确保软件加密技术安全的加密系统和方法技术方案

公开了一种加密系统，其具有由防篡改虚拟层(TPVL)保护的安全加密虚拟机(CVM)以在软件中执行加密技术。CVM和TPVL允许软件应用以安全并且防篡改的方式存储并处理加密秘钥和数据，而不需使用硬件安全模块(HSM)。

【技术实现步骤摘要】
【国外来华专利技术】
本申请大体涉及加密系统，尤其是在软件中实施该加密系统时确保该系统安全的方法。
技术介绍
移动设备(包括移动电话和平板电脑)在网络通信以及个人信息存储和处理中的使用正快速增长。当用户敏感信息在这些设备之间传送或者在这些设备中存储时，加密技术构成了确保用户敏感信息安全的基础。当前存在着两种在这些设备中确保用户信息安全的广泛的方法。传统上，提供用于加密处理的安全的防篡改容器的硬件安全模块(HSM)在硬件上执行这些操作，而其是与软件应用隔离的。首个有记录的HSM记录于美国专利4，168，396，1979年9月18日，其被设计用于个人计算机软件的复制保护。这个概念之后被扩展到提供数据安全的硬件模块(美国专利4，352，952，1980年3月3日)。现有HSM的例子包括内建于接触式卡(IS0/IEC7810和7816标准)以及非接触式卡(IS0/IEC14443标准)的“智能卡”。在移动电话和其他计算设备中，这些HSM —般不存在或者不能被软件应用所访问，而且加密技术是在主机操作系统中执行的，而主机操作系统是使用操作系统机制来隔离的。然而，获取了操作系统的访问权限的攻击者或者黑客有多种可行手段来克服这些机制，并因此获取用户信息的访问权限。虚拟机(virtual machine)已被用作一种在主机计算设备和虚拟机中的来宾操作系统之间将执行分离的手段。为了安全，这已被用来加强安全策略(美国专利2005/0257243，2005年12月29日)、用来防止被破解的来宾操作系统能够影响主机(美国专利7，409，719,2004年12月21日)以及用来在DVD中只允许受信任的媒体播放器应用访问加密的媒体(美国专利7，516，331,2003年11月26日)。但是，当在开放的软件平台(例如移动电话或桌面操作系统)上执行时，它们都不会试图保护虚拟机内的信息。基于上文，可以认识到存在着对具有如下方法的加密系统的需求:从未授权但获取了计算设备操作系统的访问权限的观察器(observer)或攻击者那里确保软件加密技术的安全的方法，尤其是在计算设备不具有确保在分离的硬件安全模块中的加密信息安全的手段时。本专利技术满足此需求以及本领域的其他需求。
技术实现思路
根据本专利技术构建的加密系统和方法包括作为加密沙盒运行的安全软件沙盒，其具有围绕沙盒的防篡改虚拟层以保护沙盒免于逆向工程、调试或篡改。多个应用可以与沙盒通信以请求执行加密操作，以及从沙盒中检索加密操作的结果。【附图说明】图1所示为一种设备的处理系统的框图，该设备执行根据本专利技术的一种实施方式的系统和方法。图2所示为根据本专利技术的一种实施方式的加密系统元件的框图。图3所示为根据本专利技术的一种实施方式的加密系统的启动过程的流程图。图4所示为根据本专利技术的一种实施方式的访问加密存储器的过程的流程图。图5所示为根据本专利技术的一种实施方式的、加密系统到操作系统函数的受信任访问过程的流程图。图6所示为根据本专利技术的一种实施方式的、加密系统执行的安全地检查更新的过程的流程图。【具体实施方式】下面的描述将集中于根据本专利技术的一种实施方式，其在应用软件运行于Apple iPhone?或Google Android?操作系统的环境下一般是有效的。但是，根据本专利技术的实施方式不限于任何一种特定的应用或任何特定的环境。实际上，本领域技术人员会发现本专利技术的系统和方法可以有益地应用于多种系统和应用软件，包括安全令牌(securitytoken)、软件加密技术和网络加密。而且，根据本专利技术的实施方式可以在多种不同的平台执行，包括:其他移动电话操作系统，诸如丨《IVl Blackberry?和Microsoft? Windows Phone等等；其他操作系统，诸如Apple Mac OS?、Microsoft? Windows和UNIX ；以及其他运行环境，诸如网络浏览器和嵌入式设备等等。因此，下文中根据本专利技术所示的实施方式的描述是示意性的而不是限制性的。提供根据本专利技术的方法和系统的过程由诸如(但不限于)移动电话、平板电脑、上网本、笔记本电脑或其他处理系统的设备执行。设备中执行根据本专利技术实施方式的过程的相关元件显示于图1。本领域技术人员会认识到，该设备可以包括为简洁起见而省略的其他元件而不会偏离本专利技术。设备I包括处理器5、非易失性存储器10以及易失性存储器15。处理器5是处理器、微处理器、控制器或者处理器、微处理器和/或控制器的组合，其执行存储于易失性存储器15或非易失性存储器10的指令以操作存储于存储器中的数据。非易失性存储器10可以存储用于配置处理器5以执行过程的处理器指令，所执行的过程包括根据本专利技术的实施方式的过程和/或用于所用过程的数据。其他实施方式中，设备软件和/或固件可以存储于适用于特定应用的多种计算机可读介质中的任意一种。尽管图1图示了一种特定的设备，根据本专利技术的实施方式，也可以使用被配置来存储加密的加密数据并执行加密操作的多种设备中的任意一种。图2所示为根据本专利技术的一种实施方式所构建的加密系统和方法。在所描述的实施方式中，加密沙盒108为多个客户端应用(client application) 104提供了安全地存储并处理加密秘钥以及数据的方法，其在沙盒中具有防篡改虚拟层110以保护处理以及数据免受未授权的观察器之害。为了允许客户端应用104执行安全处理以及安全存储，加密沙盒108可以包括安全虚拟处理器109以及安全虚拟存储器119。加密沙盒108可以包括加密虚拟机109以充当安全虚拟处理器。加密虚拟机可以包括安全加密模块115以执行加密操作，这些操作包括存储、检索以及处理加密秘钥和数据。这些加密操作可以包括公众所知的加密程序,包括对称秘钥加密(sy_etric keycryptography)(例如 AES)、非对称秘钥加密(asymmetric key cryptography)(例如 RSA)、散列函数(hashing function)(例如SHA-1、SHA-2和HMAC)以及伪随机数生成和秘钥生成函数。该虚拟机可以从多个客户端应用接收请求106以执行这些加密操作，其在虚拟机内安全地处理这些加密操作并将这些加密操作的结果作为响应107发回客户端。该虚拟机也可以用来执行其他没有加密但是对于安全至关重要的处理函数。虚拟机109可以包括虚拟机解释器111以及虚拟机代码集112。这些虚拟机代码可以基于仅以在虚拟机解释器内执行为目的而建立的32位RISC指令集架构。该指令集架构可以包括通用计算机处理器所需的汇编指令，其包括存储器操作、函数调用、结果比较、二进制算法以及整数算法的指令。虚拟机和底层操作系统101可以在计算机处理器124中执行。该计算机处理器可以包括移动电话中的通用中央处理单元。底层操作系统可以包括移动电话操作系统。虚拟机解释器还可以包括混淆技术114以向底层操作系统和其中任何未授权观察器掩盖其操作。这些混淆技术可以包括针对底层操作系统中的变化而动态地改变执行流程的技术。该技术可以涉及传递给虚拟机的系统函数回调处理程序(callbackhandler)，使得虚拟机从底层操作系统执行函数并且探测这些改变是否已经出现。系统函数回调处理程序可以提供从虚拟机到底层操作系统的文件系统、过程以及存储器本文档来自技高网...

【技术保护点】
一种向正在设备中执行的应用提供加密技术的产品，包括：指令，所述指令指示处理单元进行下述操作：提供加密沙盒，所述加密沙盒包括：虚拟加密机，其执行加密操作，沙盒接口，其从客户端应用接收加密操作的请求，并且将由所述虚拟加密机执行的所述加密操作的结果传递到所述客户端应用；以及所述处理单元可读的、用以存储指令的介质。

【技术特征摘要】
【国外来华专利技术】2011.11.16 SG 201108491-0;2012.05.11 US 61/645,9851.一种向正在设备中执行的应用提供加密技术的产品，包括: 指令，所述指令指示处理单元进行下述操作: 提供加密沙盒，所述加密沙盒包括: 虚拟加密机，其执行加密操作， 沙盒接口，其从客户端应用接收加密操作的请求，并且将由所述虚拟加密机执行的所述加密操作的结果传递到所述客户端应用；以及所述处理单元可读的、用以存储指令的介质。2.如权利要求1所述的产品，其中提供所述加密沙盒的所述指令还包括使得所述加密沙盒包括如下部分的指令: 存储加密秘钥和数据的安全虚拟存储器。3.如权利要求1所述的产品，其中所述安全虚拟存储器在所述虚拟加密机的存储器空间中。4.如权利要求1所述的产品，其中所述安全虚拟存储器在所述虚拟加密机之外。5.如权利要求1所述的产品，其中提供包括虚拟加密机的沙盒的所述指令还包括，向所述虚拟加密机提供虚拟机解释器的指令，所述虚拟机解释器向底层操作系统混淆所述虚拟加密机的操作。6.如权利要求5所述的产品，其中所述提供虚拟机解释器的指令包括指示所述处理单元进行下述操作的指令: 在所述虚拟机解释器中从底层操作系统接收函数调用， 以所述虚拟机解释器验证所述函数调用，以及 响应被验证的所述函数调用，在所述虚拟加密机中执行所述函数调用。7.如权利要求1所述的产品，其中提供所述加密沙盒的指令还包括向所述虚拟加密机提供加密模块的指令，所述加密模块执行所述加密操作。8.如权利要求1所述的产品，其中提供所述加密沙盒的指令包括在所述虚拟加密机中提供防篡改层，所述防篡改层从未授权用户处保护加密处理和数据。9.如权利要求8所述的产品，其中提供所述防篡改层的指令包括提供加密形式的虚拟机代码集的指令，所述加密形式的虚拟机代码集在运...

【专利技术属性】
技术研发人员：颜哲全，
申请(专利权)人：VKEY公司，
类型：发明
国别省市：开曼群岛;KY