CN105512576A - 一种数据安全存储的方法及电子设备 - Google Patents

Abstract

本发明公开了一种数据安全存储的方法及电子设备，所述方法包括：第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；第二可信执行环境为所述第二操作***；所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

Description

一种数据安全存储的方法及电子设备

技术领域

本发明涉及电子技术领域，特别涉及一种数据安全存储的方法及电子设备。

背景技术

随着科学技术的不断发展，电子技术也得到了飞速的发展，很多电子设备，如平板电脑，智能手机等，成为了人们日常生活的必需品。为了满足用户的使用需求，电子设备通常可以用来运行各种操作***或者应用程序，给电子设备带来了极大的灵活性。

在现有技术中，由于电子设备能够支持各种应用程序的运行，那么，用户的不慎操作也会使各种木马、病毒等恶意进程进入电子设备，如，当用户点击了一个携带病毒的网站，该病毒便会经由电子设备寄生在所述电子设备的操作***内，并且进而操作***所所储的所有数据，如，获取电子设备中存储的联系人电话、短信息、密码、图片等等重要信息。

可见，现有技术中的电子设备存在存储数据不安全的技术问题。

发明内容

本申请实施例提供一种数据安全存储的方法及电子设备，用于解决现有技术中的电子设备存在存储数据不安全的技术问题，实现安全存储数据的技术效果。

本申请实施例一方面提供了一种数据安全存储的方法，包括以下步骤：

第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；其中，所述第一可信执行环境为第一操作***的底层运行环境，第一应用程序为所述第一操作***的上层应用程序；

第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；第二可信执行环境为所述第二操作***；

所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

可选的，在所述第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令之前，所述方法还包括：

在所述第一可信执行环境中创建一服务程序；

在所述第二可信执行环境中创建一安全应用。

可选的，所述第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，包括：

所述服务程序在检测到所述存储指令时，确定所述第一应用程序是否为预设应用程序；

在所述第一应用程序为所述预设应用程序时，确定第一应用程序认证成功；

接收并解析所述存储指令，获得经解析后的存储指令。

可选的，在所述第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令之后，所述方法还包括：

基于第一加密方式对所述经解析后的存储指令进行加密，获得加密后的存储指令；

基于一安全通道，将所述加密后的存储指令发送至所述安全应用。

可选的，所述第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令，包括：

所述安全应用在检测到所述加密后的存储指令时，获取所述服务程序的验证信息；

基于所述验证信息，确定所述第一可信执行环境认证成功；

基于与所述第一加密方式对应的第一解密方式解析所述加密后的存储指令，获得并接收所述存储指令。

可选的，在所述所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中之后，所述方法还包括：

在所述第二可信执行环境完成所述存储指令后，生成与所述存储指令对应的执行结果；

基于所述第一加密方式对所述执行结果进行加密，获得加密后的执行结果；

将所述加密后的执行结果发送给所述第一可信执行环境；

所述第一可行执行环境基于所述第一解密方式，解析所述加密后的执行结果，并将所述执行结果反馈至所述第一应用程序。

可选的，在所述将所述加密后的执行结果发送给所述第一可信执行环境，并由所述服务程序反馈至所述第一应用程序之后，所述方法还包括：

所述第一可信执行环境在接收到由所述第一应用程序发送的针对所述第一数据的读取指令时，基于所述第一加密方式将所述读取指令进行加密，并发送至所述第二可信执行环境；

第二可信执行环境对所述第一可信执行环境认证成功后，接收所述存储指令；

所述第二可信执行环境响应所述读取指令，基于与所述预定加密方式对应的解密方式从所述存储装置中获取所述第一数据；

所述第二可信执行环境以所述第一加密方式对所述第一数据进行加密，获得加密后的第一数据，并将所述加密后的第一数据发送至所述第一可信执行环境；

所述第一可信执行环境基于所述第一解密方式解析所述加密后的第一数据，并将所述第一数据反馈至所述第一应用程序。

本申请实施例另一方面还提供了一种电子设备，包括：

壳体；

存储器，设置在所述壳体内，其中，所述存储器包括第一存储装置及第二存储装置，所述第一存储装置用于存储与第一操作***对应的第一***文件及与第一应用程序对应的应用程序文件，所述第二存储装置用于存储与第二操作***对应的第二***文件；

处理器，设置在所述壳体内，用于在第一可信执行环境对第一应用程序认证成功时，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；其中，所述第一可信执行环境为第一操作***的底层运行环境，第一应用程序为所述第一操作***的上层应用程序；当第二可信执行环境对所述第一可信执行环境认证成功时，接收所述存储指令；第二可信执行环境为所述第二操作***；以及所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到所述第二存储装置中，其中，基于预定加密方式写入到所述第二存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

可选的，所述处理器还用于：

在所述第一可信执行环境中创建一服务程序；

在所述第二可信执行环境中创建一安全应用。

可选的，所述处理器具体用于：

所述服务程序在检测到所述存储指令时，确定所述第一应用程序是否为预设应用程序；

在所述第一应用程序为所述预设应用程序时，确定第一应用程序认证成功；

接收并解析所述存储指令，获得经解析后的存储指令。

可选的，所述处理器还用于：

基于第一加密方式对所述经解析后的存储指令进行加密，获得加密后的存储指令；

基于一安全通道，将所述加密后的存储指令发送至所述安全应用。

可选的，所述处理器具体用于：

所述安全应用在检测到所述加密后的存储指令时，获取所述服务程序的验证信息；

基于所述验证信息，确定所述第一可信执行环境认证成功；

基于与所述第一加密方式对应的第一解密方式解析所述加密后的存储指令，获得并接收所述存储指令。

可选的，所述处理器还用于：

在所述第二可信执行环境完成所述存储指令后，生成与所述存储指令对应的执行结果；

基于所述第一加密方式对所述执行结果进行加密，获得加密后的执行结果；

将所述加密后的执行结果发送给所述第一可信执行环境；

所述第一可行执行环境基于所述第一解密方式，解析所述加密后的执行结果，并将所述执行结果反馈至所述第一应用程序。

可选的，所述处理器还用于：

所述第一可信执行环境在接收到由所述第一应用程序发送的针对所述第一数据的读取指令时，基于所述第一加密方式将所述读取指令进行加密，并发送至所述第二可信执行环境；

第二可信执行环境对所述第一可信执行环境认证成功后，接收所述存储指令；

所述第二可信执行环境响应所述读取指令，基于与所述预定加密方式对应的解密方式从所述第二存储装置中获取所述第一数据；

所述第二可信执行环境以所述第一加密方式对所述第一数据进行加密，获得加密后的第一数据，并将所述加密后的第一数据发送至所述第一可信执行环境；

所述第一可信执行环境基于所述第一解密方式解析所述加密后的第一数据，并将所述第一数据反馈至所述第一应用程序。

本申请实施例中的上述一个或多个技术方案，至少具有如下一种或多种技术效果：

一、由于本申请实施例中的技术方案，采用第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到所述存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见的技术手段，这样，当电子设备中的第一应用程序需要存储数据时，首先由电子设备的第一可信执行环境对第一应用程序进行鉴权，以保证第一应用程序与第一可信执行环境的通信安全；然后，再由第一可信执行环境将第一应用程序的存储指令发送至安全存储区域对应的第二可信执行环境，在第二可信执行环境对第一可信执行环境进行认证成功后，将所述待存储数据加密存储到安全存储区域，从而通过第一可信执行环境及第二可信执行环境的认证过程保证了通信安全，且，由于第二可信执行环境将第一待存储数据进行加密处理，从而使电子设备的其他应用程序或者病毒木马等，都无法对第一待存储数据进行访问，确保了第一待存储数据的安全性，所以，有效解决了现有技术中的电子设备存在存储数据不安全的技术问题，实现了安全存储数据的技术效果。

二、由于本申请实施例中的技术方案，采用所述服务程序在检测到所述存储指令时，确定所述第一应用程序是否为预设应用程序；在所述第一应用程序为所述预设应用程序时，确定第一应用程序认证成功；接收并解析所述存储指令，获得经解析后的存储指令的技术手段，这样，电子设备只能接收由授权应用程序发送的数据处理指令，从而防止了非授权应用程序，如，木马、病毒等，对数据的获取，实现了进一步保证了数据安全的技术效果。

三、由于本申请实施例中的技术方案，采用基于第一加密方式对所述经解析后的存储指令进行加密，获得加密后的存储指令；基于一安全通道，将所述加密后的存储指令发送至所述安全应用的技术手段，这样，通过对存储指令的加密及使用安全通道发送所述存储指令，使第一可信执行环境与第二可信执行环境在进行数据通信时的安全性，从而防止数据在可信执行环境中传输时被盗取，实现了确保数据安全传输的技术效果。

四、由于本申请实施例中技术方案，采用所述安全应用在检测到所述加密后的存储指令时，获取所述服务程序的验证信息；基于所述验证信息，确定所述第一可信执行环境认证成功；基于与所述第一加密方式对应的第一解密方式解析所述加密后的存储指令，获得并接收所述存储指令的技术手段，这样，即使第一可信执行环境中的其他服务程序调用了第二可信执行环境中的与所述存储指令对应的安全应用，由于安全应用会对服务程序进行鉴权，则，此时鉴权不成功，安全应用不会响应该服务程序，实现了确保了各个服务程序之间的数据安全的技术效果。

五、本申请实施例中的第二操作***与第一操作***具有一定的隔离效果更进一步保证了所存储的数据的安全性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例。

图1为本申请实施例一提供的一种数据安全存储的方法的流程图；

图2为本申请实施例一中步骤S101的具体实现方式流程图；

图3为本申请实施例一中步骤S102的具体实现方式流程图；

图4为本申请实施例一中在步骤S103之后的执行步骤的流程图；

图5为本申请实施例一中对数据进行读取的执行步骤的流程图；

图6为本申请实施例二提供一种电子设备的结构示意图。

具体实施方式

本申请实施例提供一种数据安全存储的方法及电子设备，用于解决现有技术中的电子设备存在存储数据不安全的技术问题，实现安全存储数据的技术效果。

本申请实施例中的技术方案为解决上述的技术问题，总体思路如下：

一种数据安全存储的方法，包括：

第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；其中，所述第一可信执行环境为第一操作***的底层运行环境，第一应用程序为所述第一操作***的上层应用程序；

第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；第二可信执行环境为所述第二操作***；

所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

在上述技术方案中，采用第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到所述存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见的技术手段，这样，当电子设备中的第一应用程序需要存储数据时，首先由电子设备的第一可信执行环境对第一应用程序进行鉴权，以保证第一应用程序与第一可信执行环境的通信安全；然后，再由第一可信执行环境将第一应用程序的存储指令发送至安全存储区域对应的第二可信执行环境，在第二可信执行环境对第一可信执行环境进行认证成功后，将所述待存储数据加密存储到安全存储区域，从而通过第一可信执行环境及第二可信执行环境的认证过程保证了通信安全，且，由于第二可信执行环境将第一待存储数据进行加密处理，从而使电子设备的其他应用程序或者病毒木马等，都无法对第一待存储数据进行访问，确保了第一待存储数据的安全性，所以，有效解决了现有技术中的电子设备存在存储数据不安全的技术问题，实现了安全存储数据的技术效果。

本申请实施例中的第二操作***与第一操作***具有一定的隔离效果更进一步保证了所存储的数据的安全性。所以，第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中，其中，所述基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。即，第一操作***针对基于预定加密方式写入到与所述第二可信执行环境对应的存储装置的所述第一数据不可见(第一操作***不可见所述第一数据)，所以即使第一操作***感染了病毒也不影响所述第二数据的安全性。

为了更好的理解上述技术方案，下面通过附图以及具体实施例对本发明技术方案做详细的说明，应当理解本申请实施例以及实施例中的具体特征是对本发明技术方案的详细的说明，而不是对本发明技术方案的限定，在不冲突的情况下，本申请实施例以及实施例中的技术特征可以相互结合。

实施例一

请参考图1，为本申请实施例一提供的一种数据安全存储的方法的流程图，所述方法包括：

S101：第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；其中，所述第一可信执行环境为第一操作***的底层运行环境，第一应用程序为所述第一操作***的上层应用程序；

S102：第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；第二可信执行环境为所述第二操作***；

S103：所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

在具体实施过程中，所述数据安全存储的方法具体可以应用到智能手机、平板电脑、笔记本电脑中，当然，也可以是其他的智能终端，在此，就不一一举例了。在本申请实施例中，将以所述数据安全存储的方法应用到智能手机为例，来对本申请实施例中的数据安全存储的方法进行详细描述。

在智能终端中，通过将终端中的片上***的硬件及软件资源进行分离，从而使智能终端中存在了两个运行环境，即：第一可信执行环境及第二可信执行环境，智能终端可以在这两个运行环境中进行切换。在本申请实施例中，所述第一可信执行环境为智能终端的普通运行环境(RichExecutionEnvironment，REE)，可以用来运行各种广泛的、通用的操作***，从而允许各个应用程序在REE中运行；所述第二可信执行环境为智能终端的可信执行环境(TrustedExecutionEnvironment，TEE)，它是与普通执行环境共存的，专用于给智能终端设备提供一块安全区域用于执行可信的代码，且在TEE自身中执行的所有代码都是高可靠性的，从而将智能终端中重要的数据资源的使用以及存储过程全部放在TEE中处理。

采用本申请实施例中的技术方案进行数据存储时，在执行步骤S101之前，所述方法还包括：

在所述第一可信执行环境中创建一服务程序；

在所述第二可信执行环境中创建一安全应用。

在具体实施过程中，以所述数据安全存储的方法应用到智能手机、所述第一可信执行环境为REE以及所述第二可信执行环境为TEE为例，在进行数据存储之前，需要在智能手机的REE端创建一个用于存储的服务程序(CA)，命名为CA1；以及在TEE端创建一个用于存储的安全应用(TA)，命名为TA1。同时，设定该CA1只能处理有授权的应用程序的命令请求，如，设定CA1的授权应用程序为：针对数据安全的需求单独开发的应用程序、也可以是QQ应用程序和微信应用程序；设定该TA1只能由特定的CA来调用，如，设定该TA1只能由CA1调用。

在执行完成上述步骤之后，本申请实施例中的方法便执行步骤S101，即：第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；其中，所述第一可信执行环境为第一操作***的底层运行环境，第一应用程序为所述第一操作***的上层应用程序。

在本申请实施例一中，请参考图2，步骤S101的具体实现方式为：

S201：所述服务程序在检测到所述存储指令时，确定所述第一应用程序是否为预设应用程序；

S202：在所述第一应用程序为所述预设应用程序时，确定第一应用程序认证成功；

S203：接收并解析所述存储指令，获得经解析后的存储指令。

在具体实施过程中，沿用上述例子，当智能手机中的QQ应用程序在智能手机的安卓***运行时，基于用户在QQ应用程序显示界面中的选择操作，生成了将聊天记录存储到智能手机中的存储指令，这时，QQ应用程序将调用REE中的CA1，CA1在检测到QQ应用程序的存储聊天记录的指令后，首先需要对QQ应用程序进行鉴权认证，如，通过RSA2048公钥验证或者签名验证等，在本申请实施例中不作限制。以使用签名验证为例，此时，CA1将获取QQ应用程序的签名，并与预设应用程序的签名进行比对，确定QQ应用程序的签名与预设应用程序的签名相同，则判断出QQ应用程序为有权限的应用程序，认证成功。然后，CA1将获取的存储指令进行解析，获得解析后的指令内容为存储数据，数据内容为聊天记录。

在执行完成步骤S101之后，本申请实施例中的方法在执行步骤S102之前，还包括：

基于第一加密方式对所述经解析后的存储指令进行加密，获得加密后的存储指令；

基于一安全通道，将所述加密后的存储指令发送至所述安全应用。

在具体实施过程中，沿用上述例子，在CA1获得解析后的存储指令后，需要将解析后的存储指令进行加密，如，对解析后的指令内容和数据内容进行RSA2048公钥加密，当然，本领域技术人员也可以采用别的加密方式，在本申请实施例中不作限制。加密处理完成后，CA1便将加密指令发送给TEE中对应的安全应用，由于CA1接收到的指令为存储数据的指令，因此，CA1确定出当前需要调用TEE中的TA1，从而通过REE与TEE的安全通道将加密后的指令发送给TA1。其中，安全通道为智能手机中为REE与TEE之间的通信而建立的硬件级别的通信通道，以确保REE端与TEE端的通信安全。

在执行完成上述步骤之后，本申请实施例中的方法便执行步骤S102，即：第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；第二可信执行环境为所述第二操作***。

在本申请实施例一中，请参考图3，步骤S102的具体实现方式为：

S301：所述安全应用在检测到所述加密后的存储指令时，获取所述服务程序的验证信息；

S302：基于所述验证信息，确定所述第一可信执行环境认证成功；

S303：基于与所述第一加密方式对应的第一解密方式解析所述加密后的存储指令，获得并接收所述存储指令。

在具体实施过程中，沿用上述例子，当CA1向TA1发送加密指令后，此时，智能手机便加载与TEE对应的操作***，从而运行TEE，此时，TA1便接收到CA1发送的调用信息，然后对CA1进行合法验证，如，通过CAID、Challenge来判断是否合法等，当然，本领域技术人员也可以采用其他的验证方式，在本申请实施例中不作限制。以通过CAID验证为例，TA1首先获取CA1的ID号，如ID号为1，并与TA1中预设的ID号进行对比，判断是否为预设的ID号，如预先设定TA1只能由ID号为1的CA调用，则判断出CA1为合法的，认证成功。然后，TA1便获取CA1发送的加密指令，对加密指令进行解密，在具体实施过程中，TA与CA会预先设定好相应的加密方式及解密方式，如，使用RSA2048方式进行加密和解密等，当然，本领域技术人员也可以使用别的加密及解密方式，在本申请实施例中不作限制。以预先设定使用RSA2048方式进行加密及解密为例，此时，TA1便采用RSA2048私钥对CA1发送的加密指令进行解密，从而获得由QQ应用程序发送的原始指令：存储聊天记录，并获取数据内容为聊天记录。

在执行完成步骤S102之后，本申请实施例中的方法便执行步骤S103，即：所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

在具体实施过程中，沿用上述例子，当TA1获取了存储聊天记录的存储指令后，TA1便将获取的待存储数据进行加密并存储在TEE中对应的存储单元中。如，将QQ应用程序的聊天记录采用DES加密方式进行加密，当然，本领域技术人员也可以采用其他的加密方式，在本申请实施例中不作限制，然后将加密聊天记录存储在TEE端对应的存储器中，从而完成了对QQ聊天记录的安全存储。存储在TEE端的数据对于智能手机中的其他应用程序，如微信、短信息等，都不可见，从而确保了信息的安全性。

在执行完成步骤S103之后，请参考图4，本申请实施例中的方法还包括：

S401：在所述第二可信执行环境完成所述存储指令后，生成与所述存储指令对应的执行结果；

S402：基于所述第一加密方式对所述执行结果进行加密，获得加密后的执行结果；

S403：将所述加密后的执行结果发送给所述第一可信执行环境；

S404：所述第一可行执行环境基于所述第一解密方式，解析所述加密后的执行结果，并将所述执行结果反馈至所述第一应用程序。

在具体实施过程中，当TA1将加密聊天记录存储在TEE端对应的存储器后，TA1可以生成一执行结果，如“存储地址为：1005”，然后采用RSA2048公钥将执行结果进行加密，并通过安全通道将加密的执行结果发送给CA1，CA1在接收到所述加密的执行结果后，采用RSA2048私钥进行解密，获得“存储地址为：1005”的执行结果，并反馈至QQ应用程序。

在执行完成反馈执行结果之后，本申请实施例中的方法还包括对数据进行读取的过程，请参考图5，本申请实施例中的方法还包括：

S501：所述第一可信执行环境在接收到由所述第一应用程序发送的针对所述第一数据的读取指令时，基于所述第一加密方式将所述读取指令进行加密，并发送至所述第二可信执行环境；

S502：第二可信执行环境对所述第一可信执行环境认证成功后，接收所述存储指令；

S503：所述第二可信执行环境响应所述读取指令，基于与所述预定加密方式对应的解密方式从所述存储装置中获取所述第一数据；

S504：所述第二可信执行环境以所述第一加密方式对所述第一数据进行加密，获得加密后的第一数据，并将所述加密后的第一数据发送至所述第一可信执行环境；

S505：所述第一可信执行环境基于所述第一解密方式解析所述加密后的第一数据，并将所述第一数据反馈至所述第一应用程序。

在具体实施过程中，沿用上述例子，当智能手机完成对QQ聊天记录的安全存储之后，智能手机接收到了由QQ应用程序发送的获取所述聊天记录的数据读取指令，此时，REE端将会调用与读取指令对应的服务程序，命名为CA2，并设定CA2能处理的授权应用程序为QQ应用程序，此时，CA2便对QQ应用程序进行鉴权，具体鉴权方式与步骤S101中相同，当CA2判断出QQ应用程序为有权限的应用程序，认证成功。然后，CA2将获取的读取指令进行解析，并将解析后的读取指令进行加密处理后通过安全通道发送给TEE端与CA2对应的TA2(在TEE端预设设定好的用于读取数据的安全应用)，TA2首先验证CA2是否合法，具体验证方式如步骤S102相同，当判断出CA2为合法后，TA2便获取CA2发送的加密指令，对加密指令进行解密，获取QQ应用程序的读取聊天记录的指令，从而从TEE中对应的存储单元中获取所述聊天记录，并将聊天记录加密后通过安全通道发送至CA2，CA2将加密信息解密后，获取所述聊天记录，并反馈给QQ应用程序，完成数据的读取。

实施例二

基于与本申请实施例一中相同的发明构思，本申请实施例二提供一种电子设备，请参考图6，包括：

壳体10；

存储器20，设置在壳体10内，其中，所述存储器包括第一存储装置及第二存储装置，所述第一存储装置用于存储与第一操作***对应的第一***文件及与第一应用程序对应的应用程序文件，所述第二存储装置用于存储与第二操作***对应的第二***文件；

处理器30，设置在壳体10内，用于在第一可信执行环境对第一应用程序认证成功时，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；其中，所述第一可信执行环境为第一操作***的底层运行环境，第一应用程序为所述第一操作***的上层应用程序；当第二可信执行环境对所述第一可信执行环境认证成功时，接收所述存储指令；第二可信执行环境为所述第二操作***；以及所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到所述第二存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

可选的，处理器30还用于：

在所述第一可信执行环境中创建一服务程序；

在所述第二可信执行环境中创建一安全应用。

可选的，处理器30具体用于：

所述服务程序在检测到所述存储指令时，确定所述第一应用程序是否为预设应用程序；

在所述第一应用程序为所述预设应用程序时，确定第一应用程序认证成功；

接收并解析所述存储指令，获得经解析后的存储指令。

可选的，处理器30还用于：

基于第一加密方式对所述经解析后的存储指令进行加密，获得加密后的存储指令；

基于一安全通道，将所述加密后的存储指令发送至所述安全应用。

可选的，处理器30具体用于：

所述安全应用在检测到所述加密后的存储指令时，获取所述服务程序的验证信息；

基于所述验证信息，确定所述第一可信执行环境认证成功；

基于与所述第一加密方式对应的第一解密方式解析所述加密后的存储指令，获得并接收所述存储指令。

可选的，处理器30还用于：

在所述第二可信执行环境完成所述存储指令后，生成与所述存储指令对应的执行结果；

基于所述第一加密方式对所述执行结果进行加密，获得加密后的执行结果；

将所述加密后的执行结果发送给所述第一可信执行环境；

所述第一可行执行环境基于所述第一解密方式，解析所述加密后的执行结果，并将所述执行结果反馈至所述第一应用程序。

可选的，处理器30还用于：

所述第一可信执行环境在接收到由所述第一应用程序发送的针对所述第一数据的读取指令时，基于所述第一加密方式将所述读取指令进行加密，并发送至所述第二可信执行环境；

第二可信执行环境对所述第一可信执行环境认证成功后，接收所述存储指令；

所述第二可信执行环境响应所述读取指令，基于与所述预定加密方式对应的解密方式从所述第二存储装置中获取所述第一数据；

所述第二可信执行环境以所述第一加密方式对所述第一数据进行加密，获得加密后的第一数据，并将所述加密后的第一数据发送至所述第一可信执行环境；

所述第一可信执行环境基于所述第一解密方式解析所述加密后的第一数据，并将所述第一数据反馈至所述第一应用程序。

通过本申请实施例中的一个或多个技术方案，可以实现如下一个或多个技术效果：

一、由于本申请实施例中的技术方案，采用第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到所述存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见的技术手段，这样，当电子设备中的第一应用程序需要存储数据时，首先由电子设备的第一可信执行环境对第一应用程序进行鉴权，以保证第一应用程序与第一可信执行环境的通信安全；然后，再由第一可信执行环境将第一应用程序的存储指令发送至安全存储区域对应的第二可信执行环境，在第二可信执行环境对第一可信执行环境进行认证成功后，将所述待存储数据加密存储到安全存储区域，从而通过第一可信执行环境及第二可信执行环境的认证过程保证了通信安全，且，由于第二可信执行环境将第一待存储数据进行加密处理，从而使电子设备的其他应用程序或者病毒木马等，都无法对第一待存储数据进行访问，确保了第一待存储数据的安全性，所以，有效解决了现有技术中的电子设备存在存储数据不安全的技术问题，实现了安全存储数据的技术效果。

二、由于本申请实施例中的技术方案，采用所述服务程序在检测到所述存储指令时，确定所述第一应用程序是否为预设应用程序；在所述第一应用程序为所述预设应用程序时，确定第一应用程序认证成功；接收并解析所述存储指令，获得经解析后的存储指令的技术手段，这样，电子设备只能接收由授权应用程序发送的数据处理指令，从而防止了非授权应用程序，如，木马、病毒等，对数据的获取，实现了进一步保证了数据安全的技术效果。

三、由于本申请实施例中的技术方案，采用基于第一加密方式对所述经解析后的存储指令进行加密，获得加密后的存储指令；基于一安全通道，将所述加密后的存储指令发送至所述安全应用的技术手段，这样，通过对存储指令的加密及使用安全通道发送所述存储指令，使第一可信执行环境与第二可信执行环境在进行数据通信时的安全性，从而防止数据在可信执行环境中传输时被盗取，实现了确保数据安全传输的技术效果。

四、由于本申请实施例中技术方案，采用所述安全应用在检测到所述加密后的存储指令时，获取所述服务程序的验证信息；基于所述验证信息，确定所述第一可信执行环境认证成功；基于与所述第一加密方式对应的第一解密方式解析所述加密后的存储指令，获得并接收所述存储指令的技术手段，这样，即使第一可信执行环境中的其他服务程序调用了第二可信执行环境中的与所述存储指令对应的安全应用，由于安全应用会对服务程序进行鉴权，则，此时鉴权不成功，安全应用不会响应该服务程序，实现了确保了各个服务程序之间的数据安全的技术效果。

五、本申请实施例中的第二操作***与第一操作***具有一定的隔离效果更进一步保证了所存储的数据的安全性。

本领域内的技术人员应明白，本发明的实施例可提供为方法、***、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

具体来讲，本申请实施例中的数据安全存储的方法对应的计算机程序指令可以被存储在光盘，硬盘，U盘等存储介质上，当存储介质中的与数据安全存储的方法对应的计算机程序指令被一电子设备读取或被执行时，包括如下步骤：

第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；其中，所述第一可信执行环境为第一操作***的底层运行环境，第一应用程序为所述第一操作***的上层应用程序；

第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；第二可信执行环境为所述第二操作***；

所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

可选的，所述存储介质中还包括另外一些计算机指令，该另外一些计算机指令在与步骤：所述第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，对应的计算机指令被执行之前被执行，执行过程中包括如下步骤：

在所述第一可信执行环境中创建一服务程序；

在所述第二可信执行环境中创建一安全应用。

可选的，所述存储介质中存储的与步骤：第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，对应的计算机指令在被执行时，包括：

所述服务程序在检测到所述存储指令时，确定所述第一应用程序是否为预设应用程序；

在所述第一应用程序为所述预设应用程序时，确定第一应用程序认证成功；

接收并解析所述存储指令，获得经解析后的存储指令。

可选的，所述存储介质中还包括另外一些计算机指令，该另外一些计算机指令在与步骤：所述第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，对应的计算机指令之后被执行，执行过程中包括如下步骤：

基于第一加密方式对所述经解析后的存储指令进行加密，获得加密后的存储指令；

基于一安全通道，将所述加密后的存储指令发送至所述安全应用。

可选的，所述存储介质中存储的与步骤：第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令，对应的计算机指令在被执行时，包括：

所述安全应用在检测到所述加密后的存储指令时，获取所述服务程序的验证信息；

基于所述验证信息，确定所述第一可信执行环境认证成功；

基于与所述第一加密方式对应的第一解密方式解析所述加密后的存储指令，获得并接收所述存储指令。

可选的，所述存储介质中还存储有另外一些计算机指令，该另外一些计算机指令在与步骤：所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中，对应的计算机指令之后被执行，执行过程中包括如下步骤：

在所述第二可信执行环境完成所述存储指令后，生成与所述存储指令对应的执行结果；

基于所述第一加密方式对所述执行结果进行加密，获得加密后的执行结果；

将所述加密后的执行结果发送给所述第一可信执行环境；

所述第一可行执行环境基于所述第一解密方式，解析所述加密后的执行结果，并将所述执行结果反馈至所述第一应用程序。

可选的，所述存储介质中还存储有另外一些计算机指令，该另外一些计算机指令在与步骤：将所述加密后的执行结果发送给所述第一可信执行环境，并由所述服务程序反馈至所述第一应用程序，对应的计算机指令之后被执行，执行过程中包括如下步骤：

所述第一可信执行环境在接收到由所述第一应用程序发送的针对所述第一数据的读取指令时，基于所述第一加密方式将所述读取指令进行加密，并发送至所述第二可信执行环境；

第二可信执行环境对所述第一可信执行环境认证成功后，接收所述存储指令；

所述第二可信执行环境响应所述读取指令，基于与所述预定加密方式对应的解密方式从所述存储装置中获取所述第一数据；

所述第二可信执行环境以所述第一加密方式对所述第一数据进行加密，获得加密后的第一数据，并将所述加密后的第一数据发送至所述第一可信执行环境；

所述第一可信执行环境基于所述第一解密方式解析所述加密后的第一数据，并将所述第一数据反馈至所述第一应用程序。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (14)

1.一种数据安全存储的方法，包括：

第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；其中，所述第一可信执行环境为第一操作***的底层运行环境，第一应用程序为所述第一操作***的上层应用程序；

第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令；第二可信执行环境为所述第二操作***；

所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中，其中，基于预定加密方式写入到所述存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

2.如权利要求1所述的方法，其特征在于，在所述第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令之前，所述方法还包括：

在所述第一可信执行环境中创建一服务程序；

在所述第二可信执行环境中创建一安全应用。

3.如权利要求2所述的方法，其特征在于，所述第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，包括：

所述服务程序在检测到所述存储指令时，确定所述第一应用程序是否为预设应用程序；

在所述第一应用程序为所述预设应用程序时，确定第一应用程序认证成功；

接收并解析所述存储指令，获得经解析后的存储指令。

4.如权利要求3所述的方法，其特征在于，在所述第一可信执行环境对第一应用程序认证成功，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令之后，所述方法还包括：

基于第一加密方式对所述经解析后的存储指令进行加密，获得加密后的存储指令；

基于一安全通道，将所述加密后的存储指令发送至所述安全应用。

5.如权利要求4所述的方法，其特征在于，所述第二可信执行环境对所述第一可信执行环境认证成功，接收所述存储指令，包括：

所述安全应用在检测到所述加密后的存储指令时，获取所述服务程序的验证信息；

基于所述验证信息，确定所述第一可信执行环境认证成功；

基于与所述第一加密方式对应的第一解密方式解析所述加密后的存储指令，获得并接收所述存储指令。

6.如权利要求1-5中任一权项所述的方法，其特征在于，在所述所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到与所述第二可信执行环境对应的存储装置中之后，所述方法还包括：

在所述第二可信执行环境完成所述存储指令后，生成与所述存储指令对应的执行结果；

基于所述第一加密方式对所述执行结果进行加密，获得加密后的执行结果；

将所述加密后的执行结果发送给所述第一可信执行环境；

所述第一可行执行环境基于所述第一解密方式，解析所述加密后的执行结果，并将所述执行结果反馈至所述第一应用程序。

7.如权利要求6所述的方法，其特征在于，在所述将所述加密后的执行结果发送给所述第一可信执行环境，并由所述服务程序反馈至所述第一应用程序之后，所述方法还包括：

所述第一可信执行环境在接收到由所述第一应用程序发送的针对所述第一数据的读取指令时，基于所述第一加密方式将所述读取指令进行加密，并发送至所述第二可信执行环境；

第二可信执行环境对所述第一可信执行环境认证成功后，接收所述存储指令；

所述第二可信执行环境响应所述读取指令，基于与所述预定加密方式对应的解密方式从所述存储装置中获取所述第一数据；

所述第二可信执行环境以所述第一加密方式对所述第一数据进行加密，获得加密后的第一数据，并将所述加密后的第一数据发送至所述第一可信执行环境；

所述第一可信执行环境基于所述第一解密方式解析所述加密后的第一数据，并将所述第一数据反馈至所述第一应用程序。

8.一种电子设备，包括：

壳体；

存储器，设置在所述壳体内，其中，所述存储器包括第一存储装置及第二存储装置，所述第一存储装置用于存储与第一操作***对应的第一***文件及与第一应用程序对应的应用程序文件，所述第二存储装置用于存储与第二操作***对应的第二***文件；

处理器，设置在所述壳体内，用于在第一可信执行环境对第一应用程序认证成功时，接收所述第一应用程序针对第一数据的存储指令，解析所述存储指令，所述存储指令表征基于第二可信执行环境对所述第一数据进行写操作；其中，所述第一可信执行环境为第一操作***的底层运行环境，第一应用程序为所述第一操作***的上层应用程序；当第二可信执行环境对所述第一可信执行环境认证成功时，接收所述存储指令；第二可信执行环境为所述第二操作***；以及所述第二可信执行环境响应所述存储指令，基于预定加密方式将所述第一数据写入到所述第二存储装置中，其中，基于预定加密方式写入到所述第二存储装置中的所述第一数据针对所述第一操作***的上层应用程序不可见。

9.如权利要求8所述的电子设备，其特征在于，所述处理器还用于：

在所述第一可信执行环境中创建一服务程序；

在所述第二可信执行环境中创建一安全应用。

10.如权利要求9所述的电子设备，其特征在于，所述处理器具体用于：

所述服务程序在检测到所述存储指令时，确定所述第一应用程序是否为预设应用程序；

在所述第一应用程序为所述预设应用程序时，确定第一应用程序认证成功；

接收并解析所述存储指令，获得经解析后的存储指令。

11.如权利要求10所述的电子设备，其特征在于，所述处理器还用于：

基于第一加密方式对所述经解析后的存储指令进行加密，获得加密后的存储指令；

基于一安全通道，将所述加密后的存储指令发送至所述安全应用。

12.如权利要求11所述的电子设备，其特征在于，所述处理器具体用于：

所述安全应用在检测到所述加密后的存储指令时，获取所述服务程序的验证信息；

基于所述验证信息，确定所述第一可信执行环境认证成功；

基于与所述第一加密方式对应的第一解密方式解析所述加密后的存储指令，获得并接收所述存储指令。

13.如权利要求8-12中任一权项所述的电子设备，其特征在于，所述处理器还用于：

在所述第二可信执行环境完成所述存储指令后，生成与所述存储指令对应的执行结果；

基于所述第一加密方式对所述执行结果进行加密，获得加密后的执行结果；

将所述加密后的执行结果发送给所述第一可信执行环境；

所述第一可行执行环境基于所述第一解密方式，解析所述加密后的执行结果，并将所述执行结果反馈至所述第一应用程序。

14.如权利要求13所述的电子设备，其特征在于，所述处理器还用于：

所述第一可信执行环境在接收到由所述第一应用程序发送的针对所述第一数据的读取指令时，基于所述第一加密方式将所述读取指令进行加密，并发送至所述第二可信执行环境；

第二可信执行环境对所述第一可信执行环境认证成功后，接收所述存储指令；

所述第二可信执行环境响应所述读取指令，基于与所述预定加密方式对应的解密方式从所述第二存储装置中获取所述第一数据；

所述第二可信执行环境以所述第一加密方式对所述第一数据进行加密，获得加密后的第一数据，并将所述加密后的第一数据发送至所述第一可信执行环境；

所述第一可信执行环境基于所述第一解密方式解析所述加密后的第一数据，并将所述第一数据反馈至所述第一应用程序。