1.中国-东盟信息港股份有限公司 广西南宁 530022；2.广西东信易联科技有限公司 广西南宁 530022
摘要：本论文首先介绍基于终端安全加密存储系统技术研究的基本原理介绍，对其中涉及到的各个模块介绍：数据接口、编解码模块、存储模块分别进行介绍，其中全过程基于标准证书形式，提供了一种新安全储存的方案；后面对部署实施过程进行验证，最后得出结论。
关键词：TrustZone技术；TEE技术；API接口
一、背景介绍
现有安全应用中关于关键敏感数据，主要是加密存储在终端侧的内存里，这种存储方式对于数据的安全性较低，容易被获取并强行破解；基于trustzone机制的安全侧，由于内部资源有限，很多方案都是简单的运行一些简单的算法实现验证来保证安全，缺少一个按照标准证书形式的安全方案。
本项目研究一种加密存储装置和安全存储系统，加密存储装置包括数据接口、与数据接口连接的控制模块、分别与控制模块连接的第一认证模块和加解密模块及与加解密模块连接的存储模块；控制器用于将身份认证信息发送至第一认证模块；第一认证模块用于在身份认证信息与预先存储的身份信息匹配时向控制模块发送身份认证成功的信息；控制模块还用于在接收到身份认证成功的信息时，通过加解密模块向存储模块中写入数据和/或读取存储模块中存储的数据；加解密模块用于对待写入的数据进行加密和/或在将从存储模块中读取的数据发送至控制器之前对所读取的数据进行解密。但是该系统依托控制模块实现加解密控制及处理，但是也没有提供一个按照标准证书形式的安全方案。
二、终端安全加密存储系统技术原理研究
本方案目的是，针对上述问题，提供了一种终端安全加密存储系统，其基于硬件模块设立按照标准证书形式加密验证存储，为安全存储提供了新的形式。
.png)
图1
为达到上述目的如上图所示，本论文方案的终端安全加密存储系统，其特征在于：
数据接口，用于接收API传入编码数据，并发送到编解码模块中；
编解码模块，对接收的数据参数进行解码处理，并发送到加解密模块中；
加解密模块，用于对进行解码后的数据进行加密处理，并发送到存储模块中，
存储模块，对发送数据进行写入。
其中、还包括证书分析合成模块、证书验证模块，所述证书分析合成模块连接数据接口和证书验证模块，证书验证模块连接加解密模块。
数据接口接收API传入编码数据，并将编码数据发送到编解码模块，编解码模块对编码数据进行解码，同发送证书合成请求到证书分析合成模块，并将合成后证书发送到证书验证模块，证书验证模块对证书进行验证并根据发送得到的验证结果到加解密模块；加解密模块根据所述验证结果对编解码模块发送的解码数据进行不同加密处理；存储模块对不同加密处理的数据进行写入。
编解码模块进行解码处理时，根据解码数据类型发送不同证书合成请求到证书分析合成模块。
加解密模块接收到解码数据时，对证书验证模块发送出验证结果请求。
存储模块根据不同的安全需求对数据提供不同等级的硬件存储写入。
加解密模块、存储模块和证书验证模块设置在同一存储硬件中。
由于采用上述技术方案，本项目具有以下有益效果：
本方案中数据接口、编解码模块、加解密模块、证书分析合成模块、证书验证模块和存储模块均以功能硬件形式存在，其中数据接口、编解码模块、证书分析合成模块可以放在在接口端的硬件单元中，加解密模块、证书验证模块和存储模块可以设置在存储硬件模块中，这样存储和数据写入是一一对应的，如果存储硬件被拆除而无法单独写入和读取，这样保证了信息安全，同时建立看一种按照标准证书形式加密验证存储加密存储形式。
三、部署实施研究
.png)
图2
如图2所示，一种终端安全加密存储系统包括数据接口，用于接收API传入编码数据，并发送到编解码模块中；编解码模块，对接收的数据参数进行解码处理，并发送到加解密模块中；加解密模块，用于对进行解码后的数据进行加密处理，并发送到存储模块中，存储模块，对发送数据进行写入。
如图1所示，包括证书分析合成模块、证书验证模块，证书分析合成模块连接数据接口和证书验证模块，所述证书验证模块连接加解密模块。数据接口接收API传入编码数据，并将编码数据发送到编解码模块，编解码模块对编码数据进行解码，同发送证书合成请求到证书分析合成模块，并将合成后证书发送到证书验证模块，证书验证模块对证书进行验证并根据发送得到的验证结果到加解密模块；加解密模块根据所述验证结果对编解码模块发送的解码数据进行不同加密处理；存储模块对不同加密处理的数据进行写入。
具体的，编解码模块进行解码处理时，根据解码数据类型发送不同证书合成请求到证书分析合成模块。加解密模块接收到解码数据时，对证书验证模块发送出验证结果请求。存储模块根据不同的安全需求对数据提供不同等级的硬件存储写入。
其中，其中数据接口、编解码模块、证书分析合成模块可以放在在接口端的硬件单元中，加解密模块、证书验证模块和存储模块可以设置在存储硬件模块中。为了读取和写入均具有安全验证，这里证书分析合成模块可以使用具有证书分析、合成、验证功能的第一验证模块替代；证书验证模块可以使用具有证书分析、合成、验证功能的第二验证模块替代。
在具体实现中，本方案对终端侧的内存数据进行保护，上述模块可以为具有对应功能的硬件单元，也可以是预先烧录程序的硬件。例如，基于TrustZone 技术的安全可执行环境TEE能够提供基于硬件的安全服务时；TEE英文全称为Trust Execution Environment，即可信执行环境；操作时，用户通过数据接口API 传入各种编码格式的数据，抽象数据ASN.1、base64等各种编码；然后，编解码模块和第一验证模块对传入的数据首先进行对应的解码，同时，根据需要提供各种标准的证书格式的数据分析与合成；再者，加解密模块和第二验证模块对数据的加解密、证书的验证签名以及签名操作；最后，存储模块根据不通的安全需求，提供不同等级的加密以及存储保护，分别有安全文件系统级别以及更安全的硬件存储方式。
四、结论
上述说明是针对本论文方案可行实施案例的详细说明。本方案基于标准证书形式的安全储存方案，可以在各类终端设备上进行集成，尤其是物联网快速发展，敏感数据的保护、可信任终端的需求越来越高，本套方案具备非常高的经济与社会效益。
参考文献：
[1]岳晨旭.基于TrustZone技术的Linux安全模块隔离方法研究[D].南京大学，2017.
[2]赵泽茂；数字签名理论及应用研究[D]；南京理工大学；2005年
[3]郭智强；椭圆曲线密码系统标量乘算法研究[D]；合肥工业大学；2007年