[发明专利]TA镜像存储方法、装置以及终端

说明书

本发明公开了一种TA镜像存储方法、装置以及终端，涉及信息安全领域，其中的方法包括：设置与TA镜像的存储形式相对应的数据存储结构，存储形式包括作为TEE中的对象、文件或区块进行存储、作为携带签名的TA镜像进行存储、作为密文TA镜像进行存储等；获取需要存储的TA镜像的存储形式，将与此存储形式相对应的数据存储结构作为TA镜像存储结构，根据TA镜像存储结构以及预设的封装规则对需要存储的TA镜像进行封装处理并存储。本发明的方法、装置以及终端，既适用于通过TAM安装TA的情况，也适用于通过OTA或应用商店下载TA的情况；具有较高的灵活性和通用性，适用于各种TEE平台，而且其安全性也能得到保障。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种TA镜像存储方法、装置以及终端。

背景技术

目前，终端大多集成了可信执行环境(TEE，Trusted Execution Environment)、富执行环境(REE，Rich Execution Environment)。REE由客户端应用(CA，ClientApplication)以及应用操作系统组成。TEE由可信应用(TA，TrustedApplication)、以及可信操作系统(Trusted OS，Trusted Operating System)组成。REE支持丰富的应用，但REE存在一定的安全风险。TEE是基于ARM芯片TrustZone机制的系统软件，TEE可以为终端中一块独立的区域，向该区域安装应用受管理服务器平台控制。在基于ARM的TrustZone技术架构中，运行在Normal World(REE)中的CA和运行在Secure World(TEE)中的TA之间具有进行数据交互的能力。

镜像(Mirroring)是冗余的一种类型，也是一种文件存储形式，TA的一个完全相同的副本即为TA镜像。目前，TA镜像可以存储于TEE的永久对象中，TA镜像不进行额外加密或签名保护。但是，这种TA镜像存储方案要求TA镜像必须通过TAM(Trusted ApplicationManager，可信应用管理服务器)安装到TEE中，无法通过OTA(Over The Air，空中操作)下载的方式部署到TEE中，而且，TA镜像的安全性取决于TEE平台永久对象的安全机制。TA镜像也可以REE侧文件的形式存储，含有签名，签名密钥是TEE厂商私钥。但是，这种TA镜像存储方案必须委托TEE厂商为TA镜像签名。

发明内容

有鉴于此，本发明要解决的一个技术问题是提供一种TA镜像存储方法、装置以及终端。

根据本发明的一个方面，提供一种TA镜像存储方法，包括：设置与TA镜像的存储形式相对应的数据存储结构；其中，所述存储形式包括：作为TEE中的对象、文件或区块进行存储、作为携带签名的TA镜像进行存储、作为密文TA镜像进行存储；当接收到TA镜像存储指令时，获取需要存储的TA镜像的存储形式，将与此存储形式相对应的数据存储结构作为TA镜像存储结构；根据所述TA镜像存储结构以及预设的封装规则对需要存储的TA镜像进行封装处理并存储。

可选地，与所述作为TEE中的对象、文件或区块进行存储的存储形式相对应的第一数据存储结构包括：TA版本域、TA内容域；其中，所述TA版本域用于保存TA镜像存储结构版本标识，所述TA镜像存储结构版本标识采用预设字符串格式；所述TA内容域用于保存TA可执行二进制内容，所述TA可执行二进制内容的格式包括：LV格式。

可选地，所述第一数据存储结构还包括：TA属性域；其中，所述TA属性域用于保存TA属性，所述TA属性的格式包括：LV格式，此LV格式的值为使用TLV格式的数据。

可选地，与所述作为携带签名的TA镜像进行存储的存储形式相对应的第二数据存储结构包括：所述TA版本域、SP-ID域、签名域、所述TA内容域；其中，所述SP-ID域用于保存服务提供商标识信息；所述签名域用于保存签名。

可选地，所述第二数据存储结构还包括：所述TA属性域。