CN108600222A - 客户端应用与可信应用的通信方法、***以及终端 - Google Patents

客户端应用与可信应用的通信方法、***以及终端 Download PDF

Info

Publication number
CN108600222A
CN108600222A CN201810375244.6A CN201810375244A CN108600222A CN 108600222 A CN108600222 A CN 108600222A CN 201810375244 A CN201810375244 A CN 201810375244A CN 108600222 A CN108600222 A CN 108600222A
Authority
CN
China
Prior art keywords
key
public key
escape way
terminal
channel
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201810375244.6A
Other languages
English (en)
Other versions
CN108600222B (zh
Inventor
张渊
李勃
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Watchdata Ltd By Share Ltd
Beijing WatchData System Co Ltd
Beijing WatchSmart Technologies Co Ltd
Original Assignee
Beijing Watchdata Ltd By Share Ltd
Beijing WatchSmart Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Watchdata Ltd By Share Ltd, Beijing WatchSmart Technologies Co Ltd filed Critical Beijing Watchdata Ltd By Share Ltd
Priority to CN201810375244.6A priority Critical patent/CN108600222B/zh
Publication of CN108600222A publication Critical patent/CN108600222A/zh
Application granted granted Critical
Publication of CN108600222B publication Critical patent/CN108600222B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种客户端应用与可信应用的通信方法、***以及终端，涉及通信领域，其中的方法包括：CA与TA分别基于第一密钥参数和第二密钥参数进行双向身份认证，如果认证成功则在CA与TA之间建立第一安全通道，生成与此第一安全通道相对应的通道会话密钥，CA与TA通过第一安全通道传输进行数据交互并基于通道会话密钥以及预设的通道传输规则对数据进行加解密处理。本发明的通信方法、***以及终端，在CA和TA之间建立安全通道并对安全通道中的数据进行保护，防止第三方截获、存储、分析、泄露CA和TA之间传递的敏感信息，可以支持多个CA通过互相隔离的多个安全通道访问同一个TA。

Description

客户端应用与可信应用的通信方法、***以及终端
技术领域
本发明涉及通信技术领域，尤其涉及一种客户端应用与可信应用的通信方法、***以及终端。
背景技术
目前，终端大多集成了可信执行环境(TEE，Trusted Execution Environment)、富执行环境(REE，Rich Execution Environment)。REE由客户端应用(CA，ClientApplication)以及应用操作***组成。TEE由可信应用(TA，TrustedApplication)、以及可信操作***(Trusted OS，Trusted Operating System)组成。REE支持丰富的应用，但REE存在一定的安全风险。TEE是终端中一块独立的区域，向该区域安装应用受管理服务器平台控制。
在基于ARM的TrustZone技术架构中，运行在Normal World(REE)中的CA和运行在Secure World(TEE)中的TA之间具有进行数据交互的能力。在没有安全通道防护的情况下，CA和TA之间的数据交互行为可能存在以下风险：1、敏感信息被泄露：CA和TA进行数据交互的过程中会依赖第三方软件、服务、驱动所提供的功能支持，这些第三方组件有机会截获、存储、分析、泄露CA和TA之间传递的敏感信息，且不被CA和TA感知；2、敏感信息被篡改：第三方组件有机会篡改CA和TA之间传递的敏感信息，且不被CA和TA感知；3、注入攻击：第三方组件可以在CA和TA之间的数据流中注入额外数据，且不被CA和TA感知，使CA或TA执行非预期的功能；4、重放攻击第三方组件可以通过重复播放CA和TA之间陈旧的历史交互数据，且不被CA和TA感知，使CA或TA执行非预期的功能；5、伪装的恶意TA：CA无法验证TA的合法身份，非法的恶意TA有可能假冒合法的TA来获得用户的敏感信息。因此，需要一种新的CA与TA之间的通信机制。
发明内容
有鉴于此，本发明要解决的一个技术问题是提供一种客户端应用与可信应用的通信方法、***以及终端。
根据本发明的一个方面，提供一种客户端应用与可信应用的通信方法，包括：在客户端应用CA和可信应用TA中分别部署第一密钥参数和第二密钥参数；所述CA与所述TA分别基于所述第一密钥参数和所述第二密钥参数进行双向身份认证；如果认证成功，则在所述CA与所述TA之间建立第一安全通道，生成与此第一安全通道相对应的通道会话密钥；所述CA与所述TA通过所述第一安全通道传输进行数据交互，并基于所述通道会话密钥以及预设的通道传输规则对通过所述第一安全通道传输的数据进行加解密处理。
可选地，所述第一密钥参数包括：厂商公钥；所述第二密钥参数包括：终端公钥、终端私钥、终端公钥签名值。
可选地，所述在客户端应用CA和可信应用TA中分别部署第一密钥参数和第二密钥参数包括：将所述厂商公钥存储在与所述CA相对应的CA程序中，其中，通过所述CA程序的发行、安装部署所述厂商公钥；在安装所述TA并进行首次运行时，在TEE环境中生成所述终端公钥、所述终端私钥，其中，所述终端公钥、所述终端私钥以持久化的方式存储在所述TA所处的TEE环境中。
可选地，在所述TA的个人化阶段中，所述TA和TAM服务器之间建立第二安全通道；所述TA通过所述第二安全通道将所述终端公钥发送给所述TAM服务器，并通过所述第二安全通道接收所述TAM服务器发送的所述终端公钥签名值，其中，所述TAM服务器使用厂商私钥对所述终端公钥进行数字签名；所述TA将所述终端公钥签名值采用持久化的方式进行存储。
可选地，所述TA调用白盒加密库获取所述终端公钥签名值，其中，在所述白盒加密库中使用厂商私钥对所述终端公钥进行数字签名；所述TA将所述终端公钥签名值采用持久化的方式进行存储。
可选地，厂商公钥以及厂商私钥由TA提供商的TA管理根证书签发并在密钥管理中心生成。
可选地，所述CA与所述TA分别基于所述第一密钥参数和所述第二密钥参数进行双向身份认证包括：所述TA向所述CA发送第一验证信息，其中，所述第一验证信息包括：所述终端公钥和所述终端公钥签名值；所述CA使用所述厂商公钥对所述终端公钥签名值进行验证，如果验证成功，则生成所述通道会话密钥；所述CA使用所述终端公钥对第二验证信息进行加密并发送给所述TA，其中，所述第二验证信息包括：所述通道会话密钥、校验数据；所述TA使用所述终端私钥对加密后的所述第二验证信息进行解密处理，如果对所述检验数据检验成功，则建立所述第一安全通道并向所述CA返回通道建立成功消息。
可选地，所述CA向所述TA发送建立安全通道命令，其中，所述建立安全通道命令包含与此CA对应的CA进程实例标识；所述TA基于所述CA进程实例标识判断是否与所述CA已经建立了安全通道，如果是，则返回建立成功消息，如果否，则向所述CA发送所述第一验证信息，其中，所述第一验证信息还包括：所述CA的通道号。
可选地，所述第二验证信息还包括：所述CA的通道号、所述CA进程实例标识；所述通道会话密钥包括：随机数。
可选地，所述基于所述通道会话密钥以及预设的通道传输规则对通过所述第一安全通道传输的数据进行加解密处理包括：基于所述通道会话密钥并采用预设的加密算法对在所述CA与所述TA之间的交互数据进行加解密处理；将所述CA的通道号与加密后的交互数据通过所述第一安全通道在所述CA与所述TA之间进行传输。
可选地，所述基于所述通道会话密钥并采用预设的加密算法对在所述CA与所述TA之间的交互数据进行加解密处理包括：使用所述通道会话密钥作为密钥，获取通道IV计数器的当前值作为IV，采用所述加密算法对所述交互数据以及校验数据进行加解密处理；其中，所述加密算法包括：对称加密算法。
可选地，所述CA设置第一IV计数器，所述TA设置与所述安全通道对应的第二IV计数器；在所述安全通道建立时，所述CA和所述TA分别将所述第一IV计数器和所述第二IV计数器的初始值都为0；在完成一次所述CA与所述TA之间的双向数据交互后，所述CA和所述TA分别将所述第一IV计数器和所述第二IV计数器的值加1。
根据本发明的另一方面，提供一种客户端应用与可信应用的通信***，包括：运行在可信执行环境TEE中的客户端应用CA、运行在富执行环境REE中的可信应用TA；在所述CA和所述TA中分别部署第一密钥参数和第二密钥参数；所述CA与所述TA分别基于所述第一密钥参数和所述第二密钥参数进行双向身份认证，如果认证成功，则在所述CA与所述TA之间建立第一安全通道，生成与此第一安全通道相对应的通道会话密钥；所述CA与所述TA通过所述第一安全通道传输进行数据交互，并基于所述通道会话密钥以及预设的通道传输规则对通过所述第一安全通道传输的数据进行加解密处理。
可选地，所述第一密钥参数包括：厂商公钥；所述第二密钥参数包括：终端公钥、终端私钥、终端公钥签名值。
可选地，将所述厂商公钥存储在与所述CA相对应的CA程序中，其中，通过所述CA程序的发行、安装部署所述厂商公钥；在安装所述TA并进行首次运行时，在TEE环境中生成所述终端公钥、所述终端私钥，其中，所述终端公钥、所述终端私钥以持久化的方式存储在所述TA所处的TEE环境中。
可选地，还包括：TAM服务器；在所述TA的个人化阶段中，所述TA和TAM服务器之间建立第二安全通道；所述TA，用于通过所述第二安全通道将所述终端公钥发送给所述TAM服务器，并通过所述第二安全通道接收所述TAM服务器发送的所述终端公钥签名值，将所述终端公钥签名值以持久化的方式存储在TEE环境中；其中，所述TAM服务器使用厂商私钥对所述终端公钥进行数字签名。
可选地，所述TA，还用于调用白盒加密库获取所述终端公钥签名值，将所述终端公钥签名值以持久化的方式存储在TEE环境中；其中，在所述白盒加密库中使用厂商私钥对所述终端公钥进行数字签名。
可选地，还包括：密钥管理中心；厂商公钥以及厂商私钥由TA提供商的TA管理根证书签发并在所述密钥管理中心生成。
可选地，所述TA，用于向所述CA发送第一验证信息，其中，所述第一验证信息包括：所述终端公钥和所述终端公钥签名值；所述CA，用于使用所述厂商公钥对所述终端公钥签名值进行验证，如果验证成功，则生成所述通道会话密钥；使用所述终端公钥对第二验证信息进行加密并发送给所述TA，其中，所述第二验证信息包括：所述通道会话密钥、校验数据；所述TA，还用于使用所述终端私钥对加密后的所述第二验证信息进行解密处理，如果对所述检验数据检验成功，则建立所述第一安全通道并向所述CA返回通道建立成功消息。
可选地，所述CA，还用于向所述TA发送建立安全通道命令，其中，所述建立安全通道命令包含与此CA对应的CA进程实例标识；所述TA，用于基于所述CA进程实例标识判断是否与所述CA已经建立了安全通道，如果是，则返回建立成功消息，如果否，则向所述CA发送所述第一验证信息，其中，所述第一验证信息还包括：所述CA的通道号。
可选地，所述第二验证信息还包括：所述CA的通道号、所述CA进程实例标识；所述通道会话密钥包括：随机数。
可选地，所述CA与所述TA分别基于所述通道会话密钥并采用预设的加密算法对在所述CA与所述TA之间的交互数据进行加解密处理，其中，将所述CA的通道号与加密后的交互数据通过所述第一安全通道在所述CA与所述TA之间进行传输。
可选地，所述CA与所述TA分别使用所述通道会话密钥作为密钥，获取通道IV计数器的当前值作为IV，采用所述加密算法对所述交互数据以及校验数据进行加解密处理；其中，所述加密算法包括：对称加密算法。
可选地，所述CA设置第一IV计数器，所述TA设置与所述安全通道对应的第二IV计数器；其中，在所述安全通道建立时，所述CA和所述TA分别将所述第一IV计数器和所述第二IV计数器的初始值都为0；在完成一次所述CA与所述TA之间的双向数据交互后，所述CA和所述TA分别将所述第一IV计数器和所述第二IV计数器的值加1。
根据本发明的又一方面，提供一种客户端应用与可信应用的通信***，包括：存储器；以及耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行如上所述的客户端应用与可信应用的通信方法。
根据本发明的又一方面，提供一种终端，包括如上所述的客户端应用与可信应用的通信***。
根据本发明的再一方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该指令被一个或多个处理器执行时实现如上所述的方法的步骤。
本发明的客户端应用与可信应用的通信方法、***以及终端，CA与TA分别基于第一密钥参数和第二密钥参数进行双向身份认证，如果认证成功则在CA与TA之间建立第一安全通道，生成与此第一安全通道相对应的通道会话密钥，CA与TA通过第一安全通道传输进行数据交互并基于通道会话密钥以及预设的通道传输规则对数据进行加解密处理；在CA和TA之间建立安全通道并对安全通道中的数据进行保护，CA能够通过验证TA终端公钥签名来验证TA的合法身份，防止***中的第三方组件截获、存储、分析、泄露CA和TA之间传递的敏感信息；CA和TA能够感知和阻止攻击者的篡改数据、重放攻击、注入攻击等恶意行为；可以支持多个CA通过互相隔离的多个安全通道访问TA。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为根据本发明的客户端应用与可信应用的通信方法的一个实施例的流程示意图；
图2为根据本发明的客户端应用与可信应用的通信方法的一个实施例中的密钥体系示意图；
图3为根据本发明的客户端应用与可信应用的通信方法的一个实施例的建立安全通道的流程示意图；
图4为根据本发明的客户端应用与可信应用的通信***的一个实施例的模块示意图；
图5为根据本发明的客户端应用与可信应用的通信***的另一个实施例的模块示意图。
具体实施方式
现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。
同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。
以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。
对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。
应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。
本发明实施例可以应用于计算机***/服务器，其可与众多其它通用或专用计算***环境或配置一起操作。适于与计算机***/服务器一起使用的众所周知的计算***、环境和/或配置的例子包括但不限于：智能手机、个人计算机***、服务器计算机***、瘦客户机、厚客户机、手持或膝上设备、基于微处理器的***、机顶盒、可编程消费电子产品、网络个人电脑、小型计算机***﹑大型计算机***和包括上述任何***的分布式云计算技术环境，等等。
计算机***/服务器可以在由计算机***执行的计算机***可执行指令(诸如程序模块)的一般语境下描述。通常，程序模块可以包括例程、程序、目标程序、组件、逻辑、数据结构等等，它们执行特定的任务或者实现特定的抽象数据类型。计算机***/服务器可以在分布式云计算环境中实施，分布式云计算环境中，任务是由通过通信网络链接的远程处理设备执行的。在分布式云计算环境中，程序模块可以位于包括存储设备的本地或远程计算***存储介质上。
下文中的“第一”、“第二”仅用于描述上相区别，并没有其它特殊的含义。
图1为根据本发明的客户端应用与可信应用的通信方法的一个实施例的流程示意图，如图1所示：
步骤101，在客户端应用CA和可信应用TA中分别部署第一密钥参数和第二密钥参数。
步骤102，CA与TA分别基于第一密钥参数和第二密钥参数进行双向身份认证。
步骤103，如果认证成功，则在CA与TA之间建立第一安全通道，生成与此第一安全通道相对应的通道会话密钥。通道会话密钥可以有多种，例如可以是通讯双方根据已知参数各自计算得到通道会话密钥。
步骤104，CA与TA通过第一安全通道传输进行数据交互，并基于通道会话密钥以及预设的通道传输规则对通过第一安全通道传输的数据进行加解密处理。
上述实施例中的客户端应用与可信应用的通信方法，CA和TA作为数据通讯的两端，通过部署密钥体系以及建立端到端的安全通道，保护CA和TA之间的数据交互。
在一个实施例中，第一密钥参数包括：厂商公钥等。第二密钥参数包括终端公钥、终端私钥、终端公钥签名值等。将厂商公钥存储在CA程序中，通过CA程序的发行、安装部署厂商公钥。在安装TA并进行首次运行时，在TEE环境中生成终端公钥、终端私钥，终端公钥、终端私钥以持久化的方式存储在TA所处的TEE环境中。厂商公钥以及厂商私钥由TA提供商的TA管理根证书签发并在密钥管理中心生成。
如图2所示，TA提供商所拥有的TA管理根证书Rpair，存储于厂商的密钥管理中心的加密机中。TA提供商所拥有的厂商证书与其公私钥对Ppair，存储于厂商的密钥管理中心的加密机中。CA中存储厂商证书与其公钥Ppub；TA中存储TA终端公私钥对Tpair；TA存储使用厂商私钥Ppri对TA的终端公钥Tpub进行数字签名的签名值。
厂商证书由TA提供商所拥有的TA管理根证书签发，其公私钥对Ppair在密钥管理中心的加密机中生成和使用，公钥可导出，私钥不可导出。导出的厂商公钥Ppub可以二进制形式打包在CA程序中，可以随CA程序的发行一同部署在智能移动终端设备上。TA在被安装后的首次运行时，在TEE中生成TA终端公私钥对Tpair，并以安全存储的方式持久化存储在TEE环境中。
对于是否有TAM服务器(Trusted Application Manager,可信服务管理)的部署场景，TA的终端公钥签名值的生成方法有以下两种情况：对于有TAM的部署场景，在TA的个人化阶段中，TA和TAM服务器之间建立第二安全通道。TA通过第二安全通道将终端公钥发送给TAM服务器，并通过第二安全通道接收TAM服务器发送的终端公钥签名值，其中，TAM服务器使用厂商私钥对终端公钥进行数字签名，TA将终端公钥签名值采用持久化的方式进行存储。例如，通过第二安全通道，TA将终端公钥Tpub发送给TAM，TAM调用密钥管理中心的加密机用厂商私钥Ppri对终端公钥(Tpub)进行数字签名，签名值通过第二安全通道下发到TA，最终TA将签名值持久存储在TEE环境中。
对于没有TAM部署场景，TA调用白盒加密库获取终端公钥签名值，其中，在白盒加密库中使用厂商私钥对终端公钥进行数字签名，TA将终端公钥签名值采用持久化的方式进行存储。例如，厂商私钥Ppri通过白盒加密技术安全存储在TA镜像中，白盒加密技术为现有的多种白盒加密技术。TA在生成终端公私钥对后，调用白盒加密库，在白盒库中用厂商私钥Ppri对终端公钥Tpub进行数字签名，最终TA将签名值持久存储在TEE环境中。
在一个实施例中，CA向TA发送建立安全通道命令，建立安全通道命令包含与此CA对应的CA进程实例标识。TA基于CA进程实例标识判断是否与CA已经建立了安全通道，如果是，则返回建立成功消息，如果否，则TA向CA发送第一验证信息，第一验证信息包括：CA的通道号、终端公钥和终端公钥签名值等。
CA使用厂商公钥对终端公钥签名值进行验证，如果验证成功，则生成通道会话密钥，通道会话密钥包括随机数等。CA使用终端公钥对第二验证信息进行加密并发送给TA，第二验证信息包括：CA的通道号、CA进程实例标识、通道会话密钥、校验数据等。TA使用终端私钥对加密后的第二验证信息进行解密处理，如果对检验数据检验成功，则建立第一安全通道并向CA返回通道建立成功消息。
图3为根据本发明的客户端应用与可信应用的通信方法的一个实施例的建立安全通道的流程示意图，如图3所示：
步骤301，CA向TA发送建立安全通道命令，在建立安全通道命令中携带有CA进程实例的唯一标识。CA进程实例的唯一标识可以为多种，例如为2字节进程ID+2字节随机数等。
TA检查CA进程实例的唯一标识，如果确认此CA已经建立过安全通道，则进行步骤302，直接返回成功，并给出此CA已关联的通道号；如果确认此CA未建立过安全通道，则进行步骤303，返回通道尚未建立消息并附加输出数据：为此CA新分配的通道号、TA的终端公钥Tpub、终端公钥的签名值。
步骤304，CA使用厂商公钥Ppub验证TA的终端公钥签名值，如果验证不成功，则说明TA不是真实合法的TA，进行步骤305，结束安全通道建立流程；如果验证成功，则进行步骤306，CA产生一个随机数，作为安全通道的通道会话密钥，CA使用TA的终端公钥Tpub加密请求数据包，请求数据包中包含：新分配的通道号、CA进程实例的唯一标识、通道会话密钥、检验数据等，检验数据可以为CRC、Hash、MAC等，CA将加密后的请求数据包发送给TA。
步骤307，TA使用终端私钥Tpri解密请求数据，如果解密后的校验数据不正确，则进行步骤308，结束安全通道建立流程；如果解密后的校验数据正确，则就建立新安全通道的上下文，保存相关参数，进行步骤309，返回安全通道建立成功消息。CA和TA都获取了第一安全通道的通道会话密钥及其他参数，第一安全通道的建立过程完成。
在一个实施例中，基于通道会话密钥并采用预设的加密算法对在CA与TA之间的交互数据进行加解密处理，将CA的通道号与加密后的交互数据通过第一安全通道在CA与TA之间进行传输。加密算法包括对称加密算法等，使用通道会话密钥作为密钥，获取通道IV计数器的当前值作为IV，采用加密算法对交互数据以及校验数据进行加解密处理。
在第一安全通道建立后，CA和TA获取了安全通道的通道号、通道会话密钥、CA进程实例的唯一标识、通道IV计数器初始值(默认为0)等。CA和TA间交换的所有数据包都包含通道号和密文数据。密文数据可以使用AES、3DES等对称加解密算法的CBC、CFB、OFB等模式，以通道会话密钥作为密钥，通道IV计数器的当前值作为IV，对CA和TA间要交换的原数据以及校验数据进行加密，校验数据包括CRC、Hash、MAC等。
CA设置第一IV计数器，TA设置与安全通道对应的第二IV计数器，TA需要同时支持多个安全通道的并存，每个通道号都对应了TA中的一个安全通道上下文，不同安全通道下的会话密钥、IV计数器等参数保存在各自的安全通道上下文中，互不干涉。在安全通道建立时，CA和TA分别将第一IV计数器和第二IV计数器的初始值都为0，在完成一次CA与TA之间的双向数据交互后，CA和TA分别将第一IV计数器和第二IV计数器的值加1。
例如，CA和TA各自维护一个本地的通道IV计数器，在通道刚建立时，两个通道IV计数器的初始值都为0。CA在加密下行(CA->TA)数据包和解密上行(TA->CA)数据包时、TA在解密密下行数据包和加密上行数据包时，都使用各自的IV计数器的当前值作为加解密运算的IV参数。每完成一次双向交互(CA->TA，TA->CA)后，CA和TA同时对各自的IV计数器加1，下次交互时将使用更新过的IV计数器取值。
在一个实施例中，如图4所示，本发明提供一种客户端应用与可信应用的通信***，包括：运行在可信执行环境TEE中的CA 41、运行在富执行环境REE中的TA 42、TAM服务器43以及密钥管理中心44。在CA 41和TA 42中分别部署第一密钥参数和第二密钥参数。CA 41与TA 42分别基于第一密钥参数和第二密钥参数进行双向身份认证，如果认证成功，则在CA41与TA 42之间建立第一安全通道，生成与此第一安全通道相对应的通道会话密钥。CA 41与TA 42通过第一安全通道传输进行数据交互，并基于通道会话密钥以及预设的通道传输规则对通过第一安全通道传输的数据进行加解密处理。
在一个实施例中，第一密钥参数包括厂商公钥等，第二密钥参数包括终端公钥、终端私钥、终端公钥签名值等。将厂商公钥存储在与CA 41相对应的CA程序中，通过CA程序的发行、安装部署厂商公钥。在安装TA 42并进行首次运行时，在TEE环境中生成终端公钥、终端私钥，终端公钥、终端私钥以持久化的方式存储在TA 42中。厂商公钥以及厂商私钥由TA提供商的TA管理根证书签发并在密钥管理中心44生成。
在TA 42的个人化阶段中，TA 42和TAM服务器43之间建立第二安全通道。TA 42通过第二安全通道将终端公钥发送给TAM服务器43，并通过第二安全通道接收TAM服务器43发送的终端公钥签名值，将终端公钥签名值以持久化的方式存储在TEE环境中，TAM服务器43使用厂商私钥对终端公钥进行数字签名。
TA 42调用白盒加密库获取终端公钥签名值，将终端公钥签名值以持久化的方式存储在TEE环境中；其中，在白盒加密库中使用厂商私钥对终端公钥进行数字签名。
在一个实施例中，CA 41向TA 42发送建立安全通道命令，建立安全通道命令包含与此CA 41对应的CA 41进程实例标识。TA 42基于CA进程实例标识判断是否与CA 41已经建立了安全通道，如果是，则返回建立成功消息，如果否，则TA 42向CA 41发送第一验证信息，第一验证信息包括CA的通道号、终端公钥和终端公钥签名值等。
CA 41使用厂商公钥对终端公钥签名值进行验证，如果验证成功，则生成通道会话密钥，使用终端公钥对第二验证信息进行加密并发送给TA 42，其中，第二验证信息包括：CA的通道号、CA进程实例标识、通道会话密钥、校验数据等。通道会话密钥包括：随机数等。TA42使用终端私钥对加密后的第二验证信息进行解密处理，如果对检验数据检验成功，则建立第一安全通道并向CA 41返回通道建立成功消息。
CA 41与TA 42分别基于通道会话密钥并采用预设的加密算法对在CA 41与TA 42之间的交互数据进行加解密处理，其中，将CA的通道号与加密后的交互数据通过第一安全通道在CA 41与TA 42之间进行传输。CA 41与TA 42分别使用通道会话密钥作为密钥，获取通道IV计数器的当前值作为IV，采用加密算法对交互数据以及校验数据进行加解密处理；其中，加密算法包括：对称加密算法。
CA 41设置第一IV计数器，TA 42设置与安全通道对应的第二IV计数器；其中，在安全通道建立时，CA 41和TA 42分别将第一IV计数器和第二IV计数器的初始值都为0。在完成一次CA 41与TA 42之间的双向数据交互后，CA 41和TA 42分别将第一IV计数器和第二IV计数器的值加1。
图5为根据本发明公开的客户端应用与可信应用的通信***的另一个实施例的模块示意图。如图5所示，该装置可包括存储器51、处理器52、通信接口53以及总线54。存储器51用于存储指令，处理器52耦合到存储器51，处理器52被配置为基于存储器51存储的指令执行实现上述的客户端应用与可信应用的通信方法。
存储器51可以为高速RAM存储器、非易失性存储器(NoN-volatile memory)等，存储器51也可以是存储器阵列。处理器52可以为中央处理器CPU，或专用集成电路ASIC(Application Specific Integrated Circuit)，或者是被配置成实施本发明公开的客户端应用与可信应用的通信方法的一个或多个集成电路。
在一个实施例中，本发明提供一种终端，包括如上任一实施例中的客户端应用与可信应用的通信***。终端可以为智能手机、平板电脑等。
在一个实施例中，本公开还提供一种计算机可读存储介质，其中计算机可读存储介质存储有计算机指令，指令被处理器执行时实现如上任一实施例涉及的客户端应用与可信应用的通信方法。本领域内的技术人员应明白，本公开的实施例可提供为方法、装置、或计算机程序产品。因此，本公开可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本公开可采用在一个或多个其中包含有计算机可用程序代码的计算机可用非瞬时性存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本公开是参照根据本公开实施例的方法、设备(***)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
至此，已经详细描述了本公开。为了避免遮蔽本公开的构思，没有描述本领域所公知的一些细节。本领域技术人员根据上面的描述，完全可以明白如何实施这里公开的技术方案。
上述实施例中提供的客户端应用与可信应用的通信方法、***以及终端，CA与TA分别基于第一密钥参数和第二密钥参数进行双向身份认证，如果认证成功则在CA与TA之间建立第一安全通道，生成与此第一安全通道相对应的通道会话密钥，CA与TA通过第一安全通道传输进行数据交互并基于通道会话密钥以及预设的通道传输规则对数据进行加解密处理；在CA和TA之间建立安全通道并对安全通道中的数据进行保护，CA能够通过验证TA终端公钥签名来验证TA的合法身份，防止***中的第三方组件截获、存储、分析、泄露CA和TA之间传递的敏感信息；CA和TA能够感知和阻止攻击者的篡改数据、重放攻击、注入攻击等恶意行为；可以支持多个CA通过互相隔离的多个安全通道访问TA。
可能以许多方式来实现本发明的方法和***。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和***。用于方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。
本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。

Claims (27)

1.一种客户端应用与可信应用的通信方法，其特征在于，包括：
在客户端应用CA和可信应用TA中分别部署第一密钥参数和第二密钥参数；
所述CA与所述TA分别基于所述第一密钥参数和所述第二密钥参数进行双向身份认证；
如果认证成功，则在所述CA与所述TA之间建立第一安全通道，生成与此第一安全通道相对应的通道会话密钥；
所述CA与所述TA通过所述第一安全通道传输进行数据交互，并基于所述通道会话密钥以及预设的通道传输规则对通过所述第一安全通道传输的数据进行加解密处理。
2.如权利要求1所述的方法，其特征在于，
所述第一密钥参数包括：厂商公钥；所述第二密钥参数包括：终端公钥、终端私钥、终端公钥签名值。
3.如权利要求2所述的方法，其特征在于，所述在客户端应用CA和可信应用TA中分别部署第一密钥参数和第二密钥参数包括：
将所述厂商公钥存储在与所述CA相对应的CA程序中，其中，通过所述CA程序的发行、安装部署所述厂商公钥；
在安装所述TA并进行首次运行时，在TEE环境中生成所述终端公钥、所述终端私钥，其中，所述终端公钥、所述终端私钥以持久化的方式存储在所述TA所处的TEE环境中。
4.如权利要求3所述的方法，其特征在于，还包括：
在所述TA的个人化阶段中，所述TA和TAM服务器之间建立第二安全通道；
所述TA通过所述第二安全通道将所述终端公钥发送给所述TAM服务器，并通过所述第二安全通道接收所述TAM服务器发送的所述终端公钥签名值，其中，所述TAM服务器使用厂商私钥对所述终端公钥进行数字签名；
所述TA将所述终端公钥签名值采用持久化的方式进行存储。
5.如权利要求3所述的方法，其特征在于，还包括：
所述TA调用白盒加密库获取所述终端公钥签名值，其中，在所述白盒加密库中使用厂商私钥对所述终端公钥进行数字签名；
所述TA将所述终端公钥签名值采用持久化的方式进行存储。
6.如权利要求2所述的方法，其特征在于，
厂商公钥以及厂商私钥由TA提供商的TA管理根证书签发并在密钥管理中心生成。
7.如权利要求2所述的方法，其特征在于，所述CA与所述TA分别基于所述第一密钥参数和所述第二密钥参数进行双向身份认证包括：
所述TA向所述CA发送第一验证信息，其中，所述第一验证信息包括：所述终端公钥和所述终端公钥签名值；
所述CA使用所述厂商公钥对所述终端公钥签名值进行验证，如果验证成功，则生成所述通道会话密钥；
所述CA使用所述终端公钥对第二验证信息进行加密并发送给所述TA，其中，所述第二验证信息包括：所述通道会话密钥、校验数据；
所述TA使用所述终端私钥对加密后的所述第二验证信息进行解密处理，如果对所述检验数据检验成功，则建立所述第一安全通道并向所述CA返回通道建立成功消息。
8.如权利要求7所述的方法，其特征在于，还包括：
所述CA向所述TA发送建立安全通道命令，其中，所述建立安全通道命令包含与此CA对应的CA进程实例标识；
所述TA基于所述CA进程实例标识判断是否与所述CA已经建立了安全通道，如果是，则返回建立成功消息，如果否，则向所述CA发送所述第一验证信息，其中，所述第一验证信息还包括：所述CA的通道号。
9.如权利要求8所述的方法，其特征在于，还包括：
所述第二验证信息还包括：所述CA的通道号、所述CA进程实例标识；
所述通道会话密钥包括：随机数。
10.如权利要求7所述的方法，其特征在于，所述基于所述通道会话密钥以及预设的通道传输规则对通过所述第一安全通道传输的数据进行加解密处理包括：
基于所述通道会话密钥并采用预设的加密算法对在所述CA与所述TA之间的交互数据进行加解密处理；
将所述CA的通道号与加密后的交互数据通过所述第一安全通道在所述CA与所述TA之间进行传输。
11.如权利要求10所述的方法，其特征在于，所述基于所述通道会话密钥并采用预设的加密算法对在所述CA与所述TA之间的交互数据进行加解密处理包括：
使用所述通道会话密钥作为密钥，获取通道IV计数器的当前值作为IV，采用所述加密算法对所述交互数据以及校验数据进行加解密处理；
其中，所述加密算法包括：对称加密算法。
12.如权利要求11所述的方法，其特征在于，
所述CA设置第一IV计数器，所述TA设置与所述安全通道对应的第二IV计数器；
在所述安全通道建立时，所述CA和所述TA分别将所述第一IV计数器和所述第二IV计数器的初始值都为0；
在完成一次所述CA与所述TA之间的双向数据交互后，所述CA和所述TA分别将所述第一IV计数器和所述第二IV计数器的值加1。
13.一种客户端应用与可信应用的通信***，其特征在于，包括：
运行在可信执行环境TEE中的客户端应用CA、运行在富执行环境REE中的可信应用TA；
在所述CA和所述TA中分别部署第一密钥参数和第二密钥参数；所述CA与所述TA分别基于所述第一密钥参数和所述第二密钥参数进行双向身份认证，如果认证成功，则在所述CA与所述TA之间建立第一安全通道，生成与此第一安全通道相对应的通道会话密钥；
所述CA与所述TA通过所述第一安全通道传输进行数据交互，并基于所述通道会话密钥以及预设的通道传输规则对通过所述第一安全通道传输的数据进行加解密处理。
14.如权利要求13所述的***，其特征在于，
所述第一密钥参数包括：厂商公钥；所述第二密钥参数包括：终端公钥、终端私钥、终端公钥签名值。
15.如权利要求14所述的***，其特征在于，
将所述厂商公钥存储在与所述CA相对应的CA程序中，其中，通过所述CA程序的发行、安装部署所述厂商公钥；
在安装所述TA并进行首次运行时，在TEE环境中生成所述终端公钥、所述终端私钥，其中，所述终端公钥、所述终端私钥以持久化的方式存储在所述TA所处的TEE环境中。
16.如权利要求15所述的***，其特征在于，还包括：TAM服务器；
在所述TA的个人化阶段中，所述TA和TAM服务器之间建立第二安全通道；
所述TA，用于通过所述第二安全通道将所述终端公钥发送给所述TAM服务器，并通过所述第二安全通道接收所述TAM服务器发送的所述终端公钥签名值，将所述终端公钥签名值以持久化的方式存储在TEE环境中；其中，所述TAM服务器使用厂商私钥对所述终端公钥进行数字签名。
17.如权利要求15所述的***，其特征在于，
所述TA，还用于调用白盒加密库获取所述终端公钥签名值，将所述终端公钥签名值以持久化的方式存储在TEE环境中；其中，在所述白盒加密库中使用厂商私钥对所述终端公钥进行数字签名。
18.如权利要求14所述的***，其特征在于，还包括：密钥管理中心；
厂商公钥以及厂商私钥由TA提供商的TA管理根证书签发并在所述密钥管理中心生成。
19.如权利要求14所述的***，其特征在于，
所述TA，用于向所述CA发送第一验证信息，其中，所述第一验证信息包括：所述终端公钥和所述终端公钥签名值；
所述CA，用于使用所述厂商公钥对所述终端公钥签名值进行验证，如果验证成功，则生成所述通道会话密钥；使用所述终端公钥对第二验证信息进行加密并发送给所述TA，其中，所述第二验证信息包括：所述通道会话密钥、校验数据；
所述TA，还用于使用所述终端私钥对加密后的所述第二验证信息进行解密处理，如果对所述检验数据检验成功，则建立所述第一安全通道并向所述CA返回通道建立成功消息。
20.如权利要求19所述的***，其特征在于，
所述CA，还用于向所述TA发送建立安全通道命令，其中，所述建立安全通道命令包含与此CA对应的CA进程实例标识；
所述TA，用于基于所述CA进程实例标识判断是否与所述CA已经建立了安全通道，如果是，则返回建立成功消息，如果否，则向所述CA发送所述第一验证信息，其中，所述第一验证信息还包括：所述CA的通道号。
21.如权利要求20所述的***，其特征在于，
所述第二验证信息还包括：所述CA的通道号、所述CA进程实例标识；
所述通道会话密钥包括：随机数。
22.如权利要求19所述的***，其特征在于，
所述CA与所述TA分别基于所述通道会话密钥并采用预设的加密算法对在所述CA与所述TA之间的交互数据进行加解密处理，其中，将所述CA的通道号与加密后的交互数据通过所述第一安全通道在所述CA与所述TA之间进行传输。
23.如权利要求22所述的***，其特征在于，
所述CA与所述TA分别使用所述通道会话密钥作为密钥，获取通道IV计数器的当前值作为IV，采用所述加密算法对所述交互数据以及校验数据进行加解密处理；其中，所述加密算法包括：对称加密算法。
24.如权利要求23所述的***，其特征在于，
所述CA设置第一IV计数器，所述TA设置与所述安全通道对应的第二IV计数器；其中，在所述安全通道建立时，所述CA和所述TA分别将所述第一IV计数器和所述第二IV计数器的初始值都为0；在完成一次所述CA与所述TA之间的双向数据交互后，所述CA和所述TA分别将所述第一IV计数器和所述第二IV计数器的值加1。
25.一种客户端应用与可信应用的通信***，其特征在于，包括：
存储器；以及耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行如权利要求1至12中任一项所述的客户端应用与可信应用的通信方法。
26.一种终端，其特征在于：
包括如权利要求13至25任一项所述的客户端应用与可信应用的通信***。
27.一种计算机可读存储介质，其上存储有计算机程序指令，该指令被一个或多个处理器执行时实现权利要求1至12任意一项所述的方法的步骤。
CN201810375244.6A 2018-04-24 2018-04-24 客户端应用与可信应用的通信方法、***以及终端 Active CN108600222B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810375244.6A CN108600222B (zh) 2018-04-24 2018-04-24 客户端应用与可信应用的通信方法、***以及终端

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810375244.6A CN108600222B (zh) 2018-04-24 2018-04-24 客户端应用与可信应用的通信方法、***以及终端

Publications (2)

Publication Number Publication Date
CN108600222A true CN108600222A (zh) 2018-09-28
CN108600222B CN108600222B (zh) 2021-01-29

Family

ID=63609430

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810375244.6A Active CN108600222B (zh) 2018-04-24 2018-04-24 客户端应用与可信应用的通信方法、***以及终端

Country Status (1)

Country Link
CN (1) CN108600222B (zh)

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109413086A (zh) * 2018-11-16 2019-03-01 阿里巴巴集团控股有限公司 线上核验身份信息的方法及装置
CN110099063A (zh) * 2019-05-08 2019-08-06 杭州健康在线信息技术有限公司 一种会议报名凭证的生成方法
CN110806978A (zh) * 2019-10-31 2020-02-18 吉林亿联银行股份有限公司 一种第三方组件的缺陷管理方法及装置
CN110855667A (zh) * 2019-11-14 2020-02-28 宁夏吉虎科技有限公司 一种区块链加密方法、装置及***
WO2020073750A1 (zh) * 2018-10-12 2020-04-16 华为技术有限公司 终端攻击防御方法、装置、终端及云服务器
CN112422487A (zh) * 2019-08-23 2021-02-26 北京小米移动软件有限公司 数据传输方法、装置、***及计算机可读存储介质
CN112713987A (zh) * 2020-12-10 2021-04-27 北京握奇数据股份有限公司 一种用于在ca与ta之间建立会话密钥的***和方法
CN113553125A (zh) * 2020-04-26 2021-10-26 中移(成都)信息通信科技有限公司 可信应用程序的调用方法、装置、设备及计算机存储介质
CN114765544A (zh) * 2021-01-11 2022-07-19 ***通信有限公司研究院 可信执行环境数据离线迁移方法及装置
CN114844672A (zh) * 2022-03-22 2022-08-02 华为技术有限公司 一种应用可信身份的确认方法、管理单元及设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103051451A (zh) * 2011-12-12 2013-04-17 微软公司 安全托管执行环境的加密认证
CN105574720A (zh) * 2015-12-14 2016-05-11 联想(北京)有限公司 安全的信息处理方法以及信息处理装置
CN105843653A (zh) * 2016-04-12 2016-08-10 恒宝股份有限公司 一种安全应用配置方法及装置
CN106936774A (zh) * 2015-12-29 2017-07-07 中国电信股份有限公司 可信执行环境中的认证方法和***
EP3293656A1 (en) * 2016-09-13 2018-03-14 Gemalto Sa Method for controlling access to a trusted application in a terminal

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103051451A (zh) * 2011-12-12 2013-04-17 微软公司 安全托管执行环境的加密认证
CN105574720A (zh) * 2015-12-14 2016-05-11 联想(北京)有限公司 安全的信息处理方法以及信息处理装置
CN106936774A (zh) * 2015-12-29 2017-07-07 中国电信股份有限公司 可信执行环境中的认证方法和***
CN105843653A (zh) * 2016-04-12 2016-08-10 恒宝股份有限公司 一种安全应用配置方法及装置
EP3293656A1 (en) * 2016-09-13 2018-03-14 Gemalto Sa Method for controlling access to a trusted application in a terminal

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111046383B (zh) * 2018-10-12 2023-10-13 华为技术有限公司 终端攻击防御方法、装置、终端及云服务器
WO2020073750A1 (zh) * 2018-10-12 2020-04-16 华为技术有限公司 终端攻击防御方法、装置、终端及云服务器
CN111046383A (zh) * 2018-10-12 2020-04-21 华为技术有限公司 终端攻击防御方法、装置、终端及云服务器
CN109413086B (zh) * 2018-11-16 2020-11-24 创新先进技术有限公司 线上核验身份信息的方法及装置
CN109413086A (zh) * 2018-11-16 2019-03-01 阿里巴巴集团控股有限公司 线上核验身份信息的方法及装置
CN110099063A (zh) * 2019-05-08 2019-08-06 杭州健康在线信息技术有限公司 一种会议报名凭证的生成方法
CN110099063B (zh) * 2019-05-08 2020-05-26 杭州健康在线信息技术有限公司 一种会议报名凭证的生成方法
CN112422487A (zh) * 2019-08-23 2021-02-26 北京小米移动软件有限公司 数据传输方法、装置、***及计算机可读存储介质
CN110806978A (zh) * 2019-10-31 2020-02-18 吉林亿联银行股份有限公司 一种第三方组件的缺陷管理方法及装置
CN110855667A (zh) * 2019-11-14 2020-02-28 宁夏吉虎科技有限公司 一种区块链加密方法、装置及***
CN110855667B (zh) * 2019-11-14 2023-04-07 宁夏吉虎科技有限公司 一种区块链加密方法、装置及***
CN113553125A (zh) * 2020-04-26 2021-10-26 中移(成都)信息通信科技有限公司 可信应用程序的调用方法、装置、设备及计算机存储介质
CN113553125B (zh) * 2020-04-26 2024-03-19 中移(成都)信息通信科技有限公司 可信应用程序的调用方法、装置、设备及计算机存储介质
CN112713987A (zh) * 2020-12-10 2021-04-27 北京握奇数据股份有限公司 一种用于在ca与ta之间建立会话密钥的***和方法
CN112713987B (zh) * 2020-12-10 2022-07-26 北京握奇数据股份有限公司 一种用于在ca与ta之间建立会话密钥的***和方法
CN114765544A (zh) * 2021-01-11 2022-07-19 ***通信有限公司研究院 可信执行环境数据离线迁移方法及装置
CN114844672A (zh) * 2022-03-22 2022-08-02 华为技术有限公司 一种应用可信身份的确认方法、管理单元及设备
CN114844672B (zh) * 2022-03-22 2023-08-22 华为技术有限公司 一种应用可信身份的确认方法、管理单元及设备

Also Published As

Publication number Publication date
CN108600222B (zh) 2021-01-29

Similar Documents

Publication Publication Date Title
CN108600222A (zh) 客户端应用与可信应用的通信方法、***以及终端
CN109598616B (zh) 一种引入仲裁机制的区块链数据隐私保护的方法
CN104618120B (zh) 一种移动终端密钥托管数字签名方法
CN109309565A (zh) 一种安全认证的方法及装置
JP2019533384A (ja) データ伝送方法、装置およびシステム
CN106327184A (zh) 一种基于安全硬件隔离的移动智能终端支付***及方法
CN108347419A (zh) 数据传输方法和装置
CN103716154A (zh) 一种终端主密钥tmk安全下载方法及***
CN110889696A (zh) 一种基于sgx技术的联盟区块链秘钥存储方法、装置、设备及介质
CN107172056A (zh) 一种信道安全确定方法、装置、***、客户端及服务器
CN108199847B (zh) 数字安全处理方法、计算机设备及存储介质
CN111615105A (zh) 信息提供、获取方法、装置及终端
CN112351037B (zh) 用于安全通信的信息处理方法及装置
CN111131416A (zh) 业务服务的提供方法和装置、存储介质、电子装置
CN105681470A (zh) 基于超文本传输协议的通信方法、服务器、终端
CN109361508A (zh) 数据传输方法、电子设备及计算机可读存储介质
CN114697040B (zh) 一种基于对称密钥的电子签章方法和***
CN113726733B (zh) 一种基于可信执行环境的加密智能合约隐私保护方法
CN107094156A (zh) 一种基于p2p模式的安全通信方法及***
CN106712939A (zh) 密钥离线传输方法和装置
CN109361512A (zh) 数据传输方法
US20240106633A1 (en) Account opening methods, systems, and apparatuses
CN116633530A (zh) 量子密钥传输方法、装置及***
CN111241492A (zh) 一种产品多租户安全授信方法、***及电子设备
CN111901335B (zh) 基于中台的区块链数据传输管理方法及***

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant