CN103116716A - 一种针对移动平台的低干扰的即时权限授予方法 - Google Patents

Abstract

本发明属于移动平台访问控制技术领域，具体为一种针对移动平台的低干扰的即时权限授予方法。本发明通过在移动平台操作系统内部设计并实现一个系统调用拦截器，可以有效拦截移动平台上的应用程序对敏感资源的直接访问。而通过在操作系统内核中记录进程间通讯信息，可以有效控制应用程序通过其他应用程序的开放接口对敏感资源的间接访问，从而达到对敏感信息访问的全覆盖。本发明可以在完全保证安全性的同时对绝大多数无害访问进行过滤，对极少数可能引发安全问题的访问，本发明可以即时为用户提供访问信息以辅助用户做出正确的权限授予。

Description

一种针对移动平台的低干扰的即时权限授予方法

技术领域

本发明属于移动平台访问控制技术领域，具体的说，涉及一种针对移动平台的低干扰的即时权限授予方法。

背景技术

如今，海量的应用程序将手机、平板电脑等嵌入式设备推向了一个空前繁荣的时代。移动平台由于其特殊性，包含了众多敏感资源如通讯录、短信、网络连接等。随着应用程序及开发者数量的迅速上升，移动平台的安全隐患受到了极大的关注。频频发生的个人信息泄露及恶意扣费事件使得移动平台现有的访问控制策略受到了诸多质疑和诟病。

为了保证应用程序运行空间的独立性，现有的大多数移动平台操作系统都将不同的应用程序运行在不同的进程空间中，以保证应用程序数据和代码空间的独立性。为了限制应用程序可能存在的恶意行为，以Android为代表的移动平台操作系统设计了一种基于权限的访问控制策略。只有应用程序获得了相应的权限后才可以访问敏感的数据、应用程序接口及系统服务等资源。应用开发人员在开发应用程序时，将程序所需要的权限写入manifest文件。在用户安装应用时，操作系统将请求用户授予应用程序所请求的全部权限。如果用户拒绝授予，应用将无法完成安装。

判断应用程序某一行为是否是恶意行为依赖于行为发生的上下文和正在完成的功能。例如，对于一款游戏软件而言，读取通讯录并发送至互联网可以被认为是恶意行为。然而对于通讯录同步软件而言，这一行为却是正常的。因此，用户参与的权限授予是十分必要的。然而现有的权限授予机制是存在显著缺陷的。具体表现在要求用户做权限授予时，无法即时得知应用程序会在何时何种场景下使用该权限即缺少上下文信息。这使得用户很难做出正确的判断。例如，Angry Birds作为一款极为流行的应用程序需要“发送短信”的权限以支持通过短信购买高级道具的行为。然而，在不知晓应用程序将如何使用“发送短信”权限前，不能做即时权限授予的情况下，用户几乎不可能做出正确的判断。

因此，如何在保障安全性和易用性的基础上设计一种权限授予机制显得十分重要。从安全性角度出发，权限授予需要保证任何一种存在安全隐患的权限使用请求都需要用户在知晓上下文的情况下进行授权。从易用性角度出发，系统所需的用户授权频率要尽可能低。现有的权限授予方法在解决上述问题上存在明显的缺点：(1) Android，Facebook和Google Chrome都使用安装时静态权限授予的形式对应用程序或插件进行限制，用户在这些平台上很难得知应用程序将如何使用所需的权限。(2) iOS及Windows Vista只提供了极粗粒度的访问控制。应用程序对通知中心、GPS的访问会要求用户授权，而对通讯录、短信息等私人信息的访问却没有限制。Windows Vista仅在应用程序需要管理员权限时要求用户授权，而不区分具体的行为类型。(3) 学术界旨在解决权限授予问题的一些方案改变了现有的编程模型，要求应用程序开发人员使用新的应用程序编程接口来保障程序安全。由于移动平台的应用商城已经拥有了海量应用程序，要求对现有程序进行修改的解决方案是不实际的。因此，在不频繁要求授权、不需要对现有应用进行修改的前提下向用户提供程序使用权限的上下文信息在针对移动平台的权限授予中显得十分重要。

发明内容

本发明的目的是为现代智能移动终端提供一种对用户低干扰、无需修改现有应用、即时的权限授予策略。该策略能拦截所有可能造成安全隐患的应用程序行为，并在该行为发生的同时请求用户授权，从而帮助用户获知应用程序如何使用该权限，同时可以确保任何一个可能造成安全隐患的程序行为都必须得到用户的授权。

本发明通过对现有移动平台操作系统权限授予机制的调研，发现非即时的权限授予策略无法有效地帮助用户了解应用程序如何使用权限，因而用户往往错误的对某些应用进行授权而导致重大的安全隐患。而一些高干扰的权限授予策略对易用性造成了极大的影响，导致这些策略无法获得市场的认同。而另外一些权限授予方法则要求程序员对现有程序进行修改。以目前的应用程序规模，对现有应用进行修改是不切实际的。总体而言，目前尚没有任何一种针对移动平台的权限授予机制可以有效地提供低干扰、即时的权限授予策略。

本发明采用的技术方案为：通过在移动平台操作系统内部设计并实现一个系统调用拦截器，有效地拦截移动平台上的应用程序对敏感资源的直接访问。而通过在操作系统内核中记录进程间通讯信息，有效控制应用程序通过其他应用程序的开放接口对敏感资源的间接访问，从而达到对敏感信息访问的全覆盖。为将对用户的干扰降到最低，采用安全需求工程的方法获知恶意应用程序的资源访问特征，在完全保证安全性的同时对绝大多数无害访问进行过滤。对极少数可能引发安全问题的资源访问，在访问发生时为用户提供访问信息以辅助用户做出正确的权限授予。

本发明所采用的针对移动平台的低干扰的即时权限授予系统主要包括两个模块：访问拦截模块和授权决策模块。

访问拦截模块负责拦截应用程序对敏感资源的所有访问。而由于应用程序可以通过其他应用程序提供的开放接口发起对敏感资源的访问，访问拦截模块还需要在应用程序调用其他应用程序的开放接口时记录调用链以确保可以区分出这种间接的资源访问。如图1所示，无论是直接访问还是间接访问，本发明在所有敏感资源的访问接口处将该次访问重定向到授权决策模块，从而保证任何对敏感资源的访问都无法绕过访问拦截模块。但对于间接访问，如应用程序A通过应用程序B完成对GPS的访问，我们虽然已经能够通过访问重定向监测到应用程序B对GPS资源的直接访问，但是如果不知道完整调用链即应用程序A的存在，则无法准确的对该访问进行判断。因此我们需要还原出任何一次访问的程序调用链。本发明通过修改操作系统内核完成对进程间通讯的追踪，进而能够在间接访问发生时还原出完整的调用链。

授权决策模块负责决定系统将如何处理访问拦截模块拦截下来的资源访问请求。在授权决策模块中，每个应用程序所申请的任一权限都有三个可能的状态：(1)已授权（对该权限的使用将被直接放行），(2)已阻止(对该权限的使用将被直接拒绝)，(3)待定（对该权限的使用将请求用户的确认）。授权决策模块负责处理所有的状态转换并持久化权限状态信息以保证设备重启后信息不会丢失。

当应用程序试图对某敏感资源发起访问时，访问拦截模块会将该次访问请求拦截，并将该次访问的信息（包括访问的资源信息、应用程序信息及应用程序调用链信息）发送至授权决策模块，授权决策模块则会决定系统将如何处理该访问请求：放行、拒绝还是要求用户显式授权。一次权限的使用是否会带来安全隐患由一个恶意程序资源访问特征集决定，符合特征的资源访问请求将被授权决策模块认为可能会带来安全隐患。

如图2所示，为了减少不必要的用户参与，当应用程序对权限的使用不会带来安全隐患时，授权决策模块将该权限直接设置为已授权状态。如果未被授予，授权决策模块需要通过此次访问的上下文如该应用已经获得的权限判断此次访问是否有可能造成安全问题。如果不会形成安全隐患，则允许此次访问。否则，授权决策模块将向用户提供此次访问的上下文信息，以辅助用户正确地完成权限授予。若此次访问被自动或人工授权，授权决策模块将通知访问拦截模块放行此次访问。

本发明中，将移动平台上敏感资源分为两类：(1)内核敏感资源，如网络连接、文件等；(2)Android系统敏感资源，如通讯录、短信、GPS等。而移动平台上的某个应用程序对敏感资源的访问接口又可以分为两大类：i)直接访问接口：包括移动平台提供的API和操作系统内核提供的API，应用程序可以通过这些接口直接访问移动平台上的两类敏感资源。ii)间接访问接口：即应用程序为其他应用程序提供的接口，例如 GPS程序可能会为其他应用程序提供访问接口，其他应用程序可以通过该接口访问GPS。

本发明提供的一种针对移动平台的低干扰的即时权限授予方法，具体步骤如下：

1、在系统运行过程中，当任一应用程序试图使用某权限对敏感资源进行访问时，该资源访问请求在敏感资源的访问接口处被访问拦截模块拦截并重定向至授权决策模块；

2、授权决策模块会根据访问拦截模块提供的资源访问信息、应用信息及调用链信息查询相应的权限状态信息；

3、授权决策模块根据权限状态信息，通知访问拦截模块放行或拒绝本次访问。其中：

如果相应的权限状态是“已授权”或“已阻止”，则授权决策模块将直接通知访问拦截模块放行或拒绝本次访问。

如果相应的权限状态是“待定”，则授权决策模块将根据恶意应用程序资源访问特征，以确定本次请求是否会造成安全隐患。如果不符合任何一项恶意应用程序资源访问特征，则通知访问拦截模块放行，并更新权限状态信息至“已授予”，否则将通知访问拦截模块对本次访问请求用户确认；请求用户确认时，访问拦截模块向用户弹出交互窗口以提供本次资源访问请求的详细信息以及可能存在的安全隐患，并给予用户四种即时授权选项：授权一次、永久授权、阻止一次、永久阻止。如果用户选择授权一次或永久授权，则访问拦截模块允许应用访问该资源；如果用户选择了永久授权或永久阻止，访问拦截模块还将通知授权决策模块更新权限状态信息。

本发明中，步骤（2）中访问拦截模块中的调用链信息在操作系统内核中记录，如果调用链信息显示这是一次间接资源访问请求，则授权决策模块会查询调用发起者的权限状态信息，如果为直接资源访问，则将查询资源访问者的权限状态信息。

本发明中，步骤（1）中，所述访问拦截模块通过在操作系统内核外设置一个系统调用拦截器实现。

本发明的有益效果是：本发明设计并实现了一种低干扰的即时权限授予方法，可以有效防止恶意程序在用户无意识的情况下获得敏感资源访问权限；可以有效地减少多个恶意程序通过协作获得敏感资源访问权限的可能性；通过引入授权决策模块减少了99%的用户授权请求，从而在不降低安全性的同时大幅提高了本方法的有效性。

附图说明

图1为本发明访问拦截模块的设计图。

图2为本发明授权决策模块的设计图。

具体实施方式

下面结合附图和实施例对本发明做进一步详细说明。

实施例1

在实施本发明的过程中，我们选择了Android平台作为目标平台。

本发明提供的一种针对移动平台的低干扰的即时权限授予方法，具体步骤如下：

1、在系统运行过程中，当任一应用程序试图使用某权限对敏感资源进行访问时，该资源访问请求在敏感资源的访问接口处被访问拦截模块拦截并重定向至授权决策模块；

2、授权决策模块会根据访问拦截模块提供的资源访问信息、应用信息及调用链信息查询相应的权限状态信息；

3、授权决策模块根据权限状态信息，通知访问拦截模块放行或拒绝本次访问。若权限状态为待定，则根据一套恶意程序敏感资源访问特征判断该次访问是否会造成安全隐患，如果是则请求用户参与授权。

图1为本发明访问拦截模块的设计图。

图2为本发明授权决策模块的设计图。

实施过程中，访问拦截模块对所有敏感资源以及所有访问方式实现了全覆盖，具体包括实现对Android系统敏感资源直接访问的拦截、内核敏感资源直接访问的拦截以及间接访问中调用链的记录和恢复，具体过程如下：

一、对Android系统敏感资源直接访问的拦截

通过对Android系统平台的深入研究，我们发现Android系统在实施其权限模型的过程中已经对Android系统敏感资源的访问设置了权限检查点：在应用程序对Android系统敏感资源如通讯录、短信等进行访问时，Android系统会在访问发生前检查应用程序是否具备访问该资源的权限，如不具备则不允许此次访问。因此，我们将这些检查点重定向到本发明中的访问拦截模块，就可以完全拦截所有对Android系统敏感资源的直接访问。

二、对内核敏感资源直接访问的拦截

为了实现对内核敏感资源直接访问的拦截，我们控制应用程序对操作系统API的调用，这样就可以拦截应用程序通过各种方式甚至是本地代码对内核敏感资源的直接访问。为了拦截应用程序对系统调用的访问，我们可以选择两种不同的实现方式：一种是修改操作系统内核对系统调用的实现，在访问发生前实施拦截；另一种是在操作系统内核外设置一个系统调用拦截器，拦截通过标准C库发出的系统调用，并限制应用程序通过第三方类库直接向操作系统发出的软中断指令。

由于第一种方案将会频繁陷入内核态而影响性能，我们选择了第二种实现方式。Android平台自带了一种称为bionic libc的标准C库，它是BSD标准C库的演化版本。Android平台提供了一些API对该库中的函数进行一定程度的包装，以便应用程序访问这些敏感资源。开发人员可以编写本地代码直接调用该库中的函数以发出系统调用访问敏感资源。而本发明中，我们对bionic libc进行了修改，对于一些访问内核敏感资源的函数，我们在其产生中断进入内核之前，迫使其进入访问拦截模块，从而实现对内核敏感资源直接访问的拦截。然而，应用程序可以通过编写本地代码发送软中断指令来进入内核态，从而绕过bionic libc。因此我们需要禁止应用程序通过非bionic libc的第三方库发出软中断。为了达到这一目的，我们在应用程序装在第三方库时对库进行扫描，以确保其不包含SWI指令。我们对现有应用进行了大量扫描，尚未发现任何应用直接通过软中断指令直接访问系统调用，因此，这种实施方案将完全兼容现有应用程序。

三、对间接访问中调用链的记录和恢复

Android使用Binder架构实现进程间通信。当进程A调用进程B时，Binder驱动会在将pid, uid及传递的数据记录在binder_transaction_data结构中。我们修改了Linux内核中Binder的驱动程序，使Binder驱动程序在每一次进程间通信时将调用链信息记录在binder_transaction_data结构中。

此外，实现授权决策模块需要生成一套完整有效的恶意应用敏感资源访问特征，我们采用安全需求工程的方法来推导恶意应用程序所必备的敏感资源访问特征。具体过程如下：

首先，通过分析Android平台的特征识别出用户在Android设备中所拥有的资源，如手机短信、位置信息、通讯录和摄像头拍摄的影像等。在识别出所有的用户资源后，还需进一步分析每一种资源是如何被第三方应用程序滥用，进而影响系统的私密性、完整性和可用性，从而确定出针对每一种资源存在的安全威胁。例如，“一个恶意应用可以读取手机短信并将其通过互联网发送出去”，随后推导出制造安全威胁必须具备的敏感资源访问特征：“一个恶意应用程序同时具备访问短信和互联网的能力时可以造成安全威胁”。

本发明中，我们通过以上实施方式，有效实现了访问拦截模块对所有敏感资源以及所有访问方式的全覆盖，保证安全性的同时对绝大多数无害访问进行过滤，低干扰的、即时的为用户提供访问信息以辅助用户做出正确的权限授予。

Claims (6)

1.一种针对移动平台的低干扰的即时权限授予方法，其特征在于，具体步骤如下：

（1）在系统运行过程中，当任一应用程序试图使用某权限对敏感资源进行访问时，该资源的访问请求在敏感资源的访问接口处被访问拦截模块拦截并重定向至授权决策模块；

（2）授权决策模块根据访问拦截模块提供的资源访问信息、应用信息及调用链信息查询相应的权限状态信息；

（3）授权决策模块根据权限状态信息，通知访问拦截模块放行或拒绝本次访问；其中：

当所述权限状态为“已授权”或“已阻止”时，则授权决策模块将直接通知访问拦截模块放行或拒绝本次访问；

当所述权限状态为“待定”时，则授权决策模块将根据恶意应用程序资源访问特征，以确定本次请求是否会造成安全隐患；当不符合任何一项恶意应用程序资源访问特征时，则通知访问拦截模块放行，并更新权限状态信息至“已授权”；否则将通知访问拦截模块对本次访问请求用户确认，访问拦截模块通过向用户弹出交互窗口以提供本次资源访问请求的详细信息以及可能存在的安全隐患，并给予用户四种即时授权选项：授权一次、永久授权、阻止一次、永久阻止；如果用户选择“授权一次”或“永久授权”，则访问拦截模块允许应用访问该资源；如果用户选择了“永久授权”或“永久阻止”，访问拦截模块还将通知授权决策模块更新权限状态信息。

2.根据权利要求1所述的针对移动平台的低干扰的即时权限授予方法，其特征在于：步骤（1）中所述敏感资源包括内核敏感资源及Android系统敏感资源；其中所述敏感资源包含网络连接及文件；所述 Android系统敏感资源包含通讯录、短信及GPS。

3.根据权利要求1所述的针对移动平台的低干扰的即时权限授予方法，其特征在于：步骤（1）中所述访问接口包括直接访问接口及间接访问接口，其中所述直接访问接口包括移动平台提供的API和操作系统内核提供的API。 

4.根据权利要求1所述的针对移动平台的低干扰的即时权限授予方法，其特征在于：步骤（1）中所述访问拦截模块通过在操作系统内核外设置一个系统调用拦截器实现。

5.根据权利要求1所述的针对移动平台的低干扰的即时权限授予方法，其特征在于：步骤（2）中所述访问拦截模块中的调用链信息在操作系统内核中记录，所述调用链信息显示是一次间接资源访问请求时，则授权决策模块查询调用发起者的权限状态信息；步骤（2）中所述调用链信息显示是直接资源访问请求时，将直接查询资源访问者的权限状态信息。

6.一种针对移动平台的低干扰的即时权限授予系统，其特征在于：包括访问拦截模块和授权决策模块，所述访问拦截模块，用于拦截应用程序对敏感资源的所有访问；所述授权决策模块，用于决定系统将如何处理访问拦截模块拦截下来的资源访问请求。

Images