[发明专利]用于控制对安全计算资源的访问的方法和装置

权利要求书

1.一种计算设备，其特征在于，包括：

处理器，用于提供：

第一操作系统，可访问第一存储器；

第二操作系统，可访问用于安全计算资源的第二存储器，所述第二存储器不能被所述第一操作系统中的应用访问；

可在所述第一操作系统内执行的第一软件模块，用于从所述第一操作系统中的应用接收访问所述安全计算资源的访问请求，并在添加访问凭证之后将所述访问请求传递给所述第二操作系统；所述访问凭证包含在第一数据结构中；

可在所述第二操作系统内执行的第二软件模块，用于接收具有访问凭证的所述访问请求，将所述访问请求中的访问凭证与所述安全计算资源的访问要求进行比较，如果所述访问凭证符合所述访问要求，则有选择性地将所述请求传递给所述安全计算资源；所述安全计算资源的访问请求是由第二数据结构定义的。

2.根据权利要求1所述的计算设备，其特征在于，所述访问请求包括用于返回安全数据的请求。

3.根据权利要求1所述的计算设备，其特征在于，所述访问请求包括使用所述安全计算资源执行操作的请求。

4.根据权利要求1至3中任一项所述的计算设备，其特征在于，所述第一数据结构包含与所述第一操作系统中的应用相对应的访问凭证，并且其中所述第一软件模块用于基于所述请求发起的应用，为每个所述访问请求添加访问凭证。

5.根据权利要求4所述的计算设备，其特征在于，所述访问凭证包括在安装时分配给所述应用的值。

6.根据权利要求5所述的计算设备，其特征在于，所述值是在安装时生成的标识值。

7.根据权利要求5所述的计算设备，其特征在于，所述访问凭证包括分配给一组应用的组值。

8.根据权利要求4所述的计算设备，其特征在于，所述安全计算资源包括所述第二操作系统中的可信应用，所述第二数据结构包括与每个所述可信应用相对应的访问要求。

9.根据权利要求8所述的计算设备，其特征在于，所述第一和第二数据结构包括在安装时分配给所述第一操作系统中的客户端应用的访问凭证，所述第一数据结构定义每个所述客户端应用与对应的访问凭证之间的关系，并且其中所述访问要求包括所述访问凭证中的一些凭证。

10.根据权利要求1至3中任一项所述的计算设备，其特征在于，所述第一软件模块包括驱动器。

11.根据权利要求10所述的计算设备，其特征在于，所述第一操作系统定义富执行环境，所述第二操作系统定义可信执行环境，每种环境由Global Platform TEE系统架构定义。

12.一种包括第一操作系统和具有安全资源的第二操作系统的计算设备上的访问控制方法，其特征在于，所述方法包括：

在所述第一操作系统的第一软件模块中：

从所述第一操作系统中的应用接收对安全资源的请求；

向所述请求添加访问凭证；所述访问凭证是写入在第一数据结构的；

将具有所述访问凭证的所述请求传递给所述第二操作系统；

在所述第二操作系统的第二软件模块中：

接收具有访问凭证的所述请求；

将所述访问凭证与所述安全资源的访问要求进行比较；所述安全资源的访问要求是由第二数据结构定义的；

如果所述凭证符合所述要求，则有选择地将所述请求传递给所述安全资源。

13.根据权利要求12所述的方法，其特征在于，所述请求包括从安全资源返回数据的请求。

14.根据权利要求12所述的方法，其特征在于，所述请求包括使用安全资源执行操作的请求。