CN109522722A - 系统安全处理方法和装置 - Google Patents

Abstract

本公开提供了一种系统安全处理方法，包括：获得访问请求，所述访问请求用于表征访问安全存储区；其中，第一系统的安全空间与所述安全存储区对应；所述第一系统的主用户空间与普通存储区对应，所述安全空间与所述主用户空间相互独立，所述安全存储区与所述普通存储区相隔离，所述安全存储区被加密；响应所述访问请求，获取用户认证信息；将所述用户认证信息发送至独立于所述第一系统的第二系统中进行验证，所述第二系统为可信辅助系统；如果所述用户认证信息验证通过，允许通过所述安全空间访问被所述第二系统解密的所述安全存储区。本公开还提供了一种电子设备。

Description

系统安全处理方法和装置

技术领域

本公开涉及一种系统安全处理方法和装置。

背景技术

随着信息技术的不断发展，设备系统安全的风险问题得到越来越多的重视，发明人发现现有方案的安全性存在以下问题：

现有技术的第一种方案是在系统中引入密码和指纹认证，该方式只能确保不合法用户无法操作设备，但是通过数据线连接，仍然可以读取设置设备内的数据，并且认证过程是在系统内部完成，容易被干扰得到不可信的认证结果。第二种方案是对系统的文件系统进行统一加密，该方式无法将安全级别不同的数据隔离开来，对于用户使用不便，且解密过程在系统内部完成，安全保护的力度不够。

发明内容

本公开的一个方面提供了一种系统安全处理方法，包括：获得访问请求，该访问请求用于表征访问安全存储区，其中，第一系统的安全空间与安全存储区对应，第一系统的主用户空间与普通存储区对应，安全空间与主用户空间相互独立，安全存储区与普通存储区相隔离，安全存储区被加密；响应该访问请求，获取用户认证信息；将该用户认证信息发送至独立于第一系统的第二系统中进行验证，第二系统为可信辅助系统；如果所述用户认证信息验证通过，允许通过安全空间访问被第二系统解密的安全存储区。

可选地，第二系统中预存加密算法和相应的解密算法。安全存储区中的数据在第二系统中基于所述加密算法被加密；安全存储区中的数据在第二系统中基于所述解密算法被解密。

可选地，第二系统中预存关键信息变换规则。上述方法还包括：在安全空间被创建时，基于所述关键信息变换规则对所述安全空间的可信认证信息进行变换，得到所述安全空间的可信认证信息对应的关键信息并存入第二系统。上述将用户认证信息发送至独立于第一系统的第二系统中进行验证包括：在第二系统中基于关键信息变换规则对用户认证信息进行变换，将变换得到的信息与安全空间对应的关键信息进行比对，如果相同则确定验证通过，如果不同则确定验证不通过。

可选地，上述如果所述用户认证信息验证通过，允许通过所述安全空间访问被所述第二系统解密的所述安全存储区包括：当验证通过时，提供安全通道，允许通过所述安全通道访问所述安全存储区中被解密的数据。上述方法还包括：当验证不通过时，提供普通通道，允许通过所述普通通道访问所述安全存储区中未被解密的数据。

可选地，所述访问请求用于表征用户直接使用安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者，所述访问请求用于表征所述主用户空间中的应用调用所述安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者，所述访问请求用于表征所述主用户空间中的应用直接访问位于所述安全空间的硬件层中的安全存储区。

可选地，上述将所述用户认证信息发送至独立于第一系统的第二系统中进行验证包括：将所述用户认证信息发送至位于所述安全空间的内核层中的可信代理组件，由所述可信代理组件将所述用户认证信息发送至所述第二系统中进行验证。

可选地，所述安全空间用于保证访问环境的安全。

本公开的另一个方面提供了一种电子设备，包括第一系统和第二系统。第一系统包括主用户空间和安全空间，所述主用户空间与所述安全空间相互独立，所述主用户空间与普通存储区对应，所述安全空间与安全存储区对应，所述安全存储区与所述普通存储区相隔离，所述安全存储区被加密。第二系统为可信辅助系统，所述第二系统独立于所述第一系统。第一系统用于获得访问请求，所述访问请求用于表征访问安全存储区；响应所述访问请求，获取用户认证信息；将所述用户认证信息发送至所述第二系统。第二系统用于对所述用户认证信息进行验证，如果所述用户认证信息验证通过，允许通过所述安全空间访问被所述第二系统解密的所述安全存储区。

可选地，第二系统中预存加密算法和相应的解密算法。第二系统还用于基于所述加密算法对所述安全存储区中的数据进行加密；并且/或者，第二系统还用于基于所述解密算法对所述安全存储区中的数据进行解密。

可选地，第二系统中预存关键信息变换规则。第二系统还用于在所述安全空间被创建时，基于所述关键信息变换规则对所述安全空间的可信认证信息进行变换，得到所述安全空间的可信认证信息对应的关键信息并保存。第二系统对所述用户认证信息进行验证包括：第二系统用于基于所述关键信息变换规则对所述用户认证信息进行变换，将变换得到的信息与所述安全空间对应的关键信息进行比对，如果相同则确定验证通过，如果不同则确定验证不通过。

可选地，上述第二系统当所述用户认证信息验证通过时，允许通过所述安全空间访问被所述第二系统解密的所述安全存储区包括：第二系统用于当验证通过时，提供安全通道，允许通过所述安全通道访问所述安全存储区中被解密的数据。第二系统还用于当验证不通过时，提供普通通道，允许通过所述普通通道访问所述安全存储区中未被解密的数据。

可选地，所述访问请求用于表征用户直接使用安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者，所述访问请求用于表征所述主用户空间中的应用调用所述安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者，所述访问请求用于表征所述主用户空间中的应用直接访问位于所述安全空间的硬件层中的安全存储区。

可选地，上述第一系统将所述用户认证信息发送至独立于第一系统的第二系统包括：第一系统用于将所述用户认证信息发送至位于所述安全空间的内核层中的可信代理组件，由所述可信代理组件将所述用户认证信息发送至所述第二系统，由第二系统进行验证。

可选地，所述安全空间用于保证访问环境的安全。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

本公开的另一方面提供了一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

附图说明

为了更完整地理解本公开及其优势，现在将参考结合附图的以下描述，其中：

图1示意性示出了根据本公开的实施例的系统安全处理方法和电子设备的应用场景；

图2示意性示出了根据本公开的实施例的系统安全处理方法的流程图；

图3示意性示出了根据本公开的实施例的系统安全处理方法的系统架构图；

图4示意性示出了根据本公开的实施例的电子设备的框图；以及

图5示意性示出了根据本公开的另一实施例的电子设备的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读存储介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。

本公开的实施例提供了一种系统安全处理方法以及能够应用该方法的电子设备。该方法包括访问请求获取阶段、认证阶段和访问阶段，在请求获取阶段，获得表征访问第一系统中的安全空间中的安全存储区的访问请求，此时安全存储区处于加密状态，响应于该访问请求，进入认证阶段，获得相应的用户认证信息，并将用户认证信息发送至独立于第一系统的第二系统中进行验证，如果验证通过则进入访问阶段，允许与上述访问请求相对应的对被第二系统解密后的安全存储区的访问。

图1示意性示出了根据本公开的实施例的系统安全处理方法和电子设备的应用场景。需要注意的是，图1所示仅为可以应用本公开实施例的场景的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，示出了应用安全处理方法的电子设备100，本实施例中电子设备100为智能手机，在其他实施例中电子设备100可以是平板、智能手表、智能电视、个人电脑、等等各种类型的电子设备，在此不做限制。

电子设备100的桌面上放置有对应于第一系统的安全空间的安全文件夹，安全文件夹中放置有应用A和应用B的应用图标，表明第一系统的安全空间在应用层包括应用A和应用B，第一系统的安全空间在硬件层包括安全存储区，安全存储区中存储有上述应用A和应用B的相关数据以及电子设备100中其他安全等级较高的数据。此外，电子设备100的桌面上在安全文件夹之外还放置有应用C的应用图标，表明第一系统除安全空间之外还包括主用户空间，第一系统的主用户空间在应用层包括应用C，第一系统的安全空间在硬件层包括普通存储区。

当获得关于安全存储区的访问请求时，无论是通过安全空间的应用层对硬件层的安全存储区的访问，还是直接通过硬件层对安全存储区的方法，都需要保证安全存储区中的实际内容不会被不可信用户或不可信应用获取。

图2示意性示出了根据本公开的实施例的系统安全处理方法的流程图。

如图2所示，该方法包括操作S201～S204。

在操作S201，获得访问请求，该访问请求用于表征访问第一系统的安全空间所对应的安全存储区，所述安全存储区被加密。

其中，第一系统包括安全空间和主用户空间，安全空间用于保证访问环境的安全，所述安全空间与所述主用户空间相互独立，第一系统的安全空间与安全存储区对应，第一系统的主用户空间与普通存储区对应，所述安全存储区与所述普通存储区相隔离，所述安全存储区被加密。安全空间的应用层用于存放第一系统中安全等级较高的应用，安全空间的安全存储区用于存储第一系统中安全等级较高的数据，主用户空间的应用层用于存放第一系统中安全等级低、不需要特殊保护的应用，主用户空间的普通存储区用于存储第一系统中安全等级低、不需要特殊保护的数据。

在操作S202，响应所述访问请求，获取用户认证信息。

其中可以通过提示获取用户输入的用户认证信息，也可以不经提示直接获取用户认证信息，在进行提示时可以采取多种提示方式，如语音提示、显示提示等，用户认证信息可以包括如指纹信息、图像信息、虹膜信息、密码信息、手势信息等等，在此均不做限制。

在操作S203，将所获取的用户认证信息发送至独立于第一系统的第二系统中进行验证，第二系统为可信辅助系统。

其中第二系统用于提供独立于第一系统的可信运行环境，使得在第二系统中进行用户认证信息的验证的验证结果可信。

在操作S204，如果所述用户认证信息验证通过，允许通过安全空间访问被第二系统解密的所述安全存储区。

可见，图2所示的方法在第一系统中划分了相互独立的主用户空间和安全空间，主用户空间所对应的普通存储区与安全空间所对应的安全存储区相隔离且安全存储区被加密，以对安全空间所对应的数据进行隔离保护，在对安全空间所对应的数据进行保护的过程中，另设有与第一系统相独立的第二系统，在获得表征对安全空间对应的安全存储区访问的访问请求时，获取相应的用户认证信息，将该用户认证信息转移至第二系统中进行隔离验证，保证了验证结果的真实性，并在验证通过时由第二系统对安全存储区进行隔离解密，允许通过验证的其他方对解密后的安全存储区进行访问，保证了安全空间所对应的数据的安全。

上述过程涉及到对第一系统的安全空间的安全存储区的加密和解密过程，为保证加解密过程的有效和安全，在本公开的一个实施例中，将加解密算法的管理和加解密运算均移交到第二系统中进行，具体地，第二系统中预存加密算法和相应的解密算法，安全存储区中的数据在第二系统中基于所述加密算法被加密，所述安全存储区中的数据在第二系统中基于所述解密算法被解密。可选地，第二系统对第一系统的安全存储区的加密可以是基于内容的加密方式，对于第一系统中未经验证的用户或应用来说，从加密后的安全存储区不能获得安全存储区的实际内容。

图2所示方法提到，在获得用户认证信息后要将用户认证信息发送至第二系统中进行验证，具体地，在本公开的一个实施例中，第二系统中预存关键信息变换规则，在第一系统的安全空间被创建时，设置该安全空间对应的一个或多个可信认证信息，基于第二系统中预存的关键信息变换规则对安全空间的可信认证信息进行变换，得到所述安全空间的可信认证信息对应的关键信息并存入第二系统，即第二系统中保存有关键信息变换规则和第一系统的安全空间的可信认证信息对应的关键信息，在其他实施例中第二系统中还可以保存有可信认证信息本身，由于第二系统可以提供可信执行环境，保存于第二系统中的关键信息变换规则和关键信息处于受保护状态。则第二系统对用户认证信息进行验证的过程为：在第二系统中基于所述关键信息变换规则对所述用户认证信息进行变换，将变换得到的信息与预存的安全空间对应的关键信息进行比对，如果相同则确定验证通过，如果不同则确定验证不通过。基于本实施例，保证了用户信息认证过程的安全，使得认证结果可信，以依据可信的认证结果实现安全的访问行为。

在本公开的一个实施例中，依据第二系统对用户认证信息的验证结果对访问请求进行安全决策时，包括以下两种情况：当验证通过时，提供安全通道，允许通过所述安全通道访问所述安全存储区中被解密的数据；以及，当验证不通过时，提供普通通道，允许通过所述普通通道访问所述安全存储区中未被解密的数据。其中安全通道和普通通道是第二系统在对用户认证信息进行验证后依据验证结果映射出的不同访问路径，前者可以访问到由第二系统解密后的安全存储区的数据，即可以获得安全存储区中真实的数据，而后者仅可以访问到仍处于加密状态的安全存储区的数据，所获得的数据为加密后的状态，无法获知数据的真实内容。

图2所示的方法中，需要进行用户认证信息的验证的访问请求用于表征访问第一系统的安全空间所对应的安全存储区，可以对应于以下几种访问操作：用户直接使用所述安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者，主用户空间中的应用调用所述安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者，主用户空间中的应用直接访问位于所述安全空间的硬件层中的安全存储区。前两种访问请求都是通过安全空间的应用层访问安全存储区，该种情况下，安全空间的应用层获取用户认证信息并发送至第二系统中进行验证，在验证通过后，安全空间依据第二系统所映射的安全通道访问到解密后的安全存储区的相应数据。最后一种访问请求是主用户空间的应用直接访问安全空间的硬件层中的安全存储区，实质上是主用户空间从其应用层直接访问安全空间的硬件层，直接访问到的是加密后的安全存储区，安全存储区在获得该访问请求后触发认证机制，安全空间的应用层响应于该认证机制获取用户认证信息并发送至第二系统中进行验证，在验证通过后，进行访问的应用依据第二系统所映射的安全通道访问到解密后的安全存储区的相应数据。

在本公开的一个实施例中，第一系统的安全空间与第二系统的交互是通过第一系统中的可信代理组件实现的，具体地，上述操作S203将用户认证信息发送至独立于第一系统的第二系统中进行验证包括：将用户认证信息发送至位于安全空间的内核层中的可信代理组件，由该可信代理组件将所述用户认证信息发送至所述第二系统中进行验证。由于该交互过程发生在第一系统的内核层，对用户无感知。

下面参考图3，结合具体实施例对图2所示的方法做进一步说明。

图3示意性示出了根据本公开的实施例的系统安全处理方法的系统架构图。

本实施例中，电子设备为智能手机，电子设备的操作系统为第一系统，该第一系统为Android系统，在其他例子中，可以使用其他电子设备，可以使用其他类型操作系统，在此不做限制。电子设备中还设置独立于第一系统的第二系统，具有自身的执行空间，比第一系统的安全级别更高，用于为第一系统提供安全服务。

如图3所示，第一系统整体上包括应用层(App层)、框架层(Framework层)、内核层(Kernel层)和硬件层(Hardware层)，第一系统被划分为相互独立的主用户空间和安全空间两部分，第一系统的主用户空间与普通存储区对应，第一系统的安全空间与安全存储区对应，所述安全存储区与所述普通存储区相隔离，所述安全存储区被加密。具体地，主用户空间的应用层用于存放第一系统中安全等级低、不需要特殊保护的应用，主用户空间在硬件层对应于普通存储区，普通存储区用于存储第一系统中安全等级低、不需要特殊保护的数据。安全空间的应用层用于存放第一系统中安全等级较高、需要特殊保护的应用，如涉及到支付、隐私等信息的应用，安全空间在硬件层对应于安全存储区，安全存储区用于存储第一系统中安全等级较高、需要特殊保护的数据，普通存储区与安全存储区相隔离。此外，安全空间在内核层还包括可信代理组件TA(Trusted Agent)，该可信代理组件TA可以与独立于第一系统的第二系统进行交互。

从图3可以看到，第二系统为可信辅助环境，第二系统提供TEE(TrustedExecution Environment，可信执行环境)，TEE是与第一系统并存的运行环境。第二系统中预存加密算法和解密算法，在第一系统的安全空间创建伊始，第二系统利用加密算法对第一系统的安全存储区进行基于内容的加密，未经认证的访问方所能获取到的安全存储区为被加密的安全存储区；在确认合法的访问方对安全存储区进行访问时，第二系统利用解密算法对安全存储区进行解密，以使合法的访问方能够获取安全存储区的真实内容。第二系统还预存关键信息变换规则和第一系统的安全空间的可信认证信息对应的关键信息，以用于对进行访问的用户认证信息进行验证。

则基于图3所示的系统架构执行系统安全保护过程：

主应用空间在应用层放置应用A，安全空间在应用层放置应用B和应用C，安全空间在硬件层对应的安全存储区中存储有应用B和应用C相关的数据以及其他一些安全级别较高的数据，如一些照片、文档等。

实施例一

用户直接使用安全空间中的应用B，如启动应用B，应用B需要读取存于安全存储区中的应用B相关的数据，则从安全空间的应用层发起访问安全存储区的访问请求，响应于该访问请求，调起认证界面以提示用户输入用户认证信息，在获得用户认证信息X后，应用层将用户认证信息X发送至内核层的TA组件，由TA组件将用户认证信息X发送至TEE。在TEE中，利用关键信息变换规则对户认证信息X进行变换得到f(X)，将f(X)与预存的关键信息进行比对，如果存在一致的关键信息，说明用户认证信息X可信，验证通过。在TEE中利用解密算法对安全存储区中的数据进行解密，并映射访问解密后的安全存储区的路径，使得应用B可以读取到相应的真实数据。如果不存在一致的关键信息，说明用户认证信息X不可信，验证不通过。TEE映射访问未解密的安全存储区的路径，使得应用B仅能读取到处于加密状态的数据。

实施例二

用户使用主用户空间中的应用A，应用A在运行过程中调用应用B，如应用A需启动应用B，此时应用B需要读取存于安全存储区中的应用B相关的数据，则从安全空间的应用层发起访问安全存储区的访问请求，响应于该访问请求，调起认证界面以提示用户输入用户认证信息，在获得用户认证信息X后，应用层将用户认证信息X发送至内核层的TA组件，由TA组件将用户认证信息X发送至TEE。在TEE中，利用关键信息变换规则对户认证信息X进行变换得到f(X)，将f(X)与预存的关键信息进行比对，如果存在一致的关键信息，说明用户认证信息X可信，验证通过。在TEE中利用解密算法对安全存储区中的数据进行解密，并映射访问解密后的安全存储区的路径，使得应用B可以读取到相应的真实数据，即应用A可以顺利调用应用B。如果不存在一致的关键信息，说明用户认证信息X不可信，验证不通过。TEE映射访问未解密的安全存储区的路径，使得应用B仅能读取到处于加密状态的数据，应用A不能调用应用B。

实施例三

主用户空间中的应用A为照片浏览器，用户使用应用A浏览照片，当需要浏览存于安全存储区中的照片时，则从主用户空间的应用层发起访问安全空间的硬件层的安全存储区的访问请求，此种情况下，安全存储区响应于该访问请求获知该访问请求为不具备权限的访问，则触发安全空间的认证机制，调起认证界面以提示用户输入用户认证信息，在获得用户认证信息X后，应用层将用户认证信息X发送至内核层的TA组件，由TA组件将用户认证信息X发送至TEE。在TEE中，利用关键信息变换规则对户认证信息X进行变换得到f(X)，将f(X)与预存的关键信息进行比对，如果存在一致的关键信息，说明用户认证信息X可信，验证通过，在TEE中利用解密算法对安全存储区中的数据进行解密，并映射访问解密后的安全存储区的路径，使得应用A可以读取到相应的真实数据，即用户通过应用A可以顺利浏览安全存储区中的照片。如果不存在一致的关键信息，说明用户认证信息X不可信，验证不通过，TEE映射访问未解密的安全存储区的路径，使得应用A仅能读取到处于加密状态的数据，用户通过应用A不能浏览安全存储区中的照片。

在上述实施例中，第二系统中预存的关键信息变换规则可以是不可逆的变换规则，这样其他方即便获取到关键信息也无法还原出可信认证信息，进一步加强验证过程的安全性。

可见，本公开的实施例提供了更高安全等级的系统安全处理方法，通过安全空间为用户提供了独立的隔离空间，在系统层对文件存储区分区也针对安全空间的安全存储区给出了定义，实现访问隔离。系统层通过引入安全的认证管理，为安全空间分配专属的可信认证信息，将可信认证信息的的相关信息在与第一系统想独立的第二系统中存储，用户认证信息的验证过程在第二系统提供的可信执行环境中进行，实现验证隔离。此外，对安全空间的安全存储区实现基于内容的加密方式，加解密算法管理和加解密运算也统一移交到第二系统提供的可信执行环境中执行，其中相关密钥由生产线生成时灌装到设备中，从而保证密钥的高安全性，在用户认证信息没有验证通过时，安全存储区处于加密状态，对用户或其他应用可见的只有加密后的数据，只有用户认证信息通过验证后，才进行安全存储区的解密操作，允许用户或应用访问安全存储区中解密后的数据。

图4示意性示出了根据本公开的实施例的电子设备的框图。

如图4所示，电子设备400包括第一系统410和第二系统420。该电子设备400可以执行上面参考图2～图3描述的方法，以实现更高级别的系统安全。

第一系统410包括主用户空间411和安全空间412，主用户空间411与安全空间412相互独立，主用户空间411包括普通存储区411a，安全空间412包括安全存储区412a，安全存储区412a与普通存储区411a相隔离，安全存储区412a被加密。

第二系统420为可信辅助系统，第二系统420独立于第一系统410。

第一系统410用于获得访问请求，该访问请求用于表征访问安全存储区412a；响应所述访问请求，获取用户认证信息；将所述用户认证信息发送至所述第二系统420。

第二系统420用于对所述用户认证信息进行验证，如果所述用户认证信息验证通过，允许通过安全空间412访问被所述第二系统解密的安全存储区412a。

在本公开的一个实施例中，第二系统420中预存加密算法和相应的解密算法。第二系统420还用于基于所述加密算法对安全存储区中412a的数据进行加密；并且/或者，第二系统420还用于基于所述解密算法对安全存储区412a中的数据进行解密。

在本公开的一个实施例中，第二系统420中预存关键信息变换规则。第二系统420还用于在安全空间412被创建时，基于关键信息变换规则对安全空间412的可信认证信息进行变换，得到安全空间412的可信认证信息对应的关键信息并保存。

具体地，第二系统420对所述用户认证信息进行验证包括：第二系统420用于基于关键信息变换规则对用户认证信息进行变换，将变换得到的信息与安全空间412对应的关键信息进行比对，如果相同则确定验证通过，如果不同则确定验证不通过。

在本公开的一个实施例中，上述第二系统420当所述用户认证信息验证通过时，允许通过安全空间412访问被第二系统420解密的所述安全存储区412a包括：第二系统420用于当验证通过时，提供安全通道，允许通过所述安全通道访问所述安全存储区412a中被解密的数据。以及，第二系统420还用于当验证不通过时，提供普通通道，允许通过所述普通通道访问所述安全存储区412a中未被解密的数据。

在本公开的一个实施例中，所述访问请求用于表征用户直接使用安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者，所述访问请求用于表征所述主用户空间中的应用调用所述安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者，所述访问请求用于表征所述主用户空间中的应用直接访问位于所述安全空间的硬件层中的安全存储区。

在本公开的一个实施例中，上述第一系统410将所述用户认证信息发送至独立于第一系统410的第二系统420包括：第一系统410用于将所述用户认证信息发送至位于所述安全空间412的内核层中的可信代理组件，由所述可信代理组件将所述用户认证信息发送至所述第二系统420，由第二系统420进行验证。

根据本公开的实施例，所述安全空间用于保证访问环境的安全。

需要说明的是，装置部分实施例中各模块/单元/子单元等的实施方式、解决的技术问题、实现的功能、以及达到的技术效果分别与方法部分实施例中各对应的步骤的实施方式、解决的技术问题、实现的功能、以及达到的技术效果相同或类似，在此不再赘述。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，可以由一个或多个模块执行第一系统410的功能，如果有多个模块，其中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，执行第一系统410的功能的一个或多个模块中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，执行第一系统410的功能的一个或多个模块中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

又例如，可以由一个或多个模块执行第二系统420的功能，如果有多个模块，其中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，执行第二系统420的功能的一个或多个模块中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，执行第二系统420的功能的一个或多个模块中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图5示意性示出了根据本公开的另一实施例的适于实现上文描述的方法的电子设备的框图。图5示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图5所示，电子设备500包括处理器510和计算机可读存储介质520，处理器510对应于第一系统，计算机可读存储介质520包括相互独立的普通存储区和安全存储区，此外，电子设备500还包括辅助处理器530和辅助计算机可读存储介质540，辅助处理器530对应于第二系统，辅助计算机可读存储介质540对应于第二系统中的存储区。该电子设备500可以执行根据本公开实施例的方法。

具体地，处理器510例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器510还可以包括用于缓存用途的板载存储器。处理器510可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

计算机可读存储介质520，例如可以是非易失性的计算机可读存储介质，具体示例包括但不限于：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；等等。

计算机可读存储介质520可以包括计算机程序521，该计算机程序521可以包括代码/计算机可执行指令，其在由处理器510执行时使得处理器510执行根据本公开实施例的方法或其任何变形。

计算机程序521可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序521中的代码可以包括一个或多个程序模块，例如包括521A、模块521B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器510执行时，使得处理器510可以执行根据本公开实施例的方法或其任何变形。

辅助处理器530例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。辅助处理器530还可以包括用于缓存用途的板载存储器。辅助处理器530可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

辅助计算机可读存储介质540，例如可以是非易失性的计算机可读存储介质，具体示例包括但不限于：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；等等。

辅助计算机可读存储介质540可以包括计算机程序541，该计算机程序541可以包括代码/计算机可执行指令，其在由辅助处理器530执行时使得辅助处理器530执行根据本公开实施例的方法或其任何变形。

计算机程序541可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序541中的代码可以包括一个或多个程序模块，例如包括541A、模块541B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被辅助处理器530执行时，使得辅助处理器530可以执行根据本公开实施例的方法或其任何变形。

根据本发明的实施例，可以由一个或多个模块执行第一系统410的功能，这些模块中的至少一个可以实现为参考图5描述的计算机程序模块，其在被处理器510执行时，可以实现上面描述的第一系统410的相应操作。

根据本发明的实施例，可以由一个或多个模块执行第二系统420的功能，这些模块中的至少一个可以实现为参考图5描述的计算机程序模块，其在被辅助处理器530执行时，可以实现上面描述的第二系统420的相应操作。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。

Claims (10)

1.一种系统安全处理方法，包括：

获得访问请求，所述访问请求用于表征访问安全存储区；其中，第一系统的安全空间与所述安全存储区对应；所述第一系统的主用户空间与普通存储区对应，所述安全空间与所述主用户空间相互独立，所述安全存储区与所述普通存储区相隔离，所述安全存储区被加密；

响应所述访问请求，获取用户认证信息；

将所述用户认证信息发送至独立于所述第一系统的第二系统中进行验证，所述第二系统为可信辅助系统；

如果所述用户认证信息验证通过，允许通过所述安全空间访问被所述第二系统解密的所述安全存储区。

2.根据权利要求1所述的方法，其中：

所述第二系统中预存加密算法和相应的解密算法；

所述安全存储区中的数据在所述第二系统中基于所述加密算法被加密；

所述安全存储区中的数据在所述第二系统中基于所述解密算法被解密。

3.根据权利要求1所述的方法，其中：

所述第二系统中预存关键信息变换规则；

所述方法还包括：在所述安全空间被创建时，基于所述关键信息变换规则对所述安全空间的可信认证信息进行变换，得到所述安全空间的可信认证信息对应的关键信息并存入所述第二系统；

所述将所述用户认证信息发送至独立于所述第一系统的第二系统中进行验证包括：在第二系统中基于所述关键信息变换规则对所述用户认证信息进行变换，将变换得到的信息与所述安全空间对应的关键信息进行比对，如果相同则确定验证通过，如果不同则确定验证不通过。

4.根据权利要求3所述的方法，其中：

所述如果所述用户认证信息验证通过，允许通过所述安全空间访问被所述第二系统解密的所述安全存储区包括：当验证通过时，提供安全通道，允许通过所述安全通道访问所述安全存储区中被解密的数据；

所述方法还包括：当验证不通过时，提供普通通道，允许通过所述普通通道访问所述安全存储区中未被解密的数据。

5.根据权利要求1所述的方法，其中：

所述访问请求用于表征用户直接使用所述安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者

所述访问请求用于表征所述主用户空间中的应用调用所述安全空间中的应用时，通过位于所述安全空间的应用层中的应用访问位于所述安全空间的硬件层中的安全存储区；并且/或者

所述访问请求用于表征所述主用户空间中的应用直接访问位于所述安全空间的硬件层中的安全存储区。

6.根据权利要求1所述的方法，其中，所述将所述用户认证信息发送至独立于所述第一系统的第二系统中进行验证包括：

将所述用户认证信息发送至位于所述安全空间的内核层中的可信代理组件，由所述可信代理组件将所述用户认证信息发送至所述第二系统中进行验证。

7.根据权利要求1所述的方法，其中，所述安全空间用于保证访问环境的安全。

8.一种电子设备，包括：第一系统和第二系统；

所述第一系统包括主用户空间和安全空间，所述主用户空间与所述安全空间相互独立，所述主用户空间与普通存储区对应，所述安全空间与安全存储区对应，所述安全存储区与所述普通存储区相隔离，所述安全存储区被加密；

所述第二系统为可信辅助系统，所述第二系统独立于所述第一系统；

所述第一系统，用于获得访问请求，所述访问请求用于表征访问安全存储区；响应所述访问请求，获取用户认证信息；将所述用户认证信息发送至所述第二系统；

所述第二系统，用于对所述用户认证信息进行验证，如果所述用户认证信息验证通过，允许通过所述安全空间访问被所述第二系统解密的所述安全存储区。

9.根据权利要求8所述的电子设备，其中：

所述第二系统中预存加密算法和相应的解密算法；

所述第二系统，还用于基于所述加密算法对所述安全存储区中的数据进行加密；并且/或者，还用于基于所述解密算法对所述安全存储区中的数据进行解密。

10.根据权利要求8所述的电子设备，其中：

所述第二系统中预存关键信息变换规则；

所述第二系统，还用于在所述安全空间被创建时，基于所述关键信息变换规则对所述安全空间的可信认证信息进行变换，得到所述安全空间的可信认证信息对应的关键信息并保存；

所述第二系统对所述用户认证信息进行验证包括：所述第二系统，用于基于所述关键信息变换规则对所述用户认证信息进行变换，将变换得到的信息与所述安全空间对应的关键信息进行比对，如果相同则确定验证通过，如果不同则确定验证不通过。