CN109409137A - 一种在tee环境中加载外部资源的方法和系统 - Google Patents

Abstract

本发明提供了一种在TEE环境中加载外部资源的方法和系统，包括：对外部资源做数字签名S1；打包所述外部资源以及相对应的所述数字签名S2；TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能S3。本发明的技术方案通过将资源，例如图片、文字资源等存储于TEE的外部，减小了TEE中TA的体积，提高了传输效率；还能够在具有相同功能、定制化资源的多应用场景中，使用同一个TA，从而降低了开发和部署成本；以及通过数字签名及验证，能够检查来自TEE外部的资源的数据完整性和真实性，从而确保了TEE中TUI作为可信用户界面的安全性。

Description

一种在TEE环境中加载外部资源的方法和系统

技术领域

本发明总体涉及信息安全领域，更具体地，涉及一种在TEE环境中加载外部资源的技术领域。

背景技术

可信执行环境Trusted Execution Environment，简称TEE，是驻留在移动智能终端的主处理器上的安全区域，提供与设备上的富OS，例如Android，并存的运行环境，并且向富OS提供例如敏感数据的安全存储、核准的密码算法、可信用户界面等安全服务。可信用户界面Trusted User Interface，简称TUI，是TEE技术框架的重要组成部分，能够独占访问移动智能终端的显示、输入设备，在可信环境下使用图形界面方式与用户交互敏感信息或敏感操作，保护用户的敏感信息不被泄露、敏感操作不被劫持。

在移动智能终端上使用TUI技术进行可信的人机交互时，通常涉及图片、文字资源等的存储和显示。

运行在TEE中的可信应用Trusted Application，简称TA，是在镜像文件中硬编码图片和文字资源。因为TA镜像文件被加密和签名，因此编码在TA中的图片和文字资源受到数据完整性和机密性保护。但一方面大量的图片资源会导致TA镜像体积过大，不便于在可信信道传输；另一方面固化的图片和文字资源导致一个TA镜像仅能被用于预先约定的应用和服务，且图片或文字资源需要更新时必须重新分发新的TA镜像。TA程序的可复用性、易扩展性都受到明显限制。

TA镜像中不保存图片和文字资源，在TA运行时，将图片和文字资源作为数据参数从富OS传递到TEE环境，由TA读取和使用。由于富OS是不可信运行环境，TUI要使用的图片和文字资源的数据完整性和真实性无法得到保护：若关键数据在富OS中受到攻击，可能导致TUI环境显示出被伪造、篡改过的图片和文字信息，严重破坏TUI作为可信用户界面的安全性。

申请号为201610270911.5，发明名称为“移动终端业务安全的保障方法和装置”的中国专利描述了一种移动终端业务安全的保障方法和装置。所述方法包括：运行在主操作系统的客户端在接收到服务端发送的第一签名结果后，调用运行在TEE中的对应TA，其中，第一签名结果由服务端针对客户端发送的业务要素进行签名后返回给客户端；TA对第一签名结果进行校验，并在校验通过后，通过TUI接收用户输入的业务操作信息；TA将业务操作信息发送给客户端；客户端将业务操作信息发送给服务端，并接收服务端基于业务操作信息返回的业务处理结果。

该方案公开了服务端签名，TEE中签名校验的过程，但是没有公开将资源存储于富OS中的技术特征。

发明内容

本发明的目的在于克服现有技术中TEE环境中TA镜像体积大、复用性受限、或者加载外部资源时存在不安全因素等缺陷，提供了一种在TEE环境中加载外部资源的方法和系统。

根据本发明的第一方面，提供一种在TEE环境中加载外部资源的方法，包括：对外部资源做数字签名S1；打包所述外部资源以及相对应的所述数字签名S2；TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能S3。

可选地，对外部资源做数字签名S1包括，将所述外部资源输入签名生成器；所述签名生成器利用TUI资源保护私钥对所述外部资源做非对称数字签名。

可选地，打包所述外部资源以及相对应的所述数字签名S2包括，将所述外部资源以及相对应的所述数字签名存储于富OS中的APP中。

可选地，TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能S3包括，所述TEE中的可信应用TA获取所述外部资源以及相对应的所述数字签名，并输入到所述TA中的签名验证器；所述签名验证器利用TUI资源保护公钥对所述外部资源以及相对应的所述数字签名进行数字签名验证。

可选地，TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能S3包括，如果数字签名验证成功，所述TEE中的TUI功能模块将加载所述外部资源，并提供服务；如果数字签名验证失败，所述TUI功能将终止执行，所述TEE将错误原因返回至富OS。

可选地，所述外部资源包括用于TUI功能的图片、文字、音频、视频、动画、特效、渲染资源中的一种或多种。

根据本发明的第二方面，提供一种在TEE环境中加载外部资源的系统，包括TEE、安全服务提供商、富OS，所述安全服务提供商配置为，对外部资源做数字签名；所述富OS配置为，打包并存储所述外部资源以及相对应的所述数字签名；所述TEE配置为，从所述富OS中获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能。

可选地，所述安全服务提供商还配置为，所述安全服务提供商包括TUI资源保护私钥、TUI资源保护公钥、签名生成器，所述安全服务提供商将所述外部资源输入所述签名生成器；所述签名生成器配置为，利用所述TUI资源保护私钥对所述外部资源做非对称数字签名。

可选地，所述富OS还配置为，将所述外部资源以及相对应的所述数字签名存储于所述富OS中的APP中。

可选地，所述TEE包括可信应用TA，所述TA中包括签名验证器，所述签名验证器中存储着TUI资源保护公钥；所述TA配置为，获取所述外部资源以及相对应的所述数字签名，并输入到所述签名验证器；所述签名验证器配置为，利用所述TUI资源保护公钥对所述外部资源以及相对应的所述数字签名进行数字签名验证。

可选地，所述TEE还配置为，如果数字签名验证成功，所述TEE中的TUI功能模块将加载所述外部资源，并提供服务；如果数字签名验证失败，所述TUI功能将终止执行，所述TEE将错误原因返回至所述富OS。

可选地，所述外部资源包括用于TUI功能的图片、文字、音频、视频、动画、特效、渲染资源中的一种或多种。

本发明技术方案优点如下：

1)本发明的技术方案通过将资源，例如图片、文字资源等存储于TEE的外部，从而减小了TEE中TA的体积，提高了传输效率；

2)本发明的技术方案能够在具有相同功能、定制化资源的多应用场景中，使用同一个TA程序，从而降低了开发和部署成本；

3)本发明的技术方案通过数字签名及验证，能够检查来自TEE外部的资源的数据完整性和真实性，从而确保了TEE中TUI作为可信用户界面的安全性。

附图说明

图1示出了根据本发明的一种在TEE环境中加载外部资源的系统。

图2示出了根据本发明的安全服务提供商的一种实施方式示意图。

图3示出了根据本发明的富OS的一种实施方式示意图。

图4示出了根据本发明的TEE的一种实施方式示意图。

图5示出了本发明的一种在TEE环境中加载外部资源的方法。

具体实施方式

下面结合附图对本发明的较佳实施例进行详细阐述，参考标号是指本发明中的组件、技术，以便本发明的优点和特征在适合的环境下实现能更易于被理解。下面的描述是对本发明权利要求的具体化，并且与权利要求相关的其它没有明确说明的具体实现也属于权利要求的范围。

图1示出了根据本发明的一种在TEE环境中加载外部资源的系统。

如图1所示，提供一种在TEE环境中加载外部资源的系统，包括TEE、安全服务提供商、富OS，所述安全服务提供商配置为，对外部资源做数字签名；所述富OS配置为，打包并存储所述外部资源以及相对应的所述数字签名；所述TEE配置为，从所述富OS中获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能。

所述安全服务提供商可以是可信应用TA的开发者或者是APP的开发商。

在应用发布前，预先可以将TUI功能要用到的资源在安全服务提供商做数字签名，所述数字签名可以是非对称数字签名，也可以是对称数字签名。当应用发布时，打包TUI要用到的资源以及相对应的数字签名，并存储于富OS中，即存储于TEE的外部，不占用TEE的空间。在执行TUI功能前，富OS将TUI功能要用到的外部资源以及相对应的数字签名，可以以数据参数的形式传输到TEE中。所述TEE对TUI功能要用到的外部资源以及相对应的数字签名进行数字签名验证，以确定所述外部资源是否被伪造或者篡改，从而确认是否执行TUI功能。

根据本发明的一种实施方式，如图1中所示，对于TUI要用到的外部资源可以简称为TUI资源。例如所述TUI资源1，与其相对应的数字签名可以称之为签名1，二者一起打包存储于富OS中。例如所述TUI资源2以及相对应的签名2，所述TUI资源3以及相对应的签名3。这样的资源和对应的数字签名可以有一个或者多个。

根据本发明的技术方案，通过数字签名的设置可以检查来自TEE外部的资源的数据完整性与真实性，可以防止因例如富OS被攻击等情况造成的资源信息被伪造或篡改而引起的安全问题，从而确保了TEE中TUI作为可信用户界面的安全性。

可选地，所述外部资源包括用于TUI功能的图片、文字、音频、视频、动画、特效、渲染资源中的一种或多种。

所述外部资源可以包括但不限于用于TUI功能的图片、文字、音频、视频、动画、特效、渲染等资源中的一种或多种。

图2示出了根据本发明的安全服务提供商的一种实施方式示意图。

如图2所示，所述安全服务提供商还可以配置为，所述安全服务提供商可以包括TUI资源保护私钥、TUI资源保护公钥、签名生成器，

所述安全服务提供商将所述外部资源输入所述签名生成器；

所述签名生成器配置为，利用所述TUI资源保护私钥对所述外部资源做非对称数字签名。

所述安全服务提供商可以在安全区域存储专用于保护TUI资源的非对称密钥对，以及配置了上述密钥对中对私钥的签名生成器。所述非对称密钥对可以包括TUI资源保护私钥和TUI资源保护公钥。在应用发布前，可以预先将TUI功能要用到的外部资源输入到所述安全服务提供商的签名生成器中，所述签名生成器利用所述TUI资源保护私钥对所述外部资源做非对称数字签名。

数字签名生成的的形式可以包括多种，例如可以将所有的外部资源作为一个数据文件或者文件集合整体生成一份数字签名，也可以以适合的力度拆分外部资源，以对多份文件生成多份数字签名。

所述非对称数字签名是指在非对称密码学中利用非对称密钥对进行签名的数字签名技术。所述非对称密钥对是指包括私钥和公钥的密钥对。其中，涉及到的非对称密钥生成算法、非对称数字签名算法包括但不限于RSA、ECC、SM2等非对称算法；涉及到的签名摘要算法包括但不限于MD5、SHA1、SHA256、SHA384、SHA512、SM3等摘要算法。

图3示出了根据本发明的富OS的一种实施方式示意图。

如图3所示，所述富OS还可以配置为，将所述外部资源以及相对应的所述数字签名存储于所述富OS中的APP中。

打包TUI功能需要用到的外部资源以及相对应的所述数字签名，并存储在所述富OS中的APP中。运行安全服务功能期间，所述富OS中的APP可以通过TEE Client API客户端应用程序编程接口和所述TEE进行数据交互。在执行TUI功能前，富OS中的APP将TUI功能要用到的外部资源以及相对应的所述数字签名以数据参数的形式传输到所述TEE中，也可以传输到TEE中的可信应用TA中。

可选地，所述外部资源包括多应用的不同部分；将所述多应用的相同部分存储于所述TEE中。

所述外部资源可以存储于富OS中，也可以存储于所述富OS中的APP中，即所述外部资源存储于TEE的外部。所述多应用可以是指具有相同功能、定制化资源的多应用场景，所述外部资源可以包括多应用的不同部分，当需要用到该资源时，TEE获取外部资源中的所述不同部分，与存储在TEE中的所述多应用的相同部分结合在一起，以实现TUI功能。进一步地，所述多应用的相同部分可以存储于所述TEE中的可信应用TA中，或者存储于TA镜像中。所述TA镜像是TA的一个完全相同的副本，也是一种文件存储的形式。

例如，不同银行的应用都需要涉及到转账界面这一相同功能，但是不同银行的名称、标识、页面配色等资源不同，即每一个银行都有自己定制的图片、文字等资源，这就可以称之为具有相同功能、定制化资源的多应用场景的一个实施例。在这种情况下，根据本发明的技术方案，可以将不同银行的不同定制资源存储于富OS中，将能实现转账界面这一功能的程序存储于所述TEE中，例如可以存储于TEE中的TA中或者说TA镜像中。当需要某银行的转账界面时，TEE从富OS中获取相关外部资源，并与存储在TEE中的实现转账界面功能的程序结合，例如复用同一个TA镜像，经过验证成功后，即可实现该银行的转账的功能。即，对于具有相同功能、定制化资源的多应用场景，可以复用同一个TA镜像，显示出针对不同应用定制的图片、文字等资源，TA在运行时可以动态配置外部资源以支持多应用复用的情况，从而降低了开发、部署成本，增加了TA程序的可复用性和易扩展性。

图4示出了根据本发明的TEE的一种实施方式示意图。

如图4所示，所述TEE可以包括可信应用TA，所述TA中包括签名验证器，所述签名验证器中存储着TUI资源保护公钥；

所述TA配置为，获取所述外部资源以及相对应的所述数字签名，并输入到所述签名验证器；

所述签名验证器配置为，利用所述TUI资源保护公钥对所述外部资源以及相对应的所述数字签名进行数字签名验证。

TEE中的TA中具有配置了TUI资源保护公钥的签名验证器，TA接收来自富OS中的APP的外部资源以及相对应的数字签名，并输入签名验证器，所述签名验证器用TUI资源保护公钥对所述外部资源以及相对应的数字签名进行验证。

可选地，所述TEE还配置为，如果数字签名验证成功，所述TEE中的TUI功能模块将加载所述外部资源，并提供服务；

如果数字签名验证失败，所述TUI功能将终止执行，所述TEE将错误原因返回至所述富OS。

如果数字签名验证成功，所述TEE中的TUI功能模块将加载所述外部资源，并提供例如图形化人机交互可信信道等服务。如果数字签名验证失败，所述TUI功能将终止执行，所述TEE将错误原因返回至所述富OS，进一步地，可以返回至富OS中的APP中，安全服务功能执行失败。

所述数字签名验证，可以是一种非对称密码技术中心的解密过程，当对数字签名进行解密后得到的资源信息与其对应的一同进行验证的外部资源信息相同时，证明所述外部资源没有被伪造或篡改，所述外部资源是真实的，即为验证成功，否则即为验证失败。

所述TEE还包括TEE Internal API，所述TEE Internal API作为TEE内部应用程序编程接口，用于TEE内部的数据调用，例如TEE中的TA在TEE中的数据调用。

本发明的技术方案通过将资源，例如图片、文字资源等存储于TEE的外部，从而可以减小TEE中TA的体积，例如可以减小TA镜像的体积，这样有利于TA程序的存储和传输。所述TA可以是由TEE的生产厂商在移动终端出厂前写入TEE中，也可以是在需要的时候通过服务器分发至所述TEE中。另外，TA镜像体积越大越不利于分发时的传输效率，因此，将TUI功能需要用到的资源存储于TEE外部可以提高分发时例如在服务器和TEE中的可信信道传输TA镜像的效率。

图5示出了本发明的一种在TEE环境中加载外部资源的方法。

如图5所示，提供一种在TEE环境中加载外部资源的方法，包括：对外部资源做数字签名S1；打包所述外部资源以及相对应的所述数字签名S2；TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能S3。

可选地，对外部资源做数字签名S1包括，将所述外部资源输入签名生成器；

所述签名生成器利用TUI资源保护私钥对所述外部资源做非对称数字签名。

可选地，打包所述外部资源以及相对应的所述数字签名S2包括，

将所述外部资源以及相对应的所述数字签名存储于富OS中的APP中。

可选地，所述外部资源包括多应用的不同部分；所述多应用的相同部分存储于所述TEE中。

可选地，TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能S3包括，

所述TEE中的可信应用TA获取所述外部资源以及相对应的所述数字签名，并输入到所述TA中的签名验证器；

所述签名验证器利用TUI资源保护公钥对所述外部资源以及相对应的所述数字签名进行数字签名验证。

可选地，TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能S3包括，

如果数字签名验证成功，所述TEE中的TUI功能模块将加载所述外部资源，并提供服务；

如果数字签名验证失败，所述TUI功能将终止执行，所述TEE将错误原因返回至富OS。

可选地，所述外部资源包括用于TUI功能的图片、文字、音频、视频、动画、特效、渲染资源中的一种或多种。

本发明的方法在上文中已经结合系统进行了详细的描述和解释，这里将不再赘述。

本发明技术方案优点如下：

1)本发明的技术方案通过将资源，例如图片、文字资源等存储于TEE的外部，从而减小了TEE中TA的体积，提高了传输效率；

2)本发明的技术方案能够在具有相同功能、定制化资源的多应用场景中，使用同一个TA镜像，从而降低了开发和部署成本，增加了TA程序的可复用性和易扩展性；

3)本发明的技术方案通过数字签名及验证，能够检查来自TEE外部的资源的数据完整性和真实性，从而确保了TEE中TUI作为可信用户界面的安全性。

应该注意的是，上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。

Claims (12)

1.一种在TEE环境中加载外部资源的方法，包括：

对外部资源做数字签名(S1)；

打包所述外部资源以及相对应的所述数字签名(S2)；

TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能(S3)。

2.根据权利要求1所述的方法，其中，对外部资源做数字签名(S1)包括，

将所述外部资源输入签名生成器；

所述签名生成器利用TUI资源保护私钥对所述外部资源做非对称数字签名。

3.根据权利要求1所述的方法，其中，打包所述外部资源以及相对应的所述数字签名(S2)包括，

将所述外部资源以及相对应的所述数字签名存储于富OS中的APP中。

4.根据权利要求1所述的方法，其中，TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能(S3)包括，

所述TEE中的可信应用TA获取所述外部资源以及相对应的所述数字签名，并输入到所述TA中的签名验证器；

所述签名验证器利用TUI资源保护公钥对所述外部资源以及相对应的所述数字签名进行数字签名验证。

5.根据权利要求1所述的方法，其中，TEE获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能(S3)包括，

如果数字签名验证成功，所述TEE中的TUI功能模块将加载所述外部资源，并提供服务；

如果数字签名验证失败，所述TUI功能将终止执行，所述TEE将错误原因返回至富OS。

6.根据权利要求1所述的方法，其中，

所述外部资源包括用于TUI功能的图片、文字、音频、视频、动画、特效、渲染资源中的一种或多种。

7.一种在TEE环境中加载外部资源的系统，包括TEE、安全服务提供商、富OS，

所述安全服务提供商配置为，对外部资源做数字签名；

所述富OS配置为，打包并存储所述外部资源以及相对应的所述数字签名；

所述TEE配置为，从所述富OS中获取所述外部资源以及相对应的所述数字签名，并进行数字签名验证，以确定是否执行TUI功能。

8.根据权利要求7所述的系统，所述安全服务提供商还配置为，

所述安全服务提供商包括TUI资源保护私钥、TUI资源保护公钥、签名生成器，

所述安全服务提供商将所述外部资源输入所述签名生成器；

所述签名生成器配置为，利用所述TUI资源保护私钥对所述外部资源做非对称数字签名。

9.根据权利要求7所述的系统，所述富OS还配置为，

将所述外部资源以及相对应的所述数字签名存储于所述富OS中的APP中。

10.根据权利要求7所述的系统，其中，

所述TEE包括可信应用TA，所述TA中包括签名验证器，所述签名验证器中存储着TUI资源保护公钥；

所述TA配置为，获取所述外部资源以及相对应的所述数字签名，并输入到所述签名验证器；

所述签名验证器配置为，利用所述TUI资源保护公钥对所述外部资源以及相对应的所述数字签名进行数字签名验证。

11.根据权利要求7所述的系统，所述TEE还配置为，

如果数字签名验证成功，所述TEE中的TUI功能模块将加载所述外部资源，并提供服务；

如果数字签名验证失败，所述TUI功能将终止执行，所述TEE将错误原因返回至所述富OS。

12.根据权利要求7所述的系统，其中，

所述外部资源包括用于TUI功能的图片、文字、音频、视频、动画、特效、渲染资源中的一种或多种。