WO2020173272A1 - 数据安全处理方法及其终端、服务器 - Google Patents

数据安全处理方法及其终端、服务器 Download PDF

Info

Publication number
WO2020173272A1
WO2020173272A1 PCT/CN2020/073733 CN2020073733W WO2020173272A1 WO 2020173272 A1 WO2020173272 A1 WO 2020173272A1 CN 2020073733 W CN2020073733 W CN 2020073733W WO 2020173272 A1 WO2020173272 A1 WO 2020173272A1
Authority
WO
WIPO (PCT)
Prior art keywords
security
data
unit
module
application
Prior art date
Application number
PCT/CN2020/073733
Other languages
English (en)
French (fr)
Inventor
刘晓云
Original Assignee
阿里巴巴集团控股有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 阿里巴巴集团控股有限公司 filed Critical 阿里巴巴集团控股有限公司
Priority to EP20763256.3A priority Critical patent/EP3879783B1/en
Publication of WO2020173272A1 publication Critical patent/WO2020173272A1/zh
Priority to US17/314,893 priority patent/US11251976B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/74—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information operating in dual or compartmented mode, i.e. at least one secure mode
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H04L2209/805—Lightweight hardware, e.g. radio-frequency identification [RFID] or sensor

Definitions

  • a secure element refers to a logic circuit provided in the form of a chip that has an encryption/decryption function in the chip to prevent external malicious analysis attacks and protect data security.
  • the security of Internet of Things (IoT, Internet of Things) devices is usually guaranteed by SE.
  • IoT Internet of Things
  • many devices do not have the conditions to configure hardware SE. You can consider simulating SE through software to provide a balanced cost. Solutions with security. Summary of the invention
  • One purpose of this application is to provide a data security processing method and its terminal and server to solve the problem of reducing the cost of IoT devices by simulating SE through software.
  • a data security processing method including:
  • the first security unit obtains security data from the second security unit of the security server; [06] The SE application of the first security unit uses the security data to perform secure processing on the trusted application of the trusted execution environment.
  • the first security unit includes: a key management module; the security data includes: key data;
  • the security processing includes: encrypting or decrypting processing data of the trusted application by using the key data obtained from the second security unit through the SE application.
  • the first security unit includes: a security certificate management module;
  • the security data includes: security certificate data;
  • the security processing includes: performing certificate verification processing on the trusted application by the SE application using the security certificate data acquired from the second security unit.
  • the first security unit includes: a secure random number generation module or a secure algorithm module;
  • the secure data includes: secure random number data or secure algorithm data;
  • the security processing includes: performing secure calculation processing by using the secure random number data or the secure algorithm data obtained from the second security unit through the SE application.
  • the method described in the first aspect of the present application further includes:
  • the first security unit obtains security configuration information from the second security unit
  • the first security unit actively performs security detection on the trusted execution environment according to the security configuration information
  • the first security unit sends security notification information to the second security unit.
  • a data security processing method including: [18] Using a second security unit to send security data required for security processing to a first security unit of a terminal, so as to facilitate the terminal For secure processing of trusted applications in a trusted execution environment.
  • the security data includes at least one of the following: key data, security certificate data, secure random number data, and security algorithm data.
  • the method described in the second aspect of the present application further includes: [21] Using the second security unit to send security configuration information to the first security unit, so that the first security unit can be The security configuration information actively conducts security inspections on the trusted execution environment;
  • the second security unit receives the security notification information sent by the first security unit.
  • a terminal including: a first security unit; [24] the first security unit includes:
  • the first obtaining module is used to obtain security data from the second security unit of the security server;
  • the processing module is used to manage the SE application and the secure data, and the SE application uses the secure data to perform secure processing on the trusted application of the trusted execution environment.
  • the security data includes: key data; [28] the first security unit further includes: a key management module; [29] The key management module is used to: manage the key data;
  • the SE application uses the key data obtained from the second security unit to encrypt or decrypt the processing data of the trusted application.
  • the security data includes: security certificate data;
  • the first security unit further includes: a security certificate management module;
  • the key management module is used to: manage the security certificate data
  • the SE application uses the security certificate data obtained from the second security unit to perform certificate verification processing on the trusted application.
  • the security data includes: secure random number data or secure algorithm data;
  • the first security unit further includes: a secure random number generation module or a security algorithm module;
  • the secure random number generating module is used to: manage the secure random number data
  • the security algorithm module is used to: manage the security algorithm data;
  • the SE application uses the secure random number data or the secure algorithm data obtained from the second security unit to perform secure calculation processing.
  • the first security unit further includes:
  • a second obtaining module configured to obtain security configuration information from the second security unit
  • a monitoring module configured to actively perform security detection on the trusted execution environment according to the security configuration information
  • the notification module is configured to send security notification information to the second security unit if a security event is triggered.
  • a server including: a second security unit;
  • the second security unit includes:
  • the first sending module is configured to send the security data required for security processing to the first security unit of the terminal, so that the terminal can perform security processing on the trusted application of the trusted execution environment.
  • the security data includes at least one of the following: key data, security certificate data, security random number data, and security algorithm data.
  • the second unit includes:
  • a second sending module configured to send security configuration information to the first security unit, so that the first security unit actively performs security detection on the trusted execution environment according to the security configuration information
  • the receiving module is configured to receive the security notification information sent by the first security unit if the terminal triggers a security event.
  • a storage device stores computer program instructions, and the computer program instructions are executed according to the method described in the first or second aspect of the present application.
  • a terminal including: a memory for storing computer program instructions and a processor for executing computer program instructions, wherein, when the computer program instructions are executed by the processor, Trigger the terminal to execute the method described in the first aspect of the present application.
  • a server is provided, including: a memory for storing computer program instructions and a processor for executing computer program instructions, wherein, when the computer program instructions are executed by the processor, The server is triggered to execute the method described in the second aspect of the present application.
  • FIG. 1 is a schematic flow diagram of the data security processing method of Embodiment 1 of this application;
  • FIG. 2 is a schematic flow diagram of the data security processing method of Embodiment 2 of this application;
  • FIG. 3 is a schematic structural diagram of a terminal according to Embodiment 3 of the application.
  • FIG. 4 is a schematic structural diagram of a server in the fourth embodiment of the application.
  • FIG. 5 is a schematic diagram of the connection between the terminal and the server in the fourth embodiment of the application.
  • both the terminal and the equipment serving the network include one or more processor (CPU) input/output interfaces, network interfaces and memory.
  • processor CPU
  • Memory may include non-permanent memory in computer-readable media, random access memory (RAM) and/or non-volatile memory, such as read-only memory (ROM) or flash memory (flash RAM).
  • RAM random access memory
  • ROM read-only memory
  • flash RAM flash memory
  • Computer-readable media includes permanent and non-permanent, removable and non-removable media, and information storage can be realized by any method or technology.
  • the information can be computer readable instructions, data structures, program devices, or other data.
  • Examples of computer storage media include, but are not limited to, phase change memory (PRAM), static random access memory (SRAM), dynamic random access memory (DRAM), other types of random access memory (RAM), read-only memory (ROM ), electrically erasable programmable read-only memory (EEPROM) flash memory or other memory technologies, read-only CD
  • CD-ROM Compact Disc
  • DVD Digital versatile disc
  • magnetic cassettes magnetic tape storage or other magnetic storage devices or any other non-transmission media that can be used to store information that can be accessed by computing devices.
  • FIG. 1 is a schematic flowchart of a data security processing method according to Embodiment 1 of the present application. As shown in FIG. 1, the data security processing method provided by Embodiment 1 of the present application is applied to a terminal, and the method includes:
  • Step S101 the first security unit obtains security data from the second security unit of the security server.
  • Step S102 The SE application of the first security unit uses the security data to perform security processing on the trusted application of the trusted execution environment.
  • a first security unit in the form of a software module is configured on the terminal, and a second security unit in the form of a software module is configured on the security server.
  • the first security unit and the second security unit jointly complete the SE function, and perform security processing on a trusted application (TA, trusted application) under a trusted execution environment (TEE, Trusted Execution Environment) through a secure channel.
  • Security processing includes at least one of the following: encryption, decryption, certificate verification, and secure calculation based on security algorithms.
  • the first security unit communicates with the second security unit to obtain security data configured by the security server for performing security processing.
  • the security data includes at least one of the following: key data, security certificate data, security random number data, and security algorithm data.
  • the first security unit uses the security data to perform security processing such as encryption, decryption, certificate verification, and security calculation on the TA.
  • security processing such as encryption, decryption, certificate verification, and security calculation on the TA.
  • the first security unit includes: a key management module.
  • the security data includes: key data.
  • the security processing includes: encrypting or decrypting processing data of the trusted application by using the key data obtained from the second security unit through the SE application.
  • the TA request needs to be encrypted and decrypted.
  • the first security unit obtains the key from the second security unit through the key management module, and the first security unit uses the key to encrypt the TA request through its own SE application.
  • the security algorithm module can be used to obtain the security algorithm from the second security unit to perform the power encryption calculation.
  • the secure random number generation module may be used to obtain the secure random number from the second security module for encryption calculation.
  • the decryption process is similar to the encryption process and will not be repeated here.
  • the first security unit includes: a security certificate management module.
  • the security data includes: security certificate data.
  • the security processing includes: performing certificate verification processing on the trusted application by using the security certificate data obtained from the second security unit through the SE application.
  • the first security unit obtains security certificate data from the second security unit through the security certificate management module, and the first security unit uses the security certificate data to verify the TA through its own SE application.
  • the application performs certificate verification.
  • the first security unit includes: a security random number generation module or a security algorithm module.
  • the security data includes: secure random number data or secure algorithm data.
  • the security processing includes: performing security calculation processing by using the security random number data or the security algorithm data obtained from the second security unit through the SE application.
  • the security algorithm module can be used to obtain the security algorithm data from the second security unit
  • the security random number generation module can be used to obtain the security random number data from the second security module
  • the first security unit uses the security algorithm data through its own SE application.
  • the security algorithm and the secure random number in the secure random number data are used to perform secure calculations for encryption or decryption.
  • the key data, security certificate data, security random number data, security algorithm data, etc. obtained by the first security unit from the second security unit may be stored in the security storage module of the first security unit to save network traffic.
  • the first security unit and the second security unit in the form of a software module form an SE module, instead of the hardware SE, and provide most of the SE runtime that meets the GP standard Functions, such as key management, secure data management, random number services, encryption and decryption services, signature verification functions, etc., do not need to configure hardware SE in the IoT device, which reduces the cost of the IoT device, and because of the key management through the secure server .
  • An The centralized management and configuration of important data required for full data, random number services, encryption and decryption services, signature verification services, etc. further improves security performance and facilitates security data management and upgrades and updates of SE applications and TA applications.
  • the method described in Embodiment 1 of the present application further includes:
  • Step S103 the first security unit obtains security configuration information from the second security unit.
  • Step S104 the first security unit actively performs security detection on the trusted execution environment according to the security configuration information.
  • Step S105 If a security event is triggered, the first security unit sends security notification information to the second security unit.
  • the security configuration information may include: detection period, detection object, abnormal event characteristics and other information.
  • the first security unit can perform abnormal event detection on the detection object of the TEE according to the configuration of the security configuration information. When an event is found to meet the characteristics of the abnormal event, it is determined to trigger the security event, and the first security unit sends the first security event to the security server.
  • the second safety unit issues a notice to give a safety reminder.
  • the data security processing method of the first embodiment of the present application is different from the hardware SE, which can only be in a passive working state. It can actively send security configuration information to the first security unit through the second security unit to actively monitor abnormal conditions. Actively perceive and report network attacks to the security server in real time by calling back the network interface in time.
  • FIG. 2 is a schematic flowchart of a data security processing method according to Embodiment 2 of the present application. As shown in FIG. 2, the data security processing method provided in Embodiment 2 of the present application is applied to a server, and the method includes:
  • Step S201 using the second security unit to send the security data required for security processing to the first security unit of the terminal, so that the terminal can perform security processing on the trusted application of the trusted execution environment.
  • the first security unit and the second security unit jointly complete the SE function, and securely process trusted applications (TA, trusted application) under a trusted execution environment (TEE, Trusted Execution Environment) through a secure channel.
  • Security processing includes at least one of the following: encryption, decryption, certificate verification, and secure calculation based on security algorithms.
  • the first security unit communicates with the second security unit to obtain security data that is configured by the security server and used for security processing.
  • the security data includes at least one of the following: key data, security certificate data, security random number data, and security algorithm data.
  • the first security unit uses the security data to perform security processing such as encryption, decryption, certificate verification, and security calculations on the TA.
  • the security data includes at least one of the following: key data, security certificate data, and security random number Data, security algorithm data.
  • the first security unit obtains key data from the second security unit through the key management module, obtains the security certificate data from the second security unit through the security certificate management module, and obtains the security certificate data from the second security unit through the security algorithm module.
  • the security algorithm data obtains the security random number data from the second security module through the security random number generation module.
  • the first security unit and the second security unit in the form of a software module form an SE module, instead of the hardware SE, and provide most of the SE runtime that meets the GP standard Functions, such as key management, secure data management, random number services, encryption and decryption services, signature verification capabilities, etc., do not need to configure hardware SE in the IoT device, reducing the cost of IoT devices, and because of the key management through the secure server
  • the centralized management and configuration of important data required for security data, random number services, encryption and decryption services, signature verification services, etc. further improve security performance, facilitate security data management, and upgrade and update SE ES and TA applications.
  • the data security processing method of the second embodiment of the present application further includes:
  • Step S202 Use the second security unit to send security configuration information to the first security unit, so that the first security unit actively performs security detection on the trusted execution environment according to the security configuration information;
  • Step S203 If the terminal triggers a security event, the second security unit receives security notification information sent by the first security unit.
  • security configuration information may include: detection period, detection object, abnormal event characteristics and other information.
  • the first security unit can perform abnormal event detection on the detection object of the TEE according to the configuration of the security configuration information. When an event is found to meet the characteristics of the abnormal event, it is determined to trigger the security event, and the first security unit sends the first security event to the security server.
  • the second security unit issues a notification to give a security prompt to the security server.
  • the data security processing method of the second embodiment of the application is different from the hardware SE, which can only be in a passive working state. It can actively send security configuration information to the first security unit through the second security unit, and actively monitor abnormal conditions. Actively perceive and report network attacks to the security server in real time by calling back the network interface in time.
  • FIG. 3 is a schematic structural diagram of a terminal according to Embodiment 3 of this application.
  • the terminal provided in Embodiment 3 of this application includes: a first security unit 31.
  • the first security unit 31 includes: a first acquisition module 311 and a processing module 312.
  • the first obtaining module 311 is configured to obtain security data from the second security unit of the security server.
  • the processing module 312 is used to manage the SE application and the security data.
  • the SE application uses the security data to perform security processing on the trusted application in the trusted execution environment.
  • the security data includes: key data.
  • the first security unit 31 further includes: a key management module 313.
  • the key management module 313 is used to: manage the key data.
  • the SE application uses the key data obtained from the second security unit to encrypt or decrypt the processed data of the trusted application.
  • the security data includes: security certificate data.
  • the first security unit also includes: a security certificate management module 314.
  • the security certificate management module 314 is configured to: manage the security certificate data. [110] Wherein, the SE application uses the security certificate data obtained from the second security unit to perform certificate verification processing on the trusted application.
  • the security data includes: secure random number data.
  • the first security unit 31 further includes: a secure random number generating module 315.
  • the secure random number generating module 315 is configured to: manage the secure random number data.
  • the security data includes: security algorithm data.
  • the first security unit 31 further includes: a security algorithm module 316.
  • the security algorithm module 316 is used to: manage the security algorithm data.
  • the SE application uses the secure random number data or the secure algorithm data obtained from the second security unit to perform secure calculation processing.
  • the first security unit 31 further includes: a second acquisition module 317, a monitoring module 318, and a notification module 319.
  • the second obtaining module 317 is configured to obtain security configuration information from the second security unit.
  • the monitoring module 318 is configured to actively perform security detection on the trusted execution environment according to the security configuration information.
  • the notification module 319 is configured to send security notification information to the second security unit if a security event is triggered.
  • the terminal of the third embodiment of the present application is an implementation device of the data security processing method shown in FIG. 1. For details, please refer to The first embodiment of FIG. 1 will not be repeated here.
  • FIG. 4 is a schematic structural diagram of a server in Embodiment 4 of the present application.
  • the server provided in Embodiment 4 of the present application includes: a second security unit 41.
  • the second security unit includes 41: a first sending module 411.
  • the first sending module 411 is configured to send security data required for security processing to the first security unit of the terminal, so as to facilitate the security processing of the trusted application of the trusted execution environment by the terminal.
  • the security data includes at least one of the following: key data, security certificate data, security random number data, and security algorithm data.
  • the second unit 41 includes: a second sending module 412 and a receiving module 413.
  • the second sending module 412 is configured to send security configuration information to the first security unit, so that the first security unit actively performs security detection on the trusted execution environment according to the security configuration information;
  • the receiving module 413 is configured to receive the security notification information sent by the first security unit if the terminal triggers a security event.
  • the server in the fourth embodiment of the present application is a device for implementing the data security processing method shown in FIG. 2.
  • FIG. 2 For details, please refer to the second embodiment in FIG. 2, which will not be repeated here.
  • FIG. 5 is a schematic diagram of the connection between the terminal and the server in the fourth embodiment of the application.
  • the terminal 30 is provided with a first security unit 31 in the form of a software module
  • the security server 40 is provided with a second security unit in the form of a software module.
  • Security unit 41 is provided.
  • the first security unit 31 obtains security data from the first sending module 411 of the second security unit 41 through the first obtaining module 311.
  • the security data includes at least one of the following: key data, security certificate data, security random number data, and security algorithm data.
  • the key management module 313 obtains the key data from the first obtaining module 311 and manages the keys
  • the security certificate management module 314 obtains the security certificate data from the first obtaining module 311 and manages the security certificates, and generates secure random numbers
  • the module 315 obtains the secure random number data from the first obtaining module 311 and manages the secure random number
  • the security algorithm module 316 obtains the secure algorithm data from the first obtaining module 311 and manages the secure algorithm.
  • the processing module 312 of the first security unit 31 manages the SE application.
  • the processing module 312 separates the key management module 313, the security certificate management module 314, the secure random number generation module 315, and the security algorithm module 316. retrieve keys, security certificates, security random numbers, security algorithms, etc. to perform security processing on TA.
  • the first security unit 31 obtains from the second sending module 412 of the second security unit 41 through the second obtaining module 317 Taking the safety configuration information, the detection module 318 actively performs safety detection on the TEE according to the safety configuration information. If a security event is triggered, the notification module 319 sends security notification information to the receiving module 413 of the second security unit 41 to remind the security server that the TEE of the terminal is abnormal.
  • An embodiment of the present application further provides a storage device that stores computer program instructions, and the computer program instructions are executed according to the method described in Embodiment 1 or Embodiment 2 of this application.
  • An embodiment of the present application also provides a terminal, including: a memory for storing computer program instructions and a processor for executing computer program instructions, wherein when the computer program instructions are executed by the processor, the terminal is triggered The terminal executes the method described in Embodiment 1 of the present application.
  • a server including: a memory for storing computer program instructions and a processor for executing computer program instructions, wherein, when the computer program instructions are executed by the processor, The server is triggered to execute the method described in the second embodiment of this application.
  • the terminal referred to in this application includes, but is not limited to, any electronic product that can perform human-computer interaction with a user (for example, human-computer interaction through a touch pad), such as mobile electronic products such as smart phones and tablet computers.
  • the electronic product can adopt any operating system, such as android operating system, iOS operating system, etc.
  • the server includes an electronic device that can automatically perform numerical calculation and information processing according to pre-set or stored instructions, and its hardware includes, but is not limited to, a microprocessor, an application specific integrated circuit (ASIC), and a programmable logic device (PLD), field programmable gate array (FPGA), digital signal processor (DSP), embedded equipment, etc.
  • ASIC application specific integrated circuit
  • PLD programmable logic device
  • FPGA field programmable gate array
  • DSP digital signal processor
  • the server includes, but is not limited to, a computer, a network host, a single network server, a set of multiple network servers, or a cloud composed of multiple servers; here, the cloud is composed of a large number of computers or network servers based on cloud computing, where , Cloud computing is a type of distributed computing, a virtual supercomputer composed of a group of loosely connected computer sets.
  • the network includes, but is not limited to, the Internet, a wide area network, a metropolitan area network, a local area network, a VPN network, a wireless ad hoc network (Ad Hoc network), and the like.
  • the terminal and the server may also be programs running on the terminal, the server, or a device formed by integrating the terminal and the server over a network.
  • this application can be implemented in software and a combination of software and hardware.
  • it can be implemented by an application specific integrated circuit (ASIC), a general purpose computer or any other similar hardware device.
  • the software program of the present application may be executed by a processor to realize the above steps or functions.
  • the software program (including related data structures) of the present application can be stored in a computer-readable recording medium, for example, RAM memory, magnetic or optical drive or floppy disk and similar devices.
  • some steps or functions of the present application may be implemented by hardware, for example, as a circuit that cooperates with a processor to execute each step or function.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Storage Device Security (AREA)
  • Computer And Data Communications (AREA)
  • Telephonic Communication Services (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请提供了一种数据安全处理方法，包括：第一安全单元从安全服务器的第二安全单元获取安全数据；所述第一安全单元的SE应用利用所述安全数据对可信执行环境的可信应用进行安全处理。本申请提供的数据安全处理方法及其终端、服务器，实现简单，与设备网络能力结合，能提供符合SE的安全保障能力，同时又克服了硬件SE集成困难、成本高的缺点，能够降低IoT设备成本。

Description

数据安全处理方法及其终端、 服务器 技术领域
[01] 本申请涉及信息技术领域， 尤其涉及数据安全处理方法及其终端、 服务器。 背景技术 [02] 安全元件 ( SE, Secure Element )指以芯片形式提供， 为防止外部恶意解析攻击， 保 护数据安全， 在芯片中具有加密 /解密功能的逻辑电路。 物联网 ( IoT, Internet of Things ) 设备的安全通常会采用 SE来进行保障， 但是由于 IoT设备的成本敏感性， 很多设备不具 备配置硬件 SE的条件， 可以考虑通过软件模拟 SE以提供一个平衡成本与安全性的解决 方案。 发明内容
[03] 本申请的一个目的是提供数据安全处理方法及其终端、 服务器， 以解决通过软件模 拟 SE, 降低 IoT设备成本的问题。
[04] 根据本申请第一方面， 提供一种数据安全处理方法， 包括：
[05] 第一安全单元从安全服务器的第二安全单元获取安全数据； [06] 所述第一安全单元的 SE应用利用所述安全数据对可信执行环境的可信应用进行安 全处理。
[07] 进一步， 本申请第一方面所述的方法， 所述第一安全单元包括： 密钥管理模块； 所 述安全数据包括： 密钥数据；
[08] 所述安全处理包括：通过所述 SE应用利用从所述第二安全单元获取的所述密钥数据 对所述可信应用的处理数据进行加密或解密处理。
[09] 进一步，本申请第一方面所述的方法， 所述第一安全单元包括： 安全证书管理模块； 所述安全数据包括： 安全证书数据；
[10] 所述安全处理包括：通过所述 SE应用利用从所述第二安全单元获取的所述安全证书 数据对所述可信应用进行证书验证处理。 [11] 进一步， 本申请第一方面所述的方法， 所述第一安全单元包括： 安全随机数生成模 块或安全算法模块； 所述安全数据包括： 安全随机数数据或安全算法数据；
[12] 所述安全处理包括： 通过所述 SE应用利用从所述第二安全单元获取的所述安全随机 数数据或所述安全算法数据进行安全计算处理。 [13] 进一步， 本申请第一方面所述的方法， 还包括：
[14] 所述第一安全单元从所述第二安全单元获取安全配置信息；
[15] 所述第一安全单元根据所述安全配置信息主动对所述可信执行环境进行安全检测；
[16] 若触发安全事件， 所述第一安全单元向所述第二安全单元发送安全通知信息。
[17] 根据本申请的第二方面， 提供一种数据安全处理方法， 包括： [18] 利用第二安全单元向终端的第一安全单元发送安全处理所需的安全数据， 以便于所 述终端的对可信执行环境的可信应用进行安全处理。
[19] 进一步， 本申请第二方面所述的方法， 所述安全数据包括以下至少一项： 密钥数据、 安全证书数据、 安全随机数数据、 安全算法数据。
[20] 进一步， 本申请第二方面所述的方法， 还包括： [21] 利用所述第二安全单元向所述第一安全单元发送安全配置信息， 以便于所述第一安 全单元根据所述安全配置信息主动对可信执行环境进行安全检测；
[22] 若终端触发安全事件， 所述第二安全单元接收所述第一安全单元发送的安全通知信 息。
[23] 4艮据本申请的第三方面， 提供一种终端， 包括： 第一安全单元； [24] 所述第一安全单元包括：
[25] 第一获取模块， 用于从安全服务器的第二安全单元获取安全数据；
[26] 处理模块， 用于管理 SE应用和所述安全数据， 所述 SE应用利用所述安全数据对可 信执行环境的可信应用进行安全处理。
[27] 进一步， 本申请第三方面所述的终端， 所述安全数据包括： 密钥数据； [28] 所述第一安全单元还包括： 密钥管理模块; [29] 所述密钥管理模块用于： 管理所述密钥数据；
[30] 其中， 所述 SE应用利用从所述第二安全单元获取的所述密钥数据对所述可信应用的 处理数据进行加密或解密处理。
[31] 进一步， 本申请第三方面所述的终端， 所述安全数据包括： 安全证书数据； [32] 所述第一安全单元还包括： 安全证书管理模块；
[33] 所述密钥管理模块用于： 管理所述安全证书数据；
[34] 其中， 所述 SE应用利用从所述第二安全单元获取的所述安全证书数据对所述可信应 用进行证书验证处理。
[35] 进一步， 本申请第三方面所述的终端， 所述安全数据包括： 安全随机数数据或安全 算法数据；
[36] 所述第一安全单元还包括： 安全随机数生成模块或安全算法模块；
[37] 所述安全随机数生成模块用于： 管理所述安全随机数数据；
[38] 所述安全算法模块用于： 管理所述安全算法数据；
[39] 其中， 所述 SE应用利用从所述第二安全单元获取的所述安全随机数数据或所述安全 算法数据进行安全计算处理。
[40] 进一步， 本申请第三方面所述的终端， 所述第一安全单元还包括：
[41] 第二获取模块， 用于从所述第二安全单元获取安全配置信息；
[42] 监测模块， 用于根据所述安全配置信息主动对所述可信执行环境进行安全检测；
[43] 通知模块， 用于若触发安全事件， 向所述第二安全单元发送安全通知信息。 [44] 根据本申请第四方面， 提供一种服务器， 包括： 第二安全单元；
[45] 第二安全单元包括：
[46] 第一发送模块， 用于向终端的第一安全单元发送安全处理所需的安全数据， 以便于 所述终端的对可信执行环境的可信应用进行安全处理。
[47] 进一步， 本申请第四方面所述的服务器， 所述安全数据包括以下至少一项： 密钥数 据、 安全证书数据、 安全随机数数据、 安全算法数据。 [48] 进一步， 本申请第四方面所述的服务器， 所述第二单元包括：
[49] 第二发送模块， 用于向所述第一安全单元发送安全配置信息， 以便于所述第一安全 单元根据所述安全配置信息主动对可信执行环境进行安全检测；
[50] 接收模块，用于若终端触发安全事件，接收所述第一安全单元发送的安全通知信息。 [51] 根据本申请第五方面， 提供一种存储设备， 所述存储设备存储计算机程序指令， 所 述计算机程序指令根据本申请第一方面或第二方面所述的方法进行执行。
[52] 根据本申请第六方面， 提供一种终端， 包括： 用于存储计算机程序指令的存储器和 用于执行计算机程序指令的处理器， 其中， 当该计算机程序指令被该处理器执行时， 触发 所述终端执行本申请第一方面所述的方法。 [53] 根据本申请第七方面， 提供一种服务器， 包括： 用于存储计算机程序指令的存储器 和用于执行计算机程序指令的处理器， 其中， 当该计算机程序指令被该处理器执行时， 触 发所述服务器执行本申请第二方面所述的方法。
[54] 本申请提供的数据安全处理方法及其终端、 服务器， 实现筒单， 与设备网络能力结 合， 能提供符合 SE的安全保障能力， 同时又克服了硬件 SE集成困难、 成本高的缺点， 能够降低 IoT设备成本。 附图说明
[55] 通过阅读参照以下附图所作的对非限制性实施例所作的详细描述， 本申请的其它特 征、 目的和优点将会变得更明显：
[56] 图 1为本申请实施例一的数据安全处理方法的流程示意图; [57] 图 2为本申请实施例二的数据安全处理方法的流程示意图;
[58] 图 3为本申请实施例三的终端的结构示意图；
[59] 图 4为本申请实施例四的服务器的结构示意图；
[60] 图 5为本申请实施例四的终端和服务器的连接示意图。
[61] 附图中相同或相似的附图标记代表相同或相似的部件。 具体实施方式
[62] 下面结合附图对本申请作进一步详细描述。
[63] 在本申请一个典型的配置中， 终端、 服务网络的设备均包括一个或多个处理器 ( CPU ) 输入 /输出接口、 网络接口和内存。
[64] 内存可能包括计算机可读介质中的非永久性存储器， 随机存取存储器 ( RAM )和 / 或非易失性内存等形式， 如只读存储器 ( ROM )或闪存 ( flash RAM ) 内存是计算机可 读介质的示例。
[65] 计算机可读介质包括永久性和非永久性、 可移动和非可移动媒体， 可以由任何方法 或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的装置或其他数据。 计算机的存储介质的例子包括，但不限于相变内存 ( PRAM )、静态随机存取存储器( SRAM )、 动态随机存取存储器 ( DRAM )、其他类型的随机存取存储器( RAM )、只读存储器 ( ROM ), 电可擦除可编程只读存储器 ( EEPROM ) 快闪记忆体或其他内存技术、 只读光盘
( CD-ROM ) 数字多功能光盘 ( DVD )或其他光学存储、 磁盒式磁带， 磁带磁盘存储或 其他磁性存储设备或任何其他非传输介质， 可用于存储可以被计算设备访问的信息。
[66] 图 1为本申请实施例一的数据安全处理方法的流程示意图， 如图 1所示， 本申请实 施例一提供的数据安全处理方法， 用于终端， 该方法包括：
[67] 步骤 S101 , 第一安全单元从安全服务器的第二安全单元获取安全数据。
[68] 步骤 S 102, 所述第一安全单元的 SE应用利用所述安全数据对可信执行环境的可信 应用进行安全处理。
[69] 具体地， 在终端配置软件模块形式的第一安全单元， 在安全服务器配置软件模块形 式的第二安全单元。 第一安全单元和第二安全单元共同完成 SE功能， 通过安全通道对可 信执行环境 ( TEE, Trusted Execution Environment )下的可信应用 (TA ， trusted application) 进行安全处理。 安全处理包括以下至少一项： 加密、 解密、 证书验证、 以及基于安全算法 的安全计算。 第一安全单元与第二安全单元通信， 以获取安全服务器配置的用于进行安全 处理所需的安全数据。 安全数据包括以下至少一项： 密钥数据、 安全证书数据、 安全随机 数数据、 安全算法数据。 第一安全单元从第二安全单元获取安全数据后， 利用安全数据对 TA进行加密、 解密、 证书验证、 安全计算等安全处理。 [70] 进一步， 所述第一安全单元包括： 密钥管理模块。 所述安全数据包括： 密钥数据。
[71] 所述安全处理包括： 通过所述 SE应用利用从所述第二安全单元获取的所述密钥数据 对所述可信应用的处理数据进行加密或解密处理。
[72] 例如， 需要对 TA请求进行加密解密处理， 第一安全单元通过密钥管理模块从第二安 全单元获取密钥，第一安全单元通过自身的 SE应用利用该密钥对 TA请求加密。加密时， 可以利用安全算法模块从第二安全单元获取安全算法进行力 P密计算。 在进行力 P密计算时， 可以利用安全随机数生成模块从第二安全模块获取安全随机数进行加密计算。解密过程与 加密过程类似， 此处不再赘述。
[73] 进一步， 所述第一安全单元包括： 安全证书管理模块。 所述安全数据包括： 安全证 书数据。
[74] 所述安全处理包括： 通过所述 SE应用利用从所述第二安全单元获取的所述安全证书 数据对所述可信应用进行证书验证处理。
[75] 例如， 需要对 TA应用进行安全数字证书验证， 第一安全单元通过安全证书管理模块 从第二安全单元获取安全证书数据， 第一安全单元通过自身的 SE应用利用该安全证书数 据对 T A应用进行证书验证。
[76] 进一步， 所述第一安全单元包括： 安全随机数生成模块或安全算法模块。 所述安全 数据包括： 安全随机数数据或安全算法数据。
[77] 所述安全处理包括： 通过所述 SE应用利用从所述第二安全单元获取的所述安全随机 数数据或所述安全算法数据进行安全计算处理。 [78] 其中， 可以利用安全算法模块从第二安全单元获取安全算法数据， 利用安全随机数 生成模块从第二安全模块获取安全随机数数据， 第一安全单元通过自身的 SE应用利用安 全算法数据的安全算法以及安全随机数数据中的安全随机数，进行力 P密或解密的安全计算。
[79] 其中， 第一安全单元从第二安全单元获取的密钥数据、 安全证书数据、 安全随机数 数据、 安全算法数据等可存储于第一安全单元的安全存储模块， 以节省网络流量。 [80] 本申请实施例一的数据安全处理方法， 通过软件模块形式的第一安全单元和第二安 全单元共同构成 SE模块， 代替了硬件 SE, 提供了满足 GP标准的大部分的 SE运行时功 能， 如密钥管理、 安全数据管理、 随机数服务、 加解密服务、 签名验签功能等， 不需要在 IoT设备中配置硬件 SE, 降低了 IoT设备成本， 而且由于通过安全服务器对密钥管理、 安 全数据、随机数服务、加解密服务、签名验签服务等所需的重要数据进行集中管理和配置， 进一步提升了安全性能， 便于安全数据管理以及 SE应用、 TA应用的升级更新。
[81] 进一步， 本申请实施例一所述的方法， 还包括：
[82] 步骤 S103 , 所述第一安全单元从所述第二安全单元获取安全配置信息。 [83] 步骤 S104, 所述第一安全单元 4艮据所述安全配置信息主动对所述可信执行环境进行 安全检测。
[84] 步骤 S105 , 若触发安全事件， 所述第一安全单元向所述第二安全单元发送安全通知 信息。
[85] 例如， 安全配置信息可以包括： 检测周期、 检测对象、 异常事件特征等信息。 第一 安全单元可以根据安全配置信息的配制， 按照检测周期对 TEE 的检测对象进行异常事件 检测， 当发现某事件符合异常事件特征时， 判定触发安全事件， 由第一安全单元向安全服 务器的第二安全单元发出通知， 进行安全提示。
[86] 本申请实施例一的数据安全处理方法， 不同于只能处于被动工作状态的硬件 SE, 可 以通过第二安全单元向第一安全单元主动发出安全配置信息， 主动对异常情况进行监测， 主动感知并通过及时回调网络接口等方式实时向安全服务器上报所遭受的网络攻击。
[87] 图 2为本申请实施例二的数据安全处理方法的流程示意图， 如图 2所示， 本申请实 施例二提供的数据安全处理方法， 用于服务器， 该方法包括：
[88] 步骤 S201 ,利用第二安全单元向终端的第一安全单元发送安全处理所需的安全数据， 以便于所述终端的对可信执行环境的可信应用进行安全处理。 [89] 在终端配置软件模块形式的第一安全单元， 在安全服务器配置软件模块形式的第二 安全单元。 第一安全单元和第二安全单元共同完成 SE功能， 通过安全通道对可信执行环 境 ( TEE, Trusted Execution Environment ) 下的可信应用 (TA ， trusted application)进行安 全处理。 安全处理包括以下至少一项： 加密、 解密、 证书验证、 以及基于安全算法的安全 计算。 第一安全单元与第二安全单元通信， 以获取安全服务器配置的用于进行安全处理所 需的安全数据。安全数据包括以下至少一项：密钥数据、安全证书数据、安全随机数数据、 安全算法数据。 第一安全单元从第二安全单元获取安全数据后， 利用安全数据对 TA进行 加密、 解密、 证书验证、 安全计算等安全处理。
[90] 进一步， 所述安全数据包括以下至少一项： 密钥数据、 安全证书数据、 安全随机数 数据、 安全算法数据。
[91] 具体地， 第一安全单元通过密钥管理模块从第二安全单元获取密钥数据， 通过安全 证书管理模块从第二安全单元获取安全证书数据，通过安全算法模块从第二安全单元获取 安全算法数据， 通过安全随机数生成模块从第二安全模块获取安全随机数数据。 [92] 本申请实施例二的数据安全处理方法， 通过软件模块形式的第一安全单元和第二安 全单元共同构成 SE模块， 代替了硬件 SE, 提供了满足 GP标准的大部分的 SE运行时功 能， 如密钥管理、 安全数据管理、 随机数服务、 加解密服务、 签名验签能力等， 不需要在 IoT设备中配置硬件 SE, 降低了 IoT设备成本， 而且由于通过安全服务器对密钥管理、 安 全数据、随机数服务、加解密服务、签名验签服务等所需的重要数据进行集中管理和配置， 进一步提升了安全性能， 便于安全数据管理以及 SE ES、 TA应用的升级更新。
[93] 进一步， 本申请实施例二的数据安全处理方法还包括：
[94] 步骤 S202, 利用所述第二安全单元向所述第一安全单元发送安全配置信息， 以便于 所述第一安全单元根据所述安全配置信息主动对可信执行环境进行安全检测；
[95] 步骤 S203 , 若终端触发安全事件， 所述第二安全单元接收所述第一安全单元发送的 安全通知信息。
[96] 例如， 安全配置信息可以包括： 检测周期、 检测对象、 异常事件特征等信息。 第一 安全单元可以根据安全配置信息的配制， 按照检测周期对 TEE 的检测对象进行异常事件 检测， 当发现某事件符合异常事件特征时， 判定触发安全事件， 由第一安全单元向安全服 务器的第二安全单元发出通知， 对安全服务器进行安全提示。 [97] 本申请实施例二的数据安全处理方法， 不同于只能处于被动工作状态的硬件 SE, 可 以通过第二安全单元向第一安全单元主动发出安全配置信息， 主动对异常情况进行监测， 主动感知并通过及时回调网络接口等方式实时向安全服务器上报所遭受的网络攻击。
[98] 图 3为本申请实施例三的终端的结构示意图， 如图 3所示， 本申请实施例三提供的 终端包括： 第一安全单元 31。 [99] 所述第一安全单元 31包括： 第一获取模块 311和处理模块 312。
[100]第一获取模块 311， 用于从安全服务器的第二安全单元获取安全数据。
[101]处理模块 312， 用于管理 SE应用和所述安全数据。 [102]其中， 所述 SE应用利用所述安全数据对可信执行环境的可信应用进行安全处理。
[103]进一步， 所述安全数据包括： 密钥数据。
[104]所述第一安全单元 31还包括： 密钥管理模块 313。
[105]所述密钥管理模块 313用于： 管理所述密钥数据。 [106]其中， 所述 SE应用利用从所述第二安全单元获取的所述密钥数据对所述可信应用的 处理数据进行加密或解密处理。
[107]进一步， 所述安全数据包括： 安全证书数据。
[108]所述第一安全单元还 31还包括： 安全证书管理模块 314。
[109]所述安全证书管理模块 314用于： 管理所述安全证书数据。 [110]其中， 所述 SE应用利用从所述第二安全单元获取的所述安全证书数据对所述可信应 用进行证书验证处理。
[111]进一步， 所述安全数据包括： 安全随机数数据。
[112]所述第一安全单元 31还包括： 安全随机数生成模块 315。
[113]所述安全随机数生成模块 315用于： 管理所述安全随机数数据。 [114]进一步， 所述安全数据包括： 安全算法数据。
[115]所述第一安全单元 31还包括： 安全算法模块 316。
[116]所述安全算法模块 316用于： 管理所述安全算法数据。
[117]其中， 所述 SE应用利用从所述第二安全单元获取的所述安全随机数数据或所述安全 算法数据进行安全计算处理。 [118]进一步， 所述第一安全单元 31还包括： 第二获取模块 317、 监测模块 318和通知模 块 319。
[119]第二获取模块 317， 用于从所述第二安全单元获取安全配置信息。
[120]监测模块 318， 用于根据所述安全配置信息主动对所述可信执行环境进行安全检测。
[121]通知模块 319 , 用于若触发安全事件， 向所述第二安全单元发送安全通知信息。 [122]本申请实施例三的终端， 为图 1 所示的数据安全处理方法的实现装置， 具体可参考 图 1的实施例一， 此处不再赘述。
[123]图 4为本申请实施例四的服务器的结构示意图， 如图 4所示， 本申请实施例四提供 的服务器包括： 第二安全单元 41。
[124]第二安全单元包括 41 : 第一发送模块 411。 [125]第一发送模块 411， 用于向终端的第一安全单元发送安全处理所需的安全数据， 以便 于所述终端的对可信执行环境的可信应用进行安全处理。
[126]进一步， 所述安全数据包括以下至少一项： 密钥数据、 安全证书数据、 安全随机数 数据、 安全算法数据。
[127]进一步， 所述第二单元 41包括： 第二发送模块 412、 接收模块 413。 [128]第二发送模块 412, 用于向所述第一安全单元发送安全配置信息， 以便于所述第一安 全单元根据所述安全配置信息主动对可信执行环境进行安全检测；
[129]接收模块 413 , 用于若终端触发安全事件，接收所述第一安全单元发送的安全通知信 息。
[130]本申请实施例四的服务器， 为图 2所示的数据安全处理方法的实现装置， 具体可参 考图 2的实施例二， 此处不再赘述。
[131]图 5为本申请实施例四的终端和服务器的连接示意图， 如图 5所示， 终端 30设有软 件模块形式的第一安全单元 31， 安全服务器 40设有软件模块形式的第二安全单元 41。
[132]第一安全单元 31通过第一获取模块 311从第二安全单元 41的第一发送模块 411获 取安全数据。 安全数据包括以下至少一项： 密钥数据、 安全证书数据、 安全随机数数据、 安全算法数据。密钥管理模块 313从第一获取模块 311获取到密钥数据并对密钥进行管理， 安全证书管理模块 314从第一获取模块 311获取到安全证书数据并对安全证书进行管理， 安全随机数生成模块 315从第一获取模块 311获取到安全随机数数据并对安全随机数进行 管理，安全算法模块 316从第一获取模块 311获取到安全算法数据并对安全算法进行管理。 第一安全单元 31的处理模块 312管理 SE应用， 当 SE应用需要使用安全数据时， 处理模 块 312从密钥管理模块 313、 安全证书管理模块 314、 安全随机数生成模块 315、 安全算 法模块 316分别调取密钥、 安全证书、 安全随机数、 安全算法等对 TA进行安全处理。
[133]第一安全单元 31通过第二获取模块 317从第二安全单元 41的第二发送模块 412获 取安全配置信息， 检测模块 318根据该安全配置信息主动对 TEE进行安全检测。 若触发 安全事件， 通知模块 319向第二安全单元 41的接收模块 413发送安全通知信息， 以提示 安全服务器位于终端的 TEE发生异常。
[134]本申请实施例还提供一种存储设备， 所述存储设备存储计算机程序指令， 所述计算 机程序指令根据本申请实施例一或实施例二所述的方法进行执行。
[135]本申请实施例还提供一种终端， 包括： 用于存储计算机程序指令的存储器和用于执 行计算机程序指令的处理器， 其中， 当该计算机程序指令被该处理器执行时， 触发所述终 端执行本申请实施例一所述的方法。
[136]根据本申请第七方面， 提供一种服务器， 包括： 用于存储计算机程序指令的存储器 和用于执行计算机程序指令的处理器， 其中， 当该计算机程序指令被该处理器执行时， 触 发所述服务器执行本申请实施例二所述的方法。
[137]本申请所指终端包括但不限于任何一种可与用户进行人机交互 （例如通过触摸板进 行人机交互）的电子产品， 例如智能手机、 平板电脑等移动电子产品， 所述移动电子产品 可以采用任意操作系统， 如 android操作系统、 iOS操作系统等。 其中， 所述服务器包括 一种能够按照事先设定或存储的指令， 自动进行数值计算和信息处理的电子设备， 其硬件 包括但不限于微处理器、 专用集成电路（ASIC）、 可编程逻辑器件（PLD） 、 现场可编程门 阵列 （FPGA） 、 数字信号处理器 （DSP） 、 嵌入式设备等。 所述服务器包括但不限于计 算机、 网络主机、 单个网络服务器、 多个网络服务器集或多个服务器构成的云； 在此， 云 由基于云计算（ Cloud Computing）的大量计算机或网络服务器构成， 其中， 云计算是分布 式计算的一种， 由一群松散接合的计算机集组成的一个虚拟超级计算机。 所述网络包括但 不限于互联网、 广域网、 城域网、 局域网、 VPN网络、 无线自组织网络（Ad Hoc网络） 等。 优选地， 所述终端和服务器还可以是运行于所述终端、 服务器、 或终端与服务器过网 络相集成所构成的设备上的程序。
[138]需要注意的是， 本申请可在软件和成软件与硬件的组合体中被实施， 例如， 可采用 专用集成电路（ASIC） 、 通用目的计算机或任何其他类似硬件设备来实现。 在一些实施 例中， 本申请的软件程序可以通过处理器执行以实现上文步骤或功能。 同样地， 本申请的 软件程序 （包括相关的数据结构）可以被存储到计算机可读记录介质中， 例如， RAM存 储器， 磁或光驱动器或软磁盘及类似设备。 另夕卜， 本申请的一些步骤或功能可采用硬件来 实现， 例如， 作为与处理器配合从而执行各个步骤或功能的电路。 [139]对于本领域技术人员而言， 显然本申请不限于上述示范性实施例的细节， 而且在不 背离本申请的精神或基本特征的情况下， 能够以其他的具体形式实现本申请。 因此， 无论 从哪一点来看， 均应将实施例看作是示范性的， 而且是非限制性的， 本申请的范围由所附 权利要求而不是上述说明限定， 因此旨在将落在权利要求的等同要件的含义和范围内的所 有变化涵括在本申请内。 不应将权利要求中的任何附图标记视为限制所涉及的权利要求。 此外， 显然“包括”一词不排除其他单元或步骤， 单数不排除复数。 装置权利要求中陈述的 多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。 第一， 第二等词语用 来表示名称， 而并不表示任何特定的顺序。

Claims

权利要求书
1. 一种数据安全处理方法， 其特征在于， 包括：
第一安全单元从安全服务器的第二安全单元获取安全数据；
所述第一安全单元的 SE应用利用所述安全数据对可信执行环境的可信应用进行安 全处理。
2. 根据权利要求 1所述的方法， 其特征在于，
所述第一安全单元包括： 密钥管理模块；
所述安全数据包括： 密钥数据；
所述安全处理包括： 通过所述 SE应用利用从所述第二安全单元获取的所述密钥数 据对所述可信应用的处理数据进行加密或解密处理。
3. 根据权利要求 1所述的方法， 其特征在于，
所述第一安全单元包括： 安全证书管理模块；
所述安全数据包括： 安全证书数据；
所述安全处理包括： 通过所述 SE应用利用从所述第二安全单元获取的所述安全证 书数据对所述可信应用进行证书验证处理。
4. 根据权利要求 1所述的方法， 其特征在于，
所述第一安全单元包括： 安全随机数生成模块或安全算法模块；
所述安全数据包括： 安全随机数数据或安全算法数据；
所述安全处理包括： 通过所述 SE应用利用从所述第二安全单元获取的所述安全随 机数数据或所述安全算法数据进行安全计算处理。
5. 根据权利要求 1至 4中任一项所述的方法， 其特征在于， 还包括：
所述第一安全单元从所述第二安全单元获取安全配置信息；
所述第一安全单元根据所述安全配置信息主动对所述可信执行环境进行安全检测； 若触发安全事件， 所述第一安全单元向所述第二安全单元发送安全通知信息。
6. 一种数据安全处理方法， 其特征在于， 包括：
利用第二安全单元向终端的第一安全单元发送安全处理所需的安全数据， 以便于所 述终端的对可信执行环境的可信应用进行安全处理。
7. 根据权利要求 6所述的方法， 其特征在于， 所述安全数据包括以下至少一项： 密 钥数据、 安全证书数据、 安全随机数数据、 安全算法数据。
8. 根据权利要求 6或 7所述的方法， 其特征在于， 还包括：
利用所述第二安全单元向所述第一安全单元发送安全配置信息， 以便于所述第一安 全单元根据所述安全配置信息主动对可信执行环境进行安全检测;
若终端触发安全事件， 所述第二安全单元接收所述第一安全单元发送的安全通知信 息。
9. 一种终端， 其特征在于， 包括： 第一安全单元；
所述第一安全单元包括：
第一获取模块， 用于从安全服务器的第二安全单元获取安全数据；
处理模块， 用于管理 SE应用和所述安全数据， 所述 SE应用利用所述安全数据对 可信执行环境的可信应用进行安全处理。
10. 根据权利要求 9所述的终端， 其特征在于， 所述安全数据包括： 密钥数据； 所述第一安全单元还包括： 密钥管理模块；
所述密钥管理模块用于： 管理所述密钥数据；
其中， 所述 SE应用利用从所述第二安全单元获取的所述密钥数据对所述可信应用 的处理数据进行加密或解密处理。
11. 根据权利要求 9所述的终端，其特征在于，所述安全数据包括：安全证书数据； 所述第一安全单元还包括： 安全证书管理模块；
所述密钥管理模块用于： 管理所述安全证书数据；
其中， 所述 SE应用利用从所述第二安全单元获取的所述安全证书数据对所述可信 应用进行证书验证处理。
12. 根据权利要求 9所述的终端， 其特征在于， 所述安全数据包括： 安全随机数数 据或安全算法数据；
所述第一安全单元还包括： 安全随机数生成模块或安全算法模块；
所述安全随机数生成模块用于： 管理所述安全随机数数据；
所述安全算法模块用于： 管理所述安全算法数据；
其中， 所述 SE应用利用从所述第二安全单元获取的所述安全随机数数据或所述安 全算法数据进行安全计算处理。
13. 根据权利要求 9至 12中任一项所述的终端，其特征在于，所述第一安全单元还 包括：
第二获取模块， 用于从所述第二安全单元获取安全配置信息；
监测模块， 用于根据所述安全配置信息主动对所述可信执行环境进行安全检测； 通知模块， 用于若触发安全事件， 向所述第二安全单元发送安全通知信息。
14. 一种服务器， 其特征在于， 包括： 第二安全单元； 第二安全单元包括：
第一发送模块， 用于向终端的第一安全单元发送安全处理所需的安全数据， 以便于 所述终端的对可信执行环境的可信应用进行安全处理。
15. 根据权利要求 14所述的服务器，其特征在于，所述安全数据包括以下至少一项： 密钥数据、 安全证书数据、 安全随机数数据、 安全算法数据。
16. 根据权利要求 14或 15所述的服务器， 其特征在于， 所述第二单元包括： 第二发送模块， 用于向所述第一安全单元发送安全配置信息， 以便于所述第一安全 单元根据所述安全配置信息主动对可信执行环境进行安全检测；
接收模块，用于若终端触发安全事件，接收所述第一安全单元发送的安全通知信息。
17. 一种存储设备， 其特征在于， 所述存储设备存储计算机程序指令， 所述计算机 程序指令根据权利要求 1至 8中任一项所述的方法进行执行。
18. 一种终端， 其特征在于， 包括： 用于存储计算机程序指令的存储器和用于执行 计算机程序指令的处理器， 其中， 当该计算机程序指令被该处理器执行时， 触发所述终 端执行权利要求 1至 5中任一项所述的方法。
19. 一种服务器， 其特征在于， 包括： 用于存储计算机程序指令的存储器和用于执 行计算机程序指令的处理器， 其中， 当该计算机程序指令被该处理器执行时， 触发所述 服务器执行权利要求 6至 8中任一项所述的方法。
PCT/CN2020/073733 2019-02-26 2020-01-22 数据安全处理方法及其终端、服务器 WO2020173272A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP20763256.3A EP3879783B1 (en) 2019-02-26 2020-01-22 Data security processing method and terminal thereof
US17/314,893 US11251976B2 (en) 2019-02-26 2021-05-07 Data security processing method and terminal thereof, and server

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201910142774.0 2019-02-26
CN201910142774.0A CN109922056B (zh) 2019-02-26 2019-02-26 数据安全处理方法及其终端、服务器

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/314,893 Continuation US11251976B2 (en) 2019-02-26 2021-05-07 Data security processing method and terminal thereof, and server

Publications (1)

Publication Number Publication Date
WO2020173272A1 true WO2020173272A1 (zh) 2020-09-03

Family

ID=66962364

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2020/073733 WO2020173272A1 (zh) 2019-02-26 2020-01-22 数据安全处理方法及其终端、服务器

Country Status (5)

Country Link
US (1) US11251976B2 (zh)
EP (1) EP3879783B1 (zh)
CN (1) CN109922056B (zh)
TW (1) TW202040403A (zh)
WO (1) WO2020173272A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109922056B (zh) * 2019-02-26 2021-09-10 创新先进技术有限公司 数据安全处理方法及其终端、服务器
US11848941B2 (en) * 2020-09-02 2023-12-19 Nxp B.V. Collection of diagnostic information in a device

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130304651A1 (en) * 2012-05-10 2013-11-14 Mastercard International Incorporated Systems and method for providing multiple virtual secure elements in a single physical secure element of a mobile device
CN108055129A (zh) * 2017-12-22 2018-05-18 恒宝股份有限公司 一种实现手机盾密钥统一管理的方法、设备及系统
CN108282467A (zh) * 2017-12-29 2018-07-13 北京握奇智能科技有限公司 数字证书的应用方法、系统
CN109922056A (zh) * 2019-02-26 2019-06-21 阿里巴巴集团控股有限公司 数据安全处理方法及其终端、服务器

Family Cites Families (46)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7530103B2 (en) 2003-08-07 2009-05-05 Microsoft Corporation Projection of trustworthiness from a trusted environment to an untrusted environment
US9177153B1 (en) 2005-10-07 2015-11-03 Carnegie Mellon University Verifying integrity and guaranteeing execution of code on untrusted computer platform
US9274974B1 (en) 2005-10-21 2016-03-01 Vmware, Inc. Isolating data within a computer system using private shadow mappings
GB0707150D0 (en) 2007-04-13 2007-05-23 Hewlett Packard Development Co Dynamic trust management
US8583908B2 (en) 2007-12-31 2013-11-12 Intel Corporation Enhanced network and local boot of Unified Extensible Firmware Interface images
US8950007B1 (en) 2008-04-07 2015-02-03 Lumension Security, Inc. Policy-based whitelisting with system change management based on trust framework
US7984286B2 (en) 2008-06-25 2011-07-19 Intel Corporation Apparatus and method for secure boot environment
US8151349B1 (en) 2008-07-21 2012-04-03 Google Inc. Masking mechanism that facilitates safely executing untrusted native code
US8136158B1 (en) 2008-07-21 2012-03-13 Google Inc. User-level segmentation mechanism that facilitates safely executing untrusted native code
US20100153721A1 (en) * 2008-12-12 2010-06-17 Anders Mellqvist Portable Electronic Devices, Systems, Methods and Computer Program Products for Accessing Remote Secure Elements
US8213618B2 (en) 2008-12-30 2012-07-03 Intel Corporation Protecting content on client platforms
US8627414B1 (en) 2009-08-04 2014-01-07 Carnegie Mellon University Methods and apparatuses for user-verifiable execution of security-sensitive code
US8832452B2 (en) 2010-12-22 2014-09-09 Intel Corporation System and method for implementing a trusted dynamic launch and trusted platform module (TPM) using secure enclaves
US10496824B2 (en) 2011-06-24 2019-12-03 Microsoft Licensing Technology, LLC Trusted language runtime on a mobile platform
CN102857913B (zh) * 2011-06-28 2015-03-11 中国移动通信集团公司 在建立安全信道时进行鉴权的方法、装置、智能卡及终端
KR20140069065A (ko) 2011-09-30 2014-06-09 인텔 코오퍼레이션 가상 머신 및 네스티드 가상 머신 매니저의 인증 론치
US9389933B2 (en) 2011-12-12 2016-07-12 Microsoft Technology Licensing, Llc Facilitating system service request interactions for hardware-protected applications
KR101436872B1 (ko) * 2012-11-29 2014-09-02 에스케이씨앤씨 주식회사 보안 요소 정보 관리 방법 및 시스템
US9742559B2 (en) 2013-01-22 2017-08-22 Qualcomm Incorporated Inter-module authentication for securing application execution integrity within a computing device
US8935746B2 (en) 2013-04-22 2015-01-13 Oracle International Corporation System with a trusted execution environment component executed on a secure element
US9395993B2 (en) 2013-07-29 2016-07-19 Intel Corporation Execution-aware memory protection
US9509502B2 (en) 2014-03-13 2016-11-29 Intel Corporation Symmetric keying and chain of trust
US9779224B2 (en) * 2014-05-05 2017-10-03 Securekey Technologies Inc. Methods and systems for client-enhanced challenge-response authentication
US9264410B2 (en) * 2014-06-05 2016-02-16 Sony Corporation Dynamic configuration of trusted executed environment resources
US9785801B2 (en) 2014-06-27 2017-10-10 Intel Corporation Management of authenticated variables
US9705849B2 (en) 2014-09-30 2017-07-11 Intel Corporation Technologies for distributed detection of security anomalies
US9940456B2 (en) 2014-12-16 2018-04-10 Intel Corporation Using trusted execution environments for security of code and data
US9621547B2 (en) * 2014-12-22 2017-04-11 Mcafee, Inc. Trust establishment between a trusted execution environment and peripheral devices
US9832207B2 (en) 2014-12-23 2017-11-28 Mcafee, Inc. Input verification
US9996690B2 (en) 2014-12-27 2018-06-12 Mcafee, Llc Binary translation of a trusted binary with input tagging
US10187363B2 (en) * 2014-12-31 2019-01-22 Visa International Service Association Hybrid integration of software development kit with secure execution environment
CN107533501A (zh) * 2015-03-20 2018-01-02 里维茨公司 使用区块链自动认证设备完整性
EP3113501A1 (en) * 2015-06-29 2017-01-04 Nagravision SA Content protection
US9904805B2 (en) 2015-09-23 2018-02-27 Intel Corporation Cryptographic cache lines for a trusted execution environment
US10516533B2 (en) 2016-02-05 2019-12-24 Mohammad Mannan Password triggered trusted encryption key deletion
CN105791284B (zh) 2016-02-29 2019-04-05 华为技术有限公司 一种数据安全传输装置及方法
CN106102054A (zh) * 2016-05-27 2016-11-09 深圳市雪球科技有限公司 一种对安全单元进行安全管理的方法以及通信系统
CN105847000A (zh) * 2016-05-27 2016-08-10 深圳市雪球科技有限公司 令牌产生方法以及基于该令牌产生方法的通信系统
US10402566B2 (en) 2016-08-01 2019-09-03 The Aerospace Corporation High assurance configuration security processor (HACSP) for computing devices
US10303899B2 (en) 2016-08-11 2019-05-28 Intel Corporation Secure public cloud with protected guest-verified host control
CN106506472B (zh) 2016-11-01 2019-08-02 黄付营 一种安全的移动终端电子认证方法及系统
US10530777B2 (en) 2017-01-24 2020-01-07 Microsoft Technology Licensing, Llc Data unsealing with a sealing enclave
CN107171814A (zh) * 2017-07-26 2017-09-15 恒宝股份有限公司 一种数字证书更新方法及装置
CN107682159B (zh) * 2017-10-12 2021-02-02 北京握奇智能科技有限公司 一种智能终端的可信应用管理方法和可信应用管理系统
CN108200078B (zh) * 2018-01-18 2021-01-05 中国建设银行股份有限公司 签名认证工具的下载安装方法及终端设备
CN109040147B (zh) * 2018-10-30 2023-08-15 北京握奇智能科技有限公司 一种基于tee+se的加解密的方法和系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130304651A1 (en) * 2012-05-10 2013-11-14 Mastercard International Incorporated Systems and method for providing multiple virtual secure elements in a single physical secure element of a mobile device
CN108055129A (zh) * 2017-12-22 2018-05-18 恒宝股份有限公司 一种实现手机盾密钥统一管理的方法、设备及系统
CN108282467A (zh) * 2017-12-29 2018-07-13 北京握奇智能科技有限公司 数字证书的应用方法、系统
CN109922056A (zh) * 2019-02-26 2019-06-21 阿里巴巴集团控股有限公司 数据安全处理方法及其终端、服务器

Also Published As

Publication number Publication date
EP3879783A4 (en) 2021-12-22
CN109922056B (zh) 2021-09-10
US20210266181A1 (en) 2021-08-26
EP3879783A1 (en) 2021-09-15
CN109922056A (zh) 2019-06-21
TW202040403A (zh) 2020-11-01
US11251976B2 (en) 2022-02-15
EP3879783B1 (en) 2023-05-17

Similar Documents

Publication Publication Date Title
US11489678B2 (en) Platform attestation and registration for servers
JP7416775B2 (ja) 周辺デバイス
JP6991431B2 (ja) ホストシステムとデータ処理アクセラレータの間の通信を保護するための方法およびシステム
TWI623853B (zh) 用以充當驗證器之裝置、用於遠端認證之方法及非暫時性機器可讀儲存媒體（二）
EP3265950B1 (en) Device attestation through security hardened management agent
TWI393148B (zh) 整合至內建的記憶體子系統之安全共同處理記憶體控制器及最佳化處理器利用和產生增強的安全等級之方法
US11252193B2 (en) Attestation service for enforcing payload security policies in a data center
JP2019517080A (ja) ハードウェアーベースのセキュアーな分離された領域を使用して電子デバイス上での著作権侵害および不正行為を防止すること
US8612753B2 (en) Method and apparatus for protected code execution on clients
EP3736718B1 (en) A tpm-based secure multiparty computing system using a non-bypassable gateway
WO2020173272A1 (zh) 数据安全处理方法及其终端、服务器
CN107077568B (zh) 对称密钥和信任链
CN112910641B (zh) 用于跨链交易监管的验证方法、装置、中继链节点及介质
CN115270141A (zh) 基于区块链的密钥处理方法、装置、设备以及存储介质
JP2023516165A (ja) ソフトウェアのライセンス情報の監視方法、装置、サーバ及び記憶媒体
JP7466800B2 (ja) 情報処理システム、情報処理方法、および、情報処理プログラム
US20240348426A1 (en) System and method for managing the security of sensitive data using multiple encryption
US20240345741A1 (en) System and method for managing data storage to identify undesired data modification
CN117194286B (zh) 微控制单元、处理器、访问方法和访问系统
JP6088882B2 (ja) 制御装置および制御方法
CN118199884A (zh) 基于区块链的任务执行方法和装置
TW202221541A (zh) 資料共用授權方法、區塊鏈系統、共用裝置及查詢裝置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20763256

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020763256

Country of ref document: EP

Effective date: 20210607

NENP Non-entry into the national phase

Ref country code: DE