[发明专利]一种基于双隔离的安全显示系统及方法

权利要求书

1.一种基于双隔离的安全显示系统，其特征在于，利用TrustZone技术实现一个可信执行环境，然后利用TrustZone的隔离技术和内存水印技术，实现一个隔离计算环境，将图形显示库和触摸驱动代码从普通计算环境中隔离出来，利用可信执行环境中安全监控模块和中断配置模块实现普通计算环境和隔离计算环境间的切换，从而实现可信的安全显示功能；

具体包括：安全代理模块、安全监控模块、中断配置模块、图形显示库和触摸屏驱动模块；中断配置模块和安全监控模块位于可信执行环境中，由TrustZone进行保护，属于高安全级别；图形显示库和触摸屏驱动模块运行在隔离计算环境中，属于中安全级别；安全代理模块处于普通计算环境中，属于低安全级别；这就实现双隔离三级安全架构，在不影响可信执行环境中代码量的情况下，实现对隔离执行环境的扩展，减小攻击面，为用户提供可信的安全显示系统；其中：

安全代理模块：接收来自普通计算环境中的应用程序的请求，进行检查和过滤，将合法的请求转发到安全监控模块；所述合法的请求为符合函数调用语法规范；

安全监控模块：接受来自安全代理模块和隔离计算环境的请求，然后根据Android系统的状态，对请求进行相应的处理，决定是否需要中断配置模块执行普通计算环境和隔离执行环境间的切换，提高安全性；

中断配置模块：执行普通计算环境和隔离计算环境间的切换；从普通计算环境切换到隔离计算环境之前，先将CPU的状态信息、寄存器和内存映射信息保存到安全内存中，清除掉当前运行环境的CPU状态信息、寄存器和内存映射信息，然后再执行切换，当切换回普通计算环境时，将保存在安全内存中的状态信息还原；

图形显示库：用于实现安全显示的功能，当实现了安全显示之后，请求安全代理模块，切换到普通计算环境；

触摸屏驱动模块：用于实现安全显示中的安全交互的功能，当实现了安全显示之后，请求安全代理模块，切换到普通计算环境。

2.一种执行如权利要求1所述的基于双隔离的安全显示系统的方法，其特征在于，包括以下步骤：

（1）请求代理：普通计算环境中的应用程序在需要使用安全显示功能时，会将这一请求发送到位于普通计算环境中的安全代理模块；

（2）请求转发：安全代理模块接受到请求之后，会检查请求是否合法，对于合法的请求，将其转发到位于可信执行环境中的安全监控模块；所述合法的请求为符合函数调用语法规范；

（3）状态检查：安全监控模块接收到来自安全代理模块转发的请求后，检查Android系统的安全状态，安全状态包括CPU的安全状态，寄存器和内存映射信息，如果Android系统处于安全状态，则将请求中断配置模块执行中断配置和环境切换，切换到隔离计算环境；

（4）中断配置：将Android系统的CPU的状态信息、寄存器和内存映射信息保存到安全内存中，清除掉Android系统中的CPU状态信息、寄存器和内存映射信息，然后从普通计算环境切换到隔离计算环境；

（5）安全显示：利用隔离计算环境中的图形显示库和触摸屏驱动模块实现安全显示的功能；

（6）请求切换：执行完安全显示后，位于隔离计算环境中的图形显示库和触摸屏驱动模块请求位于可信执行环境中的安全监控模块，切换回位于普通计算环境中的应用程序中；

（7）状态检查：安全监控模块接收到来自隔离计算环境中的图形显示库和触摸屏驱动模块的请求后，检查Android系统的安全状态，所述安全状态包括CPU的安全状态，寄存器和内存映射信息，如果Android系统处于安全状态，则将请求中断配置模块执行中断配置和环境切换，切换到普通计算环境；

（8）中断配置：将Android系统的CPU的状态信息、寄存器和内存映射信息保存到安全内存中，清除掉CPU状态信息、寄存器和内存映射信息，然后从隔离计算环境切换到普通计算环境。