CN104933366B - 一种移动终端应用程序处理方法 - Google Patents

Abstract

本发明提供了一种移动终端应用程序处理方法，该方法包括：在移动终端下载安装包之前，对安装包依次进行静态检测、动态检测以及木马检测，在移动终端从应用网站下载安装包之后，利用安装包中的安全认证模块对安装包进行二次签名。本发明提出了一种移动终端应用程序处理方法，本发明提出了一种移动终端应用程序处理方法，通过实施安全检测技术和终端安全认证机制，可从应用网站到移动终端，保障安装包文件的安全。

Description

一种移动终端应用程序处理方法

技术领域

本发明涉及移动终端，特别涉及一种应用数据处理方法。

背景技术

在移动终端操作系统应用快速发展的同时，恶意安装包应用、恶意代码、诈骗软件等随之涌现。由于操作中心的开放性，部分恶意开发者在定制ROM时肆意破解篡改发布的安装包，在安装包编译后，通过植入大量的木马恶意代码来窃取用户信息，给操作系统用户带来了严重的隐私安全和经济损失，因此需要对移动终端进行应用审核。

然而，现有某些操作系统应用审核系统单凭第三方安全检测软件对相关安装包进行审核估计便发布应用网站，而当用户下载安装安装包时，终端并没有认证机制来保证其安全性。这种方式无法阻止恶意用户先下载安装包后对其篡改，然后再通过某些未被审核的应用网站转到操作系统用户。

发明内容

为解决上述现有技术所存在的问题，本发明提出了一种移动终端应用程序处理方法，包括：

在移动终端下载安装包之前，对安装包依次进行静态检测、动态检测以及木马检测，在移动终端从应用网站下载安装包之后，利用安装包中的安全认证模块对安装包进行二次签名。

优选地，所述移动终端的安装包中的安全认证模块包括嵌入安装包的安装器中的验证接口、安全代理和公钥证书存储区组成，其中安全代理实现验证核心工作的后台应用；

所述安全认证模块利用公钥和私钥，对待安装的安装包进行二次签名验证，在安装包系统签名之上，基于信任链传递机制进行二次签名算法，以操作系统原生签名为信任根，将信任不断向上传递到安装包的签名流程；

所述静态检测基于安全规则库的设计，以安装包反编译和面向对象语言的源代码静态分析技术为核心发现已知恶意代码片段，其中所述安全规则库是从源代码角度对操作系统应用中的耗费、隐私窃取的恶意行为的关键API调用进行总结和风险评级，以设定相应的检测规则；

所述静态检测首先利用反编译器对移动终端应用程序的虚拟机执行文件、系统描述文件进行反编译；其次，对反编译后Java源代码进行词法、语法解析，将分析结果转换成抽象语法树，匹配静态安全规则库中API对语法树进行控制流、数据流分析，然后查询引起恶意行为的关键API调用，数据流追踪被引入敏感数据的API，精确定位到程序中可能出现恶意行为的关键代码段；最后，输出静态检测结果；

所述动态检测分析包括在受控环境中运行应用程序并检测其行为，在程序运行期间对尚未添加入恶意代码库的新型程序进行识别，包括对应用软件的自动安装、启动、运行测试、卸载应用程序，并对整个测试过程的界面进行截图保存；从Linux内核层安全监控出发，利用系统调用拦截机制，内核层的安全监控模块动态加载到系统内核中，在动态测试的过程中，监控应用程序运行中的恶意行为，其包括发送短信、窃取用户隐私文件、后台自动联网；当安装包应用有调用行为时，内核层监控模块会记录调用行为，通过通信套接字，将信息传递给用户态的程序，并保存相应的检测报告。

本发明相比现有技术，具有以下优点：

通过实施安全检测技术和终端安全认证机制，可从应用网站到移动终端，保障安装包文件的安全。

附图说明

图1是根据本发明实施例的移动终端应用程序处理方法的流程图。

具体实施方式

下文与图示本发明原理的附图一起提供对本发明一个或者多个实施例的详细描述。结合这样的实施例描述本发明，但是本发明不限于任何实施例。本发明的范围仅由权利要求书限定，并且本发明涵盖诸多替代、修改和等同物。在下文描述中阐述诸多具体细节以便提供对本发明的透彻理解。出于示例的目的而提供这些细节，并且无这些具体细节中的一些或者所有细节也可以根据权利要求书实现本发明。

本发明除了利用静态和动态以及木马检测逐层加强安装包安全性，还可利用合法私钥，在移动终端中引入二次签名技术，通过对安装包二次签名，以保证其安全和可认证性。同时，在移动终端嵌入安装包安全认证模块，认证模块在应用安装过程中对安装包进行验证，判断它是否由合法安全认证，从而判定它是否为已被破解、被篡改过的打包“盗版软件”，以有效确保操作系统用户安全使用安装包。该系统通过多重安全检测技术和终端签名验证安全认证机制，可从“源”(应用网站)到“端”(移动终端)保障安装包文件的安全。此外，本发明还通过一个基于任务队列的调度子系统完成相关任务调度功能，具备高可靠性、高容错性、高效、高扩展性等特点，能够应对海量数据的并发处理和调度，同时可满足负载均衡的要求，实现了平台任务的高效处理和回收。

本操作系统应用审核认证系统主要由基于Web应用的安全审核中心和移动终端安装包安全认证模块构成。以安全检测技术为基础，审核中心能够检测发布到官方应用网站中的安装包安全，而移动终端安装包安全认证模块可利用合法公钥和私钥证书对待安装到终端的安装包文件进行签名验证。

基于Web应用的安全审核中心主要由用户层、应用层、存储层和网络层构成。用户层包括面向平台的使用对象，主要包括管理员、移动终端用户；应用层主要职责是接收用户层分发的各种任务、调度并匹配平台资源、回收安全检测和二次签名相关结果信息，最终将信息传递给存储层；存储层以数据库集群和磁盘阵列等形式完成各层对相应业务数据的快速存储和安全访问；网络层为中心网络连接、数据流量控制、网络运行状态控制等最基本网络数据传送服务。显然，应用层是审核中心的核心，下文围绕Web门户、调度子系统和功能引擎等三方面介绍平台核心应用层的体系结构。

Web门户：Web门户的主要功能是完成与用户层的交互工作，通过端口监听、查询分布式数据库完成检测结果的查询与分析、数据更新与整合、文件上传与下载、安装包应用状态查询、系统管理等功能。

调度子系统：调度子系统的主要功能是实现批量任务接收、调度、结果回收、结果数据存储等功能。基于任务队列和心跳反射机制，调度子系统根据评估系统性能，调度并匹配系统资源进而根据匹配结果分发任务，以保证系统资源池服务器集群的相对负载均衡。它主要包括3部分：

1)外部节点，调度子系统的对外接口。具有接收上层下发任务及检测结果、更新应用状态、同步安全检测规则库等基本数据库操作功能。

2)中心节点，任务队列模块根据提交的任务形成待分配的任务队列并提交给任务调度模块；其次，利用指定的调度算法，任务调度模块根据子节点心跳信息匹配资源与分配任务，形成待下发任务队列并向指定的资源节点下发任务；最后，当任务完成后，结果回收模块回收结果并存储数据库。

3)子节点，调度子系统的任务下发执行及系统性能评估部分。依据中心节点的任务下发指示、执行样本检测与验证业务、回传检测结果至上层节点、根据收集的系统相关软件或硬件性能(如CPU使用率、内存占用率等)信息持续向中心节点发送心跳。

功能引擎：功能引擎是具体功能执行模块，将具有特定安全策略的软件部署在服务器中Linux虚拟机上，包括静态、动态、木马检测引擎和安装包二次签名服务。

移动终端安装包的安全认证模块主要由嵌入安装包的安装器中的验证接口、安全代理(实现验证核心工作的后台应用)和公钥证书存储区组成。

具体流程如下：

首先，安装包中的安装器接收待激活安装的已签名安装包应用后，调用验证库中对外验证接口Verify(应用程序路径)启动安全代理。其次，安全代理在公钥证书存储区获取公钥证书，调用内部验证接口Verify并结合公钥证书对已签名安装包进行验证。最后，安全代理依次通过内部验证接口、外部验证接口将验证结果返回安装器。由于该认证模块仅在安装包中的安装器中嵌入了轻量级的验证接口，而验证过程中的各种复杂计算、公钥证书的提取等流程均由安全代理完成，因此可在有效地实现模块分离的同时，保证安装包中的安装器安全稳定地运行。

静态检测发现已知恶意代码片段；其次，动态检测发现未知恶意行为；最后，木马检测检验文件是否被病毒、蠕虫、木马及各类恶意软件感染。木马检测利用自动化检测脚本，上传安装包到由多个第三方病毒引擎组成的检测服务器完成安全检测。下面主要介绍静态和动态检测。

静态检测：基于安全规则库的设计，静态检测以安装包反编译和面向对象语言的源代码静态分析技术为核心发现已知恶意代码片段。其中，安全规则库是从源代码角度对操作系统应用中常见的耗费、隐私窃取等恶意行为的关键API调用进行总结和风险评级，来设定相应的检测规则。

首先，利用反编译器对移动终端应用程序的虚拟机执行文件、系统描述文件进行反编译。其次，对反编译后Java源代码进行词法、语法解析，将分析结果转换成抽象语法树，匹配静态安全规则库中API对语法树进行控制流、数据流分析。然后查询引起恶意行为的关键API调用，数据流追踪被引入敏感数据的API，精确定位到程序中可能出现恶意行为的关键代码段。最后，输出静态检测结果。

静态检测无法检测未知的恶意代码，同时它很难应对代码混淆、反射、加密等情况。针对静态检测的不足，需要进一步实施动态检测。动态检测分析包括在受控环境中运行一个应用程序并检测其行为，可以在程序运行期间对尚未添加入恶意代码库的新型程序进行识别。动态检测技术，一方面包括对应用软件的自动安装、启动、运行测试、卸载应用程序，并对整个测试过程的界面进行截图保存；另一方面从Linux内核层安全监控出发，利用系统调用拦截机制。内核层安全监控模块利用LKM技术动态加载到系统内核中，在动态测试的过程中，监控应用程序运行中的恶意行为，比如发送短信、窃取用户隐私文件、后台自动联网等。当安装包应用有调用行为时，内核层监控模块会记录调用行为，通过通信套接字，将信息传递给用户态的程序，并保存相应的检测报告。

移动终端安装包安全认证模块由新型的安装包二次签名技术保证，它利用合法公钥和私钥，对待安装的安装包进行二次签名验证。本发明在安装包系统签名之上，基于信任链传递机制设计一种新型的安装包二次签名算法，以保证认证模块的高效安全性。以操作系统原生签名为信任根，将信任不断向上传递到安装包二次签名流程。二次签名时，仅对MANIFEST.MF、CERT.SF、CERT.RSA二次签名，对其他文件不作任何处理，并将二次签名文件Sign.sig和公钥钥证信息文件Info.txt独立存放到META-INF下。验证时，通过合法公钥证书利用Sign.sig对MANIFEST.MF、CERT.SF、CERT.RSA进行验证，验证结果对用户进行风险提示，用户自行选择是否继续安装。该过程不仅可保证开发者自身签名文件的完整性，而且在安装包继续安装时，可进一步验证安装包中所有文件的完整性，而安装包文件一旦被改动将会导致验证无法顺利通过。

综上所述，本发明提出了一种移动终端应用程序处理方法，通过实施安全检测技术和终端安全认证机制，可从应用网站到移动终端，保障安装包文件的安全。

显然，本领域的技术人员应该理解，上述的本发明的各模块或各步骤可以用通用的计算系统来实现，它们可以集中在单个的计算系统上，或者分布在多个计算系统所组成的网络上，可选地，它们可以用计算系统可执行的程序代码来实现，从而，可以将它们存储在存储系统中由计算系统来执行。这样，本发明不限制于任何特定的硬件和软件结合。

应当理解的是，本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims (1)

1.一种移动终端应用程序处理方法，其特征在于，包括：

在移动终端下载安装包之前，对安装包依次进行静态检测、动态检测以及木马检测，在移动终端从应用网站下载安装包之后，利用安装包中的安全认证模块对安装包进行二次签名；

所述移动终端的安装包中的安全认证模块包括嵌入安装包的安装器中的验证接口、安全代理和公钥证书存储区，其中安全代理实现验证核心工作的后台应用；

所述安全认证模块利用公钥和私钥，对待安装的安装包进行二次签名验证，在安装包系统签名之上，基于信任链传递机制进行二次签名算法，以操作系统原生签名为信任根，将信任不断向上传递到安装包的签名流程；

所述静态检测基于安全规则库的设计，以安装包反编译和面向对象语言的源代码静态分析技术为核心发现已知恶意代码片段，其中所述安全规则库是从源代码角度对操作系统应用中的耗费、隐私窃取的恶意行为的关键API调用进行总结和风险评级，以设定相应的检测规则；

所述静态检测首先利用反编译器对移动终端应用程序的虚拟机执行文件和系统描述文件进行反编译；其次，对反编译后Java源代码进行词法和语法解析，将分析结果转换成抽象语法树，匹配静态安全规则库中API对语法树进行控制流和数据流分析，然后查询引起恶意行为的关键API调用，数据流追踪被引入敏感数据的API，精确定位到程序中可能出现恶意行为的关键代码段；最后，输出静态检测结果；

所述动态检测包括在受控环境中运行应用程序并检测其行为，在程序运行期间对尚未添加入恶意代码库的新型程序进行识别，包括对应用软件的自动安装、启动、运行测试和卸载应用程序，并对整个测试过程的界面进行截图保存；从Linux内核层安全监控出发，利用系统调用拦截机制，内核层的安全监控模块动态加载到系统内核中，在动态测试的过程中，监控应用程序运行中的恶意行为，其包括发送短信、窃取用户隐私文件和后台自动联网；当安装包应用有调用行为时，内核层监控模块会记录调用行为，通过通信套接字，将信息传递给用户态的程序，并保存相应的检测报告。