CN105204906B - 操作系统的启动方法和智能终端 - Google Patents

Abstract

本发明实施例提供了一种操作系统的启动方法和智能终端，所述方法包括：接收到系统启动指令后，获取预存的加密的安全策略文件进行哈希校验；若校验通过，则对所述安全策略文件进行解密；若校验失败，则忽略所述指令；根据解密后的安全策略文件中的安全策略，启动操作系统。本发明的实施例中，当若哈希校验通过，说明安全策略文件未被替换或篡改。之后，对该安全策略文件进行解密；根据解密后的该文件中的安全策略，启动操作系统。加密的安全策略文件通常无法被反编译，因此该文件中的安全策略通常不会泄漏，攻击者在不知道安全策略的情况下，无法找寻出安全策略的漏洞，也无法攻击受这些安全策略保护的操作系统，从而提高了操作系统的安全性。

Description

操作系统的启动方法和智能终端

技术领域

本发明涉及操作操作系统技术领域，具体而言，本发明涉及一种操作系统的启动方法和智能终端。

背景技术

SE(Security-Enhanced，安全强化)Linux是NSA(National SecurityAgency，美国国家安全局)和SCC(Secure Computing Corporation)开发的Linux的一个强制访问控制安全模块，NSA将该模块设计成内核模块包含在操作系统的内核中。

SELinux已经广泛地应用于服务器领域，通常通过设定安全策略来强化对访问权限的控制；例如，SELinux可以根据管理者定制的安全策略，对操作系统中所有的文件、目录、端口等资源的访问权限进行设定，而一般用户无权更改安全策略，从而增强了操作系统的安全性能。将SELinux移植到智能终端中，现有的操作系统的启动方法通常是，接收到系统启动指令后，根据SELinux的安全策略，启动操作系统，从而大大增强智能终端的操作系统的安全性。

目前，SELinux通常对所有的安全策略语句(例如allow unconfineddomainproperty_type:property_service set)进行编译后，将编译后的各安全策略语句，都存储到一个基础安全策略文件中；或者SELinux根据管理员设定的规则，将编译后的各安全策略语句，分别存储到一个基础安全策略文件和多个模块安全策略文件中。

然而，本发明的发明人发现，目前，对基础安全策略文件和模块安全策略文件等安全策略文件并没有安全防护措施。

攻击者获取到操作系统的安全策略文件后，通过黑客工具可以很容易地反编译出所有的安全策略语句，进而寻找到基于SELinux的安全策略的漏洞，利用漏洞侵入操作系统，盗取智能终端中的信息以从事非法活动，容易给智能终端的用户带来损失或者麻烦。

攻击者还可以使得自定义的、包含漏洞的安全策略文件替换掉操作系统中的安全策略文件，进而利用漏洞侵入操作系统。

综上，现有的安全策略文件容易被反编译和被替换，现有的操作系统的启动方法，根据被翻译或被替换的安全策略文件启动操作系统，导致操作系统的安全性较差，很容易受到攻击者的侵入，而容易给智能终端的用户带来损失。

因此，有必要提供一种操作系统启动方法和智能终端，以根据未被反编译、以及未被替换的安全策略文件，启动操作系统，从而提升操作系统的安全性。

发明内容

本发明针对现有技术的缺点，提出一种操作系统的启动方法和智能终端，用以解决现有技术存在安全策略文件容易被反编译、并容易被替换，而导致操作系统不安全的问题。

本发明实施例根据一个方面，提供了一种操作系统的启动方法，包括：

接收到系统启动指令后，获取预存的加密的安全策略文件进行哈希校验；

若校验通过，则对所述安全策略文件进行解密；若校验失败，则忽略所述指令；

根据解密后的安全策略文件中的安全策略，启动操作系统。

本发明实施例根据另一个方面，提供了一种智能终端，包括：

内核，用于接收到系统启动指令后，发送校验通知；接收到系统启动通知后，根据解密后的安全策略文件中的安全策略，启动操作系统；以及接收到指令忽略通知后，忽略所述系统启动指令；

校验模块，用于根据所述校验通知，获取预存的加密的安全策略文件进行哈希校验；若校验通过，则发送解密通知；若校验失败，则发送所述指令忽略通知；

解密模块，用于根据所述解密通知，对所述安全策略文件进行解密后，发送所述系统启动通知。

本发明的实施例中，当智能终端需要启动操作系统时，获取预存的加密的安全策略文件进行哈希校验，若校验通过，说明安全策略文件未被替换或篡改。校验通过后，对该安全策略文件进行解密；根据解密后的该文件中的安全策略，启动操作系统。加密的安全策略文件通常无法被反编译，因此加密的安全策略文件中的安全策略通常不会泄漏，攻击者在不知道安全策略的情况下，无法找寻出安全策略的漏洞，也无法攻击受这些安全策略保护的操作系统，从而提高了操作系统的安全性。

本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为本发明实施例的操作系统的启动方法的流程示意图；

图2为本发明实施例的智能终端的内部结构的框架示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样被特定定义，否则不会用理想化或过于正式的含义来解释。

本技术领域技术人员可以理解，这里所使用的“终端”、“终端设备”既包括无线信号接收器的设备，其仅具备无发射能力的无线信号接收器的设备，又包括接收和发射硬件的设备，其具有能够在双向通信链路上，进行双向通信的接收和发射硬件的设备。这种设备可以包括：蜂窝或其他通信设备，其具有单线路显示器或多线路显示器或没有多线路显示器的蜂窝或其他通信设备；PCS(Personal Communications Service，个人通信操作系统)，其可以组合语音、数据处理、传真和/或数据通信能力；PDA(Personal Digital Assistant，个人数字助理)，其可以包括射频接收器、寻呼机、互联网/内联网访问、网络浏览器、记事本、日历和/或GPS(Global Positioning System，全球定位操作系统)接收器；常规膝上型和/或掌上型计算机或其他设备，其具有和/或包括射频接收器的常规膝上型和/或掌上型计算机或其他设备。这里所使用的“终端”、“终端设备”可以是便携式、可运输、安装在交通工具(航空、海运和/或陆地)中的，或者适合于和/或配置为在本地运行，和/或以分布形式，运行在地球和/或空间的任何其他位置运行。这里所使用的“终端”、“终端设备”还可以是通信终端、上网终端、音乐/视频播放终端，例如可以是PDA、MID(Mobile Internet Device，移动互联网设备)和/或具有音乐/视频播放功能的移动电话，也可以是智能电视、机顶盒等设备。

本发明的发明人考虑到，可以在智能终端的操作系统启动之前，预先对安全策略文件进行加密，并计算出该文件的哈希值。当智能终端需要启动操作系统时，获取预存的加密的安全策略文件进行哈希校验，若校验通过，说明安全策略文件未被替换或篡改。

校验通过后，对该安全策略文件进行解密；根据解密后的该文件中的安全策略，启动操作系统。加密的安全策略文件通常无法被反编译，因此加密的安全策略文件中的安全策略通常不会泄漏，攻击者在不知道安全策略的情况下，无法找寻出安全策略的漏洞，也无法攻击受这些安全策略保护的操作系统，从而提高了操作系统的安全性。

下面结合附图具体介绍本发明实施例的技术方案。

本发明实施例中，智能终端可以是智能手机、平板电脑和行车记录仪等终端设备。

本发明实施例的应用场景，为基于SELinux的操作系统；本发明方法的实现依赖于对基于SELinux的安全策略文件进行加密，并计算该安全策略文件的哈希值。

在本发明实施例中，操作系统可以为传统意义上的Linux操作系统或Unix操作系统，也可以是基于Linux操作系统衍生出来的Android(安卓)系统、Ubuntu系统、Meego系统等等。

智能终端在安装操作系统之前，可以对已编译成二进制文件的安全策略文件进行加密。较佳地，智能终端根据build.conf文件中记载的加密方法，对由make编译后的安全策略文件进行加密。

例如，智能终端选择符合OpenSSL(Open Secure Sockets Layer，开放式安全套接层)协议的非对称加密算法后，生成公钥和私钥对；根据生成的公钥，采用符合OpenSSL协议的算法，对编译后的安全策略文件进行非对称加密；将生成的私钥与加密的安全策略文件，对应打包到操作系统的安装包中。

智能终端完成对安全策略文件的加密后，根据哈希函数，计算出加密的安全策略文件的哈希值；将计算出的哈希值与上述生成的私钥、以及解密算法，对应打包到操作系统的安装包中。

在安装操作系统时，将加密的安全策略文件及其哈希值和私钥，以及解密算法，对应存储到智能终端中。

例如，安装操作系统时，若安全策略文件的加密算法为符合OpenSSL协议的算法，则将加密的安全策略文件的哈希值和私钥，都存储到操作系统的指定目录/etc/selinux/中。

较佳地，安装操作系统时，将加密的安全策略文件的哈希值和私钥都记录到同一文件中后，将该文件存储到指定目录中。例如，将加密的安全策略文件的哈希值和私钥都记录到selinuxpolicy.ec文件中，将该文件存储到该算法所属的目录中。

事实上，安装操作系统时，智能终端可以根据预先的存储路径设定，将加密的安全策略文件及其哈希值、以及私钥分别存储到智能终端中的不同目录中。智能终端对于加密的安全策略文件、该文件的哈希值或者私钥，可以将其存储到任一目录中；任一目录可以是系统目录、预装软件的目录、或者新创建的目录等等。

可见，本发明实施例中，加密的安全策略文件及其哈希值和私钥在智能终端上的存储路径，完全可以由技术人员事先指定。攻击者通常很难获知三者的具体的存储位置，大大降低了加密的安全策略文件、该文件和哈希值或私钥泄露的几率，从而防止安全策略文件被攻击者获取、替换或者篡改，从而提升后续被安全策略文件中安全策略所保护的操作系统的安全性。

更优地，安装操作系统之后，删除安装包，或者删除安装包中原始的加密的安全策略文件、以及包含加密的安全策略文件的哈希值和私钥的安装文件；以减少攻击者获取加密的安全策略文件及其哈希值、私钥的途径，增强对加密的安全策略文件的防护。

基于上述加密的安全策略文件及其哈希值和私钥，本发明实施例的操作系统的启动方法的流程示意图如图1所示，包括如下步骤：

S101：智能终端接收系统启动指令。

具体地，智能终端接收到默认的、或者用户定制的关于启动操作系统的操作后，确定接收到用户输入的系统启动指令。

例如，智能终端接收到针对开机功能的实体按键的长按后，确定接收到用户输入的系统启动指令。

S102：智能终端获取预存的加密的安全策略文件进行哈希校验；若校验通过，则执行步骤S103；若校验失败，则忽略所述指令。

具体地，智能终端接收到系统启动指令后，从本智能终端获取预存的加密的安全策略文件后，计算出该安全策略文件的哈希值。

智能终端获取在安装操作系统时预存的加密的安全策略文件的哈希值。

例如，智能终端从操作系统的/etc/selinux/目录中获取加密的安全策略文件的哈希值。

智能终端将计算出的加密的安全策略文件的哈希值，与获取的加密的安全策略文件的哈希值进行比较；若比较结果为一致，则确定校验通过，执行步骤S103；若比较结果为不一致，则确定校验失败，则忽系统启动指令。

较佳地，智能终端确定校验失败后，展示安全策略文件被替换或篡改的提示信息。

例如，智能终端在屏幕上显示安全策略文件被替换或篡改的提示信息。或者，智能终端播报安全策略文件被替换或篡改的预置音频。

可以理解，加密的安全策略文件的哈希值校验通过，说明安全策略文件未被替换、也未被篡改。若检验失败，则说明安全策略文件很可能已经被替换或者被篡改，应该停止使用该安全策略文件，以避免攻击者通过替换或者篡改后的安全策略文件的漏洞或后门侵入操作系统。

S103：智能终端对加密的安全策略文件进行解密。

具体地，智能终端从指定目录中获取私钥后，根据该私钥，采用预先存储的解密算法，对本智能终端中预存的加密的安全策略文件进行非对称解密，得到解密后的安全策略文件。

例如，智能终端根据从/etc/selinux/目录中获取的私钥，采用预先存储的符合OpenSSL协议的算法，对本智能终端中预存的加密的安全策略文件进行非对称解密。

较佳地，智能终端若确定对预存的加密的安全策略文件进行的非对称解密失败，则忽略系统启动指令。

进一步，较佳地，智能终端确定解密失败后，展示安全策略文件解密失败的提示信息。例如，智能终端在屏幕上显示安全策略文件解密失败的提示信息。或者，智能终端播报安全策略文件解密失败的预置音频。

可以理解，对加密的安全策略文件进行解密失败，说明安全策略文件是未加密的版本、或者被重新加密过，也就是说安全策略文件很可能已经被攻击者反编译，攻击者可以从反编译后文件中安全策略中找寻出漏洞，通过漏洞攻击操作系统；因此，应该停止使用该安全策略文件，以避免攻击者通过安全策略文件的漏洞侵入操作系统。

S104：智能终端根据解密后的安全策略文件中的安全策略，启动操作系统。

具体地，智能终端根据解密后的安全策略文件中的安全策略，启动基于SELinux的操作系统。

例如，智能终端对加密的安全策略文件进行解密后，启动SELinux内核模块，建立SELinux的内核数据库，并导入avc中；之后，根据SELinux的内核数据库中的安全策略，启动基于SELinux的操作系统；由SELinux内核模块，根据内核数据库中的安全策略，对操作系统进行保护。

可见，启动的操作系统受到安全策略文件中的安全策略的保护。加密的安全策略文件通常无法被反编译，因此加密的安全策略文件中的安全策略通常不会泄漏，攻击者在不知道安全策略的情况下，无法找寻出安全策略的漏洞，也无法攻击受这些安全策略保护的操作系统，从而提高了操作系统的安全性。

基于上述操作系统的启动方法，本发明实施例的智能终端的内部结构的框架示意图如图2所示，包括：内核201、校验模块202和解密模块203。

其中，内核201用于接收到系统启动指令后，发送校验通知；接收到系统启动通知后，根据解密后的安全策略文件中的安全策略，启动操作系统；以及接收到指令忽略通知后，忽略接收到的系统启动指令。

校验模块202用于根据校验通知，获取预存的加密的安全策略文件进行哈希校验；若校验通过，则发送解密通知；若校验失败，则向内核201发送指令忽略通知。

解密模块203用于根据解密通知，对预存的加密的安全策略文件进行解密后，向内核201发送系统启动通知。

具体地，解密模块203接收到解密通知后，从指定目录中获取私钥后，根据该私钥，采用预先存储的解密算法，对本智能终端中预存的加密的安全策略文件进行非对称解密，得到解密后的安全策略文件。

例如，解密模块203接收到解密通知后，根据从/etc/selinux/目录中获取的私钥，采用预先存储的符合OpenSSL协议的算法，对本智能终端中预存的加密的安全策略文件进行非对称解密。

较佳地，如图2所示，本发明实施例的智能终端中，还包括：加密模块204。

加密模块204用于根据预先生成的公钥，采用符合OpenSSL协议的算法，对编译后的安全策略文件进行非对称加密；将预先对应生成的私钥与加密的安全策略文件，对应打包到操作系统的安装包中。

此时，解密模块203具体用于根据加密模块204预存的私钥，采用符合OpenSSL协议的算法，对预存的加密的安全策略文件进行非对称解密；其中，预存的私钥，是在安装操作系统时，被存储到操作系统的指定目录中的。

更优的，本发明实施例的智能终端中，还包括：哈希值计算模块205。

哈希值计算模块205用于在加密模块204对编译后的安全策略文件进行非对称加密后，计算出加密的安全策略文件的哈希值；将计算出的哈希值与预先生成的私钥，对应打包到操作系统的安装包中。

较佳地，哈希值计算模块205在加密模块204对编译后的安全策略文件进行非对称加密后、以及安装操作系统之前，根据哈希函数，计算出加密的安全策略文件的哈希值；将计算出的哈希值与加密模块204对安全策略文件进行非对称加密之前生成的私钥、以及解密算法，对应打包到操作系统的安装包中。

此时，校验模块202具体用于计算出预存的加密的安全策略文件的哈希值后，与预存的哈希值进行比较；若比较结果为一致，则确定校验通过；若比较结果为不一致，则确定校验失败。其中，预存的哈希值，是由哈希值计算模块205计算出，并在安装操作系统时，被存储到操作系统的指定目录中的。

上述内核201、校验模块202、解密模块203、加密模块204和哈希值计算模块205功能的实现方法，可以参考如上图1所示的流程步骤的具体内容，此处不再赘述。

本发明的实施例中，当智能终端需要启动操作系统时，获取预存的加密的安全策略文件进行哈希校验，若校验通过，说明安全策略文件未被替换或篡改。校验通过后，对该安全策略文件进行解密；根据解密后的该文件中的安全策略，启动操作系统。加密的安全策略文件通常无法被反编译，因此加密的安全策略文件中的安全策略通常不会泄漏，攻击者在不知道安全策略的情况下，无法找寻出安全策略的漏洞，也无法攻击受这些安全策略保护的操作系统，从而提高了操作系统的安全性。

而且，本发明的实施例中，当智能终端确定根据预测的私钥对加密的安全策略文件进行解密失败时，说明安全策略文件是未加密的版本、或者被利用其它公钥重新加密过，也就是说安全策略文件已经不再是合法的加密版本，而很可能已经被攻击者反编译过，攻击者可以从反编译后文件中安全策略中找寻出漏洞，通过漏洞攻击操作系统；因此忽略系统启动指令，相当于禁止根据该安全策略文件启动操作系统，以避免攻击者通过安全策略文件的漏洞侵入操作系统，进一步增强操作系统的安全性。

进一步，本发明的实施例中，将加密的安全策略文件及其哈希值和私钥存储到智能终端后，删除原始的安装包类型的文件，以减少攻击者获取加密的安全策略文件及其哈希值、私钥的途径，增强对加密的安全策略文件的防护；攻击者在无法获取安全策略文件的情况下，无法找寻出该文件中安全策略的漏洞，自然无法攻击受这些安全策略保护的操作系统，从而提高了操作系统的安全性。

本技术领域技术人员可以理解，本发明包括涉及用于执行本申请中所述操作中的一项或多项的设备。这些设备可以为所需的目的而专门设计和制造，或者也可以包括通用计算机中的已知设备。这些设备具有存储在其内的计算机程序，这些计算机程序选择性地激活或重构。这样的计算机程序可以被存储在设备(例如，计算机)可读介质中或者存储在适于存储电子指令并分别耦联到总线的任何类型的介质中，所述计算机可读介质包括但不限于任何类型的盘(包括软盘、硬盘、光盘、CD-ROM、和磁光盘)、ROM(Read-Only Memory，只读存储器)、RAM(Random Access Memory，随即存储器)、EPROM(Erasable ProgrammableRead-Only Memory，可擦写可编程只读存储器)、EEPROM(Electrically ErasableProgrammable Read-Only Memory，电可擦可编程只读存储器)、闪存、磁性卡片或光线卡片。也就是，可读介质包括由设备(例如，计算机)以能够读的形式存储或传输信息的任何介质。

本技术领域技术人员可以理解，可以用计算机程序指令来实现这些结构图和/或框图和/或流图中的每个框以及这些结构图和/或框图和/或流图中的框的组合。本技术领域技术人员可以理解，可以将这些计算机程序指令提供给通用计算机、专业计算机或其他可编程数据处理方法的处理器来实现，从而通过计算机或其他可编程数据处理方法的处理器来执行本发明公开的结构图和/或框图和/或流图的框或多个框中指定的方案。

本技术领域技术人员可以理解，本发明中已经讨论过的各种操作、方法、流程中的步骤、措施、方案可以被交替、更改、组合或删除。进一步地，具有本发明中已经讨论过的各种操作、方法、流程中的其他步骤、措施、方案也可以被交替、更改、重排、分解、组合或删除。进一步地，现有技术中的具有与本发明中公开的各种操作、方法、流程中的步骤、措施、方案也可以被交替、更改、重排、分解、组合或删除。

以上所述仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (8)

1.一种操作系统的启动方法，其特征在于，包括：

接收到系统启动指令后，获取预存的加密的安全策略文件进行哈希校验；

若校验通过，则对所述安全策略文件进行解密；若校验失败，则忽略所述指令；

根据解密后的安全策略文件中的安全策略，启动操作系统；

所述安全策略文件是通过如下步骤被预先加密的：

根据预先生成的公钥，采用符合开放式安全套接层OpenSSL协议的算法，对编译后的安全策略文件进行非对称加密；

将预先对应生成的私钥与加密的安全策略文件，对应打包到所述操作系统的安装包中。

2.根据权利要求1所述的方法，其特征在于，所述对编译后的安全策略文件进行非对称加密后，还包括：

计算出所述加密的安全策略文件的哈希值；

将所述哈希值对应打包到所述操作系统的安装包中。

3.根据权利要求2所述的方法，其特征在于，所述哈希校验具体包括：

计算出所述预存的加密的安全策略文件的哈希值后，与预存的哈希值进行比较；

其中，所述预存的哈希值，是在安装所述操作系统时，被存储到所述操作系统的指定目录中的。

4.根据权利要求1所述的方法，其特征在于，所述对所述安全策略文件进行解密，具体包括：

根据预存的私钥，采用符合OpenSSL协议的算法，对所述预存的加密的安全策略文件进行非对称解密；

其中，所述预存的私钥，是在安装所述操作系统时，被存储到所述操作系统的指定目录中的。

5.一种智能终端，其特征在于，包括：

内核，用于接收到系统启动指令后，发送校验通知；接收到系统启动通知后，根据解密后的安全策略文件中的安全策略，启动操作系统；以及接收到指令忽略通知后，忽略所述系统启动指令；

校验模块，用于根据所述校验通知，获取预存的加密的安全策略文件进行哈希校验；若校验通过，则发送解密通知；若校验失败，则向所述内核发送指令忽略通知；

解密模块，用于根据所述解密通知，对所述安全策略文件进行解密后，向所述内核发送系统启动通知；

加密模块，用于根据预先生成的公钥，采用符合开放式安全套接层OpenSSL协议的算法，对编译后的安全策略文件进行非对称加密；将预先对应生成的私钥与加密的安全策略文件，对应打包到所述操作系统的安装包中。

6.根据权利要求5所述的智能终端，其特征在于，还包括：

哈希值计算模块，用于在所述加密模块对编译后的安全策略文件进行非对称加密后，计算出所述加密的安全策略文件的哈希值；将所述哈希值对应打包到所述操作系统的安装包中。

7.根据权利要求6所述的智能终端，其特征在于，

所述校验模块具体用于计算出所述预存的加密的安全策略文件的哈希值后，与预存的哈希值进行比较；其中，所述预存的哈希值，是在安装所述操作系统时，被存储到所述操作系统的指定目录中的。

8.根据权利要求5所述的智能终端，其特征在于，

所述解密模块具体用于根据预存的私钥，采用符合OpenSSL协议的算法，对所述预存的加密的安全策略文件进行非对称解密；其中，所述预存的私钥，是在安装所述操作系统时，被存储到所述操作系统的指定目录中的。