CN114117412B 一种基于可信技术的虚拟加密机平台及其创建方法 （中国互联网络信息中心）

一种基于可信技术的虚拟加密机平台及其本申请公开了一种基于可信技术的虚拟加REE和TEE之间通过在底层运用内存隔离、CPU访虚拟加密机实现与普通执行环境REE之间的硬件2正在运行的ARM核划分为安全状态和非安全状态，所述安全状态对应以OP-TEE为可信执行在TEE用户空间为租户提供安全加密服务的应用程序实例；CA是在REE用户空间实现与TEE间控制器TZASC分割出安全地址区域以拒绝非安全访问，并将动态内存控制器DMC挂接其外设保护由TZPC实现，通过TZPC将设备配置为安全或者非安全，配置为安在安全操作系统之上需建立接口层，通过调用内核中的可信模块计算实现证书管理、将所述第一物理内存隔离区分离成若干个内存隔离区，所述若干所述可信执行环境将所述安全服务程序发送至所述用户。3所述可信执行环境将所述安全服务程序发送至所述TA通过所述唯一标识码标识其身份，CA调用接口建立会话，所所述内存隔离区根据所述用户需求匹配不同的物成可信计算模块的处理器平台上建立软硬件加密系统，实现可信执行环境TEE和普通执行普通执行环境REE之间的硬件隔离，为不同用户的CA建立安全可信环境和指定专属安全服4对于保障公共服务安全运行和社会公共利益至关重要。例如在域名系统DNS中，通常应用中私钥的机密性以及加密操作的安全性对DNS系统的整体安全十分重要，一般通过加密机5和TEE之间通过在底层运用内存隔离、CPU访问权限控制技术划分出相互独立的硬件区域，[0009]第二方面本申请提供了一种基于可信技术的虚拟加密机平台创建方法，基于TrustZone技术将正在运行的ARM核划分为安全状态和非安全状态，所述安全状态对应以为虚拟加密机提供安全的运行部署环境，并且私密信息及相关操作都由运行在TEE中的可用户空间实现与TEE对接的用户业务应用程序实例；CA与TA间将通过OP-TEE驱动在挂载过[0012]内存适配器TZMA可实现对片上RAM的动态划分，每个划分的低地址段作为安全区6理器中集成的可信计算模块和安全可信能力，利用可信运行环境TEE(TrustedExecution[0035]图1为本申请提供的一种基于可信技术的虚拟加密机平台创建方法中TrustZone[0036]图2为本申请提供的一种基于可信技术的虚拟加密机平台创建方法中OP-TEE结构[0037]图3为本申请提供的一种基于可信技术的虚拟加密机平台创建方法中虚拟加密机[0038]图4为本申请提供的一种基于可信技术的虚拟加密机平台创建方法中可信密钥管7[0039]图5为本申请提供的一种基于可信技术的虚拟加密机平台创建方法中多租户内存[0041]加密机服务多以第三方服务提供商的方式存在，用户需(SoftwareGuardExtensions，SGX)、ARMTrustZone、AMDSEV(SecureEncrypted为两个物理隔离的执行区域：正常世界(NormalWorld)和安全世界(SecureWorld)。OP-TEE(Open-sourcePortableTrustedExecutionEnvironment)是基于ARM的TrustZone技8[0046]具体的，基于TrustZone技术将正在运行的ARM核划分为所述安全状态对应以OP-TEE为可信执行环境TEE(TrustedExecutionEnvironment)的系统环境，所述非安全状态对应为普通执行环境REE(RichExecutionEnvironment)；其中过OP-TEE驱动在挂载过程中建立TEE与REE间的共享内存进行数据于可信硬件模块和安全操作系统存储关键数据，执行安全性要求较高的敏感加密操作等。TZASC(TrustZoneAddressSpaceController)、Cache、MMU扩展、中断控制器TZIC(TrustZoneInterruptController)、保护控制器TZPC(TrustZoneProtection域以拒绝非安全访问，并将动态内存控制器DMC(DynamicMemoryController)挂接其上，TZMA(TrustZoneMemoryAdapter)可实现对片上RAM的动态划分，每个划分的低地址段作得安全设备发出的中断只能由安全环境中断处理9与TEE间通信的逻辑链接，生成会话唯一标识码标识此链接，而TA通过唯一标识码UUID(UniversallyUniqueIdentifier)标识其身份，表明CA绑定指定的TA。CA中将通过调用[0056]本申请实施例以DNS系统DNSSEC机制中CN域名顶级权威解析主结点上区文件签名[0057]CN域名顶级权威解析主结点的区文件签名功能模块将运行于支持ARMTrustZone[0058]平台硬件可信环境准备完毕后，将加载OP-TEE构建对TrustZone技术具有良好支持的安全操作系统环境，在上层其实现了CA与TA的建立机制，提供了REE使用的接口库全监控模式调用(用于完成TEE与REE间的切换与通信)请求，通知TEE执行创建会话操作。[0061]完成会话后的CN区文件签名模块将通过应用虚拟加密机平台提供的可信密钥管[0063]CN区文件签名模块将通过应用虚拟加密机平台提供的主流密码算法接口完成区送给TA，TA调用虚拟加密机平台提供的杂揍算法(HMAC、SHA等)及非对称加密算法(RSA、杂揍算法和非对称加密算法外，还支持对称加密算法(AES、3DES等)、随机数生成算法器中集成的可信计算模块和安全可信能力，利用可信运行环境TEE(TrustedExec