CN108335105A - 数据处理方法及相关设备 - Google Patents

Abstract

本申请提供数据处理的方法和相关设备，该方法包括：在对第一应用的身份的认证通过的情况下，可信执行环境中的第二应用接收第一应用发送的交易数据，第一应用为开放执行环境中的应用；第二应用通过可信用户接口显示交易数据对应的交易信息；第二应用通过可信用户接口获取用户输入的校验数据；在通过安全元件的身份认证的情况下，第二应用向安全元件发送交易数据与校验数据；第二应用接收安全元件发送的签名数据，其中，签名数据为安全元件对校验数据的验证通过的情况下对交易数据进行处理得到的；第二应用向所述第一应用发送签名数据。采用本申请的技术方案，可保证网上交易的安全性和便利性。

Description

数据处理方法及相关设备

技术领域

本申请涉及信息安全领域，尤其涉及一种数据处理方法及相关设备。

背景技术

签名认证工具是用于网上银行电子签名的工具，其通过采用非对称密钥算法对网上交易数据进行加密、解密和数字签名，确保网上交易的保密性、真实性、完整性和不可否认性。

在目前的一些方式中，签名认证工具通常是被安装存储在一个外置的安全硬件中，以保证关键信息不被读取或复制，用户在需要进行网上交易时将该外置安全硬件与正在进行网上交易的终端设备连接，从而确保网上交易的安全性。安装存储有签名认证工具的外置安全硬件通常被称之为U盾，K宝，USB-key，等等。虽然这些外置安全硬件能保证签名认证工具的关键信息不被读取或复制，但是在使用安全硬件进行网上交易时，由于用于显示交易信息以及获取用户输入的密码的为开放执行环境中的应用，交易数据和用户输入的密码可能存在被监听窃取或被截屏的风险。

发明内容

本申请实施例提供数据处理方法及相关设备，解决网上交易的过程中交易数据和用户输入的密码被监听窃取或被截屏的问题。

第一方面，本申请实施例提供一种数据处理方法，可以应用于终端设备的可信执行环境(Trusted Execution Environment，TEE)中的应用，该方法包括：

在对第一应用的身份的认证通过的情况下，可信执行环境中的第二应用接收所述第一应用发送的交易数据，所述第一应用为开放执行环境中的应用；

所述第二应用通过可信用户接口显示所述交易数据对应的交易信息；

所述第二应用通过可信用户接口获取用户输入的校验数据；

在通过安全元件的身份认证的情况下，所述第二应用向所述安全元件发送所述交易数据与所述校验数据；

所述第二应用接收所述安全元件发送的签名数据，其中，所述签名数据为所述安全元件对所述校验数据的验证通过的情况下对所述交易数据进行处理得到的；

所述第二应用向所述第一应用发送所述签名数据。

在一种可能的设计中，所述可信执行环境中的第二应用接收所述第一应用发送的交易数据之前还包括：

所述第二应用接收所述第一应用发送的第一访问请求，所述第一访问请求包括可信服务管理平台下发的第一访问签名数据；

所述第二应用将所述第一访问签名数据与本地预置的第二访问签名数据进行比较；

在所述第一访问签名与所述第二访问签名数据相同的情况下，所述第二应用确定对所述第一应用的身份的验证通过。

在可选实施方式中，第二应用还可以采用其他方式对第一应用的身份进行验证，例如，第一访问请求中可包括第一应用的身份标识，第二应用根据第一应用的身份标识查找访问第二应用的访问白名单，在确定第一应用的身份标识在第二应用的访问白名单中的情况下，第二应用确定对第一应用的身份的验证通过；又如，第一访问请求中可包括第一数据和第一数据的签名数据，第二应用根据第一数据的签名数据对第一数据进行完整性验证，在对第一数据的完整性验证通过的情况下，第二应用对第一应用的身份的验证通过；又如，第一访问请求中可包括第一应用的数字认证鉴权证书，第二应用可用第一公钥对第一应用的数字认证鉴权证书解密得到第一应用的身份信息，在根据第一应用的身份信息确定第一应用为合法应用的情况下，第二应用确定对第一应用的身份的验证通过。不限于这里的描述，本申请不对第二应用验证第一应用的身份的方式进行限制。

在一种可能的设计中，所述第二应用向所述安全元件发送所述交易数据与所述校验数据之前还包括：所述第二应用向所述安全元件发送第二访问请求，所述第二访问请求携带所述第二应用的身份标识，所述身份标识被所述安全元件用于对所述第二应用的身份进行验证。

与第一访问请求类似，在可选实施方式中，第二访问请求中还可包括其他用于证明第二应用的身份的信息，该信息被安全元件用于第二应用的身份进行验证。

第二方面，本申请提供另一种数据处理方法，可以应用于终端设备的内置安全元件(Secure Element，SE)，该方法包括：

在对第二应用的身份的认证通过的情况下，安全元件接收所述第二应用发送的交易数据与校验数据，所述第二应用为可信执行环境中的应用，所述交易数据为开放执行环境中的第一应用发送给所述第二应用的，所述校验数据为所述第二应用在接收到所述交易数据的情况下通过可信用户接口获取得到的；

在对所述校验数据的验证通过的情况下，所述安全元件对所述交易数据进行处理得到签名数据；

所述安全元件将所述签名数据发送给所述第二应用。

在一种可能的设计中，所述安全元件接收所述第二应用发送的交易数据与校验数据之前还包括：

所述安全元件接收所述第二应用发送的第二访问请求，所述第二访问请求携带所述第二应用的身份标识；

所述安全元件根据所述身份标识查找所述安全元件的访问白名单；

在确定所述身份标识在所述访问白名单中的情况下，所述安全元件确定对所述第二应用的身份的验证通过。

在可选实施方式中，安全元件还可以采用其他方式对第二应用的身份进行验证，例如，第二访问请求中可包括可信服务管理平台下发的第三访问签名数据；安全元件将第三访问签名数据与本地预置的第四访问签名数据进行比较；在第三访问签名与第四访问签名数据相同的情况下，安全元件确定对所述第二应用的身份的验证通过；又如，第二访问请求中可包括第二数据和第二数据的签名数据，安全元件根据第二数据的签名数据对第二数据进行完整性验证，在对第二数据的完整性验证通过的情况下，安全元件对第二应用的身份的验证通过；又如，第二访问请求中可包括第二应用的数字认证鉴权证书，安全元件可用第二公钥对第二应用的数字认证鉴权证书解密得到第二应用的身份信息，在根据第二应用的身份信息确定第二应用为合法应用的情况下，安全元件确定对第二应用的身份的验证通过。不限于这里的描述，本申请不对安全元件验证第二应用的身份的方式进行限制。

第三方面，本申请提供一种数据处理装置，用于实现上述第一方面所述的方法，该装置包括：

第一数据接收模块，用于在对第一应用的身份的认证通过的情况下，接收所述第一应用发送的交易数据，所述第一应用为开放执行环境中的应用；

交易信息显示模块，用于通过可信用户接口显示所述交易数据对应的交易信息；

校验数据获取模块，用于通过所述可信用户接口获取用户输入的校验数据；

第一数据发送模块，用于在通过安全元件的身份认证的情况下，向所述安全元件发送所述交易数据与所述校验数据；

第二数据接收模块，用于接收所述安全元件发送的签名数据，其中，所述签名数据为所述安全元件对所述校验数据的验证通过的情况下对所述交易数据进行处理得到的；

第二数据发送模块，用于向所述第一应用发送所述签名数据。

在一种可能的设计中，所述装置还包括：

第一请求接收模块，用于接收所述第一应用发送的第一访问请求，所述第一访问请求包括可信服务管理平台下发的第一访问签名数据；

比较模块，用于将所述第一访问签名数据与本地预置的第二访问签名数据进行比较；

验证模块，用于在所述第一访问签名与所述第二访问签名数据相同的情况下，确定对所述第一应用的身份的验证通过。

在一种可能的设计中，所述装置还包括：

第一请求发送模块，用于向所述安全元件发送第二访问请求，所述第二访问请求携带所述第二应用的身份标识，所述身份标识被所述安全元件用于对所述第二应用的身份进行验证。

第四方面，本申请实施例提供另一种安全元件，用于实现上述第二方面所述的方法，该安全元件包括：

数据接收模块，用于在对所第二应用的身份的认证通过的情况下，接收所述第二应用发送的交易数据与校验数据，所述第二应用为可信执行环境中的应用，所述交易数据为开放执行环境中的第一应用发送给所述第二应用的，所述校验数据为所述第二应用在接收到所述交易数据的情况下通过可信用户接口获取得到的；

签名模块，用于在对所述校验数据的验证通过的情况下，对所述交易数据进行处理得到签名数据；

数据发送模块，用于将所述签名数据发送给所述第二应用。

在一种可能的设计中，所述安全元件还包括：

请求接收模块，用于接收所述第二应用发送的第二访问请求，所述第二访问请求携带所述第二应用的身份标识；

查找模块，用于根据所述身份标识查找所述安全元件的访问白名单；

验证模块，用于在确定所述身份标识在所述访问白名单中的情况下，确定对所述第二应用的身份的验证通过。

第五方面，本申请还提供一种终端设备，用于实现上述第一方面和上述第二方面的方法，该终端设备包括开放执行环境、可信执行环境以及安全元件，所述开放执行环境包括第一应用，所述可信执行环境包括第二应用，其中：

所述第一应用用于在通过所述第二应用的身份认证的情况下，向所述第二应用发送交易数据；

所述第二应用用于触发显示可信交互界面，并在所述可信交互界面上显示所述交易数据对应的交易信息；

所述第二应用还用于通过所述可信交互界面获取用户输入的校验数据；

所述第二应用还用于在通过所述安全元件的身份认证的情况下，向所述安全元件发送所述交易数据与所述校验数据；

所述安全元件用于在对所述校验数据的校验通过的情况下，对所述交易数据进行处理得到签名数据；

所述安全元件还用于向所述第二应用发送所述签名数据；

所述第二应用还用于向所述第一应用发送所述签名数据。

第六方面，本申请实施例提供一种计算机存储介质，所述计算机存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被处理器执行时使所述处理器执行上述第一方面的方法。

第七方面，本申请实施例提供一种计算机存储介质，所述计算机存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被安全元件执行时使所述安全元件执行上述第二方面的方法。

本申请实施例中，第一应用获取到的交易数据需在第一应用通过第二应用的身份认证的情况下才能被发送给第二应用，交易数据对应的交易信息通过可信用户接口显示，校验数据通过可信用户接口被获取，可保证交易信息和校验数据不被监听窃取或截屏，交易数据和校验数据需在第二应用通过安全元件的身份认证的情况下才能被发送给安全元件，安全元件在对校验数据校验通过的情况下使用数字鉴权认证证书对交易数据进行签名，由于安全元件与第一应用、第二应用之间相互隔离，将数字鉴权证书保存在安全元件中可保证数字鉴权认证证书的安全性，将安全元件、第一应用、第二应用均集成在终端设备上，用户可随时进行安全的网上交易。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的终端设备的功能架构示意图；

图2是本申请实施例提供的一种数据处理方法的流程示意图；

图3是本申请实施例提供的另一种数据处理方法的流程示意图

图4是本申请实施例提供的一种视图界面图；

图5是本申请实施例提供的一种数据处理装置的结构示意图；

图6是本申请实施例提供的一种安全元件的结构示意图；

图7是本申请实施例提供的另一种终端设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请的技术方案的主要原理可包括：通过可信用户接口(TrustedUserInterface，TUI)来显示交易信息使交易信息免于被截屏，采用TUI获取用户输入的校验数据使校验数据免于被获取，数字认证授权证书保存在终端设备的安全元件中，交易数据需要经过双层认证才能被发送至安全元件中进行签名，保障交易的安全性。

首先，介绍本申请实施例涉及的终端设备的功能架构。参见图1，图1是本申请实施例提供的终端设备的功能架构示意图，如图所示，终端设备由三个相互隔离的系统组成，分别为：

1)多媒体操作系统(Rich Operating System，Rich OS)，如安卓系统、IOS系统、塞班系统等，Rich OS运行在开放执行环境(Rich OS ApplicationEnvironment，REE)中，REE主要由REE硬件、REE硬件驱动、Rich OS部件、TEE客户端接口(Application Interface，API)、客户端应用(Client Application，CA)等组成。REE硬件提供输入/输出、触摸显示屏、存储器、CPU以及其他外部硬件设备(如摄像头、传感器)等。REE硬件驱动提供多媒体环境下的设备驱动，如SIM卡等设备的驱动。Rich OS部件提供REE通信代理及多媒体操作系统。REE通信代理实现REE环境与TEE环境之间的消息的安全传送。TEE客户端API为CA访问可信应用(Trusted Application，TA)的接口，该接口采用GP客户端标准接口。CA为运行在多媒体操作系统中的各种应用，如支付应用，即时通讯应用(如QQ、微信等)，浏览器应用，等等。存储器可包括高速随机存取的存储器(如RAM)，并且也可包括非易失性存储器，例如一个或多个磁盘存储设备、闪存设备(Flash)或其他非易失性固态存储设备。

2)可信操作系统(Trusted Operating System，Trusted OS)，Trusted OS运行在可信执行环境(Trusted Execution Environment，TEE)中，TEE主要由安全硬件、TEE硬件驱动、Trusted OS部件、TEE内部核心API、SD(Secure Domain，安全域)及可信应用(TrustedApplication，TA)等可信软硬件资源组成以构造一个比REE更安全的可信执行空间。安全硬件包含安全输入/输出、触摸显示屏、处理器核及存储器以及其他硬件外部设备。安全硬件驱动提供安全设备驱动，如指纹设备驱动等。Trusted OS部件提供可信操作系统功能，由安全存储、安全算法、可信用户界面(Trusted User Interface，TUI)和TEE通信代理等核心安全功能模块组成。安全存储提供在TEE环境下的统一安全数据存储服务及接口API。安全算法提供在TEE环境下的常用加解密算法服务及接口API。TUI在TEE环境下提供用户界面展示及相关输入输出信息处理的界面服务及接口API，采用GP TUI标准接口。TUI向用户提供在认证、交易处理和确认等方面的安全保护和更好的安全体验。TEE内部核心API提供TA之间互相访问及TA访问可信操作系统功能的接口API，接口采用GP内部核心标准接口。SD负责提供和管理TEE和TA。TA为运行在可信操作系统中的各种应用，如认证TA，支付TA等。

3)安全操作系统，安全操作系统运行在SE的执行环境中，SE提供密码算法和密钥保存，SE主要由SE硬件、SE系统部件、安全应用(Applet)、辅助SD等组成，SE硬件由CPU、存储器(RAM，Flash，NVM)以及外围电路组成；SE系统部件提供安全操作系统功能，安全应用运行在该安全操作系统上。SE在硬件资源上与TEE以及REE隔离。

在上述的三个操作系统中，在软件层上，多媒体操作系统中的CA需要通过可信操作系统的TA的验证才能取得对该TA的访问权限，可信操作系统中的TA需要通过安全元件中的Applet的验证才能取得对该Applet的访问权限，不同系统中的应用之间的验证机制保证了TEE和SE的安全性，其中，TEE的安全性高于REE的安全性，SE的安全性高于TEE的安全性。在硬件上，SE硬件与REE硬件以及TEE硬件隔离，软硬件的隔离保证了SE拥有和外置安全硬件相同的安全性能。

应理解的是，图1所示的功能架构仅为本申请实施例提供的一个示例，终端设备可具有比示出的部件更多或更少的部件，可以组合两个或更多个部件，或者可具有部件的不同配置实现。

基于图1所示的功能架构，可实现本申请的方法，下面介绍本申请的方法。本申请实施例中，将用于进行签名计算的数字鉴权证书和实现签名算法的计算机程序保存在安全元件中，由安全元件完成对交易数据的签名。

参见图2，图2是本申请实施例提供的一种数据处理方法的流程示意图，如图所示，所述方法包括：

S201，在通过第二应用的身份认证的情况下，第一应用向第二应用发送交易数据，第二应用接收交易数据。

其中，第一应用包括但不限于手机银行应用，支付宝应用等运行在REE中的用于进行网上交易的支付应用。

交易数据可以为交易数额、交易的商品信息、交易的数量信息、交易时间等交易信息对应的数据。

本申请实施例中，第一应用运行在开放执行环境中，例如，第一应用可以运行在图1所示的REE环境中，第一应用可以为图1中的支付应用；第二应用运行在可信执行环境中，例如，第二应用可以运行在图1所示的TEE环境中，第二应用可以为图1中的支付TA。其中，第二应用与第一应用可以为提供相同业务的安全性不同的应用，例如，第二应用与第一应用为同一业务提供商开发的部署在不同执行环境中的应用。

S202，第二应用通过可信用户接口显示交易数据对应的交易信息。

本申请实施例中，可信用户接口是指可信执行环境为第二应用提供的与用户输入/输出设备的安全交互的能力，可信用户接口可保证第二应用与用户交互的数据免受开放执行环境中的应用或者恶意软件的攻击。

具体的，可信用户接口可以对应触摸屏、键盘、摄像头、传感器、显示屏和状态指示灯等输入/输出设备，当第二应用通过可信用户接口使这些输入/输出设备处于工作状态时，第二应用具备对这些输入/输出设备的独有访问权和独有控制权，即只有第二应用可以对这些输入/输出设备进行访问和控制，开放执行环境中的应用不能接入这些设备并对其进行读写操作，也不能接收有关于这些设备当前正在执行的相关事件的状态指示。

S203，第二应用通过可信用户接口获取用户输入的校验数据。

本申请实施例中，校验数据包括但不限于密码信息、指纹信息、虹膜信息、声音信息等用于标识用户身份的数据。

可选的，在获取到用户输入的校验数据之后，第二应用可以解除对可信用户接口的占用，进而解除对可信用户接口对应的输入/输出设备的独占控制和独占访问。

S204，在通过安全元件的身份认证的情况下，第二应用向安全元件发送交易数据和校验数据，安全元件接收交易数据和校验数据。

S205，在对校验数据的验证通过的情况下，安全元件对交易数据进行处理得到签名数据。

安全元件可获取保存在安全元件中的数字认证授权证书对交易数据进行签名处理得到签名数据。

这里，数字认证授权证书可以是在终端设备出厂的时候预置在安全元件中的，数字认证授权证书也可以是终端设备在被用户使用的过程中终端设备从证书签发服务器中下载到安全元件中的。

具体的，安全元件可以采用哈希(Hash)算法对交易数据取摘要得到摘要数据，然后从安全元件中的数字认证授权证书中获取私钥对该摘要数据进行签名处理得到签名数据。

可选的，安全元件还可以采用对称密钥对交易数据进行加密得到第一加密数据，然后采用交易数据处理服务器的公钥对第一加密数据进行加密得到第二加密数据。

这里，交易数据处理服务器指在网上交易过程中与终端设备对接的提供交易数据处理的服务器，例如，交易数据处理服务可以为银行的服务器。

S206，安全元件向第二应用发送签名数据，第二应用接收签名数据。

可选的，安全元件还可以向第二应用发送第二加密数据。

具体的，安全元件通过执行保存在安全元件中的用于对交易数据进行加密、解密和数字签名的计算机程序实现上述步骤S204～S206，其中，该计算程序被安全元件执行时可实现与签名认证工具相同的功能。这里，该计算机程序可以为运行在安全元件中的应用对应的计算机程序。

S207，第二应用向第一应用发送签名数据。

可选的，第二应用还可以向第一应用发送第二加密数据。

本申请实施例中，第二应用通过可信用户接口显示交易信息并获取校验数据，由于可信用户接口工作时，可信用户接口对应的外部设备只能被第二应用访问和控制，开放执行环境中的应用无法访问和控制这些外部设备，可保证交易信息和校验数据不被监听窃取或截屏；交易数据需要在第一应用通过第二应用的身份认证的情况下才能被发送给交易数据，交易数据和校验数据需在第二应用通过安全元件的身份认证的情况下才能被发送给安全元件，双层验证的方式可保证友好安全的数据才能被发送至安全元件，保障安全元件的安全性；安全元件中保存有用于进行签名的数字认证授权证书，在对校验数据校验通过的情况下安全元件使用数字认证授权证书对交易数据进行签名，由于安全元件与第一应用、第二应用之间相互隔离，将数字鉴权证书保存在安全元件中可保证数字鉴权认证证书的安全性，将安全元件、第一应用、第二应用均集成在终端设备上，用户可随时进行安全的网上交易。

在上述实施例中，第二应用在对第一应用的身份认证通过的情况下才接收第一应用发送的交易数据，安全元件在对第二应用的身份认证通过的情况下才接收第二应用发送的交易数据和校验信息，在一些可能的实施例中，第二应用还对第一应用的身份进行验证，安全元件还对第二应用的身份进行验证。参见图3，图3是本申请实施例提供的另一种数据处理方法的流程示意图，如图所示，所述方法包括：

S301，第一应用获取交易信息。

具体的，第一应用可根据用户在第一应用的视图界面上的操作获取交易信息。

例如，第一应用当前的视图界面如图4所示，图4是一个话费充值的界面，当用户在视图界面上选中50元的充值金额时，则获取到交易信息，其中，话费充值为交易的商品信息，50元为交易数额。

S302，第一应用向第二应用发送第一访问请求，第一访问请求包括第一应用的身份信息，第二应用接收第一访问请求。

S303，第二应用根据第一应用的身份信息对第一应用的身份进行验证。

本申请实施例中，在步骤S302～S303中，第一应用的身份信息包括但不限于以下情况：

1)第一应用的身份信息为第一应用的身份标识，这里，身份标识可以为第一应用的通用唯一识别码(Universally Unique Identifier，UUID)、第一应用的应用标识等用于唯一地表示第一应用的身份的标识。

在第一应用的身份信息为第一应用的身份标识的情况下，第二应用根据第一应用的身份信息对第一应用的身份进行验证包括：

第二应用根据第一应用的身份标识查找第二应用的访问白名单，当确定第一应用的身份标识存在于第二应用的访问白名单时，第二应用确定对第一应用的身份的验证通过。

这里，第二应用的访问白名单用于保存可以访问第二应用的应用的身份标识的集合。例如，第二应用的访问白名单中保存的是第一应用的身份标识、第三应用的身份标识，则第一应用、第三应用均为可以访问第二应用的应用。

2)第一应用的身份信息为可信服务管理(Trusted Service Manager，TSM)平台下发的第一访问签名数据，这里，可信服务管理平台为向终端设备提供第二应用下载服务或与第二应用存在关联关系的平台。可信服务管理平台可用于为第二应用提供业务支持，例如，为第二应用提供更新服务、校验服务，等等。具体的，第一应用可以向第一应用对应的后台服务器发送签名数据获取请求，该后台服务器从可信服务管理平台中获取第一访问签名数据，第一应用接收后台服务器发送的第一访问签名数据。

这里，第一应用对应的后台服务器与可信服务管理平台可以为同一业务系统中的两个功能不同的服务器，其中，后台服务器可以为第一应用提供业务支持，可信服务管理平台可以为第二应用提供业务支持。例如，后台服务器与可信服务管理平台可以为银行系统中的两个功能不同的服务器，后台服务器为手机银行应用提供业务支持，可信服务管理平台为可信执行环境中的认证支付应用提供业务支持。

在第一应用的身份信息为可信服务管理平台下发的第一访问签名数据的情况下，第二应用根据第一应用的身份信息对第一应用的身份进行验证包括：

第二应用将第一访问签名数据与本地预置的第二访问签名数据进行比较；

在第一访问签名与所述第二访问签名数据相同的情况下，所述第二应用确定对所述第一应用的身份的验证通过。

这里，第二访问签名数据可以为第二应用通过安全的方式从TSM下载保存到可信执行环境对应的存储设备中的，也可以为在终端设备在出厂时预置在可信执行环境对应的存储设备中的。

3)第一应用的身份信息为第一应用的第一数字认证鉴权证书，其中，第一数字认证鉴权证书包括第一应用的身份标识和第一应用的公钥。

在第一应用的身份信息为第一应用的第一数字认证鉴权证书的情况下，第二应用根据第一应用的身份信息对第一应用的身份进行验证包括：

第二应用对第一数字认证鉴权证书进行验证，在对第一数字认证鉴权证书的验证通过的情况下，第二应用确定对第一应用的身份的验证通过。

具体的，第二应用采用CA公钥对第一数字认证鉴权证书进行解证书处理得到第一应用的身份标识和第一应用的公钥，第二应用根据第一应用的身份标识查找第二应用的访问白名单，当确定第一应用的身份标识存在于访问白名单时，第二应用确定对第一应用的身份的验证通过。

可选的，第一数字认证鉴权证书也可以为第二应用的第二数字认证鉴权证书，第二应用对第二数字认证鉴权证书进行解证书处理确定该第二数字认证鉴权证书为第二应用对应的数字认证鉴权证书的情况下，第二应用确定对第一应用的身份的认证通过。在此种方式下，第一应用可以从可信服务管理平台获取第二数字认证鉴权证书，其中，第一应用从可信服务管理平台获取第二数字认证鉴权证书的方式与上述第一应用从可信服务管理平台获取第一访问签名数据的方式类似，此处不再赘述。

应当理解的是，上述对第一应用的身份信息以及第二应用根据第一应用的身份信息对第一应用的身份进行验证的方式不限于上述的三种情况，在可选实施方式中，还可以有更多的实施方式，本申请不做限制。这里，第一应用与第二应用可以为同一个业务对应的功能和安全性不同的应用，可配套设计第一应用与第二应用以及第一应用与第二应用之间的相互认证及通信的方式。

S304，在对第一应用的身份的验证通过的情况下，第二应用向第一应用发送第一访问响应。

可选的，第一访问响应中可携带第一认证凭证，该第一认证凭证用于标识第一应用为访问第二应用的合法应用。在后续第一应用与第二应用进行的通信过程中，第一应用在发送数据的时候可携带该第一认证凭证，第二应用根据该第一认证凭证可确定第一应用在第二应用的访问白名单中，进而第二应用接收第一应用发送的数据。

S305，第一应用向第二应用发送交易数据，第二应用接收交易数据。

S306，第二应用通过可信用户接口显示交易数据对应的交易信息。

S307，第二应用通过可信用户接口获取用户输入的校验数据。

这里，步骤S305～S307可参考上述步骤S201～S203的描述，此处不再赘述。

可选的，第一应用在发送交易数据的同时，还可携带该第一认证凭证。

S308，第二应用向安全元件发送第二访问请求，第二访问请求包括第二应用的身份信息，安全元件接收第二访问请求。

S309，安全元件根据第二应用的身份信息对第二应用的身份进行验证。

本申请实施例中，在步骤S308～S309中，第二应用的身份信息可以为第二应用的身份标识，这里，身份标识可以为第二应用的通用唯一识别码、第二应用的应用标识等用于唯一地表示第二应用的身份的标识。

在第二应用的身份信息为第二应用的身份标识的情况下，安全元件根据第二应用的身份信息对第二应用的身份进行验证包括：

安全元件根据第二应用的身份标识查找安全元件的访问白名单，当确定第二应用的身份标识存在于安全元件的访问白名单时，安全元件确定对第二应用的身份的验证通过。

这里，安全元件的访问白名单用于保存可以访问安全元件的应用的身份标识的集合。例如，安全元件的访问白名单中保存的是第二应用的身份标识、第四应用的身份标识，则第二应用、第四应用均为可以访问安全元件的应用。

可选的，第二应用的身份信息以及安全元件根据第二应用的身份信息对第二应用的身份进行验证的方式也可以有其他的实施方式，例如，第二应用的身份信息也可以为访问签名数据、第二应用的数字认证鉴权证书、安全元件的数字认证鉴权证书，等等，安全元件根据第二应用的身份信息对第二应用的身份进行验证的方式可参考上述第二应用根据第一应用的身份信息对第一应用的身份进行验证的方式。

S310，在对第二应用的身份的验证通过的情况下，安全元件向第二应用发送第二访问响应。

可选的，第二访问响应中可携带第二认证凭证，该第二认证凭证用于标识第二应用为访问安全元件的合法应用。在后续第二应用与安全元件进行通信的过程中，第二应用在发送数据的时候可携带该第二认证凭证，安全元件根据该第二认证凭证可确定第二应用在安全元件的访问白名单中，进而安全元件接收第一应用发送的数据。

S311，第二应用向安全元件发送交易数据和校验数据，安全元件接收交易数据和校验数据。

可选的，第二应用在发送交易数据和校验数据的同时，还可发送第二认证凭证。

S312，安全元件对校验数据进行验证。

具体的，安全元件将该校验数据与安全元件中保存的校验数据进行比较，其中，安全元件中保存的校验数据为用户预置在安全元件中用于标识用户身份的数据，在该校验数据与安全元件中保存的校验数据相同的情况下，安全元件确定对校验数据的验证通过。

例如，该校验数据为指纹信息，则安全元件将该指纹信息与安全元件中保存的指纹信息进行比较，若相同，则确定对校验数据的验证通过；又如，该校验数据为密码信息，则安全元件将该密码信息与安全元件中保存的密码信息进行比较，若相同，则确定对校验数据的验证通过。

S313，在对校验数据的验证通过的情况下，安全元件对交易数据进行处理得到签名数据。

S314，安全元件向第二应用发送签名数据，第二应用接收签名数据。

S315，第二应用向第一应用发送签名数据。

本申请实施例中，步骤S313～S315可参考上述图2对应的实施例中步骤S205～S207的描述，此处不再赘述。

S316，第二应用将签名数据发送给交易数据处理服务器。

可选的，第二应用还可以将第二加密数据发送给交易数据处理服务器。

本申请实施例中，预先约定第一应用、第二应用以及安全元件两两之间的身份验证方式，只有通过认证的应用才能对安全性更高的应用或系统进行访问，保证交易数据在不同应用或环境间交互的安全性和可靠性。

上面介绍了本申请的方法，下面介绍实现上述方法的装置。

参见图5，图5是本申请实施例提供的一种数据处理装置的结构示意图，如图所示，所述装置40包括：

第一数据接收模块401，用于在对第一应用的身份的认证通过的情况下，接收所述第一应用发送的交易数据，所述第一应用为开放执行环境中的应用；

交易信息显示模块402，用于通过可信用户接口显示所述交易数据对应的交易信息；

校验数据获取模块403，用于通过所述可信用户接口获取用户输入的校验数据；

第一数据发送模块404，用于在通过安全元件的身份认证的情况下，向所述安全元件发送所述交易数据与所述校验数据；

第二数据接收模块405，用于接收所述安全元件发送的签名数据，其中，所述签名数据为所述安全元件对所述校验数据的验证通过的情况下对所述交易数据进行处理得到的；

第二数据发送模块406，用于向所述第一应用发送所述签名数据。

可选的，所述装置40还包括：

第一请求接收模块407，用于接收所述第一应用发送的第一访问请求，所述第一访问请求包括可信服务管理平台下发的第一访问签名数据；

比较模块408，用于将所述第一访问签名数据与本地预置的第二访问签名数据进行比较；

验证模块409，用于在所述第一访问签名与所述第二访问签名数据相同的情况下，确定对所述第一应用的身份的验证通过。

可选的，所述装置还包括：

第一请求发送模块410，用于向所述安全元件发送第二访问请求，所述第二访问请求携带所述第二应用的身份标识，所述身份标识被所述安全元件用于对所述第二应用的身份进行验证。

需要说明的是，图5对应的实施例中未提及的内容以及各个模块执行步骤的具体实现方式可参见方法实施例的描述，这里不再赘述。

本申请实施例中，第二应用通过可信用户接口显示交易信息并获取校验数据，由于可信用户接口工作时，可信用户接口对应的外部设备只能被第二应用访问和控制，开放执行环境中的应用无法访问和控制这些外部设备，可保证交易信息和校验数据不被监听窃取或截屏；交易数据需要第一应用通过第二应用的身份认证的情况下才能被发送给第二应用，保证友好安全的数据才能被发送至第二应用，进而保障第二应用的安全性。

参见图6，图6是本申请实施例提供的一种安全元件的结构示意图，如图所示，所述安全元件50包括：

数据接收模块501，用于在对所第二应用的身份的认证通过的情况下，接收所述第二应用发送的交易数据与校验数据，所述第二应用为可信执行环境中的应用，所述交易数据为开放执行环境中的第一应用发送给所述第二应用的，所述校验数据为所述第二应用在接收到所述交易数据的情况下通过可信用户接口获取得到的；

签名模块502，用于在对所述校验数据的验证通过的情况下，对所述交易数据进行处理得到签名数据；

数据发送模块503，用于将所述签名数据发送给所述第二应用。

可选的，所述安全元件50还包括：

请求接收模块504，用于接收所述第二应用发送的第二访问请求，所述第二访问请求携带所述第二应用的身份标识；

查找模块505，用于根据所述身份标识查找所述安全元件的访问白名单；

验证模块506，用于在确定所述身份标识在所述访问白名单中的情况下，确定对所述第二应用的身份的验证通过。

需要说明的是，图6对应的实施例中未提及的内容以及各个模块执行步骤的具体实现方式可参见方法实施例的描述，这里不再赘述。

本申请实施例中，交易数据和用户输入的校验数据需要在第二应用通过安全元件的身份认证的情况下才能被发送给安全元件，保证友好安全的数据才能被发送至安全元件，进而保障安全元件的安全性，由于安全元件具备安全性，可保证安全元件中保存的数字认证授权证书的关键信息不被窃取。

参见图7，图7是本申请实施例提供的另一种终端设备的结构示意图，如图所示，终端设备60包括开放执行环境61、可信执行环境62以及安全元件63，开放执行环境61包括第一应用611，可信执行环境包括第二应用621，其中：

所述第一应用611用于在通过所述第二应用621的身份认证的情况下，向所述第二应用621发送交易数据；

所述第二应用621用于通过可信用户接口显示所述交易数据对应的交易信息；

所述第二应用621还用于通过所述可信用户接口获取用户输入的校验数据；

所述第二应用621还用于在通过所述安全元件63的身份认证的情况下，向所述安全元件发送所述交易数据与所述校验数据；

所述安全元件63用于在对所述校验数据的校验通过的情况下，对所述交易数据进行处理得到签名数据；

所述安全元件63还用于向所述第二应用621发送所述签名数据；

所述第二应用63还用于向所述第一应用611发送所述签名数据。

可选的，所述第二应用621还用于接收所述第一应用611发送的第一访问请求，所述第一访问请求包括可信服务管理平台下发的第一访问签名数据；

所述第二应用621还用于将所述第一访问签名数据与本地预置的第二访问签名数据进行比较；

所述第二应用621还用于在所述第一访问签名与所述第二访问签名数据相同的情况下，确定对所述第一应用611的身份的验证通过。

可选的，所述安全元件63还用于接收所述第二应用621发送的第二访问请求，所述第二访问请求携带所述第二应用621的身份标识；

所述安全元件63还用于根据所述身份标识查找所述安全元件63的访问白名单；

所述安全元件63还用于在确定所述身份标识在所述访问白名单中的情况下，确定对所述第二应用621的身份的验证通过。

需要说明的是，图7对应的实施例中未提及的内容以及各个模块执行步骤的具体实现方式可参见方法实施例的描述，这里不再赘述。

本申请实施例中，终端设备包含三个相互独立隔离的运行环境，开放执行环境中的第一应用需在通过第二应用的身份认证的情况下才能向可信执行环境中的第二应用发送交易数据，第二应用需要通过安全元件的身份认证的情况下才能向安全元件发送交易数据，双层认证的方式保障了安全元件中的数据的安全性和可靠性。安全元件中保存有数字认证鉴权证书和用于实现签名认证工具所实现的功能的计算机程序，将安全元件、第一应用、第二应用均集成在终端设备上，用户可随时进行安全的网上交易。

本申请实施例还提供一种计算机存储介质，所述计算机存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被计算机执行时使所述计算机执行如前述实施例所述的方法，所述计算机可以为上述提到的数据处理装置或安全元件或终端设备的一部分。

本申请实施例还提供一种计算机程序产品，当上述计算机程序产品中的指令由处理器或安全元件执行时，可以实现本申请图2-图4所示实施例提供的数据处理方法。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (10)

1.一种数据处理方法，其特征在于，包括：

在对第一应用的身份的认证通过的情况下，可信执行环境中的第二应用接收所述第一应用发送的交易数据，所述第一应用为开放执行环境中的应用；

所述第二应用通过可信用户接口显示所述交易数据对应的交易信息；

所述第二应用通过所述可信用户接口获取用户输入的校验数据；

在通过安全元件的身份认证的情况下，所述第二应用向所述安全元件发送所述交易数据与所述校验数据；

所述第二应用接收所述安全元件发送的签名数据，其中，所述签名数据为所述安全元件对所述校验数据的验证通过的情况下对所述交易数据进行处理得到的；

所述第二应用向所述第一应用发送所述签名数据。

2.根据权利要求1所述的方法，其特征在于，所述可信执行环境中的第二应用接收所述第一应用发送的交易数据之前还包括：

所述第二应用接收所述第一应用发送的第一访问请求，所述第一访问请求包括可信服务管理平台下发的第一访问签名数据；

所述第二应用将所述第一访问签名数据与本地预置的第二访问签名数据进行比较；

在所述第一访问签名与所述第二访问签名数据相同的情况下，所述第二应用确定对所述第一应用的身份的验证通过。

3.根据权利要求1所述的方法，其特征在于，所述第二应用向所述安全元件发送所述交易数据与所述校验数据之前还包括：

所述第二应用向所述安全元件发送第二访问请求，所述第二访问请求携带所述第二应用的身份标识，所述身份标识被所述安全元件用于对所述第二应用的身份进行验证。

4.一种数据处理方法，其特征在于，包括：

在对第二应用的身份的认证通过的情况下，安全元件接收所述第二应用发送的交易数据与校验数据，所述第二应用为可信执行环境中的应用，所述交易数据为开放执行环境中的第一应用发送给所述第二应用的，所述校验数据为所述第二应用在接收到所述交易数据的情况下通过可信用户接口获取得到的；

在对所述校验数据的验证通过的情况下，所述安全元件对所述交易数据进行处理得到签名数据；

所述安全元件将所述签名数据发送给所述第二应用。

5.根据权利要求4所述的方法，其特征在于，所述安全元件接收所述第二应用发送的交易数据与校验数据之前还包括：

所述安全元件接收所述第二应用发送的第二访问请求，所述第二访问请求携带所述第二应用的身份标识；

所述安全元件根据所述身份标识查找所述安全元件的访问白名单；

在确定所述身份标识在所述访问白名单中的情况下，所述安全元件确定对所述第二应用的身份的验证通过。

6.一种数据处理装置，其特征在于，包括：

第一数据接收模块，用于在对第一应用的身份的认证通过的情况下，接收所述第一应用发送的交易数据，所述第一应用为开放执行环境中的应用；

交易信息显示模块，用于通过可信用户接口显示所述交易数据对应的交易信息；

校验数据获取模块，用于通过所述可信用户接口获取用户输入的校验数据；

第一数据发送模块，用于在通过安全元件的身份认证的情况下，向所述安全元件发送所述交易数据与所述校验数据；

第二数据接收模块，用于接收所述安全元件发送的签名数据，其中，所述签名数据为所述安全元件对所述校验数据的验证通过的情况下对所述交易数据进行处理得到的；

第二数据发送模块，用于向所述第一应用发送所述签名数据。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第一请求接收模块，用于接收所述第一应用发送的第一访问请求，所述第一访问请求包括可信服务管理平台下发的第一访问签名数据；

比较模块，用于将所述第一访问签名数据与本地预置的第二访问签名数据进行比较；

验证模块，用于在所述第一访问签名与所述第二访问签名数据相同的情况下，确定对所述第一应用的身份的验证通过。

8.一种安全元件，其特征在于，包括：

数据接收模块，用于在对所第二应用的身份的认证通过的情况下，接收所述第二应用发送的交易数据与校验数据，所述第二应用为可信执行环境中的应用，所述交易数据为开放执行环境中的第一应用发送给所述第二应用的，所述校验数据为所述第二应用在接收到所述交易数据的情况下通过可信用户接口获取得到的；

签名模块，用于在对所述校验数据的验证通过的情况下，对所述交易数据进行处理得到签名数据；

数据发送模块，用于将所述签名数据发送给所述第二应用。

9.根据权利要求8所述的安全元件，其特征在于，所述安全元件还包括：

请求接收模块，用于接收所述第二应用发送的第二访问请求，所述第二访问请求携带所述第二应用的身份标识；

查找模块，用于根据所述身份标识查找所述安全元件的访问白名单；

验证模块，用于在确定所述身份标识在所述访问白名单中的情况下，确定对所述第二应用的身份的验证通过。

10.一种终端设备，其特征在于，包括开放执行环境、可信执行环境以及安全元件，所述开放执行环境包括第一应用，所述可信执行环境包括第二应用，其中：

所述第一应用用于在通过所述第二应用的身份认证的情况下，向所述第二应用发送交易数据；

所述第二应用用于通过可信用户接口显示所述交易数据对应的交易信息；

所述第二应用还用于通过所述可信用户接口获取用户输入的校验数据；

所述第二应用还用于在通过所述安全元件的身份认证的情况下，向所述安全元件发送所述交易数据与所述校验数据；

所述安全元件用于在对所述校验数据的校验通过的情况下，对所述交易数据进行处理得到签名数据；

所述安全元件还用于向所述第二应用发送所述签名数据；

所述第二应用还用于向所述第一应用发送所述签名数据。