CN102867142A - 一种基于Android系统的安全防护方法 - Google Patents

Abstract

本发明涉及计算机操作系统，其公开了一种基于Android系统的安全防护方法，有效防护基于Android系统的移动终端远离外部网络攻击。该方法具体包括：a.按照Android的Linux2.6内核编写底层模块，并预留接口共JNI函数调用；b.按照JNI的规范编写JNI函数，并且根据需要调用底层模块的功能函数对其进行封装；c.利用Android自带的编译器将其编译成模块形式；d.使用调试工具将编译好的模块加载到Android系统中；e.编写前台UI及用户处理程序，并调用加载好的模块所提供的接口。本发明适用于对基于Android系统的移动终端上的安全防护。

Description

一种基于Android系统的安全防护方法

技术领域

本发明涉及计算机操作系统，具体的说，是涉及一种基于Android系统的安全防护方法。

背景技术

Android移动操作系统是Google公司在2007年11月研发完成了基于Linux的移动操作系统，它是一个真正意义上的开放的移动设备开发平台。正是由于其开源性，使得在第三方软件开发商的门槛降低了很多，也使得Android从刚刚推出时就受到了很多开发者的关注。通过其特有的Dalvik虚拟机使得程序在手机上运行的效率更高。更是由于其免费与开源性，让Android能够不仅仅局限于手机上，而是更广阔的平板电脑或者其他智能设备之上。所以Android的应用与开发的前景无法限量。但是随着用户通过Android智能终端访问网络的需求日益增加,Android智能终端网络通信的安全性也就成为智能终端安全研究的首要任务。

发明内容

本发明所要解决的技术问题是：提出一种基于Android系统的安全防护方法，有效防护基于Android系统的智能终端远离外部网络攻击。

本发明解决上述技术问题所采用的技术方案是：

一种基于Android系统的安全防护方法，包括以下步骤：

a.按照Android的Linux2.6内核编写底层模块，并预留接口共JNI函数调用；

b.按照JNI的规范编写JNI函数，并且根据需要调用底层模块的功能函数对其进行封装；

c.利用Android自带的编译器将其编译成模块形式；

d.使用调试工具将编译好的模块加载到Android系统中；

e.编写前台UI及用户处理程序，并调用加载好的模块所提供的接口。

进一步，步骤d中，使用Android自带的调试工具adb将编译好的模块加载到Android系统中。

进一步，步骤e中，按照Android SDK的规范编写前台UI及用户处理程序。

本发明的有益效果是：通过对Android底层组件开发与底层数据包控制的研究，应用基于多叉树规则检测算法，实现了一个底层包过滤的安全机制，从而有效防护了基于Android系统的智能终端远离外部网络攻击。

附图说明

图1为Android底层开发与架构示意图；

图2为本发明的Android底层组件开发流程图；

图3为初始多叉树结构示意图；

图4为经过简化后的多叉树结构示意图。

具体实施方式

下面结合附图对本发明的技术方案作进一步的描述。

本发明基于Android移动操作系统和智能终端网络通信安全的研究,结合传统防火墙解决方案提出了该平台下的网络防火墙设计模型。并提出了一个底层包过滤的安全机制，该安全机制的实现基本流程如下：

一、android框架结构，网络数据包，以及数据过滤算法研究

1、Android的系统架构

Android操作系统从顶至下共包含以下四个层次：

应用层，应用框架层，组件库层和虚拟机，Linux内核层。在应用层：Android包含了一套核心应用(coreapplications)：Email客户端、SMS（短信）序、日历、G oogle地图、网页浏览器、联系簿等等。所有的应用均使用JAVA语言开发。在应用框架层：在开发者通过使用核心的应用程序调用Android框架提供的API。这个应用程序结构被设计成方便复用的组件。任何的应用程序都可以公布它的功能，而任何其他的应用程序都可以使用这些功能(涉及到安全问题的功能将会被框架禁止)。在组件库层：Android包含了一套C/C++函数库，供Android系统使用。开发者可以通过Android应用程序框架使用这些库函数提供的功能。另外还包含了一套核心库，这些库提供了绝大多数JAVA编程语言核心库的功能。每个Android应用程序都运行于自己的进程中，具有自己的Dalvik虚拟机的实例，Dalvik使得设备可以高效地运行多个虚拟机，且针对手持设备的较小内存做了优化。

2、Android底层组件的开发

在应用层可以说Android的提供的API已经足够的强大，可以提供大部分的功能支持。但是当开发者想要从事与底层硬件较为紧密的开发工作的时候就会遇到没有相应的API可以提供支持的尴尬。比如要进行防火墙的开发，就一定会涉及到底层数据包的收发和过滤，但是由于上层接口出于安全性的考虑就没有提供。这就给开发者带来比较大的麻烦。所以在这种情况下我们就需要一种方法用来直接获取底层Linux接口，从而进行一些底层的开发。比如防火墙，或者是一些设备驱动。而且本身Androi d的组件库就是用C/C++编写的，并且一些底层与本地硬件交互的功能就是通过JNI实现的。所以这种方式并不违背Android的整个架构。附图1为Android底层开发与架构示意图。

3、Android底层组件的开发步骤

参见图2，Android底层组件的开发步骤如下：(1)按照Android的Linux2.6内核编写底层模块，并预留接口共JNI函数调用。(2)按照JNI的规范编写JNI函数，并且根据需要调用底层模块的功能函数对其进行封装。(3)利用Android自带的编译器将其编译成模块(*.so)形式。(4)使用Android自带的调试工具adb将编译好的模块加载到Android手机或模拟器中。(5)按照Android SDK的规范编写前台UI及用户处理程序，并调用加载好的模块(loadLibrary())所提供的接口。

4、Linux基本网络数据包结构skbuff

因为Linux中，所有数据的接受和发送都要建立一个skbuff结构来包含数据，自然就要通过skbuff结构来读取Linux网络中的数据包。在Linux内核2.6.24之后，skbbuff结构也有了许多微妙的改变。其中主要有，增加了三个数据结构使得我们可以比以前更加方便地访问网络各层的报文头。

sk_buff_data_t transport_header;//读取传输层的报文头

sk_buff_data_t network_header;//读取网络层的报文头

sk_buff_data_t mac_header;//读取MAC层的报文头

通过这三个结构，我们现在比以前更加方便地获取各层的头部指针，从而通过指针的偏移取得相应的重要信息，包括源I P地址和端口号等等。从而根据已有的规则表来进行遍历从而决定这个数据包是接受还是舍弃。

5、基于多叉树的防护墙规则检测算法

这里由于智能手机的资源有限性，使得在普通P C上的防火墙所采用的Netfilter结构在Android上的应用会显得效率不高而且代价太高。所以在这里我们采用基于FDD法的防火墙规则遍历检测方法。

举例来说，I是防火墙收到数据包的端口；S是数据包的源地址；D是数据包的目标地址；P是数据包的传输协议类型。下面是一组已有的原始规则：

I=0∧S=any∧D=s∧P=tcp∧T=25→a,

I=0∧S=any∧D=s∧P=any∧T=any→d,

I=0∧S=m∧D=any∧P=any∧T=any→d,

I=1∧S=h∧D=any∧P=any∧T=any→a,

I=1∧S=any∧D=any∧P=any∧T=any→a

我们可以发现规则之间有冲突与冗余，所以我们这里引入多叉树来解决规则冲突问题，以期尽量消除冲突问题从而实现精简规则。

先根据初始的规则集建立多叉树，如附图3所示。

然后我们可以发现在第二层的F1有节点冗余，进行进一步删减，如图4所示。

从而我们得到相对精简得多的多叉树图。而且由于多叉树的特点，事实上现在根据树来建立的规则集不可能存在冲突。当防火墙收到一个数据包时，通过对其s k b u f f结构的解析，分离出相应的端口号，源地址，目的地址等等需要的信息。再从根部开始深度优先遍历我们刚刚建立的无冲突多叉树，遍历到一枝的叶子，从而得到处理这个数据包的采取动作结果即接受还是丢弃(a或者d)。

二、基于android系统的安全机制的具体实现步骤

1、底层包过滤模块的实现

(1)驱动设备的注册

if((major=register_chrdev(LWFW_MAJOR)

LWFW_NAME

&lwfw_fops))<0){

printk("AndFirewall:Module installation

aborted.\n");

return major;

}

//确保设备正在使用的位被清空

lwfw_ctrl_in_use^=lwfw_ctrl_in_use;

printk("\nAndFirewall:Control device successfully

regi stered.\n");

//注册网络钩子结构

nfkiller.hook=lwfw_hookfn;

nfkiller.hooknum=0;//第一层钩子

nfkiller.pf=PF_INET;//面向IPV4

nfki ller.priority=NF_IP_PRI_FIRST;//优先

运行钩子函数

//具体注册

nf_register_hook(&nfkiller);

(2)取得TCP的报文头

struct tcphdr*thead;//定义一个TCP报文头

struct iphdr*iph;//定义一个IP报文头

iph=(struct iphdr*)skb_network_header(skb);//取

得网络层指针

if(!skb)return NF_ACCEPT;

if(!iph)return NF_ACCEPT;

//确保这是一个TCP数据包

if(iph->protocol!=IPPROTO_TCP){

return NF_ACCEPT;

}

//从网络层包头偏移skb的数据大小加上适当的偏移量

thead=(struct tcphdr*)(skb->data+(iph->ihl

*4));

//检查端口号

if((thead->dest)＝=deny_port){

lwfw_statistics.total_dropped++;

lwfw_statistics.tcp_dropped++;

//确认舍弃

return NF_DROP;

}

2、利用JNI函数进行封装

上述防火墙代码主要在核心态下运行，而我们用户使用的话必须在用户态调用相应的系统调用才能使用。但是由于Android平台上层UI只能通过JNI才能与底层模块交互。所以必须将系统调用用JNI进行封装。

3、编写Android的make文件进行编译

在编写完上述代码之后，将代码放置在Android源代码的development目录之下新建的MyFireWall目录下，并按照Android的m a k e文件的规范，编写Android.mk，最后通过编译后成为liband.so模块文件。

4、加载模块入Android系统

将liband.so模块利用Android特有的adb（AndroidDebugBridge）调试工具，将模块加载到系统之中。这时，在运行我们编写完的应用层Android程序，就能使用该防火墙相应的功能了。

通过对于Android底层组件开发与底层数据包控制的研究，应用基于多叉树规则检测算法，实现了一个底层包过滤防火墙，从而有效防护了Android手机远离外部网络攻击。而Android本身的安全机制相结合，研究出适合Android安全模型则是我们进一步研究的方向。

Claims (3)

1.一种基于Android系统的安全防护方法，其特征在于，包括以下步骤：

a.按照Android的Linux2.6内核编写底层模块，并预留接口共JNI函数调用；

b.按照JNI的规范编写JNI函数，并且根据需要调用底层模块的功能函数对其进行封装；

c.利用Android自带的编译器将其编译成模块形式；

d.使用调试工具将编译好的模块加载到Android系统中；

e.编写前台UI及用户处理程序，并调用加载好的模块所提供的接口。

2.如权利要求1所述的一种基于Android系统的安全防护方法，其特征在于，步骤d中，使用Android自带的调试工具adb将编译好的模块加载到Android系统中。

3.如权利要求1或2所述的一种基于Android系统的安全防护方法，其特征在于，步骤e中，按照Android SDK的规范编写前台UI及用户处理程序。

Images