CN117744117A - 权限设置方法、装置、电子设备及计算机可读存储介质 - Google Patents
权限设置方法、装置、电子设备及计算机可读存储介质 Download PDFInfo
- Publication number
- CN117744117A CN117744117A CN202311766353.8A CN202311766353A CN117744117A CN 117744117 A CN117744117 A CN 117744117A CN 202311766353 A CN202311766353 A CN 202311766353A CN 117744117 A CN117744117 A CN 117744117A
- Authority
- CN
- China
- Prior art keywords
- virtual execution
- execution domain
- trusted application
- key
- domain
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 45
- 230000006854 communication Effects 0.000 claims abstract description 140
- 238000004891 communication Methods 0.000 claims description 132
- 230000015654 memory Effects 0.000 claims description 40
- 238000004590 computer program Methods 0.000 claims description 21
- 238000012544 monitoring process Methods 0.000 claims description 6
- 230000004044 response Effects 0.000 claims description 2
- 230000008569 process Effects 0.000 abstract description 9
- 230000005540 biological transmission Effects 0.000 description 7
- 230000003287 optical effect Effects 0.000 description 7
- 238000012545 processing Methods 0.000 description 7
- 238000010586 diagram Methods 0.000 description 6
- 238000005516 engineering process Methods 0.000 description 5
- 230000006870 function Effects 0.000 description 5
- 230000003993 interaction Effects 0.000 description 3
- 230000002093 peripheral effect Effects 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 230000003068 static effect Effects 0.000 description 2
- 238000012546 transfer Methods 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 239000000835 fiber Substances 0.000 description 1
- 238000002955 isolation Methods 0.000 description 1
- 239000013307 optical fiber Substances 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 238000000926 separation method Methods 0.000 description 1
Landscapes
- Storage Device Security (AREA)
Abstract
本申请实施例提供了一种权限设置方法、装置、电子设备及计算机可读存储介质，涉及虚拟机技术领域。该方法包括：构建相互隔离的第一虚拟执行域和第二虚拟执行域，第二虚拟执行域运行预设基带系统；在TEE中创建相互隔离的第一可信应用和第二可信应用；对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限。本申请实施例实现了将通信过程和解密过程相互分离、互不影响，即使第二虚拟执行域遭受攻击，可能泄露的也只是第二可信应用中的数据，而不会泄露第一可信应用中的密钥和其他机密信息，可以有效提高设备的安全性。
Description
技术领域
本申请涉及虚拟机技术领域，具体而言，本申请涉及一种权限设置方法、装置、电子设备及计算机可读存储介质。
背景技术
终端等电子设备和服务器、卫星进行通信时，设备由于具备较高的可获得性而容易遭受攻击，不法分子可通过攻击设备进而攻击服务器或卫星。
设备的片上系统(System on a Chip，SOC)包括基带系统和可信执行环境(Trusted Execution Environment，TEE)，该基带系统包括用于进行通信的通信协议栈，此外基带系统还可以进行一系列的解密操作，TEE包含设备中的各种密钥、密码以及核心代码等机密数据。
基带系统在运行过程中可以访问TEE，这就导致不法分子可能通过控制基带系统而非法访问TEE，存在泄露TEE中的机密数据的隐患。
发明内容
本申请实施例提供了一种权限设置方法、装置、电子设备、计算机可读存储介质及计算机程序产品，用于解决背景技术中的技术问题。
根据本申请实施例的第一方面，提供了一种权限设置方法，应用于设备的目标芯片，目标芯片包括可信执行环境TEE，该方法包括：
构建相互隔离的第一虚拟执行域和第二虚拟执行域，第二虚拟执行域运行预设基带系统；
在TEE中创建相互隔离的第一可信应用和第二可信应用；第一可信应用包括第一密钥，第二可信应用包括设备信息；
对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限；
其中，第一虚拟执行域用于根据访问第一可信应用获得第一密钥，并根据第一密钥解密加密的通信配置文件。
根据本申请实施例的第二方面，提供了一种权限设置装置，应用于设备的目标芯片，目标芯片包括可信执行TEE；
该装置包括：
虚拟执行域创建模块，用于构建相互隔离的第一虚拟执行域和第二虚拟执行域，第二虚拟执行域运行预设基带系统；
可信应用创建模块，用于在TEE中创建相互隔离的第一可信应用和第二可信应用；第一可信应用包括第一密钥，第二可信应用包括设备信息；
权限设置模块，用于对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限；
其中，第一虚拟执行域用于根据访问第一可信应用获得第一密钥，并根据第一密钥解密加密的通信配置文件。
在一个可能的实现方式中，设备还包括外存，外存中包括加密的通信配置文件；
该装置还包括：
通信配置文件获得模块，用于通过第一虚拟执行域响应于设备启动，从外存中获得加密的通信配置文件；通过第一虚拟执行域获得第一可信应用中的第一密钥，并根据第一密钥解密加密的通信配置文件。
在一个可能的实现方式中，设备还包括安全元件SE；SE中包括第二密钥和通过第二密钥加密的第三密钥；第一密钥和第二密钥属于一对加解密密钥；
通信配置文件获得模块具体用于通过第一虚拟执行域获得SE中加密的第三密钥，通过第一密钥解密加密的第三密钥，得到第三密钥，通过第三密钥解密加密的通信配置文件。
在一个可能的实现方式中，预设基带系统包括通信协议栈；
该装置还包括：
通信请求获取模块，用于通过第二虚拟执行域响应于设备的通信请求，获得第二可信应用中的设备信息，并从第一虚拟执行域获得通信配置文件；
通信消息生成模块，用于通过预设基带系统基于设备信息、通信协议栈和通信配置文件生成通信消息。
在一个可能的实现方式中，目标芯片还包括微内核系统；
通信配置文件获得模块包括：
第一SMC指令发送子模块，用于通过第一虚拟执行域向微内核系统发送第一安全监控呼叫SMC指令，通过微内核系统向TEE转发第一SMC指令；
第一密钥获得子模块，用于通过TEE向第一可信应用转发第一SMC指令，获得第一可信应用发送的第一密钥；通过第一虚拟执行域接收TEE通过微内核系统发送的第一密钥；
通信请求获取模块包括：
第二SMC指令发送子模块，用于通过第二虚拟执行域向微内核系统发送第二SMC指令，通过微内核系统向TEE转发第二SMC指令；
设备信息获得子模块，用于通过TEE向第二可信应用转发第二SMC指令，获得第二可信应用发送的设备信息；通过第二虚拟执行域接收TEE通过微内核系统发送的设备信息。
在一个可能的实现方式中，第一SMC指令发送子模块包括：
第一合并单元，用于通过微内核系统确定第一虚拟执行域的域标识，将第一虚拟执行域的域标识合并至第一SMC指令，得到合并后的第一SMC指令，向TEE转发合并后的第一SMC指令，以使得TEE基于合并后的第一SMC指令中的第一虚拟执行域的域标识，确定第一可信应用为并后的第一SMC指令的接收方；
第二SMC指令发送子模块包括：
第二合并单元，用于通过微内核系统确定第二虚拟执行域的域标识，将第二虚拟执行域的域标识合并至第二SMC指令，得到合并后的第二SMC指令，向TEE转发合并后的第二SMC指令，以使得TEE基于合并后的第二SMC指令中的第二虚拟执行域的域标识，确定第二可信应用为并后的第二SMC指令的接收方。
在一个可能的实现方式中，目标芯片包括预设寄存器；
第一合并单元具体用于通过微内核系统将第一SMC指令写入预设寄存器，确定预设寄存器的标识位，将第一虚拟执行域的域标识写入预设寄存器，读取预设寄存器获得并后的第一SMC指令；
第二合并单元，具体用于通过微内核系统将第二SMC指令写入预设寄存器，确定预设寄存器的标识位，将第二虚拟执行域的域标识写入预设寄存器，读取预设寄存器获得并后的第二SMC指令。
根据本申请实施例的第三方面，提供了一种电子设备，该电子设备包括存储器、处理器及存储在存储器上的计算机程序，处理器执行程序时实现如第一方面所提供的方法的步骤。
根据本申请实施例的第四方面，提供了一种计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如第一方面所提供的方法的步骤。
根据本申请实施例的第五方面，提供了一种计算机程序产品，该计算机程序产品包括计算机指令，该计算机指令存储在计算机可读存储介质中，当计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行实现如第一方面所提供的方法的步骤。
本申请实施例提供的技术方案带来的有益效果是：
本申请实施例在目标芯片中创建相互隔离的第一虚拟执行域和第二虚拟执行域，第一虚拟执行域用于进行解密，第二虚拟执行域用于运行预设基带系统进行通信，使得通信过程和解密过程相互分离、互不影响，且目标芯片中的可信执行环境TEE也设置了相互隔离的第一可信应用和第二可信应用，对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限。因此，即使预设基带系统遭受攻击，可能泄露的也只是第二可信应用中的数据，而不会泄露第一可信应用中的密钥和其他机密信息，可以有效保护密钥的安全，提高设备的安全性。
附图说明
为了更清楚地说明本申请实施例中的技术方案，下面将对本申请实施例描述中所需要使用的附图作简单地介绍。
图1为本申请实施例提供的一种权限设置方法的流程示意图；
图2为本申请实施例提供的一种设备内部的各部件之间的结构示意图；
图3为本申请实施例提供的设备中各部件之间的数据处理流程图；
图4为本申请实施例提供的一种权限设置装置的结构示意图；
图5为本申请实施例提供的一种电子设备的结构示意图。
具体实施方式
下面结合本申请中的附图描述本申请的实施例。应理解，下面结合附图所阐述的实施方式，是用于解释本申请实施例的技术方案的示例性描述，对本申请实施例的技术方案不构成限制。
本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本申请实施例所使用的术语“包括”以及“包含”是指相应特征可以实现为所呈现的特征、信息、数据、步骤、操作、元件和/或组件，但不排除实现为本技术领域所支持其他特征、信息、数据、步骤、操作、元件、组件和/或它们的组合等。应该理解，当我们称一个元件被“连接”或“耦接”到另一元件时，该一个元件可以直接连接或耦接到另一元件，也可以指该一个元件和另一元件通过中间元件建立连接关系。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的术语“和/或”指示该术语所限定的项目中的至少一个，例如“A和/或B”可以实现为“A”，或者实现为“B”，或者实现为“A和B”。
为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。
首先对本申请涉及的几个名词进行介绍和解释。
片上系统(System on a Chip，SOC)芯片，是一种操作系统级的芯片。SOC芯片可以内置随机存取存储器(Random Access Memory，RAM)、只读存储器(Read-Only Memory，ROM)，还可以存储操作系统的代码，可以理解为SOC芯片足以运行操作系统，是一个功能较为强大的芯片。
可信执行环境(Trusted Execution Environment，TEE)，是一种安全环境。该安全环境一般专用于处理敏感数据，其运行在隔离的硬件中以确保其中运行的代码和数据具有机密性和不可篡改性。但TEE的安全性是相对的并非绝对的，TEE也存在被攻击导致数据泄露的可能性。
微内核系统，本申请中涉及的微内核系统也可称为虚拟机管理器(Hypervisor)。Hypervisor是一种运行在基础物理硬件和操作系统之间的中间软件层，可允许多个操作系统或其他软件共享硬件，可以视为一种“元”操作系统。Hypervisor不但协调着对硬件资源的访问，也同时在各个虚拟机之间施加防护。当启动并运行Hypervisor时，它会加载虚拟机的操作系统并分配给每台虚拟机适量的内存、CPU、网络等资源。
本申请实施例中的电子设备以终端为例进行说明。终端和服务器、卫星进行通信时，终端由于具备较高的可获得性而容易遭受攻击，不法分子可通过攻击终端进而攻击服务器和卫星。
终端的目标芯片包括基带系统和TEE，该基带系统包括用于进行通信的通信协议栈，此外，基带系统还可以进行一系列的解密操作，TEE包含终端中的各种密钥以及核心代码等机密数据。
基带系统在运行过程中可以访问TEE，这就导致不法分子可能通过控制基带系统而非法访问TEE，存在泄露TEE中的机密数据的隐患。
本申请提供的权限设置方法、装置、电子设备、计算机可读存储介质以及计算机程序产品，旨在解决现有技术的如上技术问题。
下面通过对几个示例性实施方式的描述，对本申请实施例的技术方案以及本申请的技术方案产生的技术效果进行说明。需要指出的是，下述实施方式之间可以相互参考、借鉴或结合，对于不同实施方式中相同的术语、相似的特征以及相似的实施步骤等，不再重复描述。
本申请实施例中提供了一种权限设置方法，应用于设备的目标芯片，目标芯片包括可信执行TEE，如图1所示，该权限设置方法包括：
步骤S101，构建相互隔离的第一虚拟执行域和第二虚拟执行域，第二虚拟执行域运行预设基带系统。
步骤S102，在TEE中创建相互隔离的第一可信应用和第二可信应用；第一可信应用包括第一密钥，第二可信应用包括设备信息。
步骤S103，对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限；
其中，第一虚拟执行域用于访问第一可信应用获得第一密钥，并根据第一密钥解密加密的通信配置文件。
本申请实施例终端包括但不限于智能手机(如Android手机、iOS手机等)、手机模拟器、平板电脑、笔记本电脑、数字广播接收器、移动互联网设备(Mobile InternetDevices，MID)、个人数字助理(Personal Digital Assistant，PDA)、智能语音交互设备、智能家电、车载终端等。
本申请实施例的终端中包括目标芯片，该目标芯片可以为SOC芯片，也可以为CPU芯片。该目标芯片支持虚拟机技术和可信执行环境TEE。
为实现设备的通信和解密相互隔离，本申请实施例利用虚拟机技术在目标芯片中创建了相互隔离的两个虚拟执行域，分别是第一虚拟执行域和第二虚拟执行域，具体的，可以基于虚拟机技术创建两个虚拟机(Virtual Machine，VM)，在其中一个虚拟机中创建第一虚拟执行域，在另一个虚拟机中创建第二虚拟执行域，在两个虚拟机中分别创建虚拟执行域，可以实现相互隔离的两个虚拟执行域。
本申请实施例第一虚拟执行域主要进行一系列解密操作，第一虚拟执行域也称“安全执行域”，第二虚拟执行域中运行预设基带系统，第二虚拟执行域运行该预设基带系统可以和终端外部的其他设备进行通信。
基带系统是指没有经过调制的原始电信号所固有的频带系统。在基带系统中，数字信号直接作为基带信号进行传输，无需进行频率转换或调制，即基带系统是不经过调制解调的系统，理想的基带系统不存在码间干扰。
TEE可以使用预设基带系统的基带算力，TEE也可以为预设基带系统提供通信所需的设备信息以及解密通信配置文件所需的第一密钥，但这也容易导致TEE中的机密数据(例如各种密钥、密码、指纹信息等)泄露，为保护TEE中机密数据的安全，本申请实施例在TEE中创建了多个可信应用(Trust Application，TA)。
每个可信应用只允许有限且提前定义好的合法调用，即可信应用只允许具备该可信应用访问权限的芯片或程序的调用，从而更好的维护数据安全，避免暴露其内部的数据。
本申请实施例多个可信应用中包括相互隔离的两个可信应用，分别是第一可信应用和第二可信应用，其中，第一可信应用可以用TA0表示，第二可信应用可以用TA1表示。当然，除了第一可信应用和第二可信应用之外，多个可信应用中还可以包括其他可信应用，其他可信应用可以和第一可信应用隔离，以保护其他可信应用的安全。
本申请实施例第一可信应用中包括多种密钥，多种密钥中包括第一密钥，第一密钥与解密加密的通信配置文件相关，第一密钥的详细使用过程见后续内容。多种密钥中的其他密钥可以为终端中其他部件解密所需的密钥。
本申请实施例第二可信应用包括设备信息，设备信息包括设备的唯一硬件标识，唯一硬件标识可以是国际移动设备识别码(International Mobile Equipment Identity，IMEI)。
为实现通信和解密分离，本申请实施例对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限，第二虚拟执行域不具备访问第一可信应用的访问权限，可以避免暴露第一可信应用中的密钥等机密数据。
本申请实施例在目标芯片中创建相互隔离的第一虚拟执行域和第二虚拟执行域，第一虚拟执行域用于进行解密，第二虚拟执行域用于运行预设基带系统进行通信，使得通信过程和解密过程相互分离、互不影响，且目标芯片中的可信执行环境TEE也设置了相互隔离的第一可信应用和第二可信应用，对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限。因此，即使预设基带系统遭受攻击，可能泄露的也只是第二可信应用中的数据，而不会泄露第一可信应用中的密钥和其他机密信息，可以有效保护密钥的安全，提高设备的安全性。
本申请实施例中提供了一种可能的实现方式，设备还包括外存，外存中包括加密的通信配置文件；
对第一虚拟执行域设置具有访问第一可信应用的权限，之后还包括：
通过第一虚拟执行域响应于设备启动，从外存中获得加密的通信配置文件；
通过第一虚拟执行域获得第一可信应用中的第一密钥，并根据第一密钥解密加密的通信配置文件。
本申请实施例设备中还包括外存，外存可以为硬盘、flash、软盘、光盘、U盘等，为保护通信配置文件的安全，外存中存储的是加密的通信配置文件，通信配置文件用于存储通信配置数据，通信配置数据例如可以是功率、放大器参数、通信频率、带宽、最大传输距离等。
本申请实施例第一虚拟执行域在检测到设备启动后，会进行初始化，在初始化过程中会解密加密的通信配置文件。
具体的，第一虚拟执行域从外存中获得加密的通信配置文件，并访问第一可信应用，获得第一可信应用中的第一密钥，可以根据第一密钥解密加密的通信配置文件。第二虚拟执行域中的预设基带系统在后续通信过程中可以使用该通信配置文件中的通信配置数据与设备外部的其他设备进行通信。
本申请实施例中提供了一种可能的实现方式，终端还包括安全元件SE；SE中包括第二密钥和通过第二密钥加密的第三密钥；第一密钥和第二密钥属于一对加解密密钥。
从第一可信应用中获得第一密钥，通过第一密钥解密加密的通信配置文件，包括：
通过第一虚拟执行域获得SE中加密的第三密钥，通过第一密钥解密加密的第三密钥，得到第三密钥，通过第三密钥解密加密的通信配置文件。
本申请实施例设备中还包括安全元件(Secure Element，SE)，SE通常以芯片或SD卡等形式存在，SE中设置有具有加密/解密功能的逻辑电路，用于防止外部的恶意解析攻击，保护数据安全。SE具备极强的安全性，一般在安全要求很高的场景中用于保护内部密钥等用途。
本申请实施例SE中存储有可信根，可信根中包括第二密钥和使用第二密钥加密后获得的加密的第三密钥。第三密钥是加密通信配置文件的密钥。
本申请实施例第一可信应用中包括第一密钥，第一虚拟执行域在获得第一密钥后，可基于第一密钥与SE建立安全通道，因为第一密钥和第二密钥是一对加解密密钥，通过这一对加解密密钥建立的安全通道可以保证数据安全传输，进行安全传输的传输协议可以为安全复制(Secure Copy)协议，例如SCP03协议。第一密钥和第二密钥对可以是一对对称密钥，也可以是一对非对称密钥(公私钥)。
SE可以使用第二密钥对第三密钥进行加密，得到加密的第三密钥，并向第一虚拟执行域发送该加密的第三密钥。第一虚拟执行域获得该加密的第三密钥后，可以通过获得的第一密钥解密加密的第三密钥，得到第三密钥，并通过第三密钥解密加密的通信配置文件，得到通信时所需的通信配置文件。
本申请实施例中提供了一种可能的实现方式，预设基带系统包括通信协议栈；
解密加密的通信配置文件，之后还包括：
通过第二虚拟执行域响应于终端的通信请求，获得第二可信应用中的设备信息，并从第一虚拟执行域获得通信配置文件；通过预设基带系统基于设备信息、通信协议栈和通信配置文件生成通信消息，向终端外部的其他设备发送通信消息。
本申请实施例预设基带通信系统包括通信协议栈(Communication ProtocolStack)，通信协议栈是一系列网络协议的集合，用于定义网络设备之间的通信规则和数据传输方式。最常见的通信协议栈是TCP/IP协议栈，它由四层结构组成，分别是应用层、传输层、网络层和链路层。每一层都使用特定的协议来完成自己的任务，并调用下一层所提供的协议来完成数据传输。通信协议栈的作用是确保网络设备之间的通信顺畅和数据传输的正确性。
在需要通信时，终端可以主动触发与终端外部的其他设备之间的通信请求，也可以直接接收其他设备发送的通信请求，其他设备可以是服务器、路由器等。例如，当终端意图向服务器发送信息时主动触发通信请求，终端也可以接收服务器发送的通信请求，本申请实施例对此不作限制。
本申请实施例终端可以通过第二虚拟执行域响应于获得的通信请求，第二虚拟执行域具备访问第二可信应用的权限，可以访问第二可信应用获得设备信息，此外，还需从第一虚拟执行域中获得通信配置文件。
由于第一虚拟执行域和第二虚拟执行域相互隔离，为使得第一虚拟执行域和第二虚拟执行域可以间接通信，本申请实施例还在目标芯片中设置了微内核系统。微内核系统可以管理虚拟执行域，第二虚拟执行域可以向微内核系发送通信配置文件获取请求，微内核系统可以从第一虚拟执行域中读取通信配置文件，并向第二虚拟执行域转发该通信配置文件。
本申请实施例第二虚拟执行域中的预设基带系统可以基于设备信息、通信协议栈中的协议和通信配置文件生成通信消息，通信消息包括头部和数据部分，其中，该通信消息的头部可以包括设备信息和任意类型的协议，该通信消息的数据部分可以是任意的数据，比如视频、音频、文本等，本申请实施例对此不作限制。
第二虚拟执行域在生成通信消息后，可以向终端外部的其他设备发送该通信消息。
本申请实施例中提供了一种可能的实现方式，目标芯片还包括微内核系统；
通过第一虚拟执行域获得第一可信应用中的第一密钥，包括：
通过第一虚拟执行域向微内核系统发送第一安全监控呼叫SMC指令，通过微内核系统向TEE转发第一SMC指令；
通过TEE向第一可信应用转发第一SMC指令，获得第一可信应用发送的第一密钥；
通过第一虚拟执行域接收TEE通过微内核系统发送的第一密钥；
获得第二可信应用中的设备信息，包括：
通过第二虚拟执行域向微内核系统发送第二SMC指令，通过微内核系统向TEE转发第二SMC指令；
通过TEE向第二可信应用转发第二SMC指令，获得第二可信应用发送的设备信息；
通过第二虚拟执行域接收TEE通过微内核系统发送的设备信息。
在目标芯片中，第一虚拟执行域和第二虚拟执行域均视为非安全世界，TEE视为安全世界，第一虚拟执行域和第二虚拟执行域访问TEE时，需发送全监控呼叫(SecureMonitor Call，SMC)指令，SMC指令指的是非安全世界请求安全世界服务的指令，本申请实施例将第一虚拟执行域发送的SMC指令称为第一SMC指令，第二虚拟执行域发送的SMC指令称为第二SMC指令。
前述实施例已经说明，本申请实施例的目标芯片中还包括微内核系统，当第一虚拟执行域需要访问TEE中的第一可信应用时，会向TEE发送第一SMC指令，该第一SMC指令用于请求获取第一密钥；当第二虚拟执行域需要访问TEE中的第二可信应用时，会向TEE发送第二SMC指令，该第二SMC指令用于请求获取设备信息，微内核系统可以拦截该第一SMC指令和第二SMC指令。
微内核系统拦截该第一SMC指令后，向TEE的第一可信应用转发第一SMC指令，获得第一可信应用发送的第一密钥，并向第一虚拟执行域转发该第一密钥。
微内核系统拦截该第二SMC指令后，向TEE的第二可信应用转发第二SMC指令，获得第二可信应用发送的设备信息，并向第二虚拟执行域转发该设备信息。
本申请实施例中提供了一种可能的实现方式，通过微内核系统向TEE转发第一SMC指令，包括：
通过微内核系统确定第一虚拟执行域的域标识，将第一虚拟执行域的域标识合并至第一SMC指令，得到合并后的第一SMC指令，向TEE转发合并后的第一SMC指令，以使得TEE基于合并后的第一SMC指令中的第一虚拟执行域的域标识，确定第一可信应用为并后的第一SMC指令的接收方。
通过微内核系统向TEE转发第一SMC指令，包括：
通过微内核系统确定第二虚拟执行域的域标识，将第二虚拟执行域的域标识合并至第二SMC指令，得到合并后的第二SMC指令，向TEE转发合并后的第二SMC指令，以使得TEE基于合并后的第二SMC指令中的第二虚拟执行域的域标识，确定第二可信应用为并后的第二SMC指令的接收方。
本申请实施例第一虚拟执行域和第二虚拟执行域都有相应的域标识，域标识可以唯一表征相应的虚拟执行域，在实际应用中，域标识可以为相应虚拟执行域所在的虚拟机的虚拟机标识(Virtual Machine ID，VMID)。在一个场景中，若虚拟执行域的域标识为VMID，那么可以设置第一虚拟执行域的域标识VMID＝0，设置第二虚拟执行域的域标识VMID＝1。
本申请实施例微内核系统在接收到第一SMC指令后，会将第一虚拟执行域的域标识合并至第一SMC指令，得到合并后的第一SMC指令，向TEE转发合并后的第一SMC指令，以使得TEE基于合并后的第一SMC指令中的第一虚拟执行域的域标识，确定第一可信应用为并后的第一SMC指令的接收方。
本申请实施例微内核系统在接收到第二SMC指令后，会将将第二虚拟执行域的域标识合并至第二SMC指令，得到合并后的第二SMC指令，向TEE转发合并后的第二SMC指令，以使得TEE基于合并后的第二SMC指令中的第二虚拟执行域的域标识，确定第二可信应用为并后的第二SMC指令的接收方。
本申请实施例中提供了一种可能的实现方式，目标芯片包括预设寄存器；
通过将第一虚拟执行域的域标识合并至第一SMC指令，得到合并后的第一SMC指令，包括：
通过微内核系统将第一SMC指令写入预设寄存器，确定预设寄存器的标识位，将第一虚拟执行域的域标识写入预设寄存器，读取预设寄存器获得并后的第一SMC指令；
通过将第二虚拟执行域的域标识合并至第二SMC指令，得到合并后的第二SMC指令，包括：
通过微内核系统将第二SMC指令写入预设寄存器，确定预设寄存器的标识位，将第二虚拟执行域的域标识写入预设寄存器，读取预设寄存器获得并后的第二SMC指令。
本申请实施例目标芯片中还包括预设寄存器，该预设寄存器可以存储SMC指令，例如该预设寄存器可以为寄存器hcr_EL2.TSC。
当微内核系统接收到第一SMC指令后，会将该第一SMC指令写入该预设寄存器，并确定预设寄存器的标识位，将第一虚拟执行域的域标识写入预设寄存器，读取预设寄存器获得并后的第一SMC指令，标识位可以为寄存器的最低有效位或者最高有效位，本申请实施例对此不作限制。
当微内核系统接收到第二SMC指令后，会将该第二SMC指令写入该预设寄存器，同样的，确定预设寄存器的标识位，将第二虚拟执行域的域标识写入预设寄存器，读取预设寄存器获得并后的第二SMC指令。
如图2所示，其示例性示出了本申请实施例所提供的一种设备内部的各部件之间的结构示意图，该设备20中的部件包括目标芯片210、SE芯片220(图2中的SE为芯片形式，称为SE芯片)和外存flash230。目标芯片210可以为SOC芯片或CPU芯片，目标芯片210中包括第一虚拟执行域211、第二虚拟执行域212、微内核系统213和TEE214，TEE214中包括第一可信应用TA0和第二可信应用TA1。第一虚拟执行域211的域标识VMID＝0，第一虚拟执行域211主要用于进行一系列解密操作，第二虚拟执行域212的域标识VMID＝1，第二虚拟执行域212中运行预设基带系统，该预设基带系统包括通信协议栈。第一虚拟执行域211可以和SE芯片220以及flash230通信，第一虚拟执行域211可以通过微内核系统213访问TEE214中的TA0，第二虚拟执行域212可以通过微内核系统213访问TEE214中的TA1。
如图3所示，其示例性示出了为对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限之后，设备中各部件之间的数据处理流程图，包括如下步骤：
步骤S301，第一虚拟执行域响应于设备启动，从外存中获得加密的通信配置文件；
步骤S302，第一虚拟执行域向微内核系统发送第一安全监控呼叫SMC指令；
步骤S303，微内核系统确定第一虚拟执行域的域标识，将第一虚拟执行域的域标识合并至第一SMC指令，得到合并后的第一SMC指令；
步骤S304，微内核系统向TEE转发合并后的第一SMC指令；
步骤S305，TEE基于合并后的第一SMC指令中的第一虚拟执行域的域标识，确定第一可信应用为并后的第一SMC指令的接收方，向第一可信应用转发并后的第一SMC指令；
步骤S306，TEE获得第一可信应用中的第一密钥，向微内核系统发送该第一密钥；
步骤S307，第一虚拟执行域接收微内核系统转发的该第一密钥；
步骤S308，第一虚拟执行域从SE中获得加密的第三密钥，通过第一密钥解密加密的第三密钥，得到第三密钥；
步骤S309，第一虚拟执行域通过第三密钥解密加密的通信配置文件，得到通信配置文件；
步骤S310，第二虚拟执行域响应于设备的通信请求，获取第二可信应用中的设备信息，并从第一虚拟执行域获取通信配置文件；
步骤S311，第二虚拟执行域通过预设基带系统基于设备信息、通信协议栈和通信配置文件生成通信消息，向外部的其他设备发送通信消息。
上述步骤S301与步骤S311之间的详细交互过程见前述实施例，本申请在此不再进行过多赘述。
本申请实施例提供了一种权限设置装置，如图4所示，应用于设备的目标芯片，目标芯片包括可信执行环境TEE；
该权限设置装置40包括：
虚拟执行域创建模块410，用于构建相互隔离的第一虚拟执行域和第二虚拟执行域，第二虚拟执行域运行预设基带系统；
可信应用创建模块420，用于在TEE中创建相互隔离的第一可信应用和第二可信应用；第一可信应用包括第一密钥，第二可信应用包括设备信息；
权限设置模块430，用于对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限；
其中，第一虚拟执行域用于访问第一可信应用获得第一密钥，并根据第一密钥解密加密的通信配置文件。
本申请实施例在目标芯片中创建相互隔离的第一虚拟执行域和第二虚拟执行域，第一虚拟执行域用于进行解密，第二虚拟执行域用于运行预设基带系统进行通信，使得通信过程和解密过程相互分离、互不影响，且目标芯片中的可信执行环境TEE也设置了相互隔离的第一可信应用和第二可信应用，对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限，因此，即使预设基带系统遭受攻击，可能泄露的也只是第二可信应用中的数据，而不会泄露第一可信应用中的密钥和其他机密信息，可以有效保护密钥的安全，提高设备的安全性。
本申请实施例中提供了一种可能的实现方式，设备还包括外存，外存中包括加密的通信配置文件；
该装置还包括：
通信配置文件获得模块，用于通过第一虚拟执行域响应于设备启动，从外存中获得加密的通信配置文件；通过第一虚拟执行域获得第一可信应用中的第一密钥，并根据第一密钥解密加密的通信配置文件。
本申请实施例中提供了一种可能的实现方式，设备还包括安全元件SE；SE中包括第二密钥和通过第二密钥加密的第三密钥；第一密钥和第二密钥属于一对加解密密钥；
通信配置文件获得模块具体用于通过第一虚拟执行域获得SE中加密的第三密钥，通过第一密钥解密加密的第三密钥，得到第三密钥，通过第三密钥解密加密的通信配置文件。
本申请实施例中提供了一种可能的实现方式，预设基带系统包括通信协议栈；
该装置还包括：
通信请求获取模块，用于通过第二虚拟执行域响应于设备获得的通信请求，获得第二可信应用中的设备信息，并从第一虚拟执行域获得通信配置文件；
通信消息生成模块，用于通过预设基带系统基于设备信息、通信协议栈和通信配置文件生成通信消息。
本申请实施例中提供了一种可能的实现方式，目标芯片还包括微内核系统；
通信配置文件获得模块包括：
第一SMC指令发送子模块，用于通过第一虚拟执行域向微内核系统发送第一安全监控呼叫SMC指令，通过微内核系统向TEE转发第一SMC指令；
第一密钥获得子模块，用于通过TEE向第一可信应用转发第一SMC指令，获得第一可信应用发送的第一密钥；通过第一虚拟执行域接收TEE通过微内核系统发送的第一密钥；
通信请求获取模块包括：
第二SMC指令发送子模块，用于通过第二虚拟执行域向微内核系统发送第二SMC指令，通过微内核系统向TEE转发第二SMC指令；
设备信息获得子模块，用于通过TEE向第二可信应用转发第二SMC指令，获得第二可信应用发送的设备信息；通过第二虚拟执行域接收TEE通过微内核系统发送的设备信息。
本申请实施例中提供了一种可能的实现方式，第一SMC指令发送子模块包括：
第一合并单元，用于通过微内核系统确定第一虚拟执行域的域标识，将第一虚拟执行域的域标识合并至第一SMC指令，得到合并后的第一SMC指令，向TEE转发合并后的第一SMC指令，以使得TEE基于合并后的第一SMC指令中的第一虚拟执行域的域标识，确定第一可信应用为并后的第一SMC指令的接收方；
第二SMC指令发送子模块包括：
第二合并单元，用于通过微内核系统确定第二虚拟执行域的域标识，将第二虚拟执行域的域标识合并至第二SMC指令，得到合并后的第二SMC指令，向TEE转发合并后的第二SMC指令，以使得TEE基于合并后的第二SMC指令中的第二虚拟执行域的域标识，确定第二可信应用为并后的第二SMC指令的接收方。
本申请实施例中提供了一种可能的实现方式，目标芯片包括预设寄存器；
第一合并单元具体用于通过微内核系统将第一SMC指令写入预设寄存器，确定预设寄存器的标识位，将第一虚拟执行域的域标识写入预设寄存器，读取预设寄存器获得并后的第一SMC指令；
第二合并单元，具体用于通过微内核系统将第二SMC指令写入预设寄存器，确定预设寄存器的标识位，将第二虚拟执行域的域标识写入预设寄存器，读取预设寄存器获得并后的第二SMC指令。
本申请实施例的装置可执行本申请实施例所提供的方法，其实现原理相类似，本申请各实施例的装置中的各模块所执行的动作是与本申请各实施例的方法中的步骤相对应的，对于装置的各模块的详细功能描述具体可以参见前文中所示的对应方法中的描述，此处不再赘述。
本申请实施例中，术语“模块”或“单元”是指有预定功能的计算机程序或计算机程序的一部分，并与其他相关部分一起工作以实现预定目标，并且可以通过使用软件、硬件(如处理电路或存储器)或其组合来全部或部分实现。同样的，一个处理器(或多个处理器或存储器)可以用来实现一个或多个模块或单元。此外，每个模块或单元都可以是包含该模块或单元功能的整体模块或单元的一部分。
本申请实施例中提供了一种电子设备，包括存储器、处理器及存储在存储器上的计算机程序，该处理器执行上述计算机程序以实现权限设置方法的步骤，与相关技术相比可实现：本申请实施例在目标芯片中创建相互隔离的第一虚拟执行域和第二虚拟执行域，第一虚拟执行域用于进行解密，第二虚拟执行域用于运行预设基带系统进行通信，使得通信过程和解密过程相互分离、互不影响，且目标芯片中的可信执行环境TEE也设置了相互隔离的第一可信应用和第二可信应用，对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限，因此，即使预设基带系统遭受攻击，可能泄露的也只是第二可信应用中的数据，而不会泄露第一可信应用中的密钥和其他机密信息，可以有效保护密钥的安全，提高设备的安全性。在一个可选实施例中提供了一种电子设备，如图5所示，图5所示的电子设备5000包括：处理器5001和存储器5003。其中，处理器5001和存储器5003相连，如通过总线5002相连。可选地，电子设备5000还可以包括收发器5004，收发器5004可以用于该电子设备与其他电子设备之间的数据交互，如数据的发送和/或数据的接收等。需要说明的是，实际应用中收发器5004不限于一个，该电子设备5000的结构并不构成对本申请实施例的限定。
处理器5001可以是CPU(Central Processing Unit，中央处理器)，通用处理器，DSP(Digital Signal Processor，数据信号处理器)，ASIC(Application SpecificIntegrated Circuit，专用集成电路)，FPGA(Field Programmable Gate Array，现场可编程门阵列)或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器5001也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。
总线5002可包括一通路，在上述组件之间传送信息。总线5002可以是PCI(Peripheral Component Interconnect，外设部件互连标准)总线或EISA(ExtendedIndustry Standard Architecture，扩展工业标准结构)总线等。总线5002可以分为地址总线、数据总线、控制总线等。为便于表示，图5中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。
存储器5003可以是ROM(Read Only Memory，只读存储器)或可存储静态信息和指令的其他类型的静态存储设备，RAM(Random Access Memory，随机存取存储器)或者可存储信息和指令的其他类型的动态存储设备，也可以是EEPROM(Electrically ErasableProgrammable Read Only Memory，电可擦可编程只读存储器)、CD-ROM(Compact DiscRead Only Memory，只读光盘)或其他光盘存储、光碟存储(包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等)、磁盘存储介质、其他磁存储设备、或者能够用于携带或存储计算机程序并能够由计算机读取的任何其他介质，在此不做限定。
存储器5003用于存储执行本申请实施例的计算机程序，并由处理器5001来控制执行。处理器5001用于执行存储器5003中存储的计算机程序，以实现前述方法实施例所示的步骤。
其中，电子设备包可以包括但不限于诸如移动电话、笔记本电脑、数字广播接收器、PDA(个人数字助理)、PAD(平板电脑)、PMP(便携式多媒体播放器)、车载终端(例如车载导航终端)等等的移动终端以及诸如数字TV、台式计算机等等的固定终端。图5所示的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
本申请实施例提供了一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时可实现前述方法实施例的步骤及相应内容。与现有技术相比可实现：本申请实施例在目标芯片中创建相互隔离的第一虚拟执行域和第二虚拟执行域，第一虚拟执行域用于进行解密，第二虚拟执行域用于运行预设基带系统进行通信，使得通信过程和解密过程相互分离、互不影响，且目标芯片中的可信执行环境TEE也设置了相互隔离的第一可信应用和第二可信应用，对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限。因此，即使预设基带系统遭受攻击，可能泄露的也只是第二可信应用中的数据，而不会泄露第一可信应用中的密钥和其他机密信息，可以有效保护密钥的安全，提高设备的安全性。
需要说明的是，本公开上述的计算机可读介质可以是计算机可读信号介质或者计算机可读介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF(射频)等等，或者上述的任意合适的组合。
本申请实施例还提供了一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时可实现前述方法实施例的步骤及相应内容。与现有技术相比可实现：本申请实施例在目标芯片中创建相互隔离的第一虚拟执行域和第二虚拟执行域，第一虚拟执行域用于进行解密，第二虚拟执行域用于运行预设基带系统进行通信，使得通信过程和解密过程相互分离、互不影响，且目标芯片中的可信执行环境TEE也设置了相互隔离的第一可信应用和第二可信应用，对第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限。因此，即使预设基带系统遭受攻击，可能泄露的也只是第二可信应用中的数据，而不会泄露第一可信应用中的密钥和其他机密信息，可以有效保护密钥的安全，提高设备的安全性。
本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”、“1”、“2”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除图示或文字描述以外的顺序实施。
应该理解的是，虽然本申请实施例的流程图中通过箭头指示各个操作步骤，但是这些步骤的实施顺序并不受限于箭头所指示的顺序。除非本文中有明确的说明，否则在本申请实施例的一些实施场景中，各流程图中的实施步骤可以按照需求以其他的顺序执行。此外，各流程图中的部分或全部步骤基于实际的实施场景，可以包括多个子步骤或者多个阶段。这些子步骤或者阶段中的部分或全部可以在同一时刻被执行，这些子步骤或者阶段中的每个子步骤或者阶段也可以分别在不同的时刻被执行。在执行时刻不同的场景下，这些子步骤或者阶段的执行顺序可以根据需求灵活配置，本申请实施例对此不限制。
以上仅是本申请部分实施场景的可选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请的方案技术构思的前提下，采用基于本申请技术思想的其他类似实施手段，同样属于本申请实施例的保护范畴。
Claims (10)
1.一种权限设置方法，其特征在于，应用于设备的目标芯片，所述目标芯片包括可信执行环境TEE；
所述方法包括：
构建相互隔离的第一虚拟执行域和第二虚拟执行域，所述第二虚拟执行域运行预设基带系统；
在TEE中创建相互隔离的第一可信应用和第二可信应用；所述第一可信应用包括第一密钥，所述第二可信应用包括设备信息；
对所述第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限；
其中，所述第一虚拟执行域用于访问第一可信应用获得所述第一密钥，并根据所述第一密钥解密加密的通信配置文件。
2.根据权利要求1所述的方法，其特征在于，所述设备还包括外存，所述外存中包括加密的通信配置文件；
所述对所述第一虚拟执行域设置具有访问第一可信应用的权限，之后还包括：
通过所述第一虚拟执行域响应于所述设备启动，从所述外存中获得所述加密的通信配置文件；
通过所述第一虚拟执行域获得所述第一可信应用中的第一密钥，并根据所述第一密钥解密所述加密的通信配置文件。
3.根据权利要求2所述的方法，其特征在于，所述设备还包括安全元件SE；SE中包括第二密钥和通过所述第二密钥加密的第三密钥；所述第一密钥和所述第二密钥属于一对加解密密钥；
所述从所述第一可信应用中获得第一密钥，通过所述第一密钥解密所述加密的通信配置文件，包括：
通过所述第一虚拟执行域获得所述SE中加密的第三密钥，通过所述第一密钥解密所述加密的第三密钥，得到第三密钥，通过所述第三密钥解密所述加密的通信配置文件。
4.根据权利要求1-3任意一项所述的方法，其特征在于，所述预设基带系统包括通信协议栈；
解密加密的通信配置文件，之后还包括：
通过所述第二虚拟执行域响应于所述设备的通信请求，获得所述第二可信应用中的设备信息，并从所述第一虚拟执行域获得所述通信配置文件；
通过所述预设基带系统基于所述设备信息、所述通信协议栈和所述通信配置文件生成通信消息。
5.根据权利要求4所述的方法，其特征在于，所述目标芯片还包括微内核系统；
所述通过所述第一虚拟执行域获得所述第一可信应用中的第一密钥，包括：
通过所述第一虚拟执行域向所述微内核系统发送第一安全监控呼叫SMC指令，通过所述微内核系统向所述TEE转发第一SMC指令；
通过所述TEE向所述第一可信应用转发所述第一SMC指令，获得所述第一可信应用发送的第一密钥；
通过所述第一虚拟执行域接收所述TEE通过所述微内核系统发送的所述第一密钥；
所述获得所述第二可信应用中的设备信息，包括：
通过所述第二虚拟执行域向所述微内核系统发送第二SMC指令，通过所述微内核系统向所述TEE转发第二SMC指令；
通过所述TEE向所述第二可信应用转发所述第二SMC指令，获得所述第二可信应用发送的设备信息；
通过所述第二虚拟执行域接收所述TEE通过所述微内核系统发送的所述设备信息。
6.根据权利要求5所述的方法，其特征在于，通过所述微内核系统向所述TEE转发第一SMC指令，包括：
通过所述微内核系统确定第一虚拟执行域的域标识，将所述第一虚拟执行域的域标识合并至所述第一SMC指令，得到合并后的第一SMC指令，向所述TEE转发合并后的第一SMC指令，以使得所述TEE基于所述合并后的第一SMC指令中的第一虚拟执行域的域标识，确定所述第一可信应用为所述并后的第一SMC指令的接收方；
通过所述微内核系统向所述TEE转发第一SMC指令，包括：
通过所述微内核系统确定第二虚拟执行域的域标识，将所述第二虚拟执行域的域标识合并至所述第二SMC指令，得到合并后的第二SMC指令，向所述TEE转发合并后的第二SMC指令，以使得所述TEE基于所述合并后的第二SMC指令中的第二虚拟执行域的域标识，确定所述第二可信应用为所述并后的第二SMC指令的接收方。
7.根据权利要求6所述的方法，其特征在于，所述目标芯片包括预设寄存器；
通过所述将所述第一虚拟执行域的域标识合并至所述第一SMC指令，得到合并后的第一SMC指令，包括：
通过所述微内核系统将所述第一SMC指令写入所述预设寄存器，确定所述预设寄存器的标识位，将所述第一虚拟执行域的域标识写入所述预设寄存器，读取所述预设寄存器获得并后的第一SMC指令；
通过所述将所述第二虚拟执行域的域标识合并至所述第二SMC指令，得到合并后的第二SMC指令，包括：
通过所述微内核系统将所述第二SMC指令写入所述预设寄存器，确定所述预设寄存器的标识位，将所述第二虚拟执行域的域标识写入所述预设寄存器，读取所述预设寄存器获得并后的第二SMC指令。
8.一种权限设置装置，其特征在于，应用于设备的目标芯片，所述目标芯片包括可信执行环境TEE；
所述装置包括：
虚拟执行域创建模块，用于构建相互隔离的第一虚拟执行域和第二虚拟执行域，所述第二虚拟执行域运行预设基带系统；
可信应用创建模块，用于在TEE中创建相互隔离的第一可信应用和第二可信应用；所述第一可信应用包括第一密钥，所述第二可信应用包括设备信息；
权限设置模块，用于对所述第一虚拟执行域设置访问第一可信应用的权限，对第二虚拟执行域设置访问第二可信应用的权限；
其中，所述第一虚拟执行域用于访问第一可信应用获得所述第一密钥，并根据所述第一密钥解密加密的通信配置文件。
9.一种电子设备，包括存储器、处理器及存储在存储器上的计算机程序，其特征在于，所述处理器执行所述计算机程序以实现权利要求1-7任一项所述方法的步骤。
10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1-7任一项所述方法的步骤。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311766353.8A CN117744117B (zh) | 2023-12-20 | 2023-12-20 | 权限设置方法、装置、电子设备及计算机可读存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311766353.8A CN117744117B (zh) | 2023-12-20 | 2023-12-20 | 权限设置方法、装置、电子设备及计算机可读存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN117744117A true CN117744117A (zh) | 2024-03-22 |
| CN117744117B CN117744117B (zh) | 2024-07-09 |
Family
ID=90279029
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202311766353.8A Active CN117744117B (zh) | 2023-12-20 | 2023-12-20 | 权限设置方法、装置、电子设备及计算机可读存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN117744117B (zh) |
Citations (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101291158A (zh) * | 2008-05-28 | 2008-10-22 | 华为技术有限公司 | 一种基带系统、基站和支持更软切换的处理方法 |
| CN102541616A (zh) * | 2010-12-17 | 2012-07-04 | 北京凯思昊鹏软件工程技术有限公司 | 一种嵌入式操作系统虚拟机及其实现方法 |
| US20160350534A1 (en) * | 2015-05-29 | 2016-12-01 | Intel Corporation | System, apparatus and method for controlling multiple trusted execution environments in a system |
| CN108549571A (zh) * | 2018-03-19 | 2018-09-18 | 沈阳微可信科技有限公司 | 一种适用于可信执行环境中的安全虚拟化方法 |
| CN109086100A (zh) * | 2018-07-26 | 2018-12-25 | 中国科学院信息工程研究所 | 一种高安全可信移动终端安全体系架构及安全服务方法 |
| US20190081788A1 (en) * | 2017-09-08 | 2019-03-14 | Kenneth Hugh Rose | System And Method Trusted Workspace In Commercial Mobile Devices |
| CN109547450A (zh) * | 2018-11-29 | 2019-03-29 | 北京元心科技有限公司 | 运行安全执行域的方法、装置、电子设备及计算机介质 |
| CN109558211A (zh) * | 2018-11-27 | 2019-04-02 | 上海瓶钵信息科技有限公司 | 保护可信应用与普通应用的交互完整性和保密性的方法 |
| CN111177701A (zh) * | 2019-12-11 | 2020-05-19 | 北京握奇智能科技有限公司 | 基于可信执行环境和安全芯片的密码功能服务实现方法和设备 |
| CN112580056A (zh) * | 2020-12-14 | 2021-03-30 | 中国科学院信息工程研究所 | 一种终端设备、数据加密方法、解密方法、及电子设备 |
| CN113449292A (zh) * | 2020-03-27 | 2021-09-28 | 支付宝(杭州)信息技术有限公司 | 一种可信应用的运行方法、装置及设备 |
| CN114117412A (zh) * | 2021-11-30 | 2022-03-01 | 中国互联网络信息中心 | 一种基于可信技术的虚拟加密机平台及其创建方法 |
| US20230161918A1 (en) * | 2021-11-24 | 2023-05-25 | Phytium Technology Co., Ltd. | Key management method, key management device, and computing device |
| CN116578341A (zh) * | 2023-04-28 | 2023-08-11 | 平头哥(上海)半导体技术有限公司 | 处理器、中断隔离方法、指令模拟方法、片上系统及设备 |
| CN117034257A (zh) * | 2023-06-25 | 2023-11-10 | 亿咖通(湖北)技术有限公司 | 一种虚拟化管理下的信息获取方法、装置、设备及介质 |
-
2023
- 2023-12-20 CN CN202311766353.8A patent/CN117744117B/zh active Active
Patent Citations (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101291158A (zh) * | 2008-05-28 | 2008-10-22 | 华为技术有限公司 | 一种基带系统、基站和支持更软切换的处理方法 |
| CN102541616A (zh) * | 2010-12-17 | 2012-07-04 | 北京凯思昊鹏软件工程技术有限公司 | 一种嵌入式操作系统虚拟机及其实现方法 |
| US20160350534A1 (en) * | 2015-05-29 | 2016-12-01 | Intel Corporation | System, apparatus and method for controlling multiple trusted execution environments in a system |
| US20190081788A1 (en) * | 2017-09-08 | 2019-03-14 | Kenneth Hugh Rose | System And Method Trusted Workspace In Commercial Mobile Devices |
| CN108549571A (zh) * | 2018-03-19 | 2018-09-18 | 沈阳微可信科技有限公司 | 一种适用于可信执行环境中的安全虚拟化方法 |
| CN109086100A (zh) * | 2018-07-26 | 2018-12-25 | 中国科学院信息工程研究所 | 一种高安全可信移动终端安全体系架构及安全服务方法 |
| CN109558211A (zh) * | 2018-11-27 | 2019-04-02 | 上海瓶钵信息科技有限公司 | 保护可信应用与普通应用的交互完整性和保密性的方法 |
| CN109547450A (zh) * | 2018-11-29 | 2019-03-29 | 北京元心科技有限公司 | 运行安全执行域的方法、装置、电子设备及计算机介质 |
| CN111177701A (zh) * | 2019-12-11 | 2020-05-19 | 北京握奇智能科技有限公司 | 基于可信执行环境和安全芯片的密码功能服务实现方法和设备 |
| CN113449292A (zh) * | 2020-03-27 | 2021-09-28 | 支付宝(杭州)信息技术有限公司 | 一种可信应用的运行方法、装置及设备 |
| CN112580056A (zh) * | 2020-12-14 | 2021-03-30 | 中国科学院信息工程研究所 | 一种终端设备、数据加密方法、解密方法、及电子设备 |
| US20230161918A1 (en) * | 2021-11-24 | 2023-05-25 | Phytium Technology Co., Ltd. | Key management method, key management device, and computing device |
| CN114117412A (zh) * | 2021-11-30 | 2022-03-01 | 中国互联网络信息中心 | 一种基于可信技术的虚拟加密机平台及其创建方法 |
| CN116578341A (zh) * | 2023-04-28 | 2023-08-11 | 平头哥(上海)半导体技术有限公司 | 处理器、中断隔离方法、指令模拟方法、片上系统及设备 |
| CN117034257A (zh) * | 2023-06-25 | 2023-11-10 | 亿咖通(湖北)技术有限公司 | 一种虚拟化管理下的信息获取方法、装置、设备及介质 |
Non-Patent Citations (3)
| Title |
|---|
| AYOUB 等: "A Flexible Ultralight Hardware Security Module for EPC RFID Tags", ELECTRICAL AND COMPUTER ENGINEERING THESES, 1 October 2021 (2021-10-01) * |
| 付楠;余荣威;王丽娜;刘维杰;鞠瑞;宋衍;: "虚拟化架构下管理域安全增强方法", 武汉大学学报(理学版), no. 03, 9 May 2016 (2016-05-09) * |
| 伍惠宇;李宇翔;郭铁涛;张博;黄超;: "Android系统与iOS系统安全现状与趋势研究", 保密科学技术, no. 03, 20 March 2020 (2020-03-20) * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN117744117B (zh) | 2024-07-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN107743133B (zh) | 移动终端及其基于可信安全环境的访问控制方法和系统 | |
| US20190182052A1 (en) | Techniques to secure computation data in a computing environment | |
| US20190052469A1 (en) | Flexible provisioning of attestation keys in secure enclaves | |
| CN109154972B (zh) | 使用基于硬件的安全隔离区域来防止电子设备上的盗版和作弊 | |
| US20200104528A1 (en) | Data processing method, device and system | |
| US9948616B2 (en) | Apparatus and method for providing security service based on virtualization | |
| US9769654B2 (en) | Method of implementing a right over a content | |
| CN111931154B (zh) | 基于数字凭证的业务处理方法、装置及设备 | |
| CN109450620B (zh) | 一种移动终端中共享安全应用的方法及移动终端 | |
| US7636441B2 (en) | Method for secure key exchange | |
| KR20150092890A (ko) | 가상화 기반 보안 강화 장치 및 그 방법 | |
| KR20150045790A (ko) | 신뢰 보안 플랫폼 모듈을 이용한 보안 애플리케이션 인증 및 관리 방법 및 장치 | |
| CN104246784A (zh) | 用于保护和安全地传输媒体内容的方法、设备和系统 | |
| WO2023019964A1 (zh) | 一种数据安全处理方法和装置 | |
| US11520859B2 (en) | Display of protected content using trusted execution environment | |
| US11288381B2 (en) | Calculation device, calculation method, calculation program and calculation system | |
| CN107026730B (zh) | 数据处理方法、装置及系统 | |
| CN115706981A (zh) | 一种密钥协商方法及电子设备 | |
| CN110457959B (zh) | 一种基于Trust应用的信息传输方法及装置 | |
| CN113496016A (zh) | 一种内存的访问方法、系统级芯片和电子设备 | |
| CN117744117B (zh) | 权限设置方法、装置、电子设备及计算机可读存储介质 | |
| CN103873245A (zh) | 虚拟机系统数据加密方法及设备 | |
| CN116094793A (zh) | 基于数据证书建立运营中心与安全设备连接的方法及系统 | |
| CN111046440B (zh) | 一种安全区域内容的篡改验证方法及系统 | |
| CN112380548A (zh) | 一种数据存储的方法、系统、设备及可读存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |