[发明专利]支持TEE扩展的安全存储实现方法及系统

权利要求书

1.一种支持TEE扩展的安全存储实现方法，其特征在于实施步骤包括：

1）获取RPMB分区的鉴权主密钥Key_RPMB；

2）基于鉴权主密钥Key_RPMB实现层级秘钥体制的加密存储：在可信执行环境TEE的内核层，利用指定的秘钥生成算法基于鉴权主密钥Key_RPMB生成生成一个根秘钥Key_R以用于内核层的加解密，且在可信执行环境TEE的生命周期中，根秘钥Key_R一直存在于安全内存和内核态地址空间；在可信执行环境TEE的应用层，针对每一个可信应用TA基于该可信应用TA的通用唯一识别码UUID、根秘钥Key_R生成该可信应用TA所独有的存储秘钥Key_A以用于属于该可信应用TA的文件存储加密和解密；在可信执行环境TEE的文件层，针对每一个文件基于所属可信应用TA的存储秘钥Key_A生成独立的秘钥Key_F以用于该文件的写入加密和读取解密。

2.根据权利要求1所述的支持TEE扩展的安全存储实现方法，其特征在于，步骤1）的详细步骤包括：

1.1）获取CPU的PUF函数电路的读取值；

1.2）将PUF函数电路的读取值、常规存储器中存储的辅助数据Data_KA进行异或操作；

1.3）将异或操作结果进行指定的解码操作得到种秘钥Key_S；

1.4）将种秘钥Key_S通过指定的加密处理得到鉴权主密钥Key_RPMB。

3.根据权利要求2所述的支持TEE扩展的安全存储实现方法，其特征在于，步骤1.3）中指定的解码操作为BCH解码。

4.根据权利要求2所述的支持TEE扩展的安全存储实现方法，其特征在于，步骤1.4）中指定的加密处理具体是指利用安全规范中所定义的密钥导出函数KDF进行加密处理。

5.根据权利要求2所述的支持TEE扩展的安全存储实现方法，其特征在于，步骤1）之前还包括出厂时生成鉴权主密钥Key_RPMB的步骤：

S1）随机选择种秘钥Key_S；

S2）将种秘钥Key_S通过指定的加密处理得到鉴权主密钥Key_RPMB；并写入存储器RPMB分区的一次性密钥寄存器；

S3）将种秘钥Key_S进行指定的编码操作，且该指定的编码操作为步骤1.3）中指定的解码操作的逆操作；获取CPU的PUF函数电路的读取值，并将编码操作结果和PUF函数电路的读取值进行异或操作得到辅助数据Data_KA，最后销毁种秘钥Key_S，并将辅助数据Data_KA保存到设备的常规存储器中持久存储。

6.根据权利要求5所述的支持TEE扩展的安全存储实现方法，其特征在于，还包括更换常规存储器后执行步骤S1）～S3）以更新鉴权主密钥Key_RPMB的步骤。

7.一种支持TEE扩展的安全存储实现系统，其特征在于，该安全存储实现系统被编程或配置以执行权利要求1～6中任意一项所述支持TEE扩展的安全存储实现方法的步骤。

8.一种支持TEE扩展的安全存储实现系统，包括计算机设备，其特征在于，该计算机设备被编程或配置以执行权利要求1～6中任意一项所述支持TEE扩展的安全存储实现方法的步骤，或该计算机设备的存储器上存储有被编程或配置以执行权利要求1～6中任意一项所述支持TEE扩展的安全存储实现方法的计算机程序。

9.一种计算机可读存储介质，其特征在于，该计算机可读存储介质上存储有被编程或配置以执行权利要求1～6中任意一项所述支持TEE扩展的安全存储实现方法的计算机程序。