CN110399744B - 数据加密方法和装置、移动终端以及计算机可读介质 - Google Patents

Abstract

本发明提供一种数据加密方法，包括：在Linux系统中归档应用数据，并对归档的所述应用数据进行加密；将加密后的所述应用数据传送到安卓操作系统中；在所述安卓操作系统的内核中自定义系统调用，所述系统调用对挂载的数据进行挂载点隔离，并挂载到随机存取存储器文件系统中；其中，所述挂载点隔离的数据对其它应用或进程不可见；在所述内核中对所述应用数据执行所述系统调用，将所述应用数据以挂载点隔离的方式挂载到所述随机存取存储器文件系统中，并对挂载到所述随机存取存储器文件系统中的应用数据进行解密。

Description

数据加密方法和装置、移动终端以及计算机可读介质

技术领域

本发明主要涉及数据处理领域，尤其涉及一种数据加密方法和装置、移动终端以及计算机可读介质。

背景技术

基于Linux内核，且具有开源特性的安卓(Android)系统自推出以来迅速得到了广大开发人员和厂商的支持，安卓应用(App)的数量与日俱增。但是，在存在恶意攻击的环境下，安卓应用的私有数据面临着被逆向、窃取和篡改等严峻的安全问题。

对私有数据进行加密可以部分的解决该安全问题。传统的加密方法可以使用安全加密芯片，或者通过可信执行环境(TEE，Trusted Execution Environment)去实现。但是，增加安全加密芯片会使成本增加，而通过TEE环境的实现比较复杂，并且不具有可移植性，不能跨平台使用。

发明内容

本发明要解决的技术问题是提供一种安全可靠、低成本的数据加密方法及装置。

为解决上述技术问题，本发明的一方面提供了一种数据加密方法，包括：在Linux系统中归档应用数据，并对归档的所述应用数据进行加密；将加密后的所述应用数据传送到安卓操作系统中；在所述安卓操作系统的内核中自定义系统调用，所述系统调用对挂载的数据进行挂载点隔离，并挂载到随机存取存储器文件系统中；其中，所述挂载点隔离的数据对其它应用或进程不可见；在所述内核中对所述应用数据执行所述系统调用，将所述应用数据以挂载点隔离的方式挂载到所述随机存取存储器文件系统中，并对挂载到所述随机存取存储器文件系统中的应用数据进行解密。

在本发明的一实施例中，采用AES加密算法对归档的所述应用数据进行加密。

在本发明的一实施例中，将加密后的所述应用数据传送到安卓操作系统中的步骤包括：以有线连接或无线连接的方式同步所述应用数据至所述安卓操作系统中。

在本发明的一实施例中，所述系统调用还包括对挂载的数据进行校验。

在本发明的一实施例中，还包括对解密之后的应用数据进行解压。

本发明的另一方面提供了一种数据加密装置，包括：归档加密单元，在Linux系统中归档应用数据，并对归档的所述应用数据进行加密；传送单元，将加密后的所述应用数据传送到安卓操作系统中；自定义单元，在所述安卓操作系统的内核中自定义系统调用，所述系统调用对挂载的数据进行挂载点隔离，并挂载到随机存取存储器文件系统中；其中，所述挂载点隔离的数据对其它应用或进程不可见；执行单元，在所述内核中对所述应用数据执行所述系统调用，使得所述应用数据被命名空间隔离，并被挂载到所述随机存取存储器文件系统中。

在本发明的一实施例中，所述归档加密单元采用AES加密算法对归档的所述应用数据进行加密。

在本发明的一实施例中，所述传送单元以有线连接或无线连接的方式同步所述应用数据至所述安卓操作系统中。

在本发明的一实施例中，所述自定义单元还包括校验模块，所述校验模块对挂载的数据进行校验。

在本发明的一实施例中，还包括解压模块，所述解压模块对解密之后的应用数据进行解压。

本发明的又一方面提供了一种移动终端，包括：存储器，用于存储可由处理器执行的指令；处理器，用于执行所述指令以实现如上所述的方法。

本发明的再一方面提供了一种计算机可读介质，其上存储有计算机指令，其中当计算机指令被处理器执行时，执行如上所述的方法。

与现有技术相比，本发明具有以下优点：本发明通过对Android应用数据执行系统调用，对应用数据进行挂载点隔离，使加密后的应用数据仅对执行了系统调用的应用可见，对其它的应用或进程都是不可见的，增强了应用数据的安全性；本发明还通过将应用数据挂载到随机存取存储器文件系统中，使数据在掉电时自动丢失，进一步的提高了数据的安全性；本发明克服了目前Android应用数据的加密依赖加密芯片从而导致成本上升的局面，同时整个方案具有跨平台的移植性，实用性强，适合基于Android的所有应用，适用范围广泛，便于推广使用。

附图说明

为让本发明的上述目的、特征和优点能更明显易懂，以下结合附图对本发明的具体实施方式作详细说明，其中：

图1是本发明一实施例的数据加密方法的示例性流程图；

图2是本发明一实施例的数据加密方法的硬件实施环境示意图；

图3是本发明一实施例的数据加密装置的结构框图。

具体实施方式

为让本发明的上述目的、特征和优点能更明显易懂，以下结合附图对本发明的具体实施方式作详细说明。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是本发明还可以采用其它不同于在此描述的其它方式来实施，因此本发明不受下面公开的具体实施例的限制。

如本申请和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。一般说来，术语“包括”与“包含”仅提示包括已明确标识的步骤和元素，而这些步骤和元素不构成一个排它性的罗列，方法或者设备也可能包含其他的步骤或元素。

应当理解，当一个部件被称为“在另一个部件上”、“连接到另一个部件”、“耦合于另一个部件”或“接触另一个部件”时，它可以直接在该另一个部件之上、连接于或耦合于、或接触该另一个部件，或者可以存在插入部件。相比之下，当一个部件被称为“直接在另一个部件上”、“直接连接于”、“直接耦合于”或“直接接触”另一个部件时，不存在插入部件。同样的，当第一个部件被称为“电接触”或“电耦合于”第二个部件，在该第一部件和该第二部件之间存在允许电流流动的电路径。该电路径可以包括电容器、耦合的电感器和/或允许电流流动的其它部件，甚至在导电部件之间没有直接接触。

在本申请中使用了流程图用来说明根据本发明实施例的制造方法所执行的操作。应当理解的是，前面的操作不一定按照顺序来精确地执行。相反，可以按照倒序或同时处理各种步骤。同时，或将其他操作添加到这些过程中，或从这些过程移除某一步或数步操作。

图1是本发明一实施例的数据加密方法的示例性流程图。图2是本发明一实施例的数据加密方法的硬件环境示意图。结合图1和图2所示，该实施例的数据加密方法包括以下的步骤：

步骤110，在Linux系统中归档应用数据，并对归档的应用数据进行加密。

参考图2所示，本方法的硬件实施环境中可以包括Linux主机210和安卓目标机220。在一些实施例中，Linux主机210可以是PC机，安卓目标机220可以是移动终端，例如手机、平板电脑等。本步骤110中的归档和加密都可以在Linux主机210中实现。

在本发明的优选实施例中，对应用数据的归档可以采用CPIO归档工具来实现。CPIO归档工具可以用于创建、解压归档文件，也可以对归档文件执行拷入(Copy-In)拷出(Copy-Out)的动作，即向归档文件中追加文件，或从归档文件中提取文件。它也支持tar格式的归档文件。

本发明对归档的方法不做限制，在其他的实施例中可以采用其他的归档工具来对应用数据进行归档。

在本发明的一些实施例中，可以通过AES(Advanced Encryption Standard，高级加密标准)对归档的应用数据进行加密。

AES是一种对称加密算法，或称分组对称加密算法。该算法通常由密钥扩展算法和加密(解密)算法两部分组成。其中，密钥长度可以是128比特、192比特、256比特中的任意一个。AES加密算法具有多种加密模式，例电码本模式(ECB,Electronic Codebook Book)、密码分组链接模式(CBC,Cipher Block Chaining)、计算器模式(CTR,Counter)、密码反馈模式(CFB,Cipher FeedBack)、输出反馈模式(OFB,Output FeedBack)等。

在本发明的优选实施例中，通过AES CBC 128对归档的应用数据进行加密。即所采用AES算法中的密钥长度为128比特，加密模式为CBC模式。

本发明对加密的方法不做限制，在其他的实施例中可以采用其他的加密算法来对应用数据进行加密。

步骤120，将加密后的应用数据传送到安卓操作系统中。

参考图2所示，安卓目标机220中包括安卓操作系统、文件系统等。在Linux主机210中经过加密后的应用数据即密文，该密文的文件可以被存放在安卓目标机220的文件系统中。显然，该密文可以被存放在文件系统中的某一目录下。

在一些实施例中，步骤120中还可以包括以有线连接或无线连接的方式同步该应用数据至该安卓操作系统中。其中，有线连接或无线连接可以通过网络进行，该网络可包括电缆网络、有线网络、光纤网络、电信网络、内联网、无线局域网(WLAN)、城域网(MAN)、公共电话交换网(PSTN)、蓝牙^TM网络、ZigBee^TM网络、近场通信(NFC)网络等或者其任意组合。当应用数据发生变化时，可以通过该实施例的方式使安卓操作系统中的密文进行实时同步更新。

在一些实施例中，该密文可以通过OTA(Over the Air technology，空间下载技术)方式升级。OTA方式可以通过移动通信的空中接口对移动终端的SIM卡数据及应用进行远程管理。这里的空中接口可以是WAP、GPRS、CDMA及短消息等技术。

步骤130，在安卓操作系统的内核中自定义系统调用，该系统调用对挂载的数据进行挂载点隔离，并挂载到随机存取存储器文件系统中。其中，挂载点隔离的数据对其它应用或进程不可见。

随机存取存储器文件系统(random access memory file system，ramfs)是一个空间大小动态可变的基于RAM的文件系统，是Linux系统用来实现磁盘缓存的文件系统。参考图2所示，在本步骤中，在安卓目标机220中的安卓操作系统的内核中加入自定义的系统调用。在本发明的实施例中，该自定义的系统调用可以实现两项功能：其一，对需要挂载的数据进行挂载点隔离；其二，在隔离完成后，将该数据所在的目录挂载到ramfs文件系统中。该系统调用可以是一种命令函数。

ramfs是在Linux下基于RAM做存储的文件系统。由于RAM的易失性特点，当系统发生断电时，存储在RAM上的数据会全部丢失。

在Linux技术中，在其内核中引入了挂载(mnt)命名空间的概念，来实现文件系统环境的隔离。不同的mnt命名空间对应不同的根文件系统，组织不同的文件系统挂载树，形成不同的文件系统目录结构。

经过该系统调用之后被进行挂载点隔离的数据可以是一个应用，可以属于某一个进程，进而属于某一个mnt命名空间。

具体地，特定的应用程序执行自定义的系统调用后，当前进程的mnt命名空间将发生挂载点的隔离，其后在该进程发生的挂载行为将不会传播到父命名空间，也就意味着其他的进程或者应用将无法检测到该进程的挂载行为(即便是ROOT用户)。之后密文文件所在的目录被挂载到基于RAM的ramfs文件系统中，只有当前应用在特定的目录中才可以看见密文文件，其他的应用在这个特定的目录下将无法发现这个密文文件。

在本步骤中，经过挂载点隔离的数据对于其它的应用或进程来说是不可见的。在一些实施例中，要隔离的数据所在的mnt命名空间会被隔离，经过挂载点隔离的数据对其它的mnt命名空间来说是不可见的。

在一些实施例中，该系统调用还可以包括对挂载的数据进行校验的步骤和功能。本发明对该校验的方式不做限制。优选地，用户可以在user space中调用kernel的系统调用中加入MD5的校验，从而进一步的增加数据的安全性。

步骤140，在内核中对应用数据执行系统调用，将应用数据以挂载点隔离的方式挂载到ramfs文件系统中，并对挂载到ramfs文件系统中的应用数据进行解密。

参考图2所示，这里的应用数据为经过步骤110加密后的密文。在本步骤中，在安卓目标机220中的安卓操作系统的内核中，对该密文执行步骤130中所自定义的系统调用。本步骤140可以通过特定的应用程序在Native中来执行自定义的系统调用。根据该系统调用，可以使密文所在进程的mnt命名空间发生挂载点的隔离。这样，在该进程所发生的挂载行为不会传播到的父命名空间，其它的进程或应用将无法感知到该进程的挂载行为(即便是ROOT用户)。之后，密文所在的目录被挂载到ramfs文件系统中。经过这一系列的步骤，只有当前应用在特定的目录中才能看见该密文文件，其它的应用在这个特定的目录下将无法发现这个密文文件。

在本步骤中，还包括对挂载到ramfs文件系统中的应用数据，也就是密文，进行解密。解密的步骤是在ramfs文件系统中完成。解密的方法对应于步骤110中的加密方法。参考图2所示，经过解密之后的文件被称为明文。

在一些实施例中，如果进入安卓目标机220中的密文是经过压缩的，则在本步骤中还包括对解密之后的文件进行解压的步骤。将经过解密和解压之后的文件称为明文。在当前的ramfs文件系统下的明文是安全的，因为，首先，ramfs文件系统是基于RAM的，其中的数据在掉电时就会丢失；其次，该明文所在的目录只对当前执行了自定义系统调用的应用可见，对其它的应用或者进程都是不可见的。因此，根据本发明的数据加密方法，可以从上述两个方面对数据进行安全防护。

参考图2所示，当加密后的应用数据传送到安卓目标机220中的安卓操作系统中时，密文可以先存储在扩充硬盘HD上。当用户调用系统调用时，密文被以挂载点隔离的方式挂载到ramfs文件系统中。

图3是本发明一实施例的数据加密装置的结构框图。该数据加密装置300可以用来执行前文所述的数据加密方法，因此，前文关于该数据加密方法的说明都适用于本实施例的数据加密装置300。

参考图3所示，该实施例的数据加密装置300包括归档加密单元310、传送单元320、自定义单元330和执行单元340。

其中，归档加密单元310在Linux系统中归档应用数据，并对归档的应用数据进行加密。传送单元320将加密后的应用数据传送到安卓操作系统中。自定义单元330在安卓操作系统的内核中自定义系统调用，该系统调用对挂载的数据进行挂载点隔离，并挂载到ramfs文件系统中；其中，该挂载点隔离的数据对其它应用或进程不可见。执行单元340在内核中对应用数据执行该系统调用，使得该应用数据被命名空间隔离，并被挂载到所述ramfs文件系统中。

对于归档加密单元310来说，本发明对归档和加密的方法不做限制。在一些实施例中，归档加密单元310采用AES加密算法对归档的所述应用数据进行加密。

在一些实施例中，传送单元320以有线连接或无线连接的方式同步该应用数据至安卓操作系统中。

在一些实施例中，该自定义单元330还包括校验模块，该校验模块可以对挂载的数据进行校验。本发明对该校验的方式不做限制。优选地，用户可以在userspace中调用kernel的系统调用中加入MD5的校验，从而进一步的增加数据的安全性。

参考图3所示，在一些实施例中，该数据加密装置300中还包括解压模块350。在这些实施例中，在归档加密单元310对应用数据进行加密时，可以同时对应用数据进行压缩。因此，解压模块350可以对解密之后的应用数据进行解压。

本发明还包括一种移动终端，该移动终端可以是图2所示的安卓目标机220，其中包括安卓操作系统。该移动终端包括存储器和处理器。该存储器用于存储可由处理器执行的指令；该处理器用于执行该指令以实现本发明的数据加密方法。

本申请的方法和装置的一些方面可以完全由硬件执行、可以完全由软件(包括固件、常驻软件、微码等)执行、也可以由硬件和软件组合执行。以上硬件或软件均可被称为“数据块”、“模块”、“引擎”、“单元”、“组件”或“系统”。处理器可以是一个或多个专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理器件(DAPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、处理器、控制器、微控制器、微处理器或者其组合。此外，本申请的各方面可能表现为位于一个或多个计算机可读介质中的计算机产品，该产品包括计算机可读程序编码。例如，计算机可读介质可包括，但不限于，磁性存储设备(例如，硬盘、软盘、磁带……)、光盘(例如，压缩盘(CD)、数字多功能盘(DVD)……)、智能卡以及闪存设备(例如，卡、棒、键驱动器……)。

计算机可读介质可能包含一个内含有计算机程序编码的传播数据信号，例如在基带上或作为载波的一部分。该传播信号可能有多种表现形式，包括电磁形式、光形式等等、或合适的组合形式。计算机可读介质可以是除计算机可读存储介质之外的任何计算机可读介质，该介质可以通过连接至一个指令执行系统、装置或设备以实现通讯、传播或传输供使用的程序。位于计算机可读介质上的程序编码可以通过任何合适的介质进行传播，包括无线电、电缆、光纤电缆、射频信号、或类似介质、或任何上述介质的组合。

此外，除非权利要求中明确说明，本申请所述处理元素和序列的顺序、数字字母的使用、或其他名称的使用，并非用于限定本申请流程和方法的顺序。尽管上述披露中通过各种示例讨论了一些目前认为有用的发明实施例，但应当理解的是，该类细节仅起到说明的目的，附加的权利要求并不仅限于披露的实施例，相反，权利要求旨在覆盖所有符合本申请实施例实质和范围的修正和等价组合。例如，虽然以上所描述的系统组件可以通过硬件设备实现，但是也可以只通过软件的解决方案得以实现，如在现有的服务器或移动设备上安装所描述的系统。

同理，应当注意的是，为了简化本申请披露的表述，从而帮助对一个或多个申请实施例的理解，前文对本申请实施例的描述中，有时会将多种特征归并至一个实施例、附图或对其的描述中。但是，这种披露方法并不意味着本申请对象所需要的特征比权利要求中提及的特征多。实际上，实施例的特征要少于上述披露的单个实施例的全部特征。

一些实施例中使用了描述成分、属性数量的数字，应当理解的是，此类用于实施例描述的数字，在一些示例中使用了修饰词“大约”、“近似”或“大体上”来修饰。除非另外说明，“大约”、“近似”或“大体上”表明所述数字允许有±20％的变化。相应地，在一些实施例中，说明书和权利要求中使用的数值参数均为近似值，该近似值根据个别实施例所需特点可以发生改变。在一些实施例中，数值参数应考虑规定的有效数位并采用一般位数保留的方法。尽管本申请一些实施例中用于确认其范围广度的数值域和参数为近似值，在具体实施例中，此类数值的设定在可行范围内尽可能精确。

本申请使用了特定词语来描述本申请的实施例。如“一个实施例”、“一实施例”、和/或“一些实施例”意指与本申请至少一个实施例相关的某一特征、结构或特点。因此，应强调并注意的是，本说明书中在不同位置两次或多次提及的“一实施例”或“一个实施例”或“一替代性实施例”并不一定是指同一实施例。此外，本申请的一个或多个实施例中的某些特征、结构或特点可以进行适当的组合。

虽然本发明已参照当前的具体实施例来描述，但是本技术领域中的普通技术人员应当认识到，以上的实施例仅是用来说明本发明，在没有脱离本发明精神的情况下还可做出各种等效的变化或替换，因此，只要在本发明的实质精神范围内对上述实施例的变化、变型都将落在本申请的权利要求书的范围内。

Claims (12)

1.一种数据加密方法，包括：

在Linux系统中归档应用数据，并对归档的所述应用数据进行加密；

将加密后的所述应用数据传送到安卓操作系统中；

在所述安卓操作系统的内核中自定义系统调用，所述系统调用对挂载的数据进行挂载点隔离，并挂载到随机存取存储器文件系统中；其中，所述挂载点隔离的数据对其它应用或进程不可见，要隔离的数据所在的挂载命名空间被隔离；

在所述内核中对所述应用数据执行所述系统调用，将所述应用数据以挂载点隔离的方式挂载到所述随机存取存储器文件系统中，在隔离完成后，将所述应用数据所在的目录挂载到所述随机存取存储器文件系统中，并对挂载到所述随机存取存储器文件系统中的应用数据进行解密。

2.如权利要求1所述的数据加密方法，其特征在于，采用AES加密算法对归档的所述应用数据进行加密。

3.如权利要求1所述的数据加密方法，其特征在于，将加密后的所述应用数据传送到安卓操作系统中的步骤包括：以有线连接或无线连接的方式同步所述应用数据至所述安卓操作系统中。

4.如权利要求1所述的数据加密方法，其特征在于，所述系统调用还包括对挂载的数据进行校验。

5.如权利要求1所述的数据加密方法，其特征在于，还包括对解密之后的应用数据进行解压。

6.一种数据加密装置，包括：

归档加密单元，在Linux系统中归档应用数据，并对归档的所述应用数据进行加密；

传送单元，将加密后的所述应用数据传送到安卓操作系统中；

自定义单元，在所述安卓操作系统的内核中自定义系统调用，所述系统调用对挂载的数据进行挂载点隔离，并挂载到随机存取存储器文件系统中；其中，所述挂载点隔离的数据对其它应用或进程不可见，要隔离的数据所在的挂载命名空间被隔离；

执行单元，在所述内核中对所述应用数据执行所述系统调用，使得所述应用数据被命名空间隔离，并被挂载到所述随机存取存储器文件系统中，在隔离完成后，将所述应用数据所在的目录挂载到所述随机存取存储器文件系统中。

7.如权利要求6所述的数据加密装置，其特征在于，所述归档加密单元采用AES加密算法对归档的所述应用数据进行加密。

8.如权利要求6所述的数据加密装置，其特征在于，所述传送单元以有线连接或无线连接的方式同步所述应用数据至所述安卓操作系统中。

9.如权利要求6所述的数据加密装置，其特征在于，所述自定义单元还包括校验模块，所述校验模块对挂载的数据进行校验。

10.如权利要求6所述的数据加密装置，其特征在于，还包括解压模块，所述解压模块对解密之后的应用数据进行解压。

11.一种移动终端，包括：

存储器，用于存储可由处理器执行的指令；

处理器，用于执行所述指令以实现如权利要求1-5任一项所述的方法。

12.一种计算机可读介质，其上存储有计算机指令，其中当计算机指令被处理器执行时，执行如权利要求1-5任一项所述的方法。

Images