CN110909357A

CN110909357A - 一种电子本及其控制方法

Info

Publication number: CN110909357A
Application number: CN201911002073.3A
Authority: CN
Inventors: 李新; 徐祥毅; 张巧玲; 王淳
Original assignee: Qingdao Hisense Electronic Equipment Co Ltd
Current assignee: Qingdao Hisense Electronic Equipment Co Ltd
Priority date: 2019-10-21
Filing date: 2019-10-21
Publication date: 2020-03-24
Anticipated expiration: 2039-10-21
Also published as: CN110909357B

Abstract

本发明提供了一种电子本和控制方法，电子本和控制方法采用可信引导、内核度量、数据加密等技术，大大提高了电子本的安全性。本发明电子本继承了以密码为基础的安全手段，又结合了物理安全、运行安全、数据安全、内容安全、传输安全等技术，进一步提高了电子本的安全性。

Description

一种电子本及其控制方法

技术领域

本发明属于电子本技术领域，具体涉及一种电子本及其控制方法。

背景技术

目前商用电子本多数采用国外的硬件平台（核心部件包括CPU、DDR、FLASH、通信芯片等），操作系统主要是基于Android原生态系统进行定制开发，存在极大的安全风险，诸多系统漏洞和监控后门不为使用者所知，极易导致敏感数据不知不觉中被窃取或者被恶意篡改、破坏，严重威胁着人们的人身和财产安全，并造成极大的社会不良影响。现有电子本安全管控强度低，黑客借助系统漏洞、内存泄露或者野蛮破解密码等方式入侵用户系统，窃取用户信息。

本背景技术所公开的上述信息仅仅用于增加对本申请背景技术的理解，因此，其可能包括不构成本领域普通技术人员已知的现有技术。

发明内容

本发明针对现有技术中存在的上述问题，提供一种电子本和控制方法，以解决现有电子本安全性低的技术问题。

为达到上述技术目的，本发明采用以下技术方案实现：

一种电子本，包括：

可信执行环境安全芯片，预置Hash值，用于读取Bootloader并计算所述Bootloader的Hash值，将计算的Hash值与预置的Hash值比较，在相符时加载Bootloader；用于接收内核度量模块的恢复内核信号时，读取可信存储空间的可信微内核替换受损微内核；

Bootloader，预置负责验证系统完整性的公钥，用于验证操作系统微内核的完整性，在完整时，加载所述操作系统微内核；

操作系统微内核，用于验证操作系统框架的完整性，在所述操作系统框架完整时，加载所述操作系统框架；所述操作系统微内核包括加解密模块，所述加解密模块用于调用加密芯片中的加解密算法对应用程序数据加密处理后写入用户存储空间，对用户存储空间的数据进行解密处理后传递至应用程序；

加密芯片，用于存储所述加解密算法；

用户存储空间，用于存储所述应用程序数据；

内核度量模块，用于微内核的受损检测与可信恢复，发送恢复微内核信号给所述可信执行环境安全芯片；

可信存储空间，用于存储可信微内核；

操作系统框架，用于验证应用程序的完整性；用于将应用程序的指令封装成标准接口后传递至微内核；

应用程序，用于与用户交互。

如上所述的电子本，所述可信存储空间用于保存用户和密码信息，数据加密的秘钥保存在UKEY中，所述微内核判断用户和密码信息正确后，加载所述UKEY中的秘钥至所述加密芯片。

如上所述的电子本，所述应用程序互相隔离，每个应用程序具有单独的ID号、安装目录和工作目录。

如上所述的电子本，所述操作系统微内核用于接收应用商店的证书，利用所述证书对应用程序进行完整性验证，在验证通过时安装所述应用程序。

如上所述的电子本，所述电子本连接有认证适配器，所述认证适配器包括USB接口芯片和控制芯片，所述控制芯片通过所述USB接口芯片读取所述电子本的硬件信息，若硬件信息与所述控制芯片预置的授权文件信息合法，则确认所述电子本为授权绑定的电子本。

一种电子本控制方法，所述方法为：

可信执行环境安全芯片，读取Bootloader并计算所述Bootloader的Hash值，将计算的Hash值与预置的Hash值比较，在相符时加载Bootloader；在接收内核度量模块的恢复内核信号时，读取可信存储空间的可信微内核替换受损微内核；

Bootloader，验证操作系统微内核的完整性，在完整时，加载所述操作系统微内核；

操作系统微内核，验证操作系统框架的完整性，在操作系统框架完整时，加载所述操作系统框架；所述操作系统微内核的加解密模块调用加密芯片中存储的加解密算法对应用程序数据加密处理后写入用户存储空间，对用户存储空间的数据进行解密处理后传递至应用程序；

内核度量模块，对微内核进行受损检测与可信恢复，发送恢复微内核信号给所述可信执行环境安全芯片；

操作系统框架，验证应用程序的完整性，在完整时，启动应用程序；将应用程序的指令封装成标准接口后传递至微内核。

如上所述的控制方法，判断输入的用户和密码信息是否与可信存储空间的用户和密码信息一致，若一致，读取UKEY中的数据加密秘钥至所述加密芯片，完成秘钥加载。

如上所述的控制方法，对每个应用程序分配单独的ID号、安装目录和工作目录。

如上所述的控制方法，所述操作系统微内核接收应用商店的证书，利用所述证书对应用程序进行完整性验证，在验证通过时安装所述应用程序。

如上所述的控制方法，所述电子本连接有认证适配器，所述认证适配器读取所述电子本的硬件信息，若硬件信息与所述电子适配器预置的授权文件信息合法，则确认所述电子本为授权绑定的电子本。

与现有技术相比，本发明的优点和积极效果是：本发明电子本和控制方法采用可信引导、内核度量、数据加密等技术，大大提高了电子本的安全性。本发明电子本继承了以密码为基础的安全手段，又结合了物理安全、运行安全、数据安全、内容安全、传输安全等技术，进一步提高了电子本的安全性。

结合附图阅读本发明的具体实施方式后，本发明的其他特点和优点将变得更加清楚。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明具体实施例电子本的原理框图。

图2为本发明具体实施例电子本控制方法的流程图。

具体实施方式

下面参照附图来描述本发明的优选实施方式。本领域技术人员应当理解的是，这些实施方式仅仅用于解释本发明的技术原理，并非旨在限制本发明的保护范围。

需要说明的是，在本发明的描述中，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域技术人员而言，可根据具体情况理解上述术语在本发明中的具体含义。

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。

本实施例提出了一种电子本和控制方法，采用可信引导、内核度量、数据加密等技术，大大提高了电子本的安全性。本实施例电子本继承了以密码为基础的安全手段，又结合了物理安全、运行安全、数据安全、内容安全、传输安全等技术，进一步提高了电子本的安全性。

下面首先对电子本进行说明：

如图1所示，本实施例提出了一种电子本，包括可信执行环境安全芯片、Bootloader、操作系统微内核、加密芯片、用户存储空间、内核度量模块、可信存储空间、操作系统框架和应用程序。下面对各个组成部分进行具体说明：

可信执行环境安全芯片，该芯片集成在电子本的主板中，预置Hash值，在生产制造过程中将Bootloader的Hash值写入其中，一次性写入后，不能修改，故可作为系统的信任根存在。可信执行环境安全芯片在启动时用于读取Bootloader并计算Bootloader的Hash值，将计算的Hash值与预置的Hash值比较，在相符时说明Bootloader是可信的，加载Bootloader。

可信执行环境安全芯片用于接收内核度量模块的恢复内核信号时，读取可信存储空间的可信微内核替换受损微内核。

Bootloader，预置负责验证系统完整性的CA公钥，在加载操作系统微内核时，用于利用数字签名技术验证操作系统微内核的完整性，在微内核完整时验证通过，加载操作系统微内核，否则终止启动流程。

操作系统微内核，用于验证操作系统框架的完整性，在操作系统框架完整时，加载操作系统框架。

为保证操作系统的安全可信，在电子本启动加载每个组件时，需要首先验证各组件的完整性，如果发现某个组件被修改，则终止启动流程，进行可信恢复。电子本启动时，最早执行的是可信执行环境安全芯片。

操作系统微内核包括加解密模块，加解密模块用于调用加密芯片中的加解密算法对应用程序数据加密处理后写入用户存储空间，对用户存储空间的数据进行解密处理后传递至应用程序。由于内核层代码具有更高的运行特权，可以实行更为严密的安全检查，因此微内核中加解密模块的安全性比应用层和系统层更高。

加密芯片，用于存储加解密算法。

用户存储空间，用于存储应用程序数据。

内核度量模块，用于微内核的受损检测与可信恢复，发送恢复微内核信号给可信执行环境安全芯片。

可信存储空间，用于存储可信微内核。

操作系统微内核与用户态是通过操作系统框架严格隔离开并且有着各种防护和安全检查手段的。常见的对内核的攻击包括ROP、Rootkit提权攻击、Buffer Overflow等，引入内核度量技术可以发现此类攻击。而且内核度量模块运行于比系统内核优先级更高的状态，可以保证一个因受到攻击完整性已经被破坏的内核能够可信的恢复到一个安全的状态。在隔离的可信存储空间预置了安全可信内核，用于内核的恢复，在检测到内核完整性受到破坏后，则重新启动系统，在系统启动过程中，可信执行环境启动内核可信恢复流程，使用存储的安全可信内核替换受损内存，完成内核的可信恢复。

操作系统框架，用于验证应用程序的完整性；用于将应用程序的指令封装成标准接口后传递至微内核。

应用程序，用于与用户交互。

本实施例操作系统是基于“微内核+内核度量”技术构建的一个安全操作系统架构。微内核提供了比传统内核更底层的软件层进行数据加密、动态度量和干预的能力，可以大大提高系统的整体安全性。基于微内核的内核度量技术提供内核的受损检测与可信恢复的能力，大大提高系统的可靠性与可用性，同时操作系统支持虚拟机管理功能，例如内存隔离、访问控制、调度算法、通讯机制等，并且拥有完整的用户态软件栈可以支撑软件生态。

进一步的，可信存储空间用于保存用户和密码信息，数据加密的秘钥保存在UKEY中，微内核判断用户和密码信息正确后，加载UKEY中的秘钥至加密芯片。本实施例电子本支持口令和UKEY身份双重认证方式，在电子本的USB口插入UKEY，在电子本上输入正确的密码后才可进入系统界面进行操作，为了鉴别用户身份，需要在可信存储空间中保存用户和密码信息，数据加密的密钥保存在UKEY中，用户输入正确口令之后，才能完成密钥加载的过程。

存储在电子本上的应用数据、用户数据均为加密数据，为了进一步保护应用数据的机密性、完整性，操作系统将应用软件的数据进行相互隔离。应用程序互相隔离，每个应用程序具有单独的ID号、安装目录和工作目录。

操作系统微内核用于接收应用商店的证书，利用证书对应用程序进行完整性验证，在验证通过时安装应用程序，可以有效的抵御攻击者在应用发布环节的攻击行为。

电子本连接有认证适配器，认证适配器包括USB接口芯片和控制芯片组成的认证电路，控制芯片通过USB接口芯片读取电子本的硬件信息，若硬件信息与控制芯片预置的授权文件信息合法，则确认电子本为授权绑定的电子本，则放行允许电子本接入专用计算机，并可相互之间传递数据。

本实施例还提出了一种电子本控制方法：

可信执行环境安全芯片，读取Bootloader并计算Bootloader的Hash值，将计算的Hash值与预置的Hash值比较，在相符时加载Bootloader；在接收内核度量模块的恢复内核信号时，读取可信存储空间的可信微内核替换受损微内核；

Bootloader，验证操作系统微内核的完整性，在完整时，加载操作系统微内核；

操作系统微内核，验证操作系统框架的完整性，在操作系统框架完整时，加载操作系统框架；操作系统微内核的加解密模块调用加密芯片中存储的加解密算法对应用程序数据加密处理后写入用户存储空间，对用户存储空间的数据进行解密处理后传递至应用程序；

内核度量模块，对微内核进行受损检测与可信恢复，发送恢复微内核信号给可信执行环境安全芯片；

判断输入的用户和密码信息是否与可信存储空间的用户和密码信息一致，若一致，读取UKEY中的数据加密秘钥至加密芯片，完成秘钥加载。

对每个应用程序分配单独的ID号、安装目录和工作目录。

操作系统微内核接收应用商店的证书，利用证书对应用程序进行完整性验证，在验证通过时安装应用程序。

电子本连接有认证适配器，认证适配器读取电子本的硬件信息，若硬件信息与电子适配器预置的授权文件信息合法，则确认电子本为授权绑定的电子本。

如图2所示，本实施例电子本的控制启动方法具体包括如下步骤：

S1、可信执行环境安全芯片，读取Bootloader并计算Bootloader的Hash值，将计算的Hash值与预置的Hash值比较，在相符时加载Bootloader。

S2、Bootloader验证操作系统微内核的完整性，在完整时，加载操作系统微内核。

S3、内核度量模块对微内核进行受损检测与可信恢复，判断是否需要可信恢复，若是，进入步骤S4，否则，进入步骤S6。

S4、发送恢复微内核信号给可信执行环境安全芯片。

S5、在接收内核度量模块的恢复内核信号时，读取可信存储空间的可信微内核替换受损微内核。

S6、操作系统微内核验证操作系统框架的完整性，在操作系统框架完整时，加载操作系统框架。

S7、判断输入的用户和密码信息是否与可信存储空间的用户和密码信息一致，若一致，读取UKEY中的数据加密秘钥至加密芯片的加解密算法，完成秘钥加载。

S8、操作系统框架验证应用程序的完整性，在完整时，启动应用程序；将应用程序的指令封装成标准接口后传递至微内核。

S9、操作系统微内核的加解密模块调用加密芯片中存储的加解密算法对应用程序数据加密处理后写入用户存储空间，对用户存储空间的数据进行解密处理后传递至应用程序。

以上实施例仅用以说明本发明的技术方案，而非对其进行限制；尽管参照前述实施例对本发明进行了详细的说明，对于本领域的普通技术人员来说，依然可以对前述实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或替换，并不使相应技术方案的本质脱离本发明所要求保护的技术方案的精神和范围。

Claims

1.一种电子本，其特征在于，包括：

加密芯片，用于存储所述加解密算法；

用户存储空间，用于存储所述应用程序数据；

可信存储空间，用于存储可信微内核；

应用程序，用于与用户交互。

2.根据权利要求1所述的电子本，其特征在于，所述可信存储空间用于保存用户和密码信息，数据加密的秘钥保存在UKEY中，所述微内核判断用户和密码信息正确后，加载所述UKEY中的秘钥至所述加密芯片。

3.根据权利要求1所述的电子本，其特征在于，所述应用程序互相隔离，每个应用程序具有单独的ID号、安装目录和工作目录。

4.根据权利要求1所述的电子本，其特征在于，所述操作系统微内核用于接收应用商店的证书，利用所述证书对应用程序进行完整性验证，在验证通过时安装所述应用程序。

5.根据权利要求1所述的电子本，其特征在于，所述电子本连接有认证适配器，所述认证适配器包括USB接口芯片和控制芯片，所述控制芯片通过所述USB接口芯片读取所述电子本的硬件信息，若硬件信息与所述控制芯片预置的授权文件信息合法，则确认所述电子本为授权绑定的电子本。

6.一种电子本控制方法，其特征在于，所述方法为：

7.根据权利要求6所述的控制方法，其特征在于，判断输入的用户和密码信息是否与可信存储空间的用户和密码信息一致，若一致，读取UKEY中的数据加密秘钥至所述加密芯片，完成秘钥加载。

8.根据权利要求6所述的控制方法，其特征在于，对每个应用程序分配单独的ID号、安装目录和工作目录。

9.根据权利要求6所述的控制方法，其特征在于，所述操作系统微内核接收应用商店的证书，利用所述证书对应用程序进行完整性验证，在验证通过时安装所述应用程序。

10.根据权利要求6所述的控制方法，其特征在于，所述电子本连接有认证适配器，所述认证适配器读取所述电子本的硬件信息，若硬件信息与所述电子适配器预置的授权文件信息合法，则确认所述电子本为授权绑定的电子本。