移动终端安全防护方法和装置制造方法及图纸

本发明专利技术实施例公开了一种移动终端安全防护方法和系统，其中的方法包括：前置TA确定与业务数据相对应的安全模块以及安全模块的部署方式，安全模块包括：安全功能TA、eSE中的Applet；前置TA将业务数据发送给安全模块，通过安全模块对业务数据进行相应地数据安全处理，并接收到安全模块返回的数据安全处理结果数据并发送给业务应用或外部设备。本发明专利技术的方法、系统，将传统的手机盾TA进行功能拆分，核心安全功能可由TEE软盾或eSE硬盾的方式实现，前置TA对于TEE软盾和eSE硬盾统一证书管理方式，统一口令验证及交易报文签名流程，使用唯一流程，降低TEE平台下的开发及维护成本。

Mobile terminal security protection method and device

The embodiment of the present invention discloses a mobile terminal security protection method and system. The method includes: pre-TA determines the security module corresponding to the business data and the deployment mode of the security module, the security module includes: security function TA, Applet in eSE; pre-TA transmits business data to the security module, and passes through the security module. The security module processes the business data accordingly, and receives the data security processing result data returned by the security module and sends it to the business application or external equipment. The method and system of the present invention divides the traditional mobile phone shield TA into functions, and the core security functions can be realized by TEE soft shield or eSE hard shield. The front TA unifies the certificate management mode for TEE soft shield and eSE hard shield, unifies the password verification and transaction message signature process, uses the unique process, reduces the development under TEE platform, and Maintenance cost.

【技术实现步骤摘要】
移动终端安全防护方法和装置
本专利技术涉及信息安全
，尤其涉及一种移动终端安全防护方法和装置。
技术介绍
随着移动通讯技术的发展，在智能移动终端上进行网银交易等业务的需求日益旺盛，对于移动支付交易的安全性要求也越来越高。在智能移动终端上使用TEE方案进行网银交易，对于网银盾的实现有两种方案：用TEE中的TA实现二代网银盾的全部功能，包括非核心安全功能，如交易报文解析、交易信息显示、口令输入和交易信息确认等，以及核心安全功能，如口令验证及交易报文签名，这种方案称为TEE软盾方案；在TA中实现二代网银盾的非核心安全功能，包括交易报文解析、交易信息显示、口令输入和交易信息确认，而口令验证和交易报文签名的核心安全功能放在eSE中实现，另外eSE还负责证书与密钥对的存储、管理和使用，这种方案称为eSE硬盾方案。具体到某一个移动支付解决方案采用TEE软盾方案还是eSE硬盾方案取决于银行系统及智能移动终端制造商。对于现有两种不同的网银盾的实现技术方案，在个人化流程或在执行同一核心安全功能时，运行在REE中的网银系统APP和证书管理系统对于运行在TEE的TA使用和运行在eSE中的网银Applet要使用不同的指令流，相应的对于网银系统APP和证书管理系统，这种差异的存在增加了APP的设计实现复杂度，增加了证书管理系统开发和部署的难度。同时，TEE软盾方案开发包含TUI和安全服务的TA，eSE硬盾方案需要开发包含TUI和与eSE间指令透传的TA，增加TEE平台下的开发及维护成本。
技术实现思路
有鉴于此，本专利技术要解决的一个技术问题是提供一种移动终端安全防护方法和装置。根据本专利技术的一个方面，提供一种移动终端安全防护方法，包括：运行在TEE中的前置TA接收到业务应用或外部设备发送的业务数据；所述前置TA确定与所述业务数据相对应的安全模块以及所述安全模块的部署方式；其中，所述安全模块包括：安全功能TA、eSE中的Applet；所述前置TA将所述业务数据发送给所述安全模块，通过所述安全模块对所述业务数据进行相应地数据安全处理；所述前置TA接收到所述安全模块返回的数据安全处理结果数据并发送给所述业务应用或外部设备。可选地，所述前置TA将所述业务数据发送给所述安全模块、通过所述安全模块对所述业务数据进行相应地数据安全处理包括：所述前置TA判断是否存在所述eSE；如果是，则将所述业务数据发送给所述eSE中的Applet，通过所述Applet对所述业务数据进行相应地数据安全处理；如果否，则将所述业务数据发送给所述安全功能TA，通过所述安全功能TA对所述业务数据进行相应地数据安全处理。可选地，所述数据安全处理包括：签名处理；所述方法还包括：所述安全功能TA和所述Applet存储有数字签名证书；所述安全功能TA和所述Applet使用所述数字签名证书对所述业务数据进行相应地签名处理。可选地，所述前置TA确定与所述安全功能TA或所述Applet相对应的数据格式；所述前置TA根据所述数据格式将所述业务数据进行封装，并将封装后的所述业务数据发送给所述安全功能TA或所述Applet。可选地，所述数据格式包括：APDU格式、自定义格式。可选地，接口服务模块对外提供TEE统一调用接口，业务应用或外部设备通过使用所述TEE统一调用接口发送所述业务数据；所述前置TA对外提供统一的TEE功能访问接口，所述接口服务模块使用所述TEE功能访问接口将所述业务数据发送给所述前置TA。可选地，所述TEE统一调用接口的提供形式包括：SDK、jar包、动态链接库。可选地，证书管理系统通过所述前置TA对所述安全功能TA、所述Applet中存储的数字签名证书进行管理，包括：安装、更新、删除数字签名证书。可选地，TSM系统通过所述前置TA对所述Applet进行管理，包括：进行个人化，安装、更新、卸载Applet；TAM系统对于所述前置TA或通过所述前置TA对所述安全功能TA进行管理，包括：进行个人化，安装、更新、卸载Applet。可选地，所述前置TA通过可信用户接口TUI接收用户输入的信息，其中，所述用户输入的信息包括：许可口令、交易确认指令信息；所述前置TA通过可信用户接口TUI显示信息，其中，显示的信息包括：认证结果信息、业务交易信息。根据本专利技术的另一方面，提供一种移动终端安全防护系统，包括：运行在TEE中的前置TA以及安全模块；其中，所述安全模块包括：安全功能TA、eSE中的Applet；所述前置TA，用于接收业务应用或外部设备发送的业务数据，确定与所述业务数据相对应的安全模块以及所述安全模块的部署方式；将所述业务数据发送给所述安全模块；所述安全模块，用于对所述业务数据进行相应地数据安全处理；所述前置TA，还用于接收到所述安全模块返回的数据安全处理结果数据并发送给所述业务应用或外部设备。可选地，所述前置TA，用于判断是否存在所述eSE；如果是，则将所述业务数据发送给所述eSE中的Applet，通过所述Applet对所述业务数据进行相应地数据安全处理；如果否，则将所述业务数据发送给所述安全功能TA，通过所述安全功能TA对所述业务数据进行相应地数据安全处理。可选地，所述数据安全处理包括：签名处理；所述安全功能TA和所述Applet存储有数字签名证书；所述安全功能TA和所述Applet使用所述数字签名证书对所述业务数据进行相应地签名处理。可选地，所述前置TA，还用于确定与所述安全功能TA或所述Applet相对应的数据格式；根据所述数据格式将所述业务数据进行封装，并将封装后的所述业务数据发送给所述安全功能TA或所述Applet。可选地，所述数据格式包括：APDU格式、自定义格式。可选地，接口服务模块，用于对外提供TEE统一调用接口，业务应用或外部设备通过使用所述TEE统一调用接口发送所述业务数据；所述前置TA对外提供统一的TEE功能访问接口；所述接口服务模块，用于使用所述TEE功能访问接口将所述业务数据发送给所述前置TA。可选地，所述TEE统一调用接口的提供形式包括：SDK、jar包、动态链接库。可选地，证书管理系统，用于通过所述前置TA对所述安全功能TA、所述Applet中存储的数字签名证书进行管理，包括：安装、更新、删除数字签名证书。可选地，TSM系统，用于通过所述前置TA对所述Applet进行管理，包括：进行个人化，安装、更新、卸载Applet；TAM系统，用于对于所述前置TA或通过所述前置TA对所述安全功能TA进行管理，包括：进行个人化，安装、更新、卸载Applet。可选地，所述前置TA，用于通过可信用户接口TUI接收用户输入的信息，其中，所述用户输入的信息包括：许可口令、交易确认指令信息；通过可信用户接口TUI显示信息，其中，显示的信息包括：认证结果信息、业务交易信息。根据本专利技术的又一方面，提供一种移动终端安全防护系统，包括：存储器；以及耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行如上所述的方法。根据本专利技术的再一方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该指令被一个或多个处理器执行时实现如上所述的方法的步骤。本专利技术的移动终端安全防护方法和装置，提供了一种TEE手机盾实现方法，将传统的手机盾TA进行功能拆分，核本文档来自技高网...

【技术保护点】
1.一种移动终端安全防护方法，其特征在于，包括：运行在TEE中的前置TA接收到业务应用或外部设备发送的业务数据；所述前置TA确定与所述业务数据相对应的安全模块以及所述安全模块的部署方式；其中，所述安全模块包括：安全功能TA、eSE中的Applet；所述前置TA将所述业务数据发送给所述安全模块，通过所述安全模块对所述业务数据进行相应地数据安全处理；所述前置TA接收到所述安全模块返回的数据安全处理结果数据并发送给所述业务应用或外部设备。

【技术特征摘要】
1.一种移动终端安全防护方法，其特征在于，包括：运行在TEE中的前置TA接收到业务应用或外部设备发送的业务数据；所述前置TA确定与所述业务数据相对应的安全模块以及所述安全模块的部署方式；其中，所述安全模块包括：安全功能TA、eSE中的Applet；所述前置TA将所述业务数据发送给所述安全模块，通过所述安全模块对所述业务数据进行相应地数据安全处理；所述前置TA接收到所述安全模块返回的数据安全处理结果数据并发送给所述业务应用或外部设备。2.如权利要求1所述的方法，其特征在于，所述前置TA将所述业务数据发送给所述安全模块、通过所述安全模块对所述业务数据进行相应地数据安全处理包括：所述前置TA判断是否存在所述eSE；如果是，则将所述业务数据发送给所述eSE中的Applet，通过所述Applet对所述业务数据进行相应地数据安全处理；如果否，则将所述业务数据发送给所述安全功能TA，通过所述安全功能TA对所述业务数据进行相应地数据安全处理。3.如权利要求2所述的方法，其特征在于，所述数据安全处理包括：签名处理；所述方法还包括：所述安全功能TA和所述Applet存储有数字签名证书；所述安全功能TA和所述Applet使用所述数字签名证书对所述业务数据进行相应地签名处理。4.如权利要求2所述的方法，其特征在于，所述前置TA将所述业务数据发送给所述安全模块之前还包括：所述前置TA确定与所述安全功能TA或所述Applet相对应的数据格式；所述前置TA根据所述数据格式将所述业务数据进行封装，并将封装后的所述业务数据发送给所述安全功能TA或所述Applet。5.如权利要求4所述的方法，其特征在于，所述数据格式包括：APDU格式、自定义格式。6.如权利要求1所述的方法，其特征在于，还包括：接口服务模块对外提供TEE统一调用接口，业务应用或外部设备通过使用所述TEE统一调用接口发送所述业务数据；所述前置TA对外提供统一的TEE功能访问接口，所述接口服务模块使用所述TEE功能访问接口将所述业务数据发送给所述前置TA。7.如权利要求6所述的方法，其特征在于，所述TEE统一调用接口的提供形式包括：SDK、jar包、动态链接库。8.如权利要求3所述的方法，其特征在于，还包括：证书管理系统通过所述前置TA对所述安全功能TA、所述Applet中存储的数字签名证书进行管理，包括：安装、更新、删除数字签名证书。9.如权利要求1所述的方法，其特征在于，还包括：TSM系统通过所述前置TA对所述Applet进行管理，包括：进行个人化，安装、更新、卸载Applet；TAM系统对于所述前置TA或通过所述前置TA对所述安全功能TA进行管理，包括：进行个人化，安装、更新、卸载Applet。10.如权利要求1所述的方法，其特征在于所述前置TA通过可信用户接口TUI接收用户输入的信息，其中，所述用户输入的信息包括：许可口令、交易确认指令信息；所述前置TA通过可信用户接口TUI显示信息，其中，显示的信息包括：认证结果信息、业务交易信息。11.一种移动终端安全防护系统，其特征在于，包括：运行在TEE中的前置TA以及安全模块；其中，所述安全模块...

【专利技术属性】
技术研发人员：郭静，
申请(专利权)人：北京握奇智能科技有限公司，北京握奇数据股份有限公司，
类型：发明
国别省市：北京,11