CN104853346A - 一种实现移动终端数据流向不可旁路的方法及系统 - Google Patents

Abstract

本发明提供了一种实现移动终端数据流向不可旁路的方法，在移动终端操作系统之下部署高保证安全内核和分区通信控制模块；将移动终端的资源分为数据源分区、安全处理模块分区和通信分区；数据源分区将用户数据封装为IPC消息；高保证安全内核为所述IPC消息添加标签，并将添加标签后的IPC消息发送给分区通信控制模块；分区通信控制模块对带有标签的IPC消息进行鉴别，在确认IPC消息安全后将该IPC消息发送给高保证安全内核，由高保证安全内核转发给安全处理模块分区；安全处理模块分区用于对所述带有标签的IPC消息进行安全处理，通信分区用于对接收到的带有标签的IPC消息进行解析并发送至无线空口。本发明所述方法能够实现移动移动终端数据流向不可旁路的目的。

Description

一种实现移动终端数据流向不可旁路的方法及系统

技术领域

本发明涉及通信技术领域，具体涉及一种实现移动终端数据流向不可旁路的方法及系统。

背景技术

普通移动终端语音等数据在空中以明文的形式传输，存在被窃听的风险。专用移动终端语音等数据在通信处理器进行无线发送之前，经专用处理模块的处理，在空中以密文的形式传输，防止被窃听。专用终端实现密文传输，关键要保证专用终端内部数据流向的正确实现，以防止专用处理模块被绕过，导致语音等数据未经专用处理就直接以明文形式通过无线空口发送出去。

实现移动终端数据流向不可旁路的方法可分为硬件方案和软件方案。

(1)硬件方案通常需要采用流过式硬件架构设计。

移动终端处理器通常包括应用处理器和通信处理器，部分移动终端采用单芯片处理器解决方案——即应用处理器和通信处理器在一颗芯片内部，其他移动终端采用应用处理器和通信处理器相互分离的解决方案。

一种流过式硬件架构方法是在移动终端的音频输入器件与移动终端处理器之间部署专用处理模块。确保音频数据物理上需要先流过专用处理模块，实现移动终端数据流向不可旁路。

另一种流过式硬件架构方法是在移动终端的应用处理器和通信处理器之间部署专用处理模块，此方法要求移动终端的应用处理器和通信处理器互相分离，且音频输入器件与应用处理器相连接。确保音频数据物理上需要先流过专用处理模块才能通过通信处理器发送到无线空口。

(2)软件方案通常采用软件路由式架构设计。

一种软件路由架构方法是使用移动终端操作系统提供的钩子(Hook)技术，通过改变移动终端软件系统中语音数据的传递过程，由移动终端主控软件控制语音数据的路由流向，先路由至专用处理模块，再由专用处理模块路由回主控软件，最后在由主控软件将处理后的语音数据路由至通信处理器，并发送到无线空口。

然而，上述传统方法的实现技术具有如下不足：

(1)硬件方案的实现通常需要改变移动终端的硬件架构，一般情况下定制硬件架构成本较高、研制周期较长，存在难以快速满足用户对移动终端不断提出的新需求。

(2)软件方案的实现通常要求移动终端的操作系统能够高保证的提供软件开发API接口。考虑到现代移动终端操作系统代码量庞大(一般移动终端操作系统的代码量在千万行以上)，自身安全漏洞就难以评估，无法高保证的实现软件路由式架构。

发明内容

针对现有技术中的缺陷，本发明提供一种实现移动终端数据流向不可旁路的方法及系统，能够实现移动移动终端数据流向不可旁路的目的。

为解决上述技术问题，本发明提供以下技术方案：

第一方面，本发明提供了一种实现移动终端数据流向不可旁路的方法，在移动终端操作系统之下部署高保证安全内核和分区通信控制模块；

将移动终端的资源进行分区，分为数据源分区、安全处理模块分区和通信分区；其中，所述数据源分区用于获取移动终端产生的用户数据；安全处理模块分区用于对用户数据进行安全处理；通信分区用于对数据进行发送；

所述数据源分区获取移动终端产生的用户数据后，将用户数据封装为进程间通信IPC消息，并将所述IPC消息发送给所述高保证安全内核；

所述高保证安全内核为所述IPC消息添加标签，并将添加标签后的IPC消息发送给分区通信控制模块；其中标签内容包括时间、序号、数据源分区标识ID、安全处理模块分区ID和信息流向；

分区通信控制模块对带有标签的IPC消息进行鉴别，在确认IPC消息安全后将该IPC消息发送给高保证安全内核，由高保证安全内核转发给安全处理模块分区；

所述安全处理模块分区用于对所述IPC消息进行安全处理，且在进行安全处理后给该IPC消息添加新的标签，并将添加新标签后的IPC消息发送高保证安全内核，由高保证安全内核转发给通信分区；其中新的标签内容包括时间、序号、安全处理模块分区ID、通信分区ID和信息流向；

所述通信分区用于对接收到的带有标签的IPC消息进行解析，通过移动终端的射频装置发送至无线空口。

其中，所述分区通信控制模块基于所述带有标签的IPC消息上携带的通信双方的标识，根据通信双方之间预先设定的访问控制规则或信息流控制规则确定该IPC消息的通信请求是否被允许。

其中，在分区通信控制模块确定所述带有标签的IPC消息的通信请求被允许时，将该IPC消息发送给安全处理模块分区；在分区通信控制模块确定所述带有标签的IPC消息的通信请求不被允许时，将该IPC消息舍弃。

其中，所述安全处理模块分区用于对所述IPC消息进行安全处理包括：对所述带有标签的IPC消息进行加密。

其中，所述分区通信控制模块可以嵌入到所述高保证安全内核中或置于所述高保证安全内核外。

第二方面，本发明提供了一种实现移动终端数据流向不可旁路的系统，包括分区模块、高保证安全内核模块和分区通信控制模块；

所述分区模块用于将移动终端的资源进行分区，分为数据源分区、安全处理模块分区和通信分区；其中，所述数据源分区用于获取移动终端产生的用户数据；安全处理模块分区用于对用户数据进行安全处理；通信分区用于对数据进行发送；

所述数据源分区获取移动终端产生的用户数据后，将用户数据封装为进程间通信IPC消息，并将所述IPC消息发送给所述高保证安全内核模块；

所述高保证安全内核模块为接收到的IPC消息添加标签，并将添加标签后的IPC消息发送给分区通信控制模块；其中标签内容包括时间、序号、数据源分区标识ID、安全处理模块分区ID和信息流向；

所述分区通信控制模块对带有标签的IPC消息进行鉴别，在确认IPC消息安全后将该IPC消息发送给高保证安全内核，由高保证安全内核转发给安全处理模块分区；

所述安全处理模块分区用于对所述IPC消息进行安全处理，并在进行安全处理后给该IPC消息添加新的标签，并将添加新标签后的IPC消息发送高保证安全内核，由高保证安全内核转发给通信分区；其中新的标签内容包括时间、序号、安全处理模块分区ID、通信分区ID和信息流向；

所述通信分区用于对接收到的带有标签的IPC消息进行解析，通过移动终端的射频装置发送至无线空口。

其中，所述分区通信控制模块基于所述带有标签的IPC消息上携带的通信双方的标识，根据通信双方之间预先设定的访问控制规则或信息流控制规则确定该IPC消息的通信请求是否被允许。

其中，在分区通信控制模块确定所述带有标签的IPC消息的通信请求被允许时，将该IPC消息发送给安全处理模块分区；在分区通信控制模块确定所述带有标签的IPC消息的通信请求不被允许时，将该IPC消息舍弃。

其中，所述安全处理模块分区用于对所述IPC消息进行安全处理包括：对所述带有标签的IPC消息进行加密。

其中，所述分区通信控制模块可以嵌入到所述高保证安全内核模块中或置于所述高保证安全内核模块外。

由上述技术方案可知，本发明提供的实现移动终端数据流向不可旁路的方法，在不改变移动终端硬件的前提下，利用高保证安全内核为其上的移动终端操作系统提供底层资源的分区隔离，使用加标签的IPC消息进行通信，增加分区通信控制模块，实现细颗粒度的数据流向控制，高保证的实现预先设定的安全策略并支持审计功能，确保语音、短信、数据等各种信息流向的不可旁路。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一提供的实现移动终端数据流向不可旁路的方法的流程图；

图2示出了在部署高保证安全内核和分区通信控制模块时所述分区通信控制模块嵌入到所述高保证安全内核中的示意图；

图3示出了在部署高保证安全内核和分区通信控制模块时所述分区通信控制模块置于所述高保证安全内核外的示意图；

图4示出了分区通信控制模块对从数据源分区到安全处理模块分区之间传输的数据进行鉴别的过程示意图；

图5示出了本发明所述方法应用在移动终端安全语音通信过程的示例图；

图6是本发明实施例二提供的实现移动终端数据流向不可旁路的系统的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1是本发明实施例一提供的实现移动终端数据流向不可旁路的方法的流程图，参见图1，本实施例一提供了一种实现移动终端数据流向不可旁路的方法，包括如下步骤：

步骤101：在移动终端操作系统之下部署高保证安全内核和分区通信控制模块。

在本步骤中，所述分区通信控制模块可以嵌入到所述高保证安全内核中(见图2)或置于所述高保证安全内核外(见图3)。本实施例中高保证安全内核应只具备最基本的功能，如进程通信、任务调度，地址空间等。高保证安全内核的代码量应较少(代码量应在几万行以内)、功能简单，可进行正确性评估和形式化证明。

步骤102：将移动终端的资源进行分区，分为数据源分区、安全处理模块分区和通信分区；其中，所述数据源分区用于获取移动终端产生的用户数据；安全处理模块分区用于对用户数据进行安全处理；通信分区用于对数据进行发送。

步骤103：所述数据源分区获取移动终端产生的用户数据后，将用户数据封装为进程间通信IPC消息，并将所述IPC消息发送给所述高保证安全内核。

在本步骤中，例如，数据源分区获取麦克产生的语音，经过Codec转换，声码器处理形成语音帧明文，将语音帧明文封装为进程间通信(Inter-Process Communication，简称IPC)消息，送入高保证安全内核。

步骤104：所述高保证安全内核为所述IPC消息添加标签，并将添加标签后的IPC消息发送给分区通信控制模块；其中标签内容包括时间、序号、数据源分区标识ID、安全处理模块分区ID和信息流向。

在本步骤中，高保证安全内核对IPC原语操作进行了修改，使得各分区间只按照唯一的指定的方式即IPC消息进行通信。高保证安全内核修改了传统的IPC原语，如send、receive等，使IPC消息能携带足够的信息如：时间、流水号、通信双方ID和数据流向等，以保证信息能够充分描述通信双方的场景，供分区通信控制模块的安全策略做出精确的决策，做到数据信息流可溯源，可导向。其中标签的设计原则是在不增加IPC通信负担、影响系统整体性能的前提下，尽可能的在标签中携带足够多的信息以充分描述通信双方的场景，供分区通信控制模块做出细粒度的决策，以供数据信息流可溯源，可导向。

步骤105：分区通信控制模块对带有标签的IPC消息进行鉴别，在确认IPC消息安全后将该IPC消息发送给高保证安全内核，由高保证安全内核转发给安全处理模块分区。

在本步骤中，所述分区通信控制模块完成IPC消息的中转。分区通信控制模块基于所述带有标签的IPC消息上携带的通信双方的标识，依据两者之间预先设定的访问控制规则或信息流控制规则决定消息通信请求是否被允许。若分区通信控制模块判决结果允许通信，则将通信消息路由至相应的功能分区(对于该步骤，将消息路由至安全处理模块分区)；若分区通信控制模块判决结果不允许通信，则将通信消息舍弃。分区通信控制模块处理全部的通信消息，根据预先设定的安全策略消息鉴别与判断，严格控制移动终端中的信息流，并提供审计功能。

参见图4，其中分区A表示数据源分区、分区B表示安全处理模块分区。数据源分区在获取数据后，将数据封装为IPC消息，并发送给高保证安全内核，高保证安全内核对该IPC添加标签，并将带标签的IPC发送给分区通信控制模块，分区通信控制模块分解预先设定的安全策略或控制规则，做出相应的判决决策，当分区通信控制模块判决该IPC消息为非法消息时，终止该IPC消息的传送，直接丢弃该IPC消息。当分区通信控制模块判决该IPC消息为合法消息时，删除该IPC消息上携带的标签，并发送给高保证内核，由高保证内核发送给安全处理模块分区。

步骤106：所述安全处理模块分区用于对所述IPC消息进行安全处理，且在进行安全处理后给该IPC消息添加新的标签，并将添加新标签后的IPC消息发送高保证安全内核，由高保证安全内核转发给通信分区；其中新的标签内容包括时间、序号、安全处理模块分区ID、通信分区ID和信息流向。

在本步骤中，所述安全处理模块分区用于对所述IPC消息进行安全处理包括：对所述带有标签的IPC消息进行加密。

步骤107：所述通信分区用于对接收到的带有标签的IPC消息进行解析，通过移动终端的射频装置发送至无线空口。

上面为本发明实施例提供的实现移动终端数据流向不可旁路的方法的步骤流程，下面以移动终端安全语音通信为例，详细解释上述实施例一所述的方法。图5展示了语音数据从麦克产生，经由专用处理模块处理，再通过无线发射模块送向无线空口的数据流向。其中麦克模块属于上述的数据源分区，专用处理模块属于上述的安全处理模块分区，无线发射模块属于上述的通信分区。其中，分区通信控制模块实现在高保证安全内核内部，消息传递使用加标签的IPC通信方式。具体工作方式如下：

数据源分区获取麦克产生的语音，经过Codec转换，声码器处理形成语音帧明文，将语音帧明文封装为IPC消息，送入高保证安全内核。

高保证安全内核为IPC消息添加标签。标签内容可以包括时间、序号、数据源分区ID、专用处理模块分区ID和信息流向。

加过标签的IPC消息在通过分区通信控制模块的检测后，路由至专用处理模块分区。

专用处理模块分区将IPC消息组装成语音帧，并对语音帧进行特殊处理形成专用语音帧。专用处理模块将专用语音帧装为加标签的IPC消息，路由至无线发射模块分区。

无线发射模块分区对收到的加标签的IPC消息进行解析，再通过移动终端的射频装置发送至无线空口。

上述处理过程的每一个加标签的IPC消息均流经高保证安全内核，并通过高保证安全内核中的分区通信控制模块的进行处理，正确的执行安全策略，检查消息发送的合法性，严格控制信息流的流向，消除数据流向旁路风险。

本发明实施例提供的实现移动终端数据流向不可旁路的方法，在不改变移动终端硬件的前提下，利用高保证安全内核为其上的移动终端操作系统提供底层资源的分区隔离，使用加标签的IPC消息进行通信，增加分区通信控制模块，实现细颗粒度的数据流向控制，高保证的实现预先设定的安全策略并支持审计功能，确保语音、短信、数据等各种信息流向的不可旁路。

在本发明实施例中，分区通信控制模块能够实现在高保证安全内核内部或外部。实现在内部具有较高的分区间通信效率，但增加了高保证安全内核的代码量和复杂度；实现在外部具有可信计算基小的特点，但分区间通信效率相对低一些。

本发明实施例中的高保证安全内核运行在移动终端操作系统的下面，为其上的移动终端软件系统提供一个健壮的运行基础。

本发明实施例中基于高保证安全内核提供资源隔离机制实现的不同软件系统间的分区隔离，在高保证安全内核之上形成不同的资源处理逻辑实体，不同分区之间按照预定的方式进行通信。

本发明实施例中的进程间通信IPC消息为分区间通信的唯一方式，高保证安全内核的中断、异常、系统调用全部以IPC的方式进行信息传递。

本发明实施例中的分区通信控制模块提供安全审计的功能，分区间的数据依据安全策略进行流动，审计记录全部合法/非法操作。

本发明实施例所提供的方法不受现有操作系统的限制，可实现在Android，Windows Phone，iOS、Linux等各种移动终端操作系统，也可实现在固定、卫星终端操作系统中。

图6是本发明实施例二提供的实现移动终端数据流向不可旁路的系统的结构示意图，参见图6，本发明实施例二提供了一种实现移动终端数据流向不可旁路的系统，包括分区模块11、高保证安全内核模块22和分区通信控制模块33；

所述分区模块11用于将移动终端的资源进行分区，分为数据源分区111、安全处理模块分区112和通信分区113；其中，所述数据源分区111用于获取移动终端产生的用户数据；安全处理模块分区112用于对用户数据进行安全处理；通信分区113用于对数据进行发送；

所述数据源分区111获取移动终端产生的用户数据后，将用户数据封装为进程间通信IPC消息，并将所述IPC消息发送给所述高保证安全内核模块；

所述高保证安全内核模块22为接收到的IPC消息添加标签，并将添加标签后的IPC消息发送给分区通信控制模块33；其中标签内容包括时间、序号、数据源分区标识ID、安全处理模块分区ID和信息流向；

所述分区通信控制模块33对带有标签的IPC消息进行检测，在确认IPC消息安全后将该IPC消息发送给高保证安全内核，由高保证安全内核转发给安全处理模块分区112；

所述安全处理模块分区112用于对所述带有标签的IPC消息进行安全处理，并在进行安全处理后给该IPC消息添加新的标签，并将添加新标签后的IPC消息发送高保证安全内核，由高保证安全内核转发给通信分区113；其中新的标签内容包括时间、序号、安全处理模块分区ID、通信分区ID和信息流向；

所述通信分区113用于对接收到的带有标签的IPC消息进行解析，通过移动终端的射频装置发送至无线空口。

其中，所述分区通信控制模块33基于所述带有标签的IPC消息上携带的通信双方的标识，根据通信双方之间预先设定的访问控制规则或信息流控制规则确定该IPC消息的通信请求是否被允许。

其中，在所述分区通信控制模块33确定所述带有标签的IPC消息的通信请求被允许时，将该IPC消息发送给安全处理模块分区；在分区通信控制模块33确定所述带有标签的IPC消息的通信请求不被允许时，将该IPC消息舍弃。

其中，所述安全处理模块分区112用于对所述带有标签的IPC消息进行安全处理包括：对所述带有标签的IPC消息进行加密。

其中，所述分区通信控制模块33可以嵌入到所述高保证安全内核模块22中或置于所述高保证安全内核模块22外。

本发明实施例所述的系统其实现原理和有益效果与上述方法实施例相同或类似，此处不再赘述。

以上实施例仅用于说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种实现移动终端数据流向不可旁路的方法，其特征在于，在移动终端操作系统之下部署高保证安全内核和分区通信控制模块；

将移动终端的资源进行分区，分为数据源分区、安全处理模块分区和通信分区；其中，所述数据源分区用于获取移动终端产生的用户数据；安全处理模块分区用于对用户数据进行安全处理；通信分区用于对数据进行发送；

所述数据源分区获取移动终端产生的用户数据后，将用户数据封装为进程间通信IPC消息，并将所述IPC消息发送给所述高保证安全内核；

所述高保证安全内核为所述IPC消息添加标签，并将添加标签后的IPC消息发送给分区通信控制模块；其中标签内容包括时间、序号、数据源分区标识ID、安全处理模块分区ID和信息流向；

分区通信控制模块对带有标签的IPC消息进行鉴别，在确认IPC消息安全后将该IPC消息发送给高保证安全内核，由高保证安全内核转发给安全处理模块分区；

所述安全处理模块分区用于对所述IPC消息进行安全处理，且在进行安全处理后给该IPC消息添加新的标签，并将添加新标签后的IPC消息发送高保证安全内核，由高保证安全内核转发给通信分区；其中新的标签内容包括时间、序号、安全处理模块分区ID、通信分区ID和信息流向；

所述通信分区用于对接收到的带有标签的IPC消息进行解析，通过移动终端的射频装置发送至无线空口。

2.根据权利要求1所述的方法，其特征在于，所述分区通信控制模块基于所述带有标签的IPC消息上携带的通信双方的标识，根据通信双方之间预先设定的访问控制规则或信息流控制规则确定该IPC消息的通信请求是否被允许。

3.根据权利要求2所述的方法，其特征在于，在分区通信控制模块确定所述带有标签的IPC消息的通信请求被允许时，将该IPC消息发送给安全处理模块分区；在分区通信控制模块确定所述带有标签的IPC消息的通信请求不被允许时，将该IPC消息舍弃。

4.根据权利要求1所述的方法，其特征在于，所述安全处理模块分区用于对所述IPC消息进行安全处理包括：对所述带有标签的IPC消息进行加密。

5.根据权利要求1所述的方法，其特征在于，所述分区通信控制模块可以嵌入到所述高保证安全内核中或置于所述高保证安全内核外。

6.一种实现移动终端数据流向不可旁路的系统，其特征在于，包括分区模块、高保证安全内核模块和分区通信控制模块；

所述分区模块用于将移动终端的资源进行分区，分为数据源分区、安全处理模块分区和通信分区；其中，所述数据源分区用于获取移动终端产生的用户数据；安全处理模块分区用于对用户数据进行安全处理；通信分区用于对数据进行发送；

所述数据源分区获取移动终端产生的用户数据后，将用户数据封装为进程间通信IPC消息，并将所述IPC消息发送给所述高保证安全内核模块；

所述高保证安全内核模块为接收到的IPC消息添加标签，并将添加标签后的IPC消息发送给分区通信控制模块；其中标签内容包括时间、序号、数据源分区标识ID、安全处理模块分区ID和信息流向；

所述分区通信控制模块对带有标签的IPC消息进行鉴别，在确认IPC消息安全后将该IPC消息发送给高保证安全内核，由高保证安全内核转发给安全处理模块分区；

所述安全处理模块分区用于对所述IPC消息进行安全处理，并在进行安全处理后给该IPC消息添加新的标签，并将添加新标签后的IPC消息发送高保证安全内核，由高保证安全内核转发给通信分区；其中新的标签内容包括时间、序号、安全处理模块分区ID、通信分区ID和信息流向；

所述通信分区用于对接收到的带有标签的IPC消息进行解析，通过移动终端的射频装置发送至无线空口。

7.根据权利要求6所述的系统，其特征在于，所述分区通信控制模块基于所述带有标签的IPC消息上携带的通信双方的标识，根据通信双方之间预先设定的访问控制规则或信息流控制规则确定该IPC消息的通信请求是否被允许。

8.根据权利要求7所述的系统，其特征在于，在分区通信控制模块确定所述带有标签的IPC消息的通信请求被允许时，将该IPC消息发送给安全处理模块分区；在分区通信控制模块确定所述带有标签的IPC消息的通信请求不被允许时，将该IPC消息舍弃。

9.根据权利要求6所述的系统，其特征在于，所述安全处理模块分区用于对所述IPC消息进行安全处理包括：对所述带有标签的IPC消息进行加密。

10.根据权利要求6所述的系统，其特征在于，所述分区通信控制模块可以嵌入到所述高保证安全内核模块中或置于所述高保证安全内核模块外。