CN204242180U - 一种基于安全触控屏控制芯片的安全密码输入系统 - Google Patents

Abstract

一种基于安全触控屏控制芯片的安全密码输入系统，包括触摸屏、显示屏、安全触摸屏控制芯片、系统处理器；所述安全触摸屏控制芯片包括中央处理器，所述中央处理器上连接有FLASH存储器、SRAM存储器、显示控制模块、触摸屏驱动模块、随机数模块、用对称算法模块、串行接口。本实用新型通过安全触摸屏控制芯片将密码输入界面图像加密并发送给显示屏显示和将触摸屏生成触摸信息加密保存，在系统处理器发出读取密码命令时自动将密码解密发送，密码输入界面图像的加密解密操作均在安全触摸屏控制芯片内实现，系统处理器无法获取密码键盘的加密方法，因此系统木马程序即使截获了密码输入界面图像，依然无法通过图像识别进行分析。

Description

一种基于安全触控屏控制芯片的安全密码输入系统

技术领域

本实用新型涉及一种基于安全触控屏控制芯片的安全密码输入系统。

背景技术

随着智能手机、平板电脑的兴起，触摸屏以其易于使用、坚固耐用、反应速度快、节省空间等优点，使得触摸屏完全可以替代电子键盘和鼠标，成为智能终端必不可少的输入输出设备。触摸屏由触摸检测部件和触摸屏控制器组成：触摸检测部件安装在显示屏幕前面，用于检测用户触摸位置，然后送入触摸屏控制器；触摸屏控制器则是接收触摸信息，并将该信息转换成触点坐标。在带有触摸屏的系统中，系统控制器接收触摸屏控制器发送过来的触点坐标，并将该坐标信息转化为真实的触摸信息使用。

移动物联网的发展，使得基于移动终端设备的电子交易和电子支付业务发展迅猛。该业务模式有一个特点就是：支付信息的显示和确认都是通过触摸屏实现。因此，基于触摸屏的电子交易和电子支付对触摸屏的密码键盘显示和密码键盘输入的安全性提出了极高的要求。申请号为200510025823.0发明申请公布了一种基于触摸屏的防泄密输入方法，该方法是采用在触摸屏上随机改变按键的大小、形状和键盘样式，使得字符信息与按键位置具有随机性。该方法中对按键大小、形状和键盘样式的随机化通过系统控制器实现，而系统控制器是木马程序的载体，因此该随机化操作易受到木马程序监视，变得透明。

基于上述专利漏洞，WO 2000057262 A的专利申请和公开号为CN 101813992 A的专利申请提出了一种触摸屏及其密码输入方法，该方法中引入了加密模块，该加密模块用于加密从触摸屏控制器获取的位置坐标信息，然后将经过加密的用户触摸信息传送给系统控制器。针对该方法，公开号为CN 103824033 A的专利申请指出了两个安全漏洞：第一，该加密坐标值在程序内要还原成原始坐标值并翻译成按键值和密码明文，这会导致在内存中出现密码明文，该明文是可以被获得系统最高权限的恶意程序获取的；第二，如果应用程序根据该坐标值重新绘制屏幕以向用户提供操作反馈，比如高亮显示用户点击的虚拟按键，则获取系统最高权限的恶意程序可以通过截取屏幕图像和图像识别技术获得用户按下的密码键值。于是该专利引入了微控制器，该微控制器有两个作用：一是将用户通过触摸屏输入按键的坐标信息转换为真实密码，然后将真实密码加密后发送给系统；二是控制在屏显示模块生成密码输入界面图像。实际上，不管发送到系统的是触摸屏输入按键的加密坐标信息（WO 2000057262 A和CN 101813992 A），还是加密的密码信息（CN 103824033 A），在系统处理器内部都需要解密翻译为密码明文，系统处理器内存中都会保存密码明文，对具有最高权限的恶意程序来说都是存在漏洞的。通过微控制器来控制在屏显示模块生成和回显密码输入界面图像的方法，依然没办法解决具有最高权限的恶意程序通过图像识别技术获取密码键值。

于是申请号为201410122532.2专利申请引入了专用国密SM1加密芯片，将该芯片作为一个微处理器，触摸信息从触摸芯片到主控MCU都加密，解决了通路安全性，但是加密信息最终解密后依然存放在主控MCU的内存，存在安全隐患。

作为一个密码输入输出系统，密码生成的每个环节都需要在抗攻击方面具备安全防护能力。专利WO 2000057262 A、CN 101813992 A、CN 103824033 A和201410122532.2对触摸屏显示的键盘信息都没有提出改进方法，攻击者容易通过图像识别技术分析出密码键值。专利200510025823.0采用的随机变化键盘大小、形状和样式的方式提高抗攻击能力，对防密码输入被偷窥有一定作用，但是木马程序容易通过系统处理器截获密码输入界面图像进行分析。另外专利CN 103824033 A和201410122532.2引入了微控制器，微控制器与触摸芯片和系统控制器相连，对触摸芯片和系统控制器提出接口要求。

发明内容

本实用新型提供了一种简化了系统集成、恶意程序无法通过截获系统控制器来进行图像识别、使用安全的基于安全触控屏控制芯片的安全密码输入系统。

本实用新型采用的技术方案是：

一种基于安全触控屏控制芯片的安全密码输入系统，其特征在于：包括

触摸屏，用于感应用户触摸信息，并将该信息转化为包含位置信息的电信号；

显示屏，用于接收视频信号并转化为图像显示；

安全触摸屏控制芯片，用于将接收到的系统处理器发送的密码输入界面图像加密并发送给显示屏显示和将触摸屏生成的包含位置信息的电信号转化为真实密码并加密保存，在系统处理器发出读取密码命令时自动将密码解密发送；

系统处理器，用于控制显示屏正常显示和向安全触摸屏控制芯片发送指令任务；

所述安全触摸屏控制芯片包括中央处理器，所述中央处理器上连接有用于存放程序代码和加解密相关数据的FLASH存储器、作为该芯片的内存空间的SRAM存储器、用于控制密码输入界面显示的显示控制模块、用于获取触摸屏信息的触摸屏驱动模块、用于产生真随机数供对称算法模块做加密使用的随机数模块、用于接收中央处理器的加解密指令执行对称算法加解密的对称算法模块、用于与系统处理器的连接进行通讯的串行接口。本实用新型在该系统中引入安全触摸屏控制芯片，其是触摸芯片和微控制器的合体，在该系统中作为系统处理器的协处理器，该方式简化了引用级系统集成，与现有触摸屏密码输入系统相比不增加系统集成的复杂度，但是具备了安全密码输入功能。在安全密码输入模式下，其通过随机数模块对密码输入界面图像进行加密，通过显示控制模块控制密码输入界面图像在显示屏上显示；同时其通过触摸屏驱动模块获取触摸屏上的按键信息并转化为电信号，然后由对称算法模块进行加密成为密码密文，该密文保存在FLASH存储器内，系统处理器需要读取时，密码密文由对称算法模块解密后即可读取。本实用新型中密码输入界面图像的加密解密操作均在安全触摸屏控制芯片内实现，系统处理器无法获取密码键盘的加密方法，因此系统木马程序即使截获了密码输入界面图像，依然无法通过图像识别进行分析。本实用新型中的对称算法包括但不限于DES/3DES、AES和国密算法SM1。

进一步，所述中央处理器内设置有用于对各存储器进行保护并对FLASH存储器进行分区并对控制其访问权限的存储器保护单元。芯片内的FLASH存储器具有严格的存储器保护机制，系统处理器对其访问是具有严格的访问权限的，系统木马程序访问该内存是被禁止的，只有经过安全认证的程序才能从安全触摸屏控制芯片申请到访问权限。由此木马或攻击者无法安全触摸屏控制芯片中获取加密后的密码信息，而且该密码为加密密码，即使获取也难以破解。

进一步，所述中央处理器内还设置有控制芯片功耗的功耗管理单元。功耗管理单元控制芯片功耗，使得该安全触摸屏控制芯片在使用时不会明显增加移动智能终端的功耗。

进一步，所述中央处理器上还连接有作为芯片启动代码存放区的ROM。

上述系统的安全密码输入方法，其步骤如下：

（1）    在一次电子交易或电子支付中，系统处理器向安全触摸屏控制芯片发出密码输入模式请求，并告知安全触摸屏控制芯片当次密码是否需要启动安全密码输入模式；

（2）    安全触摸屏控制芯片接收系统处理器的密码输入模式请求和密码输入界面图像，依据接收到的密码输入模式不同，分别执行不同的操作；如果系统处理器需要启动安全密码输入模式，则执行步骤（3）、（5）、（6）；如果系统处理器没有安全密码输入要求，则执行步骤（4）、（5）、（7）；

（3）    安全触摸屏控制芯片将密码输入界面图像加密，打乱按键键值与按键坐标信息的对应关系，并将加密的密码输入界面显示在显示屏上；

（4）    安全触摸屏控制芯片直接将密码输入界面图像显示在显示屏上；

（5）    用户通过在触摸屏上触摸密码输入界面图像上显示的按键输入个人密码，安全触摸屏控制芯片接收触摸按键信息并判断密码输入是否完成；

（6）    用户密码输入完成后，安全触摸屏控制芯片将触摸信息转化为加密密码并保存在FLASH存储器中，系统处理器要获取该密码时必须先向存储器保护单元请求对存放该密码的存储区的读取权限，然后向安全触摸屏控制芯片发送解密指令，安全触摸屏控制芯片将存储在FLASH存储器中的密码密文进行解密，然后系统处理器向安全触摸屏控制芯片发送读密码指令，接收真实的用户密码；

（7）    用户密码输入完成后，安全触摸屏控制芯片直接将触摸信息转化为坐标，然后转化为密码，发送给系统处理器。

进一步，执行步骤（6）过程中安全触摸屏控制芯片的内存作为系统处理器的内存，防止获取系统最高权限的恶意程序截获密码。

本实用新型的有益效果：

1. 引入专用安全触摸屏控制芯片对密码输入图像界面进行加密显示、对按键信息进行加密、对按键信息的传输设置权限管理。

2. 安全触摸屏控制芯片将触摸屏控制芯片和安全芯片合二为一，方便系统集成。

3. 安全密码输入模式下，安全触摸屏控制芯片通过显示屏控制模块将系统处理器发出的密码输入界面图像进行加密，防止被偷窥且能防止具有最高权限的恶意程序通过图像识别技术获取密码键值。同时安全触摸屏控制芯片将触摸信息翻译为坐标信息，并转化为密码密文保存在FLASH存储器中，密码密文的解密操作由安全触摸屏控制芯片完成，密码明文存放在安全触摸屏控制芯片的内存中，系统处理器内存中没有明文信息。而且加密动作由安全触摸屏控制芯片调用加解密模块实现，加密等级高，极难被攻击和分析。

4. 安全触摸屏控制芯片设置有严格的MPU机制，系统处理器对FLASH的访问设置了严格的访问权限，系统处理器要获取密码明文需要先向安全触摸屏控制器申请权限，获取权限后发送解密指令、读取指令，从安全触摸屏控制芯片中读取密码明文。恶意程序无法从安全触摸屏控制芯片中申请到权限，恶意程序无法从安全触摸屏控制芯片中截获到加密后的密码信息。

5.安全触摸屏控制芯片内置电源管理单元，对芯片功耗实施控制，实现功耗控制和低功耗管理，使得执行安全密码输入流程中没有明显的功耗消耗。

附图说明

图1是本实用新型的结构示意图。

图2是本实用新型的安全触摸屏控制芯片的结构示意图。

图3是本实用新型安全密码输入方法的流程图。

具体实施方式

下面结合具体实施例来对本实用新型进行进一步说明，但并不将本实用新型局限于这些具体实施方式。本领域技术人员应该认识到，本实用新型涵盖了权利要求书范围内所可能包括的所有备选方案、改进方案和等效方案。

参照图1-2，一种基于安全触控屏控制芯片的安全密码输入系统，包括：

触摸屏1，用于感应用户触摸信息，并将该信息转化为包含位置信息的电信号；

显示屏2，用于接收视频信号并转化为图像显示；

安全触摸屏控制芯片3，用于将接收到的系统处理器4发送的密码输入界面图像加密并发送给显示屏2显示和将触摸屏1生成的包含位置信息的电信号转化为真实密码并加密保存，在系统处理器4发出读取密码命令时自动将密码解密发送；

系统处理器4，用于控制显示屏2正常显示和向安全触摸屏控制芯片3发送指令任务；

所述安全触摸屏控制芯片3包括中央处理器31，所述中央处理器31上连接有用于存放程序代码和加解密相关数据的FLASH存储器32、作为该芯片的内存空间的SRAM存储器33、作为芯片启动代码存放区的ROM34、用于控制密码输入界面显示的显示控制模块35、用于获取触摸屏信息的触摸屏驱动模块36、用于产生真随机数供对称算法模块38做加密使用的随机数模块37、用于接收中央处理器31的加解密指令执行对称算法加解密的对称算法模块38、用于与系统处理器4的连接进行通讯的串行接口39。本实用新型在该系统中引入安全触摸屏控制芯片3，其是触摸芯片和微控制器的合体，在该系统中作为系统处理器4的协处理器，该方式简化了引用级系统集成，与现有触摸屏密码输入系统相比不增加系统集成的复杂度，但是具备了安全密码输入功能。在安全密码输入模式下，其通过随机数模块37对密码输入界面图像进行加密，通过显示控制模块35控制密码输入界面图像在显示屏2上显示；同时其通过触摸屏驱动模块36获取触摸屏1上的按键信息并转化为电信号，然后由对称算法模块38进行加密成为密码密文，该密文保存在FLASH存储器32内，系统处理器4需要读取时，密码密文由对称算法模块38解密后即可读取。本实用新型中密码输入界面图像的加密解密操作均在安全触摸屏控制芯片3内实现，系统处理器4无法获取密码键盘的加密方法，因此系统木马程序即使截获了密码输入界面图像，依然无法通过图像识别进行分析。本实用新型中的对称算法包括但不限于DES/3DES、AES和国密算法SM1。

本实用新型所述中央处理器31内设置有用于对各存储器进行保护并对FLASH存储器32进行分区并对控制其访问权限的存储器保护单元。芯片内的FLASH存储器32具有严格的存储器保护机制，系统处理器4对其访问是具有严格的访问权限的，系统木马程序访问该内存是被禁止的，只有经过安全认证的程序才能从安全触摸屏控制芯片3申请到访问权限。由此木马或攻击者无法安全触摸屏控制芯片3中获取加密后的密码信息，而且该密码为加密密码，即使获取也难以破解。

本实用新型所述中央处理器31内还设置有控制芯片功耗的功耗管理单元。功耗管理单元控制芯片功耗，使得该安全触摸屏控制芯片3在使用时不会明显增加移动智能终端的功耗。

参见图3，本实用新型所述系统的安全密码输入方法，其步骤如下：

（1）    在一次电子交易或电子支付中，系统处理,4向安全触摸屏控制芯片3发出密码输入模式请求，并告知安全触摸屏控制芯片3当次密码是否需要启动安全密码输入模式；

（2）    安全触摸屏控制芯片3接收系统处理器4的密码输入模式请求和密码输入界面图像，依据接收到的密码输入模式不同，分别执行不同的操作；如果系统处理器4需要启动安全密码输入模式，则执行步骤（3）、（5）、（6）；如果系统处理器4没有安全密码输入要求，则执行步骤（4）、（5）、（7）；

（3）    安全触摸屏控制芯片3将密码输入界面图像加密，打乱按键键值与按键坐标信息的对应关系，并将加密的密码输入界面显示在显示屏2上；

（4）    安全触摸屏控制芯片3直接将密码输入界面图像显示在显示屏2上；

（5）    用户通过在触摸屏1上触摸密码输入界面图像上显示的按键输入个人密码，安全触摸屏控制芯片3接收触摸按键信息并判断密码输入是否完成；

（6）    用户密码输入完成后，安全触摸屏控制芯片3将触摸信息转化为加密密码并保存在FLASH存储器32，系统处理器4要获取该密码时必须先向存储器保护单元请求对存放该密码的存储区的读取权限，然后向安全触摸屏控制芯片3发送解密指令，安全触摸屏控制芯片3将存储在FLASH存储器32中的密码密文进行解密，然后系统处理器4向安全触摸屏控制芯片3发送读密码指令，接收真实的用户密码；

（7）    用户密码输入完成后，安全触摸屏控制芯片3直接将触摸信息转化为坐标，然后转化为密码，发送给系统处理器4。

本实用新型在执行步骤（6）过程中安全触摸屏控制芯片3的内存作为系统处理器4的内存，防止获取系统最高权限的恶意程序截获密码。

本实用新型安全触摸屏控制芯片3的存储器访问控制功能基于安全的存储器访问控制策略实现，该访问控制策略核心是分区和权限控制，以下将对存储器访问控制策略进行具体描述。

FLASH存储器32的空间被分为若干个不同权限的区域，这些区域为程序区、数据区、只执行程序区、配置参数区和OTP区，这些分区中，只有程序区和数据区的大小可以改变，通过寄存器来设置，且必须页对齐，其它区域大小固定。只执行程序区默认不存在，只有配置只执行程序区配置域的值不为0xFFFFFFFF时才有效。

存储器各区域的功能描述如下：

ROM区：Bootloader代码存放处，该区域具有其它区域代码不能读取的权限，以保证Bootloader代码的安全。

程序区：存放用户嵌入式程序（如COS）的区域，该区域可读，可编程，可擦除，可运行。

数据区：存放用户数据的区域，该区域不能运行。

只执行程序区：存放密码算法程序区域，该区域具有除该区域外的代码不能读的权限，该区域不能编程和擦除（不允许修改），所以数据必须在配置该区域有效前写入，默认无该区域。

配置参数区：存放与Bootloader引导相关的参数，如编程标志、程序入口、密钥种子、通讯口令等等，该区域只允许ROM中的程序进行读操作。

OTP区：存放出厂初始化数据和特殊功能控制的区域。OTP区又被分为若干个不同权限的区域，这些区域为序列号域、出厂校准域、用户域、测试锁止域、只执行程序区配置域和调试锁止域；

序列号域：存放芯片的唯一序列号，只读权限；

出厂校准域：存放某些出厂校准参数，只读权限；

用户域：存放用户一次性数据，该区域值运行编程（将“1”修改成“0”）和读，不允许擦除；

测试锁止域：用于关闭测试模式，使芯片永久无法进入测试模式，该区域写入值0x20121023时，芯片上电后无法进入测试模式，并且该区域不允许再被修改；

只执行程序区配置域：配置只执行程序区有效，该区域写入一个非0xFFFFFFFF时，只执行程序区有效，且该区域不允许再被修改；

调试锁止域：用于关闭调试功能，使用户无法通过调试接口获取芯片内部信息。该区域写入一个非0xFFFFFFFF时，芯片调试功能关闭，并且该区域不允许再被修改。

SRAM区：存放用于运行数据区域，该区域可以通过向寄存器SRAM_EXT_INHIBIT写入值0x45239876来禁止SRAM区域的程序运行功能。

上述存储器区域除程序区和数据区大小可以配置外，其它区域位置和大小固定，不可变更。

这些区域对于运行在不同区域的程序和调试接口具有不同的访问权限，如表1。其中

R：读，是指以数据方式进行读取操作，如memcpy操作的源地址；

W：写，是指以数据方式进行写入操作，如memcpy操作的目的地址；

P：编程，特指Flash存储介质的数据写入操作；

E：擦除，特指Flash存储介质的擦除操作，使所有bit位的值恢复为1；

J：跳转/运行，是指运行从一个分区跳转到该分区运行，或在该分区内运行。

 表1

对于芯片的调试接口，仅具有数据访问功能，不具备跳转和执行功能，调试接口用于提供嵌入式软件开发人员在嵌入式软件（COS）开发时使用，一旦软件开发完成，可以通过设置调试锁止域关闭调试接口，使攻击者无法通过调试接口获取TOE内部存储器的信息。

对于Flash存储器32中允许进行编程或擦除操作的区域，芯片提供了写保护控制功能，写保护功能通过2级使能来控制：页级和分区级。页级写保护控制通过写使能寄存器WREN来实现，向该寄存器写入需要操作的页地址，并使能写使能位，该级写使能有效。分区级写保护控制通过向校验寄存器CHECK写入正确的校验码，该级写使能才有效。这2级写使能同时有效时，才能修改指定Flash地址中的数据。

不同Flash区域具有不同的校验码，如表2。

表2

SRAM存储器33有三种保护措施：1.地址扰乱，2.完整性校验，3.自毁。

SRAM存储器33的地址扰乱采用与SRAM地址加密密钥异或的方式实现，SRAM地址加密密钥允许软件修改，密钥位数为8位，具有不可读权限。芯片固件在启动过程的系统初始化函数SystemInit中获取真随机数，写入SRAM地址加密密钥寄存器中，这样使得SRAM地址扰乱具有随机性，增强数据在SRAM中存储的安全性。

SRAM存储器33数据保存程序运行时的临时数据，其完整性由芯片自动完成。SRAM数据完整性自检方式采用运行自检，即每次写入数据时保存写入数据的校验位，每次从对应地址取出数据时，对数据进行校验。校验方法是每8位数据产生1位奇偶校验位，与保存的正确校验位进行比较，一旦比较结果不一致，则自动复位芯片，并使其保持复位状态直到重新上电。

SRAM存储器33通过掉电实现自毁，设计模拟POWER GATE电路，当物理探测器（如高低温检测、高低压检测、光检测、有源屏蔽检测、频率检测、电磁检测、MPU异常访问等）检测到有异常发生发生，则启动SRAM自毁，将POWER GATE失效，关闭到SRAM的供电，将SRAM内容清零。

Claims (4)

1. 一种基于安全触控屏控制芯片的安全密码输入系统，其特征在于：包括

触摸屏，用于感应用户触摸信息，并将该信息转化为包含位置信息的电信号；

显示屏，用于接收视频信号并转化为图像显示；

安全触摸屏控制芯片，用于将接收到的系统处理器发送的密码输入界面图像加密并发送给显示屏显示和将触摸屏生成的包含位置信息的电信号转化为真实密码并加密保存，在系统处理器发出读取密码命令时自动将密码解密发送；

系统处理器，用于控制显示屏正常显示和向安全触摸屏控制芯片发送指令任务；

所述安全触摸屏控制芯片包括中央处理器，所述中央处理器上连接有用于存放程序代码和加解密相关数据的FLASH存储器、作为该芯片的内存空间的SRAM存储器、用于控制密码输入界面显示的显示控制模块、用于获取触摸屏信息的触摸屏驱动模块、用于产生真随机数供对称算法模块做加密使用的随机数模块、用于接收中央处理器的加解密指令执行对称算法加解密的对称算法模块、用于与系统处理器的连接进行通讯的串行接口。

2. 根据权利要求1所述的一种基于安全触控屏控制芯片的安全密码输入系统，其特征在于：所述中央处理器内设置有用于对各存储器进行保护并对FLASH存储器进行分区并对控制其访问权限的存储器保护单元。

3. 根据权利要求1或2所述的一种基于安全触控屏控制芯片的安全密码输入系统，其特征在于：所述中央处理器内还设置有控制芯片功耗的功耗管理单元。

4. 根据权利要求3所述的一种基于安全触控屏控制芯片的安全密码输入系统，其特征在于：所述中央处理器上还连接有作为芯片启动代码存放区的ROM。