一种多进程访问可信应用的方法和系统技术方案

本发明专利技术提供一种多进程访问可信应用的方法和系统，其中方法包括：在同一时刻接收多个进程分别发送的对同一可信应用的访问请求，每个访问请求包括：所述可信应用的应用标识、所述进程访问可信应用的进程参数；将所述多个进程加入访问队列，并控制所述访问队列中的进程逐个访问所述应用标识对应的可信应用，直至所述可信应用处理所述进程参数结束。本发明专利技术实现了多进程同时访问TA，提高业务执行效率。

A method and system for multi process access to trusted applications

【技术实现步骤摘要】
一种多进程访问可信应用的方法和系统
本专利技术涉及网络技术，特别涉及一种多进程访问可信应用的方法和系统。
技术介绍
随着智能终端技术的不断发展，用户可以很方便的将各种应用下载到终端设备中使用，随之而来的是用户对这些应用安全性的关注，尤其是在涉及到一些敏感数据的应用(即具有安全性和保密性要求的数据)时，用户更加期望这些数据能够得到有效的安全保护。可信执行环境(Trustedexecutionenvironment，TEE)是在终端设备上创建的一个能够提供安全保护功能的执行环境，在该环境中的应用执行或数据安全性较高；并且，TEE中还提供了一些可信应用(TrustedApplication，TA)，为该TA提供安全服务。终端设备中的普通执行环境中的进程可能会访问TA，相关技术中，TA只支持单进程访问，如果有多个进程都访问同一个TA时，将会导致部分进程访问失败，影响该进程对应的业务执行效率。
技术实现思路
有鉴于此，本专利技术提供一种多进程访问可信应用的方法和系统，以实现多进程同时访问TA，提高业务执行效率。具体地，本专利技术是通过如下技术方案实现的：第一方面，提供一种多进程访问可信应用的方法，包括：在同一时刻接收多个进程分别发送的对同一可信应用的访问请求，每个访问请求包括：所述可信应用的应用标识、所述进程访问可信应用的进程参数；将所述多个进程加入访问队列，并控制所述访问队列中的进程逐个访问所述应用标识对应的可信应用，直至所述可信应用处理所述进程参数结束。第二方面，提供一种多进程访问可信应用的系统，包括：可信执行环境TEE统一接口，用于在同一时刻接收多个进程分别发送的对同一可信应用的访问请求，每个访问请求包括：所述可信应用的应用标识、所述进程访问可信应用的进程参数；TEE管理中心，用于将所述多个进程加入访问队列，并控制所述访问队列中的进程逐个访问所述应用标识对应的可信应用，直至所述可信应用处理所述进程参数结束。本专利技术提供的多进程访问可信应用的方法和系统，通过将多个进程加入访问队列逐个访问可信应用，实现了多进程同时访问TA，提高业务执行效率。附图说明图1是一个例子中TEE设置的系统架构图；图2是一个例子中多进程访问TA的系统的设置结构图；图3是一个例子中多进程访问可信应用的方法的流程图；图4是一个例子中多进程逐个访问TA的处理示意图；图5是一个例子中多进程访问可信应用的方法的应用示意图；图6是一个例子中多进程访问可信应用的队列示意图；图7是一个例子中多进程访问可信应用的流程图；图8是一个例子中进程访问可信应用的中断示意图。具体实施方式随着网络技术和智能终端的高速发展，用户可以将大量应用下载到终端设备中，为了保证这些应用的安全性，TEE创建了一个可信任环境，在此运行涉及敏感资料的应用将更加安全。图1示例了TEE设置的系统架构，终端设备11(例如，移动终端、平板电脑、可穿戴设备、POS机等)中包括处理器12(例如，系统级芯片SOC、主处理器CPU等)，该处理器12可以是设置在终端设备11的印刷电路板(PrintedCircuitBoard，PCB)上，并且该处理器12上设置有两个执行环境，分别为富执行环境(RichExecutionEnvironment，REE)和TEE。其中，REE是普通的非保密执行环境，可以包括多个客户端应用(ClientApplication，CA)，并执行普通的富指令操作系统。例如，CA可以为淘宝客户端、天猫客户端、新浪客户端等各种应用(APP)，用户可以将自己需要的应用方便的下载到该区域；而富指令操作系统即普通的终端操作系统(OperationSystem，OS)，例如，Andriod。TEE中也可以包括多个可信应用(TrustedApplication，TA)，并运行更加安全的可信操作系统(TrustedOS)。TEE中的可信应用TA可以提供很多服务，比如数据存储、密码输入、密码验证等，并且TEE中可以包括分别用于执行不同数据处理的多个TA；而可信操作系统能够为TA的运行提供用于保证TA运行安全的可信功能(例如，安全存储、安全输入等)，使得TA运行更加可靠。当REE中的一些应用CA涉及到敏感数据时，就可以使用TEE中的TA来保证数据的安全，例如，用户在使用REE中的CA淘宝时，在进行到需要输入密码等敏感数据时，该应用淘宝就可以调用TEE中的用于保证安全输入密码的TA以确保安全。为了实现上述REE中的CA对TEE中的TA的访问，REE中的操作系统OS提供了Tee-Client-API，TEE中的OS也提供了TEE通讯代理，CA可以调用Tee-Client-API，触发REE的OS建立与TEE之间的通信通道，该通信通道由两端的通讯代理来提供，REE的OS可以通过该通道向TA发送访问请求，并接收TA返回的处理数据；该过程使得CA通过Tee-Client-API接入到TEE提供的TA安全服务。而当一个CA启动时，也即为启动该CA对应的进程，因此，一个运行的CA访问TA，也就是该CA对应的进程访问TA，这就是“进程对可信应用TA的访问”。例如，淘宝的进程在执行到密码输入时，要访问TEE中的用于输入密码的TA，以保证密码输入过程是安全的。本申请实施例的方法，描述是在REE侧有多个进程同时访问TA时的方法。在传统方式中，由于TEE侧在同一时刻只支持单个进程访问TA，因此如果在同一时刻有多个进程都要访问TA时，可能会导致其中一些进程访问失败，影响该进程的执行效率。而本实施例的方法在REE的OS中设置了“多进程访问可信应用的系统”，参见图2的结构示例。如图2所示，相当于在CA和TEE-CLIENT-API之间设置了该“多进程访问可信应用的系统”，传统方式中是由CA直接调用TEE-CLIENT-API访问TA，而在本实施例的方法中，相当于由“多进程访问可信应用的系统”接收各个CA进程对TA的访问请求，并由该系统来调用TEE-CLIENT-API访问TA。该系统可以是设置于REE的OS中，可以包括：TEE统一接口21和TEE管理中心22。其中，TEE统一接口21可以直接集成在OS的framework，或者单独提供为jar包的形式；TEE管理中心22可以作为OS的service模块单独存在，也可以集成在framework，上述的framework或service是OS框架中的组成部分，不再详述。图3示例了本申请实施例的多进程访问可信应用的方法，该方法可以是由图2中的多进程访问可信应用的系统执行，并且是当该系统接收到同一时刻多进程访问TA的请求时，根据该方法控制各个进程对TA的访问。该方法包括：301、在同一时刻接收多个进程分别发送的对同一可信应用的访问请求，每个访问请求包括：所述可信应用的应用标识、进程访问可信应用的进程参数；302、将所述多个进程加入访问队列，并控制所述访问队列中的进程逐个访问所述应用标识对应的可信应用本文档来自技高网...

【技术保护点】
1.一种多进程访问可信应用的方法，所述方法由多进程访问可信应用的系统执行；所述方法包括：/n接收设备处理器中的富执行环境REE中的多个进程分别发送的对同一可信应用的访问请求，每个访问请求包括：所述可信应用的应用标识、所述进程访问可信应用的进程参数；所述可信应用设置在所述处理器的可信执行环境TEE中；/n将所述多个进程加入访问队列，所述访问队列中的所述多个进程都处于运行状态，并控制所述访问队列中的进程逐个访问所述应用标识对应的可信应用，直至所述可信应用处理所述进程参数结束。/n

【技术特征摘要】
1.一种多进程访问可信应用的方法，所述方法由多进程访问可信应用的系统执行；所述方法包括：
接收设备处理器中的富执行环境REE中的多个进程分别发送的对同一可信应用的访问请求，每个访问请求包括：所述可信应用的应用标识、所述进程访问可信应用的进程参数；所述可信应用设置在所述处理器的可信执行环境TEE中；
将所述多个进程加入访问队列，所述访问队列中的所述多个进程都处于运行状态，并控制所述访问队列中的进程逐个访问所述应用标识对应的可信应用，直至所述可信应用处理所述进程参数结束。


2.根据权利要求1所述的方法，所述接收设备处理器中的REE中的多个进程分别发送的同一时刻对同一可信应用的访问请求，包括：
接收所述REE的其中一个进程通过调用TEE统一接口发送的所述访问请求；
根据所述TEE统一接口中包括的可信应用TA标识，确定所述进程的访问请求对应请求访问的所述可信应用。


3.根据权利要求1所述的方法，所述接收设备处理器中的REE中的多个进程分别发送的同一时刻对同一可信应用的访问请求，包括：
接收多个第一进程分别发送的对第一可信应用的访问请求，还接收多个第二进程分别发送的对第二可信应用的访问请求；
所述将所述多个进程加入访问队列，包括：将所述多个第一进程加入第一访问队列，并将所述多个第二进程加入第二访问队列。


4.根据权利要求1所述的方法，所述控制所述访问队列中的进程逐个访问所述可信应用，包括：
由所述访问队列中的多个进程中选择一个进程，将所述进程的进程参数传输至所述可信应用进行处理；
接收所述可信应用反馈的处理结果，将所述处理结果返回给所述进程；
将得到所述处理结果的所述进程，由所述访问队列中移出。


5.根据权利要求1所述的方法，在所述接收设备处理器中的富执行环境REE中的多个进程分别发送的同一时刻对同一可信应用的访问请求之后，所述方法还包括：
根据预先设定的所述访问队列中允许容纳的进程数量，若当前访问队列中的进程数量达到所述允许容纳的进程数量，不再执行将发送访问请求的进程加入所述访问队列。


6.根据权利要求1所述的方法，所述访问请求还包括：所述进程对应的进程优先级；所述将所述多个进程加入访问队列，包括：
若所述进程优先级为表示所述进程相对重要的第一标识，则将所述进程加入运行队列；若所述优先级参数为表示所述进程相对次要的第二标识，则将所述进程加入排队队列；所述运行队列的进程执行时间先于所述排队队列。


7.根据权利要求1所述的方法，所述进程访问可信应用的进程参数，包括：分别对应多次可信应用访问请求的多个参数；
所述直至所述可信应用处理所述进程参数结束，包括：对于所述进程，执行多次对可信应用的访问，直至所述进程的进程参数处理结束。


8.根据权利要求1所述的方法，其特征在于，所述多进程访问可信应用的系统设置在所述REE中。


9.一种多进程访问可信应用的系统，所述系统包括：
可信执行环境TEE统一...

【专利技术属性】
技术研发人员：孙元博，
申请(专利权)人：阿里巴巴集团控股有限公司，
类型：发明
国别省市：开曼群岛;KY