CN111787006A - 一种安全应用的访问控制方法及系统 - Google Patents
一种安全应用的访问控制方法及系统 Download PDFInfo
- Publication number
- CN111787006A CN111787006A CN202010623538.3A CN202010623538A CN111787006A CN 111787006 A CN111787006 A CN 111787006A CN 202010623538 A CN202010623538 A CN 202010623538A CN 111787006 A CN111787006 A CN 111787006A
- Authority
- CN
- China
- Prior art keywords
- access request
- application
- access
- policy server
- characteristic information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 35
- 238000012795 verification Methods 0.000 claims abstract description 5
- 230000000977 initiatory effect Effects 0.000 claims description 15
- GOLXNESZZPUPJE-UHFFFAOYSA-N spiromesifen Chemical compound CC1=CC(C)=CC(C)=C1C(C(O1)=O)=C(OC(=O)CC(C)(C)C)C11CCCC1 GOLXNESZZPUPJE-UHFFFAOYSA-N 0.000 claims description 2
- 238000010586 diagram Methods 0.000 description 4
- 238000012545 processing Methods 0.000 description 4
- 238000004891 communication Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 238000010295 mobile communication Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
Abstract
本发明公开了一种安全应用的访问控制方法及系统，包括：接收普通环境中的源应用发起的访问可信环境中的安全应用的访问请求；将访问请求发送至策略服务器，以使策略服务器根据预先配置的访问规则对访问请求进行校验；当校验通过时，接收策略服务器发送的经私钥签名后的访问请求；将签名后的访问请求发送至可信环境中的认证与分发程序，以使认证与分发程序将认证通过的访问请求发送至目标应用，其中，目标应用为与访问请求对应的可信环境中的安全应用。本发明能够有效提高可信环境中安全应用的安全性。
Description
技术领域
本发明涉及计算机通信技术领域，尤其涉及一种安全应用的访问控制方法及系统。
背景技术
随着移动通信技术的快速发展，移动终端设备也广泛地被应用于各种场景。
目前，移动终端设备的系统分为REE(Rich Execution Environment，普通环境)和TEE(Trusted Execution Environment，可信环境)。
如果在移动终端设备未添加TEE中TA(Trusted Application，安全应用)的访问控制，REE中的应用可以随意访问TEE中TA，这样会暴露很多风险，如TEE中安全存储的数据被篡改甚至泄露。
因此，如何对可信环境中安全应用的访问进行控制，以提高可信环境中安全应用的安全性，是一项亟待解决的问题。
发明内容
有鉴于此，本发明提供了一种安全应用的访问控制方法，能够有效的对可信环境中安全应用的访问进行控制，以实现提高可信环境中安全应用的安全性。
本发明提供了一种安全应用的访问控制方法，包括：
接收普通环境中的源应用发起的访问可信环境中的安全应用的访问请求；
将所述访问请求发送至策略服务器，以使所述策略服务器根据预先配置的访问规则对所述访问请求进行校验；
当校验通过时，接收所述策略服务器发送的经私钥签名后的访问请求；
将所述签名后的访问请求发送至可信环境中的认证与分发程序，以使所述认证与分发程序将认证通过的访问请求发送至目标应用，其中，所述目标应用为与所述访问请求对应的可信环境中的安全应用。
优选地，访问规则包括：
源应用的名称、源应用的唯一特征信息、安全应用的名称、安全应用的唯一特征信息、访问权限，以及允许访问的有效时间。
优选地，所述访问请求包括：发送所述访问请求的源应用的唯一特征信息，以及目标应用的唯一特征信息；所述策略服务器根据预先配置的访问规则对所述访问请求进行校验，包括：
所述策略服务器基于访问请求中的源应用的唯一特征信息和目标应用的唯一特征信息，判断访问规则中是否包含发送所述访问请求的源应用的唯一特征信息，以及与所述目标应用的唯一特征信息相同的安全应用的唯一特征信息。。
优选地，所述方法还包括：
所述私钥预置于所述策略服务器的存储空间内。
优选地，所述方法还包括：
与所述私钥对应的公钥预置于所述可信环境的存储空间内，以使所述认证与分发程序采用与所述私钥对应的公钥对所述签名后的访问请求进行认证。
一种安全应用的访问控制系统，包括：普通环境中的源应用、普通环境中的请求发起模块、普通环境中的策略服务器的代理模块、策略服务器、可信环境中的认证与分发模块及可信环境中的安全应用；其中：
所述普通环境中的请求发起模块，用于发起普通环境中的源应用访问可信环境中的安全应用的访问请求，并将所述访问请求传输至普通环境中的策略服务器的代理模块；
所述普通环境中的策略服务器的代理模块，用于基于所述访问请求访问策略服务器；
所述策略服务器中的判断模块，用于判断所述访问请求是否符合预先配置的访问规则；
所述策略服务器中的禁止模块，用于当所述访问请求不符合预先配置的访问规则时，禁止所述源应用访问目标应用，所述目标应用为与所述访问请求对应的可信环境中的安全应用；
所述策略服务器中的签名模块，用于当所述访问请求符合预先配置的访问规则时，使用私钥对所述访问请求进行签名，得到签名后的访问请求，并将所述签名后的访问请求发送至所述普通环境中的策略服务器的代理模块；
所述普通环境中的策略服务器的代理模块，还用于将接收到的所述签名后的访问请求发送至可信环境中的认证与分发模块；
所述可信环境中的认证与分发模块，用于通过公钥对所述签名后的访问请求进行认证，判断是否认证通过；
所述可信环境中的认证与分发模块，还用于当通过公钥对所述签名后的访问请求认证未通过时，禁止所述源应用访问所述目标应用；以及，当认证通过时，发送所述访问请求至所述目标应用，以使所述源应用能够基于所述访问请求访问所述目标应用。
优选地，所述策略服务器还用于，存储所述预先配置的访问规则，所述访问规则包括源应用的名称、源应用的唯一特征信息、安全应用的名称、安全应用的唯一特征信息、访问权限，以及允许访问的有效时间。
优选地，所述访问请求包括：发送所述访问请求的源应用的唯一特征信息，以及目标应用的唯一特征信息；所述策略服务器中的判断模块具体用于：
基于访问规则中的源应用的唯一特征信息和对应的安全应用的唯一特征信息，判断访问规则中是否包含发送所述访问请求的源应用的唯一特征信息，以及与所述访问请求的源应用的唯一特征信息对应的，与所述目标应用的唯一特征信息相同的安全应用的唯一特征信息。
优选地，所述策略服务器还用于，存储预置的所述私钥。
优选地，可信环境中还包括存储模块，用于存储与所述私钥对应的所述公钥，以使所述认证与分发模块采用与所述私钥对应的公钥对所述签名后的访问请求进行认证。
综上所述，本发明公开了一种安全应用的访问控制方法，当需要对安全应用的访问进行控制时，首先接收普通环境中的源应用发起的访问可信环境中的安全应用的访问请求，然后将访问请求发送至策略服务器，以使策略服务器根据预先配置的访问规则对访问请求进行校验；当校验通过时，接收策略服务器发送的经私钥签名后的访问请求；将签名后的访问请求发送至可信环境中的认证与分发程序，以使认证与分发程序将认证通过的访问请求发送至目标应用，其中，目标应用为与访问请求对应的可信环境中的安全应用。本发明在普通环境中的源应用请求访问可信环境中的安全应用时，能够通过判断访问请求是否符合预先配置的访问规则，以及能够通过公钥对符合预先配置的访问规则且使用私钥加密后的访问请求数据进行认证，只有在访问请求符合预先配置的访问规则，且通过公钥对符合预先配置的访问规则且使用私钥加密后的访问请求数据进行认证通过时，才允许发送访问请求的普通环境中的源应用对与访问请求对应的可信环境中的安全应用进行访问，有效避免了可信环境中的安全应用被随意访问，进而提高了可信环境中安全应用的安全性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明公开的一种安全应用的访问控制方法实施例1的方法流程图；
图2为本发明公开的一种安全应用的访问控制方法实施例2的方法流程图；
图3为本发明公开的一种安全应用的访问控制系统实施例1的结构示意图；
图4为本发明公开的一种安全应用的访问控制系统实施例2的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，为本发明公开的一种安全应用的访问控制方法实施例1的方法流程图，所述方法可以包括以下步骤：
S101、接收普通环境中的源应用发起的访问可信环境中的安全应用的访问请求；
当移动终端设备中位于普通环境中的其中一个源应用希望访问位于可信环境中的某个安全应用时，位于普通环境中的源应用发起访问可信环境中的安全应用的访问请求。在普通环境中的源应用发起访问请求后，位于普通环境中的策略服务器的代理程序接收源应用发起访问可信环境中的安全应用的访问请求。其中，策略服务器的代理程序的是以软件形式实现的，本发明中步骤S101～S104是以策略服务器的代理程序为主体所实现的方法流程。
S102、将访问请求发送至策略服务器，以使策略服务器根据预先配置的访问规则对访问请求进行校验；
位于普通环境中的策略服务器的代理程序在接收到源应用发起的访问可信环境中的安全应用的访问请求后，进一步将访问请求发送至策略服务器；策略服务器在接收到访问请求后，进一步判断获取到的访问请求是否符合预先配置的访问规则，即判断获取到的访问请求是否符合预先配置的源应用访问安全应用的规则。
S103、当校验通过时，接收策略服务器发送的经私钥签名后的访问请求；
当策略服务器判断访问请求符合预先配置的访问规则时，策略服务器进一步通过设置的私钥对访问请求进行签名。具体的，在对访问请求进行签名时，首先通过哈希算法对访问请求的数据进行哈希处理得到哈希值，然后再通过私钥对得到的哈希值进行签名，得到签名后的访问请求，并将签名后的访问请求发送至普通环境中的策略服务器的代理程序；策略服务器的代理程序接收策略服务器发送的经私钥签名后的访问请求。需要说明的是，采用私钥进行签名的方式不限于上述所列举的方式。
需要说明的是，当策略服务器判断访问请求不符合预先配置的访问规则时，禁止源应用基于访问请求访问目标应用，即禁止源应用基于访问请求访问与访问请求对应的可信环境中的安全应用。例如，当位于普通环境中的源应用A发送的访问位于可信环境中的安全应用B的访问请求不符合预先配置的访问规则时，位于普通环境中的源应用A则不能对位于可信环境中的安全应用B进行访问。
S104、将签名后的访问请求发送至可信环境中的认证与分发程序，以使认证与分发程序将认证通过的访问请求发送至目标应用，其中，目标应用为与访问请求对应的可信环境中的安全应用。
策略服务器的代理程序在接收策略服务器发送的经私钥签名后的访问请求后，进一步将签名后的访问请求发送至可信环境中的认证与分发程序，可信环境中的认证与分发程序在得到签名后的访问请求后，通过与私钥对应的公钥对签名后的访问请求进行认证，即，首先使用公钥对签名后的访问请求数据进行验签解出第一哈希值，然后再通过哈希算法对访问请求的数据进行哈希处理得到第二哈希值，比较第一哈希值和第二哈希值，当第一哈希值与第二哈希值相同时，认证通过，相反，当第一哈希值与第二哈希值不相同时，认证未通过。当认证通过时，可信环境中的认证与分发程序将访问请求发送至目标应用，在目标应用接收到访问请求后，发送访问请求的源应用即可基于访问请求对目标应用进行访问。例如，当位于可信环境中的安全应用B接收到的位于普通环境中的源应用A发起的访问请求时，位于普通环境中的源应用A即可对位于可信环境中的安全应用B进行访问。
需要说明的是，当认证未通过时，禁止源应用访问目标应用，即禁止源应用基于访问请求访问与访问请求对应的可信环境中的安全应用。
综上所述，在上述实施例中，在普通环境中的源应用请求访问可信环境中的安全应用时，能够通过判断访问请求是否符合预先配置的访问规则，以及能够通过公钥对符合预先配置的访问规则且使用私钥加密后的访问请求数据进行认证，只有在访问请求符合预先配置的访问规则，且通过公钥对符合预先配置的访问规则且使用私钥加密后的访问请求数据进行认证通过时，才允许发送访问请求的普通环境中的源应用对与访问请求对应的可信环境中的安全应用进行访问，有效避免了可信环境中的安全应用被随意访问，进而提高了可信环境中安全应用的安全性。
如图2所示，为本发明公开的一种安全应用的访问控制方法实施例2的方法流程图，所述方法可以包括以下步骤：
S201、基于源应用的名称、源应用的唯一特征信息、安全应用的名称、安全应用的唯一特征信息、访问权限，以及允许访问的有效时间配置访问规则并存储于策略服务器中；
当需要对移动终端设备中位于可信环境中的安全应用进行访问控制时，可以根据移动终端设备的实际需求预先建立访问规则，访问规则包括源应用的名称、源应用的唯一特征信息、安全应用的名称、安全应用的唯一特征信息、访问权限，以及允许访问的有效时间配置访问规则，且访问规则存储于策略服务器中。如表1所示，为本实施例提供的一种基于源应用的名称、源应用的唯一特征信息、安全应用的名称、安全应用的唯一特征信息、访问权限，以及允许访问的有效时间配置访问规则。
表1配置的访问规则
需要说明的是，配置的访问规则可以根据安全应用访问的实际需求进行动态的修改，如，删除部分访问规则，或者修改部分访问规则等。
S202、预置私钥于策略服务器的存储空间内；
然后，预先在策略服务器的存储空间内设置并存储用于对访问请求进行签名的私钥。
S203、预置与私钥对应的公钥于可信环境的存储空间内；
同时，预先在可信环境的存储空间内设置并存储与私钥对应的公钥，以使所述认证与分发程序采用与所述私钥对应的公钥对所述签名后的访问请求进行认证。
S204、普通环境中的源应用发起的访问可信环境中的安全应用的访问请求，并将访问请求传输至普通环境中的策略服务器的代理程序，其中，访问请求包括：发起访问请求的源应用的唯一特征信息，以及目标应用的唯一特征信息；
当移动终端设备中位于普通环境中的其中一个源应用希望访问位于可信环境某个的安全应用时，位于普通环境中的源应用发起访问请求，并将访问请求传输至普通环境中的策略服务器的代理程序。其中，普通环境中的源应用发起的访问请求中包括发起访问请求的源应用的唯一特征信息，以及目标应用的唯一特征信息。其中，目标应用为与访问请求对应的可信环境中的安全应用。
S205、策略服务器的代理程序基于访问请求访问策略服务器；
位于普通环境中的策略服务器的代理程序在接收到访问请求后，基于接收到的访问请求访问策略服务器。
S206、策略服务器基于访问请求中的源应用的唯一特征信息和目标应用的唯一特征信息，判断访问规则中是否包含发送访问请求的源应用的唯一特征信息，以及与访问请求的源应用的唯一特征信息对应的，与目标应用的唯一特征信息相同的安全应用的唯一特征信息，且此访问是否在设定的时间内，是否符合预设的访问权限等；若否，则进入S207，若是，则进入S208：
策略服务器在接收到位于普通环境中的策略服务器的代理程序发起的访问请求后，进一步判断在访问规则中是否包含发送访问请求的源应用的唯一特征信息，以及与访问请求的源应用的唯一特征信息对应的，与目标应用的唯一特征信息相同的安全应用的唯一特征信息。
例如，当访问规则如表1所示时，如果访问请求中包括的发起访问请求的源应用的唯一特征信息为“5a94b7be-7929-4278-b019-49b631ea87c8”，以及与访问请求的源应用的唯一特征信息对应的安全应用的唯一特征信息为“c96adb40-c3e5-78d3-8dd4-ca02a5d5a61d”时，确定获取到的访问请求符合配置的访问规则。
S207、禁止源应用访问目标应用，目标应用为与访问请求对应的可信环境中的安全应用；
当策略服务器判断访问请求不符合预先配置的访问规则时，即，当访问规则中不包含发送访问请求的源应用的唯一特征信息，以及与访问请求的源应用的唯一特征信息对应的，与目标应用的唯一特征信息相同的安全应用的唯一特征信息时，禁止源应用基于访问请求访问目标应用，即禁止源应用基于访问请求访问与访问请求对应的可信环境中的安全应用。例如，当位于普通环境中的源应用A发送的访问位于可信环境中的安全应用B的访问请求不符合预先配置的访问规则时，位于普通环境中的源应用A则不能对位于可信环境中的安全应用B进行访问。
S208、策略服务器使用私钥对访问请求进行签名，得到签名后的访问请求，并将签名后的访问请求发送至普通环境中的策略服务器的代理程序；
当策略服务器判断访问请求符合预先配置的访问规则时，即，当访问规则中包含发送访问请求的源应用的唯一特征信息，以及与访问请求的源应用的唯一特征信息对应的，与目标应用的唯一特征信息相同的安全应用的唯一特征信息时，进一步通过设置的私钥对访问请求进行签名。具体的，在对访问请求进行签名时，首先通过哈希算法对访问请求的数据进行哈希处理得到哈希值，然后再通过私钥对得到的哈希值进行签名，得到签名后的访问请求，并将签名后的访问请求发送至普通环境中的策略服务器的代理程序。
S209、普通环境中的策略服务器的代理程序将接收到的签名后的访问请求发送至可信环境中的认证与分发程序；
普通环境中的策略服务器的代理程序在接收到策略服务器发送的签名后的访问请求后，将接收到的签名后的访问请求发送至可信环境中的认证与分发程序。
S210、可信环境中的认证与分发程序通过公钥对签名后的访问请求进行认证，判断是否认证通过，若否，则进入步骤S207，若是，则进入S211：
可信环境中的认证与分发程序在得到签名后的访问请求后，通过与私钥对应的公钥对签名后的访问请求进行认证，即，首先使用公钥对签名后的访问请求进行验签解出第一哈希值，然后再通过哈希算法对访问请求进行哈希处理得到第二哈希值，比较第一哈希值和第二哈希值，当第一哈希值与第二哈希值相同时，认证通过，相反，当第一哈希值与第二哈希值不相同时，认证未通过。
当认证未通过时，禁止源应用访问目标应用，即禁止源应用基于访问请求访问与访问请求对应的可信环境中的安全应用。
S211、可信环境中的认证与分发程序发送访问请求至目标应用，以使源应用能够基于访问请求访问目标应用。
当认证通过时，可信环境中的认证与分发程序将访问请求发送至目标应用，在目标应用接收到访问请求后，发送访问请求的源应用即可基于访问请求对目标应用进行访问。例如，当位于可信环境中的安全应用B接收到的位于普通环境中的源应用A发起的访问请求时，位于普通环境中的源应用A即可对位于可信环境中的安全应用B进行访问。
综上所述，本实施例在上述实施例的基础上，能够进一步根据安全应用的访问需求灵活的基于源应用的名称、源应用的唯一特征信息、安全应用的名称、安全应用的唯一特征信息、访问权限，以及允许访问的有效时间配置访问规则，相对于通过固件升级才能更新访问控制规则的方式，极大的减少了访问规则更新的维护成本，且具有实时更新访问规则的能力。
如图3所示，为本发明公开的一种安全应用的访问控制系统实施例1的结构示意图，所述系统可以包括：普通环境中的源应用31和普通环境中的请求发起模块311、普通环境中的策略服务器的代理模块32、策略服务器33和可信环境中的认证与分发模块34及可信环境中的安全应用35；其中：
普通环境中的源应用31中的请求发起模块311，用于发起访问可信环境中的安全应用的访问请求，并将访问请求传输至普通环境中的策略服务器的代理模块32；
普通环境中的策略服务器的代理模块32，用于基于访问请求访问策略服务器33；
策略服务器33中的判断模块331，用于判断访问请求是否符合预先配置的访问规则；
策略服务器33中的禁止模块332，用于当访问请求不符合预先配置的访问规则时，禁止源应用31访问目标应用，目标应用为与访问请求对应的可信环境中的安全应用35；
策略服务器33中的签名模块333，用于当访问请求符合预先配置的访问规则时，使用私钥对访问请求进行签名，得到签名后的访问请求，并将签名后的访问请求发送至普通环境中的策略服务器的代理模块32；
普通环境中的策略服务器的代理模块32，还用于将接收到的签名后的访问请求发送至可信环境中的认证与分发模块34；
可信环境中的认证与分发模块34，用于通过公钥对签名后的访问请求进行认证，判断是否认证通过；
可信环境中的认证与分发模块34，还用于当通过公钥对所述签名后的访问请求进行认证，认证未通过时，禁止源应用31访问目标应用；
可信环境中的认证与分发模块34，还用于当通过公钥对所述签名后的访问请求进行认证，认证通过时，发送访问请求至目标应用，以使源应用31能够基于访问请求访问目标应用。
本实施例公开的安全应用的访问控制系统的工作原理与上述安全应用的访问控制方法实施例1的工作原理相同，在此不再赘述。
如图4所示，为本发明公开的一种安全应用的访问控制系统实施例2的结构示意图，所述系统可以包括：普通环境中的源应用41和普通环境中的请求发起模块411、普通环境中的策略服务器的代理模块42、策略服务器43和可信环境中的认证与分发模块44及安全应用45；其中：
策略服务器43，还用于存储预先配置的访问规则，访问规则包括源应用的名称、源应用的唯一特征信息、安全应用的名称、安全应用的唯一特征信息、访问权限，以及允许访问的有效时间；
策略服务器43，还用于存储预置的私钥；
可信环境中的存储模块441，用于存储与私钥对应的公钥；
普通环境中的源应用41中的请求发起模块411，用于发起的访问可信环境中的安全应用的访问请求，并将访问请求传输至普通环境中的策略服务器的代理模块42，其中，访问请求包括：发起访问请求的源应用的唯一特征信息，以及目标应用的唯一特征信息；
普通环境中的策略服务器的代理模块42，用于基于访问请求访问策略服务器43；
策略服务器43中的判断模块431，用于基于访问规则中的源应用的唯一特征信息和对应的安全应用的唯一特征信息，判断访问规则中是否包含发送访问请求的源应用的唯一特征信息，以及与访问请求的源应用的唯一特征信息对应的，与目标应用的唯一特征信息相同的安全应用的唯一特征信息；
策略服务器43中的禁止模块432，用于当访问请求不符合预先配置的访问规则时，禁止源应用访问目标应用，目标应用为与访问请求对应的可信环境中的安全应用45；
策略服务器43中的签名模块433，用于当访问请求符合预先配置的访问规则时，使用私钥对访问请求进行签名，得到签名后的访问请求，并将签名后的访问请求发送至普通环境中的策略服务器的代理模块42；
普通环境中的策略服务器的代理模块42，还用于将接收到的签名后的访问请求发送至可信环境中的认证与分发模块44；
可信环境中的认证与分发模块44，用于通过公钥对签名后的访问请求进行认证，判断是否认证通过；
可信环境中的认证与分发模块44，还用于当通过公钥对签名后的访问请求进行认证，认证未通过时，禁止源应用41访问目标应用；
可信环境中的认证与分发模块44，还用于当通过公钥对签名后的访问请求进行认证，认证通过时，发送访问请求至目标应用，以使源应用41能够基于访问请求访问目标应用。
本实施例公开的安全应用的访问控制系统的工作原理与上述安全应用的访问控制方法实施例2的工作原理相同，在此不再赘述。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。
Claims (10)
1.一种安全应用的访问控制方法，其特征在于，包括：
接收普通环境中的源应用发起的访问可信环境中的安全应用的访问请求；
将所述访问请求发送至策略服务器，以使所述策略服务器根据预先配置的访问规则对所述访问请求进行校验；
当校验通过时，接收所述策略服务器发送的经私钥签名后的访问请求；
将所述签名后的访问请求发送至可信环境中的认证与分发程序，以使所述认证与分发程序将认证通过的访问请求发送至目标应用，其中，所述目标应用为与所述访问请求对应的可信环境中的安全应用。
2.根据权利要求1所述的方法，其特征在于，所述访问规则包括：
源应用的名称、源应用的唯一特征信息、安全应用的名称、安全应用的唯一特征信息、访问权限，以及允许访问的有效时间。
3.根据权利要求2所述的方法，其特征在于，所述访问请求包括：发送所述访问请求的源应用的唯一特征信息，以及目标应用的唯一特征信息；所述策略服务器根据预先配置的访问规则对所述访问请求进行校验，包括：
所述策略服务器基于访问请求中的源应用的唯一特征信息和目标应用的唯一特征信息，判断访问规则中是否包含发送所述访问请求的源应用的唯一特征信息，以及与所述目标应用的唯一特征信息相同的安全应用的唯一特征信息。
4.根据权利要求1所述的方法，其特征在于，还包括：
所述私钥预置于所述策略服务器的存储空间内。
5.根据权利要求1所述的方法，其特征在于，还包括：
与所述私钥对应的公钥预置于所述可信环境的存储空间内，以使所述认证与分发程序采用与所述私钥对应的公钥对所述签名后的访问请求进行认证。
6.一种安全应用的访问控制系统，其特征在于，包括：普通环境中的源应用、普通环境中的请求发起模块、普通环境中的策略服务器的代理模块、策略服务器、可信环境中的认证与分发模块及可信环境中的安全应用；其中：
所述普通环境中的请求发起模块，用于发起普通环境中的源应用访问可信环境中的安全应用的访问请求，并将所述访问请求传输至普通环境中的策略服务器的代理模块；
所述普通环境中的策略服务器的代理模块，用于基于所述访问请求访问策略服务器；
所述策略服务器中的判断模块，用于判断所述访问请求是否符合预先配置的访问规则；
所述策略服务器中的禁止模块，用于当所述访问请求不符合预先配置的访问规则时，禁止所述源应用访问目标应用，所述目标应用为与所述访问请求对应的可信环境中的安全应用；
所述策略服务器中的签名模块，用于当所述访问请求符合预先配置的访问规则时，使用私钥对所述访问请求进行签名，得到签名后的访问请求，并将所述签名后的访问请求发送至所述普通环境中的策略服务器的代理模块；
所述普通环境中的策略服务器的代理模块，还用于将接收到的所述签名后的访问请求发送至可信环境中的认证与分发模块；
所述可信环境中的认证与分发模块，用于通过公钥对所述签名后的访问请求进行认证，判断是否认证通过；
所述可信环境中的认证与分发模块，还用于当通过公钥对所述签名后的访问请求认证未通过时，禁止所述源应用访问所述目标应用；以及，当认证通过时，发送所述访问请求至所述目标应用，以使所述源应用能够基于所述访问请求访问所述目标应用。
7.根据权利要求6所述的系统，其特征在于，所述策略服务器还用于，存储所述预先配置的访问规则，所述访问规则包括源应用的名称、源应用的唯一特征信息、安全应用的名称、安全应用的唯一特征信息、访问权限，以及允许访问的有效时间。
8.根据权利要求7所述的系统，其特征在于，所述访问请求包括：发送所述访问请求的源应用的唯一特征信息，以及目标应用的唯一特征信息；所述策略服务器中的判断模块具体用于：
基于访问规则中的源应用的唯一特征信息和对应的安全应用的唯一特征信息，判断访问规则中是否包含发送所述访问请求的源应用的唯一特征信息，以及与所述访问请求的源应用的唯一特征信息对应的，与所述目标应用的唯一特征信息相同的安全应用的唯一特征信息。
9.根据权利要求6所述的系统，其特征在于，所述策略服务器还用于，存储预置的所述私钥。
10.根据权利要求6所述的系统，其特征在于，可信环境中还包括存储模块，用于存储与所述私钥对应的公钥，以使所述认证与分发模块采用与所述私钥对应的公钥对所述签名后的访问请求进行认证。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010623538.3A CN111787006A (zh) | 2020-06-30 | 2020-06-30 | 一种安全应用的访问控制方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202010623538.3A CN111787006A (zh) | 2020-06-30 | 2020-06-30 | 一种安全应用的访问控制方法及系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN111787006A true CN111787006A (zh) | 2020-10-16 |
Family
ID=72761622
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202010623538.3A Pending CN111787006A (zh) | 2020-06-30 | 2020-06-30 | 一种安全应用的访问控制方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN111787006A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114885331A (zh) * | 2022-07-12 | 2022-08-09 | 中国电力科学研究院有限公司 | 基于通信模组的网络接入控制方法、系统及存储介质 |
Citations (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20130094170A (ko) * | 2011-12-30 | 2013-08-23 | 에스케이씨앤씨 주식회사 | 애플릿 액세스 제어 시스템 및 방법 |
| CN106534148A (zh) * | 2016-11-29 | 2017-03-22 | 北京元心科技有限公司 | 应用的访问管控方法及装置 |
| WO2017118437A1 (zh) * | 2016-01-08 | 2017-07-13 | 腾讯科技（深圳）有限公司 | 进行业务处理的方法、装置和系统 |
| CN107426174A (zh) * | 2017-06-09 | 2017-12-01 | 武汉果核科技有限公司 | 一种可信执行环境的访问控制系统及方法 |
| CN107743133A (zh) * | 2017-11-30 | 2018-02-27 | 中国石油大学(北京) | 移动终端及其基于可信安全环境的访问控制方法和系统 |
| CN107888589A (zh) * | 2017-11-10 | 2018-04-06 | 恒宝股份有限公司 | 一种调用可信应用的方法及其系统 |
| CN108540442A (zh) * | 2018-02-08 | 2018-09-14 | 北京豆荚科技有限公司 | 一种访问可信执行环境的控制方法 |
| CN109547451A (zh) * | 2018-11-30 | 2019-03-29 | 四川长虹电器股份有限公司 | 基于tee的可信认证服务认证的方法 |
| CN110635916A (zh) * | 2019-09-30 | 2019-12-31 | 四川虹微技术有限公司 | 基于tee的安全应用认证方法 |
| US20200067922A1 (en) * | 2018-08-21 | 2020-02-27 | HYPR Corp. | Out-of-band authentication based on secure channel to trusted execution environment on client device |
| CN110855426A (zh) * | 2019-11-08 | 2020-02-28 | 北京握奇智能科技有限公司 | 一种用于软件使用授权的方法 |
-
2020
- 2020-06-30 CN CN202010623538.3A patent/CN111787006A/zh active Pending
Patent Citations (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20130094170A (ko) * | 2011-12-30 | 2013-08-23 | 에스케이씨앤씨 주식회사 | 애플릿 액세스 제어 시스템 및 방법 |
| WO2017118437A1 (zh) * | 2016-01-08 | 2017-07-13 | 腾讯科技（深圳）有限公司 | 进行业务处理的方法、装置和系统 |
| CN106534148A (zh) * | 2016-11-29 | 2017-03-22 | 北京元心科技有限公司 | 应用的访问管控方法及装置 |
| CN107426174A (zh) * | 2017-06-09 | 2017-12-01 | 武汉果核科技有限公司 | 一种可信执行环境的访问控制系统及方法 |
| CN107888589A (zh) * | 2017-11-10 | 2018-04-06 | 恒宝股份有限公司 | 一种调用可信应用的方法及其系统 |
| CN107743133A (zh) * | 2017-11-30 | 2018-02-27 | 中国石油大学(北京) | 移动终端及其基于可信安全环境的访问控制方法和系统 |
| CN108540442A (zh) * | 2018-02-08 | 2018-09-14 | 北京豆荚科技有限公司 | 一种访问可信执行环境的控制方法 |
| US20200067922A1 (en) * | 2018-08-21 | 2020-02-27 | HYPR Corp. | Out-of-band authentication based on secure channel to trusted execution environment on client device |
| CN109547451A (zh) * | 2018-11-30 | 2019-03-29 | 四川长虹电器股份有限公司 | 基于tee的可信认证服务认证的方法 |
| CN110635916A (zh) * | 2019-09-30 | 2019-12-31 | 四川虹微技术有限公司 | 基于tee的安全应用认证方法 |
| CN110855426A (zh) * | 2019-11-08 | 2020-02-28 | 北京握奇智能科技有限公司 | 一种用于软件使用授权的方法 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114885331A (zh) * | 2022-07-12 | 2022-08-09 | 中国电力科学研究院有限公司 | 基于通信模组的网络接入控制方法、系统及存储介质 |
| CN114885331B (zh) * | 2022-07-12 | 2023-07-18 | 中国电力科学研究院有限公司 | 基于通信模组的网络接入控制方法、系统及存储介质 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10110585B2 (en) | Multi-party authentication in a zero-trust distributed system | |
| US9692743B2 (en) | Securing organizational computing assets over a network using virtual domains | |
| US8590037B2 (en) | Managing host application privileges | |
| EP2991268B1 (en) | Data processing method and apparatus | |
| EP2875460B1 (en) | Anti-cloning system and method | |
| CN109756446B (zh) | 一种车载设备的访问方法和系统 | |
| JP2004326796A (ja) | 高度機密保護機能を要求するアプリケーションを実行する方法における、端末とアプリケーションとの安全確保の方法、通信端末、識別モジュール | |
| WO2006009517A1 (en) | System and method for implementing digital signature using one time private keys | |
| WO2020173019A1 (zh) | 访问凭证验证方法、装置、计算机设备及存储介质 | |
| JP2013541908A (ja) | ユーザアカウント回復 | |
| US20090064273A1 (en) | Methods and systems for secure data entry and maintenance | |
| CN112153638A (zh) | 车载移动终端安全认证方法及设备 | |
| EP3336734B1 (en) | Fingerprint information secure call method, apparatus, and mobile terminal | |
| CN106992978B (zh) | 网络安全管理方法及服务器 | |
| WO2013168255A1 (ja) | アプリケーションプログラム実行装置 | |
| CN108667800B (zh) | 一种访问权限的认证方法及装置 | |
| CN111787006A (zh) | 一种安全应用的访问控制方法及系统 | |
| US7330982B1 (en) | Secured automated process for signed, encrypted or validated content generation | |
| JP6343928B2 (ja) | 携帯端末、認証システム、認証方法、および、認証プログラム | |
| CN112565209B (zh) | 一种网元设备访问控制方法及设备 | |
| KR102201218B1 (ko) | 모바일 단말의 보안 엔진의 접근 제어 시스템 및 방법 | |
| GB2598096A (en) | Method for authenticating using distributed identities | |
| KR20170118572A (ko) | 사용자 인증 방법 및 이를 실행하는 시스템 | |
| CN113326483A (zh) | 应用程序授权方法及相关产品 | |
| KR102542840B1 (ko) | 오픈 api 기반의 금융 인증 서비스 제공 방법 및 시스템 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| CB02 | Change of applicant information | ||
| CB02 | Change of applicant information |
Address after: 4 / F, building 1, No.14 Jiuxianqiao Road, Chaoyang District, Beijing 100020 Applicant after: Beijing Jingwei Hirain Technologies Co.,Inc. Address before: 8 / F, block B, No. 11, Anxiang Beili, Chaoyang District, Beijing 100101 Applicant before: Beijing Jingwei HiRain Technologies Co.,Ltd. |
|
| RJ01 | Rejection of invention patent application after publication | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20201016 |