一种可信环境的构建方法、装置、计算机设备及存储介质制造方法及图纸

本申请实施例提供了一种可信环境的构建方法、装置、计算机设备及存储介质，涉及系统安全技术领域，基于初始加载程序对普通世界进行鉴权，通过普通世界的第一硬件系统加载普通世界相应的操作系统，启动普通世界的第一系统环境；通过硬件分离技术从普通世界的第一硬件系统分离出目标硬件系统；基于目标硬件系统加载安全世界的操作系统，启动安全世界的第二系统环境；建立普通世界的第一系统环境和安全世界的第二系统环境之间的虚拟硬件通信通道，通过在普通世界的第一系统环境和安全世界的第二系统环境建立虚拟硬件通信通道，保证第一系统环境的硬件环境通信的安全，基于目标硬件系统加载安全世界的操作系统，便于项目的开发和维护，降低了成本。降低了成本。降低了成本。

【技术实现步骤摘要】
一种可信环境的构建方法、装置、计算机设备及存储介质


[0001]本申请涉及系统安全领域，尤其涉及一种可信环境的构建方法、装置、计算机设备及存储介质。

技术介绍

[0002]目前，构建可信环境的方法大多数是基于ARM(Advanced RISC Machine，进阶精简指令集机器)架构的trustzone技术，将硬件环境划分为TEE(Trusted Execution Environment，可信环境)和REE(Rich Execution Environment，普通环境)两个不同的世界，REE运行通用操作系统，TEE运行微内核操作系统。
[0003]但是，通过架构来构建可信环境极其依赖硬件架构，无法形成一套架构通用的可信方案，并且需要两套操作系统，在后续的开发中需要很高的成本，维护中存在很高的难度。

技术实现思路

[0004]为了解决上述技术问题，本申请实施例提供了一种可信环境的构建方法、装置、计算机设备及存储介质。
[0005]第一方面，本申请实施例提供了一种可信环境的构建方法，所述方法包括：
[0006]运行初始加载程序；
[0007]基于所述初始加载程序对普通世界进行鉴权，通过所述普通世界的第一硬件系统加载所述普通世界相应的操作系统，启动所述普通世界的第一系统环境；
[0008]将安全世界的第二硬件系统下线，并通过硬件分离技术从所述普通世界的第一硬件系统分离出目标硬件系统；
[0009]基于所述目标硬件系统加载所述安全世界相应的操作系统，启动所述安全世界的第二系统环境；
[0010]建立所述普通世界的第一系统环境和所述安全世界的第二系统环境之间的虚拟硬件通信通道。
[0011]根据本申请公开的一种具体实施方式，所述建立所述普通世界的第一系统环境和所述安全世界的第二系统环境之间的虚拟硬件通信通道的步骤，包括：
[0012]在所述安全世界的第二系统环境内加载虚拟硬件；
[0013]将所述第一虚拟硬件挂载至虚拟硬件总线上；
[0014]所述普通世界的第一系统环境通过所述硬件总线识别到所述虚拟硬件，并建立与所述安全世界的第二系统环境的虚拟硬件通信通道，其中，所述虚拟硬件通信通道包括网络、PCI、串口中的任一种。
[0015]根据本申请公开的一种具体实施方式，所述建立所述普通世界的第一系统环境和所述安全世界的第二系统环境之间的虚拟硬件通信通道的步骤后，包括：
[0016]在所述普通世界的第一系统环境内对CA程序进行鉴权；
[0017]对所述CA程序鉴权通过后，运行所述CA程序；
[0018]基于所述CA程序鉴权TA程序，并在鉴权通过后将所述TA程序通过所述虚拟硬件通信通道加载到所述安全世界的第二系统环境内。
[0019]根据本申请公开的一种具体实施方式，所述基于所述CA程序鉴权TA程序，并在鉴权通过后将所述TA程序通过所述虚拟硬件通信通道加载到所述安全世界的第二系统环境内的步骤之后，还包括：
[0020]控制所述第一系统环境生成可信程序运算请求，并通过所述虚拟硬件通信通道发送至所述第二系统环境内；
[0021]将所述第二系统环境生成的可信运算结果通过所述虚拟硬件通信通道发送至所述第一系统环境。
[0022]根据本申请公开的一种具体实施方式，所述加载所述普通世界相应的操作系统的步骤，包括：
[0023]加载所述普通世界的内核和所述普通世界的文件系统。
[0024]根据本申请公开的一种具体实施方式，所述加载所述安全世界相应的操作系统的步骤，包括：
[0025]加载所述安全世界的内核和所述安全世界的文件系统。
[0026]第二方面，本申请实施例提供了一种可信环境的构建装置，所述装置包括：
[0027]运行模块，用于运行初始加载程序；
[0028]加载模块，用于基于所述初始加载程序对普通世界进行鉴权，通过所述普通世界的第一硬件系统加载所述普通世界相应的操作系统，启动所述普通世界的第一系统环境；
[0029]分离模块，用于将安全世界的第二硬件系统下线，并通过硬件分离技术从所述普通世界的第一硬件系统分离出目标硬件系统；
[0030]启动模块，用于基于所述目标硬件系统加载所述安全世界相应的操作系统，启动所述安全世界的第二系统环境；
[0031]连接模块，用于建立所述普通世界的第一系统环境和所述安全世界的第二系统环境之间的虚拟硬件通信通道。
[0032]根据本申请公开的一种具体实施方式，所述连接模块具体用于：
[0033]在所述安全世界的第二系统环境内加载虚拟硬件；
[0034]将所述第一虚拟硬件挂载至虚拟硬件总线上；
[0035]所述普通世界的第一系统环境通过所述硬件总线识别到所述虚拟硬件，并建立与所述安全世界的第二系统环境的虚拟硬件通信通道，其中，所述虚拟硬件通信通道包括网络、PCI、串口中的任一种。
[0036]第三方面，本申请实施例提供了一种计算机设备，包括存储器以及处理器，所述存储器用于存储计算机程序，所述计算机程序在所述处理器运行时执行第一方面提供的可信环境的构建方法。
[0037]第四方面，本申请实施例提供了一种计算机可读存储介质，其存储有计算机程序，所述计算机程序在处理器上运行时执行第一方面提供的可信环境的构建方法。
[0038]上述本申请提供的可信环境的构建方法，通过运行初始加载程序；基于所述初始加载程序对普通世界进行鉴权，通过所述普通世界的第一硬件系统加载所述普通世界相应
的操作系统，启动所述普通世界的第一系统环境；将安全世界的第二硬件系统下线，并通过硬件分离技术从所述普通世界的第一硬件系统分离出目标硬件系统；基于所述目标硬件系统加载所述安全世界相应的操作系统，启动所述安全世界的第二系统环境；建立所述普通世界的第一系统环境和所述安全世界的第二系统环境之间的虚拟硬件通信通道，通过在普通世界的第一系统环境和安全世界的第二系统环境建立虚拟硬件通信通道，可以保证第一系统环境的硬件环境通信的安全，基于目标硬件系统加载安全世界的操作系统，便于项目的开发和维护，降低了成本。
附图说明
[0039]为了更清楚地说明本申请的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对本申请保护范围的限定。在各个附图中，类似的构成部分采用类似的编号。
[0040]图1示出了本申请实施例提供的可信环境的构建方法的流程示意图之一;
[0041]图2示出了本申请实施例提供的可信环境的构建方法的流程示意图之二；
[0042]图3示出了本申请实施例提供的一种可信环境的构建装置的结构示意图。
具体实施方式
[0043]下面将结合本申请实施例中附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。...

【技术保护点】

【技术特征摘要】
1.一种可信环境的构建方法，其特征在于，所述方法包括：运行初始加载程序；基于所述初始加载程序对普通世界进行鉴权，通过所述普通世界的第一硬件系统加载所述普通世界相应的操作系统，启动所述普通世界的第一系统环境；将安全世界的第二硬件系统下线，并通过硬件分离技术从所述普通世界的第一硬件系统分离出目标硬件系统；基于所述目标硬件系统加载所述安全世界相应的操作系统，启动所述安全世界的第二系统环境；建立所述普通世界的第一系统环境和所述安全世界的第二系统环境之间的虚拟硬件通信通道。2.根据权利要求1所述的方法，其特征在于，所述建立所述普通世界的第一系统环境和所述安全世界的第二系统环境之间的虚拟硬件通信通道的步骤，包括：在所述安全世界的第二系统环境内加载虚拟硬件；将所述虚拟硬件挂载至硬件总线上；所述普通世界的第一系统环境通过所述硬件总线识别到所述虚拟硬件，并建立与所述安全世界的第二系统环境的虚拟硬件通信通道，其中，所述虚拟硬件通信通道包括网络、PCI、串口中的任一种。3.根据权利要求1所述的方法，其特征在于，所述建立所述普通世界的第一系统环境和所述安全世界的第二系统环境之间的虚拟硬件通信通道的步骤后，包括：在所述普通世界的第一系统环境内对CA程序进行鉴权；对所述CA程序鉴权通过后，运行所述CA程序；基于所述CA程序鉴权TA程序，并在鉴权通过后将所述TA程序通过所述虚拟硬件通信通道加载到所述安全世界的第二系统环境内。4.根据权利要求3所述的方法，其特征在于，所述基于所述CA程序鉴权TA程序，并在鉴权通过后将所述TA程序通过所述虚拟硬件通信通道加载到所述安全世界的第二系统环境内的步骤之后，还包括：控制所述第一系统环境生成可信程序运算请求，并通过所述虚拟硬件通信通道发送至所述第二系统环境内；将所述第二系统环境生成的可信运算...

【专利技术属性】
技术研发人员：刘达林，罗求，石勇，孙利杰，陈松政，
申请(专利权)人：湖南麒麟信安科技股份有限公司，
类型：发明
国别省市：