CN114792016A - 一种处理方法及电子设备 - Google Patents

Abstract

本申请提供一种处理方法，所述方法包括：可信执行环境TEE中的可信应用程序响应通用操作系统的操作请求；所述可信应用程序获得记录数据，所述记录数据为所述可信应用程序响应所述通用操作系统的操作请求对应得数据；所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据。同时，本申请还提供一种电子设备。

Description

一种处理方法及电子设备

技术领域

本申请涉及数据存储技术，尤其涉及一种处理方法及电子设备。

背景技术

重播保护内存RPMB(Replay Protected Memory)是集成在嵌入式多媒体存储卡EMMC(Embeded MultiMedia Card)或通用闪存存储UFS (UniversalFlashStorage)内部一个单独的分区，为安全存储区域，可以安全存储密钥、证书、个人隐私数据和指纹模板等。所有存储和读取该分区的动作都必须要经过秘钥鉴权认证。目前该分区主要在数据安全系统(Trustzone)内部加密后操作访问。由于RPMB的频繁使用，导致RPMB中相关安全信息操作的历史信息变得越来越长，从而使得RPMB的存储空间很容易被写满，由于目前 Trustzone缺乏对RPMB的数据存储管理，所以在RPMB的存储空间写满后，则不能再继续向RPMB中写入新的安全信息数据，从而导致设备的安全性大幅度的下降。

发明内容

有鉴于此，本申请实施例期望提供一种处理方法及电子设备。

为达到上述目的，本申请的技术方案是这样实现的：

根据本申请的一方面，提供一种处理方法，所述方法包括：

可信执行环境(TEE，Trusted Execution Environment)中的可信应用程序 (TA，Trusted Application)响应通用操作系统的操作请求；

所述可信应用程序获得记录数据，所述记录数据为所述可信应用程序响应所述通用操作系统的操作请求对应得数据；

所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存(RPMB，ReplayProtectedMemory Block)中存储所述记录数据。

上述方案中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，包括：

确定所述可信应用程序对应的目标队列；

如果所述目标队列中每个数据元素不为空，将所述记录数据写入所述目标队列中最先写入数据的数据元素。

上述方案中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，包括：

修改所述目标队列中每个数据元素的数据索引，其中，所述最先写入数据的数据元素为最新数据元素。

上述方案中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，包括：

基于所述目标队列以第一数据元素顺序查询所述目标队列中的数据元素是否为空；

如果所述目标队列中有数据元素为空，将所述记录数据写入所述目标队列中为空的所述数据元素。

上述方案中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，包括：

创建所述目标队列，所述目标队列包括队列深度信息以及每个数据元素的大小信息；

在所述重播保护内存RPMB中为所述目标队列分配存储区域。

上述方案中，所述在所述重播保护内存RPMB中为所述目标队列分配存储区域，包括：

基于所述目标队列，按照区块列表的方式从所述RPMB中的起始区块开始，查找空闲的存储区块；

如果所述空闲的存储区块的空闲空间大小超过所述所述目标队列对应的数据大小，基于所述目标队列将所述空闲的存储区块分裂为第一区块和第二区块；其中，将所述第一区块作为用于承载所述目标队列的目标区块。

上述方案中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，还包括：

删除所述可信应用程序对应的目标队列；

回收所述目标队列对应的目标区块。

上述方案中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，还包括：

在所述可信应用程序对应的目标队列中基于各数据元素的创建时间戳确定目标数据，所述目标数据的创建时间是所述目标队列中所有数据元素中距离当前时间最近的；

基于所述目标数据对所述通用操作系统的操作请求进行鉴权；

如果鉴权成功，在所述目标队列中存储所述操作请求对应的记录数据。

根据本申请的另一方面，提供一种电子设备，包括：

响应单元，用于基于可信执行环境TEE中的可信应用程序响应通用操作系统的操作请求；

获取单元，用于基于所述可信应用程序获得记录数据，所述记录数据为所述可信应用程序响应所述通用操作系统的操作请求对应得数据；

存储单元，用于基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据。

根据本申请的另一方面，提供一种电子设备，包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，

其中，所述处理器用于运行所述计算机程序时，执行上述处理方法中任一项所述的方法步骤。

本申请提供的处理方法及电子设备，通过先进先出文件系统在TEE的 RPMB中对通用执行环境(REE，Rich Execution Environment)中的通用应用程序的记录数据进行存储，由于先进先出系统的机制，可以不断地将通用应用程序的记录数据写入RPMB中，而不用担心RPMB的存储空间被写满的问题，从而能够提高设备的安全级别。

附图说明

图1为本申请中处理方法的流程实现示意图一；

图2为本申请中先进先出文件系统的架构示意图一；

图3为本申请中先进先出文件系统的架构示意图二；

图4A为本申请中先进先出文件系统的架构示意图三；

图4B为本申请中先进先出文件系统的架构示意图四；

图4C为本申请中先进先出文件系统的架构示意图五；

图5为本申请中处理方法的流程实现示意图二；

图6为本申请中先进先出文件系统的架构示意图六；

图7为本申请中电子设备的结构组成示意图一；

图8是本申请中电子设备的结构组成示意图二。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚明白，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

由前所述，由于RPMB的频繁使用，会导致RPMB中相关安全信息的操作记录变得越来越长。由于运行在TEE中的Trustzone缺乏对RPMB中数据的存储管理，或者有些应用在使用RPMB的操作序列被打断(例如某些APP被强制杀死)，以至于相关的历史信息和数据没有有效的回收，导致RPMB的剩余空间会逐渐减少，甚至RPMB的剩余空间被用完后，用户也并不知晓。因为即使对某一应用操作完成后，很多加密的操作仍然是返回正确，但是安全性却大幅下降。更危险的问题是，当我们的手机在通过空中下载技术(OTA， Over-the-AirTechnology)进行业务下载的时候，有些KEY强行要求必须有 RPMB的保护，如果RPMB空间不够，OTA就会失败，并且用户再也无法成功启动手机，不光导致用户的数据损失，也导致设备的品牌形象受损。而采用本申请实施例提供的技术方案，通过TEE环境中的先进先出文件系统在RPMB 中对REE中的通用应用程序的记录数据进行存储，可以不断地将通用应用程序的记录数据写入RPMB中，而不用担心RPMB的存储空间被写满的问题，从而能够提高设备的安全级别。

以下结合说明书附图及具体实施例对本申请的技术方案做进一步的详细阐述。

图1为本申请中数据处理方法的流程实现示意图一，如图1所示，包括：

步骤101，可信执行环境TEE中的可信应用程序响应通用操作系统的操作请求；

步骤102，可信执行环境TEE中的可信应用程序响应通用操作系统的操作请求；

步骤103，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据。

这里，该方法可以应用于各种电子设备，该电子设备包括但不限于是手机、个人计算机、服务器、手表、一体机等等。其中，该电子设备具有两个操作系统，一个操作系统运行在TEE中，可以称之为安全操作系统，用于提供安全特性功能，并保证在可信环境下进行敏感操作(比如指纹识别、密码处理、数据加解密、安全认证、虚拟支付等等)，以保证信息的安全。另一个操作系统运行在REE中，可以称之为通用操作系统(比如安卓操作系统、OS操作系统等等)，在通用操作系统下可以运行包括第三方应用程序在内的多种应用程序(比如手机钱包应用、版本应用、指纹识别应用、面部识别应用等等)。这里，可信操作系统和通用操作系统逻辑上相互隔离。其中，运行在TEE中的操作系统的安全级别高于运行在REE中的操作系统。

这里，运行在TEE环境下的应用程序通常简称为TA，运行在REE环境下的应用程序通常简称为CA(Client Application)，REE环境下的CA可以通过特定的REE通信接口与TEE环境下的TA进行数据交互。

本申请中，该电子设备在TEE环境下还运行有先进先出文件系统，通过该先进先出文件系统可以对TEE中的RPMB的存储空间进行管理。

本申请中，该先进先出文件系统的架构可以分为：目录结构、数据结构和超级节点三个部分。其中，超级节点可以是指一个固定的数据地址中存储的数据(可以是数据标记，也可以是数据链接)，通过该数据地址中存储的数据标记或数据链接可以查找到相应的目录结构，通过该目录结构中的数据标记或数据链接又可以找到相应的数据结构。换句话说，该超级节点可以为树根，目录结构可以为树枝，数据结构可以为树枝上的叶子。

本申请中，先进先出文件系统中的超级节点(Super Element)可以存放在 RPMB的起始地址。该超级节点的结构可以如下所示：

a.MAGIC CODE 64bits:作为超级节点的标志，例如ascII：“rpmbfifo”；

b.Directory:用于存储目录结构的第一个目录节点的地址，数据大小可以是64bits；

c.Filesystem size:表征RPMB总区域的大小，可以是64bits；

d.Filesystem Free Space：用来表示文件系统的剩余空间大小，比如64bits。

本申请中，先进先出文件系统中的目录结构(Data Directory)由目录节点组成，每个目录节点的结构可以如下所示：

a.Type：用于存储数据类型，存储的数据大小可以是32bits，其中，16bitsH 中8bitsH用来表示目录节点或是数据节点，16bitsH中8bitsL用来表示：1)根节点；2)叶子节点；3)中间节点。如果当前节点是叶子节点，16bitsL表示当前节点的深度。这里，H表征数据高度，L表征数据长度。

b.Name[256]：用于存储节点名字，字节数组类型；

c.Parent*：用于存储当前节点的父节点地址，数据存储大小可以为64bits；

d.Child*：用于存储当前节点的子节点地址，数据存储大小可以为64bits。如果当前目录节点为叶子节点，指针指向数据头节点；

e.Sibling*：用于存储当前节点的邻居节点地址，数据存储大小可以为 64bits。

图2为本申请中先进先出文件系统的架构示意图一，如图2所示：

包括超级节点21、目录结构22和数据结构23，其中，目录结构22中包括有多个目录节点221，数据结构23包括多个数据节点231。当超级节点21中的数据标记为fifo 1时，则可以通过超级节点dev找到目录节点fifo 1；如果目录节点fifo 1中的数据标记为数据节点data 1，则可以通过目录节点fifo 1找到数据节点data 1，从而TA可以读取到数据节点data 1中的记录数据。

这里，该先进先出文件系统还可以提供有数据接口，TA通过该数据接口可以按照目标路径在该先进先出文件系统中查找到目标数据(如图3所示)。

图3为本申请中先进先出文件系统的架构示意图二，如图3所示：

TA根据数据路径(比如/dev/fifo/data1)可以在先进先出文件系统中先查找到超级节点dev，然后根据超级节点dev中的数据标记可以查找到目录结构fifo，然后根据目录结构fifo中的数据标记可以查找到数据结构data1，从而可以读取到数据结构data1对应的历史记录数据。

这里，数据结构data1对应的历史记录数据是TA在先进先出文件系统中创建的一个先进先出的目标队列，该目标队列具有对应的队列深度信息以及该队列文件中的每个数据元素的大小相同。

本申请中，该先进先出文件系统只能供TEE环境下的TA访问，而REE环境下的CA是无法访问的，如果REE环境下的CA想要访问RPMB中的目标数据，也只能通过TEE环境下的TA实现。

本申请中，TEE环境中的TA第一次在RPMB中存储记录数据时，可以基于预设的数据参数在该先进先出文件系统中创建一个有自己深度的先进先出队列(即目标队列)，该先进先出文件系统基于该目标队列的数据参数可以在 RPMB中为该目标队列分配与该数据参数对应的空闲的存储区块，该空闲的存储区块用于承载该目标队列。这里，该数据参数包括但不限于表征该目标队列的队列深度信息以及该目标队列中每个数据元素的尺寸信息。

比如，TA请求创建的目标队列的队列深度信息表征是10条操作记录，每条操作记录对应的数据元素尺寸信息为1000字节，则先进先出系统在RPBM 中为该目标队列分配的空闲的存储区块的大小为10条操作记录的深度，每条操作记录对应的数据元素尺寸为1000字节。当TA按照该目标队列的空闲空间管理策略在该目标队列中写入该记录数据时，该记录数据的数据大小与该目标队列中各数据元素的尺寸信息相同。并且可以保证TA始终可以在RPMB中进行数据写入，而不会产生写入失败的问题。

本申请中，该先进先出文件系统可以在TEE环境下的EMMC或UFS的固件中实现，通过该先进先出文件系统对TEE环境下的RPMB的存储空间进行管理，可以避免RPMB被写满而导致数据写入失败的问题出现，从而能够提高电子设备的安全级别，防止非法人员入侵而导致数据丢失或损坏。

这里，RPMB在没有写入数据的情况下(即初始状态下)，整个RPMB的存储空间可以用3个区块来表示：起始区块、第一个空闲区块和终止区块，其中，该第一空闲区块的存储大小是RPMB的总存储大小(如图4A所示)。当先进先出文件系统基于目标队列的数据参数在RPBM中为该目标队列分配存储区块时，可以按照区块列表的方式从RPMB的起始区块开始，查找与该目标队列对应的空闲的存储区块，然后TA可以将该记录数据存储在与该对目标队列对应的空闲的存储区块中。

图4A为本申请中先进先出文件系统的架构示意图三，如图4A所示，

RPMB的存储空间分为：起始区块41、第一个空闲区块42和终止区块43，当TA基于数据参数在先进先出系统中创建目标队列的情况下，该先进先出系统基于该目标队列的数据参数(深度和数据元素尺寸)可以从起始区块41开始查询空闲区块，如果查询到的第一空闲区块42，则从第一空闲区块42的起始地址为目标队列分配对应大小的存储区块。

图4B为本申请中先进先出文件系统的架构示意图四，如图4B所示，先进先出系统基于该目标队列的数据参数(深度和数据元素尺寸)在RPMB中为该目标队列分配对应的空闲的存储区块时，每次都要从RPMB的起始区块41开始查询空闲的存储区块，如果查询到第一空闲区块42，则以第一空闲区块42 的起始地址开始为目标队列分配相应大小的空闲区块(存储区块)421，用来承载该目标队列，而第一空闲区块42中剩余的空闲区块可以称这第二个空闲区块 422。当先进先出文件系统下一次在RPMB中为目标队列分配存储区块时，则可以以第二个空闲区块422为起始地址从第二个空闲区块422中为目标队列分配相应大小的空闲区块。

本申请中，该先进先出文件系统还可以使用链表区块分裂法来管理RPMB 的存储空间。如果先进先出文件系统在RPBM中查找到的与该目标队列对应的空闲的存储区块的空闲空间大小超过该目标队列对应的数据大小，则先进先出文件系统还可以基于该目标队列的数据参数将该空闲的存储区块分裂为第一区块和第二区块；其中，将该第一区块作为用于承载该目标队列的目标区块，并回收该第二区块。

这里，先进先出文件系统在回收该第二区块时，还可以根据该RPMB中各空闲区块的大小，按照从小到大的顺序对各空闲区块进行排序，以形成区块列表，通过区块列表的方式对该RPMB的存储空间进行管理。

比如，TA1要求创建的队列A的队列深度为10条操作，每条操作为1000 字节，则先进先出系统在RPMB中为该目标队列分配1000字节、10条操作大小的空闲区块给队列A；TA2要求创建的队列B的队列深度为5条操作，每条操作为800字节，则先进先出系统在RPMB中为该目标队列分配800字节、5 条操作大小的空闲区块给队列B。如果TA1要求删除该队列A中的操作数据，则先进先出系统会将队列A中的全部数据删除(这里不是删除某一条操作的数据)，并回收队列A对应的区块A，并按照RPMB中各空闲区块的大小将该区块A排在RPMB的相应位置(比如区块A是各空闲区块中最小的区块，则将区块A排在RPMB的第一个空闲区块的起始位置)。如果TA3要求创建的队列 C的队列深度为10条操作，每条操作为1000字节，由于RPMB中区块A的大小与队列C的数据大小相等，因此，先进先出系统可以将RPMB中的区块A直接分配给队列C；如果TA3要求创建的队列C的队列深度为4条操作，每条操作为500字节，由于RPMB中区块A可以满足队列C的数据大小，则先进先出文件系统可以将RPMB中的区块A分配给队列C，由于区块A的尺寸大于队列C的数据大小，所以先进先出文件系统还可以按照队列C的数据参数将区块A分为第一区块和第二区块，其中，第一区块作为承载队列C的目标区块，并回收第二区块。

本申请中，先进先出文件系统在使用链表区块分裂法来管理RPMB的存储空间时，每个链表元素的结构可以如下所示：

·Next：表示下一个空闲区块，比如数据存储大小可以是64bits；

·Size：表示当前空闲区块的大小，比如数据存储大小可以是32bits。

这里，在RPMB中没有回收队列的存储区块时，RPMB中的存储区块的地址都是连续的(比如区块1-10)，当RPMB为TA创建的目标队列分配存储区块时，比如先分配出存储区块1，再分配出存储区块2，再分配出存储区块3，当存储区块1对应的目标队列被删除时，RPMB可以回收存储区块1。但是由于RPBM中的存储区块的地址都是连续的，目前已分配到存储区块4，还剩存储区块4-10，所以当RPBM回收存储区块1时，存储区块1只能单独存在，不能与RPMB中剩余的空闲的存储区块4-10进行融合。另外，由于存储区块1 的存储大小小于RPMB中其他空闲的存储区块，所以只能将存储区块1放在 RPMB的第一空闲区块的起始位置，即RPMB中的存储区块列表表现为：存储区块1、存储区块4-10。

本申请中，如果REE环境中的CA通过REE通信接口向TA发送了一个删除请求，TA在响应该删除请求时，可以将先进先出文件系统中对应的目标队列删除(这里，并不是删除队列中某一个历史记录数据，而是删除整个队列)，然后先进先出文件系统可以回收该目标队列对应的目标区块，并按照RPMB中各个空闲区块的大小重新按照从小到大的顺序排列。如此，可以释放队列的存储空间给RPMB。

图4C为本申请中先进先出文件系统的架构示意图五，如图4C所示，

该RPMB中当前有两个空闲区块，其中，一个空闲区块的大小是16KB，另一个空闲区块的大小是32KB，当队列使用的区块被先进先出文件系统回收时，由于该队列使用的区块的大小是16KB，该队列使用的区块的大小小于 RPMB中大小为32KB的空闲区块，所以按照从小到大的顺序对RPMB中的各空闲区块进行排序后，得到图4C所示的区块列表。这里，由于空闲区块1和空闲区块2的大小相等，所以也可以将该队列使用的区块作为空闲区块1。

本申请中，TA基于该先进先出文件系统在TEE的RPMB中存储记录数据时，还可以根据数据路径在该先进先出系统中确定该TA对应的目标队列(这里针对的是已经创建过目标队列的场景)。然后基于该目标队列以第一数据元素顺序查询该目标队列中的数据元素是否为空，如果该目标队列中有数据元素为空，则将该记录数据写入该目标队列中为空的该数据元素。

这里，该数据路径是TA在先进先出文件系统中创建目标队列时，该先进先出文件系统发送给TA的。

这里，队列里的每个数据元素对应于一条记录数据(包括但不限于操作类型、创建时间戳等信息)，每个数据元素表征一条记录数据所占的空间，而队列中该数据元素的个数就是目标队列的队列深度。

比如，目标队列的队列深度是10，说明该目标队列中数据元素的个数是10。并且每个数据元素的尺寸相等，比如都是10KB。

本申请中，如果目标队列中每个数据元素不为空(即写入的记录数据已达到队列深度)，TA则可以将该记录数据写入该目标队列中最先写入数据的数据元素。

这里，TA在将该记录数据写入该目标队列中最先写入数据的数据元素时，是用当前的记录数据覆盖最先写入数据的数据元素。

比如，目标队列的队列深度是10，每个数据元素为16B的一个FIFO数据节点，当持续写入大小为16B的数据A0,A1,A2…An，当n等于10时，说明当前队列深度已满，则修改目标队列中每个数据元素的数据索引，以使得当前的元素指针指向A0，从而在TA写入大小为16B的记录数据时，将当前的记录数据写入目标队列中的数据元素(A0)，这样，最先写入的记录数据(A0)就会自动淘汰掉，而数据元素(A0)中最先写入的数据则变为最新数据。

本申请，在先进先出文件系统中可以通过指针的方式修改目标队列中各数据元素的数据索引。在目标队列中的数据索引不为空的情况下，数据元素指针通常是指向下一个为空的数据元素，这样TA在RPMB中写入记录数据时，该记录数据就可以直接写入下一个为空的数据元素。在目标队列中的各数据元素均不为空的情况下，则可以修改该数据元素指针，以使得该数据元素指针指向该目标队列中最先写入数据的数据元素，这样TA在RPMB中写入记录数据时，该记录数据就可以直接写入最先写入数据的数据元素，以覆盖最先写入数据的数据元素的历史数据。然后修改该数据元素指针，以使得该数据元素指针指向下一个待淘汰的数据元素。这样TA下一次在RPMB中写入记录数据时，就可以直接将下一次的记录数据写入下一个待淘汰的数据元素。

这里，在队列深度不满时，数据元素指针始终指向下一个为空的数据元素，在队列深度溢出时，采用最先淘汰制，该数据元素指针始终指向下一个即将淘汰的数据元素(即最先写入的数据)。如此，在队列深度溢出时按照数据元素指针指向的数据元素，将当前的记录数据写入最先写入的数据的数据元素，可以使得RPMB中能够持续写入数据而不会因为存储空间写满而导致写入失败的问题。

图5为本申请中处理方法的流程实现示意图二，如图5所示，该方法包括：

步骤501，判断数据元素头是否为空；若是，执行步骤506；若否，执行步骤502；

步骤502，查找下一个数据元素；

这里，可以按顺序确定下一个数据元素；

步骤503，判断下一个数据元素是否为空；若是，执行步骤506；若否，执行步骤504；

步骤504，判断所有数据元素是否被占用；若是，执行步骤505；若否，执行步骤502；

步骤505，重复使用第一个数据元素；

这里，当所有数据元素都被使用时，我们选择最先写入数据的数据元素进行填充，而这里所描述的重复使用的该第一个数据元素即为最先写入数据的数据元素；

步骤506，填满空缺的数据元素；

这里，在有数据元素为空的时候，该数据元素为空闲的数据元素；当所有数据元素被占用时，该数据元素为最先写入数据的数据元素。而填满空缺的数据元素是指将当前即将写入的记录数据写入该空缺的数据元素。

步骤507，将元素指针指向第一个数据元素；

这里，每次写入记录数据时都需要通过元素指针修改元素索引，以使得该元素指针始终指向待使用的数据元素。在有数据元素为空的时候，该待使用的数据元素为当前为空的数据元素；当所有数据元素被占用时，该待使用的数据元素为最先写入数据的数据元素。

如此，通过本申请中提供的先进先出文件系统对RPMB存储空间的管理策略，可以使得TA始终能够向RPMB写入记录数据，不会出现写入失败的问题出现，从而可以提高电子设备的安全级别，防止非法人员的非法入侵对设备造成的损失。

本申请中，先进先出文件系统中的数据结构(Data Element)由数据节点组成，每个数据节点的结构如下所示：

a.type：用于存储数据类型，数据存储大小可以是32bits，其中，16bitsH 中8bitsH用来表示数据节点或目录节点，8bitsL用来表示：1)头结点；2)中间节点；3)空闲节点。16bitsL用来扩展。这里，H表征数据高度，L表征数据长度。

b.prev*：用于存储当前节点的父节点地址，数据存储大小可以是64bits，如果当前节点为头结点，则该父节点为目录节点；

c.next*：用于存储当前节点的子节点地址，数据存储大小可以是64bits，如果当前节点是末节点，则该节点为空(NIL)；

d.length：用于存储当前节点的数据长度，数据存储大小可以是32bits,表示后面data区域的大小；在同一个group里面(同一个列表中)的所有数据节点都有相同的数据长度；

e.data：用于存储当前节点的数据。

图6为本申请中先进先出文件系统的架构示意图六，图6是在图2的基础上对数据结构中的数据节点进行进一步的描述，与图2相同之处在此不再赘述。

如图6所示：

数据节点data 1中的记录数据是通过一个先进先出的队列文件所呈现，在该先进先出队列中具有1-N个数据元素，其中，N为该先进先出队列的队列深度，且每个数据元素的尺寸相同。

这里，在该先进先出队列中可以有两个元素指针，其中，元素指针A指向上一个数据元素，元素指针B指向下一个数据元素。如果当前节点为头节点，则元素指针A指向的可以是父节点目标录节点如data 1。如果当前节点为末节点，则元素指针B指向空。

如图6所示，当TA通过先进先出文件系统提供的接口在目标队列中存储记录数据时，可以先判断一下data body 1这个数据元素是不是为空，如果data body 1这个数据元素为空，将当前的记录数据写入data body 1这个数据元素中，如果data body 1这个数据元素不为空，则判断data body 2这个数据元素；如果当前队列中的data body n这个数据元素被占用，则将当前记录数据写入data body 1这个数据元素，以覆盖data body 1这个数据元素中原来写入的数据。

本申请中，TA在先进先出文件系统中进行数据读取时，还可以在该TA对应的目标队列中基于各数据元素中数据的创建时间戳确定目标数据，其中，该目标数据的创建时间是该目标队列中所有数据元素中距离当前时间最近的。然后，TA基于该目标数据可以对通用操作系统的操作请求进行鉴权；如果鉴权成功，则在该目标队列中存储当前操作请求对应的记录数据。如果鉴权失败，则拒绝当前操作请求，并且不会在该目标队列中存储当前操作请求对应的记录数据。

本申请中，先进先出文件系统提供的接口可以如下：

Mkdir参数：

const char*path：表示数据路径，例如/dev/fifo/。

这里，该接口会创建一个或若干个新的目录节点，并以正确的方式把节点串联起来，如果对应节点已经存在，则返回出错代码。

open参数：

const char*path：表示数据路径，例如/dev/fifo/finger1

rd_rw：表示只读方式打开或以读写方式打开，如果数据不存在则创建新的数据节点。

depth：表示队列深度，用来表示最多可以存储的数据节点的数目；

element_size：表示每个数据节点保存的数据长度。

这里，如果数据路径指定的数据不存在，该接口会根据depth创建对应个数据节点数据，每个数据节点会预先分配element_size指定的数据长度空间。如果创建成功或者打开成功，则返回对应的叶子目录节点的地址，否则返回0。

close参数：

handler:对应open接口的返回值；

get参数：

handler：对应open接口的返回值；

*depth：表示该handler对应的data element的深度；

*element_size：表示该handler对应的element的大小。

write参数：

handler：对应open接口的返回值；

element_data：表示需要写入的data element元素数据；

length：表示需要写入的元素数据的长度，该长度必须和handler在open创建的element_size元素大小保持一致，否则返回失败。

该接口会按照FIFO的方式对元素数据的链表进行操作，当找到合适的元素数据的时候，检查写入长度是否和当前的元素数据的数据长度一致，如果一致则直接修改数据，随后如有需要则修改相应指针完成操作，返回实际写入长度。

peek参数：

handler：表示open操作返回的数据句柄；

element_data：表示返回数据写入参数；

element_size：表示返回数据长度，该长度必须<＝open时候创建的data element长度，否则返回0；

index:该参数表示当前读取的目标data element的深度，0表示读取最后写入的data element；-1表示读取最早写入的data element；1，2，3…表示对应深度的dataelement。

flush参数：

handler：表示open操作返回的数据句柄；

这里，该接口用来清空handler对应的所有数据节点(data elements)，所有的data elements状态都会被设为空闲。

delete参数：

handler：表示open操作返回的数据句柄；

这里，该接口用来删除handler对应的所有目录节点(directory elements)和数据节点(data elements)。

比如，在一种实现场景下，REE环境下的版本更新应用在更新系统版本的时候，该版本更新应用可以通过REE通信接口向TEE环境下与该版本更新应用对应的TA发送一个版本更新的操作请求，该TA收到该版本更新应用发送的版本更新的操作请求后，可以通过先进先出文件系统提供的数据接口在对应的先进先出队列中获取该版本更新应用对应的版本信息A(如版本号)，并将该版本信息A与该操作请求对应的版本信息B进行匹配，如果匹配结果表征版本信息A和版本信息B不同，说明该操作请求验证失败，可能是一个非法操作请求，则拒绝该版本更新应用执行对该系统版本的更新。如果匹配结果表征版本信息 A和版本信息B相同，则说明该操作请求验证成功，是一个合法的操作请求，允许该版本更新应用执行对系统版本的更新。然后TA可以在该操作请求验证成功后对该操作请求对应的系统版本号、更新时间戳等操作信息进行记录，得到该操作请求对应的记录数据，并将该记录数据存储在该先进先出队列中。如此，通过先进先出文件系统对PRMB的空闲空间管理策略，可以使TA始终在 RPMB中写入数据而不会产生写入失败的问题。

比如在另一个实现场景中，REE环境中的APP1收到用户发送的指纹创建请求，该APP1通过REE通信接口将指纹创建请求发送给TEE环境中对应的 APP2，APP2收到该指纹创建请求，调用先进先出文件系统的接口创建目标队列。TEE环境中的加密操作系统可以分为加密文件部分和RPMB存储部分，加密文件部分可以把创建的指纹经过加密之后写在自己的内部文件系统上，同时会在RPMB中把当前写的指纹模板的版本号、指纹生成的时间、文件的哈希值存在RPMB中。这里，加密文件部分里的数据是可以被REE环境中的APP访问到的，但是REE环境中的APP只能获取加密文件部分里的数据，不能对该数据进行解密，如果要对该数据进行解密，则需要通过TEE中的TA来实现。也就是说，在有人通过REE环境中的系统A从TEE环境中的系统B的加密文件部分获取指纹模板后，如果对该指纹模板进行了修改，则通过正常路径去TEE 里访问经修改后的指纹文件是不可行的，因为TEE里的APP2在读取该指纹文件时，会将该指纹文件里的版本号、生成时间、哈唏值分别与存储在先进先出文件系统的RPMB里的版本号、生成时间，哈唏值进行比对，如果不匹配，则会拒绝用户访问。

这里，该先进先出文件系统还可以在RPMB中直接存储加密数据本体，比如在RPBM中直接存储指纹本体数据、面部本体数据，且该指纹本体数据、面部本体数据可以是一个也可以是多个。当TA在目标队列中写入最新的加密数据本体时，先进先出文件系统可以判断该目标队列中的本体数量是否已达到队列深度允许的最大本体数量，如果已达到队列深度允许的最大本体数量，则将当前写入的加密数据本体写入最先写入的加密数据本体所在的位置，以覆盖最先写入的加密数据本体。

这里，该先进先出文件系统还可以在RPMB中存储抽象个体，比如抽象个体是一种加密数据或是手机钱包等支付应用。在对抽象个体的操作记录进行存储时，与指纹、系统版本的处理流程相同，可以参考相关描述，在此不再赘述。

本申请提供的处理方法及电子设备，通过先进先出文件系统在TEE的 RPMB中对通用执行环境(REE，Rich Execution Environment)中的通用应用程序的记录数据进行存储，由于先进先出系统对RPMB的空闲空间的管理机制，可以使TA不断地将通用应用程序的记录数据写入RPMB中，而不用担心RPMB 的存储空间被写满的问题，从而能够提高设备的安全级别。

图7为本申请中电子设备的结构组成示意图一，如图7所示，包括：

响应单元701，用于基于可信执行环境TEE中的可信应用程序响应通用操作系统的操作请求；

获取单元702，用于基于所述可信应用程序获得记录数据，所述记录数据为所述可信应用程序响应所述通用操作系统的操作请求对应得数据；

存储单元703，用于基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据。

优选方案中，该电子设备还包括：

确定单元704，用于确定所述可信应用程序对应的目标队列；

存储单元703，具体用于在所述目标队列中每个数据元素不为空的情况下，将所述记录数据写入所述目标队列中最先写入数据的数据元素。

优选方案中，该电子设备还包括：

修改单元705，用于修改所述目标队列中每个数据元素的数据索引，其中，所述最先写入数据的数据元素为最新数据元素。

优选方案中，该电子设备还包括：

查询单元706，用于基于所述目标队列以第一数据元素顺序查询所述目标队列中的数据元素是否为空；

存储单元703，具体用于在所述目标队列中有数据元素为空的情况下，将所述记录数据写入所述目标队列中为空的所述数据元素。

优选方案中，该电子设备还包括：

创建单元707，用于创建所述目标队列，所述目标队列包括队列深度信息以及每个数据元素的尺寸信息；

分配单元708，用于在所述重播保护内存RPMB中为所述目标队列分配存储区域。

优选方案中，该电子设备还包括：分裂单元709；

具体地，该查询单元706，还用于基于所述目标队列，按照区块列表的方式从所述RPMB中的起始区块开始，查找空闲的存储区块；

如果所述空闲的存储区块的空闲空间大小超过所述目标队列对应的数据大小，触发分裂单元709，以使得分裂单元709基于所述目标队列将所述空闲的存储区块分裂为第一区块和第二区块；其中，将所述第一区块作为用于承载所述目标队列的目标区块。

优选方案中，该电子设备还包括：删除单元710和回收单元711；

其中，删除单元710，用于删除所述可信应用程序对应的目标队列；

回收单元711，用于回收所述目标队列对应的目标区块。

优选方案中，确定单元704，还用于在所述可信应用程序对应的目标队列中基于各数据元素的创建时间戳确定目标数据，所述目标数据的创建时间是所述目标队列中所有数据元素中距离当前时间最近的；

鉴权单元712，用于基于所述目标数据对所述通用操作系统的操作请求进行鉴权；

存储单元703，还用于如果鉴权成功，在所述目标队列中存储所述操作请求对应的记录数据。

需要说明的是：上述实施例提供的电子设备在进行数据处理时，仅以上述各程序模块的划分进行举例说明，实际应用中，可以根据需要而将上述处理分配由不同的程序模块完成，即将装置的内部结构划分成不同的程序模块，以完成以上描述的全部或者部分处理。另外，上述实施例提供的电子设备与上述提供的处理方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

本申请实施例还提供了一种电子设备，该电子设备包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，

其中，所述处理器用于运行所述计算机程序时，执行上述处理方法中任一项方法步骤。

图8是本申请中电子设备的结构组成示意图二，电子设备800可以是移动电话、计算机、数字广播终端、信息收发设备、游戏控制台、平板设备、医疗设备、健身设备、个人数字助理等终端。图8所示的电子设备800包括：至少一个处理器801、存储器802、至少一个网络接口804和用户接口803。电子设备800中的各个组件通过总线系统805耦合在一起。可理解，总线系统805用于实现这些组件之间的连接通信。总线系统805除包括数据总线之外，还包括电源总线、控制总线和状态信号总线。但是为了清楚说明起见，在图8中将各种总线都标为总线系统805。

其中，用户接口803可以包括显示器、键盘、鼠标、轨迹球、点击轮、按键、按钮、触感板或者触摸屏等。

可以理解，存储器802可以是易失性存储器或非易失性存储器，也可包括易失性和非易失性存储器两者。其中，非易失性存储器可以是只读存储器 (ROM，Read OnlyMemory)、可编程只读存储器(PROM，Programmable Read-Only Memory)、可擦除可编程只读存储器(EPROM，Erasable Programmable Read-Only Memory)、电可擦除可编程只读存储器(EEPROM， Electrically Erasable Programmable Read-Only Memory)、磁性随机存取存储器 (FRAM，ferromagnetic random access memory)、快闪存储器(Flash Memory)、磁表面存储器、光盘、或只读光盘(CD-ROM，Compact Disc Read-Only Memory)；磁表面存储器可以是磁盘存储器或磁带存储器。易失性存储器可以是随机存取存储器(RAM，Random AccessMemory)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(SRAM， Static Random Access Memory)、同步静态随机存取存储器(SSRAM， Synchronous Static Random Access Memory)、动态随机存取存储器(DRAM，Dynamic Random Access Memory)、同步动态随机存取存储器(SDRAM， SynchronousDynamic Random Access Memory)、双倍数据速率同步动态随机存取存储器(DDRSDRAM，Double Data Rate Synchronous Dynamic Random Access Memory)、增强型同步动态随机存取存储器(ESDRAM，Enhanced Synchronous Dynamic Random Access Memory)、同步连接动态随机存取存储器(SLDRAM， SyncLink Dynamic Random Access Memory)、直接内存总线随机存取存储器 (DRRAM，Direct Rambus Random Access Memory)。本申请实施例描述的存储器802旨在包括但不限于这些和任意其它适合类型的存储器。

本申请实施例中的存储器802用于存储各种类型的数据以支持电子设备 800的操作。这些数据的示例包括：用于在电子设备800上操作的任何计算机程序，如操作系统8021和应用程序8022；联系人数据；电话簿数据；消息；图片；音频等。其中，操作系统8021包含各种系统程序，例如框架层、核心库层、驱动层等，用于实现各种基础业务以及处理基于硬件的任务。应用程序8022 可以包含各种应用程序，例如媒体播放器(Media Player)、浏览器(Browser) 等，用于实现各种应用业务。实现本申请实施例方法的程序可以包含在应用程序8022中。

上述本申请实施例揭示的方法可以应用于处理器801中，或者由处理器801 实现。处理器801可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器801中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器801可以是通用处理器、数字信号处理器 (DSP，Digital Signal Processor)，或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。处理器801可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者任何常规的处理器等。结合本申请实施例所公开的方法的步骤，可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于存储介质中，该存储介质位于存储器802，处理器801读取存储器802中的信息，结合其硬件完成前述方法的步骤。

在示例性实施例中，电子设备800可以被一个或多个应用专用集成电路 (ASIC，Application Specific Integrated Circuit)、DSP、可编程逻辑器件(PLD， ProgrammableLogic Device)、复杂可编程逻辑器件(CPLD，Complex Programmable Logic Device)、现场可编程门阵列(FPGA，Field-Programmable Gate Array)、通用处理器、控制器、微控制器(MCU，Micro Controller Unit)、微处理器(Microprocessor)、或其他电子元件实现，用于执行前述方法。

在示例性实施例中，本申请实施例还提供了一种计算机可读存储介质，例如包括计算机程序的存储器802，上述计算机程序可由电子设备800的处理器 801执行，以完成前述方法所述步骤。计算机可读存储介质可以是FRAM、ROM、 PROM、EPROM、EEPROM、FlashMemory、磁表面存储器、光盘、或CD-ROM 等存储器；也可以是包括上述存储器之一或任意组合的各种设备，如移动电话、计算机、平板设备、个人数字助理等。

一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器运行时，执行上述处理方法中任一项方法步骤。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

本申请所提供的几个方法实施例中所揭露的方法，在不冲突的情况下可以任意组合，得到新的方法实施例。

本申请所提供的几个产品实施例中所揭露的特征，在不冲突的情况下可以任意组合，得到新的产品实施例。

本申请所提供的几个方法或设备实施例中所揭露的特征，在不冲突的情况下可以任意组合，得到新的方法实施例或设备实施例。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种处理方法，所述方法包括：

可信执行环境TEE中的可信应用程序响应通用操作系统的操作请求；

所述可信应用程序获得记录数据，所述记录数据为所述可信应用程序响应所述通用操作系统的操作请求对应得数据；

所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据。

2.根据权利要求1所述的方法，其中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，包括：

确定所述可信应用程序对应的目标队列；

如果所述目标队列中每个数据元素不为空，将所述记录数据写入所述目标队列中最先写入数据的数据元素。

3.根据权利要求2所述的方法，其中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，包括：

修改所述目标队列中每个数据元素的数据索引，其中，所述最先写入数据的数据元素为最新数据元素。

4.根据权利要求2所述的方法，其中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，包括：

基于所述目标队列以第一数据元素顺序查询所述目标队列中的数据元素是否为空；

如果所述目标队列中有数据元素为空，将所述记录数据写入所述目标队列中为空的所述数据元素。

5.根据权利要求2所述的方法，其中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，包括：

创建所述目标队列，所述目标队列包括队列深度信息以及每个数据元素的尺寸信息；

在所述重播保护内存RPMB中为所述目标队列分配存储区域。

6.根据权利要求5所述的方法，其中，所述在所述重播保护内存RPMB中为所述目标队列分配存储区域，包括：

基于所述目标队列，按照区块列表的方式从所述RPMB中的起始区块开始，查找空闲的存储区块；

如果所述空闲的存储区块的空闲空间大小超过所述目标队列对应的数据大小，基于所述目标队列将所述空闲的存储区块分裂为第一区块和第二区块；其中，将所述第一区块作为用于承载所述目标队列的目标区块。

7.根据权利要求1所述的方法，其中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，还包括：

删除所述可信应用程序对应的目标队列；

回收所述目标队列对应的目标区块。

8.根据权利要求1所述的方法，其中，所述可信应用程序基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据，还包括：

在所述可信应用程序对应的目标队列中基于各数据元素的创建时间戳确定目标数据，所述目标数据的创建时间是所述目标队列中所有数据元素中距离当前时间最近的；

基于所述目标数据对所述通用操作系统的操作请求进行鉴权；

如果鉴权成功，在所述目标队列中存储所述操作请求对应的记录数据。

9.一种电子设备，包括：

响应单元，用于基于可信执行环境TEE中的可信应用程序响应通用操作系统的操作请求；

获取单元，用于基于所述可信应用程序获得记录数据，所述记录数据为所述可信应用程序响应所述通用操作系统的操作请求对应得数据；

存储单元，用于基于先进先出文件系统在所述可信执行环境的重播保护内存RPMB中存储所述记录数据。

10.一种电子设备，包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，

其中，所述处理器用于运行所述计算机程序时，执行权利要求1至8任一项所述的方法步骤。

Images