CN104125216A - 一种提升可信执行环境安全性的方法、***及终端 - Google Patents

Abstract

本发明实施例公开了一种提升可信执行环境TEE安全性的方法、***及终端，方法包括：获取可信应用向目标服务器发起的连接请求，所述连接请求中包含所述目标服务器的标识；通过调制解调器获取智能卡中存储的服务器列表；根据所述目标服务器的标识判断所述目标服务器是否包含在所述服务器列表中；若是，则允许所述可信应用与所述目标服务器建立连接，若否，则拒绝所述可信应用与所述目标服务器建立连接。本发明实施例能够通过智能卡提升TEE的安全性。

Description

一种提升可信执行环境安全性的方法、***及终端

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种提升可信执行环境安全性的方法、***及终端。

背景技术

随着移动网络和智能终端的高速发展以及消费电子产品智能化的普及，移动应用的种类和数量越来越多。当前的移动应用已经不仅限于对智能终端的基本功能、娱乐功能方面的扩展，它所涉及的领域逐渐扩大到各行各业，例如：移动支付相关的金融应用、内容版权保护应用以及云计算下瘦终端的安全应用等，这些行业应用都需要更高安全级别的终端运行环境。

然而，智能终端的操作***本身的设计主要侧重于功能性方面要求，并非从安全性角度出发，同时加上整个***的开放性、庞大性、复杂性而无法杜绝相应的***漏洞，致使一些利用这些漏洞的恶意程序不断出现，从而造成应用程序处于危险之中。虽然可以利用一些软件防护手段，如防火墙、杀毒软件等进行相应的保护，但由于新型病毒程序的层出不穷以及经常性的***更新升级，导致无法做到软件上的完全保护。

基于这些问题，业界进行了深入的研究工作，提出一种新型解决思路，即把同一硬件设备划为两种相互独立且硬件上隔离的执行环境：普通执行环境(Rich Execution Environment，REE)和可信执行环境(Trusted ExecutionEnvironment，TEE)。平台上的软硬件资源可以分别标识为两种执行环境状态，标识为安全执行状态的软硬件资源只能由可信执行环境所访问，而标识为普通执行状态的软硬件资源则可以为两种执行环境所访问。普通执行环境运行目前常用的移动操作***如Android等，可信执行环境运行一个功能简单、代码量小、封闭且可人为审核控制的安全操作***。安全性要求较高的应用部署在安全操作***中，并为部署在移动操作***中的普通应用提供安全服务。当普通应用调用相应的安全应用执行时，硬件设备由普通执行环境切换到可信执行环境执行，此时整个硬件设备处于可信状态，设备与外界的交互都得到控制，保证都是真实可信的行为。

TEE的软硬件执行环境和REE类似，通过芯片的特有技术(如ARM的Trustzone技术，或者Intel多CPU技术)，实现TEE和REE的物理运行环境的隔离，从而保障在TEE运行环境中的应用程序的安全性。TEE使用的外设都需要具备安全属性，这样才可以避免TEE访问外设的时候造成的安全数据泄漏风险。

在一个具体的应用中，例如用户在使用手机的过程中，遇到支付等敏感操作，就需要从REE中切换到TEE中完成相应操作，用户的密码、账号等信息均在TEE的环境下完成输入。TEE技术的出现在一定程度上保证了手机支付应用和数据的隔离，比之原有的在REE中完成所有支付活动自然是提升了安全性。但是TEE技术本身并不能完全保证用户数据不被篡改或者攻击，且TEE并不是一个完全封闭的操作***和运行环境，TEE中的应用依然需要通过REE实现与远程服务器的数据交互，例如在线支付过程中，TEE中的应用需要和远程服务器进行通信，TEE中的应用通过REE向远程服务器发起连接请求，由REE中的操作***完成数据的连接功能，另外在对TEE中应用定期更新，修补软件漏洞和升级安全算法时也需要通过REE与远程服务器进行数据交互，安全性还是无法保障。

发明内容

有鉴于此，本发明实施例提供了一种提升可信执行环境安全性的方法、***及终端，能够通过智能卡提升TEE的安全性。

本发明实施例第一方面提供了一种提升可信执行环境TEE安全性的方法，包括：

获取可信应用向目标服务器发起的连接请求，所述连接请求中包含所述目标服务器的标识；

通过调制解调器获取智能卡中存储的服务器列表；

根据所述目标服务器的标识判断所述目标服务器是否包含在所述服务器列表中；

若是，则允许所述可信应用与所述目标服务器建立连接，若否，则拒绝所述可信应用与所述目标服务器建立连接。

结合本发明实施例的第一方面，在本发明实施例第一方面的第一种实施方式中，在所述可信应用与所述目标服务器建立连接之后，所述方法还包括：

将所述可信应用的标识通过所述调制解调器发送至所述智能卡，以请求所述智能卡根据所述智能卡中存储的与所述可信应用的标识对应的认证算法对所述可信应用进行认证。

结合本发明实施例第一方面的第一种实施方式，在本发明实施例第一方面的第二种实施方式中，在将所述可信应用的标识通过所述调制解调器发送至所述智能卡的同时，还将所述可信应用响应于所述目标服务器发送的认证请求的认证数据通过所述调制解调器发送至所述智能卡，所述认证数据中包含所述目标服务器的标识；

在请求所述智能卡对所述可信应用进行认证之后，所述方法还包括：

判断所述智能卡对所述可信应用的认证结果是否为成功；

在所述智能卡对所述可信应用的认证结果为成功时，通过所述调制解调器从所述智能卡获取对所述可信应用与所述目标服务器之间传输的数据进行加密、解密、签名或校验所使用的临时通信密钥，所述临时通信密钥由所述智能卡根据所述可信应用的标识、所述目标服务器的标识及预设的算法生成。

结合本发明实施例第一方面的第二种实施方式，在本发明实施例第一方面的第三种实施方式中，所述智能卡中的服务器列表、认证算法及临时通信密钥由智能卡发行商负责管理。

结合本发明实施例的第一方面，或第一方面的第一种实施方式，或第一方面的第二种实施方式，或第一方面的第三种实施方式，在本发明实施例第一方面的第四种实施方式中，所述智能卡包括：用户身份识别SIM卡，通用集成电路卡UICC及嵌入式通用集成电路卡eUICC。

结合本发明实施例的第一方面，或第一方面的第一种实施方式，或第一方面的第二种实施方式，或第一方面的第三种实施方式，在本发明实施例第一方面的第五种实施方式中，所述可信应用与所述目标服务器之间通过所述调制解调器拨号建立连接，或者所述可信应用与所述目标服务器之间通过WIFI建立连接。

结合本发明实施例的第一方面，或第一方面的第一种实施方式，或第一方面的第二种实施方式，或第一方面的第三种实施方式，在本发明实施例第一方面的第六种实施方式中，所述服务器列表中包括所述可信应用进行数值处理时所需要连接的服务器及对所述可信应用进行维护时所需连接的服务器。

本发明实施例第二方面提供了一种终端，所述终端支持可信执行环境TEE，包括：

第一获取单元，用于获取可信应用向目标服务器发起的连接请求，所述连接请求中包含所述目标服务器的标识；

第二获取单元，用于通过调制解调器获取智能卡中存储的服务器列表；

判断单元，用于根据所述目标服务器的标识判断所述目标服务器是否包含在所述服务器列表中；

处理单元，用于当所述目标服务器包含在所述服务器列表中时，允许所述可信应用与所述目标服务器建立连接，当所述目标服务器不包含在所述服务器列表中时，拒绝所述可信应用与所述目标服务器建立连接。

结合本发明实施例的第二方面，在本发明实施例第二方面的第一种实施方式中，所述终端还包括：

发送单元，用于在所述可信应用与所述目标服务器建立连接之后，将所述可信应用的标识通过所述调制解调器发送至所述智能卡，以请求所述智能卡根据所述智能卡中存储的与所述可信应用的标识对应的认证算法对所述可信应用进行认证。

结合本发明实施例第二方面的第一种实施方式，在本发明实施例第二方面的第二种实施方式中，所述发送单元还用于，在将所述可信应用的标识通过所述调制解调器发送至所述智能卡的同时，还将所述可信应用响应于所述目标服务器发送的认证请求的认证数据通过所述调制解调器发送至所述智能卡，所述认证数据中包含所述目标服务器的标识；

所述判断单元还用于，判断所述智能卡对所述可信应用的认证结果是否为成功；

所述终端还包括：

第三获取单元，用于在所述智能卡对所述可信应用的认证结果为成功时，通过所述调制解调器从所述智能卡获取对所述可信应用与所述目标服务器之间传输的数据进行加密、解密、签名或校验所使用的临时通信密钥，所述临时通信密钥由所述智能卡根据所述可信应用的标识、所述目标服务器的标识及预设的算法生成。

结合本发明实施例第二方面的第二种实施方式，在本发明实施例第二方面的第三种实施方式中，所述智能卡中的服务器列表、认证算法及临时通信密钥由智能卡发行商负责管理。

结合本发明实施例的第二方面，或第二方面的第一种实施方式，或第二方面的第二种实施方式，或第二方面的第三种实施方式，在本发明实施例第二方面的第四种实施方式中，所述智能卡包括：用户身份识别SIM卡，通用集成电路卡UICC及嵌入式通用集成电路卡eUICC。

结合本发明实施例的第二方面，或第二方面的第一种实施方式，或第二方面的第二种实施方式，或第二方面的第三种实施方式，在本发明实施例第二方面的第五种实施方式中，所述终端还包括：

连接建立单元，用于将所述可信应用与所述目标服务器之间通过所述调制解调器拨号建立连接，或者将所述可信应用与所述目标服务器之间通过WIFI建立连接。

结合本发明实施例的第二方面，或第二方面的第一种实施方式，或第二方面的第二种实施方式，或第二方面的第三种实施方式，在本发明实施例第二方面的第六种实施方式中，所述服务器列表中包括所述可信应用进行数值处理时所需要连接的服务器及对所述可信应用进行维护时所需连接的服务器。

本发明实施例第三方面提供了一种提升可信执行环境TEE安全性的***，包括如前述第二方面或第二方面的任意一种实施方式所提供的终端、服务器及智能卡。

从以上技术方案可以看出，本发明实施例具有以下优点：

本发明实施例中，获取可信应用向目标服务器发起的连接请求，所述连接请求中包含所述目标服务器的标识；通过调制解调器获取智能卡中存储的服务器列表；根据所述目标服务器的标识判断所述目标服务器是否包含在所述服务器列表中；若是，则允许所述可信应用与所述目标服务器建立连接，若否，则拒绝所述可信应用与所述目标服务器建立连接。即本发明实施例中，可信应用通过智能卡实现与目标服务器的交互，代替了现有技术中的可信应用通过REE实现与目标服务器交互的过程，本发明实施例中将可信的服务器列表存储在智能卡中，由于智能卡具有芯片较小，对外端口单一等特点，对物理攻击和软件攻击的防范优于REE环境，因此将可信的服务器列表存储在智能卡中，能够有效防止用户信息被篡改和攻击，保证可信应用连接到合法服务器，提升了TEE环境的安全性。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提升可信执行环境安全性的方法一个实施例示意图；

图2为本发明提升可信执行环境安全性的方法另一实施例示意图；

图3为本发明终端一个实施例示意图；

图4为本发明终端另一实施例示意图；

图5为本发明终端另一实施例示意图；

图6为本发明提升可信执行环境安全性的***一个实施例示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供了一种提升可信执行环境安全性的方法、***及终端，能够通过智能卡提升TEE的安全性。

请参阅图1，本发明提升可信执行环境安全性的方法一个实施例包括：

101、终端获取可信应用向目标服务器发起的连接请求；

本实施例中，终端中可支持两种运行环境：可信执行环境TEE及普通执行环境REE，其中，可信应用(Trusted Application，TA)运行在可信执行环境中。可信应用向目标服务器发起的连接请求中包含目标服务器的标识，该标识可以包括目标服务器的地址、端口号等。

102、终端通过调制解调器获取智能卡中存储的服务器列表；

具体实现中，调制解调器可为终端组成的一部分，包含于终端中。智能卡可为独立于终端的另一设备，智能卡用于存储服务器列表。智能卡具有芯片较小，对外端口单一等物理特性。

103、终端判断目标服务器是否包含在服务器列表中，若是，则执行步骤104，若否，则执行步骤105；

若目标服务器的标识与服务器列表中包含的服务器的标识一致，则认为目标服务器包含在服务器列表中，否则，认为目标服务器不包含于服务器列表中，这个判断的过程是为了确保可信应用连接的目标服务器为可信的服务器。

104、允许可信应用与目标服务器建立连接；

105、拒绝可信应用与目标服务器建立连接。

本实施例中，可信应用通过智能卡实现与目标服务器的交互，代替了现有技术中的可信应用通过REE实现与目标服务器交互的过程，本实施例中将可信的服务器列表存储在智能卡中，由于智能卡具有芯片较小，对外端口单一等特点，对物理攻击和软件攻击的防范优于REE环境，因此将可信的服务器列表存储在智能卡中，能够有效防止用户信息被篡改和攻击，保证可信应用连接到合法服务器，提升了TEE环境的安全性。

为便于理解，下面以一个具体实施例描述本发明提升可信执行环境TEE安全性的方法，请参阅图2，本实施例的方法包括：

201、终端获取可信应用向目标服务器发起的连接请求；

本实施例中，终端中可支持两种运行环境：可信执行环境TEE及普通执行环境REE，其中，可信应用(Trusted Application，TA)运行在可信执行环境中。可信应用向目标服务器发起的连接请求中包含目标服务器的标识，该标识可以包括目标服务器的地址、端口号等。

202、终端通过调制解调器获取智能卡中存储的服务器列表；

具体实现中，智能卡可为独立于终端存在的一种设备，智能卡包括用户身份识别(Subscriber Identity Module，SIM)卡，通用集成电路卡(UniversalIntegrated Circuit Card，UICC)及嵌入式(embed)通用集成电路卡eUICC。

服务器列表中包括可信应用进行数值处理时需要连接的服务器及对可信应用进行维护时所需连接的服务器。其中，数值处理可以包括支付、验证、查询及对账等；对可信应用进行的维护可以包括：对可信应用进行程序更新、修补软件漏洞及升级安全算法等。

203、终端判断目标服务器是否包含在服务器列表中，若否，则执行步骤204，若是，则执行步骤205；

204、终端拒绝可信应用与目标服务器建立连接；

205、终端允许可信应用与目标服务器建立连接；

可信应用与目标服务器之间通过调制解调器拨号建立连接，或者可信应用与目标服务器之间通过WIFI建立连接。

206、终端将认证数据及可信应用的标识通过调制解调器发送至智能卡，以请求智能卡对可信应用进行认证，所述认证数据中包含目标服务器的标识；

智能卡中存储有不同的认证算法，每种认证算法对应一种可信应用的标识(Application，AID)，用于对对应的可信应用进行认证。

在可信应用与目标服务器建立连接后，目标服务器需要对可信应用进行认证，目标服务器可通过已有的无线链路向可信应用发起认证请求，可信应用响应目标服务器发起的认证请求，返回认证数据。

终端获取认证数据，将认证数据及可信应用的标识AID通过调制解调器发送至智能卡，以由智能卡根据自身存储的与可信应用的AID对应的认证算法对可信应用进行认证，并将认证结果返回给终端。

207、终端判断认证结果是否为成功，若是，则执行步骤208，若否，则执行步骤209，结束处理；

208、终端通过调制解调器从智能卡获取临时通信密钥。

当智能卡返回的认证结果为成功时，终端通过调制解调器从智能卡获取临时通信密钥，临时通信密钥由智能卡根据可信应用的标识、目标服务器的标识及预设的算法生成，终端使用临时通信密钥对可信应用与目标服务器之间传输的数据进行加密、解密、签名或校验等，以保护数据的安全性与完整性。

一旦可信应用与目标服务器的连接断开，临时通信密钥即失效，即可信应用与目标服务器每次通信都会使用不同的临时通信密钥，保证了即使某一次通信过程被破解，也不会造成更大的损失。

另外，本实施例中，智能卡中的服务器列表、认证算法及临时通信密钥由智能卡发行商负责管理，即智能卡发行商持有根密钥和根证书，负责维护智能卡中存储的数据，这些维护包括智能卡中数据的写入、更新及删除。终端中不具有根密钥和根证书，保证了智能卡中数据存储的唯一性，提高了智能卡中数据存储的安全性。用户通过智能卡发行商可以注销智能卡，这样就能避免终端丢失造成用户资金的损失，智能卡发行商可以通过简单的短信关闭智能卡的认证功能，并删除服务器列表。

本实施例中，可信应用通过智能卡实现与目标服务器的交互，代替了现有技术中的可信应用通过REE实现与目标服务器交互的过程，将可信的服务器列表，认证算法存储在智能卡中，且可信应用与目标服务器之间通信过程中所使用的临时通信密钥也由智能卡负责生成，智能卡与终端独立存在，且智能卡的维护由智能卡发行商负责，能够有效防止卡内信息被篡改，另外由于智能卡本身具有较强的防范物理攻击及软件攻击的能力，可信应用与目标服务器的通信过程涉及的机要数据都通过智能卡获取，且可信应用的认证过程也放在智能卡中实现，因此，本实施例能够避免可信执行环境被恶意攻击或者植入恶意程序，从而提高了可信执行环境的安全性。

下面对本发明实施例提供的终端进行描述，本实施例的终端支持可信执行环境TEE，请参阅图3，本实施例的终端300包括：

第一获取单元301，用于获取可信应用向目标服务器发起的连接请求，所述连接请求中包含目标服务器的标识；

第二获取单元302，用于通过调制解调器获取智能卡中存储的服务器列表；

判断单元303，用于根据目标服务器的标识判断目标服务器是否包含在服务器列表中；

处理单元304，用于当目标服务器包含在服务器列表中时，允许可信应用与目标服务器建立连接，当目标服务器不包含在服务器列表中时，拒绝可信应用与目标服务器建立连接。

本实施例中，判断单元通过从智能卡中获取的服务器列表判断可信应用请求连接的目标服务器是否合法，处理单元在目标服务器包含在服务器列表中时，允许可信应用与目标服务器建立连接，在目标服务器没有包含在服务器列表中时，拒绝可信应用与目标服务器建立连接，即本实施例中，可信应用通过智能卡实现与目标服务器的交互，代替了现有技术中的可信应用通过REE实现与目标服务器交互的过程，将可信的服务器列表存储在智能卡中，由于智能卡具有芯片较小，对外端口单一等特点，对物理攻击和软件攻击的防范优于REE环境，因此将可信的服务器列表存储在智能卡中，能够有效防止用户信息被篡改和攻击，保证可信应用连接到合法服务器，提升了TEE环境的安全性。

下面进一步描述本发明实施例的终端，请参阅图4，本实施例的终端400包括：

第一获取单元401，用于获取可信应用向目标服务器发起的连接请求，所述连接请求中包含目标服务器的标识；

第二获取单元402，用于通过调制解调器获取智能卡中存储的服务器列表；

判断单元403，用于根据目标服务器的标识判断目标服务器是否包含在服务器列表中；

处理单元404，用于当目标服务器包含在服务器列表中时，允许可信应用与目标服务器建立连接，当目标服务器不包含在服务器列表中时，拒绝可信应用与目标服务器建立连接；

连接建立单元405，用于将可信应用与目标服务器之间通过调制解调器拨号建立连接，或者将可信应用与目标服务器之间通过WIFI建立连接；

发送单元406，用于在可信应用与目标服务器建立连接之后，将可信应用响应于目标服务器发送的认证请求的认证数据及可信应用的标识通过调制解调器发送至智能卡，以请求智能卡根据智能卡中存储的与可信应用的标识对应的认证算法对可信应用进行认证，所述认证数据中包含目标服务器的标识；

其中，判断单元403还用于，判断智能卡对可信应用的认证结果是否为成功；

终端400还包括第三获取单元407，用于在智能卡对可信应用的认证结果为成功时，通过调制解调器从智能卡获取对可信应用与目标服务器之间传输的数据进行加密、解密、签名及校验所使用的临时通信密钥，所述临时通信密钥由智能卡根据可信应用的标识、目标服务器的标识及预设的算法生成。

为便于理解，下面以一个实际应用场景对本实施例提供的终端400内的各单元之间的交互方式进行描述，具体如下：

首先，本实施例的终端中可支持两种运行环境：可信执行环境TEE及普通执行环境REE，其中，可信应用(Trusted Application，TA)运行在可信执行环境中。可信应用向目标服务器发起连接请求，第一获取单元401获取连接请求，连接请求中包含目标服务器的标识，该标识可以包括目标服务器的地址、端口号等。

接下来第二获取单元402通过调制解调器获取智能卡中存储的服务器列表。其中，智能卡可为独立于终端存在的一种设备，智能卡包括用户身份识别SIM卡，通用集成电路卡UICC及嵌入式通用集成电路卡eUICC。服务器列表中包括可信应用进行数值处理时所需要连接的服务器及对可信应用进行维护时所需连接的服务器。其中，数值处理可以包括支付、验证、查询及对账等；对可信应用进行的维护可以包括：对可信应用进行程序更新、修补软件漏洞及升级安全算法等。

判断单元403判断目标服务器是否包含在服务器列表中。具体地，判断单元403判断目标服务器的标识与服务器列表中包含的服务器的标识一致，，若是，则认为目标服务器包含在服务器列表中，否则，认为目标服务器不包含于服务器列表中，这个判断的过程是为了确保可信应用连接的目标服务器为可信的服务器。处理单元404在判断单元403的判断结果为否时，拒绝可信应用与目标服务器建立连接，在判断单元403的判断结果为是时，允许可信应用与目标服务器建立连接。

在处理单元404允许可信应用与目标服务器建立连接时，连接建立单元405将可信应用与目标服务器之间通过调制解调器拨号建立连接，或者将可信应用与目标服务器之间通过WIFI建立连接。

在可信应用与目标服务器建立连接后，目标服务器需要对可信应用进行认证，目标服务器可通过已有的无线链路向可信应用发起认证请求，可信应用响应目标服务器发起的认证请求，返回认证数据。第一获取单元401获取认证数据，由发送单元406将认证数据及可信应用的标识通过调制解调器发送至智能卡，以请求智能卡对可信应用进行认证，所述认证数据中包含目标服务器的标识。

智能卡中存储有不同的认证算法，每种认证算法对应一种可信应用的标识(Application，AID)，用于对对应的可信应用进行认证。智能卡根据自身存储的与可信应用的AID对应的认证算法对可信应用进行认证，并将认证结果返回给终端。

判断单元403判断智能卡返回的认证结果是否为成功，若为成功，则由第三获取单元407通过调制解调器从智能卡获取临时通信密钥，临时通信密钥由智能卡根据可信应用的标识、目标服务器的标识及预设的算法生成，终端使用临时通信密钥对可信应用与目标服务器之间传输的数据进行加密、解密、签名或校验等，以保护数据的安全性与完整性；若未失败，则结束处理。

一旦可信应用与目标服务器的连接断开，临时通信密钥即失效，即可信应用与目标服务器每次通信都会使用不同的临时通信密钥，保证了即使某一次通信过程被破解，也不会造成更大的损失。

另外，本实施例中，智能卡中的服务器列表、认证算法及临时通信密钥由智能卡发行商负责管理，即智能卡发行商持有根密钥和根证书，负责维护智能卡中存储的数据，这些维护包括智能卡中数据的写入、更新及删除。终端中不具有根密钥和根证书，保证了智能卡中数据存储的唯一性，提高了智能卡中数据存储的安全性。用户通过智能卡发行商可以注销智能卡，这样就能避免终端丢失造成用户资金的损失，智能卡发行商可以通过简单的短信关闭智能卡的认证功能，并删除服务器列表。

本实施例中，判断单元根据智能卡中存储的服务器列表判断目标服务器是否合法，发送单元将认证数据发送至智能卡，以由智能卡对可信应用进行认证，且通过过程中使用的临时通信密钥由第三获取单元从智能卡获取，即本实施例中，可信应用通过智能卡实现与目标服务器的交互，代替了现有技术中的可信应用通过REE实现与目标服务器交互的过程，由于智能卡本身具有较强的防范物理攻击及软件攻击的能力，可信应用与目标服务器的通信过程涉及的机要数据都通过智能卡获取，且可信应用的认证过程也放在智能卡中实现，因此，本实施例能够避免可信执行环境被恶意攻击或者植入恶意程序，从而提高了可信执行环境的安全性。

下面请参阅图5，图5示出了本发明实施例提供的终端的结构，本发明实施例提供的终端可以用于实施上述实施例提供的提升可信执行环境TEE安全性的方法。为了便于说明，仅示出了与本发明实施例相关的部分，具体技术细节未揭露的，请参照本发明方法实施例部分进行理解。在实际应用中，终端500可以为手机，平板电脑，个数数字助理(Personal Digital Assistant，PDA)等设备。具体来讲：

终端500可以包括RF(Radio Frequency，射频)电路510、包括有一个或一个以上计算机可读存储介质的存储器520、输入单元530、显示单元540、传感器550、音频电路560、WiFi(wireless fidelity，无线保真)模块570、包括有一个或者一个以上处理核心的处理器580、以及电源590等部件。本领域技术人员可以理解，图5中示出的结构并不构成对预测用户离网的终端500的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。其中：

RF电路510可用于收发消息或通话过程中，信号的接收和发送，特别地，将基站的下行信息接收后，交由一个或者一个以上处理器580处理；另外，将涉及上行的数据发送给基站。通常，RF电路510包括但不限于天线、至少一个放大器、调谐器、一个或多个振荡器、用户身份模块(SIM)卡、收发信机、耦合器、LNA(Low Noise Amplifier，低噪声放大器)、双工器等。此外，RF电路510还可以通过无线通信与网络和其他设备通信。所述无线通信可以使用任一通信标准或协议，包括但不限于GSM(Global System of Mobilecommunication，全球移动通讯***)、GPRS(General Packet Radio Service，通用分组无线服务)、CDMA(Code Division Multiple Access，码分多址)、WCDMA(Wideband Code Division Multiple Access,宽带码分多址)、LTE(LongTerm Evolution,长期演进)、电子邮件、SMS(Short Messaging Service，短消息服务)等。

存储器520可用于存储软件程序以及模块，处理器580通过运行存储在存储器520的软件程序以及模块，从而执行各种功能应用以及数据处理。存储器520可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作***、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据存储设备的使用创建数据(比如音频数据、电话本等)。此外，存储器520可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。相应地，存储器520还可以包括存储器控制器，以提供处理器580和输入单元530对存储器520的访问。

输入单元530可用于接收输入的数字或字符信息，以及产生与用户设置以及功能控制有关的键盘、鼠标、操作杆、光学或者轨迹球信号输入。具体地，输入单元530可包括触敏表面531以及其他输入设备532。触敏表面531，也称为触摸显示屏或者触控板，可收集用户在其上或附近的触摸操作(比如用户使用手指、触笔等任何适合的物体或附件在触敏表面531上或在触敏表面531附近的操作)，并根据预先设定的程式驱动相应的连接装置。可选的，触敏表面531可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器580，并能接收处理器580发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触敏表面531。除了触敏表面531，输入单元530还可以包括其他输入设备532。具体地，其他输入设备532可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种。

显示单元540可用于显示由用户输入的信息或提供给用户的信息以及终端500的各种图形用户接口，这些图形用户接口可以由图形、文本、图标、视频和其任意组合来构成。显示单元540可包括显示面板541，可选的，可以采用LCD(Liquid Crystal Display，液晶显示器)、OLED(Organic Light-EmittingDiode,有机发光二极管)等形式来配置显示面板541。进一步的，触敏表面531可覆盖显示面板541，当触敏表面531检测到在其上或附近的触摸操作后，传送给处理器580以确定触摸事件的类型，随后处理器580根据触摸事件的类型在显示面板541上提供相应的视觉输出。虽然在图5中，触敏表面531与显示面板541是作为两个独立的部件来实现输入和输入功能，但是在某些实施例中，可以将触敏表面531与显示面板541集成而实现输入和输出功能。

终端500还可包括至少一种传感器550，比如光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板541的亮度，接近传感器可在终端500移动到耳边时，关闭显示面板541和/或背光。作为运动传感器的一种，重力加速度传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别终端500姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于终端500还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

音频电路560、扬声器561，传声器562可提供用户与终端500之间的音频接口。音频电路560可将接收到的音频数据转换后的电信号，传输到扬声器561，由扬声器561转换为声音信号输出；另一方面，传声器562将收集的声音信号转换为电信号，由音频电路560接收后转换为音频数据，再将音频数据输出处理器580处理后，经RF电路510以发送给比如另一终端，或者将音频数据输出至存储器520以便进一步处理。音频电路560还可能包括耳塞插孔，以提供外设耳机与终端500的通信。

WiFi属于短距离无线传输技术，终端500通过WiFi模块570可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图5示出了WiFi模块570，但是可以理解的是，其并不属于终端500的必须构成，完全可以根据需要在不改变发明的本质的范围内而省略。

处理器580是终端500的控制中心，利用各种接口和线路连接整个终端的各个部分，通过运行或执行存储在存储器520内的软件程序和/或模块，以及调用存储在存储器520内的数据，执行存储设备的各种功能和处理数据，从而对存储设备进行整体监控。可选的，处理器580可包括一个或多个处理核心；优选的，处理器580可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作***、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器580中。

终端500还包括给各个部件供电的电源590(比如电池)，优选的，电源可以通过电源管理***与处理器580逻辑相连，从而通过电源管理***实现管理充电、放电、以及功耗管理等功能。电源590还可以包括一个或一个以上的直流或交流电源、再充电***、电源故障检测电路、电源转换器或者逆变器、电源状态指示器等任意组件。

尽管未示出，终端500还可以包括摄像头、蓝牙模块等，在此不再赘述。具体在本实施例中，终端500包括有存储器520，以及一个或者一个以上的程序，其中一个或者一个以上程序存储于存储器520中，且经配置以由一个或者一个以上处理器580执行上述一个或者一个以上程序包含用于进行以下操作的指令：

获取可信应用向目标服务器发起的连接请求，所述连接请求中包含目标服务器的标识；

通过调制解调器获取智能卡中存储的服务器列表；

根据目标服务器的标识判断目标服务器是否包含在服务器列表中；

若是，则允许可信应用与目标服务器建立连接，若否，则拒绝可信应用与目标服务器建立连接。

需要说明的是，本发明实施例提供的终端500，还可以用于实现上述装置实施例中的其它功能，在此不再赘述。

本发明实施例还提供了一种提升可信执行环境TEE安全性的***，请参阅图6，所述***包括终端601，智能卡602及服务器603。其中：

终端601用于，获取可信应用向目标服务器发起的连接请求，连接请求中包含目标服务器的标识；通过调制解调器获取智能卡中存储的服务器列表；根据目标服务器的标识判断目标服务器是否包含在服务器列表中；若是，则允许可信应用与目标服务器建立连接，若否，则拒绝可信应用与目标服务器建立连接；终端601支持可信执行环境TEE，可信应用执行在可信执行环境中；

智能卡602用于，存储服务器列表；

服务器603用于，在目标服务器包含在服务器列表中时，与可信应用建立连接。

另外，本实施例中的终端601，还可以用于实现上述装置实施例中的其它功能，在此不再赘述。

以上实施例中，都是以智能卡与终端独立存在为例进行说明的，在实际应用中，智能卡也可包含在终端中，例如，智能卡为SIM卡，终端为手机，SIM插在手机的卡槽中，此处不做具体限定。

需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件的方式来实现，当然也可以通过专用硬件包括专用集成电路、专用CPU、专用存储器、专用元器件等来实现。一般情况下，凡由计算机程序完成的功能都可以很容易地用相应的硬件来实现，而且，用来实现同一功能的具体硬件结构也可以是多种多样的，例如模拟电路、数字电路或专用电路等。但是，对本发明而言更多情况下软件程序实现是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘，U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上对本发明实施例所提供的一种提升可信执行环境TEE安全性及***、终端进行了详细介绍，对于本领域的一般技术人员，依据本发明实施例的思想，在具体实施方式及应用范围上均会有改变之处，因此，本说明书内容不应理解为对本发明的限制。

Claims (15)

1.一种提升可信执行环境TEE安全性的方法，其特征在于，包括：

获取可信应用向目标服务器发起的连接请求，所述连接请求中包含所述目标服务器的标识；

通过调制解调器获取智能卡中存储的服务器列表；

根据所述目标服务器的标识判断所述目标服务器是否包含在所述服务器列表中；

若是，则允许所述可信应用与所述目标服务器建立连接，若否，则拒绝所述可信应用与所述目标服务器建立连接。

2.如权利要求1所述的方法，其特征在于，在所述可信应用与所述目标服务器建立连接之后，所述方法还包括：

将所述可信应用的标识通过所述调制解调器发送至所述智能卡，以请求所述智能卡根据所述智能卡中存储的与所述可信应用的标识对应的认证算法对所述可信应用进行认证。

3.如权利要求2所述的方法，其特征在于，在将所述可信应用的标识通过所述调制解调器发送至所述智能卡的同时，还将所述可信应用响应于所述目标服务器发送的认证请求的认证数据通过所述调制解调器发送至所述智能卡，所述认证数据中包含所述目标服务器的标识；

在请求所述智能卡对所述可信应用进行认证之后，所述方法还包括：

判断所述智能卡对所述可信应用的认证结果是否为成功；

在所述智能卡对所述可信应用的认证结果为成功时，通过所述调制解调器从所述智能卡获取对所述可信应用与所述目标服务器之间传输的数据进行加密、解密、签名或校验所使用的临时通信密钥，所述临时通信密钥由所述智能卡根据所述可信应用的标识、所述目标服务器的标识及预设的算法生成。

4.如权利要求3所述的方法，其特征在于，所述智能卡中的服务器列表、认证算法及临时通信密钥由智能卡发行商负责管理。

5.如权利要求1至4任意一项所述的方法，其特征在于，所述智能卡包括：用户身份识别SIM卡，通用集成电路卡UICC及嵌入式通用集成电路卡eUICC。

6.如权利要求1至4任意一项所述的方法，其特征在于，所述可信应用与所述目标服务器之间通过所述调制解调器拨号建立连接，或者所述可信应用与所述目标服务器之间通过WIFI建立连接。

7.如权利要求1至4任意一项所述的方法，其特征在于，所述服务器列表中包括所述可信应用进行数值处理时所需要连接的服务器及对所述可信应用进行维护时所需连接的服务器。

8.一种终端，所述终端支持可信执行环境TEE，其特征在于，包括：

第一获取单元，用于获取可信应用向目标服务器发起的连接请求，所述连接请求中包含所述目标服务器的标识；

第二获取单元，用于通过调制解调器获取智能卡中存储的服务器列表；

判断单元，用于根据所述目标服务器的标识判断所述目标服务器是否包含在所述服务器列表中；

处理单元，用于当所述目标服务器包含在所述服务器列表中时，允许所述可信应用与所述目标服务器建立连接，当所述目标服务器不包含在所述服务器列表中时，拒绝所述可信应用与所述目标服务器建立连接。

9.如权利要求7所述的终端，其特征在于，所述终端还包括：

发送单元，用于在所述可信应用与所述目标服务器建立连接之后，将所述可信应用的标识通过所述调制解调器发送至所述智能卡，以请求所述智能卡根据所述智能卡中存储的与所述可信应用的标识对应的认证算法对所述可信应用进行认证。

10.如权利要求8所述的终端，其特征在于，

所述发送单元还用于，在将所述可信应用的标识通过所述调制解调器发送至所述智能卡的同时，还将所述可信应用响应于所述目标服务器发送的认证请求的认证数据通过所述调制解调器发送至所述智能卡，所述认证数据中包含所述目标服务器的标识；

所述判断单元还用于，判断所述智能卡对所述可信应用的认证结果是否为成功；

所述终端还包括：

第三获取单元，用于在所述智能卡对所述可信应用的认证结果为成功时，通过所述调制解调器从所述智能卡获取对所述可信应用与所述目标服务器之间传输的数据进行加密、解密、签名或校验所使用的临时通信密钥，所述临时通信密钥由所述智能卡根据所述可信应用的标识、所述目标服务器的标识及预设的算法生成。

11.如权利要求10所述的终端，其特征在于，所述智能卡中的服务器列表、认证算法及临时通信密钥由智能卡发行商负责管理。

12.如权利要求8至11任意一项所述的终端，其特征在于，所述智能卡包括：用户身份识别SIM卡，通用集成电路卡UICC及嵌入式通用集成电路卡eUICC。

13.如权利要求8至11任意一项所述的终端，其特征在于，所述终端还包括：

连接建立单元，用于将所述可信应用与所述目标服务器之间通过所述调制解调器拨号建立连接，或者将所述可信应用与所述目标服务器之间通过WIFI建立连接。

14.如权利要求8至11任意一项所述的终端，其特征在于，所述服务器列表中包括所述可信应用进行数值处理时所需要连接的服务器及对所述可信应用进行维护时所需连接的服务器。

15.一种提升可信执行环境TEE安全性的***，其特征在于，所述***包括如权利要求8至14任意一项所述的终端、服务器及智能卡。