CN102945351A - 云环境下基于二维码的移动智能终端安全漏洞修复方法 - Google Patents

Abstract

本发明涉及一种云环境下基于二维码的移动智能终端安全漏洞修复方法，其步骤包括：采用静态和/或动态漏洞分析技术对移动智能终端进行漏洞检测，并将获得的漏洞信息发送至云端漏洞库管理系统；云端漏洞库管理系统通过增量更新的方式获取公开漏洞库的数据，并根据公开漏洞库的数据以及移动智能终端的漏洞信息建立漏洞数据库；云端漏洞库管理系统根据漏洞数据库中的漏洞信息动态生成二维码并予以公布；客户端查询漏洞数据库并读取二维码中的漏洞信息，进而进行漏洞修复。本发明充分利用了移动智能终端的功能，满足了移动智能终端厂商和用户快速查询安全漏洞、保持终端安全的需求。

Description

云环境下基于二维码的移动智能终端安全漏洞修复方法

技术领域

本发明属于网络安全技术领域，涉及移动终端安全漏洞的修复方法，具体涉及一种在云环境下基于二维码建立安全漏洞库，供移动智能终端进行漏洞信息查询，进而修复安全漏洞的方法。

背景技术

安全漏洞是在计算机系统硬件、软件、协议的具体实现或安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。安全漏洞库是为了对漏洞信息进行管理、发布、查询及控制工作建立的一项安全数据库。目前，国内外公开的漏洞库主要包括美国的国家漏洞数据库NVD（National Vulnerability Database）、公共漏洞列表CVE（Common Vulnerabilities And Exposures）、通用缺陷列表CWE（Common WeaknessEnumeration）、中国国家信息安全漏洞库CNNVD（China National Vulnerability Database ofInformation Security）等。

随着移动智能终端的普及，针对移动智能终端的安全漏洞也层出不穷。例如，基于安全漏洞导致的android手机的root权限破解问题；由于权限力度不够细化导致的设备后台运行问题；以及由开发者授权导致的信任链传递问题等，都会为移动智能终端带来安全威胁。

但是到目前为止，还没有一款特别针对移动智能终端的安全漏洞库。NVD、CVE、CNNVD等漏洞库虽然包含了一定数量的智能终端安全漏洞，但是并没有给出严格的区分，不能及时准确地向移动终端厂商和用户定向通报安全漏洞并进行漏洞修复。

二维码是一种基于黑白矩形图案的信息记录方式，可以通过移动智能终端的图象输入设备自动识读数据信息。二维码可对图片、声音、文字、签字、指纹等信息进行编码，最多可容纳1850个大写字母、或2710个数字、或1108个字节、或500多个汉字；同时二维码具有一定的校验功能等，可自动识别信息及处理图形旋转变化。移动智能终端通过识读二维码能够快速得到其中的漏洞信息，改进传统的输入方式，弥补智能终端输入不便的弱点。

发明内容

本发明的目的在于针对移动智能终端缺乏特定安全漏洞库以及漏洞信息查询方式繁琐的现状，提出一种云环境下基于二维码的移动智能终端安全漏洞修复方法，可以使移动终端厂商和用户方便、快速地查询安全漏洞并对漏洞进行修复。

为实现上述目的，本发明采用如下技术方案：

一种云环境下基于二维码的移动智能终端安全漏洞修复方法，其步骤包括：

1）采用静态和/或动态漏洞分析技术对移动智能终端进行漏洞检测，并将获得的漏洞信息发送至云端漏洞库管理系统；

2）云端漏洞库管理系统通过增量更新的方式获取公开漏洞库的数据，并根据该公开漏洞库的数据以及步骤1）所述漏洞信息建立漏洞数据库；

3）云端漏洞库管理系统根据漏洞数据库中每一条漏洞信息动态生成二维码，然后公布生成的二维码；

4）移动智能终端厂商及用户查询所述漏洞数据库并通过漏洞库客户端读取所述二维码中的漏洞信息，进而根据该漏洞信息获得安全支持服务以进行漏洞修复。

进一步地，所述漏洞数据库中的每一条漏洞信息包括：漏洞名称、漏洞简介、漏洞编号、发布时间、更新时间、危害等级、漏洞类型、威胁类型、受影响终端版本、漏洞原理、利用实例、补丁信息、漏洞详细信息URL和修复建议方法。

进一步地，云端漏洞库管理系统提取每一条漏洞信息的漏洞名称、受影响终端版本、漏洞详细信息URL和修复建议方法，并根据该提取的信息生成所述二维码。

进一步地，所述静态、动态漏洞分析技术采用如下工具中的一种或多种对移动智能终端进行漏洞检测：CPPCheck、Flawfinder、Splint、clang-analyzer、kmemcheck和kmemleak等。

进一步地，所述公开漏洞库为下列中的一种或多种：美国国家漏洞数据库、公共漏洞列表、通用缺陷列表、中国国家信息安全漏洞库。

进一步地，步骤4）使用计算机登录云端漏洞库管理系统进行所述查询，或者使用漏洞客户端进行所述查询。

进一步地，所述漏洞库客户端采集移动智能终端的环境信息并判断其是否与扫描的二维码中的受影响版本信息相匹配：如果二维码中的漏洞影响移动智能终端，则提示客户根据二维码中的URL访问升级信息，用户根据升级信息和安全修复建议方法对安全漏洞进行修复。

进一步地，在查询过程中，云端漏洞库管理系统统计查询结果返回延迟，如果延迟时间超过一预设时间，则基于云计算架构，在资源池中分配新的资源，实现漏洞数据库的负载均衡；如果漏洞库访问量低于特定值，则回收一部分资源，实现计算资源的合理利用。优选地，所述预设时间为2秒。

本发明采用云计算架构，提出一种基于二维码的移动智能终端安全漏洞修复方法。主要涉及云环境下基于二维码的安全漏洞库建立，供移动智能终端进行漏洞信息查询，进而修复安全漏洞的方法。在漏洞库建设过程中，增量更新获取国内外的安全组织公布的漏洞数据和对移动智能终端进行分析得到的结果。漏洞条目信息涵盖了现有漏洞库的信息，包括：漏洞名称、漏洞简介、漏洞编号、发布时间、更新时间、危害等级、漏洞类型、威胁类型、受影响终端版本、漏洞原理、利用实例、补丁信息、漏洞详细信息URL和安全修复建议方法等。同时提取其中的漏洞名称、受影响终端版本、漏洞详细信息URL和修复建议方法动态生成二维码，并在漏洞库系统中公布。用户使用漏洞库客户端读取二维码信息，提取其中的漏洞名称、受影响终端版本、详细的URL信息和修复建议方法。如果用户终端属于受影响终端版本，则提示客户点击URL参考详细信息，根据安全修复建议方法获得安全修复支持服务。

本发明克服了现有漏洞信息查询方式繁琐、响应延迟长的现状，充分利用了移动智能终端的功能，满足了移动智能终端厂商和用户快速查询安全漏洞、保持终端安全的需求。

附图说明

图1是实施例的云环境下基于二维码的移动智能终端安全漏洞修复方法的流程图。

图2是实施例中移动智能终端安全漏洞数据获取及漏洞库建设流程图。

图3是实施例中根据安全漏洞信息生成二维码的流程图。

图4是实施例中移动智能终端客户端查询及安全修复流程图。

图5是实施例中根据安全漏洞信息生成的二维码示意图。

具体实施方式

下面结合附图，通过实施例对本发明作进一步的说明。

本实施例的云环境下基于二维码的移动智能终端安全漏洞修复方法，其总体流程如图1所示，主要包括以下步骤：

1）移动智能终端安全漏洞数据获取及云端漏洞库建设。

采用静态和/或动态漏洞分析技术对在移动智能终端进行漏洞检测，并将获得的漏洞信息发送至云端漏洞库管理系统；然后云端漏洞库管理系统通过增量更新的方式获取公开漏洞库的数据，并根据获得的公开漏洞库的数据以及从移动智能终端检测的漏洞信息建立漏洞数据库。

在该步骤中，安全漏洞数据的来源包括国内外的安全组织公布的漏洞数据，以及对移动智能终端进行分析得到的结果。为了保持漏洞数据的及时有效，漏洞库系统必须支持增量更新，同时应囊括尽可能多的智能终端版本的漏洞信息。

漏洞数据库采用云计算的架构，如果大量用户同时访问，导致响应延迟超过一定的预设时间，如2秒钟；则云端漏洞库管理系统在云平台资源池中申请新的计算资源，执行负载均衡策略，降低响应延迟。

为了保证漏洞信息的全面性，每条漏洞记录的信息涵盖了现有漏洞库的相关信息，具体包括：漏洞名称、漏洞简介、漏洞编号、发布时间、更新时间、危害等级、漏洞类型、威胁类型、受影响终端版本、漏洞原理、利用实例、补丁信息、漏洞详细信息URL、修复建议方法等。

具体地，采集移动智能终端安全漏洞数据及建设漏洞数据库的步骤流程如图2所示，具体说明如下：

1a）漏洞库数据获取。以增量更新的方式获取开漏洞库数据，定期执行1b）；如果有新的移动智能终端版本，则执行1c）。对于获取的漏洞数据，执行1d）。

1b）增量获取公开漏洞库数据，如果美国的国家漏洞数据库NVD（National VulnerabilityDatabase）、公共漏洞列表CVE（Common Vulnerabilities And Exposures）、通用缺陷列表CWE（Common Weakness Enumeration）、中国国家信息安全漏洞库CNNVD（China NationalVulnerability Database of Information Security）等中有新的漏洞信息，则执行1b1）、1b2）、1b3）漏洞信息获取操作。

1c）操作使用工具分析移动智能终端系统，使用CPPCheck、Flawfinder、Splint、clang-analyzer、kmemcheck和kmemleak等工具通过执行1c1）、1c2）、1c3）等操作进行分析。云端漏洞库管理系统运行这些静态或动态检测工具，对移动智能终端源代码进行检测，检测结果存入漏洞库。

1d）根据1b）1c）提供的漏洞结果，提取其中的漏洞名称、漏洞简介、漏洞编号、发布时间、更新时间、危害等级、漏洞类型、威胁类型、受影响终端版本、漏洞原理、利用实例、补丁信息、漏洞详细信息URL和修复建议方法等内容创建数据库表；并按照将上述内容将每条数据保存到数据库中。然后等待1e）执行。

1e）等待用户查询，用户可以使用计算机登录漏洞库系统查询漏洞信息；也使用移动智能终端客户端系统查询漏洞信息。查询过程中，漏洞库系统计算查询延迟，执行1f）。

1f）如果查询延迟时间一定的预设时间，例如2秒，则转到1g）；否则转到1e）等待用户查询。

1g）漏洞库系统查询延迟超过一定的预设时间，例如2秒，则基于云计算架构，在资源池中分配新的资源，实现漏洞库的负载均衡；如果漏洞库访问量低于特定值，则回收一部分资源，实现计算资源的合理利用。

2）根据漏洞数据库中的安全漏洞信息生成二维码。

对于漏洞数据库中的每一条漏洞信息，提取其中的漏洞名称、受影响终端版本、漏洞详细信息URL和修复建议方法动态生成二维码，并在漏洞库系统中公布，以方便终端用户通过移动智能终端的客户端直接识读，并根据URL信息访问漏洞详细信息。

具体地，生成二维码的步骤流程如图3所示，具体说明如下：

2a）查询漏洞库，是否存在下一条漏洞数据，如果存在，转到2b）；否则，转到2e）。

2b）判断本条漏洞库数据是否已经生成了二维码，如果没有生成，转到2c）；否则转到2e）。

2c）提取漏洞数据中的漏洞名称、受影响终端版本、详细信息URL和修复方法，转到2d）。

2d）根据漏洞条目信息生成二维码，转到2e）。

2e）公布生成的漏洞信息二维码。

3）移动智能终端客户端查询及安全修复。

漏洞库客户端具有读取二维码的功能，提取其中的漏洞名称、受影响终端版本和漏洞详细信息URL和修复方法。同时客户端具有收集本机环境信息的能力，如果本机的环境信息与受影响终端版本匹配，则提示客户点击URL参考详细信息，获得安全支持服务。

移动智能终端安全修复。对于应用程序的安全漏洞，如果应用程序开发商提供了对应的安全升级信息，则漏洞库客户端根据安全修复建议自动升级该应用程序；否则，漏洞库客户端则建议用户卸载该应用程序。对于移动智能终端操作系统级的安全漏洞，漏洞库客户端建议用户关注厂商升级公告，根据厂商提供的信息进行安全升级修复。

具体地，用户查询漏洞信息及进行安全修复的步骤流程如图4所示，具体说明如下：

3a）使用移动智能终端漏洞库客户端扫描解析漏洞条目二维码，转到3b）。

3b）漏洞库客户端采集本机的环境信息与二维码中的受影响版本信息相匹配，如果二维码中的漏洞影响移动智能终端，则转到3c）；否则转到3e）。

3c）二维码中包含的漏洞影响移动智能终端，则提示客户根据二维码中的URL访问升级信息，执行安全修复，转到3d）。

3d）用户根据升级信息和安全建议修复手机。对于应用程序的安全漏洞，如果应用程序开发商提供了对应的安全升级信息，则漏洞库客户端根据安全修复建议自动升级该应用程序；否则，漏洞库客户端则建议用户卸载该应用程序。对于移动智能终端操作系统级的安全漏洞，漏洞库客户端建议用户关注厂商升级公告，根据厂商提供的信息进行安全升级修复。转到3e）。

3e）漏洞库中是否还有其他没有扫描解析过得漏洞，如果有，转到3a）；否则结束。

下面提供一个具体应用实例，其实施步骤包括：

1)增量获取漏洞库获取程序美国的国家漏洞数据库NVD、公共漏洞列表CVE、通用缺陷列表CWE、中国国家信息安全漏洞库CNNVD等漏洞库中的漏洞信息，使用CPPCheck、Flawfinder、Splint、clang-analyzer、kmemcheck和kmemleak等工具分析移动智能终端源代码，将得到的漏洞数据存入到漏洞库中。从CNNVD得到的一条android漏洞信息如表1所示：

表1.android漏洞信息

使用CPPCheck进行静态分析得到的一条数据如下：

综合分析漏洞库和检测结果的内容，移动智能终端漏洞库中的条目需要包括：漏洞名称、受影响终端版本、详细信息URL信息等内容。

2)生成移动智能终端安全漏洞信息二维码。

针对以上android漏洞CVE-2011-3901，提取其中的漏洞名称、受影响终端版本和详细的URL信息和修复建议方法生成二维码信息，如下：

漏洞名称:Android信息泄露漏洞

影响系统:Android 2.3.7

详细URL:http://www.openhandsetalliance.com/android overview.html

生成的二维码如图5所示。为漏洞库中的每一条漏洞生成二维码，并且在漏洞库系统中公布，用户使用手机客户端直接扫描该二维码，获得信息，减少移动智能终端系统中繁琐的输入方式。

3)使用移动智能终端客户端查询及服务修复建议。

漏洞库客户端解析二维码中的信息，并根据自身版本确定是否具有该漏洞。如果具有该漏洞，则提示用户点击URL参考详细信息和修复建议方法，获得安全修复支持服务。

以上实施例仅用以说明本发明的技术方案而非对其进行限制，本领域的普通技术人员可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明的精神和范围，本发明的保护范围应以权利要求所述为准。

Claims (10)

1.一种云环境下基于二维码的移动智能终端安全漏洞修复方法，其步骤包括：

1）采用静态和/或动态漏洞分析技术对移动智能终端进行漏洞检测，并将获得的漏洞信息发送至云端漏洞库管理系统；

2）云端漏洞库管理系统通过增量更新的方式获取公开漏洞库的数据，并根据该公开漏洞库的数据以及步骤1）所述漏洞信息建立漏洞数据库；

3）云端漏洞库管理系统根据漏洞数据库中每一条漏洞信息动态生成二维码，然后公布生成的二维码；

4）移动智能终端厂商及用户查询所述漏洞数据库并通过漏洞库客户端读取所述二维码中的漏洞信息，进而根据该漏洞信息获得安全支持服务以进行漏洞修复。

2.如权利要求1所述的方法，其特征在于：云端漏洞库管理系统提取每一条漏洞信息的漏洞名称、受影响终端版本、漏洞详细信息URL和修复建议方法，并根据该提取的信息生成所述二维码。

3.如权利要求1所述的方法，其特征在于，所述每一条漏洞信息包括：漏洞名称、漏洞简介、漏洞编号、发布时间、更新时间、危害等级、漏洞类型、威胁类型、受影响终端版本、漏洞原理、利用实例、补丁信息、漏洞详细信息URL和修复建议方法。

4.如权利要求1所述的方法，其特征在于，所述静态和/或动态漏洞分析技术采用如下工具中的一种或多种对移动智能终端进行漏洞检测：CPPCheck、Flawfinder、Splint、clang-analyzer、kmemcheck、kmemleak。

5.如权利要求1所述的方法，其特征在于：所述公开漏洞库为下列中的一种或多种：美国国家漏洞数据库、公共漏洞列表、通用缺陷列表、中国国家信息安全漏洞库。

6.如权利要求1所述的方法，其特征在于：步骤4）使用计算机登录云端漏洞库管理系统进行所述查询，或者使用漏洞客户端进行所述查询。

7.如权利要求1或6所述的方法，其特征在于：在查询过程中，云端漏洞库管理系统统计查询结果返回延迟，如果延迟时间超过一预设时间，则基于云计算架构，在资源池中分配新的资源，实现漏洞数据库的负载均衡；如果漏洞库访问量低于特定值，则回收一部分资源，实现计算资源的合理利用。

8.如权利要求7所述的方法，其特征在于：所述预设时间为2秒。

9.如权利要求1所述的方法，其特征在于：所述漏洞库客户端采集移动智能终端的环境信息并判断其是否与扫描的二维码中的受影响版本信息相匹配：如果二维码中的漏洞影响移动智能终端，则提示客户根据二维码中的URL访问升级信息，用户根据升级信息和安全修复建议方法对安全漏洞进行修复。

10.如权利要求9所述的方法，其特征在于：对于应用程序的安全漏洞，如果应用程序开发商提供了对应的安全升级信息，则漏洞库客户端自动升级该应用程序，否则漏洞库客户端则建议用户卸载该应用程序；对于移动智能终端操作系统级的安全漏洞，漏洞库客户端建议用户关注厂商升级公告，根据厂商提供的信息进行升级。

Images