CN104243457A - 移动终端的可信性衡量方法及系统 - Google Patents

Abstract

本发明提供一种移动终端的可信性衡量方法及系统。根据所述方法，所述衡量系统在移动终端的安全模式下监控硬件初始化和操作系统启动的操作所加载的数据，并分阶段对存储在所述移动终端的内存中的静态数据进行完整度衡量；所述衡量系统还在所述移动终端的操作系统的运行之初，保存所述操作系统中各内核运行数据的状态，并在所述操作系统加载应用程序时，对所述内核运行数据进行完整度衡量。本发明通过从移动终端上电开始即对移动终端进行可信性衡量，并在整个通电周期内实时衡量，以便保证运行在移动终端的应用无法肆意篡改移动终端的关键信息。

Description

移动终端的可信性衡量方法及系统

技术领域

本发明涉及一种移动终端的衡量技术，特别是涉及一种移动终端的可信性衡量方法及系统。

背景技术

随着智能移动终端计算能力的日益强大，个人移动终端(包括手机、平板电脑等)的广泛应用是发展的趋势。

目前移动终端安全问题很严重，主要有两个方面的体现：一方面，移动恶意应用软件泛滥，隐私窃取、系统破坏等行为是移动恶意软件的典型体现；另一方面，由于缺乏安全编程规范，普通应用软件漏洞问题严重，造成攻击者可以轻易的获得系统敏感资源和数据。与此同时，移动终端需要能够支持远程付帐、银行帐户管理等安全级别极高的应用。这些发展趋势已使手机有可能成为恶意软件、木马等病毒的下一软件攻击目标。可以预见，如果移动终端系统安全性得不到增强，移动终端设备最终的应用面将会日趋减小，不利于整个信息产业的发展。

目前国内缺乏在操作系统领域的原始创新能力，国内工业界采用的操作系统大多基于开源的操作系统进行移植和定制化。采用国外研究系统方案的移动终端将导致系统平台在功能增强与改造方面受到严重制约，同时受制于国家信息安全战略。

因此，需要提供一种能够切实对移动终端的关键信息进行实时的可信性衡量的技术。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种移动终端的可信性衡量方法及系统，用于解决现有技术中无法对移动终端进行深入的可信性衡量的问题。

为实现上述目的及其他相关目的，本发明提供一种移动终端的可信性衡量方法，包括：在移动终端的安全模式下监控硬件初始化和操作系统启动的操作所加载的数据，并分阶段对存储在所述移动终端的内存中的静态数据进行完整度衡量；在所述移动终端的操作系统的运行之初，保存所述操作系统中各内核运行数据的状态，并在所述操作系统加载应用程序时，对所述内核运行数据进行完整度衡量。

优选地，所述分阶段对存储在所述内存中的静态数据进行完整度衡量的方式包括：在引导硬件的初始化代码阶段、以及引导操作系统执行环境的初始化代码阶段对存储在所述内存中的静态数据进行完整度衡量。

优选地，对所述静态数据及内核运行数据进行完整度衡量的方式包括：将所述静态数据或内核运行数据进行加密处理，并将加密所得到的数据与预设的完整度匹配值进行验证，以确定当前所述移动终端是否具有可信性。

优选地，所述预设的完整度匹配值位于远程服务端，所述方法还包括：将加密所得到的数据发送至所述远程服务端，由所述远程服务端对所述数据进行验证，当验证成功，则反馈成功信息，当验证不成功，则反馈失败信息，以令所述移动终端根据所述失败信息对自身进行修复处理。

优选地，所述将加密所得到的数据发送至所述远程服务端的方式包括：将每次加密所得到的数据以报告的形式保存在内存的安全域，并在预设条件下将所述报告通过网络发送至所述远程服务端。

基于上述目的，本发明还提供一种移动终端的可信性衡量系统，包括：第一衡量单元，用于在移动终端的安全模式下监控硬件初始化和操作系统启动的操作所加载的数据，并分阶段对存储在所述移动终端的内存中的静态数据进行完整度衡量；第二衡量单元，用于在所述移动终端的操作系统的运行之初，保存所述操作系统中各内核运行数据的状态，并在所述操作系统加载应用程序时，对所述内核运行数据进行完整度衡量。

优选地，所述第一衡量单元用于在引导硬件的初始化代码阶段、以及引导操作系统执行环境的初始化代码阶段对存储在所述内存中的静态数据进行完整度衡量。

优选地，所述第一衡量单元和第二衡量单元中对所述静态数据及内核运行数据进行完整度衡量的方式包括：将所述静态数据或内核运行数据进行加密处理，并将加密所得到的数据与预设的完整度匹配值进行验证，以确定当前所述移动终端是否具有可信性。

优选地，所述衡量系统还包括：位于所述移动终端的通信单元，以及位于所述远程服务端验证单元；其中，所述通信单元用于将所述第一衡量单元和第二衡量单元加密所得到的数据发送至所述验证单元；所述验证单元用于对所接收的数据进行验证，当验证成功，则反馈成功信息，当验证不成功，则反馈失败信息，以便所述第一衡量单元和第二衡量单元根据所述失败信息对所述移动终端进行修复处理。

优选地，所述通信单元还用于将每次加密所得到的数据以报告的形式保存在内存的安全域，并在预设条件下将所述报告通过网络发送至所述验证单元。

如上所述，本发明的移动终端的可信性衡量方法及系统，具有以下有益效果：通过从移动终端上电开始即对移动终端进行可信性衡量，并在整个通电周期内实时衡量，以便保证运行在移动终端的应用无法肆意篡改移动终端的关键信息；另外，将验证步骤放置在远程服务端，能够确保移动终端中的硬件驱动程序、或操作系统在升级后验证能够及时同步。

附图说明

图1显示为本发明的移动终端的可信性衡量方法的流程图。

图2显示为本发明的移动终端的可信性衡量方法的一种优选方案的流程图。

图3显示为本发明的移动终端的可信性衡量系统的结构示意图。

图4显示为本发明的移动终端的可信性衡量系统的一种优选方案的结构示意图。

元件标号说明

1                   衡量系统

11                  第一衡量单元

12                  第二衡量单元

2                   移动终端

21                  第三衡量单元

22                  第四衡量单元

23                  通信单元

3                   远程服务端

31                  验证单元

S1～S2、S1’～S4’  步骤

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。

如图1所示，本发明提供一种移动终端的可信性衡量方法。所述衡量方法主要由衡量系统来执行。所述衡量系统由安装在移动终端中的硬件及软件来执行。其中，所述移动终端包括但不限于：手机、平板电脑等。其中，在所述移动终端中包含了具有安全模式的芯片。例如，ARM芯片具有TrustZone安全模式。

在步骤S1中，所述衡量系统在移动终端的安全模式下监控硬件初始化和操作系统启动的操作所加载的数据，并分阶段对存储在所述移动终端的内存中的静态数据进行完整度衡量。其中，所述硬件初始化的阶段包括：引导硬件的初始化代码阶段。具体为，通过设置寄存器初始化硬件引导硬件板级代码初始化和片级代码初始化。例如，设置时钟、中断控制寄存器等，完成内存映射、初始化MMU等。所述操作系统启动包括：引导操作系统执行环境的初始化代码阶段。例如，将操作系统和应用程序的映像从只读存储器装载或者拷贝到系统的RAM中，并跳转到相应的代码处继续执行。

具体地，所述衡量系统在所述移动终端上电启动后，监控各硬件的初始化过程和操作系统的启动过程，并按照硬件初始化的阶段和操作系统启动的阶段，从内存的指定地址处获取静态数据。其中，所述静态数据包括但不限于：各硬件初始化的数据、以及驻留在内存中的操作系统的核心数据等。所述衡量系统可以采用定时轮询或者通过将监控程序嵌入在初始化的程序中等方式来监控上述初始化的过程，并在每个阶段完成时获取内存中的静态数据，接着，所述衡量系统对每次获取的静态数据进行完整度衡量。其具体衡量方式如下(均为予图示)：

在步骤S101中，所述衡量系统对应每个阶段预设了完整度衡量的匹配值，并在相应阶段获取内存中的静态数据，并进入步骤S102。

在步骤S102中，所述衡量系统将所述内存中的静态数据进行加密处理，并将加密所得到的数据与预设的对应阶段的完整度匹配值进行验证，以确定当前所述移动终端是否具有可信性。其中，所述加密处理的方式包括但不限于：哈希运算。

例如，所述衡量系统所述衡量系统将硬件片级初始化阶段所获取的静态数据进行哈希运算，并将运算结果与该阶段所预设的完整度匹配值进行对比，若二者相同，则确定所述移动终端在片级初始化阶段是可信的，否则，则认定所述移动终端的硬件初始化数据被篡改，则对所获取的静态数据进行修复。

接着，当所述移动终端的操作系统启动完毕、且进入运行阶段后，所述衡量系统执行步骤S2，即，在所述移动终端的操作系统的运行之初，保存所述操作系统中各内核运行数据的状态，并在所述操作系统加载应用程序时，对所述内核运行数据进行完整度衡量。

其中，所述内核运行数据包括但不限于：内核代码段、数据段中控制数据和非控制数据、CPU寄存器等。所述内核运行数据的状态包括但不限于：读写状态、控制状态等。

其中，所述衡量系统确定所述操作系统加载应用程序的方式包括但不限于：1)在所述操作系统中内嵌监控程序，监控各应用程序的状态，当有应用程序的状态发生改变时，确定所述操作系统加载应用程序。其中，所述应用程序的状态包括：运行状态和停止状态。2)由所述操作系统在启动应用程序的同时发送可信性度量请求，所述衡量系统在接收到所述可信性度量请求时，确定有应用程序被启动。

需要说明的是，本领域技术人员应该理解，所述步骤S2中的所述衡量系统对所读取的内核运行数据进行完整度衡量的方式与步骤S1中所述衡量系统对所读取的静态数据进行完整度衡量的方式相同或相似，在此不再赘述。

例如，当所述衡量系统确定有应用程序启动时，提取所述内核运行数据并进行哈希运算，将运算后的数据与预设的完整性匹配值进行比对，以确定所述操作系统是否可信。

作为一种优选方案，所述衡量系统在每次执行完整度衡量的过程中、或完成完整度衡量之后将执行过程中所产生的数据予以消除。以便减少所述衡量系统对资源的占用。

作为又一种优选方案，如图2所示，所述衡量方法还包括步骤S1’、S2’、S3’、S4’。

考虑到移动终端的硬件和操作系统都经常被升级。因此，所述完整度匹配值还还可以预设在远程服务端。所述衡量系统的执行过程如下所述。

在步骤S1’中，在所述移动终端上电后，所述衡量系统位于所述移动终端中的部分，在安全模式下监控硬件初始化和操作系统启动的操作所加载的数据，并分阶段提取存储在所述移动终端的内存中的静态数据，并进行加密运算，将加密运算的结果发送至所述远程服务端，由所述衡量系统位于所述远程服务端中的部分执行步骤S2’。

在步骤S2’中，所述衡量系统位于所述远程服务端中的部分对所述数据进行验证，当验证成功，则反馈验证成功信息，当验证不成功，则反馈验证失败信息。

在步骤S3’中，所述衡量系统位于所述移动终端中的部分根据所反馈的验证成功信息继续监控，根据所反馈的验证失败信息确定所提取的静态数据不完整，并对所述移动终端进行修复处理。

在步骤S4’中，所述衡量系统位于所述移动终端中的部分在所述移动终端的操作系统的运行之初，保存所述操作系统中各内核运行数据的状态，并在所述操作系统加载应用程序时，提取并加密所述内核运行数据，并进行加密运算，将加密运算的结果发送至所述远程服务端，以便所述衡量系统位于所述远程服务端中的部分执行步骤S2’。

例如，在所述远程服务端预设各阶段的完整度匹配值，所述衡量系统中的取值部分在所述移动终端的硬件和操作系统的每个阶段执行完成时提取内存中的静态数据，并在所述移动终端的网络接通后，将所提取的各阶段的静态数据以及各阶段的标识发送至所述远程服务端。所述衡量系统中的验证部分将各阶段的静态数据进行加密处理，并将加密后所得到的数据与相应阶段的完整度匹配值进行对比，若一致，则返回相应阶段的标识及验证成功的信息，若不一致，则返回相应阶段的标识及验证失败的信息，接着，所述衡量系统中的处理部分根据所接收的阶段的标识及验证失败的信息对相应的静态数据进行修复。

优选地，所述衡量系统将每次加密所得到的数据以报告的形式保存在内存的安全域，并在预设条件下将所述报告通过网络发送至所述远程服务端。

其中，所述预设条件包括任何启动所述衡量系统将所保存的报告予以发送的条件。其包括但不限于：定时发送、所保存的报告接近预设的饱和值等。

其中，所述安全域可以为所述衡量系统为保存报告而开辟的一个需要认证的内存区域。

例如，所述衡量系统将每次衡量的结果以预设的txt、或log格式保存在内存的安全域中，并在满足发送条件时，将所述报告发送至远程服务端，以便所述远程服务端进行验证，并接收所述远程服务端所返回的验证结果。

如图3所示，本发明提供一种移动终端的可信性衡量系统。所述衡量系统1包含安装在移动终端中的硬件及软件。其中，所述移动终端包括但不限于：手机、平板电脑等。其中，在所述移动终端中包含了具有安全模式的芯片。例如，ARM芯片具有TrustZone安全模式。所述衡量系统1包括第一衡量单元11和第二衡量单元12。

所述第一衡量单元11在移动终端的安全模式下监控硬件初始化和操作系统启动的操作所加载的数据，并分阶段对存储在所述移动终端的内存中的静态数据进行完整度衡量。其中，所述硬件初始化的阶段包括：引导硬件的初始化代码阶段。具体为，通过设置寄存器初始化硬件引导硬件板级代码初始化和片级代码初始化。例如，设置时钟、中断控制寄存器等，完成内存映射、初始化MMU等。所述操作系统启动包括：引导操作系统执行环境的初始化代码阶段。例如，将操作系统和应用程序的映像从只读存储器装载或者拷贝到系统的RAM中，并跳转到相应的代码处继续执行。

具体地，所述第一衡量单元11在所述移动终端上电启动后，监控各硬件的初始化过程和操作系统的启动过程，并按照硬件初始化的阶段和操作系统启动的阶段，从内存的指定地址处获取静态数据。其中，所述静态数据包括但不限于：各硬件初始化的数据、以及驻留在内存中的操作系统的核心数据等。所述衡量系统1可以采用定时轮询或者通过将监控程序嵌入在初始化的程序中等方式来监控上述初始化的过程，并在每个阶段完成时获取内存中的静态数据，接着，所述衡量系统1对每次获取的静态数据进行完整度衡量。其具体衡量方式如下：

首先，所述第一衡量单元11对应每个阶段预设了完整度衡量的匹配值，并在相应阶段获取内存中的静态数据。

接着，所述第一衡量单元11将所述内存中的静态数据进行加密处理，并将加密所得到的数据与预设的对应阶段的完整度匹配值进行验证，以确定当前所述移动终端是否具有可信性。其中，所述加密处理的方式包括但不限于：哈希运算。

例如，所述第一衡量单元11将硬件片级初始化阶段所获取的静态数据进行哈希运算，并将运算结果与该阶段所预设的完整度匹配值进行对比，若二者相同，则确定所述移动终端在片级初始化阶段是可信的，否则，则认定所述移动终端的硬件初始化数据被篡改，则对所获取的静态数据进行修复。

接着，当所述移动终端的操作系统启动完毕、且进入运行阶段后，所述第一衡量单元11启动第二衡量单元12。所述第二衡量单元12在所述移动终端的操作系统的运行之初，保存所述操作系统中各内核运行数据的状态，并在所述操作系统加载应用程序时，对所述内核运行数据进行完整度衡量。

其中，所述内核运行数据包括但不限于：内核代码段、数据段中控制数据和非控制数据、CPU寄存器等。所述内核运行数据的状态包括但不限于：读写状态、控制状态等。

其中，所述第二衡量单元12确定所述操作系统加载应用程序的方式包括但不限于：1)在所述操作系统中内嵌监控程序，监控各应用程序的状态，当有应用程序的状态发生改变时，确定所述操作系统加载应用程序。其中，所述应用程序的状态包括：运行状态和停止状态。2)由所述操作系统在启动应用程序的同时发送可信性度量请求，所述第二衡量单元12在接收到所述可信性度量请求时，确定有应用程序被启动。。

需要说明的是，本领域技术人员应该理解，所述第二衡量单元12中的所述衡量系统1对所读取的内核运行数据进行完整度衡量的方式与所述第一衡量单元11中所述衡量系统1对所读取的静态数据进行完整度衡量的方式相同或相似，在此不再赘述。

例如，当所述第二衡量单元12确定有应用程序启动时，提取所述内核运行数据并进行哈希运算，将运算后的数据与预设的完整性匹配值进行比对，以确定所述操作系统是否可信。

作为一种优选方案，所述衡量系统1还包括：清除单元(未予图示)。

所述清除单元用于在每次执行完整度衡量的过程中、或完成完整度衡量之后将执行过程中所产生的数据予以消除。以便减少所述衡量系统1对资源的占用。

如图4所示，考虑到移动终端的硬件和操作系统都经常被升级。所述衡量系统还可以包括：位于所述移动终端2的第三衡量单元21、第四衡量单元22、通信单元23，以及位于远程服务端3的验证单元31。其中，所述完整度匹配值预设在所述验证单元31中。其中，所述远程服务端3包括但不限于：单台服务器、服务集群、基于云计算的服务端等。

具体地，在所述移动终端2上电后，所述第三衡量单元21在所述移动终端2的安全模式下监控硬件初始化和操作系统启动的操作所加载的数据，并分阶段提取存储在所述移动终端2的内存中的静态数据，并进行加密运算，将加密运算的结果通过所述通信单元23发送至所述验证单元31，由所述验证单元31对所述数据进行验证，当验证成功，则反馈验证成功信息，当验证不成功，则反馈验证失败信息，以便所述第三衡量单元21根据所述验证失败信息确定所提取的静态数据不完整，并对所述移动终端2进行修复处理。

在所述操作系统启动完成并进入执行阶段时，所述第三衡量单元21启动所述第四衡量单元22，则所述第四衡量单元22在所述移动终端2的操作系统的运行之初，保存所述操作系统中各内核运行数据的状态，并在所述操作系统加载应用程序时，提取并加密所述内核运行数据，接着，将加密后的数据通过所述通信单元23发送至所述验证单元31，由所述验证单元31对所述数据进行验证，当验证成功，则反馈验证成功信息，当验证不成功，则反馈验证失败信息，以便所述第四衡量单元22根据所述验证失败信息确定所提取的内核运行数据不完整，并对所述移动终端2进行修复处理。

优选地，所述通信单元23还用于将每次加密所得到的数据以报告的形式保存在内存的安全域，并在预设条件下将所述报告通过网络发送至所述验证单元31。

其中，所述预设条件包括任何启动所述通信单元23将所保存的报告予以发送的条件。其包括但不限于：定时发送、所保存的报告接近预设的饱和值等。

其中，所述安全域可以为所述通信单元23为保存报告而开辟的一个需要认证的内存区域。

例如，所述通信单元23将每次加密的结果以预设的txt、或log格式保存在内存的安全域中，并在满足发送条件时，将所述报告发送至所述验证单元31，以便所述验证单元31进行验证，并接收所述验证单元31所返回的验证结果，并将返回的验证结果转发至相应的第三衡量单元21或第四衡量单元22。

综上所述，本发明的移动终端的可信性衡量方法及系统，通过从移动终端上电开始即对移动终端进行可信性衡量，并在整个通电周期内实时衡量，以便保证运行在移动终端的应用无法肆意篡改移动终端的关键信息；另外，将验证步骤放置在远程服务端，能够确保移动终端中的硬件驱动程序、或操作系统在升级后验证能够及时同步。所以，本发明有效克服了现有技术中的种种缺点而具高度产业利用价值。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims (10)

1.一种移动终端的可信性衡量方法，其特征在于，包括：

在移动终端的安全模式下监控硬件初始化和操作系统启动的操作所加载的数据，并分阶段对存储在所述移动终端的内存中的静态数据进行完整度衡量；

在所述移动终端的操作系统的运行之初，保存所述操作系统中各内核运行数据的状态，并在所述操作系统加载应用程序时，对所述内核运行数据进行完整度衡量。

2.根据权利要求1所述的移动终端的可信性衡量方法，其特征在于，所述分阶段对存储在所述内存中的静态数据进行完整度衡量的方式包括：在引导硬件的初始化代码阶段、以及引导操作系统执行环境的初始化代码阶段对存储在所述内存中的静态数据进行完整度衡量。

3.根据权利要求1所述的移动终端的可信性衡量方法，其特征在于，对所述静态数据及内核运行数据进行完整度衡量的方式包括：将所述静态数据或内核运行数据进行加密处理，并将加密所得到的数据与预设的完整度匹配值进行验证，以确定当前所述移动终端是否具有可信性。

4.根据权利要求3所述的移动终端的可信性衡量方法，其特征在于，所述预设的完整度匹配值位于远程服务端，所述方法还包括：将加密所得到的数据发送至所述远程服务端，由所述远程服务端对所述数据进行验证，当验证成功，则反馈成功信息，当验证不成功，则反馈失败信息，以令所述移动终端根据所述失败信息对自身进行修复处理。

5.根据权利要求4所述的移动终端的可信性衡量方法，其特征在于，所述将加密所得到的数据发送至所述远程服务端的方式包括：将每次加密所得到的数据以报告的形式保存在内存的安全域，并在预设条件下将所述报告通过网络发送至所述远程服务端。

6.一种移动终端的可信性衡量系统，其特征在于，包括：

第一衡量单元，用于在移动终端的安全模式下监控硬件初始化和操作系统启动的操作所加载的数据，并分阶段对存储在所述移动终端的内存中的静态数据进行完整度衡量；

第二衡量单元，用于在所述移动终端的操作系统的运行之初，保存所述操作系统中各内核运行数据的状态，并在所述操作系统加载应用程序时，对所述内核运行数据进行完整度衡量。

7.根据权利要求6所述的移动终端的可信性衡量系统，其特征在于，所述第一衡量单元用于在引导硬件的初始化代码阶段、以及引导操作系统执行环境的初始化代码阶段对存储在所述内存中的静态数据进行完整度衡量。

8.根据权利要求6所述的移动终端的可信性衡量系统，其特征在于，所述第一衡量单元和第二衡量单元中对所述静态数据及内核运行数据进行完整度衡量的方式包括：将所述静态数据或内核运行数据进行加密处理，并将加密所得到的数据与预设的完整度匹配值进行验证，以确定当前所述移动终端是否具有可信性。

9.根据权利要求8所述的移动终端的可信性衡量系统，其特征在于，所述衡量系统还包括：位于所述移动终端的通信单元，以及位于所述远程服务端验证单元；

所述通信单元用于将所述第一衡量单元和第二衡量单元加密所得到的数据发送至所述验证单元；

所述验证单元用于对所接收的数据进行验证，当验证成功，则反馈成功信息，当验证不成功，则反馈失败信息，以便所述第一衡量单元和第二衡量单元根据所述失败信息对所述移动终端进行修复处理。

10.根据权利要求9所述的移动终端的可信性衡量系统，其特征在于，所述通信单元还用于将每次加密所得到的数据以报告的形式保存在内存的安全域，并在预设条件下将所述报告通过网络发送至所述验证单元。