CN103327183A - 基于标签的安卓用户隐私数据黑盒防护方法及系统 - Google Patents

Abstract

本发明涉及一种基于文本特征标签的安卓用户隐私泄露防护方法及系统，在由用户数据查选组件，用户标签设置组件，用户策略设置组件和数据出口保护组件组成的系统中，保护方法为：1）在安卓用户终端保存隐私数据，根据隐私数据抽取文本特征，同时设置文本特征标签；2）设置文本特征标签的出口安全控制策略，隐私数据由数据包发送到数据出口；3）在数据出口检测出携带有文本特征标签的隐私数据包并按照设定的出口安全策略对数据包中隐私数据进行保护。本发明提供了用户可控的细粒度隐私数据防泄露保护方法，并采用黑盒检测的方式大量节省安全监控的时间耗费，适于部署于计算资源受限的安卓智能移动终端，为用户指定的各种隐私数据提供安全保障。

Description

基于标签的安卓用户隐私数据黑盒防护方法及系统

技术领域

本发明涉及安卓用户隐私信息防护方法，尤其涉及一种基于事先设定的文本特征标签检测安卓应用程序是否将用户隐私数据向外发送，并基于数据出口安全控制策略判定如何处置违规隐私数据发送行为的方法及系统，属于移动终端安全领域。

背景技术

目前，信息技术已进入移动互联网时代，智能移动终端由于其便携性、成本低等优点日益成为用户进行各类网络活动的主要终端形态。相比传统移动终端，智能移动终端拥有更高性能的处理器、更大的存储空间、更高的移动网络数据传输能力以及开放的第三方移动终端操作系统，因此借助智能移动终端可以开展大量业务应用，处理更多的个人隐私数据。这些数据，如通话与短信信息，地理位置，社交网络账户，银行帐号，个人密码，照片视频等等，均以直接或间接的方式与金钱利益挂钩，从而吸引了众多攻击者的注意力，导致隐私窃取类恶意软件增长速度惊人，根据网秦发布的《2012年上半年全球手机安全报告》中的数据显示，2012年上半年查杀到手机恶意软件17676款，相比2011年下半年增长42%，感染手机1283万部，其中隐私窃取类占据了23.2%的感染比例。为全面保护用户的隐私与财产安全，推动智能移动设备的发展，智能移动终端隐私防护技术的研究已成为产业界和学术界共同关注的方向。

数据流追踪控制是智能移动终端隐私防护的重要方向之一，目前的数据流追踪控制方案为敏感隐私数据设置污点标签，监测安卓应用程序中处理隐私数据的指令运行，设定规则保证污点标签在数据处理过程中有效传播，从而跟踪隐私数据的流向，直至数据流离开手机的各种渠道，防止隐私数据的非授权泄漏。2010年Intel实验室，宾夕法尼亚实验室，以及杜克大学联合开发了应用于安卓上的TaintDroid系统，该系统利用了安卓的DVM虚拟机架构，对其进行轻量级扩展以进行四个级别的污点追踪；同年，Georgios等研究者们开发了Paranoid安卓系统，利用虚拟机录制与重放技术，将安卓运行状态复制并传递给远程服务器，在服务器上运行病毒查杀和污点传播检测，对隐私泄漏和其它恶意入侵行为进行检测。TaintDroid和Paranoid Android系统均只对隐私数据流实施了追踪，并未对其进行控制。2011年，华盛顿大学的Peter等人开发了AppFence系统利用TaintDroid的技术对其访问后的数据处理过程进行全程监控，并在网络出口处拦截装有被污点标记过的非法发送缓存。

然而现有安卓数据流追踪隐私保护方案采用的是数据流白盒追踪，需要在虚拟机中实时截获并分析每一条指令的运行（如数据加减运算，数据字符串变形，数据拷贝等），并在系统中另外开辟大量内存，存储和传播数据源和中间数据的污点标签，才能跟踪隐私数据流，此种方式给计算资源本就受限的移动终端带来大量的性能消耗，影响用户体验。目前在智能移动终端领域，还不存在一种无需实时监控指令的高效隐私数据流追踪和保护方法。

发明内容

本发明的目的在于构建一种基于文本特征标签的安卓用户隐私数据黑盒防护方法及系统，采用黑盒快速追踪的方式，在源头为用户隐私数据抽取其数据文本特征设置标签和数据出口安全控制策略，将数据在终端内部的所有处理过程视为黑盒，不予干涉，仅在Internet、蓝牙、短消息信息出口处，拦截外传数据，查获带有标签的数据包，阻止违反用户保护策略的隐私数据从终端泄漏。

为了实现上述目的，本发明采用如下技术方案——基于标签的安卓用户隐私黑盒防护方法，包括如下步骤：

1)在安卓用户终端保存隐私数据，根据所述隐私数据抽取文本特征，同时设置文本特征标签；

2)设置所述文本特征标签的出口安全控制策略，所述隐私数据由数据包发到数据出口；

3)在所述数据出口检测出携带有文本特征标签的隐私数据包并按照设定的出口安全策略对数据包中隐私数据进行保护。

更进一步，所述数据出口为Internet、蓝牙、短消息中的一种或者多种。

更进一步，所述文本特征标签L:<class,{f₁,f₂,…,f_n}，m>，其中L为标签编号，class为隐私数据的类别名称，{f₁,…,f_n}为符合该隐私数据类别的数据可能包括的文本特征，m为判定阈值，所有的文本特征标签组合为文本特征标签集合LABELS。

更进一步，根据所述判定阈值m进行判定方法如下：

当一个数据包中包含不少于m个{f₁，…，f_n}集合中的文本特征时，则判定该数据流包含了class类别的隐私数据，携带了标签L。

更进一步，所述设置文本特征标签的方法为：

1)在安卓终端上设置图形化用户界面程序，用户选出一组隐私数据并设定类别名；

2)设定文本特征数n，手动或自动抽取n条文本特征并设定阈值数m，由用户界面程序生成标签保存在本地，其中0<m<=n。

更进一步，所述自动抽取n条文本特征的方法是：用户指定每条文本特征最大字符串长度，用户界面程序从用户选定的隐私文本数据中随机截取n个互相不重叠且长度不超过用户设定值的字符串作为文本特征。

更进一步，所述用户隐私数据包括但不限于联系人列表、应用程序列表、短消息内容、SD卡文本数据、日志信息、GPS地理位置，IMEI设备标识，WiFi MAC地址，蓝牙MAC地址，这些数据以文本字符串形式存储于安卓终端内部。

更进一步，所述文本特征标签的安全控制策略形成一个出口安全策略集合POLICIES，集合中的每条策略表示为<L,AppList,Action>，其中L为LABLES集合中一条标签的编号，AppList是设定的应用程序集合，Action是策略生效防护行为。

更进一步，所述在Internet、蓝牙、短消息数据出口检测数据包是否携带标签的方法为：

1)上层应用程序或系统组件通过调用接口函数向外部Internet地址、蓝牙地址、外部号码发送数据包，前一种接口函数位于Android源码的核心库层，后两种接口函数位于Android源码的frameworks层。因此，检测数据包是否携带标签应先在上述的接口函数处截获数据包；

2)从LABLES集合中取出用户设置的所有文本特征标签逐条与该数据包进行比对，若该数据包字符串包含标签L:（class,{f₁,..,f_n},m）中的不少于m条文本特征字符串，则该数据包携带标签L。

更进一步，所述按照设定的数据出口安全控制策略对数据包中隐私数据进行保护的方法为：

1)将所有当前数据包携带的标签存入临时集LTEMP；

2)获取当前调用相关接口函数向外发送数据包的应用进程ID和用户ID,根据应用进程ID和用户ID查询该程序的包名等属性信息；

3)对于LTEMP中的每一条标签L_i，将其与POLICIES策略集合中的所有策略逐一匹配。若POLICIES中存在某条策略P_K=<L_k,AppList_k,Action_k>,它的标签号L_K=L_i，且当前应用程序不在P_K的白名单列表AppList_k上，则认为该条策略P_K生效，将所有生效策略的Action加入临时行为集A中；

4)所有LTEMP中标签的策略匹配完成以后，若临时行为集A为空集则直接发送，不做任何操作，否则对临时行为集A进行遍历，按照丢弃数据包deny>向用户发送警告信息，等待用户同意才允许数据流外出hint>允许数据流外出，但记录该数据流包到日志log的优先顺序执行。

本发明还提出一种基于标签的安卓用户隐私数据黑盒防护系统，包括用户数据查选组件，用户标签设置组件，用户策略设置组件和数据出口保护组件。

所述用户数据查选组件，在安卓用户终端保存隐私数据，根据所述隐私数据抽取文本特征；

所述用户标签设置组件，根据抽取的文本特征设置文本特征标签；

所述用户策略设置组件，设置所述文本特征标签的数据出口安全控制策略；

所述数据出口保护组件，在安卓Internet、蓝牙和短消息数据的出口检测出携带有文本特征标签的隐私数据包并按照设定的安全控制策略对数据包中隐私数据进行保护。

本发明的有益效果：

本发明提供了用户可控的细粒度隐私数据防泄露保护方法，并采用黑盒检测的方式大量节省安全监控的时间耗费，适于部署于计算资源受限的安卓智能移动终端，为用户指定的各种隐私数据提供安全保障。同时，本发明提供了便捷的隐私数据挑选和策略设定窗口，使得用户可以方便地浏览自己所有的数据，并对挑选出的需要保护的隐私数据进行分类，为其设定保护策略。本发明在对安卓终端上的用户隐私数据实施灵活便捷的用户可定制的安全保护的同时，保证应用程序的响应速度以及用户体验。

附图说明

图1为本发明方法基于标签的安卓用户数据黑盒防护系统的一实施例中结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，可以理解的是，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明一实施例中的的安卓用户数据黑盒防护方法如下：

1）统一读取并界面化展示安卓终端上的用户数据，供用户挑选其需要保护的隐私数据；

2）为用户隐私数据抽取文本特征和设置文本特征标签；

3）为用户隐私数据制定数据出口安全控制策略，数据出口是Internet网络、蓝牙、短消息出口；

4）在Internet、蓝牙、短消息出口检测向外发送的数据包中是否携带标签；

5）基于数据出口安全控制策略判定对携带标签的数据包作何种操作。

在本发明一实施例中选取的用户隐私数据为联系人列表，应用程序列表，短消息内容，SD卡文本数据，日志信息，GPS地理位置等存储于安卓终端内部的文本字符串形式的数据。

在本发明一实施例中需要检测的通过Internet网络、蓝牙或短消息出口向外发送的数据包，是指安卓系统上安装的应用程序及安卓系统服务组件，调用安卓系统中的接口函数，向外部Internet地址、蓝牙地址或外部电话号码发送的数据包。

在本发明一实施例中文本特征标签形如L:<class,{f₁,…,f_n},m>，其中L为标签编号，class为隐私数据的类别名称，可由用户自行定义，{f₁,…,f_n}为符合该隐私数据类别的数据可能包括的文本特征，m为判定阈值。当一个数据包中包含不少于m个（f₁，…,f_n）集合中的文本特征时（0<m<=n），可以判定该数据流包含了class类别的隐私数据，即可以判定该数据包携带了标签L。

在本发明一实施例中，所述文本特征为出现在用户隐私数据中的关键字符串片断。如联系人列表数据项“张三，13088888888，zhangsanff.com”，可以提取的文本特征有f1=“张三”，f2=“888888”，f3=“sanff”等。

在本发明一实施例中，所述文本特征抽取和标签设置方法为：在安卓终端上提供一个带图形化用户界面的应用程序给用户，使用户可以通过用户界面程序察看所有用户数据列表和数据项，如联系人列表和所有单条联系人记录，应用程序列表和所有单个应用程序的信息等，通过用户界面程序，用户可以选出一组隐私数据（如10条特定的联系人记录，或所有的应用程序信息）为其设定类别名，设定文本特征数n，手动或自动抽取n条文本特征，并设定阈值数m，点击保存，由用户界面程序自动生成一条标签在本地保存。自动抽取文本特征时，用户只需指定每条文本特征的最大字符串长度，用户界面程序将从用户选定的文本数据中，随机截取n个互相不重叠且长度不超过用户设定值的字符串作为文本特征。

在本发明一实施例中，所述数据流出口安全控制策略为一个三元组<L,AppList，Action>，其中L为一条标签的名字，AppList是应用程序白名单列表（设定的拥有发送L类型隐私数据的应用程序集合）。具体策略设定方法可为：提供一个安装于安卓终端的图形化用户界面的应用程序给用户（可与上文所述文本特征抽取盒标签设置用户界面程序合并为一个应用程序），程序界面中列出所有已安装的应用名，用户点击应用名，可进入另一个详细信息窗口查看该应用的属性信息，包括应用开发者名，应用描述信息，应用申请的权限，应用在安卓上的uid名等等，用户可在主界面中勾选应用程序，将其应用程序名添加到过滤器中。何种程序拥有发送何种隐私数据的权限，由用户自行决定。

Action是策略生效防护行为，策略表达的意思为，检测到匹配应用程序过滤器的应用程序向外发送的数据包携带L标签，则对该数据包执行Action行为。所述AppList应用程序白名单列表形式为若干应用程序名的集合{App₁,App₂,…App_n}。

如AppList={“com.android.example”}表示对除com.android.example之外的所有应用程序采取Action行为。而Action防护行为为以下三种之一：“deny，hint，log”，分别表示“丢弃数据包”和“向用户发送警告信息，等待用户同意才发送该数据包”和“允许发送数据包，但记录该数据包到日志”。deny“丢弃数据包”后，没有权限向外发送隐私信息的应用程序，只要外发数据包中含有隐私数据，就应当被丢弃，以此保护用户隐私。Log“允许发送数据包，但记录该数据包到日志”。对于所有被检测到的带有标签的数据包都会采用上述的操作。

在本发明一实施例中hint防护行为实施方式为先向用户发送警告信息，用户不同意发送后，deny；也可能先警告，用户同意发送后log。

在本发明一实施例中，所述在安卓数据出口检测数据包是否携带标签的方法为：

1）在安卓网络、蓝牙、短消息管理相关代码文件中向外发送数据的接口函数负责向外部Internet地址，蓝牙地址以及外部手机号码发送数据包的接口函数里，截获将要发送的数据包；

2）取出LABELS集合中用户设置的文本特征标签逐条与数据包比对，若该数据包字符串包含标签L:（class,f₁,..,f_n,m）中的不少于m条文本特征字符串，则认为该数据包携带了标签L。

在本发明一实施例中，所述基于数据流安全策略对携带标签的数据包操作判定方法为：

1)将所有当前数据包携带的标签存入临时集P；

2)获取当前调用向外发送数据包的接口函数的应用进程ID和用户ID，根据进程ID和用户ID查找与其对应的应用程序名(可能有多个应用程序同时绑定在当前的进程ID和用户ID上，共同调用该接口函数)

3)逐条取出P中的标签，查找与该标签名匹配的策略，将2)中查到的所有应用程序名与该策略的应用程序白名单列表AppList一一比对,若至少有一个应用程序不在白名单上,则认为当前应用程序集违反了策略，将该策略的生效保护行为Action加到临时行为集A；

4)所有P中标签的策略匹配完成以后，若A为空集则直接发送，不做任何操作，否则对临时行为集A进行遍历，按照deny>hint>log的优先顺序，计算最终行为，即当A中至少有一个deny行为时，执行deny行为；否则当A中至少有一个hint行为时，执行hint；否则执行log。

如图1所示为本发明方法基于标签的安卓用户隐私黑盒防护系统的一实施例中结构示意图。在本发明一实施例中基于标签的安卓用户隐私黑盒防护系统，包括用户数据查选组件，用户标签设置组件，用户策略设置组件和数据出口监测组件。其中用户数据查选组件，向用户提供了读取安卓终端用户数据，界面化展示，挑选待保护的隐私数据的功能；用户标签设置组件向用户提供了对挑选出来的隐私数据自动化或手动设置文本特征和标签的功能；用户策略设置组件向用户提供了查看标签列表，查看应用程序列表和属性信息，设置数据流保护策略的图形界面；数据出口监测组件负责拦截网络外送数据包，检测标签携带情况，查找匹配策略，判定策略生效行为，并执行策略生效行为。

其中，数据出口监测组件是对安卓系统的扩展，用户数据查选组件，用户标签设置组件，用户策略设置组件以安卓终端应用程序的形式安装在扩展了数据出口检测组件的安卓系统手机端。系统架构参见图1。

基于标签的安卓用户隐私黑盒防护系统用下述实施例来进一步说明。

本实例描述用户选择其部分联系人信息和部分短消息内容为隐私数据，并设置标签和策略，由系统后台对其进行保护的过程。

首先用户选择的特别敏感联系人信息为下表1中被勾选的条目，而其他联系人信息视为一般敏感。

表1

	No.	姓名	手机	邮箱	公司
						√	1	张锐	13588888888	zhangruiff.com	C1
√	2	李海	13222222222	lihaiff.com	C1
							3	刘云	13900620000	liuyunff.com	C2
	4	王芳	13777775077	wangfanff.com	C2
							5	赵昌	13245555555	zhaochangff.com	C3
	6	宁丰	14223444532	ningfengff.com	C2
							…	…	..	..	..
√	50	齐风	18823420532	qishanff.com	C5

用户针对联系人信息设置的两条标签为：

CL1：<allcontact，{“张锐”，“李海”，“刘云”，“王芳”，“赵昌”，“宁丰”，…，“齐风”}，1>

CL2：<secretcontact，{“张锐”，“李海”，“齐风”，“5888888”，“ruiff.com”，“18823420”}，1>

随后，选择收件箱中两条需要保护的短信：

短信1：“发信人：天创公司，时间：2013年3月5日17：00，内容：负责人您好！与您合作非常愉快！我公司的银行帐号为3240934888833422241323，请将尾款打入该帐号。”

短信2：“发信人：父，时间：2013年3月5日17：00，内容：你叔新家地址是天福区浏阳路紫玉小区3号楼4单元501”

为其设置标签为：

SL1：<topsecretsns，{“银行帐号”，“3422241323”，“尾款”，“合作”}，2>

SL2：<secretsns，{“浏阳路紫玉小区3号楼4单元501”}，1>

随后为这些标签设置数据流外出安全控制策略：

P0：<CL1，{“com.android.contact”，“com.android.play”，“com.android.cloudcontact”}，hint}P1：<CL2，{}，deny>

P2：<SL1，{“com.android.sms”}，deny>

P3：<SL2，{“com.android.sms”}，deny>

基于标签和策略对敏感信息进行保护的过程如下：

1)假设有一应用程序com.android.example读取了联系人列表，企图将以下三条联系人数据向外发送，如表2所示；

表2

1	张锐	13588888888	Zhangruiff.com	C1
					2	李海	13222222222	lihaiff.com	C1
3	刘云	13900620000	liuyunff.com	C2

2)在网络、蓝牙、短消息出口处，拦截函数拦截了外出数据包/外出短消息，判定其携带了标签CL1，CL2；

3)查找CL1匹配的策略，得P0。通过应用程序过滤器，判定当前应用程序可匹配P0，添加行为hint到行为集合A；

4)查找CL2匹配的策略，得P1。通过应用程序过滤器，判定当前应用程序可匹配P1，添加行为deny到行为集合A；

5)所有策略匹配尝试结束后，A={hint，deny}，根据deny>hint>log的策略叠加原则，执行deny防护行为，即判定当前数据包应当被丢弃；

6)丢弃该数据包。

Claims (11)

1.一种基于标签的安卓用户隐私数据黑盒防护方法，其步骤包括：

1）在安卓用户终端保存隐私数据，根据所述隐私数据抽取文本特征，同时设置文本特征标签；

2）设置所述文本特征标签的出口安全控制策略，所述隐私数据由数据包发送到数据出口；

3）在所述数据出口检测出携带有文本特征标签的隐私数据包并按照设定的出口安全策略对数据包中隐私数据进行保护。

2.如权利要求1所述的基于文本特征标签的安卓用户隐私数据黑盒防护方法，其特征在于，所述数据出口为Internet、蓝牙、短消息中的一种或者多种。

3.如权利要求1所述的基于文本特征标签的安卓用户隐私数据黑盒防护方法，其特征在于，所述文本特征标签L:<class,{f₁,f₂,…,f_n},m>，其中L为标签编号，class为隐私数据的类别名称，{f₁,…,f_n}为符合该隐私数据类别的数据可能包括的文本特征，m为判定阈值，所有的文本特征标签组合为文本特征标签集合LABELS。

4.如权利要求3所述的基于文本特征标签的安卓用户隐私数据黑盒防护方法，其特征在于，根据所述判定阈值m进行判定方法如下：

当一个数据包中包含不少于m个{f₁，…f_n}集合中的文本特征时，则判定该数据流包含了class类别的隐私数据，携带了标签L。

5.如权利要求1所述的基于文本特征标签的安卓用户隐私数据黑盒防护方法，其特征在于，所述设置文本特征标签的方法为：

1）在安卓终端上设置图形化用户界面程序，用户选出一组隐私数据并设定类别名；

2）设定文本特征数n，手动或自动抽取n条文本特征并设定阈值数m，由用户界面程序生成标签保存在本地，其中0<m<=n。

6.如权利要求5所述的基于文本特征标签的安卓用户隐私数据黑盒防护方法，其特征在于，所述自动抽取n条文本特征的方法是：用户指定每条文本特征最大字符串长度，用户界面程序从用户选定的隐私文本数据中随机截取n个互相不重叠且长度不超过用户设定值的字符串作为文本特征。

7.如权利要求1所述的基于文本特征标签的安卓用户隐私数据黑盒防护方法，其特征在于，所述用户隐私数据包括联系人列表、应用程序列表、短消息内容、SD卡文本数据、日志信息、GPS地理位置，Wifi MAC地址，蓝牙MAC地址，IMEI设备号以文本字符串形式存储于Android终端内部的用户和终端设备数据。

8.如权利要求1所述的基于文本特征标签的安卓用户隐私数据黑盒防护方法，其特征在于，所述文本特征标签的安全控制策略形成一个出口安全策略集合POLICIES，集合中的每条策略表示为<L,AppList,Action>，其中L为LABLES集合中一条标签的编号，AppList是设定的应用程序集合，Action是策略生效防护行为。

9.如权利要求8所述的基于文本特征标签的安卓用户隐私数据黑盒防护方法，其特征在于，在所述数据出口检测数据包是否携带标签的方法为：

1）上层应用程序或系统组件通过调用接口函数向外部Internet地址、蓝牙地址、外部号码发送数据包，前一种接口函数位于Android源码的核心库层，后两种接口函数位于Android源码的frameworks层；

2)从LABLES集合中取出用户设置的所有文本特征标签逐条与该数据包进行比对，若该数据包字符串包含标签L:（class,{f₁,..,f_n},m）中的不少于m条文本特征字符串，则该数据包携带标签L。

10.如权利要求9所述的基于文本特征标签的安卓用户隐私数据黑盒防护方法，其特征在于，所述按照设定的安全策略对数据包中隐私数据进行保护方法为：

1)将所有当前数据包携带的标签存入临时集LTEMP；

2)获取当前调用接口函数向外发送数据包的应用程序进程ID和用户ID，查询与之匹配的应用程序属性信息；

3)将所述LTEMP中的每一条标签Li与POLICIES策略集合中的所有策略逐一匹配，将所有生效策略的Action加入临时行为集A中；

4)当所有所述LTEMP中标签的策略匹配完成以后，对不为空集的临时行为集A进行遍历，按照设定的优先顺序执行。

11.一种基于标签的安卓用户隐私数据黑盒防护系统，包括用户数据查选组件，用户标签设置组件，用户策略设置组件和数据出口保护组件,

所述用户数据查选组件，在安卓用户终端保存隐私数据，根据所述隐私数据抽取文本特征；

所述用户标签设置组件，根据抽取的文本特征设置文本特征标签；

所述用户策略设置组件，设置所述文本特征标签的出口安全控制策略；

所述数据出口保护组件，在安卓Internet、蓝牙和短消息的出口检测出携带有文本特征标签的隐私数据包并按照设定的安全策略对数据包中隐私数据进行保护。

Images