CN105094996A

CN105094996A - 基于动态权限验证的Android系统安全增强方法及系统

Info

Publication number: CN105094996A
Application number: CN201510430540.8A
Authority: CN
Inventors: 罗俊海; 曹赞; 任霄; 邹仕华; 高欢斌; 邹任乾
Original assignee: University of Electronic Science and Technology of China
Current assignee: University of Electronic Science and Technology of China
Priority date: 2015-07-21
Filing date: 2015-07-21
Publication date: 2015-11-25

Abstract

本发明公开了一种基于动态权限验证的Android系统安全增强方法及系统，方法包括以下步骤：S1、随时监听各个进程的请求，一旦发现某个进程发起服务请求则拦截该请求，并立即验证该进程的权限；S2、调用策略库，并访问被请求的客体已注册的服务接口，查询被请求的客体对当前主体进程的访问或者请求能够提供的服务范围，然后构建可信的策略配置方案；S3、根据策略配置方案进行操作。本发明通过动态权限验证和策略配置，实现了Android系统应用进程间安全通信与基于动态权限验证的可信服务配置技术紧耦合的安全增强方法，可以进一步增强可信安全，可广泛应用于对安全等级要求很高的环境中。

Description

基于动态权限验证的Android系统安全增强方法及系统

技术领域

本发明涉及一种适用于现有的国产操作系统的可信安全增强方法，特别涉及一种基于动态权限验证的Android系统安全增强方法及系统。

背景技术

随着移动终端的广泛使用，Android系统越来越受到用户和开发者的喜爱。一是因为Android是开放式系统，开发门槛低；二是因为有种类繁多的应用程序支持。由于Android是一个开放式的系统，在给用户和开发者带来便利的同时，也产生了许多安全隐患，如恶意软件篡改手机文件、私密数据泄漏、病毒入侵等。根据《2013上半年全球手机安全报告》显示，上半年查杀到的手机恶意软件共51084款，同比2012年上半年增长189％。其中Android平台是恶意软件感染的重点平台。因此，增强Android系统终端安全显得尤为重要。当前已经有多种实际的安全增强操作系统被设计和开发出来了。其中重要的有基于Flask体系结构的态策略安全操作系统，最有影响力的安全操作系统SecurityLinux和它的实现机制LSM(LinuxSecurityModel)。

Android是基于Linux内核的操作系统，其系统框架可大致分为四个主要层面，自底而上分别为硬件层、内核层、中间件层和应用程序层。内核层是Android系统的基础核心。中间件层可以细分为两层，靠近内核层的那一层主要包括Dalvik虚拟机、核心库和功能库；靠近应用程序层的这一层主要是向Android操作系统开发者提供的功能层面，使得Android应用开发者可以利用这些功能开发出更多的应用程序。应用程序层则是包含了许许多多的应用，比如邮件、电话和浏览器等。

Android应用间通信是通过中间件层提供的标准机制完成的，即基于Binder轻量型进程间通信(Inter-ProcessCommunication,IPC)。IPC根据应用组件的颗粒度粗细以不同的形式发生，由此产生的进程间通信通常被称为组件间通信(Inter-ComponentCommunication,ICC)。在Android系统Binder机制中，它是由一系列组件组成，分别是Client、Server、ServiceManager和Binder驱动程序，其中Client、Server和ServiceManager运行在用户空间，Binder驱动程序运行在内核空间。Binder能把这四个组件粘合在一起，而Binder驱动程序是核心组件，ServiceManager提供辅助管理，Client和Server是在Binder驱动和ServiceManager构建的基础上进行Client-Server之间的通信。

针对不同的移动终端安全威胁，可以提供的安全机制是多种多样的。沙盒机制是一种将设备上的应用彼此隔离以及系统资源隔离安全机制；沙盒机制通过给每个应用分配一个惟一的用户ID来实现的，同时系统资源由系统用户控制管理。应用签名机制只是给开发者为自己开发应用代码加上自认证密钥，无法有效抵御恶意软件，但是可以使得开发者在他的多个应用间建立简单的信任关系。在权限机制中，应用必须先具有相应的权限才能发起访问或者请求服务。应用一般默认是没有任何权限的，当它想要访问数据或者使用资源的时候，必须声明自己的权限并呈现给用户，如果用户拒绝，那么该安装程序不能完成安装。

发明内容

本发明的目的在于克服现有技术的不足，提供一种通过动态权限验证和策略配置，实现了Android系统应用进程间安全通信与基于动态权限验证的可信服务配置技术紧耦合，可以进一步增强可信安全的基于动态权限验证的Android系统安全增强方法及系统。

本发明的目的是通过以下技术方案来实现的：基于动态权限验证的Android系统安全增强方法，采用基于动态权限验证策略的可信服务配置机制，实现Android系统应用进程间安全通信；包括以下步骤：

S1、随时监听各个进程的请求，一旦发现某个进程发出服务请求则拦截该请求，并立即验证该进程的权限；

S2、调用策略库，并访问被请求的客体已经注册的服务接口，查询被请求的客体对当前主体进程的请求能够提供的服务范围，然后构建可信的策略配置方案；

S3、根据策略配置方案进行操作：客体向主体进程提供响应服务接口以响应主体进程的请求。

进一步地，所述的步骤S1中发起服务请求的主体进程在应用层得到被请求的客体的代理对象，该代理对象对客体的隐私数据发起服务请求，发起的服务请求通过Android内核调用Binder驱动程序发送至客体。

本发明的基于动态权限验证的Android系统安全增强系统，包括以下模块：

动态权限验证模块：随时监听各个进程的请求，一旦发现某个进程发起服务请求则拦截该请求并立即验证该进程的权限，并向策略配置模块发送权限验证报告；

策略配置模块：接收到权限验证报告后调用策略库，并访问客体已经注册的服务接口，查询被请求的客体对当前主体进程的请求能够提供的服务范围，然后构建可信的策略配置方案，并将该策略配置方案反馈给服务管理模块；

服务管理模块：根据策略配置方案圈定客体提供给客体的服务范围，也就是客体可申请到多少服务接口以响应主体进程的访问或者请求。

进一步地，所述的主体进程在发起对客体的服务请求时，通过binder驱动程序向服务管理模块查询客体在服务管理模块内注册了哪些服务接口，以及主体进程需要的服务是否已注册，如果客体提供了该项服务而没有在服务管理模块内注册，则服务管理模块通过binder驱动程序通知客体进行服务接口注册；服务管理模块根据策略配置方案通过binder驱动给予主体进程答复。

进一步地，所述的动态权限验证模块从决策安装程序中更新验证方法，用户或者Android系统开发者根据需要通过决策安装程序对策略配置模块进行丰富和加强。

进一步地，所述的策略库是实现动态权限验证策略的可信服务配置的关键，通过在Android系统中间件层嵌入策略库，实现了策略细粒度化，提供策略基，可以在细粒度策略基础上构建更加丰富多样的策略配置方案。

进一步地，所述的动态权限验证模块检查组件间通信传送的数据并做出基于Intents消息内容的验证报告。

本发明的有益效果是：

1、通过动态权限验证和策略配置，服务管理不再是对主体有求必应，而是根据策略方案缩小或者保持客体提供给主体的服务接口曝光范围，实现了Android系统应用进程间安全通信与基于动态权限验证的可信服务配置技术紧耦合的安全增强方法，可以进一步增强可信安全，安全性更高，可广泛应用于对安全等级要求很高的环境中；

2、由于动态权限验证模块、策略配置模块、策略库和服务管理模块均处在中间件层，运行在用户空间，这样进程间通信不会因为模块的添加而降低通信效率，既实现了在提升权限攻击情形下的进程间相互通信的安全增强，同时又不会降低通信效率。

附图说明

图1为本发明的Android系统安全增强方法原理图；

图2为本发明的Android系统安全增强方法流程图。

具体实施方式

为了使本发明的目的、技术方案以及优点更加清楚明白，以下结合附图以及实施例，对本发明进一步详细说明。本说明书(包括任何附加权利要求、摘要和附图)中公开的任一特征，除非特别叙述，均可被其他等效或者具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或者类似特征中的一个例子而已。

如图1所示，基于动态权限验证的Android系统安全增强方法，采用基于动态权限验证策略的可信服务配置机制，实现Android系统应用进程间安全通信；包括以下步骤：

S1、随时监听各个进程的请求，一旦发现某个进程发出服务请求则拦截该请求，并立即验证该进程的权限；发起服务请求的主体进程在应用层得到被请求的客体的代理对象，如图2所示，该代理对象对客体的隐私数据发起服务请求，发起的服务请求通过Android内核调用Binder驱动程序发送至客体，客体得到主体进程的请求后并不会立即响应主体进程，而是要先对主体进程进行权限验证；所述的主体是系统中的执行体-进程，客体包括文件、目录、设备、IPC和Socket等对象；

S3、根据策略配置方案进行操作：客体向主体进程提供响应服务接口以响应主体进程的请求，当客体向主体进程提供的响应服务接口为零时，表示拒绝本次主体进程的服务请求。

策略配置模块：接收到权限验证报告后调用策略库，并访问服务管理模块中客体已经注册的服务接口，查询被请求的客体对当前主体进程的请求能够提供的服务范围，然后构建可信的策略配置方案，并将该策略配置方案反馈给服务管理模块；

例如手机上的QQ想要获得手机通讯录时，此时的主体进程是QQ，客体是手机通讯录。当QQ在访问通讯录时，产生系统调用读操作，那么动态权限验证模块根据发起的进程是哪一个(QQ)以及它给出了什么操作(系统调用读操作)等，把这信息传递给策略配置模块，策略配置模块其实质是一系列钩子函数，这些信息的产生会调用相应的钩子函数。钩子函数内容是可以丰富，可以简单，钩子函数调用策略库，制定策略配置方案，并将策略配置方案传输给服务管理模块，服务管理模块根据策略配置方案，答应或者不答应主体的请求。

进一步地，所述的动态权限验证模块检查组件间通信(ICC)传送的数据并做出基于Intents消息内容的验证报告。Android应用间通信通常是通过中间件层提供的标准机制完成的，即基于Binder的轻量型进程间通信(Inter-ProcessCommunication，IPC)。IPC根据应用组件的颗粒度粗细以不同形式发生，由此产生的应用间通信通常被称为组件间通信(Inter-ComponentCommunication，ICC)，用来在内核层与IPC区别开来。创建一个ICC通道，应用组件需发送一个特殊的消息——Intent消息。Intent消息包含了两个重要内容，一是消息目的地，二是消息所携带的数据内容。

在进程间通信的过程中，已提升了权限的主体进程向系统报告自己的动态权限以访问客体的私密数据或者是请求客体提供敏感的服务，验证报告会传递给策略配置模块。策略配置模块会提取报告中关键信息，对当前主体进程的威胁性做出判断。根据威胁程度不同，调用策略库中的策略基组建的策略方案就不同；威胁程度大，策略方案允许服务管理提供的服务范围就少，极度严重的话直接拒绝响应主体。由于动态权限验证模块、策略配置模块、策略库和服务管理模块均处在中间件层，运行在用户空间，这样进程间通信不会因为模块的添加而降低通信效率。因此实现了在提升权限攻击情形下的进程间相互通信的安全增强，同时又不会降低通信效率。本发明可以广泛应用于对安全等级要求很高的环境中。

本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的原理，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。本领域的普通技术人员可以根据本发明公开的这些技术启示做出各种不脱离本发明实质的其它各种具体变形和组合，这些变形和组合仍然在本发明的保护范围内。

Claims

1.基于动态权限验证的Android系统安全增强方法，其特征在于，采用基于动态权限验证策略的可信服务配置机制，实现Android系统应用进程间安全通信；包括以下步骤：

2.根据权利要求1所述的基于动态权限验证的Android系统安全增强方法，其特征在于，所述的步骤S1中发起服务请求的主体进程在应用层得到被请求的客体的代理对象，该代理对象对客体的隐私数据发起服务请求，发起的服务请求通过Android内核调用Binder驱动程序发送至客体。

3.基于动态权限验证的Android系统安全增强系统，其特征在于，包括以下模块：

4.根据权利要求3所述的基于动态权限验证的Android系统安全增强系统，其特征在于，所述的主体进程在发起对客体的服务请求时，通过binder驱动程序向服务管理模块查询客体在服务管理模块内注册了哪些服务接口，以及主体进程需要的服务是否已注册，如果客体提供了该项服务而没有在服务管理模块内注册，则服务管理模块通过binder驱动程序通知客体进行服务接口注册；服务管理模块根据策略配置方案通过binder驱动给予主体进程答复。

5.根据权利要求3所述的基于动态权限验证的Android系统安全增强系统，其特征在于，所述的动态权限验证模块从决策安装程序中更新验证方法，用户或者Android系统开发者根据需要通过决策安装程序对策略配置模块进行丰富和加强。

6.根据权利要求3所述的基于动态权限验证的Android系统安全增强系统，其特征在于，所述的策略库是实现动态权限验证策略的可信服务配置的关键，通过在Android系统中间件层嵌入策略库，实现了策略细粒度化，提供策略基，可以在细粒度策略基础上构建更加丰富多样的策略配置方案。

7.根据权利要求3所述的基于动态权限验证的Android系统安全增强系统，其特征在于，所述的动态权限验证模块检查组件间通信传送的数据并做出基于Intents消息内容的验证报告。