技术特征：
1.一种基于安全单元和可信执行环境的数字钱包安全框架系统，其特征在于，包括富执行环境、硬件平台、可信执行环境，所述富执行环境具有数字货币钱包应用及富执行环境操作系统；所述可信执行环境中具有多个数字货币钱包可信应用、可信执行环境操作系统；所述硬件平台中包括仅能被所述可信执行环境访问的安全单元，所述硬件平台中的资源无法同时被所述富执行环境和所述可信执行环境同时占用；所述富执行环境操作系统中的富执行环境消息代理用于接收富执行环境中的数字货币钱包应用的可信服务请求，并向可信执行环境中的可信应用转发可信服务请求；所述可信执行环境中的多个数字货币钱包可信应用通过所述可信执行环境操作系统接收指令与参数后执行相应的安全敏感程序；所述可信执行环境中的数字货币钱包基础服务为所述多个数字货币钱包可信应用提供统一服务接口；终端初次上电时所述安全单元用于生成终端主密钥，利用所述终端主密钥派生存储根密钥，在需要时基于存储根密钥派生存储密钥并将所述存储密钥传输至所述可信执行环境中，存储密钥使用后立即清除；其中，所述数字货币钱包应用向用户提供基本功能，所述数字货币钱包可信应用用于保护安全敏感程序执行流程正确和敏感信息不被未经授权的泄露；其中安全敏感程序包括数字货币双离线交易和/或数字货币兑入兑回和/或数字证书导入程序，敏感信息包括数字证书和/或密钥和/或私钥和/或支付口令和/或交易记录和/或用户个人隐私信息的数据。2.根据权利要求1所述的数字钱包安全框架系统，其特征在于，所述可信执行环境操作系统还包括可信执行环境消息代理，用于处理所述富执行环境消息代理转发的可信服务请求命令包，解析命令包中的数据，验证所述数据的合法性，然后重新封装指令包并发送至所述可信执行环境操作系统中的逻辑引擎中。3.根据权利要求1所述的数字钱包安全框架系统，其特征在于，所述可信执行环境操作系统包括密码算法库、密钥管理器，所述密码算法库中至少包括对称密码学算法和非对称密码学算法以及哈希算法；所述密钥管理器为所述可信执行环境中唯一有所述安全单元访问权限的模组，所述密钥管理器用于周期监控数字货币交易过程中涉及的所有密钥并保证所述密钥的机密性、完整性。4.根据权利要求1所述的数字钱包安全框架系统，其特征在于，所述可信执行环境操作系统包括可信ui，当所述可信ui被调起时从所述富执行环境中接管显示屏和触摸屏权限，以保证人机交互数据的真实性和完整性。5.根据权利要求1所述的数字钱包安全框架系统，其特征在于，所述可信执行环境操作系统包括逻辑引擎，所述逻辑引擎通过所述可信执行环境操作系统中的可信设备驱动来执行可信应用的可信启动和/或路由可信服务请求。6.根据权利要求1所述的数字钱包安全框架系统，其特征在于，终端初次上电时所述安全单元用于生成终端主密钥，利用终端主密钥派生存储根密钥，包括：所述安全单元内部真随机数发生器读取一个固定长度的随机数作为终端主密钥tmk；在所述终端的安全单元中有密钥派生函数，其中，是密钥种子空
间，是派生密钥空间，使用密钥派生函数和终端主密钥tmk生成仅用于派生其他密钥的存储根密钥：；其中，字符串标识被派生的密钥是用于安全存储的存储根密钥。7.根据权利要求6所述的数字钱包安全框架系统，其特征在于，所述数字货币钱包可信应用用于保护敏感信息不被未经授权的泄露，包括：使用从所述存储根密钥派生的存储密钥封装终端内数字货币钱包可信应用中所述敏感信息的数字证书和/或密钥和/或私钥和/或支付口令和/或交易记录和/或用户个人隐私信息的数据，所述存储密钥派生后从所述安全单元安全传输到所述可信执行环境，使得所述敏感信息的封装过程在可信执行环境中实现，封装后得到的数据块存储在安全单元和可信执行环境之外。8.根据权利要求7所述的数字钱包安全框架系统，其特征在于，所述使用从所述存储根密钥派生的存储密钥封装终端内数字货币钱包可信应用中的敏感信息，包括：使用密钥派生函数和存储根密钥srk生成用于保护所述敏感信息的数据data完整性的密钥：，其中字符串标识被派生的密钥是用于安全存储的存储密钥，字符串表示被派生的密钥用于计算消息验证码，为一字符串，其与当前所要保护的所述敏感信息中的数据对应；在密钥被安全传输到可信执行环境后使用函数计算用于安全加固的数据块：，具体计算方式如下：，表示使用函数和密钥为明文数据计算消息验证码，表示使用函数和密钥为数据计算消息验证码。9.根据权利要求7所述的数字钱包安全框架系统，其特征在于，使用从所述存储根密钥派生的存储密钥封装终端内数字货币钱包可信应用中的敏感信息，包括：
使用密钥派生函数和存储根密钥srk生成保护所述敏感信息的数据data机密性和完整性的密钥：，其中，字符串标识被派生的密钥是用于安全存储的存储密钥，字符串表示被派生的第一个密钥用于加密数据而第二个密钥用于计算消息验证码，为一字符串，其与当前所要保护的所述敏感信息中的数据对应；在密钥被安全传输到可信执行环境后使用函数计算用于安全加固的数据块：,具体计算方式如下：,表示使用函数和密钥加密明文数据，表示使用函数和密钥为数据进行加密。
技术总结
本发明提供基于安全单元和可信执行环境的数字钱包安全框架系统，将安全单元与可信执行环境结合构造一适用于移动终端数字货币钱包的安全框架系统。本发明的硬件包括安全单元和支持ARM TrustZone技术的移动终端中央处理器。在本数字货币钱包安全框架系统中：依靠密码算法库、可信UI、逻辑引擎、密钥管理器，数字货币钱包基础服务为多个数字货币钱包可信应用提供：身份认证、安全存储、密钥操作、双离线交易等程序的安全执行环境。该方案利用安全单元保护核心密钥安全，可信执行环境保护安全敏感程序执行过程和敏感信息的安全，使得安全单元和可信执行环境协同保护数字货币钱包内的相关数字资产，发挥SE和TEE各自技术优势。发挥SE和TEE各自技术优势。发挥SE和TEE各自技术优势。
技术研发人员：佟冬 杨波 张彦超
受保护的技术使用者：北京银联金卡科技有限公司
技术研发日：2022.04.13
技术公布日：2022/5/10