CN105553961A - 应用程序的强制访问控制方法、系统和管理服务器 - Google Patents
应用程序的强制访问控制方法、系统和管理服务器 Download PDFInfo
- Publication number
- CN105553961A CN105553961A CN201510918191.4A CN201510918191A CN105553961A CN 105553961 A CN105553961 A CN 105553961A CN 201510918191 A CN201510918191 A CN 201510918191A CN 105553961 A CN105553961 A CN 105553961A
- Authority
- CN
- China
- Prior art keywords
- application program
- access control
- intelligent terminal
- strategy bag
- management server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 43
- 238000009434 installation Methods 0.000 claims abstract description 46
- 238000013519 translation Methods 0.000 claims description 20
- 238000004458 analytical method Methods 0.000 claims description 4
- 230000006870 function Effects 0.000 description 12
- 230000008569 process Effects 0.000 description 7
- 230000006854 communication Effects 0.000 description 6
- 238000004891 communication Methods 0.000 description 6
- 230000002452 interceptive effect Effects 0.000 description 6
- 238000004590 computer program Methods 0.000 description 5
- 238000010586 diagram Methods 0.000 description 5
- 238000012216 screening Methods 0.000 description 4
- GVGLGOZIDCSQPN-PVHGPHFFSA-N Heroin Chemical compound O([C@H]1[C@H](C=C[C@H]23)OC(C)=O)C4=C5[C@@]12CCN(C)[C@@H]3CC5=CC=C4OC(C)=O GVGLGOZIDCSQPN-PVHGPHFFSA-N 0.000 description 2
- 230000008901 benefit Effects 0.000 description 2
- 230000008878 coupling Effects 0.000 description 2
- 238000010168 coupling process Methods 0.000 description 2
- 238000005859 coupling reaction Methods 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000003672 processing method Methods 0.000 description 2
- 241000239290 Araneae Species 0.000 description 1
- 230000007175 bidirectional communication Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 230000015572 biosynthetic process Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000012217 deletion Methods 0.000 description 1
- 230000037430 deletion Effects 0.000 description 1
- 238000009826 distribution Methods 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 238000012856 packing Methods 0.000 description 1
- 238000012545 processing Methods 0.000 description 1
- 238000003860 storage Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
Abstract
本发明实施例提供了应用程序的强制访问控制方法、系统和管理服务器，所述方法包括：管理服务器接收管理员针对应用程序定义的访问资源的信息，将其解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包；所述管理服务器对于所述应用程序，将其安装包以及其对应的策略包下发至智能终端；所述智能终端根据接收的安装包安装所述应用程序时，将接收的策略包安装到操作系统中，使得所述应用程序运行时被限定于所述访问资源。采用本发明的实施例，可以在不影响应用程序实现指定功能的情况下，更加方便地管理应用程序，并防止应用程序泄密。
Description
技术领域
本发明涉及安全技术领域，具体而言，本发明涉及一种应用程序的强制访问控制方法、系统和管理服务器。
背景技术
公安、海关等有关部门或者公司，通常为用户配发工作专用的智能终端、或其它需要应用在涉密场景下的智能终端。
为了防止泄密，有关部门或者公司通常需要对这些智能终端中的应用程序进行强制访问控制。强制访问控制(MandatoryAccessControl)可以是一种访问约束机制，通常用于将系统中的信息分密级和类进行管理，以保证每个应用程序的进程只能访问到那些被标明可以由该进程访问的信息。
现有的一种应用程序的强制访问控制方法，包括：将应用程序安装到涉密的智能终端中后，通过该智能终端提供的人机交互界面，设置该应用程序的访问权限，既可以使得该应用程序实现指定的功能，又可以防止该应用程序越权访问而导致泄密。其中，应用程序默认是关闭所有访问权限的。
然而，本发明的发明人发现，现有的强制访问控制方法不便于应用程序的功能实现和管理。
例如，技术人员未对安装在智能终端中的应用程序的访问权限进行设置，则应用程序将保持关闭所有访问权限的状态，该应用程序自然无法实现指定的功能。
再如，对于每个智能终端、针对安装到该智能终端中的每个应用程序，技术人员需要手动去设置该应用程序的访问权限，操作非常繁琐，工作量较大，导致应用程序的管理不便。
本发明的发明人还发现，采用现有的强制访问控制方法对智能终端中的应用程序进行权限设置，一旦设置不当，容易导致应用程序获得了不应当获得的权限，攻击者可以利用设置不当的权限获取机密信息，从而造成机密信息泄露。
综上，对于有关部门或者公司配发的智能终端而言，现有的应用程序的强制访问控制方法，存在不便于实现功能、管理不便以及容易泄密的缺陷。
因此，有必要提供一种应用程序的强制访问控制方法、系统和管理服务器，可以在不影响应用程序实现指定功能的情况下，更加方便地管理应用程序，并防止应用程序泄密。
发明内容
本发明针对现有的应用程序的强制访问控制方式的缺点，提出一种应用程序的强制访问控制方法、系统和管理服务器，用以解决现有技术存在应用程序功能实现不便、管理不便以及容易泄密的问题。
本发明的实施例根据一个方面，提供了一种应用程序的强制访问控制方法，包括：
管理服务器接收管理员针对应用程序定义的访问资源的信息，将其解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包；
所述管理服务器对于所述应用程序，将其安装包以及其对应的策略包下发至智能终端；
所述智能终端根据接收的安装包安装所述应用程序时，将接收的策略包安装到操作系统中，使得所述应用程序运行时被限定于所述访问资源。
本发明的实施例根据另一个方面，还提供了一种应用程序的强制访问控制系统，包括：
管理服务器，用于接收管理员针对应用程序定义的访问资源的信息，将其解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包；以及对于所述应用程序，将其安装包以及其对应的策略包下发；
智能终端，用于接收的安装包安装所述应用程序时，将接收的策略包安装到操作系统中，使得所述应用程序运行时被限定于所述访问资源。
本发明的实施例根据另一个方面，还提供了一种应用程序的强制访问控制方法，包括：
接收管理员针对应用程序定义的访问资源的信息，将其解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包；
对于所述应用程序，将其安装包以及其对应的策略包下发至智能终端。
本发明的实施例根据另一个方面，还提供了一种管理服务器，包括：
信息获取模块，用于接收管理员针对应用程序定义的访问资源的信息；
策略生成模块，用于将所述访问资源的信息解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包；
下发模块，用于对于所述应用程序，将其安装包以及其对应的策略包下发至智能终端。
本发明实施例中，管理服务器接收管理员针对应用程序的访问资源的信息，将其解析成配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包；智能终端安装管理服务器下发的应用程序的安装包以及策略包后，应用程序运行时被允许访问的资源受到强制访问控制策略的限制，可以防止应用程序访问涉密的资源，从而可以防止应用程序泄密；并且应用程序依然可以访问强制访问控制策略所允许访问的资源，从而实现指定的功能；以及由管理服务器统一生成、下发策略包，无需逐个对每个智能终端中每个应用程序进行访问权限的设置，节省了大量的操作，减少了工作量，对智能终端的应用程序的管理更加方便高效。
本发明附加的方面和优点将在下面的描述中部分给出，这些将从下面的描述中变得明显，或通过本发明的实践了解到。
附图说明
本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：
图1为本发明实施例的应用程序的强制访问控制系统的架构示意图；
图2为本发明实施例的应用程序的强制访问控制方法的流程示意图；
图3为本发明实施例的管理服务器内部结构的框架示意图。
具体实施方式
下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。
本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。
本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样被特定定义，否则不会用理想化或过于正式的含义来解释。
本技术领域技术人员可以理解，这里所使用的“终端”、“终端设备”既包括无线信号接收器的设备，其仅具备无发射能力的无线信号接收器的设备，又包括接收和发射硬件的设备，其具有能够在双向通信链路上，进行双向通信的接收和发射硬件的设备。这种设备可以包括：蜂窝或其他通信设备，其具有单线路显示器或多线路显示器或没有多线路显示器的蜂窝或其他通信设备；PCS(PersonalCommunicationsService，个人通信系统)，其可以组合语音、数据处理、传真和/或数据通信能力；PDA(PersonalDigitalAssistant，个人数字助理)，其可以包括射频接收器、寻呼机、互联网/内联网访问、网络浏览器、记事本、日历和/或GPS(GlobalPositioningSystem，全球定位系统)接收器；常规膝上型和/或掌上型计算机或其他设备，其具有和/或包括射频接收器的常规膝上型和/或掌上型计算机或其他设备。这里所使用的“终端”、“终端设备”可以是便携式、可运输、安装在交通工具(航空、海运和/或陆地)中的，或者适合于和/或配置为在本地运行，和/或以分布形式，运行在地球和/或空间的任何其他位置运行。这里所使用的“终端”、“终端设备”还可以是通信终端、上网终端、音乐/视频播放终端，例如可以是PDA、MID(MobileInternetDevice，移动互联网设备)和/或具有音乐/视频播放功能的移动电话，也可以是智能电视、机顶盒等设备。
本发明的发明人考虑到，可以由管理员定义出应用程序的访问资源的信息；管理服务器将其解析后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包；智能终端安装管理服务器下发的应用程序的安装包以及策略包后，应用程序运行时被允许访问的资源受到强制访问控制策略的限制，可以防止应用程序获取涉密的资源，从而可以防止应用程序泄密；并且应用程序依然可以访问强制访问控制策略所允许访问的资源，从而实现指定的功能；以及由管理服务器统一生成、下发策略包，无需逐个对每个智能终端中每个应用程序进行访问权限的设置，节省了大量的操作，减少了工作量，对智能终端的应用程序的管理更加方便高效。
下面结合附图具体介绍本发明实施例的技术方案。
本发明实施例提供了一种应用程序的强制访问控制系统，该系统的架构示意图如图1所示，包括：管理服务器101和智能终端102。
其中，管理服务器101可以有线接入网络。例如，管理服务器101可以通过光纤接入互联网的广域网或者移动互联网的主干网。再如，管理服务器101可以通过网线接入互联网的局域网。
较佳地，管理服务器101具体可以是移动设备管理(MobileDeviceManagement)服务器。
管理服务器101主要用于生成应用程序的强制访问控制策略后，下发给智能终端102等，具体功能将在后续详述。
智能终端102可以是多个，具体可以是智能手机或平板电脑等终端设备。智能终端102可以无线接入网络。例如，智能终端102可以接入WiFi(WirelessFidelity，无线保真)局域网。
在对应用程序进行强制访问控制之前，管理服务器101可以通过多种途径获取多种应用程序的安装包存储到本管理服务器101中。
例如，管理服务器101可以通过网络蜘蛛、手机助手、应用市场等软件从网络上获取各种各样的应用于智能终端的应用程序的安装包，并存储到本管理服务器中。
管理服务器101中对应存储有应用程序的标识、访问资源的配置信息、以及强制访问控制策略的策略包。强制访问控制策略的策略包，与访问资源的配置信息通常是一一对应的。
较佳地，对于同一强制访问控制策略的策略包或者同一访问资源的配置信息，可以对应存储有多个应用程序的标识。也就是说，多个应用程序共享同一访问资源的配置信息、同一强制访问控制策略的策略包。
基于上述应用程序的强制访问控制系统，本发明实施例提供了一种应用程序的强制访问控制方法，该方法的流程示意图如图2所示，包括如下步骤：
S201：管理服务器101接收管理员针对应用程序定义的访问资源的信息。
具体地，管理服务器101对于获取的每个应用程序，可以向管理员显示访问资源定义交互界面，并在该界面中显示有关部门或者公司对应用程序允许访问的访问资源以及具体访问权限的要求。
管理服务器101通过访问资源定义交互界面，接收管理员针对应用程序定义的问资源的信息。
访问资源的信息可以包括：允许应用程序访问的访问资源、以及应用程序访问每个访问资源的访问权限。访问资源可以包括：配置文件、socket(套接字)端口、网络资源和应用程序等。访问权限可以包括：读取、写入、编辑和删除等等。
较佳地，管理服务器101对于某一应用程序，可以解析出该应用程序的安装包中的权限配置文件，从解析出的权限配置文件中获取该应用程序待访问的各访问资源、以及该应用程序对每个访问资源的访问权限。
管理服务器101在访问资源定义交互界面中，显示获取的该应用程序待访问的各访问资源、以及该应用程序对每个访问资源的访问权限，以供管理员进行筛选或者删减；管理服务器101接收到管理员输入的针对该应用程序的访问资源和访问权限的筛选或者删减指令(例如供管理员输入应用程序针对/etc/passwd这个方位资源的写入权限的删除指令)，对该应用程序待访问的各访问资源、以及该应用程序对每个访问资源的访问权限进行对应操作，得到该应用程序的访问资源的信息。
较佳地，管理服务器101可以对管理员针对应用程序定义的访问资源的信息进行存储。
例如，管理服务器101可以将经过管理员定义的应用程序的访问资源的信息存储在诸如文本文件、或者脚本文件等文件中。
S202：管理服务器101将管理员针对应用程序定义的访问资源的信息解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为应用程序对应的策略包。
本步骤中，管理服务器101对于管理员针对应用程序定义的访问资源的信息进行解析，得到应用程序的对应资源的配置信息。
较佳地，管理服务器101可以获取已存储的管理员针对应用程序定义的访问资源的信息，对获取的访问资源的信息进行解析，得到应用程序对访问资源的配置信息。
例如，管理服务器101可以从上述步骤S201中的文本文件或者脚本文件中获取经过管理员定义的应用程序的访问资源的信息，对获取的应用程序的访问资源的信息进行解析，得到对应资源的配置信息。
具体地，管理服务器101可以将应用程序作为主体，将获取的访问资源的信息中的访问资源作为客体；管理服务器101根据获取的访问资源的信息中主体对客体的访问权限，从应用程序的访问资源的信息中解析出主客体之间的关系，作为资源的配置信息。
例如，管理服务器101将应用程序app作为主体；将获取的访问资源的信息中的app.config、app.config1和app2等资源都作为客体，其中，app.config、app.config1分别表示应用程序app的两个配置文件，app2表示另一个应用程序；管理服务器101根据获取的访问资源的信息中主体对客体的访问权限，从该访问资源的信息中解析出主客体之间的关系，作为资源的配置信息。主客体之间的关系包括：app对app.config的读取、写入、编辑和删除，app对app.config1的只读，以及app对app2的socket通信。
管理服务器101根据解析出的配置信息，生成强制访问控制策略的策略语句。具体地，管理服务器101根据解析得到的资源的配置信息，生成符合强制访问控制策略语言的策略语句。
较佳地，管理服务器101根据解析得到的主体、客体以及主客体之间的关系，生成符合强制访问控制策略语言的策略语句。
例如，强制访问控制策略具体为基于SE(Security-Enhanced，安全增强)Linux的策略。管理服务器101可以根据解析得到的主体、客体以及主客体之间的关系，生成基于SELinux的策略语句。
再如，强制访问控制策略具体为基于smack(强制访问控制内核模块)的策略。管理服务器101可以根据解析得到的主体、客体以及主客体之间的关系，生成基于smack的策略语句。
管理服务器101在智能终端操作系统强制访问控制的编译环境下，将生成的策略语句编译成强制访问控制策略的策略包。例如，强制访问控制策略的策略包具体可以是基于SELinux的app.pp文件。
之后，管理服务器101将编译生成的强制访问控制策略的策略包，作为应用程序对应的强制访问控制策略的策略包，与该应用程序的标识和安装包对应存储。
更优的，管理服务器101在根据解析出应用程序的访问资源的配置信息，生成强制访问控制策略的策略语句之前，对于解析出的应用程序的访问资源的配置信息，确定是否可以查询到与该配置信息对应预存的强制访问控制策略的策略包；若是，则将查询到的强制访问控制策略的策略包，作为应用程序对应的强制访问控制策略的策略包，并将该应用程序的标识和安装包都与该策略包对应存储。
本领域技术人员可以理解，当多个应用程序都与同一强制访问控制策略的策略包相对应时，管理服务器101只需为多个应用程序之一生成并编译该策略包一次即可，多个应用程序中的其它应用程序直接与该策略包建立对应关系即可，节省了为其它应用程序生成并编译策略包的步骤，提升了强制访问控制策略的策略包的生成和编译效率，减少了对管理服务器101系统资源的占用。
进一步，管理服务器101查询到与应用程序的访问资源的配置信息对应预存的强制访问控制策略的策略包后，进而从与该策略包对应预存的若干个应用程序的标识中，查询是否存在本应用程序的标识；若是，则说明已对应该策略包存储有本应用程序的标识和安装包，结束对应用程序的标识的查询；否则，将本应用程序的标识和安装包都与该策略包对应存储。
更优的，管理服务器101查询不到与该配置信息对应预存的强制访问控制策略的策略包时，执行上述根据解析出的配置信息，生成强制访问控制策略的策略语句，进而将生成的策略语句编译成强制访问控制策略的策略包，并对应存储的过程，此处不再赘述。
S203：管理服务器101对于应用程序，将其安装包以及其对应的强制访问控制策略的策略包下发至智能终端102。
具体地，管理服务器101对于每个应用程序，可以将该应用程序的安装包、该应用程序对应的强制访问控制策略的策略包，以及安装指令，向指定的智能终端102发送。
较佳地，管理服务器101接收到管理员输入的下发指令后，从中解析出应用程序的标识和智能终端102的标识，并生成安装指令；获取与该应用程序对应存储的强制访问控制策略的策略包、以及该应用程序的安装包；根据解析出智能终端102的标识，将获取的应用程序对应的强制访问控制策略的策略包、应用程序的安装包，以及安装指令，一并发送至该智能终端102。
较佳地，管理服务器101可以将同一应用程序的安装包、该应用程序对应的强制访问控制策略的策略包和安装指令打包后，依次向多个智能终端102发送。
S204：智能终端102根据接收的安装包安装应用程序时，将接收的策略包安装到操作系统中，使得应用程序运行时被策略包中的强制访问控制策略限定于访问资源。
具体地，智能终端102对接收到的应用程序的安装包和强制访问控制策略的策略包进行缓存；接收到安装指令后，根据缓存的安装包安装应用程序时，将缓存的强制访问控制策略的策略包安装到本智能终端的操作系统中。
智能终端102将强制访问控制策略的策略包安装到本智能终端的操作系统中后，在本智能终端中运行应用程序时，调用操作系统中对应的策略包，并根据调用的策略包中强制访问控制策略对应用程序待访问的访问资源、以及应用程序对各访问资源的访问权限进行限制。
事实上，根据上述步骤S201-步骤S204，在管理服务器101已经下发应用程序的安装包、对应的强制访问控制策略的策略包，以及安装指令至某一智能终端的情况下，管理服务器101在后续又需要向其它智能终端下发同一应用程序的安装包、对应的强制访问控制策略的策略包，以及安装指令时，无需为同一应用程序再次编译生成策略包，直接获取该应用程序对应的策略包后，与该应用程序的安装包、以及安装指令一并下发至其它智能终端。从而节省了管理服务器101再次编译生成策略包的时间，提升了策略包下发的效率。
例如，管理服务器101在已经下发应用程序的安装包、对应的强制访问控制策略的策略包，以及安装指令至某一智能终端后，又接收到管理员输入的下发指令，从下发指令中解析出多个智能终端的标识和该应用程序的标识后，生成安装指令；直接获取与该应用程序对应存储的强制访问控制策略的策略包；对于下发指令中的每个智能终端的标识，将获取的应用程序对应的强制访问控制策略的策略包、应用程序的安装包，以及安装指令，一并发送至该智能终端102。整个下发过程中，管理服务器101无需为该应用程序再次编译生成策略包，节省了再次编译生成策略包的时间，提升了策略包下发的效率。
基于上述应用程序的强制访问控制方法，本发明实施例的管理服务器101的内部结构的框架示意图如图3所示，包括：信息获取模块301、策略生成模块302和下发模块303。
其中，信息获取模块301用于接收管理员针对应用程序定义的访问资源的信息。
具体地，信息获取模块301对于获取的每个应用程序，可以向管理员显示访问资源定义交互界面，并在该界面中显示有关部门或者公司对应用程序允许访问的访问资源以及具体访问权限的要求。信息获取模块301通过访问资源定义交互界面，接收管理员针对应用程序定义的问资源的信息。
访问资源的信息可以包括：允许应用程序访问的访问资源、以及应用程序访问每个访问资源的访问权限。访问资源可以包括：配置文件、socket(套接字)端口、网络资源和应用程序等。访问权限可以包括：读取、写入、编辑和删除等等。
较佳地，信息获取模块301对于某一应用程序，可以解析出该应用程序的安装包中的权限配置文件，从解析出的权限配置文件中获取该应用程序待访问的各访问资源、以及该应用程序对每个访问资源的访问权限。
信息获取模块301在访问资源定义交互界面中，显示获取的该应用程序待访问的各访问资源、以及该应用程序对每个访问资源的访问权限，以供管理员进行筛选或者删减；接收到管理员输入的针对该应用程序的访问资源和访问权限的筛选或者删减指令后，对该应用程序待访问的各访问资源、以及该应用程序对每个访问资源的访问权限进行对应操作，得到该应用程序的访问资源的信息。
较佳地，信息获取模块301可以对管理员针对应用程序定义的访问资源的信息进行存储。
策略生成模块302用于将信息获取模块301接收的访问资源的信息解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包。
具体地，策略生成模块302对于管理员针对应用程序定义的访问资源的信息进行解析，得到应用程序的对应资源的配置信息。
较佳地，策略生成模块302可以获取已存储的管理员针对应用程序定义的访问资源的信息，对获取的访问资源的信息进行解析，得到应用程序对访问资源的配置信息。
策略生成模块302可以将应用程序作为主体，将获取的访问资源的信息中的访问资源作为客体；策略生成模块302根据获取的访问资源的信息中主体对客体的访问权限，从应用程序的访问资源的信息中解析出主客体之间的关系，作为资源的配置信息。
策略生成模块302根据解析出的配置信息，生成强制访问控制策略的策略语句；在智能终端操作系统强制访问控制的编译环境下，将生成的策略语句编译成强制访问控制策略的策略包。
下发模块303用于对于应用程序，将该应用程序的安装包以及策略生成模块302生成的该应用程序对应的强制访问控制策略的策略包下发至智能终端102。
上述信息获取模块301、策略生成模块302和下发模块303功能的实现方法，可以参考上述图2所示的流程步骤的具体内容，此处不再赘述。
本发明实施例中，管理服务器接收管理员针对应用程序的访问资源的信息，将其解析成配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包；智能终端安装管理服务器下发的应用程序的安装包以及策略包后，应用程序运行时被允许访问的资源受到强制访问控制策略的限制，可以防止应用程序访问涉密的资源，从而可以防止应用程序泄密；并且应用程序依然可以访问强制访问控制策略所允许访问的资源，从而实现指定的功能；以及由管理服务器统一生成、下发策略包，无需逐个对每个智能终端中每个应用程序进行访问权限的设置，节省了大量的操作，减少了工作量，对智能终端的应用程序的管理更加方便高效。
而且，本发明的实施例中，管理服务器在编译生成强制访问控制策略的策略包前，若查询出解析出的配置信息已经对应预存有策略包，则将查询出的策略包作为应用程序对应的策略包。也就是说，对于多个不同应用程序与同一强制访问控制策略的策略包相对应的应用场景，在该策略包已与一个应用程序对应存储的情况下，管理服务器可将其它应用程序直接与该策略包建立对应关系，可以节省为其它应用程序编译生成策略包的步骤，提升了强制访问控制策略的策略包的编译生成效率，减少了对管理服务器系统资源的占用。
此外，本发明的实施例中，在管理服务器已经下发应用程序的安装包、对应的强制访问控制策略的策略包，以及安装指令至某一智能终端的情况下，当在后续又需要向其它智能终端下发同一应用程序的安装包时，无需为同一应用程序再次编译生成策略包，直接获取该应用程序对应的策略包后，与该应用程序的安装包、以及安装指令一并下发至其它智能终端；从而节省了管理服务器再次编译生成策略包的时间，提升了策略包下发的效率。
本技术领域技术人员可以理解，本发明包括涉及用于执行本申请中所述操作中的一项或多项的设备。这些设备可以为所需的目的而专门设计和制造，或者也可以包括通用计算机中的已知设备。这些设备具有存储在其内的计算机程序，这些计算机程序选择性地激活或重构。这样的计算机程序可以被存储在设备(例如，计算机)可读介质中或者存储在适于存储电子指令并分别耦联到总线的任何类型的介质中，所述计算机可读介质包括但不限于任何类型的盘(包括软盘、硬盘、光盘、CD-ROM、和磁光盘)、ROM(Read-OnlyMemory，只读存储器)、RAM(RandomAccessMemory，随即存储器)、EPROM(ErasableProgrammableRead-OnlyMemory，可擦写可编程只读存储器)、EEPROM(ElectricallyErasableProgrammableRead-OnlyMemory，电可擦可编程只读存储器)、闪存、磁性卡片或光线卡片。也就是，可读介质包括由设备(例如，计算机)以能够读的形式存储或传输信息的任何介质。
本技术领域技术人员可以理解，可以用计算机程序指令来实现这些结构图和/或框图和/或流图中的每个框以及这些结构图和/或框图和/或流图中的框的组合。本技术领域技术人员可以理解，可以将这些计算机程序指令提供给通用计算机、专业计算机或其他可编程数据处理方法的处理器来实现，从而通过计算机或其他可编程数据处理方法的处理器来执行本发明公开的结构图和/或框图和/或流图的框或多个框中指定的方案。
本技术领域技术人员可以理解，本发明中已经讨论过的各种操作、方法、流程中的步骤、措施、方案可以被交替、更改、组合或删除。进一步地，具有本发明中已经讨论过的各种操作、方法、流程中的其他步骤、措施、方案也可以被交替、更改、重排、分解、组合或删除。进一步地，现有技术中的具有与本发明中公开的各种操作、方法、流程中的步骤、措施、方案也可以被交替、更改、重排、分解、组合或删除。
以上所述仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。
Claims (10)
1.一种应用程序的强制访问控制方法，其特征在于，包括：
管理服务器接收管理员针对应用程序定义的访问资源的信息，将其解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包；
所述管理服务器对于所述应用程序，将其安装包以及其对应的策略包下发至智能终端；
所述智能终端根据接收的安装包安装所述应用程序时，将接收的策略包安装到操作系统中，使得所述应用程序运行时被限定于所述访问资源。
2.根据权利要求1所述的方法，其特征在于，所述结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，具体包括：
所述管理服务器根据所述配置信息，生成强制访问控制策略的策略语句；
所述管理服务器在智能终端操作系统强制访问控制的编译环境下，将生成的策略语句编译成强制访问控制策略的策略包。
3.根据权利要求1所述的方法，其特征在于，所述解析为对应资源的配置信息，具体包括：
所述管理服务器将所述应用程序作为主体，将所述访问资源作为客体，根据所述主体对客体的访问权限解析出的配置信息具体为主客体之间的关系。
4.根据权利要求1-3任一所述的方法，其特征在于，所述编译生成强制访问控制策略的策略包前，还包括：
所述管理服务器若查询到与所述配置信息对应预存的强制访问控制策略的策略包，则将查询到的强制访问控制策略的策略包作为所述应用程序对应的策略包。
5.一种应用程序的强制访问控制系统，其特征在于，包括：
管理服务器，用于接收管理员针对应用程序定义的访问资源的信息，将其解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包；以及对于所述应用程序，将其安装包以及其对应的策略包下发；
智能终端，用于接收的安装包安装所述应用程序时，将接收的策略包安装到操作系统中，使得所述应用程序运行时被限定于所述访问资源。
6.一种应用程序的强制访问控制方法，其特征在于，包括：
接收管理员针对应用程序定义的访问资源的信息，将其解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包；
对于所述应用程序，将其安装包以及其对应的策略包下发至智能终端。
7.根据权利要求6所述的方法，其特征在于，所述结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，具体包括：
根据所述配置信息，生成强制访问控制策略的策略语句；
在智能终端操作系统强制访问控制的编译环境下，将生成的策略语句编译成强制访问控制策略的策略包。
8.根据权利要求6所述的方法，其特征在于，所述解析为对应资源的配置信息，具体包括：
将所述应用程序作为主体，将所述访问资源作为客体，根据所述主体对所述客体的访问权限解析出的配置信息具体为主客体之间的关系。
9.一种管理服务器，其特征在于，包括：
信息获取模块，用于接收管理员针对应用程序定义的访问资源的信息；
策略生成模块，用于将所述访问资源的信息解析为对应资源的配置信息后，结合智能终端操作系统强制访问控制的编译环境，编译生成强制访问控制策略的策略包，作为所述应用程序对应的策略包；
下发模块，用于对于所述应用程序，将其安装包以及其对应的策略包下发至智能终端。
10.根据权利要求9所述的管理服务器，其特征在于，
所述策略生成模块具体用于根据所述配置信息，生成强制访问控制策略的策略语句；在智能终端操作系统强制访问控制的编译环境下，将生成的策略语句编译成强制访问控制策略的策略包。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510918191.4A CN105553961B (zh) | 2015-12-11 | 2015-12-11 | 应用程序的强制访问控制方法、系统和管理服务器 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201510918191.4A CN105553961B (zh) | 2015-12-11 | 2015-12-11 | 应用程序的强制访问控制方法、系统和管理服务器 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN105553961A true CN105553961A (zh) | 2016-05-04 |
| CN105553961B CN105553961B (zh) | 2019-06-28 |
Family
ID=55832897
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201510918191.4A Active CN105553961B (zh) | 2015-12-11 | 2015-12-11 | 应用程序的强制访问控制方法、系统和管理服务器 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN105553961B (zh) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106020912A (zh) * | 2016-06-02 | 2016-10-12 | 北京元心科技有限公司 | 基于云的SELinux策略加载方法、装置、终端设备及系统 |
| CN106020923A (zh) * | 2016-06-02 | 2016-10-12 | 北京元心科技有限公司 | SELinux策略的编译方法及系统 |
| CN106095495A (zh) * | 2016-06-02 | 2016-11-09 | 北京元心科技有限公司 | SELinux策略的动态生成方法、装置及终端设备 |
| CN110109684A (zh) * | 2019-04-04 | 2019-08-09 | 平安科技（深圳）有限公司 | 区块链节点管理代理服务安装方法、电子装置及存储介质 |
| CN110442357A (zh) * | 2019-08-09 | 2019-11-12 | 四川虹美智能科技有限公司 | 一种应用安装管理方法、智能设备以及系统 |
| CN112243003B (zh) * | 2020-10-13 | 2023-04-11 | 中移（杭州）信息技术有限公司 | 访问控制方法、电子设备及存储介质 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20120291103A1 (en) * | 2011-05-09 | 2012-11-15 | Google Inc. | Permission-based administrative controls |
| CN102917346A (zh) * | 2012-10-17 | 2013-02-06 | 浙江大学城市学院 | 一种基于Android的应用程序运行时安全策略管理系统及方法 |
| CN103067392A (zh) * | 2012-12-28 | 2013-04-24 | 中国人民解放军理工大学 | 一种基于Android终端的安全访问控制方法 |
| CN104680075A (zh) * | 2013-11-27 | 2015-06-03 | 通用汽车环球科技运作有限责任公司 | 用于来自高级别应用程序许可的细粒度访问控制的框架 |
| CN104951707A (zh) * | 2015-05-13 | 2015-09-30 | 上海交通大学 | 基于Android平台的敏感资源访问控制策略系统 |
-
2015
- 2015-12-11 CN CN201510918191.4A patent/CN105553961B/zh active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20120291103A1 (en) * | 2011-05-09 | 2012-11-15 | Google Inc. | Permission-based administrative controls |
| CN102917346A (zh) * | 2012-10-17 | 2013-02-06 | 浙江大学城市学院 | 一种基于Android的应用程序运行时安全策略管理系统及方法 |
| CN103067392A (zh) * | 2012-12-28 | 2013-04-24 | 中国人民解放军理工大学 | 一种基于Android终端的安全访问控制方法 |
| CN104680075A (zh) * | 2013-11-27 | 2015-06-03 | 通用汽车环球科技运作有限责任公司 | 用于来自高级别应用程序许可的细粒度访问控制的框架 |
| CN104951707A (zh) * | 2015-05-13 | 2015-09-30 | 上海交通大学 | 基于Android平台的敏感资源访问控制策略系统 |
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106020912A (zh) * | 2016-06-02 | 2016-10-12 | 北京元心科技有限公司 | 基于云的SELinux策略加载方法、装置、终端设备及系统 |
| CN106020923A (zh) * | 2016-06-02 | 2016-10-12 | 北京元心科技有限公司 | SELinux策略的编译方法及系统 |
| CN106095495A (zh) * | 2016-06-02 | 2016-11-09 | 北京元心科技有限公司 | SELinux策略的动态生成方法、装置及终端设备 |
| CN110109684A (zh) * | 2019-04-04 | 2019-08-09 | 平安科技（深圳）有限公司 | 区块链节点管理代理服务安装方法、电子装置及存储介质 |
| WO2020199597A1 (zh) * | 2019-04-04 | 2020-10-08 | 平安科技（深圳）有限公司 | 区块链节点管理代理服务安装方法、电子装置及存储介质 |
| CN110109684B (zh) * | 2019-04-04 | 2023-06-09 | 平安科技（深圳）有限公司 | 区块链节点管理代理服务安装方法、电子装置及存储介质 |
| CN110442357A (zh) * | 2019-08-09 | 2019-11-12 | 四川虹美智能科技有限公司 | 一种应用安装管理方法、智能设备以及系统 |
| CN110442357B (zh) * | 2019-08-09 | 2022-11-01 | 四川虹美智能科技有限公司 | 一种应用安装管理方法、智能设备以及系统 |
| CN112243003B (zh) * | 2020-10-13 | 2023-04-11 | 中移（杭州）信息技术有限公司 | 访问控制方法、电子设备及存储介质 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN105553961B (zh) | 2019-06-28 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN105553961A (zh) | 应用程序的强制访问控制方法、系统和管理服务器 | |
| CN101452402B (zh) | 软件运行系统和软件运行方法 | |
| CN1723674B (zh) | 用于无线移动通信设备的连接控制的系统和方法 | |
| US7111292B2 (en) | Apparatus and method for secure program upgrade | |
| US8745223B2 (en) | System and method of distributed license management | |
| CN105843653A (zh) | 一种安全应用配置方法及装置 | |
| CN108632807B (zh) | 移动终端访问控制的方法及装置 | |
| CN105046156A (zh) | 智能终端及其设备访问权限控制方法 | |
| CN103677935A (zh) | 一种应用程序的安装控制方法、系统及装置 | |
| CN104854561A (zh) | 用于应用程序管理框架的应用程序封装 | |
| CN105184153A (zh) | 智能终端及其基于多级容器的应用程序运行方法 | |
| WO2013075412A1 (zh) | 移动终端的安全控制方法及装置 | |
| CN106534148A (zh) | 应用的访问管控方法及装置 | |
| CN106778291A (zh) | 应用程序的隔离方法及隔离装置 | |
| US10171502B2 (en) | Managed applications | |
| US10051045B2 (en) | Searching content associated with multiple applications | |
| US20100017503A1 (en) | Download server and method for installing and updating application program using partitioning of shared library | |
| CN103455520A (zh) | 安卓数据库访问的方法及设备 | |
| CN111368330B (zh) | 一种基于区块链的以太坊智能合约审计系统及方法 | |
| US7818815B2 (en) | Communication device | |
| US10430166B2 (en) | Resource injection for application wrapping | |
| US20160342788A1 (en) | Generating packages for managed applications | |
| US10339302B2 (en) | Creating multiple workspaces in a device | |
| CN108040122B (zh) | 文件传输方法及装置 | |
| CN105786575A (zh) | 移动终端及其用于重写系统时数据免清除的方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20210203 Address after: 101300 room 153, 1 / F, building 17, 16 Caixiang East Road, Nancai Town, Shunyi District, Beijing Patentee after: Yuanxin Information Technology Group Co.,Ltd. Address before: 100176 room 2222, building D, building 33, 99 Kechuang 14th Street, Beijing Economic and Technological Development Zone, Beijing Patentee before: BEIJING YUANXIN SCIENCE & TECHNOLOGY Co.,Ltd. |
|
| EE01 | Entry into force of recordation of patent licensing contract | ||
| EE01 | Entry into force of recordation of patent licensing contract |
Application publication date: 20160504 Assignee: Beijing Yuanxin Junsheng Technology Co.,Ltd. Assignor: Yuanxin Information Technology Group Co.,Ltd. Contract record no.: X2021110000018 Denomination of invention: Mandatory access control method, system and management server of application program Granted publication date: 20190628 License type: Common License Record date: 20210531 |