[发明专利]一种基于双隔离的安全显示系统及方法

说明书

本发明涉及一种基于双隔离的安全显示系统及方法，主要包括：位于可信执行环境中的安全监控模块和中断配置模块；位于隔离计算环境中的图形显示库和触摸屏驱动；位于普通计算环境中的安全代理模块和应用程序；本发明在TrustZone技术的基础上，利用TrustZone的隔离技术和内存水印技术，将不同的安全级别代码隔离在不同的地址空间，实现了安全执行环境和非安全执行环境的隔离和监控，在敏感场景下为用户提供可信的安全显示界面和交互功能，具有实用性、通用性，强安全性等优势。

技术领域

本发明涉及一种基于双隔离的安全显示系统及方法，属于移动终端设备的数据安全领域。

背景技术

随着移动互联网技术的发展，移动智能终端的普及，移动智能终端处理的业务已经从传统的通信，逐步发展到办公、支付等高敏感的业务场景。这些敏感场景包括但不限于：用户在移动智能终端上通过付款码进行在线支付，通过网上银行查询账户信息等。恶意应用可以利用任务栈劫持等技术，显示虚假界面，达到其欺骗用户，获取用户隐私账号信息等恶意目的，这就需要在敏感场景下提供可信的安全显示系统与方法。

TrustZone技术：ARM TrustZone是ARM处理器提供的安全硬件拓展技术，提供内存隔离等功能。通过这些隔离技术隔离出具有不同安全等级的两个区域，一个安全域和一个非安全域，不同等级的安全域中运行不同安全等级的代码。

内存隔离：TrustZone提供了一个虚拟内存管理单元机制，使得安全域和非安全域中的内存映射到不同的虚拟地址空间。不同安全域中的同一个虚拟地址将会映射到不同的物理内存中。TrustZone允许安全域去访问非安全域中的虚拟地址空间，反过来却不可以。虚拟内存管理单元机制可以隔离虚拟内存地址，但是不可以隔离物理内存地址，所以TrustZone包含了个地址空间控制器，利用地址空间控制器可以将内存划分为安全内存和非安全内存，通过内存水印技术，非安全域中的代码无法访问安全内存。

发明内容

本发明所要解决的问题为：针对用户在移动智能终端上的敏感使用场景，提供一种基于双隔离的安全显示系统及方法，保证显示界面的信息不被篡改和窃取，从而有效的保证用户的隐私安全，具有实用性、高安全性。

本发明技术解决方案为：一种基于双隔离的安全显示系统，利用TrustZone技术实现一个可信执行环境，然后利用TrustZone的隔离技术和内存水印技术，实现一个隔离计算环境，将图形显示库和触摸驱动代码从普通计算环境中隔离出来，利用可信执行环境中安全监控模块和中断配置模块实现普通计算环境和隔离计算环境间的切换，从而实现可信的安全显示功能，具体包括以下几个模块：

安全代理模块：接收来自应用程序的请求，进行检查和过滤，将合法的请求转发到安全监控模块；

安全监控模块：接受来自安全代理模块和隔离计算环境中的图形显示库和触摸屏驱动的请求，监控Android系统的状态，结合CPU的安全状态信息，调用中断配置模块处理请求；

中断配置模块：执行隔离计算环境和普通计算环境间的切换，从普通环境切换到隔离计算环境之前，先将CPU的状态信息、寄存器和内存映射信息保存到安全内存中，清除掉当前运行环境的CPU状态信息、寄存器和内存映射信息，然后再执行切换，当切换回普通计算环境时，将保存在安全内存中的状态信息还原；

图形显示库：运行在隔离计算环境中，用于实现安全显示的功能，当实现了安全显示之后，请求安全代理模块，从隔离计算环境切换到普通计算环境；

触摸屏驱动：运行在隔离计算环境中，用于实现安全显示中的安全交互的功能，当实现了安全显示之后，请求安全代理模块，从隔离计算环境切换到普通计算环境。

一种基于双隔离的安全显示方法，包括以下步骤：

(1)请求代理：普通计算环境中的应用程序在需要使用安全显示功能时，会将这一请求发送到位于普通计算环境中的安全代理模块；