一种安全增强装置及安全增强方法与流程

本技术属于数据处理，具体涉及一种安全增强装置及安全增强方法。

背景技术：

1、随着移动互联网和数字经济的快速发展，移动应用已深度融入支付、金融、物联网、电子政务等关键领域，移动终端安全已成为数字经济的基石。然而，移动应用的安全防护面临日益严峻的挑战。

2、根据owasp（open web application security project，开放web应用安全项目）的移动应用安全风险分析，客户端应用场景主要面临以下三类安全风险：（1）代码风险：包括应用代码被逆向工程分析、代码被篡改（植入恶意逻辑或绕过安全校验），以及客户端代码自身存在的安全缺陷（如缓冲区溢出、逻辑漏洞等）。（2）数据与通信风险：涵盖本地数据存储方式不安全（如明文存储敏感数据）、客户端与服务器之间的通信链路未受有效保护，以及加密技术应用不足或使用不当导致的数据泄露隐患。（3）访问与环境风险：主要体现在身份认证机制存在漏洞（如弱口令、认证绕过）、平台使用方式不当、授权管理不完善，以及应用运行环境被植入额外恶意功能等方面。上述三类风险相互交织，单独防范某一类风险难以构建有效的安全防护体系。

3、因此，如何提供一种安全增强装置，以实现移动终端有效的安全防护，是目前亟需解决的问题。

技术实现思路

1、本技术实施例的目的是提供一种安全增强装置及安全增强方法，该安全增强装置能够实现移动终端有效的安全防护。

2、为了解决上述技术问题，本技术是这样实现的：

3、第一方面，本技术实施例提供了一种安全增强装置，内嵌于移动应用中，包括：

4、白盒加密模块，内置有经白盒化处理的国际算法引擎和国密算法引擎，用于提供经白盒化处理的密码算法引擎，以实现密钥的白盒化存储和密码运算；

5、安全服务模块，与白盒加密模块连接，用于基于白盒加密模块向移动应用提供安全功能服务；

6、加固执行模块，用于为安全服务模块和白盒加密模块提供运行态安全保护；

7、接口管理模块，分别连接白盒加密模块、安全服务模块和加固执行模块，用于控制移动应用对安全增强装置的访问权限，并对安全增强装置的生命周期进行管理。

8、第二方面，本技术实施例提供了一种安全增强方法，应用于安装有安全增强装置的移动终端，包括：

9、响应于安全增强装置初始化的触发操作，获取移动终端的设备指纹；

10、基于预置的白盒初始密钥与安全增强装置后台建立安全传输通道，并通过安全传输通道将携带设备指纹的初始化请求发送给安全增强装置后台；

11、接收安全增强装置后台下发的初始密钥数据；

12、对初始密钥数据进行安全保护处理，得到安全保护处理后的密钥数据；

13、将安全保护处理后的密钥数据存储至预设的硬件安全区域，并将设备指纹与安全保护处理后的密钥数据进行绑定，以完成本地安全实例的初始化。

14、第三方面，本技术实施例提供了一种基于安全增强装置的业务密钥下载方法，应用于安装有安全增强装置的移动终端，包括：

15、响应于移动应用触发的业务密钥下载请求，从硬件安全区域读取已存储的高级密文数据，高级密文数据包括：实例数据密文、高级白盒化业务根密钥和访问盐；

16、获取用户提供的安全增强装置访问口令；

17、根据访问口令和访问盐重新计算安全增强装置的访问密钥；

18、利用重新计算的安全增强装置的访问密钥解密实例数据密文，恢复实例数据；实例数据中至少包含初始化时绑定设备的设备指纹和白盒化保护密钥；

19、获取移动终端的当前设备指纹；

20、将当前设备指纹与初始化时绑定设备的设备指纹进行比对；

21、在比对结果指示一致的情况下，通过安全传输通道向移动应用后台请求业务密钥，并接收经业务根密钥包裹的业务密钥；

22、将经业务根密钥包裹的业务密钥进行安全保护处理后存储至硬件安全区域。

23、第四方面，本技术实施例提供了一种安全增强方法，应用于安全增强装置后台，包括：

24、接收安全增强装置发送的携带设备指纹的初始化请求；

25、基于初始化请求，通过硬件安全模块生成安全增强装置实例标识、保护密钥和业务根密钥；

26、将安全增强装置实例标识与设备指纹进行绑定；

27、使用白盒初始密钥分别包裹保护密钥和业务根密钥，得到经白盒初始密钥包裹的保护密钥和经白盒初始密钥包裹的业务根密钥；

28、将实例标识、经白盒初始密钥包裹的保护密钥和经白盒初始密钥包裹的业务根密钥下发至安全增强装置；

29、对安全增强装置实例进行生命周期状态管理。

30、第五方面，本技术实施例提供了一种安全增强系统，包括：上述第一方面的安全增强装置以及上述第四方面的安全增强装置后台；

31、安全增强装置与安全增强装置后台之间通过安全传输通道进行通信，安全增强装置后台通过硬件安全模块生成和存储根密钥，安全增强装置通过白盒化处理和在硬件安全区域存储实现密钥的端侧保护。

32、第六方面，本技术实施例提供了一种电子设备，该电子设备包括处理器、存储器及存储在存储器上并可在处理器上运行的程序或指令，程序或指令被处理器执行时实现如第二方面的方法的步骤。

33、第七方面，本技术实施例提供了一种可读存储介质，该可读存储介质上存储程序或指令，程序或指令被处理器执行时实现如第二方面的方法的步骤。

34、第八方面，本技术实施例提供了一种计算机程序产品，包括计算机指令，计算机指令被处理器执行时实现如第二方面的方法的步骤。

35、在本技术实施例中，安全增强装置划分为白盒加密模块、安全服务模块、加固执行模块、接口管理模块四层独立联动单元，由内至外形成层层防护的纵深安全架构。即便外层接口、运行加固环境被攻击者突破，内层白盒加密核心算法与密钥数据仍受隔离保护，不会直接泄露核心密码资源；并且，各模块职责解耦、独立防护，同时互相协同联动，一次性覆盖代码运行安全、密码运算安全、数据存储传输安全、应用访问管控、实例生命周期全维度防护，解决了现有单一白盒方案仅保护密钥、缺少代码与运行环境防护的缺陷。

36、一方面，通过白盒加密模块，内置经过白盒化改造的国际密码算法与国密算法引擎，所有密码运算、密钥存储均运行在白盒环境中。攻击者即便逆向应用二进制、抓取内存数据、调试进程，也无法从代码、内存中提取明文密钥，从根源规避密钥窃取风险；另一方面，加固执行模块专门为白盒加密、安全服务核心模块提供运行时隔离防护，在程序编译、启动、运行全阶段持续进行代码完整性校验、代码混淆、环境风险检测、虚拟化隔离执行。针对典型客户端攻击手段形成拦截屏障，保护密码运算逻辑不被篡改、不被动态逆向分析，保障白盒算法与密钥运算逻辑在可信隔离环境执行，大幅提升整体抗破解能力。另外，该安装增强装置以软件组件形式内嵌于现有移动应用，无需终端搭载独立安全硬件芯片，仅依托终端原生系统安全能力配合白盒加密即可达到硬件级防护效果，无需大规模重构业务代码，落地成本更低、适用终端范围更广。