获取所述执行结果。。

本发明可信应用的加解锁方法和系统，TEE管理模块接收到对于可信应用的操作指令，对操作指令进行验证，如果验证通过，则执行操作指令，对与操作指令相对应的可信应用进行加锁或解锁处理，能够根据实际需要对指定的可信应用执行锁定和解锁，避免在终端借出、丢失等情况下，安装在终端中的可信应用被调用所造成的信息泄露或财产损失，可以提高终端中TEE侧的可信应用的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为根据本发明的可信应用的加解锁方法的一个实施例的流程示意图；

图2为根据本发明的可信应用的加解锁方法的一个实施例中的TAM服务器发送操作指令的流程示意图；

图3为根据本发明的可信应用的加解锁方法的另一个实施例中的TAM服务器发送操作指令的流程示意图；

图4为根据本发明的可信应用的加解锁装置的另一个实施例的模块示意图。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

本发明实施例可以应用于计算机系统/服务器，其可与众多其它通用或专用计算系统环境或配置一起操作。适于与计算机系统/服务器一起使用的众所周知的计算系统、环境和/或配置的例子包括但不限于：个人计算机系统、服务器计算机系统、瘦客户机、厚客户机、手持或膝上设备、基于微处理器的系统、机顶盒、可编程消费电子产品、网络个人电脑、小型计算机系统﹑大型计算机系统和包括上述任何系统的分布式云计算技术环境，等等。

计算机系统/服务器可以在由计算机系统执行的计算机系统可执行指令(诸如程序模块)的一般语境下描述。通常，程序模块可以包括例程、程序、目标程序、组件、逻辑、数据结构等等，它们执行特定的任务或者实现特定的抽象数据类型。计算机系统/服务器可以在分布式云计算环境中实施，分布式云计算环境中，任务是由通过通信网络链接的远程处理设备执行的。在分布式云计算环境中，程序模块可以位于包括存储设备的本地或远程计算系统存储介质上。

下文中的“第一”、“第二”仅用于描述上相区别，并没有其它特殊的含义。

图1为根据本发明的可信应用的加解锁方法的一个实施例的流程示意图，如图1所示：

步骤101，运行在终端上的可信执行环境TEE管理模块接收到对于可信应用的操作指令，操作指令包括：锁定指令、解锁指令等。终端可以为智能手机、平板电脑等。

步骤102，TEE管理模块对操作指令进行验证，可以采用多种验证方法。如果确定通过安全通道接收所述操作指令，则不进行验证，执行此操作指令。

步骤103，如果验证通过，则TEE管理模块执行操作指令，对与操作指令相对应的可信应用进行处理，处理包括：对指定的可信应用执行锁定和解锁处理等。当可信应用被执行锁定处理后，则此可信应用暂时使用，直至此可信应用被执行解锁操作。

TEE管理模块可以运行在终端的TEE区域内，设置可信服务管理TAM(TrustedApplication Manager)代理模块，TAM代理模块可以运行在终端的REE区域内。TAM服务器生成操作指令，通过TAM代理模块将操作指令发送至TEE管理模块。

用户可以通过运行在终端中的第三方应用发起对终端中的可信应用进行加锁或解锁的请求。第三方应用可以为终端中安装的网银APP、电商APP、可信应用管理等。TEE管理模块基于接收到的操作请求生成对于可信应用的第一操作请求指令，并通过TAM代理模块向TAM服务器发送，第一操作请求指令包括：对于可信应用的锁定请求指令、解锁请求指令等。

用户也可以直接向TAM服务器发送对终端中的可信应用进行加锁或解锁的请求。TAM服务器通过其提供的外部接口接收到对于可信应用的第二操作请求指令。例如，TAM服务器接收用户通过客户端发送的可信应用操作网页访问请求，客户端可以为浏览器等。TAM服务器将可信应用操作网页发送给客户端，TAM服务器接收到用户通过可信应用操作网页提交的第二操作请求指令，第二操作请求指令包括：对于可信应用的锁定请求指令、解锁请求指令等。

TAM服务器根据第一操作请求指令或第二操作请求指令生成操作指令，并发送给TEE管理模块。TAM服务器发送操作指令可以采用多种方式。例如，TAM服务器采用明文方式将操作指令通过TAM代理模块发送给TEE管理模块；或者，TAM服务器通过TAM代理模块与TEE管理模块建立安全通道，通过安全通道将操作指令发送给TEE管理模块；或者，TAM服务器生成带有认证信息的操作指令,并通过TAM代理模块发送给TEE管理模块。

在一个实施例中，TAM服务器接收到对于可信应用的第一操作请求指令或第二操作请求指令，TAM服务器根据第一操作请求指令或第二操作请求指令生成操作指令，对于操作指令不加密，也不索要其他信息。TAM服务器通过TAM代理模块将操作指令采用明文方式发送给TEE管理模块，TEE管理模块执行操作指令。TEE管理模块可以对操作指令进行格式验证等。

图2为根据本发明的可信应用的加解锁方法的一个实施例中的TAM服务器发送操作指令的流程示意图，如图2所示：

步骤201，TAM服务器根据操作请求指令生成操作指令。

操作请求可以为第一操作请求指令或第二操作请求指令，例如，TAM服务器接收到的操作请求指令可以为用户通过网页等形式提交的第二操作请求指令，也可以为TEE管理模块发送的第一操作请求指令。

操作指令与第一操作请求指令或第二操作请求指令相对应，当第一操作请求指令或第二操作请求指令为锁定请求指令时，操作指令为锁定操作命令，当第一操作请求指令或第二操作请求指令为解锁请求指令时，操作指令为解锁操作指令。

步骤202，TAM服务器通过TAM代理模块与TEE管理模块进行双向认证，建立安全通道。进行双向认证的方法可以有多种，例如SCP02、SCP10或SSL等。

例如，TEE管理模块接收到第三方应用发送的操作请求,TEE管理模块通过TAM代理模块与TAM服务器进行双向认证，如果双向认证成功，则建立安全通道；或者，TAM服务器接收到第二操作请求指令，通过TAM代理模块与TEE管理模块进行双向认证，如果双向认证成功，则建立安全通道。

步骤203，TAM服务器通过安全通道将操作指令发送给TEE管理模块。

步骤205，TEE管理模块执行操作指令，将执行结果通过安全通道发送给所述TAM服务器或通过TAM代理模块发送给第三方应用。

图3为根据本发明的可信应用的加解锁方法的另一个实施例中的TAM服务器发送操作指令的流程示意图，如图3所示：

步骤301，TEE管理模块接收到第三方应用通过TAM代理模块发送的对于可信应用的操作请求。

步骤302，TEE管理模块将第一操作请求指令和服务器端认证信息通过TAM代理模块发送给TAM服务器。

第一操作请求指令和服务器端认证信息可以有多种形式。例如，TEE管理模块生成一组随机数，用此随机数加密第一操作请求指令，然后用TAM服务器的根证书加密这组随机数，将加密报文、随机数加密结果、证书链一起发给TAM服务器。

步骤303，在TAM服务器对第一操作请求指令和服务器端认证信息验证成功后，生成带有认证信息的操作指令,并通过TAM代理模块发送给TEE管理模块。

TAM服务器先解密随机数，再用此随机数解密报文，获得初始明文，即第一操作请求指令。生成带有认证信息的操作指令可以有多种方式。例如，TAM服务器生成一组随机数，使用随机数加密操作指令；TAM服务器获取与TEE管理模块共享的公钥，使用公钥加密随机数；TAM服务器将操作指令的加密结果、随机数的加密结果、服务端证书链通过TAM代理模块发给TEE管理模块。

步骤304，如果TEE管理模块对带有认证信息的操作指令认证成功，则执行操作指令。

例如，TEE管理模块对服务端证书链进行验证，如果通过验证，TEE管理模块获取与此公钥对应的私钥，使用此私钥解密随机数的加密结果，获取随机数；TEE管理模块通过随机数解密操作指令的加密结果获取操作指令。

TEE管理模块执行操作指令，将执行结果通过TAM代理模块发送给第三方应用；或者，TEE管理模块将带有验证信息的执行结果通过TAM代理模块发送给TAM服务器，TAM服务器对带有验证信息的执行结果进行验证，如果通过验证，则获取执行结果。

可以采用三级数字证书架构。TAM服务器拥有根证书(服务器端证书)，移动智能终端厂商拥有二级证书，移动智能终端拥有三级证书(终端证书)。TEE管理模块生成一组随机数，用此随机数加密报文，并对随机数进行加密。TAM服务器先解密随机数，再用此随机数解密报文，获得初始明文。TAM服务器生成报文时，生成一组随机数，用此随机数加密报文，然后用证书加密这组随机数，将加密报文和随机数加密结果一起反馈给TAM代理服务。

在一个实施例中，移动终端用户可以发起锁定/解锁处理，用户通过第三方应用调用可信应用之后，锁定此可信应用，使之无法被非法使用，需要使用时，再解锁此可信应用。也可以通过TAM服务器发起对可信应用的锁定/解锁处理，例如，用户丢失移动终端后，可以通过网页通知TAM服务器锁定特定设备的可信应用。当此移动设备再次启动第三方应用时，第三方应用发起下载/更新请求，TAM服务器会在建立安全通道之后，通知移动设备上的TEE管理模块锁定可信应用。

可以设置可信应用操作规则，当第三方应用基于可信应用操作规则确定需要对一个或多个可信应用进行加锁或解锁操作时，则向TAM代理模块发送操作请求。例如，确定在一定时间内调用可信应用的次数超过特定值，或者交易金额超过特定值，则锁定涉及的可信应用，满足特定条件后再解锁此可信应用。

第三方应用向TAM代理模块发送操作请求，TAM代理模块将操作请求发送给TEE管理模块，TEE管理模块对操作指令的验证包括：操作权限验证。例如，TEE管理模块接收到操作指令后，根据APP应用的权限信息判断发送此操作指令的第三方应用是否具有对目标可信应用执行锁定/解锁处理的权限。

上述实施例中提供的可信应用的加解锁方法，TEE管理模块接收到对于可信应用的操作指令，对操作指令进行验证，如果验证通过，则执行操作指令，对与操作指令相对应的可信应用进行加锁或解锁处理，避免在终端借出、丢失等情况下，安装在终端中的可信应用被调用所造成的信息泄露或财产损失，可以提高终端中TEE侧的可信应用的安全性，提高用户使用的感受度。

在一个实施例中，本发明提供一种可信应用的加解锁系统，如图4所示，可信应用的加解锁装置包括：运行在终端上的可信执行环境TEE管理模块411、可信服务管理TAM代理模块412和TAM服务器42。TEE管理模块411接收对于可信应用的操作指令，操作指令包括对于可信应用的锁定指令、解锁指令等。TEE管理模块411确定是否通过安全通道接收所述操作指令，如果否，则对操作指令进行验证，如果通过验证或通过安全通道接收所述操作指令，则执行操作指令，对可信应用1、2或3进行处理进行相应地处理，处理包括：加锁处理、解锁处理等。TAM服务器42生成操作指令，并通过TAM代理模块412将操作指令发送至TEE管理模块。

TEE管理模块411接收第三方应用413通过TAM代理模块412发送的对于可信应用的操作请求，基于操作请求生成对于可信应用的第一操作请求指令，并通过TAM代理模块向TAM服务器发送第一操作请求指令，第一操作请求指令包括对于可信应用的锁定请求指令、对于可信应用的解锁请求指令等。

或者，TAM服务器42通过其提供的外部接口接收到对于可信应用的第二操作请求指令，第二操作请求指令包括对于可信应用的锁定请求指令、解锁请求指令等。例如，TAM服务器42接收客户端发送的可信应用操作网页访问请求，将可信应用操作网页发送给客户端，接收通过可信应用操作网页提交的第二操作请求指令。TAM服务器42根据第一操作请求指令或第二操作请求指令生成操作指令。

在一个实施例中，TAM服务器42采用明文方式将操作指令通过TAM代理模块412发送给TEE管理模块411；或者，TAM服务器42通过TAM代理模块412与TEE管理模块411建立安全通道，通过安全通道将操作指令发送给TEE管理模块411；或者，TAM服务器42生成带有认证信息的操作指令,并通过TAM代理模块412发送给TEE管理模块411，如果TEE管理模块411对带有认证信息的操作指令认证成功，则执行操作指令。

TEE管理模块411接收到第三方应用413发送的操作请求,TEE管理模块411通过TAM代理模块412与TAM服务器42进行双向认证，如果双向认证成功，则建立安全通道；或者，TAM服务器42接收到第二操作请求指令，通过TAM代理模块412与TEE管理模块411进行双向认证，如果双向认证成功，则建立安全通道。

TAM服务器42通过安全通道将操作指令发送给TEE管理模块411。TEE管理模块411执行操作指令，将执行结果通过安全通道发送给TAM服务器42或通过TAM代理模块412发送给第三方应用。

如果接收到第三方应用通过TAM代理模块发送的对于可信应用的操作请求，则TEE管理模块411将第一操作请求指令和服务器端认证信息通过TAM代理模块412发送给TAM服务器42。TAM服务器42在对第一操作请求指令和服务器端认证信息验证成功后，根据操作请求指令生成操作指令。

在一个实施例中，TAM服务器42生成一组随机数，使用随机数加密操作指令。TAM服务器42获取与TEE管理模块411共享的公钥，使用公钥加密随机数，将操作指令的加密结果、随机数的加密结果、服务端证书链通过TAM代理模块412发给TEE管理模块411。TEE管理模块411对服务端证书链进行验证，如果通过验证，获取与此公钥对应的私钥，使用此私钥解密随机数的加密结果，获取随机数；TEE管理模块411通过随机数解密操作指令的加密结果获取操作指令。

TEE管理模块411执行操作指令，将执行结果通过TAM代理模块412发送给第三方应用；或者，将带有验证信息的执行结果通过TAM代理模块发送给TAM服务器42。TAM服务器42对带有验证信息的执行结果进行验证，用于对带有验证信息的执行结果进行验证，如果通过验证，则获取执行结果。

上述实施例中提供的可信应用的加解锁方法和系统，TEE管理模块接收到对于可信应用的操作指令，对操作指令进行验证，如果验证通过，则执行操作指令，对与操作指令相对应的可信应用进行加锁或解锁处理，能够根据实际需要对指定的可信应用执行锁定和解锁，锁定后的可信应用不能被操作，避免在终端借出、丢失等情况下，安装在终端中的可信应用被调用所造成的信息泄露或财产损失，可以提高终端中TEE侧的可信应用的安全性，提高用户使用的感受度。

可能以许多方式来实现本发明的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和系统。用于方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (17)

1.一种可信应用的加解锁方法，其特征在于，包括：运行在终端上TEE区域内的TEE管理模块(411)、运行在终端上TEE区域外的第三方应用(413)和TAM代理模块(412)以及TAM服务器(42)，

运行在终端上的TEE管理模块(411)接收到对于可信应用的操作指令，其中，所述操作指令包括：对于可信应用的锁定指令、解锁指令；

所述TEE管理模块(411)确定是否通过安全通道接收所述操作指令，如果否，则对所述操作指令进行验证；

如果通过验证或通过安全通道接收到所述操作指令，则所述TEE管理模块(411)执行所述操作指令，对所述可信应用(1、2、3)进行相应地处理，其中，所述处理包括：加锁处理、解锁处理，

所述TAM服务器(42)生成所述操作指令，并通过所述TAM代理模块(412)发送至所述TEE管理模块(411)，所述TEE管理模块(411)执行所述操作指令，对可信应用(1、2、3)进行锁定或解锁；

所述TEE管理模块(411)接收到第三方应用通过所述TAM代理模块(412)发送的对于可信应用的操作请求时，

所述TEE管理模块(411)基于所述操作请求生成对于可信应用的第一操作请求指令，并通过所述TAM代理模块(412)向所述TAM服务器(42)发送，其中，所述第一操作请求指令包括：对于可信应用的锁定请求指令、解锁请求指令；

或者，所述TAM服务器(42)通过其提供的外部接口接收到对于可信应用的第二操作请求指令时；其中，所述第二操作请求指令包括：对于可信应用的锁定请求指令、解锁请求指令，

所述TAM服务器(42)根据所述第一操作请求指令或所述第二操作请求指令生成所述操作指令，

所述TEE管理模块(411)接收到第三方应用(413)发送的操作请求时,所述TEE管理模块(411)通过TAM代理模块(412)与所述TAM服务器(42)进行双向认证，如果双向认证成功，则建立安全通道；或者，所述TAM服务器(42)接收到第二操作请求指令时，通过所述TAM代理模块(412)与所述TEE管理模块(411)进行双向认证，如果双向认证成功，则建立安全通道，

所述TAM服务器(42)通过所述安全通道将所述操作指令发送给所述TEE管理模块(411)，TEE管理模块(411)执行操作指令，将执行结果通过所述安全通道发送给TAM服务器(42)或通过TAM代理模块(412)发送给第三方应用(413)，

设置可信应用操作规则，所述第三方应用(413)基于可信应用操作规则确定需要对一个或多个可信应用进行加锁或解锁操作时，向TAM代理模块(412)发送所述第一操作请求。

2.如权利要求1所述的方法，其特征在于，所述TAM服务器通过其提供的外部接口接收到对于可信应用的第二操作请求指令包括：

所述TAM服务器接收客户端发送的可信应用操作网页访问请求，将可信应用操作网页发送给所述客户端；

所述TAM服务器接收到通过所述可信应用操作网页提交的所述第二操作请求指令。

3.如权利要求1所述的方法，其特征在于，还包括；

所述TAM服务器不对所述操作指令进行加密处理，采用明文方式将所述操作指令通过所述TAM代理模块发送给所述TEE管理模块。

4.如权利要求1所述的方法，其特征在于，还包括：

所述TAM服务器通过所述TAM代理模块与所述TEE管理模块建立安全通道，通过安全通道将所述操作指令发送给所述TEE管理模块；

或者，所述TAM服务器生成带有认证信息的所述操作指令,并通过所述TAM代理模块发送给所述TEE管理模块；如果所述TEE管理模块对带有认证信息的所述操作指令认证成功，则执行所述操作指令。

5.如权利要求4所述的方法，其特征在于，所述TAM服务器通过所述TAM代理模块与所述TEE管理模块建立安全通道、通过安全通道将所述操作指令发送给所述TEE管理模块包括：

所述TEE管理模块接收到第三方应用发送的所述操作请求,通过所述TAM代理模块与所述TAM服务器进行双向认证，如果双向认证成功，则建立安全通道；或者，所述TAM服务器接收到所述第二操作请求指令，通过所述TAM代理模块与所述TEE管理模块进行双向认证，如果双向认证成功，则建立安全通道；

所述TAM服务器通过安全通道将所述操作指令发送给所述TEE管理模块；

所述TEE管理模块执行所述操作指令，将执行结果通过安全通道发送给所述TAM服务器，或者通过所述TAM代理模块发送给第三方应用。

6.如权利要求4所述的方法，其特征在于，还包括：

如果所述TEE管理模块接收到第三方应用发送的所述操作请求，则所述TEE管理模块将所述第一操作请求指令和服务器端认证信息通过所述TAM代理模块发送给所述TAM服务器；

在所述TAM服务器对所述第一操作请求指令和服务器端认证信息验证成功后，所述TAM服务器根据所述操作请求指令生成所述操作指令。

7.如权利要求4所述的方法，其特征在于，所述TAM服务器生成带有认证信息的所述操作指令、并通过所述TAM代理模块发送给所述TEE管理模块包括：

所述TAM服务器生成一组随机数，使用随机数加密所述操作指令；

所述TAM服务器获取与所述TEE管理模块共享的公钥，使用所述公钥加密所述随机数；

所述TAM服务器将所述操作指令的加密结果、随机数的加密结果、服务端证书链通过所述TAM代理模块发给所述TEE管理模块。

8.如权利要求7所述的方法，其特征在于，所述如果所述TEE管理模块对带有认证信息的所述操作指令认证成功、则执行所述操作指令包括：

所述TEE管理模块对所述服务端证书链进行验证，如果通过验证，所述TEE管理模块获取与此公钥对应的私钥，使用此私钥解密所述随机数的加密结果，获取所述随机数；所述TEE管理模块通过所述随机数解密所述操作指令的加密结果获取所述操作指令。

9.如权利要求8所述的方法，其特征在于，还包括：

所述TEE管理模块执行所述操作指令，将执行结果通过所述TAM代理模块发送给第三方应用；

或者，所述TEE管理模块将带有验证信息的执行结果通过所述TAM代理模块发送给所述TAM服务器；所述TAM服务器对所述带有验证信息的执行结果进行验证，如果通过验证，则获取所述执行结果。

10.一种可信应用的加解锁系统，其特征在于，包括：运行在终端上的可信执行环境TEE管理模块(411)、运行在终端上TEE区域外的第三方应用(413)和TAM代理模块(412)以及TAM服务器(42)；

所述TEE管理模块(411)，用于接收对于可信应用的操作指令，其中，所述操作指令包括：对于可信应用的锁定指令、解锁指令；确定是否通过安全通道接收所述操作指令，如果否，则对所述操作指令进行验证；如果通过验证或通过安全通道接收所述操作指令，则执行所述操作指令，对所述可信应用进行相应地处理，其中，所述处理包括：加锁处理、解锁处理，

所述TEE管理模块(411)运行在终端的TEE区域内，

所述TAM服务器(42)，用于生成所述操作指令，并通过所述TAM代理模块(412)将所述操作指令发送至所述TEE管理模块(411)，

所述TEE管理模块(411)，用于接收第三方应用通过所述TAM代理模块(412)发送的对于可信应用的操作请求；基于所述操作请求生成对于可信应用的第一操作请求指令，并通过所述TAM代理模块(412)向所述TAM服务器(42)发送，其中，所述第一操作请求指令包括：对于可信应用的锁定请求指令、解锁请求指令；

或者，所述TAM服务器(42)通过其提供的外部接口接收到对于可信应用的第二操作请求指令；其中，所述第二操作请求指令包括：对于可信应用的锁定请求指令、解锁请求指令；

所述TAM服务器(42)根据所述第一操作请求指令或所述第二操作请求指令生成所述操作指令，

所述TEE管理模块(411)接收到第三方应用(413)发送的操作请求时,所述TEE管理模块(411)通过TAM代理模块(412)与所述TAM服务器(42)进行双向认证，如果双向认证成功，则建立安全通道；或者，所述TAM服务器(42)接收到第二操作请求指令时，通过所述TAM代理模块(412)与所述TEE管理模块(411)进行双向认证，如果双向认证成功，则建立安全通道，

所述TAM服务器(42)通过所述安全通道将所述操作指令发送给所述TEE管理模块(411)，TEE管理模块(411)执行操作指令，将执行结果通过所述安全通道发送给TAM服务器(42)或通过TAM代理模块(412)发送给第三方应用(413)，

设置可信应用操作规则，所述第三方应用(413)基于可信应用操作规则确定需要对一个或多个可信应用进行加锁或解锁操作时，向TAM代理模块(412)发送所述第一操作请求。

11.如权利要求10所述的系统，其特征在于，

所述TAM服务器，用于接收客户端发送的可信应用操作网页访问请求，将可信应用操作网页发送给所述客户端；接收到通过所述可信应用操作网页提交的所述第二操作请求指令。

12.如权利要求10所述的系统，其特征在于，

所述TAM服务器，用于不对所述操作指令进行加密处理，采用明文方式将所述操作指令通过所述TAM代理模块发送给所述TEE管理模块。

13.如权利要求10所述的系统，其特征在于，

所述TAM服务器通过所述TAM代理模块与所述TEE管理模块建立安全通道，通过安全通道将所述操作指令发送给所述TEE管理模块；

或者，所述TAM服务器生成带有认证信息的所述操作指令,并通过所述TAM代理模块发送给所述TEE管理模块；如果所述TEE管理模块对带有认证信息的所述操作指令认证成功，则执行所述操作指令。

14.如权利要求13所述的系统，其特征在于，

所述TEE管理模块，用于如果接收到第三方应用发送的所述操作请求，则所述TEE管理模块将所述第一操作请求指令和服务器端认证信息通过所述TAM代理模块发送给所述TAM服务器；

所述TAM服务器，用于在对所述第一操作请求指令和服务器端认证信息验证成功后，根据所述操作请求指令生成所述操作指令。

15.如权利要求13所述的系统，其特征在于，

所述TAM服务器，用于生成一组随机数，使用随机数加密所述操作指令；获取与所述TEE管理模块共享的公钥，使用所述公钥加密所述随机数；将所述操作指令的加密结果、随机数的加密结果、服务端证书链通过所述TAM代理模块发给所述TEE管理模块。

16.如权利要求15所述的系统，其特征在于，

所述TEE管理模块，用于对所述服务端证书链进行验证，如果通过验证，获取与此公钥对应的私钥，使用此私钥解密所述随机数的加密结果，获取所述随机数；通过所述随机数解密所述操作指令的加密结果获取所述操作指令。

17.如权利要求15所述的系统，其特征在于，

所述TEE管理模块，用于执行所述操作指令，将执行结果通过所述TAM代理模块发送给第三方应用；

或者，将带有验证信息的执行结果通过所述TAM代理模块发送给所述TAM服务器；所述TAM服务器，用于对所述带有验证信息的执行结果进行验证，如果通过验证，则获取所述执行结果。

Images