应用的可信授权方法、装置及电子设备与流程

1.本公开涉及硬件设备技术领域，尤其涉及可信设备领域。


背景技术：

2.随着5g网络的快速发展，云原生等底层技术的成熟，使得应用的部署和分发变得更加快捷和高效，越来越多的应用部署到边缘节点的arm设备上。应用在边缘设备的部署环境相较于传统层层防护的互联网数据中心(internet data center，idc)部署环境，由于安全建设相对薄弱，更容易遭到攻击，主要体现在对应用的攻击、数据的窃取、设备的非法准入。因此对边缘侧的安全性提出了更高的要求。


技术实现要素：

3.本公开提供了一种用于应用的可信授权方法、装置及电子设备。
4.根据本公开的一方面，提供了一种应用的可信授权方法，应用于arm可信设备，arm可信设备在处理器层包括两个不同权限的保护域：第一保护域和第二保护域，该方法包括以下步骤：建立第一保护域中的可信应用与第二保护域中的可信应用之间的关联关系；控制第一保护域中除可信应用之外的其他应用通过第一保护域中的可信应用进行本地授权。
5.根据本公开的另一方面，提供了一种应用的可信授权装置，包括：建立模块，设置为建立第一保护域中的可信应用与第二保护域中的可信应用之间的关联关系，其中，第一保护域和第二保护域为arm可信设备在处理器层包括的两个不同权限的保护域；控制模块，设置为控制第一保护域中除可信应用之外的其他应用通过第一保护域中的可信应用进行本地授权。
6.根据本公开的另一方面，提供了一种电子设备，包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执以上的应用的可信授权方法。
7.根据本公开的再一方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，其中，计算机指令用于使计算机执行以上的应用的可信授权方法。
8.根据本公开的再一方面，提供了一种计算机程序产品，包括计算机程序，计算机程序在被处理器执行时实现以上的应用的可信授权方法。
9.应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。
附图说明
10.附图用于更好地理解本方案，不构成对本公开的限定。其中：
11.图1是根据本公开实施例的一种应用的可信授权方法的流程图；
12.图2是根据本公开实施例的一种arm可信设备的结构示意图；
13.图3是根据本公开实施例的一种arm可信设备的启动流程图；
14.图4是根据本公开实施例的一种应用的可信授权装置的结构框图；
15.图5示出了可以用来实施本公开的实施例的示例电子设备500的示意性框图。
具体实施方式
16.以下结合附图对本公开的示范性实施例做出说明，其中包括本公开实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本公开的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。
17.首先，在对本技术实施例进行描述的过程中出现的部分名词或术语适用于如下解释：
18.云原生，是基于分布部署和统一运管的分布式云，以容器、微服务、devops等技术为基础建立的一套云技术产品体系。
19.边缘设备，向企业或服务提供商核心网络提供入口点的设备，例如，路由器、路由交换机、集成接入设备，多路复用设备，以及各种城域网和广域网接入设备。
20.trustzone硬件架构，旨在提供安全框架，从而使设备能够抵御将遇到的众多的威胁。trustzone技术可提供允许soc设计人员从大量可在安全环境中实现特定功能的组件中进行选择的基础结构，而不提供固定且一成不变的安全解决方案。
21.kubernete，是google开源的一个容器编排引擎，它支持自动化部署、大规模可伸缩、应用容器化管理。
22.unix domain socket，进程间通信，用于实现同一主机上的进程间通信。
23.transport layer security，tls，安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。
24.在背景技术中提到越来越多的应用部署到边缘节点的arm设备上，边缘设备的应用保护，目前普遍从以下两个方面进行考虑：
25.1)边缘设备基于指纹的设备和应用授权部署；
26.2)边缘设备应用基于远程鉴权的中心式授权；
27.在边缘设备上基于指纹的设备和应用授权，会存在以下缺点：由于指纹采集的维度与硬件设备相关，而硬件是由硬件生产商提供，无法保证源头不被篡改，即使没有硬件厂商修改，也很难保证对懂得设备固件的攻击者从固件层面复刻指纹维度从而达到攻击的目的，成为恶意的边缘节点设备；在流程上常采用先采集指纹后部署的模式，对应用的部署下发时机造成了制约，不符合云原生部署模式。
28.在采用中心式鉴权的边缘设备上，应用需要依赖外部服务授权，对边缘设备在边缘环境下的网络可用性、通信安全等方面也提出了更高的要求，同时增加了攻击面，比如通过代理绕过远程授权机制来达成攻击。
29.当前已有的边缘设备准入和应用授权方案，还是较为容易遭到恶意节点准入和对授权的绕过，采用中心式授权也额外增加了攻击点。
30.针对上述提到的设备非法准入和应用的非授权使用问题，本公开针对边缘设备提出了一中基于arm可信设备的边缘应用激活和授权的方案，旨在保护边缘设备的安全准入和应用的可信授权。
31.本公开提供的方案能够解决边缘上恶意节点的接入和提供可信应用，并且通过可信应用的授权机制保证运行在节点上的其他应用的安全部署。该方案也具有很高的可扩展性，能够基于此方案扩展多种可信设备的接入，并大大降低上层应用在不同设备上的适配难度，甚至达到零代码适配。
32.下面结合具体实施例对本公开提供的方案进行详细说明：
33.图1是根据本公开实施例的一种应用的可信授权方法的流程图，该方法应用于arm可信设备，arm可信设备在处理器层包括两个不同权限的保护域：第一保护域和第二保护域，该方法包括以下步骤：
34.步骤s101，建立第一保护域中的可信应用与第二保护域中的可信应用之间的关联关系。
35.图2是根据本公开实施例的一种arm可信设备的结构示意图，如图2所示，arm提供了硬件和固件的相关文档，包含设计安全设备的所必需的安全需求。因此在基于arm架构的边缘设备上一般都具备trustzone能力。arm trust-zone是arm公司推出的soc及cpu范围内的安全解决方案，基本原理是通过对原有硬件架构进行修改，在处理器层引入了两个不同权限的保护域—安全世界(trustzone os，即上文中的第二保护域)和普通世界(normal os，即上文中的第一保护域)，任何时刻处理器仅在其中的一个环境内运行。同时这两个世界是硬件隔离的，并具有不同的权限，普通世界中运行的应用程序或操作系统访问安全世界的资源受到严格的限制，反过来安全世界中运行的程序可以正常访问正常世界中的资源。这种两个世界之间的硬件隔离和不同权限等属性为保护应用程序的代码和数据提供了有效的机制，本公开实施例提供的方案就是在基于trustzone技术上构建一套安全的边缘设备准入和可信应用授权方案。
36.在图2所示的结构图中，其前后的授权关系为normal os中可信应用的启动和启动后是否正常提供授权其他应用运行的能力取决于是否与trustzone os中的可信应用(图2中为trusty应用)产生关联，此过程称之为激活。
37.步骤s102，控制第一保护域中除可信应用之外的其他应用通过第一保护域中的可信应用进行本地授权。
38.在normal os中的其他应用(一般指实际的业务应用)在云端下发后基于kubernete部署时是否能够正常运行则是通过本地授权的方式实现，即向normal os中的可信应用访问是否被授权的凭据。
39.通过上述方法，解决了边缘设备上恶意节点接入的问题，并且通过建立普通世界(normal os)和安全世界(trustzone os)之间的关联关系，实现了可信应用的授权机制，可以保证运行在边缘设备上的其他应用的安全部署。
40.根据本技术的一个可选的实施例，执行步骤s101建立第一保护域中的可信应用与第二保护域中的可信应用之间的关联关系，可以通过以下方式实现:将第一保护域中的可信应用的授权信息存储在第二保护域中；将用于启动第一保护域中的可信应用的根密钥存储在第二保护域中。
41.normal os中的可信应用与trustzone os中的可信应用之间产生关联关系可以体现为多种形式：比如normal os中可信应用的授权信息(license)是否存储于trustzone os中、或者启动normal os中可信应用的根密钥是否存储在trustzone os中。
42.因此在本步骤中，建立normal os中的可信应用与trustzone os中的可信应用之间的关联关系可以通过以下方式实现：将normal os中可信应用的授权信息(license)存储于trustzone os中，或者将启动normal os中可信应用的根密钥存储在trustzone os中。
43.在实际应用中，一般采用第二种方式，即将启动normal os中可信应用的根密钥存储在trustzone os中，因为normal os中的上层应用启动时需要根密钥，将根密钥存储在trustzone os中可以防止normal os和trustzone os进行通信的过程中通信内容被窃听，可以实现提高数据的安全性的技术效果。
44.通过上述方法，可以实现基于trustzone的normal os中可信应用的授权机制。
45.根据本技术的另一个可选的实施例，执行步骤s102控制第一保护域中除可信应用之外的其他应用通过第一保护域中的可信应用进行本地授权，包括如下步骤：控制其他应用从第一保护域中的可信应用获取进行本地授权的凭证；依据凭证对其他应用进行本地授权。
46.在本技术的一些可选的实施例中，控制其他应用从第一保护域中的可信应用获取进行本地授权的凭证，通过以下方法实现：通过进程间通信套接字和双向安全传输层协议获取凭证。
47.normal os中除可信应用以外的其他应用(一般指实际的业务应用)进行本地授权的过程中，向normal os中的可信应用访问是否被授权的凭据，该部分的通信一般基于进程间通信套接字(unix domain socket)和双向安全传输层协议(transport layer security，tls)的方式实现，前者保证了通信的效率，后者保证了通信双方的身份认证可靠性。
48.通过以上方法，实现了normal os中可信应用和业务应用的安全部署。
49.作为一个可选的实施例，arm可信设备运行有加密和签名的固件。
50.在本技术的一个可选的实施例中，建立第一保护域中的可信应用与第二保护域中的可信应用之间的关联关系之前，上述方法还包括：利用预设私钥对固件进行解密，并验证固件的签名与预设签名是否一致；在对固件成功解密，且固件的签名与预设签名一致的情况下，触发执行建立第一保护域中的可信应用与第二保护域中的可信应用之间的关联关系。
51.仅基于上述的实现无法保证设备不是恶意的节点。arm设备上trustzone能力提供了安全访问的隔离环境，保证了机密数据可以在trustzone中被存储和隔离，但无法保证trustzone在当前设备上是可信的，依旧存在伪造和克隆trustzone分区的可能，从而将trustzone固件刷入未授权的设备，同时拷贝相关应用到新的设备上授权运行的情况，从而出现恶意节点。因此在上述trustzone功能的基础上，本公开提供的上述技术方案中加入了可信固件和可信启动的概念，即设备刷入的固件是加密和签名后的，在没有私钥的情况下无法实现系统分区的克隆，也无法实现在可信的设备上刷入其他的固件。系统启动的过程中会解密固件并验证固件的签名值是否一致。
52.图3是根据本公开实施例的一种arm可信设备的启动流程图，如图3所示，首先从设备根(soc bootrom)启动；然后对固件进行解密，并验证固件的签名；在固件解密成功，且固件的签名验证通过的情况下，加载kernel。
53.本公开提供的上述方案在arm设备上使用固件加密和签名的机制实现刷入设备的
固件来源可靠，从而保证了节点设备的可信接入；同时利用trustzone os中的可信应用实现normal os中的可信应用激活，而normal os中业务程序的部署和运行基于normal os中的可信应用，从而实现了业务应用的授权部署。并且此方案在迁移不同硬件时也具有相当大的普适性，只需要实现normal os中可信应用适配多种硬件的激活策略，normal os中的业务程序可大大减少适配工作量或零代码适配。
54.本公开提供的技术方案综合考虑设备准入和应用部署的完整链路。可以保护软件资产在可信和授权的边缘节点上运行，同时当边缘节点出现更多硬件类型时，降低业务程序适配的门槛，只需要可信应用适配在不同硬件平台的底层授权实现即可，具有很高的灵活度。
55.本公开的技术方案中，所涉及的用户个人信息的获取，存储和应用等，均符合相关法律法规的规定，且不违背公序良俗。
56.图4是根据本公开实施例的一种应用的可信授权装置的结构框图，如图4所示，该装置包括：
57.建立模块41，设置为建立第一保护域中的可信应用与第二保护域中的可信应用之间的关联关系，其中，第一保护域和第二保护域为arm可信设备在处理器层包括的两个不同权限的保护域。
58.如图2所示，arm提供了硬件和固件的相关文档，包含设计安全设备的所必需的安全需求。因此在基于arm架构的边缘设备上一般都具备trustzone能力。arm trust-zone是arm公司推出的soc及cpu范围内的安全解决方案，基本原理是通过对原有硬件架构进行修改，在处理器层引入了两个不同权限的保护域—安全世界(trustzone os，即上文中的第二保护域)和普通世界(normal os，即上文中的第一保护域)，任何时刻处理器仅在其中的一个环境内运行。同时这两个世界是硬件隔离的，并具有不同的权限，普通世界中运行的应用程序或操作系统访问安全世界的资源受到严格的限制，反过来安全世界中运行的程序可以正常访问正常世界中的资源。这种两个世界之间的硬件隔离和不同权限等属性为保护应用程序的代码和数据提供了有效的机制，本公开提供的方案就是在基于trustzone技术上构建一套安全的边缘设备准入和可信应用授权方案。
59.在图2所示的结构图中，其前后的授权关系为normal os中可信应用的启动和启动后是否正常提供授权其他应用运行的能力取决于是否与trustzone os中的可信应用(图2中为trusty应用)产生关联，此过程称之为激活。
60.控制模块42，设置为控制第一保护域中除可信应用之外的其他应用通过第一保护域中的可信应用进行本地授权。
61.在normal os中的其他应用(一般指实际的业务应用)在云端下发后基于kubernete部署时是否能够正常运行则是通过本地授权的方式实现，即向normal os中的可信应用访问是否被授权的凭据。
62.通过上述装置，解决了边缘设备上恶意节点接入的问题，并且通过可信应用的授权机制，可以保证运行在边缘设备上的其他应用的安全部署。
63.根据本技术的一个可选的实施例，建立模块41包括：第一存储单元，设置为将第一保护域中的可信应用的授权信息存储在第二保护域中；第二存储单元，设置为将用于启动第一保护域中的可信应用的根密钥存储在第二保护域中。
64.normal os中的可信应用与trustzone os中的可信应用之间产生关联关系可以体现为多种形式：比如normal os中可信应用的授权信息(license)是否存储于trustzone os中、或者启动normal os中可信应用的根密钥是否存储在trustzone os中。
65.因此，建立normal os中的可信应用与trustzone os中的可信应用之间的关联关系可以通过以下方式实现：将normal os中可信应用的授权信息(license)存储于trustzone os中，或者将启动normal os中可信应用的根密钥存储在trustzone os中。
66.通过上述装置，可以实现基于trustzone的normal os中可信应用的授权机制。
67.根据本技术的另一个可选的实施例，控制模块42包括：控制单元，设置为控制其他应用从第一保护域中的可信应用获取进行本地授权的凭证；处理单元，设置为依据凭证对其他应用进行本地授权。
68.在本技术的一些可选的实施例中，控制单元，还设置为通过进程间通信套接字和双向安全传输层协议获取凭证。
69.normal os中除可信应用以外的其他应用(一般指实际的业务应用)进行本地授权的过程中，向normal os中的可信应用访问是否被授权的凭据，该部分的通信一般基于进程间通信套接字(unix domain socket)和双向安全传输层协议(transport layer security，tls)的方式实现，前者保证了通信的效率，后者保证了通信双方的身份认证可靠性。
70.通过以上装置，实现了normal os中可信应用和业务应用的安全部署。
71.作为一个可选的实施例，arm可信设备运行有加密和签名的固件。
72.在本技术的另一些可选的实施例中，上述装置还包括：处理模块，设置为利用预设私钥对固件进行解密，并验证固件的签名与预设签名是否一致；触发模块，设置为在对固件成功解密，且固件的签名与预设签名一致的情况下，触发执行建立第一保护域中的可信应用与第二保护域中的可信应用之间的关联关系。
73.仅基于上述的实现无法保证设备不是恶意的节点。arm设备上trustzone能力提供了安全访问的隔离环境，保证了机密数据可以在trustzone中被存储和隔离，但无法保证trustzone在当前设备上是可信的，依旧存在伪造和克隆trustzone分区的可能，从而将trustzone固件刷入未授权的设备，同时拷贝相关应用到新的设备上授权运行的情况，从而出现恶意节点。因此在上述trustzone功能的基础上，本公开提供的上述技术方案中加入了可信固件和可信启动的概念，即设备刷入的固件是加密和签名后的，在没有私钥的情况下无法实现系统分区的克隆，也无法实现在可信的设备上刷入其他的固件。系统启动的过程中会解密固件并验证固件的签名值是否一致。
74.如图3所示，首先从设备根(soc bootrom)启动；然后对固件进行解密，并验证固件的签名；在固件解密成功，且固件的签名验证通过的情况下，加载kernel。
75.本公开提供的上述装置在arm设备上使用固件加密和签名的机制实现刷入设备的固件来源可靠，从而保证了节点设备的可信接入；同时利用trustzone os中的可信应用实现normal os中的可信应用激活，而normal os中业务程序的部署和运行基于normal os中的可信应用，从而实现了业务应用的授权部署。并且此方案在迁移不同硬件时也具有相当大的普适性，只需要实现normal os中可信应用适配多种硬件的激活策略，normal os中的业务程序可大大减少适配工作量或零代码适配。
76.本公开提供的技术方案综合考虑设备准入和应用部署的完整链路。可以保护软件资产在可信和授权的边缘节点上运行，同时当边缘节点出现更多硬件类型时，降低业务程序适配的门槛，只需要可信应用适配在不同硬件平台的底层授权实现即可，具有很高的灵活度。
77.根据本公开的实施例，本公开还提供了一种电子设备、一种可读存储介质和一种计算机程序产品。
78.图5示出了可以用来实施本公开的实施例的示例电子设备500的示意性框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。
79.如图5所示，设备500包括计算单元501，其可以根据存储在只读存储器(rom)502中的计算机程序或者从存储单元508加载到随机访问存储器(ram)503中的计算机程序，来执行各种适当的动作和处理。在ram 503中，还可存储设备500操作所需的各种程序和数据。计算单元501、rom 502以及ram 503通过总线504彼此相连。输入/输出(i/o)接口505也连接至总线504。
80.设备500中的多个部件连接至i/o接口505，包括：输入单元506，例如键盘、鼠标等；输出单元507，例如各种类型的显示器、扬声器等；存储单元508，例如磁盘、光盘等；以及通信单元509，例如网卡、调制解调器、无线通信收发机等。通信单元509允许设备500通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。
81.计算单元501可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元501的一些示例包括但不限于中央处理单元(cpu)、图形处理单元(gpu)、各种专用的人工智能(ai)计算芯片、各种运行机器学习模型算法的计算单元、数字信号处理器(dsp)、以及任何适当的处理器、控制器、微控制器等。计算单元501执行上文所描述的各个方法和处理，例如应用的可信授权方法。例如，在一些实施例中，应用的可信授权方法可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元508。在一些实施例中，计算机程序的部分或者全部可以经由rom 502和/或通信单元509而被载入和/或安装到设备500上。当计算机程序加载到ram 503并由计算单元501执行时，可以执行上文描述的应用的可信授权方法的一个或多个步骤。备选地，在其他实施例中，计算单元501可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行应用的可信授权方法。
82.本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(fpga)、专用集成电路(asic)、专用标准产品(assp)、芯片上系统的系统(soc)、负载可编程逻辑设备(cpld)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。
83.用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。
84.在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(ram)、只读存储器(rom)、可擦除可编程只读存储器(eprom或快闪存储器)、光纤、便捷式紧凑盘只读存储器(cd-rom)、光学储存设备、磁储存设备、或上述内容的任何合适组合。
85.为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，crt(阴极射线管)或者lcd(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。
86.可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(lan)、广域网(wan)和互联网。
87.计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，也可以为分布式系统的服务器，或者是结合了区块链的服务器。
88.应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发公开中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开公开的技术方案所期望的结果，本文在此不进行限制。
89.上述具体实施方式，并不构成对本公开保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本公开的精神和原则之内所作的修改、等同替换和改进等，均应包含在本公开保护范围之内。