CN112953909A - 一种基于tee实现车载内外网安全隔离的方法 - Google Patents

Abstract

本发明公开了一种基于TEE实现车载内外网安全隔离的方法，其特征在于，该方法适用于车载中央网关平台，所述车载中央网关平台支持丰富执行环境REE和可信执行环境TEE，具体包括如下步骤：所述车载中央网关平台包含外部接入网络和内部接入网络，所述外部接入网络直接进入到丰富执行环境REE，所述丰富执行环境REE通过Linux内核的外部驱动协议到达不可信应用UTA；所述内部接入网络直接进入到可信执行环境TEE，所述可信执行环境TEE通过Linux内核的内部驱动协议到达可信应用TA；所述车载中央网关平台采用Linux内核，所述车载中央网关平台通过Linux内核将丰富执行环境REE的传输数据裁剪移植为可信执行环境TEE，所述Linux内核的车载应用分为不可信应用UTA和可信应用TA。

Description

一种基于TEE实现车载内外网安全隔离的方法

技术领域

本发明涉及移动设备信息安全技术领域，具体来说，涉及一种基于TEE实现车载内外网安全隔离的方法。

背景技术

TEE是可信执行环境的简称，当前可信执行环境TEE主要是基于智能终端（如智能手机）中处理器的安全区域构建，可信执行环境TEE是一个独立的执行区域，它提供了很多安全属性，如隔离性，完整性等，同时可信执行环境TEE也确保了加载到可信执行环境中代码和数据的安全性，传统的可信执行环境TEE技术包含ARM的TrustZone等,GlobalPlatform（GP）是全球平台国际标准组织，公布了可信执行环境TEE的基本保护范围，以及相关API接口和安全属性，符合该标准的可信执行环境TEE被称为GPTEE，可信执行环境TEE的安全级别介于丰富执行环境REE（Rich Execution Environment）和安全元件SE（Secure Element）之间，在丰富执行环境REE上运行的应用被认为不可信应用(UntrustedApplication 这里简称UTA)，在可信执行环境TEE上运行的应用被认为可信应用(TrustedApplication 简称TA)。

Ethernet一般指以太网，是一种计算机局域网技术，随着5G的应用以及智能网联汽车处理器运算能力和硬件的高速发展,对网络带宽需求也相应增大，以车载中央网关平台为核心，逐步应用以太网作为骨干网络，将各个域控制器连接在一起，以太网做为内外数据传输的通路，其内外驱动协议承载着数据的接收和发送，其安全越来越重要，车载中央网关平台与TBOX连接，而TBOX通过4G/5G网和后台通讯，车载中央网关平台经由内部驱动协议连接各电子控制单元ECU，内外驱动协议都会进入车载中央网关平台，经由Linux内核的驱动协议传输数据。

目前，车载中央网关平台经由外部驱动协议和外部通信,经由内部驱动协议和内部各电子控制单元ECU进行通信，外部驱动协议和内部驱动协议共用Linux内核内的驱动协议，最终都将数据传输给车载应用(Vehicle Application)，当外部驱动协议有被非法入侵的风险时，经由内部驱动协议和车载应用入侵，从而攻击各电子控制单元ECU，甚至将获取车载个人重要信息、破坏车载***、控制车载的安全隐患，当前没有相关标准和规范对车载中央网关平台进行约束和定义，网络驱动非常复杂，不同***间移植难度非常大，如何在内外网的Linux内核和可信执行环境TEE之间移植是网络安全亟待解决的研究课题。

发明内容

针对相关技术中的上述技术问题，本发明提出一种基于TEE实现车载内外网安全隔离的方法，通过解决外部接入网络和内部接入网络的资源隔离，从而提升了车载中央网关平台本身的安全性，以及车联网的安全性。

为实现上述技术目的，本发明的技术方案是这样实现的：一种基于TEE实现车载内外网安全隔离的方法，其特征在于，该方法适用于车载中央网关平台，所述车载中央网关平台支持丰富执行环境REE和可信执行环境TEE，具体包括如下步骤：

S1 所述车载中央网关平台包含外部接入网络和内部接入网络，所述外部接入网络直接进入到丰富执行环境REE，所述丰富执行环境REE通过Linux内核的外部驱动协议到达不可信应用UTA；

S2 所述内部接入网络直接进入到可信执行环境TEE，所述可信执行环境TEE通过Linux内核的内部驱动协议到达可信应用TA；

S3 所述车载中央网关平台采用Linux内核，所述车载中央网关平台通过Linux内核将丰富执行环境REE的传输数据裁剪移植为可信执行环境TEE，所述Linux内核的车载应用分为不可信应用UTA和可信应用TA。

根据本发明的另一方面，所述S1中外部接入网络进一步包含：

S1.1 所述外部接入网络无法通过Linux内核直接访问可信执行环境TEE的任何资源，以及无法隔离外部接入网络和内部接入网络的数据资源。

根据本发明的另一方面，所述S2中内部接入网络进一步包含：

S2基于所述内部接入网络创建所述车载中央网关平台与电子控制单元ECU的通信连接，所述内部接入网络与各电子控制单元ECU之间建立安全通信连接。

根据本发明的另一方面，所述S3中车载中央网关平台进一步包含：

S3.1 由于所述车载中央网关平台与所述可信执行环境TEE及所述丰富执行环境REE均通过Linux内核搭建，使得丰富执行环境REE和可信执行环境TEE的Linux内核机制相同，并保持Linux内核机制一致性；

S3.2 所述丰富执行环境REE的内部驱动协议直接将传输数据裁剪移植到可信执行环境TEE。

根据本发明的另一方面，所述S3中车载中央网关平台与内、外部接入网络连接进一步包含：

S3.3所述车载中央网关平台通过外部接入网络与TBOX连接，所述TBOX通过4G/5G网和后台通讯；

S3.4 所述车载中央网关平台通过内部接入网络和CAN总线与各电子控制单元ECU之间通信连接。

根据本发明的另一方面，所述S3中基于Linux内核将丰富执行环境REE的传输数据裁剪移植为可信执行环境TEE进一步包含：

S3.5精剪丰富执行环境REE的Linux内核，将精剪后的Linux内核裁剪移植到可信执行环境TEE，同时保证丰富执行环境REE和可信执行环境TEE的内核机制的一致性；

S3.6将丰富执行环境REE的外部驱动协议直接裁剪移植到可信执行环境TEE，不需要再次开发可信执行环境TEE的内部驱动协议；

S3.7将Linux内核分为不可信应用UTA和可信应用TA，若外部接入网络直接访问不可信应用UTA，则划分到丰富执行环境REE，若内部接入网络直接访问可信应用TA，则划分到可信执行环境TEE；

S3.8通过配置可信执行环境TEE的内部驱动协议的安全属性，限制丰富执行环境REE的外部驱动协议直接访问；

S3.9经由外部接入网络进入的传输数据，通过丰富执行环境REE的外部驱动协议将传输数据发送给不可信应用UTA；

S3.10经由内部接入网络进入的传输数据，通过可信执行环境TEE的内部驱动协议将传输数据发送给可信应用TA；

S3.11通过内部驱动协议将传输数据发送给可信执行环境TEE内部的可信应用TA时，需要进行可信执行环境TEE的身份认证；

S3.12外部驱动协议通过外部接入网络将传输数据发送给车载中央网关平台。

本发明的有益效果：鉴于现有技术中存在的不足，本申请具有如下有益效果：

1）安全性：本申请将Linux内核划分为可信域和非可信域，将Linux内核应用划分为可信应用TA和不可信应用UTA，并且Linux内核中的外部驱动协议和内部驱动协议运行在同源Linux内核中，上述框架将外部接入网络划分在不可信域，内部接入网络划分在可信域，本设计能够实现Linux内核双域隔离、应用隔离、网络数据隔离，即使外部网络有入侵的风险，也不能破坏可信域的资源，整体提高了中央网关的安全性；

2）移植性：安全域和非安全域使用同源Linux内核，提高了Linux内核维护效率，内、外接入网络使用同样的网络协议驱动，极大提高了移植效率，并且可以同步升级；

3）基于可信执行环境TEE的应用，能够解决外部接入网络和内部接入网络的资源隔离，不仅提升了车载中央网关平台本身的安全性，也提高了车联网的安全性，具有实际的应用前景。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本发明实施例所述的基于TEE实现车载内外网安全隔离的方法结构框图；

图2是根据本发明实施例所述的基于TEE实现车载内外网安全隔离的方法流程框图；

图3是根据本发明实施例所述的基于TEE实现车载内外网安全隔离的方法中传输数据裁剪移植的流程框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本发明保护的范围。

如图 1-3所示，根据本发明实施例所述的基于TEE实现车载内外网安全隔离的方法，该方法适用于车载中央网关平台，所述车载中央网关平台支持丰富执行环境REE和可信执行环境TEE，具体包括如下步骤：

步骤一，所述车载中央网关平台包含外部接入网络和内部接入网络，所述外部接入网络直接进入到丰富执行环境REE，所述丰富执行环境REE通过Linux内核的外部驱动协议到达不可信应用UTA，其中，所述外部接入网络无法通过Linux内核直接访问可信执行环境TEE的任何资源，以及无法隔离外部接入网络和内部接入网络的数据资源；

步骤二，所述内部接入网络直接进入到可信执行环境TEE，所述可信执行环境TEE通过Linux内核的内部驱动协议到达可信应用TA，基于所述内部接入网络创建所述车载中央网关平台与电子控制单元ECU的通信连接，所述内部接入网络与各电子控制单元ECU之间建立安全通信连接；

步骤三，所述车载中央网关平台采用Linux内核，所述车载中央网关平台通过Linux内核将丰富执行环境REE的传输数据裁剪移植为可信执行环境TEE，所述Linux内核的车载应用分为不可信应用UTA和可信应用TA，进一步包含：

其一，由于所述车载中央网关平台与所述可信执行环境TEE及所述丰富执行环境REE均通过Linux内核搭建，使得丰富执行环境REE和可信执行环境TEE的Linux内核机制相同，并保持Linux内核机制一致性；

其二，所述丰富执行环境REE的内部驱动协议直接将传输数据裁剪移植到可信执行环境TEE。

其三，所述车载中央网关平台通过外部接入网络与TBOX连接，所述TBOX通过4G/5G网和后台通讯；

其四，所述车载中央网关平台通过内部接入网络和CAN总线与各电子控制单元ECU之间通信连接；

其五，精剪丰富执行环境REE的Linux内核，将精剪后的Linux内核裁剪移植到可信执行环境TEE，同时保证丰富执行环境REE和可信执行环境TEE的内核机制的一致性；

其六，将丰富执行环境REE的外部驱动协议直接裁剪移植到可信执行环境TEE，不需要再次开发可信执行环境TEE的内部驱动协议；

其七，将Linux内核分为不可信应用UTA和可信应用TA，若外部接入网络直接访问不可信应用UTA，则划分到丰富执行环境REE，若内部接入网络直接访问可信应用TA，则划分到可信执行环境TEE；

其八，通过配置可信执行环境TEE的内部驱动协议的安全属性，限制丰富执行环境REE的外部驱动协议直接访问；

其九，经由外部接入网络进入的传输数据，通过丰富执行环境REE的外部驱动协议将传输数据发送给不可信应用UTA；

其十，经由内部接入网络进入的传输数据，通过可信执行环境TEE的内部驱动协议将传输数据发送给可信应用TA；

其十一，通过内部驱动协议将传输数据发送给可信执行环境TEE内部的可信应用TA时，需要进行可信执行环境TEE的身份认证；

其十二，外部驱动协议通过外部接入网络将传输数据发送给车载中央网关平台。

综上所述，借助于本发明的上述技术方案， 该方法是基于可信执行环境TEE的应用，在车载中央网关平台中隔离出可信执行环境TEE的可信区域，外部驱动协议运行在原有Linux内核内，内部驱动协议运行在可信执行环境TEE中，即：外部驱动协议和内部驱动协议完成隔离，外部驱动协议不能访问内部驱动协议的资源，内部驱动协议可以通过外部驱动协议与外部通信，从而防止外部网络非法入侵内部驱动协议，可信执行环境TEE采用车载中央网关平台同源的Linux内核，快速平移原有网络驱动，降低移植难度，易于维护；

所述Linux内核的应用分为不可信应用UTA和可信应用TA，所述可信应用TA通过内部驱动协议直接运行在可信执行环境TEE侧的Linux内核上，不需要经过二次开发；

所述丰富执行环境REE和所述可信执行环境TEE同时支持内外驱动协议，将丰富执行环境REE侧的外部驱动协议直接移植到可信执行环境TEE中，无需二次开发，因此提高了直接移植驱动协议的稳定性和开发效率。

以上对本申请所提供的一种基于TEE实现车载内外网安全隔离的方法，设备可读存储介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (6)

1.一种基于TEE实现车载内外网安全隔离的方法，其特征在于，该方法适用于车载中央网关平台，所述车载中央网关平台支持丰富执行环境REE和可信执行环境TEE，具体包括如下步骤：

S1 所述车载中央网关平台包含外部接入网络和内部接入网络，所述外部接入网络直接进入到丰富执行环境REE，所述丰富执行环境REE通过Linux内核的外部驱动协议到达不可信应用UTA；

S2 所述内部接入网络直接进入到可信执行环境TEE，所述可信执行环境TEE通过Linux内核的内部驱动协议到达可信应用TA；

S3 所述车载中央网关平台采用Linux内核，所述车载中央网关平台通过Linux内核将丰富执行环境REE的传输数据裁剪移植为可信执行环境TEE，所述Linux内核的车载应用分为不可信应用UTA和可信应用TA。

2.根据权利要求1所述的基于TEE实现车载内外网安全隔离的方法，其特征在于，所述S1中外部接入网络进一步包含：

S1.1 所述外部接入网络无法通过Linux内核直接访问可信执行环境TEE的任何资源，以及无法隔离外部接入网络和内部接入网络的数据资源。

3.根据权利要求1所述的基于TEE实现车载内外网安全隔离的方法，其特征在于，所述S2中内部接入网络进一步包含：

S2基于所述内部接入网络创建所述车载中央网关平台与电子控制单元ECU的通信连接，所述内部接入网络与各电子控制单元ECU之间建立安全通信连接。

4.根据权利要求1所述的基于TEE实现车载内外网安全隔离的方法，其特征在于，所述S3中车载中央网关平台进一步包含：

S3.1 由于所述车载中央网关平台与所述可信执行环境TEE及所述丰富执行环境REE均通过Linux内核搭建，使得丰富执行环境REE和可信执行环境TEE的Linux内核机制相同，并保持Linux内核机制一致性；

S3.2 所述丰富执行环境REE的内部驱动协议直接将Linux内核裁剪移植到可信执行环境TEE。

5.根据权利要求4所述的基于TEE实现车载内外网安全隔离的方法，其特征在于，所述S3中车载中央网关平台与内、外部接入网络连接进一步包含：

S3.3所述车载中央网关平台通过外部接入网络与TBOX连接，所述TBOX通过4G/5G网和后台通讯；

S3.4 所述车载中央网关平台通过内部接入网络和CAN总线与各电子控制单元ECU之间通信连接。

6.根据权利要求4所述的基于TEE实现车载内外网安全隔离的方法，其特征在于，所述S3中基于Linux内核将丰富执行环境REE的传输数据裁剪移植为可信执行环境TEE进一步包含：

S3.5精剪丰富执行环境REE的Linux内核，将精剪后的Linux内核裁剪移植到可信执行环境TEE，同时保证丰富执行环境REE和可信执行环境TEE的内核机制的一致性；

S3.6将丰富执行环境REE的外部驱动协议直接裁剪移植到可信执行环境TEE，不需要再次开发可信执行环境TEE的内部驱动协议；

S3.7将Linux内核分为不可信应用UTA和可信应用TA，若外部接入网络直接访问不可信应用UTA，则划分到丰富执行环境REE，若内部接入网络直接访问可信应用TA，则划分到可信执行环境TEE；

S3.8通过配置可信执行环境TEE的内部驱动协议的安全属性，限制丰富执行环境REE的外部驱动协议直接访问；

S3.9经由外部接入网络进入的传输数据，通过丰富执行环境REE的外部驱动协议将传输数据发送给不可信应用UTA；

S3.10经由内部接入网络进入的传输数据，通过可信执行环境TEE的内部驱动协议将传输数据发送给可信应用TA；

S3.11通过内部驱动协议将传输数据发送给可信执行环境TEE内部的可信应用TA时，需要进行可信执行环境TEE的身份认证；

S3.12外部驱动协议通过外部接入网络将传输数据发送给车载中央网关平台。

Images