CN104380302B - 评估是阻止还是允许软件应用的安装 - Google Patents

Abstract

要安装应用的可编程设备分析由应用请求的许可和其它应用信息以帮助用户决定是否允许应用的安装。分析可或阻止或允许安装，或者可向用户提供所计算的风险等级并且请求决定。可采用诸如应用类别、由相似应用请求的通常许可以及应用来源的可信度之类的应用信息加上白名单和黑名单，作为许可的评估和分析的部分。作为结果，用户不需要过多地负担技术信息，并且可在安装上作出更为知情的决定。

Description

评估是阻止还是允许软件应用的安装

技术领域

本公开一般涉及计算机安全的领域。更具体地，但不是限制性地，它涉及用于在可编程设备上控制应用的安装的技术。

背景技术

智能电话和其它个人可编程设备常常允许用户在个人可编程设备上安装应用以超出厂商所提供的之外给设备添加附加的功能性。虽然这些应用能够对于用户有用和有价值，但是最好不安装对用户或可编程设备呈现风险的恶意软件。用于控制应用的安装的当前系统对用户部分要求太多的知识，并且用户已提出了接受应用安装的响应而不理解在安装应用中涉及的风险，因此常常安装了若用户理解关于应用的信息本来能够阻止的恶意软件。

发明内容

要安装应用的可编程设备分析由应用请求的许可和其它应用信息来帮助用户决定是否允许应用的安装。分析可或阻止或允许安装，或者可向用户提供所计算的风险等级并且请求决定。可采用诸如应用类别、由相似应用请求的通常许可以及应用来源的可信度之类的应用信息外加白名单和黑名单，作为许可的评估和分析的部分。作为结果，用户不需要过多地负担技术信息，并且可在安装上作出更为知情的决定。

公开一种方法，其中方法包括接收在可编程设备上安装应用的请求；并且决定是否安装应用，其中决定是否安装应用包括响应于由应用请求的许可集来确定应用的风险等级；以及如果风险等级超过预定风险阈值，则阻止应用的安装。

公开一种系统，其中系统包括处理器；耦合到处理器的存储子系统；在存储子系统上存储的应用数据库，该应用数据库包括与配置用于在可编程客户设备上安装的应用关联的信息；以及在存储子系统上存储的软件，该软件包含使处理器执行动作的指令，其中动作包括：从可编程客户设备接收在可编程设备上安装应用的请求；评估由应用请求的许可集；以及响应于评估许可集，将风险确定传送到可编程客户设备。

公开一种可编程设备，其中可编程设备包括可编程控制设备；配置成控制可编程控制设备的操作系统；耦合到可编程控制设备的存储子系统；以及软件，当由可编程控制设备执行该软件时，使可编程控制设备执行包括以下各项的动作：评估由要安装在可编程设备上的应用请求的许可集以确定应用的风险等级；以及如果风险等级超出预定风险阈值，则阻止应用的安装。

附图说明

图1是示出用于控制在可编程设备上应用的安装的技术的框图。

图2是示出用于评估由应用请求的许可的技术的流程图。

图3是示出供本文描述的技术使用的可编程设备的框图。

图4是示出供本文描述的技术使用的客户机－服务器网络的框图。

具体实施方式

在以下描述中，出于解释的目的，为了提供本发明的全面理解陈述多个具体的细节。但是，本领域的技术人员清楚，本发明可无需这些具体的细节而实施。在其它实例中，为了避免模糊本发明，以框图形式示出结构和设备。将对没有下标或前缀的数字的引用理解为对与所引用数字对应的下标和前缀的全部实例的引用。此外，原则上为了可读性和指导的目的已选择本公开中使用的语言，并且不得被选择来描绘或限制发明主题，诉诸于确定这样的发明主题所必需的权利要求。说明书中对“一个实施例”或“实施例”的引用表示结合实施例描述的具体特征、结构或特点包括在本发明的至少一个实施例中，并且对于“一个实施例”或“实施例”的多次引用不应理解为必然都引用相同的实施例。

如本文中所用，术语“计算机系统”能够指代执行被描述为由计算机系统或在计算机系统上执行的功能的单个计算机或一起工作的多个计算机。

尽管依照由应用请求的许可写下以下描述，但是可代替许可使用由应用所请求或所要求的任意其它属性集合。

智能电话和包括平板的其它移动可编程设备允许应用的安装以扩展由硬件和操作系统以及本地应用提供的功能性。当硬件厂商不同于控制可编程设备的操作系统的厂商时，例如在使用安卓操作系统的系统中通常是这样的情况，硬件的厂商可修改由操作系统厂商提供的操作系统，按所需提供附加的应用或操作系统功能性，或者限制功能性。

例如，在使用安卓操作系统的设备中，用户可从多个应用市场之一下载应用以用于安装在他们的设备上。作为安装包的一部分，每个应用提供标识应用要求什么操作系统能力(通常称作“许可”)的表述文件。操作系统禁止未被授予许可的应用访问或使用关联的能力。尽管一些应用可能能够无需任何许可而工作，但是大多数应用要求一个或多个许可。

一些许可基本上是无害和安全的。其它许可可能对于用户、用户的个人数据等涉及风险。可基于所涉及的风险对这些许可分类。例如，安卓操作系统提供如下面表1中陈述的许可组的标准集：

应用开发者还可按所需规定非标准的许可组。

可产生使用该许可的应用可花费用户金钱的风险的示例许可包括：

CALL_PHONE－在没有将电话通知用户的前提下发起电话呼叫的能力。

SEND_SMS－在没有将电话通知用户的前提下发送短消息系统(SMS)消息的能力。

INTERNET－打开网络套接字的能力，潜在地招致数据使用费用。

能够访问个人数据的示例许可包括：

GET_ACCOUNTS－允许访问账户服务中的账户列表。

GET_TASKS－允许应用获得关于当前或最近运行任务的信息：任务的简略表示，什么活动正在其中运行等。

READ_CONTACTS－允许应用读取用户的联系人数据。

能够修改个人数据的示例许可包括：

CLEAR_APP_USER_DATA－允许应用清除用户数据。

WRITE_CONTACTS－允许应用写入(但不读取)用户的联系人数据。

WRITE_SMS－允许应用写入SMS消息。

能够用于跟踪用户的位置的许可的例子包括：

ACCESS_COARSE_LOCATION－允许应用访问粗略(例如，Cell-ID、WiFi)位置。

ACCESS_FINE_LOCATION－允许应用访问精确(例如，GPS)位置。

CAMERA－要求能够访问照相机设备。

能够由恶意软件使用以做出可能不期望的其它动作的其它许可包括：

FACTORY_TEST－允许根访问电话并且能够被恶意使用。

AUTHENTICATE_ACCOUNTS－允许应用担当用于AccountManager的AccountAuthenticator。

BRICK－要求能够禁用设备(非常危险！)。

仅举例说明这些类别，并且许可的其它类别和由操作系统定义的特定许可当由应用请求时可被认为是有风险的。

尽管在安卓操作系统的情况下，提供应用安装警告屏幕来指明所请求的许可，但是因为它们对于终端用户确定所请求的许可是否适当常常太过技术性，所以这些警告屏幕常常被忽视。本文描述的更好的方法消除对于终端用户理解应用在安装时所请求的许可的需要。这简化了应用安装，并且给予用户应用不是恶意的附加的安心。

通过提供用于安全服务(其可被集成到操作系统中、作为应用来安装、等等)的能力来评估由应用请求的许可并且对应用的安装产生的风险等级作出决定，应用安装过程可将对安装过程的控制提供给用户，而不要求所请求的许可或它们各自的或总体的风险的知识。安全服务的缺省行为可配置成提供对安全服务的动作的控制。例如，安全服务可在没有请求用户作决定的前提下阻止安装有风险的应用。备选地，安全服务可允许用户选择安装有风险的应用，但是在作出安装决定之前，给予用户风险等级的指示。尽管可提供多种技术用于这样的指示，但是一种技术可使用诸如绿色、黄色和红色之类的颜色来强调风险等级信息，呈现由颜色编码的消息指示低、中或高风险的警告对话。安全服务还可配置成允许用户规定将被允许安装而无需用户批准的风险等级，例如，允许安装视作低风险的应用而不要求批准，但是对于视作高风险的应用要求批准。风险等级的任意数量可按所需定义。

图1是示出用于在可编程设备上改进应用安装过程的技术100的流程图。在框110中，安全服务接收在可编程设备上安装应用的请求。可使用用于将所企图的安装通知给安全服务的任意所需技术，但是通常安全服务将被挂钩到操作系统的安装处理中，使得能够调用它并且将每个安装通知给它。在框120中，安全服务获得所请求的许可。在安卓操作系统的情况下，应用在表述文件中提供许可，表述文件一般格式为存储在应用的根目录中的扩展标记语言(XML)文件。其它操作系统可用任意所需的方法将许可提供给安全服务。

如下面更详细描述的，在框130中，安全服务评估所请求的许可。作为这个评估的结果，安全服务确定应用的风险等级。在框140中，如果许可产生不可接受的风险等级，则安全服务可采取动作以阻止安装。如果风险等级是可接受的，则安全服务可采取动作以允许安装。尽管如图1所示，安全服务基于框140的决定或阻止或允许安装，但是为了用户作出决定，技术的变形可提供，诸如将所确定的风险等级提供给用户，以及请求是阻止还是允许安装的决定。其它变形可对于某些风险等级自动阻止或允许安装，并且对于处在中间水平的其它风险等级请求用户决定。可确定或计算任意所需数量的风险等级，使用任意所需基于许可的标准来计算这些风险等级。

如图1所示，除了阻止安装(160)或允许安装(180)，安全服务可基于风险等级确定来更新已知恶意软件应用的黑名单(150)或已知良好应用的白名单(170)。在框150中，可将确定具有不可接受的风险等级的应用添加到黑名单，而在框170中将确定具有可接受的风险等级的应用添加到白名单。黑名单和白名单可使用用于存储关于应用的信息的任意所需技术，由安全服务以任意所需方式来维护。如下面更详细描述的，在所请求的许可的未来评估期间，可利用这些黑名单和白名单。

图2是示出用于评估所请求的许可以及基于该许可和其它应用有关信息指派风险等级的技术200的流程图。如这个流程图中所示，可确定应用是有风险的或无风险的，对于有风险的应用指派风险等级，然后可将其与预定风险阈值比较以用于决定是允许还是阻止应用的安装。技术的变形还可对于无风险的应用，使用定义来指示低或无风险的风险等级来指派风险等级。

在框210中，评估所请求的许可以确定任意所请求的许可是否被视作有风险的。如果没有许可被请求，或者如果所有所请求的许可被视作安全的，则安装应用没有风险。

在框220中，安全服务可检查来看应用是否列在白名单中。如下面更详细描述的，可在可编程设备上本地、在安全服务器上远程、或者由两者来维护白名单。如果维护本地白名单，则安全服务器可提供对本地白名单的定期更新，如安全服务器所命令的，或者用新版本替换本地白名单或者对本地白名单作出变动。如果仅维护远程白名单，则可通过将请求发送到安全服务器、接收指示应用是否列在远程白名单上的响应来实现框220。如果维护远程和本地白名单两者，则通常首先检查本地白名单，然后检查远程白名单，尽管如果需要，该次序可相反。如果应用在白名单上，则可认为应用无风险。

在框230中，可类似于白名单的检查来检查黑名单，使用或者本地黑名单、或者远程黑名单、或者本地和远程黑名单的混合。尽管如图2中所示使用黑名单和白名单两者，但是技术的变形可按所需仅采用白名单或仅采用黑名单。如果应用在黑名单上，则应用可被认为有风险并且在框280中指派风险等级。

在框240中，如果应用既不在白名单上，也不在黑名单上，则安全服务可使用各种标准来确定应用的风险等级。如图2中所示，在框240中，应用可被分类到应用市场中所找到的多个类别之一。示例类别可包括电子邮件、游戏、实用程序等。在应用市场中的这样的应用的分类中，一些类别可被认为比其它类别更有风险。在框250中，安全服务可确定指示应用来源的可信度的信任级别。例如，基于安全服务供应商收集的声誉数据，一个作者或厂商的应用可被认为比另一个作者或厂商的应用更有风险。类似白名单和黑名单，可本地、远程或作为本地和远程声誉数据的组合来存储和访问这种声誉数据。声誉数据可包括关于已被认为安全或不安全的相关作者或厂商的应用的数量的信息。在框260中，应用的具体功能性还可被认为如由应用所定义，或者如应用数据库中所发现。

尽管如图3中所示，框240、250和260全部呈现，变形可包含图中未示出的附加检查或者可忽略框240、250和260的任意检查。

在框270中，鉴于在框240、250和260中获得的其它信息，评估许可本身。如果许可被视作过分，例如当类似于当前应用的应用通常仅需要当前应用请求的许可的子集时，则应用可被认为有风险的并在框280中指派风险等级。否则，应用可被认为无风险的或者具有低风险。

可按所需本地或远程执行图2的所有或一些动作。在一些变形中，安全服务收集关于应用及其许可的相关信息，并且将该信息传递到用于作出风险性和风险等级的确定的服务器。在其它变形中，安全服务可本地执行那些动作，并且将应用信息和风险等级确定传递到安全服务器。其它变形可按所需提供本地和远程处理的混合，诸如试图本地确定风险等级，但是，如果本地不具备足够的信息，则将关于未知应用的信息发送到远程服务器用于进一步分析。

执行上述技术的安全服务按所需可作为独立应用或操作系统服务来实现，或者可被绑定作为更宽安全和反恶意软件的软件的一部分。

电子设备中的实现

图3是示出按照能够实现上述技术的一个实施例的可编程设备300的简化功能框图。可编程设备300可包括处理器316、显示器320、麦克风306、音频/视频编解码器302、扬声器304、通信电路310、具有用于执行图像捕捉的关联照相机硬件的图像传感器308、用户接口318、存储器312、存储子系统314以及通信总线322。处理器316可以是任意适合的可编程控制设备并且可控制诸如软件应用的安装以及可编程设备300执行的其它功能之类的许多功能的操作。处理器316可驱动显示器320并且可从用户接口318接收用户输入。嵌入式处理器提供可被用来执行所公开的技术的通用和鲁棒的可编程控制设备。

存储子系统314可存储媒体(例如，图像和视频文件)、软件(例如，用于在设备300上实现各种功能)、优选信息、设备简档信息以及任意其它适合的数据。存储子系统314可包括用于有形记录图像数据和程序指令的一个或多个存储介质，包括例如硬盘驱动器、诸如ROM之类的永久存储器、诸如RAM或闪存之类的半永久存储器、或者高速缓存。程序指令可包含以任意所需语言(例如，C或C++)编码的软件实现。

存储器312可包括可用于执行设备功能的一个或多个不同类型的存储器。例如，存储器312可包括高速缓存、ROM和/或RAM。通信总线322可提供数据传递路径，用于在至少存储子系统314、存储器312和处理器316之间或者向这些设备或从这些设备传递数据。通信总线322尽管被称作总线，但是不限于任意具体数据传递技术。用户接口318可允许用户与可编程设备300交互。例如，用户接口318能够采取各种形式，诸如按钮、键区、转盘、棘轮或触摸屏。

在一个实施例中，可编程设备300可以是能够提供个人通信的电子设备。例如，可编程设备300可以是诸如移动电话、个人数字助理(PDA)、便携音乐播放器、监视器、电视、膝上型电脑、台式机以及平板计算机之类的设备或者其它适合的个人设备。

联网实现

图4是示出上述技术的联网实现的框图，在这个例子中，包含作为可编程客户设备通过网络420连接到远程安全服务器430的智能电话410，尽管除智能电话以外的其它类型的可编程客户设备可实现这些技术。远程服务器430可耦合到或包括包含供评估中所用的数据库440的一个或多个存储子系统。术语“数据库”的使用没有意图暗示具体的格式或配置，其可采用任意类型或混合类型的数据存储技术。

网络420可以是无线网络，诸如移动电话无线网络、无线(WiFi)局域网，其可连接到诸如互联网之类的广域网。如上所述，电话410可将关于要安装的应用的信息传递到服务器430。服务器430可用风险确定来响应，该风险确定携带关于应用的风险等级的信息或可由电话410用来确定风险等级的其它信息。有时可由服务器430将白名单或黑名单信息提供给电话410。在一些变形中，虽然电话410可执行应用的分析和评估，但是将分析或评估结果提供给服务器430以用于进一步分析或者用于由安全服务供应商构建声誉数据库。

当服务器430获知附加信息时，服务器430可通过发送撤回通知以使客户机将应用从其本地白名单中移除或者通过发送撤回通知以将应用从其本地黑名单中移除来更新白名单。

类似地，客户机410可基于客户机410对应用的分析，提供对远程白名单或黑名单的更新。可在客户机410和服务器430之间的通信上使用加密，并且可按所需在客户机410和服务器430中任一个或两者上加密白名单和黑名单。可按所需在电话410或服务器430中任一个上执行上述技术的任意部分。

要理解，上面的描述意图是说明性的，不是限制性的。例如，上述实施例可互相组合使用。在回顾上面的描述时，对于本领域的那些技术人员来说，许多其它实施例将是明显的。因此，应参考所附权利要求以及这些权利要求有权享有的等同物的全部范围来确定本发明的范围。

Claims (25)

1.一种用于可编程设备的方法，包括：

接收在可编程设备上安装应用的请求；

由所述可编程设备决定是否安装所述应用，包括：

响应于由所述应用请求的许可集来确定所述应用的风险等级，包括：

确定所述应用的一个或多个非许可特征；

相对于所述应用的所确定的所述一个或多个非许可特征来评估由所述应用所请求的所述许可集是否过分；和

响应于所述评估来指派风险等级；以及

如果所述风险等级超过预定风险阈值，则由所述可编程设备阻止所述应用的安装。

2.如权利要求1所述的方法，其中，阻止安装包括：

向所述可编程设备的用户呈现警告对话，其中，所述用户能够通过所述对话强制所述应用的安装。

3.如权利要求1-2中任一项所述的方法，其中，确定所述应用的风险等级包括：

解析由所述应用提供的表述文件，所述表述文件标识由所述应用请求的所述许可集；以及

基于所述许可集来指派风险等级。

4.如权利要求1所述的方法，其中，确定风险等级包括：

检查已知良好应用的白名单。

5.如权利要求1所述的方法，其中，确定风险等级包括：

检查已知恶意软件应用的黑名单。

6.如权利要求1所述的方法，还包括：

将所述应用添加到白名单。

7.如权利要求6所述的方法，还包括：

可选地加密所述白名单。

8.如权利要求6所述的方法，还包括：

响应于由所述可编程设备接收的撤回通知，将所述应用从所述白名单中移除。

9.如权利要求1所述的方法，其中，阻止安装包括：

将所述应用添加到黑名单。

10.如权利要求9所述的方法，还包括：

加密所述黑名单。

11.如权利要求9-10中任一项所述的方法，其中，所述黑名单对于所述可编程设备是远程的。

12.如权利要求1所述的方法，还包括：

从远程服务器接收更新；以及

用所述更新来更新已知良好应用的白名单。

13.如权利要求1所述的方法，还包括：

从远程服务器接收更新；以及

用所述更新来更新已知恶意软件应用的黑名单。

14.如权利要求1所述的方法，其中，确定风险等级包括：

将关于所述应用的信息发送到远程服务器；以及

从所述远程服务器接收所述风险等级的确定。

15.一种计算机系统，包括：

服务器，所述服务器包括：

处理器；

耦合到所述处理器的存储子系统；

在所述存储子系统上存储的应用数据库，所述应用数据库包括与配置用于在可编程客户设备上安装的应用关联的信息；以及

在所述存储子系统上存储的软件，所述软件包含使所述处理器执行以下动作的指令：

响应于在所述可编程客户设备上安装应用的尝试，从所述可编程客户设备接收请求；

确定所述应用的一个或多个非许可特征；

相对于所述应用的所确定的所述一个或多个非许可特征来评估由所述应用请求的许可集；以及

响应于所述评估表明所述许可集相对于所述一个或多个非许可特征是过分的，将风险确定传送到所述可编程客户设备。

16.如权利要求15所述的系统，还包括：

已知良好应用的白名单，

其中，在被执行时使所述处理器评估由所述应用请求的所述许可集的指令包括在被执行时使所述处理器执行以下动作的指令：

确定所述应用是否在所述白名单上。

17.如权利要求15-16中任一项所述的系统，还包括：

已知恶意软件应用的黑名单，

其中，在被执行时使所述处理器评估由所述应用请求的所述许可集的指令包括在被执行时使所述处理器执行以下动作的指令：

确定所述应用是否在所述黑名单上。

18.如权利要求15所述的系统，还包括：

已知良好应用的白名单；以及

已知恶意软件应用的黑名单，

其中，所述软件还包含使所述处理器执行以下动作的指令：

从可编程客户机接收将所述应用添加到所述白名单或将所述应用添加到所述黑名单的请求。

19.如权利要求15所述的系统，其中，所述软件还包含使所述处理器执行包括以下各项的动作的指令：

将更新发送到所述可编程设备，其中包括对于所述可编程设备本地维护的已知良好应用的白名单或已知恶意软件应用的黑名单的更新。

20.一种可编程设备，包括：

可编程控制设备；

配置成控制所述可编程控制设备的操作系统；

耦合到所述可编程控制设备的存储子系统；以及

软件，当由所述可编程控制设备执行所述软件时，使所述可编程控制设备：

相对于要安装在所述可编程设备上的应用的所确定的一个或多个非许可特征来评估由所述应用所请求的许可集以确定所述应用的风险等级，包括指令，所述指令当被执行时使所述可编程控制设备：

相对于所确定的所述一个或多个非许可特征来确定所述许可集是否过分；以及

如果所确定的风险等级超出预定风险阈值，则阻止所述应用的安装。

21.如权利要求20所述的可编程设备，其中，所述软件还包括在被执行时使所述可编程控制设备执行以下动作的指令：

向所述可编程设备的用户标识所述风险等级；以及

询问所述用户是否安装所述应用。

22.如权利要求20所述的可编程设备，其中，所确定的非许可特征包括以下至少一项：

在应用市场中所述应用的分类；

与所述应用的来源关联的信任级别；

来自已知为良好的应用的来源的应用的数量；以及

所述应用的功能性。

23.如权利要求20所述的可编程设备，其中，所述可编程设备是移动可编程设备。

24.如权利要求20所述的可编程设备，其中，所述软件还包括在被执行时使所述可编程控制设备执行以下动作的指令：

响应于评估所述许可集，更新白名单或黑名单。

25.如权利要求20所述的可编程设备，其中，所述软件还包括在被执行时使所述可编程控制设备执行以下动作的指令：

将关于所述应用的信息发送到远程服务器。