[发明专利]数据隔离方法及装置、电子设备

说明书

一种数据隔离方法，终端设备搭载了虚拟机管理器；运行在第一虚拟机上的用户操作系统，运行在第二虚拟机上的可信执行环境；包括：响应于用户操作系统中的用户应用触发的数据采集指令，调用终端设备搭载的数据采集硬件采集用户数据；数据采集硬件搭载了第一MMU和DMA；用户操作系统维护了与可信执行环境中的安全内存空间对应的句柄；在用户操作系统中查询句柄指向的第一虚拟内存地址，并由第一MMU将第一虚拟内存地址转换为第二虚拟内存地址；虚拟机管理器控制终端设备搭载的第二MMU将第二虚拟内存地址转换为安全内存空间的物理内存地址；DMA基于该物理内存地址将用户数据写入安全内存空间，由可信执行环境中的可信应用对用户数据进行安全处理。

技术领域

本说明书一个或多个实施例涉及区块链技术领域，尤其涉及一种数据隔离方法及装置、电子设备。

背景技术

在一些场景中，终端通过搭载的数据采集硬件，采集到的用户数据，可能需要参与一些对安全性要求较高的安全处理过程；而终端搭载的操作系统，通常是一个较为开放的环境；这就可能导致非法者利用一些非法手段来更改数据采集硬件采集到的用户数据，对用户的数据安全造成威胁；

例如，以终端通过搭载的相机硬件，采集用户的面部图像数据，并基于采集到的用户面部图像数据来对该用户进行人脸识别为例，非法者可以利用重放攻击、插帧攻击等手段，使用非法的面部图像数据，来更改或者替换相机硬件采集到的用户的面部图像数据，来对针对用户的人脸识别过程进行攻击。

发明内容

本说明书提出一种数据隔离方法，应用于终端设备；其中，所述终端设备搭载了虚拟机管理器；以及，运行在由所述虚拟机管理器管理的第一虚拟机上的用户操作系统，和运行在由所述虚拟机程序管理的第二虚拟机上的可信执行环境；所述可信执行环境包括用于存储所述终端设备采集到的用户数据的安全内存空间；所述方法包括：

响应于所述用户操作系统中的用户应用触发的数据采集指令，调用所述终端设备搭载的数据采集硬件采集用户数据；其中，所述数据采集硬件搭载了第一MMU和DMA；所述用户操作系统维护了与所述安全内存空间对应的句柄；

在所述用户操作系统中查询所述句柄指向的第一虚拟内存地址，并由所述第一MMU对所述第一虚拟内存地址进行一级地址映射，将所述第一虚拟内存地址转换为第二虚拟内存地址；

将所述第二虚拟内存地址进一步提交至所述虚拟机管理器，由所述虚拟机管理器控制所述终端设备搭载的第二MMU对所述第二虚拟内存地址进行二级地址映射，将所述第二虚拟内存地址转换为所述安全内存空间的物理内存地址；

所述DMA基于所述安全内存空间的物理内存地址将所述用户数据写入所述安全内存空间，以由所述可信执行环境中的可信应用对所述用户数据进行安全处理。

可选的，所述方法还包括：

所述第一虚拟机对应的虚拟机进程，获取所述第二虚拟机对应的虚拟机进程，通过共享内存的方式传递的与所述安全内存空间对应的句柄；

在所述用户操作系统中维护所述句柄，并将所述句柄指向为所述用户应用对应的应用进程分配的所述第一虚拟内存地址。

可选的，所述第一虚拟机对应的虚拟机进程，获取所述第二虚拟机对应的虚拟机进程，通过共享内存的方式传递的与所述安全内存空间对应的句柄，包括：

所述虚拟机管理器为所述第一虚拟机对应的虚拟机进程，和所述第二虚拟机对应的虚拟机进程，创建共享内存；

所述第二虚拟机对应的虚拟进程将与所述安全内存空间对应的句柄写入所述共享内存；以及，所述第一虚拟机对应的虚拟进程从所述共享内存中读取所述句柄。

可选的，所述将所述第二虚拟内存地址进一步提交至所述虚拟机管理器，包括：

所述DMA基于所述第二虚拟内存地址向所述安全内存空间写入所述用户数据；