CN103886270A - 一种终端及提高系统安全性方法 - Google Patents

Abstract

本发明公开一种终端及提高系统安全性方法，该终端包括配置模块，用于为多用户配置特定域，所述多用户包括安全用户和普通用户，所述安全用户的特定域为安全域，所述普通用户的特定域为普通域；存储模块，用于将所述多用户共用的应用数据存储在与所述多用户对应的特定域内。本发明通过以上技术方案，解决了现有安全体系无法涉及多用户安全解决方案的问题。通过结合多用户机制和Seandroid机制，为系统提供一套安全解决方案，使得应用能够处理多用户特定域内的数据，从而达到提高系统安全性的效果，使得单个终端能够实现对特定域内数据的安全访问。

Description

一种终端及提高系统安全性方法

技术领域

本发明涉及系统安全领域，尤其涉及一种终端及提高系统安全性方法。

背景技术

SELinux(安全增强型Linux)最开始是由NSA(国家安全局)启动并加入到Linux系统中的一套核心组件及用户工具，可以让应用程序运行在其所需的最低权限上。

当前，android终端的安全体系主要为三星的Knox技术，该技术主要是把seandroid和多应用结合起来进行安全域的设定。Knox将某些安全的apk放到单独的目录下面，然后对这些apk使用seandroid来进行单独的权限限制，导致其他的域的apk不能访问该域下面的数据。但是在目前的安全体系下，没有直接涉及到整体的安全解决方案，并不适用于多用户情况下，在Knox技术出来的时候，多用户的体系还不完善。随着版本的不断演进，多用户必须越来越被重视。

发明内容

本发明提供一种终端及提高系统安全性方法，解决了现有安全体系无法涉及多用户安全解决方案的问题。

为解决上述技术问题，本发明采用以下技术方案：

一种终端，包括：

配置模块，用于为多用户配置特定域，所述多用户包括安全用户和普通用户，所述安全用户的特定域为安全域，所述普通用户的特定域为普通域；

存储模块，用于将所述多用户共用的应用数据存储在所述多用户的特定域内。

进一步地，所述配置模块具体用于若所述多用户为安全用户，为所述安全用户分别配置一个对应的安全域，将所述安全用户共用的应用数据分别存储在与所述安全用户对应的安全域内。

进一步地，所述配置模块具体用于若所述多用户为安全用户和普通用户，为所述安全用户分别配置一个对应的安全域，为所述普通用户配置一个对应的普通域，将所述安全用户共用的应用数据分别存储在与所述安全用户对应的安全域内，将所述普通用户共用的应用数据存储在与所述普通用户对应的普通域内。

进一步地，还包括：

识别模块，用于对当前用户进行安全用户或普通用户的识别；

切换模块，用于根据所述识别模块识别出的当前用户，将应用切换至所述当前用户的共用的应用数据所在的特定域内。

进一步地，还包括：

标记模块，用于对所述多用户共用的应用数据进行标记，对与所述共用的应用数据相关的应用也进行对应的标记；

判断模块，用于根据所述标记模块对所述共用的应用数据进行的标记，判断当前应用的标记是否与所述共用的应用数据的标记对应；

所述切换模块具体用于当所述判断模块判断为对应时，将所述当前应用切换至所述应用数据所在的特定域内。

一种提高系统安全性方法，包括：

为多用户配置特定域，所述多用户包括安全用户和普通用户，所述安全用户的特定域为安全域，所述普通用户的特定域为普通域；

将所述多用户共用的应用数据存储在所述多用户的特定域内。

进一步地，所述将所述多用户共用的应用数据存储在所述多用户的特定域内具体包括：

若所述多用户为安全用户，为所述安全用户分别配置一个对应的安全域，将所述安全用户共用的应用数据分别存储在与所述安全用户对应的安全域内。

进一步地，还包括：

若所述多用户为安全用户和普通用户，为所述安全用户分别配置一个对应的安全域，为所述普通用户配置一个对应的普通域，将所述安全用户共用的应用数据分别存储在与所述安全用户对应的安全域内，将所述普通用户共用的应用数据存储在与所述普通用户对应的普通域内。

进一步地，还包括：

对当前用户进行安全用户或普通用户的识别，将应用切换至所述当前用户的共用的应用数据所在的特定域内。

进一步地，还包括：

对所述多用户共用的应用数据进行标记，对与所述共用的应用数据相关的应用也进行对应的标记；

根据对所述共用的应用数据进行的标记，判断当前应用的标记是否与所述共用的应用数据的标记对应；

当判断为对应时，将所述当前应用切换至所述应用数据所在的特定域内。

本发明提供一种终端及提高系统安全性方法，通过结合多用户的机制和Seandroid机制，为系统提供一套安全解决方案，使得应用能够处理多用户特定域内的数据，从而达到提高系统安全性的效果，使得单个终端能够实现对特定域内数据的安全访问。

附图说明

图1为本发明一实施例提供的终端的结构示意图；

图2为本发明一实施例提供的提高系统安全性方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例只是本发明中一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

首先，对SeLinux的相关技术进行说明，SeLinux总体来说就是会使得系统的操作都处于限制状态，任何具体的访问操作都需要经过授权才可以被允许，系统所能进行的操作都是明确的、最小权限集的。如果系统移植了SeLinux，那么系统所有违规的操作都会以日志的方式记录下来，并存放到misc/audit专门的目录。

SeLinux存在两种模式：(1)Enforcing强制模式：按照SeLinux的策略来进行验证和管理系统安全，如果系统发现和SeLinux的规定不相符合的操作，则强制阻止程序的运行或者访问，同时给出提示；(2)Permissive允许模式：系统记录所有违反策略的行为并给予一定的提示，同时不阻止程序的运行或者访问。需要说明的是，在Enforcing强制模式下，系统的性能和其他方面都会受到影响，所以如果不是特殊情况，可以不需要运行在Enforcing强制模式。

下面通过具体实施方式结合附图对本发明作进一步详细说明。

如图1为本发明一实施例提供的终端的结构示意图，如图1所示，该终端1包括：

配置模块101，用于为多用户配置特定域，多用户包括安全用户和普通用户，安全用户的特定域为安全域，普通用户的特定域为普通域；

存储模块102，用于将多用户共用的应用数据存储在与多用户对应的特定域内。

具体地，为了提高系统的安全性，防止apk应用的违规操作，配置模块101为多用户配置特定域，该多用户包括安全用户和/或普通用户，即配置模块101针对多用户，为安全用户配置的特定域为安全域，为普通用户配置的特定域为普通域，使得每个用户都对应一特定域。配置模块101配置完成后，存储模块102将多用户共用的应用数据存储在配置模块101配置的多用户的特定域内，如配置模块101为某一用户配置一特定域，则存储模块102将多用户共用的应用数据存储在该用户的特定域内，从而使得用户通过应用访问共用的应用数据时，将应用切换至该用户的特定域内，其他特定域内的应用无法访问。

在上述技术方案中，若多用户为安全用户，配置模块101具体为安全用户分别配置一个对应的安全域，即为每个安全用户都配置一个对应的安全域，使得安全用户与安全域之间一一对应，存储模块102将安全用户共用的应用数据分别存储在与安全用户一一对应的安全域内；或者，若多用户为普通用户，配置模块101具体为普通用户配置一个对应的普通域，可以为多个普通用户配置一个对应的普通域，使得多个普通用户对应于一个普通域，存储模块102将普通用户共用的应用数据存储在与普通用户对应的普通域内；或者，可以为每个普通用户分别配置一个对应的普通域，使得多个普通用户分别对应一个普通域，存储模块102将普通用户共用的应用数据分别存储在与普通用户一一对应的普通域内。

在上述技术方案中，若多用户为安全用户和普通用户，配置模块101具体为安全用户分别配置一个对应的安全域，即为每个安全用户都配置一个对应的安全域，使得安全用户与安全域之间一一对应，存储模块102将安全用户共用的应用数据分别存储在与安全用户对应的安全域内，与此同时，配置模块101具体为普通用户配置一个对应的普通域，优选地，可以为多个普通用户配置一个对应的普通域，使得多个普通用户对应于一个普通域，存储模块102将普通用户共用的应用数据存储在与普通用户对应的普通域内。

在上述技术方案中，该终端1还包括识别模块103、切换模块104，为了定义特定域的访问权限，当存储模块102存储完成后，若有用户需要对共用的应用数据进行访问时，识别模块103对当前访问应用数据的用户进行安全用户或普通用户的识别，其识别方式为根据当前用户的Uid(User Identification，用户身份证明)进行识别，从而确定终端当前需要处于哪一个特定域，不同的特定域会有不同的状态，Uid的不同也会导致用户的共用的应用数据不一样，此外，在系统主用户界面，通过定义一个切换应用，该应用可以进行不同域之间的切换，可以使得应用可以切换至安全用户，当用户点击该切换应用时，识别模块103根据用户输入的Uid，对当前用户进行识别，切换模块104根据识别模块103识别出的当前用户，将应用切换至当前用户的共用的应用数据所在的特定域内，即该应用可以找到特定域的地址，使得应用能够对该特定域内的共用的应用数据进行访问。具体地，若安全用户需要对共用的应用数据访问时，识别模块103识别出当前用户为安全用户，则切换模块104根据识别模块103识别出的安全用户，将应用切换至与该安全用户唯一对应的安全域中；若普通用户需要对共用的应用数据访问时，识别模块103识别出当前用户为普通用户，则切换模块104根据识别模块103识别出的普通用户，将应用切换至与该普通用户对应的一个普通域中。切换模块104可以将应用从一安全域切换至另一安全域，还可以从一安全域切换至普通域，也可以从普通域切换至一安全域中。

在上述技术方案中，该终端1还包括标记模块106、判断模块107，为了防止其他应用对安全用户的应用的共用的应用数据进行访问，标记模块106需要分别对多用户的共用的应用数据进行特殊的标记，并且，标记模块106还分别对与该多用的共用的应用数据相关的应用也进行对应的标记，即建立多用户的共用的应用数据与应用之间的对应关系，使得只有安全用户的apk应用能够访问共用的应用数据，该应用数据的标记会使得其他应用无法对其进行访问。优选地，标记模块106对该用户的共用的应用数据与应用的标记可以相同，从而建立对应关系，当用户使用当前应用时，根据对共用的应用数据进行的标记，判断模块107判断当前应用的标记是否与共用的应用数据的标记相同，当判断模块107判断出当前应用的标记与共用的应用数据的比较相同时，切换模块104将当前应用切换至共用的应用数据所在的特定域内，并且，在切换同时，将该安全用户下的apk应用的共用的应用数据的标记和安全上下文都修改为特定的，从而使得该apk应用可以访问该特定域内的共用的应用数据。

在上述技术方案中，该终端1还可以结合SeLinux机制，如Enforcing强制模式。针对Enforcing强制模式，当应用在特定域内对应用数据进行访问时，若应用对该特定域外的数据也进行访问，则阻止该应用进行访问，使得该特定域下的应用只能访问该特定域内的数据，不能访问其他特定域内的数据，否则，该应用继续访问该特定域内的数据，从而进一步提高系统安全性。

综上，利用多用户的相关知识，在多用户下的apk应用实则是一个apk应用，多份数据的特定。利用多用户的Uid和一个apk应用、多份数据的特定方式，再结合SeLinux的相关技术、切换技术使系统能够达到安全用户所想达到的效果。在多用户情况下，我们需要对安全用户下面的数据进行特殊的处理，使得该用户下的数据处于特定域下面，使得其他应用无法访问。例如，可以将其运用到企业用户，员工可以在公司的时候，强制使用安全用户，不能进行特殊的操作，从而达到提高系统安全的效果，当用户不在公司的时候，就可以再切换到普通用户。

如图2为本发明一实施例提供的提高系统安全性方法的流程图，如图2所述，该方法包括：

S201：为多用户配置特定域，多用户包括安全用户和普通用户，安全用户的特定域为安全域，普通用户的特定域为普通域；

具体地，为了提高系统的安全性，防止apk应用的违规操作，为多用户配置特定域，该多用户包括安全用户和/或普通用户，即针对多用户，为安全用户配置的特定域为安全域，为普通用户配置的特定域为普通域，使得每个用户都对应一特定域。

在上述技术方案中，若多用户为安全用户，具体为安全用户分别配置一个对应的安全域，即为每个安全用户都配置一个对应的安全域，使得安全用户与安全域之间一一对应；或者，若多用户为普通用户，具体为普通用户配置一个对应的普通域，可以为多个普通用户配置一个对应的普通域，使得多个普通用户对应于一个普通域；或者，可以为每个普通用户分别配置一个对应的普通域，使得多个普通用户分别对应一个普通域。

在上述技术方案中，若多用户为安全用户和普通用户，具体为安全用户分别配置一个对应的安全域，即为每个安全用户都配置一个对应的安全域，使得安全用户与安全域之间一一对应，与此同时，还具体为普通用户配置一个对应的普通域，即为多个普通用户配置至少一个对应的普通域，优选地，可以为多个普通用户配置一个对应的普通域，使得多个普通用户对应于一个普通域。

S202：将多用户共用的应用数据存储在多用户的特定域内。

具体地，为多用户配置特定域后，将多用户共用的应用数据存储在多用户的特定域内，如为某一用户配置一特定域，则将多用户共用的应用数据存储在该用户的特定域内，从而使得用户通过应用访问共用的应用数据时，将应用切换至该用户的特定域内，其他特定域内的应用无法访问。需要说明的是，为安全用户配置的特定域为安全域，则将安全用户共用的应用数据分别存储在与安全用户一一对应的安全域内，为普通用户配置的特定域为普通域，则将普通用户共用的应用数据存储在与普通用户对应的普通域内。

在上述技术方案中，为了定义特定域的访问权限，当存储完成后，若有用户需要对共用的应用数据进行访问时，对当前访问应用数据的用户进行安全用户或普通用户的识别，其识别方式为根据当前用户的Uid(User Identification，用户身份证明)进行识别，从而确定终端当前需要处于哪一个特定域，不同的特定域会有不同的状态，Uid的不同也会导致用户的共用的应用数据不一样，此外，在系统主用户界面，通过定义一个切换应用，该应用可以进行不同域之间的切换，可以使得应用可以切换至安全用户，当用户点击该切换应用时，识别模块103根据用户输入的Uid，对当前用户进行识别，根据识别出的当前用户，将应用切换至当前用户的共用的应用数据所在的特定域内，即使得该应用处于该特定域内，使得应用能够对该特定域内的共用的应用数据进行访问。具体地，若安全用户需要对共用的应用数据访问时，识别出当前用户为安全用户，则根据识别出的安全用户，将应用切换至与该安全用户唯一对应的安全域中；若普通用户需要对共用的应用数据访问时，识别出当前用户为普通用户，则根据识别出的普通用户，将应用切换至与该普通用户对应的一个普通域中。应用可以从一安全域切换至另一安全域，还可以从一安全域切换至普通域，也可以从普通域切换至一安全域中。

在上述技术方案中，为了防止其他应用对安全用户的应用的共用的应用数据进行访问，需要分别对多用户的共用的应用数据进行特殊的标记，并且，还分别对与该多用的共用的应用数据相关的应用也进行对应的标记，即建立多用户的共用的应用数据与应用之间的对应关系，使得只有安全用户的apk应用能够访问共用的应用数据，该应用数据的标记会使得其他应用无法对其进行访问。优选地，对该用户的共用的应用数据与应用进程的标记可以相同，从而建立对应关系，当用户使用当前应用时，根据对共用的应用数据进行的标记，判断模块107判断当前应用的标记是否与共用的应用数据的标记相同，当判断模块107判断出当前应用的标记与共用的应用数据的比较相同时，切换模块104将当前应用切换至共用的应用数据所在的特定域内，并且，在切换同时，将该安全用户下的apk应用的共用的应用数据的标记和安全上下文都修改为特定的，从而使得该apk应用可以访问该特定域内的共用的应用数据。

在上述技术方案中，还可以结合SeLinux机制，如Enforcing强制模式。针对Enforcing强制模式，当应用在特定域内对应用数据进行访问时，若应用对该特定域外的数据也进行访问，则阻止该应用进行访问，使得该特定域下的应用只能访问该特定域内的数据，不能访问其他特定域内的数据，否则，该应用继续访问该特定域内的数据，从而进一步提高系统安全性。

综上，通过结合多用户的机制和Seandroid机制，为系统提供一套安全解决方案，使得应用能够处理多用户特定域内的数据，从而达到提高系统安全性的效果，使得单个终端能够实现对特定域内数据的安全访问。

以上内容是结合具体的实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims (10)

1.一种终端，其特征在于，包括：

配置模块，用于为多用户配置特定域，所述多用户包括安全用户和普通用户，所述安全用户的特定域为安全域，所述普通用户的特定域为普通域；

存储模块，用于将所述多用户共用的应用数据存储在所述多用户的特定域内。

2.根据权利要求1所述的终端，其特征在于，

所述配置模块具体用于若所述多用户为安全用户，为所述安全用户分别配置一个对应的安全域，将所述安全用户共用的应用数据分别存储在与所述安全用户对应的安全域内。

3.根据权利要求1所述的终端，其特征在于，

所述配置模块具体用于若所述多用户为安全用户和普通用户，为所述安全用户分别配置一个对应的安全域，为所述普通用户配置一个对应的普通域，将所述安全用户共用的应用数据分别存储在与所述安全用户对应的安全域内，将所述普通用户共用的应用数据存储在与所述普通用户对应的普通域内。

4.根据权利要求1至3任一项所述的终端，其特征在于，还包括：

识别模块，用于对当前用户进行安全用户或普通用户的识别；

切换模块，用于根据所述识别模块识别出的当前用户，将应用切换至所述当前用户的共用的应用数据所在的特定域内。

5.根据权利要求4所述的终端，其特征在于，还包括：

标记模块，用于对所述多用户共用的应用数据进行标记，对与所述共用的应用数据相关的应用也进行对应的标记；

判断模块，用于根据所述标记模块对所述共用的应用数据进行的标记，判断当前应用的标记是否与所述共用的应用数据的标记对应；

所述切换模块具体用于当所述判断模块判断为对应时，将所述当前应用切换至所述应用数据所在的特定域内。

6.一种提高系统安全性方法，其特征在于，包括：

为多用户配置特定域，所述多用户包括安全用户和普通用户，所述安全用户的特定域为安全域，所述普通用户的特定域为普通域；

将所述多用户共用的应用数据存储在所述多用户的特定域内。

7.根据权利要求6所述的提高系统安全性方法，其特征在于，所述将所述多用户共用的应用数据存储在所述多用户的特定域内具体包括：

若所述多用户为安全用户，为所述安全用户分别配置一个对应的安全域，将所述安全用户共用的应用数据分别存储在与所述安全用户对应的安全域内。

8.根据权利要求6所述的提高系统安全性方法，其特征在于，还包括：

若所述多用户为安全用户和普通用户，为所述安全用户分别配置一个对应的安全域，为所述普通用户配置一个对应的普通域，将所述安全用户共用的应用数据分别存储在与所述安全用户对应的安全域内，将所述普通用户共用的应用数据存储在与所述普通用户对应的普通域内。

9.根据权利要求6至8任一项所述的提高系统安全性方法，其特征在于，还包括：

对当前用户进行安全用户或普通用户的识别，将应用切换至所述当前用户的共用的应用数据所在的特定域内。

10.根据权利要求9所述的提高系统安全性方法，其特征在于，还包括：

对所述多用户共用的应用数据进行标记，对与所述共用的应用数据相关的应用也进行对应的标记；

根据对所述共用的应用数据进行的标记，判断当前应用的标记是否与所述共用的应用数据的标记对应；

当判断为对应时，将所述当前应用切换至所述应用数据所在的特定域内。

Images