HarmonyOS鸿蒙NEXT中如何在设备上（平板）在TEE中调用自己的加解密？

HarmonyOS鸿蒙NEXT中如何在设备上（平板）在TEE中调用自己的加解密？ 如题，有一个自己写的加解密库，c实现的，使用node-api调用这部分没问题。

现在项目要求把需要用到TEE，请问这个该如何处理？是否有案例或者一个简单demo？

回答可以的话请贴出文档，大模型生成内容请运行一下可以使用再回复，感谢

6 回复

开发者您好，可信执行环境（Trusted Execution Environment），简称TEE，是存在于智能手机、平板或任意移动设备主处理器中的一个安全区域，确保各种敏感数据在一个可信环境中被存储、处理和受到保护。在HarmonyOS上，开发者可以使用本地密钥管理来实现在可信执行环境中完成加解密(C/C++)，开发者可以参考下，看下是否可以满足您的诉求。

更多关于HarmonyOS鸿蒙NEXT中如何在设备上（平板）在TEE中调用自己的加解密？的实战系列教程也可以访问 https://www.itying.com/category-93-b0.html


请问自定义格式的密钥是否可以使用HUKS管理？本地密钥管理相关文档好像只能使用官方提供的几种没法满足我的需求

实现加解密C/C++如何实现自定义？

cke_2625.png

看文档好像只支持特定的，我需要的国密与提供的有些区别

我们有自己实现的.so的c库，可以再TEE中调用或者通过node-api调用吗？

尊敬的开发者，您好，TEE环境无法对三方应用暴露，TEE只能为可信应用提供隔离的执行环境，如果对外部三方暴露，会存在一些安全问题，因此TEE环境只能使用系统提供的接口进行加解密，无法使用开发者自己实现的加解密方法。

在HarmonyOS NEXT中，在TEE中调用自定义加解密需使用TEE安全能力框架。首先，通过@ohos.security.huks接口在TEE环境中生成或导入密钥。然后，利用huks模块的init、update和finish方法执行加解密操作。确保加解密逻辑在TEE安全环境中运行，密钥和敏感数据不出TEE。需在module.json5中申请ohos.permission.ACCESS_BIOMETRIC和ohos.permission.ACCESS_BIOMETRIC_INTERNAL权限。

在HarmonyOS NEXT中，要在TEE（可信执行环境）中调用自定义的C语言加解密库，核心是使用@ohos.security.huks（通用密钥库系统）和@ohos.security.cryptoFramework（加解密框架）这两个系统API。你的C库需要被封装为系统可识别的能力，而不是直接运行在TEE中。

核心路径：将你的C库封装为系统级加解密算法

  1. 实现算法引擎：你需要创建一个ArkTS/ C++的“算法操作”类，继承自cryptoFramework中的对应基类（如AsyKeyGenerator、Cipher等）。在这个类的核心方法（如cryptoFramework.Cipher的doFinal方法）中，通过Native API（Node-API）调用你已有的C语言加解密库。
  2. 注册算法：在模块的module.json5配置文件中，通过“extensionAbilities”标签声明你的算法引擎为一个“cryptoEngine”扩展能力。这会将你的算法注册到系统的cryptoFramework中。
  3. 在TEE环境使用：当通过huks生成或导入密钥时，可以指定密钥的“安全级别”为“S4”（或根据设备支持的最高TEE级别）。随后，使用cryptoFramework创建加解密操作（Cipher）时，系统会自动将涉及该密钥的计算调度到TEE中执行。你注册的自定义算法如果被调用，其Node-API部分也会在TEE的安全上下文中运行。

关键代码示意（ArkTS侧）：

// 1. 使用Huks在TEE中生成一个密钥
import { huks } from '@ohos.security.huks';

let keyAlias = 'my_tee_key';
let properties: Array<huks.HuksParam> = ... // 包含算法、密钥用途、安全级别S4等
let options: huks.HuksOptions = {
  properties: properties
};
await huks.generateKey(keyAlias, options);

// 2. 使用CryptoFramework进行加解密，系统会自动关联TEE中的密钥
import { cryptoFramework } from '@ohos.security.cryptoFramework';

let cipherAlgName = 'YourCipherAlgName'; // 你注册的自定义算法名称
let cipher = cryptoFramework.createCipher(cipherAlgName);
await cipher.init(cryptoFramework.CryptoMode.ENCRYPT_MODE, key, null); // key从Huks获取
let cipherData = await cipher.doFinal(plainData);

关于你的C库：你需要为其编写Node-API绑定代码，并在算法引擎的Native方法中调用。系统在TEE中执行时，会加载你的so库。

重要文档：

  • 加解密框架：这是注册和使用自定义算法的核心指南。
  • 通用密钥库系统：了解如何生成、管理TEE级别的密钥。
  • Native API开发：在DevEco Studio中创建Native C++项目，参考模板编写Node-API接口。

当前限制：HarmonyOS NEXT的TEE访问是高度结构化的，没有提供直接向TEE环境任意加载并执行自定义C代码的通用接口。你必须遵循上述框架，将你的能力封装成系统可管理的“算法”。目前官方并未提供将完整自定义C库直接部署到TEE的公开Demo，你需要基于上述框架和文档进行适配。

请务必在真机（支持TEE且已开通相关权限）上进行开发和测试。

回到顶部