一种安全通信方法及装置的制造方法
【技术领域】
[0001]本发明涉及一种通信技术，特别是涉及一种安全通信方法及装置。
【背景技术】
[0002]目前，移动终端中的应用运行环境一般包括两种:一种为富执行环境(RichExecut1n Environment, REE)，在REE中可以执行任意应用CA ;另一种为可信任执行环境(Trusted Execut1n Environment，TEE)，TEE可以支持受信应用ΤΑ的安全启动、安全性管理等安全特性，具体地，TEE通过在移动终端内预置相关的密钥，或者动态写入相关密钥，在下载、启动或者运行受信应用TA时执行一系列的安全操作，从而提高移动终端进行信息处理的安全性。
[0003]TEE在根据其预置或动态写入的密钥对应用执行安全操作时，首先从移动终端核心芯片的ROM中或者TEE的0S中获取相关密钥，然后TEE根据所述相关密钥执行相关的安全操作。
[0004]除了芯片商公钥存储在移动终端核心芯片的ROM中以外，其他密钥都存储在TEEOS内，由于TEE中0S采用Flash作为存储介质，该介质不是安全的，如果用于存储安全性要求非常高的密钥，则存在被破解的风险，因此，移动终端进行信息处理的安全性仍然较差。
[0005]虽然目前有将密钥预设在安全芯片SE中的方法，但是SE与TEE中的受信应用TA进行通信，或者受信应用TA与REE中的应用CA进行通信均采用的是明文通信，链路数据透明，因此容易造成被监听，危害通信交互的安全，另外，密文通信会增加系统开销，用户体验差。
【发明内容】
[0006]为了解决上述问题，本发明提出一种安全通信方法和装置。
[0007]本申请提出的一种安全通信方法，基于一种安全通信装置，所述装置包括安全芯片SE、受信应用TA和用户应用CA，所述方法包括:
[0008]步骤S1:安全芯片SE与受信应用TA建立连接；
[0009]步骤S2:受信应用TA与用户应用CA建立连接；
[0010]步骤S3:安全芯片SE与用户应用CA建立逻辑连接。
[0011]更优选的，所述安全芯片SE与受信应用TA建立连接的方法包括:
[0012]步骤S101:安全芯片SE与受信应用TA进行基本信息认证；
[0013]步骤S102:安全芯片SE与受信应用TA进行外部认证；
[0014]步骤S103:安全芯片SE与受信应用TA进行二次认证。
[0015]更优选的，所述安全芯片SE与受信应用TA进行基本信息认证的方法包括:
[0016]步骤S1011:安全芯片SE向受信应用TA发送确认应用指令；
[0017]步骤S1012:受信应用TA向安全芯片SE回复身份信息，并发送确认硬件指令；
[0018]步骤S1013:安全芯片SE校验受信应用TA的身份信息，校验成功向受信应用TA回复身份信息，失败则退出该方法；
[0019]步骤S1014:受信应用TA校验安全芯片SE的身份信息，完成基本认证。
[0020]更优选的，所述安全芯片SE与受信应用TA进行外部认证的方法包括:
[0021]步骤S1021:受信应用TA向安全芯片SE发送外部认证指令；
[0022]步骤S1022:安全芯片SE判断是否有公钥，没有则继续，有则执行步骤S1024 ；
[0023]步骤S1023:安全芯片SE生成公私钥对；
[0024]步骤S1024:安全芯片SE向受信应用TA发送公钥；
[0025]步骤S1025:受信应用TA生成随机数，用作会话秘钥，并用安全芯片SE公钥加密会话秘钥；
[0026]步骤S1026:受信应用TA向安全芯片SE发送公钥加密的会话秘钥；
[0027]步骤S1027:安全芯片SE用私钥解密得到受信应用TA会话秘钥，完成外部认证。
[0028]更优选的，所述安全芯片SE与受信应用TA进行二次认证的方法包括:
[0029]步骤S1031:安全芯片SE对解析出的会话密钥进行解析，如果解析匹配建立通信，如果不匹配则继续；
[0030]步骤S1032:安全芯片SE向受信应用TA发送认证身份信息请求；
[0031]步骤S1033:受信应用TA向安全芯片SE发送身份信息；
[0032]步骤S1034:安全芯片SE对身份信息进行再次验证，验证成功则重新建立安全通道，验证失败则继续；
[0033]步骤S1035:安全芯片SE中断操作，并告警。
[0034]更优选的，所述受信应用TA与用户应用CA建立连接的方法包括:
[0035]步骤S201:受信应用TA与用户应用CA进行基本信息认证；
[0036]步骤S202:受信应用TA与用户应用CA进行外部认证；
[0037]步骤S203:受信应用TA与用户应用CA进行二次认证。
[0038]更优选的，所述受信应用TA与用户应用CA进行基本信息认证的方法包括:
[0039]步骤S2011:受信应用TA向用户应用CA发送确认应用指令；
[0040]步骤S2012:用户应用CA向受信应用TA回复身份信息，并发送确认硬件指令；
[0041]步骤S2013:受信应用TA校验用户应用CA的身份信息，校验成功向受信应用TA回复身份信息，失败则退出该方法；
[0042]步骤S2014:用户应用CA校验受信应用TA的身份信息，完成基本认证。
[0043]更优选的，所述受信应用TA与用户应用CA进行外部认证的方法包括:
[0044]步骤S2021:用户应用CA向受信应用TA发送外部认证指令；
[0045]步骤S2022:受信应用TA判断是否有公钥，没有则继续，有则执行步骤S2024 ；
[0046]步骤S2023:受信应用TA生成公私钥对；
[0047]步骤S2024:受信应用TA向用户应用CA发送公钥；
[0048]步骤S2025:用户应用CA生成随机数，用作会话秘钥，并用受信应用TA公钥加密会话秘钥；
[0049]步骤S2026:用户应用CA向受信应用TA发送公钥加密的会话秘钥；
[0050]步骤S2027:受信应用TA用私钥解密得到用户应用CA会话秘钥，完成外部认证。
[0051]更优选的，所述受信应用TA与用户应用CA进行二次认证的方法包括:
[0052]步骤S2031:受信应用TA对解析出的会话密钥进行解析，如果解析匹配建立通信，如果不匹配则继续；
[0053]步骤S2032:受信应用TA向用户应用CA发送认证身份信息请求；
[0054]步骤S2033:用户应用CA向受信应用TA发送身份信息；
[0055]步骤S2034:受信应用TA对身份信息进行验证，验证成功则重新建立安全通道，验证失败则继续；
[0056]步骤S2035:受信应用TA中断操作，并告警。
[0057]本申请还提出一种安全通信装置，所述装置包括安全芯片SE、受信应用TA和用户应用CA，具体为:
[0058]安全芯片SE，用于与受信应用TA进行基本信息认证，外部认证，二次认证并建立通信；
[0059]受信应用TA，用于与安全芯片SE和用户应用CA分别进行基本信息认证，外部认证，二次认证并分别建立通信；
[0060]用户应用CA，用于与受信应用TA进行基本信息认证，外部认证，二次认证并建立通信。
[0061]本发明提出提出一种安全通信方法和装置，通过在业务通信前建立安全通道，在安全通道内通信的数据全部加密传输，使得链路中的数据不再透明，该方法可有效防止窃听，确保业务的安全执行。
【附图说明】
[0062]图1是本申请安全通信装置的结构示意图；
[0063]图2是本申请安全通信装置安全芯片的结构示意图
[0064]图3是本申请安全通信装置受信应用的结构示意图
[0065]图4是本申请安全通信装置用户应用的结构示意图
[0066]图5是本申请安全通信方法的流程图
[0067]图6是本申请安全通信方法安全芯片与受信应用建立通信的流程图
[0068]图7是本申请安全通信方法安全芯片与受信应用信息认证的流程图
[0069]图8是本申请安全通信方法安全芯片与受信应用外部认证的流程图
[0070]图9是本申请安全通信方法安全芯片与受信应用二次认证的流程图
[0071]图10是本申请安全通信方法受信应用与用户应用建立通信的流程图
[0072]图11是本申请安全通信方法受信应用与用户应用信息认证的流程图
[0073]图12是本申请安全通信方法受信应用与用户应用外部认证的流程图
[0074]图13是本申请安全通信方法受信应用与用户应用二次认证的流程图
【具体实施方式】
[0075]下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。
[0076]本申请提出一种安全通信装置，如图1所示，包括安全芯片101、受信应用102和用户应用103，下面介绍各个组成部分，其中:
[0077]—、安全芯片101，用于与受信应用102建立连接，并且通过受信应用102与用户应用103通信;
[0078]具体为:所述安全芯片101向所述安全应用受信应用102发送确认应用指令，接收安全应用受信应用102发送的TA身份信息，校验安全应用受信应用102的TA身份信息；向安全应用受信应用102发送SE身份信息；接收安全应用受信应用102发送的外部认证指令，判断该外部认证指令中是否携带有公钥，如果没有则生成公私钥对，并向安全应用受信应用102发送生成的公钥；接收安全应用受信应用102发送的发送使用所述公钥加密的会话秘钥，并用私钥解密得到安全应用受信应用102会话秘钥，对解析出的会话密钥进行解析验证，验证失败则对安全应用受信应用102身份信息进行再次验证，若验证不符，则中断操作，并