CN114780981A - 安全数据的存储方法、计算机装置及计算机可读存储介质 - Google Patents

Abstract

本发明提供一种安全数据的存储方法、计算机装置及计算机可读存储介质，该方法包括获取一级加密数据，将一级加密数据通过共享内存传送至可信执行环境中，并在可信执行环境中使用设备唯一密钥对一级加密数据进行加密，获得二级加密数据；将二级加密数据通过共享内存传送至富执行环境，并存储在富执行环境的预设存储区中。本发明还提供实现上述方法的计算机装置及计算机可读存储介质。本发明能够使嵌入式设备低成本的存储安全数据，且确保安全数据存储的安全性。

Description

安全数据的存储方法、计算机装置及计算机可读存储介质

技术领域

本发明涉及数据安全存储的技术领域，具体地，是一种安全数据的存储方法以及实现这种方法的计算机装置、计算机可读存储介质。

背景技术

随着嵌入式设备的广泛应用，使用嵌入式设备存储安全数据已经得到普遍应用。随着重要数据资产的广泛应用，使用嵌入式设备存储重要数据资产越来越普遍。常见的重要数据资产包括DRM(数字版权)证书、HDCP密钥(于输出保护功能)、Google信任链证书以及其它需要保护的用户数据等，这些需要保护的数据资产通常是几百个字节到几千个字节不等。

使用嵌入式设备存储数据，在数据安全性上有以下几方面的优势：第一是机密性，嵌入式设备存储的数据对非法用户不可见，无法被复制和盗窃；第二是完整性，嵌入式设备存储的数据无法被修改，保持和原始状态一致；第三是可用性，嵌入式设备存储的数据在需要使用的时候是可用的。

由于重要数据资产的数据量较大，如果将所有数据资产存储在片上系统(SoC)的存储器，例如一次性熔断丝eFuse中，则会需要较大的eFuse存储空间，导致嵌入式设备的生产成本较高。如果将重要数据资产存储到外部存储器中，则数据的安全性得不到保证：一方面，攻击者可通过拆除闪存等外部存储器的方式并用读取工具分析数据，数据的机密性得不到保障；另一方面，用户误操作或者受使用环境影响，可能导致闪存的数据被破坏，导致数据不可用。

此外，由于重要数据资产通常是在嵌入式设备生产阶段通过数据烧录工具借助网络或者USB接口写入的，通常先将数据传输到嵌入式设备，然后写入到嵌入式设备的闪存中，这个过程由工厂工人操作，也可能导致数据泄密。因此，如何保证产线上的数据传输时数据资产的机密性，是解决数据安全性的重要课题。

现有的一些解决方案是通过对称加密或者数字签名技术来解决数据的机密性和完整性问题。此外，现有的一些厂家通过一机一密方案来降低被破解的风险，其中，一机一密方案是每台嵌入式设备采用的加密密钥都不一样，即使其中一台嵌入式设备被破解，也不影响其它同类嵌入式设备的数据安全性。

通常，嵌入式设备划分为可行执行环境TEE和富执行环境REE，其中，可信执行环境上运行可信操作系统和可信应用软件，可访问受保护的资源，而富执行环境上运行Linux或Android系统和普通应用软件，不能访问受保护的资源。

目前，嵌入式设备中，与密码相关软件会在可行执行环境TEE中运行，数据存储相关软件在富执行环境REE中运行，这样可避免密钥泄漏，从而可保证密码运算过程的安全。其中OPTEE开源社区也提供了一套安全存储方法，但该方法要依赖富执行环境REE中的Linux操作系统及Ext4之类的文件系统进行数据存储，但不适合在裸机或者RTOS等小系统中布署。

发明内容

本发明的第一目的是提供一种数据存储安全性高的安全数据的存储方法。

本发明的第二目的是提供一种实现上述安全数据的存储方法的计算机装置。

本发明的第三目的是提供一种实现上述安全数据的存储方法的计算机可读存储介质。

为实现本发明的第一目的，本发明提供的安全数据的存储方法包括获取一级加密数据，将一级加密数据通过共享内存传送至可信执行环境中，并在可信执行环境中使用设备唯一密钥对一级加密数据进行加密，获得二级加密数据；将二级加密数据通过共享内存传送至富执行环境，并存储在富执行环境的预设存储区中。

由上述方案可见，一级加密数据的加密是在可信执行环境中进行加密形成二级加密数据，使用嵌入式设备的富执行环境的存储区存储安全数据，避免增加一次性熔断丝eFuse的存储空间，有效降低嵌入式设备的生产成本。另外，由于安全数据经过两级的加密，且二级加密使用设备唯一密钥进行加密，能够确保每一台嵌入式设备进行二级加密后的安全数据不相同，实现一机一密的效果。并且，由于二级加密在可信执行环境进行，加密过程的安全性较高，不容易被破解，能够保障数据的安全性。

一个优选的方案是，预设存储区为文件管理系统访问限制区域。这样，文件管理系统不能够访问存储在预设存储区的安全数据，能够避免安全数据被非法读取的问题。

进一步的方案是，预设存储区包括至少二个保留区，每一保留区均存储二级加密数据。

这样，即使其中一个保留区出现故障，也能够从另一个保留区中读取数据，避免因一个保留区故障而导致安全数据无法被读取的情况发生。

更进一步的方案是，一级加密数据由安全主机使用预设密钥对待加密的安全数据进行加密生成。

由此可见，写入到嵌入式设备的一级加密数据已经经过加密处理，例如使用非对称密钥进行加密，即使一级加密数据被窃取，也不容易直接获取未经加密的安全数据，能够提高安全数据写入的安全性。

更进一步的方案是，将二级加密数据存储在预设存储区后，执行：获取安全数据读取指令，从预设区域读取二级加密数据，通过共享内存将二级加密数据传送至可信执行环境；在可信执行环境中，使用设备唯一密钥对二级加密数据进行解密，获得一级加密数据，并使用预设密钥对一级加密数据进行解密，获得安全数据；将安全数据存储于安全内存中。

可见，安全数据的读取过程需要在可信执行环境中对二级加密数据进行解密，解密获得的安全数据可以被应用程序读取，整个解密过程的安全性高，避免安全数据泄露。

更进一步的方案是，安全内存为仅可信执行环境可访问的内存。由此可见，解密后的安全数据存储在仅可信执行环境可访问的安全内存中，能够避免其他应用程序通过富执行环境读取解密后的安全数据，提高安全数据读取的安全性，还可以避免因为用户的误作而破坏安全数据，导致安全数据不可用。

更进一步的方案是，预设存储区存储有数据索引表以及一个以上的二级加密数据，二级加密数据的索引信息记录在数据索引表中。

可见，通过数据索引表可以快速的获取相应的二级加密数据的偏移量等信息，由此快速的获取相应的安全数据，提高安全数据存储、读取的效率。

更进一步的方案是，向预设存储区写入二级加密数据前，执行：判断待写入的二级加密数据是否存储于预设存储区中，如是，则进一步判断该二级加密数据是否为写保护数据，如是，终止写入流程，否则，将待写入的二级加密数据写入到预设存储区中。

由此可见，如果某一个二级加密数据是设置了写保护，则不允许重新写入该二级加密数据，可以确保具有写保护的安全数据被非法篡改的情况发生。

为实现上述的第二目的，本发明提供的计算机装置包括处理器以及存储器，存储器存储有计算机程序，计算机程序被处理器执行时实现上述安全数据的存储方法的各个步骤。

为实现上述的第三目的，本发明提供计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现上述安全数据的存储方法的各个步骤。

附图说明

图1是本发明安全数据的存储方法实施例中安全数据写入到嵌入式设备的结构框图。

图2是本发明安全数据的存储方法实施例中安全数据读取过程的结构框图。

图3是本发明安全数据的存储方法实施例中预设区域的结构框图。

图4是本发明安全数据的存储方法实施例中预设区域所存储的数据的分布框图。

图5是本发明安全数据的存储方法实施例中安全数据存储的结构框图。

以下结合附图及实施例对本发明作进一步说明。

具体实施方式

本发明的安全数据的存储方法应用在嵌入式设备上，优选的，该嵌入式设备可以存储安全数据。优选的，嵌入式设备设置有处理器以及存储器，存储器上存储有计算机程序，处理器通过执行该计算机程序实现上述的安全数据的存储方法。

安全数据的存储方法实施例：

本实施例涉及安全数据的写入、读取、烧写多个环节，通过在嵌入式设备的可信执行环境TEE对安全数据进行加密、解密、写入、读取等操作，确保安全数据存储的安全性，并且低成本的实现安全数据的读写。

下面结合图1介绍安全数据的写入过程。原始安全数据11是重要资产数据，例如DRM(数字版权)证书、HDCP密钥(于输出保护功能)、Google信任链证书以及其它需要保护的用户数据等，这些数据需要存储在嵌入式设备30内，并且需要确保安全数据存储的安全性、可靠性以及可用性。

向嵌入式设备30写入安全数据时，需要使用安全主机10以及产线主机20，其中，安全主机10是只有通过授权的主体才能访问，可运行数据加密工具12，完成原始安全数据11到一级加密数据13的加密处理的设备。产线主机20是允许工厂生产工人访问，能够运行数据烧写工具21，可以将一级加密数据13下载到嵌入式设备30的设备。本实施例的嵌入式设备30可以是平板电脑、机顶盒、智能电视等电子设备。

在安全主机10内存储有预设密钥14，预设密钥SSK作为加密密钥，在芯片生产时需要写入到芯片的一次性熔断丝eFuse中，布署在安全主机10内，用于对原始安全数据11进行第一级加密。在安全主机10上可以运行数据加密工具12，数据加密工具12用于对原始安全数据11进行加密并生成一级加密数据13。

产线主机20运行有数据烧写工具21，用于将一级加密数据13下载到嵌入式设备30。

嵌入式设备30划分为可信执行环境31以及富执行环境32，并且设置有共享内存45，共享内存45是可信执行环境31以及富执行环境32均可以访问的内存，用于可信执行环境31以及富执行环境32之间的数据共享。

在可信执行环境31中存储有预设密钥42以及设备唯一密钥43，其中，预设密钥42与安全主机10存储的预设密钥14相同，设备唯一密钥43是在芯片生产时写入到芯片的一次性熔断丝eFuse中，其通过芯片的随机数模块产生或其它方法产生，保证每个设备唯一性，用于对原始安全数据进行第二级加密。

在可信执行环境31中运行有密码模块41，用于完成数据的加密或者解密，例如采有AES或者SM4对称加密算法进行加密或者解密，可以用于实现一级加密数据到二级加密数据的加密，也可以实现二级加密数据到一级加密数据的解密。另外，在可信执行环境31设置有安全内存，只有可信执行环境TEE才可以访问安全内存，安全内存用于存储解密后的原始安全数据，以防止解密后的安全数据被非法获取。

在富执行环境32中运行有数据管理模块46，用于完成闪存上的安全数据的管理，包括安全数据的读取与写入。

参见图1，将原始安全数据11转换成二级加密数据并存储在嵌入式设备30的过程如下：首先，安全主机10应用数据加密工具12对原始安全数据11进行加密，具体的，使用预设密钥14对原始安全数据11进行加密，预设密钥14可以是对称密钥或者非对称密钥，数据加密工具12可以采用常用的加密算法实现，不再赘述。数据加密工具12对原始安全数据11加密后获得一级加密数据13，并将一级加密数据13传送的产线主机20。

接着，产线主机20使用数据烧写工具21将一级加密数据13传送至嵌入式设备30，具体的，将一级加密数据存储在嵌入式设备30的共享内存45中，形成一级加密数据51。然后，嵌入式设备30将存储在共享内存45的一级加密数据51传送至可信执行环境31。具体的，嵌入式设备30可以在富执行环境32下接收数据烧写工具21发送的一级加密数据，然后将所接收的一级加密数据发送至共享内存45，可信执行环境31可以通过共享内存45读取一级加密数据51。

接着，运行在可信执行环境31的密码模块41使用设备唯一密钥43对一级加密数据51进行加密，获得二级加密数据，并且将二级加密数据发送至共享内存45，富执行环境32的数据管理模块46从共享内存45中读取二级加密数据45后，将二级加密数据存储在闪存47中。优选的，存储在富执行环境32的闪存47的预设存储区中，该预设存储区是文件管理系统访问限制区域，即文件管理系统不能访问的区域，这样可以避免无关的应用程序通过文件管理系统读取二级加密数据52，确保二级加密数据52不会被非法读取。

将经过两级加密的安全数据存储在嵌入式设备30后，如果用户需要使用该安全数据，则需要通过发送安全数据读取指令来读取安全数据。参见图2，嵌入式设备30获取安全数据的读取指令后，富执行环境32的数据管理模块46从闪存47的预设区域读取所存储的二级加密数据，并传输至共享内存45，由共享内存45将二级加密数据52传送至可信执行环境31的密码模块41。在可信执行环境31中，密码模块41使用设备唯一密钥43对二级加密数据进行解密，获得一级加密数据，然后使用预设密钥42对获得的一级加密数据进行解密，获得安全数据45。由于密码模块41使用的预设密钥42与安全主机10的预设密钥14相同，因此，解密获得的安全数据45与原始安全数据11相同。最后，将解密获得的安全数据45存储于安全内存中，等待其它应用程序读取安全数据45。本实施例中，安全内存是仅可信执行环境31可访问的内存，也就是富执行环境32不可以访问。这样，可以避免不相关的应用程序通过富执行环境32读取解密后的安全数据，提高安全数据读取的安全性，也可以避免因为用户的误作而破坏安全数据，导致安全数据不可用。

由于嵌入式设备30可能需要存储多个不同用途的数据资产，即存储的安全数据有多个，例如DRM证书、HDCP密钥等，为了方便的对多个安全数据进行统一管理，本实施例中，在闪存47内划分一块保留区域，参见图3，在预设区域60内划分出第一保留区61以及第二保留区62。优选的，第一保留区61以及第二保留区62所存储的安全数据是相同的，使用两个保留区存储相同的安全数据，即使其中一个保留区的数据损坏，也可以从另一个保留区中读取安全数据，并且对损坏数据的保留区进行数据恢复。由于两个保留区的数据同时损坏的可能性较低，因此，本实施例能够提高数据的可靠性。

另外，为了方便查找数据，本实施例设置了数据索引表，参见图4，表格最左侧一栏是数据索引表的索引栏，索引栏包括多个安全数据的索引信息，例如KEY0_INFO是第0个安全数据的索引信息，KEY1_INFO是第1个安全数据的索引信息，以此类推。对于每一个安全数据，均有自身的数据格式，例如图4右侧三栏分别是三个安全数据的数据格式，每一个安全数据均包括标识符、编号、数据长度、写保护标记、校验码等。

另外，参见图5，对每一个安全数据，在数据索引表中存储有其偏移量，即存储的偏移地址，通过查询该安全数据的偏移量能够快速的确定安全数据在存储器中的存储地址，进而快速的查找所需要的安全数据。

需要说明的是，标识符是用于标记该数据为安全数据的标记，如果嵌入式设备30读取某一个数据后，发现该数据的标识符表征该数据为安全数据，则采用安全数据的处理规则进行处理。因此，每一个安全数据的标识符都是相同的。

需要读取某一个安全数据时，首先从第一保留区61中读取数据索引表，通过标识符和校验码来校验数据索引表的有效性，如果数据索引表失效，则从第二保留区62中读取备份的数据索引表，并进行相同的校验计算，如果第二保留区62所存储的数据索引表也失效，则报告错误，安全数据读取流程结束。由于两个保留区所记录的数据索引表均失效，表示两个保留区中记录的数据索引表均出错，无法读取正确的安全数据，因此将不会执行安全数据读取流程。

如果数据索引表没有报错，则根据安全数据的名称通过查找数据索引表查到对应偏移量，并由此读取相应存储地址上的安全数据KEY_OBJ。针对每一个安全数据，将读取该安全数据的标识符以及校验码，对该安全数据进行校验，如果校验失败，则需要从另一个保留区中读取相同的安全数据，并且再次进行校验，如果另一个保留区中的安全数据也失效，则报告错误，安全数据的读取流程结束。如果另一个保留区中的安全数据通过校验，则将另一个保留区的安全数据发送给调用的应用程序，并且将失效的保留区的安全数据进行更新。如果当前保留区中的安全数据通过校验，则可以直接将通过校验的安全数据发送至调用的应用程序。

下面介绍数据管理模块45将安全数据写入的过程。首先，从一个保留区中读取数据索引表到内存中，如果数据索引表中的安全数据已经存在，则读取对应的安全数据索引KEY_INFO，并获取安全数据索引KEY_INFO中的写保护标记，如果写保护使能，则报告错误，流程结束，不写入安全数据；如果写保护未使能，把要写入的安全数据封装到安全数据KEY_OBJ结构中，并完成数据写入操作。

如果数据索引表中，所需要写入的安全数据不存在，则在数据索引表的尾端添加一个新的安全数据索引KEY_INFO，并填充安全数据索引EKY_INFO的名称和偏移量信息，偏移量信息是闪存47上“保留区”中未被使用的地址。

然后，更新数据索引表的校验码，然后把内存中的数据索引表写入闪存47的第一保留区61，并同时更新第二保留区62的备份数据索引表。接着，把要写入的安全数据封装到安全数据KEY_OBJ结构中，并完成数据写入操作，并计算该安全数据KEY_OBJ的校验码，然后把内存中的安全数据KEY_OBJ写入到闪存47的第一保留区61，写入位置为安全数据索引KEY_INFO中偏移量所记录的地址。最后在另一个保留区中也写入安全数据KEY_OBJ，依次实现数据的备份。

可见，本实施例将安全数据存储在嵌入式设备30的闪存中，避免使用一次性熔断丝eFuse记录安全数据而导致嵌入式设备30的生产成本过高的问题。另外，本实施例设定了安全数据写入、读取的规则，能够保障安全数据读取、存储的安全性。

计算机装置实施例：

本实施例的计算机装置是嵌入式电子设备，该计算机装置设置有处理器、存储器以及存储在存储器中并可在处理器上运行的计算机程序，处理器执行计算机程序时实现上述安全数据的存储方法的各个步骤。

例如，计算机程序可以被分割成一个或多个模块，一个或者多个模块被存储在存储器中，并由处理器执行，以完成本发明的各个模块。一个或多个模块可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述计算机程序在终端设备中的执行过程。

本发明所称处理器可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，处理器是终端设备的控制中心，利用各种接口和线路连接整个终端设备的各个部分。

存储器可用于存储计算机程序和/或模块，处理器通过运行或执行存储在存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现终端设备的各种功能。存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(SmartMedia Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

计算机可读存储介质实施例：

上述计算机装置所存储的计算机程序如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，该计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述安全数据的存储方法的各个步骤。

其中，计算机程序包括计算机程序代码，计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。计算机可读介质可以包括：能够携带计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。

最后需要强调的是，本发明不限于上述实施方式，例如数据索引表格式的变化，或者安全数据存储的存储器类型的变化等，这些改变也应该包括在本发明权利要求的保护范围内。

Claims (10)

1.一种安全数据的存储方法，其特征在于，包括：

获取一级加密数据，将所述一级加密数据通过共享内存传送至可信执行环境中，并在所述可信执行环境中使用设备唯一密钥对所述一级加密数据进行加密，获得二级加密数据；

将所述二级加密数据通过所述共享内存传送至富执行环境，并存储在所述富执行环境的预设存储区中。

2.根据权利要求1所述的安全数据的存储方法，其特征在于：

所述预设存储区为文件管理系统访问限制区域。

3.根据权利要求1所述的安全数据的存储方法，其特征在于：

所述预设存储区包括至少二个保留区，每一所述保留区均存储所述二级加密数据。

4.根据权利要求1至3任一项所述的安全数据的存储方法，其特征在于：

所述一级加密数据由安全主机使用预设密钥对待加密的安全数据进行加密生成。

5.根据权利要求4所述的安全数据的存储方法，其特征在于：

将所述二级加密数据存储在所述预设存储区后，执行：

获取安全数据读取指令，从所述预设区域读取所述二级加密数据，通过所述共享内存将所述二级加密数据传送至所述可信执行环境；

在所述可信执行环境中，使用所述设备唯一密钥对所述二级加密数据进行解密，获得所述一级加密数据，并使用所述预设密钥对所述一级加密数据进行解密，获得所述安全数据；

将所述安全数据存储于安全内存中。

6.根据权利要求5所述的安全数据的存储方法，其特征在于：

所述安全内存为仅所述可信执行环境可访问的内存。

7.根据权利要求1至3任一项所述的安全数据的存储方法，其特征在于：

所述预设存储区存储有数据索引表以及一个以上的二级加密数据，所述二级加密数据的索引信息记录在所述数据索引表中。

8.根据权利要求7所述的安全数据的存储方法，其特征在于：

向所述预设存储区写入所述二级加密数据前，执行：

判断待写入的所述二级加密数据是否存储于所述预设存储区中，如是，则进一步判断该二级加密数据是否为写保护数据，如是，终止写入流程，否则，将待写入的二级加密数据写入到所述预设存储区中。

9.计算机装置，其特征在于，包括处理器以及存储器，所述存储器存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至8中任意一项所述的安全数据的存储方法的各个步骤。

10.计算机可读存储介质，其上存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现如权利要求1至8中任意一项所述的安全数据的存储方法的各个步骤。

Images