移动终端安全防护方法和装置与流程

本发明涉及信息安全技术领域，尤其涉及一种移动终端安全防护方法和装置。

背景技术

随着移动通讯技术的发展，在智能移动终端上进行网银交易等业务的需求日益旺盛，对于移动支付交易的安全性要求也越来越高。在智能移动终端上使用tee方案进行网银交易，对于网银盾的实现有两种方案：用tee中的ta实现二代网银盾的全部功能，包括非核心安全功能，如交易报文解析、交易信息显示、口令输入和交易信息确认等，以及核心安全功能，如口令验证及交易报文签名，这种方案称为tee软盾方案；在ta中实现二代网银盾的非核心安全功能，包括交易报文解析、交易信息显示、口令输入和交易信息确认，而口令验证和交易报文签名的核心安全功能放在ese中实现，另外ese还负责证书与密钥对的存储、管理和使用，这种方案称为ese硬盾方案。具体到某一个移动支付解决方案采用tee软盾方案还是ese硬盾方案取决于银行系统及智能移动终端制造商。

对于现有两种不同的网银盾的实现技术方案，在个人化流程或在执行同一核心安全功能时，运行在ree中的网银系统app和证书管理系统对于运行在tee的ta使用和运行在ese中的网银applet要使用不同的指令流，相应的对于网银系统app和证书管理系统，这种差异的存在增加了app的设计实现复杂度，增加了证书管理系统开发和部署的难度。同时，tee软盾方案开发包含tui和安全服务的ta，ese硬盾方案需要开发包含tui和与ese间指令透传的ta，增加tee平台下的开发及维护成本。

技术实现要素：

有鉴于此，本发明要解决的一个技术问题是提供一种移动终端安全防护方法和装置。

根据本发明的一个方面，提供一种移动终端安全防护方法，包括：运行在tee中的前置ta接收到业务应用或外部设备发送的业务数据；所述前置ta确定与所述业务数据相对应的安全模块以及所述安全模块的部署方式；其中，所述安全模块包括：安全功能ta、ese中的applet；所述前置ta将所述业务数据发送给所述安全模块，通过所述安全模块对所述业务数据进行相应地数据安全处理；所述前置ta接收到所述安全模块返回的数据安全处理结果数据并发送给所述业务应用或外部设备。

可选地，所述前置ta将所述业务数据发送给所述安全模块、通过所述安全模块对所述业务数据进行相应地数据安全处理包括：所述前置ta判断是否存在所述ese；如果是，则将所述业务数据发送给所述ese中的applet，通过所述applet对所述业务数据进行相应地数据安全处理；如果否，则将所述业务数据发送给所述安全功能ta，通过所述安全功能ta对所述业务数据进行相应地数据安全处理。

可选地，所述数据安全处理包括：签名处理；所述方法还包括：所述安全功能ta和所述applet存储有数字签名证书；所述安全功能ta和所述applet使用所述数字签名证书对所述业务数据进行相应地签名处理。

可选地，所述前置ta确定与所述安全功能ta或所述applet相对应的数据格式；所述前置ta根据所述数据格式将所述业务数据进行封装，并将封装后的所述业务数据发送给所述安全功能ta或所述applet。

可选地，所述数据格式包括：apdu格式、自定义格式。

可选地，接口服务模块对外提供tee统一调用接口，业务应用或外部设备通过使用所述tee统一调用接口发送所述业务数据；所述前置ta对外提供统一的tee功能访问接口，所述接口服务模块使用所述tee功能访问接口将所述业务数据发送给所述前置ta。

可选地，所述tee统一调用接口的提供形式包括：sdk、jar包、动态链接库。

可选地，证书管理系统通过所述前置ta对所述安全功能ta、所述applet中存储的数字签名证书进行管理，包括：安装、更新、删除数字签名证书。

可选地，tsm系统通过所述前置ta对所述applet进行管理，包括：进行个人化，安装、更新、卸载applet；tam系统对于所述前置ta或通过所述前置ta对所述安全功能ta进行管理，包括：进行个人化，安装、更新、卸载applet。

可选地，所述前置ta通过可信用户接口tui接收用户输入的信息，其中，所述用户输入的信息包括：许可口令、交易确认指令信息；所述前置ta通过可信用户接口tui显示信息，其中，显示的信息包括：认证结果信息、业务交易信息。

根据本发明的另一方面，提供一种移动终端安全防护系统，包括：运行在tee中的前置ta以及安全模块；其中，所述安全模块包括：安全功能ta、ese中的applet；所述前置ta，用于接收业务应用或外部设备发送的业务数据，确定与所述业务数据相对应的安全模块以及所述安全模块的部署方式；将所述业务数据发送给所述安全模块；所述安全模块，用于对所述业务数据进行相应地数据安全处理；所述前置ta，还用于接收到所述安全模块返回的数据安全处理结果数据并发送给所述业务应用或外部设备。

可选地，所述前置ta，用于判断是否存在所述ese；如果是，则将所述业务数据发送给所述ese中的applet，通过所述applet对所述业务数据进行相应地数据安全处理；如果否，则将所述业务数据发送给所述安全功能ta，通过所述安全功能ta对所述业务数据进行相应地数据安全处理。

可选地，所述数据安全处理包括：签名处理；所述安全功能ta和所述applet存储有数字签名证书；所述安全功能ta和所述applet使用所述数字签名证书对所述业务数据进行相应地签名处理。

可选地，所述前置ta，还用于确定与所述安全功能ta或所述applet相对应的数据格式；根据所述数据格式将所述业务数据进行封装，并将封装后的所述业务数据发送给所述安全功能ta或所述applet。

可选地，所述数据格式包括：apdu格式、自定义格式。

可选地，接口服务模块，用于对外提供tee统一调用接口，业务应用或外部设备通过使用所述tee统一调用接口发送所述业务数据；所述前置ta对外提供统一的tee功能访问接口；所述接口服务模块，用于使用所述tee功能访问接口将所述业务数据发送给所述前置ta。

可选地，所述tee统一调用接口的提供形式包括：sdk、jar包、动态链接库。

可选地，证书管理系统，用于通过所述前置ta对所述安全功能ta、所述applet中存储的数字签名证书进行管理，包括：安装、更新、删除数字签名证书。

可选地，tsm系统，用于通过所述前置ta对所述applet进行管理，包括：进行个人化，安装、更新、卸载applet；tam系统，用于对于所述前置ta或通过所述前置ta对所述安全功能ta进行管理，包括：进行个人化，安装、更新、卸载applet。

可选地，所述前置ta，用于通过可信用户接口tui接收用户输入的信息，其中，所述用户输入的信息包括：许可口令、交易确认指令信息；通过可信用户接口tui显示信息，其中，显示的信息包括：认证结果信息、业务交易信息。

根据本发明的又一方面，提供一种移动终端安全防护系统，包括：存储器；以及耦接至所述存储器的处理器，所述处理器被配置为基于存储在所述存储器中的指令，执行如上所述的方法。

根据本发明的再一方面，提供一种计算机可读存储介质，其上存储有计算机程序指令，该指令被一个或多个处理器执行时实现如上所述的方法的步骤。

本发明的移动终端安全防护方法和装置，提供了一种tee手机盾实现方法，将传统的手机盾ta进行功能拆分，核心安全功能可由tee软盾或ese硬盾的方式实现，前置ta对两种实现方式均可适配，从而屏蔽tee软盾和ese硬盾对外差异；通过前置ta对于tee软盾和ese硬盾，统一证书管理方式，统一口令验证及交易报文签名流程，使在设计和实现证书管理系统和网银app时，使用唯一流程，而无需考虑核心安全模块是由ta实现还是由ese中的applet实现，简化其设计与实现，降低tee平台下的开发及维护成本。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为根据本发明的移动终端安全防护方法的一个实施例的流程示意图；

图2为根据本发明的移动终端安全防护系统的一个实施例的模块示意图；

图3为根据本发明的移动终端安全防护系统的另一个实施例的模块示意图。

具体实施方式

现在将参照附图来详细描述本发明的各种示例性实施例。应注意到：除非另外具体说明，否则在这些实施例中阐述的部件和步骤的相对布置、数字表达式和数值不限制本发明的范围。

同时，应当明白，为了便于描述，附图中所示出的各个部分的尺寸并不是按照实际的比例关系绘制的。

以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。

对于相关领域普通技术人员已知的技术、方法和设备可能不作详细讨论，但在适当情况下，所述技术、方法和设备应当被视为说明书的一部分。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

本发明实施例可以应用于计算机系统/服务器，其可与众多其它通用或专用计算系统环境或配置一起操作。适于与计算机系统/服务器一起使用的众所周知的计算系统、环境和/或配置的例子包括但不限于：智能手机、个人计算机系统、服务器计算机系统、瘦客户机、厚客户机、手持或膝上设备、基于微处理器的系统、机顶盒、可编程消费电子产品、网络个人电脑、小型计算机系统﹑大型计算机系统和包括上述任何系统的分布式云计算技术环境，等等。

计算机系统/服务器可以在由计算机系统执行的计算机系统可执行指令(诸如程序模块)的一般语境下描述。通常，程序模块可以包括例程、程序、目标程序、组件、逻辑、数据结构等等，它们执行特定的任务或者实现特定的抽象数据类型。计算机系统/服务器可以在分布式云计算环境中实施，分布式云计算环境中，任务是由通过通信网络链接的远程处理设备执行的。在分布式云计算环境中，程序模块可以位于包括存储设备的本地或远程计算系统存储介质上。

图1为根据本发明的移动终端安全防护方法的一个实施例的流程示意图，如图1所示：

步骤101，运行在tee中的前置ta(trustedapplications)接收到业务应用或外部设备发送的业务数据。

tee(trustedexecutionenvironment,可信执行环境)是一种隔离的执行环境，tee与富操作系统(ree，richexecutionenvironment)并行运行，并为富环境提供安全服务，可以对富环境下的软硬件安全资源和应用程序，实现隔离访问和保护。业务应用可以为移动终端中的业务应用，例如购物、网银等业务应用等，外部设备可以为电商服务器、网银服务器等。业务数据可以为待签名的交易数据等。

步骤102，前置ta确定与业务数据相对应的安全模块以及安全模块的部署方式，安全模块包括：安全功能ta、嵌入式安全元件ese中的applet等。applet是一种运行在se中的程序。

步骤103，前置ta将业务数据发送给安全模块，通过安全模块对业务数据进行相应地数据安全处理。数据安全处理可以为数据签名处理等。

步骤104，前置ta接收到安全模块返回的数据安全处理结果数据并发送给业务应用或外部设备。

上述实施例中的移动终端安全防护方法，提供了一种tee手机盾实现方法，将传统的手机盾ta进行功能拆分，核心安全功能可由tee软盾或ese硬盾的方式实现，前置ta对两种实现方式均可适配，从而屏蔽tee软盾和ese硬盾对外差异。

在一个实施例中，前置ta可以将业务数据发送给安全功能ta或ese中的applet进行相应地数据安全处理，核心安全功能可以选择由安全功能ta实现，也可以选择由ese中的applet实现。

例如，前置ta判断是否存在ese，如果是，则将业务数据发送给ese中的applet，通过applet对业务数据进行相应地数据安全处理。前置ta判断不存在ese，则将业务数据发送给安全功能ta，通过安全功能ta对业务数据进行相应地数据安全处理。

数据安全处理可以有多种。例如，数据安全处理为对银行业务交易(转帐、付费)等的签名处理，安全功能ta和applet存储有数字签名证书，安全功能ta和applet使用数字签名证书对业务数据(银行业务交易数据等)进行相应地签名处理。例如，最简单的数字签名证书包含一个公开密钥、名称以及证书授权中心的数字签名。

前置ta确定与安全功能ta或applet相对应的数据格式。前置ta根据数据格式将业务数据进行封装，并将封装后的业务数据发送给安全功能ta或applet。

在前置ta将业务数据发送给安全模块之前，前置ta将业务数据进行封装所采用的数据格式可以有多种，包括：apdu格式、自定义格式等。例如，手机盾tee中的核心安全功能模块由ta实现，安全功能ta与前置ta间使用用自定义格式的指令交互；手机盾tee中的核心安全功能模块由ta实现，安全功能ta与前置ta间用apdu格式的指令交互；手机盾tee中的核心安全功能模块由ese的applet实现，核心安全功能applet与前置ta间用apdu格式的指令交互。

在一个实施例中，接口服务模块对外提供tee统一调用接口，业务应用或外部设备通过使用tee统一调用接口发送业务数据，业务数据包括付费、转帐等多种业务数据。前置ta对外提供统一的tee功能访问接口，接口服务模块使用tee功能访问接口将业务数据发送给前置ta。tee统一调用接口的提供形式包括：sdk、jar包、动态链接库等。例如，接口服务模块为手机盾sdk，主要提供app和手机盾的交互功能，为上层提供相关服务接口，对上层业务应用提供无差别的数字证书等相关功能服务。

前置ta在个人化、证书下载及更新和用户使用阶段实现交易报文解析、交易信息显示、口令输入和交易信息确认功能，还可以通过唯一形式的指令接口支持运行在ree的网银系统app发起的口令验证和交易报文签名指令流程，使网银系统app无需关心核心安全功能的实现形式。前置ta可以向后台系统屏蔽tee软盾和ese硬盾的指令流差异，前置ta也可以向应用层的业务应用和手机盾sdk屏蔽tee软盾和ese硬盾对于应用接口的差异。

在一个实施例中，证书管理系统通过前置ta对安全功能ta、applet中存储的数字签名证书进行管理，包括：安装、更新、删除数字签名证书等。tsm系统通过前置ta对applet进行管理，包括：进行个人化，安装、更新、卸载applet等。tam系统对于前置ta或通过前置ta对安全功能ta进行管理，包括：进行个人化，安装、更新、卸载applet等。

前置ta通过可信用户接口tui接收用户输入的信息，用户输入的信息包括：许可口令、交易确认信息等。前置ta通过可信用户接口tui显示信息，显示的信息包括：许可口令、认证结果信息、交易信息等。通过前置ta可以为业务应用系统、证书管理系统和网银系统app提供无差别的手机盾交互方法。前置ta作为通信和tui显示单元，可以负责交易报文解析、交易信息显示、口令输入和交易信息确认等，同时前置ta能够识别核心安全功能模块的具体实现形式，按其实现形式不同对数字签名服务的信息进行必要的格式转换。

在一个实施例中，如图2所示，本发明提供一种移动终端安全防护系统，包括：运行在tee中的前置ta21以及安全模块；安全模块包括：安全功能ta22、ese中的applet23等。前置ta21接收业务应用25或外部设备发送的业务数据，确定与业务数据相对应的安全模块以及安全模块的部署方式。前置ta21将业务数据发送给安全模块，安全模块对业务数据进行相应地数据安全处理。前置ta21接收到安全模块返回的数据安全处理结果数据并发送给业务应用或外部设备。

前置ta21判断是否存在ese，如果是，则将业务数据发送给ese中的applet23，通过applet23对业务数据进行相应地数据安全处理；如果否，则前置ta21将业务数据发送给安全功能ta22，通过安全功能ta22对业务数据进行相应地数据安全处理。

数据安全处理包括：签名处理等。例如，业务应用系统29向业务应用25发送业务数据等。安全功能ta22和applet23存储有数字签名证书，安全功能ta22和applet23使用数字签名证书对业务数据进行相应地签名处理。

前置ta21确定与安全功能ta22或applet23相对应的数据格式，根据数据格式将业务数据进行封装，并将封装后的业务数据发送给安全功能ta22或applet23。数据格式包括：apdu格式、自定义格式等。前置ta21通过可信用户接口tui接收用户输入的信息，其中，所述用户输入的信息包括：许可口令、交易确认指令信息。前置ta21通过可信用户接口tui显示信息，其中，显示的信息包括：认证结果信息、业务交易信息。

接口服务模块24对外提供tee统一调用接口，业务应用或外部设备通过使用tee统一调用接口发送业务数据。前置ta21对外提供统一的tee功能访问接口。接口服务模块24使用tee功能访问接口将业务数据发送给前置ta21。tee统一调用接口的提供形式包括：sdk、jar包、动态链接库等。

证书管理系统26通过前置ta21对安全功能ta22、applet23中存储的数字签名证书进行管理，包括：安装、更新、删除数字签名证书等。tsm系统27通过前置ta21对applet23进行管理，包括：进行个人化，安装、更新、卸载applet23等。tam系统28对于前置ta21或通过前置ta21对安全功能ta22进行管理，包括：进行个人化，安装、更新、卸载applet23等。

上述实施例中的移动终端安全防护方法，通过前置ta对于tee软盾和ese硬盾统一证书管理方式，统一口令验证及交易报文签名流程，使在设计和实现证书管理系统和网银app时，使用唯一流程，而无需考虑核心安全模块是由ta实现还是由ese中的applet实现，简化其设计与实现，降低tee平台下的开发及维护成本。

图3为根据本发明公开的移动终端安全防护系统的另一个实施例的模块示意图。如图3所示，该装置可包括存储器31、处理器32、通信接口33。存储器31用于存储指令，处理器32耦合到存储器31，处理器32被配置为基于存储器31存储的指令执行实现上述的方法。

存储器31可以为高速ram存储器、非易失性存储器(non-volatilememory)等，存储器31也可以是存储器阵列。处理器32可以为中央处理器cpu，或专用集成电路asic(applicationspecificintegratedcircuit)，或者是被配置成实施本发明公开的方法的一个或多个集成电路。

在一个实施例中，本公开还提供一种计算机可读存储介质，其中计算机可读存储介质存储有计算机指令，指令被处理器执行时实现如上任一实施例涉及的方法。本领域内的技术人员应明白，本公开的实施例可提供为方法、装置、或计算机程序产品。因此，本公开可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本公开可采用在一个或多个其中包含有计算机可用程序代码的计算机可用非瞬时性存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。

本公开是参照根据本公开实施例的方法、设备(系统)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

上述实施例中的移动终端安全防护方法和装置，前置ta确定与业务数据相对应的安全模块以及安全模块的部署方式，安全模块包括：安全功能ta、ese中的applet；前置ta将业务数据发送给安全模块，通过安全模块对业务数据进行相应地数据安全处理，并接收到安全模块返回的数据安全处理结果数据并发送给业务应用或外部设备；提供了一种tee手机盾实现方法，将传统的手机盾ta进行功能拆分，核心安全功能可由tee软盾或ese硬盾的方式实现，前置ta对两种实现方式均可适配，从而屏蔽tee软盾和ese硬盾对外差异；通过前置ta对于tee软盾和ese硬盾，统一证书管理方式，统一口令验证及交易报文签名流程，使在设计和实现证书管理系统和网银app时，使用唯一流程，而无需考虑核心安全模块是由ta实现还是由ese中的applet实现，简化其设计与实现，降低tee平台下的开发及维护成本。

可能以许多方式来实现本发明的方法和系统。例如，可通过软件、硬件、固件或者软件、硬件、固件的任何组合来实现本发明的方法和系统。用于方法的步骤的上述顺序仅是为了进行说明，本发明的方法的步骤不限于以上具体描述的顺序，除非以其它方式特别说明。此外，在一些实施例中，还可将本发明实施为记录在记录介质中的程序，这些程序包括用于实现根据本发明的方法的机器可读指令。因而，本发明还覆盖存储用于执行根据本发明的方法的程序的记录介质。

本发明的描述是为了示例和描述起见而给出的，而并不是无遗漏的或者将本发明限于所公开的形式。很多修改和变化对于本领域的普通技术人员而言是显然的。选择和描述实施例是为了更好说明本发明的原理和实际应用，并且使本领域的普通技术人员能够理解本发明从而设计适于特定用途的带有各种修改的各种实施例。