[发明专利]一种基于TrustZone的安全加密存储系统及方法

权利要求书

1.一种基于TrustZone的安全加密存储系统，应用于移动设备，所述移动设备被预先划分为可信执行环境和普通执行环境，所述可信执行环境中增加安全模块；其特征在于：所述安全模块包括数据接口、编解码模块、加密认证模块、安全等级划分模块、确定模块和存储模块，其中，

所述数据接口，用于接收来自普通执行环境的可信服务请求，解析命令数据，并将API传入的编码数据传递给编解码模块；

所述编解码模块，对接收的数据参数进行解码处理，并发送到加密认证模块；

加密认证模块，用于对敏感数据进行加密、签名和认证操作得到加密数据，并发送到安全等级划分模块中；

安全等级划分模块，用于划分所述加密数据的安全等级，并发送到确定模块；

确定模块，用于对所述加密数据进行存储时，根据所述安全等级确定所述加密数据存储于所述可信执行环境还是硬件加密芯片；

存储模块，用于接收确定模块的指令，对加密数据进行写入。

2.根据权利要求1所述的一种基于TrustZone的安全加密存储系统，其特征在于：所述加密认证模块包括配制子模块、数字证书签名子模块和数字证书验签子模块，所述配制子模块连接所述编解码模块和数字证书签名子模块；所述数字证书验签子模块连接所述安全等级划分模块；

所述配制子模块，用于在移动设备预先配制数字证书系统；

所述数字证书签名子模块，用于针对用户请求使用数字证书私钥进行签名；

所述数字证书验签子模块，用于认证请求的用户的身份并保证用户不可抵赖所述请求，认证方式包括验证所述数字证书的合法性及有效性、所述签名的完整性及正确性。

3.根据权利要求1所述的一种基于TrustZone的安全加密存储系统，其特征在于：所述用户敏感数据包括用户账户信息、个人隐私信息、支付订单信息及企业私密文件中的一种或多种。

4.根据权利要求1所述的一种基于TrustZone的安全加密存储系统，其特征在于：所述移动设备为手机或平板电脑。

5.一种基于TrustZone的安全加密存储方法，其特征在于：应用于移动设备，所述移动设备被预先划分为可信执行环境和普通执行环境，所述可信执行环境中增加安全模块，用于对用户敏感数据进行加密，并将加密数据保存在所述可信执行环境中；所述普通执行环境提供普通操作系统运行，普通操作系统调用普通应用程序运行，该方法包括如下步骤：

S1、数据接口接收来自普通执行环境的可信服务请求，解析命令数据，并将API传入的编码数据传递给编解码模块；

S2、编解码模块对接收的数据参数进行解码处理，并发送到加密认证模块；

S3、加密认证模块对敏感数据进行加密、签名和认证操作得到加密数据，并发送到安全等级划分模块中；

S4、安全等级划分模块划分所述加密数据的安全等级，并发送到确定模块；

S5、确定模块对所述加密数据进行存储时，根据所述安全等级确定所述加密数据存储于所述可信执行环境还是硬件加密芯片；

S6、存储模块接收确定模块的指令，并对加密数据进行写入。

6.根据权利要求5所述的一种基于TrustZone的安全加密存储方法，其特征在于：所述步骤S3中，加密认证模块的加密认证方法包括：预先在移动设备配制数字证书系统；针对用户请求使用数字证书私钥进行签名；认证请求的用户的身份并保证用户不可抵赖所述请求，认证方式包括验证所述数字证书的合法性及有效性、所述签名的完整性及正确性。

7.根据权利要求5所述的一种基于TrustZone的安全加密存储方法，其特征在于：所述用户敏感数据包括用户账户信息、个人隐私信息、支付订单信息及企业私密文件中的一种或多种。

8.根据权利要求5所述的一种基于TrustZone的安全加密存储方法，其特征在于：所述移动设备为手机或平板电脑。