CN102981881B - 一种防止移动终端升级到非法固件版本的方法及系统 - Google Patents

Abstract

本发明公开了一种防止移动终端升级到非法固件版本的方法及系统，涉及移动终端固件升级领域，所述方法包括：升级工具对待升级固件版本进行版本合法性校验处理，并根据版本合法性校验结果，将握手认证信息发送至移动终端；移动终端利用所述握手认证信息，对所述升级工具进行握手校验处理，并根据握手校验结果，接收升级工具下发的待升级固件版本；移动终端对收到的所述待升级固件版本进行版本合法性校验处理，并根据版本合法性校验结果，进行固件版本升级。本发明可以防止用户将移动终端升级到来源不明的、可能会影响移动终端使用的非法固件版本，从而有效保证了移动终端的正常工作和使用，也保障了用户和运营商利益。

Description

一种防止移动终端升级到非法固件版本的方法及系统

技术领域

本发明涉及移动终端固件升级领域，特别涉及防止非法固件升级技术。

背景技术

移动终端，亦称移动通信终端，是指便携的移动计算机设备，广义的讲，包括手机、数据卡、平板电脑等。

固件是指担任着一个数码产品最基础、最底层工作的软件，一般存储于设备中的EEPROM或FLASH芯片中，可由用户通过特定的固件升级工具进行升级。

固件升级工具是指用于升级移动终端上的固件版本的辅助软件。

由于固件版本和终端硬件紧密相关，早期的移动终端的固件一般只能由生产厂商提供。厂商在发布固件版本前会经过详细的测试和验证，从而保证固件版本与移动终端能够良好匹配，且其功能满足用户及运营商的要求。

随着智能移动终端及其操作系统的发展，尤其是开源的Android操作系统的发展，除终端厂商外，大量的个人或第三方公司也开始开发并提供移动终端固件。

这类非终端厂商提供的固件版本，可能存在以下问题：

1、由于这类版本往往是较通用版本，并没有针对特定硬件配置进行专门的测试和验证，不能保证与终端设备良好匹配；

2、固件版本中可能含有恶意潜藏程序、病毒等破坏性程序，安全性无法保证；

3、不能满足运营商定制要求，定制移动终端通常对固件版本有特殊的定制要求，如：要求内置特定应用、只能接入特定运营商的移动网络等。这种情况下，运营商通常不允许用户随意升级终端固件。

目前常见的固件升级方法通常是：PC侧升级工具与移动终端建立数据传输通道（USB、虚拟串口、网口等）；并将预先存储在PC侧存储介质中的固件版本文件依次传送给移动终端数据接收模块,数据接收模块再将接收到的数据转存到移动终端的存储介质中。该过程并未对所用升级工具的合法性进行验证，也未对固件版本的合法性进行验证，且移动终端上也没有固件合法性验证机制。

发明内容

本发明的目的在于提供一种防止移动终端升级到非法固件版本的方法及系统，能够克服现有固件升级技术中存在的不能检验固件版本合法性，进而导致无法保证待升级固件版本与待升级移动终端匹配的问题和缺陷。

根据本发明的一个方面，提供了一种防止移动终端升级到非法固件版本的方法，包括：

升级工具对待升级固件版本进行版本合法性校验处理，并根据版本合法性校验结果，将握手认证信息发送至移动终端；

移动终端利用所述握手认证信息，对所述升级工具进行握手校验处理，并根据握手校验结果，接收升级工具下发的待升级固件版本；

移动终端对收到的所述待升级固件版本进行版本合法性校验处理，并根据版本合法性校验结果，进行固件版本升级。

优选地，所述待升级固件版本的每个版本文件均具有数字签名，升级工具利用其预存的签名密钥，对每个版本文件的数字签名进行校验，若所述待升级固件版本的每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本。

优选地，当升级工具确定所述待升级固件版本是合法固件版本时，生成包含握手认证指令和握手认证数据的握手认证信息，并发送至移动终端。

优选地，移动终端收到所述握手认证信息后，利用其预存的握手密钥对所述握手认证数据中的密文数据进行解密处理，并将得到明文数据与所述握手认证数据中的明文数据进行匹配，以便确定移动终端与升级工具成功握手。

优选地，还包括：

移动终端确定其与升级工具握手成功后，根据来自升级工具的模式切换信息切换到升级模式，以便接收升级工具下发的固件版本。

优选地，移动终端利用其预存的签名密钥，对收到的待升级固件版本的每个版本文件进行数字签名校验，若每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本。

优选地，还包括：

移动终端使用所述待升级固件版本替换当前固件版本，并在利用所述待升级固件版本重启期间，对所述待升级固件版本进行版本合法性校验处理。。

根据本发明的另一方面，提供了一种防止移动终端升级到非法固件版本的系统，包括：

升级工具，用于对待升级固件版本进行版本合法性校验处理，并根据版本合法性校验结果，将握手认证信息发送至移动终端；

移动终端，用于利用所述握手认证信息，对所述升级工具进行握手校验处理，根据握手校验结果，接收升级工具下发的待升级固件版本，并对所收到的待升级固件版本进行版本合法性校验处理，根据版本合法性校验结果，进行固件版本升级。

优选地，所述升级工具包括：

签名校验模块，用于利用其预存的签名密钥，对待升级固件版本的每个版本文件进行数字签名校验，若所述每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本；

握手验证模块，用于当确定所述待升级固件版本是合法固件版本时，生成包含握手认证指令和握手认证数据的握手认证信息，并发送至移动终端。

优选地，所述移动终端包括：

握手认证模块，用于在收到所述握手认证信息后，利用其预存的握手密钥对所述握手认证数据中的密文数据进行解密处理，并将得到明文数据与所述握手认证数据中的明文数据进行匹配，以便确定移动终端与升级工具成功握手；

签名校验模块，用于利用其预存的签名密钥，对收到的待升级固件版本的每个版本文件进行数字签名校验，若每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本。

与现有技术相比较，本发明的有益效果在于：

本发明能够防止将移动终端升级到非法固件版本，提高了移动终端升级过程的安全性，有效保证了终端用户及运营商的利益不受非法固件的侵害。

附图说明

图1是本发明实施例提供的防止移动终端升级到非法固件版本的方法框图；

图2是本发明实施例提供的防止移动终端升级到非法固件版本的流程图；

图3是本发明实施例提供的移动终端的组成结构图；

图4是本发明实施例提供的升级工具的组成结构图；

图5是本发明实施例提供的版本文件后的数字签名组成结构图。

具体实施方式

以下结合附图对本发明的优选实施例进行详细说明，应当理解，以下所说明的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

针对以上这些情况，本发明提出了一种基于加密技术和数字签名技术的、防止将移动终端升级到非法固件版本的方法和系统。该方法

图1是本发明实施例提供的防止移动终端升级到非法固件版本的方法框图，如图1所示，步骤包括：

步骤101：升级工具验证主控设备上存储的待升级固件版本的合法性。

所述待升级固件版本具有多个版本文件，其每个具有数字签名，升级工具利用其预存的签名密钥，对每个版本文件的数字签名进行校验。当所述待升级固件版本的每个版本文件均校验成功时，升级工具确定所述待升级固件版本是合法固件版本。

步骤102：升级工具与移动终端通过握手相互认证。

首先，升级工具确定主控设备上存储的待升级固件版本是合法固件版本后，向移动终端下发包含握手认证指令和握手认证数据的握手认证信息。

其次，移动终端收到所述握手认证信息后，校验其中的握手认证数据，并将握手校验结果反馈至所述升级工具。当握手校验成功时，移动终端确定所述升级工具为合法升级工具，否则将所述升级工具确定为非法升级工具。

然后，升级工具接收来自移动终端的握手认证结果，若成功，则向移动终端发送模式切换信息，以便通知移动终端切换到升级模式。

最后，移动终端收到所述模式切换信息后，检查握手认证是否成功，若成功，则切入到升级模式。

步骤103：升级工具向移动终端传输待升级固件版本。

所述待升级固件版本具有多个版本文件，升级工具将所述多个版本文件依次下发至移动终端。

步骤104：移动终端依次接收所述多个版本文件，并对收到的版本文件进行校验。

移动终端利用其预存的签名密钥，对收到的待升级固件版本的每个版本文件进行数字签名校验，若每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本。

步骤105：移动终端使用收到的待升级固件版本替换旧版本。

升级工具通知移动终端所有版本文件下发完成，要求移动终端替换旧版本。此时，移动终端用存储在备用存储区中的待升级固件版本替换当前版本。

步骤106：移动终端重启，完成升级过程。

升级工具通知移动终端退出升级模式并重启。此时，移动终端采用新固件版本重启，启动过程中仍会对固件版本的各版本文件进行数字签名验证，升级过程完成。

通过步骤101至步骤106可知，本发明通过如下四个技术手段实现防止非法固件升级的目标：

1、所述升级工具对所述固件版本的各版本文件进行签名校验。

运行在主控设备上的升级工具在执行升级操作前会先对保存在主控设备上的固件版本的各版本文件进行签名校验，若不存在签名信息或签名信息校验失败，则不允许移动终端升级。因此，在升级工具层面能够有效防止来源不明的非法固件版本升级。

2、所述升级工具与所述移动终端之间的相互认证。

移动终端正常启动时处于禁止升级状态，升级工具在下发固件版本给移动终端前，会发送握手认证信息，移动终端收到握手认证信息后进行校验。如果校验失败，则认为该升级工具是非法升级工具，移动终端保持禁止升级的状态，不允许执行后续的升级动作。因此，可防止用户采用非法升级工具绕过对版本文件的签名校验过程。

3、所述移动终端对所述固件版本的各版本文件的校验。

升级过程中，移动终端每收到一个版本文件，就会对该版本文件的数字签名进行校验，若失败则停止升级过程。因此，可防止非法工具绕过移动终端认证机制对其进行固件升级。

4、所述移动终端启动过程中对固件版本的各版本文件的校验。

移动终端启动过程中会对版本文件的数字签名进行验证，若无数字签名信息或数字签名验证失败，则给出用户提示并进入升级模式，直到升级至合法的数字签名版本。因此，可防止通过直接烧录存储介质的方式将移动终端升级到非法固件版本。

图2是本发明实施例提供的防止移动终端升级到非法固件版本的实现流程图，如图2所示，步骤包括：

步骤1：升级工具利用与移动终端厂商的数字签名所用密钥配对的签名密钥及对应的摘要算法对主控设备上存储的固件版本的各版本文件逐一进行合法性校验。

步骤2：若所有固件版本的各版本文件均合法，则升级工具向移动终端下发握手认证指令和握手认证数据的握手认证信息，其中，所述握手认证数据包括加密前的明文和加密后的密文。

步骤3：移动终端收到握手认证指令后，采用自身存储的握手密钥对所述密文数据解密，并校验解密得到的数据与接收到的明文数据是否一致。若一致，则将内部的握手成功标志置为真，并反馈握手成功的信息给升级工具。

步骤4：升级工具收到握手校验结果后，检验握手是否成功。若成功，则向移动终端发送模式切换信息，通知移动终端切换到升级模式。

步骤5：移动终端接收到模式切换信息后，检查握手成功标志位是否为真。

步骤6：若为真则切换到升级模式，并将模式切换成功的信息反馈给升级工具。

步骤7：升级工具接收并检测模式切换信息的反馈信息。若切换成功，则下发固件版本的第一个版本文件给移动终端。

步骤8：移动终端接收该版本文件，暂存在备用存储区，并对版本文件的数字签名进行校验。若合法，则向升级工具反馈版本文件接收成功的消息。

步骤9：逐一下发固件版本中的各个版本文件，直至全部下发完毕后，升级工具通知移动终端所有版本文件下发完成，要求移动终端替换旧版本。

步骤10：移动终端用存储在备用存储区中的固件版本替换当前版本，并向升级工具反馈版本替换结果。

步骤11：升级工具检查版本替换信息，若替换成功，则通知移动终端退出升级模式并重启。

步骤12：移动终端采用新固件版本重启，重启过程中，依次检测各个版本文件的数字签名是否合法。若均合法，则正常启动，升级过程完成。

步骤13：若移动终端重启过程中，检测到版本文件异常，则提示用户，并自动进入升级模式。直到终端被升级到合法固件版本。

在上述过程中，有关防止非法固件升级的步骤说明如下：

1、步骤1中，升级工具会对固件版本的各版本文件的合法性进行校验，校验失败则中止升级过程，从而防止对未经签名的非法固件升级。

2、步骤2－5中，升级工具会与移动终端进行握手，从而防止未经认证的非法升级工具对移动终端进行升级。

3、步骤8中，移动终端会对接收到的版本文件进行合法性校验，从而确保接收的版本文件是合法的。

4．步骤13中，当升级完成后移动终端第一次重启时，会利用固化在移动终端ROM中的签名校验模块对加载的每一个版本文件进行数字签名校验，若不成功则自动切入升级模式，等待握手认证，直到升级到合法版本。

本发明还提供了一种防止移动终端升级到非法固件版本的系统，包括移动终端和运行于主控设备（如PC）上的升级工具，通过移动终端和升级工具的相互验证，以及两者对待升级固件版本的每个版本文件的验证，实现了阻止将设备升级到非法固件版本的功能。

所述移动终端，用于利用所述握手认证信息，对所述升级工具进行握手校验处理，根据握手校验结果，接收升级工具下发的待升级固件版本，并对所收到的待升级固件版本进行版本合法性校验处理，根据版本合法性校验结果，进行固件版本升级。图3是本发明实施例提供的移动终端的组成结构图，如图3所示，包括：

握手认证模块，用于在收到所述握手认证信息后，利用其预存的握手密钥对所述握手认证数据中的密文数据进行解密处理，并将得到明文数据与所述握手认证数据中的明文数据进行匹配，以便确定移动终端与升级工具成功握手；

签名校验模块，用于利用其预存的签名密钥，对收到的待升级固件版本的每个版本文件进行数字签名校验，若每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本；

升级代理模块，用于与升级工具进行交互；

其它业务功能模块，用于实现短消息业务和通话业务等其它业务功能。

所述升级工具用于对待升级固件版本进行版本合法性校验处理，并根据版本合法性校验结果，将握手认证信息发送至移动终端。图4是本发明实施例提供的升级工具的组成结构图，如图4所示，包括：

签名校验模块，用于利用其预存的签名密钥，对待升级固件版本的每个版本文件进行数字签名校验，若所述每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本；

握手验证模块，用于当确定所述待升级固件版本是合法固件版本时，生成包含握手认证指令和握手认证数据的握手认证信息，并发送至移动终端；

数据传输模块，用于将待升级固件版本发送至移动终端；

指令收发模块，用于接收来自移动终端的指令或向移动终端发送指令。

主控设备负责提供升级工具的运行环境，并提供数据通道与移动终端进行数据交互。升级工具运行在主控设备上，负责对固件版本文件进行合法性校验，与终端进行握手验证，将存储在主控设备上的版本文件下发给移动终端。移动终端负责与升级工具握手，接收升级工具下发的版本文件，对收到的版本文件进行合法性校验，并将合法的版本文件写入移动终端的存储介质。固件版本可由多个版本文件组成，分为合法版本和非法版本。图5是本发明实施例提供的版本文件中的数字签名组成结构图，合法版本的每个版本文件都包含终端厂商的数字签名信息，非法版本不包含。

综上所述，本发明具有以下技术效果：

本发明可以防止用户将移动终端设备升级到来源不明的、可能会影响移动终端使用的非法固件版本，从而有效保障了移动终端的正常工作和使用，也保护了用户和运营商利益。

尽管上文对本发明进行了详细说明，但是本发明不限于此，本技术领域技术人员可以根据本发明的原理进行各种修改。因此，凡按照本发明原理所作的修改，都应当理解为落入本发明的保护范围。

Claims (10)

1.一种防止移动终端升级到非法固件版本的方法，其特征在于，包括：

升级工具对待升级固件版本进行第一版本合法性校验处理，并在第一版本合法性校验结果为合法时，将握手认证信息发送至移动终端，反之，则不将握手认证信息发送至移动终端；

移动终端利用所述握手认证信息，对所述升级工具进行握手校验处理，并在握手校验成功时，接收升级工具下发的待升级固件版本，反之，则不接收升级工具下发的待升级固件版本；

移动终端对收到的所述待升级固件版本进行第二版本合法性校验处理，并在第二版本合法性校验结果为合法时，进行固件版本升级，反之，则不进行固件版本升级。

2.根据权利要求1所述的方法，其特征在于，所述待升级固件版本的每个版本文件均具有数字签名，升级工具利用其预存的签名密钥，对每个版本文件的数字签名进行校验，若所述待升级固件版本的每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本。

3.根据权利要求2所述的方法，其特征在于，当升级工具确定所述待升级固件版本是合法固件版本时，生成包含握手认证指令和握手认证数据的握手认证信息，并发送至移动终端。

4.根据权利要求3所述的方法，其特征在于，移动终端收到所述握手认证信息后，利用其预存的握手密钥对所述握手认证数据中的密文数据进行解密处理，并将得到明文数据与所述握手认证数据中的明文数据进行匹配，以便确定移动终端与升级工具成功握手。

5.根据权利要求4所述的方法，其特征在于，还包括：

移动终端确定其与升级工具握手成功后，根据来自升级工具的模式切换信息切换到升级模式，以便接收升级工具下发的固件版本。

6.根据权利要求5所述的方法，其特征在于，移动终端利用其预存的签名密钥，对收到的待升级固件版本的每个版本文件进行数字签名校验，若每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本。

7.根据权利要求1-6任意一项所述的方法，其特征在于，还包括：

移动终端使用所述待升级固件版本替换当前固件版本，并在利用所述待升级固件版本重启期间，对所述待升级固件版本进行版本合法性校验处理。

8.一种防止移动终端升级到非法固件版本的系统，其特征在于，包括：

升级工具，用于对待升级固件版本进行第一版本合法性校验处理，并在第一版本合法性校验为合法时，将握手认证信息发送至移动终端，反之，则不将握手认证信息发送至移动终端；

移动终端，用于利用所述握手认证信息，对所述升级工具进行握手校验处理，在握手校验成功时，接收升级工具下发的待升级固件版本，反之，则不接收升级工具下发的待升级固件版本；并对所收到的待升级固件版本进行第二版本合法性校验处理，并在第二版本合法性校验结果为合法时，进行固件版本升级，反之，则不进行固件版本升级。

9.根据权利要求8所述的系统，其特征在于，所述升级工具包括：

签名校验模块，用于利用其预存的签名密钥，对待升级固件版本的每个版本文件进行数字签名校验，若所述每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本；

握手验证模块，用于当确定所述待升级固件版本是合法固件版本时，生成包含握手认证指令和握手认证数据的握手认证信息，并发送至移动终端。

10.根据权利要求9所述的系统，其特征在于，所述移动终端包括：

握手认证模块，用于在收到所述握手认证信息后，利用其预存的握手密钥对所述握手认证数据中的密文数据进行解密处理，并将得到明文数据与所述握手认证数据中的明文数据进行匹配，以便确定移动终端与升级工具成功握手；

签名校验模块，用于利用其预存的签名密钥，对收到的待升级固件版本的每个版本文件进行数字签名校验，若每个版本文件均校验成功，则确定所述待升级固件版本是合法固件版本。