一种访问可信执行环境、可信应用的系统及方法
【技术领域】
[0001]本发明涉及移动终端设备领域，具体来讲是一种访问可信执行环境、可信应用的系统及方法。
【背景技术】
[0002]移动通信技术的发展带来了移动终端技术的快速发展，现代的移动终端设备提供了强大而灵活的REE (Rich Execut1n Environment，富执行环境)，但同时也导致设备容易受到安全威胁。TEE (Trusted Execut1n Environment，可信执行环境)是为了解决当前移动终端设备存在的安全风险而提出的技术方案。TEE和REE平行运行于同一个设备上，TEE能够保证在可信的环境中进行敏感数据的存储、处理和保护，并为授权的安全软件(可信软件)提供了安全的执行环境，通过执行保护、保密、完整和数据访问权限实现了端到端的安全。TA (Trusted Applicat1n，可信应用)运行于 TEE 上，CA (Client Applicat1n，客户应用)运行于REE上，CA通过调用位于REE的TEE客户端API (Applicat1n ProgrammingInterface，应用编程接口 )去访问TA，从而使用TEE及TA提供的安全功能。
[0003]由于TEE及TA的运行必须由CA通过调用TEE客户端API触发，所以必须要事先制定好CA的程序执行流程、编写CA调用TEE客户端API的代码，并将CA安装到REE中，然后运行CA，由CA按照已固定的流程去调用TEE客户端API，从而实现TEE及TA的访问。但是，现有的访问方式在遇到应用场景、需求发生变化，或者TA发生改变时，必须要重新开发CA，编写CA的代码，才能适应这种变化，操作过程十分繁琐，效率极低。尤其当需要对TEE及TA进行完整性测试时，更是需要编写流程非常复杂的CA、或者编写多个CA，才能达到预定完整测试的目的，操作起来非常不灵活。因此如何提高CA的通用性，灵活访问TEE及TA是移动终端中一个亟待解决的技术问题。
【发明内容】
[0004]本发明的目的是为了克服上述【背景技术】的不足，提供一种访问可信执行环境、可信应用的系统及方法，能够有效提高CA的通用性，实现TEE及TA的灵活访问。
[0005]为达到以上目的，本发明提供一种访问可信执行环境、可信应用的系统，包括富执行环境REE和可信执行环境TEE，所述REE包括客户应用CA和TEE客户端应用编程接口API，所述TEE包括TEE内部API和若干可信应用TA ;其中，所述REE还包括CA行为脚本和TEE访问模块，所述CA行为脚本用于描述CA访问需求、指定CA访问行为，CA行为脚本存储在CA访问的介质中；所述TEE访问模块用于解析CA行为脚本、识别CA行为脚本的指定行为；当CA运行到需要访问TEE中的TA时，CA读取CA行为脚本，并将该CA行为脚本的内容传递给TEE访问模块；TEE访问模块对接收到的CA行为脚本进行解析，识别CA行为脚本的指定行为，并按照CA行为脚本的指定行为去访问TEE中的TA。
[0006]在上述技术方案的基础上，所述CA行为脚本存储在CA访问的REE的存储介质中，或者存储在CA通过接口访问的外部设备中，或者直接加载于CA内部。
[0007]在上述技术方案的基础上，所述TEE访问模块内置于CA中。
[0008]在上述技术方案的基础上，所述TEE访问模块独立运行于CA外，并提供接口供CA调用。
[0009]本发明还提供基于上述系统的访问可信执行环境、可信应用的方法，包括以下步骤:
[0010]S1、将事先开发好或修改好的客户应用CA、可信应用TA分别部署到富执行环境REE、可信执行环境TEE中；
[0011]S2、创建用于解析CA行为脚本、识别CA行为脚本的指定行为的TEE访问模块，并将TEE访问模块部署到REE中；
[0012]S3、根据CA访问TA的流程，编写用于描述CA访问需求、指定CA访问行为的CA行为脚本，并将CA行为脚本存储到CA访问的介质；
[0013]S4、在REE中启动CA ;当CA运行到需要访问TEE中的TA时，CA读取CA行为脚本，并将该CA行为脚本的内容传递给TEE访问模块；TEE访问模块对接收到的CA行为脚本进行解析，识别CA行为脚本的指定行为，并按照CA行为脚本的指定行为去访问TEE中的TA。
[0014]在上述技术方案的基础上，步骤S2中所述将TEE访问模块部署到REE中的具体过程为:将TEE访问模块内置于CA中；或TEE访问模块独立运行于CA外，提供接口供CA调用。
[0015]在上述技术方案的基础上，步骤S3中所述将CA行为脚本存储到CA访问的介质的具体过程为:将CA行为脚本存储到CA访问的REE的存储介质；或将CA行为脚本存储到CA通过接口访问的外部设备；或将CA行为脚本直接加载到CA内部。
[0016]在上述技术方案的基础上，所述CA行为脚本的内容包括CA调用TEE客户端应用编程接口 API的顺序、传入的参数及参数的值。
[0017]在上述技术方案的基础上，所述CA行为脚本的语句包括注册变量语句、变量赋值语句和调用TEE客户端API语句。
[0018]本发明的有益效果在于:
[0019](I)本发明通过编写具有一定规则的CA行为脚本，利用一个TEE访问模块解析该CA行为脚本，并按照CA行为脚本所指定的行为去访问TEE及TA，从而实现TEE及TA的灵活访问。由于所编写的CA行为脚本不依赖于CA的代码，且易于编写和修改，所以当应用场景发生改变或TA发生变更时，只需要修改CA行为脚本文件即可，而无需重新开发或修改CA，提高了 CA的通用性，实现了对TEE及TA的任意访问，尤其适合对TEE及TA进行管理和测试。
[0020](2)本发明中，CA行为脚本可存储于REE的存储介质上、外部设备上或直接加载于CA内部；TEE访问模块可内置于CA中或独立运行于CA外。CA行为脚本和TEE访问模块的设置灵活、方便，可根据不同移动终端设备特性进行选择，适用范围广。
【附图说明】
[0021]图1是本发明实施例中访问可信执行环境、可信应用的系统的结构框图；
[0022]图2是本发明实施例中访问可信执行环境、可信应用的方法的流程图。
【具体实施方式】
[0023]下面结合附图及具体实施例对本发明作进一步的详细描述。
[0024]参见图1所示，本发明实施例提供一种访问可信执行环境、可信应用的系统，包括平行运行于同一移动终端设备上的REE和TEE，REE包括CA、CA行为脚本、TEE访问模块和TEE客户端API，TEE包括TEE内部API和若干可信应用TA。本实施例中，REE遵循GlobalPlatform TEE Client API (全球平台国际标准组织可信执行环境客户端应用编程接口)规范，TEE遵循GlobalPlatform TEE Internal API (全球平台国际标准组织可信执行环境内部应用编程接口)规范，GlobalPlatform TEE Client API 规范、GlobalPlatformTEE Internal API规范均是本领域技术人员公知的行业规范。
[0025]其中，所述CA行为脚本存储在CA访问的介质中，该介质可以是CA访问的REE的存储介质，也可以是CA通过一定接口访问的外部设备，还可以是CA内部。CA行为脚本用于描述CA访问需求、指定CA访问行为，其内容包括CA调用TEE客户端API的顺序、传入的参数及参数的值。并且，CA行为脚本的语句包含以下三种类型语句:
[0026]1、注册变量语句
[0027]由于在程序执行时无法新增变量声明，所以调用TEE客户端API所需要的参数