CN108418812A - 一种基于可信执行环境的智能终端安全消息服务方法 - Google Patents

Abstract

本发明公开了一种基于可信执行环境的智能终端安全消息服务方法，包括以下步骤：S1设备端在TEE中对服务端身份进行认证；S2设备端向服务端发起消息服务请求；S3设备端在TEE中对与服务端的通信数据进行签名校验和加解密操作；S4通过TEE中的TUI服务将消息渲染后显示至终端应用界面。本发明的有益效果：通过将消息数据的签名验证、解密、显示等敏感操作从REE移动到TEE实现。敏感数据会在TEE独立的执行区域中处理，与REE系统和终端应用隔离，消除了安全隐患，极大提高了消息服务的安全性。

Description

一种基于可信执行环境的智能终端安全消息服务方法

技术领域

本发明涉及智能终端安全领域，具体来说，涉及一种基于可信执行环境的智能终端安全消息服务方法。

背景技术

消息服务目前已广泛使用于智能终端设备，涉及到各行各业在终端上的业务信息的通知。消息通知一般分为：终端主动发起请求等待后台返回消息和后台主动推送消息两种。业务后台与终端间的通信消息可能包含用户隐私信息、认证信息、支付信息等高敏感数据。在智能终端设备普及率越来越高的社会环境下，由于其便捷性，终端金融业务也开始广泛的被大众所使用，因此针对金融等高安全行业，终端消息服务的安全性尤为重要。

为了提升消息的安全性，高安全需求行业针对其消息进行签名加密操作，在相应的终端应用中进行验签解密操作，即使传输过程中的数据被监听拦截，也无法轻易的获取到敏感数据并加以修改，一定程度上保证了消息的安全性。

但仍存在如下安全隐患：

1.终端应用运行在REE(Rich Execution Environment)非安全环境中，可通过木马植入等手段获取到终端应用中解密后展示给用户的数据，从而造成消息中敏感数据的泄露。

2.运行在REE环境下的终端应用自身的安全性得不到保障，而验签解密操作是在终端应用中进行的，可通过破解获取其中用以验签和解密的证书和密钥，还可针对破解后的终端应用进行修改二次打包，不但会造成消息的泄露，甚至会造成消息的篡改伪造。

目前，终端消息服务的安全性没有明确的规范和标准对其进行约束，频频出现业务消息中的敏感数据泄露问题。

针对相关技术中的问题，目前尚未提出有效的解决方案。

发明内容

针对相关技术中的上述技术问题，本发明提出一种基于可信执行环境的智能终端安全消息服务方法，能够提升终端消息服务的安全性。

将传统消息服务在REE环境中进行的高安全需求操作在可信执行环境TEE(Trusted Execution Environment)中实现。TEE是基于智能终端中处理器的安全区域(Trust zone)构建的可信执行环境。TEE是一个独立的执行区域，它提供了很多安全属性，如隔离性，完整性等，同时TEE也确保了加载到TEE中代码和数据的安全性。

为实现上述技术目的，本发明的技术方案是这样实现的：

一种基于可信执行环境的智能终端安全消息服务方法，包括以下步骤：

S1 设备端在TEE中对服务端身份进行认证；

S2 设备端向服务端发起消息服务请求；

S3 设备端在TEE中对与服务端的通信数据进行签名校验和加解密操作；

S4 通过TEE中的TUI服务将消息渲染后显示至终端应用界面。

作为优选，S1进一步包括服务端对设备端进行合法性验证：

S101 终端应用向TEE端TA请求获取设备信息；

S102 TA调用系统接口获取设备信息，并返回给终端应用；

S103终端应用向TA请求获取设备随机数；

S104 TA生成设备随机数，并返回给终端应用；

S105终端应用向认证服务器发起初始化认证请求，请求数据包含设备信息、设备随机数和服务器地址；

S106 认证服务器验证终端应用请求中的服务器地址和设备信息是否合法。

进一步的，S1具体包括以下步骤：

S111认证服务器生成业务标识，生成服务端随机数，组合返回到设备端的用于认证服务器身份的数据data1，包括业务标识、设备随机数、服务器地址以及服务端随机数，并对其签名为signData1后，发送至终端应用；

S112 终端应用透传signData1至TA，请求TA进行签名验证；

S113 TEE端TA对signData1进行签名验证，签名验证通过后检查返回数据data1中设备随机数和服务器地址是否匹配；

S114 TA返回signData1签名验证及数据验证结果至终端应用。

作为优选，TEE端TA中集成有认证服务器证书。

进一步的，S2具体包括：

S21 设备端将需要获取的包含消息请求类型、业务相关在内的请求信息发送至TA；

S22 TA生成消息请求数据data2，包括业务标识、服务端随机数、设备信息以及请求信息，并对其签名生成signData2后，返回至终端应用；

S23 终端应用向认证服务器发送signData2请求消息服务。

进一步的，S3具体包括：

S31 认证服务器接收到终端应用发送的signData2后，验证业务标识和服务端随机数匹配后，根据设备信息获取认证服务器中预置的设备证书，对signData2进行签名验证；

S32 验证成功后，则认证服务器向业务后台发送业务标识、请求信息，请求具体消息内容；

S33 业务后台根据请求信息生成终端应用请求的业务消息，对业务消息进行加密生成加密后消息；

S34业务后台返回消息数据data3至认证服务器，data3包括业务标识与加密后消息；

S35认证服务器对data3进行签名，生成signData3并返回signData3至终端应用；

S36终端应用透传signData3至TA，请求校验解密数据并显示；

S37 TA对signData3进行签名认证，签名认证通过后，解密加密后信息获取业务消息。

作为优选，S32中认证服务器与业务后台之间通过HTTPS建立双向认证连接。

进一步的，S4具体包括：

S41 TA将解密后的业务消息发送至TEE端TUI服务，请求渲染显示；

S42 TUI服务获取业务消息后，在TEE环境中对其进行渲染，将消息显示至终端应用界面。

本发明的有益效果：通过将消息数据的签名验证、解密、显示等敏感操作从REE移动到TEE实现。敏感数据会在TEE独立的执行区域中处理，与REE系统和终端应用隔离，消除了安全隐患，极大提高了消息服务的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例所述的一种基于可信执行环境的智能终端安全消息服务方法的结构示意图；

图2是根据本发明实施例所述的一种基于可信执行环境的智能终端安全消息服务方法的时序图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，根据本发明实施例所述的一种基于可信执行环境的智能终端安全消息服务方法，包括以下步骤：

S1 设备端在TEE中对服务端身份进行认证；

S2 设备端向服务端发起消息服务请求；

S3 设备端在TEE中对与服务端的通信数据进行签名校验和加解密操作；

S4 通过TEE中的TUI服务将消息渲染后显示至终端应用界面。

作为优选，S1进一步包括服务端对设备端进行合法性验证：

S101 终端应用向TEE端TA请求获取设备信息；

S102 TA调用系统接口获取设备信息，并返回给终端应用；

S103终端应用向TA请求获取设备随机数；

S104 TA生成设备随机数，并返回给终端应用；

S105终端应用向认证服务器发起初始化认证请求，请求数据包含设备信息、设备随机数和服务器地址；

S106 认证服务器验证终端应用请求中的服务器地址和设备信息是否合法。

进一步的，S1具体包括以下步骤：

S111认证服务器生成业务标识，生成服务端随机数，组合返回到设备端的用于认证服务器身份的数据data1，包括业务标识、设备随机数、服务器地址以及服务端随机数，并对其签名为signData1后，发送至终端应用；

S112 终端应用透传signData1至TA，请求TA进行签名验证；

S113 TEE端TA对signData1进行签名验证，签名验证通过后检查返回数据data1中设备随机数和服务器地址是否匹配；

S114 TA返回signData1签名验证及数据验证结果至终端应用。

作为优选，TEE端TA中集成有认证服务器证书。

进一步的，S2具体包括：

S21 设备端将需要获取的包含消息请求类型、业务相关在内的请求信息发送至TA；

S22 TA生成消息请求数据data2，包括业务标识、服务端随机数、设备信息以及请求信息，并对其签名生成signData2后，返回至终端应用；

S23 终端应用向认证服务器发送signData2请求消息服务。

进一步的，S3具体包括：

S31 认证服务器接收到终端应用发送的signData2后，验证业务标识和服务端随机数匹配后，根据设备信息获取认证服务器中预置的设备证书，对signData2进行签名验证；

S32 验证成功后，则认证服务器向业务后台发送业务标识、请求信息，请求具体消息内容；

S33 业务后台根据请求信息生成终端应用请求的业务消息，对业务消息进行加密生成加密后消息；

S34业务后台返回消息数据data3至认证服务器，data3包括业务标识与加密后消息；

S35认证服务器对data3进行签名，生成signData3并返回signData3至终端应用；

S36终端应用透传signData3至TA，请求校验解密数据并显示；

S37 TA对signData3进行签名认证，签名认证通过后，解密加密后信息获取业务消息。

作为优选，S32中认证服务器与业务后台之间通过HTTPS建立双向认证连接。

进一步的，S4具体包括：

S41 TA将解密后的业务消息发送至TEE端TUI服务，请求渲染显示；

S42 TUI服务获取业务消息后，在TEE环境中对其进行渲染，将消息显示至终端应用界面。

为了方便理解本发明的上述技术方案，以下通过具体使用方式上对本发明的上述技术方案进行详细说明。

如图2所示，在具体使用时，根据本发明所述的一种基于可信执行环境的智能终端安全消息服务方法,具体流程如下：

1.终端应用发起消息服务请求时，先向TEE端TA(Trusted Application)请求获取设备信息；

2.TA调用系统接口获取设备信息deviceInfo；

3.TA返回设备信息deviceInfo到终端应用；

4.终端应用向TA请求获取设备随机数deviceChallenge；

5.TA生成设备随机数deviceChallenge；

6.TA返回设备随机数deviceChallenge到终端应用；

7.终端应用向认证服务器发起初始化认证请求，请求数据包含{deviceInfo,deviceChallenge,serverAddress}；

8.认证服务器验证终端应用请求中的服务器地址和设备信息是否合法；

9.8中验证失败，则返回错误信息至终端应用，流程结束；

10.8中验证成功，认证服务器生成业务标识transactionId，生成服务端随机数serverChallenge。组合返回到设备端的用于认证服务器身份的数据data1={transactionId, deviceChallenge, serverAddress, serverChallenge},并对其签名为signData1；

11.认证服务器返回signData1至终端应用；

12.终端应用透传signData1至TA，请求TA进行签名验证；

13.TEE端TA中集成认证服务器证书，由其对signData1进行签名验证，签名验证通过则说明消息是由合法服务器发送，检查返回数据data1中设备随机数和服务器地址是否匹配；

14.返回signData1签名验证及数据验证结果至终端应用；

15.若终端应用接收的验证结果为成功，说明服务器认证合法，开始请求消息信息，将需要获取的消息请求类型、业务相关等信息msgRequestInfo发送至TA，由TA生成签名后的请求数据；

16.TA生成消息请求数据data2={transactionId, serverChallenge,deviceInfo,msgRequestInfo},并对其签名生成signData2；

17.TA返回signData2至终端应用；

18.终端应用向认证服务器发送signData2请求消息服务；

19.认证服务器接收到signData2后，首先验证业务标识transactionId和服务端随机数serverChallenge是否匹配；然后根据deviceInfo获取认证服务器中预置的设备证书，对signData2进行签名验证，签名验证通过则说明消息是由合法设备发送；

20.19中验证失败，则返回错误信息至终端应用，流程结束；

21.19中验证成功，则认证服务器向业务后台(两者通过HTTPS建立双向认证连接)发送{transactionId, msgRequestInfo}请求具体消息内容；

22.业务后台根据msgRequestInfo生成终端应用需求的消息内容msg，对msg进行加密生成encryptMsg；

23.业务后台返回消息数据data3={transactionId, encryptMsg}至认证服务器；

24.认证服务器对data3进行签名，生成signData3；

25.认证服务器返回signData3至终端应用；

26.终端应用透传signData3至TA，请求校验解密数据并显示；

27.TA对signData3进行签名认证，签名认证通过后，解密encryptMsg数据获取业务消息msg；

28.27中认证失败，则返回错误信息至终端应用，流程结束；

29.TA将解密后的业务消息msg发送至TEE端TUI(Trusted User Interface)服务，请求渲染显示；

30.TUI服务获取业务消息msg后，直接在TEE环境中对其进行渲染，将消息显示至终端应用界面。

综上所述，借助于本发明的上述技术方案，可获得以下有益效果：

1. 敏感操作均在TEE实现，与REE系统和终端应用隔离，即使终端应用被破解，也无法获取到用于身份认证、签名校验和解密的证书和密钥，无法篡改伪造消息。

2. 解密后的数据直接在TEE中由TUI渲染显示，数据不会回传至REE，无法通过木马等手段截获解密后的数据。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种基于可信执行环境的智能终端安全消息服务方法，其特征在于，包括以下步骤：

S1 设备端在TEE中对服务端身份进行认证；

S2 设备端向服务端发起消息服务请求；

S3 设备端在TEE中对与服务端的通信数据进行签名校验和加解密操作；

S4 通过TEE中的TUI服务将消息渲染后显示至终端应用界面。

2.根据权利要求1所述的基于可信执行环境的智能终端安全消息服务方法，其特征在于，S1进一步包括服务端对设备端进行合法性验证：

S101 终端应用向TEE端TA请求获取设备信息；

S102 TA调用系统接口获取设备信息，并返回给终端应用；

S103终端应用向TA请求获取设备随机数；

S104 TA生成设备随机数，并返回给终端应用；

S105终端应用向认证服务器发起初始化认证请求，请求数据包含设备信息、设备随机数和服务器地址；

S106 认证服务器验证终端应用请求中的服务器地址和设备信息是否合法。

3.根据权利要求2所述的基于可信执行环境的智能终端安全消息服务方法，其特征在于，S1具体包括以下步骤：

S111认证服务器生成业务标识，生成服务端随机数，组合返回到设备端的用于认证服务器身份的数据data1，包括业务标识、设备随机数、服务器地址以及服务端随机数，并对其签名为signData1后，发送至终端应用；

S112 终端应用透传signData1至TA，请求TA进行签名验证；

S113 TEE端TA对signData1进行签名验证，签名验证通过后检查返回数据data1中设备随机数和服务器地址是否匹配；

S114 TA返回signData1签名验证及数据验证结果至终端应用。

4.根据权利要求3所述的基于可信执行环境的智能终端安全消息服务方法，其特征在于，TEE端TA中集成有认证服务器证书。

5.根据权利要求4所述的基于可信执行环境的智能终端安全消息服务方法，其特征在于，S2具体包括：

S21 设备端将需要获取的包含消息请求类型、业务相关在内的请求信息发送至TA；

S22 TA生成消息请求数据data2，包括业务标识、服务端随机数、设备信息以及请求信息，并对其签名生成signData2后，返回至终端应用；

S23 终端应用向认证服务器发送signData2请求消息服务。

6.根据权利要求5所述的基于可信执行环境的智能终端安全消息服务方法，其特征在于，S3具体包括：

S31 认证服务器接收到终端应用发送的signData2后，验证业务标识和服务端随机数匹配后，根据设备信息获取认证服务器中预置的设备证书，对signData2进行签名验证；

S32 验证成功后，则认证服务器向业务后台发送业务标识、请求信息，请求具体消息内容；

S33 业务后台根据请求信息生成终端应用请求的业务消息，对业务消息进行加密生成加密后消息；

S34业务后台返回消息数据data3至认证服务器，data3包括业务标识与加密后消息；

S35认证服务器对data3进行签名，生成signData3并返回signData3至终端应用；

S36终端应用透传signData3至TA，请求校验解密数据并显示；

S37 TA对signData3进行签名认证，签名认证通过后，解密加密后信息获取业务消息。

7.根据权利要求6所述的基于可信执行环境的智能终端安全消息服务方法，其特征在于，S32中认证服务器与业务后台之间通过HTTPS建立双向认证连接。

8.根据权利要求7所述的基于可信执行环境的智能终端安全消息服务方法，其特征在于，S4具体包括：

S41 TA将解密后的业务消息发送至TEE端TUI服务，请求渲染显示；

S42 TUI服务获取业务消息后，在TEE环境中对其进行渲染，将消息显示至终端应用界面。