[发明专利]基于可信执行环境中虚拟安全元件的安全系统实现方法

摘要

一种信息安全领域的基于可信执行环境中虚拟安全元件的安全系统实现方法，通过在Rich OS内置的通道管理和访问控制模块中增加对可信执行环境访问的终端，并移除针对访问可信执行环境的访问控制处理，然后在可信执行环境中设置一个向Rich OS中的应用提供统一访问接口的安全管理模块和至少一个虚拟安全元件，通过安全管理模块接收所有来自Rich OS中的应用的访问请求，从而实现对系统安全性的改进。本发明简化了现有系统结构的同时，显著提高了系统安全性；每个虚拟安全元件内设虚拟机使得易用性及可移植性显著提高。

主权项

一种基于可信执行环境中虚拟安全元件的安全系统实现方法，其特征在于，通过在Rich OS内置的通道管理和访问控制模块中增加对可信执行环境访问的终端，并移除针对访问可信执行环境的访问控制处理，然后在可信执行环境中设置一个向Rich OS中的应用提供统一访问接口的安全管理模块和至少一个支持统一的证书管理功能的虚拟安全元件作为安全系统，通过安全管理模块接收所有来自Rich OS中的应用的访问请求，从而实现对系统安全性的改进；所述的虚拟安全元件包括：安全文件系统、安全存储单元、加密解密单元、图形界面接口、虚拟机、应用管理单元以及权限管理单元，其中：安全文件系统通过虚拟机与安全应用相连并接收数据保存请求，实现不同安全应用生成的文件仅对该安全应用可见，安全存储单元通过虚拟机与安全应用相连并接收证书或密钥保存请求，加密解密单元与通过虚拟机与安全应用相连并接收数据加密解密请求，图形界面接口通过虚拟机与安全应用相连并接收图形数据信息以提供安全的人机界面；所述的安全管理模块在可信执行环境初始化或收到初次请求时，从源数据中读入并解析访问控制规则集合，具体步骤为：1)访问控制模块遍历可信执行环境内虚拟安全元件，读取其中的访问控制应用；2)当虚拟安全元件中不存在访问控制应用时，则设置访问规则为空，即无需访问控制处理，否则读取该访问控制应用中持有的访问控制规则；3)访问控制模块将访问控制规则分类，优化后保存在访问控制规则的缓存中，供后续访问时判断权限使用，完成初始化。