[发明专利]基于加密芯片的可信执行环境下文件加密存储的相关方法

权利要求书

1.一种基于加密芯片的可信执行环境下增加文件加密密钥安全性的方法，其特征在于，包括步骤：

安全存储密钥获取步骤：指通过第一加密算法利用硬件唯一密钥对主芯片拼接字段进行运算，生成安全存储密钥，所述主芯片拼接字段由主芯片序列号和可信执行环境固化字符串构成；

可信应用密钥获取步骤：指通过第一加密算法利用所述安全存储密钥对可信应用通用唯一识别码进行运算，生成可信应用密钥；

文件加密秘钥保护密钥获取步骤：指通过可信执行环境与加密芯片之间的安全链路获取加密芯片密钥，通过第一加密算法利用所述加密芯片密钥对所述可信应用密钥进行运算，生成文件加密秘钥保护密钥，所述加密芯片密钥由所述加密芯片生成并存储；

文件加密密钥加密步骤：指当创建文件时，通过第二加密算法利用所述文件加密秘钥保护密钥对文件加密密钥进行运算，生成文件加密密钥密文存放于加密文件的文件头，所述文件加密密钥由可信执行环境创建可信应用文件时生成；

所述第一加密算法为HMAC哈希算法。

2.根据权利要求1所述的一种基于加密芯片的可信执行环境下增加文件加密密钥安全性的方法，其特征在于，所述第二加密算法的具体加密步骤包括：

截取所述文件加密秘钥保护密钥的前16个字节；

采用高级加密标准中ECB加密模式对所述文件加密密钥进行加密运算。

3.根据权利要求1所述的一种基于加密芯片的可信执行环境下增加文件加密密钥安全性的方法，其特征在于，还包括：获取所述加密芯片密钥时，对所述加密芯片密钥进行初始化，初始化步骤包括：建立安全链路步骤和加解密加密芯片密钥步骤。

4.根据权利要求3所述的一种基于加密芯片的可信执行环境下增加文件加密密钥安全性的方法，其特征在于，所述建立安全链路步骤具体为：

所述可信执行环境向所述加密芯片发送用于生成加密芯片安全链路密钥对的指令；

所述加密芯片向所述可信执行环境反馈是否存在所述加密芯片安全链路密钥对，若所述加密芯片安全链路密钥对不存在，则由所述加密芯片生成一对加密芯片安全链路密钥对，密钥对的生成算法是SM2算法；

所述加密芯片将加密芯片安全链路保护公钥发送至所述可信执行环境，同时所述可信执行环境向所述加密芯片发送可信执行环境安全链路保护公钥，以建立安全链路。

5.根据权利要求4所述的一种基于加密芯片的可信执行环境下增加文件加密密钥安全性的方法，其特征在于，所述加解密加密芯片密钥步骤具体为：

所述可信执行环境向所述加密芯片发送获取加密芯片密钥指令；

所述加密芯片判断并反馈所述加密芯片密钥是否存在，若不存在，所述加密芯片生成随机数字符串作为所述加密芯片密钥，并通过加密芯片安全链路保护私钥对所述加密芯片密钥进行签名得到签名值，将所述签名值拼接在所述随机数字符串后作为原文数据包，再通过所述可信执行环境安全链路保护公钥加密所述原文数据包得到加密芯片密钥加密数据包；

所述可信执行环境接收所述加密芯片密钥加密数据包，利用可信执行环境安全链路保护私钥进行解密，得到原文数据包，并根据所述加密芯片安全链路保护公钥对所述原文数据包进行验签，得到所述加密芯片密钥。

6.一种基于加密芯片的可信执行环境下文件加密存储系统，其特征在于，包括可信执行环境和加密芯片；

所述可信执行环境包括加解密模块和文件，所述加解密模块获取密钥组成因子，并根据权利要求1至5任一项所述的一种基于加密芯片的可信执行环境下增加文件加密密钥安全性的方法获取所述文件加密密钥密文，并利用所述文件加密密钥密文和所述文件加密密钥对所述文件进行加密得到加密文件；

所述加密芯片用于生成并存储所述加密芯片密钥；

所述密钥组成因子包括以下一种或多种：所述加密芯片密钥、硬件唯一密钥、可信执行环境固化字符串、主芯片序列号和可信应用通用唯一识别码；

还包括用于存储所述加密文件的安全存储区，所述安全存储区的访问需要对应的存储权限。