[发明专利]一种身份验证方法、装置及存储介质

说明书

本申请提供了一种身份验证方法、装置及存储介质，涉及通信领域，用于对可信执行环境TEE同时进行本地身份验证流程与远程身份验证流程，包括：第一可信执行环境TEE获取硬件和业务数据。第一TEE生成第一身份验证信息。第一TEE接收来自第二TEE的第二身份验证信息，第二TEE为与第一TEE进行身份互验的TEE。在第一身份验证信息与第二身份验证信息相同的情况下，第一TEE确定对第二TEE的身份验证成功。若第一TEE接收到来自第二TEE的第一指示信息，且第一TEE对第二TEE身份验证成功，则第一TEE确定与第二TEE的身份互验成功；其中，第一指示信息用于指示第二TEE对第一TEE的身份验证成功。

技术领域

本申请涉及通信领域，尤其涉及一种身份验证方法、装置及存储介质。

背景技术

在数据共享场景下，“数据不出机房”已经成为主流的数据共享趋势。当进行数据共享业务时，存在分散的多个数据提供方，数据需求方只能得到使用数据进行运算的结果，而无法得到这些数据的真正内容，即。这些由数据运算得到的结果的可信性是由数据可信性决定的。目前，数据提供方的数据使用可信执行环境(Trusted Execution Environment，TEE)进行数据的可信存储。得益于可信执行环境的安全特性，在进行数据共享时，只需确认可信执行环境的身份，即可同时确认其中存储数据的可信性。

目前的可信执行环境的身份认证方法主要依托于TEE的制造商或对TEE签发证书的背书机构进行身份验证，并将验证结果返回至TEE环境中。这种方法大量依托于公共网络，因此，即使执行可信执行环境、背书机构和TEE环境的服务器处于一个机房中，也无法使用内网进行身份认证。

当可信执行环境TEE的特征信息通过公网发送至中心化的背书机构时，背书机构将获得可信执行环境当前所有的特征信息，这就加大了数据存储的安全隐患。同时，可信执行环境的TEE特征信息需要先在本地环境中进行本地身份认证，认证通过后生成数据包再发送至远程背书机构进行身份验证，也增加了业务时间成本。甚至对一些可信执行环境而言，认证所用网络经常无法连通，导致身份认证无法完成，使得后续数据共享无法完成。

发明内容

本申请提供一种身份验证方法、装置及存储介质，能够基于时序电路对TEE同时进行本地身份验证流程与远程身份验证流程。

为达到上述目的，本申请采用如下技术方案：

第一方面，本申请提供一种身份验证方法，包括：第一可信执行环境TEE获取硬件和业务数据；其中，硬件和业务数据包括：第一TEE初始化硬件数据、第二TEE初始化硬件数据、第一TEE实时硬件数据、第一TEE上次调用后环境状态数据、第一TEE实时环境状态数据；第二TEE为与第一TEE进行身份互验的TEE。第一TEE生成第一身份验证信息；其中，第一身份验证信息用于表征根据第一TEE实时硬件数据和第一TEE初始化硬件数据的比对结果，以及第一TEE实时环境状态数据和第一TEE上次调用后环境状态数据的比对结果对第一处理信息进行选择输出的结果；第一处理信息为第一TEE根据触发器对第一TEE实时硬件数据和第二TEE初始化硬件数据处理后确定的信息。第一TEE接收来自第二TEE的第二身份验证信息；第二身份验证信息为第二TEE根据触发器对第一TEE实时硬件数据和第二TEE初始化硬件数据处理后确定的信息。在第一身份验证信息与第二身份验证信息相同的情况下，第一TEE确定对第二TEE的身份验证成功。若第一TEE接收到来自第二TEE的第一指示信息，且第一TEE对第二TEE身份验证成功，则第一TEE确定与第二TEE的身份互验成功；其中，第一指示信息用于指示第二TEE对第一TEE的身份验证成功。