CN108769002B - 基于差分隐私的Android终端加速度信息的安全保护方法 - Google Patents

Abstract

本发明涉及基于差分隐私的Android终端加速度信息的安全保护方法，涉及Android智能终端系统安全领域。面向不同应用的权限可调的加速度信息保护方案。基于差分隐私的加速度信息处理。基于用户使用习惯与应用历史行为的权限参数调整；针对不同的第三方应用设置不同的加速度信息获取权限，动态调整权衡策略，并基于差分隐私对原始加速度传感器信息进行处理，在尽可能不影响功能的前提下提供安全保护。

Description

基于差分隐私的Android终端加速度信息的安全保护方法

技术领域

本发明涉及基于差分隐私的Android终端加速度信息的安全保护方法，涉及Android智能终端系统安全领域。

背景技术

随着移动通信技术的发展和移动设备的普及，以及移动智能终端本身的开放性、灵活性，移动智能终端系统的安全问题日益引起社会关注。现代移动智能终端往往具备三类能力：计算、通信、传感。其中，传感能力使得现代移动智能终端可以实现一系列新奇应用的同时，也带来了严重的安全与隐私隐患。以加速度传感器为例，目前绝大多数移动智能终端都集成了该传感器，以通过设备的加速度信息获取用户的动作情况。然而一旦移动智能终端受到攻击，攻击者将不仅仅能获得设备本身存储的用户信息，甚至可以通过嗅探传感器记录用户的行为。

由于Android系统中应用程序获取加速度信息并不需要额外的权限，近年来涌现了一大批基于加速度传感器的攻击技术。最常见的基于加速度传感器的攻击是通过加速度信息获取用户输入文本或密码。相关文献提出，用户在物理键盘上输入的过程中，获取放置在物理键盘附近的智能手机中加速度传感器的数据，用机器学习算法对用户敲击的按键进行分类，即可推测用户输入内容。相关文献通过嗅探加速度传感器，能够于用户在智能手机虚拟键盘上输入密码的过程中，获取手机加速度传感器数据，并训练模型对按键区域进行预测，然后将预测区域映射到虚拟键盘，最终可以推测用户输入内容。相关文献假设了用户佩戴智能手表并在POS机或物理键盘上进行输入的场景，在该过程中通过获取用户佩戴的智能手表加速度传感器数据，并对移动轨迹进行恢复和处理，最终可以推测用户输入内容。相关文献在相同的场景下，通过精确计算输入过程中手部移动方向和距离，并使用“后向子序列推理”方法从Enter键开始倒推，从而最终可以较为准确的推测出用户输入的密码。

除了基于加速度传感器推测用户的输入文本、密码，加速度传感器亦被用来推测用户的位置信息。通过此类攻击，应用可以绕过Android系统的位置权限，通过无需权限的加速度信息推测用户位置。相关文献通过获取智能终端中加速度传感器数据，可以准确推测用户在地铁上的行动路线以及用户当前所处的地铁站。

此外，基于加速度传感器还可以有效生成用户特征，从而识别用户，破坏用户匿名。相关文献基于手机智能终端中加速度传感器和陀螺仪数据生成终端指纹，能够在网络上追踪用户。

虽然基于加速度传感器的攻击很多，但是目前并没有行之有效的保护方案。国内外基于Android制作的mod和衍生系统很多，但均未能有效保护加速度信息。相关文献提出基于权限的传感器保护方案，但其仅仅能做到针对传感器访问权限的细粒度访问控制。采用类似方案虽然可以保护加速度传感器，但缺陷也很明显：不能在应用的功能与用户的隐私之间进行合理的权衡。对于用户不能完全信任的应用，用户将不得不放弃应用功能，或者放弃自身隐私。

对功能与隐私进行权衡的前提，是能够量化定义功能与隐私。不同的应用场景对功能有不同的定义方式，然而对于隐私在早些年一直缺乏统一的量化标准。差分隐私是微软学者Cynthia Dwork于2008年提出的一种对隐私的严格定义，并在近五年来成为对隐私最被广泛认可的定义方式。然而如何通过差分隐私定义传感器信息，特别是加速度传感器信息的隐私尚未有研究，也未见有基于差分隐私的加速度传感器隐私保护方案。

发明内容

本发明的目的在于针对现有技术的缺陷和不足，提供一种设计合理、操作方便的基于差分隐私的Android终端加速度信息的安全保护方法。

为实现上述目的，本发明采用的技术方案是：基于差分隐私的Android终端加速度信息的安全保护方法分为三个阶段：

1、面向不同应用的权限可调的加速度信息保护方案：

在Android系统层为加速度信息提供基于权限的保护方案。依据用户对不同应用的信任程度设置加速度信息访问权限，Android系统据此决定是否返回加速度信息给相应的应用。应用对加速度信息的访问权限包含三档：允许、拒绝、权衡。前两类权限为传统的访问控制，第三类权限为参数动态可调整的满足差分隐私的加速度信息发布方案。

2、基于差分隐私的加速度信息处理：

当某一应用不能被用户完全信任，又需要依赖加速度信息提供相应功能时，其对加速度信息的访问权限可能被置为“权衡”档。此时在Android系统层首先对加速度信息进行预处理，使处理后的信息能够满足应用的功能需求，另一方面满足差分隐私的安全定义。

3、基于用户使用习惯的权限参数调整：

基于用户使用应用情况的历史记录，对处于“权衡”档的加速度信息使用权限的具体差分隐私参数进行动态调整。对经常占据Android前台的应用调高权限，发布更为准确的实时加速度信息。而对经常占据Android后台，且频繁进行加速度信息获取调用的应用适当调低权限，仅发布统计意义上准确的加速度信息；

具体的方案如下：

1、面向不同应用的权限可调的加速度信息保护方案：

依据用户对第三方应用的信任程度，给不同的应用设置不同的对加速度信息的访问权限，包含三档：允许、拒绝、权衡。针对用户未设置的，或不能完全信任的绝大多数应用，自动设置为“权衡”档的访问权限。

针对“允许”档访问权限的应用，在Android系统层允许其对加速度信息的获取，并直接返回加速度信息原始值。针对“拒绝”档访问权限的应用，在Android系统层拒绝其对加速度信息的获取。针对“权衡”档访问权限的应用，在Android系统层允许其对加速度信息的获取，但是返回经由下述步骤2处理后的加速度信息，以兼顾应用的功能与加速度信息安全。在“权衡”档的访问权限涉及的参数指标主要为：隐私预算。用隐私预算来表示加速度信息的安全与隐私程度。越低则处理后的加速度信息的实时准确性越差，越高则越好。隐私预算可以由用户手动指定，亦可由下述步骤3进行动态调整。

2、基于差分隐私的加速度信息处理：

对任意时刻t的加速度信息a，为其添加噪声信息Δa。该噪声信息服从概率分布函数K(0)。该时刻t的处理后的加速度信息为a′＝a+Δa。且a′～K(a)。该加速度信息a′＝x的概率为K(a)(x)。

若噪声添加机制K满足差分隐私，则对任意时刻t_i的加速度信息a_i和另一任意时刻t_j的加速度信息a_j。满足：

d_P(K(a_i)，K(a_j))≤∈d(a_i,a_j)

其中，

为K(a_i)与K(a_j)两个分布的最大差分距离；d(a_i，a_j)＝|a_i-a_j|为两个加速度的绝对距离；∈为隐私预算，∈越小则隐私程度越好。用户和系统可以通过调整∈来调整隐私与精度的权衡，通常∈＜1时，隐私保护效果较好。

噪声添加机制为，对于给定∈，和真实的加速度信息

添加噪声

生成满足差分隐私的加速度a′的概率分布函数为：

3、基于用户使用习惯与应用历史行为的权限参数调整：

基于用户使用应用情况的历史记录，评估应用使用加速度信息行为本身的敏感程度，以及用户对于该应用的信任程度，并最终动态调整“权衡”档访问权限的隐私预算。基于用户使用习惯的隐私预算其计算步骤包括三部分：计算应用行为的敏感程度，计算用户对应用的信任程度，计算隐私预算。

31、计算应用行为的敏感程度：

统计应用访问加速度信息的频率和所处前、后台情况。以较高的频率访问加速度信息、持续较长的时间、访问时处于后台且同时前台运行有其它应用，都可能是敏感的应用行为。针对具有更多敏感行为的应用，设置更低的隐私预算。反之亦然。

32、计算用户对应用的信任程度：

统计应用占据Android前台及处于Android后台的时间长度及比例。运行时间，特别是在前台运行时间越长的应用，说明用户对该应用更信任，设置更高的隐私预算。反之亦然。

33、计算隐私预算：

根据应用当前运行状态(前台或后台)，并基于步骤31所计算的应用行为的敏感程度，与步骤32所计算的用户对应用的信任程度，综合计算该应用使用加速度信息的隐私预算。

作为优选，所述步骤1中面向不同应用的权限可调的加速度权限方案建立，具体权限包括：

01允许：针对“允许”档访问权限的应用，在Android系统层允许其对加速度信息的获取，并直接返回加速度信息原始值；

02拒绝：针对“拒绝”档访问权限的应用，在Android系统层拒绝其对加速度信息的获取；

03权衡：针对“权衡”档访问权限的应用，在Android系统层允许其对加速度信息的获取，但是返回经由步骤2处理后的加速度信息，以兼顾应用的功能与加速度信息安全。

作为优选，所述步骤2中，基于差分隐私的加速度信息处理，其噪声添加机制为：

对于给定隐私预算∈，和真实的加速度信息

添加噪声

生成满足差分隐私的加速度a的概率分布函数为：

本专利基于差分隐私的思想，给出了一种加速度传感器信息的量化定义，并与Android的权限系统相结合，设计了基于用户使用习惯与应用历史行为的隐私预算计算方案，并最终提出了一种基于差分隐私的Android终端加速度信息的安全保护方法。

本发明中一方面要兼顾移动智能终端中第三方应用对Android终端加速度信息的需求与依赖，另一方面要兼顾未经保护的加速度信息可能造成的安全与隐私问题。在功能与安全中进行权衡优化，并提出一种权限可调的加速度信息安全保护方案。根据用户设置的不同功能与安全要求，针对不同的第三方应用设置不同的加速度信息获取权限，动态调整权衡策略，并基于差分隐私对原始加速度传感器信息进行处理，在尽可能不影响功能的前提下提供安全保护。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明中面向不同应用的权限可调的加速度信息保护方案体系图；

附图标记说明：

具体实施方式

下面结合附图对本发明作进一步的说明。

参看如图1所示，本具体实施方式的具体操作如下：

1、面向不同应用的权限可调的加速度信息保护方案：

依据用户对第三方应用的信任程度，给不同的应用设置不同的对加速度信息的访问权限，包含三档：允许、拒绝、权衡。针对用户未设置的，或不能完全信任的绝大多数应用，自动设置为“权衡”档的访问权限。

针对“允许”档访问权限的应用，在Android系统层允许其对加速度信息的获取，并直接返回加速度信息原始值。针对“拒绝”档访问权限的应用，在Android系统层拒绝其对加速度信息的获取。针对“权衡”档访问权限的应用，在Android系统层允许其对加速度信息的获取，但是返回经由下述步骤2处理后的加速度信息，以兼顾应用的功能与加速度信息安全。在“权衡”档的访问权限涉及的参数指标主要为：隐私预算。用隐私预算来表示加速度信息的安全与隐私程度。越低则处理后的加速度信息的实时准确性越差，越高则越好。隐私预算可以由用户手动指定，亦可由下述步骤3进行动态调整。

上述步骤中面向不同应用的权限可调的加速度权限方案建立，具体权限包括：

允许：针对“允许”档访问权限的应用，在Android系统层允许其对加速度信息的获取，并直接返回加速度信息原始值；

拒绝：针对“拒绝”档访问权限的应用，在Android系统层拒绝其对加速度信息的获取；

权衡：针对“权衡”档访问权限的应用，在Android系统层允许其对加速度信息的获取，但是返回经由步骤2处理后的加速度信息，以兼顾应用的功能与加速度信息安全

2、基于差分隐私的加速度信息处理：

对任意时刻t的加速度信息a，为其添加噪声信息Δa。该噪声信息服从概率分布函数K(0)。该时刻t的处理后的加速度信息为a′＝a+Δa。且a′～K(a)。该加速度信息a′＝x的概率为K(a)(x)。

若噪声添加机制K满足差分隐私，则对任意时刻t_i的加速度信息a_i和另一任意时刻t_j的加速度信息a_j。满足：

d_P(K(a_i)，K(a_j))≤∈d(a_i，a_j)

其中，

为K(a_i)与K(a_j)两个分布的最大差分距离；d(a_i，a_j)＝|a_i-a_j|为两个加速度的绝对距离；∈为隐私预算，∈越小则隐私程度越好。用户和系统可以通过调整∈来调整隐私与精度的权衡，通常∈＜1时，隐私保护效果较好。

上述步骤中，基于差分隐私的加速度信息处理，其噪声添加机制为：

对于给定隐私预算∈，和真实的加速度信息

添加噪声

生成满足差分隐私的加速度a′的概率分布函数为：

3、基于用户使用习惯与应用历史行为的权限参数调整：

基于用户使用应用情况的历史记录，评估应用使用加速度信息行为本身的敏感程度，以及用户对于该应用的信任程度，并最终动态调整“权衡”档访问权限的隐私预算。基于用户使用习惯的隐私预算其计算步骤包括三部分：计算应用行为的敏感程度，计算用户对应用的信任程度，计算隐私预算。

其中，计算应用行为的敏感程度：统计应用访问加速度信息的频率和所处前、后台情况。以较高的频率访问加速度信息、持续较长的时间、访问时处于后台且同时前台运行有其它应用，都可能是敏感的应用行为。针对具有更多敏感行为的应用，设置更低的隐私预算。反之亦然。计算用户对应用的信任程度：统计应用占据Android前台及处于Android后台的时间长度及比例。运行时间，特别是在前台运行时间越长的应用，说明用户对该应用更信任，设置更高的隐私预算。反之亦然。计算隐私预算：根据应用当前运行状态，综合计算该应用使用加速度信息的隐私预算。

另外，所述步骤3中，基于用户使用习惯与应用历史行为的差分隐私参数调整。差分隐私预算基于如下指标计算：

001、应用占据前、后台时间比例：占据前台时间更长的应用更值得信任；

002、应用访问加速度时所处前、后台比例：在前台访问加速度的应用更值得信任；

003、应用访问加速度的频率：访问加速度频率较低的应用更值得信任；

004、应用持续访问加速度的时间：访问加速度持续时间较短的应用更值得信任。

本具体实施方式给出了一种加速度传感器信息的量化定义，并与Android的权限系统相结合，设计了基于用户使用习惯与应用历史行为的隐私预算计算方案，并最终提出了一种基于差分隐私的Android终端加速度信息的安全保护方法；一方面移动智能终端中第三方应用对Android终端加速度信息的需求与依赖，另一方面未经保护的加速度信息可能造成的安全与隐私问题。在功能与安全中进行权衡优化，并提出一种权限可调的加速度信息安全保护方案。根据用户设置的不同功能与安全要求，针对不同的第三方应用设置不同的加速度信息获取权限，动态调整权衡策略，并基于差分隐私对原始加速度传感器信息进行处理，在尽可能不影响功能的前提下提供安全保护。

以上所述，仅用以说明本发明的技术方案而非限制，本领域普通技术人员对本发明的技术方案所做的其它修改或者等同替换，只要不脱离本发明技术方案的精神和范围，均应涵盖在本发明的权利要求范围当中。

Claims (4)

1.基于差分隐私的Android终端加速度信息的安全保护方法，其特征在于：(1)、面向不同应用的权限可调的加速度信息保护方案：

在Android系统层为加速度信息提供基于权限的保护方案，依据用户对不同应用的信任程度设置加速度信息访问权限，Android系统据此决定是否返回加速度信息给相应的应用，应用对加速度信息的访问权限包含三档：允许、拒绝、权衡； 前两类权限为传统的访问控制，第三类权限为参数动态可调整的满足差分隐私的加速度信息发布方案；

(2)、基于差分隐私的加速度信息处理：

当某一应用不能被用户完全信任，又需要依赖加速度信息提供相应功能时，其对加速度信息的访问权限可能被置为“权衡”档，此时在Android系统层首先对加速度信息进行预处理，使处理后的信息能够满足应用的功能需求，另一方面满足差分隐私的安全定义；

(3)、基于用户使用习惯的权限参数调整：

基于用户使用应用情况的历史记录，对处于“权衡”档的加速度信息使用权限的具体差分隐私参数进行动态调整，对经常占据Android前台的应用调高权限，发布更为准确的实时加速度信息；而对经常占据Android后台，且频繁进行加速度信息获取调用的应用适当调低权限，仅发布统计意义上准确的加速度信息。

2.根据权利要求1所述的基于差分隐私的Android终端加速度信息的安全保护方法，其特征在于：所述步骤(1)中面向不同应用的权限可调的加速度权限方案建立，具体权限包括：

(01)、允许：针对“允许”档访问权限的应用，在Android系统层允许其对加速度信息的获取，并直接返回加速度信息原始值；

(02)、拒绝：针对“拒绝”档访问权限的应用，在Android系统层拒绝其对加速度信息的获取；

(03)、权衡：针对“权衡”档访问权限的应用，在Android系统层允许其对加速度信息的获取，但是返回经由步骤(2)处理后的加速度信息，以兼顾应用的功能与加速度信息安全。

3.根据权利要求1所述的基于差分隐私的Android终端加速度信息的安全保护方法，其特征在于：所述步骤(2)中基于差分隐私的加速度信息处理，其噪声添加机制为：

对于给定隐私预算∈，和真实的加速度信息

添加噪声

生成满足差分隐私的加速度a′的概率分布函数为：

4.根据权利要求1所述的基于差分隐私的Android终端加速度信息的安全保护方法，其特征在于：所述步骤(3)中，基于用户使用习惯与应用历史行为的差分隐私参数调整； 差分隐私预算基于如下指标计算：

(001)、应用占据前、后台时间比例：占据前台时间更长的应用更值得信任；

(002)、应用访问加速度时所处前、后台比例：在前台访问加速度的应用更值得信任；

(003)、应用访问加速度的频率：访问加速度频率较低的应用更值得信任；

(004)、应用持续访问加速度的时间：访问加速度持续时间较短的应用更值得信任。

Images