CN116186664A - 一种基于可信执行环境的图像交互方法及系统 - Google Patents

Abstract

本发明公开了一种基于可信执行环境的图像交互方法，包括：响应于业务平台发送的图像采集指令，唤起所述用户设备的图像采集设备，通过所述图像采集设备获取目标图像，并将所述目标图像传输至所述可信应用；于所述可信应用中，在所述目标图像中的图像帧中添加可验证凭证，并通过所述可验证凭证对应的用户私钥对所述目标图像进行身份签名，所述可验证凭证是预存在所述可信应用中，用于证明所述用户可信身份信息的数字凭证；根据预置于所述图像采集设备的设备私钥，对身份签名后的目标图像进行设备签名；将二次签名后的目标图像发送给业务平台进行验证，使所述业务平台在对二次签名后的目标图像验证通过后，将所述目标图像分发至交互端。

Description

一种基于可信执行环境的图像交互方法及系统

技术领域

本发明涉及一种数据安全技术，尤其涉及一种基于可信执行环境的图像交互方法及系统。

背景技术

目前深度学习算法越来越成熟，通过深度学习算法进行视频换脸，普通人甚至无法通过肉眼进行区分真假，目前已有大量关于使用视频换脸技术通过视频会议、视频聊天等进行欺诈的新闻。

然而，现有技术中的身份验证方式，一是隐私性较差，需要预先提供证件信息、用户的人脸到提供视频服务的云端，用户的隐私信息全部提供给了视频服务的服务商。二是验证繁琐，如果用户使用多个不同的业务平台，需要做多次实人级别的身份识别。三是账号一旦被恶意登陆，仍然能被换脸，通过注入方式攻击。

鉴于此，希望获得一种新的基于可信执行环境的图像交互方案，该方案在保护用户隐私的同时，能够进行身份凭证的复用，对抗图像篡改。

发明内容

本发明的目的之一在于提供一种基于可信执行环境的图像交互方法，该方法在保护用户隐私的同时，能够进行身份凭证的复用，对抗图像篡改。

基于根据上述发明目的，本发明提出了一种基于可信执行环境的图像交互方法，其包括步骤：

响应于业务平台发送的图像采集指令，唤起所述用户设备的图像采集设备，通过所述图像采集设备获取目标图像，并将所述目标图像传输至所述可信应用；

于所述可信应用中，在所述目标图像中的图像帧中添加可验证凭证，并通过所述可验证凭证对应的用户私钥对所述目标图像进行身份签名，所述可验证凭证是预存在所述可信应用中，用于证明所述用户可信身份信息的数字凭证；

根据预置于所述图像采集设备的设备私钥，对身份签名后的目标图像进行设备签名；

将二次签名后的目标图像发送给业务平台进行验证，使所述业务平台在对二次签名后的目标图像验证通过后，将所述目标图像分发至交互端。

在本发明中，基于可信执行环境的图像交互方法：

提高了用户隐私性。在申请可验证凭证的过程中，可以根据目的灵活申请，例如只申请部分身份信息，可以根据需要最小限度的暴露用户的隐私。

身份信息可以复用。本方案中由于没有实人认证的过程不需要进行实人的生物特征或者其他形式认证，也就不存在多次的认证。而且流程中的申请VC，VC是在用户手机终端的，在不同的视频服务中是可以复用的。

避免视频注入方式攻击。本方案中，使用了设备提供的从摄像头直接获取视频流到安全的TA的能力，能够避免视频被注入的问题。

进一步地，在一些实施例中，在所述目标图像中的图像帧中添加可验证凭证包括：

获取所述图像采集指令对应的安全等级设置，根据所述安全等级设置确定在所述可验证凭证的添加频率；

根据所述添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在所述图像帧中添加可验证凭证。

进一步地，在一些实施例中，在所述目标图像中的图像帧中添加可验证凭证包括：

获取所述用户设备的性能信息，根据所述性能信息确定所述可验证凭证的添加频率；

根据所述添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在所述图像帧中添加可验证凭证。

进一步地，在一些实施例中，在所述可验证凭证为选择性披露验证凭证的情况下，在所述目标图像中的图像帧中添加可验证凭证包括：

获取披露设置，并根据所述披露设置确定可披露验证凭证；

在所述目标图像中的图像帧中添加所述可披露验证凭证。

进一步地，在所述目标图像中的图像帧中添加可验证凭证之前，所述方法还包括：

生成用户公私密钥对，向可验证凭证颁发方发送可验证凭证的申请请求；

从所述可验证凭证颁发方获取基于用户私钥加签的所述可验证凭证以及用户公钥；

根据所述用户公钥确认与所述可验证凭证对应的用户私钥，将所述可验证凭证以及所述用户私钥保存至所述可信应用的安全存储中。

更进一步地，在一些实施例中，从所述可验证凭证颁发方获取所述可验证凭证之后，所述方法还包括：

于所述可信应用中，获取可验证凭证颁发方的公钥，对所述可验证凭证进行验证，以确认所述可验证凭证的真实性；

在所述可验证凭证验证为真实的情况下，将所述可验证凭证保存至所述可信应用的安全存储中。

进一步地，在一些实施例中，所述可信应用用于IFAA认证。

本发明还提供了另一种基于可信执行环境的图像交互方法。其包括步骤：

响应于用户设备发起的业务请求，向所述用户设备发送图像采集指令；

接收用户设备发送的二次签名后的目标图像，根据设备公钥验证所述目标图像中的设备签名；

在所述设备验证通过的情况下，根据用户公钥验证所述目标图像中的身份签名，获取可验证凭证；

在所述身份验证通过的情况下，根据所述业务请求将所述目标图像分发至交互端

进一步地，在一些实施例中，获取可验证凭证之后，所述方法还包括：

在所述可验证凭证中包括人脸信息的情况下，将所述人脸信息与所述图像帧中的人脸图像进行人脸比对；

在所述人脸比对一致的情况下，根据所述业务请求将所述目标图像分发至交互端。

进一步地，在一些实施例中，获取可验证凭证之后，所述方法还包括：

根据所述可验证凭证中的身份信息，在所述目标图像中添加身份标识，根据所述业务请求将包含有身份标注的目标图像分发至交互端。

进一步地，在一些实施例中，根据用户公钥验证所述目标图像中的身份签名，包括在所述用户公钥为预设机构公钥的情况下，执行本地身份验证

本发明的另一目的在于提供一种基于可信执行环境的图像交互系统，该系统可以在保护用户隐私的同时，能够进行身份凭证的复用，对抗图像篡改。

基于上述目的，本发明还提供了一种基于可信执行环境的图像交互系统，其包括用户端处理模块，以及与用户端处理模块数据通信的业务模块和验证模块，所述用户端模块中有可信执行环境TEE，有可信应用位于所述可信执行环境中：

业务模块响应于业务请求向所述用户端模块发送图像采集指令；

所述用户端模块响应于业务平台发送的图像采集指令，唤起图像采集设备，通过所述图像采集设备获取目标图像；

所述用户端模块将所述目标图像传输至所述可信应用，并于所述可信应用中，在所述目标图像中的图像帧中添加可验证凭证，并通过所述可验证凭证对应的用户私钥对所述目标图像进行身份签名，所述可验证凭证是预存在所述可信应用中，用于证明所述用户可信身份信息的数字凭证；

所述用户端模块根据预置于所述图像采集设备的设备私钥，对身份签名后的目标图像进行设备签名；、

所述用户端模块将二次签名后的目标图像发送至所述业务模块；

所述业务模块接收所述二次签名后的目标图像，请求所述验证模块根据设备公钥验证所述目标图像中的设备签名；

在所述设备验证通过的情况下，所述业务模块根据用户公钥验证所述目标图像中的身份签名，获取可验证凭证，并在所述身份验证通过的情况下，根据所述业务请求将所述目标图像分发至交互端。

进一地，在一些实施方式中，所述用户端模块获取所述图像采集指令对应的安全等级设置，根据所述安全等级设置确定在所述可验证凭证的添加频率；所述用户端模块根据所述添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在所述图像帧中添加可验证凭证。

进一步地，在一些实施方式中，所述用户端模块获取所述用户设备的性能信息，根据所述性能信息确定在所述可验证凭证的添加频率；

所述用户端模块根据所述添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在所述图像帧中添加可验证凭证。

进一步地，在一些实施方式中，所述用户端模块获取披露设置，并根据所述披露设置确定可披露验证凭证；在所述目标图像中的图像帧中添加所述可披露验证凭证。

进一步地，在一些实施方式中，用户端模块还用于生成用户公私密钥对，向可验证凭证颁发方发送可验证凭证的申请请求；

所述用户端模块从所述可验证凭证颁发方获取基于用户私钥加签的所述可验证凭证以及用户公钥，根据所述用户公钥确认与所述可验证凭证对应的用户私钥，将所述可验证凭证以及所述用户私钥保存至所述可信应用的安全存储中。

进一步地，在一些实施方式中，所述用户端模块还用于在所述可信应用中，获取所述可验证凭证颁发方的公钥，对所述可验证凭证进行验证，以确认所述可验证凭证的真实性；

在所述可验证凭证验证为真实的情况下，将所述可验证凭证保存至所述可信应用的安全存储中。

进一步地，在一些实施方式中，所述业务模块还用于在所述可验证凭证中包括人脸信息的情况下，将所述人脸信息与所述图像帧中的人脸图像进行人脸比对；在所述人脸比对一致的情况下，根据所述业务请求将所述目标图像分发至交互端。

进一步地，在一些实施方式中，所述业务模块还用于根据所述可验证凭证中的身份信息，在所述目标图像中添加身份标识，根据所述业务请求将包含有身份表述的目标图像后分发至交互端。

本发明所述的基于可信执行环境的图像交互方法及系统具有以下有益效果：

首先，提高了用户隐私性。一方面在申请VC的过程中，可以根据VC的目的灵活申请VC，另一方面，在视频帧中增加用户信息时，如果颁发的VC是支持选择性披露验证的，可以只增加用户希望披露的信息；

其次，身份信息可以复用。本方案中由于没有实人认证的过程不需要进行实人的生物特征或者其他形式认证，也就不存在多次的认证。而且流程中的申请VC，VC是在用户设备里的，在不同的视频服务中是可以复用的；

最后，避免视频注入方式攻击。本方案中，使用了设备提供的从摄像头直接获取视频流到安全的TA的能力，并且在IFAA设备端会检测设备是否支持，能够避免视频被注入的问题。

附图说明

图1示例性地示出了本发明所述的基于可信执行环境的图像交互方法在一种实施方式下的流程示意图。

图2示例性地示出了本发明所述的基于可信执行环境的图像交互方法在另一种实施方式下的流程示意图。

图3示例性地显示了本发明所述的另一种基于可信执行环境的图像交互方法在一种实施方式下的流程图。

图4示例性地显示了本发明所述的可信执行环境的图像交互系统在一种实施方式下的示意图。

图5示例性地显示了本发明所述的可信执行环境的图像交互系统在一种实施方式下所执行的流程图。

具体实施方式

下面将结合说明书附图和具体的实施例来对本发明所述的基于可信执行环境的图像交互方法、系统进行进一步的详细说明，但是该详细说明不构成对本发明的限制。

可信执行环境(Trusted Execution Environment，TEE)在设备中提供一个安全区域，确保敏感数据在隔离、可信的环境中存储、处理和保护。通过提供隔离的、安全执行的授权软件，实现端到端的安全。TEE所能访问的软硬件资源是与设备原有操作系统是分离的。TEE提供了授权安全软件，即可信应用(Trusted Application，TA)的安全执行环境，同时也保护TA的资源和数据的保密性，完整性和访问权限。在TEE中，每个TA是相互独立的，而且不能在未授权的情况下不能互相访问。即TEE表示一个与操作系统中其他模块隔离并能够执行TA的区域。

位于TEE域内的可信应用TA，一般由TEE产商开发或由手机设备产商开发写入，其创建的数据可以被加密存储，仅能被自身访问。另外一些敏感信息(如获取指纹ID等)接口也仅能被该区域内的TA应用访问。TEE还有一个特性就是无视手机root操作，尽管手机被root了，但TEE环境仍然不受影响独立运作，其数据安全性与系统安全性得到了保障。

本发明实施例提供的图像交互方法，就是利用可信执行环境以及可信应用的特性，实现安全且隐私的图像交互。需要说明的是，本发明所提供的实施例中，图像交互包括图片、影像、视频以及声音等各种类型媒体的交互。交互包括实时交互例如视频会议等，也包括非实时的例如图片分享或者影像留言等。上述图像交互方法可以应用于任何需要进行真实可靠图像采集以及分发的应用场景。

在本发明的一个实施例中，提出了一种基于可信执行环境的图像交互方法。图1示例性地示出了本发明所述的基于可信执行环境的图像交互方法在一种实施方式下的流程示意图。

如图1所示，基于可信执行环境的图像交互方法包括步骤：

100：响应于业务平台发送的图像采集指令，唤起用户设备的图像采集设备，通过图像采集设备获取目标图像，并将目标图像传输至可信应用。

在有图像交互需求的情况下，用户设备接收来自业务平台的图像采集指令。上述图像交互需求可以是来自需要执行图像采集的用户设备对应的客户端，也可以是来自业务平台中的其他客户端。例如，业务平台中的某一客户端需要发起视频会议，则该客户端会向业务平台发起视频会议业务请求，业务平台则根据视频会议业务请求确定会议涉及的各个参与方，并向各个参与方发送图像采集指令。

在接收到图像采集指令后，用户设备唤醒图像采集设备并通过图像采集设备采集目标图像。以视频会议为例，用户设备为手机，则手机会响应于视频会议业务平台的指令，打开手机摄像头，并采集手机的使用者，即会议参与者的图像。为了保证采集到的图像是可靠不被篡改的，目标图像直接被传输至TA中。

110：于所述可信应用中，在目标图像中的图像帧中添加可验证凭证，并通过可验证凭证对应的用户私钥对目标图像进行身份签名。

可验证凭证是预存在所述可信应用中，用于证明用户可信身份信息的数字凭证。可选地，可验证凭证可以是去中心化身份(Decentralized Identity，DID)的身份验证凭证。去中心化身份标识具有全局唯一性、高可用性可解析性和加密可验证性，DIDs通常与加密材料(如公钥)和服务端点相关联，以建立安全的通信信道。

中心化身份系统的本质是，中央集权化的权威机构掌握着身份数据，因为围绕数据进行的认证、授权等也都由中心化的机构来决定。身份不是由用户自己控制的，且不同的中心化网站比如淘宝、知乎等都有一套自己的身份系统，每个中心化网站都需要重新注册一个账户。而不同网站自己用的身份系统及账户对应的数据之间是不互通的。为了解决这个问题，不同的网站自己联合起来推出了联盟身份。在联盟身份体系下，用户的在线身份有了一定的可移植性，身份系统走向去中心化。

在一些现行的DID标准例如W3C中，DID系统主要包括基础层和应用层，基础层中包含了DID规范例如DID标识符和DID文档；应用层中则包含了可验证声明(VerifiableClaims或Verifiable Credentials，简称VC)。在应用层中，DID既可以用来标识个体的身份、也可以用来标识组织的身份，甚至标识物品的身份。

在一些实施例中，在目标图像中的图像帧中添加可验证凭证之前，还包括可验证凭证的申请过程。图2示例性地示出了本发明所述的基于可信执行环境的图像交互方法在另一种实施方式下的流程示意图。如图2所述，可验证凭证的申请包括如下步骤：

200：生成用户公私密钥对，向可验证凭证颁发方发送可验证凭证的申请请求。

在一些实施例中，用户登录用户设备中支持去中心化身份的应用程序，并通过该程序向可验证凭证颁发方发出可验证凭证的申请请求。支持去中心化身份的应用程序还会生成用户密钥对，包括用户私钥和用户公钥。

210：从可验证凭证颁发方获取基于用户私钥加签的可验证凭证以及用户公钥。

可验证凭证是基于用户私钥加签的，可验证凭证颁发方给用户颁发可验证凭证的同时，会将加签所使用的用户私钥对应的用户公钥反馈至用户端。

220：根据用户公钥确认与可验证凭证对应的用户私钥，将可验证凭证以及用户私钥保存至可信应用的安全存储中。用户端根据用户公钥，确认与可验证身份凭证对应的用户私钥，将可验证身份凭证以及用户私钥均存储至可信应用的安全存储中，以在后续步骤中，在目标图像的图像帧中添加可验证身份凭证，以及用用户私钥对目标图像进行身份签名。

如前述，DID系统的基础层包含了DID规范例如DID标识符和DID文档。然而DID对应的DID文档里没有用户的真实信息，所以当用户进行某个操作时，网站需要用户出示证明。比如，要求证明“年龄已经大于18周岁”或者“用户身份为某公司的CEO”，此时需要发行者帮用户发出并签名此类VC，以展示给业务平台或者应用程序作为凭证，并在展示凭证后进行业务操作。

在一些更具体的实施例中，示例性地，在VC的颁发系统中，有以下参与者，分别是：发行者，即可验证凭证的颁发方，拥有用户数据并能开具VC的实体，如政府、银行、大学等机构和组织；持有者，向发行者请求、接收并持有VC的实体。开具的VC不是一次性的，可以存放在预设的存储器中，方便后续再次使用。可选地，还有标识符注册机构：用于维护DIDs的数据库，如某条区块链、分布式账本等，用于通过DID和存DID的数据库验证用户。

需要说明的是，可验证凭证的申请以及保存的步骤可以在需要在目标图像的图像帧添加可验证凭证之前的任何时候执行。可以在采集目标图像之前，也可以在采集目标图像之后，其执行的时间在此不做限定。

在一些实施例中，从可验证凭证颁发方获取可验证凭证之后，还包括VC的验证过程：在可信应用中，获取可验证凭证颁发方的公钥，对可验证凭证进行验证，以确认可验证凭证的真实性；在可验证凭证验证为真实的情况下，将可验证凭证以及用户私钥保存至可信应用的安全存储中。

示例性地，VC的颁发系统中还有验证者角色，其位于可信应用中，接受VC并进行验证。在一些具体的实施例中，因为VC中没有发行者的公钥，在一些实施例中，VC的id是一个URI，而VC中的发行者字段也是一个URI，而发行者也可能是使用DID来作为其身份的。因此通过VC中的发行者字段即URI地址得到其DID，然后从DID对应的DID文档里就可以得到其公钥了。用公钥验证对VC的签名就能验证VC是否是可靠发行者发的。在可验证凭证验证为可靠的情况下，将可验证凭证VC以及用户私钥保存至可信应用的安全存储中。

回到步骤110，在获取到可验证凭证后，首先将VC加到目标图像的图像帧中。在目标图像是个图像集或者视频流的情况下，可以根据预设的添加规则，添加VC到目标图像的部分图像帧中。

在一些实施例中，根据该业务的安全等级对添加VC的频率进行设置。在目标图像中的图像帧中添加可验证凭证包括步骤：获取图像采集指令对应的安全等级设置，根据安全等级设置确定可验证凭证的添加频率；根据添加频率确定目标图像中的需要进行可验证凭证添加的图像帧，并在选定的图像帧中添加可验证凭证。安全等级可以是来自用户端的自定义设置，也可以是来自业务平台的预先全局设置。安全等级要求越高，添加VC的频率越高。

在另一些实施例中，根据用户设备的性能对添加VC的频率进行设置。在目标图像中的图像帧中添加可验证凭证包括步骤：获取用户设备的性能信息，根据性能信息确定在可验证凭证的添加频率；根据添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在选定的图像帧中添加可验证凭证。在用户设备性能有限的情况下，则减小添加VC的频率，以适配用户设备本身的性能情况，也保证实际业务以及用户设备其他功能的正常运行。

上述实施例中所提供的影响VC添加频率的因素也可以结合使用，在实际场景中，还可以考虑更多因素以确定合适的VC添加频率，从而使得VC的添加更加灵活。

在一些实施例中，在可验证凭证为选择性披露验证凭证的情况下，在目标图像中的图像帧中添加可验证凭证包括步骤：获取披露设置，并根据披露设置确定可披露验证凭证；在目标图像中的图像帧中添加可披露验证凭证。在图像帧中增加用户信息的时，如果颁发的VC是支持选择性披露验证的，例如使用默克尔树支持选择性披露的VC，可以根据披露设置，只增加用户希望披露的信息。例如，VC中包括姓名与职位，在用户只希望披露职位信息的情况下，只增加VC中的职位信息而不增加姓名信息。提高了用户的隐私性，也增加了信息披露的灵活性。

最后，通过用户私钥对添加了可验证凭证的目标图像加签，完成身份签名。

120：根据预置于图像采集设备的设备私钥，对身份签名后的目标图像进行设备签名。为了保证目标图像是未经过注入的，实时通过用户设备的图像采集设备采集到的，通过对采集设备进行验证保证其设备的可靠性。通过图像采集设备的设备私钥签名，业务平台则根据可靠的图像采集设备公钥进行解签，从而从设备端提升目标图像的可信度。

在一些实施例中，基于TEE的安全特性，IFAA协议在此区域内设定了一个TA应用，IFAA authenticator，主要负责生物特征信息索引的查询和相关密钥的创建等与安全相关的操作。与该TA对应的IFAA Server则与业务平台通信，负责第三方应用生物特征识别校验与注册。

设备的私钥与公钥由产商在设备出厂期间创建，其中设备私钥由产商烧入设备重播保护内存块(Replay Protected Memory Block，RPMB)中，公钥提交给IFAA认证中心，用于校验设备合法性。此外，IFAA还提供根证书公钥与私钥，由IFAA提供证书公钥，证书私钥则保存在IFAA认证中心，用于确保IFAA SDK与IFAA Server通信信息的可靠。

130：将二次签名后的目标图像发送给业务平台进行验证，使业务平台在对二次签名后的目标图像验证通过后，将目标图像分发至交互端。业务平台接收到二次签名后的目标图像数据，首先根据进行设备验签，判断是否为安全可信的采集设备，再进行身份验证，并获取VC信息，最终在二次验证通过的情况下，根据业务请求分发目标图像至预定的接收端。

本实施例中提供的基于可信执行环境的图像交互方法，相比于于预先实人认证方式：

提高了用户隐私性。一方面在申请VC的过程中，可以根据VC的目的灵活申请VC，比如要以一个xx公司CTO的身份参加一个视频会议，可以在申请VC时候只申请含有xx公司颁发的，只包括职务信息的VC，这样就可以根据需要最小限度的暴露用户的隐私。另一方面，在视频帧中增加用户信息时，如果颁发的VC是支持选择性披露验证的，可以只增加用户希望披露的信息。

身份信息可以复用。本方案中由于没有实人认证的过程不需要进行实人的生物特征或者其他形式认证，也就不存在多次的认证。而且流程中的申请VC，VC是在用户手机终端的，在不同的视频服务中是可以复用的。

避免视频注入方式攻击。本方案中，使用了设备提供的从摄像头直接获取视频流到安全的TA的能力，并且在IFAA设备端会检测设备是否支持，能够避免视频被注入的问题。

在本发明的另一个实施例中，提供了另一种基于可信执行环境的图像交互方法，应用于业务平台，图3示例性地显示了本发明所述的另一种基于可信执行环境的图像交互方法在一种实施方式下的流程图。如图3所示，基于可信执行环境的图像交互方法包括以下步骤：

300：响应于用户设备发起的业务请求，向用户设备发送图像采集指令。业务平台接收在图像交互需求的情况下，向需要输出图像的用户设备发送图像采集指令。用户设备在在接收到图像采集指令后，唤醒图像采集设备并通过图像采集设备采集目标图像。目标图像将根据本发明前述基于可信执行环境的图像交互方法，对目标图像进行可验证凭证的添加以及身份签名和设备签名，并将二次签名后的目标图像发送至业务平台。

310：接收用户设备发送的二次签名后的目标图像，根据设备公钥验证目标图像中的设备签名。业务平台接收用户设备发送的二次签名后的目标图像，根据设备公钥对目标图像中的设备签名进行验签。

在一些实施例中，IFAA协议在用户设备的TEE区域内设定了一个TA应用，主要负责生物特征信息索引的查询和相关密钥的创建等与安全相关的操作。与该TA对应，业务平台则与IFAA Server数据通信，负责第三方应用生物特征识别校验与注册。

设备的私钥与公钥由产商在设备出厂期间创建，其中设备私钥由产商烧入设备重播保护内存块(Replay Protected Memory Block，RPMB)中，公钥提交给IFAA Server上的认证中心，用于校验设备合法性。此外，IFAA还提供根证书公钥与私钥，由IFAA提供证书公钥，证书私钥则保存在IFAA认证中心，用于确保IFAA SDK与IFAA Server通信信息的可靠。

320：在设备验证通过的情况下，根据用户公钥验证目标图像中的身份签名，获取可验证凭证。

330：在身份验证通过的情况下，根据业务请求将目标图像分发至交互端。

业务平台可以通过DID文档或者预存的数据库获取用户设备的用户公钥，并通过用户公钥对身份签名进行验签。验签通过的情况下，还可以获取到添加在目标图像的图像帧中的可验证凭证VC信息。

在一些实施例中，获取可验证凭证之后，在可验证凭证中包括人脸信息的情况下，将人脸信息与图像帧中的人脸图像进行人脸比对；在人脸比对一致的情况下，根据业务请求将所述目标图像分发至交互端。上述人脸信息可以是人脸图像，也可以是该用户对应的身份信息，例如姓名或者职位等。根据上述身份信息，业务平台可以通过搜索平台或者数据库检索到该用户的人脸信息，从而获取到其人脸图像。业务平台将用户人脸图像以及目标图像中的人脸进行人脸比对，即可判断用户是否为真实身份，在用户身份可靠的情况下，将目标图像进行分发传输。在视频流不被注入篡改的基础上，保证了视频中的人的身份的实人级的可信。在一些实施例中，人脸比对结果可以实时标注在目标图像中，例如，在视频会议的过程中，通过文字或者标识实时展示人脸比对的结果。

在很多场景中，用户的人脸图片并非隐私，比如用户为大学教授、公司的高层管理、或者是一些公众人物，在公开的网站中都可以搜到用户的人脸图片，在这种场景下，不仅能通过VC来提供用户的身份信息，而且持有VC中的人脸图片与实时视频流中的人脸完成了匹配，能进一步证实视频中的人脸为当时VC颁发方授予人的人为同一个人，这样在VC被盗用的情况下也不能进行攻击。而且本方式中的VC即使丢失，如果用户的人脸信息非敏感信息，由于VC中包括人脸图片信息，可以在业务平台进行实人人脸比对，在账户被盗、VC被盗的情况下，依旧能防止用户的冒用。

在一些实施例中，获取可验证凭证之后，业务平台根据可验证凭证中的身份信息，在目标图像中添加身份标识，根据业务请求将包含有身份标注的目标图像分发至交互端。示例性地，在VC信息中包括身份信息的情况下，可以在目标图像中对人物身份进行标识。上述标识过程可以在业务平台进行，也可以由业务平台将标识发送至接收目标图像的各个用户端，并在用户端进行渲染。例如可以增加用户的身份信息如“xx公司CEO”等。

在一些实施例中，在用户公钥为预设机构公钥的情况下，执行本地身份验证。根据用户身份证书链条信息，如果获取到权威机构的公钥，可以请求本地验证。即使无网络环境也可实现身份验证。

本实施例中提供的基于可信执行环境的图像交互方法，本方案中，使用了设备提供的从摄像头直接获取视频流到安全的TA的能力，并且在IFAA设备端会检测设备是否支持，能够避免视频被注入的问题。并通过增加用户VC中的信息，并使用用户VC中的私钥进行可验证的签名，在视频流中增加业务中关注的身份信息，提高了安全水位，增加视频流的身份的可信度。

本发明的另一种实施方式还提供了一种基于可信执行环境的图像交互系统。图4示例性地显示了本发明所述的可信执行环境的图像交互系统在一种实施方式下的示意图，如图4所示，基于可信执行环境的图像交互系统40包括用户端处理模块42，以及与用户端处理模块42数据通信的业务模块44和验证模块46。用户端模块42中有可信执行环境TEE，有可信应用位于所述可信执行环境中。

图5示例性地显示了本发明所述的可信执行环境的图像交互系统在一种实施方式下所执行的流程图。如图5所示，可信执行环境的图像交互系统执行的步骤如下：

500：业务模块响应于业务请求向用户端模块发送图像采集指令。业务平台接收在图像交互需求的情况下，向需要输出图像的各个用户设备发送图像采集指令。

510：用户端模块响应于业务平台发送的图像采集指令，唤起图像采集设备，通过图像采集设备获取目标图像。

在有图像交互需求的情况下，用户设备上的用户端模块接收来自业务平台的图像采集指令。上述图像交互需求可以是来自需要执行图像采集的用户设备对应的用户端，也可以是来自业务平台中的其他用户端。例如，业务平台中的某一用户端需要发起视频会议，则该用户端会向业务平台发起视频会议业务请求，业务平台则根据视频会议业务请求确定会议涉及的各个参与方，并向各个参与方发送图像采集指令。

在接收到图像采集指令后，用户端模块唤醒图像采集设备并通过图像采集设备采集目标图像。以视频会议为例，用户设备为手机，则手机会响应于视频会议业务平台的指令，用户端模块指示打开手机摄像头，并采集手机的使用者，即会议参与者的图像。为了保证采集到的图像是可靠不被篡改的，目标图像直接被传输至TA中。

520：用户端模块将目标图像传输至可信应用，并于可信应用中，在目标图像中的图像帧中添加可验证凭证，并通过可验证凭证对应的用户私钥对目标图像进行身份签名。

在一些实施例中，在目标图像中的图像帧中添加可验证凭证之前，还包括可验证凭证的申请过程。可验证凭证的申请包括如下步骤：

首先，用户端模块生成用户公私密钥对，向可验证凭证颁发方发送可验证凭证的申请请求。在一些实施例中，用户登录用户设备中支持去中心化身份的应用程序，并通过该程序向可验证凭证颁发方发出可验证凭证的申请请求。支持去中心化身份的应用程序还会生成用户密钥对，包括用户私钥和用户公钥。

其次，用户端模块从可验证凭证颁发方获取基于用户私钥加签的可验证凭证以及用户公钥。可验证凭证是基于用户私钥加签的，可验证凭证颁发方给用户颁发可验证凭证的同时，会将加签所使用的用户私钥对应的用户公钥反馈至用户端。

最后，用户端模块根据用户公钥确认与可验证凭证对应的用户私钥，将可验证凭证以及用户私钥保存至可信应用的安全存储中。用户端根据用户公钥，确认与可验证身份凭证对应的用户私钥，将可验证身份凭证以及用户私钥均存储至可信应用的安全存储中，以在后续步骤中，在目标图像的图像帧中添加可验证身份凭证，以及用用户私钥对目标图像进行身份签名。

需要说明的是，可验证凭证的申请以及保存的步骤可以在需要在目标图像的图像帧添加可验证凭证之前的任何时候执行。可以在采集目标图像之前，也可以在采集目标图像之后，其执行的时间在此不做限定。

在一些实施例中，从可验证凭证颁发方获取可验证凭证之后，还包括VC的验证过程：在可信应用中，用户端模块获取可验证凭证颁发方的公钥，对可验证凭证进行验证，以确认可验证凭证的真实性；在可验证凭证验证为真实的情况下，将可验证凭证以及用户私钥保存至可信应用的安全存储中。

在一些更具体的实施例中，示例性地，在VC的颁发系统中，有以下参与者，分别是：发行者，即可验证凭证的颁发方，拥有用户数据并能开具VC的实体，如政府、银行、大学等机构和组织；持有者，向发行者请求、接收并持有VC的实体。开具的VC不是一次性的，可以存放在预设的存储器中，方便后续再次使用。可选地，还有标识符注册机构：用于维护DIDs的数据库，如某条区块链、分布式账本等，用于通过DID和存DID的数据库验证用户。

VC的颁发系统中还有验证者角色，其位于可信应用中，接受VC并进行验证。在一些具体的实施例中，因为VC中没有发行者的公钥，在一些实施例中，VC的id是一个URI，而VC中的发行者字段也是一个URI，而发行者也可能是使用DID来作为其身份的。因此通过VC中的发行者字段即URI地址得到其DID，然后从DID对应的DID文档里就可以得到其公钥了。用公钥验证对VC的签名就能验证VC是否是可靠发行者发的。在可验证凭证验证为可靠的情况下，将可验证凭证VC以及用户私钥保存至可信应用的安全存储中。

在获取到可验证凭证后，用户端模块首先将VC加到目标图像的图像帧中。在目标图像是个图像集或者视频流的情况下，可以根据预设的添加规则，添加VC到目标图像的部分图像帧中。

在一些实施例中，用户端模块根据该业务的安全等级对添加VC的频率进行设置。在目标图像中的图像帧中添加可验证凭证包括步骤：获取图像采集指令对应的安全等级设置，根据安全等级设置确定可验证凭证的添加频率；根据添加频率确定目标图像中的需要进行可验证凭证添加的图像帧，并在选定的图像帧中添加可验证凭证。安全等级可以是来自用户端的自定义设置，也可以是来自业务平台的预先全局设置。安全等级要求越高，添加VC的频率越高。

在另一些实施例中，用户端模块根据用户设备的性能对添加VC的频率进行设置。在目标图像中的图像帧中添加可验证凭证包括步骤：获取用户设备的性能信息，根据性能信息确定在可验证凭证的添加频率；根据添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在选定的图像帧中添加可验证凭证。在用户设备性能有限的情况下，则减小添加VC的频率，以适配用户设备本身的性能情况，也保证实际业务以及用户设备其他功能的正常运行。

上述实施例中所提供的影响VC添加频率的因素也可以结合使用，在实际场景中，还可以考虑更多因素以确定合适的VC添加频率，从而使得VC的添加更加灵活。

在一些实施例中，用户端模块在可验证凭证为选择性披露验证凭证的情况下，在目标图像中的图像帧中添加可验证凭证包括步骤：获取披露设置，并根据披露设置确定可披露验证凭证；在目标图像中的图像帧中添加可披露验证凭证。在图像帧中增加用户信息的时，如果颁发的VC是支持选择性披露验证的，例如使用默克尔树支持选择性披露的VC，可以根据披露设置，只增加用户希望披露的信息。例如，VC中包括姓名与职位，在用户只希望披露职位信息的情况下，只增加VC中的职位信息而不增加姓名信息。提高了用户的隐私性，也增加了信息披露的灵活性。

最后，用户端模块通过用户私钥对添加了可验证凭证的目标图像加签，完成身份签名。

530：用户端模块根据预置于所述图像采集设备的设备私钥，对身份签名后的目标图像进行设备签名。为了保证目标图像是未经过注入的，实时通过用户设备的图像采集设备采集到的，通过对采集设备进行验证保证其设备的可靠性。通过图像采集设备的设备私钥签名，业务平台则根据可靠的图像采集设备公钥进行解签，从而从设备端提升目标图像的可信度。

在一些实施例中，基于TEE的安全特性，IFAA协议在此区域内设定了一个TA应用，IFAA authenticator，主要负责生物特征信息索引的查询和相关密钥的创建等与安全相关的操作。与该TA对应的IFAA Server则与业务平台通信，负责第三方应用生物特征识别校验与注册。

设备的私钥与公钥由产商在设备出厂期间创建，其中设备私钥由产商烧入设备RPMB中，公钥提交给验证模块中的IFAA认证中心，用于校验设备合法性。此外，IFAA还提供根证书公钥与私钥，由IFAA提供证书公钥，证书私钥则保存在IFAA认证中心，用于确保IFAASDK与IFAA Server通信信息的可靠。

540：用户端模块将二次签名后的目标图像发送至业务模块。

550：业务模块接收二次签名后的目标图像，请求验证模块根据设备公钥验证目标图像中的设备签名。在一些实施例中，验证模块中的IFAA认证中心，根据设备公钥进行设备签名的验签。

560：在设备验证通过的情况下，业务模块根据用户公钥验证目标图像中的身份签名，获取可验证凭证，并在身份验证通过的情况下，根据业务请求将目标图像分发至交互端。

业务平台可以通过DID文档或者预存的数据库获取用户设备的用户公钥，并通过用户公钥对身份签名进行验签。验签通过的情况下，还可以获取到添加在目标图像的图像帧中的可验证凭证VC信息。

在一些实施例中，获取可验证凭证之后，在可验证凭证中包括人脸信息的情况下，将人脸信息与图像帧中的人脸图像进行人脸比对；在人脸比对一致的情况下，根据业务请求将目标图像分发至交互端。上述人脸信息可以是人脸图像，也可以是该用户对应的身份信息，例如姓名或者职位等。根据上述身份信息，业务平台可以通过搜索平台或者数据库检索到该用户的人脸信息，从而获取到其人脸图像。业务平台将用户人脸图像以及目标图像中的人脸进行人脸比对，即可判断用户是否为真实身份，在用户身份可靠的情况下，将目标图像进行分发传输。在视频流不被注入篡改的基础上，保证了视频中的人的身份的实人级的可信。在一些实施例中，人脸比对结果可以实时标注在目标图像中，例如，在视频会议的过程中，通过文字或者标识实时展示人脸比对的结果。

在很多场景中，用户的人脸图片并非隐私，比如用户为大学教授、公司的高层管理、或者是一些公众人物，在公开的网站中都可以搜到用户的人脸图片，在这种场景下，不仅能通过VC来提供用户的身份信息，而且持有VC中的人脸图片与实时视频流中的人脸完成了匹配，能进一步证实视频中的人脸为当时VC颁发方授予人的人为同一个人，这样在VC被盗用的情况下也不能进行攻击。而且本方式中的VC即使丢失，如果用户的人脸信息非敏感信息，由于VC中包括人脸图片信息，可以在业务平台进行实人人脸比对，在账户被盗、VC被盗的情况下，依旧能防止用户的冒用。

在一些实施例中，获取可验证凭证之后，业务平台根据可验证凭证中的身份信息，在目标图像中添加身份标识，根据业务请求将包含有身份标注的目标图像分发至交互端。示例性地，在VC信息中包括身份信息的情况下，可以在目标图像中对人物身份进行标识。上述标识过程可以在业务平台进行，也可以由业务平台将标识发送至接收目标图像的各个用户端，并在用户端进行渲染。例如可以增加用户的身份信息如“xx公司CEO”等。

本发明实施例所提供的基于可信执行环境的图像交互系统，把目前用户设备提供的从摄像头安全获取视频流到TA的能力与IFAA提供的端到云的可验证是否为可信安全设备能力结合，保证了图像采集设备到TA、TA到服务器的整个链路的安全可信。用户设备厂商可以通过接入IFAA生态，在接入IFAA生态前会对手机进行安全水位的测试与评估，满足IFAA的安全水位、漏洞测试后完成准入认证，这样能保证IFAA生态的用户设备的安全水位。结合目前用户设备内提供的图像采集设备到TA的驱动层级上保证获取摄像头的能力，能够完全保证视频流是未经过注入的，实时通过手机终端的摄像头采集到的。

在安全可信的视频流中，通过增加用户的VC中的信息，并使用用户VC中的私钥进行可验证的签名，在视频流中增加业务中关注的身份信息，提高了安全水位，增加视频流的身份的可信度。为避免过多的用户隐私信息泄漏，这里的VC可以是视频业务中其他用户关心的信息，比如VC只包括一个特定公司的职务。并且此VC在多个不同的视频服务商都可以复用使用。

在VC中增加用户的人脸图片，视频服务商验证签名后通过人脸比，把结果渲染到视频中，给接收视频方提供更多安全信息提示，在视频流不被注入篡改的基础上，保证了视频中的人的身份的实人级的可信。在很多场景中，用户的人脸图片并非隐私，比如用户为大学教授、公司的高层管理、或者是一些公众人物，在公开的网站中都可以搜到用户的人脸图片，在这种场景下，不仅能通过VC来提供用户的身份信息，而且持有VC中的人脸图片与实时视频流中的人脸完成了匹配，能进一步证实视频中的人脸为当时VC颁发方授予人的人为同一个人，这样在VC被盗用的情况下也不能进行攻击。

需要注意的是，以上列举的仅为本发明的具体实施例，显然本发明不限于以上实施例，随之有着许多的类似变化。本领域的技术人员如果从本发明公开的内容直接导出或联想到的所有变形，均应属于本发明的保护范围。

Claims (19)

1.一种基于可信执行环境的图像交互方法，应用于用户设备，所述用户设备运行有可信应用，所述可信应用位于可信执行环境TEE中，所述方法包括：

响应于业务平台发送的图像采集指令，唤起所述用户设备的图像采集设备，通过所述图像采集设备获取目标图像，并将所述目标图像传输至所述可信应用；

于所述可信应用中，在所述目标图像中的图像帧中添加可验证凭证，并通过所述可验证凭证对应的用户私钥对所述目标图像进行身份签名，所述可验证凭证是预存在所述可信应用中，用于证明所述用户可信身份信息的数字凭证；

根据预置于所述图像采集设备的设备私钥，对身份签名后的目标图像进行设备签名；

将二次签名后的目标图像发送给业务平台进行验证，使所述业务平台在对二次签名后的目标图像验证通过后，将所述目标图像分发至交互端。

2.如权利要求1所述的基于可信执行环境的图像交互方法，在所述目标图像中的图像帧中添加可验证凭证包括：

获取所述图像采集指令对应的安全等级设置，根据所述安全等级设置确定在所述可验证凭证的添加频率；

根据所述添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在所述图像帧中添加可验证凭证。

3.如权利要求1所述的基于可信执行环境的图像交互方法，在所述目标图像中的图像帧中添加可验证凭证包括：

获取所述用户设备的性能信息，根据所述性能信息确定所述可验证凭证的添加频率；

根据所述添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在所述图像帧中添加可验证凭证。

4.如权利要求1所述的基于可信执行环境的图像交互方法，在所述可验证凭证为选择性披露验证凭证的情况下，在所述目标图像中的图像帧中添加可验证凭证包括：

获取披露设置，并根据所述披露设置确定可披露验证凭证；

在所述目标图像中的图像帧中添加所述可披露验证凭证。

5.如权利要求1所述的基于可信执行环境的图像交互方法，在所述目标图像中的图像帧中添加可验证凭证之前，所述方法还包括：

生成用户公私密钥对，向可验证凭证颁发方发送可验证凭证的申请请求；

从所述可验证凭证颁发方获取基于用户私钥加签的所述可验证凭证以及用户公钥；

根据所述用户公钥确认与所述可验证凭证对应的用户私钥，将所述可验证凭证以及所述用户私钥保存至所述可信应用的安全存储中。

6.如权利要求5所述的基于可信执行环境的图像交互方法，从所述可验证凭证颁发方获取所述可验证凭证之后，所述方法还包括：

于所述可信应用中，获取可验证凭证颁发方的公钥，对所述可验证凭证进行验证，以确认所述可验证凭证的真实性；

在所述可验证凭证验证为真实的情况下，将所述可验证凭证保存至所述可信应用的安全存储中。

7.如权利要求1所述的基于可信执行环境的图像交互方法，所述可信应用用于IFAA认证。

8.一种基于可信执行环境的图像交互方法，应用于业务平台，所述方法包括：

响应于用户设备发起的业务请求，向所述用户设备发送图像采集指令；

接收用户设备发送的二次签名后的目标图像，根据设备公钥验证所述目标图像中的设备签名；

在所述设备验证通过的情况下，根据用户公钥验证所述目标图像中的身份签名，获取可验证凭证；

在所述身份验证通过的情况下，根据所述业务请求将所述目标图像分发至交互端。

9.如权利要求8所述的基于可信执行环境的图像交互方法，获取可验证凭证之后，所述方法还包括：

在所述可验证凭证中包括人脸信息的情况下，将所述人脸信息与所述图像帧中的人脸图像进行人脸比对；

在所述人脸比对一致的情况下，根据所述业务请求将所述目标图像分发至交互端。

10.如权利要求8所述的基于可信执行环境的图像交互方法，获取可验证凭证之后，所述方法还包括：

根据所述可验证凭证中的身份信息，在所述目标图像中添加身份标识，根据所述业务请求将包含有身份标注的目标图像分发至交互端。

11.如权利要求8所述的基于可信执行环境的图像交互方法，根据用户公钥验证所述目标图像中的身份签名，包括：

在所述用户公钥为预设机构公钥的情况下，执行本地身份验证。

12.一种基于可信执行环境的图像交互系统，其包括用户端处理模块，以及与用户端处理模块数据通信的业务模块和验证模块，所述用户端模块中有可信执行环境TEE，有可信应用位于所述可信执行环境中，业务模块响应于业务请求向所述用户端模块发送图像采集指令；

所述用户端模块响应于业务平台发送的图像采集指令，唤起图像采集设备，通过所述图像采集设备获取目标图像；

所述用户端模块将所述目标图像传输至所述可信应用，并于所述可信应用中，在所述目标图像中的图像帧中添加可验证凭证，并通过所述可验证凭证对应的用户私钥对所述目标图像进行身份签名，所述可验证凭证是预存在所述可信应用中，用于证明所述用户可信身份信息的数字凭证；

所述用户端模块根据预置于所述图像采集设备的设备私钥，对身份签名后的目标图像进行设备签名；

所述用户端模块将二次签名后的目标图像发送至所述业务模块；

所述业务模块接收所述二次签名后的目标图像，请求所述验证模块根据设备公钥验证所述目标图像中的设备签名；

在所述设备验证通过的情况下，所述业务模块根据用户公钥验证所述目标图像中的身份签名，获取可验证凭证，并在所述身份验证通过的情况下，根据所述业务请求将所述目标图像分发至交互端。

13.如权利要求12所述的基于可信执行环境的图像交互系统，还用于执行步骤：

所述用户端模块获取所述图像采集指令对应的安全等级设置，根据所述安全等级设置确定在所述可验证凭证的添加频率；

所述用户端模块根据所述添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在所述图像帧中添加可验证凭证。

14.如权利要求12所述的基于可信执行环境的图像交互系统，还用于执行步骤：

所述用户端模块获取所述用户设备的性能信息，根据所述性能信息确定在所述可验证凭证的添加频率；

所述用户端模块根据所述添加频率确定所述目标图像中的需要进行可验证凭证添加的图像帧，并在所述图像帧中添加可验证凭证。

15.如权利要求12所述的基于可信执行环境的图像交互系统，还用于执行步骤：

所述用户端模块获取披露设置，并根据所述披露设置确定可披露验证凭证；在所述目标图像中的图像帧中添加所述可披露验证凭证。

16.如权利要求12所述的基于可信执行环境的图像交互系统，还用于执行步骤：

用户端模块还用于生成用户公私密钥对，向可验证凭证颁发方发送可验证凭证的申请请求；

所述用户端模块从所述可验证凭证颁发方获取基于用户私钥加签的所述可验证凭证以及用户公钥，根据所述用户公钥确认与所述可验证凭证对应的用户私钥，将所述可验证凭证以及所述用户私钥保存至所述可信应用的安全存储中。

17.如权利要求16所述的基于可信执行环境的图像交互系统，还用于执行步骤：

所述用户端模块还用于在所述可信应用中，获取所述可验证凭证颁发方的公钥，对所述可验证凭证进行验证，以确认所述可验证凭证的真实性；

在所述可验证凭证验证为真实的情况下，将所述可验证凭证保存至所述可信应用的安全存储中。

18.如权利要求12所述的基于可信执行环境的图像交互系统，所述业务模块还用于在所述可验证凭证中包括人脸信息的情况下，将所述人脸信息与所述图像帧中的人脸图像进行人脸比对；在所述人脸比对一致的情况下，根据所述业务请求将所述目标图像分发至交互端。

19.如权利要求12所述的基于可信执行环境的图像交互系统，所述业务模块还用于根据所述可验证凭证中的身份信息，在所述目标图像中添加身份标识，根据所述业务请求将包含有身份表述的目标图像后分发至交互端。

Images