CN103281185A - 一种终端资源访问控制方法和系统 - Google Patents

Abstract

本发明实施例公开了一种终端资源访问控制方法，包括：终端设备向前端系统发送业务请求；前端系统根据所述业务请求向终端设备发送资源访问权限控制文件；终端设备根据所述资源访问控制文件获取终端资源访问权限；终端设备根据所述终端资源访问权限调用终端资源解析并展现业务。本发明实施例还公开了一种终端资源访问控制系统。采用本发明，具有从终端软硬件资源访问的层面控制终端设备对业务的使用，从而加强了业务访问的安全性的优点。

Description

一种终端资源访问控制方法和系统

技术领域

本发明涉及一种访问控制系统，尤其涉及一种终端资源访问控制方法和系统。

背景技术

运营商或业务开发者为了保障自身的利益，一般会采取方式对业务进行保护，以防止非法用户的使用。现有技术下，运营商或业务开发者对于业务（应用）的保护方式一般是通过前端对业务内容进行加密，终端授权用户对加密的业务内容进行解密，从而解析并展现业务。

现有技术至少具有以下缺点：（1）计算机运算能力越来越强，特别是云计算的提出，使得各种加解密技术的破解成为可能；（2）现有技术是基于内容的加密，而没有从控制终端软硬件资源的层面上来控制业务的使用权限。

发明内容

本发明提供一种终端资源访问控制方法和系统。通过在前端系统配置终端资源访问权限控制文件，控制终端设备对底层软硬件资源的访问，进而从终端软硬件资源访问的层面控制终端设备对业务的使用，从而加强了业务访问的安全性。

为了解决上述技术问题，本发明实施例提供了一种终端资源访问控制方法，包括：

终端设备向前端系统发送业务请求；

前端系统根据所述业务请求向终端设备发送资源访问权限控制文件；

终端设备根据所述资源访问控制文件获取终端资源访问权限；

终端设备根据所述终端资源访问权限调用终端资源解析并展现业务。

进一步的，所述终端设备向前端系统发送业务请求之后还包括：

前端系统根据所述业务请求对终端设备进行鉴权，如鉴权成功，生成包含有终端资源访问权限的资源访问权限控制文件。

进一步的，所述前端系统根据所述业务请求向终端设备发送资源访问权限控制文件之前还包括：

前端系统对所述资源访问权限控制文件进行加密；

所述终端设备根据所述资源访问控制文件获取终端资源访问权限包括：

终端设备根据内置的终端设备密钥解密所述资源访问控制文件，并从解密后的资源访问控制文件获取终端资源访问权限。

进一步的，所述终端设备密钥内置在终端安全芯片之内，所述终端设备密钥与所述终端设备唯一对应。

一种终端设备，包括：

请求发送模块，用于向前端系统发送业务请求；

文件接收模块：用于接收前端系统根据所述业务请求发送的资源访问权限控制文件；

权限获取模块，用于根据所述资源访问控制文件获取终端资源访问权限；

解析模块，用于根据所述终端资源访问权限调用终端资源解析并展现业务。

进一步的，所述权限获取模块包括：

解密单元，用于根据内置的终端设备密钥解密所述资源访问控制文件；

权限获取单元，用于从解密后的资源访问控制文件获取终端资源访问权限。

进一步的，所述终端设备密钥内置在终端安全芯片之内，所述终端设备密钥与所述终端设备唯一对应。

一种前端系统，包括：

业务请求获取模块：获取终端设备发送的业务请求；

文件发送模块，用于根据所述业务请求向终端设备发送资源访问权限控制文件。

进一步的，还包括：

鉴权模块，用于根据所述业务请求对终端设备进行鉴权，如鉴权成功，生成包含有终端资源访问权限的资源访问权限控制文件。

进一步的，还包括：

加密模块，用于对所述资源访问权限控制文件进行加密；

所述文件发送模块用于根据所述业务请求向终端设备发送经过所述加密模块加密后的资源访问权限控制文件。

一种终端资源访问控制系统，包括所述的终端设备和所述的前端系统。

实施本发明实施例通过在前端系统配置终端资源访问权限控制文件，控制终端设备对底层软硬件资源的访问，进而从终端软硬件资源访问的层面控制终端设备对业务的使用，从而加强了业务访问的安全性，保障运营商或业务开发者的合法权益。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一种终端资源访问控制方法的第一实施例流程图；

图2是本发明一种终端资源访问控制方法的第二实施例流程图；

图3是本发明一种终端资源访问控制系统的实施例流程图；

图4是本发明一种终端资源访问控制系统的权限获取模块实施例流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明终端资源访问控制方法的第一实施例流程如图1所示，包括：

步骤101：终端设备向前端系统发送业务请求。业务请求包含业务相关信息以及终端设备相关信息。业务相关信息是从前端系统下发给终端设备的业务列表中获取的；具体实施中，业务相关信息可以包括业务索引信息、业务标识、业务提供者标识、运营商标识；业务索引信息用于给出业务的索引，可以是业务的简介或标签信息，也可以是访问业务的详细路径信息；业务标识用于给出业务的标识，业务标识和业务提供者标识以及运营商标识一起唯一标识一个业务；业务提供者标识用于唯一标识一个业务提供者；运营商标识用于唯一标识一个运营商。终端设备相关信息可以包括用户账号、设备标识、mac地址、IP地址；用户账号用于给出用户在所述前端系统的登记信息；设备标识用于给出设备的唯一标识。终端设备相关信息在前端系统都有对应的记录。

步骤102：前端系统根据所述业务请求向终端设备发送资源访问权限控制文件。前端系统包括业务中心和资源控制中心，业务中心用于给出业务内容以及用户管理相关信息，并给终端设备发送业务；资源控制中心根据业务内容及用于管理相关信息给出终端资源访问权限控制信息并给终端设备发送资源访问权限控制文件。资源访问权限控制文件用于给出各个业务实现所需要的终端软硬件资源信息以及终端设备对各个业务的使用权限，并通过所述资源控制中心的密钥管理单元加密，必须要通过终端密钥解密才能够获取到明文信息。前端系统发送业务及资源访问权限控制文件，具体发送的方式以及数据的组织形式根据具体网络以及终端设备来定；业务可以是加密的也可以是没有经过加密的业务数据。

步骤103：终端设备根据所述资源访问控制文件获取终端资源访问权限。

终端设备包括应用程序层、应用程序接口、资源访问控制接口、软硬件资源层。应用程序层是指具体的应用，比如数字电视接收终端的节目搜索；应用程序接口用于给应用程序的实现调用底层软硬件资源提供接口；资源访问控制接口用于控制底层资源的访问权限；软硬件资源层用于给出终端设备的软硬件资源，以支持上层应用的实现。

资源访问控制接口通过终端密钥解密所述资源访问控制文件，终端密钥是终端设备特有的，每个终端设备的终端密钥唯一，是终端安全芯片出厂的时候内置在终端安全芯片之内的。终端设备出厂时，将终端设备的终端密钥信息提供给运营商，并在前端系统的资源控制中心形成记录。终端设备的安全芯片至少具有以下特性：（1）安全芯片资源授权使用之前，仅能接收、处理资源访问权限控制文件并使用所述终端密钥对其解密；（2）应用程序接口不能直接访问底层软硬件资源，而必须通过资源访问控制接口作为代理。资源访问控制接口通过终端密钥对资源访问权限控制文件进行解密，获取终端资源访问权限。

步骤104：终端设备根据所述终端资源访问权限调用终端资源解析并展现业务。终端设备的应用程序层通过应用程序接口，并根据终端资源访问权限以资源访问控制接口作为代理，调用终端设备的软硬件资源，从而实现业务的解析，并展现业务。

本发明实施例通过在前端系统配置终端资源访问权限控制文件，控制终端设备对底层软硬件资源的访问，进而从终端软硬件资源访问的层面控制终端设备对业务的使用，从而加强了业务访问的安全性。

本发明终端资源访问控制方法的第二实施例流程如图2所示：

步骤201：终端设备向前端系统发送业务请求。此步骤已在前一实施例中介绍，这里不再赘述。

步骤202：前端系统根据所述业务请求对终端设备进行鉴权，如鉴权成功，生成包含有终端资源访问权限的资源访问权限控制文件。前端系统根据终端设备发送的业务请求信息中用户相关信息鉴定所述终端设备是否有权限访问所述请求的业务；用户相关信息在前端系统有相关登记记录信息，具体实施中，前端系统可以根据用户的缴费情况判定所述终端设备是否有权限访问所述请求的业务。前端系统判定终端设备没有权限访问访问所述请求的业务时，拒绝终端设备的请求；前端系统判定终端设备有权限访问访问所述请求的业务时，前端系统产生资源访问权限控制文件。

步骤203：前端系统对所述资源访问权限控制文件进行加密。每个终端设备具有唯一的终端密钥，终端密钥是终端设备特有的，是终端安全芯片出厂的时候内置在终端安全芯片之内的。终端设备出厂时，将终端设备的终端密钥信息提供给运营商，并在前端系统的资源控制中心形成记录。前端系统根据该终端设备的终端密钥加密资源访问权限控制文件。

步骤204：前端系统根据所述业务请求向终端设备发送资源访问权限控制文件。

步骤205：终端设备根据内置的终端设备密钥解密所述资源访问控制文件。

终端设备包括应用程序层、应用程序接口、资源访问控制接口、软硬件资源层。应用程序层是指具体的应用，比如数字电视接收终端的节目搜索；应用程序接口用于给应用程序的实现调用底层软硬件资源提供接口；资源访问控制接口用于控制底层资源的访问权限；软硬件资源层用于给出终端设备的软硬件资源，以支持上层应用的实现；资源访问控制接口通过终端密钥解密所述资源访问控制文件。

资源访问控制接口通过终端密钥对资源访问权限控制文件进行解密。终端密钥是终端设备特有的，每个终端设备的终端密钥唯一，是终端安全芯片出厂的时候内置在终端安全芯片之内的；所述终端设备出厂时，将终端设备的终端密钥信息提供给运营商，并在前端系统的资源控制中心形成记录。终端设备的安全芯片至少具有以下特性：（1）安全芯片资源授权使用之前，仅能接收、处理资源访问权限控制文件并使用所述终端密钥对其解密；（2）应用程序接口不能直接访问底层软硬件资源，而必须通过资源访问控制接口作为代理。

步骤206：终端设备从解密后的资源访问控制文件获取终端资源访问权限。终端设备根据访问权限信息判定终端资源是否具有访问权限；如果没有访问权限，给出提示；如果有访问权限，终端设备向前端系统发送终端设备资源可用信息。前端系统接收到终端设备的资源可用信息后，前端系统给终端设备发送终端设备所请求的业务数据，业务数据根据实际情况，可以是经过加密的，也可以是没有经过加密的。

步骤207：终端设备根据所述终端资源访问权限调用终端资源解析并展现业务。终端设备接收所述前端系统发送的业务数据；终端设备应用程序层通过应用程序接口、资源访问控制接口调用终端软硬件资源，实现业务的解析，并展现业务。

本发明实施例通过在前端系统配置终端资源访问权限控制文件，控制终端设备对底层软硬件资源的访问，进而从终端软硬件资源访问的层面控制终端设备对业务的使用，从而加强了业务访问的安全性。

与本发明终端资源访问控制方法的实施例相对应，本发明还提供了终端资源访问控制系统实施例。

本发明终端资源访问控制系统的实施例框图如图3所示，该系统至少可以包括前端系统30和终端设备40。

终端设备30至少可以包括：请求发送模块310、文件接收模块320、权限获取模块330、解析模块340。其中：

请求发送模块310，用于向前端系统发送业务请求。请求发送模块310发送的业务请求包含业务相关信息以及终端设备相关信息。业务相关信息是从前端系统下发给终端设备的业务列表中获取的；具体实施中，业务相关信息可以包括业务索引信息、业务标识、业务提供者标识、运营商标识；业务索引信息用于给出业务的索引，可以是业务的简介或标签信息，也可以是访问业务的详细路径信息；业务标识用于给出业务的标识，和业务提供者标识以及运营商标识一起唯一标识一个业务；业务提供者标识用于唯一标识一个业务提供者；运营商标识用于唯一标识一个运营商。终端设备相关信息可以包括用户账号、设备标识、mac地址、IP地址；用户账号用于给出用户在所述前端系统的登记信息；设备标识用于给出设备的唯一标识。终端设备相关信息在前端系统都有对应的记录。

文件接收模块320：用于接收前端系统根据所述业务请求发送的资源访问权限控制文件。

权限获取模块330，用于根据所述资源访问控制文件获取终端资源访问权限。权限获取模块330通过终端密钥解密所述资源访问控制文件，终端密钥是终端设备特有的，每个终端设备的终端密钥唯一，是终端安全芯片出厂的时候内置在终端安全芯片之内的。终端设备出厂时，将终端设备的终端密钥信息提供给运营商，并在前端系统的资源控制中心形成记录。

解析模块340，用于根据所述终端资源访问权限调用终端资源解析并展现业务。解析模块340，根据终端资源访问权限调用终端设备的软硬件资源，从而实现业务的解析，并展现业务。

具体的，如图4所示，所述权限获取模块330至少包括：

解密单元331，用于根据内置的终端设备密钥解密所述资源访问控制文件。解密单元331通过终端密钥对资源访问权限控制文件进行解密。终端密钥是终端设备特有的，每个终端设备的终端密钥唯一，是终端安全芯片出厂的时候内置在终端安全芯片之内的；所述终端设备出厂时，将终端设备的终端密钥信息提供给运营商，并在前端系统的资源控制中心形成记录。终端设备的安全芯片至少具有以下特性：（1）安全芯片资源授权使用之前，仅能接收、处理资源访问权限控制文件并使用所述终端密钥对其解密；（2）应用程序接口不能直接访问底层软硬件资源，而必须通过资源访问控制接口作为代理。

权限获取单元332，用于从解密后的资源访问控制文件获取终端资源访问权限。权限获取单元332根据访问权限信息判定终端资源是否具有访问权限；如果没有访问权限，给出提示；如果有访问权限，终端设备向前端系统发送终端设备资源可用信息。前端系统接收到终端设备的资源可用信息后，前端系统给终端设备发送终端设备所请求的业务数据，业务数据根据实际情况，可以是经过加密的，也可以是没有经过加密的。

前端系统40至少可以包括：业务请求获取模块410、文件发送模块420、鉴权模块430、加密模块440。其中：

业务请求获取模块410：获取终端设备发送的业务请求。业务请求获取模块410接收终端设备发送的业务请求。

文件发送模块420，用于根据所述业务请求向终端设备发送资源访问权限控制文件。

鉴权模块430，用于根据所述业务请求对终端设备进行鉴权，如鉴权成功，生成包含有终端资源访问权限的资源访问权限控制文件。鉴权模块430根据终端设备发送的业务请求信息中用户相关信息鉴定所述终端设备是否有权限访问所述请求的业务；用户相关信息在前端系统有相关登记记录信息，具体实施中，前端系统可以根据用户的缴费情况判定所述终端设备是否有权限访问所述请求的业务。

加密模块440，用于对所述资源访问权限控制文件进行加密。每个终端设备具有唯一的终端密钥，终端密钥是终端设备特有的，是终端安全芯片出厂的时候内置在终端安全芯片之内的。终端设备出厂时，将终端设备的终端密钥信息提供给运营商，并在前端系统的资源控制中心形成记录。加密模块440根据该终端设备的终端密钥加密资源访问权限控制文件。

本发明实施例通过在前端系统配置终端资源访问权限控制文件，控制终端设备对底层软硬件资源的访问，进而从终端软硬件资源访问的层面控制终端设备对业务的使用，从而加强了业务访问的安全性。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory，ROM）或随机存储记忆体（Random Access Memory，RAM）等。

以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (11)

1.一种终端资源访问控制方法，其特征在于，包括：

终端设备向前端系统发送业务请求；

前端系统根据所述业务请求向终端设备发送资源访问权限控制文件；

终端设备根据所述资源访问控制文件获取终端资源访问权限；

终端设备根据所述终端资源访问权限调用终端资源解析并展现业务。

2.根据权利要求1所述的方法，其特征在于，所述终端设备向前端系统发送业务请求之后还包括：

前端系统根据所述业务请求对终端设备进行鉴权，如鉴权成功，生成包含有终端资源访问权限的资源访问权限控制文件。

3.根据权利要求2所述的方法，其特征在于，所述前端系统根据所述业务请求向终端设备发送资源访问权限控制文件之前还包括：

前端系统对所述资源访问权限控制文件进行加密；

所述终端设备根据所述资源访问控制文件获取终端资源访问权限包括：

终端设备根据内置的终端设备密钥解密所述资源访问控制文件，并从解密后的资源访问控制文件获取终端资源访问权限。

4.根据权利要求3所述的方法，其特征在于，所述终端设备密钥内置在终端安全芯片之内，所述终端设备密钥与所述终端设备唯一对应。

5.一种终端设备，其特征在于，包括：

请求发送模块，用于向前端系统发送业务请求；

文件接收模块：用于接收前端系统根据所述业务请求发送的资源访问权限控制文件；

权限获取模块，用于根据所述资源访问控制文件获取终端资源访问权限；

解析模块，用于根据所述终端资源访问权限调用终端资源解析并展现业务。

6.根据权利要求5所述的终端设备，其特征在于，所述权限获取模块包括：

解密单元，用于根据内置的终端设备密钥解密所述资源访问控制文件；

权限获取单元，用于从解密后的资源访问控制文件获取终端资源访问权限。

7.根据权利要求6所述的终端设备，其特征在于，所述终端设备密钥内置在终端安全芯片之内，所述终端设备密钥与所述终端设备唯一对应。

8.一种前端系统，其特征在于，包括：

业务请求获取模块：获取终端设备发送的业务请求；

文件发送模块，用于根据所述业务请求向终端设备发送资源访问权限控制文件。

9.根据权利要求8所述的前端系统，其特征在于，还包括：

鉴权模块，用于根据所述业务请求对终端设备进行鉴权，如鉴权成功，生成包含有终端资源访问权限的资源访问权限控制文件。

10.根据权利要求8所述的前端系统，其特征在于，还包括：

加密模块，用于对所述资源访问权限控制文件进行加密；

所述文件发送模块用于根据所述业务请求向终端设备发送经过所述加密模块加密后的资源访问权限控制文件。

11.一种终端资源访问控制系统，其特征在于，包括如权利要求5-7所述的终端设备和如权利要求8-10所述的前端系统。

Images