(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111671696.7 (22)申请日 2021.12.31 (71)申请人 中易通科技股份有限公司 地址 518000 广东省深圳市南 山区西丽 街 道松坪山社区乌石头路8号天明科技 大厦1310 (72)发明人 刘俊　 (74)专利代理 机构 深圳市中兴达专利代理有限 公司 44637 代理人 危祯 (51)Int.Cl. G06F 21/62(2013.01) G06F 21/60(2013.01) (54)发明名称 一种基于安全芯片的多用户分区隔离方法 (57)摘要 本发明提供一种基于安全芯片的多用户分 区隔离方法， 主用户使用原生的流程， 所有数据 存放在data分区， 当新用户创建时， 系统从硬件 层面划分一个独立的分区cells， 所有新建用户 的所有数据存放在独立的分区下面， 各用户之间 无法跨物理分区进行相互的数据访问， 保证数据 的安全性。 本发明的有益效果在于： 本技术方案 是结合安全芯片和多用户技术设置独立系统分 区， 从物理上与系统分开， 使数据物理隔离， 防止 用户数据遭泄露， 同时限制访问权限， 保证系统 分区的数据的安全， 提供数据加密服务， 提高了 数据的安全级别， 并且设置了自毁功能， 可以从 根本上防止分区数据被窃取， 保证了用户信息的 安全。 权利要求书3页 说明书6页 附图6页 CN 114357514 A 2022.04.15 CN 114357514 A 1.一种基于安全芯片的多用户分区隔离方法， 其特征在于， 主用户使用原生的流程， 所 有数据存放在data分区， 当新用户创建时， 系统从硬件层面划分一个独立的分区cells， 所 有新建用户的所有数据存放在独立的分区下面， 各用户之 间无法跨物理分区进行相互的数 据访问， 保证数据的安全性。 2.如权利要求1所述的一种基于安全芯片的多用户分区隔离方法， 其特征在于， 所述新 用户使用独立分区cells， 在编译系统源码时生成cells.img并在partition分配时， 分配好 所需的大小， i nit.rc中配置 cells分区初始化目录， 其中： cells/user| user_de user目录存放 新分区用户的ap p及其数据； cells/system|system_ce|system_de目录存放 新分区用户的相关系统设置数据； cells/vendor_ce|vendor_de目录存放厂 商定制部分相关数据； cells/misc|misc_ce|misc_de目录存放引导恢复信息及关键设置数据 cells/media目 录存放应用的共享存 储目录。 3.根据权利要求2所述的一种基于安全芯片的多用户分区隔离方法， 其特征在于， 系统 启动时， 解析i nit.rc文件时， 会创建以上相关目录， 并配置好对应的sel inux。 4.根据权利要求2所述的一种基于安全芯片的多用户分区隔离方法， 其特征在于， 新用 户创建时， 所述分区c ells创建目录： rootdir中增加c ells目录的相关结构， 在init.rc中创 建cells/media user system vendor相关目录， 在init.env iron.rc.in中增加全局属性指 向cells根目录； init.rc中增加相关逻辑， 实现init在做cells.img挂载时与安全芯片的交互功能， 通 过安全芯片的验证校验成功后， 才能进行cel ls.img的挂载； Vold中新增cells根目录接 口， 系统主用户返回/data为根目录 的文件路径， 而所有新 用户返回以/ cells为根目录的文件路径； 在fscrypt中修改逻辑， 用以适配分区的FBE流 程； Sdcard中针对mnt目录的相关挂载， 增加相关逻辑， 当进行新用户的分区目录挂载时， sdcardfs机制使用"/mnt/cellsruntime/default/""/mnt/cellsruntime/read/""/mnt/ cellsruntime/write/" "/mnt/cellsruntime/ful l/"相关目录； 在系统sepolicy中增加cells目录的file_context， 以cells_file为上下文管控新建 分区里所有目录文件的安全上下文， 同时针对cells目录的几个相关主目录增加单独的安 全上下文， 并在相关的te文件中增 加对cells_file的allow规则； 在版本sepolicy中同时针对分区新增对应的block_device， 配置好针对此block_ device相关的规则； 在initfsck e2fs resize相关te中增 加对cells block_device的相关规则支持； External的libselinux中， 增加分 区相关目录比如cells/user目录的安全策略处理逻 辑。 5.如权利要求1所述的一种基于安全芯片的多用户分区隔离方法， 其特征在于， 新用户 创建时， 还包括在zygote的相关多用户逻辑中进行修改， zygote进行i solateAppData时， 根 据userid， 新用户的ce、 de目录返回分区目录(cells/user  cells/user_de)， 同时relabel 分区目录的上 下文； 在environment系统环境变量中， 增加getCellsDirectory方法返回分区根 目录， 同时权　利　要　求　书 1/3 页 2 CN 114357514 A 2新建的非主用户在获取目录时， 返回以cel ls为根的对应的目录及子目录； Installd服务 中与vold服务同步修改， 新用户返回新分区根目录及相关目录、 子目录， InstallNativeService中针对新用户相关的逻辑同步 修改， 以适配新分区。 6.根据权利要求1所述的一种基于安全芯片的多用户分区隔离方法， 其特征在于， 新用 户创建时， 还包括系统Buil d中的修改， 增加相关逻辑生成cells的目录及cells.img， 根据 当前版本的规则在Makefile  build_image.py  common.py  add_img_to_target_files.py 等相关脚本中增加生成cells镜像的规则， 这样在全系统编译完成后， 生成独立的cells镜 像； 在当前版本中增加分区cells的全局参数,版本rc文件init.mtxxxx.rc及factory_ init.rcmeta_init.rc中增加/cells分区目录的赋权限及属主归置， 同时对/cells目录进 行restoreco n_recursive； 在当前版本的fstab中增加DEVPATH(cells)/cells根目录的挂载， 配置分区的格式为 ext4； 在ptgen分区表partition_table_emmc.csv中增加cells分区,cells,EXT4, 61457280,,EMMC_USER,UFS_LU2,,N,Y,cells.img,N,N,Y,,Y,,AUTO， 按照实际需要配置分 区的大小。 7.根据权利要求1所述的基于安全芯片的多用户分区隔离方法， 其特征在于， 新用户创 建时， 还包括FBE流 程的修改： 在init.rc中针对cells分区增加installkey， init进程在 解析rc文件时， 根据cells的 installkey对cells分区的加密方式进行解析， 使用keymaster  key加密生成cells分区的 global keys,并将生成的keys加入到密钥环(keyri ng)中； 在init进程进行用户初始化的时候， 生成用户态的CE  DE key， 并将密钥存放在对应目 录,密钥生成后加入keyri ng； Fscrypt中多用户的处理流程做相关改动， 当新建用户使用独立分区cells时， 创建相 关的CE DE目录， 并设置相关的加密策略(key  ref)。 8.根据权利要求4所述的一种基于安全芯片的多用户分区隔离方法， 其特征在于， 新用 户创建时， 还包括在sepolicy模块配置安全上下文及规则， 同时安全服务贯穿整个框架层 在zygote  initvold  install服务运行过程中向libselinux发起安全检查、 上下文检查匹 配， 最终进入内核空间Sel inux文件系统做最终的安全检查。 9.根据权利要求8所述的基于安全芯片的多用户分区隔离方法， 其特征在于， 在新用户 空间配置安全上下文及规则， 在sepolicy模块中增加新分区相关的安全上下文cells_ file， 同时由于cells分区是独立的块设备， 需要配置相关的cells_block_device， 配置上 下文同时， 需要针对新增的安全上 下文在不同的te实体上增 加一系列的安全规则； 同时基于新分区的多用户， 在新用户的创建、 启动流程中需要针对新分区做相应的流 程改变， 在zygote中创建新用户时需要增加对/cells/user相关的目录的relabel， 在vold 中进行emulate的lock与u nlock时， 需要增加对新 分区目录进行setfilecon和restorecon， 在installd服务中新用户创建应用数据时需要基于新分区目录进行restorecon_app_ data； libsel