CN117610046A - 一种应用访问隔离方法及处理器 - Google Patents

Abstract

本发明提供一种应用访问隔离方法及处理器，包括第一内核单元将正常世界态下处理器下发的待处理应用CA对应的第一标识码和访问请求发送给待访问可信应用TA；效验单元在接收到待访问可信应用TA发送的第一标识码和待访问可信应用TA对应的白名单时，基于第一标识码和白名单中每一可信CA的第二标识码进行鉴权，生成效验结果；待访问可信应用TA基于效验结果确定是否响应待处理应用CA的访问请求。本发明由TA控制自身的连接权限，仅在效验单元进行鉴权，保证了鉴权过程的安全性，且能够满足了TA多线程调用的需求，效验单元只提供鉴权结果，是否接受CA端的连接请求依然由TA决定，从而提高访问的安全性。

Description

一种应用访问隔离方法及处理器

技术领域

本发明涉及信息安全技术领域，尤其涉及一种应用访问隔离方法及处理器。

背景技术

正常世界态Normal World Status的应用(Client Applicantion，CA)对安全世界态Secure World Status资源的访问，需要通过访问安全世界态的可信应用(TrustApplicantion，TA)实现。

目前，未适配对于访问者身份CA的验证和区分，从而导致TA处于公共状态，任何请求都会做出响应，从而影响访问的安全性。

发明内容

有鉴于此，本发明实施例提供一种应用访问隔离方法及处理器，以解决现有技术中存在的影响访问的安全性的问题。

为实现上述目的，本发明实施例提供如下技术方案：

本发明实施例第一方面示出了一种应用访问隔离方法，应用于在安全世界态Secure World Status下的处理器，包括多个可信应用TA，第一内核单元kernel和效验单元，所述方法包括：

所述第一内核单元kernel获取正常世界态Normal World Status下处理器发送的待处理应用CA对应的第一标识码和访问请求，并将所述待处理应用CA对应的第一标识码和访问请求发送给待访问可信应用TA，以便所述待访问可信应用TA接收到第一标识码和访问请求时，将其发送给所述效验模块，其中，所述待访问可信应用TA属于所述可信应用TA，所述待访问可信应用TA是基于所述访问请求确定的，所述第一标识码是正常世界态NormalWorld Status下处理器的第二内核kernel基于所述访问请求进行处理得到的；

所述效验模块在接收到所述待访问可信应用TA发送的第一标识码和待访问可信应用TA对应的白名单时，基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给所述待访问可信应用TA；

所述待访问可信应用TA基于所述效验结果确定是否响应所述待处理应用CA的访问请求。

可选的，所述基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，包括：

所述效验模块遍历所述白名单，获取所述白名单中第i个可信CA对应的CA基础信息，其中i为大于等于1小于等于N的正整数，N为白名单中可信CA的数量；

确定所述待访问可信应用TA对应的命名空间；

计算所述CA基础信息中访问可信应用TA的连接方式对应的名称name和所述命名空间的密码散列函数；

对选取的所述密码散列函数添加标识，得到第二标识码；

若确定所述第二标识码与所述第一标识码相同，生成鉴权通过的效验结果。

可选的，还包括：

若确定所述第二标识码与所述第一标识码不相同，遍历所述白名单中的下一个可信CA，并返回执行遍历所述白名单，获取所述白名单中第i个可信CA对应的CA基础信息这一步骤；

若确定所述白名单信息中每一白名单对应的第二标识码与所述第一标识码均不相同时，生成鉴权失败的效验结果。

可选的，所述计算所述CA基础信息中访问可信应用TA的连接方式对应的名称name和所述命名空间的密码散列函数，包括：

获取所述CA基础信息中访问可信应用TA的连接方式对应的名称name的取值；

将所述名称name和所述命名空间的取值对应的字符串进行拼接，得到拼接后的字符串；

对所述拼接后的字符串进行哈希计算，得到密码散列函数。

可选的，所述基于所述第一标识码和所述白名单中每一可信CA的第二标识码，生成效验结果，包括：

计算所述白名单中的每一可信CA的第二标识码；

判断所述白名单信息中是否存在与所述第一标识码一致的第二标识码；

若存在，生成鉴权通过的效验结果；

若不存在，生成鉴权失败的效验结果。

可选的，还包括：

所述待访问可信应用TA在接收所述待处理应用CA对应的第一标识码和访问请求之后，基于鉴权标志位确定是否对所述待处理应用CA进行鉴权；

若对所述待处理应用CA进行鉴权，将所述第一标识码和待访问可信应用TA对应的白名单发送给所述效验模块，以便所述效验模块执行在接收到所述待访问可信应用TA发送的第一标识码和待访问可信应用TA对应的白名单时，基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给所述待访问可信应用TA的步骤。

本发明实施例第二方面示出了一种应用访问隔离方法，应用于在正常世界态Normal World Status下的处理器，包括多个应用CA，及第二内核单元kernel，所述方法包括：

第二内核单元kernel接收待处理应用CA发送的访问请求，所述待处理应用CA属于多个应用CA；

第二内核单元kernel基于访问请求进行处理得到第一标识码，并将所述第一识别码和所述访问请求发送给安全世界态下的处理器。

可选的，所述第二内核单元kernel基于访问请求进行处理得到第一标识码，包括：

第二内核单元kernel对所述访问请求进行解析，得到名称name；

确定所述待访问可信应用TA对应的命名空间；

基于所述名称name和所述命名空间进行处理，得到密码散列函数；

对选取的所述密码散列函数添加标识，得到第一标识码。

可选的，所述基于所述名称name和所述命名空间进行处理，得到密码散列函数，包括：

将所述名称name和所述命名空间的取值对应的字符串进行拼接，得到拼接后的字符串；

对所述拼接后的字符串进行哈希计算，得到密码散列函数。

本发明实施例第三方面示出了一种处理器，包括安全世界态下的处理器和正常世界态下的处理器；

所述安全世界态下的处理器用于执行本发明实施例第一方面示出的应用访问隔离方法；

所述正常世界态下的处理器用于执行本发明实施例第二方面示出的应用访问隔离方法。

基于上述本发明实施例提供的一种应用访问隔离方法及处理器，所述方法包括所述第一内核单元kernel获取正常世界态Normal World Status下处理器发送的待处理应用CA对应的第一标识码和访问请求，并将所述待处理应用CA对应的第一标识码和访问请求发送给待访问可信应用TA，以便所述待访问可信应用TA接收到第一标识码和访问请求时，将其发送给所述效验模块，所述待访问可信应用TA属于所述可信应用TA，所述待访问可信应用TA是基于所述访问请求确定的，所述第一标识码是正常世界态Normal World Status下处理器的第二内核kernel基于所述访问请求进行处理得到的；所述效验单元在接收到所述待访问可信应用TA发送的第一标识码和待访问可信应用TA对应的白名单时，基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给所述待访问可信应用TA；所述待访问可信应用TA基于所述效验结果确定是否响应所述待处理应用CA的访问请求。在本发明实施例中，由TA控制自身的连接权限，TA将接收到的第一标识码和访问请求后，将其发送给效验单元，效验单元基于第一标识码和白名单中每一可信CA的第二标识码进行鉴权。仅在效验单元进行鉴权，保证了鉴权过程的安全性，且能够满足TA多线程调用的需求，效验单元只提供校验结果，是否接受CA端的连接请求依然由TA决定。TA直接接收校验结果，减少了访问隔离阶段TA中的开发工作量。通过上述方式能够提高访问的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例示出的处理器的架构示意图；

图2为本发明实施例示出的一种应用访问隔离方法的流程示意图；

图3为本发明实施例示出的计算的第一标识码的流程示意图；

图4为本发明实施例示出的另一种应用访问隔离方法的流程示意图；

图5为本发明实施例示出的鉴权过程的流程示意图；

图6为本发明实施例示出的又一种应用访问隔离方法的流程示意图；

图7为本发明实施例示出的鉴权连接的流程示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

需要说明的是，在本发明中涉及“第一”、“第二”等的描述仅用于描述目的，而不能理解为指示或暗示其相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。另外，各个实施例之间的技术方案可以相互结合，但是必须是以本领域普通技术人员能够实现为基础，当技术方案的结合出现相互矛盾或无法实现时应当认为这种技术方案的结合不存在，也不在本发明要求的保护范围之内。

在本申请中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

由背景技术可知，目前，未适配对于访问者CA的身份验证以及连接方式的区分，导致TA处于公共状态，任何请求都会做出响应，主要体现在：

CA的访问请求与响应过程中未进行任何的身份验证，也就是说，任何CA都可以通过libuteec.so提供的接口函数对指定TA发送请求并得到响应。

CA发送访问请求时所发送的“访问TA的连接方式”，并未得到任何的处理。即TA端对于接收到的访问请求处理是相同的，无任何权限区分。

综上所述，通过上述方式进行访问会影响访问的安全性。

参见图1，为本发明实施例示出的处理器的架构示意图。

将处理器CPU的工作状态划分成正常世界态Normal World Status和安全世界态Secure World Status。

正常世界态Normal World Status10下的处理器包括多个客户端应用(ClientApplication，CA)101，和第二内核单元kernel102；

可选的，正常世界态Normal World Status10下的处理器还包括处理单元libuteec.so103。

安全世界态Secure World Status20下的处理器包括多个可信应用TA201，第一内核单元kernel202和效验单元203。

其中，效验单元203为安全世界态Secure World Status20的静态库组件libutee.a。

正常世界态Normal World Status10和安全世界态Secure World Status20之间通过ATF(Arm Trust Framware，Arm可信固件)30连接，也就是说，Arm可信固件30用于对处理器运行状态进行切换，具体的可以将处理器的运行状态从正常世界态Normal WorldStatus10切换至安全世界态Secure World Status20，也可以将安全世界态Secure WorldStatus20将处理器的运行状态从安全世界态Secure World Status20切换至正常世界态Normal World Status10。

其中，所述第一内核单元kernel202为安全世界态Secure World Status20的内核，第二内核单元kernel102为正常世界态Normal World Status10的内核。

当CPU处于正常世界状态Normal World Status10时，任何应用CA101都无法访问安全硬件设备，也无法访问属于安全世界状态Secure World Status20下的内存、缓存Cache以及其他外围安全硬件设备。

该处理器设置在各种业务系统，操作系统以及运行在Android、IOS、Linux等系统的智能设备中。

开放平台的可信执行环境(Open Platform Trust Execution Environment，OPTEE)运行在安全世界态Secure World Status20中。

基于上述示出的本发明实施例示出的架构具体实现处理器中正常世界态和安全世界态下的交互过程如下：

在处理器的运行状态处于正常世界态Normal World Status10时，客户端应用CA101调用处理单元libuteec.so103提供的接口函数，以指定待访问TA的唯一标识(Universally Unique Identifier,TA_UUID)、访问TA的连接方式、及CommandId请求命令标识等待访问可信应用TA的基础信息，基于待访问可信应用TA的基础信息和CA基础信息以及待访问资源组合生成访问请求。

处理单元libuteec.so103用于将CA101的访问信息发送至正常世界态NormalWorld Status10侧的第二内核单元kernel102中。

正常世界态Normal World Status10侧的第二内核单元kernel102获取访问请求中携带的CA基础信息，基于所述CA基础信息中申请的连接方式对应的名称和待访问TA对应的命名空间进行处理，得到第一标识码，即连接参数；

正常世界态Normal World Status10侧的第二内核单元kernel102将第一标识码和访问请求存储于正常世界态Normal World Status10和安全世界态Secure WorldStatus20的共享内存空间中。

Arm可信固件30将处理器的运行状态从正常世界态Normal World Status10切换至安全世界态Secure World Status20。

当处理器的运行状态处于安全世界态Secure World Status20时，安全世界态Secure World Status20侧的第一内核单元kernel202读取共享内存空间中的关于某一待处理CA的访问请求和第一标识码；所述第一内核单元kernel202基于所述访问请求从多个可信应用TA中确定待访问可信应用TA201，并将所述待处理CA的访问请求和第一标识码发送给待访问可信应用TA201；

待访问可信应用TA201在基于鉴权标志位确定对所述待处理应用CA进行鉴权时，将所述第一标识码和待访问可信应用TA201对应的白名单信息发送给所述效验单元203；

所述效验单元203基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，并将所述效验结果发送给待访问可信应用TA201，以便所述待访问可信应用TA201基于所述效验结果确定是否响应所述待处理应用CA的访问请求。

可选的，待访问可信应用TA201在接收到鉴权通过的效验结果后，基于所述效验结果确定响应所述待处理应用CA的访问请求，待访问可信应用TA201中的接口函数对待处理CA101发送的访问请求进行处理后，将需要访问的数据原路返回至待处理CA，即CA端。

在本发明实施例中，由TA控制自身的连接权限，TA将接收到的第一标识码和访问请求后，将其发送给效验单元，效验单元基于第一标识码和白名单中每一可信CA的第二标识码进行鉴权。通过仅在效验单元进行鉴权，保证了鉴权过程的安全性，且能够满足TA多线程调用的需求，效验单元只提供校验结果，是否接受CA端的连接请求依然由TA决定。TA直接接收校验结果，减少了访问隔离阶段TA中的开发工作量。通过上述方式能够提高访问的安全性。

参见图2为本发明实施例示出的一种应用访问隔离方法的流程示意图，应用于正常世界态，所述方法包括：

步骤S201：第二内核单元kernel接收待处理应用CA发送的访问请求。

在步骤S201中，所述待处理应用CA属于多个应用CA。

在本发明实施例中，在处理器处于正常世界态Normal World Status时，待处理应用CA调用处理单元libuteec.so提供的接口函数，以指定待访问TA的唯一标识(Universally Unique Identifier，TA_UUID)、访问TA的连接方式、及CommandId请求命令标识等待访问可信应用TA的基础信息，基于待访问可信应用TA的基础信息和CA基础信息以及待访问资源组合生成访问请求。

处理单元libuteec.so将CA的访问请求发送至第二内核单元kernel。

步骤S202：第二内核单元kernel基于访问请求进行处理得到第一标识码，并将所述第一识别码和所述访问请求发送给安全世界态下的处理器。

需要说明的是，第二内核单元kernel基于访问请求进行处理得到第一标识码的过程包括：

步骤S11：第二内核单元kernel对所述访问请求进行解析，得到名称name。

在具体实现步骤S11的过程中，第二内核单元kernel解析访问请求，得到uid/gid/cmdline信息，使用uid/gid/cmdline信息作为name的取值保证了CA身份标识的准确性与UUID的唯一性。

需要说明的是，uid/gid/cmdline信息能够准确的标识CA身份。

uid/gid/cmdline信息是在kernel阶段解析获得的，使用这些信息作为name的取值保证了CA身份标识的准确性与UUID的唯一性。

步骤S12：确定所述待访问可信应用TA对应的命名空间。

在具体实现步骤S12的过程中存在多种实现方式。

第一种实施方式，从预先存储不同的命名空间与不同TA的对应关系中获取待访问可信应用TA对应的命名空间。

可选的，预先存储不同的命名空间与不同TA的对应关系，也就是说，每一TA均可设置一个与之对应的命名空间，也可以是，多个TA设置一个对应的命名空间。

第二种实施方式，从预先存储不同的命名空间与TA所处运行环境的对应关系中确定所述TA所处运行环境对应的命名空间，并将其作为待访问可信应用TA对应的命名空间。

可选的，预先存储不同的命名空间与不同TA所处运行环境的对应关系，也就是说，每一TA所处运行环境均可设置一个与之对应的命名空间。

第三种实施方式，从预先存储不同的命名空间与TA所处设备，即处理器所处的设备的对应关系中确定所述TA所处设备对应的命名空间，并将其作为待访问可信应用TA对应的命名空间。

可选的，预先存储不同的命名空间与不同TA所处设备的对应关系，也就是说，每一TA所处设备均可设置一个与之对应的命名空间。

需要说明的是，Namespace命名空间，即16位数组UUID的命名空间。使用的是tee_client_uuid_ns，通过待处理TA确定其取值为{0x58ac9ca0,0x2086,0x4683,{0xa1,0xb8,0xec,0x4b,0xc0,0x8e,0x01,0xb6}}。

步骤S13：基于所述名称name和所述命名空间进行处理，得到密码散列函数。

需要说明的是，具体实现步骤S13的过程包括以下步骤：

步骤S21：将所述名称name和所述命名空间的取值对应的字符串进行拼接，得到拼接后的字符串。

在具体实现步骤S21的过程中，遍历下述表(1)查找该CA基础信息下连接方式对应的名称name的取值，并将拼接所述命名空间和名称name的取值对应的字符串。

需要说明的是，名称name，即第一标识UUID(Universally Unique Identifier，唯一标识)的名字。其取值跟CA申请访问的连接方式，即访问可信应用TA的连接方式有关，不同连接方式下name的取值如下表(1)所示：

连接方式	name
		TEEC_LOGIN_USER	uid＝<uid>
TEEC_LOGIN_GROUP	gid＝<gid>
		TEEC_LOGIN_APPLICATION	app＝<cmdline>
TEEC_LOGIN_USER_APPLICATION	uid＝<uid>:app＝<cmdline>
		TEEC_LOGIN_GROUP_APPLICATION	gid＝<gid>:app＝<cmdline>

需要说明的是，不同连接方式下name的取值不仅如表(1)所述，还可以存在其他设置，对此本发明实施例不加以限制。

步骤S22：对所述拼接后的字符串进行哈希计算，得到密码散列函数。

在具体实现步骤S22的过程中，计算name和namespace字符串的SHA1密码散列函数(Secure Hash Algorithm 1，SHA1)，得到密码散列函数。

需要说明的是，此时的密码散列函数由20字节组成。

步骤S14：对选取的所述密码散列函数添加标识，得到第一标识码。

需要说明的是，具体实现步骤S14的过程中，包括以下步骤：

步骤S31：从所述密码散列函数中选取预设数量个字节，并对预设数量个字节添加标识，得到添加标识后的函数。

在具体实现步骤S31的过程中，选取所述密码散列函数中前预设数量个字节，并对预设数量个字节添加V5标识，得到添加标识后的函数。

步骤S32：转换所述添加标识后的函数的格式，得到第一标识码。

在具体实现步骤S32的过程中，将添加标识后的函数转换成uuid格式，即为uuid_v5，得到第一标识码。

需要说明的是，为了更好的理解上述步骤S11至步骤S14的具体实现过程，下面进行举例说明。

假设获取所述CA基础信息中访问可信应用TA的连接方式TEEC_LOGIN_USER，连接方式对应的名称uid的值为0，命名空间为{0x58ac9ca0,0x2086,0x4683,{0xa1,0xb8,0xec,0x4b,0xc0,0x8e,0x01,0xb6}}，预设数量为16，则第二标识码的计算过程如下：

首先，将Namespace转化为字符串与name的取值进行字符串拼接，结果如下：

58ac 9ca020864683a1b8 ec4b c08e 01b6 uid＝0

接着，针对拼接出的字符串进行hash计算，得到密码散列函数，密码散列函数如下：

096d306b026b283df52961e78396a442bf62b668

接着，获取hash计算结果，即密码散列函数的前16位，得到结果如下：

096d306b026b283df52961e78396a442

然后，为密码散列函数的前16位添加v5标识：

(hash[6]&0x0F)|0x50即(0x28&0x0F)|0x50＝0x58

(hash[8]&0x3F)|0x80即(0xf5&0x3F)|0x80＝0xb5

添加v5标识后的前16位hash，即添加标识后的函数为：

096d306b026b583db52961e78396a442

接着，将16位的hash，即添加标识后的函数转化为uuid格式，得到第一标识码，即为uuid_v5：

{0x096d306b,0x026b,0x583d,{0xb5,0x29,0x61,0xe7,0x83,0x96,0xa4,0x42}}

需要说明的是，步骤S11至步骤S14的具体实现架构可如图3所示。

需要说明的是，将所述第一识别码和所述访问请求发送给安全世界态的过程包括，第二内核单元kernel将所述第一识别码和所述访问请求存储至安全世界态和正常世界态之间的共享内存空间中，以便所述安全世界态的第一内核单元kernel获取。

在本发明实施例中，第二内核单元kernel接收待处理应用CA发送的访问请求；第二内核单元kernel基于访问请求进行处理得到第一标识码，并将所述第一识别码和所述访问请求发送给安全世界态下的处理器。以便TA将接收到的第一标识码和访问请求后，将其发送给效验单元，效验单元基于第一标识码和白名单中每一可信CA的第二标识码进行鉴权。通过仅在效验单元进行鉴权，保证了鉴权过程的安全性，且能够满足TA多线程调用的需求，效验单元只提供校验结果，是否接受CA端的连接请求依然由TA决定。TA直接接收校验结果，减少了访问隔离阶段TA中的开发工作量。通过上述方式能够提高访问的安全性。

参见图4，为本发明实施例示出的一种应用访问隔离方法的流程示意图，应用于处于安全世界态下的处理器，所述方法包括：

步骤S401：所述第一内核单元kernel获取正常世界态Normal World Status下处理器发送的待处理应用CA对应的第一标识码和访问请求，并将所述待处理应用CA对应的第一标识码和访问请求发送给待访问可信应用TA，以便所述待访问可信应用TA接收到第一标识码和访问请求时，将其发送给所述效验模块。

在步骤S401中，所述待访问可信应用TA属于所述可信应用TA，所述待访问可信应用TA是所述第一内核单元kernel基于所述访问请求确定的，所述第一标识码是正常世界态Normal World Status中的第二内核kernel基于所述访问请求进行处理得到的；

在具体实现步骤S401的过程中，当处理器的运行状态处于安全世界态时，安全世界态开始运行，安全世界态中的第一内核单元kernel获取依次正常世界态存储在共享内存空间中的每一待处理应用CA对应的第一标识码和访问请求；针对每一待处理应用CA对应的第一标识码和访问请求，所述第一内核单元kernel基于所述访问请求中的指定待访问TA的唯一标识从多个可信应用TA中确定待访问可信应用TA，接着将所述待处理CA的访问请求和第一标识码发送给待访问可信应用TA。

步骤S402：所述效验单元在接收到所述待访问可信应用TA发送的第一标识码和待访问可信应用TA对应的白名单时，基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给待访问可信应用TA。

可选的，待访问可信应用TA将接收到的所述第一内核单元kernel发送的所述待处理CA对应的第一标识码和访问请求，将第一标识码和自身预先存储的白名单发送给效验单元。

需要说明的是，具体实现步骤S402基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果的过程存在两种实施方式。

一种实施方式，包括以下步骤：

步骤S41：所述效验单元遍历所述白名单，获取所述白名单中第i个可信CA对应的CA基础信息。

其中，i为大于等于1小于等于N的正整数，N为白名单中可信CA的数量，N的取值通过计算白名单的数组尺寸得到，当N为0时，直接返回鉴权失败的效验结果。

在具体实现步骤S41的过程中，所述效验单元按照白名单从上到下的顺序获取所述白名单中第i个所述可信CA对应的CA基础信息。

需要说明的是，可信CA对应的CA基础信息的结构体定义可如下示例所示：

其中，connect_type为CA访问TA时的连接方式，uid是指CA的用户ID，gid指CA的组ID，cmdline是指启动CA的完整命令行。uid/gid/cmdline负责准确的标识CA身份，connect_type明确了CA的访问连接方式。

假设安全世界态有一可信应用T1，其白名单可设置为：

struct ca2ta_whitelist ta_white_list[]＝{

{TEEC_LOGIN_GROUP，”0”，”0”，”C1”},

{TEEC_LOGIN_USER，”0”，”0”，”C1”}}；

步骤S42：确定所述待访问可信应用TA对应的命名空间。

需要说明的是，步骤S42的具体实现过程与上述步骤S12的具体实现过程相同，可相互参见。

步骤S43：计算所述CA基础信息中访问可信应用TA的连接方式对应的名称name和所述命名空间的密码散列函数。

需要说明的是，具体实现步骤S43的过程包括以下步骤：

步骤S51：获取所述CA基础信息中访问可信应用TA的连接方式对应的名称name的取值。

在具体实现步骤S51中，获取所述CA基础信息中访问可信应用TA的连接方式，并通过表(1)确定所述连接方式对应的名称name的取值。

步骤S52：将所述名称name和所述命名空间的取值对应的字符串进行拼接，得到拼接后的字符串。

步骤S53：对所述拼接后的字符串进行哈希计算，得到密码散列函数。

在具体实现步骤S53的过程中，计算name的取值和namespace的取值拼接后的字符串进行哈希计算，得到密码散列函数(Secure Hash Algorithm 1，SHA1)。

需要说明的是，此时的密码散列函数由20字节组成。

步骤S44：对选取的所述密码散列函数添加标识，得到第二标识码。

需要说明的是，具体实现步骤S44的过程中，包括以下步骤：

步骤S61：从所述密码散列函数中选取预设数量个字节，并对预设数量个字节添加标识，得到添加标识后的函数。

在具体实现步骤S61的过程中，选取所述密码散列函数中前预设数量个字节，并对预设数量个字节添加V5标识，得到添加标识后的函数。

步骤S62：转换所述添加标识后的函数的格式，得到第二标识码。

在具体实现步骤S62的过程中，将添加标识后的函数转换成uuid格式，得到第二标识码。

UUID是经由一定的算法机器生成，并借用一些复杂特性来保证其唯一性。本发明中使用的是UUID Version 5规范。

第二标识码和第一标识码均存在以下特点。

相同命名空间namespace中不同name生成的第二标识码和/或第一标识具有唯一性；

不同相同namespace中生成的第二标识码和/或第一标识也具有唯一性；

相同namespace中相同name重复生成的第二标识码和/或第一标识相同。

需要说明的是，为了更好的理解上述步骤S21至步骤S32的具体实现过程，下面进行举例说明。

步骤S45：判断所述第二标识码是否与所述第一标识码相同，若相同，则执行步骤S46，若不同，则执行步骤S47。

步骤S46：生成鉴权通过的效验结果。

步骤S47：判断i是否等于N，若等于，说明所述白名单信息中每一白名单对应的第二标识码与所述第一标识码均不相同，并执行步骤S48，若不等于，则设置i＝i+1，即遍历所述白名单中的下一个可信CA，并返回执行步骤S41。

步骤S48：生成鉴权失败的效验结果。

需要说明的是，步骤S41至步骤S48具体实现过程可如图5所示。

需要说明的是，为了更好的理解上述步骤S41至步骤S48示出的过程，下面通过一示例进行举例说明。

假设待访TA为T1，待处理CA为C1，当T1接收到来自C1的第一标识码和访问请求后，首先将T1中预置的白名单ta_white_list和第一标识码uuid_v5传入Libutee.a进行权限校验。

Libutee.a首先计算ta_white_list白名单中的可信CA数量为2，并进行挨个遍历校验；首先，遍历白名单中的第一个ta_white_list[0]，获取ta_white_list[0]对应的CA基础信息中connect_type连接方式为TEEC_LOGIN_GROUP，通过表(1)确定name的取值为gid＝ta_white_list[0].gid,即gid＝0。

将Namespace转化为字符串与name进行字符串拼接，结果如下：

58ac9ca020864683a1b8ec4bc08e01b6gid＝0

接着，针对拼接出的字符串进行hash计算，得到密码散列函数，密码散列函数如下：

c000a52d0c7b3a6e2c1dd17c818e5420dd112a80

接着，获取hash计算结果，即密码散列函数的前16位，得到结果如下：

c000a52d0c7b3a6e2c1dd17c818e5420

然后，为密码散列函数的前16位添加v5标识：

(hash[6]&0x0F)|0x50即(0x3a&0x0F)|0x50＝0x5a

(hash[8]&0x3F)|0x80即(0x2c&0x3F)|0x80＝0x8c

添加v5标识后的前16位hash，即添加标识后的函数为：

c000a52d0c7b5a6e8c1dd17c818e5420

接着，将16位的hash，即添加标识后的函数转化为uuid格式，得到第二标识码，即为client_uuid：

{0xc000a52d,0x0c7b,0x5a6e,{0x8c,0x1d,0xd1,0x7c,0x81,0x8e,0x54,0x20}}

最后，对比client_uuid第二标识码与第一标识码uuid_v5值是否一致，对比结果则为ta_white_list[0]的校验结果；

若ta_white_list[0]计算出的client_uuid与uuid_v5不相同，T1提供的百名单中仍有可用计算的白名单内容，因此重复上述过程，直至确定白名单中计算得到的第二标识码client_uuid与第一标识码uuid_v5的值一致，生成鉴权通过的效验结果；若白名单遍历完毕，且确定白名单中计算得到的第二标识码client_uuid与第一标识码uuid_v5的值均一致，生成鉴权失败的效验结果。

另一种实施方式，包括以下步骤：

步骤S71：计算所述白名单中的每一可信CA的第二标识码；

需要说明的是，所述白名单中的每一可信CA的第二标识码的计算过程可如上述步骤S42至步骤S44的具体实现过程。

步骤S72：判断所述白名单中是否存在与所述第一标识码一致的第二标识码，若存在，执行步骤S73，若不存在，则执行步骤S74。

在具体实现步骤S72的过程中，分别比较所述白名单中每一第二标识码与所述第一标识码是否一致，若存在与所述第一标识码的值一致的第二标识码，则执行步骤S73，若均不存在则执行步骤S74。

步骤S73：生成鉴权通过的效验结果。

步骤S74：生成鉴权失败的效验结果。

在本发明实施例中，在效验单元中进行鉴权，保证了鉴权过程的安全性。鉴权函数源码被打包在效验单元中满足了TA多线程调用的需求。白名单参数由TA作为参数传入，不受效验单元管控，避免了白名单集中管理与维护。

步骤S403：所述待访问可信应用TA基于所述效验结果确定是否响应所述待处理应用CA的访问请求。

在具体实现步骤S403的过程中，所述待访问可信应用TA若接收到鉴权通过的效验结果时，基于所述效验结果确定响应所述待处理应用CA的访问请求，即与所述待处理应用CA连接，以便所述待处理应用CA访问通过访问安全世界态的待访问可信应用TA实现安全世界态Secure World Status资源的访问。

所述待访问可信应用TA若接收到鉴权失败的效验结果时，不允许所述待处理CA访问待访问TA。

在本发明实施例中，TA调用效验结果后直接接收鉴权的最终结果即效验结果，减少了访问隔离阶段TA中的开发工作量。效验单元只提供鉴权结果，是否接受CA端的连接请求依然由TA决定。

在本发明实施例中，由TA控制自身的连接权限，TA将接收到的第一标识码和访问请求后，将其发送给效验单元，效验单元基于第一标识码和白名单中每一可信CA的第二标识码进行鉴权，通过仅在效验单元进行鉴权，保证了鉴权过程的安全性，且能够满足TA多线程调用的需求。效验单元只提供校验结果，是否接受CA端的连接请求依然由TA决定。通过TA直接接收校验结果，减少了访问隔离阶段TA中的开发工作量。通过上述方式能够提高访问的安全性。

基于上述本发明实施例示出方法，如图6所示，本发明实施例还对应公开了另一种访问隔离方法的流程示意图，应用于在安全世界态下的处理器，所述方法包括：

步骤S601：所述第一内核单元kernel获取正常世界态Normal World Status下处理器发送的待处理应用CA对应的第一标识码和访问请求，并将所述待处理应用CA对应的第一标识码和访问请求发送给待访问可信应用TA。

需要说明的是，具体实现步骤S601的具体实现过程与上述步骤S401的具体实现过程相同，可相互参见。

步骤S602：所述待访问可信应用TA基于鉴权标志位确定是否对所述待处理应用CA进行鉴权，若进行鉴权，并执行步骤S603，若不进行鉴权，则直接与待处理CA建立连接。

在具体实现步骤S602的过程中，确定预先设置在待访问可信应用TA中的鉴权标志位是否为高位，若为高位，则需要对所有想要连接所述待访问TA的待处理CA进行鉴权，并执行步骤S603，若为低位，则说明可直接与待处理CA建立连接。

鉴权标志位是TA中进行访问权限隔离的开关，只对当前TA有效。TA可以根据鉴权标识位判定是否需要对CA的连接请求进行权限校验。

由TA单独管控白名单的内容和鉴权宏开关，保证了每个可信应用对于其访问权限的单独控制，以及访问白名单的独立管控，便于TA的独立开发。TA的白名单中详细地描述了CA的相关信息而不涉及校验实现，更便于维护。

需要说明的是，除了上述示出的方式进行鉴权的判断后，还可通过下述方式进行鉴权的判断。

具体的，待访问可信应用TA获取待处理CA的访问请求中携带的应用类型，并通过预先设置应用类型与鉴权标志位之间的对应关系，确定当前待处理CA的访问请求中携带的应用类型所对应的鉴权标志位是否为高位，若为高位，则需要对所有想要连接所述待访问TA的待处理CA进行鉴权，并执行步骤S603，若为低位，则说明可直接与待处理CA建立连接。

需要说明的是，预先设置应用类型与鉴权标志位之间的对应关系，具体的设置鉴权标志位为高位的应用类型，以及鉴权标志位为低位的应用类型。

步骤S603：所述待访问可信应用TA将所述第一标识码和待访问可信应用TA对应的白名单发送给所述效验模块。

在具体实现步骤S603的过程中，所述待访问可信应用TA确定需要对待处理CA进行鉴权，并将所述第一标识码和待访问可信应用TA对应的白名单发送给所述效验模块，以便所述效验单元进行鉴权。

步骤S604：所述效验单元在接收到所述待访问可信应用TA发送的第一标识码和待访问可信应用TA对应的白名单时，基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给待访问可信应用TA。

步骤S605：所述待访问可信应用TA基于所述效验结果确定是否响应所述待处理应用CA的访问请求。

需要说明的是，步骤S604至步骤S605的具体实现过程与上述步骤S402至步骤S403的具体实现过程相同，可相互参见。

具体实现步骤S601至步骤S605的具体实现的架构图，可如图7所示。

在本发明实施例中，由TA控制自身的连接权限，TA将接收到的第一标识码和访问请求后，将其发送给效验单元，效验单元基于第一标识码和白名单中每一可信CA的第二标识码进行鉴权。通过仅在效验单元进行鉴权，保证了鉴权过程的安全性，且能够满足TA多线程调用的需求。效验单元只提供校验结果，是否接受CA端的连接请求依然由TA决定。TA直接接收校验结果，减少了访问隔离阶段TA中的开发工作量。通过上述方式能够提高访问的安全性。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的系统及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种应用访问隔离方法，其特征在于，应用于在安全世界态Secure World Status下的处理器，包括多个可信应用TA，第一内核单元kernel和效验单元，所述方法包括：

所述第一内核单元kernel获取正常世界态Normal World Status下处理器发送的待处理应用CA对应的第一标识码和访问请求，并将所述待处理应用CA对应的第一标识码和访问请求发送给待访问可信应用TA，以便所述待访问可信应用TA接收到第一标识码和访问请求时，将其发送给所述效验模块，其中，所述待访问可信应用TA属于所述可信应用TA，所述待访问可信应用TA是基于所述访问请求确定的，所述第一标识码是正常世界态Normal WorldStatus下处理器的第二内核kernel基于所述访问请求进行处理得到的；

所述效验模块在接收到所述待访问可信应用TA发送的第一标识码和待访问可信应用TA对应的白名单时，基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给所述待访问可信应用TA；

所述待访问可信应用TA基于所述效验结果确定是否响应所述待处理应用CA的访问请求。

2.根据权利要求1所述的方法，其特征在于，所述基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，包括：

所述效验模块遍历所述白名单，获取所述白名单中第i个可信CA对应的CA基础信息，其中i为大于等于1小于等于N的正整数，N为白名单中可信CA的数量；

确定所述待访问可信应用TA对应的命名空间；

计算所述CA基础信息中访问可信应用TA的连接方式对应的名称name和所述命名空间的密码散列函数；

对选取的所述密码散列函数添加标识，得到第二标识码；

若确定所述第二标识码与所述第一标识码相同，生成鉴权通过的效验结果。

3.根据权利要求2所述的方法，其特征在于，还包括：

若确定所述第二标识码与所述第一标识码不相同，遍历所述白名单中的下一个可信CA，并返回执行遍历所述白名单，获取所述白名单中第i个可信CA对应的CA基础信息这一步骤；

若确定所述白名单信息中每一白名单对应的第二标识码与所述第一标识码均不相同时，生成鉴权失败的效验结果。

4.根据权利要求2所述的方法，其特征在于，所述计算所述CA基础信息中访问可信应用TA的连接方式对应的名称name和所述命名空间的密码散列函数，包括：

获取所述CA基础信息中访问可信应用TA的连接方式对应的名称name的取值；

将所述名称name和所述命名空间的取值对应的字符串进行拼接，得到拼接后的字符串；

对所述拼接后的字符串进行哈希计算，得到密码散列函数。

5.根据权利要求1所述的方法，其特征在于，所述基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，包括：

计算所述白名单中的每一可信CA的第二标识码；

判断所述白名单信息中是否存在与所述第一标识码一致的第二标识码；

若存在，生成鉴权通过的效验结果；

若不存在，生成鉴权失败的效验结果。

6.根据权利要求1所述的方法，其特征在于，还包括：

所述待访问可信应用TA在接收所述待处理应用CA对应的第一标识码和访问请求之后，基于鉴权标志位确定是否对所述待处理应用CA进行鉴权；

若对所述待处理应用CA进行鉴权，将所述第一标识码和待访问可信应用TA对应的白名单发送给所述效验模块，以便所述效验模块执行在接收到所述待访问可信应用TA发送的第一标识码和待访问可信应用TA对应的白名单时，基于所述第一标识码和所述白名单中每一可信CA的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给所述待访问可信应用TA的步骤。

7.一种应用访问隔离方法，其特征在于，应用于在正常世界态Normal World Status下的处理器，包括多个应用CA，及第二内核单元kernel，所述方法包括：

第二内核单元kernel接收待处理应用CA发送的访问请求，所述待处理应用CA属于多个应用CA；

第二内核单元kernel基于访问请求进行处理得到第一标识码，并将所述第一识别码和所述访问请求发送给安全世界态下的处理器。

8.根据权利要求7所述的方法，其特征在于，所述第二内核单元kernel基于访问请求进行处理得到第一标识码，包括：

第二内核单元kernel对所述访问请求进行解析，得到名称name；

确定所述待访问可信应用TA对应的命名空间；

基于所述名称name和所述命名空间进行处理，得到密码散列函数；

对选取的所述密码散列函数添加标识，得到第一标识码。

9.根据权利要求8所述的方法，其特征在于，所述基于所述名称name和所述命名空间进行处理，得到密码散列函数，包括：

将所述名称name和所述命名空间的取值对应的字符串进行拼接，得到拼接后的字符串；

对所述拼接后的字符串进行哈希计算，得到密码散列函数。

10.一种处理器，其特征在于，包括安全世界态下的处理器和正常世界态下的处理器；

所述安全世界态下的处理器用于执行权利要求1至6任意一项所述的应用访问隔离方法；

所述正常世界态下的处理器用于执行权利要求7至9任意一项所述的应用访问隔离方法。