一种可信执行环境tee初始化方法及设备的制造方法
【技术领域】
[0001]本发明涉及通信技术领域，特别涉及一种可信执行环境TEE初始化方法。本发明同时还涉及一种移动终端。
【背景技术】
[0002]TEE (Trusted Execut1n Environment,可信执行环境)是指在手机终端内的一个独立的安全运行环境，该环境与正常的应用运行环境REE (Rich Execut1n Environment)逻辑隔离，只能通过授权的API进行交互。TEE可以支持安全启动、安全应用管理等安全特性，该特性要求在安全终端内预置相关的密钥，或动态写入相关密钥，其示意图如图1所
/Jn ο
[0003]现有的TEE密钥管理方案由TEE中存储TEE管理密钥。如图2所示，该方法在生产过程中写入初始密钥或正式密钥，该密钥由运营商管理。也正因于此，对于开放市场终端来说，由于无法预知用户使用哪个运营商的服务，因此无法预先捆绑运营商，即现有的TEE解决方案不能为开放市场的移动终端所利用；此外，若用户自己的运营商定制移动终端的运营商发生了切换，由于该移动终端的TEE已经捆绑了之前的运营商，那么将因无法过渡到其它的运营商而导致无法使用，从而对用户的使用体验造成了不良影响。
[0004]由此可见，如何在不预先指定捆绑运营商的前提下，使移动终端中的TEE能够被开放使用，成为本领域技术人员亟待解决的技术问题。
【发明内容】
[0005]本发明提供了一种可信执行环境TEE初始化方法，用以使移动终端中的TEE能够在不限制运营商的前提下被开放使用，应用于包括TSM平台以及设有TEE的移动终端的系统中，所述TEE中预设运营商标识的列表，或所述运营商标识与公钥的对应关系表，该方法还包括:
[0006]所述移动终端从自身安装的SIM卡中获取运营商的标识，所述标识预设于所述SIM卡中；
[0007]所述移动终端查询所述对应关系表或所述列表中是否存在与所述标识相同的运营商标识；
[0008]若存在，所述移动终端进一步根据所述对应关系表或所述SIM卡获取与所述标识对应的公钥，将所述公钥与所述标识对应的运营商捆绑并激活所述公钥；
[0009]所述移动终端采用所述公钥对所述TSM平台进行认证；
[0010]若认证通过，所述移动终端完成所述TEE的加载处理，并从所述TSM平台下载所述TEE的管理密钥，以通过所述TEE执行应用管理和/或安全操作。
[0011]相应地，本发明还提出了一种移动终端，应用于包括所述移动终端以及TSM平台的系统中，所述移动终端中设有可信执行环境(TEE)，所述TEE中预设运营商标识的列表，或所述运营商标识与公钥的对应关系表，该移动终端还包括:
[0012]获取模块，用于从所述移动终端安装的SIM卡中获取运营商的标识，所述标识预设于所述SIM卡中；
[0013]查询模块，用于查询所述对应关系表或所述列表中是否存在与所述标识相同的运营商标识；
[0014]激活模块，用于在所述查询模块的查询结果为存在的情况下，根据所述对应关系表或所述SIM卡获取与所述标识对应的公钥，将所述公钥与所述标识对应的运营商捆绑并激活所述公钥；
[0015]认证模块，用于采用所述公钥对所述TSM平台进行认证；
[0016]运行模块，用于在所述认证模块确认认证通过后，完成所述TEE的加载处理，并从所述TSM平台下载所述TEE的管理密钥，以通过所述TEE执行应用管理和/或安全操作。
[0017]由此可见，通过应用以上技术方案，基于在移动终端的TEE中预设的运营商标识的列表或所述运营商标识与公钥的对应关系表，将从SIM卡中获取的运营商标识进行比对并获取公钥，在利用公钥对TSM平台认证通过后完成TEE的加载处理并从所述TSM平台下载所述TEE的管理密钥。从而在对移动终端中的TEE进行初始化之前不再需要额外指定运营商，提升了现有移动终端的开放性以及用户的使用体验。
【附图说明】
[0018]图1为现有技术中运行并使用TEE的示意图；
[0019]图2为现有技术中对TEE进行密钥管理的的示意图；
[0020]图3为本发明提出的一种运行安全运行环境TEE的方法流程示意图；
[0021]图4为本发明具体实施例提出的运行TEE的系统架构示意图；
[0022]图5为本发明具体实施例在终端发行过程中对TEE的操作流程示意图；
[0023]图6为本发明具体实施例中所发行的SIM卡示意图；
[0024]图7为本发明具体实施例提出的运营商公钥激活流程示意图；
[0025]图8为本发明具体实施例提出的安全应用流程示意图；
[0026]图9为本发明具体实施例提出的运营商切换流程示意图；
[0027]图10为本发明提出的一种移动终端的结构示意图。
【具体实施方式】
[0028]为了解决现有技术中必须预先指定运营商才能利用移动终端中的TEE的问题，本发明提出了一种可信执行环境TEE初始化方法，该方法主要是应用在包括TSM平台以及设有TEE的移动终端的系统中，与现有技术中必须指定某一运营商所不同的是，本发明在TEE中预先设置包括有各运营商标识的列表，或者是各运营商标识与其对应的公钥的对应关系表。
[0029]基于以上设置，如图3所示，该方法包括如下步骤:
[0030]S301，所述移动终端从自身安装的SIM卡中获取运营商的标识，所述标识预设于所述SIM卡中。
[0031]在该步骤之前，移动终端首先启动初始化进程，并加载所述TEE。
[0032]S302，所述移动终端查询所述对应关系表或所述列表中是否存在与所述标识相同的运营商标识。
[0033]S303,若存在，所述移动终端进一步根据所述对应关系表或所述SIM卡获取与所述标识对应的公钥，将所述公钥与所述标识对应的运营商捆绑并激活所述公钥。
[0034]基于TEE中所设置的内容的不同，以及SIM卡中可同时携带公钥的情况，本步骤中获取公钥的方式亦存在以下两种:当TEE中只设置有列表时，则可从SIM卡中获取相应的公钥；当TEE中设置的为
[0035]S304,所述移动终端采用所述公钥对所述TSM平台进行认证。
[0036]具体地，在该步骤中，所述移动终端向所述TSM平台发送认证请求；所述移动终端通过所述公钥对所述TSM平台返回的网络侧签名信息进行验证，根据验证结果确定认证是否通过。
[0037]此外，需要说明的是，所述TEE中还预设有私钥，所述移动终端根据所述私钥确定终端侧签名信息，并将所述终端侧签名信息携带在所述认证请求中发送至所述TSM平台；以使所述TSM平台在根据所述终端侧签名信息对所述TEE鉴权通过后生成所述网络侧签名信息并向所述移动终端返回。这样通过双方互相鉴权的设定，提高了认证过程的安全性。
[0038]S305，若认证通过，所述移动终端完成所述TEE的加载处理，并从所述TSM平台下载所述TEE的管理密钥，以通过所述TEE执行应用管理和/或安全操作。
[0039]针对用户使用过程中途更换的SIM卡的情况，在该步骤后，若所述移动终端自身安装的SIM卡发生改变，所述移动终端进一步根据改变前后的SIM卡对应的运营商标识是否发生改变，确定是否需要重新从改变后的SM卡中获取运营商标识，即重复S301-S305的步骤。
[0040]为了进一步阐述本发明的技术思想，现结合图4所示的系统架构示意图，对本发明的技术方案进行说明。在该架构下，在TEE中保存运营商的列表和对应的公钥信息，SIM卡中保存运营商ID。其中，TEE内存储的信息如下:
[0041 ] (I)TEE私钥:用于TSM等外部实体对TEE进行鉴权；
[0042](2)运营商列表及对应的公钥:运营商列表用于在TEE启动过程中根据SIM卡信息选择运营商，公钥用于对外部实体(TSM)鉴权；
[0043](3)其它密钥:比如对应用进行管理的密钥等。
[0044]同时，该系统中的各个设备需要分别支持以下功能:
[0045]终端:在初始化过程中生成公私钥对、BootCode能够访问SM卡以选择运营商、运营商公钥激活、管理密钥初始化等。
[0046]SIM卡:增加相应的管理应用，以支持运营商ID的管理。
[0047]TSM:支持管理密钥初始化。
[0048]基于以上架构，具体的技术流程分为以下五大部分:
[0049](I)终端发行
[0050]参考图5，为终端发行过程中对TEE的操作流程。需要说明的是，TEE中需要预置运营商列表，包括可用的运营商标识以及运营商公钥信息。并由芯片商预置私钥(公钥备用)，根据订单信息，将公钥提供给运营商。
[0051](2) SM 卡发行
[0052]如图6所示，在SM卡发行过程中预置管理模块，并配置该运营商对应的ID。
[0053](3)运营商公钥激活
[0054]由于TEE启动过程中需要完成运营商公钥激活操作，才可以进行后的交互。因此，该步骤在TEE加载过程中，BootCode或安全OS需要从SM卡管理模块读取运营商ID，并根据该ID与运营商列表中的记录匹配后，与相应的运营商捆绑，激活对应的公钥，其具体示意图如图7所示