虛擬SIM APP提供與用戶交互的界面，可供用戶登錄、訂購虛擬卡套餐、激活以及去激活虛擬卡。合法用戶登錄用戶中心后就可以進(jìn)行虛擬卡的相關(guān)操作。用戶訂購虛擬卡套餐后會在后臺執(zhí)行虛擬卡參數(shù)下載以及保存的流程，保存的虛擬卡參數(shù)會在用戶到達(dá)漫游地后由用戶選擇啟用虛擬SIM卡套餐。啟用的虛擬SIM卡經(jīng)鑒權(quán)認(rèn)為合法就可以使用相應(yīng)的套餐，連接相應(yīng)的網(wǎng)絡(luò)，使用目的地?cái)?shù)據(jù)服務(wù)了。

2.4 虛擬SIM卡安全框架設(shè)計(jì)

本系統(tǒng)基于ARM TrustZone[3]技術(shù)實(shí)現(xiàn)虛擬卡用戶數(shù)據(jù)的安全傳輸與保存。目前主流的安全防范措施包括SoC設(shè)計(jì)外置硬件安全模塊、SoC設(shè)計(jì)內(nèi)置硬件安全模塊、軟件虛擬化技術(shù)以及ARM TrustZone技術(shù)，TrustZone是保護(hù)系統(tǒng)安全的比較好的解決方案。把Virtual SIM運(yùn)行在TEE環(huán)境里面，以確保SIM數(shù)據(jù)的安全存儲和運(yùn)行安全。系統(tǒng)框架如圖4所示，其中主要包含REE、TEE、硬件平臺。

REE指的是普通執(zhí)行環(huán)境，也就是常說的Android或者iOS操作系統(tǒng)，其中運(yùn)行普通應(yīng)用，本系統(tǒng)基于Android 4.4系統(tǒng)進(jìn)行開發(fā)。TEE指的是可信執(zhí)行環(huán)境，其中運(yùn)行可信程序，執(zhí)行安全操作，為REE提供安全服務(wù)。硬件平臺指的是支持ARM TrustZone技術(shù)的芯片。

虛擬卡安全的實(shí)現(xiàn)主要涉及圖中灰色部分，下面描述各部分詳細(xì)的功能。

(1)運(yùn)行在REE中的Virtual SIM應(yīng)用（CA）

虛擬卡應(yīng)用運(yùn)行在普通執(zhí)行環(huán)境中，以下簡稱CA。CA是對安全要求較高的一類應(yīng)用，通過CA，用戶可以與虛擬卡進(jìn)行交互，實(shí)現(xiàn)業(yè)務(wù)購買、業(yè)務(wù)激活以及業(yè)務(wù)關(guān)閉等操作。

(2)TEE Client API

TEE Client API是運(yùn)行于REE中的CA與運(yùn)行于TEE中的TA之間進(jìn)行通信的接口。通過該標(biāo)準(zhǔn)接口實(shí)現(xiàn)TEE環(huán)境的初始化。CA通過接口調(diào)用建立CA 與TA之間的聯(lián)系，實(shí)現(xiàn)安全服務(wù)的調(diào)用。

(3)TrustZone驅(qū)動

TrustZone驅(qū)動位于Linux內(nèi)核，是一個虛擬的TrustZone硬件驅(qū)動程序。CA調(diào)用TEE Client API時，TEE Client API會調(diào)用TrustZone驅(qū)動，由TrustZone驅(qū)動生成smc指令，進(jìn)入Monitor模式，完成系統(tǒng)切換。