[发明专利]基于加密芯片的可信执行环境下文件加密存储的相关方法

说明书

本发明公开了一种基于加密芯片的可信执行环境下增加文件加密密钥安全性的方法，通过在终端设备上集成加密芯片，由终端设备厂商控制加密芯片产生加密芯片密钥作为密钥组成因子，生成文件加密秘钥保护密钥，用于保护TEE服务中，文件加密时所使用的文件加密密钥，避免了TEE服务过程中，芯片厂商在密钥生成过程中留有后门或对其进行逆运算时完全能将密文数据解密成明文，导致的敏感数据存在被窃取风险的问题，提高了文件加密密钥的安全性，以及终端设备厂商在加密服务中的自主可控性，并且实施例是在原TEE文件加密技术上的改进，在不改变原有技术中加解密效率的情况下，更便捷的实现文件加密存储及密钥算法的可控行，避免密钥泄露的安全风险。

技术领域

本发明涉及移动信息安全领域，尤其是一种基于加密芯片的可信执行环境下文件加密存储方法和装置。

背景技术

随着移动通信技术的发展，终端设备在通信、社交、娱乐和办公等各方面都应用广泛，但是用户在享受终端设备上各种应用带来巨大方便的同时，也面临各种安全威胁，为解决信息泄密、信息破解、非法访问破坏或恶意程序攻击等安全威胁问题，ARM公司提出TrustZone技术方案，TrustZone即是支持TEE(Trusted Execution Environment，可信执行环境)的技术产品，在终端设备现有的软硬件基础上，通过硬件虚拟化技术将移动终端设备隔离出TEE和REE(Rich Execution Environment，富运行环境)，因两者是独立的执行环境，REE在非授权情况下无法访问TEE资源，用户的敏感数据均是在TEE中运行处理与存储，如密钥的存储和数据的加密解密等，因外部环境无法获取相关信息，可保证了用户关键数据的安全。

目前TEE服务提供商主要包括：芯片厂商、终端设备厂商和第三方安全方案服务提供商，其中，芯片厂商提供的TEE服务为终端设备提供安全的执行环境和存储，防止外部的非授权访问，通过在TEE环境下对用户敏感数据的加密运算并保存，保障用户关键数据的安全，提升终端设备的安全能力，因此TEE平台文件数据在加解密的数据安全的核心是保障密钥的安全。

但是，由于TEE环境是芯片厂商开发设计，芯片厂商设计生成或通过密钥组成因子运算后到加解密运算的密钥，因此密钥完全掌握在芯片厂商的手中，对于终端设备厂商而言，无法满足自主可控的安全需求，尽管TEE是一个可信执行环境，文件加密存储安全性较高，但由于关键密钥不受终端设备厂商管控，如果芯片厂商在密钥生成过程中留有后门或对其进行逆运算时完全能将密文数据解密成明文，因此敏感数据被窃取的风险仍然存在。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。为此，本发明的一个目的是为了解决TEE服务过程中，关键密钥不受终端设备厂商管控导致智能终端设备所面临的安全风险问题，提出一种通过在终端设备上集成独立的加密芯片，以加密芯片产生密钥组成因子，参与TEE服务中文件加密密钥的计算，用于优化TEE服务中文件加密密钥的生成机制和后续的加密运算过程，增加文件加密密钥安全性以及自主可控性的方法。

本发明实施例所采用的技术方案是：

第一方面，本发明提供一种基于加密芯片的可信执行环境下增加文件加密密钥安全性的方法，包括步骤：

安全存储密钥获取步骤：指通过第一加密算法利用硬件唯一密钥对主芯片拼接字段进行运算，生成安全存储密钥，所述主芯片拼接字段由主芯片序列号和可信执行环境固化字符串构成；

可信应用密钥获取步骤：指通过第一加密算法利用所述安全存储密钥对可信应用通用唯一识别码进行运算，生成可信应用密钥；

文件加密秘钥保护密钥获取步骤：指通过可信执行环境与加密芯片之间的安全链路获取加密芯片密钥，通过第一加密算法利用所述加密芯片密钥对所述可信应用密钥进行运算，生成文件加密秘钥保护密钥，所述加密芯片密钥由所述加密芯片生成并存储；