[发明专利]一种基于TEE进行HTTPS协议传输的方法及系统

说明书

本发明实施例提供一种基于TEE进行HTTPS协议传输的方法及系统。该方法包括：客户端发起连接请求；服务器向客户端返回请求回应；对请求回应进行验证，并向TEE隔离区进程发送公钥；TEE隔离区生成随机信息，并用公钥加密后返回，客户端将公钥加密后的随机信息发送至服务器；服务器和TEE隔离区进程生成相同的秘钥，所述TEE外部无法生成密钥；服务器与客户端握手完成网路连接，服务器与TEE隔离区进程基于秘钥进行加密数据传输。本发明实施例通过在TEE对敏感数据保护的基础上，在HTTPS协议密钥交换层面用TEE保证了通信链路无法被TEE宿主机窥探，从而实现了服务器无感的敏感数据加密传输，缩小敏感信息泄露可能。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于TEE进行HTTPS协议传输的方法及系统。

背景技术

HTTPS已经成为了绝大多数服务器到WEB浏览器以及服务器到服务器间的主要数据传输协议。目前大多应用程序接口(API)的调用均基于了HTTPS协议。HTTPS协议通过在两个进程间(远程的)进行四次握手完成秘钥交换，确保了进程到进程间数据加密传输。

而在一些应用场景中，如隐私数据的处理、敏感数据的机器学习等，往往需要服务器端确保无法盗取和泄露数据。但近年来隐私数据泄露事件层出不穷，互联网用户信息泄露容易受到诈骗和骚扰，互联网服务提供商也因此承担法律风险，因此有不少互联网服务提供商使用TEE(Trusted ExecutionEnvironment，可信执行环境)技术来保护和处理用户数据。

出于安全考虑，TEE的输入输出(I/O)收到限制，网络I/O无法在TEE内发起调用。这就导致TEE内的敏感数据无法通过HTTPS调用加密的抵达目标服务器。当敏感数据需要在服务器之间传输时，目前的做法往往需要在TEE内把敏感数据传出存储器屏蔽区，然后由TEE外部操作系统向目标服务器发起HTTPS请求，这样就会导致机密数据暴露在原服务器端，这样TEE也就失去了作用。

为了保证隐私数据的安全，需要提出一种新的基于TEE的网络传输方法。

发明内容

本发明实施例提供一种基于TEE进行HTTPS协议传输的方法及系统，用以解决现有技术中需要传输敏感数据时，将敏感数据暴露在原服务器端，存在安全隐患的缺陷。

第一方面，本发明实施例提供一种基于TEE进行HTTPS协议传输的方法，包括：

客户端发起连接请求；

服务器接收所述连接请求并向所述客户端返回请求回应；

所述客户端对所述请求回应进行验证，并向TEE隔离区进程发送所述服务器的公钥；

所述TEE隔离区进程接收到所述公钥后，生成随机信息，并将所述随机信息用所述公钥加密后返回至所述客户端，所述客户端将经过所述公钥加密后的所述随机信息发送至所述服务器；

基于所述连接请求、所述请求回应和所述随机信息，所述服务器和所述TEE隔离区进程生成相同的秘钥，所述TEE隔离区进程外部无法生成秘钥；

所述服务器使用预设指令加密指定消息，将所述指定消息发送给所述客户端；

所述服务器与所述客户端执行HTTPS握手，完成网路连接，所述服务器与所述TEE隔离区进程基于所述秘钥，在所述网络连接上进行加密数据传输。

优选地，所述连接请求包括支持协议版本、支持加密及压缩算法和第一随机数。

优选地，所述请求回应包括证书信息、第二随机数、预设发送消息、确定的加密协议和加密算法。

优选地，所述证书信息包括证书颁发机构名称、证书数字签名、证书持有者公钥和证书签名所使用Hash算法。

优选地，所述随机信息包括第三随机数。