CN104318134B

CN104318134B - 一种数据保护方法

Info

Publication number: CN104318134B
Application number: CN201410617318.4A
Authority: CN
Inventors: 孙吉平; 韩勇
Original assignee: Beijing Senseshield Technology Co Ltd
Current assignee: Reflections On Shudun Tianjin Technology Co ltd
Priority date: 2014-11-05
Filing date: 2014-11-05
Publication date: 2017-06-06
Anticipated expiration: 2034-11-05
Also published as: CN104318134A

Abstract

本申请公开了一种数据保护方法，包括：对待保护的应用程序进行编译，得到相应的编译程序；对所述编译程序中中间寄存器对应的运算逻辑，采用寄存器加密的方式进行加密处理；所述中间寄存器为用于保存中间运算结果的寄存器；按照预设的切割密度N，对加密处理后的所述编译程序进行运算切割，所述N≥2；为所述编译程序中经过运算切割后得到的每个寄存器对应的运算逻辑代码，分别生成相应的查找表，利用所述查找表替换相应的运算逻辑，其中，所述查找表的下标为被替换的运算逻辑中运算参数对应的中间寄存器。采用本发明可以有效提高计算机应用程序的安全性。

Description

一种数据保护方法

技术领域

本发明涉及数据安全技术，特别是涉及一种计算机应用程序的数据保护方法。

背景技术

目前，为了确保计算机应用程序的安全性，需要对应用程序进行虚拟化处理，利用程序的运算逻辑复杂化或隐藏运算逻辑，来提高程序代码被非法获取的难度。常用的虚拟化手段有：逻辑运算的拆分、等效变换以及查表等方式。

其中，逻辑运算的拆分和等效变换是通过使运算逻辑复杂化，来达到隐藏程序运算逻辑的目的。逻辑运算的拆分是将运算逻辑拆分成更基本的运算，来提高运算逻辑表达的复杂性。例如，对于异或运算XOR，可以拆分成6个与非运算NAND。逻辑运算的等效变换是在逻辑运算中加入可以获得等效结果的混淆参数。例如，对于A+2，可以等效变换为A+5-3。

查表，是通过预先根据程序的运算逻辑建立运算参数与运算结果的映射表，在对应用程序进行虚拟化处理时，引入该映射表，利用映射表替代真实的运算逻辑，根据具体的运算参数查询该映射表，即可得到相应的运算结果，从而达到隐藏运算逻辑的目的。

上述逻辑运算的拆分和等效变换方案，虽然可以使运算逻辑复杂化，但是由于仅是基本的运算逻辑的替代或增加，而这些基本的运算逻辑是容易被识别的(如add、NAND)，在识别出基本运算后，通过一些机械化的流程可以反推出原来的运算逻辑，从而导致经过寄存器加密处理的程序仍然可以在较短的时间内被非法获取。

上述查表方案，虽然运算逻辑被隐藏了，但是，具体的运算参数是存在的，基于多组运算参数与运算结果的对应关系，容易推知相应的运算逻辑。另外，查表方案还存在占用存储空间过大的问题。每张表格所占用的存储空间等于运算参数的取值范围与运算结果的取值范围乘积，例如当运算参数和运算结果均为32位整数时，表的大小为2³⁴字节，这在现实上是不能接受的。

由此可见，现有的虚拟化手段存在无法有效确保应用程序的安全性的问题。

发明内容

有鉴于此，本发明的主要目的在于提供一种数据保护方法，该方法可以有效提高计算机应用程序的安全性。

为了达到上述目的，本发明提出的技术方案为：

一种数据保护方法包括：

a、对待保护的应用程序进行编译，得到相应的编译程序；

b、对所述编译程序中中间寄存器对应的运算逻辑，采用寄存器加密的方式进行加密处理；所述中间寄存器为用于保存中间运算结果的寄存器；

c、按照预设的切割密度N，对加密处理后的所述编译程序进行运算切割，所述N≥2；

d、为所述编译程序中经过运算切割后得到的每个寄存器对应的运算逻辑代码，分别生成相应的查找表，利用所述查找表替换相应的运算逻辑，其中，所述查找表的下标为被替换的运算逻辑中运算参数对应的中间寄存器。

综上所述，本发明提出的数据保护方法，通过整合寄存器加密方法、运算切割和查找表生成等方法对程序代码进行加密处理，使得运算中间结果采用密文的方式进行存储，可以有效提高计算机应用程序的安全性。

附图说明

图1为本发明实施例一的流程示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明作进一步地详细描述。

本发明的核心思想是：基于查表的虚拟化方法，在将运算逻辑转化为表格之前，先进行寄存器加密处理，使得表中运算结果所对应的参数是经过加密处理后的参数，从而可以提高映射表格隐藏运算逻辑的有效性。另外，为了避免每张表格占用大量存储空间，在生成表格前，先对运算逻辑进行切割，得到若干子运算逻辑，然后再对各子运算逻辑生成相应的表格，从而可以避免存储空间需求过大所致的无法应用的问题。

图1为本发明实施例一的流程示意图，如图1所示，该实施例主要包括：

步骤101、对待保护的应用程序进行编译，得到相应的编译程序。

本步骤，可以采用现有的可被虚拟化平台所识别的编译工具实现，较佳地，可以采用Virbox编译器进行编译。

步骤102、对所述编译程序中中间寄存器对应的运算逻辑，采用寄存器加密的方式进行加密处理。

所述中间寄存器为用于保存中间运算结果的寄存器。

本步骤中，需要对中间寄存器对应的运算逻辑进行加密处理，如此，可以使应用程序的中间运算结果采用密文的方式进行保存，从而可以提高应用程序的安全强度。

本步骤中可以采用现有的寄存器加密方法对一运算逻辑进行加密。

较佳地，为了提高加密的可靠性，可以采用在读寄存器的指令后面插入解密运算指令、在写寄存器的指令前面插入加密运算指令的方式，进行所述加密处理。

例如，对于原始代码：R1＝i+7，是向寄存器R1中写入内容i+7，相应的加密处理为：R1＝enc(i+7)；其中，enc()是一个加密变换指令。

对于原始代码i＝R1-5，是将寄存器R1内容读出与5做减法，相应的加密处理为：i＝dec(R1)-5；其中，dec()是一个解密变换指令。

对于原始代码R1+＝7，是将寄存器R1内容读出与7做加法后再写入R1中，相应的加密处理为R1＝enc(dec(R1)+7)。

较佳地，可以利用多种寄存器加密算法进行加密处理，即上述enc()、dec()可以采用多种加密算法确定，具体地可以为：所述编译程序中每个中间寄存器对应的运算逻辑，采用从预设的寄存器加密算法中随机选择一种加密方法的方式，对该运算逻辑进行加密处理。这样，不同寄存器对应的运算逻辑采用的加密方法将可能不同，即使破解了一种的加解密也不可能类似推到其他代码，从而可以为了进一步提高加密处理后程序代码的逆向难度。

步骤103、按照预设的切割密度N，对加密处理后的所述编译程序进行运算切割。

具体的，上述运算切割包括：

对于加密处理后的所述编译程序中每个寄存器对应的运算逻辑代码，按照预设的切割密度N，将该运算逻辑代码切割为等效的N个子运算逻辑代码。

这里，所述N个子运算逻辑代码所实现的运算逻辑将与原运算逻辑代码等效。具体地，如何将一运算逻辑代码切割为等效的N个子运算逻辑代码的方法，为本领域技术人员所掌握，在此不再赘述。

本步骤中，需要对加密处理后的编译程序进行运算切割，如此，一方面，可以使运算逻辑表达形式更加复杂，提高程序代码被逆向获取的难度，另一方面通过运算逻辑的拆分，减少运算参数的长度，即将一个“宽”运算逻辑转化为多个“窄”的运算逻辑，从而可以避免后续步骤中进一步生成相应的查找表时对存储空间需求过大的问题，使得此后可以结合查找表进一步提高程序代码被逆向获取的难度，确保程序代码的安全性。

例如：当N＝2时，对于(ushort)result＝(ushort)a+(ushort)imm可以转化为下述两个子运算逻辑代码：

(LoByte)result＝(LoByte)a+(LoByte)imm；(保存加法进位标志CF)

和(HiByte)result＝(HiByte)a+(HiByte)imm+CF。

可见，每个子运算逻辑代码所涉及的运算参数的长度为切割前的1/2，这样，此后进一步对每个子运算逻辑代码生成查找表时，所需要的存储空间将不再庞大到无法具体应用，从而可以进一步与查找表方案相结合，提高代码的安全性。

所述N的具体取值，可由本领域技术人员根据实际运算需要进行设置，只要能满足后续步骤中查找表生成的存储空间需要即可。

步骤104、为所述编译程序中经过运算切割后得到的每个寄存器对应的运算逻辑代码，生成相应的查找表，利用所述查找表替换相应的运算逻辑，其中，所述查找表的下标为被替换的运算逻辑中运算参数对应的中间寄存器。

这里，查找表的下标即为查找表的索引项。

本步骤，用于将运算切割后得到的各寄存器中保存的运算逻辑代码替换为等效的查找表，这样，通过查找表隐藏实际的运算逻辑，可以进一步提高程序代码的安全性。

这里，查找表的生成方法同现有系统，所不同的是，本步骤是在对中间寄存器进行了加密的基础上进行的运算逻辑的替代，这样，由于中间运算结果一直是密文，再以密文作为查找表的下标，将很难再对查找表进行逆向，得出程序代码的运算逻辑，从而使得最终处理得到的程序代码具有很高的安全强度。

从上述技术方案可以看出本发明通过整合寄存器加密方法、查找表生成、运算切割等方法对程序代码的中间参数进行加密处理，可以有效确保程序代码的数据安全性。下面结合一具体程序代码的处理过程，对本发明做进一步的详细阐述。

假设，采用Virbox编译工具，需要处理的原始代码为：int result＝((input^0x3B6217D9)>>1)+0xF834；

首先，采用Virbox编译工具，对原始代码进行编译，得到下述结果：

R0＝input

R1＝R0^0x3B6217D9

R2＝R1>>1

R3＝R2+0xF834

result＝R3

然后，对编译结果寄存器加密处理，下述加密处理后的代码：

R0＝input

E0＝enc(R0^0x3B6217D9)

E1＝enc(dec(E0)>>1)

R3＝dec(E1)+0xF834

result＝R3

第三，对上述加密处理后的代码进行运算切割，

R0＝input

e00＝enc(r00^0xD9)

e01＝enc(r01^0x17)

e02＝enc(r02^0x62)

e03＝enc(r03^0x3B)//1个32位操作拆分为上面4个8位操作，其中e00,e01,e02,e03分别是上述E0对应的4个8位部分，而r00,r01,r02,r03是R0对应的4个8位部分。

e13＝enc(dec(e03)>>1)//1个32位移位操作拆分为4个8位操作。每个8位操作会设定一个“进位标志”，代表移出的位是否为1。

e12＝enc(RCR1(dec(e02)))//RCR1是右移1位，并将最高位用“进位标志”填充。

e11＝enc(RCR1(dec(e01)))

e10＝enc(RCR1(dec(e00)))

r30＝dec(e10)+0x34；//32位加法切割为4个8位加法，每个运算后设置进位标志

r31＝ADC(dec(e11),0xF8)；//带进位标志的加法。

r32＝ADC(dec(e12),0)；

r33＝ADC(dec(e13),0)；

result＝R3；

最后，对于运算切割后的每个子运算逻辑代码，根据每个8位操作的类型和参数，生成各个查找表，并生成第4阶段目标代码。

BYTE TableXorD9_Enc[256]＝{...}

BYTE TableDec_Shr1_Enc[256]＝{...}

BYTE TableDec_Adc00[512]＝{...}

R0＝input；

e00＝TableXorD9_Enc[r00]//这个表就是r＝>enc(r^0xD9)的映射

e01＝TableXor17_Enc[r01]

e02＝TableXor62_Enc[r02]

e03＝TableXor3B_Enc[r03]

e13＝TableDec_Shr1_Enc[e03]//这个表是r＝>enc(dec(r)>>1)的映射

e12＝TableDec_Rcr1_Enc[e02]

e11＝TableDec_Rcr1_Enc[e01]

e10＝TableDec_Rcr1_Enc[e00]

r30＝TableDec_Add34[e10]

r31＝TableDec_AdcF8[e11]

r32＝TableDec_Adc00[e12]

r33＝TableDec_Adc00[e13]

result＝R3

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种数据保护方法，其特征在于，包括：

a、对待保护的应用程序进行编译，得到相应的编译程序；

c、对于加密处理后的所述编译程序中每个寄存器对应的运算逻辑代码，按照预设的切割密度N，将该运算逻辑代码切割为等效的N个子运算逻辑代码；所述N≥2；

2.根据权利要求1所述的方法，其特征在于，步骤a中采用Virbox编译器进行所述编译。

3.根据权利要求1所述的方法，其特征在于，步骤b中采用在读寄存器的指令后面插入解密运算指令、在写寄存器的指令前面插入加密运算指令的方式，进行所述加密处理。

4.根据权利要求1所述的方法，其特征在于，步骤b中对于所述编译程序中每个中间寄存器对应的运算逻辑，采用从预设的寄存器加密算法中随机选择一种加密方法的方式，对该运算逻辑进行加密处理。