[发明专利]客户端认证方法及计算机可读存储介质

说明书

本发明公开了一种客户端认证方法及计算机可读存储介质，方法包括：开发主机生成一对对应的公钥和私钥，并将公钥保存到安全操作系统中；使用私钥对客户端软件进行加密和签名，得到加密后的客户端软件以及数字签名；安全操作系统使用公钥对加密后的客户端软件和数字签名进行解密，得到客户端软件和第一摘要值；对解密得到的客户端软件进行摘要运算，得到第二摘要值；若第一摘要值与第二摘要值一致，则判定认证成功。本发明同时通过客户端软件和数字签名进行身份认证，有效保证了安全性；由安全操作系统加载客户端软件，并认证和启动客户端软件，可以有效地防止非法客户端软件链接上服务端软件。

技术领域

本发明涉及trustzone技术领域，尤其涉及一种客户端认证方法及计算机可读存储介质。

背景技术

Trustzone技术是ARM处理器上的一种可信区域技术，该技术可以把处理器上的硬件资源和软件资源划分成两个运行环境：可信环境和非可信环境。可信环境下运行一个安全操作系统，非可信环境下运行一个普通操作系统。使用trustzone技术可以把重要的资源放在可信环境下，因为非可信环境下的普通操作系统无法访问可信环境下的资源，这样可以保证重要资源免受来自普通环境下的恶意攻击。如果普通操作系统的软件需要访问可信环境下的资源，就需要间接的通过可信环境下的安全操作系统的软件来完成安全资源访问，这里把运行在普通操作系统的软件称为客户端软件，而运行在安全操作系统下的软件称为服务端软件，安全操作系统和普通操作系统之间的通信是通过处理器上的共享内存实现。

客户端软件在请求服务端软件完成某种安全操作之前，首先需要链接上对应的服务端软件，同时服务端软件只接受来自合法身份的客户端软件的访问请求，所以在客户端软件链接上服务端软件之前，安全操作系统需要验证客户端软件的身份合法性，认证通过后，客户端才能和服务端进行通信请求。

目前身份认证方法主要有：

1、密码方式。即客户端软件发送一段密码给服务端软件，服务端软件根据密码的正确性来判断客户端的合法性。如果密码不是手动方式输入，就需要在设备上存储密码，存储在设备上的密码很容易被破解或者盗取。

2、认证中心方式。客户端软件需要从网络认证中心获取数字证书，再把数字证书发送给服务端，服务端再根据这个数字证书进行认证。这种方式需要引入第三方认证中心，对设备及环境要求较高，认证过程需要处于联网状态。

3、客户端和服务端互相认证方式。这种方法实质上是方式2，客户端和服务端持有代表各自身份的数字证书(可能是由第三方认证中心颁布给客户端和服务端的，客户端和服务端各自保存)，然后客户端和服务端把各自的数字证书发送给对方，通过接收到的数字证书来验证彼此之间的合法性。

在公开号为CN105959286A的中国专利公开文件中，公开了基于证书密钥缓存的快速身份认证方法，客户端把自身的数字证书发送给服务端，服务端通过存储的证书链来判断这个数字证书的合法性从而判断客户端的合法性，其特征有两个：其一，客户端在通过认证之前已经可以运行，即客户端先运行后认证；其二，客户端只发送数字证书给服务端，服务端只根据这个数字证书来判断客户端的合法性。这种方式适合于远程认证方式，但是存在一个隐患，就是如果运行客户端的设备上同时有一个流氓软件，这个流氓软件可以窃取客户端的数字证书，流氓软件就可以给服务端发送这个数字证书，而服务端可以认为当前的流氓软件是合法的。因此，该方案无法保证安全性。

发明内容

本发明所要解决的技术问题是：提供一种客户端认证方法及计算机可读存储介质，适用于处于单机状态下的客户端身份认证，且不失安全性。

为了解决上述技术问题，本发明采用的技术方案为：一种基于trustzone的客户端认证方法，包括：

开发主机生成一对对应的公钥和私钥，并将所述公钥保存到安全操作系统中；

使用所述私钥对客户端软件进行加密和签名，得到加密后的客户端软件以及所述客户端软件的数字签名；