CN105138898A - 为智能终端上的应用程序分配运行权限的方法 - Google Patents

Abstract

本发明提供了一种为智能终端上的应用程序分配运行权限的方法，该方法包括：智能终端上安装的操作系统内设置多个用户角色，每一所述用户角色具有所述操作系统的内核预定的至少一种能力；在所述操作系统内安装应用程序，并指定所述应用程序对应的所述用户角色；根据所述应用程序对应的用户角色具有的所述至少一种能力添加所述应用程序的运行权限。实施本发明可实现对应用程序的权限操作的访问控制，因此提升了操作系统的安全性。

Description

为智能终端上的应用程序分配运行权限的方法

技术领域

本发明涉及智能操作系统技术领域，尤其涉及一种为智能终端上的应用程序分配运行权限的方法。

背景技术

目前基于Linux内核的操作系统通常采用“超级用户对普通用户”的应用程序信任状模型，其原理在于：赋予普通用户尽可能低的权限，而把全部的系统权限赋予唯一的root账户。root帐户用来管理系统、安装软件、管理帐户、运行某些服务、安装/卸载文件系统、管理用户、安装软件等。另外，普通用户的很多操作也需要root权限，这通过setuid实现。对于智能终端的操作系统来说，经常有第三方开发的应用程序安装至该操作系统中，而安装到所述操作系统中的所述应用程序要么按照root账户的权限来运行，要么按照普通用户的权限来运行。从系统安装的角度考虑，希望尽量减少第三方开发的应用程序的操作权限，但是同时这也限制了上述第三方开发的应用程序的功能，如果让第三方开发的应用程序以root账户的权限来运行，由于系统权限全部赋予了root账户，这种依赖单一帐户执行特权操作的方式加大了系统的面临风险，很多情况中，需要root权限的应用程序可能只是为了某一特定的系统级操作，例如：绑定到特权端口、打开一个只有root权限可以访问的文件等。除此之外的其它root权限对这个程序都是没有必要的，而同时开放的其他权限可能被利用来攻击系统安全，例如应用程序程序编写存在漏洞，就可能被攻击者利用，获得系统的控制权。

为了解决上述问题，考虑在操作系统内核中加入能力(capability)机制，但目前的便携式智能终端上的操作系统并未实现在内核中加入能力机制的方法，因此目前的便携式智能终端上的操作系统还是存在一定的安全漏洞的。

发明内容

为了克服现有技术中的上述缺陷，本发明提供了一种为智能终端上的应用程序分配运行权限的方法，该方法包括：

智能终端上安装的操作系统内设置多个用户角色，每一所述用户角色具有所述操作系统的内核预定的至少一种能力；

在所述操作系统内安装应用程序，并指定所述应用程序对应的所述用户角色；

根据所述应用程序对应的用户角色具有的所述至少一种能力添加所述应用程序的运行权限。

根据本发明的一个方面，该方法中所述操作系统的内核是Linux内核。

根据本发明的另一个方面，该方法中所述用户角色包括：系统服务角色、系统管理角色、应用安装角色、开发者角色、系统审计角色中任一或其组合。

根据本发明的另一个方面，该方法中所述系统服务角色用于管理所述操作系统的系统服务的运行；所述系统管理角色用于管理所述操作系统中系统级应用程序的运行；所述应用安装角色用于管理所述操作系统中应用程序的安装和卸载；所述开发者角色用于管理第三方开发的应用程序；所述系统设计角色用于管理所述操作系统的系统审计。

根据本发明的另一个方面，该方法中所述系统服务包括：时间服务、网络管理服务、防火墙服务、用户界面服务、输入法服务中任一或其组合。

根据本发明的另一个方面，该方法中所述能力用于描述所述应用程序或其运行时生成的进程所具有的操作权限。

根据本发明的另一个方面，该方法中所述操作权限包括：访问文件系统、产生通信数据、更改或设置数据、调用硬件、更改系统时钟中任一或其组合。根据本发明的另一个方面，该方法中所述智能终端包括：智能手机、平板电脑、个人计算机或智能家电设备。

本发明所提供的为智能终端上的应用程序分配运行权限的方法在操作系统中引入了能力机制，将root账户的权限分割成不同的能力，并在安装应用程序时根据应用程序的用户角色赋予该应用程序以确定其运行权限，实现了对应用程序的权限操作的访问控制，即使操作系统的攻击者通过应用程序对操作系统进行攻击，也仅能获得该应用程序对应的用户角色的能力，而不是整个操作系统的所有能力，因此提升了操作系统的安全性。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1是根据本发明的为智能终端上的应用程序分配运行权限的方法的一种具体实施方式的流程图；

图2是用于实现本发明的为智能终端上的应用程序分配运行权限的智能终端的结构示意图；

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

为了更好地理解和阐释本发明，下面将结合附图对本发明作进一步的详细描述。

本发明提供了一种即时通信的消息的处理方法，请参考图1，图1是根据本发明的为智能终端上的应用程序分配运行权限的方法的一种具体实施方式的流程图，该方法包括：

步骤S100，智能终端上安装的操作系统内设置多个用户角色，每一所述用户角色具有所述操作系统的内核预定的至少一种能力；

步骤S200，在所述操作系统内安装应用程序，并指定所述应用程序对应的所述用户角色；

步骤S300，根据所述应用程序对应的用户角色具有的所述至少一种能力添加所述应用程序的运行权限。

具体地，所述智能终端包括智能手机、平板电脑、个人计算机或智能家电设备。所述操作系统是具有Linux内核的操作系统，典型地，所述智能终端上安装了例如SyberOS或Android等基于Linux内核操作系统。

在步骤S100中，在所述操作系统内设置多个用户角色，设置上述多个角色的目的是为运行在不同所述用户角色提供的环境下的应用程序能具有不同的系统运行权限。

相应地，对于每一安装在所述操作系统内的应用程序，都执行步骤S200为其指定对应的所述用户角色。可以根据所述应用程序所完成的功能为其指定其所属的所述用户角色。优选地，出于安全考虑，所述应用程序安装在所述操作系统时，操作系统仅指定该应用程序对应唯一的所述用户角色，且后续无法更改该应用程序对应的所述用户角色，这样的设计提升了系统的安全性。可选地，可以在所述应用程序安装完成后更改该应用程序对应的所述用户角色，以便于更灵活地对所述应用程序进行权限控制，但本领域技术人员可以理解该可选的方案中操作系统会面临统安全风险。

进一步地，执行步骤S300，依赖每一所述用户角色具有的所述至少一种能力，每一所述用户角色下运行的应用程序仅具有该类用户角色具有的所述能力提供的运行权限。也即所述应用程序在后续运行中不能获得与其并未对应的所述用户角色所具有的所述能力，这样保证了安装在所述操作系统中的应用程序的运行权限被控制在风险可预见的范围内。本领域技术人员可以理解，不同功能的应用程序其所需的所述能力是不一样的。

优选地，在本具体实施方式中，所述用户角色包括：系统服务角色、系统管理角色、应用安装角色、开发者角色、系统审计角色中任一或其组合。其中：所述系统服务角色用于管理所述操作系统的系统服务的运行；所述系统管理角色用于管理所述操作系统中系统级应用程序的运行；所述应用安装角色用于管理所述操作系统中应用程序的安装和卸载；所述开发者角色用于管理第三方开发的应用程序；所述系统设计角色用于管理所述操作系统的系统审计。具体地，所述系统服务包括：时间服务、网络管理服务、防火墙服务、用户界面服务、输入法服务中任一或其组合。本发明的实施者可以根据设计需求具体分配每一所述用户角色具有的所述能力，以便于正常实现上述用户角色的功能。更具体地，所述能力用于描述所述应用程序或其运行时生成的进程所具有的操作权限，其中所述操作权限包括但不限于：访问文件系统、产生通信数据、更改或设置数据、调用硬件、更改系统时钟中任一或其组合。

更具体地，在基于Linux内核的能力机制中，所述应用程序运行时生成的进程有三个和能力有关的位图：inheritable(I)、permitted(P)和effective(E)，分别对应进程描述符structcred结构体里面的cap_effective,cap_inheritable,cap_permitted。每种能力由一位表示，1表示具有某种能力，0表示没有。当一个进程要进行某个特权操作时，操作系统会检查cap_effective的对应位是否有效。例如，如果一个进程要设置系统的时钟，Linux的内核就会检查cap_effective的CAP_SYS_TIME位(第25位)是否有效。其中cap_permitted表示进程所拥有的最大能力集；cap_effective表示进程当前可用的能力集，可以看做是cap_permitted的一个子集；而cap_inheitable则表示进程可以传递给其子进程的能力集。cap_permitted表示进程能够使用的能力。在cap_permitted中可以包含cap_effective中没有的能力，这些能力是被进程自己临时放弃的。进程放弃没有必要的能力对于提高安全性大有助益，例如，ping只需要CAP_NET_RAW，如果它放弃除这个能力之外的其它能力，即使存在安全缺陷，也不会对系统造成太大的损害；cap_inheritable表示能够被当前进程执行的程序继承的能力。操作系统根据进程的cap_effective能力集进行访问控制，cap_effective为cap_permitted的子集，进程可以通过取消cap_effective中的某些能力来放弃进程的一些特权。相应地，所述应用程序的可执行文件也拥有三组能力集，对应于进程的三组能力集，分别是cap_effective,cap_allowed和cap_forced，其中，cap_allowed表示程序运行时可从原进程的cap_inheritable中集成的能力集；cap_forced表示运行文件时必须拥有才能完成其服务的能力集；而cap_effective则表示文件开始运行时可以使用的能力。

以Linux内核的2.2版本为例，所述能力例如包括如下内容：

CAP_CHOWN：修改文件属主的权限

CAP_DAC_OVERRIDE：忽略文件的DAC访问限制

CAP_DAC_READ_SEARCH：忽略文件读及目录搜索的DAC访问限制

CAP_FOWNER：忽略文件属主ID必须和进程用户ID相匹配的限制

CAP_FSETID：允许设置文件的setuid位

CAP_KILL：允许对不属于自己的进程发送信号

CAP_SETGID：允许改变进程的组ID

CAP_SETUID：允许改变进程的用户ID

CAP_SETPCAP：允许向其他进程转移能力以及删除其他进程的能力

CAP_LINUX_IMMUTABLE：允许修改文件的IMMUTABLE和APPEND属性标志

CAP_NET_BIND_SERVICE：允许绑定到小于1024的端口

CAP_NET_BROADCAST：允许网络广播和多播访问

CAP_NET_ADMIN：允许执行网络管理任务

CAP_NET_RAW：允许使用原始套接字

CAP_IPC_LOCK：允许锁定共享内存片段

CAP_IPC_OWNER：忽略IPC所有权检查

CAP_SYS_MODULE：允许插入和删除内核模块

CAP_SYS_RAWIO：允许直接访问/devport,/dev/mem,/dev/kmem及原始块设备

CAP_SYS_CHROOT：允许使用chroot()系统调用

CAP_SYS_PTRACE：允许跟踪任何进程

CAP_SYS_PACCT：允许执行进程的BSD式审计

CAP_SYS_ADMIN：允许执行系统管理任务，如加载或卸载文件系统、设置磁盘配额等

CAP_SYS_BOOT：允许重新启动系统

CAP_SYS_NICE：允许提升优先级及设置其他进程的优先级

CAP_SYS_RESOURCE：忽略资源限制

CAP_SYS_TIME：允许改变系统时钟

CAP_SYS_TTY_CONFIG：允许配置TTY设备

CAP_MKNOD：允许使用mknod()系统调用

CAP_LEASE：允许修改文件锁的FL_LEASE标志

本领域的技术人员可以理解，本发明的实施者可以根据所述用户角色的具体设计需求加入更多的所述能力，所述能力包括但不限于上述已公开的部分。例如以Linux内核的3.10版本为例，所述能力的数量扩充为37种(编号0-36)，本发明的实施者可根据具体设计需求，任选该37种能力构成的集合的一个子集来实现本发明，本发明在此不做限定。需要说明的是，尽管在附图中以特定顺序描述了本发明方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。相反，流程图中描绘的步骤可以改变执行顺序。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

图2是用于实现本发明的为智能终端上的应用程序分配运行权限的智能终端的结构示意图。图2示意性地示出了所述智能终端的常见结构，参考图2对常见的智能终端的内部组件、软件和协议结构进行说明。

该智能终端具有处理器510，其负责移动终端的整体操作，并且可以利用任何商业可得中央处理单元(CPU)、数字信号处理器(DSP)或任何其他电子可编程逻辑器件(PLD)实现。处理器510具有关联的存储器520，该存储器520包括但不限于RAM存储器、ROM存储器、EEPROM存储器、闪存或其组合。存储器520由处理器500控制用于各种目的，其中之一在于为智能终端中各种软件存储程序指令和数据。

该智能终端的软件层面包括实时操作系统540、用于人机界面560的驱动器、应用处理机550和各种应用。所述应用例如是文本编辑器551、手写识别应用552和其他多媒体应用553，典型地该其他多媒体应用包括诸如语音呼叫应用、视频呼叫应用、发送和接收短消息服务(SMS)消息应用、多媒体消息服务(MMS)应用或电子邮件应用、web浏览器、即时消息收发应用、电话簿应用、日历应用、控制面板应用、照相机应用、一个或多个视频游戏、记事本应用等。应当注意，上述应用的两个或更多可以作为同一应用执行。

所述智能终端还包括一个或多个硬件控制器，用于与人机界面560的驱动器一起与显示设备561，物理按键562、麦克风563和各种I/O设备(诸如扬声器、振动器、响铃发生器、LED指示器等)协作，以实现所述智能终端的人机交互。本领域技术人员应当理解用户可以通过这样形成的人机界面560来操作移动终端。

该智能终端的软件层面还可以包括各种模块、协议栈、驱动器等与通信相关的逻辑，归纳为如图2中示出的通信接口570，用于为无线射频接口571以及可选地为蓝牙接口572和/或红外接口573提供通信服务(例如传输、网络和连通性)，以实现所述智能终端的互联互通。无线射频接口571包括内部或外部天线以及用于建立和维护通往基站的无线链路的适当电路。如本领域技术人员公知的，所述电路包括一系列模拟和数字电子组件，其一起形成无线电接收机和发射机。这些组件例如包括带通滤波器、放大器、混频器、本地振荡器、低通滤波器、AD/DA转换器等。

该智能终端还可以包括读卡装置530，该读卡装置530用于读出SIM卡的信息并以此为根据协作无线射频接口571接入运营商所提供的网络。

本发明提供的即时通信的消息的处理方法可以使用可编程逻辑器件来实现，也可以实施为计算机程序产品，该程序产品使计算机执行用于所示范的方法。所述计算机程序产品包括计算机可读存储介质，该介质上包含计算机程序逻辑或代码部分，用于实现上述方法的各个步骤。所述计算机可读存储介质可以是被安装在计算机中的内置介质或者可从计算机主体拆卸的可移动介质(例如可热拔插的存储设备)。所述内置介质包括但不限于可重写的非易失性存储器，例如RAM、ROM和硬盘。所述可移动介质包括但不限于：光存储媒体(例如CD-ROM和DVD)、磁光存储媒体(例如MO)、磁存储媒体(例如磁带或移动硬盘)、具有内置的可重写的非易失性存储器的媒体(例如存储卡)和具有内置ROM的媒体(例如ROM盒)。

本领域技术人员应当理解，任何具有适当编程装置的计算机系统都能够执行包含在计算机程序产品中的本发明的方法的诸步骤。尽管本说明书中描述的多数具体实施方式都侧重于软件程序，但是以硬件方式实现本发明提供的方法的替代实施例同样在本发明要求保护的范围之内。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，在权利要求的等同要件的含义和范围内的所有变化均涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他部件、单元或步骤，单数不排除复数。权利要求中陈述的多个部件、单元或装置也可以由一个部件、单元或装置通过软件或者硬件来实现。

本发明所提供的为智能终端上的应用程序分配运行权限的方法在操作系统中引入了能力机制，通过将root账户的权限分割成不同的能力，并在安装应用程序时赋予该应用程序以确定其运行权限，实现了对应用程序的权限操作的访问控制，因此提升了操作系统的安全性。

以上所披露的仅为本发明的一些较佳实施例，不能以此来限定本发明之权利范围，依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (8)

1.一种为智能终端上的应用程序分配运行权限的方法，该方法包括：

智能终端上安装的操作系统内设置多个用户角色，每一所述用户角色具有所述操作系统的内核预定的至少一种能力；

在所述操作系统内安装应用程序，并指定所述应用程序对应的所述用户角色；

根据所述应用程序对应的用户角色具有的所述至少一种能力添加所述应用程序的运行权限。

2.根据权利要求1所述的方法，其中：

所述操作系统的内核是Linux内核。

3.根据权利要求1所述的方法，其中，所述用户角色包括：

系统服务角色、系统管理角色、应用安装角色、开发者角色、系统审计角色中任一或其组合。

4.根据权利要求3所述的方法，其中：

所述系统服务角色用于管理所述操作系统的系统服务的运行；

所述系统管理角色用于管理所述操作系统中系统级应用程序的运行；

所述应用安装角色用于管理所述操作系统中应用程序的安装和卸载；

所述开发者角色用于管理第三方开发的应用程序；

所述系统设计角色用于管理所述操作系统的系统审计。

5.根据权利要求4所述的方法，其中，所述系统服务包括：

时间服务、网络管理服务、防火墙服务、用户界面服务、输入法服务中任一或其组合。

6.根据权利要求1所述的方法，其中：

所述能力用于描述所述应用程序或其运行时生成的进程所具有的操作权限。

7.根据权利要求6所述的方法，其中，所述操作权限包括：

访问文件系统、产生通信数据、更改或设置数据、调用硬件、更改系统时钟中任一或其组合。

8.根据权利要求1所述的方法，其中，所述智能终端包括：

智能手机、平板电脑、个人计算机或智能家电设备。