目前,移动设备的广泛应用使得其安全问题受到了越来越多的关注。针对移动设备操作系统系统内核存在安全缺陷、管理机制不完善等问题,国内外现有的解决方案是遵循GlobalPlatform的可信运行环境规范的相关技术提高移动终端安全的硬件层安全。虽然,可信运行环境可以以较低成本达到一个中等保护的级别,但是仍存在一些不足。在面对芯片攻击、共享资源攻击等攻击时仍存在存储安全性不够、防篡改能力不高等不足。因此,对可信运行环境的加固迫在眉睫。本文以提升可信运行环境的完整性和机密性为目的,进行的主要研究有以下几个方面:1.研究了原启动阶段的引导流程,以TCG组织定义的可信根和信任链为原理,以可信计算技术中的数字签名技术为手段,建立了可信引导流程,解决了原引导流程的完整性未得到保证的问题。2.针对原引导流程中需要加载的可信操作系统内核镜像机密性未得到保证的问题,提出了采用安全单元的方法,设计了软硬件架构,达到从安全单元加载可信操作系统内核镜像的目的。3.研究了当前TEE OS的安全服务流程,结合密码运算相关理论,定义了用于密码运算的统一规范接口,解决了密码运算中CA和TA需要多次数据交换的问题。4.针对当前TEE OS密码运算依靠软件库实现以及不支持国密算法的问题,研究了当前TEE OS密码运算流程,提出了以安全单元为核心硬件支撑密码运算的框架,达到了提升当前TEE OS密码运算机密性和支持国密算法的目的。实验结果表明,数字签名技术保证了可信启动各个阶段镜像完整性,安全单元既保证了可信启动阶段操作系统镜像机密性又保证了规范接口中密码运算的机密性,最终达到了对可信运行环境整体的加固。