CN112765637A - 数据处理方法、密码服务装置和电子设备 - Google Patents

Abstract

本申请提供一种数据处理方法、密码服务装置和电子设备，该方法应用于密码服务系统中的密码服务装置，密码服务系统的运行环境包括：基于TrustZone技术的普通执行环境和安全执行环境，该装置包括：部署在安全执行环境中的安全应用模块，以及部署在普通执行环境中的安全代理服务模块，该方法包括：安全代理服务模块接收业务系统的密码服务调用请求；安全代理服务模块对业务系统以及该请求进行验证；安全代理服务模块在确定业务系统以及密码服务调用请求通过验证时，根据密码服务调用请求对应的请求操作类型，执行密码服务调用请求对应的非安全要求密码操作或调用安全应用模块执行密码服务调用请求对应的密码服务安全操作，得到操作结果。

Description

数据处理方法、密码服务装置和电子设备

技术领域

本申请涉及信息安全技术领域，具体而言，涉及一种数据处理方法、密码服务装置和电子设备。

背景技术

在保障数据安全的各种手段中，密码技术被认为是最为有效、可靠的核心技术。为了保护信息系统的业务数据、业务操作，一种处理方式是由业务系统自身提供一套密码服务，所有密码相关的功能由业务系统的自身服务实现，但这种方式对于业务系统的要求较高。另一种处理方式是利用现成的、经过权威机构认证过的密码模块来提供全部的安全服务，即，业务系统采用外部的密码模块来提供密码服务。密码模块是指一系列包含于密码边界之中的，执行已批准或者已认可的安全功能(包括密码算法和密钥生成功能)的硬件、软件和/或固件。

目前，信息系统使用密码服务的主要方式是利用外部密码模块来实现。密码模块提供服务的形式基本一致，信息系统通过调用密码模块提供的应用编程接口，实现对于信息的加密、解密、签名、验证、完整性检查等密码服务功能，以此实现信息安全。

但是，目前的密码模块难以兼顾安全性和使用成本。

发明内容

本申请的目的在于提供一种数据处理方法、密码服务装置和电子设备，能够改善现有技术中的密码模块难以兼顾安全性和使用成本的问题。

第一方面，本申请提供一种数据处理方法，应用于密码服务系统中的密码服务装置，所述密码服务系统的运行环境包括：基于TrustZone技术的普通执行环境和安全执行环境，所述密码服务装置包括：部署在所述安全执行环境中的安全应用模块，以及部署在所述普通执行环境中的安全代理服务模块，所述方法包括：

所述安全代理服务模块接收业务系统的密码服务调用请求；

所述安全代理服务模块对所述业务系统以及所述密码服务调用请求进行验证；

所述安全代理服务模块在确定所述业务系统以及所述密码服务调用请求通过验证时，根据所述密码服务调用请求对应的请求操作类型，执行所述密码服务调用请求对应的非安全要求密码操作或调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果。

在上述方法中，密码服务装置提供的密码服务基于TrustZone技术下特有的普通执行环境和安全执行环境实现，利用TrustZone对于普通世界和安全世界的划分，在普通执行环境和安全执行环境中分别部署安全代理服务模块和安全应用模块，不需要依赖外部独立硬件提供密码服务，便于用户使用，使用成本较低。其中，通过前述部署的安全代理服务模块对业务系统以及业务系统发起的请求都进行了验证，提升了安全性，在通过验证的情况下，安全代理服务模块可以在普通执行环境下完成非安全要求密码操作，还可以代理安全要求的密码操作，调用安全应用模块在安全执行环境下进行密码服务安全操作，提升了安全性。由于敏感的安全运算都在TrustZone保护的安全执行环境中执行，非安全要求的操作运算在普通执行环境下执行，因此，在保障了安全性的基础上，可以减少对于安全执行环境的访问次数，可提升处理效率，便于用户使用。

在可选的实施方式中，所述根据所述密码服务调用请求对应的请求操作类型，执行所述密码服务调用请求对应的非安全要求密码操作或调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果，包括：在确定所述请求操作类型为第一类型时，所述安全代理服务模块执行所述密码服务调用请求对应的非安全要求密码操作，得到操作结果；所述第一类型表示在操作过程中仅需使用所述普通执行环境下的本地信息和/或公开信息的类型。

通过上述实施方式，可以减少普通执行环境与安全执行环境之间的切换频率，降低交互复杂性，可提升处理效率。

在可选的实施方式中，所述根据所述密码服务调用请求对应的请求操作类型，执行所述密码服务调用请求对应的非安全要求密码操作或调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果，包括：在确定所述请求操作类型为第二类型时，所述安全代理服务模块调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果；所述第二类型表示需要在操作过程中使用所述安全执行环境下的非公开信息的类型。

通过上述实施方式，基于TrustZone技术提供的安全保护机制，安全应用模块在受保护的安全执行环境下运行，敏感的非公开信息仅存在于安全执行环境，涉及非公开信息的操作可以在TrustZone保护的安全执行环境中处理，安全应用模块根据安全代理服务模块的调用过程为业务系统提供密码服务，提升了安全性。

在可选的实施方式中，所述安全代理服务模块调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果，包括：所述安全代理服务模块通过所述安全执行环境提供的客户端接口和内部接口形成的可信传输路径，将所述密码服务调用请求提供给所述安全应用模块；所述安全应用模块在接收到所述密码服务调用请求时，对所述安全代理服务模块进行身份验证；在所述安全代理服务模块通过身份验证时，所述安全应用模块在所述安全执行环境下执行所述密码服务调用请求对应的密码服务安全操作，得到所述操作结果；所述安全应用模块将所述操作结果通过所述可信传输路径发送给所述安全代理服务模块，以供所述安全代理服务模块将所述操作结果提供给所述业务系统。

通过上述实施方式，安全应用模块对访问自己的安全代理服务模块进行了验证，只接受通过验证的模块所发起的调用过程，根据该调用过程为请求者提供密码服务，并且是基于TrustZone的普通执行环境和安全执行环境之间的可信传输路径进行数据传输，因此可以提高安全性。

在可选的实施方式中，所述非公开信息包括：通过所述安全执行环境的安全机制加密过的安全策略和安全参数，所述安全策略用于提供给所述安全代理服务模块，以供所述安全代理服务模块根据所述安全策略对所述业务系统以及所述密码服务调用请求进行验证，所述安全参数用于提供给所述安全应用模块，以供所述安全应用模块根据所述安全参数对所述安全代理服务模块进行验证，或根据所述安全参数和所述密码服务调用请求执行密码服务安全操作。

通过上述实施方式，参与访问控制、参与安全运算操作的敏感信息在被加密后存储在TrustZone安全世界的存储环境(即安全执行环境)中，安全代理服务模块、安全应用模块在基于这些被加密的内容为外部的业务系统提供安全服务的情况下，可以提升安全性。

在可选的实施方式中，在所述安全代理服务模块接收业务系统的密码服务调用请求之前，所述方法还包括：通过所述安全代理服务模块进行初始化操作，并将初始化产生的数据通过所述安全应用模块存入所述安全执行环境中，初始化操作的内容包括：生成密钥对、生成主密钥、导入数字证书、配置用于身份验证的安全策略、导入可信证书链、导入代码签名中的至少一者。

通过上述实施方式，可以设置密码服务装置的初始安全状态，便于调用使用。

在可选的实施方式中，所述安全代理服务模块对所述业务系统以及所述密码服务调用请求进行验证，包括：所述安全代理服务模块获取预先配置的安全策略；所述安全代理服务模块在接收到所述密码服务调用请求时，根据所述安全策略对所述业务系统进行身份验证，以及根据所述安全策略判断当前是否允许处理所述密码服务调用请求。

通过上述实施方式，安全代理服务模块在提供密码服务之前，先基于预先配置的安全策略，对访问自身的业务系统以及接受到的请求进行了验证，提高了密码服务应用的整体安全性。

在可选的实施方式中，所述密码服务装置还包括：部署在所述普通执行环境中的安全调用接口；所述安全代理服务模块接收业务系统的密码服务调用请求，包括：所述安全代理服务模块接收所述业务系统通过调用所述安全调用接口发送的所述密码服务调用请求；在所述安全代理服务模块得到所述操作结果后，所述方法还包括：通过所述安全调用接口将所述操作结果发送给所述业务系统。

通过上述实施方式，业务系统可以通过访问安全调用接口来调用密码服务装置提供的密码服务。

在可选的实施方式中，所述方法还包括：所述安全代理服务模块响应管理员的管理配置操作，根据所述管理配置操作的类型进行密钥管理操作、证书管理操作，或安全策略配置操作。

通过上述实施方式，可以在提供可靠密码服务的基础上，提供密钥管理、证书管理、安全策略配置等管理配置功能。

在可选的实施方式中，所述密码服务装置中包括多个安全代理服务模块和多个安全应用模块；所述多个安全代理服务模块中的每个模块用于与至少一个安全应用模块进行数据交互，所述多个安全应用模块中的每个模块用于为至少一个安全代理服务模块提供密码服务。

第二方面，本申请提供一种密码服务装置，包括：部署在安全执行环境中的安全应用模块，以及部署在普通执行环境中的安全代理服务模块，所述安全执行环境和所述普通执行环境是基于TrustZone技术提供的两种运行环境；

所述安全代理服务模块，用于接收业务系统的密码服务调用请求；

所述安全代理服务模块，还用于对所述业务系统以及所述密码服务调用请求进行验证；

所述安全代理服务模块，还用于在确定所述业务系统以及所述密码服务调用请求通过验证时，根据所述密码服务调用请求对应的请求操作类型，执行所述密码服务调用请求对应的非安全要求密码操作，或，调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果。

通过上述装置可以执行前述第一方面提供的方法，利用了TrustZone对于普通世界和安全世界的划分，在普通执行环境和安全执行环境中分别部署安全代理服务模块和安全应用模块，不需要依赖外部独立硬件提供密码服务，便于用户使用，使用成本较低。其中，安全代理服务模块可用于对业务系统以及业务系统发起的请求进行验证，提升安全性，还可用于在普通执行环境下完成非安全要求密码操作，并且代理安全要求的密码操作，由于敏感的安全运算在TrustZone保护的安全执行环境中执行，非安全要求的操作运算在普通执行环境下执行，因此在保障了安全性的基础上，可以减少对于安全执行环境的访问次数，可提升处理效率，便于用户使用。

第三方面，本申请提供一种电子设备，所述电子设备具有TrustZone架构，所述电子设备中部署有密码服务装置，所述电子设备包括：存储器和处理器；

所述存储器中存储有所述处理器可执行的计算机程序，所述计算机程序被所述处理器执行时实现前述第一方面所述的方法。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种密码服务系统的示意图。

图2为本申请实施例提供的另一种密码服务系统的示意图。

图3为本申请实施例提供的一种数据处理方法的流程图。

图4为本申请实施例提供的一种密码服务装置的功能模块框图。

图5为本申请实施例提供的一种电子设备的结构框图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

密码模块，是指一系列包含于密码边界之中的，执行已批准或者已认可的安全功能(包括密码算法和密钥生成)的硬件、软件和/或固件。

在现有技术中，密码模块的主要实现形式有：软件开发工具包(SDK)、嵌入式安全元件、密码卡、密码机等。

现有的软件开发工具包形式的密码模块存在的缺点是：提供的安全保护能力较弱，抵御攻击的能力较弱，信息容易泄露。

现有的嵌入式安全元件形式的密码模块存在的缺点是：密码运算性能受限于安全元件的处理能力，一般情况下运算性能不高，较难提供整体的安全防护能力。

现有的密码卡形式的密码模块存在的缺点是：需要业务运行设备环境具备PCI(Peripheral Component Interconnect，外设部件互连标准)接口或PCI-E插槽，存在硬件设备驱动结构与运行环境之间的匹配度低的问题，并且设备结构成本较高。

现有的密码机形式的密码模块存在的缺点是：需要提供运行密码机的支撑环境(如电源、机架、网络等)，设备部署复杂，设备结构成本较高。

因此，现有的各种密码模块或多或少存在一些使用方面的不足，例如安全性能较弱、运算处理效率较低、对运行环境的硬件接口要求较高或结构复杂导致使用成本较高等。

有鉴于此，发明人经过研究，提出以下实施例，提供一种便于使用、安全性能较高且运算处理性能较高的密码服务装置，该密码服务装置是基于TrustZone技术实现的，可以作为一种新的密码模块，基于该密码服务装置执行的数据处理方法可以为业务系统提供安全可靠的密码服务，保障数据安全、操作过程安全，并且整个装置可以计算机软件程序的形式进行部署，不需要依赖外部独立硬件，可以降低设备的硬件部署复杂度，降低使用成本。

请参阅图1，图1为本申请实施例提供的一种密码服务系统的示意图。

如图1所示，该密码服务系统具有符合TrustZone架构的软硬件平台。在本申请实施例中，该密码服务系统的运行环境包括：基于TrustZone技术的普通执行环境(又称为富执行环境，Rich Execution Environment，简称REE)和安全执行环境(又称为可信执行环境，Trusted Execution Environment，简称TEE)。

普通执行环境中包括普通操作系统(或称富操作系统)及运行于普通操作系统的客户端应用程序。该普通执行环境可视为受到TrustZone架构下的普通操作系统制约的环境。

安全执行环境中包括安全操作系统(或称可信操作系统)及运行于安全操作系统的安全应用程序。该安全执行环境可视为受到TrustZone架构下的安全操作系统制约的环境。该安全执行环境(TEE)是运行于普通操作系统之外的独立运行环境，是硬件可信的。

在TrustZone架构下，即使在普通执行环境中采取诸如设备访问控制、设备数据加密机制、应用运行时的隔离机制、基于权限的访问控制等安全措施，如果未对敏感数据进行隔离保护，仍然会难以保障数据安全。

普通操作系统及运行在普通操作系统上的应用程序无法直接访问安全执行环境下的硬件资源和软件资源。但普通执行环境(REE)与安全执行环境(TEE)可并行运行，该二者之间可通过安全执行环境提供的客户端接口(TEE客户端接口)和内部接口(TEE内部接口)所形成的可信传输路径进行安全交互，该可信传输路径中承担交互能力的组件是TrustZone架构下的可信固件。

安全执行环境(TEE)为可信应用(例如，通过TEE授权的、可信的软件)提供了可信赖的运行环境，通过对数据机密性、完整性方面的保护和数据访问权限的控制，可确保端到端的安全。安全执行环境(TEE)在数据、操作等方面的安全保护性能高于普通执行环境(REE)。

考虑到TrustZone架构下的安全执行环境(TEE)可以为信息系统提供整体的安全保护，并且TrustZone技术对普通执行环境(REE)和安全执行环境(TEE)进行了隔离划分，区分出了普通执行环境形成的普通世界以及安全执行环境形成的安全世界。因此，在本申请实施例中，利用TrustZone技术的这两种环境为信息系统提供密码服务和存储服务。

在本申请实施例中，如图1所示，在该密码服务系统中部署有密码服务装置。该密码服务装置包括：部署在安全执行环境中的安全应用模块，以及部署在普通执行环境中的安全代理服务模块。

可选的，该密码服务装置还可包括部署在该普通执行环境中的安全调用接口。

其中，该安全调用接口可以表现为多种实现形式，每种实现形式的接口都符合相应的接口规范，例如，可以是但不限于：Java运行环境提供的符合JCE(Java CryptographyExtension)接口标准的开发库，提供符合密码设备的PKCS#11接口的开发库，提供符合国密密码设备接口规范的开发库，还可以是自定义接口的开发库。这些开发库作为接口库，提供符合标准规范的接口函数，所提供的接口可以作为本申请实施例中用于与外部业务系统(信息系统)进行交互的安全调用接口。

该安全代理服务模块的实现形式可以是独立的进程程序，可以用多种语言(例如使用C/C++语言、go语言等)实现。

本申请实施例中的安全代理服务模块可以通过安全调用接口与外部的业务系统进行间接交互，也可以通过约定的协议直接与外部的业务系统进行交互(这种方式视为：将安全调用接口合并到至安全代理服务模块)。

在本申请实施例中，安全代理服务模块可以完成非安全要求密码操作和代理安全要求的密码操作，即，安全代理服务模块可以在不调用安全执行环境中的安全应用模块的情况下，自行为业务系统提供一些服务，也可以在调用安全执行环境中的安全应用模块的情况下，通过被调用的安全应用模块为业务系统提供一些密码服务。

通过安全代理服务模块可以实现一些数据管理配置、初始化方面的功能，可以对来自业务系统的请求进行识别，从而判断是否为该请求提供服务、是否要调用安全应用模块提供服务。

通过安全应用模块可以响应安全代理服务模块的调用，对安全代理服务模块进行验证。安全应用模块可基于安全代理服务模块的调用，执行真正的安全操作(是指涉及私钥、对称密钥等加解密过程所需的非公开信息的操作)，包括但不限于：涉及私钥的签名/加密、涉及对称密钥的加密/解密、涉及HMAC(Hash-based Message Authentication Code的缩写，是一种与密钥相关的安全认证码)的计算等。

在本申请实施例中，如图2所示，部署在普通执行环境下的安全代理服务模块可以有多个(如图2中的B1、B2)，部署在安全执行环境下的安全应用模块可以有多个(如图2中的C1、C2)。

在图2所示的实例中，B1这一安全代理服务模块可直接与A1这一业务系统进行交互，也可以通过安全调用接口间接与A2这一业务系统进行交互，B2这一安全代理服务模块可直接与A3这一业务系统进行交互。

B1、B2均可通过普通执行环境和安全执行环境之间的可信传输路径，对部署在安全执行环境中的C1、C2等安全应用模块进行调用。

需要说明的是，图1、图2所示的架构仅为示意。

下面将对本申请实施例提供的一种数据处理方法进行介绍。

请参阅图3，图3为本申请实施例提供的一种数据处理方法的流程图。

该数据处理方法可应用于前述密码服务系统中的密码服务装置，由密码服务装置可实现该方法。该密码服务装置包括：部署在安全执行环境中的安全应用模块，以及部署在普通执行环境中的安全代理服务模块，还可以包括部署在该普通执行环境中的安全调用接口。

如图3所示，该方法包括：步骤S31-S33。

S31：安全代理服务模块接收业务系统的密码服务调用请求。

其中，安全代理服务模块可以通过约定的协议直接接收业务系统的密码服务调用请求，也可以通过部署在普通执行环境中的安全调用接口接收业务系统的密码服务调用请求。即，业务系统可以通过访问安全调用接口来调用密码服务装置提供的密码服务，安全代理服务模块可以接收业务系统通过调用安全调用接口发送的密码服务调用请求。

可选的，安全调用接口可以对密码服务调用请求中待操作的数据进行封装后再发送给安全代理服务模块。

其中，业务系统的密码服务调用请求作为业务请求，可以携带业务数据和密码数据。

该业务数据用于表示该业务系统当前需要哪种密码服务，可以用于确定待处理的数据对象，通过业务数据可以确定需要为哪个对象进行什么操作、提供哪种密码服务。例如，根据业务数据可以确定需要为业务系统提供的签名原文进行签名操作，或，验证签名操作，或加解密操作等。

该密码服务调用请求中携带的密码数据可作为查找实际密钥的标识符，根据该密码服务调用请求中携带的密码数据可以确定出签名操作过程、验证签名操作、加解密操作等操作过程中所需的实际密钥是什么。

在一个应用场景下，在业务系统需要调用本申请实施例的密码服务装置进行签名操作时，密码服务调用请求中可以包含：业务数据(签名原文)以及签名算法、密钥标识等密码数据。其中，此处的业务数据(签名原文)是被签名的对象，密码服务装置在执行本申请实施例提供的方法时，可根据该请求中携带的签名算法、密钥标识等密码数据，确定需要用什么以怎样的方式生成的密钥或用哪个密钥，以怎样的方式对该对象进行签名操作。

在另一个应用场景下，在业务系统需要调用本申请实施例的密码服务装置进行验证签名操作时，该密码服务调用请求中可以包含：业务数据(签名原文)以及签名算法、签名值、公钥信息等密码数据。

S32：安全代理服务模块对业务系统以及密码服务调用请求进行验证。

其中，安全代理服务模块可以在接收到密码服务调用请求时，将该业务系统作为请求者，对业务系统进行身份验证，基于此可以确定是否要为此时的请求者提供服务。安全代理服务模块还可以对该密码服务调用请求进行验证，以此可以确定该请求是否为合法调用的请求、可以根据该请求的内容确定当前是否能够支持并提供该请求所需的密码服务。

作为上述S32的一种实施方式，S32可以包括：S321-S322。

S321：安全代理服务模块获取预先配置的安全策略。

其中，安全策略中可以包括但不限于白名单、黑名单、代码签名、特征信息等内容。安全策略中的代码签名用于进行身份验证。安全策略中的特征信息可用于确定能够支持并提供的密码服务类型(例如签名操作、验证签名操作、加解密操作等密码服务)。在本申请实施例中，初始化配置完成的安全策略被保存在安全执行环境下的安全存储空间中(例如保存至安全应用模块中的安全存储模块)。

S322：安全代理服务模块在接收到密码服务调用请求时，根据安全策略对业务系统进行身份验证，以及根据安全策略判断当前是否允许处理密码服务调用请求。

其中，通过将业务系统的身份标识以及密码服务调用请求与安全策略进行匹配，可以识别出该业务系统是否为安全策略所允许处理的请求者，根据匹配结果可以确定该请求所需的密码服务是否为安全策略所允许提供的密码服务。安全代理服务模块对接收到的请求依据预先设置的安全策略进行检查，只有通过安全策略检查的请求才能放行，否则拒绝提供服务。

可以理解的是，安全代理服务模块也可以在接收到密码服务调用请求时，获取安全策略，并基于获取的安全策略对业务系统和密码服务调用请求进行验证。

可选的，安全代理服务模块在被启动后，可以将安全执行环境中存储的安全策略加载到自己的进程空间进行缓存，以便于在接收到密码服务调用请求时，快速根据缓存的安全策略进行验证。当然，也可以在需要使用安全策略进行验证时，临时访问获取安全执行环境中存储的安全策略(这种方式的效率相对较低)。

基于上述S321-S322的实施方式，安全代理服务模块在提供密码服务之前，先基于预先配置的安全策略，对访问自身的业务系统以及接受到的请求进行了验证，提高了密码服务应用的整体安全性。安全代理服务模块只允许符合安全策略的请求者访问自己，只处理符合安全策略的请求。

S33：安全代理服务模块在确定业务系统以及密码服务调用请求通过验证时，根据密码服务调用请求对应的请求操作类型，执行密码服务调用请求对应的非安全要求密码操作或调用安全应用模块执行密码服务调用请求对应的密码服务安全操作，得到操作结果。

其中，在安全代理服务模块得到操作结果后，可以将操作结果发送给业务系统，以此对该业务系统的请求进行响应反馈。可选的，在安全代理服务模块得到操作结果后，可以按照得到前述密码服务调用请求的相同处理方式，基于约定的协议或安全调用接口将操作结果发送给业务系统。

作为上述S33的一种实施方式，S33可以包括：S331。

S331：在确定请求操作类型为第一类型时，安全代理服务模块执行密码服务调用请求对应的非安全要求密码操作，得到操作结果。

其中，第一类型表示在操作过程中仅需使用普通执行环境下的本地信息和/或公开信息的类型。

在本申请实施例中，无需通过安全执行环境下的安全应用模块，仅由普通执行环境下的本地信息或公开信息就可以完成的操作可以包括但不限于：验证签名、杂凑计算等操作过程中无需使用敏感信息的情况。对于无需使用到敏感的密钥(公钥可视为不敏感的密钥)的操作，可以由普通执行环境下的安全代理服务模块直接进行相应的运算处理实现，直接在普通世界中完成，无需调用安全执行环境下的安全应用模块。

可选的，安全代理服务模块可包括安全控制子模块和安全服务子模块。

安全控制子模块可以在确定请求操作类型为第一类型时，调用安全服务子模块执行密码服务调用请求对应的非安全要求密码操作，得到操作结果。

基于该S331的实施方式，可以减少普通执行环境与安全执行环境之间的切换频率，降低交互复杂性，可提升处理效率。

作为上述S33的另一种实施方式，S33可以包括：S332。

S332：在确定请求操作类型为第二类型时，安全代理服务模块调用安全应用模块执行密码服务调用请求对应的密码服务安全操作，得到操作结果。

其中，第二类型表示需要在操作过程中使用安全执行环境下的非公开信息的类型。

其中，非公开信息可以包括：通过安全执行环境的安全机制加密过的安全策略和安全参数。

安全策略用于提供给安全代理服务模块，以供安全代理服务模块根据安全策略对业务系统以及密码服务调用请求进行验证。

安全参数用于提供给安全应用模块，以供安全应用模块根据安全参数对安全代理服务模块进行验证，或根据安全参数和密码服务调用请求执行密码服务安全操作。

安全参数可以包括但不限于：口令信息、身份验证数据、代码签名信息、安全代理文件路径、各种密钥(例如用于加解密、签名等操作的密钥信息)。其中，安全参数中的代码签名信息、安全代理文件路径均可用于对安全代理服务模块进行身份验证，口令信息、身份验证数据可用于对安全代理服务模块进行身份验证，也可以用于对密码服务装置的管理员进行身份验证(例如登录认证场景下)。可以理解的是，任何形式的用于进行访问控制的参数或参数安全运算的敏感信息可在被加密后存储在安全执行环境下作为非公开信息，密码服务装置中的各个模块可根据实际接收到的请求类型、请求者类型来确定需要使用非公开信息中的哪些参数、策略。

由于参与访问控制、参与安全运算操作的各种敏感信息在被加密后存储在TrustZone安全世界的存储环境(即安全执行环境)中，安全代理服务模块、安全应用模块在基于这些被加密的内容为外部的业务系统提供安全服务的情况下，可以提升安全性。

在本申请实施例中，必须通过安全执行环境提供的操作可以包括：涉及私钥的签名操作、涉及私钥的加密操作、涉及对称密钥的加/解密操作、HMAC的计算操作等真正需要使用敏感信息的安全操作。

可选的，在安全代理服务模块包括安全控制子模块和安全服务子模块的情况下，安全控制子模块可用于在确定请求操作类型为第二类型时，通过安全服务子模块调用安全应用模块执行密码服务调用请求对应的密码服务安全操作，得到操作结果。

基于该S332的实施方式，基于TrustZone技术提供的安全保护机制，安全应用模块在受保护的安全执行环境下运行，敏感的非公开信息仅存在于安全执行环境，涉及非公开信息的操作可以在TrustZone保护的安全执行环境中处理，安全应用模块根据安全代理服务模块的调用过程为业务系统提供密码服务，提升了安全性。

在上述S31-S33的方法中，密码服务装置提供的密码服务基于TrustZone技术下特有的普通执行环境和安全执行环境实现，是基于TrustZone技术为信息系统、业务系统提供密码服务，利用了TrustZone对于普通世界和安全世界的划分，在普通执行环境和安全执行环境中分别部署安全代理服务模块和安全应用模块，不需要依赖外部独立硬件提供密码服务，便于用户使用，使用成本较低。其中，通过前述部署的安全代理服务模块对业务系统以及业务系统发起的请求都进行了验证，提升了安全性，在通过验证的情况下，安全代理服务模块可以在普通执行环境下完成非安全要求密码操作，并且还可以代理安全要求的密码操作，由安全代理服务模块调用安全应用模块在安全执行环境下进行密码服务安全操作，提升了安全性。由于敏感的安全运算都在TrustZone保护的安全执行环境中执行，非安全要求的操作运算在普通执行环境下执行，因此，在保障了安全性的基础上，可以减少对于安全执行环境的访问次数，可提升处理效率，便于用户使用。

可选的，上述S332中安全代理服务模块调用安全应用模块执行密码服务调用请求对应的密码服务安全操作，得到操作结果的步骤，可以包括：S3321-S3324。

S3321：安全代理服务模块通过安全执行环境提供的客户端接口和内部接口形成的可信传输路径，将密码服务调用请求提供给安全应用模块。

S3322：安全应用模块在接收到密码服务调用请求时，对安全代理服务模块进行身份验证。

其中，安全应用模块在接收到安全代理服务模块的请求时，可以通过调用安全参数来对安全代理服务模块进行验证、为业务系统提供密码服务。如果TrustZone的底层平台已经支持了验证机制，只需要遵循其机制即可，如果TrustZone的底层平台支持扩展机制，可以采用代码签名机制进行身份验证，安全应用模块在接收到请求时，可根据代码签名验证机制来验证请求者(此处的请求者可以是安全代理服务模块)的代码签名。

S3323：在安全代理服务模块通过身份验证时，安全应用模块在安全执行环境下执行密码服务调用请求对应的密码服务安全操作，得到操作结果。

S3324：安全应用模块将操作结果通过可信传输路径发送给安全代理服务模块，以供安全代理服务模块将操作结果提供给业务系统。

可选的，安全代理服务模块包括：安全控制子模块和安全服务子模块，安全应用模块包括：安全存储模块和安全运算模块。

安全服务子模块可以在安全控制子模块确定请求操作类型为第二类型时，通过安全执行环境提供的客户端接口和内部接口形成的可信传输路径，将密码服务调用请求提供给安全运算模块。安全运算模块可以在接收到密码服务调用请求时，通过安全存储模块中存储的安全策略对安全代理服务模块进行身份验证。安全运算模块可以在安全代理服务模块通过身份验证时，在安全执行环境下根据密码服务调用请求访问安全存储模块中存储的非公开信息，并根据非公开信息执行密码服务调用请求对应的密码服务安全操作，得到操作结果。安全运算模块还可以将操作结果通过可信传输路径发送给安全服务子模块，以供安全服务子模块将操作结果提供给业务系统。

其中，安全存储模块中存储的数据主要为参与密码运算或控制访问的数据(例如前述的非公开信息)，可以包括但不限于：密码参数、敏感的密钥(私钥、对称密钥)、安全策略的详细数据、信任证书等。这些数据中可以有一部分是初始化过程中生成的，可以有一部分是管理员通过数据管理、更新、配置操作等管理配置操作过程中生成的。

通过上述S3321-S3324的实施方式，安全应用模块对访问自己的安全代理服务模块进行了验证，只接受通过验证的模块所发起的调用过程，根据该调用过程为请求者提供密码服务，并且是基于TrustZone的普通执行环境和安全执行环境之间的可信传输路径进行数据传输，因此可以提高安全性。

可选的，在上述S31之前，数据处理方法还可以包括：S30。

S30：通过安全代理服务模块进行初始化操作，并将初始化产生的数据通过安全应用模块存入安全执行环境中，初始化操作的内容包括：生成密钥对、生成主密钥、导入数字证书、配置用于身份验证的安全策略、导入可信证书链、导入代码签名中的至少一者。

其中，初始化过程在安全可信的条件下进行。初始化生成的密钥对、主密钥等敏感的密钥信息，以及导入的内容，可用于参与密码运算或控制访问。此处的主密钥可以用于在安全执行环境下对前述的非公开信息(例如公私密钥对)进行加密(该加密过程与业务系统的请求无关，用于对密码服务装置中的部分或全部敏感信息进行加密)，主密钥可以是对称密钥。

初始化产生的管理员可以进行后续对于密码服务装置的管理，生成的私钥可用于业务签名操作，生成的公钥可用于申请签名证书，代表密码服务装置的身份，生成的主密钥用于安全应用模块加密安全执行环境的内部数据；初始化过程可设置初始默认安全策略。初始化生成的密钥对中的公钥、私钥，主要用于根据业务系统的请求参与签名、验证签名，也可以用于根据业务系统的请求参与加/解密。

可选的，初始化操作可以由安全代理服务模块中的安全管理子模块执行，初始化产生的数据可以存入安全应用模块的安全存储模块中。在本申请实施例中，初始化完成时的非公开信息仅存储在安全执行环境下。

通过上述的初始化，可以设置密码服务装置的初始安全状态，便于调用使用。

其中，安全存储模块可用于存储重要的、敏感的非公开信息，利用安全世界的安全机制，把参与访问控制、参与安全运算操作的各种信息(包括私钥数据、对称加密数据、加密主密钥、安全认证码密钥等各种密钥)加密后存放在该安全存储模块的存储空间中。当安全运算模块需要使用这些数据时，安全存储模块从实际存储地址中读取这些数据，然后使用的TrustZone安全世界的安全机制，对获取到的数据进行解密，然后提供给使用方(安全运算模块或经过使用同意的请求者)。安全运算模块可调用安全存储模块来获得运算过程需要使用的非公开信息，并执行对应的密码算法得到运算结果，基于此得到操作结果。

可选的，除了可以对业务系统的密码服务调用请求进行处理以外，上述的数据处理方法还可以包括：S34。

S34：安全代理服务模块响应管理员的管理配置操作，根据管理配置操作的类型进行密钥管理操作、证书管理操作，或安全策略配置操作。

可选的，可以通过安全代理服务模块中的安全管理子模块负责证书/密钥的管理、安全策略的配置、配置信息的设置。基于该安全管理子模块可以实现密钥生成、更新、销毁功能，也可以实现证书请求的生成、证书导入功能，还可以实现对于安全策略的增、删、查、改功能，还可以实现对于密码服务装置的服务运行过程所需要的参数进行设置、更改。

通过该实施方式，可以在提供可靠密码服务的基础上，提供密钥管理、证书管理、安全策略配置等管理配置功能。可以理解的是，本领域技术人员可以采用更多的模块划分方式来实现前述的功能。

在本申请实施例中，密码服务装置中可以包括多个安全代理服务模块和多个安全应用模块。

该多个安全代理服务模块中的每个模块用于与至少一个安全应用模块进行数据交互。

该多个安全应用模块中的每个模块用于为至少一个安全代理服务模块提供密码服务。

基于同一发明构思，如图4所示，本申请实施例还提供一种密码服务装置，图4为本申请实施例提供的一种密码服务装置的功能模块框图。

如图4所示，该装置包括：部署在安全执行环境(TEE)中的安全应用模块410，以及部署在普通执行环境(REE)中的安全代理服务模块420。安全执行环境和普通执行环境是基于TrustZone技术提供的两种运行环境。

安全代理服务模块420，用于接收业务系统的密码服务调用请求。

安全代理服务模块420，还用于对业务系统以及密码服务调用请求进行验证。

安全代理服务模块420，还用于在确定业务系统以及密码服务调用请求通过验证时，根据密码服务调用请求对应的请求操作类型，执行密码服务调用请求对应的非安全要求密码操作，或，调用安全应用模块410执行密码服务调用请求对应的密码服务安全操作，得到操作结果。

通过上述装置可以执行前述的方法，密码服务装置提供的密码服务基于TrustZone技术下特有的普通执行环境和安全执行环境实现，是基于TrustZone技术为信息系统、业务系统提供密码服务，利用了TrustZone对于普通世界和安全世界的划分，在普通执行环境和安全执行环境中分别部署安全代理服务模块420和安全应用模块410，不需要依赖外部独立硬件提供密码服务，便于用户使用，使用成本较低。其中，安全代理服务模块420可用于对业务系统以及业务系统发起的请求进行验证，提升安全性，还可用于在普通执行环境下完成非安全要求密码操作，并且代理安全要求的密码操作。由于敏感的安全运算在TrustZone保护的安全执行环境中执行，非安全要求的操作运算在普通执行环境下执行，因此在保障了安全性的基础上，可以减少对于安全执行环境的访问次数，可提升处理效率，便于用户使用。

可选的，安全代理服务模块420包括：安全控制子模块421和安全服务子模块422。该安全服务子模块422可用于负责执行或代理密码操作，用于与安全世界(安全执行环境)的安全应用模块410进行交互，从而实现加密、解密、签名、验证、杂凑、HMAC(安全认证码)等密码服务功能，本领域技术人员可以根据实际需要添加其它的密码服务功能，并进行分类，以便于安全控制子模块421可以根据分类情况区分是否需要调用安全应用模块410来提供对应的密码服务。

可选的，安全控制子模块421可以用于在确定请求操作类型为第一类型时，调用安全服务子模块422执行密码服务调用请求对应的非安全要求密码操作，得到操作结果。第一类型表示在操作过程中仅需使用普通执行环境下的本地信息和/或公开信息的类型。

可选的，安全控制子模块421可以用于在确定请求操作类型为第二类型时，通过安全服务子模块422调用安全应用模块410执行密码服务调用请求对应的密码服务安全操作，得到操作结果。第二类型表示需要在操作过程中使用安全执行环境下的非公开信息的类型。

可选的，安全应用模块410包括：安全存储模块411和安全运算模块412。

前述的安全服务子模块422可用于在安全控制子模块421确定请求操作类型为第二类型时，通过安全执行环境提供的客户端接口和内部接口形成的可信传输路径，将密码服务调用请求提供给安全运算模块412。

安全运算模块412，可用于在接收到密码服务调用请求时，通过安全存储模块411中存储的安全策略对安全代理服务模块420进行身份验证。

安全运算模块412还可用于：在安全代理服务模块420通过身份验证时，在安全执行环境下根据密码服务调用请求访问安全存储模块411中存储的非公开信息，并根据非公开信息执行密码服务调用请求对应的密码服务安全操作，得到操作结果。

安全运算模块412还可用于：将操作结果通过可信传输路径发送给安全服务子模块422，以供安全服务子模块422将操作结果提供给业务系统。

可选的，安全代理服务模块420还可用于：进行初始化操作，并将初始化产生的数据通过安全应用模块410存入安全执行环境中，初始化操作的内容包括：生成密钥对、生成主密钥、导入数字证书、配置用于身份验证的安全策略、导入可信证书链、导入代码签名中的至少一者。

可选的，该安全控制子模块421，可用于获取预先配置的安全策略，还可用于在接收到密码服务调用请求时，根据安全策略对业务系统进行身份验证，以及根据安全策略判断当前是否允许处理密码服务调用请求。

可选的，密码服务装置还可包括：部署在普通执行环境中的安全调用接口430。

安全调用接口430，用于将业务系统的密码服务调用请求发送给安全代理服务模块420，还用于将安全代理服务模块420根据密码服务调用请求得到的操作结果发送给业务系统。

可选的，安全代理服务模块420还可以包括：安全管理子模块423。

安全管理子模块423可用于：响应管理员的管理配置操作，根据管理配置操作的类型进行密钥管理操作、证书管理操作，或安全策略配置操作。

关于本申请实施例的密码服务装置的其他细节，可以参考前述对于密码服务系统和/或数据处理方法中的相关描述，相同原理的效果、实施细节等内容将不在此处进行赘述。

基于同一发明构思，如图5所示，本申请实施例还提供一种电子设备，该电子设备具有TrustZone架构，该电子设备中部署有前述的密码服务装置，该电子设备包括：存储器501、处理器502和通信总线503。通信总线503用于实现该电子设备中的各个组件之间的直接或间接连接。

该电子设备具有运算处理能力，可以是服务器、计算机等台式设备机器，也可以是移动终端。该电子设备可以是具有ARM处理器且具有TrustZone架构，并且部署有前述的密码服务装置的任意设备。

其中，存储器501是一种存储介质，处理器502具有运算处理能力，存储器501中存储有计算机程序，该计算机程序被处理器502执行时实现前述的方法。

可以理解，图5所示的结构仅作为示意，在实际应用中，电子设备可包括比图5所示结构更多的组件，例如，可以包括显示器，用于操作界面或显示一些提供给用户查看的数据，或者电子设备可以具有与图5所示结构不同的组件配置。

综上所述，本申请实施例提供的数据处理方法、密码服务装置和电子设备，真正的安全运算在TrustZone保护的安全执行环境下执行，提高了安全性，并且不需要额外引入硬件模块就可以为业务系统提供密码服务，充分利用电子设备的已有原生技术，降低了密码服务的使用成本。其中，非安全操作都在普通执行环境下执行，减少了对于安全执行环境的访问次数，在兼具安全性的基础上，提高了运算效率。此外，在收到业务系统的访问调用时，普通执行环境对业务系统的请求执行了安全策略验证，提高了密码应用的安全性，安全执行环境对安全代理服务模块420进行了身份验证，提升了对于敏感信息的保护作用，提升了密码服务装置自身的使用安全性。

在本申请所提供的实施例中，应该理解到，所揭露装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，所讨论的相互之间的连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，作为分离部件说明的单元可以是或者也可以不是物理上分开的可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

再者，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

需要说明的是，密码服务装置的功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以用软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备执行本申请各个实施例方法的全部或部分步骤。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。

以上仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (12)

1.一种数据处理方法，其特征在于，应用于密码服务系统中的密码服务装置，所述密码服务系统的运行环境包括：基于TrustZone技术的普通执行环境和安全执行环境，所述密码服务装置包括：部署在所述安全执行环境中的安全应用模块，以及部署在所述普通执行环境中的安全代理服务模块，所述方法包括：

所述安全代理服务模块接收业务系统的密码服务调用请求；

所述安全代理服务模块对所述业务系统以及所述密码服务调用请求进行验证；

所述安全代理服务模块在确定所述业务系统以及所述密码服务调用请求通过验证时，根据所述密码服务调用请求对应的请求操作类型，执行所述密码服务调用请求对应的非安全要求密码操作或调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果。

2.根据权利要求1所述的方法，其特征在于，所述根据所述密码服务调用请求对应的请求操作类型，执行所述密码服务调用请求对应的非安全要求密码操作或调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果，包括：

在确定所述请求操作类型为第一类型时，所述安全代理服务模块执行所述密码服务调用请求对应的非安全要求密码操作，得到操作结果；所述第一类型表示在操作过程中仅需使用所述普通执行环境下的本地信息和/或公开信息的类型。

3.根据权利要求1所述的方法，其特征在于，所述根据所述密码服务调用请求对应的请求操作类型，执行所述密码服务调用请求对应的非安全要求密码操作或调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果，包括：

在确定所述请求操作类型为第二类型时，所述安全代理服务模块调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果；所述第二类型表示需要在操作过程中使用所述安全执行环境下的非公开信息的类型。

4.根据权利要求3所述的方法，其特征在于，所述安全代理服务模块调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果，包括：

所述安全代理服务模块通过所述安全执行环境提供的客户端接口和内部接口形成的可信传输路径，将所述密码服务调用请求提供给所述安全应用模块；

所述安全应用模块在接收到所述密码服务调用请求时，对所述安全代理服务模块进行身份验证；

在所述安全代理服务模块通过身份验证时，所述安全应用模块在所述安全执行环境下执行所述密码服务调用请求对应的密码服务安全操作，得到所述操作结果；

所述安全应用模块将所述操作结果通过所述可信传输路径发送给所述安全代理服务模块，以供所述安全代理服务模块将所述操作结果提供给所述业务系统。

5.根据权利要求3所述的方法，其特征在于，所述非公开信息包括：通过所述安全执行环境的安全机制加密过的安全策略和安全参数，所述安全策略用于提供给所述安全代理服务模块，以供所述安全代理服务模块根据所述安全策略对所述业务系统以及所述密码服务调用请求进行验证，所述安全参数用于提供给所述安全应用模块，以供所述安全应用模块根据所述安全参数对所述安全代理服务模块进行验证，或根据所述安全参数和所述密码服务调用请求执行密码服务安全操作。

6.根据权利要求1所述的方法，其特征在于，在所述安全代理服务模块接收业务系统的密码服务调用请求之前，所述方法还包括：

通过所述安全代理服务模块进行初始化操作，并将初始化产生的数据通过所述安全应用模块存入所述安全执行环境中，初始化操作的内容包括：生成密钥对、生成主密钥、导入数字证书、配置用于身份验证的安全策略、导入可信证书链、导入代码签名中的至少一者。

7.根据权利要求1所述的方法，其特征在于，所述安全代理服务模块对所述业务系统以及所述密码服务调用请求进行验证，包括：

所述安全代理服务模块获取预先配置的安全策略；

所述安全代理服务模块在接收到所述密码服务调用请求时，根据所述安全策略对所述业务系统进行身份验证，以及根据所述安全策略判断当前是否允许处理所述密码服务调用请求。

8.根据权利要求1所述的方法，其特征在于，所述密码服务装置还包括：部署在所述普通执行环境中的安全调用接口；

所述安全代理服务模块接收业务系统的密码服务调用请求，包括：所述安全代理服务模块接收所述业务系统通过调用所述安全调用接口发送的所述密码服务调用请求；

在所述安全代理服务模块得到所述操作结果后，所述方法还包括：通过所述安全调用接口将所述操作结果发送给所述业务系统。

9.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述安全代理服务模块响应管理员的管理配置操作，根据所述管理配置操作的类型进行密钥管理操作、证书管理操作，或安全策略配置操作。

10.根据权利要求1-9任一项所述的方法，其特征在于，所述密码服务装置中包括多个安全代理服务模块和多个安全应用模块；

所述多个安全代理服务模块中的每个模块用于与至少一个安全应用模块进行数据交互，所述多个安全应用模块中的每个模块用于为至少一个安全代理服务模块提供密码服务。

11.一种密码服务装置，其特征在于，包括：部署在安全执行环境中的安全应用模块，以及部署在普通执行环境中的安全代理服务模块，所述安全执行环境和所述普通执行环境是基于TrustZone技术提供的两种运行环境；

所述安全代理服务模块，用于接收业务系统的密码服务调用请求；

所述安全代理服务模块，还用于对所述业务系统以及所述密码服务调用请求进行验证；

所述安全代理服务模块，还用于在确定所述业务系统以及所述密码服务调用请求通过验证时，根据所述密码服务调用请求对应的请求操作类型，执行所述密码服务调用请求对应的非安全要求密码操作，或，调用所述安全应用模块执行所述密码服务调用请求对应的密码服务安全操作，得到操作结果。

12.一种电子设备，其特征在于，所述电子设备具有TrustZone架构，所述电子设备中部署有密码服务装置，所述电子设备包括：存储器和处理器；

所述存储器中存储有所述处理器可执行的计算机程序，所述计算机程序被所述处理器执行时实现权利要求1-10任一项所述的方法。

Images