一种调用可信应用的方法及其系统与流程

本发明涉及通信技术领域，尤其涉及一种调用可信应用的方法及其系统。

背景技术：

随着智能终端和移动网络技术的不断发展，各种应用的种类和数量越来越多，其中不乏会涉及到移动支付、安全存储等安全性要求较高的应用，为了这些应用中的敏感数据得到保护，globalplatform(gp)提出了可信执行环境(trustedexecutionenvironment，简称tee)的概念，运行在tee可信执行环境下的应用为可信应用(trustedapps，ta)。

随着tee的广泛应用和不断发展，ta的种类和数量也逐渐增多，多ta应用同时并存和相互调用的情况也越来越多，仅仅依赖tee提供的可信执行环境保障ta之间访问的安全性，安全性较低，因此，如何有效保证可信应用ta之间相互调用、访问的安全性是目前亟待解决的问题。

技术实现要素：

本申请提供了一种调用可信应用的方法及系统，以提高可信应用之间相互调用、访问的安全性。

为解决上述技术问题，本申请提供如下技术方案：

一种调用可信应用的方法，其特征在于，包括如下步骤：

可信应用一接收普通应用的访问请求；

可信应用一判断所述普通应用的访问请求中是否存在对可信应用二的访问请求；

如果存在对可信应用二的访问请求，则根据设置于可信执行环境中的所述可信应用二的访问控制权限列表，判断对所述可信应用二的访问请求的合法性；

若判断结果合法，则访问所述可信应用二。

如上所述的调用可信应用的方法，其中，优选的是，可信应用一接收普通应用的访问请求后还包括如下步骤：

根据设置于可信执行环境中的所述可信应用一的访问控制权限列表，判断对所述普通应用的访问请求的合法性；

若判断结果合法，则可信应用一允许普通应用访问。

如上所述的调用可信应用的方法，其中，优选的是，所述对可信应用二的访问请求中携带所述可信应用二的标识和鉴权信息。

如上所述的调用可信应用的方法，其中，优选的是，根据设置于可信执行环境中的访问控制权限列表，判断对所述可信应用二访问请求的合法性具体包括如下子步骤：

解析对所述可信应用二的访问请求，获得可信应用二的标识和鉴权信息；

根据获得的可信应用二的标识获取访问控制权限列表中的可信应用二的访问控制列表；

根据获得的可信应用二的访问控制列表和所述鉴权信息判断对所述可信应用二访问请求的合法性。

如上所述的调用可信应用的方法，其中，优选的是，所述鉴权信息包括访问优先级标识，所述可信应用二的访问控制列表包括访问优先级标识顺序列表，判断对所述可信应用二访问请求合法后还包括如下步骤：

比较访问优先级标识与访问优先级标识顺序列表；

判断对可信应用二访问请求的优先级；

根据对可信应用二访问请求的优先级将对可信应用二的访问请求加入排队队列。

一种调用可信应用的系统，包括：

通信模块，用于可信应用一接收普通应用的访问请求；

判断模块，用于可信应用一判断所述普通应用的访问请求中是否存在对可信应用二的访问请求；如果存在对可信应用二的访问请求，则根据设置于可信执行环境中的所述可信应用二的访问控制权限列表，判断对所述可信应用二的访问请求的合法性；

执行模块，若判断结果合法，则访问所述可信应用二。

如上所述的调用可信应用的系统，其中，优选的是，还包括：

存储模块，用于存储访问控制权限列表。

如上所述的调用可信应用的系统，其中，优选的是，判断模块根据获得的可信应用二的标识获取访问控制权限列表中的可信应用二的访问控制列表；根据获得的可信应用二的访问控制列表和所述鉴权信息判断对所述可信应用二访问请求的合法性。

如上所述的调用可信应用的系统，其中，优选的是，还包括：访问请求管理模块，其中，

判断模块，用于比较鉴权信息中的访问优先级标识与可信应用二的访问控制列表中的访问优先级标识顺序列表，判断对可信应用二访问请求的优先级；

访问请求管理模块，用于根据对可信应用二访问请求的优先级将对可信应用二的访问请求加入排队队列。

一种调用可信应用的设备，包括上述任一项所述的调用可信应用的系统。

相对上述背景技术，本申请所提供的调用可信应用的方法及其系统和设备需要根据访问控制列表属性判断访问请求的合法性，而访问控制列表属性具有多参数，因此就有效的提高了可信应用之间相互调用、访问的安全性，避免了被非法调用。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1是部署有非可信执行环境和可信执行环境的设备的概念性示意图；

图2是本申请实施例一所提供的调用可信应用的示意图；

图3是本申请实施例一所提供的调用可信应用的方法流程图；

图4是本申请实施例一所提供的调用可信应用的方法判断普通应用访问请求合法性方法流程图；

图5是本申请实施例一所提供的调用可信应用的方法判断对可信应用二访问请求合法性方法流程图；

图6是本申请实施例一所提供的调用可信应用的方法判断优先级的方法流程图；

图7是本申请实施例三所提供的调用可信应用的系统的结构示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本申请请求保护的移动设备上同时存在两个运行环境，如图1所示，包括普通的非可信执行环境(richexecutionenvironment，简称ree)和可信执行环境(trustedexecutionenvironment，简称tee)，其中在ree环境中包括各种普通应用ca(例如淘宝、京东、微信等)，并运行普通操作系统，例如andriod，在tee环境中包括各种可信应用ta，并运行功能简单、代码量小、封闭的可信操作系统；当运行在ree中的ca需要执行一些安全性要求较高的命令(例如遇到支付等敏感操作)时，就要从ree中ca切换到tee相应的ta完成相应操作，用户的密码、账号等信息均在tee的环境下完成输入。

随着各种各样客户端的出现，ta数量和种类也不断增多，但是每个ta会具有特定的一些功能，下面对ta编号加以区分不同的ta，例如：ta1、ta2、ta3、ta4……等多个ta，ta1可以具有账户信息存储、密码服务等功能，ta2可以具有指纹识别、虹膜识别等功能，ta3、ta4等可以具有其他的功能，当然也不限于上述情况，下面示例性的以两个ta(ta1、ta2)的情况说明本申请所提供的调用可信应用的方法及其系统，以提高可信应用之间相互调用、访问的安全性。

实施例一

如图2和图3所示，本申请提供了一种调用可信应用的方法，包括以下步骤：

步骤s301、可信应用一接收普通应用的访问请求；

运行于ree中的普通应用ca向运行于tee中的可信应用一ta1发起访问请求，ta1接收ca的访问请求，该普通应用ca的访问请求中可以携带所述可信应用一ta1的标识和鉴权信息等，还可以携带对可信应用二的访问请求。

在上述基础上，还可以对普通应用的访问请求合法性进行判断，具体判断过程如图4所示，包括如下步骤：

步骤s401、根据设置于可信执行环境中的所述可信应用一的访问控制权限列表，判断对所述普通应用的访问请求的合法性；

具体可以是解析普通应用ca的访问请求，获得可信应用一ta1的标识和鉴权信息，普通应用ca访问请求中的鉴权信息包括例如普通应用ca的标识、访问有效期、访问优先级标识等信息；

根据获得的可信应用一ta1的标识获取访问控制权限列表中的可信应用一ta1的访问控制列表，ta1的访问控制列表可以包括例如：ta1的标识、ta1是否允许ca访问、允许访问ta1的ca的标识、ta1是否允许其他ta访问等；

根据获得的可信应用一ta1的访问控制列表和所述鉴权信息判断普通应用访问请求的合法性。

步骤s402、若判断结果合法，则可信应用一ta1允许普通应用ca访问，若判断结果不合法，则可信应用一ta1拒绝普通应用ca访问，访问失败。

继续参阅图3，还包括：

步骤s302、可信应用一判断所述普通应用的访问请求中是否存在对可信应用二的访问请求；

可信应用ta1允许普通应用ca的访问请求，获得普通应用ca的访问信息，解析该普通应用ca的访问信息，得到访问信息的内容，判断所述普通应用ca的访问请求中是否存在对可信应用二ta2的访问请求。

步骤s303、如果存在对可信应用二的访问请求，则根据设置于可信执行环境中的所述可信应用二的访问控制权限列表，判断对所述可信应用二的访问请求的合法性；

上述对可信应用二ta2的访问请求中还可以携带可信应用二ta2的标识和鉴权信息，上述访问权限列表可以包括运行于可信执行环境中的多个可信应用的访问控制列表，例如：如图2所示，访问控制权限列表包括ta1、ta2、ta3……等多个可信应用的访问控制列表，如果是一个可信应用的情况，可以在访问控制权限列表中直接运行该可信应用访问控制列表内的信息。

例如：本实施例中需要判断对可信应用二ta2访问请求的合法性，即需要用以ta2的访问控制列表来判断访问请求是否合法，下面以ta2的访问控制列表为例，简单介绍可信应用的访问控制列表，ta2的访问控制列表可以具有以下属性：1、ta2的标识；2、ta2的是否允许ta访问；3、允许访问ta2的ta的标识；4、ta2是否允许ca访问；5、允许访问ta2的ca的标识；6、是否支持并发访问；7、访问有效期，如：在规定日期之前允许访问；8、访问优先级等，以上属性仅是示例性的，当然也不限于这些属性，可以根据实际情况设置访问控制列表的属性。

判断对所述可信应用二ta2的访问请求的合法性，具体如图5所示，包括如下子步骤：

步骤s501、解析对所述可信应用二的访问请求，获得可信应用二的标识和鉴权信息；解析对访问ta2的访问请求，获得ta2的可信应用标识和鉴权信息。

步骤s502、根据获得的可信应用二的标识获取访问控制权限列表中的可信应用二的访问控制列表；

例如：按照预先设定的规则预设ta2的访问控制列表标识和ta2的可信应用标识，预先设定的规则可以是将ta2的访问控制列表标识和ta2的可信应用标识设置为相同的，也可以是不同的，只要可以保证ta2的访问控制列表标识和ta2的可信应用标识是一一对应的，通过ta2的可信应用标识可以获得ta2的访问控制列表即可，这里以ta2的访问控制列表标识和ta2的可信应用标识相同为例介绍。

按照预先设定的规则预设ta2的访问控制列表标识为2，ta2的可信应用标识为2，获得ta2的可信应用标识2，调用访问控制权限列表中标识为2的访问控制列表即ta2的访问控制列表。

步骤s503、根据获得的可信应用二的访问控制列表和所述鉴权信息判断对所述可信应用二访问请求的合法性。

例如：获得ta2的访问控制列表，其具有的属性可以为：1、ta2的标识；2、ta2的是否允许ta访问；3、允许访问ta2的ta的标识；4、ta2是否允许ca访问等，上述鉴权信息包括：ta1的标识、ca的标识访问有效期、访问优先级标识等信息，根据上述信息判断对访问ta2访问请求的合法性。

请继续参阅图3，步骤s304、若判断结果合法，则访问所述可信应用二。

若上述步骤中判断对访问ta2的访问请求合法，则ta2允许访问，若判断对访问ta2的访问请求不合法，则ta2不允许访问，访问失败。

在上述实施例的基础上，为了避免多个可信应用同时访问一个可信应用时，出现秩序混乱、造成访问失败的情况出现，所述鉴权信息包括访问优先级标识，所述可信应用二的访问控制列表包括访问优先级标识顺序列表，判断对所述可信应用二访问请求合法后还包括以下步骤，如图2和图6所示，以ta1和ta3同时访问ta2为例介绍，当然也不限于这种访问形式。

步骤s601、比较访问优先级标识与访问优先级标识顺序列表；

获得ta1鉴权信息中的ta1访问优先级标识，例如为00，获得ta3鉴权信息中的ta3访问优先级标识，例如为11，ta2的访问优先级标识顺序列表中预设00较11优先访问，将ta1访问优先级标识、ta3访问优先级标识分别与ta2的访问优先级标识顺序列表进行比较。

步骤s602、判断对可信应用二的访问请求的优先级；

例如，ta1访问优先级标识为00，ta3访问优先级标识为11，ta2的访问优先级标识顺序列表中预设00较11优先访问，则判断为ta1较ta3优先访问ta2。

步骤s603、根据对可信应用二的访问请求的优先级将对可信应用二的访问请求加入排队队列。

将ta1的访问请求加入排队队列的前面，将ta3的访问请求加入排队队列的后面。

由上可知，本申请所提供的调用可信应用的方法需要根据访问控制列表属性判断访问请求的合法性，而访问控制列表属性具有多参数，因此就有效的提高了可信应用之间相互调用、访问的安全性，避免了被非法调用。

实施例二

以ta1具有账户信息存储、密码服务等功能，ta2具有指纹识别、虹膜识别等功能为例具体介绍本申请所提供的间接调用可信应用的方法。

由于ta是协助ca完成一些敏感操作的应用，具体例如ca是ree侧淘宝、京东、微信等客户端，ta1是tee侧淘宝、京东、微信等客户端对应可信应用，因此，点击ca客户端进入账号登陆和密码输入等服务，也就是ca发起访问ta1的请求，也可以通过访问控制权限列表来判断ca访问ta1访问请求的合法性，具体过程与实施例一中判断访问请求合法性的过程一致，这里就不在赘述，ca访问ta1访问请求合法，ta1接受ca发起的访问请求，则可以进行用户登陆、密码输入等操作，若判断结果不合法，ta1拒接ca发起的访问请求，ca登陆失败。

这里以ca登陆成功来介绍，ca登陆成功后，在ree侧的ca会完成一般的操作，例如完成浏览、选择等操作，当需要完成支付、转账等操作时，并且完成支付、转账等操作还需要例如指纹识别、虹膜识别等ta1所不具备的功能，这就需要具有该功能的ta2来协助完成，例如点击进入支付界面，即是ca发起访问ta1的请求，该处ca发起的访问请求包括：对ta2的访问请求，对ta2的访问请求也就是ca发送的ta1对ta2的访问命令，接着判断ca访问ta1访问请求合法，以下均介绍判断合法的情况，判断不合法均是拒绝访问，结束流程。

判断合法后，ca访问ta1成功，根据对ta2的访问请求，发起访问ta2的请求，判断ta1访问对ta2访问请求的合法性，具体过程与实施例一中判断访问请求合法性的过程一致，这里就不在赘述，访问请求合法，ta2允许访问，也就是完成支付时指纹识别的操作。

实施例三

本申请还提供了一种调用可信应用的系统700，如图7所示，包括：

通信模块710，用于可信应用一接收普通应用的访问请求；

通信模块710用于接收运行于ree中的普通应用ca向运行于tee中的可信应用一ta1发起访问请求，ta1接收ca的访问请求，该普通应用ca的访问请求中可以携带所述可信应用一ta1的标识和鉴权信息等，还可以携带对可信应用二的访问请求。

还可以通过判断模块720对普通应用ca的访问请求进行合法性判断，具体判断过程与实施例一中判断访问请求合法性的过程一致，这里就不在赘述。

判断模块720，用于可信应用一判断所述普通应用的访问请求中是否存在对可信应用二的访问请求；如果存在对可信应用二的访问请求，则根据设置于可信执行环境中的所述可信应用二的访问控制权限列表，判断对所述可信应用二的访问请求的合法性；判断模块720判断所述普通应用的访问请求中是否存在对可信应用二的访问请求和判断对所述可信应用二的访问请求的合法性具体判断过程与实施例一中判断访问请求合法性的过程一致，这里就不在赘述。

执行模块730，若判断结果合法，则访问所述可信应用二。

若上述步骤中判断对访问ta2的访问请求合法，则ta2允许访问，若判断对访问ta2的访问请求不合法，则ta2不允许访问，访问失败。

进一步地，还包括：存储模块740，用于存储访问控制权限列表，也就是存储访问控制列表。

具体可以是存储访问控制权限列表，存储访问控制权限列表中包括的运行于可信执行环境中的多个可信应用的访问控制列表，例如：访问权限列表包括ta1、ta2、ta3……等多个可信应用的访问控制列表，如果是一个可信应用的情况，可以在访问控制权限列表中直接运行该可信应用访问控制列表内的信息，访问控制列表的属性也存储于存储模块740中。

例如：本实施例中需要判断对ta2访问请求的合法性，即需要用以ta2的访问控制列表来判断对ta2的访问请求是否合法，ta2的访问控制列表可以具有以下属性：1、ta2的标识；2、ta2的是否允许ta访问；3、允许访问ta2的ta的标识；4、ta2是否允许ca访问；5、允许访问ta2的ca的标识；6、是否支持并发访问；7、访问有效期，如：在规定日期之前允许访问；8、访问优先级等，这些属性均存储于存储模块740中。

进一步地，判断模块720，用于解析对所述可信应用二的访问请求，获得可信应用二的标识和鉴权信息；

根据获得的可信应用二的标识获取访问控制权限列表中的可信应用二的访问控制列表；

例如：按照预先设定的规则预设ta2的访问控制列表标识和ta2的可信应用标识，预先设定的规则可以是将ta2的访问控制列表标识和ta2的可信应用标识设置为相同的，也可以是不同的，只要可以保证ta2的访问控制列表标识和ta2的可信应用标识是一一对应的，通过ta2的可信应用标识可以获得ta2的访问控制列表即可，这里以ta2的访问控制列表标识和ta2的可信应用标识相同为例介绍。按照预先设定的规则预设ta2的访问控制列表标识为2，ta2的可信应用标识为2，获得ta2的可信应用标识2，调用访问控制权限列表中标识为2的访问控制列表即ta2的访问控制列表。

根据获得的可信应用二的访问控制列表和所述鉴权信息判断对所述可信应用二访问请求的合法性。

例如：获得ta2的访问控制列表，其具有的属性可以为：1、ta2的标识；2、ta2的是否允许ta访问；3、允许访问ta2的ta的标识；4、ta2是否允许ca访问等，上述鉴权信息包括：ta1的标识、ca的标识访问有效期、访问优先级标识等信息，根据上述信息判断对访问ta2访问请求的合法性。进一步地，还包括：访问请求管理模块750，判断模块720，用于比较鉴权信息中的访问优先级标识与可信应用二的访问控制列表中的访问优先级标识顺序列表，判断对可信应用二访问请求的优先级；

访问请求管理模块750，用于根据对可信应用二访问请求的优先级将对可信应用二的访问请求加入排队队列。

以ta1和ta3同时访问ta2为例介绍，当然也不限于这种访问形式。

判断模块720，获得ta1鉴权信息中的ta1访问优先级标识，例如为00，获得ta3鉴权信息中的ta3访问优先级标识，例如为11，ta2的访问优先级标识顺序列表中预设00较11优先访问，将ta1访问优先级标识、ta3访问优先级标识分别与ta2的访问优先级标识顺序列表进行比较。

ta1访问优先级标识为00，ta3访问优先级标识为11，ta2的访问优先级标识顺序列表中预设00较11优先访问，则判断为ta1较ta3优先访问ta2。

访问请求管理模块750，将ta1的访问请求加入排队队列的前面，将ta3的访问请求加入排队队列的后面。

实施例四

本申请还提供了一种调用可信应用的设备，包括上述所述的调用可信应用的系统。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。

此外，应当理解，虽然本说明书按照实施方式加以描述，但并非每个实施方式仅包含一个独立的技术方案，说明书的这种叙述方式仅仅是为清楚起见，本领域技术人员应当将说明书作为一个整体，各实施例中的技术方案也可以经适当组合，形成本领域技术人员可以理解的其他实施方式。