CN104462997B - 一种保护移动终端上工作数据的方法、装置和系统 - Google Patents
一种保护移动终端上工作数据的方法、装置和系统 Download PDFInfo
- Publication number
- CN104462997B CN104462997B CN201410734258.4A CN201410734258A CN104462997B CN 104462997 B CN104462997 B CN 104462997B CN 201410734258 A CN201410734258 A CN 201410734258A CN 104462997 B CN104462997 B CN 104462997B
- Authority
- CN
- China
- Prior art keywords
- application
- workspace
- event
- personal area
- file
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2149—Restricted operating environment
Abstract
本发明公开了一种保护移动终端上工作数据的方法、装置和系统。所述方法包括：在移动终端中建立用于存储工作数据的工作区；监听工作区中的应用或文件调用个人区中的应用的事件，禁止工作区中的应用或文件调用个人区中的应用。本发明提供的技术方案通过在移动终端中建立工作区将工作数据与个人数据隔离开来，保证了不同类型数据的纯净性，便于用户的管理和调用；并通过禁止工作数据调用个人应用，降低了工作数据被恶意应用非法读取、篡改、共享和外泄的风险，保证了移动终端上工作数据的安全性。
Description
技术领域
本发明涉及数据安全领域，具体涉及一种保护移动终端上工作数据的方法、装置和系统。
背景技术
随着移动互联网技术的迅速发展，移动终端日益普及，以手机、PAD为代表的个人移动终端设备逐渐进入企业领域。未来企业将会支持员工在个人移动终端上运行企业办公应用程序，这类被称为BYOD(Bring Your Own Device，自带设备办公)的现象为企业安全和管理带来了新的挑战。
由于BYOD允许员工通过个人移动终端进行便捷的办公，因此，用户的移动终端中不仅保存有如文档、邮件、联系人信息、通话记录等工作相关数据，同时也会保存用户的个人数据。在这种情况下，工作数据与个人数据存储在相同的区域内，造成了数据的混杂和污染，一方面，不利于用户对移动终端中数据的管理和调用；另一方面，用户的个人数据可以随意访问、存取、调用工作数据，导致工作数据暴露在非法程序的攻击之下，存在被非法上传、共享、篡改和外泄的风险，完全无法保证移动终端上工作数据的安全性。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的一种保护移动终端上工作数据的方法、装置和系统。
依据本发明的一个方面，提供了一种保护移动终端上工作数据的方法，该方法包括：
在移动终端中建立用于存储工作数据的工作区；
监听工作区中的应用或文件调用个人区中的应用的事件；
禁止工作区中的应用或文件调用个人区中的应用。
可选地，所述禁止工作区中的应用或文件调用个人区中的应用包括：
获取工作区中的应用或文件调用个人区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为工作区中的相应应用；
或者，
对于工作区中的应用或文件调用能够执行特定操作的应用的事件，过滤个人区中的应用对所述事件的响应，只允许工作区中的应用对所述事件进行响应并执行特定的操作。
可选地，所述禁止工作区中的应用或文件调用个人区中的应用包括：
对于工作区中的应用或文件调用能够执行特定操作的应用的事件，获取该事件对应的Intent消息；
根据所述Intent消息查询指定应用市场中是否存在能够执行所述特定操作的应用；
如果存在，判断移动终端的本地是否安装了能够执行所述特定操作的应用；如果移动终端的本地已安装且安装在工作区，将所述Intent消息发送给安装在工作区的能够执行所述特定操作的应用；如果移动终端的本地未安装或者已安装但安装在个人区，则跳转到所述指定应用市场的下载所述能够执行所述特定操作的应用的界面；
如果不存在，则提示用户不存在能够执行所述特定操作的应用。
可选地，如果移动终端的本地已安装且安装在工作区，将所述Intent消息发送给安装在工作区的能够执行所述特定操作的应用包括：
如果工作区中已安装一个能够执行所述特定操作的应用，则将所述Intent消息发送给该应用；
如果工作区中已安装多个能够执行所述特定操作的应用，则提示用户进行选择，将所述Intent消息发送给用户选择的应用。
可选地，所述获取该事件对应的Intent消息包括：
对于工作区中的应用或文件进行加壳处理，由加壳程序获取相应的Intent消息。
可选地，所述指定应用市场为应用来源确认可靠的应用市场，或者为应用经过安全处理的应用市场。
可选地，该方法进一步包括：监听个人区中的应用或文件调用工作区中的应用的事件；禁止个人区中的应用或文件调用工作区中的应用。
可选地，所述禁止个人区中的应用或文件调用工作区中的应用包括：
获取个人区中的应用或文件调用工作区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为个人区中的相应应用；
或者，
对于个人区中的应用或文件调用能够执行特定操作的应用的事件，过滤工作区中的应用对所述事件的响应，只允许个人区中的应用对所述事件进行响应并执行特定的操作。
可选地，该方法进一步包括：
对工作区中的工作数据采用加密方式保存；
对系统事件进行监测，并判断所述系统事件是否符合预设的规则，当符合时，在所述工作区内执行与所述系统事件对应的操作。
依据本发明的另一个方面，提供了一种保护移动终端上工作数据的装置，该装置包括：
建立单元，适于在移动终端中建立用于存储工作数据的工作区；移动终端中的除工作区以外的区域称为个人区；
第一监听单元，适于监听工作区中的应用或文件调用个人区中的应用的事件；
第一隔离单元，适于禁止工作区中的应用或文件调用个人区中的应用。
可选地，所述第一隔离单元，适于获取工作区中的应用或文件调用个人区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为工作区中的相应应用；或者，适于对于工作区中的应用或文件调用能够执行特定操作的应用的事件，过滤个人区中的应用对所述事件的响应，只允许工作区中的应用对所述事件进行响应并执行特定的操作。
可选地，所述第一隔离单元，适于对于工作区中的应用或文件调用能够执行特定操作的应用的事件，获取该事件对应的Intent消息；根据所述Intent消息查询指定应用市场中是否存在能够执行所述特定操作的应用；如果存在，判断移动终端的本地是否安装了能够执行所述特定操作的应用；如果移动终端的本地已安装且安装在工作区，将所述Intent消息发送给安装在工作区的能够执行所述特定操作的应用；如果移动终端的本地未安装或者已安装但安装在个人区，则跳转到所述指定应用市场的下载所述能够执行所述特定操作的应用的界面；如果不存在，则提示用户不存在能够执行所述特定操作的应用。
可选地，
所述第一隔离单元，适于当工作区中已安装一个能够执行所述特定操作的应用时，将所述Intent消息发送给该应用；适于当工作区中已安装多个能够执行所述特定操作的应用时，提示用户进行选择，将所述Intent消息发送给用户选择的应用。
可选地，所述第一隔离单元，适于对工作区中的应用或文件进行加壳处理，通过加壳程序获取相应的Intent消息。
可选地，所述指定应用市场为应用来源确认可靠的应用市场，或者为应用经过安全处理的应用市场。
可选地，该装置进一步包括：
第二监听单元，适于监听个人区中的应用或文件调用工作区中的应用的事件；
第二隔离单元，适于禁止个人区中的应用或文件调用工作区中的应用。
可选地，所述第二隔离单元，适于获取个人区中的应用或文件调用工作区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为个人区中的相应应用；或者，适于，对于个人区中的应用或文件调用能够执行特定操作的应用的事件，过滤工作区中的应用对所述事件的响应，只允许个人区中的应用对所述事件进行响应并执行特定的操作。
可选地，该装置进一步包括：
加密保护单元，适于对工作区中的工作数据采用加密方式保存；以及适于对系统事件进行监测，并判断所述系统事件是否符合预设的规则，当符合时，在所述工作区内执行与所述系统事件对应的操作。
依据本发明的又一个方面，提供了一种在移动终端工作区内安装应用的系统，其中，该系统包括：
服务器，用于接收企业管理客户端发出的查看应用的列表的请求；根据所述企业管理客户端所属的用户，确定所述用户所属的用户组；将本地保存的所述用户组对应的应用的列表下发至所述企业管理客户端，所述用户组对应的应用的列表中包含自由安装的应用和强制安装的应用的信息；
至少一个企业管理客户端，每个企业管理客户端位于一个移动终端中，用于向服务器发送查看应用的列表的请求；接收所述服务器下发的所述应用的列表并在移动终端工作区内显示给用户；根据所述应用的列表中的强制安装的应用的信息，下载所述强制安装的应用的安装包并静默安装在移动终端的工作区内；以及当接收到用户发出的自由安装请求时，根据所述应用的列表，下载所请求的自由安装的应用的安装包并安装于移动终端的工作区内；
每个企业管理客户端包括如上述任一项所述的保护移动终端上工作数据的装置。
可选地，所述移动终端为手机或平板电脑中。
有上述可知，本发明提供的技术方案通过在移动终端中建立工作区将工作数据与个人数据隔离开来，保证了不同类型数据的纯净性，便于用户的管理和调用；并通过禁止工作数据调用个人应用，降低了工作数据被恶意应用非法读取、篡改、共享和外泄的风险，保证了移动终端上工作数据的安全性。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了根据本发明一个实施例的一种保护移动终端上工作数据的方法的流程图；
图2示出了根据本发明另一个实施例的禁止工作区中的应用或文件调用个人区中的应用的方法的流程图
图3示出了根据本发明一个实施例的一种保护移动终端上工作数据的装置的示意图；
图4示出了根据本发明另一个实施例的一种保护移动终端上工作数据的装置的示意图；
图5示出了根据本发明又一个实施例的一种保护移动终端上工作数据的装置的示意图；
图6示出了根据本发明一个实施例的一种在移动终端工作区内安装应用的系统的组成以及应用场景示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
图1示出了根据本发明一个实施例的一种保护移动终端上工作数据的方法的流程图。如图1所示，该方法包括：
步骤S110，在移动终端中建立用于存储工作数据的工作区。
依据本步骤，在移动终端的使用过程中，为了方便管理终端中的工作数据和个人数据，在移动终端中划出一部分存储空间，配置新的权限信息，用于存储工作数据，称为工作区；而工作区以外的区域可以用于存储用户的个人数据，称为个人区。此外，为方便操作，个人区和工作区可以具有不同的用户界面(User Interface，UI)，但是可以共同使用某些系统文件。
用户大部分时间可能会涉及个人区的操作，而比较少的时间涉及工作区的操作。当涉及工作区的操作时，由于休息等原因需要主动对设备进行加密，或者由于设备太久没有操作信息而自动进行加密，在设备加密后再次解密会回到工作区，需要进行个人区的权限信息的解密，再进行工作区的权限信息的解密，才能进入工作区。加密方式可以包括PIN(Personal Identification Number，个人识别密码)码加密、滑动手势加密、语音加密和/或设备动作加密。
PIN码(PIN1)是移动设备SIM(Subscriber Identity Module客户识别模块)卡的个人识别密码，PIN码加密是移动设备的一种安全措施，防止别人盗用SIM卡。采用PIM码加密，则可以用PIN码解密。
滑动手势可以是在设备的触控屏幕上利用触屏的轨迹模拟手势，也可以是采用鼠标等输入设备控制光标模拟手势，然后利用模拟的手势进行加密。例如在九宫格上用手势模拟“Z”进行加密。若设备采用滑动手势加密，则可以用滑动手势解密。
语音可以包括音色、音调、音频等声音的特性，语音加密强度高，也是保护设备的一种安全措施。若设备采用语音加密，则可以用语音解密。
设备动作可以采用设备中的重力传感器等进行识别。设备动作加密可以是采用预约动作进行识别加密，例如连续上下晃动三次。若设备采用设备动作加密，则可以用设备动作解密。
当然，上述加密方式只是作为示例，在实施本发明实施例时，可以根据实际情况设置其他加密方式，例如字符加密、密钥加密、其他平台账号加密等等，本发明实施例对此不加以限制。另外，除了上述判断处理方法外，本领域技术人员还可以根据实际需要采用其它加密方式，本发明实施例对此也不加以限制。
工作区内支持的操作包括:在工作区收发邮件,在工作区查看、新建日历,在工作区添加、编辑联系人,在工作区内浏览网页，展现可用企业应用，查看详情、下载安装，更新已安装企业应用，查看已安装企业应用。
步骤S120，监听工作区中的应用或文件调用个人区中的应用的事件，禁止工作区中的应用或文件调用个人区中的应用。
例如，要打开工作区中的PDF文档时，需要调用相关的PDF文档查看器，本步骤使得只能调用工作区中已有的PDF文档查看器，而不能调用个人区中的PDF文档查看器。
图1所示的方法通过在移动终端中建立工作区将工作数据与个人数据隔离开来，保证了不同类型数据的纯净性，便于用户的管理和调用；并通过禁止工作数据调用个人应用，降低了工作数据被恶意应用非法读取、篡改、共享和外泄的风险，保证了移动终端上工作数据的安全性。
在本发明的一个实施例中，如图1所示方法的步骤S120禁止工作区中的应用或文件调用个人区中的应用可以通过以下方案实现：
方案一，获取工作区中的应用或文件调用个人区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为工作区中的相应应用。
或者，方案二，对于工作区中的应用或文件调用能够执行特定操作的应用的事件，过滤个人区中的应用对事件的响应，只允许工作区中的应用对事件进行响应并执行特定的操作。
上述方案所述的Intent消息是解决Android的各项组件之间的通讯，负责对应用中要执行的动作进行描述。例如，用户要打开一个.txt格式的文件，点击该.txt文件时，即发出一个描述打开该.txt文件动作的Intent消息，Android根据此Intent消息的描述，找到相应的文档查看器，将Intent消息传递给要调用的文档查看器，完成打开该.txt文件的动作。每个Intent消息中可以带有action(动作)、data(数据)、extra data(扩展数据)、component name(组件名)中至少一项的信息。由于component name中包括package name(包名)和class name(类名)，通过指定package name或class name的方式指定目标应用的Intent称为Explicit Intent(显式Intent消息)，不指定目标应用的可以一对多的Intent称为Implicit Intent(隐式Intent消息)。
在本发明的一个实施例中，上述方案一的过程包括：在Intent消息到达相应的应用之前，利用hook函数拦截Intent消息，修改Intent消息的component name，使得该Intent消息的目标应用指定为工作区中的相应应用，从而禁止工作区中的数据调用个人区中的应用。
当一个没有指定目标应用的Intent消息发出后，移动终端中能够执行Intent消息所描述的特定操作的应用均会对该Intent消息进行响应，在本发明的一个实施例中，上述方案二即对个人区中的应用的响应进行拦截，只允许工作区中的应用的响应返回给系统，并执行特定的操作，从而禁止工作区中的数据调用个人区中的应用。
图2示出了根据本发明另一个实施例的禁止工作区中的应用或文件调用个人区中的应用的方法的流程图，该方法为对图1所示方法的步骤S120的进一步说明。如图2所示，该方法包括：
步骤S210，对于工作区中的应用或文件调用能够执行特定操作的应用的事件，获取该事件对应的Intent消息。
在本发明的一个实施例中，本步骤S210获取Intent消息的过程为：对于工作区中的应用或文件进行加壳处理，壳程序文件中包含hook函数，加壳程序利用hook函数拦截获取到工作区中的应用或文件在调用能够执行特定操作的应用时发送的Intent消息。
在本发明的一个实施例中，可以利用Java反射调用机制，将LoadApk与ActivityThread涉及的运行时配置信息用反射调用机制替换成指定目录中目标应用安装包的ClassLoader与资源，从而实现外壳应用在运行时对目标应用的加载。
步骤S220，根据Intent消息查询指定应用市场中是否存在能够执行特定操作的应用；是则执行步骤S230，否则执行步骤S260。
本步骤中，根据Intent消息包含的描述信息在指定应用市场中查询是否存在与描述信息相匹配的应用。在本发明的一个实施例中，指定应用市场是指：应用来源确认可靠的应用市场，或者为应用经过安全处理的应用市场。
步骤S230，判断移动终端的本地工作区中是否安装了能够执行特定操作的应用；是则执行步骤S240，否则执行步骤S250。
在本发明的一个实施例中，本步骤通过遍历移动终端本地工作区中安装的应用，查询是否有与步骤S220得到的相同的应用，如果工作区中已安装一个能够执行特定操作的应用，则继续执行步骤S240；如果工作区中已安装多个能够执行特定操作的应用，则通过Toast提示框提示用户进行选择，以用户选择的应用为目标应用，继续执行步骤S240。
步骤S240，将Intent消息发送给安装在工作区的能够执行特定操作的应用。
本步骤中的安装在工作区的能够执行特定操作的应用是指：唯一一个安装在工作区的能够执行特定操作的应用，或者，用户选择的安装在工作区的能够执行特定操作的应用。
步骤S250，跳转到指定应用市场的下载能够执行特定操作的应用的界面。
当移动终端本地的工作区中未安装能够执行特定操作的应用时，本步骤跳转到指定市场的下载界面，以供用户下载和安装。
步骤S260，提示用户不存在能够执行特定操作的应用。
在本发明的一个实施例中，图1所示的方法进一步包括：步骤S130，监听个人区中的应用或文件调用工作区中的应用的事件；禁止个人区中的应用或文件调用工作区中的应用。例如，要打开个人区中的PDF文档时，需要调用相关的PDF文档查看器，本步骤使得该PDF文档只能调用个人区中的PDF文档查看器，而不能调用工作区中的PDF文档查看器，杜绝了个人区中的数据对工作区中的应用的非法调用。
在本发明的一个实施例中，步骤S130所述的禁止个人区中的应用或文件调用工作区中的应用可以通过以下方案实现：方案一，获取个人区中的应用或文件调用工作区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为个人区中的相应应用；或者，方案二，对于个人区中的应用或文件调用能够执行特定操作的应用的事件，过滤工作区中的应用对事件的响应，只允许个人区中的应用对事件进行响应并执行特定的操作。
在本发明的一个实施例中，上述方案一的过程包括：在Intent消息到达相应的应用之前，利用hook函数拦截Intent消息，修改Intent消息的component name，使得该Intent消息的目标应用指定为个人区中的相应应用，从而禁止个人区中的数据调用工作区中的应用。
当一个没有指定目标应用的Intent消息发出后，移动终端中能够执行Intent消息所描述的特定操作的应用均会对该Intent消息进行响应，在本发明的一个实施例中，上述方案二即对工作区中的应用的响应进行拦截，只允许个人区中的应用的响应返回给系统，并执行特定的操作，从而禁止个人区中的数据调用工作区中的应用。
在本发明的一个实施例中，图1所示的方法进一步包括：
步骤S140，对工作区中的工作数据采用加密方式保存。
为了进一步保证工作区数据的安全，本步骤对工作区中的数据进行加密处理，用户可以为工作区的数据设置密码，当用户输入正确的密码时，加载解密程序，允许用户访问工作区中的数据。
步骤S150，对系统事件进行监测，并判断系统事件是否符合预设的规则，当符合时，在工作区内执行与系统事件对应的操作。
本步骤所述的系统事件包括：接收短信、发送短信、拨打电话、接听电话、发生未接来电、收发邮件以及联系人操作等移动终端系统能够支持的事件。
对系统事件进行监控时，对于不同的系统事件可采用不同的监控方法：
如电话拔打操作，通过StartActivity()函数可以监控拔打电话的事件行为，利用相应的挂钩插件可以对拔打电话操作建立事件行为监控。
短信操作，对应于SendTextMessage()之类的函数，同理，可以借助挂钩插件对这类函数建立事件行为监控。
联系人操作：一般对应于Query()、Insert()函数，挂钩此类函数可以实现对此类事件行为的监控捕获。
在本发明的一个实施例中，为了更好地对工作区的数据进行管理，移动终端中可以预先设置两个不同的通讯录：一个为工作通讯录，另一个为个人通讯录，通讯录中可以保存联系人的电话、邮箱、即时通讯账号等联系方式；其中，工作通讯录保存在工作区中，个人通讯录保存在个人区中。在本实施例中，步骤S150所述的对系统事件进行监测，并判断系统事件是否符合预设的规则是指：对系统事件进行监测，判断与系统事件对应的联系人是否为工作联系人，是则，确认符合预设规则，并根据系统事件的类别在工作区内执行相应的操作；否则，确认不符合预设规则，并根据系统事件的类别在个人区内执行相应的操作。
图3示出了根据本发明一个实施例的一种保护移动终端上工作数据的装置的示意图。如图2所示，该保护移动终端上工作数据的装置300包括：
建立单元310，适于在移动终端中建立用于存储工作数据的工作区。
在移动终端的使用过程中，为了方便管理终端中的工作数据和个人数据，建立单元310在移动终端中划出一部分存储空间，配置新的权限信息，用于存储工作数据，称为工作区；而工作区以外的区域可以用于存储用户的个人数据，称为个人区。
第一监听单元320，适于监听工作区中的应用或文件调用个人区中的应用的事件；
第一隔离单元330，适于禁止工作区中的应用或文件调用个人区中的应用。
例如，要打开工作区中的.word文档时，需要调用相关的word文档查看器，本第一隔离单元330禁止工作区中的.word文档调用个人区中的word文档查看器，使其只能调用工作区中已有的word文档查看器。
图3所示的装置通过建立单元310在移动终端中建立工作区将工作数据与个人数据隔离开来，保证了不同类型数据的纯净性，便于用户的管理和调用；并通过第一隔离单元330禁止工作数据调用个人应用，降低了工作数据被恶意应用非法读取、篡改、共享和外泄的风险，保证了移动终端上工作数据的安全性。
在本发明的一个实施例中，图3所示装置的第一隔离单元330，适于获取工作区中的应用或文件调用个人区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为工作区中的相应应用；或者，适于对于工作区中的应用或文件调用能够执行特定操作的应用的事件，过滤个人区中的应用对事件的响应，只允许工作区中的应用对事件进行响应并执行特定的操作。
基于上文对Intent消息的介绍，在本发明的一个实施例中，图3所示装置的第一隔离单元330在Intent消息到达相应的应用之前，利用hook函数拦截Intent消息，修改Intent消息的component name，使得该Intent消息的目标应用指定为工作区中的相应应用，从而禁止工作区中的数据调用个人区中的应用。或者，图3所示装置的第一隔离单元330拦截住个人区中的应用关于Intent消息的响应，使之不能返回给系统，而只允许工作区中的应用关于Intent消息的响应返回给系统，并执行特定的操作，从而禁止工作区中的数据调用个人区中的应用。
在本发明的一个实施例中，图3所示装置的第一隔离单元330，适于对于工作区中的应用或文件调用能够执行特定操作的应用的事件，获取该事件对应的Intent消息；根据Intent消息查询指定应用市场中是否存在能够执行特定操作的应用；如果存在，判断移动终端的本地是否安装了能够执行特定操作的应用；如果移动终端的本地已安装且安装在工作区，将Intent消息发送给安装在工作区的能够执行特定操作的应用；如果移动终端的本地未安装或者已安装但安装在个人区，则跳转到指定应用市场的下载能够执行特定操作的应用的界面；如果不存在，则提示用户不存在能够执行特定操作的应用。其中，指定应用市场是指：应用来源确认可靠的应用市场，或者为应用经过安全处理的应用市场。本实施例中的第一隔离单元330执行了如图2所示的禁止工作区中的应用或文件调用个人区中的应用的方法的整个流程，在此不再赘述。
在本发明的一个实施例中，在第一隔离单元330获知移动终端的本地的工作区内存在能够执行特定操作的应用后，进一步包括：如果工作区中已安装一个能够执行特定操作的应用，第一隔离单元330将Intent消息发送给该应用；如果工作区中已安装多个能够执行特定操作的应用，则第一隔离单元330通过Toast提示框提示用户进行选择，将Intent消息发送给用户选择的应用。
在本发明的一个实施例中，图3所示装置的第一隔离单元330，适于对工作区中的应用或文件进行加壳处理，通过加壳程序获取相应的Intent消息。在本发明的一个实施例中，壳程序文件中包含hook函数，加壳程序利用hook函数拦截获取到工作区中的应用或文件在调用能够执行特定操作的应用时发送的Intent消息。
图4示出了根据本发明另一个实施例的一种保护移动终端上工作数据的装置的示意图。如图4所示，该保护移动终端上工作数据的装置400包括：建立单元410、第一监听单元420、第一隔离单元430、第二监听单元440和第二隔离单元450。
其中，建立单元410、第一监听单元420、第一隔离单元430分别与图3所示装置的建立单元310、第一监听单元320、第一隔离单元330对应相同，在此不再赘述。
第二监听单元440，适于监听个人区中的应用或文件调用工作区中的应用的事件；
第二隔离单元450，适于禁止个人区中的应用或文件调用工作区中的应用。
例如，要打开个人区中的.word文档时，需要调用相关的word文档查看器，本第二隔离单元450禁止了人区中的.word文档对工作区中的word文档查看器的调用，使得该.word文档只能调用个人区中的word文档查看器，杜绝了个人区中的数据对工作区中的应用的非法调用。
在本发明的一个实施例中，图4所示装置的第二隔离单元450，适于获取个人区中的应用或文件调用工作区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为个人区中的相应应用；或者，适于，对于个人区中的应用或文件调用能够执行特定操作的应用的事件，过滤工作区中的应用对事件的响应，只允许个人区中的应用对事件进行响应并执行特定的操作。
图5示出了根据本发明又一个实施例的一种保护移动终端上工作数据的装置的示意图。如图5所示，该保护移动终端上工作数据的装置500包括：建立单元510、第一监听单元520、第一隔离单元530、第二监听单元540、第二隔离单元550和加密保护单元560。
其中，建立单元510、第一监听单元520、第一隔离单元530、第二监听单元540、第二隔离单元550分别与图4所示装置的建立单元410、第一监听单元420、第一隔离单元430、第二监听单元440、第二隔离单元450对应相同，在此不再赘述。
加密保护单元560，适于对工作区中的工作数据采用加密方式保存；以及适于对系统事件进行监测，并判断系统事件是否符合预设的规则，当符合时，在所述工作区内执行与系统事件对应的操作。
为了进一步保证工作区数据的安全，加密保护单元560对工作区中的数据进行加密处理，用户可以为工作区的数据设置密码，当用户输入正确的密码时，加载解密程序，允许用户访问工作区中的数据。系统事件包括：接收短信、发送短信、拨打电话、接听电话、发生未接来电、收发邮件等移动终端系统能够支持的事件。
在本发明的一个实施例中，为了更好地对工作区的数据进行管理，加密保护单元560在移动终端中可以预先设置两个不同的通讯录：一个为工作通讯录，另一个为个人通讯录，其中，工作通讯录保存在工作区中，个人通讯录保存在个人区中。在本实施例中，加密保护单元560对系统事件进行监测，并判断系统事件是否符合预设的规则是指：对系统事件进行监测，判断与系统事件对应的联系人是否为工作联系人，是则，确认符合预设规则，并根据系统事件的类别在工作区内执行相应的操作；否则，确认不符合预设规则，并根据系统事件的类别在个人区内执行相应的操作。
图6示出了根据本发明一个实施例的一种在移动终端工作区内安装应用的系统的组成以及应用场景示意图。参考图6，该系统包括：
服务器，用于接收企业管理客户端发出的查看应用的列表的请求；根据所述企业管理客户端所属的用户，确定所述用户所属的用户组；将本地保存的所述用户组对应的应用的列表下发至所述企业管理客户端，所述用户组对应的应用的列表中包含自由安装的应用和强制安装的应用的信息；
至少一个企业管理客户端，每个企业管理客户端位于一个移动终端中，用于向服务器发送查看应用的列表的请求；接收所述服务器下发的所述应用的列表并在移动终端工作区内显示给用户；根据所述应用的列表中的强制安装的应用的信息，下载所述强制安装的应用的安装包并静默安装在移动终端的工作区内；以及当接收到用户发出的自由安装请求时，根据所述应用的列表，下载所请求的自由安装的应用的安装包并安装于移动终端的工作区内；
每个企业管理客户端包括如图3-5中任一个所述的保护移动终端上工作数据的装置。
在本发明的一个实施例中，所述移动终端为手机或平板电脑中，即所述企业管理客户端位于手机或平板电脑中。
如图6所示，该系统包括部署在企业内网的服务器端和需要被管理的移动终端上的企业管理客户端。其中：服务器的主要功能包括：根据企业管理员的配置，管理、下发企业内网的应用，以及管理、下发安全策略等；企业管理客户端提供移动终端中的工作区的功能，具体来说，其主要功能包括：数据防泄密，执行安全策略等，数据防泄密包括数据加密、数据隔离等。
服务器侧的安全策略信息可以由管理员根据不同的用户组来设置，由于不同用户组具有不同的权限，相应地，不同用户组内的用户对应的基于地理位置的安全策略可能不同，例如权限较高的用户组对应的基于地理位置的安全策略可能会较宽松，反之，则会严格一些，限制多一些。服务器可以根据使用企业管理客户端的用户所在的用户组，将该用户组对应的基于地理位置的安全策略作为该企业管理客户端的安全策略下发给企业管理客户端。
较佳地，服务器侧的安全策略信息可以使用配置文件的方式进行下发，配置文件中包含键-值(Key-Value)，企业管理客户端侧预先保存了各种不同策略的Key和Value的值，收到配置文件后，解析该配置文件中Key和Value的值即可了解服务下发的安全策略的具体含义，这样的方式，一方面可以降低企业管理客户端和服务器之间的交互时的耗费的流量，另一方面可以提高数据传输的效率和可靠性。
在本发明的一个实施例中，在图6所示的系统中可以设置以下的应用市场规则,将确定的所述用户组对应的应用的列表下发至所述企业管理客户端时，还将预先配置的该用户组对应的应用的黑名单或白名单一同下发至企业管理客户端；
所述黑名单中定义禁止安装的应用；所述白名单定义所述工作区内允许安装的应用；所述白名单中的应用不允许卸载。
黑白名单以及其规则管理如表1所示：
表1
应用程序可以是各种应用，例如：第三方应用和/或系统应用；一般泛指应用程序进行的相对表现较明显的操作，例如：创建读写文件、访问注册表、连接网络等。但是，并不是应用程序的所有行为都需要进行监测，因此，在对应用程序的当前行为进行监测之前，首先判断所述当前行为是否是待监测行为。较佳地，可以根据数据库或监测列表中存储的待监测行为信息来判断应用程序的当前行为是否是待监测行为。或，根据所述待监测行为的属性信息来判断应用程序的当前行为是否是待监测行为；如，根据所述待监测行为的属性信息中的方法结构体的属性来判断应用程序的当前行为是否是待监测行为。
综上所述，本发明提供的技术方案通过在移动终端中建立工作区将工作数据与个人数据隔离开来，保证了不同类型数据的纯净性，便于用户的管理和调用；通过禁止工作区数据与个人区数据的相互调用，杜绝了个人应用对工作区数据的随意访问和存取，并通过对工作区中的数据加密保存和对系统事件的权限判断，降低了工作数据被恶意应用非法读取、篡改、共享和外泄的风险，进一步保证了移动终端上工作数据的安全性。
需要说明的是：
在此提供的算法和显示不与任何特定计算机、虚拟装置或者其它设备固有相关。各种通用装置也可以与基于在此的示教一起使用。根据上面的描述，构造这类装置所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的一种保护移动终端上工作数据的装置和系统中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。
本发明公开了A1、一种保护移动终端上工作数据的方法，其中，该方法包括：
在移动终端中建立用于存储工作数据的工作区；
监听工作区中的应用或文件调用个人区中的应用的事件；
禁止工作区中的应用或文件调用个人区中的应用。
A2、如A1所述的方法，其中，所述禁止工作区中的应用或文件调用个人区中的应用包括：
获取工作区中的应用或文件调用个人区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为工作区中的相应应用；
或者，
对于工作区中的应用或文件调用能够执行特定操作的应用的事件，过滤个人区中的应用对所述事件的响应，只允许工作区中的应用对所述事件进行响应并执行特定的操作。
A3、如A1所述的方法，其中，所述禁止工作区中的应用或文件调用个人区中的应用包括：
对于工作区中的应用或文件调用能够执行特定操作的应用的事件，获取该事件对应的Intent消息；
根据所述Intent消息查询指定应用市场中是否存在能够执行所述特定操作的应用；
如果存在，判断移动终端的本地是否安装了能够执行所述特定操作的应用；如果移动终端的本地已安装且安装在工作区，将所述Intent消息发送给安装在工作区的能够执行所述特定操作的应用；如果移动终端的本地未安装或者已安装但安装在个人区，则跳转到所述指定应用市场的下载所述能够执行所述特定操作的应用的界面；
如果不存在，则提示用户不存在能够执行所述特定操作的应用。
A4、如A3所述的方法，其中，如果移动终端的本地已安装且安装在工作区，将所述Intent消息发送给安装在工作区的能够执行所述特定操作的应用包括：
如果工作区中已安装一个能够执行所述特定操作的应用，则将所述Intent消息发送给该应用；
如果工作区中已安装多个能够执行所述特定操作的应用，则提示用户进行选择，将所述Intent消息发送给用户选择的应用。
A5、如A3所述的方法，其中，所述获取该事件对应的Intent消息包括：
对于工作区中的应用或文件进行加壳处理，由加壳程序获取相应的Intent消息。
A6、如A3所述的方法，其中，
所述指定应用市场为应用来源确认可靠的应用市场，或者为应用经过安全处理的应用市场。
A7、如A1所述的方法，其中，该方法进一步包括：
监听个人区中的应用或文件调用工作区中的应用的事件；
禁止个人区中的应用或文件调用工作区中的应用。
A8、如A7所述的方法，其中，所述禁止个人区中的应用或文件调用工作区中的应用包括：
获取个人区中的应用或文件调用工作区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为个人区中的相应应用；
或者，
对于个人区中的应用或文件调用能够执行特定操作的应用的事件，过滤工作区中的应用对所述事件的响应，只允许个人区中的应用对所述事件进行响应并执行特定的操作。
A9、如A1-A8中任一项所述的方法，其中，该方法进一步包括：
对工作区中的工作数据采用加密方式保存；
对系统事件进行监测，并判断所述系统事件是否符合预设的规则，当符合时，在所述工作区内执行与所述系统事件对应的操作。
本发明还公开了B10、一种保护移动终端上工作数据的装置，其中，该装置包括：
建立单元，适于在移动终端中建立用于存储工作数据的工作区；
第一监听单元，适于监听工作区中的应用或文件调用个人区中的应用的事件；
第一隔离单元，适于禁止工作区中的应用或文件调用个人区中的应用。
B11、如B10所述的装置，其中，
所述第一隔离单元，适于获取工作区中的应用或文件调用个人区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为工作区中的相应应用；或者，适于对于工作区中的应用或文件调用能够执行特定操作的应用的事件，过滤个人区中的应用对所述事件的响应，只允许工作区中的应用对所述事件进行响应并执行特定的操作。
B12、如B10所述的装置，其中，
所述第一隔离单元，适于对于工作区中的应用或文件调用能够执行特定操作的应用的事件，获取该事件对应的Intent消息；根据所述Intent消息查询指定应用市场中是否存在能够执行所述特定操作的应用；如果存在，判断移动终端的本地是否安装了能够执行所述特定操作的应用；如果移动终端的本地已安装且安装在工作区，将所述Intent消息发送给安装在工作区的能够执行所述特定操作的应用；如果移动终端的本地未安装或者已安装但安装在个人区，则跳转到所述指定应用市场的下载所述能够执行所述特定操作的应用的界面；如果不存在，则提示用户不存在能够执行所述特定操作的应用。
B13、如B12所述的装置，其中，
所述第一隔离单元，适于当工作区中已安装一个能够执行所述特定操作的应用时，将所述Intent消息发送给该应用；适于当工作区中已安装多个能够执行所述特定操作的应用时，提示用户进行选择，将所述Intent消息发送给用户选择的应用。
B14、如B12所述的装置，其中，
所述第一隔离单元，适于对工作区中的应用或文件进行加壳处理，通过加壳程序获取相应的Intent消息。
B15、如B12所述的装置，其中，
所述指定应用市场为应用来源确认可靠的应用市场，或者为应用经过安全处理的应用市场。
B16、如B10所述的装置，其中，该装置进一步包括：
第二监听单元，适于监听个人区中的应用或文件调用工作区中的应用的事件；
第二隔离单元，适于禁止个人区中的应用或文件调用工作区中的应用。
B17、如B16所述的装置，其中，
所述第二隔离单元，适于获取个人区中的应用或文件调用工作区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为个人区中的相应应用；或者，适于，对于个人区中的应用或文件调用能够执行特定操作的应用的事件，过滤工作区中的应用对所述事件的响应，只允许个人区中的应用对所述事件进行响应并执行特定的操作。
B18、如B10-B17中任一项所述的装置，其中，该装置进一步包括：
加密保护单元，适于对工作区中的工作数据采用加密方式保存；以及适于对系统事件进行监测，并判断所述系统事件是否符合预设的规则，当符合时，在所述工作区内执行与所述系统事件对应的操作。
本发明还公开了C19、一种在移动终端工作区内安装应用的系统，其中，该系统包括：
服务器，用于接收企业管理客户端发出的查看应用的列表的请求；根据所述企业管理客户端所属的用户，确定所述用户所属的用户组；将本地保存的所述用户组对应的应用的列表下发至所述企业管理客户端，所述用户组对应的应用的列表中包含自由安装的应用和强制安装的应用的信息；
至少一个企业管理客户端，每个企业管理客户端位于一个移动终端中，用于向服务器发送查看应用的列表的请求；接收所述服务器下发的所述应用的列表并在移动终端工作区内显示给用户；根据所述应用的列表中的强制安装的应用的信息，下载所述强制安装的应用的安装包并静默安装在移动终端的工作区内；以及当接收到用户发出的自由安装请求时，根据所述应用的列表，下载所请求的自由安装的应用的安装包并安装于移动终端的工作区内；
每个企业管理客户端包括如权利要求B10-B18中任一项所述的保护移动终端上工作数据的装置。
C20、如C19所述的系统，其中，所述移动终端为手机或平板电脑中。
Claims (18)
1.一种保护移动终端上工作数据的方法，其中，该方法包括：
在移动终端中建立用于存储工作数据的工作区；
监听工作区中的应用或文件调用个人区中的应用的事件；
禁止工作区中的应用或文件调用个人区中的应用；
其中，所述禁止工作区中的应用或文件调用个人区中的应用包括：
获取工作区中的应用或文件调用个人区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为工作区中的相应应用，其中，所述Intent消息为显式Intent消息；
或者，
对于工作区中的应用或文件调用能够执行特定操作的应用的事件，过滤个人区中的应用对所述事件的响应，只允许工作区中的应用对所述事件进行响应并执行特定的操作，其中，所述事件对应有隐式Intent消息。
2.如权利要求1所述的方法，其中，所述禁止工作区中的应用或文件调用个人区中的应用包括：
对于工作区中的应用或文件调用能够执行特定操作的应用的事件，获取该事件对应的Intent消息；
根据所述Intent消息查询指定应用市场中是否存在能够执行所述特定操作的应用；
如果存在，判断移动终端的本地是否安装了能够执行所述特定操作的应用；如果移动终端的本地已安装且安装在工作区，将所述Intent消息发送给安装在工作区的能够执行所述特定操作的应用；如果移动终端的本地未安装或者已安装但安装在个人区，则跳转到所述指定应用市场的下载所述能够执行所述特定操作的应用的界面；
如果不存在，则提示用户不存在能够执行所述特定操作的应用。
3.如权利要求2所述的方法，其中，如果移动终端的本地已安装且安装在工作区，将所述Intent消息发送给安装在工作区的能够执行所述特定操作的应用包括：
如果工作区中已安装一个能够执行所述特定操作的应用，则将所述Intent消息发送给该应用；
如果工作区中已安装多个能够执行所述特定操作的应用，则提示用户进行选择，将所述Intent消息发送给用户选择的应用。
4.如权利要求2所述的方法，其中，所述获取该事件对应的Intent消息包括：
对于工作区中的应用或文件进行加壳处理，由加壳程序获取相应的Intent消息。
5.如权利要求2所述的方法，其中，
所述指定应用市场为应用来源确认可靠的应用市场，或者为应用经过安全处理的应用市场。
6.如权利要求1所述的方法，其中，该方法进一步包括：
监听个人区中的应用或文件调用工作区中的应用的事件；
禁止个人区中的应用或文件调用工作区中的应用。
7.如权利要求6所述的方法，其中，所述禁止个人区中的应用或文件调用工作区中的应用包括：
获取个人区中的应用或文件调用工作区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为个人区中的相应应用；
或者，
对于个人区中的应用或文件调用能够执行特定操作的应用的事件，过滤工作区中的应用对所述事件的响应，只允许个人区中的应用对所述事件进行响应并执行特定的操作。
8.如权利要求1-7中任一项所述的方法，其中，该方法进一步包括：
对工作区中的工作数据采用加密方式保存；
对系统事件进行监测，并判断所述系统事件是否符合预设的规则，当符合时，在所述工作区内执行与所述系统事件对应的操作。
9.一种保护移动终端上工作数据的装置，其中，该装置包括：
建立单元，适于在移动终端中建立用于存储工作数据的工作区；
第一监听单元，适于监听工作区中的应用或文件调用个人区中的应用的事件；
第一隔离单元，适于禁止工作区中的应用或文件调用个人区中的应用；
所述第一隔离单元，适于获取工作区中的应用或文件调用个人区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为工作区中的相应应用，其中，所述Intent消息为显式Intent消息；或者，适于对于工作区中的应用或文件调用能够执行特定操作的应用的事件，过滤个人区中的应用对所述事件的响应，只允许工作区中的应用对所述事件进行响应并执行特定的操作，其中，所述事件对应有隐式Intent消息。
10.如权利要求9所述的装置，其中，
所述第一隔离单元，适于对于工作区中的应用或文件调用能够执行特定操作的应用的事件，获取该事件对应的Intent消息；根据所述Intent消息查询指定应用市场中是否存在能够执行所述特定操作的应用；如果存在，判断移动终端的本地是否安装了能够执行所述特定操作的应用；如果移动终端的本地已安装且安装在工作区，将所述Intent消息发送给安装在工作区的能够执行所述特定操作的应用；如果移动终端的本地未安装或者已安装但安装在个人区，则跳转到所述指定应用市场的下载所述能够执行所述特定操作的应用的界面；如果不存在，则提示用户不存在能够执行所述特定操作的应用。
11.如权利要求10所述的装置，其中，
所述第一隔离单元，适于当工作区中已安装一个能够执行所述特定操作的应用时，将所述Intent消息发送给该应用；适于当工作区中已安装多个能够执行所述特定操作的应用时，提示用户进行选择，将所述Intent消息发送给用户选择的应用。
12.如权利要求10所述的装置，其中，
所述第一隔离单元，适于对工作区中的应用或文件进行加壳处理，通过加壳程序获取相应的Intent消息。
13.如权利要求10所述的装置，其中，
所述指定应用市场为应用来源确认可靠的应用市场，或者为应用经过安全处理的应用市场。
14.如权利要求9所述的装置，其中，该装置进一步包括：
第二监听单元，适于监听个人区中的应用或文件调用工作区中的应用的事件；
第二隔离单元，适于禁止个人区中的应用或文件调用工作区中的应用。
15.如权利要求14所述的装置，其中，
所述第二隔离单元，适于获取个人区中的应用或文件调用工作区中的应用的事件对应的Intent消息，修改所获取的Intent消息的目标应用为个人区中的相应应用；或者，适于，对于个人区中的应用或文件调用能够执行特定操作的应用的事件，过滤工作区中的应用对所述事件的响应，只允许个人区中的应用对所述事件进行响应并执行特定的操作。
16.如权利要求9-15中任一项所述的装置，其中，该装置进一步包括：
加密保护单元，适于对工作区中的工作数据采用加密方式保存；以及适于对系统事件进行监测，并判断所述系统事件是否符合预设的规则，当符合时，在所述工作区内执行与所述系统事件对应的操作。
17.一种在移动终端工作区内安装应用的系统，其中，该系统包括：
服务器，用于接收企业管理客户端发出的查看应用的列表的请求；根据所述企业管理客户端所属的用户，确定所述用户所属的用户组；将本地保存的所述用户组对应的应用的列表下发至所述企业管理客户端，所述用户组对应的应用的列表中包含自由安装的应用和强制安装的应用的信息；
至少一个企业管理客户端，每个企业管理客户端位于一个移动终端中，用于向服务器发送查看应用的列表的请求；接收所述服务器下发的所述应用的列表并在移动终端工作区内显示给用户；根据所述应用的列表中的强制安装的应用的信息，下载所述强制安装的应用的安装包并静默安装在移动终端的工作区内；以及当接收到用户发出的自由安装请求时，根据所述应用的列表，下载所请求的自由安装的应用的安装包并安装于移动终端的工作区内；
每个企业管理客户端包括如权利要求9-16中任一项所述的保护移动终端上工作数据的装置。
18.如权利要求17所述的系统，其中，所述移动终端为手机或平板电脑中。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201410734258.4A CN104462997B (zh) | 2014-12-04 | 2014-12-04 | 一种保护移动终端上工作数据的方法、装置和系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201410734258.4A CN104462997B (zh) | 2014-12-04 | 2014-12-04 | 一种保护移动终端上工作数据的方法、装置和系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN104462997A CN104462997A (zh) | 2015-03-25 |
| CN104462997B true CN104462997B (zh) | 2017-05-24 |
Family
ID=52909019
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201410734258.4A Active CN104462997B (zh) | 2014-12-04 | 2014-12-04 | 一种保护移动终端上工作数据的方法、装置和系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN104462997B (zh) |
Families Citing this family (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105262909B (zh) * | 2015-11-30 | 2020-06-12 | 腾讯科技（深圳）有限公司 | 一种移动终端使用方法、移动终端及存储介质 |
| CN105488661A (zh) * | 2015-12-01 | 2016-04-13 | 无锡颖检企业管理咨询有限公司 | 企业移动信息咨询终端 |
| CN105404827B (zh) * | 2015-12-24 | 2018-11-06 | 北京奇虎科技有限公司 | 控制应用程序之间通信的方法、装置及系统 |
| CN105610671A (zh) * | 2016-01-11 | 2016-05-25 | 北京奇虎科技有限公司 | 一种终端数据保护的方法及装置 |
| CN105844149A (zh) * | 2016-03-21 | 2016-08-10 | 乐视网信息技术（北京）股份有限公司 | 一种终端使用控制方法和装置 |
| CN106850701B (zh) * | 2017-04-13 | 2020-10-27 | 深信服科技股份有限公司 | 一种移动终端分享隔离方法及系统 |
| CN111339543B (zh) * | 2020-02-27 | 2023-07-14 | 深信服科技股份有限公司 | 一种文件处理方法及装置、设备、存储介质 |
| CN113835889A (zh) * | 2021-09-24 | 2021-12-24 | 青岛海信移动通信技术股份有限公司 | 获取输入事件的方法和相关装置 |
| CN113835933B (zh) * | 2021-11-26 | 2022-03-15 | 北京指掌易科技有限公司 | 数据管理方法、装置、介质及电子设备 |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103544447B (zh) * | 2013-05-30 | 2016-10-12 | Tcl集团股份有限公司 | 一种基于安卓系统的防止机密信息泄露的方法和终端 |
| CN103685266B (zh) * | 2013-12-10 | 2016-11-09 | 北京奇虎科技有限公司 | 企业数据的保护方法和装置 |
| CN103647784B (zh) * | 2013-12-20 | 2016-02-17 | 北京奇虎科技有限公司 | 一种公私隔离的方法和装置 |
| CN103905651A (zh) * | 2014-04-30 | 2014-07-02 | 北京邮电大学 | 智能终端中应用权限管理方法及系统 |
| CN104036202B (zh) * | 2014-06-27 | 2017-12-19 | 中科创达软件股份有限公司 | 一种隔离企业应用的方法和设备 |
-
2014
- 2014-12-04 CN CN201410734258.4A patent/CN104462997B/zh active Active
Also Published As
| Publication number | Publication date |
|---|---|
| CN104462997A (zh) | 2015-03-25 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN104462997B (zh) | 一种保护移动终端上工作数据的方法、装置和系统 | |
| US11259183B2 (en) | Determining a security state designation for a computing device based on a source of software | |
| US20210240848A1 (en) | Detecting an attempted access of personal information on client computing devices | |
| US10257207B2 (en) | Managed clone applications | |
| Lee et al. | An empirical study of wireless carrier authentication for {SIM} swaps | |
| JP2022542061A (ja) | ランサムウェアの検出及び軽減のためのシステム及び方法 | |
| CN103647784B (zh) | 一种公私隔离的方法和装置 | |
| US10311247B2 (en) | Method and system for isolating secure communication events from a non-secure application | |
| WO2015096695A1 (zh) | 一种应用程序的安装控制方法、系统及装置 | |
| CN106230843A (zh) | 一种为智能手机配置云虚拟手机的方法、服务器和系统 | |
| EP3089068A1 (en) | Application program management method, device, terminal, and computer storage medium | |
| Hamandi et al. | Android SMS malware: Vulnerability and mitigation | |
| US11641581B2 (en) | Security management on a mobile device | |
| CN103685266B (zh) | 企业数据的保护方法和装置 | |
| Oh et al. | Best security practices for android, blackberry, and iOS | |
| JP2007510207A (ja) | ユーザにコンテンツを割り当てる方法 | |
| CN107623907B (zh) | eSIM卡锁网方法、终端及锁网认证服务器 | |
| CN105247534B (zh) | 访问控制装置及访问控制系统 | |
| Sikder et al. | A survey on android security: development and deployment hindrance and best practices | |
| CN107509180B (zh) | 一种自动加密短信的方法、存储设备及移动终端 | |
| Taylor et al. | Digital evidence from mobile telephone applications | |
| US20160316330A1 (en) | Method and device for business and private region separation | |
| CN105653904B (zh) | 应用锁屏的处理方法、装置及移动终端 | |
| US11418393B1 (en) | Remediation of detected configuration violations | |
| US9049169B1 (en) | Mobile email protection for private computer networks |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| TA01 | Transfer of patent application right |
Effective date of registration: 20170327 Address after: 100080 Beijing, Suzhou Street, No., building on the ground floor, Building 29, No. 035, No. 12 Applicant after: BEIJING QIHU CETENG TECHNOLOGY CO., LTD. Address before: 100088 Beijing city Xicheng District xinjiekouwai Street 28, block D room 112 (Desheng Park) Applicant before: Beijing Qihu Technology Co., Ltd. Applicant before: Qizhi Software (Beijing) Co., Ltd. |
|
| TA01 | Transfer of patent application right | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| CP03 | Change of name, title or address |
Address after: 100016 1773, 15 / F, 17 / F, building 3, No.10, Jiuxianqiao Road, Chaoyang District, Beijing Patentee after: Sanliu0 Digital Security Technology Group Co.,Ltd. Address before: 100080 035, 12 / F, Weiya building, 29 Suzhou street, Haidian District, Beijing Patentee before: BEIJING QIHU CETENG SCIENCE & TECHNOLOGY Co.,Ltd. |
|
| CP03 | Change of name, title or address |