KR20140016137A - Method and apparatus for providing concealed software execution environment based on virtualization - Google Patents
Method and apparatus for providing concealed software execution environment based on virtualization Download PDFInfo
- Publication number
- KR20140016137A KR20140016137A KR1020130016963A KR20130016963A KR20140016137A KR 20140016137 A KR20140016137 A KR 20140016137A KR 1020130016963 A KR1020130016963 A KR 1020130016963A KR 20130016963 A KR20130016963 A KR 20130016963A KR 20140016137 A KR20140016137 A KR 20140016137A
- Authority
- KR
- South Korea
- Prior art keywords
- unit
- security
- security service
- hidden
- operating environment
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims abstract description 33
- 230000008901 benefit Effects 0.000 claims description 13
- 230000005540 biological transmission Effects 0.000 abstract description 2
- 238000002955 isolation Methods 0.000 abstract 1
- 238000007726 management method Methods 0.000 description 10
- 230000006870 function Effects 0.000 description 9
- 238000005516 engineering process Methods 0.000 description 7
- 238000010586 diagram Methods 0.000 description 4
- 238000000926 separation method Methods 0.000 description 3
- 238000001514 detection method Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
- G06F21/12—Protecting executable software
Landscapes
- Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Multimedia (AREA)
- Technology Law (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Storage Device Security (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
Description
본 발명은 모바일 단말 환경에서 보안에 관한 것으로, 특히 보안 요소(Secure Element)를 지원하는 은닉형 소프트웨어(concealed software) 실행 환경 제공에 있어서, 가상화 기반의 도메인(domain) 분리 기술을 이용하여 외부로 노출되지 않고 폐쇄적으로 실행되는 도메인을 구성하고, 보안 요소에서 제공되는 키 정보(key information) 등의 보안 정보를 은닉된 도메인의 내부에서만 실행시킴으로써, 보안 요소에서 제공하는 중요한 보안 정보가 실제 응용에서 사용될 때 불법적인 접근으로부터 보호될 수 있도록 하는 가상화 기반 은닉형 소프트웨어 실행 환경 제공 방법 및 장치에 관한 것이다.
The present invention relates to security in a mobile terminal environment, and in particular, to provide concealed software execution environment supporting a secure element, and is exposed to the outside using a virtualization-based domain separation technology. By constructing a domain that is closed and executed in a closed manner, and by executing security information such as key information provided by the secure element only within the hidden domain, when the sensitive security information provided by the secure element is used in an actual application. A method and apparatus for providing a virtualization-based concealed software execution environment that can be protected from illegal access.
일반적으로, 종래의 모바일 단말 보호 기술은 전용 하드웨어를 탑재한 방식과 악성코드 탐지 등 소프트웨어를 이용한 방식으로 분류된다. 특히 하드웨어를 이용한 방식은 암호 알고리즘 및 키 정보 등의 중요한 보안 정보를 별도의 폐쇄된 물리적 장치인 보안 요소(Secure Elment) 내부에서 관리하여 안전성은 높지만 물리적 장치의 자원 한계로 아주 제한적인 형태로만 적용되고 있다. 뿐만 아니라, 보안 요소 내부의 데이터가 단말에서 이용되는 경우 악성코드 및 해킹 등에 의한 위협에 그대로 노출되어 불법적인 정보 유출이 가능하다.In general, conventional mobile terminal protection technologies are classified into a method using dedicated hardware and a method using software such as malware detection. In particular, the hardware-based method manages important security information, such as cryptographic algorithms and key information, inside a secure element (Secure Elment), which is a separate, closed physical device. have. In addition, when the data inside the security element is used in the terminal, it is exposed to threats caused by malware and hacking, and illegal information leakage is possible.
또한, 보안 요소에서 제공하는 암호 키 등의 보안 정보는 보안 요소 내부에서는 안전하게 보호되지만 단말의 응용에서 사용하는 경우 애플리케이션 프로세서 및 메모리에 그대로 노출되는 문제점을 갖고 있다. 특히 개방형 운영 환경으로 이루어진 최근의 모바일 단말 구조에 따라 악성 코드 및 해킹의 위협에 노출되어 있고, 이로 인해 보안 요소에서 제공된 민감 정보도 함께 유출될 수 있는 취약성을 보이고 있다. In addition, security information such as an encryption key provided by the secure element is secured inside the secure element, but when used in the application of the terminal has a problem that is exposed to the application processor and memory as it is. In particular, according to the recent mobile terminal structure composed of an open operating environment, it is exposed to threats of malicious code and hacking, and as a result, the sensitive information provided by the security element may also be leaked.
이를 위해 기존의 모바일 단말에서 중요한 정보를 보호하기 위해서 단말의 애플리케이션 프로세서와 별도로 구분된 보안 요소(Secure Element)를 사용한다. 하지만 보안 요소로 보호된 정보라도 단말의 응용 프로그램이 해당 정보를 이용할 때에는 해당 정보가 단말의 애플리케이션 프로세서 및 단말의 메모리에 상주되는 문제점을 갖게 된다.To this end, in order to protect important information in the existing mobile terminal, a separate secure element is used. However, even if the information is protected by a secure element, when the application program of the terminal uses the information, the information resides in the application processor of the terminal and the memory of the terminal.
따라서 모바일 오피스 또는 금융 서비스에서 반드시 요구되는 주요 데이터의 보안성 및 안전성을 제공하기 위한 방법이 절실히 요구되고 있다.
Therefore, there is an urgent need for a method for providing security and safety of essential data required for a mobile office or financial service.
따라서 본 발명은 개방형 운영환경에서 보안 요소를 직접 접근하는 현재의 단말 환경에서 나타나는 문제점을 해결하기 위하여, 보안 요소 내부에서 보호되는 중요한 보안 정보에 대해 단말의 실행환경으로 사용될 때에도 은닉된 별도의 실행 환경을 제공함으로써, 보안 정보 및 연산이 안전하게 보호되는 방법을 제공하고자 한다.Therefore, in order to solve the problem in the current terminal environment which directly accesses the security element in the open operating environment, a separate execution environment is concealed even when used as an execution environment of the terminal for important security information protected inside the security element. By providing a, it is intended to provide a method in which security information and operations are secured.
또한, 보안 요소에서 제공하는 보안성을 기반으로 주요 보안 연산 및 서비스를 높은 성능을 갖는 애플리케이션 프로세서로 구현할 수 있는 방법 및 장치를 제공하고자 한다.In addition, based on the security provided by the security element, it is intended to provide a method and apparatus that can implement the main security operations and services as a high performance application processor.
또한, 본 발명은 보안 요소(Secure Element)를 지원하는 은닉형 소프트웨어 실행 환경 제공에 있어서, 가상화 기반의 도메인 분리 기술을 이용하여 외부로 노출되지 않고 폐쇄적으로 실행되는 도메인을 구성하고, 보안 요소에서 제공되는 키 정보 등의 보안 정보를 은닉된 도메인의 내부에서만 실행시킴으로써, 보안 요소에서 제공하는 중요한 보안 정보가 실제 응용에서 사용될 때 불법적인 접근으로부터 보호될 수 있도록 하는 가상화 기반 은닉형 소프트웨어 실행 환경 제공 방법 및 장치를 제공하고자 한다.
In addition, the present invention provides a hidden software execution environment supporting a secure element, using a virtualization-based domain separation technology to configure a domain that is running closed without being exposed to the outside, provided by the secure element A method for providing a virtualization-based concealed software execution environment that executes security information such as key information only within a hidden domain, so that sensitive security information provided by a security element can be protected from illegal access when used in a real application. To provide a device.
상술한 본 발명은 가상화 기반 은익형 소프트웨어 실행 환경 제공장치로서, 모바일 단말기에서 일반 서비스를 처리하는 개방형 운영환경부로부터 보안 서비스 요청이 수신되는 경우, 상기 보안 서비스의 요청을 상기 모바일 단말기의 보안 정보를 저장하고 있는 보안요소부와 연동하여 처리하고 그 결과를 상기 개방형 운영부로 제공하는 은닉형 운영환경부와, 상기 보안 서비스의 실행에 필요한 보안 정보를 저장하며, 상기 은닉형 운영부로부터 상기 보안 서비스 요청을 수신하는 경우 상기 보안 정보를 이용하여 상기 보안 서비스를 실행하고 그 결과를 상기 은닉형 운영환경부로 제공하는 상기 보안요소부를 포함한다.The present invention described above is an apparatus for providing a virtualization-based hidden benefit software execution environment, and when a security service request is received from an open operating environment that processes a general service in a mobile terminal, the security service request is stored in the security information of the mobile terminal. Storing the security information necessary for the execution of the security service and a hidden operating environment unit for processing the security element unit and providing the result to the open operating unit, and receiving the security service request from the hidden operating unit. And the security element unit for executing the security service using the security information and providing the result to the hidden operating environment unit.
또한, 상기 은닉형 운영환경부는, 상기 보안요소부와 세션을 설정하여 상기 보안 서비스 요청을 전송하고, 상기 보안부로부터 상기 보안 서비스의 실행에 따른 결과를 수신하여 상기 개방형 운영환경부로 제공하는 것을 특징으로 한다.The hidden operating environment unit may establish a session with the secure element unit to transmit the security service request, receive a result according to the execution of the security service from the security unit, and provide the open operating environment unit to the open operating environment unit. do.
또한, 상기 은닉형 운영환경부는, 상기 보안 서비스가 상기 보안 정보를 직접적으로 필요로 하지 않는 경우 상기 보안요소부와 연동하지 않고, 상기 보안 서비스를 처리하여 결과를 제공하는 것을 특징으로 한다.In addition, the hidden operating environment unit, if the security service does not need the security information directly, it is characterized in that it does not work with the security element unit, and provides a result by processing the security service.
또한, 상기 은닉형 운영환경부는, 상기 개방형 운영환경부와 가상화 기반으로 도메인이 분리되는 것을 특징으로 한다.In addition, the hidden operating environment unit, characterized in that the domain is separated on the basis of the open operating environment and the virtualization.
또한, 상기 은닉형 운영환경부는, 상기 개방형 운영환경부로부터 상기 보안 서비스 요청을 수신하는 보안 서비스 요청 관리부와, 상기 보안 서비스를 실행시키는 보안 서비스 실행부와, 상기 보안 서비스가 상기 보안부에서 저장하고 있는 보안 정보를 필요로 하는 경우 상기 보안부와 세션을 설정하는 세션 관리부와, 상기 세션의 설정을 위해 상기 보안요소부를 탐색하는 보안 요소 관리부와, 상기 세션 설정된 상기 보안 요소부로 상기 보안 서비스 요청을 전달하는 명령어 전달부를 포함하는 것을 특징으로 한다.The hidden operating environment unit may further include a security service request management unit that receives the security service request from the open operating environment unit, a security service execution unit that executes the security service, and a security stored in the security unit. A session manager configured to establish a session with the security unit, a secure element manager searching for the secure element unit for setting up the session, and a command transfer for transmitting the security service request to the session-configured secure element unit when information is required It is characterized by including a wealth.
또한, 상기 개방형 운영환경부는, 상기 모바일 단말기에서 실행되는 애플리케이션을 관리하는 응용 프로그램부와, 상기 보안 서비스 요청을 상기 은닉형 운영환경부로 전송하는 보안 서비스 요청부를 포함하는 것을 특징으로 한다.The open operating environment unit may include an application program unit for managing an application executed in the mobile terminal, and a security service request unit for transmitting the security service request to the hidden operating environment unit.
또한, 상기 보안요소부는, 상기 은닉형 운영환경부로부터 요청되는 상기 보안 서비스 요청을 수신하는 명령어 처리부와, 상기 보안 서비스 요청에 따라 보안 정보를 이용하여 상기 보안 서비스를 수행하는 보안요소 실행부를 포함하는 것을 특징으로 한다.The secure element unit may include a command processor that receives the security service request requested from the hidden operating environment unit, and a security element execution unit that performs the security service using security information according to the security service request. It features.
또한, 본 발명은 가상화 기반 은익형 소프트웨어 실행 환경 제공방법으로서, 모바일 단말기의 개방형 운영환경부와 도메인 분리된 은닉형 운영환경부에서 상기 개방형 운영환경부로부터 보안 서비스 요청을 수신하는 단계와, 상기 보안 서비스의 요청을 상기 모바일 단말기의 보안 정보를 저장하고 있는 보안부와 연동하여 처리하는 단계와, 상기 보안 서비스의 실행 결과를 상기 개방형 운영부로 제공하는 단계를 포함한다.The present invention also provides a virtualization-based hidden software execution environment providing method, the method comprising: receiving a security service request from the open operating environment unit in the hidden operating environment unit domain separated from the open operating environment unit of the mobile terminal, the security service request And interworking with a security unit that stores security information of the mobile terminal, and providing a result of executing the security service to the open operation unit.
또한, 상기 처리하는 단계는, 상기 은닉형 운영환경부에서 상기 보안 서비스 요청을 상기 보안요소부로 전송하는 단계와, 상기 보안요소부에서 상기 보안 정보를 이용하여 상기 보안 서비스가 실행되는 단계와, 상기 보안요소부로부터 상기 보안 서비스의 실행 결과를 수신하는 단계를 포함하는 것을 특징으로 한다.The processing may include: transmitting the security service request to the secure element unit in the hidden operating environment unit, executing the security service using the security information in the secure element unit, and the security. Receiving an execution result of the security service from an element unit.
또한, 상기 처리하는 단계는, 상기 보안 서비스가 상기 보안 정보를 직접적으로 필요로 하지 않는 경우, 상기 은닉형 운영부에서 상기 보안 서비스를 실행하여, 상기 보안 서비스의 실행 결과를 산출하는 것을 특징으로 한다.In the processing step, when the security service does not directly require the security information, the security management unit may execute the security service to calculate an execution result of the security service.
또한, 상기 은닉형 운영환경부는, 상기 개방형 운영환경부와 가상화 기반으로 도메인이 분리되는 것을 특징으로 한다.
In addition, the hidden operating environment unit, characterized in that the domain is separated on the basis of the open operating environment and the virtualization.
본 발명은 개방형 운영환경에서 보안 요소를 직접 접근하는 현재의 단말 환경에서 나타나는 문제점을 해결하기 위하여, 보안 요소 내부에서 보호되는 중요한 보안 정보에 대해 단말의 실행환경으로 사용될 때에도 은닉된 별도의 실행 환경을 제공함으로써, 보안 정보 및 연산이 안전하게 보호되는 이점이 있다.The present invention provides a separate execution environment concealed even when used as the execution environment of the terminal for the important security information protected inside the security element in order to solve the problems appearing in the current terminal environment to access the security element directly in the open operating environment. By providing the advantage that security information and operations are secured.
또한, 본 발명은 보안 요소가 갖는 제한된 컴퓨팅 환경으로 인한 한계를 가상화 기반의 은닉형 운영환경을 통해 성능 상의 제약 없이 다양한 보안 기능을 제공할 수 있는 이점이 있다.In addition, the present invention has the advantage that can provide a variety of security functions without a performance limitation through the virtualization-based hidden operating environment with limitations due to the limited computing environment of the security element.
또한, 본 발명은 모바일 단말 뿐만 아니라 방송 및 차량용 단말 플랫폼 분야에서 내부 데이터를 보호하고 단말의 안전성을 높이는데 이용될 수 있으며, 특히 모바일 단말 환경에서 소프트웨어 실행 및 데이터 보호를 위한 보안 분야에서 소프트웨어 공격을 차단하고 불법적인 공격으로부터 단말 플랫폼 환경을 안전하게 보호할 수 있는 이점이 있다.In addition, the present invention can be used to protect the internal data and increase the safety of the terminal in the field of broadcasting and vehicle terminal platform as well as the mobile terminal, in particular software attack in the security field for the software execution and data protection in the mobile terminal environment There is an advantage that can block and protect the terminal platform environment from illegal attacks.
도 1은 본 발명이 실시예에 따른 모바일 단말 하드웨어 구성 도면,
도 2는 본 발명의 보안 요소가 적용된 일반적인 모델을 도시하는 도면,
도 3은 본 발명의 은닉형 소프트웨어 실행 환경이 적용되는 모델을 도시하는 도면,
도 4는 본 발명의 은닉형 소프트웨어 실행 환경의 주요 구성 요소를 도시하는 도면,
도 5는 본 발명의 은닉형 소프트웨어 실행 환경이 실행되는 순서를 도시하는 도면.1 is a mobile terminal hardware configuration diagram according to an embodiment of the present invention;
2 shows a general model to which the security element of the invention is applied;
3 is a diagram showing a model to which the hidden software execution environment of the present invention is applied;
4 illustrates the main components of the hidden software execution environment of the present invention;
Fig. 5 is a diagram showing a sequence in which the hidden software execution environment of the present invention is executed.
이하, 첨부된 도면을 참조하여 본 발명의 동작 원리를 상세히 설명한다. 하기에서 본 발명을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.Hereinafter, with reference to the accompanying drawings will be described in detail the operating principle of the present invention. In the following description of the present invention, if it is determined that a detailed description of a known function or configuration may unnecessarily obscure the subject matter of the present invention, the detailed description thereof will be omitted. The following terms are defined in consideration of the functions of the present invention, and may be changed according to the intentions or customs of the user, the operator, and the like. Therefore, the definition should be based on the contents throughout this specification.
도 1은 본 발명의 실시예가 적용되는 모바일 단말의 구성을 도시한 것이다.1 illustrates a configuration of a mobile terminal to which an embodiment of the present invention is applied.
위 도 1에서 보여지는 바와 같이, 본 발명에서 제안하는 보안 요소(Secure Element)를 지원하는 은닉형 소프트웨어 실행 환경은, 애플리케이션 프로세서(200)와 메모리(300) 및 보안요소부(400)를 포함할 수 있다.As shown in FIG. 1, the hidden software execution environment supporting the secure element proposed by the present invention includes an
보안요소부(Secure Element)(400)의 기술로는 UICC(Univeral IC Card) 및 보안 마이크로 SD 카드 등이 있으며, 본 발명의 실시예에서는 보안 요소부(400)에 대한 특정 기술을 제한하지 않으며 모든 방법을 포함할 수 있다.The technologies of the
도 2는 일반적인 모바일 단말의 소프트웨어 구성을 도시한 것이다.2 illustrates a software configuration of a general mobile terminal.
위 도 2에서 보여지는 바와 같이, 애플리케이션 프로세서(200) 상에서 동작되는 소프트웨어는 개방형 운영 환경부(500)를 구성하며 가입자 인증 모듈과 같이 높은 보안성이 요구되는 정보는 별도의 하드웨어로 분리된 보안요소부(400)에서 운영한다. As shown in FIG. 2, the software operating on the
이러한 구성에서 데이터의 이동 구조를 살펴보면, 개방형 운영환경부(500)에서 수행중인 응용 프로그램이 보안요소부(400)로부터 직접 데이터를 요청하거나 전달 받는 구조를 갖는다. 따라서, 보안 위협으로부터 노출 가능성이 높은 개방형 운영환경부(500)가 보안요소부(400)에서 보호된 데이터를 직접 이용하게 되어 불법적인 데이터 유출이 가능하게 된다. 이때, 보안요소부(400)가 보호하는 데이터는 암호 키 또는 알고리즘과 같은 보안 정보로써 불법적인 외부 접근으로부터 보호되는 모든 정보를 포함할 수 있다. 특히, 이와 같은 보안 정보는 사용자 인증 정보 및 공개키 기반 알고리즘에서 사용하는 개인키 정보 등을 포함할 수 있다.Looking at the structure of the movement of data in this configuration, the application running in the
도 3은 본 발명의 실시예에 따른 모바일 단말의 구성을 도시한 것이다.3 illustrates a configuration of a mobile terminal according to an embodiment of the present invention.
위 도 3을 참조하면, 물리적인 애플리케이션 프로세서(200) 상에서 하이퍼바이저(hypervisor)(700)를 이용하여 개방형 운영환경부(500)와 은닉형 운영환경부(600)의 독립적인 두 개의 실행 영역으로 분리하고, 보안요소부(400)는 은닉형 운영환경부(600)에서만 정보 교환이 가능하도록 구성한다. Referring to FIG. 3 above, the
따라서 단말 응용 프로그램이 실행되는 개방형 운영환경부(500)는 은닉형 운영환경부(600)에서 제공하는 인터페이스를 통해서만 보안요소부(400)가 제공하는 보안 기능을 제공받을 수 있다.Therefore, the
도 4는 본 발명의 실시예에 따른 가상화 기반 은닉형 소프트웨어 실행 환경 제공장치를 구성하는 개방형 운영환경부(500), 은닉형 운영환경부(600), 그리고 보안요소부(400)의 내부 구성 요소를 도시한 것이다.4 is a diagram illustrating internal components of an
이하, 도 4를 참조하여, 따른 개방형 운영환경부(500), 은닉형 운영환경부(600), 그리고 보안요소부(400)의 내부 구성 요소를 상세히 살펴보기로 한다.Hereinafter, referring to FIG. 4, internal components of the
먼저, 개방형 운영환경부(500)는 응용 프로그램(510)과 응용 프로그램(510)에서 요청하는 보안 기능 및 서비스를 은닉형 운영환경부(600)로 전달하고 결과값을 수신하는 보안 서비스 요청부(520)를 포함할 수 있다. First, the
다음으로, 은닉형 운영환경부(600)는 개방형 운영환경부(500)으로부터 보안 기능 및 서비스 요청을 처리하는 보안 서비스 요청 관리부(610)와, 요청된 보안 서비스를 실제로 수행하는 보안 서비스 실행부(620)를 포함할 수 있다. 또한, 은닉형 운영환경부(600)는 요청된 보안 서비스가 보안 요소를 이용하는 경우 보안요소부(400)와 세션 설정을 지원하기 위해 보안요소부(400)를 탐색하고, 관리하는 보안요소 관리부(640), 보안요소부(400)와의 논리적인 채널을 관리하는 세션 관리부(630), 그리고 보안요소부(400)에 직접 명령어를 전달하는 명령어 전달부(650) 등을 포함할 수 있다.Next, the hidden
다음으로, 보안요소부(400)는 은닉형 운영환경부(600)로부터 보안 요소 내부 기능에 대한 요청을 수신하는 명령어 처리부(420)와 실제 보안 요소의 내부 기능을 실행하는 보안 요소 실행부(410) 등을 포함할 수 있다.Next, the
도 5는 본 발명의 실시예에 따른 보안 요소를 지원하는 가상화 기반의 은닉형 소프트웨어 실행 환경 제공 방법의 신호 처리 흐름을 도시한 것이다. 이하, 도 3, 도 4 및 도 5를 참조하여 본 발명의 실시예를 상세히 설명하기로 한다.5 illustrates a signal processing flow of a method for providing a virtualized based hidden software execution environment supporting a secure element according to an embodiment of the present invention. Hereinafter, embodiments of the present invention will be described in detail with reference to FIGS. 3, 4, and 5.
먼저, 모바일 단말의 개방형 운영환경부(500)의 응용 프로그램(510)은 보안 서비스 요청부(520)와의 인터페이스(interface)를 통해 보안 기능 및 서비스 요청을 시작한다(S50). 그러면, 보안 서비스 요청부(520)에서는 개방형 운형환경부(500)와 은닉형 운영환경부(600) 사이의 인터페이스를 통해 은닉형 운영환경부(600)의 보안 서비스 요청 관리부(610)로 해당 보안 서비스 요청을 전달한다(S52). First, the
위와 같이, 개방형 운영환경부(500)로부터 은닉형 운영환경부(600)로 보안 서비스 요청이 전달되는 경우, 이와 같은 보안 서비스 요청은 은닉형 운영환경부(600)의 보안 서비스 요청 관리부(610)를 통해 수신된다(S54). As described above, when a security service request is transmitted from the open
이때, 보안 서비스 요청 관리부(610)로 수신된 보안 서비스 요청은 내부 인터페이스를 통해 보안 서비스 실행부(620)로 제공된다.In this case, the security service request received by the security
그러면, 보안 서비스 실행부(620)는 보안 서비스 요청 관리부(610)로 제공된 보안 서비스 요청을 수신하고, 해당 보안 서비스가 보안요소부(400)에서 보호되고 있는 보안정보를 이용하는 보안 서비스인지를 검사한다(S56).Then, the security
이때, 해당 보안 서비스가 보안요소부(400)에서 보호되고 있는 보안정보를 이용 하지 않는 보안 서비스인 경우(S58), 보안 서비스 실행부(620)는 보안요소부(400)와 연동하지 않고 보안 서비스를 실행한 후(S60), 그 결과를 개방형 운영환경부(500)로 전송한다(S62). At this time, if the corresponding security service is a security service that does not use the security information protected in the security element unit 400 (S58), the security
그러나, 해당 보안 서비스가 보안요소부(400)에서 보호되고 있는 보안 정보를 이용하는 보안 서비스인 경우(S58), 보안 서비스 실행부(620)는 세션 관리부(630)와의 인터페이스를 통해 해당 보안 서비스를 실행하기 위한 보안요소부(400)와의 세션이 사전에 존재하는지 여부를 파악하여 세션을 설정한다(S64). However, when the corresponding security service is a security service using the security information protected by the security element unit 400 (S58), the security
이때, 해당 보안 서비스를 실행하기 위한 보안요소부(400)와의 세션이 사전에 존재하지 않는 경우, 세션 관리부(630)에서는 보안요소부(400)와 해당 보안 서비스의 실행을 위한 세션을 설정하게 된다. 이때, 보안요소부(400)와의 세션 설정을 위해서는 모바일 단말내 구비된 보안요소부(400)를 찾는 것이 필요한데, 보안요소 관리부(640)는 세션 관리부(630)로부터의 요청이 있는 경우 모바일 단말내 보안요소부(400)를 탐지하여 해당 정보를 세션 관리부(630)로 제공할 수 있다. At this time, if the session with the
위와 같이, 은닉형 운영환경부(600)와 보호요소부(400)간 세션이 설정되는 경우, 명령어 전달부(650)는 은닉형 운영환경부(600)와 보안요소부(400)와의 인터페이스를 이용해서 보안요소부(400)로 보안 서비스 요청을 전송한다(S66).As described above, when the session between the
그러면, 명령어 전달부(650)로부터 전송된 보안 서비스 요청은 보안요소부(400)의 명령어 처리부(420)에서 수신되며(S68), 명령어 처리부(420)는 내부 인터페이스를 통해 보안요소 실행부(410)로 해당 보안 서비스 요청을 전달한다.Then, the security service request transmitted from the
이어, 보안요소 실행부(410)는 명령어 처리부(420)에 전달된 보안 서비스 요청에 따라 보안요소부(400)에서 보호되고 있는 보안정보를 이용하여 해당 보안 서비스를 실행한다(S70).Subsequently, the secure
이때, 보안요소 실행부(410)에서의 보안 서비스 실행이 끝나면 보안 서비스의 결과값은 보안 서비스 요청이 수행되었던 반대 경로를 통해 은닉형 운영환경부(600)로 전송되며(S72), 다시 은닉형 운영환경부(600)를 통해 보안 서비스를 요청한 최초의 개방형 운영환경부(500)의 응용 프로그램(510)으로 전달된다(S74).At this time, when the execution of the security service in the security
상기한 바와 같이, 본 발명에서는 보안 요소(Secure Element)를 지원하는 은닉형 소프트웨어 실행 환경 제공에 있어서, 가상화 기반의 도메인 분리 기술을 이용하여 외부로 노출되지 않고 폐쇄적으로 실행되는 도메인을 구성하고, 보안 요소에서 제공되는 키 정보 등의 보안 정보를 은닉된 도메인의 내부에서만 실행시킴으로써, 보안 요소에서 제공하는 중요한 보안 정보가 실제 응용에서 사용될 때 불법적인 접근으로부터 노출되지 않도록 하여 보호할 수 있다.As described above, in the present invention, in providing a hidden software execution environment that supports a secure element, a virtually-based domain separation technology is used to configure a domain that is closed and executed without being exposed to the outside. By executing security information such as key information provided in the element only inside the hidden domain, it is possible to protect the important security information provided by the secure element from being exposed from illegal access when used in actual application.
한편 상술한 본 발명의 설명에서는 구체적인 실시예에 관해 설명하였으나, 여러 가지 변형이 본 발명의 범위에서 벗어나지 않고 실시될 수 있다. 따라서 발명의 범위는 설명된 실시 예에 의하여 정할 것이 아니고 특허청구범위에 의해 정하여져야 한다.
While the invention has been shown and described with reference to certain preferred embodiments thereof, it will be understood by those skilled in the art that various changes and modifications may be made without departing from the spirit and scope of the invention. Accordingly, the scope of the invention should not be limited by the described embodiments but should be defined by the appended claims.
410 : 보안요소 실행부 420 : 명령어 처리부
510 : 응용 프로그램 520 : 보안 서비스 요청부
610 : 보안 서비스 요청 관리부 620 : 보안 서비스 실행부
630 : 세션 관리부 640 : 보안요소 관리부
650 : 명령어 전달부410: secure element execution unit 420: command processing unit
510: application 520: security service request unit
610: security service request management unit 620: security service execution unit
630: session management unit 640: security element management unit
650 command delivery unit
Claims (11)
상기 보안 서비스의 실행에 필요한 보안 정보를 저장하며, 상기 은닉형 운영부로부터 상기 보안 서비스 요청을 수신하는 경우 상기 보안 정보를 이용하여 상기 보안 서비스를 실행하고 그 결과를 상기 은닉형 운영환경부로 제공하는 상기 보안요소부
를 포함하는 가상화 기반 은익형 소프트웨어 실행 환경 제공장치.
When a security service request is received from an open operating environment unit that processes a general service in a mobile terminal, the security service request is processed in association with a security element unit that stores security information of the mobile terminal, and the result is the open operating unit. Hidden operating environment provided by
Storing security information necessary for execution of the security service, and when receiving the security service request from the hidden type operating unit, executing the security service using the security information, and providing the result to the hidden type operating environment. Security element
Apparatus for providing a virtualization-based hidden wing software execution environment comprising a.
상기 은닉형 운영환경부는,
상기 보안요소부와 세션을 설정하여 상기 보안 서비스 요청을 전송하고, 상기 보안부로부터 상기 보안 서비스의 실행에 따른 결과를 수신하여 상기 개방형 운영환경부로 제공하는 것을 특징으로 하는 가상화 기반 은익형 소프트웨어 실행 환경 제공장치.
The method of claim 1,
The hidden operating environment section,
Set up a session with the secure element unit to transmit the security service request, receive a result according to the execution of the security service from the security unit to provide to the open operating environment unit provides a virtualization-based hidden benefit software execution environment Device.
상기 은닉형 운영환경부는,
상기 보안 서비스가 상기 보안 정보를 직접적으로 필요로 하지 않는 경우 상기 보안요소부와 연동하지 않고, 상기 보안 서비스를 처리하여 결과를 제공하는 것을 특징으로 하는 가상화 기반 은익형 소프트웨어 실행 환경 제공장치.
The method of claim 1,
The hidden operating environment section,
If the security service does not need the security information directly, the virtualization-based hidden benefit software execution environment providing apparatus, characterized in that for processing the security service and provide a result without interworking with the security element.
상기 은닉형 운영환경부는,
상기 개방형 운영환경부와 가상화 기반으로 도메인이 분리되는 것을 특징으로 하는 가상화 기반 은익형 소프트웨어 실행 환경 제공장치.
The method of claim 1,
The hidden operating environment section,
Apparatus for providing a virtualization-based hidden benefit software execution environment, characterized in that the domain is separated by the open operating environment and virtualization based.
상기 은닉형 운영환경부는,
상기 개방형 운영환경부로부터 상기 보안 서비스 요청을 수신하는 보안 서비스 요청 관리부와,
상기 보안 서비스를 실행시키는 보안 서비스 실행부와,
상기 보안 서비스가 상기 보안부에서 저장하고 있는 보안 정보를 필요로 하는 경우 상기 보안부와 세션을 설정하는 세션 관리부와,
상기 세션의 설정을 위해 상기 보안요소부를 탐색하는 보안 요소 관리부와,
상기 세션 설정된 상기 보안 요소부로 상기 보안 서비스 요청을 전달하는 명령어 전달부
를 포함하는 것을 특징으로 하는 가상화 기반 은익형 소프트웨어 실행 환경 제공장치.
The method of claim 1,
The hidden operating environment section,
A security service request management unit for receiving the security service request from the open operating environment unit;
A security service execution unit for executing the security service;
A session manager configured to establish a session with the security unit when the security service needs security information stored in the security unit;
A secure element manager for searching for the secure element for setting up the session;
A command transfer unit for transmitting the security service request to the session-configured secure element unit
Apparatus for providing a virtualization-based hidden benefit software execution environment comprising a.
상기 개방형 운영환경부는,
상기 모바일 단말기에서 실행되는 애플리케이션을 관리하는 응용 프로그램부와,
상기 보안 서비스 요청을 상기 은닉형 운영환경부로 전송하는 보안 서비스 요청부
를 포함하는 것을 특징으로 하는 가상화 기반 은익형 소프트웨어 실행 환경 제공장치.
The method of claim 1,
The open operating environment,
An application unit for managing an application executed in the mobile terminal;
Security service request unit for transmitting the security service request to the hidden operating environment unit
Apparatus for providing a virtualization-based hidden benefit software execution environment comprising a.
상기 보안요소부는,
상기 은닉형 운영환경부로부터 요청되는 상기 보안 서비스 요청을 수신하는 명령어 처리부와,
상기 보안 서비스 요청에 따라 보안 정보를 이용하여 상기 보안 서비스를 수행하는 보안요소 실행부
를 포함하는 것을 특징으로 하는 가상화 기반 은익형 소프트웨어 실행 환경 제공장치.
The method of claim 1,
The secure element unit,
A command processing unit for receiving the security service request requested from the hidden operating environment unit;
Security element execution unit for performing the security service using the security information in response to the security service request
Apparatus for providing a virtualization-based hidden benefit software execution environment comprising a.
상기 보안 서비스의 요청을 상기 모바일 단말기의 보안 정보를 저장하고 있는 보안부와 연동하여 처리하는 단계와,
상기 보안 서비스의 실행 결과를 상기 개방형 운영부로 제공하는 단계
를 포함하는 가상화 기반 은익형 소프트웨어 실행 환경 제공방법.
Receiving a security service request from the open operating environment unit in a hidden operating environment unit separated from a domain of the open operating environment of the mobile terminal;
Processing the security service request in association with a security unit that stores security information of the mobile terminal;
Providing a result of executing the security service to the open operation unit;
Virtualization-based hidden benefit software execution environment providing method comprising a.
상기 처리하는 단계는,
상기 은닉형 운영환경부에서 상기 보안 서비스 요청을 상기 보안요소부로 전송하는 단계와,
상기 보안요소부에서 상기 보안 정보를 이용하여 상기 보안 서비스가 실행되는 단계와,
상기 보안요소부로부터 상기 보안 서비스의 실행 결과를 수신하는 단계
를 포함하는 것을 특징으로 하는 가상화 기반 은익형 소프트웨어 실행 환경 제공방법.
The method of claim 8,
Wherein the processing comprises:
Transmitting, by the hidden operating environment unit, the security service request to the secure element unit;
Executing the security service using the security information in the security element unit;
Receiving a result of executing the security service from the secure element unit;
Virtualization-based hidden benefit software execution environment providing method comprising a.
상기 처리하는 단계는,
상기 보안 서비스가 상기 보안 정보를 직접적으로 필요로 하지 않는 경우, 상기 은닉형 운영부에서 상기 보안 서비스를 실행하여, 상기 보안 서비스의 실행 결과를 산출하는 것을 특징으로 하는 가상화 기반 은익형 소프트웨어 실행 환경 제공방법.
The method of claim 8,
Wherein the processing comprises:
If the security service does not directly require the security information, the hidden operating unit to execute the security service, calculating the execution result of the security service, characterized in that the virtualized-based hidden software execution environment providing method .
상기 은닉형 운영환경부는,
상기 개방형 운영환경부와 가상화 기반으로 도메인이 분리되는 것을 특징으로 하는 가상화 기반 은익형 소프트웨어 실행 환경 제공방법.The method of claim 8,
The hidden operating environment section,
Method for providing a virtualization-based hidden benefit software execution environment, characterized in that the domain is separated by the open operating environment and virtualization based.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US13/947,241 US20140033266A1 (en) | 2012-07-24 | 2013-07-22 | Method and apparatus for providing concealed software execution environment based on virtualization |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
KR1020120080668 | 2012-07-24 | ||
KR20120080668 | 2012-07-24 |
Publications (2)
Publication Number | Publication Date |
---|---|
KR20140016137A true KR20140016137A (en) | 2014-02-07 |
KR102063576B1 KR102063576B1 (en) | 2020-01-10 |
Family
ID=50265366
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
KR1020130016963A KR102063576B1 (en) | 2012-07-24 | 2013-02-18 | Method and apparatus for providing concealed software execution environment based on virtualization |
Country Status (1)
Country | Link |
---|---|
KR (1) | KR102063576B1 (en) |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR102047739B1 (en) * | 2019-03-08 | 2019-11-22 | 주식회사 다음정보기술 | Cloud-based Clean Security Module Remote Utilization System and Method |
Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20050085105A (en) * | 2002-11-22 | 2005-08-29 | 에자이 가부시키가이샤 | Methods of screening for compounds that inhibit the biosynthesis of gpi in malaria parasites |
US20070079120A1 (en) * | 2005-10-03 | 2007-04-05 | Bade Steven A | Dynamic creation and hierarchical organization of trusted platform modules |
KR20090000576A (en) * | 2007-02-27 | 2009-01-08 | 삼성전자주식회사 | Apparatus and method for providing security |
KR20100057306A (en) * | 2008-11-21 | 2010-05-31 | 삼성전자주식회사 | Apparatus for providing security information in virtual environment and method thereof |
KR20110066063A (en) * | 2009-12-10 | 2011-06-16 | 엠파이어 테크놀로지 디벨롭먼트 엘엘씨 | Hypervisor driver management in virtual machine environments |
-
2013
- 2013-02-18 KR KR1020130016963A patent/KR102063576B1/en active IP Right Grant
Patent Citations (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR20050085105A (en) * | 2002-11-22 | 2005-08-29 | 에자이 가부시키가이샤 | Methods of screening for compounds that inhibit the biosynthesis of gpi in malaria parasites |
US20070079120A1 (en) * | 2005-10-03 | 2007-04-05 | Bade Steven A | Dynamic creation and hierarchical organization of trusted platform modules |
KR20090000576A (en) * | 2007-02-27 | 2009-01-08 | 삼성전자주식회사 | Apparatus and method for providing security |
KR20100057306A (en) * | 2008-11-21 | 2010-05-31 | 삼성전자주식회사 | Apparatus for providing security information in virtual environment and method thereof |
KR20110066063A (en) * | 2009-12-10 | 2011-06-16 | 엠파이어 테크놀로지 디벨롭먼트 엘엘씨 | Hypervisor driver management in virtual machine environments |
Cited By (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
KR102047739B1 (en) * | 2019-03-08 | 2019-11-22 | 주식회사 다음정보기술 | Cloud-based Clean Security Module Remote Utilization System and Method |
Also Published As
Publication number | Publication date |
---|---|
KR102063576B1 (en) | 2020-01-10 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US11321452B2 (en) | Execution environment virtualization method and apparatus and virtual execution environment access method and apparatus | |
CN107533609B (en) | System, device and method for controlling multiple trusted execution environments in a system | |
CN108885665B (en) | System and method for decrypting network traffic in a virtualized environment | |
CN105446713B (en) | Method for secure storing and equipment | |
US8977842B1 (en) | Hypervisor enabled secure inter-container communications | |
US9519498B2 (en) | Virtual machine assurances | |
US8832461B2 (en) | Trusted sensors | |
US20170359333A1 (en) | Context based switching to a secure operating system environment | |
EP2807792B1 (en) | Authentication for network access related applications | |
WO2020192406A1 (en) | Method and apparatus for data storage and verification | |
US10372628B2 (en) | Cross-domain security in cryptographically partitioned cloud | |
AU2018201934B2 (en) | Network based management of protected data sets | |
KR20030082485A (en) | Saving and retrieving data based on symmetric key encryption | |
KR20030082484A (en) | Saving and retrieving data based on public key encryption | |
Arfaoui et al. | Trusted execution environments: A look under the hood | |
KR20160097892A (en) | Apparatus and method for security service based virtualization | |
KR20150092890A (en) | Security-Enhanced Device based on Virtualization and the Method thereof | |
GB2553944A (en) | Secure host communications | |
WO2015117523A1 (en) | Access control method and device | |
CN108595983A (en) | A kind of hardware structure and application context integrity measurement method based on hardware security isolated execution environment | |
WO2024021577A1 (en) | Tamper-proof data protection method and system | |
Mayrhofer | An architecture for secure mobile devices | |
KR20160039234A (en) | Systems and methods for enhancing mobile security via aspect oriented programming | |
Cooijmans et al. | Secure key storage and secure computation in Android | |
US12010250B2 (en) | Capability enabling method and apparatus |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A201 | Request for examination | ||
E902 | Notification of reason for refusal | ||
E90F | Notification of reason for final refusal | ||
E701 | Decision to grant or registration of patent right | ||
GRNT | Written decision to grant |