通过可信执行环境保护数据的设备和方法技术

本发明专利技术提供了一种计算设备，包括：可信执行环境，其可以访问存储有可删除根密钥的存储器，所述存储器无法由第二执行环境访问；可在所述可信执行环境中运行的至少一个处理器，在所述可信执行环境中操作时，所述至少一个处理器用于：基于来自所述第二执行环境的请求，对所述第二执行环境使用的加密密钥执行根密钥操作，以保护所述第二执行环境可访问的数据；在检测到安全事件之后，删除所述根密钥。

【技术实现步骤摘要】
【国外来华专利技术】通过可信执行环境保护数据的设备和方法相关申请案交叉申请本申请要求于2018年5月4日递交的专利技术名称为“通过可信执行环境保护数据的设备和方法”(DEVICEANDMETHODFORDATASECURITYWITHATRUSTEDEXECUTIONENVIRONMENT)的第15/971,498号美国专利申请案的在先申请优先权，该在先申请的全部内容以引入的方式并入本文本中。
本文涉及数据安全，具体地，本专利技术实施例涉及计算设备和可信执行环境的数据安全的方法。
技术介绍
现代计算设备用于多种用途，其中许多都涉及用户或其它实体的私有、专有或敏感数据。例如，智能电话等计算设备通常用于存储账号等财务数据、支付证书、指纹等生物统计数据、PIN和密码。此外，计算设备通常存储加密密钥等，以用于安全通信和文档存储或用于受版权保护的媒介的回放等。这种数据对于用户和其它实体(例如软件开发人员、企业、金融机构以及媒介所有者和发行者)都是有价值的数据。因此，保护敏感数据(尤其是防止未经授权访问此类数据)非常重要。专利
技术实现思路
根本文档来自技高网...

【技术保护点】
1.一种计算设备，其特征在于，包括：/n可信执行环境，其可以访问存储有可删除根密钥的存储器，所述存储器无法由第二执行环境访问；/n可在所述可信执行环境中运行的至少一个处理器，在所述可信执行环境中操作时，所述至少一个处理器用于：/n基于来自所述第二执行环境的请求，对所述第二执行环境使用的加密密钥执行根密钥操作，以保护所述第二执行环境可访问的数据；/n在检测到安全事件之后，删除所述根密钥。/n

【技术特征摘要】
【国外来华专利技术】20180504 US 15/971,4981.一种计算设备，其特征在于，包括：
可信执行环境，其可以访问存储有可删除根密钥的存储器，所述存储器无法由第二执行环境访问；
可在所述可信执行环境中运行的至少一个处理器，在所述可信执行环境中操作时，所述至少一个处理器用于：
基于来自所述第二执行环境的请求，对所述第二执行环境使用的加密密钥执行根密钥操作，以保护所述第二执行环境可访问的数据；
在检测到安全事件之后，删除所述根密钥。


2.根据权利要求1所述的计算设备，其特征在于，
在所述可信执行环境中操作时，所述至少一个处理器用于检测所述安全事件，其中，所述检测所述安全事件包括：检测系统完整性漏洞或从所述第二执行环境接收指示可疑活动的消息。


3.根据权利要求1或2所述的计算设备，其特征在于，在所述可信执行环境中操作时，所述至少一个处理器用于生成所述根密钥。


4.根据权利要求1至3中任一项所述的计算设备，其特征在于，在所述可信执行环境中操作时，所述至少一个处理器用于：
从所述第二执行环境接收解密已加密数据密钥的请求；
在所述根密钥已删除时，向所述第二执行环境发送错误消息。


5.根据权利要求1至4中任一项所述的计算设备，其特征在于，在所述可信执行环境中操作时，所述至少一个处理器用于：基于从所述第二执行环境中运行的密钥管理业务(keymanagementservice，KMS)接收到的请求执行密钥管理业务可信授权(keymanagementservicetrustedauthority，KMSTA)，以进行所述根密钥操作。


6.根据权利要求1至5中任一项所述的计算设备，其特征在于，在所述可信执行环境中操作时，所述至少一个处理器用于：
生成密钥加密密钥(keyencryptionkey，KEK)或从所述第二执行环境接收所述KEK；
使用所述根密钥加密所述KEK；
向所述第二执行环境发送所述已加密KEK。


7.根据权利要求1至5中任一项所述的计算设备，其特征在于，在所述可信执行环境中进行操作时，所述至少一个处理器用于：
从所述第二执行环境接收数据密钥和已加密密钥加密密钥(keyencryptionkey，KEK)；
使用所述根密钥解密所述已加密KEK；
使用所述解密后的KEK加密所述数据密钥；
向所述第二执行环境发送所述已加密数据密钥。


8.根据权利要求1至5中任一项所述的计算设备，其特征在于，在所述可信执行环境中进行操作时，所述至少一个处理器用于：
从所述第二执行环境接收已加密数据密钥和已加密密钥加密密钥(keyencryptionkey，KEK)；
使用所述根密钥解密所述已加密KEK；
使用所述KEK解密所述已加密数据密钥；
向所述第二执行环境发送所述数据密钥。


9.根据权利要求1至8中任一项所述的计算设备，其特征在于，所述第二执行环境为富执行环境(richexecutionenvironment，REE)。


10.一种计算机实现的数据保护方法，其特征在于，包括：
将可删除根密钥存储在计算设备的可信执行环境可访问的存储器中，所述存储器无法由第二执行环境访问；
基于来自所述第二执行环境的请求，所述可信执行环境中运行的所述计算设备的至少一个处理器对所述第二执行环境使用的加密密钥执行根密钥操作，以保护所述第二执行环境可访问的数据；
在检测...

【专利技术属性】
技术研发人员：莫志军，叶剑飞，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：广东;44