CN103491532B - 一种基于Android平台的协作式隐私保护方法及系统 - Google Patents

Abstract

一种基于Android平台的协作式隐私保护方法及系统，在云端服务器上建立起用户自定义的隐私保护策略数据库；每一位Android平台的移动用户，根据本地所存储的通讯录获取其联系人的隐私保护策略；当某一应用软件试图访问某些特定的数据时，根据已收集到的联系人隐私保护策略对这些数据进行过滤，有选择地呈现给该应用软件。应用本发明所述的方法及系统，通过移动用户之间的协作，可以尽可能地避免通讯录、通话记录、来往短信、来往邮件等个人隐私数据的泄漏。

Description

一种基于Android平台的协作式隐私保护方法及系统

技术领域

本发明涉及一种基于Android平台的协作式隐私保护方法及系统，属于移动计算领域。

背景技术

协作式隐私保护(Collaborative Privacy)的概念起源于社交网络。顾名思义，其目的在于通过社交网络用户之间的协作，更好地保护彼此的隐私。2011年9月26日的香港经济日报(HongKong Economic Times)报道了一系列发生在社交门户网站Facebook上的隐私泄漏事件。其中一个典型场景如下：某女孩向经理请了病假后与朋友去逛街，不料几日之后就被公司解雇，因为此事被浏览Facebook新鲜事的经理无意间所察觉。为了解决类似问题，协作式隐私保护的概念被提出，即在社交网络上信息的发布与分享过程中，赋予利益相关者(messagestakeholders)与信息所有者(message owner)相当的权利，调和可能产生的隐私冲突(PrivacyConflicts)，从而规避隐私泄漏的发生。

如我们所知，Android平台上，用户在安装某一应用软件(App)时，必须同意该应用软件所声明的全部授权(permissions)，否则将会导致安装失败，应用软件无法使用。常见的授权声明包括通讯录访问权、网络连接权、存储卡读写权、位置信息获取权等等。Android平台上丰富的应用虽然带给用户方便的体验，但由于恶意软件(Malware)、灰色软件(Grayware)的混杂其间，也对用户的隐私造成了极大的威胁。目前，相关领域的研究工作主要集中于轻量级的恶意软件检测、云端辅助的恶意软件检测、基于信息流控制(Information Flow Control)的隐私保护方法和基于模拟数据(Mock Data)的隐私保护方法。这些研究工作局限于如何防止隐私数据从某一台智能手机中泄漏，然而，对大多数人而言的个人隐私数据(例如移动号码、常用邮箱、通话记录、来往短信、来往邮件等)，不仅仅存储在本人的手机中，同时也分散地存储在联系人的手机里。这样一来，即使某一用户非常小心仔细地选择、安装和使用应用软件，他的隐私数据仍然可能由于其联系人在选择、安装和使用应用软件时不够谨慎而泄漏出去。

发明内容

为了解决上述问题，本发明将社交网络上协作式隐私保护的概念引入到Android平台，提出了一种基于Android平台的协作式隐私保护方法及系统，意在通过移动用户之间的协作，尽可能地避免隐私泄漏的发生。

本发明提供了一种基于Android平台的协作式隐私保护方法及系统，其目的是通过移动用户之间的协作，尽可能地避免通讯录、通话记录、来往短信、来往邮件等个人隐私数据的泄漏。

本发明提供的技术方案如下：

一种基于Android平台的协作式隐私保护方法，其特征是，在云端服务器上建立起用户自定义的隐私保护策略数据库（Privacy-Policy Database）；每一位Android平台的移动用户，根据本地所存储的通讯录（即移动客户端（如手机）中所存储的通讯录）获取其联系人的隐私保护策略；当某一应用软件试图访问某些特定的数据（如通讯录、邮件地址簿、短信、邮件等）时，根据已收集到的联系人隐私保护策略对这些数据进行过滤，有选择地呈现给该应用软件。

所述的协作式隐私保护方法，其特征是，所述隐私保护策略（Privacy Policy），用于描述用户对个人隐私数据的保护要求；用户在移动客户端配置自身的隐私保护策略，并上传至云端服务器；云端服务器收集移动用户的隐私保护策略，建立隐私保护策略数据库（PrivacyPolicy Database）以供后续的查询和处理。

所述的协作式隐私保护方法，其特征是，所述隐私保护策略由以下三个部分组成：

1）隐私数据标志（Privacy Flag），长度为4字节，其中每个bit位代表某一类型的个人隐私数据；置位操作代表用户要求保护对应类型的个人隐私数据，而复位操作则代表用户不需要保护对应类型的个人隐私数据；

2）可信应用列表（Trusted Apps，又称白名单（White List）），本列表初始化为移动客户端出厂默认的应用列表，之后可由移动用户对之进行添加、修改和删除操作；

3）不可信应用列表（Untrusted Apps，又称黑名单（Black List）），本列表初始化为空，之后可由移动用户对之进行添加、修改和删除操作。

所述的协作式隐私保护方法，其特征是，所述隐私保护策略数据库，建立在云端服务器上，包括如下信息：

a)移动用户基本信息；

b)用户关系，其中存储了移动用户之间的联系人关系，从而确保无关用户无法获得他人的隐私保护策略；

c)隐私保护策略，向移动用户提供如下服务：用户注册、用户登陆、修改密码、联系人更新、隐私保护策略更新。

所述的协作式隐私保护方法，其特征是，移动用户在移动终端上对涉及个人隐私数据的文件进行标记；利用用户文件系统接口模块提供的机制，截获对于标记文件的各种操作；根据已获取的联系人隐私保护策略，对标记文件进行过滤，将处理之后的结果返回给发起操作的应用软件，从而避免泄漏他人的隐私数据。

所述的协作式隐私保护方法，其特征是，c）中所述隐私保护策略更新服务，包括对隐私数据标志的置/复位，对可信应用列表及不可信应用列表的添加、修改和删除操作。

本发明同时提供一种基于Android平台的协作式隐私保护系统，由云端服务器和移动客户端组成，其特征是：

所述云端服务器负责收集移动用户的隐私保护策略，并对隐私保护策略数据库进行添加、修改和删除，同时提供基于密码的身份验证，以及响应移动用户发起的隐私保护策略查询；

所述移动客户端基于Android平台，包括服务器连接与设置模块、隐私保护策略更新模块、隐私保护策略查询模块、隐私数据文件监控模块和隐私数据文件过滤模块；其中，服务器连接与设置模块负责与云端服务器上的隐私保护策略数据库建立连接；隐私保护策略更新模块负责用户的身份验证，以及其隐私保护策略内容的更新；隐私保护策略查询模块负责用户的关系验证，以及从云端服务器上的隐私保护策略数据库中获取联系人的隐私保护策略；隐私数据文件监控模块负责标记、监管Android平台上所有与隐私数据相关的文件；隐私数据文件过滤模块负责根据已经获取的联系人隐私保护策略，对文件中的隐私数据进行必要的过滤。

所述的协作式隐私保护系统，其特征是，所述移动客户端的隐私保护性数据访问流程如下：

1)云端服务器，建立隐私保护策略数据库，收集用户基本信息、用户关系信息以及用户隐私保护策略；

2)移动客户端，通过隐私保护策略查询模块，从云端服务器获取联系人的隐私保护策略，并存储至本地；

3)移动客户端，分析从云端服务器获取的联系人隐私保护策略，标记涉及隐私数据的相关文件，便于隐私数据文件监控模块对涉及这些文件的操作进行监控；

4)移动客户端，某一应用软件发起对某一已标记文件的访问；

5)移动客户端，利用用户文件系统提供的接口，隐私数据文件监控模块拦截对该标记文件的访问请求；

6)移动客户端，隐私保护策略查询模块向云端服务器上的隐私保护策略数据库发起查询请求，以确定本地存储的隐私保护策略是否过期：若本地存储的隐私保护策略已经过期，重新获取联系人的隐私保护策略，存储至本地；若本地存储的隐私保护策略尚未过期，则进行下一步操作；

7)移动客户端，隐私数据文件过滤模块根据已收集到的联系人隐私保护策略，对原隐私数据文件进行过滤，并将处理之后的结果返回给应用程序。

所述的协作式隐私保护系统，其特征是，步骤6）中，云端服务器上通过建立辅助性表格，来加速查询过程，优化查询结果，从而降低响应时间，缩短用户的等待耗时。

本发明的有益效果：在Android平台上引入本发明所提供的协作式隐私保护方法，不需要开发者对Android平台上原生应用的源代码进行修改；在Android平台上引入本发明所提供的协作式隐私保护方法，不需要用户改变自身的使用习惯，包括对应用的安装与卸载、配置与使用。应用本发明所述的方法及系统，通过移动用户之间的协作，可以尽可能地避免通讯录、通话记录、来往短信、来往邮件等个人隐私数据的泄漏。

附图说明

图1本发明基于Android平台的协作式隐私保护系统架构图。

图2本发明基于Android平台的协作式隐私保护方法流程图。

具体实施方式

本发明的具体实施方式如下：

本发明共包括如下三个部分：

1)隐私保护策略(Privacy Policy)

隐私保护策略用于描述用户对个人隐私数据的保护要求。用户在移动客户端配置自身的隐私保护策略，并上传至云端服务器；云端服务器收集移动用户的隐私保护策略，建立隐私保护策略数据库(Privacy Policy Database)以供后续的查询和处理。隐私保护策略由以下三个部分组成：

1.1）隐私数据标志(Privacy Flag)

隐私数据标志的长度为4字节(即32bit位)，其中每个bit位可代表某一类型的个人隐私数据。置位操作（该位设置为1）代表用户要求保护对应类型的个人隐私数据，而复位操作（该位设置为0）则代表用户不需要保护对应类型的个人隐私数据。目前：

Flag[0]：代表移动号码

Flag[1]：代表常用邮箱

Flag[2]：代表通话记录

Flag[3]：代表来往短信

Flag[4]：代表来往邮件

隐私数据标志的剩余27个bit位暂时留空，可供后续的扩展和使用。

1.2）可信应用列表(Trusted Apps，又称白名单(White List))

本列表初始化为智能手机出厂默认的应用列表，之后可由移动用户进行添加、修改和删除操作。

1.3）不可信应用列表(Untrusted Apps，又称黑名单(Black List))

本列表初始化为空，之后可由移动用户进行添加、修改和删除操作。

2)隐私保护策略数据库(云端)

隐私保护策略数据库(Privacy-Policy Database)建立在云端服务器上，包括如下三张核心数据表(Table)：

d)用户基本信息表(User Table)，其中包含了移动用户的基本信息，例如用户标识符、密码等；

e)用户关系表(Relationship Table)，其中存储了移动用户之间的联系人关系，从而确保无关用户无法获得他人的隐私保护策略，并借以推断用户的使用习惯、兴趣爱好等个人信息。

f)隐私保护策略表(Privacy-Policy Table)，向移动用户提供如下服务：

●用户注册(User Register)

●用户登陆(User Login)

●修改密码(Reset Password)

●联系人更新(Relationship Update)

●隐私保护策略更新(Privacy-Policy Update)：其中包括对隐私数据标志的置/复位，对可信应用列表及不可信应用列表的添加、修改和删除。

3)隐私保护性数据访问(移动端)

对涉及个人隐私数据的文件进行标记，利用用户文件系统接口模块提供的机制，截获对于标记文件的各种操作。根据已获取的联系人隐私保护策略，对标记文件进行过滤，将处理之后的结果返回给发起操作的应用软件，从而避免泄漏他人的隐私数据。由于每一位移动用户都在尽力保护他人的隐私数据，通过这样的协作，将使移动用户的个人隐私得到更好的保护。

本发明的系统架构图，如附图1所示，由云端服务器和移动客户端组成：

云端服务器负责收集移动用户的隐私保护策略，并对隐私保护策略数据库进行添加、修改和删除。同时提供基于密码的身份验证，以及响应移动用户发起的隐私保护策略查询等服务。

移动客户端基于Android平台，包括了服务器连接与设置模块、隐私保护策略更新模块(用户本人)、隐私保护策略查询模块(用户的联系人)、隐私数据文件监控模块和隐私数据文件过滤模块。其中，服务器连接与设置模块负责与云端服务器上的隐私保护策略数据库建立连接；隐私保护策略更新模块(用户本人)负责用户的身份验证，以及其隐私保护策略内容的更新(包括添加、修改和删除)；隐私保护策略查询模块(用户的联系人)负责用户的关系验证，以及从云端服务器上的隐私保护策略数据库中获取联系人的隐私保护策略；隐私数据文件监控模块负责标记、监管Android平台上所有与隐私数据相关的文件；隐私数据文件过滤模块负责根据已经获取的联系人隐私保护策略，对文件中的隐私数据进行必要的过滤。

本发明移动端的隐私保护性数据访问流程图，如附图2所示：

8)云端服务器，建立隐私保护策略数据库：

收集用户基本信息，例如用户标识符、密码等；

收集用户关系信息，即用户及其联系人，用户关系的收集是为了避免无关用户(或恶意用户)通过收集用户的隐私保护策略，特别是其中的可信应用列表和不可信应用列表，从而推断出用户的使用习惯、兴趣爱好等个人信息；收集用户隐私保护策略；

9)移动客户端，通过隐私保护策略查询模块，从云端服务器获取联系人的隐私保护策略，并存储至本地；

10)移动客户端，分析从云端服务器获取的联系人隐私保护策略，标记涉及隐私数据的相关文件，便于隐私数据文件监控模块对涉及这些文件的操作（例如打开、读取、写入等）进行监控；

11)移动客户端，某一应用软件发起对某一已标记文件的访问；

12)移动客户端，利用用户文件系统提供的接口，隐私数据文件监控模块拦截对该标记文件的访问请求；

13)移动客户端，隐私保护策略查询模块向云端服务器上的隐私保护策略数据库发起查询请求，以确定本地存储的隐私保护策略是否过期：若本地存储的隐私保护策略已经过期，重新获取联系人的隐私保护策略，存储至本地；若本地存储的隐私保护策略尚未过期，则进行下一步操作；云端服务器上可通过建立辅助性表格，来加速查询过程，优化查询结果，从而降低响应时间，缩短用户的等待耗时，提升用户体验；

14)移动客户端，隐私数据文件过滤模块根据已收集到的联系人隐私保护策略，对原隐私数据文件进行过滤，并将处理之后的结果返回给应用程序。

实施例1：

实施例涉及的场景如下：张三和李四是移动平台Android的用户，且两人都在彼此的通讯录中添加了对方的名片(包括姓名和移动号码)。其中用户张三比较在意保护个人隐私数据，故此他不希望无关人员获取自己的联系方式(即移动号码)。为了简明起见，本实施例假定张三的移动号码仅存储在他本人和李四的手机里(在实际的生活当中，这样极端的例子很少出现。但是，更为复杂的实例也不过是从“要求张三的移动号码不得从张三的唯一联系人——李四的手机端泄漏”到“要求张三的移动号码不得从张三所有联系人的手机端泄漏”的简单扩展而已)：

1)云端服务器，建立隐私保护策略数据库：

收集用户信息：包括张三及其密码、李四及其密码、张三和李四的联系人关系；

收集用户隐私保护策略：张三的隐私保护策略中隐私保护标志为0x00000001，可信应用列表为Build-In(即系统内置的服务和软件)，不可信列表为空。

2)李四的移动客户端，通过隐私保护策略查询模块，从云端服务器获取张三的隐私保护策略，并存储至本地；

3)李四的移动客户端，分析张三的隐私保护策略，标记涉及隐私数据的相关文件——通讯录，便于隐私数据文件监控模块对涉及通讯录的操作（例如打开、读取、写入等）进行监控；

4)李四的移动客户端，某一应用软件，例如微信，发起对通讯录的访问，试图通过扫描通讯录内的联系人为李四推荐微信好友；

5)李四的移动客户端，利用用户文件系统提供的接口，隐私数据文件监控模块拦截对通讯录的访问请求；

6)李四的移动客户端，隐私保护策略查询模块向云端服务器上的隐私保护策略数据库发起查询请求，并确定本地存储的隐私保护策略尚未过期；

7)李四的移动客户端，由于张三的隐私保护策略中声明了希望保护自己的移动号码(隐私保护标志中Flag[0]置位)，并且可信应用软件仅包括系统内置的软件和服务，而发起此次通讯录访问的微信却是李四自主安装的应用软件，故此隐私数据文件过滤模块将对通讯录数据进行过滤，然后将处理之后的通讯录(不含张三名片的通讯录)返回给微信。这样一来，一方面微信仍然可以扫描一定量的通讯录联系人，为用户李四提供推荐微信好友的服务；而另一方面也很好的保护了张三的隐私。

由此可见，应用本发明所述的方法，通过移动用户之间的协作，可以尽可能地避免通讯录、通话记录、来往短信、来往邮件等个人隐私数据的泄漏，起到了保护用户隐私的作用。

Claims (7)

1.一种基于Android平台的协作式隐私保护方法，其特征是，在云端服务器上建立起用户自定义的隐私保护策略数据库；每一位Android平台的移动用户，根据本地所存储的通讯录获取其联系人的隐私保护策略；当某一应用软件试图访问某些特定的数据时，根据已收集到的联系人隐私保护策略对这些数据进行过滤，有选择地呈现给该应用软件，所述隐私保护策略，用于描述用户对个人隐私数据的保护要求；用户在移动客户端配置自身的隐私保护策略，并上传至云端服务器；云端服务器收集移动用户的隐私保护策略，建立隐私保护策略数据库以供后续的查询和处理，所述隐私保护策略由以下三个部分组成：

1)隐私数据标志，长度为4字节，其中每个bit位代表某一类型的个人隐私数据；置位操作代表用户要求保护对应类型的个人隐私数据，而复位操作则代表用户不需要保护对应类型的个人隐私数据；

2)可信应用列表，本列表初始化为移动客户端出厂默认的应用列表，之后可由移动用户对之进行添加、修改和删除操作；

3)不可信应用列表，本列表初始化为空，之后可由移动用户对之进行添加、修改和删除操作。

2.如权利要求1所述的协作式隐私保护方法，其特征是，所述隐私保护策略数据库，建立在云端服务器上，包括如下信息：

a)移动用户基本信息；

b)用户关系，其中存储了移动用户之间的联系人关系，从而确保无关用户无法获得他人的隐私保护策略；

c)隐私保护策略，向移动用户提供如下服务：用户注册、用户登陆、修改密码、联系人更新、隐私保护策略更新。

3.如权利要求1所述的协作式隐私保护方法，其特征是，移动用户在移动终端上对涉及个人隐私数据的文件进行标记；利用用户文件系统接口模块提供的机制，截获对于标记文件的各种操作；根据已获取的联系人隐私保护策略，对标记文件进行过滤，将处理之后的结果返回给发起操作的应用软件，从而避免泄漏他人的隐私数据。

4.如权利要求2所述的协作式隐私保护方法，其特征是，c)中所述隐私保护策略更新服务，包括对隐私数据标志的置/复位，对可信应用列表及不可信应用列表的添加、修改和删除操作。

5.一种基于Android平台的协作式隐私保护系统，由云端服务器和移动客户端组成，其特征是，

所述云端服务器负责收集移动用户的隐私保护策略，并对隐私保护策略数据库进行添加、修改和删除，同时提供基于密码的身份验证，以及响应移动用户发起的隐私保护策略查询；

所述移动客户端基于Android平台，包括服务器连接与设置模块、隐私保护策略更新模块、隐私保护策略查询模块、隐私数据文件监控模块和隐私数据文件过滤模块；其中，服务器连接与设置模块负责与云端服务器上的隐私保护策略数据库建立连接；隐私保护策略更新模块负责用户的身份验证，以及其隐私保护策略内容的更新；隐私保护策略查询模块负责用户的关系验证，以及从云端服务器上的隐私保护策略数据库中获取联系人的隐私保护策略；隐私数据文件监控模块负责标记、监管Android平台上所有与隐私数据相关的文件；隐私数据文件过滤模块负责根据已经获取的联系人隐私保护策略，对文件中的隐私数据进行必要的过滤。

6.如权利要求5所述的协作式隐私保护系统，其特征是，所述移动客户端的隐私保护性数据访问流程如下：

1)云端服务器，建立隐私保护策略数据库，收集用户基本信息、用户关系信息以及用户隐私保护策略；

2)移动客户端，通过隐私保护策略查询模块，从云端服务器获取联系人的隐私保护策略，并存储至本地；

3)移动客户端，分析从云端服务器获取的联系人隐私保护策略，标记涉及隐私数据的相关文件，便于隐私数据文件监控模块对涉及这些文件的操作进行监控；

4)移动客户端，某一应用程序发起对某一已标记文件的访问；

5)移动客户端，利用用户文件系统提供的接口，隐私数据文件监控模块拦截对该标记文件的访问请求；

6)移动客户端，隐私保护策略查询模块向云端服务器上的隐私保护策略数据库发起查询请求，以确定本地存储的隐私保护策略是否过期：若本地存储的隐私保护策略已经过期，重新获取联系人的隐私保护策略，存储至本地；若本地存储的隐私保护策略尚未过期，则进行下一步操作；

7)移动客户端，隐私数据文件过滤模块根据已收集到的联系人隐私保护策略，对原隐私数据文件进行过滤，并将处理之后的结果返回给应用程序。

7.如权利要求6所述的协作式隐私保护系统，其特征是，步骤6)中，云端服务器上通过建立辅助性表格，来加速查询过程，优化查询结果，从而降低响应时间，缩短用户的等待耗时。