[go: up one dir, main page]

CN106453196B - 一种针对可信执行环境的密钥写入装置、系统及方法 - Google Patents

一种针对可信执行环境的密钥写入装置、系统及方法 Download PDF

Info

Publication number
CN106453196B
CN106453196B CN201510471735.7A CN201510471735A CN106453196B CN 106453196 B CN106453196 B CN 106453196B CN 201510471735 A CN201510471735 A CN 201510471735A CN 106453196 B CN106453196 B CN 106453196B
Authority
CN
China
Prior art keywords
tee
gba
key
user terminal
management service
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201510471735.7A
Other languages
English (en)
Other versions
CN106453196A (zh
Inventor
黄更生
任晓明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Mobile Communications Group Co Ltd
Original Assignee
China Mobile Communications Group Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Mobile Communications Group Co Ltd filed Critical China Mobile Communications Group Co Ltd
Priority to CN201510471735.7A priority Critical patent/CN106453196B/zh
Publication of CN106453196A publication Critical patent/CN106453196A/zh
Application granted granted Critical
Publication of CN106453196B publication Critical patent/CN106453196B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明涉及计算机技术领域，尤其涉及一种针对可信执行环境TEE的密钥写入装置、系统及方法，用以解决针对TEE的密钥写入方式限制了用户终端的应用的问题。本发明实施例提供的针对TEE的密钥写入装置包括：REE模块，用于接收TEE管理服务平台的TEE初始化触发指令，并触发GBA模块启动与BSF平台的协商流程；GBA模块，用于与BSF平台协商生成GBA根密钥，并基于GBA根密钥生成GBA子密钥，将GBA子密钥传输给TEE模块；TEE模块，用于基于预置的TEE私钥和TEE证书，以及GBA模块生成的GBA子密钥，与TEE管理服务平台进行双向认证，并在认证通过后，在安全域中写入TEE管理服务平台的管理密钥。

Description

一种针对可信执行环境的密钥写入装置、系统及方法
技术领域
本发明涉及计算机技术领域，尤其涉及一种针对可信执行环境TEE的密钥写入装置、系统及方法。
背景技术
可信执行环境(Trusted Execution Environment，TEE)是指在用户终端内的一个独立的安全运行环境，该运行环境与普通的富执行环境(Rich Execution Environment，REE)逻辑隔离，两者只能通过授权的应用程序编程接口(Application ProgrammingInterface，API)进行交互。TEE可以支持安全启动、安全应用管理等安全特性，实现这些安全特性的前提是在TEE内预置相关的密钥，或动态写入相关密钥，如图1所示。
目前，一般通过预先绑定的方式在TEE的安全域内写入密钥，也即，在用户终端出厂之前，将TEE与某个服务方的TEE管理服务平台进行绑定，在TEE内预置该服务方的TEE管理服务平台的管理密钥，在用户终端出厂后，不能再对该密钥进行修改。
可见，现有的针对TEE的密钥写入方式中需要捆绑指定服务方的TEE管理服务平台，这样，用户终端便无法接受除捆绑的服务方的TEE管理服务平台之外的其它服务平台的服务，限制了用户终端的应用。
发明内容
本发明实施例提供一种针对可信执行环境TEE的密钥写入方案，用以解决现有技术针对TEE的密钥写入方式限制了用户终端的应用的问题。
本发明实施例提供一种针对可信执行环境TEE的密钥写入装置，包括：
富执行环境REE模块，用于接收TEE管理服务平台的TEE初始化触发指令，并触发通用引导架构GBA模块启动与引导服务功能BSF平台的协商流程；
GBA模块，用于基于GBA，与引导服务功能BSF平台协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥，将该GBA子密钥传输给TEE模块；
TEE模块，用于基于预置的TEE私钥和TEE证书，以及所述GBA模块生成的GBA子密钥，与所述TEE管理服务平台进行双向认证，并在认证通过后，在安全域中写入所述TEE管理服务平台的管理密钥。
可选地，所述TEE模块具体用于：
将所述TEE证书公布给所述TEE管理服务平台，以使所述TEE管理服务平台基于所述TEE证书对所述TEE模块采用所述TEE私钥进行的签名进行合法性验证；并，基于所述GBA模块生成的GBA子密钥，对所述TEE管理服务平台进行合法性验证。
本发明另一实施例提供一种针对可信执行环境TEE的密钥写入装置，包括：
发送模块，用于向用户终端发送TEE初始化触发指令；
获取模块，用于在确认引导服务功能BSF平台与所述用户终端协商生成通用引导架构GBA根密钥后，向所述BSF平台请求获取GBA子密钥；
认证模块，用于基于所述获取模块获取的GBA子密钥，以及所述用户终端公布的TEE证书，与所述用户终端进行双向认证。
可选地，所述认证模块具体用于：
基于所述用户终端公布的TEE证书，对所述用户终端采用TEE私钥进行的签名进行合法性验证，并基于获取的GBA子密钥接受所述用户终端的认证。
本发明又一实施例提供一种针对可信执行环境TEE的密钥写入装置，包括：
生成模块，用于基于通用引导架构GBA，与用户终端协商生成GBA根密钥；
发送模块，用于在接收到TEE管理服务平台发送的获取GBA子密钥的请求消息后，基于所述GBA根密钥生成GBA子密钥，并将生成的GBA子密钥发送给所述TEE管理服务平台。
本发明实施例还一种针对可信执行环境TEE的密钥写入系统，包括：
TEE管理服务平台，用于向用户终端发送TEE初始化触发指令；在确认引导服务功能BSF平台与所述用户终端协商生成通用引导架构GBA根密钥后，向所述BSF平台请求获取GBA子密钥；基于获取的GBA子密钥，以及所述用户终端公布的TEE证书，与所述用户终端进行双向认证；
用户终端，用于在接收到所述TEE管理服务平台的TEE初始化触发指令后，基于GBA，与所述BSF平台协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥；基于预置的TEE私钥和TEE证书，以及生成的所述GBA子密钥，与所述TEE管理服务平台进行双向认证，并在认证通过后，在TEE的安全域中写入所述TEE管理服务平台的管理密钥；
引导服务功能BSF平台，用于基于GBA，与所述用户终端协商生成GBA根密钥；在接收到所述TEE管理服务平台发送的获取GBA子密钥的请求消息后，基于所述GBA根密钥生成GBA子密钥，并将生成的GBA子密钥发送给所述TEE管理服务平台。
本发明实施例提供一种针对可信执行环境TEE的密钥写入方法，包括：
用户终端在接收到TEE管理服务平台的TEE初始化触发指令后，基于通用引导架构GBA，与引导服务功能BSF平台协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥；
基于预置的TEE私钥和TEE证书，以及生成的所述GBA子密钥，与所述TEE管理服务平台进行双向认证，并在认证通过后，在TEE的安全域中写入所述TEE管理服务平台的管理密钥。
本发明另一实施例提供一种针对可信执行环境TEE的密钥写入方法，包括：
TEE管理服务平台向用户终端发送TEE初始化触发指令；
在确认引导服务功能BSF平台与所述用户终端协商生成通用引导架构GBA根密钥后，向所述BSF平台请求获取GBA子密钥；
基于获取的GBA子密钥，以及所述用户终端公布的TEE证书，与所述用户终端进行双向认证。
本发明实施例另一实施例提供一种针对可信执行环境TEE的密钥写入方法，包括：
基于通用引导架构GBA，与所述用户终端协商生成GBA根密钥；
在接收到TEE管理服务平台发送的获取GBA子密钥的请求消息后，基于所述GBA根密钥生成GBA子密钥，并将生成的所述GBA子密钥发送给所述TEE管理服务平台。
本发明实施例通过用户终端与BSF平台之间基于GBA的密钥生成过程，以及TEE管理服务平台与用户终端之间的双向认证，建立起TEE管理服务平台与用户终端之间的安全通道，并在建立安全通道后，向TEE的安全域内写入该TEE管理服务平台的管理密钥。由于无需用户终端在出厂之前绑定指定服务方的TEE管理服务平台，从而扩大了用户终端的应用场景，解放了用户终端的应用限制。
附图说明
图1为现有技术中终端内的REE与TEE的示意图；
图2为本发明实施例一提供的针对TEE的密钥写入系统结构示意图；
图3为本发明实施例进行TEE初始化的示意图；
图4为本发明实施例二提供的针对TEE的密钥写入方法示意图；
图5为本发明实施例三提供的针对TEE的密钥写入方法示意图；
图6为本发明实施例四提供的针对TEE的密钥写入方法示意图；
图7为本发明实施例五提供的针对TEE的密钥写入装置结构示意图；
图8为本发明实施例六提供的针对TEE的密钥写入装置结构示意图；
图9为本发明实施例七提供的针对TEE的密钥写入装置结构示意图。
具体实施方式
本发明实施例提出了一种新的安全系统架构，在该系统架构下，用户终端在出厂之前，无需在TEE内预置TEE管理服务平台的管理密钥，而是在用户使用用户终端时，再触发TEE的初始化进程。具体地，通过用户终端与引导服务功能(Bootstrapping ServiceFunction，BSF)平台之间基于通用引导架构(General Bootstrapping Architecture，GBA)的密钥生成过程，以及TEE管理服务平台与用户终端之间的双向认证，建立起TEE管理服务平台与用户终端之间的安全通道，并在建立安全通道后，向TEE的安全域内写入该TEE管理服务平台的管理密钥。由于无需用户终端在出厂之前绑定指定服务方的TEE管理服务平台，从而扩大了用户终端的应用场景，解放了用户终端的应用限制。
下面结合说明书附图对本发明实施例作进一步详细描述。
实施例一
如图2所示，为本发明实施例一提供的针对TEE的密钥写入系统结构示意图，包括：
TEE管理服务平台(Management Server)21，用于向用户终端22发送TEE初始化触发指令；在确认BSF平台23与用户终端22协商生成GBA根密钥后，向该BSF平台23请求获取GBA子密钥；基于获取的GBA子密钥，以及用户终端22公布的TEE证书，与用户终端22进行双向认证；
用户终端22，用于在接收到TEE管理服务平台21的TEE初始化触发指令后，基于GBA，与BSF平台23协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥；基于预置的TEE私钥和TEE证书，以及生成的所述GBA子密钥，与TEE管理服务平台21进行双向认证，并在认证通过后，在TEE的安全域中写入TEE管理服务平台21的管理密钥；
BSF平台23，用于基于GBA，与用户终端22协商生成GBA根密钥；在接收到TEE管理服务平台21发送的获取GBA子密钥的请求消息后，基于所述GBA根密钥生成GBA子密钥，并将生成的GBA子密钥发送给TEE管理服务平台21。
在上述系统架构下，用户终端22可进一步包括：
富执行环境REE模块221，用于接收TEE管理服务平台21的TEE初始化触发指令，并触发通用引导架构GBA模块222启动与引导服务功能BSF平台的协商流程；
GBA模块222，用于基于GBA，与BSF平台23协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥，将该GBA子密钥传输给TEE模块223；
TEE模块223，用于基于预置的TEE私钥和TEE证书，以及GBA模块222生成的GBA子密钥，与TEE管理服务平台21进行双向认证，并在认证通过后，在安全域中写入TEE管理服务平台21的管理密钥。
参见图2，TEE初始化过程如下：
1)、富执行环境REE模块221接收TEE管理服务平台21的TEE初始化触发指令，并触发GBA模块启动与BSF平台的协商流程；
2)、GBA模块222与BSF平台23基于GBA，协商生成GBA根密钥；GBA模块222基于该GBA根密钥(Ks)，按照与BSF平台23预先约定的规则，生成GBA子密钥(Ks_NAF)，传输给TEE模块223；另外，GBA模块222在与BSF平台23协商生成GBA根密钥后，可以向REE模块221反馈确认信息，再通过REE模块221再反馈给TEE管理服务平台21；
3)、TEE管理服务平台21可以在接收到REE模块221反馈的确认信息后，确认BSF平台23已生成GBA根密钥，此时向BSF平台23请求获取GBA子密钥，BSF平台23基于与GBA模块222预先约定的规则生成与TEE模块223获取的GBA子密钥相同的GBA子密钥(Ks_NAF)。
4)、TEE管理服务平台21通过TEE模块223公布的TEE证书，对TEE模块223采用TEE私钥进行的签名进行合法性验证；TEE模块223通过Ks-NAF验证TEE管理服务平台21的合法性。
经过上述过程，就建立起了TEE管理服务平台21与用户终端22的TEE模块223之间的安全通道；通过安全通道的保护，可以向TEE的安全域中写入与TEE管理服务平台21相关联的其它密钥和初始化参数等，完成TEE的初始化过程，如图3所示。
采用本发明实施例一，一方面通过在用户终端内预置TEE私钥和证书来实现TEE管理器服务平台对TEE模块的认证，另一方面，通过GBA模块与BSF平台之间协商生成的GBA子密钥，实现对TEE管理服务平台的认证，从而实现了TEE与管理服务器之间的双向认证。这里的TEE私钥和TEE证书，都是只与TEE相关的初始化参数，无需与TEE管理器服务平台相关联，可以在出厂前预置在终端TEE内；而GBA子密钥(Ks_NAF)，是在用户终端的应用过程中，通过GBA模块与BSF平台之间的协商动态生成的，也无需对用户终端进行任何定制，因此，通过本发明实施例的方式，无需将用户终端与指定的TEE管理器服务平台进行绑定，解放了用户终端的应用限制。同时，本发明实施例也对用户终端提出了新的要求，本发明实施例中的用户终端需要TEE支持新的安全通道类型，支持REE触发TEE初始化过程，需要内置GBA模块，支持GBA模块与TEE模块之间的安全数据传输。同时，需要TEE管理服务平台配合用户终端，支持基于GBA的TEE初始化过程。
基于同一发明构思，本发明实施例中还提供了与上述针对TEE的密钥写入系统对应的针对TEE的密钥写入方法及装置，由于该方法及装置解决问题的原理与上述针对TEE的密钥写入系统解决问题的原理相似，因此该方法及装置的实施可以参见系统的实施，重复之处不再赘述。
实施例二
如图4所示，为本发明实施例二提供的针对TEE的密钥写入方法，包括：
S401：用户终端在接收到TEE管理服务平台的TEE初始化触发指令后，基于通用引导架构GBA，与引导服务功能BSF平台协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥；
S402：基于预置的TEE私钥和TEE证书，以及生成的所述GBA子密钥，与所述TEE管理服务平台进行双向认证，并在认证通过后，在TEE的安全域中写入所述TEE管理服务平台的管理密钥。
可选地，S402中，用户终端基于预置的TEE私钥和TEE证书，以及生成的所述GBA子密钥，与所述TEE管理服务平台进行双向认证，包括：
将预置的TEE证书公布给所述TEE管理服务平台，以使所述TEE管理服务平台基于所述TEE证书对所述用户终端采用TEE私钥进行的签名进行合法性验证；并，基于生成的所述GBA子密钥，对所述TEE管理服务平台进行合法性验证。
实施例三
如图5所示，为本发明实施例三提供的针对TEE的密钥写入方法，包括：
S501：TEE管理服务平台向用户终端发送TEE初始化触发指令；
S502：在确认引导服务功能BSF平台与所述用户终端协商生成通用引导架构GBA根密钥后，向所述BSF平台请求获取GBA子密钥；
S503：基于获取的GBA子密钥，以及所述用户终端公布的TEE证书，与所述用户终端进行双向认证。
可选地，S503中，TEE管理服务平台基于获取的GBA子密钥，以及所用户终端公布的TEE证书，与所述用户终端进行双向认证，包括：
基于所述用户终端公布的TEE证书，对所述用户终端采用TEE私钥进行的签名进行合法性验证，并基于获取的GBA子密钥接受所述用户终端的认证。
实施例四
如图6所示，为本发明实施例四提供的针对TEE的密钥写入方法，包括：
S601：基于通用引导架构GBA，与所述用户终端协商生成GBA根密钥；
S602：在接收到TEE管理服务平台发送的获取GBA子密钥的请求消息后，基于所述GBA根密钥生成GBA子密钥，并将生成的所述GBA子密钥发送给所述TEE管理服务平台。
实施例五
如图7所示，为本发明实施例五提供的针对TEE的密钥写入装置结构示意图，包括：
富执行环境REE模块71，用于接收TEE管理服务平台的TEE初始化触发指令，并触发通用引导架构GBA模块72启动与引导服务功能BSF平台的协商流程；
GBA模块72，用于基于GBA，与引导服务功能BSF平台协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥，将该GBA子密钥传输给TEE模块；
TEE模块73，用于基于预置的TEE私钥和TEE证书，以及所述GBA模块生成的GBA子密钥，与所述TEE管理服务平台进行双向认证，并在认证通过后，在安全域中写入所述TEE管理服务平台的管理密钥。
可选地，所述TEE模块73具体用于：
将所述TEE证书公布给所述TEE管理服务平台，以使所述TEE管理服务平台基于所述TEE证书对所述TEE模块采用所述TEE私钥进行的签名进行合法性验证；并，基于所述GBA模块生成的GBA子密钥，对所述TEE管理服务平台进行合法性验证。
实施例六
如图8所示，为本发明实施例六提供的针对TEE的密钥写入装置结构示意图，包括：
发送模块81，用于向用户终端发送TEE初始化触发指令；
获取模块82，用于在确认引导服务功能BSF平台与所述用户终端协商生成通用引导架构GBA根密钥后，向所述BSF平台请求获取GBA子密钥；
认证模块83，用于基于所述获取模块82获取的GBA子密钥，以及所述用户终端公布的TEE证书，与所述用户终端进行双向认证。
可选地，所述认证模块83具体用于：
基于所述用户终端公布的TEE证书，对所述用户终端采用TEE私钥进行的签名进行合法性验证，并基于获取的GBA子密钥接受所述用户终端的认证。
实施例七
如图9所示，为本发明实施例七提供的针对TEE的密钥写入装置结构示意图，包括：
生成模块91，用于基于通用引导架构GBA，与所述用户终端协商生成GBA根密钥；
发送模块92，用于在接收到TEE管理服务平台发送的获取所述GBA子密钥的请求消息后，基于所述GBA根密钥生成GBA子密钥，并将生成的GBA子密钥发送给所述TEE管理服务平台。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本发明是参照根据本发明实施例的方法、装置(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。
显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (12)

1.一种针对可信执行环境TEE的密钥写入装置，其特征在于，该装置包括：
富执行环境REE模块，用于接收TEE管理服务平台的TEE初始化触发指令，并触发通用引导架构GBA模块启动与引导服务功能BSF平台的协商流程；
GBA模块，用于基于GBA，与BSF平台协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥，将该GBA子密钥传输给TEE模块；
TEE模块，用于基于预置的TEE私钥和TEE证书，以及所述GBA模块生成的GBA子密钥，与所述TEE管理服务平台进行双向认证，并在认证通过后，在安全域中写入所述TEE管理服务平台的管理密钥。
2.如权利要求1所述的装置，其特征在于，所述TEE模块具体用于：
将所述TEE证书公布给所述TEE管理服务平台，以使所述TEE管理服务平台基于所述TEE证书对所述TEE模块采用所述TEE私钥进行的签名进行合法性验证；并，基于所述GBA模块生成的GBA子密钥，对所述TEE管理服务平台进行合法性验证。
3.一种针对可信执行环境TEE的密钥写入装置，其特征在于，该装置包括：
发送模块，用于向用户终端发送TEE初始化触发指令；
获取模块，用于在确认引导服务功能BSF平台与所述用户终端协商生成通用引导架构GBA根密钥后，向所述BSF平台请求获取GBA子密钥；
认证模块，用于基于所述获取模块获取的GBA子密钥，以及所述用户终端公布的TEE证书，与所述用户终端进行双向认证。
4.如权利要求3所述的装置，其特征在于，所述认证模块具体用于：
基于所述用户终端公布的TEE证书，对所述用户终端采用TEE私钥进行的签名进行合法性验证，并基于获取的GBA子密钥接受所述用户终端的认证。
5.一种针对可信执行环境TEE的密钥写入装置，其特征在于，该装置包括：
生成模块，用于基于通用引导架构GBA，与用户终端协商生成GBA根密钥；
发送模块，用于在接收到TEE管理服务平台发送的获取GBA子密钥的请求消息后，基于所述GBA根密钥生成GBA子密钥，并将生成的GBA子密钥发送给所述TEE管理服务平台。
6.一种针对可信执行环境TEE的密钥写入系统，其特征在于，该系统包括：
TEE管理服务平台，用于向用户终端发送TEE初始化触发指令；在确认引导服务功能BSF平台与所述用户终端协商生成通用引导架构GBA根密钥后，向所述BSF平台请求获取GBA子密钥；基于获取的GBA子密钥，以及所述用户终端公布的TEE证书，与所述用户终端进行双向认证；
用户终端，用于在接收到所述TEE管理服务平台的TEE初始化触发指令后，基于GBA，与所述BSF平台协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥；基于预置的TEE私钥和TEE证书，以及生成的所述GBA子密钥，与所述TEE管理服务平台进行双向认证，并在认证通过后，在TEE的安全域中写入所述TEE管理服务平台的管理密钥；
引导服务功能BSF平台，用于基于GBA，与所述用户终端协商生成GBA根密钥；在接收到所述TEE管理服务平台发送的获取GBA子密钥的请求消息后，基于所述GBA根密钥生成GBA子密钥，并将生成的GBA子密钥发送给所述TEE管理服务平台。
7.如权利要求6所述的系统，其特征在于，
所述TEE管理服务平台具体用于：基于所述用户终端公布的TEE证书，对所述用户终端采用TEE私钥进行的签名进行合法性验证，并基于获取的GBA子密钥接受所述用户终端的认证；
所述用户终端具体用于：将预置的TEE证书公布给所述TEE管理服务平台；并基于生成的GBA子密钥，对所述TEE管理服务平台进行合法性验证。
8.一种针对可信执行环境TEE的密钥写入方法，其特征在于，该方法包括：
用户终端在接收到TEE管理服务平台的TEE初始化触发指令后，基于通用引导架构GBA，与引导服务功能BSF平台协商生成GBA根密钥，并基于该GBA根密钥生成GBA子密钥；
基于预置的TEE私钥和TEE证书，以及生成的所述GBA子密钥，与所述TEE管理服务平台进行双向认证，并在认证通过后，在TEE的安全域中写入所述TEE管理服务平台的管理密钥。
9.如权利要求8所述的方法，其特征在于，基于预置的TEE私钥和TEE证书，以及生成的所述GBA子密钥，与所述TEE管理服务平台进行双向认证，包括：
将预置的TEE证书公布给所述TEE管理服务平台，以使所述TEE管理服务平台基于所述TEE证书对用户终端采用TEE私钥进行的签名进行合法性验证；并，基于生成的所述GBA子密钥，对所述TEE管理服务平台进行合法性验证。
10.一种针对可信执行环境TEE的密钥写入方法，其特征在于，该方法包括：
TEE管理服务平台向用户终端发送TEE初始化触发指令；
在确认引导服务功能BSF平台与所述用户终端协商生成通用引导架构GBA根密钥后，向所述BSF平台请求获取GBA子密钥；
基于获取的GBA子密钥，以及所述用户终端公布的TEE证书，与所述用户终端进行双向认证。
11.如权利要求10所述的方法，其特征在于，所述TEE管理服务平台基于获取的GBA子密钥，以及所用户终端公布的TEE证书，与所述用户终端进行双向认证，包括：
基于所述用户终端公布的TEE证书，对所述用户终端采用TEE私钥进行的签名进行合法性验证，并基于获取的GBA子密钥接受所述用户终端的认证。
12.一种针对可信执行环境TEE的密钥写入方法，其特征在于，该方法包括：
基于通用引导架构GBA，与用户终端协商生成GBA根密钥；
在接收到TEE管理服务平台发送的获取GBA子密钥的请求消息后，基于所述GBA根密钥生成GBA子密钥，并将生成的所述GBA子密钥发送给所述TEE管理服务平台。
CN201510471735.7A 2015-08-04 2015-08-04 一种针对可信执行环境的密钥写入装置、系统及方法 Active CN106453196B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510471735.7A CN106453196B (zh) 2015-08-04 2015-08-04 一种针对可信执行环境的密钥写入装置、系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510471735.7A CN106453196B (zh) 2015-08-04 2015-08-04 一种针对可信执行环境的密钥写入装置、系统及方法

Publications (2)

Publication Number Publication Date
CN106453196A CN106453196A (zh) 2017-02-22
CN106453196B true CN106453196B (zh) 2020-01-07

Family

ID=59216333

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510471735.7A Active CN106453196B (zh) 2015-08-04 2015-08-04 一种针对可信执行环境的密钥写入装置、系统及方法

Country Status (1)

Country Link
CN (1) CN106453196B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114499851A (zh) * 2022-01-30 2022-05-13 重庆长安汽车股份有限公司 一种基于端云一体化实现安全灌装根密钥的方法

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10528749B2 (en) * 2017-03-20 2020-01-07 Huawei Technologies Co., Ltd. Methods and apparatus for containerized secure computing resources
CN110326266B (zh) * 2017-09-18 2020-12-04 华为技术有限公司 一种数据处理的方法及装置
CN108108631A (zh) * 2017-11-29 2018-06-01 晨星半导体股份有限公司 一种根密钥处理方法及相关装置
CN109905350B (zh) * 2017-12-08 2022-08-12 阿里巴巴集团控股有限公司 一种数据传输方法及系统
CN108155986A (zh) * 2017-12-14 2018-06-12 晶晨半导体(上海)股份有限公司 一种基于可信执行环境的密钥烧录系统及方法
CN110011956B (zh) * 2018-12-12 2020-07-31 阿里巴巴集团控股有限公司 一种数据处理方法和装置
CN112910826B (zh) * 2019-12-03 2022-08-23 中国移动通信有限公司研究院 一种初始配置方法及终端设备
CN112311539A (zh) * 2020-10-30 2021-02-02 中电智能技术南京有限公司 一种基于gba机制发放证书的方法
CN113946375B (zh) * 2021-10-19 2024-12-03 珠海全志科技股份有限公司 嵌入式系统快速安全启动方法、装置及电子设备
CN114257382B (zh) * 2022-01-30 2024-06-11 支付宝(杭州)信息技术有限公司 密钥管理和业务处理方法、装置及系统

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102783115A (zh) * 2010-02-09 2012-11-14 交互数字专利控股公司 用于可信联合标识的方法和装置
CN103856485A (zh) * 2014-02-14 2014-06-11 武汉天喻信息产业股份有限公司 可信用户界面安全指示器的初始化系统及方法
CN104010044A (zh) * 2014-06-12 2014-08-27 北京握奇数据系统有限公司 基于可信执行环境技术的应用受限安装方法、管理器和终端
CN104125216A (zh) * 2014-06-30 2014-10-29 华为技术有限公司 一种提升可信执行环境安全性的方法、系统及终端
CN104125226A (zh) * 2014-07-28 2014-10-29 北京握奇智能科技有限公司 一种锁定和解锁应用的方法、装置及系统
CN104754552A (zh) * 2013-12-25 2015-07-01 中国移动通信集团公司 一种可信执行环境tee初始化方法及设备

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8190893B2 (en) * 2003-10-27 2012-05-29 Jp Morgan Chase Bank Portable security transaction protocol
US8931068B2 (en) * 2012-10-22 2015-01-06 Verizon Patent And Licensing Inc. Authentication process

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102783115A (zh) * 2010-02-09 2012-11-14 交互数字专利控股公司 用于可信联合标识的方法和装置
CN104754552A (zh) * 2013-12-25 2015-07-01 中国移动通信集团公司 一种可信执行环境tee初始化方法及设备
CN103856485A (zh) * 2014-02-14 2014-06-11 武汉天喻信息产业股份有限公司 可信用户界面安全指示器的初始化系统及方法
CN104010044A (zh) * 2014-06-12 2014-08-27 北京握奇数据系统有限公司 基于可信执行环境技术的应用受限安装方法、管理器和终端
CN104125216A (zh) * 2014-06-30 2014-10-29 华为技术有限公司 一种提升可信执行环境安全性的方法、系统及终端
CN104125226A (zh) * 2014-07-28 2014-10-29 北京握奇智能科技有限公司 一种锁定和解锁应用的方法、装置及系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114499851A (zh) * 2022-01-30 2022-05-13 重庆长安汽车股份有限公司 一种基于端云一体化实现安全灌装根密钥的方法
CN114499851B (zh) * 2022-01-30 2023-05-26 重庆长安汽车股份有限公司 一种基于端云一体化实现安全灌装根密钥的方法

Also Published As

Publication number Publication date
CN106453196A (zh) 2017-02-22

Similar Documents

Publication Publication Date Title
CN106453196B (zh) 一种针对可信执行环境的密钥写入装置、系统及方法
US10601801B2 (en) Identity authentication method and apparatus
EP3424195B1 (en) Encrypted password transport across untrusted cloud network
JP6797828B2 (ja) クラウドベースの暗号化マシン鍵インジェクションの方法、装置、及びシステム
US11748498B2 (en) Information processing device, information processing method, and distributed component
CN109479049B (zh) 用于密钥供应委托的系统、设备和方法
CN106295393B (zh) 电子处方操作方法、装置及系统
US9467430B2 (en) Device, method, and system for secure trust anchor provisioning and protection using tamper-resistant hardware
CN110784491A (zh) 一种物联网安全管理系统
CN103152366B (zh) 获得终端权限的方法、终端及服务器
EP3001598B1 (en) Method and system for backing up private key in electronic signature token
CN110635901B (zh) 用于物联网设备的本地蓝牙动态认证方法和系统
WO2019110018A1 (zh) 通信网络系统的消息验证方法、通信方法和通信网络系统
CN104821944A (zh) 一种混合加密的网络数据安全方法及系统
KR20080041220A (ko) 분산된 단일 서명 서비스 방법
TWI636373B (zh) Method and device for authorizing between devices
CN109922027B (zh) 一种可信身份认证方法、终端及存储介质
CN104038486A (zh) 一种基于标识型密码实现用户登录鉴别的系统及方法
CN104202163A (zh) 一种基于移动终端的密码系统
CN106060078A (zh) 应用于云平台的用户信息加密方法、注册方法及验证方法
JP5827724B2 (ja) データを入力する方法と装置
CN110838919A (zh) 通信方法、存储方法、运算方法及装置
JP5324813B2 (ja) 鍵生成装置、証明書生成装置、サービス提供システム、鍵生成方法、証明書生成方法、サービス提供方法およびプログラム
CN107248997B (zh) 多服务器环境下基于智能卡的认证方法
CN111600903A (zh) 一种通信方法、系统、设备及可读存储介质

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant