CN102724204A - 一种安全可信的能力开放平台 - Google Patents

Abstract

本发明公开了一种安全可信的能力开放平台，包括发布审核系统、授权认证系统及安全中间件服务器。发布审核系统对第三方应用进行发布审核，确保接入到能力开放平台的第三方应用是安全可信的，从而避免了由于第三方应用自身的漏洞带给平台的安全威胁或第三方应用成为整个能力开放平台的攻击后门；授权认证系统对第三方应用访问能力开放平台提供资源进行授权及认证管理，确保了资源的合法访问，从而可以避免越权访问所造成的经济损失；最后，对第三方应用提供开放的安全中间件服务，增加第三方应用自身的安全性，最大限度的降低了开发难度及开发成本，提高第三方应用的开发效率，从而提高了整个能力开放平台的实用性、方便性以及灵活性。

Description

一种安全可信的能力开放平台

技术领域

本发明属于能力开放平台安全技术领域，更为具体地讲，涉及一种安全可信的能力开放平台。

背景技术

能力开放平台是近几年来国内外兴起的一种网络开放模式，07年由Facebook最先推出开，之后，国内外著名的互联网公司及电信运营商都陆续进入了开放平台时代，如：GoogleAPP、人人网、中国电信等。

能力开放平台对业务能力进行封装，以统一的API（Application ProgrammingInterface，应用程序编程接口）形式开放给第三方应用，从而降低开发门槛，其开放的业务能力包括：短信、彩信等电信能力；地图、云存储等IT能力及终端用户私有数据能力。

能力开放平台主要有两大特征：其一是以 Web Service 形式开放统一的OpenAPI，提供给第三方开发者开发应用程序；其二是第三方应用程序会部署到能力开放平台，能力开放平台统一开放给终端用户。由于能力开放平台具有的开放特点，不可避免的带来很多安全问题。作为能力开放平台的领跑者，Facebook在运营初期就遭受了终端用户隐私泄漏、开放接口越权访问等安全问题，随着攻击手段的提高，更多针对能力开放平台的安全威胁将不断涌现。近期关于能力开放平台及其第三方应用的安全置疑也不断出现。由于第三方应用的接入，其自身的漏洞会成为整个能力开放平台的攻击点。每一次安全问题的出现，对于能力开放平台的打击和影响都是无可预估的，它不仅仅对终端用户粘度和终端用户信赖程度造成了影响，而且更多地制约了开放的程度。

不难看出，对于能力开放平台安全机制的研究和设计不仅仅需要处理一般平台可能遭受的漏洞和攻击，而且还要根据能力开放平台的新特性完成安全策略和机制的设计和研究，最终达到与安全机制的完美融合才能保证能力开放平台真正意义上的能力开放。

综合以上分析，能力开放平台面临如下安全问题：

1、安全独立性是一个非常容易被忽视或者误解的问题。能力开放平台在考虑平台自身的安全的同时，不能忽略参与构成整个开放环境的第三方应用。

2、能力资源访问的合法性。能力开放平台开放的能力资源部分是计费的，基于利益驱使，可能会遭受越权访问。

能力开放平台作为一种复杂的新模式，目前还没有形成一套较完善的安全架构和规范，不断层出的安全问题成为了国内外平台发展的隐患。因此研究能力开放平台的安全架构和安全技术成为了能力开放平台发展的重要任务之一。

发明内容

本发明的目的在于克服现有能力开发平台安全管理的不完善，提供一种安全可信的能力开放平台，以实现对第三方应用安全性和访问合法性的管理，消除对能力开发平台的安全威胁。

为了实现上述目的，本发明安全可信的能力开放平台，包括开发生成服务器、能力服务器以及部署运行服务器，其特征在于，还包括：

一发布审核系统，用于对开发生成服务器中开发生成的第三方应用在发布给用户前进行发布审核，发布审核包括基础审核、质量测试及安全扫描三个方面；

发布审核系统为安全的第三方应用赋予一个安全码（Safe Key），其中，无后台第三方应用在获取安全码后即可通过能力开放平台进行发布，提供给终端用户下载使用；而获取了安全码的有后台的第三方应用则将其后台部署到平台提供的部署运行服务器中，前台进行发布，提供给终端用户下载使用；

终端用户运行使用第三方应用，向能力开放平台发送访问请求消息；

一授权认证系统，包括授权服务器和认证服务器，用于对第三方应用的访问请求进行授权及认证，其中访问请求包括第三方应用标识符（APP Key）、私钥（APP Secret）及安全码（Safe Key）、访问资源范围（Scope）及相应的操作（如：读，写，执行等）；在该能力开放平台中，请求访问的资源包括了能力资源及安全服务资源，能力资源由能力服务器提供，安全服务资源由安全中间件服务器提供；该授权认证过程包括三个阶段：

第一阶段，授权服务器检验第三方应用有效性，即第三方应用身份以及安全码是否合法，如果不合法，则拒绝其访问，如果合法，则进行第二阶段；

第二阶段，授权服务器将重定向授权页面给终端用户，授权页面显示合法的第三方应用请求访问资源范围及相应的操作，请求终端用户进行授权；如果终端用户不授权，则拒绝其访问，如果授权，则发送给第三方应用一个访问令牌（Access Token），则进入第三阶段；

第三阶段，第三方应用拿着访问令牌经过认证服务器认证为合法后即可访问能力服务器中访问资源范围（Scope）内的能力资源及安全服务资源；

一安全中间件服务器，用于向第三方应用提供安全服务资源；该服务器会将安全服务按照能力资源相同方式进行封装，并把安全服务资源作为一种平台能力开放给第三方应用，如第三方应用可以调用安全中间件服务器封装好的“数据加密”这个安全服务，开发出具有“数据加密”安全属性的应用；安全中间件服务器提供的安全服务资源可以进行修改、增加和删除，但对于第三方应用是透明的，而安全服务资源的改变也不会影响到第三方应用的主体功能。

本发明的发明目的是这样实现的：

本发明针对能力开放平台开放的特点，提出了一种安全可信的能力开放平台，为能力开放平台的开发提供一个安全保障。本发明安全可信的能力开放平台能对第三方应用进行发布审核，确认为安全可信后才能进行部署和发布，当第三方应用在运行过程中调用能力开放平台开放的资源，即API时，需要对其进行授权和认证，确认在其授权范围内才能给予相应的能力资源，同时将安全服务资源作为中间件开放给第三方应用。

在本发明中，考虑到第三方应用接入到能力开放平台这一开放特性，对第三方应用进行发布审核，确保接入到能力开放平台的第三方应用是安全可信的，从而避免了由于第三方应用自身的漏洞带给平台的安全威胁或第三方应用成为整个能力开放平台的攻击后门；同样，考虑了开放接口越权访问的安全问题，对第三方应用访问能力开放平台提供资源进行授权及认证管理，确保了资源的合法访问，从而可以避免越权访问所造成的经济损失；最后，对第三方应用提供开放的安全中间件服务，增加第三方应用自身的安全性，最大限度的降低了开发难度及开发成本，提高第三方应用的开发效率，从而提高了整个能力开放平台的实用性、方便性以及灵活性。

附图说明

图1是本发明安全可信的能力开放平台工作流程图；

图2是本发明安全可信的能力开放平台一种具体实施方式原理图；

图3是图2所示发布审核系统的时序图；

图4是图2所示授权认证系统的时序图。

具体实施方式

下面结合附图对本发明的具体实施方式进行描述，以便本领域的技术人员更好地理解本发明。需要特别提醒注意的是，在以下的描述中，当已知功能和设计的详细描述也许会淡化本发明的主要内容时，这些描述在这里将被忽略。

图1是本发明安全可信的能力开放平台工作流程图。

在本实施例中，如图1所示，本发明安全可信的能力开放平台工作流程包括：

步骤1：发布审核阶段

对开发的第三方应用进行发布审核，如果不安全，能力开放平台拒绝其接入，发布审核系统不赋予其安全码，不进行发布；如果安全，则同意其接入，发布审核系统赋予其一安全码，进行下一阶段；

步骤2：部署阶段

如果第三方应用有后台，则部署将后台到部署运行服务中，前台进行发布，提供给第三方应用用户下载使用，然后进入下一阶段；如果无后台，则直接提供给第三方应用用户下载使用，进入下一阶段；

步骤3：授权认证阶段

授权认证过程包括两个阶段：

第一阶段，授权服务器检验第三方应用有效性，即第三方应用身份以及安全码是否合法，如果不合法，则拒绝其访问，如果合法，则进行第二阶段；

第二阶段，授权服务器将重定向授权页面给终端用户，授权页面显示合法的第三方应用请求访问资源范围及相应的操作，请求终端用户进行授权；如果终端用户不授权，则拒绝其访问，如果授权，则发送给第三方应用一个访问令牌（Access Token）；

步骤4：资源调用阶段

第三方应用拿着访问令牌经过认证服务器认证为合法后即可访问能力服务器中请求访问资源范围（Scope）内的能力资源及安全服务资源。具体为判断第三方应用是否使用安全中间件API，如果没有使用安全中间件API，直接调用能力资源，即开放能力API；如果使用安全中间件，就同时调用开放能力API和安全中间件API，即按全服务资源。

图2是本发明安全可信的能力开放平台一种具体实施方式原理图。

首先，所涉及的角色及其功能进行说明。

本发明中涉及的角色包括：第三方应用、终端用户、开发生成服务器、发布审核系统、部署运行服务器、授权认证系统、能力服务器、安全中间服务器。其中，第三方应用是基于开放平台提供的能力接口开发的程序与软件，第三方应用既可以是有后台服务器的应用，也可以是无后台服务器的桌面应用；终端用户是正在使用第三方应用的人；开发生成服务器是提供开发者开发第三方应用的环境；发布审核系统是用于对需要在能力开放平台中进行发布的第三方应用进行审核的；部署运行服务器是用于部署有后台第三方应用的后台服务器的；授权认证系统完成第三方应用访问能力接口，即资源的授权认证管理功能；能力服务器通过能力接口，提供如短信、语音、定位、微博、云存储等能力访问服务；安全中间件服务器通过接口提供安全服务，如：数据加密、Https等。

图3是图2所示发布审核系统的时序图。

在本实施例中，如图3所示，本发明第三方应用发布审核具体步骤如下：

步骤101：需要发布的第三方应用提交到能力开放平台的发布审核系统；

步骤102：发布审核系统对第三方应用进行基础审核，基础审核的内容包括：应用的内容、基本功能、应用插件的规范、应用中的广告，以及应用中的超链接等；

步骤103：发布审核系统对第三方应用进行质量测试，包括响应速度及服务稳定性、应用环境兼容性等；

步骤104：发布审核系统对第三方应用进行安全扫描，安全扫描内容包括：应用程序有无影响终端用户体验的bug，有无病毒木马等破坏性程序，会不会带来安全漏洞等问题；该应用扫描通过静态的代码检测和动态的沙盒运行两个阶段进行，以期更完善的检测恶意代码；

步骤105：发布审核系统通过上述审核，确认应用符合审核标准之后，发送一个安全码（Safe Key）给第三方应用，表示该第三方应用是安全可信的；

步骤106：第三方应用获得安全码Safe Key之后，如果该第三方应用是有后台的，则执行步骤1061，把第三方应用的后台部署到部署运行服务器中，并执行步骤10612进行该应用的发布，供终端用户下载安装；如果该第三方应用是无后台的，则执行步骤1062，将第三方应用发布出去，给终端用户下载安装。

图4是图2所示授权认证系统的时序图。

在本实施例中，如图4所示，本发明对第三方应用的授权认证具体步骤如下：

步骤201：用户运行使用第三方应用，向能力开放平台发送访问请求消息；该请求消息包括，第三方应用的App Key及APP Secret、安全码Safe Key及访问资源范围（Scope）及相应的操作。其中，第三方应用的App Key及APP Secret用于证明第三方应用的身份信息；第三方应用的安全码Safe Key用于表明该第三方应用是经过发布审核系统证明为安全的；访问资源范围Scope包括访问的能力API（Capability  API）及安全中间件API（Safe API），表示为Scope{Capability API,Safe API}；操作主要有第三方应用需要对资源进行读、写或执行等；

步骤202：授权认证系统检验第三方应用身份以及安全码Safe Key是否合法，如果这些参数都是合法的，授权认证系统中的授权服务器将重定向授权页面给终端用户，授权页面显示合法的第三方应用请求访问资源范围及相应的操作，请求终端用户进行授权；

步骤203：终端用户进行授权，并把授权结果返回给授权服务器；

步骤204：授权服务器收到终端用户的授权许可之后，随机生成授权码，即访问令牌Access Token，并发回给第三方应用。

步骤205：第三方应用携带自身的第三方应用APP Key及APP Secret、访问令牌Access Token、访问资源范围（Scope）{Capability API,Safe API}，发送给认证服务器。认证服务器检验这些信息的有效性，如果有效转向206，无效，则拒绝访问。

步骤206：认证服务器将第三方应用携带的Scope中的Capability API提交给能力服务器。

步骤207：能力服务器返回Scope中指示的能力的调用结果。

步骤208：认证服务器将第三方应用携带的Scope中的Safe API提交给安全中间件服务器。

步骤209：安全中间件服务器返回Scope中指示的安全中间件的调用结果。

实例：

无后台第三方应用：(以云照片打印应用为例)

1、开发者在开发生成服务器中，开发了一个PC端上的云照片打印应用，该云照片是终端用户存储在能力开放平台提供的云存储中的私有照片，是一种私有资源，同样可以视为能力开放平台提供的能力资源，即云照片能力资源。当该云照片打印应用去访问云照片能力资源时，由于访问到的是终端用户的私有资源，需要获得云照片所有者的授权。

2、开发完成之后，发布审核系统进行安全审核（步骤101），第三方应用经过步骤102、103、104的安全审核之后，如果不安全就拒绝发布，如果第三方应用安全，进行步骤105，发布审核系统分配第三方应用一个安全码Safe Key，然后开发者执行步骤1062发布应用，提供给用户下载。

3、用户安装这个云照片打印应用后，当用户需要打印照片信息时，第三方应用执行步骤201，发送相应的第三方应用APP Key及APP Secret、安全码SafeKey及访问资源范围Scope{GetPicture，NULL}给能力开放平台，其中Scope表示了这个第三方应用需要调用的能力API，是获取终端用户照片GetPicture API，而且因为开发者没有使用安全中间件API，所以Scope中不需要标识这个范围。

在本实例中，消息具体参数如表1所示。

表1

4 授权认证系统对第三方应用进行授权认证，执行步骤202检验第三方应用身份以及安全码Safe Key是否合法，如果合法重定向授权页面给终端用户；终端用户可以根据第三方应用需要调用的能力API进行授权，如步骤203，本例是允许第三方应用获取终端用户的照片；通过终端用户授权之后，授权系统执行步骤204，给第三方应用发放一个访问令牌Access Token；然后第三方应用携带自身的第三方应用APP Key及APP Secret、访问令牌Access Token、访问资源范围（Scope）{Capability API,Safe API}访问认证服务器（步骤205）。

5、通过了认证服务器的认证，能力服务器根据访问资源范围Scope的能力API范围，允许第三方应用调用获取终端用户照片的能力API（步骤206），最后第三方应用就可以用该获取终端用户照片能力API，获取终端用户的个人照片（步骤207），最后调用PC的打印机进行打印。

有后台第三方应用：（以位置服务LBS（Location Based Service）为例）

1、开发者在开发生成服务器中，使用开放平台的位置服务能力开发了一个位置服务查询Web应用，同时还使用了安全中间件API中的加密API（EncryptionAPI）。

2、开发完成之后，发布审核系统进行安全审核（步骤101），第三方应用经过步骤102、103、104的安全审核之后，如果不安全就拒绝发布，如果第三方应用安全，进行步骤105，发布审核系统分配第三方应用一个安全码Safe Key，然后执行步骤1061，把第三方应用的后台部署到部署运行服务器中，并执行步骤10612进行该应用的发布，供终端用户下载安装。

3、当用户使用该位置服务的Web第三方应用时，该Web第三方应用需要知道终端用户的位置和相关查询信息，才能为用户服务，这时候Web应用就需要授权认证系统，进行授权认证，所以第三方应用执行步骤201发送，发送相应的第三方应用的APP Key及APP Secret、安全码Safe Key及调用的LBS能力API的Scope{LBS，Encryption}给能力开放平台，授权认证系统对第三方应用进行授权认证。在本实例中，消息具体参数如表2所示。

表2

4、授权认证系统执行步骤202，执行步骤202检验第三方应用身份以及安全码Safe Key是否合法，如果合法重定向授权页面给终端用户；终端用户授权第三方应用获取其位置信息（步骤203）；然后授权认证系统执行步骤204，给第三方应用发放一个访问令牌AccessToken；

5 第三方应用执行步骤205，携带自身的第三方应用的APP Key及APPSecret、访问令牌Access Token、访问资源范围（Scope）{Capability API,Safe API}访问认证服务器，如果通过了认证服务器的认证，能力服务器根据访问资源范围s的API范围，允许第三方应用调用LBS能力API（步骤206），由于使用了安全中间件Encryption API，所以允许加密第三方应用可以使用该加密API，对相关信息进行加密（步骤208）；最后第三方应用就可以合法的获取终端用户的位置信息并把这些信息进行加密，为用户提供LBS服务。

尽管上面对本发明说明性的具体实施方式进行了描述，以便于本技术领的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

Claims (2)

1.一种安全可信的能力开放平台，包括开发生成服务器、能力服务器以及部署运行服务器，其特征在于，还包括：

一发布审核系统，用于对开发生成服务器中开发生成的第三方应用在发布给用户前进行发布审核，发布审核包括基础审核、质量测试及安全扫描三个方面；

发布审核系统为安全的第三方应用赋予一个安全码（Safe Key），其中，无后台第三方应用在获取安全码后即可通过能力开放平台进行发布，提供给终端用户下载使用；而获取了安全码的有后台的第三方应用则将其后台部署到平台提供的部署运行服务器中，前台进行发布，提供给终端用户下载使用；

终端用户运行使用第三方应用，向能力开放平台发送访问请求消息；

一授权认证系统，包括授权服务器和认证服务器，用于对第三方应用的访问请求进行授权及认证，其中访问请求包括第三方应用标识符（APP Key）、私钥（APP Secret）及安全码（Safe Key）、访问资源范围（Scope）及相应的操作（如：读，写，执行等）；在该能力开放平台中，请求访问的资源包括了能力资源及安全服务资源，能力资源由能力服务器提供，安全服务资源由安全中间件服务器提供；该授权认证过程包括三个阶段：

第一阶段，授权服务器检验第三方应用有效性，即第三方应用身份以及安全码是否合法，如果不合法，则拒绝其访问，如果合法，则进行第二阶段；

第二阶段，授权服务器将重定向授权页面给终端用户，授权页面显示合法的第三方应用请求访问资源范围及相应的操作，请求终端用户进行授权；如果终端用户不授权，则拒绝其访问，如果授权，则发送给第三方应用一个访问令牌（Access Token）；则进入第三阶段；

第三阶段，第三方应用拿着访问令牌经过认证服务器认证为合法后即可访问能力服务器中访问资源范围（Scope）内的能力资源及安全服务资源；

一安全中间件服务器，用于向第三方应用的提供安全服务资源；该服务器会将安全服务按照能力资源相同方式进行封装，并把安全服务资源作为一种平台能力开放给第三方应用，如第三方应用可以调用安全中间件服务器封装好的“数据加密”这个安全服务，开发出具有“数据加密”安全属性的应用；

安全中间件服务器提供的安全服务资源可以进行修改、增加和删除，但对于第三方应用是透明的，而安全服务资源的改变也不会影响到第三方应用的主体功能。

2.根据权利要求1所述的安全可信的能力开放平台，其特征在于，所述的第三方应用拿着访问令牌经过认证服务器认证为合法后即可访问能力服务器中访问资源范围（Scope）内的能力资源及安全服务资源为：

第三方应用携带自身的第三方应用的APP Key及APP Secret、访问令牌Access Token、访问资源范围Scope{Capability API,Safe API}，发送给认证服务器，认证服务器检验这些信息的有效性；

如果有效，则认证服务器将第三方应用携带的Scope中的Capability API提交给能力服务器，能力服务器返回访问资源范围Scope中指示的能力的调用结果，认证服务器将第三方应用携带的访问资源范围Scope中的Safe API提交给安全中间件服务器，安全中间件服务器返回访问资源范围Scope中指示的安全中间件的调用结果；

如果无效，则拒绝访问。

Images