CN104021351B - 一种数据资源的访问方法及装置 - Google Patents

Abstract

本发明实施例公开了一种数据资源的访问方法及装置，涉及电子终端应用技术领域，在应用客户端访问用户数据的过程中，解决了用户数据被恶意访问的问题，显著提高了应用客户端对用户数据的访问安全性。本发明的具体实施例包括：接收调用请求信息；进而根据调用请求信息，检测调用请求信息是否为通过安全访问控制模块发出的调用请求信息，当确定调用请求信息是安全访问控制模块下发的调用请求信息时，确定调用该安全访问控制模块的待测软件为合法软件，允许该合法软件访问数据资源。本发明技术方案主要应用于数据资源访问流程中。

Description

一种数据资源的访问方法及装置

技术领域

本发明涉及电子终端应用技术领域，尤其涉及一种数据资源的访问方法及装置。

背景技术

目前，在电子终端中可以安装应用客户端，该应用客户端为应用软件，比如手机钱包客户端，并且该应用客户端能够访问该电子终端存储的用户数据，比如这些用户数据可以是各类银行卡、身份卡、门禁卡等金融安全类应用以及用户的秘钥、余额等敏感数据。

具体的，在应用客户端访问用户数据的过程中，首先设置访问接口，从而实现应用客户端与用户数据存储卡之间的APDU(Application Protocol Data Unit，应用协议数据单元)信令交互。进一步的，为了防止对用户数据的非授权访问，及由非授权访问引起的针对用户数据的服务攻击，对用户数据的访问遵循访问规则，该访问规则确定了应用客户端与用户数据的访问对应关系。更进一步的，应用客户端按照访问规则访问与之对应的用户数据，并将满足访问规则的应用客户端的APDU指令转化为AT指令,进而应用客户端能够访问与之对应的用户数据。

在上述用户数据的访问过程中，发明人发现现有技术中至少存在如下问题：在电子终端中存在应用客户端能够仿造访问接口，进而电子终端能够直接将应用客户端的APDU指令转化为AT指令，从而可以不遵循访问规则完成用户数据访问，这样就会导致对用户数据的恶意访问。

发明内容

本发明的实施例提供一种数据资源的访问方法及装置，在应用客户端访问用户数据的过程中，解决了用户数据被恶意访问的问题，显著提高了应用客户端对用户数据的访问安全性。

为达到上述目的，本发明的实施例采用如下技术方案：

一种数据资源的访问方法，包括：

接收调用请求信息；

根据所述调用请求信息，检测所述调用请求信息是否为通过安全访问控制模块发出的调用请求信息，所述安全访问控制模块用于存储数据资源的安全访问规则；

当确定所述调用请求信息是所述安全访问控制模块下发的调用请求信息时，确定调用所述安全访问控制模块的待测软件为合法软件，以使得所述合法软件访问数据资源。

一种数据资源的访问装置，包括：

接收单元，用于接收调用请求信息；

检测单元，用于根据所述调用请求信息，检测所述调用请求信息是否为通过安全访问控制模块发出的调用请求信息，所述安全访问控制模块用于存储数据资源的安全访问规则；

确定单元，用于当确定所述检测单元检测的所述调用请求信息是所述安全访问控制模块下发的调用请求信息时，确定调用所述安全访问控制模块的待测软件为合法软件，以使得所述合法软件访问数据资源。

本发明实施例提供的一种数据资源的访问方法及装置，根据接收到的调用请求信息，检测调用请求信息是否为通过安全访问控制模块发出的调用请求信息，当确定该调用请求信息是由该安全访问控制模块下发时，确定调用该安全访问控制模块的软件为合法软件，允许该合法软件访问数据资源。本发明实施例提供的技术方案在应用客户端访问用户数据的过程中，解决了用户数据被恶意访问的问题，显著提高了应用客户端对用户数据的访问安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的一种数据资源访问的方法流程图；

图2为本发明另一实施例提供的一种数据资源访问的方法流程图；

图3为本发明又一实施例提供的一种数据资源访问的方法流程图；

图4为本发明另一实施例提供的一种数据资源访问装置的组成示意图；

图5为本发明另一实施例提供的另一种数据资源访问装置的组成示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明一实施例提供了一种数据资源的访问方法，如图1所示，该方法包括：

101、接收调用请求信息。

其中，调用请求信息用于调用下层软件接口。下层软件为应用客户端对数据资源访问的通道，且该下层软件能够将应用客户端发送的APDU指令转换为AT指令，以便于该应用客户端能够访问数据资源。

其中，APDU指令为应用客户端与数据资源的存储装置之间的交互指令。在本实施例中，AT指令与APDU指令只是两种不同形式的指令，其包含的实质内容相同。该AT指令，包括规定应用客户端需要完成的操作的指令集合。

102、根据调用请求信息，检测调用请求信息是否为通过安全访问控制模块发出的调用请求信息。

其中，安全访问控制模块用于存储数据资源的安全访问规则。该安全访问控制模块确定了应用客户端能够访问的数据资源，也就是说通过该安全访问规则能够明确哪个或哪些应用客户端可以访问哪个或哪些数据资源，这样就能够防止对数据资源的非授权访问。

结合上述101的在本实施例中上述的调用请求信息指的是由下层软件的调用者发出的，该调用者可以是上述的安全访问控制模块，或者是恶意软件。

103、当确定调用请求信息是安全访问控制模块下发的调用请求信息时，确定调用该安全访问控制模块的待测软件为合法软件。

具体的，当确定调用安全访问控制模块的待测软件为合法软件后，合法软件即可访问数据资源。

结合上述102中对安全访问控制模块的描述，合法软件根据安全访问控制模块中存储的安全访问规则访问数据资源。

本发明实施例提供的数据资源的访问方法，根据接收到的调用请求信息，检测调用请求信息是否为通过安全访问控制模块发出的调用请求信息，当确定该调用请求信息是由该安全访问控制模块下发时，确定调用该安全访问控制模块的软件为合法软件，允许该合法软件访问数据资源，本发明实施例提供的技术方案在应用客户端访问用户数据的过程中，解决了用户数据被恶意访问的问题，显著提高了应用客户端对用户数据的访问安全性。

本发明另一实施例提供了一种数据资源的访问方法，如图2所示，该方法包括:

201、接收调用请求信息。

具体的，此处201的描述与上一实施例中的101相对应，相关描述的具体内容相同，在此不再重复说明。

202、根据调用请求信息，检测调用请求信息是否为通过安全访问控制模块发出的调用请求信息。

具体的，当确定调用请求信息中的用户身份信息与本地存储的合法身份信息相同时，执行下述203，当确定调用请求信息中的用户身份信息与本地存储的合法身份信息不相同时，执行下述206。

其中，用户身份信息与调用请求信息一一对应。

203、确定调用请求信息为安全访问控制模块下发的调用请求信息，并确定调用安全访问控制模块的待测软件为合法软件。

值得说明的是，当调用请求信息为安全访问控制模块发出的调用请求信息时，该用户身份信息至少包括安全访问控制模块的UID(User Identification，用户身份证明)、进程号、应用程序安装证书中的任意一种或几种。

204、在确定待测软件为合法软件后，将合法软件的APDU指令转化为AT指令。

205、合法软件根据AT指令访问数据资源。

其中，该数据资源可以是各类银行卡、身份卡、门禁卡等金融安全类应用以及用户的秘钥、余额等敏感数据。本发明实施例对该数据资源的具体形式及内容不作限定。

206、确定该调用请求信息为恶意软件下发的调用请求信息。

值得说明的是，当调用请求信息为恶意软件发出的调用请求信息时，用户身份信息至少包括恶意软件的UID、进程号、应用程序安装证书中的任意一种或几种。

207、在确定调用请求信息为恶意软件下发的调用请求信息后，终止访问并输出警告信息。

值得说明的是，由于恶意软件能够仿造访问接口，可以直接绕过安全访问控制模块，访问数据资源时不遵循安全访问规则，能够使得该应用客户端的APDU指令转化为AT指令，从而实现对数据资源的恶意访问。本发明实施例提供的方法，在将应用客户端的APDU指令转化为AT指令之前，就可以确定待测软件的用户身份信息与本地存储的合法身份信息是否相同，从而确定该调用请求信息是否为恶意软件下发的调用请求信息，这样就能够阻止对恶意软件的APDU指令的转化，从而能够阻止恶意软件对数据资源的访问。

本发明另一实施例提供了一种数据资源的访问方法，该方法可以应用于具体的电子终端，在本实施例中以该电子终端为手机为例进行说明。在该手机中包括上层应用客户端、SE(Security Element,安全模块)访问接入模块、安全访问控制模块、无线接口层模块、基带处理模块和用户智能卡模块，以及无线接口层模块中的鉴权模块。

具体的，在这些模块中，上层应用客户端可以向SE访问接入模块发送APDU指令；SE访问接入模块可以将从上层客户端接收到的APDU指令传输给安全访问控制模块；安全访问控制模块为APDU指令的传输提供了一个安全通道，规定了哪些应用客户端可以访问哪些用户智能卡应用，可以调用无线接口层模块，并且传输APDU指令；鉴权模块可以对调用无线接口层的软件进行识别、鉴权；无线接口层将访问接入模块发送的APDU指令转化为AT指令，发送给基带处理模块，同时将基带处理模块返回的AT指令转换为APDU指令，返回给访问接入模块；基带处理模块将无线接口层发来的AT指令传输给用户智能卡模块；用户智能卡模块根据接收到的AT指令向基带处理模块反馈对应的数据资源。

值得说明的是，结合上述实施例的描述，在本实施例中，存储在该手机的用户智能卡模块中的数据资源即为上述实施例提到的数据资源。

在本实施例中上层应用客户端，可以为应用软件，如手机钱包客户端等。

SE访问接入模块，用于为应用客户端程序提供访问用户智能卡的接口，实现应用客户端程序与用户智能卡之间的APDU指令交互。

安全访问控制模块，用于对用户智能卡的安全访问管理，阻止对用户智能卡资源的非授权访问和非法攻击，访问控制的依据是该模块可调用存储在用户智能卡中的安全访问规则，这些规则定义了哪个或哪些应用客户端可以访问哪个或哪些用户智能卡应用，也可以定义允许访问的具体指令。

无线接口层模块，用于为应用客户端程序对基带处理模块的访问提供数据接口，并将SE访问接入模块发送的APDU指令转换为AT指令，并将转化后的AT指令发送给基带处理模块，且该无线接口层模块还用于将基带处理模块返回的AT指令转换为APDU指令，并将APDU指令反馈给SE访问接入模块，这样就能够保证数据的可靠传输。

基带处理模块，用于实现应用客户端和用户智能卡之间的数据传输。

用户智能卡模块，是支持SWP(Single Wire Protocol,单线协议)接口的用户智能卡，主要用于存储各类银行卡、身份卡、门禁卡等金融安全类应用以及用户的敏感数据，如密钥、余额等。

特别值得说明的是，在本实施例中，在无线接口层模块中添加了鉴权模块，该鉴权模块用于检测调用请求信息是否为通过安全访问控制模块发出的，该请求信息用于请求调用无线接口层模块，阻止非安全访问控制模块的软件调用无线接口层模块的接口，从而防止恶意软件攻击用户智能卡，其中非安全访问控制模块的软件包括恶意软件。

结合上述对该方法的实施背景的介绍，如图3所示，在包括上述模块的手机中，执行数据资源的访问方法时，该方法包括：

301、上层应用客户端发送APDU指令。

其中，该上层应用客户端包括合法软件和/或恶意软件。

当该上层应用客户端为合法软件时，按照合法软件的指定执行流程该合法软件的APDU指令被发送到SE访问接入模块。

当该上层应用客户端为恶意软件时，该恶意软件可以仿造成满足无线接口层接口的软件，绕过SE访问接入模块和安全访问模块，直接调用无线接口层模块。

302、SE访问接入模块传输APDU指令。

具体的，SE访问接入模块包括三个命令，分别是打开逻辑通道命令，关闭逻辑通道命令，传输APDU指令命令。具体的，当上层应用客户端需要执行某项业务时，首先调用打开逻辑通道命令的程序，在该逻辑通道中传输与业务对应的APDU指令，当上层应用客户端完成这项业务后，调用关闭逻辑通道命令的程序，执行关闭逻辑通道命令。

303、安全访问控制模块确定上层应用客户端能够访问的用户智能卡中的数据资源。

在本实施例中，该安全访问控制模块为APDU指令的传输提供了一个安全通道，结合上述对该安全访问控制模块的介绍，该模块可以调用存储在用户卡中的安全访问规则，从而使上层客户端按照该安全访问规则访问与之对应的数据资源。

304、鉴权模块接收调用请求信息。

305、根据调用请求信息，检测调用请求信息是否为通过安全访问控制模块发出的调用请求信息。

具体的，当确定调用请求信息中的用户身份信息与鉴权模块中存储的合法身份信息相同时，执行下述306，当确定调用请求信息中的用户身份信息与鉴权模块中存储的合法身份信息不同时，执行下述310。

其中，用户身份信息与调用请求信息一一对应。该用户身份至少包括调用无线接口层模块的软件的UID、进程号、应用程序安装证书中的任意一种或几种。

306、确定调用无线接口层模块的软件为安全访问控制模块，并确定调用安全访问控制模块的待测软件为合法软件。

值得说明的是，该安全访问控制模块是一个应用程序，可以等同为一个软件。

307、在确定调用无线接口层的软件为安全访问控制模块后，无线接口层模块将接收到的APDU指令转换为AT指令，发送给基带处理模块。

值得说明的是，基带处理模块和用户智能卡模块之间只能传输AT指令，所以需要将APDU指令转换为AT指令。

308、基带处理模块将AT指令发送给用户智能卡模块。

309、用户智能卡模块根据接收到的AT指令逐级向上层应用客户端反馈对应的数据资源。

值得说明的是，这里的逐级指的是，用户智能卡根据接收到AT指令的执行流程，反向执行该流程，从而向上层应用客户端反馈数据资源。

310、确定调用无线接口层模块的软件为恶意软件，终止访问并输出警告信息。

本发明另一实施例提供了一种数据资源的访问装置，如图4所示，该装置包括：接收单元41、检测单元42、确定单元43。

接收单元41，用于接收调用请求信息。

检测单元42，用于根据接收单元41接收到的调用请求信息，检测该调用请求信息是否为通过安全访问控制模块发出的调用请求信息。

其中，安全访问控制模块用于存储数据资源的安全访问规则。

确定单元43，用于当确定检测单元42检测的调用请求信息是安全访问控制模块下发的调用请求信息时，确定调用安全访问控制模块的待测软件为合法软件，以使得合法软件访问数据资源。

检测单元42，具体用于当确定调用请求信息中的用户身份信息与本地存储的合法身份信息相同时，确定该调用请求信息为安全访问控制模块下发的调用请求信息。

其中，用户身份信息与调用请求信息一一对应。

如图5所示，该装置还包括：转化单元44、输出单元45。

转化单元44，用于在确定单元43确定待测软件为合法软件后，将合法软件的APDU指令转化为AT指令，以使得合法软件根据AT指令访问数据资源。

检测单元42，还用于当确定调用请求信息中的用户身份信息与本地存储的合法身份信息不相同时，确定该调用请求信息为恶意软件下发的调用请求信息。

输出单元45，用于在检测单元42确定调用请求信息为恶意软件下发的调用请求信息时，终止访问并输出警告信息。

值得说明的是，当调用请求信息为安全访问控制模块发出的调用请求信息时，该用户身份信息至少包括安全访问控制模块的UID、进程号、应用程序安装证书中的任意一种或几种。

当调用请求信息为恶意软件发出的调用请求信息时，该用户身份信息至少包括所述恶意软件的UID、进程号、应用程序安装证书中的任意一种或几种。

本发明实施例提供的数据资源的访问装置，在接收单元接收到调用请求信息后，检测单元检测调用请求信息是否为通过安全访问控制模块发出的调用请求信息，当确定单元确定该调用请求信息是由安全访问控制模块下发时，确定调用该安全访问控制模块的软件为合法软件，允许该合法软件访问数据资源，在本发明实施例中，在应用客户端访问用户数据的过程中，解决了用户数据被恶意访问的问题，显著提高了应用客户端对用户数据的访问安全性。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘，硬盘或光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种数据资源的访问方法，其特征在于，包括：

接收调用请求信息，所述调用请求信息用于调用下层软件接口，所述下层软件为应用客户端对数据资源访问的通道；

根据所述调用请求信息，检测所述调用请求信息是否为通过安全访问控制模块发出的调用请求信息，所述安全访问控制模块用于存储数据资源的安全访问规则，所述安全访问规则为每个合法软件与自身能够访问的数据资源的对应关系；

当确定所述调用请求信息是所述安全访问控制模块下发的调用请求信息时，确定调用所述安全访问控制模块的待测软件为合法软件，以使得所述合法软件访问数据资源。

2.根据权利要求1所述的数据资源的访问方法，其特征在于，所述根据所述调用请求信息，检测所述调用请求信息是否为通过安全访问控制模块发出的调用请求信息，包括：

当确定所述调用请求信息中的用户身份信息与本地存储的合法身份信息相同时，确定所述调用请求信息为所述安全访问控制模块下发的调用请求信息，所述用户身份信息与所述调用请求信息一一对应。

3.根据权利要求2所述的数据资源的访问方法，其特征在于，所述方法还包括：

在确定所述待测软件为合法软件后，将所述合法软件的应用协议数据单元APDU指令转化为AT指令，以使得所述合法软件根据所述AT指令访问所述数据资源。

4.根据权利要求2所述的数据资源的访问方法，其特征在于，所述方法还包括：

当确定所述调用请求信息中的用户身份信息与本地存储的合法身份信息不相同时，确定所述调用请求信息为恶意软件下发的调用请求信息，并输出警告信息。

5.根据权利要求4所述的数据资源的访问方法，其特征在于，

当所述调用请求信息为所述安全访问控制模块发出的调用请求信息时，所述用户身份信息至少包括所述安全访问控制模块的用户身份证明UID、进程号、应用程序安装证书中的任意一种或几种；

当所述调用请求信息为所述恶意软件发出的调用请求信息时，所述用户身份信息至少包括所述恶意软件的UID、进程号、应用程序安装证书中的任意一种或几种。

6.一种数据资源的访问装置，其特征在于，包括：

接收单元，用于接收调用请求信息，所述调用请求信息用于调用下层软件接口，所述下层软件为应用客户端对数据资源访问的通道；

检测单元，用于根据所述调用请求信息，检测所述调用请求信息是否为通过安全访问控制模块发出的调用请求信息，所述安全访问控制模块用于存储数据资源的安全访问规则，所述安全访问规则为每个合法软件与自身能够访问的数据资源的对应关系；

确定单元，用于当确定所述检测单元检测的所述调用请求信息是所述安全访问控制模块下发的调用请求信息时，确定调用所述安全访问控制模块的待测软件为合法软件，以使得所述合法软件访问数据资源。

7.根据权利要求6所述的数据资源的访问装置，其特征在于，

所述检测单元，具体用于当确定所述调用请求信息中的用户身份信息与本地存储的合法身份信息相同时，确定所述调用请求信息为所述安全访问控制模块下发的调用请求信息，所述用户身份信息与所述调用请求信息一一对应。

8.根据权利要求7所述的数据资源的访问装置，其特征在于，所述装置还包括：

转化单元，用于在所述确定单元确定所述待测软件为合法软件后，将所述合法软件的应用协议数据单元APDU指令转化为AT指令，以使得所述合法软件根据所述AT指令访问所述数据资源。

9.根据权利要求7所述的数据资源的访问装置，其特征在于，

所述检测单元，还用于当确定所述调用请求信息中的用户身份信息与本地存储的合法身份信息不相同时，确定所述调用请求信息为恶意软件下发的调用请求信息；

所述装置还包括：

输出单元，用于在所述检测单元确定所述调用请求信息为恶意软件下发的调用请求信息时，终止访问并输出警告信息。

10.根据权利要求9所述的数据资源的访问装置，其特征在于，

当所述调用请求信息为所述安全访问控制模块发出的调用请求信息时，所述用户身份信息至少包括所述安全访问控制模块的用户身份证明UID、进程号、应用程序安装证书中的任意一种或几种；

当所述调用请求信息为所述恶意软件发出的调用请求信息时，所述用户身份信息至少包括所述恶意软件的UID、进程号、应用程序安装证书中的任意一种或几种。