一种应用访问隔离方法及处理器与流程

本发明涉及信息安全，尤其涉及一种应用访问隔离方法及处理器。

背景技术：

1、正常世界态normal world status的应用(client applicantion，ca)对安全世界态secure world status资源的访问，需要通过访问安全世界态的可信应用(trustapplicantion，ta)实现。

2、目前，未适配对于访问者身份ca的验证和区分，从而导致ta处于公共状态，任何请求都会做出响应，从而影响访问的安全性。

技术实现思路

1、有鉴于此，本发明实施例提供一种应用访问隔离方法及处理器，以解决现有技术中存在的影响访问的安全性的问题。

2、为实现上述目的，本发明实施例提供如下技术方案：

3、本发明实施例第一方面示出了一种应用访问隔离方法，应用于在安全世界态secure world status下的处理器，包括多个可信应用ta，第一内核单元kernel和效验单元，所述方法包括：

4、所述第一内核单元kernel获取正常世界态normal world status下处理器发送的待处理应用ca对应的第一标识码和访问请求，并将所述待处理应用ca对应的第一标识码和访问请求发送给待访问可信应用ta，以便所述待访问可信应用ta接收到第一标识码和访问请求时，将其发送给所述效验模块，其中，所述待访问可信应用ta属于所述可信应用ta，所述待访问可信应用ta是基于所述访问请求确定的，所述第一标识码是正常世界态normalworld status下处理器的第二内核kernel基于所述访问请求进行处理得到的；

5、所述效验模块在接收到所述待访问可信应用ta发送的第一标识码和待访问可信应用ta对应的白名单时，基于所述第一标识码和所述白名单中每一可信ca的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给所述待访问可信应用ta；

6、所述待访问可信应用ta基于所述效验结果确定是否响应所述待处理应用ca的访问请求。

7、可选的，所述基于所述第一标识码和所述白名单中每一可信ca的第二标识码进行鉴权，生成效验结果，包括：

8、所述效验模块遍历所述白名单，获取所述白名单中第i个可信ca对应的ca基础信息，其中i为大于等于1小于等于n的正整数，n为白名单中可信ca的数量；

9、确定所述待访问可信应用ta对应的命名空间；

10、计算所述ca基础信息中访问可信应用ta的连接方式对应的名称name和所述命名空间的密码散列函数；

11、对选取的所述密码散列函数添加标识，得到第二标识码；

12、若确定所述第二标识码与所述第一标识码相同，生成鉴权通过的效验结果。

13、可选的，还包括：

14、若确定所述第二标识码与所述第一标识码不相同，遍历所述白名单中的下一个可信ca，并返回执行遍历所述白名单，获取所述白名单中第i个可信ca对应的ca基础信息这一步骤；

15、若确定所述白名单信息中每一白名单对应的第二标识码与所述第一标识码均不相同时，生成鉴权失败的效验结果。

16、可选的，所述计算所述ca基础信息中访问可信应用ta的连接方式对应的名称name和所述命名空间的密码散列函数，包括：

17、获取所述ca基础信息中访问可信应用ta的连接方式对应的名称name的取值；

18、将所述名称name和所述命名空间的取值对应的字符串进行拼接，得到拼接后的字符串；

19、对所述拼接后的字符串进行哈希计算，得到密码散列函数。

20、可选的，所述基于所述第一标识码和所述白名单中每一可信ca的第二标识码，生成效验结果，包括：

21、计算所述白名单中的每一可信ca的第二标识码；

22、判断所述白名单信息中是否存在与所述第一标识码一致的第二标识码；

23、若存在，生成鉴权通过的效验结果；

24、若不存在，生成鉴权失败的效验结果。

25、可选的，还包括：

26、所述待访问可信应用ta在接收所述待处理应用ca对应的第一标识码和访问请求之后，基于鉴权标志位确定是否对所述待处理应用ca进行鉴权；

27、若对所述待处理应用ca进行鉴权，将所述第一标识码和待访问可信应用ta对应的白名单发送给所述效验模块，以便所述效验模块执行在接收到所述待访问可信应用ta发送的第一标识码和待访问可信应用ta对应的白名单时，基于所述第一标识码和所述白名单中每一可信ca的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给所述待访问可信应用ta的步骤。

28、本发明实施例第二方面示出了一种应用访问隔离方法，应用于在正常世界态normal world status下的处理器，包括多个应用ca，及第二内核单元kernel，所述方法包括：

29、第二内核单元kernel接收待处理应用ca发送的访问请求，所述待处理应用ca属于多个应用ca；

30、第二内核单元kernel基于访问请求进行处理得到第一标识码，并将所述第一识别码和所述访问请求发送给安全世界态下的处理器。

31、可选的，所述第二内核单元kernel基于访问请求进行处理得到第一标识码，包括：

32、第二内核单元kernel对所述访问请求进行解析，得到名称name；

33、确定所述待访问可信应用ta对应的命名空间；

34、基于所述名称name和所述命名空间进行处理，得到密码散列函数；

35、对选取的所述密码散列函数添加标识，得到第一标识码。

36、可选的，所述基于所述名称name和所述命名空间进行处理，得到密码散列函数，包括：

37、将所述名称name和所述命名空间的取值对应的字符串进行拼接，得到拼接后的字符串；

38、对所述拼接后的字符串进行哈希计算，得到密码散列函数。

39、本发明实施例第三方面示出了一种处理器，包括安全世界态下的处理器和正常世界态下的处理器；

40、所述安全世界态下的处理器用于执行本发明实施例第一方面示出的应用访问隔离方法；

41、所述正常世界态下的处理器用于执行本发明实施例第二方面示出的应用访问隔离方法。

42、基于上述本发明实施例提供的一种应用访问隔离方法及处理器，所述方法包括所述第一内核单元kernel获取正常世界态normal world status下处理器发送的待处理应用ca对应的第一标识码和访问请求，并将所述待处理应用ca对应的第一标识码和访问请求发送给待访问可信应用ta，以便所述待访问可信应用ta接收到第一标识码和访问请求时，将其发送给所述效验模块，所述待访问可信应用ta属于所述可信应用ta，所述待访问可信应用ta是基于所述访问请求确定的，所述第一标识码是正常世界态normal world status下处理器的第二内核kernel基于所述访问请求进行处理得到的；所述效验单元在接收到所述待访问可信应用ta发送的第一标识码和待访问可信应用ta对应的白名单时，基于所述第一标识码和所述白名单中每一可信ca的第二标识码进行鉴权，生成效验结果，并将所述效验结果反馈给所述待访问可信应用ta；所述待访问可信应用ta基于所述效验结果确定是否响应所述待处理应用ca的访问请求。在本发明实施例中，由ta控制自身的连接权限，ta将接收到的第一标识码和访问请求后，将其发送给效验单元，效验单元基于第一标识码和白名单中每一可信ca的第二标识码进行鉴权。仅在效验单元进行鉴权，保证了鉴权过程的安全性，且能够满足ta多线程调用的需求，效验单元只提供校验结果，是否接受ca端的连接请求依然由ta决定。ta直接接收校验结果，减少了访问隔离阶段ta中的开发工作量。通过上述方式能够提高访问的安全性。