CN110378082A - 软件安全开发方法及系统 - Google Patents

Abstract

本发明公开了一种软件安全开发方法及系统，建立用户无法访问的编译环境，判断输入所述编译环境的源代码是否合法；若合法，则在所述编译环境中编译待编译代码；否则，停止编译。本发明保证了拷贝到非安全环境的内容的绝对安全，避免躲过安全扫描的可能性；无需对编译结果解压缩，提高了安全检查的效率。

Description

软件安全开发方法及系统

技术领域

本发明涉及信息安全领域，特别是一种软件安全开发方法及系统。

背景技术

信息安全是科技类公司面临的重大问题，对涉及软件代码的企业而言，核心源代码泄漏往往带来巨大的利益损失。

通常涉及嵌入式软件开发的企业会将公司网络环境划分为安全环境和日常办公的非安全环境，安全环境主要进行源代码的编写，编译等操作，日常办公环境拿到编译结果后进行上板调试，其间会涉及编译结果从安全环境到非安全环境的流动，这个过程中可能会出现将源代码混杂在编译结果中流动到非安全环境的情况，针对此问题，通常的解决办法为在编译结果流动过程中，在安全和非安全环境的边界进行扫描检查；但android系统的编译结果为压缩文件，解压后内容非常庞大和复杂，容量达到1G以上，文件类型可达上百种，单个文件大小从数百字节到数十M；按常规的安全检查方法，无法识别出经过处理后（如私有定义的压缩算法）插入到合法文件中的源代码，同时对这些文件进行全扫描安全检查会花费大量时间。

发明内容

本发明所要解决的技术问题是，针对现有技术不足，提供一种软件安全开发方法及系统，在保证拷贝到非安全环境内容安全的同时，无需对编译结果进行解压，减少安全检查时间。

为解决上述技术问题，本发明所采用的技术方案是：一种软件安全开发方法，包括以下步骤：

S1、建立用户无法访问的编译环境，判断输入所述编译环境的源代码是否合法；

S2、若合法，则在所述编译环境中编译待编译代码；否则，停止编译。

优选地，步骤S1中，判断输入所述编译环境的源代码是否合法包括：将所述源代码与参考源代码进行比对，生成差异文件，判断所述差异文件是否合法。以此提高安全检查的效率。

若所述差异文件合法，则将所述差异文件加入所述参考源代码。

本发明步骤S2中，所述待编译代码为合法的源代码、合法的差异文件（差异文件实质为源代码，具有单独编译的可能性）、加入合法的差异文件后的参考源代码中的一种。

本发明将编译后得到的编译结果上传到非安全环境，便于用户访问和使用。

当接收到启动编译的输入命令时，判断输入所述编译环境的源代码是否合法。即，本发明是在收到启动编译的输入命令时，才会执行安全检查和编译操作。

步骤S1中，输入所述编译环境的源代码合法的条件包括：所述源代码文件为文本文件，且所述源代码文件不是编译控制文件。

相应地，本发明还提供了一种软件安全开发系统，其包括：

创建单元，用于建立用户无法访问的编译环境；

判断单元，用于判断输入所述编译环境的源代码是否合法；

编译单元，用于在判断单元输出合法指令时在所述编译环境中编译待编译代码。

优选地，本发明还包括：

比较单元，用于比较所述源代码与参考源代码，并生成差异文件；

所述判断单元用于判断所述差异文件是否合法。

进一步地，本发明还包括：合并单元，用于将合法的差异文件加入参考源代码中；优选地，所述编译单元中，待编译代码为合法的源代码、合法的差异文件、加入合法的差异文件后的参考源代码中的一种。

与现有技术相比，本发明所具有的有益效果为：本发明保证了拷贝到非安全环境的内容的绝对安全，避免了源代码混杂在编译结果中流动到非安全环境；无需对编译结果解压缩，无需对解压后的多至上万个文件进行安全扫描，极大地提高了安全检查的效率。

附图说明

图1为本发明方法流程图；

图2为本发明实施例1原理图；

图3为本发明实施例2原理图；

图4为本发明实施例3原理图；

图5为本发明实施例4原理图；

图6为本发明系统结构框图。

具体实施方式

本发明建立安全可信的编译环境，编译结果不由用户提供，即用户只提供源代码，而源代码一定是经过可信的编译环节后生成编译结果，用户无法使用技术手段将源代码插入到编译结果中，只需要在编译系统入口处判断用户提供的输入文件是合法的源代码文件即可，由于源代码都是文本文件，可以非常容易的识别源代码是否合法。

如图1，本发明主要实现过程为：

S1、建立用户无法访问的编译环境，判断输入所述编译环境的源代码是否合法；

S2、若合法，则在所述编译环境中编译待编译代码；否则，停止编译。

本发明中，用户无法访问的编译环境与用户编译环境在构成上是完全一样的，两者的区别是，用户无法访问的编译环境是用户不可见的，无法控制和修改其编译过程，即编译过程是安全可信的，保证编译过程一定是按预期进行的，编译结果不会被混入源代码。

如图2，本发明实施例1中，建立了用户无法访问的编译环境（对应图2～图5中的安全可信的编译环境）后，该编译环境从用户编译环境中读取用户源代码，此时安全检查针对的是用户源代码，待编译代码为步骤S1中判断为合法的源代码。

如图3，本发明实施例2中，在本发明建立的用户无法访问的编译环境中加入参考源代码，并将用户源代码与参考源代码进行比对，生成差异文件，此时安全检查针对的是差异文件，若差异文件合法，则编译合法的用户源代码，即，实施例2中，对应待编译代码为合法的源代码。

如图4，本发明实施例3中，在本发明建立的用户无法访问的编译环境中加入参考源代码，并将用户源代码与参考源代码进行比对，生成差异文件，此时安全检查针对的是差异文件，若差异文件合法，则编译合法的差异文件，即，实施例3中，对应待编译代码为合法的差异文件。

如图5，本发明实施例4中，在本发明建立的用户无法访问的编译环境中加入参考源代码，并将用户源代码与参考源代码进行比对，生成差异文件，此时安全检查针对的是差异文件，若差异文件合法，则将合法的差异文件加入到参考源代码中，编译加入了合法差异文件的参考源代码，即，实施例4中，待编译代码为加入了合法差异文件的参考源代码。

本发明中的参考源代码，拷贝自用户使用的源代码，且该源代码经人工审核，编译过程安全无误（编译后没有源代码混杂在编译结果中）。参考源代码中包含人工审核后的编译控制文件（以下本发明Android开发实例中为Android.mk文件），但输入的合法源代码中不能包括编译控制文件（否则输入的源代码不合法）。

相对实施例1的方案，实施例2、3、4的方案安全检查（即判断源代码文件是否合法的过程）的效率更高。通过实施例2、3、4的方案，无需对源代码文件一一进行安全检查，只需要判断差异文件是否合法，从而极大地提高了安全检查的效率。

需要注意的是，本发明的实施例2、实施例3和实施例4中，参考源代码可以设置于本发明建立的用户无法访问的编译环境中，也可以设置于该编译环境以外的安全环境中，当设置于本发明建立的用户无法访问的编译环境中时，编译实施例4中的待编译代码时使用更为方便；当参考源代码设置于本发明建立的编译环境以外的安全环境中，且适用实施例4的编译模式时，需要在合入合法的差异文件后，将参考源代码调入该编译环境中再进行编译。

本发明所指的差异文件，是指与参考源代码不同的源代码文件。

本发明中，当接收到启动编译的输入命令时，判断输入所述编译环境的源代码是否合法。本发明实施过程中，存在以下两种情况，一是建立了用户无法访问的编译环境后，判断是否接收到启动编译的输入命令，若收到，则判断输入用户无法访问的编译环境的源代码是否合法。另外一种情况是，在建立用户无法访问的编译环境之前，先判断是否接收到启动编译的输入命令，若收到，则执行建立用户无法访问的编译环境的操作。

对于本发明的实施例2、3、4，需要在将参考源代码输入到用户无法访问的编译环境中后，再判断输入用户无法访问的编译环境的源代码是否合法。加入参考源代码与判断是否接收到启动编译的输入命令的顺序可以调换，例如，可以在加入参考源代码后，判断是否接收到启动编译的输入命令，也可以在判断接收到启动编译的输入命令后，加入参考源代码。

本发明中，文件合法需满足以下两个条件：文件类型为文本文件；不能是编译控制文件（例如，Android系统中，不能是Android.mk文件）。

以Android开发为例，本发明的一种实现过程如下：

实施本发明的方法之前，先划分安全环境及非安全环境，安全环境和非安全环境分别对应不同的网段，两者可以通过网闸设备实现物理隔离。

建立横跨安全环境和非安全环境的FTP中转服务器，通过防火墙策略，网闸设备等保证安全环境和非安全环境的隔离。

对于Android系统，安全环境包括用户编译环境和用户无法访问的编译环境（即安全可信的编译环境）。FTP中转服务器可由用户无法访问的编译环境访问，用户编译环境无法访问。

对于Android系统开发，先建立用户编译环境，具体如下：

a)在一台机架服务器安装ubuntu16.04 LTS版本linux系统作为服务器基础软件系统；

b)设置服务器IP地址；

c)在服务器安装android 5.1.1系统编译必须的基础工具如openjdk，pkg-config，gettext，xsltporc等；

d)为每位用户用adduser命令添加账户并建立home目录作为用户工作目录；用户自行在该目录放置自己代码并可任意修改；

e)安装samba工具，将用户工作目录共享，供安全可信编译环境挂载访问；

f)在用户home目录建立配置文件config.user，格式如下，用于指定用户需要提交到可信环境编译的代码子目录：

BASEDIR=/home/xxx/aosp5.1.1 #源代码根目录

SUBDIR=framework/av/media/libstagefright #需要提交编译的子目录

SUBDIR=device/goke/hardware/omx #需要提交编译的子目录

建立用户编译环境后，执行本发明步骤S1中建立用户无法访问的编译环境的操作，如下：

i.在一台机架服务器安装ubuntu16.04 LTS版本linux系统作为服务器基础软件系统；

ii.设置服务器IP地址；关闭所有默认开放的通讯连接功能及共享服务如ssh,telnet,samba server,ftp server等非必要服务，保证非管理人员无法远程登录或控制该服务器；

iii.在服务器安装android 5.1.1系统编译必须的基础工具如openjdk，pkg-config，gettext，xsltporc等；

iv.挂载用户开发环境的samba共享目录到/opt/input，保证可正常访问用户开发环境的文件；

v.建立一个配置文件，格式如下，用于指定需要使用可信编译系统的用户帐号：

USER=chenxxx

……

以上建立了用户无法访问的编译环境，接下来，在该编译环境中，加入参考源代码，具体如下：

vi.为配置文件中每一位用户放置一份初始化android源码作为参考源代码（其中包含编译控制过程），该源码经过人工审核，编译过程确认安全无误。

加入参考源代码后，可以判断是否接收到启动编译的输入命令，具体如下：

vii.为配置文件中每一位用户运行一份shell脚本程序gkcc.sh，该程序执行如下动作：

viii.循环检测挂载到本机的用户工作目录是否有.start文件，如检测到该文件，表明用户启动一次安全编译并拷出的操作。该步骤中，.start文件即启动编译的输入命令。

接下来，执行本发明步骤S1中判断输入用户无法访问的编译环境的源代码是否合法的操作（即安全检查），具体如下：

ix.将源代码与参考源代码进行比对，生成差异文件：读取用户工作目录下config.user文件，解析其中配置的源代码根目录及需要合并后编译的子目录，对比该子目录下文件与参考源代码差异并生成差异文件列表；

x.判断差异文件是否合法：

A）遍历该列表确认所有文件是否都是文本文件，如否，退出本次操作；

B）遍历该列表确认不包含Android.mk文件（修改该文件可改变android编译系统行为导致编译过程不再可靠），保证既定的编译流程不会被合入后改变（即编译合入合法差异文件后的参考源代码，不会改变编译流程），如否，退出本次操作（停止编译）。

以上完成了本发明步骤S1的操作过程，然后，执行本发明步骤S2的操作，即在用户无法访问的编译环境中编译待编译代码，具体如下：

xi.将合法的差异文件合入到参考源代码目录；

xii.启动android系统编译过程，并等待其完成。

最后，将编译结果上传到非安全环境中，具体为：

xiii.将编译结果通过ncftp命令上传到非安全环境并备份到/opt/back目录。

上述步骤xii中，android系统编译的可以是合法的源代码，也可以是合入差异源代码文件后的参考源代码。

本发明中，用户编译环境位于安全环境中，通常为linux服务器，其安装android编译开发环境，为每位用户建立独立登录帐号及独立工作目录，用户工作目录中放置用户源代码，用户登录后在该目录完成源代码编辑及编译工作，用户无法将该环境中任何文件传递到非安全环境。

本发明用户无法访问的编译环境即安全可信的编译环境，该安全可信的编译环境位于安全环境中，其安装android编译开发环境，可与用户源代码位于同一台主机或存在于一台独立的主机上，此环境对用户不可见，用户无法访问，控制或修改该编译环境的任何内容，但该环境可访问用户工作目录。安全可信的编译环境内部为每一位用户放置一份初始的参考源代码。

如图6所示，本发明的软件安全开发系统包括：

创建单元，用于建立用户无法访问的编译环境；

判断单元，用于判断输入所述编译环境的源代码是否合法；

编译单元，用于在判断单元输出合法指令时在所述编译环境中编译待编译代码。

为了提高安全检查效率，本发明的系统还包括比较单元，其用于比较所述源代码与参考源代码，并生成差异文件；此时，判断单元用于判断所述差异文件是否合法。

对于本发明的系统，可以在创建单元与判断单元之间先设置一输入单元，该输入单元可以将参考源代码输入用户无法访问的编译环境或者用户无法访问的编译环境之外的安全环境中，比较单元设置在输入单元和判断单元之间。

需要注意的是，对于本发明的系统，输入单元可以有多种设置顺序，例如，还可以在设置创建单元的同时，设置上述输入单元；或者在设置创建单元之前，设置输入单元。输入单元的设置顺序，并不影响本发明方案的实施效果。

对于本发明的系统，还可以在判断单元和编译单元之间设置一合并单元，其用于将合法的差异文件加入参考源代码中。

对应于本发明的方法，本发明的编译单元中，待编译代码为合法的源代码、合法的差异文件、加入合法的差异文件后的参考源代码中的一种。

对应于本发明的方法，可以在本发明的系统中设置一输入检测单元，其用于检测是否接收到启动编译的命令，该输入检测单元可以设置于创建单元之前，也可以在设置创建单元的同时设置该输入检测单元，还可以设置在创建单元和判断单元之间。

将本发明用于不同测试场景下，在编译结果混杂源代码、编译结果使用已知算法压缩并加密、在编译结果内部插入源代码以及编译结果使用未知算法压缩并加密的情况下，本发明方法都可以保证拷贝到非安全环境的内容的绝对安全，避免源代码混杂在编译结果中流动到非安全环境。

Claims (10)

1.一种软件安全开发方法，其特征在于，包括以下步骤：

S1、建立用户无法访问的编译环境，判断输入所述编译环境的源代码是否合法；

S2、若合法，则在所述编译环境中编译待编译代码；否则，停止编译。

2.根据权利要求1所述的软件安全开发方法，其特征在于，步骤S1中，判断输入所述编译环境的源代码是否合法包括：将所述源代码与参考源代码进行比对，生成差异文件，判断所述差异文件是否合法。

3.根据权利要求2所述的软件安全开发方法，其特征在于，若所述差异文件合法，则将所述差异文件加入所述参考源代码。

4.根据权利要求3所述的软件安全开发方法，其特征在于，步骤S2中，所述待编译代码为合法的源代码、合法的差异文件、加入合法的差异文件后的参考源代码中的一种。

5.根据权利要求1～4之一所述的软件安全开发方法，其特征在于，将编译后得到的编译结果上传到非安全环境。

6.根据权利要求1所述的软件安全开发方法，其特征在于，当接收到启动编译的输入命令时，判断输入所述编译环境的源代码是否合法。

7.根据权利要求1所述的软件安全开发方法，其特征在于，步骤S1中，输入所述编译环境的源代码合法的条件包括：所述源代码文件为文本文件，且所述源代码文件不是编译控制文件。

8.一种软件安全开发系统，其特征在于，包括：

创建单元，用于建立用户无法访问的编译环境；

判断单元，用于判断输入所述编译环境的源代码是否合法；

编译单元，用于在判断单元输出合法指令时在所述编译环境中编译待编译代码。

9.根据权利要求8所述的软件安全开发系统，其特征在于，还包括：

比较单元，用于比较所述源代码与参考源代码，并生成差异文件；

所述判断单元用于判断所述差异文件是否合法。

10.根据权利要求9所述的软件安全开发系统，其特征在于，还包括：合并单元，用于将合法的差异文件加入参考源代码中；优选地，所述编译单元中，待编译代码为合法的源代码、合法的差异文件、加入合法的差异文件后的参考源代码中的一种。