本发明属于移动设备加密领域，具体涉及一种基于trustzone的安全加密存储系统及方法。
背景技术
面对层出不穷的系统漏洞，可信执行环境(trustedexecutionenvironment,tee)技术逐渐成为研究热点，tee技术能够提供硬件隔离保障，即使整个内核被攻击者控制，tee内部的敏感应用仍然可安全运行。trustzone作为arm架构特有的tee实现技术，目前被主流移动嵌入式设备广泛支持。trustzone将arm片上系统资源划分为2个独立的执行域：普通世界和安全世界。其中安全世界拥有更高的执行权限，普通世界程序无法对其资源进行访问。因此，普通世界运行一般应用和商用操作系统(android,linux等)，而将敏感应用部署在安全世界，已经成为移动平台主流的tee实现方式。
尽管trustzone在一定程度上解决了操作系统层的固有安全问题，但是现有安全应用中关于敏感数据，主要是加密存储在终端侧的内存里，这种存储方式对于数据的安全性较低，容易被获取并强行破解。基于trustzone机制的安全侧，由于内部资源有限，很多方案都是运行一些简单的算法实现验证来保证安全，缺少一个按照标准证书形式的安全方案，导致数据存储不安全。
技术实现要素：
本发明的目的在于针对上述问题，提供了一种基于trustzone的安全加密存储系统及方法，其安全模块设立按照标准证书形式加密验证存储，能够根据不同的安全需求，提供不同等级的加密以及存储保护，为安全存储提供了新的形式。
有鉴于此，本发明的一方面提供了一种基于trustzone的安全加密存储系统，应用于移动设备，所述移动设备被预先划分为可信执行环境和普通执行环境，所述可信执行环境中增加安全模块；所述安全模块包括数据接口、编解码模块、加密认证模块、安全等级划分模块、确定模块和存储模块，其中，
所述数据接口，用于接收来自普通执行环境的可信服务请求，解析命令数据，并将api传入的编码数据传递给编解码模块；
所述编解码模块，对接收的数据参数进行解码处理，并发送到加密认证模块；
加密认证模块，用于对敏感数据进行加密、签名和认证操作得到加密数据，并发送到安全等级划分模块中；
安全等级划分模块，用于划分所述加密数据的安全等级，并发送到确定模块；
确定模块，用于对所述加密数据进行存储时，根据所述安全等级确定所述加密数据存储于所述可信执行环境还是硬件加密芯片；
存储模块，用于接收确定模块的指令，对加密数据进行写入。
进一步的，所述加密认证模块包括配制子模块、数字证书签名子模块和数字证书验签子模块，所述配制子模块连接所述编解码模块和数字证书签名子模块；所述数字证书验签子模块连接所述安全等级划分模块；
所述配制子模块，用于在移动设备预先配制数字证书系统；
所述数字证书签名子模块，用于针对用户请求使用数字证书私钥进行签名；
所述数字证书验签子模块，用于认证请求的用户的身份并保证用户不可抵赖所述请求，认证方式包括验证所述数字证书的合法性及有效性、所述签名的完整性及正确性。
进一步的，所述用户敏感数据包括用户账户信息、个人隐私信息、支付订单信息及企业私密文件中的一种或多种。
进一步的，所述移动设备为手机或平板电脑。
本发明的另一方面提出了一种基于trustzone的安全加密存储方法，该方法应用于移动设备，所述移动设备被预先划分为可信执行环境和普通执行环境，所述可信执行环境中增加安全模块，用于对用户敏感数据进行加密，并将加密数据保存在所述可信执行环境中；所述普通执行环境提供普通操作系统运行，普通操作系统调用普通应用程序运行，该方法包括如下步骤：
s1、数据接口接收来自普通执行环境的可信服务请求，解析命令数据，并将api传入的编码数据传递给编解码模块；
s2、编解码模块对接收的数据参数进行解码处理，并发送到加密认证模块；
s3、加密认证模块对敏感数据进行加密、签名和认证操作得到加密数据，并发送到安全等级划分模块中；
s4、安全等级划分模块划分所述加密数据的安全等级，并发送到确定模块；
s5、确定模块对所述加密数据进行存储时，根据所述安全等级确定所述加密数据存储于所述可信执行环境还是硬件加密芯片；
s6、存储模块接收确定模块的指令，并对加密数据进行写入。
进一步的，所述步骤s3中，加密认证模块的加密认证方法包括：预先在移动设备配制数字证书系统；针对用户请求使用数字证书私钥进行签名；认证请求的用户的身份并保证用户不可抵赖所述请求，认证方式包括验证所述数字证书的合法性及有效性、所述签名的完整性及正确性。
进一步的，所述用户敏感数据包括用户账户信息、个人隐私信息、支付订单信息及企业私密文件中的一种或多种。
进一步的，所述移动设备为手机或平板电脑。
与现有技术相比，本发明具有以下有益效果：
本发明提供的基于trustzone的安全加密存储系统，采用数据接口接收从外部传来的数据，采用编解码模块对接收的数据参数进行解码处理，采用加密认证模块对敏感数据进行加密、签名和认证操作得到加密数据；采用安全等级划分模块划分所述加密数据的安全等级，采用确定模块确定所述加密数据存储于所述可信执行环境还是硬件加密芯片；具体存储过程在可信执行环境下进行，用户的账户信息、个人隐私信息、支付订单信息及企业私密文件等敏感信息在可信执行环境下通过安全模块存储，避免了在加密验签过程中，用户敏感信息在普通执行环境中产生隐私泄露，财产被窃取的隐患等，保证了信息的安全，同时安全模块设立按照标准证书形式加密验证存储，并且够根据不同的安全需求，提供不同等级的加密以及存储保护，为安全存储提供了新的形式。
本发明使用时不需要专门的教程，其使用都是针对用户请求进行一一响应，通过移动设备提示来完成，相较于现有技术中的安全加密存储系统，其契合用户的使用习惯，使用非常便利，在使用便利的同时也提高了使用过程中的安全性和隐私性。
本发明提供的基于trustzone的安全加密存储系统及方法，可以应用于任一具备可信执行环境的智能移动设备，不需要特定的设备，在用户通常随身携带的移动设备上即可进行，如手机、平板电脑等设备，能够使用户体验更好，安全性更高。
附图说明
图1是本发明一种基于trustzone的安全加密存储系统的架构图；
图2是本发明的安全模块的结构示意图；
图3是本发明的另一安全模块的结构示意图；
图4是本发明一种基于trustzone的安全加密存储方法的流程图；
其中，附图中标记为：1-移动设备；2-可信执行环境；3-普通执行环境；4-安全模块；5-数据接口；6-编解码模块；7-加密认证模块；8-安全等级划分模块；9-确定模块；10-存储模块；11-配制子模块；12-数字证书签名子模块；13-数字证书验签子模块；14-加密数据；s1～s6-方法步骤。
具体实施方式
下面结合附图与实施例对本发明作进一步说明。需要说明的是，本发明的具体实施例只是为了能更清楚的描述技术方案，而不能作为本发明保护范围的一种限制。
有鉴于此，本发明的一方面提供了一种基于trustzone的安全加密存储系统，应用于移动设备1，请参阅图1-2，所述移动设备1被预先划分为可信执行环境2和普通执行环境3，所述可信执行环境2中增加安全模块4；所述安全模块4包括数据接口5、编解码模块6、加密认证模块7、安全等级划分模块8、确定模块9和存储模块10，其中，
所述数据接口5，用于接收来自普通执行环境3的可信服务请求，解析命令数据，并将api传入的编码数据传递给编解码模块6；
所述编解码模块6，对接收的数据参数进行解码处理，并发送到加密认证模块7；
加密认证模块7，用于对敏感数据进行加密、签名和认证操作得到加密数据14，并发送到安全等级划分模块8中；
安全等级划分模块8，用于划分所述加密数据14的安全等级，并发送到确定模块9；
确定模块9，用于对所述加密数据14进行存储时，根据所述安全等级确定所述加密数据14存储于所述可信执行环境2还是硬件加密芯片；
存储模块10，用于接收确定模块9的指令，对加密数据14进行写入。
本发明提供的基于trustzone的安全加密存储系统，采用数据接口5接收从外部传来的数据，采用编解码模块6对接收的数据参数进行解码处理，采用加密认证模块7对敏感数据进行加密、签名和认证操作得到加密数据14；采用安全等级划分模块8划分所述加密数据14的安全等级，采用确定模块9确定所述加密数据14存储于所述可信执行环境2还是硬件加密芯片；具体存储过程在可信执行环境2下进行，用户的账户信息、个人隐私信息、支付订单信息及企业私密文件等敏感信息在可信执行环境2下通过安全模块4存储，避免了在加密验签过程中，用户敏感信息在普通执行环境3中产生隐私泄露，财产被窃取的隐患等，保证了信息的安全，同时安全模块4设立按照标准证书形式加密验证存储，并且够根据不同的安全需求，提供不同等级的加密以及存储保护，为安全存储提供了新的形式。
请参阅图3，在该技术方案中，所述加密认证模块7包括配制子模块11、数字证书签名子模块12和数字证书验签子模块13，所述配制子模块11连接所述编解码模块6和数字证书签名子模块12；所述数字证书验签子模块13连接所述安全等级划分模块8；
所述配制子模块11，用于在移动设备1预先配制数字证书系统；
所述数字证书签名子模块12，用于针对用户请求使用数字证书私钥进行签名；所述数字证书签名具备抗抵赖性，在现实生活中用公章、签字等来实现的抗抵赖性在网上可以借助数字证书的数字签名来实现。数字签名不是书面签字的数字图象，而是在私有密钥控制下对报文本身进行密码变化形成的。数字签名能实现报文的防篡改、防伪造和防抵赖。
所述数字证书验签子模块13，用于认证请求的用户的身份并保证用户不可抵赖所述请求，认证方式包括验证所述数字证书的合法性及有效性、所述签名的完整性及正确性。
其中，所述用户敏感数据包括用户账户信息、个人隐私信息、支付订单信息及企业私密文件中的一种或多种。
本发明提供的基于trustzone的安全加密存储系统，可以应用于任一具备可信执行环境2的智能移动设备1，不需要特定的设备，在用户通常随身携带的移动设备1上即可进行，如手机、平板电脑等设备，能够使用户体验更好，安全性更高。
在具体实现中，本方案对移动设备1的内存数据进行保护，上述模块可以为具有对应功能的硬件单元，也可以是预先烧录程序的硬件。例如，基于trustzone技术的安全可信执行环境2能够提供基于硬件的安全服务，操作时，用户通过数据接口5api传入各种编码格式的数据，抽象数据asn.1、base64等各种编码；然后，编解码模块6对传入的数据首先进行对应的解码，同时，根据需要提供各种标准的证书格式的数据分析与合成；再者，加密认证模块7对数据的加解密、证书的验证签名以及签名操作；接着由安全等级划分模块8对加密数据14进行安全等级的划分，由确定模块9确定所述加密数据14存储于所述可信执行环境2还是硬件加密芯片；最后存储模块10进行存储。
本发明的另一方面提出了一种基于trustzone的安全加密存储方法，该方法应用于移动设备1，所述移动设备1被预先划分为可信执行环境2和普通执行环境3，所述可信执行环境2中增加安全模块4，用于对用户敏感数据进行加密，并将加密数据14保存在所述可信执行环境2中；所述普通执行环境3提供普通操作系统运行，普通操作系统调用普通应用程序运行，请参阅图4，该方法包括如下步骤：
s1、数据接口5接收来自普通执行环境3的可信服务请求，解析命令数据，并将api传入的编码数据传递给编解码模块6；
s2、编解码模块6对接收的数据参数进行解码处理，并发送到加密认证模块7；
s3、加密认证模块7对敏感数据进行加密、签名和认证操作得到加密数据14，并发送到安全等级划分模块8中；
s4、安全等级划分模块8划分所述加密数据14的安全等级，并发送到确定模块9；
s5、确定模块9对所述加密数据14进行存储时，根据所述安全等级确定所述加密数据14存储于所述可信执行环境2还是硬件加密芯片；
s6、存储模块10接收确定模块9的指令，并对加密数据14进行写入。
其中，所述步骤s3中，加密认证模块7的加密认证方法包括：预先配制数字证书系统、数字证书签名过程和数字证书验签过程。加密认证方法具体为：预先在移动设备1配制数字证书系统；针对用户请求使用数字证书私钥进行签名；认证请求的用户的身份并保证用户不可抵赖所述请求，认证方式包括验证所述数字证书的合法性及有效性、所述签名的完整性及正确性。
在该技术方案中，所述用户敏感数据包括用户账户信息、个人隐私信息、支付订单信息及企业私密文件中的一种或多种。
其中，所述移动设备1为手机或平板电脑。
本发明使用时不需要专门的教程，其使用都是针对用户请求进行一一响应，通过移动设备1提示来完成，相较于现有技术中的安全加密存储系统，其契合用户的使用习惯，使用非常便利，在使用便利的同时也提高了使用过程中的安全性和隐私性。
上述说明是针对本发明较佳可行实施例的详细说明，但实施例并非用以限定本发明的专利申请范围，凡本发明所提示的技术精神下所完成的同等变化或修饰变更，均应属于本发明所涵盖专利范围。