基于内存遍历的可信执行环境隔离性检测方法及装置与流程

本发明是关于可信执行环境(Trusted Execution Environment简称TEE)的安全检测技术，特别是关于一种基于内存遍历的可信执行环境隔离性检测方法及装置。

背景技术：

在移动市场，窃取和伪造是一直存在的问题。为支持新服务的广泛采用并促进移动生态系统和互联网的融合，提高设备安全等级是至关重要的。当今，手机已经从过去的基本通信设备演变成了今天的“生活利器”，它成了多媒体播放器、照相机、位置定位器、便携office工具，在不远的将来，它还是移动钱包和电子医疗设备。它帮我们完成日常所需的工作，供我们娱乐，帮我们记录那些宝贵的瞬间，为我们的生活提供便利。在手机中，我们存放了大量的个人数据和信息，如何保护这些信息已经成为亟待解决的问题。

技术实现要素：

本发明实施例提供了基于内存遍历的可信执行环境隔离性检测方法及装置，以有效的检测TEE隔离性，为信息安全提供保障。

为了实现上述目的，本发明实施例提供了一种基于内存遍历的可信执行环境隔离性检测方法，该可信执行环境隔离性检测方法包括：

将可信应用的特征加载至可信执行环境的内存中；

从富执行环境的操作系统中读取内存信息；

根据所述可信应用的特征对所述内存信息进行动态扫描，生成动态扫描结果。

一实施例中，所述动态扫描结果为：查询到所述可信应用的特征，或者未查询到所述可信应用的特征。

一实施例中，若所述动态扫描结果为查询到所述可信应用的特征，对可信执行环境的内存采取隔离措施。

一实施例中，所述富执行环境为Android，从富执行环境的操作系统中读取内存信息，包括：

从Android的操作系统的设备目录中读取内存设备的内存信息。

一实施例中，所述富执行环境为iOS，从富执行环境的操作系统中读取内存信息，包括：

从iOS的操作系统的设备目录中读取内存设备的内存信息。

为了实现上述目的，本发明实施例提供了一种基于内存遍历的可信执行环境隔离性检测装置，该可信执行环境隔离性检测装置包括：

特征加载单元，用于将可信应用的特征加载至可信执行环境的内存中；

内存读取单元，用于从富执行环境的操作系统中读取内存信息；

检测单元，用于根据所述可信应用的特征对所述内存信息进行动态扫描，生成动态扫描结果。

一实施例中，所述动态扫描结果为：查询到所述可信应用的特征，或者未查询到所述可信应用的特征。

一实施例中，若所述动态扫描结果为查询到所述可信应用的特征，所述可信执行环境隔离性检测装置还包括：内存隔离单元，用于对可信执行环境的内存采取隔离措施。

一实施例中，所述富执行环境为Android，所述内存读取单元具体用于：从Android的操作系统的设备目录中读取内存设备的内存信息。

一实施例中，所述富执行环境为iOS，所述内存读取单元具体用于：从iOS的操作系统的设备目录中读取内存设备的内存信息。

利用本发明，可以有效的检测TEE隔离性，为信息安全提供保障。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例基于内存遍历的可信执行环境隔离性检测方法流程图；

图2为本发明一实施例的可信执行环境隔离性检测装置的结构框图；

图3为本发明另一实施例的可信执行环境隔离性检测装置的结构框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明主要用于检测TEE的隔离性，下面对TEE介绍如下：

TEE是一个与富操作系统(RichOS)并行运行的独执行环境，可以为RichOS环境提供安全服务。TEE可以独立于Rich OS的应用，来访问硬件和软件安全资源。TEE为可信应用(Trusted Application简称TA)提供了安全的执行环境，同时提供了保密性及完整性，并对所属TA的资源和数据提供访问权限的控制。为保证TEE有可信的root，在安全启动过程中，TEE首先被鉴权，然后从RichOS中隔离出来。

TEE作为移动设备(包含智能手机、平板电脑、机顶盒、智能电视等)主处理器上的一个安全区域，可以保证加载到该环境内部的代码和数据的安全性、机密性以及完整性。TEE提供一个隔离的执行环境，提供的安全特征包含：隔离执行、可信应用的完整性、可信数据的机密性、安全存储等。总体来说，TEE提供的执行空间比常见的移动操作系统(如iOS、Android等)提供更高级别的安全性；比安全元素SE(SecureElement，如智能卡、SIM卡等)提供更多的功能。

移动设备上，TEE环境与移动OS并行存在，为丰富的移动OS环境提供安全功能。运行在TEE的应用称为可信应用(Trusted Application简称TA)，其可以访问设备主处理器和内存的全部功能，硬件隔离技术保护其不受安装在主操作系统环境的用户影响。而TEE内部的软件和密码隔离技术可以保护每个TA不相互影响，这样可以为多个不同的服务提供商同时使用，而不影响安全性。

图1为本发明实施例基于内存遍历的可信执行环境隔离性检测方法流程图，如图1所示，该可信执行环境隔离性检测方法包括：

S101：将可信应用的特征加载至可信执行环境的内存中。

具体实施时，先启动TEE开发板，为TA提供安全的执行环境。TA中包含预先定义的特征，本发明首先需要将TA的特征加载至TEE的内存中，并保持TA的运行状态。

S102：从富执行环境(Rich Execution Environment简称REE)的操作系统中读取内存信息。

富执行环境为移动终端系统的运行环境，可以为Android、iOS等。

如果富执行环境为Android，读取内存信息时，首先从Android的操作系统的设备目录中找到内存设备，并读取内存设备的内存信息。

如果富执行环境为iOS，读取内存信息时，首先从iOS的操作系统的设备目录中找到内存设备，并读取内存设备的内存信息。

S103：根据所述可信应用的特征对所述内存信息进行动态扫描，生成动态扫描结果。

具体实施时，可以基于内存遍历的方式，对上述读取的内存信息进行动态扫描，查找内存中是否存在上述加载的可信应用的特征，得到动态扫描结果。

具体地，动态扫描结果为：查询到所述可信应用的特征，或者未查询到所述可信应用的特征。

动态扫描结果为查询到上述的特征，说明富执行环境的操作系统的内存中存在TA的特征，则TEE中信息泄漏，即TEE隔离不安全，需要对可信执行环境的内存采取隔离措施。

一实施例中，对可信执行环境的内存采取隔离措施时，可以把TEE的内存的每一页上加上一个标识位，该标识位可以表示TEE的内存不可被REE的内存访问。

动态扫描结果为未查询到上述特征，说明富执行环境的操作系统的内存中不存在TA的特征，TEE未出现信息泄漏，即TEE隔离安全，无需对可信执行环境的内存采取隔离措施。

利用本发明的可信执行环境隔离性检测方法，可以基于内存遍历的方法扫描内存，有效的检测TEE隔离性，为信息安全提供保障。

基于与上述可信执行环境隔离性检测方法相同的申请构思，本申请提供一种可信执行环境隔离性检测装置，如下面实施例所述。由于该可信执行环境隔离性检测装置解决问题的原理与可信执行环境隔离性检测方法相似，因此该可信执行环境隔离性检测装置的实施可以参见可信执行环境隔离性检测方法的实施，重复之处不再赘述。

图2为本发明实施例的可信执行环境隔离性检测装置的结构框图，如图2所示，该可信执行环境隔离性检测装置包括：特征加载单元201，内存读取单元202以及检测单元203。

特征加载单元201用于将可信应用的特征加载至可信执行环境的内存中.

内存读取单元202用于从富执行环境的操作系统中读取内存信息。

检测单元203用于根据所述可信应用的特征对所述内存信息进行动态扫描，生成动态扫描结果。具体地，动态扫描结果为：查询到所述可信应用的特征，或者未查询到所述可信应用的特征。

一实施例中，若所述动态扫描结果为查询到所述可信应用的特征，如图3所示，可信执行环境隔离性检测装置还包括：内存隔离单元301，用于对可信执行环境的内存采取隔离措施。

一实施例中，如果富执行环境为Android，内存读取单元202可以从Android的操作系统的设备目录中读取内存设备的内存信息。

一实施例中，如果富执行环境为iOS，内存读取单元202可以从iOS的操作系统的设备目录中读取内存设备的内存信息。

利用本发明的可信执行环境隔离性检测装置，可以基于内存遍历的方法扫描内存，有效的检测TEE隔离性，为信息安全提供保障。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

本发明中应用了具体实施例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。